CN102819700A

CN102819700A - 在分离环境进行多种生物特征认证的装置以及方法

Info

Publication number: CN102819700A
Application number: CN2012102091133A
Authority: CN
Inventors: 郁晓东
Original assignee: Individual
Current assignee: Individual
Priority date: 2012-06-23
Filing date: 2012-06-23
Publication date: 2012-12-12

Abstract

在分离环境进行多种生物特征认证的装置以及方法。课题：增强本地环境生物特征识别装置安全性，解决获得root权限的用户，1. 恶意修改认证程序，2. 恶意修改认证数据， 3. 恶意进行试错测试等问题。解决方法：采用分离环境进行多种生物特征认证，将认证程序和认证数据部署于安全元素芯片(Secure Element)中。安全元素环境独立于一般程序运行环境，同时保存其他需要保护的程序和数据，利用安全元素的加密/解密功能，防止获得root权限用户的恶意行为。并且利用安全元素芯片造价低廉的特征，当检测到用户恶意测试时，启动自毁处理击毁安全芯片，以保护保存于安全元素芯片上的敏感数据。

Description

在分离环境进行多种生物特征认证的装置以及方法

技术领域

本发明涉及计算机领域，尤其涉及生物特征识别技术和安全领域技术领域。

背景技术

1. 生物特征识别技术

生物特征识别技术(Biometric Authentication)是计算机科学中利用人体的生物特征，对用户进行识别认证的学科，其中指纹、脸部识别等技术已经非常成熟，并广泛使用在PC、携带电话等装置上。

在安全控制要求严格的领域，非常需要生物特征识别技术来进一步强化安全性。例如GoogleWallet等使用基于携带电话和NFC传送方式的电子货币交易处理中，传统的PIN码表现出脆弱性vulnerability，并成为深刻的安全漏洞(SecurityHole)，若不克服该问题，大金额的交易服务的安全处理就成为难题。

2. 现有研究

携带端末利用生物特征认证的技术，例如日本获权专利，「特許４６２２７６３携帯通信端末装置及び認証方法」，发表了一种使用多种生物特征认证的携带电话。许多携带电话，例如Motorola的携带电话Atrix4G已经采用类似的技术，然而由于以下问题，其安全控制并不可靠。

1. 生物特征认证程序(Biometric Authentication Program)在共用环境上运行；在共用环境中，精通技术的恶意用户(malicious user)取得root权限后可实行任意代码，所以无法保证共用环境中的认证程序会被恶意修改，当携带端末被盗窃或者精通技术的恶意使用者使用程序来破解自己所拥有的装置时，所述认证程序在理论和实际上无法抵抗各种恶意攻击。特别是当携带电话作为支付手段的情况下，防止破解生物特征认证，是设计中无法彻底解决的课题。

2. 生物特征认证数据(Biometric Authentication Data)保存于共用环境，这样认证数据很容易被删除、修改、复制。即使经过加密处理，拥有该装置的恶意用户也可以通过解密程序达到其目的。

3. 当认证受到攻击，多次认证失败的情况下，由于装置和其中数据和其他设备程序共用同一环境，自毁处理会从物理上销毁整台装置，这样的成本让用户无法接受。

因此上述使用共用环境的生物特征认证装置和程序，只能够作为一种娱乐装置，而无法用于安全要求级别较高的处理。

发表于2010 IEEE Computer Society论文 p405-p410, Biometrics Verification Techniques Combing with Digital Signature for Multimodal” 提出了在支付系统中使用多中模型的生物特征识别技术。在这片论文中介绍了一种集合多种生物特征识的电子署名方式，并将该方式适用于支付系统，这种系统将生物特征信息保存在网络的服务器中，通过和服务器认证而达到确认用户合法性的目的。由于数据和程序在服务器上运行所以，上述问题的安全性被解决。

上述研究实现了在线支付方式，然而，将具有生物特征的信息(通常巨大内容的文件)，传到服务器上，并由服务器处理，其效率和可用性受到极大损失。

因此本发明公开一种在本地独立的分离式环境中运行、保存并能够隔离各种线下攻击的生物特征的认证方法。

3. 专门术语

由于业界国际化和世界标准化的进行，许多业界专门术语习惯用略语表述，为方便阅读将本说明书的常用略语列举如下：

发明内容

1. 发明目标课题

本发明主要目标是，实现不通过网络和服务器，在一台装置中完成生物特征认证处理；

本发明又一目标是，在实现上述目的的同时，保证其程序处理的安全性和服务器处理具有同样的水准；

本发明又一目标是，保存认证数据于本地时，保证其数据不能被破解和篡改；

本发明又一目标是，可优选地，当认证处理连续失败多次的时候，自动销毁SE，但不损害整体装置。

本发明又一目标是，实现一种或者一种以上的生物特征认证，通过人工设定调节识别精度之参数，达到识别速度、精度的最适化(optimization)

2. 发明内容概要

为实现上述发明目标，本发明采用在一台装置中，部署分离式环境的构建方法，在传统的应用程序运行环境AEE(Application ExecutionEnvironment)之外，构筑一个完全信赖环境，所述完全信赖环境为一个独立的OS；在本实用例中为实现高强度的安全性，采用一个包含安全元素芯片的SE，和一组指令构成的简易OS；

所述安全元素芯片SE包含微处理器，ROM和EPROM，加密解密电路，在所述SE中部署程序，保存机密数据。所述程序通过上述指令获取SE资源。

可优选地，在上述安全元素芯片SE中，加入自毁电路，当认证处理失败一定次数时启动自毁处理，通过过载电流击毁上述SE芯片。

一种生物特征识别装置，所述装置包含信息扫描装置，数字化单元，生物特征抽取单元，信息保存单元，与SE交互单元。

一种解析认证处理的方法，所述方法具有量化-解析-判断步骤；

一种保存认证数据的方法，所述方法认证数据使用动态钥匙(OTP)解密，所述OTP解密方式具有长时间无法被破解的特征；

一种整合多种生物特征的匹配方法，在该匹配方法中，采用模糊识别模型，通过调节识别精度参数来最优化识别精度和速度。

3. 本发明的进步性在于：

1. 实现独立的认证环境，及时共用环境遭到恶意攻击，认证环境不会被破坏，从而保证携带装置的安全性；

2. 基于安全元件Secure Element的保存方式，保证认证数据在无法被恶意用户破解；

3. 达到服务器认证的安全性的同时，保证处理的高效率化提高装置整体的可用性；

4. 由于采用独立环境独立电子元件，保存机密数据Critical Data，所以能够进行自毁处理，而且独立电子元件成本较低，在自毁以后，合法用户可以以很低的成本恢复整体装置，非法用户无法从中得到任何信息。

附图说明

图1 系统概要图

图2 安全元素内部构造图

图3 生物特征识别装置构成图

图4 静电电容方式的传感器

图5 特征矢量数据结构

图6 生物特征识别数据保存方式

图7 生物特征识别处理流程图

图8 生物特征识别匹配处理模型

图9 电源控制器连接构造

图10 安全元素电路图

具体实施方式

1. 发明概要以及主要构成

在以往的共用环境下装置生物特征认证装置，由于以下几个课题没有在理论和实际中解决，因此无法保证彻底地阻止恶意用户进行恶意行为。

1. 获得共用环境root权限的用户，能够恶意修改认证程序

(1) 恶意者(malicious user)在共用环境下，获得能够运行任意代码的root权限；

(2) 恶意者删除共用环境下的原程序，置换成修改过的程序，运行修改过的程序使得其跳过认证过程，直接返回认证通过结果；

(3) 通过上述处理，恶意者不通过认证直接使用服务。

2. 获得共用环境root权限的用户，能够恶意修改认证数据

(1) 恶意者在共用环境下，获得能够访问任何文件的root权限；

(2) 恶意者删除原恶意者的生物特征数据，置换成自己的生物特征数据；

(3) 恶意者启动生物特征识别程序，进行匹配处理，生物特征识别程序判断通过，恶意者使用服务。

3. 恶意者反复进行试错测试，企图从中寻找出安全漏洞，即使装置获得恶意者的各种异常处理的状态，若要进行自毁，必须考虑破坏共用整体环境的责任，若误毁，对于设备提供商来说，共有环境共用中的数据将是无法衡量的赔偿金额。在投鼠忌器的设计中，最终让恶意者达到目的。

由于上述问题，通常通过物理隔离形式的服务器方式来处理，然而服务器处理的情况下，受到网络，和通信速度的限制，最终影响了可用性并给用户带来了不愉快的体验。

有鉴于此，本发明在一台端末中，部署两个独立的执行环境，一个提供一般应用程序共用环境，一个用于安全认证等需要高度安全性处理的环境，两个环境相互独立。在需要高度安全性处理的环境中安全重要数据全部保存于独立的硬件芯片中，当诊断到过多次异常操作时，启动自毁处理，毁坏的芯片可以置换，且不影响保存于SE以外的其他用户数据、装置和程序。

图1 系统概要图

如图所示，本发明装置0，包含以下单元

一个用于一般共用的应用程序环境AEE(1);

一个用于安全认证等需要高度安全性处理的环境(2)，在所述需要高度安全性处理的环境中，部署对安全性要求高的程序和数据。

用于生物特征扫描装置(3)，其个数可以根据需要为一个或者一个以上。

在AEE(1)环境中，如通常装置一样，包含CPU(11)、内存(12)，同时装载OS(13)，在OS中部署各种程序(14)。

在所述需要高度安全性处理(2)环境中，由安全元素SecureElement(21)芯片构成。SE芯片中可以部署程序，也可以保持数据，其特征是，程序和数据都经过加密和访问控制。

生物特征扫描装置分别和两个环境连接，连接的方法可以采用各种接口驱动程序方式，也可以使用数据交换方式，或者其他同等置换。

2. 安全元素（SecureElement）

图2 安全元素内部构造图

如图所示，安全元素以一种独立的芯片的形式，也可以以软件提供虚拟器的形式实现。芯片可以封装在SIM/UICC，或者是SD中，所述安全元素包含：

微处理器，用于处理运算运行指令；

加密/解密电路，为缓和微处理器的处理能力的局限将加密/解密处理以硬件回路的形态封装于芯片，逻辑电路包括AES(AdvancedEncyptionStandad), DES(DataEncyptionStandad)TDES等，以及MD5,SHA-1,SHA-256等处理电路；这些标准电路的设计已为公众知识，若有需要可以提供参考文献，因此该部分不为本发明权利申请范围。而根据加密技术的发展，本部分可以更新到最新技术，这些变更可以视为等价替换，

包含ROM,RAM,EEPROM,Flash的存储逻辑电路，用于保存不可修改和可修改的数据

一个连接与存储的自毁电路，当认证处理失败一定次数时，对自毁电路发出信号，启动过载电流击毁ROM、RAM、EEPROM和Flash，以消除其中所有信息。

将处理指令，编译为指令集，作为简易OS提供于其他应用程序。

作为安全元素的实施例，可以集成在SIM(UICC)上，也可以集成在SD上，或者使用其他等价替换。

在简易OS上，按照GlobalPlatform2.0(http://globalplatform .org)的标准，编写API提供应用程序的开发运行平台。

3. 生物特征识别装置

图3 生物特征识别装置构成图

如图所示生物特征识别装置的主要由以下部件构成，

１.生物特征扫描器(31) 用于读取生物特征，根据不同的生物特征采用不同的扫描方式，可以是指纹、掌纹、脸部等各种生物特征扫描方式。

２.微处理器(32) 　用于下列单元的计算，所述处理器，根据需要包含数位寄存器

３.存储(36) 　一定量的RAM式存储，用于暂时保存数据

４.A-D转换单元(33) 用于扫描器模拟量转换为数字化数据

５.特征抽取逻辑单元(34) 用于提取生物特征，

６.认证精度判读单元(35) 根据设定认证精度，来调节判断准确性与判断速度

所述生物特征扫描器，在本发明中，首先采用传统的指纹认证方式(finger recognition)，指纹识别以静电电容方式半导体最容易集成，因此在本发明中采用所述静电电容方式的传感器采集指纹为例。

图4 静电电容方式的传感器

如图所示，所述静电电容方式的传感器构造为，一组指纹传感器单元finger Sensor Cell(310)，所述指纹传感器单元包含，一对电容(311)，一对电压计(312)，一个放大器(313)。当手指(300)接触到指纹传感器的时候，指纹的凸起部和凹陷部会产生不同的静电压，这时候，电容(311)接受到静电并通过电压器获得指纹之间的电压差，由于指纹之间的电压差非常微小，采集到的电波难以计量，所以采用放大器(313)放大所述电压值。通过所述方法可以获得指纹的图像。比较于光学方式，静电电容方式，不仅扫描到表皮的图像，而且验证了该图像是具有静电的真皮指纹(树脂等材料的伪指纹，即使在图像上相同，但无法简单地模拟出静电压)。

所述生物特征扫描器，可优选地采用脸部识别等其他方法，所述脸部识别，可利用装置中所附的照相机，所述照相机的特征是符合生物特征识别装置构成图所示构造（如上述构造相同）。

所述A-D转换单元，将上述模拟量的电压值，转换成数字化0-1形式的数据。并将所述数字化数据保存于，寄存器或者其他存储中。

图5 特征矢量数据结构

使用特征抽取逻辑单元(34)，抽取生物特征，如图所示，根据指纹中各种弧线的分类(31)，根据指纹的谷、勾、流、分叉等特征，标记为1，2，3，抽取其中的特征，并保持上述特征矢量数据结构(52)中。由于指纹特征、脸部特征等生物特征抽取方法，已经有诸多论文和研究，所以具体特征抽取方法不作为本发明的权利范围。

使用认证精度判读单元(35)，来判断所识别认证的对象是否是真。判断方法采用数学模型，生物特征识别匹配处理方法在后续章节中详述。

4. 生物特征识别数据保存方式

生物特征识别数据保存于SE芯片中的加密领域中，即使精通本设计的恶意用户，不知道SE芯片密码的情况下，无法读/写该领域的数据。

图6 生物特征识别数据保存方式

如图所示，SE芯片中的记忆领域的根节点为一Master文件(50)，该文件中保存整个SE的控制钥匙，拥有这个钥匙者有操作SE所有权限，这把钥匙由SE的发行者所掌握，通常SE是以硬体形式存在，SE可以搭载于SIM卡，NFC芯片，SD卡或者内嵌在手机的母版上。

和Master文件同处于root节点的还有Master程序59，Master程序可是看成SE的简易操作系统，Master程序管理所有文件，保证文件的访问权限，记录文件的地址。其实现方法采用Linux的kernel中的文件系统，相关知识可以参考http://en.wikipedia.org/wiki/Ext2等公众知识。和Ext2略有不同的是inode的物理文件还经过加密。

Master文件下具有若干程序（51），目录个数可以是从1到理论上的无穷大。这里所谓的树形结构仅仅是一个便于理解的逻辑结构，而并非物理结构。运行程序（Access Right）也需要钥匙，其钥匙在上位的Master文件，或者程序中保存。

程序下具有独立的子程序(511)，和程序所需要的文件(53)，访问子程序和文件均需要钥匙，其钥匙在上位程序中保存。

一个程序可以拥有数个文件，文件的个数可以是从0到理论上的无穷大，需要安全操作的文件具有密码(511)，通过该密码可以访问并操作文件中的数据，通过上述方法，生物特征识别的数据保存于SE的记忆领域中。由于不采用通用式OS，因此没有root权限实行任意代码的问题。Master钥匙属于SE发行商所拥有，所以即使是该装置的拥有者本人，都没有权限运行所有代码或者访问所有数据，也无法越权篡改或者非法读取其中的数据。

由于SE的造价低廉，因此其所有权可以独立于装置，而归属于发行商。

大部分国家法律中规定，当用户拥有某装置的所有权时，该用户拥有对该装置的全部使用权(物权法)。所以采用SE所有权归属于发行商的方法，不仅从技术上，而且从法律上限制了恶意用户对SE上数据的恶意篡改和读写。

5. 生物特征识别处理

图7 生物特征识别处理流程图

如图所示生物特征识别处理流程为

S1.用户输入特征1

S2.（可优选）用户输入特征2

S3.生物特征装置，完成模拟量数字化的转换，进行特征抽取，并将特征保存于矩阵式的数据结构F_g,a中，

S4.（可优选）对于具有多种生物特征单元的装置，重复上诉步骤，

S5.从SE中取得特征1的矩阵型数据结构F_p,a，

S6.（可优选）同样取得特征2的举证式数据结构

S7.进行匹配处理，

图8 生物特征识别匹配处理模型

首先，匹配处理模型中所使用的符号说明如下

这个模型阐述了包括一种和一种以上的生物特征识别的处理模型，通过上述步骤扫描获得的生物特征矩阵型数据结构，F_g,a，同时从SE中取得所记录的脸部特征矢量F_p,a，然后通过计算处理，分别对比每一个脸部特征数据f_g,a和f_p,a，计算出匹配点数s_a；同时通过同样方法和步骤计算出s_i。

使用认证精度判读单元(35)，来判断所识别认证的对象是否是真。通过上述模型，需要对比矩阵数组中每一个节点，然后对每个参数进行计算，p(F_g,a)为该节点匹配可能性，假设F_g,a满足多变量高斯分布，可以根据概率得到

其中

是向量F_g,a的面积，参数γ²F_g,a被定义为马氏距离(Mahalanobisdistance)

其中

为对应平均向量，ΣF_g,a为协方差矩阵，这样当获得F_g,a，可以推算出p(F_g,a)

这样脸部特征数据f_g,a可以被定义为，连续变量，或者是一组离散化变量，在这里我们对脸部和指纹同时采用离散方式，这样离散状态可以定义为如下的多项洛基multinomial logit函数。

其中f_g,a=k是指f_g,a在其kⁱ状态，其中k∈{1,…,K_a}，其中W_gk和b_gk是这个模型中的参数。通过特征抽取逻辑单元，可以得到各矢量矩阵中各节点的数据，根据上述模型，使用极大似然估计(Maximum LikelihoodEstimation)可以估算出其中参数值。

当取得了所有节点F_g,a,F_q,a,f_q,i,f_p,i,sa,s_i的数据后，我们可以计算出是否匹配

，

通过概率推理(Probabilistic Inference)来融合多种方法

根据条件独立性贝叶斯理论(Bayer Net)所述，可以通过下面公式表示条件概率p(match|F_g,a,F_q,a,f_q,i,f_p,i,s_a,s_i)

其中参数C为正常化因子，可以通过最大值p(f_p,q|F_g,a,F_p,a,f_g,i,f_p,i,s_a,s_i)

其中，p(match,f_g,a,f_p,a|F_g,a,F_q,a,f_q,i,f_p,i,s_a,s_i)为条件概率，

对匹配结果评分建立F_g,a,F_q,a,f_q,i,f_p,i,s_a,s_i之间相互关联模型，采用上述BN模型，定义p(s_i|match)。其中的参数通过极大似然估计(MaximumLikelihood Estimation)估算出，因此最后的匹配/不匹配可以根据定义的p(match|F_g,a,F_q,a,s_a,s_i)来判断。

由此实现了生物特征匹配处理。

6. 实施例

实施例1 — 用于开机认证

图9电源控制器连接构造

如图，将生物特征认证装置(3)通过电源控制部(E13)和装置整体的电源控制部(E13)结合，所述电源控制部(E13)包含，电源和可选择开关SPDT(E132)。

1. 用户打开电源开关接通装置电源(E12)，电源通过电源控制部(E13)、连接生物特征识别装置(3)，电源接通后，生物特征识别装置被启动；

2. 用户输入指纹、脸、声音等生物特征；

3. 生物特征识别单元(3)对生物特征，根据所述生物特征识别步骤进行处理；

4. 认证处理成功以后，生物特征识别单元(3)，通过总线给电源控制部(E13)信号，可选择开关SPDT(E132)切断生物特征识别单元(3)，连通AEE环境；

5. AEE环境的OS进行启动处理。

实施例2— 待机重启认证

AEE环境的待机启动程序(例如iOS，Android的待机密码输入程序、windows的屏保程序)，为保证操作安全，在待机重新启动的时候，通常会要求输入密码，然而密码的强度通常和用户体验的愉快程度成反比，因此使用生物特征认证能够达到安全强度的同时给予用户良好的体验。在本实施例中，待机启动程序无需自定义，生物特征认证发出中断命令，插入键盘事件(Keyboard Event)

1. 用户激活位于AEE环境中的待机程序，待机程序要求输入

2. 用户输入指纹、脸、声音等生物特征；

3. 生物特征识别单元对生物特征，根据所述生物特征识别步骤进行处理；

4. 认证处理成功以后，生物特征识别单元(3)，插入键盘事件(Keyboard Event)，其真正密码被保存在需要高度安全性处理环境中的SE中。

实施例3— 用于基于NFC的电子货币支付处理

NFC是一种近场通信方式，该方式主要用于电子支付。由于电子支付需要处理对安全性要求很高的数据，因此该方式的程序和数据，需要和生物特征认证数据一同保存于需要高度安全性处理环境中的SE中。

1. 位于应用程序环境或者是安全处理环境的支付程序，在支付前启动生物特征认证，

2. 用户输入指纹、脸、声音等生物特征；

4. 认证处理成功以后，结果返回支付程序。

这里生物特征认证数据还可以作为电子署名，用来防止用户否认，当本发明用于基于NFC电子货币支付处理的时候，可以使用识别失败自毁处理。

实施例4— 认证失败时自毁处理

图10 安全元素电路图

如图，在安全元素芯片中，包含微处理器(210)和一组记忆体(212)，在连接微处理器和记忆体中间，部署自毁电路(213)，所述自毁电路为一个直流升压电路，该电路为公共知识，故不加描述。安全元素电路连接生物特征识别装置。

1. 认证处理失败超过一定次数，生物特征认证装置发出自毁指令

2. 位于SE的微处理器，获得指令，将电路切换到自毁电路(213)通过直流升压，发出过载电流，击毁芯片中的ROM、RAM、EEPROM和Flash。

实施例5— 单一生物特征认证

本发明可以提供多种生物特征认证，也能够处理单一生物特征认证，对于安全要求等级较低的处理，可采用单一生物特征认证处理，处理过程只需要省略多种处理，而无需特殊修改硬体装置和软体。

7. 总结

通过以上实施方式和实施例，本发明实现了一个分离式环境，进行生物特征认证的装置和方法，所述方法能够避免恶意用户通过取得root权限来修改生物特征认证程序和生物特征认证数据，从而保证了认证过程的安全性。

同时，本发明采用了一种多种生物特征同时匹配的方式，进一步增强了生物特征匹配的精确性，在小金额的交易中，多种生物特征匹配方法可以缓和匹配的严格程度。

以上使用了具体个例对本发明的具体实施例进行了描述，该实施例的说明只是用于帮助理解本发明的方法及核心思想；同时对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有变改之处，比如

1. 将芯片中的逻辑电路单纯的集成或者分离，这样的改变仅是封装工艺的不同；

2. 实施步骤顺序的微调整，如将没有先后顺序的处理调换；

3. 无意义地更换发明中的部件的名称以及没有创造性的等价变换；

因此，本说明书内容不应理解为对本发明的限制，凡在本发明的精神和原则之内所作的任何修改、同等替换、删减附加步骤的改进，均包含在本发明的包含范围内。

Claims

1.一种生物特征识别装置，其特征在于包含以下单元，

a.一个安全元素Secure Element芯片

b.一个或者一个以上的生物特征读取装置。

2.如权利要求1所述安全元素Secure Element芯片，其特征在于包含以下部件

a.微处理器

b.ROM、RAM、Flash等记忆体

优选地，所述安全元素芯片还包含

c.加密/解密电路

d.自毁电路。

3.一种生物特征识别方法，其特征在于

a.生物特征数据保存于安全元素Secure Element芯片；

b.采用一种或者多种生物特征识别方法。

4.如权利要求3所述识别方法，所述一种或者多种生物特征识别方法，其特征在于通过计算综合相似得分作为是否匹配判断结果。

5.如权利要求4所述综合相似得分，其特征在于，计算式中包含1. 通过生物特征独具装置获得的生物特征矢量矩阵，2. 记录于SE，用于比较的生物特征矢量矩阵。