CN101317362A

CN101317362A - 一种信息安全认证方法和系统

Info

Publication number: CN101317362A
Application number: CNA2007800002908A
Authority: CN
Inventors: 刘淑玲; 位继伟; 李超
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-04-07
Filing date: 2007-03-06
Publication date: 2008-12-03
Anticipated expiration: 2027-03-06
Also published as: CN101051895B; CN101051895A; CN101317362B

Abstract

本发明公开了信息安全认证方法和系统。该方法的过程包括：用户发起访问请求，该请求包括设置有扩展标识的属性证书，所述扩展标识指示与所述属性证书关联的生物证书；获取生物证书，根据扩展标识判断所获取的生物证书是否与访问请求中的属性证书关联，若所述生物证书与所述属性证书关联，获取用户的生物特征数据，根据生物特征数据和该生物证书进行身份认证；利用属性证书进行权限认证；根据身份认证结果和权限认证结果控制用户访问所请求的信息。本发明的这种方法和系统通过建立权限认证和生物认证的对应关系，准确可靠地实现权限管理。

Description

一种信息安全认证方法和系统

技术领域

本发明涉及信息安全领域，尤指一种信息安全认证方法和系统。发明背景

国际电信联盟 ( International Telecommunications Union , ITU ) 和 Internet工程任务组 ( Internet Engineering Task Force, IETF )提出了权限管理出设施 ( PMI, Privilege Management Infrastructure ) 的概念。 PMI能够和公钥基础设施 ( PKI, Pubic Key Infrastructure )集成在一起, 系统地对用户进行权限管理并提供授权服务，从而为信息安全提供保障。

所述 PMI由属性证书、属性权威、属性证书库等部件组成，用于实现权限和证书的产生、管理、存储、分发和撤销等功能。所述属性证书 (AC, Attribute Certificate)是一个带有数字签名的数据结构，该数据结构将实体和权限绑定，即属性证书定义了一个实体能够拥有的权限。图 1 为属性证书的格式，包括版本、序列号、有效期、发行者、签名算法及其标识、持有者、发行者唯一标识、属性信息、扩展信息，以及发行者签名等参数。其中，关于某个实体的权限的定义包含在属性信息中。

对用户进行的信息安全认证包括权限认证和身份认证。实际应用中，可以只进行权限认证比如 PMI认证等，也可以只进行身份认证比如 PKI 认证等,或是将 PMI认证和 PKI认证结合，不同方式的信息安全认证具有不同的准确度和可靠性。一般情况下，信息安全认证要求具有较高的准确度和可靠性，以保障资源的安全。发明内容

本发明提供了信息安全认证方法和系统，主要的技术方案如下：一种信息安全认证方法，该方法包括：

接收用户的访问请求，该请求携带设置有扩展标识的属性证书，所述扩展标识指示与所述属性证书关联的生物证书；

获取生物证书，根据扩展标识判断所获取的生物证书是否与访问请求中的属性证书关联，若所述生物证书与所述属性证书关联，则获取用户的生物特征数据，根据生物特征数据和该生物证书进行身份认证；

利用属性证书进行权限认证；

根据身份认证结果和权限认证结果对用户的访问进行控制。

一种信息安全认证方法，该方法包括：

接收用户发出的携带有属性证书的访问请求，该属性证书为具有不同权限特性的属性设置有对应的安全级别；

获取生物算法证书，所述生物算法证书记录有安全级别和生物识别参数的对应关系；

根据属性证书中的属性对应的权限特性，确定该属性的安全级别，从而获取对应的生物识别参数；

获取生物证书和该用户的生物特征数据进行身份认证，判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求；

利用属性证书进行权限认证；

根据身份认证结果和权限认证结果控制用户访问所请求的信息。一种信息安全认证系统，包括：

客户端，用于向服务提供单元发起访问请求，该请求携带设置有扩展标识的属性证书；接收来自服务提供单元的认证结果；服务提供单元，用于获取生物证书，判断所获取的生物证书是否与访问请求中的属性证书关联；请求身份认证单元根据生物证书进行身份认证，或者请求权限认证单元根据属性证书进行权限认证；身份认证单元，用于根据生物证书进行身份认证；

权限认证单元，用于根据属性证书进行权限认证。

一种信息安全认证系统，包括：

客户端，用于向服务提供单元发出携带有属性证书的访问请求，该属性证书为具有不同权限特性的属性设置有对应的安全级别；接收来自服务提供单元的认证结果；

服务提供单元，用于获取生物算法证书和客户端输入的生物特征数据，所述生物算法证书记录有安全级别和生物识别参数的对应关系；请求身份认证单元根据生物证书进行身份认证，或者请求权限认证单元根据属性证书进行权限认证；根据属性证书中的属性对应的权限特性，确定该属性的安全级别，获取对应的生物识别参数；

身份认证单元，用于利用生物证书对输入生物特征数据的客户端进行身份认证，判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求。

由上述技术方案可见 , 本发明的这种信息安全认证方法和系统，在使用属性证书进行权限认证之前 ,先确定与该属性证书关联的生物证书，应用该生物证书进行身份认证，并在身份认证通过后应用该属性证书进行权限认证，使得权限认证和使用生物证书的身份认证实现无缝结合。也就是说，本发明通过建立权限认证和生物认证的对应关系 , 准确可靠地实现权限管理，并且本发明与现有技术有很好的兼容性，应用本发明进行信息安全认证简单、易行。附图简要说明图 1是现有属性证书的格式；

图 2是本发明一个实施例中生物证书的格式；

图 3是本发明一个实施例中扩展标识的格式；

图 4是本发明一个实施例中实现信息安全认证的流程图；图 5是本发明一个实施例中生物算法证书的格式；

图 6是本发明另一个实施例中实现信息安全认证的流程图；图 7是本发明一个实施例中信息安全认证系统的结构示意图；图 8是本发明另一个实施例中信息安全认证系统的结构示意图。实施本发明的方式

. 以下参照附图并举实施例，对本发明的内容详加说明。

本发明将生物特征识别技术应用在信息安全认证上，利用生物证书的唯一性、稳定性等特点，提供准确、可靠的信息安全认证。具体为：在使用属性证书进行用户的权限认证之前, 先用与该属性证书关联的生物证书对该用户进行身份认证，在身份认证通过后再应用属性证书进行权限认证，以确保权限认证和身份认证的对应关系，使得权限管理更为准确可靠。

所述生物特征识别技术是指利用人类自身生理或行为特征进行身份认定的一种技术，比如指纹识别和虹膜识别等技术。

所述生物证书指的是包含生物特征模板的所有类型的证书，包括单独存在仅用于生物认证的证书，和除前述生物证书之外的其他类型的证书，比如 RFC3739中定义的公铜证书等。该生物特征模板可以记录主体的生物特征数据等。为了更好地区分这两类（category )生物证书，将单独存在的仅用于生物认证的证书称为第一类生物证书, 将除前述的第一类生物证书之外的其他类型的证书，比如 RFC3739 中定义的公钥证书等，称为第二类生物证书。所述第一类生物证书和第二类生物证书都包含生物特征模板。

图 2为本发明一个实施例中生物证书的格式，包括：版本、序列号、有效期、主体及其唯一标识、发行者及其唯一标识、生物特征模板、模板格式标识、扩展信息和发行者签名。

其中，版本：生物证书中心（ Biometric Certification Authority, BCA ) 发行的生物证书的版本。序列号： BCA所发行的生物证书的唯一标识。有效期：生物证书的可用日期，包括有效期起始日和有效期终止日。主体：该生物证书标识的实体，可以用主体唯一标识进行区分。发行者：生成该生物证书并为其提供签名的 BCA, 可以用该 BCA的唯一标识进行区分。生物特征模板: 包含主体的生物特征数据等。模板格式标识：生物特征模板的格式标识。扩展信息：在不改变证书格式的前提下，允许加入到该生物证书的额外信息，比如生物证书的使用方法等。发行者签名：用以下至少一个参数生成的数字签名，所述参数包括 BCA的私钥对序列号、有效期、主体及其唯一标识、发行者及其唯一标识、生物特征模板、模板格式标识、扩展信息等。

为了建立属性证书和生物证书的关联关系，并使得这种关联关系的建立对现有系统的影响最小，本发明在属性证书的扩展信息中增加一个扩展项，用于记录与该属性证书关联的生物证书的标识。

所述属性证书的扩展信息主要用于声明和该属性证书的应用相关的一些策略。扩展信息又包括基本扩展信息、权限撤销扩展信息、根属性权威扩展信息、角色扩展信息和授权扩展信息等。一般情况下，本发明中增加的扩展项位于基本扩展信息中，该扩展项被称为扩展标识。

对于与属性证书关联的生物证书是第一类生物证书的情况，本发明一个实施例中扩展标识的结构如图 3所示。该实施例中，扩展标识包括生物证书发行者和生物证书序列号、实体名称列表以及对象摘要信息等。

其中，生物证书发行者和生物证书序列号用于标识该属性证书的持有者具有的生物证书，即可用于对该属性证书的持有者进行身份认证的生物证书。实体名称列表用于标识一个或者多个属性证书的持有者的名称。对象摘要信息是根据以下参数计算出的摘要信息，所述参数包括：生物证书序列号、有效期、主体及其唯一标识、发行者及其唯一标识、生物特征模板、模板格式标识、扩展信息。

图 3所示的扩展标识同时包括生物证书发行者和生物证书序列号、实体名称列表以及对象摘要信息这三项内容。在实际应用中，扩展标识可以仅为上述三项的任意一项，或为上述三项的任意组合。

如果扩展标识中只有实体名称列表这一项，则任何一个记录在实体名称列表中的生物证书都可以用来认证该属性证书的持有者的身份，即实体名称列表中记录的任何一个生物证书都与该属性证书关联。

如果扩展标识中包括生物证书发行者和生物证书序列号、实体名称列表，则根据生物证书发行者和生物证书序列号判断属性证书和生物证书是否关联。

如果扩展标识中包括实体名称列表和对象摘要信息，则根据对象摘要信息判断属性证书和生物证书是否关联。

第二类生物证书的扩展标识可以根据需要或参考图 3进行设置，比如该扩展标识中包含生物证书序列号等，此处不再详加描述。

图 4是本发明一个实施例中实现信息安全认证的流程图。

步骤 401 :客户端向服务提供单元发起访问请求，该请求中记录有生物证书和包含扩展标识的属性证书。一般情况下，客户端通过访问请求要求获取某个资源数据库的信息。所述生物证书可以是第一类生物证书，也可以是第二类生物证书；所述扩展标识指示可用于身份认证的生物证书。

步骤 402: 服务提供单元根据接收到的访问请求，判断生物证书与属性证书中的扩展标识是否匹配；若二者不匹配，服务提供单元给客户端返回拒绝的响应信息，该流程结束；若二者匹配，则执行步骤 403。

在具体实现时，所述生物证书也可以不通过访问请求传递，而是从其他途径获取到，比如从数据库获取。

步骤 403: 服务提供单元给客户端返回成功的响应信息。

步骤 404:客户端接收到成功的响应信息后，将用户输入的生物特征数据发送给服务提供单元。

步骤 405：服务提供单元向身份认证单元发送身份认证请求，该请求携带生物特征数据和生物证书。

步骤 406: 身份认证单元从生物证书中提取生物特征模板，与用户输入的生物特征数据进行比较, 对客户端进行身份认证。

进一步地，该步骤中还可以根据生物识别参数的要求, 对属性证书中具有不同权限特性的属性，进行不同严格程度的生物认证。

所述生物识别参数可以是生物类型、识别算法、误匹配率（ false match rate, FMR )、重试次数、生物数据质量等，该参数可以由身份认证单元设定，也可以由服务提供单元设定，或在生物证书中携带。当生物识别参数为误匹配率时，假设该误匹配率为 80 % , 身份认证单元将生物特征模板和用户输入的生物特征数据进行比较，通过判断比较结果是否在误匹配率允许的范围内来确定用户身份的合法性 , 比如如果生物特征模板和用户输入的生物特征数据的相似度达到 90 % , 大于误匹配率，身份认证单元判定该用户的身份是合法的。步骤 407: 身份认证单元将身份认证结果发送给服务提供单元。如果身份认证失败，服务提供单元通知客户端身份认证失败，流程结束；如果身份认证成功，执行步骤 408。

步骤 408: 服务提供单元向权限认证单元发出权限认证请求，该请求携带属性证书。

步骤 409: 权限认证单元根据属性证书中定义的权限特性，对该客户端进行权限认证，即判断该客户端是否具有访问权限。该步骤与现有的权限认证过程相同，此处不再赘述。

步驟 410〜411：权限认证单元将权限认证结果发送给服务提供单元，由服务提供单元通知客户端本次访问请求的认证是否通过。

其中，对于不同类型的生物证书，比如第一类生物证书和第二类生物证书，步骤 402提及的判断属性证书中的扩展标识与生物证书是否匹配的过程又有所不同。

所述生物证书为第一类生物证书时，根据扩展标识的组成又可分为以下几种情况：

如果所述扩展标识包括生物证书发行者和生物证书序列号，判断是否匹配的过程为：服务提供单元判断生物证书中记录的生物证书发行者和生物证书序列号，和扩展标识中的生物证书发行者和生物证书序列号是否相同，若二者相同则匹配，若二者不同则不匹配。

如果所述扩展标识包括实体名称列表，且该实体名称列表包含至少一个主体及其唯一标识，判断是否匹配的过程为：判断生物证书中记录的主体及其唯一标识是否包含在扩展标识中的实体名称列表内，若包含则匹配，若不包含则不匹配。

如果所述扩展标识包括对象摘要信息，判断是否匹配的过程为：根据生物证书中的生物证书序列号、有效期、主体及其唯一标识、发行者及其唯一标识、模板格式标识、生物特征模板以及扩展信息计算出一个摘要信息，并判断计算出的摘要信息与扩展标识中的对象摘要信息是否相同，若二者相同则匹配，若二者不同则不匹配。体名称列表，则根据生物证书发行者和生物证书序列号判断是否匹配。

如果所述扩展标识包括实体名称列表和对象摘要信息，则根据对象摘要信息判断是否匹配。

所述生物证书为第二类生物证书时，假设扩展标识中包括生物证书序列号，判断是否匹配的过程为：

服务提供单元判断访问请求中携带的生物证书是否为扩展标识中的生物证书序列号指示的第二类生物证书，若是则匹配，若不是则不匹配。

或者，服务提供单元获取扩展标识中的生物证书序列号指示的第二类生物证书，并判断所获取的第二类生物证书和访问请求中携带的生物证书是否相同，若相同则匹配，若不同则不匹配。

经过上述处理，生物认证和权限认证实现了无缝结合，从而提供了准确可靠的权限管理。

从图 4看出，本发明可以对属性证书的使用做进一步扩展，利用生物算法证书灵活地提供生物识别参数，使得属性证书中具有不同权限特性的属性，能够得到不同严格程度的生物认证。所述生物识别参数包括生物类型、识别算法、误匹配率、重试次数、生物数据质量等。在实际应用时，可以设置与生物识别参数对应的安全级别，通过安全级别控制生物认证的严格程度。

所述生物算法证书（Biometric Algorithm Certificate, BAC )指的是记录有生物认证权威机构颁发的各种生物识别参数的证书。在本发明一个具体实例中，生物算法证书的格式如图 5所示，包括：版本、序列号、有效期、发行者、安全级别列表、扩展信息、发行者签名。其中，版本、序列号、有效期、发行者的定义与生物证书中的对应参数类似，此处不再赘述。

所述发行者签名指的是由以下至少一个参数生成的数字签名，所述参数包括基于话单鉴权（TB A , Ticket Based Authentication )的私钥对序列号、有效期、发行者及其唯一标识、生物类型及其唯一标识、识别算法及其唯一标识、安全级别列表、扩展信息。结构口下：

BioSecLevelList ATTRIBUTE：: = {

WITH SYNTAX SecurityLevelBioRefLIST

ID id-at-bioSecLevelList}

SecurityLevelBioRefLIST：: = SEQUENCE{

securityLevelNum INTEGER,

securityLevelBioRef SecurityLevelBioRef}

SecurityLevelBioRef :: = SEQUENCE{

biometricSecurityLevelBiometricSecurityLevel,

policy Policy,

biometricPara BiometricPara}

BiometricSecurityLevel：: = SEQUENCE{

uniqueldentifierOfflioParalnfo CSTRING,

securityDegree INTEGER}

BiometricPara：: = SEQUENCE {

biometricNUM INTEGER OPTION,

biometricType BiometricType—CBEFF defined type—.

biometricAlgorithm Algorithmldentifier,

requestFMR BioAPIFMR,

trialNumber INTEGER OPTIONAL,

requestQuality INTEGER OPTIONAL

...} 其中， biometricType: 生物类型，即生物认证采用何种类型的生物特征数据，比如指紋、虹膜、语音等； biometricAlgorithm: 某种类型的生物特征数据的识别算法； requestFMR: 误匹配率，即每次生物认证允许的错误概率； trialNumber: 某次生物认证失败后，允许用户进行重试的次数； requestQuality: 用户输入的生物特征数据的质量。

在安全级别相同的情况下，不同的生物类型和识别算法要求的参数都是不同的。

再有，对于属性证书中每个设置有权限特性的属性，都定义一个与之对应的生物认证的安全级别。一般而言，权限越高的属性，其安全级别也越高，即对于生物认证的要求越严格，以便更好地保障资源的安全性。

这种属性权限和安全级别的对应关系可以直接通过改造属性的定义来实现。比如，在 X.501| ISO/ IEC9594-2中对属性定义如下:

Attribute：: = SEQUENCER

Type ATTRIBUTE.&id({SupportedAttributes}),

Values SET SIZE(0..MAX) OF ATTRIBUTE.&TYPE

( { Supported Attributes } {@type}),

values WithContext SET SIZE(L.MAX) OF SEQUENCE{

value ATTRIBUTE.&Type({SupportedAttributes} {@type}), contextList SET SIZE(L.MAX) OF Context} OPTIONAL}

其中， Type是属性的类别信息， Value是 Type对应的数值， Context 是其他与应用能力相关的信息。在 X.501| ISO/ IEC9594-2中， Context 的格式如下：

Context :: = SEQUENCE{

contextType CONTEXT.&id({SupportedContexts}),

contextValues SET SIZE(L.MAX) OF CONTEXT.&Type({Supported

Contexts} {@contextType}),

fallback BOOLEAN DEFAULT FALSE} 其中， contextType 是对象描述符（OBJECT IDENTIFIER) , contextValues是 contextType只于应的数值, fallback表示属性和 contextType 的对应关系。比如，可以利用 Context表示一个属性对应的生物认证的安全级别，其中的 contextType表示生物认证的安全级别， contextValues 为该安全级别的数值。

在本发明的另一个实施例中，用户可以访问资源数据库来获取所需信息，该资源数据库是受到权限管理的。因此，预先将有权访问该资源数据库的所有用户的生物特征数据构造一个生物特征模板存放到生物证书中，并在属性证书中为每个具有权限特性的属性设置对应的安全级别。该实施例的信息安全认证过程如图 6所示，包括以下步骤：

步骤 601: 客户端向服务提供单元发出访问请求，要求访问一个资源数据库，该请求携带生物证书和设置有扩展标识的属性证书。

步骤 602:服务提供单元检查该属性证书和生物证书是否关联，即检查生物证书和属性证书中的扩展标识是否匹配；若二者不匹配，服务提供单元给客户端返回拒绝的响应信息，该流程结束；若二者匹配，执行步骤 603。

步骤 603: 服务提供单元给客户端返回成功的响应信息。

步骤 604:采集单元采集用户的生物特征数据，发送给服务提供单元。步驟 605: 服务提供单元向身份认证单元发送身份认证请求，携带生物特征数据和记录有安全信息列表的生物算法证书。

步骤 606:身份认证单元根据属性证书中每个属性对应的安全级别查找生物算法证书的安全信息列表, 获得执行本次生物认证所需的生物识别参数。之后，身份认证单元根据生物识别参数对该用户进行身份认证，即判断生物证书中的生物特征模板和采集到的生物特征数据能否符合该生物识别参数的匹配要求。步骤 607: 身份认证单元将身份认证结果发送给服务提供单元；如果身份认证失败，服务提供单元通知用户身份认证失败，该流程结束；如果身份认证成功，执行步骤 608。

步骤 608: 服务提供单元发出权限认证请求给权限认证单元，携带属性证书。

步骤 609〜610：权限认证单元根据属性证书对客户端进行权限认证，并将权限认证结果发给服务提供单元。

步骤 611 : 服务提供单元通知用户本次访问请求的认证结果。如果用户通过认证，就可以对资源数据库进行访问，获取所需信息。

在本发明的其他实施例中，可以根据实际需要执行图 4或图 6所示流程中的一个或多个步驟，即上述流程中的步骤可以根据实际需要选择执行，并不都是必不可少的。

比如，设置生物算法证书，用于记录安全级别和生物识别参数的对应关系。在用户发出的访问请求中携带属性证书，该属性证书中为具有不同权限特性的属性设置有对应的安全级别。即，将属性证书和生物算法证书关联。

之后，利用生物证书和生物特征数据对该用户进行身份认证时，根据属性证书中的属性对应的权限特性，确定该属性的安全级别，从而获取对应的生物识别参数，并判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求。

图 7是本发明一个实施例中信息安全认证系统的结构示意图，该系统包括客户端、服务提供单元、身份认证单元和权限认证单元。

所述客户端用于向服务提供单元发起访问请求，和 /或接收来自服务提供单元的身份 /权限认证结果。所述访问请求包含生物证书和设置有扩展标识的属性证书，其中的扩展标识设置在属性证书的基本扩展信息内。所述生物证书可以是第一类生物证书，也可以是第二类生物证书，本发明并不加以限制。

所述服务提供单元用于接收访问请求，判断该请求中携带的属性证书和生物证书是否关联, 请求身份认证单元进行身份认证 , 接收来自身份认证单元的身份认证结果，再将身份认证结果返回给客户端，和 /或请求权限认证单元进行权限认证，接收来自权限认证单元的权限认证结果，再将权限认证结果返回给客户端。

所述身份认证单元用于根据生物证书进行身份认证。所述权限认证单元用于根据属性证书对客户端进行权限认证。

以上所述的服务提供单元、身份认证单元和权限认证单元均为逻辑实体，这三个单元可以位于同一个物理实体上, 也可以分别位于不同的物理实体上。

图 8显示的是本发明另一个实施例中的信息安全认证系统，该系统包括：生物数据采集单元、身份认证单元、权限认证单元、服务提供单元。

所述生物数据采集单元用于采集用户的生物特征数据。

所述身份认证单元用于根据采集到的生物特征数据、生物证书和生物识别参数认证某个用户的身份，即判断采集到的生物特征数据和生物证书中的生物特征模板是否匹配。

所述权限认证单元用于根据属性证书对某个用户进行权限认证，即判断该用户是否有权限使用某个服务。

所述服务提供单元用于为通过认证的用户提供服务，比如允许该用户访问受权限管理的资源数据库等。

在本发明的又一个具体实例中，客户端可以发出携带有属性证书的访问请求，该属性证书为具有不同权限特性的属性设置有对应的安全级别；

服务提供单元，用于获取生物算法证书和客户端输入的生物特征数据，所述生物算法证书记录有安全级别和生物识别参数的对应关系；根据属性证书中的属性对应的权限特性，确定该属性的安全级别，从而获取对应的生物识别参数；请求身份认证单元根据生物证书进行身份认证，或者请求权限认证单元根据属性证书进行权限认证。

身份认证单元利用生物证书对输入生物特征数据的客户端进行身份认证时，判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求。

以上所述，仅为本发明的实施例，并非用于限定本发明的保护范围。

Claims

权利要求书

1、一种信息安全认证方法，其特征在于，该方法包括：

接收用户的访问请求，该请求携带设置有扩展标识的属性证书，所述扩展标识指示与所述属性证书关联的生物证书；

获取生物证书，根据扩展标识判断所获取的生物证书是否与访问请求中的属性证书关联，若所述生物证书与所述属性证书关联，则获取用户的生物特征数据，根据生物特征数据和该生物证书进行身份认证；

利用属性证书进行权限认证；

根据身份认证结果和权限认证结果对用户的访问进行控制。

2、根据权利要求 1所述的方法，其特征在于，所述扩展标识包括：生物证书发行者和生物证书序列号;

所述判断所获取的生物证书是否与属性证书关联包括：判断生物证书中记录的生物证书发行者和生物证书序列号，和扩展标识中的生物证书发行者和生物证书序列号是否相同，若相同则该生物证书与所述属性证书关联。

3、根据权利要求 1所述的方法，其特征在于，所述扩展标识包括：包含至少一个主体及其唯一标识的实体名称列表；

所述判断所获取的生物证书是否与属性证书关联包括：判断生物证书中记录的主体及其唯一标识是否包含在扩展标识的实体名称列表内，若包含则该生物证书与所述属性证书关联。

4、根据权利要求 1所述的方法，其特征在于，所述扩展标识包括：对象摘要信息；

所述判断所获取的生物证书是否与属性证书关联包括：根据生物证书中记录的生物证书序列号、有效期、主体及其唯一标识、发行者及其唯一标识、模板格式标识、生物特征模板以及扩展信息计算摘要信息，判断计算出的摘要信息与扩展标识中的对象摘要信息是否一致，若一致则该生物证书与所述属性证书关联。

5、根据权利要求 1所述的方法，其特征在于，所述扩展标识包括以下至少一项信息：生物证书发行者和生物证书序列号、实体名称列表、对象摘要信息。

6、根据权利要求 5所述的方法，其特征在于，所述对象摘要信息根据生物证书序列号、有效期、主体及其唯一标识、发行者及其唯一标识、模板格式标识、生物特征模板以及扩展信息中的至少一个参数计算获得。

7、根据权利要求 1至 6任一项所述的方法，其特征在于，所述扩展标识设置在属性证书的基本扩展信息内。

8、根据权利要求 1所述的方法，其特征在于，进一步包括：为属性证书中具有不同权限特性的属性设置对应的安全级別；获取生物算法证书，所述生物算法证书记录有安全级别和生物识别参数的对应关系；

所述根据生物特征数据和生物证书进行身份认证 , 包括：根据属性证书中的属性对应的权限特性，确定该属性的安全级别，从而获取对应的生物识别参数；

判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求，如果达到则身份认证成功，如果没达到则身份认证失败。

9、根据权利要求 8所述的方法，其特征在于，所述生物识别参数为生物类型、识别算法、误匹配率、重试次数或生物数据质量。

10、一种信息安全认证方法，其特征在于，该方法包括：接收用户发出的携带有属性证书的访问请求，该属性证书为具有不同权限特性的属性设置有对应的安全级别；

获取生物算法证书，所述生物算法证书记录有安全级別和生物识别参数的对应关系；

根据属性证书中的属性对应的权限特性，确定该属性的安全级别，从而获取对应的生物识别参数；

获取生物证书和该用户的生物特征数据进行身份认证，判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求；

利用属性证书进行权限认证；

根据身份认证结果和权限认证结果控制用户访问所请求的信息。

11、根据权利要求 10所述的方法，其特征在于，所述生物识别参数包括生物类型、识别算法、误匹配率、重试次数或生物数据质量。

12、一种信息安全认证系统，其特征在于，包括：

客户端，用于向服务提供单元发起访问请求，该请求携带设置有扩展标识的属性证书；接收来自服务提供单元的认证结果；

服务提供单元，用于获取生物证书，判断所获取的生物证书是否与访问请求中的属性证书关联；请求身份认证单元根据生物证书进行身份认证 , 或者请求权限认证单元根据属性证书进行权限认证；

身份认证单元，用于根据生物证书进行身份认证；

权限认证单元，用于根据属性证书进行权限认证。

13、根据权利要求 12所述的系统，其特征在于，进一步包括：生物数据采集单元，用于采集用户的生物特征数据，将所述生物特征数据发送给所述服务提供单元。

14、一种信息安全认证系统，其特征在于，包括：

客户端，用于向服务提供单元发出携带有属性证书的访问请求，该属性证书为具有不同权限特性的属性设置有对应的安全级别；接收来自服务提供单元的认证结果；

服务提供单元，用于获取生物算法证书和客户端输入的生物特征数据，所述生物算法证书记录有安全级别和生物识别参数的对应关系；请求身份认证单元根据生物证书进行身份认证，或者请求权限认证单元根据属性证书进行权限认证；居属性证书中的属性对应的权限特性，确定该属性的安全级别，获取对应的生物识别参数；

身份认证单元，用于利用生物证书对输入生物特征数据的客户端进行身份认证，判断生物特征数据和生物证书的匹配程度是否达到生物识别参数的要求。