CN102377759A - 业务处理系统、用户身份识别方法以及相关装置 - Google Patents

Abstract

本发明公开了一种业务处理系统、用户身份识别方法以及相关装置，用以解决现有技术用户身份信息在各个身份识别系统之间的无法通用的问题。该系统包括：身份识别设备，用于与用户身份存储设备进行双向认证；认证通过后，向身份管理服务器发送业务请求；身份管理服务器，用于为用户身份存储设备分配唯一全局标识，接收到业务请求后，根据该业务请求中的业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理业务请求的应用服务器，将所述业务请求发送给选择出的应用服务器；应用服务器，用于接收到转发的业务请求后，执行对应的业务处理。

Description

业务处理系统、用户身份识别方法以及相关装置

技术领域

本发明涉及计算机及通信技术领域，尤其涉及一种业务处理系统、一种用户身份识别方法、一种业务处理方法、一种双向认证方法、一种身份识别设备、一种身份管理服务器以及一种用户身份存储设备。

背景技术

为了确保合法用户的敏感信息，例如身份证号码、银行卡密码、银行卡中的金额、或者进入安全级别较高的地域的权限等等不被非法用户盗用，现有技术提供了各种用户身份识别技术，包括基于指纹、虹膜、心跳规律等生理特征的识别技术、基于密码口令的识别技术和基于对称或非对称密钥的识别技术等。

然而，上述现有的用户身份识别技术只是关注于如何识别用户的身份，而无法解决用户身份信息在各个身份识别系统之间的通用性问题；另一方面，随着人们环保意识的提高、以及出于提高业务处理效率的需求，使用包括集成电路(IC，Integrated Circuit)卡、用户识别模块(SIM，Subscriber Identity Module)等在内的用户身份存储设备来代替传统的纸质、现金业务办理方式已成为大势所趋。例如目前已用公交储值卡代替了公共交通工具上的现金购票程序、用医疗卡简化了繁复的医疗报销流程等等，这方面的应用很多，在这里不在一一列举。

上述用户身份信息无法在各个身份识别系统之间通用、以及用户身份存储设备的广泛使用状况造成了卡片以及卡片管理资源的很大浪费，例如现在各商场为了进行促销，往往会给客户发放用于积分或用于消费折扣的会员卡，但是各个商场(同属一个连锁机构的加盟店除外)的会员卡均无法通用。这就造成了每个商场都必须为用户发放该商场的会员卡，发卡量是惊人的，另外，对于用户而言，保存多个商场的会员卡非常不便。

发明内容

本发明实施例提供一种用户身份识别系统，用以解决现有技术用户身份信息在各个身份识别系统之间的无法通用的问题。

对应地，本发明实施例还提供了一种用户身份识别方法、一种业务处理方法、一种双向认证方法、一种身份识别设备、一种身份管理服务器以及一种用户身份存储设备。

本发明实施例提供的技术方案如下：

一种业务处理系统，包括身份管理服务器、应用服务器、身份识别设备和用户身份存储设备，其中：身份识别设备，用于基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备进行双向认证；在认证通过后，向身份管理服务器发送业务请求；身份管理服务器，用于为用户身份存储设备分配唯一全局标识，以及接收到业务请求后，根据该业务请求中的业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；将所述业务请求发送给选择出的应用服务器；应用服务器，用于接收到身份管理服务器转发的业务请求后，执行对应的业务处理。

一种业务处理方法，包括：应用服务器接收到身份管理服务器转发的用户身份识别设备发送的业务请求后，执行对应的业务处理，并将业务处理结果发送给所述身份识别设备。

一种用户身份识别方法，包括：身份识别设备基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备分别进行双向认证；以及在双向认证通过后，向身份管理服务器发送所述业务请求；身份识别设备接收所述业务请求对应的业务处理结果，并输出接收到的业务处理结果。

一种双向认证方法，包括：用户身份存储设备接收到身份识别设备发送的随机数获取请求后，生成随机数，并将生成的随机数发送给身份识别设备；以及基于预定密钥生成算法，根据生成的随机数生成第二密钥；用户身份存储设备接收到身份识别设备发送的第一预定信息和第一校验码后，基于预定加密算法，根据第二密钥对接收到的第一预定信息加密获得的第一校验码；以及在接收到的第一校验码和加密获得的第一校验码一致时，确定对第一校验码校验成功，并基于预定加密算法，根据第二密钥对第二预定信息加密获得第二校验码；用户身份存储设备将第二预定信息和第二校验码发送给所述身份识别设备。

一种用户身份识别方法，包括：身份管理服务器接收到身份识别设备发送的业务请求后，根据该业务请求中的业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理该接收到的业务请求的应用服务器；以及将所述业务请求发送给选择出的应用服务器处理。

一种双向认证方法，包括：第一设备向第二设备发送随机数获取请求；并

接收到第二设备对应反馈的随机数后，基于预定密钥生成算法，根据接收到的随机数生成第一密钥；以及基于预定加密算法，根据第一密钥对第一预定信息进行加密，获得第一校验码；第一设备将第一预定信息和第一校验码发送给所述第二设备；第二设备基于预定密钥生成算法，根据生成的随机数生成第二密钥，并在接收到第一设备发送的第一预定信息和第一校验码后，基于预定加密算法，根据第二密钥对接收到的第一预定信息加密获得的第一校验码；以及在接收到的第一校验码和加密获得的第一校验码一致时，确定对第一校验码校验成功；第二设备在校验成功后，基于预定加密算法，根据第二密钥对第二预定信息加密获得第二校验码；以及将第二预定信息和第二校验码发送给所述第一设备；第一设备接收到第二预定信息和第二校验码后，基于第一密钥对接收到的第二预定信息进行加密，获得第二校验码；以及在接收到的第二校验码和获得的第二校验码一致时，确定双向认证成功，否则确定双向认证失败。

一种身份管理服务器，包括：分配单元，用于为用户身份存储设备分配唯一全局标识；存储单元，用于存储各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识；接收单元，用于接收身份识别设备发来的业务请求；选择单元，用于根据接收单元接收到的业务请求中的业务标识、以及存储单元存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；转发单元，用于将接收单元接收到的业务请求发送给选择单元选择出的应用服务器。

一种身份识别设备，包括：认证单元，用于基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备进行双向认证；发送单元，用于在认证单元认证通过后，向身份管理服务器发送业务请求；接收单元，用于接收与发送单元发送的业务请求对应的业务处理结果；输出单元，用于输出接收单元接收到的业务处理结果。

一种用户身份存储设备，包括：随机数生成单元，用于接收到身份识别设备发送的随机数获取请求后，生成随机数，并将生成的随机数发送给身份识别设备；密钥生成单元，用于基于预定密钥生成算法，根据随机数生成单元生成的随机数生成密钥；接收单元，用于接收到身份识别设备发送的第一预定信息和第一校验码；第一加密单元，用于基于预定加密算法，根据密钥对接收单元接收到的第一预定信息加密获得的第一校验码；确定单元，用于在接收单元接收到的第一校验码和第一加密单元加密获得的第一校验码一致时，确定对第一校验码校验成功；第二加密单元，用于基于预定加密算法，根据密钥生成单元生成的所述密钥对第二预定信息加密获得第二校验码；发送单元，用于将第二预定信息和第二加密单元获得的第二校验码发送给所述身份识别设备。

一种应用服务器，包括：第一接收单元，用于接收身份管理服务器转发的用户身份识别设备发送的业务请求；执行单元，用于在第一接收单元接收到所述业务请求后，执行对应的业务处理；发送单元，用于将执行单元的业务处理结果发送给所述身份识别设备。

本发明实施例中用户身份存储设备和身份识别设备基于所述用户身份存储设备的唯一全局标识、和所述身份识别设备的标识相互进行双向认证成功后，向身份管理服务器发送包含所述业务标识的业务请求，身份管理服务器根据存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，确定处理所述业务请求的应用服务器，并将该业务请求路由到确定出的应用服务器，从而只需要使用一个用户身份存储设备就可以实现原本需要各个应用服务器分别对应的多个用户身份存储设备才能实现的业务，解决了现有技术不同身份系统之间的用户身份信息的通用性问题，提供了一种可行的用户身份识别系统。

附图说明

图1为本发明实施例提供的用户身份识别系统的结构示意图；

图2为本发明实施例的主要实现原理流程图；

图3a为本发明实施例中业务处理的原理示意图；

图3b为本发明实施例中业务处理的流程图；

图4为本发明实施例中用户身份存储设备A和身份识别设备B的双向认证过程的流程示意图；

图5为本发明实施例提供的身份管理服务器的结构示意图；

图6为本发明实施例提供的身份识别设备的结构示意图；

图7为本发明实施例提供的身份识别设备中认证单元的结构示意图；

图8为本发明实施例提供的用户身份存储设备的结构示意图；

图9a为本发明实施例提供的一种应用服务器的结构示意图；

图9b为本发明实施例提供的另一种应用服务器的结构示意图。

具体实施方式

由于现有的用户身份识别技术存在着不同身份系统之间的用户身份信息无法通用的问题，进而导致用户身份存储设备和用户身份信息管理资源的浪费。

本发明实施例提出的用户身份识别系统中由身份管理服务器为用户身份存储设备分配唯一的全局标识，并管理和维护身份识别设备的标识、应用服务器的标识、以及应用服务器提供的业务标识的对应关系。持有用户身份存储设备的用户、或者身份识别设备的管理人员等人员通过外部方式在身份识别设备上输入待处理业务的业务标识后，用户身份存储设备和身份识别设备相互进行双向认证，以及在认证成功后向身份管理服务器发送包含所述业务标识的业务请求，身份管理服务器根据存储的身份识别设备的标识、应用服务器的标识、以及应用服务器提供的业务标识的对应关系确定处理所述业务请求的应用服务器的标识，并将该业务请求路由到确定出的应用服务器的标识对应的应用服务器。

根据上述方法，使用同一个用户身份存储设备就可以处理多种业务，解决了不同身份系统之间的用户身份信息的通用性问题。

下面结合各个附图对本发明实施例技术方案的主要实现原理、具体实施方式及其对应能够达到的有益效果进行详细的阐述。

附图1为本发明实施例提供的用户身份识别系统的结构示意图，该用户身份识别系统包括身份管理服务器101、应用服务器102、身份识别设备103和用户身份存储设备104。其中：

用户身份存储设备104是能够安全存储用户身份的设备，例如为集成电路(IC，Integrated Circuit)卡、用户识别模块(SIM，Subscriber Identity Module)等。

身份管理服务器101，用于为每个用户身份存储设备104预先分配唯一的全局标识，并用于接收到身份识别设备103发来的业务请求后，根据存储的身份识别设备标识、业务标识与应用服务器标识的对应关系，确定能够处理所述业务请求的应用服务器，将该业务请求路由到确定出的应用服务器中；

身份识别设备103，用于基于用户身份存储设备104的唯一全局标识和该身份识别设备的标识，与用户身份存储设备104进行双向认证；在认证通过后，向身份管理服务器发送业务请求，接收并输出所述业务请求对应的业务处理结果。

如图2所示，本发明实施例的主要实现原理流程如下：

步骤10，持有用户身份存储设备的用户在身份识别设备上执行刷卡操作后，身份识别设备向身份管理服务器发送所述业务请求；

步骤20，身份管理服务器接收到身份识别设备发送的业务请求后，根据业务请求中携带有业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；

步骤30，身份管理服务器将所述业务请求发送给步骤30选择出的应用服务器；

步骤40，应用服务器接收到身份管理服务器转发的所述用户身份识别设备发送的业务请求后，执行对应的业务处理；

步骤50，应用服务器将业务处理结果发送给所述身份识别设备；

步骤60，身份识别设备输出步骤50中应用服务器发来的业务处理结果。

较佳地，出于安全性的考虑，在步骤10中，身份识别设备在用户刷卡操作后，发送业务请求之前，还包括：基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备分别进行双向认证；在双向认证成功后，向身份管理服务器发送业务请求。

较佳地，为了使应用服务器只为事先办理过业务开通手续的用户提供服务，提高应用服务器的处理效率和处理灵活性，用户身份存储设备需要在应用服务器上预先进行注册，这样应用服务器只向预先注册过的用户身份存储设备提供业务处理。具体地：

应用服务器接收用户身份存储设备发送的包含身份管理服务器预先为该用户身份存储设备分配的唯一全局标识的注册请求后，为所述用户身分存储设备分配一个局部标识，所述局部标识在该应用服务器分配的全部局部标识中是唯一的，并存储所述注册请求中包含的唯一全局标识和分配的所述局部标识的对应关系；

在步骤50中应用服务器接收到身份管理服务器转发的所述用户身份存储设备发送的业务请求后，从存储的用户身份存储设备和分配的局部标识的对应关系中查找到业务请求中包含的唯一全局标识对应的局部标识；并根据查找到的局部标识执行接收到的业务请求对应的业务处理；

由于通常应用服务器只向所有用户身份存储设备中的部分用户身份存储设备提供业务处理，因此局部标识所需的存储空间远远小于唯一全局标识所需的存储空间，例如总共发放了10000张用户身份存储设备，那么至少需要14bit来存储用户身份存储设备的唯一全局标识，而其中只有100张用户身份存储设备在应用服务器A中注册过，那么只需要7bit就可以存储局部标识了。

下面将依据本发明上述发明原理，详细介绍一个实施例来对本发明方法的主要实现原理进行详细的阐述和说明。

请参照附图3a所示，为本实施例提供的用户身份识别系统处理一个具体业务的示意图，应用服务器X的标识为PID_X，用于处理移动通信运营商提供的相关业务，例如话费查询业务C1和受理故障报告业务C2；应用服务器Y的标识为PID_Y，用于处理银行提供的相关业务，例如查询储蓄余额业务C3和转账业务C4。

附图3b为本实施例提供的用户身份识别系统处理一个具体业务的流程图。

步骤301，用户身份存储设备A向应用服务器X发送注册请求，申请成为该应用服务器的注册用户，该注册请求包含身份管理服务器预先为该用户身份存储设备分配的唯一全局标识UID_A；

例如，持有用户身份存储设备的用户在应用服务器X所属的营业厅通过在柜台上的POS机刷卡的方式发送注册请求；也可以通过向指定接收方号码发送短消息，并在短消息中携带唯一全局标识的方式发送注册请求；或者通过交互式语音应答(IVR)方式发送注册请求。

步骤302，应用服务器X接收到注册请求后，为用户身份存储设备A分配一个局部标识LUID_A，该局部标识在应用服务器X所分配的全部局部标识中是唯一的；

步骤303，应用服务器X存储注册请求中携带的唯一全局标识UID_A和步骤302中分配的局部标识LUID_A的对应关系；

步骤304，用户在需要使用业务标识为C1的业务时，首先在标识为DID_B的身份识别设备B上进行刷卡操作，从而触发了用户身份存储设备A和身份识别设备B的双向认证流程，双向认证流程的具体过程如附图4所示，在双向认证成功后，进入步骤305，否则处理结束；

步骤305，身份识别设备B向身份管理服务器发送业务请求，该业务请求中包含用户身份存储设备A的唯一全局标识UID_A和业务标识C1，其中C1是用户在认证成功后通过身份识别设备B输入的；

步骤306，身份管理服务器接收到身份识别设备B发送的携带有业务标识C1的业务请求后，从存储的身份识别设备标识、业务标识与应用服务器标识的对应关系中，选择出该身份识别设备的标识和业务请求中携带的业务标识对应的应用服务器标识；

在本实施例中身份管理服务器存储的身份识别设备标识、业务标识与应用服务器标识的对应关系如表1所示，其中第2行至第4行表明身份识别设备B访问应用服务器的策略，具体为身份识别设备B向应用服务器X发送业务C1、C2的业务请求、以及向应用服务器Z发送业务C10的业务请求，即身份识别设备B可以用于接受哪些业务的受理，或者也可以理解为应用服务器X可以处理身份识别设备B发来的业务C1的业务请求。

表1对应关系示例

身份识别设备标识	应用服务器标识	业务标识
			DIDB	PIDX	C1
DIDB	PIDX	C2
			DIDB	PIDZ	C10
DIDk	PIDY	C3
			DIDk	PIDY	C4
DIDk	PIDZ	C10

在本实施例中身份管理服务器确定身份识别设备的标识为DID_B、且业务标识为C1的记录中，应用服务器标识为PID_X，即标识为PID_X的应用服务器X可以用于处理业务C1。

步骤307，身份管理服务器将所述业务请求发送给标识PID_X对应的应用服务器X；

步骤308，应用服务器X接收到身份管理服务器发送的业务请求后，从存储的唯一全局标识和分配的局部标识的对应关系中查找到业务请求中包含的唯一全局标识UID_A对应的局部标识LUID_A；

当然，如果用户身份存储设备A预先未在应用服务器X中注册，那么此时应用服务器X无法查找到对应的局部标识，则应用服务器X向身份识别设备B发送无法为用户身份存储设备A提供业务C1的处理结果。

步骤309，应用服务器X根据查找到的局部标识LUID_A执行接收到的业务请求对应的业务处理，进入步骤310；

步骤310，应用服务器X将业务处理结果发送给所述身份识别设备B。

步骤311，身份识别设备B输出业务处理结果，例如在显示屏上显示业务处理结果或者打印业务处理结果等。

较佳地，在步骤306中身份管理服务器选择应用服务器标识时，所依据的身份识别设备的标识是携带在业务请求中的，或者是通过接收业务请求的通信连接获得；对应地，在步骤310中，当业务请求中携带有身份识别设备的标识时，应用服务器X可以根据业务请求中的身份识别设备的标识，查找到该身份识别设备B的地址，直接将业务处理结果发送给身份识别设备B；或者应用服务器X将业务处理结果发送给身份管理服务器，再由身份管理服务器转发给身份识别设备B。

附图4为本发明实施例中用户身份存储设备A和身份识别设备B的双向认证的流程示意图。

步骤401，标识为DID_B的身份识别设备B向用户身份存储设备A发送随机数获取请求；

步骤402，用户身份存储设备A生成一随机数RAND，并将该随机数返回给身份识别设备B；

步骤403，身份识别设备B接收到随机数RAND后，基于预定的密钥生成算法，根据随机数RAND生成会话密钥KS；

步骤404，身份识别设备B基于预定加密算法，根据会话密钥KS对第一预定信息(例如身份识别设备B的标识DID_B)进行加密处理，获得校验码MAC1；

步骤405，身份识别设备B将第一预定信息(自身的标识DID_B)和步骤404获得的校验码MAC1发送给用户身份存储设备A；

步骤406，用户身份存储设备A接收到身份识别设备B发来的DID_B和MAC1后，对MAC1进行校验，校验成功后说明用户身份存储设备A对身份识别设备B的认证通过，进入步骤407，否则处理结束；

具体校验过程为：

用户身份存储设备A基于预定的密钥生成算法，根据步骤402生成的随机数RAND，生成会话密钥KS’；

根据获得的会话密钥KS’，对身份识别设备B发来的DID_B进行加密处理，获得校验码MAC1’；

比较身份识别设备B发来的MAC1和加密处理获得的MAC1’是否一致，若是校验成功，否则校验失败。

步骤407，用户身份存储设备A基于预定加密算法，根据会话密钥KS’对第二预定信息(例如用户身份存储设备A的唯一全局标识UID_A)进行加密，获得校验码MAC2；

步骤408，用户身份存储设备A将第二预定信息(UID_A)和校验码MAC2发送给身份识别设备B；

步骤409，身份识别设备B接收到用户身份存储设备A发来的第二预定信息(UID_A)和校验码MAC2后，对MAC2进行校验，校验成功后说明身份识别设备B对用户身份存储设备A的认证通过，进入步骤410，否则处理结束；

具体校验过程为：

身份识别设备B基于步骤403生成的会话密钥KS，对用户身份存储设备A发来的第二预定信息(UID_A)进行加密处理，获得校验码MAC2’；

比用户身份存储设备A发来的MAC2和加密处理获得的MAC2’是否一致，若是校验成功，否则校验失败。

步骤410，双向认证成功。

附图4是以先由用户身份存储设备A对身份识别设备B的认证，认证通过后再由身份识别设备B对用户身份存储设备A的认证进行说明的；同理也可以先由身份识别设备B对用户身份存储设备A的认证，再由用户身份存储设备A对身份识别设备B的认证，其原理基本类似，在这里不再赘述。

另外，附图4中用户身份存储设备A和身份识别设备B之间进行的双向认证方法也同样适应于任何两个设备之间进行相互身份认证。

现有技术中每个身份识别系统都是由应用服务器、身份识别设备和该应用服务器对应的用户身份存储设备组成，用于若想要使用多个身份识别系统分别提供的业务，则必须依赖每个身份识别系统中应用服务器分别对应的用户身份存储设备才能完成。

本发明实施例中由身份管理服务器为用户身份存储设备分配唯一全局标识，用户身份存储设备和身份识别设备相互进行双向认证成功后，向身份管理服务器发送包含所述业务标识的业务请求，身份管理服务器根据存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，确定处理所述业务请求的应用服务器，并将该业务请求路由到确定出的应用服务器，从而只需要使用一个用户身份存储设备(一张卡)就可以实现原本需要各个应用服务器分别对应的多个用户身份存储设备(多张卡)才能实现的业务，解决了现有技术不同身份系统之间的用户身份信息的通用性问题，节省了用户身份存储设备的数量以及对多个用户身份存储设备管理所需的管理资源。并且对于用户来说，由于大大减少了需要随身携带的卡片数量，因而提高了便利性。

相应地，本发明实施例还提供了一种身份管理服务器，如图5所示，该装置包括分配单元501、存储单元502、接收单元503、选择单元504和转发单元505，具体如下：

分配单元501，用于为用户身份存储设备分配唯一全局标识；

存储单元502，用于存储各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识；

接收单元503，用于接收身份识别设备发来的业务请求；

选择单元504，用于根据接收单元503接收到的业务请求中的业务标识、以及存储单元502存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；

转发单元505，用于将接收单元503接收到的业务请求发送给选择单元504选择出的应用服务器。

身份管理服务器的功能可以由一台实体设备来完成，也可以有多个实体设备来分别完成。

本发明实施例还提供了一种身份识别设备，其结构示意图请参照附图6所示，具体包括认证单元601、发送单元602、接收单元603和输出单元604，其中：

认证单元601，用于基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备进行双向认证；

发送单元602，用于在认证单元601认证通过后，向身份管理服务器发送业务请求；

接收单元603，用于接收与发送单元602发送的业务请求对应的业务处理结果；

输出单元604，用于输出接收单元603接收到的业务处理结果。

较佳的，请参照附图7所示，附图6中的认证单元601具体包括随机数获取子单元701、密钥生成子单元702、第一加密子单元703、发送子单元704、接收子单元705、第二加密子单元706和确定子单元707，其中：

随机数获取子单元701，用于向用户身份存储设备发送随机数获取请求，并接收用户身份存储设备对应反馈的随机数；

密钥生成子单元702，用于基于预定密钥生成算法，根据随机数获取子单元701接收到的随机数生成密钥；

第一加密子单元703，用于基于预定加密算法，根据密钥生成子单元702生成的密钥对第一预定信息进行加密，获得第一校验码；

发送子单元704，用于向用户身份存储设备发送第一预定信息和第一加密子单元703获得的第一校验码；

接收子单元705，用于接收所述用户身份存储设备根据所述随机数和发送子单元704发送的第一预定信息对所述第一校验码校验成功后，发来的第二预定信息和第二校验码；

第二加密子单元706，用于基于密钥生成子单元702生成的密钥对接收子单元705接收到的第二预定信息进行加密，获得第二校验码；

确定子单元707，用于在比较接收子单元705接收到的第二校验码和第二加密子单元706获得的第二校验码是否一致，以及在一致时，确定双向认证成功，否则确定双向认证失败。

相应的，本发明实施例还提供了一种用户身份存储设备，该用户身份存储设备可以为IC卡或者SIM卡等设备，除了具备存储用户个人信息，预定数据例如唯一全局标识的功能之外，请参照附图8所示，该用户身份存储设备包括随机数生成单元801、密钥生成单元802、接收单元803、第一加密单元804、确定单元805、第二加密单元806和发送单元807，其中：

随机数生成单元801，用于接收到身份识别设备发送的随机数获取请求后，生成随机数，并将生成的随机数发送给身份识别设备；

密钥生成单元802，用于基于预定密钥生成算法，根据随机数生成单元801生成的随机数生成密钥；

接收单元803，用于接收到身份识别设备发送的第一预定信息和第一校验码；

第一加密单元804，用于基于预定加密算法，根据密钥生成单元802生成的密钥对接收单元803接收到的第一预定信息加密获得的第一校验码；

确定单元805，用于在接收单元803接收到的第一校验码和第一加密单元804加密获得的第一校验码一致时，确定对第一校验码校验成功；

第二加密单元806，用于基于预定加密算法，根据密钥生成单元802生成的所述密钥对第二预定信息加密获得第二校验码，其中第二预定信息可以身份管理服务器预先为该用户身份存储设备分配的唯一全局标识；

发送单元807，用于将第二预定信息和第二加密单元806获得的第二校验码发送给所述身份识别设备。

相应的，请参照附图9a所示，本发明实施例还提供了一种应用服务器，包括第一接收单元901、执行单元902和发送单元903，其中：

第一接收单元901，用于接收身份管理服务器转发的用户身份识别设备发送的业务请求；

执行单元902，用于在第一接收单元901接收到所述业务请求后，执行对应的业务处理；

发送单元903，用于将执行单元902的业务处理结果发送给所述身份识别设备。

较佳地，请参照附图9b所示，附图9a中的应用服务器还包括第二接收单元904、分配单元905、存储单元906，其中：

第二接收单元904，用于在第一接收单元901接收到业务请求之前，接收用户身份存储设备发送的注册请求，所述注册请求中包含身份管理服务器预先为该用户身份存储设备分配的唯一全局标识；

分配单元905，用于第二接收单元904接收到注册请求后，为所述用户身份存储设备分配一个局部标识，所述局部标识在该应用服务器分配的全部局部标识中是唯一的；

存储单元906，用于存储第二接收单元904接收到的所述注册请求中包含的唯一全局标识和分配单元905分配的局部标识的对应关系；

对应地，执行单元902具体包括查找子单元907和执行子单元908，其中：

查找子单元907，用于在第一接收单元901接收到身份管理服务器转发的身份识别设备发送的业务请求后，从存储单元906存储的唯一全局标识和分配的局部标识的对应关系中查找到业务请求中包含的唯一全局标识对应的局部标识；

执行子单元908，用于根据查找子单元907查找到的局部标识执行接收到的业务请求对应的业务处理。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，如：ROM/RAM、磁碟、光盘等。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (15)

1.一种业务处理系统，其特征在于，包括身份管理服务器、应用服务器、身份识别设备和用户身份存储设备，其中：

身份识别设备，用于基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备进行双向认证；在认证通过后，向身份管理服务器发送业务请求；

身份管理服务器，用于为用户身份存储设备分配唯一全局标识，以及接收到业务请求后，根据该业务请求中的业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；将所述业务请求发送给选择出的应用服务器；

应用服务器，用于接收到身份管理服务器转发的业务请求后，执行对应的业务处理。

2.一种基于权利要求1所述的业务处理系统的业务处理方法，其特征在于，包括：

应用服务器接收到身份管理服务器转发的用户身份识别设备发送的业务请求后，执行对应的业务处理，并

将业务处理结果发送给所述身份识别设备。

3.如权利要求2所述的方法，其特征在于，应用服务器接收到业务请求之前，还包括：

应用服务器接收用户身份存储设备发送的注册请求，所述注册请求中包含身份管理服务器预先为该用户身份存储设备分配的唯一全局标识；并

为所述用户身份存储设备分配一个局部标识，所述局部标识在该应用服务器分配的全部局部标识中是唯一的；以及

存储所述注册请求中包含的唯一全局标识和分配的局部标识的对应关系；

所述应用服务器接收到业务请求后执行对应的业务处理，具体包括：

应用服务器接收到身份管理服务器转发的身份识别设备发送的业务请求后，从存储的唯一全局标识和分配的局部标识的对应关系中查找到业务请求中包含的唯一全局标识对应的局部标识；并

根据查找到的局部标识执行接收到的业务请求对应的业务处理。

4.一种基于权利要求1所述的业务处理系统的用户身份识别方法，其特征在于，包括：

身份识别设备基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备分别进行双向认证；以及

在双向认证通过后，向身份管理服务器发送所述业务请求；

身份识别设备接收所述业务请求对应的业务处理结果，并

输出接收到的业务处理结果。

5.如权利要求4所述的方法，其特征在于，身份识别设备基于用户的唯一全局标识和该身份识别设备的标识，与用户身份存储设备分别进行双向认证，具体包括：

身份识别设备向用户身份存储设备发送随机数获取请求；以及

接收到用户身份存储设备对应反馈的随机数后，基于预定密钥生成算法，根据接收到的随机数生成第一密钥；以及

基于预定加密算法，根据第一密钥对第一预定信息进行加密，获得第一校验码；

身份识别设备将第一预定信息和第一校验码发送给所述用户身份存储设备，以及

接收所述用户身份存储设备根据所述随机数和所述第一预定信息对第一校验码校验成功后，发来的第二预定信息和第二校验码，所述第二校验码是所述用户身份存储设备基于预定密钥生成算法，根据生成的随机数生成第二密钥后，基于预定加密算法，根据第二密钥对第二预定信息加密获得的，并

基于第一密钥对接收到的第二预定信息进行加密，获得第二校验码；

身份识别设备在接收到的第二校验码和获得的第二校验码一致时，确定双向认证成功，否则确定双向认证失败。

6.一种基于权利要求1所述的业务处理系统的双向认证方法，其特征在于，包括：

用户身份存储设备接收到身份识别设备发送的随机数获取请求后，生成随机数，并

将生成的随机数发送给身份识别设备；以及

基于预定密钥生成算法，根据生成的随机数生成第二密钥；

用户身份存储设备接收到身份识别设备发送的第一预定信息和第一校验码后，基于预定加密算法，根据第二密钥对接收到的第一预定信息加密获得的第一校验码；以及

在接收到的第一校验码和加密获得的第一校验码一致时，确定对第一校验码校验成功，并

基于预定加密算法，根据第二密钥对第二预定信息加密获得第二校验码；

用户身份存储设备将第二预定信息和第二校验码发送给所述身份识别设备。

7.一种基于权利要求1所述的业务处理系统的用户身份识别方法，其特征在于，包括：

身份管理服务器接收到身份识别设备发送的业务请求后，根据该业务请求中的业务标识、以及存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理该接收到的业务请求的应用服务器；以及

将所述业务请求发送给选择出的应用服务器处理。

8.如权利要求7所述的方法，其特征在于，身份管理服务器将所述业务请求发送给应用服务器之后，还包括：

接收所述应用服务器发送的所述业务请求对应的业务处理结果；并

将所述业务处理结果转发给所述身份识别设备。

9.一种双向认证方法，其特征在于，包括：

第一设备向第二设备发送随机数获取请求；并

接收到第二设备对应反馈的随机数后，基于预定密钥生成算法，根据接收到的随机数生成第一密钥；以及

基于预定加密算法，根据第一密钥对第一预定信息进行加密，获得第一校验码；

第一设备将第一预定信息和第一校验码发送给所述第二设备；

第二设备基于预定密钥生成算法，根据生成的随机数生成第二密钥，并

在接收到第一设备发送的第一预定信息和第一校验码后，基于预定加密算法，根据第二密钥对接收到的第一预定信息加密获得的第一校验码；以及

在接收到的第一校验码和加密获得的第一校验码一致时，确定对第一校验码校验成功；

第二设备在校验成功后，基于预定加密算法，根据第二密钥对第二预定信息加密获得第二校验码；以及

将第二预定信息和第二校验码发送给所述第一设备；

第一设备接收到第二预定信息和第二校验码后，基于第一密钥对接收到的第二预定信息进行加密，获得第二校验码；以及

在接收到的第二校验码和获得的第二校验码一致时，确定双向认证成功，否则确定双向认证失败。

10.一种身份管理服务器，其特征在于，包括：

分配单元，用于为用户身份存储设备分配唯一全局标识；

存储单元，用于存储各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识；

接收单元，用于接收身份识别设备发来的业务请求；

选择单元，用于根据接收单元接收到的业务请求中的业务标识、以及存储单元存储的各应用服务器分别能够处理的业务标识、以及对应的提交业务请求的身份识别设备的标识，选择出处理接收到的业务请求的应用服务器；

转发单元，用于将接收单元接收到的业务请求发送给选择单元选择出的应用服务器。

11.一种身份识别设备，其特征在于，包括：

认证单元，用于基于用户身份存储设备的唯一全局标识和该身份识别设备的标识，与用户身份存储设备进行双向认证；

发送单元，用于在认证单元认证通过后，向身份管理服务器发送业务请求；

接收单元，用于接收与发送单元发送的业务请求对应的业务处理结果；

输出单元，用于输出接收单元接收到的业务处理结果。

12.如权利要求11所述的身份识别设备，其特征在于，所述认证单元具体包括：

随机数获取子单元，用于向用户身份存储设备发送随机数获取请求，并接收用户身份存储设备对应反馈的随机数；

密钥生成子单元，用于基于预定密钥生成算法，根据随机数获取子单元接收到的随机数生成密钥；

第一加密子单元，用于基于预定加密算法，根据密钥生成子单元生成的密钥对第一预定信息进行加密，获得第一校验码；

发送子单元，用于向用户身份存储设备发送第一预定信息和第一加密子单元获得的第一校验码；

接收子单元，用于接收所述用户身份存储设备根据所述随机数和发送子单元发送的第一预定信息对所述第一校验码校验成功后，发来的第二预定信息和第二校验码；

第二加密子单元，用于基于密钥生成子单元生成的密钥对接收子单元接收到的第二预定信息进行加密，获得第二校验码；

确定子单元，用于在比较接收子单元接收到的第二校验码和第二加密子单元获得的第二校验码是否一致，以及在一致时，确定双向认证成功，否则确定双向认证失败。

13.一种用户身份存储设备，其特征在于，包括：

随机数生成单元，用于接收到身份识别设备发送的随机数获取请求后，生成随机数，并将生成的随机数发送给身份识别设备；

密钥生成单元，用于基于预定密钥生成算法，根据随机数生成单元生成的随机数生成密钥；

接收单元，用于接收到身份识别设备发送的第一预定信息和第一校验码；

第一加密单元，用于基于预定加密算法，根据密钥对接收单元接收到的第一预定信息加密获得的第一校验码；

确定单元，用于在接收单元接收到的第一校验码和第一加密单元加密获得的第一校验码一致时，确定对第一校验码校验成功；

第二加密单元，用于基于预定加密算法，根据密钥生成单元生成的所述密钥对第二预定信息加密获得第二校验码；

发送单元，用于将第二预定信息和第二加密单元获得的第二校验码发送给所述身份识别设备。

14.一种应用服务器，其特征在于，包括：

第一接收单元，用于接收身份管理服务器转发的用户身份识别设备发送的业务请求；

执行单元，用于在第一接收单元接收到所述业务请求后，执行对应的业务处理；

发送单元，用于将执行单元的业务处理结果发送给所述身份识别设备。

15.如权利要求14所述的应用服务器，其特征在于，还包括：

第二接收单元，用于在第一接收单元接收到业务请求之前，接收用户身份存储设备发送的注册请求，所述注册请求中包含身份管理服务器预先为该用户身份存储设备分配的唯一全局标识；

分配单元，用于第二接收单元接收到注册请求后，为所述用户身份存储设备分配一个局部标识，所述局部标识在该应用服务器分配的全部局部标识中是唯一的；

存储单元，用于存储第二接收单元接收到的所述注册请求中包含的唯一全局标识和分配单元分配的局部标识的对应关系；

对应地，执行单元具体包括查找子单元和执行子单元，其中：

查找子单元，用于在第一接收单元接收到身份管理服务器转发的身份识别设备发送的业务请求后，从存储单元存储的唯一全局标识和分配的局部标识的对应关系中查找到业务请求中包含的唯一全局标识对应的局部标识；

执行子单元，用于根据查找子单元查找到的局部标识执行接收到的业务请求对应的业务处理。

Images