CN110876144B - 一种身份凭证的移动应用方法、装置及系统 - Google Patents

一种身份凭证的移动应用方法、装置及系统 Download PDF

Info

Publication number
CN110876144B
CN110876144B CN201910816167.8A CN201910816167A CN110876144B CN 110876144 B CN110876144 B CN 110876144B CN 201910816167 A CN201910816167 A CN 201910816167A CN 110876144 B CN110876144 B CN 110876144B
Authority
CN
China
Prior art keywords
mobile communication
communication device
information
identity
credential
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910816167.8A
Other languages
English (en)
Other versions
CN110876144A (zh
Inventor
张建永
檀珠峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of CN110876144A publication Critical patent/CN110876144A/zh
Application granted granted Critical
Publication of CN110876144B publication Critical patent/CN110876144B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请公开了一种身份凭证的移动应用方法、装置及系统。其中，所述方法包括：采集用户身份证件的凭证信息和用户生物特征信息，并进行活体检测；向服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息；接收来自所述服务器的配置消息，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息；在所述移动通信装置内部的安全元件中存储所述eID信息。

Description

一种身份凭证的移动应用方法、装置及系统
技术领域
本申请涉及移动通信技术领域，尤其涉及一种身份凭证的移动应用方法、装置及系统。
背景技术
现代社会中，政府一般都会采用法定身份证件对个人身份进行管理。常见的法定身份证件包括身份证和护照。法定身份证件除了在证件表面印有姓名，证件号码，以及个人头像等凭证信息外，证件内部通常也集成有存储了这些凭证信息的芯片。这些凭证信息能够被用于验证个人身份，可记为个人身份的凭证，简称身份凭证或凭证。
机构工作人员在验证个人身份时，除了直接查看法定身份证件的证件表面的凭证信息之外，也可以通过机器设备读取和显示证件内置芯片中存储的凭证信息。但是，证件内置芯片中存储的凭证信息仍然依赖于法定身份证件的物理实体，例如以卡片形式存在的身份证(简称身份证卡)，以手册形式存在的护照(简称护照本)等。因此，作为身份凭证的载体，法定身份证件经常需要随身携带。当个人忘记携带法定身份证件，或者法定身份证件遗失，会影响很多事务的办理，比如酒店入住、飞机出行等。
近年来，身份凭证的移动应用也逐渐开始流行。例如，电子身份证(electronicidentity，eID)已经在包括中国在内的多个国家逐渐推广使用。eID也是由政府颁发给公民的用于线上和线下识别身份的证件。以中国为例，eID是以公民的身份证号码为根，由公安部门基于密码算法统一为中国公民生成的数字标记，在确保签发给每个公民的数字身份唯一性的同时，可以减少公民身份的明文信息在网上的传播。并且，有别于传统的身份证卡，eID可以承载在银行卡以及用户身份模块(subscriber indentity module，SIM)卡的内置芯片中。目前，个人使用eID通常需要去服务网点申请办理特殊的银行卡或SIM卡。由于eID只能线下办理，安全性相对有所保障，但是便捷性仍有不足。
另外，公民身份证网上功能凭证(简称网证)也在中国的一些城市试用。网证有时也被记为公民可信身份(citizen trusted identity，CTID)。网证可分为两种，包括黑白版网证和彩色版网证。网证的业务流程包括申请流程和认证流程。在申请流程中，用户可以通过手机线上申请，来申请黑白版网证。如果希望申请彩色版网证，用户还需要去服务网点通过机器设备采集相关信息。黑白版网证可以用于线下认证的应用场景，比如线下办理酒店入住。彩色版网证还可以支持线上认证的应用场景，比如线上办理工商登记等。相对于eID而言，网证的便捷性有所提升，但是安全性仍需改善。
总体来说，包括eID和网证在内的身份凭证的移动应用丰富了人们的数字生活。但与此同时，身份凭证的移动应用对于安全性和便捷性也提出了更高的需求。
发明内容
本申请实施例提供了一种身份凭证的移动应用方法、装置及系统，以提升身份凭证的移动应用的安全性，和/或，便捷性。
应理解，本申请中，除有明确说明外，对于身份凭证，凭证以及凭证信息不作特别区分，均是指能够用于验证个人身份或设备身份的凭证信息。这些凭证信息既包括明文信息，也包括经过加密处理后的密文信息。对于“验证”和“认证”也不作特别区分，均是指对于身份的核实。另外，对于“标识”，“标识码”，以及“识别码”也不作特别区分，“标识”的英文译文可包括“identity”，“identification”，或者“identifier”。
应理解，本申请中，相对于传统的实体身份证件(如身份证卡或护照本)，凭证信息不必固定在实体身份证件中，而是可以基于移动通信设备或者移动互联网进行传输，处理或者存储，因此称为身份凭证的移动应用。从业务流程来看，身份凭证的移动应用可包括申请流程和认证流程。其中，身份凭证的申请流程可分为：线上申请和线下申请，身份凭证的认证流程包括：线上认证和线下验证。
应理解，本申请中，移动通信设备也可以被称为终端、移动终端、移动设备、用户设备(user equipment，UE)，移动台或订户单元。移动通信装置可以是移动通信设备，也可以是移动通信设备中的集成电路。
本申请实施例提供了一种身份凭证的移动应用方法，该方法由移动通信装置执行，所述方法包括：
向服务器发送第一安全请求消息，所述第一安全请求消息中携带了所述移动通信装置的标识，以及身份证件的凭证信息；接收来自所述服务器的安全回复消息；根据所述安全回复消息，确定所述身份证件的凭证信息是否已被其他的移动通信装置成功地申请。
在一种可选实现方式中，所述安全回复消息中携带了数字信封证书，以及与所述数字信封证书对应的公钥，其中，所述数字信封证书以使用所述公钥对应的私钥签名；所述方法还包括：使用加密秘钥对用户生物特征信息进行加密，以得到用户生物特征信息密文；使用所述公钥对所述加密秘钥进行加密，以得到数字信封，其中，所述数字信封中包括了所述加密秘钥的密文；向所述服务器发送第二安全请求消息，所述第二安全请求携带了所述用户生物特征信息密文和所述数字信封。
本申请实施例还提供了一种移动通信装置，包括：安全元件，处理器，以及存储器；
其中，所述存储器用于存储程序指令，所述程序指令被所述一个或多个处理器执行时，使得所述移动通信装置执行多个操作，其中，所述多个操作包括：
向服务器发送第一安全请求消息，所述第一安全请求消息中携带了所述移动通信装置的标识，以及身份证件的凭证信息；接收来自所述服务器的安全回复消息；根据所述安全回复消息，确定所述身份证件的凭证信息是否已被其他的移动通信装置成功地申请。
在一种可选实现方式中，所述安全回复消息中携带了数字信封证书，以及与所述数字信封证书对应的公钥，其中，所述数字信封证书以使用所述公钥对应的私钥签名；所述多个操作还包括：
使用加密秘钥对用户生物特征信息进行加密，以得到用户生物特征信息密文；
使用所述公钥对所述加密秘钥进行加密，以得到数字信封，其中，所述数字信封中包括了所述加密秘钥的密文；
向所述服务器发送第二安全请求消息，所述第二安全请求携带了所述用户生物特征信息密文和所述数字信封。
本申请实施例还提供了一种身份凭证的移动应用方法，包括：
移动通信装置采集用户身份证件的凭证信息和用户生物特征信息，并进行活体检测；
所述移动通信装置向服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息；
所述移动通信装置接收来自所述服务器的配置消息，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息；
所述移动通信装置在所述移动通信装置内部的安全元件中存储所述eID信息。
本申请实施例还提供了一种移动通信装置，包括：
安全元件，处理器，以及存储器；
其中，所述存储器用于存储程序指令，所述程序指令被所述一个或多个处理器执行时，使得所述移动通信装置执行如下所述的方法：
移动通信装置采集用户身份证件的凭证信息和用户生物特征信息，并进行活体检测；
所述移动通信装置向服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息；
所述移动通信装置接收来自所述服务器的配置消息，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息；
所述移动通信装置在所述移动通信装置内部的安全元件中存储所述eID信息。
本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储了程序代码，所述程序代码被计算机或处理器执行时，实现如下所述的方法：
移动通信装置采集用户身份证件的凭证信息和用户生物特征信息，并进行活体检测；
所述移动通信装置向服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息；
所述移动通信装置接收来自所述服务器的配置消息，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息；
所述移动通信装置在所述移动通信装置内部的安全元件中存储所述eID信息。
本申请实施例还提供了一种身份凭证的移动应用系统，包括：移动通信装置和服务器；其中，所述移动通信装置用于：采集用户身份证件的凭证信息和用户生物特征信息，并进行活体检测；向所述服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息；接收来自所述服务器的配置消息，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息；在所述移动通信装置内部的安全元件中存储所述eID信息；所述服务器用于：接收来自所述移动通信装置的所述请求消息，并向所述移动通信装置发送所述配置消息。
在一种可选实现方式中，所述移动通信装置通过运行在可信执行环境TEE中的可信应用TA来采集所述用户生物特征信息，并进行所述活体检测。
在一种可选实现方式中，所述可信应用TA包括手机厂商的支付应用。
在一种可选实现方式中，所述用户身份证件的凭证信息包括所述用户身份证件的身份证号码，所述用户生物特征信息包括人脸数据信息。
在一种可选实现方式中，所述人脸数据信息包括基于哈希算法生成的用于表征用户生物特征数据的一串数字。
在一种可选实现方式中，所述用户生物特征信息为所述用户生物特征信息密文，所述请求消息中还包含数字信封，所述数字信封以密文方式携带了所述用户生物特征信息密文的加密秘钥。
在一种可选实现方式中，所述请求消息中还包括所述移动通信装置的标识。
在一种可选实现方式中，所述移动通信装置为手机，所述移动通信装置的标识为手机的国际移动设备标识IMEI。
在一种可选实现方式中，所述移动通信装置为手机的系统芯片，所述移动通信装置的标识为手机的系统芯片内部的安全元件的标志。
在一种可选实现方式中，所述方法还包括：
所述移动通信装置在线下认证流程，以脱敏方式提供所述eID信息的部分信息。
本申请实施例提供了一种身份凭证的移动应用方法，所述方法由移动通信装置执行，其特征在于，所述方法包括：
向服务器发送第一安全请求消息，所述第一安全请求消息中携带了所述移动通信装置的标识，以及身份证件的身份证号码；
接收来自所述服务器的安全回复消息；
根据所述安全回复消息，确定所述身份证件对应的凭证信息是否已被其他的移动通信装置成功地申请，所述身份证件对应的凭证信息包括电子身份证eID。
一种移动通信装置，其特征在于，包括：
安全元件，处理器，以及存储器；
其中，所述存储器用于存储程序指令，所述程序指令被所述一个或多个处理器执行时，使得所述移动通信装置执行如下方法：
向服务器发送第一安全请求消息，所述第一安全请求消息中携带了所述移动通信装置的标识，以及身份证件的身份证号码；
接收来自所述服务器的安全回复消息；
根据所述安全回复消息，确定所述身份证件对应的凭证信息是否已被其他的移动通信装置成功地申请，所述身份证件对应的凭证信息包括电子身份证eID。
在一种可选实现方式中，所述安全回复消息中携带了数字信封证书，以及与所述数字信封证书对应的公钥，其中，所述数字信封证书已使用所述公钥对应的私钥签名。
在一种可选实现方式中，所述安全回复消息中携带了数字信封证书，以及与所述数字信封证书对应的公钥，其中，所述数字信封证书已使用所述公钥对应的私钥签名。
在一种可选实现方式中，所述方法还包括：
使用加密秘钥对用户生物特征信息进行加密，以得到用户生物特征信息密文；
使用所述公钥对所述加密秘钥进行加密，以得到数字信封，其中，所述数字信封中包括了所述加密秘钥的密文；
向所述服务器发送第二安全请求消息，所述第二安全请求携带了所述用户生物特征信息密文和所述数字信封。
在一种可选实现方式中，所述方法还包括：
采集用户生物特征信息，并进行活体检测；
其中，所述用户生物特征信息包括人脸数据信息。
在一种可选实现方式中，所述移动通信装置的可信执行环境TEE的可信应用TA采集所述用户生物特征信息，并进行所述活体检测。
在一种可选实现方式中，所述可信应用为手机厂商的支付应用。
在一种可选实现方式中，所述人脸数据信息包括基于哈希算法生成的用于表征用户生物特征数据的一串数字。
在一种可选实现方式中，所述移动通信装置的标识为如下两种标识中一种：
手机的国际移动设备标识IMEI，或者，手机内置的安全元件的标识。
在一种可选实现方式中，所述方法还包括：
向所述服务器发送凭证信息请求，该凭证信息请求用于请求所述身份证件的凭证信息；
接收来自所述服务器的凭证信息配置，凭证信息配置中可以携带所述身份证件的凭证信息；
在所述移动通信装置的安全元件中存储所述身份证件的凭证信息。
在一种可选实现方式中，所述凭证信息请求所述移动通信装置的安全元件生成的凭证签发请求CSR。
在一种可选实现方式中，所述凭证签发请求中包括如下一种或多种信息：
eID证书公钥，公钥签名，eID载体的编号，以及eID载体的公钥，其中，所述eID载体为所述移动通信装置的安全元件。
在一种可选实现方式中，所述方法还包括：
执行凭证能力请求和配置流程，以使能所述移动通信装置以在线方式下载和安装身份凭证的移动应用系统。
本申请实施例，还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储了程序代码，所述程序代码被计算机或处理器执行时，可实现上述任一种的身份凭证的移动应用方法。
本申请实施例，还提供了一种计算机程序产品，所述计算机程序产品包含的程序代码被计算机或处理器执行时，可实现上述任一种的身份凭证的移动应用方法。
附图说明
图1为本申请实施例提供的一种身份凭证的移动应用系统的架构示意图；
图2为本申请实施例提供的一种移动通信设备的安全框架的示意图；
图3本申请实施例提供的一种身份凭证的移动应用的业务流程的架构示意图；
图4为本申请实施例提供的一种身份凭证的申请流程的示意图；
图5为本申请实施例提供的一种身份凭证的认证流程的示意图；
图6为本申请实施例提供的另一种身份凭证的认证流程的示意图；
图7为本申请实施例提供的再一种身份凭证的认证流程的示意图。
应理解，在上述示意图中，各框图的尺寸和形态仅供参考，不应构成对本发明实施例的排他性的解读。示意图中所呈现的各框图间的相对位置和包含关系，仅为示意性地表示各框图间的逻辑关联，而非限制本发明实施例的物理连接方式。
具体实施方式
下面结合附图并举实施例，对本申请提供的技术方案作进一步说明。应理解，本申请实施例中提供的系统结构和业务场景主要是为了说明本申请的技术方案的可能的实施方式，不应被解读为对本申请的技术方案的唯一限定。本领域普通技术人员可知，随着系统结构的演进和新业务场景的出现，本申请提供的技术方案对类似技术问题同样适用。
应理解，本申请实施例提供的身份凭证的移动应用方案包括方法、装置及系统。由于这些方案解决问题的原理相同或相似，在以下具体实施例的介绍中，某些重复之处可能不再赘述，但应视为这些具体实施例之间已有相互引用，可以相互结合。
图1为本申请实施例提供的一种身份凭证的移动应用系统的架构示意图。如图1所示，该系统可包括移动通信设备10，无线接入网11，身份证件12，认证设备13，互联网14，以及认证服务器15。其中，移动通信设备10可分别与无线接入网11，身份证件12，以及认证设备13交互，还可通过无线接入网11与互联网14和认证服务器15交互，从而参与身份凭证的移动应用的业务流程(包括申请流程以及认证流程)。
移动通信设备10与无线接入网11的交互可以遵从第三代合作伙伴计划(3rdGeneration Partnership Project，3GPP)的技术规范，如第四代(4th Generation，4G)长期演进(long term evolution，LTE)和第五代(5th Generation，5G)新无线电(new radio，NR)等蜂窝通信标准，还可遵从电气电子工程师学会(Institute of Electrical andElectronics Engineers，IEEE)的802系列的标准协议，如802.11，802.15，以及802.20等无线通信标准。
在具体实现中，移动通信设备可以是手机、平板电脑，膝上型电脑，可穿戴设备(如智能手表，智能手环，智能头盔以及智能眼镜等)，以及其他具备移动通信能力的设备，如物联网设备，包括智能家居设备(如智能电表和智能家电)以及智能交通等。无线接入网11可以包括基站(base station，BS)和接入点(access point，AP)等无线接入网设备。在具体实现中，无线接入网设备可以是5G NR中通用节点B(general Node B，gNB)，也可以是4G LTE中的演进节点B(evolutional Node B，eNB或eNodeB)。
移动通信设备10与身份证件12或认证设备13之间的交互可以采用近场通信(nearfieled communication，NFC)技术，还可以采用蓝牙和红外等短距离通信技术。相比较而言，移动通信设备10与无线接入网11的交互可以理解为长距离通信。在具体实现中，以NFC技术为例，移动通信设备10与认证设备13之间的交互可以遵从欧洲计算机制造联合会(European Computer Manufactures Association，ECMA)的ECMA-340或ECMA-352的标准协议，以及国际标准化组织(International Organization for Standardization，ISO)/国际电工委员会(International Electrotechnical Commission，IEC)的ISO/IEC 18092或ISO/IEC 21481的标准协议。蓝牙和红外也可参考相关的标准协议，此处不再赘述。
身份证件12是用于携带凭证信息的各种物理实体，例如以卡片形式存在的身份证，以手册形式存在的护照等。身份证件12除了在证件表面印有个人的头像，证件号码等凭证信息外，证件内部通常也会设置有芯片，以存储这些凭证信息的数据。在具体实现中，身份证件12可以是身份证，护照，社保卡，银行卡，SIM卡，驾驶证，学生证，工作证等各种携带有个人身份认证所需的凭证信息的证件，还可以是用于设备身份认证所需的凭证信息的载体，例如智能门锁或智能车锁的钥匙，凭证信息可能是数字密钥或主人身份凭证等。
认证设备13是用于身份认证的设备，这些设备通常设置在线下服务机构，用于在提供线下服务之前查验用户的身份。例如，认证设备13可以是设置在海关出入处的用于读取护照本中的凭证信息的设备，也可以是设置在酒店前台的用于读取身份证卡中的凭证信息的设备。认证设备13有时也被称为认证终端。
认证服务器15是用于身份认证的服务器，一般由颁发身份证件12的权威机构(比如政府部门)负责运行维护，有时也被称为权威服务器或权威认证服务器。当然，基于身份认证的安全级别，颁发身份证件12的机构也可能是公司或者学校等法律实体，相应地，认证服务器15也有可以由这些法律实体来负责运行维护。
互联网14是指提供互联网服务的基础设施，包括服务器，交换机，以及网关等网络设备。在具体实现中，互联网14可包括用于支撑身份凭证的移动应用业务的一个或多个业务服务器，这些业务服务器可以由移动通信设备10的制造或销售厂商(比如大型的手机厂商)负责运行维护。互联网14还可包括互联网服务提供商(internet service provider，ISP)的一些服务器，这些服务器需要在线上查验用户的身份，比如电商用户的实名认证。
身份凭证的移动应用的业务流程中，移动通信设备10通常需要先申请身份凭证，再使用身份凭证进行身份验证。例如，基于图1所示的系统的架构，一个简化的业务流程可以描述如下：
移动通信设备10可以先从身份证件12中读取部分凭证信息，再通过无线接入网11和互联网14向认证服务器15申请存储身份证件12的部分或全部凭证信息，并在取得认证服务器15的授权后，存储身份证件12的部分或全部凭证信息。
此后，在用户需要线下验证身份凭证时，移动通信设备10可以向认证设备13提供所需的凭证信息。在用户需要线上验证身份凭证时，移动通信设备10可以通过无线接入网13向互联网14提供所需的凭证信息。
在图1所示的系统的架构基础上，以下将进一步阐述身份凭证的移动应用的技术方案，特别是身份凭证的移动应用的详细业务流程，以及相关设备的具体功能和结构。
如图1所示，移动通信设备10的内部组件可包括中央处理单元(centralprocessing unit，CPU)101，移动通信单元102，安全元件(secure element，SE)103，短距通信单元104以及输入/输出单元105，这些内部组件之间可以通过总线连接。
中央处理单元101可用于执行程序指令1011，以实现与移动通信设备10内部的其他组件的交互。中央处理单元101通常是移动通信设备10的核心组件，可以控制或使能其他组件的工作。在具体实现中，中央处理单元101可以是支持某种指令集架构(instructionset architecture，ISA)的处理器。常见的ISA包括以x86为代表的复杂指令集计算(complex instruction set computing，CISC)架构，以及以ARM(Advanced RISC Machine)为代表的精简指令集计算(reduced instruction set computing，RISC)架构。
移动通信单元102可用于提供移动通信能力，以实现与无线接入网11的交互。在具体实现中，移动通信单元102可分为射频(radio frequency，RF)子单元和基带(baseband，BB)子单元。其中，射频子单元主要用于处理射频信号，基带子单元主要用于处理基带信号。射频子单元可包括天线，开关，低噪声放大器，功率放大器，混频器，振荡器，滤波器以及处理器。基带子单元可包括处理器，硬件加速器以及缓存。
安全元件103可用于提供对重要数据的安全存储能力，以防止对重要数据的非授权提取。安全元件103可用于存储以数据形式存在的身份凭证(如eID)，还可以存储其他重要数据，如个人的指纹数据，数字密钥以及数字证书等。在具体实现中，安全元件103通常是芯片，可以是独立的芯片，也可以被集成在系统芯片(system on chip，SoC)内部。集成在SoC芯片内部的安全元件记为集成安全元件(integrated secure element，inSE)。SoC芯片有时也被称为片上系统，集成安全元件有时也被称为内置安全元件。此外，安全元件有时也被称为安全处理单元(secure processing unit，SPU)。
短距通信单元104可用于提供短距离的无线通信能力，以实现与短距离范围内的其他设备的交互，例如从身份证件12中读取凭证信息。在具体实现中，短距通信单元104可包括处理器和短距通信接口电路。
输入/输出单元105可用于提供输入/输出接口，以实现与用户的交互。在具体实现中，输入/输出单元可以包括触摸屏，也可以包括用户页面(user interface，UI)，还可包括话筒，扬声器等其他输入/输入装置。此外，输入/输出单元105还可包括指纹传感器，摄像头等器件。借助于输入/输出单元105，用户可以更好地参与到身份凭证的移动应用的业务流程中。例如，用户可以知晓业务流程中各种操作的提示，对相关操作进行确认，并执行相关操作，如声音信息，指纹信息，以及人脸信息等信息的采集。
应理解，存储器和处理器在上述多个元件中都有分布，在图1中未特别示出。其中，存储器存储器可分为易失性存储器(volatile memory)和非易失性存储器(non-volatilememory，NVM)。易失性存储器是指当电源供应中断后，内部存放的数据便会丢失的存储器。目前，易失性存储器主要是随机存取存储器(random access memory，RAM)，包括静态随机存取存储器(static RAM，SRAM)和动态随机存取存储器(dynamic RAM，DRAM)。非易失性存储器是指即使电源供应中断，内部存放的数据也不会因此丢失的存储器。常见的非易失性存储器包括只读存储器(read only memory，ROM)、光盘、磁盘、固态硬盘以及基于闪存(flash memory，或FLASH)技术的各种存储卡等。
处理器可以是通用处理器，也可以是为特定领域设计的处理器。例如，该处理器可以是CPU，也可以是数字信号处理器(digital signal processor，DSP)。当有需要时，该处理器也可以是微控制器(micro control unit，MCU)，图形处理器(graphics processingunit，GPU)、图像信号处理器(image signal processing，ISP)，音频信号处理器(audiosignal processor，ASP)以及各种用于人工智能(artificial intelligence，AI)应用的处理器，包括但不限于神经网络处理器(neural network processing unit，NPU)，张量处理器(tensor processing unit，TPU)以及被称为AI引擎的处理器。
图2为本申请实施例提供的一种移动通信设备的安全框架的示意图。如图2所示，移动通信设备可包括富执行环境(rich execution environment，REE)，可信执行环境(trusted execution environment，TEE)与安全元件SE三部分应用运行环境。移动通信设备可提供硬件隔离机制，分别为REE、TEE与SE提供各自所属的硬件资源，包括CPU、RAM、ROM、FLASH、总线接口与I/O控制器等，并可分别控制多种外部设备，如触摸屏、键盘、摄像头、NFC、指纹、虹膜设备等。
通过业务使用场景不同，REE、TEE与SE在软件上各成相对独立的体系，从功能上，REE、TEE、SE逐级降低；从安全上，REE、TEE、SE逐级提高。通过REE、TEE、SE三者之间的可控相互访问机制，为移动通信设备提供功能与安全上的全方位服务体系。
其中，REE是移动通信设备上直接面向用户提供支付、通信、娱乐、游戏、社交等各种各样功能的富执行环境，总体目标是以服务用户为主，注重便利、开放、功能强大的用户体验。其组成主要包括：
应用软件层：包括各类应用(application，APP)，如手机银行、手机钱包等。
系统软件层：移动操作系统，提供摄像头、FLASH、触摸屏、蓝牙等相关驱动程序，并基于此向上提供一整套的系统服务、应用服务与管理框架，方便各种类型应用的开发与部署，其中对于支持TEE的移动通信设备，应提供访问TEE的通信驱动和TEE外部应用程序接口(application program interface，API)，支持其上运行的应用访问TEE应用。TEE应用也称为可信应用(trusted application，TA)。
TEE是与REE相隔离的安全区域，通过一组硬件和软件的组合，保证各种敏感数据在其中被安全传输、存储、处理，保证TA执行的机密性、完整性和数据访问权限端到端的安全。TEE的实现可以基于不同的技术，其组成主要包括：
应用软件层：包括各种安全相关的TA，一般与对应REE应用相结合，为用户提供既便捷又安全的用户体验，可信应用以机构部署为主，如指纹、支付、身份认证等应用。
系统软件层：充分利用硬件资源(如CPU、RAM、FLASH、总线等)的可信性，实现受硬件隔离的系统执行环境，具备安全计算及其所属各种安全设备运行的资源调用能力，可提供下述功能：
安全加解密、安全存储、可信用户接口、可信身份认证等各种系统服务；
系统和应用安全的密钥体系；
与REE、SE、外部设备的安全通信机制，并提供相应的访问控制；
提供可信虚拟化层，可支撑多个可信操作系统并存与运行。
SE是移动通信设备上的高安全运行环境，可在硬件与软件层面上防御各种恶意攻击，运行在其上的应用具备高安全性需求，如SE、inSE。其组成主要包括：
应用软件层：包括安全应用，如金融、公交、社保、电信等，应用采用预置或在可信服务管理(trusted service management，TSM)服务器的控制下安全获取与部署。这些安全应用也可以记为小应用(记为Applet)。
系统软件层：运行一种可验证的卡片操作系统，主要提供安全加解密、密钥存储等功能。其中，可以创建一个或多个附属安全域(supplementary security domain，SSD)，该SSD中可以运行Applet。
可信用户接口(trusted user interface，TUI)是TEE为TA提供的与用户输入/输出设备安全交互的界面，保证TA与用户交互的敏感数据免受其他应用或恶意软件的攻击。相对于REE提供的UE，TUI的安全要求更高，例如：
TUI所调用的部件处于工作状态时，可禁止接收REE的访问请求，并且可禁止接收通知事件。当相关部件控制权属于TUI时，可由TEE来决定是否将这些部件的控制权交给REE。TUI可包含安全指示器，通过安全指示器呈现的安全指示信息使用户可识别当前显示的是TEE的界面，而不是REE的界面。TEE可为用户提供设置通用安全指示信息的接口，通用安全指示信息可以是文字、图片、声音等，通用安全指示信息可被TEE中所有TA访问。TEE可为用户提供设置个性化安全指示信息的接口，个性化安全指示信息只可以被TEE中特定的TA访问。
图3为本申请实施例提供的一种身份凭证的移动应用的业务流程的架构示意图。在图1和图2的基础上，图3结合REE、TEE和SE三部分应用运行环境，示意性地给出了身份凭证的移动应用的业务流程的架构。其中，包含SE的Applet或TEE的TA的传输通道，例如从SE的Applet和TEE的TA到无线接入网或NFC的传输通道，相比较直接从REE的APP无线接入网或NFC的传输通道，可认为是安全通道，安全性能更优。该安全通道可以供本申请实施例的身份凭证的移动应用的业务流程使用。
图4为本申请实施例提供的一种身份凭证的申请流程的示意图。应理解，图4中的身份证件(如身份证卡)，移动通信设备(如手机)，互联网(如业务服务器和TSM服务器)，以及认证服务器均可以参考图1、图2和图3及其实施例的介绍。
如图4所示，身份凭证的的申请流程可包括：
S40、移动通信设备获取身份证件的凭证信息；
S42、移动通信设备与互联网以及认证服务器交互，以执行安全验证流程；
S44、移动通信设备与互联网以及认证服务器交互，以执行凭证能力请求和配置流程；
S46、移动通信设备与互联网以及认证服务器交互，以执行凭证信息请求和配置流程。
步骤S40中，移动通信设备获取的身份证件的凭证信息可以是该身份证件的部分凭证信息。该凭证信息既可以是明文信息，也可以是加密后的密码信息。
步骤S40的一些可选的实现方式包括：
移动通信设备通过短距通信单元获取身份证件的凭证信息，例如手机通过NFC接口读取身份证卡的芯片中存储的凭证信息，该凭证信息可以是芯片中存储的部分凭证信息，如身份证号码，或者身份证号码和姓名，并且该凭证信息可以是加密后的密文信息。或者，移动通信设备通过输入/输出单元获取用户输入的身份证件的凭证信息。例如，用户可以通过UI界面输入身份证号码，或者用户使用手机的摄像头对身份证卡进行拍照，或者在手机的存储空间中选择身份证卡的照片，并且该凭证信息可以是明文信息。
步骤S42中，移动通信设备通过与互联网以及认证服务器的交互，所执行的安全验证流程可以包括如下安全验证流程中的一种或多种：
验证该身份证件的凭证信息是否真实。例如，验证身份证号码是否真实，或者，验证身份证号码与姓名是否匹配。
验证该身份证件的凭证信息是否已被其他移动通信设备成功地申请。例如，验证某个身份证号码对应的eID是否已被其他手机成功地申请。
验证该移动通信设备是否已成功地申请了相同类型的其他身份证件的凭证信息。例如验证某个手机是否已成功地申请了其他的身份证号码对应的eID。
这些安全验证流程可以提升身份凭证的移动应用的安全性，例如，验证某个身份证号码对应的eID是否已被其他手机成功地申请，能够保证一个身份证号码对应的eID仅在一个手机上成功地申请，记为“一证一机”。再例如，验证某个手机是否已成功地申请了其他的身份证号码对应的eID，能够保证一个手机上只能成功地申请一个身份证号码对应的eID，记为“一机一证”。因此，“一证一机”和“一证一机”有利于保证身份凭证和移动通信设备的唯一对应，降低身份凭证被他人冒用的风险。
首先，移动通信设备可以通过无线接入网向互联网发送安全请求。其中，该互联网可以包括该移动通信设备的制造或销售厂商(比如大型的手机厂商)提供的业务服务器。该安全请求可以携带步骤S40中获取的身份证件的凭证信息，其中该凭证信息可以是密文信息。该安全请求还可以携带该移动通信设备的标识，其中该标识可以唯一识别该移动通信设备。例如，手机向业务服务器发送的安全请求，该安全请求中携带了身份证号码，姓名以及手机的标识。手机的标识可以是手机的国际移动设备标识(international mobileequipment identity，IMEI)，也可以是手机内置的安全元件的标识，记为SEID。
然后，该业务服务器可以接收该安全请求，并根据该安全请求中携带的身份证件的凭证信息验证该凭证信息是否真实，也可以根据该安全请求中携带的身份证件的凭证信息，验证该凭证信息是否已被其他移动通信设备成功地申请，还可以根据该安全请求中携带的移动通信设备的标识，验证该移动通信设备是否已成功地申请了相同类型的其他身份证件的凭证信息。该业务服务器可以基于该业务服务器的数据库进行上述安全验证流程，该业务服务器还可以通过与认证服务器的进一步交互，参与上述安全验证流程。具体地，该业务服务器可以向认证服务器发送该安全请求，接收来自该认证服务器的安全回复，并向该移动通信设备发送该安全回复。
其中，该安全回复可用于表示上述安全请求是否通过验证，并可在验证未通过情况下，该安全回复中携带验证未通过的原因。或者，在验证通过情况下，该安全回复中携带后续安全验证流程所需的参数，比如认证服务器的数字信封证书，以及与该数字信封证书对应的公钥。其中，该数字信封证书可由认证服务器使用该公钥对应的私钥进行签名，与该私钥对应的公钥携带在安全回复中。该移动通信设备接收到该安全回复后，可以将该安全回复中携带该数字信封证书对应的公钥存储下来，用于后续流程中的加密密钥。为了提供安全性，该数字信封证书对应的公钥可以在移动通信设备的TEE中存储，或者将该数字信封证书对应的公钥存储在移动通信设备的安全元件中。
以手机申请eID为例，业务服务器可以基于该业务服务器的数据库，验证某个身份证号码对应的eID是否已被其他移动通信设备成功地申请，或者验证某个手机是否已成功地申请了其他的身份证号码对应的eID。当该业务服务器基于该业务服务器的数据库，确定某个身份证号码对应的eID已被其他移动通信设备成功地申请，或者，某个手机是否已成功地申请了其他的身份证号码对应的eID，则可以直接向该移动通信设备发送安全回复，无需与认证服务器进一步交互。或者，该业务服务器经过一些安全验证流程，也可以注销之前的eID，重新在该移动通信设备上申请eID。
此后，该认证服务器可以接收该安全请求，并基于该认证服务器的数据库，进行上述安全验证流程，并通过互联网向该移动通信设备发送安全回复。安全回复可用于表示安全验证未通过，并可携带验证未通过的原因。或者，该业务服务器也可以不对该安全请求进行验证，或者在确定某个身份证号码对应的eID未被其他移动通信设备成功地申请，或某个手机未成功地申请了其他的身份证号码对应的eID后，将该安全请求发送给认证服务器，由认证服务器来进行上述安全验证流程。
应理解，业务服务器的数据库可能只涵盖部分数据，而认证服务器的数据库则可以涵盖更多的数据。例如，业务服务器的数据库可能仅包括某一手机厂商制造或销售的手机开通eID的记录数据，而认证服务器的数据库可以包括全部的手机开通eID的记录数据。因此，基于业务服务器的数据库进行上述安全验证流程，可以节省不必要的开销，而基于认证服务器的数据库进行上述安全验证流程，安全性更高。
应理解，图4中步骤S42对应的方框中的安全请求和安全回复仅为示意目的，并不用于限定安全请求和安全回复的次数以及内容。在步骤S42对应的安全验证流程的具体实现中，可以有多条安全请求和多条安全回复，并且两者可以不一一对应，例如一条安全回复可以对应多条安全请求。
在一种可选的实现方式中，在上述一种或多种安全验证流程的基础上，步骤S42中的安全验证流程还包括：
验证该移动通信设备的用户是否为该凭证信息的合法所有者，可记为“真人认证”。例如，验证手机的用户是否为申请某个身份证号码对应的eID的公民。
具体地，移动通信设备可以开启用户生物特征检测，例如使用摄像头采集人脸数据，或使用指纹传感器采集指纹数据，并可调用内部服务接口进行活体检测。其中，在身份凭证的的申请流程中采集的用户生物特征信息(如人脸数据信息或指纹数据信息)可记为凭证申请用户生物特征信息。相对应的，该移动通信设备的解锁流程中采集的用户生物特征信息可记为解锁用户生物特征信息。如果活体检测不通过，和/或，凭证申请用户生物特征信息与该解锁用户生物特征信息不匹配，可以认为“真人认证”失败。反之，如果活体检测通过，或者，凭证申请用户生物特征信息与该解锁用户生物特征信息匹配，或者活体检测通过且凭证申请用户生物特征信息与该解锁用户生物特征信息匹配，则可以认为“真人认证”成功。由移动通信设备完成的“真人认证”可记为“本地真人认证”。其中，凭证申请用户生物特征信息与该解锁用户生物特征信息匹配可以包括：该凭证申请用户生物特征信息为该解锁用户生物特征信息一致，或者，该凭证申请用户生物特征信息为该解锁用户生物特征信息的子集。例如，该凭证申请用户生物特征信息为某个公民的右手食指的指纹信息A，该指纹信息A之前已被该公民的手机采集并用于解锁手机，则认为该凭证申请用户生物特征信息为该解锁用户生物特征信息匹配。或者，该凭证申请用户生物特征信息为某个公民的人脸信息B，人脸信息B之前已被该公民的手机采集并用于解锁手机，则认为该凭证申请用户生物特征信息为该解锁用户生物特征信息匹配。其中，该凭证申请用户生物特征信息和该解锁用户生物特征信息既可以是用户生物特征数据本身(例如指纹数据或人脸数据)，也可以是基于某些数学算法(如哈希算法)生成的用于表征用户生物特征数据的一串数字，记为生物信息唯一号。
“本地真人认证”成功后，该移动通信设备还可以通过安全请求，向认证服务器发送该凭证申请用户生物特征信息。该认证服务器在接收到该凭证申请用户生物特征信息后，可以与认证服务器的数据库中的相关信息(如身份证办理时采集的人脸数据信息或指纹数据信息)进行比对，并可将比对结果通过安全回复发送给该移动通信设备。例如，认证服务器将接收到的人脸数据信息(或指纹数据信息)与认证服务器的数据库中的人脸数据信息(或指纹数据信息)进行比对，当两者信息匹配时，可以认为“真人验证”成功，当两者信息不匹配时，可以认为“真人验证”失败。其中，由认证服务器参与的“真人验证”可记为“远程真人认证”。
应理解，本申请实施例中的“真人验证”可包括：“本地真人认证”；或者，“远程真人认证”，或者，“本地真人认证”和“远程真人认证”。
在上述方案的基础上，为了进一步提高安全性，一种可选的实现方式中，可由移动通信设备的REE中运行的应用软件(记为APP)开启用户生物特征检测，此后由移动通信设备的TEE中运行的应用软件(记为TA)来采集用户生物特征信息，并进行活体检测。在活体检测通过后，使用一个加密秘钥对该用户生物特征信息，或者该用户生物特征信息和活体检测结果，进行加密，得到用户生物特征信息密文。并且，该手机的TA可将已存储的数字信封证书对应的公钥对该加密秘钥进行加密，得到数字信封。此后，该手机的TA可向认证服务器发送该用户生物特征信息密文和数字信封。该认证服务器收到该用户生物特征信息密文和数字信封后，可以先使用该数字信封证书对应私钥解密该数字信封，得到得到该用户生物特征信息密文的加密秘钥，从而获得该用户生物特征信息，或者该用户生物特征信息和活体检测结果。
与传统方案使用APP相比，该可选的实现方式中采用的一些技术手段，例如由手机的TA执行上述操作，或者通过数字信封和加密秘钥两级加密机制，均有利于进一步提高步骤S42的安全验证流程的安全性。
步骤S44中，移动通信设备通过与互联网以及认证服务器的交互，所执行的凭证能力请求和配置流程，可以用于使能移动通信设备的身份凭证的移动应用能力(如存储，传输，以及处理)。例如，手机在刚出厂时不具备身份凭证的移动应用能力，借助于步骤S44中的凭证能力请求和配置流程，能够以在线方式下载和安装身份凭证的移动应用系统，从而具备身份凭证的移动应用能力。当然，步骤S44中的凭证能力请求和配置流程也可以用于更新移动通信设备的身份凭证的移动应用能力。
具体地，移动通信设备可先向互联网(如业务服务器)发送凭证能力请求，该凭证能力请求用于请求下载和安装身份凭证的移动应用系统(如APP，TA，以及Applet中的一种或多种)。该业务服务器接收来自该凭证能力请求后，可以将该凭证能力请求透传给TSM服务器。在此知后，TSM服务器与手机内置的安全元件可经过多轮应用协议数据单元(application protocol data unit，APDU)指令交互，完成身份凭证的移动应用系统的下载和安装。当然，该业务服务器接收来自该凭证能力请求后，也可以直接与手机内置的安全元件经过多轮APDU指令交互，完成身份凭证的移动应用系统的下载和安装。此外，安全元件在个人化过程中可生成公钥秘钥对。
步骤S46中，移动通信设备通过与互联网以及认证服务器的交互，所执行的凭证信息请求和配置流程，可以用于在授权条件下存储凭证信息，例如手机可以在认知服务器的授权下存储eID信息。
具体地，移动通信设备可以先通过互联网(如业务服务器)向认证服务器发送凭证信息请求，该凭证信息请求用于请求身份证件的凭证信息，例如某个身份证号码对应的eID。此后，该认证服务器可以通过互联网(如该业务服务器)向该移动通信设备发送凭证信息配置，该凭证信息配置中可以携带移动通信设备请求的身份证件的凭证信息，如eID。该移动通信设备收到该身份证件的凭证信息(如eID)后，可以将该身份证件的凭证信息(如eID)存储在安全元件中。
例如，手机的安全元件可根据个人化阶段生成的公钥秘钥对，生成凭证签发请求(certificate signing request，CSR)。其中，该CSR可以是上述凭证信息请求的一种示例，该CSR中可包括：eID的载体标识符(如SEID)。此外，该CSR中还可包括：eID证书公钥(记为public_key)，公钥签名(记为eID_sign)，载体编号(记为carrier_sn)，以及载体公钥(记为carrier_pub_key)中的一种或多种信息。认证服务器为该SEID标识的安全元件签发的eID证书和凭证信息，可通过TSM服务器生成的激活参数下发到安全元件。该安全元件中可写入加密身份信息包，脱敏身份信息包，以及数字身份信息。
在上述身份凭证的的申请流程中，业务服务器可保存凭证信息的备份，并可存储该移动通信设备的身份凭证的申请记录。认证服务器也可存储该移动通信设备的身份凭证的申请记录。例如，该移动通信设备的身份凭证的申请记录可以包括：身份证件号码，移动通信设备的标识(如IMEI或SEID)，开通时间，以及身份凭证的类型(如eID)中的一种或多种信息，以便支持“一机一证”和“一证一机”的安全验证流程。
图5为本申请实施例提供的一种身份凭证的认证流程的示意图。图5所示的认证流程可以是线上认证流程的一种示意图。图5所示的线上认证过程可通过移动互联网的传输通道(采用安全通道)进行身份认证，无需任何的线下认证设备辅助，可为互联网业务网站或第三方的业务APP提供线上的身份认证或者业务数字签名。
如图5所示，身份凭证的线上认证流程可包括：
首先、业务APP(可以是政府机构、银行或保险公司的APP)可通过eID APP(身份凭证的APP，如苹果支付，三星支付等手机厂商的支付应用)提供的接口进行身份认证，例如请求用户进行个人签名。当然，也可以是来自互联网的ISP服务器的请求签名。
为了保证签名信息不被篡改，进一步提高线上认证流程的安全性，手机的TA可调用TUI显示待签名信息，提示用户是否对该业务APP的业务进行个人签名。手机使用SE的eID证书私钥对业务请求进行签名可以先经过生物特征采集认证(可使用安全通道)。认证通过后，手机的TA可将生物信息唯一号发送到SE进行比对，为了保证该手机的用户与eID的用户一致，手机的TA可读取记录在SE中的生物特征唯一号(eID的用户)，并与刚采集的生物信息唯一号，以请求签名。如果生物特征唯一号校验通过，则SE对业务数据进行签名，并向TA和eID APP返回签名结果。
可选地，刚采集的生物信息唯一号还可以是解锁手机屏幕锁屏的生物信息唯一号。因此，手机的TA还可读取记录在SE中的生物特征唯一号，并与解锁手机屏幕锁屏的生物信息唯一号进行比对，如果手机的TA匹配到该生物信息唯一号，则证明解锁手机屏幕锁屏的用户与eID的用户为同一人。如果不一致则取消本次认证流程。这可以保证该手机的用户与eID的用户一致。
手机还可根据业务认证级别选择是否进行更多的认证流程，例如选择是否进行活体检测，如需要进行活体检测，还可将用户生物特征信息密文(可选)与SE签名和生物信息唯一号发送给认证服务器进行认证。相关内容也可参考前述的“本地真人认证”，和/或，“远程真人认证”。
图5所示的线上认证流程可以是实人身份证信息的认证，如用户在业务APP的身份认证信息中填充的身份证号及姓名信息，通过SE签名后发送至认证服务器进行验证，属于实名认证。图5所示的线上认证流程也可以是业务APP中产生的实际业务信息，比如公共事务的合约信息，通过SE进行签名，然后发送至认证服务器进行身份认证，此过程并不暴露真实身份信息，属于匿名认证。
图6为本申请实施例提供的另一种身份凭证的认证流程的示意图。图6所示的认证流程可以是线下认证流程(认证设备)的一种示意图。
当手机的eID业务开通后，手机的SE芯片中可保存有身份证对应的凭证信息(eID)，因此，线下认证时可以使用手机进行身份证卡的模拟。线下认证可以由认证设备发起，例如认证设备请求用户的身份签名，也可以由用户通过eID APP主动发起。与图5的线上认证流程类似，手机的TA也可以手机的TA可调用TUI显示待签名信息，生物特征采集认证(可使用安全通道)，请求SE签名等，具体内容可参考图5的线上认证流程中的相关介绍，此处不再赘述。与图5的线上认证流程有所区别，图6的线下认证流程最后可将包含SE签名的凭证信息通过NFC接口发送给认证设备。此后，认证设备可以使用包含SE签名的凭证信息与认证服务器交互，以进行身份验证。
图7为本申请实施例提供的再一种身份凭证的认证流程的示意图。图7所示的认证流程可以是线下认证流程(人员)的一种示意图。
如图所示，当用户需要向其他人员出示凭证信息(如eID)时，可以使用手机的eIDAPP模拟身份证卡，并可脱敏显示凭证信息。例如，工作人员需要查看用户的凭证信息，用户通过手机的eID APP，可经过生物特征采集认证(如指纹验证)，将凭证信息的部分信息脱敏后可以直接展示，例如仅显示用户的年龄是否超过18周岁等脱敏显示。
应当理解，在本申请中，术语“第一”、“第二”、“第三”、“第四”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。此外，术语“包括”和“具有”以及他们的任何变形，意图在于表示不排他的包含，例如，包含了一系列步骤或单元。方法、系统、产品或设备不必仅限于字面列出的那些步骤或单元，而是可包括没有字面列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
应当理解，在本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，用于描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：只存在A，只存在B以及同时存在A和B三种情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指这些项的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b或c中的至少一项(个)，可以表示：a，b，c，“a和b”，“a和c”，“b和c”，或“a和b和c”，其中a，b，c可以是单个，也可以是多个。
应理解，在本申请中，上述身份凭证的业务流程的序号，以及附图的标记的大小并不意味着执行顺序的先后，各操作的执行顺序应以其功能和内在逻辑确定。
在本申请的上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤等)或无线(例如红外、无线电、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，例如，软盘、硬盘和磁带；可以是光介质，例如DVD；也可以是半导体介质，例如固态硬盘(Solid State Disk，SSD)等。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种身份凭证的移动应用方法，其特征在于，包括：
移动通信装置通过eID APP提供的接口采集用户身份证件的凭证信息和用户生物特征信息，其中所述移动通信装置通过运行在可信执行环境TEE中的可信应用TA采集所述用户生物特征信息，所述可信应用TA还调用TUI显示待签名信息，并进行活体检测；
所述移动通信装置通过所述eID APP向服务器发送请求消息，所述请求消息中包含所述用户身份证件的凭证信息和所述用户生物特征信息，所述凭证信息包括安全元件SE的签名信息、所述生物特征唯一号中至少一个；
所述移动通信装置接收来自所述服务器的配置消息，以在线方式下载和安装身份凭证的移动应用系统，并使能具备或者更新移动通信设备的身份凭证的移动应用能力，所述配置消息中包含所述用户身份证件对应的电子身份证eID信息，所述使能具备或者更新移动通信设备的身份凭证的移动应用能力具体包括：所述移动通信设备向业务服务器发送凭证能力请求，以用于请求下载和安装身份凭证的移动应用系统，所述移动应用系统包括所述可信应用TA或者安全元件SE的Applet，所述安全元件SE与TSM服务器多轮应用协议数据单元APDU指令交互，以完成身份凭证的移动应用系统的下载和安装，同时所述安全元件SE在个人化过程中生成公钥秘钥对，其中所述TSM服务器自所述业务服务器接收透传的所述凭证能力请求后与所述安全元件SE执行指令交互，或者所述业务服务器在接收到所述凭证能力请求后直接与所述安全元件SE执行指令交互；
所述移动通信装置在所述移动通信装置内部的安全元件中存储所述eID信息。
2.根据权利要求1所述的方法，其特征在于：
所述可信应用TA包括手机厂商的支付应用。
3.根据权利要求1至2中任一所述的方法，其特征在于：
所述用户身份证件的凭证信息包括所述用户身份证件的身份证号码，所述用户生物特征信息包括人脸数据信息。
4.根据权利要求3所述的方法，其特征在于：
所述人脸数据信息包括基于哈希算法生成的用于表征用户生物特征数据的一串数字。
5.根据权利要求4所述的方法，其特征在于：
所述用户生物特征信息为所述用户生物特征信息密文，所述请求消息中还包含数字信封，所述数字信封以密文方式携带了所述用户生物特征信息密文的加密秘钥。
6.根据权利要求5所述的方法，其特征在于：
所述请求消息中还包括所述移动通信装置的标识。
7.根据权利要求6所述的方法，其特征在于：
所述移动通信装置为手机，所述移动通信装置的标识为手机的国际移动设备标识IMEI。
8.根据权利要求6所述的方法，其特征在于：
所述移动通信装置为手机的系统芯片，所述移动通信装置的标识为手机的系统芯片内部的安全元件的标志。
9.根据权利要求8所述的方法，其特征在于，还包括：
所述移动通信装置在线下认证流程，以脱敏方式提供所述eID信息的部分信息。
10.一种移动通信装置，其特征在于，包括：
安全元件，处理器，以及存储器；
其中，所述存储器用于存储程序指令，所述程序指令被所述一个或多个处理器执行时，使得所述移动通信装置执行如上述权利要求1至9中任一所述的方法。
11.一种计算机可读存储介质，其特征在于
所述计算机可读存储介质中存储了程序代码，所述程序代码被计算机或处理器执行时，实现如上述权利要求1至9中任一所述的方法。
12.一种身份凭证的移动应用系统，其特征在于，包括：
移动通信装置和服务器；其中，
所述移动通信装置用于执行如上述权利要求1至9中任一所述的方法；
所述服务器用于接收来自所述移动通信装置的所述请求消息，并向所述移动通信装置发送所述配置消息。
CN201910816167.8A 2018-08-30 2019-08-30 一种身份凭证的移动应用方法、装置及系统 Active CN110876144B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2018110057112 2018-08-30
CN201811005711 2018-08-30

Publications (2)

Publication Number Publication Date
CN110876144A CN110876144A (zh) 2020-03-10
CN110876144B true CN110876144B (zh) 2023-07-11

Family

ID=69717744

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910816167.8A Active CN110876144B (zh) 2018-08-30 2019-08-30 一种身份凭证的移动应用方法、装置及系统

Country Status (1)

Country Link
CN (1) CN110876144B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111585966A (zh) * 2020-04-08 2020-08-25 北京科蓝软件系统股份有限公司 一种端、管、云一体化互联网可信展业安全系统
CN113255862A (zh) * 2021-05-20 2021-08-13 中国联合网络通信集团有限公司 电子证件生成方法、装置、设备及存储介质
CN113779534B (zh) * 2021-09-02 2024-02-23 广州大白互联网科技有限公司 一种基于数字身份的个人信息提供方法和业务平台
CN114095211B (zh) * 2021-10-29 2023-08-22 新大陆（福建）公共服务有限公司 一种可信数字身份人员核验方法与系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103684775A (zh) * 2012-08-31 2014-03-26 Nxp股份有限公司 认证系统和认证方法
CN105184725A (zh) * 2015-09-28 2015-12-23 公安部第一研究所 一种基于电子法定身份证件实体证生成的网络映射证件
CN106790070A (zh) * 2016-12-21 2017-05-31 杨宪国 基于鉴权装置的电子身份证认证服务系统
CN108122112A (zh) * 2017-12-14 2018-06-05 杨宪国 基于鉴权装置的电子身份证签发认证和安全支付系统
CN108389049A (zh) * 2018-01-08 2018-08-10 北京握奇智能科技有限公司 身份认证方法、装置以及移动终端

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9646150B2 (en) * 2013-10-01 2017-05-09 Kalman Csaba Toth Electronic identity and credentialing system

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103684775A (zh) * 2012-08-31 2014-03-26 Nxp股份有限公司 认证系统和认证方法
CN105184725A (zh) * 2015-09-28 2015-12-23 公安部第一研究所 一种基于电子法定身份证件实体证生成的网络映射证件
CN106790070A (zh) * 2016-12-21 2017-05-31 杨宪国 基于鉴权装置的电子身份证认证服务系统
CN108122112A (zh) * 2017-12-14 2018-06-05 杨宪国 基于鉴权装置的电子身份证签发认证和安全支付系统
CN108389049A (zh) * 2018-01-08 2018-08-10 北京握奇智能科技有限公司 身份认证方法、装置以及移动终端

Also Published As

Publication number Publication date
CN110876144A (zh) 2020-03-10

Similar Documents

Publication Publication Date Title
CN110876144B (zh) 一种身份凭证的移动应用方法、装置及系统
EP2941729B1 (en) Protection and confidentiality of trusted service manager data
CA2968051C (en) Systems and methods for authentication using multiple devices
US9380058B1 (en) Systems and methods for anonymous authentication using multiple devices
CN110826043B (zh) 一种数字身份申请系统及方法、身份认证系统及方法
US20190165947A1 (en) Signatures for near field communications
JP5844471B2 (ja) インターネットベースのアプリケーションへのアクセスを制御する方法
RU2621625C2 (ru) Способ генерации открытого идентификатора для аутентификации индивидуума, держателя объекта идентификации
CN110166246A (zh) 基于生物特征的身份注册、认证的方法和装置
CN109039652B (zh) 一种数字通证的生成及应用方法
CN108965250B (zh) 一种数字证书安装方法及系统
CN105960774A (zh) 近场通信认证机制
CN109146468B (zh) 一种数字通证的备份与恢复方法
CN105701420B (zh) 一种用户数据的管理方法及终端
JP2019517229A (ja) ポータブル電子デバイスと関連したデジタルシークレットの生成、格納、管理および使用のためのシステムおよび方法
US20230091318A1 (en) System and method for pre-registration of fido authenticators
CN107113613A (zh) 服务器、移动终端、网络实名认证系统及方法
CN107358118A (zh) Sfs访问控制方法及系统、sfs及终端设备
US11368849B1 (en) Subscriber identification module (SIM) authentication protections
US20170257364A1 (en) Systems and methods for authentication using authentication votes
CN110287725A (zh) 一种设备及其权限控制方法、计算机可读存储介质
WO2017003651A1 (en) Systems and methods for anonymous authentication using multiple devices
Hastings et al. Considerations for identity management in public safety mobile networks
EP4210273A1 (en) User terminal and authentication execution device for performing pseudonym 2-factor authentication, and operating method therefor
CN115860017A (zh) 一种数据处理方法和相关装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant