本發(fā)明涉及生物識別技術(shù)領(lǐng)域，具體涉及一種數(shù)字證書的生成方法及驗證方法。

背景技術(shù)：

生物識別技術(shù)就是，通過計算機與光學(xué)、聲學(xué)、生物傳感器和生物統(tǒng)計學(xué)原理等高科技手段密切結(jié)合，利用人體固有的生理特征(如指紋、臉象、虹膜等)和行為特征(如筆跡、聲音、步態(tài)等)，來進行個人身份鑒定的技術(shù)。生物識別通常是通過比較用戶的現(xiàn)場生物特征(包括生理特征和行為特征)和該用戶預(yù)先保存的生物特征模板，以驗證其真實身份。

所謂的生物特征模板，記錄了人的某些生物特征，例如：指紋、虹膜、指靜脈等生物特征對應(yīng)的完整信息。以指紋為例，指紋模版包括多個特征點信息以及特征點的坐標(biāo)，特征點信息可以為特征點角度，也可以為特征點的脊線寬度等諸多信息，指紋模板還包括配準(zhǔn)信息。

目前，生物識別方法的建立都基于具有完整特征點信息的生物特征模板，即，生物特征模板記錄了特征點的完整信息。

現(xiàn)有生物識別方法存在如下缺陷：由于生物特征模板里記錄了特征點的完整信息，一旦生物特征模板泄露，可能會被惡意之人利用，從而根據(jù)生物特征模板還原出生物特征圖像。這樣對用戶的安全和隱私都構(gòu)成了威脅。

技術(shù)實現(xiàn)要素：

鑒于上述問題，本發(fā)明提出了克服上述問題的一種數(shù)字證書的生成方法及驗證方法。

第一方面，本發(fā)明提出一種數(shù)字證書的生成方法，包括：

基于預(yù)設(shè)的密鑰對生成規(guī)則，生成用于目標(biāo)數(shù)字證書的密鑰對，該密鑰對包括公鑰和私鑰；

基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，對所述私鑰進行分解，以確定所述生物特征模糊映射多項式的各系數(shù)；

基于確定系數(shù)后的所述生物特征模糊映射多項式，將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，得到所述目標(biāo)用戶的模糊生物特征模板；

基于所述公鑰、所述模糊生物特征模板以及所述目標(biāo)用戶的身份信息，生成待簽數(shù)字證書；

通過第三方對所述待簽發(fā)數(shù)字證書進行用戶身份認證，得到所述目標(biāo)數(shù)字證書。

可選的，所述基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，對所述私鑰進行分解，以確定所述生物特征模糊映射多項式的各系數(shù)，包括：

基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)n，將所述私鑰分解為n個二進制數(shù)C₁至C_n；

確定所述生物特征模糊映射多項式如下：

$P\left(X_i\right)=C_0+\underset{j=1}{\overset{n}{\Σ}}{C}_j{X_i}^j$

其中，X_i為預(yù)設(shè)的生物特征模板中第i個特征點信息，所述生物特征模板由預(yù)設(shè)的配準(zhǔn)信息及多個特征點信息構(gòu)成，P(X_i)為X_i經(jīng)過所述生物特征模糊映射多項式進行模糊映射后得到的結(jié)果，C₀為校驗碼。

可選的，所述將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，得到所述目標(biāo)用戶的模糊生物特征模板，包括：

將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，基于模糊映射后的結(jié)果與所述配準(zhǔn)信息，得到所述目標(biāo)用戶的模糊生物特征模板。

可選的，所述基于所述公鑰、所述模糊生物特征模板以及所述目標(biāo)用戶的身份信息，生成待簽數(shù)字證書，包括：

基于預(yù)設(shè)的數(shù)字證書申請格式，在數(shù)字證書申請信息的非擴展項中寫入所述公鑰以及所述目標(biāo)用戶的身份信息；以及在所述數(shù)字證書申請信息的擴展項中寫入所述模糊生物特征模板，生成所述待簽數(shù)字證書。

可選的，所述第三方為具有證書簽發(fā)功能的機構(gòu)。

第二方面，本發(fā)明還提供一種數(shù)字證書的驗證方法，包括：

驗證方在接收到目標(biāo)終端發(fā)送的目標(biāo)用戶的數(shù)字證書后，從所述數(shù)字證書中提取公鑰；

驗證方基于所述公鑰以及預(yù)設(shè)的隨機挑戰(zhàn)信息生成規(guī)則，生成隨機挑戰(zhàn)信息；

驗證方將所述隨機挑戰(zhàn)信息發(fā)送到所述目標(biāo)終端，以使所述目標(biāo)終端基于所述隨機挑戰(zhàn)信息，生成隨機數(shù)，并將該隨機數(shù)發(fā)送到所述驗證方；

驗證方比對所述目標(biāo)終端發(fā)送的隨機數(shù)與所述驗證方生成的隨機數(shù)，若相同，則所述目標(biāo)用戶的數(shù)字證書驗證成功。

可選的，所述驗證方基于所述公鑰以及預(yù)設(shè)的隨機挑戰(zhàn)信息生成規(guī)則，生成隨機挑戰(zhàn)信息，包括：

驗證方基于預(yù)設(shè)的隨機數(shù)生成規(guī)則，生成一個隨機數(shù)；

驗證方基于預(yù)設(shè)的加密規(guī)則，采用所述公鑰對所述隨機數(shù)進行加密，得到隨機挑戰(zhàn)信息。

可選的，所述目標(biāo)終端基于所述隨機挑戰(zhàn)信息，生成隨機數(shù)，包括：

所述目標(biāo)終端接收所述目標(biāo)用戶輸入的各特征點信息；

所述目標(biāo)終端基于所述各特征點信息以及預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，確定所述生物特征模糊映射多項式的各系數(shù)；

所述目標(biāo)終端將所述生物特征模糊映射多項式中的常數(shù)項作為校驗碼，校驗所述各系數(shù)中除常數(shù)項外的系數(shù)，若校驗通過，則將所述各系數(shù)中除常數(shù)項外的系數(shù)組合為私鑰；

所述目標(biāo)終端基于所述私鑰以及所述隨機挑戰(zhàn)信息，通過預(yù)設(shè)的解密規(guī)則，生成隨機數(shù)。

可選的，所述驗證方在接收到目標(biāo)終端發(fā)送的目標(biāo)用戶的數(shù)字證書后，還包括：

驗證所述數(shù)字證書中攜帶的第三方簽名，以確定所述數(shù)字證書是否有效；

相應(yīng)地，所述從所述數(shù)字證書中提取公鑰，包括：

驗證方在確定所述數(shù)字證書有效后，從所述數(shù)字證書中提取公鑰。

可選的，所述驗證方為基于目標(biāo)用戶的數(shù)字證書來驗證用戶身份及向所述目標(biāo)用戶提供預(yù)設(shè)服務(wù)的一方。

相比于現(xiàn)有技術(shù)，本發(fā)明提出的數(shù)字證書的生成方法及驗證方法，通過將生物特征模板進行模糊映射，可以解決生物特征模版的安全存儲和傳輸?shù)膯栴}，在用戶掌握私鑰的情況下，可以保證認證的有效性、安全性、完整性及不可否認性，防止“重放”等攻擊。能很好解決“結(jié)果攻擊”問題，尤其是利用用戶個人設(shè)備：手機、PC進行比對認證時，攻擊者只要截獲認證成功的信息進行“重放”就有可能繞過認證的問題。

附圖說明

圖1為本發(fā)明第一實施例提供的一種數(shù)字證書的生成方法流程圖；

圖2為本發(fā)明第二實施例提供的一種數(shù)字證書的驗證方法流程圖。

具體實施方式

為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例。

如圖1所示，本實施例公開一種數(shù)字證書的生成方法，可包括以下步驟101～105：

101、基于預(yù)設(shè)的密鑰對生成規(guī)則，生成用于目標(biāo)數(shù)字證書的密鑰對，該密鑰對包括公鑰和私鑰；預(yù)設(shè)的密鑰對生成規(guī)則可采用現(xiàn)有的數(shù)字證書密鑰對的生成方式，本實施例不再贅述。

102、基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，對所述私鑰進行分解，以確定所述生物特征模糊映射多項式的各系數(shù)。

103、基于確定系數(shù)后的所述生物特征模糊映射多項式，將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，得到所述目標(biāo)用戶的模糊生物特征模板。由于目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息被模糊映射，因此，從模糊生物特征模板中無法還原特征點信息，可以解決生物特征模版的安全存儲和傳輸?shù)膯栴}。

104、基于所述公鑰、所述模糊生物特征模板以及所述目標(biāo)用戶的身份信息，生成待簽數(shù)字證書。

105、通過第三方對所述待簽發(fā)數(shù)字證書進行用戶身份認證，得到所述目標(biāo)數(shù)字證書。第三方為具有證書簽發(fā)功能的機構(gòu)，例如認證權(quán)威(Certification Authority，CA)機構(gòu)。由CA機構(gòu)認證用戶身份，對待簽證書進行簽名形成正式數(shù)字證書，即基于生物特征信息模糊映射的數(shù)字證書。

本實施例公開的數(shù)字證書的生成方法，通過將生物特征模板進行模糊映射，可以解決生物特征模版的安全存儲和傳輸?shù)膯栴}，在用戶掌握私鑰的情況下，可以保證認證的有效性、安全性、完整性及不可否認性，防止“重放”等攻擊。能很好解決“結(jié)果攻擊”問題，尤其是利用用戶個人設(shè)備：手機、PC進行比對認證時，攻擊者只要截獲認證成功的信息進行“重放”就有可能繞過認證的問題。

在一個具體的例子中，步驟102所述基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，對所述私鑰進行分解，以確定所述生物特征模糊映射多項式的各系數(shù)，具體包括如下圖1中未示出的步驟1021和1022：

1021、基于預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)n，將所述私鑰分解為n個二進制數(shù)C₁至C_n；

1022、確定所述生物特征模糊映射多項式如下：

$P\left(X_i\right)=C_0+\underset{j=1}{\overset{n}{\Σ}}{C}_j{X_i}^j$

其中，X_i為預(yù)設(shè)的生物特征模板中第i個特征點信息，所述生物特征模板由預(yù)設(shè)的配準(zhǔn)信息及多個特征點信息構(gòu)成，P(X_i)為X_i經(jīng)過所述生物特征模糊映射多項式進行模糊映射后得到的結(jié)果，C₀為校驗碼。

在一個具體的例子中，步驟103所述將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，得到所述目標(biāo)用戶的模糊生物特征模板，具體為：

將目標(biāo)用戶的預(yù)設(shè)生物特征模板中包含的各特征點信息進行模糊映射，基于模糊映射后的結(jié)果與所述配準(zhǔn)信息，得到所述目標(biāo)用戶的模糊生物特征模板。

在一個具體的例子中，步驟104所述基于所述公鑰、所述模糊生物特征模板以及所述目標(biāo)用戶的身份信息，生成待簽數(shù)字證書，具體為：

基于預(yù)設(shè)的數(shù)字證書申請格式，在數(shù)字證書申請信息的非擴展項中寫入所述公鑰以及所述目標(biāo)用戶的身份信息；以及在所述數(shù)字證書申請信息的擴展項中寫入所述模糊生物特征模板，生成所述待簽數(shù)字證書。

本實施例中，預(yù)設(shè)的數(shù)字證書申請格式可采用現(xiàn)有的數(shù)字證書申請格式，例如P10規(guī)范。

以指紋識別為例，并采用“輕量級”的密鑰對進行具體說明，數(shù)字證書的生成過程如下1～5：

1、用戶在客戶端產(chǎn)生密鑰對：公鑰K1，私鑰K2，其中K2比如為128位二進制數(shù)字；

2、用戶在客戶端輸入指紋，得到指紋特征點集：{Xi，Yi，Zi}，其中Xi，Yi為第i個特征點的坐標(biāo)，Zi為第i個特征點的角度的特征值，即Zi為第i個特征點的特征點信息，i∈N(特征點個數(shù))；

3、將128位的K2分解成C₁～C₈共8個16位數(shù)字，C₀為K2的循環(huán)校驗碼，令P(Zi)＝C₀+C₁×Zi+C₂×Zi²+……+C₈×Zi⁸，用這個映射值替換生物特征值，此例為角度，得到集合：{Xi，Yi，P(Zi)}，則模糊生物特征模板Tmp＝{Xi，Yi，P(Zi)}，i∈N(特征點個數(shù))；

4、P10＝[K1，證書信息，Tmp]，由公鑰、證書信息、模糊生物特征模板Tmp共同組成待簽證書P10，其中證書信息包括但不限于：用戶身份信息，證書編號，簽發(fā)方信息等；

5、Cert＝[P10，Sign(P10)]，由權(quán)威證書簽發(fā)方，如CA，經(jīng)過用戶身份認證，對P10進行簽名，發(fā)放數(shù)字證書Cert。其中身份認證過程可采用現(xiàn)有身份認證過程，本實施例不再詳述。

如圖2所示，基于上述數(shù)字證書的生成方法實施例，本實施例公開一種數(shù)字證書的驗證方法，可包括以下步驟201～204：

201、驗證方在接收到目標(biāo)終端發(fā)送的目標(biāo)用戶的數(shù)字證書后，從所述數(shù)字證書中提取公鑰；

202、驗證方基于所述公鑰以及預(yù)設(shè)的隨機挑戰(zhàn)信息生成規(guī)則，生成隨機挑戰(zhàn)信息；

203、驗證方將所述隨機挑戰(zhàn)信息發(fā)送到所述目標(biāo)終端，以使所述目標(biāo)終端基于所述隨機挑戰(zhàn)信息，生成隨機數(shù)，并將該隨機數(shù)發(fā)送到所述驗證方；

204、驗證方比對所述目標(biāo)終端發(fā)送的隨機數(shù)與所述驗證方生成的隨機數(shù)，若相同，則所述目標(biāo)用戶的數(shù)字證書驗證成功。

本實施例中，所述驗證方為基于目標(biāo)用戶的數(shù)字證書來驗證用戶身份及向所述目標(biāo)用戶提供預(yù)設(shè)服務(wù)的一方。

本實施例公開的數(shù)字證書的驗證方法，可以解決生物特征模版的安全存儲和傳輸?shù)膯栴}，在用戶掌握私鑰的情況下，可以保證認證的有效性、安全性、完整性及不可否認性，防止“重放”等攻擊。能很好解決“結(jié)果攻擊”問題，尤其是利用用戶個人設(shè)備：手機、PC進行比對認證時，攻擊者只要截獲認證成功的信息進行“重放”就有可能繞過認證的問題。

在一個具體的例子中，步驟202所述驗證方基于所述公鑰以及預(yù)設(shè)的隨機挑戰(zhàn)信息生成規(guī)則，生成隨機挑戰(zhàn)信息，具體包括圖2中未示出的步驟2021和2022：

2021、驗證方基于預(yù)設(shè)的隨機數(shù)生成規(guī)則，生成一個隨機數(shù)；

2022、驗證方基于預(yù)設(shè)的加密規(guī)則，采用所述公鑰對所述隨機數(shù)進行加密，得到隨機挑戰(zhàn)信息。

在一個具體的例子中，步驟203中所述目標(biāo)終端基于所述隨機挑戰(zhàn)信息，生成隨機數(shù)，具體包括圖2中未示出的步驟2031～2034：

2031、所述目標(biāo)終端接收所述目標(biāo)用戶輸入的各特征點信息；

2032、所述目標(biāo)終端基于所述各特征點信息以及預(yù)設(shè)的生物特征模糊映射多項式的階數(shù)，確定所述生物特征模糊映射多項式的各系數(shù)；

2033、所述目標(biāo)終端將所述生物特征模糊映射多項式中的常數(shù)項作為校驗碼，校驗所述各系數(shù)中除常數(shù)項外的系數(shù)，若校驗通過，則將所述各系數(shù)中除常數(shù)項外的系數(shù)組合為私鑰；

2034、所述目標(biāo)終端基于所述私鑰以及所述隨機挑戰(zhàn)信息，通過預(yù)設(shè)的解密規(guī)則，生成隨機數(shù)。

在一個具體的例子中，步驟201中所述驗證方在接收到目標(biāo)終端發(fā)送的目標(biāo)用戶的數(shù)字證書后，還包括：驗證所述數(shù)字證書中攜帶的第三方簽名，以確定所述數(shù)字證書是否有效；相應(yīng)地，步驟201中所述從所述數(shù)字證書中提取公鑰，包括：驗證方在確定所述數(shù)字證書有效后，從所述數(shù)字證書中提取公鑰。

以指紋識別為例，并采用“輕量級”的密鑰對進行具體說明，數(shù)字證書的驗證過程如下1～4：

1、驗證方接收數(shù)字證書Cert，首先驗證簽發(fā)方簽名，確定證書的有效性；

2、驗證方從Cert中提取公鑰K1，產(chǎn)生一個隨機數(shù)Rdm，用K1對Rdm做加密運算，即得到隨機挑戰(zhàn)數(shù)Challenge＝F(Rdm，K1)，將Challenge發(fā)給用戶終端；F為預(yù)設(shè)的加密函數(shù)，可采用現(xiàn)有加密函數(shù)。

3、用戶終端接到Challenge，接收用戶輸入的現(xiàn)場指紋，提取特征點，通過配準(zhǔn)信息找到9個與Tmp相匹配的匹配點：{Xi，Yi，Zi’},i＝1～9。將Zi’代入多項式中P(Zi’)＝C₀’+C₁’×Zi’+C₂’×(Zi’)²+……+C₈’×(Zi’)⁸，得到一個九元一次方程組，解方程即可求得C₀’～C₈’的值，通過判斷所求得的C₁’～C₈’是否能通過C₀’校驗，如果是，由C₁’～C₈’組成K2，代入預(yù)設(shè)解密函數(shù)G(Challenge；K2)＝Rdm’，將Rdm’發(fā)給驗證方；

4、驗證方比較Rdm，Rdm’，如相等，則數(shù)字證書驗證成功。

通過本發(fā)明實施例提供的數(shù)字證書的生成方法和驗證方法，把用戶的生物特征及數(shù)字證書的私鑰映射到一個不可逆的模板中，后者可以在開放的環(huán)境下存儲和傳輸，而用戶的生物特征及數(shù)字證書的私鑰僅在證書生成或驗證時，在用戶端計算時瞬間出現(xiàn)。本發(fā)明的益處是：在保護用戶的生物特征及數(shù)字證書的私鑰的前提下，完成基于生物特征信息模糊映射的數(shù)字證書的生成和驗證，同時實現(xiàn)直接的生物識別和非對稱算法驗證，前者實現(xiàn)開放環(huán)境的“人證合一”認證，后者實現(xiàn)可信識別且避免“重放”攻擊。

本領(lǐng)域的技術(shù)人員能夠理解，盡管在此所述的一些實施例包括其它實施例中所包括的某些特征而不是其它特征，但是不同實施例的特征的組合意味著處于本發(fā)明的范圍之內(nèi)并且形成不同的實施例。

本領(lǐng)域技術(shù)人員可以理解，實施例中的各方法步驟可以以硬件實現(xiàn)，或者以在一個或者多個處理器上運行的軟件模塊實現(xiàn)，或者以它們的組合實現(xiàn)。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)理解，可以在實踐中使用微處理器或者數(shù)字信號處理器(DSP)來實現(xiàn)根據(jù)本發(fā)明實施例的一些或者全部部件的一些或者全部功能。本發(fā)明還可以實現(xiàn)為用于執(zhí)行這里所描述的方法的一部分或者全部的設(shè)備或者裝置程序(例如，計算機程序和計算機程序產(chǎn)品)。

雖然結(jié)合附圖描述了本發(fā)明的實施方式，但是本領(lǐng)域技術(shù)人員可以在不脫離本發(fā)明的精神和范圍的情況下做出各種修改和變型，這樣的修改和變型均落入由所附權(quán)利要求所限定的范圍之內(nèi)。