一种数字证书签名、验签方法及系统、数字证书系统与流程

本申请涉及信息技术领域，具体地说，涉及一种数字证书签名方法、一种数字证书验签方法、一种数字证书系统、一种数字证书签名、验签系统。

背景技术：

pki为publickeyinfrastructure的简称，即公钥基础设施，是提供非对称加解密和数字签名验签服务的系统或平台，目的是为了管理密钥和数字证书。pki是一种遵循标准的利用公钥加密技术为电子商务、电子政务等的开展提供一套安全基础平台的技术和规范。

为了提高网上银行、电话银行、网上证券、电话证券、网上购物、网络游戏等网络应用系统的身份认证安全性，各行业、各企业纷纷推出比传统静态密码具有更高安全性的pki、otp、生物特征识别、大数据风控等身份认证系统。

采用pki、otp、生物特征识别、大数据风控等身份认证系统进行身份认证，极大提高了网络应用系统的安全性。目前主要的身份认证方式及其优缺点为：

传统的pki技术和otp技术，目前多以硬件形式实现，安全性较高，目前有广泛应用；但其需要用户去领取实物、随身携带、且有学习使用过程，用户体验较差；而其中的短信验证码虽然不需要额外的硬件设备，但由于手机平台的开放性，安全性较差，面临问题越来越多；

生物特征的身份认证，用户不需要携带额外硬件，使用体验较好；但由于其多为静态数据，在开放环境、开放网络、开放平台上容易被截获或者进行复制；特别是由于生物特征具备不能更改的特性，容易产生较多安全问题，因此其更适合作为近场身份认证手段；

基于大数据的分析的身份认证，对用户完全是透明的，用户体验更好，但多维度数据的归集和使用尚无相关法律法规，还牵扯隐私保护等问题，同时其识别结果只能是一个概率，而不是一个确定性的判定，因此其更适合作为广告营销和风险控制手段。

因此，急需一种无额外硬件、使用安全便利、抗抵赖性强并且兼容性好的基于tee的数字证书的身份认证方法。

技术实现要素：

有鉴于此，本申请所要解决的技术问题是现有的身份认证方法不安全、不稳定、不便利和兼容性不高的问题。

为了解决上述技术问题，本发明提供了一种无额外硬件、使用安全便利、抗抵赖性强并且兼容性好的基于tee的数字证书的身份验证方法及系统，通过在tee下进行数字证书的签名及验签，避免了现有的身份认证方法不安全、不稳定、不便利和兼容性不高的问题，本申请技术方案如下：

一种基于tee的数字证书的身份验证方法，包括终端预先配置数字证书系统、数字证书签名过程和数字证书验签过程，其特征在于，所述终端具备tee，所述数字证书签名过程，在所述终端上进行，用于针对用户请求使用数字证书私钥进行签名，所述数字证书验签过程用于认证请求的用户的身份，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性；其中，所述数字证书签名过程在tee下进行。

优选的，所述客户端为所述终端内部应用客户端，所述数字证书签名过程包括：

步骤1：所述数字证书系统安全储存用户身份信息、根ca证书信息和用户数字证书及私钥信息，所述客户端对应的服务器安全存储其数字证书及私钥信息，所述终端收到客户端的应用的身份认证请求及所述服务器对所述请求的签名，启动所述数字证书系统，所述数字证书系统校验所述服务器数字证书合法有效、所述签名完整正确后，向终端用户发送输入所述用户身份信息的请求；

步骤2：所述数字证书系统将输入的信息与所述步骤1中储存的所述用户身份信息进行校验；

步骤3：当所述步骤2中校验的结果为信息一致时，所述数字证书系统使用用户数字证书私钥签名步骤1所述的身份认证请求，所述数字证书签名过程完成。

优选的，所述客户端为所述终端外部应用客户端，所述外部应用客户端是指所述应用客户端的载体为所述步骤1中终端之外的设备，所述数字证书签名过程包括：

步骤①：所述数字证书系统安全储存用户身份信息、根ca证书信息和用户数字证书及私钥信息，所述客户端对应的服务器安全存储其数字证书及私钥信息，启动所述数字证书系统时，所述数字证书系统向用户发送输入所述用户身份信息的请求；

步骤②：所述数字证书系统将输入的信息与所述步骤①中储存的所述用户身份信息进行校验；

步骤③：当所述步骤②中校验的结果为信息一致时，所述数字证书系统通过otg、nfc、蓝牙、音频、声波、用户输入或扫描条形码、二维码的方式获取所述客户端的应用的身份认证请求及步骤①所述服务器对所述请求的签名信息，所述数字证书系统校验所述服务器数字证书合法有效、所述签名完整正确后，所述数字证书系统使用用户数字证书私钥签名所述的身份认证请求，所述数字证书签名过程完成。

优选的，所述客户端为终端内部应用客户端，所述数字证书验签过程包括：

步骤a1：所述数字证书系统发送所述步骤3中产生的签名至所述终端内部应用客户端；

步骤b1：所述终端内部应用客户端收到所述签名后，发送步骤1中的请求及签名信息至该客户端应用对应的服务器；

步骤c1：步骤b1中所述服务器接收所述请求及签名，校验用户信息和步骤b1中发送的签名的完整正确、及对应的用户数字证书的合法有效，校验结果为正确时，所述服务器处理请求并返回处理结果至所述终端内部应用客户端；

步骤d1：所述终端内部应用客户端接收所述步骤c1中的处理结果，校验相关信息并显示，所述数字证书验签过程完毕。

优选的，所述客户端为终端外部应用客户端，所述数字证书验签过程包括：

步骤a2：所述终端通过otg、nfc、蓝牙、音频或声波的方式发送所述步骤③产生的签名到所述客户端，或以条形码、二维码的形式显示供所述外部应用客户端扫描读取；

步骤b2：所述外部应用客户端获取该签名后，发送所述步骤③中的请求及签名信息至该客户端应用对应的服务器；

步骤c2：步骤b2中所述服务器接收所述步骤b2中的所述请求及签名，校验用户信息和步骤b2发送的签名的完整正确、及对应的用户数字证书的合法有效，校验结果为正确时，所述服务器处理所述应用请求并返回处理结果至所述外部应用客户端；

步骤d2：所述外部应用客户端接收所述步骤c2中的处理结果，校验相关信息并显示，所述数字证书验签过程完毕。

优选的，还包括所述数字证书系统的创建账户、生成密钥对及签发数字证书的过程，其中，包括：

步骤一：终端预先配置基于tee的数字证书系统构成所述数字证书系统，在所述数字证书系统注册用户账户，注册用户账户包括输入身份信息和设置访问口令，所述数字证书系统安全储存所述注册身份信息和访问口令；

步骤二：所述数字证书系统读取信任根设备的认证数据或者请求信任根设备签发认证数据；

步骤三：所述数字证书系统通过所述客户端应用对应的服务器请求信任根系统认证步骤二中所述认证数据和所述注册身份信息，所述信任根系统与步骤二中所述信任根设备相对应；

步骤四：所述信任根系统校验步骤二中所述认证数据并校验所述注册身份信息与所述信任根设备是否相对应，将校验结果通过所述客户端应用对应的服务器发送至所述数字证书系统；

步骤五：当步骤四所述校验结果为所述认证数据校验成功并且所述注册身份信息与所述信任根设备相对应时，所述数字证书系统产生第一私钥及其对应的第一公钥，安全存储所述私钥，并向所述客户端应用对应的ca服务器发送数字证书签发请求；

步骤六：所述ca服务器接收步骤五中所述的请求并签发所述数字证书，所述客户端应用对应的服务器绑定用户账户和数字证书对应关系，将签名后的数字证书发送至所述数字证书系统；

步骤七：所述数字证书系统接收并安全储存所述步骤六中签发的数字证书，所述数字证书系统的创建账户、生成密钥对及签发数字证书过程完成；

所述步骤一至三、步骤五和步骤七在tee下进行。

优选的，还包括所述数字证书系统的用户数字证书更新过程，其中，包括：

步骤a：所述数字证书系统请求更新用户数字证书，并向用户发送输入所述用户身份信息的请求；

步骤b：所述数字证书系统将输入的信息与所述步骤1中储存的所述用户身份信息进行校验；当校验结果为一致时，向用户发送使用信任根设备的请求；

步骤c：所述数字证书系统读取信任根设备的认证数据或者请求信任根设备签发认证数据；当信任根设备授权读取或签发相关认证数据后，所述数字证书系统通过所述客户端应用对应的服务器请求信任根系统认证所述注册身份信息和所述认证数据，所述信任根系统与步骤b中所述信任根设备相对应；

步骤d：所述信任根系统校验所述步骤c中认证数据并校验所述注册身份信息与所述信任根设备是否相对应，将校验结果通过所述客户端应用对应的服务器发送至所述数字证书系统；

步骤e：当步骤d所述校验结果为所述认证数据校验成功并且所述注册身份信息与所述信任根设备相对应时，所述数字证书系统产生第二私钥及其对应的第二公钥，安全存储所述私钥，并向所述客户端对应的ca服务器发送数字证书更新和签发请求；

步骤f：所述ca服务器接收步骤e中所述的更新和签发请求并签名所述新数字证书，所述客户端应用对应的服务器绑定用户账户和新数字证书对应关系，将签名后的新数字证书发送至所述数字证书系统；

步骤g：所述数字证书系统接收并安全储存所述步骤f中的签发的新数字证书，删除旧数字证书，所述数字证书系统的用户数字证书更新过程完成；

所述步骤a至c、步骤e和步骤g在tee下进行。

优选的，所述步骤1中的用户身份信息包括用户基本身份信息和生物特征信息，所述基本身份信息包括姓名和证件号码，所述生物特征信息包括指纹信息、面部特征信息、声纹信息和/或虹膜信息；

所述步骤3中还包括：当所述步骤2中校验的结果为信息一致时，所述数字证书系统安全显示所述客户端的应用请求信息，并提请用户确认，在用户确认同意所述请求后，所述数字证书系统使用用户数字证书私钥对所述请求进行签名，所述数字证书签名过程完成；

所述步骤③中还包括：当所述步骤②中校验的结果为信息一致时，所述数字证书系统安全显示所述客户端的应用请求信息，并提请用户确认，在用户确认同意所述请求后，所述数字证书系统使用用户数字证书私钥对所述请求进行签名，所述数字证书签名过程完成。

优选的，所述数字证书系统包括：

用户鉴别模块，用于接收安全执行模块的指令鉴别用户，并反馈鉴别结果至所述安全执行模块；

密码运算模块，用于接收安全执行模块的指令进行运算，并发送运算结果至所述安全执行模块；

安全存储模块，用于接收安全执行模块的指令，安全存储用户数据并与所述安全执行模块进行所述用户数据的传递；

安全执行模块，用于向所述安全输入/输出模块、所述用户鉴别模块、所述密码运算模块、安全接口模块和所述安全存储模块资源调度、发送指令并接收相关数据；

安全接口模块，用于通过蓝牙、otg、nfc，或者二维码、声波，或者tee与ree的通讯代理机制及共享内存机制，与客户端应用进行数据交互；

所述安全输入/输出模块、安全执行模块、安全接口模块和安全存储模块与所述终端装置内的tee模块连接。

一种基于tee的数字证书的身份验证系统，包括配置单元、数字证书签名单元和数字证书验签单元，其特征在于，

配置单元，用于在终端预先配置数字证书系统；

数字证书签名单元，在所述终端上进行，用于针对用户请求生使用数字证书私钥进行签名；

数字证书验签单元，用于认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括所述验证所述数字证书的合法性及有效性、所述签名的完整性及正确性；

其中，所述数字证书签名单元运行于tee下。

本发明还提供了一种数字证书签名方法，包括：

在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息；

在终端的tee环境下，获取客户端的应用的身份认证请求和用户身份信息；

在终端的tee环境下，根据所述用户身份信息，对用户身份进行校验；若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求。

可选地，所述在终端的tee环境下，获取客户端的应用的身份认证请求和用户身份信息包括：

在终端的tee环境下，接收客户端的应用的身份认证请求及所述服务器对所述请求的签名；

在终端的tee环境下，校验所述服务器数字证书合法有效、所述签名完整正确后，则向终端用户发送输入所述用户身份信息的请求；

在终端的tee环境下，获取用户输入的用户身份信息。

可选地，在所述在终端的tee环境下，根据所述用户身份信息，对用户身份进行校验；若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求之前，所述方法还包括：

在终端的tee环境下，获取外部应用客户端的应用的身份认证请求及服务器对所述请求的签名信息，其中，所述外部应用客户端的载体为所述应用客户端的载体为终端内部应用客户端之外的设备。

可选地，所述在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息包括：

在终端的tee环境下，产生第一私钥及其对应的第一公钥，安全存储所述第一私钥，并向所述客户端的应用对应的ca服务器发送用户数字证书签发请求；

在终端的tee环境下，接收并安全存储所述ca服务器签发的用户数字证书。

可选地，在所述在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息之前，所述方法还包括：

在终端的tee环境下，请求更新用户数字证书；

所述在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息包括：

在终端的tee环境下，产生第二私钥及其对应的第二公钥，安全存储所述第二私钥，并向所述客户端对应的ca服务器发送用户数字证书更新和签发请求；

在终端的tee环境下，接收并安全存储所述ca服务器签发的新的用户数字证书，并删除之前获取的用户数字证书。

可选地，在所述在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息之前，所述方法还包括：

在终端的tee环境下，获取信任根设备的认证数据；

在终端的tee环境下，通过客户端应用对应的服务器请求信任根系统认证所述认证数据，所述信任根系统与信任根设备相对应；

在终端的tee环境下，接收所述信任根系统校验认证数据并校验注册身份信息与信任根设备是否相对应的校验结果；

在终端的tee环境下，若校验结果为认证数据校验成功并且注册身份信息与信任根设备相对应时，则执行所述获取ca服务器签发的用户数字证书及产生私钥信息的步骤。

可选地，所述若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求包括：

在终端的tee环境下，若校验结果为一致，则显示客户端的应用请求信息，并提请用户确认；

在终端的tee环境下，在用户确认同意所述请求后，使用用户数字证书私钥对所述身份认证请求进行签名。

可选地，所述用户身份信息包括用户基本身份信息和生物特征信息，所述基本身份信息包括姓名和证件号码，所述生物特征信息包括指纹信息、面部特征信息、声纹信息和/或虹膜信息。

本发明还提供了一种数字证书验签方法，包括：

在服务器端，接收身份认证请求及签名；

校验用户信息和签名的完整正确、及对应的用户数字证书的合法有效；

若验证结果为正确，则处理请求并返回处理结果至客户端；

其中，所述身份认证请求的签名是由下述步骤得到的：

在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息；

在终端的tee环境下，获取客户端的应用的身份认证请求和用户身份信息；

在终端的tee环境下，根据所述用户身份信息，对用户身份进行校验；若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求。

本发明还提供了一种数字证书系统，包括：

用户鉴别模块，用于接收安全执行模块的指令鉴别用户，并反馈鉴别结果至所述安全执行模块；所述用户鉴别模块，具体用于：

在终端的tee环境下，根据所述用户身份信息，对用户身份进行校验；

密码运算模块，用于接收安全执行模块的指令进行运算，并发送运算结果至所述安全执行模块；所述密码运算模块，具体用于：

在终端的tee环境下，若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求。

安全存储模块，用于接收安全执行模块的指令，安全存储用户数据并与所述安全执行模块进行所述用户数据的传递；

安全执行模块，用于向所述安全输入/输出模块、所述用户鉴别模块、所述密码运算模块、安全接口模块和所述安全存储模块资源调度、发送指令并接收相关数据；

安全接口模块，用于通过蓝牙、otg、nfc，或者二维码、声波，或者tee与ree的通讯代理机制及共享内存机制，与客户端应用进行数据交互；所述安全接口模块，具体用于：

在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息；

在终端的tee环境下，获取客户端的应用的身份认证请求和用户身份信息；

安全输入/输出模块，用于安全管理并调用所述输出模块和所述输入模块；

所述安全输入/输出模块、安全执行模块、安全接口模块和安全存储模块与所述终端装置内的tee模块连接。

本发明还提供了一种数字证书的签名、验签系统，包括：

服务器端，用于接收身份认证请求及签名；

校验用户信息和签名的完整正确、及对应的用户数字证书的合法有效；

若验证结果为正确，则处理请求并返回处理结果至客户端；

内部应用客户端，用于在终端的tee环境下，

获取ca服务器签发的用户数字证书及产生私钥信息；

获取客户端的应用的身份认证请求和用户身份信息；

根据所述用户身份信息，对用户身份进行校验；若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求。

本发明还提供了一种数字证书的签名、验签系统，包括：

服务器端，包括：

用于接收身份认证请求及签名的模块；

用于校验用户信息和签名的完整正确、及对应的用户数字证书的合法有效的模块；

用于若验证结果为正确，则处理请求并返回处理结果至客户端的模块；

内部应用客户端，包括：

用于在终端的tee环境下，获取ca服务器签发的用户数字证书及产生私钥信息的模块；

用于在终端的tee环境下，获取客户端的应用的身份认证请求和用户身份信息的模块；

用于在终端的tee环境下，根据所述用户身份信息，对用户身份进行校验；若校验结果为一致，则使用所述用户数字证书私钥签名所述身份认证请求的模块。

与现有技术相比，本申请所述的方法和系统，达到了如下效果：

(1)本发明提供的基于tee的数字证书的身份验证方法，数字签名与验签过程、密码运算过程及用户鉴别过程在tee下进行，用户的密钥、身份信息、生物特征信息和口令信息等敏感信息在tee下通过安全存储模块存储，避免了现有技术中的诸多问题，如数字签名过程在ree中进行、用户敏感信息在ree环境下存储，产生隐私泄露、财产被窃取的隐患等；同时，在tee环境下，通过安全接口与客户端应用传递身份认证请求，通过安全输入/输出接口管理和调用终端的输入模块和输入模块，身份认证请求信息安全显示并经过用户的确认，避免了ree环境下输入和输出模块被非法应用控制和篡改的风险，确保了身份认证过程能体现用户的真实意愿；

(2)本发明提供的基于tee的数字证书的身份验证方法，所述终端装置可以为任一具备tee的智能设备，不需要特定的设备，在用户通常随身携带的智能终端装置上即可进行，如手机、平板电脑等设备，但是其使用的安全性同样非常高；

(3)本发明提供的基于tee的数字证书的身份验证方法，兼容生物特征鉴别，把人体生物特征这一特有的固定的信息也加以应用，没有通过生物特征鉴别认证便不能进入身份认证的下一个步骤，并且上述过程均在tee下进行，在使用安全的同时也提高了使用过程中的便利性；

(4)本发明提供的基于tee的数字证书的身份验证方法，从初始步骤开始即基于tee进行，从流程上提高身份认证的安全系数；作为数字证书系统的数字证书公私钥，其产生过程基于tee进行，数字证书及公私钥储存于设备的tee中，从系统设置上提高了身份认证的安全系数；

(5)本发明提供的基于tee的数字证书的身份验证方法，本申请所述的方法不需要亲自去柜台开户和下载数字证书，可以安全便利同时使身份验证具有抗抵赖性，用户使用便利，处理效率高、体验佳、对各应用的兼容性高，整个身份认证过程安全系数也更高；

(6)本发明提供的基于tee的数字证书的身份验证方法，能够安全便利、高效的进行身份验证过程，并且能够有效的保证验证双方的真实合法性，能够实现请求报文的安全传输、防篡改、防伪造和防抵赖，并且所述数字证书签名过程在tee下进行，使所述身份验证方法更安全、更便捷，更好保护用户隐私，用户体验更好；

(7)本发明提供的基于tee的数字证书的身份验证方法，所述数字证书安全系统功能综合，运作过程安全，综合了证书鉴别、生物特征鉴别及口令鉴别等方式，使其身份认证方式的兼容性更强，安全性能更好、用户体验更佳；

(8)本发明提供的基于tee的数字证书的身份验证系统，使用时不需要专门的教程，其使用都是针对用户请求进行一一响应，通过终端装置提示来完成，相较于现有技术中的动态口令系统，其契合用户的使用习惯，使用非常便利；其保护了用户的密钥、身份信息、生物特征信息和口令信息等，在使用便利的同时也提高了使用过程中的安全性和隐私性。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例所述数字证书签名过程的流程图；

图2为本申请实施例所述数字证书签名过程的流程图；

图3为本申请实施例所述数字证书验签过程的流程图；

图4为本申请实施例所述数字证书验签过程的流程图；

图5为本申请实施例所述数字证书系统的创建账户的过程的流程图；

图6为本申请实施例所述数字证书系统的更新过程的流程图；

图7为本申请实施例所述数字证书系统的结构示意图；

图8为本申请实施例所述终端的结构示意图；

图9为本申请实施例所述方法的结构示意图。

具体实施方式

如在说明书及权利要求当中使用了某些词汇来指称特定组件。本领域技术人员应可理解，硬件制造商可能会用不同名词来称呼同一个组件。本说明书及权利要求并不以名称的差异来作为区分组件的方式，而是以组件在功能上的差异来作为区分的准则。如在通篇说明书及权利要求当中所提及的“包含”为一开放式用语，故应解释成“包含但不限定于”。“大致”是指在可接收的误差范围内，本领域技术人员能够在一定误差范围内解决所述技术问题，基本达到所述技术效果。此外，“耦接”一词在此包含任何直接及间接的电性耦接手段。因此，若文中描述一第一装置耦接于一第二装置，则代表所述第一装置可直接电性耦接于所述第二装置，或通过其他装置或耦接手段间接地电性耦接至所述第二装置。说明书后续描述为实施本申请的较佳实施方式，然所述描述乃以说明本申请的一般原则为目的，并非用以限定本申请的范围。本申请的保护范围当视所附权利要求所界定者为准。

实施例一：

一种基于tee的数字证书的身份验证方法，包括终端2预先配置数字证书系统1、数字证书签名过程和数字证书验签过程，其特征在于，所述终端2具备tee，所述数字证书签名过程，在所述终端2上进行，用于针对用户请求使用数字证书私钥进行签名，所述数字证书验签过程用于认证请求的用户的身份，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性；其中，所述数字证书签名过程在tee下进行。

所述用户请求，具体来说，包括客户端的应用请求，所述应用请求需要进行身份验证。所述数字证书系统1位于所述终端2tee中，tee为trustedexecutionenvironment的缩写，中文译文为可信执行环境，本发明提供的基于tee的数字证书的身份验证方法，为一种身份认证方法，所述数字证书签名过程在tee下进行，避免了现有技术中的诸多问题，如数字证书签名过程在ree中进行，产生隐私泄露、财产存在被窃取的隐患等；同时，在tee环境下，通过安全接口模块106与客户端应用传递身份认证请求，通过安全输入/输出接口管理和调用终端2的输入模块和输入模块，身份认证请求信息安全显示并经过用户的确认，避免了ree环境下输入模块和输出模块被非法应用控制和篡改的风险，确保了身份认证过程能体现用户的真实意愿；所述终端2可以为任一具备tee的智能设备，所述数字证书系统1为软件形式，设置于所述终端2的tee执行模块中，不需要特定的设备，在用户通常随身携带的智能终端2上即可进行，如手机、平板电脑等设备，但是其使用的安全性同样非常高；使用时不需要专门的教程，其使用都是针对用户请求进行一一响应，通过终端2提示来完成，符合群众的使用习惯，相较于现有技术中的身份认证方法，其同时具备高水平的安全性能并且契合用户的使用习惯，使用非常便利。

应当注意的是，本申请中所述的身份验证方法并不止是指验证一个用户身份信息的验证，也应当包括其在ca系统中是否具有合法有效的数字证书的验证、其对应用请求的签名是否完整正确的验证；所述的身份验证方法包括但不限于下述过程中的身份验证：1、双方经过相互验证数字证书及签名以验证对方身份的真伪，从而与对方进行安全隐私的交流或授予相应的资源访问权限；2、双方经过相互验证数字证书及签名来验证在交易中对方身份，文件、批文、合同、票据，协议、标书等经过数字证书加密后进行传输，发送方用接收方的公钥对报文进行加密，接收方用只有自己才有的私钥进行解密，得到报文明文；发送方用自己的私钥对上述交易信息进行签名，接收方可用发送方的公钥进行验签。

所述数字证书签名具备抗抵赖性，在现实生活中用公章、签字等来实现的抗抵赖性在网上可以借助数字证书的数字签名来实现。数字签名不是书面签字的数字图象，而是在私有密钥控制下对报文本身进行密码变化形成的。数字签名能实现报文的防篡改、防伪造和防抵赖。

因此，本申请提供的身份验证方法，能够安全便利、高效的进行身份验证过程，并且能够有效的保证验证双方的真实合法性，能够实现请求报文的安全传输、防篡改、防伪造和防抵赖，并且所述数字证书签名过程在tee下进行，使所述身份验证方法更安全、更便利，隐私得以更好保护，用户体验更好。

实施例二：

一种基于tee的数字证书的身份验证方法，包括终端2预先配置数字证书系统1、数字证书签名过程和数字证书验签过程，其特征在于，所述终端2具备tee，所述数字证书签名过程，在所述终端2上进行，用于针对用户请求使用数字证书私钥进行签名，所述数字证书验签过程用于认证请求的用户的身份，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性；其中，所述数字证书签名过程在tee下进行。

如图1本申请实施例所述数字证书签名过程的流程图所示，所述客户端为所述终端2内部应用客户端，该内部应用客户端可位于所述终端2ree中，所述数字证书签名过程包括：

步骤1：所述数字证书系统1安全储存用户身份信息、根ca证书信息和用户数字证书及私钥信息，所述客户端对应的服务器安全存储其数字证书及私钥信息，所述终端2收到客户端的应用的身份认证请求及所述服务器对所述请求的签名，启动所述数字证书系统1，所述数字证书系统1校验所述服务器数字证书合法有效、所述签名完整正确后，向终端2用户发送输入所述用户身份信息的请求；用户可根据系统的提示进行输入，所述用户身份信息通常包括用户基本身份信息和生物特征信息，所述基本身份信息包括姓名和证件号码，所述生物特征信息包括指纹信息、面部特征信息、声纹信息和/或虹膜信息。

所述客户端的请求包括所有要求进行身份认证的移动应用的请求，如手机银行的交易请求、证券应用的交易请求和游戏应用的操作请求等。所述终端2收到客户端的请求的起因包括但不限于以下几种情况：所述终端2内部应用客户端发送请求至所述终端2；所述终端2的外部应用客户端产生请求并以二维码的形式呈现，所述终端2扫描接受所述外部应用客户端的请求；所述终端2的外部应用客户端产生请求，所述终端2通过蓝牙、nfc、otg等方式与所述外部应用客户端连接获取所述请求信息从而接受所述外部应用客户端的请求。所述的终端2内部应用客户端是指该应用客户端的硬件载体与所述终端2为同一个设备，所述外部应用客户端是指所述应用客户端的载体为所述步骤1中终端2之外的设备。

步骤2：所述数字证书系统1将输入的信息与所述步骤1中储存的所述用户身份信息进行校验，并且验证所述内部应用客户端的合法性；

步骤3：当所述步骤2中校验的结果为信息一致并且所述验证结果为合法时，所述数字证书系统1使用用户数字证书私钥签名步骤1所述的身份认证请求，所述数字证书签名过程完成。

终端2是用户用于和主机通信的设备如图7本申请实施例所述终端2的结构示意图所示，所述终端2包括：执行模块202，包括ree执行模块和tee执行模块；输出模块201，包括显示部件、声音部件和指示部件；输入模块203，包括按键输入部件、麦克风部件、指纹信息采集部件、摄像部件和/或传感器部件；通信模块205，包括移动通讯部件、蓝牙部件、wifi部件、otg部件和nfc部件；储存模块204，包括ram部件和/或flash部件。

所述终端2可以为任一具备tee的智能设备，所述数字证书签名过程在tee下进行，也即上述步骤1-3在tee下进行，解决了现有技术中数字证书密钥容易被截获的问题，并且本发明提供的身份认证方法兼容用户身份信息认证的方法，把人体生物特征这一特有的固定的信息也加以应用，没有通过用户身份信息认证便不能进入身份认证的下一个步骤，并且上述过程均在tee下进行，保护了用户的密钥、身份信息、生物特征信息和口令信息等，在使用便利的同时也提高了使用过程中的安全性和隐私性。

优选的，所述步骤1中的用户身份信息包括用户基本身份信息和生物特征信息，所述基本身份信息包括姓名和证件号码，所述生物特征信息包括指纹信息、面部特征信息、声纹信息、和/或虹膜信息。

优选的，所述步骤3中还包括：当所述步骤2中校验的结果为信息一致时，所述数字证书系统1安全显示所述客户端的应用请求信息，并提请用户确认，在用户确认同意所述请求后，所述数字证书系统1使用用户数字证书私钥对所述请求进行签名，所述数字证书签名过程完成。其中添加一个提请用户确认的过程，便于用户再次确认请求信息，以免造成失误，用户体验更好。

实施例三：

一种基于tee的数字证书的身份验证方法，包括终端2预先配置数字证书系统1、数字证书签名过程和数字证书验签过程，其特征在于，所述终端2具备tee和ree，所述数字证书签名过程，在所述终端2上进行，用于针对用户请求生成数字证书，所述数字证书验签过程用于认证请求的用户的身份，认证方式包括所述数字证书；其中，所述数字证书系统1位于所述终端2tee中，所述数字证书签名过程在tee下进行。

所述客户端为所述终端2外部应用客户端，所述数字证书签名过程包括：

步骤①：所述数字证书系统1安全储存用户身份信息、根ca证书信息和用户数字证书及私钥信息，所述客户端对应的服务器安全存储其数字证书及私钥信息，启动所述数字证书系统1时，所述数字证书系统1向用户发送输入所述用户身份信息的请求；

步骤②：所述数字证书系统1将输入的信息与所述步骤①中储存的所述用户身份信息进行校验；

步骤③：当所述步骤②中校验的结果为信息一致时，所述数字证书系统1通过otg、nfc、蓝牙、音频、声波、用户输入或扫描条形码、二维码的方式获取所述客户端的应用的身份认证请求及步骤①所述服务器对所述请求的签名信息，所述数字证书系统1校验所述服务器数字证书合法有效、所述签名完整正确后，所述数字证书系统1使用用户数字证书私钥签名所述的身份认证请求，所述数字证书签名过程完成。所述外部应用客户端是指所述应用客户端的载体为所述步骤1中终端2之外的设备。

优选的，所述步骤③中还包括：当所述步骤②中校验的结果为信息一致时，所述数字证书系统1安全显示所述客户端的应用请求信息，并提请用户确认，在用户确认同意所述请求后，所述数字证书系统1生成数字证书，所述数字证书签名过程完成。

本申请提供的身份验证方法，也可以用于外部应用客户端，信息传输方式多样，不同的传输方式可给不同习惯的使用者都带来良好的体验，适用广泛，使用便利。

实施例四：

在实施例一内容或者实施例一加上实施例二内容的基础上，所述客户端为终端2内部应用客户端，如图2本申请实施例所述数字证书验签过程的流程图和图8本申请实施例所述方法的结构示意图所示，所述数字证书验签过程包括：

步骤a1：所述终端2发送所述步骤3中产生的签名至所述终端2内部应用客户端5；所述的终端2内部应用客户端5是指该应用客户端的硬件载体与所述终端2为同一个设备，其发送方式为tee与ree间的通讯代理机制或共享内存机制等。

步骤b1：所述终端2内部应用客户端收到所述签名后，发送步骤1中的请求及签名信息至该客户端应用对应的服务器；所述内部应用客户端5及所述数字证书系统1的认证及服务后台系统可均存在于此服务器上。

步骤c1：步骤b1中所述服务器接收所述请求及签名，校验用户信息和步骤b1中发送的签名的完整正确、及对应的用户数字证书的合法有效，校验结果为正确时，所述服务器处理请求并返回处理结果至所述终端2内部应用客户端；校验结果为错误时，所述服务器拒绝请求并返回结果至所述终端2内部应用客户端。

步骤d1：所述内部应用客户端5接收所述步骤c1中的处理结果，校验相关信息并显示，所述数字证书验签过程完毕。

实施例五：

在实施例一内容或者实施例一加上实施例二内容的基础上，所述客户端为终端2外部应用客户端，如图3本申请实施例所述数字证书验签过程的流程图和图8本申请实施例所述方法的结构示意图所示，所述数字证书验签过程包括：

步骤a2：所述终端2通过otg、nfc、蓝牙、音频或声波的方式发送所述步骤③产生的签名到所述客户端，或以条形码、二维码的形式显示供所述外部应用客户端扫描读取；所述外部应用客户端4是指所述应用客户端的载体为所述步骤1中终端2之外的设备。

步骤b2：所述外部应用客户端获取该签名后，发送所述步骤③中的请求及签名信息至该客户端应用对应的服务器；

步骤c2：步骤b2中所述服务器接收所述步骤b2中的所述请求及签名，校验用户信息和步骤b2发送的签名的完整正确、及对应的用户数字证书的合法有效，校验结果为正确时，所述服务器处理所述应用请求并返回处理结果至所述外部应用客户端；校验结果为错误时，所述服务器拒绝请求并返回结果至所述终端2内部应用客户端。

步骤d2：所述外部应用客户端接收所述步骤c2中的处理结果，校验相关信息并显示，所述数字证书验签过程完毕。

实施例六：

在上述实施例的方法及其相互结合形成的方法的基础上，如图4本申请实施例所述数字证书系统1的创建账户的过程的流程图所示，所述基于tee的数字证书的身份验证方法还包括所述数字证书系统1的创建账户、生成密钥对及签发数字证书的过程，其中，包括：

步骤一：终端2预先配置基于tee的数字证书系统1构成所述数字证书系统1，在所述数字证书系统1注册用户账户，注册用户账户包括输入身份信息和设置访问口令，所述数字证书系统1安全储存所述注册身份信息和访问口令；

步骤二：所述数字证书系统1读取信任根设备的认证数据或者请求信任根设备签发认证数据；

步骤三：所述数字证书系统1通过所述客户端应用对应的服务器请求信任根系统认证步骤二中所述认证数据和所述注册身份信息，所述信任根系统与步骤二中所述信任根设备相对应；

步骤四：所述信任根系统校验步骤二中所述认证数据并校验所述注册身份信息与所述信任根设备是否相对应，将校验结果通过所述客户端应用对应的服务器发送至所述数字证书系统1；

步骤五：当步骤四所述校验结果为所述认证数据校验成功并且所述注册身份信息与所述信任根设备相对应时，所述数字证书系统1产生第一私钥及其对应的第一公钥，安全存储所述私钥，并向所述客户端应用对应的ca服务器发送数字证书签发请求；

步骤六：所述ca服务器接收步骤五中所述的请求并签发所述数字证书，所述客户端应用对应的服务器绑定用户账户和数字证书对应关系，将签名后的数字证书发送至所述数字证书系统1；

步骤七：所述数字证书系统1接收并安全储存所述步骤六中签发的数字证书，所述数字证书系统1的创建账户、生成密钥对及签发数字证书过程完成；

所述步骤一至三、步骤五和步骤七在tee下进行。

创建账户是使用系统的初始步骤，从初始步骤开始即基于tee进行，从流程上提高身份认证的安全系数，作为数字证书系统1的数字证书公钥及私钥，其产生过程基于tee进行，数字证书及公私钥储存于设备的tee中，从系统设置上提高了身份认证的安全系数；同时，本申请所述的方法不需要亲自去柜台开户和下载数字证书，安全便利同时使身份验证具有抗抵赖性，用户处理效率高、体验佳、对各应用的兼容性高，整个身份认证过程安全系数也更高。

优选的，如图5本申请实施例所述数字证书系统1的数字证书的更新过程的流程图所示，所述基于tee的数字证书的身份验证方法还包括所述数字证书系统1的更新过程，也即所述数字证书系统1的用户数字证书的更新过程，其中，包括：

步骤a：所述数字证书系统1请求更新用户数字证书，并向用户发送输入所述用户身份信息的请求；

步骤b：所述数字证书系统1将输入的信息与所述步骤1中储存的所述用户身份信息进行校验；当校验结果为一致时，向用户发送使用信任根设备的请求；

步骤c：所述数字证书系统1读取信任根设备的认证数据或者请求信任根设备签发认证数据；当信任根设备授权读取或签发相关认证数据后，所述数字证书系统1通过所述客户端应用对应的服务器请求信任根系统认证所述注册身份信息和所述认证数据，所述信任根系统与步骤b中所述信任根设备相对应；

步骤d：所述信任根系统校验所述步骤c中认证数据并校验所述注册身份信息与所述信任根设备是否相对应，将校验结果通过所述客户端应用对应的服务器发送至所述数字证书系统1；

步骤e：当步骤d所述校验结果为所述认证数据校验成功并且所述注册身份信息与所述信任根设备相对应时，所述数字证书系统1产生第二私钥及其对应的第二公钥，安全存储所述第二私钥，并向所述客户端对应的ca服务器发送数字证书更新和签发请求；

步骤f：所述ca服务器接收步骤e中所述的更新和签发请求并签名所述新数字证书，所述客户端应用对应的服务器绑定用户账户和新数字证书对应关系，将签名后的新数字证书发送至所述数字证书系统1；

步骤g：所述数字证书系统1接收并安全储存所述步骤f中的签发的新数字证书，删除旧数字证书，所述数字证书系统1的用户数字证书更新过程完成；

所述步骤a至c、步骤e和步骤g在tee下进行。

数字证书更新，是动态更新，更新指的是现在的数字证书公私钥跟原来的数字证书公私钥不一样。即使之前的数字证书公私钥被破解，窃取的是原来的数字证书，但不知道现在使用的数字证书公私钥是什么。这样一来，数字证书公私钥永远是秘密的。而本发明所提供的基于tee的数字证书的身份验证方法，其数字证书的更新过程在tee下进行，安全水平能够达到甚至超越硬件实物智能密码钥匙的安全水平。

实施例七：

如图6本申请实施例所述数字证书系统1的结构示意图所示，所述数字证书系统1包括：

安全存储模块104、安全输入/输出模块101、用户鉴别模块105、密码运算模块103、安全接口模块106和安全执行模块102，所述用户鉴别模块105、密码运算模块103、安全输入/输出模块101、安全接口模块106和安全存储模块104分别与所述安全执行模块102连接，所述安全输入/输出模块101、安全执行模块102、安全接口模块106和安全存储模块104与所述终端2装置2内的tee执行模块连接。

所述用户鉴别模块105，用于接收安全执行模块102的指令鉴别用户，并反馈鉴别结果至所述安全执行模块102；

密码运算模块103，用于接收安全执行模块102的指令进行运算，并发送运算结果至所述安全执行模块102；

安全存储模块104，用于接收安全执行模块102的指令，安全存储用户数据并与所述安全执行模块102进行所述用户数据的传递；

安全执行模块102，用于向所述安全输入/输出模块101、所述用户鉴别模块105、所述密码运算模块103、安全接口模块106和所述安全存储模块104资源调度、发送指令并接收相关数据；

所述安全输入/输出模块101用于安全管理并调用所述输出模块和所述输入模块；

安全接口模块106用户安全管理并调用所述通信模块；

所述安全存储模块用于安全管理并调用所述储存模块。

优选的，所述安全接口模块106，用于通过蓝牙、otg、nfc，或者二维码、声波，或者tee与ree的通讯代理机制及共享内存机制，与客户端应用进行数据交互；

所述用户鉴别模块105、密码运算模块103、安全输入/输出模块101、安全执行模块102、安全接口模块106和安全存储模块104与所述终端2装置2内的tee模块连接。

所述终端2装置2可以为任一具备tee的智能设备，所述数字签名过程在tee下进行，解决了现有技术中证书密钥容易被截获的问题，保护了用户的密钥、身份信息、生物特征信息和口令信息等，在使用便利的同时也提高了使用过程中的安全性和隐私性。

优选的，所述用户鉴别模块105包括口令鉴别单元、指纹信息鉴别单元、面部特征信息鉴别单元、声纹信息鉴别单元和/或虹膜信息鉴别单元。即所述用户鉴别模块105包括下述单元的任一种及其任意组合：口令鉴别单元、指纹信息鉴别单元、面部特征信息鉴别单元、声纹信息鉴别单元、虹膜信息鉴别单元。

优选的，所述输出模块201包括显示单元、声音单元和/或指示单元；所述输入模块203包括：屏单元、按键单元、指纹信息采集单元、声音采集单元、摄像单元和/或传感器单元。

优选的，所述密码运算模块103包括非对称密码算法单元、hash算法单元和/或对称密码算法单元。所述密码运算模块103包括下述单元的任一种及其任意组合：非对称密码运算单元、对称密码运算单元、hash运算单元。

优选的，所述用户数据包括：用户基本信息、用户鉴别信息、数字证书、非对称公私钥、对称密钥和/或字库。即所述用户数据包括下述信息的任一种及其任意组合：用户基本信息、用户鉴别信息、数字证书、非对称公私钥、对称密钥和字库。

所述数字证书安全系统1功能综合，运作过程安全，综合了证书鉴别、生物特征鉴别及口令鉴别等方式的优势，使其身份认证方式的兼容性更强，安全性能更好、用户体验更佳。

实施例八：

一种基于tee的数字证书的身份验证系统，包括配置单元数字证书签名单元和数字证书验签单元，其特征在于，

配置单元，用于在终端2预先配置数字证书系统1；

数字证书签名单元，在所述终端2上进行，用于针对用户请求生使用数字证书私钥进行签名；

数字证书验签单元，用于认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括所述验证所述数字证书的合法性及有效性、所述签名的完整性及正确性；

其中，所述数字证书签名单元运行于tee下。

本发明提供的基于tee的数字证书的身份验证系统1，符合群众的使用习惯，相较于现有技术中的身份认证方法，其同时具备高水平的安全性能并且契合用户的使用习惯，使用非常便利；保护了用户的密钥、身份信息、生物特征信息和口令信息等，在使用便利的同时也提高了使用过程中的安全性和隐私性。

通过以上各实施例可知，本申请存在的有益效果是：

(1)本发明提供的基于tee的数字证书的身份验证方法，数字签名与验签过程、密码运算过程及用户鉴别过程在tee下进行，用户的密钥、身份信息、生物特征信息和口令信息等敏感信息在tee下通过安全存储模块存储，避免了现有技术中的诸多问题，如数字签名生成过程在ree中进行、用户敏感信息在ree环境下存储，产生隐私泄露、财产被窃取的隐患等；同时，在tee环境下，通过安全接口与客户端应用传递身份认证请求，通过安全输入/输出接口管理和调用终端的输入模块和输入模块，身份认证请求信息安全显示并经过用户的确认，避免了ree环境下输入和输出模块被非法应用控制和篡改的风险，确保了身份认证过程能体现用户的真实意愿；

(2)本发明提供的基于tee的数字证书的身份验证方法，所述终端装置可以为任一具备tee的智能设备，不需要特定的设备，在用户通常随身携带的智能终端装置上即可进行，如手机、平板电脑等设备，但是其使用的安全性同样非常高；

(3)本发明提供的基于tee的数字证书的身份验证方法，兼容生物特征鉴别，把人体生物特征这一特有的固定的信息也加以应用，没有通过生物特征鉴别认证便不能进入身份认证的下一个步骤，并且上述过程均在tee下进行，在使用安全的同时也提高了使用过程中的便利性；

(4)本发明提供的基于tee的数字证书的身份验证方法，从初始步骤开始即基于tee进行，从流程上提高身份认证的安全系数；作为数字证书系统的数字证书公私钥，其产生过程基于tee进行，数字证书及公私钥储存于设备的tee中，从系统设置上提高了身份认证的安全系数；

(5)本发明提供的基于tee的数字证书的身份验证方法，本申请所述的方法不需要亲自去柜台开户和下载数字证书，可以安全便利同时使身份验证具有抗抵赖性，用户使用便利，处理效率高、体验佳、对各应用的兼容性高，整个身份认证过程安全系数也更高；

(6)本发明提供的基于tee的数字证书的身份验证方法，能够安全便利、高效的进行身份验证过程，并且能够有效的保证验证双方的真实合法性，能够实现请求报文的安全传输、防篡改、防伪造和防抵赖，并且所述数字证书签名过程在tee下进行，使所述身份验证方法更安全、更便捷，更好保护用户隐私，用户体验更好；

(7)本发明提供的基于tee的数字证书的身份验证方法，所述数字证书安全系统功能综合，运作过程安全，综合了证书鉴别、生物特征鉴别及口令鉴别等方式，使其身份认证方式的兼容性更强，安全性能更好、用户体验更佳；

(8)本发明提供的基于tee的数字证书的身份验证系统，使用时不需要专门的教程，其使用都是针对用户请求进行一一响应，通过终端装置提示来完成，相较于现有技术中的动态口令系统，其契合用户的使用习惯，使用非常便利；其保护了用户的密钥、身份信息、生物特征信息和口令信息等，在使用便利的同时也提高了使用过程中的安全性和隐私性。

当然，本发明所保护的技术方案并不必须同时达到所有上述有益效果，一个方案没有同时达到所有上述有益效果并不构成对本发明保护范围的限制。

本领域内的技术人员应明白，本申请的实施例可提供为方法、装置、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

上述说明示出并描述了本申请的若干优选实施例，但如前所述，应当理解本申请并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本申请的精神和范围，则都应在本申请所附权利要求的保护范围内。