專利名稱：：生物認證方法、設備及系統的制作方法
技術領域：
：本發明涉及生物認證技術，尤其是一種分布式生物認證方法、設備及系統
背景技術：
：隨著網絡:汰術的快速發展，網絡在各方面得到了廣泛的運用，例如電子政務、電子辦公、電子商務等領域，網上銀行，網上交易等也愈發普遍，因此對使用者的身份認證非常重要。傳統的密碼認證方式，存在容易忘記、容易被別人竊取等很難彌補的缺陷，安全性無法令人滿意。近年來由于生物特征識別技術逐漸成熟，已經出現了將生物特征識別技術應用在身份認證上的技術，利用生物特征的唯一性、穩定性等特點，為信息安全提供了保障。所謂生物識別技術是指利用人類自身生理或行為特征進行身份確認的一種技術，如指紋識別、虹膜識別、臉型識別、脈絡識別等。基本原理是在身份認證時將新收集的生物特征數據與預先注冊存儲的生物特征模版進行匹配，看匹配結果在是否有效范圍內來判斷結果。雖然生物認證技術有著良好的認證效果，但個人生物特征數據屬于個人隱私和個人專有，如果不進行保護，就非常容易泄露出去，從而給生物數據的所有者帶來巨大損失，這就限制了生物識別技術的廣泛應用。為了解決這種問題，出現了將公鑰基礎設施(PublicKeyInfrastructure,簡稱PKI)系統和生物識別相結合的生物證書技術。PKI是一種認證個人身份的方法，將二者結合起來進行身份認證，以替代公鑰證書。下面以在客戶端進行比對匹配認證為例(如圖1所示)，介紹使用生物證書8進行個人身份認證的過程。身份驗證方通過將采集到的用戶生物特征數據樣本和用戶提供的生物證書中的生物特征數據模板進行匹配比對以確定其身份的合法'l"生。現有技術提供了一種集中式的實現方案，即將所有的認證功能模塊集中在一個地點，并由身份驗證者(IdentityVerifier,簡稱IDV)根據生物算法證書(BiometricAlgorithmCertificate,簡稱BAC)中指定的認證算法和參數來實現認證。這些認證功能模塊通常包括數據采集(datacapture)、中間信號處理(intermediate-signal-processing)、最終信號處理(final—signal-processing)、存儲(storage)、比較(comparison)、決策(decision)以及可能的多模態融合決策等模塊等。這種認證方式并不適用于分布式的情況，因為如果各個認證功能模塊部署在網絡的不同位置，就存在著難以驗證遠端生物設備的處理結果的可靠性和安全性的問題；而且在認證過程中，IDV對驗證處理模塊起的作用類似于現場指導，如果所有模塊來自于同一家生產商，可能沒有問題；當分布在不同地點的模塊是不同廠商產品時，參數難以控制，從而帶來認證上的偏差。
發明內容本發明實施例的目的是提出一種生物認證方法及系統，能夠使最終身份驗證者設備在分布式環境下能夠對不在同一物理地點的完成具體生物數據處理的獨立生物i殳備的處理結果的可靠性和安全性進行檢驗，從而完成對是否認同遠端獨立生物設備的處理結果的判斷。為實現上述目的，本發明的實施例提供了一種生物認證方法，包括接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；如果所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；如果所述用戶具有訪問服務的權限，核查所述獨立生物設備是否符合生物算法證書中對應的安全級別，并做相應記錄；如果所述獨立生物設備符合所述安全級別，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合所述記錄，如果符合，則確認獨立生物設備的處理結果。為實現上述目的，本發明實施例提供了一種身份認證者設備，包括安全級別核查模塊，用于接收到客戶端發送的所述用戶的生物證書和公鑰證書后，如果所述用戶具有訪問服務的權限，則核查所述獨立生物設備是否符合生物算法證書中對應的安全級別，并做相應記錄；處理通知模塊，用于在所述獨立生物設備符合所述安全級別時，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；執行:R告核查模塊，用于接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合所述記錄，如果符合，則確認獨立生物設備的處理結果。為實現以上目的，本發明實施例提供了一種生物認證系統，包括獨立生物設備，用于對生物數據進行處理，以及生成生物設備執行報告；合法性核查模塊，設于服務提供商設備或身份認證者設備內，用于接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬鑰i正書的合法性；權限驗證模塊，設于權限驗證者設備內，用于在所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性時，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；安全級別核查模塊，設于身份認證者設備內，用于在所述用戶具有訪問服務的權限時，核查所述獨立生物設備是否符合生物算法證書中對應于所述權限的安全級別；執行報告核查模塊，設與身份認證者設備內，用于在所述獨立生物設備符合所述安全級別時，接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合要求預定條件，如果符合，則認同獨立生物設備的處理結果。基于上述目的，本發明實施例給獨立生物設備引入了BDC,BDPKC，BDER等，通過BDPKC這個公鑰證書來證明獨立生物設備身份的合法性；通過BDC來說明獨立生物設備的功能、性能以及設備安全級別；通過BDER來報告獨立生物設備處理過程的簡要情況。IDV就是通過各獨立生物設備上報的這些信息來考察獨立生物設備處理數據的可靠性和安全性，當一個完整身份認證系統中，分布在不同位置的所有獨立生物設備都滿足BAC中規定的安全策略時，就可以確信整個認證過程沒有問題，從而得出認證結果是可靠的和安全的這樣的結論，從而可以使IDV接受認證結果。圖1為現有技術中^f吏用生物證書進行個人身份認證的流程示意圖。圖2為本發明生物認證方法的第一實施例的流程示意圖。圖3為本發明生物認證方法的第二實施例的信令示意圖。圖4為本發明生物認證方法的第三實施例的信令示意圖。圖5為本發明生物認證方法的第四實施例的信令示意圖。圖6為本發明生物i人i正方法的第五實施例的信令示意圖。圖7為本發明身份i/a正者設備的第一實施例的結構示意圖。圖8為本發明身份認證者設備的第二實施例的結構示意圖。圖9為本發明生物認證系統的第一實施例的結構示意圖。圖10為本發明生物認證系統的第二實施例的結構示意圖。具體實施例方式下面通過附圖和實施例，對本發明的技術方案做進一步的詳細描述。在本發明的實施例中，基礎是獨立生物設備，所謂獨立生物設備是指分布式生物身份認證中，物理位置獨立的完成一部分生物認證功能的處理設備，一個獨立生物認證i殳備可以包括一個或幾個處理模塊。為了4吏網絡中最終的身份驗證者IDV能夠從分布在網絡不同位置的獨立生物設備處理的結果中可靠地獲得身份認證結果，要求獨立生物設備具有生物i殳備i正書(BiometricDeviceCertificate,簡稱BDC)和生物i殳備7^鑰證書(BiometricDevicePublicKeyCertificate,簡稱BDPKC)。這些證書與國際電信聯盟(ITU)之電信生物認證基礎提案(TelebiometricAuthenticationInfrastructure,簡稱TAI)中頒發給用戶個人的生物證書(BiometricCertificate,筒稱BC)，屬性證書(AttributeCertificate,簡稱AC)以及頒發給IDV的生物算法證書BAC協同工作；獨立生物設備處理完本環節的數據后，需要給IDV發送一個生物設備執行報告(BiometricDeviceExecutionReport,簡稱BDER),IDV匯總各獨立生物設備的報告，可以對整個認證過程的各個環節進行評價，以做出可靠的決策。這樣可以實現網絡環境中，根據用戶要訪問的資源所需要的權限來決定采用的生物認證算法，從而保證被訪問資源的安全性。在高安全級別中，如果整個認證環節中有一個獨立生物設備的BDC，BDPK，BDER不滿足BAC中規定的策略，就可能導致IDV不接受認證結果，而這一切取決于制定安全策略的管理員的要求。BDC中性能級別是性能測試權威機構評估的結果，具有統一性，這樣即使一個完整生物身份認證系統具有不同廠家生產的獨立設備，也可以對處理結果有一致的可預見性。而BAC中涉及到的功能級別策略的制定也是根據權威機構的評價標準。本發明實施例的應用可能包括的基本參與方有IDV、服務提供商(ServiceProvider,簡稱SP)設備、客戶端(Client)、用戶(User)和獨立生物設備，此外還可能有涉及各種證書頒發或驗證的擴展參與方。如圖2所示，為本發明生物認證方法的第一實施例的流程示意圖，包括以下步驟步驟101、接收到客戶端發出的用戶請求服務的消息后，核查用戶的BC和AC，以及客戶端中的獨立生物設備的BDC和BDPKC的合法性；步驟102、如果BC、AC、BDC和BDPKC都滿足合法性，則根據AC判斷用戶是否具有訪問服務的權限；步驟103、如果用戶具有訪問服務的權限，則核查獨立生物設備是否符合BAC中對應的安全級別，并做相應記錄；步驟104、如果獨立生物設備符合安全級別，則向獨立生物設備發送允許獨立生物設備處理生物數據的消息；步驟105、接收獨立生物設備發送的BDER，并核查BDER是否符合記錄，如果符合，則確認獨立生物設備的處理結果。本發明實施例使得IDV對分布式生物身份認證的各個參與方可以進行有效性驗證，使得認證結果具有很高的可靠性。此外，本發明中引入TAI,又可以使生物認證按照用戶訪問權限指定的認證方式或算法進行。本發明中涉及到的BC、生物算法證書BAC在TAI中做了規定。涉及到的公鑰證書和屬性證書在X.509做了規定。在上述技術方案中，SP設備或IDV設備通過BDPKC來驗證獨立生物設備的合法性，獨立生物設備有自己的私鑰，其公鑰證書(BDPKC)是生產商或權威機構頒發，設備用私鑰對自己處理的數據進行簽名或加密，而接受方可使用其PKC驗證簽名或解密。獨立生物設備包含一個或多個生物認證處理模塊，這些模塊的功能及其性能在BDC中做了描述，性能經性能評估權威機構或生產商測試后，給出數值以反映其性能高低。SP設備或IDV設備可以根據獨立生物設備上傳的BDC,對設備的功能和性能進行評價，結合一定的生物認證策略，以決定其是否滿足特定的生物認證方式或算法的要求。用戶生物模板存放在BC中，BC由權威機構發放，IDV設備、SP設備或模板的使用方均可以驗證其合法性。用戶要求SP提供某些服務時，必須具有訪問權限，這些權限記錄在屬性權威機構(AttributeAuthority,簡稱AA)給用戶頒發的AC中。在TAI中，給出AC的擴展(Extension)中，訪問權限與生物認i正方式掛鉤。對于各獨立生物設備來說，設備之間傳遞數據的有效性可以由發送方用私鑰進行簽名或加密來保證。在核查獨立生物設備是否符合BAC中對應于權限的安全級別時，包括兩方面核查內容設備安全級別和生物安全級別。其中獨立生物設備的安全性在BDC中做了描述，安全級別經安全評估權威機構或生產商測試后給出。IDV可以根據設備上傳的BDC中相關部分，結合一定的安全策略，決定該設備是否滿足特定身份認證的安全性要求。生物安全級別主要用于獨立生物設備的功能是否符合BAC的規定，要考慮的內容主要包括選擇的生物特征類型，是否/如何采用多斗莫態生物認證，數據采集的安全性、認證算法的性能等。生物安全級別通常有生物安全級別、策略和生物參數信息構成，具體格式如下表<table>tableseeoriginaldocumentpage14</column></row><table>生物安全級別由參數信息唯一標識值(如參數信息和安全級別的Hash值)和安全級別構成。參^:信息唯一標識值唯一區分出生物安全級別所對應的各種參數，如參數信息和安全級別的Hash值等，在實際使用時，將此項連同安全級別一起提供給具體的客戶端用戶或指定的數據庫。安全級別標識出某種策略狀態和參數信息下代表的生物安全性。確定安全級別高低的依據是先根據策略狀態，策略狀態條件越多安全級別越高；再才艮據某一策略狀態下同一算法所對應的FMR值，FMR值越小(在保證可用的情況下)安全越高。最后綜合這兩方面的情況確定出安全級別的值。對于不同生物類型所反映的生物安全情況超出本發明方案的范圍。策略策略反映使用者具體選用的策略方法，包括單模生物認證、單模生物iU正+活體檢測、多模生物認證、多模生物認證+活體檢測等，也可以根據需要加入其它策略。單模生物認證就是采用單個生物類型進行認證，如單獨使用指紋、虹膜、脈絡等進行身份認證；活體檢測就是要求生物讀取器具有識別活體生物的功能；多模生物認證就是同時使用不同類型的生物或同一生物不同實體進行身份認證。參凄t信息由生物類型、生物算法、算法FMR值和其它可能的參數構成。生物類型標識出生物認證使用的生物名稱。如指紋、虹膜、面部等，還包括各種生物的組合(如指紋+虹膜)。生物算法生物認證中進行生物識別時所使用的生物處理算法，包括活體生物模版處理算法和生物模版匹配算法。生物算法FMR:某種生物算法所對應的一系列值，它反映算法的錯誤匹配率，這個值越小，其認證的結果越可靠，所以可以使用FMR來反映生物安全級別的高低。其它參數留作以后使用，可以根據需要加入。生物安全級別的格式不是固定的，也可能是其它變形形式，如下表<table>tableseeoriginaldocumentpage16</column></row><table>在上表中，參數信息唯一標識值采用Hash或加密值i、Hash或加密值j、Hash或加密值k、Hash或加密值l，這些Hash或加密值各不相同。確定安全級別高低的依據是先根據策略狀態，策略狀態條件越多安全級別越高；再根據某一策略狀態下同一算法所對應的FMR值，FMR值越小(在保證可用的情況下)安全越高。最后綜合這兩方面的情況確定出安全級別的值。安全級別的值放映生物安全級別的值。在策略下，一般認為安全級別遞增次序是單模<單模+活體檢測<多模<多模+活體檢測，可以根據需要添加策略，即策略條件越多安全級別越高。即AKBj<Ck<Dl。對于策略狀態為單模情況下，同一個生物類型可能會有對應多個生物處理算法，如處理指紋的算法有多種。對于策略狀態為多模情況下，相同組合的生物類型，可能對應多種算法的組合，如指紋+虹膜組合可以對應處理算法指紋算法1+虹膜算法1,也可以為指紋算法2+虹膜算法2。每一個算法或算法組合可以對應多個FMR值，可以在滿足系統可用的條件下給出一系列的值，它們決定安全級別的高低。為了使系統可以根據用戶權限來選擇特定的生物身份認證方式或算法，TAI中的電信生物^又威(TelebiometricAuthority,TBA)可以先和AA協商，以決定特定的斥又限對應生物安全級別。這種對應關系確定后，AA在給用戶頒發屬性證書時，會在i正書的Extension中填入相關安全級別的唯一標示符。獨立生物設備生成的BDER是獨立生物設備在執行完本環節的操作后撰寫的一份執行報告，通常是發給IDV做決策參考，主要內容涉及設備內各模塊的工作狀態，輸入/輸出數據信息以及在Challenge-Response工作方式下，返回給IDV的響應Response,該扭^M艮告的結構如下表所示<table>tableseeoriginaldocumentpage17</column></row><table>下面通過本發明的幾個具體實施例對不同情況進行說明。如圖3所示，為本發明生物認證方法的第二實施例的信令示意圖。在這個實施例中，實現認證功能的功能模塊全處于客戶端，即獨立生物設備設置于客戶端內，這時該獨立生物設備是一個可以進行完整生物認證的設備，可以包括數據采集、中間信號處理、最終信號處理、存儲、比較、決策以及多模態融合決策等一個或多個功能模塊，并且該獨立生物設備也具有信息傳送能力。認證流程包括以下步驟步驟201、用戶需要SP設備的某種服務時，客戶端向SP設備提出服務請求，并發送標示為客戶端認證的請求消息。接到SP設備同意請求后，客戶端將認證設備的BDC,BDPKC以及用戶的BC，AC發到SP設備。步驟202、SP設備接受這些證書后和客戶端認證的請求消息后，對BC，BDC,BDPKC的合法性進行檢查，并且檢查AC是否是捆綁于BC。如果以上檢查通過，則執行步驟203，否則給客戶端發送拒絕服務信息。步驟203、SP設備要求權限驗證者(PrivilegeVerifier,簡稱PV)設備對用戶訪問本服務的權限進行確認。它可以將AC發往PV設備；步驟204、PV設備接受到用戶AC后，進行權限鑒別。步驟205、PV設備將用戶訪問權限的鑒別結果發回SP設備。步驟206、SP設備接受到鑒別結果后，如果是肯定的結果，就將用戶BC,AC，生物認證設備的BDC、BDPKC,以及標示為客戶端認證的請求消息，發往IDV設備(IdentityVerifier)。否則給客戶端發拒絕服務信息。步驟207、IDV設備收到上述證書和信息后，解析出AC中的安全級別，根據BAC中對應的生物認證的安全級別中的規定，檢查BC中是否存有該安全級別要求《吏用的生物特征，如果沒有，4企驗結果為不通過，并通知SP設備。如果有，則繼續檢查BDC中有關內容是否滿足BAC中要求的安全級別，包括兩方面內容，一個是生物安全級別，一個是"&備安全級別。生物安全級別檢查是核實BDC中記錄的該設備的功能滿足BAC的規定，包括諸如采集數據的質量，i人證算法級別(通常一個權威的生物認證設備性能評估機構對認證設備的認證算法進行測試后，給出一個性能評估級別)，單或多模態檢測等等。如果滿足要求，IDV在檢驗記錄表中記錄BDPKC的ID、BDC的ID、BC的ID和用戶的安全級別，檢驗時間以及請求消息內容。如杲不滿足，檢驗結果為不通過。步驟208、IDV設備給SP設備發送檢驗結果的消息。如果IDV設備肯定客戶端的認證設備滿足BAC規定的所有條件，則給SP設備發送同意客戶端認證的消息的同時，發送一控制信息(例如Challenge),同時將該控制信息和上述枱、驗記錄表中的記錄進行關聯記錄。步驟209、SP設備接收到IDV設備允許客戶端的獨立生物設備處理生物數據的消息并保存，同時保存控制信息，并將允許處理生物數據的消息轉給客戶端，同時還包括控制信息。步驟210、客戶端接受上述信息后，對用戶進行通常的生物認證，然后生成BDER。步驟211、客戶端發送請求接受認證結果的信息給SP設備，SP設備同意后，客戶端將本地認證設備生成的BDER，同時還有請求接受認證結果的消息。步驟212、SP設備接受到這些的數據后，將它們發送到IDV設備。步驟213、IDV設備檢查接受到BDER中BCD的ID,BCPKC的ID、BC的ID是否與檢驗記錄表的記錄一致，如果一致，則檢查本次接收到BDER中的生物設備響應(Response)是否與IDV設備自身存儲的控制信息(Challenge)一致；如果一致，還通過比較接收到執行報告的時間以及所述檢驗記錄表中進行記錄的時間判斷是否在合理的時間內完成了認證。如果滿足這些條件，則IDV設備繼續核查本次報告中各子模塊狀態是否正常，輸入輸出是否符合要求，如果沒有問題，則IDV設備確認本次的認證結果。應注意的是，認證結果可能會包括認證成功或失敗，但IDV設備要確認的是認證過程的完整性和安全性。步驟214、IDV設備將本次的認證結果發送回SP設備。SP設備根據此結果最終"^妻受或拒絕用戶的服務請求。如圖4所示，為本發明生物"i人證方法的第三實施例的信令示意圖。與上一實施例相比，本實施例在步驟207之前通過IDV設備驗證BC、AC、BDC和BDPKC的合法性，而非通過SP設備，步驟201a到206a如下步驟201a、用戶需要SP設備的某種服務時，客戶端向SP設備提出服務請求，并發送標示為客戶端認證的請求消息。接到SP設備同意請求后，客戶端將認證設備的BDC、BDPKC以及用戶的BC、AC發到SP設備。步驟202a、SP設備將這些證書后和客戶端認證的請求消息轉發給IDV設備；步驟203a、IDV設備接收到這些證書后和客戶端認證的請求消息后，對BC,BDC，BDPKC的合法性進行檢查，并且檢查AC是否是捆綁于BC。如果以上檢查通過，則執行步驟204a,否則給客戶端發送拒絕服務信息。步驟204a、IDV設備要求PV設備對用戶訪問本服務的權限進行確認，將AC發往PV設備；步驟205a、PV設備接受到用戶的AC后，進行權限鑒別。步驟206a、PV設備將用戶訪問權限的鑒別結果返回給IDV設備，如果鑒別結果為不滿足權限，則由IDV設備給客戶端發拒絕服務信息。如圖5所示，為本發明生物認證方法的第四實施例的信令示意圖。在本實施例中，客戶端中的獨立生物設備包括有數據采集和信號處理模塊，而實現比較、決策模塊的獨立生物設備設置在IDV設備側。認證流程包括以下步驟步驟301、用戶需要SP設備的某種服務時，客戶端向SP設備提出服務請求，并發送標示為客戶端認證的請求消息。接到SP設備同意請求后，客戶端將認證設備的BDC、BDPKC以及用戶的BC、AC發到SP設備，同時發送客戶端數據采集和信號處理請求消息。步,《302、SP設備接受這些證書后，對BC、BDC、BDPKC的合法性進行檢查，并且檢查AC是否是捆綁于BC。如果以上檢查通過，則執行步驟303，否則給客戶端發送拒絕服務信息。步驟303、SP設備要求PV設備對用戶訪問本服務的權限進行確認。它可以將AC發往PV設備；步驟304、PV設備接受到用戶AC后，進行權限鑒別。步驟305、PV設備將用戶訪問權限的鑒別結果發回SP設備。步驟306、SP設備接受到鑒別結果后，如果是肯定的結果，就將用戶BC，AC，生物認證設備的BDC、BDPKC，以及標示為客戶端認證的請求消息，發往IDV設備，否則給客戶端發拒絕服務信息。步驟307、IDV設備收到上述證書和信息后，解析出AC中的安全級別，根據BAC中對應的生物認證的安全級別中的規定，檢查BC中是否存有該安全級別要求使用的生物特征，如果沒有，檢驗結果為不通過，并通知SP設備。如果有，則繼續檢查BDC中有關內容是否滿足BAC中要求的安全級別，包括兩方面內容，一個是生物安全級別，一個是設備安全級別。生物安全級別檢查是核實BDC中記錄的該設備的功能是否滿足BAC的規定，包括諸如采集數據的質量，認證算法級別(通常一個權威的生物認證設備性能評估機構對認證設備的認證算法進行測試后，給出一個性能評估級別)，單或多模態檢測等等。如果滿足要求，IDV在檢驗記錄表中記錄BDPKC的ID、BDC的ID、BC的ID和AC的安全級別，4企驗時間以及請求消息內容，此外還需要單獨存放BC,如果不滿足，檢驗結果為不通過。步驟308、IDV設備給SP設備發送檢驗結果的消息。如果IDV設備肯定客戶端的認證設備滿足BAC規定的所有條件，在給SP發送同意客戶端進行數據采集和信號處理的消息的同時，發送一個控制信息(例如Challenge)，并將該控制信息和上述檢驗記錄表中的記錄進行關聯記錄。步驟309、SP設備接收到IDV設備允許客戶端的獨立生物設備進行數據采集和信號處理的消息并保存，同時保存控制信息，并將允許數據采集和信號處理的消息轉給客戶端，同時還包括控制信息。步驟310、客戶端接受上述信息后，進行數據采集和信號處理，提取出生物特4正^:據，并生成BDER。步驟311、客戶端發送接收生物特征數據的信息給SP設備，SP設備同意后，客戶端將本地認證設備生成的BDER,生物特征數據，以及內容為完成數據采集和信號處理的消息發送SP設備。步驟312、SP設備接受到這些數據后，將它們發送到IDV設備端。步驟313、IDV設備檢查接受到BDER中BCD的ID,BCPKC的ID、BC的ID是否與檢驗記錄表的記錄一致，如果一致，則檢查本次接收到BDER中的生物設備響應(Response)是否與IDV設備自身存儲的控制信息(Cha1lenge)一致；如果一致，還通過比較接收到執行報告的時間以及所述檢驗記錄表中進行記錄的時間判斷是否在合理的時間內完成了認證。如果滿足這些條件，則IDV設備繼續核查本次報告中各子模塊狀態是否正常，輸入輸出是否符合要求，如果沒有問題，IDV檢查檢驗記錄表中本用戶的安全級別，從BAC中找到對應生物安全級別，由于已經完成數據采集和信號處理，現在只從BAC中對應安全級別的條目中找出比較、決策等的安全要求，然后根據這些要求，選擇一個本地的含有比較、決策模塊的獨立生物設備，并送特征數據以及在步驟307中存儲的BC給這個設備，從而完成一個完整的生物認證過程。決策設備將認證結果返回給IDV,IDV確認此結果為本次的認證結果。步驟314、IDV設備將本次的認證結果發送回SP設備。SP設備根據此結果最終接受或拒絕用戶的服務請求。如圖6所示，為本發明生物認證方法的第五實施例的信令示意圖。與上一實施例相比，本實施例在步驟307之前通過IDV設備—瞼證BC、AC、BDC和BDPKC的合法性，而非通過SP設備，步驟3Gla到306a如下步驟301a、用戶需要SP設備的某種服務時，客戶端向SP設備提出服務請求，并發送標示為客戶端認證的請求消息。接到SP設備同意請求后，客戶端將認證設備的BDC，BDPKC以及用戶的BC,AC發到SP設備。步驟302a、SP設備將這些證書后和客戶端認證的請求消息轉發給IDV設備；步驟303a、IDV設備接收到這些證書后和客戶端認證的請求消息后，對BC,BDC，BDPKC的合法性進行檢查，并且檢查AC是否是捆綁于BC。如果以上檢查通過，則執行步驟304a，否則給客戶端發送拒絕服務信息。步驟304a、IDV設備要求PV設備對用戶訪問本服務的權限進行確認，將AC發往PV設備；步驟305a、PV設備接受到用戶的AC后，進行權限鑒別。步驟306a、PV設備將用戶訪問權限的鑒別結果返回給IDV設備，如果鑒別結果為不滿足權限，則由IDV設備給客戶端發拒絕服務信息。以上的本發明實施例給獨立生物設備引入了BDC，BDPKC,BDER等，通過BDPKC這個公鑰證書來證明獨立生物設備身份的合法性；通過BDC來說明獨立生物設備的功能、性能以及設備安全級別；通過BDER來報告其處理過程的簡要情況。IDV通過各獨立生物設備上報的這些材料來考察獨立生物設備處理數據的可靠性和安全性，當所有獨立生物設備都滿足BAC中規定的安全策略時，就可以確信整個認證過程沒有問題，從而得出認證結果是可靠的和安全的這樣的結論，從而可以使IDV接受獨立生物設備的認證結果。如圖7所示，為本發明身傷4人證者設備的第一實施例的結構示意圖，本實施例包括安全級別核查模塊1,用于接收到客戶端發送的所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書后，如果所述用戶具有訪問服務的權限，則核查所述獨立生物設備是否符合生物算法證書中對應的安全級別，并做相應記錄；處理通知模塊2，用于在所述獨立生物設備符合所述安全級別時，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；執行報告核查模塊3，用于接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合所述記錄，如果符合，則確認獨立生物設備的處理結果。如圖8所示，為本發明身份認證者設備的第二實施例的結構示意圖，與上一實施例相比，本實施例還包括合法性核查模塊5,用于接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；權限判斷模塊4，用于在所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性時，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限。如圖9所示，為本發明生物認證系統的第一實施例的結構示意圖，本實施例包括獨立生物設備6、合法性核查模塊5、權限驗證模塊4、安全級別核查模塊1、處理通知模塊2和執行報告核查模塊3。其中，獨立生物設備6設于客戶端內，用于對生物數據進行處理，以及生成生物設備執行報告；合法性核查模塊5設于身份認證者設備內，用于接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；權限驗證模塊4，設于權限驗證者設備內，用于在所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性時，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；安全級別核查模塊1，設于身份認證者設備內，用于在所述用戶具有訪問服務的權限時，核查所述獨立生物設備是否符合生物算法證書中對應于所述權限的安全級別；處理通知模塊2，用于在所述獨立生物設備符合所述安全級別時，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；執行報告核查模塊3，設與身份認證者設備內，用于在所述獨立生物設備符合所述安全級別時，接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合要求預定條件，如果符合，則認同獨立生物設備的處理結果。在本實施例中，客戶端和身份認證者設備通過服務運營商設備7轉發消息。如圖10所示，為本發明生物認證系統的第二實施例的結構示意圖，與上一實施例相比，本實施例的合法性核查模塊5設于服務運營商設備7內，執行所迷用戶的生物證書和屬性證書，以及所迷客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性的核查。在本實施例中客戶端和身份認證者設備也是通過服務運營商設備7進行消息轉發的。本發明實施例給獨立生物設備引入了BDC，BDPKC，BDER等，通過BDPKC這個公鑰證書來證明獨立生物設備身份的合法性；通過BDC來說明獨立生物設備的功能、性能以及設備安全級別；通過BDER來報告其處理過程的簡要情況。IDV就是通過各獨立生物設備上報的這些材料來考察獨立生物設備處理數據的可靠性和安全性，當滿足條件時，認可獨立生物設備的安全性，并認可這些設備處理結果。最后應當說明的是以上實施例僅用以說明本發明的技術方案而非對其限制；盡管參照較佳實施例對本發明進行了詳細的說明，所屬領域的普通技術人員應當理解依然可以對本發明的具體實施方式進行修改或者對部分技術特征進行等同替換；而不脫離本發明技術方案的精神，其均應涵蓋在本發明請求保護的技術方案范圍當中。權利要求1、一種生物認證方法，其特征在于，包括接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；如果所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；如果所述用戶具有訪問服務的權限，核查所述獨立生物設備是否符合生物算法證書中對應的安全級別，并做相應記錄；如果所述獨立生物設備符合所述安全級別，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合所述記錄，如果符合，則確認獨立生物設備的處理結果。2、根據權利要求1所述的生物認證方法，其特征在于，所述核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性的操作具體包括服務提供商設備檢查接收的服務請求中包括客戶端進行生物數據處理的標識時，向所述客戶端返回響應；所述客戶端將所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性發送到所述服務提供商設備；所述服務提供商設備對所述生物證書、屬性證書、生物設備證書和生物設備z〉鑰i正書的合法性進行核查。3、4艮據權利要求1所述的生物認證方法，其特征在于，所述核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性的操作具體包括服務提供商設備檢查接收的服務請求中包括客戶端進行生物數椐處理的標識時，向所述客戶端返回響應；所述客戶端將所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性發送到所述服務提供商設備；所述服務提供商設備將所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書發送到身份認證者設備；所述身份認證者設備對所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書的合法性進行核查。4、根據權利要求2或3所述的生物認證方法，其特征在于，如果所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書未通過合法性核查，則向所述客戶端發送拒絕服務消息。5、根據權利要求2所述的生物認證方法，其特征在于，所述根據屬性證書判斷所述用戶是否具有訪問服務的權限的操作具體包括性證書，并根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；所述權限驗證者設備將所述判斷結果返回所述服務提供商設備；如果所述判斷結果為所述用戶具有訪問服務的權限，則所述服務提供商設備將所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書發送給所述身份認證者設備。6、根據權利要求3所述的生物認證方法，其特征在于，所述根據屬性證書判斷所述用戶是否具有訪問服務的權限的操作具體包括性證書，并根據所述屬性證書判斷所述用戶是否具有訪問服務的權限，然后將所述判斷結果返回所述身份認證者設備。7、根據權利要求5或6所述的生物認證方法，其特征在于，如果所述判斷結果為所述用戶不具有訪問服務的權限，則向所述客戶端發送拒絕服務消息。8、根據權利要求1所迷的生物認證方法，其特征在于，所述核查獨立生物設備是否符合生物算法證書中對應于所述權限的安全級別的操作具體包括所述身份認證者設備解析所述屬性證書中的權限，并根據生物算法證書中與所述權限對應的安全級別，判斷所述用戶的生物證書中是否存在該權限要求^吏用的生物特征；如果存在該權限要求使用的生物特征，則檢查所述生物設備證書是否滿足該權限要求的生物安全級別和設備安全級別，并且在檢驗記錄表中記錄所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書的標識信息、檢測時間和請求消息的內容。9、根據權利要求8所述的生物認證方法，其特征在于，所述接收所述獨立生物設備發送的生物設備執行^f良告之前，還包括以下搡作在所述身份認證者設備通過服務提供商設備向所述客戶端發送允許獨立生物設備處理生物數據的消息時，同時發送身份認證者設備對客戶端的獨立生物設備的控制信息，并將該控制信息記錄在所述檢驗記錄表的相應記錄中；所述客戶端的獨立生物設備根據所述消息執行生物認證操作，執行完畢后，生成生物設備執行報告，并向所述服務提供商設備發出數據處理完成的消息；所述客戶端接收到服務提供商設備同意接收處理結果的響應后，將所述生物設備執行報告發送給所述服務提供商；所述服務提供商將所述生物設備執行報告發送到所述身份認證者設備。10、根據權利要求8所述的生物認證方法，其特征在于，所述接收所述獨立生物設備發送的生物設備執行報告之前，還包括以下操作在所述身份認證者設備通過服務提供商設備向所述客戶端發送允許獨立生物設備進行數據采集和信號處理的消息時，同時發送身份認證者設備對客戶端的獨立生物設備的控制信息，并將該控制信息記錄在所述檢驗記錄表的相應記錄中；所述客戶端的獨立生物設備根據所述消息執行數據采集和信號處理，獲得生物特征數據，執行完畢后，生成生物設備執行報告，并向所述服務提供商設備發出數據采集和信號處理的操作完成的消息；所述客戶端接收到服務提供商設備同意接收處理結果的響應后，將所述生物設備執行報告發送給所述服務提供商；所述服務提供商將所述生物設備執行報告發送到所述身份認證者設備。11、根據權利要求9或10所述的生物認證方法，其特征在于，所述核查所述生物設備執行報告是否符合要求所述記錄的操作具體包括所述身份認證者設備核查所述生物設備執行報告中的生物證書、屬性證書、生物設備證書和生物設備公鑰證書的標識信息是否與所述檢驗記錄表一致；如果所述標識信息與檢驗記錄表一致，則檢查所述生物設備執行報告中的生物設備響應是否與所述身份認證者設備自身存儲的控制信息一致；如果所述生物設備響應與所述控制信息一致，則通過比較接收到執行^t艮告的時間以及所述檢驗記錄表中進行記錄的時間，判斷獨立生物設備是否在預定時間內完成工作；如果所述獨立生物設備在預定時間內完成工作，則核查所述獨立生物設備執行報告中的獨立生物設備的各個子模塊狀態和輸入輸出狀態是否都符合要求。12、根據權利要求10所述的生物認證方法，其特征在于，如果所述生物設備執行報告符合所述記錄，則所述身份認證者設備根據所述生物設備執行報告中的生物特征數據，并根據所述生物算法證書中對應的安全級別選擇本地的或可信任的第三方的實現比較和認證功能的獨立生物設備對所述生物特征數據進行認證，所述實現比較和認證功能的獨立生物設備將認證結果返回給所述身份認證者設備。13、一種身份認證者設備，其特征在于，包括安全級別核查模塊，用于接收到客戶端發送的所述用戶的生物證書和公鑰證書后，如果所迷用戶具有訪問服務的權限，則核查所述獨立生物設備是否符合生物算法證書中對應的安全級別，并做相應記錄；處理通知模塊，用于在所述獨立生物設備符合所述安全級別時，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；執行報告核查模塊，用于接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合所述記錄，如果符合，則確認獨立生物設備的處理結杲。14、根據權利要求13所述的身份認證者設備，其特征在于，還包括合法性核查模塊，用于接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；權限判斷模塊，用于在所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性時，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限。15、一種生物認證系統，其特征在于，包括獨立生物設備，設于客戶端內，用于對生物數據進行處理，以及生成生物設備執行報告；合法性核查模塊，設于服務提供商設備或身份認證者設備內，用于接收到客戶端發出的用戶請求服務的消息后，核查所述用戶的生物證書和屬性證書，以及所述客戶端中的獨立生物設備的生物設備證書和生物設備公鑰證書的合法性；權限驗證模塊，設于權限驗證者設備內，用于在所述生物證書、屬性證書、生物設備證書和生物設備公鑰證書都滿足合法性時，根據所述屬性證書判斷所述用戶是否具有訪問服務的權限；安全級別核查模塊，設于身份認證者設備內，用于在所述用戶具有訪問服務的權限時，核查所述獨立生物設備是否符合生物算法證書中對應于所述權限的安全級別；處理通知模塊，用于在所述獨立生物設備符合所述安全級別時，向所述獨立生物設備發送允許獨立生物設備處理生物數據的消息；執行報告核查模塊，設與身份認證者設備內，用于在所述獨立生物設備符合所述安全級別時，接收所述獨立生物設備發送的生物設備執行報告，并核查所述生物設備執行報告是否符合要求預定條件，如果符合，則認同獨立生物設備的處理結果。全文摘要本發明涉及一種生物認證方法，包括接收到客戶端發出的用戶請求服務的消息后，核查BC和AC，以及BDC和BDPKC的合法性；如果都滿足合法性，根據AC判斷用戶是否具有訪問服務的權限；如果用戶具有訪問服務的權限，核查是否符合BAC中對應于權限的安全級別；符合安全級別時，接收獨立生物設備發送的BDER，并核查是否符合記錄，符合則確認獨立生物設備的處理結果。本發明還涉及一種身份認證者設備生物認證系統，包括安全級別核查模塊、處理通知模塊和執行報告核查模塊。本發明還涉及一種生物認證系統。本發明能夠保證最終的身份驗證者設備能夠確保在分布式網絡環境下不在同一物理地點的完成具體身份認證的獨立生物設備的認證結果的可靠性和安全性。文檔編號G06K9/00GK101350811SQ20071013729公開日2009年1月21日申請日期2007年7月18日優先權日2007年7月18日發明者位繼偉,全馮,劉宏偉,菲蘇申請人:華為技術有限公司