TWI722750B - 基於實名認證之ｆｉｄｏ簽章管理系統及其方法 - Google Patents

Abstract

本發明提供一種基於實名認證之FIDO簽章管理系統及其方法，該系統包括使用者裝置、線上應用服務平台、認證平台、FIDO伺服器、實名認證伺服器及雲端簽章伺服器，其中，該認證平台前端介接線上應用服務平台以提供使用介面給使用者，且該認證平台提供簽章管理服務，該認證平台後端介接實名認證伺服器，藉以進行使用者真實身分之驗證，並於完成實名認證作業後由該FIDO伺服器進行FIDO註冊綁定，之後轉導至該雲端簽章伺服器申請使用者軟體憑證，完成後即對資料進行簽章並回傳至該認證平台以供使用者取得簽章資料。

Description

基於實名認證之FIDO簽章管理系統及其方法

本發明係關於簽章管理之技術，尤其指一種基於實名認證之FIDO(Fast IDentity Online)簽章管理系統及其方法。

現今使用者為了方便，常於網路上申辦各項應用服務，因此，服務提供商為了確認使用者身分，身分驗證的步驟是十分重要的一環。目前傳統在身分驗證上通常採用一次性密碼(one-time password，簡稱OTP)的認證，惟此OTP技術主要會產生兩個安全性問題，第一個問題是透過電信通訊基礎發送之簡訊，可能存在被轉導到有心人士之行動裝置上之風險，而第二個問題是使用者之行動裝置上可能被安裝木馬程式攔截簡訊OTP內容，此將導致驗證資訊外洩。

除上述問題外，OTP技術的身分驗證的步驟也是十分繁瑣，對於使用者來說，當申辦不同服務時，往往需要多次的身分驗證，相當不便。由上可知，身分驗證對於資訊安全尤為重要，若不甚被有心人士取得使用者的相關資料，將會帶給使用者莫大的影響。

由此可見，現有採用的OTP技術對於身分驗證仍存在改進空間，因而需要找出一種身分驗證機制，例如是簽章管理，藉以提供使用者安全、便利且快速的身分驗證服務，此將成為本領域技術人員所急欲追求之目標。

本發明之目的係提出一種使用者實名認證機制，且透過多道的驗證以提供使用者更安全且方便、快速的使用簽章管理的服務。

本發明提出一種基於實名認證之FIDO簽章管理系統，係包括：線上應用服務平台，係接收以轉發使用者所提出之具有需簽章之資料的資料簽章請求；認證平台，係接收來自該線上應用服務平台之該資料簽章請求，該認證平台將該資料簽章請求轉導至FIDO認證頁面，以供該使用者透過使用者裝置輸入FIDO註冊綁定之個人資料並由該認證平台發出FIDO認證請求；FIDO伺服器，係接收來自該認證平台之該FIDO認證請求並檢查該使用者之個人資料是否已完成該FIDO註冊綁定，且於該FIDO註冊綁定未完成時，回報該認證平台並由該認證平台轉導至實名認證KYC頁面，以供該使用者透過該使用者裝置輸入該個人資料及認證資料；實名認證伺服器，係用於審核該個人資料及該認證資料之真實性，以於該實名認證伺服器確認該個人資料及該認證資料為真實後，由該認證平台產生一連結條碼以供該使用者下載一FIDO應用程式至該使用者裝置以及產生與該實名認證伺服器中該個人資料具有關聯性之註冊碼給予該使用者裝置，俾於該FIDO應用程式以該個人資料與該註冊碼登入且該FIDO應用程式收集 該使用者裝置之綁定資訊下，由該認證平台比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器取得之個人資料，以於比對正確下進行該FIDO註冊綁定；以及雲端簽章伺服器，係用以執行該資料簽章請求中該資料之簽章，以於完成該FIDO註冊綁定且該認證平台所提供之該個人資料正確下，該雲端簽章伺服器接收來自該認證平台有關使用者軟體憑證之申請，俾於申請完成後，由該雲端簽章伺服器對該資料進行簽章以得到簽章結果，再將該簽章結果或該使用者軟體憑證回傳至該認證平台，其中，該認證平台接收到該簽章結果或該使用者軟體憑證後將其儲存於一資料庫內，且該認證平台產生一授權碼並回呼或回傳至該線上應用服務平台。

本發明復提出一種基於實名認證之FIDO簽章管理方法，係包括；令線上應用服務平台發出使用者所提出之具有需簽章之資料的資料簽章請求；令認證平台接收該線上應用服務平台所發出之該資料簽章請求並將該資料簽章請求轉導至FIDO認證頁面，以供該使用者透過使用者裝置輸入FIDO註冊綁定之個人資料並由該認證平台發出FIDO認證請求；令FIDO伺服器接收該認證平台所發出之該FIDO認證請求並檢查該使用者之個人資料是否已完成該FIDO註冊綁定；於該FIDO註冊綁定未完成時，令該FIDO伺服器回報該認證平台並由該認證平台轉導至實名認證KYC頁面，以供該使用者透過該使用者裝置輸入該個人資料及認證資料；令實名認證伺服器審核該個人資料及該認證資料之真實性，以於該個人資料及該認證資料確認為真實後，由該認證平台產生一連結條碼以供該使用者下載一FIDO應用程式至該使用者裝置以及產生與該實名認證伺服器中該個人資料具有關聯性之註冊碼給予該使用者裝置；於該FIDO應用程式以該個人 資料與該註冊碼登入且該FIDO應用程式收集該使用者裝置之綁定資訊下，令該認證平台比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器取得之個人資料，以於比對正確下進行該FIDO註冊綁定；於完成該FIDO註冊綁定且該認證平台所提供之該個人資料正確下，令該認證平台向雲端簽章伺服器申請使用者軟體憑證，俾於申請完成後，令該雲端簽章伺服器對該資料進行簽章以得到簽章結果，再將該簽章結果或該使用者軟體憑證回傳至該認證平台；以及該認證平台接收該簽章結果或該使用者軟體憑證後將其儲存於一資料庫內，且令該認證平台產生一授權碼並回呼或回傳至該線上應用服務平台。

在一實施例中，於進行該FIDO註冊綁定時，該認證平台傳送該綁定資訊至該FIDO伺服器，以供該FIDO伺服器將該綁定資訊與一亂數結合而產生一FIDO令牌(FIDO Token)，該FIDO伺服器回傳該FIDO令牌至該FIDO應用程式，俾由該FIDO應用程式以該FIDO令牌與該綁定資訊為憑據向該FIDO伺服器發起該FIDO註冊綁定之請求。

在一實施例中，該FIDO伺服器收到該FIDO註冊綁定之請求後，係將該綁定資訊結合該FIDO伺服器內之該亂數以產生另一FIDO令牌，且透過確認該FIDO令牌與該另一FIDO令牌是否相同，以判斷該FIDO令牌之有效性及該FIDO註冊綁定之請求是否合法，俾於該FIDO令牌為有效且該FIDO註冊綁定之請求合法時完成該FIDO註冊綁定，其中，該FIDO伺服器復依據該綁定資訊產生該使用者裝置之一識別碼。

在一實施例中，於該FIDO伺服器接收該FIDO認證請求並檢查該使用者之個人資料為已完成該FIDO註冊綁定時，該FIDO伺服器依據 該FIDO註冊綁定完成時所產生之一識別碼，將該FIDO認證請求推播至該FIDO應用程式，以供該使用者透過該FIDO應用程式向該FIDO伺服器進行FIDO認證作業。

在一實施例中，於該FIDO伺服器進行該FIDO認證作業完成後，係產生一認證結果並回傳至該認證平台，俾於該認證結果確認通過時，由該認證平台向該雲端簽章伺服器提出該資料簽章請求，以於該雲端簽章伺服器對該資料進行簽章後得到該簽章結果，並將該簽章結果回傳至該認證平台。

在一實施例中，於該線上應用服務平台收到該授權碼後，在一有效時間內向該認證平台提出一取得簽章資料之請求，俾於該認證平台比對該取得簽章資料之請求的內容為有效時產生一識別憑據，且回傳該識別憑據至該線上應用服務平台，其中，該取得簽章資料之請求其內容包括服務ID、服務介接密碼、授權碼和回呼網址，而該識別憑據的內容包括該簽章結果。

在一實施例中，該認證平台利用一平台私鑰對該識別憑據進行簽章成為識別憑據簽章，該線上應用服務平台於收到來自該認證平台之認證平台憑證、該識別憑據與該識別憑據簽章後，利用該認證平台憑證內一平台公鑰驗證該識別憑據簽章，藉以取得該識別憑據內的簽章資料。

綜上所述，本發明提供一種基於實名認證之FIDO簽章管理系統及其方法，有別於現今技術使用OTP認證所造成之簡訊被竊取，或是使用者裝置被安裝木馬程式攔截簡訊OTP內容等狀況，而有驗證資訊外洩 之風險，本發明利用FIDO認證技術，透過多重的保護以保證使用者的正確性以及資料的安全性，並提供使用者安全、便利且快速的身分驗證服務。

1‧‧‧基於實名認證之FIDO簽章管理系統

10‧‧‧使用者裝置

11‧‧‧線上應用服務平台

12‧‧‧認證平台

13‧‧‧FIDO伺服器

14‧‧‧實名認證伺服器

15‧‧‧雲端簽章伺服器

S21至S28‧‧‧步驟

S31至S38‧‧‧流程

S361至S366‧‧‧流程

S51至S58‧‧‧流程

S61至S65‧‧‧流程

第1圖為本發明之基於實名認證之FIDO簽章管理系統的系統示意圖；

第2圖為本發明之基於實名認證之FIDO簽章管理方法的步驟圖；

第3圖為本發明第一實施例的方法流程圖；

第4圖為本發明第一實施例之FIDO註冊綁定作業的方法流程圖；

第5圖為本發明第二實施例的方法流程圖；以及

第6圖為本發明之使用者取得已完成簽章之資料的方法流程圖。

以下藉由特定的具體實施形態說明本發明之技術內容，熟悉此技藝之人士可由本說明書所揭示之內容輕易地瞭解本發明之優點與功效。然本發明亦可藉由其他不同的具體實施形態加以施行或應用。

第1圖說明本發明之基於實名認證之FIDO簽章管理系統1的系統示意圖，如圖所示，基於實名認證之FIDO簽章管理系統1包括使用者裝置10、線上應用服務平台11、認證平台12、FIDO(Fast IDentity Online， 線上快速身分識別)伺服器13、實名認證伺服器14及雲端簽章伺服器15，其中，該使用者裝置10可為智慧型手機、智慧型手錶、可攜帶式/可穿戴式裝置、筆記型電腦或個人電腦。

具體而言，線上應用服務平台11發出使用者提出的一資料簽章請求(例如線上申辦資料簽章作業)，該資料簽章請求具有需簽章的一資料，認證平台12接收該線上應用服務平台11所發出之資料簽章請求，其中，該認證平台12係接收使用者透過一使用者裝置10(例如智慧型手機)輸入的FIDO註冊綁定之個人資料(例如身分證號)，並由該認證平台12發出FIDO認證請求，FIDO伺服器13接收來自該認證平台12之該FIDO認證請求並檢查該使用者之個人資料是否已完成該FIDO註冊綁定，其中，若該FIDO伺服器13檢查為未完成該FIDO註冊綁定，則回報該認證平台12並由該認證平台12接收該使用者透過該使用者裝置10所輸入的該個人資料及認證資料(例如自然人憑證需輸入PIN Code，或是電信認證則輸入電話號碼)。

實名認證伺服器14用於審核該個人資料及該認證資料的真實性，當該實名認證伺服器14確認該個人資料及該認證資料為真實後，由認證平台12產生一連結條碼以供使用者下載一FIDO應用程式至該使用者裝置10中，且該認證平台12會再產生一註冊碼(registration code)於該使用者裝置10，該註冊碼為該認證平台12產生之亂數，且註冊碼與實名認證伺服器14中該個人資料具有關聯性，其中，該FIDO應用程式係以該個人資料與該註冊碼執行登入，且該FIDO應用程式收集該使用者裝置10的綁定資訊，再由該認證平台12比對該使用者之個人資料與透過該註冊碼從實名認證伺服器14取得之個人資料，若比對正確，則進行該FIDO註冊綁定。

雲端簽章伺服器15用以進行該資料簽章請求中該資料之簽章，其中，當該FIDO註冊綁定完成後，由該認證平台12提供該個人資料給予該使用者確認是否正確，若該個人資料正確，則由該認證平台12向雲端簽章伺服器15申請使用者軟體憑證，當申請完成後，該雲端簽章伺服器15對該資料進行簽章以得到簽章結果，接著再將簽章結果或該使用者軟體憑證(使用者為首次使用才有使用者軟體憑證)回傳至該認證平台12，其中，該認證平台12接收到該簽章結果或該使用者軟體憑證後，將其儲存於一資料庫，且該認證平台12會產生一授權碼，並將該授權碼回呼(CallBack)或回傳至該線上應用服務平台11。

於本實施例中，該線上應用服務平台11先接收該使用者透過該使用者裝置10所提出之線上應用服務之註冊，且完成該線上應用服務之註冊的該使用者，可透過該線上應用服務平台11選擇各類線上的資料簽章管理作業，其中，該線上應用服務之註冊所需資訊包括服務ID、服務名稱、服務介接密碼、認證等級、回呼網址(redirect_uri)、註冊時間、目前狀態等。

於一實施例中，當進行該FIDO註冊綁定時，由該認證平台12將該綁定資訊傳送至該FIDO伺服器13，且該FIDO伺服器13將該綁定資訊結合一亂數以產生一FIDO令牌(FIDO Token)，再將該FIDO Token回傳至該FIDO應用程式，由該FIDO應用程式利用該FIDO Token與該綁定資訊作為憑據向該FIDO伺服器13發起該FIDO註冊綁定之請求。具體來說，該FIDO伺服器13可利用SHA-256雜湊演算將該綁定資訊結合一亂數以產生FIDO Token，其中，該綁定資訊可包含裝置ID(deviceID)、OS版本及裝置型號(手機型號)。

於一實施例中，該FIDO伺服器13收到該FIDO註冊綁定之請求後，再次將該綁定資訊結合前述同一亂數以產生另一FIDO Token，這裡同樣可由該FIDO伺服器13利用SHA-256雜湊演算來產生該另一FIDO Token，接著，該FIDO伺服器13確認該FIDO Token與該另一FIDO Token是否相同，以判斷該FIDO Token之有效性及該FIDO註冊綁定之請求是否合法，若確定該FIDO Token與該另一FIDO Token相同，則該FIDO Token為有效且該FIDO註冊綁定之請求合法，亦即完成FIDO註冊綁定，其中，該FIDO伺服器13還利用該綁定資訊產生該使用者裝置的一識別碼(registration token)。

於另一實施例中，若該FIDO伺服器13檢查為已完成該FIDO註冊綁定，則該FIDO伺服器13根據該FIDO註冊綁定完成時所產生的一識別碼，將該FIDO認證請求推播至該FIDO應用程式，以供該使用者透過該FIDO應用程式向該FIDO伺服器13進行FIDO認證作業。

於一實施例中，該FIDO伺服器13進行該FIDO認證作業完成後將產生一認證結果，且該FIDO伺服器13將該認證結果回傳至該認證平台12，若該認證結果確認通過，則該認證平台12向該雲端簽章伺服器15提出該資料簽章請求，該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，再將簽章結果回傳至該認證平台12。

於一實施例中，當該線上應用服務平台11收到該授權碼後，在一有效時間內向該認證平台12提出一取得簽章資料之請求，該認證平台12比對該取得簽章資料之請求的內容是否有效，若確認有效後，該認證平台12即產生一識別憑據，且回傳該識別憑據至該線上應用服務平台11，其 中，該取得簽章資料之請求的內容可包括服務ID、服務介接密碼、授權碼和回呼網址，而該識別憑據的內容則包括該簽章結果。

於一實施例中，該認證平台12利用一平台私鑰對該識別憑據進行簽章成為一識別憑據簽章，該線上應用服務平台11於收到該認證平台12所傳送過來的一認證平台憑證、該識別憑據與該識別憑據簽章後，該線上應用服務平台11利用該認證平台憑證內的一平台公鑰來驗證該識別憑據簽章，藉以取得該識別憑據之簽章結果中已完成簽章的該資料。

第2圖說明本發明之基於實名認證之FIDO簽章管理方法的步驟圖，請一併參閱第1圖。於步驟S21中，令線上應用服務平台11發出使用者所提出之一資料簽章請求，而該資料簽章請求具有需簽章的一資料。

於步驟S22中，令認證平台12接收該線上應用服務平台11所發出之該資料簽章請求，具體來說，該認證平台12接收該使用者透過一使用者裝置10輸入的FIDO註冊綁定之個人資料，接著由該認證平台12發出FIDO認證請求。

於步驟S23中，令FIDO伺服器13接收該認證平台12發出該FIDO認證請求，且檢查該使用者之個人資料是否已完成該FIDO註冊綁定。

於步驟S24中，於該FIDO伺服器13檢查為未完成該FIDO註冊綁定時，該認證平台12接收該使用者透過該使用者裝置10輸入的該個人資料及認證資料。

於步驟S25中，令實名認證伺服器14審核該個人資料及該認證資料的真實性，當確認該個人資料及該認證資料為真實後，則由該認證平台12產生一連結條碼以供下載一FIDO應用程式至該使用者裝置10中，此 時，該認證平台12會產生一註冊碼給予該使用者裝置10，其中，該註冊碼為該認證平台12產生之亂數，且註冊碼與實名認證伺服器14中該使用者用來實名認證作業的該個人資料具有關聯性。

於步驟S26中，令FIDO應用程式以該個人資料與該註冊碼登入，接著，該FIDO應用程式收集該使用者裝置10的綁定資訊，再由該認證平台12比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器14取得之個人資料是否相同，以於比對正確時，進行FIDO註冊綁定。

於步驟S27中，當該FIDO註冊綁定完成後，該認證平台12提供該個人資料給予該使用者以確認是否正確，若該個人資料正確，則由該認證平台12向雲端簽章伺服器15申請使用者軟體憑證，且於申請完成後，令該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，再將簽章結果或該使用者軟體憑證回傳至該認證平台12，須說明者，回傳該使用者軟體憑證僅在使用者為首次使用才有。

於步驟S28中，令該認證平台12接收到該簽章結果或該使用者軟體憑證後，將其儲存於一資料庫，此時該認證平台會產生一授權碼，並將該授權碼回呼或回傳至該線上應用服務平台11。

下面以一實施例說明本發明，請同時參閱第1圖。當使用者通過線上應用服務平台11發出一資料簽章請求時，而該資料簽章請求具有需簽章的一資料，此時認證平台12接收到該資料簽章請求後將進行FIDO認證作業，具體來說，該認證平台12提供一FIDO認證頁面讓使用者透過使用者裝置10(例如智慧型手機)輸入FIDO註冊綁定的個人資料(例如身分證號)，接著，該認證平台12向FIDO伺服器13提出FIDO認證請求，以由該 FIDO伺服器13進行FIDO認證作業。須說明者，同一使用者於該線上應用服務平台11中使用不同服務時，皆使用相同的該FIDO註冊綁定之個人資料。

FIDO伺服器13會檢查該使用者之個人資料是否已完成FIDO註冊綁定，於此會產生兩種狀況：第一種為使用者為首次使用，未完成FIDO註冊綁定；第二種為使用者非首次使用，已完成FIDO註冊綁定。兩種情況詳述如下。

第一種情況為使用者為首次使用，未完成FIDO註冊綁定。詳言之，當FIDO伺服器13檢查出該使用者為首次使用，亦即未完成FIDO註冊綁定時，認證平台12可提供一實名認證KYC(Know Your Customer)頁面讓該使用者透過使用者裝置10輸入個人資料(例如身分證號之個人資料)以及認證資料(例如自然人憑證需輸入PIN Code或電信認證則輸入電話號碼)，接著，認證平台12介接實名認證伺服器14以進行該使用者之個人資料及認證資料的實名認證作業，藉以審核該使用者之個人資料及認證資料之真實性，當實名認證伺服器14的實名認證作業完成後，認證平台12提供一FIDO註冊綁定頁面，由該認證平台12產生一QR Code(連結條碼)引導該使用者下載FIDO應用程式(Application，APP)至該使用者裝置10，並產生一註冊碼(registration code)於該使用者裝置10中，其中，該註冊碼為該認證平台12產生之亂數，且註冊碼與實名認證伺服器14中該使用者用來實名認證作業的該個人資料具有關聯性。

接者，當該使用者下載該FIDO應用程式後，該使用者利用該個人資料與該註冊碼登入該FIDO應用程式，接著，該FIDO應用程式將收集該使用者裝置10之綁定資訊，且連同該使用者之個人資料與該註冊碼傳送至該認證平台12，再由該認證平台12比對該使用者之個人資料與透 過該註冊碼從實名認證伺服器14所取得之個人資料是否相同，若比對正確，則進行FIDO註冊綁定之作業，其中，該綁定資訊包含deviceID、OS版本及裝置型號(手機型號)。

於執行該FIDO註冊綁定時，由該認證平台12將該FIDO應用程式收集的該綁定資訊傳送至FIDO伺服器13，該FIDO伺服器13將該綁定資訊結合一亂數(此亂數將儲存於FIDO伺服器13)後，以進行SHA-256雜湊演算產生一FIDO Token，接著，由該FIDO伺服器13將該FIDO Token回傳至該FIDO應用程式，該FIDO應用程式再將該FIDO Token與該使用者裝置10之綁定資訊作為憑據向該FIDO伺服器13發起該FIDO註冊綁定之請求，此時，該FIDO伺服器13會驗證該FIDO Token之有效性，並由該FIDO伺服器13再次將該綁定資訊結合該亂數(先前已儲存於FIDO伺服器13中)後，進行SHA-256雜湊演算而產生另一FIDO Token，此時該另一FIDO Token與該FIDO Token進行比對，若該FIDO Token與該另一FIDO Token相同，亦即確認該FIDO Token是發給該使用者之使用者裝置10，則該FIDO Token為有效且完成FIDO註冊綁定。須說明者，該FIDO Token可防止惡意的使用者無限制註冊或冒用該使用者裝置10，以及確認該FIDO註冊綁定之請求是否合法。

若該FIDO Token之有效性有效且該FIDO註冊綁定之請求亦合法，則該FIDO伺服器13另將該綁定資訊進行SHA-256雜湊演算，以成為該使用者裝置10專屬的一識別碼(registration token)，用來做為日後訊息推播使用，以完成FIDO註冊綁定之作業。

再者，當完成該FIDO註冊綁定後，該認證平台12提供一使用者軟體憑證的申請頁面於該使用者裝置10中，該使用者可於該使用者軟體憑證的申請頁面中確認該個人資料(例如身分證號)無誤後，由該認證平 台12向雲端簽章伺服器15申請使用者軟體憑證，當申請完成後，該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，最後，再將簽章結果或該使用者軟體憑證回傳至該認證平台12。

第二種情況為使用者非首次使用，亦即已完成FIDO註冊綁定。詳言之，當該FIDO伺服器13檢查出該使用者非首次使用並已完成FIDO註冊綁定時，該FIDO伺服器13根據該FIDO註冊綁定完成時所產生的該識別碼，將該FIDO認證請求推播至該FIDO應用程式，接著，該使用者即可透過該FIDO應用程式向該FIDO伺服器13進行FIDO認證作業，當FIDO認證作業完成後會產生一認證結果，該FIDO伺服器13將該認證結果回傳至該認證平台12，若該認證結果通過，則該認證平台12向該雲端簽章伺服器15提出該資料簽章請求，該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，同樣地，該雲端簽章伺服器15會將簽章結果回傳至該認證平台12。

在前述兩種情況下，最後簽章結果皆會回傳至認證平台12，接著，該認證平台12接於收到該簽章結果或該使用者軟體憑證(使用者為首次使用才有使用者軟體憑證)後將其儲存於一資料庫，並由該認證平台12產生一授權碼(AuthZ Code)，依據該註冊資訊之回呼網址，將該授權碼回呼(CallBack)或回傳至該線上應用服務平台11，其中，該授權碼為一隨機產生的亂數值。當該線上應用服務平台11收到該授權碼後，可在容許的有效時間內(例如一小時或幾分鐘)向該認證平台12提出一取得簽章資料之請求，其中，該取得簽章資料之請求的內容包括服務ID、服務介接密碼、授權碼和回呼網址。

該認證平台12收到該取得簽章資料之請求後，比對該取得簽章資料之請求的內容是否有效，若該認證平台12確認有效時，將產生一識 別憑據並回傳至該線上應用服務平台11，其中，該識別憑據的內容包括該使用者之個人資料、服務ID、資料簽章請求的時間、簽章結果、使用者軟體憑證以及該識別憑據的發行時間。在此同時，該認證平台12還利用一平台私鑰對該識別憑據提供一識別憑據簽章，該線上應用服務平台11收到該認證平台12傳送過來的一認證平台憑證、該識別憑據與該識別憑據簽章後，可利用該認證平台憑證內的一平台公鑰來驗證該識別憑據簽章，藉以取得該識別憑據之簽章結果中已完成簽章的該資料。

第3圖說明本發明第一實施例的方法流程圖，請一併參閱第1圖。第一實施例係使用者為首次使用且未完成FIDO註冊綁定時，如何進行簽章的流程方法。

於流程S31中，線上應用服務平台11接收使用者透過至一使用者裝置10提出之一資料簽章請求，該資料簽章請求具有需簽章的一資料。

於流程S32中，該線上應用服務平台11將該資料簽章請求傳送至該認證平台12，該認證平台12提供一FIDO認證頁面讓該使用者輸入FIDO註冊綁定之個人資料，接著，該認證平台12向FIDO伺服器13提出FIDO認證請求，由該FIDO伺服器13進行FIDO認證作業。須說明者，同一使用者於線上應用服務平台11中使用不同服務時，皆使用相同的該FIDO註冊綁定之個人資料。

於流程S33中，該FIDO伺服器13檢查該使用者是否已完成FIDO註冊綁定，且於該FIDO伺服器13發現該使用者未完成FIDO註冊綁定時，通知該認證平台12。

於流程S34中，該認證平台12提供一實名認證KYC(Know Your Customer)頁面讓該使用者輸入該個人資料(例如身分證號)及認證資料(例如自然人憑證需輸入PIN Code或電信認證則輸入電話號碼)。

於流程S35中，該認證平台12介接實名認證伺服器14以進行該使用者之個人資料及認證資料的實名認證作業，藉此審核該使用者之個人資料及認證資料的真實性，若真實性為否時，則結束整個流程，若真實性為是時，則進至流程S36。簡言之，當該實名認證伺服器14的實名認證作業完成後，該認證平台12會提供一FIDO註冊綁定頁面，此時該認證平台12將產生一QR Code(連結條碼)引導該使用者下載FIDO應用程式至該使用者裝置10，並產生一註冊碼(registration code)於該使用者裝置10中。

於流程S36中，該使用者下載該FIDO應用程式後，該FIDO伺服器13進行該FIDO註冊綁定之作業，當該FIDO註冊綁定完成後，該認證平台12提供一使用者軟體憑證的申請頁面於該使用者裝置10。

於流程S37中，該使用者於使用者軟體憑證的申請頁面確認個人資料無誤後，由該認證平台12向雲端簽章伺服器15申請使用者軟體憑證，當申請完成後，該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，並將簽章結果或該使用者軟體憑證回傳至該認證平台12。

於流程S38中，該線上應用服務平台11向該認證平台12取得已完成簽章的該資料。

第4圖說明本發明第一實施例之FIDO註冊綁定作業的方法流程圖，請一併參閱第1圖。此第一實施例所述方法為第3圖的流程S36的進一步細節，即使用者下載該FIDO應用程式後，該FIDO伺服器13進行FIDO註冊綁定之作業之詳細流程。

於流程S361中，該使用者取得FIDO應用程式後，該使用者利用該個人資料與該註冊碼登入該FIDO應用程式，此時，該FIDO應用程式將收集該使用者裝置10(如智慧型手機)之綁定資訊，且連同該使用者之個人資料與該註冊碼傳送至該認證平台12，其中，該綁定資訊包含deviceID、OS版本及裝置型號(手機型號)。

於流程S362中，該認證平台12比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器14取得之個人資料，若比對不相同，則結束整個流程，若比對正確，則進行FIDO註冊綁定之作業。

於流程S363中，當該FIDO註冊綁定時，由該認證平台12將該FIDO應用程式傳送的該使用者裝置10之綁定資訊傳送至FIDO伺服器13，該FIDO伺服器13將該綁定資訊結合一亂數(亂數後續會儲存於FIDO伺服器13)後，以進行SHA-256雜湊演算產生FIDO Token，由該FIDO伺服器13將該FIDO Token回傳至該FIDO應用程式。

於流程S364中，該FIDO應用程式再將該FIDO Token與該使用者裝置10之綁定資訊作為憑據向該FIDO伺服器13發起該FIDO註冊綁定之請求。

於流程S365中，該FIDO伺服器13收到該FIDO註冊綁定之請求後，將驗證該FIDO Token之有效性，此時由該FIDO伺服器13再次將該綁定資訊結合先前存於該FIDO伺服器13內的亂數以進行SHA-256雜湊演算而產生另一FIDO Token，並與該FIDO Token進行比對，若該FIDO Token與該另一FIDO Token相同，亦即確認該FIDO Token是發給該使用者之使用者裝置10，故該FIDO Token為有效且完成FIDO註冊綁定，反之，若驗證結果為無效或不合法，則結束整個流程。該FIDO Token可防止惡意 的使用者無限制註冊或冒用該使用者裝置10，以及確認該FIDO註冊綁定之請求是否合法。

於流程S366中，當該FIDO Token之有效性有效且該FIDO註冊綁定之請求亦合法，則該FIDO伺服器13另將該綁定資訊進行SHA-256雜湊演算，以成為該使用者裝置10專屬的一識別碼(registration token)，用來做為日後訊息推播使用，以完成FIDO註冊綁定之作業。

第5圖說明本發明第二實施例的方法流程圖，請一併參閱第1圖。第二實施例係使用者非首次使用且已完成FIDO註冊綁定時，如何進行簽章的流程方法。

於流程S51中，線上應用服務平台11接收使用者透過至一使用者裝置10所提出之一資料簽章請求，該資料簽章請求具有需簽章的一資料。

於流程S52中，該線上應用服務平台11將該資料簽章請求傳送至該認證平台12，此時，該認證平台12提供一FIDO認證頁面讓該使用者輸入FIDO註冊綁定之個人資料，接著，該認證平台12向FIDO伺服器13提出FIDO認證請求，以由該FIDO伺服器13進行FIDO認證作業。

於流程S53中，該FIDO伺服器13檢查該使用者是否已完成FIDO註冊綁定並發現該使用者已完成FIDO註冊綁定時，則通知該認證平台12。

於流程S54中，該FIDO伺服器13根據該FIDO註冊綁定完成時所產生的該識別碼，將該FIDO認證請求推播至該FIDO應用程式。

於流程S55中，該使用者可透過該FIDO應用程式向該FIDO伺服器13進行FIDO認證作業，當FIDO認證作業完成後產生一認證結果，該FIDO伺服器13將該認證結果回傳至該認證平台12。

於流程S56中，該認證平台12檢查該認證結果是否通過，若不通過，則結束整個流程，若通過，則進至流程S57。

於流程S57中，若該認證結果通過，則該認證平台12向該雲端簽章伺服器15提出該資料簽章請求，該雲端簽章伺服器15對該資料進行簽章，以得到簽章結果，再將簽章結果回傳至該認證平台12。

於流程S58中，該線上應用服務平台11向該認證平台12取得已完成簽章的該資料。

第6圖說明本發明之使用者取得已完成簽章的資料的方法流程圖，請一併參閱第1圖。此流程方法為第一實施例中流程S38以及第二實施例中流程S58的進一步說明，亦即該線上應用服務平台11向該認證平台12取得已完成簽章的資料之詳細流程。

於流程S61中，該認證平台12接收到該簽章結果或該使用者軟體憑證(使用者為首次使用才有使用者軟體憑證)後將其儲存於一資料庫，並該認證平台12產生一授權碼(AuthZ Code)，依據該註冊資訊之回呼網址，將該授權碼回呼(CallBack)或回傳至該線上應用服務平台11。

於流程S62中，由該線上應用服務平台11向該認證平台12提出一取得簽章資料之請求，該取得簽章資料之請求的內容包括服務ID、服務介接密碼、授權碼和回呼網址。

於流程S63中，該認證平台12收到該取得簽章資料之請求後，比對該取得簽章資料之請求的內容是否有效，若無效，則結束整個流程，若為有效，則進至流程S64。

於流程S64中，若該認證平台12確認有效後即產生一識別憑據並回傳至該線上應用服務平台11，其中，該識別憑據的內容包括該使用者之個人資料、該服務ID、該資料簽章請求的時間、該簽章結果、該使用者軟體憑證以及該識別憑據的發行時間，此時，該認證平台12亦利用一平台私鑰對該識別憑據提供一識別憑據簽章。

於流程S65中，該線上應用服務平台11收到該認證平台12傳送過來的一認證平台憑證、該識別憑據與該識別憑據簽章後，可利用該認證平台憑證內的一平台公鑰來驗證該識別憑據簽章，藉以取得該識別憑據之簽章結果中已完成簽章的資料。

綜上可知，本發明所提出之基於實名認證之FIDO簽章管理系統及其方法，具有下列優點和技術功效：第一、本發明採用使用者實名認證機制，對於線上應用服務來說，基於實名認證機制使用了個人資料來確認使用者身分，比起一般非實名認證機制使用匿名帳號，更能證明使用者的真實身分；第二、本發明透過FIDO Token技術可註冊綁定使用者，避免惡意的使用者濫用FIDO協定來欺騙認證平台；第三、本發明利用FIDO認證技術進行身分確認，其可取代傳統OTP的認證並可結合日趨成熟的生物特徵識別，藉以提供安全又便利的身分驗證，另外，FIDO認證技術相較於OTP技術更能避免OTP技術的兩個安全性問題，亦即，OTP技術透過電信通訊基礎發送之簡訊可能存在被轉導到攻擊者行動裝置上之風險，以及 使用者行動裝置上可能被安裝木馬程式攔截OTP內容，進而導致驗證資訊外洩；第四、只要使用者首次設定完成實名認證與FIDO註冊綁定，未來使用者可於不同的線上應用服務進行資料簽章管理作業，故能增加使用者便利性；第五、本發明由認證平台對線上應用服務平台(server to server)提供取得簽章資料之服務，其利用授權碼(AuthZ Code)安全機制來管制簽章資料的取得，大幅提高簽章資料取得的安全性。

1‧‧‧基於實名認證之FIDO簽章管理系統

10‧‧‧使用者裝置

11‧‧‧線上應用服務平台

12‧‧‧認證平台

13‧‧‧FIDO伺服器

14‧‧‧實名認證伺服器

15‧‧‧雲端簽章伺服器

Claims (14)

1. 一種基於實名認證之FIDO簽章管理系統，係包括：線上應用服務平台，係接收以轉發使用者所提出之具有需簽章之資料的資料簽章請求；認證平台，係接收來自該線上應用服務平台之該資料簽章請求，該認證平台將該資料簽章請求轉導至FIDO認證頁面，以供該使用者透過使用者裝置輸入FIDO註冊綁定之個人資料並由該認證平台發出FIDO認證請求，其中，該個人資料包括身分證號；FIDO伺服器，係接收來自該認證平台之該FIDO認證請求並檢查該使用者之個人資料是否已完成該FIDO註冊綁定，且於該FIDO註冊綁定未完成時，回報該認證平台並由該認證平台轉導至實名認證KYC(Know Your Customer)頁面，以供該使用者透過該使用者裝置輸入該個人資料及認證資料，其中，該認證資料包括PIN碼或電話號碼；實名認證伺服器，係審核該個人資料及該認證資料之真實性，以於該實名認證伺服器確認該個人資料及該認證資料為真實後，由該認證平台產生一連結條碼以供該使用者下載一FIDO應用程式(Application)至該使用者裝置以及產生與該實名認證伺服器中該個人資料具有關聯性之註冊碼給予該使用者裝置，俾於該FIDO應用程式以該個人資料與該註冊碼登入且該FIDO應用程式收集該使用者裝置之綁定資訊下，由該認證平台比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器取得之個人資料，以於比對正確下進行該FIDO註冊綁定；以及雲端簽章伺服器，係執行該資料簽章請求中該資料之簽章，以於完成該FIDO註冊綁定且該認證平台所提供之該個人資料正確下，該雲端簽章 伺服器接收來自該認證平台有關使用者軟體憑證之申請，俾於申請完成後，由該雲端簽章伺服器對該資料進行簽章以得到簽章結果，再將該簽章結果或該使用者軟體憑證回傳至該認證平台，其中，該認證平台接收該簽章結果或該使用者軟體憑證後將其儲存於一資料庫內，且由該認證平台產生一授權碼並回呼或回傳至該線上應用服務平台。
2. 如申請專利範圍第1項所述之基於實名認證之FIDO簽章管理系統，其中，於進行該FIDO註冊綁定時，該認證平台傳送該綁定資訊至該FIDO伺服器，以供該FIDO伺服器將該綁定資訊與一亂數結合而產生一FIDO令牌(FIDO Token)，該FIDO伺服器回傳該FIDO令牌至該FIDO應用程式，俾由該FIDO應用程式以該FIDO令牌與該綁定資訊為憑據向該FIDO伺服器發起該FIDO註冊綁定之請求。
3. 如申請專利範圍第2項所述之基於實名認證之FIDO簽章管理系統，其中，該FIDO伺服器收到該FIDO註冊綁定之請求後，係將該綁定資訊結合該FIDO伺服器內之該亂數以產生另一FIDO令牌，且透過確認該FIDO令牌與該另一FIDO令牌是否相同，以判斷該FIDO令牌之有效性及該FIDO註冊綁定之請求是否合法，俾於該FIDO令牌為有效且該FIDO註冊綁定之請求合法時完成該FIDO註冊綁定，其中，該FIDO伺服器復依據該綁定資訊產生該使用者裝置之一識別碼。
4. 如申請專利範圍第1項所述之基於實名認證之FIDO簽章管理系統，其中，於該FIDO伺服器接收該FIDO認證請求並檢查該使用者之個人資料為已完成該FIDO註冊綁定時，該FIDO伺服器依據該FIDO註冊綁 定完成時所產生之一識別碼，將該FIDO認證請求推播至該FIDO應用程式，以供該使用者透過該FIDO應用程式向該FIDO伺服器進行FIDO認證作業。
5. 如申請專利範圍第4項所述之基於實名認證之FIDO簽章管理系統，其中，於該FIDO伺服器進行該FIDO認證作業完成後，係產生一認證結果並回傳至該認證平台，俾於該認證結果確認通過時，由該認證平台向該雲端簽章伺服器提出該資料簽章請求，以於該雲端簽章伺服器對該資料進行簽章後得到該簽章結果，並將該簽章結果回傳至該認證平台。
6. 如申請專利範圍第1項所述之基於實名認證之FIDO簽章管理系統，其中，於該線上應用服務平台收到該授權碼後，在一有效時間內向該認證平台提出一取得簽章資料之請求，俾於該認證平台比對該取得簽章資料之請求的內容為有效時產生一識別憑據，且回傳該識別憑據至該線上應用服務平台，其中，該取得簽章資料之請求其內容包括服務ID、服務介接密碼、授權碼和回呼網址，而該識別憑據的內容包括該簽章結果。
7. 如申請專利範圍第6項所述之基於實名認證之FIDO簽章管理系統，其中，該認證平台利用一平台私鑰對該識別憑據進行簽章成為識別憑據簽章，該線上應用服務平台於收到來自該認證平台之認證平台憑證、該識別憑據與該識別憑據簽章後，利用該認證平台憑證內一平台公鑰驗證該識別憑據簽章，藉以取得該識別憑據內的簽章資料。
8. 一種基於實名認證之FIDO簽章管理方法，係包括：線上應用服務平台發出使用者所提出之具有需簽章之資料的資料簽章請求； 認證平台接收該線上應用服務平台所發出之該資料簽章請求並將該資料簽章請求轉導至FIDO認證頁面，以供該使用者透過使用者裝置輸入FIDO註冊綁定之個人資料並由該認證平台發出FIDO認證請求，其中，該個人資料包括身分證號；FIDO伺服器接收該認證平台所發出之該FIDO認證請求並檢查該使用者之個人資料是否已完成該FIDO註冊綁定；於該FIDO註冊綁定未完成時，該FIDO伺服器回報該認證平台並由該認證平台轉導至實名認證KYC(Know Your Customer)頁面，以供該使用者透過該使用者裝置輸入該個人資料及認證資料，其中，該認證資料包括PIN碼或電話號碼；實名認證伺服器審核該個人資料及該認證資料之真實性，以於該個人資料及該認證資料確認為真實後，由該認證平台產生一連結條碼以供該使用者下載一FIDO應用程式(Application)至該使用者裝置以及產生與該實名認證伺服器中該個人資料具有關聯性之註冊碼給予該使用者裝置；於該FIDO應用程式以該個人資料與該註冊碼登入且該FIDO應用程式收集該使用者裝置之綁定資訊下，該認證平台比對該使用者之個人資料與透過該註冊碼從該實名認證伺服器取得之個人資料，以於比對正確下進行該FIDO註冊綁定；於完成該FIDO註冊綁定且該認證平台所提供之該個人資料正確下，該認證平台向雲端簽章伺服器申請使用者軟體憑證，俾於申請完成後，該雲端簽章伺服器對該資料進行簽章以得到簽章結果，再將該簽章結果或該使用者軟體憑證回傳至該認證平台；以及該認證平台接收該簽章結果或該使用者軟體憑證後將其儲存於一資料庫內，且該認證平台產生一授權碼並回呼或回傳至該線上應用服務平台。
9. 如申請專利範圍第8項所述之基於實名認證之FIDO簽章管理方法，其中，於進行該FIDO註冊綁定時，由該認證平台將該綁定資訊傳送至該FIDO伺服器，且該FIDO伺服器將該綁定資訊結合一亂數以產生一FIDO令牌，再將該FIDO令牌回傳至該FIDO應用程式，由該FIDO應用程式利用該FIDO令牌與該綁定資訊作為憑據向該FIDO伺服器發起該FIDO註冊綁定之請求。
10. 如申請專利範圍第9項所述之基於實名認證之FIDO簽章管理方法，其中，該FIDO伺服器收到該FIDO註冊綁定之請求後，係將該綁定資訊結合該FIDO伺服器內之亂數以產生另一FIDO令牌，且透過確認該FIDO令牌與該另一FIDO令牌是否相同，以判斷該FIDO令牌之有效性及該FIDO註冊綁定之請求是否合法，俾於該FIDO令牌為有效且該FIDO註冊綁定之請求合法時完成該FIDO註冊綁定，其中，該FIDO伺服器復依據該綁定資訊產生該使用者裝置之一識別碼。
11. 如申請專利範圍第8項所述之基於實名認證之FIDO簽章管理方法，其中，於該FIDO伺服器接收該FIDO認證請求並檢查該使用者之個人資料為已完成該FIDO註冊綁定時，該FIDO伺服器依據該FIDO註冊綁定完成時所產生之一識別碼，將該FIDO認證請求推播至該FIDO應用程式，以供該使用者透過該FIDO應用程式向該FIDO伺服器進行FIDO認證作業。
12. 如申請專利範圍第11項所述之基於實名認證之FIDO簽章管理方法，其中，於該FIDO伺服器進行該FIDO認證作業完成後，係產生一認證結果並回傳至該認證平台，俾於該認證結果確認通過時，由該認證平 台向該雲端簽章伺服器提出該資料簽章請求，以於該雲端簽章伺服器對該資料進行簽章後得到該簽章結果，並將該簽章結果回傳至該認證平台。
13. 如申請專利範圍第8項所述之基於實名認證之FIDO簽章管理方法，其中，於該線上應用服務平台收到該授權碼後，在一有效時間內向該認證平台提出一取得簽章資料之請求，俾於該認證平台比對該取得簽章資料之請求的內容為有效時產生一識別憑據，且回傳該識別憑據至該線上應用服務平台，其中，該取得簽章資料之請求其內容包括服務ID、服務介接密碼、授權碼和回呼網址，而該識別憑據的內容包括該簽章結果。
14. 如申請專利範圍第13項所述之基於實名認證之FIDO簽章管理方法，其中，該認證平台利用一平台私鑰對該識別憑據進行簽章成為識別憑據簽章，該線上應用服務平台於收到來自該認證平台之一認證平台憑證、該識別憑據與該識別憑據簽章後，利用該認證平台憑證內一平台公鑰驗證該識別憑據簽章，藉以取得該識別憑據內的簽章資料。

Images