CN105721160A - 一种身份认证装置 - Google Patents

Abstract

本发明适用于数据通讯和信息安全技术领域，提供了一种身份认证装置。所述身份认证装置包括：第一通信接口单元；以及第二通信接口单元；所述第一通信接口单元，用于与外部设备连接，接收所述外部设备发送的U2F协议认证指令，并向所述外部设备反馈对应的认证信息；所述第二通信接口单元，用于与外部设备连接，接收所述外部设备发送的设备生产商专有协议认证指令，并向所述外部设备反馈对应的认证信息。通过本发明可实现跨系统应用，并满足不同系统对安全性、便捷性的要求。

Description

一种身份认证装置

技术领域

本发明属于数据通讯和信息安全技术领域，尤其涉及一种身份认证装置。

背景技术

目前实现了设备生产商专有协议的身份认证装置只支持单一应用系统，用户在互不关联的应用系统中进行身份认证时，需要使用不同的身份认证装置，操作繁琐，且对用户而言形成资源浪费。

故，有必要提出一种新的技术方案，以解决上述技术问题。

发明内容

鉴于此，本发明实施例提供一种身份认证装置，以实现跨系统应用，减少资源浪费。

第一方面，本发明实施例提供了一种身份认证装置，所述身份认证装置包括：

第一通信接口单元；以及

第二通信接口单元；

所述第一通信接口单元，用于与外部设备连接，接收所述外部设备发送的U2F协议认证指令，并向所述外部设备反馈对应的认证信息；

所述第二通信接口单元，用于与外部设备连接，接收所述外部设备发送的设备生产商专有协议认证指令，并向所述外部设备反馈对应的认证信息。

进一步的，所述第二通信接口单元，还用于与外部设备连接，接收所述外部设备通过微信应用软件发送的设备生产商专有协议认证指令，并向所述微信应用软件反馈对应的认证信息，以使得所述微信应用软件将所述认证信息发送给对应的应用服务器进行认证。

进一步的，所述身份认证装置还包括：

控制单元；

所述控制单元分别与所述第一通信接口单元和第二通信接口单元连接；

所述控制单元，用于根据所述第一通信接口单元和/或第二通信接口单元接收到的认证指令生成对应的认证信息，并将所述认证信息通过对应的通信接口单元发送给所述外部设备进行认证。

进一步的，所述述控制单元还用于：

在根据所述第二通信接口单元接收到的认证指令生成对应的认证信息，将所述认证信息通过对应的通信接口单元发送给所述外部设备进行认证之前，要求所述身份认证装置的持有人输入身份识别信息。

进一步的，所述身份认证装置还包括：

与所述控制单元连接的身份识别单元；

所述身份识别单元，用于获取用户输入的身份识别信息，并将所述身份识别信息发送给所述控制单元。

进一步的，所述身份认证装置还包括：

存储单元；

所述存储单元与所述控制单元连接；

所述存储单元，用于为所述身份认证装置以及与所述身份认证装置连接的外部设备提供存储空间，并缓存所述身份识别信息、认证信息、U2F协议元数据以及设备生产商专有协议元数据，其中所述U2F协议元数据以及设备生产商专有协议元数据存储在所述存储单元不同的存储区域。

进一步的，所述身份认证装置还包括：

与所述控制单元连接的第三通信接口单元，

所述第三通信接口单元，用于连接外部设备和/或从连接的所述外部设备处获取所述身份认证装置工作所需的电源。

进一步的，所述第三通信接口单元为USB接口单元。

进一步的，所述第一通信接口单元和所述第二通信接口单元为USB接口单元。

进一步的，所述第一通信接口单元为近距离无线通讯NFC接口单元，所述第二通信接口单元为蓝牙接口单元。

本发明实施例与现有技术相比存在的有益效果是：本发明实施例可以通过所述第一通信接口单元实现U2F协议认证，通过第二通信接口单元实现设备生产商专有协议认证，从而实现了跨系统应用，减少了资源浪费以及用户操作，提高了认证效率。而且，由于该身份认证装置能够区分FIDOU2F协议和设备生产商专有协议，从而可以根据系统的安全性或便捷性等要求使用不同的安全策略，例如，金融交易对安全性要求较高，则可以采用设备生产商专有协议认证；而某些网站及系统登录，则可以采用更快捷的U2F协议认证。本发明实施例所述的身份认证装置可广泛应用于金融交易、网站及系统登录等场合，可以在不同的场合下选择使用不同的协议进行身份认证，具有较强的易用性和实用性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的身份认证装置的组成结构示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透切理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

本发明实施例中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本发明实施例中字符“/”，一般表示前后关联对象是一种“或”的关系。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

图1示出了本发明实施例提供的身份认证装置的组成结构，为了便于说明，仅示出了与本发明实施例相关的部分。

如图1所示，该身份认证装置10包括第一通信接口单元101和第二通信接口单元102。

在本实施例中，所述第一通信接口单元101，用于与外部设备连接，接收所述外部设备发送的U2F协议认证指令，并向所述外部设备反馈对应的认证信息；所述第二通信接口单元102，用于与外部设备连接，接收所述外部设备发送的设备生产商专有协议(即所述身份认证装置生产商自定义的协议)认证指令，并向所述外部设备反馈对应的认证信息。其中，所述设备生产商专有协议认证指令是指与所述设备生产商专有协议相关的指令，所述设备生产商专有协议包括但不限于设备生产商自定义的可实现签名、加解密等功能的协议。

其中，所述U2F(UniversalSecondFactor)协议，为FIDO联盟定义的基于一种第二因子身份认证协议。所述第一通信接口单元101优选近距离无线通讯(NearFiledCommunication，NFC)接口单元，所述第二通信接口单元102优选为蓝牙接口单元。所述外部设备可以为手机、平板电脑或计算机等。

进一步的，所述第一通信接口单元101和所述第二通信接口单元102还可以为类型不同的USB接口单元。为避免协议冲突，其中所述第一通信接口单元101实现U2F协议，所述第二通信接口单元102实现设备生产商专有协议，当所述通信接口单元为所述类型不同的USB接口单元时，需要使用不同的认证界面interface；另外，设备生产商专有协议通信通道也可以采用类型为智能卡的USB接口单元实现，在此不做限制。

需要说明的是，本实施例在所述身份认证装置10的第一通信接口单元101上增加了U2F协议，在所述第二通信接口单元102上增加了设备生产商专有协议，从而使得所述身份认证装置10可以支持U2F应用系统以及其他某些应用系统的认证需求，实现跨系统应用，减少资源浪费。另外，所述身份认证装置10可以同时兼容FIDO的HID协议及设备生产商自定义的HID协议，减少或消除了现有基于设备生产商专有协议的应用系统的升级成本。通过设备生产商专有协议还可以支持PKCS等规范定义的证书颁发及使用过程。

优选的，所述第二通信接口单元102，还可以用于与外部设备连接，接收所述外部设备通过微信应用软件发送的设备生产商专有协议认证指令，并向所述微信应用软件反馈对应的认证信息，以使得所述微信应用软件将所述认证信息发送给对应的应用服务器进行认证。即通过微信应用软件也可以实现设备生产商专有协议认证。

当然，也可以通过新增加的其他通信接口来实现微信认证功能，在此不再赘述。

进一步的，为了提高认证的安全性，本实施例所述身份认证装置10还包括：

控制单元103；

所述控制单元103分别与所述第一通信接口单元101和第二通信接口单元102连接；

所述控制单元103，用于根据所述根据所述第一通信接口单元101和/或第二通信接口单元102接收到的认证指令生成对应的认证信息(例如网站或系统的登录账号和密码信息等)，并将所述认证信息通过对应的通信接口发送给所述外部设备进行认证。

进一步的，所述述控制单元103还用于：

在根据所述第二通信接口单元102接收到的认证指令生成对应的认证信息，将所述认证信息通过对应的通信接口单元发送给所述外部设备进行认证之前，要求所述身份认证装置的持有人输入身份识别信息。

在本实施例中，为了满足不同应用系统对认证强度不同的要求，如金融交易需要强身份认证，有的网站或系统登录则只需要简单的认证。本实施例对于需要强身份认证时，使用第二通信接口单元102，即设备生产商专有协议认证，要求所述身份认证装置的持有人输入身份识别信息，在身份认证通过后，再反馈所述认证信息；在不需要强身份认证时，使用第一通信接口单元101，即U2F协议认证，直接反馈认证信息。采用设备生产商专有协议更安全，而采用U2F协议则更快捷。

进一步的，所述身份认证装置10还可以包括：

与所述控制单元103连接的身份识别单元104；所述身份识别单元104可以包括指纹识别模块等。

所述身份识别单元104，用于获取用户输入的身份识别信息，并将所述身份识别信息发送给所述控制单元103。

在本实施例中，可通过获取用户的虹膜、人脸图像、指纹图像信息或PIN信息证明所述用户是否为所述身份认证装置的合法用户。

进一步的，所述身份认证装置10还可以包括：

存储单元105；

所述存储单元105与所述控制单元103连接；

所述存储单元105，用于为所述身份认证装置10以及与所述身份认证装置10连接的外部设备提供存储空间，并缓存所述身份识别信息、认证信息、U2F协议元数据以及设备生产商专有协议元数据。其中，所述U2F协议元数据以及设备生产商专有协议元数据存储在所述存储单元105不同的存储区域，即所述U2F协议元数据以及设备生产商专有协议元数据分别隔离存储，两种协议均只能操作本协议下生成的元数据，U2F协议元数据包括但不限于公私钥对等，设备生产商专有协议元数据包括但不限于公私钥对及数字证书等，以对数据进行加密和/或身份认证。所述存储单元105可以为NANDFlash芯片。

本实施例通过所述存储单元105内存储的私钥以及数字证书，可以对用户的隐私数据(例如短信内容、电话内容、聊天内容等)进行加密和/或用于用户进行金融支付时提供硬件认证。

作为本发明的一可选示例，所述身份认证装置10还可以包括：

与所述控制单元103连接的备份单元。所述备份单元，用于将所述身份识别信息、认证信息、U2F协议元数据以及设备生产商专有协议元数据通过与所述身份认证装置10连接的外部设备备份到云端服务器。

本实施例通过将所述信息备份到云端服务器，使得用户可以随时通过指纹等认证方式下载其备份在云端服务器的信息。

可选的，为了防止所述信息备份到云端服务器的过程中，被非法用户截获，以及提高云端服务器中存储的信息的安全性。本发明实施例进一步包括：在将所述信息备份到云端服务器之前，通过公钥对所述信息进行加密，将加密后的所述信息上传至云端服务器；当用户需要所述信息时，从云端服务器下载加密后的所述信息，再通过与所述公钥对应的私钥对所述加密的信息进行解密，获得明文信息。本发明实施例在备份所述信息的过程中以密文形式传输并以密文形式存储至云端服务器，可有效防止信息的泄露，提高信息的安全性。

进一步的，所述身份认证装置10还可以包括：

与所述控制单元103连接的第三通信接口单元106，

所述第三通信接口单元106，用于连接外部设备和/或从连接的所述外部设备处获取所述身份认证装置工作所需的电源。当所述第三通信接口106为有线接口时，可以为音频接口、USB接口、idock接口、lighting接口等；当所述第三通信接口106为无线接口时，可以为NFC接口、蓝牙接口、红外接口等。

其中，所述第三通信接口单元106优选为USB接口单元。

需要说明的是，本实施例通过所述第三通信接口单元106连接外部设备获取所述身份认证装置10工作所需的电源为一可选示例，本实施例还可以直接通过身份认证装置10的内部电源(如电池)提供工作所需的电源。当然，所述第三通信接口单元106也可以与外部设备连接，接收所述外部设备发送的认证指令，并向所述外部设备反馈对应的认证信息，具体过程如上所述，在此不再赘述。

可选的，所述身份认证装置10还可以包括设置在外壳上的挂绳孔，从而使所述身份认证装置10可以作为装饰品挂于用户的背包、钥匙链或者其他地方，便于携带且不易丢失。

需要说明的是，本实施例所述第一通信接口单元、第二通信接口单元、第二通信接口单元是指某一通信接口，“第一、第二、第三”在此仅为表述和指代的方便，以用于区别不同类型的通信接口，并不意味着在本发明的具体实现方式中一定会有与之对应的第一通信接口单元、第二通信接口单元以及第三通信接口单元。实际应用中，所述第一通信接口单元、第二通信接口单元和第三通信接口单元的功能可以互换。

本实施例为了便于说明，图1中的身份认证装置10仅示出了与本发明实施例相关的部分。然而，本领域技术人员应当清楚，图1中的身份认证装置10的组成结构并不构成对其限定，图1中的身份认证装置10可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

综上所述，本发明实施例在所述身份认证装置10的第一通信接口单元101上增加了U2F协议，在所述第二通信接口单元102上增加了设备生产商专有协议，从而使得所述身份认证装置10可以支持U2F应用系统以及其他应用系统的认证需求，实现跨系统应用，减少了资源浪费以及用户操作，提高了认证效率。而且，由于该身份认证装置10能够区分FIDOU2F协议和设备生产商专有协议，从而可以根据系统的安全性或便捷性等要求使用不同的安全策略，例如，金融交易对安全性要求较高，则可以采用设备生产商专有协议认证；而某些网站及系统登录，则可以采用更快捷的U2F协议认证。本发明实施例所述的身份认证装置10可广泛应用于金融交易、网站及系统登录等场合，可以在不同的场合下选择使用不同的协议进行身份认证，具有较强的易用性和实用性。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的实施例中，应该理解到，所揭露的身份认证装置，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明实施例各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例各实施例技术方案的精神和范围。

Claims (10)

1.一种身份认证装置，其特征在于，所述身份认证装置包括：

第一通信接口单元；以及

第二通信接口单元；

所述第一通信接口单元，用于与外部设备连接，接收所述外部设备发送的U2F协议认证指令，并向所述外部设备反馈对应的认证信息；

所述第二通信接口单元，用于与外部设备连接，接收所述外部设备发送的设备生产商专有协议认证指令，并向所述外部设备反馈对应的认证信息。

2.如权利要求1所述的身份认证装置，其特征在于，所述第二通信接口单元，还用于与外部设备连接，接收所述外部设备通过微信应用软件发送的设备生产商专有协议认证指令，并向所述微信应用软件反馈对应的认证信息，以使得所述微信应用软件将所述认证信息发送给对应的应用服务器进行认证。

3.如权利要求1或2所述的身份认证装置，其特征在于，所述身份认证装置还包括：

控制单元；

所述控制单元分别与所述第一通信接口单元和第二通信接口单元连接；

所述控制单元，用于根据所述第一通信接口单元和/或第二通信接口单元接收到的认证指令生成对应的认证信息，并将所述认证信息通过对应的通信接口单元发送给所述外部设备进行认证。

4.如权利要求3所述的身份认证装置，其特征在于，所述控制单元还用于：

在根据所述第二通信接口单元接收到的认证指令生成对应的认证信息，将所述认证信息通过对应的通信接口单元发送给所述外部设备进行认证之前，要求所述身份认证装置的持有人输入身份识别信息。

5.如权利要求4所述的身份认证装置，其特征在于，所述身份认证装置还包括：

与所述控制单元连接的身份识别单元；

所述身份识别单元，用于获取用户输入的身份识别信息，并将所述身份识别信息发送给所述控制单元。

6.如权利要求5所述的身份认证装置，其特征在于，所述身份认证装置还包括：

存储单元；

所述存储单元与所述控制单元连接；

所述存储单元，用于为所述身份认证装置以及与所述身份认证装置连接的外部设备提供存储空间，并缓存所述身份识别信息、认证信息、U2F协议元数据以及设备生产商专有协议元数据，其中所述U2F协议元数据以及设备生产商专有协议元数据存储在所述存储单元不同的存储区域。

7.如权利要求3所述的身份认证装置，其特征在于，所述身份认证装置还包括：

与所述控制单元连接的第三通信接口单元，

所述第三通信接口单元，用于连接外部设备和/或从连接的所述外部设备处获取所述身份认证装置工作所需的电源。

8.如权利要求7所述的身份认证装置，其特征在于，所述第三通信接口单元为USB接口单元。

9.如权利要求1所述的身份认证装置，其特征在于，所述第一通信接口单元和所述第二通信接口单元为USB接口单元。

10.如权利要求1所述的身份认证装置，其特征在于，所述第一通信接口单元为近距离无线通讯NFC接口单元，所述第二通信接口单元为蓝牙接口单元。