CN110392027A - 基于生物特征的身份认证、业务处理方法及系统 - Google Patents

Abstract

本发明公开了一种基于生物特征的身份认证、业务处理方法及系统，涉及网络信息安全领域，该方法包括注册和认证，所述注册包括：终端设备获取用户的生物特征信息和用户标识信息；使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥；使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据；将用户标识信息和对应的注册公钥发送至服务器。本发明在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全。

Description

基于生物特征的身份认证、业务处理方法及系统

技术领域

本发明涉及网络信息安全领域，具体涉及一种基于生物特征的身份认证、业务处理方法及系统。

背景技术

生物识别技术是通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合，利用人体固有的生物特征，如指纹、人脸、虹膜、声音等来进行个人身份的鉴定，目前已被广泛用于智能设备解锁、移动支付认证等领域。

目前生物识别技术需要在终端设备或服务器中存储用户的生物特征信息，可能会造成用户生物特征信息的泄露，给用户带来信息安全隐患。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种基于生物特征的身份认证、业务处理方法，在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全。

为达到以上目的，本发明采取的技术方案是，包括注册和认证；

所述注册包括：

终端设备获取用户的生物特征信息和用户标识信息；

使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥；

使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据；

将用户标识信息和对应的注册公钥发送至服务器；

所述认证包括：

终端设备获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息；

使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证私钥和对应的验证公钥，然后对应使用验证私钥或验证公钥对验证数据进行解密，若解密失败，则终止业务请求的执行，若解密成功，则：

终端设备发送业务请求信息和认证信息至服务器，所述认证信息为对任意信息使用验证私钥加密后的数据；

服务器使用注册公钥对认证信息进行解密，若解密失败，则终止业务请求的执行，若解密成功，则服务器响应业务请求。

在上述技术方案的基础上，所述生物特征信息为人脸、虹膜、指纹、巩膜、指静脉或掌静脉。

在上述技术方案的基础上，所述预设算法包括第一预设算法、第二预设算法、第三预设算法和第四预设算法；

所述第一预设算法为模糊提取算法、模糊承诺算法或模糊保险箱算法；

所述第二预设算法为异或运算、插值运算或级联；

所述第三预设算法为单向散列算法；

所述第四预设算法为非对称加密算法。

在上述技术方案的基础上，所述注册中，对于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥，具体包括以下步骤：

终端设备通过第一预设算法对用户的生物特征信息计算生成第一高熵数据；

终端设备使用第二预设算法对第一高熵数据和用户标识信息进行运算得到第一中间数据；

终端设备根据第三预设算法计算第一中间数据并将计算后得到的数据结合第四预设算法生成注册私钥和对应的注册公钥。

在上述技术方案的基础上，所述认证中，对于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证私钥和验证公钥，具体包括以下步骤：

终端设备通过第一预设算法对用户的生物特征信息计算生成第二高熵数据；

终端设备使用第二预设算法对第二高熵数据和用户标识信息进行运算得到第二中间数据；

终端设备根据第三预设算法计算第二中间数据并将计算后得到的数据结合第四预设算法生成验证私钥和对应的验证公钥。

在上述技术方案的基础上，

使用注册公钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，使用验证私钥和第四预设算法对验证数据进行解密；

使用注册私钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，使用验证公钥和第四预设算法对验证数据进行解密。

在上述技术方案的基础上，加密得到的验证数据和用户标识信息两者间建立对应关系并存储于终端设备中；

所述终端设备将获取的用户标识信息和生成的注册公钥发送至服务器，注册公钥和用户标识信息两者间建立对应关系并存储于服务器的数据库中。

在上述技术方案的基础上，对于服务器使用注册公钥对认证信息进行解密，具体为：

服务器使用业务请求信息中用户标识信息对应的注册公钥对认证信息进行解密，若解密成功，服务器响应业务请求；若解密失败，终止业务请求的执行。

本发明还提供一种基于生物特征的身份认证、业务处理系统，包括终端设备和服务器；

所述终端设备包括第一获取模块、第二获取模块、密钥生成模块、验证数据生成模块、验证数据解密模块、传输模块和认证信息生成模块；

所述服务器包括认证信息解密模块；

所述第一获取模块用于获取用户的生物特征信息和用户标识信息；

所述密钥生成模块用于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据结合第四预设算法生成验证公钥、验证私钥、注册私钥和注册公钥，所述第四预设算法为非对称加密算法；

所述验证数据生成模块用于使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据；

所述第二获取模块用于获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息；

所述验证数据解密模块用于对应使用验证私钥或验证公钥对验证数据进行解密，若解密失败，则终止业务请求的执行，若解密成功，则驱使传输模块工作；

所述认证信息生成模块用于对任意信息使用验证私钥加密生成认证信息；

所述传输模块用于发送业务请求信息和认证信息至服务器，以及将用户标识信息和对应的注册公钥发送至服务器；

所述认证信息解密模块用于使用注册公钥对认证信息进行解密，若解密失败，则终止业务请求的执行，若解密成功，则服务器响应业务请求。

在上述技术方案的基础上，所述认证信息解密模块使用注册公钥对认证信息进行解密，具体为：

使用业务请求信息中用户标识信息对应的注册公钥对认证信息进行解密，若解密成功，服务器响应业务请求，若解密失败，终止业务请求的执行，所述第三预设算法为单向散列算法。

与现有技术相比，本发明的优点在于：注册阶段基于用户的生物特征信息生成注册公钥、注册私钥和验证数据，认证阶段再次采集用户的生物特征信息生成验证私钥或验证公钥和认证信息，验证私钥或验证公钥对验证数据进行解密，从而对用户的身份进行判定，且在服务器端，再次使用注册公钥对认证信息进行解密，对用户的身份进行认证，基于生物特征生成私钥和公钥进行用户身份的验证，避免单纯的使用生物特征进行验证，有效保证用户生物特征的安全，避免被不法分子盗取，在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全。

附图说明

图1为本发明一种基于生物特征的身份认证、业务处理方法注册阶段的流程图；

图2为本发明一种基于生物特征的身份认证、业务处理方法认证阶段的流程图。

具体实施方式

以下结合附图对本发明作进一步详细说明。

本发明提供一种基于生物特征的身份认证、业务处理方法，在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全，本发明的基于生物特征的身份认证、业务处理方法具体包括注册方法和认证方法。

参见图1所示，对于注册，具体步骤包括：

S11：终端设备获取用户的生物特征信息和用户标识信息。终端设备包括但不限于智能手机、电脑等设备，且终端设备上集成或外接有人体生物特征采样装置。用户标识信息为对应于用户的用户号、用户ID等，且每个用户的用户标识信息是唯一的。生物特征信息为人脸、虹膜、指纹、巩膜、指静脉或掌静脉等。

S12：使用预设算法对获取的用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥，注册私钥和注册公钥一一对应。预设算法包括第一预设算法、第二预设算法、第三预设算法和第四预设算法；第一预设算法可以是但不限于模糊提取算法、模糊承诺算法或模糊保险箱算法；第二预设算法为异或运算、插值运算或级联；第三预设算法为单向散列算法，且可以是但不限于MD5算法、SHA-1算法、SHA-224算法、SHA-256算法、SHA-384算法、SHA-512算法、SHA-3算法、MAC算法或SM3算法。SHA(Secure HashAlgorithm)为安全散列算法，是美国国家安全局设计，美国国家标准与技术研究院发布的一系列密码散列函数算法，SHA-1算法、SHA-3算法、SHA-224算法、SHA-256算法、SHA-384算法和SHA-512算法均属于SHA。MAC(Message Authentication Codes)算法为带秘密密钥的Hash函数，消息的散列值由只有通信双方知道的秘密密钥K来控制。SM3算法是国家密码局认定的国产密码算法；第四预设算法可以是但不限于RSA算法、ECC算法(椭圆加密算法)、Elgamal算法、D-H算法或SM2算法等非对称加密算法。ElGamal算法既能用于数据加密也能用于数字加密。第四预设算法为非对称加密算法，且可以是但不限于RSA算法、ECC算法、Elgamal算法、D-H算法或SM2算法。

对于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥，具体包括以下步骤：

S121：终端设备通过第一预设算法对用户的生物特征信息计算生成第一高熵数据；

S122：终端设备使用第二预设算法对第一高熵数据和用户标识信息进行运算得到第一中间数据；

S123：终端设备根据第三预设算法计算第一中间数据并将计算后得到的数据结合第四预设算法生成注册私钥和注册公钥。

S13：使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据，当使用注册公钥对任意明文进行加密时，后续则对应使用验证私钥对验证数据进行解密，当使用注册私钥对任意明文进行加密时，后续则对应使用验证公钥对验证数据进行解密。进一步的，使用注册公钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，或者使用注册私钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，即使用注册公钥或注册私钥并采用第四预设算法等非对称算法对任意明文进行加密，将加密后的数据作为验证数据。

S14：将用户标识信息和对应的注册公钥发送至服务器并存储，基于用户标识信息，注册公钥和用户间对应。

加密得到的验证数据和用户标识信息两者间建立对应关系并存储于终端设备中，即将验证数据和用户标识信息存储于终端设备中，验证数据和用户标识信息两者间的对应关系也存储于终端设备。终端设备将获取的用户标识信息和生成的注册公钥发送至服务器，注册公钥和用户标识信息两者间建立对应关系并存储于服务器的数据库中，即将注册公钥和用户标识信息存储于服务器的数据库中，注册公钥和用户标识信息两者间的对应关系也存储于服务器的数据库中。在终端设备中对用户标识信息与对应的验证数据进行存档以便于后续的判断验证，服务器中对用户标识信息与对应的注册公钥进行存档以便于后续的判断验证。

本发明的基于生物特征的身份认证、业务处理方法，在注册阶段和后续的认证阶段，所采用的第一预设算法、第二预设算法、第三预设算法和第四预设算法在对应的注册阶段和认证阶段相同。

参见图2所示，对于认证，具体包括：

S21：终端设备获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息。用户在通过终端设备发送的业务请求信息前，终端设备会利用用户的生物特征信息进行认证，以便于对用户的身份进行认证，从而后续服务器响应并执行用户的业务请求。业务请求信息中用户需进行的业务请求包括但不限于移动支付、网络转账、应用或业务授权、数据传输等，进行移动支付、网络转账、应用或业务授权、数据传输等业务时均需要对用户的身份进行验证。

S22：使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证私钥和对应的验证公钥。具体的：

S221：终端设备通过第一预设算法对用户的生物特征信息计算生成第二高熵数据；

S222：终端设备使用第二预设算法对第二高熵数据和用户标识信息进行运算得到第二中间数据；

S223：终端设备根据第三预设算法计算第二中间数据并将计算后得到的数据结合第四预设算法生成验证私钥，同时生成对应于验证私钥的验证公钥。

S23：终端设备对应使用验证私钥或验证公钥对验证数据进行解密，当注册阶段使用注册公钥对任意明文进行加密，则此时对应使用验证私钥对验证数据进行解密，当注册阶段使用注册私钥对任意明文进行加密，则此时对应使用验证公钥对验证数据进行解密。进一步的，当使用注册公钥和第四预设算法对任意明文进行加密并将加密后的数据作为验证数据时，则使用验证私钥和第四预设算法对验证数据进行解密，当使用注册私钥和第四预设算法对任意明文进行加密并将加密后的数据作为验证数据，则使用验证公钥和第四预设算法对验证数据进行解密，若解密失败，说明用户身份认证失败，此时的用户和注册时的用户不是同一人，则转到S26，若解密成功，则转到S24。

S24：终端设备发送业务请求信息和认证信息至服务器，所述认证信息为对任意信息使用验证私钥和第四预设算法进行加密后的数据，具体的，认证信息为通过对任意信息使用验证私钥和第四预设算法进行加密后的数据。

S25：服务器使用注册公钥对认证信息进行解密，若解密失败，说明用户身份认证失败，此时的用户和注册时的用户不是同一人，则转到S27，若解密成功，则转到S26。

S26：服务器响应业务请求，进行后续的业务请求相关操作。

S27：终止业务请求的执行，因此时判断出的用户身份认证不通过，故终止用户的业务请求的执行。

对于服务器使用注册公钥对认证信息进行解密，具体为：

服务器使用业务请求信息中用户标识信息对应的注册公钥和第四预设算法对认证信息进行解密，若解密成功，服务器响应业务请求，若解密失败，终止业务请求的执行。

在一种实施方式中，当终端设备损坏或丢失，用户更换终端设备后，此时用户进行业务请求并申请认证时，完整的判断过程为：检测终端设备中是否存在对应于当前终端设备登录用户的用户标识信息的验证数据，若不存在，说明当前设备为新设备，则使用上述注册和认证阶段的方法重新生成验证数据和认证信息，并将用户标识信息和认证信息发送至服务器，服务器使用当前用户的用户标识信息对应的注册公钥对认证信息进行解密，若解密失败，则终止用户的业务请求并删除终端设备中新生成的验证数据，若解密成功，则将新生成的验证数据与当前用户的用户标识信息间生成对应关系并保存于终端设备中。

本发明的基于生物特征的身份认证、业务处理方法，注册阶段基于用户的生物特征信息生成注册公钥、注册私钥和验证数据，后续在认证阶段再次采集用户的生物特征信息生成验证私钥或验证公钥和认证信息，以便于对验证数据进行解密，从而对用户的身份进行判断，且在服务器端，再次使用注册公钥对认证信息进行解密，对用户的身份进行判断，采用2次认证的方式，终端设备先进行认证，排除非法用户，减轻服务器压力，且基于生物特征生成私钥和公钥进行用户身份的验证，避免单纯的使用生物特征进行验证，有效保证用户生物特征的安全，避免被不法分子盗取，在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全，服务器端也存储了注册公钥，即使在用户更换终端时也可以进行认证，方便用户的认证操作。

本发明还提供一种基于上述基于生物特征的身份认证、业务处理方法的基于生物特征的身份认证、业务处理系统，包括终端设备和服务器，终端设备包括第一获取模块、第二获取模块、密钥生成模块、验证数据生成模块、验证数据解密模块、传输模块和认证信息生成模块，服务器包括认证信息解密模块。

第一获取模块用于获取用户的生物特征信息和用户标识信息；密钥生成模块用于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证公钥、验证私钥、注册私钥和注册公钥；验证数据生成模块用于使用注册公钥或注册私钥以及第四预设算法对任意明文进行加密并将加密后的数据作为验证数据；

第二获取模块用于获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息；验证数据解密模块用于使用验证私钥或验证公钥以及第四预设算法对验证数据进行解密，若解密失败，则终止业务请求的执行，若解密成功，则驱使传输模块工作；认证信息生成模块用于对任意数据使用验证私钥加密生成认证信息，传输模块用于发送业务请求信息和认证信息至服务器，以及将用户标识信息和对应的注册公钥发送至服务器；认证信息解密模块用于使用注册公钥对认证信息进行解密，若解密失败，则终止业务请求的执行，若解密成功，则服务器响应业务请求。

认证信息解密模块使用注册公钥对认证信息进行解密，具体为：使用业务请求信息中用户标识信息对应的注册公钥和第四预设算法对认证信息进行解密，若解密成功，服务器响应业务请求，若解密失败，则终止业务请求的执行。

本发明的基于生物特征的身份认证、业务处理系统，注册阶段基于用户的生物特征信息生成注册公钥和验证数据，后续在认证阶段再次采集用户的生物特征信息生成验证私钥、验证公钥和认证信息，使用验证私钥或验证公钥对验证数据进行解密，从而对用户的身份进行判断，且在服务器端，再次使用注册公钥对认证信息进行解密，对用户的身份进行判断，采用2次认证的方式，终端设备先进行认证，排除非法用户，减轻服务器压力，且基于生物特征生成私钥和公钥进行用户身份的验证，避免单纯的使用生物特征进行验证，有效保证用户生物特征的安全，避免被不法分子盗取，在对用户实现身份认证的同时，有效保证用户生物特征相关信息的安全。

本发明不局限于上述实施方式，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围之内。本说明书中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims (10)

1.一种基于生物特征的身份认证、业务处理方法，其特征在于，包括注册和认证；

所述注册包括：

终端设备获取用户的生物特征信息和用户标识信息；

使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥；

使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据；

将用户标识信息和对应的注册公钥发送至服务器；

所述认证包括：

终端设备获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息；

使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证私钥和对应的验证公钥，然后对应使用验证私钥或验证公钥对验证数据进行解密，若解密失败，则终止业务请求的执行，若解密成功，则：

终端设备发送业务请求信息和认证信息至服务器，所述认证信息为对任意信息使用验证私钥加密后的数据；

服务器使用注册公钥对认证信息进行解密，若解密失败，则终止业务请求的执行，若解密成功，则服务器响应业务请求。

2.如权利要求1所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：所述生物特征信息为人脸、虹膜、指纹、巩膜、指静脉或掌静脉。

3.如权利要求1所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：

所述预设算法包括第一预设算法、第二预设算法、第三预设算法和第四预设算法；

所述第一预设算法为模糊提取算法、模糊承诺算法或模糊保险箱算法；

所述第二预设算法为异或运算、插值运算或级联；

所述第三预设算法为单向散列算法；

所述第四预设算法为非对称加密算法。

4.如权利要求3所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：所述注册中，对于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成注册私钥和对应的注册公钥，具体包括以下步骤：

终端设备通过第一预设算法对用户的生物特征信息计算生成第一高熵数据；

终端设备使用第二预设算法对第一高熵数据和用户标识信息进行运算得到第一中间数据；

终端设备根据第三预设算法计算第一中间数据并将计算后得到的数据结合第四预设算法生成注册私钥和对应的注册公钥。

5.如权利要求3所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：所述认证中，对于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据生成验证私钥和验证公钥，具体包括以下步骤：

终端设备通过第一预设算法对用户的生物特征信息计算生成第二高熵数据；

终端设备使用第二预设算法对第二高熵数据和用户标识信息进行运算得到第二中间数据；

终端设备根据第三预设算法计算第二中间数据并将计算后得到的数据结合第四预设算法生成验证私钥和对应的验证公钥。

6.如权利要求3所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：

使用注册公钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，使用验证私钥和第四预设算法对验证数据进行解密；

使用注册私钥和第四预设算法对任意明文进行加密，将加密后的数据作为验证数据，使用验证公钥和第四预设算法对验证数据进行解密。

7.如权利要求1所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：

加密得到的验证数据和用户标识信息两者间建立对应关系并存储于终端设备中；

所述终端设备将获取的用户标识信息和生成的注册公钥发送至服务器，注册公钥和用户标识信息两者间建立对应关系并存储于服务器的数据库中。

8.如权利要求3所述的一种基于生物特征的身份认证、业务处理方法，其特征在于：对于服务器使用注册公钥对认证信息进行解密，具体为：

服务器使用业务请求信息中用户标识信息对应的注册公钥对认证信息进行解密，若解密成功，服务器响应业务请求；若解密失败，终止业务请求的执行。

9.一种基于权利要求1所述基于生物特征的身份认证、业务处理方法的基于生物特征的身份认证、业务处理系统，其特征在于，包括终端设备和服务器；

所述终端设备包括第一获取模块、第二获取模块、密钥生成模块、验证数据生成模块、验证数据解密模块、传输模块和认证信息生成模块；

所述服务器包括认证信息解密模块；

所述第一获取模块用于获取用户的生物特征信息和用户标识信息；

所述密钥生成模块用于使用预设算法对用户的生物特征信息进行计算，并根据计算得到的数据结合第四预设算法生成验证公钥、验证私钥、注册私钥和注册公钥，所述第四预设算法为非对称加密算法；

所述验证数据生成模块用于使用注册公钥或注册私钥对任意明文进行加密并将加密后的数据作为验证数据；

所述第二获取模块用于获取用户发送的业务请求信息，并获取所述业务请求信息中包含的用户的生物特征信息和用户标识信息；

所述验证数据解密模块用于对应使用验证私钥或验证公钥对验证数据进行解密，若解密失败，则终止业务请求的执行，若解密成功，则驱使传输模块工作；

所述认证信息生成模块用于对任意信息使用验证私钥加密生成认证信息；

所述传输模块用于发送业务请求信息和认证信息至服务器，以及将用户标识信息和对应的注册公钥发送至服务器；

所述认证信息解密模块用于使用注册公钥对认证信息进行解密，若解密失败，则终止业务请求的执行，若解密成功，则服务器响应业务请求。

10.如权利要求9所述的一种基于生物特征的身份认证、业务处理系统，其特征在于：所述认证信息解密模块使用注册公钥对认证信息进行解密，具体为：

使用业务请求信息中用户标识信息对应的注册公钥对认证信息进行解密，若解密成功，服务器响应业务请求，若解密失败，终止业务请求的执行，所述第三预设算法为单向散列算法。