基于量子通信网络的NFC认证系统的制作方法

本发明涉及网络安全通信领域，特别涉及一种基于量子通信网络的nfc认证系统。

背景技术：

身份认证时，静态密码容易被恶意软件所窃取，或者因为固定不变被暴力破解。为了解决静态密码的安全性问题，动态令牌技术已经大行其道。

动态令牌采用基于时间、事件和密钥三个变量产生的一次性密码代替传统的静态密码。每个动态令牌卡都有一个唯一的密钥，该密钥同时存放在服务器端，每次认证时动态令牌卡与服务器分别根据同样的密钥，同样的随机参数(时间、事件)和同样的算法计算待认证的动态令牌，从而双边确保密码的一致性，实现身份认证。因每次认证时的随机参数不同，所以每次产生的动态令牌也不同，而参数的随机性保证了每次密码的不可预测性，从而在最基本也是最重要的密码认证环节保证了系统的安全性。动态令牌从终端来分类包含硬件令牌和手机令牌。手机令牌是安装在手机上的客户端软件，用来生成动态令牌。

国际上动态令牌有2大主流算法，一个是rsa的securid(使用aes对称算法)，一个是oath组织使用的hmac算法。国内使用的动态令牌算法使用国密sm1和sm3。

近场通信(nearfieldcommunication，nfc)是一种短距高频的无线电技术，其传输范围比射频识别技术(radiofrequencyidentification，rfid)小，但由于nfc采取了独特的信号衰减技术，相对于rfid来说nfc具有距离近、带宽高、能耗低等特点，可提供各种设备间安全、迅速而自动的通信。

目前nfc已经成为越来越多主要手机厂商支持的正式标准，各个手机厂商也推出了具有nfc支付功能的智能终端。

量子通信是量子论和信息论相结合的新兴交叉领域，以其高度安全的信息传输能力日益受到人们的关注。

例如中国专利申请201510513004.4公开了基于量子密码网络的手机令牌身份认证系统，其中介绍了量子通信网络的动态令牌认证。但未考虑移动终端的安全性，而且需要在应用终端手动输入动态密码，操作不便。

中国专利申请201610843356.0公开了用户身份认证系统和方法，其中介绍了一种量子通信服务站和量子密钥卡及其相互之间认证的实现方法。但仅介绍了量子通信服务站对配备有量子密钥卡的量子通信用户设备的认证，并未介绍量子通信网络中的应用系统的内部认证，即应用服务器对应用终端的认证。

现有技术存在的问题

1.现有技术中，在使用动态令牌进行身份认证过程中，需要应用终端使用者手动输入动态令牌，操作过于繁琐，并且存在安全隐患。

2.现有技术中，手机令牌的密钥存储于手机存储器中，可以被恶意软件或恶意操作窃取。

3.现有技术中，手机令牌的种子密钥是不变的，安全性不够高。

4.现有技术中，每一个应用服务器的动态口令系统都是独立的，使用者需要维护多个动态令牌或者动态令牌软件，管理不便。

技术实现要素：

本发明提供一种基于量子通信网络的nfc认证系统，利用移动终端的nfc认证，使用者操作快速便捷，体验优于动态密码。另外用于认证的密钥存储于量子密钥卡中，量子密钥卡是特制的隔离硬件，难以被移动终端内的恶意软件或恶意操作窃取。

一种基于量子通信网络的nfc认证系统，包括应用服务器、应用终端、以及移动终端，还设有量子通信服务站以及与所述移动终端相匹配的量子密钥卡，所述量子密钥卡与量子通信服务站之间存储有相应的量子密钥；

进行nfc认证时，所述移动终端从应用终端申请并获得nfc认证信息，移动终端所匹配的量子密钥卡根据该nfc认证信息并利用所存储的量子密钥生成nfc认证应答值，再将该nfc认证应答值发送至应用终端；

所述应用终端还向应用服务器发送相应认证请求，该认证请求经由应用服务器发送至量子通信服务站并返回相应的nfc认证预期应答值；应用终端比较nfc认证应答值以及nfc认证预期应答值获得认证结果并执行相关业务。

本发明中所述nfc认证信息中包含nfc挑战值，应用终端向应用服务器发送的认证请求中也包含该nfc挑战值，即nfc认证信息与认证请求中有相应的nfc挑战值。由于移动终端所匹配的量子密钥卡与量子通信服务站之间存储有相应的量子密钥，因此可分别计算生成nfc认证应答值以及nfc认证预期应答值，在应用终端进行比较，两者一致视为认证成功。

本发明中nfc应答值在移动终端匹配的量子密钥卡内并利用量子密钥生成，由于量子密钥卡中的密钥可变，甚至能做到一次认证一个密钥，安全性高于动态密码。多个应用服务器的动态口令系统都可以用同样的量子通信系统进行认证，使用者管理方便。

同一应用服务器下可以配置多个应用终端，参与认证过程的量子通信服务站也不限于一个，涉及多个量子节点相互通信时，可利用qkd方式获得的站间量子密钥加密通信，或采用量子密钥卡的形式与所属的(即该量子密钥卡由所属量子通信服务站颁发，两者之间存储有相应的量子密钥)量子通信服务站加密通信。

本发明nfc认证系统可以应用于各类需要身份认证的系统，应用服务器和应用终端可根据需要以及场景配置多台，应用服务器运行业务服务程序，应用终端运行业务客户端程序。

可选的，所述应用服务器为门禁系统后台服务器；智能楼宇后台控制中心或考勤系统后台服务器；所述应用终端相应的为门禁装置；智能楼宇受控终端或考勤机终端。

可选的，使用者通过移动终端向应用终端申请发送访问请求以获取所述nfc认证信息时，访问请求中携带或不携带应用服务器预先分配给该使用者的身份识别号。

相对于携带身份识别号，若不携带身份识别号则使用者不需要输入任何信息给应用终端，应用终端向应用服务器发送空的使用者访问请求，可进一步方便使用者操作。

可选的，应用终端接收来自移动终端且带有所述nfc认证应答值的认证应答，从该认证应答中提取相应信息并进行合法性判断；判断合法后再向应用服务器发送所述认证请求。

移动终端计算nfc认证应答值后向应用终端发送认证应答，其不仅包含有nfc认证应答值，还包含其他识别信息，如nfc挑战id、使用者的身份识别号、所使用的量子密钥卡的身份识别号等；根据判断需要，还可以通过移动终端采集的使用者生物学信息，如指纹信息、虹膜信息、人脸信息、静脉信息、掌纹信息等，并携带在认证应答中。

可选的，所述应用终端进行的合法性判断包括身份信息合法性判断和时间合法性判断。

可选的，应用终端向应用服务器发送认证请求后，应用服务器对该认证请求进行合法性判断，判断合法后再发送至量子通信服务站进行认证。

即涉及的合法性判断有两次，一次是在应用终端中依据来自移动终端的认证应答进行判断，另一次是在应用服务器中依据来自应用终端的认证请求进行判断。

可选的，所述应用服务器也配置有相应的量子密钥卡，该量子密钥卡与量子通信服务站之间存储有相应的量子密钥，用以在应用服务器与量子通信服务站之间加密通信。

通信时，若有多个量子通信服务站参与，在量子通信服务站之间采用站间量子密钥进行通信；移动终端与所属的量子通信服务站之间、应用服务器与所属的量子通信服务站之间采用所属量子通信服务站颁发的量子密钥进行通信。

可选的，应用服务器的量子密钥卡颁发自第一量子通信服务站，移动终端的量子密钥卡颁发自第二量子通信服务站，第一量子通信服务站接收来自应用终端发送的认证请求后，将该认证请求转发至第二量子通信服务站进行认证，并将来自第二量子通信服务站的nfc认证预期应答值转发至应用终端。

由于应用服务器的量子密钥卡颁发自第一量子通信服务站，因此两者可以利用量子密钥加密通信，但移动终端的量子密钥卡颁发自第二量子通信服务站，因此nfc认证预期应答值需要由第二量子通信服务站生成，第一量子通信服务站和第二量子通信服务站之间可通过站间量子密钥相互通信。

可选的，移动终端和应用服务器两者的量子密钥卡颁发自同一量子通信服务站，该量子通信服务站中存储有与两者的量子密钥卡分别对应的量子密钥。

此时，该量子通信服务站利用所存储的量子密钥一方面可以与应用服务器直接加密通信接收认证请求，也可以生成nfc认证预期应答值并经由应用服务器返回给应用终端，在流程上相对简化。

可选的，应用终端得到认证结果后，还将该认证结果发送至移动终端和/或应用服务器。

应用终端得到认证结果后一方面可以根据认证通过与否执行相关业务，另外还可以将认证结果通过nfc传输发送至移动终端，或通过量子网络发给应用服务器，或通过量子网络经由应用服务器发送至移动终端。

本发明的有益效果：

1.采用nfc验证方便快捷，解决了现有技术中，在使用动态令牌进行身份认证过程中，操作过于繁琐的问题。

2.基于独立硬件形式的量子密钥卡，解决了现有技术中，手机令牌的密钥存储于手机存储器中，可以被恶意软件或恶意操作窃取的问题。

3.量子密钥卡中量子密钥可变，解决了现有技术中，手机令牌的种子密钥不变导致的安全性不够高的问题。

4.多个应用服务器可采用同一量子通信系统验证，解决了现有技术中，每一个应用服务器的动态口令系统互相独立而导致的管理不便问题。

附图说明

图1为本发明nfc认证系统的组网图；

图2为本发明实施例1的流程图；

图3为本发明实施例2的流程图；

图4为本发明实施例3的流程图；

图5为本发明实施例4的流程图。

具体实施方式

见图1，本发明基于量子通信网络的nfc认证系统，在量子通信网络中，若干量子通信城域网接入量子通信干线，而每个量子通信城域网可让多个量子通信服务站接入。

量子通信服务站内部配置有多个服务器，例如供认证服务、量子密钥分发服务、量子随机数服务。

认证服务用于对量子通信服务站的用户设备进行身份认证。

量子密钥分发服务用于通过量子通信城域网和量子通信干线，与另一个量子通信服务站进行量子密钥分发并产生成对密钥，密钥分发协议优选为bb84。

量子随机数服务用于为量子密钥卡和量子通信服务站颁发成对的量子随机数密钥集，此颁发过程可以参考中国专利申请201610843210.6中有关量子密钥卡的颁发。

量子随机数服务为量子密钥卡和量子通信服务站颁发成对的量子随机数密钥集后，量子通信服务站将量子密钥卡颁发给量子通信服务站的用户设备，在实际使用时量子密钥卡与量子通信服务站的用户设备存在一一对应的关系。量子通信服务站的用户设备可以以固定用户设备和移动用户设备的形式接入量子通信服务站。固定用户设备可以是普通pc/mac电脑，嵌入式设备，也可以是各类服务器，如本发明所述的应用服务器。移动用户设备可以是手机/pad等各类移动终端。不论是哪类量子通信服务站的设备，均留有接口对接量子密钥卡，并能与其进行通信。当用户设备接入量子通信服务站时，与特定的量子密钥卡发生一一对应的绑定关系，否则无法接入量子通信服务站。

关于量子密钥卡的实现方式可以参考中国专利申请201610843210.6，其中公开了一种量子通信服务站、量子密钥管理装置以及密钥配置网络和方法，也介绍了有关量子密钥卡的颁发。

应用系统可以是各类需要身份认证的系统，包括应用服务器和若干应用终端，应用服务器运行业务服务程序，应用终端运行业务客户端程序。本发明的应用系统可以但不限于是：门禁系统；智能楼宇控制系统；考勤系统；等等。前述三种应用系统的情况下，其应用服务器分别为：门禁系统后台服务器；智能楼宇后台控制中心；考勤系统后台服务器；其应用终端分别为：门禁装置；智能楼宇受控终端；考勤机终端。

应用服务器是量子通信服务站的用户设备。应用终端使用者必须同时拥有量子通信服务站的移动用户设备，每个移动用户设备对应一或多个量子密钥卡。

应用终端不需要是但也可以是量子通信服务站的用户设备。当应用终端是量子通信服务站的用户设备时，与应用服务器通过量子通信网络进行通信。当应用终端不是量子通信服务站的用户设备时，应用终端和应用服务器之间还有安全的认证通信网络。安全的认证通信网络的可能性有：由静态密钥、预分配密钥、动态令牌密钥、手机动态令牌密钥、短信密钥等密钥或ca证书来保障安全的通信网络；专用安全通信网络等。

每个应用终端均带有nfc通信的能力。

本发明所述需要nfc通信的移动终端均带有nfc通信模块，该模块使用的是本领域技术人员所周知的技术，因此实现方式不在本发明讨论。

实施例1

nfc认证流程qra_flow

qra_flow的直接涉及方有移动终端mt(当前量子密钥卡为mtk，其身份识别号为mtkid)、应用终端at、应用服务器as(当前量子密钥卡为ask，其身份识别号为askid)、mtk当前密钥所对应的量子通信服务站的认证服务模块qmt(其身份识别号为qmtid)、ask当前密钥所对应的量子通信服务站的认证服务模块qas(其身份识别号为qasid)。at使用者持有mt，mt当前和mtk配对，因此at使用者持有mtk。

at使用者持有mtk向as进行登记注册。as为at使用者分配的身份识别号为uid；其绑定的量子密钥卡的身份识别号为mtkid。as存储uid及其对应的mtkid至账户数据库。as还可以存储uid对应的使用者生物学特征至账户数据库，如指纹特征、虹膜特征、人脸特征、静脉特征、掌纹特征等。

见图2，qra_flow如下：

3.1mt向at发送使用者访问请求

mt与at建立nfc连接。使用者在mt的app界面输入uid，并发送使用者访问请求。

访问请求类型有：显示at相关业务界面；执行at控制的门禁开关操作；执行at控制的智能楼宇电气开关操作；执行at所在位置的人员考勤；等等。

访问请求中带有uid、mtkid。

该数据传输由nfc实现。

3.2at形成nfc认证相关信息

at生成并记录nfc认证相关信息到at的认证存储单元。当应用终端是量子通信服务站的用户设备时，认证存储单元是量子密钥卡的内部存储单元。当应用终端不是量子通信服务站的用户设备时，认证存储单元是主板芯片、ukey、sdkey等硬件隔离装置的内部存储单元，或者是at自带的内部存储单元。

nfc认证相关信息包括nfc认证信息和nfc认证附加信息，见下表。

nfc认证信息包括nfc挑战id、nfc挑战值。nfc挑战id是代表该nfc认证信息唯一身份的数字或字符串。nfc挑战值为真随机数。

nfc认证附加信息包括nfc认证信息生成时间、nfc认证信息申请者id、nfc认证信息申请者的量子密钥卡id。nfc认证信息生成时间是生成nfc认证信息的时间。nfc认证信息申请者id即uid。nfc认证信息申请者的量子密钥卡id即mtkid。

at记录的nfc认证相关信息有其认证有效的时间范围，称为nfc认证最大时间差。超过此认证有效的时间范围后，该nfc认证相关信息被视为无效信息，将不定期从at的认证存储单元中删除。优选为，nfc认证最大时间差为60秒。也可以设置nfc认证最大时间差为无穷大。当nfc认证最大时间差尚未到达，但nfc连接断开时，则该nfc认证相关信息也将被视为无效信息。

3.3at向mt发送nfc认证信息

该数据传输由nfc实现。

3.4mt生成nfc认证应答值

mt将nfc认证信息传入mtk，mtk取出当前认证密钥，结合nfc认证信息中的nfc挑战值，根据约定的认证算法计算得到nfc认证应答值。优选为，认证算法为挑战应答算法，且应答方式为带密钥的哈希算法(如hmac)。

3.5mt向at发送认证应答

mt向at发送的认证应答包括nfc挑战id、uid、mtkid、nfc认证应答值。

除上述信息，还可以带上mt采集的使用者生物学信息，如指纹信息、虹膜信息、人脸信息、静脉信息、掌纹信息等。为防止使用者生物学信息后续被用于重放攻击，事先在mtk中使用密钥对使用者生物学信息进行加密算法计算，得到使用者生物学信息的加密值。

该数据传输由nfc实现。

3.6at对mt应答合法性进行判断

3.6.1身份信息合法性判断

at判断mt发来的nfc挑战id、uid、mtkid与认证存储单元中nfc认证相关信息中的nfc挑战id、uid、mtkid是否一致，如果不一致则判断为不合法，向mt返回失败消息及错误码，流程结束；否则继续。

3.6.2时间合法性判断

at记录当前时间，即nfc认证时间。at在nfc认证相关信息中找出nfc认证信息生成时间。nfc认证时间差等于nfc认证时间和nfc认证信息生成时间之差。如果nfc认证时间差大于nfc认证最大时间差，则判断为不合法，向mt返回失败消息及错误码，流程结束；否则继续。

3.7at向as发送认证请求

at向as发送的认证请求包含nfc挑战值、uid、mtkid。如mt的认证应答包含使用者生物学信息的加密值，则at向as发送的认证请求也包含该使用者生物学信息的加密值。

at与as可以利用各自匹配的量子密钥卡通过与所属的量子通信服务站间接通信，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

3.8as对at认证请求的合法性进行判断

as在账户数据库中找出uid，并根据账户数据库判断mtkid是否属于该uid，如果不是则判断为at认证请求不合法，向at返回失败的认证应答；否则继续。

如at的认证请求包含使用者生物学信息的加密值，则as从账户数据库中获得使用者生物学信息，以备后续计算。如获取失败，则向at返回失败的认证应答；否则继续。

3.9as向qas发送认证请求

as向qas发送的认证请求包括mtkid、nfc挑战值。

如at的认证请求包含使用者生物学信息的加密值，则as向qas发送的认证请求包含该使用者生物学信息的加密值。

3.10qas向qmt发送认证请求

qas根据mtkid找到其对应的qmt，然后发送认证请求。

qas向qmt发送的认证请求与as向qas发送认证请求所包含内容相同。

3.11qmt生成nfc认证预期应答值

qmt根据mtkid搜索到mtk对应的量子随机数密钥，结合nfc挑战值，进行认证算法计算，得到nfc认证预期应答值。

如qas向qmt发送的认证请求包含使用者生物学信息的加密值，则使用与mtk对应的密钥，对使用者生物学信息的加密值进行解密算法计算，得到mt采集的使用者生物学信息。

3.12qmt向qas发送认证预期值

qmt向qas发送的认证预期值包含nfc认证预期应答值。

如qas向qmt发送的认证请求包含使用者生物学信息的加密值，则认证预期值还包含mt采集的使用者生物学信息。

3.13qas向as发送认证预期值

qas向as发送的认证预期值与qmt向qas发送的认证预期值包含内容相同。

在步骤3.9、3.10、3.12和3.13中涉及不同量子通信服务站之间，以及应用服务器与量子通信服务站之间的数据传输，不同量子通信服务站之间可以利用站间量子密钥进行数据的加密传输以及相互认证，而应用服务器则可以通过量子密钥卡与所属的量子通信服务站之间进行数据的加密传输以及相互认证，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

3.14as向at发送nfc认证预期应答值

如qas向as发送的认证预期值中包含mt采集的使用者生物学信息，则as取出来自账户数据库的使用者生物学信息，对二者进行对比。如果二者不符，则向at返回失败的认证应答；否则继续。

as向at发送nfc认证预期应答值。

该数据传输由量子通信网络或者安全的认证通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

3.15at判断nfc认证结果并执行相关业务

at对比nfc认证应答值和nfc认证预期应答值，得到nfc认证结果。如果nfc认证应答值和nfc认证预期应答值相等，则认证成功；否则认证失败。

如果nfc认证结果为成功，at的相关业务可以包括但不限于：显示使用者认证成功及相关业务界面；执行门禁开关操作；执行智能楼宇电气开关操作；执行考勤成功操作；记录认证成功信息至日志模块；等等。

如果nfc认证结果为失败，at的相关业务可以包括但不限于：显示使用者认证失败及相关业务界面；记录认证失败信息至日志模块；等等。

3.16at向mt发送nfc认证结果

可有以下几种情况。

情况1：at向mt发送nfc认证结果。该数据传输由nfc实现。

情况2：at向as发送认证结果。

情况3：at向as发送认证结果，然后由as向mt发送认证结果。

at与as可以利用各自匹配的量子密钥卡通过对应的量子通信服务站通信，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

as与mt既可以采用at与as之间的经由量子通信网络的方式，还可以采用安全的认证通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

至此qra_flow结束。

实施例2

nfc认证简化流程qra_sflow

qra_flow的特殊情况是，当应用服务器和移动终端所使用的量子密钥卡对应的量子通信服务站是同一个时，即只存在qas且不存在qmt时，流程发生适当简化。其具体过程类似于实施例1的qra_flow，仅仅是省略了qas与qmt通信的几个步骤。

见图3，qra_sflow如下：

4.1mt向at发送使用者访问请求

4.2at形成nfc认证相关信息

4.3at向mt发送nfc认证信息

4.4mt生成nfc认证应答值

4.5mt向at发送认证应答

4.6at对mt应答合法性进行判断

4.6.1身份信息合法性判断

4.6.2时间合法性判断

4.7at向as发送认证请求

4.8as对at认证请求的合法性进行判断

4.9as向qas发送认证请求

4.10qas生成nfc认证预期应答值

4.11qas向as发送认证预期值

4.12as向at发送nfc认证预期应答值

4.13at判断nfc认证结果并执行相关业务

4.14at向mt发送nfc认证结果

至此qra_sflow结束。

实施例3

简化操作的nfc认证流程sqra_flow

前述qra_flow和qra_sflow，第一步均需要向mt输入uid，如果输入uid较复杂则操作不便。为进一步方便使用者操作，可以使用以下无需输入uid的流程sqra_flow。

sqra_flow的直接涉及方与qra_flow相同。

at使用者持有mtk向as进行登记注册，as将mtkid记录到as的账户数据库，该情况记为sqra_flow_reg；或者不注册，该情况记为sqra_flow_unreg。sqra_flow_reg情况下，as还可以存储mtkid对应的使用者生物学特征至账户数据库，如指纹特征、虹膜特征、人脸特征、静脉特征、掌纹特征等。

见图4，sqra_flow如下：

5.1mt向at发送使用者访问请求

mt与at建立nfc连接。使用者在mt的app界面无需输入uid，直接发送使用者访问请求。

访问请求类型有：显示at相关业务界面；执行at控制的门禁开关操作；执行at控制的智能楼宇电气开关操作；执行at所在位置的人员考勤；等等。

访问请求中带有mtkid。

该数据传输由nfc实现。

5.2at形成nfc认证相关信息

at生成并记录nfc认证相关信息到at的认证存储单元。当应用终端是量子通信服务站的用户设备时，认证存储单元是量子密钥卡的内部存储单元。当应用终端不是量子通信服务站的用户设备时，认证存储单元是主板芯片、ukey、sdkey等硬件隔离装置的内部存储单元，或者是at自带的内部存储单元。

nfc认证相关信息包括nfc认证信息和nfc认证附加信息，见下表。

nfc认证信息包括nfc挑战id、nfc挑战值。nfc挑战id是代表该nfc认证信息唯一身份的数字或字符串。nfc挑战值为真随机数。

nfc认证附加信息包括nfc认证信息生成时间、nfc认证信息申请者的量子密钥卡id。nfc认证信息生成时间是生成nfc认证信息的时间。nfc认证信息申请者的量子密钥卡id即mtkid。

at记录的nfc认证相关信息有其认证有效的时间范围，称为nfc认证最大时间差。超过此认证有效的时间范围后，该nfc认证相关信息被视为无效信息，将不定期从at的认证存储单元中删除。优选为，nfc认证最大时间差为60秒。也可以设置nfc认证最大时间差为无穷大。当nfc认证最大时间差尚未到达，但nfc连接断开时，则该nfc认证相关信息也将被视为无效信息。

5.3at向mt发送nfc认证信息

该数据传输由nfc实现。

5.4mt生成nfc认证应答值

mt将nfc认证信息传入mtk，mtk取出当前认证密钥，结合nfc认证信息中的nfc挑战值，根据约定的认证算法计算得到nfc认证应答值。优选为，认证算法为挑战应答算法，且应答方式为带密钥的哈希算法(如hmac)。

5.5mt向at发送认证应答

t向at发送的认证应答包括nfc挑战id、mtkid、nfc认证应答值。

除上述信息，还可以带上mt采集的使用者生物学信息，如指纹信息、虹膜信息、人脸信息、静脉信息、掌纹信息等。为防止使用者生物学信息后续被用于重放攻击，事先在mtk中使用密钥对使用者生物学信息进行加密算法计算，得到使用者生物学信息的加密值。

该数据传输由nfc实现。

5.6at对mt应答合法性进行判断

5.6.1身份信息合法性判断

at判断mt发来的nfc挑战id、mtkid与认证存储单元中nfc认证相关信息中的nfc挑战id、mtkid是否一致，如果不一致则判断为不合法，向mt返回失败消息及错误码，流程结束；否则继续。

5.6.2时间合法性判断

at记录当前时间，即nfc认证时间。at在nfc认证相关信息中找出nfc认证信息生成时间。nfc认证时间差等于nfc认证时间和nfc认证信息生成时间之差。如果nfc认证时间差大于nfc认证最大时间差，则判断为不合法，向mt返回失败消息及错误码，流程结束；否则继续。

5.7at向as发送认证请求

at向as发送的认证请求包含nfc挑战值、mtkid。

如mt的认证应答包含使用者生物学信息的加密值，则at向as发送的认证请求也包含该使用者生物学信息的加密值。

at与as可以利用各自匹配的量子密钥卡通过与所属的量子通信服务站间接通信，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

5.8as对at认证请求的合法性进行判断

(仅sqra_flow_reg情况下)as根据账户数据库判断mtkid是否存在，如果不存在则判断为at认证请求不合法，向at返回失败的认证应答；否则继续。

如at的认证请求包含使用者生物学信息的加密值，则as从账户数据库中获得使用者生物学信息，以备后续计算。如获取失败，则向at返回失败的认证应答；否则继续。

5.9as向qas发送认证请求

as向qas发送的认证请求包括mtkid、nfc挑战值。

如at的认证请求包含使用者生物学信息的加密值，则as向qas发送的认证请求包含该使用者生物学信息的加密值。

5.10qas向qmt发送认证请求

qas根据mtkid找到其对应的qmt，然后发送认证请求。

qas向qmt发送的认证请求与as向qas发送认证请求所包含内容相同。

5.11qmt生成nfc认证预期应答值

qmt根据mtkid搜索到mtk对应的量子随机数密钥，结合nfc挑战值，进行认证算法计算，得到nfc认证预期应答值。

如qas向qmt发送的认证请求包含使用者生物学信息的加密值，则使用与mtk对应的密钥，对使用者生物学信息的加密值进行解密算法计算，得到mt采集的使用者生物学信息。

5.12qmt向qas发送认证预期值

qmt向qas发送的认证预期值包含nfc认证预期应答值。

如qas向qmt发送的认证请求包含使用者生物学信息的加密值，则认证预期值还包含mt采集的使用者生物学信息。

5.13qas向as发送认证预期值

qas向as发送的认证预期值与qmt向qas发送的认证预期值包含内容相同。

在步骤5.9、5.10、5.12和5.13中涉及不同量子通信服务站之间，以及应用服务器与量子通信服务站之间的数据传输，不同量子通信服务站之间可以利用站间量子密钥进行数据的加密传输以及相互认证，而应用服务器则可以通过量子密钥卡与所属的量子通信服务站之间进行数据的加密传输以及相互认证，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

5.14as向at发送nfc认证预期应答值

如qas向as发送的认证预期值中包含mt采集的使用者生物学信息，则as取出来自账户数据库的使用者生物学信息，对二者进行对比。如果二者不符，则向at返回失败的认证应答；否则继续。

as向at发送nfc认证预期应答值。

该数据传输由量子通信网络或者安全的认证通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

5.15at判断nfc认证结果并执行相关业务

at对比nfc认证应答值和nfc认证预期应答值，得到nfc认证结果。如果nfc认证应答值和nfc认证预期应答值相等，则认证成功；否则认证失败。

如果nfc认证结果为成功，at的相关业务可以包括但不限于：显示使用者认证成功及相关业务界面；执行门禁开关操作；执行智能楼宇电气开关操作；执行考勤成功操作；记录认证成功信息至日志模块；等等。

如果nfc认证结果为失败，at的相关业务可以包括但不限于：显示使用者认证失败及相关业务界面；记录认证失败信息至日志模块；等等。

5.16at向mt发送nfc认证结果

可有以下几种情况。

情况1：at向mt发送nfc认证结果。该数据传输由nfc实现。

情况2：at向as发送认证结果。

情况3：at向as发送认证结果，然后由as向mt发送认证结果。

at与as可以利用各自匹配的量子密钥卡通过对应的量子通信服务站通信，该过程也可以参考中国专利申请201610845826.7，以及201610842873.6的相关内容，数据传输由量子通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

as与mt既可以采用at与as之间的经由量子通信网络的方式，还可以采用安全的认证通信网络的加解密方法和消息认证方法保证其安全性和可靠性。

至此sqra_flow结束。

实施例4

简化操作的nfc认证简化流程sqra_sflow

sqra_flow的特殊情况是，当应用服务器和移动终端所使用的量子密钥卡对应的量子通信服务站是同一个时，即只存在qas且不存在qmt时，流程发生适当简化。其具体过程类似于实施例3的sqra_flow，仅仅是省略了qas与qmt通信的几个步骤。

见图5，sqra_sflow如下：

6.1mt向at发送使用者访问请求

6.2at形成nfc认证相关信息

6.3at向mt发送nfc认证信息

6.4mt生成nfc认证应答值

6.5mt向at发送认证应答

6.6at对mt应答合法性进行判断

6.6.1身份信息合法性判断

6.6.2时间合法性判断

6.7at向as发送认证请求

6.8as对at认证请求的合法性进行判断

6.9as向qas发送认证请求

6.10qas生成nfc认证预期应答值

6.11qas向as发送认证预期值

6.12as向at发送nfc认证预期应答值

6.13at判断nfc认证结果并执行相关业务

6.14at向mt发送nfc认证结果

至此sqra_sflow结束。

以上公开的仅为本发明的具体实施例，但是本发明并非局限于此，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。例如nfc传输数据的步骤，也可以替换为任意其他短距离通信技术，例如：蓝牙、wifi、红外线、zigbee、uwb等。显然这些改动和变型均应属于本发明要求的保护范围保护内。此外，尽管本说明书中使用了一些特定的术语，但这些术语只是为了方便说明，并不对本发明构成任何特殊限制。