一種身份識別設備的安全認證方法
【專利摘要】本發(fā)明公開了一種身份識別設備的安全認證方法，該方法包括：虛擬機VM層中的通訊模塊將接收到的外部設備發(fā)送的身份識別信息經(jīng)由運行環(huán)境RE層發(fā)往COS層；所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作，或者，通過顯示屏顯示該身份識別信息攜帶的驗證提示信息，并在接收到用戶返回的確認指令后，所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作；所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證。通過采用本發(fā)明公開的方法，降低了身份識別設備的開發(fā)成本，并提高了開發(fā)效率。
【專利說明】一種身份識別設備的安全認證方法
【技術領域】
[0001]本發(fā)明涉及身份識別以及安全認證【技術領域】，尤其涉及一種身份識別設備的安全認證方法。
【背景技術】
[0002]隨著互聯(lián)網(wǎng)技術以及電子商務的發(fā)展，網(wǎng)上銀行作為非常方便快捷的支付手段之一，受到了越來越多的用戶的認可，成為了最受歡迎的資金管理方式之一。然而，網(wǎng)上操作資金存在一定的安全風險，主要風險來自于無法對操作人員的身份進行有效并且安全的識別。
[0003]針對上述的安全問題，目前普遍采用外置身份識別設備(USBKey)進行安全認證。而運行在設備當中的安全認證邏輯以及支持邏輯運行的操作系統(tǒng)全部是由Native(本地函數(shù))方式實現(xiàn)的。正是由于這樣的開發(fā)結(jié)構，使得此技術方案存在如下幾點不可避免的缺點:
[0004]I)市場適應性不強。目前該類產(chǎn)品種類繁多，而且行業(yè)內(nèi)沒有形成統(tǒng)一的標準規(guī)范，各個商業(yè)銀行之間也存在著一定的差異。在這種行業(yè)背景下，如果采用完全固化到芯片中的Native平臺則很難具備應有的靈活性。無法快速的適應多變的市場需求。
[0005]2)快速進入市場能力不強。傳統(tǒng)應用的Native平臺需要進行COS的掩模，而且這一過程通常需要2-3個月的周期，這無疑延緩了產(chǎn)品上市的時間。
[0006]3)開發(fā)過程繁雜:如果采用Native平臺開發(fā)Key產(chǎn)品，需要從底層一點一滴做起，包括通訊協(xié)議、加密算法、內(nèi)存管理、數(shù)據(jù)存儲等，任何環(huán)節(jié)出現(xiàn)錯誤都會導致整個項目的崩潰。
[0007]4)項目初期整體成本高:一般來說NativeKey的成本優(yōu)勢只有在大規(guī)模生產(chǎn)的時候才能夠體現(xiàn)出來，因為芯片廠商都會收取一筆不菲的掩模費。對于初期公司還不具有很大市場份額的時候以及行業(yè)地位時，Native平臺的成本優(yōu)勢并不突出。
【發(fā)明內(nèi)容】
[0008]本發(fā)明的目的是提供一種身份識別設備的安全認證方法，降低了身份識別設備的開發(fā)成本，并提高了開發(fā)效率。
[0009]本發(fā)明的目的是通過以下技術方案實現(xiàn)的:
[0010]一種身份識別設備的安全認證方法，該方法包括:
[0011]虛擬機VM層中的通訊模塊將接收到的外部設備發(fā)送的身份識別信息經(jīng)由運行環(huán)境RE層發(fā)往卡片操作系統(tǒng)COS層；
[0012]所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作，或者，通過顯示屏顯示該身份識別信息攜帶的驗證提示信息，并在接收到用戶返回的確認指令后，所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作；[0013]所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證。
[0014]所述經(jīng)由RE層發(fā)往COS層包括:
[0015]所述RE層接收到所述VM層發(fā)送的身份識別信息后，選擇包含身份識別功能且與所述身份識別信息的應用，或者，將所述包含身份識別功能且與所述身份識別信息的應用設置為默認應用后直接選擇；
[0016]所述RE層記錄該應用所需要的資源進行分配并注冊管理，再發(fā)送至COS層。
[0017]所述RE層具有防火墻機制，用于控制和管理多個應用自身的資源和上下文環(huán)境。
[0018]所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證包括:
[0019]所述外部設備進行簽名結(jié)果的驗證，若驗證通過，則通過安全認證；否則，安全認證失敗。
[0020]由上述本發(fā)明提供的技術方案可以看出，該身份識別設備基于Java平臺實現(xiàn)，其整體架構劃分為虛擬機)層，RE(運行環(huán)境)層及C0S(卡片操作系統(tǒng))層，通過這三層的接口進行交換資源來進行安全認證；相對于目前方案而言，I)降低開發(fā)成本，并提高開發(fā)效率。使用Java平臺進行開發(fā)的話，則只需要關注應用本身，只需要梳理清楚身份識別流程就可以快速的開發(fā)出符合客戶需要的產(chǎn)品。而關于算法、通訊等等功能模塊已經(jīng)在下面的虛擬機層中單獨實現(xiàn)，這必然會簡化開發(fā)的過程，還可以實現(xiàn)此類公共模塊功能的復用。另外，因為只需要把Java平臺虛擬機掩膜芯片中，JavaKey COS層可以自由下載安裝和刪除；所以，當需求發(fā)生變化時，只需要修改JavaKey COS層并重新編譯下載安裝即可，而不需要重新掩膜。2)市場適應性強，因為管理身份識別邏輯的COS層以及其附屬的文件系統(tǒng)是以Java平臺應用的形式存在于整體系統(tǒng)架構的最上層，所以COS層除了具有控制業(yè)務邏輯的能力之外，還具有Java卡應用的特點，可以靈活的下載與刪除。所以，對于變化的市場需要，可以快速的做出反應，成為滿足需求的產(chǎn)品。3)快速進入市場能力強。Java平臺在應用程序開發(fā)完畢后，就可以下載到芯片中，完成對外銷售，相當于節(jié)省掩膜的時間，這對于瞬息萬變的市場而言，時間是如此的彌足珍貴。
【專利附圖】
【附圖說明】
[0021]為了更清楚地說明本發(fā)明實施例的技術方案，下面將對實施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領域的普通技術人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他附圖。
[0022]圖1為本發(fā)明實施例一提供的一種身份識別設備的安全認證方法的流程圖；
[0023]圖2為本發(fā)明實施例一提供的一種基于Java平臺的身份識別設備的整體架構示意圖；
[0024]圖3為本發(fā)明實施例一提供的一種身份識別設備實現(xiàn)多應用管理的示意圖；
[0025]圖4為本發(fā)明實施例一提供的一種身份識別設備的多接口結(jié)構的示意圖；
[0026]圖5為本發(fā)明實施例一提供的一種基于Java平臺的身份識別設備的安全認證方法的流程圖；[0027]圖6為本發(fā)明實施例一提供的一種基于Java平臺的身份識別設備的實現(xiàn)支付功能或者存取款操作的流程圖。
【具體實施方式】
[0028]下面結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明的實施例，本領域普通技術人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明的保護范圍。
[0029]實施例一
[0030]圖1為本發(fā)明實施例一提供的一種身份識別設備的安全認證方法的流程圖。如圖1所示，該方法主要包括如下步驟:
[0031]步驟11、VM層中的通訊模塊將接收到的外部設備發(fā)送的身份識別信息經(jīng)由RE層發(fā)往COS層。
[0032]具體來說，所述RE層接收到所述VM層發(fā)送的身份識別信息后，選擇包含身份識別功能且與所述身份識別信息的應用，或者，將所述包含身份識別功能且與所述身份識別信息的應用設置為默認應用后直接選擇；所述RE層記錄該應用所需要的資源進行分配并注冊管理，再發(fā)送至COS層。
[0033]同時，所述RE層具有防火墻機制，用于控制和管理多個應用自身的資源和上下文環(huán)境。
[0034]步驟12、所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作，或者，通過顯示屏顯示該身份識別信息攜帶的驗證提示信息，并在接收到用戶返回的確認指令后，所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作。
[0035]步驟13、所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證。
[0036]具體來說，所述外部設備進行簽名結(jié)果的驗證，若驗證通過，則通過安全認證；否貝U，安全認證失敗。
[0037]為了便于理解本發(fā)明，下面結(jié)合附圖2-6對本發(fā)明做進一步說明。
[0038]本發(fā)明實施例中，身份識別設備基于Java平臺實現(xiàn)，主要劃分為三層。如圖2所不，最低一層為Java卡虛擬機(Java Card Virtual Machine, VM層),第二層為Java卡的運行時環(huán)境(Java Card Runtime Environment, RE層)，第三層為具有身份識別邏輯的COS層以及支持其功能的文件系統(tǒng)。且此三層通過接口進行交換資源，所以具有松散的機構特性。
[0039]其中，VM層，用于向上層提供空間管理、安全算法支持、通訊服務、安全控制、應用管理等服務接口。RE層，用于將VM層提供的功能封裝成為Java能夠調(diào)用的方法接口，完成對上層JavaKey COS層和下層VM的分離。同時,為JavaKey COS層的運行提供運行資源。COS層，具備獨立的系統(tǒng)指令集以及文件系統(tǒng)(FileSystem);同時，還具備安全管理機制；該機制包括對密鑰的管理、敏感數(shù)據(jù)的安全管理。通過指令可以在該層之上創(chuàng)建擁有身份識別邏輯的應用。
[0040]進一步的，本發(fā)明實施例中，身份識別設備還可實現(xiàn)多應用管理。如圖3所示，RE層具有防火墻(FireWall)機制，用來控制和管理應用自己的資源和上下文環(huán)境，這樣的設計可以滿足一卡多用的需求。例如，將PBOC(中國人民銀行)應用和身份識別應用一起下載到設備中，完成具有支付功能的身份識別設備。
[0041]本發(fā)明實施例中，身份識別設備可以通過多種接口與外部設備進行通信，例如，藍牙通訊接口、傳統(tǒng)USB通訊接口、NFC (近場通訊)接口等。如圖4所示，可通過圖4所示的至少3種接口與外部設備通訊。通信模塊與安全處理器為所述身份識別設備的芯片部分(其中包含安全算法協(xié)處理器)；設置顯示屏與按鍵的目的在于增強操作的安全性。
[0042]基于所述身份識別設備進行安全認證的方法，其流程如圖5所示，主要包括:
[0043]I)身份識別信息攜帶著驗證信息通過VM層的通信模塊進入到RE層。
[0044]2)進入RE層后，選擇應用為默認應用；也可直接將具有身份識別功能的應用安裝成為默認應用。
[0045]3)選擇完畢應用后，RE記錄為該應用所需要的資源進行分配并注冊管理，之后由通信模塊接收的指令都會被轉(zhuǎn)發(fā)到該應用。
[0046]4)應用的指令分發(fā)系統(tǒng)會甄別出指令的功能將其分發(fā)到各個功能子模塊。若指令具有安全指令屬性的話，還要檢查此時的安全狀態(tài)，以此來判斷是否要對該指令進行安全處理。即對指令的安全報文進行解析。處理完的APDU(應用協(xié)議數(shù)據(jù)單元)指令將以明文形式繼續(xù)下發(fā)。
[0047]5)本步驟可以有兩種情況:a.如果信息是身份識別信息1，則由將在顯示屏上顯示提示信息，如卡號之類的提示等信息。b.如果信息是身份識別信息2，則需要用戶進行按鍵確認操作，如目前使用的Ukey操作；此后，系統(tǒng)將會輪詢等待獲得按鍵狀態(tài)信息；若用戶點擊取消按鍵，則退出整個認證過程返回；若用戶點擊確定按鍵，則進行身份認證過程的安全驗證過程。
[0048]6)進入安全驗證之后，身份認證應用會獲得存儲在安全芯片中的密鑰或數(shù)字證書同時，將要操作的數(shù)據(jù)傳遞到芯片中的安全算法協(xié)處理器。即完成對身份認證計算的準備過程。
[0049]7)準備結(jié)束。此時，結(jié)合應用安裝支出為其分配的軟件資源，借助協(xié)處理器的計算輔助，完成對身份認證的計算過程。將計算結(jié)果通過通訊模塊反饋到外部設備。
[0050]示例性的，可基于上述身份識別設備來實現(xiàn)支付功能(刷卡消費)或者在ATM機上進行相應的存取款操作。所述身份識別設備中的芯片中保存有安全操作需要的算法密鑰以及數(shù)字證書。
[0051]具體步驟如6所示,包括:
[0052]I)通過VM層的通信模塊與外部設備建立通信連接。
[0053]2)通過VM層的通信模塊接收外部設備發(fā)送的身份識別信息，并經(jīng)由RE層傳輸至COS 層。
[0054]3)所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作，或者，通過顯示屏顯示該身份識別信息攜帶的驗證提示信息，并在接收到用戶返回的確認指令后，所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作。
[0055]4)所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證；如驗證通過，則可完成支付功能或存取款操作；否則，驗證失敗，終止交易。
[0056]另一方面，所述身份識別設備中的芯片可以通過外接設備將身份識別應用下載到芯片中，同時可以下載銀行專屬應用來實現(xiàn)一卡多用。通過通訊接口可以實現(xiàn)傳統(tǒng)USBKey的功能，或者通過NFC、藍牙，完成移動支付的身份識別功能。其主要實現(xiàn)流程與上述步驟I)-4)類似，僅增加了 “選擇身份識別應用”這一步驟，故不再贅述。
[0057]本發(fā)明實施例的身份識別設備基于Java平臺實現(xiàn)，其整體架構劃分為VM(虛擬機)層，RE(運行環(huán)境)層及COS層，通過這三層的接口進行交換資源來進行安全認證；相對于目前方案而言，I)降低開發(fā)成本，并提高開發(fā)效率。使用Java平臺進行開發(fā)的話，則只需要關注應用本身，只需要梳理清楚身份識別流程就可以快速的開發(fā)出符合客戶需要的產(chǎn)品。而關于算法、通訊等等功能模塊已經(jīng)在下面的虛擬機層中單獨實現(xiàn)，這必然會簡化開發(fā)的過程，還可以實現(xiàn)此類公共模塊功能的復用。另外，因為只需要把Java平臺虛擬機掩膜芯片中，JavaKeyCOS可以自由下載安裝和刪除；所以，當需求發(fā)生變化時，只需要修改JavaKey COS并重新編譯下載安裝即可，而不需要重新掩膜。2)市場適應性強，因為管理身份識別邏輯的COS層以及其附屬的文件系統(tǒng)是以Java平臺應用的形式存在于整體系統(tǒng)架構的最上層，所以COS層除了具有控制業(yè)務邏輯的能力之外，還具有Java卡應用的特點，可以靈活的下載與刪除。所以，對于變化的市場需要，可以快速的做出反應，成為滿足需求的產(chǎn)品。3)快速進入市場能力強。Java平臺在應用程序開發(fā)完畢后，就可以下載到芯片中，完成對外銷售，相當于節(jié)省掩膜的時間，這對于瞬息萬變的市場而言，時間是如此的彌足珍
蟲
貝ο
[0058]以上所述，僅為本發(fā)明較佳的【具體實施方式】，但本發(fā)明的保護范圍并不局限于此，任何熟悉本【技術領域】的技術人員在本發(fā)明披露的技術范圍內(nèi)，可輕易想到的變化或替換，都應涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應該以權利要求書的保護范圍為準。
【權利要求】
1.一種身份識別設備的安全認證方法，其特征在于，該方法包括: 虛擬機VM層中的通訊模塊將接收到的外部設備發(fā)送的身份識別信息經(jīng)由運行環(huán)境RE層發(fā)往卡片操作系統(tǒng)COS層； 所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作，或者，通過顯示屏顯示該身份識別信息攜帶的驗證提示信息，并在接收到用戶返回的確認指令后，所述COS層調(diào)用預先下載的算法密鑰或數(shù)字證書對所述身份識別信息進行簽名操作； 所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證。
2.根據(jù)權利要求1所述的安全認證方法，其特征在于，所述經(jīng)由RE層發(fā)往COS層包括: 所述RE層接收到所述VM層發(fā)送的身份識別信息后，選擇包含身份識別功能且與所述身份識別信息的應用，或者，將所述包含身份識別功能且與所述身份識別信息的應用設置為默認應用后直接選擇； 所述RE層記錄該應用所需要的資源進行分配并注冊管理，再發(fā)送至COS層。
3.根據(jù)權利要求1或2所述的安全認證方法，其特征在于， 所述RE層具有防火墻機制，用于控制和管理多個應用自身的資源和上下文環(huán)境。
4.根據(jù)權利要求1所述的安全認證方法，其特征在于，所述簽名結(jié)果經(jīng)由RE層再通過VM層中的通訊模塊傳輸至外部設備進行簽名結(jié)果的驗證，從而實現(xiàn)安全認證包括: 所述外部設備進行簽名結(jié)果的驗證，若驗證通過，則通過安全認證；否則，安全認證失敗。
【文檔編號】H04L29/06GK104038348SQ201410307395
【公開日】2014年9月10日 申請日期:2014年6月30日 優(yōu)先權日:2014年6月30日
【發(fā)明者】李愷鑫 申請人:北京金玉衡科技有限責任公司