身份證讀卡方法和系統的制作方法

身份證讀卡方法和系統的制作方法
【專利摘要】本發明提供一種身份證讀卡方法和系統，其中，該身份證讀卡方法包括：讀卡器接收到第一居民身份證返回的尋卡響應指令；讀卡器讀取第一居民身份證的配置信息；讀卡器通過對外接口查詢電子簽名設備中是否存儲有配置信息，在電子簽名設備沒有存儲配置信息的情況下，通過對外接口將配置信息存儲到電子簽名設備中；讀卡器接收到讀卡指令讀卡器獲取居民身份證中存儲的加密身份證信息，將加密身份證信息發送給電子簽名設備；電子簽名設備使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文并發送給讀卡器；后臺服務器接收到讀卡器發送的傳輸密文，并使用第二傳輸密鑰對傳輸密文進行解密，得到配置信息和加密身份證信息。
【專利說明】
身份證讀卡方法和系統
技術領域
[0001]本發明涉及一種電子技術領域，尤其涉及一種身份證讀卡方法和系統。【背景技術】
[0002]在現有居民身份證讀卡流程中，在執行讀取身份證的流程前，先要執行尋卡流程， 在尋到居民身份證之后，再開始執行讀取身份證的流程。
[0003]其中，尋卡流程主要包括:讀卡器循環發送尋卡指令，當居民身份證進入讀卡器的可讀范圍時，居民身份證檢測到讀卡器發送的尋卡指令，向讀卡器返回尋卡響應指令，讀卡器接收到尋卡響應指令后，確定檢測到居民身份證，尋卡成功。
[0004]在讀卡器尋卡成功后，用戶指示讀卡器開始讀取身份證，讀卡器開始與居民身份證進行交互，讀取居民身份證中存儲的信息，由公安部授權的安全控制模塊(SAM模塊)對讀取的居民身份證進行解碼，得到明文的身份證信息。
[0005]在相關技術中，讀卡器在尋到居民身份證之后，并不會讀取居民身份證中存儲的信息，而是在接收到讀卡指令之后，才從居民身份證中讀取信息。由于讀卡器通過射頻與居民身份證進行交互，讀取居民身份證中存儲的信息的時間較長，用戶體驗不高。
【發明內容】

[0006]本發明旨在解決上述讀取居民身份證中存儲的信息的時間較長，用戶體驗不高的問題。
[0007]本發明的主要目的在于提供一種身份證讀卡方法；
[0008]本發明的另一目的在于提供一種身份證讀卡系統。
[0009]為達到上述目的，本發明提供以下技術方案:
[0010]方案1、一種身份證讀卡方法，該方法包括:讀卡器接收到第一居民身份證返回的尋卡響應指令；讀卡器讀取第一居民身份證的配置信息；讀卡器通過對外接口查詢電子簽名設備中是否存儲有配置信息，在電子簽名設備沒有存儲配置信息的情況下，通過對外接口將配置信息存儲到電子簽名設備中；讀卡器接收到讀卡指令，發送安全通道建立請求至后臺服務器；后臺服務器通過讀卡器與電子簽名設備進行協商，電子簽名設備得到第一傳輸密鑰，后臺服務器得到第二傳輸密鑰；讀卡器獲取居民身份證中存儲的加密身份證信息， 將加密身份證信息發送給電子簽名設備；電子簽名設備使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器；讀卡器將傳輸密文發送給后臺服務器；后臺服務器接收傳輸密文，并使用第二傳輸密鑰對傳輸密文進行解密，得到配置信息和加密身份證信息。
[0011]方案2、根據方案1的方法，后臺服務器通過讀卡器與電子簽名設備進行協商，電子簽名設備得到第一傳輸密鑰，后臺服務器得到第二傳輸密鑰，包括:讀卡器發送安全通道建立請求至后臺服務器；后臺服務器接收安全通道建立請求，生成第一隨機因子，并將第一隨機因子發送至讀卡器；讀卡器接收第一隨機因子，將第一隨機因子發送至電子簽名設備；電子簽名設備接收第一隨機因子，利用電子簽名設備的私鑰對第一待簽名數據簽名，生成第一簽名數據，將第一發送數據發送至讀卡器，其中，第一待簽名數據至少包括第一隨機因子，第一發送數據至少包括第一簽名數據和電子簽名設備的數字證書；讀卡器接收第一發送數據，將第一發送數據發送至后臺服務器；后臺服務器接收第一發送數據，驗證電子簽名設備的數字證書，在驗證通過后，對第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；如果驗簽通過，則后臺服務器生成第二隨機因子，并基于第一隨機因子和第二隨機因子生成第三隨機因子，利用電子簽名設備的公鑰加密第三隨機因子，得到加密數據，利用后臺服務器的私鑰對加密數據進行簽名，得到第二簽名數據，利用第三隨機因子計算得到第二傳輸密鑰，將第二傳輸數據發送至讀卡器，其中，第二傳輸數據包括第二簽名數據、加密數據和后臺服務器的數字證書；讀卡器接收第二傳輸數據，將第二傳輸數據發送至電子簽名設備；電子簽名設備接收第二傳輸數據，驗證后臺服務器的數字證書，在驗證通過后，對第二簽名數據進行驗簽操作，如果驗簽通過，則利用電子簽名設備的私鑰對加密數據進行解密操作，得到第三隨機因子，并利用第三隨機因子計算得到第一傳輸密鑰。
[0012]方案3、根據方案1的方法，后臺服務器通過讀卡器與電子簽名設備進行協商，電子簽名設備得到第一傳輸密鑰，后臺服務器得到第二傳輸密鑰，包括:讀卡器發送安全通道建立請求至后臺服務器；后臺服務器接收安全通道建立請求，生成第一隨機因子，并將第一認證數據發送至讀卡器，其中，第一認證數據至少包括:第一隨機因子和后臺服務器的數字證書；讀卡器接收第一認證數據后，將第一認證數據發送至電子簽名設備；電子簽名設備接收第一認證數據，驗證后臺服務器的數字證書，驗證通過后，生成第二隨機因子，并利用后臺服務器的公鑰加密第二隨機因子，得到第一加密數據，對第一隨機因子和第一加密數據進行簽名，得到第一簽名數據，將第二認證數據發送至讀卡器，并基于第二隨機因子計算得到第一傳輸密鑰，其中，第二認證數據包括第一簽名數據、第一加密數據和電子簽名設備的數字證書；讀卡器接收第二認證數據后，將第二認證數據發送至后臺服務器；后臺服務器接收第二認證數據，驗證電子簽名設備的數字證書，在驗證通過后，對第一簽名數據進行驗簽，如果驗簽通過，則利用后臺服務器的私鑰對第一加密數據進行解密操作，得到第二隨機因子，如果驗簽不通過，則結束流程；后臺服務器基于第二隨機因子計算得到第二傳輸密鑰。
[0013]方案4、根據方案1至3任一項的方法，讀卡器獲取居民身份證中存儲的加密身份證信息包括:讀卡器查詢電子簽名設備中是否存儲有與配置信息對應的加密身份證信息； 在確定電子簽名設備中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備中存儲的加密身份證信息；在確定電子簽名設備中沒有存儲加密身份證信息的情況下，讀卡器執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備中，并與配置信息關聯。
[0014]方案5、根據方案1至3任一項的方法，在電子簽名設備沒有存儲配置信息的情況下，通過對外接口將配置信息存儲到電子簽名設備中包括:讀卡器通過對外接口刪除電子簽名設備中存儲的配置信息和加密身份證信息，將讀取的配置信息存儲到電子簽名設備中；讀卡器獲取居民身份證中存儲的加密身份證信息包括:讀卡器查詢電子簽名設備中是否存儲有加密身份證信息；在確定電子簽名設備中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備中存儲的加密身份證信息；在確定電子簽名設備中沒有存儲加密身份證信息的情況下，讀卡器執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備中。
[0015]方案6、根據方案4或5的方法，電子簽名設備中存儲的加密身份證信息包括多個數據包；電子簽名設備使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器:讀卡器使用第一傳輸密鑰分別對配置信息、加密身份證信息的各個數據進行加密，得到多個加密數據包，將多個加密數據包發送給讀卡器。
[0016]方案7、根據方案6的方法，方法還包括:在接收到后臺服務器發送的指示重傳加密身份證信息的重傳指令時，讀卡器向電子簽名設備發送請求，請求重傳指令指示需要重傳的數據包；電子簽名設備獲取重傳指令指示需要重傳的數據包，使用第一傳輸密鑰對需要重傳的數據包進行加密，并將加密后的需要重傳的數據包發送給讀卡器；讀卡器接收電子簽名設備返回的加密后的需要重傳的數據包，并將加密后的需要重傳的數據包重發給后臺服務器。
[0017]方案8、根據方案1至7任一項的方法，在讀卡器將配置信息和加密身份證信息發送給后臺服務器之后，方法還包括:讀卡器在預定時間內沒有檢測到居民身份證，清空電子簽名設備內存儲的居民身份證的配置信息及加密身份證信息。
[0018]方案9、根據方案1至8任一項的方法，在讀卡器將配置信息和加密身份證信息發送給后臺服務器之后，方法還包括:讀卡器獲取來自后臺服務器加密的身份證明文信息； 讀卡器將加密的身份證明文信息發送給電子簽名設備；電子簽名設備采用第一傳輸密鑰對加密的身份證明文信息進行解密，得到身份證明文信息；電子簽名設備產生一個隨機密鑰； 電子簽名設備使用隨機密鑰對身份證明文信息進行加密；電子簽名設備存儲加密后的身份證明文信息。
[0019]方案10、根據方案9的方法，在電子簽名設備存儲加密后的身份證明文信息之后， 方法還包括:讀卡器接收到第二居民身份證返回的尋卡響應指令；讀卡器讀取第二居民身份證的配置信息；讀卡器判斷電子簽名設備內是否存儲有當前讀取的配置信息；讀卡器接收到與之連接的終端的讀卡指令；在判斷電子簽名設備內存儲有當前讀取的配置信息的情況下，判斷電子簽名設備是否存儲有加密后的身份證明文信息；在判斷電子簽名設備中存儲有加密后的身份證明文信息的情況下，從電子簽名設備獲取身份證明文信息。
[0020]方案11、根據方案9的方法，在電子簽名設備將加密后的身份證明文信息存儲到電子簽名設備中之后，方法還包括:讀卡器在預定時間內沒有檢測到居民身份證，清空電子簽名設備內存儲的加密后的身份證明文信息；和/或，讀卡器在預定時間內沒有檢測到居民身份證或電子簽名設備執行關機操作前的情況下，電子簽名設備刪除隨機密鑰。
[0021]方案12、根據方案1-2、4_10任一項的方法，后臺服務器對第一簽名數據進行驗簽操作，包括:后臺服務器利用第一隨機因子和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作；電子簽名設備對第二簽名數據進行驗簽操作，包括: 電子簽名設備利用加密數據和后臺服務器的數字證書中的后臺服務器的公鑰對第二簽名數據進行驗簽操作。
[0022]方案13、根據方案1-2、4_11任一項的方法，第一待簽名數據還包括:電子簽名設備的第一身份標識；第一發送數據還包括:電子簽名設備的第二身份標識。14、根據方案13 的方法，電子簽名設備的第一身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，電子簽名設備的第二身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，且電子簽名設備序列號與電子簽名設備證書號具備映射關系。
[0023]方案15、根據方案13或14的方法，后臺服務器對第一簽名數據進行驗簽操作，包括:
[0024]后臺服務器利用第一隨機因子、第二身份標識和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作。
[0025]方案16、一種身份證讀卡系統，系統包括:讀卡器，用于接收到第一居民身份證返回的尋卡響應指令，讀取第一居民身份證的配置信息，再通過對外接口查詢電子簽名設備中是否存儲有配置信息，在電子簽名設備沒有存儲配置信息的情況下，通過對外接口將配置信息存儲到電子簽名設備中；讀卡器，還用于接收到讀卡指令，發送安全通道建立請求至后臺服務器；后臺服務器，用于通過讀卡器與電子簽名設備進行協商，得到第二傳輸密鑰； 電子簽名設備，用于通過讀卡器與后臺服務器進行協商，得到第一傳輸密鑰；讀卡器，還用于獲取居民身份證中存儲的加密身份證信息，將加密身份證信息發送給電子簽名設備；電子簽名設備，還用于使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器；讀卡器，還用于將傳輸密文發送給后臺服務器；后臺服務器，還用于接收傳輸密文，并使用第二傳輸密鑰對傳輸密文進行解密，得到配置信息和加密身份證信息。
[0026]方案17、根據方案16的系統，后臺服務器和電子簽名設備通過以下方式得到第二傳輸密鑰和第一傳輸密鑰:后臺服務器，用于接收安全通道建立請求，生成第一隨機因子， 并將第一隨機因子通過讀卡器發送至電子簽名設備；電子簽名設備，用于接收第一隨機因子，利用電子簽名設備的私鑰對第一待簽名數據簽名，生成第一簽名數據，將第一發送數據通過讀卡器發送至后臺服務器，其中，第一待簽名數據至少包括第一隨機因子，第一發送數據至少包括第一簽名數據和電子簽名設備的數字證書；后臺服務器，還用于接收第一發送數據，驗證電子簽名設備的數字證書，在驗證通過后，對第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；如果驗簽通過，則生成第二隨機因子，并基于第一隨機因子和第二隨機因子生成第三隨機因子，利用電子簽名設備的公鑰加密第三隨機因子，得到加密數據，利用后臺服務器的私鑰對加密數據進行簽名，得到第二簽名數據，利用第三隨機因子計算得到第二傳輸密鑰，將第二傳輸數據通過讀卡器發送至電子簽名設備，其中，第二傳輸數據包括第二簽名數據、加密數據和后臺服務器的數字證書；電子簽名設備，還用于接收第二傳輸數據，驗證后臺服務器的數字證書，在驗證通過后，對第二簽名數據進行驗簽操作，如果驗簽通過，則利用電子簽名設備的私鑰對加密數據進行解密操作，得到第三隨機因子，并利用第三隨機因子計算得到第一傳輸密鑰。
[0027]方案18、根據方案17的系統，后臺服務器和電子簽名設備通過以下方式得到第二傳輸密鑰和第一傳輸密鑰:后臺服務器，用于接收安全通道建立請求，生成第一隨機因子，并將第一認證數據通過讀卡器發送至電子簽名設備，其中，第一認證數據至少包括:第一隨機因子和后臺服務器的數字證書；電子簽名設備，用于接收第一認證數據，驗證后臺服務器的數字證書，驗證通過后，生成第二隨機因子，并利用后臺服務器的公鑰加密第二隨機因子，得到第一加密數據，對第一隨機因子和第一加密數據進行簽名，得到第一簽名數據， 將第二認證數據讀卡器發送至后臺服務器，并基于第二隨機因子計算得到第一傳輸密鑰，其中，第二認證數據包括第一簽名數據、第一加密數據和電子簽名設備的數字證書；后臺服務器，還用于接收第二認證數據，驗證電子簽名設備的數字證書，在驗證通過后，對第一簽名數據進行驗簽，如果驗簽通過，則利用后臺服務器的私鑰對第一加密數據進行解密操作， 得到第二隨機因子，基于第二隨機因子計算得到第二傳輸密鑰，如果驗簽不通過，則結束流程。
[0028]方案19、根據方案16至18任一項的系統，讀卡器通過以下方式獲取居民身份證中存儲的加密身份證信息:查詢電子簽名設備中是否存儲有與配置信息對應的加密身份證信息；在確定電子簽名設備中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備中存儲的加密身份證信息；在確定電子簽名設備中沒有存儲加密身份證信息的情況下，執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備中，并與配置信息關聯。
[0029]方案20、根據方案16至18任一項的系統，在電子簽名設備沒有存儲配置信息的情況下，讀卡器通過以下方式將配置信息存儲到電子簽名設備中包括:通過對外接口刪除電子簽名設備中存儲的配置信息和加密身份證信息，將讀取的配置信息存儲到電子簽名設備中；讀卡器通過以下方式獲取居民身份證中存儲的加密身份證信息:查詢電子簽名設備中是否存儲有加密身份證信息；在確定電子簽名設備中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備中存儲的加密身份證信息；在確定電子簽名設備中沒有存儲加密身份證信息的情況下，執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備中。
[0030]方案21、根據方案19或20的系統，電子簽名設備中存儲的加密身份證信息包括多個數據包；電子簽名設備通過以下方式對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器:使用第一傳輸密鑰分別對配置信息、加密身份證信息的各個數據進行加密，得到多個加密數據包，將多個加密數據包發送給讀卡器。
[0031]方案22、根據方案21的系統，在接收到后臺服務器發送的指示重傳加密身份證信息的重傳指令時，讀卡器向電子簽名設備發送請求，請求重傳指令指示需要重傳的數據包； 電子簽名設備獲取重傳指令指示需要重傳的數據包，使用第一傳輸密鑰對需要重傳的數據包進行加密，并將加密后的需要重傳的數據包發送給讀卡器；讀卡器接收電子簽名設備返回的加密后的需要重傳的數據包，并將加密后的需要重傳的數據包重發給后臺服務器。
[0032]方案23、根據方案16至22任一項的系統，讀卡器還用于在將配置信息和加密身份證信息發送給后臺服務器之后，在預定時間內沒有檢測到居民身份證，清空電子簽名設備內存儲的居民身份證的配置信息及加密身份證信息。
[0033]方案24、根據方案16至23任一項的系統，讀卡器還用于在將配置信息和加密身份證信息發送給后臺服務器之后，獲取來自后臺服務器加密的身份證明文信息，將加密的身份證明文信息發送給電子簽名設備；電子簽名設備還用于采用第一傳輸密鑰對加密的身份證明文信息進行解密，得到身份證明文信息，產生一個隨機密鑰，使用隨機密鑰對身份證明文信息進行加密，存儲加密后的身份證明文信息。
[0034]方案25、根據方案24的系統，讀卡器還用于接收到第二居民身份證返回的尋卡響應指令，讀取第二居民身份證的配置信息，判斷電子簽名設備內是否存儲有當前讀取的配置信息，接收到與之連接的終端的讀卡指令，在判斷電子簽名設備內存儲有當前讀取的配置信息的情況下，判斷電子簽名設備是否存儲有加密后的身份證明文信息；在判斷電子簽名設備中存儲有加密后的身份證明文信息的情況下，從電子簽名設備獲取身份證明文信息。
[0035]方案26、根據方案25的系統，讀卡器還用于在將加密后的身份證明文信息存儲到電子簽名設備中之后，在預定時間內沒有檢測到居民身份證，清空電子簽名設備內存儲的加密后的身份證明文信息；和/或，電子簽名設備還用于在讀卡器在預定時間內沒有檢測到居民身份證或電子簽名設備執行關機操作前的情況下，刪除隨機密鑰。
[0036]方案27、根據方案16-17、19-26任一項的系統，后臺服務器對第一簽名數據進行驗簽操作，包括:后臺服務器利用第一隨機因子和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作；電子簽名設備對第二簽名數據進行驗簽操作， 包括:電子簽名設備利用加密數據和后臺服務器的數字證書中的后臺服務器的公鑰對第二簽名數據進行驗簽操作。
[0037]方案28、根據方案16-17、19-27任一項的系統，第一待簽名數據還包括:電子簽名設備的第一身份標識；第一發送數據還包括:電子簽名設備的第二身份標識。
[0038]方案29、根據方案28的系統，電子簽名設備的第一身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，電子簽名設備的第二身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，且電子簽名設備序列號與電子簽名設備證書號具備映射關系。
[0039]方案30、根據方案28或29的系統，后臺服務器對第一簽名數據進行驗簽操作，包括:
[0040]后臺服務器利用第一隨機因子、第二身份標識和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作。
[0041]通過本發明提供的技術方案，讀卡器在尋到居民身份證之后，即從居民身份證中讀取配置信息，在后續接收到讀卡指令后，只從居民身份證中讀取加密身份證信息，從而節約了在接收到讀卡指令后讀取配置信息的時間，提高了身份證的讀取效率，提高了用戶體驗。【附圖說明】
[0042]為了更清楚地說明本發明實施例的技術方案，下面將對實施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發明的一些實施例，對于本領域的普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他附圖。
[0043]圖1為本發明實施例1提供的一種身份證讀卡方法的流程示意圖；
[0044]圖2為本發明實施例2提供的一種身份證讀卡方法的流程示意圖；
[0045]圖3為本發明實施例3提供的一種身份證讀卡方法的流程示意圖；
[0046]圖4為本發明實施例4提供的一種身份證讀卡系統的架構示意圖；
[0047]圖5為本發明實施例5提供的一種在讀卡過程的流程示意圖；
[0048]圖6為本發明實施例6提供的另一種讀卡過程的流程示意圖。【具體實施方式】
[0049]下面結合本發明實施例中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發明一部分實施例，而不是全部的實施例。基于本發明的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬于本發明的保護范圍。
[0050]在本發明的描述中，需要理解的是，術語“中心”、“縱向”、“橫向”、“上”、“下”、“前”、 “后”、“左”、“右”、“豎直”、“水平”、“頂”、“底”、“內”、“外”等指示的方位或位置關系為基于附圖所示的方位或位置關系，僅是為了便于描述本發明和簡化描述，而不是指示或暗示所指的裝置或元件必須具有特定的方位、以特定的方位構造和操作，因此不能理解為對本發明的限制。此外，術語“第一”、“第二”僅用于描述目的，而不能理解為指示或暗示相對重要性或數量或位置。
[0051]在本發明的描述中，需要說明的是，除非另有明確的規定和限定，術語“安裝”、“相連”、“連接”應做廣義理解，例如，可以是固定連接，也可以是可拆卸連接，或一體地連接；可以是機械連接，也可以是電連接；可以是直接相連，也可以通過中間媒介間接相連，可以是兩個元件內部的連通。對于本領域的普通技術人員而言，可以具體情況理解上述術語在本發明中的具體含義。
[0052]下面將結合附圖對本發明實施例作進一步地詳細描述。[〇〇53] 實施例1
[0054]圖1為本實施例提供的一種身份證讀卡方法的流程示意圖，如圖1所示，本實施例提供的身份證讀卡方法主要包括以下步驟(101-109)。
[0055]步驟101:讀卡器接收到第一居民身份證返回的尋卡響應指令；
[0056]在本實施例中，讀卡器通過其射頻模塊每間隔一段時間向外發送尋卡指令，第一居民身份證收到讀卡器發送的尋卡指令后，第一居民身份證會自動向讀卡器發送尋卡響應指令，讀卡器接收第一居民身份證返回的尋卡響應指令。讀卡器通過第一居民身份證返回的尋卡響應指令與第一居民身份證建立通信連接。
[0057]需要說明的是，一般讀卡器中設置有公安部授權的安全控制模塊用以解密讀卡器讀取的加密身份證信息，但是讀卡器中集成有公安部授權的安全控制模塊的成本高，本實施例中，讀卡器未設置有公安部授權的安全控制模塊(SAM模塊)，安全控制模塊設置在遠端，可以設置在后臺服務器中，也可以獨立設置，與后臺服務器通過有線(例如，USB接口等)連接，也可以通過無線(例如，WIFI，藍牙等)，具體本實施例不作限定。通過將讀卡器與SAM模塊分開設置，可以多個讀卡器共用一個SAM模塊，從而可以節約成本。
[0058]步驟102:讀卡器讀取第一居民身份證的配置信息；
[0059]在本實施例中，讀卡器在接收到第一居民身份證返回的尋卡響應指令后，確定當前可讀范圍內有身份證，則直接讀取第一居民身份證中的配置信息。
[0060]在實際應用中，第一居民身份證中存儲的信息包括以明文方式存儲的身份證的配置信息和以密文方式存儲的加密身份證信息。其中，身份證的配置信息，是指身份證的配置參數，例如身份證的序列號、用于指示身份證中設置的應用的相關信息的應用數據、傳輸協議(例如，傳輸協議類型、比特數率、最大幀長度)等，讀卡器可以直接識別該配置信息，不需要公安部授權的安全控制模塊進行解密。加密身份證信息，是指身份證中以密文存儲的身份證，例如身份證號、姓名、性別、住址和照片等信息，該加密身份證信息只有通過公安部授權的安全控制模塊進行解密后，才能獲得該身份證的明文信息。公安部授權的安全控制模塊在解密加密身份證信息時，需要通過配置信息才能解密，因此，在讀取身份證時，需要將身份證中存儲的配置信息及加密身份證信息均提供給公安部授權的安全控制模塊。在本實施例中，無論是否接收到讀卡指令，讀卡器只要檢測到可讀范圍內存在有居民身份證 (即接收到居民身份證返回的尋卡響應指令)，則讀取該居民身份證的配置信息。
[0061]步驟103:讀卡器通過對外接口查詢電子簽名設備中是否存儲有所述配置信息， 在所述電子簽名設備沒有存儲所述配置信息的情況下，通過所述對外接口將所述配置信息存儲到所述電子簽名設備中；
[0062]在本實施例中，讀卡器讀取第一居民身份證中的配置信息后，讀卡器通過對外接口查詢電子簽名設備中是否存儲有步驟102中讀卡器讀取的第一居民身份證的配置信息， 如果沒有存儲有步驟102中讀取的配置信息，則通過所述對外接口將所述配置信息存儲到所述電子簽名設備中；另外，如果存儲有步驟102中讀取的配置信息，則直接執行步驟104。
[0063]本實施例中，電子簽名設備可以采用具有安全芯片的智能卡，通過無線的方式 (例如NFC、藍牙等方式)與終端連接，也可以采用具有安全芯片的電子簽名鑰匙(即KEY， 例如:工行使用的U盾、農行使用的K寶等)通過USB接口或音頻口與終端連接，具體形式本發明實施例不作限定。
[0064]在本實施例中，讀卡器與電子簽名設備可以通過有線連接，例如，USB接口、音頻接口等，也可以通過無線方式連接，例如，例如NFC、藍牙等方式。具體本實施例不作限定。
[0065]步驟104:讀卡器接收到讀卡指令，發送安全通道建立請求至后臺服務器；
[0066]在本實施例中，步驟103與讀卡器接收到讀卡指令是兩個沒有時間先后順序的步驟，在實際應用中，讀卡器可能是在執行步驟103時接收到讀卡指令，也可以是在執行步驟 103之后接收到讀卡指令，還可能是在接收到讀卡指令后再執行步驟103,具體本實施例不作限定。
[0067]在本實施例中，讀卡指令是用于讀取身份證信息的指令，讀卡器可通過終端(例如電腦或手機等)接收讀卡指令，也可通過讀卡器自身獲得讀卡指令，讀卡器獲取讀卡指令的方式本實施例并不做限定，只要是讀卡器可以接收到讀卡指令即在本發明的保護范圍內。讀卡器通過接收到的讀卡指令獲取身份證中存儲的加密身份證信息。
[0068]步驟105,后臺服務器通過讀卡器與電子簽名設備進行協商，根據協商結果，電子簽名設備得到第一傳輸密鑰，后臺服務器得到第二傳輸密鑰；
[0069]后臺服務器通過讀卡器與電子簽名設備協商傳輸密鑰的過程，具體可以參見后續實施例5和6中的描述，在此不再贅述。
[0070]步驟106,讀卡器獲取居民身份證中存儲的加密身份證信息，將該加密身份證信息發送給電子簽名設備；[0071 ]在本發明實施例的一個可選實施方案中，在電子簽名設備中存儲有加密身份證信息的情況下，讀卡器可以通過對外接口從電子簽名設備中獲取加密身份證信息，或者，讀卡器也可以直接從第一居民身份證中讀取加密身份證信息，具體可參照實施例2和3中的描述。
[0072]步驟107,電子簽名設備使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器；
[0073]在具體應用中，電子簽名設備可以根據讀卡器向后臺服務器發送數據的方式進行加密，例如，如果讀卡器配置信息和加密身份證信息分為多個數據包，每次發送一個數據包，則電子簽名設備對每個數據包分別進行加密。
[0074]步驟108,讀卡器將傳輸密文發送給后臺服務器。
[0075]在本實施例中，讀卡器獲取到傳輸密文后，將該傳輸密文發送給后臺服務器。具體的，讀卡器可通過終端(例如電腦或手機等)與后臺服務器建立連接并通訊，也可以以無線的方式(例如藍牙、紅外或NFC近場通信等)直接與后臺服務器建立連接并通訊。
[0076]步驟109,后臺服務器接收傳輸密文，并使用第二傳輸密鑰對傳輸密文進行解密， 得到配置信息和加密身份證信息。
[0077]后臺服務器在解密得到配置信息和加密身份證信息之后，可以將該居民身份證的配置信息和加密身份證信息發送給SAM模塊，由SAM模塊對該居民身份證的身份證信息進行解碼，從而使得后臺服務器可以獲取到該居民身份證的身份證明文信息，進而可以執行其它需要使用身份證的流程，例如，銀行系統為用戶執行遠程開戶等。
[0078]在相關技術中，在執行居民身份證讀取流程時，在檢測到可讀范圍內存在有居民身份證時，并不會讀取居民身份證中存儲的信息，而是等待讀卡指令，在接收到讀卡指令后，再從居民身份證中讀取配置信息和加密身份證信息。而在本實施例提供的身份證讀卡方案中，讀卡器在檢測到可讀范圍內存在有居民身份證時，就直接讀取居民身份證的配置信息，在接收到讀卡指令后，只需獲取居民身份證中存儲的加密身份證信息，而不需要再讀取配置信息，從而可以節約讀卡時間，提高用戶體驗。并且，在本實施例中，讀卡器與后臺服務器之間協商傳輸密鑰，在交互過程中，通過協商的傳輸密鑰對傳輸的數據進行加密，可以進一步保證信息的傳輸安全。
[0079]作為本實施例的一種可選實施方式，在讀卡器將傳輸密文發送給后臺服務器之后，后臺服務器可以與SAM模塊進行交互，得到解密的身份證明文信息，后臺服務器可以將該身份證明文信息發送給讀卡器，讀卡器再將該身份證明文信息發送給電子簽名設備。可選地，為了保證身份證明文信息的傳輸安全，后臺服務器可以對身份證明文信息進行加密后發送，例如，后臺服務器可以使用與電子簽名設備協商的第二傳輸密鑰進行加密。因此， 在該可選實施方式中，讀卡器將傳輸密文發送給后臺服務器之后，該方法還可以包括:電子簽名設備獲取后臺服務器解密得到的身份證明文信息，電子簽名設備讀卡器產生一個隨機密鑰；電子簽名設備使用隨機密鑰對身份證明文信息進行加密，電子簽名設備存儲加密后的身份證明文信息。其中，讀卡器可以接收后臺服務器使用第二傳輸密鑰進行加密的身份證明文信息，將該加密的明文信息發送給電子簽名設備，電子簽名設備采用第一傳輸密鑰進行解密，得到身份證明文信息。在實施方式中，通過將加密的身份證明文信息存儲在電子簽名設備中，可以在需要多次讀取身份證信息的情況下，直接從電子簽名設備中獲取加密的身份證明文信息，不需要通過后臺服務器和SAM模塊再重新對加密身份證信息進行解密，以便節約二次讀卡的時間，并且，通過采用隨機密鑰對身份證明文信息進行加密，可以保證身份證明文信息的安全。
[0080]作為本實施例的一種可選實施方式，在電子簽名設備存儲加密后的身份證明文信息之后，讀卡器接收到第二居民身份證返回的尋卡響應指令，讀卡器讀取第二居民身份證的配置信息，讀卡器判斷電子簽名設備內是否存儲有當前讀取的配置信息，讀卡器接收到與之連接的終端(例如，銀行前端的PC機)的讀卡指令，在查詢電子簽名設備內存儲有當前讀取的配置信息的情況下，查詢電子簽名設備是否存儲有加密后的身份證明文信息，在確定電子簽名設備內存儲有加密后的身份證明文信息的情況下，電子簽名設備采用隨機密鑰對加密后的身份證明文信息進行解密得到身份證明文信息并發送至讀卡器，讀卡器輸出解密后的身份證明文信息。例如，讀卡器可以將解密后的身份證明文信息發送給終端，也可以直接顯示解密后的身份證明文信息。
[0081]具體的，當第二居民身份證與第一居民身份證為同一身份證的情況下，讀卡器讀取第二居民身份證的配置信息，并確定電子簽名設備中存儲有當前讀取的配置信息，讀卡器收到讀卡指令后，查詢電子簽名設備內是否存儲有加密后的身份證明文信息，在確定電子簽名設備內存儲有加密后的身份證明文信息的情況下，電子簽名設備采用隨機密鑰對加密后的身份證明文信息進行解密得到身份證明文信息，讀卡器獲取身份證明文信息并輸出。另外，當第二居民身份證與第一居民身份證為不同身份證的情況下，讀卡器讀取第二居民身份證的配置信息，并判斷電子簽名設備中沒有存儲有當前讀取的配置信息，讀卡器執行第二居民身份證的讀卡流程，讀取第二居民身份證的讀卡流程與讀取第一居民身份證的讀卡流程相同，在此不再贅述。通過配置信息判斷是否是二次讀卡，并且在判斷存儲有與配置信息對應的身份證明文信息時，直接從電子簽名設備中獲取加密的身份證明文信息，節約了二次讀卡的時間。
[0082]在本實施例中，電子簽名設備可以只存儲一個身份證的加密的身份證明文信息， 例如，可以在電子簽名設備中設置一個存儲空間，該存儲空間用于存儲加密的身份證明文信息，另外還可以設置一個存儲空間用于存儲配置信息。讀卡器在檢測到居民身份證時，讀取該居民身份證的配置信息，如果該配置信息沒有存儲在電子簽名設備中，則清空電子簽名設備中配置信息的存儲空間及加密的身份證明文信息的存儲空間中存儲的信息，再將當前讀取的配置信息保存到配置信息的存儲空間，從而可以保證電子簽名設備中存儲的配置信息與加密的身份證明文信息屬于同一身份證。在執行后續的身份證讀卡流程中，在獲取到后臺服務器解密得到的身份證明文信息后，再使用隨機密鑰對該身份證明文信息加密， 然后保存到加密的身份證明文信息的存儲空間。在接收到上位機(例如，銀行前端的PC機) 發送的讀卡指令時，讀卡器可以判斷當前居民身份證的配置信息與電子簽名設備中存儲的配置信息是否一致，如果一致，則從電子簽名設備中的加密的身份證明文信息的存儲空間中取出加密的身份證明文信息，并利用隨機密鑰進行解密，解密后輸出。
[0083]當然，電子簽名設備中也可以存儲多個身份證的加密的身份證明文信息，例如，在存儲加密的身份證明文信息時，將該加密的身份證明文信息與居民身份證的配置信息關聯存儲。讀卡器在檢測到居民身份證時，讀取該居民身份證的配置信息，如果該配置信息沒有存儲在電子簽名設備中，則將當前讀取的配置信息保存到配置信息的存儲空間，在后續獲取該居民身份證的身份證明文信息時，使用隨機密鑰進行加密，將加密后的身份證明文信息與該配置信息關聯存儲。在后續接收到上位機的讀卡指令時，讀卡器可以查詢電子簽名設備中是否存儲有當前居民身份證的配置信息，如果有，再進一步查詢電子簽名設備中是否存儲有與該配置信息關聯的加密的身份證明文信息，如果有，則電子簽名設備利用隨機密鑰進行解密得到身份證明文信息并發送至讀卡器，讀卡器輸出解密后的身份證明文信息。
[0084]作為本實施例的一種可選實施方式，在讀卡器將加密后的身份證明文信息存儲到電子簽名設備中之后，為了保證居民身份證信息的安全，如果讀卡器在預定時間內沒有檢測到居民身份證，則清空電子簽名設備內存儲的加密后的身份證明文信息。具體的，讀卡器將加密后的身份證明文信息存儲到電子簽名設備中之后，讀卡器判斷是否在預定時間內檢測到居民身份證，當讀卡器在預定時間內沒有檢測到居民身份證的情況下，讀卡器清空電子簽名設備內存儲的加密后的身份證明文信息。
[0085]作為本實施例的一種可選實施方式，在讀卡器將加密后的身份證明文信息存儲到電子簽名設備中之后，如果讀卡器在預定時間內沒有檢測到居民身份證或電子簽名設備執行關機操作前的情況下，刪除電子簽名設備中的隨機密鑰。具體的，讀卡器將加密后的身份證明文信息存儲到電子簽名設備中之后，讀卡器判斷是否在預定時間內檢測到居民身份證，當讀卡器在預定時間內沒有檢測到居民身份證的情況下，讀卡器指示電子簽名設備刪除隨機密鑰。當然，讀卡器將加密后的身份證明文信息存儲到電子簽名設備中之后，電子簽名設備執行關機操作時，電子簽名設備也刪除隨機密鑰。在刪除隨機密鑰后，即使該電子簽名設備被非法獲取，也無法對電子簽名設備中存儲的加密的身份證明文信息進行解密，從而保證了居民身份證信息的安全，進而使得電子簽名設備可以將加密的身份證明文信息存儲到閃存(flash)中。
[0086] 可選地，在本實施例中，居民身份證的配置信息及加密的身份證明文信息可以以緩存的方式存儲到電子簽名設備中，根據緩存的特性，在讀卡器下電后，自動清空存儲的信息，從而可以保證居民身份證信息的安全。
[0087]通過本實施例提供的一種身份證讀卡方法，在讀卡器接收到讀卡指令之前就讀取并將身份證的配置信息存儲到電子簽名設備，當接收到讀卡指令之后，讀卡器不需要再讀取身份證的配置信息，只需要讀取身份證中存儲的加密身份證信息，節約了讀卡時間。另夕卜，另外，通過后臺服務器解密獲取身份證明文信息并存儲在電子簽名設備中，當辦理業務需要多次讀取身份證信息的情況下，從電子簽名設備中即可獲取加密的身份證明文信息， 不需要后臺服務器多次解密，從而進一步減少了讀卡時間。并且，在本實施例中，電子簽名設備與后臺服務器協商傳輸密鑰，在信息交互過程中，使用協商的傳輸密鑰對信息進行加密，保證了信息的傳輸安全。
[0088]實施例2
[0089]圖2為本實施例提供的身份證讀卡方法的流程示意圖，如圖2所示，本實施例提供的身份證讀卡方法主要包括以下步驟(201-211)。
[0090]步驟201?205,與實施例1中步驟101?105相同，在此不再贅述。
[0091]步驟206:讀卡器判斷電子簽名設備中是否存儲有與配置信息對應的加密身份證信息；
[0092]在本實施例中，讀卡器接收到讀卡指令后，判斷電子簽名設備中是否存儲有與配置信息對應的加密身份證信息，當電子簽名設備中存儲有與配置信息對應的加密身份證信息的情況下，執行步驟207 ;當電子簽名設備中沒有存儲有與配置信息對應的加密身份證信息的情況下，執行步驟208。
[0093]在本實施例中，讀卡器判斷電子簽名設備中是否存儲有與配置信息對應的加密身份證信息時，可以向電子簽名設備發送查詢請求，請求電子簽名設備查詢與讀取的配置信息對應的加密身份證信息，電子簽名設備如果查詢到該加密身份證信息，則可以返回該加密身份證信息，也可以只通知讀卡器查詢到該加密身份證信息，如果沒有查詢到，則通知讀卡器沒有存儲該加密身份證信息。具體形式本實施例限定。
[0094]步驟207:讀卡器從電子簽名設備中獲取該加密身份證信息；
[0095]在本實施例中，讀卡器判斷電子簽名設備中存儲有與配置信息對應的加密身份證信息的情況下，讀卡器從電子簽名設備中獲取與該配置信息對應的身份證的加密身份證信息。
[0096]步驟208:讀卡器執行讀卡流程，讀取第一居民身份證中的加密身份證信息，將讀取的加密身份證信息存儲在電子簽名設備中，且將該加密身份證信息與上述配置信息關聯，即在電子簽名設備中將該加密身份證信息與上述配置信息關聯存儲。
[0097]即在本實施例中，身份證的配置信息與加密身份證信息是關聯存儲的，因此，電子簽名設備中可以同時存儲多張居民身份證的配置信息及加密身份證信息。
[0098]在本實施例中，讀卡器判斷電子簽名設備中沒有存儲有與配置信息對應的加密身份證信息的情況下，讀卡器需要執行讀卡流程，讀取第一居民身份證中存儲的加密身份證信息，讀卡器從第一居民身份證中讀取加密身份證信息后，將讀取的加密身份證信息存儲在電子簽名設備中。
[0099]在本實施例中，電子簽名設備可以存儲多個配置信息，在讀卡器讀取身份證的加密身份證信息后，讀卡器需要將讀取的加密身份證信息與步驟202中讀取的配置信息關聯存儲，以便可以通過配置信息獲取加密身份證信息。
[0100]步驟209-211，分別與實施例1中的步驟107-109相同，不再贅述。[〇1〇1]作為本實施例的一種可選實施方式，電子簽名設備中存儲的加密身份證信息包括多個數據包，在步驟209中，電子簽名設備分別對配置信息、加密身份證信息包括的各個數據包進行加密，得到多個加密數據包，將多個加密數據包發送給讀卡器。步驟210中，讀卡器將傳輸密文發送給后臺服務器可以包括:讀卡器將多個加密數據包依次發送給后臺服務器。通過將加密身份證信息分為多個數據包存儲，方便后續傳輸出錯時進行快速重傳，不需要將所有加密身份證信息進行重傳。
[0102]作為本實施例的一種可選實施方式，后臺服務器在接收到讀卡器發送的傳輸密文后，在使用第二傳輸密鑰對各個加密數據包進行解密后，可以進一步檢查接收到的加密身份證信息是否完整，如果不完整，則向后臺服務器發送重傳指令，指示哪此數據包需要重傳。在接收到后臺服務器發送的重傳指令時，讀卡器指示電子簽名設備需要重傳的數據包，電子簽名設備收到指示后，采用第一傳輸密鑰對需要重傳的數據包進行加密，然后將加密的需要重傳的數據包返回給讀卡器，由讀卡器加密的需要重傳的數據包重發給后臺服務器。具體的，當加密身份證信息的一個或多個數據包傳輸至后臺服務器出錯時，后臺服務器向讀卡器發送重傳指令，并在重傳指令中指示需要重傳的一個或多個數據包，讀卡器接收到后臺服務器發送的重傳指令后，指示電子簽名設備需要重傳的一個或多個數據包，電子簽名設備獲取該一個或多個數據包，使用第一傳輸密鑰對該一個或多個數據包進行加密， 然后將加密的一個或多個數據包返回給讀卡器，讀卡器將加密的一個或多個數據包重發給后臺服務器。后臺服務器通過重傳指令指示讀卡器需要重傳的數據包，讀卡器只需將需要重傳的數據包重傳給后臺服務器即可，節約讀取身份證的時間。
[0103]作為本實施例的一種可選實施方式，在讀卡器將配置信息和加密身份證信息發送給后臺服務器之后，為了保證居民身份證信息安全，讀卡器在預定時間內沒有檢測到居民身份證，清空電子簽名設備內存儲的居民身份證的配置信息及加密身份證信息。具體的， 讀卡器每間隔一段時間會向外發送尋卡指令，當讀卡器將所述配置信息和加密身份證信息發送給后臺服務器之后，讀卡器在預定時間內沒有檢測到居民身份證，說明居民身份證已經不在讀卡器能讀取的范圍內，電子簽名設備中存儲的加密身份證信息和配置信息不再需要，因此，讀卡器將清空電子簽名設備(讀卡器可以向電子簽名設備發送清空指令，指示電子簽名設備清空相應的內容)存儲的居民身份證的配置信息及加密身份證信息。通過在預定時間內檢測居民身份證并清空電子簽名設備中存儲的信息，可以節約電子簽名設備的存儲空間，保證居民身份證信息的安全。
[0104]可選地，在本實施例中，居民身份證的配置信息及加密身份證信息可以以緩存的方式存儲到電子簽名設備中，根據緩存的特性，在電子簽名設備下電后，自動清空緩存的信息，從而可以保證居民身份證信息的安全。
[0105]其它未盡事宜與實施例1相同，在此不再贅述。
[0106]通過本實施例提供的身份證讀卡方法，在讀卡器接收到讀卡指令之前就讀取并在電子簽名設備存儲身份證的配置信息，當接收到讀卡指令之后，讀卡器不需要再讀取身份證的配置信息，只需要讀取身份證中存儲的加密身份證信息，節約了讀卡時間。另外，將居民身份證的加密身份證信息分為多個數據包存儲在讀卡器的電子簽名設備中，以便后臺服務器通過重傳指令指示讀卡器需要重傳的數據包時，讀卡器只需將需要重傳的數據包重傳給后臺服務器即可，進一步減少了讀取身份證的時間。
[0107]實施例3
[0108]圖3為本實施例提供的身份證讀卡方法的流程示意圖，如圖3所示，本實施例提供的身份證讀卡方法主要包括以下步驟(301-311)。
[0109]與實施例2中不同的是，為了節約存儲空間，本實施例中讀卡器的電子簽名設備中只存儲一張居民身份證的配置信息和加密身份證信息。
[0110]與實施例2中不同的是，在步驟303中，讀卡器先刪除電子簽名設備中之前存儲的配置信息和加密身份證信息，再將讀取的所述配置信息存儲到所述電子簽名設備中。具體的，在讀卡器判斷電子簽名設備中沒有存儲步驟302中讀取的配置信息的情況下，讀卡器首先刪除電子簽名設備中之前存儲的配置信息和加密身份證信息，例如，可以向電子簽名設備發送刪除指令，指令電子簽名設備刪除之前存儲的配置信息和加密身份證信息，并將步驟302中讀取的配置信息存儲在電子簽名設備中。
[0111]與實施例2中不同的是，在步驟308中，讀卡器執行讀卡流程，讀取第一居民身份證中的加密身份證信息，將讀取的加密身份證信息存儲在電子簽名設備中。具體的，讀卡器判斷電子簽名設備中之前沒有存儲有配置信息情況下，讀卡器需要執行讀卡流程，讀取第一居民身份證中存儲的加密身份證信息，讀卡器從第一居民身份證中讀取加密身份證信息后，將讀取的加密身份證信息存儲在電子簽名設備。與實施例2中不同的是，由于電子簽名設備中只存儲了一張居民身份證的信息，因此，電子簽名設備不需要將步驟302中讀取的配置信息與步驟308中存儲的加密身份證信息關聯存儲。
[0112]與實施例2相似，在本實施例中，電子簽名設備中存儲的加密身份證信息包括多個數據包，在步驟209中，電子簽名設備分別對配置信息、加密身份證信息包括的各個數據包進行加密，得到多個加密數據包，將多個加密數據包發送給讀卡器。讀卡器將傳輸密文發送給后臺服務器可以包括:讀卡器將多個加密數據包依次發送給后臺服務器。通過將加密身份證信息分為多個數據包存儲，方便后續傳輸出錯時進行快速重傳，不需要將所有加密身份證信息進行重傳。
[0113]作為本實施例的一種可選實施方式，后臺服務器在接收到讀卡器發送的傳輸密文后，在使用第二傳輸密鑰對各個加密數據包進行解密后，可以進一步檢查接收到的加密身份證信息是否完整，如果不完整，則向后臺服務器發送重傳指令，指示哪此數據包需要重傳。在接收到后臺服務器發送的重傳指令時，讀卡器指示電子簽名設備需要重傳的數據包，電子簽名設備收到指示后，采用第一傳輸密鑰對需要重傳的數據包進行加密，然后將加密的需要重傳的數據包返回給讀卡器，由讀卡器加密的需要重傳的數據包重發給后臺服務器。后臺服務器通過重傳指令指示讀卡器需要重傳的數據包，讀卡器只需將需要重傳的數據包重傳給后臺服務器即可，節約讀取身份證的時間。
[0114]在該實施例中，可以在電子簽名設備中分配兩個存儲空間，即配置信息存儲空間和加密身份證存儲空間，將同一張居民身份證的配置信息存儲到配置信息存儲空間，加密身份證信息存儲到加密身份證存儲空間，在檢測到有居民身份證時，首先讀取該居民身份證的配置信息，如果該居民身份證的配置信息沒有存儲在電子簽名設備中，則清空配置信息存儲空間和加密身份證存儲空間存儲的信息，再將當前讀取的配置信息存儲到配置信息存儲空間，后續執行讀卡流程從居民身份證中讀取到加密身份證信息后，將加密身份證信息存儲到加密身份證存儲空間存儲。如果該居民身份證的配置信息存儲在電子簽名設備中，則在接收到讀卡指令時，直接從電子簽名設備的加密身份證存儲空間中獲取加密身份證信息。采用這種方式，可以確保之前使用的居民身份證信息的安全，避免居民身份證信息被非法使用。
[0115]可選地，在本實施例中，居民身份證的配置信息及加密身份證信息可以以緩存的方式存儲到電子簽名設備中，根據緩存的特性，在電子簽名設備下電后，自動清空緩存的信息，從而可以保證居民身份證信息的安全。
[0116]通過本實施例提供的身份證讀卡方法，在讀卡器接收到讀卡指令之前就讀取并在電子簽名設備存儲身份證的配置信息，當接收到讀卡指令之后，讀卡器不需要再讀取身份證的配置信息，只需要讀取身份證中存儲的加密身份證信息，節約了讀卡時間。另外，在讀卡器讀取身份證中存儲的加密身份證信息之前，判斷電子簽名設備中是否存儲有與配置信息對應的加密身份證信息，可以避免重復從身份證中讀取加密身份證信息，加快了讀卡速度。另外，通過將加密身份證信息分為多個數據包，以便后臺服務器通過重傳指令指示讀卡器需要重傳的數據包時，讀卡器只需將需要重傳的數據包重傳給后臺服務器即可，進一步減少了讀取身份證的時間。另外，電子簽名設備中只需要設置有存儲一張居民身份證的配置信息和加密身份證信息的存儲空間，在節約了電子簽名設備的存儲空間的同時，保證了居民身份證信息的安全性。
[0117]實施例4
[0118]本實施例提供了一種身份證讀卡系統。
[0119]圖4為本實施例提供的身份證讀卡系統的架構示意圖，如圖4所示，該身份證讀卡系統主要包括:讀卡器400、電子簽名設備410和后臺服務器420。在本實施例，讀卡器100 為未設置有SAM模塊的讀卡器。
[0120]本實施例中，讀卡器400,用于接收到第一居民身份證返回的尋卡響應指令，讀取第一居民身份證的配置信息，再通過對外接口查詢電子簽名設備410中是否存儲有配置信息，在電子簽名設備410沒有存儲配置信息的情況下，通過對外接口將配置信息存儲到電子簽名設備410中；讀卡器400,還用于接收到讀卡指令，發送安全通道建立請求至后臺服務器420 ;后臺服務器420,用于通過讀卡器400與電子簽名設備410進行協商，得到第二傳輸密鑰；電子簽名設備410,用于通過讀卡器400與后臺服務器420進行協商，得到第一傳輸密鑰；讀卡器400,還用于獲取居民身份證中存儲的加密身份證信息，將加密身份證信息發送給電子簽名設備410 ;電子簽名設備410,還用于使用第一傳輸密鑰對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器400 ;讀卡器400,還用于將傳輸密文發送給后臺服務器420 ;后臺服務器420,還用于接收傳輸密文，并使用第二傳輸密鑰對傳輸密文進行解密，得到配置信息和加密身份證信息。
[0121]通過本實施例提供的身份證讀卡系統，讀卡器在檢測到可讀范圍內存在有居民身份證時，就直接讀取居民身份證的配置信息，在接收到讀卡指令后，只需獲取居民身份證中存儲的加密身份證信息，而不需要再讀取配置信息，從而可以節約讀卡時間，提高用戶體驗。并且，在本實施例中，電子簽名設備與后臺服務器之間協商傳輸密鑰，在交互過程中，通過協商的傳輸密鑰對傳輸的數據進行加密，可以進一步保證信息的傳輸安全。
[0122]在本發明實施例的一個可選實施方案中，后臺服務器420和電子簽名設備410通過以下方式得到第二傳輸密鑰和第一傳輸密鑰:后臺服務器420,用于接收安全通道建立請求，生成第一隨機因子，并將第一隨機因子通過讀卡器400發送至電子簽名設備410 ;電子簽名設備410,用于接收第一隨機因子，利用電子簽名設備410的私鑰對第一待簽名數據簽名，生成第一簽名數據，將第一發送數據通過讀卡器400發送至后臺服務器420,其中，第一待簽名數據至少包括第一隨機因子，第一發送數據至少包括第一簽名數據和電子簽名設備410的數字證書；后臺服務器420,還用于接收第一發送數據，驗證電子簽名設備410的數字證書，在驗證通過后，對第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；如果驗簽通過，則生成第二隨機因子，并基于第一隨機因子和第二隨機因子生成第三隨機因子，利用電子簽名設備410的公鑰加密第三隨機因子，得到加密數據，利用后臺服務器420 的私鑰對加密數據進行簽名，得到第二簽名數據，利用第三隨機因子計算得到第二傳輸密鑰，將第二傳輸數據通過讀卡器400發送至電子簽名設備410,其中，第二傳輸數據包括第二簽名數據、加密數據和后臺服務器420的數字證書；電子簽名設備410,還用于接收第二傳輸數據，驗證后臺服務器420的數字證書，在驗證通過后，對第二簽名數據進行驗簽操作，如果驗簽通過，則利用電子簽名設備410的私鑰對加密數據進行解密操作，得到第三隨機因子，并利用第三隨機因子計算得到第一傳輸密鑰。
[0123]通過該實施方式提供的傳輸密鑰的協商方案，可以在讀卡器與后臺服務器之間建立安全通道，利用傳輸密鑰對在安全通道中傳輸的數據加密，提高了數據傳輸的安全性。而且，讀卡器接收到后臺服務器發送的第一隨機因子后，立即利用自身私鑰對第一隨機因子進行簽名后回傳至服務器，從而使得后臺服務器能夠在最短的時間內接收到讀卡器回傳的第一認證數據并進行認證，提高了后臺服務器對讀卡器的認證效率，從而在讀卡器與后臺服務器相互認證的初始階段，后臺服務器即判定讀卡器是否合法，若不合法則立即結束流程，快速判斷出受到重放攻擊，進而斷開與非法讀卡器的連接，避免不法交易對后臺服務器的資源占用。
[0124]在本發明實施例的一個可選實施方案中，后臺服務器420和電子簽名設備410通過以下方式得到第二傳輸密鑰和第一傳輸密鑰:后臺服務器420,用于接收安全通道建立請求，生成第一隨機因子，并將第一認證數據通過讀卡器400發送至電子簽名設備410,其中，第一認證數據至少包括:第一隨機因子和后臺服務器420的數字證書；電子簽名設備 410,用于接收第一認證數據，驗證后臺服務器420的數字證書，驗證通過后，生成第二隨機因子，并利用后臺服務器420的公鑰加密第二隨機因子，得到第一加密數據，對第一隨機因子和第一加密數據進行簽名，得到第一簽名數據，將第二認證數據讀卡器400發送至后臺服務器420,并基于第二隨機因子計算得到第一傳輸密鑰，其中，第二認證數據包括第一簽名數據、第一加密數據和電子簽名設備410的數字證書；后臺服務器420,還用于接收第二認證數據，驗證電子簽名設備410的數字證書，在驗證通過后，對第一簽名數據進行驗簽， 如果驗簽通過，則利用后臺服務器420的私鑰對第一加密數據進行解密操作，得到第二隨機因子，基于第二隨機因子計算得到第二傳輸密鑰，如果驗簽不通過，則結束流程。
[0125]在本發明實施例的一個可選實施方案中，讀卡器400通過以下方式獲取居民身份證中存儲的加密身份證信息:查詢電子簽名設備410中是否存儲有與配置信息對應的加密身份證信息；在確定電子簽名設備410中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備410中存儲的加密身份證信息；在確定電子簽名設備410中沒有存儲加密身份證信息的情況下，執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備410中，并與配置信息關聯。通過該可選實施方式，可以同時在電子簽名設備410中存儲多張居民身份證的身份 fg息。
[0126]在本發明實施例的一個可選實施方案中，在電子簽名設備410沒有存儲配置信息的情況下，讀卡器400通過以下方式將配置信息存儲到電子簽名設備410中包括:通過對外接口刪除電子簽名設備410中存儲的配置信息和加密身份證信息，將讀取的配置信息存儲到電子簽名設備410中；讀卡器400通過以下方式獲取居民身份證中存儲的加密身份證信息:查詢電子簽名設備410中是否存儲有加密身份證信息；在確定電子簽名設備410中存儲有加密身份證信息的情況下，通過對外接口讀取電子簽名設備410中存儲的加密身份證信息；在確定電子簽名設備410中沒有存儲加密身份證信息的情況下，執行身份證的讀卡流程，讀取第一居民身份證中的加密身份證信息，并將讀取的加密身份證信息通過對外接口存儲到電子簽名設備410中。通過該可選實施方式，電子簽名設備410中僅存儲一張居民身份證的相關信息，可以節約存儲空間，提高身份證信息的安全。
[0127]在本發明實施例的一個可選實施方案中，電子簽名設備410中存儲的加密身份證信息包括多個數據包；電子簽名設備410通過以下方式對配置信息和加密身份證信息進行加密，得到傳輸密文，將傳輸密文發送給讀卡器400:使用第一傳輸密鑰分別對配置信息、 加密身份證信息的各個數據進行加密，得到多個加密數據包，將多個加密數據包發送給讀卡器400。通過該可選實施方式，將加密身份證信息分為多個數據包傳輸給后臺服務器，在接收到后臺服務器的重傳指令時，不需要重新讀取居民身份證中存儲的信息，進而可以節約讀卡時間，提高用戶體驗。
[0128]在本發明實施例的一個可選實施方案中，在接收到后臺服務器420發送的指示重傳加密身份證信息的重傳指令時，讀卡器400向電子簽名設備410發送請求，請求重傳指令指示需要重傳的數據包；電子簽名設備410獲取重傳指令指示需要重傳的數據包，使用第一傳輸密鑰對需要重傳的數據包進行加密，并將加密后的需要重傳的數據包發送給讀卡器 400 ;讀卡器400接收電子簽名設備410返回的加密后的需要重傳的數據包，并將加密后的需要重傳的數據包重發給后臺服務器420。在該可選實施方式中，在重傳時，讀卡器100不需要重新讀取居民身份證中存儲的信息，而只需要從電子簽名設備中獲取需要重傳的數據包，節約了流程和讀卡時間，提高了重傳效率。
[0129]在本發明實施例的一個可選實施方案中于，讀卡器400，讀卡器400還用于在將配置信息和加密身份證信息發送給后臺服務器420之后，在預定時間內沒有檢測到居民身份證，清空電子簽名設備410內存儲的居民身份證的配置信息及加密身份證信息。通過該可選實施方式，可以及時刪除電子簽名設備410中存儲的居民身份證的相關信息，保證了信息的安全。
[0130]在本發明實施例的一個可選實施方案中，讀卡器400還用于在將配置信息和加密身份證信息發送給后臺服務器420之后，獲取來自后臺服務器420加密的身份證明文信息， 將加密的身份證明文信息發送給電子簽名設備410 ;電子簽名設備410還用于采用第一傳輸密鑰對加密的身份證明文信息進行解密，得到身份證明文信息，產生一個隨機密鑰，使用隨機密鑰對身份證明文信息進行加密，存儲加密后的身份證明文信息。通過該可選實施方案，電子簽名設備410在獲取后臺服務器110返回的身份證明文信息后，通過一個隨機密鑰對該身份證明文信息進行加密存儲，在后續需要讀取同一居民身份證時，可以直接從電子簽名設備410中獲取該身份證明文信息，節約了讀卡流程，提高了讀卡效率。
[0131]在本發明實施例的一個可選實施方案中，讀卡器400還用于接收到第二居民身份證返回的尋卡響應指令，讀取第二居民身份證的配置信息，判斷電子簽名設備410內是否存儲有當前讀取的配置信息，接收到與之連接的終端的讀卡指令，在判斷電子簽名設備410 內存儲有當前讀取的配置信息的情況下，判斷電子簽名設備410是否存儲有加密后的身份證明文信息；在判斷電子簽名設備410中存儲有加密后的身份證明文信息的情況下，從電子簽名設備410獲取身份證明文信息。通過該可選實施方案，在接收到讀卡指令時，先查詢電子簽名設備410中是否存儲有該居民身份證的身份證明文信息，在沒有存儲的情況下， 可以進一步判斷電子簽名設備410中是否存儲有該居民身份證的加密身份證信息，在判斷有的情況下，從電子簽名設備410中獲取該加密身份證信息，如果沒有存儲該加密身份證信息，再從居民身份證中讀取該加密身份證信息。而在判斷電子簽名設備410中存儲有該居民身份證的身份證明文信息的情況下，直接獲取該身份證明文信息并輸出，從而可以提高身份證的讀卡效率，節約時間。
[0132]在本發明實施例的一個可選實施方案中，讀卡器400還用于在將加密后的身份證明文信息存儲到電子簽名設備410中之后，在預定時間內沒有檢測到居民身份證，清空電子簽名設備410內存儲的加密后的身份證明文信息；和/或，電子簽名設備410還用于在讀卡器400在預定時間內沒有檢測到居民身份證或電子簽名設備410執行關機操作前的情況下，刪除隨機密鑰。
[0133]在本發明實施例的一個可選實施方案中，后臺服務器420對第一簽名數據進行驗簽操作，包括:后臺服務器420利用第一隨機因子和電子簽名設備410的數字證書中的電子簽名設備410的公鑰對第一簽名數據進行驗簽操作；電子簽名設備410對第二簽名數據進行驗簽操作，包括:電子簽名設備410利用加密數據和后臺服務器420的數字證書中的后臺服務器420的公鑰對第二簽名數據進行驗簽操作。
[0134]在本發明實施例的一個可選實施方案中，第一待簽名數據還包括:電子簽名設備 410的第一身份標識；第一發送數據還包括:電子簽名設備410的第二身份標識。
[0135]在本發明實施例的一個可選實施方案中，電子簽名設備410的第一身份標識包括:電子簽名設備410序列號和/或電子簽名設備410證書號，電子簽名設備410的第二身份標識包括:電子簽名設備410序列號和/或電子簽名設備410證書號，且電子簽名設備 410序列號與電子簽名設備410證書號具備映射關系。
[0136]在本發明實施例的一個可選實施方案中，后臺服務器420對第一簽名數據進行驗簽操作，包括:后臺服務器420利用第一隨機因子、第二身份標識和電子簽名設備410的數字證書中的電子簽名設備410的公鑰對第一簽名數據進行驗簽操作。
[0137]實施例5
[0138]本實施例提供了一種在讀卡過程中讀卡器與服務器協商傳輸密鑰的方案。本實施例主要對電子簽名設備與服務器協商傳輸密鑰的流程進行說明，具體的讀卡流程可以參見上述實施例，在此不再贅述。
[0139]圖5為本實施例提供的讀卡過程的流程示意圖，如圖5所示，該方案主要包括以下步驟(501-512)。
[0140]步驟501，未設置有SAM模塊的讀卡器接收到讀卡指令后，發送安全通道建立請求至后臺服務器；
[0141]在本實施例的一個可選實施方式中，未設置有SAM模塊的讀卡器可以為未設置有 SAM模塊的身份證讀卡器，用于讀取身份證信息，為了便于描述，在下文中稱為讀卡器，該讀卡器與后臺服務器可以通過有線的方式連接，也可通過無線方式連接，讀卡器還可以接入網絡設備(如電腦、手機等終端)，通過網絡設備傳輸的形式與后臺服務器建立連接，本實施例在此不作限制。讀卡指令可以是由讀卡器通過其自帶的按鍵、觸摸屏等輸入模塊接收到的用戶輸入的指令，也可以是其它與讀卡器連接的設備(如電腦、手機等終端)發送給身份讀卡器的。此外，SAM模塊是現有讀卡器設置的一個模塊，SAM模塊僅用于對讀卡器讀取的身份證信息進行身份驗證。
[0142]步驟502,后臺服務器接收安全通道建立請求，生成第一隨機因子，并將第一隨機因子發送至讀卡器；
[0143]在本發明的一個可選實施方式中，第一隨機因子為單次認證數據，可以包括隨機數和/或隨機事件，在此不做限制。該第一隨機因子也可以為一個或一串隨機數，或者可以為一個或一串隨機字符，或者一串隨機數和隨機組合的任意組合。后臺服務器每次生成的第一隨機因子都是隨機生成的，與上一次生成的第一隨機因子是不同的，可以防止重放攻擊，提高了安全性。
[0144]步驟503,讀卡器接收第一隨機因子，將第一隨機因子發送至電子簽名設備；
[0145]電子簽名設備可以是具有身份認證、數字簽名的功能的設備，如USBkey(例如工行U盾、農行K寶等)、音頻KEY、具有電子簽名功能的智能卡等設備。在本發明的一個可選實施方式中，電子簽名設備可通過USB接口、音頻接口、藍牙接口、NFC接口等有線或無線接口與讀卡器連接，本實施例在此不作限制。由于讀卡器中并不具備安全芯片，而電子簽名設備具有安全芯片，該安全芯片(如國民技術股份有限公司的Z8D64U(國密批號SSX43)、 Z32 (國密批號SSX20))內部擁有獨立的處理器和存儲單元，可存儲PKI數字證書和密鑰，以及其他特征數據，對數據進行加解密運算，為用戶提供數據加密和身份安全認證服務，保護商業隱私和數據安全。因此，本實施例中需要進行加解密、簽名、驗簽、數字證書驗證的數據均需經過電子簽名設備，以保證讀卡器與后臺服務器之間的交互安全。
[0146]步驟504,電子簽名設備接收第一隨機因子，利用電子簽名設備的私鑰對第一待簽名數據簽名，生成第一簽名數據，將第一發送數據發送至讀卡器，其中，第一待簽名數據至少包括第一隨機因子，第一發送數據至少包括第一簽名數據和電子簽名設備的數字證書；
[0147]在本實施例的一個可選實施方式中，第一待簽名數據還包括:電子簽名設備的第一身份標識，第一發送數據還包括:電子簽名設備的第二身份標識。進一步地，電子簽名設備的第一身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，電子簽名設備的第二身份標識包括:電子簽名設備序列號和/或電子簽名設備證書號，且電子簽名設備序列號與電子簽名設備證書號具備映射關系，后臺服務器存儲有電子簽名設備序列號與電子簽名設備證書號具備映射關系，后臺服務器接收到電子簽名設備序列號后，能夠通過查詢電子簽名設備序列號與電子簽名設備證書號的映射關系，獲取電子簽名設備證書號，反之亦然，通過電子簽名設備序列號和/或讀卡器證書號，后臺服務器能夠定位識別該電子簽名設備，并獲取電子簽名設備的出廠信息、歷史讀卡信息、歷史錯誤信息、歷史舉報信息和歷史交易信息等信息，以便于后臺服務器利用收到到的電子簽名設備序列號或電子簽名設備證書號實現風險管理。
[0148]步驟505,讀卡器接收第一發送數據，將第一發送數據發送至后臺服務器；
[0149]在本實施例中，讀卡器至少將包含電子簽名設備公鑰的電子簽名設備的數字證書和第一簽名數據一同發送至后臺服務器，以便后臺服務器對電子簽名設備的合法性進行驗證，保證了交易的合法性與安全性；電子簽名設備接收到后臺服務器發送的第一隨機因子后，除了進行至少對第一隨機因子的簽名操作外，不進行其他任何操作，從而使得后臺服務器能夠在最短的時間內接收到讀卡器回傳的第一發送數據并進行認證，提高了后臺服務器對電子簽名設備的認證效率。
[0150]步驟506,后臺服務器接收第一發送數據，驗證電子簽名設備的數字證書，在驗證通過后，對第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；
[0151]在本實施例的一個可選實施方式中，后臺服務器可以利用根證書對接收到的電子簽名設備的數字證書進行驗證，以防止非法分子篡改電子簽名設備的公鑰，實現對電子簽名設備的安全認證，提高雙方交互的安全性。后臺服務器從認證中心(Certificate Authority，簡稱CA)下載根證書，根證書是CA與用戶建立信任關系的基礎。如果驗證通過，則繼續后續流程，如果驗證不通過，則可以在此時結束流程，當然，也可以在驗簽不通過時結束流程。
[0152]本實施例中，從步驟步驟501后臺服務器接收到建立安全通道請求與讀卡器建立連接開始，到步驟506中當驗簽不通過，結束流程，后臺服務器斷開與讀卡器的連接，此過程耗時非常短暫，后臺服務器可迅速判斷電子簽名設備的簽名數據錯誤，釋放與讀卡器的連接通道，因此，當重放攻擊設備偽裝為讀卡器時，在后臺服務器受到重放攻擊的情況下， 可迅速斷開與重放攻擊設備的連接通道，減輕重放攻擊對后臺服務器的占用。并且現在技術中，將防止重放攻擊的驗簽步驟放在整個建立安全通道生成傳輸密鑰的流程的中間部分甚至靠后部分，無法快速判斷是否受到重復攻擊，由于驗簽步驟比較靠后，即使受到重復攻擊，也不能很快判斷出來，只能繼續后續生成傳輸密鑰的步驟，而本發明中驗簽步驟在整個流程的最開始，能夠在第一時間就驗證出電子簽名設備身份的不合法后，終止后續的操作， 快速判斷出受到重放攻擊，進而斷開與非法讀卡器的連接，保證后臺服務器的安全。
[0153]在本實施例的一個可選實施方式中，后臺服務器對第一簽名數據進行驗簽操作， 包括:后臺服務器利用第一隨機因子和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作。使用電子簽名設備的數字證書中的電子簽名設備的公鑰進行驗簽操作，保障了在后臺服務器沒有預存電子簽名工具的數字證書的情況下，也可完成驗簽操作。
[0154]在本實施例的一個可選實施方式中，當第一待簽名數據中包括第一身份標識，第一發送數據中包括第二身份標識時，后臺服務器對第一簽名數據進行驗簽操作包括:后臺服務器利用第一隨機因子、第二身份標識和電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽操作。待簽名數據中包括第一身份標識，可以使驗簽結果更加準確可靠，后臺服務器再收到第二身份標識后，也可根據第二身份標識進行風險控制管理。
[0155]步驟507,如果驗簽通過，則后臺服務器生成第二隨機因子，并基于第一隨機因子和第二隨機因子生成第三隨機因子，利用電子簽名設備的公鑰加密第三隨機因子，得到加密數據，利用后臺服務器的私鑰對加密數據進行簽名，得到第二簽名數據，將第二傳輸數據發送至讀卡器，其中，第二傳輸數據包括第二簽名數據、加密數據和后臺服務器的數字證書；
[0156]在本實施例中，第二隨機因子為單次認證數據，可以包括隨機數和/或隨機事件。 該第二隨機因子也可以為一個或一串隨機數，或者可以為一個或一串隨機字符，或者一串隨機數和隨機組合的任意組合。后臺服務器生成第二隨機因子后，后臺服務器和電子簽名設備可以采用預先協商的算法基于第一隨機因子和第二隨機因子生成第三隨機因子，具體的算法有多種，本實施例不做限制，例如拼接算法、差分算法、插位算法等，例如，第一隨機因子和第二隨機因子均為N位，優選地，為提高第三隨機因子的生成效率，將第一隨機因子和第二隨機因子進行首尾拼接生成2N位的第三隨機因子，或，將第一隨機因子中的前X 位和第二隨機因子中的后Y位進行拼接，生成X+Y位的第三隨機因子，其中，1 < X < N， 1 < Y < N。在通過后續步驟中的一系列驗證后，后臺服務器和電子簽名設備均可以利用該第三隨機因子采用相同的算法生成傳輸密鑰。
[0157]步驟508,后臺服務器利用第三隨機因子計算得到第二傳輸密鑰；
[0158]在本實施例中，后臺服務器可以利用該第三隨機因子采用與電子簽名設備側相同的算法生成傳輸密鑰，以保證電子簽名設備可以通過讀卡器與后臺服務器與讀卡器利用該傳輸密鑰進行信息交互，通過該傳輸密鑰對傳輸過程中的數據進行加解密，以保證傳輸數據的安全性。該步驟508與后續步驟509?步驟511不分先后順序。
[0159]步驟509,讀卡器接收第二傳輸數據，將第二傳輸數據發送至電子簽名設備；
[0160]步驟510,電子簽名設備接收第二傳輸數據，驗證后臺服務器的數字證書，在驗證通過后，對第二簽名數據進行驗簽操作，如果驗簽通過，則利用電子簽名設備的私鑰對加密數據進行解密操作，得到第三隨機因子；
[0161]在本實施例中，電子簽名設備可以利用根證書對接收到的后臺服務器的數字證書進行驗證，以防止非法分子篡改后臺服務器的公鑰，實現對后臺服務器的安全認證，提高雙方交互的安全性。電子簽名設備從認證中心(Certificate Authority，簡稱CA)下載根證書，根證書是CA與用戶建立信任關系的基礎。如果驗證通過，則繼續后續流程，如果驗證不通過，則結束流程，此時，電子簽名設備與后臺服務器的連接斷開，電子簽名設備不會再向后臺服務器發送數據，從而使得電子簽名設備不會受到非法后臺服務器的攻擊。
[0162]在本實施例的一個可選實施方式中，電子簽名設備對第二簽名數據進行驗簽操作，包括:電子簽名設備利用加密數據和后臺服務器的數字證書中的后臺服務器的公鑰對第二簽名數據進行驗簽操作。使用后臺服務器的數字證書中的后臺服務器的公鑰進行驗簽操作，保障了在電子簽名設備沒有預存后臺服務器的數字證書的情況下，也可完成驗簽操作。進一步地，如果第二簽名數據的驗簽無法通過，則結束流程，斷開讀卡器與后臺服務器的連接。
[0163]步驟511，電子簽名設備利用第三隨機因子計算得到第一傳輸密鑰；
[0164]在本實施例中，電子簽名設備可以利用該第三隨機因子采用與后臺服務器側相同的算法生成傳輸密鑰，以電子簽名設備可以通過讀卡器與后臺服務器利用該傳輸密鑰進行信息交互，通過該傳輸密鑰對傳輸過程中的數據進行加解密，以保證傳輸數據的安全性。
[0165]作為本實施例中一種可選的實施方式，第一傳輸密鑰和第二傳輸密鑰可以為相同的傳輸密鑰，即對稱密鑰，讀卡器和后臺服務器分別利用該對稱密鑰對傳輸的數據加解密； 也可以為一組包括加密密鑰和解密密鑰的密鑰對，讀卡器和后臺服務器可以分別利用其中的加密密鑰對傳輸數據加密，利用其中的解密密鑰對傳輸數據解密。
[0166]步驟512,電子簽名設備利用第一傳輸密鑰對讀卡器與后臺服務器之間傳輸的數據進行加解密，后臺服務器利用第二傳輸密鑰對讀卡器與后臺服務器之間傳輸的數據進行加解密。
[0167]在本實施例中，電子簽名設備和后臺服務器之間使用傳輸密鑰進行數據傳輸，提高了數據傳輸的安全性。
[0168]實施例6
[0169]本實施例提供了一種在讀卡過程中讀卡器與服務器協商傳輸密鑰的方案。本實施例主要對讀卡器與服務器協商傳輸密鑰的流程進行說明，具體的讀卡流程可以參見上述實施例，在此不再贅述。
[0170]圖6為本實施例提供的讀卡過程的流程示意圖，如圖6所示，該方案主要包括以下步驟(601-616)。
[0171]步驟601:未設置有SAM(身份證驗證安全控制)模塊的讀卡器接收到讀卡指令， 將安全通道建立請求發送至后臺服務器；
[0172]在本實施例中，未設置有SAM模塊的讀卡器可以為未設置有SAM模塊的讀卡器，用于讀取身份證信息，為了便于描述，在下文中稱為讀卡器，該讀卡器可以具有接收讀卡指令的按鍵裝置、觸摸屏等輸入裝置，當用戶輸入讀卡指令時，讀卡器接收到讀卡指令，讀卡器也可以具有對外通信接口，該通信接口與終端連接，接收終端發送的讀卡指令，終端可以為具有進行通訊發送指令的PC機、PAD (平板電腦)、智能手機、智能可穿戴設、電子簽名設備 (例如工行U盾、農行K寶等)等設備。此外，SAM模塊是現有讀卡器設置的一個模塊，SAM 模塊僅用于對讀卡器讀取的身份證信息進行身份驗證。
[0173]步驟602:后臺服務器接收到安全通道建立請求后，生成第一隨機因子；
[0174]在本實施例中，第一隨機因子為單次認證數據，可以包括隨機數和/或隨機事件， 在此不做限制。該第一隨機因子也可以為一個或一串隨機數，或者可以為一個或一串隨機字符，或者一串隨機數和隨機組合的任意組合。后臺服務器每次生成的第一隨機因子都是隨機生成的，與上一次生成的第一隨機因子是不同的，可以防止重放攻擊，提高了安全性。
[0175]步驟603:后臺服務器將第一認證數據發送至讀卡器，其中，第一認證數據至少包括:第一隨機因子和后臺服務器的數字證書；
[0176]步驟604:所述讀卡器接收所述第一認證數據后，將所述第一認證數據發送至電子簽名設備；
[0177]由于讀卡器中并不具備安全芯片，而電子簽名設備具有安全芯片，該安全芯片 (如國民技術股份有限公司的Z8D64U(國密批號SSX43)、Z32(國密批號SSX20))內部擁有獨立的處理器和存儲單元，可存儲PKI數字證書和密鑰，以及其他特征數據，對數據進行加解密運算，為用戶提供數據加密和身份安全認證服務，保護商業隱私和數據安全。因此，本實施例中需要進行加解密、簽名、驗簽、數字證書驗證的數據均需經過電子簽名設備，以保證讀卡器與后臺服務器之間的交互安全。在本發明的一個可選實施方式中，電子簽名設備可通過USB接口、音頻接口、藍牙接口、NFC接口等有線或無線接口與讀卡器連接，本實施例在此不作限制。
[0178]本實施例中，讀卡器將后臺服務器的數字證書發送至電子簽名設備，以使電子簽名設備對數字證書進行驗證，以確認后臺服務器的證書是否合法；將第一隨機因子發送至電子簽名設備，以使電子簽名設備對該第一隨機因子進行簽名，后臺服務器再通過該第一隨機因子對簽名進行驗簽，以使后臺服務器確認電子簽名設備的身份安全，并且能夠防止重放攻擊。
[0179]步驟605:電子簽名設備接收到第一認證數據后，對后臺服務器的數字證書的合法性進行驗證，如果驗證通過，則執行步驟606,否則，結束流程；
[0180]在具體實施時，電子簽名設備可以利用根證書對接收到的后臺服務器的數字證書進行驗證，以防止非法分子篡改后臺服務器的公鑰，實現對后臺服務器的安全認證，提高雙方交互的安全性。電子簽名設備從認證中心(Certificate Authority，簡稱CA)下載根證書，根證書是CA與用戶建立信任關系的基礎。如果驗證通過，則繼續后續流程，如果驗證不通過，則結束流程，此時，后臺服務器與讀卡器以及電子簽名設備的連接斷開，讀卡器不會再向后臺服務器發送數據，從而使得讀卡器不會受到非法后臺服務器的攻擊。
[0181]步驟606:在驗證通過后，電子簽名設備生成第二隨機因子；
[0182]在本實施例中，第二隨機因子為單次認證數據，可以包括隨機數和/或隨機事件。 該第二隨機因子也可以為一個或一串隨機數，或者可以為一個或一串隨機字符，或者一串隨機數和隨機組合的任意組合。
[0183]在通過后續步驟中的一系列驗證后，后臺服務器和電子簽名設備均可以利用該第二隨機因子采用相同的算法生成傳輸密鑰。
[0184]步驟607:電子簽名設備利用后臺服務器的數字證書中的后臺服務器的公鑰對第二隨機因子進行加密操作，生成第一加密數據E1 ;
[0185]在本實施例中，電子簽名設備和后臺服務器均基于第二隨機因子計算傳輸密鑰， 因此，對第二隨機因子加密可以保證第二隨機因子不被竊取，從而保證電子簽名設備在將第二隨機因子傳輸至后臺服務器的過程中的安全性，進而保證電子簽名設備與后臺服務器生成傳輸密鑰的安全性及可靠性。
[0186]步驟608:電子簽名設備對第一隨機因子和第一加密數據進行簽名，生成第一簽名數據；
[0187]在本實施例中，讀卡器將第一隨機因子和第一加密數據合并后進行簽名，可以使驗簽結果更加準確可靠。
[0188]步驟609:電子簽名設備將第二認證數據發送至讀卡器，其中，第二認證數據至少包括:第一加密數據、第一簽名數據和電子簽名設備的數字證書；
[0189]本實施例中，電子簽名設備通過讀卡器將其數字證書發送至后臺服務器，以使后臺服務器對數字證書進行驗證，以確認電子簽名設備的證書是否合法；將第一加密數據發送至后臺服務器，以使后臺服務器利用該第一加密數據對第一簽名數據進行驗簽，以確認電子簽名設備的身份安全。
[0190]步驟610:讀卡器接收第二認證數據后，將第二認證數據發送至后臺服務器；
[0191]步驟611:后臺服務器接收第二認證數據，對電子簽名設備的數字證書的合法性進行驗證；
[0192]在具體實施時，后臺服務器可以利用根證書對接收到的電子簽名設備的數字證書進行驗證，以防止非法分子篡改電子簽名設備的公鑰，實現對電子簽名設備的安全認證，提高雙方交互的安全性。后臺服務器從認證中心(Certificate Authority，簡稱CA)下載根證書，根證書是CA與用戶建立信任關系的基礎。如果驗證通過，則繼續后續流程，如果驗證不通過，則結束流程。此時，后臺服務器與讀卡器以及電子簽名設備的連接斷開，后臺服務器不會再向讀卡器發送數據，從而使得后臺服務器不會受到非法讀卡器以及非法電子簽名設備的攻擊。
[0193]步驟612:在驗證通過后，后臺服務器對第一簽名數據進行驗簽；若驗簽不通過， 則結束流程；若驗簽通過，則執行步驟613 ;
[0194]在本實施例中，后臺服務器對第一簽名數據進行驗簽，包括:后臺服務器利用第一加密數據以及電子簽名設備的數字證書中的電子簽名設備的公鑰對第一簽名數據進行驗簽，具體驗簽方式為現有技術，此處不再贅述。
[0195]在本實施例中，如果驗簽通過，表明第一簽名數據是由電子簽名設備進行簽名的， 更進一步實現對電子簽名設備的安全認證；如果驗簽不通過，則結束流程，此時，后臺服務器與讀卡器以及電子簽名設備的連接斷開，后臺服務器不會再向讀卡器發送數據，從而使得后臺服務器不會受到非法讀卡器以及非法電子簽名設備的攻擊。
[0196]步驟613:后臺服務器利用后臺服務器的私鑰對第一加密數據進行解密，獲得第二隨機因子；
[0197]步驟614:后臺服務器基于第二隨機因子計算得到第二傳輸密鑰；
[0198]在本實施例中，后臺服務器可以利用該第二隨機因子采用與電子簽名設備側相同的算法生成傳輸密鑰，以保證后臺服務器與讀卡器之間可以通過該傳輸密鑰進行信息交互，通過該傳輸密鑰對傳輸過程中的數據進行加解密，以保證傳輸數據的安全性。
[0199]步驟615:電子簽名設備基于第二隨機因子計算得到第一傳輸密鑰；
[0200]在本實施例中，電子簽名設備可以利用該第二隨機因子采用與后臺服務器側相同的算法生成傳輸密鑰，以保證后臺服務器與讀卡器之間可以通過該傳輸密鑰進行信息交互，通過該傳輸密鑰對傳輸過程中的數據進行加解密，以保證傳輸數據的安全性。該步驟 615與步驟609?步驟614不分先后順序。
[0201]作為本實施例中一種可選的實施方式，第一傳輸密鑰和第二傳輸密鑰可以為相同的傳輸密鑰，即對稱密鑰，電子簽名設備和后臺服務器分別利用該對稱密鑰對傳輸的數據加解密；也可以為一組包括加密密鑰和解密密鑰的密鑰對，電子簽名設備和后臺服務器可以分別利用其中的加密密鑰對傳輸數據加密，利用其中的解密密鑰對傳輸數據解密。
[0202]步驟616:電子簽名設備利用第一傳輸密鑰對讀卡器與后臺服務器之間傳輸的數據進行加解密，后臺服務器利用第二傳輸密鑰對讀卡器與后臺服務器之間傳輸的數據進行加解密。
[0203]通過本實施例提供的身份證信息安全傳輸的方法，可以利用電子簽名設備在讀卡器與后臺服務器之間建立安全通道，利用傳輸密鑰對在安全通道中傳輸的數據加密，提高了數據傳輸的安全性。
[0204]流程圖中或在此以其他方式描述的任何過程或方法描述可以被理解為，表示包括一個或更多個用于實現特定邏輯功能或過程的步驟的可執行指令的代碼的模塊、片段或部分，并且本發明的優選實施方式的范圍包括另外的實現，其中可以不按所示出或討論的順序，包括根據所涉及的功能按基本同時的方式或按相反的順序，來執行功能，這應被本發明的實施例所屬技術領域的技術人員所理解。
[0205]本技術領域的普通技術人員可以理解實現上述實施例方法攜帶的全部或部分步驟是可以通過程序來指令相關的硬件完成，所述的程序可以存儲于一種計算機可讀存儲介質中，該程序在執行時，包括方法實施例的步驟之一或其組合。
[0206]在本說明書的描述中，參考術語“一個實施例”、“一些實施例”、“示例”、“具體示例”、或“一些示例”等的描述意指結合該實施例或示例描述的具體特征、結構、材料或者特點包含于本發明的至少一個實施例或示例中。在本說明書中，對上述術語的示意性表述不一定指的是相同的實施例或示例。而且，描述的具體特征、結構、材料或者特點可以在任何的一個或多個實施例或示例中以合適的方式結合。
[0207]盡管上面已經示出和描述了本發明的實施例，可以理解的是，上述實施例是示例性的，不能理解為對本發明的限制，本領域的普通技術人員在不脫離本發明的原理和宗旨的情況下在本發明的范圍內可以對上述實施例進行變化、修改、替換和變型。本發明的范圍由所附權利要求及其等同限定。
【主權項】
1.一種身份證讀卡方法，其特征在于，所述方法包括:讀卡器接收到第一居民身份證返回的尋卡響應指令；所述讀卡器讀取所述第一居民身份證的配置信息；所述讀卡器通過對外接口查詢電子簽名設備中是否存儲有所述配置信息，在所述電子 簽名設備沒有存儲所述配置信息的情況下，通過所述對外接口將所述配置信息存儲到所述 電子簽名設備中；所述讀卡器接收到讀卡指令，發送安全通道建立請求至后臺服務器；所述后臺服務器通過所述讀卡器與所述電子簽名設備進行協商，所述電子簽名設備得 到第一傳輸密鑰，所述后臺服務器得到第二傳輸密鑰；所述讀卡器獲取所述居民身份證中存儲的加密身份證信息，將所述加密身份證信息發 送給所述電子簽名設備；所述電子簽名設備使用所述第一傳輸密鑰對所述配置信息和所述加密身份證信息進 行加密，得到傳輸密文，將所述傳輸密文發送給所述讀卡器；所述讀卡器將所述傳輸密文發送給后臺服務器；所述后臺服務器接收所述傳輸密文，并使用所述第二傳輸密鑰對所述傳輸密文進行解 密，得到所述配置信息和所述加密身份證信息。2.根據權利要求1所述的方法，其特征在于，所述后臺服務器通過所述讀卡器與所述 電子簽名設備進行協商，所述電子簽名設備得到第一傳輸密鑰，所述后臺服務器得到第二 傳輸密鑰，包括:所述讀卡器發送安全通道建立請求至后臺服務器；所述后臺服務器接收所述安全通道建立請求，生成第一隨機因子，并將所述第一隨機 因子發送至所述讀卡器；所述讀卡器接收所述第一隨機因子，將所述第一隨機因子發送至電子簽名設備； 所述電子簽名設備接收所述第一隨機因子，利用所述電子簽名設備的私鑰對第一待簽 名數據簽名，生成第一簽名數據，將第一發送數據發送至所述讀卡器，其中，所述第一待簽 名數據至少包括所述第一隨機因子，所述第一發送數據至少包括所述第一簽名數據和所述 電子簽名設備的數字證書；所述讀卡器接收所述第一發送數據，將所述第一發送數據發送至所述后臺服務器； 所述后臺服務器接收所述第一發送數據，驗證所述電子簽名設備的數字證書，在驗證 通過后，對所述第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；如果驗簽通過，則所述后臺服務器生成第二隨機因子，并基于所述第一隨機因子和第 二隨機因子生成第三隨機因子，利用所述電子簽名設備的公鑰加密所述第三隨機因子，得 到加密數據，利用所述后臺服務器的私鑰對所述加密數據進行簽名，得到第二簽名數據，利 用所述第三隨機因子計算得到第二傳輸密鑰，將所述第二傳輸數據發送至所述讀卡器，其 中，所述第二傳輸數據包括所述第二簽名數據、所述加密數據和所述后臺服務器的數字證 書；所述讀卡器接收所述第二傳輸數據，將所述第二傳輸數據發送至所述電子簽名設備； 所述電子簽名設備接收所述第二傳輸數據，驗證所述后臺服務器的數字證書，在驗證 通過后，對所述第二簽名數據進行驗簽操作，如果驗簽通過，則利用所述電子簽名設備的私鑰對所述加密數據進行解密操作，得到所述第三隨機因子，并利用所述第三隨機因子計算 得到第一傳輸密鑰。3.根據權利要求1所述的方法，其特征在于，所述后臺服務器通過所述讀卡器與所述 電子簽名設備進行協商，所述電子簽名設備得到第一傳輸密鑰，所述后臺服務器得到第二 傳輸密鑰，包括:所述讀卡器發送安全通道建立請求至后臺服務器；所述后臺服務器接收所述安全通道建立請求，生成第一隨機因子，并將第一認證數據 發送至所述讀卡器，其中，所述第一認證數據至少包括:所述第一隨機因子和所述后臺服務 器的數字證書；所述讀卡器接收所述第一認證數據后，將所述第一認證數據發送至電子簽名設備；所述電子簽名設備接收所述第一認證數據，驗證所述后臺服務器的數字證書，驗證通 過后，生成第二隨機因子，并利用所述后臺服務器的公鑰加密所述第二隨機因子，得到第一 加密數據，對所述第一隨機因子和所述第一加密數據進行簽名，得到第一簽名數據，將第二 認證數據發送至所述讀卡器，并基于所述第二隨機因子計算得到第一傳輸密鑰，其中，所述 第二認證數據包括所述第一簽名數據、所述第一加密數據和所述電子簽名設備的數字證 書；所述讀卡器接收所述第二認證數據后，將所述第二認證數據發送至所述后臺服務器；所述后臺服務器接收所述第二認證數據，驗證所述電子簽名設備的數字證書，在驗證 通過后，對所述第一簽名數據進行驗簽，如果驗簽通過，則利用所述后臺服務器的私鑰對所 述第一加密數據進行解密操作，得到所述第二隨機因子，如果驗簽不通過，則結束流程；所述后臺服務器基于所述第二隨機因子計算得到第二傳輸密鑰。4.根據權利要求1至3任一項所述的方法，其特征在于，所述讀卡器獲取所述居民身份 證中存儲的加密身份證信息包括:所述讀卡器查詢所述電子簽名設備中是否存儲有與所述配置信息對應的加密身份證 信息；在確定所述電子簽名設備中存儲有所述加密身份證信息的情況下，通過所述對外接口 讀取所述電子簽名設備中存儲的所述加密身份證信息；在確定所述電子簽名設備中沒有存儲所述加密身份證信息的情況下，所述讀卡器執行 身份證的讀卡流程，讀取所述第一居民身份證中的加密身份證信息，并將讀取的所述加密 身份證信息通過所述對外接口存儲到所述電子簽名設備中，并與所述配置信息關聯。5.根據權利要求1至3任一項所述的方法，其特征在于，在所述電子簽名設備沒有存儲所述配置信息的情況下，通過所述對外接口將所述配置 信息存儲到所述電子簽名設備中包括:所述讀卡器通過所述對外接口刪除所述電子簽名設 備中存儲的配置信息和加密身份證信息，將讀取的所述配置信息存儲到所述電子簽名設備 中；所述讀卡器獲取所述居民身份證中存儲的加密身份證信息包括:所述讀卡器查詢所述電子簽名設備中是否存儲有加密身份證信息；在確定所述電子簽名設備中存儲有所述加密身份證信息的情況下，通過所述對外接口 讀取所述電子簽名設備中存儲的所述加密身份證信息；在確定所述電子簽名設備中沒有存儲所述加密身份證信息的情況下，所述讀卡器執行 身份證的讀卡流程，讀取所述第一居民身份證中的加密身份證信息，并將讀取的所述加密 身份證信息通過所述對外接口存儲到所述電子簽名設備中。6.—種身份證讀卡系統，其特征在于，所述系統包括:讀卡器，用于接收到第一居民身份證返回的尋卡響應指令，讀取所述第一居民身份證 的配置信息，再通過對外接口查詢電子簽名設備中是否存儲有所述配置信息，在所述電子 簽名設備沒有存儲所述配置信息的情況下，通過所述對外接口將所述配置信息存儲到所述 電子簽名設備中；所述讀卡器，還用于接收到讀卡指令，發送安全通道建立請求至后臺服務器；所述后臺服務器，用于通過所述讀卡器與所述電子簽名設備進行協商，得到第二傳輸 密鑰；所述電子簽名設備，用于通過所述讀卡器與所述后臺服務器進行協商，得到第一傳輸 密鑰；所述讀卡器，還用于獲取所述居民身份證中存儲的加密身份證信息，將所述加密身份 證信息發送給所述電子簽名設備；所述電子簽名設備，還用于使用所述第一傳輸密鑰對所述配置信息和所述加密身份證 信息進行加密，得到傳輸密文，將所述傳輸密文發送給所述讀卡器；所述讀卡器，還用于將所述傳輸密文發送給后臺服務器；所述后臺服務器，還用于接收所述傳輸密文，并使用所述第二傳輸密鑰對所述傳輸密 文進行解密，得到所述配置信息和所述加密身份證信息。7.根據權利要求6所述的系統，其特征在于，所述后臺服務器和所述電子簽名設備通 過以下方式得到所述第二傳輸密鑰和第一傳輸密鑰:所述后臺服務器，用于接收所述安全通道建立請求，生成第一隨機因子，并將所述第一 隨機因子通過所述讀卡器發送至所述電子簽名設備；所述電子簽名設備，用于接收所述第一隨機因子，利用所述電子簽名設備的私鑰對第 一待簽名數據簽名，生成第一簽名數據，將第一發送數據通過所述讀卡器發送至所述后臺 服務器，其中，所述第一待簽名數據至少包括所述第一隨機因子，所述第一發送數據至少包 括所述第一簽名數據和所述電子簽名設備的數字證書；所述后臺服務器，還用于接收所述第一發送數據，驗證所述電子簽名設備的數字證書， 在驗證通過后，對所述第一簽名數據進行驗簽操作，如果驗簽不通過，則結束流程；如果驗 簽通過，則生成第二隨機因子，并基于所述第一隨機因子和第二隨機因子生成第三隨機因 子，利用所述電子簽名設備的公鑰加密所述第三隨機因子，得到加密數據，利用所述后臺服 務器的私鑰對所述加密數據進行簽名，得到第二簽名數據，利用所述第三隨機因子計算得 到第二傳輸密鑰，將所述第二傳輸數據通過所述讀卡器發送至所述電子簽名設備，其中，所 述第二傳輸數據包括所述第二簽名數據、所述加密數據和所述后臺服務器的數字證書；所述電子簽名設備，還用于接收所述第二傳輸數據，驗證所述后臺服務器的數字證書， 在驗證通過后，對所述第二簽名數據進行驗簽操作，如果驗簽通過，則利用所述電子簽名設 備的私鑰對所述加密數據進行解密操作，得到所述第三隨機因子，并利用所述第三隨機因 子計算得到第一傳輸密鑰。8.根據權利要求7所述的系統，其特征在于，所述后臺服務器和所述電子簽名設備通 過以下方式得到所述第二傳輸密鑰和第一傳輸密鑰:所述后臺服務器，用于接收所述安全通道建立請求，生成第一隨機因子，并將第一認證 數據通過所述讀卡器發送至所述電子簽名設備，其中，所述第一認證數據至少包括:所述第 一隨機因子和所述后臺服務器的數字證書；所述電子簽名設備，用于接收所述第一認證數據，驗證所述后臺服務器的數字證書，驗 證通過后，生成第二隨機因子，并利用所述后臺服務器的公鑰加密所述第二隨機因子，得到 第一加密數據，對所述第一隨機因子和所述第一加密數據進行簽名，得到第一簽名數據，將 第二認證數據所述讀卡器發送至所述后臺服務器，并基于所述第二隨機因子計算得到第一 傳輸密鑰，其中，所述第二認證數據包括所述第一簽名數據、所述第一加密數據和所述電子 簽名設備的數字證書；所述后臺服務器，還用于接收所述第二認證數據，驗證所述電子簽名設備的數字證書， 在驗證通過后，對所述第一簽名數據進行驗簽，如果驗簽通過，則利用所述后臺服務器的私 鑰對所述第一加密數據進行解密操作，得到所述第二隨機因子，基于所述第二隨機因子計 算得到第二傳輸密鑰，如果驗簽不通過，則結束流程。9.根據權利要求6至8任一項所述的系統，其特征在于，所述讀卡器通過以下方式獲取 所述居民身份證中存儲的加密身份證信息:查詢所述電子簽名設備中是否存儲有與所述配置信息對應的加密身份證信息；在確定所述電子簽名設備中存儲有所述加密身份證信息的情況下，通過所述對外接口 讀取所述電子簽名設備中存儲的所述加密身份證信息；在確定所述電子簽名設備中沒有存儲所述加密身份證信息的情況下，執行身份證的讀 卡流程，讀取所述第一居民身份證中的加密身份證信息，并將讀取的所述加密身份證信息 通過所述對外接口存儲到所述電子簽名設備中，并與所述配置信息關聯。10.根據權利要求6至8任一項所述的系統，其特征在于，在所述電子簽名設備沒有存儲所述配置信息的情況下，所述讀卡器通過以下方式將所 述配置信息存儲到所述電子簽名設備中包括:通過所述對外接口刪除所述電子簽名設備中 存儲的配置信息和加密身份證信息，將讀取的所述配置信息存儲到所述電子簽名設備中；所述讀卡器通過以下方式獲取所述居民身份證中存儲的加密身份證信息:查詢所述電子簽名設備中是否存儲有加密身份證信息；在確定所述電子簽名設備中存儲有所述加密身份證信息的情況下，通過所述對外接口 讀取所述電子簽名設備中存儲的所述加密身份證信息；在確定所述電子簽名設備中沒有存儲所述加密身份證信息的情況下，執行身份證的讀 卡流程，讀取所述第一居民身份證中的加密身份證信息，并將讀取的所述加密身份證信息 通過所述對外接口存儲到所述電子簽名設備中。
【文檔編號】H04L29/06GK106027249SQ201510765066
【公開日】2016年10月12日
【申請日】2015年11月10日
【發明人】李東聲
【申請人】天地融科技股份有限公司