CN103259667B - 移动终端上eID身份认证的方法及系统 - Google Patents

Abstract

本发明涉及无线通信技术领域，提供了一种移动终端上eID身份认证的方法及系统，包括：eID终端载体，eID客户端和eID统一认证服务系统，eID客户端从eID终端载体获取相关的eID信息；eID客户端与eID统一认证服务系统进行信息交互，进行用户身份验证。本发明传递的信息不包含个人信息，不会造成个人信息的泄漏；采用NFC技术，拓展了eID身份认证的适用场合；整个认证过程中需要两次访问eID统一认证服务系统，增加了系统的安全性，防止了由于浏览器cookies被他人窃取利用所造成的风险。

Description

移动终端上eID身份认证的方法及系统

技术领域

本发明涉及无线通信技术领域，提供了一种移动终端上eID（ElectronicIdentity）身份认证的方法及系统。

背景技术

随着计算机与互联网技术的迅速发展，用户的个人身份如何在互联网中被有效认证成为了商业界和学术界共同关注的热点问题。为了解决这一问题，用户在实名制网站注册时，被动要求提供个人的手机号码、身份证号、家庭住址等隐私信息，但是这种方法会存在实名制网站倒卖用户隐私、服务器被黑客攻击而隐私泄露等问题。针对这些问题，目前现有的eID系统使用U盘为终端载体实现了物理分离，通过网络实时更新验证用户的身份有效性。

eID（ElectronicIdentity）又称网络电子身份证，是指可以在网络空间唯一标识一个用户身份的一串电子信息。eID系统依托公安部覆盖13亿人口的全国公民身份信息库，生成了一组唯一的网络标识符和数字证书，保证用户身份的真实性和唯一性，同时其本身并不包含任何个人身份隐私信息。eID相关身份信息由统一机构创建和管理，这样既确保了个人身份的真实性，又可有效避免用户身份信息被保留到各种网络运营商处时曝光和泄露的风险。使用eID可以避免用户频繁输入用户名和密码，在保证身份安全可靠的前提下实现快捷登录及其他可信操作。

目前现有的eID系统在网络环境中的信息传输使用基于PKI的双密钥加密体制。PKI（PublicKeyInfrastructure）即"公钥基础设施"，利用公钥理论和技术建立的提供安全服务的基础设施。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把需要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。

然而随着信息社会的快速发展，越来越多的用户选择使用手机、平板电脑等便携移动终端进行网上办公、网络购物等，这些移动终端并没有USB接口或者只有少数USB接口，这使得以U盘作为认证载体限制了用户eID的使用。同时，如果手机等移动终端频繁要求用户输入用户名和密码也降低了用户体验。

NFC技术的诞生给移动终端上身份认证带来了新的契机。NFC（NearFieldCommunication）即近场通信，是一种基于手机等移动终端实现近距离无线通信的技术，允许电子设备之间进行非接触式点对点（在十厘米内）的数据传输，保证了信息传递过程中的私密性和安全性。NFC信息是通过频谱中无线频率部分的电磁感应耦合方式传递，由于NFC采取了独特的信号衰减技术，相对于RFID来说NFC具有距离近、带宽高、能耗低等特点。NFC与现有非接触智能卡技术兼容，目前已经成为得到越来越多主要厂商支持的正式标准。

移动互联网是比传统互联网更为复杂的网络，组成复杂分类众多，为安全性带来了新的挑战。现有技术提出了一种基于NFC的查询智能卡信息的方法，通过绑定用户SIM卡实现身份认证，但是其注册信息需由用户提供，同时没有充分考虑移动互联网中的安全性问题，只是说明了使用移动终端查询智能卡上信息的方法。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是提供一种移动终端上使用eID进行身份认证的方法和系统，使用NFC通信技术读取eID卡中信息，联网实时快速身份认证。

（二）技术方案

为了实现上述目的,本发明提供了如下技术方案：

一种移动终端上eID身份认证的系统，包括：eID终端载体，eID客户端和eID统一认证服务系统，eID客户端从eID终端载体获取相关的eID信息；eID客户端与eID统一认证服务系统进行信息交互，进行用户身份验证。

进一步地，其中eID终端载体是基于NFC技术的非接触式eID卡。

进一步地，所述eID卡包括：

信息存储模块，通过片上存储器存储个人唯一的eID证书、私钥以及PIN码；

信息处理模块，用于信息传输前，对片上存储器存储的内容进行加密；

信息通信模块，用于与移动终端进行通信。

进一步地，所述eID客户端包括：

获取信息模块，用于接收移动终端NFC单元读取的eID终端载体中的信息；

身份认证模块，用于接收应用程序提出的eID认证请求，与eID统一认证服务系统进行信息交互，获取eID统一认证服务系统返回的认证结果；

结果处理模块，用于处理eID统一认证服务系统返回的认证结果，返回应用程序处理后的认证结果；

用户显示模块，用于显示结果处理模块的认证结果，认证成功即显示成功；认证失败根据返回的错误情况代码给用户相应的提示；

日志记录模块，记录eID认证结果，包括应用程序申请时间、应用程序标识、认证时间、eID证书序列号、eID认证结果以及错误情况代码，日志文件采用文本格式加密存储。

进一步地，移动终端上的应用程序登录模块增加eID认证登录方式，当用户选择eID认证登录方式时，重定向至eID统一认证服务系统。

进一步地，应用程序使用程序间调用或者使用浏览器调用eID客户端提出eID认证申请，等待eID客户端返回eID认证结果。

一种移动终端上eID身份认证的方法，包括以下步骤：

应用程序提出身份认证请求，与移动终端上的eID客户端进行信息交互，申请获得eID相关认证信息；

eID客户端读取基于NFC技术的非接触式eID卡中的有效信息，与eID统一认证服务系统进行信息交互，验证用户身份的合法性；

eID统一认证服务系统验证eID的真实性，将eID认证结果返回eID客户端；

eID客户端将处理后的eID认证结果返回应用程序，其中eID认证结果包括“认证成功”或者“认证失败”两种结果，认证失败，向应用程序返回认证失败结果，同时向用户显示相关的提示信息，认证成功，将认证成功结果以及用户网络操作令牌Token一并返回应用程序；

应用程序根据eID客户端返回的eID认证结果进行进一步的操作，认证失败则拒绝操作，认证成功，进一步验证用户网络操作令牌的真实性和有效性；

应用程序将获取的用户网络操作令牌Token提交给应用程序所在的应用系统服务器；

应用程序所在的应用系统服务器与eID统一认证服务系统建立安全可信的会话通道，验证该用户网络操作令牌Token的合法性；

eID统一认证服务系统在验证通过后利用eID信息匹配用户所绑定的应用程序内部的用户帐号，向应用系统服务器返回帐号名称或列表，由应用程序所在应用系统服务器执行业务逻辑，同时应用程序完成登录操作。

进一步地，当用户使用eID认证方式登录应用程序时，应用程序自动调用eID客户端，提出eID身份认证请求，同时向eID客户端提供应用程序标识和eID统一认证服务系统的访问方式和路径。

进一步地，移动终端的NFC单元读取基于NFC技术的非接触式eID卡中的信息，eID客户端从移动终端的NFC单元获取相关eID信息，eID客户端向用户显示要求输入PIN码的提示，并初步验证用户输入PIN码的正确性，如果用户连续5次输入错误的PIN码，即锁定相应的eID卡的功能，PIN码验证通过之后，eID客户端将读取的eID卡的信息和应用程序标识发送至eID统一认证服务系统。

进一步地，eID统一认证服务系统将eID认证结果以JSON格式返回eID客户端，eID认证结果分为两类:认证成功，在验证通过之后处理用户的网络业务操作请求，并基于应用程序标识、eID信息和时间戳数据计算出一个用户网络操作令牌Token，eID统一认证服务系统将应用程序标识和用户网络操作令牌Token，通过安全可信的网络会话通道返回给eID客户端；认证失败，将错误代码与eID认证结果一并返回eID客户端。

（三）有益效果

本发明提供的移动终端上的eID身份认证的方法和系统，传递的信息不包含个人信息，不会造成个人信息的泄漏；采用NFC技术，拓展了eID身份认证的适用场合；整个认证过程中需要两次访问eID统一认证服务系统，增加了系统的安全性，防止了由于浏览器cookies被他人窃取利用所造成的风险。

附图说明

图1为本发明的实施例中移动终端上eID身份认证系统的系统框架图；

图2为本发明的实施例中基于NFC技术的eID终端载体构成示意图；

图3为本发明的实施例中移动终端上eID客户端功能流程图；

图4为本发明的实施例中移动终端上应用程序改造功能流程图；

图5为本发明的实施例中移动终端上eID身份认证系统的方法流程图。

具体实施方式

为了使本发明解决的技术问题、实施方案、优点更加清晰，下面结合系统实例以及上述附图进行详细描述。

本发明提供的eID身份认证系统的实施例如图1所示，eID身份认证系统包括eID终端载体、eID客户端112、eID统一认证服务系统111。

eID终端载体可采用非接触式的基于NFC技术的类似于实体卡片外形的eID卡113，其构成示意图如图2所示。

基于NFC技术的eID卡113分为信息存储模块，信息处理模块和信息通信模块三个模块。

其中，信息存储模块，通过片上存储器存储个人唯一的eID证书、私钥以及PIN码，并不包含任何身份信息，不会造成个人信息的泄露。由于存储这些信息所需的空间比较小（512KB-1024KB），可以直接写入NFC芯片自身的片上存储器中。

其中，信息处理模块，包括加密芯片以及CPU，在无源供电时，传输信息前使用特定的密码算法对片上存储的内容进行加密，加密速度快，方便eID卡的安全存储和方便使用；也可以直接使用NFC芯片提供的加密解密模块进行加密。基于NFC技术的eID卡为只读模式，使用特定标签标识，用户不可修改其内容。

其中，信息通信模块，包括NFC芯片和天线，天线除了用来传输相应数据外，同时接收智能终端的NFC设备产生的射频场(RF-field)为数字处理供电，保证eID卡上信息的加密以及NFC通讯单元发送接收数据的完整过程。

用户在使用eID卡时只需要将卡片放置在手机附近(10厘米之内)几秒钟即可完成信息的读取，NFC近场通信特有的安全快捷方便等特性保证了用户体验。

上述eID客户端可以是运行于Android移动终端的客户端程序。eID客户端实现专一功能的eID身份认证功能，辅助功能包括eID卡信息的读取识别、个人身份的校验、eID卡的挂失及解挂以及其他相关功能。eID客户端由五个模块构成：获取信息模块、身份认证模块、结果处理模块，用户显示模块，日志记录模块。eID客户端实现的功能流程图如图3所示。

当用户使用eID登录时，应用程序会调用eID客户端，提出身份认证的请求，同时向eID客户端程序提供应用程序标识（此标识用于认证成功后获取用户标识）和统一认证服务系统的访问方式和路径。

eID客户端首先从Android移动终端的NFC单元获取相关eID信息，验证用户输入PIN码的正确性，如果重复5次输入错误的PIN码，即锁定相应的eID功能转入结果处理模块，防止eID被人盗用的现象；PIN码验证通过之后，将获取的eID信息传入身份认证模块，通过2G/3G网络或者无线局域网络建立安全可信的网络会话通道，与eID统一认证服务系统进行信息交互，验证用户身份的合法性。

eID统一认证服务系统返回的认证信息由三个域组成，分别是认证结果、用户标识、错误代码。根据认证结果的不同，这三个域组合使用，可分为两大类：一类是身份认证失败，eID统一认证服务系统会返回错误代码，此时直接转入结果处理模块，根据错误代码的不同向用户显示相关信息，与此同时向应用系统返回认证失败结果，无法进行后续操作；另一类是身份认证成功，此时eID统一认证服务系统会返回由应用系统标识、eID绑定信息、时间戳等数据计算出来的用户网络操作令牌Token，结果处理模块向应用系统服务器返回认证成功的同时将此用户网络操作令牌Token返回应用系统服务器，应用系统服务器与eID统一认证服务系统进行交互，验证此用户网络操作令牌Token的合法性。

身份认证的结果由结果处理模块处理完成之后返回应用程序，同时交由用户显示模块和日志记录模块两个模块，保证用户体验和安全审计。用户显示模块用于显示结果处理模块的结果，认证成功即显示成功；认证失败根据返回的错误情况代码给用户相应的提示，如eID过期等；PIN码错误则锁定该eID卡的相关功能。日志记录模块记录eID认证结果以备查，包括应用程序申请时间、应用程序标识、认证时间、eID证书序列号、认证结果、错误情况代码，其他备注。日志文件采用文本格式，加密存储在eID客户端自身的程序空间内。

eID客户端对外提供特定的功能接口，方便应用程序的改造接入。在eID客户端运行的整个周期内，做到对用户透明，即用户只需要刷卡即可获得相应信息。

Android移动终端上的应用程序需要改造相关功能以完成eID认证过程，以北邮人论坛手机客户端以及北邮邮箱网页版为例，应用程序改造后的eID登录流程如图4所示。

登录模块需增加eID登录方式，根据eID客户端提供的接口进行相关业务的改造。应用程序可以使用Android程序间调用或者使用浏览器调用eID客户端提出认证申请，等待eID客户端返回认证结果。

返回结果仅仅是“认证成功”或者“认证失败”两个选项，应用程序根据此结果进用户身份的判定。认证失败直接拒绝操作；认证成功时，eID客户端会返回相应的用户网络操作令牌Token，此时应用程序需要将此用户网络操作令牌Token送往应用程序所在的应用系统服务器。应用系统服务器与eID统一认证服务系统建立安全可信的会话通道，验证此用户网络操作令牌Token的合法性和真实性。验证通过之后，获取与eID绑定的用户信息，由应用程序所在应用系统服务器执行业务逻辑，同时移动终端应用程序完成登录操作。

当移动终端上的应用程序需要eID认证时，需要分以下三步进行：

首先，应用程序提出身份认证请求，与eID客户端进行信息交互，申请获得用户身份的相关认证信息。交互过程通过程序接口传递信息，用户不可见。

然后，eID客户端要求用户验证eID卡，即将基于NFC技术的eID卡放置在手机附近进行身份的认证。客户端程序要求用户输入PIN码，在获得正确的PIN码之后读取eID卡上相应信息，如果PIN码连续错误到达5次即锁定eID客户端的相应功能。读取信息之后通过建立安全可信的会话通道与eID统一认证服务系统进行身份的认证，并将返回结果储存到eID客户端的日志中。

最后，eID客户端将认证结果返回应用程序，认证结果为布尔型变量，应用程序根据此简单结果即可判断用户的合法性。认证成功时，eID客户端会返回相应的用户标识和网络操作令牌Token，用户可以根据此标识进一步验证网络操作令牌的合法性。

整个身份认证的流程需要保证安全可信，为了保证这一点，在移动终端的整个认证流程中均不包含用户的个人身份信息，认证信息的传输过程也使用双密钥体系的加密机制。具体的身份认证实施过程如图5所示。

步骤1.应用程序提出身份认证的请求，将该请求发送至eID客户端，同时提供应用系统标识和统一认证服务系统的访问方式和路径。

步骤2.eID客户端在收到请求后，要求用户验证eID卡，在验证PIN码正确性之后，通过Android移动终端的NFC通信单元读取eID卡中的相关信息。

步骤3.eID客户端与eID统一认证服务系统建立安全可信的会话通道，将读取的eID卡信息和应用系统标识发送至eID统一认证服务系统。

步骤4.eID统一认证服务系统验证用户eID信息的真实性，将认证信息以JSON格式返回eID客户端，认证结果分为两类，认证成功：{“result”：true}，在验证通过之后处理用户的网络业务操作请求，并基于应用系统标识、eID信息和时间戳等数据计算出一个用户网络操作令牌，eID统一认证服务系统将应用系统标识和用户网络操作令牌Token，通过安全可信的网络会话通道返回给eID客户端；认证失败:{“error”:“userisinvalid”}，将错误代码与认证结果一并返回eID客户端。

步骤5.eID客户端处理认证结果，认证失败，根据错误代码给用户相应显示，返回应用程序认证失败；认证成功，将认证成功以及用户网络操作令牌Token一并返回应用程序。

步骤6.应用程序根据认证结果进行下一步处理，认证失败则拒绝操作，认证成功需要进一步验证用户网络操作令牌的合法性。

步骤7.应用系统服务器收到用户标识后，需要验证此用户标识的合法性，通过与统一认证服务模块建立安全可信的网络会话通道，进行通信，并向统一认证服务系统验证用户网络操作令牌Token的真实性和有效性。

步骤8.eID统一认证服务系统验证用户标识成功后，利用eID信息匹配用户所绑定的应用系统内部的用户帐号，向应用系统服务器返回帐号名称或列表，由应用系统服务器执行相应的业务逻辑。

本发明提供的移动终端上的eID身份认证的方法和系统，传递的信息不包含个人信息，不会造成个人信息的泄漏；采用NFC技术，拓展了eID身份认证的适用场合；整个认证过程中需要两次访问eID统一认证服务系统，增加了系统的安全性，防止了由于浏览器cookies被他人窃取利用所造成的风险。

以上为本发明的最佳实施方式，依据本发明公开的内容，本领域的普通技术人员能够显而易见地想到的一些雷同、替代方案，均应落入本发明保护的范围。

Claims (7)

1.一种移动终端上eID身份认证的系统，包括：eID终端载体，eID客户端和eID统一认证服务系统，其特征在于：eID客户端从eID终端载体获取相关的eID信息；eID客户端与eID统一认证服务系统进行信息交互，进行用户身份验证；

所述eID客户端包括：获取信息模块，用于接收移动终端NFC单元读取的eID终端载体中的信息；身份认证模块，用于接收应用程序提出的eID认证请求，与eID统一认证服务系统进行信息交互，获取eID统一认证服务系统返回的认证结果；结果处理模块，用于处理eID统一认证服务系统返回的认证结果，返回应用程序处理后的认证结果；用户显示模块，用于显示结果处理模块的认证结果，认证成功即显示成功；认证失败根据返回的错误情况代码给用户相应的提示；日志记录模块，记录eID认证结果，包括应用程序申请时间、应用程序标识、认证时间、eID证书序列号、eID认证结果以及错误情况代码，日志文件采用文本格式加密存储；移动终端上的应用程序登录模块增加eID认证登录方式，当用户选择eID认证登录方式时，重定向至eID统一认证服务系统；应用程序使用程序间调用或者使用浏览器调用eID客户端提出eID认证申请，等待eID客户端返回eID认证结果。

2.如权利要求1所述的系统，其中eID终端载体是基于NFC技术的非接触式eID卡。

3.如权利要求2所述的系统，所述eID卡包括：信息存储模块，通过片上存储器存储个人唯一的eID证书、私钥以及PIN码；信息处理模块，用于信息传输前，对片上存储器存储的内容进行加密；信息通信模块，用于与移动终端进行通信。

4.一种移动终端上eID身份认证的方法，其特征在于，包括以下步骤：

应用程序提出身份认证请求，与移动终端上的网络电子身份证eID客户端进行信息交互，申请获得eID相关认证信息；

eID客户端读取基于NFC技术的非接触式eID卡中的有效信息，与eID统一认证服务系统进行信息交互，验证用户身份的合法性；

eID统一认证服务系统验证eID的真实性，将eID认证结果返回eID客户端；

eID客户端将处理后的eID认证结果返回应用程序，其中eID认证结果包括“认证成功”或者“认证失败”两种结果，认证失败，向应用程序返回认证失败结果，同时向用户显示相关的提示信息，认证成功，将认证成功结果以及用户网络操作令牌Token一并返回应用程序；

应用程序根据eID客户端返回的eID认证结果进行进一步的操作，认证失败则拒绝操作，认证成功，进一步验证用户网络操作令牌的真实性和有效性；

应用程序将获取的用户网络操作令牌Token提交给应用程序所在的应用系统服务器；

应用程序所在的应用系统服务器与eID统一认证服务系统建立安全可信的会话通道，验证该用户网络操作令牌Token的合法性；

eID统一认证服务系统在验证通过后利用eID信息匹配用户所绑定的应用程序内部的用户帐号，向应用系统服务器返回帐号名称或列表，由应用程序所在应用系统服务器执行业务逻辑，同时应用程序完成登录操作。

5.如权利要求4所述的方法，当用户使用eID认证方式登录应用程序时，应用程序自动调用eID客户端，提出eID身份认证请求，同时向eID客户端提供应用程序标识和eID统一认证服务系统的访问方式和路径。

6.如权利要求4所述的方法，其特征在于：移动终端的NFC单元读取基于NFC技术的非接触式eID卡中的信息，eID客户端从移动终端的NFC单元获取相关eID信息，eID客户端向用户显示要求输入PIN码的提示，并初步验证用户输入PIN码的正确性，如果用户连续5次输入错误的PIN码，即锁定相应的eID卡的功能，PIN码验证通过之后，eID客户端将读取的eID卡的信息和应用程序标识发送至eID统一认证服务系统。

7.如权利要求4所述的方法，其特征在于，eID统一认证服务系统将eID认证结果以JSON格式返回eID客户端，eID认证结果分为两类:认证成功，在验证通过之后处理用户的网络业务操作请求，并基于应用程序标识、eID信息和时间戳数据计算出一个用户网络操作令牌Token，eID统一认证服务系统将应用程序标识和用户网络操作令牌Token，通过安全可信的网络会话通道返回给eID客户端；认证失败，将错误代码与eID认证结果一并返回eID客户端。