CN112543454B - 一种认证方法及设备 - Google Patents

Abstract

本发明公开了一种认证方法及设备，涉及计算机技术领域，用于认证身份信息及电子签名。包括：获取针对第一应用程序的第一请求认证消息；第一请求认证消息包括待认证内容，第一请求认证消息用于请求认证待认证内容；响应于第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书；安全证书用于认证待认证内容；向第一应用程序发送安全证书。本发明实施例应用于安装有用户识别卡的用户设备。

Description

一种认证方法及设备

技术领域

本发明涉及安全认证技术领域，尤其涉及一种基于用户识别卡的认证方法及装置。

背景技术

运营商在向用户发放用户识别卡(subscriber identity module，SIM)时，SIM卡的芯片中存储有用户的安全证书。用户在使用第三方应用程序的过程中，第三方应用程序获取用户输入的身份信息，并从用户设备(user equipment，UE)内的用户识别卡中获取安全证书，进而可以根据获取得到的安全证书对用户的身份信息进行认证。

但是，由于存储有用户的安全证书的用户识别卡通常是由第三方应用程序的开发方与运营商共同定制的，这就使得只有第三方应用程序可以执行上述认证方法，因此，采用用户识别卡进行安全认证的适用性较低。

发明内容

本发明的实施例提供一种认证方法及设备，用于提高利用用户识别卡进行安全认证的适用性。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供了一种认证方法，该方法包括：获取针对第一应用程序的第一请求认证消息；第一请求认证消息包括待认证内容，第一请求认证消息用于请求认证待认证内容；响应于第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书；安全证书用于认证待认证内容；向第一应用程序发送安全证书。

第二方面，提供了一种用户设备，该用户设备安装有用户识别卡，该用户设备包括获取单元、调用单元以及发送单元；获取单元，用于获取针对第一应用程序的第一请求认证消息；第一请求认证消息包括待认证内容，第一请求认证消息用于请求认证待认证内容；调用单元，用于响应于获取单元获取到的第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书；安全证书用于认证待认证内容；发送单元，用于向第一应用程序发送调用单元获取到的安全证书。

第三方面，提供了一种存储一个或多个程序的计算机可读存储介质，该一个或多个程序包括指令，上述指令当被计算机执行时使计算机执行如第一方面的认证方法。

第四方面，一种用户设备，其特征在于，包括：处理器以及存储器；其中，存储器用于存储一个或多个程序，一个或多个程序包括计算机执行指令，当用户设备运行时，处理器执行存储器存储的计算机执行指令，以使用户设备执行如第一方面的认证方法。

第五方面，提供了一种包含指令的计算机程序产品，当该指令在计算机上运行时，使得计算机执行第一方面的认证方法。

本发明的实施例提供的一种认证方法，应用于安装有用户识别卡的用户设备，考虑到用户设备的用户识别卡只能用于一个应用程序的安全认证，本发明在用户设备内设置一个能够访问用户识别卡的第二应用程序，在用户设备获取针对第一应用程序的第一请求认证消息之后，响应于第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书，并向第一应用程序发送安全证书，进而使得第一应用程序可以根据安全证书认证待认证内容。由此，通过上述技术特征，能够使用户设备内的任意一个第一应用程序都可以基于用户识别卡对用户的待认证内容进行认证。

附图说明

图1为本发明的实施例提供的一种认证系统结构示意图；

图2为本发明的实施例提供的一种认证方法流程示意图一；

图3为本发明的实施例提供的一种认证方法流程示意图二；

图4为本发明的实施例提供的一种认证方法流程示意图三；

图5为本发明的实施例提供的一种认证方法流程示意图四；

图6为本发明的实施例提供的一种认证方法流程示意图五；

图7为本发明的实施例提供的一种认证方法流程示意图六；

图8为本发明的实施例提供的一种认证方法流程示意图七；

图9为本发明的实施例提供的一种用户设备结构示意图一；

图10为本发明的实施例提供的一种用户设备结构示意图二；

图11为本发明的实施例提供的一种用户设备结构示意图三。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行描述。

在本发明的描述中，除非另有说明，“/”表示“或”的意思，例如，A/B可以表示A或B。本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。此外，“至少一个”“多个”是指两个或两个以上。“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。

本发明实施例提供的认证方法可以适用于认证系统。图1示出了该认证系统的一种结构示意图。如图1所示，认证系统10包括用户设备11以及服务器12。用户设备11与服务器12连接。用户设备11与服务器12之间可以采用有线方式连接，也可以采用无线方式连接，本发明实施例对此不作限定。

用户设备11可以用于调用用户设备11内的应用程序，例如，用户设备11可以调用第二应用程序访问用户识别卡，并从中获取用户识别卡中的安全证书。

用户设备11也可以用于与服务器12进行数据交互，例如，用户设备11将用户的待认证内容发送至服务器，由服务器对待认证内容进行封装。

服务器12可以用于接收用户设备发送的待认证内容，封装待认证内容，以生成请求获取消息。

服务器12也可以用于向用户设备11发送第二应用程序的更新数据，以更新用户设备11中的第二应用程序。

需要说明的，服务器12可以为一个单独的服务器，也可以为多个服务器组成的服务器集群。

示例性的，服务器12可以为软件开发工具包(software development kit，SDK)服务器，可以用于开发第二应用程序程序。

下面结合附图对本发明实施例提供的认证方法进行描述。

如图2所示，本发明实施例提供的认证方法包括S201-S203。

S201、用户设备11获取针对第一应用程序的第一请求认证消息。

其中，第一请求认证消息包括待认证内容，第一请求认证消息用于请求认证待认证内容。

作为一种可能的实现方式，用户设备11接收第一应用程序发送的第一请求认证消息，并从第一请求认证消息中获取待认证内容。

需要说明的，第一应用程序可以为用户设备11中安装的应用程序，也可以为其他设备(例如其他用户设备或者个人计算机(personal computer，PC))中安装的应用该程序。

示例性的，第一应用程序可以为银行类的应用程序(Application，APP)或者政企单位的APP。

需要说明的，待认证内容可以为用户的身份信息，也可以为用户的待认证的文本。

示例性的，待认证内容可以为待认证的合同文本。

S202、用户设备11响应于第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书。

其中，用户识别卡中存储有与在运营商登记注册的用户对应的公钥以及私钥，私钥用于对待认证内容进行加密，以生成加密密文。安全证书包括公钥以及上述加密密文，安全证书用于认证待认证内容。

作为一种可能的实现方式，用户设备11响应于第一请求认证消息，获取用户设备11的操作系统，并调用与用户设备11的操作系统对应的第二应用程序，向用户识别卡装置发送待认证内容，并接收用户识别卡装置发送的安全证书。

需要说明的，第二应用程序可以为一个独立安装在用户设备11中的APP，第二应用程序也可以为一个存储于一个宿主程序中的小程序。用户识别卡中的私钥对待认证内容进行加密，具体可以采用哈希hash算法。用户识别卡装置用于承载、安装上述用户识别卡。

可以理解的，与用户设备11的操作系统对应的第二应用程序，表明第二应用程序可以在用户设备11的当前操作系统中运行。

示例性的，包含有公钥以及私钥的用户识别卡又称为智能密码钥匙(也可称为USBKEY或SIMKEY)，主要用于认证身份信息和数字签名，以及用来做密钥协商(例如HTTPS网站的秘钥协商)。

S203、用户设备11向第一应用程序发送安全证书。

作为一种可能的实现方式，用户设备11在调用第二应用程序获取安全证书之后，向第一应用程序发送安全证书。

进一步的，第一应用程序在接收安全证书之后，利用获取到的安全证书，认证待认证内容。

需要说明的，本发明实施例中涉及的安全证书的认证过程，具体可以参照现有技术，此处不再赘述。

在一种设计中，在第一应用程序未安装在用户设备11中的情况下，为了能够接收第一应用程序的第一请求认证消息，如图3所示，本发明实施例提供的S201，具体可以包括下述S2011-S2012：

S2011、用户设备11读取第一应用程序生成的电子标签。

其中，电子标签包括待认证内容。

作为一种可能的实现方式，第一应用程序响应于用户的请求认证操作，获取并根据待认证内容生成第一请求认证消息，并根据第一请求认证消息，生成电子标签，并在第一应用程序所在的设备中显示电子标签。

进一步的，用户设备11通过扫码或拍摄等程序，获取电子标签。

需要说明的，电子标签可以为条形码、二维码或者三维验证码。电子标签中还可以包括第一应用程序对应的设备地址。

可以理解的，第一应用程序对应的设备地址为第一应用程序所在的设备的地址，也可以理解为第一应用程序对应的服务器的地址。用户设备11可以根据第一应用程序对应的设备地址向第一应用程序发送安全证书。

S2012、用户设备11解析电子标签，以获取第一请求认证消息。

作为一种可能的实现方式，用户设备11解析电子标签，从中获取第一请求认证消息。

此步骤中解析电子标签的实现方式，具体可以参照现有技术，此处不再进行赘述。

在一种设计中，由于不同的用户设备具备有不同用于承载用户识别卡的装置，因此，为了使第二应用该程序能够读取用户识别卡，如图3所示，本发明实施例提供的S202，具体可以包括下述S2021-S2023。

S2021、用户设备11获取用户设备中用户识别卡装置的接口类型。

其中，用户识别卡装置用于承载用户识别卡。接口类型包括低功耗蓝牙(bluetooth low energy，BLE)通道、开放移动联盟(open mobile architecture，OMA)通道、近场通信(near field communication，NFC)通道中的任意一种。

作为一种可能的实现方式，用户设备11可以从用户设备的存储器中获取用户识别卡装置的接口类型。

需要说明的，用户设备11的存储器中存储有用户设备11所包括的各个硬件装置的型号、接口类型。

S2022、用户设备11调用第二应用程序根据接口类型，与用户识别卡装置建立连接。

作为一种可能的实现方式，用户设备11将用户识别卡装置的接口类型发送至第二应用程序，并调用第二应用程序选择与上述接口类型对应的连接方式，与用户识别卡装置建立连接。

此步骤中，在第二应用程序为独立安装在用户设备11中的APP时，具体与用户识别卡装置建立连接的过程可以参照现有技术，此处不再进行赘述。

在第二应用程序为任意一个宿主程序中的小程序的情况下，调用第二应用程序与用户识别卡装置建立连接的过程可以参照本发明实施例的后续描述，此处不再赘述。

S2023、用户设备11调用第二应用程序通过已建立的连接，从用户识别卡中获取安全证书。

作为一种可能的实现方式，用户设备11调用第二应用程序通过已经建立连接的通道，向用户识别卡装置发送待认证内容，进而接收用户识别卡装置发送的安全证书。

在一种设计中，在第二应用程序为任意一个宿主程序中的小程序的情况下，为了能够调用第二应用程序与用户识别卡装置建立连接，如图4所示，本发明实施例提供的S2022，具体可以包括下述S301-S303：

S301、用户设备11获取第二应用程序的地址。

作为一种可能的实现方式，用户设备11可以从用户设备11的存储器中获取第二应用程序的地址。

需要说明的，存储器中存储的第二程序的地址，可以为由第二应用程序在用户设备11的宿主程序中进行安装注册时，向用户设备11发送生成的地址，并由用户设备11存储在存储器中。

示例性的，第二应用程序的地址可以为统一资源定位系统(uniform resourcelocator，URL)地址。

S302、用户设备11确定第二应用程序的宿主程序。

作为一种可能的实现方式，用户设备11在获取第二应用程序的地址之后，从存储器中确定第二应用程序的宿主程序。

需要说明的，存储器中存储有宿主程序与第二应用程序之间的对应关系。

S303、用户设备11向宿主程序发送包括第二应用程序的地址的请求连接消息。

其中，请求连接请求消息用于请求调用第二应用程序根据接口类型，与用户识别卡装置建立连接。

作为一种可能的实现方式，用户设备11在确定宿主程序之后，获取宿主程序在用户设备11中的地址，生成并向宿主程序发送请求连接消息。

示例性的，宿主程序的地址也可以为URL地址。

在一种设计中，尤其在第二应用程序为任意一个宿主程序的小程序的情况下，为了节省第二应用程序的开发资源，以及节省第二应用程序在用户设备11中封装指令的计算资源，如图5所示，本发明实施例提供的S2023，可以包括下述S401-S405。

S401、用户设备11调用第二应用程序向服务器12发送待认证内容以及请求封装指令。

其中，请求封装指令用于请求对待认证内容进行封装，以生成请求获取消息。请求获取消息用于请求获取用户识别卡中的安全证书。

作为一种可能的实现方式，用户设备11在获取待认证内容之后，调用第二应用程序将待认证内容以及第二应用程序中存储的请求封装指令发送至服务器12。

需要说明的，请求封装指令可以预先有运维人员存储在第二应用程序中。

S402、服务器12封装待认证内容，以生成请求获取消息。

其中，请求获取消息包括待认证内容，请求获取消息用于从用户识别卡中获取安全证书。

作为一种可能的实现方式，服务器12可以采用预设封装方式，将待认证内容封装为请求获取消息。

示例性的，预设封装方式可以为JavaScript方式。

S403、服务器12向用户设备11发送请求获取消息。

相应的，用户设备11接收服务器12发送的请求获取消息。

S404、用户设备11调用第二应用程序向用户识别卡装置发送请求获取消息。

作为一种可能的实现方式，用户设备11在接收请求获取消息之后，调用第二应用程序向用户识别卡装置发送请求获取消息。

进一步的，用户识别卡装置在获取请求获取消息之后，利用用户识别卡中的私钥对请求获取消息中的待认证内容加密，以得到加密密文。

需要说明的，加密密文与待认证内容以及用户对应。

进一步的，用户识别卡装置确定上述加密文本以及用户识别卡中的公钥，为安全证书，并向第二应用程序发送安全证书。

S405、用户设备11调用第二应用程序获取用户识别卡装置发送的安全证书。

在一种设计中，为了保证整个认证过程为合法的，如图6所示，本发明实施实例提供的S202，具体还下述包括S2024-S2025。

S2024、用户设备11响应于第一请求认证消息，验证用户设备的用户是否为合法用户。

作为一种可能的实现方式，用户设备11响应于第一请求认证消息，在用户设备11的显示界面上显示验证码输入区域，并根据用户输入的验证码，验证使用用户设备的用户是否为合法用户。

S2025、在用户设备的用户为合法用户的情况下，用户设备11调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书。

此步骤的具体实施方式，具体可以参照本发明上述实施例提供的S202、S2021-S2023，此处不再赘述。

在一种设计中，为了能够验证使用用户设备的用户的合法性，如图7所示，本发明实施例提供的S2024，具体可以包括S501-S502。

S501、用户设备11调用第二应用程序获取用户设备的用户在第二应用程序的显示页面中输入的用户特征。

作为一种可能的实现方式，用户设备11调用第二应用程序在用户设备11中显示输入界面，并调用第二应用程序获取用户在用户设备11显示的输入界面中输入的用户特征。

其中，用户输入的用户特征包括用户的PIN码，用户输入的用户特征也可以包括用户输入的面部特征。

S502、用户设备11调用第二应用程序根据用户特征验证用户设备的用户是否为合法用户。

作为一种可能的实现方式，用户设备11可以调用第二应用程序将用户特征与预设的特征进行对比，以根据对比结果确定用户是否为合法用户。

此步骤中涉及到根据用户的用户特征验证使用用户设备的用户是否为合法用户的具体是实现方式，也可以参照现有技术，此处不再赘述。

在一种设计中，在第一应用程序不位于用户设备11的情况下，第一应用程序生成的电子标签中，还包括有第一应用程序对应的设备地址。在此种情况下，本发明实施例提供的S203，具体包括S2031。

S2031、用户设备11基于第一应用程序对应的设备地址，向第一应用程序发送安全证书。

示例性的，用户设备11可以基于第一应用程序对应的服务器的地址，将安全证书发送至第一应用程序对应的服务器，由第一应用程序对应的服务将认证结果发送的第一应用程序所在的设备中。

作为另外一种示例，用户设备11还可以基于第一用程序所在的设备的地址，将安全证书发送至第一应用程序所在设备中。

在一种设计中，在用户设备11的操作系统更新的情况下，由于用户设备11底层系统的接口、通道都会发生改变，会使得第二应用程序无法对应于更新后的操作系统，导致第二应用程序无法使用。为解决上述问题，如图8所示，本发明实施例提供的认证方法，还包括下述S601-S602。

S601、用户设备11在确定用户设备11的操作系统更新的情况下，获取用户设备11的操作系统的版本标识。

作为一种可能的实现方式，用户设备11检测到用户设备11的操作系统在预设时长内执行过系统更新，则从存储器中获取用户设备11更新后的操作系统的版本标识。

其中，版本标识包括用户设备的标识、操作系统的版本号以及更新时间。

S602、用户设备11根据操作系统的版本标识，确定第二应用程序的更新数据，并根据更新数据，更新第二应用程序。

作为一种可能的实现方式，用户设备11在确定更新后的操作系统的版本标识之后，向服务器12发送请求更新消息，并接收服务12发送的更新数据。

其中，请求更新消息包括用户设备11当前的操作系统的版本标识以及第二应用程序的标识。请求更新消息用于请求获取第二应用程序对应于当前的操作系统的更新数据。

此步骤中，用户设备利用更新数据对第二应用程序进行更新的具体实现方式，可以参照现有技术，此处不再赘述。

示例性的，更新数据可以为服务器下发的SDK安装包。

本发明的实施例提供的一种认证方法，应用于安装有用户识别卡的用户设备，考虑到用户设备的用户识别卡只能用于一个应用程序的安全认证，本发明在用户设备内设置一个能够访问用户识别卡的第二应用程序，在用户设备获取针对第一应用程序的第一请求认证消息之后，响应于第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书，并向第一应用程序发送安全证书，进而使得第一应用程序可以根据安全证书认证待认证内容。由此，通过上述技术特征，能够使用户设备内的任意一个第一应用程序都可以基于用户识别卡对用户的待认证内容进行认证。

上述主要从方法的角度对本发明实施例提供的方案进行了介绍。为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本发明实施例能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

本发明实施例可以根据上述方法示例对用户设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。可选的，本发明实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

图9为本发明实施例提供的一种用户设备的结构示意图。如图9所示，用户设备11用于对用户的待认证内容进行认证，例如用于执行图2所示的认证方法。该用户设备11安装有用户识别卡，该用户设备11用户设备安装有用户识别卡，用户设备包括获取单元111、调用单元112以及发送单元113。

获取单元111，用于获取针对第一应用程序的第一请求认证消息。第一请求认证消息包括待认证内容，第一请求认证消息用于请求认证待认证内容。例如，如图2所示，获取单元111可以用于执行S201。

调用单元112，用于响应于获取单元111获取到的第一请求认证消息，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书。安全证书用于认证待认证内容。例如，如图2所示，调用单元112可以用于执行S202。

发送单元113，用于向第一应用程序发送调用单元112获取到的安全证书。例如，如图2所示，发送单元113可以用于执行S203。

如图9所示，本发明实施例提供的获取单元111具体用于，读取并解析第一应用程序生成的电子标签，以获取第一请求认证消息。

如图9所示，本发明实施例提供的调用单元112具体用于：

获取用户设备中用户识别卡单元的接口类型。用户识别卡单元用于承载用户识别卡。接口类型包括低功耗蓝牙BLE通道、开放移动联盟OMA通道、近场通信NFC通道中的任意一种。例如，如图3所示，调用单元112可以用于执行S2021。

调用第二应用程序根据接口类型，与用户识别卡单元建立连接。例如，如图3所示，调用单元112可以用于执行S2022。

调用第二应用程序通过已建立的连接，从用户识别卡中获取安全证书。例如，如图3所示，调用单元112可以用于执行S2023。

如图9所示，本发明实施例提供的调用单元112，具体还用于：

获取第二应用程序的地址。例如，如图4所示，调用单元112可以用于执行S301。

确定第二应用程序的宿主程序。例如，如图4所示，调用单元112可以用于执行S302。

向宿主程序发送包括第二应用程序的地址的请求连接消息，请求连接请求消息用于请求调用第二应用程序根据接口类型，与用户识别卡单元建立连接。例如，如图4所示，调用单元112可以用于执行S303。

如图9所示，本发明实施例提供的调用单元112，具体还用于：

调用第二应用程序向服务器发送待认证内容以及请求封装指令，请求封装指令用于请求对待认证内容进行封装，以生成请求获取消息。请求获取消息用于请求获取用户识别卡中的安全证书。例如，如图5所示，调用单元112可以用于执行S401。

获取请求获取消息。例如，如图5所示，调用单元112可以用于执行S403。

调用第二应用程序向用户识别卡装置发送请求获取消息。例如，如图5所示，调用单元112可以用于执行S404。

调用第二应用程序获取用户识别卡装置发送的安全证书。例如，如图5所示，调用单元112可以用于执行S405。

如图9所示，本发明实施例提供的调用单元112还用于：

响应于第一请求认证消息，验证用户设备的用户是否为合法用户。例如，如图6所示，调用单元112可以用于执行S2024。

在用户设备的用户为合法用户的情况下，调用与用户设备的操作系统对应的第二应用程序，以获取用户识别卡中的安全证书。例如，如图6所示，调用单元112可以用于执行S2025。

如图9所示，本发明实施例提供的调用单元112，具体还用于调用第二应用程序获取用户设备的用户在第二应用程序的显示页面中输入的用户特征，并调用第二应用程序根据用户特征验证用户设备的用户是否为合法用户。例如，如图7所示，调用单元112可以用于执行S501以及S502。

如图9所示，本发明实施例提供的用户设备还包括确定单元114以及更新单元115。

获取单元111，还用于在确定用户设备的操作系统更新的情况下，获取用户设备的操作系统的版本标识。例如，如图8所示，获取单元111可以用于执行S601。

确定单元114，用于根据获取单元111获取到的操作系统的版本标识，确定第二应用程序的更新数据。例如，如图8所示，确定单元114可以用于执行S602。

更新单元115，用于在确定单元114确定更新数据之后，根据更新数据，更新第二应用程序。例如，如图8所示，更新单元115可以用于执行S602。

在采用硬件的形式实现上述集成的模块的功能的情况下，本发明实施例提供了上述实施例中所涉及的用户设备的另外一种可能的结构示意图。如图10所示，一种用户设备70，用于对用户的身份信息进行认证，例如用于执行图2所示的认证方法。该用户设备70包括处理器701，存储器702以及总线703。处理器701与存储器702之间可以通过总线703连接。

处理器701是通信装置的控制中心，可以是一个处理器，也可以是多个处理元件的统称。例如，处理器701可以是一个通用中央处理单元(central processing unit，CPU)，也可以是其他通用处理器等。其中，通用处理器可以是微处理器或者是任何常规的处理器等。

处理器701具体用于执行上述第一应用程序或者上述第二应用程序。

作为一种实施例，处理器701可以包括一个或多个CPU，例如图10中所示的CPU 0和CPU 1。

存储器702可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

存储器702中存储有第一应用程序的代码，以及第二应用程序的代码。

作为一种可能的实现方式，存储器702可以独立于处理器701存在，存储器702可以通过总线703与处理器701相连接，用于存储指令或者程序代码。处理器701调用并执行存储器702中存储的指令或程序代码时，能够实现本发明实施例提供的认证方法。

另一种可能的实现方式中，存储器702也可以和处理器701集成在一起。

总线703，可以是工业标准体系结构(Industry Standard Architecture，ISA)总线、外部设备互连(Peripheral Component Interconnect，PCI)总线或扩展工业标准体系结构(Extended Industry Standard Architecture，EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

需要指出的是，图10示出的结构并不构成对该用户设备70的限定。除图10所示部件之外，该用户设备70可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

作为一个示例，结合图9，用户设备中的获取装置111、调用装置112、认证装置113以及发送装置114实现的功能与图10中的处理器701的功能相同。

可选的，如图10所示，本发明实施例提供的用户设备70还可以包括通信接口704。

通信接口704，用于与其他设备通过通信网络连接。该通信网络可以是以太网，无线接入网，无线局域网(wireless local area networks，WLAN)等。通信接口704可以包括用于接收数据的接收单元，以及用于发送数据的发送单元。

在一种设计中，本发明实施例提供的用户设备中，通信接口还可以集成在处理器中。

图11示出了本发明实施例中用户设备的另一种硬件结构。如图11所示，用户设备80可以包括处理器801以及通信接口802。处理器801与通信接口802耦合。

处理器801的功能可以参考上述处理器501的描述。此外，处理器801还具备存储功能，可以参考上述存储器502的功能。

通信接口802用于为处理器801提供数据。该通信接口802可以是通信装置的内部接口，也可以是通信装置对外的接口(相当于通信接口704)。

需要指出的是，图11中示出的结构并不构成对用户设备80的限定，除图11所示部件之外，该用户设备80可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能单元的划分进行举例说明。在实际应用中，可以根据需要而将上述功能分配由不同的功能单元完成，即将装置的内部结构划分成不同的功能单元，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当计算机执行该指令时，该计算机执行上述方法实施例所示的方法流程中的各个步骤。

本发明的实施例提供一种包含指令的计算机程序产品，当指令在计算机上运行时，使得计算机执行上述方法实施例中的认证方法。

其中，计算机可读存储介质，例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘。随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、寄存器、硬盘、光纤、便携式紧凑磁盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的人以合适的组合、或者本领域数值的任何其他形式的计算机可读存储介质。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于特定用途集成电路(Application Specific Integrated Circuit，ASIC)中。在本发明实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

由于本发明的实施例中的用户设备、计算机可读存储介质、计算机程序产品可以应用于上述方法，因此，其所能获得的技术效果也可参考上述方法实施例，本发明实施例在此不再赘述。

以上，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何在本发明揭露的技术范围内的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (18)

1.一种认证方法，应用于安装有用户识别卡的用户设备，其特征在于，包括：

获取针对第一应用程序的第一请求认证消息；所述第一请求认证消息包括待认证内容，所述第一请求认证消息用于请求认证所述待认证内容；

响应于所述第一请求认证消息，调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书；所述安全证书用于认证所述待认证内容；所述安全证书包括公钥以及加密密文；

向所述第一应用程序发送所述安全证书。

2.根据权利要求1所述的认证方法，其特征在于，所述获取针对第一应用程序的第一请求认证消息，包括：

读取并解析所述第一应用程序生成的电子标签，以获取所述第一请求认证消息。

3.根据权利要求1所述的认证方法，其特征在于，所述响应于所述第一请求认证消息，调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书，包括：

获取所述用户设备中用户识别卡装置的接口类型；所述用户识别卡装置用于承载所述用户识别卡；所述接口类型包括低功耗蓝牙BLE通道、开放移动联盟OMA通道、近场通信NFC通道中的任意一种；

调用所述第二应用程序根据所述接口类型，与所述用户识别卡装置建立连接，并调用所述第二应用程序通过已建立的连接，从所述用户识别卡中获取所述安全证书。

4.根据权利要求3所述的认证方法，其特征在于，所述调用所述第二应用程序根据所述接口类型，与所述用户识别卡装置建立连接，包括：

获取所述第二应用程序的地址，并确定所述第二应用程序的宿主程序；

向所述宿主程序发送包括所述第二应用程序的地址的请求连接消息，所述请求连接消息用于请求调用所述第二应用程序根据所述接口类型，与所述用户识别卡装置建立连接。

5.根据权利要求3所述的认证方法，其特征在于，所述调用所述第二应用程序通过已建立的连接，从所述用户识别卡中获取所述安全证书，包括：

调用所述第二应用程序向服务器发送所述待认证内容以及请求封装指令，所述请求封装指令用于请求对所述待认证内容进行封装，以生成请求获取消息；所述请求获取消息用于请求获取所述用户识别卡中的所述安全证书；

获取所述请求获取消息并调用所述第二应用程序向所述用户识别卡装置发送所述请求获取消息；

调用所述第二应用程序获取所述用户识别卡装置发送的所述安全证书。

6.根据权利要求1所述的认证方法，其特征在于，所述调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书，包括：

响应于所述第一请求认证消息，验证所述用户设备的用户是否为合法用户；

在所述用户设备的用户为合法用户的情况下，调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书。

7.根据权利要求6所述的认证方法，其特征在于，所述验证所述用户设备的用户是否为合法用户，包括：

调用所述第二应用程序获取所述用户设备的用户在所述第二应用程序的显示页面中输入的用户特征，并调用所述第二应用程序根据所述用户特征验证所述用户设备的用户是否为合法用户。

8.根据权利要求1所述的认证方法，其特征在于，所述方法还包括：

在确定所述用户设备的操作系统更新的情况下，获取所述用户设备的操作系统的版本标识；

根据所述操作系统的版本标识，确定所述第二应用程序的更新数据，并根据所述更新数据，更新所述第二应用程序。

9.一种用户设备，其特征在于，所述用户设备安装有用户识别卡，所述用户设备包括获取单元、调用单元以及发送单元；

所述获取单元，用于获取针对第一应用程序的第一请求认证消息；所述第一请求认证消息包括待认证内容，所述第一请求认证消息用于请求认证所述待认证内容；

所述调用单元，用于响应于所述获取单元获取到的所述第一请求认证消息，调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书；所述安全证书用于认证所述待认证内容；所述安全证书包括公钥以及加密密文；

所述发送单元，用于向所述第一应用程序发送所述调用单元获取到的所述安全证书。

10.根据权利要求9所述的用户设备，其特征在于，所述获取单元具体用于，读取并解析所述第一应用程序生成的电子标签，以获取所述第一请求认证消息。

11.根据权利要求9所述的用户设备，其特征在于，所述调用单元具体用于：

获取所述用户设备中用户识别卡单元的接口类型；所述用户识别卡单元用于承载所述用户识别卡；所述接口类型包括低功耗蓝牙BLE通道、开放移动联盟OMA通道、近场通信NFC通道中的任意一种；

调用所述第二应用程序根据所述接口类型，与所述用户识别卡单元建立连接，并调用所述第二应用程序通过已建立的连接，从所述用户识别卡中获取所述安全证书。

12.根据权利要求11所述的用户设备，其特征在于，所述调用单元，具体还用于：

获取所述第二应用程序的地址，并确定所述第二应用程序的宿主程序；

向所述宿主程序发送包括所述第二应用程序的地址的请求连接消息，所述请求连接消息用于请求调用所述第二应用程序根据所述接口类型，与所述用户识别卡单元建立连接。

13.根据权利要求11所述的用户设备，其特征在于，所述调用单元，具体还用于：

调用所述第二应用程序向服务器发送所述待认证内容以及请求封装指令，所述请求封装指令用于请求对所述待认证内容进行封装，以生成请求获取消息；所述请求获取消息用于请求获取所述用户识别卡中的所述安全证书；

获取所述请求获取消息并调用所述第二应用程序向所述用户识别卡装置发送所述请求获取消息；

调用所述第二应用程序获取所述用户识别卡装置发送的所述安全证书。

14.根据权利要求9所述的用户设备，其特征在于，所述调用单元还用于：

响应于所述第一请求认证消息，验证所述用户设备的用户是否为合法用户；

在所述用户设备的用户为合法用户的情况下，调用与所述用户设备的操作系统对应的第二应用程序，以获取所述用户识别卡中的安全证书。

15.根据权利要求14所述的用户设备，其特征在于，所述调用单元，具体还用于调用所述第二应用程序获取所述用户设备的用户在所述第二应用程序的显示页面中输入的用户特征，并调用所述第二应用程序根据所述用户特征验证所述用户设备的用户是否为合法用户。

16.根据权利要求9所述的用户设备，其特征在于，所述用户设备还包括确定单元以及更新单元；

所述获取单元，还用于在确定所述用户设备的操作系统更新的情况下，获取所述用户设备的操作系统的版本标识；

所述确定单元，用于根据所述获取单元获取到的所述操作系统的版本标识，确定所述第二应用程序的更新数据；

所述更新单元，用于在所述确定单元确定所述更新数据之后，根据所述更新数据，更新所述第二应用程序。

17.一种存储一个或多个程序的计算机可读存储介质，其特征在于，所述一个或多个程序包括指令，所述指令当被计算机执行时使所述计算机执行如权利要求1-8中任一项所述的认证方法。

18.一种用户设备，其特征在于，包括：处理器以及存储器；其中，所述存储器用于存储一个或多个程序，所述一个或多个程序包括计算机执行指令，当所述用户设备运行时，处理器执行所述存储器存储的所述计算机执行指令，以使所述用户设备执行权利要求1-8中任一项所述的认证方法。

Images