服务端上，即终端预先在服务端上注册第二用户生物特征。可选的，终端可以通过执行服务端预先设置在终端的生物特征注册指令第二用户生物特征注册在服务端上，以使服务端获知用户自身的生物特征，方便后期的用户身份验证。这里的服务端为提供终端相关服务的服务器平台，例如当用户通过终端进行网购时，这里的服务端就可以为支付宝平台。当用户需要进行移动支付时，则就需要通过终端和服务端对该用户的身份验证。
[0178]S502:服务端向所述终端发送携带挑战文的生物特征认证请求，以使所述终端根据所述第一用户生物特征、所述终端上预先存储的第二用户密钥密文和第二用户生物特征安全梗概，获取第一用户密钥后，根据所述第一用户密钥对所述挑战文进行签名处理，获得第一签名；其中，所述第二用户密钥密文为加密的第二用户密钥。
[0179]具体的，当终端接收到服务端发送的生物特征认证请求之后，用户会在终端上输入第一用户生物特征。需要说明的是，这里的第一用户生物特征需要和第二用户生物特征是同类型的生物特征，即若用户在服务端注册的第二用户生物特征是指纹，则这里输入的第一用户生物特征也应该是指纹，而不能是瞳孔等其他的生物特征。
[0180]终端在收到用户当前输入的第一用户生物特征之后，执行服务端预设在终端内部的第一生物特征处理指令集，即终端结合预先存储的第二用户生物特征安全梗概，推算出第一生物特征编码(在终端中生物特征实际上都是以编码形式存在的)。然后，终端根据该第一生物特征编码的哈希值对预先存储的第二用户密钥密文进行解密，以获得与第一用户生物特征对应的第一用户密钥。之后，终端根据该第一用户密钥对生物特征认证请求中的挑战文进行签名处理(实际上是利用第一用户密钥对挑战文进行计算)，产生第一签名。
[0181]进一步地，终端根据预设的第二用户公钥判断上述第一签名是否正确。可选的，终端根据预设的第二用户公钥判断第一签名是否与第三签名相同，该第三签名为终端预先根据第二用户密钥对挑战文进行签名处理得到的，也就是说，该第三签名是终端利用所注册的第二用户生物特征对应的正确的第二用户密钥对挑战文进行签名处理得到的，而这里的第一用户密钥是与用户输入的第一用户生物特征对应的，其正确性无法保证(若输入的第一用户生物特征是正确的，即用户输入的第一用户生物特征与注册的第二用户生物特征一致，则这个第一用户密钥就是正确的密钥；但是，若输入的第一用户生物特征本身就是错误的生物特征，则这里的第一用户密钥就是错误的)，故利用第一用户密钥对同一挑战文进行签名处理得到的第一签名的正确性也无法保证。因此，终端可以利用与第二用户密钥对应的第二用户公钥判断该第一签名是否和第三签名相同，来判断该第一签名是否正确。当然，该第三签名中没有携带第二用户生物特征。
[0182]若终端判断第一签名和第三签名相同，则说明第一签名正确。也就是说，该第一签名中没有携带第二用户生物特征。之后，终端就将该第一签名和第二用户公钥发送给服务端。
[0183]S503:服务端接收所述终端发送的所述第一签名和所述第二用户公钥。
[0184]S504:服务端根据所述第二用户公钥和所述第一签名确定所述第一用户生物特征是否通过验证。
[0185]具体的，服务端在接收到第二用户公钥和第一签名之后，也根据第二用户公钥判断该第一签名是不是利用第二用户密钥对挑战文做签名处理后得到的，即服务端也需要判断第一签名是否和第三签名相同。若是，则服务端确认该第一签名是正确的，即服务端确定用户当前输入的第一用户生物特征是正确的，用户身份通过认证。
[0186]本发明实施例提供的用户身份认证方法，通过服务端预先给终端配置第一生物特征处理指令集，终端执行该第一生物特征处理指令集，即终端根据用户输入的第一用户生物特征、预先存储的第二用户密钥密文和第二用户生物特征安全梗概，获取第一用户密钥；并在根据该第一用户密钥对服务端发送的挑战文进行签名处理获取第一签名之后，判断该第一签名是否准确，从而在第一签名正确后，将第一签名发送给服务端，使得服务端根据第二用户公钥和第一签名确定第一用户生物特征是否通过验证。本发明实施例提供的方法，由于第一生物特征处理指令集是服务端配置给终端的，因此，对于服务端来说，并不是完全依赖终端的比对结果，提高了服务端进行用户身份验证时的安全性和应用弹性(即服务端可以适当的调整终端执行第一生物特征处理指令集比对生物特征时的比对阈值)；另外，由于终端也会对上述获取的第一结果进行监控，避免将第二用户生物特征泄漏到非安全区域，确保了用户的隐私；同时，本发明提供的方法，终端无需保存用户完整的生物特征，因此不需要额外的安全存储硬件，节省了硬件设计的成本。
[0187]图6为本发明提供的用户身份认证方法实施例六的流程示意图。本实施例涉及的是在用户进行身份认证之前(即在上述S501之前)，终端根据服务端配置的第二生物特征处理指令集和第二用户生物特征，将第二用户生物特征注册在服务端上的具体过程。如图6所示，在S501之前，该方法还包括:
[0188]S601:服务端将第二生物特征处理指令集配置给所述终端。
[0189]具体的，服务端预先将第二生物特征处理指令集配置给终端，使得终端能够根据该第二生物特征处理指令集在服务端上注册第二用户生物特征。需要说明的是，终端在进行用户的第二用户生物特征注册之前，服务端会先通过其它如用户账户口令、密码、短信或语音等方式来认证用户，即用户需要先登录服务端，在用户身份首次被确认之后，才进行生物特征的注册。
[0190]S602:服务端接收所述终端发送的生物特征注册请求；其中，所述生物特征注册请求包括用户ID和终端ID。
[0191]S603:服务端将装置密钥密文和装置公钥发送给所述终端，以使所述终端根据用户输入的用户账户口令解密所述装置密钥密文，获取装置密钥后，根据所述装置密钥对所述第二用户公钥和所述用户ID进行签名处理，获得所述第二签名。
[0192]具体的，服务端接收到终端发送的携带用户ID和终端ID的生物特征注册请求后，会产生装置公钥密钥对，该装置公钥密钥对包括一个装置密钥和一个装置公钥；之后，服务端利用用户输入的用户账户口令或密码的哈希值对装置密钥进行加密(服务端本身就知晓对应该用户账户的用户账户口令或密码或者这二者的哈希值)，生成装置密钥密文之后，将装置密钥密文和装置公钥发送给终端。
[0193]之后，终端根据用户输入的用户账户口令对上述装置密钥密文进行解密，以获取装置密钥；并且，终端还产生用户公钥密钥对，该用户公钥密钥对包括第二用户密钥和第二用户公钥。进一步地，终端在接收到用户输入的第二用户生物特征之后，根据第二用户生物特征的哈希值对第二用户密钥加密，获取第二用户密钥密文和第二用户生物特征安全梗概，并将该第二用户密钥密文和第二用户生物特征安全梗概保存起来，以方便上述S502中终端根据所保存的第二用户密钥密文和第二用户生物特征安全梗概，并结合输入的第一用户生物特征，获取第一用户密钥，并方便终端根据第一用户密钥获取第一签名。
[0194]进一步地，终端根据之前获取的装置密钥对第二用户公钥和用户ID进行签名处理，即对第二用户公钥和用户ID进行签名计算(可以参照现有技术)，获取第二签名。随后，终端根据之前所获取的装置密钥判断该第二签名是否正确，即判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的。由于装置公钥与装置密钥相对应，因此，利用装置公钥可以准确的判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的，并且，判断该第二签名中有没有包括第二用户生物特征；若没有，则说明该第二签名正确。
[0195]S604:服务端接收所述终端发送的第二签名。
[0196]S605:服务端根据所述装置公钥和所述第二签名确定所述第二用户生物特征是否注册成功。
[0197]具体的，终端将该第二签名发送给服务端，该第二签名是终端通过执行服务端预设在终端内部的第二生物特征处理指令集得到的，因此，对于服务端来说，其知道该第二签名是终端执行自己配置给终端的第二生物特征处理指令集得到的。服务端在收到该第二签名之后，利用装置公钥同样对该第二签名进行判断，即判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的，若是，则说明该第二签名正确，用户的第二用户生物特征注册成功。
[0198]本发明实施例提供的用户身份认证方法，服务端预先将第二生物特征处理指令集配置给终端，使得终端能够根据该第二生物特征处理指令集在服务端上注册用户的第二用户生物特征；之后，终端根据服务端预设在终端内部的第一生物特征处理指令集，判断当前输入的第一用户生物特征是否与第二用户生物特征匹配，获得第一结果后，并判断该第一结果是否正确，并在第一结果正确时，将所述第一结果发送给服务端，使得服务端根据第一结果确定第一用户生物特征是否通过验证。本发明实施例提供的方法，由于第一生物特征处理指令集是服务端配置给终端的，因此，对于服务端来说，并不是完全依赖终端的比对结果，提高了服务端进行用户身份验证时的安全性和应用弹性(即服务端可以适当的调整终端执行第一生物特征处理指令集比对生物特征时的比对阈值)；另外，由于终端也会对上述获取的第一结果进行监控，避免将第二用户生物特征泄漏到非安全区域，确保了用户的隐私；同时，本发明提供的方法，终端无需保存用户完整的生物特征，因此不需要额外的安全存储硬件，节省了硬件设计的成本。
[0199]图7为本发明提供的用户身份认证方法实施例七的信令流程图。本实施例涉及的终端和服务端相互配合对用户的身份进行认证的具体过程。该方法包括:
[0200]S701:服务端将第二生物特征处理指令集和第一生物特征处理指令集配置给所述终端。
[0201]该第一生物特征处理指令集用于进行用户的生物特征注册，第二生物特征处理指令集用于进行用户的生物特征验证。这两个生物特征处理指令集可以集成在终端内部的同一个模块中，也可以位于不同的模块中，本发明实施例对此并不做限制。
[0202]S702:终端向所述服务端发送生物特征注册请求；其中，所述生物特征注册请求包括用户ID和终端ID。
[0203]具体的，终端在进行用户的第二用户生物特征注册之前，服务端会先通过其它如用户账户口令、密码、短信或语音等方式来认证用户，即用户需要先登录服务端，在用户身份首次被确认之后，才进行生物特征的注册。即，终端向服务端发送携带用户ID和终端ID的生物特征注册请求，以在服务端上注册第二用户生物特征。
[0204]S703:服务端产生装置公钥密钥对。
[0205]S704:服务端根据用户输入的用户账户口令的哈希值对装置密钥进行加密，获取装置密钥密文。
[0206]具体的，服务端本身是可以获知用户的账户口令或用户账户口令的哈希值的。并且，可选的，服务端还可以通过用户账户的密码的哈希值对装置密钥进行加密，获得装置密钥密文。
[0207]S705:服务端将装置密钥密文和装置公钥发送给终端。
[0208]S706:终端根据用户输入的用户账户口令解密所述装置密钥密文，获取装置密钥。
[0209]S707:终端产生用户公钥密钥对；其中，所述用户公钥密钥对包括所述第二用户密钥和所述第二用户公钥。
[0210]S708:终端接收用户输入的第二用户生物特征。
[0211]S709:终端根据所述第二用户生物特征的哈希值对所述第二用户密钥加密，获取所述第二用户密钥密文和所述第二用户生物特征安全梗概。
[0212]S710:终端保存所述第二用户密钥密文和所述第二用户生物特征安全梗概。
[0213]S711:终端根据所述装置密钥对所述第二用户公钥和所述用户ID进行签名处理，获得所述第二签名。
[0214]具体的，终端根据之前获取的装置密钥对第二用户公钥和用户ID进行签名处理，即对第二用户公钥和用户ID进行签名计算(可以参照现有技术)，获取第二签名。
[0215]S712:终端根据所述装置公钥判断所述第二签名是否正确；若是，执行S713，若否，则结束流程。
[0216]具体的，终端根据之前所获取的装置密钥判断该第二签名是否正确，即判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的。由于装置公钥与装置密钥相对应，因此，利用装置公钥可以准确的判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的，并且，判断该第二签名中有没有包括第二用户生物特征；若没有，则说明该第二签名正确。
[0217]S713:终端将所述第二签名发送给所述服务端。
[0218]S714:服务端根据所述装置公钥和所述第二签名确定所述第二用户生物特征是否注册成功。若是，则服务端确认第二用户生物特征注册成功，执行S715 ;若否，结束流程。
[0219]具体的，服务端在收到该第二签名之后，也需要利用装置公钥同样对该第二签名进行判断，即判断上述第二签名是不是终端通过装置密钥对第二用户公钥和用户ID进行签名处理得到的，若是，则说明该第二签名正确，用户的第二用户生物特征注册成功。
[0220]S715:服务端向所述终端发送携带挑战文的生物特征认证请求。
[0221]S716:终端接收用户输入的第一用户生物特征。
[0222]具体的，当终端接收到服务端发送的生物特征认证请求之后，用户会在终端上输入第一用户生物特征。需要说明的是，这里的第一用户生物特征需要和第二用户生物特征是同类型的生物特征，即若用户在服务端注册的第二用户生物特征是指纹，则这里输入的第一用户生物特征也应该是指纹，而不能是瞳孔等其他的生物特征。
[0223]S717:终端根据所述第一用户生物特征、上述保存的第二用户密钥密文和第二用户生物特征安全梗概，获取第一用户密钥；其中，所述第二用户密钥密文为加密的第二用户密钥。
[0224]具体的，终端在收到用户当前输入的第一用户生物特征之后，执行服务端预设在终端内部的第一生物特征处理指令集，即终端结合预先存储的