CN115001817B - 一种离线的身份识别方法、装置及设备 - Google Patents
一种离线的身份识别方法、装置及设备 Download PDFInfo
- Publication number
- CN115001817B CN115001817B CN202210618724.7A CN202210618724A CN115001817B CN 115001817 B CN115001817 B CN 115001817B CN 202210618724 A CN202210618724 A CN 202210618724A CN 115001817 B CN115001817 B CN 115001817B
- Authority
- CN
- China
- Prior art keywords
- execution environment
- target user
- offline
- offline identification
- identity
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/12—Details relating to cryptographic hardware or logic circuitry
- H04L2209/127—Trusted platform modules [TPM]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Health & Medical Sciences (AREA)
- Biomedical Technology (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Collating Specific Patterns (AREA)
Abstract
本说明书实施例公开了一种离线的身份识别方法、装置及设备，该方法应用于终端设备，包括：基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果。
Description
技术领域
本文件涉及计算机技术领域，尤其涉及一种离线的身份识别方法、装置及设备。
背景技术
生物识别已成为很多业务的执行前或执行过程中的一项必不可少的流程，以移动支付业务为例，生物识别是其中必不可少的一环，移动支付作为当前人们使用频率最高的支付方式之一，为人们的资源流通提供了便利，但是，移动支付需要网络支持，如何在离线或网络信号较弱的情况下安全的进行移动支付，成为人们急需解决的问题。而在解决离线支付问题时，离线的身份识别手段成为迫切需要解决的问题。为此，需要提供一种更便捷的、更安全的离线身份识别方式。
发明内容
本说明书实施例的目的是提供一种更便捷的、更安全的离线身份识别方式。
为了实现上述技术方案，本说明书实施例是这样实现的：
本说明书实施例提供的一种离线的身份识别方法，应用于终端设备，所述方法包括：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用。在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供的一种离线的身份识别方法，应用于终端设备，所述方法包括：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中。在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供的一种离线的身份识别***，所述***包括终端设备和第一服务器，其中：所述终端设备，被配置为基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果，基于所述验签结果确定对所述目标用户的离线身份识别结果。所述第一服务器，被配置为与所述终端设备中的所述可信执行环境中的第一离线识别可信应用同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例提供的一种离线的身份识别装置，所述装置包括：信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用。校验模块，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。验签模块，在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果。离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供的一种离线的身份识别装置，所述装置包括：信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中。校验模块，在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。验签模块，在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果。离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供的一种离线的身份识别设备，所述离线的身份识别设备包括：处理器；以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用。在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供的一种离线的身份识别设备，所述离线的身份识别设备包括：处理器；以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中。在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例还提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被处理器执行时实现以下流程：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用。在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例还提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被处理器执行时实现以下流程：基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中。在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据。在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果。基于所述验签结果确定对所述目标用户的离线身份识别结果。
附图说明
为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本说明书一种离线的身份识别方法实施例；
图2为一种TEE与REE的结构示意图；
图3为本说明书另一种离线的身份识别过程的示意图；
图4为本说明书另一种离线的身份识别方法实施例；
图5为本说明书又一种离线的身份识别过程的示意图；
图6为本说明书一种离线的身份识别***的结构示意图；
图7为本说明书一种离线的身份识别装置实施例；
图8为本说明书另一种离线的身份识别装置实施例；
图9为本说明书一种离线的身份识别设备实施例。
具体实施方式
本说明书实施例提供一种离线的身份识别方法、装置及设备。
为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。
实施例一
如图1所示，本说明书实施例提供一种离线的身份识别方法，该方法的执行主体可以为终端设备，其中，该终端设备可以如手机、平板电脑等移动终端设备，还可以如笔记本电脑或台式电脑等计算机设备，或者，也可以为IoT设备(具体如智能手表、车载设备等)等。该终端设备中可以设置有可信执行环境，该可信执行环境可以是TEE(Trusted ExecutionEnvironment)，该可信执行环境可以通过预定的编程语言编写的程序来实现(即可以是以软件的形式实现)，也可以通过硬件设备和预先编写的程序共同实现(即可以是以硬件+软件的形式实现)等，该可信执行环境可以为进行数据处理的安全运行环境。该方法具体可以包括以下步骤：
在步骤S102中，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果对目标用户的身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用。
其中，目标用户可以是任意用户，如上述终端设备的拥有者，目标用户可以通过该终端设备发起生物识别请求。用户生物信息可以包括多种，例如用户的指纹信息、掌纹信息、面部信息或虹膜信息等，在实际应用中，上述用户生物信息的承载体可以包括多种，例如可以通过图像的方式承载上述各种用户生物信息等，具体可以根据实际情况设定，本说明书实施例对此不做限定。基准用户生物信息可以是预先录入并存储于终端设备中的用户生物信息，基准用户生物信息可以包括一个或多个，具体可以根据实际情况设定。可信执行环境可以是安全并与其它环境相隔离的数据处理环境，即在可信执行环境中执行的处理，以及数据处理的过程中产生的数据等无法被可执行环境外的其它执行环境或应用程序所访问。如图2所示，可信执行环境可以通过创建一个可以在可信区域(如TrustZone等)中独立运行的小型操作***实现，可信执行环境可以以***调用(如由TrustZone内核直接处理)的方式直接提供的服务。设备中可以包括REE(通用执行环境)和可信执行环境，REE下可以运行终端设备安装的操作***，如Android操作***、iOS操作***、Windows操作***、Linux操作***等，REE的特点可包括如功能强大，开放性和扩展性较好等，可以为上层应用程序提供该设备的所有功能，比如摄像功能，触控功能等，但是，REE中存在很多安全隐患，例如，操作***可以获得某应用程序的所有数据，但很难验证该操作***或该应用程序是否被篡改，如果被篡改，则用户的信息将存在很大的安全隐患，针对于此，就需要设备中的可信执行环境进行处理。可信执行环境具有其自身的执行空间，也即是在可信执行环境下也存在一个操作***，可信执行环境比REE的安全级别更高，可信执行环境所能访问的该设备中的软件和硬件资源是与REE分离的，但可信执行环境可以直接获取REE的信息，而REE不能获取可信执行环境的信息。可信执行环境可以通过提供的接口来进行验证等处理，从而保证用户信息(如支付信息、用户隐私信息等)不会被篡改、密码不会被劫持、指纹或面部等信息不会被盗用。第一离线识别可信应用可以是预先设定的、可以用于在离线生物识别的过程中进行数据处理和数据传输，且具有向可信执行环境传递数据的权限的应用，第一离线识别可信应用可以是需要安装在终端设备中的应用程序，也可以是预先植入终端设备某硬件装置中的代码程序，还可以是以插件的形式设置于终端设备的操作***的后台运行的程序等，第一离线识别可信应用可以是具有指定权限的部件或组件(如可信执行环境对应的组件或中央处理器等)才能够调用的应用，具体可以根据实际情况设定。第二离线识别可信应用与第一离线识别可信应用类似，在此不再赘述，本说明书实施例中，第一离线识别可信应用可以是预先设置于终端设备的可信执行环境中的针对离线场景的可信应用，第二离线识别可信应用可以是与IFAA联盟所提供的功能相对应的可信应用。
在实施中，生物识别已成为很多业务的执行前或执行过程中的一项必不可少的流程，以移动支付业务为例，生物识别是其中必不可少的一环，移动支付作为当前人们使用频率最高的支付方式之一，为人们的资源流通提供了便利，但是，移动支付需要网络支持，如何在离线或网络信号较弱的情况下安全的进行移动支付，成为人们急需解决的问题。而在解决离线支付问题时，离线的生物识别手段成为迫切需要解决的问题。为此，需要提供一种更便捷的、更安全的生物识别方式。本说明书实施例提供一种可实现的技术方案，具体可以包括以下内容：
当前，IFAA联盟提供了一个安全、通用、开放的金融级本地生物认证解决方案，但是，上述解决方案从上线以来，其从端侧到云侧的解决方案，一直无法很好的解决离线场景下的生物识别。且当前的很多离线支付方案，均采用***api进行生物识别和验证，而对于新增生物信息、hook处理等情况下的攻击，上述方式将无法进行防范，因此，在离线场景下的金融级生物识别解决方案，就显得十分迫切。
当目标用户需要进行移动支付时，可以通过终端设备启动进行移动支付的应用程序，通过该应用程序可以获取支付页面，该支付页面中可以包括输入框、确认按键和取消按键等，目标用户可以在输入框中输入需要支付的金额，输入完成后，可以点击确认按键，此时，终端设备可以获取输入框中的信息，并可以启动生物信息采集组件(具体如指纹采集组件、摄像组件等)，基于生物信息采集组件获取目标用户的用户生物信息，此外还可以获取预先存储的基准用户生物信息，可以基于基准用户生物信息发起生物识别处理，具体地，可以将基准用户生物信息与采集的用户生物信息进行比匹配，如果两者匹配，则可以确定目标用户的身份识别通过，否则，可以确定目标用户的身份识别未通过，此时，可以拒绝支付。
如果对目标用户的身份识别通过，则可以在终端设备的可信执行环境中继续进行离线生物识别处理，具体地，终端设备的可信执行环境中可以设置有进行离线生物识别处理的可信应用，即第一离线识别可信应用和第二离线识别可信应用，此时，可信执行环境中的第一离线识别可信应用可以从终端设备中获取用户生物信息，并可以将用户生物信息传递至可信执行环境中的第二离线识别可信应用。
在步骤S104中，在可信执行环境中，通过第二离线识别可信应用基于用户生物信息，对目标用户的身份进行校验，如果对目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的业务密钥对该鉴权数据进行签名处理，得到签名后的鉴权数据。
其中，鉴权数据可以用于验证目标用户是否拥有进行离线的生物识别的权利，鉴权数据中可以包括目标用户的标识、用户生物信息、目标用户具有进行离线的生物识别处理的权限的相关信息等中的一项或多项。业务密钥可以是预先为目标用户进行离线生物识别而生成的密钥，该业务密钥可以基于指定的密钥生成规则生成，具体可以根据实际情况设定，本说明书实施例对此不做限定。
在实施中，在可信执行环境中，第二离线识别可信应用可以获取预先存储的基准用户生物信息，然后可以将该用户生物信息与基准用户生物信息进行匹配，以对目标用户的身份进行校验，如果两者相匹配，则确定目标用户身份校验成功，如果两者不匹配，则确定目标用户身份校验失败，此时，可以终止支付处理。如果确定目标用户身份校验成功，则可以获取上述身份校验过程中产生的数据，并可以基于上述数据创建鉴权数据，并使用预先存储的业务密钥对该鉴权数据进行签名处理，得到签名后的鉴权数据。
在步骤S106中，在可信执行环境中，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，得到验签结果。
在实施中，在可信执行环境中，第二离线识别可信应用可以将签名后的鉴权数据传递至第一离线识别可信应用进行鉴权处理，此时，在可信执行环境中，第一离线识别可信应用可以对签名后的鉴权数据进行验签处理，得到相应的验签结果，其中，如果第一离线识别可信应用对签名后的鉴权数据进行验证签名的结果为验证成功，则相应的验证结果为验证通过，如果第一离线识别可信应用对签名后的鉴权数据进行验证签名的结果为验证失败，则相应的验证结果为验证失败，此时，可以终止支付处理。
在步骤S108中，基于验签结果确定对目标用户的离线身份识别结果。
在实施中，如果验证结果为验证通过，则可以确定对目标用户的离线身份识别结果为通过，如果验证结果为验证失败，则可以确定对目标用户的离线身份识别结果为失败，此时，可以终止支付处理。
本说明书实施例提供一种离线的身份识别方法，应用于终端设备，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例二
如图3所示，本说明书实施例提供一种离线的身份识别方法，该方法的执行主体可以为终端设备，其中，该终端设备可以如手机、平板电脑等移动终端设备，还可以如笔记本电脑或台式电脑等计算机设备，或者，也可以为IoT设备(具体如智能手表、车载设备等)等。该终端设备中可以设置有可信执行环境，该可信执行环境可以是TEE(Trusted ExecutionEnvironment)，该可信执行环境可以通过预定的编程语言编写的程序来实现(即可以是以软件的形式实现)，也可以通过硬件设备和预先编写的程序共同实现(即可以是以硬件+软件的形式实现)等，该可信执行环境可以为进行数据处理的安全运行环境。该方法具体可以包括以下步骤：
在步骤S302中，基于预先存储的基准用户生物信息向可信执行环境中的第二离线识别可信应用发起注册请求。
在实施中，为了将原本在线的生物核身方案实现离线化，本实施例通过终端设备的可信执行环境，并借助可信执行环境的安全性，将在线的生物核身方案实现了离线化，具体地，在进行离线化的生物核身之前，可以在该终端设备中预先设置能够实现离线的生物核身处理的SDK(Software Development Kit，软件开发工具包)，通过该终端设备中的SDK可以进行离线的生物识别处理。此外，还需要对离线的生物核身处理进行注册，基于此，该终端设备中的SDK可以获取存储于终端设备中的基准用户生物信息(可以是预先经过用户授权而录入终端设备中)，并可以基于基准用户生物信息向可信执行环境中的第二离线识别可信应用发起注册请求。
在步骤S304中，在可信执行环境中，生成业务密钥对，并使用根密钥对该业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，该业务密钥对中包括第一业务密钥和第二业务密钥。
其中，业务密钥对可以是针对不同的业务而构建的密钥对，业务密钥对中的可以包括两个业务密钥，两个业务密钥可以相互对应，例如，两个业务密钥分别为业务公钥和业务私钥，或者，可以是与公钥、私钥的关系相同或相似的密钥对等，具体可以根据实际情况设定，本说明书实施例对此不做限定。第二业务密钥可以是业务公钥，也可以是业务私钥，具体可以根据实际情况设定。第一业务密钥可以是业务私钥，也可以是业务公钥，具体可以根据实际情况设定。
在实际应用中，注册请求可以是经过签名处理的请求，基于此，上述在可信执行环境中，生成业务密钥对的处理可以多种多样，以下提供一种可选的处理方式，具体可以包括以下内容：在可信执行环境中，对该注册请求进行验签处理，如果验签通过，则生成业务密钥对。
在步骤S306中，从可信执行环境中获取签名后的业务密钥和根密钥的信息。
在步骤S308中，将签名后的业务密钥和根密钥的信息发送给第二服务器，该签名后的业务密钥和根密钥的信息用于触发第二服务器对签名后的业务密钥进行验签处理，如果验签通过，则存储第二业务密钥，并向终端设备发送注册成功的通知消息。
其中，第二服务器可以是IFAA联盟对应的服务器，第二服务器可以用于对签名后的业务密钥进行验签，并可以存储业务公钥和基准用户生物信息等信息，具体可以根据实际情况设定。
在实施中，终端设备可以将签名后的业务密钥和根密钥的信息发送给第二服务器，第二服务器可以验证请求证书，同时，可以对签名后的业务密钥进行验签处理，如果验证请求证书通过，且验签通过，则存储第二业务密钥，并向终端设备发送注册成功的通知消息。
在步骤S310中，如果接收到注册成功的通知消息，则向第一服务器发送离线业务开通请求，该开通请求用于触发第一服务器向第二服务器查询目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取第二服务器中存储的第二业务密钥和基准用户生物信息，并将第二业务密钥和基准用户生物信息发送给终端设备中的可信执行环境中的第一离线识别可信应用。
其中，第一服务器可以是用于进行离线的生物识别处理的服务器。目标用户开通离线身份识别所需的相关信息可以包括如第二业务密钥、基准用户生物信息，如果基准用户生物信息为指纹信息，则除了可以包括指纹信息外，还可以包括该指纹信息对应的手指的标识(即指位的信息，用于标记当前的指纹信息是哪个指纹信息)等，具体可以根据实际情况设定。
在步骤S312中，通过可信执行环境中的第一离线识别可信应用获取第二业务密钥和基准用户生物信息。
在步骤S314中，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别。
其中，用户生物信息可以包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
在步骤S316中，如果对目标用户的身份识别通过，则对用户生物信息进行签名处理，得到签名后的用户生物信息。
在步骤S318中，将签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用。
在步骤S320中，在可信执行环境中，对签名后的用户生物信息进行验签处理，如果验签通过，则通过第二离线识别可信应用基于用户生物信息，对目标用户的身份进行校验。
在步骤S322中，如果对目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对鉴权数据进行签名处理，得到签名后的鉴权数据。
在步骤S324中，在可信执行环境中，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，得到验签结果。
需要说明的是，还可以通过第一离线识别可信应用对指位的信息进行验证(在用户生物信息为指纹信息的情况下)，得到验证结果，如果验证通过且验签通过，则对目标用户的离线身份识别通过，否则，对目标用户的离线身份识别失败。
在步骤S326中，基于验签结果确定对目标用户的离线身份识别结果。
在步骤S328中，通过可信执行环境中的第一离线识别可信应用向第一服务器同步目标用户进行离线身份识别过程中的相关数据。
需要说明的是，第一离线识别可信应用与可信执行环境中的第二离线识别可信应用之间交互的数据的格式可以为TLV格式，终端设备与第二服务器之间交互的数据的格式可以为TLV格式，第二服务器与第一服务器之间交互的数据的格式可以为TLV格式。
本说明书实施例提供一种离线的身份识别方法，应用于终端设备，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例三
如图4所示，本说明书实施例提供一种离线的身份识别方法，该方法的执行主体可以为终端设备，其中，该终端设备可以如手机、平板电脑等移动终端设备，还可以如笔记本电脑或台式电脑等计算机设备，或者，也可以为IoT设备(具体如智能手表、车载设备等)等。该终端设备中可以设置有可信执行环境，该可信执行环境可以是TEE(Trusted ExecutionEnvironment)，该可信执行环境可以通过预定的编程语言编写的程序来实现(即可以是以软件的形式实现)，也可以通过硬件设备和预先编写的程序共同实现(即可以是以硬件+软件的形式实现)等，该可信执行环境可以为进行数据处理的安全运行环境。该方法具体可以包括以下步骤：
在步骤S402中，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果对目标用户的身份识别通过，则将用户生物信息通过可信执行环境中的离线识别可信应用传递至可信执行环境中。
在实施中，本实施中，可以将上述实施例中涉及的第一服务器和第二服务器融合为一个服务器，将可以将第一服务器所具有的功能和第二服务器所具有的功能融合到该服务器中，使得该服务器同时具有第一服务器和第二服务器所具有的功能，同时，也可以将第一离线识别可信应用和第二离线识别可信应用融合为一个离线识别可信应用，将可以将第一离线识别可信应用所具有的功能和第二离线识别可信应用所具有的功能融合到该离线识别可信应用中，使得该离线识别可信应用同时具有第一离线识别可信应用和第二离线识别可信应用所具有的功能。基于此，可以参见上述实施例中的相关内容，执行步骤S402～步骤S408的处理。
在步骤S404中，在可信执行环境中，通过离线识别可信应用基于用户生物信息，对目标用户的身份进行校验，如果对目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对鉴权数据进行签名处理，得到签名后的鉴权数据。
在步骤S406中，在可信执行环境中，对签名后的鉴权数据进行验签处理，得到验签结果。
在步骤S408中，基于上述验签结果确定对目标用户的离线身份识别结果。
上述步骤S402～步骤S408的具体处理过程可以参见上述相关内容，在此不再赘述。
本说明书实施例提供一种离线的身份识别方法，应用于服务器，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例四
如图5所示，本说明书实施例提供一种离线的身份识别方法，该方法的执行主体可以为终端设备，其中，该终端设备可以如手机、平板电脑等移动终端设备，还可以如笔记本电脑或台式电脑等计算机设备，或者，也可以为IoT设备(具体如智能手表、车载设备等)等。该终端设备中可以设置有可信执行环境，该可信执行环境可以是TEE(Trusted ExecutionEnvironment)，该可信执行环境可以通过预定的编程语言编写的程序来实现(即可以是以软件的形式实现)，也可以通过硬件设备和预先编写的程序共同实现(即可以是以硬件+软件的形式实现)等，该可信执行环境可以为进行数据处理的安全运行环境。该方法具体可以包括以下步骤：
在步骤S502中，基于预先存储的基准用户生物信息向可信执行环境中的离线识别可信应用发起注册请求。
在步骤S504中，在可信执行环境中，生成业务密钥对，并使用根密钥对该业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，该业务密钥对中包括第一业务密钥和第二业务密钥。
其中，第二业务密钥可以是业务公钥，也可以是业务私钥，具体可以根据实际情况设定。第一业务密钥可以是业务私钥，也可以是业务公钥，具体可以根据实际情况设定。
在实际应用中，注册请求可以是经过签名处理的请求，基于此，上述在可信执行环境中，生成业务密钥对的处理可以多种多样，以下提供一种可选的处理方式，具体可以包括以下内容：在可信执行环境中，对该注册请求进行验签处理，如果验签通过，则生成业务密钥对。
在步骤S506中，从可信执行环境中获取签名后的业务密钥和根密钥的信息。
在步骤S508中，将签名后的业务密钥和根密钥的信息发送给服务器，该签名后的业务密钥和根密钥的信息用于触发服务器对签名后的业务密钥进行验签处理，如果验签通过，则存储第二业务密钥，并向终端设备发送注册成功的通知消息。
在步骤S510中，如果接收到注册成功的通知消息，则向服务器发送离线业务开通请求，该开通请求用于触发服务器查询目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取存储的第二业务密钥和基准用户生物信息，并将第二业务密钥和基准用户生物信息发送给终端设备中的可信执行环境中的离线识别可信应用。
在步骤S512中，通过可信执行环境中的离线识别可信应用获取第二业务密钥和基准用户生物信息。
在步骤S514中，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别。
在步骤S516中，如果对目标用户的身份识别通过，则对用户生物信息进行签名处理，得到签名后的用户生物信息。
在步骤S518中，将签名后的用户生物信息通过可信执行环境中的离线识别可信应用传递至可信执行环境中。
在步骤S520中，在可信执行环境中，对签名后的用户生物信息进行验签处理，如果验签通过，则通过离线识别可信应用基于用户生物信息，对目标用户的身份进行校验。
在步骤S522中，如果对目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对鉴权数据进行签名处理，得到签名后的鉴权数据。
在步骤S524中，在可信执行环境中，通过离线识别可信应用对签名后的鉴权数据进行验签处理，得到验签结果。
在步骤S526中，基于验签结果确定对目标用户的离线身份识别结果。
在步骤S528中，通过可信执行环境中的离线识别可信应用向服务器同步目标用户进行离线身份识别过程中的相关数据。
需要说明的是，终端设备与服务器之间交互的数据的格式可以为TLV格式。
本说明书实施例提供一种离线的身份识别方法，应用于服务器，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例五
如图6所示，本说明书实施例提供一种离线的身份识别***，该***中包括终端设备和第一服务器，其中，该终端设备可以如手机、平板电脑等一定终端设备，还可以如笔记本电脑或台式电脑等计算机设备，或者，也可以为IoT设备(具体如智能手表、车载设备等)等。第一服务器可以是独立的一个服务器，还可以是由多个服务器构成的服务器集群等，第一服务器可以是如金融业务或网络购物业务等的后台服务器，也可以是某应用程序的后台服务器等。其中：
所述终端设备，被配置为基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果，基于所述验签结果确定对所述目标用户的离线身份识别结果；
所述第一服务器，被配置为与所述终端设备中的所述可信执行环境中的第一离线识别可信应用同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例中，所述***还包括第二服务器，
所述第二服务器，被配置为存储与所述第一业务密钥对应的第二业务密钥和所述用户生物信息。
本说明书实施例中，所述用户生物信息包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
本说明书实施例中，所述终端设备，被配置为对所述用户生物信息进行签名处理，得到签名后的用户生物信息；将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
所述终端设备，被配置为在所述可信执行环境中，对所述签名后的用户生物信息进行验签处理，如果验签通过，则通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验。
本说明书实施例中，所述终端设备，被配置为通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例中，所述终端设备，被配置为基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器；
所述第二服务器，被配置为对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
所述终端设备，被配置为如果接收到注册成功的通知消息，则向所述第二服务器发送离线业务开通请求；
所述第二服务器，被配置为向所述第一服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第一服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
所述终端设备，被配置为通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
本说明书实施例中，所述终端设备，被配置为在所述可信执行环境中，对所述注册请求进行验签处理，如果验签通过，则生成业务密钥对。
本说明书实施例中，所述第一离线识别可信应用与所述可信执行环境中的第二离线识别可信应用之间、所述终端设备与所述第二服务器之间、所述第二服务器与所述第一服务器之间交互的数据的格式为TLV格式。
上述各个部分的具体处理过程可以参见上述相关内容，在此不再赘述。
本说明书实施例提供一种离线的身份识别***，终端设备基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例六
基于同样的思路，本说明书实施例还提供一种离线的身份识别装置，如图7所示。
该离线的身份识别装置包括：信息处理模块701、校验模块702、验签模块703和离线识别模块704，其中：
信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
校验模块，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
验签模块，在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例中，所述用户生物信息包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
本说明书实施例中，所述信息处理模块，包括：
签名单元，对所述用户生物信息进行签名处理，得到签名后的用户生物信息；
处理单元，将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
所述校验模块，在所述可信执行环境中，对所述签名后的用户生物信息进行验签处理，如果验签通过，则通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验。
本说明书实施例中，所述装置还包括：
同步模块，通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例中，所述装置还包括：
注册请求模块，基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；
密钥签名模块，在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；
信息获取模块，从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；
信息发送模块，将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器，所述签名后的业务密钥和所述根密钥的信息用于触发所述第二服务器对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
开通模块，如果接收到注册成功的通知消息，则向所述第二服务器发送离线业务开通请求，所述开通请求用于触发所述第二服务器向所述第一服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第一服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
业务密钥获取模块，通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
本说明书实施例中，所述密钥签名模块，在所述可信执行环境中，对所述注册请求进行验签处理，如果验签通过，则生成业务密钥对。
本说明书实施例中，所述第一离线识别可信应用与所述可信执行环境中的第二离线识别可信应用之间、所述终端设备与所述第二服务器之间、所述第二服务器与所述第一服务器之间交互的数据的格式为TLV格式。
本说明书实施例提供一种离线的身份识别装置，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例七
基于同样的思路，本说明书实施例还提供一种离线的身份识别装置，如图8所示。
该离线的身份识别装置包括：信息处理模块801、身份校验模块802、数据验签模块803和离线识别模块804，其中：
信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
身份校验模块，在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
数据验签模块，在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供一种离线的身份识别装置，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例八
以上为本说明书实施例提供的离线的身份识别装置，基于同样的思路，本说明书实施例还提供一种离线的身份识别设备，如图9所示。
所述离线的身份识别设备可以为上述实施例提供终端设备或服务器等。
离线的身份识别设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上的处理器901和存储器902，存储器902中可以存储有一个或一个以上存储应用程序或数据。其中，存储器902可以是短暂存储或持久存储。存储在存储器902的应用程序可以包括一个或一个以上模块(图示未示出)，每个模块可以包括对离线的身份识别设备中的一系列计算机可执行指令。更进一步地，处理器901可以设置为与存储器902通信，在离线的身份识别设备上执行存储器902中的一系列计算机可执行指令。离线的身份识别设备还可以包括一个或一个以上电源903，一个或一个以上有线或无线网络接口904，一个或一个以上输入输出接口905，一个或一个以上键盘906。
具体在本实施例中，离线的身份识别设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对离线的身份识别设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例中，所述用户生物信息包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
本说明书实施例中，所述将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，包括：
对所述用户生物信息进行签名处理，得到签名后的用户生物信息；
将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
所述在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，包括：
在所述可信执行环境中，对所述签名后的用户生物信息进行验签处理，如果验签通过，则通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验。
本说明书实施例中，还包括：
通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例中，还包括：
基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；
在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；
从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；
将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器，所述签名后的业务密钥和所述根密钥的信息用于触发所述第二服务器对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
如果接收到注册成功的通知消息，则向所述第二服务器发送离线业务开通请求，所述开通请求用于触发所述第二服务器向所述第一服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第一服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
本说明书实施例中，所述注册请求是经过签名处理的请求，所述在所述可信执行环境中，生成业务密钥对，包括：
在所述可信执行环境中，对所述注册请求进行验签处理，如果验签通过，则生成业务密钥对。
本说明书实施例中，所述第一离线识别可信应用与所述可信执行环境中的第二离线识别可信应用之间、所述终端设备与所述第二服务器之间、所述第二服务器与所述第一服务器之间交互的数据的格式为TLV格式。
具体在本实施例中，离线的身份识别设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对离线的身份识别设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供一种离线的身份识别设备，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
实施例九
进一步地，基于上述图1到图5所示的方法，本说明书一个或多个实施例还提供了一种存储介质，用于存储计算机可执行指令信息，一种具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令信息在被处理器执行时，能实现以下流程：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例中，所述用户生物信息包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
本说明书实施例中，所述将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，包括：
对所述用户生物信息进行签名处理，得到签名后的用户生物信息；
将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
所述在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，包括：
在所述可信执行环境中，对所述签名后的用户生物信息进行验签处理，如果验签通过，则通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验。
本说明书实施例中，还包括：
通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户进行离线身份识别过程中的相关数据。
本说明书实施例中，还包括：
基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；
在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；
从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；
将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器，所述签名后的业务密钥和所述根密钥的信息用于触发所述第二服务器对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
如果接收到注册成功的通知消息，则向所述第二服务器发送离线业务开通请求，所述开通请求用于触发所述第二服务器向所述第一服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第一服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
本说明书实施例中，所述注册请求是经过签名处理的请求，所述在所述可信执行环境中，生成业务密钥对，包括：
在所述可信执行环境中，对所述注册请求进行验签处理，如果验签通过，则生成业务密钥对。
本说明书实施例中，所述第一离线识别可信应用与所述可信执行环境中的第二离线识别可信应用之间、所述终端设备与所述第二服务器之间、所述第二服务器与所述第一服务器之间交互的数据的格式为TLV格式。
此外，在另一种具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令信息在被处理器执行时，能实现以下流程：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
本说明书实施例提供一种存储介质，基于基准用户生物信息和目标用户的用户生物信息，对目标用户的身份进行识别，如果身份识别通过，则将用户生物信息通过可信执行环境中的第一离线识别可信应用传递至可信执行环境中的第二离线识别可信应用；在可信执行环境中，通过第二离线识别可信应用对目标用户的身份进行校验，如果身份校验通过，则创建鉴权数据，并使用第一业务密钥对鉴权数据进行签名处理，通过第二离线识别可信应用将签名后的鉴权数据传递至第一离线识别可信应用，并通过第一离线识别可信应用对签名后的鉴权数据进行验签处理，基于验签结果确定对目标用户的离线身份识别结果，这样，将在线生物核身进行离线化，使得离线场景下的生物核身不再是单纯的***接口层次校验，在离线场景下，攻击者即使知道了被攻击者的解锁密码，也无法录入用户生物信息，无法完成后续支付和其它验证，而且，通过可信执行环境的安全性，完成了生物核身的验证处理，实现了服务器功能终端化的应用。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device，PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字***“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。
控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。
上述实施例阐明的***、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书一个或多个实施例时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
本领域内的技术人员应明白，本说明书的实施例可提供为方法、***、或计算机程序产品。因此，本说明书一个或多个实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本说明书一个或多个实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本说明书的实施例是参照根据本说明书实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程欺诈案例的串并设备的处理器以产生一个机器，使得通过计算机或其他可编程欺诈案例的串并设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程欺诈案例的串并设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程欺诈案例的串并设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传递介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本说明书的实施例可提供为方法、***或计算机程序产品。因此，本说明书一个或多个实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书一个或多个实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本说明书一个或多个实施例可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书一个或多个实施例，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于***实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本说明书的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。
Claims (17)
1.一种离线的身份识别方法，应用于终端设备，所述方法包括：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
2.根据权利要求1所述的方法，所述用户生物信息包括指纹信息、面部信息、掌纹信息、虹膜信息中的一种或多种。
3.根据权利要求1所述的方法，所述将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，包括：
对所述用户生物信息进行签名处理，得到签名后的用户生物信息；
将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
所述在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，包括：
在所述可信执行环境中，对所述签名后的用户生物信息进行验签处理，如果验签通过，则通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验。
4.根据权利要求1-3中任一项所述的方法，所述方法还包括：
通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户进行离线身份识别过程中的相关数据。
5.根据权利要求1-3中任一项所述的方法，所述方法还包括：
基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；
在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；
从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；
将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器，所述签名后的业务密钥和所述根密钥的信息用于触发所述第二服务器对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
如果接收到注册成功的通知消息，则向第一服务器发送离线业务开通请求，所述开通请求用于触发所述第一服务器向所述第二服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第二服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
6.根据权利要求5所述的方法，所述注册请求是经过签名处理的请求，所述在所述可信执行环境中，生成业务密钥对，包括：
在所述可信执行环境中，对所述注册请求进行验签处理，如果验签通过，则生成业务密钥对。
7.根据权利要求6所述的方法，所述第一离线识别可信应用与所述可信执行环境中的第二离线识别可信应用之间、所述终端设备与所述第二服务器之间、所述第二服务器与所述第一服务器之间交互的数据的格式为TLV格式。
8.一种离线的身份识别***，所述***包括终端设备和第一服务器，其中：
所述终端设备，被配置为基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果，基于所述验签结果确定对所述目标用户的离线身份识别结果；
所述第一服务器，被配置为与所述终端设备中的所述可信执行环境中的第一离线识别可信应用同步所述目标用户进行离线身份识别过程中的相关数据。
9.根据权利要求8所述的***，所述***还包括第二服务器，
所述第二服务器，被配置为存储与所述第一业务密钥对应的第二业务密钥和所述用户生物信息。
10.根据权利要求8所述的***，所述终端设备，被配置为基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求；在所述可信执行环境中，生成业务密钥对，并使用根密钥对所述业务密钥对中的第二业务密钥进行签名处理，得到签名后的业务密钥，所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥；从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息；将所述签名后的业务密钥和所述根密钥的信息发送给第二服务器；
所述第二服务器，被配置为对所述签名后的业务密钥进行验签处理，如果验签通过，则存储所述第二业务密钥，并向所述终端设备发送注册成功的通知消息；
所述终端设备，被配置为如果接收到注册成功的通知消息，则向所述第二服务器发送离线业务开通请求；
所述第二服务器，被配置为向所述第一服务器查询所述目标用户开通离线身份识别所需的相关信息，如果能够查询到，则获取所述第一服务器中存储的所述第二业务密钥和所述基准用户生物信息，并将所述第二业务密钥和所述基准用户生物信息发送给所述终端设备中的可信执行环境中的第一离线识别可信应用；
所述终端设备，被配置为通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用户生物信息。
11.一种离线的身份识别方法，应用于终端设备，所述方法包括：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
12.一种离线的身份识别装置，所述装置包括：
信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
校验模块，在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
验签模块，在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
13.一种离线的身份识别装置，所述装置包括：
信息处理模块，基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
校验模块，在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
验签模块，在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
离线识别模块，基于所述验签结果确定对所述目标用户的离线身份识别结果。
14.一种离线的身份识别设备，所述离线的身份识别设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
15.一种离线的身份识别设备，所述离线的身份识别设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
16.一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被处理器执行时实现以下流程：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第二离线识别可信应用；
在所述可信执行环境中，通过所述第二离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一离线识别可信应用，并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
17.一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被处理器执行时实现以下流程：
基于预先存储的基准用户生物信息和目标用户的用户生物信息，对所述目标用户的身份进行识别，如果对所述目标用户的身份识别通过，则将所述用户生物信息通过可信执行环境中的离线识别可信应用传递至所述可信执行环境中；
在所述可信执行环境中，通过所述离线识别可信应用基于所述用户生物信息，对所述目标用户的身份进行校验，如果对所述目标用户的身份校验通过，则创建鉴权数据，并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理，得到签名后的鉴权数据；
在所述可信执行环境中，对所述签名后的鉴权数据进行验签处理，得到验签结果；
基于所述验签结果确定对所述目标用户的离线身份识别结果。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210618724.7A CN115001817B (zh) | 2022-06-01 | 2022-06-01 | 一种离线的身份识别方法、装置及设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210618724.7A CN115001817B (zh) | 2022-06-01 | 2022-06-01 | 一种离线的身份识别方法、装置及设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN115001817A CN115001817A (zh) | 2022-09-02 |
| CN115001817B true CN115001817B (zh) | 2023-09-26 |
Family
ID=83031500
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202210618724.7A Active CN115001817B (zh) | 2022-06-01 | 2022-06-01 | 一种离线的身份识别方法、装置及设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN115001817B (zh) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115603943A (zh) * | 2022-09-07 | 2023-01-13 | 支付宝（杭州）信息技术有限公司（Cn） | 一种离线身份验证的方法、装置、存储介质及电子设备 |
| CN115941336A (zh) * | 2022-12-12 | 2023-04-07 | 支付宝(杭州)信息技术有限公司 | 数据的处理方法、装置及设备 |
Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106056380A (zh) * | 2016-05-27 | 2016-10-26 | 深圳市雪球科技有限公司 | 移动支付风险控制***以及移动支付风险控制方法 |
| CN106875186A (zh) * | 2016-06-20 | 2017-06-20 | 阿里巴巴集团控股有限公司 | 一种离线支付方法和装置 |
| CN107612940A (zh) * | 2017-10-31 | 2018-01-19 | 飞天诚信科技股份有限公司 | 一种身份认证方法及认证装置 |
| CN107832670A (zh) * | 2017-10-11 | 2018-03-23 | 广东欧珀移动通信有限公司 | 人脸识别方法及相关产品 |
| CN108400989A (zh) * | 2018-03-01 | 2018-08-14 | 北京东方英卡数字信息技术有限公司 | 一种共享资源身份认证的安全认证设备、方法及*** |
| CN112039901A (zh) * | 2020-09-02 | 2020-12-04 | 联仁健康医疗大数据科技股份有限公司 | 一种数据传输的方法、装置及*** |
| CN113239853A (zh) * | 2021-05-27 | 2021-08-10 | 支付宝(杭州)信息技术有限公司 | 一种基于隐私保护的生物识别方法、装置及设备 |
| CN113591057A (zh) * | 2021-08-05 | 2021-11-02 | 国民认证科技（北京）有限公司 | 生物特征离线身份识别方法及*** |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8438385B2 (en) * | 2008-03-13 | 2013-05-07 | Fujitsu Limited | Method and apparatus for identity verification |
| KR102616421B1 (ko) * | 2018-11-02 | 2023-12-21 | 삼성전자주식회사 | 생체 인증을 이용한 결제 방법 및 그 전자 장치 |
-
2022
- 2022-06-01 CN CN202210618724.7A patent/CN115001817B/zh active Active
Patent Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106056380A (zh) * | 2016-05-27 | 2016-10-26 | 深圳市雪球科技有限公司 | 移动支付风险控制***以及移动支付风险控制方法 |
| CN106875186A (zh) * | 2016-06-20 | 2017-06-20 | 阿里巴巴集团控股有限公司 | 一种离线支付方法和装置 |
| CN107832670A (zh) * | 2017-10-11 | 2018-03-23 | 广东欧珀移动通信有限公司 | 人脸识别方法及相关产品 |
| CN107612940A (zh) * | 2017-10-31 | 2018-01-19 | 飞天诚信科技股份有限公司 | 一种身份认证方法及认证装置 |
| CN108400989A (zh) * | 2018-03-01 | 2018-08-14 | 北京东方英卡数字信息技术有限公司 | 一种共享资源身份认证的安全认证设备、方法及*** |
| CN112039901A (zh) * | 2020-09-02 | 2020-12-04 | 联仁健康医疗大数据科技股份有限公司 | 一种数据传输的方法、装置及*** |
| CN113239853A (zh) * | 2021-05-27 | 2021-08-10 | 支付宝(杭州)信息技术有限公司 | 一种基于隐私保护的生物识别方法、装置及设备 |
| CN113591057A (zh) * | 2021-08-05 | 2021-11-02 | 国民认证科技（北京）有限公司 | 生物特征离线身份识别方法及*** |
Non-Patent Citations (1)
| Title |
|---|
| TEE技术应用到智能设备生物识别场景的安全性分析;魏凡星;傅山;王嘉义;余泉;;移动通信(21);全文 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN115001817A (zh) | 2022-09-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN108055132B (zh) | 一种业务授权的方法、装置及设备 | |
| CN115001817B (zh) | 一种离线的身份识别方法、装置及设备 | |
| CN112053161B (zh) | 绑定处理方法、装置及设备 | |
| CN107196901B (zh) | 一种身份注册及认证的方法及装置 | |
| CN113010870B (zh) | 基于数字凭证的业务处理方法、装置及设备 | |
| CN110795501A (zh) | 基于区块链的可验证声明的创建方法、装置、设备及*** | |
| CN113641983B (zh) | 一种应用程序的账户绑定方法、装置及*** | |
| CN110222531B (zh) | 一种访问数据库的方法、***及设备 | |
| CN116340955A (zh) | 一种基于区块链的数据处理方法、装置及设备 | |
| CN110519294B (zh) | 身份认证方法、装置、设备及*** | |
| US20200007334A1 (en) | User authentication using a companion device | |
| CN114491430A (zh) | 一种基于区块链的业务处理方法、装置及设备 | |
| CN112491885B (zh) | 一种电子凭证的传输方法、装置及设备 | |
| CN113221142A (zh) | 授权业务的处理方法、装置、设备及*** | |
| CN116011028B (zh) | 电子签名方法、电子签名设备和电子签名*** | |
| CN115834074B (zh) | 一种身份认证方法、装置及设备 | |
| CN113946260B (zh) | 数据处理方法、装置及设备 | |
| CN113807856B (zh) | 一种资源转移方法、装置及设备 | |
| CN113572827B (zh) | 注册处理方法及装置 | |
| CN115603943A (zh) | 一种离线身份验证的方法、装置、存储介质及电子设备 | |
| CN115640589A (zh) | 一种安全保护设备以及业务执行方法、装置及存储介质 | |
| CN111882321A (zh) | 身份核验处理方法、装置及*** | |
| CN113810413B (zh) | 一种设备账户的处理方法、装置及设备 | |
| CN114867017A (zh) | 一种身份认证方法、装置、设备及*** | |
| CN114428974A (zh) | 服务远程操作方法及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |