CN106302354A - 一种身份认证方法和装置 - Google Patents

Abstract

本发明公开了一种身份认证方法及装置，其中该方法包括：通过存储于终端内的公钥加密第一随机数生成密文；将所述密文发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密所述密文生成第二随机数；判断所述第一随机数与所述第二随机数是否一致，若一致，则身份验证通过。通过生成相互匹配的公私钥对，将彼此分别存储于终端和SD密码卡，只有持有与本终端匹配的SD密码卡，并将SD密码卡插入与之匹配的终端，才能启动并使用终端设备，提高了在终端身份认证过程中的安全性和认证的可靠性，有效的保护了终端设备内的数据信息安全。

Description

一种身份认证方法和装置

技术领域

本发明涉及信息安全领域，尤其涉及一种身份认证方法和装置。

背景技术

现有技术中，由于移动终端设备一般具有其便携性，因此，移动终端设备也就容易被非授权人士使用。若移动终端设备丢失或者落入陌生人手中，如果他们能随便打开进入设备的话，那么移动终端设备安全性和隐私性会受到极大的破坏，同时，还可能会导致设备中的信息或数据丢失。

为解决上述移动终端设备的安全性和隐私性问题，业界陆陆续续地给出了不少解决方案，比如图案解锁界面，密码解锁界面等。

但这些解决方案都比较容易被他人窃取，比如输入解锁手势和解锁密码被他人剽窃，然后他人使用剽窃的解锁密码进入设备，读取设备内的信息和数据，依然会造成设备不安全。

因此，现有技术中，缺乏一种安全性和隐私性均较高的移动终端设备身份认证方法。

发明内容

有鉴于此，本发明要解决的技术问题是移动终端设备身份认证方案的安全性和隐私性均较低的技术缺陷，提供一种身份认证方法和装置。

本发明解决上述技术问题所采用的技术方案如下：构造一种身份认证方法，所述方法包括：

通过存储于终端内的公钥加密第一随机数生成密文；

将所述密文发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密所述密文生成第二随机数；

判断所述第一随机数与所述第二随机数是否一致，若一致，则身份验证通过。

进一步的，所述通过存储于终端内的公钥加密第一随机数生成密文之前还包括：

生成包括公钥和私钥的公私密钥对；

获取用户设置的pin码，并通过哈希计算生成所述pin码的哈希值；

将所述哈希值与所述公钥进行异或运算生成公钥密文；

在所述终端的存储区域存储该公钥密文；

并在所述SD密码卡内固化存储所述私钥。

进一步的，在所述终端的存储区域存储该公钥密文之后还包括：

获取用户输入的pin码，并通过哈希计算生成所述pin码的哈希值；

将所述哈希值与所述公钥密文进行异或运算生成公钥。

进一步的，在所述身份验证通过之后还包括：

接收加密指令，根据所述加密指令调用存储于终端设备内的公钥对需要加密的数据进行加密，形成加密数据；

接收解密指令，将需要解密的加密数据发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密所述加密数据，形成明文数据。

进一步的，所述方法还包括：

实时检测终端内SD密码卡的插入状态，若检测到所述SD密码卡与所述终端分离，则锁定所述终端。

为解决上述问题，本发明还提供一种身份认证装置，所述装置包括：

加密模块，用于通过存储于终端内的公钥加密第一随机数生成密文；

解密模块，用于将所述终端发送至SD密码卡的密文通过存储于所述SD密码卡内的私钥解密生成第二随机数；

身份认证模块，用于判断所述第一随机数与所述第二随机数是否一致，若一致，则身份验证通过。

进一步的，所述装置还包括：密钥对生成模块、哈希计算模块、异或运算模块、公钥密文存储模块以及私钥存储模块，其中，

所述密钥对生成模块用于生成包括公钥和私钥的公私密钥对；

所述哈希计算模块用于获取用户设置的pin码，并通过哈希计算生成所述pin码的哈希值；

所述异或运算模块用于将所述哈希值与所述公钥进行异或运算生成公钥密文；

所述公钥密文存储模块用于在所述终端内存储该公钥密文；

所述私钥存储模块用于在所述SD密码卡内固化存储所述私钥。

进一步的，所述哈希计算模块还用于获取用户输入的pin码，并通过哈希计算生成所述pin码的哈希值；

所述异或运算模块还用于将所述哈希值与所述公钥密文进行异或运算生成公钥。

进一步的，所述哈希计算模块还用于获取用户输入的pin码，并通过哈希计算生成所述pin码的哈希值；

所述异或运算模块还用于将所述哈希值与所述公钥密文进行异或运算生成公钥。

进一步的，所述装置还包括监控模块及锁屏模块，其中，

所述监控模块用于实时检测终端内SD密码卡的插入状态；

所述锁屏模块用于在所述监控模块检测到所述SD密码卡与所述终端分离时，锁定所述终端。

本发明的有益效果是：在终端设备启动过程中通过存储于终端内的公钥加密第一随机数生成密文，将密文发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密该密生成第二随机数，然后将生成的第二随机数返回至终端系统，终端系统通过判断第一随机数与第二随机数是否一致来实现对使用用户的身份验证。若一致，则身份验证通过，若不一致或无法得到反馈的第二随机数，则终止本次启动。通过生成相互匹配的公私钥对，将彼此分别存储于终端和SD密码卡，只有持有与本终端匹配的SD密码卡，并将SD密码卡插入与之匹配的终端，才能启动并使用终端设备，提高了终端身份认证过程的安全性和认证的可靠性，有效的保护了终端设备内的数据信息安全。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明身份认证方法的第一实施例的流程图；

图2是本发明身份认证方法的第二实施例的流程图；

图3是本发明身份认证方法的第三实施例的流程图；

图4是本发明身份认证方法的第四实施例的流程图；

图5是本发明身份认证装置的结构框图。

具体实施方式

为了使本发明所要解决的技术问题、技术方案及有益效果更加清楚、明白，以下结合附图和实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

实施例一

请参阅图1，为本发明身份认证方法的第一实施例的流程图，在身份认证方法的第一实施例中，该方法包括：

S1，通过存储于终端内的公钥加密第一随机数生成密文；

本实施例中所指的终端为智能手机、平板电脑、笔记本电脑等移动终端设备。在本实施例中以能拔插SD密码卡的手机为例，当SD密码卡首次插入手机的SD卡槽内时，手机初始系统在检测到SD密码卡插入时，弹出身份认证设置界面提醒用户是否需要设置SD密码卡的身份认证，若用户选择设置SD密码卡的身份认证，则终端系统触发该SD密码卡生成一对SM2公私密钥对。然后将生成的私钥保存于SD密码卡内，将公钥导出存储至终端设备的存储区域，详后述。

在终端再次启动的过程中，利用公钥对终端系统随机生成的第一随机数进行加密生成密文。

S2，将该密文发送至插入于该终端内的SD密码卡，通过存储于SD密码卡内的私钥解密该密文生成第二随机数；

其中，终端系统将公钥加密产生的密文发送至与该终端绑定的SD密码卡，SD密码卡在接收到该密文后通过SD密码卡内存储的私钥对该密文进行解密生成明文，该明文即为第二随机数，然后SD密码卡将第二随机数发送至终端系统。

为防止SD密码卡内的私钥被他人窃取，在本实施方式中，该私钥存储于该SD密码卡的加密存储区，且该私钥无法通过外部设备或者外部接口读取。

S3，判断第一随机数与第二随机数是否一致，若一致，则身份验证通过。

终端系统在接收到SD密码卡返回的第二随机数后，与之前终端系统随机生成的第一随机数进行比对，并根据比对结果判断用户身份验证是否通过。

具体的，由于公钥与私钥为相互匹配的一对公私密钥对，因此，系统随机生成的第一随机数在通过公钥加密后，再经与之匹配的私钥解密得到第二随机数必然与第一随机数相同。只有第一随机数与第二随机数完全一致时，终端系统才会判断用户身份验证通过。若第一随机数与第二随机数不一致，则证明该SD密码卡与该终端设备不匹配，用户身份验证失败。

可以理解的，在其他实施方式中，也可以将第一随机数发送至SD密码卡内与私钥解密该密文生成第二随机数进行比较，然后将比较结果发送至终端系统，终端系统根据比较结果来进行用户身份验证，在此不作赘述。

优选地，本实施方式的身份认证方法可以是在终端系统启动过程中、或启动后对用户进行身份认证。当然也可以根据用户设置或系统设定，定时对SD密码卡及用户身份进行验证，或者在用户在进行唤醒或点亮操作时对SD密码卡及用户身份进行验证。例如：在终端运行过程中，系统在随机时间或预定时间通过存储于终端内的公钥加密第一随机数生成密文，然后将该密文发送至插入于该终端内的SD密码卡，通过存储于SD密码卡内的私钥解密该密文生成第二随机数；最后对第一随机数和第二随机数进行比较，验证用户身份。在验证失败后、或为接收到第二随机数时，均锁定终端设备，禁止进一步的操作，直至用户重新插入与之绑定的SD密码卡。

进一步地，终端在运行过程中，还会实时检测SD密码卡的插入状态，若检测到SD卡槽内未插入SD密码卡时，终端系统控制终端进行关机、锁屏或报警等操作。起到防止SD密码卡丢失、以及保护终端内数据安全的效果。

本实施例的有益效果在于，在终端设备启动过程中通过存储于终端内的公钥加密第一随机数生成密文，将密文发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密该密生成第二随机数，然后将生成的第二随机数返回至终端系统，终端系统通过判断第一随机数与第二随机数是否一致来实现对使用用户的身份验证。若一致，则身份验证通过，若不一致或无法得到反馈的第二随机数，则终止本次启动。通过生成相互匹配的公私钥对，将彼此分别存储于终端和SD密码卡，只有持有与本终端匹配的SD密码卡，并将SD密码卡插入与之匹配的终端，才能启动并使用终端设备，提高了在终端身份认证过程中的安全性和认证的可靠性，有效的保护了终端设备内的数据信息安全。

实施例二

请参阅图2，为本发明身份认证方法的第二实施例的流程图，该身份认证方法的第二实施例在上述第一实施例的基础上，在通过存储于终端内的公钥加密第一随机数生成密文之前还包括：

S01，生成包括公钥和私钥的公私密钥对；

S02，获取用户设置的pin码，并通过哈希计算生成该pin码的哈希值；

S03，将该哈希值与公钥进行异或运算生成公钥密文；

S04，在终端的存储区域存储该公钥密文；

S05，并在SD密码卡内固化存储该私钥。

其中，步骤S02与步骤S05可同时进行。

在本实施例中，公私密钥对是在用户启动终端设备时，插入SD密码卡初始化过程中，根据用户设置，由SD密码卡生成公私密钥对。

为增加公钥的安全性，可通过设置pin码对公钥进行保护，在存储公钥之前，先获取用户设置的pin码，对用户设定的pin码进行哈希计算得到其哈希值，然后将该哈希值与公钥进行异或运算后形成公钥密文，再将公钥密文存储于终端的存储设备内。

在需要调用公钥时，用户需要输入正确的pin码，在确认输入的pin码正确后，通过哈希计算获取该pin码的哈希值，再将该哈希值和之前存储于终端内的公钥密文进行异或运算生成公钥，该公钥供进一步的身份验证调用。而私钥则保留在SD密码卡的密钥容器中，为增加私钥的安全性，将该私钥固化存储与SD密码卡的密钥容器中。

进一步的，可将存放公钥密文的存储区域设置读取权限，防止第三方程序读取。

如此，该通过双重保护来实现公钥的安全性，一是公钥本身并非明文保存，而是与pin码的哈希值进行异或运算后形成公钥密文保存，也就是必须用户输入正确的pin码才能够取到真正的公钥，否则无法获取。二是公钥密文是存放在系统分区，仅具有系统权限的程序能够读取，第三方程序是没有权限读取的。

本实施例的有益效果在于，通过将公钥与用户设置的pin码的哈希值进行异或运算后形成公钥密文保存，将私钥固化存储于SD密码卡。实现了公私密钥对的安全生成和存储，为后续身份验证提供了安全媒介和安全保障。

实施例三

请参阅图3，为本发明身份认证方法的第三实施例的流程图，该身份认证方法的第三实施例在上述第一实施例或第二实施例的基础上，本实施例还包括：

S4，实时检测终端内SD密码卡的插入状态，若检测到该SD密码卡与终端分离，则锁定所述终端。

终端系统实时检测插入至该终端内的SD密码卡，若检测到该SD密码卡与终端分离，则锁定所述终端。可以理解的，该SD密码卡与终端分离也包括SD密码卡损坏或插入不到位等状况。而锁定终端包括关机、锁屏等。

进一步的，为防止SD密码卡在用户不知情的状况下从终端内脱出，影响用户正常使用终端设备，在终端检测到SD密码卡与终端分离后，控制终端内的闹铃进行报警。

本实施例的有益效果在于，通过实时检测终端内SD密码卡的插入状态，若检测到该SD密码卡与终端分离，则锁定所述终端。进一步地提高了终端身份认证的可靠性和安全性。

实施例四

请参阅图4，为本发明身份认证方法的第四实施例的流程图，该身份认证方法的第四实施例在上述第一实施例、第二实施例或第三实施例的基础上，本实施例用于对存储于终端设备存储单元内的数据进行加密保护。

具体实施方式为：

S10，接收加密指令，根据加密指令调用存储于终端设备内的公钥对需要加密的数据进行加密，形成加密数据；

S20，接收解密指令，将需要解密的加密数据发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密该加密数据，形成明文数据。

在解密完成之后，用户可直接读取在SD密码卡内解密后的数据。可以理解的，也可以在解密完成之后，将解密后的数据回传至终端设备存储单元，然后供用户进行读取操作。

具体的，该数据可以是以任意数据类型或者数据形式存储于该终端设备内的数据。

以该数据为视频文件为例，当用户需要对该视频文件进行加密处理时，首先调用存储于终端设备内的公钥对该视频文件进行加密，当完成该步骤的加密操作后，将经加密的视频文件存储于该终端设备的存储单元内。此时，若终端上未插入SD密码卡或插入的SD密码卡非与本终端设备所绑定的SD密码卡，该视频数据处于被加密状态，该视频数据无法打开。

当需要读取该视频数据时，首先，根据读取需求生成解密指令，然后将需要解密的视频数据发送至插入于该终端内的SD密码卡，存储SD密码卡内的私钥对该视频文件进行解密，在解密完成后，形成视频数据明文，用户即可打开该视频数据进行阅读。

本实施例的有益效果在于，通过存储于终端设备内的公钥对设备存储单元内的数据进行加密，只有插入于与本终端设备绑定的SD密码卡，通过该SD密码卡内的私钥对加密数据进行解密之后，才能读取相关数据。即，只有持有绑定SD密码卡的用户才能读取加密数据，提高了存储数据的安全性，从而提高了终端使用过程中的可靠性。

实施例五

请参阅图5，为本发明身份认证装置的结构框图，该装置包括：

加密模块10，用于通过存储于终端内的公钥加密第一随机数生成密文；

解密模块20，用于将终端发送至SD密码卡的密文通过存储于SD密码卡内的私钥解密生成第二随机数；

身份认证模块30，用于判断第一随机数与第二随机数是否一致，若一致，则身份验证通过。

具体的，该终端内还设有用于将密文由终端发送至SD密码卡的发送模块，该身份认证模块30内还设有用于判断第一随机数与第二随机数是否一致的判断子模块。

进一步地，该装置还包括密钥对生成模块、哈希计算模块、异或运算模块、公钥密文存储模块以及私钥存储模块，其中，

密钥对生成模块用于生成包括公钥和私钥的公私密钥对；

哈希计算模块用于获取用户设置的pin码，并通过哈希计算生成所述pin码的哈希值；

异或运算模块用于将该哈希值与所述公钥进行异或运算生成公钥密文；

公钥密文存储模块用于在终端内存储该公钥密文；

私钥存储模块用于在SD密码卡内固化存储所述私钥。

进一步地，哈希计算模块还用于获取用户输入的pin码，并通过哈希计算生成pin码的哈希值；

异或运算模块还用于将哈希值与公钥密文进行异或运算生成公钥。

进一步地，该加密模块10还用于接收加密指令，并根据该加密指令调用存储于终端设备内的公钥对需要加密的数据进行加密，形成加密数据；

解密模块20还用于接收解密指令，将该终端发送至SD密码卡的需要解密的加密数据通过存储于SD密码卡内的私钥解密，形成明文数据。

进一步地，该装置还包括监控模块及锁屏模块，其中，

监控模块用于实时检测终端内SD密码卡的插入状态；

锁屏模块用于在该监控模块检测到SD密码卡与终端分离时，锁定该终端。

该身份认证装置可以用于移动电话，或者具有外置存储功能的其他通信终端，例如智能手机等中，可以是运行于这些通信终端内的软件单元，也可以作为独立的挂件集成到这些通信终端中或者运行于这些移动终端的应用系统中。

需要说明的是，上述方法实施例中的技术特征在本装置均对应适用，这里不再重述。

实施本发明，通过存储于终端内的公钥加密第一随机数生成密文，将密文发送至插入于该终端内的SD密码卡，通过存储于SD密码卡内的私钥解密密文生成第二随机数，判断第一随机数与第二随机数是否一致，若一致，则身份验证通过。提高了在终端身份认证过程中的安全性和认证的可靠性，有效的保护了终端设备内的数据信息安全。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者装置中还存在另外的相同要素。

本领域技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，该程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容做出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (10)

1.一种身份认证方法，其特征在于，所述方法包括：

通过存储于终端内的公钥加密第一随机数生成密文；

将所述密文发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密所述密文生成第二随机数；

判断所述第一随机数与所述第二随机数是否一致，若一致，则身份验证通过。

2.根据权利要求1所述的身份认证方法，其特征在于，所述通过存储于终端内的公钥加密第一随机数生成密文之前还包括：

生成包括公钥和私钥的公私密钥对；

获取用户设置的pin码，并通过哈希计算生成所述pin码的哈希值；

将所述哈希值与所述公钥进行异或运算生成公钥密文；

在所述终端的存储区域存储该公钥密文；

并在所述SD密码卡内固化存储所述私钥。

3.根据权利要求2所述的身份认证方法，其特征在于，在所述终端的存储区域存储该公钥密文之后还包括：

获取用户输入的pin码，并通过哈希计算生成所述pin码的哈希值；

将所述哈希值与所述公钥密文进行异或运算生成公钥。

4.根据权利要求1所述的身份认证方法，其特征在于，在所述身份验证通过之后还包括：

接收加密指令，根据所述加密指令调用存储于终端设备内的公钥对需要加密的数据进行加密，形成加密数据；

接收解密指令，将需要解密的加密数据发送至插入于该终端内的SD密码卡，通过存储于所述SD密码卡内的私钥解密所述加密数据，形成明文数据。

5.根据权利要求1所述的身份认证方法，其特征在于，所述方法还包括：

实时检测终端内SD密码卡的插入状态，若检测到所述SD密码卡与所述终端分离，则锁定所述终端。

6.一种身份认证装置，其特征在于，所述装置包括：

加密模块，用于通过存储于终端内的公钥加密第一随机数生成密文；

解密模块，用于将所述终端发送至SD密码卡的密文通过存储于所述SD密码卡内的私钥解密生成第二随机数；

身份认证模块，用于判断所述第一随机数与所述第二随机数是否一致，若一致，则身份验证通过。

7.根据权利要求6所述的身份认证装置，其特征在于，所述装置还包括：密钥对生成模块、哈希计算模块、异或运算模块、公钥密文存储模块以及私钥存储模块，其中，

所述密钥对生成模块用于生成包括公钥和私钥的公私密钥对；

所述哈希计算模块用于获取用户设置的pin码，并通过哈希计算生成所述pin码的哈希值；

所述异或运算模块用于将所述哈希值与所述公钥进行异或运算生成公钥密文；

所述公钥密文存储模块用于在所述终端内存储该公钥密文；

所述私钥存储模块用于在所述SD密码卡内固化存储所述私钥。

8.根据权利要求7所述的身份认证装置，其特征在于，所述哈希计算模块还用于获取用户输入的pin码，并通过哈希计算生成所述pin码的哈希值；

所述异或运算模块还用于将所述哈希值与所述公钥密文进行异或运算生成公钥。

9.根据权利要求6所述身份认证装置，其特征在于，所述加密模块还用于接收加密指令，并根据所述加密指令调用存储于终端设备内的公钥对需要加密的数据进行加密，形成加密数据；

所述解密模块还用于接收解密指令，将所述终端发送至SD密码卡的需要解密的加密数据通过存储于所述SD密码卡内的私钥解密，形成明文数据。

10.根据权利要求6所述身份认证装置，其特征在于，所述装置还包括监控模块及锁屏模块，其中，

所述监控模块用于实时检测终端内SD密码卡的插入状态；

所述锁屏模块用于在所述监控模块检测到所述SD密码卡与所述终端分离时，锁定所述终端。