CN102663280B - 一种身份认证装置及系统 - Google Patents

Abstract

本发明公开了一种身份认证装置，所述身份认证装置可通过系统主机的触摸敏感表面区域进行数字通信，将其存储器内存储的身份认证信息通过触摸信号进行编码发送；本发明还公开了一种身份认证系统，包括所述身份认证装置和带触摸屏的系统主机，通过在身份认证装置上设置光学传感器和输出触点，在系统主机触摸屏的可视表面设置能发出光信号的发射区域，结合系统主机触摸敏感表面区域，实现身份认证装置通过系统主机触摸屏进行身份认证，不需要额外的硬件接口，特别适合硬件接口有限的移动设备进行强身份认证。另外，身份认证信息存储在身份认证装置中，私钥可以不出内存，有效地保证了系统的安全性。

Description

一种身份认证装置及系统

技术领域

本发明涉及电子技术领域，尤其涉及一种身份认证装置及系统。

背景技术

随着网络技术的发展，人们生活、工作中使用的各种数字设备、计算机以及运行在上面的各种系统都有着大量的网络数据交换和共享，这使得个人隐私以及数据安全问题日显突出。

现有的一般做法是使用基于密码或口令的用户身份认证方法，该方法一般要求用户设置一个只有自己知道的密码，在登录系统或访问、使用敏感数据或功能时，系统可能要求用户通过键盘输入预设的密码，系统鉴定该密码的正确性后进行后续处理，该方法中首先由于一般用户能准确记住的密码的强度不高，即长度和复杂度有限，使得通过一些破解方法用户密码容易被猜出来，其次一般用户很难同时管理多个系统的帐号和密码，这直接导致了两个普遍的问题，在多个系统中使用相同的密码以及注册新系统时过程繁琐，再其次由于需要用户人工进行密码管理，很难要求用户定期修改密码，长时间不修改密码也提高了密码泄露或被破解的风险。这种方法日渐不能满足人们的需要，因此出现了一些专用的密码管理软件以及类似USB－KEY的硬件以协助管理用户密码及身份认证。

现有的密码管理软件，一般都要求用户设定一个统一的总密码，然后通过这个总密码利用该密码软件发起对其他系统的访问，这从本质上讲就是多个系统使用一个密码，一旦改密码泄露或被盗取会带来很大的数据安全问题，而且这类软件可能需要以明文的方式显示密码极易容易发生密码泄露。而现有的一些硬件，比如在银行系统中使用的USB－KEY虽然在利用了PKI体系并通过将私钥保存在USBKey上大大提高了私钥的安全性，但USBKey不适合很多不带USB接口的移动计算机设备的用户，特别是大量的手机用户，另外由于USBKey通过USB接口较长时间和计算机连接也容易给黑客以破解的机会。

若不将密码保存在本地，现有的身份认证方法，包括辅助进行身份认证的软硬件，都很难和用户在屏幕上的操作相结合并直接地响应当前用户正在进行操作的系统的认证要求并自动登录或授权，总是需要用户进行额外的操作进行系统登录。比如晚上在家用笔记本电脑输入帐号密码登录使用某电子邮箱系统，第二天上班路上，在地铁上用手机访问该电子邮件系统需要输入帐号密码登录该电子邮件系统，到公司后在公司电脑上又要重复输入帐号密码登录该电子邮件系统，这样给使用带来很大不便。但是密码以明文的方式保存在本地显然不可取，而且即使是用一些软件技术对密码进行加密本地保存也带来风险。本地保存密码实现自动登录或授权也不便于用户在不同的计算机系统（比如在个人电脑和手机）之间切换。而随着信息技术的发展和消费电子的普及，人们一般都会频繁地在各系统中切换。

带触摸屏的计算机设备，比如手机，平板计算机等的普及更使得人们控制计算机的方式变的方便自然，操作变得更加简单，而传统的身份认证要求用户中断当前的操作并使用软键盘或物理键盘人工输入密码或者插入USBKey，这种中断影响了通过触摸屏自然地控制计算机系统的连贯性，降低了用户的使用体验。

综上所述，人们需要一种既安全又便捷的计算机系统身份认证方式。

发明内容

本发明的目的是提供一种身份认证装置及系统，解决上述现有身份认证方式中的诸多问题，提出一种既安全又便捷的身份认证方式。

为了实现上述发明目的，本发明提供了一种身份认证装置，用于与带触摸屏的系统主机进行数据交互，所述身份认证装置包括微处理器、存储器和输出触点；所述输出触点通过输出控制器连接到微处理器，所述输出控制器可以使用可控开关元器件，例如电磁式继电器、干簧管继电器、簧片继电器、光耦等，所述存储器中存储有身份认证信息；所述输出触点用于在所述系统主机触摸敏感表面区域产生触摸信号，将存储器中的身份认证信息进行编码发送。其中，所述身份认证信息包括数字签名、数字证书、口令、指纹信息、虹膜信息中的一种或多种。

其中，所述身份认证装置还包括光学传感器，所述光学传感器通过输入控制器连接到微处理器，用于感测从所述系统主机触摸屏上的发射区域发出的光信号。所述光学传感器可以使用光敏电阻、光敏二极管、光敏三级管、CMOS图像传感器、CCD图像传感器等光电转换元件。所述发射区域发出的光信号可以是认证通信指令，也可以是包含身份认证信息的光信号，所述存储器中存储的身份认证信息可以是通过光学传感器从系统主机发射区域发出的包含身份认证信息的光信号中提取出来的。

优选的，所述身份认证装置还包括读写保护开关，其可以打开或关闭身份认证装置的输入输出功能。

优选的，所述身份认证装置还包括休眠及唤醒电路，该电路可以使身份认证装置在预设的一段时间不工作后，使微处理和电路进入低功耗的休眠状态，只保持必要的功能处于激活状态，可以达到省电、延长电池使用时间的目的。

其中，所述存储器中存储有支撑身份认装置与带触摸屏的系统主机之间进行通信的程序指令。

优选的，所述输出触点还用于在所述系统主机触摸敏感表面区域产生触摸信号，向带触摸屏的系统主机发出数字信号或模拟信号形式的控制指令。

优选的，所述身份认证装置为笔形。

相应的，本发明提出一种身份认证系统，包括身份认证装置和带触摸屏的系统主机，身份认证装置中的存储器中存储有身份认证信息;所述系统主机的触摸屏的可视表面包括发射区域，所述发射区域可发出光信号，输入区域用于检测触摸屏表面的触摸事件；所述身份认证装置包括光学传感器和输出触点，光学传感器用于感测从所述系统主机的发射区域发出的光信号，所述输出触点用于在所述系统主机的触摸敏感表面区域产生触摸信号，将存储器中的身份认证信息进行编码发送或向带触摸屏的系统主机发出控制指令，所述系统主机的触摸敏感表面区域包括触摸屏上的输入区域和/或触摸板区域。

其中，所述身份认证装置由驱动程序和固化在其微处理器中的固化软件驱动，所述驱动程序作为一个可以在触摸屏上显示输入区域和发射区域的应用程序，被装载在系统主机的操作系统上，所述接收区域可以接收所述输出触点产生的触摸信号，发射区域可以发射所述光传感器可以感应的光脉冲信号。

与现有技术相比，本发明具有如下有益效果：

本发明的身份认证装置中的存储器中保存了身份认证信息，比如口令，数字证书，私钥可以不出内存，有效地保证了系统的安全性。身份认证装置和系统主机通过主机的触摸屏进行通信，不需要额外的硬件接口，特别适合硬件接口有限的移动设备进行强身份认证。用户可以使用本身份认证装置通过触摸屏控制系统主机（比如将本装置当作一支触摸笔），可以随时在需要进行身份认证时直接使用所述装置进行相应的操作而不需要进行额外的切换操作，这样保证了用户体验的流畅和连贯性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图：

图1为本发明实施例中身份认证装置结构示意图；

图2为本发明实施例中身份认证装置为笔形的外形示意图；

图3为本发明实施例笔形身份认证装置在系统主机触摸屏上产生触摸信号进行身份认证的使用示意图一；

图4为本发明实施例笔形身份认证装置在系统主机触摸屏上产生触摸信号进行身份认证的使用示意图二；

图5为本发明实施例笔形身份认证装置在系统主机触摸屏上产生触摸信号进行身份认证的使用示意图三；

图6为本发明实施例笔形身份认证装置在系统主机触摸板上产生触摸信号进行身份认证的使用示意图；

图7为身份认证系服务器网络系统示意图；

图8为本发明实施例中身份认证装置输出端的一种电路结构示意图；

图9为本发明实施例中身份认证装置输入端的一种电路结构示意图；

图10为本发明实施例中身份认证装置输入端的另一种电路结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的就是提供通过触摸敏感表面区域直接进行身份认证的装置及系统，本申请文件中的触摸敏感表面区域包括触摸屏上的输入区域和触摸板，而触摸屏指触摸敏感显示器。身份认证的装置借助触摸敏感表面区域，光电感应和加密等技术为计算机系统用户提供简单、便捷、安全的身份认证方法，并在不同的计算机系统上实现，适用于各种带有触摸屏的计算机系统。为了实现身份认证，需要建立所述身份认证装置的编号与用户编号和身份认证信息的一一对应的关联，将身份认证信息储存在所述身份认证装置中，在用户利用带触摸屏的系统主机访问使用应用信息系统时，通过所述身份认证装置确认用户身份或数字签名。

参见图1，为本发明实施例身份认证装置结构示意图，所述身份认证装置包括微处理器101、存储器102和输出触点103、光学传感器104；所述输出触点103通过输出控制器104连接到微处理器101，所述输出控制器104可以使用可控开关元器件，例如电磁式继电器、干簧管继电器、簧片继电器、光耦等，当输出控制器104为簧片继电器时，身份认证装置的输出端电路图参见图8，用导体（人体）控制簧片继电器的开断。所述存储器102中存储有身份认证信息，所述身份认证信息包括数字签名、数字证书、口令、指纹信息、虹膜信息中的一种或多种。所述输出触点103用于在所述系统主机触摸屏上的输入区域或系统主机的触摸板上产生触摸信号，将存储器中的身份认证信息进行编码发送；所述光学传感器105通过输入控制器106连接到微处理器101，用于感测从所述系统主机触摸屏上的发射区域发出的光信号，所述输入控制器106将光学传感器接收到的来自触摸屏发出的包含编码的光信号，转换为微处理器101可以接受的电信号。所述光学传感器104可以使用光敏电阻、光敏二极管、光敏三级管、CMOS图像传感器、CCD图像传感器等光电转换元件。例如：当光学传感器104为光敏二极管时，输入控制器106相应的为光敏二极管信号转换电路，此时身份认证装置输入端电路参见图9；当光学传感器104为光敏三极管时，输入控制器106相应的为光敏三极管信号转换电路，此时身份认证装置输入端电路参见图10。所述输出触点103还用于在所述系统主机触摸屏上的输入区域产生触摸信号，向带触摸屏的系统主机发出模拟信号形式的控制指令或数字信号形式的控制指令。

所述微处理器101包含一般的控制、计算处理以及加密解密的功能，在具体实施时可以将输出控制器104和输入控制器106和微处理器101做成一个芯片，也可以由微处理器直接控制输入输出电路。微处理器101里可以包含一次性只写存储芯片，比如EEPROM，生产的时候写入唯一的序列号，以便于在使用过程中建立和用户信息的一一对应的关联，并生成数字证书。微处理器可以产生公私钥对，其私钥无法被终端读取。

所述存储器102可以为包含ROM、RAM或者使用其他技术的存储芯片。所述存储器102中存储有支撑身份认装置与带触摸屏的系统主机之间进行通信的程序指令，如实现数据输入输出功能、身份认证功能的程序指令，所述存储器102中还包括加密保存密钥、数字证书等身份认证信息，身份认证信息可以是PKI体系中的数字证书，公钥私钥对，进一步可以包含用于加解密的公私钥对以及用于签名的公私钥对。所述存储器中存储的身份认证信息可以是预先写入的，也可以是通过光学传感器从系统主机触摸屏的发射区域读取的。在一些实施例中，保存敏感信息的存储器还可以设置为具备防止外部读取、防止篡改等功能。

优选的，所述身份认证装置还可以包括读写保护开关107，其可以打开或关闭身份认证装置的输入输出功能。该开关打开时，用户可以使用所述身份认证装置通过触摸敏感表面区域和系统主机进行通信，并进行身份验证。当关闭时，所述身份认证装置不能和和系统主机通信，此时所述身份认证装置可以当作一般的电容触摸笔来使用。这样更进一步降低了敏感数据，如账号，数字证书，被冒用盗用的风险。

优选的，所述身份认证装置还可以包括休眠及唤醒电路108，该电路可以使身份认证装置在预订时间不工作时，使微处理和电路进入低功耗的休眠状态，只保持必要的功能处于激活状态，可以达到省电、延长电池使用时间的目的。比如休眠状态中，微处理器进入低功耗模式，光传感器和输入控制器监测特定的光信号组合，当监测到表示激活指令的光信号，输入控制器响应该信号组合唤醒处于低功耗的微处理器。

所述身份认证装置可以为多种外观形状，形状不作限定。为了更方便地进行操作，所述身份认证装置可以被做成如图2所示的笔形的身份认证装置200，其侧面设置有读写保护开关201，其他部件在笔形身份认证装置200内部，图中未示出。这样，用户可以使用本身份认证装置通过触摸敏感表面区域控制系统主机（比如将本装置当作一支触摸笔），可以随时在需要进行身份认证时直接使用所述装置进行相应的操作而不需要进行额外的切换操作，这样保证了用户体验的流畅和连贯性。

随着触摸屏特别是电容式触摸屏技术的发展，现在很多电子设备都带有电容式触摸屏，利用本发明实施例的身份认证装置进行身份认证的方法可以在这样的电子设备上进行身份认证。用户只要将所述装置的输出触点接近或接触到触摸屏就可以进行身份认证，而不需要类似USB接口一样的额外硬件接口，一旦认证完成用户随即自然地将所述装置移开，降低了被攻击的风险。用户甚至可以为某个需要身份认证的系统设定一个不适合一般人类记忆的非常复杂的认证密码，仅使用本发明所述的身份认证装置进行身份认证。用户只要保管号自己的身份认证装置，就可以保护自己的各种敏感信息，比如网络银行账号，腾讯QQ账号等。更进一步一些基于账号的应用系统，比如网络银行，支付宝或者腾讯QQ等，也可以部署相应的支持该身份认证装置的后台服务器和相应的应用，如设置，登录等，这样用户就可以设置和使用该装置直接在触摸屏上进行安全的身份认证和登录。

为此，本发明实施例还提出了一种身份认证系统，包括身份认证装置和带触摸屏的系统主机，身份认证装置中的存储器中存储有身份认证信息；所述系统主机的触摸屏的可视表面包括发射区域，所述发射区域可发出光信号，输入区域用于检测触摸屏表面的触摸事件；所述身份认证装置包括光学传感器和输出触点，光学传感器用于感测从所述系统主机的发射区域发出的光信号，所述输出触点用于在所述系统主机的触摸屏的输入区域或触摸板上产生触摸信号，将存储器中的身份认证信息进行编码发送或向带触摸屏的系统主机发出控制指令。其中，所述身份认证装置由驱动程序和固化在其微处理器中的固化软件驱动，所述驱动程序作为一个可以在触摸屏上显示接收区域和发射区域的应用程序，被装载在系统主机的操作系统上，所述接收区域可以接收所述输出触点产生的触摸信号，发射区域可以发射所述光传感器可以感应的光脉冲信号。

身份认证装置中的输出触点是在触摸敏感表面区域上产生触摸信号的一个部件。该部件可以和触摸屏接触产生触摸信号，也可以靠近触摸屏悬空产生触摸信号，通过调节触摸屏参数，该触点可以在不接触到触摸屏的情况下在触摸屏发射极和触点之间形成感应电容并在该位置产生触摸信号。在触摸屏上产生触摸信号的方式有很多种，比如在输出触点和人手之间设置导电通路并控制该通路的通断。

为了实现身份认证的功能，需要在带触摸屏的系统主机上设置驱动所述身份认证装置的驱动程序。该驱动程序可以表现为一个在系统主机操作系统上运行的应用程序。根据一些实施例，该驱动程序可以进一步包含如下步骤：所述身份认证装置和系统主机约定好通信协议，比如物理层的传送频率，光信号强度等规范，通信层的控制指令，数据报封装格式等信息；该驱动程序可以在触摸屏上指示用于读取所述身份认证装置上的数据的输入区域，在触摸屏上指示用于向所述身份认证装置发送数据的发射区域；将所述身份认证装置的输出触点靠近或接触到所述输入区域；将所述身份认证装置的光传感器靠近直到接触到所述发射区域。当系统主机主动发起通信请求时，所述驱动程序在发射区域发送所述通信协议中表示数据请求指令的光信号组合，比如数据请求指令代码是0010，假设通信双方约定的的信号频率是100hz，即周期t=10ms，系统主机可以控制触摸屏上的发射区域的明暗变化，在前两个周期20ms内保持发射区域是低亮度，第三个周期内调高发射区域亮度，第四个周期又将亮度调低；所述身份认证装置上的程序检测输入控制器上的光传感器传进来的数据，响应所述系统主机（比如检查指令中包含的系统主机的ID号确定主机身份）发出的数据请求指令；所述系统主机上的驱动程序检测所述输入区域的触摸信号，收到接受数据请求并开始发送数据的命令，开始在所述发射区域发送数据。这样就建立并开始了一次数据通信。需要理解的是上述包含命令的通信协议只是一个例子，本领域的技术人员可以开发各种不同的通信协议。类似地，具体实施时，所述身份认证装置也可以根据相应的通信协议主动发起数据通信请求。

参见图3，为笔形身份认证装置在触摸屏上产生触摸信号的使用示意图，用户在带触摸屏的系统主机300上准备访问一个需要登录认证的网站，系统主机300触摸屏上显示输入区域301，旁边显示提示信息“请登录”，用户将装有登录身份认证信息（如密码）的身份认证装置200的输出触点放置到所述输入区域301处，将登录身份认证信息编码发送到系统主机300，系统主机300的输入区域接收到来自所述身份认证装置输出触点发出的包含身份认证信息编码的触摸信号后，切换提示信息为“正在验证身份”，验证成功则登录网站成功。

带触摸屏的系统主机在不同情况，其触摸屏显示的输入区域及提示信息可以各有不同，如图4、图5，同样为笔形身份认证装置在触摸屏上产生触摸信号的使用示意图，原理相同，只是系统主机上界面有所不同，笔形认证装置的操作稍有区别，可以为滑动输入身份认证信息、滑动解锁并向系统主机发送身份认证信号等方式。

参见图6，为本发明实施例笔形身份认证装置在系统主机触摸板上产生触摸信号进行身份认证的使用示意图，此实施例中，身份认证装置上的输出触点在触摸板上产生触摸信号，将将存储器中的身份认证信息编码发送到系统主机中进行验证。

身份验证所涉及的服务器如图7，后台设置有身份认证服务器和应用服务器。根据一些实施例，该身份认证服务器可以是部署在传统的服务器硬件上的web应用也可以是部署在云计算平台的SaaS应用服务，该服务器可以包含根据PKI体系建立的包含用户信息和所述身份认证装置设备ID对应关系的数据库，还可以包含数字证书发放功能，数字证书更新等功能模块。应用服务器提供相应的业务处理功能，比如微博服务器。利用现有的技术可以将数字证书，比如x.509的证书，或其他身份认证信息，比如web身份认证中的cookie信息，下载并保存到所述身份认证装置200中。当用户通过所述系统主机发起对应用服务器某项功能的访问，或应用服务器需要验证该用户的身份的时候，身份认证服务器可以读取所述身份认证装置200中的数字证书或其他身份认证信息。在一些实施例中，可能会使用双向认证方法以确认服务器对所述装置中的身份信息的访问权。

需要理解的是，出于对本发明中所述的身份认证装置和系统主机之间的通信速度的考虑，在一些实施例中，本领域的技术人员可以采用基于现有对称或非对称加解密算法的身份认证或数字签名系统，比如PKI，或对现有身份认证或数字签名体系进行裁减，以降低通信的数据量和开销，比如采用椭圆曲线算法ECC，而不是一般的RSA算法，甚至采用不需要进行数字证书交换的隐含身份认证进一步降低通信开销。

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书（包括任何附加权利要求、摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。

Claims (10)

1.一种身份认证装置，用于与带电容式触摸屏的系统主机进行数据交互，其特征在于，所述身份认证装置包括微处理器、输出控制器、存储器、输出触点和驱动电路；所述输出触点通过输出控制器连接到微处理器，所述存储器连接到微处理器，且存储器存储有身份认证信息，所述输出控制器为可控开关元器件，所述可控开关元器件的一端接输出触点，另一端接导体，所述输出触点与所述系统主机的电容式触摸屏相接触，所述微处理器读取所述存储器中存储的身份认证信息，并根据所读取的身份认证信息的二进制代码，通过驱动电路控制所述可控开关元器件的断开或闭合，从而控制导体与所述系统主机的电容式触摸屏之间的电路为导通或者断开状态，利用在导通状态下导体将吸收所述系统主机的电容式触摸屏上分布的电流，在断开状态下导体无法吸收所述系统主机的电容式触摸屏上分布的电流，产生触摸信号，并利用该身份认证信息的二进制代码与上述电路导通或断开的对应关系，将所述身份认证信息传输给所述带电容式触摸屏的系统主机。

2.如权利要求1所述的身份认证装置，其特征在于，所述身份认证装置还包括光学传感器和输入控制器，所述光学传感器通过所述输入控制器连接到微处理器，用于感测从所述系统主机的电容式触摸屏上的发射区域发出的光信号。

3.如权利要求2所述的身份认证装置，其特征在于，所述身份认证信息包括数字签名、数字证书、口令、指纹信息、虹膜信息中的一种或多种。

4.如权利要求3所述的身份认证装置，其特征在于，所述身份认证装置还包括读写保护开关。

5.如权利要求3或4所述的身份认证装置，其特征在于，所述身份认证装置还包括休眠及唤醒电路。

6.如权利要求1至4中任一项所述的身份认证装置，其特征在于，所述存储器中存储有支撑身份认装置与带电容式触摸屏的系统主机之间进行通信的程序指令。

7.如权利要求6所述的身份认证装置，其特征在于，所述输出触点还用于向所述带电容式触摸屏的系统主机发出控制指令。

8.如权利要求7所述的身份认证装置，其特征在于，所述身份认证装置为笔形。

9.一种身份认证系统，其特征在于，包括如权利要求1所述的身份认证装置和带电容式触摸屏的系统主机，所述系统主机的电容式触摸屏包括发射区域，所述发射区域可发出光信号；所述身份认证装置还包括光学传感器，所述光学传感器用于感测从所述系统主机的电容式触摸屏的发射区域发出的光信号，所述输出触点用于向所述系统主机的电容式触摸屏发出控制指令，所述系统主机的电容式触摸屏包括触摸屏上的输入区域和/或触摸板区域。

10.如权利要求9所述的身份认证系统，其特征在于，所述身份认证装置由驱动程序和固化在其微处理器中的固化软件驱动；所述系统主机能够在触摸屏上显示接收区域和发射区域，所述接收区域可以接收所述输出触点产生的触摸信号，所述发射区域可以发射所述光学传感器可以感应的光脉冲信号。