CN108475309A - 用于生物特征协议标准的系统和方法 - Google Patents

Abstract

在用户计算设备和服务器计算设备之间提供了安全通信。从经由分布式客户端软件应用所配置的用户计算设备接收登记请求并对其进行处理。登记请求可用于将用户计算设备登记在网络中并且包括与用户相关联的加密部分初始生物特征向量。处理后续接收到的认证请求，其包括加密部分第二生物特征向量并且与用户计算设备的用户相关联。执行对加密部分初始生物特征向量和加密部分第二生物特征向量的比较，并且生成表示比较的值并将其发送到用户计算设备。当该值高于最小阈值时，用户计算设备被认证。

Description

用于生物特征协议标准的系统和方法

技术领域

本发明总体上涉及安全性，并且更具体地涉及用于识别或认证用户的系统和方法。

背景技术

所有类型的信息在诸如通过数据通信网络可访问的存储设备上继续被远程存储和访问。例如，许多人和公司通过互联网或其他通信网络存储和访问财务信息、健康和医疗信息、商品和服务信息、购买信息、娱乐信息、多媒体信息。除了访问信息之外，用户还可以实现货币转账(例如，购买、转账、销售等)。在典型的情况下，用户注册以用于访问信息，然后提交用户名和密码以“登录”并访问信息。确保对存储在数据/通信网络上的这些信息和数据的访问(以及来自这些信息和数据的访问)保持受到关注。

发明内容

在本申请的一个或多个实现方式中，在用户计算设备和服务器计算设备之间提供安全通信。处理从配置有分布式客户端软件应用的用户计算设备接收到的登记请求。登记请求可用于将用户计算设备登记在网络中并且包括与用户相关联的加密部分初始生物特征(biometric)向量。处理后续接收到的认证请求，该认证请求包括加密部分第二生物特征向量并且与用户计算设备的用户相关联。执行对加密部分初始生物特征向量和加密部分第二生物特征向量的比较，并且生成表示比较的值并将该值发送到用户计算设备。当该值高于最小阈值时，用户计算设备被认证。

在一个或多个实现方式中，在用户计算设备和服务器计算设备之间提供安全通信。处理从配置有分布式客户端软件应用的用户计算设备接收到的登记请求。登记请求可用于将用户计算设备登记在网络中并且包括与用户相关联的第一生物特征向量的第一部分。存储第一生物特征向量的第一部分，并且处理后续接收的认证请求，该认证请求包括第二生物特征向量和第一生物特征向量的第二部分。将第一和第二部分相组合并将其与第二生物特征向量进行比较。生成表示比较的值并将该值发送到用户计算设备。当该值高于最小阈值时，用户计算设备被认证。

在一个或多个实现方式中，提供被包括在登记请求和认证请求中的证书，其中，处理认证请求包括确定证书是当前的并且未被撤销。

在一个或多个实现方式中，提供了入侵检测系统，其提供主动监视并防止证书的欺骗(包括重播证书)。

在一个或多个实现方式中，处理认证请求包括根据单向加密在加密空间中执行至少一个匹配操作。单向加密可以通过使用随机单向板(pad)来执行。

在一个或多个实现方式中，角色收集由一个或多个规则来提供和定义以用于访问数字资产，并且服务器计算设备根据角色收集提供或定义用户计算设备对数字资产的访问。访问可以根据自主访问控制和强制访问控制中的至少一个来提供。

在一个或多个实现方式中，服务器计算设备处理从配置有分布式客户端软件应用的用户计算设备接收的第二登记请求。第二登记请求可用于将用户计算设备的第二用户登记在网络中并且第二登记请求包括与用户计算设备的用户相关联的第二加密部分初始生物特征向量(“IBV”)。处理第二登记请求包括将第二加密部分IBV存储在可由服务器计算设备访问或者作为服务器计算设备的一部分的非暂态处理器可读介质上。

在一个或多个实现方式中，服务器计算设备可以撤销用户的登记。

根据以下参考附图对本发明的描述，本发明的其他特征和优点将变得显而易见。

附图说明

结合附图阅读下面描述的其各个实施例的详细描述后，本公开的其他方面将更容易理解，其中：

图1是示出具有本申请的一个或多个实现方式的多个设备和组件的框图；

图2-6示出了与示例BOPS实现方式相关的设备和它们之间的信息流；

图7A示出了根据一个或多个实现方式的与特别强调数据机密性的示例登记过程相关联的设备和步骤；

图7B示出了根据本申请的在用户界面中提供的示例管理控制台；

图8示出了与登记过程相关的概览，其包括数据的访问和交换；

图9示出了根据本申请的一个或多个实现方式的安全架构的组件；

图10A和10B示出了根据本申请的一个或多个实现方式的与两个相应的和可替换的登记过程相关联的设备和步骤；

图11是示出了根据本申请的与创始(Genesis)过程的不同级别相关联的可能要求和示例的框图；

图12示出了在登记和认证过程期间与初始生物特征向量相关联的示例信息流；

图13示出了结合本申请实现的视觉密码(VC)示例；

图14示出了结合示例BOPS实现方式在视觉密码方案(VCS)中对两个份额(share)(2,2)的示例叠加，在VCS中，每个位加密成份额；

图15示出了根据本申请的角色层级的示例；

图16是示出根据示例实现方式的与重播预防相关的设备和传输流的框图；

图17是示出根据示例实现方式的与令牌相关联的步骤的高级流程；

图18示出了与多对多关系中的创始过程相关的示例设备和特征；

图19A描绘了在单个客户端设备上发起示例登记过程的多个用户；

图19B示出了一个示例用户从客户端设备发起认证会话，该客户端设备存储关于多个用户账户的信息；

图19C示出了与撤销用户账户相关联的示例步骤；

图20A是示出与客户端设备和BOPS服务器之间的客户端证书的初始化、验证、和确认相关联的步骤的简化图；

图20B示出了与第三方服务器和BOPS服务器相关的示例客户端证书注册；以及

图21示出了根据本申请的示例实现方式的示例QR码认证流程。

具体实施方式

根据本专利申请的一个或多个实现方式，提供了在本文一般被称为生物特征开放协议标准(“BOPS”)的一组新的标准，其共同地或至少部分地包括用于认证用户的框架。一个或多个BOPS实现方式可以提供用于身份断言、角色收集、多级访问控制、保证、和审计的一个或多个模块。

图1示出了示例硬件布置100并且显示了与一个或多个BOPS实现方式相关的数据通信。布置100可以包括配置多个计算设备(例如，客户端设备(例如，智能电话或移动设备)104、服务器计算设备(在本文中一般被称为“BOPS服务器”)102、第三方服务器106、以及可以包括多个计算设备112的入侵检测系统(“IDS”))的一个或多个软件应用以支持和实现本文中示出和描述的功能。此外，BOPS服务器102可以与健康监测设备108和分析引擎设备110进行通信或连接到健康监测设备108和分析引擎设备110。设备108和110都可以被配置作为BOPS服务器102的一部分，或者可以是单独的设备。

以下是本文提到的缩写词和首字母缩写词的非限制性列表：admin＝管理员；AOP＝面向方面的编程；API＝应用编程接口；AWS＝亚马逊网络服务；app a＝客户端应用；BOPS＝生物特征开放协议标准；CPU＝中央处理单元；CBV＝当前生物特征标识符；CSRF＝跨站请求伪造；ID＝标识符；IDS＝入侵检测系统；IBV＝初始生物特征向量；IP＝互联网协议；JSON＝JavaScript对象表示法；LDAP＝轻量级目录访问协议；MAC＝强制访问控制；MCA＝移动客户端应用；NSA＝国家安全局(美国)；QR码＝快速响应码；RDBMS＝关系数据库管理系统；REST＝表示状态转移；SSL＝安全套接字层；TCSEC＝可信计算机系统评估准则；TLS＝传输层安全；URL＝统一资源标识符；XNTP＝扩展网络时间协议；XOR＝“异或”二进制运算；1：M＝一对多；4F＝四根手指，一种专有的生物特征技术；5元组＝五元组数据参数。

本申请的优点在于一个或多个相应的BOPS实现方式可以包括用于提供功能并且可以与企业的现有组件一起工作或替代企业的现有组件的组件，从而在相对非常短的时间段内提供与当前操作环境的集成。此外，一个或多个相应的BOPS实现方式提供连续的形式保护，用于例如判断对敏感和私有资源的访问。可以至少部分地根据支持以“点-剪(point-and-cut)”机制的形式的实现方式的一个或多个应用程序接口(API)，在满足或超过可接受目标的BOPS实现方式中提供服务级安全性以向生产系统以及开发中的系统添加适当的安全性。

一个或多个BOPS实现方式可以包括BOPS服务器102，该BOPS服务器102可以通过一个或多个数据通信网络从客户端设备104接收生物特征向量(在本文中通常被称为初始生物特征向量(“IBV”))，并且根据算法将该向量划分为与标识相关联的多个部分。无论块的数目如何，都可以对IBV进行加密(包括以无密钥方式进行加密)，并且随后的生物特征学匹配过程可以可选地在客户端设备104上或在服务器102上发生，例如，按照管理参数所表示的。

一个或多个BOPS实现方式可以在各种在线环境中实现，诸如在公共云(例如，亚马逊网络服务)上或在私有云中。

根据本文所示出和描述的设备组织结构和功能，可以提供用户认证来代替授权，并且以使得服务器以不保留客户端信息而非保持足够量的信息的方式来实现对不同用户的识别。根据一个或多个BOPS实现方式的安全性考虑的成分可以包括身份断言、角色收集、访问控制、审计、和保证。因此，一个或多个BOPS实现方式主要考虑端到端生物特征解决方案中的服务器侧组件。

关于身份断言，一个或多个BOPS实现方式可以提供对资源的连续保护，并确保判断和其他关键特征的放置和可行性。一个或多个BOPS实现方式还可以有助于身份断言，以帮助确认署名用户是他们自称的人，而不直接依赖人类生物特征。本文所示出和描述的标准包括可互操作的标准，其可以实际上包含任何身份断言者或与同一署名用户相关联的多个不同断言者。IDS的应用(例如，通过客户端设备112)可以提供主动监视以帮助防止欺骗一组证书和/或将被确定已经或正在尝试进行一次或多次恶意尝试的主体或设备列入黑名单。

另外，根据例如基于由已知系统定义和/或实施的规则的数据机密性和特权访问来支持角色收集。例如，为了确定是否允许特定模式的访问，可以将与相应角色相关联的特定特权与群组的分类进行比较。对象的结构可以通过访问控制来定义，角色收集可以在系统等级或通过客户端/服务器调用进行。例如，BOPS服务器102可以存储角色收集信息以将唯一用户与唯一设备104相关联。访问控制可以包括实现在计算设备上执行的一个或多个模块，该模块确定给定主体(例如，人员、设备、或服务(例如，软件程序))被授权访问和/或采取动作(例如，读取、写入、执行、或删除给定对象)。

通常，访问控制可以是随意的，并且还可以或者可替代地包括可以更细粒度的强制访问控制。例如，自主访问控制根据署名用户或署名对象(例如，文件和程序)来考虑控制对一个或多个对象的访问。例如，判断机制可以是基于角色的，并且允许用户和管理员指定和控制署名个体和/或所定义的个体群组对对象的共享。在一个或多个实现方式中，自主访问控制机制提供了：防止跨单个对象或对象群组在群组或个体级别上对对象的未经授权的访问。因此，与自主访问相关的粒度的范围可以从个体到群组。

一个或多个BOPS实现方式可以对在相应实现方式内的受控制的所有主体和存储对象(例如，进程、文件、段、设备)上实施强制访问控制策略。可以为这些主体和对象分配敏感标签，这些标签可以是层级分类级别和非层级类别的组合。这些标签在判断中可用作强制访问控制决定的基础。例如，在客户端设备104上执行的软件使得该设备维护标签或使BOPS服务器102维护该数据以强制遵守对主体和对象的标注。BOPS服务器102可以维护可信存储装置作为BOPS实现方式的组件。本文所使用的可信存储通常指以安全的方式存储数据，使得访问控制(DAC或MAC)确保主体接收到正确的对象，并且还确保不可否认性和机密性。

以下标识在一个或多个示例BOPS实现方式中支持的访问控制规则和选项。只有在主体的安全级别中的层级分类大于或等于对象的安全级别中的层级分类的情况下，才可以向主体提供读取对象的访问。主体安全级别中的一个或多个非层级类别可以包括对象安全级别中的所有非层级类别。只有当主体的安全级别中的层级分类小于或等于对象的安全级别中的层级分类并且主体的安全级别中的所有非层级类别被包括在对象的安全级别中的非层级类别中时，主体才可以写入和/或执行对象。识别和认证数据可由BOPS服务器设备102使用以认证用户的身份并确保在BOPS实现方式外部的可被创建为代表个人用户行事的主体的安全级别和授权由该用户的许可(clearance)和授权控制。

本申请进行操作以增加责任，包括根据提供审计和验证安全模型是可操作的一个或多个模块，其在本文中通常被称为保证(assurance)。在不太可能的情况下，BOPS实现方式中的计算设备受到损害，这样的(一个或多个)模块排除了受损系统未被检测到的情况。例如，在BOPS实现方式中，可以在主体/对象级别或在群组级别支持审计请求，包括本领域已知的根据面向方面编程。这增加了调用被安全写入审计跟踪的可能性。此外，RESTfulWeb服务和JavaScript对象表示法(JSON)的接口可以提供一种读取审计跟踪的机制。审计可以在每个动作的主体、每个动作的对象、或每个动作的群组处发生。例如，可以通过特定名称(例如“会计”)来指定一组用户，并且可以审计对总帐的所有写入。另外，可以向个人(例如，首席财务官)提供用于读取损益表的审计信息。

一组JUnit测试中的一个或多个JUnit测试可以在一个或多个BOPS实现方式中用于测试和监测边界条件，其可以包括测试系统内的边界组件和条件。在一个或多个BOPS实现方式中，安全规定可以至少部分地根据(一个或多个)API来满足。对API的使用排除了识别和/或定制BOPS实现方式以符合底层系统(例如，关系数据库管理系统、搜索引擎、或几乎任何其他架构)的需要。由相应BOPS实现方式提供的功能可以提供“点-剪”机制，为生产中的系统以及开发中的系统添加适当的安全性。此外，一个或多个BOPS实现方式的架构与语言无关，支持例如REST、JSON、和SSL以提供通信接口。在一个或多个实现方式中，架构是基于伺服小程序(servlet)规范、开放SSL、Java、JSON、REST、和持久存储装置来构建的。工具可以遵守开放标准，从而允许设备的最大互操作性，如图1所示。

在一个或多个BOPS实现方式中，提供身份断言、角色收集、多级访问控制、审计、和保证。这些可以根据至少一个特别配置的客户端设备104(例如，智能电话或移动设备)、BOPS服务器102、和包括(一个或多个)设备112的入侵检测系统(IDS)的组合来实现。在一个或多个实现方式中，客户端设备104执行应用并加载用于建立与BOPS服务器102的安全和初始通信会话的一次性双向安全套接字层(“SSL”)/传输层安全性(“TLS”)密钥。一次性密钥至少在功能上由在识别阶段(在本文中通常称为“创始”)期间生成和/或提供的主体的双向SSL/TLS密钥替换。创始一般包括过程中的初始或早期步骤，该步骤将一组生物特征与给定的主体相融合。另一阶段(本文通常称为登记)包括与在BOPS实现方式中注册用户和/或设备相关联的步骤，并且可以包括发布用于客户端设备104的证书，保护客户端证书，以及保护存储客户端上的敏感数据。

在一个或多个BOPS实现方式中，提供处理数据加密和安全客户端/服务器通信的基础设施。BOPS基础设施可以支持分离创始和登记的过程，并将这些过程与各种登记元件合并在一起。这些依赖关系可以识别BOPS服务器102基础设施并且包括：BOPS DNS；BOPS信任存储库(TrustStore)；BOPS密钥存储库(KeyStore)；和BOPS密钥协商协议。关于证书管理，可以将BOPS服务器102的主机名的DNS条目配置为具有在密钥存储库中用于单向SSL的密钥。一个或多个BOPS配置中的信任存储库是双向SSL机制，它定义了用于签署所有相应证书的证书权威。在传输级别，通过执行握手，BOPS标识可以通过双向证书和信任存储库进行。密钥存储库支持经由密钥存储库中的密钥的传输级别安全性，并且密钥存储库中的密钥可以使用定义良好并且可识别的证书权威(例如，VERISIGN、GODADDY、或其他权威)，其可用于标识要在SSL/TLS上加密的主机。这里所指出的，一个或多个BOPS实现方式为客户端设备104使用一次性密码(OTP)过程来请求对双向SSL证书进行解锁的密码。这可以通过客户端设备104和服务器102与OTP同步以在双向SSL会话开始之后将密钥传回以解锁证书来完成。

在一个或多个实现方式中，当客户端设备104向BOPS服务器102发送请求时，若干密钥登记元件支持客户端证书认证。例如，令牌可被配置作为将服务器上的配置文件链接到身份的标识符，例如，根据数据元素(例如“公共名称”)。OTP过程包括一个或多个机制，以从服务器请求解锁双向SSL(x.509)证书的密码。可以通过在服务器计算设备102和客户端计算设备104之间协调的预定义算法来在每次使用时改变密码，并且用于OTP的信道优选地不同于用于单独证书的信道。例如，推送通知可能会发送用于解锁单个证书的密码。可以使用不同的证书来获取密码以解锁单个证书。无论如何，解锁证书的机制可能不涉及该密码在客户端设备104上的存储。

在示例中，应用使用用于创始和登记的默认(例如，预加载的)证书。后续处理可以使用默认证书和当前OTP。结果(例如，HTTP响应)可以包括解锁证书的密码。然后，OTP将在客户端和服务器上前滚。在一个或多个BOPS实现方式中，5元组是用于防止重放攻击的高熵值。这些值可以在登记时出现并且成为客户端设备104和服务器102之间的未来通信的一部分。

BOPS实现方式中的客户端/服务器应用的交互可以被认为是三步过程，并且至少两个可能的变化可以在最初的第一步之后。在这种情况下，本文参考三个组件来描述BOPS客户端/服务器应用架构：在客户端设备104上执行的客户端应用、在BOPS服务器102上执行的应用、以及服务器侧的应用(在附图中被称为“应用服务器”)。在图2-6所示的示例中，由于SSL/TLS连接可以在应用服务器处终止，因此服务器侧应用不一定通过BOPS服务器102运行。此外，相应的BOPS实现方式部署不需要应用信任具有未加密内容的BOPS系统。参考图2，在创始过程期间，客户端设备104向BOPS服务器102发出调用，并认证用户和客户端应用软件。此后，客户端设备104接收由BOPS服务器102分配并且特定于特定应用的客户端身份的证书。

在下一步骤(图3)期间，客户端设备/应用直接调用应用服务器。应用的客户端和服务器部分之间的SSL/TLS连接在这些点处开始和结束。内容交换优选地在应用之外对BOPS服务器102或者在该应用实体内不可信任的其他不可见。在客户端会话期间(图4)，应用服务器106调用BOPS 102服务器以获取标识细节并确认该证书先前未被撤销。

在第二变体(在图5中部分表示的)中，创始步骤(包括图2-3所示)可以是相同的。此后，BOPS服务器102联系应用服务器106组件以通知新客户端104已被注册和分配。第二变体的流程与第一变体的流程至少有两种方式不同：身份详细信息不同，以及撤销检查在客户端会话中被取得(图6)。在第三步骤中，当客户端设备104直接调用应用服务器106时，应用服务器106调用BOPS服务器102以确认证书先前未被撤销。

本文结合示例BOPS实现方式示出和描述的特征可以被本文所提供的访问控制模块使用或者与其结合使用，或者可以被添加到现有框架的身份断言元件。因此，BOPS实现方式通过在生产环境中执行最小动作来实现可信任处理，并且从而经常排除对应用软件的改变的要求。

图7A示出了根据一个或多个BOPS实现方式与示例登记过程和相关数据机密性相关联的设备和步骤700。在本申请中在单向SSL/TLS之上构建的双向SSL/TLS提供了在客户端设备104处开始的通信。初始(例如，创始)通信可以定义客户端104的身份的起源并且传递符合BOPS的双向证书，客户端设备104可以结合面向会话的身份断言将该双向证书用于后续通信。在一个或多个实现方式中，客户端应用可以具有预加载的双向SSL/TLS密钥，其允许随后的创始操作。

根据一个或多个实现方式，BOPS服务器102从客户端设备104接收具有双向SSL/TLS身份的单向SSL/TLS通信。通信经由单向SSL/TLS和双向SSL/TLS两者来进行。在一个或多个实现方式中，服务器102使用数据存储装置来获取可信身份信息并收集用于代表相应身份进行处理的角色。此外，审计可以最大限度地利用适当的制品来用于继续的验证和对可信访问的验证。保证可以根据对多级访问控制机制的简化和记录而发生。在一个或多个BOPS实现方式中，在完成注册过程之后提供图形用户界面中的管理控制台，其允许动态修改用户、群组、和角色，并且在本文中更详细地描述。图7B示出了示例管理控制台。

参考图7A，从客户端设备104发送令牌请求(RESTful)(1)并且从BOPS服务器102接收并验证令牌请求(RESTful)(2)。用于BOPS服务器102主机名的DNS条目可以被配置为具有密钥存储库中的密钥(3)，并且格式请求化(4A)且经由双向SSL/TLS将m令牌响应发送到客户端设备104(4B)。之后，从客户端设备104发送c令牌(例如，5元组和时间戳)，该c令牌被验证(包括根据请求中的m时间戳)(6,7)。之后，确定与信任存储库相对的缺失的5元组(8)，并且格式化请求(9)并将SHA512令牌发送到客户端设备104(10)。

继续参考图7A，从客户端设备104发送包括SHA512令牌的注册请求(11)并且BOPS服务器102接收该请求以用于验证(12)，并且处理客户端签名请求以解锁证书(13)，包括计算一次性密码并检查相对于密钥存储的令牌计数(14)并将客户端证书密码推送到外部通知服务(15)。此外，12中的验证步骤分支到与分析相关联的步骤，并且包括确定设备信息(16)、配置文件信息(17)、和生物特征(如本文所示和所述)(18)。

另外，将客户端设备的证书密码以及格式化的请求(2)和SHA512令牌(21)发送回客户端设备104(19)。之后，从客户端设备104发送包括SHA512令牌的自定义安全请求(22)，该自定义安全请求被BOPS服务器102验证(23)。格式化请求(24)并且将自定义安全响应(包括SHA512令牌)发送到客户端设备104(25)。

在一个或多个BOPS实现方式中，提供了主动入侵检测系统，其包括经由设备112。主动入侵检测系统有效地用于防止暴力攻击、拒绝服务(例如，分布式或单次拒绝服务)、或其他攻击。可以定义和强制执行自定义规则，其识别和跟踪对伪造双向SSL/TLS证书冒名、会话重放、伪造分组、或试图使BOPS服务器设备102受损的各种规避技术的尝试。

在一个或多个BOPS实现方式中，视觉密码被用于加密初始生物特征向量(IBV)。这种技术提供了快速重组IBV的优点，例如，通过对执行生物特征匹配的特定设备使用异或(XOR)运算。例如，可以使用由Moni Naor和Adi Shamir开发的技术，这些技术提供秘密共享方案。在示例操作中，向量被分解为N份，并且重组初始向量需要全部N份份额。各个设备包括BOPS服务器102和移动客户端应用104，并且经登记的向量可以被分为两份，其中一个被存储在BOPS服务器102可访问的BOPS存储库中，另一个被存储在移动计算设备104上。

在本申请的一个或多个实现方式中，可以采用确保数据机密性的其他形式的加密和/或机制。例如，可以使用椭圆曲线密码代替视觉密码(或除视觉密码之外可能还可以使用椭圆曲线密码)。

在示例生物特征认证动作期间，新获取的向量和经登记的向量的两个份额可以在单个位置(例如，移动计算设备应用104或BOPS服务器102)中或在多个位置中可用。在任何情况下，通过使用经登记的向量份额，初始向量可以在存储器中重组，从而支持针对它发生的认证。图8示出了与登记过程有关的概览，包括数据的访问和交换。关于BOPS服务器102，根据主体的账户和设备提供标识。主体的帐户和设备是给定主体的配置文件信息的一部分。配置文件信息被存储在群集数据存储装置中。为了匹配，IBV被分成份额、被重组、并被解密。如果匹配算法不是欧几里德可匹配的，则匹配会以明文形式发生，否则匹配会发生在加密域中。

在替代实现方式中，使用同态加密，其允许对密文执行计算并因此生成加密结果。匹配操作可以在加密空间中进行，从而增加隐私性和安全性。例如，匹配可以通过使用单向加密在加密空间中发生，从而提供高级别的隐私性，并且有效地排除了获得原始明文IBV的能力。

在一个或多个实现方式中，算法以这样的方式执行单向加密，其具有两个部分：一个用于客户端，一个用于服务器。本领域已知，如果匹配使用欧几里德距离(例如，汉明距离)，则匹配发生在加密空间。或者，如果匹配不使用汉明距离，则匹配发生在明文空间，如本文所述。

在一个或多个实现方式中，使用随机一次性键盘(ROTP)来执行允许在加密空间中进行匹配的单向加密。或者，在明文匹配的情况下，将视觉密码用于可逆密码。例如，在没有汉明距离的情况下，则使用视觉密码来返回明文以便在存储器中发生匹配。优选地，加密和解密使用以下两种加密算法中的一种：1.位掩码或2.矩阵变换。理想情况下，所有匹配算法将具有汉明距离，并因此服务器从不具有明文IBV。

以下是结合虹膜识别的示例算法，其根据计算两个二进制向量之间的汉明距离来执行。在示例算法中，匹配可以直接在加密的一半生物特征上执行，而无需如下将它们转换为明文(^表示按位异或运算)：

服务器存储：登记向量^噪声。

手机发送：验证向量^相同的噪声。

在服务器上进行比较：(登记向量^噪声)^(登记向量^相同的噪声)。

XOR是可交换的并且是关联的，因此这可以被重新排列为：(登记向量^验证向量)^(噪声^相同的噪声)。

XOR是自逆的，因此(噪声^相同的噪声)＝I，其中I是用于异或的身份元素，其为0。

因此，该表达式简化为：(登记向量^验证向量)^I＝(登记向量^验证向量)。

A和B之间的汉明距离是A^B的函数。

因此，噪声向量之间的汉明距离与原始向量之间的汉明距离相同。

在示例实现方式中，在登记时，发生以下情况：

a).登记向量：

00110011

b).随机序列(向量的前半部分)：存储在服务器上

01010101

c).向量的后半部分(计算的)：存储在手机上

01100110

在验证时：

e).验证向量：(注意仅最后一位在登记和验证之间变化，因为这是良好匹配)。

00110010

向量的后半部分：存储在手机上

01100110

f).计算向量的前半部分的近似值(根据e和c)：

01010100

在匹配时：

g).将这个“验证前半部分”(f)发送给服务器。

h).服务器现在有：

登记向量前半部分b)：

01010101

验证向量前半部分f)：

01010100

将b和f之间变化的所有位用标记为1：

00000001

该系统可以分辨仅最后一位在登记和验证之间发生变化，这代表了良好匹配，但要注意服务器是如何只处理加密数据和实际向量在服务器上不是已知的，只可以计算向量的区别。

在替代实现方式中，通过计算模板向量之间的欧几里得距离来执行面部识别，其中不能从向量逆向工程出面部。例如，当通过使用神经网络匹配两个面部图像时，每个面部首先被转换为大小为128字节的浮点向量。该浮点向量的表示是任意的，并且不能被逆向工程回原始面部。为了比较面部，计算两个向量的欧几里得距离。来自同一个人的两个面部应该具有相似的向量，并且不同人的面部应在欧几里得空间中进一步分开。可以在移动设备上计算验证向量，并将其发送到远程服务器以匹配所存储的登记向量。因此，原始生物特征(例如，面部)将永远不会离开用户的设备，并且可以在服务器上计算所有匹配。

在又一实现方式中，通过计算模板向量之间的欧几里得距离来执行指纹识别，其中不能从向量逆向工程指纹。类似地，如上所述，神经网络可以应用于指纹匹配。在这种情况下，指纹可以被转换为设备上的向量并且向量将被发送，从而消除了从网络输出向量重建原始指纹图像的方式。

在一个或多个实现方式中，在设备上随机生成加密密钥，该加密密钥用于模糊来自神经网络的输出向量。例如，加密生物特征向量＝加密矩阵×明文生物特征向量。在这种情况下，加密矩阵变换具有欧几里德距离所具有的特殊性质，因此矩阵必须是刚性变换。在这种情况下，生物特征向量不会使设备处于未加密的格式，并且服务器比较两个加密生物特征并在不知道明文的情况下计算欧几里得距离。当用户想要从新设备验证时，用户可以将加密数据传送到新设备，例如经由QR码。这要求旧设备可用。如果旧设备丢失或不可用，则用户进行重新登记，如本文所示和所述。

因此，根据被加密并跨设备分割和存储的生物特征向量提供增强的隐私。生物特征向量的任何部分都不以明文形式存在于磁盘上或存储器中。此外，本申请提供了增强的分析，因为希望对相应认证和失败认证进行“假设”分析的用户可以经由支持方面、搜索、分析等的管理接口来进行分析。

图9示出了根据一个或多个BOPS实现方式的示例安全架构900的组件。如图9所示，BOPS安全集群902可被配置为在虚拟专用网络(VPN)上运行BOPS实例。例如，证书权威实体、BOPS密钥存储库、和BOPS信任存储库的核心属性可以位于BOPS实例上。BOPS实例还可以包含与以下各项相关联的数据和/或表示以下各项的数据：DNS、OTP库、通知服务密钥、业务适配器、BOPS配置属性。负载均衡器集群904可以包括确保BOPS服务、分布式工作负载的可靠性和可用性的一个或多个设备。经配置的BOPS负载均衡器904可以操作以最大化吞吐量、最小化响应时间、以及避免BOPS架构900中的任何单个资源的过载。

继续参考图9，持久性集群906可以包括一个或多个数据库安全组并且可以被配置用于BOPS数据集群的自动缩放。由于认证服务处理大型数据对象，处理大型数据集，因此可以采用大数据存储库(例如，NoSQL)和数据的一个或多个水平分区(“分片(shard)”)来通过同时读取分片并合并结果来提高性能。数据库安全架构900实现BOPS架构并防止将敏感数据集中存储在单个位置中。在图9中还示出了监视集群908，其可以包括IDS设备112。

图10A和图10B示出了根据一个或多个BOPS实现方式的分别与相应的和替代的登记过程1000和1010相关联的设备和步骤。图10A和图10B所示的实现方式提供了用于存储与账户或设备相关联的加密生物特征数据、用于存储关于所有生物特征数据变化的信息、用于加载和使用认证服务及其相应的生物特征库(例如，FACE、4F、IRIS)、以及用于提供支持新流程(例如，登记和认证)的API操作的机制。

在图10A所示的实现方式中，在移动计算设备104上执行的软件应用(“MCA”)提供了对初始生物特征向量(IBV)的获取，在登记过程期间执行加密分割操作以及分布该过程以用于服务器侧的较低CPU负载，执行向BOPS服务器102的登记请求(注册)，以及在用于认证流程的方法被配置为一起保存用户身份数据与共享向量(例如，在登记过程期间将它们保存在BOPS大数据存储库中)时执行密码匹配操作(1002)。此外，BOPS服务器102可以管理认证流程并集成认证服务通信组件(1004)。认证服务可动态地加载一个或多个认证算法、生物特征引擎库，提供对认证引擎版本化的支持，以规范化BOPS服务器102与一个或多个生物特征引擎之间的通信，提供对认证引擎版本化的支持，以及规范化BOPS服务器102和认证引擎之间的通信(1006)。认证服务在执行认证时包装(wrapper)生物特征服务。

如本文所解释的，为可插入认证服务及其对应的生物特征引擎提供一个或多个机制。因此，BOPS实现方式可以是可配置的(例如，通过认证服务和生物特征库的位置)并且可以自动加载可用的服务并注册到系统中。

因此，表述(enunciation)服务列表在系统级别可用，例如：4F-引擎；FACE-引擎；IRIS-引擎；VOICE-引擎。认证者列表包括FIDO认证者或BOPS认证者。

本申请通过支持以下特征来提供对生物特征集成认证服务的改进。可以提供一种或多种机制来将加密的生物特征数据存储在BOPS服务器102可访问的账户或设备中。此外，可以提供机制来存储表示发生的生物特征数据变化的信息。另外，可以提供“通用”机制来访问和使用认证服务，该机制包括例如结合面部、四根手指和虹膜生物特征认证，例如，在共同转让的美国专利申请序列号14/201,462、美国专利申请序列号14/201,499、美国专利申请序列号14/988,833、以及美国专利申请序列号14/819,639中所示出和描述的。

在本申请的一个或多个实现方式中，移动计算设备104获取登记向量，且在登记过程期间执行加密分割操作。这通过分布该进程以及降低服务器侧的CPU负载来提供对计算功能的改进。此外，当来自认证流程的“生物特征验证”步骤被配置为在移动设备上发生时，移动设备104可以执行向BOPS服务器102的登记请求(注册)并执行密码匹配操作。

在本申请的一个或多个实现方式中，BOPS服务器102在登记过程期间将用户身份信息连同共享向量的至少一部分一起存储在例如APACHE SOLR存储库中。此外，BOPS服务器102可以被配置为管理认证信息和处理流程并且集成至少一个生物特征服务通信组件。

根据本申请的在架构中提供的其他组件可以包括一个或多个认证服务和一个或多个生物特征引擎。(一个或多个)认证服务可以被配置为执行对一个或多个库的动态加载，该一个或多个库被配置为支持一个或多个认证服务的版本化，以规范化BOPS服务器102与认证服务之间的通信以及提供一个或多个部署场景，例如，一个或多个BOPS实例离开的或者作为可以自行扩展的独立云的网络应用机器。

在一个或多个实现方式中，生物特征引擎被配置为包括作为接口的主体并且由每个相应的库定义和实现以插入到BOPS实现方式的系统中的非管理生物特征库。生物特征引擎优选地提供在需要的情况下加载引擎的“加载”方法、卸载引擎以释放资源(例如，存储器、临时文件)的“卸载加载”方法、用于提供状态信息(例如，INIT_FAILED、OK、ERROR、OUT_OF_MEMORY)的“获取状态”、在登记期间对获取的向量进行加密的“分割”方法、用于认证向量的“匹配”方法(例如，基于初始向量的共享部分)、“激活/注册”方法、以及对引擎的描述。该描述可以包括例如生物特征类型标识符、名称及描述、引擎版本、和生物特征格式。通过使用该信息，与本申请相关联的一个或多个过程可以自动加载并注册特定的生物特征引擎。

在一个或多个实现方式中，支持用于可插入认证服务的机制，该机制使得系统能够是可配置的(认证服务位置)并自动加载可用的库并注册到系统中。由认证服务调用的每个生物特征库可以提供信息，例如，常量字符串(生物特征类型)、相应版本、名称、和描述来描述本身。此外，信息，例如(生物特征类型、生物特征版本)对，可以标识唯一的生物特征引擎。

示例认证服务及其对应的和较低级别的生物特征引擎可以在系统级别处列出且可用，包括例如4F、FACE、IRIS、以及VOICE，诸如在共同转让的美国专利申请序列号14/201,462、美国专利申请序列号14/201,499、美国专利申请序列号14/988,833、以及美国专利申请序列号14/819,639中所示出和描述的。

如本文所述，在一个或多个BOPS实现方式中，创始和登记过程有效地分离，这使得能够确定主体的身份而不需要BOPS服务器102直接要求访问生物特征向量、证书、或需要自动处理的其他机密信息。因此，BOPS解决方案可以被理解为“开放”的，并且可以实际上实现创始和登记中的任何自定义。例如，创始可以包括使用用于访问ACTIVE DIRECTORY的用户名和密码、验证电子邮件或文本消息、或组织的官员来物理地验证身份。用户帐户的预先注册(例如，可以批量发生的)可以基于业务需求。此外，创始过程可以形成对风险管理的完全依赖，并且还可以确定下游处理。在示例后创始过程期间，用户登记他或她的(一个或多个)生物特征，其可以包括针对相应的登记设备发布的唯一客户端证书。另外，可以在客户端设备104和服务器设备102之间建立一次性密码(例如，“种子”)，并且可以将额外的种子值用于重放攻击预防。

本文认识到的是，单个用户可以具有许多设备和/或单个设备可以具有许多用户(即，单个设备可具有许多生物特征)。因此，可以根据对创始和登记过程的分离而出现多对多关系的形式。因此，经由创始所标识的主体可以用许多生物特征来登记多次。在一个或多个BOPS实现方式中，登记过程使用双向安全套接字层/传输层安全性(SSL/TLS)证书，该证书可以是服务器生成的。这样的生成可以发生在创始过程之后，从而确保证书对于明确定义的主体是适合的。

此外，一个或多个BOPS实现方式可以具有各种级别的配设，其为不同的安全级别提供了灵活性。例如，高级别的创始包括用户在某人(例如，官员)面前被物理地验证。替代地，低级别可以包括仅结合用户所接收的验证电子邮件来定义用户名和密码。各种级别的创始和验证过程可以根据一个或多个业务决策来实现，这些业务决策可以是唯一的或特定于一个或多个相应组织的。此外，后续处理可以基于相应的创始级别而改变。例如，系统允许与高级别的创始相关的$1000,000的转账，但仅允许与较低级别的创始相关的$100的转账。

图11是示出根据本申请的与不同级别的创始相关联的可能的需求和示例1100的框图。由于在验证过程中需要额外的要求，所以相应的安全级别可以对应地增长。在图11的示例级别中，第一级和第二级可以基于组织考虑因素而交换。例如，如果目标是验证并向业务访问者提供Wi-Fi访问，则验证可以经由移动设备而发送，并且在本文被认为是低验证级别。

在登记阶段期间，例如在移动计算设备104上执行的移动应用基于各自的内置能力来登记生物特征。例如，为特定集成而构建的并且要求默认生物特征的移动应用在应用中可以具有这种特定硬编码模块。

一个或多个BOPS实现方式处理了生物特征认证事务的速度并且解决了移动设备上的虚拟化威胁问题。这种威胁的一个示例是：入侵者对移动设备的复制虚拟映像上的代码进行反编译，使用该源代码停止认证调用，并尝试获得对认证和授予权限的服务器的控制。

为了减轻这些风险，BOPS实现方式中的过程在没有加密密钥的情况下对初始生物特征值(IBV)进行加密，然后将一半的IBV存储在客户端设备104上，并将另一半存储在服务器102上或以其他方式由服务器102上可访问。生物特征匹配可以发生在服务器102上。图12示出了在登记和认证过程期间与初始生物特征向量(“IBV”)相关联的示例信息流程1200。在图12所示的示例流程中，在登记期间，IBV被捕获并分离，并且IBV的一部分(例如，一半)被存储在客户端设备104上。IBV的一部分(例如，一半或1/2)在登记请求中被发送到BOPS服务器102，并且该部分被存储在例如BOPS服务器102可访问的数据存储装置中。此后，由BOPS服务器102发送对登记的确认。

继续参考图12，在随后的生物特征认证过程期间捕获当前生物特征向量(“CBV”)，并且结合到BOPS服务器102的认证(“Auth”)请求(包括其余部分(2/2))来发送CBV。BOPS服务器102被配置为将在认证请求中接收到的IBV部分与所存储的IBV部分相组合以进行解密。将所接收的CBV与纯文本整体IBV进行比较，并且根据在比较期间的确定，将数字(例如，浮点数)返回给客户端计算设备104。如果存在匹配，则用户可以被注册为已认证。另外，认证过程的结果可以显示在客户端计算设备104上。

因此，并且如图12中所示以及本文所述的步骤所示，根据本申请的BOPS实现方式处理了生物特征认证事务的速度并且解决与客户端设备上的虚拟化威胁相关联的问题。例如，这种威胁可能在以下情况下发生：在入侵者对例如移动设备的复制虚拟映像上的代码进行反编译，使用该源代码停止认证调用，并尝试获得对认证和授予权限的服务器的控制之后。

为了减轻这些风险，与BOPS实现方式相关联的特征可以操作以在没有加密密钥的情况下对IBV进行加密，将IBV的一部分(例如，一半)存储在客户端设备上，并且将一部分(例如，另一半)存储在服务器或服务器可访问的设备上。生物特征匹配可以发生在服务器上。通过这种方式，被盗设备无法绕过验证，至少部分是因为受损的设备或服务器不会向攻击者提供有用的信息。

根据一个或多个实现方式，以下提供了在一个或多个BOPS实现方式中建立到生物特征认证的处理协议。至少在客户端和服务器之间分割生物特征向量，并且认证的方法是生物特征不可知的。例如，在面部识别方面，初始生物特征向量的大小可以约为20KB，其可以通过HTTP请求和HTTP响应的上/下来最小化，并因此被接受。与面部识别有关的IBV的分割算法可以如下：零位是白色，一位是黑色。因此，BOPS实现方式可以对应于视觉密码(VC)。如本文所指出的，本申请实际上可用于任何生物特征，并提供采用IBV并用VC加密的机制。在VC的情况下，匹配发生在明文中。替代地在随机的情况下，匹配发生在加密域中。

具体参考图12，操作客户端计算设备104的用户继续进行生物特征登记(1)，并捕获初始生物特征向量(IBV)(2)。在步骤(3)，对IBV进行加密和分割，并且将IBV的2/2本地存储在客户端计算设备104或与客户端计算设备104(4)一起存储，并且将包括IBV的1/2的登记请求经由传输层(经由双向SSL/TLS)发送到BOPS服务器102(5)。IBV的1/2由BOPS服务器102存储(例如，存储在BOPS大数据中)(6)，并且从BOPS服务器102向客户端计算设备104发送回对登记的确认(7)。

继续参考图12，在登记之后，在客户端计算设备104处发生生物特征认证(8)，并且捕获当前生物特征向量(9)。此后，认证请求经由传输层被发送(10)，该认证请求由BOPS服务器接收且与2/2IBV相组合并用于解密(11)。之后，将CBV与明文IBV进行比较(12)，并且将浮动数发送回客户端104(14)，并显示结果(15)。

现在转向图13，示出了结合本申请实现的视觉密码(VC)示例1300。VC提供与加密的良好协同，分割IBV并重建IBV而无需密钥管理。在图13所示的视觉密码示例中，黑色可以等于1并且白色可以等于0。在该示例中，IBV等于00100110。XOR重建是可用的，因为解是布尔值。原始的生物特征向量加密过程可以使用视觉密码来发生，并且结果可以是如表单(sheet)记录的两个向量，其仅包含白噪声。移动存储装置(例如，客户端设备104)包含一个表单并且服务器设备102包含或访问另一个表单。验证过程使用简单的布尔运算来组合这两个表单，使得原始生物特征向量被完全重建。

下面在表1中示出了与XOR运算相关的IBV的示例重建。

原始	0	0	1	0	0	1	1	0
									份额1	01	10	10	01	10	10	01	01
份额2	01	10	01	01	10	01	10	01
									OR重建	01	10	11	01	10	11	11	01
XOR重建	00	00	11	00	00	11	11	00

表1

参考表1并且结合示例BOPS实现方式，原始的生物特征向量加密过程可以使用视觉密码来发生，并且该加密的结果是如表单记录的两个向量，其仅包含白噪声。如这里所指出的，与客户端设备104相关联的存储装置包括一个表单，并且与服务器设备102相关联的存储装置包含另一个表单。验证过程通过使用简单的布尔运算来组合这两张表单，这使得原始生物特征向量被完全重建。

图14示出了视觉密码方案(VCS)中的两个份额(2,2)的示例叠加，其中每个位结合示例BOPS实现方式加密成份额。在图14所示的示例中，对零位和一位的份额的选择是随机过程。在编码零位或一位时，从表格中获取针对一个份额的一个值，以及针对另一份额的表格中的相邻值。在这个过程结束时，任何份额都不能提供有关原始位的任何线索。叠加两个份额(使用OR或XOR)来确定原始位的值。

继续参考图14中所示的示例，在视觉密码方案(VCS)中示出了两个份额(2,2)的叠加，其中每个位加密成份额。请注意，针对零位和一位的份额选择可以在随机过程中实现。当编码零位或一位时，从表(例如，表1)获取针对一个份额的值，以及针对另一个份额的表中的相邻值。在这个过程结束时，任何份额都不能提供有关原始位的任何线索。此后，例如使用OR或XOR来叠加两个份额，确定原始位的值。这是针对(2,2)VCS的示例。通过改变随机过程概率，VCS可以扩展到不止两个份额。将随机过程的概率从0.5改为0.25会导致份额具有4位，而非0.5示例中的两位。另外，将随机过程的概率改为0.125会导致每个输入位的8位加密。

关于检测匹配，示例BOPS实现方式中的一个或多个模块采用多个初始生物特征向量。然后两个RESTful网络服务经由SSL/TLS调用该通信，每个生物特征一个。除了认证会话中的当前生物特征之外，一个调用可以包括IBV的一半，并且返回表示匹配强度的浮点值。另一个调用一次可以提供一个IBV(一半)和当前的生物特征，并返回表示匹配强度的浮点值。对于第二个调用，可以有若干个连续的调用：例如，一次一个IBV来确定匹配。

结合示例BOPS实现方式的每匹配协议的大小计算可以如下：每个面向量20kb，每秒5帧；10秒＝50个向量；50x20kb＝1000kb。

结合以上所标识的实现方式的匹配逻辑的示例如下所述。将1,000KB发送到服务器以用于匹配。如果不匹配，则发送第二个100KB，依此类推，直到确定浮点值。在一个或多个BOPS实现方式中，定义了最小阈值并且浮点值至少在最小阈值内。根据示例匹配算法，当前帧需要200毫秒加上到服务器的125毫秒上/下时间。帧传输因此使事务速度达到每帧325毫秒，加上匹配。当匹配的上限为100毫秒时，帧传输大致为425毫秒。在失败的情况下，可以发送一批帧(例如，一次五个)并且可以再次尝试匹配。优选地，匹配在小于一秒的时间内进行，但是在某些不太有利的情况下，匹配可能花费更长的时间，例如，几秒钟的时间。

如本文所示和所述，本申请的灵活性和认证者以及生物特征不可知性使得组织能够定义可用于认证并且可以被定义为默认生物特征的相应认证者和生物特征。如果缺少作为下游事务一部分的生物特征的指定，则可以通过一个或多个用户接口来指定默认的生物特征，例如，在组织级别、群组用户级别、或事务级别处。

在一个或多个实现方式中，管理控制台可以被配置在图形用户界面中并且可以被相应的授权用户访问。管理控制台可以包含图形控件，当被选择时，该图形控件时使得配置默认生物特征类型。例如，组织(ACME Plumbing)指定，针对某些访问，面部将被用于ACME所有员工的默认生物特征。此外，ACME Plumbing指定，在其他情况下，4个手指将用于所有客户的生物特征，并且还指定在其他情况下4个手指和面部都将用于超过$10,000的所有员工事务。这些选项显示在管理控制台中供ACME Plumbing管理员来定义。因此，本申请提供了一个或多个生物特征的灵活和动态应用。

关于认证，可以在特定的组织设置中使用用于生物特征的多个信息源，例如：条件引擎；成员配置文件；以及成员定义。条件引擎可以基于系统中定义的动态规则。举例来说，超过$1K的任何事务至少需要两种形式的生物特征验证。成员配置文件定义用户角色和对应的权限。例如，成员配置文件“信息安全-第一响应者”可能需要每10分钟或其他条件(例如，每个提交事务)进行认证。成员定义可以在组织/集成级别定义默认认证。例如，如果系统中存在可用的四类生物特征(4F、FACE、IRIS)，并且对于特定BOPS/企业实现方式，默认生物特征是“FACE”，则面部认证默认可用，并且可以在例如在通过图形用户接口提供的仪表板(并且在本文通常被称为BOPS管理仪表板)中提供。此外，诸如上述的各个条件可以指示优先级。例如，成员定义可以被认为是最低优先级，并且条件引擎可以被认为是最高优先级。最高优先级成为(一个或多个)认证方法。

以下表示与根据本申请的登记过程相关联的示例步骤。配置有移动客户端应用的移动计算设备104获取生物特征向量，执行加密并且然后进行注册API调用。具体而言，在获取生物特征之后，对BOPS服务器102的注册调用包括IBV的一半，其被存储以供服务器102访问。登记过程可以用于发起组织内的BOPS实现方式。尽管这里显示的许多描述和附图表示BOPS实现方式以表现为集群，但可以认为BOPS可以被配置作为业务组件。在BOPS管理员(“BOPS admin”)建立环境之前，组织注册来自BOPS服务器102的相应API密钥。在各种实现方式中，各个开发者也可以申请API密钥。

在完成登记过程之后，原始站点管理员(“原始站点admin”)可以创建额外的站点管理员(“站点admin”)。包括与各种站点admin相关联的登记信息的登记信息可以和与组织相关联的相应API密钥相关联。在一个或多个实现方式中，API注册可以涉及两个域：登记的原始站点管理员；以及所发布的API密钥，其可以基于登记信息、组织、以及用例。应用开始被达成后，注册过程完成。此后，BOPS管理员为组织创建原始站点管理员，并且原始站点管理员可以创建站点管理员(例如，参见图15中所示的角色层级图)。

在利用BOPS服务的开发过程之前，开发者优选地例如使用BOPS管理控制台中的选项来进行注册。通过提供应用名称并使用面向问题的标识机制来标识开发人员，可以建立新帐户并创建API密钥，该密钥将用应用名称来标识并与应用相关联。

在一个或多个BOPS实现方式中，在双向SSL/TLS之上建立在客户端设备104上运行的应用和BOPS服务器102之间的通信。创始过程建立这种连接并指定用户如何将自己标识给BOPS服务器102，使得服务器102可以生成私钥来建立双向SSL/TLS通信。提供秘密问题是用户标识自身的一种机制，这是一种公理化的方法，各方(例如，供应商)可以在“创始”阶段期间提供唯一地描述个体的一组问题。

在用户计算设备104上操作的客户端应用负责提供标识终端用户的设备104的唯一标识符(ID)。应用可以使用设备104和关联的API来向BOPS服务器102通知关于用户与用户设备104之间的链接。五元组是可以用于标识设备104的一种这样的机制。

在一个或多个BOPS实现方式中，指定了可用于系统来击败攻击和攻击向量的相应RESTful调用和/或行为。此外，指定了实时保护数据免受已知和未知攻击的请求的格式，并且可以存在于IDS中(例如，经由设备112)。例如，可以在密码一次性令牌中使用重放缓解来验证访问。在这种情况下，IDS是验证客户端104和服务器102彼此知道的第三层，从而确保服务器102在应用层完全受到保护。

图16是示出了与重放预防相关的设备和传输流程的框图1600。如图16所示，密码一次性令牌验证访问并在应用层保护服务器102免受国际标准组织(ISO)层7网络攻击，包括重放、分布式拒绝服务(DDoS)、和其他攻击。令牌和IDS的组合对于检测国际标准组织(ISO)层7网络攻击(包括重放、分布式拒绝服务(DDoS)、以及类似攻击)非常有用。令牌对于一次使用是有效的，并且通常从客户端104传递到服务器102，然后使用RESTful调用返回到BOPS。

在一个或多个BOPS实现方式中的前提是对于DDoS检测，每个令牌应该是不同的，并且在客户端和服务器之间采用的至少一个算法考虑到时间可能变化，并且值必须随客户端到客户端以及访问到访问而不同。图17是示出根据示例BOPS实现方式的与令牌算法相关联的步骤1700的高级流程。在步骤1702，在创始步骤期间，网络、移动或嵌入式设备(客户端设备104)发出RESTful调用以请求令牌。然后接收令牌并将其嵌入从客户端104到服务器102的加密消息中(1704)。服务器102接收令牌并通过将令牌传递给IDS来检查消息的有效性(1706)，然后IDS验证该令牌是有效的，并且确保创建时间和当前时间之间的差落入指定的60秒时间段(1708)。

图18示出了多对多关系中的创始/登记和用户/设备的产品。在移动客户端104上，示出了与每个账户链接的身份元素。在图18的服务器侧，BOPS服务器102被示出为与身份属性、账户、以及与每个身份相关的设备相关。为了以高水平的保证实现数据加密和安全的客户端/服务器通信，身份信息与安全元素相关，其中用户帐户(例如，图18中示出的Alice或Bob的帐户)通过安全元素被适当地根据其对应身份而被认证。

为了发起创始步骤，客户端设备104可以通过指定下面的表2中示出的任何或全部相应值来选择建立五元组。IDS可以确定客户端未设置的五个值中的任何值，并且可以以RESTful的格式将令牌返回给客户端。客户端104和服务器102共享同一五元组，然后该五元组被用于计算时间戳，该时间戳随后由IDS或BOPS服务器102进行SHA512编码和比较。所计算的时间戳向后移动到基于5元组的时间且对于每个调用唯一。

因此，在一个或多个实现方式中，令牌不包含时间戳本身，因为令牌中的所有值都被转换成SHA512总和以用于比较。这允许值在每分钟值间隔上改变以防止盲目重放。此外，令牌的分钟范围可以被配置为3(而非60)，以允许足够大的熵(48,771,072)，从而防止尝试和错误攻击。

另外，语义引擎可以被配置为允许安全管理员针对可能在任何国际标准之外的攻击检测和预防创建额外的自定义参数，并针对各种各样的攻击提供进一步的检查和平衡。

在一个或多个实现方式中，重放检测清理五元组。诸如以上表1中表示的值可以被提供给服务器102。替代地，服务器102可以随机选择值。根据重放，最初地确定可接受的值和熵的范围。如果在创始步骤期间未指定五元组的值，则该算法可以使用以下值。

表2

根据示例实现方式，执行向后旋转的算法。如果相应月份小于或等于当前月份，则年份可以相等。替代地，如果月份大于当前月份，则年份必须回滚。这两种情况示出了算法。

表3

由于示例1的当前月份是8(8月)并且针对月份的创始值是11并且11>8，因此我们将年份的范围缩小到为5的区间，并且年份变为2011。其余值是小于实际日期值的创始的倍数。

结合使用相同的当前日期和时间的第二示例，当前月份是8(8月)，针对月份的创始值是4并且4<＝8。年份的范围缩小到为5的区间，其等同于2015。因此，年份变为2015，并且其余值为小于实际日期值的创始的倍数。

在一个或多个BOPS实现方式中，可以提供各种级别的数据隐私，并且每个可以包括加密生物特征信息以便阻止某人使生物特征信息重置和/或受损。一个隐私级别可以定义所有非生物特征数据以纯文本形式存储(钝化)。这简化了对使用模式和认证记录的报告和分析，并且可以包括其他因素，例如，不可否认性、位置、日期、和分面搜索。例如，相对容易的是，在2016年6月期间在克利夫兰可以看到许多失败的认证尝试，并且可以提供有关个体和设备的信息。这个第一隐私级别可以根据在纯文本钝化数据上操作的复杂工具来实现。另一个更高隐私级别可以定义所有非生物特征数据以加密格式存储，但不需要每客户端的单独解密密钥。因此，客户端设备104可以被配置为使用同一解密密钥，这被认为比先前描述的第一级隐私更安全，因为内部人员可以不具有或者很可能不具有对解密密钥的访问。然而，更高的隐私级别可以要求所有非生物特征数据以加密格式存储，并且解密密钥对于每个身份是唯一的。这提供了提高的隐私和分离，因为每个用户的数据都用与生物特征相关联的密钥加密。在高隐私级别下，本文设想，除了可能在匹配发生在存储器中的时刻之外，用户数据(包括例如个人可标识信息(“PI”))总是在客户端设备104上被加密。在一个或多个BOPS实现方式中，用户进行认证以授权事务并认证以便解密用户数据(例如，登录凭证、文件等)。此外，静止数据(例如，钝化数据)在服务器计算设备102上和客户端设备104上一直被加密。当匹配过程发生时，纯文本数据优选地仅存在于存储器中。

在一个或多个BOPS实现方式中，提供开放式平台以实际上为创始流程实现任何自定义。发生的一些示例可以包括用于访问ACTIVE DIRECTORY的用户名和密码、验证电子邮件或文本消息、或者可以(例如，根据驾驶执照、出生证明、护照、社会保险号码、或其他合适的凭证)在物理上验证的个人身份。

用户账户的预注册可以在实现业务规则的批处理过程中发生，组织策略和过程可以对这些业务规则做出贡献。业务规则可以与访问管理平台集成，访问管理平台将用户组织成群组或目录，以确定适合角色管理中某些特定需求的权限级别和其他属性。这提供了灵活性以允许开发者构建成员配置文件(例如，用户配置文件、管理配置文件、管理员配置文件、和超级管理配置文件)的公式化，其可以作为由BOPS服务器102访问的成员定义的输入来应用。根据本申请的创始过程可以完全依赖风险管理，并因此确定下游处理。

图19A描绘了与在单个客户端设备104上发起登记的多个用户相关联的设备和步骤1900。用户和设备104之间的关系可以是“多对多”(M：M)。可以添加第一登记步骤(Al，发起生物特征登记，A2请求登记(x，509)，A3返回登记要求，A4请求账户注册(dev ID，用户ID+1/2IBV)，A5返回注册)。这些步骤可以针对第二个用户重复(B1-B5)。多对多的关系可以根据创始与登记的分离而发生。此外，通过创始所标识的主体可以用许多生物特征登记多次。为了发起客户端/服务器通信，用户在客户端设备上捕获他或她的生物特征，这将引发针对为客户端设备发布的唯一客户端证书的运动登记流程。一旦登记的安全部分完成，对用户的生物特征信息的注册到位，这结束了登记过程。用户可以具有很多设备(客户端)，设备(客户端)可以具有很多用户。设备(客户端)可能支持许多生物特征。

图19B示出了结合一个示例用户Alice的从存储关于多个用户账户的信息的客户端设备104发起认证会话的设备和步骤1910。在图19B所示的示例中，Alice开始认证会话(1)，并且在客户端设备104上操作的应用请求生物特征认证(2)。在生物特征认证被完成之后(3)，在客户端设备104上操作的应用将设备104配置为经由TLS发送Alice的身份属性(4)。此后，BOPS服务器102考虑所有登记元素的完整性来处理认证请求，并返回结果(5)。

参考图19B中所示的示例，即使Alice使用Bob的账户错误地发起认证会话，客户端设备104也不向服务器提供任何请求，因为CBV将不同于在登记期间创建的IBV，并且认证不会成功。

图19C示出与撤销用户账户相关联的示例设备和步骤1920。在图19C所示的示例中，示出了与三个用户(Eve、Bob和Alice)相关联的信息。一个或多个撤销规则可以由用户定义，例如通过配置有管理图形用户接口的管理控制台。与管理员(可以进行类似的生物特征认证的人)相关联的角色可以负责实现规则。在图19C所示的示例中，Alice的账户具有有效证书，Bob的账户具有在传输安全级别上被阻止的过期证书，并且Eve的账户已被BOPS管理员撤销。更具体地，在经由BOPS服务器102撤销Eve的证书(1)之后，从与Eve的账户相关联的客户端设备104接收认证请求(2)。BOPS服务器102返回表示Eve的访问被阻止的消息或其他合适内容(3)。关于Bob的证书，定义了90天的期限，在那之后Bob的证书到期(“TTL”)(4)。之后，从与Bob的账户相关联的客户端设备104接收认证请求(5)，并且与Eve的情况类似，表示Bob的访问被阻止的消息或其他合适的内容由BOPS服务器102发送到客户端设备104(6)。关于Alice的账户，提供额外的90天期限延长期(7)，并且从与Alice的账户相关联的客户端设备104接收认证请求(8)。BOPS服务器102返回例如在本文示出和描述的表示认证结果(Alice被认证)的消息或其他合适的内容(9)。

结合本文示出和描述的模块解决的问题之一是防止重放攻击。在一个或多个实现方式中，对于DDoS检测，每个令牌(通常是将服务器上的配置文件链接到通用名称(CN)字段中的身份的标识符)是不同的。客户端104和服务器102之间的算法考虑到时间可能变化，并且值必须随客户端104到客户端104以及访问到访问而不同。

在一个或多个实现方式中，证书分配如下工作。X.509证书预先加载在客户端设备104上，包括根据安装在客户端设备104上的应用软件。在创始过程之前，客户端104通过指定任何或全部的元组(如本文所示和所述)来建立5元组值。在登记过程期间，客户端104发出RESTful调用以从BOPS服务器102请求令牌。当令牌被接收时，其被嵌入到去往服务器的客户端的加密消息中。服务器接收令牌并通过确保创建时间与当前时间之间的差落在所指定的60秒时间段内来检查消息的有效性。服务器102确定哪些5元组值缺失并以RESTful格式将令牌返回给客户端。客户端104和服务器102共享同一5元组值，然后将其用于计算时间戳，该时间戳随后由IDS(例如根据分析结果)进行SHA512编码和比较。例如，并且如本文所述，计算出的时间戳向后移动到基于5元组的时间，并且对于每个调用是唯一的。

本申请可以配置客户端证书保持有效的时间长度(生存时间或TTL)。撤销的已认证用户的证书可以用新证书隐性地替换。因此，TTL是一种“腰带和吊带(belt andsuspenders)”方法，其结合IBV和CBV来工作以支持用户认证。令牌撤销也可以以用户角色和其他因素为条件来满足针对授权的特定业务需求。例如，对于财务事务，例如在条件y和/或z未满足的情况下，可以在1次或x次失败的认证尝试之后阻止证书。

图20A是示出与对客户端设备104和BOPS服务器102之间的客户端证书的初始化、验证和确认相关联的步骤2000的简图。与处理客户端签名请求(“CSR”)相关联的步骤可以包括在客户端设备104上生成公钥-私钥对，签署公钥和被发送到BOPS服务器102的主体名称(在本文一般被称为执行“拥有证明”)。如本文所指出的，客户端使用双向SSL发送注册帐户请求。在检查证书的主体名称、用BOPS证书权威(CA)私钥对客户端请求进行签名、以及用OTP机制生成客户端证书的密码之后，BOPS服务器102将客户端证书密码返回给客户端设备104。所注册的客户端检查证书签名并创建.p12容器来存储客户端私钥和签名证书，而非密码。优选地，密码从不存储在客户端设备上，因为OTP机制为每个客户端请求生成一个使用密码。

图20B示出了第三方服务器和BOPS集成示例中的客户端证书注册过程2010。例如图20A所示的CSR过程被广泛地展示，并从用户登记开始。在图20B所示的示例中，“注册用户账户”用于描述与创始和登记相关联的步骤，并且客户端证书表示身份属性，而账户代表身份元素。

在图20B所示的示例实现方式中，在用户发起登记过程并将他/她的具有帐户登记请求的生物特征信息发送到BOPS服务器102之后，在客户端104上触发密钥对/CSR生成。一旦接收到注册配置文件请求，BOPS服务器102将其进一步发送到访问管理适配器(其可以是由第三方企业使用的访问管理解决方案/平台)，如图20B所示表示配置文件确认，然后进一步发送到第三方服务器进行账户登录验证和确认。第三方服务器在确认登录数据之后提供认证令牌，然后将验证结果发送回访问管理适配器，该访问管理适配器将认证结果和认证令牌返回给BOPS服务器102以完成账户/配置文件注册。BOPS服务器102加密认证令牌，存储生物特征数据，用BOPS CA签署CSR，将加密的认证令牌发送到客户端应用。这表示示例实现方式并且与已经在其存储库中累积了数十亿帐户的企业(例如，银行)集成，以用于根据生物特征认证的更高程度的验证。

在一个或多个实现方式中，可以使用快速响应码(QR码)来触发对本文所示及所描述的一个或多个模块的执行。例如，业务伙伴(例如，银行)登录页面可以被配置为显示包含相应会话机会标识符的QR码图像。在客户端计算设备104上执行的MCA可以执行一个或多个模块(例如，认证向导)来扫描QR代码，对会话进行注册以发信号通知其被附接到会话，并且根据本文的教导用用户的生物特征来进行认证。图21示出了示例QR码认证流程2100，其中第三方服务器向BOPS服务器102注册会话机会，并且作为响应，可用于新认证会话的信息可由BOPS服务器102提供给第三方服务器，并且可以在QR码内提供(例如，显示)该信息。第三方服务器可以发送针对会话状态信息的一个或多个请求。图21中的用户(被指定为“演员”)扫描QR码并且向BOPS服务器102注册会话，BOPS服务器102可以通知外部第三方服务器。在生物特征认证时，如本文所示和所述，可以(包括用第三方服务器)建立用户会话。

上述主题仅作为说明提供，不应被解释为限制。可以对本文所描述的主题做出各种修改和改变，而不遵循所示出和描述的示例实施例和应用，并且不背离如在以下权利要求中的每个和任何权利要求所阐述的本发明的真实精神和范围。

Claims (20)

1.一种用于在用户计算设备和服务器计算设备之间提供安全通信的方法，所述方法包括：

由服务器计算设备处理从配置有分布式客户端软件应用的用户计算设备接收的登记请求，所述登记请求可用于将所述用户计算设备登记在网络中，并且所述请求包括与所述用户设备的用户相关联的加密部分初始生物特征向量(“IBV”)，其中所述处理所述登记请求包括将所述加密部分IBV存储在所述服务器计算设备可访问或者作为所述服务器计算设备的一部分的非暂态处理器可读介质上；

由所述服务器计算设备处理认证请求，所述认证请求是随后从所述用户计算设备接收的并且包括加密部分第二生物特征向量，并且所述认证请求与所述用户计算设备的用户相关联，其中所述处理所述认证请求包括：

根据算法执行对所述加密部分初始生物特征向量和所述加密部分第二生物特征向量的比较；并且

生成表示所述比较的值；以及

由所述服务器计算设备向所述用户计算设备发送表示所述比较的所述值，其中，在所述值高于最小阈值的情况下所述用户计算设备被认证，并且在所述值低于最小阈值的情况下所述用户计算设备不被认证。

2.根据权利要求1所述的方法，还包括由所述服务器计算设备向所述用户计算设备提供被包括在所述登记请求和所述认证请求中的证书，其中，所述处理所述认证请求包括确定所述证书是当前的且未被撤销。

3.根据权利要求2所述的方法，还包括采用提供主动监视并阻止所述证书的欺骗的入侵检测系统。

4.根据权利要求3所述的方法，其中，被阻止的所述欺骗包括重放所述证书。

5.根据权利要求1所述的方法，其中，处理所述认证请求还包括：

根据单向加密在加密空间中执行至少一个匹配操作。

6.根据权利要求5所述的方法，其中，所述单向加密是使用随机一次性板来执行的。

7.根据权利要求1所述的方法，还包括：

由所述服务器计算设备提供由一个或多个规则定义的用于访问数字资产角色收集；以及

根据所述角色收集，由所述服务器计算设备提供或拒绝所述用户计算设备对所述数字资产的访问。

8.根据权利要求7所述的方法，其中，所述访问根据自主访问控制和强制访问控制中的至少一个来提供。

9.根据权利要求1所述的方法，还包括：

由所述服务器计算设备处理从配置有分布式客户端软件应用的所述用户计算设备接收的第二登记请求，所述第二登记请求可用于将所述用户计算设备的第二用户登记在所述网络中，并且所述第二登记请求包括与所述用户计算设备的用户相关联的第二加密部分初始生物特征向量(“IBV”)，其中所述处理所述第二登记请求包括将所述第二加密部分IBV存储在所述服务器计算设备可访问或者作为所述服务器计算设备的一部分的非暂态处理器可读介质上。

10.根据权利要求9所述的方法，还包括：

由所述服务器计算设备撤销与所述用户计算设备相关联的第一用户的所述登记。

11.一种用于在用户计算设备和信任服务器之间提供安全通信的系统，所述系统包括：

至少一个处理器，所述至少一个处理器可操作地耦合到一个或多个非暂态处理器可读介质；

其中所述一个或多个处理器可读介质包括用于使得所述至少一个处理器能够执行以下操作的指令：

处理从配置有分布式客户端软件应用的用户计算设备接收的登记请求，所述登记请求可用于将所述用户计算设备登记在网络中并且所述请求包括与所述用户设备的用户相关联的加密部分初始生物特征向量(“IBV”)，其中所述处理所述登记请求包括将所述加密部分IBV存储在所述服务器计算设备可访问或者作为所述服务器计算设备的一部分的非暂态处理器可读介质上；

处理认证请求，所述认证请求是随后从所述用户计算设备接收的并且包括加密部分第二生物特征向量，并且所述认证请求与所述用户计算设备的用户相关联，其中所述处理所述认证请求包括：

根据算法执行对所述加密部分初始生物特征向量和所述加密部分第二生物特征向量的比较；并且

生成表示所述比较的值；以及

向所述用户计算设备发送表示所述比较的所述值，其中，在所述值高于最小阈值的情况下所述用户计算设备被认证，并且在所述值低于最小阈值的情况下所述用户计算设备不被认证。

12.根据权利要求11所述的系统，其中，所述一个或多个非暂态处理器可读介质还包括用于使得所述至少一个处理器能够向所述用户计算设备提供被包括在所述登记请求和所述认证请求中的证书的指令，其中所述处理所述认证请求包括确定所述证书是当前的并且未被撤销。

13.根据权利要求11所述的系统，其中，所述一个或多个非暂态处理器可读介质还包括用于使得所述至少一个处理器能够采用提供主动监视并阻止替换证书的欺骗的入侵检测系统的指令。

14.根据权利要求13所述的系统，其中，被阻止的所述欺骗包括重放所述替换证书。

15.根据权利要求11所述的系统，其中，处理所述认证请求还包括：

根据单向加密在加密空间中执行至少一个匹配操作。

16.根据权利要求15所述的系统，其中，所述单向加密是使用随机一次性板来执行的。

17.根据权利要求11所述的系统，其中，所述一个或多个非暂态处理器可读介质还包括用于使得所述至少一个处理器能够执行以下操作的指令：

提供由一个或多个规则定义的用于访问数字资产的角色收集；以及

根据所述角色收集提供或拒绝所述用户计算设备对所述数字资产的访问。

18.根据权利要求17所述的系统，其中，所述访问根据自主访问控制和强制访问控制中的至少一个来提供。

19.根据权利要求11所述的系统，其中，所述一个或多个处理器可读介质还包括用于使得所述至少一个处理器能够执行以下操作的指令：

处理从配置有分布式客户端软件应用的所述用户计算设备接收的第二登记请求，所述第二登记请求可用于将所述用户计算设备的第二用户登记在所述网络中，并且所述第二登记请求包括与所述用户计算设备的用户相关联的第二加密部分初始生物特征向量(“IBV”)，其中所述处理所述第二登记请求包括将所述第二加密部分IBV存储在所述服务器计算设备可访问或者作为所述服务器计算设备的一部分的非暂态处理器可读介质上。

20.一种用于在用户计算设备和服务器计算设备之间提供安全通信的方法，所述方法包括：

由所述服务器计算设备处理从配置有分布式客户端软件应用的用户计算设备接收的登记请求，所述登记请求可用于将所述用户计算设备登记在网络中，并且所述请求包括与所述用户设备的用户相关联的第一生物特征向量的第一部分，其中所述处理所述登记请求包括将所述第一特征向量的所述第一部分存储在所述服务器计算设备可访问或者作为所述服务器计算设备的一部分的非暂态处理器可读介质上；

由所述服务器计算设备处理认证请求，所述认证请求是随后从所述用户计算设备接收的并且包括在所述第一生物特征向量之后捕获的第二生物特征向量，并且所述认证请求与所述用户计算设备的用户相关联，其中所述认证请求还包括所述第一生物特征向量的第二部分，其中所述处理所述认证请求包括：

将所述第一生物特征向量的至少所述第一部分和第二部分相组合；

根据算法执行对所述被组合的第一部分和第二部分与所述第二生物特征向量的比较；并且

生成表示所述比较的值；以及

由所述服务器计算设备向所述用户计算设备发送表示所述比较的所述值，其中，在所述值高于最小阈值的情况下所述用户计算设备被认证，并且在所述值低于最小阈值的情况下所述用户计算设备不被认证。