進行身份許可證校驗、身份校驗通過后的可信標記符生成、信息系統驗證標記符的標記符有效性確認。
[0016]用戶使用身份首次登錄應用平臺時，先將身份認證系統與應用平臺帳戶信息關聯，一個身份可以關聯多個應用平臺的多個帳戶信息。認證服務器本地保存將身份信息與應用平臺的帳戶信息的對應關系，通過加密存儲技術保證數據存儲的安全性;在用戶每次使用登錄應用平臺時，認證服務器直接讀取本地數據，獲取身份信息所映射的應用平臺帳戶信息。此外，帳戶關聯允許用戶隨時撤銷認證信息與帳戶信息的關聯關系，認證服務器后臺實時更新關聯信息。身份許可證驗證包括驗證身份信息的真實性，代理驗證身份信息的合法性，之后將驗證結果返回至身份驗證請求方。用戶的身份信息驗證成功以后，認證服務器根據應用平臺特征碼、身份信息和時間戳等計算出傳輸標記符，將標記符的值以URL的形式返回給客戶端。接收應用平臺提供的應用平臺特征碼和標記符，驗證標記符的合法有效性，如果標記符己經過時或失效，則返回應用平臺相應錯誤提示；如果標記符驗證成功，則返回應用平臺與身份所關聯的帳戶列表。
[0017]所述存儲傳輸單元通過安全傳輸、安全操作以及安全存儲來實現使用身份進行身份認證的穩(wěn)定環(huán)境。
[0018]安全存儲單元分為許可證撤銷列表緩存，加密數據存儲和安全檢驗日志3個單元。設置許可證撤銷列表緩存，為應用平臺提供高效的查詢服務，同時更新最近特定時間內身份的許可證撤銷列表，保證緩存中存儲數據的實時有效性。其次，采用對存儲數據的加密是安全存儲的基礎。采用DES算法對數據進行加密存儲。另外，安全檢驗單元記錄服務器運行過程中所形成的操作信息。可對服務器訪問信息，數據庫中數據的更新，以及系統出現故障等進行實時監(jiān)測，并形成日志文件，加密存儲至后臺數據庫中，為認證服務器的檢驗工作提供可靠依據。安全操作單元保障認證服務器的帳戶信息關聯、關鍵操作核準以及身份認證管理。在身份信息關聯、身份信息驗證等關鍵操作環(huán)節(jié)，從功能和性能兩方面分別進行實時檢測，如果出現異常情況及時進行處理。安全傳輸單元通過對數據進行加密傳輸，防止信息在網絡傳輸時被惡意攻擊或截獲。在與應用平臺、客戶端以及身份信息服務器進行交互時，通過安全傳輸單元規(guī)定的傳輸加密協議，將需要傳輸的數據有明文轉為密文，發(fā)送至接收方。接收方根據密鑰再將密文轉換為明文。安全傳輸單元有效保證認證服務器與應用平臺以及客戶端的安全通信。此外，為減少通信流量的產生，降低網絡延遲，安全傳輸單元設計高效、精簡、安全的通信協議和數據格式應用于認證服務器與應用平臺之間的通信。
[0019]本發(fā)明基于RFID的身份終端內置RFID通信模塊，使用非接觸方式與智能設備交互，配置相應的RFID讀卡器與PC連接，將身份標識芯片接近讀卡器，即可使用身份標簽進行身份認證。身份標識芯片的內部物理結構包括主處理器，片上存儲器、RFID模塊即前端單元模塊，天線以及其他必要的物理硬件。身份標識芯片中各個組件協調工作，共同實現了身份標識芯片的各項功能。
[0020]身份標簽采用PKI，通過在網絡環(huán)境中把需要傳輸的數字信息進行加密和簽名，來保證信息傳輸的真實性、完整性、機密性和不可否認性。身份認證采用PKI機制將個人的身份與后臺數據庫關聯，從而實現前端匿名，后端實名，有效地保護用戶的個人隱私信息。此夕卜，身份設置PUK碼保護機制，用戶使用身份時需要先輸入PUK碼，保證了身份標識芯片的安全使用。
[0021]RFID通信控制模塊，用于身份標識芯片周圍射頻信號的調解與解調工作，同時也處理非接觸通信的相關協議與規(guī)則，以實現信號的發(fā)送與接收，另一邊通過單線連接協議SWP與可信平臺模塊通信，進行RFID標簽信息的讀寫操作。
[0022]為保障片上存儲器中數據的安全存儲，在片上存儲器中添加可信平臺模塊。對于片上存儲器中存儲的敏感數據進行運算和加密，通過RFID前端模塊，與外部讀寫設備進行通信，保證數據交換過程中的安全性。
[0023]客戶端用于與終端用戶進行交互，讀取身份標識芯片中的有效信息，并與認證服務器建立安全的會話通道驗證身份信息的合法性，之后，客戶端將身份信息的驗證結果返回至應用平臺。
[0024]客戶端由五個模塊構成:讀取芯片信息、身份認證、結果處理，用戶顯示和日志記錄模塊。當用戶使用登錄時，APP會調用客戶端，發(fā)出身份認證的請求，同時向客戶端程序提供APP標識，此標識用于身份認證成功后查詢并獲取用戶帳戶列表?？蛻舳送ㄟ^智能設備的RFID單元獲取相關身份信息。驗證用戶輸入PUK碼。驗證PUK碼成功之后，將獲取的身份信息傳入身份認證模塊，通過無線局域網絡建立安全可信的網絡會話通道，與認證服務器進行信息交互。認證服務器返回的認證信息由三個域組成，分別是認證結果、用戶ID、異常代碼，根據認證結果的不同，這三個域組合使用，可分為兩大類。一類是身份認證失敗，認證服務器返回異常代碼，此時根據異常代碼的不同向用戶顯示相關信息，與此同時向應用平臺返回認證失敗，無法進行后續(xù)操作的結果。另一類是身份認證成功，此時認證服務器返回由應用平臺特征碼、身份許可證信息、時間戳等數據計算出來的傳輸標記符，結果處理模塊向應用平臺返回認證成功的結果提示，同時將此傳輸標記符返回應用平臺，應用平臺根據傳輸標記符進行后續(xù)的驗證操作。身份認證的結果返回APP，顯示結果，認證成功即顯示成功；認證失敗根據返回的錯誤情況代碼給用戶相應的提示，如身份許可證過期；記錄最近的身份認證結果作為后臺數據備份，包括APP申請身份認證的時間戳、APP標識、身份許可證序列號、認證結果、認證結束時間以及其他備注信息。日志文件采用文本格式，加密存儲在客戶端自身的程序空間內?？蛻舳藢ν馓峁┨囟ǖ墓δ芙涌?，方便APP的接口。在客戶端運行的整個周期內，用戶只需要將身份標識芯片接近智能設備背面即可獲得相應的身份信息。
[0025]應用平臺管理端先向認證服務器應用平臺特征碼，認證服務器審核應用平臺管理端的合法性，之后為每個應用平臺管理端分配一個唯一標識應用平臺的字符串記為應用平臺特征碼。應用平臺向認證服務器驗證身份信息時，提供應用平臺特征碼，認證服務器先檢驗應用平臺特征碼的合法性，隨后再處理應用平臺提交的身份驗證請求。
[0026]應用平臺一方面與客戶端交互，發(fā)送身份認證請求以及用戶的事務請求(包括登錄、注冊和修改密碼)，同時接收并解析客戶端反饋的身份驗證結果;另一方面，應用還與認證服務器進行安全的通信，驗證傳輸標記符的有效性，并根據驗證結果執(zhí)行相應的事務邏輯操作。
[0027]應用平臺使用程序間調用或者使用瀏覽器調用客戶端提出身份認證申請，并接收客戶端返冋的身份認證結果。應用平臺根據獲取到的結果進一步對用戶的身份進行判定。認證失敗直接拒絕操作。認證成功，客戶端會返回網絡，此時應用平臺需要將此用戶ID發(fā)送至應用平臺所在的服務器。服務器收到用戶ID后，需要與認證服務器建立安全可信的會話通道，驗證此用戶ID的合法性。驗證通過之后獲取與身份關聯的用戶信息，由應用平臺所在服務器執(zhí)行事務邏輯，同時用戶端應用平臺完成登錄操作。
[0028]根據移動身份認證的框架，將移動身份認證的操作流程細化為以下步驟，其中將應用平臺進一步細化為應用門戶和后臺服務器。
[0029]用戶登錄應用平臺，應用門戶向后臺服務器發(fā)起登錄請求。
[0030]后臺服務器檢測到用戶登錄請求，將用戶的登錄請求、身份認證服務的訪問路徑以及應用平臺唯一標識發(fā)給應用門戶。其中，應用平臺