CN105515783B - 身份认证方法、服务器及认证终端 - Google Patents

Abstract

本申请提供了身份认证方法、服务器和认证终端，其中一种身份认证方法可以应用于服务器上，该方法包括：响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名；参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；将所述加密的二维码发送给用户终端以供展示；响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。本申请实施例可以提高数据交互的安全性。

Description

身份认证方法、服务器及认证终端

技术领域

本申请涉及互联网数据安全领域，特别涉及身份认证方法、服务器及认证终端。

背景技术

在互联网的应用越来越广泛的今天，大部分用户都会采用互联网进行数据传输或者业务交流。为了防止信息被盗用保证互联网交易安全，目前一般会对进行数据传输或者业务交流的用户进行身份认证。

其中，有一种扫描二维码来进行身份认证的方式，在用户终端侧需要身份认证时展示请求二维码，从而可以利用智能手机APP在登录状态使用二维码扫描功能读取到认证信息并通知服务器，从而实现扫码认证。

发明内容

但是发明人在研究过程中发现，但是扫码认证的方式的安全性不高，主要原因有：首先，二维码是标准二维码，无法验证二维码发布者的身份，业界已经发生多起恶意二维码钓鱼攻击的案例；其次，二维码一般是公开的，如果是其他用户得到二维码也可正常解码，导致敏感信息泄漏；再次，仅根据手机端的登录状态判断是否通过认证，也会导致安全级别过低。

因此需要提出一种互联网上身份认证的方法和系统，来改进这种单纯的扫码认证方式，让用户享受便捷的同时有更高的安全保证。

基于此，本申请提供了应用于服务器的身份认证方法和应用于认证终端侧的身份认证方法，用以提高互联网数据交互和处理的安全性。

本申请还提供了一种服务器和认证终端，用以保证上述方法在实际中的实现及应用。

为了解决上述问题，本申请公开了一种身份认证方法，该方法应用于服务器上，所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该方法包括：

响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息；

参考所述第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

将所述加密的二维码发送给用户终端以供展示；

响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。

本申请还公开了另一种认证方法，该方法应用于当前认证终端上，该方法包括：

通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

对所述第一签名信息进行身份验证；

如果验证通过，则对所述认证请求进行数字签名，得到第二签名信息；

将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

本申请还公开了一种服务器，所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该服务器包括：

第一数字签名单元，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名；

生成二维码单元，配置用于参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

发送二维码单元，配置用于将所述加密的二维码发送给用户终端以供展示；

第一验证单元，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。

本申请还公开了一种终端，该终端包括：

扫描二维码单元，配置用于通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

第二验证单元，配置用于对所述第一签名信息进行身份验证；

第二数字签名单元，配置用于如果所述验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息；

发送签名信息单元，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

本申请还公开了一种身份认证系统，该系统包括服务器、认证终端和用户终端，其中，

所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该服务器包括：

第一数字签名单元，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息；

生成二维码单元，配置用于参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

发送二维码单元，配置用于将所述加密的二维码发送给用户终端以供展示；

第一验证单元，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的；

所述认证终端包括：扫描二维码单元，配置用于通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

第二验证单元，配置用于对所述第一签名信息进行身份验证；

第二数字签名单元，配置用于如果所述验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息；

发送签名信息单元，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

与现有技术相比，本申请包括以下优点：

在本申请实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请的应用于服务器端的身份认证方法实施例的流程图；

图2是本申请的方法实施例在实际应用中的结构图；

图3是本申请的固定格式的二维码的界面示意图；

图4是本申请应用于认证终端上的身份认证方法实施例的流程图；

图5是本申请的服务器实施例的结构框图；

图6是本申请的认证终端实施例的结构框图；

图7是本申请的身份认证系统实施例具体的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请可用于众多通用或专用的计算装置环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器装置、包括以上任何装置或设备的分布式计算环境等等。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

参考图1，示出了本申请一种身份认证方法实施例的流程图，本实施例可以应用于服务器上，该服务器中存储有用户终端和认证终端一一对应的绑定关系；该方法可以包括以下步骤：

步骤100：服务器接收当前认证终端发送的特征值和终端侧公钥证书。

在本申请实施例中，在进行身份认证之前，服务器可以首先接收认证终端发来的特征值和终端侧公钥证书。其中，特征值能够唯一标识一个认证终端，终端侧公钥证书与终端侧私钥证书是一对数字证书，终端侧私钥证书用于认证终端对认证请求进行数字签名，而终端侧公钥证书用于在服务器侧实现数字验签。服务器可以将特征值和终端侧公钥证书以认证终端为关键字进行保存。此外，服务器中还保存有用户终端和认证终端一一对应的绑定关系，其中，用户终端是用户进行操作的那个终端，例如，用户在电脑上触发了认证请求，则电脑就是本实施例中的用户终端；而认证终端则是用来扫描用户终端上的二维码进行身份认证的终端，可以是智能手机等。

在本申请实施例中，特征值可以是认证终端的wifi网卡地址、国际移动设备标识IMEI，认证终端的硬件出场序列号，等等。当然，也可以将这几种任意结合起来作为认证终端的特征值，只要结合之后的特征值也能够唯一标识一个认证终端即可。

步骤101：响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名。

参考图2所示，为本申请实施例在实际应用中的结构框架图。其中，服务器201分别和用户终端202以及认证终端203分别通过互联网连接，而用户终端202以及认证终端203之间则可以通过扫描二维码连接。用户如果在用户终端上触发认证请求，例如打开某个手机APP进行登录操作，或者进行转账操作，则用户终端会将用户触发的认证请求通过互联网发送给对应的服务器。该认证请求中可以包括转账信息，例如收款人、收款账户和交易金额等信息；也可以是登录信息，例如“您正在请求登录XX论坛”等。

服务器在接收到用户终端发送的认证请求之后，可以采用服务器侧私钥证书对该认证请求进行数字签名，得到第一签名信息，例如一串字符串或者数字等。其中，数字签名的算法可以采用例如RSA算法或者SM2算法等。其中，服务器侧私钥证书和服务器侧公钥证书是一对数字证书，服务器侧私钥证书用于服务器对认证请求进行数字签名，服务器侧公钥证书用于认证终端对第一签名信息进行验签。

步骤102：参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码。

在生成数字签名的第一签名信息之后，服务器将第一签名信息和认证请求编码为二维码，再以与当前用户终端绑定的那个认证终端的特征值为密钥因子，对该二维码进行加密。具体的，本步骤可以包括：

步骤A1：将所述认证请求和第一签名信息采用预设编码方式编码为二维码；

首先将证请求和第一签名信息采用预设编码方式编码为二维码。在实际应用中，二维码的生成有很多编码方法，例如QRCode或者Data Matix方法等。在本步骤中，可以预先在服务器中设置好采用何种编码方法，例如预设编码方式为QRCode算法，则本步骤中服务器会采用QRCode算法来将认证请求和第一签名信息一起编码为二维码。

步骤A2：依据所述绑定关系确定与所述当前用户终端对应的当前认证终端；

服务器还可以在进行编码之前或者之后，依据自己存储的用户终端与认证终端之间的绑定关系来确定与当前用户终端对应的那个当前认证终端，进而可以查找到当前认证终端对应的唯一的特征值。

步骤A3：以所述当前认证终端的特征值为密钥因子，加密所述二维码。

接着服务器可以以当前认证终端的特征值为密钥因子，来加密步骤A1生成的二维码。

接着进入步骤103：将所述加密的二维码发送给所述当前用户终端以供展示。

服务器在生成加密的二维码之后，将其发送给触发认证请求的当前用户终端，当前用户终端则将该加密的二维码展示在屏幕上。

在实际应用中，如果当前用户终端展示了加密的二维码，则用户可以操作对应的认证终端，例如智能手机，来扫描展示的该加密的二维码。认证终端再用自己的特征值对该加密的二维码进行解密，则可以得到认证请求和第一签名信息。认证终端可以利用服务器侧公钥证书对该第一签名信息进行身份验证，如果验证通过，则说明该加密的二维码是正确的，确实是由对应的服务器向用户终端发送的二维码。例如，假设用户进行的是A银行的转账操作，则如果第一签名信息验证通过，则说明该加密的二维码确实是由A银行的服务器发送的，如果验证不通过，则说明该加密的二维码并非A银行的服务器发送。

具体的，用户终端在展示加密的二维码的时候，可以以特定格式进行展示。例如，请参考图3所示，为本申请的固定格式的二维码的界面示意图。在用户终端侧显示二维码的时候，以缺失固定形状的特定方式展现，例如，图3中用户终端侧显示加密二维码时的空白三角形即是缺失的固定形状。而认证终端则有二维码的解密信息，即用户终端侧在展示时缺失的那部分二维码。因此，认证终端在扫描用户终端侧展示的二维码的时候，就可以将两部分二维码组合在一起，从而通过扫描使认证终端获得数据原文。当然，用户终端侧在展示的时候也可以全部显示加密的二维码，此时认证终端侧不再持有二维码信息，认证终端只需要直接扫描二维码进行解密即可得到数据原文。可以理解的是，图3仅仅是二维码展示的具体实例，本领域技术人员可以根据实际需求自主设置二维码的展示方式。

步骤104：响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证。

在实际应用中，当前认证终端对第一签名信息验证通过之后，则对认证请求利用终端侧私钥证书进行数字签名，得到第二签名信息，并将该第二签名信息发送给服务器，由服务器利用步骤100中接收到的终端侧公钥证书对第二签名信息进行验签。

具体的，本步骤可以包括：

步骤B1：获取预先保存的所述当前认证终端的终端侧公钥证书。

本步骤中，服务器可以从数据库中获取自己存储的当前认证终端的终端侧公钥证书。服务器可以设置一个数据库，专门用于存储认证终端的特征值和终端侧公钥证书，以及认证终端与用户终端之间绑定的对应关系等，后续在需要变更信息的情况下，还可以对该对应关系等进行修改。

步骤B2：利用所述终端侧证书对所述第二签名信息进行所述用户的身份验证。

服务器再利用存储的终端测公钥证书对所述第二签名信息进行验签，如果验签正确则说明身份验证通过，说明发起认证请求的用户身份是正确的，可以同意用户本次发起的登录操作或者转账操作等。如果验证不通过则说明用户身份是错误的，则可以拒绝用户本次发起的认证请求，例如登录操作或者转账操作等。

可见，在本申请实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

参考图4，示出了本申请一种身份认证方法实施例的流程图，本实施例可以应用于当前认证终端上，本实施例可以包括以下步骤：

步骤400：认证终端将获取到的所述当前认证终端的特征值和终端测公钥证书发送至服务器。

在本实施例中，与上一个实施例的不同之处在于，执行主体为认证终端。认证终端可以获取到能够唯一标识自己的特征值，并将该特征值和终端侧公钥证书一起发送给服务器，认证终端可以在首次注册或者开机的时候执行该操作。

步骤401：通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码。

在本实施例中，用户已经通过与该当前认证终端的当前用户终端触发了认证请求，服务器对该认证请求进行数字签名从而得到第一签名信息，接着服务器将认证请求和第一签名信息按照预设编码方式编码为二维码，并以当前认证终端的特征值为密钥因子对该二维码进行加密，再将该加密的二维码发送给用户终端进行展示。

在这种情况下，用户可以操作当前认证终端通过安装的摄像头来扫描用户终端上展示的加密的二维码，再利用自身的特征值对该加密的二维码进行解密，从而获得认证请求和第一签名信息。

步骤402：对所述第一签名信息进行身份验证，如果通过，则进入步骤403。

在本步骤中，认证终端对第一签名信息进行身份验证，来判断服务器的合法性。具体的，本步骤可以包括：

步骤C1：获取所述认证终端内置的服务器侧公钥证书；

在本实施例中，认证终端还需要预先获取到服务器侧公钥证书，该服务器侧公钥证书可以在认证终端出厂时就内置在认证终端中，例如以永久保存的形式将服务器侧公钥证书保存在数据库中，以供认证终端需要时查询获得该服务器侧公钥证书。

步骤C2：利用所述服务器侧公钥证书对所述第一签名信息进行身份验证。

利用该服务器侧公钥证书来对该第一签名信息进行身份验证，验证通过则说明发送加密的二维码的服务器是正确的，反之则不正确，则不再继续执行身份认证流程。

步骤403：对所述认证请求进行数字签名，得到第二签名信息。

如果在步骤402中验证通过，则认证终端接着对该认证请求进行数字签名，得到第二签名信息，具体的，本步骤可以包括：

步骤D1：获取所述当前认证终端的终端侧私钥证书；

认证终端获取到自己的终端侧私钥证书，再利用该终端侧私钥证书对该认证请求进行数字签名。

需要说的是，在本实施例中，数字证书可以向第三方申请获得，也可以由服务器或当前认证终端生成。

步骤D2：利用所述终端侧私钥证书对所述认证请求进行数字签名，得到第二签名信息。

步骤404：将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

认证终端再将第二签名信息发送至服务器，由服务器对所述第二签名信息进行所述用户的身份验证。具体的验证过程可以参考上一个实施例，在此不再赘述。

在本实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

对于前述的方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

与上述本申请一种身份认证方法实施例所提供的方法相对应，参见图5，本申请还提供了一种服务器实施例，在本实施例中，所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该服务器包括：

第一数字签名单元501，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息。

其中，所述第一数字签名单元501，具体可以包括：

第一获取模块，配置用于响应于用户通过当前用户终端触发的认证请求，获取服务器侧私钥证书；和，第一数字签名模块，配置用于利用所述服务器侧私钥证书对所述认证请求进行数字签名，得到第一签名信息。

生成二维码单元502，配置用于参考所述第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端。

其中，所述生成二维码单元502具体可以包括：

编码模块，配置用于将所述认证请求和第一签名信息采用预设编码方式编码为二维码；确定模块，配置用于依据所述绑定关系确定与所述当前用户终端对应的当前认证终端；和，加密模块，配置用于以所述当前认证终端的特征值为密钥因子，加密所述二维码。

发送二维码单元503，配置用于将所述加密的二维码发送给用户终端以供展示。

第一验证单元504，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。

其中，所述第一验证单元504具体可以包括：

第二获取模块，配置用于获取预先保存的所述当前认证终端的终端侧公钥证书；和，第一验证模块，配置用于利用所述终端侧公钥证书对所述第二签名信息进行所述用户的身份验证。

其中，所述服务器还可以包括：

接收单元500，配置用于接收当前认证终端发送的特征值和终端侧公钥证书。

在本实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

与上述本申请一种身份认证方法实施例所提供的方法相对应，参考图6所示，本申请还提供了一种认证终端实施例，在本实施例中，该训练装置可以包括：

扫描二维码单元601，配置用于通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，

所述第一签名信息为服务器对所述认证请求进行数字签名的结果。

第二验证单元602，配置用于对所述第一签名信息进行身份验证。

其中，所述第二验证单元602，具体可以包括：

第三获取模块，配置用于获取所述认证终端内置的服务器侧公钥证书；和，第二验证模块，配置用于利用所述服务器侧公钥证书对所述第一签名信息进行身份验证。

第二数字签名单元603，配置用于如果所述验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息。

其中，所述第二数字签名单元603，具体可以包括：

第四获取模块，配置用于获取所述当前认证终端的终端侧私钥证书；和，第二数字签名模块，配置用于利用所述终端侧私钥证书对所述认证请求进行数字签名，得到第二签名信息。

发送签名信息单元604，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

其中，所述认证终端还可以包括：

发送特征值单元600，配置用于将获取到的所述当前认证终端的特征值和终端侧公钥证书发送至服务器。

在本实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

参考图7所示，一种身份认证系统，该系统可以包括服务器201、用户终端202和认证终端203，其中，所述服务器201中存储有用户终端202和认证终端203一一对应的绑定关系；该服务器201可以包括：

接收单元500，配置用于接收当前认证终端发送的特征值和终端侧公钥证书。

第一数字签名单元501，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息。第一数字签名单元501，具体可以包括：第一获取模块5011，配置用于响应于用户通过当前用户终端触发的认证请求，获取服务器侧私钥证书；和，第一数字签名模块5012，配置用于利用所述服务器侧私钥证书对所述认证请求进行数字签名，得到第一签名信息。

生成二维码单元502，配置用于参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端。该生成二维码单元502具体可以包括：编码模块5021，配置用于将所述认证请求和第一签名信息采用预设编码方式编码为二维码；确定模块5022，配置用于依据所述绑定关系确定与所述当前用户终端对应的当前认证终端；和，加密模块5033，配置用于以所述当前认证终端的特征值为密钥因子，加密所述二维码。

发送二维码单元503，配置用于将所述加密的二维码发送给用户终端以供展示。

第一验证单元504，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。第一验证单元504具体可以包括：第二获取模块5041，配置用于获取预先保存的所述当前认证终端的终端侧公钥证书；和，第一验证模块5042，配置用于利用所述终端侧公钥证书对所述第二签名信息进行所述用户的身份验证。

其中，认证终端203可以包括：

发送特征值单元600，配置用于将获取到的所述当前认证终端的特征值和终端侧公钥证书发送至服务器。

扫描二维码单元601，配置用于通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果。

第二验证单元602，配置用于对所述第一签名信息进行身份验证。该第二验证单元602，具体可以包括：第三获取模块6021，配置用于获取所述认证终端内置的服务器侧公钥证书；和，第二验证模块6022，配置用于利用所述服务器侧公钥证书对所述第一签名信息进行身份验证。

第二数字签名单元603，配置用于如果所述验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息。第二数字签名单元603，具体可以包括：第四获取模块6031，配置用于获取所述当前认证终端的终端侧私钥证书；和，第二数字签名模块6032，配置用于利用所述终端侧私钥证书对所述认证请求进行数字签名，得到第二签名信息。

发送签名信息单元604，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

在本实施例中，由于服务器和认证终端分别各自进行一次数字签名来进行身份验证，使得身份验证过程被恶意控制的可能性更小；并且，由于加密的二维码采用认证终端的特征值作为加密因子，所以只有特定的认证终端才能扫描该特定的加密的二维码获得认证请求，所以即便其他终端执行扫描操作也是无法获得认证请求的；此外，本申请实施例将二维码和数字签名结合进行身份认证，也使得被破解的可能性更小。综上所述，本申请实施例可以提升互联网数据交互的安全性，保证用户的交易安全。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本申请所提供的身份认证方法、服务器和认证终端进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (19)

1.一种认证方法，其特征在于，该方法应用于服务器上，所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该方法包括：

响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息；

参考所述第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

将所述加密的二维码发送给用户终端以便所述用户终端以缺少固定形状的特定方式展示所述二维码；

响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。

2.根据权利要求1所述的方法，其特征在于，还包括：

接收当前认证终端发送的特征值和终端侧公钥证书。

3.根据权利要求2所述的方法，其特征在于，响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息，包括：

响应于用户通过当前用户终端触发的认证请求，获取服务器侧私钥证书；

利用所述服务器侧私钥证书对所述认证请求进行数字签名，得到第一签名信息。

4.根据权利要求2所述的方法，其特征在于，所述响应于认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证，包括：

获取预先保存的所述当前认证终端的终端侧公钥证书；

利用所述终端侧公钥证书对所述第二签名信息进行所述用户的身份验证。

5.根据权利要求1所述的方法，其特征在于，所述参考所述认证请求和所述数字签名的第一签名信息，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码，包括：

将所述认证请求和第一签名信息采用预设编码方式编码为二维码；

依据所述绑定关系确定与所述当前用户终端对应的当前认证终端；

以所述当前认证终端的特征值为密钥因子，加密所述二维码。

6.一种认证方法，其特征在于，该方法应用于当前认证终端上，该方法包括：

通过摄像头扫描与所述当前认证终端绑定的当前用户终端上以缺少固定形状的特定方式展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

对所述第一签名信息进行身份验证；

如果验证通过，则对所述认证请求进行数字签名，得到第二签名信息；

将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

7.根据权利要求6所述的方法，其特征在于，所述对所述第一签名信息进行身份验证，包括：

获取所述认证终端内置的服务器侧公钥证书；

利用所述服务器侧公钥证书对所述第一签名信息进行身份验证。

8.根据权利要求6所述的方法，其特征在于，还包括：

将获取到的所述当前认证终端的特征值和终端侧公钥证书发送至服务器。

9.根据权利要求6所述的方法，其特征在于，所述对所述认证请求进行数字签名，得到第二签名信息，包括：

获取所述当前认证终端的终端侧私钥证书；

利用所述终端侧私钥证书对所述认证请求进行数字签名，得到第二签名信息。

10.一种服务器，其特征在于，所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该服务器包括：

第一数字签名单元，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名；

生成二维码单元，配置用于参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

发送二维码单元，配置用于将所述加密的二维码发送给用户终端以便所述用户终端以缺少固定形状的特定方式展示所述二维码；

第一验证单元，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的。

11.根据权利要求10所述的服务器，其特征在于，还包括：

接收单元，配置用于接收当前认证终端发送的特征值和终端侧公钥证书。

12.根据权利要求11所述的服务器，其特征在于，所述第一数字签名单元，包括：

第一获取模块，配置用于响应于用户通过当前用户终端触发的认证请求，获取服务器侧私钥证书；

第一数字签名模块，配置用于利用所述服务器侧私钥证书对所述认证请求进行数字签名，得到第一签名信息。

13.根据权利要求11所述的服务器，其特征在于，所述第一验证单元包括：

第二获取模块，配置用于获取预先保存的所述当前认证终端的终端侧公钥证书；

第一验证模块，配置用于利用所述终端侧公钥证书对所述第二签名信息进行所述用户的身份验证。

14.根据权利要求10所述的服务器，其特征在于，所述生成二维码单元包括：

编码模块，配置用于将所述认证请求和第一签名信息采用预设编码方式编码为二维码；

确定模块，配置用于依据所述绑定关系确定与所述当前用户终端对应的当前认证终端；

加密模块，配置用于以所述当前认证终端的特征值为密钥因子，加密所述二维码。

15.一种终端，其特征在于，包括：

扫描二维码单元，配置用于通过摄像头扫描与当前认证终端绑定的当前用户终端上以缺少固定形状的特定方式展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

第二验证单元，配置用于对所述第一签名信息进行身份验证；

第二数字签名单元，配置用于如果所述第二验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息；

发送签名信息单元，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。

16.根据权利要求15所述的终端，其特征在于，所述第二验证单元，包括：

第三获取模块，配置用于获取所述认证终端内置的服务器侧公钥证书；

第二验证模块，配置用于利用所述服务器侧公钥证书对所述第一签名信息进行身份验证。

17.根据权利要求15所述的终端，其特征在于，还包括：

发送特征值单元，配置用于将获取到的所述当前认证终端的特征值和终端侧公钥证书发送至服务器。

18.根据权利要求15所述的终端，其特征在于，所述第二数字签名单元，包括：

第四获取模块，配置用于获取所述当前认证终端的终端侧私钥证书；

第二数字签名模块，配置用于利用所述终端侧私钥证书对所述认证请求进行数字签名，得到第二签名信息。

19.一种身份认证系统，其特征在于，该系统包括服务器、认证终端和用户终端，其中，

所述服务器中存储有用户终端和认证终端一一对应的绑定关系；该服务器包括：

第一数字签名单元，配置用于响应于用户通过当前用户终端触发的认证请求，对所述认证请求进行数字签名，得到第一签名信息；

生成二维码单元，配置用于参考所述数字签名的第一签名信息和所述认证请求，以与所述当前用户终端绑定的当前认证终端的特征值为密钥因子，生成加密的二维码；所述特征值用于唯一标识一个认证终端；

发送二维码单元，配置用于将所述加密的二维码发送给用户终端以便所述用户终端以缺少固定形状的特定方式展示所述二维码；

第一验证单元，配置用于响应于所述当前认证终端发送的、对所述认证请求进行数字签名的第二签名信息，对所述第二签名信息进行所述用户的身份验证；

其中，所述第二签名信息是在当前认证终端对所述第一签名信息验证通过的情况下生成的；

所述认证终端包括：扫描二维码单元，配置用于通过摄像头扫描与所述当前认证终端绑定的当前用户终端上展示的加密的二维码；其中，所述加密的二维码为：服务器参考认证请求和第一签名信息，并以当前认证终端的特征值为密钥因子生成的；所述认证请求为用户通过所述当前用户终端触发的，所述第一签名信息为服务器对所述认证请求进行数字签名的结果；

第二验证单元，配置用于对所述第一签名信息进行身份验证；

第二数字签名单元，配置用于如果所述第二验证单元的结果为验证通过，对所述认证请求进行数字签名，得到第二签名信息；

发送签名信息单元，配置用于将所述第二签名信息发送至所述服务器，以便服务器对所述第二签名信息进行所述用户的身份验证。