CN107294721A - 基于生物特征的身份注册、认证的方法和装置 - Google Patents

基于生物特征的身份注册、认证的方法和装置 Download PDF

Info

Publication number
CN107294721A
CN107294721A CN201610192200.0A CN201610192200A CN107294721A CN 107294721 A CN107294721 A CN 107294721A CN 201610192200 A CN201610192200 A CN 201610192200A CN 107294721 A CN107294721 A CN 107294721A
Authority
CN
China
Prior art keywords
biological
authentication
message
biological identification
identification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610192200.0A
Other languages
English (en)
Other versions
CN107294721B (zh
Inventor
孙元博
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Advanced New Technologies Co Ltd
Advantageous New Technologies Co Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to CN201910284426.7A priority Critical patent/CN110166246B/zh
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to CN201610192200.0A priority patent/CN107294721B/zh
Priority to SG11201808543TA priority patent/SG11201808543TA/en
Priority to EP17773123.9A priority patent/EP3439230B1/en
Priority to BR112018070205-6A priority patent/BR112018070205B1/pt
Priority to MX2018011978A priority patent/MX2018011978A/es
Priority to ES17773123T priority patent/ES2865398T3/es
Priority to AU2017242765A priority patent/AU2017242765C1/en
Priority to CA3020059A priority patent/CA3020059C/en
Priority to JP2018551819A priority patent/JP6877460B2/ja
Priority to RU2018137991A priority patent/RU2730087C2/ru
Priority to KR1020187030773A priority patent/KR102194060B1/ko
Priority to PL17773123T priority patent/PL3439230T3/pl
Priority to PCT/CN2017/077686 priority patent/WO2017167093A1/zh
Publication of CN107294721A publication Critical patent/CN107294721A/zh
Priority to US16/135,835 priority patent/US11025619B2/en
Priority to PH12018502092A priority patent/PH12018502092A1/en
Priority to ZA2018/07220A priority patent/ZA201807220B/en
Application granted granted Critical
Publication of CN107294721B publication Critical patent/CN107294721B/zh
Priority to US16/722,876 priority patent/US10893044B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Abstract

本申请提供一种基于生物特征的身份注册方法，应用在用户设备上，包括：向业务服务器发送包括业务账户标识的注册信息请求报文，接收来自认证服务器的包括虚拟账户标识的注册信息响应报文；在用户的生物数据通过本地身份校验后，将设备标识、虚拟账户标识、通过本地身份校验的生物数据对应的生物特征令牌和生物校验类型、以及生成的业务公钥封装在注册请求报文中，以设备私钥签名后发送给业务服务器，供认证服务器在转发的注册请求报文通过设备公钥的验签后，保存设备标识、虚拟账户标识、生物特征令牌、生物校验类型和业务公钥的对应关系用来进行身份认证。本申请的技术方案提高了注册和认证过程的安全性。

Description

基于生物特征的身份注册、认证的方法和装置
技术领域
本申请涉及网络通信技术领域，尤其涉及一种基于生物特征的身份注册方法和装置、一种基于生物特征的身份认证方法和装置。
背景技术
随着生物识别技术的发展，通过计算机与光学、声学、生物传感器和生物统计学等技术手段的结合，利用人体固有的指纹、人脸、虹膜、声音等生理特性进行个人身份的鉴定，已经成为可能。
移动互联的蓬勃发展为生物识别技术提供了新的应用平台，例如采用指纹、人脸等在用户设备上可以登录账户、实现支付，而无需记忆并输入密码。由于更倾向于采用生物识别来进行身份认证的通常是移动支付等关键应用，因此安全性成为注册和认证过程中需要最为优先考虑的重要因素。
发明内容
有鉴于此，本申请提供一种基于生物特征的身份注册方法，应用在用户设备上，所述用户设备上运行有业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，所述方法包括：
业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将所述设备信息请求转发给生物认证客户端，生物认证客户端将所述设备信息请求转发给身份认证检验器，身份认证检验器获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将所述设备信息响应返回给生物认证中间件，生物认证中间件将所述设备信息响应返回给业务客户端；
业务客户端向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；所述注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于所述业务账户标识的虚拟账户标识、与所述服务器私钥相对应的服务器公钥；
业务客户端确定用户的生物认证类型，获取所述生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将所述本地生物认证请求转发给生物认证客户端，生物认证客户端利用所述生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将所述本地生物认证响应返回给业务客户端；
在本地生物特征校验结果为通过时，业务客户端将注册信息响应报文发送给生物认证中间件，生物认证中间件将所述注册信息响应报文转发给生物认证客户端；生物认证客户端将所述注册信息响应报文转发给身份认证检验器，身份认证检验器采用所述服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系；身份认证检验器将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用所述用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端，生物认证客户端将所述注册请求报文返回给生物认证中间件，生物认证中间件将所述注册请求报文返回给业务客户端；
业务客户端将所述注册请求报文发送业务服务器，所述注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用所述用户设备的设备公钥进行验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
本申请提供的一种基于生物特征的身份注册方法，应用在认证服务器上，包括：
从业务服务器接收来自用户设备的注册信息请求报文，所述注册信息请求报文中包括业务账户标识；生成对应于所述业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备；
从业务服务器接收来自用户设备的注册请求报文，所述注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备密钥进行签名；将所述注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用所述设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果；
在注册请求报文通过验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
本申请提供的一种基于生物特征的身份认证方法，应用在用户设备上，所述用户设备上运行有业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，包括：
业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将所述设备信息请求转发给生物认证客户端，生物认证客户端将所述设备信息请求转发给身份认证检验器，身份认证检验器获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将所述设备信息响应返回给生物认证中间件，生物认证中间件将所述设备信息响应返回给业务客户端；
业务客户端向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文；所述认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与所述设备标识对应的虚拟账户标识、和与所述服务器私钥相对应的服务器公钥；
业务客户端获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将所述本地生物认证请求转发给生物认证客户端，生物认证客户端利用所述生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将所述本地生物认证响应返回给业务客户端；
在本地生物特征校验结果为通过时，业务客户端将认证信息响应报文发送给生物认证中间件，生物认证中间件将所述认证信息响应报文转发给生物认证客户端；生物认证客户端将所述认证信息响应报文转发给身份认证检验器，身份认证检验器采用所述服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与所述生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；生物认证客户端将所述认证请求报文返回给生物认证中间件，生物认证中间件将所述认证请求报文返回给业务客户端；
业务客户端将所述认证请求报文发送业务服务器，所述认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证。
本申请提供的一种基于生物特征的身份认证方法，应用在认证服务器上，包括：
从业务服务器接收来自用户设备的认证信息请求报文，所述认证信息请求报文中包括用户设备的设备标识；获取对应于所述设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备；
从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥；
采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
本申请还提供了一种基于生物特征的身份注册装置，应用在用户设备上，包括：
业务客户端，用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；所述注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于所述业务账户标识的虚拟账户标识、与所述服务器私钥相对应的服务器公钥；确定用户的生物认证类型，获取所述生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将注册信息响应报文发送给生物认证中间件，接收生物认证中间件返回的注册请求报文，所述注册请求报文包括设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备私钥进行签名；将注册请求报文发送给业务服务器，所述注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用所述用户设备的设备公钥进行验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证；
生物认证中间件，用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发注册信息响应报文，从生物认证客户端接收并向业务客户端转发注册请求报文；
生物认证客户端，用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发注册信息响应报文，从身份认证检验器接收并向生物认证中间件转发注册请求报文；
身份认证检验器，用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的注册信息响应报文后，采用注册信息响应报文中的服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系，将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用所述用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端；
令牌及密钥管理器，用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌；在收到来自身份认证检验器的注册请求报文后采用保存的所述用户设备的设备私钥对注册请求报文进行签名后返回给身份认证检验器。
本申请提供的一种基于生物特征的身份注册装置，应用在认证服务器上，包括：
注册信息响应单元，用于从业务服务器接收来自用户设备的注册信息请求报文，所述注册信息请求报文中包括业务账户标识；生成对应于所述业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备；
注册请求接收单元，用于从业务服务器接收来自用户设备的注册请求报文，所述注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备密钥进行签名；将所述注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用所述设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果；
注册信息保存单元，用于在注册请求报文通过验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
本申请提供的一种基于生物特征的身份认证装置，应用在用户设备上，包括：
业务客户端，用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文，所述认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与所述设备标识对应的虚拟账户标识、和与所述服务器私钥相对应的服务器公钥；获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将认证信息响应报文发送给生物认证中间件，接收生物认证中间件返回的认证请求报文，所述认证请求报文包括设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务私钥进行签名；将认证请求报文发送给业务服务器，所述认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证；
生物认证中间件，用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发认证信息响应报文，从生物认证客户端接收并向业务客户端转发认证请求报文；
生物认证客户端，用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发认证信息响应报文，从身份认证检验器接收并向生物认证中间件转发认证请求报文；
身份认证检验器，用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的认证信息响应报文后，采用认证信息响应报文中的服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与所述生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；
令牌及密钥管理器，用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌。
本申请提供的一种基于生物特征的身份认证装置，应用在认证服务器上，包括：
认证信息响应单元，用于从业务服务器接收来自用户设备的认证信息请求报文，所述认证信息请求报文中包括用户设备的设备标识；获取对应于所述设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备；
认证请求接收单元，用于从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥；
验签及认证单元，用于采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
由以上技术方案可见，本申请的实施例中，在身份注册时采用服务器公钥和服务器私钥来对业务服务器进行验证，采用预存在用户设备上的设备私钥和预存在服务端的设备公钥来对用户设备是否可信进行验证，使得用户设备能够安全的将其设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系注册给认证服务器，提高了身份注册过程的安全性；在身份认证时采用服务器公钥和服务器私钥来对业务服务器进行验证，采用业务私钥和已注册的业务公钥来对用户设备进行验证，并且用户设备需要提供与已注册信息匹配的设备标识、虚拟账户标识、生物认证类型和生物特征令牌才能通过认证，从而极大的增加了身份认证过程的安全性。
附图说明
图1是本申请实施例应用场景的一种网络结构图；
图2是本申请实施例一中一种应用在用户设备上、基于生物特征的身份注册方法的流程图；
图3是本申请实施例一中一种应用在认证服务器上、基于生物特征的身份注册方法的流程图；
图4是本申请实施例一中一种用户设备、业务服务器、认证服务器与生物认证中心服务器之间身份注册的交互流程图；
图5是本申请实施例二中一种应用在用户设备上、基于生物特征的身份认证方法的流程图；
图6是本申请实施例二中一种应用在认证服务器上、基于生物特征的身份认证方法的流程图；
图7是本申请实施例二中一种用户设备、业务服务器与认证服务器之间身份认证的交互流程图；
图8是用户设备或认证服务器的一种硬件结构图；
图9是本申请实施例中一种应用在用户设备上基于生物特征的身份注册装置、或一种应用在用户设备上基于生物特征的身份认证装置的逻辑结构图；
图10是本申请实施例中一种应用在认证服务器上、基于生物特征的身份注册装置的逻辑结构图；
图11是本申请实施例中一种应用在认证服务器上、基于生物特征的身份认证装置的逻辑结构图。
具体实施方式
在基于用户设备的生物识别应用中，用户的生物数据由用户设备采集，生物识别可以在用户设备上进行，也可以由服务器进行。由于向服务器上传这些图像或视频数据往往会消耗大量的流量，本申请的实施例中，生物识别在用户设备上完成。
本申请实施例应用场景的一种网络结构如图1所示，用户设备与业务服务器、业务服务器与认证服务器之间通过通信网络相互可访问。其中，用户设备是具有生物特征识别功能的终端设备，可以是手机、平板电脑、PC(Personal Computer，个人电脑)、笔记本等设备；业务服务器用来接收用户通过用户设备发起的业务请求(包括注册和认证请求)，并向用户设备发送对其请求的响应；认证服务器用来对用户账户进行身份认证；业务服务器或认证服务器可以是一个物理或逻辑服务器，也可以是由两个或两个以上分担不同职责的物理或逻辑服务器、相互协同来实现本申请实施例中业务服务器或认证服务器的各项功能。本申请实施例对用户设备、业务服务器和认证服务器的种类，以及用户设备与业务服务器之间、业务服务器与认证服务器之间通信网络的类型、协议等均不做限定。
本申请的实施例一描述一种基于生物特征的身份注册方法，该方法应用在用户设备上的流程如图2所示，应用在认证服务器上的流程如图3所示。
本申请的实施例中，用户设备上运行有以下功能模块：业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器。这些功能模块可以是一个独立的软件、某个独立软件的组成部分、或软件与硬件相结合的实现，本申请的实施例对其具体实现不做限定。
本申请的实施例中，用户设备上保存有设备私钥，由令牌及密钥管理器保存和使用；生物认证中心服务器可以从本地或其他可访问的网络存储位置获取到用户设备的设备标识与该用户设备的设备公钥的对应关系，同一个用户设备的设备私钥与设备公钥相对应。认证服务器可以通过网络访问生物认证中心服务器。设备私钥可以在设备出厂前预存在用户设备上；也可以由用户设备、生物认证中心服务器或某个其他的网络节点生成相对应的设备私钥和设备公钥后，分别交由用户设备和生物认证中心服务器保存；本申请的实施例不做限定。
在用户设备上，步骤210，业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将设备信息请求转发给生物认证客户端，生物认证客户端将设备信息请求转发给身份认证检验器，身份认证检验器获取用户设备包括设备标识的设备信息并将设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将设备信息响应返回给生物认证中间件，生物认证中间件将设备信息响应返回给业务客户端。
当用户在用户设备上的业务客户端启动利用生物特征进行身份验证的注册流程时，业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将设备信息请求转发给生物认证客户端，生物认证客户端将设备信息请求转发给身份认证检验器。
身份认证检验器获取用户设备的设备信息，其中包括设备标识，还可以包括设备型号、生产厂商等。可以采用用户设备的硬件标识来作为设备标识，例如用户设备的UUID(Universally Unique Identifier，通用唯一识别码)、MAC(Media Access Control，媒体接入控制)地址、蓝牙地址等。
身份认证检验器将所获取的设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将设备信息响应返回给生物认证中间件，生物认证中间件将设备信息响应返回给业务客户端。
在用户设备上，步骤220，业务客户端向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于业务账户标识的虚拟账户标识、与服务器私钥相对应的服务器公钥。
在认证服务器上，步骤310，从业务服务器接收来自用户设备的注册信息请求报文，注册信息请求报文中包括业务账户标识；生成对应于业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备。
用户设备的业务客户端向业务服务器发送注册信息请求报文，注册信息请求报文中包括业务账户标识。业务账户标识是该业务服务器上唯一对应于进行身份注册的用户账户的信息，例如可以是该业务系统中用户账户的名称、编码等等。注册信息请求报文中还可以包括用户设备的设备标识。业务服务器将注册信息请求报文转发给认证服务器。
由于认证服务器可能为多个不同的业务系统提供认证服务，这些业务系统分别拥有各自的业务账户，为了避免这些业务系统中的业务账户标识有重复时导致认证服务器上难以区分不同的用户账户，认证服务器在收到注册信息请求报文后，生成对应于该业务账户(即对应于该业务系统中的该业务账户)的虚拟账户标识。虚拟账户标识在认证服务器上唯一对应于某个业务系统中的某个业务账户，本申请实施例对生成虚拟账户标识的方式不做限定，例如，可以将业务系统标识与用户在该业务系统的业务账户标识来作为虚拟账户标识；再如，可以将该业务系统的该用户账户在认证服务器上登记注册账户的数据库中的索引来作为虚拟账户标识。
需要说明的是，如果虚拟账户标识的生成方式不能确保对相同业务系统的相同业务账户生成同样的虚拟账户标识，则认证服务器要保存所生成的虚拟账户标识与业务系统的业务账户的对应关系(或者保存虚拟账户标识与设备标识的对应关系)，以便在后续的身份认证流程中，能够将与注册流程中相同的虚拟账户标识分配给同一个业务系统的同一个用户账户。
认证服务器上预先保存有相对应的服务器私钥和服务器公钥，在生成虚拟账户标识后，认证服务器将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与服务器私钥对注册信息响应报文签名后，发送给业务服务器。业务服务器将注册信息响应报文转发给用户设备的业务客户端。
在用户设备上，步骤230，业务客户端确定用户的生物认证类型，获取该生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将本地生物认证请求转发给生物认证客户端，生物认证客户端利用其中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将本地生物认证响应返回给业务客户端。
业务客户端确定用户在本业务系统中进行身份认证时所采用的生物认证类型，并请求用户提供该类型的生物数据。业务客户端可以在用户设备支持的生物认证类型(即用户设备具有的生物特征识别功能)中按照预置的优先级选择其中的一种，也可以将本业务系统接受并且该用户设备支持的几种生物认证类型显示给用户供其选择，本申请的实施例不做限定。生物认证类型可以是指纹、声音、虹膜、人脸等。
用户的生物数据可以是业务客户端确定的生物认证类型中该用户设备能够识别的任何一个特定对象，例如对指纹而言，可以是任何一个手指的指纹；对虹膜而言，可以是任意一只眼睛的虹膜。
在业务客户端获取到所确定生物认证类型的生物数据后，将生物数据封装在本地生物认证请求中发送给生物认证中间件，生物认证中间件将本地生物认证请求转发给生物认证客户端。
生物认证客户端利用其中的生物数据对用户身份进行生物特征校验。生物特征校验的具体方式可以参照现有技术中用户设备的生物特征识别方式来实现，例如可以是与用户设备上本地预先保存的样本数据进行比对，如果匹配程度满足某些预定条件，则生物特征校验成功。在校验完成后，生物认证客户端将是否通过的校验结果封装在本地生物认证响应中返回给生物认证中间件，生物认证中间件将本地生物认证响应返回给业务客户端。
在用户设备上，步骤240，在本地生物特征校验结果为通过时，业务客户端将注册信息响应报文发送给生物认证中间件，生物认证中间件将注册信息响应报文转发给生物认证客户端；生物认证客户端将注册信息响应报文转发给身份认证检验器，身份认证检验器采用服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系；身份认证检验器将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端，生物认证客户端将注册请求报文返回给生物认证中间件，生物认证中间件将注册请求报文返回给业务客户端。
业务客户端从生物认证中间件返回的本地生物认证响应中提取本地生物特征校验结果，如果结果为未通过，则身份注册流程以失败结束。当本地生物特征校验结果为通过时，业务客户端将注册信息响应报文发送给生物认证中间件，生物认证中间件将注册信息响应报文转发给生物认证客户端；生物认证客户端将注册信息响应报文转发给身份认证检验器。
身份认证检验器从注册信息响应报文中提取服务器公钥，采用该服务器公钥对注册信息响应报文进行验签，如果验签未通过，则说明注册信息响应报文很可能并非来自于可靠的认证服务器，注册流程以失败结束。在验签通过后，身份认证检验器向令牌及密钥管理器请求生物特征令牌。令牌及密钥管理器将与用户最近一次通过本地生物校验时所采用生物数据(即业务客户端在步骤230中用来进行本地生物特征校验时所获取的生物数据)对应的生物特征令牌返回给身份认证检验器。
生物特征令牌是该用户设备上唯一对应于用于校验该生物数据的样本数据的特征量或索引值。也就是说，用户的每个手指的指纹分别对应于一个不同的生物特征令牌，人脸的对应于另外一个不同的生物特征令牌；每次用户采用拇指进行生物特征校验时，用户设备采集的拇指指纹数据都是用拇指指纹的样本数据进行校验，因而这些拇指指纹数据都对应于同一个生物特征令牌。本申请对生物特征令牌的形式和生成生物特征令牌的具体方式不做限定，例如可以是对该样本数据或该样本数据的一部分应用摘要算法后得到的信息摘要，也可以是一个对应于该样本数据的随机数。
身份认证检验器生成相对应的业务公钥和业务私钥，保存注册信息响应报文中的虚拟账户标识、用户最近一次通过本地生物校验时所采用的生物认证类型、令牌及密钥管理器返回的生物特征令牌、与生成的业务私钥的对应关系。身份认证检验器将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，将注册请求报文发送给令牌及密钥管理器。令牌及密钥管理器读取保存的用户设备的设备私钥，用设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端。
生物认证客户端将注册请求报文返回给生物认证中间件，生物认证中间件将注册请求报文返回给业务客户端。
在用户设备上，步骤250，业务客户端将注册请求报文发送业务服务器，注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用用户设备的设备公钥进行验签后，保存设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对用户账户进行身份认证。
在认证服务器上，步骤320，从业务服务器接收来自用户设备的注册请求报文，注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用用户设备的设备密钥进行签名；将注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用其中设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果。
在认证服务器上，步骤330，在注册请求报文通过验签后，保存设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对用户账户进行身份认证。
业务客户端将生物认证中间件返回的注册请求报文发送给业务服务器。业务服务器将注册请求报文转发给认证服务器。
认证服务器将注册请求报文发送给生物认证中心服务器。生物认证中心服务器从接收的注册请求报文中提取设备标识，从可访问的网络存储位置查找与该设备标识对应的设备公钥，利用设备公钥对注册请求报文进行验签，并将验签结果返回给认证服务器。
如果验签未通过，认证拒绝注册请求并通知业务服务器，由业务服务器将注册失败的结果通知业务客户端。如果验签结果为通过，认证服务器保存注册请求报文中设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系。
认证服务器可以向业务服务器返回注册成功的注册响应报文，由业务服务器将注册成功的消息通知用户设备的业务客户端。认证服务器可以在注册响应报文中携带上述对应关系中的虚拟账户标识和生物认证类型，以及与该虚拟账户标识对应的业务账户标识，由业务服务器保存注册成功的注册响应报文中业务账户标识、虚拟账户标识和生物认证类型的对应关系。
在一种实现方式中，认证服务器可以在收到注册信息请求报文后，生成虚拟账户标识和该虚拟账户的注册挑战码，注册挑战码的生成方式可以采用各种一次性口令的生成算法，本例中不做限定。认证服务器将虚拟账户标识、服务器公钥和所生成的注册挑战码封装在注册信息响应报文中发送给业务服务器，并启动计时。在生成注册请求报文时，用户设备上的身份认证检验器将注册信息响应报文中的注册挑战码也封装在注册请求报文中。认证服务器收到业务服务器转发的注册请求报文，比对注册请求报文中的注册挑战码和为注册请求报文中虚拟账户生成的注册挑战码，并且并获取发送注册信息响应报文和收到注册请求报文的时间差。如果两个注册验证码不同或者该时间差超过第一预定时长，认证服务器拒绝注册请求并通知业务服务器，由业务服务器将注册失败的结果通知业务客户端；如果两个注册验证码相同并且该时间差不超过第一预定时长，保存注册请求报文中设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系。
本实施例的一种包括注册挑战码的实现方式中，用户设备的各个功能模块、业务服务器、认证服务器与生物认证中心服务器之间的交互流程如图4所示。
在本申请的实施例一中，通过预存在用户设备上的设备私钥和设备公钥来确保用户设备为可信设备，通过服务器公钥和服务器私钥来验证业务服务器的可靠性，从而能够安全的将用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系注册到认证服务器上用于后续的身份认证，提高了身份注册过程的安全性。
本申请的实施例二描述一种基于生物特征的身份认证方法，该方法应用在用户设备上的流程如图5所示，应用在认证服务器上的流程如图6所示。实施例二中的身份认证流程中采用了与实施例一的身份注册流程中相同的一些技术手段，以下只对实施例二中与实施例一中不同的部分进行说明，相同部分请参见实施例一中的内容，不再重复。
在用户设备上，步骤510，业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将设备信息请求转发给生物认证客户端，生物认证客户端将设备信息请求转发给身份认证检验器，身份认证检验器获取用户设备包括设备标识的设备信息并将设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将设备信息响应返回给生物认证中间件，生物认证中间件将设备信息响应返回给业务客户端。
当用户在用户设备上的业务客户端启动利用生物特征进行身份验证的认证流程时，业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将设备信息请求转发给生物认证客户端，生物认证客户端将设备信息请求转发给身份认证检验器。
身份认证检验器获取用户设备的设备信息，其中包括设备标识，还可以包括设备型号、生产厂商等。身份认证检验器将所获取的设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将设备信息响应返回给生物认证中间件，生物认证中间件将设备信息响应返回给业务客户端。
在用户设备上，步骤520，业务客户端向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文；认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与设备标识对应的虚拟账户标识、和与服务器私钥相对应的服务器公钥。
在认证服务器上，步骤610，从业务服务器接收来自用户设备的认证信息请求报文，认证信息请求报文中包括用户设备的设备标识；获取对应于设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备。
用户设备的业务客户端向业务服务器发送认证信息请求报文，认证信息请求报文中包括用户设备的设备标识。认证信息请求报文中还可以包括用户的业务账户标识。业务服务器将认证信息请求报文转发给认证服务器。
在实施例一的身份注册流程中，认证服务器将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系保存在本地或其他可访问的网络存储位置，保存后的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥即为实施例二中已注册的设备标识、已注册的虚拟账户标识、已注册的生物认证类型、已注册的生物特征令牌和已注册的业务公钥。
在收到业务服务器转发的认证请求报文后，认证服务器从中提取用户设备的设备标识，查找与该设备标识对应的已注册的虚拟账户标识，将找到的虚拟账户标识和服务器公钥封装在认证信息响应报文中，并且采用与服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器。业务服务器将认证信息响应报文转发给用户设备。
在用户设备上，步骤530，业务客户端获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将本地生物认证请求转发给生物认证客户端，生物认证客户端利用其中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将本地生物认证响应返回给业务客户端。
业务客户端按照在身份注册流程中已确定的生物认证类型向用户请求、并获取用户提供的该生物认证类型的生物数据。业务客户端将用户的生物数据封装在本地生物认证请求中发送给生物认证中间件，生物认证中间件将本地生物认证请求转发给生物认证客户端。
生物认证客户端利用生物认证请求中的生物数据对用户身份进行生物特征校验。在校验完成后，生物认证客户端将是否通过的校验结果封装在本地生物认证响应中返回给生物认证中间件，生物认证中间件将本地生物认证响应返回给业务客户端。
在用户设备上，步骤540，在本地生物特征校验结果为通过时，业务客户端将认证信息响应报文发送给生物认证中间件，生物认证中间件将认证信息响应报文转发给生物认证客户端；生物认证客户端将认证信息响应报文转发给身份认证检验器，身份认证检验器采用服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与该生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；生物认证客户端将认证请求报文返回给生物认证中间件，生物认证中间件将认证请求报文返回给业务客户端。
业务客户端从生物认证中间件返回的本地生物认证响应中提取本地生物特征校验结果，如果结果为未通过，则身份认证流程以失败结束。当本地生物特征校验结果为通过时，业务客户端将认证信息响应报文发送给生物认证中间件，生物认证中间件将认证信息响应报文转发给生物认证客户端；生物认证客户端将认证信息响应报文转发给身份认证检验器。
身份认证检验器从认证信息响应报文中提取服务器公钥，采用该服务器公钥对认证信息响应报文进行验签，如果验签未通过，则说明认证信息响应报文很可能并非来自于可靠的认证服务器，认证流程以失败结束。在验签通过后，身份认证检验器向令牌及密钥管理器请求生物特征令牌。令牌及密钥管理器将与用户最近一次通过本地生物校验时所采用生物数据(即业务客户端在步骤530中用来进行本地生物特征校验时所获取的生物数据)对应的生物特征令牌返回给身份认证检验器。
身份认证检验器将用户设备的设备标识、从认证信息响应报文中提取的虚拟账户标识、最近一次本地生物特征校验成功时采用的生物认证类型和令牌及密钥管理器返回的生物特征令牌封装在认证请求报文中。身份认证检验器在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中，查找到与最近一次本地生物特征校验成功时所采用的生物认证类型、认证信息响应报文中的虚拟账户标识和令牌及密钥管理器返回的生物特征令牌对应的业务私钥，采用该业务私钥对认证请求报文签名后，返回给生物认证。
生物认证客户端将认证请求报文返回给生物认证中间件，生物认证中间件将认证请求报文返回给业务客户端。
在用户设备上，步骤550，业务客户端将认证请求报文发送业务服务器，认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证。
在认证服务器上，步骤620，从业务服务器接收来自用户设备的认证请求报文，认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥。
在认证服务器上，步骤630，采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
业务客户端将生物认证中间件返回的认证请求报文发送给业务服务器。业务服务器将认证请求报文转发给认证服务器。认证服务器在保存的已注册的设备标识、已注册的虚拟账户标识、已注册的生物认证类型、已注册的生物特征令牌和已注册的业务公钥的对应关系中，查找与认证请求报文中虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥。
认证服务器比对认证请求报文中的生物特征令牌与已注册生物特征令牌，并采用已注册业务公钥对认证请求报文进行验签。如果两个生物特征令牌不同、或者验签未通过，认证服务器拒绝认证请求并通知业务服务器，由业务服务器将认证失败的结果通知业务客户端。如果两个生物特征令牌相同并且验签通过，用户通过身份认证，认证服务器将身份认证通过的结果在认证响应报文中回复给业务服务器。业务服务器可以基于身份认证通过的结果进行相应的业务处理，并将身份认证通过的结果和/或业务处理的结果通知业务客户端。
在一种实现方式中，认证服务器可以在收到认证信息请求报文后，生成对应于认证信息请求报文中设备标识的虚拟账户的认证挑战码。认证服务器将虚拟账户标识、服务器公钥和所生成的认证挑战码封装在认证信息响应报文中发送给业务服务器，并启动计时。在生成认证请求报文时，用户设备上的身份认证检验器将认证信息响应报文中的认证挑战码也封装在认证请求报文中。认证服务器收到业务服务器转发的认证请求报文，比对认证请求报文中的认证挑战码和为认证请求报文中虚拟账户生成的认证挑战码，并且并获取发送认证信息响应报文和收到认证请求报文的时间差。如果两个认证验证码不同或者该时间差超过第二预定时长，认证服务器拒绝认证请求并通知业务服务器，由业务服务器将认证失败的结果通知业务客户端；如果两个认证验证码相同并且该时间差不超过第二预定时长，采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
本实施例的一种包括认证挑战码的实现方式中，用户设备的各个功能模块、业务服务器、认证服务器与生物认证中心服务器之间的交互流程如图7所示。
在本申请的实施例二中，通过预存在用户设备上的设备私钥和设备公钥来确保用户设备为可信设备，通过服务器公钥和服务器私钥来验证业务服务器的可靠性，从而能够安全的将用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系注册到认证服务器上用于后续的身份认证，提高了身份注册过程的安全性。
本申请的实施例二中，采用服务器公钥和服务器私钥来对业务服务器进行验证，采用业务私钥和已注册的业务公钥来对用户设备进行验证，并且用户设备需要提供与已注册信息匹配的设备标识、虚拟账户标识、生物认证类型和生物特征令牌才能通过认证，使得身份认证过程具有极高的安全性。
在上述两个实施例中，可以将身份认证检验器和令牌及密钥管理器运行在用户设备上的安全环境中，以增加注册和认证过程的安全程度。例如，可以将身份认证检验器、令牌及密钥管理器与其他软件模块(如进程或线程)隔离运行并且不允许其他软件模块访问其缓存空间(这两个模块也相互隔离运行并且禁止相互访问缓存空间)；再如，可以将身份认证检验器、令牌及密钥管理器的代码和存储的文件保存在用户设备上安全程度最高、访问控制最为严格的存储区域。
与上述流程实现对应，本申请的实施例还提供了一种应用在用户设备上的基于生物特征的身份注册装置、一种应用在认证服务器上的基于生物特征的身份注册装置、一种应用在用户设备上的基于生物特征的身份认证装置、和一种应用在认证服务器上的基于生物特征的身份认证装置。上述装置均可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为逻辑意义上的装置，是通过用户设备或认证服务器的CPU(CentralProcess Unit，中央处理器)将对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，除了图8所示的CPU、内存以及非易失性存储器之外，用户设备通常还包括用于进行无线信号收发的芯片等其他硬件，认证服务器通常还包括用于实现网络通信功能的板卡等其他硬件。
图9所示为本申请实施例提供的一种基于生物特征的身份注册装置，应用在用户设备上，包括业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，其中：
业务客户端用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；所述注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于所述业务账户标识的虚拟账户标识、与所述服务器私钥相对应的服务器公钥；确定用户的生物认证类型，获取所述生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将注册信息响应报文发送给生物认证中间件，接收生物认证中间件返回的注册请求报文，所述注册请求报文包括设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备私钥进行签名；将注册请求报文发送给业务服务器，所述注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用所述用户设备的设备公钥进行验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证；
生物认证中间件用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发注册信息响应报文，从生物认证客户端接收并向业务客户端转发注册请求报文；
生物认证客户端用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发注册信息响应报文，从身份认证检验器接收并向生物认证中间件转发注册请求报文；
身份认证检验器用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的注册信息响应报文后，采用注册信息响应报文中的服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系，将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用所述用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端；
令牌及密钥管理器用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌；在收到来自身份认证检验器的注册请求报文后采用保存的所述用户设备的设备私钥对注册请求报文进行签名后返回给身份认证检验器。
可选的，所述注册信息响应报文中还包括：认证服务器生成的所述虚拟账户的注册挑战码；所述注册请求报文中还包括：所述注册挑战码，供认证服务器在收到注册请求报文后，根据所述注册挑战码以及发送注册信息响应报文和收到注册请求报文的时间间隔，对注册请求报文进行验证。
可选的，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
图10所示为本申请实施例提供的一种基于生物特征的身份注册装置，应用在认证服务器上，包括注册信息响应单元、注册请求接收单元和注册信息保存单元，其中：
注册信息响应单元用于从业务服务器接收来自用户设备的注册信息请求报文，所述注册信息请求报文中包括业务账户标识；生成对应于所述业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备；
注册请求接收单元用于从业务服务器接收来自用户设备的注册请求报文，所述注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备密钥进行签名；将所述注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用所述设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果；
注册信息保存单元用于在注册请求报文通过验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
可选的，所述装置还包括注册挑战码生成单元，用于生成所述虚拟账户的注册挑战码；所述注册信息响应报文中还包括：所生成的注册挑战码；所述注册请求报文中还包括：注册挑战码；所述注册信息保存单元具体用于：在注册请求报文通过验签后，当注册请求报文中的注册挑战码与为注册请求报文中虚拟账户生成的注册挑战码相同、并且发送注册信息响应报文和收到注册请求报文的时间间隔在第一预定时长范围内时，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系。
图9所示为本申请实施例提供的一种基于生物特征的身份认证装置，应用在用户设备上，包括业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，其中：
业务客户端用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文，所述认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与所述设备标识对应的虚拟账户标识、和与所述服务器私钥相对应的服务器公钥；获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将认证信息响应报文发送给生物认证中间件，接收生物认证中间件返回的认证请求报文，所述认证请求报文包括设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务私钥进行签名；将认证请求报文发送给业务服务器，所述认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证；
生物认证中间件用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发认证信息响应报文，从生物认证客户端接收并向业务客户端转发认证请求报文；
生物认证客户端用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发认证信息响应报文，从身份认证检验器接收并向生物认证中间件转发认证请求报文；
身份认证检验器用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的认证信息响应报文后，采用认证信息响应报文中的服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与所述生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；
令牌及密钥管理器用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌。
可选的，所述认证信息响应报文中还包括：认证服务器生成的所述虚拟账户的认证挑战码；所述认证请求报文中还包括：由身份认证检验器封装的所述认证挑战码，供认证服务器在收到认证请求报文后，根据所述认证挑战码以及发送认证信息响应报文和收到认证请求报文的时间间隔，对认证请求报文进行验证。
可选的，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
图11所示为本申请实施例提供的一种基于生物特征的身份认证装置，应用在认证服务器上，包括认证信息响应单元、认证请求接收单元和验签及认证单元，其中：
认证信息响应单元用于从业务服务器接收来自用户设备的认证信息请求报文，所述认证信息请求报文中包括用户设备的设备标识；获取对应于所述设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备；
认证请求接收单元用于从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥；
验签及认证单元用于采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
可选的，所述装置还包括：认证挑战码生成单元，用于生成所述虚拟账户的认证挑战码；所述认证信息响应报文中还包括：所生成的认证挑战码；所述认证请求报文中还包括：认证挑战码；所述验签及认证单元具体用于：当认证请求报文中的认证挑战码与为认证请求报文中虚拟账户生成的认证挑战码相同、并且发送认证信息响应报文和收到认证请求报文的时间间隔在第二预定时长范围内时，采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

Claims (20)

1.一种基于生物特征的身份注册方法，应用在用户设备上，其特征在于，所述用户设备上运行有业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，所述方法包括：
业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将所述设备信息请求转发给生物认证客户端，生物认证客户端将所述设备信息请求转发给身份认证检验器，身份认证检验器获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将所述设备信息响应返回给生物认证中间件，生物认证中间件将所述设备信息响应返回给业务客户端；
业务客户端向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；所述注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于所述业务账户标识的虚拟账户标识、与所述服务器私钥相对应的服务器公钥；
业务客户端确定用户的生物认证类型，获取所述生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将所述本地生物认证请求转发给生物认证客户端，生物认证客户端利用所述生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将所述本地生物认证响应返回给业务客户端；
在本地生物特征校验结果为通过时，业务客户端将注册信息响应报文发送给生物认证中间件，生物认证中间件将所述注册信息响应报文转发给生物认证客户端；生物认证客户端将所述注册信息响应报文转发给身份认证检验器，身份认证检验器采用所述服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系；身份认证检验器将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用所述用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端，生物认证客户端将所述注册请求报文返回给生物认证中间件，生物认证中间件将所述注册请求报文返回给业务客户端；
业务客户端将所述注册请求报文发送业务服务器，所述注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用所述用户设备的设备公钥进行验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
2.根据权利要求1所述的方法，其特征在于，所述注册信息响应报文中还包括：认证服务器生成的所述虚拟账户的注册挑战码；
所述注册请求报文中还包括：由身份认证检验器封装的所述注册挑战码，供认证服务器在收到注册请求报文后，根据所述注册挑战码以及发送注册信息响应报文和收到注册请求报文的时间间隔，对注册请求报文进行验证。
3.根据权利要求1所述的方法，其特征在于，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
4.一种基于生物特征的身份注册方法，应用在认证服务器上，其特征在于，包括：
从业务服务器接收来自用户设备的注册信息请求报文，所述注册信息请求报文中包括业务账户标识；生成对应于所述业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备；
从业务服务器接收来自用户设备的注册请求报文，所述注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备密钥进行签名；将所述注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用所述设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果；
在注册请求报文通过验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
5.根据权利要求4所述的方法，其特征在于，所述方法还包括：生成所述虚拟账户的注册挑战码；
所述注册信息响应报文中还包括：所生成的注册挑战码；
所述注册请求报文中还包括：注册挑战码；
所述保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，包括：当注册请求报文中的注册挑战码与为注册请求报文中虚拟账户生成的注册挑战码相同、并且发送注册信息响应报文和收到注册请求报文的时间间隔在第一预定时长范围内时，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系。
6.一种基于生物特征的身份认证方法，应用在用户设备上，其特征在于，所述用户设备上运行有业务客户端、生物认证中间件、生物认证客户端、身份认证检验器和令牌及密钥管理器，包括：
业务客户端向生物认证中间件发起设备信息请求，生物认证中间件将所述设备信息请求转发给生物认证客户端，生物认证客户端将所述设备信息请求转发给身份认证检验器，身份认证检验器获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端，生物认证客户端将所述设备信息响应返回给生物认证中间件，生物认证中间件将所述设备信息响应返回给业务客户端；
业务客户端向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文；所述认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与所述设备标识对应的虚拟账户标识、和与所述服务器私钥相对应的服务器公钥；
业务客户端获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，生物认证中间件将所述本地生物认证请求转发给生物认证客户端，生物认证客户端利用所述生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件，生物认证中间件将所述本地生物认证响应返回给业务客户端；
在本地生物特征校验结果为通过时，业务客户端将认证信息响应报文发送给生物认证中间件，生物认证中间件将所述认证信息响应报文转发给生物认证客户端；生物认证客户端将所述认证信息响应报文转发给身份认证检验器，身份认证检验器采用所述服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与所述生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；生物认证客户端将所述认证请求报文返回给生物认证中间件，生物认证中间件将所述认证请求报文返回给业务客户端；
业务客户端将所述认证请求报文发送业务服务器，所述认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证。
7.根据权利要求6所述的方法，其特征在于，所述认证信息响应报文中还包括：认证服务器生成的所述虚拟账户的认证挑战码；
所述认证请求报文中还包括：由身份认证检验器封装的所述认证挑战码，供认证服务器在收到认证请求报文后，根据所述认证挑战码以及发送认证信息响应报文和收到认证请求报文的时间间隔，对认证请求报文进行验证。
8.根据权利要求6所述的方法，其特征在于，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
9.一种基于生物特征的身份认证方法，应用在认证服务器上，其特征在于，包括：
从业务服务器接收来自用户设备的认证信息请求报文，所述认证信息请求报文中包括用户设备的设备标识；获取对应于所述设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备；
从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥；
采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
10.根据权利要求9所述的方法，其特征在于，所述方法还包括：生成所述虚拟账户的认证挑战码；
所述认证信息响应报文中还包括：所生成的认证挑战码；
所述认证请求报文中还包括：认证挑战码；
所述采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证，包括：当认证请求报文中的认证挑战码与为认证请求报文中虚拟账户生成的认证挑战码相同、并且发送认证信息响应报文和收到认证请求报文的时间间隔在第二预定时长范围内时，采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
11.一种基于生物特征的身份注册装置，应用在用户设备上，其特征在于，包括：
业务客户端，用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括业务账户标识的注册信息请求报文，接收业务服务器返回的注册信息响应报文；所述注册信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的注册信息请求报文后生成的对应于所述业务账户标识的虚拟账户标识、与所述服务器私钥相对应的服务器公钥；确定用户的生物认证类型，获取所述生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将注册信息响应报文发送给生物认证中间件，接收生物认证中间件返回的注册请求报文，所述注册请求报文包括设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备私钥进行签名；将注册请求报文发送给业务服务器，所述注册请求报文由业务服务器转发给认证服务器，供认证服务器在交由生物认证中心服务器采用所述用户设备的设备公钥进行验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证；
生物认证中间件，用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发注册信息响应报文，从生物认证客户端接收并向业务客户端转发注册请求报文；
生物认证客户端，用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发注册信息响应报文，从身份认证检验器接收并向生物认证中间件转发注册请求报文；
身份认证检验器，用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的注册信息响应报文后，采用注册信息响应报文中的服务器公钥对注册信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，生成相对应的业务公钥和业务私钥，保存虚拟账户标识、生物认证类型、生物认证令牌和业务私钥的对应关系，将设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥封装在注册请求报文中，并交由令牌及密钥管理器采用所述用户设备的设备私钥对注册请求报文进行签名后，将注册请求报文返回给生物认证客户端；
令牌及密钥管理器，用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌；在收到来自身份认证检验器的注册请求报文后采用保存的所述用户设备的设备私钥对注册请求报文进行签名后返回给身份认证检验器。
12.根据权利要求11所述的装置，其特征在于，所述注册信息响应报文中还包括：认证服务器生成的所述虚拟账户的注册挑战码；
所述注册请求报文中还包括：所述注册挑战码，供认证服务器在收到注册请求报文后，根据所述注册挑战码以及发送注册信息响应报文和收到注册请求报文的时间间隔，对注册请求报文进行验证。
13.根据权利要求11所述的装置，其特征在于，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
14.一种基于生物特征的身份注册装置，应用在认证服务器上，其特征在于，包括：
注册信息响应单元，用于从业务服务器接收来自用户设备的注册信息请求报文，所述注册信息请求报文中包括业务账户标识；生成对应于所述业务账户标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在注册信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对注册信息响应报文签名后，发送给业务服务器，供业务服务器将注册信息响应报文转发给用户设备；
注册请求接收单元，用于从业务服务器接收来自用户设备的注册请求报文，所述注册请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥，并采用所述用户设备的设备密钥进行签名；将所述注册请求报文发送给生物认证中心服务器，接收生物认证中心服务器采用所述设备标识对应的设备公钥对注册请求报文进行验签后返回的验签结果；
注册信息保存单元，用于在注册请求报文通过验签后，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系，以用来对所述账户进行身份认证。
15.根据权利要求14所述的装置，其特征在于，所述装置还包括：注册挑战码生成单元，用于生成所述虚拟账户的注册挑战码；
所述注册信息响应报文中还包括：所生成的注册挑战码；
所述注册请求报文中还包括：注册挑战码；
所述注册信息保存单元具体用于：在注册请求报文通过验签后，当注册请求报文中的注册挑战码与为注册请求报文中虚拟账户生成的注册挑战码相同、并且发送注册信息响应报文和收到注册请求报文的时间间隔在第一预定时长范围内时，保存所述设备标识、虚拟账户标识、生物认证类型、生物特征令牌和业务公钥的对应关系。
16.一种基于生物特征的身份认证装置，应用在用户设备上，其特征在于，包括：
业务客户端，用于向生物认证中间件发起设备信息请求，接收生物认证中间件返回的带有设备标识的设备信息响应；向业务服务器发送包括设备标识的认证信息请求报文，接收业务服务器返回的认证信息响应报文，所述认证信息响应报文由认证服务器采用服务器私钥签名后发送给业务服务器，其中包括认证服务器在收到业务服务器转发的认证信息请求报文后获取的与所述设备标识对应的虚拟账户标识、和与所述服务器私钥相对应的服务器公钥；获取注册时所采用生物认证类型的用户的生物数据，将生物数据携带在本地生物认证请求中发送给生物认证中间件，接收生物认证中间件返回的带有本地生物校验结果的本地生物认证响应；在本地生物特征校验结果为通过时，将认证信息响应报文发送给生物认证中间件，接收生物认证中间件返回的认证请求报文，所述认证请求报文包括设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务私钥进行签名；将认证请求报文发送给业务服务器，所述认证请求报文由业务服务器转发给认证服务器，供认证服务器根据与虚拟账户标识、设备标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥对用户进行身份认证；
生物认证中间件，用于从业务客户端接收并向生物认证客户端转发设备信息请求，从生物认证客户端接收并向业务客户端转发设备信息响应；从业务客户端接收并向生物认证客户端转发本地生物认证请求，从生物认证客户端接收并向业务客户端转发本地生物认证响应；从业务客户端接收并向生物认证客户端转发认证信息响应报文，从生物认证客户端接收并向业务客户端转发认证请求报文；
生物认证客户端，用于从生物认证中间件接收并向身份认证检验器转发设备信息请求，从身份认证检验器接收并向生物认证中间件转发设备信息响应；从生物认证中间件接收本地生物认证请求，利用本地生物认证请求中的生物数据对用户身份进行生物特征校验并将校验结果在本地生物认证响应中返回给生物认证中间件；从生物认证中间件接收并向身份认证检验器转发认证信息响应报文，从身份认证检验器接收并向生物认证中间件转发认证请求报文；
身份认证检验器，用于在收到生物认证客户端转发的设备信息请求后，获取所述用户设备包括设备标识的设备信息并将所述设备信息携带在设备信息响应中返回给生物认证客户端；在收到生物认证客户端转发的认证信息响应报文后，采用认证信息响应报文中的服务器公钥对认证信息响应报文进行验签，在验签通过后从令牌及密钥管理器获取与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌，在保存的虚拟账户标识、生物认证类型、生物特征令牌、和业务私钥的对应关系中获取与所述生物认证类型、认证信息响应报文中的虚拟账户标识和生物特征令牌对应的业务私钥，将设备标识、虚拟账户标识、生物认证类型和生物特征令牌封装在认证请求报文中，并采用业务私钥对认证请求报文签名后，返回给生物认证客户端；
令牌及密钥管理器，用于向身份认证检验器提供与用户最近一次通过本地生物校验时所采用生物数据对应的生物特征令牌。
17.根据权利要求16所述的装置，其特征在于，所述认证信息响应报文中还包括：认证服务器生成的所述虚拟账户的认证挑战码；
所述认证请求报文中还包括：由身份认证检验器封装的所述认证挑战码，供认证服务器在收到认证请求报文后，根据所述认证挑战码以及发送认证信息响应报文和收到认证请求报文的时间间隔，对认证请求报文进行验证。
18.根据权利要求16所述的装置，其特征在于，所述身份认证检验器和令牌及密钥管理器运行在所述用户设备上的安全环境中。
19.一种基于生物特征的身份认证装置，应用在认证服务器上，其特征在于，包括：
认证信息响应单元，用于从业务服务器接收来自用户设备的认证信息请求报文，所述认证信息请求报文中包括用户设备的设备标识；获取对应于所述设备标识的虚拟账户标识，将虚拟账户标识和服务器公钥封装在认证信息响应报文中，采用与所述服务器公钥相对应的服务器私钥对认证信息响应报文签名后，发送给业务服务器，供业务服务器将认证信息响应报文转发给用户设备；
认证请求接收单元，用于从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备标识、虚拟账户标识、生物认证类型和生物特征令牌，并采用业务公钥进行签名；获取与认证请求报文中的设备标识、虚拟账户标识和生物认证类型对应的已注册生物特征令牌和已注册业务公钥；
验签及认证单元，用于采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
20.根据权利要求19所述的装置，其特征在于，所述装置还包括：认证挑战码生成单元，用于生成所述虚拟账户的认证挑战码；
所述认证信息响应报文中还包括：所生成的认证挑战码；
所述认证请求报文中还包括：认证挑战码；
所述验签及认证单元具体用于：当认证请求报文中的认证挑战码与为认证请求报文中虚拟账户生成的认证挑战码相同、并且发送认证信息响应报文和收到认证请求报文的时间间隔在第二预定时长范围内时，采用已注册业务公钥对认证请求报文进行验签，并根据认证请求报文中的生物特征令牌和已注册生物特征令牌对用户进行身份认证。
CN201610192200.0A 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置 Active CN107294721B (zh)

Priority Applications (18)

Application Number Priority Date Filing Date Title
CN201610192200.0A CN107294721B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置
CN201910284426.7A CN110166246B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置
PCT/CN2017/077686 WO2017167093A1 (zh) 2016-03-30 2017-03-22 基于生物特征的身份注册、认证的方法和装置
BR112018070205-6A BR112018070205B1 (pt) 2016-03-30 2017-03-22 Método para registrar uma identidade biométrica e dispositivo para registrar uma identidade biométrica
MX2018011978A MX2018011978A (es) 2016-03-30 2017-03-22 Metodo y dispositivo para registrar identidad biometrica y autenticar identidad biometrica.
ES17773123T ES2865398T3 (es) 2016-03-30 2017-03-22 Método y dispositivo para registrar identidad biométrica y autenticar identidad biométrica
AU2017242765A AU2017242765C1 (en) 2016-03-30 2017-03-22 Method and device for registering biometric identity and authenticating biometric identity
CA3020059A CA3020059C (en) 2016-03-30 2017-03-22 Method and device for registering biometric identity and authenticating biometric identity
JP2018551819A JP6877460B2 (ja) 2016-03-30 2017-03-22 バイオメトリックアイデンティティを登録し、バイオメトリックアイデンティティを認証する方法及びデバイス
RU2018137991A RU2730087C2 (ru) 2016-03-30 2017-03-22 Способ и устройство для регистрации биометрической идентификации и аутентификации биометрической идентификации
SG11201808543TA SG11201808543TA (en) 2016-03-30 2017-03-22 Method and device for registering biometric identity and authenticating biometric identity
PL17773123T PL3439230T3 (pl) 2016-03-30 2017-03-22 Sposób i urządzenie do rejestracji tożsamości biometrycznej i uwierzytelniania tożsamości biometrycznej
EP17773123.9A EP3439230B1 (en) 2016-03-30 2017-03-22 Method and device for registering biometric identity and authenticating biometric identity
KR1020187030773A KR102194060B1 (ko) 2016-03-30 2017-03-22 생체 식별정보를 등록하고 생체 식별정보를 인증하기 위한 방법 및 디바이스
US16/135,835 US11025619B2 (en) 2016-03-30 2018-09-19 Biometric identity registration and authentication
PH12018502092A PH12018502092A1 (en) 2016-03-30 2018-09-28 Method and device for registering biometric identity and authenticating biometric identity
ZA2018/07220A ZA201807220B (en) 2016-03-30 2018-10-29 Method and device for registering biometric identity and authenticating biometric identity
US16/722,876 US10893044B2 (en) 2016-03-30 2019-12-20 Biometric identity registration and authentication

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610192200.0A CN107294721B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201910284426.7A Division CN110166246B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置

Publications (2)

Publication Number Publication Date
CN107294721A true CN107294721A (zh) 2017-10-24
CN107294721B CN107294721B (zh) 2019-06-18

Family

ID=59963504

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201910284426.7A Active CN110166246B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置
CN201610192200.0A Active CN107294721B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN201910284426.7A Active CN110166246B (zh) 2016-03-30 2016-03-30 基于生物特征的身份注册、认证的方法和装置

Country Status (16)

Country Link
US (2) US11025619B2 (zh)
EP (1) EP3439230B1 (zh)
JP (1) JP6877460B2 (zh)
KR (1) KR102194060B1 (zh)
CN (2) CN110166246B (zh)
AU (1) AU2017242765C1 (zh)
BR (1) BR112018070205B1 (zh)
CA (1) CA3020059C (zh)
ES (1) ES2865398T3 (zh)
MX (1) MX2018011978A (zh)
PH (1) PH12018502092A1 (zh)
PL (1) PL3439230T3 (zh)
RU (1) RU2730087C2 (zh)
SG (1) SG11201808543TA (zh)
WO (1) WO2017167093A1 (zh)
ZA (1) ZA201807220B (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108962360A (zh) * 2018-08-20 2018-12-07 北京旷视科技有限公司 核验方法、装置及服务器、应用服务器、实名制核验系统
CN110046485A (zh) * 2017-11-17 2019-07-23 佳能株式会社 信息处理系统及方法、信息处理设备及方法和存储介质
CN110730073A (zh) * 2019-09-05 2020-01-24 贝壳技术有限公司 旁路验签方法和系统、服务端、签名管理平台、介质
CN111008370A (zh) * 2018-10-08 2020-04-14 阿里巴巴集团控股有限公司 用于生物特征认证的方法、系统和计算机可读介质
CN111526166A (zh) * 2020-07-03 2020-08-11 支付宝(杭州)信息技术有限公司 一种信息验证方法、装置及设备
CN111818516A (zh) * 2019-04-12 2020-10-23 华为技术有限公司 认证方法、装置及设备
CN113285808A (zh) * 2021-05-18 2021-08-20 挂号网（杭州）科技有限公司 一种身份信息核验方法、装置、设备和存储介质
CN113992411A (zh) * 2021-11-01 2022-01-28 令牌云(上海)科技有限公司 一种基于可信设备的用户身份认证方法和装置
CN114827175A (zh) * 2021-01-18 2022-07-29 成都质数斯达克科技有限公司 注册方法、电子设备及可读存储介质

Families Citing this family (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110166246B (zh) 2016-03-30 2022-07-08 创新先进技术有限公司 基于生物特征的身份注册、认证的方法和装置
JP2018190354A (ja) * 2017-05-11 2018-11-29 レノボ・シンガポール・プライベート・リミテッド 情報処理装置、認証手段決定方法及び認証手段決定プログラム
JP6759152B2 (ja) * 2017-05-24 2020-09-23 キヤノン株式会社 画像処理装置、方法、プログラム及びシステム
JP6882080B2 (ja) * 2017-05-31 2021-06-02 キヤノン株式会社 画像処理装置、方法、プログラム及びシステム
WO2020116916A1 (ko) * 2018-12-05 2020-06-11 엘지전자 주식회사 무선 통신 시스템에서 생체정보를 이용하여 인증을 하기 위한 방법 및 장치
WO2020123192A1 (en) 2018-12-14 2020-06-18 Mastercard International Incorporated Systems, methods, and non-transitory computer-readable media for secure individual identification
CN111526112A (zh) * 2019-02-02 2020-08-11 京东方科技集团股份有限公司 跨域设备注册方法、装置和计算机可读存储介质
KR102322435B1 (ko) 2019-05-13 2021-11-10 고려대학교 산학협력단 퍼지 데이터로부터 동일한 키를 추출하는 방법 및 이를 이용한 사용자 인증 방법
KR102561689B1 (ko) * 2019-05-29 2023-08-01 삼성에스디에스 주식회사 생체 정보 등록 장치 및 방법, 생체 인증 장치 및 방법
CN110688364A (zh) * 2019-09-05 2020-01-14 Oppo（重庆）智能科技有限公司 数据转移方法、装置、存储介质及电子设备
CN110570569B (zh) * 2019-09-11 2022-02-11 广州小鹏汽车科技有限公司 虚拟钥匙配置信息的激活方法、移动终端及服务器
JP7372527B2 (ja) * 2019-09-26 2023-11-01 富士通株式会社 通信中継プログラム、中継装置、及び通信中継方法
US11556665B2 (en) 2019-12-08 2023-01-17 Western Digital Technologies, Inc. Unlocking a data storage device
US11366933B2 (en) 2019-12-08 2022-06-21 Western Digital Technologies, Inc. Multi-device unlocking of a data storage device
CN113055157B (zh) * 2019-12-27 2023-03-10 京东科技控股股份有限公司 生物特征验证方法、装置、存储介质与电子设备
CN111144895B (zh) * 2019-12-31 2023-10-31 中国银联股份有限公司 一种数据处理方法、装置与系统
TWI725696B (zh) * 2020-01-07 2021-04-21 緯創資通股份有限公司 行動裝置、驗證終端裝置及身分驗證方法
US11606206B2 (en) 2020-01-09 2023-03-14 Western Digital Technologies, Inc. Recovery key for unlocking a data storage device
US11265152B2 (en) 2020-01-09 2022-03-01 Western Digital Technologies, Inc. Enrolment of pre-authorized device
US11831752B2 (en) 2020-01-09 2023-11-28 Western Digital Technologies, Inc. Initializing a data storage device with a manager device
US11334677B2 (en) 2020-01-09 2022-05-17 Western Digital Technologies, Inc. Multi-role unlocking of a data storage device
US11469885B2 (en) 2020-01-09 2022-10-11 Western Digital Technologies, Inc. Remote grant of access to locked data storage device
KR102334900B1 (ko) * 2020-04-01 2021-12-03 이데아텍(주) 음파 통신을 이용한 생체 정보 기반 대리 인증 서비스 시스템 및 방법
KR102307361B1 (ko) * 2020-04-21 2021-09-29 문지명 웹 기반 인증 방법, 상기 인증 방법을 위한 컴퓨터 프로그램, 기록매체 및 서버 장치
US11860688B1 (en) * 2020-04-28 2024-01-02 T-Mobile Innovations Llc Network generated precision time
CN112383912B (zh) * 2020-11-02 2022-08-02 中国联合网络通信集团有限公司 开户方法、服务器、系统及存储介质
CN112287319A (zh) * 2020-11-02 2021-01-29 刘高峰 一种基于生物特征的身份验证方法、客户端、服务端及系统
CN112580010B (zh) * 2020-12-23 2024-01-30 四川虹微技术有限公司 一种生物特征共享方法、装置、电子设备及存储介质
CN113971274B (zh) * 2021-12-02 2022-12-27 国家石油天然气管网集团有限公司 一种身份识别方法及装置
CN115001786B (zh) * 2022-05-26 2024-01-12 浙江零跑科技股份有限公司 一种智能座舱人脸关联个性应用账号的实现方法
EP4300885A1 (en) * 2022-07-01 2024-01-03 Bayerische Motoren Werke Aktiengesellschaft Secure element, trusted authority, device, key management server, backend, method and computer program

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102664885A (zh) * 2012-04-18 2012-09-12 南京邮电大学 一种基于生物特征加密和同态算法的身份认证方法
CN103067390A (zh) * 2012-12-28 2013-04-24 青岛爱维互动信息技术有限公司 一种基于人脸特征的用户注册认证方法和系统
CN103346888A (zh) * 2013-07-02 2013-10-09 山东科技大学 一种基于密码、智能卡和生物特征的远程身份认证方法
US20130318359A1 (en) * 2012-05-22 2013-11-28 Partnet, Inc. Systems and methods for verifying uniqueness in anonymous authentication

Family Cites Families (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020157090A1 (en) * 2001-04-20 2002-10-24 Anton, Jr. Francis M. Automated updating of access points in a distributed network
WO2004006076A2 (en) * 2002-07-03 2004-01-15 Aurora Wireless Technologies, Ltd. Biometric private key infrastructure
US7386878B2 (en) * 2002-08-14 2008-06-10 Microsoft Corporation Authenticating peer-to-peer connections
JP2005085102A (ja) * 2003-09-10 2005-03-31 Canon Inc 保証システム
JP2005115583A (ja) * 2003-10-07 2005-04-28 Hitachi Ltd ユーザ認証システム
US7427024B1 (en) * 2003-12-17 2008-09-23 Gazdzinski Mark J Chattel management apparatus and methods
KR20060063590A (ko) * 2004-12-07 2006-06-12 한국전자통신연구원 생체인식을 이용한 통합 인증 방법 및 그 시스템
US20070061590A1 (en) * 2005-09-13 2007-03-15 Boye Dag E Secure biometric authentication system
EP1777641A1 (en) * 2005-10-17 2007-04-25 Saflink Corporation Biometric authentication system
US7623659B2 (en) * 2005-11-04 2009-11-24 Cisco Technology, Inc. Biometric non-repudiation network security systems and methods
US20090293111A1 (en) * 2005-11-29 2009-11-26 Lai Yau S Third party system for biometric authentication
KR100759813B1 (ko) * 2005-12-12 2007-09-20 한국전자통신연구원 생체정보를 이용한 사용자 인증 방법
JP2007172507A (ja) * 2005-12-26 2007-07-05 Sharp Corp ユーザ認証システム、ユーザ認証方法、認証情報格納装置、および、認証情報格納プログラム
US9118656B2 (en) * 2006-01-26 2015-08-25 Imprivata, Inc. Systems and methods for multi-factor authentication
US7502761B2 (en) * 2006-02-06 2009-03-10 Yt Acquisition Corporation Method and system for providing online authentication utilizing biometric data
JPWO2007094165A1 (ja) * 2006-02-15 2009-07-02 日本電気株式会社 本人確認システムおよびプログラム、並びに、本人確認方法
CN100518068C (zh) * 2006-06-02 2009-07-22 阿里巴巴集团控股有限公司 一种通过浏览器实现即时通信的方法及系统
US20100242102A1 (en) * 2006-06-27 2010-09-23 Microsoft Corporation Biometric credential verification framework
US20080086771A1 (en) * 2006-10-04 2008-04-10 Kang Li Apparatus, system, and method for authenticating users of digital communication devices
JP4996904B2 (ja) * 2006-10-04 2012-08-08 株式会社日立製作所 生体認証システム、登録端末、認証端末、及び認証サーバ
US20080120698A1 (en) * 2006-11-22 2008-05-22 Alexander Ramia Systems and methods for authenticating a device
US20080120707A1 (en) * 2006-11-22 2008-05-22 Alexander Ramia Systems and methods for authenticating a device by a centralized data server
CN101291220B (zh) * 2007-04-16 2010-08-18 华为技术有限公司 一种身份安全认证的系统、装置及方法
US20080289020A1 (en) * 2007-05-15 2008-11-20 Microsoft Corporation Identity Tokens Using Biometric Representations
US20090193507A1 (en) * 2008-01-28 2009-07-30 Wael Ibrahim Authentication messaging service
US8159328B2 (en) * 2008-07-16 2012-04-17 George William Luckhardt Biometric authentication and verification
US20100217975A1 (en) * 2009-02-25 2010-08-26 Garret Grajek Method and system for secure online transactions with message-level validation
US8260262B2 (en) * 2009-06-22 2012-09-04 Mourad Ben Ayed Systems for three factor authentication challenge
US8850554B2 (en) * 2010-02-17 2014-09-30 Nokia Corporation Method and apparatus for providing an authentication context-based session
CN102281311B (zh) * 2010-06-10 2014-06-04 阿里巴巴集团控股有限公司 一种基于开放应用编程接口实现网络业务的方法、系统及装置
US8739260B1 (en) * 2011-02-10 2014-05-27 Secsign Technologies Inc. Systems and methods for authentication via mobile communication device
US8924712B2 (en) * 2011-11-14 2014-12-30 Ca, Inc. Using QR codes for authenticating users to ATMs and other secure machines for cardless transactions
US20140214673A1 (en) * 2011-12-21 2014-07-31 Jim S. Baca Method for authentication using biometric data for mobile device e-commerce transactions
US8751794B2 (en) * 2011-12-28 2014-06-10 Pitney Bowes Inc. System and method for secure nework login
US8984276B2 (en) * 2012-01-10 2015-03-17 Jpmorgan Chase Bank, N.A. System and method for device registration and authentication
US20130262873A1 (en) * 2012-03-30 2013-10-03 Cgi Federal Inc. Method and system for authenticating remote users
JP5926441B2 (ja) * 2012-04-01 2016-05-25 オーセンティファイ・インクＡｕｔｈｅｎｔｉｆｙ Ｉｎｃ． マルチパーティシステムにおける安全な認証
US9208492B2 (en) * 2013-05-13 2015-12-08 Hoyos Labs Corp. Systems and methods for biometric authentication of transactions
PL2885904T3 (pl) * 2012-08-03 2018-09-28 Vasco Data Security International Gmbh Dogodny dla użytkownika sposób uwierzytelniania i urządzenie stosujące mobilną aplikację uwierzytelniania
CN104685824B (zh) 2012-09-26 2018-07-10 株式会社东芝 生物体参照信息登记系统、装置及方法
US20140136419A1 (en) * 2012-11-09 2014-05-15 Keith Shoji Kiyohara Limited use tokens granting permission for biometric identity verification
US9130929B2 (en) * 2013-03-15 2015-09-08 Aol Inc. Systems and methods for using imaging to authenticate online users
US10270748B2 (en) * 2013-03-22 2019-04-23 Nok Nok Labs, Inc. Advanced authentication techniques and applications
US9003196B2 (en) * 2013-05-13 2015-04-07 Hoyos Labs Corp. System and method for authorizing access to access-controlled environments
EP3025270A1 (en) * 2013-07-25 2016-06-01 Nymi inc. Preauthorized wearable biometric device, system and method for use thereof
US10171501B2 (en) * 2013-09-20 2019-01-01 Open Text Sa Ulc System and method for remote wipe
US20150180869A1 (en) * 2013-12-23 2015-06-25 Samsung Electronics Company, Ltd. Cloud-based scalable authentication for electronic devices
US9537661B2 (en) * 2014-02-28 2017-01-03 Verizon Patent And Licensing Inc. Password-less authentication service
US9635010B2 (en) * 2014-06-13 2017-04-25 Verizon Patent And Licensing Inc. Network-based authentication for third party content
US9559847B2 (en) * 2014-07-24 2017-01-31 Airwatch Llc Content access for duration of calendar events
US10148630B2 (en) * 2014-07-31 2018-12-04 Nok Nok Labs, Inc. System and method for implementing a hosted authentication service
US9900182B2 (en) * 2015-02-11 2018-02-20 Dell Products L.P. Client side redirection with pluggable authentication and authorization
FR3033205B1 (fr) * 2015-02-27 2018-04-06 C.E.S.A.M.E.S Groupe Procede de transaction sans support physique d'un identifiant de securite et sans jeton, securise par decouplage structurel des identifiants personnels et de services.
US9787678B2 (en) * 2015-07-30 2017-10-10 Verizon Patent And Licensing Inc. Multifactor authentication for mail server access
CN106487511B (zh) * 2015-08-27 2020-02-04 阿里巴巴集团控股有限公司 身份认证方法及装置
US9939908B2 (en) * 2015-09-28 2018-04-10 Paypal, Inc. Multi-device authentication
US10084780B2 (en) * 2015-12-15 2018-09-25 Verizon Patent And Licensing Inc. Network-based authentication and security services
US9992198B2 (en) * 2015-12-15 2018-06-05 Verizon Patent And Licensing Inc. Network-based frictionless two-factor authentication service
CN110166246B (zh) 2016-03-30 2022-07-08 创新先进技术有限公司 基于生物特征的身份注册、认证的方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102664885A (zh) * 2012-04-18 2012-09-12 南京邮电大学 一种基于生物特征加密和同态算法的身份认证方法
US20130318359A1 (en) * 2012-05-22 2013-11-28 Partnet, Inc. Systems and methods for verifying uniqueness in anonymous authentication
CN103067390A (zh) * 2012-12-28 2013-04-24 青岛爱维互动信息技术有限公司 一种基于人脸特征的用户注册认证方法和系统
CN103346888A (zh) * 2013-07-02 2013-10-09 山东科技大学 一种基于密码、智能卡和生物特征的远程身份认证方法

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110046485B (zh) * 2017-11-17 2022-05-31 佳能株式会社 信息处理系统及方法、信息处理设备及方法和存储介质
CN110046485A (zh) * 2017-11-17 2019-07-23 佳能株式会社 信息处理系统及方法、信息处理设备及方法和存储介质
CN108962360A (zh) * 2018-08-20 2018-12-07 北京旷视科技有限公司 核验方法、装置及服务器、应用服务器、实名制核验系统
CN108962360B (zh) * 2018-08-20 2021-06-22 北京旷视科技有限公司 核验方法、装置及服务器、应用服务器、实名制核验系统
CN111008370A (zh) * 2018-10-08 2020-04-14 阿里巴巴集团控股有限公司 用于生物特征认证的方法、系统和计算机可读介质
CN111008370B (zh) * 2018-10-08 2022-01-25 创新先进技术有限公司 用于生物特征认证的方法、系统和计算机可读介质
CN111818516A (zh) * 2019-04-12 2020-10-23 华为技术有限公司 认证方法、装置及设备
US11871223B2 (en) 2019-04-12 2024-01-09 Huawei Technologies Co., Ltd. Authentication method and apparatus and device
CN111818516B (zh) * 2019-04-12 2022-10-18 华为技术有限公司 认证方法、装置及设备
CN110730073A (zh) * 2019-09-05 2020-01-24 贝壳技术有限公司 旁路验签方法和系统、服务端、签名管理平台、介质
CN111526166A (zh) * 2020-07-03 2020-08-11 支付宝(杭州)信息技术有限公司 一种信息验证方法、装置及设备
US11283614B2 (en) 2020-07-03 2022-03-22 Alipay (Hangzhou) Information Technology Co., Ltd. Information verification method, apparatus, and device
CN114827175A (zh) * 2021-01-18 2022-07-29 成都质数斯达克科技有限公司 注册方法、电子设备及可读存储介质
CN114827175B (zh) * 2021-01-18 2023-08-22 成都质数斯达克科技有限公司 注册方法、电子设备及可读存储介质
CN113285808A (zh) * 2021-05-18 2021-08-20 挂号网（杭州）科技有限公司 一种身份信息核验方法、装置、设备和存储介质
CN113285808B (zh) * 2021-05-18 2024-03-26 挂号网（杭州）科技有限公司 一种身份信息核验方法、装置、设备和存储介质
CN113992411A (zh) * 2021-11-01 2022-01-28 令牌云(上海)科技有限公司 一种基于可信设备的用户身份认证方法和装置

Also Published As

Publication number Publication date
AU2017242765B2 (en) 2020-07-23
US10893044B2 (en) 2021-01-12
PL3439230T3 (pl) 2021-08-30
BR112018070205B1 (pt) 2022-03-15
CA3020059C (en) 2020-06-23
KR102194060B1 (ko) 2020-12-23
KR20180128451A (ko) 2018-12-03
ZA201807220B (en) 2021-02-24
JP2019510444A (ja) 2019-04-11
AU2017242765C1 (en) 2020-12-10
WO2017167093A1 (zh) 2017-10-05
SG11201808543TA (en) 2018-10-30
CN110166246A (zh) 2019-08-23
CN107294721B (zh) 2019-06-18
RU2018137991A3 (zh) 2020-06-19
CA3020059A1 (en) 2017-10-05
US20190036917A1 (en) 2019-01-31
US20200128008A1 (en) 2020-04-23
RU2018137991A (ru) 2020-04-30
EP3439230A1 (en) 2019-02-06
EP3439230B1 (en) 2021-02-17
EP3439230A4 (en) 2019-09-04
BR112018070205A2 (pt) 2019-01-29
JP6877460B2 (ja) 2021-05-26
US11025619B2 (en) 2021-06-01
ES2865398T3 (es) 2021-10-15
RU2730087C2 (ru) 2020-08-17
MX2018011978A (es) 2019-09-11
CN110166246B (zh) 2022-07-08
PH12018502092A1 (en) 2019-07-29
AU2017242765A1 (en) 2018-11-15

Similar Documents

Publication Publication Date Title
CN107294721A (zh) 基于生物特征的身份注册、认证的方法和装置
US10681025B2 (en) Systems and methods for securely managing biometric data
CN107294900A (zh) 基于生物特征的身份注册方法和装置
US10776464B2 (en) System and method for adaptive application of authentication policies
CN107231331A (zh) 获取、下发电子证件的实现方法和装置
CN107231234A (zh) 一种身份注册方法及装置
CN107800672A (zh) 一种信息验证方法、电子设备、服务器及信息验证系统
CN107196922A (zh) 身份认证方法、用户设备和服务器
CN108965222A (zh) 身份认证方法、系统及计算机可读存储介质
CN109413086A (zh) 线上核验身份信息的方法及装置
US9202035B1 (en) User authentication based on biometric handwriting aspects of a handwritten code
CN103929425B (zh) 一种身份注册、身份认证的方法、设备和系统
KR101818601B1 (ko) 근거리 무선 통신 기반의 카드를 이용하여 본인 인증 서비스를 제공하는 방법 및 이를 이용한 카드, 인증용 단말, 인증 지원 서버 및 본인 인증 서버
CN107196842A (zh) 消息防伪的实现方法和装置
CN109150547A (zh) 一种基于区块链的数字资产实名登记的系统和方法
CN107358118A (zh) Sfs访问控制方法及系统、sfs及终端设备
KR101767535B1 (ko) 근거리 무선 통신 기반의 카드를 통하여 본인 인증 서비스를 제공하는 방법 및 이를 이용한 카드, 인증용 단말, 인증 지원 서버 및 본인 인증 서버
Singhal Security analysis of aadhaar authentication process and way forward
EP3217593A1 (en) Two-factor authentication method for increasing the security of transactions between a user and a transaction point or system
US10003464B1 (en) Biometric identification system and associated methods
CN109165491A (zh) 安全授权方法、装置、电子设备及存储介质
CN114329394A (zh) 轨交乘务人员的多重身份认证方法、装置、终端及存储介质
Huan et al. Authentication in e-learning systems: challenges and solutions
KR20210107553A (ko) 가상인증코드 기반의 절차 승인 장치 및 방법
JP2004280245A (ja) 情報記録担体およびパスワード入力システムおよび認証システム

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1246038

Country of ref document: HK

GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20200921

Address after: Cayman Enterprise Centre, 27 Hospital Road, George Town, Grand Cayman Islands

Patentee after: Innovative advanced technology Co.,Ltd.

Address before: Cayman Enterprise Centre, 27 Hospital Road, George Town, Grand Cayman Islands

Patentee before: Advanced innovation technology Co.,Ltd.

Effective date of registration: 20200921

Address after: Cayman Enterprise Centre, 27 Hospital Road, George Town, Grand Cayman Islands

Patentee after: Advanced innovation technology Co.,Ltd.

Address before: A four-storey 847 mailbox in Grand Cayman Capital Building, British Cayman Islands

Patentee before: Alibaba Group Holding Ltd.