CN105554013A - 基于usb设备的分离式身份认证装置及系统及方法 - Google Patents

Abstract

本发明公开了一种基于USB设备的分离式身份认证装置及系统及方法。认证装置包括分离设置的安全计算部件和用户验证部件。系统包括一种基于USB设备的分离式身份认证装置，还包括智能终端和FIDO服务器。方法包括绑定步骤和支付步骤。本发明针对现有的认证装置在便捷性、通用性不足这一问题提出了一种基于USB设备的分离式认证装置，它按照FIDO标准进行实现，不但能兼容其他FIDO产品，而且能适用于多种应用场景，尤其是在电视支付应用场景中，增强了用户体验。本发明可广泛应用于各种电视支付系统。

Description

基于USB设备的分离式身份认证装置及系统及方法

技术领域

本发明涉及信息安全技术领域，具体涉及到一种复杂网络环境（互联网、物联网）中的身份认证装置及方法。

背景技术

FIDO：FastIdentityOnline，线上快速身份认证，是一个身份认证标准。

UAF:UniversalAuthenticationFramework，通用认证框架，FIDO协议两种规范的一种。

U2F:UniversalSecondFactor，通用第二因子，FIDO协议两种规范的一种。

UKey：它是一种通过USB直接与计算机相连、具有密码验证功能、可靠高速的小型存储设备。

随着计算机网络及物联网的不断发展，各种新的应用层出不穷，各种新的操作平台也不断涌现，互联网+的时代已经到临，信息安全的问题也日益凸显出来。身份认证成为互联网、物联网发展中需要重点考虑的对象，如何快速、准确地识别用户身份同时又不增加额外的负担已经成为一个热点话题。

目前现有的在线认证方式有以下几种：一是用户名+口令密码的认证方，它只需要用户在每次认证时输入已记忆的用户名、口令即可完成认证；二是使用UKey来增强认证过程，尤其是在网上银行操作时用得较为普遍；三是使用动态验证码（手机验证码、OTP等）来增强认证过程。后两者都依赖于传统的用户名+口令的认证方式。

FIDO标准是国际上推出的一个线上身份认证标准，该协议标准分为两大类，分别为UAF和U2F。FIDO的主要使命是以创建行业标准的方式保证各个厂商开发的强认证技术之间的互操作性，用简化的双因子甚至多因子认证技术结束多年来用户记忆密码的烦恼。

现有的在线认证方式仍旧以传统的用户名、口令为主，这就要求用户记忆大量的用户名、口令，而且尽量不要重复，尤其是一些在线交易平台，对口令的复杂度有一定的要求。用户不但要担心用户名、口令的遗忘，还得防止被非法获取，从而造成不必要的损失。

其次UKey的方式虽然提供了高级别的安全性，但是目前来说没有统一的标准，尤其是每家银行都有自己的UKey产品，并不能很好的互相兼容，这对用户来说不是一个好的方案。再加上UKey使用过程还是比较繁琐的。

再次动态验证码的方式虽然增强了认证过程，但是仍需要用户输入额外的信息，这在一些轻交互的终端中体验不是很好，例如电视，通过遥控器输入过多的信息降低了用户体验。

FIDO标准的出现有效地解决了上述问题，它使得用户不用输入口令，同时还提供了高级别的安全性，利用用户的生物特征作为认证的基础，统一的标准还保证了产品的兼容性。目前FIDO标准在认证装置上的实现多是采用USB、蓝牙或者NFC的连接方式。但这种连接方式具有一定的局限性，例如在智能电视应用场景中，USB孔多位于智能电视后端或者侧端，在认证过程时，还需要用户走到电视面前按下USB认证装置上的按钮才能完成认证，或者有的智能电视不支持蓝牙连接。

发明内容

为了解决上述技术问题，本发明的目的是提供一种可方便、快捷、安全地进行电视支付的分离式身份认证装置及认证系统及方法。

本发明所采用的技术方案是：

一种基于USB设备的分离式身份认证装置，包括分离设置的安全计算部件和用户验证部件，所述安全计算部件包括安全模块、第一无线通信模块、USB通信模块和状态提示模块，所述用户验证部件包括第二无线通信模块、用户身份验证模块和电源模块，所述USB通信模块用于与外部智能终端连接，所述USB智能终端、第一无线通信模块、状态提示模块均与安全模块连接，所述第一无线通信模块与第二无线通信模块无线连接，所述第二通信模块与身份验证模块连接，所述电源模块用于为用户验证部件的内部电路提供工作电源；所述安全计算模块用于完成FIDO协议实现、算法库实现、密钥管理功能实现、证书存储功能实现、USB控制功能实现、无线收发控制功能实现和状态提示功能实现。

优选的，所述身份验证模块为单一按键确认认证模块、声波确认认证模块、指纹识别认证模块或声纹识别认证模块。

优选的，所述第一无线通信模块与第二无线通信模块通过蓝牙、红外、2.4G或声波无线连接方式连接。

优选的，所述外部智能终端为个人电脑、智能电视或OTT盒子。该实施例以智能电视为例。

优选的，所述电源模块包括纽扣电池。

优选的，所述用户验证部件上设置有用于固定连接的粘贴区域。

一种基于USB设备的分离式身份认证系统，其包括一种基于USB设备的分离式身份认证装置，还包括智能终端和FIDO服务器，所述智能终端上运行有客户端程序，所述客户端与USB通信模块连接，所述客户端通过Internet与FIDO服务器连接。

一种基于USB设备的分离式身份认证方法，其应用于一种基于USB设备的分离式身份认证系统，所述方法包括绑定步骤和支付步骤，

所述绑定步骤包括子步骤：

S11，客户端通过USB接口将绑定请求发送至安全计算部件，并等待安全计算部件处理请求结果；

S12，安全计算部件中的安全模块解析绑定请求，判断为绑定操作后控制第一无线通信模块发送验证用户请求到用户验证部件；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S13，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S14，用户验证模块采集、验证和存储用户身份验证信息，并将验证结果转发到安全计算部件；

S15，安全计算部件判断用户验证通过，则执行进一步操作包括公私钥对生成、密钥存储和签名步骤，并将执行结果封装后通过USB控制器发送给客户端；

S16，客户端将绑定请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并对关键数据进行存储，然后返回成功与否结果；

支付步骤包括子步骤：

S21，客户端通过USB接口将认证请求发送至安全计算部件，并等待安全计算部件处理认证请求的结果；

S22，安全计算部件解析认证请求，判断为认证操作后控制第一无线通信模块发送验证用户请求到用户验证部件；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S23，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S24，安全计算部件判断用户验证通过，则执行进一步操作包括密钥查询和签名步骤，并将执行结果封装后通过USB控制器发送给客户端；

S25，客户端将认证请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并更新相关数据，返回成功与否结果。

本发明的有益效果是：

本发明针对现有的认证装置在便捷性、通用性不足这一问题提出了一种基于USB设备的分离式认证装置，它按照FIDO标准进行实现，不但能兼容其他FIDO产品，而且能适用于多种应用场景，尤其是在电视支付应用场景中，增强了用户体验。具体的，本发明通过采用FIDO认证技术，不需要用户记忆大量的用户名、口令信息，减少了记忆的烦恼；采用通用标准，兼容性、普适性更好，同时还使得认证方式更为安全；采用分离式认证装置，使得使用场景和操作过程都更加方便、灵活，具有良好的用户体验。

本发明可广泛应用于各种电视支付系统。

附图说明

下面结合附图对本发明的具体实施方式作进一步说明：

图1是本发明身份认证装置一种实施例的结构示意图；

图2是本发明认证系统一种实施例的系统框架图；

图3是本发明认证方法一种实施例的方法流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

如图1所示，一种基于USB设备的分离式身份认证装置，包括分离设置的安全计算部件和用户验证部件，所述安全计算部件包括安全模块、第一无线通信模块、USB通信模块和状态提示模块，所述用户验证部件包括第二无线通信模块、用户身份验证模块和电源模块，所述USB通信模块用于与外部智能终端连接，所述USB智能终端、第一无线通信模块、状态提示模块均与安全模块连接，所述第一无线通信模块与第二无线通信模块无线连接，所述第二通信模块与身份验证模块连接，所述电源模块用于为用户验证部件的内部电路提供工作电源；所述安全计算模块用于完成FIDO协议实现、算法库实现、密钥管理功能实现、证书存储功能实现、USB控制功能实现、无线收发控制功能实现和状态提示功能实现。

优选的，所述身份验证模块为单一按键确认认证模块、声波确认认证模块、指纹识别认证模块或声纹识别认证模块。

优选的，所述第一无线通信模块与第二无线通信模块通过蓝牙、红外、2.4G或声波无线连接方式连接。

优选的，所述外部智能终端为个人电脑、智能电视或OTT盒子。

优选的，所述电源模块包括纽扣电池。

该实施例中，认证装置主要由2个独立的部件组成，分别为：安全计算部件、用户验证部件。其中安全计算部件采用USB接口与终端（包括个人PC、智能电视、OTT盒子等）互联并进行通信，并由终端负责供电；用户验证部件由电池（纽扣电池或锂电池）进行供电。二者之间采用无线连接（蓝牙、红外、2.4G、声波等）方式进行通信。

一、安全计算部件主要包括安全模块、第一无线通信模块、USB通信模块以及状态提示模块等。

(1)安全模块提供认证的核心计算及存储功能，为一颗安全芯片加上一些外围电路组成。它为认证提供了硬件级别的保护能力。

(2)USB通信模块主要负责与终端设备进行互联，并提供与终端设备的数据传输能力及安全计算部件的供电能力。

(3)第一无线通信模块通过串口与安全模块互联，主要负责发送安全模块传递过来的数据和接收用户验证部件发送过来的数据。它包括无线芯片及对应的天线等。

(4)状态提示模块主要为用户操作状态的提醒功能，例如控制LED灯的闪烁来提醒用户当前操作的不同状态。

安全计算部件以安全模块作为核心，然后串联其他模块。硬件设计时安全模块中的安全芯片作为主控。

二、用户验证部件主要包括第一无线通信模块、用户身份验证模块、电源模块等。

(1)第一无线通信模块主要负责接收来自安全计算部件的请求数据以及发送用户身份验证结果数据。

(2)用户身份验证模块主要负责对用户的身份进行验证或者简单验证当前操作是否为用户主动进行的操作。用户身份验证模块可以采用的验证手段有单一按键确认、声波确认、指纹识别验证、声纹识别验证等。

(3)电源模块主要为用户验证部件提供电源输入，例如纽扣电池等。

安全计算部件和用户验证部件二者是成对出现的，在未使用状态可以扣在一起，防止随意放置而导致其中一个丢失。

安全计算部件和用户验证部件内含独立的固件系统，安全计算部件内部固件系统按照FIDO标准进行实现，可以快速兼容符合FIDO标准的其他产品。它主要包括FIDO协议实现、算法库实现、密钥管理功能实现、证书存储功能实现、USB控制功能实现、无线收发控制功能实现、状态提示功能实现等。其中算法库实现中包含哈希算法、数字签名算法、对称加解密算法等；用户验证部件固件系统则主要包括用户输入功能实现、身份验证功能实现、数据存储功能实现、无线收发控制功能实现。

优选的，所述用户验证部件上设置有用于固定连接的粘贴区域。在用户验证部件上增加黏贴区域，可以固定在任意地方，例如在使用智能电视时固定在遥控器上；使用台式PC时固定在键盘上等等，增加使用的自由度。

一种基于USB设备的分离式身份认证系统，其包括一种基于USB设备的分离式身份认证装置，还包括智能终端和FIDO服务器，所述智能终端上运行有FIDO客户端程序，所述FIDO客户端与USB通信模块连接，所述FIDO客户端通过Internet与FIDO服务器连接。

参照图2，以认证装置应用场景为智能电视支付过程为例，则图2中的客户端包括支付应用程序及FIDO客户端。其连接方式分别为：客户端通过互联网与FIDO服务器连接，认证装置中安全计算部件通过USB接口与智能电视互联，支付应用程序则使用USB控制API与连接在智能电视上的安全计算部件进行通信；安全计算部件由智能电视USB口提供电源，用户验证部件则由内置的纽扣电池提供电源，二者接通电源后自动根据预先设定自动建立连接，例如蓝牙连接。

一种基于USB设备的分离式身份认证方法，其应用于一种基于USB设备的分离式身份认证系统，所述方法包括绑定步骤和支付步骤，

所述绑定步骤包括子步骤：

S11，FIDO客户端通过USB接口将绑定请求发送至安全计算部件，并等待安全计算部件处理请求结果；

S12，安全计算部件中的安全模块解析绑定请求，判断为绑定操作后控制第一无线通信模块发送验证用户请求到用户验证部件；；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S13，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S14，用户验证模块采集、验证和存储用户身份验证信息，并将验证结果转发到安全计算部件；

S15，安全计算部件判断用户验证通过，则执行进一步操作包括公私钥对生成、密钥存储和签名步骤，并将执行结果封装后通过USB控制器发送给FIDO客户端；

S16，FIDO客户端将绑定请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并对关键数据进行存储，然后返回成功与否结果；

支付步骤包括子步骤：

S21，FIDO客户端通过USB接口将认证请求发送至安全计算部件，并等待安全计算部件处理认证请求的结果；

S22，安全计算部件解析认证请求，判断为认证操作后控制第一无线通信模块发送验证用户请求到用户验证部件；；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S23，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S24，安全计算部件判断用户验证通过，则执行进一步操作包括密钥查询和签名步骤，并将执行结果封装后通过USB控制器发送给FIDO客户端；

S25，FIDO客户端将认证请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并更新相关数据，返回成功与否结果。

如图3所示，下面以电视支付为例，详述本发明方法的实现过程。

绑定过程：

1.用户使用遥控器在支付应用程序内选择认证装置绑定操作并执行。

2.支付应用程序向服务端提交用户名和口令进行确认，并等待服务端创建的绑定请求。

3.支付应用程序接收来自服务端的绑定请求后，通过FIDO客户端的USB控制程序将绑定请求发送至安全计算部件，并等待安全计算部件处理请求结果。

4.安全计算部件解析绑定请求，判断为绑定操作后控制第一无线通信模块发送验证用户请求到用户验证部件。

5.用户验证部件接收到请求后唤醒用户输入模块并等待用户输入。如用户在指纹扫描区域中录入指纹信息，用户验证模块则会提取用户指纹特征值，并判断当前是否存在该特征值，若无任何指纹特征值数据则将该特征值进行存储，并控制第一无线通信模块向安全计算部件发送用户验证结果。

6.安全计算部件判断用户验证通过，则执行进一步操作包括公私钥对生成、密钥存储、签名等步骤，并将执行结果按照一定的格式封装，通过USB控制器发送给FIDO客户端。

7.FIDO客户端通过支付应用程序将绑定请求执行结果发送给服务端，由服务端负责验证该过程是否有效，并对关键数据进行存储，并返回成功与否结果到支付应用程序。

8.支付应用程序提示用户绑定是否成功。

支付过程：

1.用户使用遥控器在支付应用程序内选择支付操作并执行。

2.支付应用程序向服务端提交支付请求，并等待服务端创建的认证请求。

3.支付应用程序接收来自服务端的认证请求后，通过FIDO客户端的USB控制程序将认证请求发送至安全计算部件，并等待安全计算部件处理请求结果。

4.安全计算部件解析认证请求，判断为认证操作后控制第一无线通信模块发送验证用户请求到用户验证部件。

5.用户验证部件接收到请求后唤醒用户输入模块并等待用户输入。如用户在指纹扫描区域中录入指纹信息，用户验证模块则会提取用户指纹特征值，并判断当前特征值与已经存储的数据是否符合。若无任何指纹特征数据存在，则返回验证失败，然后控制第一无线通信模块向安全计算部件发送用户验证结果。

6.安全计算部件判断用户验证通过，则执行进一步操作包括密钥查询、签名等步骤，并将执行结果按照一定的格式封装，通过USB控制器发送给FIDO客户端。

7.FIDO客户端通过支付应用程序将认证请求执行结果发送给服务端，由服务端负责验证该过程是否有效，并更新相关数据，返回成功与否结果到支付应用程序。

8.支付应用程序提示用户支付是否成功。

本发明针对现有的认证装置在便捷性、通用性不足这一问题提出了一种基于USB设备的分离式认证装置，它按照FIDO标准进行实现，不但能兼容其他FIDO产品，而且能适用于多种应用场景，尤其是在电视支付应用场景中，增强了用户体验。具体的，本发明通过采用FIDO认证技术，不需要用户记忆大量的用户名、口令信息，减少了记忆的烦恼；采用通用标准，兼容性、普适性更好，同时还使得认证方式更为安全；采用分离式认证装置，使得使用场景和操作过程都更加方便、灵活，具有良好的用户体验。

本发明可广泛应用于各种电视支付系统。

以上是对本发明的较佳实施进行了具体说明，但本发明创造并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可做作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (8)

1.一种基于USB设备的分离式身份认证装置，其特征在于，包括分离设置的安全计算部件和用户验证部件，所述安全计算部件包括安全模块、第一无线通信模块和USB通信模块，所述用户验证部件包括第二无线通信模块、用户身份验证模块和电源模块，所述USB通信模块用于与外部智能终端连接，所述USB智能终端和第一无线通信模块均与安全模块连接，所述第一无线通信模块与第二无线通信模块无线连接，所述第二通信模块与身份验证模块连接，所述电源模块用于为用户验证部件的内部电路提供工作电源；所述安全计算模块用于完成FIDO协议实现、算法库实现、密钥管理功能实现、证书存储功能实现、USB控制功能实现、无线收发控制功能实现和状态提示功能实现。

2.根据权利要求1所述的一种基于USB设备的分离式身份认证装置，其特征在于，所述身份验证模块为单一按键确认认证模块、声波确认认证模块、指纹识别认证模块或声纹识别认证模块。

3.根据权利要求1或2所述的一种基于USB设备的分离式身份认证装置，其特征在于，所述第一无线通信模块与第二无线通信模块通过蓝牙、红外、2.4G或声波无线连接方式连接。

4.根据权利要求3所述的一种基于USB设备的分离式身份认证装置，其特征在于，所述外部智能终端为个人电脑、智能电视或OTT盒子。

5.根据权利要求4所述的一种基于USB设备的分离式身份认证装置，其特征在于，所述电源模块包括纽扣电池。

6.根据权利要求1、2、4或5所述的一种基于USB设备的分离式身份认证装置，其特征在于，所述用户验证部件上设置有用于固定连接的粘贴区域。

7.一种基于USB设备的分离式身份认证系统，其特征在于，其包括如权利要求1至6任意一项所述的一种基于USB设备的分离式身份认证装置，还包括智能终端和FIDO服务器，所述智能终端上运行有客户端程序，所述客户端与USB通信模块连接，所述客户端通过Internet与FIDO服务器连接。

8.一种基于USB设备的分离式身份认证方法，其特征在于，其应用于如权利要求7所述的一种基于USB设备的分离式身份认证系统，所述方法包括绑定步骤和支付步骤，

所述绑定步骤包括子步骤：

S11，客户端通过USB接口将绑定请求发送至安全计算部件，并等待安全计算部件处理请求结果；

S12，安全计算部件中的安全模块解析绑定请求，判断为绑定操作后控制第一无线通信模块发送验证用户请求到用户验证部件；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S13，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S14，用户验证模块采集、验证和存储用户身份验证信息，并将验证结果转发到安全计算部件；

S15，安全计算部件判断用户验证通过，则执行进一步操作包括公私钥对生成、密钥存储和签名步骤，并将执行结果封装后通过USB控制器发送给客户端；

S16，客户端将绑定请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并对关键数据进行存储，然后返回成功与否结果；

支付步骤包括子步骤：

S21，客户端通过USB接口将认证请求发送至安全计算部件，并等待安全计算部件处理认证请求的结果；

S22，安全计算部件解析认证请求，判断为认证操作后控制第一无线通信模块发送验证用户请求到用户验证部件；若为安全计算部件和用户验证部件为单向通信方式连接，则控制状态提示模块提醒用户进行身份验证确认操作；

S23，用户验证部件通过无线方式接收到请求后唤醒用户输入模块并等待用户输入用户身份验证信息；

S24，安全计算部件判断用户验证通过，则执行进一步操作包括密钥查询和签名步骤，并将执行结果封装后通过USB控制器发送给客户端；

S25，客户端将认证请求执行结果发送给FIDO服务器，由FIDO服务器负责验证该过程是否有效，并更新相关数据，返回成功与否结果。