CN104580255A - 基于可识别码流的识别设备对终端设备的认证方法及系统 - Google Patents

Abstract

本发明公开一种基于可识别码流的识别设备对终端设备的认证方法及系统。方法包括，步骤1：终端设备生成存储有数据符号信息的介质，介质包括用预设口令作为秘钥进行第一次加密的第一号码信息、时间信息、操作码信息和附加码信息，用系统预设的总秘钥进行第二次加密的信息；步骤2：识别设备用于识别该存储有数据符号信息的介质，即识别设备先用总秘钥进行第一次解密，然后在预设的号码信息许可表中查找与第一号码信息相对应的预设口令作为秘钥进行第二次解密并得出第二号码信息，如解密出来的第二号码信息与第一次解密的第一号码信息相同，则认证通过，根据与操作码对应的操作权限执行相应的操作，若未通过，则结束。发明具有安全性能高的优点。

Description

基于可识别码流的识别设备对终端设备的认证方法及系统

技术领域

本发明涉及认证技术领域，更具体地说，特别涉及一种基于可识别码流的识别设备对终端设备的认证方法及系统。

背景技术

目前的智能化门禁系统主要采用射频卡技术、指纹技术或者面部识别技术。其中，射频卡技术必须要求使用者随身携带门卡，不方便、容易丢失；指纹技术由于涉及隐私问题不利于推广；而面部识别技术价格昂贵、难以普及。

在这种情况下，采用二维码识别技术作为门禁识别技术成为可能，可将二维码保存在手机里，利用手机作为二维码的载体实现门禁识别。但由于二维码是图像，容易被复制，安全性较差。目前有利用手机IME码结合时间值动态加密的方案，但是仍然只能解决识别信息在一定的时间段内不被复制利用问题，而不能解决认证的问题，如果手机丢失仍然可能被利用来进入门禁。并且如果一但总密钥和密钥算法遭到泄漏，则可能被人伪造二维码进行认证。

发明内容

本发明的目的在于提供一种基于可识别码流的识别设备对终端设备的认证方法。

本发明还提供以一种实现该方法的系统。

为了达到上述目的，本发明采用的技术方案如下：

一种基于可识别码流的识别设备对终端设备的认证方法，所述认证方法通过终端设备和识别设备实施，实现识别设备对终端设备的认证，所述终端设备内存储有第一号码信息，所述识别设备内存储有号码信息许可表，所述号码信息许可表内存有每个号码信息所对应的预设口令和操作权限；

所述的方法包括以下步骤，

步骤1：所述终端设备生成存储有数据符号信息的介质，所述介质包括用预设口令作为秘钥进行第一次加密的第一号码信息、时间信息、操作码信息和附加码信息，以及用系统预设的总秘钥进行第二次加密的信息；

步骤2：所述识别设备用于识别该存储有数据符号信息的介质，即所述识别设备先用系统预设的总秘钥进行第一次解密，然后在预设的号码信息许可表中查找与第一号码信息相对应的预设口令作为秘钥进行第二次解密并得出第二号码信息，如果解密出来的第二号码信息与第一次解密的第一号码信息相同，则认证通过，并根据与操作码对应的操作权限执行相应的操作，若认证未通过，则结束认证。

优选地，所述步骤1包括：

子步骤10：所述终端设备读出终端设备的第一号码信息；

子步骤11：所述终端设备读出终端设备当前的时间信息；

子步骤12：所述终端设备接收终端设备持有人输入的预设口令信息；

子步骤13：所述终端设备根据需要生成操作码信息；

子步骤14：所述终端设备根据需要生成附加码信息；

子步骤15：所述终端设备将第一号码信息、当前时间信息、操作码信息和附加码信息进行合并以形成认证码信息；

子步骤16：所述终端设备用预设口令信息对认证码信息进行加密以形成认证码密文信息；

子步骤17：所述终端设备用系统预设的总秘钥将第一号码信息与子步骤16中所得出的认证码密文信息合并以形成加密的输出码信息；

子步骤18：所述终端设备将输出码信息转换为存储有数据符号信息的介质以供识别设备读取。

优选地，所述步骤2包括：

子步骤20：所述识别设备读取存储有数据符号信息的介质并将其转换为输入码信息；

子步骤21：所述识别设备用系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；

子步骤22：所述识别设备将读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若成功则执行子步骤23，否则结束认证；

子步骤23：所述识别设备从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；

子步骤24：如果解密出的第二号码信息与第一次解密的第一号码信息相同，则表示认证成功，再通过识别设备判断时间是否在许可范围之内，若在则根据与操作码对应的操作权限执行相应的操作，否则结束认证。

优选地，所述第一号码信息为手机号、预设卡号、身份证号、QQ号或者自定义号码；

优选地，所述终端设备为手机、平板电脑。

优选地，所述操作码所对应的操作权限包括认证开门、访客临时认证开门、更新口令或同步时间。

优选地，所述终端设备所生成的存储有数据符号信息的介质为一维条码、二维码、声波码或光波码。

优选地，所述第一次加密和第一次解密采用相同的秘钥，所述第二次加密和第二次解密采用相同的秘钥，并且所述第一次加密和第一次解密，以及所述第二次加密和第二次解密均采用相同的算法，该算法可以是DES、3DES或AE128或其他自定义算法。

优选地，所述认证为门禁认证或计算机认证或交易认证。

本发明还提供一种实现上述的基于可识别码流的识别设备对终端设备的认证方法的系统，包括：

终端设备，所述终端设备用于生成存储有数据符号信息的介质；

与终端设备对应的识别设备，所述识别设备用于识别该存储有数据符号信息的介质；

所述终端设备内包括依次连接的第一加密模块、第二加密模块和介质生成模块；

所述第一加密模块用预设口令对第一号码信息、时间信息、操作码信息和附加码信息进行第一次加密以形成认证码密文信息；

所述第二加密模块用系统预设的总秘钥对第一次加密后的认证码密文信息进行第二次加密以形成加密的输出码信息；

所述介质生成模块用于根据第二次加密后的输出码信息生成一存储有数据符号信息的介质；

所述识别设备内包括依次连接的介质读取模块、第一解密模块、查找模块、第二解密模块、判断模块和执行模块；

所述介质读取模块用于获取介质生成模块所生成的存储有数据符号信息的介质，

所述第一解密模块用于根据系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；

所述查找模块将第一解密模块所读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若查找成功则第二解密模块从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；

所述判断模块将第二解密模块解密出的第二号码信息与第一次解密的进行比对，若相同，则表示认证成功，再判断时间是否在许可范围之内，若在则通过执行模块执行相应的操作。

与现有技术相比，本发明的优点在于：

本发明可以让终端设备持有人预先设定口令，并且在生成介质的时候输入口令，以加密的方式与各种系统进行认证，从而提高系统的安全性。基于该方法，即使终端设备丢失，只要口令不泄漏，丢失的终端设备也不可能被用来通过认证，更不可能伪造介质骗过认证。并且介质内含有时间信息，即时被复制也不容易被用来通过认证。同时基于该方法，还可以实现口令更新、生成临时访客二维码等扩展功能。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明所述基于可识别码流的识别设备对终端设备的认证方法的流程图。

图2是本发明所述可加密的认证系统的框架图。

具体实施方式

下面结合附图对本发明的优选实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

参阅图1所示，本发明提供一种基于可识别码流的识别设备对终端设备的认证方法，所述认证方法通过终端设备和识别设备实施，实现识别设备对终端设备的认证，所述终端设备内存储有第一号码信息，所述识别设备内存储有号码信息许可表，所述号码信息许可表内存有每个号码信息所对应的预设口令和操作权限。

所述的方法包括以下步骤：

步骤1：所述终端设备生成存储有数据符号信息的介质，所述介质包括用预设口令作为秘钥进行第一次加密的第一号码信息、时间信息、操作码信息和附加码信息，以及用系统预设的总秘钥进行第二次加密的信息。具体的，所述步骤1包括：

子步骤10：所述终端设备读出终端设备的第一号码信息；

子步骤11：所述终端设备读出终端设备当前的时间信息；

子步骤12：所述终端设备接收终端设备持有人输入的预设口令信息；

子步骤13：所述终端设备根据需要生成操作码信息；

子步骤14：所述终端设备根据需要生成附加码信息；

子步骤15：所述终端设备将第一号码信息、当前时间信息、操作码信息和附加码信息进行合并以形成认证码信息；

子步骤16：所述终端设备用预设口令信息对认证码信息进行加密以形成认证码密文信息；

子步骤17：所述终端设备用系统预设的总秘钥将第一号码信息与子步骤16中所得出的认证码密文信息合并以形成加密的输出码信息；

子步骤18：所述终端设备将输出码信息转换为存储有数据符号信息的介质以供识别设备读取。

步骤2：所述识别设备用于识别该存储有数据符号信息的介质，即所述识别设备先用系统预设的总秘钥进行第一次解密，然后在预设的号码信息许可表中查找与第一号码信息相对应的预设口令作为秘钥进行第二次解密并得出第二号码信息，如果解密出来的第二号码信息与第一次解密的第一号码信息相同，则认证通过，并根据与操作码对应的操作权限执行相应的操作，若认证未通过，则结束认证。具体的，步骤2包括：

子步骤20：所述识别设备读取存储有数据符号信息的介质并将其转换为输入码信息；

子步骤21：所述识别设备用系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；

子步骤22：所述识别设备将读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若成功则执行子步骤23，否则结束认证；

子步骤23：所述识别设备从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；

子步骤24：如果解密出的第二号码信息与第一次解密的第一号码信息相同，则表示认证成功，再通过识别设备判断时间是否在许可范围之内，若在则根据与操作码对应的操作权限执行相应的操作，否则结束认证。

在本发明中，所述第一号码信息为手机号、预设卡号、身份证号、QQ号或者自定义号码等；

在本发明中，所述终端设备所生成的存储有数据符号信息的介质为一维条码、二维码、声波码或光波码。如采用二维码作为介质。而二维码读取设备的解密、查找认证等功能可以有二维码读取设备的内部单片计算机实现也可以由连接二维码识别设备的计算机实现。而在该方法中不限于用手机屏幕直接认证，用手机或其他设备生成二维码并打印出来再认证也可。

在本发明中，所述终端设备为手机、平板电脑等其他可以生成并现实介质(如二维码)的设备。

在本发明中，所述操作码所对应的操作权限包括认证开门、访客临时认证开门、更新口令或同步时间，还包括其他可自行定义的操作。

在本发明中，所述第一次加密和第一次解密采用相同的秘钥，所述第二次加密和第二次解密采用相同的秘钥，并且所述第一次加密和第一次解密，以及所述第二次加密和第二次解密均采用相同的算法，该算法可以是DES、3DES或AE128，但不限于特定的加密和解密方法，也可采用其他自定义的算法。

本发明还提供一种实现上述的基于可识别码流的识别设备对终端设备的认证方法的系统，包括：

终端设备1，所述终端设备用于生成存储有数据符号信息的介质；与终端设备1对应的识别设备2，所述识别设备用于识别该存储有数据符号信息的介质。

所述终端设备1内包括依次连接的第一加密模块10、第二加密模块11和介质生成模块12。

所述第一加密模块10用预设口令对第一号码信息、时间信息、操作码信息和附加码信息进行第一次加密以形成认证码密文信息；所述第二加密模块11用系统预设的总秘钥对第一次加密后的认证码密文信息进行第二次加密以形成加密的输出码信息；所述介质生成模块12用于根据第二次加密后的输出码信息生成一存储有数据符号信息的介质。

所述识别设备2内包括依次连接的介质读取模块20、第一解密模块21、查找模块22、第二解密模块23、判断模块24和执行模块25。

所述介质读取模块20用于获取介质生成模块12所生成的存储有数据符号信息的介质，

所述第一解密模块21用于根据系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；所述查找模块22将第一解密模块所读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若查找成功则第二解密模块23从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；所述判断模块24将第二解密模块解密出的第二号码信息与第一次解密的进行比对，若相同，则表示认证成功，再判断时间是否在许可范围之内，若在则通过执行模块25执行相应的操作，如：认证开门、访客临时认证开门、更新口令或同步时间等。

本发明用于不限于用于门禁的认证，也可以其他需要进行身份认证的系统，如计算机开机、交易认证等等。

本发明可以让终端设备持有人预先设定口令，并且在生成介质的时候输入口令，以加密的方式与各种系统进行认证，从而提高系统的安全性。口令在终端上输入，而不是在识别设备上输入，使识别设备的成本降低，设备的耐用性提高，口令被泄漏的风险降低。基于该方法，即使终端设备丢失，只要口令不泄漏，丢失的终端设备也不可能被用来通过认证，更不可能伪造介质骗过认证。并且介质内含有时间信息，即时被复制也不容易被用来通过认证。同时基于该方法，还可以实现口令更新、生成临时访客二维码等扩展功能。

下面通过一组门禁认证的实施例来对本发明做进一步介绍。

实施例一

在本实施例中的，终端设备1采用手机，识别设备2采用二维码识别设备，二维码识别设备需具有计算功能(或者计算功能由连接二维码识别设备的计算机实现)，并且设置手机号许可表，该表存有的每个手机号对应的预设口令、操作权限以及其他附加内容。该设备还具有解密功能。手机为能生成二维码并显示于屏幕的手机，具有读取手机号的功能，或者可以由用户设定手机号码。

本实施例具体实施的工作流程为：

A手机生成认证二维码图像，包括以下步骤：

1、手机认证模块读出手机号(Phone_Number)；

2、手机认证模块读取手机当前时间(Time)；

3、手机认证模块接收手机持有人输入口令(Password)；

4、手机根据需要生成操作码(Operation)，该操作码定义了包括但不限于以下几种操作类型：

a)认证开门

b)访客临时认证开门

c)更新口令

d)同步时间

5、手机根据需要生成附加码(Attach_code)，附加码可以根据需要自定义，如新的密码、个人其他信息等；

6、手机认证模块将手机号、当前时间、操作码和附加码进行合并，合并后形成认证码Certification_code，Certification_code＝Phone_Number+Time+Operation+Attach_code；

7、手机认证模块用口令对认证码进行加密形成认证码密文En_Certification_code，En_Certification_code＝Enc(Certification_code，Password)，解释见注1；注1：Enc(Certification_code，Password)：用Password对Certification_code进行加密，输出密文；

8、手机认证模块用系统预设的总密码(General_Key)将手机号与认证码密文合并形成的信息加密并得出输出码Output_code，Output_code＝Enc(Phone_number+En_Certification_code,General_Key)

9、手机二维码生成模块将输出码Output_code转换为认证二维码图像供二维码识别设备读取。

B二维码识别设备对二维码进行认证

1、二维码识别设备读取认证二维码图像，并转换成输入码Input_code，Input_code即前述A中手机认证模块生成的输出码Output_code；

2、二维码识别设备用系统预设的总密码(General_Key)将输入码解密，形成手机号明文和认证码密文；

Phone_number+En_Certification_code＝Enc^-1(Input_code,General_Key)，解释见注2；注2：Enc^-1(Input_code,General_Key)：用General_Key对Input_code进行解密，输出原文；

3、二维码识别设备将读出的手机号Phone_number与设备内置手机号许可表对照查找，

a)如果查找失败，即表中无该手机号则表示认证失败，结束认证；

b)如果查找成功，则从表中取出对应的预设口令(Password),并用该口令对认证码密文进行解密，得出手机号、当前时间、操作码和附加码Phone_Number+Time+Operation+Attach_code＝Enc^-1(En_Certification_code,Password)

c)如果解密出的手机号和与第一次解密所得手机号相同，则表示认证成功

4、上一步认证成功后，二维码识别设备判断时间是否在许可范围，

d)如非许可范围则结束认证；

e)如在许可范围则根据操作码进行操作，即：

i.操作码为“认证开门”，则执行开门动作；

ii.操作码为“访客临时认证开门”，则执行开门动作并根据附加码记录临时访客信息；

iii.操作码为“更新口令”，则根据附加码更新口令；

iv.操作码为“同步时间”，则执行同步时间指令；

v.操作码为其他，则根据预定义执行其他动作或指令。

通过本实施例的实施，可以让手机持有人预先设定口令，并且在生成二维码的时候输入口令，以加密的方式与门禁系统进行认证，从而提高门禁系统的安全性。基于该方法，即使手机丢失，只要口令不泄漏，丢失的手机也不可能被用来通过门禁，更不可能伪造二维码骗过门禁。并且二维码含有时间信息，即时被复制也不容易被用来通过门禁。同时基于该方法，还可以实现口令更新、生成临时访客二维码等扩展功能。

虽然结合附图描述了本发明的实施方式，但是专利所有者可以在所附权利要求的范围之内做出各种变形或修改，只要不超过本发明的权利要求所描述的保护范围，都应当在本发明的保护范围之内。

Claims (10)

1.一种基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述认证方法通过终端设备和识别设备实施，实现识别设备对终端设备的认证，所述终端设备内存储有第一号码信息，所述识别设备内存储有号码信息许可表，所述号码信息许可表内存有每个号码信息所对应的预设口令和操作权限；

所述的方法包括以下步骤，

步骤1：所述终端设备生成存储有数据符号信息的介质，所述介质包括用预设口令作为秘钥进行第一次加密的第一号码信息、时间信息、操作码信息和附加码信息，以及用系统预设的总秘钥进行第二次加密的信息；

步骤2：所述识别设备用于识别该存储有数据符号信息的介质，即所述识别设备先用系统预设的总秘钥进行第一次解密，然后在预设的号码信息许可表中查找与第一号码信息相对应的预设口令作为秘钥进行第二次解密并得出第二号码信息，如果解密出来的第二号码信息与第一次解密的第一号码信息相同，则认证通过，并根据与操作码对应的操作权限执行相应的操作，若认证未通过，则结束认证。

2.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述步骤1包括：

子步骤10：所述终端设备读出终端设备的第一号码信息；

子步骤11：所述终端设备读出终端设备当前的时间信息；

子步骤12：所述终端设备接收终端设备持有人输入的预设口令信息；

子步骤13：所述终端设备根据需要生成操作码信息；

子步骤14：所述终端设备根据需要生成附加码信息；

子步骤15：所述终端设备将第一号码信息、当前时间信息、操作码信息和附加码信息进行合并以形成认证码信息；

子步骤16：所述终端设备用预设口令信息对认证码信息进行加密以形成认证码密文信息；

子步骤17：所述终端设备用系统预设的总秘钥将第一号码信息与子步骤16中所得出的认证码密文信息合并以形成加密的输出码信息；

子步骤18：所述终端设备将输出码信息转换为存储有数据符号信息的介质以供识别设备读取。

3.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述步骤2包括：

子步骤20：所述识别设备读取存储有数据符号信息的介质并将其转换为输入码信息；

子步骤21：所述识别设备用系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；

子步骤22：所述识别设备将读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若成功则执行子步骤23，否则结束认证；

子步骤23：所述识别设备从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；

子步骤24：如果解密出的第二号码信息与第一次解密的第一号码信息相同，则表示认证成功，再通过识别设备判断时间是否在许可范围之内，若在则根据与操作码对应的操作权限执行相应的操作，否则结束认证。

4.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述第一号码信息为手机号、预设卡号、身份证号、QQ号或者自定义号码。

5.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述终端设备为手机、平板电脑。

6.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述操作码所对应的操作权限包括认证开门、访客临时认证开门、更新口令或同步时间。

7.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述终端设备所生成的存储有数据符号信息的介质为一维条码、二维码、声波码或光波码。

8.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述第一次加密和第一次解密采用相同的秘钥，所述第二次加密和第二次解密采用相同的秘钥，并且所述第一次加密和第一次解密，以及所述第二次加密和第二次解密均采用相同的算法，该算法可以是DES、3DES或AE128或其他自定义算法。

9.根据权利要求1所述的基于可识别码流的识别设备对终端设备的认证方法，其特征在于，所述认证为门禁认证或计算机认证或交易认证。

10.一种实现权利要求1-9任意一项所述的基于可识别码流的识别设备对终端设备的认证方法的系统，其特征在于，该系统包括：

终端设备，所述终端设备用于生成存储有数据符号信息的介质；

与终端设备对应的识别设备，所述识别设备用于识别该存储有数据符号信息的介质；

所述终端设备内包括依次连接的第一加密模块、第二加密模块和介质生成模块；

所述第一加密模块用预设口令对第一号码信息、时间信息、操作码信息和附加码信息进行第一次加密以形成认证码密文信息；

所述第二加密模块用系统预设的总秘钥对第一次加密后的认证码密文信息进行第二次加密以形成加密的输出码信息；

所述介质生成模块用于根据第二次加密后的输出码信息生成一存储有数据符号信息的介质；

所述识别设备内包括依次连接的介质读取模块、第一解密模块、查找模块、第二解密模块、判断模块和执行模块；

所述介质读取模块用于获取介质生成模块所生成的存储有数据符号信息的介质，

所述第一解密模块用于根据系统预设的总秘钥对输入码进行解密，以形成第一号码信息和认证码密文信息；

所述查找模块将第一解密模块所读出的第一号码信息与号码信息许可表进行对照查找并判断是否查找成功，若查找成功则第二解密模块从号码信息许可表中取出对应的预设口令，并利用该预设口令对认证码密文信息进行解密以得到第二号码信息、当前时间信息、操作码信息和附加码信息；

所述判断模块将第二解密模块解密出的第二号码信息与第一次解密的进行比对，若相同，则表示认证成功，再判断时间是否在许可范围之内，若在则通过执行模块执行相应的操作。