CN103942479A

CN103942479A - 一种电子指纹身份标签生成及验证的方法

Info

Publication number: CN103942479A
Application number: CN201310024051.3A
Authority: CN
Inventors: 石丰; 曹彦; 裘羽
Original assignee: Individual
Current assignee: Individual
Priority date: 2013-01-23
Filing date: 2013-01-23
Publication date: 2014-07-23

Abstract

本发明属于网络信息安全领域，本发明公开了一种电子指纹身份标签(EID-Tag)生成及验证的方法：通过将用户使用口令加密的身份信息，经模糊处理的指纹特征信息，用户的序列号以及签发者对上述数据的签名等，写入一个静态的RFID芯片，生成了个人的电子指纹身份标签(EID-Tag)；验证时首先验证签发者的签名确定是有效标签，然后比对现场指纹模版和标准指纹模版的一致性确定当前的操作者为该标签的所有人，完成身份验证；如果验证方需要用户的身份信息，可以通过授权获取口令，解密得到。

Description

一种电子指纹身份标签生成及验证的方法

技术领域

本发明属于信息安全领域，涉及一种电子指纹身份标签(EID-Tag)生成及验证的方法，应用于远程服务终端特别是自助服务终端对用户身份的验证，提供安全、便捷的服务，同时，很好地保护用户的隐私信息。

背景技术

指纹验证技术作为身份验证的手段已经得到越来越多的应用：最常见有考勤机，门禁系统等；把指纹信息与银行卡绑定，可以替代密码或签字甚至银行卡本身，完成支付功能；从2013年起公安部门在公民换领第2代身份证以及发放电子护照时，也要录取用户的指纹信息，并将其存入证件中。随着指纹验证应用范围的推广，指纹信息泄露的安全风险就凸显出来：用人单位可以轻易的获得员工的指纹；银行甚至使用银行POS机的商户也可以轻易的获得用户的指纹；使用带指纹读出功能的二代证读卡器的单位，比如宾馆、机场也可能得到旅客的指纹，除非限制其使用。当一部分指纹信息被泄露，会污染整个指纹验证的网络环境，指纹验证系统功能瘫痪。另一方面，在大规模应用的情况下，用于比对的指纹模版如果存储在中心，势必造成瓶颈，实行1:N比对几乎不可能，需要用户输入一个检索码实施1:1比对；如果将模版部署到应用提供商，存在极大信息泄露风险，且依然不能解决1:N比对问题。

射频识别(RFID)技术作为身份验证的手段的应用更为广泛，比如单位员工的工卡，仓储物流的货物标签等，其最主要的特点是成本极低，非接触识别等。RFID结合智能芯片(IC)，可以完成“近场支付”(NFC)，比如公交卡，高速速通卡，手机钱包等。但是，RFID的最大弱点是不能确认当前持卡人就是卡的所有人，因此不能用于较严格的身份验证，支付也只能用于特定目的或小额支付，以减小丢失后被他人冒用的损失。

PKI/CA技术作为身份验证的手段的应用更为久远。自从1970年代发明了RSA非对称加密算法后，PKI/CA技术作为认证和加密的手段就被广泛地应用于计算机和通信网路之中。个人证书也在逐步普及，例如网络银行使用的U-KEY，以及接触或非接触式的IC银行卡也可以内置数字证书等。为了防止丢失冒用，还需要设置口令来加以保护。由于数字证书的私钥存储及计算必须隔离在数字证书的存储介质中进行才能保证安全，导致介质必须具备运算和双向通信功能，增加了介质的成本。

因此，如何在远程服务终端，特别是远程自助服务终端安全、低成本、便捷地实现用户的真实身份验证，同时保护用户隐私，已成为各种远程服务中亟待解决的重大问题。

发明内容

本发明的目的是为了增强远程服务终端对用户真实身份进行验证的安全性和便捷性，提出一种电子指纹身份标签生成及验证的方法，在有效实现身份验证的同时，保证了用户的隐私信息安全。

本发明的技术方案是：

电子指纹身份标签生成过程：

1、利用“模糊保险箱”技术，将用户指纹转换成用于比对的模糊标准指纹模版；

2、将用户的身份信息，身份证号码、姓名、照片等用口令加密成加密的身份数据；(口令由身份服务商IDSP和用户共同持有)

3、为用户生成唯一的序列号；

4、将序列号、模糊指纹模版和加密的身份数据用哈希函数(MD5，SHA-1等)运算得到哈希值，IDSP对哈希值签名；

5、将签名、序列号、标准指纹模版和加密的身份数据写入RFID芯片，生成电子指纹身份标签，即EID-Tag，发给用户。

验证过程：

1、读出EID-Tag内容，验证签名；

2、利用“模糊保险箱”技术采集用户的现场指纹模版；并与读出的标准指纹模版进行比对，通过即完成验证及支付类的应用；

3、如果验证方需要用户的身份信息，可以通过在线(向IDSP请求)或离线(用户输入)的方式得到口令，解密身份信息。

本发明的优点是：

1、安全：由于采用模糊保险箱技术，任何人包括IDSP都不能从标准指纹模版和现场指纹模版中还原出用户的指纹图像和特征；由于使用口令对身份信息加以保护，除非得到本人或IDSP授权，他人无法得到用户身份信息。上述两种情况在EID-Tag丢失时依然成立。

2、准确、高效：用户仅需在出示EID-Tag的同时按下指纹即可完成准确的身份验证(无须验证方人员比对照片来确认)或完成需要授权的操作，如支付；指纹比对工作在终端完成，大大节约传输以及1:N比对的系统开销。指纹比对比数字证书更加直接。

3、经济：EID-Tag只是静态数据的存储，无须双向传输和内部运算，其成本非常低廉。

具体实施方式

EID-Tag的发放：

EID-Tag的发放终端由一个通过互联网连接到身份服务提供商中心服务器的计算机、采用模糊保险箱技术的指纹仪以及RFID写入装置组成，必要时可增加照相机和二代证读卡器等。具体流程如下：

1、用户输入或导入(比如通过二代证读卡器)身份证号码、姓名、照片等传入终端；输入加密口令，终端用口令将上述信息加密为加密身份数据；用模糊指纹仪采集用户的标准指纹模版，传入终端。终端将口令上传至中心，并请求序列号；

2、中心产生用户序列号下发到终端；

3、终端对序列号、标准指纹模版和加密用户数据进行哈希运算，将哈希值上传中心；

4、中心用其私钥对哈希值进行签名，并将签名下发到终端；

5、终端将序列号、标准指纹模版、加密用户数据以及签名通过写入装置写入RFID，即EID-Tag。

6、根据用户需要，EID-Tag可以有多个副本，以及多种形态：“即时贴”(可以贴在手机后盖内)，塑封小卡片(1/4名片大小)，钥匙扣等。EID-Tag的验证：

EID-Tag的验证终端包含模糊指纹仪，RFID读取装置及一台专用或通用计算机终端，该计算机可以离线，或连接服务提供的业务平台，同时独立或通过业务平台连接IDSP中心，其验证流程如下：

1、用户将EID-Tag放在RFID读取装置之上，后者将读取的数据上传至计算机终端，数据包括：用户序列号，模糊标准指纹模版，加密个人身份信息，IDSP的签名信息等。

2、终端用IDSP的公钥验证签名，不通过出告警信息，通过则提示用户按指纹，用户在模糊指纹仪按下指纹，将现场指纹模版传到终端。

3、终端比对标准指纹模版和现场指纹模版，不一致出提示，拒绝进一步服务，一致则通过验证，可以提供服务，比如完成该序列号绑定的银行卡的支付行为等。

4、如果终端所连接的业务需要知道用户的身份信息，可提示用户输入口令或向IDSP中心申请用户口令，用口令将用户身份信息解密。

Claims

1.一种电子指纹身份标签(EID-Tag)生成及验证的方法，其特征在于：通过将用户使用口令加密的身份信息，经模糊处理的指纹特征信息，用户的序列号以及签发者对上述数据的签名等，写入一个静态的RFID芯片，生成了个人的电子指纹身份标签(EID-Tag)。

2.根据权利要求1所述一种电子指纹身份标签(EID-Tag)生成及验证的方法，其特征在于：验证时，首先验证签发者的签名确定是有效标签，然后比对现场指纹模版和标准指纹模版的一致性确定当前的操作者为该标签的所有人，完成身份验证；如果验证方需要用户的身份信息，可以通过授权获取口令，解密得到。