CN105933280A - 身份认证方法和系统 - Google Patents

Abstract

本发明一种身份认证方法和系统，其中身份认证方法包括：终端生成身份认证请求，并发送至认证服务器；信息安全装置获取随机数据，并使用散列算法计算随机数据的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据；终端获取用户的脸部和用户身份证的合影图像，并将随机数据、第一数据、标识信息和合影图像发送至认证服务器；认证服务器使用公钥对第一数据进行解密得到散列数据，并使用散列算法计算随机数据的散列数据，再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果相同，根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，相同时，身份认证通过。

Description

身份认证方法和系统

技术领域

本发明涉及身份认证领域，尤其涉及用于远程开户过程中的身份认证方法和系统。

背景技术

传统的，为了进行开户，人们需要到营业厅去办理开户手续。例如，办理股票账户时，证券公司为了验证开户人的身份，需要用户到证券公司现场办理开户手续；办理银行卡时，银行为了验证开户人的身份，需要用户到银行柜台现场办理开户手续。

随着电子技术的发展，远程开户已经开始进入人们的生活中，人们开始尝试通过网络实现远程开户。但是，目前，远程开户过程中如何实现对用户的身份认证是目前亟需解决的技术问题。

发明内容

本发明旨在解决上述问题/之一。

本发明的主要目的在于提供一种身份认证方法；

本发明的另一目的在于提供一种身份认证系统；

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明一方面提供了一种远程开户方法，包括：认证服务器将信息安全装置的标识信息与用户身份证信息进行关联存储，其中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；信息安全装置上电并与终端建立通信连接；终端通过应用程序接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器；应用服务器接收登录信息，并判断登录信息是否正确，如果不正确，则终端提示用户重新输入登录信息，如果正确，终端允许用户登录应用程序；终端通过应用程序生成身份认证请求，并将身份认证请求发送至认证服务器；信息安全装置获取随机数据，并使用散列算法计算随机数据的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据和标识信息发送至终端；终端提示用户上传用户的脸部和用户身份证的合影图像，并获取用户的脸部和用户身份证的合影图像；终端将随机数据、第一数据、标识信息和合影图像发送至认证服务器；认证服务器使用信息安全装置的公钥对接收到的第一数据进行解密得到散列数据，并使用散列算法计算接收到的随机数据的散列数据，再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则结束身份认证；在公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息；认证服务器将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，所述终端提示用户所述身份认证失败。

此外，认证服务器将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比之后，还包括：认证服务器将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，身份认证通过。

此外，在终端将身份认证请求发送至认证服务器后，方法还包括：认证服务器接收身份认证请求，并向终端发送身份认证请求的响应信号；终端接收到响应信号后，提示用户进入身份证读取流程；读卡装置从身份证中读取身份证密文信息，并将身份证密文信息发送至身份证安全控制模块；身份证安全控制模块对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块解密得到用户身份证信息，并将用户身份证信息发送至认证服务器；否则，身份证安全控制模块将读卡失败的响应信息通过认证服务器发送至终端，终端提示用户身份证读取失败；在认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息后，方法还包括：认证服务器将身份证安全控制模块解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，如果不同，则结束身份认证；和/或，认证服务器将身份证安全控制模块解密得到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，如果不同，则结束身份认证；和/或，认证服务器将身份证安全控制模块解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。

此外，信息安全装置通过以下方式之一获取随机数据：认证服务器接收到身份认证请求后，生成随机数据，并通过终端将随机数据发送至信息安全装置；或者，信息安全装置和认证服务器基于相同的基本动态参数生成随机数据。

本发明另一方面还提供一种身份认证系统，包括：信息安全装置、终端、认证服务器和应用服务器；其中，认证服务器，用于将信息安全装置的标识信息与用户身份证信息进行关联存储，其中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；信息安全装置，用于与终端建立通信连接；终端，用于通过应用程序接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器；应用服务器，用于接收登录信息，并判断登录信息是否正确，如果不正确，则终端，还用于提示用户重新输入登录信息，如果正确，终端，还用于允许用户登录应用程序；终端，还用于通过应用程序生成身份认证请求，并将身份认证请求发送至认证服务器；信息安全装置，还用于获取随机数据，并使用散列算法计算随机数据的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据和标识信息发送至终端；终端，还用于提示用户上传用户的脸部和用户身份证的合影图像，并获取用户的脸部和用户身份证的合影图像；终端，还用于将随机数据、第一数据、标识信息和合影图像发送至认证服务器；认证服务器，还用于使用信息安全装置的公钥对接收到的第一数据进行解密得到散列数据，并使用散列算法计算接收到的随机数据的散列数据，再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则结束身份认证；认证服务器，还用于在公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，根据标识信息查找与标识信息关联存储的用户身份证信息；认证服务器，还用于将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，所述终端还用于提示用户所述身份认证失败。

此外，认证服务器，还用于将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，身份认证通过。

此外，系统还包括：读卡装置和身份证安全控制模块；

认证服务器，还用于接收身份认证请求，并向终端发送身份认证请求的响应信号；终端，还用于在接收到响应信号后，提示用户进入身份证读取流程；读卡装置，用于从身份证中读取身份证密文信息，并将身份证密文信息发送至身份证安全控制模块；身份证安全控制模块，用于对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块还用于将解密得到的用户身份证信息发送至认证服务器；否则，身份证安全控制模块，还用于将读卡失败的响应信息通过认证服务器发送至终端，终端，还用于提示用户身份证读取失败；认证服务器，还用于将身份证安全控制模块解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，如果不同，则结束身份认证；和/或，认证服务器，还用于将身份证安全控制模块解密得到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，如果不同，则结束身份认证；和/或，认证服务器，还用于将身份证安全控制模块解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。

此外，认证服务器，还用于在接收到身份认证请求后，生成随机数据，并通过终端将随机数据发送至信息安全装置；或者，认证服务器，还用于基于与信息安全装置相同的基本动态参数生成随机数据。

由上述本发明提供的技术方案可以看出，本发明提供了一种身份认证方法、远程开户方法、身份认证系统和远程开户系统。通过上述身份认证方法，认证服务器将信息安全装置的标识信息与用户身份证信息的关联存储，实现对用户身份证信息的认证，防止信息安全装置或身份证丢失的情况下，非法分子冒充开户；通过将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以确保开户人的身份正确，保证身份证、信息安全装置和开户人都正确的情况下才进行开户，进一步提高开户的安全性。另外，通过将身份证安全控制模块解密得到的用户身份证信息与合影图像上的信息进行对比，可以防止用户使用假的身份证进行开户。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例1提供的一种身份认证方法的流程图；

图2为本发明实施例3提供的一种身份认证系统的系统框图；

图3为本发明实施例3提供的另一种身份认证系统的系统框图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或数量或位置。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

下面将结合附图对本发明实施例作进一步地详细描述。

实施例1

图1本实施例提供的一种身份认证方法流程图。如图1所示，本实施例提供的一种身份认证方法包括以下步骤：

步骤101：认证服务器将信息安全装置的标识信息与用户身份证信息进行关联存储，其中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；

在本实施例中，信息安全装置的标识信息可以是信息安全装置的数字证书、也可以是信息安全装置的序列号。本实施例不做具体限定，只要是该标识信息可以唯一的表示信息安全装置即在本发明的保护范围之内。

在本实施例中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像。当然，用户的身份证信息还可以包括指纹信息或其它信息。优选的，用户身份证信息中至少包括用户的脸部图像，以方便后续对合影图像中用户的脸部图像进行认证。

在本实施例中，认证服务器是指用于存储用户信息或对接收到的用户信息进行认证的服务器，认证服务器将信息安全装置的标识信息与用户身份证信息进行关联存储。例如，用户在进行远程开户前，需要在银行办理一个专门用于开户的信息安全装置(例如U盾)。在办理该信息安全装置时，认证服务器将信息安全装置的序列号或数字证书与用户提供的用户身份证的身份证信息进行关联存储。用户办理过该信息安全装置后，可以利用该信息安全装置进行远程开户。认证服务器将信息安全装置的标识信息与用户身份证信息进行关联存储后，用户可以使用信息安全装置实现对用户的身份认证，以进行多次的远程开户，不用每次进行远程开户的时候都去银行或证券公司。

在本实施例中，信息安全装置可以是具有身份认证、数字签名功能的设备，如USBKEY(例如工行U盾、农行K宝)、音频KEY、具有电子签名功能的智能卡等设备，当然也可以是动态口令牌。

步骤102：信息安全装置上电并与终端建立通信连接；

在本实施例中，终端可以是电脑或手机等。信息安全装置可以与终端建立有线通信连接，例如，信息安全装置通过USB接口或音频接口与终端建立通信连接。当然，信息安全装置也可以与终端建立无线通信连接，例如，信息安全装置通过蓝牙、红外、NFC近场通信或可见光通信等方式与终端建立通信连接。

步骤103：终端通过应用程序接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器；

在本实施例中，应用程序是指用于开户的、可以与用户进行界面交互的计算机程序。登录信息可以是用户的登录应用程序的密码；当然，也可以是登录应用程序的账号信息和登录密码。

在本实施例中，用户开启终端上用于进行身份认证的应用程序后，终端上的应用程序提示用户输入登录信息并接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器。其中，终端可根据接入的信息安全装置自动识别用户登录账号信息并显示，并提示用户输入登录信息，例如终端根据与其建立通信连接的信息安全装置的序列号，经过网络从认证服务器端自动获取登录账号信息，并提示用户输入登录信息，此时，登录信息是指登录密码；当然，终端不能根据与其建立通信连接的信息安全装置自动识别用户的登录账号信息时，提示用户输入的登录信息包括登录账号信息和登录密码。

在本实施例中，应用服务器是用于存储登录账号和登录密码的服务器。作为一种可选的实施方式，登录账号信息和登录密码也可存储在认证服务器中，应用程序接收用户输入的登录信息后，将接收到的登录信息发送至认证服务器。

步骤104：应用服务器接收登录信息，并判断登录信息是否正确，如果不正确，则终端提示用户重新输入登录信息，如果正确，终端允许用户登录应用程序；

在本实施例中，应用服务器接收到登录信息后，判断接收到的登录信息与其自身存储的登录信息是否相同，如果相同，则应用服务器判断登录信息正确，应用服务器向终端发送登录信息正确的响应信号，终端接收到应用服务器发送的登录信息正确的响应信号后，终端允许用户登录应用程序，如果不同，则应用服务器判断登录信息不正确，应用服务区向终端发送登录信息不正确的响应信号，终端接收到应用服务器方的登录信息不正确的响应信号后，终端提示用户重新输入登录信息。

步骤105：终端通过应用程序生成身份认证请求，并将身份认证请求发送至认证服务器；

作为本实施例的一种可选实施方式，在终端将身份认证请求发送至认证服务器后，还包括：认证服务器接收身份认证请求，并向终端发送身份认证请求的响应信号；终端接收响应信号后，提示用户进入身份证读取流程；读卡装置从身份证中读取身份证密文信息，并将身份证密文信息发送至身份证安全控制模块；身份证安全控制模块对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块解密得到用户身份证信息，并将用户身份证信息发送至认证服务器；否则，身份证安全控制模块将读卡失败的响应信息通过认证服务器发送至终端，终端提示用户身份证读取失败。具体应用时，读卡装置实现对身份证的读取，但是读卡装置读取的是身份证密文信息，由身份证安全控制模块实现对身份证密文信息的解密，其中，读卡装置可以设置在信息安全装置上或终端上，当然也可以设置在其它终端设备上；终端将身份认证请求发送至认证服务器后，认证服务器接收该身份认证请求，并向终端发送身份认证请求的响应信号，终端接收到认证服务器发送的响应信号后，提示用户进行读取身份证；用户将身份证靠近读卡装置或者将身份证与读卡装置接触，读卡装置从身份证中身份证密文信息，并将身份证密文信息发送至身份证安全控制模块；其中，读卡装置不具有解密功能，只有SAM才能将从身份证中读取的身份证密文信息进行解密，身份证安全控制模块对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块将解密得到的身份证信息发送至认证服务器，如果解密不成功，则说明，用于身份认证的身份证是假的身份证，身份证安全控制模块将读卡失败的响应信息发送至认证服务器，认证服务器再将响应信息发送至终端，终端接收到该读卡失败的响应信息后，提示用户身份证读取失败。如果身份证安全控制模块对身份证密文信息解密失败，说明该身份证不是合法的身份证，通过身份证安全控制模块对身份证的读取可以避免非法分子使用伪造的身份证进行开户，保证开户的安全。

步骤106：信息安全装置获取随机数据，并使用散列算法计算随机数据的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据和标识信息发送至终端。

在本实施例中，随机数据可以是一个或一串随机数字，或者可以是一个或一串随机字符，或者一串随机数字和随机字符的任意组合，使用随机数据一方面可以方便认证服务器对信息安全装置的验证，防止假的信息安全装置冒充开户，另一方面可以防止重放攻击，提高安全性。

在本实施例中，信息安全装置通过以下方式获取随机数据：认证服务器接收到身份认证请求后，生成随机数据，并通过终端将随机数据发送至信息安全装置；或者，信息安全装置和认证服务器基于相同的基本动态参数生成随机数据。具体应用时，认证服务器接收到身份认证请求之后，生成随机数据并发送至终端，终端再将随机数据发送至信息安全装置，信息安全装置获取随机数据，当然，认证服务器生成随机数据后也可直接将随机数据发送至信息安全装置，本实施例不做限定。可选的，认证服务器接收到身份认证请求之后，信息安全装置与认证服务器基于相同的基本动态参数(例如时间参数或交易次数参数)生成随机数据。

在本实施例中，信息安全装置获取随机数据后，使用散列算法(例如，HASH)计算随机数据的散列数据，计算生成散列数据后，利用自身存储的私钥对散列数据进行加密计算，生成第一数据(例如，签名数据)，并将随机数据、第一数据和信息安全装置的标识信息发送至终端。

步骤107：终端提示用户上传用户的脸部和用户身份证的合影图像，并获取用户的脸部和用户身份证的合影图像；

在本实施例中，合影图像包括合影图片和/或合影视频，即，合影图像可以是包括了用户的脸部和用户身份证的照片，当然也可以是包括了用户的脸部和用户身份证的视频。例如，用户可以拿着身份证一起拍照，获得包含用户的脸部和用户身份证的照片；或者，认证服务器可以指示用户拿着身份证做预定的动作，并将该动作进行录像，采用这种方式可以避免非法合成照片的风险。

在本实施例中，终端在接收到信息安全装置发送的随机数据、第一数据和标识信息后，提示用户上传用户的脸部和用户身份证的合影图像，并接收用户上传的合影图像。作为一种可选的实施方式，也可以是在认证服务器接收到终端发送的身份认证请求之后，终端提示用户上传用户的脸部和用户身份证的合影图像，并接收用户上传的合影图像。

在本实施例中，终端获取用户的脸部和用户身份证的合影图像的方式可以是：图像采集模块设置在终端，图像采集模块采集用户的脸部和用户身份证的合影图像，并发送至终端，终端获取用户的脸部和用户身份证的合影图像；当然，图像采集模块也可以设置在信息安全装置上，图像采集模块采集用户的脸部和用户身份证的合影图像，并发送至信息安全装置，信息安全装置再将获取的合影图像发送至终端，终端获取用户的脸部和用户身份证的合影图像，优选的，信息安全装置获取图像采集模块发送的合影图像后，可将合影图像加密或加密并签名后传输至终端，终端获取用户的脸部和用户身份证的合影图像；当然，图像采集模块也可以设置在其它外部设备上，图像采集模块采集用户的脸部和用户身份证的合影图像，外部设备将图像采集模块采集的合影图像发送至终端，终端获取用户的脸部和用户身份证的合影图像，外部设备也可以将图像采集模块采集的合影图像发送至信息安全装置，信息安全装置再将合影图像发送至终端，终端获取用户的脸部和用户身份证的合影图像，通过将图像采集模块设置在外部设备上，不要求终端上设置有图像采集模块，对终端的要求较低。

作为本实施例的一种可选实施方式，终端获取用户的脸部和用户身份证的合影图像后，发送至信息安全装置，信息安全装置获取合影图像后，信息安全装置使用散列算法计算随机数据和合影图像的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据、标识信息和合影图像发送至终端。

步骤108：终端将随机数据、第一数据、标识信息和合影图像发送至认证服务器；

步骤109：认证服务器使用信息安全装置的公钥对接收到的第一数据进行解密得到散列数据，并使用散列算法计算接收到的随机数据的散列数据，再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则结束身份认证；

在本实施例中，认证服务器中存储的信息安全装置的公钥与信息安全装置自身存储的私钥是一对非对称密钥对。

在本实施例中，认证服务器在接收到终端发送的随机数据和第一数据后，使用信息安全装置的公钥对接收到的第一数据(例如，签名数据)进行解密得到散列数据(例如，摘要),并使用散列算法(例如，HASH算法)计算接收到的随机数据的散列数据(例如，摘要),再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则说明随机数据被篡改，结束身份认证。

步骤110：在公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息；

在本实施例中，在步骤109中公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，认证服务器根据接收到的信息安全装置的标识信息查找预先存储的与信息安全装置的标识信息对应的用户身份证信息。

步骤111：认证服务器将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，终端提示用户身份认证失败。

在本实施例中，合影图像中包含用户身份证的图像，认证服务器可通过图像识别等方式识别合影图像中的用户身份证上的信息，并将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，通过终端提示用户身份认证失败。通过将标识信息查找到的身份证信息与合影图像中用户身份证上的信息进行对比，可以防止信息安全装置丢失或身份证丢失的情况下，非法分子冒充开户。

作为本实施例的一种可选实施方式，认证服务器将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比之后，还包括：认证服务器将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，身份认证通过。具体应用时，合影图像中还包括用户的脸部图像，认证服务器可通过图像识别等方式识别合影图像中的用户的脸部图像，并通过图像识别等方式将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，身份认证通过，否则，通过终端提示用户身份认证失败。通过将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以确保开户人的身份正确，保证身份证、信息安全装置和开户人都正确的情况下才进行开户，进一步提高开户的安全性。

作为本实施例的一种可选实施方式，在认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息后，还包括：认证服务器将身份证安全控制模块解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，如果不同，则结束身份认证。具体应用时，在认证服务器根据标识信息查找到与标识信息关联存储的用户身份证信息后，认证服务器将身份证安全控制模块解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，如果不同，则结束身份认证，如果相同，则身份认证通过。通过将身份证安全控制模块解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，可以防止用户使用假的身份证进行开户。

作为本实施例的一种可选实施方式，在认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息后，还包括：认证服务器将身份证安全控制模块解密得到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，如果不同，则结束身份认证。具体应用时，合影图像中包含用户身份证的图像，认证服务器可通过图像识别等方式识别合影图像中的用户身份证上的信息；在认证服务器根据标识信息查找到与标识信息关联存储的用户身份证信息后，认证服务器将身份证安全控制模块解密得到的用户身份证信息与合影图像中用户身份证上的信息进行对比，如果不同，则结束身份认证，如果相同，则身份认证通过。通过将身份证安全控制模块解密得到的用户身份证信息与合影图像中用户身份证上的信息进行对比，可以防止用户使用假的身份证进行开户。

作为本实施例的一种可选实施方式，在认证服务器根据标识信息查找与标识信息关联存储的用户身份证信息后，还包括：认证服务器将身份证安全控制模块解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。具体应用时，合影图像中还包括用户的脸部图像，认证服务器可通过图像识别等方式识别合影图像中的用户的脸部图像，并通过图像识别等方式将身份证安全控制模块解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证，如果相同，则身份认证通过。通过将身份证安全控制模块解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以防止用户使用假的身份证进行开户。

本实施例提供的身份认证方法，认证服务器将信息安全装置的标识信息与用户身份证信息的关联存储，实现对用户身份证信息的认证，防止信息安全装置或身份证丢失的情况下，非法分子冒充开户；通过将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以确保开户人的身份正确，保证身份证、信息安全装置和开户人都正确的情况下才进行开户，进一步提高开户的安全性。另外，通过将身份证安全控制模块解密得到的用户身份证信息与合影图像上的信息进行对比，可以防止用户使用假的身份证进行开户。

实施例2

本实施例提供一种远程开户方法，采用上述实施例1中的身份认证方法对用户的身份进行认证，身份认证通过之后进行远程开户。用户可通过网络实现远程开户，是一种方便的开户方法，另外，可以防止非法分子冒充开户。

需要说明的是，身份认证通过之后，可以是认证服务器自动进行远程开户，也可以是工作人员控制认证服务器进行远程开户。

实施例3

图2为本实施例提供一种身份认证系统，如图2所示，身份认证系统包括信息安全装置201、终端202、认证服务器203和应用服务器204。其中，认证服务器203，用于将信息安全装置201的标识信息与用户身份证信息进行关联存储，其中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；信息安全装置201，用于与终端202建立通信连接；终端202，用于通过应用程序接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器204；应用服务器204，用于接收登录信息，并判断登录信息是否正确，如果不正确，则终端202，还用于提示用户重新输入登录信息，如果正确，终端202，还用于允许用户登录应用程序；终端202，还用于通过应用程序生成身份认证请求，并将身份认证请求发送至认证服务器203；信息安全装置201，还用于获取随机数据，并使用散列算法计算随机数据的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据和标识信息发送至终端202；终端202，还用于提示用户上传用户的脸部和用户身份证的合影图像，并获取用户的脸部和用户身份证的合影图像；终端202，还用于将随机数据、第一数据、标识信息和合影图像发送至认证服务器203；认证服务器203，还用于使用信息安全装置201的公钥对接收到的第一数据进行解密得到散列数据，并使用散列算法计算接收到的随机数据的散列数据，再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则结束身份认证；认证服务器203，还用于在公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，根据标识信息查找与标识信息关联存储的用户身份证信息；认证服务器203，还用于将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，终端202还用于提示用户身份认证失败。

在本实施例中，信息安全装置201的标识信息可以是信息安全装置201的数字证书、也可以是信息安全装置201的序列号。本实施例不做具体限定，只要是该标识信息可以唯一的表示信息安全装置201即在本发明的保护范围之内。

在本实施例中，用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像。当然，用户的身份证信息还可以包括指纹信息或其它信息。优选的，用户身份证信息中至少包括用户的脸部图像，以方便后续对合影图像中用户的脸部图像进行认证。

在本实施例中，认证服务器203是指用于存储用户信息或对接收到的用户信息进行认证的服务器，认证服务器203将信息安全装置201的标识信息与用户身份证信息进行关联存储。例如，用户在进行远程开户前，需要在银行办理一个专门用于开户的信息安全装置201(例如U盾)。在办理该信息安全装置201时，认证服务器203将信息安全装置201的序列号或数字证书与用户提供的用户身份证的身份证信息进行关联存储。用户办理过该信息安全装置201后，可以利用该信息安全装置201进行远程开户。认证服务器203将信息安全装置201的标识信息与用户身份证信息进行关联存储后，用户可以使用信息安全装置201实现对用户的身份认证，以进行多次的远程开户，不用每次进行远程开户的时候都去银行或证券公司。

在本实施例中，信息安全装置201可以是具有身份认证、数字签名功能的设备，如USBKEY(例如工行U盾、农行K宝)、音频KEY、具有电子签名功能的智能卡等设备，当然也可以是动态口令牌。

在本实施例中，终端202可以是电脑或手机等。信息安全装置201可以与终端202建立有线通信连接，例如，信息安全装置201通过USB接口或音频接口与终端202建立通信连接。当然，信息安全装置201也可以与终端202建立无线通信连接，例如，信息安全装置201通过蓝牙、红外、NFC近场通信或可见光通信等方式与终端202建立通信连接。

在本实施例中，应用程序是指用于开户的、可以与用户进行界面交互的计算机程序。登录信息可以是用户的登录应用程序的密码；当然，也可以是登录应用程序的账号信息和登录密码。

在本实施例中，用户开启终端202上用于进行身份认证的应用程序后，终端202上的应用程序提示用户输入登录信息并接收用户输入的登录信息，并将接收到的登录信息发送至应用服务器204。其中，终端202可根据接入的信息安全装置201自动识别用户登录账号信息并显示，并提示用户输入登录信息，例如终端202根据与其建立通信连接的信息安全装置201的序列号，经过网络从认证服务器203端自动获取登录账号信息，并提示用户输入登录信息，此时，登录信息是指登录密码；当然，终端202不能根据与其建立通信连接的信息安全装置201自动识别用户的登录账号信息时，提示用户输入的登录信息包括登录账号信息和登录密码。

在本实施例中，应用服务器204是用于存储登录账号和登录密码的服务器。作为一种可选的实施方式，登录账号信息和登录密码也可存储在认证服务器203中，应用程序接收用户输入的登录信息后，将接收到的登录信息发送至认证服务器203。

在本实施例中，应用服务器204接收到登录信息后，判断接收到的登录信息与其自身存储的登录信息是否相同，如果相同，则应用服务器204判断登录信息正确，应用服务器204向终端202发送登录信息正确的响应信号，终端202接收到应用服务器204发送的登录信息正确的响应信号后，终端202允许用户登录应用程序，如果不同，则应用服务器204判断登录信息不正确，应用服务区向终端202发送登录信息不正确的响应信号，终端202接收到应用服务器204方的登录信息不正确的响应信号后，终端202提示用户重新输入登录信息。

作为本实施例的一种可选实施方式，如图3所示，身份认证系统还包括读卡装置205和身份证安全控制模块206。其中，在终端202将身份认证请求发送至认证服务器203后，认证服务器203，还用于接收身份认证请求，并向终端202发送身份认证请求的响应信号；终端202，还用于在接收到响应信号后，提示用户进入身份证读取流程；读卡装置205，用于从身份证中读取身份证密文信息，并将身份证密文信息发送至身份证安全控制模块206；身份证安全控制模块206，用于对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块206还用于将解密得到的用户身份证信息发送至认证服务器203；否则，身份证安全控制模块206，还用于将读卡失败的响应信息通过认证服务器203发送至终端202，终端202，还用于提示用户身份证读取失败；具体应用时，读卡装置205实现对身份证的读取，但是读卡装置205读取的是身份证密文信息，由身份证安全控制模块206实现对身份证密文信息的解密，其中，读卡装置205可以设置在信息安全装置201上或终端202上，当然也可以设置在其它终端202设备上；终端202将身份认证请求发送至认证服务器203后，认证服务器203接收该身份认证请求，并向终端202发送身份认证请求的响应信号，终端202接收到认证服务器203发送的响应信号后，提示用户进行读取身份证；用户将身份证靠近读卡装置205或者将身份证与读卡装置205接触，读卡装置205从身份证中身份证密文信息，并将身份证密文信息发送至身份证安全控制模块206；其中，读卡装置205不具有解密功能，只有SAM才能将从身份证中读取的身份证密文信息进行解密，身份证安全控制模块206对接收到的身份证密文信息进行解密，如果解密成功，身份证安全控制模块206将解密得到的身份证信息发送至认证服务器203，如果解密不成功，则说明，用于身份认证的身份证是假的身份证，身份证安全控制模块206将读卡失败的响应信息发送至认证服务器203，认证服务器203再将响应信息发送至终端202，终端202接收到该读卡失败的响应信息后，提示用户身份证读取失败。如果身份证安全控制模块206对身份证密文信息解密失败，说明该身份证不是合法的身份证，通过身份证安全控制模块206对身份证的读取可以避免非法分子使用伪造的身份证进行开户，保证开户的安全。

在本实施例中，随机数据可以是一个或一串随机数字，或者可以是一个或一串随机字符，或者一串随机数字和随机字符的任意组合，使用随机数据一方面可以方便认证服务器203对信息安全装置201的验证，防止假的信息安全装置201冒充开户，另一方面可以防止重放攻击，提高安全性。

在本实施例中，认证服务器203，还用于在接收到身份认证请求后，生成随机数据，并通过终端202将随机数据发送至信息安全装置201；或者，认证服务器203，还用于基于与信息安全装置201相同的基本动态参数生成随机数据。具体应用时，认证服务器203接收到身份认证请求之后，生成随机数据并发送至终端202，终端202再将随机数据发送至信息安全装置201，信息安全装置201获取随机数据，当然，认证服务器203生成随机数据后也可直接将随机数据发送至信息安全装置201，本实施例不做限定。可选的，认证服务器203接收到身份认证请求之后，信息安全装置201与认证服务器203基于相同的基本动态参数(例如时间参数或交易次数参数)生成随机数据。

在本实施例中，信息安全装置201获取随机数据后，使用散列算法(例如，HASH)计算随机数据的散列数据，计算生成散列数据后，利用自身存储的私钥对散列数据进行加密计算，生成第一数据(例如，签名数据),并将随机数据、第一数据和信息安全装置201的标识信息发送至终端202。

在本实施例中，合影图像包括合影图片和/或合影视频，即，合影图像可以是包括了用户的脸部和用户身份证的照片，当然也可以是包括了用户的脸部和用户身份证的视频。

在本实施例中，终端202在接收到信息安全装置201发送的随机数据、第一数据和标识信息后，提示用户上传用户的脸部和用户身份证的合影图像，并接收用户上传的合影图像。作为一种可选的实施方式，也可以是在认证服务器203接收到终端202发送的身份认证请求之后，终端202提示用户上传用户的脸部和用户身份证的合影图像，并接收用户上传的合影图像。

在本实施例中，身份认证系统还包括图像采集模块，图像采集模块可以设置在终端202，图像采集模块采集用户的脸部和用户身份证的合影图像，并发送至终端202，终端202获取用户的脸部和用户身份证的合影图像；当然，图像采集模块也可以设置在信息安全装置201上，图像采集模块采集用户的脸部和用户身份证的合影图像，并发送至信息安全装置201，信息安全装置201再将获取的合影图像发送至终端202，终端202获取用户的脸部和用户身份证的合影图像，优选的，信息安全装置201获取图像采集模块发送的合影图像后，可将合影图像加密或加密并签名后传输至终端202，终端202获取用户的脸部和用户身份证的合影图像；当然，图像采集模块也可以设置在其它外部设备上，图像采集模块采集用户的脸部和用户身份证的合影图像，外部设备将图像采集模块采集的合影图像发送至终端202，终端202获取用户的脸部和用户身份证的合影图像，外部设备也可以将图像采集模块采集的合影图像发送至信息安全装置201，信息安全装置201再将合影图像发送至终端202，终端202获取用户的脸部和用户身份证的合影图像，通过将图像采集模块设置在外部设备上，不要求终端202上设置有图像采集模块，对终端202的要求较低。

作为本实施例的一种可选实施方式，终端202获取用户的脸部和用户身份证的合影图像后，发送至信息安全装置201，信息安全装置201获取合影图像后，信息安全装置201使用散列算法计算随机数据和合影图像的散列数据，并使用自身存储的私钥对散列数据进行加密计算，生成第一数据，并将随机数据、第一数据、标识信息和合影图像发送至终端202。

在本实施例中，认证服务器203中存储的信息安全装置201的公钥与信息安全装置201自身存储的私钥是一对非对称密钥对。

在本实施例中，认证服务器203在接收到终端202发送的随机数据和第一数据后，使用信息安全装置201的公钥对接收到的第一数据(例如，签名数据)进行解密得到散列数据(例如，摘要),并使用散列算法(例如，HASH算法)计算接收到的随机数据的散列数据(例如，摘要),再比对公钥解密得到的散列数据与散列计算得到的散列数据是否相同，如果不同，则说明随机数据被篡改，结束身份认证。

在本实施例中，公钥解密得到的散列数据与散列计算得到的散列数据相同的情况下，认证服务器203根据接收到的信息安全装置201的标识信息查找预先存储的与信息安全装置201的标识信息对应的用户身份证信息。

在本实施例中，合影图像中包含用户身份证的图像，认证服务器203可通过图像识别等方式识别合影图像中的用户身份证上的信息，并将根据标识信息查找到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，身份认证通过，否则，通过终端202提示用户身份认证失败。通过将标识信息查找到的身份证信息与合影图像中用户身份证上的信息进行对比，可以防止信息安全装置201丢失或身份证丢失的情况下，非法分子冒充开户。

作为本实施例的一种可选实施方式，认证服务器203，还用于将身份证安全控制模块206解密得到的用户身份证信息与根据标识信息查找到的用户身份证信息进行对比，如果不同，则结束身份认证；具体应用时，合影图像中还包括用户的脸部图像，认证服务器203可通过图像识别等方式识别合影图像中的用户的脸部图像，并通过图像识别等方式将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，身份认证通过，否则，通过终端202提示用户身份认证失败。通过将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以确保开户人的身份正确，保证身份证、信息安全装置201和开户人都正确的情况下才进行开户，进一步提高开户的安全性。

作为本实施例的一种可选实施方式，认证服务器203，还用于将身份证安全控制模块206解密得到的用户身份证信息与合影图像中的用户身份证上的信息进行对比，如果不同，则结束身份认证。具体应用时，合影图像中包含用户身份证的图像，认证服务器203可通过图像识别等方式识别合影图像中的用户身份证上的信息；在认证服务器203根据标识信息查找到与标识信息关联存储的用户身份证信息后，认证服务器203将身份证安全控制模块206解密得到的用户身份证信息与合影图像中用户身份证上的信息进行对比，如果不同，则结束身份认证，如果相同，则身份认证通过。通过将身份证安全控制模块206解密得到的用户身份证信息与合影图像中用户身份证上的信息进行对比，可以防止用户使用假的身份证进行开户。

作为本实施例的一种可选实施方式，认证服务器203，还用于将身份证安全控制模块206解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。具体应用时，合影图像中还包括用户的脸部图像，认证服务器203可通过图像识别等方式识别合影图像中的用户的脸部图像，并通过图像识别等方式将身份证安全控制模块206解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证，如果相同，则身份认证通过。通过将身份证安全控制模块206解密得到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以防止用户使用假的身份证进行开户。

本实施例提供的身份认证系统，认证服务器将信息安全装置的标识信息与用户身份证信息的关联存储，实现对用户身份证信息的认证，防止信息安全装置或身份证丢失的情况下，非法分子冒充开户；通过将根据标识信息查找到的用户身份证信息中的脸部图像与合影图像中的用户的脸部图像进行对比，可以确保开户人的身份正确，保证身份证、信息安全装置和开户人都正确的情况下才进行开户，进一步提高开户的安全性。另外，通过将身份证安全控制模块解密得到的用户身份证信息与合影图像上的信息进行对比，可以防止用户使用假的身份证进行开户。

实施例4

本实施例提供一种远程开户系统，采用上述实施例3的身份认证系统对用户身份进行认证，身份认证通过之后，认证服务器203进行远程开户。用户可通过网络实现远程开户，是一种方便的开户方法，另外，可以防止非法分子冒充开户。

需要说明的是，身份认证通过之后，可以是认证服务器自动进行远程开户，也可以是工作人员控制认证服务器进行远程开户。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (8)

1.一种身份认证方法，其特征在于，包括：

认证服务器将信息安全装置的标识信息与用户身份证信息进行关联存储，其中，所述用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；

所述信息安全装置上电并与终端建立通信连接；

所述终端通过应用程序接收用户输入的登录信息，并将接收到的所述登录信息发送至应用服务器；

所述应用服务器接收所述登录信息，并判断所述登录信息是否正确，如果不正确，则所述终端提示所述用户重新输入所述登录信息，如果正确，所述终端允许所述用户登录所述应用程序；

所述终端通过所述应用程序生成身份认证请求，并将所述身份认证请求发送至认证服务器；

所述信息安全装置获取随机数据，并使用散列算法计算所述随机数据的散列数据，并使用自身存储的私钥对所述散列数据进行加密计算，生成第一数据，并将所述随机数据、所述第一数据和所述标识信息发送至所述终端；

所述终端提示用户上传用户的脸部和用户身份证的合影图像，并获取所述用户的脸部和用户身份证的合影图像；

所述终端将所述随机数据、所述第一数据、所述标识信息和所述合影图像发送至所述认证服务器；

所述认证服务器使用所述信息安全装置的公钥对接收到的所述第一数据进行解密得到所述散列数据，并使用所述散列算法计算接收到的所述随机数据的散列数据，再比对公钥解密得到的所述散列数据与散列计算得到的所述散列数据是否相同，如果不同，则结束所述身份认证；

在所述公钥解密得到的所述散列数据与散列计算得到的所述散列数据相同的情况下，所述认证服务器根据所述标识信息查找与所述标识信息关联存储的所述用户身份证信息；

所述认证服务器将根据所述标识信息查找到的所述用户身份证信息与所述合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，所述身份认证通过，否则，所述终端提示用户所述身份认证失败。

2.根据权利要求1所述的方法，其特征在于，所述认证服务器将根据所述标识信息查找到的所述用户身份证信息与所述合影图像中的用户身份证上的信息进行对比之后，所述方法还包括：所述认证服务器将根据所述标识信息查找到的所述用户身份证信息中的脸部图像与所述合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，所述身份认证通过。

3.根据权利要求1或2所述的方法，其特征在于，

在所述终端将所述身份认证请求发送至认证服务器后，所述方法还包括：所述认证服务器接收所述身份认证请求，并向所述终端发送所述身份认证请求的响应信号；所述终端接收到所述响应信号后，提示所述用户进入身份证读取流程；读卡装置从所述身份证中读取身份证密文信息，并将所述身份证密文信息发送至身份证安全控制模块；所述身份证安全控制模块对接收到的所述身份证密文信息进行解密，如果解密成功，所述身份证安全控制模块解密得到用户身份证信息，并将所述用户身份证信息发送至所述认证服务器；否则，所述身份证安全控制模块将读卡失败的响应信息通过所述认证服务器发送至所述终端，所述终端提示所述用户身份证读取失败；

在所述认证服务器根据所述标识信息查找与所述标识信息关联存储的所述用户身份证信息后，所述方法还包括：所述认证服务器将所述身份证安全控制模块解密得到的所述用户身份证信息与根据所述标识信息查找到的所述用户身份证信息进行对比，如果不同，则结束所述身份认证；和/或，所述认证服务器将所述身份证安全控制模块解密得到的所述用户身份证信息与所述合影图像中的所述用户身份证上的信息进行对比，如果不同，则结束所述身份认证；和/或，所述认证服务器将所述身份证安全控制模块解密得到的所述用户身份证信息中的脸部图像与所述合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述信息安全装置通过以下方式之一获取随机数据：

所述认证服务器接收到所述身份认证请求后，生成随机数据，并通过所述终端将所述随机数据发送至所述信息安全装置；或者，

所述信息安全装置和所述认证服务器基于相同的基本动态参数生成所述随机数据。

5.一种身份认证系统，所述系统包括：信息安全装置、终端、认证服务器和应用服务器；其中，

所述认证服务器，用于将信息安全装置的标识信息与用户身份证信息进行关联存储，其中，所述用户身份证信息包括居民身份证号、姓名、出生日期、住址、卡片使用年限和/或用户的脸部图像；

所述信息安全装置，用于与终端建立通信连接；

所述终端，用于通过应用程序接收用户输入的登录信息，并将接收到的所述登录信息发送至应用服务器；

所述应用服务器，用于接收所述登录信息，并判断所述登录信息是否正确，如果不正确，则所述终端，还用于提示所述用户重新输入所述登录信息，如果正确，所述终端，还用于允许所述用户登录所述应用程序；

所述终端，还用于通过所述应用程序生成身份认证请求，并将所述身份认证请求发送至认证服务器；

所述信息安全装置，还用于获取随机数据，并使用散列算法计算所述随机数据的散列数据，并使用自身存储的私钥对所述散列数据进行加密计算，生成第一数据，并将所述随机数据、所述第一数据和所述标识信息发送至所述终端；

所述终端，还用于提示用户上传用户的脸部和用户身份证的合影图像，并获取所述用户的脸部和用户身份证的合影图像；

所述终端，还用于将所述随机数据、所述第一数据、所述标识信息和所述合影图像发送至所述认证服务器；

所述认证服务器，还用于使用所述信息安全装置的公钥对接收到的所述第一数据进行解密得到所述散列数据，并使用所述散列算法计算接收到的所述随机数据的散列数据，再比对公钥解密得到的所述散列数据与散列计算得到的所述散列数据是否相同，如果不同，则结束所述身份认证；

所述认证服务器，还用于在所述公钥解密得到的所述散列数据与散列计算得到的所述散列数据相同的情况下，根据所述标识信息查找与所述标识信息关联存储的所述用户身份证信息；

所述认证服务器，还用于将根据所述标识信息查找到的所述用户身份证信息与所述合影图像中的用户身份证上的信息进行对比，在两者相同的情况下，所述身份认证通过，否则，所述终端还用于提示用户所述身份认证失败。

6.根据权利要求5所述的系统，其特征在于，所述认证服务器，还用于将根据所述标识信息查找到的所述用户身份证信息中的脸部图像与所述合影图像中的用户的脸部图像进行对比，在两者匹配的情况下，所述身份认证通过。

7.根据权利要求5或6所述的系统，其特征在于，所述系统还包括：读卡装置和身份证安全控制模块；

所述认证服务器，还用于接收所述身份认证请求，并向所述终端发送所述身份认证请求的响应信号；所述终端，还用于在接收到所述响应信号后，提示所述用户进入身份证读取流程；所述读卡装置，用于从所述身份证中读取身份证密文信息，并将所述身份证密文信息发送至所述身份证安全控制模块；所述身份证安全控制模块，用于对接收到的所述身份证密文信息进行解密，如果解密成功，所述身份证安全控制模块还用于将解密得到的用户身份证信息发送至所述认证服务器；否则，所述身份证安全控制模块，还用于将读卡失败的响应信息通过所述认证服务器发送至所述终端，所述终端，还用于提示所述用户身份证读取失败；

所述认证服务器，还用于将所述身份证安全控制模块解密得到的所述用户身份证信息与根据所述标识信息查找到的所述用户身份证信息进行对比，如果不同，则结束所述身份认证；和/或，所述认证服务器，还用于将所述身份证安全控制模块解密得到的所述用户身份证信息与所述合影图像中的所述用户身份证上的信息进行对比，如果不同，则结束所述身份认证；和/或，所述认证服务器，还用于将所述身份证安全控制模块解密得到的所述用户身份证信息中的脸部图像与所述合影图像中的用户的脸部图像进行对比，如果不同，则结束身份认证。

8.根据权利要求5至7任一项所述的系统，其特征在于，所述认证服务器，还用于在接收到所述身份认证请求后，生成随机数据，并通过所述终端将所述随机数据发送至所述信息安全装置；或者，

所述认证服务器，还用于基于与所述信息安全装置相同的基本动态参数生成所述随机数据。