CN105704092A - 用户身份认证方法、装置和系统 - Google Patents

Abstract

本发明涉及一种用户身份认证方法、用户身份认证装置和用户身份认证系统。所述系统包括：用户身份认证卡，用于存储加密的用户身份信息；具有近距离无线通讯功能的移动终端，用于利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息，并基于该用户身份信息以加密的方式发送身份鉴权请求；鉴权服务器，用于接收并校验该身份鉴权请求，解密出用户身份信息；业务系统，用于接收鉴权服务器传递的用户身份信息，基于该用户身份信息生成业务信息返回给所述移动终端。本发明采用商户极易配置的NFC移动终端作为读取设备，极大降低运营成本，同时充分考虑了过程安全、传输安全等因素，在性能和安全性上实现平衡，易于市场推广和覆盖。

Description

用户身份认证方法、装置和系统

技术领域

本发明涉及数据通讯领域，更具体地说，涉及一种用户身份认证方法、用户身份认证装置和用户身份认证系统。

背景技术

在商业社会中各种业务活动不可避免的都要伴随着身份确认的工作，比如商场购物确认会员身份、网上购物线下进行货物提取、通过预付费卡进行支付购物、积分卡等，都要首先确认用户的合法性之后才能完成业务。身份认证在信用社会中用途越来越广泛。传统的身份认证方式是通过各自独立的实体卡形态，比如会员卡、积分卡、门禁卡、支付卡、游戏卡、充值卡，而技术上采用普通卡、磁条卡、IC卡等形式，虽然很方便，但是当我们拥有很多卡片的时候就会出现烦恼，各种卡都随身携带非常不便，而不带又在需要用的时候无法及时使用对应的卡。另外，基于各种卡上的增值业务呈现出独立的状态，比如优惠信息、折扣金额、会员资料等无法做到各卡通用。

为此，统一的用户身份认证卡解决方案被提出来，通过对个人用户实名发放独立的卡片或者与手机绑定的SIM卡来标识用户的真实唯一身份。该用户身份认证卡可以是基于RFID技术的加密身份认证卡片，卡片中内置了以数字证书保护的用户身份信息。进行用户身份认证时，通过卡片在专用设备即POS机或者专用读头上进行读取，读取到的加密的用户身份信息传送给后台的鉴权系统进行安全校验，确认数据正确，解密出用户身份以后安全传递给业务系统。这种方案安全性好，卡的发行过程处于完全的受控环境中，由运营商在工厂生成数据并初始化卡，用户仅仅使用而且无法了解卡的对外读取接口，很难破解；而且，卡的受理设备POS机同样是在受监管的供应商生产环境下生成，其中关键的接口协议和密钥信息是在封闭环境下开发的，无法扩散。但是，这种方案的成本高，对于已经铺设了POS的商家需要改造现有设备，没有铺设POS的商家需要购买读头设备或者POS机，成本较高，对于中小商户是一个经济负担。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种成本低、易于推广且安全性高的用户身份认证方法、用户身份认证装置和用户身份认证系统。

本发明解决其技术问题所采用的技术方案是：提出一种用户身份认证方法，包括如下步骤：

S1、利用近距离无线通讯技术(NearFieldCommunication，NFC)读取用户身份认证卡内的用户身份信息；

S2、基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求；

S3、接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

一个实施例中，所述方法在步骤S1之前还包括：

S0、以初始密码登录鉴权服务器进行商户身份校验。

一个实施例中，所述步骤S0中的初始密码由鉴权服务器以短消息的方式发送。

一个实施例中，所述方法在步骤S1之前还包括：

S0’、向鉴权服务器校验本地应用数据的完整性。

本发明为解决其技术问题还提出一种用户身份认证装置，包括：

读取模块，用于利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息；

鉴权模块，用于基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求；

业务模块，用于接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

一个实施例中，所述鉴权模块还用于以初始密码登录鉴权服务器进行商户身份校验。

一个实施例中，所述初始密码由鉴权服务器以短消息的方式发送给鉴权模块。

一个实施例中，所述鉴权模块还用于向鉴权服务器校验本地应用数据的完整性。

本发明为解决其技术问题还提出一种用户身份认证系统，包括：

用户身份认证卡，用于存储加密的用户身份信息；

具有近距离无线通讯功能的移动终端，用于利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息，并基于该用户身份信息以加密的方式发送身份鉴权请求；

鉴权服务器，用于接收并校验该身份鉴权请求，解密出用户身份信息；

业务系统，用于接收鉴权服务器传递的用户身份信息，基于该用户身份信息生成业务信息返回给所述移动终端。

本发明的用户身份认证方法、装置和系统采用NFC手机作为读取设备，NFC手机是商户本身就具备的硬件设备，不需要专门为用户认证而采用专用的POS机，所以运营成本被极大的降低，为商业适用环境降低了门槛，有利于扩大身份读取设备的市场占有率和改变产品商业模式。同时，本发明从本地应用数据的安全性、NFC手机读取用户身份认证卡的安全性、NFC手机与业务后台之间的安全性等多方面进行安全保护，以解决在非专用设备上进行用户身份认证可能存在的各种安全问题，在平衡安全性和成本之间给商户提供另一种选择。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明一个实施例的用户身份认证系统的逻辑结构示意图；

图2是图1所示的用户身份认证系统进行用户身份认证的流程图；

图3是本发明一个实施例的用户身份认证方法的流程图；

图4是本发明另一实施例的用户身份认证方法的流程图；

图5是本发明一个实施例的用户身份认证装置的逻辑结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提出一种采用NFC移动终端替代现有的统一用户身份认证卡解决方案中使用的专用POS机来进行用户身份认证的系统。图1示出了根据本发明一个实施例的用户身份认证系统的逻辑结构示意图。如图1所示，该用户身份认证系统包括用户身份认证卡10、NFC移动终端20、鉴权服务器30和业务系统40。用户身份认证卡10用于存储加密的用户身份信息。具体实现中，该用户身份认证卡10可以是独立的RFID芯片卡，也可以是手机SIM卡。NFC移动终端20具有NFC功能，用于利用近距离无线通讯技术读取用户身份认证卡10内的用户身份信息，并基于该用户身份信息以加密的方式发送身份鉴权请求给鉴权服务器30。具体实现中，NFC移动终端20可以是各种NFC手机或者其它各种具有NFC功能的移动通讯终端。鉴权服务器30接收NFC移动终端20发送的鉴权请求后进行后台安全校验，解密出用户身份信息，然后将该用户身份信息直接传递给业务系统40，以确保身份校验结果的不可仿冒。业务系统40为商户提供各种增值服务平台，包括积分、优惠、会员、营销等各种功能，其具体实现为现有技术，在此便不再赘述。业务系统40接收鉴权服务器30传递的用户身份信息后，基于该用户身份信息生成相关的业务信息返回给NFC移动终端20。

图2示出了本发明一个实施例中的用户身份认证系统进行用户身份认证的流程图。在进行用户身份认证时，如图2所示，首先在步骤S1中，NFC移动终端20登录鉴权服务器30进行商户身份校验。具体示例中，NFC移动终端20通过初始密码到鉴权服务器30进行登录校验，初始密码的获取方式可采用短消息，由鉴权服务器30根据NFC移动终端20的请求以短消息的方式发送给NFC移动终端20。这种双通道的方式，能够很好的确保商户使用者的身份。接着步骤S2中，NFC移动终端20向鉴权服务器30校验本地应用数据的完整性。在以客户端APP的形式在NFC移动终端20中实现用户身份认证时，步骤S2中的本地应用数据完整性校验包括校验客户端代码本身是否被篡改、客户端本地数据是否被篡改、硬件是否更换等，确保客户端本身的一致性。接着步骤S3中，鉴权服务器30校验成功后确立与NFC移动终端20的关系，并记录其状态以进行跟踪。接着步骤S4中，鉴权服务器30返回校验成功结果给NFC移动终端20。接着步骤S5中，NFC移动终端20读取用户身份认证卡10内的用户身份信息开始用户身份认证。接着步骤S6中，NFC移动终端20基于该用户身份信息以加密的方式向鉴权服务器30发送身份鉴权请求。接着步骤S7中，鉴权服务器30进行安全校验，解密出用户身份信息。接着步骤S8中，鉴权服务器30将用户身份信息传递给业务系统40。接着步骤S9中，业务系统40根据该用户身份信息生成相关的业务信息，并将该业务信息返回给NFC移动终端20。本实施例中，鉴权服务器30校验成功后直接将用户身份信息传递给业务系统40，通过业务系统40与NFC移动终端20对接确保身份校验结果的不可仿冒。

本发明的上述用户身份认证流程采用商户极易配置的NFC移动终端作为读取设备，极大降低运营成本，同时充分考虑了过程安全、传输安全等因素，在性能和安全性上实现平衡，易于市场推广和覆盖。

基于以上所介绍的用户身份认证系统，本发明还提出一种在NFC移动终端侧实现的用户身份认证方法。图3示出了本发明一个实施例的用户身份认证方法100的流程图。如图3所示，该方法100包括如下步骤：

步骤S101中，利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息。

接着步骤S102中，基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求。

接着步骤S103中，接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

图4示出了本发明另一优选实施例的用户身份认证方法200的流程图。如图4所示，该方法200包括如下步骤：

步骤S201中，以初始密码登录鉴权服务器进行商户身份校验。该初始密码可由鉴权服务器以短消息的方式发送。

接着步骤S202中，向鉴权服务器校验本地应用数据的完整性，包括校验客户端代码本身是否被篡改、客户端本地数据是否被篡改、硬件是否更换等，确保客户端本身的一致性。

接着步骤S203中，利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息。

接着步骤S204中，基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求。

接着步骤S205中，接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

基于以上所介绍的用户身份认证方法，本发明还提出一种用户身份认证装置。图5示出了本发明一个实施例的用户身份认证装置21的逻辑结构示意图。该用户身份认证装置21优选以客户端APP的形式在NFC移动终端20中实现。如图5所示，该用户身份认证装置21包括读取模块211、鉴权模块212和业务模块213。其中，读取模块211用于利用近距离无线通讯技术读取用户身份认证卡10内的用户身份信息。鉴权模块212用于基于该用户身份信息以加密的方式向鉴权服务器30发送身份鉴权请求。业务模块213用于接收业务系统40发送的基于鉴权服务器30进行用户身份校验后传递的用户身份信息生成的业务信息。一个具体实施例中，鉴权模块212还可在用户身份认证装置21读取用户身份认证卡10内的信息进行认证之前，以初始密码登录鉴权服务器30进行商户身份校验，该初始密码可由鉴权服务器30以短消息的方式发送给鉴权模块212。此外，鉴权模块212还可向鉴权服务器30校验本地应用数据的完整性，以确保本地数据存储的安全性。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种用户身份认证方法，其特征在于，包括如下步骤：

S1、利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息；

S2、基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求；

S3、接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

2.根据权利要求1所述的用户身份认证方法，其特征在于，所述方法在步骤S1之前还包括：

S0、以初始密码登录鉴权服务器进行商户身份校验。

3.根据权利要求2所述的用户身份认证方法，其特征在于，所述步骤S0中的初始密码由鉴权服务器以短消息的方式发送。

4.根据权利要求1所述的用户身份认证方法，其特征在于，所述方法在步骤S1之前还包括：

S0’、向鉴权服务器校验本地应用数据的完整性。

5.一种用户身份认证装置，其特征在于，包括：

读取模块，用于利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息；

鉴权模块，用于基于该用户身份信息以加密的方式向鉴权服务器发送身份鉴权请求；

业务模块，用于接收业务系统发送的基于鉴权服务器进行用户身份校验后传递的用户身份信息生成的业务信息。

6.根据权利要求5所述的用户身份认证装置，其特征在于，所述鉴权模块还用于以初始密码登录鉴权服务器进行商户身份校验。

7.根据权利要求6所述的用户身份认证装置，其特征在于，所述初始密码由鉴权服务器以短消息的方式发送给鉴权模块。

8.根据权利要求5所述的用户身份认证装置，其特征在于，所述鉴权模块还用于向鉴权服务器校验本地应用数据的完整性。

9.一种用户身份认证系统，其特征在于，包括：

用户身份认证卡，用于存储加密的用户身份信息；

具有近距离无线通讯功能的移动终端，用于利用近距离无线通讯技术读取用户身份认证卡内的用户身份信息，并基于该用户身份信息以加密的方式发送身份鉴权请求；

鉴权服务器，用于接收并校验该身份鉴权请求，解密出用户身份信息；

业务系统，用于接收鉴权服务器传递的用户身份信息，基于该用户身份信息生成业务信息返回给所述移动终端。