一种认证方法和装置与流程

本技术涉及通信，尤其涉及一种认证方法和装置。

背景技术：

1、为了保证应用程序与服务器之间的安全通信，可以对电子设备和应用程序（application，app）进行安全认证，以确保应用程序和电子设备的合法性。目前，对电子设备和应用程序进行安全认证是基于软件能力实现的。

2、例如，进行设备认证时，可以通过本地代码(native code)实现设备唯一标识计算,进而完成设备的唯一性跟踪。进行app认证时，可以将app的签名信息（例如，应用id和应用签名证书指纹）打包在app的native code中，或者，app的native code可以调用api获取签名信息，再将签名信息发送至服务器进行验签。然而，这种认证方式存在安全漏洞。应用程序的签名信息的安全性无法保障，存在签名信息被篡改的可能性，从而导致应用程序与服务器之间的安全通信无法保障。

技术实现思路

1、本技术实施例提供一种认证方法和装置，能够保证应用程序与服务器之间的安全通信。

2、第一方面，本技术实施例提供一种认证方法，应用于电子设备，电子设备中安装有第一应用，电子设备包括可信执行环境tee；方法包括：电子设备运行第一应用从tee获取第一数字证书，第一数字证书包括第一应用的标识和应用签名证书指纹；电子设备向第一服务器发送第一数字证书；电子设备接收来自第一服务器的认证通过消息，认证通过消息用于指示第一数字证书认证通过，以及第一应用的标识和应用签名证书指纹认证通过；电子设备基于第一应用与第一服务器进行安全通信。

3、基于本技术实施例提供的方法，电子设备的第一应用可以从tee获取第一数字证书，并向第一服务器发送该证书。在该第一数字证书认证通过，且该证书中包含的应用签名证书指纹认证通过的情况下，第一应用可以与第一服务器进行安全通信。由于第一数字证书是从tee直接获取的，可以避免端侧（电子设备侧）的恶意程序对第一数字证书中的第一应用的标识、应用签名证书指纹进行篡改的问题。并且，通过第一数字证书携带第一应用的标识、应用签名证书指纹到第一服务器，使得第一服务器既对第一数字证书进行认证，也可以对第一应用的标识和应用签名证书指纹进行认证，都认证通过后，第一应用可以与第一服务器进行通信，确保了第一应用与第一服务器之间的通信安全。

4、在一种可能的实施方式中，第一应用从tee获取第一数字证书包括：电子设备运行第一应用调用通用密钥库系统huks接口从tee获取第一数字证书。其中，huks接口（即huksapi）是huks组件向上层软件（例如，应用程序）开放的接口。huks组件在安全环境下运行，例如，tee或者具备安全能力的芯片等。这样，可以保证第一数字证书的合法性。

5、在一种可能的实施方式中，第一数字证书还包括电子设备的唯一标识符和公钥。安全云服务器（第一服务器）首次接收到包含电子设备的唯一标识符（例如，第一udid）的设备证书（第一数字证书）的情况下，安全云服务器可以基于第一udid生成device token,并建立device token与公钥的对应关系。后续应用程序请求的数据可以使用公钥对应的私钥进行签名，并可以将签名后的数据和device token发送给安全云服务器。安全云服务器可以校验device token，以确保电子设备和应用程序的合法性。安全云服务器可以基于device token对应的公钥对应用程序请求的数据进行验签，以确保报文的完整性。

6、在一种可能的实施方式中，认证通过消息包括第一令牌，第一令牌与公钥具有对应关系，第一令牌用于校验电子设备和第一应用的合法性。这样，可以根据第一令牌校验电子设备和第一应用的合法性，确保了第一应用与第一服务器之间的通信安全。

7、在一种可能的实施方式中，电子设备基于第一应用与第一服务器进行安全通信包括：电子设备基于第一应用，根据公钥对应的私钥对第一应用的第一业务数据进行签名得到签名数据；电子设备基于第一应用，向第一服务器发送签名数据和第一令牌。这样，可以根据第一令牌校验电子设备和第一应用的合法性，确保了第一应用与第一服务器之间的通信安全。

8、在一种可能的实施方式中，电子设备基于第一应用登录第一账号，第一账号通过双因子认证，双因子校验包括密码校验和验证码校验。若电子设备是双因子校验通过的设备（即电子设备登录的账号（应用程序登录的账号）通过双因子校验），且对电子设备或应用程序进行的应用程序认证、账号认证、设备认证中的至少一种认证通过（例如，应用程序认证、账号认证、设备认证都通过，或者，应用程序认证和设备认证通过，或者，应用程序认证通过），允许高敏感接口操作，即允许电子设备的应用程序调用高敏感接口对高敏感数据进行处理。这样，可以确保第一应用与第一服务器之间的通信安全。

9、第二方面，本技术实施例提供一种认证方法，应用于包括电子设备和第一服务器的认证系统，电子设备中安装有第一应用，电子设备包括可信执行环境tee，方法包括：电子设备运行第一应用从tee获取第一数字证书，第一数字证书包括第一应用的标识、应用签名证书指纹；电子设备向第一服务器发送第一数字证书；第一服务器接收第一数字证书，基于证书链对第一数字证书进行认证；第一服务器对第一数字证书认证通过后，对第一应用的标识和应用签名证书指纹进行认证；第一服务器对第一应用的标识和应用签名证书指纹认证通过后，向第一应用发送认证通过消息，认证通过消息用于指示第一数字证书认证通过，以及第一应用的标识和应用签名证书指纹认证通过；电子设备接收来自第一服务器的认证通过消息；电子设备基于第一应用与第一服务器进行安全通信。

10、基于本技术实施例提供的方法，电子设备的第一应用可以从tee获取第一数字证书，并向第一服务器发送该证书。第一服务器可以对第一数字证书进行认证，并且对第一应用的标识和应用签名证书指纹进行认证。在该第一数字证书认证通过，且该证书中包含的应用签名证书指纹认证通过的情况下，第一应用可以与第一服务器进行安全通信。由于第一数字证书是从tee直接获取的，可以避免端侧（电子设备侧）的恶意程序对第一数字证书中的第一应用的标识、应用签名证书指纹进行篡改的问题。并且，通过第一数字证书携带第一应用的标识、应用签名证书指纹到第一服务器，使得第一服务器既对第一数字证书进行认证，也可以对第一应用的标识和应用签名证书指纹进行认证，都认证通过后，第一应用可以与第一服务器进行通信，确保了第一应用与第一服务器之间的通信安全。

11、在一种可能的实施方式中，电子设备运行第一应用从tee获取第一数字证书包括：电子设备运行第一应用调用通用密钥库系统huks接口从tee获取第一数字证书。

12、在一种可能的实施方式中，第一数字证书还包括电子设备的唯一标识符和公钥。

13、在一种可能的实施方式中，方法还包括：第一服务器根据电子设备的唯一标识符生成第一令牌；第一服务器建立第一令牌与公钥的对应关系，第一令牌用于校验电子设备和第一应用的合法性。

14、在一种可能的实施方式中，认证通过消息包括第一令牌。

15、在一种可能的实施方式中，电子设备基于第一应用与第一服务器进行安全通信包括：电子设备基于第一应用，根据公钥对应的私钥对第一应用的第一业务数据进行签名得到签名数据；电子设备基于第一应用，向第一服务器发送签名数据和第一令牌；第一服务器接收签名数据和第一令牌；第一服务器根据第一令牌对应的公钥对签名数据进行验签。

16、在一种可能的实施方式中，电子设备基于第一应用登录第一账号，第一账号通过双因子认证，双因子校验包括密码校验和验证码校验。

17、第三方面，本技术提供一种计算机可读存储介质，该计算机可读存储介质包括计算机指令。当计算机指令在电子设备（如手机）上运行时，使得该电子设备执行如第一方面或第二方面及其任一种可能的设计方式所述的方法。

18、第四方面，本技术提供一种计算机程序产品，当所述计算机程序产品在计算机上运行时，使得所述计算机执行如第一方面或第二方面及其任一种可能的设计方式所述的方法。

19、第五方面，本技术实施例提供了一种认证装置，包括处理器，处理器和存储器耦合，存储器存储有程序指令，当存储器存储的程序指令被处理器执行时使得所述装置实现上述第一方面或第二方面及其任一种可能的设计方式所述的方法。所述装置可以为电子设备或第一服务器；或可以为电子设备或第一服务器中的一个组成部分，如芯片。

20、第六方面，本技术实施例提供了一种认证装置，所述装置可以按照功能划分为不同的逻辑单元或模块，各单元或模块执行不同的功能，以使得所述装置执行上述第一方面或第二方面及其任一种可能的设计方式所述的方法。

21、第七方面，本技术提供一种认证系统，包括电子设备和第一服务器，其中，电子设备可以执行如第一方面或第二方面及其任一种可能的设计方式所述的方法，第一服务器可以执行如第二方面及其任一种可能的设计方式所述的方法。

22、第八方面，本技术提供一种芯片系统，该芯片系统包括一个或多个接口电路和一个或多个处理器。该接口电路和处理器通过线路互联。上述芯片系统可以应用于包括通信模块和存储器的电子设备或第一服务器。该接口电路用于从电子设备或第一服务器的存储器接收信号，并向处理器发送接收到的信号，该信号包括存储器中存储的计算机指令。当处理器执行该计算机指令时，电子设备或第一服务器可以执行如第一方面及其任一种可能的设计方式所述的方法。

23、可以理解地，上述提供的第三方面所述的计算机可读存储介质，第四方面所述的计算机程序产品，第五方面、第六方面所述的装置，第七方面所述的系统，以及第八方面所述的芯片系统所能达到的有益效果，可参考如第一方面及其任一种可能的设计方式中的有益效果，此处不再赘述。