CN106027471A - 一种应用于身份证读取的调度服务器 - Google Patents

Abstract

本发明公开了一种应用于身份证读取的调度服务器。其中，该应用于身份证读取的调度服务器包括：应用于身份证读取的调度服务器获取身份证读卡终端的标识信息，根据身份证读卡终端的标识信息判断是否允许身份证读卡终端读取身份证；在允许读取身份证的情况下，在接收到身份证读卡终端发送的寻卡请求后，获取认证安全控制模块的工作状态；选择一个认证安全控制模块，将选择的认证安全控制模块的标识信息发送给身份证读卡终端；根据身份证读卡终端的标识信息，从认证数据库中获取身份证读卡终端的加密密钥的密文，其中，密文为使用认证数据库的保护密钥对身份证读卡终端的加密密钥进行加密得到的；向选择的认证安全控制模块发送数据信息。

Description

一种应用于身份证读取的调度服务器

技术领域

本发明涉及一种电子技术领域，尤其涉及一种应用于身份证读取的调度服务器。

背景技术

现有的前端身份证读卡终端具有至少两个模块，包括读模块以及居民身份证验证安全控制模块。由于每个前端身份证读卡终端均设置居民身份证验证安全控制模块，因此，现有的前端身份证读卡终端的制造成本高；并且，居民身份证验证安全控制模块只能对一个读模块读取的居民身份证信息进行身份验证，因此，现有的前端身份证读卡终端利用率较低。

在相关技术中给出的解决方案是：将居民身份证验证安全控制模块从前端身份证读卡终端中移除，前端身份证读卡终端只作身份信息读取的功能，身份验证由后台居民身份证验证安全控制模块完成，从而可以减少前端身份证读卡终端的成本，并且，多个前端身份证读卡终端可以由同一个后台居民身份证验证安全控制模块进行验证，从而提高了后台居民身份证验证安全控制模块的利用率。采用这种方案，由于前端身份证读卡终端的身份不确定，可能会给后台居民身份证验证安全控制模块带来不安全的因素，进而导致居民身份证被非法使用。

发明内容

本发明旨在解决上述问题之一。

本发明的主要目的在于提供一种应用于身份证读取的调度服务器。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明一方面提供了一种应用于身份证读取的调度服务器，包括：第一获取模块，用于获取身份证读卡终端的标识信息；第一判断模块，用于根据身份证读卡终端的标识信息判断是否允许身份证读卡终端读取身份证；第二获取模块，用于在判断允许身份证读卡终端读取身份证的情况下，在接收到身份证读卡终端发送的寻卡请求后，从认证数据库获取应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态；调度模块，用于根据应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态表，选择一个认证安全控制模块，将选择的认证安全控制模块的标识信息发送给身份证读卡终端；第三获取模块，用于根据身份证读卡终端的标识信息，从认证数据库中获取身份证读卡终端的加密密钥的密文，其中，密文为使用认证数据库的保护密钥对身份证读卡终端的加密密钥进行加密得到的；第一发送模块，用于向选择的认证安全控制模块发送数据信息，其中，数据信息包括：身份证读卡终端的加密密钥的密文。

可选地，第一获取模块通过以下方式获取身份证读卡终端的标识信息：接收身份证读卡终端发送的接入请求，从接入请求中获取身份证读卡终端的标识信息；或者，接收身份证读卡终端发送的身份证请求，从身份证请求中获取身份证读卡终端的标识信息，其中，身份证请求中携带有寻卡请求以及身份证读卡终端的标识信息。

可选地，身份证读卡终端的标识信息包括：身份证读卡终端的数字证书；第一判断模块通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的数字证书，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的数字证书；在判断身份证读卡终端的数字证书在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

可选地，身份证读卡终端的标识信息包括：身份证读卡终端的序列号和身份证读卡终端的数字证书；第一判断模块通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书或身份证读卡终端的序列号是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的标识信息，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的标识信息；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

可选地，第一判断模块按照预设的管控策略通过至少通过以下方式之一判断是否允许身份证读卡终端读取身份证：根据预设的管控策略，判断身份证读卡终端当前是否处于允许的接入位置范围，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了身份证读卡终端允许的接入位置范围；根据预设的管控策略，判断当前时间是否在允许身份证读卡终端接入的时间范围内，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了允许身份证读卡终端接入的时间范围；根据预设的管控策略，判断在预设时间段内，身份证读卡终端的历史接入次数是否超过预设次数阈值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设次数阈值；根据预设的管控策略，判断在预设时间段内，身份证读卡终端连续两次接入的接入位置之间的距离是否超过预设距离，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离；根据预设的管控策略，判断身份证读卡终端连续两次接入的时间间隔是否超过预设值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离。

可选地，，应用于身份证读取的调度服务器还包括：第一接收模块，用于接收认证安全控制模块返回的身份证标识信息；第二判断模块，用于至少根据身份证标识信息、身份证读卡终端的标识信息、以及预先设定的策略，判断是否将身份证读卡终端加入黑名单或管控名单。

可选地，应用于身份证读取的调度服务器还包括：第三判断模块，用于判断身份证标识信息是否在身份证黑名单中；第二发送模块，用于在判断身份证标识信息在身份证黑名单的情况下，向选择的认证安全控制模块发送指示信息，指示身份证读卡终端当前读取的身份证非法。

可选地，数据信息还包括：寻卡请求。

可选地，应用于身份证读取的调度服务器还包括：第三发送模块，用于生成鉴权码，将鉴权码分别发送给身份证读卡终端和认证数据库。

可选地，应用于身份证读取的调度服务器还包括：第四发送模块，用于在选择的认证安全控制模块上电时，向选择的认证安全控制模块发送待签名数据；第二接收模块，用于接收选择的认证安全控制模块返回的认证数据，其中，认证数据包括：使用选择的认证安全控制模块的签名私钥对待签名数据进行签名得到的签名数据、选择的认证安全控制模块的签名私钥对应的签名公钥证书、以及选择的认证安全控制模块的加密公钥证书；第一验证模块，用于判断签名公钥证书以及加密公钥证书是否处理异常状态；第二验证模块，用于在判断签名公钥证书以及加密公钥证书不是处理异常状态的情况下，校验签名公钥证书以及加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证签名数据是否正确；第四发送模块，用于在签名公钥证书以及加密公钥证书分配给同一身份证读卡终端的且签名数据正确的情况下，确定选择的认证安全控制模块的身份认证通过，对认证数据库的保护密钥进行加密后发送给选择的认证安全控制模块；警告模块，用于在签名公钥证书以及加密公钥证书不是分配给同一身份证读卡终端的和/或签名数据不正确的情况下，确定选择的认证安全模块的身份认证不通过，发出警告信息。

由上述本发明提供的技术方案可以看出，应用于身份证读取的调度服务器在为身份证读卡终端的选择认证安全控制模块前，先对身份证读卡终端进行判断，判断是否允许身份证读卡终端读取身份证，只有允许身份证读卡终端读取身份证的情况下，才为身份证读卡终端选择一个认证安全控制模块，从而避免非法身份证读卡终端对认证安全控制模块进行攻击，保证居民身份证的安全。并且，在本发明中，应用于身份证读取的调度服务器从认证数据库中获取身份证读卡终端的加密密钥，将身份证读卡终端的加密密钥的密文发送给选择的认证安全控制模块，从而使得选择的认证安全控制模块可以能身份证读卡终端发送的加密数据进行解密，提高身份证数据传输过程的安全。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例1提供的读取身份证的调度系统的架构示意图；

图2为本发明实施例1提供的可选读取身份证的调度系统的架构示意图；

图3为本发明实施例2提供的读取身份证的调度方法的流程图；

图4为本发明实施例3提供的应用于身份证读取的调度服务器的结构示意图；

图5为本发明实施例4提供的密钥获取方法的流程图；

图6为本发明实施例5提供的密钥获取方法的流程图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

下面将结合附图对本发明实施例作进一步地详细描述。

实施例1

本实施例提供了一种读取身份证的调度系统。

图1为本实施例提供的读取身份证的调度系统的架构示意图，如图1所示，该系统主要包括：认证数据库101、应用于身份证读取的调度服务器102以及n个认证安全控制模块(103-1、103-2、…...、103-n)，n为大于等于1的整数。

在本实施例中，认证数据库101，用于存储系统内的所有认证安全控制模块(103-1、103-2、…...、103-n)的工作状态，以及系统内的各个身份证读卡终端的加密密钥的密文，其中，各个身份证读卡终端的加密密钥的密文为使用认证数据库101的保护密钥分别对各个身份证读卡终端的加密密钥进行加密得到的。在本发明实施例的一个可选实施方案中，认证数据库101中可以维护一个工作状态表，该工作状态表至少记录了每个认证安全控制模块(103-1、103-2、…...、103-n)当前是处于空闲状态还是忙碌状态。应用于身份证读取的调度服务器102可以根据该工作状态表判断某个认证安全控制模块当前是空闲还是忙碌。进一步地，如果某个认证安全控制模块当前的状态为忙碌状态，则认证数据库101中还可以进一步维护该认证安全控制模块当前处理的身份证读卡终端的个数，以方便应用于身份证读取的调度服务器101根据负载均衡的原则进行分配。

应用于身份证读取的调度服务器102，用于获取身份证读卡终端的标识信息，根据身份证读卡终端的标识信息判断是否允许身份证读卡终端读取身份证；在判断允许身份证读卡终端读取身份证的情况下，在接收到身份证读卡终端发送的寻卡请求后，从认证数据库101获取应用于身份证读取的调度服务器102的管辖范围内的各个认证安全控制模块(103-1、103-2、…...、103-n)的工作状态；根据应用于身份证读取的调度服务器102的管辖范围内的各个认证安全控制模块(103-1、103-2、…...、103-n)的工作状态，选择一个认证安全控制模块(在本实施例中，为方便描述，假设应用于身份证读取的调度服务器102选择的认证安全控制模块为认证安全控制模块103-1)，将选择的认证安全控制模块103-1的标识信息(例如，认证安全控制模块103-1的序列号)发送给身份证读卡终端；根据身份证读卡终端的标识信息，从认证数据库101中获取身份证读卡终端的加密密钥的密文，其中，加密密钥的密文为使用认证数据库101的保护密钥对身份证读卡终端的加密密钥进行加密得到的；向选择的认证安全控制模块103-1发送数据信息，其中，数据信息包括：身份证读卡终端的加密密钥的密文。

在本实施例中，身份证读卡终端的加密密钥可以是在用户申请身份证读卡终端时，在往身份证读卡终端中写入加密密钥时，将加密密钥存储到认证数据库101中，为了保证加密密钥的存储安全，认证数据库101可以进一步对加密密钥进行加密，例如，可以采用认证数据库101的保护密钥对加密密钥进行加密，认证数据库101存储加密后的加密密钥。在具体应用中，认证数据库101中可以采用键值的方式存储身份证读卡终端的加密密钥，即使用身份证读卡终端的标识信息作为关键字，身份证读卡终端的加密密钥密文为该条数据的值，当然，并不限于此，在实际应用中，认证数据库101也可以采用其它的方式存储身份证读卡终端的加密密钥。

在本发明实施例的一个可选实施方案中，身份证读卡终端的加密密钥可以为对称密钥也可以为非对称密钥，如果加密密钥为非对称密钥，则存储在认证数据库101中可以为身份证读卡终端的公钥。

选择的认证安全控制模块103-1，用于接收数据信息，使用认证数据库101的保护密钥对身份证读卡终端的加密密钥的密文进行解密，得到身份证读卡终端的加密密钥。在本实施例中，认证安全控制模块为验证安全控制模块的对外接口，验证安全控制模块负责解密身份证中存储的密文，而认证安全控制模块负责加解密以及认证工作，以确保发送给验证安全控制模块的数据的安全。在本实施例中，验证安全控制模块可以采用现有的居民身份证验证安全控制模块(即公安部认证的居民身份证验证安全控制模块)实现。认证安全控制模块103-1得到身份证读卡终端的加密密钥后，可以对身份证读卡终端使用加密密钥进行加密的数据进行解密，因此，在本实施例中，身份证读卡终端在第一次向网络侧发送数据时，即可以使用加密密钥对待发送的数据进行加密，认证安全控制模块103-1采用该身份证读卡终端的加密密钥进行解密，从而可以得到身份证读卡终端发送的数据，保证数据传输的安全。

通过本实施例提供的读取身份证的调度系统，在身份证读卡终端寻到身份证，向网络侧发送寻卡请求时，应用于身份证读取的调度服务器102在接收到该寻卡请求后，首先判断是否允许该身份证读卡终端读取身份证，只有在允许该身份证读卡终端读取身份证的情况下，才为该身份证读卡终端分配认证安全控制模块，从而避免了非法身份证读卡终端对认证安全控制模块的攻击，提高了身份证读取的安全性。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102至少可以通过以下方式之一获取身份证读卡终端的标识信息：

(1)应用于身份证读取的调度服务器102接收身份证读卡终端发送的接入请求，从接入请求中获取身份证读卡终端的标识信息。即身份证读卡终端在接入网络时，向网络侧发送接入请求，请求接入，应用于身份证读取的调度服务器102根据接入请求中携带的身份证读卡终端的标识信息获取身份证读卡终端的标识信息，在该方式中，应用于身份证读取的调度服务器102判断允许该身份证读卡终端读取身份证后，允许该身份证读卡终端接入，身份证读卡终端接入后，可以保护长连接，在寻到身份证之后，向应用于身份证读取的调度服务器102发送寻卡请求；在本实施例的一个可选实施方式中，为了保证数据传输安全，应用于身份证读取的调度服务器102在允许身份证读卡终端接入后，可以与身份证读卡终端建立安全通道，例如，与身份证读卡终端协商传输密钥，身份证读卡终端在寻到身份证之后，可以通过该安全通道向应用于身份证读取的调度服务器102发送寻卡请求，即使用传输密钥对寻卡请求进行加密，应用于身份证读取的调度服务器102接收到该加密寻卡请求后，使用传输密钥进行解密，得到寻卡请求，为身份证读卡终端分配认证安全控制模块。通过该方式，可以在身份证读卡终端接入时对身份证读卡终端进行验证，对于相对安全的身份证读卡终端(例如，设置在银行的身份证读卡终端)，可以采用这种方式，可以减少对身份证读卡终端的验证次数，提高效率。

(2)应用于身份证读取的调度服务器102接收身份证读卡终端发送的身份证请求，从身份证请求中获取身份证读卡终端的标识信息，其中，身份证请求中携带有寻卡请求以及身份证读卡终端的标识信息。即在该方式中，身份证读卡终端每读取一次身份证，应用于身份证读取的调度服务器102验证一次，身份证读卡终端在寻到身份证之后，向网络侧发送寻卡请求，应用于身份证读取的调度服务器102接收到该寻卡请求之后，获取身份证读卡终端的标识信息。通过该方式，可以在身份证读卡终端每读取一张身份证时对身份证读卡终端进行验证，对于相对不太安全的身份证读卡终端(例如，设置在个人商户的身份证读卡终端)，可以采用这种方式，以保证安全。

在本发明实施例的一个可选实施方案中，身份证读卡终端的标识信息可以包括：身份证读卡终端的数字证书；则应用于身份证读取的调度服务器102通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则判断身份证读卡终端的数字证书是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的数字证书，管控名单中记录了需要按照预设的管控策略对其读取身份证进行控制的身份证读卡终端的数字证书；在判断身份证读卡终端的数字证书在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

或者，在本发明实施例的另一个可选实施方式中，身份证读卡终端的标识信息可以包括：身份证读卡终端的序列号以及身份证读卡终端的数字证书；应用于身份证读取的调度服务器102可以通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书或身份证读卡终端的序列号是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的标识信息，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的标识信息；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

在上述两种可选实施方式中，应用于身份证读取的调度服务器102在判断身份证读卡终端的数字证书是否异常时，可以在数字证书状态在线查询服务器上查询所述用于验签的数字证书和所述用于加密的数字证书的生存状态，所述生存状态包括：正常生存状态和非正常生存状态，所述非正常生存状态至少包括以下之一：证书失效、证书过期、证书冻结和证书已被列入黑名单。

在上述两种可选实施方式中，黑名单和管控名单可以根据预先设置的规则根据各个身份证读卡终端的读卡行为进行设置。

通过上述两种可选实施方式，可以通过黑名单和管控名单对是否允许身份证读卡终端读取身份证进行判断，可以避免非法身份证读卡终端对网络侧的攻击，提高身份证读取的安全性。

在本发明实施例的一个可选实施方案中，黑名单中存有非法的身份证读卡终端的标识信息，例如被挂失的身份证读卡终端的标识信息、连续出现异常的身份证读卡终端的标识信息、超过使用年限的身份证读卡终端的序列号或短时在多个地区出现的身份证读卡终端的标识信息等，对其请求的处理会带来较大风险，若应用于身份证读取的调度服务器102判断身份证读卡终端的标识信息包含在黑名单内，说明该身份证读卡终端的标识信息为非法身份证读卡终端的标识信息，应用于身份证读取的调度服务器102不予于处理，终止处理流程。可选地，应用于身份证读取的调度服务器102可以返回提示信息以提示用户，该身份证读卡终端已被加入黑名单，便于用户进行后续操作和问题解决。

在本发明实施例的一个可选实施方案中，管控名单中可以记录具体的管控策略，在判断身份证读卡终端的标识信息在管控名单中的情况下，包括但不限于以下方式之一判断是否允许身份证读卡终端读取身份证：

(一)根据预设的管控策略，判断身份证读卡终端当前是否处于允许的位置范围，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了身份证读卡终端允许的位置范围；即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些位置范围内读取身份证，而超出这些范围，则不允许其读取身份证。例如，在具体应用中，可以设置银行客户申请的身份证读卡终端只能在银行网点进行身份证读取，超出银行网点则不允许身份证读卡终端读取身份证。在这种情况下，采用这种方式，可以对身份证读卡终端进行定位，以确定身份证读卡终端当前的位置。采用这种方式，可以避免专属于某地使用的身份证读卡终端被盗用。

(二)根据预设的管控策略，判断当前时间是否在允许身份证读卡终端读卡的时间范围内，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了允许身份证读卡终端读卡的时间范围。即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些时间段内读取身份证，超出这些时间段就不允许身份证读卡终端读取身份证。例如，铁路系统只有在7：00-22：00售票，因此，设置在铁路系统的身份证读卡终端只允许在这些时间段内读取身份证，以避免这些身份证读卡终端被非法使用。

(三)根据预设的管控策略，判断在预设时间段内，身份证读卡终端的历史读卡次数是否超过预设次数阈值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设次数阈值。即限制身份证读卡终端在预设时间段内的读卡次数，避免同一身份证读卡终端在短时间内频繁读卡造成认证安全控制模块的负担过重，而导致认证安全控制模块无法正常工作的问题。

(四)根据预设的管控策略，判断在预设时间段内，身份证读卡终端连续两次读卡的位置之间的距离是否超过预设距离，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离；即对于某些身份证读卡终端，不允许其跨距离使用，例如，分发给某个商户的身份证读卡终端，不允许该身份证读卡终端在两个距离较远的地方使用，以避免用户的身份证读卡终端被盗用。

(五)根据预设的管控策略，判断身份证读卡终端连续两次读卡的时间间隔是否超过预设值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离。即控制身份证读卡终端的读卡频率，避免同一身份证读卡终端频繁读卡给认证安全控制模块带来的攻击。

需要说明的是，虽然上述五种方式分开论述，但对于本领域技术人员来，对于同一身份证读卡终端，显然可以同时设置两种或两种以上的管控策略，例如，对于同一身份证读卡终端，只允许该身份证读卡终端在某些位置范围内的某一段时间内读取身份证，则只有在同时满足位置和时间的要求时，才允许身份证读卡终端读取身份证。

在本发明实施例的一个可选实施方案中，如图2所示，该系统还可以包括n个验证安全控制模块(105-1、105-2、…...、105-n)，其中，一个认证安全控制模块对应连接一个验证安全控制模块，且不同的认证安全控制连接的验证安全控制模块不相同。在该可选实施方式中，应用于身份证读取的调度服务器102将选择的认证安全控制模块103-1的标识信息(例如，可以为选择的认证安全控制模块103-1的网络端口)返回给身份证读卡终端后，应用于身份证读取的调度服务器102可以将接收到的寻卡请求发送给选择的认证安全控制模块103-1，在这种情况下，各个认证安全控制模块(103-1、103-2、…...、103-n)可以直接连接在应用于身份证读取的调度服务器102的各个端口上；或者，也可以是应用于身份证读取的调度服务器102将选择的认证安全控制模块103-1的标识信息返回给身份证读卡终端后，身份证读卡终端根据选择的认证安全控制模块103-1的标识信息，向选择的认证安全控制模块103-1的发送寻卡请求，在这种情况下，认证安全控制模块为具有网络通讯功能的模块，可以直接与身份证读卡终端进行通讯。在该可选实施方式中，选择的认证安全控制模块103-1还用于获取寻卡请求，该寻卡请求可以是身份证读卡终端采用自身的加密密钥对寻卡请求数据进行加密得到的密文数据，选择的认证安全控制模块103-1在接收到该寻卡请求后，可以使用获取到的身份证读卡终端的加密密钥对寻卡请求进行解密，将解密得到的寻卡请求发送给与选择的认证安全控制模块103-1对应连接的验证安全控制模块105-1。对应连接的验证安全控制模块105-1，用于对接收到寻卡请求进行确认，将确认信息发送给选择的认证安全控制模块103-1；选择的认证安全控制模块103-1还用于获取会话密钥，使用会话密钥对确认信息进行加密，将加密后的确认信息发送给身份证读卡终端。需要说明的是，在该可选实施方式中，为了保证数据传输安全身份证读卡终端对寻卡请求进行加密发送，选择的认证安全控制模块103-1也对确认信息进行加密发送，但如果传输环境安全，也可以不进行加密，具体本实施例不作限定。

在上述可选实施方式中，会话密钥可以是选择的认证安全控制模块103-1与身份证读卡终端进行协商得到的，也可以是选择的认证安全控制模块103-1直接生成的随机数，如果是选择的认证安全控制模块103-1生成的随机数，则选择的认证安全控制模块103-1可以使用身份证读卡终端的加密密钥对随机数进行加密，也可以使用身份证读卡终端的公钥对随机数进行加密，将加密的随机数与加密的确认信息一起发送给身份证读卡终端，从而可以保证会话密钥的传输安全。

在本发明实施例的一个可选实施方案中，按照正常的身份证读卡流程，身份证读卡终端在接收到寻卡请求的确认信息之后，执行选卡流程，在选取身份证之后，身份证读卡终端向选择的认证安全控制模块103-1发送加密的选卡请求，选择的认证安全控制模块103-1对加密的选卡请求进行解密后发送给对应的验证安全控制模块105-1，验证安全控制模块105-1对选卡请求进行响应，发送响应信息给选择的认证安全控制模块103-1，选择的认证安全控制模块103-1对响应信息进行加密发送给身份证读卡终端，身份证读卡终端在接收到响应信息后，将选择的身份证的标识信息发送给选择的认证安全控制模块103-1。在该可选实施方式中，选择的认证安全控制模块103-1还用于接收加密身份证标识信息，对加密身份证标识信息进行解密，将解密得到的身份证标识信息返回给应用于身份证读取的调度服务器102；应用于身份证读取的调度服务器102还用于至少根据身份证标识信息、身份证读卡终端的标识信息、以及预先设定的策略，判断是否将身份证读卡终端的标识信息加入黑名单或管控名单，例如，判断该身份证读卡终端的读卡频率是否超过预定值、身份证读卡终端频繁地读取不同身份证等，从而确定是否将身份证读卡终端的标识信息加入黑名单或管控名单。通过该可选实施方式中，应用于身份证读取的调度服务器102可以根据预先设定的策略对身份证读卡终端进行管理，从而可以动态更新黑名单和管控名单，进一步保证认证安全控制模块不会被非法攻击。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102还用于判断身份证标识信息是否在身份证黑名单中，如果是，则向选择的认证安全控制模块103-1发送指示信息，指示身份证读卡终端当前读取的身份证非法，选择的认证安全控制模块103-1接收到指示信息后，可以停止处理当前的身份证读取流程，还可以选择的认证安全控制模块103-1还可以向身份证读卡终端发送提示信息，提示用户当前的身份证非法。其中，身份证黑名单中存有非法的身份证的标识信息，例如被挂失的身份证的标识信息、连续出现异常的身份证的标识信息、过期的身份证的标识信息等。可选地，身份证的标识信息可以为身份证的序列号，即身份证的出生证。通过该可选实施方式，可以识别出非法身份证，避免读取非法身份证。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102还用于在选择一个认证安全控制模块103-1之后，生成鉴权码，将鉴权码分别发送给身份证读卡终端和认证数据库101(例如，可以与选择的认证安全控制模块103-1的标识信息一起发送给身份证读卡终端)，鉴权码存储在认证数据库101中，鉴权码具有一个有效期，在有效期到达时，认证数据库101删除该鉴权码。身份证读卡终端接收到鉴权码后，在后续发送给网络侧的请求中携带该鉴权码。例如，如果身份证读卡终端在接收到选择的认证安全控制模块103-1的标识信息之后，需要向选择的认证安全控制模块103-1发送寻卡请求，则可以在寻卡请求中携带该鉴权码，如果寻卡请求是加密的，是可以将鉴权码一起加密发送给选择的认证安全控制模块103-1，选择的认证安全控制模块103-1接收到该鉴权码后，可以查询认证数据库中是否包含该鉴权码，如果是，则继续后续处理，如果不包含，则说明鉴权码已经失效，拒绝身份证读卡终端的请求。通过该可选实施方式，应用于身份证读取的调度服务器102可以通过鉴权码的有效时间来控制身份证读卡终端的访问时间，避免为身份证读卡终端选择认证安全控制模块之后，身份证读卡终端长时间不发起读卡请求而导致认证安全控制模块长时间空闲又不能被分配给其它身份证读卡终端的问题。

在本发明实施例的一个可选实施方案中，为了保证数据安全，还可以对认证安全控制模块进行认证。在该可选实施方式中，如图2所示，该系统还包括可以授权服务器104。

在上述可选实施方式中，应用于身份证读取的调度服务器102还用于在选择的认证安全控制模块103-1上电时，向选择的认证安全控制模块103-1发送待签名数据；选择的认证安全控制模块103-1还用于使用签名私钥对待签名数据进行签名得到的签名数据，将包括签名数据、签名私钥对应的签名公钥证书、以及选择的认证安全控制模块103-1的加密公钥证书的认证数据返回给应用于身份证读取的调度服务器102；应用于身份证读取的调度服务器102还用于接收选择的认证安全控制模块103-1返回的认证数据，判断签名公钥证书以及加密公钥证书是否处理异常状态；在判断签名公钥证书以及加密公钥证书不是处理异常状态的情况下，将待签名数据以及认证数据发送给授权服务器104；授权服务器104，用于通过连接的授权电子签名设备校验签名公钥证书以及加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证签名数据是否正确，如果是，则选择的认证安全控制模块103-1的身份认证通过，否则，选择的认证安全模块的身份认证不通过；授权服务器104还用于在选择的认证安全控制模块103-1的身份认证通过的情况下，通过授权电子签名设备对认证数据库101的保护密钥进行加密后发送给应用于身份证读取的调度服务器102；以及在选择的认证安全控制模块103-1的身份认证不通过的情况下发出警告信息；应用于身份证读取的调度服务器102还用于将加密的认证数据库101的保护密钥发送给选择的认证安全控制模块103-1；选择的认证安全控制模块103-1还用于对加密的认证数据库101的保护密钥进行解密，得到认证数据库101的保护密钥。

在上述实施方式中，应用于身份证读取的调度服务器102通过授权服务器104对选择的认证安全控制模块103-1进行认证，但不限于此，如果选择的认证安全控制模块103-1具有通讯功能，授权服务器104可以直接对选择的认证安全控制模块103-1进行认证。认证安全控制模块的认证具体可以参见实施例4和实施例5的描述。

在本发明实施例的一个可选实施方案中，选择的认证安全控制模块103-1还用于将得到的认证数据库101的保护密钥存储在RAM中，且禁止将认证数据库101的保护密钥保存在flash中。通过该可选实施方式，选择的认证安全控制模块103-1在下电后，认证数据库101的保护密钥自动删除，保证了认证数据库101的保护密钥的安全。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102还用于在选择一个认证服务器之后，更新认证数据库101存储的选择的认证安全控制模块103-1的工作状态，从而使得后续应用于身份证读取的调度服务器102可以根据更新的工作状态进行选择。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102还用于根据当前系统内所有认证安全控制模块的工作状态，命令开启或关闭部分认证安全控制模块。通过该可选实施方式，应用于身份证读取的调度服务器102可以根据当前系统内的认证安全控制模块的工作状态，开启或关闭部分认证安全控制模块，达到资源充分利用和节能的目的。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器102还用于对各个认证安全控制的工作状态进行实时监控，在监控到有认证安全控制模块出现异常时，则输出报警信息，从而可以在认证安全控制模块出现异常时及时通知系统维护人员进行处理。

实施例2

本实施例提供了一种读取身份证的调度方法。

图3为本实施例提供的读取身份证的调度方法的流程图，如图3所示，该方法主要包括以下步骤：

步骤S301，应用于身份证读取的调度服务器获取身份证读卡终端的标识信息，根据身份证读卡终端的标识信息判断是否允许身份证读卡终端读取身份证；

步骤S302，在判断允许身份证读卡终端读取身份证的情况下，在接收到身份证读卡终端发送的寻卡请求后，从认证数据库获取应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态；

步骤S303，按照工作任务均衡的原则，根据应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态表，选择一个认证安全控制模块，将选择的认证安全控制模块的标识信息发送给身份证读卡终端；

步骤S304，根据身份证读卡终端的标识信息，从认证数据库中获取身份证读卡终端的加密密钥的密文，其中，密文为使用认证数据库的保护密钥对身份证读卡终端的加密密钥进行加密得到的；

步骤S305，向选择的认证安全控制模块发送数据信息，其中，数据信息包括：身份证读卡终端的加密密钥的密文。

在本实施例中，认证数据库中存储系统内的所有认证安全控制模块的工作状态，以及系统内的各个身份证读卡终端的加密密钥的密文，其中，各个身份证读卡终端的加密密钥的密文为使用认证数据库的保护密钥分别对各个身份证读卡终端的加密密钥进行加密得到的。在本发明实施例的一个可选实施方案中，认证数据库中可以维护一个工作状态表，该工作状态表至少记录了每个认证安全控制模块当前是处于空闲状态还是忙碌状态。应用于身份证读取的调度服务器可以根据该工作状态表判断某个认证安全控制模块当前是空闲还是忙碌。进一步地，如果某个认证安全控制模块当前的状态为忙碌状态，则认证数据库中还可以进一步维护该认证安全控制模块当前处理的身份证读卡终端的个数，以方便应用于身份证读取的调度服务器根据负载均衡的原则进行分配。

在本实施例中，身份证读卡终端的加密密钥可以是在用户申请身份证读卡终端时，在往身份证读卡终端中写入加密密钥时，将加密密钥存储到认证数据库中，为了保证加密密钥的存储安全，认证数据库可以进一步对加密密钥进行加密，例如，可以采用认证数据库的保护密钥对加密密钥进行加密，认证数据库存储加密后的加密密钥。在具体应用中，认证数据库中可以采用键值的方式存储身份证读卡终端的加密密钥，即使用身份证读卡终端的标识信息作为关键字，身份证读卡终端的加密密钥密文为该条数据的值，当然，并不限于此，在实际应用中，认证数据库也可以采用其它的方式存储身份证读卡终端的加密密钥。

在本发明实施例的一个可选实施方案中，身份证读卡终端的加密密钥可以为对称密钥也可以为非对称密钥，如果加密密钥为非对称密钥，则存储在认证数据库中可以为身份证读卡终端的公钥。

在本实施例中，应用于身份证读取的调度服务器在步骤S305中将身份证读卡终端的加密密钥发送给选择的认证安全控制模块，选择认证安全控制模块得到身份证读卡终端的加密密钥后，可以对身份证读卡终端使用加密密钥进行加密的数据进行解密，因此，在本实施例中，身份证读卡终端在第一次向网络侧发送数据时，即可以使用加密密钥对待发送的数据进行加密，认证安全控制模块采用该身份证读卡终端的加密密钥进行解密，从而可以得到身份证读卡终端发送的数据，保证数据传输的安全。

通过本实施例提供的读取身份证的调度方法，在身份证读卡终端寻到身份证，向网络侧发送寻卡请求时，应用于身份证读取的调度服务器在接收到该寻卡请求后，首先判断是否允许该身份证读卡终端读取身份证，只有在允许该身份证读卡终端读取身份证的情况下，才为该身份证读卡终端分配认证安全控制模块，从而避免了非法身份证读卡终端对认证安全控制模块的攻击，提高了身份证读取的安全性。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器获取身份证读卡终端的标识信息包括以下之一：

(1)应用于身份证读取的调度服务器接收身份证读卡终端发送的接入请求，从接入请求中获取身份证读卡终端的标识信息。即身份证读卡终端在接入网络时，向网络侧发送接入请求，请求接入，应用于身份证读取的调度服务器根据接入请求中携带的身份证读卡终端的标识信息获取身份证读卡终端的标识信息，在该方式中，应用于身份证读取的调度服务器判断允许该身份证读卡终端读取身份证后，允许该身份证读卡终端接入，身份证读卡终端接入后，可以保护长连接，在寻到身份证之后，向应用于身份证读取的调度服务器发送寻卡请求；在本实施例的一个可选实施方式中，为了保证数据传输安全，应用于身份证读取的调度服务器在允许身份证读卡终端接入后，可以与身份证读卡终端建立安全通道，例如，与身份证读卡终端协商传输密钥，身份证读卡终端在寻到身份证之后，可以通过该安全通道向应用于身份证读取的调度服务器发送寻卡请求，即使用传输密钥对寻卡请求进行加密，应用于身份证读取的调度服务器接收到该加密寻卡请求后，使用传输密钥进行解密，得到寻卡请求，为身份证读卡终端分配认证安全控制模块。通过该方式，可以在身份证读卡终端接入时对身份证读卡终端进行验证，对于相对安全的身份证读卡终端(例如，设置在银行的身份证读卡终端)，可以采用这种方式，可以减少对身份证读卡终端的验证次数，提高效率。

(2)应用于身份证读取的调度服务器接收身份证读卡终端发送的身份证请求，从身份证请求中获取身份证读卡终端的标识信息，其中，身份证请求中携带有寻卡请求以及身份证读卡终端的标识信息。即在该方式中，身份证读卡终端每读取一次身份证，应用于身份证读取的调度服务器验证一次，身份证读卡终端在寻到身份证之后，向网络侧发送寻卡请求，应用于身份证读取的调度服务器接收到该寻卡请求之后，获取身份证读卡终端的标识信息。通过该方式，可以在身份证读卡终端每读取一张身份证时对身份证读卡终端进行验证，对于相对不太安全的身份证读卡终端(例如，设置在个人商户的身份证读卡终端)，可以采用这种方式，以保证安全。

在本发明实施例的一个可选实施方案中，身份证读卡终端的标识信息可以包括：身份证读卡终端的数字证书；则应用于身份证读取的调度服务器判断是否允许身份证读卡终端读取身份证可以包括：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则判断身份证读卡终端的数字证书是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的数字证书，管控名单中记录了需要按照预设的管控策略对其读取身份证进行控制的身份证读卡终端的数字证书；在判断身份证读卡终端的数字证书在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

或者，在本发明实施例的另一个可选实施方式中，身份证读卡终端的标识信息可以包括：身份证读卡终端的序列号以及身份证读卡终端的数字证书；应用于身份证读取的调度服务器可以通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书或身份证读卡终端的序列号是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的标识信息，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的标识信息；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

在上述两种可选实施方式中，应用于身份证读取的调度服务器在判断身份证读卡终端的数字证书是否异常时，可以在数字证书状态在线查询服务器上查询所述用于验签的数字证书和所述用于加密的数字证书的生存状态，所述生存状态包括：正常生存状态和非正常生存状态，所述非正常生存状态至少包括以下之一：证书失效、证书过期、证书冻结和证书已被列入黑名单。

在上述两种可选实施方式中，黑名单和管控名单可以根据预先设置的规则根据各个身份证读卡终端的读卡行为进行设置。

通过上述两种可选实施方式，可以通过黑名单和管控名单对是否允许身份证读卡终端读取身份证进行判断，可以避免非法身份证读卡终端对网络侧的攻击，提高身份证读取的安全性。

在本发明实施例的一个可选实施方案中，黑名单中存有非法的身份证读卡终端的标识信息，例如被挂失的身份证读卡终端的标识信息、连续出现异常的身份证读卡终端的标识信息、超过使用年限的身份证读卡终端的序列号或短时在多个地区出现的身份证读卡终端的标识信息等，对其请求的处理会带来较大风险，若应用于身份证读取的调度服务器判断身份证读卡终端的标识信息包含在黑名单内，说明该身份证读卡终端的标识信息为非法身份证读卡终端的标识信息，应用于身份证读取的调度服务器不予于处理，终止处理流程。可选地，应用于身份证读取的调度服务器可以返回提示信息以提示用户，该身份证读卡终端已被加入黑名单，便于用户进行后续操作和问题解决。

在本发明实施例的一个可选实施方案中，管控名单中可以记录具体的管控策略，在判断身份证读卡终端的标识信息在管控名单中的情况下，包括但不限于以下方式之一判断是否允许身份证读卡终端读取身份证：

(一)根据预设的管控策略，判断身份证读卡终端当前是否处于允许的位置范围，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了身份证读卡终端允许的位置范围；即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些位置范围内读取身份证，而超出这些范围，则不允许其读取身份证。例如，在具体应用中，可以设置银行客户申请的身份证读卡终端只能在银行网点进行身份证读取，超出银行网点则不允许身份证读卡终端读取身份证。在这种情况下，采用这种方式，可以对身份证读卡终端进行定位，以确定身份证读卡终端当前的位置。采用这种方式，可以避免专属于某地使用的身份证读卡终端被盗用。

(二)根据预设的管控策略，判断当前时间是否在允许身份证读卡终端读卡的时间范围内，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了允许身份证读卡终端读卡的时间范围。即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些时间段内读取身份证，超出这些时间段就不允许身份证读卡终端读取身份证。例如，铁路系统只有在7：00-22：00售票，因此，设置在铁路系统的身份证读卡终端只允许在这些时间段内读取身份证，以避免这些身份证读卡终端被非法使用。

(三)根据预设的管控策略，判断在预设时间段内，身份证读卡终端的历史读卡次数是否超过预设次数阈值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设次数阈值。即限制身份证读卡终端在预设时间段内的读卡次数，避免同一身份证读卡终端在短时间内频繁读卡造成认证安全控制模块的负担过重，而导致认证安全控制模块无法正常工作的问题。

(四)根据预设的管控策略，判断在预设时间段内，身份证读卡终端连续两次读卡的位置之间的距离是否超过预设距离，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离；即对于某些身份证读卡终端，不允许其跨距离使用，例如，分发给某个商户的身份证读卡终端，不允许该身份证读卡终端在两个距离较远的地方使用，以避免用户的身份证读卡终端被盗用。

(五)根据预设的管控策略，判断身份证读卡终端连续两次读卡的时间间隔是否超过预设值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离。即控制身份证读卡终端的读卡频率，避免同一身份证读卡终端频繁读卡给认证安全控制模块带来的攻击。

需要说明的是，虽然上述五种方式分开论述，但对于本领域技术人员来，对于同一身份证读卡终端，显然可以同时设置两种或两种以上的管控策略，例如，对于同一身份证读卡终端，只允许该身份证读卡终端在某些位置范围内的某一段时间内读取身份证，则只有在同时满足位置和时间的要求时，才允许身份证读卡终端读取身份证。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器将选择的认证安全控制模块的标识信息(例如，可以为选择的认证安全控制模块的网络端口)返回给身份证读卡终端后，应用于身份证读取的调度服务器可以将接收到的寻卡请求发送给选择的认证安全控制模块。在这种情况下，各个认证安全控制模块可以直接连接在应用于身份证读取的调度服务器的各个端口上；或者，也可以是应用于身份证读取的调度服务器将选择的认证安全控制模块的标识信息返回给身份证读卡终端后，身份证读卡终端根据选择的认证安全控制模块的标识信息，向选择的认证安全控制模块的发送寻卡请求，在这种情况下，认证安全控制模块为具有网络通讯功能的模块，可以直接与身份证读卡终端进行通讯。在该可选实施方式中，选择的认证安全控制模块可以获取寻卡请求，该寻卡请求可以是身份证读卡终端采用自身的加密密钥对寻卡请求数据进行加密得到的密文数据，选择的认证安全控制模块在接收到该寻卡请求后，可以使用获取到的身份证读卡终端的加密密钥对寻卡请求进行解密，将解密得到的寻卡请求发送给与选择的认证安全控制模块对应连接的验证安全控制模块。对应连接的验证安全控制模块对接收到寻卡请求进行确认，将确认信息发送给选择的认证安全控制模块；选择的认证安全控制模块获取会话密钥，使用会话密钥对确认信息进行加密，将加密后的确认信息发送给身份证读卡终端。需要说明的是，在该可选实施方式中，为了保证数据传输安全身份证读卡终端对寻卡请求进行加密发送，选择的认证安全控制模块也对确认信息进行加密发送，但如果传输环境安全，也可以不进行加密，具体本实施例不作限定。

在上述可选实施方式中，会话密钥可以是选择的认证安全控制模块与身份证读卡终端进行协商得到的，也可以是选择的认证安全控制模块直接生成的随机数，如果是选择的认证安全控制模块生成的随机数，则选择的认证安全控制模块可以使用身份证读卡终端的加密密钥对随机数进行加密，将加密的随机数与加密的确认信息一起发送给身份证读卡终端，从而可以保证会话密钥的传输安全。

在本发明实施例的一个可选实施方案中，按照正常的身份证读卡流程，身份证读卡终端在接收到寻卡请求的确认信息之后，执行选卡流程，在选取身份证之后，身份证读卡终端向选择的认证安全控制模块发送加密的选卡请求，选择的认证安全控制模块对加密的选卡请求进行解密后发送给对应的验证安全控制模块，验证安全控制模块对选卡请求进行响应，发送响应信息给选择的认证安全控制模块，选择的认证安全控制模块对响应信息进行加密发送给身份证读卡终端，身份证读卡终端在接收到响应信息后，将选择的身份证的标识信息发送给选择的认证安全控制模块。在该可选实施方式中，选择的认证安全控制模块接收加密身份证标识信息，对加密身份证标识信息进行解密，将解密得到的身份证标识信息返回给应用于身份证读取的调度服务器。因此，该方法还可以包括：应用于身份证读取的调度服务器接收选择的认证安全控制模块返回的身份证标识信息，至少根据身份证标识信息、身份证读卡终端的标识信息、以及预先设定的策略，判断是否将身份证读卡终端的标识信息加入黑名单或管控名单，例如，判断该身份证读卡终端的读卡频率是否超过预定值、身份证读卡终端频繁地读取不同身份证等，从而确定是否将身份证读卡终端的标识信息加入黑名单或管控名单。通过该可选实施方式中，应用于身份证读取的调度服务器可以根据预先设定的策略对身份证读卡终端进行管理，从而可以动态更新黑名单和管控名单，进一步保证认证安全控制模块不会被非法攻击。

在本发明实施例的一个可选实施方案中，在接收到身份证标识信息之后，该方法还可以包括：应用于身份证读取的调度服务器判断身份证标识信息是否在身份证黑名单中，如果是，则向选择的认证安全控制模块发送指示信息，指示身份证读卡终端当前读取的身份证非法，选择的认证安全控制模块接收到指示信息后，可以停止处理当前的身份证读取流程，还可以选择的认证安全控制模块还可以向身份证读卡终端发送提示信息，提示用户当前的身份证非法。其中，身份证黑名单中存有非法的身份证的标识信息，例如被挂失的身份证的标识信息、连续出现异常的身份证的标识信息、过期的身份证的标识信息等。可选地，身份证的标识信息可以为身份证的序列号，即身份证的出生证。通过该可选实施方式，可以识别出非法身份证，避免读取非法身份证。

在本发明实施例的一个可选实施方案中，应用于身份证读取的调度服务器在选择一个认证安全控制模块之后，该方法还可以包括：生成鉴权码，将鉴权码分别发送给身份证读卡终端和认证数据库(例如，可以与选择的认证安全控制模块的标识信息一起发送给身份证读卡终端)。鉴权码存储在认证数据库中，鉴权码具有一个有效期，在有效期到达时，认证数据库删除该鉴权码。身份证读卡终端接收到鉴权码后，在后续发送给网络侧的请求中携带该鉴权码。例如，如果身份证读卡终端在接收到选择的认证安全控制模块的标识信息之后，需要向选择的认证安全控制模块发送寻卡请求，则可以在寻卡请求中携带该鉴权码，如果寻卡请求是加密的，是可以将鉴权码一起加密发送给选择的认证安全控制模块，选择的认证安全控制模块接收到该鉴权码后，可以查询认证数据库中是否包含该鉴权码，如果是，则继续后续处理，如果不包含，则说明鉴权码已经失效，拒绝身份证读卡终端的请求。通过该可选实施方式，应用于身份证读取的调度服务器可以通过鉴权码的有效时间来控制身份证读卡终端的访问时间，避免为身份证读卡终端选择认证安全控制模块之后，身份证读卡终端长时间不发起读卡请求而导致认证安全控制模块长时间空闲又不能被分配给其它身份证读卡终端的问题。

在本发明实施例的一个可选实施方案中，为了保证数据安全，还可以对认证安全控制模块进行认证。因此，该方法还包括：在选择的认证安全控制模块上电时，应用于身份证读取的调度服务器向选择的认证安全控制模块发送待签名数据；应用于身份证读取的调度服务器接收选择的认证安全控制模块返回的认证数据，其中，认证数据包括：使用选择的认证安全控制模块的签名私钥对待签名数据进行签名得到的签名数据、选择的认证安全控制模块的签名私钥对应的签名公钥证书、以及选择的认证安全控制模块的加密公钥证书；应用于身份证读取的调度服务器判断签名公钥证书以及加密公钥证书是否处理异常状态；在判断签名公钥证书以及加密公钥证书不是处理异常状态的情况下，校验签名公钥证书以及加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证签名数据是否正确，如果是，则选择的认证安全控制模块的身份认证通过，对认证数据库的保护密钥进行加密后发送给选择的认证安全控制模块；如果签名数据不正确，选择的认证安全模块的身份认证不通过，发出警告信息。

在具体应用中，应用于身份证读取的调度服务器可以结合授权服务器完成对认证安全控制模块的认证。因此，在另一个可选实施方法，该方法还可以包括：应用于身份证读取的调度服务器在选择的认证安全控制模块上电时，向选择的认证安全控制模块发送待签名数据；选择的认证安全控制模块使用签名私钥对待签名数据进行签名得到的签名数据，将包括签名数据、签名私钥对应的签名公钥证书、以及选择的认证安全控制模块的加密公钥证书的认证数据返回给应用于身份证读取的调度服务器；应用于身份证读取的调度服务器接收选择的认证安全控制模块返回的认证数据，判断签名公钥证书以及加密公钥证书是否处理异常状态；在判断签名公钥证书以及加密公钥证书不是处理异常状态的情况下，将待签名数据以及认证数据发送给授权服务器；授权服务器通过连接的授权电子签名设备校验签名公钥证书以及加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证签名数据是否正确，如果是，则选择的认证安全控制模块的身份认证通过，否则，选择的认证安全模块的身份认证不通过；授权服务器在选择的认证安全控制模块的身份认证通过的情况下，通过授权电子签名设备对认证数据库的保护密钥进行加密后发送给应用于身份证读取的调度服务器；以及在选择的认证安全控制模块的身份认证不通过的情况下发出警告信息；应用于身份证读取的调度服务器将加密的认证数据库的保护密钥发送给选择的认证安全控制模块；选择的认证安全控制模块对加密的认证数据库的保护密钥进行解密，得到认证数据库的保护密钥。

在上述实施方式中，应用于身份证读取的调度服务器通过授权服务器对选择的认证安全控制模块进行认证，但不限于此，如果选择的认证安全控制模块具有通讯功能，授权服务器可以直接对选择的认证安全控制模块进行认证。认证安全控制模块的认证具体可以参见实施例4和实施例5的描述。

在本发明实施例的一个可选实施方案中，该方法还包括：应用于身份证读取的调度服务器在选择一个认证服务器之后，更新认证数据库存储的选择的认证安全控制模块的工作状态，从而使得后续应用于身份证读取的调度服务器可以根据更新的工作状态进行选择。

实施例3

本实施例提供了一种应用于身份证读取的调度服务器，该应用于身份证读取的调度服务器可以用于作为实施例1中调度服务器102，也可以用于实现实施例2中所描述的方法。

图4为本实施例提供的应用于身份证读取的调度服务器的结构示意图，如图4所示，该应用于身份证读取的调度服务器主要包括：第一获取模块401，用于获取身份证读卡终端的标识信息；第一判断模块402，用于根据身份证读卡终端的标识信息判断是否允许身份证读卡终端读取身份证；第二获取模块403，用于在判断允许身份证读卡终端读取身份证的情况下，在接收到身份证读卡终端发送的寻卡请求后，从认证数据库获取应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态；调度模块404，用于按照工作任务均衡的原则，根据应用于身份证读取的调度服务器的管辖范围内的认证安全控制模块的工作状态表，选择一个认证安全控制模块，将选择的认证安全控制模块的标识信息发送给身份证读卡终端；第三获取模块405，用于根据身份证读卡终端的标识信息，从认证数据库中获取身份证读卡终端的加密密钥的密文，其中，密文为使用认证数据库的保护密钥对身份证读卡终端的加密密钥进行加密得到的；第一发送模块406，用于向选择的认证安全控制模块发送数据信息，其中，数据信息包括：身份证读卡终端的加密密钥的密文。

通过本实施例提供的读取身份证的调度方法，在身份证读卡终端寻到身份证，向网络侧发送寻卡请求时，应用于身份证读取的调度服务器在接收到该寻卡请求后，首先判断是否允许该身份证读卡终端读取身份证，只有在允许该身份证读卡终端读取身份证的情况下，才为该身份证读卡终端分配认证安全控制模块，从而避免了非法身份证读卡终端对认证安全控制模块的攻击，提高了身份证读取的安全性。

可选地，第一获取模块401可以通过以下方式获取身份证读卡终端的标识信息：

(1)，接收身份证读卡终端发送的接入请求，从接入请求中获取身份证读卡终端的标识信息；或者，即身份证读卡终端在接入网络时，向网络侧发送接入请求，请求接入，应用于身份证读取的调度服务器根据接入请求中携带的身份证读卡终端的标识信息获取身份证读卡终端的标识信息，在该方式中，应用于身份证读取的调度服务器判断允许该身份证读卡终端读取身份证后，允许该身份证读卡终端接入，身份证读卡终端接入后，可以保护长连接，在寻到身份证之后，向应用于身份证读取的调度服务器发送寻卡请求；在本实施例的一个可选实施方式中，为了保证数据传输安全，应用于身份证读取的调度服务器在允许身份证读卡终端接入后，可以与身份证读卡终端建立安全通道，例如，与身份证读卡终端协商传输密钥，身份证读卡终端在寻到身份证之后，可以通过该安全通道向应用于身份证读取的调度服务器发送寻卡请求，即使用传输密钥对寻卡请求进行加密，应用于身份证读取的调度服务器接收到该加密寻卡请求后，使用传输密钥进行解密，得到寻卡请求，为身份证读卡终端分配认证安全控制模块。通过该方式，可以在身份证读卡终端接入时对身份证读卡终端进行验证，对于相对安全的身份证读卡终端(例如，设置在银行的身份证读卡终端)，可以采用这种方式，可以减少对身份证读卡终端的验证次数，提高效率。

(2)，接收身份证读卡终端发送的身份证请求，从身份证请求中获取身份证读卡终端的标识信息，其中，身份证请求中携带有寻卡请求以及身份证读卡终端的标识信息。即在该方式中，身份证读卡终端每读取一次身份证，应用于身份证读取的调度服务器验证一次，身份证读卡终端在寻到身份证之后，向网络侧发送寻卡请求，应用于身份证读取的调度服务器接收到该寻卡请求之后，获取身份证读卡终端的标识信息。通过该方式，可以在身份证读卡终端每读取一张身份证时对身份证读卡终端进行验证，对于相对不太安全的身份证读卡终端(例如，设置在个人商户的身份证读卡终端)，可以采用这种方式，以保证安全。

可选地，身份证读卡终端的标识信息包括：身份证读卡终端的数字证书；第一判断模块402通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的数字证书，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的数字证书；在判断身份证读卡终端的数字证书在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

可选地，身份证读卡终端的标识信息包括：身份证读卡终端的序列号和身份证读卡终端的数字证书；第一判断模块402通过以下方式判断是否允许身份证读卡终端读取身份证：判断身份证读卡终端的数字证书是否异常，如果是，则确定不允许身份证读卡终端读取身份证，否则，判断身份证读卡终端的数字证书或身份证读卡终端的序列号是否在黑名单或管控名单中，其中，黑名单中记录了不允许读取身份证的身份证读卡终端的标识信息，管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的标识信息；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在黑名单中的情况下，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求；在判断身份证读卡终端的数字证书或身份证读卡终端的序列号在管控名单中的情况下，按照预设的管控策略判断是否允许身份证读卡终端读取身份证。

在上述两种可选实施方式中，应用于身份证读取的调度服务器在判断身份证读卡终端的数字证书是否异常时，可以在数字证书状态在线查询服务器上查询所述用于验签的数字证书和所述用于加密的数字证书的生存状态，所述生存状态包括：正常生存状态和非正常生存状态，所述非正常生存状态至少包括以下之一：证书失效、证书过期、证书冻结和证书已被列入黑名单。

在上述两种可选实施方式中，黑名单和管控名单可以根据预先设置的规则根据各个身份证读卡终端的读卡行为进行设置。

通过上述两种可选实施方式，可以通过黑名单和管控名单对是否允许身份证读卡终端读取身份证进行判断，可以避免非法身份证读卡终端对网络侧的攻击，提高身份证读取的安全性。

在本发明实施例的一个可选实施方案中，黑名单中存有非法的身份证读卡终端的标识信息，例如被挂失的身份证读卡终端的标识信息、连续出现异常的身份证读卡终端的标识信息、超过使用年限的身份证读卡终端的序列号或短时在多个地区出现的身份证读卡终端的标识信息等，对其请求的处理会带来较大风险，若应用于身份证读取的调度服务器判断身份证读卡终端的标识信息包含在黑名单内，说明该身份证读卡终端的标识信息为非法身份证读卡终端的标识信息，应用于身份证读取的调度服务器不予于处理，终止处理流程。可选地，应用于身份证读取的调度服务器可以返回提示信息以提示用户，该身份证读卡终端已被加入黑名单，便于用户进行后续操作和问题解决。

可选地，第一判断模块402按照预设的管控策略通过至少通过以下方式之一判断是否允许身份证读卡终端读取身份证：

(一)根据预设的管控策略，判断身份证读卡终端当前是否处于允许的接入位置范围，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了身份证读卡终端允许的接入位置范围；即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些位置范围内读取身份证，而超出这些范围，则不允许其读取身份证。例如，在具体应用中，可以设置银行客户申请的身份证读卡终端只能在银行网点进行身份证读取，超出银行网点则不允许身份证读卡终端读取身份证。在这种情况下，采用这种方式，可以对身份证读卡终端进行定位，以确定身份证读卡终端当前的位置。采用这种方式，可以避免专属于某地使用的身份证读卡终端被盗用。

(二)根据预设的管控策略，判断当前时间是否在允许身份证读卡终端接入的时间范围内，如果是，则允许身份证读卡终端读取身份证，否则，不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，其中，预设的管控策略中记录了允许身份证读卡终端接入的时间范围；即对于某些身份证读卡终端，只允许这些身份证读卡终端在某些时间段内读取身份证，超出这些时间段就不允许身份证读卡终端读取身份证。例如，铁路系统只有在7：00-22：00售票，因此，设置在铁路系统的身份证读卡终端只允许在这些时间段内读取身份证，以避免这些身份证读卡终端被非法使用。

(三)根据预设的管控策略，判断在预设时间段内，身份证读卡终端的历史接入次数是否超过预设次数阈值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设次数阈值；即限制身份证读卡终端在预设时间段内的读卡次数，避免同一身份证读卡终端在短时间内频繁读卡造成认证安全控制模块的负担过重，而导致认证安全控制模块无法正常工作的问题。

(四)根据预设的管控策略，判断在预设时间段内，身份证读卡终端连续两次接入的接入位置之间的距离是否超过预设距离，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离；即对于某些身份证读卡终端，不允许其跨距离使用，例如，分发给某个商户的身份证读卡终端，不允许该身份证读卡终端在两个距离较远的地方使用，以避免用户的身份证读卡终端被盗用。

(五)根据预设的管控策略，判断身份证读卡终端连续两次接入的时间间隔是否超过预设值，如果是，则不允许身份证读卡终端读取身份证，拒绝身份证读卡终端的请求，否则，允许身份证读卡终端读取身份证，其中，预设的管控策略中记录了预设时间段的时长以及预设距离。即控制身份证读卡终端的读卡频率，避免同一身份证读卡终端频繁读卡给认证安全控制模块带来的攻击。

需要说明的是，虽然上述五种方式分开论述，但对于本领域技术人员来，对于同一身份证读卡终端，显然可以同时设置两种或两种以上的管控策略，例如，对于同一身份证读卡终端，只允许该身份证读卡终端在某些位置范围内的某一段时间内读取身份证，则只有在第一判断模块402判断同时满足位置和时间的要求时，才允许身份证读卡终端读取身份证。

可选地，该应用于身份证读取的调度服务器还可以包括：第一接收模块，用于接收认证安全控制模块返回的身份证标识信息；第二判断模块，用于至少根据身份证标识信息、身份证读卡终端的标识信息、以及预先设定的策略，判断是否将身份证读卡终端加入黑名单或管控名单。例如，判断该身份证读卡终端的读卡频率是否超过预定值、身份证读卡终端频繁地读取不同身份证等，从而确定是否将身份证读卡终端的标识信息加入黑名单或管控名单。通过该可选实施方式中，应用于身份证读取的调度服务器可以根据预先设定的策略对身份证读卡终端进行管理，从而可以动态更新黑名单和管控名单，进一步保证认证安全控制模块不会被非法攻击。

可选地，应用于身份证读取的调度服务器还可以包括：第三判断模块，用于判断身份证标识信息是否在身份证黑名单中；第二发送模块，用于在判断身份证标识信息在身份证黑名单的情况下，向选择的认证安全控制模块发送指示信息，指示身份证读卡终端当前读取的身份证非法。选择的认证安全控制模块接收到指示信息后，可以停止处理当前的身份证读取流程，还可以选择的认证安全控制模块还可以向身份证读卡终端发送提示信息，提示用户当前的身份证非法。其中，身份证黑名单中存有非法的身份证的标识信息，例如被挂失的身份证的标识信息、连续出现异常的身份证的标识信息、过期的身份证的标识信息等。可选地，身份证的标识信息可以为身份证的序列号，即身份证的出生证。通过该可选实施方式，可以识别出非法身份证，避免读取非法身份证。

可选地，数据信息还包括：寻卡请求。即应用于身份证读取的调度服务器将选择的认证安全控制模块的标识信息(例如，可以为选择的认证安全控制模块的网络端口)返回给身份证读卡终端后，应用于身份证读取的调度服务器可以将接收到的寻卡请求发送给选择的认证安全控制模块。在这种情况下，各个认证安全控制模块可以直接连接在应用于身份证读取的调度服务器的各个端口上

可选地，应用于身份证读取的调度服务器还可以包括：第三发送模块，用于生成鉴权码，将鉴权码分别发送给身份证读卡终端和认证数据库(例如，可以与选择的认证安全控制模块的标识信息一起发送给身份证读卡终端)。鉴权码存储在认证数据库中，鉴权码具有一个有效期，在有效期到达时，认证数据库删除该鉴权码。身份证读卡终端接收到鉴权码后，在后续发送给网络侧的请求中携带该鉴权码。例如，如果身份证读卡终端在接收到选择的认证安全控制模块的标识信息之后，需要向选择的认证安全控制模块发送寻卡请求，则可以在寻卡请求中携带该鉴权码，如果寻卡请求是加密的，是可以将鉴权码一起加密发送给选择的认证安全控制模块，选择的认证安全控制模块接收到该鉴权码后，可以查询认证数据库中是否包含该鉴权码，如果是，则继续后续处理，如果不包含，则说明鉴权码已经失效，拒绝身份证读卡终端的请求。通过该可选实施方式，应用于身份证读取的调度服务器可以通过鉴权码的有效时间来控制身份证读卡终端的访问时间，避免为身份证读卡终端选择认证安全控制模块之后，身份证读卡终端长时间不发起读卡请求而导致认证安全控制模块长时间空闲又不能被分配给其它身份证读卡终端的问题。

可选地，为了保证数据安全，还可以对认证安全控制模块进行认证。因此，应用于身份证读取的调度服务器还可以包括：第四发送模块，用于在选择的认证安全控制模块上电时，向选择的认证安全控制模块发送待签名数据；第二接收模块，用于接收选择的认证安全控制模块返回的认证数据，其中，认证数据包括：使用选择的认证安全控制模块的签名私钥对待签名数据进行签名得到的签名数据、选择的认证安全控制模块的签名私钥对应的签名公钥证书、以及选择的认证安全控制模块的加密公钥证书；第一验证模块，用于判断签名公钥证书以及加密公钥证书是否处理异常状态；第二验证模块，用于在判断签名公钥证书以及加密公钥证书不是处理异常状态的情况下，校验签名公钥证书以及加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证签名数据是否正确；第四发送模块，用于在签名公钥证书以及加密公钥证书分配给同一身份证读卡终端的且签名数据正确的情况下，确定选择的认证安全控制模块的身份认证通过，对认证数据库的保护密钥进行加密后发送给选择的认证安全控制模块；警告模块，用于在签名公钥证书以及加密公钥证书不是分配给同一身份证读卡终端的和/或签名数据不正确的情况下，确定选择的认证安全模块的身份认证不通过，发出警告信息。

实施例4

本实施例提供了一种密钥获取方法，在该实施例中，应用于身份证读取的调度服务器配合授权服务器对认证安全控制模块进行认证并在认证通过后向认证安全控制模块发送认证数据库的保护密钥。如图5所示，该方法包括以下步骤S501～S505：

S501：认证安全控制模块向应用于身份证读取的调度服务器发送认证数据，认证数据至少包括：认证安全控制模块对待签名数据进行签名得到的签名数据、以及用于验签的数字证书和用于加密的数字证书；

在本实施例中，作为本实施例中的一种可选实施方式，认证安全控制模块可以为安全芯片，安全芯片(如国民技术股份有限公司的Z8D64U(国密批号SSX43)、Z32(国密批号SSX20))内部拥有独立的处理器和存储单元，可存储PKI数字证书和对应的私钥，以及其他特征数据，对数据进行加解密运算，为用户提供数据加密和身份安全认证服务，保护商业隐私和数据安全，因此，本实施例中认证安全控制模块中存储有用于验签的数字证书和用于加密的数字证书，以及各自对应的私钥，其中，对于前者，认证安全控制模块可以使用与用于验签的数字证书对应的私钥对待签名数据进行签名得到签名数据，授权服务器可以利用该用于验签的数字证书的公钥对签名数据验签，以实现授权服务器对认证安全控制模块的身份认证，保证认证安全控制模块的合法性；对于后者，授权服务器可以利用用于加密的数字证书的公钥对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，以实现密文传输，从而保证传输方式的安全性，而且只有存储有与用于加密的数字证书对应的私钥的认证安全控制模块才能解密认证数据库的保护密钥密文得到认证数据库的保护密钥，以保证获取认证数据库的保护密钥的安全性，能够防止认证数据库的保护密钥被非法盗用。

在本实施例中，待签名数据可以由认证安全控制模块生成，也可以由授权服务器生成。因此，对于前者，作为本实施例中的一种可选实施方式，认证安全控制模块发送至应用于身份证读取的调度服务器的认证数据中还包括：待签名数据；该待签名数据至少包括：认证安全控制模块生成的单次认证数据、用于验签的数字证书、用于加密的数字证书和认证安全控制模块的身份标识。其中，单次认证数据为随机因子，包括随机数和/或随机事件，以防止重复攻击，而且通过上述多种待签名数据的组合增加了授权服务器验签的可靠性；或者，对于后者，作为本实施例中的另一种可选实施方式，待签名数据，包括：授权服务器生成的单次认证数据和/或授权服务器的身份标识，其中，单次认证数据为随机因子，包括随机数和/或随机事件，以防止重复攻击，而且通过上述多种待签名数据的组合增加了授权服务器验签的可靠性；该授权服务器生成的单次认证数据可以通过应用于身份证读取的调度服务器转发至认证安全控制模块，认证安全控制模块可以利用用于验签的数字证书对应的私钥对该待签名数据进行签名得到签名数据以便授权服务器进行验签。

S502：应用于身份证读取的调度服务器接收认证安全控制模块发送的认证数据，并查询用于验签的数字证书和用于加密的数字证书的生存状态，若生存状态为正常生存状态，则将认证数据发送至授权服务器；

在本实施例中，认证安全控制模块只有通过应用于身份证读取的调度服务器和授权服务器的双重认证，才能获得认证数据库的保护密钥。应用于身份证读取的调度服务器对认证安全控制模块的认证是通过查询用于验签的数字证书和用于加密的数字证书的生存状态是否为正常生存状态来实现的。作为本实施例的一种可选实施方式，应用于身份证读取的调度服务器查询用于验签的数字证书和用于加密的数字证书的状态，包括：应用于身份证读取的调度服务器在数字证书状态在线查询服务器上查询用于验签的数字证书和用于加密的数字证书的生存状态，生存状态包括：正常生存状态和非正常生存状态，非正常生存状态至少包括以下之一：证书失效、证书过期、证书冻结和证书已被列入黑名单。如果上述数字证书失效、过期、冻结或者已被列入黑名单，就说明认证安全控制模块很有可能是非法设备，则应用于身份证读取的调度服务器不会将认证数据发送至授权服务器，所以，认证安全控制模块也就无法获到认证数据库的保护密钥，不能对从身份证读卡终端接收到的密文解密，从而制止了该非法的安全控制模块对验证安全控制模块的攻击，由此，通过应用于身份证读取的调度服务器的认证保证了认证安全控制模块的合法性。

S503：授权服务器判断用于验签的数字证书和用于加密的数字证书是否属于同一用户，在判断用于验签的数字证书和用于加密的数字证书属于同一用户后，对签名数据进行验签，验签通过后，获取认证数据库的保护密钥；并对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，并将认证数据库的保护密钥密文发送至应用于身份证读取的调度服务器；

在本实施例中，授权服务器对认证安全控制模块的认证是通过判断用于验签的数字证书和用于加密的数字证书是否属于同一用户以及利用用于验签的数字证书对签名数据进行验签来实现的。其中，作为本实施例中的一种可选实施方式，授权服务器判断用于验签的数字证书和用于加密的数字证书是否属于同一用户，包括：授权服务器根据用于验签的数字证书和用于加密的数字证书各自携带的用户归属信息判断用于验签的数字证书和用于加密的数字证书是否属于同一用户。

用户归属信息是指可以标识用户身份的信息，比如UID(User Identification，用户唯一标识)等，如果两个数字证书携带的用户归属信息相同，则说明二者属于同一用户。实际应用时，用于验签的数字证书和用于加密的数字证书应该是同一个用户在第三方认证平台申请的，因为一旦授权服务器对这个用户的签名数据验签用过之后，该用户就可以用该用于加密的数字证书对从授权服务器接收到的认证数据库的保护密钥密文解密得到认证数据库的保护密钥，为了防止非法用户盗用他人的用于验签的数字证书或盗用他人的用于加密的数字证书，本实施例中授权服务器需要在对签名数据验签之前，先判断两个数字证书是否属于同一用户，如果属于同一用户，至少能够保证排除掉非法盗用数字证书的情况。

此外，授权服务器收到的签名数据为认证安全控制模块利用与用于验签的数字证书对应的私钥对待签名数据签名得到的签名数据，由此，授权服务器可以利用该用于验签的数字证书的公钥对签名数据进行验签。

由此，只有通过应用于身份证读取的调度服务器和授权服务器的双重认证，认证安全控制模块才能获得认证数据库的保护密钥，保证了认证安全控制模块获取认证数据库的保护密钥的安全性。

作为本实施例一种可选的实施方式，授权服务器可以利用用于加密的数字证书的公钥对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，当然，作为本实施例另一种可选的实施方式，授权服务器也可以生成随机密钥，利用随机密钥对认证数据库的保护密钥加密，并利用用于加密的数字证书的公钥对随机密钥加密，将加密后的随机密钥和认证数据库的保护密钥密文一起发送至应用于身份证读取的调度服务器；本实施例中，由于认证安全控制模块将自己用于加密的数字证书发送至授权服务器，授权服务器采用该数字证书的公钥采用上述提到的方式对认证数据库的保护密钥加密后再传输给认证安全控制模块，实现密文传输，保证了传输数据的安全，而且只有拥有该数字证书对应的私钥的认证安全控制模块才能对认证数据库的保护密钥密文解密，即使被截获，由于没有保存私钥也无法破译该认证数据库的保护密钥密文，因此，进一步保证了认证数据库的保护密钥的安全。

S504：应用于身份证读取的调度服务器将认证数据库的保护密钥密文发送至认证安全控制模块；

具体实施时，认证安全控制模块为安全芯片没有通信接口时，需要应用于身份证读取的调度服务器进行转发数据。而且，认证安全控制模块仅与应用于身份证读取的调度服务器连接通信，而不与其他外部设备连接通信，只接收应用于身份证读取的调度服务器发送的数据，进一步由应用于身份证读取的调度服务器将不安全的数据挡在了认证安全控制模块之外，保障了认证安全控制模块的安全。

S505：认证安全控制模块对认证数据库的保护密钥密文解密得到认证数据库的保护密钥，并将认证数据库的保护密钥保存在认证安全控制模块的随机存取存储器中。

与步骤S503中授权服务器生成认证数据库的保护密钥密文的方式相应的，认证安全控制模块对认证数据库的保护密钥密文解密得到认证数据库的保护密钥示例性地给出以下实现方式：利用本地存储的与用于加密的数字证书对应的私钥对认证数据库的保护密钥密文解密得到认证数据库的保护密钥，或者，利用本地存储的与用于加密的数字证书对应的私钥对加密后的随机密钥解密得到随机密钥，并利用随机密钥对认证数据库的保护密钥密文解密得到认证数据库的保护密钥。本实施例中，由于认证安全控制模块将自己用于加密的数字证书发送至授权服务器，授权服务器采用该数字证书的公钥对认证数据库的保护密钥加密后再传输给认证安全控制模块，实现密文传输，保证了传输数据的安全，而且只有拥有该数字证书对应的私钥的认证安全控制模块才能对认证数据库的保护密钥密文解密，即使被截获，由于没有保存私钥也无法破译该认证数据库的保护密钥密文，因此，进一步保证了认证数据库的保护密钥的安全。

而且，认证安全控制模块解密获得认证数据库的保护密钥后保存在随机存取存储器RAM中，而非保存在FLASH中，这样一旦掉电该认证数据库的保护密钥就被删除了，当认证安全控制模块再次上电时，就需要重新执行获取认证数据库的保护密钥的步骤，由此，从硬件上保证了认证数据库的保护密钥不会被一个认证安全控制模块持续占用，更加不易被截获。

实施例5

本实施例提供了一种密钥获取方法，本实施例与实施例4的区别在于，在该实施例中，授权服务器直接对认证安全控制模块进行认证并在认证通过后向认证安全控制模块发送认证数据库的保护密钥。如图6所示，该方法包括以下步骤S601～S604：

S601：认证安全控制模块向授权服务器发送认证数据，认证数据至少包括：认证安全控制模块对待签名数据进行签名得到的签名数据、以及用于验签的数字证书和用于加密的数字证书；

在本实施例中，作为本实施例中的一种可选实施方式，认证安全控制模块可以为安全芯片，安全芯片(如国民技术股份有限公司的Z8D64U(国密批号SSX43)、Z32(国密批号SSX20))内部拥有独立的处理器和存储单元，可存储PKI数字证书和对应的私钥，以及其他特征数据，对数据进行加解密运算，为用户提供数据加密和身份安全认证服务，保护商业隐私和数据安全，因此，本实施例中认证安全控制模块中存储有用于验签的数字证书和用于加密的数字证书，以及各自对应的私钥。其中，认证安全控制模块可以使用与用于验签的数字证书对应的私钥对待签名数据进行签名得到签名数据，授权服务器可以利用该用于验签的数字证书的公钥对签名数据验签，以实现授权服务器对认证安全控制模块的身份认证，保证认证安全控制模块的合法性；授权服务器可以利用用于加密的数字证书的公钥对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，以实现密文传输，从而保证传输方式的安全性，而且只有存储有与用于加密的数字证书对应的私钥的认证安全控制模块才能解密认证数据库的保护密钥密文得到认证数据库的保护密钥，以保证获取认证数据库的保护密钥的安全性，能够防止认证数据库的保护密钥被非法盗用。

在本实施例中，待签名数据可以由认证安全控制模块生成，也可以由授权服务器生成。因此，对于前者，作为本实施例中的一种可选实施方式，认证安全控制模块发送至授权服务器的认证数据中还包括：待签名数据；该待签名数据至少包括：认证安全控制模块生成的单次认证数据、用于验签的数字证书、用于加密的数字证书和认证安全控制模块的身份标识。其中，单次认证数据为随机因子，包括随机数和/或随机事件，以防止重复攻击，而且通过上述多种待签名数据的组合增加了授权服务器验签的可靠性；或者，对于后者，作为本实施例中的另一种可选实施方式，待签名数据，包括：授权服务器生成的单次认证数据和/或授权服务器的身份标识，其中，单次认证数据为随机因子，包括随机数和/或随机事件，以防止重复攻击，而且通过上述多种待签名数据的组合增加了授权服务器验签的可靠性；该授权服务器生成的单次认证数据可以通过授权服务器转发至认证安全控制模块，认证安全控制模块可以利用用于验签的数字证书对应的私钥对该待签名数据进行签名得到签名数据以便授权服务器进行验签。

S602：授权服务器接收认证安全控制模块发送的认证数据，并查询用于验签的数字证书和用于加密的数字证书的生存状态，若生存状态为正常生存状态，则执行步骤S603；

在本实施例中，认证安全控制模块只有通过授权服务器的认证，才能获得认证数据库的保护密钥。授权服务器对认证安全控制模块的认证包括：对认证安全控制模块的数字证书的有效性的认证以及对认证安全控制模块的数字证书的合法性的认证。

其中，授权服务器对认证安全控制模块的认证是通过查询用于验签的数字证书和用于加密的数字证书的生存状态是否为正常生存状态来实现的。作为本实施例的一种可选实施方式，授权服务器查询用于验签的数字证书和用于加密的数字证书的状态，包括：授权服务器在数字证书状态在线查询服务器上查询用于验签的数字证书和用于加密的数字证书的生存状态，生存状态包括：正常生存状态和非正常生存状态，非正常生存状态至少包括以下之一：证书失效、证书过期、证书冻结和证书已被列入黑名单。如果上述数字证书失效、过期、冻结或者已被列入黑名单，就说明认证安全控制模块很有可能是非法设备，则授权服务器不会将认证数据发送至授权服务器，所以，认证安全控制模块也就无法获到认证数据库的保护密钥，不能对从身份证读卡终端接收到的密文解密，从而制止了该非法的安全控制模块对验证安全控制模块的攻击，由此，通过授权服务器的认证保证了认证安全控制模块的合法性。

S603：授权服务器判断用于验签的数字证书和用于加密的数字证书是否属于同一用户，在判断用于验签的数字证书和用于加密的数字证书属于同一用户后，对签名数据进行验签，验签通过后，获取认证数据库的保护密钥；并对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，并将认证数据库的保护密钥密文发送至认证安全控制模块；

在本实施例中，授权服务器对认证安全控制模块的数字证书的合法性的认证是通过判断用于验签的数字证书和用于加密的数字证书是否属于同一用户以及利用用于验签的数字证书对签名数据进行验签来实现的。其中，作为本实施例中的一种可选实施方式，授权服务器根据用于验签的数字证书和用于加密的数字证书各自携带的用户归属信息判断用于验签的数字证书和用于加密的数字证书是否属于同一用户，如果是，则确定用于验签的数字证书和用于加密的数字证书属于同一用户。

为了防止非法用户盗用他人的用于验签的数字证书或盗用他人的用于加密的数字证书，本实施例中，授权服务器需要在对签名数据验签之前，先判断两个数字证书是否属于同一用户，如果属于同一用户，至少能够保证这两个数字证书属于同一个用户，排除掉了非法盗用数字证书的情况。

此外，授权服务器收到的签名数据为认证安全控制模块利用与用于验签的数字证书对应的私钥对待签名数据签名得到的签名数据，由此，授权服务器可以利用该用于验签的数字证书的公钥对签名数据进行验签。

由此，只有通过授权服务器对数字证书的有效性和合法性的双重认证，认证安全控制模块才能获得认证数据库的保护密钥，保证了认证安全控制模块获取认证数据库的保护密钥的安全性。

作为本实施例一种可选的实施方式，授权服务器可以利用用于加密的数字证书的公钥对认证数据库的保护密钥加密生成认证数据库的保护密钥密文，当然，作为本实施例另一种可选的实施方式，授权服务器50也可以生成随机密钥，利用随机密钥对认证数据库的保护密钥加密，并利用用于加密的数字证书的公钥对随机密钥加密，将加密后的随机密钥和认证数据库的保护密钥密文一起发送至授权服务器；授权服务器采用上述提到的方式对认证数据库的保护密钥加密后再传输给认证安全控制模块，实现密文传输，保证了传输数据的安全，而且只有拥有该数字证书对应的私钥的认证安全控制模块才能对认证数据库的保护密钥密文解密，即使被截获，由于没有保存私钥也无法破译该认证数据库的保护密钥密文，因此，进一步保证了认证数据库的保护密钥的安全。

S604：认证安全控制模块对认证数据库的保护密钥密文解密得到认证数据库的保护密钥，并将认证数据库的保护密钥保存在认证安全控制模块的随机存取存储器中。

与步骤S603中授权服务器生成认证数据库的保护密钥密文的方式相应的，认证安全控制模块对认证数据库的保护密钥密文解密得到认证数据库的保护密钥示例性地给出以下实现方式：利用本地存储的与用于加密的数字证书对应的私钥对认证数据库的保护密钥密文解密得到认证数据库的保护密钥，或者，利用本地存储的与用于加密的数字证书对应的私钥对加密后的随机密钥解密得到随机密钥，并利用随机密钥对认证数据库的保护密钥密文解密得到认证数据库的保护密钥。本实施例中，由于认证安全控制模块将自己用于加密的数字证书发送至授权服务器，授权服务器采用该数字证书的公钥对认证数据库的保护密钥加密后再传输给认证安全控制模块，实现密文传输，保证了传输数据的安全，而且只有拥有该数字证书对应的私钥的认证安全控制模块才能对认证数据库的保护密钥密文解密，即使被截获，由于没有保存私钥也无法破译该认证数据库的保护密钥密文，因此，进一步保证了认证数据库的保护密钥的安全。

而且，认证安全控制模块解密获得认证数据库的保护密钥后保存在随机存取存储器RAM中，而非保存在FLASH中，这样一旦掉电该认证数据库的保护密钥就被删除了，当认证安全控制模块再次上电时，就需要重新执行获取认证数据库的保护密钥的步骤，由此，从硬件上保证了认证数据库的保护密钥不会被一个认证安全控制模块持续占用，更加不易被截获。

通过本实施例提供的密钥获取方法，认证安全控制模块为了将非法攻击的事件都挡在验证安全控制模块之外，需要经由授权服务器和授权服务器认证通过后，才能从授权服务器获取到认证数据库的保护密钥，从而使得身份证信息的传输系统中的认证安全控制模块可以利用该认证数据库的保护密钥对身份证读卡终端的传输密钥密文解密得到传输密钥，认证安全控制模块只有获取到该传输密钥才能够对身份证读卡终端发送的密文解密，由此可以保证认证安全控制模块发送至验证安全控制模块的数据的安全性。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (10)

1.一种应用于身份证读取的调度服务器，其特征在于，包括：

第一获取模块，用于获取身份证读卡终端的标识信息；

第一判断模块，用于根据所述身份证读卡终端的标识信息判断是否允许所述身份证读卡终端读取身份证；

第二获取模块，用于在判断允许所述身份证读卡终端读取身份证的情况下，在接收到所述身份证读卡终端发送的寻卡请求后，从认证数据库获取所述调度服务器的管辖范围内的认证安全控制模块的工作状态；

调度模块，用于根据所述调度服务器的管辖范围内的认证安全控制模块的工作状态表，选择一个认证安全控制模块，将选择的所述认证安全控制模块的标识信息发送给所述身份证读卡终端；

第三获取模块，用于根据所述身份证读卡终端的标识信息，从所述认证数据库中获取所述身份证读卡终端的加密密钥的密文，其中，所述密文为使用所述认证数据库的保护密钥对所述身份证读卡终端的加密密钥进行加密得到的；

第一发送模块，用于向选择的所述认证安全控制模块发送数据信息，其中，所述数据信息包括：所述身份证读卡终端的加密密钥的密文。

2.根据权利要求1所述的调度服务器，其特征在于，所述第一获取模块通过以下方式获取身份证读卡终端的标识信息：

接收所述身份证读卡终端发送的接入请求，从所述接入请求中获取所述身份证读卡终端的标识信息；或者，

接收所述身份证读卡终端发送的身份证请求，从所述身份证请求中获取所述身份证读卡终端的标识信息，其中，所述身份证请求中携带有所述寻卡请求以及所述身份证读卡终端的标识信息。

3.根据权利要求1所述的调度服务器，其特征在于，所述身份证读卡终端的标识信息包括：所述身份证读卡终端的数字证书；所述第一判断模块通过以下方式判断是否允许所述身份证读卡终端读取身份证：

判断所述身份证读卡终端的数字证书是否异常，如果是，则确定不允许所述身份证读卡终端读取身份证，否则，判断所述身份证读卡终端的数字证书是否在黑名单或管控名单中，其中，所述黑名单中记录了不允许读取身份证的身份证读卡终端的数字证书，所述管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的数字证书；

在判断所述身份证读卡终端的数字证书在所述黑名单中的情况下，不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求；

在判断所述身份证读卡终端的数字证书在所述管控名单中的情况下，按照所述预设的管控策略判断是否允许所述身份证读卡终端读取身份证。

4.根据权利要求1所述的调度服务器，其特征在于，所述身份证读卡终端的标识信息包括：所述身份证读卡终端的序列号和所述身份证读卡终端的数字证书；所述第一判断模块通过以下方式判断是否允许所述身份证读卡终端读取身份证：

判断所述身份证读卡终端的数字证书是否异常，如果是，则确定不允许所述身份证读卡终端读取身份证，否则，判断所述身份证读卡终端的数字证书或所述身份证读卡终端的序列号是否在黑名单或管控名单中，其中，所述黑名单中记录了不允许读取身份证的身份证读卡终端的标识信息，所述管控名单中记录了需要按照预设的管控策略对读取身份证操作进行控制的身份证读卡终端的标识信息；

在判断所述身份证读卡终端的数字证书或所述身份证读卡终端的序列号在所述黑名单中的情况下，不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求；

在判断所述身份证读卡终端的数字证书或所述身份证读卡终端的序列号在所述管控名单中的情况下，按照所述预设的管控策略判断是否允许所述身份证读卡终端读取身份证。

5.根据权利要求3或4所述的调度服务器，其特征在于，所述第一判断模块按照所述预设的管控策略通过至少通过以下方式之一判断是否允许所述身份证读卡终端读取身份证：

根据所述预设的管控策略，判断所述身份证读卡终端当前是否处于允许的接入位置范围，如果是，则允许所述身份证读卡终端读取身份证，否则，不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求，其中，所述预设的管控策略中记录了所述身份证读卡终端允许的接入位置范围；

根据所述预设的管控策略，判断当前时间是否在允许所述身份证读卡终端接入的时间范围内，如果是，则允许所述身份证读卡终端读取身份证，否则，不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求，其中，所述预设的管控策略中记录了允许所述身份证读卡终端接入的时间范围；

根据所述预设的管控策略，判断在预设时间段内，所述身份证读卡终端的历史接入次数是否超过预设次数阈值，如果是，则不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求，否则，允许所述身份证读卡终端读取身份证，其中，所述预设的管控策略中记录了预设时间段的时长以及所述预设次数阈值；

根据所述预设的管控策略，判断在预设时间段内，所述身份证读卡终端连续两次接入的接入位置之间的距离是否超过预设距离，如果是，则不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求，否则，允许所述身份证读卡终端读取身份证，其中，所述预设的管控策略中记录了预设时间段的时长以及所述预设距离；

根据所述预设的管控策略，判断所述身份证读卡终端连续两次接入的时间间隔是否超过预设值，如果是，则不允许所述身份证读卡终端读取身份证，拒绝所述身份证读卡终端的请求，否则，允许所述身份证读卡终端读取身份证，其中，所述预设的管控策略中记录了预设时间段的时长以及所述预设距离。

6.根据权利要求3或4所述的调度服务器，其特征在于，所述调度服务器还包括：

第一接收模块，用于接收所述认证安全控制模块返回的身份证标识信息；

第二判断模块，用于至少根据所述身份证标识信息、所述身份证读卡终端的标识信息、以及预先设定的策略，判断是否将所述身份证读卡终端加入所述黑名单或所述管控名单。

7.根据权利要求6所述的调度服务器，其特征在于，所述调度服务器还包括：

第三判断模块，用于判断所述身份证标识信息是否在身份证黑名单中；

第二发送模块，用于在判断所述身份证标识信息在所述身份证黑名单的情况下，向所述选择的认证安全控制模块发送指示信息，指示所述身份证读卡终端当前读取的身份证非法。

8.根据权利要求1至7任一项所述的调度服务器，其特征在于，所述数据信息还包括：所述寻卡请求。

9.根据权利要求1至7任一项所述的调度服务器，其特征在于，所述调度服务器还包括：第三发送模块，用于生成鉴权码，将所述鉴权码分别发送给所述身份证读卡终端和所述认证数据库。

10.根据权利要求1至6任一项所述的调度服务器，其特征在于，所述调度服务器还包括：

第四发送模块，用于在选择的所述认证安全控制模块上电时，向所述选择的认证安全控制模块发送待签名数据；

第二接收模块，用于接收所述选择的认证安全控制模块返回的认证数据，其中，所述认证数据包括：使用所述选择的认证安全控制模块的签名私钥对所述待签名数据进行签名得到的签名数据、所述选择的认证安全控制模块的签名私钥对应的签名公钥证书、以及所述选择的认证安全控制模块的加密公钥证书；

第一验证模块，用于判断所述签名公钥证书以及所述加密公钥证书是否处理异常状态；

第二验证模块，用于在判断所述签名公钥证书以及所述加密公钥证书不是处理异常状态的情况下，校验所述签名公钥证书以及所述加密公钥证书是否分配给同一身份证读卡终端的，如果是，则验证所述签名数据是否正确；

第四发送模块，用于在所述签名公钥证书以及所述加密公钥证书分配给同一身份证读卡终端的且所述签名数据正确的情况下，确定所述选择的认证安全控制模块的身份认证通过，对所述认证数据库的保护密钥进行加密后发送给所述选择的认证安全控制模块；

警告模块，用于在所述签名公钥证书以及所述加密公钥证书不是分配给同一身份证读卡终端的和/或所述签名数据不正确的情况下，确定所述选择的认证安全模块的身份认证不通过，发出警告信息。