CN105791277A - 一种身份认证的方法 - Google Patents

Abstract

本发明公开了一种身份认证的方法，该方法包括：接收用户输入的进行身份认证的第一指令；采集所述用户的当前生物特征数据；将所述当前生物特征数据与预先注册的认证生物特征数据进行比较；当所述当前生物特征数据与所述认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；将所述动态用户标识数据进行发送，以便进行身份核验。本发明所提供的身份认证的方法，通过对生物特征数据的比对，能够确保用户的有效身份，且采用数据加密技术确保了数据的可靠性以及安全性。

Description

一种身份认证的方法

技术领域

本发明涉及身份认证技术领域，特别是涉及一种身份认证的方法。

背景技术

科技进步促使人们生活方式的改变，智能手机、4G通信技术以及云计算、大数据的发展，促进了移动互联网的发展，也催生了电商、移动支付以及传统行业向移动办公和移动政务等业务转变，手机银行、各种生活类、娱乐类APP赋予了人们生活的极大便利，不过与此同时，网上身份认证成为了诸多业务开展的瓶颈。

目前国内的互联网身份验证普遍使用“关联比对”方法，即将用户输入的“姓名+身份证号”等个人信息，传到后台对个人信息的正确性进行比对来认定其身份。但是“关联比对”方法在大规模应用的场景下主要存在以下问题：账户与用户分离，不能证明账户的操作人为用户本人，即个人信息比对正确并不能代表本人真实意愿，无法防范个人身份被冒用或盗用的风险；并且采集个人信息的网络应用服务机构安全水平不一，个人信息大规模泄露的风险较高。

现有移动端身份认证的方式为：以手机号码下发短信验证码方式进行，其基本逻辑就是电信运营商会对手机号码的方法采用实名制，即人与手机号码相互绑定。在互联网或移动互联网应用需要用户注册或核实人员身份时，手机APP或PC上的应用程序会通过后台向用户所使用的手机发放具有某种规则的验证码，用户需要在APP上提交此验证码才能进行后续操作。此种方法虽然一定程度上缓解了互联网身份认证的问题，但其技术上并不严密，并不能对使用该手机的人员做到准确的识别，极易产生短信拦截、恶意短信等安全风险，且用户手机容易被盗，存在账户安全隐患，并不被银行等国家公信力机构所承认。

因此，如何解决互联网身份认证成为了目前亟待解决的问题。

发明内容

本发明的目的是提供一种身份认证的方法，目的在于解决现有身份认证技术中不能确保用户身份的真实性、交易数据的可靠性以及交易的安全性的问题。

为解决上述技术问题，本发明提供一种身份认证的方法，包括：

接收用户输入的进行身份认证的第一指令；

采集所述用户的当前生物特征数据；

将所述当前生物特征数据与预先注册的认证生物特征数据进行比较；

当所述当前生物特征数据与所述认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；

将所述动态用户标识数据进行发送，以便进行身份核验。

可选地，所述认证生物特征数据、所述安全密钥数据以及所述用户数据为首次核验成功后生成的数据。

可选地，还包括：

将首次核验成功后生成的数据以及授权的数字证书进行存储，写入的数据信息不能进行读取或修改。

可选地，所述通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据包括：

获取三级密钥体系中的主密钥、工作密钥、计算消息鉴别码的密钥以及所述用户数据；

获取当前时间数据，将所述当前时间数据以及所述用户数据作为原文，以所述计算消息鉴别码的密钥为密钥，计算得到消息鉴别码；

将所述消息鉴别码以及所述用户数据作为明文，采用所述工作密钥对数据进行加密，获取加密数据；

将所述加密数据以及发行方标识数据组合，作为所述动态用户标识数据。

可选地，每次生成的所述动态用户标识数据为不相同的密文。

可选地，所述采集所述用户的当前生物特征数据包括：

通过可穿戴设备采集所述用户的指纹、静脉、人脸、掌纹和/或虹膜数据。

可选地，所述将所述动态用户标识数据进行发送，以便进行身份核验包括：

将所述动态用户标识数据以条码或通信方式发送至服务器进行身份核验。

可选地，在所述将所述动态用户标识数据进行发送，以便进行身份核验之后还包括：

所述服务器将数据解密后得到所述用户数据以及所述消息鉴别码；

根据所述用户数据到相应的数据库中查找得到所述计算消息鉴别码的密钥；

对所述消息鉴别码进行校验。

可选地，在所述将所述用户标识数据进行发送，以便进行身份认证之后还包括：

在所述服务器对身份核验成功后，接收所述用户输入的进行相关业务办理的第二指令。

本发明所提供的身份认证的方法，通过接收用户输入的进行身份认证的第一指令；采集用户的当前生物特征数据；将当前生物特征数据与预先注册的认证生物特征数据进行比较；在当前生物特征数据与认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；将动态用户标识数据进行发送，以便进行身份核验。本发明所提供的身份认证的方法，通过对生物特征数据的比对，能够确保用户的有效身份，且采用数据加密技术确保了数据的可靠性以及安全性。

附图说明

为了更清楚的说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所提供的身份认证的方法的一种具体实施方式的流程图；

图2为本实施例所提供的身份认证的方法的另一种具体实施方式中生成动态用户标识数据的过程流程图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明所提供的身份认证的方法的一种具体实施方式的流程图如图1所示，该方法包括：

步骤S101：接收用户输入的进行身份认证的第一指令；

步骤S102：采集所述用户的当前生物特征数据；

作为一种具体实施方式，当前生物特征数据可以通过可穿戴设备采集所述用户的指纹、静脉、人脸、掌纹和/或虹膜数据，当然并不限于这些数据，这均不影响本发明的实现。

步骤S103：将所述当前生物特征数据与预先注册的认证生物特征数据进行比较；

步骤S104：当所述当前生物特征数据与所述认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；

步骤S105：将所述动态用户标识数据进行发送，以便进行身份核验。

本发明所提供的身份认证的方法，通过接收用户输入的进行身份认证的第一指令；采集用户的当前生物特征数据；将当前生物特征数据与预先注册的认证生物特征数据进行比较；在当前生物特征数据与认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；将动态用户标识数据进行发送，以便进行身份核验。本发明所提供的身份认证的方法，通过对生物特征数据的比对，能够确保用户的有效身份，且采用数据加密技术确保了数据的可靠性以及安全性。

本发明所提供的身份认证的方法可以具体通过相应的设备来实现，进一步地，该设备可以采用可穿戴的物理形式，如智能手环、智能手表、智能眼镜或智能戒指等设备，也可以为包括具有蓝牙通信、安全加密功能以及指纹识别功能的普通硬件设备。该设备中可以具体包括安全芯片、生物识别模块。

其中，安全芯片可以为国家商用密码局认证过的芯片。生物识别模块具有生物识别功能。

在本实施例中，上述认证生物特征数据、安全密钥数据以及用户数据为首次核验成功后生成的数据。

将首次核验成功后生成的数据以及授权的数字证书进行存储，写入的数据信息不能进行读取或修改，即保证写入数据的唯一性。

验证操作可以具体为当面核对用户的身份证信息，并进行联网核查。需要指出的是，该过程在安全环境中进行，比如银行的柜台面签、移动运营商的面签等。安全环境可以具体为摄像头监控环境等。

具体地，在人工柜面身份核验通过后，将用户CA证书、认证生物特征数据以及安全密钥数据存入到安全芯片内部，且这些信息无法通过软硬件接口进行读取和修改。

作为一种具体实施方式，设备在首次核验发行时需要在指定的安全环境下进行，如银行、移动运营商等柜面，在人工通过二代证等相关设备核实用户真实身份后，向身份核验服务器提请设备发行，即密钥生成、通过安全通道下载到该设备。同时该设备以国家商用密码局认可的密码算法为基础。采用三级密钥体系进行设备发行，保证了整个设备在发行和使用时无数据泄露。

具体地，发行三级密钥体系的过程可以包括：

第一级：根据非对称密钥RSA或SM2协商出主密钥TMK，如果协商失败则重复该流程；

第二级：根据TMK，同步生成工作密钥TWK，如果同步失败则跳转至第一级；

第三级：根据TMK和TWK同步生成计算消息鉴别码的密钥TAK，以及用户ID，如果同步失败则跳转至第一级。

下面对本实施例中通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据的过程进行详细阐述，该过程的流程图如图2所示，该过程包括：

步骤S201：获取三级密钥体系中的主密钥TMK、工作密钥TWK、计算消息鉴别码的密钥TAK以及所述用户数据ID；

其中用户ID和TAK存在关联性。

步骤S202：获取当前时间数据t，将所述当前时间数据t以及用户数据ID作为原文，以所述计算消息鉴别码的密钥TAK为密钥，计算得到消息鉴别码MAC；

具体可以采用ANSIX9.19算法进行MAC计算。

步骤S203：将所述消息鉴别码MAC以及所述用户数据作为明文，采用所述工作密钥对数据进行加密，获取加密数据；

具体可以将6字节的MAC和十字节用户ID打包成16字节的明文M1；采用TWK对M1加密得到M2，其中加密算法可以具体为对称加密算法。

步骤S204：将所述加密数据以及发行方标识数据组合，作为所述动态用户标识数据。

将M2和发行方标识组合成动态ID，同时将动态ID以直接或间接的方式进行实名认证。

动态ID的组成的一种具体实施方式由表1所示。

类别	发行方标识	用户ID	消息鉴别码MAC
				字节	2bytes	10bytes	6bytes
举例	28	1567382324	4356

本发明采用国家商务密码局认证的动态密码技术，对个人敏感信息进行脱敏，进行加密后在互联网上传递，可确保用户信息不被泄露和篡改，保护了用户隐私，数据更加安全可靠。且一次一密，每次生成的动态用户标识数据为不相同的密文，这样能够进一步确保数据的安全性。

本发明所提供的身份认证的方法的又一实施例中，将动态用户标识数据进行发送，以便进行身份核验具体可以为：

将所述动态用户标识数据以条码或通信方式发送至服务器进行身份核验。

服务器接收之后还包括：

服务器将数据解密后得到所述用户数据以及所述消息鉴别码；

根据所述用户数据到相应的数据库中查找得到所述计算消息鉴别码的密钥；

对所述消息鉴别码进行校验；

在所述服务器对身份核验成功后，接收所述用户输入的进行相关业务办理的第二指令。

本发明实施例所提供的身份认证的方法，当需要进行身份认证时，用户需在设备上完成生物识别。完成生物识别后，设备将产生一组动态ID，以条码扫描或者其他通信方式被第三方机构获取后进行后台校验，后台将数据解密后得到用户ID以及MAC，然后根据用户ID到相应的数据库表中查询得到TAK，然后校验MAC的正确性。

以可穿戴设备为例，下面对本发明所提供的身份认证的方法的工作流程进行进一步详细描述。该过程包括：

柜台面签的过程：

用户在柜面提交身份证，由柜员通过二代证阅读器核验用户身份证；

向身份核验服务器提交用户身份信息，生成用户ID；

服务器向安全设备发行TMK、TWK以及TAK密钥，并同步服务器时间；

柜面发行安全可穿戴设备，录入用户指纹等生物特征数据，并存入CA证书、密钥数据，完成柜台面签的过程。

在用户需要进行身份认证时：

用户采集生物特征数据，在安全可穿戴设备上生成加密脱敏后的用户ID数据；

智能手机中的应用APP将脱敏后的用户ID数据传输至移动应用服务器核验；

移动应用服务器转发用户核验报文至身份核验服务器；

身份核验服务器返回用户的真实身份信息，发送至智能手机；

在身份核验成功后，可根据用户要求进行相关业务办理。

本发明通过对生物特征数据的比对，能够确保用户的有效身份，且采用数据加密技术确保了数据的可靠性以及安全性。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的身份认证的方法进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (9)

1.一种身份认证的方法，其特征在于，包括：

接收用户输入的进行身份认证的第一指令；

采集所述用户的当前生物特征数据；

将所述当前生物特征数据与预先注册的认证生物特征数据进行比较；

当所述当前生物特征数据与所述认证生物特征数据匹配时，通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据；

将所述动态用户标识数据进行发送，以便进行身份核验。

2.如权利要求1所述的身份认证的方法，其特征在于，所述认证生物特征数据、所述安全密钥数据以及所述用户数据为首次核验成功后生成的数据。

3.如权利要求2所述的身份认证的方法，其特征在于，还包括：

将首次核验成功后生成的数据以及授权的数字证书进行存储，写入的数据信息不能进行读取或修改。

4.如权利要求1至3任一项所述的身份认证的方法，其特征在于，所述通过预先存储的安全密钥数据以及用户数据生成动态用户标识数据包括：

获取三级密钥体系中的主密钥、工作密钥、计算消息鉴别码的密钥以及所述用户数据；

获取当前时间数据，将所述当前时间数据以及所述用户数据作为原文，以所述计算消息鉴别码的密钥为密钥，计算得到消息鉴别码；

将所述消息鉴别码以及所述用户数据作为明文，采用所述工作密钥对数据进行加密，获取加密数据；

将所述加密数据以及发行方标识数据组合，作为所述动态用户标识数据。

5.如权利要求4所述的身份认证的方法，其特征在于，每次生成的所述动态用户标识数据为不相同的密文。

6.如权利要求4所述的身份认证的方法，其特征在于，所述采集所述用户的当前生物特征数据包括：

通过可穿戴设备采集所述用户的指纹、静脉、人脸、掌纹和/或虹膜数据。

7.如权利要求4所述的身份认证的方法，其特征在于，所述将所述动态用户标识数据进行发送，以便进行身份核验包括：

将所述动态用户标识数据以条码或通信方式发送至服务器进行身份核验。

8.如权利要求7所述的身份认证的方法，其特征在于，在所述将所述动态用户标识数据进行发送，以便进行身份核验之后还包括：

所述服务器将数据解密后得到所述用户数据以及所述消息鉴别码；

根据所述用户数据到相应的数据库中查找得到所述计算消息鉴别码的密钥；

对所述消息鉴别码进行校验。

9.如权利要求8所述的身份认证的方法，其特征在于，在所述将所述用户标识数据进行发送，以便进行身份认证之后还包括：

在所述服务器对身份核验成功后，接收所述用户输入的进行相关业务办理的第二指令。