本發(fā)明涉及認證技術(shù)領(lǐng)域，特別是一種引入認證中心的身份認證方法、用戶設(shè)備和服務器。

背景技術(shù)：

fido線上快速身份認證標準(以下簡稱fido標準)是由fido聯(lián)盟提出的一個開放的標準協(xié)議，旨在提供一個高安全性、跨平臺兼容性、極佳用戶體驗與用戶隱私保護的在線身份認證技術(shù)架構(gòu)。fido標準通過集成生物識別與非對稱加密兩大技術(shù)來完成用戶身份驗證，試圖終結(jié)多年來用戶必須記憶并使用大量復雜密碼的煩惱。

但是，fido的系統(tǒng)架構(gòu)仍然存在著一些安全風險。在fidouaf架構(gòu)中，用戶認證密鑰是由內(nèi)嵌于客戶端設(shè)備中的認證器產(chǎn)生的，用戶私鑰存儲在認證器中，用戶公鑰使用認證器驗證私鑰進行簽名后發(fā)送到服務器端，由服務器端使用認證器驗證根證書進行驗證后，將用戶公鑰存儲在服務器端數(shù)據(jù)庫中，以完成用戶注冊的流程。此流程中，fido服務器依賴原有用戶認證手段(如口令、短信驗證碼等)對用戶進行驗證，同時依賴認證器驗證機制來對設(shè)備進行驗證。由于認證器的驗證密鑰并不是每設(shè)備唯一的，導致有可能存在安全風險，如攻擊者偽冒用戶進行注冊。

技術(shù)實現(xiàn)要素：

本發(fā)明的目的是為了解決現(xiàn)有fido認證標準中，用戶在注冊時存在的安全風險問題，提供一種身份認證方法，以及基于該方法的用戶設(shè)備和服務器。

第一方面，本發(fā)明提供一種身份認證方法，在用戶設(shè)備側(cè)，所述方法包括：

使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后，連同設(shè)備驗證公鑰證書一同發(fā)送給身份認證服務器，以供身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，所述方法還包括：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，還包括注銷的過程，所述注銷的過程包括：

完成用戶的身份驗證后，向身份認證服務器發(fā)起注銷請求，以使得身份認證服務器刪除該用戶的用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器吊銷該證書，并返回處理結(jié)果；

在收到所述處理結(jié)果后，刪除用戶認證私鑰。

第二方面，本發(fā)明提供一種身份認證方法，在身份認證服務器側(cè)，所述方法包括：在收到用戶設(shè)備發(fā)送的簽名數(shù)據(jù)和設(shè)備驗證公鑰證書后，使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中，所述簽名數(shù)據(jù)是使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名得到的。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，還包括注銷的過程，所述注銷的過程包括：

根據(jù)身份認證服務器刪除用戶認證公鑰證書后發(fā)送的該證書的識別碼吊銷該證書，返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

第三方面，本發(fā)明提供一種身份認證方法，基于用戶設(shè)備、身份認證服務器和證書管理機構(gòu)服務器實現(xiàn)，在所述證書管理機構(gòu)服務器側(cè)，所述方法包括：根據(jù)身份認證服務器發(fā)送的用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中：

所述用戶認證公鑰在被發(fā)送到證書管理機構(gòu)服務器之前，經(jīng)過如下的處理：在用戶設(shè)備側(cè)使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后連同設(shè)備驗證公鑰一起發(fā)送給身份認證服務器，再經(jīng)過身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，包括注銷的過程，所述注銷的過程包括：在收到用戶設(shè)備的注銷請求后，刪除用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)該識別碼吊銷該證書，并返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

第四方面，本發(fā)明提供一種用戶設(shè)備，包括存儲介質(zhì)及存儲在存儲介質(zhì)中的計算機程序，所述程序在運行時可實現(xiàn)以下步驟：

使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后，連同設(shè)備驗證公鑰證書一同發(fā)送給身份認證服務器，以供身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，所述程序在運行時還可實現(xiàn)以下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，所述程序在運行時還可實現(xiàn)以下步驟：

完成用戶的身份驗證后，向身份認證服務器發(fā)起注銷請求，以使得身份認證服務器刪除該用戶的用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器吊銷該證書，并返回處理結(jié)果；

在收到所述處理結(jié)果后，刪除用戶認證私鑰。

第五方面，本發(fā)明實施例提供一種身份認證服務器，包括存儲介質(zhì)及存儲在存儲介質(zhì)中的計算機程序，所述程序在運行時可實現(xiàn)以下步驟：

在收到用戶設(shè)備發(fā)送的簽名數(shù)據(jù)和設(shè)備驗證公鑰證書后，使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中，所述簽名數(shù)據(jù)是使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名得到的。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，所述程序在運行時還可實現(xiàn)以下步驟：

根據(jù)身份認證服務器刪除用戶認證公鑰證書后發(fā)送的該證書的識別碼吊銷該證書，返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

第六方面，本發(fā)明提供一種證書管理機構(gòu)服務器，包括存儲介質(zhì)及存儲在存儲介質(zhì)中的計算機程序，所述程序在運行時可實現(xiàn)以下步驟：根據(jù)身份認證服務器發(fā)送的用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中：

所述用戶認證公鑰在被發(fā)送到證書管理機構(gòu)服務器之前，經(jīng)過如下的處理：在用戶設(shè)備側(cè)使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后連同設(shè)備驗證公鑰一起發(fā)送給身份認證服務器，再經(jīng)過身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽。

可選地或優(yōu)選地，所述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

可選地或優(yōu)選地，在所述使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

可選地或優(yōu)選地，所述公鑰、私鑰和用戶證書中的至少一種信息被保存在對應設(shè)備的安全存儲區(qū)域中。

可選地或優(yōu)選地，所述程序在運行時可實現(xiàn)以下步驟：在收到用戶設(shè)備的注銷請求后，刪除用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)該識別碼吊銷該證書，并返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

本發(fā)明提供的一種身份認證方法，以及基于該方法的用戶設(shè)備和服務器，是在現(xiàn)有的fido標準的系統(tǒng)架構(gòu)中，引入證書管理機構(gòu)服務器。在用戶注冊過程中，用戶認證公鑰先經(jīng)過設(shè)備驗證密鑰設(shè)備驗證私鑰簽名和設(shè)備驗證公鑰驗簽，再連同用戶信息一并發(fā)給證書管理機構(gòu)服務器生成用戶證書作為用戶認證的依據(jù)，由于證書管理機構(gòu)是權(quán)威可信的第三方機構(gòu)，由其為用戶認證公鑰背書后提高了用戶注冊和認證的安全性。

附圖說明

圖1為本發(fā)明實施例所提供的身份認證方法在用戶設(shè)備側(cè)的流程圖；

圖2為本發(fā)明實施例所提供的身份認證方法中在用戶設(shè)備側(cè)注銷證書的流程圖；

圖3為本發(fā)明實施例所提供的身份認證方法在身份認證服務器側(cè)的流程圖；

圖4為本發(fā)明實施例所提供的身份認證方法中在身份認證服務器側(cè)注銷證書的流程圖；

圖5為本發(fā)明實施例所提供的身份認證方法在證書管理機構(gòu)服務器側(cè)的流程圖；

圖6為本發(fā)明實施例所提供的身份認證方法中在證書管理機構(gòu)服務器側(cè)注銷證書的流程圖；

圖7為本發(fā)明實施例所提供的身份認證方法中dak的產(chǎn)生流程圖；

圖8為本發(fā)明實施例所提供的身份認證方法中uak的產(chǎn)生流程圖；

圖9為本發(fā)明實施例所提供的身份認證方法中用戶認證的流程圖；

圖10為本發(fā)明實施例所提供的身份認證方法中注銷證書的流程圖；

圖11為本發(fā)明實施例所提供的用戶設(shè)備的結(jié)構(gòu)示意圖；

圖12為本發(fā)明實施例所提供的身份認證服務器的結(jié)構(gòu)示意圖；

圖13為本發(fā)明實施例所提供的證書管理機構(gòu)服務器的結(jié)構(gòu)示意圖；

圖14為本發(fā)明實施例所提供的身份認證方法的整體架構(gòu)圖。

具體實施方式

為了使本技術(shù)領(lǐng)域的人員更好地理解本發(fā)明方案，下面結(jié)合附圖和具體實施方式對本發(fā)明作進一步的詳細說明。下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。

本發(fā)明實施例提供一種身份認證方法，其基本的構(gòu)思是在現(xiàn)有的fido標準的系統(tǒng)架構(gòu)基礎(chǔ)上，引入了證書管理機構(gòu)服務器(本實施例中為圖14所示的ca/ra服務器)為用戶認證公鑰背書，提高了用戶注冊和認證的安全性。

本說明書中述及的以下詞語和短語通常具有以下規(guī)定的含義，除非使用的文義另有所指：

術(shù)語“設(shè)備驗證密鑰”，英文全稱為deviceattestationkey，簡寫為dak。

“設(shè)備驗證密鑰”是一種非對稱密鑰對，包括公鑰和私鑰。該密鑰對由身份認證客戶端在設(shè)備出廠時產(chǎn)生并預置到設(shè)備安全存儲區(qū)域中。每臺設(shè)備的dak是唯一的。

“服務驗證密鑰”是一種非對稱密鑰對，包括公鑰和私鑰。該密鑰由身份認證客戶端在初次激活使用時產(chǎn)生，并使用dak的私鑰進行簽名后傳遞到身份認證服務端。

術(shù)語“用戶認證密鑰”，英文全稱為userauthenticationkey，簡寫為uak。

術(shù)語“通用認證框架”，英文全稱為universalauthenticationframework，簡寫為uaf。通用認證框架是國際fido聯(lián)盟提出的一項身份認證技術(shù)協(xié)議，利用用戶設(shè)備提供的認證能力并基于公私鑰體系完成對用戶的身份認證。

“用戶認證密鑰”是一種非對稱密鑰對，包括公鑰和私鑰。該密鑰對在用戶進行注冊時由用戶設(shè)備產(chǎn)生，用于認證最終用戶身份。

下面，結(jié)合圖1-10，分別從用戶設(shè)備側(cè)、身份認證服務器側(cè)和設(shè)備認證服務器側(cè)描述本發(fā)明實施例中的身份認證方法。

在用戶設(shè)備側(cè)，本發(fā)明實施例提供的身份認證方法，包括如下步驟：

s101:在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

在fido標準的體系下，以通用認證框架(uaf)為例，生成用戶認證公私鑰對具體可以通過以下的流程：

用戶設(shè)備通過app向應用提供方提交用戶名和其它必要用戶數(shù)據(jù)，申請啟動uaf注冊程序。應用提供方服務器收到用戶請求后，通過用戶應用向智能設(shè)備中的uaf客戶端發(fā)出注冊申請。uaf客戶端收到注冊申請后，通過應用接口調(diào)用uaf身份認證器，并向用戶提供本設(shè)備支持的本地確認方式供用戶選擇與確認；在用戶確認后，uaf身份認證器生成新的公私鑰對。此處的uaf身份認證器可以是任意一種生物信息識別裝置，包括但不限于公知的指紋識別裝置、面部識別模塊、虹膜識別模塊和語音識別裝置等。

應當理解的是，用戶在獲得一個支持uaf協(xié)議的智能終端(如手機)后，需要像日常使用那樣先在設(shè)備上錄入用戶生物特征識別信息完成本地認證。例如利用指紋識別模塊采集用戶的指紋信息、利用麥克采集用戶的語音信息、或者利用攝像頭采集用戶的面部或虹膜信息等，完成用戶與設(shè)備之間的認證信息采集，并存儲在本設(shè)備的安全單元中。

s102：使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后，連同設(shè)備驗證公鑰證書一同發(fā)送給身份認證服務器，以供身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。用戶證書優(yōu)選保存在安全存儲區(qū)域中，如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免泄漏，提高驗證過程的安全性。

證書管理機構(gòu)是一種權(quán)威、可信的第三方機構(gòu)，負責電子證書管理，所述管理包括但不限于電子證書的注冊申請、發(fā)放、取消等事宜。證書管理機構(gòu)也可以稱為認證中心，按照具體職能劃分，可以包含ca(certificationauthority--認證中心)以及配套的ra(registrationauthority--注冊審批機構(gòu))系統(tǒng)。ca中心為每個使用公開密鑰的用戶發(fā)放一個數(shù)字證書，數(shù)字證書的作用是證明證書中列出的用戶名稱與證書中列出的公開密鑰相對應。ca中心的數(shù)字簽名使得攻擊者不能偽造和篡改數(shù)字證書。ra系統(tǒng)是ca的證書發(fā)放、管理的延伸。它負責證書申請者的信息錄入、審核以及證書發(fā)放等工作；同時，對發(fā)放的證書完成相應的管理功能。發(fā)放的數(shù)字證書可以存放于ic卡、硬盤或軟盤等介質(zhì)中。除了注冊申請外，ca還允許管理員撤銷發(fā)放的數(shù)字證書，在證書廢止列表(crl)中添加新項并周期性地發(fā)布這一數(shù)字簽名的crl。

設(shè)備驗證私鑰和設(shè)備驗證公鑰可以通過以下的流程得到：

第一步，設(shè)備制造廠商(如智能手機的生產(chǎn)商)從證書管理機構(gòu)獲得代表自己身份的根公鑰證書和根私鑰證書。根公鑰證書和根私鑰證書為整個公私鑰認證系統(tǒng)中的最終追溯證書，具有高度的安全性和可靠性。

第二步，設(shè)備制造商生成一對新的公私鑰，即設(shè)備驗證公鑰和設(shè)備驗證私鑰，并使用根私鑰對設(shè)備驗證公鑰簽發(fā)證書。

第三步，將設(shè)備驗證公鑰和設(shè)備驗證私鑰在出廠時預置在用戶設(shè)備的安全存儲區(qū)域中。

在步驟s102中，用戶認證公鑰首先經(jīng)過設(shè)備驗證私鑰的簽名和設(shè)備驗證公鑰的驗簽，由于設(shè)備驗證密鑰是預置在用戶設(shè)備中的，具有較高的安全性，且設(shè)備驗證公鑰還經(jīng)過根證書的簽發(fā)，安全性更高。因此用戶認證公鑰在首次發(fā)送到身份認證服務器時就經(jīng)過了第一道具有較高安全性的驗簽過程。接著，用戶認證公鑰還連同用戶信息一起發(fā)給證書管理機構(gòu)服務器，由具有權(quán)威性和可信性的證書管理機構(gòu)服務器對其進行背書后，生成最終的用戶認證證書，安全性又提高了一個層級。

用戶認證的過程可以參考現(xiàn)有fido的標準來實現(xiàn)。例如，圖9即是一種用戶認證過程中的流程圖。在認證過程中，先由身份認證客戶端(即用戶設(shè)備)發(fā)起初始化身份認證請求給身份認證服務端，服務端產(chǎn)生隨機挑戰(zhàn)值給客戶端，客戶端通過指紋或虹膜識別等生物特征信息識別手段，解鎖uak私鑰并對挑戰(zhàn)值簽名，將隨機挑戰(zhàn)值和簽名發(fā)送到服務端，服務端使用上述的用戶公鑰證書對簽名進行驗簽，并返回驗簽結(jié)果。如果驗簽通過，則執(zhí)行相應的電子交易操作。

作為進一步地改進，本發(fā)明實施例的用戶身份認證方法還包含吊銷注冊證書的過程。在該過程中，具體包括如下的步驟：

s103：完成用戶的身份驗證后，向身份認證服務器發(fā)起注銷請求，以使得身份認證服務器刪除該用戶的用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器吊銷該證書，并返回處理結(jié)果。

步驟s103中的識別碼可以是一串序列號，用于識別用戶認證證書。證書管理機構(gòu)服務器在收到該識別碼后，在數(shù)據(jù)庫中查找到對應的證書進行刪除操作，并更新證書廢止列表(crl)。返回結(jié)果可以先返回給身份認證服務器，再進一步返回到用戶設(shè)備上以通知用戶。

通過步驟s103，用戶在注銷時，也經(jīng)過了證書管理機構(gòu)的背書，避免了冒用者非法注銷的行為。

s104：在收到所述處理結(jié)果后，刪除用戶認證私鑰。

作為一種優(yōu)選的實施方案，在上述各個設(shè)備保存公鑰或私鑰的過程中，優(yōu)先將這些密鑰保存在對應設(shè)備的安全存儲區(qū)域中，如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

在身份認證服務器側(cè)，本發(fā)明實施例提供的身份認證方法，包括如下步驟：

s201：在收到用戶設(shè)備發(fā)送的簽名數(shù)據(jù)和設(shè)備驗證公鑰證書后，使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。

其中，所述簽名數(shù)據(jù)是使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名得到的。

與用戶側(cè)的執(zhí)行步驟同理，上述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

應當理解的是，使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

作為一種優(yōu)選的改進方式，所述公鑰、私鑰和用戶證書被保存在對應設(shè)備的安全存儲區(qū)域中。如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

進一步地，本發(fā)明實施例還包括注銷的過程，注銷的過程包括如下步驟：

s202：根據(jù)身份認證服務器刪除用戶認證公鑰證書后發(fā)送的該證書的識別碼吊銷該證書，返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

上述各步驟中的具體實施方式可以參考在用戶設(shè)備側(cè)的相關(guān)描述，此處不再贅述。

在證書管理機構(gòu)服務器側(cè)，本發(fā)明實施例提供的用戶身份認證方法包括如下步驟：

s301：根據(jù)身份認證服務器發(fā)送的用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中：

所述用戶認證公鑰在被發(fā)送到證書管理機構(gòu)服務器之前，經(jīng)過如下的處理：在用戶設(shè)備側(cè)使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后連同設(shè)備驗證公鑰一起發(fā)送給身份認證服務器，再經(jīng)過身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽。

與用戶側(cè)的執(zhí)行步驟同理，上述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

應當理解的是，使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

作為一種優(yōu)選的改進方式，所述公鑰、私鑰和用戶證書被保存在對應設(shè)備的安全存儲區(qū)域中。如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

進一步地，本發(fā)明實施例還包括注銷的過程，注銷的過程包括如下步驟：

s302：在收到用戶設(shè)備的注銷請求后，刪除用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)該識別碼吊銷該證書，并返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

下面，根據(jù)上述提供的身份認證方法，結(jié)合圖7-9，描述本發(fā)明實施例提供的用于實現(xiàn)上述方法的有關(guān)裝置。

在一個實施例中，本發(fā)明提供了一種用戶設(shè)備，也可以稱為身份認證客戶端。其由用戶持有，可以是任何一種已知的用戶智能設(shè)備，包括但不限于手機、pad或智能手表等。該用戶設(shè)備可以配置有支持fido協(xié)議的操作系統(tǒng)和應用程序。此外還可以具有生物識別裝置，包括但不限于公知的指紋識別裝置、虹膜識別裝置、面部識別裝置和語音識別裝置等。

本發(fā)明實施例提供的用戶設(shè)備包括存儲介質(zhì)401及存儲在存儲介質(zhì)中的計算機程序，該程序可以被處理器402執(zhí)行，所述程序在運行時可實現(xiàn)以下步驟：

s101:在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

在fido標準的體系下，以uaf為例，生成用戶認證公私鑰對具體可以通過以下的流程：

用戶設(shè)備通過app向應用提供方提交用戶名和其它必要用戶數(shù)據(jù)，申請啟動uaf注冊程序。應用提供方服務器收到用戶請求后，通過用戶應用向智能設(shè)備中的uaf客戶端發(fā)出注冊申請。uaf客戶端收到注冊申請后，通過應用接口調(diào)用uaf身份認證器，并向用戶提供本設(shè)備支持的本地確認方式供用戶選擇與確認；在用戶確認后，uaf身份認證器生成新的公私鑰對。此處的uaf身份認證器可以是任意一種生物信息識別裝置，包括但不限于公知的指紋識別裝置、面部識別模塊、虹膜識別模塊和語音識別裝置等。

應當理解的是，用戶在獲得一個支持uaf協(xié)議的智能終端(如手機)后，需要像日常使用那樣先在設(shè)備上錄入用戶生物特征識別信息完成本地認證。例如利用指紋識別模塊采集用戶的指紋信息、利用麥克采集用戶的語音信息、或者利用攝像頭采集用戶的面部或虹膜信息等，完成用戶與設(shè)備之間的認證信息采集，并存儲在本設(shè)備的安全單元中。

s102：使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后，連同設(shè)備驗證公鑰證書一同發(fā)送給身份認證服務器，以供身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。用戶證書優(yōu)選保存在安全存儲區(qū)域中，如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免泄漏，提高驗證過程的安全性。

證書管理機構(gòu)是一種權(quán)威、可信的第三方機構(gòu)，負責電子證書管理，所述管理包括但不限于電子證書的注冊申請、發(fā)放、取消等事宜。證書管理機構(gòu)也可以稱為認證中心，按照具體職能劃分，可以包含ca(certificationauthority--認證中心)以及配套的ra(registrationauthority--注冊審批機構(gòu))系統(tǒng)。ca中心為每個使用公開密鑰的用戶發(fā)放一個數(shù)字證書，數(shù)字證書的作用是證明證書中列出的用戶名稱與證書中列出的公開密鑰相對應。ca中心的數(shù)字簽名使得攻擊者不能偽造和篡改數(shù)字證書。ra系統(tǒng)是ca的證書發(fā)放、管理的延伸。它負責證書申請者的信息錄入、審核以及證書發(fā)放等工作；同時，對發(fā)放的證書完成相應的管理功能。發(fā)放的數(shù)字證書可以存放于ic卡、硬盤或軟盤等介質(zhì)中。除了注冊申請外，ca還允許管理員撤銷發(fā)放的數(shù)字證書，在證書廢止列表(crl)中添加新項并周期性地發(fā)布這一數(shù)字簽名的crl。

設(shè)備驗證私鑰和設(shè)備驗證公鑰可以通過以下的流程得到：

第一步，設(shè)備制造廠商(如智能手機的生產(chǎn)商)從證書管理機構(gòu)獲得代表自己身份的根公鑰證書和根私鑰證書。根公鑰證書和根私鑰證書為整個公私鑰認證系統(tǒng)中的最終追溯證書，具有高度的安全性和可靠性。

第二步，設(shè)備制造商生成一對新的公私鑰，即設(shè)備驗證公鑰和設(shè)備驗證私鑰，并使用根私鑰對設(shè)備驗證公鑰簽發(fā)證書。

第三步，將設(shè)備驗證公鑰和設(shè)備驗證私鑰在出廠時預置在用戶設(shè)備的安全存儲區(qū)域中。

在步驟s102中，用戶認證公鑰首先經(jīng)過設(shè)備驗證私鑰的簽名和設(shè)備驗證公鑰的驗簽，由于設(shè)備驗證密鑰是預置在用戶設(shè)備中的，具有較高的安全性，且設(shè)備驗證公鑰還經(jīng)過根證書的簽發(fā)，安全性更高。因此用戶認證公鑰在首次發(fā)送到身份認證服務器時就經(jīng)過了第一道具有較高安全性的驗簽過程。接著，用戶認證公鑰還連同用戶信息一起發(fā)給證書管理機構(gòu)服務器，由具有權(quán)威性和可信性的證書管理機構(gòu)服務器對其進行背書后，生成最終的用戶認證證書，安全性又提高了一個層級。

用戶認證的過程可以參考現(xiàn)有fido的標準來實現(xiàn)。例如，圖9即是一種用戶認證過程中的流程圖。在認證過程中，先由身份認證客戶端(即用戶設(shè)備)發(fā)起初始化身份認證請求給身份認證服務端，服務端產(chǎn)生隨機挑戰(zhàn)值給客戶端，客戶端通過指紋或虹膜識別等生物特征信息識別手段，解鎖uak私鑰并對挑戰(zhàn)值簽名，將隨機挑戰(zhàn)值和簽名發(fā)送到服務端，服務端使用上述的用戶公鑰證書對簽名進行驗簽，并返回驗簽結(jié)果。如果驗簽通過，則執(zhí)行相應的電子交易操作。

作為進一步地改進，本發(fā)明實施例的程序在運行時還可以實現(xiàn)吊銷注冊證書的過程。在該過程中，具體包括如下的步驟：

s103：完成用戶的身份驗證后，向身份認證服務器發(fā)起注銷請求，以使得身份認證服務器刪除該用戶的用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器吊銷該證書，并返回處理結(jié)果。

步驟s103中的識別碼可以是一串序列號，用于識別用戶認證證書。證書管理機構(gòu)服務器在收到該識別碼后，在數(shù)據(jù)庫中查找到對應的證書進行刪除操作，并更新證書廢止列表(crl)。返回結(jié)果可以先返回給身份認證服務器，再進一步返回到用戶設(shè)備上以通知用戶。

通過步驟s103，用戶在注銷時，也經(jīng)過了證書管理機構(gòu)的背書，避免了冒用者非法注銷的行為。

s104：在收到所述處理結(jié)果后，刪除用戶認證私鑰。

作為一種優(yōu)選的實施方案，在上述各個設(shè)備保存公鑰或私鑰的過程中，優(yōu)先將這些密鑰保存在對應設(shè)備的安全存儲區(qū)域中，如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

在另一個實施例中，本發(fā)明提供一種身份認證服務器，包括存儲介質(zhì)501及存儲在存儲介質(zhì)中的計算機程序，該程序可以被處理器502執(zhí)行，所述程序在運行時可實現(xiàn)以下步驟：

s201：在收到用戶設(shè)備發(fā)送的簽名數(shù)據(jù)和設(shè)備驗證公鑰證書后，使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽，再將用戶信息與用戶認證公鑰一起發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存。

其中，所述簽名數(shù)據(jù)是使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名得到的。

與用戶側(cè)的執(zhí)行步驟同理，上述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

應當理解的是，使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

作為一種優(yōu)選的改進方式，所述公鑰、私鑰和用戶證書被保存在對應設(shè)備的安全存儲區(qū)域中。如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

進一步地，本發(fā)明實施例本發(fā)明實施例的程序在運行時還可以實現(xiàn)注銷的過程，注銷的過程包括如下步驟：

s202：根據(jù)身份認證服務器刪除用戶認證公鑰證書后發(fā)送的該證書的識別碼吊銷該證書，返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

上述各步驟中的具體實施方式可以參考在用戶設(shè)備側(cè)的相關(guān)描述，此處不再贅述。

在另一個實施例中，本發(fā)明提供了一種證書管理機構(gòu)服務器，包括存儲介質(zhì)601及存儲在存儲介質(zhì)中的計算機程序，該程序可以被處理器602執(zhí)行，所述程序在運行時可實現(xiàn)以下步驟：

s301：根據(jù)身份認證服務器發(fā)送的用戶信息和用戶認證公鑰生成用戶證書，并將用戶證書返回給身份認證服務器保存；其中：

所述用戶認證公鑰在被發(fā)送到證書管理機構(gòu)服務器之前，經(jīng)過如下的處理：在用戶設(shè)備側(cè)使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名后連同設(shè)備驗證公鑰一起發(fā)送給身份認證服務器，再經(jīng)過身份認證服務器使用設(shè)備制造商根公鑰證書對設(shè)備驗證公鑰進行驗證，然后使用設(shè)備驗證公鑰對簽名數(shù)據(jù)進行驗簽。

與用戶側(cè)的執(zhí)行步驟同理，上述設(shè)備驗證私鑰和設(shè)備驗證公鑰預置在用戶設(shè)備中，所述設(shè)備驗證公鑰還經(jīng)過設(shè)備制造商的根私鑰簽發(fā)。

應當理解的是，使用設(shè)備驗證私鑰對用戶認證公鑰進行簽名之前，還包括如下步驟：

在用戶注冊時生成用戶認證公私鑰對，并將用戶認證私鑰保存在用戶設(shè)備中。

作為一種優(yōu)選的改進方式，所述公鑰、私鑰和用戶證書被保存在對應設(shè)備的安全存儲區(qū)域中。如經(jīng)過加密處理的數(shù)據(jù)庫中或者可信執(zhí)行環(huán)境和安全芯片中，這樣可以避免密鑰的泄漏，提高驗證過程的安全性。

進一步地，本發(fā)明實施例的程序在運行時還包括注銷的過程，注銷的過程包括如下步驟：

s302：在收到用戶設(shè)備的注銷請求后，刪除用戶認證公鑰證書，并將該證書的識別碼發(fā)送給證書管理機構(gòu)服務器，以供證書管理機構(gòu)服務器根據(jù)該識別碼吊銷該證書，并返回處理結(jié)果，以供用戶設(shè)備刪除用戶認證私鑰。

本發(fā)明的描述是為了示例和描述起見而給出的，而并不是無遺漏的或者將本發(fā)明限于所公開的形式。很多修改和變化對于本領(lǐng)域的普通技術(shù)人員而言是顯然的。選擇和描述實施例是為了更好說明本發(fā)明的原理和實際應用，并且使本領(lǐng)域的普通技術(shù)人員能夠理解本發(fā)明從而設(shè)計適于特定用途的帶有各種修改的各種實施例。