CN117113311B - 用于终端设备身份验证的方法及装置、终端设备 - Google Patents

Abstract

本申请涉及通信安全技术领域，公开一种用于终端设备身份验证的方法，应用于终端设备，终端设备配置有SE芯片，所述方法包括：在接收到用户输入的身份验证信息的情况下，发送接收的身份验证信息以及加密的已录入的用户身份信息和第一秘钥至SE芯片；加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；接收SE芯片反馈的对比结果；其中，对比结果是将解密的已录入的用户身份信息，与用户输入的身份验证信息进行比对获得的结果；加密秘钥存储于SE芯片。该方法将身份验证在SE芯片中进行，可以保护身份验证信息不被篡改、泄漏、提取。本申请还公开一种用于终端设备身份验证的装置和终端设备。

Description

用于终端设备身份验证的方法及装置、终端设备

技术领域

本申请涉及通信安全技术领域，例如涉及一种用于终端设备身份验证的方法、装置和终端设备。

背景技术

目前，用户对于使用的终端设备（如手机、电脑等），会设置身份信息验证。当终端设备具备可信执行环境（TEE，Trusted Execution Environment）时，该过程通常在可信执行环境中进行。当终端设备不具备可信执行环境（REE,Rich Execution Environment）时，该过程只能在非安全的操作系统运行环境下执行。TEE通常是在硬件平台中为隐私、敏感数据分配一块隔离的内存和存储空间，通过授权的方法可以访问TEE中的数据和应用。TEE厂商众多，除了传统的TEE厂商，近年来手机厂商也各自推出TEE的操作系统，安全性也有所不同高低不一。此外，TEE并没有实现完全的硬件隔离，也进一步地降低了安全性。

相关技术中公开一种安全通信方法，基于一种安全通信装置，所述装置包括安全芯片SE、受信应用TA和用户应用CA，所述方法包括：步骤S1：安全芯片SE与受信应用TA建立连接；步骤S2：受信应用TA与用户应用CA建立连接；步骤S3：安全芯片SE与用户应用CA建立虚链路。

在实现本公开实施例的过程中，发现相关技术中至少存在如下问题：

相关技术实现安全芯片SE(Secure Element，安全元件)和应用之间的安全通信，但并未公开对于终端设备，如何保证用户身份验证信息验证的安全性。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本申请的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

为了对披露的实施例的一些方面有基本的理解，下面给出了简单的概括。所述概括不是泛泛评述，也不是要确定关键／重要组成元素或描绘这些实施例的保护范围，而是作为后面的详细说明的序言。

本公开实施例提供了一种用于终端设备身份验证的方法、装置和终端设备，以提高用户身份验证信息验证的安全性。

在一些实施例中，所述方法包括：在接收到用户输入的身份验证信息的情况下，发送接收的身份验证信息以及加密的已录入的用户身份信息和第一秘钥至SE芯片；加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；接收SE芯片反馈的对比结果；其中，对比结果是将解密的已录入的用户身份信息，与用户输入的身份验证信息进行比对获得的结果；加密秘钥存储于SE芯片。

在一些实施例中，所述方法包括：接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥；根据加密秘钥和第一秘钥将已录入的用户身份信息解密，并将解密的用户身份信息和身份验证信息对比；发送比对结果至终端设备；其中，加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；加密秘钥存储于SE芯片。

可选地，接收身份验证信息以及已录入的用户身份信息和对应的加密秘钥之前，还包括：与终端设备进行绑定；在绑定成功的情况下，接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥。

可选地，在接收身份验证信息以及已录入的用户身份信息和对应的第一秘钥之前，还包括：

在确定用户录入身份信息的情况下，生成第一秘钥和加密秘钥；利用加密秘钥将第一秘钥加密，并将加密后的第一秘钥发送至终端设备；接收用户录入的身份信息及加密后的第一秘钥，并利用加密秘钥解密获得第一秘钥；利用第一秘钥对身份信息加密，将加密后的身份信息发送至终端设备。

在一些实施例中，所述装置包括：处理器和存储有程序指令的存储器，所述处理器被配置为在运行所述程序指令时，执行如前述的用于终端设备身份验证的方法。

在一些实施例中，所述终端设备包括：配置有SE芯片的终端设备本体，如前述的用于终端设备身份验证的装置，安装于所述终端设备本体。

本公开实施例提供的用于终端设备身份验证的方法、装置和终端设备，可以实现以下技术效果：

本公开实施例中，加密的已录入的用户身份信息和第一秘钥存储于终端设备。在终端设备接收到用户录入的身份验证信息时，将身份验证信息及加密的用户身份信息和第一秘钥发送至SE芯片，以在SE芯片中实现信息的解密和对比验证，最后将对比结果反馈终端设备。这样，因SE芯片具有独立的硬件结构及具备安全特性，将身份验证在SE芯片中进行，可以保护身份验证信息不被篡改、泄漏、提取。

以上的总体描述和下文中的描述仅是示例性和解释性的，不用于限制本申请。

附图说明

一个或多个实施例通过与之对应的附图进行示例性说明，这些示例性说明和附图并不构成对实施例的限定，附图中具有相同参考数字标号的元件示为类似的元件，附图不构成比例限制，并且其中：

图1是本公开实施例提供的一个用于终端设备身份验证的方法的示意图；

图2是本公开实施例提供的另一个用于终端设备身份验证的方法的示意图；

图3是本公开实施例提供的另一个用于终端设备身份验证的方法的示意图；

图4是本公开实施例提供的另一个用于终端设备身份验证的方法的示意图；

图5是本公开实施例提供的另一个用于终端设备身份验证的方法的示意图；

图6是本公开实施例提供的一个应用示意图；

图7是本公开实施例提供的一个用于终端设备身份验证的装置的示意图；

图8是本公开实施例提供的一个终端设备的示意图。

具体实施方式

为了能够更加详尽地了解本公开实施例的特点与技术内容，下面结合附图对本公开实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本公开实施例。在以下的技术描述中，为方便解释起见，通过多个细节以提供对所披露实施例的充分理解。然而，在没有这些细节的情况下，一个或多个实施例仍然可以实施。在其它情况下，为简化附图，熟知的结构和装置可以简化展示。

本公开实施例的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本公开实施例的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含。

除非另有说明，术语“多个”表示两个或两个以上。

本公开实施例中，字符“/”表示前后对象是一种“或”的关系。例如，A/B表示：A或B。

术语“和/或”是一种描述对象的关联关系，表示可以存在三种关系。例如，A和/或B，表示：A或B，或，A和B这三种关系。

术语“对应”可以指的是一种关联关系或绑定关系，A与B相对应指的是A与B之间是一种关联关系或绑定关系。

本公开实施例中，终端设备是指具有无线连接功能的电子设备，终端设备可以通过连接互联网，与如上的智能家电设备进行通信连接，也可以直接通过蓝牙、Wi-Fi等方式与如上的智能家电设备进行通信连接。在一些实施例中，终端设备例如为移动设备、电脑、或悬浮车中内置的车载设备等，或其任意组合。移动设备例如可以包括手机、智能家居设备、可穿戴设备、智能移动设备、虚拟现实设备等，或其任意组合，其中，可穿戴设备例如包括：智能手表、智能手环、计步器等。这里，终端设备中嵌有SE芯片。

结合图1所示，本公开实施例提供一种用于终端设备身份验证的方法，应用于终端设备，方法包括：

S101，在接收到用户输入的身份验证信息的情况下，终端设备发送接收的身份验证信息以及加密的已录入的用户身份信息和第一秘钥至SE芯片。其中，加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的。

S102，终端设备接收SE芯片反馈的对比结果并输出。其中，对比结果是将解密的已录入的用户身份信息，与用户输入的身份验证信息进行比对获得的结果；加密秘钥存储于SE芯片。

这里，用户在首次使用终端设备时，会录入对应的身份信息。后期仅在输入的身份验证信息与录入的身份信息一致时，用户才会在终端设备成功登录。该身份信息被加密后存储于终端设备，且与身份信息对应的第一秘钥也被加密存储于终端设备，且二者绑定。在用户后续录入身份验证信息时，终端设备将用户录入的身份验证信息以及加密的用户身份信息和第一秘钥，发送SE芯片。而后在SE芯片中进行身份验证，在验证完成后，将验证结果反馈终端设备。具体地，SE芯片利用自身存储的加密秘钥，解密加密的第一秘钥，再利用第一秘钥解密用户身份信息。而后，比较解密后的用户身份信息和身份验证信息是否一致，如果一致，则身份验证成功。否则，身份验证失败。

其中，第一秘钥和用户身份信息对应，即针对每个用户的身份信息产生对应的第一秘钥。加密秘钥可以是每个SE芯片产生一个，也可以是针对每个用户产生对应的加密秘钥。但是，因SE芯片存储空间有限，如果针对每个用户产生一个加密秘钥，会造成资源的浪费。故最优的是，每个SE芯片产生一个加密秘钥。此外，身份信息和身份验证信息包括pin码、图案锁、指纹、人脸等信息中的一种或多种。作为一种示例，用户可以同时录入人脸信息和图案锁信息；则在输入身份验证信息时，可以输入人脸信息或图案锁信息。在其中一种身份验证信息比对成功时，则用户身份验证通过。

采用本公开实施例提供的用于终端设备身份验证的方法，在终端设备接收到用户录入的身份验证信息时，将身份验证信息及加密的用户身份信息和第一秘钥发送至SE芯片，以在SE芯片中实现信息的解密和对比验证，最后将对比结果反馈终端设备。这样，因SE芯片具有独立的硬件结构及具备安全特性，将身份验证在SE芯片中进行，可以保护身份验证信息不被篡改、泄漏、提取。

可选地，步骤S101中，终端设备通过以下方式获得加密的已录入的用户身份信息和第一秘钥：

在接收到用户录入的身份信息的情况下，终端设备发送第一秘钥生成指令至SE芯片，以获得SE芯片生成的且加密的第一秘钥。

终端设备将用户录入的身份信息和加密的第一秘钥发送SE芯片，以利用解密后的第一秘钥将身份信息进行加密。

终端设备接收加密后的身份信息，并将加密的身份信息和加密的第一秘钥绑定后存储。

其中，第一秘钥包括唯一的秘钥或一对秘钥对。

这里，在用户录入身份信息时，终端设备通知SE芯片生成第一秘钥和加密秘钥。SE芯片生成第一秘钥后，利用加密秘钥将第一秘钥加密发送至终端设备。其中，第一秘钥用于加密用户的身份信息，但因SE芯片存储空间有限，故将第一秘钥加密后由终端设备进行存储，加密秘钥由SE芯片存储。而后，终端设备将加密的第一秘钥和用户录入的身份信息发送SE芯片。SE芯片利用加密秘钥解密获得第一秘钥，而后利用第一秘钥对录入的身份信息进行加密。最后，将加密后的身份信息发送至终端设备，且终端设备将加密的身份信息和加密的第一秘钥绑定后存储。如此，保证身份信息的安全性。且身份信息的加密、解密及第一秘钥的生产均在SE芯片进行，可有效地保护用户的信息。

此外，第一秘钥可以是指一个秘钥，也可以是指一对秘钥对。如果第一秘钥为一对秘钥对，则SE芯片在生成第一秘钥对后，将加密的第一私钥发送终端设备。SE芯片只存储第一公钥，这是因为SE利用第一公钥对身份信息加密后，需要第一私钥进行解密；第一私钥存储于SE芯片会占用存储空间。故第一私钥存储于终端设备，以在身份信息验证时，终端设备将加密的身份信息和加密的第一私钥发送至SE芯片。如此，SE芯片利用加密秘钥解密加密的第一私钥，获得第一私钥。而后利用第一私钥解密通过第一公钥加密的身份信息。

结合图2所示，本公开实施例提供另一种用于终端设备身份验证的方法，包括：

S203，终端设备与SE芯片进行绑定。

S204，在绑定成功的情况下，终端设备接收用户输入的身份验证信息。

S101，在接收到用户输入的身份验证信息的情况下，终端设备发送接收的身份验证信息以及加密的已录入的用户身份信息和第一秘钥至SE芯片。其中，加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的。

S102，终端设备接收SE芯片反馈的对比结果并输出。其中，对比结果是将解密的已录入的用户身份信息，与用户输入的身份验证信息进行比对获得的结果；加密秘钥存储于SE芯片。

这里，在终端设备利用SE芯片进行身份验证前，需要先与SE芯片绑定。在绑定成功的情况下，表明终端设备和SE芯片处于安全状态，SE芯片才能对用户输入的身份验证信息进行验证。如果绑定失败，则表明终端设备和/或SE芯片处于不安全状态。此时，身份验证功能将失效，即无法验证用户身份。

可选地，S203，终端设备与SE芯片进行绑定，包括：

在每次开机的情况下，终端设备将本设备的设备信息通过第二公钥加密后发送SE芯片。

在非首次开机、且SE芯片利用第二私钥解密获得的设备信息与上一次接收的设备信息比对成功的情况下，终端设备确定与SE芯片成功绑定。

其中，第二公钥和第二私钥构成第二秘钥对，第二秘钥对是在出厂前被赋予终端设备和SE芯片的。

这里，第二秘钥对在终端设备出厂前被赋予终端设备和SE芯片。具体地，第二公钥被配置给终端设备，更为具体地，第二公钥被配置给终端设备的TEE；第二私钥被配置给SE芯片。如此，在每次开机时，终端设备都会通过第二公钥将设备信息加密后发送SE芯片。而后，SE芯片利用第二私钥对加密的设备信息解密，并与上一次接收的设备信息对比（这里对比信息不包含首次开机的情况）。如果两次的设备信息一致，则表明终端设备与SE芯片绑定成功。如果两次设备信息不一致或SE芯片解密失败，则表明终端设备和/或SE芯片被修改，二者绑定失败。

其中，设备信息包括系统系统映像哈希、设备的启动状态、设备唯一ID等值。在每次开机中，终端设备的Bootloader将设备信息发送TEE，TEE将设备信息通过第二公钥加密后再发送给SE芯片。如此，保证终端设备的相关信息不被篡改。

需要说明的是，在设备首次开机时，SE芯片中并未存储设备信息。故终端设备将设备信息加密后发送SE芯片，SE芯片成功解密后，则认为二者绑定成功。或者，通过其他方式（如约定的字符串等）验证首次获得设备信息，并验证成功后认为二者绑定成功。

结合图3所示，本公开实施例提供一种用于终端设备身份验证的方法，应用于SE芯片，方法包括：

S301，SE芯片接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥。

S302，SE芯片根据加密秘钥和第一秘钥将已录入的用户身份信息解密，并将解密的用户身份信息和身份验证信息对比。

S303，SE芯片发送比对结果至终端设备。

其中，加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；加密秘钥存储于SE芯片。

这里，在终端设备存在用户身份验证需求的情况下，将用户输入的身份验证信息及加密的用户身份信息和第一秘钥发送SE芯片。SE芯片根据加密秘钥和第一秘钥对接收的用户身份信息进行解密（解密过程详见前文，不再赘述），以获得用户身份信息。而后将用户身份信息和身份验证信息进行对比，并将对比结果反馈终端设备。第一秘钥的定义也详见前文，不再赘述。

结合图4所示，本公开实施例提供另一种用于终端设备身份验证的方法，包括：

S404，SE芯片与终端设备进行绑定。

S301，在绑定成功的情况下，SE芯片接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥。

S302，SE芯片根据加密秘钥和第一秘钥将已录入的用户身份信息解密，并将解密的用户身份信息和身份验证信息对比。

S303，SE芯片发送比对结果至终端设备。

这里，在终端设备利用SE芯片进行身份验证前，需要先与SE芯片绑定。以证明终端设备和SE芯片处于安全状态。在一些示例中，因设备故障或其他原因，维修过程中，可能会造成终端设备的系统和/或SE芯片的系统被修改。这种情况下，终端设备和SE芯片处于不安全状态，用户身份验证功能失效。

可选地，步骤S404，SE芯片与终端设备进行绑定，包括：

在终端设备非首次开机的情况下，SE芯片接收通过第二公钥加密的设备信息。

SE芯片利用第二私钥对加密的设备信息解密，以获得设备信息。

在本次获得设备信息与上一次开机获得的设备信息匹配的情况下，SE芯片确定与终端设备成功绑定。

其中，第二公钥和第二私钥构成第二秘钥对，第二秘钥对是在出厂前被赋予终端设备和SE芯片的。

这里，SE芯片接收终端设备利用第二公钥加密的设备信息。而后利用存储的第二私钥对加密的设备信息进行解密，从而获得设备信息。继而，将本次获得的设备信息和上一次开机的设备信息进行对比，在二者一致的情况下，确定SE芯片和终端设备绑定成功。否则，SE芯片和终端设备绑定失败。其中，第二公钥被配置给终端设备，更为具体地第二公钥被配置为终端设备的TEE，第二私钥被配置给SE芯片。需要说明的是，在设备首次开机时，SE芯片中并未存储设备信息。故终端设备将设备信息加密后发送SE芯片，SE芯片成功解密后，则认为二者绑定成功。或者，通过其他方式验证首次获得设备信息，并验证成功后认为二者绑定成功。

可选地，步骤S404中的第二秘钥对，可通过以下方式重新配置：

SE芯片接收解锁配置命令，解锁配置命令中包括通过第三秘钥签名的预设字符串。

在利用SE芯片存储的第三公钥获得接收的预设字符串，且与存储的约定字符串匹配的情况下，SE芯片重新配置第二秘钥对。

其中，第三秘钥和第三公钥是终端设备产生的，并将第三公钥和与设定的字符串发送SE芯片的。

这里，可以通过软件工具向SE芯片发送解锁配置命令。且在向SE芯片发送解锁配置命令前，SE芯片已从终端设备处获得第三公钥和约定字符串。这样，在SE芯片接收解锁配置命令时，可利用第三公钥对通过第三秘钥签名的预设字符串解密。以获得预设字符串，在预设字符串和约定字符串一致的情况下，可重新对第二秘钥对进行配置。重新配置第二秘钥对一般发生在终端设备返厂的情况下。

结合图5所示，本公开实施例提供另一种用于终端设备身份验证的方法，包括：

S404，SE芯片与终端设备进行绑定。

S505，在绑定成功、且确定用户录入身份信息的情况下，SE芯片生成第一秘钥和加密秘钥。

S506，SE芯片利用加密秘钥将第一秘钥加密，并将加密后的第一秘钥发送至终端设备。

S507，SE芯片接收用户录入的身份信息及加密后的第一秘钥，并利用加密秘钥解密获得第一秘钥。

S508，SE芯片利用第一秘钥对身份信息加密，将加密后的身份信息发送至终端设备。

S301，SE芯片接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥。

S302，SE芯片根据加密秘钥和第一秘钥将已录入的用户身份信息解密，并将解密的用户身份信息和身份验证信息对比。

S303，SE芯片发送比对结果至终端设备。

这里，在用户录入身份信息时，SE芯片生成第一秘钥和加密秘钥。利用加密秘钥将第一秘钥加密发送至终端设备。将第一秘钥加密后由终端设备进行存储，加密秘钥由SE芯片存储。而后，SE芯片接收终端设备发送的加密的第一秘钥和用户录入的身份信息。SE芯片利用加密秘钥解密获得第一秘钥，而后利用第一秘钥对录入的身份信息进行加密。最后，将加密后的身份信息发送至终端设备，终端设备将加密的身份信息和加密的第一秘钥绑定后存储。如此，保证身份信息的安全性。

在一个实际应用中，如图6所示，该应用适应于终端设备对用户身份验证的场景，具体如下：

S601，在终端设首次开机的情况下，终端设备发送设备信息与SE芯片成功绑定；

S602，在用户录入身份信息的情况下，终端设备发送第一秘钥生成指令；

S603，SE芯片生成第一秘钥和加密秘钥；

S604，SE芯片利用加密秘钥将第一秘钥加密；

S605，SE芯片发送加密后的第一秘钥；

S606，终端设备接收用户录入的身份信息；

S607，终端设备发送用户录入的身份信息和加密的第一秘钥；

S608，SE芯片利用加密秘钥解密获得第一秘钥；并通过第一秘钥对身份信息加密；

S609，SE芯片发送加密后的身份信息；

S610，终端设备将加密的身份信息和加密的第一秘钥绑定后存储；

S611，终端设备接收用户输入的身份验证信息；

S612，终端设备发送接收的身份验证信息以及加密的已录入的用户身份信息和第一秘钥；

S613，SE芯片根据加密秘钥和第一秘钥将已录入的用户身份信息解密；

S614，SE芯片将解密的用户身份信息和身份验证信息对比；

S615，SE芯片发送对比结果；

S616，终端设备接收对比结果并输出。

此外，在非首次开机的情况下，如果终端设备和SE芯片绑定成功，则从步骤S611开始执行。

结合图7所示，本公开实施例提供一种用于终端设备身份验证的装置200，包括处理器（processor）100和存储器（memory）101。可选地，该装置200还可以包括通信接口（Communication Interface）102和总线103。其中，处理器100、通信接口102、存储器101可以通过总线103完成相互间的通信。通信接口102可以用于信息传输。处理器100可以调用存储器101中的逻辑指令，以执行上述实施例的用于终端设备身份验证的方法。

此外，上述的存储器101中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。

存储器101作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序，如本公开实施例中的方法对应的程序指令/模块。处理器100通过运行存储在存储器101中的程序指令/模块，从而执行功能应用以及数据处理，即实现上述实施例中用于终端设备身份验证的方法。

存储器101可包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端设备的使用所创建的数据等。此外，存储器101可以包括高速随机存取存储器，还可以包括非易失性存储器。

结合图8所示，本公开实施例提供了一种终端设备300，包括：配置有SE芯片400的终端设备本体，以及上述的用于终端设备身份验证的装置200。用于终端设备身份验证的装置200安装于终端设备本体。这里所表述的安装关系，并不仅限于在终端涉笔本体的内部放置，还包括了与终端设备300的其他元器件的安装连接，包括但不限于物理连接、电性连接或者信号传输连接等。本领域技术人员可以理解的是，用于终端设备身份验证的装置200可以适配于可行的终端设备主体，进而实现其他可行的实施例。

本公开实施例提供了一种计算机可读存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为执行上述用于终端设备身份验证的方法。

本公开实施例的技术方案可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括一个或多个指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本公开实施例所述方法的全部或部分步骤。而前述的存储介质可以是非暂态存储介质，例如：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等多种可以存储程序代码的介质。

以上描述和附图充分地示出了本公开的实施例，以使本领域的技术人员能够实践它们。其他实施例可以包括结构的、逻辑的、电气的、过程的以及其他的改变。实施例仅代表可能的变化。除非明确要求，否则单独的部件和功能是可选的，并且操作的顺序可以变化。一些实施例的部分和特征可以被包括在或替换其他实施例的部分和特征。而且，本申请中使用的用词仅用于描述实施例并且不用于限制权利要求。如在实施例以及权利要求的描述中使用的，除非上下文清楚地表明，否则单数形式的“一个”（a）、“一个”（an）和“所述”（the）旨在同样包括复数形式。类似地，如在本申请中所使用的术语“和/或”是指包含一个或一个以上相关联的列出的任何以及所有可能的组合。另外，当用于本申请中时，术语“包括”（comprise）及其变型“包括”（comprises）和/或包括（comprising）等指陈述的特征、整体、步骤、操作、元素，和/或组件的存在，但不排除一个或一个以上其它特征、整体、步骤、操作、元素、组件和/或这些的分组的存在或添加。在没有更多限制的情况下，由语句“包括一个…”限定的要素，并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。本文中，每个实施例重点说明的可以是与其他实施例的不同之处，各个实施例之间相同相似部分可以互相参见。对于实施例公开的方法、产品等而言，如果其与实施例公开的方法部分相对应，那么相关之处可以参见方法部分的描述。

本领域技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，可以取决于技术方案的特定应用和设计约束条件。所述技术人员可以对每个特定的应用来使用不同方法以实现所描述的功能，但是这种实现不应认为超出本公开实施例的范围。所述技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本文所披露的实施例中，所揭露的方法、产品（包括但不限于装置、设备等），可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，可以仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例。另外，在本公开实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

附图中的流程图和框图显示了根据本公开实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这可以依所涉及的功能而定。在附图中的流程图和框图所对应的描述中，不同的方框所对应的操作或步骤也可以以不同于描述中所披露的顺序发生，有时不同的操作或步骤之间不存在特定的顺序。例如，两个连续的操作或步骤实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这可以依所涉及的功能而定。框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

Claims (10)

1.一种用于终端设备身份验证的方法，其特征在于，应用于终端设备，终端设备配置有SE芯片，所述方法包括：

在接收到用户输入的身份验证信息的情况下，发送接收的身份验证信息以及加密的已录入的用户身份信息和加密的第一秘钥至SE芯片；加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；第一秘钥是在用户录入身份信息时SE芯片生成的；

接收SE芯片反馈的对比结果；

其中，对比结果是将解密的已录入的用户身份信息，与用户输入的身份验证信息进行比对获得的结果；加密秘钥存储于SE芯片。

2.根据权利要求1所述的方法，其特征在于，通过以下方式获得加密的已录入的用户身份信息和第一秘钥：

在接收到用户录入的身份信息的情况下，发送第一秘钥生成指令至SE芯片，以获得SE芯片生成的且加密的第一秘钥；

将用户录入的身份信息和加密的第一秘钥发送SE芯片，以利用解密后的第一秘钥将身份信息进行加密；

接收加密后的身份信息，并将加密的身份信息和加密的第一秘钥绑定后存储；

其中，第一秘钥包括唯一的秘钥或一对秘钥对。

3.根据权利要求1所述的方法，其特征在于，接收到用户输入的身份验证信息之前，还包括：

与安全新芯片SE进行绑定；

在绑定成功的情况下，接收用户输入的身份验证信息。

4.根据权利要求3所述的方法，其特征在于，与安全新芯片SE进行绑定包括：

在每次开机的情况下，将本设备的设备信息通过第二公钥加密后发送SE芯片；

在非首次开机、且SE芯片利用第二私钥解密获得的设备信息与上一次接收的设备信息比对成功的情况下，确定与SE芯片成功绑定；

其中，第二公钥和第二私钥构成第二秘钥对，第二秘钥对是在出厂前被赋予终端设备和SE芯片的。

5.一种用于终端设备身份验证的方法，其特征在于，应用于SE芯片，SE芯片被嵌入终端设备，包括：

接收身份验证信息以及加密的已录入的用户身份信息和加密的第一秘钥；

根据加密秘钥和第一秘钥将已录入的用户身份信息解密，并将解密的用户身份信息和身份验证信息对比；

发送比对结果至终端设备；

其中，加密的已录入的用户身份信息是通过第一秘钥加密的，加密的第一秘钥是通过加密秘钥加密的；加密秘钥存储于SE芯片；第一秘钥是在用户录入身份信息时SE芯片生成的。

6.根据权利要求5所述的方法，其特征在于，接收身份验证信息以及已录入的用户身份信息和对应的加密秘钥之前，还包括：

与终端设备进行绑定；

在绑定成功的情况下，接收身份验证信息以及加密的已录入的用户身份信息和第一秘钥。

7.根据权利要求6所述的方法，其特征在于，通过以下方式与终端设备进行绑定：

在终端设备每次开机的情况下，接收通过第二公钥加密的设备信息；

利用第二私钥对加密的设备信息解密，以获得设备信息；

在非首次开机、且本次获得设备信息与上一次开机获得的设备信息匹配的情况下，确定与终端设备成功绑定；

其中，第二公钥和第二私钥构成第二秘钥对，第二秘钥对是在出厂前被赋予终端设备和SE芯片的。

8.根据权利要求7所述的方法，其特征在于，第二秘钥对可通过以下方式重新配置：

接收解锁配置命令，解锁配置命令中包括通过第三私钥签名的预设字符串；

在利用SE芯片存储的第三公钥解密获得预设字符串，且与存储的预设字符串匹配的情况下，重新配置第二秘钥对；

其中，第三公钥和第三私钥构成第三秘钥对，第三秘钥对是终端设备产生的。

9.一种用于终端设备身份验证的装置，包括处理器和存储有程序指令的存储器，其特征在于，所述处理器被配置为在运行所述程序指令时，执行如权利要求1至8任一项所述的用于终端设备身份验证的方法。

10.一种终端设备，其特征在于，包括：

配置有SE芯片的终端设备本体，

如权利要求9所述的用于终端设备身份验证的装置，安装于所述终端设备本体。