认证数据传输方法与系统与流程

1.本发明提出一种传输认证数据的方法，特别是一种运行于计算机系统中符合安全传输协议的认证数据传输方法与系统。


背景技术：

2.在计算机主机上设置安全登入的措施的目的是要提供一种安全登入计算机系统的解决方案，除了传统密码帐号登入的方式外，还有计算机主机在登入系统时要求以生物识别技术(biometrics)提供更安全的登入方法，可以避免非计算机使用者或恶意程序非法登入系统，通过生物识别技术可以确保使用者本人登入系统。
3.为了达到以上安全登入的目标，微软公司(microsoft
tm
corp.)提出一种安全装置连接协议(secure device connection protocol，sdcp)，使得计算机操作系统可以接受生物识别技术成为登入验证的安全通道，如此可以有效避免外部恶意程序侵入系统。
4.然而，根据微软公司提出的安全装置连接协议，需要芯片匹配(match on chip，moc)的设备才能支持该安全装置连接协议，使得上述的生物识别认证系统在设计上受到了许多限制。


技术实现要素：

5.为了让以主机匹配(match on host，moh)技术实现的生物识别装置可应用在安全协议下的认证环境，本发明提出一种认证数据传输方法与系统，通过新设计的安全通道(secure channel)让原本不支持主机匹配技术的安全协议仍可接受相关认证程序。
6.根据所述认证数据传输方法的实施例，该方法运行于计算机系统中，计算机系统连接生物识别装置，在该方法中，计算机系统通过特定连接方式连接生物识别装置，两者之间依据安全协议先建立安全通道。
7.当计算机系统执行需要通过生物识别认证的程序时，先发出认证请求至生物识别装置，之后由生物识别装置采集到使用者的生物特征数据，可以经加密后传送到计算机系统，计算机系统即从生物识别装置接收经加密形成的生物特征数据。之后，在安全执行环境中解密生物特征数据，再从生物特征数据中提取生物特征信息，用以比对数据库中的特征数据，产生比对结果。
8.接着，计算机系统传送该比对结果至生物识别装置，在生物识别装置中，即可以根据所述安全协议加密比对结果，再通过依照此安全协议建立的安全通道传送经加密的比对结果至计算机系统，而该传送过程即已符合原本仅支持芯片匹配(moc)技术的安全协议。
9.优选地，所述生物识别装置是以主机匹配技术实现，其中设有采集生物特征的传感器，以及经传感器采集到生物特征后，形成生物特征数据的处理电路。
10.优选地，计算机系统可通过驱动程序接口连接生物识别装置的处理电路，计算机系统可通过驱动程序接口从处理电路接收生物特征数据，也经驱动程序接口将比对结果传送至处理电路。
11.进一步地，所述安全执行环境为由计算机系统通过其处理器执行软件程序形成，可在该安全执行环境中执行解密、提取生物特征信息，以及比对生物特征信息，产生比对结果。
12.根据一个实施例，所述安全协议可为微软公司提出的安全装置连接协议(sdcp)，所述安全通道即为在该安全装置连接协议下建立的安全通道一。
13.进一步地，当计算机系统通过所述安全通道接收比对结果时，经确认比对结果后，即停止访问生物识别装置。
14.根据另一个实施例，本发明提出运行所述认证数据传输方法的系统，该系统主要包括计算机系统，其中设有处理器与存储器，其中建立包括一笔或多笔特征数据的数据库，系统包括连接该计算机系统的生物识别装置，以计算机系统中的处理器执行所述认证数据传输方法。
15.如此，当计算机系统通过以软件程序实现的生物识别引擎经安全装置连接协议接收所述比对结果时，实现原本支持芯片匹配技术所执行的生物认证程序。
16.为了能更进一步了解本发明的特征及技术内容，请参照以下有关本发明的详细说明与附图，然而所提供的附图仅用于提供参考与说明，并非用来对本发明加以限制。
附图说明
17.图1显示在计算机系统上应用生物识别技术的示意图；
18.图2显示符合特定安全协议的系统架构以及其中运行的认证数据传输流程示意图；
19.图3显示计算机系统执行认证数据传输方法的实施例流程图；以及
20.图4显示运行于生物传感器、生物特征处理装置与计算机系统的认证数据传输方法的实施例流程图。
具体实施方式
21.以下通过特定的具体实施例来说明本发明的实施方式，本领域技术人员可由本说明书所公开的内容了解本发明的优点与效果。本发明可通过其他不同的具体实施例加以实施或应用，本说明书中的各项细节也可基于不同观点与应用，在不悖离本发明的构思下进行各种修改与变更。另外，本发明的附图仅为简单示意说明，并非依实际尺寸的描绘，事先声明。以下的实施方式将进一步详细说明本发明的相关技术内容，但所公开的内容并非用以限制本发明的保护范围。
22.应当可以理解的是，虽然本文中可能会使用到“第一”、“第二”、“第三”等术语来描述各种元件或者信号，但这些元件或者信号不应受这些术语的限制。这些术语主要是用以区分一个元件与另一个元件，或者一个信号与另一个信号。另外，本文中所使用的术语“或”，应视实际情况可能包括相关联的列出项目中的任一个或者多个的组合。
23.本发明公开一种认证数据传输方法与系统，所述方法可以解决传统的主机匹配(moh)的生物识别技术无法应用在特定安全协议的问题。例如，微软公司(microsoft
tm
corp.)提出一种安全装置连接协议(sdcp)，该安全装置连接协议传统上仅适用芯片匹配(moc)的生物识别技术，但芯片匹配的处理芯片本身执行指纹识别与加密运算，
需要有很强的计算能力。而本发明所提出的认证数据传输方法提供一种成本较为低廉的解决方案，可以让主机匹配(moh)的生物识别技术应用在特定安全协议中，例如所述微软公司提出的安全装置连接协议(sdcp)。
24.图1显示本发明所提出的认证数据传输方法应用在计算机系统上生物识别技术的示意图。
25.图1中显示有计算机主机10，在计算机主机10中，其中硬件元件代表性地表示有处理器105与存储器103，并运行有操作系统101，较佳地，计算机系统中设有建立包括一笔或多笔特征数据的数据库。附图中显示有生物识别装置12，以特定连接手段(如usb或其他)连接计算机系统，装置如附图的计算机主机10，该生物识别装置12较佳地是以主机匹配(moh)技术实现的装置，其中概括地表示包括有采集使用者的生物特征的传感器121以及形成生物特征数据的处理电路123。
26.值得一提的是，所述处理电路123是一个执行加密运算的运算器，一般可称桥接器(bridge)，是生物识别装置中的加密电路，用以加密经安全通道一传送至计算机系统的比对结果和/或生物特征信息，以符合特定安全协议，也就是，通过这个架构才可以支持特定安全协议，如所述安全装置连接协议，能保障数据传输的安全，在本发明提出的系统中，还能使得主机匹配技术实现的装置可以应用在该安全协议下，通过特定的安全通道让原本需要在生物识别装置12中运算的功能转移到计算机系统中的处理器105进行运算，系统可应用在运算能力较低的芯片的解决方案，进而降低成本。
27.本发明所公开的系统可以应用各种生物识别技术，除指纹外，还可使用在采用脸部匹配、声纹匹配、虹膜匹配、指静脉识别、掌纹识别等对数据有高度安全要求的应用上，生物识别装置12即用于提取这些生物特征以及转换为计算机系统可接收的数据，特别是还能演算为符合特定安全协议的格式的数据。
28.图2接着显示符合特定安全协议的系统架构以及其中运行的认证数据传输流程示意图。
29.图2显示生物识别装置20中的主要元件，包括传感器201与处理电路203。值得一提的是，相对于芯片匹配(moc)技术实现的其他生物识别装置需要强大的处理能力以在装置内芯片中直接演算生物识别流程，包括匹配生物特征与验证，本发明提出的认证数据传输方法还适合用于硬件能力相对可以较差的以主机匹配(moh)技术实现的生物识别装置20。
30.在计算机系统23端，设有驱动程序接口205，包括生物认证运算引擎209与数据库211，与生物识别装置20的处理电路203建立安全通道一21及安全通道二22。其中，数据库211可以是在计算机系统23中的存储器或云端实现用于储存特征数据的数据库，其中数据由计算机系统加密管理。
31.在一个实施例中，安全通道一21可以是根据安全装置连接协议(sdcp)建立的安全通道，安全通道二22可以是根据通用安全传输协议(例如传输层安全协议(transport layer security，tls))所建立的安全通道，如此，生物识别装置20可通过不同的安全通道(安全通道一21与安全通道二22)与计算机系统23完成传送生物特征数据、取得生物特征信息、特征比对以及回传比对结果等说明书所提出的认证数据传输的流程。
32.在该实施例中，计算机系统可通过该驱动程序接口205连接生物识别装置20的处理电路203，使得计算机系统23可通过驱动程序接口205从处理电路203接收生物特征数据，
也能经此驱动程序接口205将计算机系统23产生的比对结果和/或生物特征信息传送至处理电路203。
33.根据说明书所提出认证数据传输系统的实施例，在安全通道二22上，计算机系统23中以软件手段实现生物认证运算引擎209，其中主要工作是在安全执行环境中执行提取生物特征(feature extraction)291、模板构建(template construction)292，以及执行模板匹配(template matching)293等的生物认证程序。其中所述安全执行环境，在计算机系统23中，可以是一个运行特定加密与解密算法的存储器区块，其中可运行通用安全传输协议(例如传输层安全协议(tls))，计算机系统23通过该通用安全传输协议运行安全执行环境，实现特定安全协议所支持的生物识别程序，例如微软公司所提出的安全装置连接协议(sdcp)所支持的生物识别程序。如此，认证数据传输系统通过安全通道二22可使得主机匹配技术实现的生物识别装置20也能支持特定安全协议，以增强这类生物识别装置20在特定操作环境下的安全性和相容性。若计算机系统23中运行微软操作系统(windows
tm
os)，所述特定安全协议即微软公司提出的安全装置连接协议(sdcp)。
34.举例来说，当生物识别装置20中的传感器201采集到使用者的指纹特征，经处理电路203处理后，形成生物特征数据，可经加密后传递到计算机系统23。之后在计算机系统23中，通过其处理器执行软件程序，由在安全执行环境中实现的生物认证运算引擎209中执行解密、提取生物特征、模板构建以及比对，生物特征与数据库211中的特征数据比对后，产生比对结果。
35.另一方面，在安全通道一21上，计算机系统23中仍以软件程序实现生物识别引擎207，在安全环境程序213中运行以处理原本芯片匹配技术实现的生物认证程序。当从生物识别装置20所接收的比对结果时，根据本发明提出的系统架构，系统仍可使得计算机系统23通过安全协议(如所述安全装置连接协议)从主机匹配技术所实现的生物识别装置20接收比对结果，以此实现原本支持芯片匹配技术所执行的生物认证程序。
36.根据其中的一个方案，所述生物识别引擎207例如可为微软公司提出的生物识别架构(windows biometric framework)，主要用途是提供应用程序界面(api)，使得计算机系统23可以安全地取得、存储与比对生物特征。再根据其中的一个方案，所述安全环境程序213例如微软公司提出的虚拟化安全机制(virtualization-based security，vbs)，这是以虚拟化为基础的安全性机制，提供硬件虚拟化功能，在计算机系统23中建立一个可以安全隔离其他档案的存储器区块。在所述认证数据传输方法中，计算机系统23中通过安全环境程序213建立一个安全执行环境，使得可以安全无虞地处理认证数据，如生物识别装置产生的生物特征数据，排除恶意侵入的威胁。
37.图3显示计算机系统执行认证数据传输方法的实施例流程图。流程从计算机系统开机开始，开机过程经上电后初始化连接计算机系统的特定通讯端口的生物识别装置(步骤s301)，生物识别装置可以是外接装置或是计算机系统中的电路模块，以特定连接手段连接到计算机系统，初始化过程包括初始化其中的传感器与其处理电路，使之处于待机采集生物特征的状态，或是等待系统唤起运作，计算机系统开机后运行操作系统。
38.计算机系统中操作程序，通过特定驱动程序与生物识别装置根据安全协议建立安全通道(步骤s303)，根据实施例，以微软操作系统为例，安全协议可以是安全装置连接协议，而安全通道可以是在该安全装置连接协议下建立的安全通道，如上述实施例提出的安
全通道一与安全通道二。
39.当计算机系统启动需要认证使用者身份的计算机程序时，例如：登入系统时需要认证使用者身份时、交易或进行支付时需要认证使用者时、存取特定服务或档案时，或是执行任一有需要确认使用者身份的步骤时，由计算机系统向生物识别装置产生认证请求(步骤s305)。
40.认证请求传送至生物识别装置，相关程序持续访问生物识别装置，由生物识别装置采集生物特征，如指纹、脸部、声纹、虹膜、指静脉等生物特征，经生物识别装置中的处理电路加密产生生物特征数据，即通过上述实施例中的安全通道二传送经过加密的生物特征数据至计算机系统，安全通道二可以是根据所述传输层安全协议(tls))所建立的安全通道。如此，生物特征数据经计算机系统接收后(步骤s307)，特别可在安全执行环境中执行解密演算与匹配演算(步骤s309)。
41.其中解密演算与匹配演算的步骤是计算机系统通过其处理器执行的软件程序，如图2显示的生物认证运算引擎执行的提取生物特征、模板构建以及模板匹配等步骤，这时，在安全执行环境中执行解密、从生物特征数据中提取生物特征信息，以及以生物特征信息比对数据库中的特征数据，产生比对结果。之后，计算机系统将比对结果传回至生物识别装置，也就是同样通过图2描述的安全通道二回传比对结果至生物识别装置(步骤s311)。生物识别装置于是接收比对结果，接着由生物识别装置根据所支持的安全协议对应的算法加密比对结果，再通过之前建立的另一安全通道，如图2显示的安全通道一，传送经加密的比对结果至计算机系统(步骤s313)。
42.在计算机系统中，从生物识别装置经安全通道(如安全通道一)接收到比对结果，经确认比对结果后，表示完成使用者认证，即可允许原本使用者所欲进行的程序，如登入系统、解锁、执行支付或交易、存取服务或是档案资料等，并停止访问生物识别装置(步骤s315)。在另一实施例中，在步骤s311，计算机系统可通过安全通道二将比对结果与生物特征信息传回至生物识别装置。生物识别装置接收比对结果与生物特征信息，接着进入步骤s313，由生物识别装置根据所支持的安全协议对应的算法加密比对结果与生物特征信息，通过另一安全通道，传送经加密的比对结果与生物特征信息至计算机系统，再进行步骤s315。
43.图4继续显示运行于生物传感器、生物特征处理装置与计算机系统的认证数据传输方法的实施例流程图。
44.图4显示为运行于生物识别装置中的传感器41与处理电路42，以及其与计算机系统43来往信息以传输认证数据的流程。当计算机系统开机，连接计算机系统的生物识别装置也上电，即初始化其中传感器41与处理电路42(步骤s401)，计算机系统43开机完成并进入操作系统时，与处理电路42建立符合特定安全协议的安全通道，如上述实施例指出的安全通道一与安全通道二(步骤s403)。
45.之后，当计算机系统中启动需要生物认证的程序时，计算机系统的操作系统将要求生物认证，向处理电路42产生认证请求(步骤s405)，处理电路42即控制传感器41采集生物特征(步骤s407)，如感测使用者的指纹，在处理电路42中形成生物特征数据(步骤s409)，再将生物特征数据加密后通过安全通道传送到计算机系统43，安全通道即如上述实施例中的安全通道二(如图2，22)(步骤s411)。
46.之后，在计算机系统43中的安全执行环境中进行运算与比对(步骤s413)，当中可包括特征提取、模板构建与比对数据库的特征数据，产生比对结果，接着将比对结果，可随同所取得的生物特征信息，经加密后，通过相同安全通道(如安全通道二)传送到处理电路42(步骤s415)，经生物识别装置中处理电路42取得比对结果，再次根据特定安全协议加密形成回传给计算机系统43的信息(步骤s417)，这时，再经安全通道(如图2中安全通道一21)传送加密的比对结果到计算机系统43(步骤s419)。
47.在计算机系统43中，经确认结果后，即停止访问生物识别装置(步骤s421)，在生物识别装置中，由处理电路42设定传感器41等相关电路进入低耗能的待机模式(步骤s423)。
48.如此，在上述运行于传感器41、处理电路42与计算机系统43的流程所实现的认证数据传输方法中，通过生物识别装置与计算机系统之间建立的不同的安全通道，使得以主机匹配(moh)技术实现的生物识别装置支持了传统上仅适用芯片匹配(moc)的生物识别技术的安全协议，例如安全装置连接协议(sdcp)。
49.综上所述，根据以上实施例所描述的认证数据传输方法与系统，实现可以主机匹配(moh)技术实现的生物认证技术运行在具有安全传输与加密算法的安全协议下，而可以在降低成本的优势下取代原本仅适用芯片匹配(moc)实现的生物识别装置，执行原本支持芯片匹配技术所执行的生物认证程序。再者，本发明所提出的系统架构使用计算机系统的处理器的算力进行生物识别中的运算，如指纹验证，除了取代原本应该在芯片匹配的生物识别装置中(桥接器)运行的工作，能符合特定安全协议，还利用操作系统中的安全机制提供安全执行环境，保障数据传输与处理的安全性。
50.以上所公开的内容仅为本发明的优选可行实施例，并非因此局限本发明的权利要求范围，所以凡是运用本发明说明书及附图内容所做的均等技术变化，均包含在本发明的权利要求范围内。
51.附图标记说明
52.生物识别装置 12
53.传感器 121
54.处理电路 123
55.计算机主机 10
56.操作系统 101
57.存储器 103
58.处理器 105
59.生物识别装置 20
60.传感器 201
61.处理电路 203
62.计算机系统 23
63.驱动程序接口 205
64.生物识别引擎 207
65.安全环境程序 213
66.主机端运算引擎 209
67.提取生物特征 291
68.模板构建 292
69.模板匹配 293
70.数据库 211
71.安全通道一 21
72.安全通道二 22
73.传感器 41
74.处理电路 42
75.计算机系统 43
76.步骤s301～s315计算机系统执行认证数据传输流程
77.步骤s401～s423认证数据传输流程