[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2024139616A1 - 签名认证方法和装置 - Google Patents

签名认证方法和装置 Download PDF

Info

Publication number
WO2024139616A1
WO2024139616A1 PCT/CN2023/127184 CN2023127184W WO2024139616A1 WO 2024139616 A1 WO2024139616 A1 WO 2024139616A1 CN 2023127184 W CN2023127184 W CN 2023127184W WO 2024139616 A1 WO2024139616 A1 WO 2024139616A1
Authority
WO
WIPO (PCT)
Prior art keywords
client
tee
key
authentication
signature
Prior art date
Application number
PCT/CN2023/127184
Other languages
English (en)
French (fr)
Inventor
张婉桥
黄琳
刘宇佳
Original Assignee
支付宝(杭州)信息技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 支付宝(杭州)信息技术有限公司 filed Critical 支付宝(杭州)信息技术有限公司
Priority to EP23909549.0A priority Critical patent/EP4525358A1/en
Publication of WO2024139616A1 publication Critical patent/WO2024139616A1/zh
Priority to US18/979,840 priority patent/US20250112784A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token

Definitions

  • One or more embodiments of the present specification relate to network communication technology, and more particularly, to a signature authentication method and apparatus.
  • biometric recognition has been used as an identity authentication method in many business scenarios. That is, the user's biometric characteristics, such as fingerprint information or face recognition information, are used to replace the password manually entered by the user, such as a password in the form of numbers or letters, to authenticate the user's identity.
  • IFAA Internet Finance Authentication Alliance
  • TEE trusted execution environment
  • the terminal device can sign based on this new signature authentication technology, and the server authenticates the signature. After the authentication is successful, the service is provided.
  • the method further includes: during the process of the client initiating registration with the server, the client generates a key; during the process of the client initiating registration with the server, the client saves the key and sends the key to the TEE to synchronize the key with the TEE.
  • the sending of the key to the TEE includes: when the client sends a registration response data field to the TEE, the client sends the key to the TEE.
  • the method further comprises: during the process of the client initiating registration with the server, receiving a key sent by the client to synchronize the key with the client.
  • a signature authentication device which is applied to a client.
  • the TEE of the terminal device where the client is located is pre-buried with a business private key required for signature authentication, and the TEE verifies the user's biometrics; wherein the device includes: an authentication request module, configured to send a signature authentication request to a server; a receiving module, configured to receive authentication data information sent by the server; an encryption module, configured to encrypt the authentication data information using a key pre-synchronized with the TEE; an input module, configured to input the encrypted authentication data information into the TEE; a signature data processing module, configured to receive the signature data sent by the TEE and send it to the server.
  • a computing device including a memory and a processor, wherein the memory stores executable code, and when the processor executes the executable code, the method described in any embodiment of the present specification is implemented.
  • the signature authentication method and device provided in each embodiment of this specification have at least the following beneficial effects.
  • the embodiments of this specification modify the existing signature authentication process.
  • the legitimate client does not directly pass the authentication data information into the TEE, but first uses the key synchronized with the TEE to encrypt the data to be signed.
  • the signature is not performed as long as the biometric verification is successful. Instead, the authentication data information passed in must be encrypted first, and then the authentication data information can be correctly decrypted. Only when this condition is met will the signature be performed after the biometric verification is successful. Therefore, the method of the embodiments of this specification ensures the legitimacy of the identity of the client that calls the signature verification interface SDK.
  • FIG. 4 is a flowchart of a signature authentication method performed by TEE in one embodiment of the present specification.
  • Wearable devices may include such as smart watches, smart glasses, smart bracelets, virtual reality devices, augmented reality devices, mixed reality devices (i.e., devices that can support virtual reality and augmented reality), etc.
  • Smart medical devices may include such as smart thermometers, smart blood pressure meters, smart blood glucose meters, etc.
  • the client can be various types of application programs (APPs), including but not limited to payment applications, multimedia playback applications, map applications, text editing applications, financial applications, browser applications, instant messaging applications, etc.
  • APPs application programs
  • a server refers to the server-side equipment of a provider that provides network services. It can be a single server or a server group consisting of multiple servers. It is responsible for providing network services for various applications, such as security authentication, network service level management, etc.
  • the processes related to signature authentication performed by the client and TEE are mainly modified to improve the security of signature authentication.
  • the processing of the client in the terminal device and the processing of the TEE in the terminal device are involved. The following will be explained through different embodiments.
  • FIG3 is a flow chart of a signature authentication method performed by a client in one embodiment of the present specification.
  • the execution subject of the method is a client in a terminal device, and the TEE of the terminal device where the client is located is pre-buried with a business private key required for signature authentication, and the TEE verifies the user's biometrics. It can be understood that the method can also be executed by any device, equipment, platform, or device cluster with computing and processing capabilities. Referring to FIG3, the method includes steps 301 to 309.
  • Step 301 The client sends a signature authentication request to the server.
  • IFAA Authenticator it may be an IFAA authentication module in TEE, denoted as IFAA Authenticator, to save the correspondence between the key and the key ID.
  • the device of this specification shown in FIG6 it further includes: a registration module (not shown in the figure);

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Collating Specific Patterns (AREA)

Abstract

本说明书实施例提供了一种签名认证方法及装置，其中，客户端所在的终端设备的可信执行环境(TEE)中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；该方法包括：客户端向服务器发送签名认证请求；客户端接收服务器发来的认证数据信息；客户端使用预先与可信执行环境TEE同步的密钥，对所述认证数据信息进行加密；客户端将加密后的认证数据信息传入TEE中；TEE如果能正确解密认证数据信息，且对用户输入的生物特征校验成功，才会进行签名，将签名数据发送给客户端；客户端接收TEE发来的签名数据，并发送给服务器。本说明书实施例能够提高签名认证的安全性，避免攻击者盗用签名。

Description

签名认证方法和装置 技术领域
本说明书一个或多个实施例涉及网络通信技术，尤其涉及签名认证方法和装置。
背景技术
随着互联网技术的发展，在很多业务场景中，已经使用生物特征识别来作为身份认证方式，也就是说，使用用户的生物特征比如指纹信息或者刷脸信息来代替用户手动输入的密码比如数字/字母形式的密码，来对用户的身份进行认证。
为了确保使用生物特征识别作为身份认证方式的便捷、安全和可信，目前出现了一种新的签名认证技术，称为互联网金融身份认证联盟(Internet Finance Authentication Alliance，IFAA)。参见图1，在该新的签名技术中，会在终端设备比如手机出厂前，在终端设备中的可信执行环境(TEE)中预埋业务私钥，由客户端及TEE配合完成签名。在各种业务场景中比如人脸认证中，终端设备能够基于该新的签名认证技术进行签名，服务器对签名进行认证，认证成功后，提供服务。
然而，目前的签名认证方法不够安全。
发明内容
本说明书一个或多个实施例描述了签名认证方法和装置，能够提高签名认证的安全性。
根据第一方面，提供了一种签名认证方法，应用于客户端，该客户端所在的终端设备的TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；其中，该方法包括：客户端向服务器发送签名认证请求；客户端接收服务器发来的认证数据信息；客户端使用预先与TEE同步的密钥，对所述认证数据信息进行加密；客户端将加密后的认证数据信息传入TEE中；客户端接收TEE发来的签名数据，并发送给服务器。
其中，该方法进一步包括：在客户端向服务器发起注册的过程中，客户端生成密钥；在客户端向服务器发起注册的过程中，客户端保存密钥，并将该密钥发送给TEE，以与TEE同步所述密钥。
其中，所述将该密钥发送给TEE，包括：客户端在向TEE发送注册响应数据字段时，将所述密钥发送给所述TEE。
其中，该方法进一步包括：客户端在生成所述密钥时，得到该密钥的密钥ID；并将该密钥的密钥ID同步给所述TEE；所述客户端将加密后的认证数据信息传入TEE中的步骤进一步包括：客户端将所述密钥的密钥ID传入TEE中。
根据第二方面，提供了签名认证方法，应用于终端设备的TEE，该TEE中预埋有签名认证所需的业务私钥；其中，该方法包括：TEE接收客户端传入的加密后的认证数据信息；TEE使用预先与客户端同步的密钥对认证数据信息进行解密；TEE接收用户输入的生物特征；TEE判断是否能正确解密认证数据信息，如果是，则在生物特征校验成功之后生成待签名数据；TEE使用所述预埋的业务私钥对待签名数据进行签名，以得到签名数据；TEE将签名数据发送给客户端。
其中，该方法进一步包括：在客户端向服务器发起注册的过程中，接收客户端发来的密钥，以与客户端同步所述密钥。
其中，预先与客户端同步密钥的方法包括：接收客户端发来的密钥及该密钥的ID，保存该密钥及该密钥ID的对应关系；所述判断是否能正确解密认证数据信息，包括：判断是否接收到客户端传入的密钥ID；如果未接收到，则无法正确解密认证数据信息，结束当前流程；如果接收到，则使用客户端传入的密钥ID检索与该密钥ID对应的密钥；并使用检索到的密钥解密认证数据信息。
根据第三方面，提供了签名认证装置，应用于客户端，该客户端所在的终端设备的TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；其中，该装置包括：认证请求模块，配置为向服务器发送签名认证请求；接收模块，配置为接收服务器发来的认证数据信息；加密模块，配置为使用预先与TEE同步的密钥，对所述认证数据信息进行加密；传入模块，配置为将加密后的认证数据信息传入TEE中；签名数据处理模块，配置为接收TEE发来的签名数据，并发送给服务器。
根据第四方面，提供了签名认证装置，应用于终端设备的TEE，该TEE中预埋有签名认证所需的业务私钥；其中，该装置包括：加密信息获取模块，配置为接收客户端传入的加密后的认证数据信息；解密模块，配置为使用预先与客户端同步的密钥对认证数据信息进行解密；生物特征接收模块，配置为接收用户输入的生物特征；校验模块，配置为判断是否能正确解密认证数据信息，以及对用户输入的生物特征进行校验；待签名 数据生成模块，配置为在确定能正确解密认证数据信息，且生物特征校验成功之后，根据认证数据信息生成待签名数据；签名数据获取模块，配置为使用所述预埋的业务私钥对待签名数据进行签名，以得到签名数据；将签名数据发送给客户端。
根据第五方面，提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现本说明书任一实施例所述的方法。
本说明书各个实施例提供的签名认证方法及装置至少具有如下有益效果。
1、本说明书实施例修改了现有的签名认证的过程。合法客户端在实现签名认证的过程中，不是直接将认证数据信息传入TEE中，而是首先利用与TEE同步的密钥对待签名的数据进行加密，而在TEE中，也不是只要生物特征校验成功，就进行签名，而是首先传入的认证数据信息必须是被加密的，其次能够正确解密认证数据信息，只有满足这个条件，才会在生物特征校验成功后进行签名。因此，本说明书实施例的方法保证了调用验签接口SDK的客户端身份的合法性，也就是说，只有合法的客户端(该合法的客户端是能够利用正确的密钥对认证数据信息进行加密的客户端)才能让TEE完成签名，攻击者因为无法获得密钥，无法对认证数据信息进行正确加密，因此，TEE不会对攻击者传入的数据进行签名，因此保证了签名不会被滥用。
2、由于TEE很难与丰富执行环境(REE)产生用户界面交互，因此很难判断当前发起签名认证请求的客户端是否为之前注册过的合法客户端的合法请求，采用本说明书实施例的方法，则可以有效地保证当初进行免密注册的客户端与后续免密验证即签名认证的发起是否为同一客户端。
3、本说明书实施例能够防止木马或其它恶意APP冒充合法的APP进行本地签名认证过程即免密验证过程。
附图说明
为了更清楚地说明本说明书实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本说明书的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是终端设备的一种结构示意图。
图2是本说明书一个实施例所应用的系统结构示意图。
图3是本说明书一个实施例中由客户端执行的签名认证方法的流程图。
图4是本说明书一个实施例中由TEE执行的签名认证方法的流程图。
图5是本说明书一个实施例中由客户端及TEE配合执行的IFAA注册及IFAA签名认证方法的流程图。
图6是本说明书一个实施例中应用于客户端的签名认证装置的结构示意图。
图7是本说明书一个实施例中应用于TEE的签名认证装置的结构示意图。
具体实施方式
参见图1，在一种签名认证过程中，客户端会将相关信息传入TEE中，只要TEE检测到正确的用户生物特征(比如指纹或者刷脸信息)，TEE中的认证模块(authenticator)就会利用预埋的业务私钥对待签名数据进行签名。攻击者可能会利用这一特点进行攻击。比如，攻击者可以从网上下载到的SDK(软件开发工具包，Software Development Kit)，并不间断地向终端设备的TEE中发送符合协议的相关信息。如果此时，由于终端设备比如手机锁屏或者关机，而用户需要通过输入指纹或者刷脸来打开终端设备的屏幕，但是用户并不知道有攻击者正不断向TEE中发包，用户不知道会有攻击者利用其输入的生物特征信息，那么，用户会输入指纹或者刷脸。这样，TEE收到了攻击者发来的签名相关信息，并且检测到正确的用户生物特征数据，TEE就会利用业务私钥进行签名，使得攻击者获取了合法用户的签名，并利用该签名进行攻击，比如仿冒合法用户进行业务登录或者完成支付等。
可见，相关技术中的签名认证过程安全性不高。
下面结合附图，对本说明书提供的方案进行描述。
首先需要说明的是，在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。
应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。
为了方便对本说明书提供的方法进行理解，首先对本说明书所涉及和适用的系统架构进行描述。如图2中所示，该系统架构中主要包括：终端设备和服务器。终端设备中包括TEE和各种客户端。
其中客户端安装并运行于终端设备中。终端设备可以包括但不限于诸如：智能移动终端、智能家居设备、网络设备、可穿戴式设备、智能医疗设备、PC(个人计算机)等。其中智能移动设备可以包括诸如手机、平板电脑、笔记本电脑、PDA(个人数字助理)、互联网汽车等。智能家居设备可以包括智能家电设备，诸如智能电视、智能空调、智能热水器、智能冰箱、智能空气净化器等等，智能家居设备还可以包括智能门锁、智能插座、智能电灯、智能摄像头等。网络设备可以包括诸如交换机、无线AP、服务器等。可穿戴式设备可以包括诸如智能手表、智能眼镜、智能手环、虚拟现实设备、增强现实设备、混合现实设备(即可以支持虚拟现实和增强现实的设备)等等。智能医疗设备可以包括诸如智能体温计、智能血压仪、智能血糖仪等等。
客户端可以是各种类型的应用程序(APP)，包括但不限于诸如支付类应用、多媒体播放类应用、地图类应用、文本编辑类应用、金融类应用、浏览器类应用、即时通信类应用等等。
服务器指的是提供网络服务的供应商的服务端设备，可以是单一服务器，也可以是多个服务器构成的服务器群组。负责为各类应用提供网络服务，例如安全认证、网络服务等级的管理等等。
应该理解，图2中的客户端、终端设备、服务器的数目仅仅是示意性的。根据实现需要，可以选择和布设任意数目。
在本说明书实施例中，主要是对客户端及TEE执行的与签名认证相关的流程进行修改，从而提高签名认证的安全性。也就是说，在本说明书实施例中，涉及到终端设备中的客户端的处理、终端设备中的TEE的处理。下面分别通过不同的实施例来进行说明。
图3是本说明书一个实施例中由客户端执行的签名认证方法的流程图。该方法的执行主体为终端设备中的客户端，该客户端所在的终端设备的TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验。可以理解，该方法也可以通过任何具有计算、处理能力的装置、设备、平台、设备集群来执行。参见图3，该方法包括步骤301至步骤309。
步骤301：客户端向服务器发送签名认证请求。
步骤303：客户端接收服务器发来的认证数据信息。
步骤305：客户端使用预先与TEE同步的密钥，对所述认证数据信息进行加密。
步骤307：客户端将加密后的认证数据信息传入TEE中。
步骤309：客户端接收TEE发来的签名数据，并发送给服务器。
图4是本说明书一个实施例中由TEE执行的签名认证方法的流程图。该方法的执行主体为终端设备中的TEE，该TEE中预埋有签名认证所需的业务私钥。可以理解，该方法也可以通过任何具有计算、处理能力的装置、设备、平台、设备集群来执行。参见图4，该方法包括步骤401至步骤415。
步骤401：TEE接收客户端传入的加密后的认证数据信息。
步骤403：TEE使用预先与客户端同步的密钥对认证数据信息进行解密。
步骤405：TEE接收用户输入的生物特征。
步骤407：TEE判断是否能正确解密认证数据信息，如果是，执行步骤411，否则执行步骤409。
步骤409：TEE拒绝进行签名，结束当前流程。
步骤411：如果对生物特征校验成功，TEE根据认证数据信息生成待签名数据。
步骤413：TEE使用预埋的业务私钥对待签名数据进行签名，以得到签名数据。
步骤415：TEE将签名数据发送给客户端。
根据上述图3、4所示的流程可以看出，本说明书实施例修改了现有的签名认证的过程。合法客户端在实现签名认证的过程中，不是直接将认证数据信息传入TEE中，而是首先利用与TEE同步的密钥对认证数据信息进行加密，然后再传入TEE中。而在TEE中，在接收到外部传入的签名相关信息后，不是只要生物特征校验成功就进行签名，而是首先传入的签名相关信息即认证数据信息必须是被加密的，其次能够正确解密认证数据信息，只有满足这两个条件，才会在生物特征校验成功后进行签名。因此，本说明书实施例的方法保证了调用验签接口SDK的客户端身份的合法性，也就是说，只有合法的客户端(该合法的客户端是能够利用正确的密钥对认证数据信息进行加密的客户端)才能让TEE完成签名，攻击者因为无法获得密钥，无法对认证数据信息进行正确加密，因此，TEE不会对攻击者传入的认证数据信息进行签名，因此保证了签名不会被滥用。
在上述图3、4所示的过程中，合法客户端需要预先与TEE同步密钥。在本说明书一个实施例中，可以利用合法客户端向服务器发起的注册过程(该注册过程可以是：合法用户开通通过指纹登录或者刷脸登录的方式，来登录应用程序提供的服务)来完成客 户端与TEE的密钥同步。合法客户端与攻击者的一个区别在于：攻击者的身份是非法的，攻击者无法完成向服务器发起的注册过程，而合法客户端比如一个应用程序的身份是合法的，因此，合法客户端能够完成向服务器发起的注册过程。因此，利用该注册过程，可以让合法客户端与TEE之间同步密钥，而攻击者无法通过注册过程与TEE之间同步密钥。
因此，在本说明书一个实施例中，在客户端向服务器发起注册的过程中，客户端生成密钥；在客户端向服务器发起注册的过程中，客户端保存密钥，并将该密钥发送给TEE，TEE在客户端向服务器发起注册的过程中接收客户端发来的密钥，从而实现客户端与TEE的密钥同步。比如，客户端在向TEE发送注册响应数据字段时，将密钥发送给TEE。
在本说明书实施例中，存在多种业务场景，也就是说，TEE可能需要对不同业务场景中的不同客户端的数据进行签名，因此，不同客户端/不同业务场景对应不同的密钥。为了能够进行区分，每一个合法客户端在生成密钥时，都会同时生成该密钥的ID，并在向TEE同步密钥时，同时将密钥的标识(ID)也传入TEE中，也就是说，客户端是将密钥及密钥ID同时同步给TEE，TEE接收客户端发来的密钥及该密钥的ID，保存该密钥及该密钥ID的对应关系。这样，在图4所示过程中，TEE判断是否能正确解密认证数据信息的一种实现过程包括：TEE判断是否接收到客户端传入的密钥ID；如果未接收到，则无法正确解密认证数据信息，结束当前流程；如果接收到，则TEE使用客户端传入的密钥ID检索与该密钥ID对应的密钥；TEE使用检索到的密钥解密认证数据信息。
以上述的IFAA协议为例，下面结合一个具体的例子来说明客户端与TEE如何配合实现IFAA签名认证方法。参见图5，该方法包括两部分流程，第一部分流程是预先执行的合法客户端向服务器发起的IFAA注册的过程，通过该IFAA注册过程让客户端与TEE同步密钥及密钥ID，第二部分流程则是IFAA签名认证过程。参见图5，该方法包括步骤501至步骤533。
步骤501：客户端1向服务器发起IFAA注册请求。
本步骤501可以是用户需要开通客户端1比如一个购物APP的免密支付功能，改为通过指纹支付或者刷脸支付时，发起的IFAA注册请求。
步骤503：客户端1生成后续用于IFAA签名认证的密钥key、该密钥的ID，并保存该密钥及其ID。
步骤505：用于向客户端1提供服务的服务器接收到IFAA注册请求之后，向客户端 1返回注册响应数据字段即RegisterRespData字段。
步骤507：客户端1向TEE发送RegisterRespData字段、密钥及密钥ID。
步骤509：TEE保存接收到的密钥及密钥ID的对应关系。
在本说明书一个实施例中，可以是TEE中的IFAA认证模块，记为IFAA Authenticator，来保存密钥及密钥ID的对应关系。
之后，执行与相关技术中相同的后续注册流程。
可见，通过在合法客户端向服务器发起的IFAA注册过程中的上述步骤503、步骤507以及步骤509，则实现了客户端1与TEE之间同步密钥及该密钥的ID。
步骤511：当用户通过客户端1执行一个业务程序功能时，比如购物，客户端1向服务器发送IFAA签名认证请求。
步骤513：服务器向客户端1返回认证请求响应数据字段即AuthReqRespData字段。
步骤515：客户端1使用步骤503中生成的密钥对AuthReqRespData字段进行加密。
步骤517：客户端1将加密后的AuthReqRespData字段以及该密钥的密钥ID发送给TEE。
步骤519：TEE根据接收到的密钥ID检索与该密钥ID对应的密钥。
步骤521：TEE使用检索到的密钥对加密后的AuthReqRespData字段进行解密。
步骤523：TEE判断是否能正确解密出AuthReqRespData字段，如果是，执行步骤527，否则执行步骤525。
步骤525：TEE拒绝进行IFAA签名，结束当前流程。
步骤527：TEE进行生物特征校验。
步骤529：如果生物特征校验成功，则TEE根据AuthReqRespData字段生成待签名数据。
步骤531：TEE使用IFAA的业务私钥对待签名数据进行签名，以得到IFAA签名数据，将IFAA签名数据发送给客户端1。
步骤533：客户端1接收TEE发来的IFAA签名数据，并发送给服务器。
此后，则可以按照相关技术的IFAA签名认证过程执行IFAA签名认证。
本说明书实施例中能够验证进行免密验证的APP与实际注册的APP是否为同一APP，从而防止同一手机上不同的APP之间作恶。
在本说明书的一个实施例中，提供了一种签名认证装置，应用于客户端，该客户端所在的终端设备的TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；其中，参见图6，该装置包括：认证请求模块601，配置为向服务器发 送签名认证请求；接收模块602，配置为接收服务器发来的认证数据信息；加密模块603，配置为使用预先与可信执行环境TEE同步的密钥，对所述认证数据信息进行加密；传入模块604，配置为将加密后的认证数据信息传入TEE中；签名数据处理模块605，配置为接收TEE发来的签名数据，并发送给服务器。
在图6所示的本说明书装置的一个实施例中，进一步包括：注册模块(图中未示出)；
注册模块，配置为在客户端向服务器发起注册的过程中，生成并保存密钥，并将该密钥发送给TEE，以与TEE同步密钥。
在图6所示的本说明书装置的一个实施例中，注册模块被配置为执行：在向TEE发送注册响应数据字段时，将密钥发送给所述TEE。
在图6所示的本说明书装置的一个实施例中，传入模块604进一步被配置为执行：将加密使用的密钥的标识ID传入TEE中。
在本说明书的一个实施例中，提供了一种签名认证装置，应用于终端设备的TEE，该TEE中预埋有签名认证所需的业务私钥；其中，参见图7，该装置包括：加密信息获取模块701，配置为接收客户端传入的加密后的认证数据信息；解密模块702，配置为使用预先与客户端同步的密钥对认证数据信息进行解密；生物特征接收模块703，配置为接收用户输入的生物特征；校验模块704，配置为判断是否能正确解密认证数据信息，以及对用户输入的生物特征进行校验；待签名数据生成模块705，配置为在确定能正确解密认证数据信息，且生物特征校验成功之后，根据认证数据信息生成待签名数据；签名数据获取模块706，配置为使用所述预埋的业务私钥对待签名数据进行签名，以得到签名数据；将签名数据发送给客户端。
在图7所示的本说明书装置的一个实施例中，进一步包括：密钥同步模块(图中未示出)；密钥同步模块，配置为在客户端向服务器发起注册的过程中，接收客户端发来的密钥，以与客户端同步密钥。
在图7所示的本说明书装置的一个实施例中，密钥同步模块被配置为：接收客户端发来的密钥及该密钥的ID，保存该密钥及该密钥ID的对应关系；校验模块704被配置为执行：判断是否接收到客户端传入的密钥ID；如果未接收到，则无法正确解密认证数据信息，结束当前流程；如果接收到，则使用客户端传入的密钥ID检索与该密钥ID对应的密钥；并使用检索到的密钥解密认证数据信息。
需要说明的是，上述各装置通常实现于服务器端，可以分别设置于独立的服务器，也可以其中部分或全部装置的组合设置于同一服务器。该服务器可以是单个的服务器，也可以是由多个服务器组成的服务器集群，服务器可以是云服务器，又称为云计算服务 器或云主机，是云计算服务体系中的一项主机产品。上述各装置还可以实现于具有较强计算能力的计算机终端。
本说明书一个实施例提供了一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行说明书中任一个实施例中的方法。
本说明书一个实施例提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现执行说明书中任一个实施例中的方法。
可以理解的是，本说明书实施例示意的结构并不构成对本说明书实施例的装置的具体限定。在说明书的另一些实施例中，上述装置可以包括比图示更多或者更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件、软件或者软件和硬件的组合来实现。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、挂件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。
以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本发明的保护范围之内。

Claims (10)

  1. 一种签名认证方法，应用于客户端，该客户端所在的终端设备的可信执行环境TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；其中，该方法包括：
    客户端向服务器发送签名认证请求；
    客户端接收服务器发来的认证数据信息；
    客户端使用预先与TEE同步的密钥，对所述认证数据信息进行加密；
    客户端将加密后的认证数据信息传入TEE中；
    客户端接收TEE发来的签名数据，并发送给服务器。
  2. 根据权利要求1所述的方法，其中，该方法进一步包括：
    在客户端向服务器发起注册的过程中，客户端生成密钥；
    在客户端向服务器发起注册的过程中，客户端保存密钥，并将该密钥发送给TEE，以与TEE同步所述密钥。
  3. 根据权利要求2所述的方法，其中，所述将该密钥发送给TEE，包括：
    客户端在向TEE发送注册响应数据字段时，将所述密钥发送给所述TEE。
  4. 根据权利要求2所述的方法，其中，该方法进一步包括：客户端在生成所述密钥时，得到该密钥的密钥ID；并将该密钥的密钥ID同步给所述TEE；
    所述客户端将加密后的认证数据信息传入TEE中的步骤进一步包括：客户端将所述密钥的密钥ID传入TEE中。
  5. 一种签名认证方法，应用于终端设备的可信执行环境TEE，该TEE中预埋有签名认证所需的业务私钥；其中，该方法包括：
    TEE接收客户端传入的加密后的认证数据信息；
    TEE使用预先与客户端同步的密钥对认证数据信息进行解密；
    TEE接收用户输入的生物特征；
    TEE判断是否能正确解密认证数据信息，如果是，则在生物特征校验成功之后生成待签名数据；
    TEE使用所述预埋的业务私钥对待签名数据进行签名，以得到签名数据；
    TEE将签名数据发送给客户端。
  6. 根据权利要求5所述的方法，其中，该方法进一步包括：在客户端向服务器发起注册的过程中，接收客户端发来的密钥，以与客户端同步所述密钥。
  7. 根据权利要求5所述的方法，其中，预先与客户端同步密钥的方法包括：接收 客户端发来的密钥及该密钥的ID，保存该密钥及该密钥ID的对应关系；
    所述判断是否能正确解密认证数据信息，包括：
    判断是否接收到客户端传入的密钥ID；
    如果未接收到，则无法正确解密认证数据信息，结束当前流程；
    如果接收到，则使用客户端传入的密钥ID检索与该密钥ID对应的密钥；并使用检索到的密钥解密认证数据信息。
  8. 一种签名认证装置，应用于客户端，该客户端所在的终端设备的可信执行环境TEE中预埋有签名认证所需的业务私钥，且由该TEE对用户的生物特征进行校验；其中，该装置包括：
    认证请求模块，配置为向服务器发送签名认证请求；
    接收模块，配置为接收服务器发来的认证数据信息；
    加密模块，配置为使用预先与TEE同步的密钥，对所述认证数据信息进行加密；
    传入模块，配置为将加密后的认证数据信息传入TEE中；
    签名数据处理模块，配置为接收TEE发来的签名数据，并发送给服务器。
  9. 一种签名认证装置，应用于终端设备的可信执行环境TEE，该TEE中预埋有签名认证所需的业务私钥；其中，该装置包括：
    加密信息获取模块，配置为接收客户端传入的加密后的认证数据信息；
    解密模块，配置为使用预先与客户端同步的密钥对认证数据信息进行解密；
    生物特征接收模块，配置为接收用户输入的生物特征；
    校验模块，配置为判断是否能正确解密认证数据信息，以及对用户输入的生物特征进行校验；
    待签名数据生成模块，配置为在确定能正确解密认证数据信息，且生物特征校验成功之后，根据认证数据信息生成待签名数据；
    签名数据获取模块，配置为使用所述预埋的业务私钥对待签名数据进行签名，以得到签名数据；将签名数据发送给客户端。
  10. 一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现权利要求1-7中任一项所述的方法。
PCT/CN2023/127184 2022-12-26 2023-10-27 签名认证方法和装置 WO2024139616A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP23909549.0A EP4525358A1 (en) 2022-12-26 2023-10-27 Signature authentication method and apparatus
US18/979,840 US20250112784A1 (en) 2022-12-26 2024-12-13 Signature authentication methods and apparatuses

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202211673944.6 2022-12-26
CN202211673944.6A CN115801287A (zh) 2022-12-26 2022-12-26 签名认证方法和装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/979,840 Continuation US20250112784A1 (en) 2022-12-26 2024-12-13 Signature authentication methods and apparatuses

Publications (1)

Publication Number Publication Date
WO2024139616A1 true WO2024139616A1 (zh) 2024-07-04

Family

ID=85426713

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2023/127184 WO2024139616A1 (zh) 2022-12-26 2023-10-27 签名认证方法和装置

Country Status (4)

Country Link
US (1) US20250112784A1 (zh)
EP (1) EP4525358A1 (zh)
CN (1) CN115801287A (zh)
WO (1) WO2024139616A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115801287A (zh) * 2022-12-26 2023-03-14 支付宝(杭州)信息技术有限公司 签名认证方法和装置
CN117793705A (zh) * 2024-02-26 2024-03-29 中电科网络安全科技股份有限公司 一种高精度地图数据传输方法、装置、设备及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105704123A (zh) * 2016-01-08 2016-06-22 腾讯科技（深圳）有限公司 一种进行业务处理的方法、装置和系统
US20200028693A1 (en) * 2018-07-17 2020-01-23 Huawei Technologies Co., Ltd. Verifiable Encryption Based on Trusted Execution Environment
US20200067922A1 (en) * 2018-08-21 2020-02-27 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
CN111669408A (zh) * 2017-03-30 2020-09-15 阿里巴巴集团控股有限公司 一种身份注册及认证的方法及装置
CN114676392A (zh) * 2022-03-18 2022-06-28 北京百度网讯科技有限公司 应用的可信授权方法、装置及电子设备
CN115801287A (zh) * 2022-12-26 2023-03-14 支付宝(杭州)信息技术有限公司 签名认证方法和装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105429760B (zh) * 2015-12-01 2018-12-14 神州融安科技（北京）有限公司 一种基于tee的数字证书的身份验证方法及系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105704123A (zh) * 2016-01-08 2016-06-22 腾讯科技（深圳）有限公司 一种进行业务处理的方法、装置和系统
CN111669408A (zh) * 2017-03-30 2020-09-15 阿里巴巴集团控股有限公司 一种身份注册及认证的方法及装置
US20200028693A1 (en) * 2018-07-17 2020-01-23 Huawei Technologies Co., Ltd. Verifiable Encryption Based on Trusted Execution Environment
US20200067922A1 (en) * 2018-08-21 2020-02-27 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
CN114676392A (zh) * 2022-03-18 2022-06-28 北京百度网讯科技有限公司 应用的可信授权方法、装置及电子设备
CN115801287A (zh) * 2022-12-26 2023-03-14 支付宝(杭州)信息技术有限公司 签名认证方法和装置

Also Published As

Publication number Publication date
CN115801287A (zh) 2023-03-14
EP4525358A1 (en) 2025-03-19
US20250112784A1 (en) 2025-04-03

Similar Documents

Publication Publication Date Title
WO2022206349A1 (zh) 一种信息验证的方法、相关装置、设备以及存储介质
US10666642B2 (en) System and method for service assisted mobile pairing of password-less computer login
US12041039B2 (en) System and method for endorsing a new authenticator
US8112787B2 (en) System and method for securing a credential via user and server verification
US9838205B2 (en) Network authentication method for secure electronic transactions
US9231925B1 (en) Network authentication method for secure electronic transactions
JP6803326B2 (ja) 非対称暗号方式を使用してワンタイムパスワードを実装するためのシステム及び方法
US10176310B2 (en) System and method for privacy-enhanced data synchronization
US8606234B2 (en) Methods and apparatus for provisioning devices with secrets
EP3454504B1 (en) Service provider certificate management
WO2016177052A1 (zh) 一种用户认证方法和装置
US8397281B2 (en) Service assisted secret provisioning
WO2024139616A1 (zh) 签名认证方法和装置
JP6378424B1 (ja) 無欠性及び保安性が強化された使用者認証方法
TW202207667A (zh) 通訊系統中改善安全性之認證及驗證方法
WO2024234936A1 (zh) 第三方小程序的服务提供方法和装置
US11943349B2 (en) Authentication through secure sharing of digital secrets previously established between devices
KR101576038B1 (ko) 사용자 신원 인증을 안전하게 보장하기 위한 네트워크 인증 방법
CN119232487A (zh) 设备注册方法、设备及介质、注册服务器、认证服务器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23909549

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023909549

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2023909549

Country of ref document: EP

Effective date: 20241210

WWE Wipo information: entry into national phase

Ref document number: 11202408641X

Country of ref document: SG