申请/专利权人：崔云虎

申请日：2015-04-23

公开（公告）日：2020-05-15

公开（公告）号：CN106576044B

主分类号：H04L9/30(20060101)

分类号：H04L9/30(20060101);H04L9/32(20060101);H04L9/08(20060101)

优先权：

专利状态码：有效-授权

法律状态：2020.05.15#授权;2017.05.17#实质审查的生效;2017.04.19#公开

摘要：本发明的各实施例通过将基于公钥认证书加密的生物信息预先保存在用户所有或者持有的设备例如，智能卡、通信终端等中，并在设备内部通过生物匹配执行用户认证第一次用户认证。此外，使用与加密的生物信息匹配的公钥认证书进行在应用服务器上执行的、用于承认交易等的用户认证第二次用户认证。此外，本发明实施例为了强化第一次第二次用户认证的安全采用了附加的认证要素，如一次性密码OneTimePassword、键击Keystroke、动态签名DynamicSignature、位置信息等。进一步地，本发明的另一实施例在控制物联网设备的接入方面，采用由第一次认证认证和第二次用户认证构成的认证算法。

主权项：1.一种将人员注册为物联网IoT装置的认证用户的方法，所述方法包括：通过便携式装置获取人员的生物数据或多个生物数据信息的组合；从人员的生物数据信息或多条生物数据的组合生成生物编码；获取IoT装置的固有识别数据；从IoT装置的固有识别数据生成IoT装置编码；在便携式装置中存储的公钥认证书的扩展字段中嵌入包含生物编码和IoT装置编码的验证编码；生成密钥和公钥对，其中所述密钥包含所述验证编码；以及向与所述IoT装置通信的远端对象传送所述公钥，从而使得所述远端对象将人员注册为所述IoT装置的认证用户。

全文数据：泛在环境中的认证技术领域[0001] 本发明涉及一种包括在线离线认证的泛在环境中的用户认证和物联网设备认证。背景技术[0002]该部分记载的内容仅用于提供本发明实施例的背景信息，而不是用于限制本发明。[0003] 伴随着产业的发展，物联网1T的应用被得到关注。例如，作为个人使用的装备的智能电视、吸尘器机器人、汽车导航、及各种提供云服务的远端服务，而且如水库、核电站等人类很难直接进入的设施的远端管理和管控及交通管控系统中也在尝试使用物联网。但是，对于载有通信功能和自身采集并处理数据功能的物联网设备和物联网系统，由于使用主体和所有者之间的关系不够明确，因此可能成为网络空间的攻击对象。[0004] 尤其，构成目前物联网的物联网设备大体上计算功能简单、安全性薄弱，处于容易受到攻击的状态。基于物联网网络的特点，特定领域的安全性薄弱及基于该薄弱环节的网络攻击，会导致对其它产业领域产生恶劣影响的副作用。[0005]只具有简单的通信功能的物联网设备，不能仅仅依靠安装网络安全软件保障网络安全，因此物联网设备需要额外内设安全硬件模块或者整个系统中采用安全方案。物联网安全问题的例子包括在物联网设备或者网络上植入恶意代码，导致重要信息泄露或者触发伪造或变形的系统障碍，使攻击者能够从远端自由地操纵等。尤其，作为典型的示例，感染有恶意代码的终端接入网络时会造成十分严重的损害。作为典型示例，通过远端控制无人汽车电动车智能汽车能够制造交通事故，能够引起医院的医疗设备的误操作并危及患者生命等。[0006] 物联网网络中必须保障物联网设备的完整性，必须能够透明地了解接入网络的物联网设备的可靠性，必须能够确认终端或者网络的使用者的合法性。[0007] 现有的信息保护有关的系统中，非法用户通过获取合法用户的个人信息、密码、生物信息等进行黑客行为。作为另一反面示例，认证机构CertificateAuthority发行的公钥认证书由于没有个人认证信息，因此如果能够盗取公钥认证书和认证书密码，则存在他人可以非法使用的缺点。此外，如果盗取了用户的账号、密码或者详细信息等并且知道用户的认证信息时，利用正常的终端在远端登录企业或者政府机关的业务系统，则存在可正常且自由地使用业务系统的问题。凭借路边捡到的企业员工的集成芯片制作的电子身份证卡，通过盗用相片等信息，能够如同合法的用户正常出入企业的出入关门，该问题是硬件安全的典型示例。此外，媒体经常报道由于没有利用账号、密码、生物信息、令牌、OTP及PKI认证进行多元Mult1-Factor认证而是分别单独使用，导致黑客在中间通过变形或者伪造等方法进行黑客的示例。发明内容[0008] 本发明的目的在于，提供一种包括在线离线认证的泛在环境中用户认证和物联网设备物联网设备认证的方法，及使用该方法的设备和认证系统。[0009] 本发明的各实施例通过将基于公钥认证书加密的生物信息预先保存在用户所有或者持有的设备例如，智能卡、通信终端等中，并在设备内部通过生物匹配执行用户认证第一次用户认证。此外，使用与加密的生物信息匹配的公钥认证书进行在应用服务器上执行的、用于承认交易等的用户认证第二次用户认证。此外，本发明实施例为了强化第一次第二次用户认证的安全采用了附加的认证要素，如一次性密码OneTimePassword、键击Keystroke、动态签名DynamicSignature、位置信息等。进一步地，本发明的另一实施例在控制物联网设备的接入方面，采用由第一次认证认证和第二次用户认证构成的认证算法。[0010] 根据本发明的一侧面，本发明提供一种基于公钥认证书的认证管理系统中基于用户持有的携带装置进行用户注册的方法，所述方法包括:利用规定的加密运算法在所述公钥认证书上加密用户生物信息或者生物信息的组合，并将加密的生物信息保存在所述携带装置内的步骤所述方法还包括记号所述加密的生物信息或者生物信息的组合并生成生物编码的步骤及所述公钥认证书的扩展字段中嵌入至少包括所述生物编码的验证码并生成一对钥匙包括密钥和公钥步骤。此外所述方法还包括向远端对象传送所述公钥并请求注册所述用户的步骤。[0011] 公钥认证书的区域中，处生物编码之外，还还包括基于所述携带装置赋予的固有识别信息导出的附加代码，基于显示请求所述用户认证的位置的位置信息导出的附加代码，基于所述用户赋予的固有识别信息导出的附加代码和基于显示所述用户的行为特征的特征信息到吃的附加代码，基于赋予物联网设备的设备识别信息到吃的附加代码中至少任意一个。[0012] 根据本发明的另一侧面，一种用户认证方法，在基于公钥认证书的认证管理系统中，作为基于用户持有的携带装置而进行的用户认证方法，所述携带装置保存有嵌入包括所述生物编码的验证码的密钥和用于导出所述生物编码的经过加密的生物信息或者生物信息的组合，所述方法包括:获得用户生物信息或者生物信息的组合的步骤和将所述用户生物信息或者生物信息的组合与保存在所述携带装置的加密的生物信息和所述生物编码中至少一个比较的步骤。此外，当所述方法所述用户生物信息或者生物信息的组合与所述加密的生物信息和所述生物编码中至少一个匹配时，将所述密钥中嵌有验证码的认证信息向远端对象传送，并请求认证所述用户的步骤。[0013] 提供一种认证管理方法，其包括在基于公钥认证书的认证管理系统中，作为基于用户所持有的携带装置和通过网络链接的远端对象而进行的认证管理方法，所述方法包括:从所述携带装置接收，包括生物编码的验证码被嵌入的密钥所对应的公钥，基于接收的公钥执行用户注册的步骤。在此，所述生物编码由用户生物信息或者生物信息的组合导出。此外，所述认证管理方法还包括从所述携带装置接收，包括被嵌入在所述密钥的验证码的认证信息，利用所述公钥验证接收的认证信息，并基于验证结果执行所述用户的认证的步骤。[0014] 根据本发明的又一侧面，提供一种认证管理方法，在基于公钥认证书的认证管理系统中，作为基于提供服务的公用终端和管理所述公用终端的应用服务器而执行的认证管理方法，所述方法包括所述应用服务器，从所述携带装置接收被嵌入包括生物编码的验证码的密钥所对应的公钥，基于接收的公钥执行用户注册的步骤。在此，所述生物编码基于用户生物信息或者生物信息的组合导出。此外，还包括所述公用终端，从所述携带装置接收包括被嵌入在所述密钥的验证码的认证信息，基于利用接收的认证信息的所述公钥向所述应用服务器请求验证，基于所述验证结果执行所述用户认证的步骤及所述用户认证成功时，所述公用终端提供服务的步骤。[0015] 根据本发明的实施例，提供一种更加强化的服务认证功能。通过使用将编码或者记号的生物信息嵌入公钥认证书的扩张区域的公钥认证书即，生物认证书，能够防止保存在智能卡或者通信终端的加密的生物信息或者电子签名的伪造。[0016] 本发明的各种实施例可应用于会计系统、电子结算系统、政府公共机构金融机构发行的电子居民证、签证、年金、保险、交通卡、电子选举、电子钱包、折价卷等。该情况下，他人即使知道特定用户的简单的个人信息、卡信息，生物信息或者公认证书信息等，也能防止他人的非法使用。[0017] 进而，本发明的各种实施例，能够强化远端接入业务系统的信息保护。附图说明[0018]图1a是本发明一实施例涉及的泛在环境中的用于用户认证管理的系统的示意图。[0019]图1b是本发明另一实施例涉及的泛在环境中用于用户认证管理的系统的示意图。[0020]图2a至图2c是图示本发明一实施例涉及的通信终端和智能卡之间的通信方式的示意图。[0021]图3a是图示本发明一实施例涉及的智能卡的阶层结构的示意图。ί0022]图3b是图示本发明一实施例涉及的智能卡的物理结构的示例图。[0023]图3c是图示本发明一实施例涉及的智能卡的功能结构的概略图。[0024]图4a是说明本发明一实施例涉及的用户注册程序的流程图。[0025]图4b是说明本发明另一实施例涉及的用户注册程序的流程图。[0026]图5 a和图5b是图示应用于本发明一实施例涉及的用户认证管理系统的公钥认证书的格式。[0027]图6是图示图5⑻图示的公钥密钥的EV领域中保存的代码的格式和从智能卡传送的认证信息的格式的示例图。[0028]图7a是图示本发明一实施例涉及的用户认证程序的流程简图。[0029]图7b是图示本发明一实施例涉及的用户认证程序的流程简图。[0030]图8a和图Sb是本发明一实施例涉及的泛在环境中用于物联网设备的用户管理的系统结构的示意图。[0031]图9a是说明本发明一实施例涉及的设备用户注册程序的流程图。[0032]图9b是说明本发明另一实施例涉及的设备用户注册程序的流程图。[0033]图1Oa是说明本发明一实施例涉及的设备用户认证程序的流程图。[0034]图1Ob是说明本发明另一实施例涉及的设备用户认证程序的流程图。[0035]图11是基于在线离线环境的泛在认证系统的示意图。[0036]图12是说明本发明一实施例涉及的离线环境中用户认证程序的流程图。[0037]图13是可采用本发明实施例的应用领域的列表。[0038]图14是说明各种生物信息及其组合的不同用途的示意图。具体实施方式[0039] 以下参照附图对本发明的实施例进行详细说明如下。标注附图标记时，即使相同技术特征在不同的附图中出现，也尽可能使用了相同的附图标记。同时还要注意，在通篇说明书中，如果认为对相关已知的技术特征和功能的具体说明可能会导致本发明主题不清楚，则省略其详细说明。[0040] 此外，在说明本发明的组成要素的过程中，可以使用第一、第二、A、B、a、b等用语。这些用语仅仅是为了区分相应技术特征与其他技术特征，并非限定其本质、次序或顺序等。以上记载的“包括”或者“具有”等表述，如果没有特别相反的记载，则是指该组成要素存在于内部，应该理解为非排除其他组成要素，而是还包括其他组成要素。而且，以上记载的’…部’，’模块’等用语是指至少能够处理一个功能的或者动作的单位，可由硬件或者软件或者硬件和软件的结合实现。进而，本发明的说明过程中使用的“物联网Internet-of-Things:1T”可理解为包括各标准化机构各自使用的M2MMachine-to-Machine:机对机、MTCMachineTypeCommunicat1ns:机械型交流、SDCSmartCommunicat1n:智能交流、M0CMachineOrientedCommunicat1ns:明显机器的交流等。[0041]图1a是本发明一实施例涉及的泛在环境中的用于用户认证管理的系统的示意图。[0042] 参照图la，用户认证管理系统包括认证机构110CertificateAuthority:CA、智能卡120、应用服务器130、认证服务器140、通信终端150及日志保存服务器160。[0043] 认证机构110发行记录有认证机构的信息认证书版本、有效期限、运算法、发行机构等的公钥认证书Publickeycertificate。用户注册步骤中，公钥认证书转换为与用户生物信息匹配的公钥认证书。即，公钥认证书用于生成嵌有与用户生物信息匹配的代码的公钥密钥。公钥认证书可以是基于公钥基础设施PKI的公认认证书或者私有认证书Privatecertificate。一般情况下，公钥认证书由认证机构110的服务器发行给用户，但是也可在产品设计或者生产时预先设置在通信终端或智能卡的安全区域例如，集成芯片、安全元件SE、TEETrustedExecut1nEnvironment:可信执行环境、操作系统、中央处理单元、内存、云安全元件等。[0044]智能卡120内置的生物感应器、集成芯片或者内存等上保存有用于与密钥和感应的生物信息比较的加密的生物信息^EncryptedB1metricdata及其它各种信息。此外，密钥中嵌有生物编码，该生物编码通过编码或者记号加密的生物信息而生成。[0045] 智能卡120通过加密基于公钥认证书的用户生物信息，并编码或者记号加密的生物信息并生成生物编码。智能卡120将生成的生物编码嵌入公钥认证书中，并生成一对钥匙即，公钥和密钥。生物编码B1metriccode或者密钥用于验证加密的生物信息的完整性Integrity、不可否认性Non-repudiat1n等，可用于生物签名B1Signature。如上所述生成的生物编码如同令牌token—样使用，也可与OTPOneTimePassword:一次性密码，亦称为Dynamiccode:动态代码等结合使用。在此，公钥认证书中编码并嵌入的生物信息可以是注册用户的指纹信息、血管信息、声音信息、虹膜信息，尺度信息，面部信息、心脏脉搏等。智能卡120将公钥向应用服务器130或者认证服务器140传送，应用服务器或者认证服务器在以后的认证程序中使用接收的公钥。[0046] 部分实施例中，智能卡120通过分别编码用户的互不相同的多个生物信息并将生成的生物编码合并嵌入一个认证书中。例如，指纹+虹膜、面部轮廓+声音、心跳+虹膜等互不相同的生物信息的组合，可以使用如指纹I拇指+指纹2食指，虹膜I右边+虹膜2左边相同类的生物信息的组合。使用多个生物信息的组合时，各生物信息的嵌入顺序例如，指纹I—指纹2—指纹3或者指纹—虹膜也可以作为认证要素。另一实施例中，智能卡可将用户的互不相同的生物信息或者生物信息的组合嵌入不同的公钥认证书中。又一实施例中，基于用户的物理签名手写签名或者动态签名或者键击的生物信息输入方式导出的代码作为附加的认证要素，可嵌入认证书中。在此，用户输入物理签名或者键击具有一定意义的单词或者数字的行为特征或者行为模式要素，即，时间、速度、方向、压力、位置信息等可作为附加的认证要素考虑。[0047] 此外，部分实施例中，出于附加的目的或者作为认证要素，智能卡120在生物编码上连接一个以上的各种附加代码而生成一对钥匙。例如，基于智能卡120上赋予的固有识别信息导出的附加代码，基于显示所述用户认证或者注册的请求位置的位置信息导出的附加代码，基于赋予所述用户的固有识别信息导出的附加代码及基于显示所述用户的行为特征的特征信息导出的附加代码，基于赋予物联网设备的设备识别信息导出的附加代码中至少一个附加代码可连接在所述生物编码上。[0048] 进而，智能卡120在公钥认证书中嵌入生物编码并生成一对钥匙公钥密钥的过程中，基于互不相同的生物信息或者生物信息的组合生成多个生物编码，并可将多个生物编码以相互区分的状态嵌入所述公钥认证书的扩展字段中。各生物编码中可连接前述的一个以上的附加代码。其结果，密钥和公钥包括连接多个生物编码或者附加代码的多个生物编码。该情况下，多个生物编码可用于互不相同的目的。例如，多个生物编码中一个被指定用于所述密钥的正常的用户认证。其余的一个以上的生物编码被指定用于显示出于他人的胁迫而使用所述密钥、用于请求解除基于传送的公钥注册的用户、用于请求初始化基于远端对象例如，应用服务器、认证服务器、中央控制器等管理的认证管理系统等。[0049] 通信终端150通过有线或者无线方式与智能卡120连接，通过响应从智能卡120收到的校准开始信号，在智能卡120和应用服务器130之间开设虚拟专用网VirtualPrivateNetwork:VPN，从智能卡120接收基于注册认证书的认证信息，并向应用服务器130传递。此外，，通信终端150可作为在用户注册程序或者用户认证程序中生成智能卡120的密钥公钥所需的信息的获取手段而使用。在此，所需的信息包括用户生物信息、动态签名、物联网设备的识别信息等。通信终端150可具有一个以上生物感应器、触屏、照相机、麦克风等，或者与一个以上生物感应器、触屏、照相机、麦克风等连接。通信终端150不仅是指个人所拥有的通信终端例如，移动手机，平板电脑，台式电脑，机顶盒等，而且包括公用的服务终端自动出纳器，自助服务机，销售终端等，进而应该理解为是指包括与通信网络上的远端对象进行通信的所有装置。[0050] 认证服务器利用用户注册程序中获得的公钥验证从智能卡或者通信终端传送来的认证信息。例如，认证服务器接收用户注册程序中智能卡或者通信终端利用公钥认证书Publickeycertificate生成的公钥，之后的用户认证步骤中，基于应用服务器的请求，并基于从智能卡或者通信终端接收的认证信息对公钥进行验证。[0051] 应用服务器130是指向认证用户提供银行信用卡BankCreditCard服务、支付服务、电子政务服务、云服务、物联网设备互动服务、紧急服务等各种服务的服务供应商的服务器。应用服务器130通过智能卡或者通信终端，基于智能卡收到的认证信息进行用户认证。例如，应用服务器向认证服务器请求验证认证信息，基于所述验证结果，可对用户进行认证。依据部分实施例，应用服务器和认证服务器可在单一服务器内以功能性组成要素的形式实现。[0052]日志保存服务器160记录智能卡120接入应用服务器的历史的日志数据和认证结果，该记录能够在通信终端150上显示。此外，应用服务器130接入认证机构服务器、信用卡公司的服务器等并重新确认用户信息时，日志保存服务器160可记录并保存对所述服务器的接入及结果。此外，日志保存服务器160还监视智能卡120和应用服务器130之间开设的VPN170，并可兼VPN防火墙的作用以阻断非法用户的接入。进而，日志保存服务器可确认电子钱包的合法用户，并发行或者打印具有生物编码的电子发票。[0053]日志保存服务器160记录的数据可用于数字取证Digital Forensic。例如，日志数据可用于以后确认或者证明用户行为。例如，由智能卡向应用服务器130传送的认证信息中包括用户的物理签名信息，通过将所述物理签名信息与日志数据一同保存，可在以后的电子发票或者请款单等中以印刷品或者电子形式标识。[0054] 图1b是本发明另一实施例涉及的泛在环境中用于用户认证管理IdentityManagement的系统的示意图。[0055]图1a图示了智能卡120独立于通信终端150形成的结构，而如图1b所示，根据本发明另一实施例，智能卡120的功能可独立于通信终端150。即，与用户生物信息匹配的认证书可在通信终端150内的安全元件SE:安全内存和执行环境、中央处理单元、操作系统等保存管理。通信终端150内的安全元件可在如用户身份识别卡，通用用户身份识别卡，手机内存卡，近场通讯卡等的集成芯片内形成。[0056] 通信终端150无需与智能卡互动，可利用与用户生物信息匹配的认证书进行用户认证程序。此外，通信终端可具备用于感应生物信息的各种类型的生物感应器，具备用于从物联网设备获取设备信息的合适的输入感应手段，或者可与具有所述手段的外部装置互动。即使没有特殊的说明，通信终端150也具有本发明通篇说明的智能卡的功能或者操作上需要的各种特征所对应的特性。[0057]图1b的通信终端包括个人所拥有的通信终端例如，移动电话，如表、眼镜、戒指等的可穿戴设备，平板电脑，台式电脑，机顶盒等，进而，可理解为包括能够与通信网络的远端对象进行通信的所有装置。[0058]图2a至图2c是图示本发明一实施例涉及的通信终端和智能卡之间的通信方式的示意图。图2a至图2c假设图1的通信终端由如同智能电话的移动终端构成的情况。[0059] 根据部分实施例，如图2a所示，智能卡通过软件狗Pocket-sizeddongle与通信终端通信。软件狗可通过接触式或者非接触式与智能卡发送接收信息。软件狗可插入如智能电话的音频接口Aud1Jack或者MicroUSB接口等上。基于上述结构，用户在智能手机中插入软件狗，在软件狗上标注Tagging智能卡或者刷智能卡，从而能够将智能卡与通信终端进行连接以进行通信。软件狗为了安全优选提供基于硬件的加密。[0060] 根据另一实施例，如图2b所示，智能卡可通过无线通信方式例如，NFC，RFID等与通信终端直接地通信方式连接。[0061] 根据又一实施例，如图2c所示，智能卡可以直接插入通信终端的、USB软件狗的形式形成。[0062]图3a是图示本发明一实施例涉及的智能卡的阶层结构的示意图。[0063]智能卡的物理阶层包括中央处理单元，内存及输入输出端口。内存可由只读内存ROM，可读写内存RAM，电可擦编程只读存储器EEPROM，可擦编程只读存储器EPROM，闪速可编程可擦除只读存储器，铁电随机存取内存FeRAM等各种元件中任意一个或者其组合构成。选择性地，智能卡还可包括显示器和或一个以上生物感应器。选择性地，智能卡还可包括物理不可克隆函数PUF回路。[0064]智能卡的应用层涉及智能卡的操作系统或者应用程序的功能性组成要素，例如，可分为生物信息获取模块B1metricdataacquisit1nmodule，生物信息管理模块B1metricdatamanagementmodule，生物认证模块B1metricauthenticat1nmodule，设备信息获取模块设备dataacquisit1nmodule，VPN管理模块VPNmanagementmodule，OTP生成模块OTPgenerat1nmodule，钥匙管理模块Keymanagementmodule及认证处理模块Authenticat1nexecut1nmodule。以下参照图3c对各功能性组成要素进行说明。[0005]图3b是图示本发明一实施例涉及的智能卡的物理结构的示例图。[0066] 如图3b所示，本发明实施例中，智能卡300包括内置中央处理单元内存操作系统PUF回路等的集成芯片301、一个以上的生物感应器303及显示器304。[0067] 图3b的智能卡300利用内置的生物感应器303可感应用户注册程序和用户认证程序中所需的一个以上的用户生物信息中的至少一部分。生物感应器303可由指纹识别感应器、虹膜识别感应器、声音识别感应器、血管识别感应器、尺度识别感应器、面部facial感应器、心跳heartbeat感应器、动态签名dynamicSignature感应器等构成。尤其是，动态签名感应器可与触屏式显示器304结合。[0068]智能卡300可将集成芯片301的操作系统中央处理单元内存等上内置的OTP生成模块生成的一次性密码OTP显示在显示器304上。此外，智能卡300还可以将下列信息显示在显示器304上。[0069]-生物匹配结果的显示[0070]-输入的生物信息或者生物信息的组合所对应的密钥存在与否的显示[0071]-输入的生物信息或者生物信息的组合所对应的多个密钥的目录[0072]-注册的动态签名[0073]图3c是图示本发明一实施例涉及的智能卡的功能结构的概略图。[0074]图3c图示的智能卡的各组成要素还可以是逻辑上可区分的功能性组成要素，或者是与物理的组成要素结合的功能性组成要素。即，各组成要素是为了实现本发明的技术思想的功能性组成要素，因此即使整合或者分离地执行各组成要素，只要能够执行本发明的功能性组成要素的功能，就可以解释为属于本发明的范围，只要能够执行相同或者类似功能，其名称一致与否无关，皆可认为属于本发明的范围。[0075]如图3c所示，智能卡的功能性要素可分为生物信息获取模块311、生物信息管理模块312、钥匙管理模块313、生物认证模块314、VPN管理模块315、认证处理模块316、设备信息获取模块318及OTP生成模块317。[0076] 生物信息获取模块311在用户注册程序和用户认证程序中获取用户生物信息。部分实施例中，生物信息获取模块311可从智能卡310内置的生物感应器获取用户生物信息。另外的实施例中，生物信息获取模块311可从具备生物感应器的通信终端或者其它外部设备例如，自动出纳器，自助服务机，销售终端，读卡机等获取生成的生物信息。[0077] 生物信息管理模块312基于公钥认证书加密生物信息获取模块311在用户注册程序中获取的生物信息，并将加密的生物信息保存在智能卡例如，智能卡的集成芯片内置内存，智能卡内置的生物感应器等并管理。部分实施例中，生物信息管理模块312加密并保存用户的多个生物信息。例如，可将用户的各手指的指纹信息保存在智能卡上，可将用户两只眼睛的虹膜信息保存。此外，还可保存用户的指纹+虹膜，虹膜+面部等各种组合的生物信息。[0078]钥匙管理模块313基于公钥认证书编码或者记号加密的生物信息并生成生物编码，将生成的生物编码嵌入公钥认证书110中，并生成嵌有生物编码的一对钥匙密钥和公钥。钥匙管理模块313将生成的密钥安装或者保存在智能卡的集成芯片内置的内存、中央处理单元、操作系统、应用程序等上，将生成的公钥向认证服务器或者应用服务器传送。根据部分实施例，出于附加的目的或者作为认证要素，钥匙管理模块313在生物编码上连接一个以上的各种附加代码并生成一对钥匙。以下为了防止发生混淆，生成一对钥中使用的公钥认证书即，没有嵌入生物编码的公钥认证书将被称为“空白认证书blankcertificate”。[0079] —实施例中，空白认证书blankcertificate可预先安装或者保存在智能卡中。即，在智能卡的生成发行的步骤中，政府生产商金融提供者服务供应商等可预先将一个以上的空白认证书安装或保存在智能卡的集成芯片，操作系统，中央处理单元，内存等上。该情况下，优选地，应限制只有智能卡120的发行机构才能将认证书保存在智能卡上。另一实施例中，智能卡可通过通信终端从认证机构CA的服务器获取发行的空白认证书。又一实施例中，认证书管理模块313可复制保存在电脑或者通信终端中的空白认证书。空白认证书基于例如服务的类型或目的，服务提供期限，用户的信用度等，可限制有效期限或者使用目的。空白认证书的有效期限可与智能卡的有效期限相同。此外，多个空白认证书的有效期限互不相同，其使用目的也不相同。[0080] 生物认证模块314比较生物信息获取模块311获取的生物信息和智能卡内保存的加密的生物信息。而且，生物认证模块314比较生物信息获取模块311获取的生物信息和智能卡内保存的公钥认证书内嵌入的生物编码。即，生物认证模块314判断生物信息是否与预先保存的加密的生物信息及生物编码匹配。部分实施例中，生物认证模块314也可设计为只将预先保存的加密的生物信息或者生物编码中任意一个与获取的生物信息进行比较。[0081] VPN管理模块315负责开设和管理与应用服务器等远端对象RemoteEntity间的VPN，并提供点对点的加密且安全的传送区间。例如，当生物认证模块122判断获取的生物信息与预先保存的加密的生物信息及生物编码相匹配时，VPN管理模块315向通信终端传送校准开始信号以开设与应用服务器间的VPN。校准开始信号可包括开设VPN的目的地URL。在此，通信终端150不仅是指个人所拥有的通信终端例如，移动手机，平板电脑，台式电脑，机顶盒等，而且包括公用的服务终端自动出纳器，自助服务机，销售终端等，进而应该理解为是指包括与通信网络上的远端对象进行通信的所有装置。[0082] 此外，生物信息管理模块312管理多个生物信息时，VPN管理模块315基于通过生物信息输入模块311实时输入的生物信息与多个预先保存的生物信息中任意一个的匹配，指定不同的VPN开设目的地URL并传送校准开始信号。目的地URL是指向认证用户提供银行信用卡BankCreditCard服务，支付服务，电子政务服务，云服务，物联网设备互动服务，紧急服务等各种服务的服务供应商的服务器。所述URL可在智能卡的制作步骤或者认证书的发行步骤，或者密钥公钥生成步骤中被保存。例如，URL可嵌在智能卡中预先保存的公钥认证书Publickeycertificate中，可与公钥认证书保存在相同的区域。优选地，保存区域应该为集成芯片内只读区域。另一实施例中，智能卡接收额外新发行的公钥认证书时，可同时接收发行的公钥认证书及相关的URL，或者可接收发行的嵌有相关URL的公钥认证书。这种公钥认证书优选保存在集成芯片内可读写的区域。进而，URL优选地以与生物编码合并的形式嵌入密钥公钥。[0083] 进一步，多个生物信息中特定的生物信息或者多个生物信息的组合可赋予顺序中特定的组合可用于指定用户的危险紧急状态。例如，特定生物信息对应的校准开始信号为了告知用户的危险紧急状态可向预定的URL例如，警察厅服务器，安全管理服务器开设VPN。根据该设定，当用户迫于他人的威胁被迫利用智能卡120进行用户认证程序时，通过使用多个注册的生物信息中预先预定的特定的生物信息，可不被施加威胁的人发现且能够向警察厅的服务器传送用户的危险紧急状态信号。该危险紧急状态信号也可作为以后对应被迫使用的保险处理或者诉讼的证据。[0084] 当通往应用服务器的通信通道开通时，认证处理模块316将以钥匙管理模块313管理的密钥为基础的认证信息向对应的应用服务器传送并认证处理智能卡120的用户的合法性。以后将参照图6对认证信息进行说明。[0085]智能卡还可包括OTP生成模块317 ATP生成模块317以智能卡120的发行机构预定的方式生成一次性密码onetimepassword;0TP。部分实施例中，基于OTP生成模块317生成的OTP以智能卡120的用户可识别的的方式显示在智能卡自带的显示器上，OTP生成模块317可将用户输入的OTP向认证处理模块316传递。另一实施例中，OTP生成模块317生成的一次性密码不显示在显示器上而直接向认证处理模块316传递。向认证处理模块316传递的OTP与基于认证书的认证信息一同组合并向目标对象的终端传送。由此能够验证认证该智能卡120是基于合法的发行机构的发行。需要说明的是，该技术领域的背景技术中，使用了智能卡以外的OTP设备。[0086] 进而，智能卡120还可包括设备信息获取模块318。设备信息获取模块318获取物联网设备的识别信息。物联网设备的识别信息是指在生产、流通或者购买之初，赋予各物联网设备的固有的识别信息，具体说明参照图6在以后进行说明。设备信息获取模块318可从具备内置于智能卡120的感应器或者具备一个以上的感应器的通信终端150或者其它外部设备例如，自动出纳器，自助服务机，销售终端，读卡机等接收物联网设备的识别信息。[0087]图4a是说明本发明一实施例涉及的用户注册程序的流程图。图4a图示的用户注册程序适合于具有图1a所示结构的用户认证系统。图4a假设智能卡中预先例如，智能卡制作或者发行时保存有公钥认证书，但是也可以从认证机构CA的服务器获得新发行的公钥认证书。[0088]首先，通信终端获取用户生物信息，并将获取的用户生物信息向智能卡传递S401〜S402。在此，生物信息的获取可利用内置于通信终端的生物感应器，也可以利用与通信终端连接的外部生物感应器。不同于图4a图示，另一实施例中，智能卡可利用内置的生物感应器直接获取用户生物信息。[0089] 获取用户生物信息的智能卡基于预先保存pre-stored或者预先存在的pre-existing公钥认证书加密用户生物信息S403。即，智能卡基于公钥认证书规定的加密运算法，加密生物信息。[0090] 此外，智能卡编码或者记号加密的生物信息并生成代码S404。编码或者记号运算法保存在智能卡的应用程序中，或者在公钥认证书中规定。例如，部分实施例中，编码或者记号过程中，可利用公钥认证书规定的信息摘要运算法Message-Digestalgorithm。代码是基于公钥认证书编码用户生物信息的信息，可称之为“生物编码b1metriccode”或者“生物电子签名b1metricdigitalsignature”。[0091] 然后，智能卡将生物编码嵌入公钥认证书的EV区域ExtendedValidat1ndomain生成一对钥匙公钥和密钥。即，生成的密钥和公钥中嵌有生物编码。密钥和加密的生物信息一同保存在智能卡内以在之后的用户认证程序中使用S405。图4a中虽未图示，所述生物编码可连接作为附加的认证要素的、以与生物编码相同或者相似的方式生成的各种附加代码。例如，公钥认证书的区域中，除了生物编码还可以嵌入至少一个以下信息，即，基于赋予所述携带装置的固有识别信息导出附加代码，基于所述用户认证的请求位置的位置信息导出的附加代码，基于赋予所述用户的固有识别信息导出的附加代码及基于显示所述用户的行为特征的特征信息导出的附加代码，基于赋予物联网设备的设备识别信息导出的附加代码。以后将参照图6对附加代码进行说明。[0092] 此外，智能卡将公钥经通信终端向认证服务器或者应用服务器传送并请求用户注册S406。公钥的传送可利用虚拟专用网VirtualPrivateNetwork:VPN。认证服务器注册用户并在另外安全的数据库中管理公钥S407〜S408。[0093]图4b是说明本发明另一实施例涉及的用户注册程序的流程图。图4b图示的用户注册程序适合于具有图1b所示结构的用户认证系统。因此，图4b的通信终端包括个人所拥有的通信终端例如，移动手机，平板电脑，台式电脑，机顶盒等，进而应该理解为是指包括与通信网络上的远端对象进行通信的所有装置。[0094] 首先，为了用户注册，通信终端向认证机构CA的服务器请求发行公钥认证书S451。认证机构的服务器向通信终端发行公钥认证书S452。不同于图4a图示，另一实施例中，通信终端中可预先保存例如，通信终端生产或者销售时公钥认证书。[0095] 然后，通信终端获取用户生物信息S453。在此，生物信息的获取可利用内置于通信终端的生物感应器，也可以利用与通信终端连接的外部生物感应器。[0096] 然后，通信终端基于发行的公钥认证书加密用户生物信息S454。即，通信终端基于公钥认证书规定的加密运算法加密生物信息。加密的生物信息保存在通信终端中以在之后的用户认证程序中使用。[0097] 通信终端编码或者记号加密的生物信息并生成代码S卩，生物编码S455。编码或者记号运算法保存在智能卡的应用程序中，或者在公钥认证书中规定。部分实施例中，编码或者记号可使用公钥认证书规定的信息摘要运算法Message-Digestalgorithm等。[0098] 然后，智能卡将生物编码嵌入公钥认证书的EV区域并生成一对钥匙公钥和密钥S456。即，生成的密钥和公钥中嵌有生物编码。密钥保存在智能内以在之后的用户认证程序中使用。图4a中虽未图示，其它附加代码能够以与生物编码相同或者相似的方式生成，并作为附加认证要素嵌入公钥认证书。[0099] 此外，通信终端将公钥经通信终端向认证服务器或者应用服务器传送并请求用户注册S457。公钥的传送可利用虚拟专用网VirtualPrivateNetwork:VPN。认证服务器注册用户并利用另外安全的数据库管理公钥S458至S459。[0Ί00]图5a和图5b是图示应用于本发明一实施例涉及的用户认证identity管理系统的公钥认证书的格式。[0101] 公钥认证书例如，基于公钥PKI的ITU-T标准X.509认证书是指互联网商务或者交易时交易双方可信赖性的一种电子保证书。公钥认证书可由特定的政府或者金融机构等指定的认证机构、私设认证机构、产品制造商或者装置服务提供机构发行。[0102]图5 a图示了不经过用户注册程序的公钥认证书的格式的示例。公钥认证书收录有版本、序列号、签名运算法、发行者、有效期限、公钥、发行者的电子签名等。需要注意的是，不经过用户注册程序的公钥认证书的EV区域为空白。[0103] 图5b图示了通过用户注册程序，基于公钥认证书生成的公钥认证书公钥密钥的格式的示例。不同于图5a，经过用户注册程序的公钥认证书或者由此生成的公钥密钥，其EV区域中嵌有编码用户生物信息而生成的生物编码b1metriccodeJV区域中保存的生物编码可连接concatenated作为附加认证要素的、各种附加代码。关于附加代码的具体说明以后将参照图6进行说明。[0104] 本发明可使用各发行主体和各种格式的公钥认证书。因此，嵌有生物编码的公钥认证书的格式不局限于图5a和图5b，嵌有生物编码的公钥认证书的扩张区域也不只局限于EV区域。[0105]图6是图示图5 b图示的公钥密钥的EV领域中保存的代码的格式和从智能卡传送的认证信息的格式的示例图。[0106]如前所述，公钥密钥的EV区域中可只保存编码用户生物信息而生成的生物编码参照图6a，也可保存生物编码与各种附加代码中一个以上的附加代码连接而形成的代码。例如，实施例中，基于用户所拥有的物联网设备的识别信息编码或者记号形成的附加代码即，设备代码可与生物编码连接参照图6b和6C。在此，物联网设备的识别信息是指生产、流通或者购买时赋予各物联网设备的固有识别信息。物联网设备的识别信息包括设备号码，出库信息，序列号，电子产品代码EPC，通用产品代码UPC，物理不可克隆函数PUF，全球发货标识号GSIN，物理地址等。物联网设备的识别信息可从以印刷物形式粘贴在物联网设备上的BarCode,QRcode或者物联网设备内置的电子元件上收集。设备代码的使用用途将在以后的部分参照图8进行说明。[0107]另一实施例中，基于保存有公钥认证书的智能卡或者通信终端的识别信息编码或者记号生成的附加代码可连接在生物编码上参照图6d。在此，保存有公钥认证书的智能卡或者通信终端的识别信息包括例如，密码杂凑函数值、物理不可克隆函数PUF、支付卡号码等。[0108] 又一实施例中，编码或者记号政府或者银行等出于公共的目的赋予用户的固有识别信息例如，社会安全号码，唯一识别信息，个人接入号码或者与用户的行为特征相关的信息例如，键击，动态签名而生成的附加代码可与生物编码连接参照图6e和图6f。与用户的行为特征相关的信息可通过智能卡或者通信终端自带的触屏获取。[0109] 又一实施例中，基于通信终端或者智能卡的位置信息例如，全球定位系统GPS，地球观测组织GEO位置编码或者记号所得的附加代码可与生物编码连接。附加代码作为附加认证要素，可用于判断是否为超出正常交易位置距离的位置上进行的交易行为例如，金融交易，信赖性服务行为，金融结账，支付服务，缴费，从而能够感知和防止由于失窃、丢失等引起的非法交易或者应用于证明所述非法交易。[0110] 进而，生物编码可连接多个附加代码参照图6g至图6⑴。图6j是生物编码连接多个附加代码而形成的代码的示例。连接的代码中生物编码和附加代码的长度可相同也可不同。[0111] 生成所述附加代码的运算法的应用方式与生成生物编码的运算法实质上是相同。此外，附加代码的生成步骤中加密的数据例如，加密的动态签名可与密钥一同保存在智能卡或者通信终端内。保存的加密的数据可作为智能卡或者通信终端内执行的第一次用户认证基于生物匹配的附加认证手段而使用。[0112]图6 j是用户认证程序中向应用服务器传送的认证信息中包括的代码的示例。即，认证信息包括嵌在密钥的代码或者与密钥连接的代码。相关的内容将在以后参照图7a进行说明。[0113] 尤其，嵌在密钥公钥的代码和从智能卡传送的认证信息基于应用例和或安全强度，可具有不同的格式，不只局限于图6示例的几种顺序或者组合。进而，图6图示的认证要素之外还可以附加使用其他要素。[0114]图7a是图示本发明一实施例涉及的用户认证程序的流程简图。图7a图示的用户注册程序适用于具有图1a图示结构的用户认证系统。[0115]首先，通信终端获取用户生物信息，并将获取的用户生物信息向智能卡传递S701至S702。在此，生物信息的获取可利用内置于通信终端的生物感应器，也可以利用与通信终端连接的外部生物感应器。不同于图7a图示，另一实施例中，智能卡可利用内置的生物感应器直接获取用户生物信息。[0116] 然后，智能卡比较获取的生物信息与保存在智能卡的、加密的生物信息和或保存在智能卡的密钥内嵌入的生物编码S703。即，智能卡判断获取的生物信息是否与预先保存的加密的生物信息和或生物编码匹配。[0117] 然后，当获取的生物信息与预先保存的加密的生物信息和生物编码匹配时，智能卡将基于密钥的认证信息经通信终端向应用服务器传送S704。认证信息的传送可利用虚拟专用网VPN。例如，智能卡为了与应用服务器开设VPN，向通信终端传送校准开始信号，通信终端对应校准开始信号在应用服务器和智能卡之间开设VPN。智能卡通过开设的VPN向应用服务器传送认证信息。所述校准开始信号可包括VPN的目的地URL信息。[0118] 应用服务器向认证服务器请求验证接收的认证信息S705。认证服务器利用已注册的公钥，验证认证信息。应用服务器基于认证服务器的验证结果，结束用户认证S706至S708o[0119]另外，向应用服务器传送的认证信息基于嵌在保存在智能卡的密钥的代码参照图6a至图6i而生成。例如，认证信息可包括嵌在公钥认证书的EV区域的生物编码或者生物编码连接的代码。部分实施例中，认证信息不仅包括嵌在认证书的EV区域的代码，还包括通过基于内置于智能卡的软件的OTP生成器生成的OTP参照图6j。各认证要素生物代码，0TP，PUF等以独立地形式传送，各认证要素也能够以连接为一个认证数据的形式传送。[0120] 部分实施例中，向应用服务器传递的认证信息还可包括用于证明用户的认证行为的固有信息。优选地，固有信息可由可认证用户的条形码barcode、用户电子签名e_signing等的形式构成。此外，所述条形码、用户电子签名等能够以印刷物的形式打印。利用智能卡的认证行为可在发票或者存根等上打印条形码或者签字，可提高合同的信赖度。另一实施例中，向应用服务器传递的认证信息还可包括传送认证信息的开始的时间点有关的起点信息。又一实施例中，向应用服务器传递的认证信息还可包括开始用户注册的起始时间例如，密钥公钥生成起始时间，或者认证服务器的用户注册结束时间有关的信息即，时间标识。[0121] 所述的用户认证程序相比于背景技术，可提供如下的用户体验UserExperience。例如，假设利用智能卡进行网上银行。为了登录，现有技术的输入网上银行服务的应用服务器所需的用户账号ID:1dentifier的步骤，可由基于用户生物信息开设通信通道的骤取代。此外，现有技术的输入用户密码的步骤可由通过开设的通信通道传送包括嵌在密钥中的代码的认证信息的步骤取代。此外，现有技术的输入公钥认证书的密码的步骤可由比较用户生物信息与嵌在公钥认证书的匹配信息的步骤取代。即，根据本发明的实施例，可省略现有技术的应用服务器中所需的输入认证书和密码的步骤。如上所述，通过利用智能卡进行校准和认证处理，可实现利用生物信息的单点登录。[0122] 进而，根据背景技术的多因素认证，账号密码认证书密码OTP等所有认证要素作为独立的认证要素分别进行管理。与此形成对比的是，根据本发明的实施例，加密的用户生物信息、生物编码、附加代码以连接的形式可作为认证信息而使用。因此，一站式且点击支付的泛在认证能够实现更加安全的多因素认证。[0123]图7b是图不本发明一实施例涉及的用户认证程序的流程简图。图7b图不的用户注册程序适用于具有图1b图示的结构的用户认证系统。[0124]首先，通信终端获取用户生物信息S751。在此，生物信息的获取可利用内置于通信终端的生物感应器，也可以利用与通信终端连接的外部生物感应器。[0125] 然后，通信终端比较获取的生物信息与保存在通信终端的、加密的生物信息和或通信终端内保存的密钥内嵌入的生物编码S752。即，通信终端判断获取的生物信息是否与预先保存的加密的生物信息和或生物编码匹配。[0126] 然后，当获取的生物信息与预先保存的加密的生物信息和生物编码匹配时，通信终端将基于密钥的认证信息向应用服务器传送S753。认证信息的传送可利用虚拟专用网VPN。例如，通信终端在智能卡与应用服务器之间开设VPN，智能卡通过开设的VPN向应用服务器传送认证信息。[0127] 应用服务器向认证服务器请求验证接收的认证信息S754。认证服务器利用已注册的公钥，验证认证信息。应用服务器基于认证服务器的验证结果，结束用户认证S755至S757。[0128]上述说明是对利用嵌有生物编码的密钥公钥的用户认证方法的说明。以下将要说明的本发明部分实施例是将用户的生物编码和物联网设备的识别信息结合，并用于管理管制物联网设备。以下参照图8、图9、图1Oa及图1Ob对物联网设备相关的本发明实施例进行说明。[0129]图8a和图Sb是本发明一实施例涉及的泛在环境中用于物联网设备的用户管理系统结构的示意图。[0130] 如图8a所示，具有有线和无线通信功能的多个物联网设备850形成物联网网络800。如前所述，智能卡810在基于公钥认证书生成密钥公钥的过程中，除了生物编码还可以嵌入基于用户所拥有的物联网设备的识别信息编码生成的附加代码即，设备代码。由此，使用户的生物编码和物联网设备的识别信息相互关联，从而可证明用户和物联网设备的所有关系。[0131] 根据本发明的实施例，智能卡810生成嵌入生物编码和设备代码的密钥和公钥，密钥保存在智能卡810内部，而公钥向相关的物联网设备850传递。智能卡810将基于密钥的认证信息向物联网设备850传送，物联网设备850利用公钥，验证认证信息，从而可进行用户所有者认证。[0132]另外，覆盖企业建筑物营业地点家车等一定区域的网络中，可以有用于管理注册，监视，控制等连接网络上各种物联网设备的物联网设备例如，家庭网络中的机顶盒，接入点等，即中央管制设备830。中央管制设备830还可以起到用户界面的作用，而且还可具有通过组合各物联网设备850的功能，提供各种整合服务的功能。该情况下，智能卡810将每个物联网设备850相应的公钥向中央管制设备830传递，从而可用于物联网设备850的网络注册和用于远端控制物联网设备850的用户所用者认证等。[0133] 此外，智能卡810向提供物联网服务的物联网服务提供商的服务器840传送公钥，从而可用于网络的物联网设备的注册和用于远端控制物联网设备的用户所有者认证等。[0134] 此外，智能卡810向物联网设备850的生产商销售商的服务器传送公钥，从而可用于物联网设备的所有者注册变更转让等必要的用户所有者认证。[0135] 进而，智能卡向通信终端820例如，移动手机传送与各物联网设备相关的公钥，通信终端820通过利用物联网设备的公钥，从而可作为遥控器控制各物联网设备S850。例如，用户通过使用保存在智能卡上的密钥，在通信终端820上进行用户认证程序第一次认证，如果第一次认证成功，无需与智能卡进行互动，通过利用保存在通信终端820的公钥，可执行对个别物联网设备或者中央管控设备830的控制。[0136]另外，根据本发明另一实施例，特定的生物信息的组合可作为用于物联网设备的重新设置功能或者用于控制物联网设备的必要功能而使用。例如，当物联网设备处于故障或者管制失控等状态时，嵌入基于特定定生物信息的组合生成的代码信息的密钥公钥，用于物联网设备的重设功能或者用于控制物联网设备的必要功能而使用。[0137]另外，图8a的智能卡810的功能可整合在通信终端820上。即，根据本发明的另一实施例，如图Sb所示，通信终端860生成嵌入生物编码和设备代码的密钥和公钥。通信终端860将密钥保存在其内部，并将公钥向相关物联网设备850，物联网服务提供商的服务器840，物联网设备的生产商销售上的服务器，中央管制设备830传递。[0138] 以下参照图9a至图10b，以中央管制设备为对象，对物联网设备的用户所有者注册和认证程序进行说明。相同相似的程序显而易见能够以物联网设备、物联网服务提供商的服务器和物联网设备的生产商销售商的服务器为对象执行。[0139]图9a是说明本发明一实施例涉及的设备用户注册程序的流程图。图9a图示的用户注册程序适用于具有图8a图示的结构的设备用户认证系统。[0140]作为选择性的预先程序，智能卡810通过利用预先保存的嵌有加密的生物信息和或生物编码的密钥，对进行设备用户注册程序的用户可进行生物认证。即，智能卡810可设置为只允许对已注册用户进行设备用户注册程序。[0141]首先，通信终端820获取用户生物信息，将获取的用户生物信息向智能卡810传递S901至S902。在此，生物信息的获取可利用内置于通信终端的生物感应器，也可以利用与通信终端连接的外部生物感应器。不同于图4a图示，另一实施例中，智能卡可利用内置的生物感应器直接获取用户生物信息。[0142]智能卡810基于已保存的加密的公钥认证书加密用户生物信息，并编码或者记号加密的生物信息并生成生物编码S903。所述加密和编码或者记号运算法内置在智能卡810的应用程序中，或者在公钥认证书中规定。[0143] 然后，智能卡810通过通信终端获取赋予物联网设备的设备识别信息S904至S905。在此，设备识别信息可利用内置于通信终端820的感应器，或者可利用与通信终端820连接的外部设备所具备的感应器。不同于图9a所示，智能卡使用内置的感应器可直接获取设备识别信息。[0144] 然后，智能卡810通过与所述生物编码相同或者相似的方式，基于设备识别信息生成设备代码S906。即，智能卡810加密设备识别信息，并编码或者记号加密的设备识别信息并生成设备代码。[0145] 然后，智能卡810将生物编码和设备代码嵌入公钥认证书的EV区域生成一对钥匙公钥和密钥。即，生成的密钥和公钥中嵌有生物编码和设备代码。嵌入密钥和公钥的生物编码和设备代码可以是相互连接的形态。密钥和所述加密的生物信息一同保存在智能卡810内S907。图9a中虽未图示，以与生物编码相同或者相似的方式生成的其它附加代码，可用于公钥认证书的生成。作为附加的认证要素可嵌入所述公钥认证书的EV区域。[0146] 然后，智能卡810通过通信终端向中央管制设备提供公钥，并请求设备用户注册S908。公钥的传送可利用虚拟专用网。中央管制设备830注册设备用户，利用另外安全的数据库中管理公钥S909至S910。[0147]图9b是说明本发明另一实施例涉及的设备用户注册程序的流程图。图9b图示的用户注册程序适用于具有图Sb所示的结构的设备用户认证系统。[0148]作为选择性的预先程序，通信终端860通过利用预先保存的嵌有加密的生物信息和或生物编码的密钥，对进行设备用户注册程序的用户可进行生物认证。即，通信终端860可设置为只允许对已注册的用户进行设备用户注册程序。[0149] 首先，通信终端860获取用户生物信息S951至S952。在此，生物信息的获取可利用内置于通信终端860的生物感应器，也可以利用与通信终端860连接的外部生物感应器。[0150] 通信终端860基于已保存的公钥认证书加密用户生物信息，并编码或者记号加密的生物信息并生成生物编码S953。所述加密和编码或者记号运算法内置在智能卡的应用程序中，或者在公钥认证书中规定。[0151] 然后，通信终端860获取赋予物联网设备的设备识别信息S954至S955。在此，设备识别信息可利用内置于通信终端的感应器，或者可利用与通信终端连接的外部设备所具备的感应器。[0152] 然后，通信终端860通过与所述生物编码相同或者相似的方式，基于设备识别信息生成设备代码S956。即，通信终端860加密设备识别信息，并编码或者记号加密的设备识别信息并生成设备代码。[0153] 然后，通信终端860将生物编码和设备代码嵌入公钥认证书的EV区域并生成一对钥匙公钥和密钥。即，生成的密钥和公钥中嵌有生物编码和设备代码。嵌入密钥和公钥的生物编码和设备代码可以是相互连接的形态。密钥和所述加密的生物信息一同保存在通信终端860内S957。图9a中虽未图示，以与生物编码相同或者相似的方式生成的其它附加代码，可用于公钥密钥和证书的生成。作为附加的认证要素可嵌入所述公钥认证书的EV区域。[0154] 然后，通信终端860向中央管制设备提供公钥，并请求设备用户注册S958。公钥的传送可利用虚拟专用网。中央管制设备830注册设备用户，利用另外安全的数据库管理公钥S959至S960。[0155]图9a和9b示例的设备用户注册程序，与已经生成并保存在智能卡810或者通信终端860的密钥无关，生成新的一对钥匙密钥和公钥。但是另一实施例中，可在已保存的密钥中嵌入设备代码的方式生成新的一对钥匙密钥和公钥。[0156]图1Oa是说明本发明一实施例涉及的设备用户认证程序的流程图。图1Oa图示的用户注册程序适用于具有图8a图示的结构的设备用户认证系统。[0157]首先，通信终端820获取用户生物信息，并将获取的用户生物信息向智能卡810传递S1001至S1002。在此，生物信息的获取可利用内置于通信终端820的生物感应器，也可以利用与通信终端820连接的外部生物感应器。不同于图1Oa图示，另一实施例中，智能卡810可利用内置的生物感应器直接获取用户生物信息。[0158] 然后，智能卡810比较获取的生物信息与保存在智能卡上的、加密的生物信息和或保存在智能卡810的密钥内嵌入的生物编码S1003。即，智能卡810判断获取的生物信息是否与预先保存的加密的生物信息和或生物编码匹配。[0159] 然后，当获取的生物信息与预先保存的加密的生物信息和生物编码匹配时，智能卡810将基于密钥的认证信息向中央管制设备830传送S1004。认证信息的传送可利用虚拟专用网。例如，智能卡810为了与中央管制设备830开设VPN向通信终端820传送校准开始信号，通信终端820对应于校准开始信号，在中央管制设备830和智能卡810之间开设VPN，智能卡810通过开设的VPN向中央管制设备830传送认证信息。[0160]中央管制设备830利用已注册的公钥，验证接收的认证信息，基于验证结果，结束设备用户的认证S1005至1007。根据部分实施例，中央管制设备830向物联网应用服务器840或者认证服务器未图示请求验证从智能卡810接收的认证信息，基于所述验证结果也可结束设备用户的认证。[0161]图1Ob是说明本发明另一实施例涉及的设备用户认证认证程序的流程图。图1Ob图示的用户注册程序适用于具有图Sb图示的结构的设备用户认证系统。[0162] 首先，通信终端860获取用户生物信息S1051至S1052。在此，生物信息的获取可利用内置于通信终端860的生物感应器，也可以利用与通信终端860连接的外部生物感应器。[0163] 然后，通信终端860比较获取的生物信息与已保存的加密的生物信息和或已保存的密钥内嵌入的生物编码S1053。即，通信终端860判断获取的生物信息是否与预先保存的加密的生物信息和或生物编码匹配。[0164] 然后，当获取的生物信息与已保存的加密的生物信息和生物编码匹配，通信终端860将基于密钥的认证信息向中央管制设备830传送S1054。认证信息的传送可利用虚拟专用网。例如，通信终端860开设与中央管制设备830的VPN，通过开设的VPN向中央管制设备830传送认证信息。[0165]中央管制设备830利用已经注册的公钥，验证接收的认证信息，并基于验证结果，结束设备用户的认证S1055至S1057。根据部分实施例，中央管制设备830向物联网应用服务器840或者认证服务器未图示请求验证接收的认证信息，根据所述验证结果，也可以结束设备用户的认证。[0166]图11是基于在线离线环境的泛在认证系统的示意图。[0167] 所有的泛在认证涉及在线状态的认证，但是发在展中国家，不是所有的地区都能提供互联网或者最低限度的通信手段。而且，地震台风洪水停电暴雪等灾害会导致暂时的在线中断状态。为了克服所述的暂时非暂时的限制，需要对基于在线环境的认证系统进行必要合适的完善。例如，类似于自动出纳器，销售终端，自助服务机服务终端或者公用终端有必要在离线环境下允许最低限度的取款或者结算。另一示例，智能家庭网络暂时处于离线环境时，有必要授予受限制地接入统一管理家庭网络内的物联网设备的中央管制设备的权限。又一示例，智能车为了在线状态下的无人驾驶、自动驾驶、位置信息、导航等功能，智能车内的多个感应器或者物联网设备可组成网络。所述智能车即使处于离线环境下，也有必要被赋予相对于在线环境较小的权限Authorizat1n。[0168] 本发明利用在线状态的生物信息生物编码，ΡΚΙ，0ΤΡ等各种认证手段中的部分，在离线环境下，利用最低的电力，提供部分受限制的服务例如，现金领取，食品预付款，接入控制等的用户认证方法。根据本发明的一实施例，应用服务器向结束用户注册的用户提供离线环境下进行用户认证所需的信任状credentials或者令牌token。例如，所述信任状可以是用户注册程序中从用户拥有或者持有的智能卡或者通信终端接收的公钥派生且变形的公钥。[0169]图12是说明本发明一实施例涉及的离线环境中用户认证注册程序的流程图。图11假设使用智能卡，但取代智能卡而使用通信终端例如，智能手机时，实质上可应用相同的方式。[0170]首先，离线环境下公用终端例如，自动出纳器，销售终端，中央管控设备等获取用户生物信息，并将获取的用户生物信息向智能卡传递S1201至S1202。在此，生物信息的获取可利用内置于公用终端的生物感应器，也可以利用与公用终端连接的外部生物感应器。不同于图12a图示，另一实施例中，智能卡可利用内置的生物感应器直接获取用户生物信息。[0171] 然后，智能卡比较获取的生物信息与保存在智能卡的、加密的生物信息和或保存在智能卡的密钥内嵌入的生物编码S1203。即，智能卡判断获取的生物信息是否与预先保存的加密的生物信息和或生物编码匹配。[0172] 然后，当获取的生物信息与已保存的加密的生物信息和或生物编码匹配时，智能卡将基于密钥的认证信息和基于预先由应用服务器提供的变形的公钥的认证信息向公用终端传送S1204。[0173] 处于离线环境的公用终端无需向应用服务器请求验证接收的认证信息，可授予相对于在线环境受到限制的权限。即，允许赋予限定在一定范围的服务交易接入权限。部分实施例中，公用终端也可验证接收的嵌在认证信息的验证码是否基于相同的公钥认证书生成。[0174] 为了在以后的在线状态下结算交易内容，相关的交易信息S卩，交易内容或者服务提供内容及相关的认证信息保存在智能卡和或公用终端的安全元件等安全区域S1205。此外，交易信息可利用密钥公钥并以加密的状态保存。[0175] 重新恢复在线环境时，公用终端将保存的交易信息向应用服务器传送S1206。应用服务器通过认证服务器验证交易信息中包括的认证信息，并根据验证结果，结算交易信息中包括的交易内容S1207至1209。[0176]图13是可采用本发明实施例的应用领域的列表。[0177] 用户认证可使用复合式认证，渐渐地智能卡中可整合信用卡+电子居民证+电子签证+驾驶执照等的各种用途的信息并使用。[0178] 如图13的表中的示例，本发明的实施例可应用的应用领域可大致分为4个领域。[0179] 金融和身份证明领域FinancialandIdentificat1nSect1n是指在线离线上的金融交易和伴随各种身份证明的用户认证。为了在所述领域应用，智能卡或者通信终端还可保存电子居民证，退休金，医疗保险，电子钱包，电子货币，医疗记录，驾驶执照，电子选举，折价卷即，根据不同的国家可以是信用卡借记卡网币电子钱包网上红包金融数据身份证驾驶执照医保信息电子选举退休金等各种信息。所述信息中的部分信息可以嵌在用于相关服务的公钥认证书的EV区域。例如，作为电子居民证使用而发行的公钥认证书的EV区域中可嵌入可显示赋予个人的固有识别信息例如，居民登记号码，社会保障号码等的代码。此外，部分信息可与用于相关服务的公钥认证书预先保存在相同的区域。[0180] 物理性接入领域PhysicalAccessSect1n作为用于管制出入的应用区域，智能卡或者通信终端可起到工作证或者出入卡的作用。用于所述应用区域的密钥公钥中可附加智能卡或者通信终端的使用位置信息例如，GE0，GIS，GPS信息等或者编码该信息所生成的代码。附加的位置信息或者代码是用于揭发伪装出入的附加的认证要素。[0181] 单点登录SSOSect1n;整合认证领域是通过一次的用户认证，能够使用多个独立软件系统的资源的认证功能。根据本发明部分实施例，执行基于嵌入生物匹配和生物编码的密钥公钥的认证程序，从而可省略应用服务器130中输入的认证书和密码的步骤，实现生物单点登录的功能。根据本发明另一实施例，进而将在用户拥有或者持有的任意一个通信终端例如，智能手机生成的密钥保存在自己的云，并在用户拥有或者持有的另一通信终端例如，平板电脑，智能位置等上下载所述密钥并使用。由此，没有必要就相同目的的密钥在不同的通信终端分别生成，而是将一个通信终端上生成的密钥与用户拥有或者持有的多个通信终端共享。[0182] 设备用户认证领域DeviceUserAuthenticat1nSect1n是用于支持物联网设备的注册或者物联网设备的接入控制的用户认证中的应用区域。所述应用区域使用的公钥密钥中除了生物编码，还嵌有编码物联网设备的识别信息而生成的设备代码。进而，将公钥向各物联网设备，中央管制设备，物联网服务服务器，物联网提供商服务器等传递，并用于设备用户认证，远端控制等。[0183]图14是说明各种生物信息及其组合可用于不同的用途的示意图。[0184]如前所述，本发明的实施例中，可使用用户互不相同的多个生物信息和或其组合。例如，图14作为相同类型的互不相同生物信息的示例，举出了10个指纹信息分别用于不同用途的示例。即，本发明的实施例中，相同类型的生物信息分别被编码，并嵌入一个密钥公钥中，各生物信息也可以分别生成独立的密钥公钥。[0185] 此外，图14图示生物信息的各种组合可用于不同用途。即，本发明的实施例中多个生物信息的组合分别被编码并嵌入一个密钥公钥中，各组合也可分别生成一对钥匙密钥公钥。进而，相同的生物信息的组合中可赋予各生物信息以不同的输入顺序。[0186] 另外，在本发明各种实施例的说明过程中，说明书通篇，以用于生物匹配的加密的生物信息预先保存在智能卡或者通信终端为前提进行说明。但是该特征被认为是本发明的所有实施例的必要组成要素是不合理的。例如，实施例中，加密的生物信息没有保存在智能卡或者通信终端时，生物匹配中可只使用嵌在密钥的生物编码。此外，另一实施例中，可使用政府机构例如，行政部，调查机构，出入境管理部等管理的个人的生物信息的散列值Hashvalue。散列值可预先保存在智能卡的部分区域，也可以嵌在相关机构发行的公钥认证书的EV区域。此外，用于生物匹配的加密的生物信息可以是基于公钥认证书规定的加密运算法加密的生物信息，也可以是利用嵌入生物编码的密钥加密的生物信息。进而利用公钥认证书加密的生物信息，以基于密钥再加密的状态可与密钥一同保存。[0187] 另外，上述的方法可以通过在电脑可读取的记录媒体上以电脑可读取的代码的形式实现。电脑可读取的记录媒体包括保存有电脑系统可读数据的所有类型的记录装置。即，电脑可读的记录媒体可包括磁性储存媒体例如，只读媒体，软盘，硬盘等，光读写媒体例如，CDR0M，DVD等和载波例如，通过互联网的传送等储存媒体。此外，电脑可读的记录媒体可记录分散在网络连接的电脑系统中，且电脑以分散的方式读取的代码并且能够执行。[0188]以上说明仅仅是为了举例说明本实施例的技术思想，只要是本实施例所属的技术领域的技术人员，在不超过本实施例的本质特征的范围内，可进行各种修改和变形。因此，本实施例不是为了限定本实施例的技术思想，而是为了对其进行说明，本实施例的技术思想的范围不限于上述实施例。本实施例的保护范围解释要依据权利要求书，与其等同范围内的所有技术思想均被认为属于本实施例的权利范围。

权利要求：1.一种用户注册方法，其在基于公钥认证书的认证管理系统基于用户持有的携带装置进行用户注册的方法，所述方法包括:在所述公钥认证书上利用规定的加密运算法加密用户生物信息或者生物信息的组合并将加密的生物信息保存在所述携带装置内的步骤；记号所述加密的生物信息或者生物信息的组合并生成生物编码的步骤；所述公钥认证书的扩展字段中嵌入至少包括所述生物编码的验证码并生成一对钥匙包括密钥和公钥步骤；以及向远端对象传送所述公钥并请求注册所述用户的步骤。2.如权利要求1所述的用户注册方法，其特征在于:所述验证码还包括附加代码，所述附加代码通过加密赋予所述携带装置的固有识别信息并记号加密的固有识别信息而生成。3.如权利要求1所述的用户注册方法，其特征在于:所述验证码还包括附加代码，所述附加代码通过加密能够表现所述用户的行为特征的特征信息并记号加密的特征信息而生成。4.如权利要求1所述的用户注册方法，其特征在于:所述验证码还包括附加代码，所述附加代码通过加密能够表现请求认证的所述用户的位置的位置信息并记号加密的位置信息而生成。5.如权利要求1所述的用户注册方法，其特征在于:所述验证码还包括附加代码，所述附加代码通过加密赋予所述用户的固有识别信息并记号加密的固有识别信息而生成。6.如权利要求1所述的用户注册方法，其特征在于:多个公钥认证书中嵌入基于各自互不相同生物信息或者各自互不相同生物信息的组合导出的生物编码，且每个公钥认证书个生成一对钥匙。7.如权利要求6所述的用户注册方法，其特征在于:所述多个公钥认证书的使用用途互不相同。8.如权利要求1所述的用户注册方法，其特征在于:在生成所述一对钥匙的过程中，基于与所述生物编码的生成中使用的生物信息或者生物信息的组合互不相同生物信息或者生物信息的组合生成附加的生物编码，所述公钥认证书的扩展字段中还嵌入至少包括所述附加的生物编码的附加的验证码，并生成一对钥匙包括密钥和公钥。9.如权利要求8所述的用户注册方法，其特征在于:所述附加的验证码用于显示所述密钥的使用是基于他人的迫使。10.如权利要求8所述的用户注册方法，其特征在于:所述附加的验证码用于解除基于已传送的公钥注册的用户。11.如权利要求8所述的用户注册方法，其特征在于:所述附加的验证码用于请求初始化基于所述远端对象管理的认证管理系统。12.如权利要求1所述的用户注册方法，其特征在于:所述公钥认证书的扩展字段还包括:电子居民身份证、驾驶执照、电子货币及医疗卡中任意一项的数据以作为所述公钥认证书的指定用途对应的附加代码。13.如权利要求1所述的用户注册方法，其特征在于:所述公钥认证书的扩展字段包括用于传送所述公钥的远端对象的URL信息。14.如权利要求1所述的用户注册方法，其特征在于:还包括附加代码，所述附加代码通过加密物联网设备的设备识别信息，并记号加密的设备识别信息而生成。15.如权利要求14所述的用户注册方法，其特征在于:多个公钥认证书中嵌入基于各自互不相同的生物信息或者各自互不相同生物信息的组合导出的生物编码和基于各自互不相同物联网设备的设备识别信息导出的附加代码，且每个物联网设备生成相关的一对钥匙。16.如权利要求1所述的用户注册方法，其特征在于:所述公钥通过虚拟专用网VirtualPrivateNetwork:VPN传送。17.如权利要求1所述的用户注册方法，其特征在于:所述携带装置是智能卡或者移动通信终端。18.—种用户认证方法，其在基于公钥认证书的认证管理系统中，基于用户持有的携带装置进行用户认证方法，所述携带装置保存有嵌入包括所述生物编码的验证码的密钥和用于导出所述生物编码的经过加密的生物信息或者生物信息的组合，所述方法的步骤包括:获得用户生物信息或者生物信息组合的步骤；比较所述用户生物信息或者生物信息的组合与保存在所述携带装置的加密的生物信息和所述生物编码中至少一个的步骤；以及当所述用户生物信息或者生物信息的组合与所述加密的生物信息和所述生物编码中至少一个匹配时，将所述密钥中嵌有验证码的认证信息向远端对象传送，并请求认证所述用户的步骤。19.如权利要求18所述的用户认证方法，其特征在于:在所述密钥中嵌入的验证码还包括基于所述携带装置所赋予的固有识别信息导出的附加代码、基于显示请求所述用户认证的位置的位置信息导出的附加代码、基于赋予所述用户的固有识别信息导出附加代码和基于显示所述用户的行为特征的特征信息导出的附加代码、基于赋予物联网设备的设备识别信息导出附加代码中至少一个。20.如权利要求18所述的用户认证方法，其特征在于:所述认证信息还包括基于所述便携式装置中内置的OTP生成模块生成的0TP。21.如权利要求18所述的用户认证方法，其特征在于:所述认证信息还包括所述认证信息的传送起始点相关的信息。22.如权利要求18所述的用户认证方法，其特征在于:所述认证信息还包括请求所述用户认证的位置相关信息。23.如权利要求18所述的用户认证方法，其特征在于:所述认证信息还包括所述密钥的生成起始点有关的信息。24.如权利要求18所述的用户认证方法，其特征在于:所述认证信息通过虚拟专用网VirtualPrivateNetwork:VPN传送。25.如权利要求18所述的用户认证方法，其特征在于:所述密钥的扩展字段中包括所述虚拟专用网的目的地URL。26.如权利要求18所述的用户认证方法，其特征在于:所述携带装置是智能卡或者移动通信终端。27.—种认证管理方法，在基于公钥认证书的认证管理系统中，基于用户所持有的携带装置和通过网络链接的远端对象进行的认证管理方法，所述方法的步骤包括:从所述携带装置接收嵌有生物编码的验证码的密钥所对应的公钥，基于接收的公钥执行用户注册的步骤，在此，所述生物编码由用户生物信息或者生物信息的组合导出；以及从所述携带装置接收，包括被嵌入在所述密钥的验证码的认证信息，利用所述公钥验证接收的认证信息，并基于验证结果执行认证所述用户的步骤。28.—种认证管理方法，在基于公钥认证书的认证管理系统中，作为基提供服务的公用终端和管理所述公用终端的应用服务器而执行的认证管理方法，所述方法的步骤包括:所述应用服务器从所述携带装置接收嵌有生物编码的验证码的密钥所对应的公钥，基于接收的公钥执行注册用户的步骤，在此，所述生物编码基于用户生物信息或者生物信息的组合导出；以及所述公用终端从所述携带装置接收嵌入在所述密钥的验证码的认证信息，基于利用接收的认证信息的所述公钥向所述应用服务器请求验证，基于所述验证结果执行认证所述用户的步骤；当所述用户认证成功时，所述公用终端提供服务的步骤。29.如权利要求28所述的认证管理方法，其特征在于:所述执行用户注册的步骤还包括为了所述公用终端和所述应用服务器处于相互离线状态时使用，所述应用服务器生成基于所述公钥的变形的公钥，并将所述变形的公钥传送给所述携带装置的步骤。30.如权利要求29所述的认证管理方法，其特征在于:还包括:所述公用终端和所述应用服务器处于相互离线状态时，所述公用终端从所述携带装置接收被嵌入在所述密钥的验证码和被嵌入在所述变形的公钥的验证码，并验证接收的验证码是否基于相同的公钥认证书生成，当验证成功时，相比于在线状态提供有限的服务的步骤，在此所述服务的范围相比于在线状态受到一定的限制；以及所述离线状态转换为在线状态时，所述公用终端向所述应用服务器传送所述验证码和所述服务提供的信息，所述应用服务器验证所述验证码，基于验证结果精确计算服务提供信息的步骤。

百度查询： 崔云虎 泛在环境中的认证

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD