CN110741370A - 利用用户输入的生物识别认证 - Google Patents

Abstract

公开了与生物识别认证相关的技术。在一个实施方案中，一种计算设备包括控制器电路、相机和安全电路。该控制器电路耦接至按钮并检测该按钮何时被按压。该相机捕获用户的一组生物识别数据。该安全电路通过确认从控制器电路接收到标识按钮被按压的指示，并且将该一组生物识别数据与计算设备的被授权用户的另一组生物识别数据进行比较，来执行对用户的认证。在一些实施方案中，该控制器电路被配置为保存指示按钮何时被按压的时间戳，该时间戳能够由安全电路用来确认按钮是在该认证被执行的阈值时间段内被按压的。

Description

利用用户输入的生物识别认证

技术领域

本公开整体涉及用户认证，并且更具体地涉及收集生物识别数据的计算设备。

背景技术

传统认证措施通常依赖于用户提供一个或多个凭据来证明用户的正当性。例如，试图对用户进行认证的移动设备可在允许用户访问该设备之前要求用户提供密码。为了降低对用户的负担，一些设备现在可要求用户提供生物识别凭据。例如，移动设备可包括被配置为收集指纹生物识别信息的指纹传感器，该指纹生物识别信息可与所存储的已知用户的指纹信息进行比较。例如，能够提供指纹信息可以是有利的，因为与例如输入密码或某种其他凭据相比，这允许用户更快地进行认证。

发明内容

本公开描述了计算设备使用由相机收集的生物识别数据执行认证的实施方案。在一个实施方案中，该计算设备包括耦接至按钮并被配置为检测何时在该按钮处接收到来自用户的机械输入的控制器电路。在一些实施方案中，该机械输入可以被提供为表达执行对用户的认证的授权。安全电路可被配置为通过确认接收到机械输入并将相机捕获的一组生物识别数据与计算设备的被授权用户的一组生物识别数据进行比较来执行对第一用户的认证。在一些实施方案中，该安全电路还检查指示按钮何时被按压的时间戳，以确认按钮是在该认证被执行的阈值时间段内按压的。

附图说明

图1是示出基于生物识别数据对用户进行认证的计算设备的示例的框图。

图2是示出包含在计算设备中并用于认证的按钮和按钮控制器的示例的框图。

图3是示出包含在计算设备中并用于验证生物识别数据的安全电路的示例的框图。

图4是示出包含在计算设备中的安全元件的示例的框图。

图5A-图5C是示出在认证期间可在计算设备的部件之间发生的示例性交换的通信图。

图6A和图6B是示出用于对用户进行认证的方法的示例的流程图。

图7是示出示例性计算机系统的一个实施方案的框图。

本公开包括对“一个实施方案”或“实施方案”的标引。出现短语“在一个实施方案中”或“在实施方案中”并不一定是指同一个实施方案。特定特征、结构或特性可以与本公开一致的任何合适的方式被组合。

在本公开内，不同实体(其可被不同地称为“单元”、“电路”、其他部件等)可被描述或声称成“被配置为”执行一个或多个任务或操作。此表达方式—被配置为[执行一个或多个任务]的[实体]—在本文中用于指代结构(即，物理的事物，诸如电子电路)。更具体地，此表达方式用于指示此结构被布置成在操作期间执行一个或多个任务。结构可被说成“被配置为”执行某个任务，即使该结构当前并非正被操作。“被配置为执行认证的安全电路”旨在涵盖例如具有在操作期间执行该功能的电路系统的集成电路，即使所涉及的集成电路当前并非正被使用(例如电源未连接到它)。因此，被描述或表述成“被配置为”执行某个任务的实体是指用于实施该任务的物理的事物，诸如设备、电路、存储有可执行程序指令的存储器等等。该短语在本文中不被用于指代无形的事物。因此，“被配置为”结构在本文中不被用于指代软件实体，诸如应用编程接口(API)。

术语“被配置为”并不旨在意指“可配置为”。例如，未经编程的FPGA不会被认为是“被配置为”执行某个特定功能，虽然其可能“能被配置为”执行该功能并且在编程之后可以“被配置为”执行该功能。

所附权利要求书中的表述结构“被配置为”执行一个或多个任务明确地旨在对该权利要求要素不援引35U.S.C.§112(f)。于是，所提交的本申请中没有任何权利要求旨在要被解释为具有装置-加-功能要素。如果申请人在申请过程期间想要援引节段112(f)，则其将使用“用于”[执行功能]“的装置”结构来表述权利要求要素。

如本文所用，术语“第一”、“第二”等充当其之后的名词的标签，并且不暗指任何类型的排序(例如，空间的、时间的、逻辑的等)，除非有明确指出。例如，移动设备可具有第一用户和第二用户。术语“第一”并不限于设备的初始用户。在移动设备只有一个用户存在时也可使用术语“第一”。

如本文所用，术语“基于”用于描述影响确定的一个或多个因素。该术语不排除可能有附加因素可影响确定。也就是说，确定可以仅基于所指定的因素或基于所指定的因素及其他未指定的因素。考虑短语“基于B确定A”。此短语指定B是用于确定A的因素或者B影响A的确定。此短语并不排除A的确定也可基于某个其他因素诸如C。该短语还旨在涵盖A仅基于B来确定的实施方案。如本文所用，短语“基于”因此与短语“至少部分地基于”是同义的。

具体实施方式

在一些情况下，计算设备可能够执行对用户的认证，该认证包括收集特定类型的生物识别数据，这些数据可能是在没有来自用户的明确授权的情况下收集的。例如，可能无法在没有用户的表达意图的情况下收集指纹生物识别数据，因为用户可能必须愿意将手指呈递给指纹传感器才能收集数据。然而，可以仅仅因为用户坐在设备的相机的前面就从用户收集到面部生物识别数据。如果正在对用户进行认证以执行某些操作，但实际上用户并不希望执行该操作，那么这可能会产生问题。例如，如果计算设备被配置为响应于认证而向商家提供支付信息，那么有可能从用户收集面部生物识别数据并且成功地对用户进行认证，即使用户未曾授权提供支付信息。

本公开描述了实施方案，其中计算设备不仅基于从用户收集的生物识别数据，还基于指示用户已经授权了认证的执行的附加因素来执行认证。如下文将描述的，在各种实施方案中，计算设备包括耦接至控制器电路的按钮，该控制器电路检测何时在该按钮处接收到了来自用户的机械输入。如果正在执行认证，那么计算设备的相机可从用户的面部收集生物识别数据并将其提供给安全电路，该安全电路将所收集的生物识别数据与先前所收集的被授权用户的生物识别数据进行比较。在此类实施方案中，安全电路基于生物识别数据比较和来自按钮控制器的指示按钮已被按压的通知来认证用户。也就是说，即使通过比较识别出了匹配，如果未接收到(或未在正在被执行的认证的特定时间窗口内接收到)通知，那么安全电路仍将指示认证失败。以这种方式对用户进行认证可以是有利的，因为其可防止用户被认证以执行用户不希望执行的操作。在一些实施方案中，使用物理按钮来接收机械输入还可提供附加安全性，因为仅经由图形用户界面呈现提示可能易受对计算设备具有远程访问权限的恶意参与者的攻击。另外，在一些实施方案中，按钮控制器和安全电路经由安全通信信道进行通信，以防止关于执行认证的表达意图的欺骗。因此，如果运行请求了该认证的应用程序的处理器由于恶意软件而受到侵害，那么其可能无法发送指示用户对安全电路的授权的欺骗性通知。

现在转向图1，示出了一种计算设备100的框图。在例示的实施方案中，计算设备100包括片上系统(SOC)102，其具有中央处理单元(CPU)110、包括接口应用程序125的存储器120和安全区域处理器(SEP)130。计算设备100还包括相机140、按钮150、按钮控制器155、凭据存储装置160和无线网络接口170。在一些实施方案中，计算设备100可被具体实施为与图示不同。例如，在一些实施方案中，元件110-130可不包含在SOC中，计算设备100可不包括存储装置160(或者存储装置160可不同于存储器120)，等等。

接口应用程序125是可被CPU 110执行以促进用户认证的执行的应用程序。可以出于各种适当目的中的任何目的来执行该认证。例如，可执行该认证以允许用户访问设备100(例如，解锁设备100)。可执行该认证以获得管理权限，诸如能够安装操作系统更新、特定应用程序的更新，改变系统设置，更改用户密码等。可执行该认证以便执行特定应用程序或访问特定应用程序的内容。在例示的实施方案中，应用程序125发起认证以授予权限访问下文论述的存储在凭据存储装置160中的凭据165。在一些实施方案中，接口应用程序122可被执行以呈现一个或多个菜单，该菜单指示用户在认证期间要做什么并指示认证的结果。在一些实施方案中，应用程序122向元件130-155发出指令，从而使得认证被执行。在一些实施方案中，接口应用程序122可以是执行正在被执行的认证所针对的操作(例如，使用户登录到设备100)的应用程序。在其他实施方案中，应用程序122可与正在尝试执行该操作的另一个应用程序交互，例如，该另一个应用程序是响应于成功的用户认证而尝试从存储装置160读取用户的联系信息的应用程序。在一些实施方案中，应用程序125可以是可被执行以管理设备100的各个方面的操作系统的一部分。在其他实施方案中，应用程序122可独立于操作系统。

SEP 130是被配置为对活动用户(即当前正在使用设备100的用户)进行认证的安全电路。如本文所用，术语“安全电路”是指保护经隔离的内部资源使其不被外部电路直接访问的电路。该内部资源可以是存储敏感数据诸如个人信息(例如生物识别信息、信用卡信息等等)、加密密钥、随机数生成器种子等等的存储器。该内部资源也可以是执行与敏感数据相关联的服务/操作的电路系统。如下文将相对于图3所描述的，该电路系统可包括图像传感器流水线，该图像传感器流水线被配置为通过将相机140捕获的生物识别数据142与先前所收集的被授权用户的生物识别数据进行比较来为用户对该生物识别数据进行验证。如上所述，在各种实施方案中，SEP 130被配置为不仅基于来自相机140的生物识别数据142，还基于来自按钮控制器155的被示为授权指示152的指示用户已经授权了该认证的附加因素来认证用户。相应地，如果未接收到(或最近未接收到)指示152，SEP 130被配置为指示认证失败，即使确定生物识别数据142来自被授权用户。

相机140被配置为从用户的面部收集生物识别数据142以便对用户进行认证。如本文所用，“生物识别数据”是指基于用户的物理或行为特性在其他人中间唯一地标识用户(至少达到高精确度)的数据。相机140可使用任何合适的技术来收集生物识别数据142。因此，在一些实施方案中，相机140可包括被配置为捕获多个泛光帧和深度图像帧的红外(IR)发射器和IR相机。当捕获泛光帧时，IR发射器可从单个源发射光，并且IR相机可从用户的面部收集二维图像数据。在捕获深度图像帧时，IR发射器可将多个光源投射到用户面部上，并且IR相机可捕获那些光源的反射来确定指示从IR相机到用户面部相应部分的距离的多个深度点。在一些实施方案中，泛光和深度图像数据142的组合可允许SEP 130比较三维空间中的面部。在其他实施方案中，相机140被配置为以可见光光谱捕获二维图像。在各种实施方案中，相机140经由安全信道将生物识别数据142传送给SEP130。如本文所用，术语“安全信道”是指用于传送数据的专用路径(即仅被预期参与方共享的路径)或者传送利用仅预期参与方知道的密码密钥加密的数据。在一些实施方案中，相机140(或者未示出的图像传感器流水线)可在将生物识别数据142提供给SEP 130之前对生物识别数据执行各种处理操作，以便有利于SEP 130执行的比较。在一些实施方案中，接口应用程序122可执行注册过程，其中相机140捕获来自被授权用户的生物识别数据142以便允许SEP 130后续对该用户进行认证。

在一个实施方案中，按钮150是被配置为接收来自用户的机械输入的开关。在一些实施方案中，按钮150可从计算设备100的外壳突出，使得用户能够通过按压按钮150来提供机械输入。如上所述，在各种实施方案中，用户可按压按钮150以表达对执行认证的授权。在一些情况下，用户可响应于由接口应用程序125提供的指示用户如何参与认证的提示来按压按钮150。在其他情况下，按压按钮150可使得应用程序125呈现提示并发起认证的执行。在例示的实施方案中，按钮控制器155是被配置为检测按钮150何时被按压并将对应的授权指示152发送至SEP 130的电路。因此，控制器155可被配置为向按钮150的输入提供电压并确定该电压是否存在于输出处，存在该电压则指示按钮150已被按压。在一些实施方案中，按钮控制器155被配置为经由安全信道向SEP 130提供授权指示152。在各种实施方案中，按钮150和控制器155可以用于其他目的，而不是仅对认证进行授权。出于该原因，控制器155可响应于截然不同的输入(例如，对按钮150的两次或更多次按压)提供授权指示152。例如，如下文将相对于图2所描述的，按钮150可对应于计算设备100的电源按钮，并且按钮控制器155可被配置为管理提供给计算设备100的一个或多个部件的电力。

在一个实施方案中，凭据存储装置160是被配置为存储在图1中被示为凭据165的保密信息的存储器。在一些实施方案中，存储装置160不同于存储器120；然而，在其他实施方案中，存储装置160可对应于存储器120的一部分。凭据165可对应于用户可通过认证来获取或者授予权限访问的任何适当保密信息，诸如用户的联系人、个人信息、照片、用户名和密码、医疗信息等。如下文将相对于图4所描述的，在一些实施方案中，凭据165是可用于发起用户与商家之间的交易的支付信息。因此，在此类实施方案中，接口应用程序125可以实施钱包应用程序，该钱包应用程序可被执行以将有关用户的保密信息保存到安全元件中，并允许用户访问该信息以进行购买支付。在一些实施方案中，应用程序125可呈现提供可供购买的产品和/或服务的店面。例如，在一个实施方案中，应用程序125可呈现可供购买的各种数字内容，诸如音乐、视频、书籍和/或应用程序。一旦用户选择了要购买的特定项目，应用程序125就可指示元件130-155执行用户的认证。

无线网络接口170可对应于用于与外部系统190通信的任何合适的一个或多个接口。在一些实施方案中，无线网络接口170是无线局域网(WLAN)接口，诸如Wi-Fi^TM接口或Bluetooth^TM接口。在一些实施方案中，接口170是近场通信(NFC)接口。在一些实施方案中，接口170是广域网(WAN)接口，诸如蜂窝接口。尽管被描述为无线接口170，但在一些实施方案中，接口170可以是有线接口，诸如以太网接口、光纤信道接口等。如下文将描述的，在一些实施方案中，网络接口170可用于响应于SEP 130指示认证成功而向外部系统190发送凭据165(诸如支付信息)。

现在转向图2，其示出了按钮150和按钮控制器155的框图。如上所述，按钮150和控制器155可用于除了仅对认证的执行进行授权之外的其他目的。相应地，在例示的实施方案中，按钮控制器155耦接至一个或多个时钟门210和/或电源门220。

在一些实施方案中，按钮控制器155被配置为管理/控制提供给元件170中的一者或多者的电力。在例示的实施方案中，可以通过将控制信号214提供给时钟门210而对提供给一个或多个元件110-170的时钟信号212进行门控，并且/或者将控制信号224提供给电源门220而对提供给一个或多个元件110-170的电力信号222进行门控，由此执行该管理。在其他实施方案中，可使用其他技术来管理提供给元件110-170的电力。可响应于各种条件中的任何条件来对元件110-170进行电力管理。在一个实施方案中，按钮控制器155可响应于操作系统确定计算设备100应当进入电力管理状态而对一个或多个元件110-170断电。在此类实施方案中，按钮控制器155可响应于用户按压按钮150而对一个或多个元件110-170加电，以指示计算设备100离开电力管理状态。在一些实施方案中，控制器155可执行诸如响应于按钮150被按压而启动计算设备100的引导序列，管理电池供电设备100，包括使一个或多个风扇能够散热的热管理，对显示器盖打开或闭合做出响应(例如，如果计算设备100是笔记本)，启用键盘背光照明等功能。在一些实施方案中，控制器155可对应于电力管理单元(PMU)或系统管理控制器(SMC)。

如图所示，在一些实施方案中，按钮控制器155可接收对应于按钮150被按压的输入202并将时间戳204传送至SEP 130。如上文所述和下文所述，时间戳204可指示时间值，该时间值标识按钮150何时被按压并且可被SEP 130用来确认按钮是在执行该认证的阈值时间量内压下的。(在需要对按钮150的两次或更多次按压的实施方案中，时间戳204可对应于接收到最后一次按压的时间。)因此，如果时间戳204指示落在该阈值量之外的时间值，那么SEP 130可指示尽管按钮150先前被按压但认证仍然失败。在一些实施方案中，时间戳204可以被包含到(或者对应于)授权指示152；在其他实施方案中，时间戳204可不同于指示152，但与指示152结合发送。在其他实施方案中，SEP 130可最初接收输入152作为按钮150已被按压的指示，并且SEP 130可随后向控制器155发出对时间戳204的请求。在一些实施方案中，时间戳204可在被发送至SEP 130之前由控制器155签名和/或加密。

现在转向图3，其示出了SEP 130的框图。在例示的实施方案中，SEP130包括经由互连器380耦接在一起的过滤器310、安全邮箱320、处理器330、安全ROM 340、密码引擎350、密钥存储装置560和图像传感器流水线370。在一些实施方案中，SEP 130可包括比图3所示更多(或更少)的部件。如上所述，SEP 130是保护内部资源诸如部件用户认证密钥362和/或图像传感器流水线370的安全电路。如下文所述，SEP 130通过使用过滤器310和安全邮箱320来实现安全电路。

过滤器310是被配置为严密控制对SEP 130的访问以增大SEP 130相对于计算设备100的其余部分的隔离性，并因此提高设备100的总体安全性的电路系统。更具体地，在一个实施方案中，过滤器310可以仅在来自CPU 110(或耦接CPU 110和SEP 130的结构体上的其他外围设备)的读/写操作寻址到安全邮箱320的情况下才允许这些操作进入SEP 130。其他操作可不从互连器180前进到SEP 130中。甚至更特别地，过滤器310可允许对分配给安全邮箱320的收件箱部分的地址的写操作以及对分配给安全邮箱320的发件箱部分的地址的读操作。过滤器310可阻止/过滤所有其他读/写操作。在一些实施方案中，过滤器310可用错误对其他读/写操作进行响应。在一个实施方案中，过滤器310可接收与过滤后的写操作相关联的写数据，而不将该写数据传递给本地互连器380。在一个实施方案中，过滤器310可提供现时数据作为用于过滤后的读操作的读数据。现时数据(例如“无用数据”)一般可以是不与SEP 130内的被寻址资源相关联的数据。过滤器310可提供任何数据作为现时数据(例如全零、全一、来自随机数生成器的随机数据、被编程到过滤器310中以作为读数据进行响应的数据、读事务的地址等等)。

在各种实施方案中，过滤器310可以只过滤传入读/写操作。因此，SEP 130的部件可具有对计算设备100的其他部件(包括CPU 110、存储器120、相机140和/或按钮控制器155)的完全访问权限。因此，过滤器310可不过滤响应于SEP 130发出的读/写操作而提供的来自互连器180的响应。

安全邮箱320是在一些实施方案中包括收件箱和发件箱的电路系统。收件箱和发件箱二者可以是数据的先进先出缓冲器(FIFO)。缓冲器可具有任意尺寸(例如任意数量的条目，其中每个条目能够存储来自读/写操作的数据)。特别地，收件箱可被配置为存储来自源于CPU 110的写操作的写数据。发件箱可存储来自源于处理器330的写操作的写数据。(如本文所用，“邮箱机构”是指暂时存储1)安全电路的输入直到其能被该电路检索和/或2)安全电路的输出直到其能被外部电路检索的存储器电路。)

在一些实施方案中，在CPU 110上执行的软件(例如应用程序125)可经由计算设备100的操作系统支持的应用编程接口(API)请求SEP 130的服务—即，请求方可进行请求SEP130的服务的API调用。这些调用可使相应请求被写到邮箱机构320，其然后被从邮箱320检索并被处理器330分析以确定其是否应对请求提供服务。因此，该API可被用于将生物识别数据142和授权指示152递送给邮箱320，通过验证该信息来请求用户的认证，并经由邮箱来递送认证结果302。通过以这种方式隔离SEP 130，图像传感器流水线370的完整性可得到增强。

SEP处理器330被配置为处理从计算设备100中各种资源(例如从CPU 110)接收的命令并且可使用各种安全外围设备来实现这些命令。处理器330于是可执行存储在ROM 340中的指令，诸如认证应用程序342，以执行对用户的认证。例如，SEP处理器330可执行应用程序342以提供适当的命令给图像传感器流水线370以便验证生物识别数据142和/或指示152。在一些实施方案中，应用程序342可包括从存储器120中可信区加载的经加密的程序指令。

安全ROM 340是被配置为存储用于引导SEP 130的程序指令的存储器。在一些实施方案中，ROM 340可只对分配给本地互连器380上安全ROM 340的特定地址范围进行响应。所述地址范围可以是硬连线的，并且处理器330可被硬连线以在引导时从该地址范围进行取操作以便从安全ROM 340引导。过滤器310可过滤分配给安全ROM 340的地址范围(如上所述)内的地址，从而阻止从SEP 130外部的部件对安全ROM 340的访问。在一些实施方案中，安全ROM 340可包括SEP处理器330在使用期间执行的其他软件。该软件可包括用于处理收件箱消息和生成发件箱消息的指令、用于与安全元件130交互的代码等。

密码引擎350是被配置为为SEP 130执行密码操作的电路系统，包括密钥生成以及利用密钥存储装置360中的密钥的加密和解密。密码引擎350可实现任何合适的加密算法，诸如DES、AES、RSA等。在一些实施方案中，引擎350还可实现椭圆曲线密码方案(ECC)。在各种实施方案中，引擎350负责解密上述从相机140和按钮控制器155接收的通信以及加密发送给下文论述的安全元件400的通信。

密钥存储装置360是被配置为存储密码密钥的本地存储器(即内部存储器)。在一些实施方案中，这些密钥可包括用于在SEP 130与元件140、155和400之间建立安全信道的密钥(在下文论述)。如图所示，在一些实施方案中，这些密钥包括认证密钥362。如下文将相对于图5C所描述的，在一些实施方案中，SEP 130可被配置为生成凭据165(与使用来自存储装置160的凭据相反)。在此类实施方案中，加密引擎350可使用密钥362来生成数字签名，该数字签名可被提供给外部系统190。在一个实施方案中，外部系统190可存储用户的支付信息，并响应于在SEP 130成功地认证了用户之后通过提供由密钥362生成的数字签名而向系统190所做的用户认证而将该支付信息一起传送给商家。

图像传感器流水线370在一个实施方案中是被配置为将从正被认证的用户捕获的生物识别数据142与被授权用户的生物识别数据372进行比较的电路系统。在一些实施方案中，流水线370可利用流水线370中包括的神经网络集合来执行比较，每个网络被配置为将在单个帧中捕获的生物识别数据142与被授权用户的在多个帧中捕获的生物识别数据372进行比较。如图所示，流水线370可被配置为从存储器120读取生物识别数据372，生物识别数据372在一些实施方案中可通过加密进行保护或者被存储在只能被SEP 130访问的存储器120的相关联部分中。(在另一实施方案中，SEP 130可内部地存储数据372。)在一些实施方案中，流水线370还可验证授权指示152的存在。(在其他实施方案中，该验证可由SEP 130的另一个元件诸如认证应用程序342执行。)在此类实施方案中，该验证可包括将时间戳204与当前时间进行比较，以及确定时间戳204和当前时间之间的差值是否超过阈值——超过阈值将导致认证的失败。基于生物识别数据142的比较和授权指示152的存在，SEP 130可提供认证结果302，该认证结果指示认证是成功还是失败。

现在转向图4，其示出了安全元件400的框图。如上所述，在一些实施方案中，凭据存储装置160被配置为实施用于提供交易信息的安全元件400。在例示的实施方案中，安全元件400包括多个小应用程序410和非接触式注册服务(CRS)小应用程序420。

安全元件400是被配置为存储用户的保密信息(被示为凭据165A和165B)的安全电路，该保密信息为诸如用户的支付信息。在各种实施方案中，这些凭据165由小应用程序410保存，其中，每个小应用程序410保存与相应实体相关联的相应凭据165，该相应实体与该小应用程序410相关联。例如，小应用程序410A可保存凭据165A，该凭据可用于使用由第一交易提供方(例如，American Express^TM)提供的第一交易工具(例如，用户的AmericanExpress^TM卡)来授权交易；小应用程序410B可保存凭据165B，该凭据可用于使用由第二交易提供方(例如，Visa^TM)提供的第二交易工具(例如，用户的Visa^TM卡)来授权交易。当用户经由接口应用程序125选择要在交易中使用的特定交易工具时，应用程序125可向CRS小应用程序420发出对应的小应用程序请求402，以请求使用该特定交易工具的对应小应用程序410。

如本文所用，“非接触式注册服务(CRS)”通常是指控制对无线接口(诸如无线接口170)的访问的应用程序。因此，响应于接收到请求402，CRS小应用程序420可以在允许所请求的小应用程序410将其凭据165经由无线接口170发送至外部系统190之前确认用户成功地受到了认证。在一些实施方案中，该验证404可包括安全元件400向SEP 130发出对确认用户已被成功认证的响应的请求。在其他实施方案中，SEP 130可在SEP130已成功地对用户进行认证之后向SE 400递送令牌，并且验证404可包括CRS小应用程序420在允许发送凭据165之前确认令牌的存在。在一些实施方案中，在允许小应用程序410发送凭据165时，CRS小应用程序420可指示SEP 130丢弃已存储的成功认证的指示，从而在接收到任何附加请求402时要求后续认证。

现在将相对于图5A-图5C论述元件110-170之间的通信的示例。

现在转向图5A，其示出了认证过程500A的一个示例的通信图。在例示的实施方案中，执行认证过程500A以从凭据存储装置160释放凭据165。如上所述，在一些实施方案中，该凭据165可以是某种形式的保密信息，诸如用于输入到Web浏览器表单中的用户名和密码。在一些实施方案中，步骤510-步骤524可按与所示顺序不同的顺序执行或同时执行。

如图所示，过程500在510处开始，其中用户502处理按钮150。在512处，按钮150(或按钮控制器155)将授权指示152传送至接口应用程序125和SEP 130。在514处，响应于指示152，应用程序125可呈现提示514，该提示确认510处的按压并且向用户呈现一条或多条指令，诸如要求用户将其面部呈现给相机140。在516处，用户502将面部呈现给相机140，在518处，相机捕获生物识别数据142并将该数据发送至SEP 130。在520处，SEP 130通过验证授权指示152的存在并将生物识别数据142与已知用户的生物识别数据进行比较来认证用户。如果认证成功，则在522处将释放授权传送至凭据存储装置160，其指示对发生在524处的对凭据165的实现的授权。

现在转向图5B，示出了认证过程500B的另一示例的通信图。在例示的实施方案中，执行过程500B以将支付信息从安全元件400发送至外部系统190，在一些实施方案中，该外部系统可为具有NFC读取器的销售点终端。在一些实施方案中，步骤510-步骤532可按与所示顺序不同的顺序执行。

与过程500A类似，过程500B可在510处开始，其中按钮150被按压并且认证指示152被发送至应用程序125和SEP 130。在514处，应用程序125可提供确认按压的提示。在一些实施方案中，该提示可呈现与要传送至外部系统190的支付信息相关联的默认交易工具，但如果用户想要使用另一种交易工具(例如，选择Visa^TM卡而不是American Express^TM卡)，则可允许用户选择另选的交易工具。然后，相机140可在516A处从用户的面部捕获生物识别数据142，并在518A处将该数据传送至SEP 130，SEP 130尝试在520A处验证认证指示152和生物识别数据142。如果认证成功，那么SEP 130可在522A处发送释放授权，其指示SE 400被允许发送支付信息。

然而，如果用户在522处选择不同的交易工具，则相机140可在516B处捕获另一组生物识别数据142并在518B处将该数据发送至SEP 130。在520B处，SEP 130尝试从512对该新的生物识别数据142和认证指示152进行验证。值得注意的是，在一些实施方案中，SEP130不需要再次按压按钮150，而是依赖于较早接收的指示152；然而，在例示的实施方案中，则收集另一组生物识别数据142。如果SEP 130的验证成功，则在522B处发送实现授权，并且在532处将支付信息从SE 400发送至外部系统190。

现在转向图5C，其示出了认证过程500C的另一个示例的通信图。在例示的实施方案中，执行过程500C以发送签名信息，该签名信息可由SEP130使用密钥362生成，并用于向外部系统190认证用户。在一些实施方案中，步骤550-步骤564可按与所示顺序不同的顺序执行。

如图所示，过程500C在550处开始，其中应用程序122向用户呈现提示。在一些实施方案中，该提示可要求用户按压两次按钮150以确认用户对过程500C的执行进行授权(或者更一般地得到认证)。应用程序122还可在552中发送请求，以请求SEP 130向无线接口170提供签名信息以进行通信。在554处，按钮150从用户502接收到双按压，并且在556处，授权指示152被发送至SEP 130。在558处，用户505将面部呈现给相机，相机在560处捕获生物识别数据142并将该数据传送至SEP 130。然后，SEP130在562处验证数据142和指示152以对用户进行认证。在564处，SEP130生成数字签名并将其作为签名信息发送至无线接口170，该无线接口可将该信息传送至外部系统190以实现某一用途(例如，通过系统190认证用户以进行购买)。

现在转向图6A，其示出了方法600的流程图。方法600是用于认证用户的方法的一个实施方案。在一些实施方案中，方法600由具有相机和安全电路的计算设备(诸如计算设备100)执行。在一些情况下，方法600的执行可以允许更安全的认证。在一些实施方案中，步骤602-步骤606可按与所示顺序不同的顺序执行和/或同时执行。

在步骤602中，计算设备的相机(例如，相机140)捕获第一用户的第一组生物识别数据(例如，生物识别数据142)。在一些实施方案中，该生物识别数据可包括从用户的面部捕获的IR数据。在一些实施方案中，该生物识别数据可包括可用于将三维空间中的用户面部与被授权用户的脸部进行比较的多个泛光帧和深度帧。

在步骤604中，安全电路(例如，SEP 130)通过确认从控制器电路(例如，按钮控制器155)接收到通知(例如，授权指示152)来执行对第一用户的认证，该通知标识按钮(例如，按钮150)被按压。在此类实施方案中，控制器电路耦接至按钮并且被配置为检测按钮何时被按压。在一些实施方案中，控制器电路被配置为提供指示按钮何时被按压的时间戳(例如，时间戳204)，并且该时间戳可由安全电路用来确认按钮是在该认证被执行的阈值时间段内被按压的。在一些实施方案中，控制器电路被配置为在检测到对按钮的至少两次按压之后向安全电路提供通知。在一些实施方案中，控制电路响应于按钮被按压来控制提供给计算设备的一个或多个部件的电力。在一些实施方案中，控制电路经由控制器电路和安全电路之间的安全信道向安全电路发送该通知。

在步骤606中，安全电路进一步通过将第一组生物识别数据与计算设备的被授权用户的第二组生物识别数据(例如，生物识别数据372)进行比较而执行认证。在一些实施方案中，使安全电路隔绝除了通过邮箱机构(例如邮箱320)之外的访问，并且安全电路被配置为经由邮箱机构来接收通知和第一组生物识别数据。在各种实施方案中，计算设备(例如，使用接口应用程序125)向第一用户呈现与待执行的金融交易相关联的提示(例如，提示514或提示550)。在一些实施方案中，计算设备的安全元件(例如，安全元件400)从安全电路接收第一用户已被成功认证的指示(例如，释放授权522)，并且经由NFC无线电部件发送第一用户的针对该金融交易的交易信息。在一些实施方案中，安全电路基于该认证来经由无线接口发送第一用户的交易信息(例如，支付信息564)。在一些实施方案中，该提示指示将对该金融交易使用的第一交易工具，并且计算设备经由该提示来接收对用于该金融交易的第二交易工具的选择。在一些实施方案中，安全电路响应于对第二交易工具的选择，通过确认接收到通知，从相机接收在第一组生物识别数据之后捕获的第一用户的第三组生物识别数据，并将第三组生物识别数据与第二组生物识别数据进行比较来执行对第一用户的另一认证。在一些实施方案中，响应于控制器电路检测到按钮被按压而呈现提示。

现在转向图6B，其示出了方法610的流程图。方法610是用于认证用户的方法的一个实施方案。在一些实施方案中，方法610由具有相机和安全电路的计算设备(诸如计算设备100)执行。在一些情况下，方法610的执行可以允许更安全的认证。在一些实施方案中，步骤612-步骤616可按与所示顺序不同的顺序执行和/或同时执行。

在步骤612中，计算设备的安全电路(例如，SEP 130)接收用户已授权对该用户的认证的指示(例如，授权指示152)。在各种实施方案中，该指示是从被配置为检测在该计算设备的按钮处接收的机械输入的控制电路(例如，按钮控制器155)接收的。在一些实施方案中，该指示包括指示该输入何时被提供的时间值(例如，时间戳204)。在一些实施方案中，控制电路响应于在按钮处接收到机械输入来启动计算设备的引导序列。

在步骤614中，安全电路从计算设备的相机(例如，相机140)接收从用户捕获的第一组面部数据(例如，生物识别数据142)，诸如上文所述。

在步骤616中，安全电路基于所接收的指示以及第一组面部数据与和计算设备的被授权用户账户相关联的第二组面部数据(例如，生物识别数据372)匹配来认证用户。在一些实施方案中，认证包括确定当前时间值和该通知中包含的时间值之间的差值，以及将所确定的差值与阈值进行比较。在一些实施方案中，安全电路向计算设备的安全元件(例如，安全元件404)发送认证的结果(例如，经由用户验证400)，并且响应于该结果，安全元件经由近场通信(NFC)无线电部件传送用于该交易的支付信息。在一些实施方案中，安全电路相对于交易的第一交易工具执行认证，并且计算设备接收对交易使用第二交易工具的请求。在此类实施方案中，安全电路响应于该请求，基于该指示和接收自相机的第三组面部数据来执行另一个认证。

示例性计算机系统

现在转向图7，其示出了计算设备700的示例性实施方案的框图。在各种实施方案中，计算设备700发挥本文描述的功能并且可对应于上文论述的设备100。在一些实施方案中，可将设备700的元件包括在片上系统(SOC)内。在一些实施方案中，可将设备700包括在可以是电池供电的移动设备中。然而，设备700可以是合适的计算设备，诸如服务器系统、个人计算机系统、台式计算机、膝上型计算机或笔记本电脑、主机计算机系统、平板电脑、手持式计算机、工作站、网络计算机、消费设备诸如移动电话、音乐播放器或个人数据助理(PDA)。在例示的实施方案中，设备700包括结构体710、处理器复合体720、图形单元730、显示单元740、高速缓存/存储器控制器750、输入/输出(I/O)桥760。

结构体710可以包括各种互连器、总线、MUX、控制器等，并且可以被配置为促进设备700的各种元件之间的通信。在一些实施方案中，结构体710的各部分可以被配置为实现各种不同的通信协议。在其他实施方案中，结构体710可以实现单个通信协议，并且耦接到结构体710的元件可以在内部从单个通信协议转换为其他通信协议。如本文所用，术语“耦接到”可指示元件之间的一个或多个连接，并且耦接可包括中间元件。例如，在图7中，图形单元730可被描述为通过结构体710和高速缓存/存储器控制器750“耦接到”存储器。相比之下，在图7的例示的实施方案中，图形单元730“直接耦接”到结构体710，因为不存在中间元件。

在例示的实施方案中，处理器复合体720包括总线接口单元(BIU)722、高速缓存724和内核726A和726B。在各种实施方案中，处理器复合体720可包括各种数量的处理器、处理器内核和/或高速缓存。例如，处理器复合体720可以包括1个、2个或4个处理器内核，或任何其他合适的数量。在一个实施方案中，高速缓存724是组关联L2高速缓存。在一些实施方案中，内核726A和/或726B可以包括内部指令和/或数据高速缓存。在一些实施方案中，结构体710、高速缓存724或设备700中的其他地方的一致性单元(未示出)可被配置为维持设备700的各个高速缓存之间的一致性。BIU 722可被配置为管理处理器复合体720和设备700的其他元件之间的通信。诸如内核726的处理器内核可以被配置为执行特定指令集架构(ISA)的指令，其可以包括操作系统指令和用户应用指令。这些指令可存储在计算机可读介质，诸如耦接到下面论述的存储器控制器750的存储器中。在一些实施方案中，处理器复合体720可对应于上文论述的CPU110。

图形单元730可包括一个或多个处理器和/或一个或多个图形处理单元(GPU)。例如，图形单元730可接收面向图形的指令，诸如

Metal或

指令。图形单元730可基于所接收的面向图形的指令执行专用GPU指令或执行其他操作。图形单元730通常可被配置为并行处理大块数据，并且可在帧缓冲器中构建图像以输出到显示器。图形单元730可包括在一个或多个图形处理流水线中的变换、照明、三角形和/或渲染引擎。图形单元730可输出用于显示图像的像素信息。

显示单元740可被配置为从帧缓冲器读取数据并且提供像素值流以用于显示。在一些实施方案中，显示单元740可被配置为显示流水线。另外，显示单元740可被配置为将多个帧混合以产生输出帧。此外，显示单元740可以包括用于耦接到用户显示器(例如，触摸屏或外部显示器)的一个或多个接口(例如，

或嵌入式显示端口(eDP))。

高速缓存/存储器控制器750可被配置为管理结构体710与一个或多个高速缓存和/或存储器之间的数据传输。例如，可将高速缓存/存储器控制器750耦接到L3高速缓存，继而可将该L3高速缓存耦接到系统存储器。在其他实施方案中，可将高速缓存/存储器控制器750直接耦接到存储器。在一些实施方案中，高速缓存/存储器控制器750可包括一个或多个内部高速缓存。耦接到存储器750的存储器可以是任何类型的易失性存储器，诸如动态随机存取存储器(DRAM)、同步DRAM(SDRAM)、双数据速率(DDR、DDR2、DDR3等)SDRAM(包括SDRAM的移动版本，诸如mDDR3等，或SDRAM的低功率版本，诸如LPDDR4等)、RAMBUS DRAM(RDRAM)、静态RAM(SRAM)等。一个或多个存储器设备可以耦接到电路板上以形成存储器模块，诸如单列直插存储器模块(SIMM)、双列直插存储器模块(DIMM)等。另选地，设备可以与集成电路在芯片堆叠(chip-on-chip)结构、封装堆叠(package-on-package)结构或者多芯片模块结构中安装。耦接到控制器750的存储器可以是任何类型的非易失性存储器，诸如NAND闪存存储器、NOR闪存存储器、纳米RAM(NRAM),、磁阻RAM(MRAM)、相变RAM(PRAM)、赛道存储器、忆阻器存储器等。如上所述，该存储器可存储可由处理器复合体720执行的程序指令，以使设备700执行本文描述的功能。在一些实施方案中，耦接至控制器750的存储器可对应于上文论述的存储器120。

I/O桥接部760可以包括被配置为实现例如通用串行总线(USB)通信、安全性、音频和/或低功率永远在线功能的各种元件。I/O桥接部760还可以包括例如脉冲宽度调制(PWM)、通用输入/输出(GPIO)、串行外围接口(SPI)和/或内部集成电路(I2C)的接口。可将各种类型的外围设备和设备经由I/O桥760联接到设备700。例如，这些设备可包括各种类型的无线通信(例如，wifi、蓝牙、蜂窝、全球定位系统等)、附加存储装置(例如，RAM存储装置、固态存储装置或磁盘存储装置)、用户接口设备(例如，键盘、麦克风、扬声器等)等。

***

本公开设想负责采集、分析、公开、传输、存储或其他使用个人信息数据的实体将遵守既定的隐私政策和/或隐私实践。具体地，此类实体应当实行并坚持使用被公认为满足或超出对维护个人信息数据的隐私性和安全性的行业或政府要求的隐私政策和实践。例如，在使用面部识别来对设备进行解锁和/或授权的情况下，来自用户的个人信息应被收集用于实体的合法且合理的用途，并且不在这些合法使用之外共享或出售。另外，此类收集应当仅在用户知情同意之后进行。另外，此类实体应采取任何所需的步骤，以保障和保护对此类个人信息数据的访问，并且确保能够访问个人信息数据的其他人遵守他们的隐私政策和程序。另外，这种实体可使其本身经受第三方评估以证明其遵守广泛接受的隐私政策和实践。

不管前述情况如何，本公开还预期用户选择性地阻止使用或访问个人信息数据的实施方案。即本公开预期可提供硬件元件和/或软件元件，以防止或阻止对此类个人信息数据的访问。例如，本发明的技术可被配置为在注册服务期间允许用户选择“加入”或“退出”参与对个人信息数据的收集。

尽管上文已经描述了具体实施方案，但这些实施方案并非要限制本公开的范围，即使仅相对于特定特征描述单个实施方案的情况下也是如此。本公开中提供的特征示例意在进行例示，而非限制，除非做出不同表述。上述说明书意在涵盖此类替代形式、修改形式和等价形式，这对知晓本公开有效效果的本领域技术人员将是显而易见的。

本公开的范围包括本文(明确或暗示)公开的任意特征或特征的组合或其任意概括，而无论其是否减轻本文解决的任何或所有问题。因此，在本专利申请(或要求享有其优先权的专利申请)进行期间可针对特征的任何此类组合作出新的权利要求。具体地，参考所附权利要求书，可将从属权利要求的特征与独立权利要求的特征进行组合，并可通过任何适当的方式而不是仅通过所附权利要求书中所列举的特定组合来组合来自相应独立权利要求的特征。

Claims (20)

1.一种计算设备，包括：

控制器电路，所述控制器电路耦接至按钮，其中所述控制器电路被配置为检测所述按钮何时被按压；

相机，所述相机被配置为捕获第一用户的第一组生物识别数据；和

安全电路，所述安全电路被配置为通过以下操作来执行所述第一用户的认证：

确认从所述控制器电路接收到通知，其中所述通知识别所述按钮被按压；以及

将所述第一组生物识别数据与所述计算设备的被授权用户的第二组生物识别数据进行比较。

2.根据权利要求1所述的计算设备，其中所述控制器电路被配置为：

提供指示所述按钮何时被按压的时间戳，其中所述时间戳能够由所述安全电路用来确认所述按钮是在所述认证被执行的阈值时间段内被按压的。

3.根据权利要求1所述的计算设备，其中所述控制器电路被配置为：

响应于所述按钮被按压，控制提供给所述计算设备的一个或多个部件的电力；以及

经由所述控制器电路和所述安全电路之间的安全信道，向所述安全电路发送所述通知。

4.根据权利要求1所述的计算设备，还包括：

处理器；和

存储器，所述存储器中存储有程序指令，所述程序指令能够由所述处理器执行以使所述计算设备向所述第一用户呈现与待执行的金融交易相关联的提示。

5.根据权利要求4所述的计算设备，还包括：

近场通信(NFC)无线电部件；和

安全元件，所述安全元件被配置为：

从所述安全电路接收所述第一用户已被成功认证的指示；以及

经由所述NFC无线电部件，发送所述第一用户的用于所述金融交易的交易信息。

6.根据权利要求4所述的计算设备，还包括：

无线接口；并且

其中所述安全电路被配置为：

基于所述认证，经由所述无线接口发送所述第一用户的交易信息。

7.根据权利要求4所述的计算设备，其中所述提示指示将用于所述金融交易的第一交易工具；并且

其中所述程序指令能够被执行以使所述计算设备经由所述提示来接收对用于所述金融交易的第二交易工具的选择。

8.根据权利要求7所述的计算设备，其中所述安全电路被配置为：

响应于对所述第二交易工具的所述选择，通过以下操作来执行所述第一用户的另一认证：

确认接收到所述通知；

从所述相机接收所述第一用户的在所述第一组生物识别数据之后捕获的第三组生物识别数据；以及

将所述第三组生物识别数据与所述第二组生物识别数据进行比较。

9.根据权利要求4所述的计算设备，其中响应于所述控制器电路检测到所述按钮被按压而呈现所述提示。

10.根据权利要求1所述的计算设备，其中所述控制器电路被配置为在检测到对所述按钮的至少两次按压之后向所述安全电路提供所述通知。

11.根据权利要求1所述的计算设备，其中使所述安全电路隔绝除了通过邮箱机构之外的访问，并且其中所述安全电路被配置为经由所述邮箱机构来接收所述通知和所述第一组生物识别数据。

12.一种方法，包括：

计算设备的安全电路接收用户已经授权对所述用户的认证的指示，其中所述指示是从被配置为检测在所述计算设备的按钮处接收的机械输入的控制电路接收的；

所述安全电路从所述计算设备的相机接收从所述用户捕获的第一组面部数据；以及

所述安全电路基于所接收到的指示以及所述第一组面部数据与跟所述计算设备的被授权用户账户相关联的第二组面部数据匹配来认证所述用户。

13.根据权利要求12所述的方法，其中所述指示包括指示所述机械输入何时被提供的时间值；并且

其中所述认证包括：

确定当前时间值和所包括的时间值之间的差值；以及

将所确定的差值与阈值进行比较。

14.根据权利要求12所述的方法，还包括：

所述控制电路响应于在所述按钮处接收到机械输入来启动所述计算设备的引导序列。

15.根据权利要求12所述的方法，还包括：

所述安全电路向所述计算设备的安全元件发送所述认证的结果；以及

响应于所述结果，所述安全元件经由近场通信(NFC)无线电部件传送用于交易的支付信息。

16.根据权利要求12所述的方法，还包括：

所述安全电路针对用于交易的第一交易工具执行所述认证；

所述计算设备接收针对所述交易使用第二交易工具的请求；以及

响应于所述请求，所述安全电路基于所述指示和接收自所述相机的第三组面部数据来执行另一认证。

17.一种计算设备，包括：

按钮，所述按钮被配置为接收来自请求执行认证的用户的机械输入；

相机，所述相机被配置为捕获所述用户的一组面部生物识别数据；

处理器；

存储器，所述存储器中存储有程序指令，所述程序指令能够被所述处理器执行以使所述计算设备：

向所述用户呈现指示所述认证的执行的提示；和

安全电路，所述安全电路被配置为：

基于1)所述机械输入和2)所述一组面部生物识别数据来认证所述用户。

18.根据权利要求17所述的计算设备，还包括：

与近场通信(NFC)无线电部件相关联的安全元件，其中所述安全元件被配置为：

存储所述用户的交易信息；以及

响应于所述安全电路认证了所述用户，经由所述NFC无线电部件发送所述交易信息。

19.根据权利要求17所述的计算设备，还包括：

耦接至所述按钮的电力管理电路，其中所述电力管理电路被配置为：

管理提供给所述计算设备的电力；以及

将机械输入的指示发送至所述安全电路。

20.根据权利要求19所述的计算设备，其中所述电力管理电路被配置为使用密码密钥对发送至所述安全电路的所述指示进行加密，其中所述密码密钥对于所述处理器是未知的。

Images