CN115336223A - 经优化私人生物特征匹配 - Google Patents

Abstract

一种同态加密方案，例如Paillier加密以及位打包过程允许在终端处进行生物特征匹配而不暴露存储在用户装置上的生物特征模板。由于此类加密方案是数据密集型的，所以所述位打包过程能够缩减发送和处理的数据，从而可以近实时地完成生物特征匹配过程。这种经优化过程的高速性使此技术可以应用于许多现实过程，如访问控制和交易处理。

Description

经优化私人生物特征匹配

相关申请交叉引用

本申请要求2019年10月25日提交的第16/664,530号美国专利申请的优先权，所述申请的公开内容以引用的方式并入本文中。

背景技术

本文中提供的背景技术描述是为了大体上呈现本公开的上下文。在此背景技术章节中所描述的程度上的当前署名的发明人的工作，以及在提交时不可另外作为现有技术的本说明书的各方面既不明确地也不隐含地被承认为本公开的现有技术。

生物特征作为装置之间或装置和个人之间的认证机制已经使用了一段时间。然而，个人生物特征数据的模板可能会被个人控制之外的装置共享并随后被其存储。如果一个或多个生物特征模板被这个第三方装置破坏，那么本人可能没有恢复路径，因为本人无法生成新的指纹、面部扫描、虹膜图像等。

发明内容

在实施例中，生物特征确认装置可以使用同态加密技术将生物特征模板与生物特征扫描进行比较，以确定是否存在匹配，同时不会向第三方装置实际地披露所述生物特征模板。此外，同态过程允许终端将当前生物特征扫描数据发送到终端而不泄露扫描信息。为了优化加密过程，项打包过程可以显著减少验证阶段期间的计算开销。

附图说明

仅出于说明的目的，各图描绘了优选实施例。本领域技术人员可从以下论述中容易地认识到，在不脱离本文描述的原理的情况下，可以采用在本文中示出的结构和方法的替代性实施例。

图1是根据本公开的示出用于私人生物特征匹配的元件的系统图；

图2是示出用于私人生物特征匹配的第一技术的跳跃图；

图3是示出图2所示技术的修改的跳跃图；

图4是示出用于私人生物特征匹配的另一技术的跳跃图；且

图5是示出图4的技术的另一方面的跳跃图。

具体实施方式

终端可能希望确认某个人与智能手机等特定装置相关联。例如，销售点装置(POS)，如在零售商处，可能能够使用看不见的智能手机处理交易。也就是说，POS可能能够使用Wi-Fi或蓝牙完成与智能手机的交易，此智能手机使用的协议与经由近场通信(NFC)通过将智能手机轻触POS来向POS呈现智能手机时所使用的协议相同。然而，POS将首先需要确定附近的智能手机是具有与当前购买和购买者相对应的正确凭证的智能手机。

POS可向附近的智能手机发送请求，请求其相应用户的图像的生物特征模板。POS还可捕获参与当前交易的用户的图像。一旦POS发现具有用户的图像生物特征模板的智能手机与刚刚捕获的图像匹配，就可以使用正常支付流程继续进行交易处理。也就是说，在示例性实施例中，智能手机可以利用POS建立安全信道，交易数据可以通过智能手机的支付应用连同个人账号(PAN)或与用户的支付卡相关的令牌数据一起传递并签名。此信息可通过POS传递到零售商的收单银行以供批准和处理。

然而，在此过程中，POS不应该仅仅能够向附近的每一部智能手机请求生物特征模板，以便将图像与正确的用户进行匹配。这将暴露附近每个智能手机用户的生物特征数据，包括那些没有以任何方式参与交易的装置/用户。相反，用户的图像或其生物特征模板不应该与附近的每一部智能手机共享，这样用户的信息就不会受到不必要的传播。下文论述了用于实现此目的的技术。在此实例中，由于支付是通过使用不同凭证的单独购买交易进行的，因此智能手机试图误导POS，使其认为自己是其他人的威胁很小，甚至没有。这种类型的标识可能被认为是被动的。

在不同交易类型的类似过程中，例如，涉及在自动柜员机(ATM)上接收现金的过程，故意试图欺骗ATM上的标识过程可能会导致欺诈性资金接收。在此情况下，可以使用主动标识来进一步标识用户。在此情况下，用户可以提供由权威机构签名并且还包括用户身份信息的模板副本，而不仅仅是匹配生物特征模板。在此情况下，批准过程不仅会在用户和智能手机之间建立关系，还会在用户和用户身份之间建立之前与权威机构建立的关系。

可以使用同态加密算法，例如Paillier加密等等。基本前提是，对加密数据执行的操作与对未加密数据执行的操作具有相同的结果。如下文将更详细地论述，这允许对加密数据执行验证操作，以便在终端上进行匹配过程时，生物特征模板永远不会离开智能手机。

虽然这种过程的优势显而易见，但诸如Paillier之类的同态密码算法在此过程的某些阶段可能需要大量计算。例如，密钥生成和数据加密可能极其耗时，以至于在正常的诸如购买交易之类的加密交易中包括这些步骤可能是禁止的。以下描述公开了一种解决这些缺点的方法。此外，应用于生物特征的同态算法可能会产生足够大的数据集，从而对用户装置和终端(例如，POS或ATM)之间的发送时间产生不利影响。下文描述的打包数据的实施例将发送所需的数据缩减8倍，但其它缩减因数是可能的。非必要项的位遮蔽也有助于降低数据缩减过程中数据泄露的可能性。

在使用本技术的实施例中，匹配过程需要约300毫秒，初始通信有效载荷为55兆字节的数据，且之后每次通信的有效载荷为约1兆字节。

图1示出支持同态匹配过程的示例性系统100。终端102可以是POS装置，例如零售商处的收银机、ATM或生物特征认证可对其有用的任何其它装置，包括访问控制、记录保存或其它个人交易。终端102可包括通过数据总线105耦合到存储器106的处理器104、生物特征捕获装置112、加密模块114和无线接口116。存储器106可包括用于终端102的启动和基本操作的操作系统和实用程序108，包括通信和用户接口，如已知。交易处理模块110可处理购买者和/或支付工具、条码扫描仪或卡接受装置、主机系统和收单方之间的交互。

同态模块114可包括用于加密和解密的加密例程，以及用于根据从生物特征捕获装置112接收的生物特征数据生成模板的例程。这些数据可包括面部图像、指纹扫描、虹膜扫描、视网膜扫描、手掌轮廓数据、声纹等。下文论述与同态模块114相关联的更具体功能。无线接口116可包括Wi-Fi模块、蓝牙模块或任何允许终端102和外部实体之间的数据通信具有相对较高的速度的无线连接硬件和相关联协议。

系统100还可包括多个移动装置，例如智能手机118a、118b、118c和118d，或与其耦合。移动装置还可包括笔记本电脑、平板电脑、可穿戴装置或其它能够存储数据和双向通信的电子齿轮。

在操作中，用户120可靠近终端102以完成交易。终端102可能希望确定附近的哪一部(若存在)智能手机118与用户相关联。借助于图2-5，论述了此过程的若干不同场景。

转向图2，示出了仅标识装置的交互200，即被动交易。在步骤201处，用户装置118a可生成非对称密钥对pk,sk(公钥和秘密密钥)。此操作仅可在交易之前的任何时间完成一次。生物特征x可被收集且存储为一连串数据x₁-x_n，也称为生物特征模板，或更简单地称为模板。模板可被加密为值的集合，表示为[[x_n]]。生物特征数据的收集、生成和加密也仅可在其使用之前完成一次。由于密钥生成、模板生成和加密是与使用Paillier(同态)加密相关联的计算最密集的步骤，因此可以在装置不活动时执行这些数据的一次性预计算，从而节省交易期间的时间。

在步骤202处，在潜在交易开始时，终端102可收集用户120的生物特征测量，例如图像，并使用原始数据生成模板y。因为终端102可能具有比移动装置更少的限制，包括对电源的访问和更大的处理器，因此可以几乎实时地执行经由神经网络的模板生成。在其它实施例中，终端102和移动装置可在交易发起之前开始此初始步骤，例如在用户进入商店时开始。可继续进行步骤202：向周围的移动装置118a、118b、118c、118d请求模板匹配。尽管后续过程可以针对每个移动装置重复，但是为了清楚和简单起见，下面仅描述单个响应。

响应于所述请求，在步骤204处，可将智能手机的公钥和加密模板发送到终端102。在框206处，终端102可以使加密模板的每一项与本地模板的对应项相乘。如下文更多地论述，Paillier加密或其它加法同态加密方案的特性在于，对加密数据执行的操作产生的结果与对未加密数据执行的相同操作相同。

此时，终端没有关于用户生物特征模板的信息，只有它存在的信息。如果终端102向装置118a返回结果矩阵z，也就是x和y的内积，那么装置118a可能能够确定在终端处获取的模板。为了避免将此信息泄露给装置118a，终端102可向操作结果添加随机数B。在添加随机值后，装置118a无法从终端102发现任何关于模板的信息。

在步骤208处，将包括添加值B的加密值z从终端102发送到装置118a。在步骤210处，装置118a可对z进行解密以显示明文值z。解密过程比加密过程高效得多，因此相比于预期交易处理时间，装置118a可以及时地执行解密。此外，在步骤208处(以及下文在步骤212处)传递的数据显著小于框204处的初始传递。这有助于加快过程。

在步骤212处，可将此值返回到终端102。通过从z减去值B，可产生x和y的内积。如果此内积小于阈值，或在余弦相似性匹配的情况下内积足够接近值1，那么确认匹配。如上文所论述，因为生物特征匹配实际上并不用于完成交易，因此这种被动技术是可用的。匹配仅确认装置118a上的支付凭证可用于进行支付。如果装置118a采取步骤误导或欺骗终端102，使其认为自己是其他人，那么结果将仅仅是装置118a可能为了最终由另一用户获取的商品或服务而完成支付交易。换句话说，在这种场景下，没有欺骗的动机。

虽然在图2的实例中发送的数据的大小可以是可管理的，但图3示出了用于将至少初始数据传递的数据大小缩减多达八倍的打包技术。虽然可以进行更大和更小的大小缩减，但对于当前的系统配置，8倍可以在处理时间和数据发送时间之间提供经过优化的平衡。在步骤221处，类似于先前实例，装置118a可收集生物特征数据并生成密钥对。在此情况下，模板只能每隔八个值加密一次。在各种实施例中，跳过次数的值可以是加密水平(密钥大小)的函数。这在下文更多地论述。

因此，在此实例中，新的加密向量[[x'_j]]可比图2的实例的类似加密值小八倍。在步骤224处，响应于在步骤222处生成模板之后的请求，可将值发送到终端。在步骤226处，终端102将执行项(y_i,……,y_i+7)的类似分组以产生y'_j。在步骤228处，将相应分组相乘，并将所得值发送回到装置118a。

在步骤230处，随机值分组r＝(r0,…r7)可生成并被添加到解密值中以防溢出，如下文更详细地论述。在步骤232处，可将解密分组z'和值r'＝r₀+…+r₇返回到终端。在步骤234处，值p是z'和B之间的差，而内积是项减去r'之后的总和。

图4示出过程240，示出了用户/装置118a可能被高度激励以欺骗终端102的情况，例如在ATM取款时。在此情况下，装置118a可以向金融机构等权威机构注册加密模板，以将加密模板、权威密钥和用户120的身份绑定到签名对象σ中。在步骤242之后，步骤243和步骤244如上所述。步骤246不仅对本地模板和接收到的加密模板执行操作和添加值B，而且还使操作结果与第二随机值A相乘。

如上所述，在步骤248处，将值z发送到装置118a。在步骤250处，使用私钥sk对值z进行解密，此值在步骤252处返回到终端102。在步骤254处，从z减去值B，并将结果除以A以确定内积值。

图5示出图3的过程240，示出了在装置118a试图欺骗终端102以使其认为存在匹配时值A的效果。在步骤250处，装置118a可尝试向所得解密值添加(或减去)值e，使得终端102会得出关于所述值的不正确结论。然而，可以选择A的值，使得任何改变值z的尝试将导致返回的z+e项在乘以A^-1时将远高于阈值t，由于明文空间较大。模量数学的使用确保即使终端102不知道e的值，仍可检测改变返回值的任何尝试。

一旦匹配完成，例如在图4，就可以使用权威公钥从加密令牌中提取用户标识符。这实际上创建了一个双因素验证，第一个是生物特征的匹配，第二个是令牌/对象σ的拥有。

下文描述加密和填充过程的细节。

1简介

我们的目标是使持卡人的手机能够存储他们的生物特征数据/模板r，并安全地使不受信任的支付终端能够确定其进行的生物特征测量是否与模板v匹配。出于各种原因，这必须在不向终端显示v或不向手机透露测量的情况下进行。通信信道为蓝牙或Wi-Fi。当前的协议实施方案大约在0.3秒内实现这一操作，一次比较需要55MB的通信，之后每次比较需要1MB的通信。

1.1生物特征

生物特征认证领域在某些用例下得到了很好的探索。对于面部和指纹生物特征，许多最有效的方法都遵循一个类似的框架，此框架建立在机器学习和神经网络的基础上。事先，给定许多原始生物特征测量(例如，人脸照片或指纹扫描)，可以训练神经网络将新的生物特征测量“嵌入”到向量空间中

这样就可以轻松比较两个嵌入值，以确定它们是否来自同一源，即人。具体地说，我们将考虑“比较”函数是余弦相似性函数的嵌入。函数输出在[—1,1]中的值，此值与

中的两个向量之间的角度成比例。也就是说，当两个嵌入之间具有较小角度时，它们被认为是匹配的。更确切地说，对于阈值t∈(0,1]，我们假设如果符合以下条件，那么两个嵌入

彼此匹配：

综合在一起，假设NeuralNet是输出嵌入的经过训练的神经网络。如果符合以下条件，那么可以说这两个测量m₁、m₂是匹配的：

t<CosineSim(NeuralNet(m₁),NeuralNet(m₂))

在本文的其余部分中，我们将

中的这些嵌入称为生物特征模板。

1.2设置

广义地说，我们的目标是允许用户使用其生物特征数据对终端(如Visa卡终端、ATM)进行认证。从纯功能的角度来看，我们希望终端获取用户/客户的测量(例如照片)m*，然后应该学习是否存在与之匹配的用户的预注册测量muser，即学习用户，使得

t<CosineSim(NeuralNet(m^*),NeuralNet(m_user))

这个问题的一个简单解决方案是为每个用户维持一个含有测量m_user的大型数据库。当终端获取客户的测量m^*时，终端将m^*发送到中心服务器，它在存在匹配m_user时进行计算。一个问题是，由于具有许多用户，将全部m_user与m^*进行比较可能比较昂贵。其次，阈值t必须非常严格，以确保m_user是唯一的。由于拒绝有效客户测量(照片)的可能性增加，这可能会导致糟糕的用户体验。最后，Visa不希望维持用户生物特征数据的数据库，因为存在隐私问题，并且在安全漏洞期间有泄露该数据的风险。例如，rouge终端可以简单地开始询问中央服务器数据库中是否含有随机/可能的模板v，以及匹配的用户ID(如果存在)。

1.3同态加密

我们构建的解决方案依赖于被称作(加法)同态加密的技术。经典加密允许实体对随机密钥k采样，然后将数据加密为c＝Enc_k(m)。我们还使用符号

表示

基于某一密钥进行加密。同态加密扩展了此概念，以允许具有

的实体“添加”密文以获得加在一起的基础值的密文。即，

添加两个密文的能力意味着加密方案是加法同态的。m₁+m₂的计算执行为对某一整数p进行模运算。此类方案的实例被称作Paillier加密。加法同态加密还具有可通过重复执行加法而将密文

与明文m₂相乘的性质。即，

一些加密是乘法同态的，这意味着密文可以一起相乘。即，

例如，ElGamal加密是乘法同态。如果一种方案既是加法同态又是乘法同态，那么它被称为完全同态加密方案。

除非另行说明，否则本文中的协议只需要为加法同态。因此，完全同态加密方案也与我们的协议兼容。

2概述

这种解决方案采用了一种不同的方法，让用户在自己的手机上存储他们的生物特征数据m_user。这种方法的优点是，整个数据收集没有单点故障。此外，仅在手机中存储生物特征数据符合现有FIDO标准。对中央服务器甚至手机的入侵并不会透露所有用户的生物特征数据。

针对本申请考虑了若干实体。具有自己的移动装置和预注册的生物特征测量m_user的用户。此用户正在运行将执行以下协议的银行应用程序。中央服务器将帮助认证，但是绝不会存储单纯的生物特征数据。最后，用户将与之交互的终端。此终端可与双方通信并且相信服务器是诚实的。一旦设置好，终端就不需要与服务器对话来认证用户。终端配备有生物特征读取器(例如指纹读取器或摄像头)。

协议的总体流程在图1中给出。在注册阶段，用户对其生物特征数据进行加密，并将其发送到服务器。然后，使用加密方法(例如，签名)将生物特征数据绑定到用户的身份，以生成支付/身份令牌。此令牌将返回给用户，并且仅对该用户有效，并且仅在使用此精确加密模板的生物特征支付的情况下有效。

在比较阶段，终端将与附近的装置/用户建立信道(例如，通过蓝牙或Wi-Fi)，并与每个装置/用户运行比较协议。终端具有一个(或多个)测量，并希望标识哪些用户注册了匹配的生物特征。每个用户将通过向终端发送他们的令牌σ_user和加密模板

来开始。

当终端获取测量

时，它首先计算模板v_i＝NeuralNer(m_i)，并将其归一化为v′_i＝v_i/‖v_i‖₂。接着得到CosineSim(u,v_i)＝∑_ju′_jv′_i,j。使用加法同态加密，终端可以将CosineSim(u,v_i)的加密计算为

然后，此加密可发送到用户进行解密。然而，这将向用户而不是终端透露结果。这通过使终端一次性地用随机值r_i将结果遮蔽为

来校正。用户解密并将xi发回，以允许终端计算CosineSim(u,v_i)＝x_i+r_i。

相比于解决此计划的“标准”方法，此协议有一些显著的改进。首先，此协议针对用户模板固定并且将与服务器测量

进行比较的情况进行了优化。具体地说，用户仅发送用于计算l个较小结果

的大向量

一次。这大大提高了协议在预期用例中的效率。

例如，当用户走进商店时，他们的装置可发送

到终端。这将包括装置和终端之间的大部分通信，例如55KB。由于

是大约n＝512个元素的向量，因此该消息比较大。随后，当终端获取测量

时，它们可计算比

小n倍的单个元素

并将其发送到用户装置。这不仅通过允许终端重复使用

减少了整体通信，还减少了由于在获取测量之前发送

而导致的时延。在使用Paillier加密的实践中，发送

目前需要大约55KB的通信，而

和x_i结合起来需要不到1KB。

这种方法的第二个优点是，用户在注册阶段只生成一次加密

由于Paillier加密效率较低，而计算和解密效率较高，这一点尤其令人关注。例如，加密u′

图I：bask协议的概述。

可能需要数秒，而协议的其余部分需要的比一秒少得多。因而，如果用户必须针对每次测量对u′进行新的加密，那么就本申请的实用性而言，Paillier加密的使用可能会非常低效/耗电。

相比于将测量

与含有所有注册测量m_user的中央数据库进行比较，这种方法的一个优点是，终端可以显著缩小搜索范围，仅搜索附近用户的测量。例如，附近可能有20个用户，而用户总数可能是1亿或更多。这可以让我们将阈值t设置得更宽松，并降低拒绝一对匹配测量的概率。

3批处理和Paillier加密

现在，我们引入了一种新的Paillier加密优化，它将bask协议的通信开销减少了大约4到8倍。Paillier是带明文空间

的加法同态，其中p、q是大素数。p、q的典型大小为1024位，这意味着一个Paillier密文可含有2048位的明文数据。然后，安全级别将类似于具有2048位密钥的RSA。在生物特征应用中，我们必须对向量u＝(u₁,…,u_n)进行加密。这样做的标准方法是对每个u_i单独进行加密，从而得到

个密文

然而，这是非常浪费的，因为每个元素u′_i通常最多可以使用32位来表示，而密文的大小足以容纳2048位。由于安全限制，Paillier密文的大小不能变小。

3.1编码

长期以来，人们都知道一种称为打包的方法，可以将多个值编码成密文。其概念是将多个元素放入一个密文中，它们之间的填充为零。例如，u₁、……、

的打包可以计算为

其中d是每个元素之间的填充位的数目。给定两个此类打包值u^*、v^*，添加它们得到

即，以编码格式添加每个元素。此处使用

个填充位，以确保如果u_i+v_i生成进位位，即u_i+v_i≥2m，那么所述进位将存储在填充位中。在此情况下，

就足够了。更一般来说，只要任何位置都不需要超过m′＝m+d位来表示，这种方法就行之有效。

当将单个值

与编码向量v^*相乘时，这种编码也起作用。具体地说，

我们再次要求

足够大，以确保xv_i可以用m′＝m+d位表示。在此情况下，d＝m就足够了。然而，将两个向量按分量相乘(阿达马积)在这种格式下不起作用。例如，如果n＝2，那么

v^*u^*＝2^0m′v₁u₁+2^1m′(v₁u₂+v₂u₁)+2^2m′v₂u₂

尽管没有期望的2^0m′v₁u₁+2^m′v₂u₂，但可以观察到，所关注值(v₁u₁、v₂u₂)存储在结果中，只是v₂u₂位于与输入不同的位置。我们将其称为“2级”位置。很容易验证，对于任何

v^*u^*＝v₁u₁+2^m′(…)+2^2m′(…)+…+2^(2n-2)m′v_nu_n

v₁u₁和u_nu_n可以恢复，但是其它(……)项将由u_i和v_j之间的各种交叉项组成。现在我们展示了一种新的编码策略，它允许我们从不同的位置v^*u^*恢复所有结果项v_iu_i。假设n＝3，此时u_1,…,u_n被编码为

u^*＝u₁+2^m′u₂+2^3m′u₃

应注意，2^2m′的位置设置为零。如果使用这些编码将v^*u^*相乘，那么我们得到

v₁u₁+2^m′(v₁u₂+v₂u₁)+2^2m′v₂u₂+2^3m′(v₁u₃+v3₂u₁)+

2^4m′(v₂u₃+v₃u₂)+2^5m′(0)+2^6m′v₃u₃。

此处的“2级”位置是0、2、6，即，每一v_iu_i的第一位在位索引0、2m'、6m'处开始。然后将一般概念扩展到任意的n值。具体地说，给定具有n-1个元素的向量的合适编码，可以通过将2^nim′u_n添加到现有编码中来执行n个元素的编码，其中n′是最小整数，从而在位置n′处不编码先前的元素，并且引入的新交叉项不会与先前的输出位置冲突。例如，如果n＝3，那么n′＝3而不是2(下一个可用的输入位置)，因为v₂u₂的输出位置会被交叉项(v₁u₃+v₃+u₁)模糊。定义这些值的I索引，使得

u^*＝∑_i2^m′I[i]u_i

是编码。

对于这种编码策略，我们还必须确保d足够大，使得任何交叉项的溢出都不会超过m′＝m+d位。

3.2遮蔽

编码策略的一个问题是，如果我们向一方透露v^*u^*，那么他们将学习{v₁u₁|i∈[n]}和所有其它位置的值。例如，在n＝2时，学习v^*u^*也会透露v₁u₂+v₂u₁，这是不可取的。通过向每个位置添加额外的随机值，可以克服此问题。在对向量进行编码时，我们现在使每个槽的大小为m′+λ位，即

并且当我们解密/显示v^*u^*时，我们现在显示

相反，r_i是

中的统一值，

用我们希望隐藏的交叉项对位置进行索引。为了确保添加r_i项不会损坏其它位置，我们要求交叉项和r_i之间的添加不会溢出所述位置的m′+λ位。记住，我们保证m′足够大，可以容纳交叉项。因此，溢出概率是r_i的前λ位全为一的概率。发生这种情况的概率2^-λ可以任意减小，以使总体错误概率是可接受的。

3.3已签名值

还可支持已签名值。这是通过使用值的二补码编码来实现的。给定m位已签名值，将其编码为二补码2m位数字¹。

此扩展的要求是确保将其中两个值相乘后乘积的前2m位。这种方法的一个安全结果是，我们必须扩展上述遮蔽方法，以隐藏4m位乘积的前2m位。如果这些位没有被遮蔽，那么当乘积被显示时，解密后的结果可以区分两个正值和两个负值，它们会产生相同的逻辑值，即负数的乘积在前2m位中至少有一个1，而另一个不会。

无论如何，这些前2m位可以在上述遮蔽技术的简单扩展中被遮蔽。

3.4内积

到目前为止，我们仅论述了计算逐分量乘法。然而，我们需要计算内积。

高层级的理想情况如下，其中我们每密文编码8个值：

1.每一方计算若干编码

(a)

(b)

2.用户加密

并将它们发送到终端。

3.终端计算

并将其发送给用户。

4.用户解密

并计算

其中r*是随机值

的“2级”处的编码，m′是每一位置处“未遮蔽”位的数目。用户发送s*和

5.终端计算x*＝s*-B，并将它解码到x1、……、x₈，并且计算

这里必须格外小心，以确保在每个值之间放置足够的填充位，保证不会发生溢出。这可以通过计算任何位置的最大值来完成。

作为优化，如果先验地知道内积不会超过某个给定值，那么可能需要更少的填充位。这是余弦相似性的情况，其中内积可la*最多为1(乘以某一比例因子)，而每个乘积u_iv_i也可最多为1。此观察结果可以用来证明log₂n需要更少的填充位。这与唯一的约束条件是u_iv_i可最多为1的情况形成了对比，这意味着内积可以大到n。

完全同态加密(FHE)可以按照与Paillier加密类似的方式使用。实际上，它计算效率更高，但需要增加通信开销。通过仔细的优化，这种额外的开销可以最小化。FHE的一个优点是，它可以用来提供更有力的保证，确保用户的加密模板

的形式正确。需要进一步调查。

当前概念的技术效果是，即使匹配过程发生在用户请求认证的终端装置上，用户的生物特征模板也只会被用户所有。这是一个技术问题的技术解决方案，即保护个人生物特征数据的完整性，使其在与外来和未知装置一起使用所述生物特征时免受危害。类似地，此过程确保捕获个人生物特征数据的终端装置在试图发现与之交互的正确装置时不会将所述数据泄露给其它装置。

此外，所公开的位打包过程克服了之前的进位位问题，使得装置之间传递的数据大小显著减少，从而显著提高速度。

根据本公开的系统和方法对用户和商家都有利。生物特征匹配可以在与用户120几乎没有交互的情况下发生，并且完成交易，使得用户甚至不需要从钱包或口袋中取出他或她的装置118a。这简化了交互，同时减少了从钱包或口袋中取出装置118a带来的不便和威胁。更重要的是，生物特征匹配在终端102或任何其它服务器不需要临时处理用户的生物特征模板的情况下发生。所述信息仅存储在用户的装置118a上。终端102可以在交易期间直接从用户搜集生物特征数据，但在没有方法注册所述信息的情况下，所述模板几乎没有价值。通常，商家不希望在发生违约时对此类用户数据负责，并且会在交易后系统性地丢弃此类信息。

仅出于说明的目的，各图描绘了优选实施例。所属领域的技术人员将从所附论述中容易地认识到，在不脱离本文描述的原理的情况下，可使用在本文中示出的结构和方法的替代实施例。

在阅读本公开后，所属领域的技术人员将通过本文公开的原理了解本文中描述的系统和方法的额外替代结构设计和功能设计。因此，虽然已示出和描述了特定实施例和应用，但应理解，所公开的实施例不限于本文中公开的精确构造和部件。在不脱离任何所附权利要求限定的精神和范围的情况下，可对本文公开的系统和方法的布置、操作和细节做出各种修改、改变和变化，这对于所属领域的技术人员来说是显而易见的。

Claims (20)

1.一种用于向第二装置认证用户的第一装置的计算机实施方法，所述方法包括：

从第一装置接收密文和公钥，其中所述密文通过以下操作创建：

使用所述第一装置为所述用户制备第一生物特征模板；

利用多个打包值将所述第一生物特征模板打包以创建打包的生物特征模板；以及

使用同态加密对所述打包的生物特征模板进行加密以创建密文；

使用所述第二装置的一个或多个传感器获得所述用户的第二生物特征测量；

使用所述密文和所述第二生物特征模板计算经加密相似性度量；

使用所述经加密相似性度量、遮蔽值和经由所述公钥的同态加密计算加密代码，其中所述遮蔽值添加到所述相似性度量中以创建经遮蔽相似性度量；

将所述加密代码发送到所述第一装置，其中所述第一装置使用所述公钥对所述加密代码进行解密；

从所述第一装置接收所述经遮蔽相似性度量；

使用所述经遮蔽相似性度量和所述遮蔽值计算比较度量；

将所述比较度量与阈值进行比较；以及

当所述比较度量小于所述阈值时提供对资源的访问。

2.根据权利要求1所述的方法，其中所述第一生物特征模板包括第一生物特征值向量。

3.根据权利要求2所述的方法，其中制备生物特征模板包括：

使用所述第一装置的一个或多个传感器获得所述用户的第一生物特征测量；以及

将所述用户的所述第一生物特征测量发送到神经网络以计算所述第一生物特征值向量。

4.根据权利要求3所述的方法，其中所述第一生物特征测量是所述用户的面部图片。

5.根据权利要求1所述的方法，其中所述密文保存在所述第一装置的存储器中。

6.根据权利要求1所述的方法，其中所述第二生物特征测量是所述用户的面部图片。

7.根据权利要求1所述的方法，其中所述第二生物特征模板包括第二生物特征值向量。

8.根据权利要求1所述的方法，其中所述多个打包值包括八个值。

9.根据权利要求1所述的方法，其中所述密文通过通信网络发送到所述第二装置。

10.根据权利要求9所述的方法，其中所述通信网络是Wi-Fi网络或支持蓝牙的网络。

11.一种用于向第二装置认证用户的第一装置的计算机实施方法，所述方法包括：

从第一装置接收密文和公钥，其中所述密文通过使用同态加密对第一生物特征模板进行加密来创建；

使用所述第二装置的一个或多个传感器获得所述用户的第二生物特征测量；

使用所述密文和所述第二生物特征模板计算经加密相似性度量；

使用所述经加密相似性度量、第一遮蔽值、第二遮蔽值和经由所述公钥的同态加密计算加密代码，其中所述相似性度量乘以所述第一遮蔽值以创建第一经遮蔽相似性度量，且所述第二遮蔽值添加到所述第一经遮蔽相似性度量中以创建第二经遮蔽相似性度量；

将所述加密代码发送到所述第一装置，其中所述第一装置使用所述公钥对所述加密代码进行解密；

从所述第一装置接收所述第二经遮蔽相似性度量；

使用所述第二经遮蔽相似性度量、所述第一遮蔽值和所述第二遮蔽值计算比较度量；

将所述比较度量与阈值进行比较；以及

当所述比较度量小于所述阈值时提供对资源的访问。

12.根据权利要求11所述的方法，其中所述第一生物特征模板包括第一生物特征值向量。

13.根据权利要求12所述的方法，其中使用所述第一装置的一个或多个传感器获得所述用户的第一生物特征测量来获得所述第一生物特征值向量，其中所述用户的所述第一生物特征测量发送到神经网络以计算所述第一生物特征值向量。

14.根据权利要求13所述的方法，其中所述第一生物特征测量是所述用户的面部图片。

15.根据权利要求11所述的方法，其中所述密文保存在所述第一装置的存储器中。

16.根据权利要求11所述的方法，其中所述第二生物特征测量是所述用户的面部图片。

17.根据权利要求11所述的方法，其中所述第二生物特征模板包括第二生物特征值向量。

18.根据权利要求11所述的方法，其中所述密文通过通信网络发送到所述第二装置。

19.根据权利要求18所述的方法，其中所述通信网络是Wi-Fi网络或支持蓝牙的网络。

20.根据权利要求19所述的方法，其中所述第一遮蔽值是2000位数字。

Images