CN104618117B - 基于二维码的智能卡设备的身份认证装置及方法 - Google Patents

Abstract

本发明公开了一种基于二维码的智能卡设备的身份认证装置及方法，该方法包括：智能卡设备基于私钥对该设备当前时间进行签名，并根据内置的认证服务器地址生成认证URL的二维码；终端扫描智能卡设备上的二维码获取认证URL，并发送认证服务器进行认证；终端在认证服务器认证通过后，访问支持认证URL的网站时，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取认证服务器中认证URL的认证记录；网站/应用服务器根据认证记录，向终端发送认证结果。该方法解决了智能卡在使用过程中需要通过USB或者读卡器和终端通信，并且在该终端中安装驱动，导致使用过程复杂，用户体验差的问题。

Description

基于二维码的智能卡设备的身份认证装置及方法

技术领域

本发明涉及身份认证技术领域，具体涉及一种基于二维码的智能卡设备的身份认证装置及方法。

背景技术

证书智能卡是一种数字证书智能卡设备，安全存放用户的数字证书及私钥，需要采用私钥完成签名或者加密时，通过PIN访问智能卡COS，将需要加密或者签名的数据传给COS，COS再实际使用私钥完成密码处理。比较常用的证书智能卡有U盾形式(通过USB访问COS)以及卡片模式(通过读卡器访问COS)，接口通常使用PKCS系列规范来完成。

使用证书智能卡可以基于PKI/CA体系完成用户身份认证，但通常需要USB接口或者读卡器等支持，而且需要在终端中安装相关驱动，使用过程比较麻烦，体验较差。

发明内容

针对现有技术中的缺陷，本发明提供了一种基于二维码的智能卡设备的身份认证装置及方法，该方法解决了智能卡在使用过程中需要通过USB或者读卡器和终端通信，并且在该终端中安装驱动，导致使用过程复杂，用户体验差的问题。

第一方面，本发明提供一种基于二维码的智能卡设备的身份认证方法，包括：

智能卡设备基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

终端通过扫描智能卡设备上的二维码获取认证URL，并将所述认证URL发送至认证服务器进行认证；

所述终端在所述认证服务器认证通过后，访问支持认证URL的网站时，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录；

所述网站/应用服务器根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。

可选的，所述认证URL包括：所述认证服务器的网址、认证路径、证书标识、当前时间、签名信息和动态参数。

可选的，所述方法还包括：

在所述智能卡设备上设置切换按钮，通过所述按钮得到获取认证URL的二维码。

可选的，所述方法还包括：

在所述智能卡设备上设置生成认证URL的二维码的静态口令；

在所述终端输入所述静态口令后，获取所述智能卡设备中获取认证URL的二维码。

可选的，所述方法还包括：

所述认证服务器在认证所述认证URL认证后向所述终端发起静态口令认证。

可选的，所述静态口令包括用户名/口令认证、PIN认证、指纹认证或手势认证。

可选的，所述终端将所述认证URL发送至认证服务器进行认证包括：

所述认证服务器对所述终端发送的所述认证URL和所述静态口令进行认证；

在所述认证URL和所述静态口令均通过所述认证服务器的认证时，则认证成功；否则，所述认证服务器中断认证。

可选的，所述网站/应用服务器根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果，包括：

在所述认证服务器中存在所述认证URL的认证记录，且所述认证记录为认证通过时，向所述终端发送认证通过的认证结果；

在所述认证服务器中不存在所述认证URL的认证记录，或所述认证记录未认证通过时，向所述终端发送认证失败的认证结果。

第二方面，本发明还提供了一种基于二维码的智能卡设备设备的身份认证装置，包括：智能卡设备、终端、认证服务器和网站/应用服务器；

所述智能卡设备，用于基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

所述终端，用于通过所述智能卡设备上的显示的二维码，获取所述认证URL，并通过所述认证服务器对所述认证URL进行认证；

所述认证服务器，用于对所述认证URL进行认证，并保存所述认证URL的认证记录；

所述网站/应用服务器，用于接收所述终端在所述认证服务器认证通过后，访问支持认证URL的网站的信息，并通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录；

所述网站/应用服务器，还用于根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。

由上述技术方案可知，本发明提供的一种基于二维码的智能卡设备的身份认证装置及方法，该方法通过在智能卡设备上生成获取认证URL的二维码，并通过终端扫描智能卡设备上的二维码获取认证URL，并且在认证服务器认证通过后，终端访问支持认证URL的网站时，也无需插入或读取智能卡，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录，并根据该认证记录向终端发送认证结果，该方法解决了智能卡在使用过程中需要通过USB或者读卡器和终端通信，并且在该终端中安装驱动，导致使用过程复杂，用户体验差的问题。

附图说明

图1为本发明一实施例提供的一种基于二维码的智能卡设备的身份认证方法的流程示意图；

图2为本发明一实施例提供的智能卡设备的显示示意图；

图3为本发明另一实施例提供的一种基于二维码的智能卡设备的身份认证方法的流程示意图；

图4为本发明一实施例提供的一种基于二维码的智能卡设备的身份认证装置的结构示意图。

具体实施方式

下面结合附图，对发明的具体实施方式作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

图1示出了本发明实施例提供的一种基于二维码的智能卡设备设备的身份认证方法的流程示意图，如图1所示，该方法包括如下步骤：

101、智能卡设备基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码。

具体的，所述认证URL包括：认证服务器的网址、认证路径、证书标识、当前时间、签名信息和动态参数。

智能卡设备还支持手机/Pad等扫描/读取设备通过NFC、蓝牙等读取认证URL，并完成后续认证。此时传输的数据格式可以是XML或其他非URL格式。

102、终端通过扫描智能卡设备上的二维码获取认证URL，并将所述认证URL发送至认证服务器进行认证。

103、所述终端在所述认证服务器认证通过后，访问支持认证URL的网站时，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录；

104、所述网站/应用服务器根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。

上述方法通过在智能卡设备上生成获取认证URL的二维码，并通过终端扫描智能卡设备上的二维码获取认证URL，并且在认证服务器认证通过后，终端访问支持认证URL的网站时，也无需插入或读取智能卡，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录，并根据该认证记录想终端发送认证结果，

该方法解决了智能卡在使用过程中需要通过USB或者读卡器和终端通信，并且在该终端中安装驱动，导致使用过程复杂，用户体验差的问题。

在另一个可实现的方式中，所述方法还包括采用现有的证书认证方式，在网站或者应用认证的过程中通过使用USB或者读卡器访问智能卡的方式完成用户认证。

具体的如图2所示，在所述智能卡设备上设置切换按钮，通过所述按钮得到获取认证URL的二维码，终端直接扫描二维码就可以获取认证URL。

图3示出了本发明实施例提供的一种基于二维码的智能卡设备的身份认证方法的流程示意图，如图3所示，该方法包括如下步骤：

301、智能卡设备基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

基于二维码的证书智能卡设备，是将二维码和证书机制结合在一起，提供传统的证书智能卡功能的同时，支持二维码认证。如图2所示，设备有一个液晶，存在一个触发显示的按钮，为了省电在一定时间后自动关闭显示，可以通过按钮触发生成二维码图像。

生成二维码时，COS使用私钥对设备内的当前时间T进行签名得到结果S，然后结合内置的认证服务器地址，生成一个认证URL。该认证URL包含认证服务器地址和端口等信息，认证URL还包含认证路径、证书的唯一标识(证书序列号、DN或证书指纹等)当前时间信息T、签名S和其他必要信息。因为每次生成二维码的时间是不同的，因此该二维码也是动态变化的。

302、终端通过扫描智能卡设备上的二维码，获取认证URL。

智能卡设备在二维码模式下，终端通过扫描/读取智能卡设备上的二维码，获取指向认证服务器的认证URL，然后访问该认证URL，在认证服务器上完成认证。上述终端可以为手机/Pad等扫描/读取设备，本实施例不对其进行具体限定。

在具体实施过程中，为了增强认证安全性，在所述智能卡设备上设置生成认证URL的二维码的静态口令，在所述终端输入所述静态口令后，获取所述智能卡设备中获取认证URL的二维码；所述静态口令包括用户名/口令认证、PIN认证、指纹认证或手势认证。

303、终端将获取的认证URL发送至认证服务器进行认证。

304、认证服务器对该认证URL进行认证，并保存所述认证URL的认证记录。

认证服务器进行认证时，先根据URL携带的证书唯一标识检索出用户的数字证书，并使用证书对时间T及其签名S进行签名验证，并验证T是否在上次验证的T之后或和当前时间误差在一定范围内(防止重用)，验证成功则继续，否则中断认证过程。

在另一个可选的实施方式中，还可以在上述认证基础上认证服务器在认证所述认证URL后向所述终端发起静态口令认证。要求用户输入静态口令并对静态口令进行验证。在上述认证URL和静态口令均认证成功则继续，否则中断认证过程。

也就是说，所述认证服务器对所述终端发送的所述认证URL和所述静态口令同时进行认证；在所述认证URL和所述静态口令均通过所述认证服务器的认证时，则认证成功；否则，所述认证服务器中断认证。

305、终端在认证服务器对其发送的认证URL认证通过后，访问支持认证URL的网站。

306、网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录。

可理解的是，认证服务器完成认证以后，进一步设置相关的认证会话信息。此时用户访问具体的网站/应用系统，通过OpenID、OAuth、FIDO、SAML或类似机制完成无缝登录，网站/应用系统获得数字证书中的用户信息，最终完成对用户的登录认证。

307、网站/应用服务器向终端返回认证结果。

在所述认证服务器中存在所述认证URL的认证记录，且所述认证记录为认证通过时，向所述终端发送认证通过的认证结果；

在所述认证服务器中不存在所述认证URL的认证记录，或所述认证记录未认证通过时，向所述终端发送认证失败的认证结果。

下面通过上述认证方法结合具体的实施例进行详细说明：

用户需要访问网站A，先按智能卡设备的按钮，触发生成并显示二维码，用手机/Pad使用二维码扫描软件扫描获取一个认证URL，点击认证URL打开浏览器访问，认证URL指向的是认证服务器，认证服务器完成对认证URL的认证后，显示认证成功(如果认证失败则显示错误信息并终止认证过程)，并显示网站A的URL(用户曾经访问过网站A，认证服务器能够记录)，用户点击网站A的认证URL或者在浏览器里面输入网站A的认证URL，访问网站A，网站A使用OpenID、OAuth、FIDO、SAML或类似机制完成无缝登录，并自动完成了网站A的登录认证。

具体的认证URL可以如下格式：

https://www.XX.com/login？u＝[SN]&t＝[T]s＝[S]&…，其中https://www.XX.com指认证服务器的网址、login为认证路径、SN代表证书标识、T设备当前时间、S代表签名、…代表其他动态参数。其中实际使用的域名和参数名等可以是其他给定的域名和参数名。所有参数可以根据需要进行有损或无损微缩。

上述方法基于标准的PKI/CA、智能卡和二维码技术，兼容常规的证书智能卡功能；网站/应用服务器只需支持OpenID、OAuth、FIDO、SAML或类似标准认证机制；智能卡设备中内置的认证服务器地址可以设置，签名时可以插入随机数以提高安全性，随机数需要作为参数写入认证URL；手机/Pad不用安装专门的程序，支持标准的二维码扫描即可；认证URL里面的参数可以是微缩模式，以减小URL长度。

上述智能卡设备可以是智能手表、智能戒指等智能穿戴设备形式存在。

图4示出了本发明实施例提供的一种基于二维码的智能卡设备设备的身份认证装置的结构示意图，如图4所示，所述装置包括：智能卡设备41、终端42、认证服务器43和网站/应用服务器44；

所述智能卡设备41，用于基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

所述终端42，用于通过所述智能卡设备上的显示的二维码，获取所述认证URL，并通过所述认证服务器对所述认证URL进行认证；

所述认证服务器43，用于对所述认证URL进行认证，并保存所述认证URL的认证记录；

所述网站/应用服务器44，用于接收所述终端在所述认证服务器认证通过后，访问需要通过认证URL的网站的信息，并通过OpenID、OAuth、FIDO或SAML查询所述认证服务器中所述认证URL的认证记录；

所述网站/应用服务器，还用于根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。

本发明的装置与方法是一一对应的，因此方法中一些模块的实施也适用于该装置，该装置将不再进行详细说明。

本发明的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (9)

1.一种基于二维码的智能卡设备的身份认证方法，其特征在于，包括：

智能卡设备基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

终端通过扫描智能卡设备上的二维码获取认证URL，并将所述认证URL发送至认证服务器进行认证；

所述终端在所述认证服务器认证通过后，访问支持认证URL的网站时，网站/应用服务器通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录；

所述网站/应用服务器根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。

2.根据权利要求1所述的方法，其特征在于，所述认证URL包括：所述认证服务器的网址、认证路径、证书标识、当前时间、签名信息和动态参数。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述智能卡设备上设置切换按钮，通过所述按钮得到获取认证URL的二维码。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述智能卡设备上设置生成认证URL的二维码的静态口令；

在所述终端输入所述静态口令后，获取所述智能卡设备中获取认证URL的二维码。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述认证服务器在认证所述认证URL认证后向所述终端发起静态口令认证。

6.根据权利要求4或5所述的方法，其特征在于，所述静态口令包括用户名/口令认证、PIN认证、指纹认证或手势认证。

7.根据权利要求5所述的方法，其特征在于，所述终端将所述认证URL发送至认证服务器进行认证包括：

所述认证服务器对所述终端发送的所述认证URL和静态口令进行认证；

在所述认证URL和所述静态口令均通过所述认证服务器的认证时，则认证成功；否则，所述认证服务器中断认证。

8.根据权利要求1所述的方法，其特征在于，所述网站/应用服务器根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果，包括：

在所述认证服务器中存在所述认证URL的认证记录，且所述认证记录为认证通过时，向所述终端发送认证通过的认证结果；

在所述认证服务器中不存在所述认证URL的认证记录，或所述认证记录未认证通过时，向所述终端发送认证失败的认证结果。

9.一种基于二维码的智能卡设备设备的身份认证装置，其特征在于，包括：智能卡设备、终端、认证服务器和网站/应用服务器；

所述智能卡设备，用于基于私钥对该设备当前时间进行签名，并结合所述设备内置的认证服务器地址生成认证URL的二维码；

所述终端，用于通过所述智能卡设备上的显示的二维码，获取所述认证URL，并通过所述认证服务器对所述认证URL进行认证；

所述认证服务器，用于对所述认证URL进行认证，并保存所述认证URL的认证记录；

所述网站/应用服务器，用于接收所述终端在所述认证服务器认证通过后，访问支持认证URL的网站的信息，并通过OpenID、OAuth、FIDO或SAML获取所述认证服务器中所述认证URL的认证记录；

所述网站/应用服务器，还用于根据所述认证服务器中所述认证URL的认证记录，向所述终端发送认证结果。