[发明专利]身份认证方法、用户设备和服务器

说明书

本发明公开了一种身份认证方法，在用户设备侧，包括：将设备验证公钥和设备唯一标识符发送给设备认证服务器，供设备认证服务器保存；使用设备验证私钥对服务验证公钥进行签名，并将签名数据连同设备唯一标识符发送给设备认证服务器，以供设备认证服务器通过设备唯一标识符检索到设备验证公钥并对签名数据进行验签，在验签通过时将结果返回给身份认证服务器，供身份认证服务器保存；使用服务验证私钥对用户认证公钥进行签名，将签名数据发送给身份认证服务器，供身份认证服务器使用服务验证公钥进行验签，在验签通过时保存用户认证公钥。该方法解决了现有FIDO认证标准中，用户在注册时存在的安全风险问题。本发明还提供了相应的用户设备和服务器。

技术领域

本发明涉及认证技术，特别是一种身份认证方法、用户设备和服务器。

背景技术

FIDO线上快速身份认证标准(以下简称FIDO标准)是由FIDO联盟提出的一个开放的标准协议，旨在提供一个高安全性、跨平台兼容性、极佳用户体验与用户隐私保护的在线身份认证技术架构。FIDO标准通过集成生物识别与非对称加密两大技术来完成用户身份验证，试图终结多年来用户必须记忆并使用大量复杂密码的烦恼。

但是，FIDO的系统架构仍然存在着一些安全风险。在FIDO UAF架构中，用户认证密钥是由内嵌于客户端设备中的认证器产生的，用户私钥存储在认证器中，用户公钥使用认证器验证私钥进行签名后发送到服务器端，由服务器端使用认证器验证根证书进行验证后，将用户公钥存储在服务器端数据库中，以完成用户注册的流程。此流程中，FIDO服务器依赖原有用户认证手段(如口令、短信验证码等)对用户进行验证，同时依赖认证器验证机制来对设备进行验证。由于认证器的验证密钥并不是每设备唯一的，导致有可能存在安全风险，如攻击者伪冒用户进行注册。

发明内容

本发明的一个目的是为了解决现有FIDO认证标准中，用户在注册时存在的安全风险问题，提供一种身份认证方法，以及基于该方法的用户设备和服务器。

为解决上述技术问题，第一方面，本发明提供一种身份认证方法，在用户设备侧，所述方法包括：

将设备验证公钥和设备唯一标识符发送给设备认证服务器，以供设备认证服务器保存所述设备验证公钥和设备唯一标识符；

使用设备验证私钥对服务验证公钥进行签名，并将签名数据连同设备唯一标识符发送给设备认证服务器，以供设备认证服务器通过设备唯一标识符检索到设备验证公钥并对签名数据进行验签，并在验签通过时将结果返回给身份认证服务器，供所述身份认证服务器保存所述服务验证公钥；

使用服务验证私钥对用户认证公钥进行签名，并将签名数据发送给身份认证服务器，以供身份认证服务器使用服务验证公钥对签名数据进行验签，并在验签通过时保存用户认证公钥。

进一步地，在所述使用设备验证私钥对服务验证公钥进行签名之前，所述方法还包括：

在用户设备初次激活时生成服务验证公私钥对，并将服务验证私钥保存在用户设备中。

进一步地，在所述使用服务验证私钥对用户认证公钥进行签名之前，所述方法还包括：

在用户注册时生成用户认证公私钥对，并将用户认证私钥保存在用户设备中。

进一步地，所述公钥和/或私钥被保存在对应设备的安全存储区域中。

第二方面，本发明提供一种身份验证方法，在身份认证服务器侧，所述方法包括：

接收设备认证服务器返回的验签结果，在确认验签通过时，保存服务验证公钥；

使用服务验证公钥对经过服务验证私钥签名的用户认证公钥签名数据进行验签，如果验签通过，保存用户认证公钥；其中：

所述验签结果是通过以下方式得到的：