TW202203056A

TW202203056A - 認證數據傳輸方法與系統

Info

Publication number: TW202203056A
Application number: TW109123254A
Authority: TW
Inventors: 戴洪海; 李揚; 何東宇; 譚加源
Original assignee: 瑞昱半導體股份有限公司
Priority date: 2020-07-07
Filing date: 2020-07-09
Publication date: 2022-01-16
Also published as: US20220014414A1; TWI800741B; CN113918906A; US11870774B2

Abstract

一種認證數據傳輸方法與系統，方法運行於一電腦系統中，電腦系統連接一生物識別裝置，在方法中，電腦系統先與生物識別裝置之間依據一安全協議建立一安全通道，經認證請求後，可自生物識別裝置接收經加密形成的生物特徵數據，在電腦系統建立的一安全執行環境中解密生物特徵數據，並擷取生物特徵信息，經比對數據庫中特徵數據後產生一比對結果，之後回傳此比對結果至生物識別裝置，使得生物識別裝置可以根據安全協議加密比對結果，以符合所述安全協議的方式通過安全通道傳送至電腦系統。

Description

認證數據傳輸方法與系統

說明書提出一種傳輸認證數據的方法，特別是一種運行於電腦系統中符合一安全傳輸協議的認證數據傳輸方法與系統。

在電腦主機上設置安全登入的措施的目的是要提供一種安全登入電腦系統的解決方案，除了傳統密碼帳號登入的方式外，更有電腦主機在登入系統時要求以生物識別技術（biometrics）提供更安全的登入方法，可以避免非電腦使用者或惡意程式非法登入系統，通過生物識別技術可以確保使用者本人登入系統。

為了達到以上安全登入的目標，微軟公司（Microsoft™ Corp.）提出一種安全裝置連接協議（Secure Device Connection Protocol，SDCP），使得電腦作業系統可以接受生物識別技術成為登入驗證的安全通道，如此可以有效避免外部惡意程式侵入系統。

然而，根據微軟公司提出的安全裝置連接協議，需要晶片上辨識（Match on Chip，MOC）的設備才能支援此安全裝置連接協議，使得上述的生物識別認證系統在設計上受到了許多限制。

為了讓以主機上辨識技術實現的生物識別裝置可應用在一安全協議下的認證環境，揭露書提出一種認證數據傳輸方法與系統，通過新設計的保全通道（secure channel）讓原本不支持主機上辨識（Match on Host，MOH）技術的安全協議仍可接受相關認證程序。

根據所述認證數據傳輸方法的實施例，方法運行於一電腦系統中，電腦系統連接一生物識別裝置，在方法中，電腦系統通過特定連接方式連接生物識別裝置，兩者之間依據一安全協議先建立一安全通道。

當電腦系統執行需要通過生物識別認證的程序時，先發出一認證請求至生物識別裝置，之後由生物識別裝置採集到使用者的生物特徵數據，可以經加密後傳送到電腦系統，電腦系統即自生物識別裝置接收經加密形成的生物特徵數據。之後，在一安全執行環境中解密生物特徵數據，再由生物特徵數據中擷取一生物特徵信息，用以比對數據庫中的特徵數據，產生一比對結果。

接著，電腦系統傳送此比對結果至生物識別裝置，於生物識別裝置中，即可以根據所述安全協議加密比對結果，再通過依照此安全協議建立的安全通道傳送經加密的比對結果至電腦系統，而此傳送過程即已符合原本僅支持晶片上辨識（MOC）技術的安全協議。

優選地，所述生物識別裝置為以主機上辨識技術實現，其中設有採集生物特徵的一傳感器，以及經傳感器採集到生物特徵後，形成生物特徵數據的一處理電路。

優選地，電腦系統可通過一驅動程式接口連接生物識別裝置的處理電路，電腦系統可通過驅動程式接口自處理電路接收生物特徵數據，亦經驅動程式接口將比對結果傳送至處理電路。

進一步地，所述安全執行環境為由電腦系統通過其處理器執行一軟體程序形成，可於此安全執行環境中執行解密、擷取生物特徵信息，以及比對生物特徵信息，產生比對結果。

根據一實施例，所述安全協議可為微軟公司提出的安全裝置連接協議（SDCP），所述安全通道即為在此安全裝置連接協議下建立的保全通道一。

進一步地，當電腦系統通過所述安全通道接收比對結果時，經確認比對結果後，即停止訪問生物識別裝置。

根據再一實施例，揭露書提出運行所述認證數據傳輸方法的系統，系統主要包括電腦系統，其中設有處理器與記憶體，其中建立包括一或多筆特徵數據的數據庫，系統包括連接此電腦系統的生物識別裝置，以電腦系統中的處理器執行所述認證數據傳輸方法。

如此，當電腦系統通過以軟體程序實現的一生物識別引擎經安全裝置連接協議接收所述比對結果時，實現原本支援晶片上辨識技術所執行的生物認證程序。

為使能更進一步瞭解本發明的特徵及技術內容，請參閱以下有關本發明的詳細說明與圖式，然而所提供的圖式僅用於提供參考與說明，並非用來對本發明加以限制。

以下是通過特定的具體實施例來說明本發明的實施方式，本領域技術人員可由本說明書所公開的內容瞭解本發明的優點與效果。本發明可通過其他不同的具體實施例加以施行或應用，本說明書中的各項細節也可基於不同觀點與應用，在不悖離本發明的構思下進行各種修改與變更。另外，本發明的附圖僅為簡單示意說明，並非依實際尺寸的描繪，事先聲明。以下的實施方式將進一步詳細說明本發明的相關技術內容，但所公開的內容並非用以限制本發明的保護範圍。

應當可以理解的是，雖然本文中可能會使用到“第一”、“第二”、“第三”等術語來描述各種元件或者信號，但這些元件或者信號不應受這些術語的限制。這些術語主要是用以區分一元件與另一元件，或者一信號與另一信號。另外，本文中所使用的術語“或”，應視實際情況可能包括相關聯的列出項目中的任一個或者多個的組合。

揭露書揭示一種認證數據傳輸方法與系統，所述方法可以解決傳統的主機上辨識（MOH）的生物識別技術無法應用在特定安全協議的問題。例如，微軟公司（Microsoft™ Corp.）提出一種安全裝置連接協議（SDCP），此安全裝置連接協議傳統上僅適用晶片上辨識（MOC）的生物識別技術，但晶片上辨識的處理晶片本身執行指紋識別與加密運算，需要有很強的計算能力。而揭露書所提出的認證數據傳輸方法提供一成本較為低廉的解決方案，可以讓主機上辨識（MOH）的生物識別技術應用在特定安全協議中，例如所述微軟公司提出的安全裝置連接協議（SDCP）。

圖1顯示揭露書所提出的認證數據傳輸方法應用在電腦系統上生物識別技術的示意圖。

圖式顯示有一電腦主機10，在電腦主機10中，其中硬體元件代表性地表示有處理器105與記憶體103，並運行有一作業系統101，較佳地，電腦系統中設有建立包括一或多筆特徵數據的數據庫。圖式顯示有一生物識別裝置12，以特定連接手段（如USB或其他）連接電腦系統，裝置如圖式的電腦主機10，此生物識別裝置12較佳地為以主機上辨識（MOH）技術實現的裝置，其中概括地表示包括有採集使用者的生物特徵的一傳感器121以及形成生物特徵數據的一處理電路123。

值得一提的是，所述處理電路123為一個執行加密運算的運算器，一般可稱橋接器（Bridge），為生物識別裝置中的加密電路，用以加密經保全通道一傳送至電腦系統的比對結果及/或生物特徵信息，以符合特定安全協議，也就是，通過這個架構才可以支持特定安全協議，如所述安全裝置連接協議，能保障數據傳輸的安全，在揭露書提出的系統中，更能使得主機上辨識技術實現的裝置可以應用在此安全協議下，通過特定的保全通道讓原本需要在生物識別裝置12中運算的功能轉移到電腦系統中處理器105進行運算，系統可應用在運算能力較低的晶片的解決方案，進而降低成本。

揭露書所揭示的系統可以應用各種生物識別技術，除指紋外，還可使用在採用臉部辨識、聲紋辨識、虹膜辨識、指靜脈識別、掌紋識別等對數據有高度安全要求的應用上，生物識別裝置12即用於擷取這些生物特徵以及轉換為電腦系統可接收的數據，特別是還能演算為符合特定安全協議的格式的數據。

圖2接著顯示符合特定安全協議的系統架構以及其中運行的認證數據傳輸流程示意圖。

圖式顯示生物識別裝置20中的主要元件，包括傳感器201與處理電路203。值得一提的是，相對於晶片上辨識（MOC）技術實現的其他生物識別裝置需要強大的處理能力以於裝置內晶片中直接演算生物識別流程，包括辨識生物特徵與驗證，揭露書提出的認證數據傳輸方法更適合用於硬體能力相對可以較差的以主機上辨識（MOH）技術實現的生物識別裝置20。

在電腦系統23端，設有驅動程式接口205，包括生物認證運算引擎209與數據庫211，與生物識別裝置20的處理電路203建立保全通道一21及保全通道二22。其中，數據庫211可為在電腦系統23中的儲存器或雲端實現用於儲存特徵數據的數據庫，其中數據由電腦系統加密管理。

在一實施例中，保全通道一21可以是根據安全裝置連接協議（SDCP）建立的安全通道，保全通道二22可以是根據一通用安全傳輸協議（例如傳輸層安全性協定（Transport Layer Security，TLS））所建立的安全通道，如此，生物識別裝置20可通過不同的保全通道（保全通道一21與保全通道二22）與電腦系統23完成傳送生物特徵數據、取得生物特徵信息、特徵比對以及回傳比對結果等說明書所提出的認證數據傳輸的流程。

在此實施例中，電腦系統可通過此驅動程式接口205連接生物識別裝置20的處理電路203，使得電腦系統23可通過驅動程式接口205自處理電路203接收生物特徵數據，亦能經此驅動程式接口205將電腦系統23產生的比對結果及/或生物特徵信息傳送至處理電路203。

根據說明書所提出認證數據傳輸系統的實施例，在保全通道二22上，電腦系統23中以軟體手段實現生物認證運算引擎209，其中主要工作是在一安全執行環境中執行擷取生物特徵（feature extraction）291、範本建構（template construction）292，以及執行範本比對（template matching）293等的生物認證程序。其中所述安全執行環境，在電腦系統23中，可以是一個運行特定加密與解密演算法的記憶體區塊，其中可運行一通用安全傳輸協議（例如傳輸層安全性協定（TLS）），電腦系統23通過此通用安全傳輸協議運行一安全執行環境，實現特定安全協議所支援的生物識別程序，例如微軟公司所提出的安全裝置連接協議（SDCP）所支援的生物識別程序。如此，認證數據傳輸系統通過保全通道二22可使得主機上辨識技術實現的生物識別裝置20也能支援特定安全協議，以增強這類生物識別裝置20在特定作業環境下的安全性和相容性。若電腦系統23中運行微軟作業系統（Windows™ OS），所述特定安全協議即微軟公司提出的安全裝置連接協議（SDCP）。

舉例來說，當生物識別裝置20中的傳感器201採集到使用者的指紋特徵，經處理電路203處理後，形成生物特徵數據，可經加密後傳遞到電腦系統23。之後在電腦系統23中，通過其處理器執行一軟體程序，由在安全執行環境中實現的生物認證運算引擎209中執行解密、擷取生物特徵、樣板建構以及比對，生物特徵與數據庫211中的特徵數據比對後，產生比對結果。

另一方面，在保全通道一21上，電腦系統23中仍以軟體程序實現一生物識別引擎207，在安全環境程序213中運行以處理原本晶片上辨識技術實現的生物認證程序。當自生物識別裝置20所接收的比對結果時，根據本揭露書提出的系統架構，系統仍可使得電腦系統23通過安全協議（如所述安全裝置連接協議）自主機上辨識技術所實現的生物識別裝置20接收比對結果，以此實現原本支援晶片上辨識技術所執行的一生物認證程序。

根據其中之一方案，所述生物識別引擎207例如可為微軟公司提出的生物識別架構（windows biometric framework），主要用途是提供應用程式介面（API），使得電腦系統23可以安全地取得、儲存與比對生物特徵。再根據其中之一方案，所述安全環境程序213例如微軟公司提出的虛擬化安全機制（Virtualization-based security，VBS），這是以虛擬化為基礎的安全性機制，提供硬體虛擬化功能，於電腦系統23中建立一個可以安全隔離其他檔案的記憶體區塊。在所述認證數據傳輸方法中，電腦系統23中通過安全環境程序213建立一個安全執行環境，使得可以安全無虞地以處理認證數據，如生物識別裝置產生的生物特徵數據，排除惡意侵入的威脅。

圖3顯示電腦系統執行認證數據傳輸方法的實施例流程圖。流程從電腦系統開機開始，開機過程經上電後初始化連接電腦系統的特定通訊埠的生物識別裝置（步驟S301），生物識別裝置可為外接裝置或為電腦系統中的電路模組，以特定連接手段連接到電腦系統，初始化過程包括初始化其中的傳感器與其處理電路，使之處於待機採集生物特徵的狀態，或是等待系統喚起運作，電腦系統開機後運行一作業系統。

電腦系統中作業程式，通過特定驅動程式與生物識別裝置根據一安全協議建立一安全通道（步驟S303），根據實施例，以微軟作業系統為例，安全協議可以安全裝置連接協議，而安全通道可為在此安全裝置連接協議下建立的保全通道，如上述實施例提出的保全通道一與保全通道二。

當電腦系統啟始一需要認證使用者身份的電腦程序時，例如：登入系統時需要認證使用者身份時、交易或進行支付時需要認證使用者時、存取特定服務或檔案時，或是執行任一有需要確認使用者身份的步驟時，由電腦系統向生物識別裝置產生一認證請求（步驟S305）。

認證請求傳送至生物識別裝置，相關程序持續訪問生物識別裝置，由生物識別裝置採集生物特徵，如指紋、臉部、聲紋、虹膜、指靜脈等生物特徵，經生物識別裝置中的處理電路加密產生生物特徵數據，即通過上述實施例中的保全通道二傳送經過加密的生物特徵數據至電腦系統，保全通道二可以是根據所述傳輸層安全性協定（TLS））所建立的安全通道。如此，生物特徵數據經電腦系統接收後（步驟S307），特別可於安全執行環境中執行解密演算與匹配演算（步驟S309）。

其中解密演算與匹配演算的步驟為電腦系統通過其處理器執行的軟體程序，如圖2顯示的生物認證運算引擎執行的擷取生物特徵、範本建構以及範本比對等步驟，這時，於一安全執行環境中執行解密、從生物特徵數據中擷取生物特徵信息，以及以生物特徵信息比對數據庫中的特徵數據，產生一比對結果。之後，電腦系統將比對結果傳回至生物識別裝置，也就是同樣通過圖2描述的保全通道二回傳比對結果至生物識別裝置（步驟S311）。生物識別裝置於是接收比對結果，接著由生物識別裝置根據所支援的安全協議對應的演算法加密比對結果，再通過之前建立的另一安全通道，如圖2顯示的保全通道一，傳送經加密的比對結果至電腦系統（步驟S313）。

在電腦系統中，從生物識別裝置經安全通道（如保全通道一）接收到比對結果，經確認比對結果後，表示完成使用者認證，即可允許原本使用者所欲進行的程序，如登入系統、解鎖、執行支付或交易、存取服務或是檔案資料等，並停止訪問生物識別裝置（步驟S315）。在另一實施例中，在步驟S311，電腦系統可通過保全通道二將比對結果與生物特徵信息傳回至生物識別裝置。生物識別裝置接收比對結果與生物特徵信息，接著進入步驟S313，由生物識別裝置根據所支援的安全協議對應的演算法加密比對結果與生物特徵信息，通過另一安全通道，傳送經加密的比對結果與生物特徵信息至電腦系統，再進行步驟S315。

圖4繼續顯示運行於生物傳感器、生物特徵處理裝置與電腦系統的認證數據傳輸方法的實施例流程圖。

圖式顯示為運行於生物識別裝置中的傳感器41與處理電路42，與其與電腦系統43來往信息以傳輸認證數據的流程。當電腦系統開機，連接電腦系統的生物識別裝置也上電，即初始化其中傳感器41與處理電路42（步驟S401），電腦系統43開機完成並進入作業系統時，與處理電路42建立一符合特定安全協議的安全通道，如上述實施例指出的保全通道一與保全通道二（步驟S403）。

之後，當電腦系統中啟始一需要生物認證的程序時，電腦系統之作業系統將要求生物認證，向處理電路42產生一認證請求（步驟S405），處理電路42即控制傳感器41採集生物特徵（步驟S407），如感測使用者的指紋，在處理電路42中形成生物特徵數據（步驟S409），再將生物特徵數據加密後通過安全通道傳送到電腦系統43，安全通道即如上述實施例中的保全通道二（如圖2，22）（步驟S411）。

之後，在電腦系統43中的安全執行環境中進行運算與比對（步驟S413），當中可包括特徵擷取、範本建構與比對數據庫的特徵數據，產生比對結果，接著將比對結果，可隨同所取得的生物特徵信息，經加密後，通過相同安全通道（如保全通道二）傳送到處理電路42（步驟S415），經生物識別裝置中處理電路42取得比對結果，再次根據特定安全協議加密形成回傳給電腦系統43的信息（步驟S417），這時，再經安全通道（如圖2中保全通道一21）傳送加密的比對結果到電腦系統43（步驟S419）。

在電腦系統43中，經確認結果後，即停止訪問生物識別裝置（步驟S421），在生物識別裝置中，由處理電路42設定傳感器41等相關電路進入低耗能的待機模式（步驟S423）。

如此，在上述運行於傳感器41、處理電路42與電腦系統43的流程所實現的認證數據傳輸方法中，通過生物識別裝置與電腦系統之間建立的不同的保全通道，使得以主機上辨識（MOH）技術實現的生物識別裝置支援了傳統上僅適用晶片上辨識（MOC）的生物識別技術的安全協議，例如安全裝置連接協議（SDCP）。

綜上所述，根據以上實施例所描述的認證數據傳輸方法與系統，實現可以主機上辨識（MOH）技術實現的生物認證技術運行在具有安全傳輸與加密演算法的安全協議下，而可以在降低成本的優勢下取代原本僅適用晶片上辨識（MOC）實現的生物識別裝置，執行原本支援晶片上辨識技術所執行的一生物認證程序。更者，揭露書所提出的系統架構使用電腦系統的處理器的算力進行生物識別中的運算，如指紋驗證，除了取代原本應該在晶片上辨識的生物識別裝置中（橋接器）運行的工作，能符合特定安全協議，更利用作業系統中的安全機制提供安全執行環境，保障數據傳輸與處理的安全性。

以上所公開的內容僅為本發明的優選可行實施例，並非因此侷限本發明的申請專利範圍，所以凡是運用本發明說明書及圖式內容所做的等效技術變化，均包含於本發明的申請專利範圍內。

12:生物識別裝置 121:傳感器 123:處理電路 10:電腦主機 101:作業系統 103:記憶體 105:處理器 20:生物識別裝置 201:傳感器 203:處理電路 23:電腦系統 205:驅動程式接口 207:生物識別引擎 213:安全環境程序 209:主機端運算引擎 291:擷取生物特徵 292:範本建構 293:範本比對 211:數據庫 21:保全通道一 22:保全通道二 41:傳感器 42:處理電路 43:電腦系統 S301～S315步驟:電腦系統執行認證數據傳輸流程 S401～S423步驟:認證數據傳輸流程

圖1顯示在電腦系統上應用生物識別技術的示意圖；

圖2顯示符合特定安全協議的系統架構以及其中運行的認證數據傳輸流程示意圖；

圖3顯示電腦系統執行認證數據傳輸方法的實施例流程圖；以及

圖4顯示運行於生物傳感器、生物特徵處理裝置與電腦系統的認證數據傳輸方法的實施例流程圖。

201:傳感器

203:處理電路

205:驅動程式接口

207:生物識別引擎

213:安全環境程序

209:生物認證運算引擎

211:數據庫

21:保全通道一

22:保全通道二

20:生物識別裝置

23:電腦系統

291:擷取生物特徵

292:範本建構

293:範本比對

Claims

一種認證數據傳輸方法，運行於一電腦系統中，該電腦系統連接一生物識別裝置，該方法包括：與該生物識別裝置之間依據一安全協議建立一安全通道；自該生物識別裝置接收經加密形成的一生物特徵數據；解密該生物特徵數據，由該生物特徵數據中擷取一生物特徵信息，用以比對一數據庫中的特徵數據，產生一比對結果；傳送該比對結果至該生物識別裝置；以及於該生物識別裝置中，根據該安全協議加密該比對結果，以通過該安全通道傳送經加密的該比對結果至該電腦系統。
如請求項1所述的認證數據傳輸方法，其中該生物識別裝置以一主機上辨識技術實現，其中設有採集生物特徵的一傳感器以及形成生物特徵數據的一處理電路。
如請求項2所述的認證數據傳輸方法，其中該電腦系統通過一驅動程式接口連接該處理電路，該驅動程式接口通過一保全通道二自該處理電路接收該生物特徵數據，亦經該保全通道二將該比對結果傳送至該處理電路。
如請求項3所述的認證數據傳輸方法，其中該保全通道二為根據一傳輸層安全性協定所建立的安全通道。
如請求項3所述的認證數據傳輸方法，其中該電腦系統通過一處理器執行一軟體程序，於一安全執行環境中執行解密與比對該生物特徵信息，產生該比對結果。
如請求項1所述的認證數據傳輸方法，其中該安全協議為一安全裝置連接協議，該安全通道為在該安全裝置連接協議下建立的一保全通道一。
如請求項6所述的認證數據傳輸方法，其中該電腦系統通過以軟體程序實現的一生物識別引擎經該安全裝置連接協議接收該比對結果，實現原本支援一晶片上辨識技術所執行的一生物認證程序。
如請求項1至7中任一項所述的認證數據傳輸方法，其中，由該電腦系統產生一認證請求，並傳送至該生物識別裝置，並持續訪問該生物識別裝置，由該生物識別裝置採集生物特徵，經加密產生該生物特徵數據。
如請求項8所述的認證數據傳輸方法，其中，當該電腦系統通過該安全通道接收該比對結果時，經確認該比對結果後，停止訪問該生物識別裝置。
一種系統，其中運行一認證數據傳輸方法，該系統包括：一電腦系統，設有一處理器與一記憶體，其中建立包括一或多筆特徵數據的一數據庫；一生物識別裝置，連接該電腦系統；其中，以該處理器執行該認證數據傳輸方法，包括：與該生物識別裝置之間依據一安全協議建立一安全通道；自該生物識別裝置接收經加密形成的一生物特徵數據；解密該生物特徵數據，由該生物特徵數據中擷取一生物特徵信息，用以比對該數據庫中的特徵數據，產生一比對結果；傳送該比對結果至該生物識別裝置；以及於該生物識別裝置中，根據該安全協議加密該比對結果，以通過該安全通道傳送經加密的該比對結果至該電腦系統。