[go: up one dir, main page]

CN112311805B - 基于可信执行环境的免登认证处理方法及装置 - Google Patents

基于可信执行环境的免登认证处理方法及装置 Download PDF

Info

Publication number
CN112311805B
CN112311805B CN202011231963.4A CN202011231963A CN112311805B CN 112311805 B CN112311805 B CN 112311805B CN 202011231963 A CN202011231963 A CN 202011231963A CN 112311805 B CN112311805 B CN 112311805B
Authority
CN
China
Prior art keywords
application
authentication
signature
trusted
login
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011231963.4A
Other languages
English (en)
Other versions
CN112311805A (zh
Inventor
张武
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alipay Hangzhou Information Technology Co Ltd
Original Assignee
Alipay Hangzhou Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alipay Hangzhou Information Technology Co Ltd filed Critical Alipay Hangzhou Information Technology Co Ltd
Priority to CN202011231963.4A priority Critical patent/CN112311805B/zh
Publication of CN112311805A publication Critical patent/CN112311805A/zh
Application granted granted Critical
Publication of CN112311805B publication Critical patent/CN112311805B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G06Q20/40145—Biometric identity checks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本说明书实施例提供了基于可信执行环境的免登认证处理方法及装置。在需要通过目标设备上的第二应用调用第一应用，实现针对第一应用的免登认证的场景下，可以先通过目标设备上的第一应用调用可信应用进行免登认证注册，使得可信应用和可信应用对应的验证服务端分别保存第一应用的注册数据。其中，目标设备具有普通执行环境REE和可信执行环境TEE，第一应用和第二应用位于REE中，可信应用位于TEE中，第一应用和第二应用共享保存在TEE中的第一应用的注册数据。后续，无论目标设备是否仍安装有第一应用，当用户在第二应用中调用第一应用时，第二应用可以调用可信应用，使得可信应用根据第一应用的注册数据，针对第一应用进行免登认证。

Description

基于可信执行环境的免登认证处理方法及装置
技术领域
本说明书实施例涉及计算机技术领域，具体地，涉及基于可信执行环境的免登认证处理方法及装置。
背景技术
目前,有些客户端应用具有调用其他应用的功能。以购物类应用为例，购物类应用可以支持至少一种支付方式，用户可以使用购物类应用调用该至少一种支付方式对应的支付类应用。实践中，在购物类应用中调用支付类应用时，若用户使用的用户设备未安装该支付类应用，可能会无法完成支付，或者会唤起与该支付类应用相关的HTML5登录页面，需要用户在该页面完成登录后再进行支付。其中，HTML5是HTML(HyperText Markup Language，超文本标记语言)的规范。通常，唤起HTML5登录页面的方式流程繁琐，操作复杂，用户体验较低，订单放弃率高，业务损失较大。
因此，迫切需要一种合理、可靠的方案，实现安全环境下针对客户端应用的免登认证。其中，免登认证可以理解为，在不用输入账户登录信息的情况下，定位到账户并进行身份认证。
发明内容
本说明书实施例提供了基于可信执行环境的免登认证处理方法及装置。
第一方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理方法，应用于目标设备上的第一应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第一应用位于所述REE中，所述TEE中设置有可信应用，所述方法包括：接收用户的针对免登认证服务的开通请求；响应于所述开通请求，向所述可信应用发送免登认证注册请求，其中包括，所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第一签名的注册结果，所述第一签名是利用所述目标设备的设备私钥添加的，所述注册结果包括所述可信应用针对所述第一应用生成的公私钥对中的第一公钥，所述公私钥对的秘钥索引，所述账户标识，以及所述目标设备的设备标识，其中，所述可信应用保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端，使得所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
在一些实施例中，在所述经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端之后，所述方法还包括：接收用于表示注册完成的第一提示信息；响应于所述第一提示信息，向所述用户展示用于表示免登认证服务成功开通的第二提示信息。
在一些实施例中，所述可信应用保存有所述验证服务端的第二公钥；以及在所述向所述可信应用发送免登认证注册请求之前，所述方法还包括：获取所述目标设备的设备信息，所述设备信息至少包括设备标识；向所述第一服务端发送针对注册请求数据的获取请求，所述获取请求包括所述账户标识和所述设备信息，以使所述第一服务端根据所述获取请求，从所述验证服务端获取添加有第二签名的注册请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；从所述第一服务端接收所述添加有第二签名的注册请求数据；生成所述免登认证注册请求，其中包括所述账户标识和所述添加有第二签名的注册请求数据；以及所述从所述可信应用接收添加有第一签名的注册结果，包括：从所述可信应用接收，响应于所述第二签名与所述第二公钥相匹配，而返回的添加有第一签名的注册结果。
在一些实施例中，所述获取所述目标设备的设备信息，包括：从所述可信应用获取所述设备信息。
在一些实施例中，所述注册请求数据包括所述秘钥索引。
在一些实施例中，所述目标设备配置有所述验证服务端提供的SDK，所述第一应用利用所述SDK调用所述可信应用的应用接口。
在一些实施例中，所述第一应用包括支付类应用。
在一些实施例中，所述可信应用包括，互联网金融身份认证联盟可信应用IFAATA；所述验证服务端包括，IFAA服务端。
第二方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理方法，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第一应用，所述方法包括：从所述第一应用接收免登认证注册请求，所述免登认证注册请求包括所述用户在所述第一应用对应的账户标识；针对所述第一应用生成公私钥对，并为所述公私钥对分配秘钥索引；生成并保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；生成注册结果，并利用所述目标设备的设备私钥为所述注册结果添加第一签名，所述注册结果包括所述公私钥对中的第一公钥，所述秘钥索引，所述账户标识，以及所述目标设备的设备标识；将添加有第一签名的所述注册结果返回给所述第一应用，以使所述第一应用将添加有第一签名的所述注册结果上传至所述可信应用对应的验证服务端，供所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
在一些实施例中，所述可信应用保存有所述验证服务端的第二公钥，所述免登认证注册请求包括添加有第二签名的注册请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；以及在所述从所述第一应用接收免登认证注册请求之后，所述方法还包括：确定所述第二签名是否与所述第二公钥相匹配；若是，则执行所述针对所述第一应用生成公私钥对。
在一些实施例中，所述注册请求数据包括所述第一应用对应的秘钥索引；以及所述为所述公私钥对分配秘钥索引，包括：将所述注册请求数据所包括的秘钥索引分配给所述公私钥对。
在一些实施例中，所述保存注册信息，包括：将所述注册信息保存至所述TEE中的安全存储区域。
第三方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理方法，应用于目标设备上的第二应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第二应用位于所述REE中，且支持调用适用于所述REE的第一应用，所述TEE中设置有可信应用，所述方法包括：接收用户的针对所述第一应用的调用请求；向所述可信应用发送免登认证请求，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第三签名的认证结果，所述认证结果响应于所述用户通过身份认证而生成，所述第三签名是利用所述账户标识关联的第一私钥添加的；经由所述第二应用的第二服务端，向所述可信应用对应的验证服务端发送验证请求，所述验证请求包括所述账户标识和所述添加有第三签名的认证结果，使得所述验证服务端根据所述验证请求，对所述添加有第三签名的认证结果进行合法性验证，并向所述第二服务端返回验证结果。
在一些实施例中，所述可信应用保存有所述验证服务端的第二公钥；以及在所述向所述可信应用发送免登认证请求之前，所述方法还包括：获取所述目标设备的设备信息，所述设备信息至少包括设备标识；向所述第二服务端发送针对认证请求数据的获取请求，所述获取请求包括所述账户标识和所述设备信息，以使所述第二服务端根据所述获取请求，从所述验证服务端获取添加有第二签名的认证请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；从所述第二服务端接收所述添加有第二签名的认证请求数据；生成所述免登认证请求，其中包括所述账户标识和所述添加有第二签名的认证请求数据；以及所述从所述可信应用接收添加有第三签名的认证结果，包括：从所述可信应用接收，响应于所述第二签名与所述第二公钥相匹配，而返回的添加有第三签名的认证结果。
在一些实施例中，在所述接收用户的针对所述第一应用的调用请求之后，所述方法还包括：确定所述第一应用是否已开通免登认证服务；若是，则执行所述向所述可信应用发送免登认证请求。
在一些实施例中，所述方法还包括：从所述第二服务端接收，响应于所述验证结果而返回的与所述调用请求有关的操作指令；根据所述操作指令，执行相应的操作。
在一些实施例中，所述第一应用包括支付类应用；以及所述从所述第二服务端接收，响应于所述验证结果而返回的与所述调用请求有关的操作指令，包括：从所述第二服务端接收，响应于所述验证结果表示验证通过而返回的与所述调用请求有关的支付界面显示指令；以及所述根据所述操作指令，执行相应的操作，包括：根据所述支付界面显示指令，显示相应的支付界面。
在一些实施例中，所述目标设备配置有所述验证服务端提供的SDK，所述第二应用利用所述SDK调用所述可信应用的应用接口。
在一些实施例中，所述第一应用包括支付类应用；所述第二应用包括以下任一种应用：购物类应用、音视频类应用、电子书应用、教育类应用、游戏类应用。
第四方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理方法，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第二应用，所述第二应用支持调用适用于所述REE的第一应用，所述方法包括：从所述第二应用接收免登认证请求，所述免登认证请求响应于用户的针对所述第一应用的调用请求而发送，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；获取所述账户标识关联的第一私钥；对所述用户进行身份认证；响应于所述用户通过身份认证，生成认证结果，并利用所述第一私钥为所述认证结果添加第三签名；将添加有第三签名的所述认证结果返回给所述第二应用，以使所述第二应用将添加有第三签名的所述认证结果上传至所述可信应用对应的验证服务端，供所述验证服务端进行合法性验证。
在一些实施例中，所述可信应用保存有所述验证服务端的第二公钥，所述免登认证请求包括添加有第二签名的认证请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；以及在所述从所述第二应用接收免登认证请求之后，所述方法还包括：确定所述第二签名是否与所述第二公钥相匹配；若是，则执行所述获取所述账户标识关联的第一私钥。
在一些实施例中，所述对所述用户进行身份认证，包括：获取所述用户的目标生物特征信息；确定已保存的至少一个生物特征模板中，是否存在与所述目标生物特征信息相匹配的生物特征模板；若存在，则确定所述用户通过身份认证；若不存在，则确定所述用户未通过身份认证。
在一些实施例中，所述目标生物特征信息包括以下任一项：人脸特征、指纹特征、虹膜特征。
第五方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理装置，应用于目标设备上的第一应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第一应用位于所述REE中，所述TEE中设置有可信应用，所述装置包括：接收单元，被配置成接收用户的针对免登认证服务的开通请求；可信应用调用单元，被配置成响应于所述开通请求，向所述可信应用发送免登认证注册请求，其中包括，所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第一签名的注册结果，所述第一签名是利用所述目标设备的设备私钥添加的，所述注册结果包括所述可信应用针对所述第一应用生成的公私钥对中的第一公钥，所述公私钥对的秘钥索引，所述账户标识，以及所述目标设备的设备标识，其中，所述可信应用保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；发送单元，被配置成经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端，使得所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
第六方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理装置，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第一应用，所述装置包括：接收单元，被配置成从所述第一应用接收免登认证注册请求，所述免登认证注册请求包括所述用户在所述第一应用对应的账户标识；秘钥生成单元，被配置成针对所述第一应用生成公私钥对，并为所述公私钥对分配秘钥索引；注册信息生成单元，被配置成生成并保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；注册结果生成单元，被配置成生成注册结果，并利用所述目标设备的设备私钥为所述注册结果添加第一签名，所述注册结果包括所述公私钥对中的第一公钥，所述秘钥索引，所述账户标识，以及所述目标设备的设备标识；发送单元，被配置成将添加有第一签名的所述注册结果返回给所述第一应用，以使所述第一应用将添加有第一签名的所述注册结果上传至所述可信应用对应的验证服务端，供所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
第七方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理装置，应用于目标设备上的第二应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第二应用位于所述REE中，且支持调用适用于所述REE的第一应用，所述TEE中设置有可信应用，所述装置包括：接收单元，被配置成接收用户的针对所述第一应用的调用请求；可信应用调用单元，被配置成向所述可信应用发送免登认证请求，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第三签名的认证结果，所述认证结果响应于所述用户通过身份认证而生成，所述第三签名是利用所述账户标识关联的第一私钥添加的；发送单元，被配置成经由所述第二应用的第二服务端，向所述可信应用对应的验证服务端发送验证请求，所述验证请求包括所述账户标识和所述添加有第三签名的认证结果，使得所述验证服务端根据所述验证请求，对所述添加有第三签名的认证结果进行合法性验证，并向所述第二服务端返回验证结果。
第八方面，本说明书实施例提供了一种基于可信执行环境的免登认证处理装置，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第二应用，所述第二应用支持调用适用于所述REE的第一应用，所述装置包括：接收单元，被配置成从所述第二应用接收免登认证请求，所述免登认证请求响应于用户的针对所述第一应用的调用请求而发送，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；获取单元，被配置成获取所述账户标识关联的第一私钥；身份认证单元，被配置成对所述用户进行身份认证；响应于所述用户通过身份认证，生成认证结果，并利用所述第一私钥为所述认证结果添加第三签名；发送单元，被配置成将添加有第三签名的所述认证结果返回给所述第二应用，以使所述第二应用将添加有第三签名的所述认证结果上传至所述可信应用对应的验证服务端，供所述验证服务端进行合法性验证。
第九方面，本说明书实施例提供了一种计算机可读存储介质，其上存储有计算机程序，其中，当该计算机程序在计算机中执行时，令该计算机执行如第一方面至第四方面中任一实现方式描述的方法。
第十方面，本说明书实施例提供了一种计算设备，包括存储器和处理器，其中，该存储器中存储有可执行代码，该处理器执行该可执行代码时，实现如第一方面至第四方面中任一实现方式描述的方法。
本说明书的上述实施例提供的基于可信执行环境的免登认证处理方法及装置，通过第一应用响应于用户的针对免登认证服务的开通请求，向可信应用发送免登认证注册请求。之后，通过可信应用响应于免登认证注册请求，针对第一应用生成公私钥对，并为公私钥对分配秘钥索引，而后生成并保存注册信息，以及生成注册结果，并利用目标设备的设备私钥为注册结果添加第一签名，以便将添加有第一签名的注册结果返回给第一应用。然后，使得第一应用经由其第一服务端，将添加有第一签名的注册结果转发至可信应用对应的验证服务端，以便验证服务端在对第一签名验证通过后保存注册结果信息。由此，可以成功开通第一应用的免登认证服务。基于REE侧应用调用在TEE内无隔离的特性，可以实现安全环境下的应用间数据共享，也就是说，位于目标设备上的REE中的第二应用可以与第一应用共享保存在TEE中的上述注册信息。后续，无论目标设备是否仍安装有第一应用，第二应用可以响应于用户的针对第一应用的调用请求而调用可信应用，使得可信应用根据上述注册信息，实现免登下的账户定位与账户验证。由此，可实现安全环境下针对第一应用的免登认证。
另外，当用户在第二应用中调用第一应用时，若目标设备上未安装有第一应用，采用本说明书的上述实施例提供的方案，可以避免唤起与第一应用相关的HTML5登录页面，使得用户在该页面完成登录认证等操作后，才可以进行目标操作(例如支付操作等)，因而，可以简化操作流程，节约用户的操作成本，提升用户体验。此外，当第一应用为支付类应用时，采用本说明书的上述实施例提供的方案，还可以降低订单放弃率，减少业务损失。
附图说明
为了更清楚地说明本说明书披露的多个实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书披露的多个实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1是本说明书的一些实施例可以应用于其中的一个示例性系统架构图；
图2是根据本说明书的基于可信执行环境的免登认证处理方法的一个实施例的时序图；
图3是本说明书的一些实施例可以应用于其中的一个示例性系统架构图；
图4是根据本说明书的基于可信执行环境的免登认证处理方法的一个实施例的时序图；
图5是根据本说明书的基于可信执行环境的免登认证处理装置的一个结构示意图；
图6是根据本说明书的基于可信执行环境的免登认证处理装置的一个结构示意图；
图7是根据本说明书的基于可信执行环境的免登认证处理装置的一个结构示意图；
图8是根据本说明书的基于可信执行环境的免登认证处理装置的一个结构示意图。
具体实施方式
下面结合附图和实施例对本说明书作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。在不冲突的情况下，本说明书中的实施例及实施例中的特征可以相互组合。另外，本说明书中的“第一”、“第二”、“第三”等词，仅用于信息区分，不起任何限定作用。
本说明书的一些实施例提供了基于可信执行环境的免登认证处理方法，通过该方法，当用户在第二应用中调用第一应用时，可以实现安全环境下针对第一应用的免登认证。其中，第一应用可以是各种类别的应用，例如可以包括但不限于支付类应用等。第二应用可以是支持调用第一应用的各种类别的应用，例如可以包括但不限于购物类应用、音视频类应用、电子书应用、教育类应用、游戏类应用等。
需要说明的是，本说明书提供的方案涉及免登认证服务的开通流程和免登认证流程。
下面，先介绍与免登认证服务的开通流程有关的方案。如图1所示，其示出了适用于该方案的示例性系统架构图。
具体地，图1示出的系统架构包括第一应用，可信应用，第一应用的第一服务端，以及可信应用对应的验证服务端。其中，第一应用位于目标设备的REE(Rich ExecutionEnvironment，普通执行环境)中，可信应用位于目标设备的TEE(Trusted ExecutionEnvironment，可信执行环境)中。
目标设备可以是具有REE和TEE的各种电子设备，例如可以包括但不限于智能手机、平板电脑、智能电视、IOT(Internet of Things，物联网)设备、台式电脑、笔记本电脑等等。可选地，当目标设备为移动设备时，目标设备搭载的操作系统可以包括但不限于Android操作系统等。
TEE是目标设备上划分出的一块安全区域，包括CPU(Central Processing Unit，中央处理器)中的一块安全计算区域和存储器中的一块安全存储区域。这块安全区域的作用是给数据和代码的执行提供一个更安全的空间，并保证它们的机密性和完整性。
实践中，当用户想要开通第一应用的免登认证服务时，可以在第一应用中触发针对免登认证服务的开通请求。而后，第一应用可以响应于该开通请求，调用可信应用，向可信应用发送免登认证注册请求。之后，可信应用可以响应于该免登认证注册请求，针对第一应用生成并保存注册信息，以及生成注册结果，并为注册结果添加第一签名，将添加有第一签名的注册结果返回给第一应用，以使第一应用将添加有第一签名的注册结果上传至验证服务端，供验证服务端在对第一签名验证通过后保存注册结果信息。具体地，第一应用可以将添加有第一签名的注册结果发送至第一服务端，使得第一服务端将添加有第一签名的注册结果转发至验证服务端。验证服务端可以在对第一签名验证通过后保存注册结果信息。如此，便可以成功开通第一应用的免登认证服务。
下面，根据图1，结合具体的实施例，描述与免登认证服务的开通流程有关的方案的具体实施步骤。
参看图2，其示出了基于可信执行环境的免登认证处理方法的一个实施例的时序图。该方法包括以下步骤：
步骤201，第一应用接收用户的针对免登认证服务的开通请求；
步骤207，第一应用响应于开通请求，向可信应用发送免登认证注册请求，其中包括，用户在第一应用对应的账户标识；
步骤209，可信应用针对第一应用生成公私钥对，并为公私钥对分配秘钥索引；
步骤210，可信应用生成并保存注册信息，注册信息包括公私钥对中的第一私钥，秘钥索引，以及账户标识；
步骤211，可信应用生成注册结果，并利用目标设备的设备私钥为注册结果添加第一签名，注册结果包括公私钥对中的第一公钥，秘钥索引，账户标识，以及目标设备的设备标识；
步骤212，可信应用将添加有第一签名的注册结果返回给第一应用；
步骤213，第一应用将添加有第一签名的注册结果发送至第一服务端；
步骤214，第一服务端将添加有第一签名的注册结果转发至验证服务端；
步骤215，验证服务端在对第一签名验证通过后保存注册结果信息，注册结果信息包括第一公钥，秘钥索引，以及账户标识。
下面，对步骤201-215做进一步说明。
在步骤201中，用户可以在第一应用中触发针对免登认证服务的开通请求，使得第一应用接收该开通请求。
实践中，目标设备可以配置有验证服务端提供的SDK(Software DevelopmentKit，软件开发工具包)。因此，在步骤207中，第一应用可以利用该SDK调用可信应用的应用接口，通过该应用接口向可信应用发送免登认证注册请求。
可选地，在步骤201之后，以及步骤207之前，还可以包括步骤202-206。
在步骤202中，第一应用可以获取目标设备的设备信息，设备信息至少包括设备标识。可选地，该设备信息还可以包括目标设备的关联信息，该关联信息例如可以包括但不限于用于表征用户的目标生物特征信息是否录入的信息项。其中，目标生物特征信息例如可以包括但不限于人脸特征、指纹特征或虹膜特征等。
可选地，为了确保目标设备的设备信息的安全性，该设备信息可以预先存储在TEE的安全存储区域中。由此，在步骤202中，第一应用可以从可信应用获取目标设备的设备信息。具体地，第一应用可以向可信应用发送设备信息获取请求，使得可信应用从安全存储区域获取目标设备的设备信息，并将所获取的设备信息返回给第一应用。
在步骤203中，第一应用可以向第一服务端发送针对注册请求数据的获取请求，获取请求包括用户在第一应用对应的账户标识，以及目标设备的设备信息。
在步骤204中，第一服务端可以根据获取请求，从验证服务端获取添加有第二签名的注册请求数据。其中，注册请求数据是验证服务端针对第一应用生成且进行签名的。第二签名是利用验证服务端的第二私钥添加的。具体地，第一服务端可以将获取请求转发至验证服务端，使得验证服务端根据获取请求，针对第一应用生成注册请求数据，并利用验证服务端自己的第二私钥为注册请求数据添加第二签名，以及将添加有第二签名的注册请求数据返回给第一服务端。其中，注册请求数据可以包括但不限于第一应用对应的秘钥索引。该秘钥索引是验证服务端为第一应用生成的，唯一指向第一应用。
在步骤205中，第一应用可以从第一服务端接收添加有第二签名的注册请求数据。
在步骤206中，第一应用可以生成免登认证注册请求，其中包括上述账户标识和添加有第二签名的注册请求数据。
在步骤209中，可信应用可以响应于免登认证注册请求，针对第一应用生成公私钥对，并为公私钥对分配秘钥索引。作为示例，可信应用可以针对该公私钥对，生成对应的秘钥索引。
可选地，可信应用可以保存有验证服务端的第二公钥。当免登认证注册请求包括添加有第二签名的注册请求数据时，在步骤209之前，可信应用可以通过执行步骤208，确定第二签名是否与验证服务端的第二公钥相匹配。若确定第二签名与验证服务端的第二公钥相匹配，则可以执行步骤209。
需要说明的是，若第二签名与验证服务端的第二公钥相匹配，则可以表明第二签名合法，注册请求数据是经验证服务端确认的。
可选地，若免登认证注册请求包括添加有第二签名的注册请求数据，且该注册请求数据包括第一应用对应的秘钥索引，则可信应用可以将该秘钥索引分配给上述公私钥对。
在步骤210中，可信应用可以针对第一应用，生成并保存注册信息。注册信息可以包括但不限于上述公私钥对中的第一私钥、上述公私钥对的秘钥索引，以及用户在第一应用对应的账户标识等。可选地，注册信息还可以包括第一应用的应用标识。
实践中，TEE包括安全存储区域，例如安全文件系统(Secure File System，SFS)、有重放保护的内存区(Replay Protected Memory Block，RPMB)等安全存储区域。可信应用可以将第一应用的注册信息保存至TEE中的安全存储区域。进一步地，可信应用可以将该注册信息保存至TEE中的安全文件系统。
需要说明的是，通过将第一应用的注册信息保存至TEE中的安全存储区域，可以确保该注册信息的安全性。另外，该注册信息有助于实现，在安全环境下针对第一应用的免登认证。
需要指出的是，可信应用在保存注册信息时，可以将账户标识与秘钥索引进行关联，以及将秘钥索引和第一私钥进行关联。由此，在后续的免登认证流程中，可以根据所接收的免登认证请求中的账户标识查找到相关的秘钥索引，而后根据秘钥索引查找到相关的第一私钥。
在步骤211中，可信应用可以针对第一应用生成注册结果，并利用目标设备的设备私钥为注册结果添加第一签名。其中，注册结果包括上述公私钥对中的第一公钥，上述公私钥对的秘钥索引，用户在第一应用对应的账户标识，以及目标设备的设备标识。
需要说明的是，通过利用目标设备的设备私钥为注册结果添加第一签名，有助于验证服务端确认注册结果是否来自目标设备。
在步骤212中，可信应用可以将添加有第一签名的注册结果发送至第一应用。
实践中，业务方通常比较信任验证服务端的验证结果，因而，第一应用可以将添加有第一签名的注册结果上传至验证服务端，使得验证服务端在对第一签名验证通过后保存第一应用的注册结果信息，以供验证服务端在后续的免登认证流程中使用。具体地，第一应用可以通过执行步骤213，将添加有第一签名的注册结果发送至第一服务端，使得第一服务端通过执行步骤214，将添加有第一签名的注册结果转发至验证服务端。
在步骤215中，验证服务端预先保存有目标设备的设备公钥。验证服务端在接收到添加有第一签名的注册结果后，可以根据注册结果中的设备标识，查找到该设备公钥，而后确定第一签名是否与该设备公钥相匹配。若确定第一签名与该设备公钥相匹配，则可以确认注册结果的确来自目标设备，进而可根据注册结果，保存第一应用的注册结果信息。其中，注册结果信息可以包括但不限于上述公私钥对中的第一公钥，上述公私钥对的秘钥索引，以及用户在第一应用对应的账户标识等。
实践中，验证服务端在保存注册结果信息时，可以将账户标识和秘钥索引进行关联，以及将秘钥索引和第一公钥进行关联。由此，在后续的免登认证流程中，验证服务端可以根据所接收的验证请求中的账户标识查找到相关的秘钥索引，而后根据秘钥索引查找到相关的第一公钥。
可选地，注册结果信息还可以包括目标设备的设备标识。验证服务端在保存注册结果信息时，可以将标识对(包括账户标识和设备标识)和秘钥索引进行关联，以及将秘钥索引和第一公钥进行关联。由此，在后续的免登认证流程中，若验证服务端所接收的验证请求同时包括用户标识和设备标识，则验证服务端可以根据该用户标识和设备标识查找到相关的秘钥索引，而后根据秘钥索引查找到相关的第一公钥。
可选地，可信应用可以包括，IFAA(Internet Finance AuthenticationAlliance，互联网金融身份认证联盟)TA(Trust Application，可信应用)。验证服务端可以包括IFAA服务端。
可选地，第一应用在将添加有第一签名的注册结果发送至第一服务端之后，还可以接收用于表示注册完成的第一提示信息，并响应于该第一提示信息，向用户展示用于表示免登认证服务成功开通的第二提示信息。其中，第一提示信息可以是，第一服务端从验证服务端接收，并转发至第一应用的。或者，第一提示信息可以是，第一服务端响应于接收到验证服务端发送的注册成功反馈信息而生成的。
需要说明的是，若第一提示信息是第一服务端从验证服务端接收的，则第一提示信息例如可以包括但不限于用户在第一应用对应的账户标识，上述公私钥对中的第一公钥，上述公私钥对的秘钥索引，以及目标设备的设备标识等等。此外，第一服务端可以保存第一提示信息中的部分或全部信息项。应该理解，上述注册成功反馈信息也可以包括第一提示信息中的以上信息项，第一服务端可以响应于接收到上述注册成功反馈信息，而保存上述注册成功反馈信息中的部分或全部信息项。
另外，第二提示信息例如可以包括但不限于用于表示成功开通免登认证服务的标记信息。通过向用户展示第二提示信息，可以方便用户及时获知第一应用的免登认证服务的开通情况。
本实施例提供的方案，通过对以上各步骤的执行，可以使得可信应用和验证服务端分别保存第一应用的注册数据，例如前文中的注册信息、注册结果信息，如此便能成功开通第一应用的免登认证服务。基于REE侧应用调用在TEE内无隔离的特性，可以实现安全环境下的应用间数据共享，也就是说，位于目标设备上的REE中的第二应用可以与第一应用共享保存在TEE中的上述注册信息。后续，无论目标设备是否仍安装有第一应用，第二应用可以响应于用户的针对第一应用的调用请求而调用可信应用，使得可信应用根据上述注册信息，实现免登下的账户定位与账户验证。由此，可实现安全环境下针对第一应用的免登认证。
下面，开始介绍与免登认证流程有关的方案。如图3所示，其示出了适用于该方案的示例性系统架构图。
具体地，图3示出的系统架构包括第二应用，可信应用，第二应用的第二服务端，以及可信应用对应的验证服务端。其中，第二应用位于目标设备的REE中，可信应用位于目标设备的TEE中。这里，关于该系统架构中的各组成部分的解释说明，可参看前文中的相关描述，在此不再赘述。
需要说明的是，目标设备的REE中可以安装有第一应用，也可以未安装第一应用(例如用户在开通第一应用的免登认证服务后卸载了第一应用)，在此不做具体限定。
实践中，在用户针对第一应用成功开通免登认证服务的情况下，当用户想要在第二应用中调用第一应用时，可以在第二应用中触发针对第一应用的调用请求。而后，第二应用可以响应于该调用请求，调用可信应用，向可信应用发送针对第一应用的免登认证请求。之后，无论目标设备上是否安装有第一应用，可信应用均可以响应于该免登认证请求，根据所保存的第一应用的注册信息，进行免登认证，生成认证结果，并为认证结果添加第三签名，以及将添加有第三签名的认证结果返回给第二应用，以使第二应用将添加有第三签名的认证结果上传至验证服务端，供验证服务端进行合法性验证。具体地，第二应用可以向第二服务端发送验证请求，使得第二服务端将验证请求转发至验证服务端。其中，验证请求包括用户在第一应用对应的账户标识，以及添加有第三签名的认证结果。验证服务端可以对添加有第三签名的认证结果进行合法性验证，生成验证结果，并将验证结果返回给第二服务端。由此，第二服务端可以根据所接收的验证结果，执行相应的操作。
下面，根据图3，结合具体的实施例，描述与免登认证流程有关的方案的具体实施步骤。
参看图4，其示出了基于可信执行环境的免登认证处理方法的一个实施例的时序图。该方法包括以下步骤：
步骤401，第二应用接收用户的针对第一应用的调用请求；
步骤407，第二应用向可信应用发送免登认证请求，免登认证请求包括用户在第一应用对应的账户标识；
步骤409，可信应用获取账户标识关联的第一私钥；
步骤410，可信应用对用户进行身份认证；
步骤411，可信应用响应于用户通过身份认证，生成认证结果，并利用第一私钥为认证结果添加第三签名；
步骤412，可信应用将添加有第三签名的认证结果返回给第二应用；
步骤413，第二应用向第二服务端发送验证请求，验证请求包括账户标识和添加有第三签名的认证结果；
步骤414，第二服务端将验证请求转发至验证服务端；
步骤415，验证服务端根据验证请求，对添加有第三签名的认证结果进行合法性验证，并生成验证结果；
步骤416，验证服务端将验证结果返回给第二服务端。
下面，对步骤401-416做进一步说明。
在步骤401中，当用户想要在第二应用中调用第一应用时，可以在第二应用中触发针对第一应用的调用请求，使得第二应用接收该调用请求。
可选地，在步骤401之后，以及步骤407之前，第二应用可以确定第一应用是否已开通免登认证服务。若确定第一应用已开通免登认证服务，则可以执行步骤407。作为示例，第二应用可以向可信应用发送用于确认第一应用是否已开通免登认证服务的确认请求，并接收可信应用响应于该确认请求而返回的确认结果。
作为一种实现方式，上述确认请求可以包括第一应用的应用标识。可信应用在接收到该确认请求后，可以先查找该应用标识对应的账户标识。若查找到账户标识，则进一步查找该账户标识关联的秘钥索引。若查找到秘钥索引，则可以生成表示第一应用已开通免登认证服务的确认结果，该确认结果包括该账户标识。若未查找到秘钥索引，则可以生成表示第一应用未开通免登认证服务的确认结果。
作为另一种实现方式，上述确认请求可以包括用户在第一应用对应的账户标识。该账户标识是第二应用根据第一应用的应用标识获取的。例如，若用户在目标设备上成功登陆过第一应用，则目标设备上可以存储有该应用标识和该账户标识的绑定关系信息。第二应用可以根据该应用标识，从该绑定关系信息中获取该账户标识。可信应用在接收到上述确认请求后，可以先查找该账户标识关联的秘钥索引。若查找到秘钥索引，则可以生成表示第一应用已开通免登认证服务的确认结果。若未查找到秘钥索引，则可以生成表示第一应用未开通免登认证服务的确认结果。
在步骤407中，第二应用可以响应于上述调用请求，向可信应用发送针对第一应用的免登认证请求。其中，免登认证请求包括用户在第一应用对应的账户标识。实践中，目标设备可以配置有验证服务端提供的SDK，第二应用可以利用该SDK调用可信应用的应用接口，通过该应用接口向可信应用发送免登认证请求。
可选地，在步骤401之后，以及步骤407之前，还可以包括步骤402-406。
其中，在步骤402中，第二应用获取目标设备的设备信息，设备信息至少包括设备标识。
可选地，为了确保目标设备的设备信息的安全性，该设备信息可以预先存储在TEE的安全存储区域中。进一步地，在步骤402中，第二应用可以从可信应用获取目标设备的设备信息。具体地，第二应用可以向可信应用发送设备信息获取请求，使得可信应用从安全存储区域获取目标设备的设备信息，并将所获取的设备信息返回给第二应用。
在步骤403中，第二应用向第二服务端发送针对认证请求数据的获取请求，获取请求包括用户在第一应用对应的账户标识，以及目标设备的设备信息。
在步骤404中，第二服务端根据获取请求，从验证服务端获取添加有第二签名的认证请求数据。其中，认证请求数据是验证服务端生成且进行签名的。第二签名是利用验证服务端的第二私钥添加的。具体地，第二服务端可以将获取请求转发至验证服务端，使得验证服务端根据获取请求，生成与第一应用有关的认证请求数据，并利用验证服务端自己的第二私钥为认证请求数据添加第二签名，以及将添加有第二签名的认证请求数据返回给第二服务端。
在步骤405中，第二应用可以从第二服务端接收添加有第二签名的认证请求数据。
在步骤406中，第二应用可以生成免登认证请求，其中包括用户在第一应用对应的账户标识，以及添加有第二签名的认证请求数据。
在步骤409中，可信应用可以响应于上述免登认证请求，根据该请求中的用户在第一应用对应的账户标识，获取该账户标识关联的第一私钥。应该理解，该第一私钥是前文中的公私钥对中的第一私钥。
可选地，可信应用可以保存有验证服务端的第二公钥。当免登认证请求包括添加有第二签名的认证请求数据时，在步骤409之前，可信应用可以通过执行步骤408，确定第二签名是否与验证服务端的第二公钥相匹配。若确定第二签名与验证服务端的第二公钥相匹配，则可以执行步骤409。
其中，若第二签名与验证服务端的第二公钥相匹配，则可以表明第二签名合法，认证请求数据是经验证服务端确认的。
在步骤410中，可信应用可以对用户进行身份认证。例如，可信应用可以获取用户的目标生物特征信息。而后确定已保存的至少一个生物特征模板中，是否存在与目标生物特征信息相匹配的生物特征模板。若存在，则可以确定用户通过身份认证。若不存在，则可以确定用户未通过身份认证。
可选地，认证请求数据可以包括身份认证指令，该指令可以包括认证方式(例如人脸认证、指纹认证或虹膜认证等)。因而，进一步地，在步骤410中，可信应用可以根据该认证方式，对用户进行身份认证。
若可信应用确定用户未通过身份认证，则可以向用户展示用于表示未通过身份认证的提示信息。若可信应用确定用户通过身份认证，则可以通过执行步骤411，生成认证结果，并利用第一私钥为认证结果添加第三签名。其中，利用第一私钥为认证结果添加第三签名，可以避免账户误判断带来的风险。
在步骤412中，可信应用可以将添加有第三签名的认证结果返回给第二应用。实践中，由于业务方通常比较信任验证服务端的验证结果，因而，第二应用可以将添加有第三签名的认证结果上传至验证服务端，供验证服务端进行合法性验证。具体地，第二应用可以通过执行步骤413，向第二服务端发送验证请求，验证请求包括用户在第一应用对应的账户标识，以及添加有第三签名的认证结果，使得第二服务端通过执行步骤414，将验证请求转发至验证服务端。
在步骤415中，验证服务端可以根据验证请求，对添加有第三签名的认证结果进行合法性验证，并生成验证结果。例如，验证服务端可以先根据验证请求中的账户标识，获取该账户标识关联的第一公钥。之后，验证服务端可以确定第三签名是否与第一公钥相匹配。然后，验证服务端可以根据匹配结果，生成验证结果。
作为一种实现方式，若匹配结果是第三签名与第一公钥相匹配，则可以生成表示验证通过的验证结果。
作为另一种实现方式，若匹配结果是第三签名与第一公钥不匹配，则可以生成表示验证失败的验证结果。
作为又一种实现方式，若匹配结果是第三签名与第一公钥相匹配，则可以进一步确定认证结果是否合法，并生成验证结果。具体地，若确定认证结果合法，则可以生成表示验证通过的验证结果。若确定认证结果不合法，则可以生成表示验证失败的验证结果。
可选地，认证结果可以包括可信应用在对用户进行身份认证时所获取的用户的目标生物特征信息，以及用于表示用户是否通过身份认证的结果信息。可选地，认证结果还可以包括，与目标生物特征信息进行比对的至少一个生物特征模板的模板信息，该模板信息例如可以包括生物特征模板本身，或者生物特征模板的模板标识等。作为一种实现方式，验证服务端可以根据认证结果中的目标生物特征信息和模板信息，确定结果信息是否正确。若确定结果信息正确，则可以确定认证结果合法。若确定结果信息不正确，则可以确定认证结果不合法。
应该理解，针对添加有第三签名的认证结果，可以采用各种合法性验证方法，本说明书对此不做具体限定。
在步骤416中，验证服务端可以将验证结果返回给第二服务端，使得第二服务端根据验证结果，执行相应的操作。
可选地，在步骤416之后，还可以包括步骤417和步骤418。
其中，在步骤417中，第二服务端可以响应于验证结果而向第二应用返回与调用请求有关的操作指令。在步骤418中，第二应用可以根据该操作指令，执行相应的操作。
作为示例，若验证结果表示验证通过，则第二服务端例如可以执行与调用第一应用有关的操作，并根据操作结果向第二应用返回相应的操作指令。若验证结果表示验证失败，则第二服务端例如可以向第二应用返回，展示调用失败提示信息的操作指令。
可选地，若第一应用为支付类应用，在步骤417中，第二服务端可以响应于验证结果表示验证通过，而向第二应用返回与上述调用请求有关的支付界面显示指令。进一步地，在步骤418中，第二应用可以根据支付界面显示指令，显示相应的支付界面。
可选地，当目标设备未安装第一应用时，支付界面显示指令可以包括支付界面，该支付界面可以是第二服务端从第一应用的第一服务端获取的。
可选地，当目标设备安装有第一应用时，支付界面显示指令可以包括支付界面的界面标识，该界面标识可以是第二服务端从第一服务端获取的。另外，第一服务端可以向第一应用发送该界面标识对应的支付界面。第二应用可以根据该界面标识，跳转到该支付界面。
应该理解，步骤416之后的操作流程可根据实际业务需求设计，本说明书对此不做具体限定。
本实施例提供的方案中，第一应用和第二应用共享TEE中的第一应用的注册信息。通过对以上各步骤的执行，无论目标设备是否仍安装有第一应用，可以使得第二应用响应于用户的针对第一应用的调用请求而调用可信应用，使得可信应用根据该注册信息，实现免登下的账户定位与账户验证。由此，可实现安全环境下针对第一应用的免登认证。
另外，当用户在第二应用中调用第一应用时，若目标设备上未安装有第一应用，采用本实施例提供的方案，可以避免唤起与第一应用相关的HTML5登录页面，使得用户在该页面完成登录认证等操作后，才可以进行目标操作(例如支付操作等)，因而，可以简化操作流程，节约用户的操作成本，提升用户体验。此外，当第一应用为支付类应用时，采用本实施例提供的方案，还可以降低订单放弃率，减少业务损失。
进一步参考图5，其示出了基于可信执行环境的免登认证处理装置的一个实施例的结构示意图。其中，该装置应用于目标设备上的第一应用。目标设备具有REE和TEE，第一应用位于REE中，TEE中设置有可信应用。
如图5所示，本实施例的基于可信执行环境的免登认证处理装置500包括：接收单元501、可信应用调用单元502和发送单元503。其中，接收单元501被配置成接收用户的针对免登认证服务的开通请求；可信应用调用单元502被配置成响应于开通请求，向可信应用发送免登认证注册请求，其中包括，用户在第一应用对应的账户标识；从可信应用接收添加有第一签名的注册结果，第一签名是利用目标设备的设备私钥添加的，注册结果包括可信应用针对第一应用生成的公私钥对中的第一公钥，公私钥对的秘钥索引，上述账户标识，以及目标设备的设备标识，其中，可信应用保存注册信息，注册信息包括上述公私钥对中的第一私钥，上述秘钥索引，以及上述账户标识；发送单元503被配置成经由第一应用的第一服务端，将添加有第一签名的注册结果转发至可信应用对应的验证服务端，使得验证服务端在对第一签名验证通过后保存注册结果信息，注册结果信息包括第一公钥，上述秘钥索引，以及上述账户标识。
在本实施例中，接收单元501、可信应用调用单元502和发送单元503的具体处理及其带来的技术效果可分别参考图2对应实施例中的相关说明，在此不再赘述。
可选地，接收单元501还可以被配置成：接收用于表示注册完成的第一提示信息；以及上述装置500还可以包括：展示单元(图中未示出)，被配置成响应于第一提示信息，向用户展示用于表示免登认证服务成功开通的第二提示信息。
可选地，可信应用可以保存有验证服务端的第二公钥；以及可信应用调用单元502可以进一步被配置成：获取目标设备的设备信息，设备信息至少包括设备标识；向第一服务端发送针对注册请求数据的获取请求，获取请求包括上述账户标识和设备信息，以使第一服务端根据获取请求，从验证服务端获取添加有第二签名的注册请求数据，第二签名是利用验证服务端的第二私钥添加的；从第一服务端接收添加有第二签名的注册请求数据；生成免登认证注册请求，其中包括上述账户标识和添加有第二签名的注册请求数据；向可信应用发送该免登认证注册请求；从可信应用接收，响应于第二签名与第二公钥相匹配，而返回的添加有第一签名的注册结果。
可选地，可信应用调用单元502可以进一步被配置成：从可信应用获取目标设备的设备信息。
可选地，注册请求数据包括上述秘钥索引。
可选地，目标设备配置有验证服务端提供的SDK，可信应用调用单元502利用该SDK调用可信应用的应用接口。
可选地，第一应用可以包括支付类应用。
可选地，可信应用可以包括IFAA TA，验证服务端可以包括IFAA服务端。
进一步参考图6，其示出了基于可信执行环境的免登认证处理装置的一个实施例的结构示意图。其中，该装置应用于目标设备上的可信应用，目标设备具有REE和TEE，可信应用位于TEE中，REE中安装有第一应用。
如图6所示，本实施例的基于可信执行环境的免登认证处理装置600包括：接收单元601、秘钥生成单元602、注册信息生成单元603、注册结果生成单元604和发送单元605。其中，接收单元601被配置成从第一应用接收免登认证注册请求，免登认证注册请求包括用户在第一应用对应的账户标识；秘钥生成单元602被配置成针对第一应用生成公私钥对，并为公私钥对分配秘钥索引；注册信息生成单元603被配置成生成并保存注册信息，注册信息包括公私钥对中的第一私钥，秘钥索引，以及上述账户标识；注册结果生成单元604被配置成生成注册结果，并利用目标设备的设备私钥为注册结果添加第一签名，注册结果包括公私钥对中的第一公钥，秘钥索引，上述账户标识，以及目标设备的设备标识；发送单元605被配置成将添加有第一签名的注册结果返回给第一应用，以使第一应用将添加有第一签名的注册结果上传至可信应用对应的验证服务端，供验证服务端在对第一签名验证通过后保存注册结果信息，注册结果信息包括第一公钥，秘钥索引，以及上述账户标识。
在本实施例中，接收单元601、秘钥生成单元602、注册信息生成单元603、注册结果生成单元604和发送单元605的具体处理及其带来的技术效果可分别参考图2对应实施例中的相关说明，在此不再赘述。
可选地，可信应用保存有验证服务端的第二公钥，免登认证注册请求包括添加有第二签名的注册请求数据，第二签名是利用验证服务端的第二私钥添加的；以及上述装置600还可以包括：确定单元(图中未示出)，被配置成确定第二签名是否与第二公钥相匹配；以及秘钥生成单元602可以进一步被配置成：响应于确定单元确定第二签名与第二公钥相匹配，针对第一应用生成公私钥对。
可选地，注册请求数据包括第一应用对应的秘钥索引，秘钥生成单元602可以进一步被配置成：将注册请求数据所包括的秘钥索引分配给上述公私钥对。
可选地，注册信息生成单元603可以进一步被配置成：将上述注册信息保存至TEE中的安全存储区域。
进一步参考图7，其示出了基于可信执行环境的免登认证处理装置的一个实施例的结构示意图。其中，该装置应用于目标设备上的第二应用，目标设备具有REE和TEE，第二应用位于REE中，且支持调用适用于REE的第一应用，TEE中设置有可信应用。
如图7所示，本实施例的基于可信执行环境的免登认证处理装置700包括：接收单元701、可信应用调用单元702和发送单元703。其中，接收单元701被配置成接收用户的针对第一应用的调用请求；可信应用调用单元702被配置成向可信应用发送免登认证请求，免登认证请求包括用户在第一应用对应的账户标识；从可信应用接收添加有第三签名的认证结果，认证结果响应于用户通过身份认证而生成，第三签名是利用上述账户标识关联的第一私钥添加的；发送单元703被配置成经由第二应用的第二服务端，向可信应用对应的验证服务端发送验证请求，验证请求包括上述账户标识和添加有第三签名的认证结果，验证服务端根据验证请求，对添加有第三签名的认证结果进行合法性验证，并向第二服务端返回验证结果。
在本实施例中，接收单元701、可信应用调用单元702和发送单元703的具体处理及其带来的技术效果可分别参考图4对应实施例中的相关说明，在此不再赘述。
可选地，可信应用保存有验证服务端的第二公钥；以及可信应用调用单元702可以进一步被配置成：获取目标设备的设备信息，设备信息至少包括设备标识；向第二服务端发送针对认证请求数据的获取请求，获取请求包括上述账户标识和设备信息，以使第二服务端根据获取请求，从验证服务端获取添加有第二签名的认证请求数据，第二签名是利用验证服务端的第二私钥添加的；从第二服务端接收添加有第二签名的认证请求数据；生成免登认证请求，其中包括上述账户标识和添加有第二签名的认证请求数据；向可信应用发送该免登认证请求；从可信应用接收，响应于第二签名与第二公钥相匹配，而返回的添加有第三签名的认证结果。
可选地，可信应用调用单元702可以进一步被配置成：从可信应用获取目标设备的设备信息。
可选地，可信应用调用单元702可以进一步被配置成：确定第一应用是否已开通免登认证服务，若是，则向可信应用发送免登认证请求。
可选地，接收单元701还可以被配置成：从第二服务端接收，响应于验证结果而返回的与调用请求有关的操作指令；以及上述装置700还可以包括：执行单元(图中未示出)，被配置成根据操作指令，执行相应的操作。
可选地，第一应用可以包括支付类应用；以及接收单元701可以进一步被配置成：从第二服务端接收，响应于验证结果表示验证通过而返回的与上述调用请求有关的支付界面显示指令；以及执行单元可以进一步被配置成：根据支付界面显示指令，显示相应的支付界面。
可选地，目标设备可以配置有验证服务端提供的SDK，第二应用利用该SDK调用可信应用的应用接口。
可选地，第一应用可以包括支付类应用；第二应用可以包括以下任一种应用：购物类应用、音视频类应用、电子书应用、教育类应用、游戏类应用。
进一步参考图8，其示出了基于可信执行环境的免登认证处理装置的一个实施例的结构示意图。其中，该装置应用于目标设备上的可信应用，目标设备具有REE和TEE，可信应用位于TEE中，REE中安装有第二应用，第二应用支持调用适用于REE的第一应用。
如图8所示，本实施例的基于可信执行环境的免登认证处理装置800包括：接收单元801、获取单元802和身份认证单元803和发送单元804。其中，接收单元801被配置成从第二应用接收免登认证请求，免登认证请求响应于用户的针对第一应用的调用请求而发送，免登认证请求包括用户在第一应用对应的账户标识；获取单元802被配置成获取账户标识关联的第一私钥；身份认证单元803被配置成对用户进行身份认证；响应于用户通过身份认证，生成认证结果，并利用第一私钥为认证结果添加第三签名；发送单元804被配置成将添加有第三签名的认证结果返回给第二应用，以使第二应用将添加有第三签名的认证结果上传至可信应用对应的验证服务端，供验证服务端进行合法性验证。
在本实施例中，接收单元801、获取单元802和身份认证单元803和发送单元804的具体处理及其带来的技术效果可分别参考图4对应实施例中的相关说明，在此不再赘述。
可选地，可信应用保存有验证服务端的第二公钥，免登认证请求包括添加有第二签名的认证请求数据，第二签名是利用验证服务端的第二私钥添加的；以及上述装置800还可以包括：确定单元(图中未示出)，被配置成确定第二签名是否与第二公钥相匹配；以及获取单元802可以进一步被配置成：响应于确定单元确定第二签名与第二公钥相匹配，获取上述账户标识关联的第一私钥。
可选地，身份认证单元803可以进一步被配置成：获取用户的目标生物特征信息；确定已保存的至少一个生物特征模板中，是否存在与目标生物特征信息相匹配的生物特征模板；若存在，则确定用户通过身份认证；若不存在，则确定用户未通过身份认证。
可选地，目标生物特征信息可以包括以下任一项：人脸特征、指纹特征、虹膜特征。
本说明书实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，其中，当该计算机程序在计算机中执行时，令计算机执行以上各方法实施例分别描述的方法。
本说明书实施例还提供了一种计算设备，包括存储器和处理器，其中，该存储器中存储有可执行代码，该处理器执行该可执行代码时，实现以上各方法实施例分别描述的方法。
本说明书实施例还提供了一种计算机程序产品，当在数据处理设备上执行时，使得数据处理设备实现以上各方法实施例分别描述的方法。
本领域技术人员应该可以意识到，在上述一个或多个示例中，本说明书披露的多个实施例所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。
在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
以上所述的具体实施方式，对本说明书披露的多个实施例的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本说明书披露的多个实施例的具体实施方式而已，并不用于限定本说明书披露的多个实施例的保护范围，凡在本说明书披露的多个实施例的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本说明书披露的多个实施例的保护范围之内。

Claims (29)

1.一种基于可信执行环境的免登认证处理方法，应用于目标设备上的第一应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第一应用位于所述REE中，所述TEE中设置有可信应用，所述方法包括：
接收用户的针对免登认证服务的开通请求；
响应于所述开通请求，向所述可信应用发送免登认证注册请求，其中包括，所述用户在所述第一应用对应的账户标识；
从所述可信应用接收添加有第一签名的注册结果，所述第一签名是利用所述目标设备的设备私钥添加的，所述注册结果包括所述可信应用针对所述第一应用生成的公私钥对中的第一公钥，所述公私钥对的秘钥索引，所述账户标识，以及所述目标设备的设备标识，其中，所述可信应用保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；
经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端，使得所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
2.根据权利要求1所述的方法，其中，在所述经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端之后，所述方法还包括：
接收用于表示注册完成的第一提示信息；
响应于所述第一提示信息，向所述用户展示用于表示免登认证服务成功开通的第二提示信息。
3.根据权利要求1所述的方法，其中，所述可信应用保存有所述验证服务端的第二公钥；以及
在所述向所述可信应用发送免登认证注册请求之前，所述方法还包括：
获取所述目标设备的设备信息，所述设备信息至少包括设备标识；
向所述第一服务端发送针对注册请求数据的获取请求，所述获取请求包括所述账户标识和所述设备信息，以使所述第一服务端根据所述获取请求，从所述验证服务端获取添加有第二签名的注册请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；
从所述第一服务端接收所述添加有第二签名的注册请求数据；
生成所述免登认证注册请求，其中包括所述账户标识和所述添加有第二签名的注册请求数据；以及
所述从所述可信应用接收添加有第一签名的注册结果，包括：
从所述可信应用接收，响应于所述第二签名与所述第二公钥相匹配，而返回的添加有第一签名的注册结果。
4.根据权利要求3所述的方法，其中，所述获取所述目标设备的设备信息，包括：
从所述可信应用获取所述设备信息。
5.根据权利要求3所述的方法，其中，所述注册请求数据包括所述秘钥索引。
6.根据权利要求1所述的方法，其中，所述目标设备配置有所述验证服务端提供的SDK，所述第一应用利用所述SDK调用所述可信应用的应用接口。
7.根据权利要求1所述的方法，其中，所述第一应用包括支付类应用。
8.根据权利要求1所述的方法，其中，
所述可信应用包括，互联网金融身份认证联盟可信应用IFAA TA；
所述验证服务端包括，IFAA服务端。
9.一种基于可信执行环境的免登认证处理方法，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第一应用，所述方法包括：
从所述第一应用接收免登认证注册请求，所述免登认证注册请求包括用户在所述第一应用对应的账户标识；
针对所述第一应用生成公私钥对，并为所述公私钥对分配秘钥索引；
生成并保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；
生成注册结果，并利用所述目标设备的设备私钥为所述注册结果添加第一签名，所述注册结果包括所述公私钥对中的第一公钥，所述秘钥索引，所述账户标识，以及所述目标设备的设备标识；
将添加有第一签名的所述注册结果返回给所述第一应用，以使所述第一应用将添加有第一签名的所述注册结果上传至所述可信应用对应的验证服务端，供所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
10.根据权利要求9所述的方法，其中，所述可信应用保存有所述验证服务端的第二公钥，所述免登认证注册请求包括添加有第二签名的注册请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；以及
在所述从所述第一应用接收免登认证注册请求之后，所述方法还包括：
确定所述第二签名是否与所述第二公钥相匹配；
若是，则执行所述针对所述第一应用生成公私钥对。
11.根据权利要求10所述的方法，其中，所述注册请求数据包括所述第一应用对应的秘钥索引；以及
所述为所述公私钥对分配秘钥索引，包括：
将所述注册请求数据所包括的秘钥索引分配给所述公私钥对。
12.根据权利要求9所述的方法，其中，所述保存注册信息，包括：
将所述注册信息保存至所述TEE中的安全存储区域。
13.一种基于可信执行环境的免登认证处理方法，应用于目标设备上的第二应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第二应用位于所述REE中，且支持调用适用于所述REE的第一应用，所述TEE中设置有可信应用，所述方法包括：
接收用户的针对所述第一应用的调用请求；
向所述可信应用发送免登认证请求，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；
从所述可信应用接收添加有第三签名的认证结果，所述认证结果响应于所述用户通过身份认证而生成，所述第三签名是利用所述账户标识关联的第一私钥添加的；
经由所述第二应用的第二服务端，向所述可信应用对应的验证服务端发送验证请求，所述验证请求包括所述账户标识和所述添加有第三签名的认证结果，使得所述验证服务端根据所述验证请求，对所述添加有第三签名的认证结果进行合法性验证，并向所述第二服务端返回验证结果。
14.根据权利要求13所述的方法，其中，所述可信应用保存有所述验证服务端的第二公钥；以及
在所述向所述可信应用发送免登认证请求之前，所述方法还包括：
获取所述目标设备的设备信息，所述设备信息至少包括设备标识；
向所述第二服务端发送针对认证请求数据的获取请求，所述获取请求包括所述账户标识和所述设备信息，以使所述第二服务端根据所述获取请求，从所述验证服务端获取添加有第二签名的认证请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；
从所述第二服务端接收所述添加有第二签名的认证请求数据；
生成所述免登认证请求，其中包括所述账户标识和所述添加有第二签名的认证请求数据；以及
所述从所述可信应用接收添加有第三签名的认证结果，包括：
从所述可信应用接收，响应于所述第二签名与所述第二公钥相匹配，而返回的添加有第三签名的认证结果。
15.根据权利要求13所述的方法，其中，在所述接收用户的针对所述第一应用的调用请求之后，所述方法还包括：
确定所述第一应用是否已开通免登认证服务；
若是，则执行所述向所述可信应用发送免登认证请求。
16.根据权利要求13所述的方法，其中，所述方法还包括：
从所述第二服务端接收，响应于所述验证结果而返回的与所述调用请求有关的操作指令；
根据所述操作指令，执行相应的操作。
17.根据权利要求16所述的方法，其中，所述第一应用包括支付类应用；以及
所述从所述第二服务端接收，响应于所述验证结果而返回的与所述调用请求有关的操作指令，包括：
从所述第二服务端接收，响应于所述验证结果表示验证通过而返回的与所述调用请求有关的支付界面显示指令；以及
所述根据所述操作指令，执行相应的操作，包括：
根据所述支付界面显示指令，显示相应的支付界面。
18.根据权利要求13所述的方法，其中，所述目标设备配置有所述验证服务端提供的SDK，所述第二应用利用所述SDK调用所述可信应用的应用接口。
19.根据权利要求13所述的方法，其中，
所述第一应用包括支付类应用；
所述第二应用包括以下任一种应用：购物类应用、音视频类应用、电子书应用、教育类应用、游戏类应用。
20.一种基于可信执行环境的免登认证处理方法，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第二应用，所述第二应用支持调用适用于所述REE的第一应用，所述方法包括：
从所述第二应用接收免登认证请求，所述免登认证请求响应于用户的针对所述第一应用的调用请求而发送，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；
获取所述账户标识关联的第一私钥；
对所述用户进行身份认证；
响应于所述用户通过身份认证，生成认证结果，并利用所述第一私钥为所述认证结果添加第三签名；
将添加有第三签名的所述认证结果返回给所述第二应用，以使所述第二应用将添加有第三签名的所述认证结果上传至所述可信应用对应的验证服务端，供所述验证服务端进行合法性验证。
21.根据权利要求20所述的方法，其中，所述可信应用保存有所述验证服务端的第二公钥，所述免登认证请求包括添加有第二签名的认证请求数据，所述第二签名是利用所述验证服务端的第二私钥添加的；以及
在所述从所述第二应用接收免登认证请求之后，所述方法还包括：
确定所述第二签名是否与所述第二公钥相匹配；
若是，则执行所述获取所述账户标识关联的第一私钥。
22.根据权利要求20或21所述的方法，其中，所述对所述用户进行身份认证，包括：
获取所述用户的目标生物特征信息；
确定已保存的至少一个生物特征模板中，是否存在与所述目标生物特征信息相匹配的生物特征模板；
若存在，则确定所述用户通过身份认证；
若不存在，则确定所述用户未通过身份认证。
23.根据权利要求22所述的方法，其中，所述目标生物特征信息包括以下任一项：人脸特征、指纹特征、虹膜特征。
24.一种基于可信执行环境的免登认证处理装置，应用于目标设备上的第一应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第一应用位于所述REE中，所述TEE中设置有可信应用，所述装置包括：
接收单元，被配置成接收用户的针对免登认证服务的开通请求；
可信应用调用单元，被配置成响应于所述开通请求，向所述可信应用发送免登认证注册请求，其中包括，所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第一签名的注册结果，所述第一签名是利用所述目标设备的设备私钥添加的，所述注册结果包括所述可信应用针对所述第一应用生成的公私钥对中的第一公钥，所述公私钥对的秘钥索引，所述账户标识，以及所述目标设备的设备标识，其中，所述可信应用保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；
发送单元，被配置成经由所述第一应用的第一服务端，将所述添加有第一签名的注册结果转发至所述可信应用对应的验证服务端，使得所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
25.一种基于可信执行环境的免登认证处理装置，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第一应用，所述装置包括：
接收单元，被配置成从所述第一应用接收免登认证注册请求，所述免登认证注册请求包括用户在所述第一应用对应的账户标识；
秘钥生成单元，被配置成针对所述第一应用生成公私钥对，并为所述公私钥对分配秘钥索引；
注册信息生成单元，被配置成生成并保存注册信息，所述注册信息包括所述公私钥对中的第一私钥，所述秘钥索引，以及所述账户标识；
注册结果生成单元，被配置成生成注册结果，并利用所述目标设备的设备私钥为所述注册结果添加第一签名，所述注册结果包括所述公私钥对中的第一公钥，所述秘钥索引，所述账户标识，以及所述目标设备的设备标识；
发送单元，被配置成将添加有第一签名的所述注册结果返回给所述第一应用，以使所述第一应用将添加有第一签名的所述注册结果上传至所述可信应用对应的验证服务端，供所述验证服务端在对所述第一签名验证通过后保存注册结果信息，所述注册结果信息包括所述第一公钥，所述秘钥索引，以及所述账户标识。
26.一种基于可信执行环境的免登认证处理装置，应用于目标设备上的第二应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述第二应用位于所述REE中，且支持调用适用于所述REE的第一应用，所述TEE中设置有可信应用，所述装置包括：
接收单元，被配置成接收用户的针对所述第一应用的调用请求；
可信应用调用单元，被配置成向所述可信应用发送免登认证请求，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；从所述可信应用接收添加有第三签名的认证结果，所述认证结果响应于所述用户通过身份认证而生成，所述第三签名是利用所述账户标识关联的第一私钥添加的；
发送单元，被配置成经由所述第二应用的第二服务端，向所述可信应用对应的验证服务端发送验证请求，所述验证请求包括所述账户标识和所述添加有第三签名的认证结果，使得所述验证服务端根据所述验证请求，对所述添加有第三签名的认证结果进行合法性验证，并向所述第二服务端返回验证结果。
27.一种基于可信执行环境的免登认证处理装置，应用于目标设备上的可信应用，所述目标设备具有普通执行环境REE和可信执行环境TEE，所述可信应用位于所述TEE中，所述REE中安装有第二应用，所述第二应用支持调用适用于所述REE的第一应用，所述装置包括：
接收单元，被配置成从所述第二应用接收免登认证请求，所述免登认证请求响应于用户的针对所述第一应用的调用请求而发送，所述免登认证请求包括所述用户在所述第一应用对应的账户标识；
获取单元，被配置成获取所述账户标识关联的第一私钥；
身份认证单元，被配置成对所述用户进行身份认证；响应于所述用户通过身份认证，生成认证结果，并利用所述第一私钥为所述认证结果添加第三签名；
发送单元，被配置成将添加有第三签名的所述认证结果返回给所述第二应用，以使所述第二应用将添加有第三签名的所述认证结果上传至所述可信应用对应的验证服务端，供所述验证服务端进行合法性验证。
28.一种计算机可读存储介质，其上存储有计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行权利要求1-23中任一项的所述的方法。
29.一种计算设备，包括存储器和处理器，其中，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现权利要求1-23中任一项所述的方法。
CN202011231963.4A 2020-11-06 2020-11-06 基于可信执行环境的免登认证处理方法及装置 Active CN112311805B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011231963.4A CN112311805B (zh) 2020-11-06 2020-11-06 基于可信执行环境的免登认证处理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011231963.4A CN112311805B (zh) 2020-11-06 2020-11-06 基于可信执行环境的免登认证处理方法及装置

Publications (2)

Publication Number Publication Date
CN112311805A CN112311805A (zh) 2021-02-02
CN112311805B true CN112311805B (zh) 2022-04-12

Family

ID=74325236

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011231963.4A Active CN112311805B (zh) 2020-11-06 2020-11-06 基于可信执行环境的免登认证处理方法及装置

Country Status (1)

Country Link
CN (1) CN112311805B (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102783115A (zh) * 2010-02-09 2012-11-14 交互数字专利控股公司 用于可信联合标识的方法和装置
CN106549920A (zh) * 2015-09-21 2017-03-29 华为终端（东莞）有限公司 登录信息输入方法、登录信息保存方法及相关装置
CN107294725A (zh) * 2016-04-05 2017-10-24 电子科技大学 一种多服务器环境下的三因素认证方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106209749B (zh) * 2015-05-08 2020-09-25 阿里巴巴集团控股有限公司 单点登录方法及装置、相关设备和应用的处理方法及装置
US20200313856A1 (en) * 2019-03-29 2020-10-01 0Chain, LLC Systems and methods of blockchain platform for intermediaries and passwordless login
US11057366B2 (en) * 2018-08-21 2021-07-06 HYPR Corp. Federated identity management with decentralized computing platforms
CN110635916B (zh) * 2019-09-30 2022-07-12 四川虹微技术有限公司 基于tee的安全应用认证方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102783115A (zh) * 2010-02-09 2012-11-14 交互数字专利控股公司 用于可信联合标识的方法和装置
CN106549920A (zh) * 2015-09-21 2017-03-29 华为终端（东莞）有限公司 登录信息输入方法、登录信息保存方法及相关装置
CN107294725A (zh) * 2016-04-05 2017-10-24 电子科技大学 一种多服务器环境下的三因素认证方法

Also Published As

Publication number Publication date
CN112311805A (zh) 2021-02-02

Similar Documents

Publication Publication Date Title
US10223520B2 (en) System and method for integrating two-factor authentication in a device
RU2652425C1 (ru) Система, способ и устройство подтверждения оплаты
CN108200089B (zh) 信息安全的实现方法、装置、系统以及存储介质
US9680841B2 (en) Network authentication method for secure user identity verification using user positioning information
CN110365684B (zh) 应用集群的访问控制方法、装置和电子设备
CN110570569B (zh) 虚拟钥匙配置信息的激活方法、移动终端及服务器
US11709929B2 (en) Interaction method and apparatus
TWI762293B (zh) 安全的服務請求處理方法及裝置
US11218464B2 (en) Information registration and authentication method and device
CN112313983A (zh) 使用伴随设备的用户认证
CN111404695B (zh) 令牌请求验证方法和装置
CN112738021A (zh) 单点登录方法、终端、应用服务器、认证服务器及介质
US20240364523A1 (en) Identity authentication based on time-based one-time password algorithm
CN106533685B (zh) 身份认证方法、装置及系统
US12039527B2 (en) Service providing system, service providing device, service providing method, and service providing program
CN112311805B (zh) 基于可信执行环境的免登认证处理方法及装置
EP2916510A1 (en) Network authentication method for secure user identity verification using user positioning information
CN117240473B (zh) 电子合同签署方法、装置、电子设备和存储介质
CN112966242A (zh) 一种用户名口令认证方法、装置、设备及可读存储介质
CN104917755B (zh) 一种基于移动通信终端和短信的登录方法
CN105141586A (zh) 一种对用户进行验证的方法和系统
CN107315610B (zh) 实现密码功能的方法、装置及计算机可读存储介质
CN115550921A (zh) 无线网络接入方法、装置、设备及存储介质
CN113505397A (zh) 授权方法、服务器、系统及存储介质
CN117479163B (zh) 认证登录方法、装置、系统、设备和存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 40045460

Country of ref document: HK

GR01 Patent grant
GR01 Patent grant