一种身份核验方法、装置及设备与流程

1.本技术涉及互联网技术领域，尤其涉及一种身份核验方法、装置及设备。


背景技术：

2.随着信息技术的发展，互联网技术也迅速发展，一种新的金融模式应运而生，例如网络保险、网络支付、网络购物等等。该新的金融模式为通过网络平台进行金融交易，为了满足这种金融模式的需求，各种程序应运而生，用户通过这些程序能够更好地实现通过网络平台进行金融交易。
3.而在通过程序进行金融交易时，对于用户信息的身份核验，是一个关键的环节。而在针对外籍用户需要使用程序时，对于外籍用户的身份核验的可靠性是亟需解决的环节。


技术实现要素：

4.本说明书实施例提供一种身份核验方法、装置及设备，以解决现有的身份核验方法存在的核验效率低的问题。
5.为解决上述技术问题，本说明书实施例是这样实现的：
6.本说明书实施例提供的一种身份核验方法，包括：
7.获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
8.基于所述护照信息确定签发所述实体护照的国别信息；
9.基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
10.将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
11.当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
12.将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
13.当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
14.本说明书实施例提供的一种身份核验装置，包括：
15.护照信息读取模块，用于获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
16.国别信息确定模块，用于基于所述护照信息确定签发所述实体护照的国别信息；
17.护照信息解密模块，用于基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
18.第一匹配模块，用于将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
19.人脸图像信息采集模块，用于当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
20.第二匹配模块，用于将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
21.目标操作权限授予模块，用于当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
22.本说明书实施例提供的一种身份核验设备，包括：
23.至少一个处理器；以及，
24.与所述至少一个处理器通信连接的存储器；其中，
25.所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
26.获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
27.基于所述护照信息确定签发所述实体护照的国别信息；
28.基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
29.将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
30.当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
31.将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
32.当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
33.本说明书实施例提供的一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现一种身份核验方法。
34.本说明书一个实施例实现了能够达到以下有益效果：通过获取用户的用户终端对实体护照进行读取得到的包含加密的身份信息的护照信息，基于所述护照信息确定签发所述实体护照的国别信息，然后基于国别信息对所述护照信息进行解密，得到解密后的护照信息，将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。通过护照信息对用户进行身份核验，提高身份核验效率以及身份核验成功率。在对用户身份核验成功后才允许用户执行对于目标程序的目标操作，从而保证使用目标应用程序功能的用户的身份真实性。
附图说明
35.为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本技术中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
36.图1为本说明书实施例提供的一种身份核验方法的流程示意图；
37.图2为本说明书实施例提供的一种电子护照信息加密、解密流程示意图；
38.图3为说明书实施例提供的外籍用户的身份验证流程示意图；
39.图4为本说明书实施例提供的一种身份核验装置的结构示意图；
40.图5为本说明书实施例提供的一种身份核验设备的结构示意图。
具体实施方式
41.为使本说明书一个或多个实施例的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书一个或多个实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本说明书一个或多个实施例保护的范围。
42.以下结合附图，详细说明本说明书各实施例提供的技术方案。
43.目前，在网络应用程序的金融交易服务申请中，需要对申请人的身份进行核验，进行实名认证，而对申请人的身份信息进行核查的方式通常是通过申请人提供的身份信息，例如，姓名、家庭地址、电话或者身份证信息，来确定该申请人是否身份核查通过。
44.然而，仅通过申请人提供的身份信息确定该申请人是否属于信用黑名单的用户或者是否属于外籍用户，以确定申请人是否核查通过时，由于该金融模式例如，网络保险等是通过互联网进行交易的，申请人提供的身份信息可能是假的身份信息，例如申请人提供的身份信息可能是他人的身份信息，从而导致身份核查的准确度较低。
45.并且，针对外籍用户来说，外籍用户如果只是在中国短期停留时，在中国消费方式多为刷卡或现金消费。但随着移动支付在中国越来越普及，刷卡和现金支付方式在一定程度上限制了入境外籍游客的消费体验场景。目前已有的跨境支付模式，外籍用户想要使用金融交易类的应用程序时，由于很多金融交易类的应用程序仅支持绑定中国银行方式进行认证身份，因此，外籍用户身份验证的方式通常是通过绑定外籍用户的中国银行卡来完成，以实现外籍用户在中国支付的功能。但是，这样的方式，外籍用户首先需要凭借实体护照到银行进行开户，办理银行卡，然后再将银行卡与应用程序进行绑定，完成身份核验，身份验证的流程较为复杂；导致外籍用户认证通过率很低。
46.为了解决现有技术中的缺陷，本方案给出了以下实施例，将针对说明书实施例提供的一种身份核验方法结合附图进行具体说明：
47.图1为本说明书实施例提供的一种身份核验方法的流程示意图。从程序角度而言，流程的执行主体可以为搭载于应用服务器的程序或应用客户端。本说明书实施例中，执行主体可以是目标程序对应的服务器。本方案中在对外籍用户进行身份验证时，通过外籍用户的电子护照来验证外籍用户的身份。外籍用户身份验证通过后，允许其使用目标程序的
相关功能。
48.如图1所示，该流程可以包括以下步骤：
49.步骤110：获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息。
50.用户终端可以是移动通信终端，如：计算机设备，用户终端可以包括智能手机、笔记本、平板电脑、pos机甚至包括车载电脑等。在本说明书实施例中，用户终端可以是具有近距离无线通讯技术(near field communication，简称nfc)功能的移动终端，具有近场通信功能。通过在单一芯片上集成感应式读卡器、感应式卡片和点对点通信的功能，可以在彼此靠近的情况下进行数据交换，利用移动终端实现移动支付、电子票务、门禁、移动身份识别、防伪等应用。
51.nfc技术允许电子设备之间进行非接触式点对点数据传输，以智能手机为例，在手机中内置nfc芯片，组成rfid模块的一部分，可以当作rfid无源标签使用，例如：用来支付费用；也可以当作rfid读写器进行使用，例如：用作数据交换与采集。nfc设备可以用作非接触式智能卡、智能卡的读写器终端以及设备对设备的数据传输链路。
52.实体护照中可以包括：国家码、姓名、照片、出生日期、护照上的号码、护照类型、出生地、签发机构、签发日期、有效期、签名以及护照声明等信息，持照人照片及资料由激光打印机打印，自动生成国际标准机读码，并使用专用防伪膜转印塑封。
53.本说明书实施例中的实体护照可以是增加了智能芯片的电子护照。电子护照(biometric passport)是一种内置了含有持照人生物特征信息的微小射频识别非接触式芯片的护照，可以利用人脸识别或签名等生物特征识别功能来证明旅行证件持有人的身份。在电子护照中还可以嵌入电子芯片，并在该电子芯片中存储持照人个人基本资料、面像、指纹等生物特征，该电子芯片可以是用于防伪，该芯片中可以存储有实体护照中的所有信息。
54.护照信息中可以包含加密后的身份信息。身份信息可以包括用户的姓名、照片、出生日期、头像以及户籍等信息。
55.内置nfc芯片的用户终端贴近实体护照的芯片，用户终端即可读取实体护照的芯片中存储的护照信息。该护照信息中可以包括：国别信息、用户的身份信息、签发机构信息以及护照信息中的身份子信息对应的摘要值等等。
56.读取到的护照信息可以是待核验的电子护照的护照信息。
57.步骤120：基于所述护照信息确定签发所述实体护照的国别信息。
58.在具体实现过程中，可以基于护照信息中的国别标识信息，确定签发所述实体护照的国别信息，国别标识信息可以是国家码，国家码可以是用于表示国别的代码。
59.具有护照签发机构的国家，护照由本地区的电子护照签发机构进行签发，例如：省/直辖市电子护照签发机构(document signer，简称ds)，负责为电子护照芯片数据制作签名并签发护照。各个签发机构具有本国国家护照签发中心(country signing，简称csca)颁布的签发证书。电子护照的制作标准由国际民航资质进行制定。国际民航组织(international civil aviation organization，简称icao)，是联合国的一个专门机构，为促进全世界民用航空安全、有序的发展而成立。其职责/权利之一是制定电子护照的标准。
60.步骤130：基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息。
61.本步骤中解密的过程可以是利用相应的公钥解私钥的过程。
62.步骤140：将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果。
63.护照信息解密成功之后，需要比对待核验的电子护照中的护照内容与预存护照内容是否一致。一致则确定待验证的电子护照为真实护照，反之，为伪造护照。
64.在具体比对时，为了防止数据的泄露，不需要实际比对电子护照中的具体内容数据，只需要比对对应的摘要值即可。
65.步骤150：当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息。
66.在待核验的电子护照中的护照内容与预存护照内容一致，确定待核验的电子护照为真实护照之后，仍然不能确定外籍用户的身份，例如：某用户拿着其他用户的护照进行身份验证，此时，护照为真实的护照，但是不能因此确定该用户的身份信息，需要进一步确定待核验身份的外籍用户的生物特征信息是否与电子护照中的生物特征相同，相同则确定该真实的电子护照为该外籍用户所有，身份验证成功。
67.需要说明的是，该步骤的中的匹配程度可以包含以下两种情况：
68.情况一、匹配程度可以表示验证通过的验证过程的数量占总验证过程数量的比例：
69.本说明书实施例中，在进行身份验证时，可以包含四个验证过程：
70.1)采用csca的公钥证书中的公钥验证ds的私钥。
71.2)采用ds的公钥证书中的公钥验证加密后的sod护照信息。
72.3)验证身份子信息dg1。
73.4)验证身份子信息dg2。
74.其中，将解密后的护照信息中的身份子信息划分成dg1与dg2，dg1中可以是姓名、身份证号、地址信息等对应的摘要值；dg2中可以是出生日期、年龄等对应的摘要值。
75.上述四个验证过程，在验证电子护照的真实性时，并不需要每个验证过程都验证通过，可以设置其中三个验证过程通过，就确定被验证的电子护照为真实护照。此时，匹配程度可以表示的是待验证的电子护照通过验证的验证过程对应的数量。当然，上述验证过程的划分数量以及具体设置的真实护照对应的需验证通过的验证过程数量可以根据实际情况进行设置，本说明书实施例对此不作具体限定。
76.情况二、匹配程度可以表示身份子信息验证通过的数量占总数量的比例：
77.对加密的护照信息进行解密成功后，对于解密后的护照信息中的全部身份子信息，不需要全部的身份子信息的摘要值都与sod中预先存储的摘要值相同，可以计算匹配程度，预先设定匹配程度的预设阈值。只要满足预设阈值即可。即只要身份子信息中的绝大部分信息的摘要值与sod中预存的摘要值相同即可。当然，该匹配程度对应的身份子信息的验证通过比例也可以根据实际应用场景进行设定。
78.步骤160：将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果。
79.在本说明书实施例中，可以通过采集人脸图像信息来验证用户的身份信息是否与
护照中的身份信息匹配，在其他实施方式中，还可以采集用户的其他生物特征信息，通过比对其他生物特征信息来验证用户的身份。
80.步骤170：当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
81.当采集到的人脸图像信息与护照信息中的人脸信息相同时，可以确定通过验证的护照属于该用户，该用户身份验证成功，允许该用户执行对于目标程序的目标操作。
82.需要说明的是，目标程序可以表示用于金融交易的应用程序，例如：支付应用程序、借贷应用程序、消费信贷应用程序、购物应用程序等等。
83.目标操作可以是对于所述目标程序的目标功能的使用权限的获取操作。例如：对于支付应用中的支付功能的使用权限的获取操作、对于支付应用中的信贷功能的使用权限的获取操作等。目标操作可以包括：对于所述目标程序的注册、对于所述目标程序中的应用进行使用以及针对所述目标程序的身份认证等操作。
84.应当理解，本说明书一个或多个实施例所述的方法其中部分步骤的顺序可以根据实际需要相互交换，或者其中的部分步骤也可以省略或删除。
85.图1中的方法，通过获取用户的用户终端对实体护照进行读取得到的包含加密的身份信息的护照信息，基于所述护照信息确定签发所述实体护照的国别信息，然后基于国别信息对所述护照信息进行解密，得到解密后的护照信息，将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。通过护照信息对用户进行身份核验，提高身份核验效率以及身份核验成功率。在对用户身份核验成功后才允许用户执行对于目标程序的目标操作，从而保证使用目标应用程序功能的用户的身份真实性。
86.基于图1的方法，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。
87.可选的，所述基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息，具体可以包括：
88.获取加密后的所述签发机构的第一公钥；
89.基于所述国别信息，获取所述国别信息对应的第二公钥；
90.采用所述第二公钥对所述加密后的所述签发机构的第一公钥进行解密，得到解密后的第一公钥；
91.采用所述第一公钥信息对所述加密后的身份信息进行解密，得到解密后的身份信息；所述加密后的身份信息是采用所述签发机构的私钥信息进行加密得到的。
92.需要说明的是，护照信息在进行加密以及解密时，具体流程可以结合图2进行说明：
93.图2为本说明书实施例提供的一种电子护照信息加密、解密流程示意图。
94.如图2所示，加密时涉及到的主体对象包括国际民航组织210、国家护照签发中心
220、电子护照签发机构230。
95.在对护照信息进行加密时，采用电子护照签发机构的私钥进行加密，只有电子护照签发机构的公钥证书中的公钥才能解开加密的护照信息，电子护照签发机构的公钥证书是用国家护照签发中心的私钥进行加密的，因此只有国家护照签发中心的公钥证书的公钥才能解开电子护照签发机构的公钥证书。具体的加密流程如下：
96.国际民航组织是护照制作标准的制定者，国际民航组织可以为每一个具有护照签发功能的国家颁发一套密钥证书，该密钥证书中可以包含密钥对，具体可以包括公钥和私钥，具体理解时，可以理解该密钥证书中包含公钥证书以及私钥证书。但是能够获取到的或者存储的仅是公钥证书，私钥证书不能被其他方进行获取。
97.国际民航组织负责生成国家护照签发中心的公钥和私钥，其中，国家护照签发中心的私钥用于签署电子护照签发机构的公钥证书。
98.国家护照签发中心负责生成电子护照签发机构的公钥和私钥，电子护照签发机构的私钥用于签署护照安全数据对象sod。
99.加密后的护照信息中可以包含电子护照签发机构的公钥证书，加密后的签名值以及护照信息中各个身份信息的摘要值。
100.需要说明的是，安全数据对象(document security object，简称sod)，主要包括逻辑数据结构中的数据组(data groups，简称dgs)的哈希值逻辑数据结构安全对象和安全数据的签名值sod
sign
，图2中的dgx-hash就可以表示逻辑数据结构中的数据组的哈希值逻辑数据结构安全对象。sod中可以包含例如：护照信息中的具体身份信息，姓名的摘要值为dg1，身份证号的摘要值为dg2，
……
，地址信息的摘要值为dgn。
101.解密流程如下：
102.从读取到的护照信息中可以获取国别信息，基于国别信息从国际民航组织获取该国别信息对应的国家护照签发中心的公钥证书。
103.采用国家护照签发中心的公钥证书中的公钥对电子护照签发机构的公钥证书进行解密。
104.采用解密后的电子护照签发机构的公钥证书中的公钥对护照信息进行解密，得到解密后的护照信息。
105.通过上述加密以及解密流程，可以保证各个电子护照签发机构生成的电子护照具有较强的防伪功能，提高电子护照的安全性。
106.更为具体地，各个国家护照签发中心的密钥证书都可以存储在国际民航组织制定的数据库中，例如：国家护照签发中心的密钥证书可以存储在国际民航组织的pki根目录中。
107.除此之外，国家护照签发中心的密钥证书也可以存储在具体应用平台的服务器中，例如：可以存储在支付应用平台的服务器中。在实际应用中，为了保证电子护照的安全性，各个国家护照签发中心的密钥证书可以定时进行更新，例如：每两年更换一次密钥证书，但是由于在更换密钥证书之前，是采用未更新前的密钥证书对电子护照的护照信息进行的加密，即使更新了密钥证书，也不能删除原来的密钥证书，因此，每个国家护照签发中心可以对应有多个密钥证书。在存储时，可以按照国家信息进行分类存储，一个国家对应的密钥证书存储在一个数据表中。需要注意的是，在存储时，仅对各个国家对应的公钥进行存
储。
108.通过上述方法，在后续查询国家对应的密钥证书时，按照国家信息进行查询，可以提高查询效率。
109.可选的，所述基于所述国别信息，获取所述国别信息对应的第一公钥信息之前，还可以包括：
110.基于所述国别信息，判断所述国别信息是否具有对应的密钥证书；
111.当所述国别信息对应有密钥证书时，获取所述国别信息对应的第一公钥信息。
112.对于护照的签发，并不是所有国家都具有护照签发功能，部分国家不具有护照签发功能，因此，在获取护照信息的国别信息之后，获取国别信息对应的第一公钥信息之前，可以先判断国别信息对应的国家是否具有护照签发功能，如果不具有，可以直接确定待验证的电子护照为伪造护照。具体地，在判断国家是否具有护照签发功能时，可以判断该国家是否具有对应的密钥证书。
113.通过上述方法，在获取国别信息对应的公钥信息之前，可以先判定待验证的电子护照对应的签发国家是否具有护照签发功能，当国别信息对应的国家不具有护照签发功能时，可以直接判定待验证的护照为伪造护照，节省了后续的验证步骤，提高验证效率。
114.可选的，所述将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果，具体可以包括：
115.确定所述解密后的护照信息中的多个身份子信息；
116.分别计算所述多个身份子信息中的各个身份子信息对应的摘要值；
117.将各个身份子信息对应的摘要值与所述实体护照的芯片中预存的摘要值进行匹配，得到匹配结果。
118.可选的，所述将各个身份子信息对应的摘要值与所述实体护照的芯片中预存的摘要值进行匹配，得到匹配结果，具体可以包括：
119.对于一个所述身份子信息，对该身份子信息进行哈希计算，得到该身份子信息的摘要值；
120.将所述摘要值与所述实体护照的芯片中预存的该身份子信息的摘要值进行核对；
121.当所述摘要值与所述实体护照的芯片中预存的该身份子信息的摘要值相同时，得到表示该身份子信息核对正确的匹配结果。
122.在对加密的护照信息进行解密之后，需要确定护照信息中的用户身份信息是否真实，此时，应该比对解密后的护照信息中的护照内容是否与生成该护照时的护照内容一致。在具体比对过程中，为了保证用户身份信息不被泄露，可以不一一比对护照中的每一项身份信息，只需要比对每一项身份信息对应的摘要值即可。
123.例如，解密后的护照信息中，身份子信息可以包括姓名、身份证号、出生日期、地址信息等等，对每一项身份子信息，计算摘要值，例如：姓名的摘要值为dg1，与sod中的姓名的摘要值进行比对；身份证号的摘要值为dg2，与sod中的身份证号的摘要值进行比对；
……
，地址信息的摘要值为dgn，与sod中的地址信息的摘要值进行比对。
124.在计算摘要值时，可以基于预先约定好的算法计算摘要值，例如：利用预先定义的哈希算法计算各个身份子信息的摘要值。
125.在比对摘要值时，可以允许一定的容错性，不需要全部的身份子信息的摘要值都
与sod中预先存储的摘要值相同，可以计算匹配程度，预先设定匹配程度的预设阈值。只要满足预设阈值即可。即只要身份子信息中的绝大部分信息的摘要值与sod中预存的摘要值相同即可。
126.可选的，所述当所述比对第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述目标用户的人脸图像信息之前，还可以包括：
127.基于所述匹配结果，计算所述解密后的护照信息与所述预存护照信息的匹配程度。
128.可选的，所述计算所述解密后的护照信息与所述预存护照信息的匹配程度，具体可以包括：
129.确定所述解密后的护照信息匹配成功的身份子信息的数量；
130.确定所述解密后的护照信息中的身份子信息的总数量；
131.计算所述匹配成功的身份子信息的数量与所述身份子信息的总数量的比值，将所述比值确定为所述匹配程度。
132.通过上述方法，可以在保证用户身份信息隐私安全性的同时，验证用户护照信息的真实性，提高护照验证效率。
133.上述实施例中的方法，以验证外籍用户的身份为例，当外籍用户想要使用某支付应用程序中的某项功能时，需要对该外籍用户进行实名认证。具体过程可以结合图3进行说明：
134.图3为说明书实施例提供的外籍用户的身份验证流程示意图。
135.如图3所示，具体可以包括以下步骤：
136.步骤301：外籍用户进入支付应用程序的认证界面，引导外籍用户使用nfc读取电子护照信息，该电子护照信息中可以包含ds根证书，sod数据等。其中，ds根证书可以是前述的ds的密钥证书。
137.步骤303：从读取到的电子护照信息中提取该电子护照的签发国家。
138.步骤305：根据该签发国家的国家信息，查询内存中是否存在该签发国家对应的csca根证书，csca根证书可以是前述的csca密钥证书。若不存在，跳转至步骤317。
139.步骤307：当存在该签发国家对应的csca根证书时，循环采用csca根证书验证ds根证书。
140.步骤309：若其中一个验证通过则跳出循环，根据ds公钥证书验证电子护照中的数据安全对象，并验证摘要值。
141.步骤311：若验证通过，确定电子护照是真实护照，引导用户进行活体刷脸。若验证不通过，跳转至步骤317。
142.步骤313：对比采集到的活体人脸图像信息与护照中人脸图像信息是否相同。
143.步骤315：若相同，该外籍用户的身份验证成功。若不相同，跳转至步骤317。
144.步骤317：验证失败。
145.需要说明的是，上述步骤的方法仅是本说明书实施例的一种实施方式，先用csca的公钥证书的公钥解开ds公钥证书，再用ds公钥证书的公钥解开加密的护照数据。对护照数据解密之后，再比对护照数据中各个身份信息(例如：姓名、身份证号)的摘要值。然而，在实际应用场景中，即使采用csca的公钥没有解开ds的公钥证书，只能说明ds证书可以存在
真伪问题。但是可以从在读取到的护照信息中的ds公钥证书中获取国家签发标识，获取该国家标识对应的csca国家证书也可以该电子护照是否正常签发，如果验证不通过，也还是可以继续验证sod中的身份信息，只是可信度不高。但是并不表示上述步骤中的前后步骤必不可缺。其顺序也可以根据实际应用场景进行调整。
146.通过上述方法，通过护照信息对用户进行身份核验，提高身份核验效率以及身份核验成功率。在对用户身份核验成功后才允许用户执行对于目标程序的目标操作，从而保证使用目标应用程序功能的用户的身份真实性。
147.本说明书实施例中的方法，采用nfc技术识别电子护照，保证电子护照是真实有效无篡改；采用实时采集活体人脸与护照人脸对比的方式保证电子护照不被冒用。
148.基于同样的思路，本说明书实施例还提供了上述方法对应的装置。图4为本说明书实施例提供的一种身份核验装置的结构示意图。如图4所示，该装置可以包括：
149.护照信息读取模块410，用于获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
150.国别信息确定模块420，用于基于所述护照信息确定签发所述实体护照的国别信息；
151.护照信息解密模块430，用于基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
152.第一匹配模块440，用于将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
153.人脸图像信息采集模块450，用于当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
154.第二匹配模块460，用于将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
155.目标操作权限授予模块470，用于当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
156.基于图4的装置，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。
157.可选的，所述护照信息解密模块430，具体可以包括：
158.第一公钥获取单元，用于获取加密后的所述签发机构的第一公钥；
159.第二公钥获取单元，用于基于所述国别信息，获取所述国别信息对应的第二公钥；
160.第一解密单元，用于采用所述第二公钥对所述加密后的所述签发机构的第一公钥进行解密，得到解密后的第一公钥；
161.第二解密单元，用于采用所述第一公钥信息对所述加密后的身份信息进行解密，得到解密后的身份信息；所述加密后的身份信息是采用所述签发机构的私钥信息进行加密得到的。
162.可选的，所述第一匹配模块440，具体可以包括：
163.身份子信息确定单元，用于确定所述解密后的护照信息中的多个身份子信息；
164.身份子信息摘要值计算单元，用于分别计算所述多个身份子信息中的各个身份子
信息对应的摘要值；
165.第一匹配单元，用于将各个身份子信息对应的摘要值与所述实体护照的芯片中预存的摘要值进行匹配，得到匹配结果。
166.可选的，所述第一匹配单元，具体可以包括：
167.哈希计算子单元，用于对于一个所述身份子信息，对该身份子信息进行哈希计算，得到该身份子信息的摘要值；
168.摘要值核对子单元，用于将所述摘要值与所述实体护照的芯片中预存的该身份子信息的摘要值进行核对；
169.匹配结果确定子单元，用于当所述摘要值与所述实体护照的芯片中预存的该身份子信息的摘要值相同时，得到表示该身份子信息核对正确的匹配结果。
170.可选的，所述装置还可以包括：
171.匹配程度计算模块，用于基于所述匹配结果，计算所述解密后的护照信息与所述预存护照信息的匹配程度。
172.可选的，所述匹配程度计算模块，具体可以包括：
173.匹配成功身份子信息数量确定单元，用于确定所述解密后的护照信息匹配成功的身份子信息的数量；
174.身份子信息总数量确定单元，用于确定所述解密后的护照信息中的身份子信息的总数量；
175.比值计算单元，用于计算所述匹配成功的身份子信息的数量与所述身份子信息的总数量的比值，将所述比值确定为所述匹配程度。
176.可选的，所述装置，还可以包括：
177.密钥证书获取模块，用于获取各个国家的密钥证书；所述密钥证书中包括公钥；
178.分类存储模块，用于按照国别信息将所述密钥证书进行分类存储。
179.可选的，所述装置，还可以包括：
180.判断模块，用于基于所述国别信息，判断所述国别信息是否具有对应的密钥证书；
181.第一公钥信息获取模块，用于当所述国别信息对应有密钥证书时，获取所述国别信息对应的第一公钥信息。
182.可选的，所述目标程序可以为用于进行金融交易的程序。
183.可选的，所述目标操作可以为对于所述目标程序的目标功能的使用权限的获取操作。
184.可选的，所述护照信息读取模块410，具体可以包括：
185.护照信息读取单元，用于获取所述用户终端通过nfc模块对所述实体护照的芯片中存储的护照信息进行读取。
186.基于同样的思路，本说明书实施例还提供了上述方法对应的设备。
187.图5为本说明书实施例提供的一种身份核验设备的结构示意图。如图5所示，设备500可以包括：
188.至少一个处理器510；以及，
189.与所述至少一个处理器通信连接的存储器530；其中，
190.所述存储器530存储有可被所述至少一个处理器510执行的指令520，所述指令被
所述至少一个处理器510执行，以使所述至少一个处理器510能够：
191.获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
192.基于所述护照信息确定签发所述实体护照的国别信息；
193.基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
194.将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
195.当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
196.将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
197.当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
198.基于同样的思路，本说明书实施例还提供了上述方法对应的计算机可读介质。计算机可读介质上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现以下方法：
199.获取用户的用户终端对实体护照进行读取得到的护照信息；所述护照信息中包含所述用户的加密后的身份信息；
200.基于所述护照信息确定签发所述实体护照的国别信息；
201.基于所述国别信息对所述护照信息进行解密，得到解密后的护照信息；
202.将解密后的护照信息与所述实体护照的芯片中的预存护照信息进行匹配，得到第一匹配结果；
203.当所述第一匹配结果表示所述解密后的护照信息与所述预存护照信息的匹配程度大于预设阈值时，采集所述用户的人脸图像信息；
204.将采集到的人脸图像信息与所述护照信息中包含的人脸信息进行匹配，得到第二匹配结果；
205.当所述第二匹配结果表示所述采集到的人脸图像信息与所述护照信息中的包含的人脸信息一致时，允许所述用户执行对于目标程序的目标操作。
206.本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，各个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
207.在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(programmable logic device,pld)(例如现场可编程门阵列(field programmable gate array，fpga))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员
自行编程来把一个数字符系统“集成”在一片pld上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(hardware description language，hdl)，而hdl也并非仅有一种，而是有许多种，如abel(advanced boolean expression language)、ahdl(altera hardware description language)、confluence、cupl(cornell university programming language)、hdcal、jhdl(java hardware description language)、lava、lola、myhdl、palasm、rhdl(ruby hardware description language)等，目前最普遍使用的是vhdl(very-high-speed integrated circuit hardware description language)与verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。
208.控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(application specific integrated circuit，asic)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：arc625d、atmel at91sam、microchip pic18f26k20以及silicone labs c8051f320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。
209.上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字符助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
210.为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本技术时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
211.本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
212.本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产
生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
213.这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
214.这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
215.在一个典型的配置中，计算设备包括一个或多个处理器(cpu)、输入/输出接口、网络接口和内存。
216.内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flash ram)。内存是计算机可读介质的示例。
217.计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字符多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带式磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
218.还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
219.本领域技术人员应明白，本技术的实施例可提供为方法、系统或计算机程序产品。因此，本技术可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本技术可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
220.本技术可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本技术，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
221.以上所述仅为本技术的实施例而已，并不用于限制本技术。对于本领域技术人员
来说，本技术可以有各种更改和变化。凡在本技术的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本技术的权利要求范围之内。