CN116015846A - 身份认证方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种身份认证方法、装置、计算机设备、存储介质和计算机程序产品。所述方法包括：获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；采用本地私钥对待签名消息进行签名，得到第一签名消息；基于应用公钥和第一签名消息，得到加密后的签名消息；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。采用本方法能够提高身份认证效率。

Description

身份认证方法、装置、计算机设备和存储介质

技术领域

本申请涉及区块链技术领域，特别是涉及一种身份认证方法、装置、计算机设备、存储介质和计算机程序产品。

背景技术

Ukey(USBKey，USB接口的硬件存储设备)，又叫智能密码钥匙，是一种通过USB(通用串行总线接口)直接与计算机相连接、具有密码验证功能、可靠高速的小型存储设备。Ukey本身作为密钥存储器，其自身的硬件设计结构，内部控制芯片，只允许被写入证书，不允许被读取证书。金融行业中大量使用UKey硬件设备，如U盾，认证UKey，电子签章UKey，财务税控盘等。这些Ukey散落在各部门中，被不同的员工进行掌握，管理起来比较麻烦，每次使用都要随身携带UKey设备，极大的影响客户体验。现在的金融机构涉及到的业务场景繁多，信息量巨大，如果每次业务交易的身份认证都依赖于Ukey的传统方式，存在身份认证效率的问题。

发明内容

基于此，有必要针对传统依赖于Ukey的身份认证方法存在身份认证效率的问题，提供一种能够提高身份认证效率的身份认证方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。

第一方面，本申请提供了一种身份认证方法。所述方法包括：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

采用本地私钥对待签名消息进行签名，得到第一签名消息；

基于应用公钥和第一签名消息，得到加密后的签名消息；

获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；

基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

在其中一个实施例中，待签名消息包括应用数字身份标识；基于应用公钥和第一签名消息，得到加密后的签名消息，包括：

根据应用数字身份标识，确定应用公钥；

获取本地数字身份标识；

对本地数字身份标识和第一签名信息进行封装，获得封装信息；

采用应用公钥对封装信息进行加密，得到加密后的签名消息。

在其中一个实施例中，根据应用数字身份标识，确定应用公钥，包括：

基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；

接收分布式数字身份系统发送的应用公钥。

在其中一个实施例中，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息，包括：

将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台；

获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

在其中一个实施例中，第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；基于本地公钥和第二签名消息，确定解密结果，包括：

获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果；

在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥；

采用本地公钥对解密后的签名消息进行解密，得到解密结果。

在其中一个实施例中，获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，包括：

获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；

对签名二维码进行解析，得到消息索引；

基于消息索引，从消息中心中查询得到待签名消息。

第二方面，本申请还提供了一种身份认证装置。所述装置包括：

消息获取模块，用于获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

签名模块，用于采用本地私钥对待签名消息进行签名，得到第一签名消息；

加密模块，用于基于应用公钥和第一签名消息，得到加密后的签名消息；

解密模块，用于获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；

结果确定模块，用于基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

第三方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

采用本地私钥对待签名消息进行签名，得到第一签名消息；

基于应用公钥和第一签名消息，得到加密后的签名消息；

获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；

基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

第四方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

采用本地私钥对待签名消息进行签名，得到第一签名消息；

基于应用公钥和第一签名消息，得到加密后的签名消息；

获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；

基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

第五方面，本申请还提供了一种计算机程序产品。所述计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

采用本地私钥对待签名消息进行签名，得到第一签名消息；

基于应用公钥和第一签名消息，得到加密后的签名消息；

获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；

基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

上述身份认证方法、装置、计算机设备、存储介质和计算机程序产品，通过获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，采用本地私钥对待签名消息进行签名，得到第一签名消息，基于应用公钥和第一签名消息，得到加密后的签名消息，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。这种采用应用平台的应用公钥加密和应用私钥解密的方法能够提高签名消息的安全性。基于本地公钥和第二签名消息，确定解密结果，在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。这种采用本地私钥签名和本地公钥解密的方法能够保证待签名消息不被篡改，有利于身份认证的安全性以及提高身份认证的效率。

附图说明

图1为一个实施例中身份认证方法的应用环境图；

图2为一个实施例中身份认证方法的流程示意图；

图3为一个实施例中S203的子流程示意图；

图4为一个实施例中S204的子流程示意图；

图5为一个实施例中S205的子流程示意图；

图6为一个实施例中S201的子流程示意图；

图7为一个实施例中身份认证系统的组成示意图；

图8为一个实施例中获取待签名消息之前的方法流程示意图；

图9为一个实施例中身份认证方法的总体流程示意图；

图10为一个实施例中身份认证装置的结构框图；

图11为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请实施例提供的身份认证方法，可以应用于如图1所示的应用环境中。其中，终端102通过网络与服务器104进行通信。数据存储系统可以存储服务器104需要处理的数据。数据存储系统可以集成在服务器104上，也可以放在云上或其他网络服务器上。本申请实施例提供的身份认证方法，可由终端102或者服务器104单独执行，也可由终端102和服务器104协作执行，以由终端102单独执行为例：获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；采用本地私钥对待签名消息进行签名，得到第一签名消息；基于应用公钥和第一签名消息，得到加密后的签名消息；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。其中，终端102可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑、物联网设备和便携式可穿戴设备，物联网设备可为智能音箱、智能电视、智能空调、智能车载设备等。便携式可穿戴设备可为智能手表、智能手环、头戴设备等。服务器104可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，如图2所示，提供了一种身份认证方法，以该方法应用于计算机设备(该计算机设备可以为图1中的终端102或者服务器104)为例进行说明，包括以下步骤：

S201，获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息。

其中，应用平台为业务处理过程中需要进行身份认证的软件应用平台。本申请提出的身份认证方法应用于计算机设备中的身份认证平台。在一些实施例中，身份认证平台为身份认证小程序，身份认证平台可以是在通讯软件上开发的小程序，无需下载安装即可使用的应用。在应用平台接收到需要身份认证的业务请求时，生成待签名消息，身份认证平台对待签名消息进行签名和签名验证，对于身份认证平台验证通过的待签名消息，应用平台将确定业务请求的身份认证通过，从而进行业务请求对应的业务处理。

待签名消息是未进行签名的消息数据。本申请对待签名消息的数据类型不做具体限定。计算机设备中的身份认证平台获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息。

S202，采用本地私钥对待签名消息进行签名，得到第一签名消息。

其中，本地私钥指的是计算机设备的身份认证平台的私钥。私钥是与公钥配对的一小部分代码，用于加密和解密的算法。公钥与私钥是通过加密算法得到的一个密钥对(即一个公钥和一个私钥，也就是非对称加密方式)。通过加密算法得到的密钥对可以保证在世界范围内是唯一的。使用密钥对的时候，如果用其中一个密钥加密一段数据，只能使用密钥对中的另一个密钥才能解密数据。如果用私钥进行加密也必须使用对应的公钥才能解密，否则将无法成功解密。私钥则是非公开的部分，由目标对象自行保管。身份认证平台的本地私钥保存在身份认证平台安装所在的计算机设备中。第一签名消息是对待签名消息进行签名后的到的签名消息。计算机设备采用本地私钥对待签名消息进行签名，得到第一签名消息。

S203，基于应用公钥和第一签名消息，得到加密后的签名消息。

其中，加密后的签名消息是采用应用公钥加密后的得到的加密后的消息。应用公钥指的是应用平台的公钥。可选地，应用公钥可以保存在安装引用平台的计算机设备，或者保存在区块链上。公钥是密钥对中公开的部分，公钥可对会话进行加密、验证数字签名，只有使用对应的私钥才能解密会话数据，从而保证数据传输的安全性。计算机设备中的身份认证平台基于应用公钥和第一签名消息，得到加密后的签名消息。

S204，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。

其中，应用私钥指的是应用平台的私钥，应用私钥保存在应用平台安装所在的计算机设备中。应用私钥和应用公钥是一对密钥对，应用私钥可以对应用公钥加密的数据进行解密。应用平台采用应用私钥对应用公钥加密得到的加密后的签名消息进行解密，得到的解密后的签名消息即为第二签名消息。计算机设备中的身份认证平台获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。

S205，基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

其中，本地公钥指的是计算机设备中身份认证平台的公钥。可选地，本地公钥可以保存在计算机设备本地，或者保存在区块链上。本地公钥对本地私钥是一对密钥对，本地公钥可以对本地私钥加密的数据进行解密。

计算机设备中的身份认证平台基于本地公钥和第二签名消息，确定解密结果。解密结果用于表征本地公钥的是否解密成功的结果。解密结果包括解密成功和解密失败。在解密结果指示解密成功的情况下，计算机设备中的身份认证平台确定本地公钥解密成功，第二签名消息中的签名消息将被本地公钥解密，得到解密后的消息。计算机设备中的身份认证平台基于解密后的消息确定业务请求的身份认证结果为认证通过，应用平台将进行业务请求对应的业务处理。

上述身份认证方法中，通过获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，采用本地私钥对待签名消息进行签名，得到第一签名消息，基于应用公钥和第一签名消息，得到加密后的签名消息，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。这种采用应用平台的应用公钥加密和应用私钥解密的方法能够提高签名消息的安全性。基于本地公钥和第二签名消息，确定解密结果，在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。这种采用本地私钥签名和本地公钥解密的方法能够保证待签名消息不被篡改，有利于身份认证的安全性以及提高身份认证的效率。

在一个实施例中，如图3所示，待签名消息包括应用数字身份标识；基于应用公钥和第一签名消息，得到加密后的签名消息，包括：

S302，根据应用数字身份标识，确定应用公钥。

其中，应用数字身份标识是应用平台的数字身份标识。在一些实施例中，应用数字身份标识的类型可以为分布式数字身份(DID，Decentralized Identity，去中心化身份体系)。DID标识是一个特定格式的字符串，用来代表一个实体的数字身份，这里的实体可以是人、机、物。基于区块链建立的DID数字身份系统具有保证数据真实可信、保护用户隐私安全、可移植性强等特征。每个应用数字身份标识对应一个DID文档，DID文档中包含应用公钥。在一些实施例中，DID文档保存在区块链中。计算机设备中的身份认证平台根据应用数字身份标识，确定应用公钥。

S304，获取本地数字身份标识。

其中，本地数字身份标识指的是登录身份认证平台的目标对象的数字身份标识。可选地，本地数字身份标识的类型可以是分布式数字身份DID。计算机设备中的身份认证平台获取本地数字身份标识。

S306，对本地数字身份标识和第一签名信息进行封装，获得封装信息。

其中，身份认证平台对本地数字身份标识和第一签名信息进行封装，获得封装信息。具体地，将本地数字身份标识和第一签名信息封装到一个结构体中，得到封装信息，便于对本地数字身份标识和第一签名信息一起加密传输。

S308，采用应用公钥对封装信息进行加密，得到加密后的签名消息。

其中，身份认证平台采用应用公钥对封装信息进行加密，得到加密后的签名消息。可选地，应用公钥采用的加密方法可以为RSA256(一种非对称加密算法)或者国密SM2(椭圆曲线公钥密码算法)。加密后的签名信息包括加密后的本地数字身份标识和加密后的第一签名信息。

本实施例中，通过应用数字身份标识，确定应用公钥，获取本地数字身份标识，对本地数字身份标识和第一签名信息进行封装，采用应用公钥对封装信息进行加密，得到加密后的签名消息。这种采用应用公钥对封装后的本地数字身份标识和第一签名信息进行加密，能够将本地数字身份标识和第一签名信息一起加密，便于封装信息的加密传输，有利于数据的安全性，提高身份认证的效率。

在一个实施例中，根据应用数字身份标识，确定应用公钥，包括：基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。

其中，身份认证平台通过应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求。分布式数字身份系统是计算机设备中提供数字身份标识管理的软件平台。分布式数字身份系统接收到应用数字身份标识后，对应用数字身份标识进行有效性判断，从而验证应用数字身份标识的有效性和真实性。在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档。应用数字身份文档存储在区块链中，能够保证数字身份文档的安全性和可靠性。每个应用数字身份标识对应一个应用数字身份文档，应用数字身份文档中保存了应用公钥。分布式数字身份系统向区块链网络查询应用数字身份文档，接收区块链返回的应用数字身份文档。分布式数字身份系统对应用数字身份文档进行解析，得到应用公钥，并将应用公钥返回给身份认证平台。

身份认证平台接收分布式数字身份系统发送的应用公钥。

本实施例中，通过应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档，解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。这种基于应用数字身份标识，通过分布式数字身份系统向区块链网络中查询并解析出应用公钥的方法，能够保证应用公钥的安全性，有利于提高身份认证的效率。

在一个实施例中，如图4所示，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息，包括：

S402，将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台。

其中，消息中心是消息的存储单元。可选地，消息中心可以是结构体，或者数据库。消息中心中存储的是待签名消息。身份认证平台将加密后的签名消息发送至消息中心。消息中心将存储的待签名消息更新为加密后的签名消息。消息中心将加密后的签名消息发送至应用平台。

S404，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

其中，应用平台接收到加密后的签名消息后，采用应用私钥对加密后的签名消息进行解密，得到第二签名消息。

本实施例中，通过将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。这种将加密后的签名消息发送至消息中心，能够保证消息中心中是加密后的签名消息，有利于提高消息的安全性。

在一个实施例中，如图5所示，第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；基于本地公钥和第二签名消息，确定解密结果，包括：

S502，获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果。

其中，可验证数字凭证(Verifiable Credentials，VC)是现实世界中物理凭证的一种数字化表现形式，能够将物理身份凭证的实用性和可移植性转移到的数字设备中。第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息。应用平台对解密后的本地数字身份标识进行凭证校验，获得校验结果。身份认证平台获取应用平台发送的校验结果。

S504，在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥。

其中，在解密后的本地数字身份标识对应的校验结果指示校验通过的情况下，身份认证平台采用解密后的本地数字身份标识，向区块链网络查询本地公钥。具体地，身份认证平台将解密后的本地数字身份标识发送至分布式数字身份系统，分布式数字身份系统对解密后的本地数字身份标识进行有效性判断，从而验证解密后的本地数字身份标识的有效性和真实性。在有效性判断结果指示解密后的本地数字身份标识有效的情况下，向区块链网络查询目标数字身份文档。目标数字身份文档存储在区块链中，能够保证数字身份文档的安全性和可靠性。每个解密后的本地数字身份标识对应一个目标数字身份文档，目标数字身份文档中保存了本地公钥。分布式数字身份系统向区块链网络查询目标数字身份文档，接收区块链返回的目标数字身份文档。分布式数字身份系统对目标数字身份文档进行解析，得到本地公钥，并将本地公钥返回给身份认证平台。

身份认证平台接收分布式数字身份系统发送的本地公钥。

S506，采用本地公钥对解密后的签名消息进行解密，得到解密结果。

其中，身份认证平台采用本地公钥对解密后的签名消息进行解密，得到解密结果。解密后的签名消息与第一签名消息的内容相同，由于第一签名消息是采用本地私钥对待签名消息进行签名得到，因此，采用本地公钥对解密后的签名消息进行解密，能够得到签名前的消息，签名前的消息即为待签名消息。解密结果用于指示本地公钥解密为解密成功或者解密失败。

本实施例中，通过获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果，在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥，采用本地公钥对解密后的签名消息进行解密，得到解密结果。这种对解密后的可验证数字凭证进行凭证校验有利于保证解密后的可验证数字凭证有经过验证的可靠的凭证，有利于提高数据的安全性。采用解密后的本地数字身份标识向区块链网络查询本地公钥，从而对解密后的签名消息进行解密，进一步提高了数据的安全性，有利于提高身份认证的效率。

在一个实施例中，如图6所示，获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，包括：

S602，获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码。

其中，签名二维码是包含待签名消息的消息索引的二维码。应用平台在接收到需要身份认证的业务请求时，生成签名二维码，身份认证平台接收应用平台生成的签名二维码。

S604，对签名二维码进行解析，得到消息索引。

其中，身份认证平台对签名二维码进行解析，得到消息索引。消息索引用以指示消息中心中对应的消息内容。

S606，基于消息索引，从消息中心中查询得到待签名消息。

其中，身份认证平台通过消息索引，从消息中心中查询得到消息索引对应的待签名消息。

本实施例中，通过获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码，对签名二维码进行解析，得到消息索引，从消息中心中查询得到消息索引对应的待签名消息。这种通过将消息索引保存在签名二维码中，在业务请求发起时，通过签名二维码索引到待签名消息，有利于提高身份认证的效率。

在一个实施例中，本地数字身份标识的创建步骤，包括：创建本地身份标识；对经过实名认证通过的本地身份标识生成助记词；在接收到输入安全码时，基于助记词，创建本地数字身份标识。

其中，身份认证系统为登录的目标对象创建本地身份标识。每个目标对象对应一个本地身份标识。身份认证系统对经过实名认证通过的本地身份标识生成助记词。在一些实施例中，助记词的生成方法可以为创建128到256位的随机序列(熵)，通过获取SHA256哈希的第一(熵长度/32)位来创建随机序列的校验和，将校验和添加到随机序列的末尾，将随机序列分成11位的部分，将每个11位值映射到来自2048个单词的预定义字典中的单词，从而得到助记词。在身份认证系统接收到目标对象的输入安全码时，身份系统基于助记词，创建本地数字身份标识。输入安全码为目标对象自定义的安全码。输入安全码的类型可以为数字类型、字符类型或者字符加数字类型。

本实施例中，通过对经过实名认证的本地身份标识生成助记词，在接收到输入安全码时，基于助记词，创建本地数字身份标识。由于本地身份标识是经过实名认证的，有利于提高本地数字身份标识的安全性。

在一个实施例中，待签名消息还包括可验证数字凭证；在获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息之前，还包括：获取数字凭证证明信息；将数字凭证证明信息发送至凭证审核机构进行审核，以使得凭证审核机构基于数字凭证证明生成可验证数字凭证，并将可验证凭证保存至区块链网络中；获取凭证审核机构发送的可验证数字凭证。

其中，待签名消息中包括可验证数字凭证，在应用平台生成待签名消息之前，需要将身份验证平台的数字凭证证明信息发送至凭证审核机构进行审核，从而生成可验证数字凭证。具体地，登录身份认证平台的目标对象需要申请有签名权的证明，例如管理员证明或者法定代表证明。目标对象在身份认证平台提交相关的数字凭证证明信息，身份认证平台获取数字凭证证明信息，并将数字凭证证明信息发送至凭证审核机构进行审核，以使得凭证审核机构基于数字凭证证明生成可验证数字凭证，同时，凭证审核机构将可验证凭证保存至区块链网络中。身份认证平台从区块链网络中获取凭证审核机构发送的可验证数字凭证。

本实施例中，通过获取数字凭证证明信息，将数字凭证证明信息发送至凭证审核机构进行审核，以使得凭证审核机构基于数字凭证证明生成可验证数字凭证，并将可验证凭证保存至区块链网络中，从而获取凭证审核机构发送的可验证数字凭证。这种通过凭证审核机构审核生成的可验证数字凭证，能够保证可验证凭证的有效性，同时，可验证数字凭证保存在区块链中，能够保证可验证数字凭证的安全性，有利于提高身份认证结果的安全性和准确性，提高身份认证的效率。

为详细说明本方案中身份认证方法及效果，下面以一个最详细实施例进行说明：

身份认证方法对应的身份认证系统包括区块链网络层、二层网络层、分布式数字身份服务层以及可信交换层。具体如图7所示。其中，区块链网络层用于提供底层链的服务。二层网络层用于提供联盟管理、合约管理等服务。分布式数字身份服务层用于提供DID管理服务、VC管理服务、权威机构管理服务以及DID解析器等服务。可信交换层用于提供生态的应用，包括颁证机构、持有者和验证方。

计算机设备中的身份认证平台获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码，对签名二维码进行解析，得到消息索引。在一些实施例中，对签名二维码进行解析得到的内容格式如下：msgIndex＝msg0000001&type＝msg-sign。其中，msgIndex表示消息索引。type表示消息类型。基于消息索引，从消息中心中查询得到待签名消息。待签名消息包括应用数字身份标识。采用本地私钥对待签名消息进行签名，得到第一签名消息。待签名消息还包括可验证数字凭证；如图8所示为获取待签名消息之前的方法流程示意图。在应用平台在接收到需要身份认证的业务请求时生成的签名二维码之前，还包括：获取数字凭证证明信息，将数字凭证证明信息发送至凭证审核机构进行审核，以使得凭证审核机构基于数字凭证证明生成可验证数字凭证，并将可验证凭证保存至区块链网络中，获取凭证审核机构发送的可验证数字凭证。

如图9所示为身份认证方法的总体流程示意图。计算机设备中的身份认证平台基于应用公钥和第一签名消息，得到加密后的签名消息。具体地，根据应用数字身份标识，确定应用公钥。获取本地数字身份标识，对本地数字身份标识和第一签名信息进行封装，获得封装信息，采用应用公钥对封装信息进行加密，得到加密后的签名消息。其中，根据应用数字身份标识，确定应用公钥，包括：基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。其中，本地数字身份标识的创建步骤，包括：创建本地身份标识，对经过实名认证通过的本地身份标识生成助记词，在接收到输入安全码时，基于助记词，创建本地数字身份标识。

计算机设备中的身份认证平台将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息。

计算机设备中的身份认证平台基于本地公钥和第二签名消息，确定解密结果。具体地，获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果，在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥，采用本地公钥对解密后的签名消息进行解密，得到解密结果。在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

上述身份认证方法，通过获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，采用本地私钥对待签名消息进行签名，得到第一签名消息，基于应用公钥和第一签名消息，得到加密后的签名消息，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。这种采用应用平台的应用公钥加密和应用私钥解密的方法能够提高签名消息的安全性。基于本地公钥和第二签名消息，确定解密结果，在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。这种采用本地私钥签名和本地公钥解密的方法能够保证待签名消息不被篡改，有利于身份认证的安全性以及提高身份认证的效率。

应该理解的是，虽然如上所述的各实施例所涉及的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，如上所述的各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

基于同样的发明构思，本申请实施例还提供了一种用于实现上述所涉及的身份认证方法的身份认证装置。该装置所提供的解决问题的实现方案与上述方法中所记载的实现方案相似，故下面所提供的一个或多个身份认证装置实施例中的具体限定可以参见上文中对于身份认证方法的限定，在此不再赘述。

在一个实施例中，如图10所示，提供了一种身份认证装置100，包括：消息获取模块110、签名模块120、加密模块130、解密模块140和结果确定模块150，其中：

消息获取模块110，用于获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息。

签名模块120，用于采用本地私钥对待签名消息进行签名，得到第一签名消息。

加密模块130，用于基于应用公钥和第一签名消息，得到加密后的签名消息。

解密模块140，用于获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。

结果确定模块150，用于基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

上述身份认证装置，通过获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，采用本地私钥对待签名消息进行签名，得到第一签名消息，基于应用公钥和第一签名消息，得到加密后的签名消息，获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息。这种采用应用平台的应用公钥加密和应用私钥解密的方法能够提高签名消息的安全性。基于本地公钥和第二签名消息，确定解密结果，在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。这种采用本地私钥签名和本地公钥解密的方法能够保证待签名消息不被篡改，有利于身份认证的安全性以及提高身份认证的效率。

在一个实施例中，在待签名消息包括应用数字身份标识；基于应用公钥和第一签名消息，得到加密后的签名消息方面，加密模块130还用于：根据应用数字身份标识，确定应用公钥；获取本地数字身份标识；对本地数字身份标识和第一签名信息进行封装，获得封装信息；采用应用公钥对封装信息进行加密，得到加密后的签名消息。

在一个实施例中，在根据应用数字身份标识，确定应用公钥方面，加密模块130还用于：基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。

在一个实施例中，在获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息方面，解密模块140还用于：将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

在一个实施例中，在第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；基于本地公钥和第二签名消息，确定解密结果方面，结果确定模块150还用于：获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果；在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥；采用本地公钥对解密后的签名消息进行解密，得到解密结果。

在一个实施例中，在获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息方面，消息获取模块110还用于：获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；对签名二维码进行解析，得到消息索引；基于消息索引，从消息中心中查询得到待签名消息。

上述身份认证装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图11所示。该计算机设备包括处理器、存储器、输入/输出接口、通信接口、显示单元和输入装置。其中，处理器、存储器和输入/输出接口通过系统总线连接，通信接口、显示单元和输入装置通过输入/输出接口连接到系统总线。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质和内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的输入/输出接口用于处理器与外部设备之间交换信息。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、移动蜂窝网络、NFC(近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种身份认证方法。

本领域技术人员可以理解，图11中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；采用本地私钥对待签名消息进行签名，得到第一签名消息；基于应用公钥和第一签名消息，得到加密后的签名消息；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：

待签名消息包括应用数字身份标识；根据应用数字身份标识，确定应用公钥；获取本地数字身份标识；对本地数字身份标识和第一签名信息进行封装，获得封装信息；采用应用公钥对封装信息进行加密，得到加密后的签名消息。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：

基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：

将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：

第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果；在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥；采用本地公钥对解密后的签名消息进行解密，得到解密结果。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；对签名二维码进行解析，得到消息索引；基于消息索引，从消息中心中查询得到待签名消息。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；采用本地私钥对待签名消息进行签名，得到第一签名消息；基于应用公钥和第一签名消息，得到加密后的签名消息；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

待签名消息包括应用数字身份标识；根据应用数字身份标识，确定应用公钥；获取本地数字身份标识；对本地数字身份标识和第一签名信息进行封装，获得封装信息；采用应用公钥对封装信息进行加密，得到加密后的签名消息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果；在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥；采用本地公钥对解密后的签名消息进行解密，得到解密结果。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；对签名二维码进行解析，得到消息索引；基于消息索引，从消息中心中查询得到待签名消息。

在一个实施例中，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；采用本地私钥对待签名消息进行签名，得到第一签名消息；基于应用公钥和第一签名消息，得到加密后的签名消息；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名消息；基于本地公钥和第二签名消息，确定解密结果；在解密结果指示解密成功的情况下，确定业务请求的身份认证结果为认证通过。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

待签名消息包括应用数字身份标识；根据应用数字身份标识，确定应用公钥；获取本地数字身份标识；对本地数字身份标识和第一签名信息进行封装，获得封装信息；采用应用公钥对封装信息进行加密，得到加密后的签名消息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

基于应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得分布式数字身份系统对应用数字身份标识进行有效性判断，在有效性判断结果指示应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析应用数字身份文档，得到应用公钥；接收分布式数字身份系统发送的应用公钥。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

将加密后的签名消息发送至消息中心，以使得消息中心将待签名消息更新为加密后的签名消息，并将加密后的签名消息发送至应用平台；获取应用平台基于应用私钥对加密后的签名消息解密得到的第二签名信息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；获取基于解密后的可验证数字凭证进行凭证校验得到的校验结果；在校验结果指示校验通过的情况下，采用解密后的本地数字身份标识，向区块链网络查询本地公钥；采用本地公钥对解密后的签名消息进行解密，得到解密结果。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：

获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；对签名二维码进行解析，得到消息索引；基于消息索引，从消息中心中查询得到待签名消息。

需要说明的是，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器(ReRAM)、磁变存储器(Magnetoresistive Random Access Memory，MRAM)、铁电存储器(Ferroelectric Random Access Memory，FRAM)、相变存储器(Phase Change Memory，PCM)、石墨烯存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (10)

1.一种身份认证方法，其特征在于，所述方法包括：

获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

采用本地私钥对所述待签名消息进行签名，得到第一签名消息；

基于应用公钥和所述第一签名消息，得到加密后的签名消息；

获取所述应用平台基于应用私钥对所述加密后的签名消息解密得到的第二签名消息；

基于本地公钥和所述第二签名消息，确定解密结果；在所述解密结果指示解密成功的情况下，确定所述业务请求的身份认证结果为认证通过。

2.根据权利要求1所述的方法，其特征在于，所述待签名消息包括应用数字身份标识；

所述基于应用公钥和所述第一签名消息，得到加密后的签名消息，包括：

根据所述应用数字身份标识，确定应用公钥；

获取本地数字身份标识；

对所述本地数字身份标识和所述第一签名信息进行封装，获得封装信息；

采用所述应用公钥对所述封装信息进行加密，得到加密后的签名消息。

3.根据权利要求2所述的方法，其特征在于，所述根据所述应用数字身份标识，确定应用公钥，包括：

基于所述应用数字身份标识，向分布式数字身份系统发起应用公钥查询请求，以使得所述分布式数字身份系统对所述应用数字身份标识进行有效性判断，在有效性判断结果指示所述应用数字身份标识有效的情况下，向区块链网络查询应用数字身份文档；解析所述应用数字身份文档，得到应用公钥；

接收所述分布式数字身份系统发送的应用公钥。

4.根据权利要求1所述的方法，其特征在于，所述获取所述应用平台基于应用私钥对所述加密后的签名消息解密得到的第二签名消息，包括：

将所述加密后的签名消息发送至消息中心，以使得所述消息中心将所述待签名消息更新为所述加密后的签名消息，并将所述加密后的签名消息发送至所述应用平台；

获取所述应用平台基于应用私钥对所述加密后的签名消息解密得到的第二签名信息。

5.根据权利要求1所述的方法，其特征在于，所述第二签名信息包括解密后的可验证数字凭证、解密后的本地数字身份标识以及解密后的签名消息；

基于本地公钥和所述第二签名消息，确定解密结果，包括：

获取基于所述解密后的可验证数字凭证进行凭证校验得到的校验结果；

在所述校验结果指示校验通过的情况下，采用所述解密后的本地数字身份标识，向区块链网络查询本地公钥；

采用所述本地公钥对所述解密后的签名消息进行解密，得到解密结果。

6.根据权利要求1所述的方法，其特征在于，所述获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息，包括：

获取应用平台在接收到需要身份认证的业务请求时生成的签名二维码；

对所述签名二维码进行解析，得到消息索引；

基于所述消息索引，从消息中心中查询得到待签名消息。

7.一种身份认证装置，其特征在于，所述装置包括：

消息获取模块，用于获取应用平台在接收到需要身份认证的业务请求时所生成的待签名消息；

签名模块，用于采用本地私钥对所述待签名消息进行签名，得到第一签名消息；

加密模块，用于基于应用公钥和所述第一签名消息，得到加密后的签名消息；

解密模块，用于获取所述应用平台基于应用私钥对所述加密后的签名消息解密得到的第二签名消息；

结果确定模块，用于基于本地公钥和所述第二签名消息，确定解密结果；在所述解密结果指示解密成功的情况下，确定所述业务请求的身份认证结果为认证通过。

8.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述的方法的步骤。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。

10.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。

Images