CN102223233A - 一种生物密码认证系统，以及一种生物密码认证方法 - Google Patents

Abstract

一种生物密码认证系统，以及一种生物密码认证方法把在便携存储介质上登记的生物数据划分至少2个以上不同的数据区段，随机选取其中部分数据区段的启始和终止位置，提取到服务器数据库登记保存为生物密码(组)；所述的启始和终止位置信息作为信息位密码也登记到服务器数据库文件中；验证时候，根据ID识别号，在所述登记的生物数据中查找数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的数据区段的启始和终止位置信息；然后所述数据区段的启始和终止位置信息与登记的所述ID识别号信息位密码对应比对验证；当用所述ID识别号的生物密码和信息位密码验证所述ID识别号的登记生物数据比对一致，验证成功，当比对不一致，验证失败结束。

Description

一种生物密码认证系统,以及一种生物密码认证方法

技术领域

本发明属于安全生物特征识别和密码技术领域，特别涉及一种利用个体终端登记的生物特征数据，提取生物密码登记到服务器来对个体进行身份认证的生物认证系统和方法，

背景技术

现有指纹应用案例中，指纹认证在数码终端产品的应用似乎与网络服务器端应用是相互独立的。例如，在指纹笔记本电脑上、指纹USB key或指纹智能手机等终端上登记的指纹样本(一般需要登记三次取其最好)，只能对终端的访问控制进行验证或身份认证；而对网络服务器端的访问控制验证，同一指还需要重复登记指纹到服务器。实际上同一个手指的指纹信息是恒定不变和唯一的。由于网络(特别是互联网)远程操作的不稳定性，可能导致在服务器上登记指纹样本的失败率比较高，特别是应用滑动式指纹传感器进行登记的时候，导致原本应该比密码认证简单和安全的指纹网络认证，使用起来反而感觉变麻烦了。用户网络登记指纹出现麻烦，会影响用户在服务器端指纹认证应用的体验和普及。

另外，由于担心登记到网络服务器上的个人指纹样本的隐私信息(不论是否是指纹图象还是指纹特征数据)存在客观上泄露风险，人们也会消极看待(甚至抵触)指纹认证技术的网络应用。传统的指纹识别系统大部分采用细节点作为识别特征，并且把细节点位置和方向存储到模板中用于比对。系统中存储的是原始的细节点坐标和方向值，同一个生物特征模板应用于不同的系统时，可以通过比对生物特征模板找到共同的注册用户，也可以通过其中一个系统的生物特征模板获得其他系统同一个手指的生物特征模板，从而威胁用户的个人隐私安全。甚至，随着硬件攻击和破解技术的发展，整个指纹特征识别系统的安全性就有可能完全暴露在黑客的攻击范围中，从而使得用户身份的安全性和隐私性受到威胁。专利申请号200910091956.6“一种指纹细节点特征模板的保护方法”提出了对集中登记的生物特征模板的加密保护措施。

对集中登记的指纹模板的加密措施一般是采用对称加密或非对称加密方法。然而，在大规模应用情况下，维护加密系统本身的密钥安全和密钥更新的成本会随着用户规模扩大成几何倍数递增，并且系统的安全性在很大程度上取决于加密系统密钥的安全性。实际商业应用上只有电子护照这种政府项目可以承担保障个人生物特征数据隐私的维护成本。

发明内容

本发明的目的是：利用个人在数码终端已经登记的生物特征数据，在其上提取生物密码和信息位密码登记到服务器，验证所述生物特征数据登记的有效性，无需用户重复登记所述生物特征数据到服务器。

本发明的另一个目的是：登记到网络服务器的生物密码和信息位密码并不是生物特征数据本身，不会侵犯个人隐私，而且不同系统登记的生物密码和信息位密码是不同的，即使在一个系统上得到一个指纹的生物密码和信息位密码无法应用到另外一个系统，这有利于消除用户对个体隐私泄露问题的担忧和提高系统安全性和人性化。

本发明的又一个目的是：从数码终端上登记的生物信息的不同数据格式，提取的生物密码和信息位密码登记到服务器后，可以对所述生物特征数据登记的有效性进行双因子或多因子验证，保证了数码终端已经登记的生物特征数据的完整性和不可替换性，从而直接将其应用到服务器端作为登记生物特征数据进行生物特征认证，提高了整个网络认证系统的安全性和方便性。

为实现上述发明目的，按照本发明的第一方面，提供了一种终端具有生物传感器和服务器端具有生物特征比对模块的生物认证系统，该系统特点在于还包括有：

便携存储介质，用于个人保存具有ID识别号的生物数据登记；

指纹密码数据库文件，用于在服务器端保存从所述ID识别号的生物登记数据中提取出的生物密码(组)；

生物密码登记验证模块，在登记的时候，用于将标识的ID识别号和登记的生物数据一起绑定保存到便携存储介质上；把所述登记的生物数据划分至少2个以上的数据区段，随机选取其中部分数据区段的启始和终止位置，提取所述部分区段数据复制到指纹密码数据库文件中登记保存为生物密码(组)，提取所述生物密码(组)的数据区段位置信息作为信息位密码也登记保存，其中，登记的各项数据以所述生物登记数据的ID识别号进行标识；

在验证时候，根据ID识别号，在便携存储介质登记的所述生物数据中，查找在指纹密码数据库文件登记的所述ID识别号标识的生物密码(组)，得到匹配的数据区段的信息位的启始和终止位置信息；然后将所述数据区段信息位的位置信息与登记的所述ID识别号信息位密码对应比对验证；或者，根据所述ID识别号标识的信息位密码，从所述登记的生物数据中查找提取出所述信息位的数据区段，然后与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当所述ID识别号的生物密码和信息位密码验证所述登记的生物数据比对一致，则验证成功，然后将现场检测获得的待认证生物数据与便携存储介质上保存的所述ID识别号的登记生物数据，输入服务器端生物特征比对模块进行生物数据匹配比对验证；

当生物密码和信息位密码验证比对不一致，则验证失败结束。

在本发明中，优选的是，其中，由便携存储介质中登记的同一生物特征信息转换为不同编码的数据格式或转换为不同进制数值，并进行相应数据划分，从中分别随机提取其相应编码的数据格式或相应进制数值的生物密码(组)，连同相应信息位密码登记到指纹密码数据库文件；验证时候用所述生物密码(组)和信息位密码对同一生物登记信息的相对应的不同数据格式进行双因子或多因子比对验证；

在本发明中，优选的是，其中，登记的时候：不仅可以以登记的生物数据的特征点的有效描述表示数值为最小数据区段划分单位，将登记的生物特征模板，即生物特征提取的各类(细节)特征点描述的集合，划分为至少2个生物特征数值的小组，随机选取其中部分生物特征值小组的启始和终止位置，提取所述部分生物特征值小组复制到指纹密码数据库文件中登记为生物密码(组)，所述提取部分生物细节特征值小组的位置信息登记保存为信息位密码，其中，登记为生物密码(组)的生物特征小组包含的生物特征值不能充分认证一个人；

而且，还可以将所述便携存储介质登记的生物模板数据转换为单字节Byte的字符串格式数据，以单字节(即单字符)为最小数据划分单位，将所述登记生物数据划分为至少2个生物数据字符串区段，随机选取其中部分字符串区段的位置，提取所述部分字符串区段复制到指纹密码数据库文件中登记为第二生物密码(组)；所述提取部分的字符串区段的位置信息登记保存为第二信息位密码；

验证时候：可以首先进行生物特征值格式验证，从便携存储介质上登记的所述ID识别号的生物特征模板中查找匹配指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的各个生物特征小组位置信息，用所述登记的信息位密码与所述匹配的生物特征小组位置信息对应比对验证；或者，根据所述ID识别号标识的信息位密码----即提取出所述生物密码(组)的各个生物特征小组的启始和终止位置信息，从便携存储介质上登记的所述ID识别号的生物特征模板再次查找提取出生物特征小组，并与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当特征值格式验证比对不一致，验证失败结束；

当特征值格式验证比对一致验证成功，然后进行字符串格式验证；将便携存储介质上登记的所述ID识别号的生物模板同样编码方法转换为单字节Byte的字符串数据，从所述字符串数据中分别查找匹配指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的生物数据字符串区段位置信息，所述登记的第二信息位密码与所述匹配的生物数据字符串区段位置信息对应比对验证，或者，根据所述ID识别号标识的第二信息位密码----即提取出所述第二生物密码(组)的字符串区段的位置信息，从所述字符串再次查找提取出生物数据字符串区段，并与指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)对应比对验证；

当字符串格式验证比对不一致，验证失败结束；

当符串格式验证比对一致，验证也成功，也就是所述双因子的两个比对验证都成功，则将检测获得的待认证生物数据和便携存储介质上登记的所述ID识别号的生物数据，输入生物特征比对模块进行生物数据匹配比对；其中，双因子验证的先后顺序可以互换，即可以先进行字符串格式验证，后进行特征值格式验证；

同样方法，还可以将登记的生物数据转换为其它数据编码格式或数据表达类型来登记生物密码和信息位密码，并进行相应的双因子或多因子验证。

在本发明中，优选的是，其中，将登记的指纹模板数据转换为Base64格式字符串数据，并且平均划分为10至100个数据区段；

当以指纹细节特征数值为划分单位时，将所述登记的指纹模板平均划分为10-40个指纹细节特征数值小组在本发明中，优选的是，其中，验证时候，首先用公钥验证终端的生物数据检测模块本身的数字签名，其次，所述生物数据检测模块对其采集和处理后的生物数据用公钥进行加密后输出给服务器，最后，所述加密的生物数据传送给服务器的生物特征比对模块，用私钥解密所述生物数据后再进行生物匹配比对验证。

按照本发明的第二方面，提供一种生物认证方法，具有如下步骤：

登记的时候，将登记的生物数据和标识的ID识别号一起绑定保存到便携存储介质上登记；

把所述登记生物数据划分至少2个以上的数据区段；

随机选取其中部分的数据区段的启始和终止位置，提取所述部分数据区段复制到指纹密码数据库文件中登记保存为生物密码(组)；

所述提取生物密码(组)的位置信息作为信息位密码也进行登记，其中，登记的各项数据以所述登记生物数据的ID识别号进行标识；

验证时候，根据ID识别号，从便携存储介质上所述的登记生物数据中，查找指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的数据区段的启始和终止位置信息；

然后所述数据区段的位置信息与登记的所述ID识别号信息位密码对应比对验证；

或者，根据所述ID识别号标识的信息位密码，从便携存储介质上登记的所述生物数据中再次查找提取出所述数据区段，然后与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当用所述ID识别号的生物密码和信息位密码验证所述ID识别号的登记生物数据比对一致，验证成功，然后将现场检测获得的待认证生物数据与便携存储介质上保存的所述ID识别号的登记生物数据，输入生物特征比对模块继续进行生物数据匹配比对；

当比对不一致，验证失败结束。

在本发明中，优选的是，其中，便携存储介质中登记的同一生物特征信息转换为不同编码的数据格式或转换为不同进制数值，并进行相应数据划分，从中分别随机提取相应的生物密码(组)和信息位密码登记到服务器数据库文件；验证时候用所述生物密码(组)和信息位密码对同一生物登记信息的相对应的不同数据格式进行双因子或多因子比对验证；

在本发明中，优选的是，其中，登记的时候：不仅可以以登记的生物数据的特征点的有效描述表示数值为最小数据区段划分单位，将登记的生物特征模板，即生物特征提取的各类(细节)特征点描述的集合，划分为至少2个生物特征数值的小组，随机选取其中部分生物特征值小组的启始和终止位置，提取所述部分生物特征值小组复制到指纹密码数据库文件中登记为生物密码(组)，所述提取部分生物细节特征值小组的位置信息登记保存为信息位密码，其中，登记为生物密码(组)的生物特征小组包含的生物特征值不能充分认证一个人；

而且，还以字位bit比特为最小数据划分单位，将所述登记的生物数据的字位格式数据划分为至少2个生物数据区段，随机选取其中部分字位区段的位置，提取所述部分字位区段复制到指纹密码数据库文件中登记为第二生物密码(组)；所述提取部分的字位区段的位置信息登记保存为第二信息位密码；

验证时候：可以首先进行生物特征值格式验证，从便携存储介质上登记的所述ID识别号的生物特征模板中查找匹配指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的各个生物特征小组位置信息，用所述登记的信息位密码与所述匹配的生物特征小组位置信息对应比对验证；或者，根据所述ID识别号标识的信息位密码----即提取出所述生物密码(组)的各个生物特征小组的启始和终止位置信息，从便携存储介质上登记的所述ID识别号的生物特征模板再次查找提取出生物特征小组，并与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当特征值格式验证比对不一致，验证失败结束；

当特征值格式验证比对一致验证成功，然后进行字位格式验证，从所述字位格式数据中分别查找匹配指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的生物数据字位区段位置信息，所述登记的第二信息位密码与所述匹配的生物数据字位区段位置信息对应比对验证，或者，根据所述ID识别号标识的第二信息位密码----即提取出所述第二生物密码(组)的字位区段的位置信息，从所述字位登记再次查找提取出生物数据字位区段，并与指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)对应比对验证；

当字位格式验证比对不一致，验证失败结束；

当字位格式验证比对一致，验证也成功，也就是所述双因子的两个比对验证都成功，则将检测获得的待认证生物数据和便携存储介质上登记的所述ID识别号的生物数据，输入生物特征比对模块进行生物数据匹配比对；其中，双因子验证的先后顺序可以互换，即可以先进行字位式验证，后进行特征值格式验证；

同样方法，还可以将登记的生物数据转换为其它数据编码格式或数据表达类型来登记生物密码和信息位密码，并进行相应的双因子或多因子验证；

在本发明中，优选的是，其中，当以指纹细节特征数值为划分单位时，将所述登记的指纹模板平均划分为10-40个指纹细节特征数值小组；

在本发明中，优选的是，其中，验证时候，首先用公钥验证终端的生物数据检测模块本身的数字签名，其次，所述生物数据检测模块对其采集和处理后的生物数据用公钥进行加密后输出给服务器，最后，所述加密的生物数据传送给服务器的生物特征比对模块，用私钥解密所述生物数据后再进行生物匹配比对验证。

按照本发明的技术方案实施，可以减少网络认证服务生物特征数据的重复登记操作，保障了网络认证服务对个人生物特征数据的保护隐私，降低了指纹模板的加密维护成本，而且通过对终端登记的生物信息的不同数据格式或不同数值类型的双因子或多因子验证，提高了生物认证系统的安全性。

附图说明

图1是本发明一种实施方式的生物认证系统的示意图；

图2说明了图1的生物认证系统的生物密码和信息位密码的登记处理步骤；

图3说明了图1的生物认证系统的生物密码和信息位密码的验证处理步骤；

具体实施方式

下面，按照指纹认证系统、指纹密码和信息位密码的登记处理步骤、指纹密码和信息位密码的验证处理步骤的顺序来说明本发明的实施方式。

指纹认证系统

图1是本发明一种实施方式的指纹认证系统的示意图。如图1所示，指纹认证系统包括：包含便携存储介质(存储器1-4)的指纹智能手机1、指纹密码数据库服务器2、指纹认证服务器3和数据线路100，其中：

指纹智能手机1包括数据输入/输出通讯接口1-0、指纹传感器1-1、指纹接口1-2、指纹数据检测模块.exe 1-3、存储器1-4、终端登记认证模块1-5。其中，

数据输入/输出通讯接口1-0，用于指纹智能手机1与数据线路100的数据通讯；

指纹传感器1-1，用于采集指纹原始图片；

指纹接口1-2，用于将采集的指纹图片数据输入指纹智能手机；

指纹数据检测模块.exe 1-3，用于对从指纹传感器1-1获得指纹图片，提取出指纹模板，并进行签名验证和加密处理；其中，首先用公钥验证指纹数据检测模块.exe 1-3本身的数字签名；其次，所述指纹数据检测模块.exe 1-3从指纹传感器1-1上采集的指纹原始图片上提取出指纹模板，并用公钥对所述指纹模板数据进行加密后输出；最后，所述加密的指纹模板输入指纹特征比对模块3-3，用私钥解密所述的加密指纹模板，并与指纹智能手机1上登记的所述ID识别号的指纹模板(例如：Id.iso)进行指纹特征匹配比对；另外，指纹数据检测模块.exe 1-3，也可以用于将终端存储器1-4上已经登记的指纹模板以网络ID识别号另外命名登记保存(例如：Id.iso)，实现指纹登记模板和ID识别号的绑定。

存储器1-4，作为便携存储介质，用于个人保存登记的指纹模板，或和以网络ID识别号命名另外保存的登记指纹模板；

终端登记认证模块1-5，用于对指纹智能手机1本身资源的使用权限进行身份认证的指纹登记和验证，其中，登记的时候将指纹传感器1-1采集的原始指纹图片，通过指纹接口1-2输入终端登记认证模块1-5，并提取指纹模板登记保存在存储器1-4；当认证使用指纹智能手机1终端本身资源的时候，检测待认证指纹，指纹传感器1-1采集的原始指纹图片，通过指纹接口1-2输入终端登记认证模块1-5，并提取指纹细节特征值数据，将所述指纹细节特征值与所述登记的指纹模板进行匹配比对；当指纹特征比对匹配成功，验证成功，允许使用指纹智能手机1本身资源，例如：保存数据到存储器1-4或调用指纹数据检测模块.exe 1-3；当匹配不成功，验证失败，拒绝对指纹智能手机1本身终端资源的操作；

指纹密码数据库服务器2包括指纹密码数据库文件2-1，用于不仅登记指纹密码(组)，而且登记第二指纹密码(组)，还登记信息位密码和第二信息位密码；其中，指纹密码(组)由从ID识别号指纹模板中随机提取出来的指纹特征值小组构成，第二指纹密码(组)由从所述指纹模板的字节流转换成Base64字符串格式后，随机提取出的部分字符串构成，信息位密码和第二信息位密码是相应指纹密码格式数据的提取位置或提取位置编号构成。

指纹认证服务器3包含数据输入/输出通讯接口3-0、CPU 3-1、指纹密码登记验证模块3-2、指纹特征比对模块3-3，其中，

数据输入/输出通讯接口3-0，用于指纹认证服务器3与数据线路100的数据通讯；

CPU 3-1，用于指纹认证服务器3上模块的控制和运算；

指纹密码登记验证模块3-2，在登记时候：

用于(用户首先需要通过指纹认证，以便获得对指纹智能手机1终端本身资源的使用权。)

调用指纹智能手机1终端上的指纹数据检测模块.exe 1-3，将指纹智能手机1的终端登记认证模块1-5已经登记在的存储器1-4上的指纹模板以网络ID识别号另外命名(例如：Id.iso)，并登记保存在便携存储介质，即指纹智能手机1的存储器1-4上；

一方面以2个指纹细节特征点的有效描述数值为划分单位，在指纹模板中划分出20个指纹细节特征值小组---也就是说该指纹模板包括40个特征值(通常指纹模板包含20-80个特征值)；见表1是一种指纹模板的数据结构，

表1

其中，指纹模式分类，核心点位置，特征点数目，和1#特征点数值、2#特征点数值、3#特征点数值……N#特征点数值都可以作为指纹特征数值一起参与小组的划分。

例如，具体划分为：

小组1：指纹模式分类、核心点位置；

小组2：特征点数目、1#特征点数值；

小组3：2#特征点数值、3#特征点数值；

小组4：4#特征点数值、5#特征点数值……

随机选取其中2个指纹特征值小组的小组位置编号，例如，随机选取了小组2和小组4，提取所述小组(特征点数目、1#特征点数值、4#特征点数值、5#特征点数值)复制到生物密码服务器2的数据库文件2-1中登记保存为指纹密码组；

所述指纹密码组被提取复制的小组位置编号信息(小组2和小组4)作为信息位密码也登记到服务器2数据库文件2-1中；其中，所述2个指纹密码(组)包含的总共4个生物细节特征值并不能完全充分认证一个人，指纹模板平均划分为10-40个左右的指纹细节特征数值小组；

另一方面，把所述登记的ID识别号指纹模板(例如：Id.iso)转换成Base64编码格式字符串；再以32个字符(即32字节)为单位，划分出若干字符数据区段；随机选取其中5个字符区段(每个字符区段包括32个字符)的启始和终止字符串位置编号，查找所述编号位置的字符区段并提取复制到数据库服务器2的数据库文件2-1中登记为第二指纹密码(组)；所述第二生物密码(组)提取的字符串的启始和终止位置编号信息作为第二信息位密码也登记到服务器2数据库文件2-1中，其中，登记的各项数据都以所述登记生物特征数据ID识别号进行标识；

Base64格式字符串指纹数据，均划分为10至100个左右的数据区段；

验证时候：

首先，从指纹智能手机1上登记的所述ID识别号的指纹模板(例如：Id.iso)中，分别查找匹配服务器2数据库文件2-1中登记的所述ID识别号标识的指纹密码(组)，即查找匹配所述2个指纹特征小组中的各2个指纹细节特征值，得到匹配的2个指纹特征小组的位置信息，所述登记的信息位密码与所述匹配的2个指纹特征小组位置信息对应比对验证，或者，根据所述ID识别号标识的信息位密码----即提取出所述指纹密码(组)的指纹细节特征小组的位置信息，从指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹数据再次提取出2个指纹特征小组的各2个指纹细节特征值，并与服务器2数据库文件2-1中登记的所述ID识别号标识的指纹密码(组)对应比对验证；

当所述比对验证失败，结束认证；

当所述指纹模板格式验证成功，继续下一步骤：将登记的指纹模板数据同样转换为Base64编码的字符串数据；然后，再以32个字符(即32字节)为数据划分单位，从指纹智能手机1的存储器1-4登记的所述ID识别号的指纹模板(例如：Id.iso)转换的Base64编码格式字符串数据中分别查找匹配服务器数2据库文件2-1中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的指纹特征数据字符区段启始位置信息和终止位置信息，所述登记的第二信息位密码与所述匹配的各个指纹字符串数据区段启始位置信息和终止位置信息对应比对验证；或者，根据所述ID识别号标识的第二信息位密码---即提取出所述第二生物密码(组)的字符区段启始和终止位置信息，从指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹模板(例如：Id.iso)转换的Base64字符串格式数据中再次查找提取出所述指纹数据的字符串区段，并与服务器2数据库文件2-1中登记的所述ID识别号标识的第二指纹密码(组)对应比对验证；

当所述比对验证失败，结束认证；

当所述比对验证成功，完成全部双因子验证，即对同一指纹模板信息(例如：Id.iso)的不同数据格式，进行双因子比对验证成功；

当所述双因子比对验证成功，将指纹检测模块.exe1-3现场检测和处理的待认证指纹特征数据与指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹模板(例如：Id.iso)输入指纹特征比对模块3-3进行指纹特征匹配比对；

指纹特征比对模块3-3，用于将指纹检测模块.exe 1-3提交的待认证的指纹特征数据，与存储器1-4上登记的以所述ID为文件名的指纹模板(例如：Id.iso)的指纹匹配比对；

数据线路100，用于指纹认证服务器3、作为便携存储介质的指纹智能手机1和指纹密码数据库服务器2之间的网络通讯。

指纹密码和信息位密码的登记处理

图2说明了图1的指纹认证系统的指纹密码和信息位密码的登记处理步骤。

步骤S201：开始指纹密码和信息位密码的登记流程；

步骤S202：将指纹手机已经登记的指纹模板以ID为名称另外命名登记保存(例如：12345.iso)；

步骤S203：一方面以2个指纹细节特征点的有效描述数值为划分单位，在指纹模板中划分出若干个指纹细节特征值小组；

步骤S204：随机选取其中2生物细节特征值小组(每组包含2个指纹细节特征值)的启始位置和终止位置，提取复制到指纹密码数据库服务器2的数据库文件2-1中登记保存为指纹密码(组)，

步骤S205：所述指纹密码(组)的提取启始和终止位置信息作为信息位密码也登记到服务器2数据库文件2-1中，其中，所述2个指纹密码(组)包含的总共4个生物细节特征值不能充分认证一个人；

步骤S206：另一方面，把所述登记的ID识别号指纹模板(例如：12345.iso)转换成单字节的字符串格式；

步骤S207：再以6个字符为单位，划分出若干数据字符区段；

步骤S208：随机选取其中5个字符区段(每个区段包括6个字符)的启始和终止位置，查找所述位置的字符区段并提取复制到数据库服务器2的数据库文件2-1中登记为第二指纹密码(组)

步骤S209：所述第二指纹密码(组)提取的启始和终止位置信息作为第二信息位密码也登记到服务器2数据库文件2-1中，其中，登记的各项数据都以所述登记生物特征数据ID识别号进行标识；

步骤S210：特征值格式的指纹密码/信息位密码，和字符串格式的指纹密码/信息位密码都登记成功后结束登记流程。

指纹密码和信息位密码的验证处理

图3说明了图1的指纹认证系统的指纹密码和信息位密码的验证处理步骤。

步骤S301：开始指纹密码和信息位密码的验证流程；

步骤S302：用特征值指纹密码验证信息位密码：首先，从指纹智能手机1上登记的所述ID识别号的指纹模板(例如：12345.iso)中，查找匹配服务器2数据库文件2-1中登记的所述ID识别号标识的指纹密码(组)，即查找匹配所述2个指纹特征小组中的各2个指纹细节特征值，得到匹配的2个指纹特征小组的启始位置信息和终止位置信息，然后用所述登记的信息位密码与所述匹配的2个指纹特征小组启始位置和终止位置信息对应比对验证；

步骤S303：或者，用特征值信息位密码验证指纹密码：根据所述ID识别号标识的信息位密码----即提取出所述指纹密码(组)的指纹细节特征小组的启始位置和终止位置信息，从指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹模板再次匹配查找提取出2个指纹特征小组的各2个指纹细节特征值，并与服务器2数据库文件2-1中登记的所述ID识别号标识的指纹密码(组)对应比对验证；

步骤S304：当特征值格式的指纹密码验证信息位密码，或信息位密码验证指纹密码验证成功，继续字符串格式(双因子)的验证S305，否则验证失败返回S301重新开始；

步骤S305：下一步骤，把所述登记的ID识别号指纹模板(例如：12345.iso)按照登记时同样的方法转换成单字节的字符串格式；

步骤S306：第二指纹密码验证第二信息位密码：从指纹智能手机1的存储器1-4登记的所述ID识别号的指纹模板(例如：12345.iso)转换的单字节字符串格式数据中查找匹配服务器数2据库文件2-1中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的生物特征数据字符区段启始位置和终止位置信息，所述登记的第二信息位密码与所述匹配的各个指纹数据字符串区段启始位置和终止位置信息对应比对验证；

步骤S307：或者，第二信息位密码验证第二指纹密码：根据所述ID识别号标识的第二信息位密码----即提取出所述第二生物密码(组)的字符区段启始位置和终止位置信息，从指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹模板(例如：12345.iso)转换的字符串格式数据中再次查找提取出所述指纹数据的字符区段，然后与服务器2数据库文件2-1中登记的所述ID识别号标识的第二指纹密码(组)对应比对验证；

步骤S308：当指纹数据的字符串格式的第二指纹密码验证第二信息位密码成功，或者，当第二信息位密码验证第二指纹密码验证成功，即字符串因子验证成功，完成全部双因子(特征值和字符串)验证，结束整个验证S309，否则验证失败返回S305；

完成全部双因子(特征值和字符串)验证，即对同一指纹模板信息(例如：12345.iso)的不同数据格式(特征值和字符串)，进行双因子比对验证成功，将指纹检测模块.exe1-3现场检测和处理的待认证指纹特征数据与指纹智能手机1的存储器1-4上登记的所述ID识别号的指纹模板(例如：12345.iso)，输入指纹特征比对模块3-3进行指纹匹配比对，从而完成整个指纹认证，其中，首先用公钥验证指纹数据检测模块.exe 1-3本身的数字签名；其次，所述指纹数据检测模块.exe 1-3从指纹传感器1-1上现场采集的指纹原始图片上提取出指纹模板，并用公钥对待认证指纹模板数据进行加密；最后，所述加密的指纹模板传输给指纹特征比对模块3-3，用私钥解密待认证的指纹模板，并与指纹智能手机1上登记的所述ID识别号的指纹模板(例如：12345.iso)进行指纹特征匹配比对；另外，指纹数据检测模块.exe 1-3，也可以用于将存储器1-4上终端登记的指纹模板以网络ID识别号命名登记保存(例如：12345.iso)。

虽然结合附图描述了本发明的实施例，但是本领域普通技术人员可以在所附权利要求的范围内作出各种变形或修改。例如，登记生物信息的不同数据格式或不同进制数值，从中提取对应的生物密码进行多因子验证，不同数据格式或不同进制数值可以是不同的文本编码方式，数值编码方式，还可以是不同的加密编码方式，或无损压缩编码等方式等；还可以变换其他的生物认证的方式，包括人体的手掌纹特征鉴别数据、脸谱特征识别数据、视网膜图象特征识别数据、掌纹识别数据、掌背静脉脉络图象识别数据、语言识别数据、笔迹识别数据，步态，DNA，等类似的生物特征数据。

生物认证服务器、数据库服务器和终端的硬件不仅仅可以是服务器，台式电脑，笔记本电脑，PDA，掌上电脑，平板，智能手机而且可以是专用的生物特征独立设备它们都是包括系统总线、CPU、存储器和输入/输出接口的常规计算机系统、微控制器系统或嵌入系统结构。；便携存储介质可以是U盘，Ukey，指纹USB key等，也可以集成到携存电子产品中。

说明书中所描述的只是该发明的具体实施方式，各种举例说明不对发明的实质内容构成限制，所属技术领域的普通技术人员在阅读了说明书后可以对以上所叙述的具体实施方式做修改或变形，而不背离发明的实质和范围。

Claims (10)

1.一种客户端具有生物传感器和服务器端具有生物特征比对模块的生物认证系统，该系统特点在于还包括有：

便携存储介质，用于个人保存具有ID识别号的生物数据登记；

指纹密码数据库文件，用于在服务器端保存从所述ID识别号的生物登记数据中提取出的生物密码(组)；

生物密码登记验证模块，在登记的时候，用于将标识的ID识别号和登记的生物数据一起绑定保存到便携存储介质上；把所述登记的生物数据划分至少2个以上的数据区段，随机选取其中部分数据区段的启始和终止位置，提取所述部分区段数据复制到指纹密码数据库文件中登记保存为生物密码(组)，提取所述生物密码(组)的数据区段位置信息作为信息位密码也登记保存，其中，登记的各项数据以所述生物登记数据的ID识别号进行标识；

在验证时候，根据ID识别号，在便携存储介质登记的所述生物数据中，查找在指纹密码数据库文件登记的所述ID识别号标识的生物密码(组)，得到匹配的数据区段的信息位的启始和终止位置信息；然后将所述数据区段信息位的位置信息与登记的所述ID识别号信息位密码对应比对验证；或者，根据所述ID识别号标识的信息位密码，从所述登记的生物数据中查找提取出所述信息位的数据区段，然后与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当所述ID识别号的生物密码和信息位密码验证所述登记的生物数据比对一致，则验证成功，然后将现场检测获得的待认证生物数据与便携存储介质上保存的所述ID识别号的登记生物数据，输入服务器端生物特征比对模块进行生物数据匹配比对验证；

当生物密码和信息位密码验证比对不一致，则验证失败结束。

2.根据权利要求1所述的生物认证系统，其中，

由便携存储介质中登记的同一生物特征信息转换为不同编码的数据格式或转换为不同进制数值，并进行相应数据划分，从中分别随机提取其相应编码的数据格式或相应进制数值的生物密码(组)，连同相应信息位密码登记到指纹密码数据库文件；验证时候用所述生物密码(组)和信息位密码对同一生物登记信息的相对应的不同数据格式进行双因子或多因子比对验证。

3.根据权利要求2所述的生物认证系统，其中，

登记的时候：不仅可以以登记的生物数据的特征点的有效描述表示数值为最小数据区段划分单位，将登记的生物特征模板，即生物特征提取的各类(细节)特征点描述的集合，划分为至少2个生物特征数值的小组，随机选取其中部分生物特征值小组的启始和终止位置，提取所述部分生物特征值小组复制到指纹密码数据库文件中登记为生物密码(组)，所述提取部分生物细节特征值小组的位置信息登记保存为信息位密码，其中，登记为生物密码(组)的生物特征小组包含的生物特征值不能充分认证一个人；

而且，还可以将所述便携存储介质登记的生物模板数据转换为单字节Byte的字符串格式数据，以单字节(即单字符)为最小数据划分单位，将所述登记生物数据划分为至少2个生物数据字符串区段，随机选取其中部分字符串区段的位置，提取所述部分字符串区段复制到指纹密码数据库文件中登记为第二生物密码(组)；所述提取部分的字符串区段的位置信息登记保存为第二信息位密码；

验证时候：可以首先进行生物特征值格式验证，从便携存储介质上登记的所述ID识别号的生物特征模板中查找匹配指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的各个生物特征小组位置信息，用所述登记的信息位密码与所述匹配的生物特征小组位置信息对应比对验证；或者，根据所述ID识别号标识的信息位密码----即提取出所述生物密码(组)的各个生物特征小组的启始和终止位置信息，从便携存储介质上登记的所述ID识别号的生物特征模板再次查找提取出生物特征小组，并与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当特征值格式验证比对不一致，验证失败结束；

当特征值格式验证比对一致验证成功，然后进行字符串格式验证；将便携存储介质上登记的所述ID识别号的生物模板同样编码方法转换为单字节Byte的字符串数据，从所述字符串数据中分别查找匹配指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的生物数据字符串区段位置信息，所述登记的第二信息位密码与所述匹配的生物数据字符串区段位置信息对应比对验证，或者，根据所述ID识别号标识的第二信息位密码----即提取出所述第二生物密码(组)的字符串区段的位置信息，从所述字符串再次查找提取出生物数据字符串区段，并与指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)对应比对验证；

当字符串格式验证比对不一致，验证失败结束；

当符串格式验证比对一致，验证也成功，也就是所述双因子的两个比对验证都成功，则将检测获得的待认证生物数据和便携存储介质上登记的所述ID识别号的生物数据，输入生物特征比对模块进行生物数据匹配比对；其中，双因子验证的先后顺序可以互换，即可以先进行字符串格式验证，后进行特征值格式验证；

同样方法，还可以将登记的生物数据转换为其它数据编码格式或数据表达类型来登记生物密码和信息位密码，并进行相应的双因子或多因子验证。

4.根据权利要求3所述的生物认证系统，其中，

将登记的指纹模板数据转换为Base64格式字符串数据，并且平均划分为10至100个数据区段；当以指纹细节特征数值为划分单位时，将所述登记的指纹模板平均划分为10-40个指纹细节特征数值小组。

5.根据权利要求3所述的生物认证系统，其中，

验证时候，首先用公钥验证终端的生物数据检测模块本身的数字签名，其次，所述生物数据检测模块对其采集和处理后的生物数据用公钥进行加密后输出给服务器，最后，所述加密的生物数据传送给服务器的生物特征比对模块，用私钥解密所述生物数据后再进行生物匹配比对验证。

6.一种生物特征认证方法，其特征在于执行如下步骤：

登记的时候，将登记的生物数据和标识的ID识别号一起绑定保存到便携存储介质上登记；

把所述登记生物数据划分至少2个以上的数据区段；

随机选取其中部分的数据区段的启始和终止位置，提取所述部分数据区段复制到指纹密码数据库文件中登记保存为生物密码(组)；

所述提取生物密码(组)的位置信息作为信息位密码也进行登记，其中，登记的各项数据以所述登记生物数据的ID识别号进行标识；

验证时候，根据ID识别号，从便携存储介质上所述的登记生物数据中，查找指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的数据区段的启始和终止位置信息；

然后所述数据区段的位置信息与登记的所述ID识别号信息位密码对应比对验证；

或者，根据所述ID识别号标识的信息位密码，从便携存储介质上登记的所述生物数据中再次查找提取出所述数据区段，然后与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当用所述ID识别号的生物密码和信息位密码验证所述ID识别号的登记生物数据比对一致，验证成功，然后将现场检测获得的待认证生物数据与便携存储介质上保存的所述ID识别号的登记生物数据，输入生物特征比对模块继续进行生物数据匹配比对；

当比对不一致，验证失败结束。

7.根据权利要求6所述的生物特征认证方法，其特征在于，其中：

便携存储介质中登记的同一生物特征信息转换为不同编码的数据格式或转换为不同进制数值，并进行相应数据划分，从中分别随机提取相应的生物密码(组)和信息位密码登记到服务器数据库文件；验证时候用所述生物密码(组)和信息位密码对同一生物登记信息的相对应的不同数据格式进行双因子或多因子比对验证；

8.根据权利要求7所述的生物特征认证方法，其特征在于：

其中，登记的时候：不仅可以以登记的生物数据的特征点的有效描述表示数值为最小数据区段划分单位，将登记的生物特征模板，即生物特征提取的各类(细节)特征点描述的集合，划分为至少2个生物特征数值的小组，随机选取其中部分生物特征值小组的启始和终止位置，提取所述部分生物特征值小组复制到指纹密码数据库文件中登记为生物密码(组)，所述提取部分生物细节特征值小组的位置信息登记保存为信息位密码，其中，登记为生物密码(组)的生物特征小组包含的生物特征值不能充分认证一个人；

而且，还以字位bit比特为最小数据划分单位，将所述登记的生物数据的字位格式数据划分为至少2个生物数据区段，随机选取其中部分字位区段的位置，提取所述部分字位区段复制到指纹密码数据库文件中登记为第二生物密码(组)；所述提取部分的字位区段的位置信息登记保存为第二信息位密码；

验证时候：可以首先进行生物特征值格式验证，从便携存储介质上登记的所述ID识别号的生物特征模板中查找匹配指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)，得到匹配的各个生物特征小组位置信息，用所述登记的信息位密码与所述匹配的生物特征小组位置信息对应比对验证；或者，根据所述ID识别号标识的信息位密码----即提取出所述生物密码(组)的各个生物特征小组的启始和终止位置信息，从便携存储介质上登记的所述ID识别号的生物特征模板再次查找提取出生物特征小组，并与指纹密码数据库文件中登记的所述ID识别号标识的生物密码(组)对应比对验证；

当特征值格式验证比对不一致，验证失败结束；

当特征值格式验证比对一致验证成功，然后进行字位格式验证，从所述字位格式数据中分别查找匹配指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)，得到匹配的生物数据字位区段位置信息，所述登记的第二信息位密码与所述匹配的生物数据字位区段位置信息对应比对验证，或者，根据所述ID识别号标识的第二信息位密码----即提取出所述第二生物密码(组)的字位区段的位置信息，从所述字位登记再次查找提取出生物数据字位区段，并与指纹密码数据库文件中登记的所述ID识别号标识的第二生物密码(组)对应比对验证；

当字位格式验证比对不一致，验证失败结束；

当字位格式验证比对一致，验证也成功，也就是所述双因子的两个比对验证都成功，则将检测获得的待认证生物数据和便携存储介质上登记的所述ID识别号的生物数据，输入生物特征比对模块进行生物数据匹配比对；其中，双因子验证的先后顺序可以互换，即可以先进行字位式验证，后进行特征值格式验证；

同样方法，还可以将登记的生物数据转换为其它数据编码格式或数据表达类型来登记生物密码和信息位密码，并进行相应的双因子或多因子验证。

9.根据权利要求8所述的生物特征认证方法，其特征在于：

其中，当以指纹细节特征数值为划分单位时，将所述登记的指纹模板平均划分为10-40个指纹细节特征数值小组。

10.根据权利要求8所述的生物特征认证方法，其特征在于

验证时候，首先用公钥验证终端的生物数据检测模块本身的数字签名，其次，所述生物数据检测模块对其采集和处理后的生物数据用公钥进行加密后输出给服务器，最后，所述加密的生物数据传送给服务器的生物特征比对模块，用私钥解密所述生物数据后再进行生物匹配比对验证。

Images