本发明涉及数据处理技术，特别涉及提供安全认证机制的方法以及实施该方法的计算机系统和计算机可读存储介质。按照本发明一个方面的提供安全认证机制的方法包含：对终端的身份进行第一验证；在第一验证通过后，基于第一标识信息对终端的身份进行第二验证；在第二验证通过后，生成加密形式的第二报文，该第二报文包括与网关相关联的第二标识信息、生物信息数据的生物特征向量以及业务数据；所述服务器基于第二标识信息和生物特征向量确定是否执行由所述业务数据指示的操作。
1.一种用于提供安全认证机制的方法，其特征在于，包含下列步骤：网关对请求建立通信连接的终端的身份进行第一验证；
在所述终端的第一验证通过后，所述网关从所述终端接收第一报文，所述第一报文包括与所述终端相关联的第一标识信息、与用户相关联的生物信息数据以及业务数据；
所述网关基于所述第一标识信息对所述终端的身份进行第二验证；
在所述第二验证通过后，所述网关生成加密形式的第二报文，所述第二报文包括与所述网关相关联的第二标识信息、所述生物信息数据的生物特征向量以及所述业务数据；
所述服务器基于所述第二标识信息和所述生物特征向量确定是否执行由所述业务数据指示的操作，其中，进行第一验证的步骤包括：
从所述终端接收建立通信连接的请求报文，所述请求报文包括所述终端的媒体访问控制地址；以及如果所述终端的媒体访问控制地址、所述网关的媒体访问控制地址以及基站的设备标识之间的对应关系符合绑定关系，则确定所述第一验证通过，其中，所述第一标识信息选自与所述终端相关联的下列项中的一个或多个的组合：设备标识、IP地址和地理位置。
2.如权利要求1所述的方法，其中，所述网关被部署于蜂窝移动网络的基站处， 所述绑定关系在为所述终端进行设备注册时由所述服务器建立。
3.如权利要求1所述的方法，其中，所述第一标识信息还包含与所述终端相关联的媒体访问控制地址。
4.如权利要求1所述的方法，其中，所述网关作为移动边缘计算节点被部署在接入网的节点上以实现与所述终端的通信，所述接入网包括下列中的一种：3G/4G/5G移动通信系统的无线接入网、NB‑IOT网络、eMTC网络、LoRaWAN网络和LoRa网络。
5.如权利要求4所述的方法，其中，所述第二标识信息选自与所述网关相关联的下列项中的一个或多个的组合：设备标识、IP地址、媒体访问控制地址和地理位置。
6.如权利要求1所述的方法，其中，所述生物信息数据包括下列中的至少两种类型：人脸图像、指纹图像、虹膜图像、声音记录和掌静脉图像。
7.如权利要求6所述的方法，其中，生成第二报文的步骤包括：对于多种类型的生物信息数据的每一个，生成各自的生物特征向量；
将所述第二标识信息、各种类型的生物信息数据的生物特征向量和所述业务数据封装为设定格式的报文；以及对封装的报文进行加密以生成所述第二报文。
8.如权利要求7所述的方法，其中，对封装的报文进行加密的步骤在所述网关内的可信任环境下执行。
9.如权利要求7所述的方法，其中，确定是否执行由所述业务数据指示的操作的步骤包括：基于所述第二标识信息验证所述网关的身份；
在所述网关身份验证通过后，基于所述生物特征向量验证所述用户的身份；以及如果所述用户的身份验证通过，则确定允许执行由所述业务数据指示的操作。
10.如权利要求9所述的方法，其中，验证用户身份的步骤包括；
将每种类型的生物信息数据的生物特征向量与预先存储的、关联于所述用户的特征模板进行比较以得到该种类型的生物信息数据的匹配分数；
将各种类型的生物信息数据的匹配分数融合以得到评价分数；以及将所述评价分数与阈值分数进行比较以确定所述用户的身份验证是否通过。
11.如权利要求10所述的方法，其中，采用下列算法中的一种将各种类型的生物信息数据的匹配分数融合以得到评价分数：基于重叠极值变化的锚定最小—最大归一化算法、支持向量机算法和酉距离算法。
12.如权利要求1所述的方法，其中，所述操作与支付或出入管理有关。
14.一种提供安全认证机制的计算机系统，包含网关和服务器，其特征在于，所述网关被配置为：对请求建立通信连接的终端的身份进行第一验证；
接收来自终端的第一报文，其中，所述第一报文包括与所述终端相关联的第一标识信息、与用户相关联的生物信息数据以及业务数据；
基于所述第一标识信息对所述终端的身份进行第二验证，并且在所述第二验证通过后生成加密形式的第二报文，其中，所述第二报文包括与所述网关相关联的第二标识信息、所述生物信息数据的生物特征向量以及所述业务数据；以及所述服务器被配置为：
从所述网关接收所述第二报文，并且基于所述第二标识信息和所述生物特征向量确定是否执行由所述业务数据指示的操作，其中，所述网关被配置为以下列方式进行第一验证：
从所述终端接收建立通信连接的请求报文，所述请求报文包括所述终端的媒体访问控制地址；以及如果所述终端的媒体访问控制地址、所述网关的媒体访问控制地址以及基站的设备标识之间的对应关系符合绑定关系，则确定所述第一验证通过，其中，所述第一标识信息选自与所述终端相关联的下列项中的一个或多个的组合：设备标识、IP地址和地理位置。
15.如权利要求14所述的计算机系统，其中，所述网关被部署于蜂窝移动网络的基站处，所述绑定关系在为所述终端进行设备注册时由所述服务器建立。
16.如权利要求14所述的计算机系统，其中，所述第一标识信息还包含与所述终端相关联的媒体访问控制地址。
17.如权利要求14所述的计算机系统，其中，所述网关作为移动边缘计算节点被部署在接入网的节点上以实现与所述终端的通信，所述接入网包括下列中的一种：3G/4G/5G移动通信系统的无线接入网、NB‑IOT网络、eMTC网络、LoRaWAN网络和LoRa网络。
18.如权利要求14所述的计算机系统，其中，所述第二标识信息选自与所述网关相关联的下列项中的一个或多个的组合：设备标识、IP地址、媒体访问控制地址和地理位置。
19.如权利要求14所述的计算机系统，其中，所述生物信息数据包括下列中的至少两种类型：人脸图像、指纹图像、虹膜图像、声音记录和掌静脉图像。
20.如权利要求19所述的计算机系统，其中，所述网关被配置为按照下列方式生成第二报文：对于多种类型的生物信息数据的每一个，生成各自的生物特征向量；
将所述第二标识信息、各种类型的生物信息数据的生物特征向量和所述业务数据封装为设定格式的报文；以及对封装的报文进行加密以生成所述第二报文。
21.如权利要求20所述的计算机系统，其中，所述网关包含处理电路，该处理电路包含物理上隔离的第一处理模块和第二处理模块，所述第一处理模块配置为提供可信任环境并且包括第一处理器和第一存储器，所述第一存储器包含能够由所述第一处理器执行的指令以完成对封装的报文的加密。
22.如权利要求20所述的计算机系统，其中，所述服务器按照下列方式确定是否执行由所述业务数据指示的操作：基于所述第二标识信息验证所述网关的身份；
在所述网关身份验证通过后，基于所述生物特征向量验证所述用户的身份；以及如果所述用户的身份验证通过，则确定允许执行由所述业务数据指示的操作。
23.如权利要求22所述的计算机系统，其中，所述服务器被配置为按照下列方式验证用户身份；
将每种类型的生物信息数据的生物特征向量与预先存储的、关联于所述用户的特征模板进行比较以得到该种类型的生物信息数据的匹配分数；
将各种类型的生物信息数据的匹配分数融合以得到评价分数；以及将所述评价分数与阈值分数进行比较以确定所述用户的身份验证是否通过。
24.如权利要求23所述的计算机系统，其中，采用下列算法中的一种将各种类型的生物信息数据的匹配分数融合以得到评价分数：基于重叠极值变化的锚定最小—最大归一化算法、支持向量机算法和酉距离算法。
25.如权利要求14所述的计算机系统，其中，所述操作与支付或出入管理有关。
26.如权利要求21所述的计算机系统，其中，所述网关被进一步配置为：对所述生物信息数据进行加密；
27.一种计算机可读存储介质，其上存储计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1‑13中任意一项所述的方法。
提供安全认证机制的方法、计算机系统和计算机可读介质
技术领域
[0001] 本发明涉及数据处理技术，特别涉及提供安全认证机制的方法以及实施该方法的计算机系统和计算机可读存储介质。
背景技术
[0002] 随着生物识别技术的快速发展与成熟，诸如人脸、掌静脉和虹膜等生物特征识别技术被广泛采用以向用户提供更好的使用体验。
[0003] 公开号为CN111599044A的中国专利申请公开了一种基于生物特征识别的门禁安全管理系统，该门禁安全管理系统被用于对人员实施严格的进出管理制度。公开号为CN111340497A的中国专利申请公开了一种基于生物特征的掌静脉金融支付管控系统，该系统将用户的掌静脉信息和其他生物特征信息与其自身的金融账户进行绑定，建立个人生物特征数据库与金融数据库，并为用户提供个人生物特征与金融交易账单的管理功能。
[0004] 但是现有技术的基于生物特征识别的支付系统安全性较低，生物特征可能被仿造或遭窃取，因而存在较大的交易风险。此外，所采集的用户生物特征数据常常以图像形式存在，而身份验证通常在云平台或远程服务器处进行，因此为了满足时延要求，需要保证足够的网络带宽。
[0005] 由上可见，需要提供一种能够解决上述问题的安全认证方法和装置。
发明内容
[0006] 本发明的一个目的是提供安全认证机制的方法、计算机系统和计算机可读存储介质，使得能够以更高的安全性和更快的速度来处理诸如支付和进出管理之类应用中的数据。
[0007] 按照本发明一个方面的提供安全认证机制的方法包含下列步骤：
[0008] 网关对请求建立通信连接的终端的身份进行第一验证；
[0009] 在所述终端的第一验证通过后，所述网关从所述终端接收第一报文，所述第一报文包括与所述终端相关联的第一标识信息、与用户相关联的生物信息数据以及业务数据；
[0010] 所述网关基于所述第一标识信息对所述终端的身份进行第二验证；
[0011] 在所述第二验证通过后，所述网关生成加密形式的第二报文，所述第二报文包括与所述网关相关联的第二标识信息、所述生物信息数据的生物特征向量以及所述业务数据；
[0012] 服务器从所述网关接收所述第二报文；以及
[0013] 所述服务器基于所述第二标识信息和所述生物特征向量确定是否执行由所述业务数据指示的操作。
[0014] 可选地，在上述方法中，所述网关被部署于蜂窝移动网络的基站处，并且进行第一验证的步骤包括：
[0015] 从所述终端接收建立通信连接的请求报文，所述请求报文包括所述终端的媒体访问控制地址；以及
[0016] 如果所述终端的媒体访问控制地址、所述网关的媒体访问控制地址以及所述基站的设备标识之间的对应关系符合绑定关系，则确定所述第一验证通过，
[0017] 其中，所述绑定关系在为所述终端进行设备注册时由所述服务器建立。
[0018] 可选地，在上述方法中，所述第一标识信息选自与所述终端相关联的下列项中的一个或多个的组合：设备标识、IP地址、媒体访问控制地址和地理位置。
[0019] 可选地，在上述方法中，所述网关作为移动边缘计算节点被部署在接入网的节点上以实现与所述终端的通信，所述接入网包括下列中的一种：3G/4G/5G移动通信系统的无线接入网、NB‑IOT网络、eMTC网络、LoRaWAN网络和LoRa网络。
[0020] 可选地，在上述方法中，所述第二标识信息选自与所述网关相关联的下列项中的一个或多个的组合：设备标识、IP地址、媒体访问控制地址和地理位置。
[0021] 可选地，在上述方法中，所述生物信息数据包括下列中的至少两种类型：人脸图像、指纹图像、虹膜图像、声音记录和掌静脉图像。
[0022] 可选地，在上述方法中，生成第二报文的步骤包括：
[0023] 对于多种类型的生物信息数据的每一个，生成各自的生物特征向量；
[0024] 将所述第二标识信息、各种类型的生物信息数据的生物特征向量和所述业务数据封装为设定格式的报文；以及
[0025] 对封装的报文进行加密以生成所述第二报文。
[0026] 可选地，在上述方法中，对封装的报文进行加密的步骤在所述网关内的可信任环境下执行。
[0027] 可选地，在上述方法中，确定是否执行由所述业务数据指示的操作的步骤包括：
[0028] 基于所述第二标识信息验证所述网关的身份；
[0029] 在所述网关身份验证通过后，基于所述生物特征向量验证所述用户的身份；以及[0030] 如果所述用户的身份验证通过，则确定允许执行由所述业务数据指示的操作。
[0031] 可选地，在上述方法中，验证用户身份的步骤包括；
[0032] 将每种类型的生物信息数据的生物特征向量与预先存储的、关联于所述用户的特征模板进行比较以得到该种类型的生物信息数据的匹配分数；
[0033] 将各种类型的生物信息数据的匹配分数融合以得到评价分数；以及[0034] 将所述评价分数与阈值分数进行比较以确定所述用户的身份验证是否通过。
[0035] 可选地，在上述方法中，采用下列算法中的一种将各种类型的生物信息数据的匹配分数融合以得到评价分数：基于重叠极值变化的锚定最小—最大归一化算法、支持向量机算法和酉距离算法。
[0036] 可选地，在上述方法中，所述操作与支付或出入管理有关。
[0037] 可选地，在上述方法中，进一步包括：
[0038] 所述网关对所述生物特征信息数据进行加密；
[0039] 向所述服务器发送加密的生物信息数据；以及
[0040] 删除所述网关处的生物信息数据。
[0041] 按照本发明另一个方面的提供安全认证机制的计算机系统包含网关和服务器，其中，所述网关被配置为：
[0042] 对请求建立通信连接的终端的身份进行第一验证；
[0043] 接收来自终端的第一报文，基于所述第一标识信息对所述终端的身份进行第二验证，并且在所述第二验证通过后生成加密形式的第二报文，其中，所述第一报文包括与所述终端相关联的第一标识信息、与用户相关联的生物信息数据以及业务数据，所述第二报文包括与所述网关相关联的第二标识信息、所述生物信息数据的生物特征向量以及所述业务数据；以及
[0044] 所述服务器被配置为：
[0045] 从所述网关接收所述第二报文，并且基于所述第二标识信息和所述生物特征向量确定是否执行由所述业务数据指示的操作。
[0046] 按照本发明还有一个方面的计算机可读存储介质，其上存储计算机程序，其中，该程序被处理器执行时实现如上所述的方法。
[0047] 在本发明的一个或多个实施例中，通过将多种类型的生物信息数据在匹配层进行融合并对融合后的匹配评价结果进行判定，这提高了生物特征支付的稳定性、准确性和安全性；此外，针对生物识别速度较慢、支付延时高和用户体验不佳等问题，通过在基站侧引入安全支付网关而将原本部署于服务器端(云端)的生物特征识别算法下沉至边缘计算节点，由此缩短了验证时间；另外，针对敏感数据在公共网络传输时的安全隐患，利用配备在安全支付网关中的安全单元(SE安全芯片)对发送给支付服务平台的敏感信息(例如交易数据和生物特征)进行加密，从而提升了数据传输的安全性；再者，通过多重身份验证来实现安全认证机制，大幅度提高了安全认证的可靠性和可信度。
附图说明
[0048] 本发明的上述和/或其它方面和优点将通过以下结合附图的各个方面的描述变得更加清晰和更容易理解，附图中相同或相似的单元采用相同的标号表示。附图包括：
[0049] 图1为按照本发明的一个实施例的提供安全认证机制的计算机系统的示意图。
[0050] 图2为按照本发明另一个实施例的支付终端的框图。
[0051] 图3为按照本发明另一个实施例的安全支付网关的框图。
[0052] 图4为按照本发明另一个实施例的支付服务平台的框图。
[0053] 图5为按照本发明另一个实施例的用于提供安全认证机制的方法的流程图。
[0054] 图6为按照本发明另一个实施例的对用户身份进行验证的方法的流程图。
具体实施方式
[0055] 下面参照其中图示了本发明示意性实施例的附图更为全面地说明本发明。但本发明可以按不同形式来实现，而不应解读为仅限于本文给出的各实施例。给出的上述各实施例旨在使本文的披露全面完整，以将本发明的保护范围更为全面地传达给本领域技术人员。
[0056] 在本说明书中，诸如“包含”和“包括”之类的用语表示除了具有在说明书和权利要求书中有直接和明确表述的单元和步骤以外，本发明的技术方案也不排除具有未被直接或明确表述的其它单元和步骤的情形。
[0057] 诸如“第一”和“第二”之类的用语并不表示单元在时间、空间、大小等方面的顺序而仅仅是作区分各单元之用。
[0058] 在本说明书中，术语“生物信息数据”泛指用于表征能够将一个个体与其它个体区分开来的生物学数据，其具有多种类型，这些类型例如包括但不限于人脸图像、指纹图像、虹膜图像、声音记录和掌静脉图像等。
[0059] 在本说明书中，术语“标识信息”泛指能够将一个设备与其它设备区分开来的电子信息，其例如包括但不限于设备标识、分配给设备的IP地址、设备的媒体访问控制地址和设备所处的地理位置等，而且其例如还可以是这些项的组合。
[0060] 在本发明的一个或多个实施例中，通过多重身份验证来实现安全认证机制。具体而言，当终端(例如POS机和自动售货机之类的支付终端或门禁系统)接入计算机系统时，对终端进行身份认证以确定是否允许接入；在接入后，对于上传报文的终端的身份再次进行认证；在上传报文的终端的身份认证通过后，网关将生物特征(从终端提供的生物信息数据中提取)、业务数据连同其标识信息加密上传至服务器；在服务器处，首先对网关的身份进行验证，随后，在网关身份验证通过之后，根据生物特征对相关联的用户(例如支付终端的授权使用者或拥有者)的身份进行认证，并在确定用户身份认证通过后执行相关的操作(例如与支付和出入管理有关的操作)。
[0061] 在上述多重身份验证过程中，可以通过使所利用的判别数据相互之间具有弱相关性来提高安全认证的可靠性和可信度。例如，在用于是否允许接入的身份验证时，判别数据为终端的媒体访问控制地址、网关的媒体访问控制地址以及基站的设备标识之间的对应关系；在验证上传报文的终端的身份时，判别数据为终端的设备标识、IP地址、媒体访问控制地址和地理位置的组合；在验证网关身份时，判别数据为网关的设备标识、IP地址、媒体访问控制地址和地理位置的组合；在验证用户身份时，判别数据为从生物信息数据中提取的生物特征(例如以向量形式表示。当生物信息数据具有多种类型时，每种类型的生物信息数据具有各自相应的生物特征向量)。
[0062] 在本发明的一个或多个实施例中，提供安全认证机制的计算机系统包括服务器和网关。多重身份验证并非完全由单个实体完成，而是由网关和服务器分别完成各自不同的身份验证任务。具体而言，网关负责是否允许接入的身份验证和对上传报文的终端的身份验证，服务器负责对网关的身份验证和对用户的身份验证。此外，用户身份验证所需的生物特征也在网关处完成提取。在这种“分布式”方式中，网关相当于初步的“筛选器”，可以阻止仅需较少计算资源即可确定为非法的数据处理请求(例如发送请求的终端并非注册终端，终端未在其注册时定义的地理位置发送请求等)，从而减轻服务器的处理负荷。此外，对于用户身份验证，网关还分担了部分任务(生物特征的提取)，这不仅减轻服务器的负荷，而且也节省了网络带宽。
[0063] 优选地，网关作为移动边缘计算(MEC)节点被部署在接入网的节点(例如3G/4G/5G系统中的基站)上以实现与终端的通信。可选地，接入网包括下列中的一种：3G/4G/5G系统的无线接入网、NB‑IOT网络、eMTC网络、LoRaWAN网络和LoRa。
[0064] 在发明的一个或多个实施例中，用于用户身份验证的生物信息数据可以包含多种类型(例如至少两种类型)。通过引入多种类型的生物信息数据，可以提高身份认证的可靠性和可信度。从每种类型的生物信息数据提取的生物特征可以生物特征向量的形式表示，该生物特征向量与关联于用户的特征模板进行比较可以以得到相应的匹配分数。各种类型生物特征信息的生物特征向量的匹配分数被融合后得到评价分数，该评价分数可以视为是对生物特征总体匹配程度的量度。优选地，在融合过程中可以采用基于重叠极值变化的锚定最小—最大归一化算法来计算每个匹配分数的归一化分数，并由归一化分数得到评价分数。有关基于重叠极值变化的锚定最小—最大归一化算法的内容可参见W.Kabir et al，“Multi‑Biometric System Based on Feature and Score Level Fusions”,IEEE Access,Vol.7,pp.59437‑59450,May 2019。该文献以全文引用方式包含在本文中。
[0065] 本发明的发明人经过研究发现，通过利用基于重叠极值变化的锚定最小—最大归一化算法将最高匹配分数与最低匹配分数进行加权融合，能够获得更准确的识别精度和更快的识别速度。
[0066] 图1为按照本发明的一个实施例的提供安全认证机制的计算机系统的示意图。示例性地，这里假设该计算机处理系统被用于支付业务。
[0067] 如图1所示，计算机系统10包括多个服务器组成的支付服务平台110和多个网关121～12n。需要指出的是，这里所示的服务器的数量仅仅是示例性的，仅包含一个服务器的情形也是可行的。
[0068] 参见图1，在本实施例中，网关121～12n为安全支付网关，它们作为移动边缘计算节点被部署在3G/4G/5G移动通信系统的无线接入网的基站211～21n处，其可经移动通信系统的核心网接入因特网，从而实现与支付服务平台110的服务器的通信。另一方面，支付终端311～31n可以通过基站接入无线接入网，从而实现与网关121～12n的通信。
[0069] 图2为按照本发明另一个实施例的支付终端的框图。如图2所示，支付终端20包括生物信息数据采集单元210、注册单元220、通信单元230和定位单元240。生物信息数据采集单元210配置为采集用户的各种生物信息数据，其包括但不限于人脸图像、掌静脉图像、虹膜图像、指纹图像和声音记录等。注册单元220配置为与支付服务平台110协同配合以完成支付终端20在支付服务平台110的注册。通信单元230配置为与安全支付网关的通信，根据应用需要可配备基于各种协议的通信模块，例如包括但不限于3G、4G、5G、NB‑IoT、eMTC、LoRa等模块。定位单元240配置为获取支付终端的实时位置，其可采用卫星导航芯片(例如GPS芯片和北斗导航芯片等)实现。
[0070] 需要指出的是，支付终端的上述单元主要是以功能划分的，这些功能单元可以由物理上分立的硬件实体实施(例如图像传感器、录音机和卫星导航芯片等)，也可以借助在同一硬件实体(例如处理器)上运行的多个软件模块来实施。
[0071] 图3为按照本发明另一个实施例的安全支付网关的框图。图3所示的安全支付网关可应用于图1所示的计算机系统。
[0072] 如图3所示，安全支付网关30包括生物特征提取单元310、安全单元320和支付终端管理单元330组成。生物特征提取单元310包含多个生物特征提取算法模块，每个配置为利用各自的算法从相应类型的生物信息数据中提取生物特征，从而生成相应的生物特征向量。安全单元320配置为提供可信任环境，在该可信任环境下对安全支付网关与支付平台之间的通信报文进行加/解密操作以确保业务数据在公共网络传播时的安全性，该单元包括独立于安全支付网关其它单元的处理器和存储器，并且独立的处理器和存储器通过安全芯片实现。支付终端管理单元330配置为管理支付终端的信息(包括但不限于支付终端的设备ID、地理位置(例如经纬度数据)、支付终端的MAC地址、支付终端的IP地址)。
[0073] 需要指出的是，支付终端的上述单元主要是以功能划分的，这些单元可以由物理上分立的硬件实体实施(例如安全芯片)，也可以借助在同一个硬件实体(例如处理器)运行的多个软件模块(各种生物特征提取算法模块)来实施。
[0074] 图4为按照本发明另一个实施例的支付服务平台的框图。图4所示的支付服务平台可应用于图1所示的计算机系统。
[0075] 如图4所示，支付服务平台40包括注册二维码生成单元410、用户信息管理单元420、生物特征数据管理单元430、支付网关管理单元440、交易数据管理单元450、决策单元
460和支付单元470。注册二维码生成单元410配置为当在支付服务平台对支付终端进行注册时，为该支付终端生成绑定的二维码。用户信息管理单元420配置为管理用户的注册信息与相关联的支付账户。生物特征数据管理单元430配置为管理用户注册时提供的生物信息数据和基于该生物信息数据而提取的生物特征向量(以下将基于注册的生物信息数据而提取的生物特征向量称为生物特征向量模板)。支付网关管理单元440配置为管理安全支付网关的标识信息(例如设备标识、IP地址、媒体访问控制地址和地理位置)和其下属支付终端的标识信息(例如注册时提供的设备标识、IP地址、媒体访问控制地址和地理位置)，并且可以对提供给安全支付网关的支付终端白名单进行增加和删除操作。交易数据管理单元450配置为存储管理用户的交易数据，每条交易数据包括但不限于用户ID、商品ID、交易时间、支付金额、支付银行卡、绑定的支付账户、当次支付使用的生物信息数据和提取的生物特征向量、MEC安全支付网关的设备ID和支付终端的设备ID等。决策单元460配置为将安全支付网关提供的关联于用户的生物特征向量与注册时提供的该用户的生物特征向量模板进行比较以确定用户的身份验证是否通过。可选地，决策单元460将关联于用户的不同类型的生物信息数据的生物特征向量与相应的生物特征向量模板进行比较，从而得到相应的匹配分数；随后通过多层融合策略，由这些匹配分数得到融合后的评价分数；最后将该评价分数与阈值分数进行比较以确定用户的身份验证是否通过。支付单元470被配置为根据决策单元
460的判断结果执行相应的操作。例如，当用户身份的验证通过时，支付单元继续支付流程的后续操作，而当用户身份验证未通过时，支付单元470终止支付流程并向安全支付网关返回判断结果。
[0076] 需要指出的是，支付终端的上述单元主要是以功能划分的，这些单元可以由物理上分立的硬件实体实施(例如不同的服务器)，也可以借助同一硬件实体上运行的多个软件模块来实施(例如在同一台服务器运行的多个软件模块)。
[0077] 图5为按照本发明另一个实施例的用于提供安全认证机制的方法的流程图。在下面的描述中，示例性地但非必须地，所述方法步骤被用于支付业务流程并且由图1所示的计算机系统实现。
[0078] 如图5所示，在步骤501，安全支付网关(例如图1中的121)从相关联的基站211接收来自支付终端312的建立通信连接的请求报文。
[0079] 示例性地，在将支付终端注册到支付服务平台110时，支付终端312可提供与其相关联的媒体访问控制地址和部署区域(即，当支付终端被使用时其所在的位置。在图1的情形下，部署区域对应于移动通信系统的小区或基站)。支付服务平台110在支付终端312的媒体访问控制地址、部署区域对应的基站211的设备标识和位于该基站处的安全支付网关121的媒体访问控制地址之间建立绑定关系。可选地，支付服务平台110将向安全支付网关121提供允许经其接入计算机处理系统的支付终端的列表或白名单。
[0080] 在图1所示的情形下，示例性地，当支付终端312通电开机时，其包含的通信单元230将搜索周围基站的信号并向基站211发动建立通信连接的请求报文，该请求报文包含支付终端的媒体访问控制地址。基站211将该请求报文转发给安全支付网关121。
[0081] 随后进入步骤502，安全支付网关121根据请求报文中的媒体访问控制地址判断支付终端312是否在白名单中(即，判断支付终端的媒体访问控制地址、网关的媒体访问控制地址以及基站的设备标识之间的对应关系是否符合绑定关系)，如果在白名单中，则进入步骤503，否则，则进入进入步骤504。
[0082] 在步骤503，安全支付网关121指示基站211允许支付终端312接入移动通信系统。在步骤504，安全支付网关121指示基站211拒绝支付终端312接入移动通信系统。
[0083] 图5所示的方法流程在步骤503之后进入步骤505，在该步骤中，安全支付网关121经基站211接收来自支付终端312的支付申请报文。在本实施例中，该支付申请报文包括与支付终端312相关联的标识信息(例如支付终端312的设备标识、IP地址、媒体访问控制地址和地理位置中的至少一个)、与用户(例如支付终端312的授权使用者)相关联的生物信息数据以及交易数据(例如商品ID、交易时间、支付金额、支付银行卡和绑定的支付账户等)。
[0084] 接着进入步骤506，安全支付网关121基于支付申请报文中包含的标识信息对支付终端312的身份进行验证。例如可以由安全支付网关的支付终端管理单元330判断标识信息中的设备标识、IP地址、媒体访问控制地址和地理位置之间的关系是否与支付服务平台110在支付终端312注册时为其建立的上述四个信息项目的绑定关系匹配，如果不匹配，则进入步骤507；如果匹配，则进入步骤508。
[0085] 在步骤507，安全支付网关的支付设备管理单元330生成支付失败的消息并经基站211向支付终端312发送该消息。可选地，在步骤507中，支付设备管理单元330还将支付终端
312记录为非法设备。
[0086] 在步骤508，安全支付网关121从包含在支付申请报文内的生物信息数据中提取相应的生物特征。可选地，该生物特征以向量形式表示。当生物信息数据包含多种类型时，提取的结果为多个生物特征向量。例如，支付网关单元121的生物特征提取单元310可利用相应的特征提取算法，从每种类型的生物信息数据中提取以向量形式表示的生物特征。
[0087] 随后进入步骤509，安全支付网关121将与其相关联的标识信息、步骤508中提取的生物特征向量和支付申请报文中的交易数据封装为设定格式的报文。可以由安全支付网关中的支付终端管理单元330来执行报文封装操作。优选地，上述标识信息可以是与安全支付网关相关联的信息项中的一个或多个的组合：设备标识、IP地址、媒体访问控制地址和地理位置。
[0088] 接着进入步骤510，安全支付网关121对步骤509中完成封装的报文进行加密从而生成支付处理报文并向支付服务平台110发送加密的报文。优选地，加密操作在安全支付网关121的可信任环境下完成(例如可以在图3中的安全单元320中完成)。示例性地，用于加密的算法的例子包括但不限于SM2、SM3、SM4算法。
[0089] 步骤510之后进入步骤511。在该步骤中，支付服务平台110从安全支付网关121接收支付处理报文。随后进入步骤512，支付服务平台110对支付处理报文进行处理。具体的处理过程将在下面借助图6作详细的描述。
[0090] 如果支付服务平台110对安全支付网关的身份验证和对用户身份的验证均通过，则进入步骤513。在该步骤中，由支付服务平台的支付单元470执行相应的支付操作。
[0091] 在步骤513之后进入步骤514。在该步骤中，安全支付网关的安全单元320对本地存储的生物特征信息数据进行加密。示例性地，用于加密的算法的例子包括但不限于SM2、SM3、SM4算法。
[0092] 随后进入步骤515，安全支付网关121向支付服务平台110发送加密的生物信息数据。
[0093] 接着进入步骤516，安全支付网关121删除本地存储的生物信息数据。
[0094] 需要指出的是，步骤514‑516是可选的步骤，其有利于减少敏感信息的泄露风险。
[0095] 图6为按照本发明另一个实施例的对用户身份进行验证的方法的流程图。图6所示的方法流程可用于图5所示的方法。
[0096] 如图6所示，在步骤601，支付服务平台110基于支付处理报文中包含的标识信息对安全支付网关121的身份进行验证。例如可以由支付服务平台110中的设备管理单元440判断标识信息中的设备标识、IP地址、媒体访问控制地址和地理位置之间的关系是否与支付服务平台110预先建立的上述四个信息项目的绑定关系匹配，如果不匹配，则进入步骤602；如果匹配，则进入步骤603。
[0097] 在步骤602，支付服务平台的支付网关管理单元440生成支付失败的消息并将该消息返回安全支付网关121。可选地，在步骤602中，支付网关管理单元440还将安全支付网关121记录为非法设备。
[0098] 在步骤603，支付服务平台110的生物特征数据管理单元430将支付处理报文中的各个生物特征向量与相应的、关联于用户的特征模板(该特征模板例如可以存储于支付服务平台的用户信息管理单元420)进行比较可以以得到每种类型生物信息数据的匹配分数。
[0099] 随后进入步骤604，生物特征数据管理单元430将各种类型生物特征信息的匹配分数进行融合处理以得到评价分数。优选地，可以采用基于重叠极值变化的锚定最小—最大归一化算法、支持向量机算法和酉距离算法等作为融合算法。
[0100] 接着，在步骤605中，支付服务平台110的决策单元460将步骤604中得到的评价分数与预先设定的阈值进行比较，如果前者大于后者，则判定用户的身份验证通过，因此进入步骤图5中的步骤513，否则，则进入步骤606。
[0101] 在步骤606，支付服务平台的支付网关管理单元430生成支付失败的消息并将该消息返回安全支付网关121。可选地，在步骤606中，支付网关管理单元440还将用户记录为非注册用户。
[0102] 按照本发明的另一方面，还提供了一种计算机可读存储介质，其上存储计算机程序，该程序被处理器执行时可实现上面借助图1‑5所述的提供安全认证机制的方法。
[0103] 提供本文中提出的实施例和示例，以便最好地说明按照本技术及其特定应用的实施例，并且由此使本领域的技术人员能够实施和使用本发明。但是，本领域的技术人员将会知道，仅为了便于说明和举例而提供以上描述和示例。所提出的描述不是意在涵盖本发明的各个方面或者将本发明局限于所公开的精确形式。
[0104] 鉴于以上所述，本公开的范围通过以下权利要求书来确定。
