CN111095246B

CN111095246B - 用于认证用户的方法和电子设备

Info

Publication number: CN111095246B
Application number: CN201880059359.2A
Authority: CN
Inventors: 克里斯蒂安·格尔曼; 彼得·阿尔默斯; 史蒂文·波普; 马克·鲁瓦尔德·彼得森; 安德斯·厄斯特高·尼尔森
Original assignee: Fingerprint Cards AB
Current assignee: Fingerprint kaana Kadun Intellectual Property Co.,Ltd.
Priority date: 2017-09-20
Filing date: 2018-09-11
Publication date: 2021-05-07
Anticipated expiration: 2038-09-11
Also published as: EP3655874A4; US10963552B2; US20200387589A1; EP3655874A1; CN111095246A; EP3655874B1; WO2019059827A1

Abstract

本公开内容总体上涉及用于借助于电子设备认证用户的方法，其中，电子设备包括适于处理来自生物计量传感器的生物计量表示的第一控制单元和第二控制单元。优选地，第二控制单元包括适于提供安全处理环境的安全元件和/或安全块。本公开内容还涉及相应的电子设备和计算机程序产品。

Description

用于认证用户的方法和电子设备

技术领域

背景技术

识别和/或认证用户身份的生物计量技术的使用日益增加。为其使用而推动的生物计量技术包括语音、指纹、虹膜、静脉图案及其他扫描。目前，使用指纹传感器以捕获指纹例如由于以下原因已被证明特别有前景：指纹传感器易于与不同类型的电子设备诸如智能电话、手表、平板电脑或个性化用户交互是有利的任何其他类型的电子设备集成。还提出将这样的指纹传感器与智能卡系统集成，可以消除例如在执行财务交易时需要用户输入PIN码。

然而，由于上述电子设备的移动性，总是存在电子设备落入“坏人手中”并且/或者面临例如黑客攻击的风险，黑客攻击旨在篡改或以其他方式影响生物计量和/或认证过程。

为了抵制这样的尝试，继续尝试改进所应用的生物计量和/或认证过程。然而，这样的尝试通常导致复杂的计算处理，从而增加了为电子设备配备更快和计算上更强大的处理环境的需求。

在期望高安全性和计算上强大的处理环境的上述类型的电子设备的一些实现方式中，已经提出将计算性能“分割”为两部分，第一部分是高性能环境，而第二部分是高安全性环境。高性能环境通常具有较高的计算性能但安全性较低。相应地，高安全性环境，例如包括所谓的安全元件，通常具有较高的安全性但计算性能较低。

在US9536131中公开了这样的实现方式的示例。US9536131公开了将用于执行指纹认证所需的计算资源在第一处理单元与第二处理单元之间分配，第一处理单元提供上述高性能环境，而第二处理单元提供上述高安全性环境。根据US9536131，高性能第一处理单元用于执行所获取的用户的指纹图像与要被认证的用户的手指的预先记录的指纹模板之间的比较过程。

遗憾的是，US9536131中提出的解决方案通过如何将计算处理如何在第一处理单元与第二处理单元之间分配而引入了一些可能的安全风险。

发明内容

鉴于现有技术的上述问题，本公开内容的目的是：为在使用包括如上所示的“不安全”和“安全”处理环境两者的混合处理环境时的生物计量认证提供一种改进的解决方案。特别地，本发明人已经发现，可以期望利用两个分离且不相交的模板(下面定义为第一(公开)生物计量模板和第二(保密)生物计量模板)来匹配用户的候选生物计量表示，该生物计量表示例如从用户的捕获的指纹、虹膜或面部得到。

根据本公开内容的一方面，因此提供了一种使用电子设备认证用户的方法，该电子设备包括适于提供具有第一安全水平的处理环境的第一控制单元以及适于提供具有第二安全水平的处理环境的第二控制单元，其中，第二安全水平高于第一安全水平，其中，该方法包括以下步骤：接收候选生物计量表示；使用第一控制单元基于候选生物计量表示确定第一组生物计量元素；使用第一控制单元确定第一组生物计量元素的至少一部分和与第一控制单元相关联地存储的第一生物计量模板之间的第一匹配水平；形成第二组生物计量元素，其中，第二组生物计量元素包括第一组生物计量元素中的选择的生物计量元素，其中，第一组生物计量元素中的选择的生物计量元素均具有高于第一阈值的第一匹配水平；使用第一控制单元确定第二组生物计量元素的映射信息；在第二控制单元处接收第二组生物计量元素和映射信息；使用第二控制单元确定第二组生物计量元素的至少一部分和与第二控制单元相关联地存储的第二生物计量模板之间的第二匹配水平，其中，该确定还基于映射信息；以及如果第二组生物计量元素中的预定的选择的生物计量元素的第二匹配水平高于第二阈值，则认证用户，其中，第一生物计量模板包括用户的生物计量特征的第一部分描述，第二生物计量模板包括用户的相应生物计量特征的第二部分描述，第一部分描述至少部分地不同于第二部分描述。

本公开内容背后的主要构思在于指纹认证过程的改进的分割，其中，指纹认证过程的一些部分由第一控制单元执行，而指纹认证过程的一些其他部分由第二控制单元执行。根据本公开内容，第二控制单元适于具有比第一控制单元更高的安全水平。因此，在优选实施方式中，第一控制单元适于提供比第二控制单元更高的性能环境。另外，在本公开内容的可行实施方式中，第二控制单元是安全处理器，包括安全元件并且/或者包括适于提供安全处理环境的安全块。

通过本公开内容，第一控制单元将优选地处理从使用生物计量传感器捕获的候选生物计量表示中提取相关生物计量数据的全过程，从而确定第一组生物计量元素。这样的数据可以例如包括生物计量表示中包含的可识别特征。

第一控制单元还被布置成与适于存储第一生物计量模板的特定形式的存储元件通信(“相关联”)，其中，第一生物计量模板包括与用户的先前登记的生物计量表示相关的数据。第一生物计量模板中包含的数据对应于从生物计量表示中提取的第一组生物计量元素，并且被布置成用于与第一组生物计量元素进行比较。

根据本公开内容，使用第一控制单元将第一组生物计量元素与第一生物计量模板进行匹配，并且为第一组生物计量元素的至少一部分确定匹配水平。随后，将第一组生物计量元素的至少一部分的匹配水平与第一阈值进行比较，其中，第一组生物计量元素中的选择的生物计量元素通常被认为具有高于第一阈值的匹配水平，进而形成第二组生物计量元素。

除形成第二组生物计量元素之外，第一控制单元还适于确定至少用于第二组生物计量元素的映射信息。映射信息可以例如包括与第二组生物计量元素相关的几何信息，例如，第二组生物计量元素中的每个在候选生物计量表示中“位于”何处的指示或估计，或者被定义为提供有第二组元素与第二生物计量模板之间的关系(有序集)。映射信息还可以包括第二组生物计量元素中的每个在候选生物计量表示中的取向的指示或估计。

根据本公开内容，优选的是，第一生物计量模板与第二生物计量模板不相交。因此，根据上述讨论，优选的是，第一生物计量模板没有用于允许与映射信息的比较或相关性处理的相关信息。更准确地，将映射信息与第二生物计量元素一起提供给要执行这样的比较或相关性的第二控制单元。

具体地，根据本公开内容，在第二控制单元处使用第二组生物计量元素和映射信息以用于确定第二匹配水平(针对第二组生物计量元素中的每个)。映射信息可以优选地用于减少执行第二组生物计量元素与第二生物计量模板之间的匹配所需的处理时间。

然后，将第二组生物计量元素的至少一部分的第二匹配水平与第二阈值进行比较。如果所呈现的用户是真实的用户，则该比较将导致至少足够数量的高于第二阈值的第二组生物计量元素。如果高于第二阈值的第二组生物计量元素的数量由第二控制单元认为是“足够的”，则可以认证用户。

在用户被成功认证的情况下，根据本公开内容，可以允许执行至少一个动作。这样的动作例如可以是，例如在电子设备是移动电话或平板电脑(解锁)的情况下，电子设备允许用户使用电子设备执行进一步的操作。当然，所述至少一个动作可以是需要生物计量认证的任何类型的合适动作，诸如，在电子设备例如是智能卡的情况下，允许处理财务交易。

本发明具有的优点具体包括减少了成功执行生物计量认证过程所需的处理时间。具体地，根据本公开内容，初始选择过程与映射信息的形成(在不安全处理环境中)一起发生，映射信息随后将在最终认证过程中使用，其中，映射信息优选地以如下方式被构造，该方式使得认证过程的第二步骤(在安全处理环境中)从计算角度来看可以以快速且有效的方式被执行。

另外，通过本公开内容，可以允许实现具有高计算要求的高级认证过程，同时仍然确保认证过程与现有技术相比具有高安全性和低风险的有效黑客攻击。除了上述之外，当然应当理解，认证过程的一般分割在安全处理环境的计算能力由于成本和/或存储/存储器原因而被限制的电子设备的实现方式中也可能非常有用，例如关于智能卡实现方式。

在本公开内容的上下文中，表述“控制单元”应当被理解为包括任何类型的计算设备，诸如ASIC、微处理器等。还应当理解，这样的控制单元的实际实现方式可以在不止一个元件/器件/电路之间分配，仍统称为控制单元。优选地，第二控制单元被布置成与第一控制单元分开。

在本公开内容的一个示例性实施方式中，第一控制单元连接至生物计量传感器并且被配置成控制生物计量传感器的操作。在一个实施方式中，生物计量传感器是指纹传感器。指纹传感器可以被实现成使用任何种类的当前或将来的指纹感测原理，包括例如电容式、光学、热或超声波感测技术及其组合。一维传感器和二维传感器都是可以的并且在本公开内容的范围内。

当生物计量传感器是指纹传感器时，应当理解，生物计量表示应当被广泛地解释，并且可以包括用户手指的指纹图案的表示或者指纹图像。然而，应当理解，生物计量表示应当被广泛地解释，并且可以包括手指指纹的任何或全部常规“可视图像”以及在使用指纹传感器获取时与手指相关的一组测量、或者包含在这样的图像中的信息的任何其他数字表示。可以随后获取多个指纹表示/图像并将其融合在一起，其中，得到的信息用作用于确定相关或重要特征信息的输入。

在本公开内容的另一实施方式中，生物计量传感器可以例如适用于捕获用户的虹膜和面部至少之一的表示。这样的传感器可以包括适用于捕获用户的虹膜或面部的可识别用户不同特征的相机或特别适合的传感器装置。

根据本公开内容，电子设备还可以适用于处理用于确定第一生物计量模板和第二生物计量模板的登记过程。在一个实施方式中，外部(电子)登记设备可以连接至电子设备，并且适用于生成和传送第一模板和第二模板以存储在与第一控制单元和第二控制单元相关地设置的相关计算机存储器内。

在替选实施方式中，可以允许使用第一控制单元执行第一生物计量模板和第二生物计量模板的确定，其中，第二生物计量模板从第一控制单元传送至第二控制单元以与第二控制单元相关联地存储，并且第二生物计量模板从第一控制单元擦除。这样的实现方式在某些情况下可以被认为是可靠的，即使第二生物计量模板在第一控制单元处至少短暂地可用。该实施方式在如下情况中特别有用：第二控制单元处可用的处理能力被认为对于执行登记过程“太低”，同时不会由于“太长”等待时段而极大地损害用户体验。

作为替选，提供更高的安全水平，可以使用第二控制单元来执行第一模板和第二模板的确定，并且第一生物计量模板从第二控制单元传送至第一控制单元以与第一控制单元相关联地存储。如所理解的，如果与前面的实施方式相比，在该实施方式中，第二生物计量模板将“从未”离开由第二控制单元提供的安全处理环境。

根据本公开内容的另一方面，提供了一种电子设备，包括被配置成用于捕获用户的候选生物计量表示的生物计量传感器，适于提供具有第一安全水平的处理环境的第一控制单元，以及适于提供具有第二安全水平的处理环境的第二控制单元，其中，第二安全水平高于第一安全水平，其中，电子设备适于：从生物计量传感器接收候选生物计量表示；使用第一控制单元基于候选生物计量表示确定第一组生物计量元素；使用第一控制单元确定第一组生物计量元素的至少一部分和与第一控制单元相关联地存储的第一生物计量模板之间的第一匹配水平；形成第二组生物计量元素，其中，第二组生物计量元素包括第一组生物计量元素中的选择的生物计量元素，其中，第一组生物计量元素中的选择的生物计量元素均具有高于第一阈值的第一匹配水平；使用第一控制单元确定第二组生物计量元素的映射信息；在第二控制单元处接收第二组生物计量元素和映射信息；使用第二控制单元确定第二组生物计量元素的至少一部分和与第二控制单元相关联地存储的第二生物计量模板之间的第二匹配水平，其中，该确定还基于映射信息；以及如果第二组生物计量元素的预定的选择的生物计量元素的第二匹配水平高于第二阈值，则认证用户，其中，第一生物计量模板包括用户的生物计量特征的第一部分描述，第二生物计量模板包括用户的相应生物计量特征的第二部分描述，第一部分描述至少部分地不同于第二部分描述。本公开内容的这个方面提供了与上面关于本公开内容的先前方面所讨论的类似的优点。

根据本公开内容，电子设备优选地是移动电话、平板电脑、可穿戴电子设备和智能卡至少之一。

根据本公开内容的另一方面，提供了一种包括非暂态计算机可读介质的计算机程序产品，非暂态计算机可读介质上存储有用于操作电子设备的计算机程序配置，该电子设备包括被配置成用于捕获用户的候选生物计量表示的生物计量传感器，适于提供具有第一安全水平的处理环境的第一控制单元，以及适于提供具有第二安全水平的处理环境的第二控制单元，其中，第二安全水平高于第一安全水平，其中，计算机程序产品包括：用于从生物计量传感器接收候选生物计量表示的代码；用于使用第一控制单元基于候选生物计量表示确定第一组生物计量元素的代码；用于使用第一控制单元确定第一组生物计量元素的至少一部分和与第一控制单元相关联地存储的第一生物计量模板之间的第一匹配水平的代码；用于形成第二组生物计量元素的代码，其中，第二组生物计量元素包括第一组生物计量元素中的选择的生物计量元素，其中，第一组生物计量元素中的选择的生物计量元素均具有高于第一阈值的第一匹配水平；用于使用第一控制单元确定第二组生物计量元素的映射信息的代码；用于在第二控制单元处接收第二组生物计量元素和映射信息的代码；用于使用第二控制单元确定第二组生物计量元素的至少一部分和与第二控制单元相关联地存储的第二生物计量模板之间的第二匹配水平的代码，其中，该确定还基于映射信息；以及用于在第二组生物计量元素中的预定的选择的生物计量元素的第二匹配水平高于第二阈值的情况下认证用户的代码，其中，第一生物计量模板包括用户的生物计量特征的第一部分描述，第二生物计量模板包括用户的相应生物计量特征的第二部分描述，第一部分描述至少部分地不同于第二部分描述。此外，本公开内容的这个方面提供了与上面关于本公开内容的先前方面所讨论的类似的优点。

本公开内容的其他特征和优点在研究所附权利要求书和以下描述时将变得明显。技术人员认识到，在不脱离本公开内容的范围的情况下，可以对本公开内容的不同特征进行组合以创建除以下描述的实施方式之外的实施方式。

附图说明

根据以下详细描述和附图将容易理解本公开内容的各个方面，包括其具体的特征和优点，在附图中：

图1A和图1B示意性地例示了根据本公开内容的不同电子设备，其形式为包括集成指纹传感器的移动电话和智能卡；

图2示意性地示出了包含在图1A或图1B的电子设备中的指纹传感器阵列；

图3概念性地示出了根据本公开内容的当前优选实施方式的电子设备的示例性实现方式；

图4示出了用图3所示的电子设备进行生物计量登记的不同流程；

图5示出了用图3所示的电子设备进行生物计量认证的示例性流程；以及

图6是公开了本公开内容的示例性步骤的流程图。

具体实施方式

现在将在下文中参照附图更全面地描述本公开内容，在附图中，示出了本公开内容的当前优选实施方式。然而，本公开内容可以以许多不同的形式实施，并且不应被解释为限于本文所阐述的实施方式；相反，这些实施方式是为了透彻性和完整性而提供，并且向技术人员充分传达了本公开内容的范围。相同的附图标记始终指代相同的元素。

现在转到附图，特别是图1A，示意性地示出了根据本公开内容的电子设备的第一示例，其形式为具有集成指纹传感器102和带有触摸屏界面106的显示单元104的移动电话100。在该实施方式中，指纹传感器102和显示单元104一起布置在移动电话100的前侧。指纹传感器102可以例如用于解锁移动电话100和/或用于授权使用移动电话100执行的交易等。指纹传感器102也可以放置在移动电话100的背面。

优选地并且对于技术人员明显的是，图1所示的移动电话100还包括用于WLAN/Wi-Fi通信的第一天线、用于电信通信的第二天线、麦克风、扬声器和电话控制单元。另外的硬件元件当然可能包括在移动电话内。此外，应当注意，本公开内容可以应用于任何其他类型的便携式电子设备，诸如便携式电脑、远程控制、平板计算机，或者任何其他类型的当前或将来类似配置的设备。

在图1B中，示出了根据本公开内容的电子设备的第二示例，其形式为智能卡100’，集成了包括例如相应的指纹传感器102以及至少一个控制单元装置108的指纹感测系统，相应的指纹传感器102包括多个感测元件并且被配置成用于捕获用户手指的指纹图案的指纹表示，至少一个控制单元装置108连接至指纹传感器102并且被配置成控制指纹传感器102的操作。在该实施方式中，指纹传感器102布置在智能卡100’的前侧。然而，指纹传感器102可以作为替选(或者附加地)设置在智能卡100’的背面。指纹传感器102例如可以用于在执行支付/交易时对用户进行认证，例如，一旦用户的手指已经登记，就允许智能卡100’与例如POS终端进行交互。此外，智能卡100’可以集成电连接到至少控制单元108的多个接触垫110，可以允许如果智能卡100’被插入到POS终端302中设置的卡槽中/当智能卡100’被插入到POS终端302中设置的卡槽中时提供与POS终端的有线连接。

另外，在一些实施方式中，智能卡100’还可以包括用户接口，例如与智能卡载体100集成并被布置成与控制单元108电连接的光源112(例如，发光二极管、LED)。此外，智能卡100’优选地包括用于允许与POS终端的无线交互的装置(未示出)，例如适用于允许智能卡100’与POS终端之间的近场通信(NFC)。因此，在使用无线通信时，用户不需要将智能卡100’插入到POS终端的卡槽中。智能卡100’与POS终端之间的NFC连接还可以用于以被技术人员称为能量收集的方式向智能卡100’提供电力。

控制单元装置108优选地布置成与存储器通信或者包括存储器，上述存储器是诸如数据库，例如用于存储针对用户的一个或多个手指的一个或多个指纹模板。控制单元装置108可以包括微处理器、微控制器、可编程数字信号处理器或其他可编程器件。控制单元装置108可以附加地或替代地各自包括专用集成电路、可编程门阵列或可编程阵列逻辑、可编程逻辑器件或数字信号处理器。

在控制单元装置108包括如上所述的诸如微处理器、微控制器或可编程数字信号处理器的可编程器件的情况下，处理器还可以包括控制可编程器件的操作的计算机可执行代码。应当理解，借助于控制单元装置108提供的功能的全部或一些部分可以至少部分地与生物计量传感器例如指纹传感器102集成。关于本公开内容，由控制单元装置108执行的处理在至少第一控制单元与第二控制单元之间部分地分离，这将在下面结合图3进一步详尽阐述。

进一步参照图2，概念性地示出了指纹传感器102的一定程度放大的视图。在采用电容式感测技术的情况下，指纹传感器102被配置成包括优选地被布置为二维阵列的大量的感测元件。二维阵列可以具有取决于计划的实现方式的尺寸并且在实施方式中使用160×160像素。当然，其他尺寸也是可以的并且在本公开内容的范围内，包括与上述示例相比具有较少像素的二维阵列。单个感测元件(也表示为像素)在图2中由附图标记202表示。然而，如上所示，应当理解，本公开内容还可以应用于其他类型的指纹感测技术，例如光学、热、超声波等及其组合。一维传感器和二维传感器二者都是可以的并且在本公开内容的范围内。

还应当理解，如根据本公开内容提供的构思可以使用其他形式的生物计量传感器来形成用户的生物计量表示。这样的其他类型的传感器可以例如包括用于捕获用户的虹膜或面部的相机。用于捕获用户的虹膜和/或面部的其他特别适合的传感器系统也是可以的并且在本公开内容的范围内。

现在转到图3，其中，概念性地示出了根据本公开内容提供的构思的总体可能实现方式。图3所示的示例通常可以应用于如图1A和图1B所示的电子设备100、100’的示例两者，例如可应用于移动电话和智能卡示例二者。

如上所指示的，与电子设备100、100’设置的控制单元装置108包括第一108A和第二108B控制单元。第二控制单元108B被配置成具有比由第一控制单元108A提供的安全水平更高的安全水平。如上所述，第二控制单元108B优选地是安全处理器，包括安全元件并且/或者包括适于提供安全处理环境的安全块。还应当理解，在一些实施方式中，第一控制单元108A与第二控制单元108B之间的通信可以被加密。

在结合图6在图3提供的示例中，生物计量传感器是指纹传感器102，其中，指纹传感器102通信上耦接至第一控制单元108A，允许在第一控制单元108A处从指纹传感器102接收S1用户手指的指纹表示。一旦生物计量表示，在图3中为指纹表示，在第一控制单元108A处可获得，第一控制单元108A将根据指纹表示来确定S2，第一组生物计量元素(例如，指纹特征)。

第一控制单元108A还实现用于确定S3，第一组生物计量元素与公开指纹模板(第一生物计量模板)之间的第一匹配水平的过程，公开指纹模板用在第一控制单元108A中包括的存储元件302存储。存储元件可以例如被实现用于公开模板的非易失性存储。

基于该确定，第一控制单元108A形成S4，第二组生物计量元素，其中，第二组生物计量元素包括选择的第一组生物计量元素，其中，选择的第一组生物计量元素均具有高于第一阈值的第一匹配水平。第一阈值可以是固定的或者例如基于针对电子设备100/100’设置的安全水平可调整。第一控制单元108A还实现用于确定S5，第二组生物计量元素的映射信息的过程。下面结合图5进一步详尽阐述用于确定映射信息的过程。

一旦第二组生物计量元素和映射信息的确定已经由第一控制单元108完成，该信息就从第一控制单元108A传送并由第二控制单元108B接收S6。如上所指示的，信息可以以加密形式或在加密信道上传送。

然后，第二控制单元108B将使用所接收到的信息来确定S7，第二组生物计量元素与第二生物计量模板之间的第二匹配水平，第二生物计量模板用在第二控制单元108B中包括的存储元件304存储。该步骤还利用映射信息以使得用于执行确定过程所需的时间进一步减少。

随后，第二控制单元108B将在认证S8，用户的步骤中检查第二组生物计量元素的所确定的第二匹配水平。具体地，第二控制单元108B将确定至少预定数量的第二组生物计量元素是否具有高于第二阈值的匹配水平。一旦被认证，就可以允许用户例如解锁移动电话100或使用智能卡100’执行财务交易(或任何其他类型的交易)。

现在转到图4和图5，提供了关于用户的生物计量登记和认证的进一步详尽阐述。当处理用户的生物计量表示时，该处理可以例如被实现成首先检测“关注点”(PI)，然后使用可以表示为“点描述符”(PD)(或仅“描述符”)的描述符来计算那些点周围的小区域的二进制表示。“模板”由这些点的几何位置连同这些点的PD组成，上述几何位置定义为“x、y”几何位置或“点位置”(PP)。另外，遍及全文使用以下术语和符号：

·PD＝pd₁，pd₂，…，pd_n：点描述符向量。

·PP＝pp₁，pp₂，…，pp_n：点位置向量。

·模板：从生物计量样本(例如，指纹图像)提取的特征/数据的数学表示。

·T：登记的生物计量模板。

·T’：生物计量认证“候选”模板(有时称为验证模板)。

·F₁(K，T)＝Ts：不可逆函数(变换)，采用变换参数K和模板T作为输入并且给出变换后的“秘密模板”Ts作为输出。

·F₂(K，T)＝Tr：如上面的第二不可逆变换，但是其输出是变换后的“公开模板”Tr。

·F’₂(T’)＝Tr’：变换函数，根据捕获的候选模板创建公开候选模板。

·M(Tr，Tr’)＝M＝M₁，M₂，…，M_n：匹配函数，仅对公开模板进行操作以给出特定形式的“匹配数据”。

·R(T’，M)＝(T”，M’)：“简化函数”，采用候选模板T’和匹配数据M作为输入并且返回“简化的”候选模板T”以及简化的匹配数据向量M’＝M_i1，M_i2，…，M_ik，k<＝n(其中，M_i是创建M’的输入)。

·Br(Tr，T’，M’)：第一二进制匹配函数，采用公开生物计量模板Tr、生物计量候选T’和匹配向量M’作为输入并且给出二进制决策、接受/拒绝作为输出。

·Bs(Ts，T”，M’)：第二二进制匹配函数。该函数对秘密模板Ts、简化的候选模板T”和简化的匹配数据向量M’进行操作。同样，决策仅是匹配或非匹配。注意：它还可能需要用于创建Ts的变换参数K。

·S＝(s₁，s₂，…，s_n)：匹配得分向量。

如上所述，可以允许根据多个不同的替选实施方式生物计量地登记用户，所有这些实施方式都在本公开内容的范围内。在图4中，提供了用于生物计量登记的三种不同方法的图示。具体地，用于生物计量登记的三种不同方法可以概括为：

1.在认证设备处理单元外部计算Ts和Tr，并且在登记期间将Ts和Tr传送至单元。

2.Ts和Tr的计算在不安全处理环境中进行，并且Tr被保存在不安全处理环境处的非易失性存储器中，而Ts被传送至安全处理环境以永久存储在非易失性存储器中。计算完成之后，用于计算的所有模板数据从内部存储器中擦除。

3.登记的模板T被传送至安全处理环境，然后该安全处理环境计算Ts和Tr，然后将Ts存储在其内部安全存储器中，而Tr被传送至不安全处理环境以存储在非易失性存储器中。

然而，应当理解，另外的方法可能是可以的并且在本公开内容的范围内。

现在转到图5，提供了根据本公开内容的用户的生物计量认证的详细且详尽阐述的示例。图5所示的步骤可以概括为如下：

1.用户呈现由第一控制单元108A处理的用户的生物计量数据。

2.第一控制单元108A提取生物计量模板候选：T’。

3.第一控制单元108A计算：Tr’＝F’₂(T’)。

4.第一控制单元108A从存储器302加载Tr。

5.第一控制单元108A计算：M＝M(Tr，Tr’)。

6.第一控制单元108A计算：(T”，M’)＝R(T’，M)。

7.第一控制单元108A将(T”，M’)发送至第二控制单元108B以进行最终匹配。

8.第二控制单元108B从存储器304加载Ts。

9.第二控制单元108B计算Bs(Ts，T”，M’)并且仅在匹配的情况下接受用户为被认证。

应当理解，如上所述的认证过程可以以一定程度不同的方式来实现。因此，下面的描述概述了三个可行实施方式，所有这些实施方式都符合由本公开内容所限定的构思。

在第一可行实施方式中，函数F₁(K，T)采用由PD和PP组成并且基本上仅丢弃PD的完整模板T。秘密模板Ts是n个PP的列表。可选地，参数K定义n个元素的固定的随机置换P，并且Ts＝P(PP)。

函数F₂(K，T)被类似地定义，基本上丢弃PP，并且Tr是n个PD的列表。如果上面定义了置换P，则在下面将使用相同的置换P。

F’₂(T’)刚好是向量PD’中的元素，即，候选模板T’的中的可以被P置换的PD。

函数M(Tr，Tr’)输出匹配数据对象M，匹配数据对象M基本上是潜在PI对的映射：{(i₁-＞j₁)，(i₂-＞j₂)，...，(i_r-＞j_r)}及它们相应的匹配得分向量S＝(s₁，s₂，...，s_r)。在此，每个(i，j)对是来自Tr的一个PI i和来自Tr’的PI j，其中，来自各个模板的每个PI具有唯一的索引，即，不会在多个对中看到来自任一模板的同一PI。还要注意，并非来自任一模板的PI都需要必定出现在该列表中。还要注意，S中所谓的“匹配得分”不应当与最终模板匹配得分混淆，这是中间步骤。

函数R简化了候选T’并且去掉M中不具有足够高匹配得分的相应对的所有点。从M中去除相应的点对以获得M’，并且从T’中去除所述点，得到T”。

在第二控制单元108B上运行的函数Bs(Ts，T”，M’)采用匹配数据M’、T”中的坐标值和秘密模板Ts来决定T与T的最终匹配得分。

在第二可行实施方式中，使用与第一实施方式中非常相同的函数，不同之处在于：

·在注册/登记期间，代替在第二控制单元108B上仅存储模板的秘密部分Ts，还存储公开部分Tr。

·代替向安全CPU仅发送简化的匹配数据M’以进行最终匹配，还发送完整的候选模板T’。在匹配期间，第二控制单元108B首先使用第一匹配函数Br(Tr，T’)来进行初步的匹配检查。只有在该匹配是成功的情况下，

才继续运行第二匹配函数Bs(Ts，T’，M’)以获得最终的匹配判断。

在第三可能的实施方式中，使用与第一实施方式中非常相同的函数，不同之处在于：

·参数K定义n+q个元素的固定的随机置换P。

·函数F₂(K，T)取随机值K来产生q个数目的所谓“干扰描述符”的向量。由PD^＝(px₁，px₂，...，px_q)表示该干扰点描述符向量。

·T_r＝F₂(K，T)＝P(PD U PD^)＝P(pd₁，pd₂，...，pd_n，px₁，px₂，...，px_q)

·类似地，函数F₁(K，T)生成长度为q的零向量PP^。

·Ts＝F₁(K，T)＝P(PP U PP^)＝P(pp₁，pp₂，...，pp_n，空值，空值，...空值)

·Bs(Ts，T’，M’)函数对相对于空值元素进行的所有匹配试验给出零得分。

总之，本公开内容总体上涉及用于使用电子设备认证用户的方法，其中，电子设备包括适于处理来自生物计量传感器的生物计量表示的第一控制单元和第二控制单元。优选地，第二控制单元包括适于提供安全处理环境的安全元件和/或安全块。本发明具有的优点具体包括减少了成功执行生物计量认证过程所需的处理时间。

另外，关于本公开内容所实现的安全水平来自以下事实：在登记之后，系统的不安全部分不能访问模板信息的秘密部分。因此，使用由本公开内容限定的构思所实现的安全水平由在给定公开信息Tr的情况下攻击者查找还将与Ts匹配的匹配模板候选T’的难度所确定。因此，关于本公开内容所实现的安全水平由Tr与Ts之间的相关性来确定。为了安全，与Tr相比，Ts必须包含足够的附加熵，以便使攻击者很难找到有效的候选T’。由于一些模板信息存储在系统的开放(不安全)部分中，因此在解决方案中也存在隐私问题。必须假设攻击者能够读取该信息。通过确保模板的公开部分由足够多的个体共享，但是仍然足够唯一以在系统的安全方面提供快速的最终匹配，找到了关于本公开内容的恰当的隐私/性能折衷。

本公开内容的控制功能可以使用现有的计算机处理器来实现，或者通过用于适当系统的专用计算机处理器来实现，或者通过硬接线系统来实现，所述专用计算机处理器被包含用于该目的或另一目的。本公开内容范围内的实施方式包括具有机器可读介质的程序产品，机器可读介质用于承载或具有存储在机器可读介质上的机器可执行指令或数据结构。这样的机器可读介质可以是由通用或专用计算机或具有处理器的其他机器访问的任何可用介质。举例来说，这样的机器可读介质可以包括RAM、ROM、EPROM、EEPROM、CD-ROM或其他光盘存储器、磁盘存储器或其他磁存储设备或者可以用于承载或存储以机器可执行指令或数据结构形式的所需的程序代码并可以由通用或专用计算机或具有处理器的其他机器访问的任何其他介质。当信息通过网络或另外的通信连接(或固线、无线或者固线或无线的组合)传送或提供给机器时，机器适当地将该连接视为机器可读介质。因此，任何这样的连接适当地称为机器可读介质。上述组合也包括在机器可读介质的范围内。机器可执行指令包括例如使通用计算机、专用计算机或专用处理机器执行特定功能或功能组的指令和数据。

尽管附图可以示出顺序，但是步骤的顺序可以不同于所描述的步骤的顺序。也可以同时或部分同时执行两个或更多个步骤。这样的变型将取决于所选择的软件和硬件系统以及设计者选择。所有这些变型都在本公开内容的范围内。同样地，软件实现可以用具有基于规则的逻辑和其他逻辑的标准编程技术来实现，以实现各种连接步骤、处理步骤、比较步骤和决策步骤。另外，尽管已经参考本公开内容的特定示例性实施方式描述了本公开内容，但是许多不同的改变、修改等对于本领域技术人员将变得明显。

另外，根据附图、公开内容和所附权利要求书的研究，本领域技术人员在实践所要求保护的本公开内容时可以理解并实现对所公开内容的实施方式的变型。此外，在权利要求书中，“包括”一词不排除其他元素或步骤，并且不定冠词“一个(a)”或“一个(an)”不排除多个。

Claims

1.一种使用电子设备认证用户的方法，所述电子设备包括：

-第一控制单元，适于提供具有第一安全水平的处理环境，以及

-第二控制单元，适于提供具有第二安全水平的处理环境，其中，所述第二安全水平高于所述第一安全水平，

其中，所述方法包括以下步骤：

-接收候选生物计量表示；

-使用所述第一控制单元基于所述候选生物计量表示确定第一组生物计量元素；

-使用所述第一控制单元确定所述第一组生物计量元素的至少一部分和与所述第一控制单元相关联地存储的第一生物计量模板之间的第一匹配水平；

-形成第二组生物计量元素，其中，所述第二组生物计量元素包括所述第一组生物计量元素中的选择的生物计量元素，其中，所述第一组生物计量元素中的所述选择的生物计量元素均具有高于第一阈值的第一匹配水平；

-使用所述第一控制单元确定所述第二组生物计量元素的映射信息；

-在所述第二控制单元处接收所述第二组生物计量元素和所述映射信息；

-使用所述第二控制单元确定所述第二组生物计量元素的至少一部分和与所述第二控制单元相关联地存储的第二生物计量模板之间的第二匹配水平，其中，该确定还基于所述映射信息；以及

-如果所述第二组生物计量元素中的预定的选择的生物计量元素的所述第二匹配水平高于第二阈值，则认证所述用户，

其中，所述第一生物计量模板包括所述用户的生物计量特征的第一部分描述，所述第二生物计量模板包括所述用户的相应生物计量特征的第二部分描述，所述第一部分描述至少部分地不同于所述第二部分描述。

2.根据权利要求1所述的方法，其中，所述第一生物计量模板是公开模板，并且所述第二生物计量模板是保密模板。

3.根据权利要求1和2中任一项所述的方法，其中，所述用户的生物计量特征的所述第一部分描述与所述用户的所述相应生物计量特征的所述第二部分描述不相交。

4.根据权利要求1所述的方法，其中，映射信息包括所述第二组生物计量元素的几何信息。

5.根据权利要求4所述的方法，还包括以下步骤：

-将随所述映射信息而包含的所述几何信息与随所述第二生物计量模板而包含的相应信息进行映射。

6.根据权利要求1所述的方法，其中，所述映射信息包括从匹配数据(M)导出的匹配数据向量(M’)，所述匹配数据基于所述第一生物计量模板和所述第二组生物计量元素确定。

7.根据权利要求1所述的方法，其中，第二控制单元是安全处理器，包括安全元件并且/或者包括适于提供安全处理环境的安全块。

8.根据权利要求1所述的方法，其中，所述第一控制单元连接至生物计量传感器并且被配置成从所述生物计量传感器获取所述候选生物计量表示。

9.根据权利要求1所述的方法，其中，所述第二控制单元与所述第一控制单元分开布置。

10.根据权利要求1所述的方法，其中，所述电子设备还包括用于存储所述第一生物计量模板的与所述第一控制单元相关联的第一存储元件。

11.根据权利要求1所述的方法，其中，所述电子设备还包括用于存储所述第二生物计量模板的与所述第二控制单元相关联的第二存储元件。

12.根据权利要求1所述的方法，其中，所述候选生物计量表示使用生物计量传感器来捕获。

13.根据权利要求12所述的方法，其中，所述生物计量传感器是指纹传感器。

14.根据权利要求12所述的方法，其中，所述生物计量传感器是适用于捕获所述用户的虹膜和面部至少之一的表示的传感器。

15.根据权利要求1所述的方法，还包括以下步骤：

-接收登记生物计量表示；

-基于所述登记生物计量表示确定所述第一生物计量模板和所述第二生物计量模板。

16.根据权利要求15所述的方法，其中，使用所述第一控制单元执行所述第一生物计量模板和所述第二生物计量模板的确定，所述第二生物计量模板从所述第一控制单元传送至所述第二控制单元以与所述第二控制单元相关联地存储，并且所述第二生物计量模板从所述第一控制单元擦除。

17.根据权利要求15所述的方法，其中，使用所述第二控制单元执行所述第一生物计量模板和所述第二生物计量模板的确定，并且所述第一生物计量模板从所述第二控制单元传送至所述第一控制单元以与所述第一控制单元相关联地存储。

18.一种电子设备，包括：

-生物计量传感器，被配置成用于捕获用户的候选生物计量表示，

其中，所述电子设备适于：

-从所述生物计量传感器接收所述候选生物计量表示；

19.根据权利要求18所述的电子设备，其中，所述第一生物计量模板是公开模板，并且所述第二生物计量模板是保密模板。

20.根据权利要求18和19中任一项所述的电子设备，其中，所述用户的生物计量特征的所述第一部分描述与所述用户的所述相应生物计量特征的所述第二部分描述不相交。

21.根据权利要求18所述的电子设备，其中，所述映射信息包括从匹配数据(M)导出的匹配数据向量(M’)，所述匹配数据基于所述第一生物计量模板和所述第二组生物计量元素确定。

22.根据权利要求18所述的电子设备，其中，第二控制单元是安全处理器，包括安全元件并且/或者包括适于提供安全处理环境的安全块。

23.根据权利要求18所述的电子设备，其中，所述生物计量传感器是指纹传感器。

24.根据权利要求23所述的电子设备，其中，所述第一控制单元连接至所述指纹传感器并且被配置成控制所述指纹传感器的操作。

25.根据权利要求18所述的电子设备，其中，所述生物计量传感器是适用于捕获所述用户的虹膜和面部至少之一的表示的传感器。

26.根据权利要求18所述的电子设备，其中，所述电子设备是移动电话、平板电脑、可穿戴电子设备和智能卡至少之一。