CN110795737A - 对电子身份证的业务适用范围进行升级的方法和终端设备 - Google Patents

Abstract

本申请提供一种对电子身份证的业务适用范围进行升级的方法，能够以较低的成本对电子身份证的业务适用范围进行升级。该方法包括：终端设备接收触发指令，触发指令用于请求对用户的电子身份证的业务适用范围进行升级；终端设备确定本地提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；终端设备从身份认证服务器获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限；终端设备生成对电子身份证的业务适用范围进行升级所需的升级信息，并向身份认证服务器发送升级信息，以使身份认证服务器根据升级信息对电子身份证的业务适用范围进行升级。

Description

对电子身份证的业务适用范围进行升级的方法和终端设备

技术领域

本申请涉及终端设备领域，更具体地，涉及一种对电子身份证的适用范围进行升级的方法和终端设备、一种申请电子身份证的方法和终端设备。

背景技术

近年来，在线对用户进行实名认证变得越来越普遍和必不可少，同时对用户身份信息的隐私保护也备受关注。公安部第一研究所搭建的居民可信身份认证(citizentrusted identity,CTID)平台推出身份证网上副本签发系统。基于该身份证网上副本签发系统，可以为每个用户在网上生成一个唯一的身份证网上副本，也可以称为电子身份证。电子身份证不包含任何隐私信息，与实体身份证唯一对应。另外，公安部还建立了一个多因子和多认证模式的可信身份认证系统，便于业务平台(例如，电子商务、金融、电子政务等服务提供商)借助用户的电子身份证，结合人脸图像、指纹等信息，完成对用户的“实名+实人+实证”的真实身份认证。例如，用户可以使用电子身份证办理酒店入住、车票购买等业务场景中的身份认证。

但是，由于电子身份证的使用正处于起步和探索的阶段，其业务适用范围仍然非常有限。例如，目前电子身份证仅适用于用户之间的社交、网吧、酒店入住以及车票购买等简单场景下的实名认证。如果想要扩大电子身份证的业务适用范围，例如，将电子身份证用于政务办理、工商注册登记等，目前有一种实现是由公安部在固定网点部署可信受理终端，用户通过这些可信受理终端对电子身份证的业务适用范围进行升级。而在固定网点部署可信受理终端，部署成本高，而且用户使用也不方便。

发明内容

本申请提供一种对电子身份证的业务适用范围进行升级的方法和终端设备、一种申请电子身份证的方法和终端设备，通过利用终端设备上逐渐成熟的可信安全平台，能够以较低的成本对电子身份证的业务适用范围进行升级，或直接为用户申请具有较大业务适用范围的电子身份证。

第一方面，提供了一种对电子身份证的业务适用范围进行升级的方法，该方法包括：终端设备接收触发指令，触发指令用于请求对用户的电子身份证的业务适用范围进行升级；终端设备确定终端设备提供可信安全平台，并确定该可信安全平台保存有身份认证服务器的证明信息；终端设备从身份认证服务器获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限；终端设备生成对电子身份证的业务适用范围进行升级所需的升级信息，并向身份认证服务器发送升级信息，以使身份认证服务器根据升级信息对电子身份证的业务适用范围进行升级。

本申请的技术方案，终端设备通过从身份认证服务器申请得到基于终端设备提供的可信安全平台对用户的电子身份证的业务适用范围进行升级的权限，从而可以基于该可信安全平台对用户的电子身份证的业务适用范围进行升级。一方面，可以免去为了对用户的电子身份证的业务适用范围进行升级而专门部署可信受理终端的成本，降低电子身份证的推广难度。另一方面，用户不再需要前往固定网点部署的可信受理终端办理电子身份证的业务适用范围的升级，而是通过操作终端设备(例如，手机)完成对自己的电子身份证的业务适用范围进行升级，可以为用户提供方便。

结合第一方面，在第一方面的某些实现方式中，终端设备确定可信安全平台保存有身份认证服务器的证明信息之前，该方法还包括：终端设备确定可信安全平台中存在电子身份证应用；或者终端设备在确定可信安全平台中不存在电子身份证应用的情况下，下载并安装电子身份证应用到该可信安全平台中。

结合第一方面，在第一方面的某些实现方式中，可信安全平台为可信执行环境TEE，电子身份证应用为TEE中的可信应用TA，或者，可信安全平台为安全单元SE，电子身份证应用为SE中的安全应用。

结合第一方面，在第一方面的某些实现方式中，升级信息包括用户的人脸图像信息和实体身份证信息，终端设备生成对电子身份证的业务适用范围进行升级所需的升级信息，并向身份认证服务器发送所述升级信息，包括：终端设备通过REE中的客户端应用CA生成升级信息，并通过CA向身份认证服务器发送该升级信息，其中，升级信息中的至少一项信息是CA从电子身份证应用获取的；或者，终端设备通过CA请求电子身份证应用生成升级信息，并由电子身份证应用向身份认证服务器发送该升级信息。

结合第一方面，在第一方面的某些实现方式中，升级信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

结合第一方面，在第一方面的某些实现方式中，升级信息还包括电子身份证信息，或者，升级信息还包括电子身份证信息和电子身份证信息对应的业务适用范围的标识信息。

结合第一方面，在第一方面的某些实现方式中，升级信息是使用身份认证服务器的密钥进行加密处理后的信息。

结合第一方面，在第一方面的某些实现方式中，终端设备确定可信安全平台保存有身份认证服务器的证明信息，包括：终端设备通过REE中的CA向可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；终端设备通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

结合第一方面，在第一方面的某些实现方式中，查询成功响应中携带能够指示可信安全平台的证书的信息，以及，终端设备从身份认证服务器获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限，包括：终端设备向身份认证服务器发送本地升级授权请求，本地升级授权请求中携带能够指示可信安全平台的证书的信息；终端设备接收身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台对电子身份证的业务适用范围进行升级。

结合第一方面，在第一方面的某些实现方式中，终端设备向身份认证服务器发送本地升级授权请求，包括：终端设备通过CA向身份认证服务器发送本地升级授权请求；以及，终端设备接收身份认证服务器返回的授权应答消息，包括：终端设备通过CA接收身份认证服务器返回的授权应答消息；或者，终端设备向身份认证服务器发送本地升级授权请求，包括：终端设备通过电子身份证应用向身份认证服务器发送本地升级授权请求；以及，终端设备接收身份认证服务器返回的授权应答消息，包括：终端设备通过电子身份证应用从身份认证服务器接收授权应答消息。

结合第一方面，在第一方面的某些实现方式中，本地升级授权请求中还携带随机数和随机数的签名，随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，随机数是可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

结合第一方面，在第一方面的某些实现方式中，该能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

第二方面，提供了一种申请电子身份证的方法，终端设备接收触发指令，触发指令用于请求为用户申请具有目标业务适用范围的电子身份证，其中，业务适用范围用于指定电子身份证能够适用的业务；终端设备确定该终端设备提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；终端设备从身份认证服务器获得基于可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限；终端设备生成申请具有目标业务适用范围的电子身份证所需的申请信息，并向身份认证服务器发送申请信息，以使所述身份认证服务器根据申请信息为该用户生成具有目标业务适用范围的电子身份证。

本申请的技术方案，终端设备通过从身份认证服务器申请得到基于终端设备提供的可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限，进而可以基于该可信安全平台为用户申请具有目标业务适用范围的电子身份证。这样，使用具有可信安全平台的终端设备的用户可以直接申请得到一个具有较大的业务适用范围的电子身份证，为用户带来方便。

结合第二方面，在第二方面的某些实现方式中，终端设备确定所述可信安全平台保存有身份认证服务器的证明信息之前，该方法还包括：终端设备确定可信安全平台中存在电子身份证应用；或者终端设备在确定可信安全平台中不存在电子身份证应用的情况下，下载并安装电子身份证应用到该可信安全平台中。

结合第二方面，在第二方面的某些实现方式中，该可信安全平台为可信执行环境TEE，电子身份证应用为TEE中的可信应用TA，或者，该可信安全平台为安全单元SE，电子身份证应用为SE中的安全应用。

结合第二方面，在第二方面的某些实现方式中，该申请信息包括用户的人脸图像信息和实体身份证信息，终端设备生成申请具有目标业务适用范围的电子身份证所需的申请信息，并向身份认证服务器发送申请信息，包括：终端设备通过REE中的客户端应用CA生成申请信息，并通过CA向身份认证服务器发送申请信息，其中，申请信息中的至少一项信息是CA从电子身份证应用获取的；或者，终端设备通过CA请求电子身份证应用生成申请信息，并由电子身份证应用向身份认证服务器发送申请信息。

结合第二方面，在第二方面的某些实现方式中，申请信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

结合第二方面，在第二方面的某些实现方式中，申请信息还包括目标业务适用范围的标识信息。

结合第二方面，在第二方面的某些实现方式中，申请信息是使用身份认证服务器的密钥进行加密处理后的信息。

结合第二方面，在第二方面的某些实现方式中，终端设备确定可信安全平台保存有身份认证服务器的证明信息，包括：终端设备通过REE中的CA向可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；终端设备通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

结合第二方面，在第二方面的某些实现方式中，查询成功响应中还携带能够指示可信安全平台的证书的信息，以及，终端设备从身份认证服务器获得基于可信安全平台为该用户申请具有目标业务的电子身份证的权限，包括：终端设备向身份认证服务器发送本地申请授权请求，本地申请授权请求中携带能够指示可信安全平台的证书的信息；终端设备接收身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台为该用户申请具有目标业务适用范围的电子身份证。

结合第二方面，在第二方面的某些实现方式中，终端设备向身份认证服务器发送本地申请授权请求，包括：终端设备通过CA向身份认证服务器发送本地申请授权请求；以及，终端设备接收身份认证服务器返回的授权应答消息，包括：终端设备通过CA接收身份认证服务器返回的授权应答消息；或者，终端设备向身份认证服务器发送本地申请授权请求，包括：终端设备通过电子身份证应用向身份认证服务器发送本地申请授权请求；以及，终端设备接收身份认证服务器返回的授权应答消息，包括：终端设备通过电子身份证应用从身份认证服务器接收授权应答消息。

结合第二方面，在第二方面的某些实现方式中，本地申请授权请求中还携带随机数和随机数的签名，随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，随机数是可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

结合第二方面，在第二方面的某些实现方式中，该能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

结合第二方面，在第二方面的某些实现方式中，在终端设备接收触发指令之后，该方法还包括：终端设备确定用户未开通电子身份证。

第三方面，本申请提供一种对电子身份证的业务适用范围进行升级的装置，该装置具有实现上述第一方面或第一方面的任意可能的实现方式的方法中终端设备的功能。这些功能可以通过硬件实现，或者也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与这些功能相对应的单元。

可选地，第三方面所述的对电子身份证的业务适用范围进行升级的装置可以是终端设备，或者，也可以是配置在终端设备中的芯片。

第四方面，本申请提供一种申请电子身份证的装置，该装置具有实现上述第二方面或第二方面的任意可能的实现方式的方法中终端设备的功能。这些功能可以通过硬件实现，或者也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与这些功能相对应的单元。

可选地，第四方面所述的申请电子身份证的装置可以是终端设备，或者也可以是配置在终端设备中的芯片。

第五方面，本申请提供一种终端设备，包括：输入输出设备，用于接收触发指令，触发指令用于请求对用户的电子身份证的业务适用范围进行升级；处理器，用于在输入输出设备接收到触发指令的情况下确定终端设备提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；处理器，还用于在确定可信安全平台保存有所述身份认证服务器的证明信息的情况下，从身份认证服务器获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限；处理器，还用于生成对电子身份证的业务适用范围进行升级所需的升级信息；收发器，用于将处理器生成的升级信息发送给身份认证服务器，以使身份认证服务器根据升级信息对电子身份证的业务适用范围进行升级。

结合第五方面，在第五方面的某些实现方式中，处理器在确定可信安全平台保存有身份认证服务器的证明信息之前，还用于确定可信安全平台中存在电子身份证应用；或者，处理器在确定可信安全平台中不存在电子身份证应用的情况下，还用于下载并安装电子身份证应用到可信安全平台中。

结合第五方面，在第五方面的某些实现方式中，可信安全平台为可信执行环境TEE，电子身份证应用为TEE中的可信应用TA，或者，可信安全平台为安全单元SE，电子身份证应用为SE中的安全应用。

结合第五方面，在第五方面的某些实现方式中，升级信息包括用户的人脸图像信息和实体身份证信息，处理器用于通过REE中的客户端应用CA生成所述升级信息；收发器用于将所述CA生成的升级信息发送给身份认证服务器，升级信息中的至少一项信息是CA从电子身份证应用获取的；或者，处理器用于通过CA请求电子身份证应用生成升级信息；收发器用于将电子身份证应用生成的升级信息发送给身份认证服务器。

结合第五方面，在第五方面的某些实现方式中，升级信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

结合第五方面，在第五方面的某些实现方式中，升级信息还包括电子身份证信息，或者，升级信息还包括电子身份证信息和电子身份证信息对应的业务适用范围的标识信息。

结合第五方面，在第五方面的某些实现方式中，升级信息是使用身份认证服务器的密钥进行加密处理后的信息。

结合第五方面，在第五方面的某些实现方式中，处理器用于通过REE中的CA向可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；处理器还用于通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

结合第五方面，在第五方面的某些实现方式中，查询成功响应中携带能够指示可信安全平台的证书的信息，以及，收发器，用于向身份认证服务器发送本地升级授权请求，本地升级授权请求中携带能够指示可信安全平台的证书的信息；收发器，还用于接收身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台对电子身份证的所述业务适用范围进行升级。

结合第五方面，在第五方面的某些实现方式中，收发器通过CA向身份认证服务器发送本地升级授权请求，并通过CA接收身份认证服务器返回的授权应答消息；或者，收发器通过电子身份证应用向身份认证服务器发送本地升级授权请求，并通过电子身份证应用从身份认证服务器接收授权应答消息。

结合第五方面，在第五方面的某些实现方式中，本地升级授权请求中还携带随机数和随机数的签名，随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，随机数是所述可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

结合第五方面，在第五方面的某些实现方式中，能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

或者，本申请提供的终端设备包括存储器、处理器和输入输出设备，输入输出设备用于检测用户操作以接收触发指令，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得终端设备执行上述第一方面及其第一方面任意可能的实现方式中的方法。

第六方面，本申请提供一种终端设备，包括：输入输出设备，用于接收触发指令，触发指令用于请求为用户申请具有目标业务适用范围的电子身份证，其中，业务适用范围用于指定电子身份证能够适用的业务；处理器，用于在输入输出设备接收到触发指令的情况下确定终端设备提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；处理器，还用于从身份认证服务器获得基于可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限；处理器，还用于生成申请具有目标业务适用范围的电子身份证所需的申请信息；收发器，还用于向身份认证服务器发送申请信息，以使身份认证服务器根据申请信息为用户生成具有目标业务适用范围的电子身份证。

结合第六方面，在第六方面的某些实现方式中，处理器还用于在确定可信安全平台保存有身份认证服务器的证明信息之前，确定可信安全平台中存在电子身份证应用；或者，处理器还用于在确定可信安全平台中不存在电子身份证应用的情况下，下载并安装电子身份证应用到可信安全平台中。

结合第六方面，在第六方面的某些实现方式中，可信安全平台为可信执行环境TEE，电子身份证应用为TEE中的可信应用TA，或者，可信安全平台为安全单元SE，电子身份证应用为SE中的安全应用。

结合第六方面，在第六方面的某些实现方式中，申请信息包括用户的人脸图像信息和实体身份证信息，处理器用于通过富执行环境REE中的客户端应用CA生成所述申请信息；收发器用于将CA生成的申请信息发送给身份认证服务器，申请信息中的至少一项信息是CA从电子身份证应用获取的；或者，处理器用于通过CA请求电子身份证应用生成申请信息；收发器用于将电子身份证应用生成的申请信息发送给身份认证服务器。

结合第六方面，在第六方面的某些实现方式中，申请信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

结合第六方面，在第六方面的某些实现方式中，申请信息还包括目标业务适用范围的标识信息。

结合第六方面，在第六方面的某些实现方式中，申请信息是使用身份认证服务器的密钥进行加密处理后的信息。

结合第六方面，在第六方面的某些实现方式中，处理器用于通过REE中的CA向可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；处理器还用于通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

结合第六方面，在第六方面的某些实现方式中，查询成功响应中携带能够指示可信安全平台的证书的信息，收发器用于向身份认证服务器发送本地申请授权请求，本地申请授权请求中携带能够指示所述可信安全平台的证书的信息；以及，收发器还用于接收身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台为用户申请具有目标业务适用范围的电子身份证。

结合第六方面，在第六方面的某些实现方式中，收发器用于通过CA向身份认证服务器发送本地申请授权请求，并通过CA接收身份认证服务器返回的授权应答消息；或者，收发器用于通过电子身份证应用向身份认证服务器发送本地申请授权请求，并通过电子身份证应用从身份认证服务器接收授权应答消息。

结合第六方面，在第六方面的某些实现方式中，本地申请授权请求中还携带随机数和随机数的签名，随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，随机数是可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

结合第六方面，在第六方面的某些实现方式中，该能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

或者，本申请提供的终端设备包括存储器、处理器和输入输出设备，输入输出设备用于检测用户操作以接收触发指令，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得终端设备执行上述第二方面及其第二方面任意可能的实现方式中的方法。

可选地，终端设备还可以包括收发器，用于实现终端设备和身份认证服务器、证件包应用服务器之间的交互。

可选地，输入输出设备可以为一个或多个传感器。当传感器有多个时，不同的传感器可用于检测不同的用户操作，或者，多个不同的传感器也可用于检测相同的用户操作。

可选地，以上终端设备中的存储器可以为一个或多个，处理器也可以为一个或多个。

第七方面，本申请提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述第一方面或第一方面的任意可能的实现方式中的方法。

第八方面，本申请提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述第二方面或第二方面的任意可能的实现方式中的方法。

第九方面，本申请提供一种芯片，包括存储器和处理器，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得安装有该芯片的终端设备执行上述第一方面及其第一方面的任意可能的实现方式中的方法。

第十方面，本申请提供一种芯片，包括存储器和处理器，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得安装有该芯片的终端设备执行上述第二方面及其第二方面的任意可能的实现方式中的方法。

可选地，该存储器可以为一个或多个。该处理器可以为一个或多个。

可选的，上述的存储器与存储器可以是物理上相互独立的单元，或者，存储器也可以和处理器集成在一起。

第十一方面，本申请提供一种计算机程序产品，该计算机程序产品包括计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述第一方面及其任意一种可能的实现方式中的方法。

第十二方面，本申请提供一种计算机程序产品，该计算机程序产品包括计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述第二方面及其第二方面任意一种可能的实现方式中的方法。

可选地，上述计算机程序可以全部或部分存储在与处理器封装在一起的存储介质上，也可以部分或全部存储在不与处理器封装在一起的存储器上。

本申请的技术方案，终端设备通过从身份认证服务器申请得到基于终端设备提供的可信安全平台对用户的电子身份证的业务适用范围进行升级或基于该可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限，从而可以基于该可信安全平台对用户的电子身份证的业务适用范围进行升级，或直接为用户申请具有较大的业务适用范围的电子身份证。一方面，可以免去为了对用户的电子身份证的业务适用范围进行升级而专门部署可信受理终端的成本。另一方面，用户不再需要前往固定网点部署的可信受理终端办理电子身份证的业务适用范围的升级，而是通过操作终端设备(例如，手机)就完成对自己的电子身份证的业务适用范围进行升级。对于不具有电子身份证的用户而言，通过终端设备上的可信安全平台，可以直接申请得到具有较大的业务适用范围的电子身份证，从而能够为用户提供方便。

附图说明

图1是本申请提出的对电子身份证的业务适用范围进行升级的方法流程图。

图2是基于终端设备上的可信安全平台对电子身份证的业务适用范围进行升级的示意图。

图3是对电子身份证进行管理操作的用户界面UI示意图。

图4是用户界面UI上实现提示框的示意图。

图5是对电子身份证进行管理操作的另一个用户界面UI示意图。

图6是终端设备查询可信安全平台是否保存有身份认证服务器的证明信息的示意图。

图7是终端设备向身份认证服务器申请基于可信安全平台对电子身份证的业务适用范围进行升级的权限的示意图。

图8是终端设备生成升级信息并向身份认证服务器发送升级信息的示意图。

图9是对电子身份证进行管理操作的又一用户界面UI示意图。

图10是本申请提出的申请电子身份证的方法流程图。

图11是本申请提出的终端设备基于可信安全平台申请电子身份证的示意图。

图12是本申请提出的对电子身份证的业务适用范围进行升级的装置700的示意性框图。

图13是本申请提出的申请电子身份证的装置800的示意性框图。

图14是适用于本申请实施例的终端设备900的结构示意图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

本申请的技术方案，适用于对用户的电子身份证的业务适用范围进行升级的场景或者，也可以适用于为没有电子身份证的用户直接申请一个具有较大业务适用范围的电子身份证的场景。其中，业务适用范围是指电子身份证能够适用的业务的范围。例如，电子身份证能够适用的业务可以包括酒店入住、车票购买、社交类软件的实名登记、证券开户、政务办理、工商注册登记等。如果一个电子身份证所能适用的业务越多，表明这个电子身份证的业务适用范围越大。反之，则表明这个电子身份证的业务适用范围越小。

需要说明的是，在本申请中，业务适用范围可以是分级的，例如，分为初级版和增强版这两个等级，将酒店入住、车票购买、网吧实名等这类业务纳入初级版的范围，将政务办理、工商注册、远程开户等这类业务纳入增强版的范围。又例如，将业务适用范围分为低、中、高三个等级，或者分为第一等级、第二等级、第三等级……等多个等级。这里所说的等级可以理解成高等级对应的业务适用范围覆盖低等级对应的业务适用范围。另外，本申请还可以包括其他划分业务适用范围的方式，例如按照业务类型分级，将衣食住行穿这些基本需求涉及的支付、注册等业务认为是I类，将交友、娱乐等需求涉及的认证业务认为是II类，将政务、工商等需求涉及的认证业务认为是III类等。用户在申请开通电子身份证时，或者，请求对已开通的电子身份证进行升级时，可以根据这些类别向身份认证服务器提出申请，如在申请开通时明确业务适用范围包括I类和II类，或者，在请求升级时明确新的业务使用范围包括III类等等。

如果电子身份证的业务适用范围较小，用户使用它所能办理的业务将是有限的。例如，电子身份证只能用于办理酒店入住、车票购买等相对简单的业务。而如果用户想将电子身份证用于政务办理、工行注册登记等业务，需要到公安部在固定网点部署的可信受理终端上进行办理。部署可信受理终端的成本是比较高的，而且对于用户而言也不方便。

为此，本申请提出一种对电子身份证的业务适用范围进行升级的方法，和一种为用户直接申请具有较大的业务适用范围的电子身份证的方法。该方法可以免去部署可信受理终端的成本，能够通过终端设备本地提供的可信安全平台，完成对用户的电子身份证的业务适用范围的升级，或者，可以为没有电子身份证的用户直接申请具有较大的业务适用范围的电子身份证，为用户带来方便。

本申请中涉及的终端设备可以是任何移动或便携式电子设备，包括但不限于移动电话、移动电脑、平板电脑、个人数字助理(personal digital assistant,PDA)、可穿戴式设备(wearable device)，或者是以上任意两项或两项以上的组合。

本申请中涉及到终端设备上的可信安全平台，该可信安全平台可以是终端设备上的可信执行环境(trusted execution environment,TEE)或安全单元(secure element,SE)。其中SE的物理载体可以是嵌入式安全单元(embedded SE)、安全数字内存卡(SecureDigital Memory Card,SD卡)、通用集成电路卡(universal integrated circuit card,UICC)等。这里所说的可信安全平台可以认为是终端设备的一部分，也可以认为是终端设备之外的独立模块，例如，可以是从终端设备上移除或可插拔的硬件部分。

其中，TEE是相对富执行环境(rich execution environment,REE)而言的。REE是终端设备上针对多功能性和丰富性创建的开放环境，运行着终端设备的操作系统(例如，Android OS,IOS)，可以在设备生产以后向第三方开放下载。TEE是全球平台(globalplatform,GP)组织针对智能移动终端的REE提出的概念，是一个与REE并存但相互孤立的运行环境。TEE中运行可信操作系统(trusted operating systems,Trusted OS)，能为REE中运行的操作系统(也即,Rich OS)提供安全服务。可通过一组硬件和软件的组合，保证各种敏感数据在TEE中安全传输、存储、处理，保证TA执行的机密性、完整性和数据访问权限端到端的安全。由于TEE具有自身的执行空间，其安全级别要高于Rich OS。而上述SE的安全性高于TEE。

TEE中运行的是一系列的可信应用(trusted application，TA)，由于TEE可以为这些TA提供安全服务，例如，应用执行的完整性、安全存储、与输入输出设备的安全交互、密钥管理、加密算法、与REE中客户端应用(client application，CA)安全通信等，因此，TA不同于REE中的CA，TA是可信应用，而CA是普通应用或一般应用。另外，TA运行在TEE中，能为REE中的CA或TEE中的其它TA提供安全相关服务的应用。CA运行在REE中，可通过TEE的客户端应用程序访问接口(application programming interface,API)，也即，REE访问TEE的接口，来调用或访问TEE中的TA。

下面分别针对电子身份证的业务适用范围进行升级的场景(以下记作场景一)和直接为用户申请具有较大的业务适用范围的电子身份证的场景(以下记作场景二)作详细说明。

在本申请实施例中，可能会涉及到终端设备上的证件包应用、客户端应用CA以及电子身份证应用。其中，证件包应用可以是终端设备(例如，手机)的REE侧的应用，如支付宝、微信、华为钱包等应用，可用于容纳与管理电子身份证应用。电子身份证应用可以是终端设备的可信执行环境TEE或安全单元SE侧的应用。客户端应用CA是在REE侧与电子身份证应用对应的、可以与TTE侧或SE侧的电子身份证应用交互通信的应用。以TEE为例，客户端应用CA可通过TEE客户端应用程序访问接口(application programming interface,API)，也即TEE Client API进行通信。以SE为例，客户端应用CA可以通过SE访问接口(SE AccessAPI，例如，Open Mobile API)进行通信。

证件包应用可通过该客户端应用CA实现对电子身份证应用的管理(例如，开通/申请、升级、注销/删除等)。REE侧的客户端应用CA和TEE/SE侧的电子身份证应用都可以由电子身份证服务商提供。

另外，本申请实施例中还可能涉及到证件包应用服务器(记作S1)、可信安全平台服务器(记作S2)、身份认证服务器(记作S3)。其中，S2是向可信安全平台下发证书(例如，可信安全平台的公钥证书等)的一方，也可以通过S2为电子身份证服务商向可信安全平台中下载电子身份证应用或电子身份证应用相关的数据。

场景一

参见图1，图1是本申请提出的对电子身份证的业务适用范围进行升级的方法流程图。

图1所示的技术方案的前提可以是，终端设备上的可信安全平台(或者说是可信安全平台服务器)与身份认证服务器互相预置对方的证明信息(例如，证书)，例如，身份认证服务器预存有可信安全平台的证书信息，可信安全平台(确切地可以是电子身份证应用)预存有身份认证服务器的证书信息。另外，若可信安全平台需要通过可信安全平台服务器与身份认证服务器交互信息，则可信安全平台和身份认证服务器可能还预存可信安全平台服务器的证书信息。若可信安全平台上的电子身份证应用需要通过证件包应用和证件包应用服务器与身份认证服务器平台交互信息，本申请的技术方案的前提还可以是，可信安全平台预先存储有证件包应用服务器的证书信息、身份认证服务器的证书信息(可选的)，证件包应用服务器预先存储有可信安全平台证书信息、身份认证服务器的证书信息，身份认证服务器预先存储有证件包应用服务器的证书信息、可信安全平台的证书信息(可选的)。以上前提下，每个主体可能都还预存有认证中心(certification authority，CA)的根证书，上述的证书信息可以是公钥证书(由认证中心颁发的证书)。

110、终端设备接收触发指令。

触发指令用于请求对用户的电子身份证的业务适用范围进行升级。

一个电子身份证的业务适用范围用于指定该电子身份证所能适用的业务。本申请中所述的业务可以包括酒店入住、车票购买、用户之间社交、网吧登记、政务办理、证券开户以及工商注册登记等使用电子身份证可以办理的业务。其中，电子身份证的不同业务适用范围所能办理的业务不同。例如，如果一个用户申请的电子身份证仅能办理酒店入住、车票购买、用户之间社交和网吧登记一些基础业务，那么这个电子身份证的业务适用范围较小。而如果这个电子身份证除了可以办理这些基础业务，还可以办理政务办理、证券开户以及工商注册登记等业务，那么这个电子身份证的业务适用范围较大。

随着电子身份证的不断推广和普及，电子身份证的业务适用范围可能会不断扩大。因此，用户的电子身份证的业务适用范围也可能随之需要升级，以申请到一个更大的业务适用范围。

本申请实施例中，触发指令可以是用户通过终端设备的触控屏、语音等形式输入的。例如，证件包应用或客户端应用CA通过用户界面(user interface，UI)向用户提供可触发对已开通的电子身份证进行升级的入口，该入口可以以按钮等形式实现。当然，也可以通过可信安全平台内的电子身份证应用提供的UI向用户提供进行升级操作的入口。

120、终端设备基于触发指令，确定终端设备提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息。

在本申请实施例中，身份认证服务器的证明信息用于表明身份认证服务器的可信身份，例如，证明信息可以是身份认证服务器的证书。

上文已经提到，本申请中涉及的可信安全平台可以是TEE或SE。因此，在步骤120中，基于触发指令，终端设备确定终端设备本地是否存在TEE或SE。如果终端设备确定本地存在TEE和/或SE，终端设备进一步确定TEE或SE中是否存在电子身份证应用。如果可信安全平台为TEE，这里的电子身份证应用是指运行在TEE中的TA。如果可信安全平台为SE，这里的电子身份证应用是指运行在SE中的安全应用applet。

当然，如果终端设备同时提供TEE和SE，终端设备可以按照预设程序，首先检测终端设备是否提供TEE，在终端设备提供TEE的情况下，不再继续检测是否提供SE。只有在终端设备不提供TEE的情况下，再进一步判断终端设备是否提供SE。或者，终端设备也可以默认先判断终端设备是否提供SE，在不提供SE的情况下，再判断是否提供TEE。

进一步地，在终端设备本地提供可信安全平台(即，TEE或SE)或该可信安全平台中存在电子身份证应用的情况下，终端设备需要确定可信安全平台是否保存有身份认证服务器的证明信息。

以终端设备上提供的可信安全平台为TEE为例，终端设备上运行在REE中的CA向运行在TEE中的电子身份证应用(具体为TA)发送查询命令，查询命令用于查询电子身份证应用是否保存有身份认证服务器的证明信息。电子身份证应用在确定保存有身份认证服务器的证明信息的情况下，向CA返回查询成功结果，查询成功结果用于指示可信安全平台保存有身份认证服务器的证明信息。CA获取到该查询成功结果，终端设备也就确定了可信安全平台上保存有身份认证服务器的证明信息。

终端设备提供的可信安全平台为SE的情况下，与可信安全平台为TTE类似。CA将查询命令发送给SE中的安全程序applet。applet在保存有身份认证服务器的证明信息的情况下，向CA返回查询成功响应。这样，终端设备也可以确定可信安全平台保存有身份认证服务器的证明信息。

130、终端设备从身份认证服务器获得基于该可信安全平台对电子身份证的业务适用范围进行升级的权限。

终端设备在确定可信安全平台保存有身份认证服务器的证明信息的情况下，向身份认证服务器申请基于可信安全平台对电子身份证的业务适用范围进行升级的权限。在得到身份认证服务器的许可之后，终端设备就获得了基于本地的可信安全平台对用户的电子身份证的业务适用范围进行升级的权限。

具体地，终端设备向身份认证服务器申请基于可信安全平台对电子身份证的业务适用范围进行升级的权限，有多种可行的方案。例如，通过步骤120，终端设备上运行在REE中的CA从电子身份证应用接收到查询成功响应，查询成功响应中携带能够指示可信安全平台的证书的信息。CA接收到查询成功响应之后，向身份认证服务器发送本地升级授权请求，本地升级授权请求用于请求基于终端设备提供的可信安全平台对电子身份证的适用范围进行升级，其中，本地升级授权请求中携带该能够指示可信安全平台的证书信息，以便身份认证服务器对可信安全平台进行验证。如果验证通过，身份认证服务器将同意基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级。又例如，也可以通过终端设备上运行在TEE中的电子身份证应用向身份认证服务器发送本地升级授权请求，以请求获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限。或者，终端设备还可以在确定终端设备提供可信安全平台之后，通过证件包应用服务器向身份认证服务器申请基于可信安全平台对电子身份证的业务适用范围进行升级的权限。对于终端设备从身份认证服务器获取基于可信安全平台对电子身份证的业务适用范围进行升级的权限的多种方案，下文会进行详细介绍。

140、终端设备向身份认证服务器发送对用户的电子身份证的业务适用范围进行升级所需的升级信息，以使身份认证服务器根据升级信息对用户的电子身份证的适用范围进行升级。

其中，升级信息用于身份认证服务器对用户的电子身份证的业务适用范围进行升级。升级信息至少包括用户的人脸图像信息和实体身份证信息。关于身份认证服务器根据升级信息对用户的电子身份证进行升级的过程，下文会作详细介绍。

在本申请的技术方案中，终端设备基于终端设备上提供的可信安全平台，例如TEE或SE，对电子身份证的业务适用范围进行升级，而不再需要借助于固定网点部署的可信受理终端，可以免去部署可信受理终端的成本，同时，也可以为用户带来方便。

上面图1是从终端设备的角度对基于可信安全平台对电子身份证的业务适用范围进行升级的过程进行说明，下面图2将从终端设备内部实现的角度进行说明。

参见图2，图2是本申请提出的基于终端设备上的可信安全平台对电子身份证的业务适用范围进行升级的流程图。

图2所示的技术方案可能基于的前提，如上述图1所示的技术方案，这里不再赘述。

201、终端设备通过REE中的客户端应用CA接收触发指令，触发指令用于请求对用户的电子身份证的业务适用范围进行升级。

终端设备基于REE中的CA接收触发指令，即就是CA接收触发指令。

如上文所述，客户端应用CA可以容纳在证件包应用中。CA为用户管理电子身份证提供一个入口。参见图3，图3是对电子身份证进行管理操作的用户界面UI示意图。

终端设备通过检测用户的“点击”、“触摸”等操作启动CA，进入电子身份证的管理界面。进入管理界面之后，管理界面可以提示用户选择需要办理的业务。例如，CA提供的业务包括对电子身份证的业务适用范围进行升级和申请电子身份证两种业务。对于已经申请过电子身份证的用户而言，如果需要对电子身份证的业务适用范围进行升级，可以选择“升级业务适用范围”业务。如果用户未申请过电子身份证，想要申请一个电子身份证，可以选择“申请电子身份证”。前者适用于场景一，后者适用于场景二。以场景一为例，如果用户通过“点击”等操作方式，选择“升级业务适用范围”，管理界面呈现提示界面，提示界面用于提示用户选择需要的业务适用范围。当然，在具体实现时，CA或电子身份证应用也可以根据实际情况向用户呈现上述其中一种入口。例如，若用户还未开通电子身份证功能，则在用户打开证件包应用或CA后，向用户呈现上述“申请电子身份证”的功能按钮。若用户已开通电子身份证功能且该电子身份证具备初级或较低等级的业务适用范围，则在用户打开证件包应用或CA或电子身份证应用后，向用户呈现上述“升级业务适用范围”的功能按钮。如图3所示，假定电子身份证应用将电子身份证的业务适用范围预先划分为3类，分别为业务适用范围A、业务适用范围B和业务适用范围C。进一步地，用户通过点击“查看”按钮，可以查看每个业务适用范围所包括的业务。例如，用户选择查看业务适用范围B，CA提供的管理界面上可以弹出如图4所示的提示框，图4是用户界面UI上实现提示框的示意图。如图4所示，提示框中的文字信息用于说明具有业务适用范围B的电子身份证所能办理的业务。如果用户想要选择业务适用范围B，点击“业务适用范围B”按钮。终端设备检测到用户的点击操作，触发电子身份证的业务适用范围的升级流程。本申请实施例中的触发指令，可以是终端设备通过检测用户的点击操作而触发的。或者，电子身份证应用可以对每个业务适用范围进行编号，用户手动输入选择的业务适用范围的编号。如图5所示，图5是对电子身份证进行管理操作的另一个用户界面UI示意图。如图5中所示，业务适用范围A对应编号0，业务适用范围B对应编号1，业务适用范围C对应编号2。如果用户选择业务适用范围B，则在管理界面上提供的输入框中输入数字“1”，以表示用户申请将电子身份证的业务适用范围升级为业务适用范围B。终端设备检测用户的输入操作，触发电子身份证的业务适用范围的升级流程。

上述用户的点击操作或输入操作可以是由终端设备上的CA来进行检测的。CA在检测到用户的点击操作或输入操作的情况下，即接收到触发指令，从而触发电子身份证的业务适用范围的升级。

需要说明的是，这里所说的点击操作或输入操作仅仅是作为示例，本领域技术人员可以想到其他方式或参考现有技术的技术手段来获取用户的触发指令。

可选地，CA可以在接收到用户的对电子身份证的业务适用范围进行升级的触发指令之后，判断该用户是否已经开通电子身份证。如果确定该用户已开通电子身份证，则CA执行步骤202以及后续流程。如果确定该用户还未开通电子身份证，则可以提示用户先开通电子身份证。

具体地，CA在接收到对电子身份证的业务适用范围进行升级的触发指令后，可以向证件包应用服务器查询该用户是否已经开通电子身份证。或者，也可以通过终端设备上的可信安全平台进行查询。

202、CA基于触发指令，确定终端设备本地提供可信安全平台，并确定可信安全平台中是否存在电子身份证应用。

如前文所述，可信安全平台可以是TEE或SE。因此，如果CA确定终端设备上提供TEE或SE，则CA认为终端设备本地提供可信安全平台。进一步地，CA判断可信安全平台中是否存在电子身份证应用。

如果可信安全平台为TEE，则客户端应用需要判断TEE中是否存在其对应的可信应用(trusted application,TA)，换句话说，当可信安全平台具体为TEE时，电子身份证应用具体为TA。而在可信安全平台为SE时，客户端应用需要判断SE中是否存在其对应的小应用程序applet。也可以说，当可信安全平台为SE时，电子身份证应用具体为applet。

本领域技术人员应当理解，TEE中运行有多个TA，而这里所说的TA是指该多个TA中的电子身份证应用TA。同样地，SE中也有多个applet，而这里所说的applet是指该多个applet中的电子身份证应用applet。以下，将TEE中的电子身份证应用TA或SE中的电子身份证应用applet统称为电子身份证应用。相对于CA，电子身份证应用是一种可信应用。

具体地，CA判断终端设备本地是否提供可信安全平台，以及可信安全平台中是否存在电子身份证应用有多种方式。

以可信安全平台是TEE为例，例如，通过初始化TEE环境(TEE context)操作，判断本地是否存在TEE或TEE是否可用。在初始化TEE context之后，通过创建会话(opensession)操作判断TEE中是否存在电子身份证应用TA。或者，CA通过TA查询操作(get listof TA)从审计(audit)安全域(secure domain,SD)中获取到TA列表后判断是否存在电子身份证应用TA。上述初始化TEE环境操作和创建会话操作的具体内容可参考全球平台组织(global platform,GP)发布的TEE客户端接口标准(TEE Client API Specification)。前者用于在客户端应用CA和终端上的一个TEE之间建立连接，连接成功可认为存在TEE。后者用于在客户端应用CA和TEE内的一个特定TA之间建立会话，建立会话成功可认为存在该TA。上述TA查询操作的具体内容可参考GP发布的TEE管理框架标准(TEE ManagementFramework Specification)，是用于获取TEE内某个安全域，例如audit SD，直接或间接关联的所有TA的列表(通过TA的通用唯一标识(uniform unique identity,UUID)表示)，以便于CA根据所获取的UUID判断是否存在电子身份证应用的UUID，存在时认为存在该TA。

再以安全平台是SE为例，如果终端设备通过开放移动接口(open mobile API,OMAPI)访问SE，则可利用该接口标准提供的功能进行判断。其中，OMAPI由SIM联盟(SIMalliance)发布，目前已转给GP。例如，通过获取读卡器函数getReaders()获取终端设备上的所有读卡器Readers(SIM/SD/eSE slot)，然后通过SE状态查询函数isSecureElementPresent()查询每个Reader上是否已插入SE。或者，更进一步地，可通过创建会话函数openSession()与每个SE之间创建session以查询是否有SE存储电子身份证应用applet，具体过程可参考OMAPI标准。

可选地，如果CA判断可信安全平台中不存在电子身份证应用，则下载并安装电子身份证应用到该可信安全平台中，例如，可通过可信安全平台向身份认证服务器请求，并经过可信安全平台下载电子身份证应用，或者，也可以直接从获得授权的身份认证服务器下载电子身份证应用。接下来，执行步骤203。

CA在确定可信安全平台中存在电子身份证应用的情况下，直接执行步骤203。

203、终端设备查询可信安全平台是否保存有身份认证服务器的证明信息。

具体地，客户端应用CA可以通过如下步骤2031-2033查询可信安全平台是否保存有身份认证服务器的证明信息。

2031、CA向电子身份证应用发送查询命令，查询命令用于请求查询电子身份证应用是否保存有身份认证服务器的证明信息。

其中，查询命令中携带能够表明身份认证服务器的身份的信息。例如，身份认证服务器的标识或名称。

身份认证服务器的证明信息可以是能够表征身份认证服务器的证书的信息。例如，可以是身份认证服务器的证书(例如，公钥证书)。

2032、电子身份证应用查询自己是否保存有身份认证服务器的证明信息(例如，身份认证服务器的证书)。

2033、电子身份证应用向CA返回查询响应。

其中，查询响应中携带查询结果，查询结果用于指示电子身份证应用是否保存有身份认证服务器的证明信息。

可选地，如果电子身份证应用保存有身份认证服务器的证明信息，电子身份证应用可以向CA返回查询成功响应。进一步地，查询成功响应中携带用于指示电子身份证应用保存有身份认证服务器的证明信息的信息，例如，查询结果信息(成功)和/或能够表征身份认证服务器的证书的信息(例如，身份认证服务器的公钥证书，或关联该公钥证书的证书序号、可信安全平台标识、终端设备标识等信息)。

应理解，如果电子身份证应用没有查询到身份认证服务器的证明信息，则查询响应中的查询结果用于指示电子身份证应用没有保存身份认证服务器的证明信息。

此外，步骤2031-2033具体还可以有其它实现方式，分别参见图6中的方式1、方式2和方式3。

参见图6，图6是终端设备查询可信安全平台是否保存有身份认证服务器的证明信息的示意图。

方式1

2031、CA向电子身份证应用发送的查询命令，查询命令中除了携带能够表明身份认证服务器的身份的信息之外，还携带有一个随机数(以下记作R1)。

其中，R1可以由CA生成或在REE侧生成。

2032、电子身份证应用除了查询是否保存有身份认证服务器的证明信息，并对R1进行签名运算，得到R1的签名。

在步骤2032中，上述签名运算可以是对该随机数计算哈希值，然后用密钥(例如，可信安全平台的私钥，或电子身份证应用的私钥)对该哈希值做加密。当然也可以采用其它现有技术手段进行签名运算。

2033、电子身份证应用向CA返回查询响应。

如果电子身份证应用保存有身份认证服务器的证明信息，则向CA返回查询成功响应，查询成功响应中除了携带能够表征身份认证服务器的证书的信息，还携带有R1的签名。

可选地，在步骤2031中，查询命令中也可以不携带随机数。也就是说，CA不向电子身份证应用发送随机数。

在步骤2032中，电子身份证应用在接收到查询命令之后，如果确定保存有身份认证服务器的证明信息，电子身份证应用可以自己生成一个随机数(以下记作R2)，并对R2进行签名运算，得到R2的签名。

在步骤2033中，电子身份证应用向CA返回的查询响应中除了携带能够表征身份认证服务器的证书的信息，还携带R2和R2的签名。

应理解，由于R2是由电子身份证应用生成的，因此电子身份证应用向CA返回R2的签名的同时，也需要将R2发送给CA。而在前面所述的R1的示例中，由于R1是在CA侧生成的，因此电子身份证应用只需要返回R1的签名即可。

具体地，电子身份证应用对R1或R2进行签名运算时，可以使用可信安全平台的密钥对R进行签名运算，得到R1的签名或R2的签名。

进一步地，在上述各实施例的步骤2033中，查询响应中还可以携带能够指示可信安全平台的证书的信息(以下称作可信安全平台信息)，从而使身份认证服务器根据该信息确定可信安全平台的证书，以对上述R的签名进行验证。其中，可信安全平台信息可以是可信安全平台的证书序号、可信安全平台的标识和终端设备的标识信息等。例如，当可信安全平台是TEE时，这里所说的可信安全平台信息可以是TEE证书序号、TEE标识和终端设备的标识等。

方式2

2031、CA向电子身份证应用发送查询命令。

对于方式2中的步骤2031可以参考方式1中的步骤2031，这里不再赘述。

2032、电子身份证应用确定保存有身份认证服务器的证明信息。

2033、电子身份证应用在从身份认证服务器获取基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级的授权后，向CA返回查询成功响应。

关于电子身份证应用从身份认证服务器获取基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级的授权，具体参见下文图7所示的步骤204所述的方法。

关于查询成功响应，其中可以携带能够表征身份认证服务器的证书的信息、本地升级授权结果(成功)中的至少一个。

方式3

2031、CA向电子身份证应用发送查询请求，查询请求用于请求查询电子身份证应用是否有身份认证服务器的证明信息。

如果步骤2031中的查询命令中携带随机数R1，在步骤2302中，电子身份证应用使用可信安全平台的密钥对R1进行签名运算，得到R1的签名。或者，如果查询命令中不携带随机数R1，在步骤2032中，电子身份证应用在查询到身份认证服务器的证明信息之后，生成随机数R2，并使用可信安全平台的密钥对R2进行签名运算，得到R2的签名。

2032、电子身份证应用查询到保存有身份认证服务器的证明信息之后，使用证件包应用服务器的密钥对可信安全平台信息、随机数的签名中的至少一项进行加密运算，得到加密数据。

2033、电子身份证应用向CA发送查询成功响应，查询成功响应中携带该加密数据。

CA从电子身份证应用接收到查询成功响应，表明电子身份证应用保存有身份认证服务器的证明信息。

需要说明的是，上述查询成功响应中携带的加密数据被CA收到后，可由CA经过证件包应用发送给证件包应用服务器，以使证件包应用服务器对该加密数据进行解密并对解密出的数据(上述步骤2032中加密前的数据)进行验证(如对上述随机数的签名进行验签)。

在步骤203中，CA通过向可信安全平台进行查询，可以获知可信安全平台中是否保存有身份认证服务器的证明信息。在可信安全平台保存有身份认证服务器的证明信息的情况下，终端设备执行步骤204及其后续步骤。

需要说明的是，在本次查询过程中涉及的可信安全平台信息以及可能的随机数信息是为了便于在后面的步骤204中让身份认证服务器对终端设备是否存在合法的可信安全平台进行确认，进而决定是否允许基于终端设备本地提供的可信安全对电子身份证的业务适用范围进行授权。

204、终端设备向身份认证服务器发送本地升级授权请求，并从身份认证服务器接收本地升级授权应答消息。

步骤204中，终端设备向身份认证服务器申请基于可信安全平台对用户的电子身份证的适用范围进行升级的权限，可以参见图7中所示的多种方式实现。图7是终端设备向身份认证服务器申请基于可信安全平台对电子身份证的业务适用范围进行升级的权限的示意图。

方式1

终端设备通过CA向身份认证服务器发送本地升级授权请求。

2041、CA向身份认证服务器发送本地升级授权请求，身份认证服务器接收本地升级授权请求。

CA获知电子身份证应用是否保存有身份认证服务器的证明信息，例如上述步骤203的方式1中根据收到的查询响应后即可确定。如果电子身份证应用保存有身份认证服务器的证明信息，CA向身份认证服务器发送本地升级授权请求。

其中，本地升级授权请求用于请求身份认证服务器许可基于终端设备本地的可信安全平台对电子身份证的业务适用范围进行升级。本地升级授权请求中携带有可信安全平台信息。

可选地，本地升级授权请求中还携带随机数R和随机数R的签名。这里的随机数R和随机数R的签名可以是步骤203中的R1和R1的签名，也可以是R2和R2的签名。

可选地，本地升级授权请求中还可以携带终端设备的标识信息。

上述可信安全平台信息、随机数和随机数的签名(例如，R1和R1的签名，或者R2和R2的签名)、终端设备的标识信息中的至少一项可以是使用身份认证服务器的密钥(例如，公钥或对称密钥)经过加密处理后的数据。

2042、身份认证服务器对本地升级授权请求中携带的信息进行验证，以确定是否许可本地升级授权请求。

是否许可本地升级授权也即是否同意基于终端设备上的可信安全平台对用户的电子身份证的业务适用范围进行升级。

具体地，身份认证服务器接收本地升级授权请求，并对本地升级授权请求中携带的信息(例如，可信安全平台信息、随机数和随机数的签名)进行验证。首先，身份认证服务器根据可信安全平台信息，获取可信安全平台的证书，并使用预置的认证中心的根证书对可信安全平台的证书进行验证。例如，可信安全平台信息包含可信安全平台的公钥证书时，身份认证服务器可直接获得该公钥证书，或者，可信安全平台信息包含该公钥证书的序号、可信安全平台的标识、终端设备的标识等至少一项时，身份认证服务器可根据这些信息查找到对应的公钥证书(需要说明的是，身份认证服务器已预存这些信息与该公钥证书的关联关系)。然后，身份认证服务器采用现有技术手段即可验证该公钥证书的合法性(例如，利用根证书验证该公钥证书上的签名是否合法)。之后，身份认证服务器使用上述公钥证书对随机数R的签名进行验证，例如，采用现有技术手段验签，使用公钥证书对应的公钥对该R的签名解密得到其哈希值，同时对接收到的随机数R计算哈希值，并将解密出的哈希值和计算出的哈希值进行比较即可。如果验证通过，身份认证服务器同意基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级。如果验证不通过，则不同意。

2043、身份认证服务器向CA返回本地升级授权响应。

本地升级授权响应用于指示身份认证服务器同意或不同意基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级。

在身份认证服务器同意基于可信安全平台对电子身份证的业务适用范围进行升级的情况下，身份认证服务器向CA返回授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台对电子身份证的所述业务适用范围进行升级。或者，可以本地升级授权响应中携带指示信息，该指示信息用于指示身份认证服务器同意基于可信安全平台对电子身份证的所述业务适用范围进行升级。

在身份认证服务器不同意基于可信安全平台对电子身份证的业务适用范围进行升级的情况下，身份认证服务器向CA返回否定应答消息。或者，可以本地升级授权响应中携带指示信息，该指示信息用于指示身份认证服务器不同意基于可信安全平台对电子身份证的所述业务适用范围进行升级。

方式2

终端设备通过电子身份证应用向身份认证服务器发送本地升级授权请求。

在方式2中，CA请求电子身份证应用在查询到可信安全平台保存有身份认证服务器的证明信息后，直接向身份认证服务器发送本地升级授权请求。

参见图7中的方式2，为了便于理解，图7的方式2中用虚线画出了上述图6中方式2的步骤2032，表示图7中的方式2可以在终端设备执行上述图6中方式2的步骤2031和2032之后，转至步骤2041。

2031、CA向电子身份证应用发送查询命令，查询命令中携带能够表征身份认证服务器的身份的信息。

该查询命令中还可能携带随机数R。

2032、电子身份证应用响应于查询命令，查询可信安全平台是否保存有身份认证服务器的证明信息。

步骤2031-2032可以参考上文图6所示的方式1或方式2中的步骤2031-2032，具体携带信息类似，这里不再赘述。

2041、电子身份证应用在查询到可信安全平台保存有身份认证服务器的证明信息的情况下，向身份认证服务器发送本地升级授权请求。

本地升级授权请求中携带有可信安全平台信息。

可选地，如果查询命令中携带随机数R1，电子身份证应用对R1进行签名运算，得到R1的签名，并在发送给身份认证服务器的本地升级授权请求中携带R1和R1的签名。

如果查询命令中不携带随机数，电子身份证应用可以自己生成随机数R2，并对R2进行签名运算，得到R2的签名。本地升级授权请求中携带R2和R2的签名。

在方式2的步骤2041中，本地升级授权请求携带的信息与上述方式1的步骤2041中的本地升级授权请求携带的信息类似，不再赘述。

2042、电子身份证应用从身份认证服务器接收本地升级授权响应。

具体地，身份认证服务器对本地升级授权请求中携带的信息进行验证。如果验证通过，身份认证服务器向电子身份证应用返回本地升级授权应答。如果验证不通过，身份认证服务器向电子身份证应用返回本地升级否定应答。

可选的，电子身份证应用向CA发送查询响应，如图6所述的上述方式2中的步骤2033，或者，向CA转发接收到的该本地升级授权响应，以向CA通知授权结果。

本方式2的步骤2042中的本地升级授权响应携带的内容与上述方式1的步骤2042中的本地升级授权响应类似，不再赘述。

需要说明的是，在方式2中，电子身份认证应用直接向身份认证服务器发送消息或从身份认证服务器接收消息，还可以理解为所发送的消息是电子身份认证应用生成的，因此，在具体实现中，还可以是电子身份认证应用将生成的本地升级授权请求透传给客户端应用CA，然后经过客户端应用CA发送给身份认证服务器，然后经过客户端应用CA从身份认证服务器接收应答。

方式3

终端设备通过CA请求证件包应用服务器向身份认证服务器发送本地升级授权请求。

方式3的实现可能需要一个前提，即电子身份证应用预置有证件包应用服务器的证书、身份认证服务器的证书(可选的)，证件包应用服务器预置有可信安全平台的证书、认证中心CA的根证书和身份认证服务器的证书，身份认证服务器预置有证件包应用服务器的证书、可信安全平台的证书(可选的)。

本方式3可以基于步骤203中的方式3。也即，CA从电子身份证应用接收步骤2033中的查询响应之后开始执行下面的步骤2041。

如步骤203的方式3所述，查询成功响应中携带有加密数据。该加密数据可以是电子身份证应用使用证件包应用服务器的密钥(例如，公钥或对称密钥)对可信安全平台信息、随机数R和R的签名中的一项或多项经过加密得到的。

2041、CA向证件包应用服务器发送本地升级授权请求。

本地升级授权请求中携带该加密数据。

2042、证件包应用服务器获取本地升级授权请求中携带的加密数据，对加密数据解密后，核对可信安全平台信息。或者，证件包应用服务器对加密数据解密后，再使用身份认证服务器的密钥对解密后的数据进行二次加密。

步骤2042中的两种处理方式详见如下说明。

(1)证件包应用服务器使用自己的密钥(即，证件包应用服务器的密钥)对加密数据进行解密，得到可信安全平台信息和/或随机数的签名。然后，证件包应用服务器对可信安全平台信息进行验证，并使用可信安全平台信息对随机数的签名进行验签，得到验证结果。其中，验证结果用于表明可信安全平台是否可信。

如果证件包应用服务器得到的验证结果表明可信安全平台信息是可信的，则证件包应用服务器可以向身份认证服务器发送指示信息(记作指示信息#1)，指示信息#1用于表明可信安全平台是可信的。反之，证件包应用服务器可以向身份认证服务器发送指示信息#2，指示信息#2用于指示可信安全平台是不可信的。

应理解，身份认证服务器可以在后续步骤2043中接收到身份认证服务器发送的本地升级授权请求时，或者在后续步骤205中接收到本地升级请求时，根据该指示信息#1或指示信息#2确定是否同意终端设备基于可信安全平台对用户的电子身份证的业务适用范围进行升级。如果身份认证服务器从证件包应用服务器接收到指示信息#1，身份认证服务器将同意基于终端设备上的可信安全平台对电子身份证的业务适用范围进行升级。如果身份认证服务器从证件包应用服务器接收到指示信息#2，身份认证服务器则不同意基于终端设备上的可信安全平台对电子身份证的业务适用范围进行升级。

(2)证件包应用服务器对加密数据做解密后，再使用身份认证服务器的密钥(如预先存储的身份认证服务器的公钥证书对应的公钥)对解密后的数据进行二次加密，并将二次加密数据发送给身份认证服务器，由身份认证服务器对二次加密数据进行解密，再对解密后得到的可信安全平台信息进行核对，并对随机数的签名进行验签，从而来判断可信安全平台是否可信，进而在接收到本地升级授权请求时，确定是否许可本地升级授权请求。

可选地，身份认证服务器也可以选择将本地升级请求中的携带的信息透传给身份认证服务器，由身份认证服务器对这些信息解密后进行核对。

2043、证件包应用服务器向身份认证服务器发送本地升级授权请求。

如果在步骤2042中证件包应用服务器采用上述处理方式(1)，步骤2043中的本地升级授权请求中携带上述指示信息1或指示信息2。

身份认证服务器直接根据指示信息1或指示信息2，可以确定是否同意基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级。

如果在步骤2042中证件包应用服务器采用上述处理方式(2)，步骤2043中的本地升级授权请求中携带二次加密后的数据。

身份认证服务器使用自己的密钥对二次加密数据进行解密后，核对可信安全平台信息。核对通过的情况下，同意基于终端设备提供的可信安全平台对电子身份证的业务适用范围进行升级。核对不通过的情况下不同意。

2044、身份认证服务器在同意基于终端设备提供的可信安全平台对电子身份证的适用范围进行升级的情况下，向证件包应用服务器发送本地升级授权应答。

或者，身份认证服务器向终端设备(如客户端应用CA)返回本地升级授权应答，由终端设备将本地升级授权应答转发给证件包应用服务器。如图7中标记的步骤2045所示。

可选的，也可以不执行本步骤2043-2044，而是由证件包应用服务器对终端设备发送的加密数据做解密后直接对解密出的数据进行验证，如果验证通过，则直接向终端设备授予本地升级的权限，此时，证件包应用服务器需事先与身份认证服务器之间达成协商，即实现中证件包应用服务提供商与身份认证服务提供商之间先达成合作，赋予证件包应用服务提供商这样的权限，使其以类似委托代理的身份对终端设备上的可信安全平台进行验证与本地升级权限的授予。

需要说明的是，上述步骤203和204中涉及的随机数及其签名，是一种实现方式，起到一定的防重放攻击的作用，当然也可以使用其他信息替代随机数，例如使用CA与TA之间交互次数的计数值。

以上步骤201-204描述了终端设备从身份认证服务器申请基于本地提供的可信安全平台对电子身份证的适用范围进行升级的权限，并获得授权的过程。下面的步骤205-209是在获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限的基础上，对电子身份证的业务适用范围进行升级的过程。

205、终端设备生成对电子身份证的业务适用范围进行升级所需的升级信息，并将升级信息发送给身份认证服务器。

步骤205通过图8中所示的多种方式实现。

参见图8，图8是终端设备生成升级信息并向身份认证服务器发送升级信息的示意图。

方式1

2051、CA向电子身份证应用发送本地升级命令，本地升级命令用于请求电子身份证应用生成升级信息。

在本申请中，升级信息至少包括用户的人脸图像信息和实体身份证信息。

一种可选的实现方式是，本地升级命令中可以携带升级信息中的一部分信息，此时，CA可在REE侧生成升级信息的一部分信息，并从电子身份证应用获取升级信息的另外一部分信息。

例如，CA在REE侧获取人脸图像信息，并从电子身份证应用获取实体身份证信息。或者，CA在REE侧获取实体身份证信息，并从电子身份证应用获取人脸图像信息。具体地，CA可以在REE侧生成升级信息的一部分信息，并向电子身份证应用发送本地升级命令，本地升级命令用于请求电子身份证应用生成升级信息中的另外一部分信息(并对所有升级信息进行加密或签名处理)。电子身份证应用响应于本地升级命令，生成CA请求的升级信息中的另外一部分信息，并在生成该升级信息的另外一部分信息之后，向CA反馈本地升级命令响应，本地升级命令响应中携带该升级信息的另外一部分信息。

可选地，CA、电子身份证应用也可分别对各自获取的部分升级信息进行加密或签名处理。例如，CA使用身份认证服务器的公钥或对称密钥对其获取的部分升级信息进行加密，电子身份证应用使用可信安全平台的私钥对其获取的部分升级信息进行签名处理等等。此外，也可以由电子身份证应用对所有升级信息进行加密或签名处理。

另一种可选的实现方式是，本地升级命令中可以不携带任何升级信息，此时，需要电子身份证应用获取所有升级信息，然后通过本地升级响应返回给CA。例如，电子身份证应用可以通过近场通信(near filed communication,NFC)读取实体身份证信息，或通过用户界面(user interface,UI)接收用户输入的实体身份证信息，或通过用户上传的拍照来识别实体身份证信息；并通过终端设备上的摄像头实时采集人脸图像信息。

可选地，电子身份证应用对读取用户的实体身份证信息和/或采集用户的人脸图像信息进行加密处理或签名处理。例如，电子身份证应用可以使用可信安全平台的私钥或对称密钥对人脸图像信息和/或实体身份证信息进行签名处理。或者，电子身份证应用使用身份认证服务器的公钥或对称密钥对人脸图像信息和/或实体身份证信息进行加密处理。

2052、CA向身份认证服务器发送本地升级请求，本地升级请求中携带升级信息。

可选地，升级信息还包括电子身份证信息。或者，升级信息还包括电子身份证信息和电子身份证对应的当前的业务适用范围标识。

其中，该电子身份证信息(可以包括电子身份证及其对应的当前的业务适用范围的标识)可以是在终端设备本地获取的，或者是从证件包应用服务器获取的。例如，若电子身份证信息在终端设备(具体例如可信安全平台)上保存，则可以直接获取，若电子身份证信息在证件包应用服务器侧保存，则需要在步骤2052之前，通过如下步骤2053-2054获取。

2053、CA向证件包应用服务器发送电子身份证信息获取请求。

电子身份证信息获取请求用于请求从证件包应用服务器获取用户当前的电子身份证信息。

2054、CA从证件包应用服务器接收应答消息，并从应答消息中获取电子身份证信息。

可选地，升级信息还可以包括终端设备的标识信息。终端设备的标识信息可以方便身份认证服务器确定通过上述步骤201-204申请的本地升级授权结果，还可能用于确定终端设备上的可信安全平台的证书，或者用于对上述电子身份证信息进行关联性核对。

需要说明的是，以上获取的电子身份证信息(及其对应的当前的业务适用范围)是用于向身份认证服务器确认本次升级操作是针对该电子身份证进行的，以确保在某些情况下(如当用户在一个终端设备上开通多个电子身份证时，或者当多个用户在同一个终端设备上分别开通电子身份证时)能对指定的电子身份证的业务适用范围进行升级。

方式2

电子身份证应用生成升级信息(即，升级信息包括的全部信息)。电子身份证应用在生成升级信息之后，由电子身份证应用直接向身份认证服务器发送本地升级请求。

其中，本地升级请求中携带该升级信息。

2051、CA向电子身份证应用发送本地升级命令，本地升级命令用于请求电子身份证应用生成升级信息。

在方式2中，本地升级命令携带的内容与上述方式1中步骤2051所述的本地升级命令相同，这里不再赘述。

方式2与上述方式1的不同之处在于，电子身份证应用可不向CA返回本地升级响应，或者返回的本地升级响应中不包含方式1中所述的所有或部分升级信息。

2052、电子身份证应用向身份认证服务器发送本地升级请求，本地升级请求中携带该升级信息。

可选地，如果在步骤2052中，电子身份证应用对人脸图像信息和/或实体身份证信息进行了签名处理，则本地升级请求中还携带签名信息。或者，如果电子身份证应用人脸图像信息和/或实体身份证信息进行了加密处理，则本地升级请求中携带的升级信息是经过加密处理后的数据。

可选地，升级信息还包括电子身份证信息。或者，升级信息还包括电子身份证信息和电子身份证对应的当前的业务适用范围标识。具体可由客户端应用CA在本方式2的步骤2051之前从证件包应用服务器获取，与上述方式1中步骤2053-2054类似，不再赘述。

方式3

CA将升级信息发送给证件包应用服务器，由证件包应用服务器向身份认证服务器发送本地升级请求。

2051、CA将通过上述方式1获取到人脸图像信息和实体身份证信息发送给证件包应用服务器。或者，在上述方式2中，电子身份证应用将封装好的升级信息发送给CA，再由CA将升级信息发送给证件包应用服务器。

可选地，在方式2中，电子身份证应用在将人脸图像信息和实体身份证信息发送给CA之前，可以使用证件包应用服务器的公钥或对称密钥对人脸图像信息和/或实体身份证信息进行加密处理处理。

2052、证件包应用服务器向身份认证服务器发送本地升级请求，本地升级请求中携带升级信息。

其中，升级信息用于身份认证服务器对电子身份证的业务适用范围进行升级。

可选地，在步骤2052中，可以由证件包应用服务器直接将升级信息透传给身份认证服务器。或者也可以由证件包应用服务器对人脸图像信息和实体身份证信息进行验证，再将验证结果发送给身份认证服务器。

需要说明的是，在以上各方式中，人脸图像信息和实体身份证信息不能全部由CA从REE侧获取。人脸图像信息和实体身份证信息后续会发送给身份认证服务器进行核对。如果人脸图像信息指示的用户与实体身份证信息指示的用户是同一个用户，核对通过，身份服务器就会对电子身份证的业务适用范围进行升级。否则，核对不通过，不作升级。上文已经介绍过，REE相对于TEE而言，安全性较低，因此，运行在REE中的普通应用(即，客户端应用CA)的安全性是无法保障的。因此，升级信息中至少有一项不是从REE侧获取，才能提高核对的可靠性。

需要说明的是，如果是证件包应用服务器向身份认证服务器发送本地升级请求，则上述方式1中的步骤2053-2054可以略去。也即，CA将获取到的人脸图像信息和实体身份证信息发送给证件包应用服务器。证件包应用服务器将人脸图像信息和实体身份证信息与电子身份证信息一并封装到本地升级请求中发送给身份认证服务器。CA不需要从证件包应用服务器获取电子身份证信息。

206、身份认证服务器对升级信息进行核对，并在核对通过的情况下，对电子身份证的业务适用范围进行升级。

具体地，身份认证服务器核对人脸图像信息指示的用户与实体身份证信息指示的用户是否为同一个用户。如果是同一个用户，身份认证服务器对该用户的电子身份证的当前的业务适用范围进行升级。

身份认证服务器对用户的电子身份证的业务适用范围完成升级之后，可以向终端设备发送本地升级成功应答。

可选地，如果步骤205中采用方式1或2，且人脸图像信息和/或实体身份证信息这些升级信息是使用可信安全平台的密钥(例如私钥或对称密钥)签名后的签名信息，则身份认证服务器需要先使用可信安全平台的密钥(如公钥或对称密钥)对签名信息验签，以核对人脸图像信息和/或实体身份证信息。或者，如果步骤205中采用方式3，则证件包应用服务器将使用身份认证服务器的密钥(例如，公钥)经过加密处理的加密数据传给身份认证服务器，身份认证服务器需要对加密数据进行解密(例如使用自身私钥进行解密)，再核对人脸图像信息和实体身份证信息进行核对。或者，如果步骤205中采用方式3，则证件包应用服务器已经对人脸图像信息和/或实体身份证信息进行了核对，直接向身份认证服务器发送了核对结果，则身份认证服务器可以根据证件包应用服务器的核对结果确定是否对电子身份证的业务适用范围进行升级。如果核对结果指示核对通过，则对用户的电子身份证的业务适用范围进行升级，如果核对结果指示核对未通过，则不对该用户的电子身份证的业务适用范围进行升级。进一步地，在核对不通过的情况下，身份认证服务器可以向终端设备返回升级失败信息。

207、身份认证服务器向证件包应用服务器或终端设备发送升级通知。

例如，在终端设备的CA或TA向身份认证服务器发送本地升级请求(也即，升级信息)的情况下，身份认证服务器向终端设备返回升级通知。可选地，终端设备再将升级通知转发给证件包应用服务器，以由证件包应用服务器更新并保存升级后的业务适用范围标识。或者，在终端设备通过证件包应用服务器向身份认证服务器发送本地升级请求或在终端设备的CA或TA向身份认证服务器发送的本地升级请求中携带证件包应用服务器的标识信息(例如，证件包应用服务器的名称或统一资源定位符(uniform resource locator,URL))的情况下，身份认证服务器在对电子身份证的业务适用范围完成升级之后，直接向证件包应用服务器发送升级通知，升级通知用于通知证件包应用服务器更新该用户的电子身份证的业务适用范围。

其中，升级通知中携带升级后的业务适用范围的标识。

可选地，在本地升级请求中携带用户的电子身份证信息和/或终端设备标识的情况下，身份认证服务器将升级后的业务适用范围的标识与该电子身份证信息和/或终端设备标识进行关联。

208、证件包应用服务器将该用户的电子身份证的业务适用范围从第一业务适用范围更新为第二业务适用范围。

其中，第一业务适用范围是升级之前的业务适用范围，第二业务适用范围是指完成升级后的业务适用范围。第二业务适用范围大于第一业务适用范围。

步骤207-208，身份认证服务器可直接向证件包应用服务器发送升级通知，以通知证件包应用服务器更新电子身份证的业务适用范围。

另外，终端设备从身份认证服务器接收到升级通知之后，可同步更新该用户的电子身份证的业务适用范围，例如，CA或电子身份证应用以UI形式对电子身份证的业务适用范围进行更新，参见图2中的步骤209。

参见图9，图9是对电子身份证进行管理操作的又一用户界面UI示意图。如图9所示，CA在从身份认证服务器接收到升级通知后，向用户显示提示信息，提示完成升级之后的电子身份证的业务适用范围。例如，CA在管理界面上提示“您的电子身份证当前的业务适用范围为：业务适用范围B”，并在管理界面上提供“确定”按钮和“修改”按钮。CA通过检测用户点击“确定”按钮，将业务适用范围B记录为该用户的电子身份证当前的业务适用范围。或者，CA通过检测用户点击“修改”按钮，返回向用户呈现图3中所示的管理界面，提示用户重新选择用户需要的业务适用范围等。当然，也可以在升级成功后不向用户呈现再次确认的入口，而是直接在UI上提醒用户电子身份证的业务适用范围升级已成功，以及升级后的业务使用范围的等级或适用的具体业务是什么。

可选地，以上步骤208以及文中涉及的管理界面也可以由电子身份证应用提供，相应地，更新升级后的业务适用范围的记录也可以由电子身份证应用执行。

以上是本申请提出的终端设备基于本地提供的可信安全平台对用户的电子身份证的业务适用范围进行升级的流程。

根据上文所述，电子身份证的业务适用范围有大有小。如果一个用户想要使自己的电子身份证所能适用的业务适用范围扩大，以使用电子身份证办理更多的业务，则可以通过场景一中描述的方法对自己的电子身份证的业务适用范围进行升级。例如，在升级之前，这个用户的电子身份证只能办理酒店入住和车票购买业务。升级之后，除了可以办理酒店入住和车票购买，这个用户的电子身份证还能用于办理工商注册登记、证券开户等业务。

而在另一种场景中，如果一个用户还没有电子身份证，那么他可以在申请电子身份证的时候，就申请一个具有目标业务适用范围的电子身份证。例如，如果这个用户希望申请的电子身份证可以用于工商注册登记和证券开户等业务，那么该用户可以在直接申请具有该业务适用范围的电子身份证。这种场景即使下面所说的场景二。

场景二

参见图10，图10是本申请提出的申请电子身份证的方法流程图。

510、终端设备接收触发指令。

触发指令用于请求为用户申请具有目标业务适用范围的电子身份证。其中，目标业务适用范围是指用户为自己申请的电子身份证选择的业务适用范围。

电子身份证应用可以将电子身份证能够适用的业务范围划分为多个等级，每个等级对应一个业务适用范围。其中，较大的业务适用范围可以涵盖较小的业务适用范围。一个用户在申请电子身份证的时候，可以根据业务需求，为即将申请的电子身份证选择一个合适的业务适用范围。当然，上述目标业务适用范围也可以是默认的，或终端设备根据本地是否提供可信安全平台后确定的，如在后面的流程中若终端确定本地不存在可信安全平台，则目标业务适用范围为最低等级的，否则高于最低等级。

步骤510中，终端设备接收触发指令的过程可以参考场景一中的步骤201。以图3为例，用户通过在电子身份证应用提供的管理界面上选择“申请电子身份证”，选择办理“申请电子身份证”业务。终端设备通过检测用户的点击操作，接收到该触发指令，从而触发为用户申请电子身份证的业务流程。进一步地，终端设备在检测到用户的触发指令之后，可以为用户呈现提示界面，供用户选择电子身份证的业务适用范围。终端设备通过检测用户操作，确定用户选择的目标业务适用范围，从而基于可信安全平台为用户直接申请得到该具有目标业务适用范围的电子身份证。

这里，获取用户的点击操作仅是作为终端设备接收触发指令的示例，本领域技术人员也可以采用现有技术手段来接收(或者说，检测)用户的触发指令。

需要说明的是，在场景一中，触发指令用于触发对电子身份证的业务适用范围的升级。而在场景二中，触发指令用于触发申请具有目标业务适用范围的电子身份证。

520、终端设备基于触发指令，确定终端设备提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息。

步骤520可以参考场景一中的步骤220，这里不再赘述。

530、终端设备从身份认证服务器获得基于该可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限。

终端设备在确定可信安全平台保存有身份认证服务器的证明信息的情况下，向身份认证服务器申请基于可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限。在得到身份认证服务器的许可之后，终端设备就获得了该权限。

例如，终端设备上运行在REE中的CA通过步骤520，请求电子身份证应用查询是否保存有身份认证服务器的证明信息。在接收到电子身份证应用返回的查询成功响应之后，CA向身份认证服务器发送本地申请授权请求。本地申请授权请求用于请求身份认证服务器许可基于可信安全平台为用户申请具有目标业务适用范围的电子身份证。

其中，本地申请授权请求中携带有可信安全平台信息。可选地，本地申请授权请求中还携带随机数R和R的签名。进一步地，还可以携带有终端设备的标识信息等信息。

这里，可信安全平台信息、R和R的签名中的一项或多项可以是使用身份认证服务器的密钥(例如，公钥或对称密钥)经过加密处理后的数据。

身份认证服务器对本地申请授权请求中携带的信息进行验证，以确定是否许可本地申请授权。如果验证通过，身份认证服务器同意基于终端设备提供的可信安全平台为用户申请电子身份证。如果验证不通过，身份认证服务器不同意基于可信安全平台为用户申请电子身份证。验证的过程可以参考场景一中的说明。

在验证通过的情况下，身份认证服务器会向终端设备返回本地申请授权应答，终端设备获得了基于可信安全平台为用户申请电子身份证的权限。

540、终端设备向身份认证服务器发送申请电子身份证所需的申请信息，以使身份认证服务器根据申请信息，为用户生成具有目标业务适用范围的电子身份证。

其中，申请信息用于身份认证服务器验证用户并为用户生成具有目标业务适用范围的电子身份证。

在场景二中，申请信息至少包括用户的人脸图像信息和实体身份证信息。进一步地，申请信息中的部分或全部信息还可以是使用可信安全平台的密钥经过签名处理后的数据，和/或，使用身份认证服务器的密钥经过加密处理后的数据。可选地，申请信息还可以包括终端设备的标识信息、本地申请授权结果信息等。与场景一中不同的是，申请信息中不包括电子身份证信息。

终端设备向身份认证服务器发送申请信息的过程，可以参考场景一中终端设备向身份认证服务器发送升级信息的过程。

身份认证服务器对申请信息进行核对。如果核对通过，身份认证服务器为用户生成具有目标业务适用范围的电子身份证。进一步地，身份认证服务器将生成的电子身份证下发到终端设备的可信安全平台上进行保存。

根据场景二中描述的方法，终端设备通过从身份认证服务器申请得到基于终端设备提供的可信安全平台为用户申请具有目标业务适用范围的电子身份证的权限，进而可以基于该可信安全平台为用户申请具有目标业务适用范围的电子身份证。这样，用户可以直接申请得到一个具有较大的业务适用范围的电子身份证，也不再需要借助于部署在固定网点的可信受理终端，降低部署成本，同时可以为用户带来方便。

下面结合图11给出终端设备基于可信安全平台为用户申请电子身份证的一个示例。

参见图11，图11是本申请提出的终端设备基于可信安全平台申请电子身份证的示意图。

601、终端设备通过富执行环境REE中的客户端应用CA接收触发指令，触发指令用于请求为用户申请具有目标业务适用范围的电子身份证。

具体地，终端设备上运行在REE中的CA可以为用户提供一个管理自己电子身份证的相关信息的入口。用户在没有开通电子身份证的情况下，通过打开CA，进入电子身份证的管理界面。其中，电子身份证的管理包括申请电子身份证，以及申请到电子身份证的后续管理，例如，根据需要对申请到的电子身份证的业务适用范围进行升级等。

其中，CA提供的管理界面可以参考场景一中的步骤201。

602、CA基于触发指令，确定终端设备本地提供可信安全平台，并确定可信安全平台中是否存在电子身份证应用。

步骤602可以参考场景一中的步骤202，这里不再详述。

603、终端设备查询可信安全平台是否保存有身份认证服务器的证明信息。

在场景二中，终端设备查询可信安全平台是否保存有身份认证服务器的证明信息，可以参考上述场景一中的说明，这里不再赘述。

604、终端设备向身份认证服务器发送本地申请授权请求，并从身份认证服务器接收本地申请授权应答响应。

场景二中，终端设备向身份认证服务器发送本地申请授权请求，与场景一中描述的终端设备向身份认证服务器发送本地升级授权请求类似。场景二中，终端设备从身份认证服务器接收本地申请授权响应，与场景一中终端设备从身份认证服务器接收本地升级授权响应类似，可以参见场景一中的各实现方式。

例如，终端设备上的CA向身份认证服务器发送本地申请授权请求，本地申请授权请求中携带可信安全平台信息。可选地，可信安全平台信息可以是电子身份证应用使用身份认证服务器的密钥进行加密运算后的加密数据。

可选地，本地申请授权信息中还携带随机数R和R的签名。其中，R和R的签名也可以是使用身份认证服务器的密钥进行加密运算后的加密数据。

相对应地，身份认证服务器接收到本地申请授权请求，对本地申请授权请求中携带的可信安全平台信息进行核对。如果该可信安全平台信息是使用身份认证服务器的密钥进行加密处理后的加密数据，身份认证服务器首先使用自身的私钥对加密数据进行解密，再使用本地预置的认证中心CA的根证书对解密后得到的可信安全平台信息进行核对。

类似地，如果本地申请授权请求中还携带R和R的签名，身份认证服务器使用可信安全平台信息对R的签名进行验证，验证的过程参见场景一，这里不再详述。

605、终端设备生成申请具有目标业务适用范围的电子身份证所需的申请信息，并将申请信息发送给身份认证服务器。

与场景一中描述的终端设备生成升级信息的过程类似，本场景二中，申请信息可以由CA和电子身份证应用共同生成，或由电子身份证应用独自生成。如果是前者，生成的申请信息中至少有一项是从电子身份证应用获取的，也就是说申请信息不能全部由CA在REE侧生成，人脸图像信息或实体身份证信息中至少有一项来自电子身份证应用。

如步骤540所述，申请信息至少包括用户的人脸图像信息和实体身份证信息。

具体地，终端设备可以通过多种方式将申请信息发送给身份认证服务器。例如，CA生成申请信息之后，向身份认证服务器发送本地申请请求，本地申请请求中携带申请信息。或者，CA向电子身份证应用发送本地申请命令，由电子身份证应用生成申请信息(包括人脸图像信息和实体身份证信息)，并向身份认证服务器发送本地申请请求，本地申请请求中携带该申请信息。可选地，申请信息中还可以包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的一项或多项进行签名处理得到的。可选地，申请信息还可以包括目标业务适用范围的标识信息。或者，CA生成申请信息之后，向证件包应用服务器发送本地申请请求，本地申请请求中携带申请信息。可选地，证件包应用服务器可以对申请信息进行核对，再将核对结果发送给身份认证服务器。或者，证件包应用服务器也可以将本地申请请求透传给身份认证服务器。证件包应用服务器对申请信息的处理方式可以参考场景一中证件包应用服务器对升级信息的处理方式。

606、身份认证服务器对申请信息进行核对，并在核对通过的情况下，为用户生成具有目标业务适用范围的电子身份证。

具体地，身份认证服务器核对人脸图像信息指示的用户与实体身份证信息指示的用户是否为同一个用户。如果是同一个用户，身份认证服务器为用户生成具有目标业务适用范围的电子身份证。如果不是同一个用户，身份认证服务器向终端设备返回拒绝消息，拒绝消息用于指示身份认证服务器拒绝为该用户开通和下发电子身份证。

可选地，如上述步骤605，如果申请信息包括电子身份证应用使用可信安全平台的密钥(例如私钥或对称密钥)对对人脸图像信息和/或实体身份证信息进行签名处理后的签名信息，身份认证服务器使用预置的可信安全平台的密钥(例如，公钥或对称密钥)对该签名信息进行验签。

607、身份认证服务器向终端设备或证件包应用服务器发送申请成功通知。

例如，在终端设备的CA或TA向身份认证服务器发送本地申请请求的情况下，身份认证服务器向终端设备返回申请成功通知。申请成功通知用于指示用户的电子身份证申请成功，其中，申请成功通知中携带身份认证服务器为用户生成的电子身份证以及电子身份证的业务适用范围的标识信息。

可选地，在终端设备发送给身份认证服务器的本地申请请求中携带终端设备标识的情况下，身份认证服务器将该用户的电子身份证、电子身份证的业务适用范围的标识信息与该终端设备标识关联起来。

CA接收到申请成功通知，保存该电子身份证信息，并记录该电子身份证的业务适用范围。CA还可以通过管理界面提示用户电子身份证申请成功，并向用户提供查看申请到的电子身份证的业务适用范围的功能。

或者，终端设备的CA或TA向身份认证服务器发送的本地申请请求中还可以携带证件包应用服务器的标识信息(例如，证件包应用的名称或URL)，便于身份认证服务器直接将申请成功通知发送给证件包应用服务器。其中，申请成功通知中携带电子身份证及其业务适用范围的标识信息。

608、证件包应用服务器记录该用户的电子身份证的业务适用范围。

证件包应用服务器接收到申请成功通知后，记录该用户的电子身份证信息以及该电子身份证的业务适用范围。

与场景一类似，CA或电子身份证应用也可以以UI形式记录为用户申请到的电子身份证的业务适用范围，参见图11中的步骤609，这里不再赘述。

本步骤608是可选的，即场景二中可以只在终端设备侧对电子身份证及其业务适用范围进行记录，而不需要在证件包服务器侧进行记录。

根据场景二中介绍的方法，终端设备可以基于终端设备上提供的可信安全平台为用户申请具有目标业务适用范围的电子身份证。

以上场景一和场景二，分别可以在不同的阶段为用户申请到具有较大业务适用范围的电子身份证。场景一是在用户已经拥有电子身份证的阶段，对电子身份证的较小的业务适用范围进行升级，从而使电子身份证的业务适用范围扩大。场景二是在用户不具有电子身份证的阶段，直接为用户申请一个具有较大的目标业务适用范围的电子身份证。

下面对本申请提供的对电子身份证的业务适用范围进行升级的装置和申请电子身份证的装置进行说明。

参见图12，图12是本申请提出的对电子身份证的业务适用范围进行升级的装置700的框图。

输入输出单元701，用于接收触发指令，触发指令用于请求对用户的电子身份证的业务适用范围进行升级；

处理单元702，用于根据输入输出单元701接收到的触发指令，确定装置700提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；

处理单元702，还用于从身份认证服务器获得基于可信安全平台对电子身份证的业务适用范围进行升级的权限；

处理单元702，还用于生成对电子身份证的业务适用范围进行升级所需的升级信息；

收发单元703，用于将处理单元702生成的升级信息发送给身份认证服务器，以使身份认证服务器根据该升级信息对该电子身份证的业务适用范围进行升级。

可选地，处理单元702在确定可信安全平台保存有身份认证服务器的证明信息之前，还用于确定该可信安全平台中存在电子身份证应用；或者，

确定单元702在确定该可信安全平台中不存在电子身份证应用的情况下，还用于下载并安装电子身份证应用到该可信安全平台中。

可选地，该可信安全平台为可信执行环境TEE，该电子身份证应用为TEE中的可信应用TA，或者，该可信安全平台为安全单元SE，该电子身份证应用为SE中的安全应用。

可选地，该升级信息包括用户的人脸图像信息和实体身份证信息，处理单元702用于通过REE中的客户端应用CA生成所述升级信息；收发单元703用于将所述CA生成的升级信息发送给身份认证服务器，其中，升级信息中的至少一项信息是所述CA从电子身份证应用获取的；或者

处理单元702用于通过所述CA请求所述电子身份证应用生成所述升级信息；收发单元703用于将电子身份证应用生成的升级信息发送给身份认证服务器。

可选地，该升级信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

可选地，该升级信息还包括电子身份证信息，或者，该升级信息还包括电子身份证信息和电子身份证信息对应的业务适用范围的标识信息。

可选地，该升级信息是使用身份认证服务器的密钥进行加密处理后的信息。

可选地，处理单元702用于通过REE中的CA向所述可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；

以及，处理单元702用于通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

可选地，查询成功响应中携带能够指示可信安全平台的证书的信息，以及，收发单元703用于向身份认证服务器发送本地升级授权请求，本地升级授权请求中携带该能够指示可信安全平台的证书的信息；

以及，收发单元703还用于接收所述身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台对电子身份证的所述业务适用范围进行升级。

可选地，收发单元703还用于通过CA向身份认证服务器发送本地升级授权请求；以及，收发单元703还用于通过CA接收身份认证服务器返回的授权应答消息；或者，

收发单元703还用于通过电子身份证应用向身份认证服务器发送本地升级授权请求；以及，收发单元703通过电子身份证应用从身份认证服务器接收授权应答消息。

可选地，本地升级授权请求中还携带随机数和随机数的签名，该随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，该随机数是可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

可选地，该能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

应理解，装置700可以对应上述对电子身份证的业务适用范围进行升级的方法100及其各实施例中描述的终端设备。例如，装置700可以为上述方法100及其各实施例中的终端设备，或者也可以为配置在该终端设备中的芯片。装置700中各个单元分别用于执行上述方法100及其各实施例中由终端设备执行的各操作和/或处理流程。为了避免赘述，省略其详细说明。

参见图13，图13是本申请提出的申请电子身份证的装置800的框图。

输入输出单元801，用于接收触发指令，触发指令用于请求为用户申请具有目标业务适用范围的电子身份证；

处理单元802，用于根据输入输出单元801接收到的所述触发指令，确定装置800提供可信安全平台，并确定可信安全平台保存有身份认证服务器的证明信息；

处理单元802，还用于从身份认证服务器获得基于可信安全平台申请电子身份证的权限；

处理单元802，还用于生成申请具有目标业务适用范围的电子身份证所需的申请信息；

收发单元803，用于将处理单元802生成的申请信息发送给身份认证服务器，以使身份认证服务器根据该申请信息为该用户生成具有目标业务适用范围的电子身份证。

可选地，在确定可信安全平台保存有身份认证服务器的证明信息之前，处理单元802还用于确定所述可信安全平台中存在电子身份证应用；或者

处理单元802还用于在确定所述可信安全平台中不存在所述电子身份证应用的情况下，下载并安装所述电子身份证应用到所述可信安全平台中。

可选地，可信安全平台为可信执行环境TEE，电子身份证应用为TEE中的可信应用TA，或者，可信安全平台为安全单元SE，电子身份证应用为所述SE中的安全应用。

可选地，该申请信息包括用户的人脸图像信息和实体身份证信息，处理单元802用于通过REE中的客户端应用CA生成所述申请信息；收发单元803用于将CA生成的申请信息发送给身份认证服务器，其中，申请信息中的至少一项信息是CA从电子身份证应用获取的；或者，

处理单元802用于通过CA请求电子身份证应用生成申请信息；收发单元803用于将电子身份证应用生成的申请信息发送给身份认证服务器。

可选地，该申请信息还包括签名信息，签名信息是电子身份证应用使用可信安全平台的密钥对人脸图像信息和实体身份证信息中的至少一项进行签名处理得到的信息。

可选地，该申请信息还包括目标业务适用范围的标识信息。

可选地，该申请信息是使用身份认证服务器的密钥进行加密处理后的信息。

可选地，处理单元802用于通过REE中的CA向可信安全平台发送查询命令，查询命令用于请求查询可信安全平台是否保存有身份认证服务器的证明信息，查询命令中携带能够表征身份认证服务器的身份的信息；

以及，处理单元802还用于通过CA从可信安全平台接收查询成功响应，查询成功响应用于指示可信安全平台保存有身份认证服务器的证明信息。

可选地，查询成功响应中携带能够指示可信安全平台的证书的信息，

以及，收发单元803用于向身份认证服务器发送本地申请授权请求，本地申请授权请求中携带该能够指示所述可信安全平台的证书的信息；

以及，收发单元803还用于接收身份认证服务器返回的授权应答消息，授权应答消息用于指示身份认证服务器允许基于可信安全平台为用户申请具有目标业务适用范围的电子身份证。

可选地，收发单元803通过CA向身份认证服务器发送本地申请授权请求；以及，收发单元803还用于通过CA接收身份认证服务器返回的授权应答消息；或者，

收发单元803用于通过电子身份证应用向身份认证服务器发送本地申请授权请求；以及，收发单元803还用于通过电子身份证应用从身份认证服务器接收授权应答消息。

可选地，本地申请授权请求中还携带随机数和随机数的签名，该随机数的签名是可信安全平台使用可信安全平台的密钥对随机数进行签名运算得到的，其中，随机数是可信安全平台生成的，或者是CA通过查询命令发送给可信安全平台的。

可选地，所述能够指示可信安全平台的证书的信息、随机数和随机数的签名中的至少一项是使用身份认证服务器的密钥进行加密处理后的信息。

应理解，装置800可以对应上述申请电子身份证的方法500及其各实施例中描述的终端设备。例如，装置800可以为上述方法500及其各实施例中的终端设备，或者也可以为配置在该终端设备中的芯片。并且，装置800中各个单元分别用于执行上述方法500及其各实施例中由终端设备执行的各操作和/或处理流程。为了避免赘述，省略其详细说明。

参见图14，图14是适用于本申请实施例的终端设备900的结构示意图。本领域技术人员应理解，图14中示出的结构不应对本申请中的终端设备构成限定，终端设备900可以包括比图14示出的更多或更少的部件，或者组合某些部件等。

收发器910用于建立通信信道，使终端设备通过所述通信信道以连接至远程服务器，并从所述远程服务器下媒体数据。所述收发器910可以包括无线局域网(wirelesslocal area network,wireless LAN)模块、蓝牙模块、近场通信(near fieldcommunication,NFC)模块、基带(base band)模块等通信模块以及所述通信模块对应的射频(radio frequency,RF)电路，用于进行无线局域网络通信、蓝牙通信、NFC通信、红外线通信和/或蜂窝式通信系统通信。RF电路用于信息收发或通话过程中信号的接收和发送。例如，将基站的下行信息接收后，给处理器920处理，或者，将上行数据发送给基站。又例如，从外部NFC设备接收信息后，给处理器920处理，再将处理结果发送给外部NFC设备。通常，所述射频电路包括用于执行这些功能的公知电路，包括但不限于天线系统、射频收发机、一个或多个放大器、调谐器、一个或多个振荡器、数字信号处理器、编解码(Codec)芯片组、用户身份模块(subscriber identification module,SIM)卡、存储器等等。此外，射频电路还可以通过无线通信与网络和其它设备通信。所述无线通信可以采用任意一种通信标准或协议，包括但不限于无线局域网(wireless local area networks，WLAN)全球移动通讯(globalsystem of mobile communication，GSM)系统、码分多址(code division multipleaccess，CDMA)系统、宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long termevolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave access，WiMAX)系统、未来的第五代(5th generation，5G)系统或新无线(new radio，NR)等。

在本申请实施例中，终端设备与身份认证服务器、证件包应用服务器之间信息、数据和/或信令的交互可以通过收发器910实现。例如，终端设备可以通过收发器910向身份认证服务器发送本地升级授权请求、本地申请授权请求等，还可以通过收发器910将处理器920生成的升级信息或申请信息发送给身份认证服务器。终端设备还可以从身份认证服务器接收本地授权应答、查询成功响应等消息。此外，终端设备通过NFC通道读取用户的实体身份证信息，也可以通过收发器910实现。这里不再一一列举。

处理器920是终端设备的控制中心，利用各种接口和线路连接整个终端设备的各个部分，通过运行或执行存储在存储器内的软件程序和/或模块，以及调用存储在存储器内的数据，以执行终端设备的各种功能和/或处理数据。例如，在本申请实施例中，升级信息、申请信息的生成、确定终端设备是否提供可信安全平台、判断可信安全平台上是否保存有身份认证服务器的证明信息、对可信安全平台信息进行加密和/或签名操作等都可以由处理器执行。处理器可以由集成电路(integrated circuit,IC)组成。例如，可以由单颗封装的IC所组成，也可以由连接多颗相同功能或不同功能的封装IC而组成。处理器920可以仅包括中央处理器(central processing unit,CPU)，也可以是GPU、数字信号处理器(digitalsignal processor,DSP)以及终端设备900中的控制芯片(例如，基带芯片)的组合。在本申请实施方式中，CPU可以是单运算核心，也可以包括多运算核心。

存储器930可用于存储软件程序和模块，处理器920通过运行存储在存储器930的软件程序和模块，从而执行终端设备900的各种功能应用以及数据处理。存储器930可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(例如，声音播放功能、图像播放功能等)等。存储数据区可存储根据终端设备900的使用所创建的数据(例如，音频数据、图像数据、电话本等)。在本申请实施方式中，存储器930可以包括易失性存储器，例如非挥发性动态随机存取内存(nonvolatile randomaccess memory，NVRAM)、相变化随机存取内存(phase change RAM,PRAM)、磁阻式随机存取内存(magetoresistive RAM,MRAM)等，还可以包括非易失性存储器，例如,一个或多个磁盘存储器件、电子可擦除可编程只读存储器(electrically erasable programmable read-only memory,EEPROM)，闪存器件，例如，反或闪存(NOR flash memory)或是反及闪存(NANDflash memory)。非易失存储器储存处理器元所执行的操作系统及应用程序。处理器从非易失存储器加载运行程序与数据到内存并将数字内容储存于大量储存装置中。上述操作系统包括用于控制和管理常规系统任务，例如，内存管理、存储设备控制、电源管理等，以及有助于各种软硬件之间通信的各种组件和/或驱动器。在本申请实施方式中，操作系统可以是Google公司的安卓(Android)系统、苹果公司开发的iOS系统、Microsoft公司开发的Windows操作系统等，或者还可以是Vxworks这种嵌入式操作系统。上述应用程序包括安装在终端设备上的任何应用，包括但不限于浏览器、电子邮件、即时消息服务、文字处理、键盘虚拟、窗口小部件(Widget)、加密、数字版权管理、语音识别、语音复制、定位(例如，由全球定位系统提供的功能)、音乐播放等。在本申请实施例中，终端设备涉及到数据的存储，例如，应用程序及用户数据的存储、各类服务器(例如，证件包应用服务器、身份认证服务器)的证书的预置、CTID的安全存储等。

输入设备940可用于实现用户与终端设备的交互，和/或将信息输入到终端设备中。例如，输入设备940可以接收用户输入的数字或字符信息，以产生与用户设置或功能控制有关的信号输入。在本申请实施例中，输入设备940可以是触控面板941，或者还可以是其它人机交互界面，例如，实体输入键、麦克风，还可以是其它外部信息撷取设备，例如摄像头(图14中未示出)等。触控面板也称为触摸屏或触控屏，可收集用户在其上触摸或接近的操作动作。例如，用户使用手指、触笔等任何适合的物体或附件在触控面板上或接近触控面板的位置的操作动作，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸操作，并将检测到的触摸操作转换为电信号，以及将所述电信号传送给触摸控制器；触摸控制器从触摸检测装置上接收所述电信号，并将它转换成触点坐标，再送给处理器920。所述触摸控制器还可以接收处理器920发来的命令并执行。此外，可以采用电阻式、电容式、红外线(Infrared)以及表面声波等多种类型实现触控面板。在本申请的其它实施方式中，输入设备940所采用的实体输入键可以包括但不限于物理键盘、功能键(例如，音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。麦克风形式的输入设备可以收集用户或环境输入的语音并将其转换成电信号形式的、处理器920可执行的命令。

在本申请实施例中，终端设备900可以通过输入设备940实现与用户的交互。例如，终端设备可以通过触控面板951接收触发指令，或者通过触控面板951接收用户手动输入的实体身份证信息。又例如，运行在REE中的客户端应用CA、运行在TEE或SE中的电子身份证应用通过摄像头采集用户的人脸图像信息等。

输出设备950可用于显示由用户输入的信息或提供给用户的信息以及终端设备900的各种菜单，还可以接受用户输入。输出设备950包括但不限于影像输出单元和声音输出单元。影像输出单元用于输出文字、图片和/或视频。所述影像输出单元可包括显示面板，显示面板951可以采用液晶显示器(liquid crystal display，LCD)、有机发光二极管(organic light-emitting diode，OLED)、场发射显示器(field emission display，FED)等形式来配置。或者，所述影像输出单元可以包括反射式显示器，例如，电泳式(electrophoretic)显示器，或利用光干涉调变技术(interferometric modulation oflight)的显示器。所述影像输出单元可以包括单个显示器或不同尺寸的多个显示器。在本申请的具体实施方式中，上述输入设备940所采用的触控面板941亦可同时作为输出设备950的显示面板951。例如，当触控面板检测到在其上的触摸或接近的手势操作后，传送给处理器920以确定触摸事件的类型，随后处理器920根据触摸事件的类型在显示面板951上提供相应的视觉输出。虽然在图14中，输入设备940与输出设备950是作为两个独立的部件来实现电子设备的输入和输出功能，但是在某些实施例中，可以将触控面板941与显示面板951集成一体而实现终端设备的输入和输出功能。例如，所述影像输出单元可以显示各种图形化用户接口(graphical user interface,GUI)以作为虚拟控制组件，包括但不限于窗口、卷动轴、图标及剪贴簿，以供用户通过触控方式进行操作。

例如，本申请实施例中图3、图4、图5和/或图9中所示的管理界面、提示框可以由输出设备950中的显示面板951显示。

传感器960可以为一种或多种。例如，传感器960可以包括光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板951的亮度，接近传感器可在终端设备900移动到耳边时，关闭显示面板951和/或背光。作为运动传感器的一种，加速度传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别终端设备姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等。此外，终端设备900还可配置的重力感应器(也可以称为重力传感器)、陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。例如，在本申请实施例中，输入设备、输出设备也可以通过传感器实现，终端设备可以通过传感器检测用户在触控面板941上的操作，以接收触发指令。

终端设备900还可以包括音频电路970，音频电路970可提供用户与终端设备900之间的音频接口。音频电路970可将接收到的音频数据转换后的信号，传输到扬声器971，由扬声器971转换为声音信号输出。另一方面，麦克风972将收集的声音信号转换为信号，由音频电路970接收后转换为音频数据，再将音频数据输出至收发器910以发送给另一终端设备，或者将音频数据输出至处理器920以作进一步处理。

此外，终端设备900还包括给各个部件供电的电源980(例如，电池)。优选的，电源980可以通过电源管理系统与处理器920逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗等功能。

图14中所示的终端设备900可用于实现本申请提供的对电子身份证的业务适用范围进行升级的方法，也可以用于实现本申请提供的申请电子身份证的方法。

例如，在场景一中，终端设备900通过输入设备940(例如，可以是触控面板941)检测用户操作，以接收用于请求对用户的电子身份证的业务适用范围进行升级的触发指令。输入设备940将接收到的触发指令发送至处理器920。处理器920通过调用并运行存储在存储器930中的软件程序和/或模块，确定终端设备900是否提供可信安全平台，并在确定终端设备900提供可信安全平台的情况下，判断可信安全平台是否保存有身份认证服务器的证明信息。在可信安全平台保存有身份认证服务器的证明信息的情况下，终端设备通过处理器920生成对电子身份证的业务适用范围进行升级所需的升级信息，并通过收发器910将该升级信息发送给身份认证服务器，以使身份认证服务器根据该升级信息，对该用户的电子身份证的业务适用范围进行升级。

又例如，在场景二中，终端设备900通过输入设备940(例如，可以是触控面板941)接收用户输入的用于请求为用户申请具有目标业务适用范围的电子身份证的触发指令。输入设备940将接收到的触发指令发送至处理器920。处理器920通过调用并运行存储在存储器930中的软件程序和/或模块，确定终端设备900是否提供可信安全平台，并在确定终端设备900提供可信安全平台的情况下，判断可信安全平台是否保存有身份认证服务器的证明信息。在可信安全平台保存有身份认证服务器的证明信息的情况下，终端设备通过处理器920生成为用户申请具有目标业务适用范围的电子身份证所需的申请信息，并通过收发器910将该申请信息发送给身份认证服务器，以使身份认证服务器根据该申请信息，为用户生成具有目标业务适用范围的电子身份证。

终端设备900可以对应上述方法实施例中描述的终端设备，并且，终端设备900的各器件和/或设备分别用于执行上述方法实施例中由终端设备所执行的操作和/或处理过程，这里，为了避免赘述，省略其详细说明。

应理解，图12中所示的装置700可以为图14中所示的终端设备900。例如。输入输出单元701的输入功能可以通过图14中的输入设备940实现，输入输出单元701的输出功能可以通过图14中的输出设备950实现。处理单元702可以通过图14中的处理器920实现。收发单元703可以通过图14中的收发器910实现。

同样地，图13中所示的装置800也可以为图14中所示的终端设备900。例如。输入输出单元801的输入功能可以通过图14中的输入设备940实现，输入输出单元801的输出功能可以通过图14中的输出设备950实现。处理单元802可以通过图14中的处理器920实现。收发单元803可以通过图14中的收发器910实现。

此外，装置700也可以是配置在终端设备900中的芯片。此种情况下，输入输出单元701和收发单元703可以是芯片上的输入输出接口/输入输出电路。处理单元701可以为芯片的处理器。终端设备900通过该芯片、输入设备940、输出设备950和收发器910可以实现场景一中的终端设备所具备的功能。例如，输入设备940接收用于请求对用户的电子身份证的业务适用范围进行升级的触发指令，并将该触发指令通过芯片的输入接口/输入电路输入给芯片的处理器。芯片的处理器在接收到触发指令之后，生成升级信息，再将该升级信息通过输出接口/输出电路输出给收发器910，由收发器910将该升级信息发送给身份认证服务器。

可选地，芯片的处理器可以独立于终端设备中的处理器920，或者也可以通过终端设备中的处理器920来实现。

同样地，装置800也可以是配置在终端设备900中的芯片。此种情况下，输入输出单元801和收发单元803可以是芯片上的输入输出接口/输入输出电路。处理单元801可以为芯片的处理器。终端设备900通过该芯片、输入设备940、输出设备950和收发器910可以实现场景二中的终端设备所具备的功能。例如，输入设备940接收用于请求申请具有目标业务适用范围的电子身份证的触发指令，并将该触发指令通过芯片的输入接口/输入电路输入给芯片的处理器。芯片的处理器在接收到触发指令之后，生成申请信息，再将该申请信息通过芯片的输出接口/输出电路输出给收发器910，由收发器910将该申请信息发送给终身份认证服务器。

可选地，芯片的处理器可以独立于终端设备中的处理器920，或者也可以通过终端设备中的处理器920来实现。

此外，本申请提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行方法100及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

本申请提供一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行方法500及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

本申请提供一种芯片，包括存储器和处理器，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得安装有该芯片的终端设备执行方法100及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

本申请提供一种芯片，包括存储器和处理器，存储器用于存储计算机程序，处理器用于从存储器中调用并运行该计算机程序，使得安装有该芯片的终端设备执行方法500及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

本申请提供一种计算机程序产品，该计算机程序产品包括计算机程序，当该计算机程序在计算机上运行时，使得计算机执行方法100及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

本申请提供一种计算机程序产品，该计算机程序产品包括计算机程序，当该计算机程序在计算机上运行时，使得计算机执行方法500及其任意可能的实现方式的方法中由终端设备执行的相应操作和/或处理过程。

可选地，上述计算机程序可以全部或部分存储在与处理器封装在一起的存储介质上，也可以部分或全部存储在不与处理器封装在一起的存储器上。

上述实施例中，“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况。其中A，B可以是单数或者复数。

另外，在上述实施例中，“至少一个”表示一个或多个。多个可以是两个或两个以上。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

应理解，本申请所提供的实施例中所揭露的装置和方法，也可以通过其它的方式实现。另外，以上所描述的装置实施例仅仅是示意性的。例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的。作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要，选择其中的部分或者全部单元来实现本实施例的技术方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory,ROM)、随机存取存储器(random access memory,RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的范围之内。本申请的保护范围应以所述权利要求的保护范围为准。

Claims (26)

1.一种对电子身份证的业务适用范围进行升级的方法，其特征在于，包括：

终端设备接收触发指令，所述触发指令用于请求对用户的电子身份证的业务适用范围进行升级；

所述终端设备确定所述终端设备提供可信安全平台，并确定所述可信安全平台保存有身份认证服务器的证明信息；

所述终端设备从所述身份认证服务器获得基于所述可信安全平台对所述电子身份证的业务适用范围进行升级的权限；

所述终端设备生成对所述电子身份证的业务适用范围进行升级所需的升级信息，并向所述身份认证服务器发送所述升级信息，以使所述身份认证服务器根据所述升级信息对所述电子身份证的所述业务适用范围进行升级。

2.根据权利要求1所述的方法，其特征在于，所述终端设备确定所述可信安全平台保存有身份认证服务器的证明信息之前，所述方法还包括：

所述终端设备确定所述可信安全平台中存在电子身份证应用；或者

所述终端设备在确定所述可信安全平台中不存在所述电子身份证应用的情况下，下载并安装所述电子身份证应用到所述可信安全平台中。

3.根据权利要求2所述的方法，其特征在于，所述可信安全平台为可信执行环境TEE，所述电子身份证应用为所述TEE中的可信应用TA，或者，

所述可信安全平台为安全单元SE，所述电子身份证应用为所述SE中的安全应用。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述升级信息包括用户的人脸图像信息和实体身份证信息，

所述终端设备生成对所述电子身份证的业务适用范围进行升级所需的升级信息，并向所述身份认证服务器发送所述升级信息，包括：

所述终端设备通过富执行环境REE中的客户端应用CA生成所述升级信息，并通过所述CA向所述身份认证服务器发送所述升级信息，其中，所述升级信息中的至少一项信息是所述CA从所述电子身份证应用获取的；或者

所述终端设备通过所述CA请求所述电子身份证应用生成所述升级信息，并由所述电子身份证应用向所述身份认证服务器发送所述升级信息。

5.根据权利要求4所述的方法，其特征在于，所述升级信息还包括签名信息，所述签名信息是所述电子身份证应用使用所述可信安全平台的密钥对所述人脸图像信息和所述实体身份证信息中的至少一项进行签名处理得到的信息。

6.根据权利要求4或5所述的方法，其特征在于，所述升级信息还包括电子身份证信息，或者

所述升级信息还包括所述电子身份证信息和所述电子身份证信息对应的所述业务适用范围的标识信息。

7.根据权利要求4-6中任一项所述的方法，所述升级信息是使用所述身份认证服务器的密钥进行加密处理后的信息。

8.根据权利要求1-7中任一项所述的方法，其特征在于，所述终端设备确定所述可信安全平台保存有身份认证服务器的证明信息，包括：

所述终端设备通过REE中的CA向所述可信安全平台发送查询命令，所述查询命令用于请求查询所述可信安全平台是否保存有所述身份认证服务器的证明信息，所述查询命令中携带能够表征所述身份认证服务器的身份的信息；

所述终端设备通过所述CA从所述可信安全平台接收查询成功响应，所述查询成功响应用于指示所述可信安全平台保存有所述身份认证服务器的证明信息。

9.根据权利要求8所述的方法，其特征在于，所述查询成功响应中携带能够指示所述可信安全平台的证书的信息，

以及，所述终端设备从所述身份认证服务器获得基于所述可信安全平台对所述电子身份证的所述业务适用范围进行升级的权限，包括：

所述终端设备向所述身份认证服务器发送本地升级授权请求，所述本地升级授权请求中携带所述能够指示所述可信安全平台的证书的信息；

所述终端设备接收所述身份认证服务器返回的授权应答消息，所述授权应答消息用于指示所述身份认证服务器允许基于所述可信安全平台对所述电子身份证的所述业务适用范围进行升级。

10.根据权利要求9所述的方法，其特征在于，所述终端设备向所述身份认证服务器发送本地升级授权请求，包括：

所述终端设备通过所述CA向所述身份认证服务器发送所述本地升级授权请求；

以及，所述终端设备接收所述身份认证服务器返回的授权应答消息，包括：

所述终端设备通过所述CA接收所述身份认证服务器返回的所述授权应答消息；

或者，

所述终端设备向所述身份认证服务器发送本地升级授权请求，包括：

所述终端设备通过所述电子身份证应用向所述身份认证服务器发送所述本地升级授权请求；

以及，所述终端设备接收所述身份认证服务器返回的授权应答消息，包括：

所述终端设备通过所述电子身份证应用从所述身份认证服务器接收所述授权应答消息。

11.根据权利要求9或10所述的方法，其特征在于，所述本地升级授权请求中还携带随机数和随机数的签名，所述随机数的签名是所述可信安全平台使用所述可信安全平台的密钥对所述随机数进行签名运算得到的，其中，所述随机数是所述可信安全平台生成的，或者是所述CA通过查询命令发送给所述可信安全平台的。

12.根据权利要求9-11中任一项所述的方法，其特征在于，所述能够指示所述可信安全平台的证书的信息、所述随机数和所述随机数的签名中的至少一项是使用所述身份认证服务器的密钥进行加密处理后的信息。

13.一种申请电子身份证的方法，其特征在于，包括：

终端设备接收触发指令，所述触发指令用于请求为用户申请具有目标业务适用范围的电子身份证，其中，业务适用范围用于指定所述电子身份证能够适用的业务；

所述终端设备确定所述终端设备提供可信安全平台，并确定所述可信安全平台保存有身份认证服务器的证明信息；

所述终端设备从所述身份认证服务器获得基于所述可信安全平台为所述用户申请具有所述目标业务适用范围的电子身份证的权限；

所述终端设备生成申请具有所述目标业务适用范围的电子身份证所需的申请信息，并向所述身份认证服务器发送所述申请信息，以使所述身份认证服务器根据所述申请信息为所述用户生成具有所述目标业务适用范围的电子身份证。

14.根据权利要求13所述的方法，其特征在于，所述终端设备确定所述可信安全平台保存有身份认证服务器的证明信息之前，所述方法还包括：

所述终端设备确定所述可信安全平台中存在电子身份证应用；或者

所述终端设备在确定所述可信安全平台中不存在所述电子身份证应用的情况下，下载并安装所述电子身份证应用到所述可信安全平台中。

15.根据权利要求14所述的方法，其特征在于，所述可信安全平台为可信执行环境TEE，所述电子身份证应用为所述TEE中的可信应用TA，或者，

所述可信安全平台为安全单元SE，所述电子身份证应用为所述SE中的安全应用。

16.根据权利要求13-15中任一项所述的方法，其特征在于，所述申请信息包括用户的人脸图像信息和实体身份证信息，

所述终端设备生成申请具有所述目标业务适用范围的电子身份证所需的申请信息，并向所述身份认证服务器发送所述申请信息，包括：

所述终端设备通过富执行环境REE中的客户端应用CA生成所述申请信息，并通过所述CA向所述身份认证服务器发送所述申请信息，其中，所述申请信息中的至少一项信息是所述CA从所述电子身份证应用获取的；或者

所述终端设备通过所述CA请求所述电子身份证应用生成所述申请信息，并由所述电子身份证应用向所述身份认证服务器发送所述申请信息。

17.根据权利要求16所述的方法，其特征在于，所述申请信息还包括签名信息，所述签名信息是所述电子身份证应用使用所述可信安全平台的密钥对所述人脸图像信息和所述实体身份证信息中的至少一项进行签名处理得到的信息。

18.根据权利要求16或17所述的方法，其特征在于，所述申请信息还包括所述目标业务适用范围的标识信息。

19.根据权利要求16-18中任一项所述的方法，所述申请信息是使用所述身份认证服务器的密钥进行加密处理后的信息。

20.根据权利要求13-19中任一项所述的方法，其特征在于，所述终端设备确定所述可信安全平台保存有身份认证服务器的证明信息，包括：

所述终端设备通过REE中的CA向所述可信安全平台发送查询命令，所述查询命令用于请求查询所述可信安全平台是否保存有所述身份认证服务器的证明信息，所述查询命令中携带能够表征所述身份认证服务器的身份的信息；

所述终端设备通过所述CA从所述可信安全平台接收查询成功响应，所述查询成功响应用于指示所述可信安全平台保存有所述身份认证服务器的证明信息。

21.根据权利要求20所述的方法，其特征在于，所述查询成功响应中携带能够指示所述可信安全平台的证书的信息，

以及，所述终端设备从所述身份认证服务器获得基于所述可信安全平台为所述用户申请具有所述目标业务的电子身份证的权限，包括：

所述终端设备向所述身份认证服务器发送本地申请授权请求，所述本地申请授权请求中携带所述能够指示所述可信安全平台的证书的信息；

所述终端设备接收所述身份认证服务器返回的授权应答消息，所述授权应答消息用于指示所述身份认证服务器允许基于所述可信安全平台为所述用户申请具有所述目标业务适用范围的电子身份证。

22.根据权利要求21所述的方法，其特征在于，所述终端设备向所述身份认证服务器发送本地申请授权请求，包括：

所述终端设备通过所述CA向所述身份认证服务器发送所述本地申请授权请求；

以及，所述终端设备接收所述身份认证服务器返回的授权应答消息，包括：

所述终端设备通过所述CA接收所述身份认证服务器返回的所述授权应答消息；

或者，

所述终端设备向所述身份认证服务器发送本地申请授权请求，包括：

所述终端设备通过所述电子身份证应用向所述身份认证服务器发送所述本地申请授权请求；

以及，所述终端设备接收所述身份认证服务器返回的授权应答消息，包括：

所述终端设备通过所述电子身份证应用从所述身份认证服务器接收所述授权应答消息。

23.根据权利要求21或22所述的方法，其特征在于，所述本地申请授权请求中还携带随机数和随机数的签名，所述随机数的签名是所述可信安全平台使用所述可信安全平台的密钥对所述随机数进行签名运算得到的，其中，所述随机数是所述可信安全平台生成的，或者是所述CA通过查询命令发送给所述可信安全平台的。

24.根据权利要求21-23中任一项所述的方法，其特征在于，所述能够指示所述可信安全平台的证书的信息、所述随机数和所述随机数的签名中的至少一项是使用所述身份认证服务器的密钥进行加密处理后的信息。

25.一种终端设备，其特征在于，包括：

输入输出设备，用于接收触发指令，所述触发指令用于请求对用户的电子身份证的业务适用范围进行升级；

处理器，用于在所述输入输出设备接收到所述触发指令的情况下确定所述终端设备提供可信安全平台，并确定所述可信安全平台保存有身份认证服务器的证明信息；

所述处理器，还用于在确定所述可信安全平台保存有所述身份认证服务器的证明信息的情况下，从所述身份认证服务器获得基于所述可信安全平台对所述电子身份证的业务适用范围进行升级的权限；

所述处理器，还用于生成对所述电子身份证的业务适用范围进行升级所需的升级信息；

收发器，用于将所述处理器生成的所述升级信息发送给所述身份认证服务器，以使所述身份认证服务器根据所述升级信息对所述电子身份证的业务适用范围进行升级。

26.一种终端设备，其特征在于，包括：

输入输出设备，用于接收触发指令，所述触发指令用于请求为用户申请具有目标业务适用范围的电子身份证，其中，业务适用范围用于指定所述电子身份证能够适用的业务；

处理器，用于在所述输入输出设备接收到所述触发指令的情况下确定所述终端设备提供可信安全平台，并确定所述可信安全平台保存有身份认证服务器的证明信息；

所述处理器，还用于从所述身份认证服务器获得基于所述可信安全平台为所述用户申请具有所述目标业务适用范围的电子身份证的权限；

所述处理器，还用于生成申请具有所述目标业务适用范围的电子身份证所需的申请信息；

所述收发器，还用于向所述身份认证服务器发送所述申请信息，以使所述身份认证服务器根据所述申请信息为所述用户生成具有所述目标业务适用范围的电子身份证。

Images