一种进行业务处理的方法、装置和系统

摘要

本发明公开了一种进行业务处理的方法、装置和系统，属于计算机技术领域。所述方法包括：向业务服务器发送业务执行请求；接收所述业务服务器发送的携带有签名信息的验证通知；通过终端安全区域TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；向所述业务服务器发送携带有所述第一待验签信息的验证请求。采用本发明，可以增强安全性。

权利要求

1.一种进行业务处理的方法，其特征在于，所述方法包括：

向业务服务器发送业务执行请求；

接收所述业务服务器发送的携带有签名信息的验证通知；

通过终端安全区域TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，其中，不同业务对应不同的业务验证密钥，所述业务验证密钥包括业务私钥和业务公钥；

向所述业务服务器发送携带有所述第一待验签信息的验证请求。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

3.根据权利要求1所述的方法，其特征在于，所述使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，包括：使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

4.根据权利要求3所述的方法，其特征在于，所述使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息，包括：使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

5.一种进行业务处理的方法，其特征在于，所述方法包括：

接收终端发送的业务执行请求；

向所述终端发送携带有签名信息的验证通知；

当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理，其中，不同业务对应不同的业务验证密钥，所述业务验证密钥包括业务私钥和业务公钥。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥，对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥，对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

7.根据权利要求5所述的方法，其特征在于，所述基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，包括：基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

8.根据权利要求7所述的方法，其特征在于，所述基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理，包括：基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

9.一种终端，其特征在于，所述终端包括：

第一发送模块，用于向业务服务器发送业务执行请求；

接收模块，用于接收所述业务服务器发送的携带有签名信息的验证通知；

签名模块，用于通过终端安全区域TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，其中，不同业务对应不同的业务验证密钥，所述业务验证密钥包括业务私钥和业务公钥；

第二发送模块，用于向所述业务服务器发送携带有所述第一待验签信息的验证请求。

10.根据权利要求9所述的终端，其特征在于，所述终端还包括：

第一生成模块，用于通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

第二生成模块，用于通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

第三发送模块，用于向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

第三生成模块，用于通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

第四发送模块，用于向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

11.根据权利要求9所述的终端，其特征在于，所述签名模块，用于：

使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

12.根据权利要求11所述的终端，其特征在于，所述签名模块，用于：使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

13.一种业务服务器，其特征在于，所述业务服务器包括：

接收模块，用于接收终端发送的业务执行请求；

发送模块，用于向所述终端发送携带有签名信息的验证通知；

验签模块，用于当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理，其中，不同业务对应不同的业务验证密钥，所述业务验证密钥包括业务私钥和业务公钥。

14.根据权利要求13所述的业务服务器，其特征在于，所述验签模块，还用于：当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥，对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥，对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

15.根据权利要求13所述的业务服务器，其特征在于，所述验签模块，用于：基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

16.根据权利要求15所述的业务服务器，其特征在于，所述验签模块，用于：基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

17.一种进行业务处理的系统，其特征在于，所述系统包括业务服务器和终端，其中：所述终端，用于向所述业务服务器发送业务执行请求；接收所述业务服务器发送的携带有签名信息的验证通知；通过终端安全区域TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，其中，不同业务对应不同的业务验证密钥，所述业务验证密钥包括业务私钥和业务公钥；向所述业务服务器发送携带有所述第一待验签信息的验证请求；

所述业务服务器，用于接收所述终端发送的业务执行请求；向所述终端发送携带有签名信息的验证通知；当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

说明书

一种进行业务处理的方法、装置和系统

技术领域

[0001] 本发明涉及计算机技术领域，特别涉及一种进行业务处理的方法、装置和系统。

背景技术

[0002] 随着计算机技术的发展，手机、平板电脑等移动终端的应用越来越广泛，相应的终端上的应用程序的种类越来越多、功能越来越丰富，终端的多功能性给人们的生活带来了极大的方便，比如人们可以通过手机进行快捷支付等。为安全起见，用户往往对终端的一些功能设置密码，密码可以是生物特征信息(比如指纹信息)，比如通过手机进行支付时，只有通过指纹信息验证才可支付成功。

[0003] 目前，用户通过终端中的应用程序进行支付时，首先在终端中预先存储基准指纹信息，当需要进行支付时，终端获取用户的指纹信息，判断获取的指纹信息是否与存储的基准指纹信息一致，若一致，则终端向业务服务器发送验证成功结果，进而，业务服务器根据终端发送的验证成功结果完成支付处理。

[0004] 在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

[0005] 基于上述处理方式，业务服务器完全信任终端发送的验证成功结果，当终端被黑客破解时，未经生物识别验证，终端也可向业务服务器发送验证成功结果，从而，导致安全性较低。

发明内容

[0006] 为了解决现有技术的问题，本发明实施例提供了一种进行业务处理的方法、装置和系统。所述技术方案如下：

[0007] 第一方面，提供了一种进行业务处理的方法，所述方法包括：

[0008] 向业务服务器发送业务执行请求；

[0009] 接收所述业务服务器发送的携带有签名信息的验证通知；

[0010] 通过TEE(Trusted Execution Environment，终端安全区域)系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；

[0011] 向所述业务服务器发送携带有所述第一待验签信息的验证请求。

[0012] 可选的，所述方法还包括：

[0013] 通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

[0014] 通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

[0015] 向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

[0016] 通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

[0017] 向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

[0018] 可选的，所述使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，包括：

[0019] 使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

[0020] 这样，可以增强安全性。

[0021] 可选的，所述使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息，包括：

[0022] 使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0023] 这样，可以增强安全性。

[0024] 第二方面，提供了一种进行业务处理的方法，所述方法包括：

[0025] 接收终端发送的业务执行请求；

[0026] 向所述终端发送携带有签名信息的验证通知；

[0027] 当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0028] 可选的，所述方法还包括：

[0029] 当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥，对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

[0030] 当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥，对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

[0031] 可选的，所述基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，包括：

[0032] 基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

[0033] 可选的，所述基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理，包括：

[0034] 基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0035] 第三方面，提供了一种终端，所述终端包括：

[0036] 第一发送模块，用于向业务服务器发送业务执行请求；

[0037] 接收模块，用于接收所述业务服务器发送的携带有签名信息的验证通知；

[0038] 签名模块，用于通过TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；

[0039] 第二发送模块，用于向所述业务服务器发送携带有所述第一待验签信息的验证请求。

[0040] 可选的，所述终端还包括：

[0041] 第一生成模块，用于通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

[0042] 第二生成模块，用于通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

[0043] 第三发送模块，用于向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

[0044] 第三生成模块，用于通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

[0045] 第四发送模块，用于向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

[0046] 可选的，所述签名模块，用于：

[0047] 使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

[0048] 可选的，所述签名模块，用于：

[0049] 使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0050] 第四方面，提供了一种业务服务器，所述业务服务器包括：

[0051] 接收模块，用于接收终端发送的业务执行请求；

[0052] 发送模块，用于向所述终端发送携带有签名信息的验证通知；

[0053] 验签模块，用于当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0054] 可选的，所述验签模块，还用于：

[0055] 当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥，对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

[0056] 当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥，对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

[0057] 可选的，所述验签模块，用于：

[0058] 基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

[0059] 可选的，所述验签模块，用于：

[0060] 基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0061] 第五方面，提供了一种进行业务处理的系统，所述系统包括业务服务器和终端，其中：

[0062] 所述终端，用于向所述业务服务器发送业务执行请求；接收所述业务服务器发送的携带有签名信息的验证通知；通过TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；向所述业务服务器发送携带有所述第一待验签信息的验证请求；

[0063] 所述业务服务器，用于接收所述终端发送的业务执行请求；向所述终端发送携带有签名信息的验证通知；当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0064] 本发明实施例提供的技术方案带来的有益效果是：

[0065] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

附图说明

[0066] 为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

[0067] 图1是本发明实施例提供的一种进行业务处理的方法流程图；

[0068] 图2是本发明实施例提供的一种系统示意图；

[0069] 图3是本发明实施例提供的一种界面示意图；

[0070] 图4是本发明实施例提供的一种生成业务私钥和业务公钥的方法流程图；

[0071] 图5是本发明实施例提供的一种整体流程图；

[0072] 图6是本发明实施例提供的一种终端的结构示意图；

[0073] 图7是本发明实施例提供的一种终端的结构示意图；

[0074] 图8是本发明实施例提供的一种业务服务器的结构示意图；

[0075] 图9是本发明实施例提供的一种终端的结构示意图；

[0076] 图10是本发明实施例提供的一种业务服务器的结构示意图。

具体实施方式

[0077] 为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

[0078] 本发明实施例提供了一种进行业务处理的方法，该方法可以由终端和业务服务器共同实现。其中，终端可以是具有生物识别功能的终端，可以是手机、平板电脑等移动终端，业务服务器可以是用于进行业务处理的服务器，比如可以是用于在线支付处理的服务器。终端中可以设置有处理器、存储器、收发器，处理器可以用于对签名信息进行签名处理的相关处理，存储器可以用于存储下述处理过程中需要和产生的数据，收发器可以用于接收和发送数据。还可以设置有生物识别部件，生物识别部件可以用于检测当前输入的生物特征信息。业务服务器中可以设置有处理器、存储器、收发器，处理器可以用于对终端发送的待验签信息进行验签处理、判断是否对业务执行请求对应的业务进行处理，以及验签成功时进行业务处理的相关处理，存储器可以用于存储下述处理过程中需要和产生的数据，收发器可以用于接收和发送数据。

[0079] 下面将结合具体实施方式，对图1所示的处理流程进行详细的说明，内容可以如下：

[0080] 步骤101，终端向业务服务器发送业务执行请求。

[0081] 其中，业务服务器可以是用于处理业务的服务器，可以是终端中具有某种业务处理功能的应用程序的后台服务器，例如，业务服务器可以是微信的后台服务器。

[0082] 在实施中，终端中可以安装有用于实现某种业务处理的应用程序，例如，终端中可以安装有用于实现在线支付处理的应用程序(比如微信)，当用户欲通过终端实现该业务处理时，可以触发终端向业务服务器发送业务执行请求，如图2所示。

[0083] 步骤102，业务服务器接收终端发送的业务执行请求。

[0084] 在实施中，终端向业务服务器发送业务执行请求后，业务服务器可以接收终端发送的业务执行请求。

[0085] 步骤103，业务服务器向终端发送携带有签名信息的验证通知。

[0086] 在实施中，业务服务器接收到终端发送的业务执行请求后，可以向终端发送验证通知，其中，验证通知中可以携带有签名信息，签名信息可以是用于终端对其进行签名处理的信息，可以是字符串等。

[0087] 步骤104，终端接收业务服务器发送的携带有签名信息的验证通知。

[0088] 在实施中，业务服务器向终端发送携带有签名信息的验证通知后，终端可以接收业务服务器发送的验证通知，并可以对其进行解析，获取其中携带的签名信息。

[0089] 步骤105，终端通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息。

[0090] 其中，TEE系统可以是终端中用于验证生物特征信息以及对签名信息进行签名处理的系统，在其中存储、处理的数据是安全的，TEE系统独立于终端中的其他系统(比如安卓系统)，基准生物特征信息可以是用户设置的用于对业务处理进行验证的信息，比如可以是指纹信息，例如，用户对微信中的微信支付设置了基准指纹信息，微信支付业务也可以称为指纹支付业务。

[0091] 在实施中，终端获取到签名信息后，如图3所示，可以触发终端弹出提示窗口，用于提醒用户此时可以输入生物特征信息(比如，提示窗口中显示有请输入指纹的文本信息)，用户可以在预设时长内通过终端中的生物识别部件(比如指纹识别传感器)输入生物特征信息，此时将会触发终端通过终端安全区域TEE系统验证用户当前输入的生物特征信息与预先存储的基准生物特征信息是否一致，如果一致，终端可以通过TEE系统中预先存储的业务私钥对上述签名信息进行签名处理，得到待验签信息(可以称为第一待验签信息)，如果不一致，则终端可以不再进行后续处理。另外，若用户未在预设的时长内输入生物特征信息，即终端未在预设的时长内通过生物识别部件检测到生物特征信息，或者未在预设的时长内验证到生物特征信息与预先存储的基准生物特征信息一致，则终端可以不再进行后续处理。

[0092] 可选的，终端还可以对生物特征信息标识进行签名处理，相应的，处理过程可以如下：使用预先存储的业务私钥，对签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

[0093] 在实施中，用户通过生物识别部件录入基准生物特征信息时，终端可以对录入的基准生物特征信息存储有对应的生物特征信息标识，终端中存储的每个基准生物特征信息与生物特征信息标识一一对应，当用户对应用程序的某一功能录入基准生物特征信息时，业务服务器将会相应的存储登录在终端的账户对应的对于该功能的基准生物特征信息的生物特征信息标识，例如，用户可以对微信中的微信支付功能录入基准生物特征信息，相应的，业务服务器可以存储登录在终端中的账户(即微信账户)用于微信支付的基准生物特征信息的生物特征信息标识。终端可以通过终端安全区域TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则可以使用预先存储的业务私钥，对服务器发送的签名信息以及当前输入的生物特征信息对应的生物特征信息标识进行签名处理，得到第一待验签信息。

[0094] 可选的，终端还可以对终端关联安全信息进行签名处理，相应的，处理过程可以如下：使用预先存储的业务私钥，对签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0095] 在实施中，终端通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则可以签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，终端关联安全信息可以是涉及终端的安全信息，比如，可以包括系统标识、生物识别部件标识中的一种或多种，系统标识可以是系统的类别标识，生物识别部件标识可以是生物识别部件的型号标识等。

[0096] 步骤106，终端向业务服务器发送携带有第一待验签信息的验证请求。

[0097] 在实施中，终端得到第一待验签信息后，可以向业务服务器发送验证请求，其中，验证请求中可以携带有该第一待验签信息。

[0098] 步骤107，业务服务器当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息，对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。

[0099] 在实施中，终端向业务服务器发送携带有第一待验签信息的验证请求后，业务服务器可以接收终端发送的携带有第一待验签信息的验证请求，接收到验证请求后，可以对其进行解析，获取其中携带的第一待验签信息，进而，可以基于预先存储的与业务私钥对应的业务公钥以及签名信息，对第一待验签信息进行验签处理，具体的，如果验签成功，即如果第一待验签信息确实是由终端使用业务私钥对业务服务器发送的签名信息进行签名处理得到的，则可以执行终端发送的业务执行请求对应的业务处理，否则，可以拒绝执行业务执行请求对应的业务处理。

[0100] 可选的，针对终端对签名信息以及生物特征信息标识进行签名处理的情况，相应的，处理过程可以如下：基于预先存储的业务公钥、签名信息以及生物特征信息标识，对第一待验签信息进行验签处理。

[0101] 在实施中，针对终端使用业务私钥对签名信息以及生物特征信息标识进行签名处理的情况，业务服务器当接收到终端发送的携带有第一待验签信息的验证请求时，可以基于预先存储的业务公钥、签名信息以及生物特征信息标识对第一待验签信息进行验签处理，具体的，如果验签成功，即如果第一待验签信息确实是由终端使用业务私钥对业务服务器发送的签名信息以及登录在终端的账户对应的生物特征信息标识进行签名处理得到的，则可以执行终端发送的业务执行请求对应的业务处理，否则，可以拒绝执行业务执行请求对应的业务处理。

[0102] 可选的，针对终端对签名信息、生物特征信息标识、终端关联安全信息进行签名处理的情况，相应的，处理过程可以如下：基于预先存储的业务公钥、签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0103] 在实施中，针对终端使用业务私钥对签名信息、生物特征信息标识、终端关联安全信息进行签名处理的情况，业务服务器当接收到终端发送的携带有第一待验签信息的验证请求时，可以基于预先存储的业务公钥、签名信息、生物特征信息标识以及终端关联安全信息，对第一待验签信息进行验签处理，具体的，如果验签成功，即如果第一待验签信息确实是由终端使用业务私钥对业务服务器发送的签名信息、登录在终端的账户对应的生物特征信息标识、终端关联安全信息进行签名处理得到的，则可以执行终端发送的业务执行请求对应的业务处理，否则，可以拒绝执行业务执行请求对应的业务处理。

[0104] 本发明实施例还提供了一种生成业务私钥和业务公钥的方法，如图4所示，该方法可以用于生成上述业务私钥和业务公钥，下面将结合具体实施方式，对图4所示的处理流程进行详细的说明，内容可以如下：

[0105] 步骤401，终端通过TEE系统，生成一对设备私钥和设备公钥，将设备私钥存储在TEE系统中，将设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使设备公钥管理服务器将设备标识与设备公钥对应存储。

[0106] 其中，设备验证密钥包括一对设备私钥和设备公钥，用于验证终端的合法性，是产生应用验证密钥的必要密钥，设备私钥可以由厂商在终端出厂前内置在设备安全区域中，设备公钥存放在设备公钥管理服务器，一个终端有且只有一个设备验证密钥。

[0107] 在实施中，终端可以通过TEE系统生成设备验证密钥(也可以称为根密钥)，即生成一对设备私钥和设备公钥，其中，可以在终端出厂前通过终端中的TEE系统根据终端的硬件信息以及预设算法生成一对设备私钥和设备公钥，不同的终端对应不同的设备私钥和设备公钥。生成一对设备私钥和设备公钥后，可以将生成的设备私钥存储在TEE系统中，其中，设备验证密钥存储在安全区域，其他终端无法获知存储在安全区域的设备私钥，并将生成的设备公钥以及终端的设备标识发送至设备公钥管理服务器，其中，设备公钥管理服务器可以用于存储终端在出厂前生成的设备公钥，设备公钥管理服务器可以接收终端发送的设备公钥以及设备标识，进而，可以将设备标识与设备公钥对应存储。

[0108] 步骤402，终端通过TEE系统，生成一对应用私钥和应用公钥，将应用私钥存储在TEE系统中，并使用设备私钥对应用公钥进行签名处理，得到第二待验签信息。

[0109] 其中，应用验证密钥包括一对应用私钥和应用公钥，是由应用程序产生的一对使用预设算法生成的密钥，应用私钥存放于安全存储区域，应用公钥存放在业务服务器，该应用验证密钥可以用于验证应用程序的安全性与身份，是产生业务验证密钥的必要密钥，一个应用程序有且只有一个应用验证密钥，如果重复生成应用验证密钥，则会覆盖掉之前生成的应用验证密钥。

[0110] 在实施中，终端在安装完用于实现某种业务处理的应用程序(比如微信)，第一次启动该应用程序时，可以通过TEE系统生成应用验证密钥(也可以称为二级密钥)，即生成一对应用私钥和应用公钥，其中，可以通过终端中的TEE系统根据终端的硬件信息以及预设算法生成一对应用私钥和应用公钥，终端中的该应用程序对应有一对应用私钥和应用公钥，即生成的这一对应用私钥和应用公钥与应用程序具有对应关系，与登录在应用程序的账户没有对应关系。生成一对应用私钥和应用公钥后，可以将应用私钥存储在TEE系统中，并可以使用终端中预先存储的设备私钥对生成的应用公钥进行签名处理，得到待验签信息(可以称为第二待验签信息)。

[0111] 步骤403，终端向业务服务器发送携带有设备标识、应用公钥以及第二待验签信息的存储请求。

[0112] 在实施中，终端得到第二待验签信息后，可以向业务服务器发送存储请求，其中，存储请求中可以携带有设备标识、应用公钥以及第二待验签信息。

[0113] 步骤404，业务服务器当接收终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取设备标识对应的设备公钥，基于设备公钥以及应用公钥，对第二待验签信息进行验签处理，如果验签成功，则将设备标识与应用公钥对应存储。

[0114] 在实施中，终端向业务服务器发送携带有设备标识、应用公钥以及第二待验签信息的存储请求后，业务服务器可以接收终端发送的存储请求，并对其进行解析，获取其中携带的设备标识、应用公钥以及第二待验签信息，进而，可以向设备公钥管理服务器获取存储请求中携带的设备标识对应的设备公钥，可以基于获取的设备公钥以及应用公钥对第二待验签信息进行验签处理，并判断是否验签成功，如果验签成功，则可以将设备标识与应用公钥进行对应存储，否则，可以不对其进行存储。

[0115] 步骤405，终端通过TEE系统，生成一对业务私钥和业务公钥，将业务私钥存储在TEE系统中，并使用应用私钥对业务公钥进行签名处理，得到第三待验签信息。

[0116] 其中，业务验证密钥包括业务私钥和业务公钥，用于验证具体业务逻辑的合法性，业务私钥存放于安全存储区域，业务公钥存放于业务服务器，业务验证密钥的数量不限，有业务方控制生成数量。

[0117] 在实施中，终端安装的应用程序可以用于实现多种业务处理，并且用户对多种业务都录入了生物特征信息，即对多种业务都进行了签名处理，应用程序的不同业务可以对应不用的业务验证密钥，例如，用户对微信的登录业务、支付业务都设置了指纹验证过程，可以分别称为指纹登录业务、指纹支付业务，这两种业务可以对应不同的业务验证密钥，对应相同的应用验证密钥(应用验证密钥包括应用私钥和应用公钥)。可以在接收到应用程序中的某种业务的开启指令时，比如，用户开启指纹支付业务时，将会触发终端接收指纹支付业务的开启指令，通过终端中的TEE系统，生成该业务对应的业务验证密钥(也可以生成三级密钥)，即生成一对业务私钥和业务公钥，其中，业务私钥与登录在应用程序中的账户具有对应关系，并可以使用预先存储的应用私钥对业务公钥进行签名处理，得到第三待验签信息。

[0118] 步骤406，终端向业务服务器发送携带有设备标识、业务公钥以及第三待验签信息的存储请求。

[0119] 在实施中，终端得到第三待验签信息后，可以向业务服务器发送存储请求，其中，存储请求中可以携带有设备标识、业务公钥以及第三待验签信息。

[0120] 步骤407，业务服务器当接收终端发送的携带有设备标识、业务公钥以及第三待验签信息的存储请求时，基于存储的设备标识对应的应用公钥以及业务公钥，对第三待验签信息进行验签处理，如果验签成功，则将业务公钥进行存储。

[0121] 在实施中，终端向业务服务器发送携带有设备标识、业务公钥以及第三待验签信息的存储请求后，业务服务器可以接收终端发送的存储请求，并对其进行解析，获取其中携带的设备标识、业务公钥以及第三待验签信息，进而，可以基于预先存储的该设备标识对应的应用公钥以及业务公钥对第三待验签信息进行验签处理，并判断是否验签成功，如果验签成功，则可以将业务公钥进行对应存储，其中，终端发送的存储请求中还可以携带有账户标识，业务服务器可以将设备标识、账户标识与业务公钥进行对应存储。

[0122] 优选的，本发明实施例还提供了一种生成和使用业务验证密钥的整体流程，如图5所示，其中，整体流程的具体操作可以参见上述步骤101-107、步骤401-407所述实现过程。

[0123] 步骤501，终端通过TEE系统，生成一对设备私钥和设备公钥，将设备私钥存储在TEE系统中。

[0124] 步骤502，向设备公钥管理服务器发送设备公钥以及终端的设备标识。

[0125] 步骤503，终端通过TEE系统生成一对应用验证密钥，将应用私钥存储在TEE系统中。

[0126] 步骤504，终端使用设备私钥对应用公钥进行签名处理，得到第二待验签信息。

[0127] 步骤505，终端向业务服务器发送第一存储请求，其中，第一存储请求中携带有设备标识、应用公钥以及第二待验签信息。

[0128] 步骤506，业务服务器向设备公钥管理服务器发送获取设备公钥请求。

[0129] 步骤507，设备公钥管理服务器向业务服务器发送设备公钥。

[0130] 步骤508，业务服务器基于设备公钥以及应用公钥对第二待验签信息进行验签处理。

[0131] 步骤509，如果验签成功，则将设备标识与应用公钥对应存储。

[0132] 步骤510，终端通过TEE系统，生成一对业务验证密钥，将业务私钥存储在TEE系统中。

[0133] 步骤511，终端使用应用私钥对业务公钥进行签名处理，得到第三待验签信息。

[0134] 步骤512，终端向业务服务器发送第二存储请求，其中，第二存储请求中携带有设备标识、业务公钥以及第三待验签信息。

[0135] 步骤513，业务服务器基于应用公钥以及业务公钥对第三待验签信息进行验签处理。

[0136] 步骤514，如果验签成功，则将业务公钥进行存储。

[0137] 步骤515，终端向业务服务器发送业务执行请求。

[0138] 步骤516，业务服务器向终端发送携带有签名信息的验证通知。

[0139] 步骤517，终端通过终端安全区域TEE系统，验证当前输入的生物特征信息。

[0140] 步骤518，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息。

[0141] 步骤519，终端向业务服务器发送携带有第一待验签信息的验证请求。

[0142] 步骤520，业务服务器基于预先存储的业务公钥以及签名信息对第一待验签信息进行验签处理。

[0143] 步骤521，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。

[0144] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息，对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

[0145] 基于相同的技术构思，本发明实施例还提供了一种终端，如图6所示，该终端包括：

[0146] 第一发送模块610，用于向业务服务器发送业务执行请求；

[0147] 接收模块620，用于接收所述业务服务器发送的携带有签名信息的验证通知；

[0148] 签名模块630，用于通过TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；

[0149] 第二发送模块640，用于向所述业务服务器发送携带有所述第一待验签信息的验证请求。

[0150] 可选的，如图7所示，所述终端还包括：

[0151] 第一生成模块650，用于通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

[0152] 第二生成模块660，用于通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

[0153] 第三发送模块670，用于向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

[0154] 第三生成模块680，用于通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

[0155] 第四发送模块690，用于向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

[0156] 可选的，所述签名模块630，用于：

[0157] 使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

[0158] 可选的，所述签名模块630，用于：

[0159] 使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0160] 基于相同的技术构思，本发明实施例还提供了一种业务服务器，如图8所示，该业务服务器包括：

[0161] 接收模块810，用于接收终端发送的业务执行请求；

[0162] 发送模块820，用于向所述终端发送携带有签名信息的验证通知；

[0163] 验签模块830，用于当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0164] 可选的，所述验签处理模块830，还用于：

[0165] 当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

[0166] 当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

[0167] 可选的，所述验签模块830，用于：

[0168] 基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

[0169] 可选的，所述验签处理模块830，用于：

[0170] 基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0171] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息，对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

[0172] 基于相同的技术构思，本发明实施例还提供了一种进行业务处理的系统，所述系统包括业务服务器和终端，其中：

[0173] 所述终端，用于向所述业务服务器发送业务执行请求；接收所述业务服务器发送的携带有签名信息的验证通知；通过TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；向所述业务服务器发送携带有所述第一待验签信息的验证请求；

[0174] 所述业务服务器，用于接收所述终端发送的业务执行请求；向所述终端发送携带有签名信息的验证通知；当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0175] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

[0176] 本发明实施例还提供了一种终端，请参考图9，其示出了本发明实施例所涉及的具有触敏表面的终端结构示意图，该终端可以用于实施上述实施例中提供的进行业务处理的方法。具体来讲：

[0177] 终端900可以包括RF(Radio Frequency，射频)电路110、包括有一个或一个以上计算机可读存储介质的存储器120、输入单元130、显示单元140、传感器150、音频电路160、WiFi(wireless fidelity，无线保真)模块170、包括有一个或者一个以上处理核心的处理器180、以及电源190等部件。本领域技术人员可以理解，图9中示出的终端结构并不构成对终端的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

[0178] RF电路110可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，交由一个或者一个以上处理器180处理；另外，将涉及上行的数据发送给基站。通常，RF电路110包括但不限于天线、至少一个放大器、调谐器、一个或多个振荡器、用户身份模块(SIM)卡、收发信机、耦合器、LNA(Low Noise Amplifier，低噪声放大器)、双工器等。此外，RF电路110还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobile communication，全球移动通讯系统)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA(Code Division Multiple Access，码分多址)、WCDMA(Wideband Code Division Multiple Access,宽带码分多址)、LTE(Long Term Evolution,长期演进)、电子邮件、SMS(Short Messaging Service，短消息服务)等。

[0179] 存储器120可用于存储软件程序以及模块，处理器180通过运行存储在存储器120的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器120可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据终端900的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器120可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器120还可以包括存储器控制器，以提供处理器180和输入单元130对存储器
120的访问。

[0180] 输入单元130可用于接收输入的数字或字符信息，以及产生与用户设置以及功能控制有关的键盘、鼠标、操作杆、光学或者轨迹球信号输入。具体地，输入单元130可包括触敏表面131以及其他输入设备132。触敏表面131，也称为触摸显示屏或者触控板，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触敏表面131上或在触敏表面131附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触敏表面131可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器180，并能接收处理器180发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触敏表面131。除了触敏表面131，输入单元130还可以包括其他输入设备132。具体地，其他输入设备132可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

[0181] 显示单元140可用于显示由用户输入的信息或提供给用户的信息以及终端900的各种图形用户接口，这些图形用户接口可以由图形、文本、图标、视频和其任意组合来构成。显示单元140可包括显示面板141，可选的，可以采用LCD(Liquid Crystal Display，液晶显示器)、OLED(Organic Light-Emitting Diode,有机发光二极管)等形式来配置显示面板
141。进一步的，触敏表面131可覆盖显示面板141，当触敏表面131检测到在其上或附近的触摸操作后，传送给处理器180以确定触摸事件的类型，随后处理器180根据触摸事件的类型在显示面板141上提供相应的视觉输出。虽然在图9中，触敏表面131与显示面板141是作为两个独立的部件来实现输入和输入功能，但是在某些实施例中，可以将触敏表面131与显示面板141集成而实现输入和输出功能。

[0182] 终端900还可包括至少一种传感器150，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板141的亮度，接近传感器可在终端900移动到耳边时，关闭显示面板141和/或背光。作为运动传感器的一种，重力加速度传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于终端900还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

[0183] 音频电路160、扬声器161，传声器162可提供用户与终端900之间的音频接口。音频电路160可将接收到的音频数据转换后的电信号，传输到扬声器161，由扬声器161转换为声音信号输出；另一方面，传声器162将收集的声音信号转换为电信号，由音频电路160接收后转换为音频数据，再将音频数据输出处理器180处理后，经RF电路110以发送给比如另一终端，或者将音频数据输出至存储器120以便进一步处理。音频电路160还可能包括耳塞插孔，以提供外设耳机与终端900的通信。

[0184] WiFi属于短距离无线传输技术，终端900通过WiFi模块170可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图9示出了WiFi模块170，但是可以理解的是，其并不属于终端900的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

[0185] 处理器180是终端900的控制中心，利用各种接口和线路连接整个手机的各个部分，通过运行或执行存储在存储器120内的软件程序和/或模块，以及调用存储在存储器120内的数据，执行终端900的各种功能和处理数据，从而对手机进行整体监控。可选的，处理器180可包括一个或多个处理核心；优选的，处理器180可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器180中。

[0186] 终端900还包括给各个部件供电的电源190(比如电池)，优选的，电源可以通过电源管理系统与处理器180逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。电源190还可以包括一个或一个以上的直流或交流电源、再充电系统、电源故障检测电路、电源转换器或者逆变器、电源状态指示器等任意组件。

[0187] 尽管未示出，终端900还可以包括摄像头、蓝牙模块等，在此不再赘述。具体在本实施例中，终端900的显示单元是触摸屏显示器，终端900还包括有存储器，以及一个或者一个以上的程序，其中一个或者一个以上程序存储于存储器中，且经配置以由一个或者一个以上处理器执行述一个或者一个以上程序包含用于进行以下操作的指令：

[0188] 向业务服务器发送业务执行请求；

[0189] 接收所述业务服务器发送的携带有签名信息的验证通知；

[0190] 通过TEE系统，验证当前输入的生物特征信息，如果所述生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息；

[0191] 向所述业务服务器发送携带有所述第一待验签信息的验证请求。

[0192] 可选的，所述方法还包括：

[0193] 通过所述TEE系统，生成一对设备私钥和设备公钥，将所述设备私钥存储在所述TEE系统中，将所述设备公钥以及终端的设备标识发送至设备公钥管理服务器，以使所述设备公钥管理服务器将所述设备标识与所述设备公钥对应存储；

[0194] 通过所述TEE系统，生成一对应用私钥和应用公钥，将所述应用私钥存储在所述TEE系统中，并使用所述设备私钥对所述应用公钥进行签名处理，得到第二待验签信息；

[0195] 向所述业务服务器发送携带有所述设备标识、所述应用公钥以及所述第二待验签信息的存储请求；

[0196] 通过所述TEE系统，生成一对业务私钥和业务公钥，将所述业务私钥存储在所述TEE系统中，并使用所述应用私钥对所述业务公钥进行签名处理，得到第三待验签信息；

[0197] 向所述业务服务器发送携带有所述设备标识、所述业务公钥以及所述第三待验签信息的存储请求。

[0198] 可选的，所述使用预先存储的业务私钥，对所述签名信息进行签名处理，得到第一待验签信息，包括：

[0199] 使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息。

[0200] 可选的，所述使用预先存储的业务私钥，对所述签名信息以及生物特征信息标识进行签名处理，得到第一待验签信息，包括：

[0201] 使用预先存储的业务私钥，对所述签名信息、生物特征信息标识以及终端关联安全信息进行签名处理，得到第一待验签信息，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0202] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息，对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

[0203] 本发明实施例还提供了一种业务服务器，图10是本发明实施例提供的业务服务器的结构示意图。该业务服务器1900可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(central processing units，CPU)1922(例如，一个或一个以上处理器)和存储器1932，一个或一个以上存储应用程序1942或数据1944的存储介质1930(例如一个或一个以上海量存储设备)。其中，存储器1932和存储介质1930可以是短暂存储或持久存储。存储在存储介质1930的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器1922可以设置为与存储介质1930通信，在业务服务器1900上执行存储介质1930中的一系列指令操作。

[0204] 业务服务器1900还可以包括一个或一个以上电源1926，一个或一个以上有线或无线网络接口1950，一个或一个以上输入输出接口1958，一个或一个以上键盘1956，和/或，一个或一个以上操作系统1941，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等等。

[0205] 业务服务器1900可以包括有存储器，以及一个或者一个以上的程序，其中一个或者一个以上程序存储于存储器中，且经配置以由一个或者一个以上处理器执行所述一个或者一个以上程序包含用于进行以下操作的指令：

[0206] 接收终端发送的业务执行请求；

[0207] 向所述终端发送携带有签名信息的验证通知；

[0208] 当接收到所述终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及所述签名信息对所述第一待验签信息进行验签处理，如果验签成功，则执行所述业务执行请求对应的业务处理，否则拒绝执行所述业务处理。

[0209] 可选的，所述方法还包括：

[0210] 当接收所述终端发送的携带有设备标识、应用公钥以及第二待验签信息的存储请求时，向设备公钥管理服务器获取所述设备标识对应的设备公钥，基于所述设备公钥以及所述应用公钥，对所述第二待验签信息进行验签处理，如果验签成功，则将所述设备标识与所述应用公钥对应存储；

[0211] 当接收所述终端发送的携带有所述设备标识、所述业务公钥以及第三待验签信息的存储请求时，基于存储的所述设备标识对应的应用公钥以及所述业务公钥对所述第三待验签信息进行验签处理，如果验签成功，则将所述业务公钥进行存储。

[0212] 可选的，所述基于预先存储的业务公钥以及所述签名信息，对所述第一待验签信息进行验签处理，包括：

[0213] 基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理。

[0214] 可选的，所述基于预先存储的业务公钥、所述签名信息以及生物特征信息标识，对所述第一待验签信息进行验签处理，包括：

[0215] 基于预先存储的业务公钥、所述签名信息、生物特征信息标识以及终端关联安全信息，对所述第一待验签信息进行验签处理，其中，所述终端关联安全信息包括系统标识、生物识别部件标识中的一种或多种。

[0216] 本发明实施例中，向业务服务器发送业务执行请求，接收业务服务器发送的携带有签名信息的验证通知，通过TEE系统，验证当前输入的生物特征信息，如果生物特征信息与预先存储的基准生物特征信息一致，则使用预先存储的业务私钥，对签名信息进行签名处理，得到第一待验签信息，向业务服务器发送携带有第一待验签信息的验证请求。接收终端发送的业务执行请求，向终端发送携带有签名信息的验证通知，当接收到终端发送的携带有第一待验签信息的验证请求时，基于预先存储的业务公钥以及签名信息，对第一待验签信息进行验签处理，如果验签成功，则执行业务执行请求对应的业务处理，否则拒绝执行业务处理。这样，业务服务器对终端通过业务私钥进行签名处理的待验签信息进行验签通过后方可对业务进行处理，而黑客即使破解终端也无法获知终端存储在TEE系统中的业务私钥，从而，可以增强安全性。

[0217] 需要说明的是：上述实施例提供的进行业务处理的装置在进行业务处理时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的进行业务处理的装置与进行业务处理的方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

[0218] 本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

[0219] 以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。