CN108389049A - 身份认证方法、装置以及移动终端 - Google Patents

身份认证方法、装置以及移动终端 Download PDF

Info

Publication number
CN108389049A
CN108389049A CN201810013600.XA CN201810013600A CN108389049A CN 108389049 A CN108389049 A CN 108389049A CN 201810013600 A CN201810013600 A CN 201810013600A CN 108389049 A CN108389049 A CN 108389049A
Authority
CN
China
Prior art keywords
applet
fingerprint
user
verified
finger print
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810013600.XA
Other languages
English (en)
Inventor
李勃
张渊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Watchdata Ltd By Share Ltd
Beijing WatchData System Co Ltd
Beijing WatchSmart Technologies Co Ltd
Original Assignee
Beijing Watchdata Ltd By Share Ltd
Beijing WatchSmart Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Watchdata Ltd By Share Ltd, Beijing WatchSmart Technologies Co Ltd filed Critical Beijing Watchdata Ltd By Share Ltd
Priority to CN201810013600.XA priority Critical patent/CN108389049A/zh
Publication of CN108389049A publication Critical patent/CN108389049A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G06Q20/38215—Use of certificates or encrypted proofs of transaction rights
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G06Q20/40145—Biometric identity checks

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Computer Security & Cryptography (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Collating Specific Patterns (AREA)

Abstract

本发明实施例公开了一种身份认证方法、装置以及移动终端，其中的方法包括：TA向运行在SE模块中的Applet发送用户指纹验证请求；Applet驱动指纹模块采集用户指纹，获取指纹模块发送的待验证指纹数据；Applet将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向TA发送用户身份验证结果消息。本发明的方法、装置以及移动终端，可以在较安全的TEE环境中发起指纹验证请求和处理验证结果，并且在更安全的SE环境中执行指纹特征数据的采集、安全存储、验证，不同的Applet所存储的指纹特征数据完全隔离，达到指纹特征数据的安全存储与验证，保证了交易等业务的安全性。

Description

身份认证方法、装置以及移动终端
技术领域
本发明涉及信息安全技术领域，尤其涉及一种身份认证方法、装置以及移动终端。
背景技术
近年来，在智能移动终端上进行网银交易的需求日益旺盛，交易笔数和交易金额快速增长，但安全性问题却不容乐观。以安卓***为例，通常在TEE侧有一个指纹TA负责指纹的采集、验证与集中存储，指纹TA向REE侧应用提供指纹采集和验证服务。利用指纹进行身份认证有以下两种典型应用场景：1、用指纹解锁手机锁屏：通过REE侧的APP发起指纹验证请求，由TEE侧的指纹TA执行指纹采集和验证，将验证结果返回给REE侧的APP，由APP执行解锁动作；2、用指纹确认交易：通过REE侧的APP发起交易，TEE侧的交易TA显示交易信息，再返回到REE侧由APP发起指纹验证服务请求，TEE侧的指纹TA执行指纹采集和验证，TEE侧的交易TA从指纹TA处获得验证结果后对交易进行数字签名。
应用场景一最终由REE侧的APP处理指纹验证结果，由于处于不可信执行环境，得到的处理结果也是不可信的。应用场景二在交易过程中不得不从TEE环境中回到REE环境以向指纹TA发起指纹验证请求，必然增大了整个交易流程受到攻击的风险。同时，在现有技术下，无论哪种应用场景，涉及到的指纹特征数据都是共享的，都由同一个指纹TA集中存储和验证，带来很大的安全隐患；此外，现有技术在TEE中执行指纹特征数据的存储和验证，与SE环境相比其安全级别较低。
发明内容
有鉴于此，本发明要解决的一个技术问题是提供一种身份认证方法、装置以及移动终端。
根据本发明的一个方面，提供一种身份认证方法，包括：运行在可信执行环境TEE中的可信应用TA向运行在安全元件SE模块中的Applet发送用户指纹验证请求；所述Applet驱动指纹模块采集用户指纹，获取所述指纹模块发送的待验证指纹数据；所述Applet将所述待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向所述TA发送用户身份验证结果消息。
可选地，所述TA向所述Applet发送用户身份验证请求包括：所述TA通过第一APDU命令向与此TA对应的所述Applet发送所述用户指纹验证请求，其中，所述第一APDU命令中携带有指纹特征标识信息。
可选地，所述Applet将所述待验证指纹数据与存储的指纹特征数据进行比对、进行用户身份验证包括：所述Applet获取与所述指纹特征标识信息相对应的所述指纹特征数据；所述Applet将此指纹特征数据与所述待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
可选地，接收到所述Applet发送的用户身份验证成功消息，所述TA通过第二APDU命令将与此用户对应的交易报文发送给所述Applet进行签名处理。
可选地，所述Applet在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效；所述Applet获取与此用户对应的私钥对所述交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
可选地，所述SE模块中有多个所述Applet运行，在不同的所述Applet中所存储的指纹特征数据相互隔离。
可选地，所述Applet驱动指纹模块采集用户指纹包括：所述Applet通过所述SE模块提供的底层接口控制所述指纹模块采集用户指纹图像并从所述用户指纹图像中提取所述待验证指纹数据。
可选地，所述指纹模块包括：主控单元和传感器单元；所述主控单元接收到所述Applet发送的指纹采集指令，控制所述传感器单元获取指纹图像；所述主控单元从所述指纹图像中提取所述待验证指纹数据，并发送给所述Applet。
可选地，运行所述TA的处理器分别与所述指纹模块和所述SE模块之间通过数据总线连接；所述SE和所述指纹模块之间通过数据总线连接。
可选地，所述SE模块包括：eSE模块、inSE模块。
根据本发明的另一方面，提供一种身份认证装置，包括：运行在可信执行环境TEE中的可信应用TA、运行在安全元件SE模块中的Applet和指纹模块；所述TA向所述Applet发送用户指纹验证请求；所述Applet驱动所述指纹模块采集用户指纹，获取所述指纹模块发送的待验证指纹数据；所述Applet将所述待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向所述TA发送用户身份验证结果消息。
可选地，所述TA，用于通过第一APDU命令向与其对应的所述Applet发送所述用户指纹验证请求，其中，所述第一APDU命令中携带有指纹特征标识信息。
可选地，所述Applet，用于获取与所述指纹特征标识信息相对应的所述指纹特征数据，将此指纹特征数据与所述待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
可选地，所述TA，用于接收到所述Applet发送的用户身份验证成功消息，通过第二APDU命令将与此用户对应的交易报文发送给所述Applet进行签名处理。
可选地，所述Applet，用于在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效；获取与此用户对应的私钥对所述交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
可选地，所述SE模块中有多个所述Applet运行，在不同的所述Applet中所存储的指纹特征数据相互隔离。
可选地，所述Applet，还用于通过所述SE模块提供的底层接口控制所述指纹模块采集用户指纹图像并从所述用户指纹图像中提取所述待验证指纹数据。
可选地，所述指纹模块包括：主控单元和传感器单元；所述主控单元，用于接收所述Applet发送的指纹采集指令，控制所述传感器单元获取指纹图像；从所述指纹图像中提取所述待验证指纹数据，并发送给所述Applet。
可选地，运行所述TA的处理器分别与所述指纹模块和所述SE模块之间通过数据总线连接；所述SE和所述指纹模块之间通过数据总线连接。
可选地，所述SE模块包括：eSE模块、inSE模块。
根据本发明的又一方面，提供一种移动终端，包括如上所述的网银交易***。
根据本发明的再一方面，提供一种网银交易***，包括：存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行上所述的网银交易***方法。
本发明的身份认证方法、装置以及移动终端，TA向运行SE模块中的Applet发送用户指纹验证请求，Applet驱动指纹模块采集用户指纹，获取待验证指纹数据，将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向TA发送用户身份验证结果消息；可以在较安全的TEE环境中发起指纹验证请求和处理验证结果，并且在更安全的eSE环境中执行指纹特征数据的采集、安全存储、验证，不同的Applet所存储的指纹特征数据完全隔离，不能互相访问，达到指纹特征数据的安全存储与验证，保证了交易等业务的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为根据本发明的身份认证方法的一个实施例的流程示意图；
图2为根据本发明的身份认证方法的另一个实施例的流程示意图；
图3为根据本发明的身份认证方法的一个实施例中的各模块的连接示意图；
图4为根据本发明的身份认证装置的一个实施例的模块示意图；
图5为根据本发明的身份认证装置的另一个实施例的模块示意图。
具体实施方式
现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。
同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。
以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。
对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。
本发明实施例可以应用于计算机***/服务器，其可与众多其它通用或专用计算***环境或配置一起操作。适于与计算机***/服务器一起使用的众所周知的计算***、环境和/或配置的例子包括但不限于：智能手机、个人计算机***、服务器计算机***、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的***、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机***﹑大型计算机***和包括上述任何***的分布式云计算技术环境，等等。
计算机***/服务器可以在由计算机***执行的计算机***可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机***/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算***存储介质上。
下文中的“第一”、“第二”仅用于描述上相区别，并没有其它特殊的含义。
图1为根据本发明的身份认证方法的一个实施例的流程示意图，如图1所示：
步骤101，运行在可信执行环境TEE中的可信应用TA向运行在安全元件SE模块中的Applet发送用户指纹验证请求。SE模块包括嵌入式安全元件eSE模块、inSE模块等。
步骤102，Applet驱动指纹模块采集用户指纹，获取指纹模块发送的待验证指纹数据。
步骤103，Applet将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向TA发送用户身份验证结果消息。
TEE(Trusted Execution Environment,可信执行环境)是一种隔离的执行环境，TEE与富操作***(REE，Rich Execution Environment)并行运行，并为富环境提供安全服务，可以对富环境下的软硬件安全资源和应用程序，实现隔离访问和保护。安全元件SE可以是软硬件及相关协议结合的安全模块，可嵌入使用的智能卡级应用程序，如UICC、嵌入式SE、可插拔内存卡等。Applet是一种运行在SE中的程序。
上述实施例中的身份认证方法，利用生物指纹特征进行身份认证，通过在TEE环境下发起指纹验证服务，由运行在SE中的Applet负责采集、存储与验证指纹特征数据，从而达到指纹特征数据的安全存储与验证、不同应用间指纹特征数据的完全隔离等安全目标。
在一个实施例中，TA通过第一APDU命令向与与此TA对应的Applet发送用户指纹验证请求，第一APDU命令中携带有指纹特征标识信息，指纹特征标识信息包括：ID信息、索引值信息等。
eSE中运行多个Applet，每个Applet都可以通过eSE底层接口控制指纹模块来采集指纹特征数据。每个Applet在个人化时会装载不同的指纹保护密钥，指纹特征数据作为二进制文件用指纹保护密钥加密后保存在Applet内部。
Applet可以保存多组、每组多个指纹特征数据，用FID或索引值来访问不同的数据。可以在纹录入阶段，将一个自然人(身份认证实体)所拥有的多个指纹作为一组。TA发送的第一APDU中携带有参数指定在特定的某一组指纹特征数据中进行指纹比对。Applet获取与指纹特征标识信息相对应的指纹特征数据，Applet将此指纹特征数据与待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
验证指纹时，Applet先从指纹模块采集新的指纹特征数据，然后和本地保存的某一组(APDU中指定)已录入的指纹特征数据一一比对，如果找到匹配的指纹特征数据，则指纹验证通过。Applet对外提供一组APDU，用于采集、融合、录入、比对、删除其存储的指纹特征数据，由TA组织下发这些APDU，实现对指纹特征数据的管理和验证功能。
在一个实施例中，接收到Applet发送的用户身份验证成功消息，TA通过第二APDU命令将与此用户对应的交易报文发送给Applet进行签名处理。在Applet中保存的每一个私钥都关联了其对应的使用条件，只有达到了使用条件要求(如验证指纹成功)才能使用私钥(来签名或解密)。密钥的使用条件在密钥对生成或导入时由TA发送的APDU中的参数指定，并保存在Applet中。Applet在收到第二APDU时，会先检查第二APDU中指定的私钥的使用条件，例如，私钥的使用条件可以是“用第1组指纹特征模板验证指纹成功”。
Applet在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效。Applet获取与此用户对应的私钥对交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
Applet在指纹验证成功后，在其内部会缓存此条件标志，用于在下一次执行涉及到使用私钥的APDU时判断是否符合私钥的使用条件。此标志仅一次有效，即当此标志有效且执行了一条涉及到使用私钥的第二APDU后，此标志立即失效。在此标志失效期间，Applet拒绝执行所有涉及到使用私钥的第二APDU命令。
图2为根据本发明的身份认证方法的另一个实施例的流程示意图，如图2所示：
步骤201，网银APP获取网银交易报文,将网银交易报文发送给TA。
网银APP获取网银交易报文的方式有多种。例如，网银APP接收网银服务器发送的网银交易报文、通过扫描二维码获取的网银交易数据生成网银交易报文等。
步骤202，TA按照预设的格式对网易交易报文进行解析，提取显示给用户进行确认的网银交易显示信息。
网银交易需要用用户的签名证书对交易信息做数字签名，交易签名最终也由服务端验证。交易信息的格式与内容由网银后台和TA事先约定好，其中通常包含需要显示给用户确认的部分和不需要显示的部分。
步骤203，TA通过TUI显示网银交易显示信息并在TUI上提供用于输入交易确认信息的操作按钮，操作按钮包括：确认按钮、取消按钮等。如果用户长时间不操作，TUI会自动超时退出，交易将被取消。
TUI运行在可信执行环境，能确保用户看到的交易信息就是即将要签名的交易信息，“所见即所签”。在用户确认交易信息之后、执行交易签名之前，还需要先验证用户指纹，确保使用私钥进行签名的操作者是用户本人。TUI中也可以提供多种虚拟键盘配置，如数字键盘、字母键盘、符号键盘等，可以实现与Rich OS中完全一致的输入体验。
在移动终端上，RichOS与TEE共享同一块显示屏设备与用户进行人机交互，用户需要鉴别当前显示的内容是RichOS下的软件显示的，还是TEE中的TUI显示的。TA获取与网银APP对应的预留信息，并在显示网银交易显示信息时，在TUI界面的显示预留信息，以使用户通过对比预留信息内容判断网银交易显示信息是否由TUI显示。
在TUI界面的固定位置显示一条预留信息，用户可以通过对比预留信息内容来鉴别当前显示内容是否是TUI输出的。预留信息有默认初值，用户第一次使用网银交易之前需要先修改默认预留信息。修改预留信息在TUI中执行，由用户在TUI下输入新的预留信息。当用户看到TUI中显示了自己设置的预留信息时，能确认当前画面是处于TUI可信执行环境下。
步骤204，TA基于用户通过TUI输入的交易确认信息判断用户是否确认进行网银交易，如果是，进入步骤206，如果否，进入步骤205。
步骤205，TA向网银APP发送网银交易失败通知消息以及失败原因信息，失败原因信息包括：用户取消交易。
步骤206，TA向Applet发送用户指纹验证请求。
Applet驱动指纹模块采集用户指纹，获取指纹模块发送的待验证指纹数据，将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证。
步骤207，判断Applet对于用户的指纹数据是否验证成功，如果是，则进入步骤209，如果否，则进入步骤208。
步骤208，TA向网银APP发送网银交易失败通知消息以及失败原因信息，失败原因信息包括：指纹验证失败等。
步骤209，在对用户指纹验证成功后，TA将网银交易报文发送给Applet进行签名处理。
Applet在指纹验证正确后，获得了私钥的使用权限，获取与此用户对应的私钥对交易报文进行签名处理。
步骤210，TA接收到Applet对于网银交易报文的签名处理结果，将签名处理结果发送给网银APP。
步骤211，网银APP将签名处理结果发送给网银服务器进行验证，如果验证成功，则网银APP进行网银交易操作。
在一个实施例中，在基于ARM的TrustZone技术架构中，目前应用最广泛的可信执行环境OS分别是GP的GP TEE和高通的QSEE。如图3所示，TA和指纹模块、eSE之间通过SPI总线相联，CPU作为主设备，指纹模块和eSE作为从设备。eSE和指纹模块之间也通过另一路SPI总线相联，eSE作为主设备，指纹模块作为从设备。
Applet通过SE模块提供的底层接口控制指纹模块采集用户指纹图像并从用户指纹图像中提取待验证指纹数据。指纹模块包括：主控单元和传感器单元。主控单元接收到Applet发送的指纹采集指令，控制传感器单元获取指纹图像，从指纹图像中提取待验证指纹数据，并发送给Applet。
在一个实施例中，如图4所示，本发明提供一种身份认证装置40，包括：运行在可信执行环境TEE中的可信应用TA 41、运行在安全元件SE模块中的Applet 42和指纹模块43。
TA 41向Applet 42发送用户指纹验证请求。Applet 41驱动指纹模块43采集用户指纹，获取指纹模块43发送的待验证指纹数据。Applet 42将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向TA 41发送用户身份验证结果消息。SE模块中有多个Applet 42运行，在不同的Applet中所存储的指纹特征数据相互隔离，不能相互访问。
TA 41通过第一APDU命令向与其相对应的Applet 42发送用户指纹验证请求，第一APDU命令中携带有指纹特征标识信息。Applet 42获取与指纹特征标识信息相对应的指纹特征数据，将此指纹特征数据与待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
TA 41接收到Applet 42发送的用户身份验证成功消息，通过第二APDU命令将与此用户对应的交易报文发送给Applet 42进行签名处理。Applet 42在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效。Applet 42获取与此用户对应的私钥对交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
Applet 42通过SE模块提供的底层接口控制指纹模块43采集用户指纹图像并从用户指纹图像中提取待验证指纹数据。指纹模块43包括：主控单元和传感器单元。主控单元接收Applet发送的指纹采集指令，控制传感器单元获取指纹图像，从指纹图像中提取待验证指纹数据，并发送给Applet 42。TA 41分别与指纹模块43和SE模块之间通过SPI总线连接。SE模块和指纹模块之间通过SPI总线连接。
在一个实施例中，本发明提供一种移动终端，包括如上任一实施例中的身份认证装置。移动终端可以为智能手机、平板电脑等。
图5为根据本发明的身份认证方法装置的另一个实施例的模块示意图。如图5所示，该装置可包括存储器51、处理器52、总线53。存储器51用于存储指令，处理器52耦合到存储器51，处理器52被配置为基于存储器51存储的指令执行实现上述的身份认证方法。存储器51可以为高速RAM存储器、非易失性存储器(NoN-volatile memory)等，存储器51也可以是存储器阵列。处理器52可以为中央处理器CPU等。
上述实施例中的身份认证方法、装置以及移动终端，TA向运行SE模块中的Applet发送用户指纹验证请求，Applet驱动指纹模块采集用户指纹，获取待验证指纹数据，将待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向TA发送用户身份验证结果消息；可以在较安全的TEE环境中发起指纹验证请求和处理验证结果，并且在更安全的eSE环境中执行指纹特征数据的采集、安全存储、验证，不同的Applet所存储的指纹特征数据完全隔离，不能互相访问，达到指纹特征数据的安全存储与验证，保证了交易等业务的安全性。
可能以许多方式来实现本发明的方法和***。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和***。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。
本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (22)

1.一种身份认证方法，其特征在于，包括：
运行在可信执行环境TEE中的可信应用TA向运行在安全元件SE模块中的Applet发送用户指纹验证请求；
所述Applet驱动指纹模块采集用户指纹，获取所述指纹模块发送的待验证指纹数据；
所述Applet将所述待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向所述TA发送用户身份验证结果消息。
2.如权利要求1所述的方法，其特征在于，所述TA向所述Applet发送用户身份验证请求包括：
所述TA通过第一APDU命令向与TA对应的所述Applet发送所述用户指纹验证请求，其中，所述第一APDU命令中携带有指纹特征标识信息。
3.如权利要求2所述的方法，其特征在于，所述Applet将所述待验证指纹数据与存储的指纹特征数据进行比对、进行用户身份验证包括：
所述Applet获取与所述指纹特征标识信息相对应的所述指纹特征数据；
所述Applet将此指纹特征数据与所述待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
4.如权利要求3所述的方法，其特征在于，还包括：
接收到所述Applet发送的用户身份验证成功消息，所述TA通过第二APDU命令将与此用户对应的交易报文发送给所述Applet进行签名处理。
5.如权利要求4所述的方法，其特征在于，还包括：
所述Applet在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效；
所述Applet获取与此用户对应的私钥对所述交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
6.如权利要求1所述的方法，其特征在于，
所述SE模块中有多个所述Applet运行，在不同的所述Applet中所存储的指纹特征数据相互隔离。
7.如权利要求1所述的方法，其特征在于，所述Applet驱动指纹模块采集用户指纹包括：
所述Applet通过所述SE模块提供的底层接口控制所述指纹模块采集用户指纹图像并从所述用户指纹图像中提取所述待验证指纹数据。
8.如权利要求7所述的方法，其特征在于，所述指纹模块包括：主控单元和传感器单元；
所述主控单元接收到所述Applet发送的指纹采集指令，控制所述传感器单元获取指纹图像；
所述主控单元从所述指纹图像中提取所述待验证指纹数据，并发送给所述Applet。
9.如权利要求1所述的方法，其特征在于，运行所述TA的处理器分别与所述指纹模块和所述SE模块之间通过数据总线连接；所述SE和所述指纹模块之间通过数据总线连接。
10.如权利要求1所述的方法，其特征在于，
所述SE模块包括：eSE模块、inSE模块。
11.一种身份认证装置，其特征在于，包括：
运行在可信执行环境TEE中的可信应用TA、运行在安全元件SE模块中的Applet和指纹模块；
所述TA向所述Applet发送用户指纹验证请求；所述Applet驱动所述指纹模块采集用户指纹，获取所述指纹模块发送的待验证指纹数据；所述Applet将所述待验证指纹数据与在其内部存储的指纹特征数据进行比对，进行用户身份验证，并向所述TA发送用户身份验证结果消息。
12.如权利要求11所述的装置，其特征在于，
所述TA，用于通过第一APDU命令向与其对应的所述Applet发送所述用户指纹验证请求，其中，所述第一APDU命令中携带有指纹特征标识信息。
13.如权利要求12所述的装置，其特征在于，
所述Applet，用于获取与所述指纹特征标识信息相对应的所述指纹特征数据，将此指纹特征数据与所述待验证指纹数据进行比对，如果确定比对成功，则确定用户身份验证成功。
14.如权利要求13所述的装置，其特征在于，
所述TA，用于接收到所述Applet发送的用户身份验证成功消息，通过第二APDU命令将与此用户对应的交易报文发送给所述Applet进行签名处理。
15.如权利要求14所述的装置，其特征在于，
所述Applet，用于在确定用户身份验证成功后，将通过验证的用户的验证标识设置为有效；获取与此用户对应的私钥对所述交易报文进行签名处理，并在签名处理后，将此用户的验证标识设置为无效。
16.如权利要求11所述的装置，其特征在于，
所述SE模块中有多个所述Applet运行，在不同的所述Applet中所存储的指纹特征数据相互隔离。
17.如权利要求11所述的装置，其特征在于，
所述Applet，还用于通过所述SE模块提供的底层接口控制所述指纹模块采集用户指纹图像并从所述用户指纹图像中提取所述待验证指纹数据。
18.如权利要求17所述的装置，其特征在于，所述指纹模块包括：主控单元和传感器单元；
所述主控单元，用于接收所述Applet发送的指纹采集指令，控制所述传感器单元获取指纹图像；从所述指纹图像中提取所述待验证指纹数据，并发送给所述Applet。
19.如权利要求11所述的装置，其特征在于，
运行所述TA的处理器分别与所述指纹模块和所述SE模块之间通过数据总线连接；所述SE和所述指纹模块之间通过数据总线连接。
20.如权利要求11所述的装置，其特征在于，
所述SE模块包括：eSE模块、inSE模块。
21.一种移动终端，其特征在于：
包括如权利要求11至20任一项所述的身份认证装置。
22.一种身份认证装置，其特征在于，包括：
存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如权利要求1至10中任一项所述的身份认证方法。
CN201810013600.XA 2018-01-08 2018-01-08 身份认证方法、装置以及移动终端 Pending CN108389049A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810013600.XA CN108389049A (zh) 2018-01-08 2018-01-08 身份认证方法、装置以及移动终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810013600.XA CN108389049A (zh) 2018-01-08 2018-01-08 身份认证方法、装置以及移动终端

Publications (1)

Publication Number Publication Date
CN108389049A true CN108389049A (zh) 2018-08-10

Family

ID=63077041

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810013600.XA Pending CN108389049A (zh) 2018-01-08 2018-01-08 身份认证方法、装置以及移动终端

Country Status (1)

Country Link
CN (1) CN108389049A (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109324843A (zh) * 2018-09-11 2019-02-12 深圳市文鼎创数据科技有限公司 一种指纹处理***、方法及指纹设备
CN110876144A (zh) * 2018-08-30 2020-03-10 华为技术有限公司 一种身份凭证的移动应用方法、装置及***
CN111177687A (zh) * 2019-12-25 2020-05-19 北京迈格威科技有限公司 图像解锁方法、装置、设备和存储介质
WO2020133500A1 (zh) * 2018-12-29 2020-07-02 华为技术有限公司 终端设备的解锁方法、设备和存储介质
WO2020191547A1 (zh) * 2019-03-22 2020-10-01 华为技术有限公司 生物识别方法及装置
CN112214652A (zh) * 2020-10-19 2021-01-12 支付宝(杭州)信息技术有限公司 一种报文生成方法、装置及设备
EP3822836A1 (en) * 2019-11-12 2021-05-19 Koninklijke Philips N.V. Device and method for secure communication
CN115942323A (zh) * 2023-01-09 2023-04-07 中国电子科技集团公司第三十研究所 安全增强usim装置和usim安全增强方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104899506A (zh) * 2015-05-08 2015-09-09 深圳市雪球科技有限公司 基于可信执行环境中虚拟安全元件的安全***实现方法
CN105069442A (zh) * 2015-08-25 2015-11-18 杭州晟元数据安全技术股份有限公司 一种指纹安全单元se模组及支付验证方法
CN105160254A (zh) * 2014-06-06 2015-12-16 欧贝特科技公司 包括安全电子单元的电子设备和用这种电子设备实施的方法
US20160234176A1 (en) * 2015-02-06 2016-08-11 Samsung Electronics Co., Ltd. Electronic device and data transmission method thereof
US20160239686A1 (en) * 2015-02-17 2016-08-18 Samsung Electronics Co., Ltd. Storing and using data with secure circuitry
CN106899552A (zh) * 2015-12-21 2017-06-27 中国电信股份有限公司 认证方法，认证终端以及***

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105160254A (zh) * 2014-06-06 2015-12-16 欧贝特科技公司 包括安全电子单元的电子设备和用这种电子设备实施的方法
US20160234176A1 (en) * 2015-02-06 2016-08-11 Samsung Electronics Co., Ltd. Electronic device and data transmission method thereof
US20160239686A1 (en) * 2015-02-17 2016-08-18 Samsung Electronics Co., Ltd. Storing and using data with secure circuitry
CN104899506A (zh) * 2015-05-08 2015-09-09 深圳市雪球科技有限公司 基于可信执行环境中虚拟安全元件的安全***实现方法
CN105069442A (zh) * 2015-08-25 2015-11-18 杭州晟元数据安全技术股份有限公司 一种指纹安全单元se模组及支付验证方法
CN106899552A (zh) * 2015-12-21 2017-06-27 中国电信股份有限公司 认证方法，认证终端以及***

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110876144A (zh) * 2018-08-30 2020-03-10 华为技术有限公司 一种身份凭证的移动应用方法、装置及***
CN110876144B (zh) * 2018-08-30 2023-07-11 华为技术有限公司 一种身份凭证的移动应用方法、装置及***
CN109324843B (zh) * 2018-09-11 2020-12-11 深圳市文鼎创数据科技有限公司 一种指纹处理***、方法及指纹设备
WO2020052383A1 (zh) * 2018-09-11 2020-03-19 深圳市文鼎创数据科技有限公司 一种指纹处理***、方法及指纹设备
CN109324843A (zh) * 2018-09-11 2019-02-12 深圳市文鼎创数据科技有限公司 一种指纹处理***、方法及指纹设备
WO2020133500A1 (zh) * 2018-12-29 2020-07-02 华为技术有限公司 终端设备的解锁方法、设备和存储介质
CN112334896A (zh) * 2018-12-29 2021-02-05 华为技术有限公司 终端设备的解锁方法、设备和存储介质
CN112334896B (zh) * 2018-12-29 2023-09-01 华为技术有限公司 终端设备的解锁方法、设备和存储介质
WO2020191547A1 (zh) * 2019-03-22 2020-10-01 华为技术有限公司 生物识别方法及装置
EP3822836A1 (en) * 2019-11-12 2021-05-19 Koninklijke Philips N.V. Device and method for secure communication
WO2021094125A1 (en) * 2019-11-12 2021-05-20 Koninklijke Philips N.V. Device and method for secure communication
US11972031B2 (en) 2019-11-12 2024-04-30 Koninklijke Philips N.V. Device and method for secure communication
CN111177687A (zh) * 2019-12-25 2020-05-19 北京迈格威科技有限公司 图像解锁方法、装置、设备和存储介质
CN112214652A (zh) * 2020-10-19 2021-01-12 支付宝(杭州)信息技术有限公司 一种报文生成方法、装置及设备
CN112214652B (zh) * 2020-10-19 2023-09-29 支付宝(杭州)信息技术有限公司 一种报文生成方法、装置及设备
CN115942323A (zh) * 2023-01-09 2023-04-07 中国电子科技集团公司第三十研究所 安全增强usim装置和usim安全增强方法

Similar Documents

Publication Publication Date Title
CN108389049A (zh) 身份认证方法、装置以及移动终端
CN108229956A (zh) 网银交易方法、装置、***以及移动终端
CN105306490B (zh) 支付验证***、方法及装置
US6651168B1 (en) Authentication framework for multiple authentication processes and mechanisms
TWI526037B (zh) 用於交易鑑認之抽象化及隨機化單次使用密碼之方法及系統
KR102214247B1 (ko) 서비스 구현을 위한 방법 및 장치
WO2015157295A1 (en) Systems and methods for transacting at an atm using a mobile device
US20150120573A1 (en) Information processing method, device and system
CN110458559B (zh) 交易数据处理方法、装置、服务器和存储介质
WO2015062255A1 (en) Information processing method, device and system
US11451540B2 (en) Method of authentication
CN106651372A (zh) 数据处理方法及***
CN107196901A (zh) 一种身份注册及认证的方法及装置
CN105229709A (zh) 安全性***
CN108337251A (zh) 银行卡手机号码变更实现方法、设备、***及存储介质
CA2395381A1 (en) Computerised device for accrediting data application to a software or a service
CN108270789A (zh) 网银开通方法、设备、***及计算机可读存储介质
CN108596752A (zh) 密码重置方法、***、自助终端及计算机可读存储介质
CN107944241A (zh) 扫码方法及装置、计算机装置和计算机可读存储介质
CN112687042B (zh) 认证方法、认证装置和电子设备
CN109887195A (zh) 一种自助柜员机的操作方法和***
CN117275138A (zh) 基于自动取款机的身份认证方法、装置、设备和存储介质
CN107094159B (zh) 建立卡片与用户账号对应关系的方法和装置
CN108701306A (zh) 支付认证
JP6349188B2 (ja) ユーザ認証装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20180810

RJ01 Rejection of invention patent application after publication