CN106027481B - 身份证读取系统 - Google Patents

身份证读取系统 Download PDF

Info

Publication number
CN106027481B
CN106027481B CN201610243202.8A CN201610243202A CN106027481B CN 106027481 B CN106027481 B CN 106027481B CN 201610243202 A CN201610243202 A CN 201610243202A CN 106027481 B CN106027481 B CN 106027481B
Authority
CN
China
Prior art keywords
card
data
reading terminal
certification
ciphertext
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610243202.8A
Other languages
English (en)
Other versions
CN106027481A (zh
Inventor
李明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tendyron Corp
Original Assignee
李明
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 李明 filed Critical 李明
Priority to CN201610243202.8A priority Critical patent/CN106027481B/zh
Publication of CN106027481A publication Critical patent/CN106027481A/zh
Application granted granted Critical
Publication of CN106027481B publication Critical patent/CN106027481B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K17/00—Methods or arrangements for effecting co-operative working between equipments covered by two or more of main groups G06K1/00 - G06K15/00, e.g. automatic card files incorporating conveying and reading operations
    • G06K17/0022—Methods or arrangements for effecting co-operative working between equipments covered by two or more of main groups G06K1/00 - G06K15/00, e.g. automatic card files incorporating conveying and reading operations arrangements or provisious for transferring data to distant stations, e.g. from a sensing device
    • G06K17/0029—Methods or arrangements for effecting co-operative working between equipments covered by two or more of main groups G06K1/00 - G06K15/00, e.g. automatic card files incorporating conveying and reading operations arrangements or provisious for transferring data to distant stations, e.g. from a sensing device the arrangement being specially adapted for wireless interrogation of grouped or bundled articles tagged with wireless record carriers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供身份证读取的系统，其中，所述系统包括：读卡终端和云认证平台中的认证验证端；读卡终端非接触式接口，用于接收身份证发送的第一数据，向身份证发送第二数据；读卡终端网络接口，用于向认证验证端发送第三数据，接收认证验证端发送的第四数据；读卡终端安全芯片，用于对第一数据进行第一处理，得到第三数据，以及对第四数据进行第二处理，得到第二数据；认证验证端网络接口，用于接收读卡终端发送的第三数据，向读卡终端发送第四数据；认证验证端安全芯片，用于对第三数据进行第三处理，得到第四数据。

Description

身份证读取系统
技术领域
本发明涉及一种身份证领域，尤其涉及身份证读取系统。
背景技术
现有身份证信息读取方案中，读卡器需要配合使用验证安全控制模块来实现身份证信息的读取及显示。例如，银行、车站等需要采用身份证信息读取的行业，通常需要在本地布局大量的读卡器和验证安全控制模块，读卡器与验证安全控制模块之间还需要设置相应的对应关系，方案实现较复杂，成本较高。
发明内容
本发明旨在解决上述问题/之一。
本发明的主要目的在于提供一种身份证读取系统。
本发明的另一目的在于提供另一种身份证读取系统。
本发明的另一目的在于提供另一种身份证读取系统。
本发明的另一目的在于提供另一种身份证读取系统。
为达到上述目的，本发明的技术方案具体是这样实现的：
本发明一方面提供一种身份证读取系统，包括：读卡终端和云认证平台中的认证验证端；读卡终端，具有读卡终端非接触式接口，读卡终端网络接口和读卡终端安全芯片，其中：读卡终端非接触式接口，用于接收身份证发送的第一数据，向读卡终端安全芯片发送第一数据，接收读卡终端安全芯片发送的第二数据，向身份证发送第二数据；读卡终端网络接口，用于接收读卡终端安全芯片发送的第三数据，向认证验证端发送第三数据，接收认证验证端发送的第四数据，向读卡终端安全芯片发送第四数据；读卡终端安全芯片，用于接收读卡终端非接触式接口发送的第一数据，对第一数据进行第一处理，得到第三数据，向读卡终端网络接口发送第三数据，接收读卡终端网络接口发送的第四数据，对第四数据进行第二处理，得到第二数据，向读卡终端非接触式接口发送第二数据；认证验证端，具有认证验证端网络接口和认证验证端安全芯片，其中：认证验证端网络接口，用于接收读卡终端发送的第三数据，向认证验证端安全芯片发送第三数据，接收认证验证端安全芯片发送的第四数据，向读卡终端发送第四数据；认证验证端安全芯片，用于接收认证验证端网络接口发送的第三数据，对第三数据进行第三处理，得到第四数据，向认证验证端网络接口发送第四数据。
本发明另一方面提供另一种身份证读取系统，包括：读卡终端和云认证平台中的认证验证端；读卡终端，具有读卡终端非接触式接口、读卡终端网络接口和读卡终端安全芯片；读卡终端非接触式接口，用于接收身份证发送的身份证基本信息；读卡终端安全芯片，用于身份证基本信息进行安全处理，得到第一数据包；读卡终端网络接口，用于向认证验证端发送第一数据包；认证验证端，具有认证验证端网络接口和认证验证端安全芯片；认证验证端网络接口，用于接收第一数据包；认证验证端安全芯片，用于对第一数据包进行安全验证，在安全验证通过后得到身份证基本信息，并获取第一认证因子，对第一认证因子进行安全处理，得到第二数据包；认证验证端网络接口，用于向读卡终端发送第二数据包；读卡终端网络接口，还用于接收第二数据包；读卡终端安全芯片，还用于对第二数据包进行安全验证，在安全验证通过得到第一认证因子；读卡终端非接触式接口，还用于接收身份证发送的第一认证数据；读卡终端安全芯片，还用于对第一认证数据进行安全处理，得到第三数据包；读卡终端网络接口，还用于向认证验证端发送第三数据包，其中，第一认证数据为身份证对第一认证因子进行处理得到；认证验证端网络接口，还用于接收第三数据包；认证验证端安全芯片，还用于对第三数据包进行安全验证，在安全验证通过后，得到第一认证数据，并对第一认证数据进行认证，并在认证通过后生成认证因子申请请求，并对认证因子申请请求进行安全处理，得到认证因子申请请求数据包；认证验证端网络接口，还用于向读卡终端发送认证因子申请请求数据包；读卡终端网络接口，还用于接收认证因子申请请求数据包；读卡终端安全芯片，还用于对认证因子申请请求数据包进行安全验证，在安全验证通过后得到认证因子申请请求；读卡终端非接触式接口，还用于将认证因子申请请求发送至身份证；读卡终端非接触式接口，还用于接收身份证发送的第二认证因子；读卡终端安全芯片，还用于对第二认证因子进行安全处理，得到第四数据包；读卡终端网络接口，还用于向认证验证端发送第四数据包；认证验证端网络接口，还用于接收第四数据包；认证验证端安全芯片，还用于对第四数据包进行安全验证，在安全验证通过后得到第二认证因子，并对第二认证因子进行处理生成第二认证数据；并对第二认证数据进行安全处理，得到第五数据包；认证验证端网络接口，还用于向读卡终端发送第五数据包；读卡终端网络接口，还用于接收第五数据包；读卡终端安全芯片，还用于对第五数据包进行安全验证，在安全验证通过后得到第二认证数据；读卡终端非接触式接口，还用于向身份证发送第二认证数据；读卡终端非接触式接口，还用于接收身份证发送的身份证数据密文；读卡终端安全芯片，还用于对身份证数据密文进行安全处理得到第六数据包；读卡终端网络接口，还用于向认证验证端发送第六数据包，其中，身份证数据密文为身份证对第二认证数据进行认证，在认证通过后发送；认证验证端网络接口，还用于接收第六数据包；认证验证端安全芯片，还用于对第六数据包进行安全验证，在安全验证通过后得到身份证数据密文，并对身份证数据密文进行解密，得到身份证数据明文，并对身份证数据明文进行安全处理，得到第七数据包；认证验证端网络接口，还用于向读卡终端发送第七数据包；读卡终端网络接口，还用于接收第七数据包；读卡终端安全芯片，还用于对第七数据包进行安全验证，在安全验证通过后得到身份证数据明文。
此外，对身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端的会话密钥对身份证基本信息进行加密，得到第一密文，以及利用读卡终端的第一私钥对第一密文进行签名，得到第一签名值，第一数据包包括第一密文和第一签名值；对第一数据包进行安全验证，包括：利用读卡终端的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证验证端的会话密钥对第一密文进行解密；对第一认证因子进行安全处理，得到第二数据包，包括：利用认证验证端的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证验证端的私钥对第二密文进行签名，得到第二签名值，第二数据包包括第二密文和第二签名值；对第二数据包进行安全验证，包括：利用认证验证端的证书对第二签名值进行签名验证，并在对第二签名值进行签名验证通过后，利用读卡终端的会话密钥对第二密文进行解密；对第一认证数据进行安全处理包括：利用读卡终端的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端的第一私钥对第三密文进行签名，得到第三签名值，第三数据包包括第三密文和第三签名值；对第三数据包进行安全验证，包括：利用读卡终端的第一证书对第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证验证端的会话密钥对第三密文进行解密；对认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用认证验证端的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证验证端的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值，认证因子申请请求数据包包括认证因子申请请求密文和认证因子申请请求签名值；对认证因子申请请求数据包进行安全验证，包括：利用认证验证端的证书对认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端的会话密钥对认证因子申请请求密文进行解密；对第二认证因子进行安全处理，得到第四数据包，包括：利用读卡终端的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端的第一私钥对第四密文进行签名，得到第四签名值，第四数据包包括第四密文和第四签名值；对第四数据包进行安全验证，包括：利用读卡终端的第一证书对第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证验证端的会话密钥对第四密文进行解密；并对第二认证数据进行安全处理，得到第五数据包，包括：利用认证验证端的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证验证端的私钥对第五密文进行签名，得到第五签名值，第五数据包包括第五密文和第五签名值；对第五数据包进行安全验证，包括：利用认证验证端的证书对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端的会话密钥对第五密文进行解密；对身份证数据密文进行安全处理得到第六数据包，包括：利用读卡终端的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端的第一私钥对第六密文进行签名，得到第六签名值，第六数据包包括第六密文和第六签名值；对第六数据包进行安全验证，包括：利用读卡终端的第一证书对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证验证端的会话密钥对第六密文进行解密；对身份证数据明文进行安全处理，得到第七数据包，包括：利用认证验证端的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证验证端的私钥对第七密文进行签名，得到第七签名值，第七数据包包括第七密文和第七签名值；对第七数据包进行安全验证，包括：利用认证验证端的证书对第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端的会话密钥对第七密文进行解密。
此外，读卡终端安全芯片，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口，还用于向认证验证端发送寻卡请求，寻卡请求包括寻卡请求数据密文、寻卡请求签名值、读卡终端的第一证书和读卡终端的第二证书；认证验证端网络接口，还用于接收寻卡请求；认证验证端安全芯片，还用于利用读卡终端的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用认证解密密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；以及生成会话密钥，并利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用读卡终端的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证验证端的私钥对寻卡请求响应数据密文和会话密钥密文进行签名，得到寻卡请求响应签名值；认证验证端网络接口，还用于向读卡终端发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文、会话密钥密文、寻卡请求响应签名值和认证验证端的证书，其中，认证验证端安全芯片采用生成的会话密钥作为认证验证端的会话密钥；读卡终端网络接口，还用于接收寻卡请求响应；读卡终端安全芯片，还用于利用认证验证端的证书对寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值进行验签通过后，利用读卡终端的第二私钥对会话密钥密文进行解密，得到会话密钥，并利用会话密钥对寻卡请求响应数据密文进行解密，得到寻卡请求响应数据，其中，读卡终端安全芯片采用对会话密文解密得到的会话密钥作为读卡终端的会话密钥。
此外，读卡终端安全芯片，还用于获取第一随机数，并利用读卡终端的第一私钥对第一随机数进行签名，得到第一随机数签名值；读卡终端网络接口，还用于向认证验证端发送第一随机数、第一随机数签名值和读卡终端的第一证书；认证验证端网络接口，还用于接收第一随机数、第一随机数签名值和读卡终端的第一证书；认证验证端安全芯片，还用于利用根证书对读卡终端的第一证书进行验证，并在验证通过后，利用读卡终端的第一证书对第一随机数签名值进行签名验证，并在对第一随机数签名值进行签名验证通过后，生成第二随机数，根据第一随机数和第二随机数生成认证验证端的会话密钥，并利用读卡终端的第一证书对第一随机数和第二随机数进行加密，得到第八密文，以及利用认证验证端的私钥对第八密文进行签名，得到第八签名值；认证验证端网络接口，还用于向读卡终端发送第八数据包，第八数据包包括：第八密文、第八签名值和认证验证端的证书；读卡终端网络接口，还用于接收第八数据包；读卡终端安全芯片，还用于利用认证验证端的证书对第八签名值进行签名验证，并在对第八签名值进行签名验证通过后，利用读卡终端的第一私钥对第八密文进行解密，得到第一随机数和第二随机数，并对第一随机数进行验证，验证通过后，根据第一随机数和第二随机数生成读卡终端的会话密钥。
本发明另一方面提供另一种身份证读取系统，其特征在于，包括：读卡终端、云认证平台中的认证端和验证端；读卡终端，具有读卡终端非接触式接口，读卡终端网络接口和读卡终端安全芯片，其中：读卡终端非接触式接口，用于接收身份证发送的第一数据，向读卡终端安全芯片发送第一数据，接收读卡终端安全芯片发送的第二数据，向身份证发送第二数据；读卡终端网络接口，用于接收读卡终端安全芯片发送的第三数据，向云认证平台发送第三数据，接收云认证平台发送的第四数据，向读卡终端安全芯片发送第四数据；读卡终端安全芯片，用于接收读卡终端非接触式接口发送的第一数据，对第一数据进行第一处理，得到第三数据，向读卡终端网络接口发送第三数据，接收读卡终端网络接口发送的第四数据，对第四数据进行第二处理，得到第二数据，向读卡终端非接触式接口发送第二数据；认证端，具有认证端网络接口、认证端有线通信接口和认证端安全芯片，其中：认证端网络接口，用于接收读卡终端发送的第三数据，向认证端安全芯片发送第三数据，接收认证端安全芯片发送的第四数据，向读卡终端发送第四数据；认证端有线通信接口，用于接收认证端安全芯片发送的第五数据，向验证端发送第五数据，接收验证端发送的第六数据，向认证端安全芯片发送第六数据；认证端安全芯片，用于接收认证端网络接口发送的第三数据，对第三数据进行第三处理，得到第五数据，向认证端有线通信接口发送第五数据，接收认证端有线通信接口发送的第六数据，对第六数据进行第四处理，得到第四数据，向认证端安全芯片发送第四数据；验证端，具有验证端有线通信接口和验证端主控芯片，其中：验证端有线通信接口，用于接收认证端发送的第五数据，向验证端主控芯片发送第五数据，接收验证端主控芯片发送的第六数据，向认证端发送第六数据；验证端主控芯片，用于接收验证端有线通信接口发送的第五数据，对第五数据进行第五处理，得到第六数据，向验证端有线通信接口发送第六数据。
本发明另一方面提供另一种身份证读取系统，其特征在于，包括：读卡终端、云认证平台中的认证端和验证端；读卡终端，具有读卡终端非接触式接口、读卡终端网络接口和读卡终端安全芯片；读卡终端非接触式接口，用于接收身份证发送的身份证基本信息；读卡终端安全芯片，用于身份证基本信息进行安全处理，得到第一数据包；读卡终端网络接口，用于向认证端发送第一数据包；认证端，具有认证端网络接口、认证端安全芯片和认证端有线通信接口；认证端网络接口，用于接收第一数据包；认证端安全芯片，用于对第一数据包进行安全验证，在安全验证通过后得到身份证基本信息；认证端有线通信接口，用于向验证端发送身份证基本信息；验证端，具有验证端有线通信接口和验证端主控芯片；验证端有线通信接口，接收身份证基本信息；验证端主控芯片，用于获取第一认证因子；验证端有线通信接口，还用于向认证端发送第一认证因子；认证端有线通信接口，还用于接收第一认证因子；认证端安全芯片，还用于对第一认证因子进行安全处理，得到第二数据包；认证端网络接口，还用于向读卡终端发送第二数据包；读卡终端网络接口，还用于接收第二数据包；读卡终端安全芯片，还用于对第二数据包进行安全验证，在安全验证通过得到第一认证因子；读卡终端非接触式接口，还用于接收身份证发送的第一认证数据；读卡终端安全芯片，还用于对第一认证数据进行安全处理，得到第三数据包，其中，所述第一认证数据为所述身份证对所述第一认证因子进行处理得到；读卡终端网络接口，还用于向认证端发送第三数据包；认证端网络接口，还用于接收第三数据包；认证端安全芯片，还用于对第三数据包进行安全验证，在安全验证通过后，得到第一认证数据；认证端有线通信接口，还用于向验证端发送第一认证数据；验证端有线通信接口，还用于接收认证端发送的第一认证数据；验证端主控芯片，还用于对第一认证数据进行认证，并在认证通过后生成认证因子申请请求；验证端有线通信接口，还用于将认证因子申请请求发送至认证端；认证端有线通信接口，还用于接收验证端发送的认证因子申请请求；认证端安全芯片，还用于对认证因子申请请求进行安全处理，得到认证因子申请请求数据包；认证端网络接口，还用于向读卡终端发送认证因子申请请求数据包；读卡终端网络接口，还用于接收认证因子申请请求数据包；读卡终端安全芯片，还用于对认证因子申请请求数据包进行安全验证，在安全验证通过后得到认证因子申请请求；读卡终端非接触式接口，还用于将认证因子申请请求发送至身份证；读卡终端非接触式接口，还用于接收身份证发送的第二认证因子；读卡终端安全芯片，还用于对第二认证因子进行安全处理，得到第四数据包；读卡终端网络接口，还用于向认证端发送第四数据包；认证端网络接口，还用于接收第四数据包；认证端安全芯片，还用于对第四数据包进行安全验证，在安全验证通过后得到第二认证因子；认证端有线通信接口，还用于将第二认证因子发送至验证端；验证端有线通信接口，还用于接收认证端发送的第二认证因子；验证端主控芯片，还用于对第二认证因子进行处理生成第二认证数据；验证端有线通信接口，还用于将第二认证数据发送至认证端；认证端有线通信接口，还用于接收验证端发送的第二认证数据；认证端安全芯片，还用于对第二认证数据进行安全处理，得到第五数据包；认证端网络接口，还用于向读卡终端发送第五数据包；读卡终端网络接口，还用于接收第五数据包；读卡终端安全芯片，还用于对第五数据包进行安全验证，在安全验证通过后得到第二认证数据；读卡终端非接触式接口，还用于向身份证发送第二认证数据；读卡终端非接触式接口，还用于接收身份证发送的身份证数据密文；读卡终端安全芯片，还用于对身份证数据密文进行安全处理得到第六数据包；读卡终端网络接口，还用于向认证端发送第六数据包，其中，所述身份证数据密文为所述身份证对所述第二认证数据进行认证，在认证通过后发送；认证端网络接口，还用于接收第六数据包；认证端安全芯片，还用于对第六数据包进行安全验证，在安全验证通过后得到身份证数据密文；认证端有线通信接口，还用于向验证端发送身份证数据密文；验证端有线通信接口，还用于接收认证端发送的身份证数据密文；验证端主控芯片，还用于对身份证数据密文进行解密，得到身份证数据明文；验证端有线通信接口，还用于向认证端发送身份证数据明文；认证端有线通信接口，还用于接收身份证数据明文；认证端安全芯片，还用于对身份证数据明文进行安全处理，得到第七数据包；认证验证端网络接口，还用于向读卡终端发送第七数据包；读卡终端网络接口，还用于接收第七数据包；读卡终端安全芯片，还用于对第七数据包进行安全验证，在安全验证通过后得到身份证数据明文。
此外，对身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端的会话密钥对身份证基本信息进行加密，得到第一密文，以及利用读卡终端的第一私钥对第一密文进行签名，得到第一签名值，第一数据包包括第一密文和第一签名值；对第一数据包进行安全验证，包括：利用读卡终端的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证端的会话密钥对第一密文进行解密；对第一认证因子进行安全处理，得到第二数据包，包括：利用认证端的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证端的私钥对第二密文进行签名，得到第二签名值，第二数据包包括第二密文和第二签名值；对第二数据包进行安全验证，包括：利用认证端的证书对第二签名值进行签名验证，并在对第二签名值进行签名验证通过后，利用读卡终端的会话密钥对第二密文进行解密；对第一认证数据进行安全处理包括：利用读卡终端的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端的第一私钥对第三密文进行签名，得到第三签名值，第三数据包包括第三密文和第三签名值；对第三数据包进行安全验证，包括：利用读卡终端的第一证书对第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证端的会话密钥对第三密文进行解密；对认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用认证端的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证端的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值，认证因子申请请求数据包包括认证因子申请请求密文和认证因子申请请求签名值；对认证因子申请请求数据包进行安全验证，包括：利用认证端的证书对认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端的会话密钥对认证因子申请请求密文进行解密；对第二认证因子进行安全处理，得到第四数据包，包括：利用读卡终端的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端的第一私钥对第四密文进行签名，得到第四签名值，第四数据包包括第四密文和第四签名值；对第四数据包进行安全验证，包括：利用读卡终端的第一证书对第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证端的会话密钥对第四密文进行解密；并对第二认证数据进行安全处理，得到第五数据包，包括：利用认证端的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证端的私钥对第五密文进行签名，得到第五签名值，第五数据包包括第五密文和第五签名值；对第五数据包进行安全验证，包括：利用认证端的证书对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端的会话密钥对第五密文进行解密；对身份证数据密文进行安全处理得到第六数据包，包括：利用读卡终端的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端的第一私钥对第六密文进行签名，得到第六签名值，第六数据包包括第六密文和第六签名值；对第六数据包进行安全验证，包括：利用读卡终端的第一证书对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证端的会话密钥对第六密文进行解密；对身份证数据明文进行安全处理，得到第七数据包，包括：利用认证端的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证端的私钥对第七密文进行签名，得到第七签名值，第七数据包包括第七密文和第七签名值；对第七数据包进行安全验证，包括：利用认证端的证书对第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端的会话密钥对第七密文进行解密。
此外，读卡终端的安全芯片，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口，还用于向认证端发送寻卡请求，寻卡请求包括寻卡请求数据密文、寻卡请求签名值、读卡终端的第一证书和读卡终端的第二证书；认证端网络接口，还用于接收寻卡请求；认证端安全芯片，还用于利用读卡终端的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用认证解密密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；认证端有线通信接口，还用于向验证端发送寻卡请求数据；验证端有线通信接口，还用于接收寻卡请求数据，向认证端发送寻卡请求响应数据；认证端有线通信接口，还用于接收寻卡请求响应数据；认证端安全芯片，还用于生成会话密钥，并利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用读卡终端的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证端的私钥对寻卡请求响应数据密文和会话密钥密文进行签名，得到寻卡请求响应签名值；认证端网络接口，还用于向读卡终端发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文、会话密钥密文、寻卡请求响应签名值和认证端的证书，其中，认证端安全芯片采用生成的会话密钥作为认证端的会话密钥；读卡终端网络接口，还用于接收寻卡请求响应；读卡终端安全芯片，还用于利用认证端的证书对寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值进行验签通过后，利用读卡终端的第二私钥对会话密钥密文进行解密，得到会话密钥，并利用会话密钥对寻卡请求响应数据密文进行解密，得到寻卡请求响应数据，其中，读卡终端安全芯片采用对会话密钥密文解密得到的会话密钥作为读卡终端的会话密钥。
此外，读卡终端安全芯片，还用于获取第一随机数，并利用读卡终端的第一私钥对第一随机数进行签名，得到第一随机数签名值；读卡终端网络接口，还用于向认证端发送第一随机数、第一随机数签名值和读卡终端的第一证书；认证端网络接口，还用于接收第一随机数、第一随机数签名值和读卡终端的第一证书；认证端安全芯片，还用于利用根证书对读卡终端的第一证书进行签名验证，并在验证通过后，利用读卡终端的第一证书对第一随机数签名值进行签名验证，并在对第一随机数签名值进行签名验证通过后，生成第二随机数，根据第一随机数和第二随机数生成认证端的会话密钥，并利用读卡终端的第一证书对第一随机数和第二随机数进行加密，得到第八密文，以及利用认证端的私钥对第八密文进行签名，得到第八签名值；认证端网络接口，还用于向读卡终端发送第八数据包，第八数据包包括：第八密文、第八签名值和认证端的证书；认证端的网络接口，还用于接收第八数据包；读卡终端安全芯片，还用于利用认证端的证书对第八签名值进行签名验证，并在对第八签名值进行签名验证通过后，利用读卡终端的第一私钥对第八密文进行解密，得到第一随机数和第二随机数，并对第一随机数进行验证，验证通过后，根据第一随机数和第二随机数生成读卡终端的会话密钥。
由上述本发明提供的技术方案可以看出，本发明提供的身份证读取系统，读卡终端并不设置有验证安全控制模块，而是在云端的云认证平台中的设置验证端(即验证安全控制模块)，任何用户均可通过有线或无线网络接入到云端的验证端以实现对身份证的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。另外，读卡终端和认证端之间传输的数据都进行了安全处理，保证了读卡终端和认证验证端之间数据传输的安全。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。
图1为本发明实施例1提供的一种身份证读取系统；
图2为本发明实施例1提供的一种身份证读取系统；
图3为本发明实施例1提供读卡终端结构示意图；
图4为本发明实施例1提供的认证验证端结构示意图；
图5为本发明实施例2提供的一种身份证读取系统；
图6为本发明实施例2提供的一种身份证读取系统；
图7为本发明实施例2提供的认证端结构示意图；
图8为本发明实施例2提供的验证端结构示意图；
图9为本发明实施例3提供的一种身份证读取系统；
图10为本发明实施例4提供的一种身份证读取系统。
具体实施方式
下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。
在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或数量或位置。
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
下面将结合附图对本发明实施例作进一步地详细描述。
实施例1
图1为本实施例提供的一种身份证读取系统结构示意图。如图1所示，本实施例提供的身份证读取系统，包括：读卡终端12和云认证平台13，云认证平台13包括认证验证端130。为了更清楚的描述身份证读取系统的工作流程，如图2所示，身份证读取系统中还包括身份证11，其中，读卡终端12，具有读卡终端非接触式接口121，读卡终端网络接口123和读卡终端安全芯片122，其中：读卡终端非接触式接口121，用于接收身份证11发送的第一数据，向读卡终端安全芯片122发送第一数据，接收读卡终端安全芯片122发送的第二数据，向身份证11发送第二数据；读卡终端网络接口123，用于接收读卡终端安全芯片122发送的第三数据，向认证验证端130发送第三数据，接收认证验证端130发送的第四数据，向读卡终端安全芯片122发送第四数据；读卡终端安全芯片122，用于接收读卡终端非接触式接口121发送的第一数据，对第一数据进行第一处理，得到第三数据，向读卡终端网络接口123发送第三数据，接收读卡终端网络接口123发送的第四数据，对第四数据进行第二处理，得到第二数据，向读卡终端非接触式接口121发送第二数据；认证验证端130，具有认证验证端网络接口1301和认证验证端安全芯片1302，其中：认证验证端网络接口1301，用于接收读卡终端12发送的第三数据，向认证验证端安全芯片1302发送第三数据，接收认证验证端安全芯片1302发送的第四数据，向读卡终端12发送第四数据；认证验证端安全芯片1302，用于接收认证验证端网络接口1301发送的第三数据，对第三数据进行第三处理，得到第四数据，向认证验证端网络接口1301发送第四数据。
具体的，如图3所示的读卡终端的结构示意图。读卡终端12具有读卡终端非接触式接口121、读卡终端安全芯片122和读卡终端网络接口123。其中，读卡终端非接触式接口121一般是射频接口，为读卡终端12与身份证11之间进行通信的接口。读卡终端安全芯片122，是国家密码管理局审批的二级安全芯片，一般存储数字证书、私钥和加解密密钥等，用于对读卡终端12与认证验证端130之间传输的数据进行签名、验签或加解密运算等。读卡终端网络接口123，可以是有线网络接口(例如RJ-45接口)，也可以是无线网络接口(例如WiFi接口、移动网络(2G、3G、4G)接口)，为读卡终端12与云认证平台13之间进行通信的接口。读卡终端12可以直接通过读卡终端网络接口123与云认证平台13进行通信，也可通过与读卡终端12连接的上位机(例如手机、PAD(平板电脑)或PC等)与云认证平台13进行通信，本实施例不做具体限定。可选的，读卡终端可通过有线接口(例如USB接口，图中未示出)或无线接口(例如WiFi、蓝牙等，图中未示出)与上位机连接。
具体的，如图4所示的认证验证端的结构示意图。认证验证端130具有认证验证端网络接口1301和认证验证端安全芯片1302。其中，认证验证端网络接口1301，可以是有线网络接口(例如RJ-45接口)，也可以是无线网络接口(例如网线网卡接口、WiFi、2G、3G、4G等)，为认证验证端130与读卡终端12进行通信的接口。认证验证端130可直接将要传输的数据通过认证验证端网络接口1301发送至读卡终端12，也可将要传输的数据通过认证验证端网络接口1301发送至上位机(例如手机、PAD(平板电脑)或PC等)，上位机再将要传输的数据发送至读卡终端12。可选的，上位机可通过有线接口(例如USB接口、音频接口等，图中未示出)或无线接口(例如WiFi、蓝牙等，图中未示出)与读卡终端连接。认证验证端安全芯片1302，一般存储数字证书、私钥和加解密密钥，通过第三处理一方面可以对身份证的合法性进行验证，另一方面对身份证数据密文进行解密得到身份证数据明文，还可以对认证验证端130与读卡终端12之间传输的数据进行加解密和/或签名运算，保证认证验证端130与读卡终端12之间传输数据的安全性。另外，认证验证端安全芯片1302还可以生成第一认证因子，以便将该第一认证因子发送给读卡终端。
另外，第一数据可以是第一认证数据和第二认证因子；其中，第一认证数据用于验证身份证的合法性；第二认证因子可以为为一个或一串随机数，或者可以为一个或一串随机字符，或者一串随机数和随机字符的任意组合，身份证可根据第二认证因子判断认证验证端的合法性。作为另一种可选的实施方式，第一数据还可以是身份证数据密文。
例如，当第一数据是第一认证数据和第二认证因子时，身份证向读卡终端12发送第一数据；读卡终端非接触式接口121接收到第一数据后，向读卡终端安全芯片122发送第一数据；读卡终端安全芯片122接收到第一数据后，对第一数据进行第一处理得到第三数据，其中，读卡终端安全芯片122对第一数据进行第一处理的具体实施方式为：读卡终端安全芯片122利用会话密钥对接收到的第一数据进行加密，得到第一数据密文，并利用自身存储的第一私钥对第一数据密文进行签名，得到第一数据密文签名值；读卡终端安全芯片122将第一数据密文和第一数据密文签名值作为第三数据发送至读卡终端网络接口123。读卡终端网络接口123接收到第三数据后，将第三数据发送至认证验证端130；认证验证端网络接口1301接收第三数据，并将接收到的第三数据发送至认证验证端安全芯片1302；认证验证端安全芯片1302接收第三数据，并对第三数据进行第三处理得到第四数据，其中，认证验证端安全芯片1302对第三数据进行第三处理的具体实施方式为：认证验证端安全芯片1302对接收到的第三数据中的第一数据密文签名值进行验签，并在验签通过后，利用会话密钥对第一数据密文进行解密得到第一数据，其中第一数据包括第一认证数据和第二认证因子，并对第一数据中的第一认证数据进行验证，并在验证通过后，对第一数据中的第二认证因子进行加密，得到第二认证数据，并利用会话密钥对第二认证数据进行加密，得到第二认证数据密文，并利用自身存储的私钥对第二认证数据密文进行签名得到第二认证数据密文签名值，认证验证端安全芯片1302将第二认证数据密文和第二认证数据密文签名值作为第四数据发送至认证验证端网络接口1301；认证验证端网络接口1301接收第四数据，并发送至读卡终端网络接口123；读卡终端网络接口123接收到第四数据后，将第四数据发送至读卡终端安全芯片122；读卡终端安全芯片122接收第四数据，并对第四数据进行第二处理，得到第二数据，其中，读卡终端安全芯片122对第四数据进行第二处理的具体实施方式为：读卡终端对接收到的第四数据中的第二认证数据密文签名值进行验签，并在验证通过后，利用认证验证端130的公钥对第二认证数据密文签名值进行解密得到第二认证数据；读卡终端安全芯片122将第二认证数据作为第二数据发送至读卡终端非接触式接口121；读卡终端非接触式接口121接收第二数据，并将第二数据发送至身份证；身份证接收第二数据，并对第二数据中的第二认证数据进行验证，并在验证通过后，向读卡终端发送身份证数据密文。
又如，当第一数据是身份证数据密文时，身份证向读卡终端12发送第一数据；读卡终端非接触式接口121接收到第一数据后，向读卡终端安全芯片122发送第一数据；读卡终端安全芯片122接收到第一数据后，对第一数据进行第一处理得到第三数据，其中，读卡终端安全芯片122对第一数据进行第一处理的具体实施方式为：读卡终端安全芯片122利用会话密钥对接收到的第一数据进行加密，得到第一数据密文，并利用自身存储的第一私钥对第一数据密文进行签名，得到第一数据密文签名值；读卡终端安全芯片122将第一数据密文和第一数据密文签名值作为第三数据发送至读卡终端网络接口123；读卡终端网络接口123接收到第三数据后，将第三数据发送至认证验证端网络接口1301；认证验证端网络接口1301接收第三数据，并将接收到的第三数据发送至认证验证端安全芯片1302；认证验证端安全芯片1302接收第三数据，并对第三数据进行第三处理得到第四数据，其中认证验证端安全芯片1302对第三数据进行第三处理得到第四数据的具体实施方式为：认证验证端安全芯片对接收到的第三数据中的第一数据密文签名值进行验签，并在验签通过后，利用会话密钥对第三数据中的第一数据密文进行解密得到第一数据，其中，第一数据为身份证数据密文，并对身份证数据密文进行解密，得到身份证数据明文，并利用会话密钥对身份证数据明文进行加密，得到第四密文，并利用自身存储的私钥对第四密文进行签名得到第四密文签名值，认证验证端安全芯片1302将第四密文和第四密文签名值作为第四数据发送至认证验证端网络接口1301；认证验证端网络接口1301接收第四数据，并发送至读卡终端网络接口123；读卡终端网络接口123接收到第四数据后，将第四数据发送至读卡终端安全芯片122；读卡终端安全芯片122接收第四数据，并对第四数据进行第二处理，得到第二数据，其中，读卡终端安全芯片122对第四数据进行第二处理的具体实施方式为：读卡终端安全芯片122对接收到的第四数据中的第四密文签名值进行验签，并在验证通过后，利用认证验证端130的公钥对第四密文签名值进行解密得到身份证数据明文，读卡终端安全芯片122得到身份证数据明文后可通过读卡终端12的显示屏显示身份证数据明文或者读卡终端安全芯片122将身份证数据明文作为第二数据发送至读卡终端网络接口123，读卡终端网络接口123接收第二数据并将第二数据发送至上位机(例如手机、PAD(平板电脑)或PC等)，由上位机的显示屏显示身份证数据明文。
需要说明的是，传统的身份证读卡终端一般设置有RF射频模块和验证安全控制模块(SAM模块)，读卡终端可通过RF射频模块从身份证中读取身份证数据密文，验证安全控制模块实现对身份证数据密文的解密，但是读卡终端集成有验证安全控制模块的成本非常高，对大量需要身份证读卡终端的机构(例如银行、车站)来说成本很高。
通过本实施例提供的身份证读取系统，实现了身份证与认证验证端之间的双向认证。并通过设置在云认证平台中的认证验证端对从身份证中的读取的身份证数据密文进行解密得到身份证数据明文，任何用户均可通过有线或无线网络接入到云认证平台中的认证验证端以实现对身份证的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。另外，读卡终端和认证验证端之间传输的数据都进行了安全处理，保证了读卡终端和认证验证端之间数据传输的安全。
实施例2
图5为本实施例提供的一种身份证读取系统结构示意图。如图5所示，本实施例提供的身份证读取系统，包括：读卡终端12和云认证平台13，云认证平台13包括认证端131和验证端132。为了更方便描述身份证读取系统的工作流程，如图6所示，本实施例中的身份证读取系统还包括身份证11，其中，读卡终端12，具有读卡终端非接触式接口121，读卡终端网络接口123和读卡终端安全芯片122，其中：读卡终端非接触式接口121，用于接收身份证11发送的第一数据，向读卡终端安全芯片122发送第一数据，接收读卡终端安全芯片122发送的第二数据，向身份证11发送第二数据；读卡终端网络接口123，用于接收读卡终端安全芯片122发送的第三数据，向云认证平台发送第三数据，接收云认证平台发送的第四数据，向读卡终端安全芯片122发送第四数据；读卡终端安全芯片122，用于接收读卡终端非接触式接口121发送的第一数据，对第一数据进行第一处理，得到第三数据，向读卡终端网络接口123发送第三数据，接收读卡终端网络接口123发送的第四数据，对第四数据进行第二处理，得到第二数据，向读卡终端非接触式接口121发送第二数据；认证端131，具有认证端网络接口1313、认证端有线通信接口1315和认证端安全芯片1314，其中：认证端网络接口1313，用于接收读卡终端12发送的第三数据，向认证端安全芯片1314发送第三数据，接收认证端安全芯片1314发送的第四数据，向读卡终端12发送第四数据；认证端有线通信接口1315，用于接收认证端安全芯片1314发送的第五数据，向验证端132发送第五数据，接收验证端132发送的第六数据，向认证端安全芯片1314发送第六数据；认证端安全芯片1314，用于接收认证端网络接口1313发送的第三数据，对第三数据进行第三处理，得到第五数据，向认证端有线通信接口1315发送第五数据，接收认证端有线通信接口1315发送的第六数据，对第六数据进行第四处理，得到第四数据，向认证端安全芯片1314发送第四数据；验证端132，具有验证端有线通信接口1321和验证端主控芯片1322，其中：验证端有线通信接口1321，用于接收认证端131发送的第五数据，向验证端主控芯片1322发送第五数据，接收验证端主控芯片1322发送的第六数据，向认证端131发送第六数据；验证端主控芯片1322，用于接收验证端有线通信接口1321发送的第五数据，对第五数据进行第五处理，得到第六数据，向验证端有线通信接口1321发送第六数据。
具体的，本实施例中的读卡终端的结构示意图与图3所示的读卡终端结构示意图相同。读卡终端12具有读卡终端非接触式接口121、读卡终端安全芯片122和读卡终端网络接口123。其中，读卡终端非接触式接口121一般是射频接口，为读卡终端12与身份证11之间进行通信的接口。读卡终端安全芯片122，是国家密码管理局审批的二级安全芯片，一般存储数字证书、私钥和加解密密钥等。读卡终端网络接口123，可以是有线网络接口(例如RJ-45接口)，也可以是无线网络接口(例如WiFi接口、移动网络(2G、3G、4G)接口)，为读卡终端12与云认证平台13之间进行通信的接口。读卡终端12可以直接通过读卡终端网络接口123与云认证平台进行通信，也可通过与读卡终端12连接的上位机(例如手机、PAD(平板电脑)或PC等)与云认证平台进行通信，本实施例不做具体限定。可选的，读卡终端可通过有线接口(例如USB接口，图中未示出)或无线接口(例如WiFi、蓝牙等，图中未示出)与上位机连接。
具体的，如图7所示的认证端的结构示意图。认证端131具有认证端网络接口1313、认证端安全芯片1314和认证端有线通信接口1315。其中，认证端网络接口1313，可以是有线网络接口(例如RJ-45接口)，也可以是无线网络接口(例如WiFi接口、移动网络(2G、3G、4G)接口)，为认证端131与读卡终端12进行通信的接口。认证端131可直接将要传输的数据通过认证端网络接口1313发送至读卡终端12，也可将要传输的数据通过认证端网络接口1313发送至上位机(例如手机、PAD(平板电脑)或PC等)，上位机再将要传输的数据发送至读卡终端12。可选的，上位机可通过有线接口(例如USB接口、音频接口等，图中未示出)或无线接口(例如WiFi、蓝牙等，图中未示出)与读卡终端连接。认证端有线通信接口1315为认证端131与验证端132进行通信的接口，认证端有线通信接口1315与验证端有线通信接口1321通过物理直连的方式进行连接。认证端安全芯片1314，一般存储数字证书、私钥和加解密密钥，通过第三处理对认证端131与读卡终端12之间传输的数据进行加解密和/或签名运算，保证认证端131和读卡终端12之间传输数据的安全性。
具体的，如图8所示的验证端的结构示意图。验证端132具有验证端有线通信接口1321和验证端主控芯片1322；其中，验证端有线通信接口1321用于与认证端有线通信接口1315进行通信，验证端有线通信接口1321与认证端有线通信接口1315通过物理直连的方式进行连接；验证端主控芯片1322一方面可对第一认证数据进验证以确认身份证的合法性，另一方面可用于对身份证数据密文进行解密得到身份证数据明文。另外，验证端主控芯片1322还可以生成第一认证因子，以便将该第一认证因子通过认证端131发送给读卡终端12。
另外，身份证发送的第一数据可以是第一认证数据和第二认证因子；作为另一种可选的实施方式，第一数据还可以是身份证数据密文。
例如，当第一数据是第一认证数据和第二认证因子时，读卡终端非接触式接口121接收身份证11发送的第一数据后，向读卡终端安全芯片122发送第一数据；读卡终端安全芯片122接收到第一数据后，对第一数据进行第一处理得到第三数据，其中，读卡终端安全芯片122对第一数据进行第一处理的具体实施方式为：读卡终端安全芯片122利用会话密钥对接收到的第一数据进行加密，得到第一数据密文，并利用自身存储的第一私钥对第一数据密文进行签名，得到第一数据密文签名值；读卡终端安全芯片122将第一数据密文和第一数据密文签名值作为第三数据发送至读卡终端网络接口123。读卡终端网络接口123接收到第三数据后，将第三数据发送至认证端131；认证端网络接口1313接收第三数据，并将接收到的第三数据发送至认证端安全芯片1314；认证端安全芯片1314接收第三数据，并对第三数据进行第三处理得到第四数据，其中认证端安全芯片1314对第三数据进行第三处理得到第五数据的具体实施方式为：认证端安全芯片1314对接收到的第三数据中的第一数据密文签名值进行验签，并在验签通过后，利用会话密钥对第一数据密文进行解密得到第一数据，其中第一数据是第一认证数据和第二认证因子；认证端安全芯片1314将解密得到的第一认证数据和第二认证因子作为第五数据发送至认证端有线通信接口1315；认证端有线通信接口1315接收第五数据，并将第五数据发送至验证端132；验证端有线通信接口1321接收第五数据，并将第五数据发送至验证端主控芯片1322；验证端主控芯片1322接收第五数据，并对第五数据中的第一认证数据进行验证，并在验证通过后，对第二认证因子进行加密，得到第二认证数据，并将第二认证数据作为第六数据发送至验证端有线通信接口1321；验证端有线通信接口1321接收第六数据，并将第六数据发送至认证端131；认证端有线通信接口1315接收第六数据，并向认证端安全芯片1314发送第六数据；认证端安全芯片1314接收第六数据，并利用会话密钥对第二认证数据进行加密，得到第二认证数据密文，并利用自身存储的私钥对第二认证数据密文进行签名得到第二认证数据密文签名值，认证端安全芯片1314将第二认证数据密文和第二认证数据密文签名值作为第四数据发送至认证端。认证端网络接口1313接收第四数据，并发送至读卡终端12；读卡终端网络接口123接收到接收到第四数据后，将第四数据发送至读卡终端安全芯片122；读卡终端安全芯片122接收第四数据，并对第四数据进行第二处理，得到第二数据，其中，读卡终端安全芯片122对第四数据进行第二处理的具体实施方式为：读卡终端对接收到的第四数据中的第二认证数据密文签名值进行验签，并在验证通过后，利用认证端131的公钥对第二认证数据密文签名值进行解密得到第二认证数据；读卡终端安全芯片122将第二认证数据作为第二数据发送至读卡终端非接触式接口121；读卡终端非接触式接口121接收第二数据，并将第二数据发送至身份证11；身份证11接收第二数据，并对第二数据中的第二认证数据进行验证，并在验证通过后，向读卡终端12发送身份证数据密文。
又如，当第一数据是身份证数据密文时，读卡终端非接触式接口121接收身份证11发送的第一数据后，向读卡终端安全芯片122发送第一数据；读卡终端安全芯片122接收到第一数据后，对第一数据进行第一处理得到第三数据，其中，读卡终端安全芯片122对第一数据进行第一处理的具体实施方式为：读卡终端安全芯片122利用会话密钥对接收到的第一数据进行加密，得到第一数据密文，并利用自身存储的第一私钥对第一数据密文进行签名，得到第一数据密文签名值；读卡终端安全芯片122将第一数据密文和第一数据密文签名值作为第三数据发送至读卡终端网络接口123；读卡终端网络接口123接收到第三数据后，将第三数据发送至认证端131；认证端网络接口1313接收第三数据，并将接收到的第三数据发送至认证端安全芯片1314；认证端安全芯片1314接收第三数据，并对第三数据进行第三处理得到第五数据，其中认证端安全芯片1314对第三数据进行第三处理得到第五数据的具体实施方式为：认证端安全芯片1314对接收到的第三数据中的第一数据密文签名值进行验签，并在验签通过后，利用会话密钥对第一数据密文进行解密得到第一数据，其中第一数据包括身份证数据密文；认证端安全芯片1314将解密得到的身份证数据密文作为第五数据发送至认证端有线通信接口1315；认证端有线通信接口1315接收第五数据，并向验证端发送第五数据；验证端有线通信接口1321接收第五数据，并将第五数据发送至验证端主控芯片1322；验证端主控芯片1322接收第五数据，并对第五数据中的身份证数据密文进行解密，得到身份证数据明文，并将身份证数据明文作为第六数据发送至验证端有线通信接口1321；验证端有线通信接口1321接收第六数据，并发送至认证端；认证端有线通信接口1315接收第六数据，并发送至认证端安全芯片1314；认证端安全芯片1314接收第六数据，并利用会话密钥对第六数据中的身份证数据明文进行加密，得到第四密文，并利用自身存储的私钥对第四密文进行签名得到第四密文签名值，认证端安全芯片1314将第四密文和第四密文签名值作为第四数据发送至认证端网络接口1313。认证端网络接口1313接收第四数据，并发送至读卡终端12；读卡终端网络接口123接收第四数据，并将第四数据发送至读卡终端安全芯片122；读卡终端安全芯片122接收第四数据，并对第四数据进行第二处理，得到第二数据，其中，读卡终端安全芯片122对第四数据进行第二处理的具体实施方式为：读卡终端对接收到的第四数据中的第四密文签名值进行验签，并在验证通过后，利用认证端131的公钥对第四密文签名值进行解密得到身份证数据明文。读卡终端安全芯片122得到身份证数据明文后可通过读卡终端12的显示屏显示身份证数据明文或者读卡终端安全芯片122将身份证数据明文作为第二数据发送至读卡终端网络接口123；读卡终端网络接口123接收第二数据并将第二数据发送至上位机，由上位机显示身份证数据明文。
需要说明的是，传统的身份证读卡终端一般设置有RF射频模块和验证安全控制模块，读卡终端可通过RF射频模块从身份证中读取身份证数据密文，验证安全控制模块实现对身份证数据密文的解密，但是读卡终端集成有验证安全控制模块的成本非常高，对大量需要身份证读卡终端的机构(例如银行、车站)来说成本很高。
通过本实施例提供的身份证读取系统，实现了身份证与验证端之间的双向认证。并通过设置在云认证平台中的验证端对从身份证中的读取的身份证数据密文进行解密得到身份证数据明文，任何用户均可通过有线或无线网络接入到云认证平台中的验证端以实现对身份证的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。另外，读卡终端和认证端之间传输的数据都进行了安全处理，保证了读卡终端和认证端之间数据传输的安全。
实施例3
本实施例中身份证读取系统可参见图1所示的身份证读取系统。如图1所示，所述身份证读取系统包括：读卡终端12和云认证平台13，其中，云认证平台13中包括认证验证端130。为了更方便描述身份证读取系统的工作流程，如图2所示，本实施例中的身份证读取系统还包括身份证11，读卡终端12，具有读卡终端非接触式接口121、读卡终端网络接口123和读卡终端安全芯片122；读卡终端非接触式接口121，用于接收身份证11发送的身份证基本信息；读卡终端安全芯片122，用于对身份证基本信息进行安全处理，得到第一数据包；读卡终端网络接口123，用于向认证验证端130发送第一数据包；认证验证端130，具有认证验证端网络接口1301和认证验证端安全芯片1302；认证验证端网络接口1301，用于接收第一数据包；认证验证端安全芯片1302，用于对第一数据包进行安全验证，在安全验证通过后得到身份证基本信息，并获取第一认证因子，对第一认证因子进行安全处理，得到第二数据包；认证验证端网络接口1301，用于向读卡终端12发送第二数据包；读卡终端网络接口123，还用于接收第二数据包；读卡终端安全芯片122，还用于对第二数据包进行安全验证，在安全验证通过得到第一认证因子；身份证读卡终端非接触式接口121，还用于接收身份证11发送的第一认证数据；读卡终端安全芯片122，还用于对第一认证数据进行安全处理，得到第三数据包，其中，第一认证数据为身份证11对第一认证因子进行处理得到；读卡终端网络接口123，还用于向认证验证端130发送第三数据包；认证验证端网络接口1301，还用于接收第三数据包；认证验证端安全芯片1302，还用于对第三数据包进行安全验证，在安全验证通过后，得到第一认证数据，并对第一认证数据进行认证，并在认证通过后生成认证因子申请请求，并对认证因子申请请求进行安全处理，得到认证因子申请请求数据包；认证验证端网络接口1301，还用于向读卡终端12发送认证因子申请请求数据包；读卡终端网络接口123，还用于接收认证因子申请请求数据包；读卡终端安全芯片122，还用于对认证因子申请请求数据包进行安全验证，在安全验证通过后得到认证因子申请请求；读卡终端非接触式接口121，还用于将认证因子申请请求发送至身份证11；读卡终端非接触式接口121，还用于接收身份证11发送的第二认证因子；读卡终端安全芯片122，还用于对第二认证因子进行安全处理，得到第四数据包；读卡终端网络接口123，还用于向认证验证端130发送第四数据包；认证验证端网络接口1301，还用于接收第四数据包；认证验证端安全芯片1302，还用于对第四数据包进行安全验证，在安全验证通过后得到第二认证因子，并对第二认证因子进行处理生成第二认证数据；并对第二认证数据进行安全处理，得到第五数据包；认证验证端网络接口1301，还用于向读卡终端12发送第五数据包；读卡终端网络接口123，还用于接收第五数据包；读卡终端安全芯片122，还用于对第五数据包进行安全验证，在安全验证通过后得到第二认证数据；读卡终端非接触式接口121，还用于向身份证11发送第二认证数据；读卡终端非接触式接口121，还用于接收身份证11发送的身份证数据密文；读卡终端安全芯片122，还用于对身份证数据密文进行安全处理得到第六数据包，其中，身份证数据密文为身份证11对所述第二认证数据进行认证，在认证通过后发送；读卡终端网络接口123，还用于向认证验证端130发送第六数据包；认证验证端网络接口1301，还用于接收第六数据包；认证验证端安全芯片1302，还用于对第六数据包进行安全验证，在安全验证通过后得到身份证数据密文，并对身份证数据密文进行解密，得到身份证数据明文，并对身份证数据明文进行安全处理，得到第七数据包；认证验证端网络接口1301，还用于向读卡终端12发送第七数据包；读卡终端网络接口123，还用于接收第七数据包；读卡终端安全芯片122，还用于对第七数据包进行安全验证，在安全验证通过后得到身份证数据明文。
具体的，本实施例中读卡终端的结构示意图与图3所示的读卡终端的结构示意图相同。读卡终端12包括：读卡终端非接触式接口121、读卡终端网络接口123和读卡终端安全芯片122。本实施例中认证验证端的结构示意图与图4所示的认证验证端1的结构示意图，认证验证端130包括认证验证端网络接口1301和认证验证端安全芯片1302。
在本实施例中，读卡终端12可以是读卡器，也可以是具有读卡功能的其它终端(例如集成有读卡功能的手机、集成有读卡功能的USBKEY等)。
在本实施例中，身份证基本信息可以是身份证11的序列号、用于指示身份证11中设置的应用的相关信息的应用数据、传输协议(例如，传输协议类型、比特数率、最大帧长度)等，读卡终端12可以直接识别该身份证基本信息，不需要公安部授权的安全控制模块进行解密。
在本实施例中，对身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端12的会话密钥对身份证基本信息进行加密，得到第一密文，以及利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值，第一数据包包括第一密文和第一签名值。具体的，读卡终端非接触式接口121接收到身份证11发送的身份证基本信息后，读卡终端安全芯片122利用读卡终端12的会话密钥对身份证基本信息进行加密，得到第一密文，并利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值；读卡终端网络接口123将包括第一密文和第一签名值的第一数据包发送至认证验证端130。通过对身份证基本信息进行加密，可以保证身份证基本信息在网络传输中的安全性，通过对第一密文进行签名，可以防止非法分子篡改第一密文。
在本实施例中，读卡终端12的会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者也可以为一串随机数和随机字符的任意组合。读卡终端12的会话密钥用于对读卡终端12向认证验证端130发送的数据进行加密，以及用于对认证验证端130向读卡终端12发送的加密数据进行解密。
在本实施例中，读卡终端12利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值的具体实施方式为：读卡终端安全芯片122利用HASH算法计算第一密文得到第一密文的摘要，并利用读卡终端12的第一私钥对第一密文的摘要进行加密，得到第一签名值。通过对第一密文进行签名可以防止非法分子篡改第一密文。需要说明的是，本实施例中的签名过程均可参见该实施方式，下面涉及到签名的过程将不再具体赘述。
在本实施例中，读卡终端网络接口123可直接通过有线网络或无线网络向认证验证端130发送第一数据包，读卡终端网络接口123也可利用上位机(例如手机、PAD(平板电脑)或PC等)通过有线网络或无线网络向认证验证端130发送第一数据包。可选的，读卡终端网络接口123可通过有线方式(例如，USB接口等)或无线方式(例如，WiFi，蓝牙等)与上位机实现通信连接。
在本实施例中，对第一数据包进行安全验证，包括：利用读卡终端12的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证验证端130的会话密钥对第一密文进行解密。具体的，认证验证端网络接口1301接收第一数据包后，认证验证端安全芯片1302利用读卡终端12的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证验证端130的会话密钥对第一密文进行解密，得到身份证基本信息。通过对第一签名值进行签名验证，可以验证第一密文是否被非法分子篡改。
在本实施例中，认证验证端130的会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者也可以为一串随机数和随机字符的任意组合。认证验证端130的会话密钥与读卡终端12的会话密钥为相同的密钥，即一对对称密钥。认证验证端130的会话密钥用于对认证验证端130向读卡终端12发送的数据进行加密，以及用于对读卡终端12向认证验证端130发送的加密数据进行解密。
在本实施例中，认证验证端安全芯片1302解密得到身份证基本信息后，获取第一认证因子。认证验证端130获取的第一认证因子可用来验证身份证11的合法性。
在本实施例中，读卡终端12的第一证书至少包括读卡终端12的第一公钥，读卡终端12的第一公钥与读卡终端12的第一私钥是一对非对称密钥。
在本实施例中，认证验证端安全芯片1302利用读卡终端12的第一证书的第一公钥对接收到第一签名值进行解密，得到第一密文的摘要，并利用HASH算法对接收到的第一密文进行计算得到第一密文的摘要，并比对解密得到的第一密文的摘要与计算得到的第一密文的摘要是否相同，如果相同，则对第一签名值进行签名验证通过。当然，签名验证的过程并不一定由认证验证端安全芯片1302执行，也可能由云认证平台13中的其它装置(例如云认证平台13中的调度装置)执行，例如，例如，读卡终端网络接口123向调度装置发送第一数据包，调度装置执行对第一签名值的签名验证，在对第一签名值的签名验证通过后，调度装置将第一密文发送给认证验证端网络接口1301，由认证验证端安全芯片1302执行对第一密文的解密，又如，认证验证端安全芯片1302将第一签名发送给云认证平台13中的其他装置(例如调度装置)，由该其他装置执行对第一签名值的签名验证，在对第一签名值的签名验证通过后，该其他装置将签名验证结果发送给认证验证端网络接口1301，由认证验证端安全芯片1302执行对第一密文的解密，具体的本实施例不做限定。本实施例中的签名验证的过程均可参见该实施方式，下面涉及到签名验证的过程将不再具体赘述，同样，下面涉及到认证验证端安全芯片1302执行签名验证的过程也均可由云认证平台13中的调度装置执行。
在本实施例中，对第一认证因子进行安全处理，得到第二数据包，包括：利用认证验证端130的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证验证端130的私钥对第二密文进行签名，得到第二签名值，第二数据包包括第二密文和第二签名值。具体的，认证验证端安全芯片1302获取第一认证因子后，利用认证验证端130的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证验证端130的私钥对第二密文签名，得到第二签名值；认证验证端网络接口1301将包括第二密文和第二签名值的第二数据包发送至读卡终端12。通过会话密钥对第一认证因子进行加密，可以保证第一认证因子在网络传输中的安全，通过对第二密文进行签名，可以防止非法分子篡改第二密文。
在本实施例中，如果读卡终端12具有联网功能，认证验证端网络接口1301可以直接通过有线网络或无线网络向读卡终端12发送第二数据包；如果读卡终端12不具有联网功能，认证验证端网络接口1301可以通过有线网络或无线网络向上位机发送第二数据包，上位机再将第二数据包传输至读卡终端12。
作为本实施例的一种可选实施方式，认证验证端网络接口1301并不是直接将第二数据包发送至读卡终端12，而是先将第二数据包发送至调度装置，由调度装置将第二数据包转发至读卡终端12。同样，以下涉及到认证验证端网络接口1301向读卡终端12传输数据时，认证验证端网络接口1301均可先将数据发送至调度装置，再由调度装置将数据转发至读卡终端12。
在本实施例中，对第二数据包进行安全验证，包括：利用认证验证端130的证书对第二签名值进行签名验证，并在对第二签名值进行签名验证通过后，利用读卡终端12的会话密钥对第二密文进行解密，得到第一认证因子。其中，认证验证端130的证书至少包括认证验证端130的公钥。通过对第二签名值进行签名验证，可以验证第二密文是否被非法分子篡改。
在本实施例中，第一认证数据为身份证对所述第一认证因子进行处理得到，具体的，身份证可以利用身份证11的安全密钥对第一认证因子进行加密得到第一认证数据；或者身份证利用身份证11的安全密钥对第一认证因子进行MAC(Message AuthenticationCode，消息认证码)计算得到MAC值，并将该MAC值作为第一认证数据。其中，身份证11的安全密钥是预先内置在合法的身份证中的，只有合法的身份证11才具有该安全密钥。
在本实施例中，读卡终端非接触式接口121向身份证11发送第一认证因子，并接收身份证11发送的第一认证数据，其中，读卡终端非接触式接口121可以是RF射频模块。
在本实施例中，对第一认证数据进行安全处理包括：利用读卡终端12的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端12的第一私钥对第三密文进行签名，得到第三签名值，第三数据包包括第三密文和第三签名值。具体的，读卡终端非接触式接口121接收身份证11发送的第一认证数据后，读卡终端安全芯片122利用读卡终端12的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端12的第一私钥对第三密文进行签名，得到第三签名值；读卡终端网络接口123将包括第三密文和第三签名值的第三数据包发送至认证验证端130。通过对第一认证数据进行加密，可以保证第一认证数据在网络传输中的安全性，通过对第三密文进行签名，可以防止第三密文被非法分子篡改。
在本实施例中，对第三数据包进行安全验证，包括：利用读卡终端12的第一证书对第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证验证端130的会话密钥对第三密文进行解密。具体的，认证验证端网络接口1301接收第三数据包后，认证验证端网络接口1301利用读卡终端12的第一证书中的第一公钥对第三数据包中的第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证验证端130的会话密钥对第三数据包中的第三密文进行解密，得到第一认证数据。通过对第三签名值进行签名验证，可以验证第三密文是否被非法分子篡改。
在本实施例中，身份证11制作过程中内置安全密钥，在认证验证端安全芯片1302中可以存储与身份证11的安全密钥相同的认证验证端130的安全密钥，当然，认证验证端安全芯片1302也可使用相同的预设算法对预设信息进行计算得到认证验证端130的安全密钥。认证验证端130的安全密钥是与身份证基本信息对应的。
在本实施例中，认证验证端安全芯片1302通过公安部预置的算法对第一认证数据进行认证，例如，认证验证端安全芯片1302可以利用认证验证端130的安全密钥对接收到的第一认证数据进行解密，得到认证因子，并比较解密得到的认证因子与自身生成的第一认证因子是否相同，如果相同，则对第一认证数据进行验证通过。当然，认证验证端安全芯片1302也可以利用认证验证端130的安全密钥对自身生成的第一认证因子进行加密得到认证数据，并比较加密得到的认证数据与接收到的第一认证数据是否相同，如果相同，则对第一认证数据进行验证通过。或者，认证验证端安全芯片1302利用认证验证端130的安全密钥对自身生成的第一认证因子进行MAC计算得到MAC值，并比较该计算得到的MAC值与第一认证数据是否相同，如果相同，则对第一认证数据进行验证通过。如果认证验证端130对第一认证数据进行验证通过，则该身份证11是合法的身份证，认证验证端130通过对第一认证数据进行验证确认了身份证11的合法性。
在本实施例中，认证验证端安全芯片1302在对第一认证数据进行认证通过后，生成认证因子申请请求，该认证因子申请请求用于请求身份证11生成第二认证因子以便身份证11验证认证验证端130的合法性。
在本实施例中，对认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用认证验证端130的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证验证端130的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值，认证因子申请请求数据包包括认证因子申请请求密文和认证因子申请请求签名值。具体的，认证验证端安全芯片1302生成认证因子申请请求后，利用认证验证端130的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证验证端130的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值；认证验证端网络接口1301将包括认证因子申请请求密文和认证因子申请请求签名值的认证因子申请请求数据包发送至读卡终端12。通过对认证因子申请请求加密可以保证认证因子申请请求在网络传输中的安全，通过对认证因子申请请求密文进行签名可以防止非法分子篡改认证因子申请请求密文。
在本实施例中，对认证因子申请请求数据包进行安全验证，包括：利用认证验证端130的证书对认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端12的会话密钥对认证因子申请请求密文进行解密；具体的，读卡终端网络接口123接收认证因子申请请求数据包后，读卡终端安全芯片122利用认证验证端130的证书中的公钥对认证因子申请请求数据包中的认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端12的会话密钥对认证因子申请请求密文进行解密，得到认证因子申请请求。通过对认证因子申请请求签名值进行签名验证，可以验证认证因子申请请求密文是否被非法分子篡改。
在本实施例中，读卡终端安全芯片122得到认证因子申请请求后，读卡终端非接触式接口121将认证因子申请请求发送至身份证11。身份证接收认证因子申请请求后，生成第二认证因子并将第二认证因子发送至读卡终端12。读卡终端非接触式接口121接收身份证11发送的第二认证因子，获取第二认证因子。该第二认证因子可以用来验证认证验证端130的合法性。
在本实施例中，对第二认证因子进行安全处理，得到第四数据包，包括：利用读卡终端12的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端12的第一私钥对第四密文进行签名，得到第四签名值，第四数据包包括第四密文和第四签名值。具体的，读卡终端非接触式接口121接收身份证11发送的第二认证因子，读卡终端安全芯片122利用读卡终端12的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端12的第一私钥对第四密文进行签名，得到第四签名值；读卡终端网络接口123将包括第四密文和第四签名值的第四数据包发送至认证验证端130。通过对第二认证因子进行加密，可以保证第二认证因子在网络传输中的安全性，通过对第四密文进行签名，可以防止第四密文被非法分子篡改。
在本实施例中，对第四数据包进行安全验证，包括：利用读卡终端12的第一证书对第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证验证端130的会话密钥对第四密文进行解密。具体的，认证验证端网络接口1301接收第四数据包后，认证验证端安全芯片1302利用读卡终端12的第一证书中的第一公钥对第四数据包中的第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证验证端130的会话密钥对第四密文进行解密，得到第二认证因子。通过对第四签名值进行签名验证，可以验证第四密文是否被非法分子篡改。
在本实施例中，认证验证端安全芯片1302通过公安部预置的算法对第二认证因子进行处理生成第二认证数据，例如，认证验证端安全芯片1302利用安全密钥对第二认证因子进行加密后生成第二认证数据；或者认证验证端安全芯片1302利用认证验证端130的安全密钥对第二认证因子进行MAC计算得到MAC值，并将该MAC值作为第二认证数据。其中，认证验证端130的安全密钥可以是预先内置在合法的认证验证端130中的，只有合法的认证验证端130才具有该安全密钥。当然，认证验证端130的安全密钥也可以是认证验证端安全芯片1302利用预设算法对预设信息计算得到的，只有合法的认证验证端130才能计算得到该安全密钥。
在本实施例中，对第二认证数据进行安全处理，得到第五数据包，包括：利用认证验证端130的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证验证端130的私钥对第五密文进行签名，得到第五签名值，第五数据包包括第五密文和第五签名值。具体的，认证验证端安全芯片1302生成第二认证数据后，利用认证验证端130的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证验证端130的私钥对第五密文进行签名，得到第五签名值；认证验证端网络接口1301将包括第五密文和第五签名值的第五数据包发送至读卡终端12。通过对第二认证数据进行加密，可以保证第二认证数据在网络传输中的安全，另外，通过对第五密文进行签名，可以防止非法分子篡改第五密文。
在本实施例中，对第五数据包进行安全验证，包括：利用认证验证端130的证书对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端12的会话密钥对第五密文进行解密。具体的，读卡终端网络接口123接收第五数据包后，读卡终端网络接口123利用认证验证端130的证书中的公钥对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端12的会话密钥对第五密文进行解密，得到第二认证数据。通过对第五签名值进行签名验证，可以验证第五密文是否被非法分子篡改。
在本实施例中，读卡终端安全芯片122解密得到第二认证数据后，读卡终端非接触式接口121向身份证11发送第二认证数据。身份证接收第二认证数据并对第二认证数据进行认证，具体的，身份证通过公安部预设的算法对第二认证数据进行认证，例如，身份证可以利用身份证11的安全密钥对应的解密密钥对接收到的第二认证数据进行解密，得到认证因子，并比较解密得到的认证因子与自身生成的第二认证因子是否相同，如果相同，则对第二认证数据进行验证通过。当然，身份证也可以利用身份证11的安全密钥对自身生成的第二认证因子进行加密得到认证数据，并比较加密得到的认证数据与接收到的第二认证数据是否相同，如果相同，则对第二认证数据进行验证通过。或者，身份证利用身份证11的安全密钥对自身生成的第二认证因子进行MAC计算得到MAC值，并比较该计算得到的MAC值与第二认证数据是否相同，如果相同，则对第二认证数据进行验证通过。身份证对第二认证数据进行验证通过，说明认证验证端130是合法的，身份证通过对第二认证数据进行验证确认了认证验证端130的合法性。
在本实施例中，通过第一认证因子确认了身份证11的合法性，通过第二认证因子确认了认证验证端130的合法性。双向认证通过后，身份证非接触式接口112才向读卡终端12发送身份证数据密文，其中，身份证数据密文一般是居民身份证号、姓名、照片、年龄、住址、卡片使用年限和/或指纹等数据的密文。
在本实施例中，对身份证数据密文进行安全处理得到第六数据包，包括：利用读卡终端12的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端12的第一私钥对第六密文进行签名，得到第六签名值，第六数据包包括第六密文和第六签名值。具体的，身份证对第二次认证数据进行认证通过后，读卡终端非接触式接口121接收身份证11发送的身份证数据密文，读卡终端安全芯片122利用读卡终端12的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端12的第一私钥对第六密文进行签名，得到第六签名值，读卡终端网络接口123将包括第六密文和第六签名值的第六数据包发送至认证验证端130。通过对身份证数据密文进行加密，可以保证身份证数据密文在传输过程中的安全性，另外，对第六密文进行签名，可以防止非法分子篡改第六密文。
在本实施例中，身份证数据密文所包括的信息可以通过一个数据包一次发送给认证验证端130，当然，身份证数据密文所包括的信息也可以通过多个数据包分多次发送给认证验证端130。
在本实施例中，对第六数据包进行安全验证，包括：利用读卡终端12的第一证书对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证验证端130的会话密钥对第六密文进行解密。具体的，认证验证端网络接口1301接收第六数据包后，认证验证端安全芯片1302利用读卡终端12第一证书中的第一公钥对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证验证端130的会话密钥对第六密文进行解密，得到身份证数据密文。通过对第六签名值进行签名验证，可以验证第六密文是否被非法分子篡改。
在本实施例中，认证验证端安全芯片1302解密得到身份证数据密文后，利用认证验证端130中设置的可以对从身份证11中读取的密文数据进行解密的模块对身份证数据密文进行解密，得到身份证数据明文。
在本实施例中，对身份证数据明文进行安全处理，得到第七数据包，包括：利用认证验证端130的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证验证端130的私钥对第七密文进行签名，得到第七签名值，第七数据包包括第七密文和第七签名值。具体的，认证验证端安全芯片1302解密得到身份证数据明文后，利用认证验证端130的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证验证端130的私钥对第七密文进行签名，得到第七签名值，认证验证端网络接口1301将包含第七密文和第七签名值的第七数据包发送至读卡终端12。通过对身份证数据明文进行加密，可以保证身份证数据明文在传输中的安全性，另外，对第七密文进行签名，可以防止非法分子篡改第七密文。
在本实施例中，对第七数据包进行安全验证，包括：利用认证验证端130的证书对第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端12的会话密钥对第七密文进行解密。具体的，读卡终端网络接口123接收第七数据包后，读卡终端安全芯片122利用认证验证的证书中的公钥对第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端12的会话密钥对第七密文进行解密，得到身份证数据密文。
在本实施例中，身份证数据明文一般是居民身份证号、姓名、照片、年龄、住址、卡片使用年限和/或指纹等数据的明文。作为本实施例的一种可选实施方式，读卡终端安全芯片122解密得到身份证数据明文后，可直接通过读卡终端12显示身份证数据明文。当然，读卡终端12也可将身份证数据明文发送至上位机，由上位机显示身份证数据明文。
通过上述流程，身份证11和云认证平台13中的认证验证端130通过第一认证因子和第二认证因子的交互完成了双向认证，认证验证端130对身份证数据密文进行解密以得到身份证数据明文，并发送给读卡终端12，以完成身份证的读取。为更好的理解身份证读取的完整流程，在执行上述流程之前，身份证11和认证验证端130还会执行寻卡流程和选卡流程，其中寻卡流程用于实现寻找可以进行通信的身份证11，选卡流程用于在寻找到的身份证11中确定与哪个身份证11进行通信。下文对寻卡流程和选卡流程进行描述：
作为本实施例的一种可选实施方式，读卡终端非接触式接口121接收身份证11发送的身份证基本信息之前，还包括寻卡流程，具体的寻卡流程包括以下两种方式之一：
方式一：
读卡终端安全芯片122，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端12的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口123，还用于向认证验证端130发送寻卡请求，寻卡请求包括寻卡请求数据密文、寻卡请求签名值、读卡终端12的第一证书和读卡终端12的第二证书；认证验证端网络接口1301，还用于接收寻卡请求；认证验证端安全芯片1302，还用于利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用认证解密密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；以及生成会话密钥，并利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用读卡终端12的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证验证端130的私钥对寻卡请求响应数据密文和会话密钥密文进行签名，得到寻卡请求响应签名值；认证验证端网络接口1301，还用于向读卡终端12发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文、会话密钥密文、寻卡请求响应签名值和认证验证端130的证书，其中认证验证端安全芯片1302采用生成的会话密钥作为认证验证端130的会话密钥；读卡终端网络接口123，还用于接收寻卡请求响应；读卡终端安全芯片122，还用于利用认证验证端130的证书对寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值进行验签通过后，利用读卡终端12的第二私钥对会话密钥密文进行解密，得到会话密钥，并利用会话密钥对寻卡请求响应数据密文进行解密，得到寻卡请求响应数据，其中读卡终端安全芯片122采用对会话密文解密得到的会话密钥作为读卡终端12的会话密钥。
具体的：读卡终端非接触式接口121通过其RF射频模块每间隔一段时间向外发送寻卡指令，身份证接收到该寻卡指令后，向读卡终端12发送寻卡确认数据，读卡终端非接触式接口121接收到身份证非接触式接口112发送的寻卡确认数据后，读卡终端网络接口123向认证验证端130发送寻卡请求。其中，寻卡请求中的寻卡请求数据密文是读卡终端12在收到身份证发送的寻卡确认数据后，利用认证加密密钥对寻卡请求数据进行加密生成的。利用认证加密密钥对寻卡请求数据加密后传输至认证验证端130可以保证寻卡请求数据在网络传输中的安全。寻卡请求中的读卡终端12的第一证书至少包括读卡终端12的第一公钥，读卡终端12的第二证书至少包括读卡终端12的第二公钥，读卡终端12的第一证书中的第一公钥与第二证书中的第二公钥可以相同，也可以不同，本实施例不做限定，读卡终端12的第一私钥与读卡终端12的第一公钥是一对非对称密钥对，用于对读卡终端网络接口123向认证验证端130传输的数据进行签名和验签，读卡终端12的第二公钥与读卡终端12的第二私钥是一对非对称密钥对，用于对会话密钥进行加解密运算。
其中，认证解密密钥与认证加密密钥为相同的密钥，即对称密钥，预先内置在认证验证端130和读卡终端12中，读卡终端安全芯片122利用该对称密钥对读卡终端网络接口123首次发送给认证验证端130的数据进行加密，认证验证端安全芯片1302利用该对称密钥对认证验证端网络接口1301首次接收到读卡终端网络接口123发送的数据进行解密，保证读卡终端12与认证验证端130首次传输数据的安全性。可选的，认证加密密钥和认证解密密钥保存在密钥数据库中，认证验证端130可以从密钥数据库中读取该认证解密密钥，并保存在认证验证端130本地。读卡终端12也可以从密钥数据库中读取该认证加密密钥，并保存在读卡终端12本地。
可选的，认证验证端网络接口1301接收到寻卡请求后，利用根证书对接收到的读卡终端12的第一证书和读卡终端12的第二证书进行验证，以防止非法分子篡改读卡终端12第一证书中的第一公钥和读卡终端12第二证书中的第二公钥，实现对读卡终端12的安全认证，提高双方交互的安全性。
具体的，认证验证端安全芯片1302解密得到寻卡请求数据后，生成寻卡请求响应数据，并生成会话密钥，认证验证端安全芯片1302采用生成的会话密钥作为认证验证端130的会话密钥，其中，会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者一串随机数和随机字符的任意组合。利用会话密钥对寻卡请求响应数据进行加密，保证了寻卡请求响应数据的在网络传输中的安全性。另外，会话密钥作为随机产生的密钥，不易被非法分子窃取。
本实施例中，除读卡终端12与认证验证端130首次传输的数据使用认证加密密钥进行加密之外，后续读卡终端12与认证验证端130进行传输的数据可以通过会话密钥进行加密，以避免认证加密密密钥被破解导致数据传输安全性降低。由于会话密钥采用随机数的形式，每次传输的数据采用的随机数均不同，进一步可以提高读卡终端12和认证验证端130之间数据传输的安全性。
另外，认证验证端安全芯片1302利用读卡终端12的第二证书中的公钥对会话密钥进行加密，得到会话密钥密文，保证了会话密钥在网络传输中的安全性。认证验证端安全芯片1302利用自身存储的私钥对寻卡请求响应密文和会话密钥进行签名，可以防止非法分子篡改寻卡请求响应密文和会话密钥。
另外，认证验证端安全芯片1302的证书中包括认证验证端130的公钥，认证验证端130的私钥与认证验证端130的公钥是一对非对称密钥对，用于对从认证验证端网络接口1301向读卡终端12中传输的数据进行签名和验签。可选的，读卡终端网络接口123接收到寻卡请求响应后，利用根证书对接收到的认证验证端130的证书进行验证，以防止非法分子篡改认证验证端130的证书中的公钥，实现对认证验证端130的安全认证，提高双方交互的安全性。
作为一种可选的方式，寻卡请求数据还包括时间戳和/或单次认证数据，寻卡请求中还包括读卡终端12的标识。其中，单次认证标识包括读卡终端安全芯片122中的计数器产生的计数值和/或随机因子。当单次认证标识为计数器产生的计数值时，读卡终端非接触式接口121每执行一次身份证11信息读取操作，计数器会产生一个计数值，用于对发送出的第一数据包进行计数，例如，读卡终端非接触式接口121读取身份证A时，计数器产生计数值1，下次读取身份证B时，计数器产生计数值2，以此类推，当然具体的计数值形式不限于此。当单次认证标识为随机因子时，随机因子可以为一个或一串随机数，或者可以为一个或一串随机字符，或者一串随机数和随机字符的任意组合。读卡终端12的标识可以为读卡终端12的序列号，当然，读卡终端12的标识只要是可以唯一表示读卡终端12的标识即可，并不局限于读卡终端12的序列号。
另外，如图9提供的一种身份证读取系统结构示意图，云认证平台13中除了包括认证验证端130之外，还包括调度装置133。
可选的，读卡终端网络接口123并不是直接将寻卡请求发送至云认证平台13中的认证验证端130，而是先将寻卡请求发送给调度装置133，调度装置133判断寻卡请求中的读卡终端12的标志是否在黑名单内，如果在黑名单内，则结束身份证读取流程；否则，调度装置133根据各个认证验证端130的处理能力，决定将寻卡请求发送到哪个认证验证端130进行处理，调度装置133再将寻卡请求发送给认证验证端130。通过调度装置133对第一数据包进行分流处理，可以防止单点故障。
可选的，读卡终端网络接口123将寻卡请求发送给调度装置133，调度装置133选中认证验证端130后，将选中的认证验证端130的端口号发送给读卡终端12。具体的，有以下实施方式：方式一：调度装置133选中认证验证端130的端口号后，直接将端口号发送给读卡终端12；方式二：调度装置133将端口号携带在寻卡请求响应中发送给读卡终端12；方式三：调度装置133将端口号携带在寻卡请求中发送至认证验证端130，认证验证端网络接口1301再将端口号携带在寻卡请求响应中直接发送给读卡终端12。
可选的，读卡终端网络接口123向云认证平台13发送数据时，除了读卡终端网络接口123第一次向云认证平台13发送数据时需要由调度装置133分配认证验证端130，后续向云认证平台13发送的数据均可直接发送至端口号对应的认证验证端130。当然，后续向云认证平台13发送的数据也可通过调度装置133做相应处理(例如签名验证、转发)后发送至认证验证端130，本实施例不做具体限定。
可选的，认证验证端网络接口1301可以直接将寻卡请求响应发送至读卡终端12；也可将寻卡请求响应发送至调度装置133后，调度装置133再将寻卡请求响应发送至读卡终端12。
可选的，调度装置133接收到寻卡请求并判断读卡终端12的标识不在黑名单后，利用根证书对接收到的读卡终端12的第一证书和读卡终端12的第二证书进行验证，并在验证通过后，调度装置133利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，将寻卡请求中的寻卡请求数据密文和读卡终端12的第二证书发送至认证验证端130。
可选的，当调度装置133已经对寻卡请求签名值进行验签后，认证验证端网络接口1301只接收到调度装置133发送的寻卡请求数据密文和读卡终端12的第二证书时，认证验证端安全芯片1302只利用认证解密密钥对寻卡请求数据密文进行解密以得到寻卡请求数据。
可选的，当认证验证端安全芯片1302是利用读卡终端12的第二证书对会话密钥和单次认证标识进行加密，生成会话密钥密文时，读卡终端12的第二私钥对会话密文进行解密，得到会话密钥和单次认证标识，可根据单次认证标识判断是对哪一次寻卡请求的响应。
方式二：
读卡终端12和认证验证端130先协商会话密钥以进一步保证寻卡请求数据传输的安全，具体协商会话密钥的过程为：读卡终端安全芯片122利用认证加密密钥对会话密钥请求数据进行加密，得到会话密钥请求数据密文，利用读卡终端12的第一私钥对会话密钥请求数据密文进行签名，得到会话密钥请求签名值，并向认证验证端130发送会话密钥请求，会话密钥请求包括会话密钥请求数据密文、会话密钥请求签名值、读卡终端12的第一证书和读卡终端12的第二证书；认证验证端网络接口1301接收会话密钥请求，并利用读卡终端12的第一证书对会话密钥请求签名值进行签名验证，并在对会话密钥请求签名值进行签名验证通过后，利用认证解密密钥对会话密钥请求数据密文进行解密，得到会话密钥请求数据；认证验证端安全芯片1302生成会话密钥，并利用读卡终端12的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证验证端130的私钥对会话密钥密文进行签名，得到会话密钥密文签名值；认证验证端网络接口1301向读卡终端12发送会话密钥请求响应，会话密钥请求响应包括：会话密钥密文、会话密钥密文签名值和认证验证端130的证书，其中认证验证端安全芯片1302采用生成的会话密钥作为认证验证端130的会话密钥；读卡终端网络接口123接收会话密钥请求响应；读卡终端安全芯片122利用认证验证端130的证书对会话密钥密文签名值进行验签，并在对会话密钥密文签名值进行验签通过后，利用读卡终端12的第二私钥对会话密钥密文进行解密，得到会话密钥，其中读卡终端安全芯片122采用对会话密钥密文解密得到的会话密钥作为读卡终端12的会话密钥。
作为本实施例的一种可选实施方式，在读卡终端安全芯片122利用会话密钥对身份证基本信息进行加密之前，可通过以下方式协商会话密钥：读卡终端安全芯片122获取第一随机数，并利用读卡终端12的第一私钥对第一随机数进行签名，得到第一随机数签名值；读卡终端网络接口123向认证验证端130发送第一随机数、第一随机数签名值和读卡终端12第一证书；认证验证端网络接口1301接收第一随机数、第一随机数签名值和读卡终端12的第一证书；认证验证端安全芯片1302利用根证书对读卡终端12的第一证书进行验证，并在验证通过后，利用读卡终端12的第一证书对第一随机数签名值进行签名验证，并在对第一随机数签名值进行签名验证通过后，生成第二随机数，根据第一随机数和第二随机数生成认证验证端130的会话密钥；并利用读卡终端12的第一证书对第一随机数和第二随机数进行加密，得到第八密文，以及利用认证验证端130的私钥对第八密文进行签名，得到第八签名值；认证验证端网络接口1301向读卡终端12发送第八数据包，第八数据包包括：第八密文、第八签名值和认证验证端130的证书；读卡终端网络接口123接收第八数据包；读卡终端安全芯片122利用认证验证端130的证书对第八签名值进行签名验证，并在对第八签名值进行签名验证通过后，利用读卡终端12的第一私钥对第八密文进行解密，得到第一随机数和第二随机数；并对第一随机数进行验证，验证通过后，根据第一随机数和第二随机数生成读卡终端12的会话密钥。读卡终端12通过对第一随机数进行验证、对第八签名值进行签名验证，可以保证认证验证端130和读卡终端12生成会话密钥的第一随机数和第二随机数相同，保证生成的认证验证端130的会话密钥和读卡终端12的会话密钥是一对对称密钥。
协商好会话密钥后，读卡终端安全芯片122和认证验证端安全芯片1302可以直接利用读卡终端12的会话密钥和认证验证端130的会话密钥对寻卡请求数据和寻卡请求响应数据进行加解密，后续寻卡流程为：读卡终端安全芯片122利用会话密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端12的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口123向认证验证端130发送寻卡请求，寻卡请求包括寻卡请求数据密文和寻卡请求签名值；认证验证端网络接口1301接收寻卡请求；认证验证端安全芯片1302利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用会话密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；认证验证端安全芯片1302利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用认证验证端130的私钥对寻卡请求响应数据密文进行签名，得到寻卡请求响应签名值；认证验证端网络接口1301向读卡终端12发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文和寻卡请求响应签名值；读卡终端安全芯片122利用认证验证端130的证书对接收的寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值验签通过后，利用会话密钥对接收到的寻卡请求响应数据密文进行解密，得到寻卡请求响应数据。
完成了寻卡流程后，还包括选卡流程，认证验证端130通过选卡流程可以确认是对哪一张身份证进行的读取操作。在选卡过程中：
读卡终端非接触式接口121，还用于在得到寻卡请求响应数据后，向身份证11发送选卡指令；读卡终端非接触式接口121，还用于接收身份证发送的选卡确认数据，其中选卡确认数据至少包括身份证的序列号；读卡终端安全芯片122，还用于利用会话密钥对选卡请求数据进行加密，得到选卡请求数据密文，利用读卡终端12的第一私钥对选卡请求数据密文进行签名，得到选卡请求签名值；读卡终端网络接口123，还用于向认证验证端130发送选卡请求，选卡请求包括选卡请求数据密文和选卡请求签名值；认证验证端网络接口1301，还用于接收选卡请求；认证验证端安全芯片1302，还用于利用读卡终端12的第一证书对选卡请求签名值进行签名验证，并在对选卡请求签名值进行签名验证通过后，利用会话密钥对选卡请求数据密文进行解密，得到选卡请求数据；认证验证端安全芯片1302，还用于利用会话密钥对选卡请求响应数据进行加密，得到选卡请求响应数据密文，并利用认证验证端的私钥对选卡请求响应数据密文进行签名，得到选卡请求响应签名值；认证验证端网络接口1301，还用于向读卡终端12发送选卡请求响应，选卡请求响应包括：选卡请求响应数据密文和选卡请求响应签名值；读卡终端安全芯片122，还用于利用认证验证端130的证书对接收的选卡请求响应签名值进行验签，并在对选卡请求响应签名值验签通过后，利用会话密钥对接收到的选卡请求响应数据密文进行解密，得到选卡请求响应数据；读卡终端安全芯片122，还用于利用会话密钥对选卡确认数据进行加密得到选卡确认数据密文，并利用读卡终端的第一私钥对选卡确认数据密文进行签名，得到选卡确认数据签名值；读卡终端网络接口123，还用于向认证验证端130发送选卡确认数据密文和选卡确认数据签名值；认证验证端网络接口1301，还用于接收选卡确认数据密文和选卡确认数据签名值；认证验证端安全芯片1302，还用于利用读卡终端12的第一证书对选卡数据签名值进行签名验证，并在对选卡数据签名值进行签名验证通过后，利用会话密钥对选卡确认数据密文进行解密，得到选卡确认数据。
具体的，一个身份证11具有一个安全密钥，不同的身份证11，对应的安全密钥也不相同，认证验证端安全芯片1302中存储有多个身份证的安全密钥，认证验证端安全芯片1302得到的选卡确认数据中包括身份证11的序列号，认证验证端安全芯片1302获得身份证11的序列号后，可根据身份证11的序列号查找该身份证对应的安全密钥，以便后续使用该安全密钥实现身份证11与认证验证端130的双向认证
选卡流程之后，读卡终端非接触式接口121接收第一认证因子。在读卡终端12获取第一认证因子的过程中：
读卡终端安全芯片122，还用于利用会话密钥对读卡请求数据进行加密，得到读卡请求数据密文，并利用读卡终端12的第一私钥对读卡请求数据密文进行签名，得到读卡请求签名值；读卡终端网络接口123，还用于向认证验证端130发送读卡请求，读卡请求包括读卡请求数据密文和读卡请求签名值；认证验证端网络接口1301，还用于接收读卡请求；认证验证端安全芯片1302，还用于利用读卡终端12的第一证书对读卡请求签名值进行签名验证，并在对读卡请求签名值进行签名验证通过后，利用会话密钥对读卡请求数据密文进行解密，得到读卡请求数据；认证验证端安全芯片1302，还用于生成第一认证因子，并利用会话密钥对第一认证因子进行加密，得到第一认证因子密文，并利用认证验证端的私钥对第一认证因子密文进行签名，得到第一认证因子签名值；认证验证端网络接口1301，还用于向读卡终端12发送读卡请求响应，读卡请求响应包括：第一认证因子密文和第一认证因子签名值；读卡终端网络接口123，还用于接收读卡请求响应；读卡终端安全芯片122，还用于利用认证验证端130的证书对第一认证因子签名值进行签名验证，并在对第一认证因子签名值进行签名验证通过后，利用会话密钥对第一认证因子密文进行解密，得到第一认证因子。具体的，读卡终端安全芯片122获取第一认证因子后，认证验证端安全芯片1302可利用第一认证因子验证身份证11的合法性。
需要说明的是，传统的身份证读卡终端一般设置有RF射频模块和验证安全控制模块，读卡终端可通过RF射频模块从身份证中读取身份证数据密文，验证安全控制模块实现对身份证数据密文的解密，但是读卡终端集成有验证安全控制模块的成本非常高，对大量需要身份证读卡终端的机构(例如银行、车站)来说成本很高。
本实施例中，读卡终端并不设置有验证安全控制模块，而是在云端的云认证平台中的认证验证端设置可以对从身份证读取的密文数据实现解密的模块，任何用户均可通过有线或无线网络接入到云端的云认证平台中的认证验证端以实现对身份证的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。另外，读卡终端和认证验证端之间传输的数据都进行了安全处理，保证了读卡终端和认证验证端之间数据传输的安全。
实施例4
本实施例提供的身份证读取系统可参见图5所示的身份证读取系统。如图5所示，所述身份证读取系统包括：读卡终端12、云认证平台13中的认证端131和验证端132；为了更方便描述身份证读取系统的工作流程，如图6所示，身份证读取系统还包括身份证11，其中，读卡终端12，具有读卡终端非接触式接口121、读卡终端网络接口123和读卡终端安全芯片122；读卡终端非接触式接口121，用于接收身份证11发送的身份证基本信息；读卡终端安全芯片122，用于身份证基本信息进行安全处理，得到第一数据包；读卡终端网络接口123，用于向认证端131发送第一数据包；认证端131，具有认证端网络接口1313、认证端安全芯片1314和认证端有线通信接口1315；认证端网络接口1313，用于接收第一数据包；认证端安全芯片1314，用于对第一数据包进行安全验证，在安全验证通过后得到身份证基本信息；认证端有线通信接口1315，用于向验证端132发送身份证基本信息；验证端132，具有验证端有线通信接口1321和验证端主控芯片1322；验证端有线通信接口1321，接收身份证基本信息；验证端主控芯片1322，用于获取第一认证因子；验证端有线通信接口1321，还用于向认证端131发送第一认证因子；认证端有线通信接口1315，还用于接收第一认证因子；认证端安全芯片1314，还用于对第一认证因子进行安全处理，得到第二数据包；认证端网络接口1313，还用于向读卡终端12发送第二数据包；读卡终端网络接口123，还用于接收第二数据包；读卡终端安全芯片122，还用于对第二数据包进行安全验证，在安全验证通过得到第一认证因子；读卡终端非接触式接口121，还用于接收身份证发送的第一认证数据；读卡终端安全芯片122，还用于对第一认证数据进行安全处理，得到第三数据包；读卡终端网络接口123，还用于向认证端131发送第三数据包；认证端网络接口1313，还用于接收第三数据包，其中，第一认证数据为身份证11对第一认证因子进行处理得到；认证端安全芯片1314，还用于对第三数据包进行安全验证，在安全验证通过后，得到第一认证数据；认证端有线通信接口1315，还用于向验证端132发送第一认证数据；验证端有线通信接口1321，还用于接收认证端131发送的第一认证数据；验证端主控芯片1322，还用于对第一认证数据进行认证，并在认证通过后生成认证因子申请请求；验证端有线通信接口1321，还用于将认证因子申请请求发送至认证端131；认证端有线通信接口1315，还用于接收验证端132发送的认证因子申请请求；认证端安全芯片1314，还用于对认证因子申请请求进行安全处理，得到认证因子申请请求数据包；认证端网络接口1313，还用于向读卡终端12发送认证因子申请请求数据包；读卡终端网络接口123，还用于接收认证因子申请请求数据包；读卡终端安全芯片122，还用于对认证因子申请请求数据包进行安全验证，在安全验证通过后得到认证因子申请请求；读卡终端非接触式接口121，还用于将认证因子申请请求发送至身份证11；读卡终端非接触式接口121，还用于接收份证11发送的第二认证因子；读卡终端安全芯片122，还用于对第二认证因子进行安全处理，得到第四数据包；读卡终端网络接口123，还用于向认证端131发送第四数据包；认证端网络接口1313，还用于接收第四数据包；认证端安全芯片1314，还用于对第四数据包进行安全验证，在安全验证通过后得到第二认证因子；认证端有线通信接口1315，还用于将第二认证因子发送至验证端132；验证端有线通信接口1321，还用于接收认证端131发送的第二认证因子；验证端主控芯片1322，还用于对第二认证因子进行处理生成第二认证数据；验证端有线通信接口1321，还用于将第二认证数据发送至认证端131；认证端有线通信接口1315，还用于接收验证端132发送的第二认证数据；认证端安全芯片1314，还用于对第二认证数据进行安全处理，得到第五数据包；认证端网络接口1313，还用于向读卡终端12发送第五数据包；读卡终端网络接口123，还用于接收第五数据包；读卡终端安全芯片122，还用于对第五数据包进行安全验证，在安全验证通过后得到第二认证数据；读卡终端非接触式接口121，还用于向身份证11发送第二认证数据；读卡终端非接触式接口121，还用于接收身份证11发送的身份证数据密文；读卡终端安全芯片122，还用于对身份证数据密文进行安全处理得到第六数据包，其中，身份证数据密文为身份证11对第二认证数据进行认证，在认证通过后发送；读卡终端网络接口123，还用于向认证端131发送第六数据包；认证端网络接口1313，还用于接收第六数据包；认证端安全芯片1314，还用于对第六数据包进行安全验证，在安全验证通过后得到身份证数据密文；认证端有线通信接口1315，还用于向验证端132发送身份证数据密文；验证端有线通信接口1321，还用于接收认证端131发送的身份证数据密文；验证端主控芯片1322，还用于对身份证数据密文进行解密，得到身份证数据明文；验证端有线通信接口1321，还用于向认证端131发送身份证数据明文；认证端有线通信接口1315，还用于接收身份证数据明文；认证端安全芯片1314，还用于对身份证数据明文进行安全处理，得到第七数据包；认证验证端132网络接口，还用于向读卡终端12发送第七数据包；读卡终端网络接口123，还用于接收第七数据包；读卡终端安全芯片122，还用于对第七数据包进行安全验证，在安全验证通过后得到身份证数据明文。
本实施例提供的身份证11读取系统中的读卡终端12并不设置有验证安全控制模块，而是在云端的云认证平台13中设置验证安全控制模块，为方便描述，以下简称验证端132，任何用户均可通过有线或无线网络接入到云端的验证端132以实现对身份证11的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证11信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端12即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。
具体的，读卡终端12的结构示意图与图3所示的读卡终端12的结构示意图相同，读卡终端12具有读卡终端非接触式接口121、读卡终端安全芯片122和读卡终端网络接口123。认证端131的结构示意图与图7所示的认证端131的结构示意图相同，认证端131具有认证端网络接口1313、认证端安全芯片1314和认证端有线通信接口1315。如图8所示的验证端132的结构示意图，验证端132具有验证端有线通信接口1321和验证端主控芯片1322。
在本实施例中，读卡终端12可以是读卡器，也可以是具有读卡功能的其它终端(例如集成有读卡功能的手机、集成有读卡功能的USBKEY等)。
在本实施例中，身份证基本信息可以是身份证11的序列号、用于指示身份证11中设置的应用的相关信息的应用数据、传输协议(例如，传输协议类型、比特数率、最大帧长度)等，读卡终端12可以直接识别该身份证基本信息，不需要公安部授权的安全控制模块进行解密。
在本实施例中，对身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端12的会话密钥对身份证基本信息进行加密，得到第一密文，以及利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值，第一数据包包括第一密文和第一签名值。具体的，读卡终端非接触式接口121接收到身份证11发送的身份证基本信息后，读卡终端安全芯片122利用读卡终端12的会话密钥对身份证基本信息进行加密，得到第一密文，并利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值；读卡终端网络接口123将包括第一密文和第一签名值的第一数据包发送至认证端131。通过对身份证基本信息进行加密，可以保证身份证基本信息在网络传输中的安全性，通过对第一密文进行签名，可以防止非法分子篡改第一密文。
在本实施例中，读卡终端12的会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者也可以为一串随机数和随机字符的任意组合。读卡终端12的会话密钥用于对读卡终端12向认证端131发送的数据进行加密，以及用于对认证端131向读卡终端12发送的加密数据进行解密。
在本实施例中，读卡终端安全芯片122利用读卡终端12的第一私钥对第一密文进行签名，得到第一签名值的具体实施方式为：读卡终端安全芯片122利用HASH算法计算第一密文得到第一密文的摘要，并利用读卡终端12的第一私钥对第一密文的摘要进行加密，得到第一签名值。通过对第一密文进行签名可以防止非法分子篡改第一密文。需要说明的是，本实施例中的签名过程均可参见该实施方式，下面涉及到签名的过程将不再具体赘述。
在本实施例中，读卡终端网络接口123可直接通过有线网络或无线网络向认证端131发送第一数据包或者读卡终端网络接口123将第一数据包发送至上位机(例如手机、PAD(平板电脑)或PC等)，上位机再通过有线网络或无线网络向认证端131发送第一数据包。可选的，读卡终端网络接口123可通过有线方式(例如，USB接口等)或无线方式(例如，WiFi，蓝牙等)与上位机实现通信连接。
在本实施例中，对第一数据包进行安全验证，包括：利用读卡终端12的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证验证端132的会话密钥对第一密文进行解密。具体的，认证端网络接口1313接收第一数据包后，认证端安全芯片1314利用读卡终端12的第一证书对第一签名值进行签名验证，并在对第一签名值进行签名验证通过后，利用认证端131的会话密钥对第一密文进行解密，得到身份证基本信息。通过对第一签名值进行签名验证，可以验证第一密文是否被非法分子篡改。
在本实施例中，认证端131的会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者也可以为一串随机数和随机字符的任意组合。认证端131的会话密钥与读卡终端12的会话密钥为一对对称密钥，认证端131的会话密钥用于对认证端131向读卡终端12发送的数据进行加密，以及用于对读卡终端12向认证端131发送的加密数据进行解密。
在本实施例中，在本实施例中，读卡终端12的第一证书至少包括读卡终端12的第一公钥，读卡终端12的第一公钥与读卡终端12的第一私钥是一对非对称密钥。
在本实施例中，认证端安全芯片1314利用读卡终端12的第一证书对第一签名值进行签名验证的具体实施方式为：认证端131利用读卡终端12的第一证书的公钥对接收到第一签名值进行解密，得到第一密文的摘要，并利用HASH算法对接收到的第一密文进行计算得到第一密文的摘要，并比对解密得到的第一密文的摘要与计算得到的第一密文的摘要是否相同，如果相同，则对第一签名值进行签名验证通过。当然，签名验证的过程并不一定由认证端安全芯片1314执行，也可能由云认证平台13中的其它装置(例如云认证平台13中的调度装置133)执行，例如，读卡终端12向调度装置133发送第一数据包，调度装置133执行对第一签名值的签名验证，在对第一签名值的签名验证通过后，调度装置133将第一密文发送给认证端网络接口1313，由认证端安全芯片1314执行对第一密文的解密，又如，认证端安全芯片1314将第一签名值发送给云认证平台13中的其他装置(例如调度装置133)，由该其他装置执行对第一签名值的签名验证，在对第一签名值的签名验证通过后，该其他装置将签名验证结果发送给认证端网络接口1313，由认证端安全芯片1314执行对第一密文的解密，具体的本实施例不做限定。本实施例中的签名验证的过程均可参见该实施方式，下面涉及到签名验证的过程将不再具体赘述，同样，下面涉及到认证端131执行签名验证的过程也均可由云认证平台13中的调度装置133执行。
在本实施例中，认证端安全芯片1314解密得到身份证基本信息后，认证端有线通信接口1315将身份证基本信息发送至验证端132，验证端有线通信接口1321接收到身份证基本信息后，验证端主控芯片1322获取第一认证因子，验证端主控芯片1322获取的第一认证因子可用来验证身份证11的合法性。
在本实施例中，对第一认证因子进行安全处理，得到第二数据包，包括：利用认证端131的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证端131的私钥对第二密文进行签名，得到第二签名值，第二数据包包括第二密文和第二签名值。具体的，认证端有线通信接口1315接收第一认证因子后，认证端安全芯片1314利用认证端131的会话密钥对第一认证因子进行加密，得到第二密文，以及利用认证端131的私钥对第二密文进行签名，得到第二签名值，认证端网络接口1313将包括第二密文和第二签名值的第二数据包发送至读卡终端12。通过对第一认证因子进行加密，可以保证第一认证因子在网络传输中的安全，另外，通过对第二密文进行签名，可以防止非法分子篡改第二密文。
在本实施例中，如果读卡终端12具有联网功能，认证端网络接口1313可以直接通过有线网络或无线网络向读卡终端12发送第二数据包；如果读卡终端12不具有联网功能，认证端网络接口1313可以通过有线网络或无线网络向上位机发送第二数据包，上位机再将第二数据包传输至读卡终端12。以下涉及到认证端131向读卡终端12传输数据时将不再赘述具体传输方式。
作为本实施例的一种可选实施方式，认证端网络接口1313并不是直接将第二数据包发送至读卡终端12，而是先将第二数据包发送至调度装置133，由调度装置133将第二数据包转发至读卡终端12。同样，以下涉及到认证端网络接口1313向读卡终端12传输数据时，认证端网络接口1313均可先将数据发送至调度装置133，再由调度装置133将数据转发至读卡终端12。
在本实施例中，对第二数据包进行安全验证，包括：利用认证端131的证书对第二签名值进行签名验证，并在对第二签名值进行签名验证通过后，利用读卡终端12的会话密钥对第二密文进行解密。具体的，读卡终端网络接口123接收第二数据包后，读卡终端安全芯片122利用认证端131的证书中的公钥对第二签名值进行签名验证，并在对第二签名值进行签名验证通过后，利用读卡终端12的会话密钥对第二密文进行解密，得到第一认证因子。其中，认证端131的证书至少包括认证端131的公钥。通过对第二签名值进行签名验证，可以验证第二密文是否被非法分子篡改。
在本实施例中，身份证通过公安部预置的算法对第一认证因子进行处理得到第一认证数据，例如，身份证可以利用身份证的安全密钥对第一认证因子进行加密得到第一认证数据；或者身份证可以利用身份证11的安全密钥对第一认证因子进行MAC(MessageAuthentication Code，消息认证码)计算得到MAC值，并将该MAC值作为第一认证数据。其中，身份证11的安全密钥是预先内置在合法的身份证11中的，只有合法的身份证11才具有该安全密钥。
在本实施例中，对第一认证数据进行安全处理包括：利用读卡终端12的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端12的第一私钥对第三密文进行签名，得到第三签名值，第三数据包包括第三密文和第三签名值。具体的，读卡终端非接触式接口121接收身份证11发送的第一认证数据后，读卡终端安全芯片122利用读卡终端12的会话密钥对第一认证数据进行加密，得到第三密文，以及利用读卡终端12的第一私钥对第三密文进行签名，得到第三签名值；读卡终端网络接口123将包括第三密文和第三签名值的第三数据包发送至认证端131。通过对第一认证数据进行加密，可以保证第一认证数据在网络传输中的安全性，通过对第三密文进行签名，可以防止第三密文被非法分子篡改。
在本实施例中，对第三数据包进行安全验证，包括：利用读卡终端12的第一证书对第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证端131的会话密钥对第三密文进行解密。具体的，认证端网络接口1313接收第三数据包后，认证端安全芯片1314利用读卡终端12的第一证书中的第一公钥对第三签名值进行签名验证，并在对第三签名值进行签名验证通过后，利用认证端131的会话密钥对第三密文进行解密，得到第一认证数据。通过对第三签名值进行签名验证，可以验证第三密文是否被非法分子篡改。
在本实施例中，身份证11制作过程中内置安全密钥，在验证端主控芯片1322中可以存储与身份证11的安全密钥相同的验证端132的安全密钥，当然，验证端主控芯片1322也可使用相同的预设算法对预设信息进行计算得到验证端132的安全密钥。验证端132的安全密钥是与身份证基本信息对应的。
在本实施例中，验证端主控芯片1322通过公安部预置的算法对第一认证数据进行认证，例如，验证端主控芯片1322可以利用验证端132的安全密钥对接收到的第一认证数据进行解密，得到认证因子，并比较解密得到的认证因子与自身生成的第一认证因子是否相同，如果相同，则对第一认证数据进行验证通过。当然，验证端主控芯片1322也可以利用验证端132的安全密钥对自身生成的第一认证因子进行加密得到认证数据，并比较加密得到的认证数据与接收到的第一认证数据是否相同，如果相同，则对第一认证数据进行验证通过。或者，验证端主控芯片1322利用验证端132的安全密钥对自身生成的第一认证因子进行MAC计算得到MAC值，并比较该计算得到的MAC值与第一认证数据是否相同，如果相同，则对第一认证数据进行验证通过。如果验证端132对第一认证数据进行验证通过，则该身份证11是合法的身份证11，验证端132通过对第一认证数据进行验证确认了身份证11的合法性。
在本实施例中，验证端主控芯片1322在对第一认证数据进行认证通过后，生成认证因子申请请求，该认证因子申请请求用于请求身份证11生成第二认证因子以便身份证11验证验证端132的合法性。
在本实施例中，对认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用认证端131的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证端131的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值，认证因子申请请求数据包包括认证因子申请请求密文和认证因子申请请求签名值。具体的，认证端有线通信接口1315接收认证因子申请请求后，认证端安全芯片1314利用认证端131的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用认证端131的私钥对认证因子申请请求密文进行签名，得到认证因子申请请求签名值；认证端网络接口1313将包括认证因子申请请求密文和认证因子申请请求签名值的认证因子申请请求数据包发送至读卡终端12。通过对认证因子申请请求加密可以保证认证因子申请请求在网络传输中的安全，通过对认证因子申请请求密文进行签名可以防止非法分子篡改认证因子申请请求密文。
在本实施例中，对认证因子申请请求数据包进行安全验证，包括：利用认证端131的证书对认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端12的会话密钥对认证因子申请请求密文进行解密。读卡终端网络接口123接收认证因子申请请求数据包后，读卡终端安全芯片122利用认证端131的证书中的公钥对认证因子申请请求数据包中的认证因子申请请求签名值进行签名验证，并在对认证因子申请请求签名值进行签名验证通过后，利用读卡终端12的会话密钥对认证因子申请请求密文进行解密，得到认证因子申请请求。通过对认证因子申请请求签名值进行签名验证，可以验证认证因子申请请求密文是否被非法分子篡改。
在本实施例中，读卡终端安全芯片122得到认证因子申请请求后，读卡终端非接触式接口121将认证因子申请请求发送至身份证11。身份证获取认证因子申请请求后，生成第二认证因子并将第二认证因子发送至读卡终端12。读卡终端非接触式接口121接收身份证11发送的第二认证因子，读卡终端12获取第二认证因子。该第二认证因子可以用来验证验证端132的合法性。
在本实施例中，对第二认证因子进行安全处理，得到第四数据包，包括：利用读卡终端12的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端12的第一私钥对第四密文进行签名，得到第四签名值，第四数据包包括第四密文和第四签名值。具体的，读卡终端非接触式接口121接收身份证11发送的第二认证因子，读卡终端安全芯片122利用读卡终端12的会话密钥对第二认证因子进行加密，得到第四密文，以及利用读卡终端12的第一私钥对第四密文进行签名，得到第四签名值；读卡终端网络接口123将包括第四密文和第四签名值的第四数据包发送至认证端131。通过对第二认证因子进行加密，可以保证第二认证因子在网络传输中的安全性，通过对第四密文进行签名，可以防止第四密文被非法分子篡改。
在本实施例中，对第四数据包进行安全验证，包括：利用读卡终端12的第一证书对第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证端131的会话密钥对第四密文进行解密。具体的，认证端网络接口1313接收第四数据包后，认证端安全芯片1314利用读卡终端12的第一证书中的第一公钥对第四数据包中的第四签名值进行签名验证，并在对第四签名值进行签名验证通过后，利用认证端131的会话密钥对第四密文进行解密，得到第二认证因子。通过对第四签名值进行签名验证，可以验证第四密文是否被非法分子篡改。
在本实施例中，验证端有线通信接口1321接收第二认证因子后，验证端主控芯片1322通过公安部预置的算法对第二认证因子进行处理生成第二认证数据，例如，验证端主控芯片1322利用安全密钥对第二认证因子进行加密后生成第二认证数据；或者验证端主控芯片1322利用验证端132的安全密钥对第二认证因子进行MAC计算得到MAC值，并将该MAC值作为第二认证数据。其中，验证端132的安全密钥可以是预先内置在合法的验证端132中的，只有合法的验证端132才具有该安全密钥。当然，验证端132的安全密钥也可以是验证端主控芯片1322利用预设算法对预设信息计算得到的，只有合法的验证端132才能计算得到该安全密钥。
在本实施例中，对第二认证数据进行安全处理，得到第五数据包，包括：利用认证端131的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证端131的私钥对第五密文进行签名，得到第五签名值，第五数据包包括第五密文和第五签名值。具体的，认证端有线通信接口1315接收第二认证数据后，认证端131安全主芯片利用认证端131的会话密钥对第二认证数据进行加密，得到第五密文，以及利用认证端131的私钥对第五密文进行签名，得到第五签名值；认证端网络接口1313将包括第五密文和第五签名值的第五数据包发送至读卡终端12。通过对第二认证数据进行加密，可以保证第二认证数据在网络传输中的安全，另外，通过对第五密文进行签名，可以防止非法分子篡改第五密文。
在本实施例中，对第五数据包进行安全验证，包括：利用认证端131的证书对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端12的会话密钥对第五密文进行解密。具体的，读卡终端网络接口123接收第五数据包后，读卡终端安全芯片122利用认证端131的证书中的公钥对第五签名值进行签名验证，并在对第五签名值进行签名验证通过后，利用读卡终端12的会话密钥对第五密文进行解密，得到第二认证数据。通过对第五签名值进行签名验证，可以验证第五密文是否被非法分子篡改。
在本实施例中，读卡终端安全芯片122解密得到第二认证数据后，读卡终端非接触式接口121向身份证11发送第二认证数据。身份证接收第二认证数据并对第二认证数据进行认证，具体的，身份证通过公安部预设的算法对第二认证数据进行认证，例如，身份证可以利用身份证11的安全密钥对应的解密密钥对接收到的第二认证数据进行解密，得到认证因子，并比较解密得到的认证因子与自身生成的第二认证因子是否相同，如果相同，则对第二认证数据进行验证通过。当然，身份证也可以利用身份证11的安全密钥对自身生成的第二认证因子进行加密得到认证数据，并比较加密得到的认证数据与接收到的第二认证数据是否相同，如果相同，则对第二认证数据进行验证通过。或者，身份证利用身份证11的安全密钥对自身生成的第二认证因子进行MAC计算得到MAC值，并比较该计算得到的MAC值与第二认证数据是否相同，如果相同，则对第二认证数据进行验证通过。身份证对第二认证数据进行验证通过，说明验证端132是合法的验证端132，身份证通过对第二认证数据进行验证确认了验证端132的合法性。
在本实施例中，通过第一认证因子确认了身份证11的合法性，通过第二认证因子确认了验证端132的合法性。双向认证通过后，身份证非接触式接口112才向读卡终端12发送身份证数据密文，其中，身份证数据密文一般是居民身份证11号、姓名、照片、年龄、住址、卡片使用年限和/或指纹等数据的密文。
在本实施例中，对身份证数据密文进行安全处理得到第六数据包，包括：利用读卡终端12的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端12的第一私钥对第六密文进行签名，得到第六签名值，第六数据包包括第六密文和第六签名值。具体的，身份证对第二次认证数据进行认证通过后，读卡终端非接触式接口121接收身份证11发送的身份证数据密文，读卡终端安全芯片122利用读卡终端12的会话密钥对身份证数据密文进行加密，得到第六密文，以及利用读卡终端12的第一私钥对第六密文进行签名，得到第六签名值，读卡终端网络接口123将包括第六密文和第六签名值的第六数据包发送至认证端131。通过对身份证数据密文进行加密，可以保证身份证数据密文在传输过程中的安全性，另外，对第六密文进行签名，可以防止非法分子篡改第六密文。
在本实施例中，身份证数据密文所包括的信息可以通过一个数据包一次发送给认证端131，当然，身份证数据密文所包括的信息也可以通过多个数据包分多次发送给认证端131。
在本实施例中，对第六数据包进行安全验证，包括：利用读卡终端12的第一证书对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证端131的会话密钥对第六密文进行解密。具体的，认证端网络接口1313接收第六数据包后，认证端安全芯片1314利用读卡终端12第一证书中的第一公钥对第六签名值进行签名验证，并在对第六签名值进行签名验证通过后，利用认证端131的会话密钥对第六密文进行解密，得到身份证数据密文。通过对第六签名值进行签名验证，可以验证第六密文是否被非法分子篡改。
在本实施例中，认证端安全芯片1314解密得到身份证数据密文后，认证端有线通信接口1315将身份证数据密文发送至验证端132；验证端主控芯片1322利用验证端132中设置的可以对从身份证11中读取的密文数据进行解密的模块对身份证数据密文进行解密，得到身份证数据明文；验证端有线通信接口1321将身份证数据明文发送至认证端131。
在本实施例中，对身份证数据明文进行安全处理，得到第七数据包，包括：利用认证端131的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证端131的私钥对第七密文进行签名，得到第七签名值，第七数据包包括第七密文和第七签名值。具体的，认证端有线通信接口1315接收到验证端132发送的身份证数据明文后，认证端安全芯片1314利用认证端131的会话密钥对身份证数据明文进行加密，得到第七密文，以及利用认证端131的私钥对第七密文进行签名，得到第七签名值，认证端网络接口1313将包括第七密文和第七签名值的第七数据包发送至读卡终端12。通过对身份证数据明文进行加密，可以保证身份证数据明文在网络传输中的安全性，另外，通过对第七密文进行签名，可以防止非法分子篡改第七密文。
在本实施例中，对第七数据包进行安全验证，包括：利用认证端131的证书对第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端12的会话密钥对第七密文进行解密。具体的，读卡终端网络接口123接收到认证端131发送的第七数据包后，读卡终端安全芯片122利用认证端131的证书中的公钥对第七数据包中的第七签名值进行签名验证，并在对第七签名值进行签名验证通过后，利用读卡终端12的会话密钥对第七密文进行解密，得到身份证数据明文。通过对第七签名值进行签名验证，可以验证第七密文是否被非法分子篡改。
在本实施例中，身份证数据明文一般是居民身份证11号、姓名、照片、年龄、住址、卡片使用年限、指纹等数据的明文。作为本实施例的一种可选实施方式，读卡终端安全芯片122解密得到身份证数据明文后，可直接通过读卡终端12显示身份证数据明文。当然，读卡终端12也可将身份证数据明文发送至上位机，由上位机显示身份证数据明文。可选的，身份证数据密文所包括的信息可以通过一个数据包通过一次发送给认证端131，当然，身份证数据密文所包括的信息也可以通过多个数据包分多次发送给认证端131。
身份证11和云认证平台13中的验证端132通过第一认证因子和第二认证因子的交互完成了双向认证，验证端主控芯片1322解密得到身份证数据明文后，验证端有线通信接口1321将身份证数据明文发送给认证端131，认证端安全芯片1314将身份证数据明文加密、签名后，认证端网络接口1313再将加密、签名的身份证数据明文发送给读卡终端12，读卡终端安全芯片122验签、解密得到身份证数据明文，完成身份证11的读取。为了更好的理解身份证11读取的完整流程，在执行上述流程之前，身份证11和认证端131、验证端132还会执行寻卡、选卡过程，其中寻卡过程用于实现寻找可以进行通信的身份证11，选卡过程用于在寻找到的身份证11中确定与哪个身份证11进行通信。下文对寻卡过程和选卡过程进行描述：
作为本实施例的一种可选实施方式，读卡终端非接触式接口121接收身份证11发送的身份证基本信息之前，还包括寻卡流程，具体的寻卡流程包括以下两种方式之一：
方式一：
读卡终端安全芯片122，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端12的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口123，还用于向认证端131发送寻卡请求，寻卡请求包括寻卡请求数据密文、寻卡请求签名值、读卡终端12的第一证书和读卡终端12的第二证书；认证端网络接口1313，还用于接收寻卡请求；认证端安全芯片1314，还用于利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用认证解密密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；认证端有线通信接口1315，还用于向验证端132发送寻卡请求数据；验证端有线通信接口1321，还用于接收寻卡请求数据，向认证端131发送寻卡请求响应数据；认证端有线通信接口1315，还用于接收寻卡请求响应数据；认证端安全芯片1314，还用于并生成会话密钥，并利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用读卡终端12的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证端131的私钥对寻卡请求响应数据密文和会话密钥密文进行签名，得到寻卡请求响应签名值；认证端网络接口1313，还用于向读卡终端12发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文、会话密钥密文、寻卡请求响应签名值和认证端131的证书，其中认证端安全芯片1314采用生成的会话密钥作为认证验证端132的会话密钥；读卡终端网络接口123，还用于接收寻卡请求响应；读卡终端安全芯片122，还用于利用认证端131的证书对寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值进行验签通过后，利用读卡终端12的第二私钥对会话密钥密文进行解密，得到会话密钥，并利用会话密钥对寻卡请求响应数据密文进行解密，得到寻卡请求响应数据，其中读卡终端安全芯片122采用对会话密钥密文解密得到的会话密钥作为读卡终端12的会话密钥。
具体的：读卡终端非接触式接口121通过其RF射频模块每间隔一段时间向外发送寻卡指令；身份证11接收寻卡指令，并向读卡终端12发送寻卡确认数据；读卡终端非接触式接口121接收寻卡确认数据；读卡终端网络接口123向认证端131发送寻卡请求。其中，寻卡请求中的寻卡请求数据密文是读卡终端安全芯片122在收到身份证非接触式接口112发送的寻卡确认数据后，利用认证加密密钥对寻卡请求数据进行加密生成的。利用认证加密密钥对寻卡请求数据加密后传输至认证端131可以保证寻卡请求数据在网络传输中的安全。寻卡请求中的读卡终端12的第一证书至少包括读卡终端12的第一公钥，读卡终端12的第二证书至少包括读卡终端12的第二公钥，读卡终端12的第一证书中的第一公钥与第二证书中的第二公钥可以相同，也可以不同，本实施例不做限定，读卡终端12的第一私钥与读卡终端12的第一公钥是一对非对称密钥对，用于对读卡终端12向认证端131传输的数据进行签名和验签，读卡终端12的第二公钥与读卡终端12的第二私钥是一对非对称密钥对，用于对会话密钥进行加解密运算。
其中，认证解密密钥与认证加密密钥为相同的密钥，即对称密钥，预先内置在认证端安全芯片1314和读卡终端安全芯片122中，读卡终端安全芯片122利用该对称密钥对读卡终端网络接口123首次发送给认证端131的数据进行加密，认证端安全芯片1314利用该对称密钥对认证端网络接口1313首次接收到读卡终端12发送的数据进行解密，保证读卡终端12与认证端131首次传输数据的安全性。可选的，认证加密密钥和认证解密密钥保存在密钥数据库中，认证端131可以从密钥数据库中读取该认证解密密钥，并保存在认证端131本地。读卡终端12也可以从密钥数据库中读取该认证加密密钥，并保存在读卡终端12本地。
可选的，认证端网络接口1313接收到寻卡请求后，认证端安全芯片1314利用根证书对接收到的读卡终端12的第一证书和读卡终端12的第二证书进行验证，以防止非法分子篡改读卡终端12第一证书中的第一公钥和读卡终端12第二证书中的第二公钥，实现对读卡终端12的安全认证，提高双方交互的安全性。
另外，认证端安全芯片1314解密得到寻卡请求数据后，认证端有线通信接口13155向云认证平台13的验证端132发送寻卡请求数据；验证端有线通信接口1321接收寻卡请求数据，验证端主控芯片1322生成寻卡请求响应数据，验证端有线通信接口1321向认证端131发送寻卡请求响应数据。认证端有线通信接口13155接收寻卡请求响应数据，认证端安全芯片1314并生成会话密钥，认证端安全芯片1314采用生成的会话密钥作为认证端131的会话密钥，其中，认证端131的会话密钥可以为一个或一串随机数，或者可以为一个或一串随机字符，或者一串随机数和随机字符的任意组合。利用会话密钥对寻卡请求响应数据进行加密，保证了寻卡请求响应数据的在网络传输中的安全性。另外，会话密钥作为随机产生的密钥，不易被非法分子窃取。本实施例中，除读卡终端12与认证端131首次传输的数据使用认证加密密钥进行加密之外，后续读卡终端12与认证端131进行传输的数据可以通过会话密钥进行加密，以避免认证加密密密钥被破解导致数据传输安全性降低。由于会话密钥采用随机数的形式，每次传输的数据采用的随机数均不同，进一步可以提高读卡终端12和认证端131之间数据传输的安全性。
另外，认证端安全芯片1314利用读卡终端12的第二证书中的公钥对会话密钥进行加密，得到会话密钥密文，保证了会话密钥在网络传输中的安全性。认证端安全芯片1314利用自身存储的私钥对寻卡请求响应密文和会话密钥进行签名，可以防止非法分子篡改寻卡请求响应密文和会话密钥。
另外，认证端131的证书中包括认证端131的公钥，认证端131的私钥与认证端131的公钥是一对非对称密钥对，用于对从认证端网络接口1313向读卡终端12中传输的数据进行签名和验签。可选的，读卡终端网络接口123接收到寻卡请求响应后，读卡终端安全芯片122利用根证书对接收到的认证端131的证书进行验证，以防止非法分子篡改认证端131的证书中的公钥，实现对认证端131的安全认证，提高双方交互的安全性。
作为一种可选的方式，寻卡请求数据还包括时间戳和/或单次认证数据，寻卡请求中还包括读卡终端12的标识。其中，单次认证标识包括读卡终端安全芯片122中的计数器产生的计数值和/或随机因子。当单次认证标识为计数器产生的计数值时，读卡终端安全芯片122每执行一次身份证11信息读取操作，计数器会产生一个计数值，用于对发送出的第一数据包进行计数，例如，读卡终端12读取身份证A时，计数器产生计数值1，下次读取身份证B时，计数器产生计数值2，以此类推，当然具体的计数值形式不限于此。当单次认证标识为随机因子时，随机因子可以为一个或一串随机数，或者可以为一个或一串随机字符，或者一串随机数和随机字符的任意组合。读卡终端12的标识可以为读卡终端12的序列号，当然，读卡终端12的标识只要是可以唯一表示读卡终端12的标识即可，并不局限于读卡终端12的序列号。
另外，如图10所示的一种身份证读取系统，云认证平台13中除了包括认证端131和验证端132之外，还包括调度装置133。
可选的，读卡终端网络接口123并不是直接将寻卡请求发送至云认证平台13中的认证端131，而是先将寻卡请求发送给调度装置133，调度装置133判断寻卡请求中的读卡终端12的标志是否在黑名单内，如果在黑名单内，则结束身份证读取流程；否则，调度装置133根据各个认证端131的处理能力，决定将寻卡请求发送到哪个认证端131进行处理，调度装置133再将寻卡请求发送给认证端131。通过调度装置133对第一数据包进行分流处理，可以防止单点故障。
可选的，读卡终端网络接口123将寻卡请求发送给调度装置133，调度装置133选中认证端131后，将选中的认证端131的端口号发送给读卡终端12。具体的，有以下实施方式：方式一：调度装置133选中认证端131的端口号后，直接将端口号发送给读卡终端12；方式二：调度装置133将端口号携带在寻卡请求响应中发送给读卡终端12；方式三：调度装置133将端口号携带在寻卡请求中发送至认证端131，认证端网络接口1313再将端口号携带在寻卡请求响应中直接发送给读卡终端12。
作为本实施例的一种可选实施方式，读卡终端网络接口123向云认证平台13发送数据时，除了读卡终端网络接口123第一次向云认证平台13发送数据时需要由调度装置133分配认证端131，后续向云认证平台13发送的数据均可直接发送至端口号对应的认证端131。当然，后续向云认证平台13发送的数据也可通过调度装置133做相应处理(例如签名验证、转发)后发送至认证端131，本实施例不做具体限定。
可选的，认证端网络接口1313可以直接将寻卡请求响应发送至读卡终端12；也可将寻卡请求响应发送至调度装置133后，调度装置133再将寻卡请求响应发送至读卡终端12。
可选的，调度装置133接收到寻卡请求并判断读卡终端12的标识不在黑名单后，利用根证书对接收到的读卡终端12的第一证书和读卡终端12的第二证书进行验证，并在验证通过后，调度装置133利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，将寻卡请求中的寻卡请求数据密文和读卡终端12的第二证书发送至认证端131。
可选的，当调度装置133已经对寻卡请求签名值进行验签后，认证端网络接口1313只接收到调度装置133发送的寻卡请求数据密文和读卡终端12的第二证书时，认证端安全芯片1314只利用认证解密密钥对寻卡请求数据密文进行解密以得到寻卡请求数据。
可选的，当认证端安全芯片1314是利用读卡终端12的第二证书对会话密钥和单次认证标识进行加密，生成会话密钥密文时，认证端安全芯片1314利用读卡终端12的第二私钥对会话密文进行解密后，得到会话密钥和单次认证标识，认证端安全芯片1314可根据单次认证标识判断是对哪一次寻卡请求的响应。
可选的，在寻卡流程之前，读卡终端12和认证端131可以协商会话密钥以进一步保证寻卡请求数据传输的安全，具体协商会话密钥的过程为：读卡终端安全芯片122，还用于利用认证加密密钥对会话密钥请求数据进行加密，得到会话密钥请求数据密文，并利用读卡终端12的第一私钥对会话密钥请求数据密文进行签名，得到会话密钥请求签名值；读卡终端网络接口123，还用于向认证端131发送会话密钥请求，会话密钥请求包括会话密钥请求数据密文、会话密钥请求签名值、读卡终端12的第一证书和读卡终端12的第二证书；认证端网络接口1313，还用于接收会话密钥请求；认证端安全芯片1314，还用于利用读卡终端12的第一证书对会话密钥请求签名值进行签名验证，并在对会话密钥请求签名值进行签名验证通过后，利用认证解密密钥对会话密钥请求数据密文进行解密，得到会话密钥请求数据；认证端安全芯片1314，还用于生成会话密钥，并利用读卡终端12的第二证书对会话密钥进行加密，得到会话密钥密文，并利用认证端131的私钥对会话密钥密文进行签名，得到会话密钥密文签名值；认证端网络接口1313，还用于向读卡终端12发送会话密钥请求响应，会话密钥请求响应包括：会话密钥密文、会话密钥密文签名值和认证端131的证书；读卡终端网络接口123，还用于接收会话密钥请求响应；读卡终端安全芯片122，还用于利用认证端131的证书对会话密钥密文签名值进行验签，并在对会话密钥密文签名值进行验签通过后，利用读卡终端12的第二私钥对会话密钥密文进行解密，得到会话密钥。
作为本实施例的一种可选实施方式，在读卡终端安全芯片122利用会话密钥对身份证基本信息进行加密之前，可通过以下方式协商会话密钥：读卡终端安全芯片122，还用于获取第一随机数，并利用读卡终端12的第一私钥对第一随机数进行签名，得到第一随机数签名值；读卡终端网络接口123，还用于向认证端131发送第一随机数、第一随机数签名值和读卡终端12的第一证书；
认证端网络接口1313，还用于接收第一随机数、第一随机数签名值和读卡终端12的第一证书；认证端安全芯片1314，还用于利用根证书对读卡终端12的第一证书进行签名验证，并在验证通过后，利用读卡终端12的第一证书对第一随机数签名值进行签名验证，并在对第一随机数签名值进行签名验证通过后，生成第二随机数，根据第一随机数和第二随机数生成认证端131的会话密钥，并利用读卡终端12的第一证书对第一随机数和第二随机数进行加密，得到第八密文，以及利用认证端131的私钥对第八密文进行签名，得到第八签名值；认证端网络接口1313，还用于向读卡终端12发送第八数据包，第八数据包包括：第八密文、第八签名值和认证端131的证书；
认证端131的网络接口，还用于接收第八数据包；读卡终端安全芯片122，还用于利用认证端131的证书对第八签名值进行签名验证，并在对第八签名值进行签名验证通过后，利用读卡终端12的第一私钥对第八密文进行解密，得到第一随机数和第二随机数，并对第一随机数进行验证，验证通过后，根据第一随机数和第二随机数生成读卡终端12的会话密钥。
可选的，协商好会话密钥后，读卡终端安全芯片122和认证端安全芯片1314可以直接利用读卡终端12的会话密钥和认证验证端132的会话密钥对寻卡请求数据和寻卡请求响应数据进行加解密，后续寻卡流程为：读卡终端安全芯片122，还用于利用会话密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端12的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；读卡终端网络接口123，还用于向认证端131发送寻卡请求，寻卡请求包括寻卡请求数据密文和寻卡请求签名值；认证端网络接口1313，还用于接收寻卡请求；认证端安全芯片1314，还用于利用读卡终端12的第一证书对寻卡请求签名值进行签名验证，并在对寻卡请求签名值进行签名验证通过后，利用会话密钥对寻卡请求数据密文进行解密，得到寻卡请求数据；认证端有线通信接口1315，还用于向验证端132发送寻卡请求数据。验证端有线通信接口1321，还用于接收寻卡请求数据；验证端主控芯片1322，还用于生成寻卡请求响应数据；验证端有线通信接口1321，还用于向认证端131发送寻卡请求响应数据；认证端有线通信接口1315，还用于接收寻卡请求响应数据；认证端安全芯片1314，还用于利用会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用认证端131的私钥对寻卡请求响应数据密文进行签名，得到寻卡请求响应签名值；认证端网络接口1313，还用于向读卡终端12发送寻卡请求响应，寻卡请求响应包括：寻卡请求响应数据密文和寻卡请求响应签名值；读卡终端安全芯片122，还用于利用认证端131的证书对接收的寻卡请求响应签名值进行验签，并在对寻卡请求响应签名值验签通过后，利用会话密钥对接收到的寻卡请求响应数据密文进行解密，得到寻卡请求响应数据。
完成了寻卡流程后，还包括选卡流程，通过选卡流程验证端132可以确认是对哪一张身份证进行的读取操作。在选卡流程中：
读卡终端非接触式接口121，还用于向身份证11发送选卡指令；读卡终端非接触式接口121，还用于接收身份证11发送的选卡确认数据，其中选卡确认数据至少包括身份证11的序列号；读卡终端安全芯片122，还用于利用会话密钥对选卡请求数据进行加密，得到选卡请求数据密文，利用读卡终端12的第一私钥对选卡请求数据密文进行签名，得到选卡请求签名值；读卡终端网络接口123，还用于向认证端131发送选卡请求，选卡请求包括选卡请求数据密文和选卡请求签名值；认证端网络接口1313，还用于接收选卡请求，并利用读卡终端12的第一证书对选卡请求签名值进行签名验证，并在对选卡请求签名值进行签名验证通过后，利用会话密钥对选卡请求数据密文进行解密，得到选卡请求数据；认证端有线通信接口1315，还用于向验证端132发送选卡请求数据；验证端有线通信接口1321，还用于接收选卡请求数据；验证端主控芯片1322生成选卡请求响应数据；验证端有线通信接口1321，还用于向认证端131发送选卡请求响应数据；认证端有线通信接口1315，还用于接收选卡请求响应数据；认证端安全芯片1314，还用于利用会话密钥对选卡请求响应数据进行加密，得到选卡请求响应数据密文，并利用认证端131的私钥对选卡请求响应数据密文进行签名，得到选卡请求响应签名值；认证端网络接口1313，还用于向读卡终端12发送选卡请求响应，选卡请求响应包括：选卡请求响应数据密文和选卡请求响应签名值；读卡终端安全芯片122，还用于利用认证端131的证书对接收的选卡请求响应签名值进行验签，并在对选卡请求响应签名值验签通过后，利用会话密钥对接收到的选卡请求响应数据密文进行解密，得到选卡请求响应数据；读卡终端安全芯片122，还用于在得到选卡请求响应数据后，利用会话密钥对选卡确认数据进行加密得到选卡确认数据密文，并利用读卡终端12的第一私钥对选卡确认数据密文进行签名，得到选卡确认数据签名值；读卡终端网络接口123，还用于向认证端131发送选卡确认数据密文和选卡确认数据签名值；认证端网络接口1313，还用于接收选卡确认数据密文和选卡确认数据签名值；认证端安全芯片1314，还用于利用读卡终端12的第一证书对选卡数据签名值进行签名验证，并在对选卡数据签名值进行签名验证通过后，利用会话密钥对选卡确认数据密文进行解密，得到选卡确认数据。
具体的，一个身份证11具有一个安全密钥，不同的身份证11，对应的安全密钥也不相同，验证端主控芯片1322中存储有多个身份证11的安全密钥，验证端主控芯片1322得到的选卡确认数据中包括身份证11的序列号，验证端主控芯片1322获得身份证11的序列号后，可根据身份证11的序列号查找该身份证11对应的安全密钥，以便后续使用该安全密钥实现身份证11与验证端132的双向认证。
选卡流程之后，读卡终端12还用于接收第一认证因子。在读卡终端12接收第一认证因子的过程中：
读卡终端安全芯片122，还用于在得到选卡请求响应数据后，利用会话密钥对读卡请求数据进行加密，得到读卡请求数据密文，利用读卡终端12的第一私钥对读卡请求数据密文进行签名，得到读卡请求签名值；读卡终端网络接口123，还用于向认证端131发送读卡请求，读卡请求包括读卡请求数据密文和读卡请求签名值；认证端网络接口1313，还用于接收读卡请求；认证端安全芯片1314，还用于利用读卡终端12的第一证书对读卡请求签名值进行签名验证，并在对读卡请求签名值进行签名验证通过后，利用会话密钥对读卡请求数据密文进行解密，得到读卡请求数据；认证端有线通信接口1315，还用于向验证端132发送读卡请求数据；验证端有线通信接口1321，还用于接收读卡请求数据；验证端主控芯片1322，还用于生成第一认证因子；验证端有线通信接口1321，还用于向认证端131发送第一认证因子；认证端有线通信接口1315，还用于接收第一认证因子；认证端安全芯片1314，还用于利用会话密钥对第一认证因子进行加密，得到第一认证因子密文，并利用认证端131的私钥对第一认证因子密文进行签名，得到第一认证因子签名值；认证端网络接口1313，还用于向读卡终端12发送读卡请求响应，读卡请求响应包括：第一认证因子密文和第一认证因子签名值；读卡终端网络接口123，还用于接收读卡请求响应；读卡终端安全芯片122，还用于利用认证端131的证书对第一认证因子签名值进行签名验证，并在对第一认证因子签名值进行签名验证通过后，利用会话密钥对第一认证因子密文进行解密，得到第一认证因子。具体的，读卡终端12获取第一认证因子后，验证端132可利用第一认证因子验证身份证11的合法性。
需要说明的是，传统的身份证读卡终端一般设置有RF射频模块和验证安全控制模块，读卡终端可通过RF射频模块从身份证中读取身份证数据密文，验证安全控制模块实现对身份证数据密文的解密，但是读卡终端集成有验证安全控制模块的成本非常高，对大量需要身份证读卡终端的机构(例如银行、车站)来说成本很高。
本实施例中，读卡终端并不设置有验证安全控制模块，而是在云端的云认证平台中的设置验证端(即验证安全控制模块)，任何用户均可通过有线或无线网络接入到云端的验证端以实现对身份证的读取，大大降低了用户的实现成本，特别是在银行、车站、保险等需要执行身份证信息读取操作的行业，只需部署相应数量的只具有RF射频模块的读卡终端即可，无需再次大量部署验证安全控制模块，也无需大量设置验证安全控制模块与只具有RF射频模块之间的对应关系，简化了实现方案。另外，读卡终端和认证端之间传输的数据都进行了安全处理，保证了读卡终端和认证端之间数据传输的安全。
流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。
上述提到的存储介质可以是只读存储器，磁盘或光盘等。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (10)

1.一种身份证读取系统，其特征在于，包括：读卡终端和云认证平台中的认证验证端；
所述读卡终端，具有读卡终端非接触式接口，读卡终端网络接口和读卡终端安全芯片，其中：
所述读卡终端非接触式接口，用于接收身份证发送的第一数据，向所述读卡终端安全芯片发送所述第一数据，接收所述读卡终端安全芯片发送的第二数据，向所述身份证发送所述第二数据；
所述读卡终端网络接口，用于接收所述读卡终端安全芯片发送的第三数据，向所述认证验证端发送所述第三数据，接收所述认证验证端发送的第四数据，向所述读卡终端安全芯片发送所述第四数据；
所述读卡终端安全芯片，用于接收所述读卡终端非接触式接口发送的所述第一数据，对所述第一数据进行第一处理，得到所述第三数据，向所述读卡终端网络接口发送所述第三数据，接收所述读卡终端网络接口发送的所述第四数据，对所述第四数据进行第二处理，得到所述第二数据，向所述读卡终端非接触式接口发送所述第二数据；
所述认证验证端，具有认证验证端网络接口和认证验证端安全芯片，其中：
所述认证验证端网络接口，用于接收所述读卡终端发送的所述第三数据，向所述认证验证端安全芯片发送所述第三数据，接收所述认证验证端安全芯片发送的所述第四数据，向所述读卡终端发送所述第四数据；
所述认证验证端安全芯片，用于接收所述认证验证端网络接口发送的所述第三数据，对所述第三数据进行第三处理，得到所述第四数据，向所述认证验证端网络接口发送所述第四数据。
2.一种身份证读取系统，其特征在于，包括：读卡终端和云认证平台中的认证验证端；
所述读卡终端，具有读卡终端非接触式接口、读卡终端网络接口和读卡终端安全芯片；所述读卡终端非接触式接口，用于接收身份证发送的身份证基本信息；所述读卡终端安全芯片，用于所述身份证基本信息进行安全处理，得到第一数据包；所述读卡终端网络接口，用于向所述认证验证端发送所述第一数据包；
所述认证验证端，具有认证验证端网络接口和认证验证端安全芯片；所述认证验证端网络接口，用于接收所述第一数据包；所述认证验证端安全芯片，用于对所述第一数据包进行安全验证，在安全验证通过后得到所述身份证基本信息，并生成第一认证因子，对所述第一认证因子进行安全处理，得到第二数据包；所述认证验证端网络接口，用于向所述读卡终端发送所述第二数据包；
所述读卡终端网络接口，还用于接收所述第二数据包；所述读卡终端安全芯片，还用于对第二数据包进行安全验证，在安全验证通过得到所述第一认证因子；所述读卡终端非接触式接口，还用于接收所述身份证发送的第一认证数据；所述读卡终端安全芯片，还用于对所述第一认证数据进行安全处理，得到第三数据包；所述读卡终端网络接口，还用于向所述认证验证端发送所述第三数据包，其中，所述第一认证数据为所述身份证对所述第一认证因子进行处理得到；
所述认证验证端网络接口，还用于接收所述第三数据包；所述认证验证端安全芯片，还用于对第三数据包进行安全验证，在安全验证通过后，得到所述第一认证数据，并对所述第一认证数据进行认证，并在认证通过后生成认证因子申请请求，并对所述认证因子申请请求进行安全处理，得到认证因子申请请求数据包；所述认证验证端网络接口，还用于向所述读卡终端发送所述认证因子申请请求数据包；
所述读卡终端网络接口，还用于接收所述认证因子申请请求数据包；所述读卡终端安全芯片，还用于对所述认证因子申请请求数据包进行安全验证，在安全验证通过后得到所述认证因子申请请求；所述读卡终端非接触式接口，还用于将所述认证因子申请请求发送至所述身份证；所述读卡终端非接触式接口，还用于接收所述身份证发送的第二认证因子；所述读卡终端安全芯片，还用于对所述第二认证因子进行安全处理，得到第四数据包；所述读卡终端网络接口，还用于向所述认证验证端发送所述第四数据包；
所述认证验证端网络接口，还用于接收所述第四数据包；所述认证验证端安全芯片，还用于对所述第四数据包进行安全验证，在安全验证通过后得到所述第二认证因子，并对所述第二认证因子进行处理生成第二认证数据；并对所述第二认证数据进行安全处理，得到第五数据包；所述认证验证端网络接口，还用于向所述读卡终端发送所述第五数据包；
所述读卡终端网络接口，还用于接收所述第五数据包；所述读卡终端安全芯片，还用于对所述第五数据包进行安全验证，在安全验证通过后得到所述第二认证数据；所述读卡终端非接触式接口，还用于向所述身份证发送所述第二认证数据；所述读卡终端非接触式接口，还用于接收所述身份证发送的所述身份证数据密文；所述读卡终端安全芯片，还用于对所述身份证数据密文进行安全处理得到第六数据包；所述读卡终端网络接口，还用于向所述认证验证端发送所述第六数据包，其中，所述身份证数据密文为所述身份证对所述第二认证数据进行认证，在认证通过后发送；
所述认证验证端网络接口，还用于接收所述第六数据包；所述认证验证端安全芯片，还用于对所述第六数据包进行安全验证，在安全验证通过后得到所述身份证数据密文，并对所述身份证数据密文进行解密，得到身份证数据明文，并对所述身份证数据明文进行安全处理，得到第七数据包；所述认证验证端网络接口，还用于向所述读卡终端发送所述第七数据包；
所述读卡终端网络接口，还用于接收所述第七数据包；所述读卡终端安全芯片，还用于对所述第七数据包进行安全验证，在安全验证通过后得到所述身份证数据明文。
3.根据权利要求2所述的系统，其特征在于，
对所述身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端的会话密钥对所述身份证基本信息进行加密，得到第一密文，以及利用读卡终端的第一私钥对所述第一密文进行签名，得到第一签名值，所述第一数据包包括所述第一密文和所述第一签名值；
对所述第一数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第一签名值进行签名验证，并在对所述第一签名值进行签名验证通过后，利用认证验证端的会话密钥对所述第一密文进行解密；
对所述第一认证因子进行安全处理，得到第二数据包，包括：利用所述认证验证端的会话密钥对所述第一认证因子进行加密，得到第二密文，以及利用所述认证验证端的私钥对所述第二密文进行签名，得到第二签名值，所述第二数据包包括所述第二密文和所述第二签名值；
对所述第二数据包进行安全验证，包括：利用所述认证验证端的证书对所述第二签名值进行签名验证，并在对所述第二签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第二密文进行解密；
对所述第一认证数据进行安全处理包括：利用所述读卡终端的会话密钥对所述第一认证数据进行加密，得到第三密文，以及利用所述读卡终端的第一私钥对所述第三密文进行签名，得到第三签名值，所述第三数据包包括所述第三密文和所述第三签名值；
对所述第三数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第三签名值进行签名验证，并在对所述第三签名值进行签名验证通过后，利用所述认证验证端的会话密钥对所述第三密文进行解密；
对所述认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用所述认证验证端的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用所述认证验证端的私钥对所述认证因子申请请求密文进行签名，得到认证因子申请请求签名值，所述认证因子申请请求数据包包括所述认证因子申请请求密文和所述认证因子申请请求签名值；
对所述认证因子申请请求数据包进行安全验证，包括：利用所述认证验证端的证书对所述认证因子申请请求签名值进行签名验证，并在对所述认证因子申请请求签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述认证因子申请请求密文进行解密；
对所述第二认证因子进行安全处理，得到第四数据包，包括：利用所述读卡终端的会话密钥对所述第二认证因子进行加密，得到第四密文，以及利用所述读卡终端的第一私钥对所述第四密文进行签名，得到第四签名值，所述第四数据包包括所述第四密文和所述第四签名值；
对所述第四数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第四签名值进行签名验证，并在对所述第四签名值进行签名验证通过后，利用所述认证验证端的会话密钥对所述第四密文进行解密；
并对所述第二认证数据进行安全处理，得到第五数据包，包括：利用所述认证验证端的会话密钥对所述第二认证数据进行加密，得到第五密文，以及利用所述认证验证端的私钥对所述第五密文进行签名，得到第五签名值，所述第五数据包包括所述第五密文和所述第五签名值；
对所述第五数据包进行安全验证，包括：利用所述认证验证端的证书对所述第五签名值进行签名验证，并在对所述第五签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第五密文进行解密；
对所述身份证数据密文进行安全处理得到第六数据包，包括：利用所述读卡终端的会话密钥对所述身份证数据密文进行加密，得到第六密文，以及利用所述读卡终端的第一私钥对所述第六密文进行签名，得到第六签名值，所述第六数据包包括所述第六密文和所述第六签名值；
对所述第六数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第六签名值进行签名验证，并在对所述第六签名值进行签名验证通过后，利用所述认证验证端的会话密钥对所述第六密文进行解密；
对所述身份证数据明文进行安全处理，得到第七数据包，包括：利用所述认证验证端的会话密钥对所述身份证数据明文进行加密，得到第七密文，以及利用所述认证验证端的私钥对所述第七密文进行签名，得到第七签名值，所述第七数据包包括所述第七密文和所述第七签名值；
对所述第七数据包进行安全验证，包括：利用所述认证验证端的证书对所述第七签名值进行签名验证，并在对所述第七签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第七密文进行解密。
4.根据权利要求2或3所述的系统，其特征在于，
所述读卡终端安全芯片，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端的第一私钥对所述寻卡请求数据密文进行签名，得到寻卡请求签名值；所述读卡终端网络接口，还用于向所述认证验证端发送寻卡请求，所述寻卡请求包括所述寻卡请求数据密文、所述寻卡请求签名值、读卡终端的第一证书和读卡终端的第二证书；
所述认证验证端网络接口，还用于接收所述寻卡请求；所述认证验证端安全芯片，还用于利用读卡终端的第一证书对所述寻卡请求签名值进行签名验证，并在对所述寻卡请求签名值进行签名验证通过后，利用认证解密密钥对所述寻卡请求数据密文进行解密，得到寻卡请求数据；以及生成会话密钥，并利用所述会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用所述读卡终端的第二证书对所述会话密钥进行加密，得到会话密钥密文，并利用认证验证端的私钥对所述寻卡请求响应数据密文和所述会话密钥密文进行签名，得到寻卡请求响应签名值；所述认证验证端网络接口，还用于向所述读卡终端发送寻卡请求响应，所述寻卡请求响应包括：所述寻卡请求响应数据密文、所述会话密钥密文、所述寻卡请求响应签名值和所述认证验证端的证书，其中，所述认证验证端安全芯片采用生成的会话密钥作为所述认证验证端的会话密钥；
所述读卡终端网络接口，还用于接收所述寻卡请求响应；所述读卡终端安全芯片，还用于利用所述认证验证端的证书对寻卡请求响应签名值进行验签，并在对所述寻卡请求响应签名值进行验签通过后，利用读卡终端的第二私钥对所述会话密钥密文进行解密，得到所述会话密钥，并利用所述会话密钥对所述寻卡请求响应数据密文进行解密，得到所述寻卡请求响应数据，其中，所述读卡终端安全芯片采用对会话密文解密得到的会话密钥作为所述读卡终端的会话密钥。
5.根据权利要求2或3所述的系统，其特征在于，
所述读卡终端安全芯片，还用于获取第一随机数，并利用所述读卡终端的第一私钥对所述第一随机数进行签名，得到第一随机数签名值；所述读卡终端网络接口，还用于向所述认证验证端发送所述第一随机数、所述第一随机数签名值和所述读卡终端的第一证书；
所述认证验证端网络接口，还用于接收所述第一随机数、所述第一随机数签名值和所述读卡终端的第一证书；所述认证验证端安全芯片，还用于利用根证书对所述读卡终端的第一证书进行验证，并在验证通过后，利用所述读卡终端的第一证书对所述第一随机数签名值进行签名验证，并在对所述第一随机数签名值进行签名验证通过后，生成第二随机数，根据所述第一随机数和所述第二随机数生成所述认证验证端的会话密钥，并利用所述读卡终端的第一证书对所述第一随机数和所述第二随机数进行加密，得到第八密文，以及利用所述认证验证端的私钥对所述第八密文进行签名，得到第八签名值；所述认证验证端网络接口，还用于向所述读卡终端发送第八数据包，所述第八数据包包括：所述第八密文、所述第八签名值和所述认证验证端的证书；
所述读卡终端网络接口，还用于接收所述第八数据包；所述读卡终端安全芯片，还用于利用所述认证验证端的证书对所述第八签名值进行签名验证，并在对所述第八签名值进行签名验证通过后，利用所述读卡终端的第一私钥对所述第八密文进行解密，得到所述第一随机数和所述第二随机数，并对所述第一随机数进行验证，验证通过后，根据所述第一随机数和所述第二随机数生成所述读卡终端的会话密钥。
6.一种身份证读取系统，其特征在于，包括：读卡终端、云认证平台中的认证端和验证端；
所述读卡终端，具有读卡终端非接触式接口，读卡终端网络接口和读卡终端安全芯片，其中：
所述读卡终端非接触式接口，用于接收身份证发送的第一数据，向所述读卡终端安全芯片发送所述第一数据，接收所述读卡终端安全芯片发送的第二数据，向所述身份证发送所述第二数据；
所述读卡终端网络接口，用于接收所述读卡终端安全芯片发送的第三数据，向所述云认证平台发送所述第三数据，接收所述云认证平台发送的第四数据，向所述读卡终端安全芯片发送所述第四数据；
所述读卡终端安全芯片，用于接收所述读卡终端非接触式接口发送的所述第一数据，对所述第一数据进行第一处理，得到所述第三数据，向所述读卡终端网络接口发送所述第三数据，接收所述读卡终端网络接口发送的所述第四数据，对所述第四数据进行第二处理，得到所述第二数据，向所述读卡终端非接触式接口发送所述第二数据；
所述认证端，具有认证端网络接口、认证端有线通信接口和认证端安全芯片，其中：
所述认证端网络接口，用于接收所述读卡终端发送的所述第三数据，向所述认证端安全芯片发送所述第三数据，接收所述认证端安全芯片发送的所述第四数据，向所述读卡终端发送所述第四数据；
认证端有线通信接口，用于接收所述认证端安全芯片发送的第五数据，向所述验证端发送所述第五数据，接收所述验证端发送的第六数据，向所述认证端安全芯片发送所述第六数据；
所述认证端安全芯片，用于接收所述认证端网络接口发送的所述第三数据，对所述第三数据进行第三处理，得到所述第五数据，向所述认证端有线通信接口发送所述第五数据，接收所述认证端有线通信接口发送的所述第六数据，对所述第六数据进行第四处理，得到所述第四数据，向所述认证端安全芯片发送所述第四数据；
所述验证端，具有验证端有线通信接口和验证端主控芯片，其中：
所述验证端有线通信接口，用于接收所述认证端发送的所述第五数据，向所述验证端主控芯片发送所述第五数据，接收所述验证端主控芯片发送的所述第六数据，向认证端发送所述第六数据；
所述验证端主控芯片，用于接收所述验证端有线通信接口发送的所述第五数据，对所述第五数据进行第五处理，得到所述第六数据，向所述验证端有线通信接口发送所述第六数据。
7.一种身份证读取系统，其特征在于，包括：读卡终端、云认证平台中的认证端和验证端；
所述读卡终端，具有读卡终端非接触式接口、读卡终端网络接口和读卡终端安全芯片；所述读卡终端非接触式接口，用于接收身份证发送的身份证基本信息；所述读卡终端安全芯片，用于所述身份证基本信息进行安全处理，得到第一数据包；所述读卡终端网络接口，用于向所述认证端发送所述第一数据包；
所述认证端，具有认证端网络接口、认证端安全芯片和认证端有线通信接口；所述认证端网络接口，用于接收所述第一数据包；所述认证端安全芯片，用于对所述第一数据包进行安全验证，在安全验证通过后得到所述身份证基本信息；所述认证端有线通信接口，用于向所述验证端发送所述身份证基本信息；
所述验证端，具有验证端有线通信接口和验证端主控芯片；所述验证端有线通信接口，接收所述身份证基本信息；所述验证端主控芯片，用于生成第一认证因子；所述验证端有线通信接口，还用于向所述认证端发送所述第一认证因子；
所述认证端有线通信接口，还用于接收所述第一认证因子；所述认证端安全芯片，还用于对所述第一认证因子进行安全处理，得到第二数据包；所述认证端网络接口，还用于向所述读卡终端发送所述第二数据包；
所述读卡终端网络接口，还用于接收所述第二数据包；所述读卡终端安全芯片，还用于对第二数据包进行安全验证，在安全验证通过得到所述第一认证因子；
所述读卡终端非接触式接口，还用于接收所述身份证发送的第一认证数据；所述读卡终端安全芯片，还用于对所述第一认证数据进行安全处理，得到第三数据包；所述读卡终端网络接口，还用于向所述认证端发送所述第三数据包，其中，所述第一认证数据为所述身份证对所述第一认证因子进行处理得到；
所述认证端网络接口，还用于接收所述第三数据包；所述认证端安全芯片，还用于对第三数据包进行安全验证，在安全验证通过后，得到所述第一认证数据；所述认证端有线通信接口，还用于向所述验证端发送所述第一认证数据；
所述验证端有线通信接口，还用于接收所述认证端发送的所述第一认证数据；所述验证端主控芯片，还用于对所述第一认证数据进行认证，并在认证通过后生成认证因子申请请求；所述验证端有线通信接口，还用于将所述认证因子申请请求发送至所述认证端；
所述认证端有线通信接口，还用于接收所述验证端发送的所述认证因子申请请求；所述认证端安全芯片，还用于对所述认证因子申请请求进行安全处理，得到认证因子申请请求数据包；所述认证端网络接口，还用于向所述读卡终端发送所述认证因子申请请求数据包；
所述读卡终端网络接口，还用于接收所述认证因子申请请求数据包；所述读卡终端安全芯片，还用于对所述认证因子申请请求数据包进行安全验证，在安全验证通过后得到所述认证因子申请请求；所述读卡终端非接触式接口，还用于将所述认证因子申请请求发送至所述身份证；
所述读卡终端非接触式接口，还用于接收所述身份证发送的第二认证因子；所述读卡终端安全芯片，还用于对所述第二认证因子进行安全处理，得到第四数据包；所述读卡终端网络接口，还用于向所述认证端发送所述第四数据包；
所述认证端网络接口，还用于接收所述第四数据包；所述认证端安全芯片，还用于对所述第四数据包进行安全验证，在安全验证通过后得到所述第二认证因子；所述认证端有线通信接口，还用于将所述第二认证因子发送至所述验证端；
所述验证端有线通信接口，还用于接收所述认证端发送的所述第二认证因子；所述验证端主控芯片，还用于对所述第二认证因子进行处理生成第二认证数据；所述验证端有线通信接口，还用于将所述第二认证数据发送至所述认证端；
所述认证端有线通信接口，还用于接收所述验证端发送的所述第二认证数据；所述认证端安全芯片，还用于对所述第二认证数据进行安全处理，得到第五数据包；所述认证端网络接口，还用于向所述读卡终端发送所述第五数据包；
所述读卡终端网络接口，还用于接收所述第五数据包；所述读卡终端安全芯片，还用于对所述第五数据包进行安全验证，在安全验证通过后得到所述第二认证数据；所述读卡终端非接触式接口，还用于向所述身份证发送所述第二认证数据；所述读卡终端非接触式接口，还用于接收所述身份证发送的所述身份证数据密文；所述读卡终端安全芯片，还用于对所述身份证数据密文进行安全处理得到第六数据包；所述读卡终端网络接口，还用于向所述认证端发送所述第六数据包，其中，所述身份证数据密文为所述身份证对所述第二认证数据进行认证，在认证通过后发送；
所述认证端网络接口，还用于接收所述第六数据包；所述认证端安全芯片，还用于对所述第六数据包进行安全验证，在安全验证通过后得到所述身份证数据密文；所述认证端有线通信接口，还用于向所述验证端发送所述身份证数据密文；
所述验证端有线通信接口，还用于接收所述认证端发送的所述身份证数据密文；所述验证端主控芯片，还用于对所述身份证数据密文进行解密，得到身份证数据明文；所述验证端有线通信接口，还用于向所述认证端发送所述身份证数据明文；
所述认证端有线通信接口，还用于接收所述身份证数据明文；所述认证端安全芯片，还用于对所述身份证数据明文进行安全处理，得到第七数据包；所述认证端网络接口，还用于向所述读卡终端发送所述第七数据包；
所述读卡终端网络接口，还用于接收所述第七数据包；所述读卡终端安全芯片，还用于对所述第七数据包进行安全验证，在安全验证通过后得到所述身份证数据明文。
8.根据权利要求7所述的系统，其特征在于，
对所述身份证基本信息进行安全处理，得到第一数据包，包括：利用读卡终端的会话密钥对所述身份证基本信息进行加密，得到第一密文，以及利用读卡终端的第一私钥对所述第一密文进行签名，得到第一签名值，所述第一数据包包括所述第一密文和所述第一签名值；
对所述第一数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第一签名值进行签名验证，并在对所述第一签名值进行签名验证通过后，利用认证端的会话密钥对所述第一密文进行解密；
对所述第一认证因子进行安全处理，得到第二数据包，包括：利用所述认证端的会话密钥对所述第一认证因子进行加密，得到第二密文，以及利用所述认证端的私钥对所述第二密文进行签名，得到第二签名值，所述第二数据包包括所述第二密文和所述第二签名值；
对所述第二数据包进行安全验证，包括：利用所述认证端的证书对所述第二签名值进行签名验证，并在对所述第二签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第二密文进行解密；
对所述第一认证数据进行安全处理包括：利用所述读卡终端的会话密钥对所述第一认证数据进行加密，得到第三密文，以及利用所述读卡终端的第一私钥对所述第三密文进行签名，得到第三签名值，所述第三数据包包括所述第三密文和所述第三签名值；
对所述第三数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第三签名值进行签名验证，并在对所述第三签名值进行签名验证通过后，利用所述认证端的会话密钥对所述第三密文进行解密；
对所述认证因子申请请求进行安全处理，得到认证因子申请请求数据包，包括：利用所述认证端的会话密钥对认证因子申请请求进行加密，生成认证因子申请请求密文，并利用所述认证端的私钥对所述认证因子申请请求密文进行签名，得到认证因子申请请求签名值，所述认证因子申请请求数据包包括所述认证因子申请请求密文和所述认证因子申请请求签名值；
对所述认证因子申请请求数据包进行安全验证，包括：利用所述认证端的证书对所述认证因子申请请求签名值进行签名验证，并在对所述认证因子申请请求签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述认证因子申请请求密文进行解密；
对所述第二认证因子进行安全处理，得到第四数据包，包括：利用所述读卡终端的会话密钥对所述第二认证因子进行加密，得到第四密文，以及利用所述读卡终端的第一私钥对所述第四密文进行签名，得到第四签名值，所述第四数据包包括所述第四密文和所述第四签名值；
对所述第四数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第四签名值进行签名验证，并在对所述第四签名值进行签名验证通过后，利用所述认证端的会话密钥对所述第四密文进行解密；
并对所述第二认证数据进行安全处理，得到第五数据包，包括：利用所述认证端的会话密钥对所述第二认证数据进行加密，得到第五密文，以及利用所述认证端的私钥对所述第五密文进行签名，得到第五签名值，所述第五数据包包括所述第五密文和所述第五签名值；
对所述第五数据包进行安全验证，包括：利用所述认证端的证书对所述第五签名值进行签名验证，并在对所述第五签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第五密文进行解密；
对所述身份证数据密文进行安全处理得到第六数据包，包括：利用所述读卡终端的会话密钥对所述身份证数据密文进行加密，得到第六密文，以及利用所述读卡终端的第一私钥对所述第六密文进行签名，得到第六签名值，所述第六数据包包括所述第六密文和所述第六签名值；
对所述第六数据包进行安全验证，包括：利用所述读卡终端的第一证书对所述第六签名值进行签名验证，并在对所述第六签名值进行签名验证通过后，利用所述认证端的会话密钥对所述第六密文进行解密；
对所述身份证数据明文进行安全处理，得到第七数据包，包括：利用所述认证端的会话密钥对所述身份证数据明文进行加密，得到第七密文，以及利用所述认证端的私钥对所述第七密文进行签名，得到第七签名值，所述第七数据包包括所述第七密文和所述第七签名值；
对所述第七数据包进行安全验证，包括：利用所述认证端的证书对所述第七签名值进行签名验证，并在对所述第七签名值进行签名验证通过后，利用所述读卡终端的会话密钥对所述第七密文进行解密。
9.根据权利要求7或8所述的系统，其特征在于，
读卡终端的安全芯片，还用于利用认证加密密钥对寻卡请求数据进行加密，得到寻卡请求数据密文，利用读卡终端的第一私钥对寻卡请求数据密文进行签名，得到寻卡请求签名值；所述读卡终端网络接口，还用于向所述认证端发送寻卡请求，所述寻卡请求包括所述寻卡请求数据密文、所述寻卡请求签名值、读卡终端的第一证书和读卡终端的第二证书；
所述认证端网络接口，还用于接收所述寻卡请求；所述认证端安全芯片，还用于利用读卡终端的第一证书对所述寻卡请求签名值进行签名验证，并在对所述寻卡请求签名值进行签名验证通过后，利用认证解密密钥对所述寻卡请求数据密文进行解密，得到寻卡请求数据；所述认证端有线通信接口，还用于向所述验证端发送所述寻卡请求数据；
所述验证端有线通信接口，还用于接收所述寻卡请求数据，向所述认证端发送寻卡请求响应数据；
所述认证端有线通信接口，还用于接收所述寻卡请求响应数据；所述认证端安全芯片，还用于生成会话密钥，并利用所述会话密钥对寻卡请求响应数据进行加密，得到寻卡请求响应数据密文，并利用所述读卡终端的第二证书对所述会话密钥进行加密，得到会话密钥密文，并利用认证端的私钥对所述寻卡请求响应数据密文和所述会话密钥密文进行签名，得到寻卡请求响应签名值；所述认证端网络接口，还用于向所述读卡终端发送寻卡请求响应，所述寻卡请求响应包括：所述寻卡请求响应数据密文、所述会话密钥密文、所述寻卡请求响应签名值和所述认证端的证书，其中，所述认证端安全芯片采用所述生成的会话密钥作为所述认证端的会话密钥；
所述读卡终端网络接口，还用于接收所述寻卡请求响应；所述读卡终端安全芯片，还用于利用所述认证端的证书对寻卡请求响应签名值进行验签，并在对所述寻卡请求响应签名值进行验签通过后，利用读卡终端的第二私钥对所述会话密钥密文进行解密，得到所述会话密钥，并利用所述会话密钥对所述寻卡请求响应数据密文进行解密，得到所述寻卡请求响应数据，其中，所述读卡终端安全芯片采用对所述会话密钥密文解密得到的会话密钥作为所述读卡终端的会话密钥。
10.根据权利要求7或8所述的系统，其特征在于，
所述读卡终端安全芯片，还用于获取第一随机数，并利用读卡终端的第一私钥对所述第一随机数进行签名，得到第一随机数签名值；所述读卡终端网络接口，还用于向所述认证端发送所述第一随机数、所述第一随机数签名值和所述读卡终端的第一证书；
所述认证端网络接口，还用于接收所述第一随机数、所述第一随机数签名值和所述读卡终端的第一证书；所述认证端安全芯片，还用于利用根证书对所述读卡终端的第一证书进行签名验证，并在验证通过后，利用所述读卡终端的第一证书对所述第一随机数签名值进行签名验证，并在对所述第一随机数签名值进行签名验证通过后，生成第二随机数，根据所述第一随机数和所述第二随机数生成所述所述认证端的会话密钥，并利用所述读卡终端的第一证书对所述第一随机数和所述第二随机数进行加密，得到第八密文，以及利用所述认证端的私钥对所述第八密文进行签名，得到第八签名值；所述认证端网络接口，还用于向所述读卡终端发送第八数据包，所述第八数据包包括：所述第八密文、所述第八签名值和所述认证端的证书；
所述认证端的网络接口，还用于接收所述第八数据包；所述读卡终端安全芯片，还用于利用所述认证端的证书对所述第八签名值进行签名验证，并在对所述第八签名值进行签名验证通过后，利用所述读卡终端的第一私钥对所述第八密文进行解密，得到所述第一随机数和第二随机数，并对所述第一随机数进行验证，验证通过后，根据所述第一随机数和所述第二随机数生成所述读卡终端的会话密钥。
CN201610243202.8A 2016-04-18 2016-04-18 身份证读取系统 Active CN106027481B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610243202.8A CN106027481B (zh) 2016-04-18 2016-04-18 身份证读取系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610243202.8A CN106027481B (zh) 2016-04-18 2016-04-18 身份证读取系统

Publications (2)

Publication Number Publication Date
CN106027481A CN106027481A (zh) 2016-10-12
CN106027481B true CN106027481B (zh) 2019-04-09

Family

ID=57081546

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610243202.8A Active CN106027481B (zh) 2016-04-18 2016-04-18 身份证读取系统

Country Status (1)

Country Link
CN (1) CN106027481B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI667590B (zh) * 2017-06-01 2019-08-01 慧榮科技股份有限公司 資料儲存裝置以及韌體加密及更新方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9074419B2 (en) * 2012-11-06 2015-07-07 Paul Schoch Window covering multi-lift system
CN205121591U (zh) * 2015-08-22 2016-03-30 山东信通电子股份有限公司 基于云系统的身份实名认证发卡终端
CN205121666U (zh) * 2015-10-10 2016-03-30 王颖 一种远程控制的智能门锁

Also Published As

Publication number Publication date
CN106027481A (zh) 2016-10-12

Similar Documents

Publication Publication Date Title
CN108270571B (zh) 基于区块链的物联网身份认证系统及其方法
CN102882847B (zh) 基于sd密码卡的物联网健康医疗服务系统的安全通信方法
CN103621127B (zh) 用于无线认证的接入点控制器、方法及集成电路
CN105939196B (zh) 身份认证方法和系统
CN106027250B (zh) 一种身份证信息安全传输方法及系统
CN108881304A (zh) 一种对物联网设备进行安全管理的方法及系统
CN105933280A (zh) 身份认证方法和系统
CN103685323A (zh) 一种基于智能云电视网关的智能家居安全组网实现方法
CN104468126B (zh) 一种安全通信系统及方法
CN107404472A (zh) 用户发起的加密密钥的迁移
CN104010297B (zh) 无线终端配置方法及装置和无线终端
CN108566273A (zh) 基于量子网络的身份认证系统
CN108768653A (zh) 基于量子密钥卡的身份认证系统
CN106027457B (zh) 一种身份证信息传输方法和系统
CN105991650A (zh) 一种密钥获取方法、身份证信息的传输方法及系统
CN106156677B (zh) 身份证读卡方法和系统
CN108964897A (zh) 基于群组通信的身份认证系统和方法
CN109714360A (zh) 一种智能网关及网关通信处理方法
CN105281910A (zh) 带ca数字证书作为入网身份识别的物联网锁及其入网身份识别方法
CN109450648A (zh) 密钥生成装置、数据处理设备及数据流转系统
CN106027249B (zh) 身份证读卡方法和系统
CN108964896A (zh) 一种基于群组密钥池的Kerberos身份认证系统和方法
CN108880799A (zh) 基于群组密钥池的多次身份认证系统和方法
CN108964895A (zh) 基于群组密钥池和改进Kerberos的User-to-User身份认证系统和方法
CN106027256B (zh) 一种身份证读卡响应系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20220414

Address after: Tiantianrong building, No. 1, Zhongguancun, Beiqing Road, Haidian District, Beijing 100094

Patentee after: TENDYRON Corp.

Address before: 100086 room 603, building 12, taiyueyuan, Haidian District, Beijing

Patentee before: Li Ming