CN101902326A - 电子钥匙身份认证方法和装置 - Google Patents

Abstract

本发明涉及一种基于电子钥匙的身份认证方法和装置，属于计算机信息安全领域。该方法包括：人脸信息验证：电子钥匙装置采集用户的人脸信息，将人脸信息发送至身份认证系统，身份认证系统对人脸信息进行验证，如果验证失败，则返回身份认证失败的信息；如果通过，则进行下一步；电子钥匙身份认证，如果认证通过，则返回身份认证通过的信息，确定当前用户是合法用户；否则，返回身份认证失败的信息。本发明中解决了PIN码和电子钥匙被同时盗用的问题；解决了网络交易系统没有网络交易者的人脸信息可供后续追踪的问题；提高了电子钥匙技术上被破解和复制的难度。

Description

电子钥匙身份认证方法和装置

技术领域

本发明属于计算机信息安全领域，尤其是涉及一种基于电子钥匙的身份认证方法和装置。

背景技术

随着互联网的兴起，网上银行、网络交易、电子政务等应用非常普遍，网络上的身份认证是这些网络应用的关键。网络上的身份认证方法有：

1、使用用户名/密码：该方法主要针对保护非关键性的系统。但是由于密码是静态的数据，容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。

2、使用IC卡：该IC卡是一种内置集成电路的芯片，芯片中存有与用户身份相关的数据。IC卡由合法用户随身携带，登录时必须将IC卡插入专用的读卡器读取其中的信息，以验证用户的身份。但是，芯片中的相关数据信息容易被驻留内存的木马或网络监听等黑客技术窃取和IC卡被盗用。

3、使用动态口令：动态口令是一种让用户密码按照时间或使用次数不断变化、每个密码只能使用一次的技术。由于每次使用的密码必须由动态令牌或动态密码卡来产生，只有合法用户才持有该硬件或卡，而认证服务器端也依照同样的规则动态产生相同的密码，所以只要用户输入的密码和认证服务器的密码一致就认为该用户的身份是可靠的。但前提是持有的硬件或卡不被盗用。

4、使用电子钥匙：电子钥匙，以下简称USB Key，是一种USB接口的硬件存储设备。电子钥匙USB Key的外形跟普通的U盘差不多，不同的是，它里面存放了单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用电子钥匙USB Key内置的公钥算法可以实现对用户身份的认证。

在安全要求比较高的场合，普遍采用电子钥匙USB Key作为身份认证。每一个电子钥匙USB Key都具有硬件PIN码保护，PIN码和硬件构成了网络交易者使用电子钥匙USB Key的两个必要因素，即所谓″双因子认证″。网络交易者只有同时取得了电子钥匙USB Key和网络交易者PIN码，才可以登录系统。即使网络交易者的PIN码被泄漏，只要网络交易者持有的电子钥匙USB Key不被盗取，合法网络交易者的身份就不会被仿冒。如果网络交易者的电子钥匙USB Key遗失，拾到者由于不知道网络交易者PIN码，也无法仿冒合法网络交易者的身份。但是，如果PIN码和电子钥匙被同时窃取，会给安全要求比较高的系统，特别是企业用户带来致命的危险。而且，电子钥匙产品最早是由加密锁厂商提出来的，原先的USB加密锁主要用于防止软件破解和复制，保护软件不被盗版，而电子钥匙USB Key主要用于网络认证，锁内主要保存数字证书和网络交易者私钥。电子钥匙USB Key采用商用的加密芯片USB加密锁易被破解和复制。另外，由于网络是非面对面的方式，非法用户可以通过电子钥匙USB Key侵入网络交易系统，盗取相关数据。

发明内容

本发明所要解决的技术问题在于提供一种电子钥匙身份认证方法和装置，用以解决现有技术中存在的上述问题，提高技术上被破解和复制的难度。

为解决上述技术问题，本发明提供了一种电子钥匙身份认证方法，该方法包括：

人脸信息验证：电子钥匙装置采集用户的人脸信息，将人脸信息发送至身份认证系统，身份认证系统对人脸信息进行验证，如果验证失败，则返回身份认证失败的信息；如果通过，则进行下一步；

电子钥匙身份认证，如果认证通过，则返回身份认证通过的信息，确定当前用户是合法用户；否则，返回身份认证失败的信息。

为解决上述技术问题，本发明还提供了一种电子钥匙身份认证方法，该方法包括：电子钥匙身份认证，如果验证失败，则返回身份认证失败的信息；如果通过，则进行下一步；

人脸信息验证：电子钥匙装置采集用户的人脸信息，将人脸信息发送至身份认证系统，身份认证系统对人脸信息进行验证，如果认证通过，则返回身份认证通过的信息，确定当前用户为合法用户；否则，返回身份认证失败的信息。

为实现上述目的，本发明还提供了一种电子钥匙身份认证装置，该装置包括：

摄像模块，用于采集用户的人脸信息，并将采集的所述人脸信息通过主机模块发送给身份认证系统进行人脸信息验证；

主机模块，用于在身份认证系统对人脸信息验证通过后对存储的密钥运行加密算法以生成数字证书并将生成的数字证书发送给身份认证系统。

本发明中，通过摄像模块，拍摄网络交易者的人脸信息，与用户在登陆身份认证系统初始化时采集的人脸信息进行比对，解决了PIN码和电子钥匙被同时盗用的问题，即便盗用者拿到了PIN码和电子钥匙，因为人脸信息无法通过，一样无法登陆网络交易系统进行交易。同时，采集的人脸图像上传到网络交易系统中，解决网络交易系统没有网络交易者的人脸信息可供后续追踪的问题。主机模块的处理器可以采用非商用的SOC专用处理器来做加密处理器，该SOC技术的知情者极其有限，技术资料都不公开，这样大大提高了电子钥匙技术上被破解和复制的难度。

附图说明

图1为本发明的身份验证方法的工作流程图；

图2为本发明电子钥匙装置的第一实施例的结构示意图；

图3为本发明电子钥匙装置的第二实施例的结构示意图；

图4为本发明电子钥匙装置实施例的主机模块结构示意图；

图5为本发明电子钥匙装置实施例的摄像模块结构示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。在具体实施例中，用户为通过网络进行交易的网络交易者，进行身份认证的系统为网络交易系统。

图1为本发明的身份验证方法的工作流程图。如图1所示，网络交易者登录到网络交易系统中，电子钥匙USB Key的身份认证开始运行。网络交易者可以首先输入电子钥匙USB Key的PIN码，由身份认证系统对PIN码进行验证(101)，如果失败，则转到结束流程，返回身份认证失败的信息，如果PIN码通过，则进入下一步的流程。在该流程实施例中为人脸信息验证过程(102、103)。电子钥匙USB Key采集网络交易者的人脸图像，网络交易者通过显示的第一摄像头的画面调整来调整位置，直至第二摄像头采集到合格的红外人脸图像，上传到身份认证系统中(102)。身份认证系统进行人脸信息验证过程，将传送过来的网络交易者人脸信息和电子钥匙初始设置的人脸信息进行比对(103)，如果失败，则转到结束流程，返回身份认证失败的信息，如果通过，则进入下一步的电子钥匙USBKey身份认证过程(104、105、106)。电子钥匙USB Key调用电子钥匙初始设置的密钥，对密钥运行加密算法，生成数字证书(104)。数字证书生成后，电子钥匙USB Key发送数字证书至身份认证系统(105)。最后，身份认证系统验证网络交易者发来的数字证书(106)，如果失败则转到结束流程，返回身份认证失败的信息，如果通过则返回身份认证通过的信息，确定当前用户为合法用户，允许用户进一步操作如网络支付等。

可选地，对PIN码进行验证过程也可以在人脸信息验证过程和电子钥匙身份认证过程之间进行。具体地，先进行电子钥匙身份认证过程，如果验证失败，则返回身份认证失败的信息；如果通过，则进行人脸信息验证过程。

与上述技术方案不同，也可以先执行电子钥匙身份认证，后执行人脸信息验证，在此不再详述。

图2为本发明电子钥匙装置的第一实施例的结构示意图。如图2所示，本实施例中的电子钥匙装置包括外壳201，用于安放主机模块202和摄像模块等装置内的其它单元。主机模块202，位于外壳201的内部，用于存储私钥并运行加密算法以生成数字证书并将该数字证书发送给身份认证系统。摄像模块包括第一摄像头204、第二摄像头203和红外LED光源205。第一摄像头204可以位于外壳201的前部，用于采集网络交易者的红外人脸信息。第二摄像头203可以位于外壳201的前部，用于网络交易者本地端显示，调整好采集时的姿态和采集可见光人脸信息通过主机模块202上传到身份认证系统中。红外LED光源205，位于第一摄像头204的外围，用于补偿红外光源。PC-USB接口206，位于外壳201的侧边，用于电子钥匙USB Key装置与PC间的通讯，即电子钥匙USB Key通过该PC-USB接口206将人脸信息、根据密钥生成的数字证书传输到PC以及身份认证系统中。该电子钥匙USB Key身份认证装置还可以包括支架207，位于外壳201的底部，用于固定整机和调节摄像头的位置，达到合格的拍摄效果。

图3为本发明电子钥匙装置的第二实施例的结构示意图。如图3所示，电子钥匙装置包括外壳201，用来固定主机模块202和摄像模块等单元。主机模块202，位于外壳201的内部，用于存储私钥并运行加密算法以生成数字证书。与第一实施例不同的是，摄像模块包括第一摄像头204和红外LED光源205。第一摄像头204位于外壳201的前部，用于采集网络交易者的红外人脸信息。红外LED光源205，位于第一摄像头204的外围，用于补偿红外光源。PC-USB接口206，位于外壳201的侧边，用于电子钥匙USB Key装置与PC间的通讯，即通过该PC-USB接口206电子钥匙USB Key将人脸信息、根据密钥生成的数字证书传输到PC以及身份认证系统中。电子钥匙装置的第二实施例与电子钥匙装置的第一实施例的主要区别在于无第二摄像头和支架，以此用来适用于对电子钥匙的尺寸有要求的场合，对电子钥匙的成本要求高的场合或者对人脸成像图片显示质量要求不高的场合等等。

图4为本发明电子钥匙装置实施例的主机模块结构示意图。如图4所示，主机模块包括作为处理器的系统级芯片(System-on-Chip，以下简称：SOC)专用处理器401和USB接口模块。其中，系统级芯片SOC专用处理器401是专为电子钥匙定制的芯片，符合国家密码管理局制定的密码标准，只针对系统级的终端客户，不提供第三方开发支持，这就保证了芯片加密的硬件和软件技术限制在有限的范围内，大大提高芯片被破解和复制的难度，存储容量为8-128K Byte，用于存储密钥和运行加密算法以生成数字证书等。另外，该SOC专用处理器401提供一些该装置的控制功能，如USB开关控制，LED灯显示等。

USB接口模块用于向身份认证系统发送生成的数字证书以及摄像模块采集的人脸信息。具体地，USB接口模块可以包括：PC-USB接口206、第二摄像头USB接口405、第一摄像头USB接口406、SOCUSB接口和USB HUB控制器。第二摄像头USB接口405，用于第二摄像头与主机模块的可见光人脸数据通讯；。第一摄像头USB接口406，用于第一摄像头与主机模块的红外人脸数据通讯。SOC USB接口407，用于系统级芯片SOC专业处理器控制USB HUB控制器403使得PC-USB接口404与第二摄像头USB接口405、第一摄像头USB接口406、系统级芯片SOC USB接口407之间进行切换。

图5为本发明电子钥匙装置实施例的摄像模块结构示意图。如图5所示，第一摄像头包括红外滤光片501、镜头502、摄像板503和摄像模块USB接口504。红外滤光片501用于过滤可见光，只允许红外光线进入第一摄像头中，这样第一摄像头采集的图像就是红外图像，消除了环境光照对人脸识别的影响，而且检测的是活体性的人脸，能实现防伪的功能。镜头502，位于红外滤光片501的背面，用于光学成像。摄像板503，位于镜头502的后端，用于将光学图像转换为电子图像数据。摄像模块USB接口504，位于摄像板503中，用于向主机模块发送采集的红外人脸信息。以上所述结构为用于红外成像的第一摄像头的结构，第二摄像头的结构与第一摄像头的结构唯一的区别是第二摄像头没有红外滤光片501。第二摄像头用于可见光的人脸成像。网络交易者通过第二摄像头的图像信息来调整人脸位置，以便第一摄像头采集到合格的人脸红外信息，同时第二摄像头采集的网络交易者的可见光人脸信息，上传到网络交易系统中保存，以备系统的后续查看和追踪。

上述各实施例中，通过摄像模块采集网络交易者的人脸红外信息，与网络交易系统初始设置的人脸红外信息进行比对，消除了PIN码和电子钥匙被同时盗用的安全隐患。通过摄像模块采集网络交易者的可见光人脸信息，上传到网络交易系统中，使网络交易系统能保存当前网络交易者当时当地的人脸信息，以方便系统的后续追踪。通过主机模块保存私钥以及运行加密算法生成数字证书，提高了电子钥匙被破解和复制的难度。

可以认识到，本发明中所述电子钥匙验证过程并不限于在具体实施方式中提及的验证方式，而是可以采用现有技术中任何已有的电子钥匙验证过程。本发明中所述的身份认证系统仅为示例，本领域技术人员能够在现有电子钥匙身份认证系统的基础上进行多种方式的结构改进，只要使其具有人脸信息验证的功能即可。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制。尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种电子钥匙身份认证方法，其特征在于，包括：

人脸信息验证：电子钥匙装置采集用户的人脸信息，将人脸信息发送至身份认证系统，身份认证系统对人脸信息进行验证，如果验证失败，则返回身份认证失败的信息；如果通过，则进行下一步；

电子钥匙身份认证，如果认证通过，则返回身份认证通过的信息，确定当前用户是合法用户；否则，返回身份认证失败的信息。

2.根据权利要求1所述的方法，其特征在于，人脸信息验证之前还包括：由身份认证系统验证电子钥匙的PIN码，如果验证失败，则返回身份认证失败的信息，如果通过，则执行人脸信息验证。

3.根据权利要求1所述的方法，其特征在于，人脸信息验证之后，电子钥匙身份认证之前还包括：由身份认证系统验证电子钥匙的PIN码，如果验证失败，则返回身份认证失败的信息，如果通过，则执行电子钥匙身份认证。

4.根据权利要求1所述的方法，其特征在于，所述电子钥匙身份认证包括：

根据电子钥匙初始设置的密钥，生成数字证书；

向身份认证系统发送生成的数字证书；

身份认证系统对接收到的数字证书进行验证。

5.根据权利要求1所述的方法，其特征在于，所述身份认证系统对人脸信息进行验证包括：将采集的人脸信息与初始设置的人脸信息进行比对，判断是否一致，如果是，则人脸信息验证通过，执行电子钥匙身份认证；否则，返回身份验证失败的信息。

6.一种电子钥匙身份认证方法，其特征在于，包括：

电子钥匙身份认证，如果验证失败，则返回身份认证失败的信息；如果通过，则进行下一步；

人脸信息验证：电子钥匙装置采集用户的人脸信息，将人脸信息发送至身份认证系统，身份认证系统对人脸信息进行验证，如果认证通过，则返回身份认证通过的信息，确定当前用户为合法用户；否则，返回身份认证失败的信息。

7.一种电子钥匙身份认证装置，其特征在于，包括：摄像模块和主机模块，其中，

摄像模块，用于采集用户的人脸信息，并将采集的所述人脸信息通过主机模块发送给身份认证系统进行人脸信息验证；

主机模块，用于在身份认证系统对人脸信息验证通过后对存储的密钥运行加密算法以生成数字证书并将生成的数字证书发送给身份认证系统。

8.根据权利要求7所述的装置，其特征在于，所述摄像模块包括第一摄像头，用于采集用户的红外人脸信息。

9.根据权利要求7或8所述的装置，其特征在于，所述摄像模块包括第二摄像头，用于采集可见光人脸信息。

10.根据权利要求7所述的装置，其特征在于，所述主机模块包括：

处理器，用于存储私钥并运行加密算法生成数字证书；USB接口模块，用于向身份认证系统发送生成的所述数字证书以及所述摄像模块采集的人脸信息。

Images