WO2010075762A1 - 一种生物特征认证方法，以及一种生物特征认证系统 - Google Patents

一种生物特征认证方法，以及一种生物特征认证系统 Download PDF

Info

Publication number
WO2010075762A1
WO2010075762A1 PCT/CN2009/076144 CN2009076144W WO2010075762A1 WO 2010075762 A1 WO2010075762 A1 WO 2010075762A1 CN 2009076144 W CN2009076144 W CN 2009076144W WO 2010075762 A1 WO2010075762 A1 WO 2010075762A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
biometric
split
identification number
data storage
Prior art date
Application number
PCT/CN2009/076144
Other languages
English (en)
French (fr)
Inventor
刘洪利
Original Assignee
Liu Hongli
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CNA2009100003155A external-priority patent/CN101478541A/zh
Application filed by Liu Hongli filed Critical Liu Hongli
Publication of WO2010075762A1 publication Critical patent/WO2010075762A1/zh

Links

Classifications

    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H10/00—ICT specially adapted for the handling or processing of patient-related medical or healthcare data
    • G16H10/60—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records

Definitions

  • the invention belongs to the category of identity authentication technology, relates to a biometric authentication method, and a biometric authentication system.
  • biometric authentication is based on individual unique and constant biometric template data to determine a person's true identity. There is a one-to-one correspondence between the biometric template data and the personal identity, so the template that can authenticate the biometric value set of a person's identity belongs to the personal privacy information, and the biometric numerical data set representation cannot change the individual and the individual regardless of whether the image is represented by the image.
  • One-to-one correspondence of identity is a one-to-one correspondence of identity.
  • the biometric identity authentication is divided into two types: closed self-biometric authentication and open public biometric authentication: 1 .
  • Closed self-biological (fingerprint) identity authentication identity authentication for protecting the information property held by the individual
  • the organizer is the individual, and the certification is also the individual. For example, fingerprint safes, fingerprint locks, etc., fingerprint samples of these applications are stored on the device they control, so there is no fingerprint privacy leak.
  • open public biology (fingerprint) identity authentication distribution of many personal information assets or management access rights hosted by public institutions, identity authentication for individuals, for example, fingerprint network login, fingerprint attendance, fingerprint payment, fingerprint visa, fingerprint Banks, etc.
  • the organizer is a public institution (government enterprise or other organization), and other individuals are certified.
  • the present invention is primarily directed to technical improvements in open public biological (fingerprint) identity authentication.
  • One approach in the prior art is to require individuals to keep fingerprint samples to the public institution's fingerprint database rather than to individual devices, and as such, these organizations have the potential to actively or passively disclose personal fingerprint information. Since the implementation of fingerprint visas in the United States triggered diplomatic disputes and civil rights organizations to protest, privacy disputes caused by fingerprint authentication have plagued the development of fingerprint authentication technology like ghosts.
  • biometric authentication technology cannot avoid. It should also be the direction of biometric authentication technology. Technology should be people-oriented, not the other way around.
  • Biometric templates for different applications are stored in different public institutions, and individual users are not at ease, worrying about leaving their own biophysical privacy data leaks; in turn, fingerprint data is handed over to individuals for storage on users' devices, although after public The organization's encryption or digital signature, but due to concerns about the security of encryption or digital signature itself, public institutions are not completely assured.
  • Unisys advocated the creation of a diverse, neutral alliance to develop standardized business processes for global authentication and to allow identity qualifications to be used at different international borders.
  • the purpose of the invention is to protect the privacy of the user's personal biometric information and improve the security of the biometric authentication.
  • a biometric authentication method which performs the following steps:
  • the registered biometric data is split into at least two biometric data segments by using a byte Byte or a binary digit Bit of the biometric data as a minimum data splitting unit, and each of the data segments is at least Biometric data including one byte Byte or one binary digit Bit;
  • biometric data comparison And transmitting the biometric data segment and the biometric data ID identification number corresponding to the biometric data ID to the at least two split data storage devices having the ID identification number; and verifying, according to the biometric data ID An identification number, the data segments registered in the ID identification number split data storage device are aggregated and reassembled to form complete biometric data, and the biometric data to be authenticated and the ID identification number are complete. Biometric data comparison;
  • the biometric feature value data to be authenticated may be directly matched with the matching; if the registered biometric data is an image or video of the original biometric, After the original biometric data fragments are restored to form the complete original biometric data, the biological detail feature values need to be extracted first, and then the biological detail feature values are matched and matched.
  • the relationship data is stored together in a separate memory;
  • the corresponding binding relationship data of the above three may also be stored in the split data storage device of one of the ID identification number split data storage devices, but not stored in all the split data storage devices;
  • the ID identification number split data is stored in the ID.
  • the ID identification number biometric data segments registered in the storage device are aggregated and reassembled to form complete biometric data, and the biometric data to be authenticated is compared with the biometric data of the ID identification number.
  • the registered biometric template data that is, the biological detail feature value set data
  • the registered biometric template data is divided into the minimum data splitting unit by the biological detail feature value, and is split into group data of at least two biological detail feature value groups.
  • Each biometric panel data contains at least one biological detail feature value;
  • the split data storage device of the registered biometric value group further has a biometric comparison module, according to the biometric data ID identification number and the split data storage device ID identification number in the registered correspondence relationship, the creature to be authenticated
  • the feature data is sent to the split data storage device having the biometric comparison module, and is compared with the partial biometric value group data.
  • the ID number of the biometric value group is performed
  • biometric data ID identification number a biometric value group ID identification number corresponding to the biometric data
  • an ID identification number of the split data storage device for storing the biometric value group data, and the corresponding binding relationship data of the three , saved together in a separate memory
  • the corresponding binding relationship data of the above three may also be stored in the split data storage device of one of the ID identification number split data storage devices, but not stored in all the split data storage devices;
  • the biometric value group ID identification number is used in each of the ID identification numbers. Searching for the biometric panel data in the split data storage device;
  • the biometric data to be authenticated is compared with the biometric feature value of the biometric value panel under the biometric data ID identification number.
  • a biometric-based authentication system the user using the system based on a biosensor held by a registration device or a verification device terminal, comprising:
  • the registration device has at least a data splitting module and a split data communication management module
  • a data splitting module configured to split the registered biometric data with the ID identification number into at least two parts of the biometric split data
  • Split data communication management module used for (4) split data communication management of the central management device, and (2) split data communication device split data communication management The module and (3) the split data communication management module of the verification device cooperate to complete the following steps;
  • the split data of the biometric data is separately sent to at least two (2) split data storage devices having ID identification numbers for registration and storage;
  • the biometric data to be authenticated is compared with at least a portion of the split data registered in the (2) split data storage device, and the comparison is matched The number of successes enters the identity decision module.
  • split data storage device having an ID identification number, having at least an external memory, and a split data communication management module
  • An external memory configured to save biometric split data received from the (1) registration device, and an ID identification number corresponding to the split data
  • the ID identification number corresponding to the split data may be an ID identification number of the biometric data before the splitting, or an ID identification number of the split data itself; a split data communication management module; 4) Under the control of the split data communication management module of the central management device, the following steps are completed in cooperation with (1) the split data communication management module of the registration device and (3) the split data communication management module of the verification device;
  • the split data of the biometric data is separately sent to at least 2 (2) split data storage devices with ID identification numbers for registration and storage;
  • the biometric data to be authenticated is compared with at least a part of the split data registered in the (2) split data storage device, and the comparison is matched
  • the number of successes is entered into the identity determination module;
  • the verification device has at least a split data communication management module biometric comparison module and an identity determination module;
  • Split data communication management module used for (4) split data communication management module of the central management device, (1) split data communication management module of the registration device and (2) split data storage device The data communication management module cooperates to complete the following steps;
  • the split data of the biometric data is separately sent to at least two (2) split data storage devices having ID identification numbers for registration and storage;
  • a biometric comparison module configured to perform biometric feature value comparison on at least a portion of biometric feature data registered in the (2) split data storage device for biometric data to be authenticated and the biometric data, and generate Comparing the number of successful matches, input the identity determination module;
  • An identity determining module configured to compare the number of successful matches and setting conditions generated by the biometric comparison module of the (3) verification device or the biometric comparison module of the (2) split data storage device, Determining whether the identity of the biometric data to be authenticated is consistent with the identity of the biometric data of the ID identification number, generating verification result data and outputting; (4) a central management device that manages the entire system through the communication line, having at least an external memory, splitting Data communication management module;
  • An external memory configured to store at least an ID identification number of the biometric data, a split data storage device ID identification number, and a corresponding binding relationship data for storing the two; wherein the ID identification number biometric data is split into at least 2 Splitting data and registering in at least 2 of the split data storage devices;
  • the split data of the biometric data and the ID identification number corresponding to the split data are sent to the ID identification number split data storage device for registration and storage;
  • the corresponding binding relationship between the biometric data ID identification number and the split data storage device ID identification number saved by the central management device is used, and the ID identification number split data storage device is used. Searching for split data of the ID identification number biometric data;
  • Split data communication management module used to control (1) split data communication management module of registration device, (2) split data communication management module split data communication management module and (
  • the split data of the biometric data is separately sent to at least two (2) split data storage devices having ID identification numbers for registration and storage;
  • the biometric data to be authenticated is compared with at least a part of the split data registered in the (2) split data storage device, and the comparison is matched. The number of successes is entered into the identity determination module.
  • the ID number of the registered biometric split data is ID
  • the biometric split data and the split data ID identification number are saved in the (2) split data storage device. , but does not save the ID number of the biometric data;
  • the split data communication management module compares the biometric data to be authenticated with at least a part of the ID identification number split data. Correct.
  • the data splitting module occupies bytes of biometric data
  • Byte or binary digit Bit is a minimum data splitting unit, and the biometric data is split into at least two parts of biometric data segments, and each data segment includes at least one byte By te or one binary digit Bit biometric data;
  • the biometric data segments registered in the split data storage device are aggregated to the verification device, and reassembled to form complete biometric data.
  • the biometric data is biometric template data
  • the certified biological detail feature data can be directly compared with it; if the biometric data is the original biometric image or video data, the aggregated original biometric data segments are restored to form intact original biometric data, and the biological details need to be performed first.
  • the extraction of the feature values is followed by a matching comparison of the biometric values.
  • the data splitting module uses the biological detail feature value as the minimum data split unit, and the biological detail feature value set data that can generate the biometric template is split into at least two biometric value groups, each The biometric value panel data contains at least one biological detail feature value;
  • the biometric data to be authenticated is compared with the biometric feature value data of at least a part of the biomarker value group data of the ID identification number biometric data, and the number of successful matching matches is entered into the identity determination module;
  • the split data storage device of the registered biometric value group further has a biometric comparison module, according to the binding relationship of the biometric data ID identification number and the split data storage device ID identification number, the binding relationship is to be
  • the authenticated biometric data is sent to each of the split data storage devices having the biometric comparison module, and compared with the partial biometric value group data, and the number of successful matching matches is also input to the identity determining module of the verification device.
  • the user may also apply to the central management device for the ID number of the registration device and save it in the central management device;
  • the user can also apply to the central management device to register the ID number of the split data storage device and save it in the central management device;
  • the user can also apply to the central management device for the ID of the registration verification device and save it in the central management device;
  • the user applies for the biometric data ID identification number to the central management device, and registers the biometric data to start using the biometrics authentication system;
  • the user can select at least two specific split data storage device ID identification numbers to be registered separately from the total list of split data storage device ID identification numbers of the central management device;
  • the user may select an authentication device with an ID number to authenticate the biometric data to be authenticated collected in the field using the biometric data ID number of the user.
  • the user can register the ID identification number of the user authority of the other application system;
  • the ID identification number of the other application system authority is uniquely associated with the ID identification number of the biometric data of the user, and is stored in an external memory of the central management device, and the identity verification result of the biometric data of the ID identification number is set.
  • the data is equivalent to the authentication result data of the other application system rights of the ID identification number;
  • the user may select a verification device with an ID identification number, and use the ID identification number of the other application system user authority to perform identity authentication on the biometric data to be authenticated collected by the user on the site;
  • the verification device performs the step of verifying the biometric data of the ID identification number according to the unique binding relationship data of the other application system authority ID identification number and the biometric data ID identification number saved by the user stored in the external storage device of the central management device.
  • the authentication result of the ID identification number biometric data of the user is equivalent to the identity verification result of the user identification authority of the other ID of the application ID.
  • the present invention splits the complete biometric data into different split data, and respectively registers them in different split data storage devices, and The parent-child correspondence data of the biometric data ID identification number and the split data ID identification number are not stored in the split data storage device. In this way, it is impossible to identify the identity by a small number of split data alone. Even if the split data on the partially split data storage device is obtained, it is meaningless if the split data cannot be obtained enough; Sub-data, no overall ID number of biometric data and parent-child correspondence data of these split data ID numbers, nor The method discriminates which biometric data of which person is split. Therefore, the confidentiality of biometric data is improved.
  • biometric authentication results of the system can share the biometric authentication results of the system and achieve single sign-on by simply binding with the users of the system, using the users of other systems and collecting biometric data to be authenticated in the field.
  • the identity of a person cannot be fully authenticated, so the split data does not constitute the user's private information. Therefore, the invention not only improves the confidentiality of the fingerprint data, but also ensures the privacy of the user, and also ensures the security and ease of use of the biometric authentication.
  • Biometric raw data refers to the original digital representation of a biosignal collected from a biosensor, typically a picture, audio or video. This kind of data generally occupies a relatively large data space.
  • the biometric data is an effective representation data of the biometrics obtained by preprocessing the biometric raw data and extracting the feature points. This data occupies a relatively small data space than the original data.
  • the biometric template is a collection of various feature feature point descriptions extracted by the user for biometric extraction.
  • a fingerprint feature template contains dozens to one hundred and two hundred detail feature values; and in general, there are 8-10 detail feature values in the fingerprint to be authenticated and the matching on the template can determine that the authentication is successful; but generally less than 7
  • the detailed feature numerical data cannot meet the goal of certifying a particular person, and these few detailed feature numerical data cannot meet the sufficient conditions for constructing the person's private information.
  • the biometric value group data is a set of detailed feature value data of the biometric template data registered by the user, which is split into at least two groups of independent biometric value groups. Each biometric value panel contains at least one biological detail feature value.
  • FIG. 1 shows a registration flow chart of a biometric authentication method according to an embodiment of the present invention
  • FIG. 2 is a flow chart showing verification of a biometric authentication method according to an embodiment of the present invention
  • FIG. 3 is a diagram showing the correspondence between the biometric data having the ID identification number and the split data ID identification number and the split data itself according to an embodiment of the present invention
  • FIG. 4 shows an embodiment of the present invention. a corresponding binding relationship diagram of the biometric split data ID identification number and the biometric split data registered and stored on the split data storage device having the ID identification number;
  • FIG. 5 shows a biometric data ID identification number, a biometric split data ID identification number corresponding to the split, and a split data storage device ID identification number for storing the split data, according to an embodiment of the present invention.
  • the three correspond to the binding relationship diagram;
  • FIG. 6 is a schematic structural view of a biometric authentication system according to another embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a registration device of a biometric authentication system according to an embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of a split data storage device of a biometric authentication system according to an embodiment of the present invention.
  • 9 is a schematic structural diagram of a verification apparatus of a biometrics authentication system according to an embodiment of the present invention.
  • 10 is a schematic structural diagram of a central management device of a biometrics authentication system according to an embodiment of the present invention.
  • Figure 11 shows a schematic diagram of the general purpose computer or microcontroller hardware and system structure
  • FIG. 1 and FIG. 2 are flowcharts and verification flowcharts for registering the finger vein authentication method of the IC card passport.
  • the registration procedure is shown in Figure 1.
  • Step S102 splits the registered biometric data into at least two parts of the split data, and the registered candidate user has the complete finger vein feature template data of the ID identification number (1152 bytes Byte size) ), with 16-byte Byte as the split unit, split into 72
  • the data segment is respectively subjected to the ID number of the data segment, as shown in FIG. 3: biometric data having the ID identification number, and the parent-child correspondence diagram of the split data and the split data ID identification number;
  • Step S103 split data distribution into at least two split data storage devices for registration and storage, and randomly select two finger vein data segments and their data segment ID identification numbers from 72 split data segments.
  • Send and save in the database of the passport issuing organization's server ie split data storage device
  • digitally sign or encrypt the remaining 70 data segments and their data segment ID identification numbers and then send and save them on the user's own IC card ( That is, the split data storage device is registered.
  • the server of the passport issuing institution and the user's IC card are two separate data storage devices, and the data binding relationship is as shown in FIG. 4 .
  • split data storage devices with ID identification numbers, respectively register and save the biometric split data itself and the biometric split data ID identification number, but not in the passport issuing institution server (split data storage device)
  • One saves the finger vein feature template data ID identification number, so that a split data storage device is used
  • a small number of data segments (for example, 2 data segments saved in the server database of the passport issuing institution) cannot identify any identity, wherein the finger vein template data ID identification number, and the split finger vein data segment ID identification number
  • storing the split data storage device ID identification number of the finger vein data segment, and the corresponding binding relationship data between the three ID identification numbers is stored in a database of an independent organization, for example, in an independent organization www.EMBbiz.
  • the relationship data is saved in the user passport IC card, if there is no pair between the three ID IDs
  • the relationship data should be bound, and the finger vein data and the finger vein data segment cannot be determined by the server of the passport issuing institution or/and the finger vein data segment ID identification number and the finger vein data segment itself in the user's IC card.
  • the father-son relationship between them, and the inability to judge the identity of the finger vein data, further protects the privacy of the user's finger vein;
  • Step S104 ends the registration, and the passport IC card is handed over to the user for storage: [93] The verification steps are shown in Figure 2.
  • Step S201 starts verification
  • Step S202 At least a part of the biometric data to be authenticated is matched with the registered biometric split data.
  • the finger vein is read from the IC card.
  • the data segment ID identification number and the finger vein data segment itself according to the three-ID ID number corresponding to the binding relationship of FIG. 5 saved in the database of the independent organization www.EMBbiz.net, may be in the passport issuing institution of the ID identification number Searching for the ID identification number finger vein feature data segment in the database and the user's passport IC card, and then according to FIG.
  • the finger vein template data ID identification number and the finger vein data segment ID identification number of the parent-child correspondence relationship Converging all the split data belonging to the finger vein template data ID identification number, merging the finger vein data segment of the user IC card and the finger vein data segment of the passport issuing institution database to reassemble to form a complete finger Venous feature template data, finger vein characteristic data to be authenticated, and complete
  • the finger vein detail feature values in the template are matched and matched; in addition, the passport issuing mechanism reads the finger vein data segment and the finger vein data segment ID identification number in the user IC card, and can also verify the registration in the Digital signature or decryption,
  • Step S203 determines the identity according to the biometric detail matching success number and the setting condition, and the number of the vein detail feature value matching matching reaches a certain set requirement, and the same identity can be determined, and the successful verification result data is generated. And output; otherwise, the verification fails, the failure verification result data is generated and output; 1 ⁇ (Step S204 ends the verification;
  • the method of the embodiment is also suitable for the ic card visa palmprint authentication method, as long as the finger vein characteristic data is simply replaced with palm pattern data, the passport institution is replaced by a visa agency.
  • the fingerprint authentication center authentication system includes: a registration device 1, N independent split data storage devices 2 having ID identification numbers, and a verification device 3 central management device 4, wherein:
  • registration device 1 as shown in Figure 7, at least with biometric data splitting module 1-4 split data communication management module 1-3;
  • N independent split data storage devices with ID identification number 2 as shown in Figure 8, at least with external memory 2-2, split data communication management module 2-3;
  • the verification device 3 has at least a split data communication management module 3-3 a biometric comparison module 3-4 and an identity determination module 3-5;
  • the central management device 4 that manages the entire system through the communication line 100 has at least an external memory 4-2 split data communication management module 4-3 as shown in FIG. 10; wherein the user can apply to the central management device 4
  • the ID number of the registration device 1 is stored in the central management device 4, and the central management device 4 is applied to register the ID identification number of the split data storage device 2, and stored in the central management device 4; Registering the ID number of the verification device 3, and storing it in the central management device 4; applying to the central management device 4 to register the user's fingerprint feature data ID identification number, and storing it in the central management device 4;
  • the registration device 1 having the ID identification number
  • the user applies to the central management device 4 to register the fingerprint feature data and its ID identification number, and starts using the described fingerprint authentication center.
  • Fingerprint authentication system input the fingerprint feature data to be authenticated and the fingerprint feature data ID identification number, and start to use the fingerprint authentication system of the described fingerprint authentication center for identity verification; the following describes the composition of each part separately:
  • the structure of the registration device 1 includes a biometric data splitting module 1-4 for fingerprint feature data collected from a user, and the fingerprint detailed feature value is used as a split unit, and is split.
  • the fingerprint feature value group data of M (M ⁇ ) parts, and each group data of the set split includes three fingerprint detail feature values, and ID identification number is used for each group data;
  • split data communication management module 1-3 for split data communication management module 2-3 with split data storage device 2 under the control of split data communication management module 4-3 of central management device 4
  • split data communication management module 3-3 of the verification device 3 cooperates with the following steps;
  • the group data for splitting the registered fingerprint feature data is transmitted to the external memory 2-2 of the M split data storage devices 2 having the ID identification number;
  • the fingerprint feature data to be authenticated and the fingerprint feature data are registered in at least a part of the fingerprint feature value group data of the split data storage device 2, and the comparison is matched.
  • the number of successes is entered into the identity determination module 3-5 of the verification device 3 ;
  • a schematic structural diagram of a split data storage device 2 having an ID identification number includes an external memory 2-2, a split data communication management module 2-3, and may also include a biometric comparison. Module 2-4;
  • the external memory 2-2 is configured to save the group data of the fingerprint feature data splitting, and the ID identification number corresponding to the split group data.
  • the ID identification number corresponding to the split data is a fingerprint.
  • the ID number of the feature value group but does not save the ID number of the fingerprint feature.
  • the split data storage device with the ID identification number only stores the biometric value group itself data and the biometric value group ID. identifier;
  • split data communication management module 2-3 for split data communication management module 1-3 and verification device with registration device 1 under the control of split data communication management module 4-3 of central management device 4
  • the split data communication management module 3-3 of 3 cooperates with the following steps;
  • the group data for splitting the registered fingerprint feature data is sent to the external memory 2-2 of the M split ID data storage device 2 with the ID identification number;
  • the fingerprint feature data to be authenticated and the fingerprint feature data are registered in at least a part of the fingerprint feature value group data of the split data storage device 2, and the comparison is matched
  • the number of successes is entered into the identity determination module 3-5 of the verification device 3 ;
  • the biometric comparison module 2-4 is configured to use the fingerprint feature data to be authenticated sent from the verification device 3 and the fingerprint feature value saved in the external memory 2-2 of the split data storage device 2 The group performs matching matching, and feeds back the matching success number to the identity determining module 3-5 of the verification device 3, where there are L (L ⁇ M) split data storage devices 2 having the biometric comparison module 2 4
  • the structure of the verification device 3 at least has a split data communication management module 3-3 biometric comparison module 3-4 and identity determination module 3-5;
  • split data communication management module 3-3 for split data communication management module 1-3 and splitting with the registration device 1 under the control of the split data communication management module 4-3 of the central management device 4
  • the split data communication management module 2-3 of the data storage device 2 cooperates to complete the following steps; (y) at the time of registration, the group data for splitting the registered fingerprint feature data is transmitted to the external memory 2-2 of the M split data storage devices 2 having the ID identification number;
  • the fingerprint feature data to be authenticated and the fingerprint feature data are registered in at least a part of the fingerprint feature value group data of the split data storage device 2, and the comparison is matched.
  • the number of successes is entered into the identity determination module 3-5 of the verification device 3 ;
  • the biometric comparison module 3-4 is configured to compare at least a portion of the fingerprint feature data to be authenticated with at least a portion of the split group data of the fingerprint feature data registered by the split data storage device 2 at the time of verification Yes, the number of successful matching matches is generated;
  • the identity determination module 3-5 is configured to match the number of successful matches of the fingerprint detail feature values of the biometric comparison module 3-4 of the verification device or the biometric comparison module 2-4 of the split data storage device. Determining whether the fingerprint feature data to be authenticated is consistent with the identity of the ID identification number fingerprint feature data, generating a successful (or failed) verification result data and outputting the biometric authentication system; and setting a successful identity verification result
  • the data needs to match the condition of the number of successful matches, for example, setting the fingerprint feature data to be authenticated to match the fingerprint feature group in the M split data storage devices 2, as long as a total of 15 fingerprint matches are successfully matched.
  • the schematic diagram of the central management device 4 has at least an external memory 4-2 split data communication management module 4-3;
  • external memory 4 minutiae data identification number ID 2
  • ID registration means for storing an identification number of the split data storage device identification number ID 2
  • ID verification apparatus identification number of the user minutiae data split a group data ID identification number, a user application authority ID identification number, and a fingerprint ID value group ID identification number corresponding to the fingerprint feature data ID identification number being split, and a splitting of the fingerprint saving value group
  • the fingerprint feature value group is utilized.
  • the ID identification number searches for the group data in each split data storage device of the ID identification number, and at least a part of all the biosignature feature value groups under the fingerprint feature data and the fingerprint feature data ID identification number
  • the biological detail feature value is compared, and the number of successes of the matching is entered into the identity determination module; in addition, other application system user authority ID identification numbers, such as the account ID number of the network bank user, and the fingerprint feature data ID of the user may be registered.
  • the identification number uniquely corresponds to the binding, and the identity verification result data for the ID identification number fingerprint feature data is set to be equal to the identity verification result data of the ID identification number network bank user account authority itself;
  • the verification device uses the account ID number of the network bank user to perform identity authentication on the fingerprint feature data to be authenticated collected by the user in the field, and the verification device identifies the account ID of the network bank user according to the user saved in the external storage device of the central management device. No., the binding relationship data uniquely corresponding to the fingerprint feature data ID identification number, the verification step of performing the fingerprint feature data to be authenticated and the ID identification number fingerprint feature data, generating verification result data and outputting, identifying the ID of the user
  • the authentication result of the fingerprint feature data is equivalent to the authentication result of the account authority of the network identification number of the user, thereby authorizing the use of the account of the network bank user;
  • the split data communication management module 4-3 is configured to control the split data communication management module 1-3 of the registration device 1, split the data communication management module 2-3 of the data storage device 2, and The split data communication management module 3-3 of the verification device 3 cooperates to complete the following steps;
  • the group data for splitting the registered fingerprint feature data is sent to the external memory 2-2 of the M split data storage device 2 having the ID identification number;
  • the fingerprint feature data to be authenticated is registered with the fingerprint feature data in at least a part of all the split data in the (2) split data storage device.
  • biometric authentication methods can be changed, including human palmprint feature identification data, facial mask feature recognition data, retinal image feature recognition data, palmprint recognition data, palmar vein vein image recognition data, language recognition data, handwriting recognition data, gait , DNA, and similar biometric data.
  • the hardware of the biometric registration device can be not only desktop computers, notebook computers, PDAs, PDAs, servers, mobile phones but also dedicated biometric independent devices, even digital home appliances, which are also suitable for biometric authentication devices.
  • a data storage device, a central management device, etc. which are conventional computer systems, microcontroller systems or embedded system structures including a system bus, a CPU, a memory, and an input/output interface, as shown in FIG.
  • the description of the specific embodiments of the invention is not intended to limit the scope of the invention, and those skilled in the art can modify or modify the specific embodiments described above after reading the specification. Without departing from the substance and scope of the invention.

Landscapes

  • Health & Medical Sciences (AREA)
  • Engineering & Computer Science (AREA)
  • Epidemiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Primary Health Care (AREA)
  • Public Health (AREA)
  • Collating Specific Patterns (AREA)

Description

说明书
Title of Invention:一种生物特征认证方法， 以及一种生物特征认证 系统
技术领域
本发明属于身份认证技术类别， 涉及到一种生物特征认证方法， 以及一种生物特征认证系统。
背景技术
个人身份的确认和权限认定是生活和工作中一个非常重要的环节， 尤其是在网络化吋代。 但是， 越来越繁琐的密码设置成为了人们一 大心病， 开机密码、 邮箱密码、 银行密码、 论坛登陆密码 ...... , 人们的生活挣扎在密码海洋之中， 同样， 传统烦琐和重复的护照、 签证
、 社保、 医疗、 票据等各种身份认证过程也消耗着大量的社会资源。 依靠个人生物特征模板数据的唯一性和稳定性， 比较现场采集的待 认证生物特征数据与预先登记保存的生物特征模板数据进行比较， 就可以验证其本身的真实身份。 这就是生物特征认证。 生物身份识别 是根据个人唯一和恒定的生物特征模板数据来判断一个人的真实身份。 生物特征模板数据与个人身份存在一一对应的关系， 所以能够认 证一个人身份的生物特征数值集合的模板属于个人隐私信息， 不论生物特征数值数据集合表现形式是否是图象都不能改变其与个人身份 的一一对应关系。 对其数据的提取 保存和处理都涉及到个人隐私问题。 据此， 把生物特征身份认证分为封闭式自我生物特征认证和开 放式公共生物特征认证两类： 1 , 封闭式自我生物 （指纹） 身份认证； 保护个人自己保管的信息财产而进行的身份认证， 主办单位是个 人自己， 认证的也是个人自己。 例如， 指纹保险箱， 指纹锁等， 这些应用的指纹样本都保存在自己控制的设备上， 所以不存在指纹隐私 泄露问题。 2 , 开放式公共生物 （指纹） 身份认证； 公共机构托管的众多个人信息资产或管理访问权限的分配， 对个人进行的身份认证 , 例如， 指纹网络登陆， 指纹考勤， 指纹支付， 指纹签证， 指纹银行等等， 主办单位是公共机构 （政府 企业或其它组织） ， 认证的是 其他个人。 本发明主要是针对开放式公共生物 （指纹） 身份认证的技术改进。 现有技术的一个做法是要求个人把指纹样本保留到公共机 构的指纹数据库而非个人的设备上， 因此， 这些机构存在主动或被动泄露个人指纹信息的可能性。 自从美国实施指纹签证而引发外交纷 争和民权组织抗议之后， 因指纹认证而导致的隐私纠纷就象幽灵一样捆扰着指纹认证技术的发展。 当今， 以人为本， 尊重隐私是国际社 会广泛公认的核心价值观！ 是生物特征认证技术无法回避的现实问题， 也应该是生物特征认证技术发展的方向 技术应该以人为本， 而不是相反。 不同应用的生物特征模板保存在不同的公共机构， 个人用户不放心， 担心留在众多机构自己的生物生理隐私数据泄露； 反 过来， 指纹数据交给个人保存在用户的设备上， 虽然经过了公共机构的加密或数字签名， 但由于对加密或数字签名本身安全性的担心， 公共机构也还不能完全放心。 为此， 第 15届世界信息技术大会 （WCIT 2006 ) 上， Unisys公司倡议建立一个多样化的中立联盟， 为全 球身份验证开发标准化的业务流程， 并允许身份资历证明在不同国际边境使用。 但是， 中立联盟如何建立及其管理能否为大家广泛接受 存在着疑问。 只有从技术上彻底解决隐私和安全两方面的问题， 才能突破生物识别技术在公共领域大规模应用的瓶颈。
发明内容 本发明的目的是既保障用户个人生物特征信息的隐私， 又提高生物特征认证的 安全性
为实现上述发明目的， 按照本发明的第一方面， 提供了一种生物特征认证方 法， 执行如下步骤：
1· (a) 登记的吋候， 将登记的具有 ID识别号的生物特征数据拆分为至少 2个部分的生物特征拆分数据；
1· (b) 将所述登记的生物特征拆分数据发送到至少 2个拆分数据存储装置中分别登记保存；
1· (c) 验证的吋候， 将现场采集输入的待认证生物特征数据， 与登记在所述拆分数据存储装置中所述生物特征拆分数据的 至少一部分进行匹配比对；
1· (d) 根据验证装置或和拆分数据存储装置中生物细节特征数值比对的成功匹配数目和设定条件， 判断所述待认证生物特 征数据与所述 ID识别号登记的生物特征数据的生物特征身份是否一致， 生成验证结果数据并输出。
基于上述生物特征的认证方法进一步提供了一个优选方案：
其中， 登记的吋候， 以生物特征数据的字节 Byte或二进制数位 Bit为最小数据拆分单位， 将所述登记的生物特征数据拆分为至少 2个生 物特征数据片段 , 每一个数据片段至少包括一个字节 Byte或一个二进制数位 Bit的生物特征数据；
将所述生物特征数据片段和其拆分前对应的生物特征数据 ID识别号 , 发送到至少 2个具有 ID识别号的拆分数据存储装置中登记保存； 验证的吋候， 根据生物特征数据 ID识别号， 将在所述 ID识别号拆分数据存储装置中登记的所述数据片段， 汇聚并重新组装形成完整 的生物特征数据， 并将待认证的生物特征数据与所述 ID识别号完整的生物特征数据比对；
其中， 如果登记的生物特征数据是生物特征模板数据， 所述待认证的生物细节特征值数据可以直接与其进行匹配比对； 如果登记的生物特征数据是原始生物特征的图象或视频等数据， 原始生物特征数据片段恢复形成完整的原始生物特征数据后， 需要先 进行生物细节特征数值的提取， 然后再进行生物细节特征数值的匹配比对。
基于上述生物特征的认证方法进一步提供了另一个优选方案：
其中， 登记的吋候， 为登记的每一个生物特征数据片段进行 ID识别号编号；
将所述生物特征数据片段和其数据片段 ID识别号， 发送到所述拆分数据存储装置中登记保存， 但不在所有所述拆分数据存储装置中 保存所述生物特征数据 ID识别号；
所述生物特征数据 ID识别号， 其拆分后对应的生物特征数据片段 ID识别号， 和登记保存所述生物特征数据片段的所述拆分数据存储装 置的 ID识别号， 三者的对应绑定关系数据， 一起保存在独立的存储器中；
上述三者的对应绑定关系数据也可以保存在所述 ID识别号拆分数据存储装置之一的拆分数据存储装置中， 但不保存在所有所述拆分 数据存储装置中；
验证的吋候， 根据独立的存储器中或所述拆分数据存储装置之一保存的所述三者的对应绑定关系数据， 将在所述 ID识别号拆分数据存 储装置中登记的所述 ID识别号生物特征数据片段， 汇聚并重新组装形成完整的生物特征数据， 将待认证的生物特征数据与所述 ID识别号 完整的生物特征数据比对。
基于上述生物特征的认证方法进一步提供了一个优选方案：
其中， 登记的吋候， 将登记的生物特征模板数据， 即生物细节特征数值集合数据， 以生物细节特征数值为最小数据拆分单位， 拆分为 至少 2个生物细节特征数值小组的小组数据， 每个生物特征小组数据至少包含一个生物细节特征数值；
将所述生物特征数值小组数据和其拆分前的生物特征数据 ID识别号， 发送到至少 2个具有 ID识别号的拆分数据存储装置中登记保存 验证的吋候， 根据生物特征数据 ID识别号和拆分数据存储装置 ID识别号在登记的吋候对应关系 , 将待认证生物特征数据在验证装置与 所述 ID识别号生物特征数据的生物特征小组数据至少一部分比对；
其中 , 如果登记生物特征数值小组的拆分数据存储装置还具有生物特征比对模块 , 根据生物特征数据 ID识别号和拆分数据存储装置 ID 识别号在登记的吋候对应关系 , 将待认证生物特征数据发送到所述具有生物特征比对模块的拆分数据存储装置， 与这部分生物特征数值 小组数据比对。
基于上述生物特征的认证方法进一步提供了另一个优选方案：
其中， 登记的吋候， 对生物特征数值小组进行 ID识别号编号；
将所述生物特征数值小组数据和其小组数据 ID识别号， 发送到至少 2个具有 ID识别号的拆分数据存储装置中分别登记保存， 但不在所 有所述拆分数据存储装置中保存生物特征数据 ID识别号；
生物特征数据 ID识别号 , 其拆分后对应的生物特征数值小组 ID识别号 , 和登记保存所述生物特征数值小组数据的拆分数据存储装置的 I D识别号， 三者的对应绑定关系数据， 一起保存在独立的存储器中；
上述三者的对应绑定关系数据也可以保存在所述 ID识别号拆分数据存储装置之一的拆分数据存储装置中， 但不保存在所有所述拆分 数据存储装置中；
验证的吋候， ， 根据独立的存储器中或所述拆分数据存储装置之一保存的所述三者的对应绑定关系数据， 利用生物特征数值小组 ID 识别号在所述 ID识别号的各个拆分数据存储装置中搜索所述生物特征小组数据；
将待认证的生物特征数据与所述生物特征数据 ID识别号下的所述生物特征数值小组的生物细节特征数值比对。
按照本发明的第二方面， 提供了一种基于生物特征的认证系统， 用户基于登 记装置或验证装置终端持有的生物传感器使用该系统， 包括有：
(1) 登记装置， 至少具有数据拆分模块、 拆分数据通讯管理模块； 其中，
数据拆分模块， 用于将登记的具有 ID识别号的生物特征数据拆分为至少 2个部分的生物特征拆分数据；
拆分数据通讯管理模块， 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与（2)拆分数据存储装置的拆分数据通讯管理 模块和 （ 3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
1· (e) 登记的吋候， 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中登记保存;
2. (f) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的至少一部分 比对， 并将比对匹配成功数目输入身份判定模块 .
(2) 具有 ID识别号的拆分数据存储装置， 至少具有外存储器， 拆分数据通讯管理模块； 其中，
外存储器， 用于保存从所述 （1) 登记装置收到的生物特征拆分数据， 和与拆分数据对应的 ID识别号；
其中， 与拆分数据对应的 ID识别号既可以是拆分前所述生物特征数据的 ID识别号， 也可以是拆分数据本身的 ID识别号； 拆分数据通讯管理模块； 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与 （1) 登记装置的拆分数据通讯管理模块 和 （3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
1 · (g) 登记的吋候,将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中登记保存；
2- (h) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的至少一部 分比对， 并将比对匹配成功数目输入身份判定模块；
( 3 ) 验证装置， 至少具有拆分数据通讯管理模块 生物特征比对模块和身份判定模块；
拆分数据通讯管理模块， 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与 （1) 登记装置的拆分数据通讯管理模块 和 （2) 拆分数据存储装置的拆分数据通讯管理模块协同完成如下步骤；
1· (i) 登记的吋候， 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中登记保存；
2- ) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的至少一部分 比对， 并将比对匹配成功数目输入身份判定模块；
生物特征比对模块， 用于待认证生物特征数据与所述生物特征数据登记在所述 （2) 拆分数据存储装置中生物特征拆分数据的至少一部 分进行生物细节特征数值比对， 并产生比对匹配成功数目， 输入身份判定模块；
身份判定模块， 用于根据所述 （3 ) 验证装置的生物特征比对模块或和所述 （2) 拆分数据存储装置的生物特征比对模块产生的 比对成功匹配数目和设定条件， 判定待认证生物特征数据与所述 ID识别号生物特征数据的身份是否一致， 生成验证结果数据并输出； ( 4 ) 通过通讯线路对整个系统实施管理的中央管理装置， 至少具有外存储器、 拆分数据通讯管理模块；
外存储器， 用于至少保存生物特征数据的 ID识别号， 拆分数据存储装置 ID识别号,以及保存两者的对应绑定关系数据； 其中， 所述 ID识别号生物特征数据拆分为至少 2个拆分数据， 并登记在至少 2个所述拆分数据存储装置中；
登记的吋候， 利用 （4 ) 中央管理装置保存的所述生物特征数据 ID识别号与所述拆分数据存储装置 ID识别号的对应绑定关系， 将所述 生物特征数据的拆分数据和与拆分数据对应的 ID识别号， 发送到所述 ID识别号拆分数据存储装置中登记保存；
验证的吋候， 利用 （4 ) 中央管理装置保存的所述生物特征数据 ID识别号与所述拆分数据存储装置 ID识别号的对应绑定关系， 在所 述 ID识别号拆分数据存储装置中搜索所述 ID识别号生物特征数据的拆分数据；
拆分数据通讯管理模块， 用于控制 （1) 登记装置的拆分数据通讯管理模块， （2) 拆分数据存储装置的拆分数据通讯管理模块和 （
3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
1· (k) 登记的吋候， 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中登记保存；
2. (1) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的至少一部分 比对， 并将比对匹配成功数目输入身份判定模块。
基于上述生物特征的认证系统进一步提供了一个优选方案：
其中， 登记的吋候， 对登记的生物特征拆分数据进行 ID识别号编号,并且在所述 （2) 拆分数据存储装置的中保存所述生物特征拆分 数据和拆分数据 ID识别号， 但不保存所述生物特征数据的 ID识别号；
在 （4) 中央管理装置的外存储器中保存生物特征数据 ID识别号， 其拆分后对应的生物特征拆分数据 ID识别号， 和登记保存所述拆分 数据的拆分数据存储装置的 ID识别号 , 三者的对应绑定关系数据；
验证的吋候， 根据 （4) 中央管理装置保存的上述三者的对应绑定关系， 拆分数据通讯管理模块将待认证的生物特征数据与所述 ID识别号拆分数据的至少一部分进行比对。
基于上述生物特征的认证系统进一步提供了一个优选方案：
其中， 登记的吋候， 数据拆分模块以生物特征数据占据的字节
Byte或二进制数位 Bit为最小数据拆分单位， 将生物特征数据拆分为至少 2个部分的生物特征数据片段， 每个数据片段至少包含一个字节 By te或一个二进制数位 Bit的生物特征数据；
验证的吋候， 将在所述拆分数据存储装置中登记的所述生物特征数据片段， 汇聚到验证装置， 重新组装形成完整的生物特征数据 如果所述生物特征数据是生物特征模板数据， 待认证的生物细节特征数据可以直接与其比对； 如果生物特征数据是原始生物特征的图 象或视频等数据， 汇聚起来的原始生物特征数据片段恢复形成完整的原始生物特征数据， 需要先进行生物细节特征数值的提取， 然后再 进行生物特征数值的匹配比对。
基于上述生物特征的认证系统进一步提供了另一个优选方案：
其中， 登记的吋候， 数据拆分模块以生物细节特征数值为最小数据拆分单位， 将可以生成生物特征模板的生物细节特征数值集合数据 , 拆分为至少 2个生物特征数值小组， 每个生物特征数值小组数据至少包含一个生物细节特征数值； 待认证的生物特征数据与所述 ID识别号生物特征数据属下的生物征特征数值小组数据的至少一部分进行生物细节特征数值比对， 比 对匹配的成功数目输入身份判定模块；
其中， 如果登记生物特征数值小组的拆分数据存储装置还具有生物特征比对模块， 验证的吋候， 根据生物特征数据 ID识别号和拆分数 据存储装置 ID识别号对应绑定关系 , 将待认证生物特征数据发送到各个具有生物特征比对模块的所述拆分数据存储装置 , 与这部分生物 特征数值小组数据比对， 比对匹配的成功数目也输入验证装置的身份判定模块。
其中， 用户还可以向中央管理装置申请登记登记装置的 ID识别号， 并保存在中央管理装置；
用户还可以向中央管理装置申请登记拆分数据存储装置的 ID识别号， 并保存在中央管理装置；
用户还可以向中央管理装置申请登记验证装置的 ID识别号， 并保存在中央管理装置；
通过所述具有 ID识别号的登记装置， 用户向中央管理装置申请生物特征数据 ID识别号， 并登记生物特征数据， 开始使用所述生 物特征认证系统；
利用生物特征数据的 ID识别号， 用户可以从中央管理装置的拆分数据存储装置 ID识别号总列表中至少选择 2个要分别登记的具体拆 分数据存储装置 ID识别号进行登记；
验证的吋候， 用户可以选择一个 ID识别号的验证装置， 使用用户的所述生物特征数据 ID识别号对现场采集的待认证的生物特征数据 进行身份验证。
基于上述生物特征的认证系统进一步提供了再一个优选方案：
其中， 在中央管理装置的外存储器中， 用户可以登记其它应用系统用户权限的 ID识别号；
将所述其它应用系统权限的 ID识别号与用户的生物特征数据的 ID识别号唯一对应绑定保存在中央管理装置的外存储器中， 并设置对所 述 ID识别号生物特征数据的身份验证结果数据等同于所述 ID识别号的其它应用系统权限本身的身份验证结果数据；
验证的吋候， 用户可以选择一个具有 ID识别号的验证装置， 使用所述其它应用系统用户权限的 ID识别号， 对用户现场采集的待认证 生物特征数据进行身份认证；
验证装置根据中央管理装置外存储器中保存的用户所述其它应用系统权限 ID识别号与所述生物特征数据 ID识别号唯一对应绑定关系数 据， 执行对所述 ID识别号生物特征数据验证流程步骤， 对用户所述 ID识别号生物特征数据的身份验证结果等同于对用户所述 ID识别号其 它应用系统权限本身的身份验证结果。
按照本发明的技术方案实施， 可以产生的技术效果是：
既保证了个人生物特征数据的隐私， 又保证了生物认证的安全性： 本发明将完整的生物特征数据拆分为不同的拆分数据， 分别登记在 不同的拆分数据存储装置中保存， 并且不在拆分数据存储装置中保存生物特征数据 ID识别号与拆分数据 ID识别号的父子对应关系数据。 这样， 单独凭借少数的几个拆分数据无法判别身份， 即使得到部分拆分数据存储装置上的拆分数据， 如果不能得到足够多的拆分数据也 是没有意义的； 再者， 即使获得全部拆分数据， 没有生物特征数据的整体 ID识别号与这些拆分数据 ID识别号的父子对应关系数据， 也无 法判别哪些拆分数据是哪人的生物特征数据。 因此， 提高了生物特征数据保密性。 另一方面， 黑客要想通过盗取并替换生物特征样本或 模板来 ¾过生物特征认证， 必须满足下面条件： 1 , 获得生物特征数据 ID识别号与拆分数据 ID识别号的父子对应关心数据， 以及保存所述 拆分数据的拆分数据存储装置 ID识别号； 2, 从所述至少 2个拆分数据存储装置， 获得足够多甚至全部登记的所述 ID识别号的拆分数据， 并一一替换它们。 这比只获取一个生物特征数据并替换困难很多， 从而提高了生物特征认证的安全性。 再一方面， 其它不同的应用系统 和权限用户只要与本系统用户绑定， 用其它系统的用户和现场采集待认证生物特征数据， 就可以共享本系统的生物特征认证结果， 实现 单点登陆的方便。 依据孤立的少部分生物特征数值小组， 或根据部分生物特征数据的字节级或二进制数位级数据片段无法充分认证一个 人的身份， 所以这些拆分数据不构成用户的隐私信息。 因此， 本发明既提高了指纹数据的保密性， 保障用户个人隐私， 还保证了生物特 征认证的安全性和易用性。
几个相关概念的说明： 生物特征原始数据是指从生物传感器检测采集的生物信号的原始数字化表示， 一般为图片、 音频或视频。 这种 数据一般占据比较大的数据空间。 生物特征数据是将生物特征原始数据预处理后进行细节特征点的提取， 获取的生物特征的有效表示数 据。 这种数据比原始数据占据相对小的数据空间。 生物特征模板是用户登记的生物特征提取的各类细节特征点描述的集合。 通常一个指 纹特征模板包含几十个到一 两百个细节特征数值； 而一般待认证指纹中有 8-10个细节特征数值与模板上的匹配就可以判断出认证成功； 但是一般 7个以下的细节特征数值数据不能达到认证某个特定人的目标， 这些少数细节特征数值数据也就不能达到构成这个人的隐私信息 的充分条件。 生物特征数值小组数据是把用户登记的生物特征模板数据的细节特征数值集合数据， 拆分成至少 2个小组的相互独立的 生物特征数值小组。 每个生物特征数值小组至少包含一个生物细节特征数值。
附图说明
结合附图， 本发明的其它特点和优点， 可以通过下面举例来对本发明的原理进行解释， 并从优选实施例的说明中变得更清楚。 图 1显示了本发明一个实施方式的生物认证方法的登记流程图；
图 2显示了本发明一个实施方式的生物认证方法的验证流程图；
图 3显示了本发明一个实施方式的具有 ID识别号的生物特征数据， 拆分后的拆分数据 ID识别号和拆分数据本身的对应关系图； 图 4显示了本发明一个实施方式的在具有 ID识别号的拆分数据存储装置上， 登记保存的生物特征拆分数据 ID识别号和生物特征拆分 数据的对应绑定关系图；
图 5显示了本发明一个实施方式的， 生物特征数据 ID识别号， 其拆分后对应的生物特征拆分数据 ID识别号， 和登记保存所述拆分数据 的拆分数据存储装置 ID识别号三者对应绑定关系图；
图 6显示了本发明另一个实施方式的生物特征的认证系统结构示意图；
图 7显示了本发明一个实施方式的生物特征认证系统的登记装置结构示意图；
图 8显示了本发明一个实施方式的生物特征认证系统的拆分数据存储装置结构示意图；
图 9显示了本发明一个实施方式的生物特征认证系统的验证装置结构示意图； 图 10显示本发明一个实施方式的生物特征认证系统的中央管理装置结构示意图；
图 11显示通用计算机或微型控制器硬件和系统结构示意图；
具体实施
以下参考附图详细说明本发明的几个实施例：
按照本发明一个实施例， 以 IC卡护照的手指静脉认证方法为例具体说明： 图 1和图 2所示是 IC卡护照的手指静脉认证方法登记流程图和验证流程图。 登记 步骤如图 1所示，
1· (m) 步骤 S101开始
1· (n) 步骤 S102将登记的生物特征数据拆分为至少 2个部分的拆分数据， 将登记的吋候采集的用户具有 ID识别号的完整手 指静脉特征模板数据 （1152字节 Byte大小） , 以 16字节 Byte为拆分单位， 拆分为 72个
数据片段， 并分别对数据片段进行 ID识别号编号， 如图 3所示： 具有 ID识别号的生物特征数据， 与拆分后的拆分数据和拆 分数据 ID识别号的父子对应关系图；
1· (o) 步骤 S 103拆分数据分发到至少 2个拆分数据存储装置中分别登记保存， 从 72个拆分数据片段中， 随机选取 2个手指 静脉数据片段和其数据片段 ID识别号发送并保存在护照签发机构的服务器 （即拆分数据存储装置） 数据库中， 对其余 70 个数据片段和其数据片段 ID识别号进行数字签名或加密， 然后发送并保存在用户自己的 IC卡 （即拆分数据存储装置） 中登 记， 在本实施例中， 护照签发机构的服务器与用户的 IC卡是相互独立的 2个拆分数据存储装置， 保存其中的数据对应绑定 关系如见图 4所示： 在至少 2个具有 ID识别号的拆分数据存储装置上， 分别登记保存生物特征拆分数据本身和生物特征拆 分数据 ID识别号， 但不在护照签发机构服务器 （拆分数据存储装置之一） 中保存手指静脉特征模板数据 ID识别号， 这样 , 单凭一个拆分数据存储装置中的少数数据片段 （例如， 护照签发机构的服务器数据库中保存的 2个数据片段） 不能识别 任何身份， 其中， 手指静脉模板数据 ID识别号， 其拆分后的手指静脉数据片段 ID识别号， 和保存所述手指静脉数据片 段的拆分数据存储装置 ID识别号， 三者 ID识别号之间的对应绑定关系数据保存在独立机构的的数据库中 , 例如保存在独立 机构 www.EMBbiz.net的数据库中， 见附图 5数据对应绑定关系图所示： 生物特征数据 ID识别号， 生物特征数据拆分后对 应的生物特征数据片段 （或生物特征数值小组数据） ID识别号， 和登记保存所述生物特征数据片段 （或生物特征数值小组 数据） 的拆分数据存储装置的 ID识别号， 三者 ID识别号对应绑定关系， 也可以将所述三者 ID识别号对应绑定关系数据 保存在用户护照 IC卡中， 如果没有所述三者 ID识别号之间的对应绑定关系数据， 单独凭借护照签发机构的服务器或 /和用 户的 IC卡中的手指静脉数据片段 ID识别号和手指静脉数据片段本身 , 无法确定所述手指静脉数据与所述手指静脉数据 片段之间的父子关系， 而无法判断手指静脉数据身份， 从而更进一步保障了用户手指静脉的隐私；
1· (p) 步骤 S104结束登记， 将护照 IC卡交给用户保管： [93] 验证步骤如图 2所示，
1· (q) 步骤 S201开始验证；
1 · (r) 步骤 S202待认证生物特征数据与登记的生物特征拆分数据至少一部分匹配比对， 当用户持有护照 IC卡在验证装置 进行验证的吋候 , 从 IC卡中读取手指静脉数据片段 ID识别号和手指静脉数据片段本身 , 根据独立机构 www.EMBbiz.net 数据库中保存的图 5的所述三者 ID识别号对应绑定关系， 可以在所述 ID识别号的护照签发机构的数据库和用户的护照 IC卡 中査找到所述 ID识别号手指静脉特征数据片段， 再根据图 3所述手指静脉模板数据 ID识别号与所述手指静脉数据片段 ID识别号的父子对应关系 , 汇聚属于所述手指静脉模板数据 ID识别号的全部拆分数据， 把用户 IC卡的所述手指静脉数据 片段和护照签发机构数据库的所述手指静脉数据片段汇聚在一起重新组装形成一个完整的手指静脉特征模板数据， 待认 证手指静脉特征数据， 与完整的所述手指静脉特征模板中的手指静脉细节特征数值进行匹配比对； 另外， 护照签发机 构在读取用户 IC卡中的所述手指静脉数据片段和所述手指静脉数据片段 ID识别号吋， 还可以验证在登记的吋候的数字签 名或进行解密，
1· (s) 步骤 S203根据生物特征细节匹配成功数目和设定条件判定身份， 静脉细节特征数值比对匹配成功数目达到一定设定 要求的数目， 就可以判定是同一身份， 生成成功验证结果数据并输出； 否则验证失败， 生成失败验证结果数据并输出； 1· ( 步骤 S204结束验证；
[94] 本实施例的方法同样适合 ic卡签证手掌纹认证方法， 只要简单地把手指静脉特征数据换成手掌纹特征数据， 护照机构换成签证机构
[95] 按照本发明的另一个实施例， 如图 6所示是指纹认证中心 www. /o-yJ
.com的指纹认证系统结构示意图。
[96] 指纹认证中心认证系统包括有： 登记装置 1 , 具有 ID识别号的 N个相互独立的拆分数据存储装置 2, 验证装置 3 中央管理装置 4 , 其 中：
[97] 登记装置 1如图 7所示， 至少具有生物特征数据拆分模块 1-4 拆分数据通讯管理模块 1-3;
[98] 具有 ID识别号的 N个相互独立的拆分数据存储装置 2如图 8所示， 至少具有外存储器 2-2, 拆分数据通讯管理模块 2-3;
[99] 验证装置 3如图 9所示， 至少具有拆分数据通讯管理模块 3-3 生物特征比对模块 3-4和身份判定模块 3-5;
[100] 通过通讯线路 100对整个系统实施管理的中央管理装置 4如图 10所示， 至少具有外存储器 4-2 拆分数据通讯管理模块 4-3; 其中， 用户 可以向中央管理装置 4申请登记登记装置 1的 ID识别号， 并保存在中央管理装置 4 ; 向中央管理装置 4 , 申请登记拆分数据存储装置 2 的 ID识别号， 并保存在中央管理装置 4 ; 向中央管理装置 4申请登记验证装置 3的 ID识别号， 并保存在中央管理装置 4 ; 向中央管理 装置 4申请登记用户的指纹特征数据 ID识别号 , 并保存在中央管理装置 4；
[101] 通过具有 ID识别号的登记装置 1 , 用户向中央管理装置 4申请登记指纹特征数据和其 ID识别号， 开始使用所叙述指纹认证中心的 指纹认证系统； 输入待认证指纹特征数据和指纹特征数据 ID识别号， 开始使用所叙述指纹认证中心的指纹认证系统进行身份验证； 下面分别详细介绍每个部分的组成：
[102] 如图 7所示是， 登记装置 1的结构示意图， 包括生物特征数据拆分模块 1-4, 用于从用户采集的指纹特征数据， 以指纹细节特征数值为 拆分单位， 拆分为 M(M< )个部分的指纹特征数值小组数据， 并且设定拆分的每个小组数据包含 3个指纹细节特征数值， 并为每一个小组 数据进行 ID识别号编号；
[103] 拆分数据通讯管理模块 1-3; 用于在中央管理装置 4的拆分数据通讯管理模块 4-3控制下， 与拆分数据存储装置 2的拆分数据通讯管理 模块 2-3和验证装置 3的拆分数据通讯管理模块 3-3协同完成如下步骤；
1· (u) 登记的吋候， 将登记的指纹特征数据拆分的小组数据发送到 M个具有 ID识别号的拆分数据存储装置 2的外存储器 2-2中 登记保存；
2. (v) 验证的吋候， 将待认证的指纹特征数据与所述指纹特征数据登记在所述拆分数据存储装置 2的指纹特征数值小组数据 的至少一部分比对， 并将比对匹配成功数目输入验证装置 3的身份判定模块 3-5;
[104] 如图 8所示是， 具有 ID识别号的拆分数据存储装置 2的结构示意图， 包括有外存储器 2-2, 拆分数据通讯管理模块 2-3, 还可以包括生 物特征比对模块 2-4;
[105] 外存储器 2-2 , 用于保存指纹特征数据拆分的小组数据， 和与拆分小组数据对应的 ID识别号， 在本实施例中， 与拆分数据对应的 ID识 别号是指纹特征数值小组的 ID识别号 , 但不保存指纹特征的 ID识别号 , 如图 4所示在所述具有 ID识别号的拆分数据存储装置只保存生 物特征数值小组本身数据和生物特征数值小组 ID识别号；
[106] 拆分数据通讯管理模块 2-3; 用于在中央管理装置 4的拆分数据通讯管理模块 4-3控制下， 与登记装置 1的拆分数据通讯管理模块 1-3 和验证装置 3的拆分数据通讯管理模块 3-3协同完成如下步骤；
1· (w) 登记的吋候， 将登记的指纹特征数据拆分的小组数据发送到 M个具有 ID识别号的拆分数据存储装置 2的外存储器 2-2中 登记保存；
2- (X) 验证的吋候， 将待认证的指纹特征数据与所述指纹特征数据登记在所述拆分数据存储装置 2的指纹特征数值小组数据 的至少一部分比对， 并将比对匹配成功数目输入验证装置 3的身份判定模块 3-5;
[107] 生物特征比对模块 2-4, 用于将从验证装置 3发送来的待认证指纹特征数据与所述拆分数据存储装置 2的外存储器 2-2中保存的所述指 纹特征数值小组进行匹配比对， 并将比对匹配成功数目反馈回验证装置 3的身份判定模块 3-5 , 在这里有 L (L<M) 个拆分数据存储装 置 2具有生物特征比对模块 2-4
[108] 如图 9所示， 验证装置 3的结构示意图， 至少具有拆分数据通讯管理模块 3-3 生物特征比对模块 3-4和身份判定模块 3-5;
[109] 拆分数据通讯管理模块 3-3, 用于在中央管理装置 4的拆分数据通讯管理模块 4-3控制下， 与登记装置 1的拆分数据通讯管理模块 1-3 和拆分数据存储装置 2的拆分数据通讯管理模块 2-3协同完成如下步骤； (y) 登记的吋候， 将登记的指纹特征数据拆分的小组数据发送到 M个具有 ID识别号的拆分数据存储装置 2的外存储器 2-2中 登记保存；
1· (z) 验证的吋候， 将待认证的指纹特征数据与所述指纹特征数据登记在所述拆分数据存储装置 2的指纹特征数值小组数据 的至少一部分比对， 并将比对匹配成功数目输入验证装置 3的身份判定模块 3-5;
[110] 生物特征比对模块 3-4, 用于在验证的吋候， 将待认证的指纹特征数据与拆分数据存储装置 2登记的所述指纹特征数据的拆分小组数 据的至少一部分比对， 产生比对匹配成功数目；
[111] 身份判定模块 3-5 用于根据验证装置的生物比对模块 3-4或和拆分数据存储装置的生物比对模块 2-4的指纹细节特征数值比对匹配的 成功数目和设定条件， 判定待认证的指纹特征数据与所述 ID识别号指纹特征数据的身份是否一致， 生成成功 （或失败） 验证结果数据 并输出所述生物特征认证系统； 可以设定产生成功身份验证结果数据所需要比对匹配成功数目的条件， 例如， 设定待认证指纹特征数据 与 M个拆分数据存储装置 2中的所述指纹特征小组进行匹配比 , 只要总共产生 15个指纹比对成功匹配数目 , 身份判定模块就生成成功验 证结果数据， 身份验证成功； 如果总共产生少于 15个指纹比对成功匹配数目， 则身份验证失败。 也可以设定任何一个指纹特征数值小组 最高成功匹配数目为 2 (即使可以产生 3个成功匹配数， 也只能取 2个） , 各个小组总共成功匹配数目达到 10个就可以判定身份验证成功， 生成成功验证结果数据并输出。
[112] 如图 10所示是， 中央管理装置 4的结构示意图， 至少具有外存储器 4-2 拆分数据通讯管理模块 4-3;
[113] 外存储器 4-2, 用于保存登记装置 1的 ID识别号 拆分数据存储装置 2的 ID识别号 验证装置 3的 ID识别号 用户的指纹特征数据 ID识 别号、 指纹特征数据拆分的小组数据 ID识别号， 用户的应用权限 ID识别号， 以及保存所述指纹特征数据 ID识别号拆分后对应的指纹特 征数值小组 ID识别号， 和登记保存所述指纹特征数值小组的拆分数据存储装置的 ID识别号， 以及它们的对应绑定关系数据， 如图 5所示 ； 还登记保存用户所述应用权限 ID识别号 , 并与所述指纹特征数据 ID识别号唯一对应绑定关系；
[114] 验证的吋候， 根据中央管理装置保存的指纹特征数据 ID识别号与指纹特征数值小组 ID识别号的绑定关系 , 利用指纹特征数值小组
ID识别号在所述 ID识别号的各个拆分数据存储装置中搜索所述小组数据， 将待认证的指纹特征数据与所述指纹特征数据 ID识别号下的 全部生物征特征数值小组的至少一部分生物细节特征数值比对， 比对匹配的成功数目输入身份判定模块； 另外， 可以登记其它应用系统 用户权限 ID识别号， 例如网络银行用户的帐户 ID识别号， 与所述用户的指纹特征数据 ID识别号唯一对应绑定， 并设置对所述 ID识别号指 纹特征数据的身份验证结果数据等同于所述 ID识别号网络银行用户帐户权限自身的身份验证结果数据；
[115] 使用所述网络银行用户的帐户 ID识别号， 对用户现场采集的待认证指纹特征数据进行身份认证， 验证装置根据中央管理装置外存储器 中保存的用户所述网络银行用户的帐户 ID识别号， 与所述指纹特征数据 ID识别号唯一对应绑定关系数据， 执行待认证指纹特征数据与所 述 ID识别号指纹特征数据的验证步骤， 生成验证结果数据并输出 , 对用户所述 ID识别号指纹特征数据的身份验证结果等同于对用户所述 I D识别号网络银行用户的帐户权限的身份验证结果， 从而授权使用所述网络银行用户的帐户；
[116] 拆分数据通讯管理模块 4-3, 用于控制登记装置 1的拆分数据通讯管理模块 1-3, 拆分数据存储装置 2的拆分数据通讯管理模块 2-3和 验证装置 3的拆分数据通讯管理模块 3-3协同完成如下步骤；
1· (aa) 登记的吋候， 将登记的指纹特征数据拆分的小组数据发送到 M个具有 ID识别号的拆分数据存储装置 2的外存储器 2-2 中登记保存；
1· (bb) 验证的吋候， 将待认证的指纹特征数据与所述指纹特征数据登记在 (2)拆分数据存储装置中的全部拆分数据的至少一 部分比对。
虽然结合附图描述了本发明的几个实施例， 但是本领域普通技术人员可以在所附权利要求的范围内作出各种变形或修改。 例如， 可以 变换其他的生物认证的方式， 包括人体的手掌纹特征鉴别数据 脸谱特征识别数据 视网膜图象特征识别数据 掌纹识别数据 掌背静 脉脉络图象识别数据 语言识别数据 笔迹识别数据， 步态， DNA, 等类似的生物特征数据。 生物特征登记装置的硬件不仅仅可以是台 式电脑， 笔记本电脑， PDA, 掌上电脑， 服务器， 手机而且可以是专用的生物特征独立设备， 甚至是数字家电设备， 这些硬件也适合生 物特征验证装置、 拆分数据存储装置、 中央管理装置等， 它们都是包括系统总线、 CPU、 存储器和输入 /输出接口的常规计算机系统、 微 控制器系统或嵌入系统结构， 如图 11所显示。 说明书中所描述的只是该发明的具体实施方式， 各种举例说明不对发明的实质内容构成限 制， 所属技术领域的普通技术人员在阅读了说明书后可以对以上所叙述的具体实施方式做修改或变形， 而不背离发明的实质和范围。

Claims

权利要求书
1、 一种生物特征认证方法， 其特征在于执行如下步骤：
(a) 登记的吋候， 将登记的具有 ID识别号的生物特征数据拆分为至少 2个部分的生物特征拆分数据；
(b) 将所述登记的生物特征拆分数据发送到至少 2个拆分数据存储装置中分别登记保存；
(c) 验证的吋候， 将现场采集输入的待认证生物特征数据， 与登记在所述拆分数据存储装置中所述生物特征拆 分数据的至少一部分进行匹配比对；
(d) 根据验证装置或和拆分数据存储装置中生物细节特征数值比对的成功匹配数目和设定条件， 判断所述待认 证生物特征数据与所述 ID识别号登记的生物特征数据的生物特征身份是否一致， 生成验证结果数据并输出。
2， 根据权利要求 1所述的生物特征认证方法， 其特征在于： 其中， 登记的吋候， 以生物特征数据的字节 Byte或二进制数位 Bit为最小数据拆分单位， 将所述登记的生物特征 数据拆分为至少 2个生物特征数据片段， 每一个数据片段至少包括一个字节 Byte或一个二进制数位 Bit的生物特征 数据；
将所述生物特征数据片段和其拆分前对应的生物特征数据 ID识别号 , 发送到至少 2个具有 ID识别号的拆分数据存 储装置中登记保存；
验证的吋候， 根据生物特征数据 ID识别号， 将在所述 ID识别号拆分数据存储装置中登记的所述数据片段， 汇 聚并重新组装形成完整的生物特征数据， 并将待认证的生物特征数据与所述 ID识别号完整的生物特征数据比对； 其中， 如果登记的生物特征数据是生物特征模板数据， 所述待认证的生物细节特征值数据可以直接与其进行匹配 比对；
如果登记的生物特征数据是原始生物特征的图象或视频等数据， 原始生物特征数据片段恢复形成完整的原始生物 特征数据后， 需要先进行生物细节特征数值的提取， 然后再进行生物细节特征数值的匹配比对。
3， 根据权利要求 2所述的生物特征认证方法， 其特征在于： 其中， 登记的吋候， 为登记的每一个生物特征数据片段进行 ID识别号编号；
将所述生物特征数据片段和其数据片段 ID识别号， 发送到所述拆分数据存储装置中登记保存， 但不在所有所述 拆分数据存储装置中保存所述生物特征数据 ID识别号；
所述生物特征数据 ID识别号 其拆分后对应的生物特征数据片段 ID识别号 和登记保存所述生物特征数据片段 的所述拆分数据存储装置的 ID识别号， 三者的对应绑定关系数据， 一起保存在独立的存储器中； 上述三者的对应绑定关系数据也可以保存在所述 ID识别号拆分数据存储装置之一的拆分数据存储装置中， 但不 保存在所有所述拆分数据存储装置中； 验证的吋候， 根据独立的存储器中或所述拆分数据存储装置之一保存的所述三者的对应绑定关系数据， 将在所 述 ID识别号拆分数据存储装置中登记的所述 ID识别号生物特征数据片段， 汇聚并重新组装形成完整的生物特 征数据， 将待认证的生物特征数据与所述 ID识别号完整的生物特征数据比对。
[Claim 4] 4， 根据权利要求 1所述的生物特征认证方法， 其特征在于：
其中， 登记的吋候， 将登记的生物特征模板数据， 即生物细节特征数值集合数据， 以生物细节特征数值为最小数 据拆分单位， 拆分为至少 2个生物细节特征数值小组的小组数据， 每个生物特征小组数据至少包含一个生物细节 特征数值；
将所述生物特征数值小组数据和其拆分前的生物特征数据 ID识别号 , 发送到至少 2个具有 ID识别号的拆分数据 存储装置中登记保存；
验证的吋候， 根据生物特征数据 ID识别号和拆分数据存储装置 ID识别号在登记的吋候对应关系 , 将待认证生物 特征数据在验证装置与所述 ID识别号生物特征数据的生物特征小组数据至少一部分比对；
其中， 如果登记生物特征数值小组的拆分数据存储装置还具有生物特征比对模块， 根据生物特征数据 ID识别号和 拆分数据存储装置 ID识别号在登记的吋候对应关系， 将待认证生物特征数据发送到所述具有生物特征比对模块的 拆分数据存储装置 , 与这部分生物特征数值小组数据比对。
[Claim 5] 5， 根据权利要求 4所述的生物特征认证方法， 其特征在于：
其中， 登记的吋候， 对生物特征数值小组进行 ID识别号编号；
将所述生物特征数值小组数据和其小组数据 ID识别号 , 发送到至少 2个具有 ID识别号的拆分数据存储装置中分别 登记保存 , 但不在所有所述拆分数据存储装置中保存生物特征数据 ID识别号； 生物特征数据 ID识别号 其拆分后对应的生物特征数值小组 ID识别号 和登记保存所述生物特征数值小组数据 的拆分数据存储装置的 ID识别号， 三者的对应绑定关系数据， 一起保存在独立的存储器中；
上述三者的对应绑定关系数据也可以保存在所述 ID识别号拆分数据存储装置之一的拆分数据存储装置中， 但不 保存在所有所述拆分数据存储装置中；
验证的吋候， 根据独立的存储器中或所述拆分数据存储装置之一保存的所述三者的对应绑定关系数据， 利用生 物特征数值小组 ID识别号在所述 ID识别号的各个拆分数据存储装置中搜索所述生物特征小组数据； 将待认证的生物特征数据与所述生物特征数据 ID识别号下的所述生物特征数值小组的生物细节特征数值比对。
[Claim 6] 6、 一种基于生物特征的认证系统， 特征在于： 用户基于登记装 置或验证装置终端持有的生物传感器使用该系统， 包括有，
(1) 登记装置， 至少具有数据拆分模块、 拆分数据通讯管理模块； 其中， 数据拆分模块， 用于将登记的具有 ID识别号的生物特征数据拆分为至少 2个部分的生物特征拆分数据；
拆分数据通讯管理模块， 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与（2)拆分数据存储装 置的拆分数据通讯管理模块和 （ 3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
(e) 登记的吋候， 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中 登记保存；
(f) 验证的吋候 , 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的 至少一部分比对， 并将比对匹配成功数目输入身份判定模块。
(2) 具有 Π)识别号的拆分数据存储装置， 至少具有外存储器， 拆分数据通讯管理模块； 其中， 外存储器， 用于 保存从所述 （1) 登记装置收到的生物特征拆分数据， 和与拆分数据对应的 ID识别号；
其中， 与拆分数据对应的 ID识别号既可以是拆分前所述生物特征数据的 ID识别号， 也可以是拆分数据本身的 ID 识别号；
拆分数据通讯管理模块； 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与 （1) 登记装置的拆 分数据通讯管理模块和 （ 3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
(g) 登记的吋候 , 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中 登记保存；
(h) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的 至少一部分比对， 并将比对匹配成功数目输入身份判定模块
( 3 ) 验证装置， 至少具有拆分数据通讯管理模块 生物特征比对模块和身份判定模块；
拆分数据通讯管理模块， 用于在 （4 ) 中央管理装置的拆分数据通讯管理模块控制下， 与 （1) 登记装置的拆 分数据通讯管理模块和 （2) 拆分数据存储装置的拆分数据通讯管理模块协同完成如下步骤； i) 登记的吋候， 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中登记 保存；
0) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的 至少一部分比对， 并将比对匹配成功数目输入身份判定模块；
生物特征比对模块， 用于待认证生物特征数据与所述生物特征数据登记在所述 （2) 拆分数据存储装置中生物特 征拆分数据的至少一部分进行生物细节特征数值比对， 并产生比对匹配成功数目， 输入身份判定模块； 身份判定模块， 用于根据所述 （3 ) 验证装置的生物特征比对模块或和所述 （2) 拆分数据存储装置的生物 特征比对模块产生的比对成功匹配数目和设定条件， 判定待认证生物特征数据与所述 ID识别号生物特征数据的 身份是否一致， 生成验证结果数据并输出；
( 4 ) 通过通讯线路对整个系统实施管理的中央管理装置 ,至少具有外存储器、 拆分数据通讯管理模块； 外存储器， 用于至少保存生物特征数据的 ID识别号， 拆分数据存储装置 ID识别号,以及保存两者的对应绑定关 系数据；
其中， 所述 ID识别号生物特征数据拆分为至少 2个拆分数据， 并登记在至少 2个所述拆分数据存储装置中； 登记的吋候， 利用 （4 ) 中央管理装置保存的所述生物特征数据 ID识别号与所述拆分数据存储装置 ID识别号的 对应绑定关系 , 将所述生物特征数据的拆分数据和与拆分数据对应的 ID识别号 , 发送到所述 ID识别号拆分数据 存储装置中登记保存；
验证的吋候， 利用 （4 ) 中央管理装置保存的所述生物特征数据 ID识别号与所述拆分数据存储装置 ID识别号的 对应绑定关系 , 在所述 ID识别号拆分数据存储装置中搜索所述 ID识别号生物特征数据的拆分数据； 拆分数据通讯管理模块， 用于控制 （1) 登记装置的拆分数据通讯管理模块， （2) 拆分数据存储装置的拆分数 据通讯管理模块和 （ 3 ) 验证装置的拆分数据通讯管理模块协同完成如下步骤；
(k) 登记的吋候 , 将所述生物特征数据的拆分数据分别发送到至少 2个具有 ID识别号的 (2)拆分数据存储装置中 登记保存；
(1) 验证的吋候， 将待认证生物特征数据与所述生物特征数据登记在所述 (2)拆分数据存储装置中的拆分数据的 至少一部分比对， 并将比对匹配成功数目输入身份判定模块。
[Claim 7] 7、 根据权利要求 6所述的生物特征认证系统， 其特征在于：
其中， 登记的吋候， 对登记的生物特征拆分数据进行 ID识别号编号,并且在所述 （2) 拆分数据存储装置的中保 存所述生物特征拆分数据和拆分数据 ID识别号 , 但不保存所述生物特征数据的 ID识别号；
在 （4) 中央管理装置的外存储器中保存生物特征数据 ID识别号、 其拆分后对应的生物特征拆分数据 ID识别号 、 和登记保存所述拆分数据的拆分数据存储装置的 ID识别号， 三者的对应绑定关系数据；
验证的吋候， 根据 （4) 中央管理装置保存的上述三者的对应绑定关系， 拆分数据通讯管理模块将待认证的 生物特征数据与所述 ID识别号拆分数据的至少一部分进行比对。
[Claim S] 8、 根据权利要求 6或 7所述的生物特征认证系统， 其特征在于： 其中， 登记的吋候， 数据拆分模块以生物特征数据占据的字节 Byte或二进制数位 Bit为最小数据拆分单位， 将生 物特征数据拆分为至少 2个部分的生物特征数据片段， 每个数据片段至少包含一个字节 Byte或一个二进制数位 Bit 的生物特征数据；
验证的吋候， 将在所述拆分数据存储装置中登记的所述生物特征数据片段， 汇聚到验证装置， 重新组装形成 完整的生物特征数据；
如果所述生物特征数据是生物特征模板数据， 待认证的生物细节特征数据可以直接与其比对； 如果生物特征数据是原始生物特征的图象或视频等数据， 汇聚起来的原始生物特征数据片段恢复形成完整的原始 生物特征数据， 需要先进行生物细节特征数值的提取， 然后再进行生物特征数值的匹配比对。
[Claim 9] 9、 根据权利要求 6或 7所述的生物特征认证系统， 其特征在于： 其中， 登记的吋候， 数据拆分模块以生物细节特征数值为最小数据拆分单位， 将可以生成生物特征模板的生物细 节特征数值集合数据， 拆分为至少 2个生物特征数值小组， 每个生物特征数值小组数据至少包含一个生物细节特 征数值；
待认证的生物特征数据与所述 ID识别号生物特征数据属下的生物征特征数值小组数据的至少一部分进行生物细 节特征数值比对， 比对匹配的成功数目输入身份判定模块；
其中， 如果登记生物特征数值小组的拆分数据存储装置还具有生物特征比对模块， 验证的吋候， 根据生物特征数 据 ID识别号和拆分数据存储装置 ID识别号对应绑定关系 , 将待认证生物特征数据发送到各个具有生物特征比对 模块的所述拆分数据存储装置， 与这部分生物特征数值小组数据比对， 比对匹配的成功数目也输入验证装置的身 份判定模块。
其中， 用户还可以向中央管理装置申请登记登记装置的 ID识别号， 并保存在中央管理装置； 用户还可以向中央管理装置申请登记拆分数据存储装置的 ID识别号， 并保存在中央管理装置； 用户还可以向中央管理装置申请登记验证装置的 ID识别号， 并保存在中央管理装置；
通过所述具有 ID识别号的登记装置， 用户向中央管理装置申请生物特征数据 ID识别号和登记生物特征数据 , 开始使用所述生物特征认证系统；
利用生物特征数据的 ID识别号 , 用户可以从中央管理装置的拆分数据存储装置 ID识别号总列表中至少选择 2个 要分别登记的具体拆分数据存储装置 ID识别号进行登记；
验证的吋候， 用户可以选择一个 ID识别号的验证装置， 使用用户的所述生物特征数据 ID识别号对现场采集的待 认证的生物特征数据进行身份验证。
[Claim 10] 10、 根据权利要求 9所述的生物特征认证系统， 其特征在于： 其中， 在中央管理装置的外存储器中， 用户可以登记其它应用系统用户权限的 ID识别号， 并将所述其它应用系 统用户权限的 ID识别号与用户的生物特征数据的 ID识别号唯一对应绑定保存， 并设置对所述 ID识别号生物特征数 据的身份验证结果数据等同于所述 ID识别号的其它应用系统用户权限本身的身份验证结果数据； 验证的吋候， 用户可以选择一个具有 ID识别号的验证装置， 使用所述其它应用系统用户权限的 ID识别号， 对用 户的待认证生物特征数据进行身份认证；
验证装置根据中央管理装置外存储器中保存的用户所述其它应用系统用户权限 ID识别号与所述生物特征数据 ID 识别号唯一对应绑定关系数据 , 执行对所述 ID识别号生物特征数据验证流程步骤 , 对用户所述 ID识别号生物特征 数据的身份验证结果数据等同于对用户所述 ID识别号其它应用系统用户权限本身的身份验证结果。
PCT/CN2009/076144 2009-01-05 2009-12-28 一种生物特征认证方法，以及一种生物特征认证系统 WO2010075762A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNA2009100003155A CN101478541A (zh) 2008-10-21 2009-01-05 一种生物特征认证方法,以及一种生物特征认证系统
CN200910000315.5 2009-01-05

Publications (1)

Publication Number Publication Date
WO2010075762A1 true WO2010075762A1 (zh) 2010-07-08

Family

ID=42310692

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/076144 WO2010075762A1 (zh) 2009-01-05 2009-12-28 一种生物特征认证方法，以及一种生物特征认证系统

Country Status (1)

Country Link
WO (1) WO2010075762A1 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003015011A1 (en) * 2001-08-07 2003-02-20 Hong-Sik Koo Authentication method using biometric information
CN101159012A (zh) * 2006-09-12 2008-04-09 富士通株式会社 生物认证方法、用于个体认证的介质和生物认证装置
CN101330386A (zh) * 2008-05-19 2008-12-24 刘洪利 基于生物特征的认证系统及其身份认证方法
CN101478541A (zh) * 2008-10-21 2009-07-08 刘洪利 一种生物特征认证方法,以及一种生物特征认证系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003015011A1 (en) * 2001-08-07 2003-02-20 Hong-Sik Koo Authentication method using biometric information
CN101159012A (zh) * 2006-09-12 2008-04-09 富士通株式会社 生物认证方法、用于个体认证的介质和生物认证装置
CN101330386A (zh) * 2008-05-19 2008-12-24 刘洪利 基于生物特征的认证系统及其身份认证方法
CN101478541A (zh) * 2008-10-21 2009-07-08 刘洪利 一种生物特征认证方法,以及一种生物特征认证系统

Similar Documents

Publication Publication Date Title
US11803633B1 (en) Method and system for securing user access, data at rest and sensitive transactions using biometrics for mobile devices with protected, local templates
RU2718226C2 (ru) Системы и способы безопасного обращения с биометрическими данными
CN101478541A (zh) 一种生物特征认证方法,以及一种生物特征认证系统
JP5028194B2 (ja) 認証サーバ、クライアント端末、生体認証システム、方法及びプログラム
US20190013931A1 (en) Biometric verification of a blockchain database transaction contributor
CN108833114A (zh) 一种基于区块链的去中心化身份认证系统及方法
JPWO2003069489A1 (ja) 本人認証の方法
JP7309261B2 (ja) 生体決済機器の認証方法、生体決済機器の認証装置、コンピュータ機器、及びコンピュータプログラム
WO2015188424A1 (zh) 一种密钥存储设备及其使用方法
CN102223233A (zh) 一种生物密码认证系统，以及一种生物密码认证方法
Cavoukian et al. Advances in biometric encryption: Taking privacy by design from academic research to deployment
CN111131202A (zh) 基于多重信息认证的身份认证方法及系统
US11681787B1 (en) Ownership validation for cryptographic asset contracts using irreversibly transformed identity tokens
Prasad et al. A study on multifactor authentication model using fingerprint hash code, password and OTP
Chao et al. Biometric-based personal identity-authentication system and security analysis
KR20030052194A (ko) 생체정보를 이용한 사용자 인증 시스템, 상기 시스템에서인증서를 등록하는 방법 및 사용자 인증방법
CN113704732A (zh) 一种用户身份的验证方法、装置以及电子设备
WO2010075762A1 (zh) 一种生物特征认证方法，以及一种生物特征认证系统
CN111464553A (zh) 一种保护生物特征隐私的身份认证装置与认证方法
Aithal A Study on Multifactor Authentication Model Using Fingerprint Hash Code, Password and OTP
Jain An Approach to Biometric Encryption in Cloud Computing
KR20230004312A (ko) Did를 이용한 개인정보의 인증 및 식별 시스템과 그 방법
Ravimaran et al. Reliable and Fault Tolerant Mobile Transaction Paradigmusing Surrogate Object
JPH1188322A (ja) ディジタル署名生成方法
Ojo Development of a Three Factor Authentication System for Online Banking

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09836049

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 20/12/11)

122 Ep: pct application non-entry in european phase

Ref document number: 09836049

Country of ref document: EP

Kind code of ref document: A1