获取、下发电子证件的实现方法和装置与流程

本申请涉及网络通信技术领域，尤其涉及一种获取电子证件的实现方法和装置、一种下发电子证件的实现方法和装置。

背景技术：

各类证件在人们的日常生活中占据着极为重要的作用。纸质证件不仅携带不便，而且其上记载的信息无法根据当前情况变化而随时更新，越来越难以满足实际应用的需求。证件电子化成为大势所趋。

而随着移动互联技术的发展和智能终端的普及，人们越来越习惯于在移动设备上完成各类生活和工作事项。将电子证件保存在移动设备上，将给人们带来极大的便利。如何能够安全的将电子证件颁发给有权限持有该电子证件的用户的设备，成为普及电子证件时要面临的首要问题。

现有技术中，在官方服务机构的办公大厅、银行网点等可信环境中设置专用的自助终端，该自助终端上带有摄像头和身份证读卡器，并且具有nfc(nearfieldcommunication，近场通信)功能。用户带着手机和身份证使用该自助终端，该自助终端读取身份证数据、通过摄像头采集用户的脸部图像，某些证件可能还需要用户输入与该证件相关的其他信息。自助终端将身份证数据、用户脸部图像以及可能的其他信息上传到颁证机构的服务器。颁证机构的服务器通过上传的脸部图像和身份证数据审核用户身份，审核通过后将电子证件发送给该自助终端，该自助终端通过nfc将电子证件传输到用户的手机上存储。

这种获取和下发电子证件的方式需要用户到特定地点，对用户来说非常 不便；而且操作不熟悉的自助终端也往往使得获得电子证件的效率很低。

技术实现要素：

有鉴于此，本申请提供一种获取电子证件的实现方法，应用在用户设备上，所述用户设备上保存有用户侧设备认证参数，所述方法包括：

获取用户设备的设备信息；所述设备信息中包括设备标识；

获取用户的生物数据和基础证件数据；

向业务服务器发送认证请求报文，所述认证请求报文采用所述用户侧设备认证参数加密或签名，其中包括所述设备信息、生物数据和基础证件数据，供证件服务器在收到业务服务器转发的认证请求报文后，采用与对应于所述设备标识的网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；

接收业务服务器返回的认证响应报文，所述认证响应报文中包括电子证件，所述电子证件由证件服务器在解密成功或验签通过、且用户身份认证通过后生成。

本申请提供的一种下发电子证件的实现方法，应用在业务服务器上，包括：

将从用户设备接收的认证请求报文转发给证件服务器；所述认证请求报文由用户设备采用其保存的用户侧设备认证参数加密或签名，其中包括用户设备的设备标识、用户的生物数据和基础证件数据；

将从证件服务器接收的认证响应报文转发给用户设备；所述认证响应报文中包括：由证件服务器在采用与所述设备标识对应的网络侧设备认证参数对认证请求报文解密成功或验签通过、并根据所述生物数据和基础证件数据认证用户身份后生成。

本申请提供的一种下发电子证件的实现方法，应用在证件服务器上，包括：

从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中 包括用户设备的设备信息、用户的生物数据和基础证件数据，并由用户设备采用所述用户设备的用户侧设备认证参数进行加密或签名；所述设备信息包括设备标识；

获取与所述设备标识对应的网络侧设备认证参数；

采用所述网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；

在解密成功或验签通过、以及用户身份认证通过后，生成所述用户的电子证件并在认证响应报文中发送给业务服务器，供业务服务器向用户设备转发所述认证响应报文。

本申请还提供了一种获取电子证件的实现装置，应用在用户设备上，所述用户设备上保存有用户侧设备认证参数，所述装置包括：

设备信息获取单元，用于获取用户设备的设备信息；所述设备信息中包括设备标识；

身份数据获取单元，用于获取用户的生物数据和基础证件数据；

认证请求发送单元，用于向业务服务器发送认证请求报文，所述认证请求报文采用所述用户侧设备认证参数加密或签名，其中包括所述设备信息、生物数据和基础证件数据，供证件服务器在收到业务服务器转发的认证请求报文后，采用与对应于所述设备标识的网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；

认证响应接收单元，用于接收业务服务器返回的认证响应报文，所述认证响应报文中包括电子证件，所述电子证件由证件服务器在解密成功或验签通过、且用户身份认证通过后生成。

本申请提供的一种下发电子证件的实现装置，应用在业务服务器上，包括：

认证请求转发单元，用于将从用户设备接收的认证请求报文转发给证件服务器；所述认证请求报文由用户设备采用其保存的用户侧设备认证参数加密或签名，其中包括用户设备的设备标识、用户的生物数据和基础证件数据；

认证响应转发单元，用于将从证件服务器接收的认证响应报文转发给用户设备；所述认证响应报文中包括：由证件服务器在采用与所述设备标识对应的网络侧设备认证参数对认证请求报文解密成功或验签通过、并根据所述生物数据和基础证件数据认证用户身份后生成。

本申请提供的一种下发电子证件的实现装置，应用在证件服务器上，包括：

认证请求接收单元，用于从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备信息、用户的生物数据和基础证件数据，并由用户设备采用所述用户设备的用户侧设备认证参数进行加密或签名；所述设备信息包括设备标识；

设备认证参数获取单元，用于获取与所述设备标识对应的网络侧设备认证参数；

设备及身份认证单元，用于采用所述网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；

认证响应发送单元，用于在解密成功或验签通过、以及用户身份认证通过后，生成所述用户的电子证件并在认证响应报文中发送给业务服务器，供业务服务器向用户设备转发所述认证响应报文。

由以上技术方案可见，本申请的实施例中，由用户自己的设备采集用户的生物数据和基础证件数据，在认证请求报文中通过业务服务器发送给证件服务器，并采用预存的用户侧设备认证参数进行签名；证件服务器通过以网络侧设备认证参数验签来审核用户设备是否为可信设备，通过用户的生物数据和基础证件数据来审核用户的身份后，经由业务服务器将电子证件下发给用户设备，不仅使得电子证件的颁发基于可信的用户设备进行，并且使得用户能够随时随地高效的获得电子证件，在便利用户的同时达到了很好的安全性。

附图说明

图1是本申请实施例应用场景的一种网络结构图；

图2是本申请实施例中一种应用在用户设备上、获取电子证件的实现方法的流程图；

图3是本申请实施例中一种应用在业务服务器上、下发电子证件的实现方法的流程图；

图4是本申请实施例中一种应用在证件服务器上、下发电子证件的实现方法的流程图；

图5是本申请应用示例中，一种用户设备、业务服务器与证件服务器之间的交互流程图；

图6是用户设备、业务服务器或证件服务器的一种硬件结构图；

图7是本申请实施例中一种应用在用户设备上、获取电子证件的实现装置的逻辑结构图；

图8是本申请实施例中一种应用在业务服务器上、下发电子证件的实现装置的逻辑结构图；

图9是本申请实施例中一种应用在证件服务器上、下发电子证件的实现装置的逻辑结构图。

具体实施方式

本申请的实施例提出一种新的获取电子证件的实现方法和一种新的下发电子证件的实现方法，在可信用户设备上预存用户侧设备认证参数，在服务端预存与用户侧设备认证参数相同或相对应的网络侧设备认证参数，用户设备将其采集的用户的生物数据和基础证件数据在认证请求报文中上传给业务服务器，并采用用户侧设备认证参数签名；在收到业务服务器转发的认证请求报文后，证件服务器以网络侧设备认证参数进行验签，确保用户设备的可信；以用户的生物数据和基础证件数据核实用户身份，确保用户的可信；在 验签和身份审核通过后，经由业务服务器将电子证件下发给用户设备，从而使用户能够安全、方便、高效的获得电子证件，以解决现有技术中存在的问题。

本申请实施例应用场景的一种网络结构如图1所示，用户设备与应用服务器、应用服务器与证件服务器之间通过通信网络相互可访问。其中，用户设备是具有生物数据采集功能的终端设备，可以是手机、平板电脑、pc(personalcomputer，个人电脑)、笔记本等设备；业务服务器用来接收用户通过用户设备发起的业务请求(包括认证请求)，并向用户设备发送对其请求的响应；证件服务器用来审核用户的认证请求，并在审核通过后下发电子证件；业务服务器或证件服务器可以是一个物理或逻辑服务器，也可以是由两个或两个以上分担不同职责的物理或逻辑服务器、相互协同来实现本申请实施例中业务服务器或证件服务器的各项功能。本申请实施例对用户设备、业务服务器和证件服务器的种类，以及用户设备与业务服务器之间、业务服务器与证件服务器之间通信网络的类型、协议等均不做限定。

本申请的实施例中，电子证件包括各种机构、组织或协会颁发的证件、执照、证书等文件。例如，可以是个人身份证明(居民身份证、护照等)，可以是职务证明(执业证、行政执法证件等)，可以是资格证书(如驾照、社保卡等)，还可以是权属证明(如汽车行驶证、知识产权证书等)。

本申请的实施例中，可信的用户设备上保存有用户侧设备认证参数，证件服务器可以从本地或其他可访问的网络存储位置获取到可信用户设备的设备标识与该用户设备的网络侧设备认证参数的对应关系。同一个用户设备的用户侧设备认证参数与网络侧认证参数相同或相对应。

用户侧设备认证参数可以在设备出厂前预存在用户设备上，网络侧设备认证参数由该设备的生产厂商将设备标识和网络侧设备认证参数的对应关系上传到服务端保存；也可以由用户设备、证件服务器或某个其他的网络节点生成对应于某个设备标识的用户侧设备认证参数和网络侧设备认证参数后，分别交由具有该设备标识的用户设备和证件服务器保存；本申请的实施例不 做限定。用户侧设备认证参数可以保存在用户设备上的安全存储区域，并可以限制能够访问该安全存储区域的软件或进程，以实现更好的安全性。

用户侧设备认证参数和网络侧设备认证参数可以是参照现有技术中各种算法所生成的密钥、口令等，例如采用非对称加密算法生成私钥(用户侧设备认证参数)和公钥(网络侧设备认证参数)；再如采用对称加密算法生成相同的密钥(同时作为用户侧设备认证参数和网络侧设备认证参数)；本申请的实施例不做限定。

本申请的实施例中，获取电子证件的实现方法的流程如图2所示，该方法应用在用户设备上；对应的，下发电子证件的实现方法应用在业务服务器上的流程如图3所示，应用在证件服务器上的流程如图4所示。

在用户设备上，步骤210，获取用户设备的设备信息，设备信息中包括设备标识。

设备标识用来唯一代表一个用户设备，通常可以将用户设备上具有唯一性的硬件标识用来作为该用户设备的设备标识，例如用户设备的uuid(universallyuniqueidentifier，通用唯一识别码)、mac(mediaaccesscontrol，媒体接入控制)地址、蓝牙地址等。

根据实际应用场景的需求，用户设备还可以将需要提供给业务服务器或证件服务器的其他设备参数作为设备信息的一部分，在认证请求报文中上传给业务服务器及证件服务器，如设备型号、生产厂商等等。

在用户设备上，步骤220，获取用户的生物数据和基础证件数据。

用户的生物数据和基础证件数据用来在上传给证件服务器后，由证件服务器认证该用户的身份。因此，实际应用场景中证件服务器能够使用哪种生物数据、哪种基础证件来认证用户身份，用户设备即采集该种生物数据和该种基础证件数据，本申请的实施例不做限定。

例如，如果证件服务器使用身份证作为基础证件，可以用用户的脸部图像或者用户的拇指指纹来验证身份证是否是用户本人的身份证，则用户设备可以将脸部图像数据或拇指指纹数据作为生物数据，将身份证的图像数据作 为基础证件数据。再如，如果下发电子驾照的证件服务器采用带有用户脸部照片的实物驾照作为基础证件，以用户的脸部视频来验证是否是用户本人在申请电子驾照，则用户设备可以将脸部视频数据作为生物数据，将实物驾照的图像数据作为基础证件数据。

用户设备通常需要具备相应的采集用户生物数据和基础证件数据的功能，如拍照、摄像、指纹采集等。

需要说明的是，步骤210和220之间没有时序关系。

在用户设备上，步骤230，向业务服务器发送认证请求报文；认证请求报文中包括设备信息、生物数据和基础证件数据，并采用用户侧设备认证参数加密或签名；供证件服务器在收到业务服务器转发的认证请求报文后，采用与设备信息中的设备标识对应的网络侧设备认证参数进行解密或验签，并根据其中生物数据和基础证件数据认证用户身份。

在业务服务器上，步骤310，将从用户设备接收的认证请求报文转发给证件服务器。

在证件服务器上，步骤410，从业务服务器接收来自用户设备的认证请求报文。

用户设备将设备信息(其中包括设备标识)、所采集的用户生物数据和基础证件数据封装在认证请求报文中，采用保存在本地的用户侧设备认证参数进行加密或签名后，发送给业务服务器。用户设备可以采用用户侧设备认证参数对认证请求报文中的任意信息或数据做签名，也可以采用用户侧设备认证参数对除设备标识之外的其他任意信息或数据做加密。

认证请求报文中还可以包括其他业务服务器或证件服务器需要用户设备提供的信息，如该用户在业务服务器上的用户账户标识等。业务服务器将认证请求报文转发给证件服务器。

在证件服务器上，步骤420，获取与设备标识对应的网络侧设备认证参数。

证件服务器提取认证请求报文中的设备标识，从预存在服务端的设备标 识与网络侧设备认证参数的对应关系中，查找与认证请求报文中设备标识对应的网络侧设备认证参数，或称之为该用户设备的网络侧设备认证参数。

在证件服务器上，步骤430，采用该网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份。

证件服务器采用该用户设备的网络侧设备认证参数，对来自该用户设备的认证请求报文进行解密后验签，如果解密失败或者验签未通过，则很可能是可信用户设备的设备标识被冒用，则证件服务器拒绝该认证请求，并将认证失败的消息通知业务服务器，由业务服务器告知用户设备因认证失败不能获得电子证件。

证件服务器采用认证请求报文中携带的用户的生物数据和基础证件数据来对用户的身份进行认证，具体的认证方式根据实际应用场景中证件服务器所采用的生物数据类型和基础证件的形式来决定，可以参照现有技术中身份审核的方式实现，不再赘述。如果用户的基础证件数据不存在或不正确(如身份证号码在数据库中不存在，或身份证号码与用户名字不匹配)，或者上传的生物数据不合格(如脸部图像模糊无法识别)，或者基础证件数据与生物数据不匹配(如基础证件上的照片与脸部图像不能识别为同一个人)，则不能通过身份认证，证件服务器拒绝该认证请求，并将认证失败的消息通知业务服务器，由业务服务器告知用户设备因认证失败不能获得电子证件。

在证件服务器上，步骤440，在解密成功或验签通过、以及用户身份认证通过后，生成该用户的电子证件并在认证响应报文中发送给业务服务器，供业务服务器向用户设备转发该认证响应报文。

在业务服务器上，步骤320，将从证件服务器接收的认证响应报文转发给用户设备。

在用户设备上，步骤240，接收业务服务器返回的认证响应报文。

在采用与用户设备的设备标识对应的网络侧设备认证参数对认证请求报文解密成功或验签通过、并根据认证请求报文中生物数据和基础证件数据认证用户身份通过后，证件服务器生成该用户所请求的电子证件，并将电子证 件封装在认证响应报文中，发送给业务服务器。业务服务器将带有电子证件的认证响应报文转发给用户设备，用户设备即获得其请求的电子证件。证件服务器生成电子证件的具体方法可以参照现有技术实现，不再赘述。

在一些应用场景中，证件服务器在生成电子证件时，还可以生成对应于该电子证件的证件令牌，并且将电子证件和对应的证件令牌一并封装在认证响应报文中发送业务服务器，由业务服务器转发给用户设备。证件令牌用来在与电子证件一并使用时对电子证件进行校验，当用户使用电子证件时，可以将电子证件和证件令牌一并提供给服务端，服务端可以采用证件令牌来验证电子证件的真伪。

本申请的实施例对证件令牌的形式、生成方式和验证方式不做限定，只要一个证件令牌能够在某个预定的范围内唯一对应于一个电子证件即可。证件令牌可以是一个随机数、一个字符串、所对应电子证件的信息摘要、成对使用的私钥和公钥(私钥由用户设备持有，公钥由验证电子证件的服务器保存)等，具体的生成方式和验证方式可参照现有技术实现。

在一种实现方式中，采用相对应的设备公钥和设备私钥分别作为网络侧设备认证参数和用户侧设备认证参数。用户设备在获取设备信息后，采用设备私钥对设备信息做签名(称为设备签名)。证件服务器在收到带有设备签名的认证请求报文后，查找到与认证请求报文中的设备标识对应的设备公钥，采用该设备公钥对认证请求报文中的设备信息进行验签。

在一些应用场景中，在用户设备上安装安全客户端，用来保存及使用用户侧设备认证参数。用户设备上的其他软件不能读取用户侧设备认证参数，只能通过调用安全客户端来使用用户侧设备认证参数。这样安全客户端可以对使用用户侧设备认证参数的软件进行识别和控制，并且避免了用户侧设备认证参数的泄漏。

在这些应用场景中，安全客户端实际上可以代表其所在的用户设备，安全客户端的签名即相当于用户设备的签名。在一种实现方式中，除了采用用户侧设备认证参数和网络侧设备认证参数来校验用户设备是否可信之外，还 可以在用户设备上预存相对应的的安全客户端私钥和安全客户端公钥，用户设备将安全客户端公钥封装在认证请求报文中，并采用安全客户端私钥对认证请求报文签名(称为安全客户端签名)。证件服务器在收到带有安全客户端签名的认证请求报文后，提起认证请求报文中安全客户端公钥，采用该安全客户端公钥对认证请求报文进行验签。如果安全客户端签名验签通过，则根据以网络侧设备认证参数的解密或验签结果、以及用户身份认证结果来决定是否生成并下发电子证件；如果安全客户端签名验签未通过，则通知业务服务器认证失败，不再继续生成并下发电子证件的流程。

需要说明的是，可以同时应用上述两种实现方式中的设备签名和安全客户端签名，采用设备签名来验证用户设备是否可信，采用安全客户端签名来作为认证请求报文发送方(用户或用户设备)的身份确认。

此外，用户设备在向业务服务器发送认证请求报文前，也可以对业务服务器进行身份确认。一个例子中，在业务服务器上或业务服务器可访问的网络存储位置保存相对应的服务器公钥和服务器私钥；在用户设备发送认证请求报文前，向业务服务器发送服务器身份确认请求报文；服务器身份确认请求报文用来请求业务服务器的公钥和签名，以确认业务服务器的身份，服务器身份确认请求报文中可以携带用户在业务服务器上的账户标识等信息；业务服务器收到服务器身份确认请求报文后，将自己的服务器公钥封装在服务器身份确认响应报文中，采用自己的服务器私钥对服务器身份确认响应报文签名，之后将服务器身份确认响应报文发送给用户设备；用户设备提取服务器身份确认响应报文中的服务器公钥进行验签，在验签通过后，再向业务服务器发送认证请求报文；如果验签未通过，则获取电子证件的流程以失败结束。业务服务器还可以在服务器身份确认响应报文中携带其他的校验信息，如需要由用户设备在认证请求报文中提供的限时有效的验证码等，以进一步增加电子证件获取和下发的安全性。

可见，本申请的实施例中，在可信的用户设备上预存用户侧设备认证参数，在服务端预存与用户侧设备认证参数相同或相对应的网络侧设备认证参 数，由用户自己的设备采集用户的生物数据和基础证件数据，在认证请求报文中通过业务服务器发送给证件服务器，并采用预存的用户侧设备认证参数进行签名；证件服务器以网络侧设备认证参数进行验签、并以用户的生物数据和基础证件数据审核用户身份后，将电子证件通过业务服务器下发给用户设备，从而使得用户无需亲临指定地点，只需使用自己的设备即可方便快捷的得到电子证件，并且实现了很高的安全性。

在本申请的一个应用示例中，用户设备上安装有业务客户端和安全客户端，业务客户端与业务服务器通过请求和响应来完成其所在业务系统提供的各项功能，其中包括获取及下发电子证件的功能，而业务服务器通过访问证件服务器来实现下发电子证件的功能。用户设备的设备私钥在出厂前预存在安全客户端，由安全客户端保管和使用；匹配于该设备私钥的设备公钥(即网络侧设备认证参数)与该用户设备的设备标识的对应关系保存在证件服务器可访问的网络存储位置。证件服务器采用用户的人脸图像数据和身份证图像数据对用户进行身份认证。

在获取及下发电子证件时，用户设备上的业务客户端、安全客户端，以及用户设备、业务服务器与证件服务器之间的交互流程如图5所示。

当用户希望将能够在某个业务系统中使用的电子证件保存在当前的用户设备上时，可以通过该用户设备上该业务系统的业务客户端发起获取电子证件的流程。

业务客户端向业务服务器发送服务器身份确认请求报文；业务服务器上保存有相对应的、用于签名的服务器公钥和服务器私钥，在收到服务器身份确认请求报文后，将服务器公钥封装在服务器身份确认响应报文中，并采用服务器私钥对服务器身份确认响应报文进行签名，之后将服务器身份确认响应报文返回给用户设备的业务客户端。

用户设备的业务客户端采用从服务器身份确认响应报文中提取的服务器公钥对服务器身份确认响应报文进行验签，以确认业务服务器的身份。如果验签未通过，则获取电子证件的流程因业务服务器的身份无法确认而以失败 结束。

在服务器身份确认响应报文验签通过后，用户设备的业务客户端向安全客户端请求设备信息及设备签名。安全客户端获取包括设备标识、设备型号的用户设备的设备信息，读取保存的设备私钥对设备信息进行签名，生成设备签名，并将设备信息和设备签名返回给业务客户端。

用户设备的业务客户端利用用户设备的拍照功能，获取用户的人脸图像数据和用户的身份证图像数据，分别作为用户的生物数据和基础证件数据。

用户设备的安全客户端内保存有相对应的、用于签名的安全客户端公钥和安全客户端私钥。在业务客户端将设备信息、设备签名、人脸图像数据和身份证图像数据封装在认证请求报文中，并将部分完成的认证请求报文传递给安全客户端后，安全客户端将其安全客户端公钥封装在认证请求报文中，并采用其安全客户端私钥对认证请求报文进行签名(安全客户端签名)，签名后的认证请求报文被返回给业务客户端。

业务客户端将带有设备信息、设备签名、人脸图像数据、身份证图像数据、安全客户端公钥、安全客户端签名的认证请求报文发送给业务服务器，由业务服务器转发给证件服务器。

证件服务器从认证请求报文中提取安全客户端公钥，对安全客户端签名进行验签，如果未通过，则通知业务服务器认证失败，下发电子证件的流程以失败结束。在通过安全客户端签名的验签后，证件服务器采用认证请求报文中的设备标识，在保存的设备标识与设备公钥的对应关系中查找与该设备标识对应的设备公钥，并采用找到的设备公钥对认证请求报文中的设备签名进行验签。如果证件服务器未找到对应于该设备标识的设备公钥、或者验签未通过，则该用户设备不是可信的用户设备，证件服务器通知业务服务器认证失败，下发电子证件的流程以失败结束。在设备签名验签通过后，证件服务器识别认证请求报文中的身份证图像数据，通过访问官方的身份证件数据库来审核该身份证是否真实；并且比对认证请求报文中的人脸图像数据和身份证图像数据中的人脸图像，以审核该身份证是否属于用户本人；如果上述 两项审核中至少有一项未通过，则通知业务服务器认证失败，下发电子证件的流程以失败结束。在上述两项审核通过后，证件服务器生成用户的电子证件和证件令牌，将电子证件和证件令牌封装在认证响应报文中发送给业务服务器。

如果业务服务器收到证件服务器认证失败的通知，则告知用户设备因认证失败，不能得到其请求的电子证件。如果业务服务器收到带有电子证件和证件令牌的认证响应报文，则将其转发给用户设备的业务客户端。

用户设备的业务客户端从认证响应报文中提取电子证件和证件令牌，将其保存在安全存储区域；或者传递给安全客户端，由安全客户端保存，并在业务客户端提取请求时将电子证件和证件令牌提供给业务客户端。

与上述流程实现对应，本申请的实施例还提供了一种应用在用户设备上的获取电子证件的实现装置、一种应用在业务服务器上的下发电子证件的实现装置、和一种应用在证件服务器上的下发电子证件的实现装置。上述装置均可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为逻辑意义上的装置，是通过用户设备、业务服务器或证件服务器的cpu(centralprocessunit，中央处理器)将对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，除了图6所示的cpu、内存以及非易失性存储器之外，用户设备通常还包括用于进行无线信号收发的芯片等其他硬件，业务服务器或证件服务器通常还包括用于实现网络通信功能的板卡等其他硬件。

图7所示为本申请实施例提供的一种获取电子证件的实现装置，应用在用户设备上，所述用户设备上保存有用户侧设备认证参数，所述方法包括设备信息获取单元、身份数据获取单元、认证请求发送单元和认证响应接收单元，其中：设备信息获取单元用于获取用户设备的设备信息；所述设备信息中包括设备标识；身份数据获取单元用于获取用户的生物数据和基础证件数据；认证请求发送单元用于向业务服务器发送认证请求报文，所述认证请求报文采用所述用户侧设备认证参数加密或签名，其中包括所述设备信息、生 物数据和基础证件数据，供证件服务器在收到业务服务器转发的认证请求报文后，采用与对应于所述设备标识的网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；认证响应接收单元用于接收业务服务器返回的认证响应报文，所述认证响应报文中包括电子证件，所述电子证件由证件服务器在解密成功或验签通过、且用户身份认证通过后生成。

可选的，所述用户侧设备认证参数包括：设备私钥；所述认证请求报文采用所述用户侧设备认证参数加密或签名，包括：采用所述设备私钥对设备信息进行签名。

可选的，所述用户设备上保存有相对应的安全客户端私钥和安全客户端公钥；所述认证请求报文中还包括：所述安全客户端公钥；所述认证请求报文采用所述安全客户端私钥进行签名，供证件服务器在收到业务服务器转发的认证请求报文后，采用所述安全客户端公钥对所述认证请求报文进行验签。

可选的，所述装置还包括认证信息请求发送单元、认证信息响应接收单元和服务器公钥验签单元，其中：认证信息请求发送单元用于向业务服务器发送服务器身份确认请求报文；认证信息响应接收单元用于接收业务服务器返回的服务器身份确认响应报文，所述服务器身份确认响应报文携带有服务器公钥并由业务服务器采用与服务器公钥相对应的服务器私钥进行签名；服务器公钥验签单元用于采用所述服务器公钥对服务器身份确认响应报文进行验签；所述认证请求发送单元具体用于：在服务器身份确认响应报文验签通过后，向业务服务器发送认证请求报文。

可选的，所述认证响应报文中还包括：对应于所述电子证件的证件令牌，用来在与电子证件一并使用时对电子证件进行校验。

图8所示为本申请实施例提供的一种下发电子证件的实现装置，应用在业务服务器上，包括认证请求转发单元和认证响应转发单元，其中：认证请求转发单元用于将从用户设备接收的认证请求报文转发给证件服务器；所述认证请求报文由用户设备采用其保存的用户侧设备认证参数加密或签名，其 中包括用户设备的设备标识、用户的生物数据和基础证件数据；认证响应转发单元用于将从证件服务器接收的认证响应报文转发给用户设备；所述认证响应报文中包括：由证件服务器在采用与所述设备标识对应的网络侧设备认证参数对认证请求报文解密成功或验签通过、并根据所述生物数据和基础证件数据认证用户身份后生成。

可选的，所述业务服务器可获取到相对应的服务器私钥和服务器公钥；所述装置还包括认证信息请求接收单元和认证信息响应发送单元，其中：认证信息请求接收单元用于从用户设备接收服务器身份确认请求报文；认证信息响应发送单元用于向用户设备返回服务器身份确认响应报文，所述服务器身份确认响应报文携带有所述服务器公钥，并采用所述服务器私钥进行签名；供用户设备采用所述服务器公钥进行验签。

图9所示为本申请实施例提供的一种下发电子证件的实现装置，应用在证件服务器上，包括认证请求接收单元、设备认证参数获取单元、设备及身份认证单元和认证响应发送单元，其中：认证请求接收单元用于从业务服务器接收来自用户设备的认证请求报文，所述认证请求报文中包括用户设备的设备信息、用户的生物数据和基础证件数据，并由用户设备采用所述用户设备的用户侧设备认证参数进行加密或签名；所述设备信息包括设备标识；设备认证参数获取单元用于获取与所述设备标识对应的网络侧设备认证参数；设备及身份认证单元用于采用所述网络侧设备认证参数进行解密或验签，并根据所述生物数据和基础证件数据认证用户身份；认证响应发送单元用于在解密成功或验签通过、以及用户身份认证通过后，生成所述用户的电子证件并在认证响应报文中发送给业务服务器，供业务服务器向用户设备转发所述认证响应报文。

可选的，所述网络侧设备认证参数和用户侧设备认证参数包括：设备公钥和设备私钥；所述认证请求报文由用户设备采用所述用户设备的用户侧设备认证参数进行加密或签名，包括：所述认证请求报文由用户设备采用所述设备私钥对设备信息进行签名；所述设备及身份认证单元具体用于：采用与 所述设备标识对应的设备公钥对设备信息进行验签，并根据所述生物数据和基础证件数据认证用户身份。

可选的，所述认证请求报文中还包括：安全客户端公钥；所述认证请求报文由所述用户设备采用与所述安全客户端公钥相对应的安全客户端私钥进行签名；所述装置还包括安全客户端验签单元，用于在生成所述用户的电子证件前，采用认证请求报文中的安全客户端公钥对认证请求报文进行验签，如果验签未通过则不再下发电子证件。

可选的，所述认证响应发送单元具体用于：在解密成功或验签通过、以及用户身份认证通过后，生成用户的电子证件以及与电子证件对应的证件令牌，并将所述电子证件和证件令牌在认证响应报文中发送给业务服务器；所述证件令牌用来在与电子证件一并使用时对电子证件进行校验。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

在一个典型的配置中，计算设备包括一个或多个处理器(cpu)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flashram)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd-rom)、数字多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信 息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。