(57)【要約】  本発明は、認証情報伝送方法、キー管理クライアントおよびコンピュータ装置に関し、通信の技術分野に属する。この方法は、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信するステップと、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、キー管理クライアントが認証情報をキー管理サービス端末に送信するステップと、キー管理クライアントがキー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得するステップと、アプリケーションサーバが認証情報に対して正当性を検証するように、キー管理クライアントが署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信するステップとを含む。
2021516918.tif 000002
【特許請求の範囲】
【請求項１】
計算装置が実行する認証情報伝送方法であって、
キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信するステップと、
前記キー管理クライアントが前記認証情報をキー管理サービス端末に送信するステップと、
前記キー管理サービス端末が前記認証情報を信頼できる実行環境における信頼アプリケーションに送信するステップと、
前記キー管理クライアントが前記キー管理サービス端末から転送された前記信頼アプリケーションによる署名後の認証情報を取得するステップと、
前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信するステップと、
前記アプリケーションサーバが前記認証情報に対して正当性を検証するステップと、を含む、
ことを特徴とする認証情報伝送方法。
【請求項２】
前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信する前に、
前記キー管理クライアントが、前記信頼アプリケーションにより生成された、前記キー管理サービス端末から送信された前記アプリケーションサーバの署名キー値を取得するステップと、
前記キー管理クライアントが前記予め設定されたハードウェア抽象化層インタフェースを介して前記署名キー値を前記アプリケーションサーバに送信するステップとを、さらに含む、
ことを特徴とする請求項１に記載の方法。
【請求項３】
前記キー管理クライアントが前記認証情報をキー管理サービス端末に送信する前に、
前記キー管理クライアントと前記キー管理サービス端末とがハードウェア抽象化層にリンクパスを構築するステップをさらに含む、
ことを特徴とする請求項１または２に記載の方法。
【請求項４】
キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された前記認証情報に対応するアプリケーションクライアントの識別子を受信するステップをさらに含み、
前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信する前に、
前記キー管理クライアントが前記アプリケーションクライアントの識別子に基づいて、前記アプリケーションクライアントに対応するターゲットアプリケーションサーバを確定するステップをさらに含み、
これと対応して、前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信するステップは、
前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記ターゲットアプリケーションサーバに送信することを含む、
ことを特徴とする請求項１乃至３のいずれか１項に記載の方法。
【請求項５】
前記キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信する前に、
前記キー管理クライアントが前記予め設定されたハードウェア抽象化層インタフェースの識別子を前記アプリケーションクライアントに送信するステップをさらに含む、
ことを特徴とする請求項１乃至４のいずれか１項に記載の方法。
【請求項６】
予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信するための受信モジュールと、
キー管理サービス端末が前記認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、前記認証情報を前記キー管理サービス端末に送信するための第１の送信モジュールと、
前記キー管理サービス端末から転送された前記信頼アプリケーションによる署名後の認証情報を取得するための第１の取得モジュールと、
アプリケーションサーバが前記認証情報に対して正当性を検証するように、前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信するための第２の送信モジュールと、を備える、
ことを特徴とするキー管理クライアント。
【請求項７】
メモリと、プロセッサと、メモリに記憶されるとともにプロセッサで動作可能なコンピュータプログラムとを備えており、
前記プロセッサによって前記コンピュータプログラムを実行する際に、請求項１乃至５のいずれか１項に記載の認証情報伝送方法を実現する、
ことを特徴とするコンピュータ装置。
【請求項８】
アプリケーションクライアントと、アプリケーションサーバと、キー管理サービス端末と、信頼アプリケーションと、請求項６に記載のキー管理クライアントとを備える、
ことを特徴とする認証情報伝送システム。
【請求項９】
コンピュータに請求項１乃至５のいずれか１項に記載の認証情報伝送方法を実行させる
ことを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願への相互参照］
本発明は、２０１８年８月１６日に提出された出願番号が２０１８１０９３６０９２.２、発明名称が「認証情報伝送方法、キー管理クライアントおよびコンピュータ装置」である中国特許出願に基づいた優先権を要求し、その全ての内容は参照により本発明に組み込まれる。
【０００２】
［技術分野］
本発明は、通信の技術分野に関し、特に、認証情報伝送方法、キー管理クライアントおよびコンピュータ装置に関する。
【背景技術】
【０００３】
従来、ユーザが携帯電話やパソコンなどの端末機器におけるサードパーティーアプリケーションを利用して決済を行ったり、携帯電話やパソコンなどの端末機器におけるプライバシーファイルやアプリケーションを開いたりする際には、セキュリティ認証技術を用いて、顔や指紋などの生体認証情報を検証することにより、ユーザの身分を検証する必要がある。
【０００４】
通常、サードパーティーアプリケーションクライアントは、生体認証情報を対応するアプリケーションサーバに送信して検証を行い、アプリケーションサーバで正当であると検証すると、決済を行う機能、プライバシーファイルやアプリケーションを開く機能などの機能を実現することができる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の実施例は、認証情報伝送方法、キー管理クライアント、コンピュータ装置、認証情報伝送システムおよびコンピュータ読み取り可能な記憶媒体を提供する。
【課題を解決するための手段】
【０００６】
本発明の実施例の一方面によれば、計算装置により実行される認証情報伝送方法であって、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信するステップと、キー管理サービス端末が前記認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、前記キー管理クライアントが前記認証情報を前記キー管理サービス端末に送信するステップと、前記キー管理クライアントが前記キー管理サービス端末から転送された前記信頼アプリケーションによる署名後の認証情報を取得するステップと、アプリケーションサーバが前記認証情報に対して正当性を検証するように、前記キー管理クライアントが前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信するステップと、を含む認証情報伝送方法を提供する。
【０００７】
本発明の実施例の他方面によれば、アプリケーションクライアントから送信された認証情報を、予め設定されたハードウェア抽象化層インタフェースを介して受信する受信モジュールと、キー管理サービス端末が前記認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、前記認証情報を前記キー管理サービス端末に送信するための第１の送信モジュールと、前記キー管理サービス端末から転送された前記信頼アプリケーションによる署名後の認証情報を取得するための第１の取得モジュールと、アプリケーションサーバが前記認証情報に対して正当性を検証するように、前記署名後の認証情報を前記予め設定されたハードウェア抽象化層インタフェースを介して前記アプリケーションクライアントに対応するアプリケーションサーバに送信するためのもの第２の送信モジュールと、を備えるキー管理クライアントを提供する。
【０００８】
本発明の実施例の別の方面によれば、キー管理クライアントがシステムサービスインタフェースを介してアプリケーションクライアントから送信された認証情報採取要求を受信するステップと、キー管理クライアントが前記認証情報採取要求をハードウェア抽象化層インタフェース指令にカプセル化し、かつ、キー管理サービス端末が前記認証情報採取要求を信頼できる実行環境における信頼アプリケーションに送信するように、前記ハードウェア抽象化層インタフェース指令をハードウェア抽象化層インタフェースを介してキー管理サービス端末に送信するステップと、キー管理クライアントが前記キー管理サービス端末から前記信頼アプリケーションによる署名後の認証情報を含むハードウェア抽象化層の指令結果を受信するステップと、アプリケーションサーバが前記認証情報に対して正当性を検証するように、前記キー管理クライアントが前記ハードウェア抽象化層の指令結果から署名後の認証情報を解析し、署名後の認証情報を前記アプリケーションクライアントに対応するアプリケーションサーバに送信するステップとを含む認証情報伝送方法を提供する。
【０００９】
本発明の実施例のまた別の方面によれば、メモリと、プロセッサと、メモリに記憶されるとともにプロセッサで動作可能なコンピュータプログラムとを備えており、前記プロセッサによって前記コンピュータプログラムを実行する際に、上記の実施例に記載の認証情報伝送方法を実現するコンピュータ装置を提供する。
【００１０】
本発明の実施例のまた別の方面によれば、アプリケーションクライアントと、アプリケーションサーバと、キー管理サービス端末と、信頼アプリケーションと、上記の実施例に記載のキー管理クライアントとを備える認証情報伝送システムを提供する。
【００１１】
本発明の実施例のまた別の方面によれば、コンピュータプログラムが記憶されるコンピュータ読み取り可能な記憶媒体であって、前記コンピュータプログラムがプロセッサによって実行される際に、上記の実施例に記載の認証情報伝送方法を実現するコンピュータ読み取り可能な記憶媒体を提供する。
【００１２】
なお、以上の簡単な説明や後の詳細な記載は、あくまでも例示的や解釈的なものに過ぎなく、本発明を限定するものではない。
【図面の簡単な説明】
【００１３】
ここでの図面は、明細書に組み込まれ、本明細書の一部を構成するものであり、本発明を適用可能な実施例を示し、明細書と共に本発明の原理を解釈するためのものである。
【図１】本発明の１つの例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【図２】本発明の別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【図３】本発明のまた別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【図４】本発明の１つの例示的な実施例に係る認証情報伝送方法のシグナリング交換を示す図である。
【図５】本発明の１つの例示的な実施例に係る認証情報伝送方法の応用シーンを示す図である。
【図６Ａ】本発明の１つの例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【図６Ｂ】本発明のさらに別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【図７】本発明の１つの例示的な実施例に係るキー管理クライアントの構成を示す図である。
【図８】本発明の１つの例示的な実施例に係るコンピュータ装置の構成を示す図である。
【図９】本発明の別の例示的な実施例に係るコンピュータ装置の構成を示す図である。  以上の図面により、本発明の実施例が明確に示されており、詳細な説明は後述する。これらの図面および文字的説明は何らかの方式により本発明の構想範囲を限定するものではなく、特定の実施例を参照することにより当業者に対して本発明の概念を説明するためのものである。
【発明を実施するための形態】
【００１４】
ここでは、本発明の例示的な実施例を詳細に説明するが、その例示を図面に示している。なお、以下の説明では、特に断らない限り、異なる図面における同じ符号は、同一または類似する要素を示す。以下の例示的な実施例に記載された実施形態は、本発明と一致する全ての実施形態を表すものではない。逆に、特許請求の範囲に詳細に記載されているような、本発明の幾つかの方面に係る装置および方法の一例に過ぎない。
【００１５】
従来、生体認証情報のセキュリティを向上させるために、端末機器の安全領域（Ｔｒｕｓｔｅｄ  Ｅｘｅｃｕｔｉｏｎ  Ｅｎｖｉｒｏｎｍｅｎｔ、「ＴＥＥ」と略称する）における信頼アプリケーション（Ｔｒｕｓｔｅｄ  Ａｐｐｌｉｃａｔｉｏｎ、「ＴＡ」と略称する）がサードパーティーアプリケーションから取得した生体認証情報を署名した後、サードパーティーアプリケーションに対応するアプリケーションサーバが情報の検証を行うようにしている。また、サードパーティーアプリケーションが信頼アプリケーションとデータの交換を行う際に、通常、端末システムにおけるアプリケーションフレームワークインタフェースを介する必要があるので、サードパーティーアプリケーションは、新たに定義した新しいインタフェースが対応するアルゴリズムを実行することができ、ハードウェア抽象化層（Ｈａｒｄｗａｒｅ  Ａｂｓｔｒａｃｔｉｏｎ  Ｌａｙｅｒ、ＨＡＬ）を呼び出して、さらにＴＥＥにおけるＴＡにアクセス可能なように、アプリケーションフレームワークインタフェースの機能を定義する必要がある。
【００１６】
通常、端末システムの更新速度が速いため、従来の情報認証方法では、システムにおけるアプリケーションフレームワークの頻繁な更新に伴ってインタフェースの定義を頻繁に行う必要があり、そして、アプリケーションフレームワークにおける開放されている各インタフェースがフラグメント化され、かつ互いに結合されているため、上記のように情報認証を行うためのパスの構築が複雑かつ煩雑となり、コストも高くなってしまう。
【００１７】
本発明の実施例が提供する認証情報伝送方法は、ハードウェア抽象化層にキー管理クライアントおよびキー管理サービス端末を予め定義しておくことによって、情報認証を行う際に、アプリケーションクライアントが予め設定されたハードウェア抽象化層インタフェースを介してキー管理クライアントに認証情報を送信し、さらに、キー管理クライアントが認証情報を受信した後、キー管理サービス端末を介して認証情報を信頼可能な実行環境における信頼アプリケーションに送信することができる。また、信頼アプリケーションが認証情報を署名し、署名後の認証情報をキー管理サービス端末に送信すると、キー管理クライアントは、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信して、アプリケーションサーバが認証情報に対して正当性を検証することができる。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、コストも高くなるという課題を回避し、認証情報の伝送時間を低減させ、認証情報の信頼性を向上させることができる。
【００１８】
以下、本発明が提供する認証情報伝送方法、キー管理クライアント、コンピュータ装置、認証情報伝送システムおよびコンピュータ読み取り可能な記憶媒体について、図面を参照しながら詳細に説明する。
【００１９】
まず、図１を参照して、本発明の実施例が提供する認証情報伝送方法について詳細に説明する。
【００２０】
図１は、本発明の１つの例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【００２１】
図１に示すように、当該認証情報伝送方法は、以下のようなステップを含むことができる。
【００２２】
ステップ１０１において、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信する。
【００２３】
また、本発明の実施例が提供する認証情報伝送方法は、本発明の実施例が提供するキー管理クライアントによって実行することができる。ここで、キー管理クライアントは、任意のコンピュータ装置に搭載されていてもよい。具体的には、本実施例のコンピュータ装置は、例えばスマートフォン、ＰＤＡ、タブレット型コンピュータ、卓上型コンピュータなどのいずれかのデータ処理機能を有するハードウェア装置であってもよい。
【００２４】
また、認証情報は、指紋、パスワード、デジタル証明書などのような、ユーザの身分認証に利用可能な任意の情報であってよい。
【００２５】
アプリケーションクライアントは、端末機器におけるサードパーティーアプリケーションであってもよい。サードパーティーアプリケーションとは、端末機器におけるシステムアプリケーションと異なるアプリケーションであり、例えば、リアルタイム通信アプリケーション、ソーシャルアプリケーション、決済アプリケーション等であってもよい。
【００２６】
なお、ユーザがサードパーティーアプリケーションを利用して決済を行い（例えば、サードパーティーアプリケーションの決済確認画面を開く）、または端末機器におけるプライバシーアプリケーションやファイルを開く必要がある場合には、端末機器に指紋やパスワードなどの認証情報を入力することができる。本発明の実施例では、１つのハードウェア抽象化層インタフェースを予め定義しておくことで、アプリケーションクライアントは、認証情報を取得した後、予め設定されたハードウェア抽象化層インタフェースを介して、認証情報をキー管理クライアントに送信することができる。ハードウェア抽象化層は、オペレーティングシステムのカーネルとハードウェア回路との間に位置するインタフェース層であり、ハードウェアを抽象化させることを目的とする。
【００２７】
なお、アプリケーションクライアントが予め設定されたハードウェア抽象化層インタフェースを介して認証情報をキー管理クライアントに送信するためには、ハードウェア抽象化層インタフェースをアプリケーションクライアントに対して開放する必要がある。従って、本発明の実施例では、ステップ１０１の前に、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信するステップをさらに含んでもよい。
【００２８】
ここで、ハードウェア抽象化層インタフェースの識別子は、必要に応じて任意に設定することができる。
【００２９】
具体的には、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信した後、予め設定されたハードウェア抽象化層インタフェースの識別子に基づいて、予め設定されたハードウェア抽象化層インタフェースを認識し、かつ予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信することができる。
【００３０】
ステップ１０２において、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、キー管理クライアントが認証情報をキー管理サービス端末に送信する。
【００３１】
ステップ１０３において、キー管理クライアントがキー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得する。
【００３２】
なお、端末機器には、通常、安全領域、すなわち本発明の実施例における信頼できる実行環境が設定されており、この領域は、１つの信頼される環境であり、その内部に記憶や処理されるデータが外部環境と独立していることを保証することができる。端末機器における機密性、安全性または信頼性に対する要求が高い特別なアプリケーションは、いずれもこの環境で動作することができる。
【００３３】
本発明の実施例では、信頼アプリケーションは、信頼できる実行環境（ＴＥＥ）で動作するアプリケーション（ＴＡ）である。信頼アプリケーションは、認証情報を署名することにより、認証情報が他のアプリケーションにより改ざんされにくくなり、認証情報の伝送時の安全性や信頼性を確保することができる。
【００３４】
具体的には、キー管理クライアントは、アプリケーションクライアントから送信された認証情報を受信した後、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をキー管理サービス端末に送信する。信頼アプリケーションは、受信した認証情報を署名した後、署名後の認証情報をキー管理サービス端末に送信することにより、キー管理クライアントがキー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得することができる。
【００３５】
なお、本発明の実施例では、キー管理クライアントとキー管理サービス端末との通信を実現するためには、キー管理クライアントとキー管理サービス端末との間にリンクパスが存在している必要がある。すなわち、ステップ１０２の前に、キー管理クライアントとキー管理サービス端末がハードウェア抽象化層にリンクパスを構築するステップをさらに含んでもよい。
【００３６】
具体的には、ハードウェア抽象化層におけるキー管理クライアントとキー管理サービス端末とのリンクパスを予め構築しておくことができる。また、リンクパスは、一旦構築すると永久的に存在するので、リンクパスを介してキー管理クライアントとキー管理サービス端末との間の通信を実現することができる。
【００３７】
ステップ１０４において、アプリケーションサーバが認証情報に対して正当性を検証するように、キー管理クライアントが署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信する。
【００３８】
具体的には、キー管理クライアントは、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を受信すると、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信して、アプリケーションサーバが認証情報に対して正当性を検証することができる。
【００３９】
なお、本発明の実施例では、アプリケーションクライアントおよびアプリケーションクライアントに対応するアプリケーションサーバは、予め定義されたハードウェア抽象化層インタフェースを介してキー管理クライアントと通信可能であり、キー管理クライアントは、ハードウェア抽象化層に構築されたリンクパスを介してキー管理サービス端末と通信可能であり、キー管理サービス端末は、信頼できる実行環境（ＴＥＥ）における信頼アプリケーション（ＴＡ）と通信可能である。これにより、キー管理クライアントは、アプリケーションクライアントから送信された認証情報を受信した後、認証情報をキー管理サービス端末を介して信頼アプリケーションＴＡに送信して、信頼アプリケーションＴＡによるアプリケーションクライアントから送信された認証情報への署名を実現することができる。信頼アプリケーションＴＡが認証情報を署名した後、キー管理サービス端末およびキー管理クライアントによって署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信して、アプリケーションサーバが信頼アプリケーションＴＡによる署名後の認証情報に対して正当性の検証を行うことにより、認証情報に対する認証を実現することができる。
【００４０】
また、システムの更新は、通常ハードウェア抽象化層に関わらないので、直接ハードウェア抽象化層にキー管理クライアントとキー管理サービス端末を定義して、サードパーティーアプリケーションの認証情報の伝送にパスを提供することにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避することができる。また、認証情報は、アプリケーションフレームワークにおけるインターフェイスを経由して転送する必要がなく、アプリケーションクライアントからハードウェア抽象化層インタフェースを介してキー管理クライアントに直接送信されるため、認証情報の伝送時間が短縮され、認証情報が改ざんされる可能性が低減され、認証情報の信頼性が向上される。
【００４１】
また、本発明の実施例が提供する認証情報伝送方法では、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、認証情報をキー管理サービス端末に送信して、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信し、その後、キー管理クライアントは、キー管理サービス端末から転送されてきた信頼アプリケーションによる署名後の認証情報を取得し、最後に、署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信して、アプリケーションサーバが認証情報に対して正当性を検証するようになっている。これにより、ハードウェア抽象化層にキー管理クライアントとキー管理サービス端末を直接定義して、サードパーティーアプリケーションの認証情報の伝送にパスを提供することにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避することができる。また、認証情報は、アプリケーションフレームワークにおけるインターフェイスを経由して転送する必要がなく、アプリケーションクライアントからハードウェア抽象化層インタフェースを介してキー管理クライアントに直接送信されるため、認証情報の伝送時間が短縮され、認証情報が改ざんされる可能性が低減され、認証情報の信頼性が向上される。
【００４２】
上記の解析から明らかなように、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信して、認証情報をキー管理サービス端末に送信した後、キー管理サービス端末は、認証情報を信頼できる実行環境における信頼アプリケーションに送信して署名を行い、信頼アプリケーションが認証情報に対して署名した後、署名後の認証情報をキー管理クライアントに転送することにより、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースを介して、署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信して、アプリケーションサーバが認証情報に対して正当性を検証することができる。１つの可能な実施形態では、アプリケーションサーバは、さらに、信頼アプリケーションによる署名後の認証情報を取得した後、認証情報を取得して、認証情報に対して正当性を検証するために、署名後の認証情報に対して署名検証を行う必要がある。以下、図２を参照して、上記の事情について、本発明の認証情報伝送方法についてさらに説明する。
【００４３】
図２は、本発明の別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【００４４】
図２に示すように、認証情報伝送方法は、以下のステップを含むことができる。
【００４５】
ステップ２０１において、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信する。
【００４６】
ステップ２０２において、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信する。
【００４７】
ステップ２０３において、キー管理クライアントとキー管理サービス端末とがハードウェア抽象化層にリンクパスを構築する。
【００４８】
なお、ステップ２０３は、ステップ２０２の後に実行されてもよいし、ステップ２０２の前に実行されてもよいし、ステップ２０２と同時に実行されてもよく、ステップ２０４の前に実行されればよく、本発明はこれを制限するものではない。
【００４９】
ステップ２０４において、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、キー管理クライアントがハードウェア抽象化層のリンクパスを介してキー管理サービス端末に認証情報を送信する。
【００５０】
ステップ２０５において、キー管理クライアントがキー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得する。
【００５１】
なお、上記ステップ２０１〜ステップ２０５の具体的な実現過程および原理は、上記実施例に関する説明を参照することができるので、ここでは説明を省略する。
【００５２】
ステップ２０６において、キー管理クライアントがキー管理サービス端末から送信されたアプリケーションサーバの署名キー値を取得する。ここで、署名キー値は、信頼アプリケーションにより生成されるものである。
【００５３】
なお、キー管理クライアントは、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得すると同時に、アプリケーションサーバの署名キー値を取得してもよい。
【００５４】
ステップ２０７において、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介して署名キー値をアプリケーションサーバに送信する。
【００５５】
ステップ２０８において、アプリケーションサーバが認証情報に対して正当性を検証するように、キー管理クライアントが署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信する。
【００５６】
なお、アプリケーションサーバが予め設定されたハードウェア抽象化層インタフェースを介して取得したのは、信頼アプリケーションによる署名後の認証情報であるので、認証情報に対して正当性を検証するために、アプリケーションサーバは、取得した署名後の認証情報に対して署名検証を行って認証情報を得る必要がある。そこで、本発明の実施例では、信頼アプリケーションは、まずアプリケーションサーバの署名キー値を生成し、かつアプリケーションサーバの署名キー値をキー管理サービス端末に送信することにより、キー管理クライアントは、キー管理サービス端末からアプリケーションサーバの署名キー値を取得して、取得した署名キー値に基づいて取得した署名後の認証情報に対して署名検証を行って認証情報を得られるように、署名キー値を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションサーバに送信することができる。
【００５７】
具体的には、アプリケーションサーバが取得した信頼アプリケーションが生成した署名キー値が取得した署名後の認証情報に対応する署名と一致すると、取得した署名後の認証情報に対する署名検証が完了し、認証情報を得ることができ、さらに、アプリケーションサーバが認証情報に対して正当性を検証することができる。
【００５８】
なお、ステップ２０６〜２０７は、ステップ２０５の後に実行されてもよいし、ステップ２０５の前に実行されてもよいし、ステップ２０５と同時に実行されてもよく、アプリケーションサーバが認証情報に対して正当性を検証する前に実行されればよく、本発明はこれを制限するものではない。
【００５９】
また、キー管理クライアントは、信頼アプリケーションが生成したアプリケーションサーバの署名キー値を、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションサーバに送信することにより、アプリケーションサーバは、キー管理クライアントから送信された信頼アプリケーションによる署名後の認証情報を取得した後、取得した署名キー値に基づいて認証情報を得られ、さらに認証情報に対して正当性を検証することができる。
【００６０】
また、本発明の実施例が提供する認証情報伝送方法では、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信し、かつ予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、先ず、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をハードウェア抽象化層に予め構築されたリンクパスを介してキー管理サービス端末に送信し、その後、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得し、かつキー管理サービス端末から取得したアプリケーションサーバの署名キー値を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションサーバに送信した後、アプリケーションサーバが認証情報に対して正当性を検証できるように、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信することができる。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題が回避され、認証情報の伝送時間が低減され、認証情報の信頼性が向上される。
【００６１】
上記の解析から明らかなように、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信し、かつ認証情報をキー管理サービス端末に送信した後、キー管理サービス端末は、認証情報を信頼できる実行環境における信頼アプリケーションに送信して署名を行い、かつ信頼アプリケーションが認証情報に対して署名した後、署名後の認証情報をキー管理クライアントに転送することにより、キー管理クライアントは、アプリケーションサーバが認証情報に対して正当性を検証できるように、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信する。また、実際の応用では、情報認証を行う必要があるアプリケーションクライアントが複数存在する可能性があるので、キー管理クライアントは、複数のアプリケーションクライアントから送信された認証情報を取得する可能性がある。以下、図３を参照して、上記の事情について、本発明の認証情報伝送方法についてさらに説明する。
【００６２】
図３は、本発明のまた別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【００６３】
図３に示すように、当該認証情報伝送方法は、以下のステップを含むことができる。
【００６４】
ステップ３０１において、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信する。
【００６５】
ステップ３０２において、キー管理クライアントが、予め設定されたハードウェア抽象化層インタフェースを介して、アプリケーションクライアントから送信された認証情報、および認証情報に対応するアプリケーションクライアントの識別子を受信する。
【００６６】
ステップ３０３において、キー管理クライアントとキー管理サービス端末とがハードウェア抽象化層にリンクパスを構築する。
【００６７】
ステップ３０４において、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、キー管理クライアントが認証情報をキー管理サービス端末に送信する。
【００６８】
ステップ３０５において、キー管理クライアントがキー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得する。
【００６９】
なお、ステップ３０１〜ステップ３０５の具体的な実現過程および原理は、上記実施例に関する説明を参照することができるので、ここでは説明を省略する。
【００７０】
ステップ３０６において、キー管理クライアントが、アプリケーションクライアントの識別子に基づいて、アプリケーションクライアントに対応するターゲットアプリケーションサーバを確定する。
【００７１】
なお、ステップ３０６は、ステップ３０５の後に実行されてもよいし、ステップ３０５の前に実行されてもよいし、ステップ３０５と同時に実行されてもよく、ステップ３０７の前に実行されればよく、ここでは制限されない。
【００７２】
ステップ３０７において、ターゲットアプリケーションサーバが認証情報に対して正当性を検証するように、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をターゲットアプリケーションサーバに送信する。
【００７３】
具体的には、アプリケーションクライアントは、予め設定されたハードウェア抽象化層インタフェースを介してキー管理クライアントに認証情報を送信すると同時に、認証情報に対応するアプリケーションクライアントの識別子をキー管理クライアントに送信することができる。これにより、キー管理クライアントは、キー管理サービス端末を介して信頼アプリケーションに認証情報を送信すると同時に、認証情報に対応するアプリケーションクライアントの識別子を信頼アプリケーションに送信することができる。また、信頼アプリケーションは、認証情報を署名した後、署名後の認証情報を認証情報に対応するアプリケーションクライアントの識別子と共にキー管理サービス端末に送信することができる。これにより、キー管理クライアントは、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報、および認証情報に対応するアプリケーションクライアントの識別子を取得した後、アプリケーションクライアントの識別子に基づいてアプリケーションクライアントに対応するターゲットアプリケーションサーバを確定し、かつ、ターゲットアプリケーションサーバが認証情報に対して正当性を検証するように、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をターゲットアプリケーションサーバに送信することができる。
【００７４】
例えば、キー管理クライアントが予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントＡおよびアプリケーションクライアントＢに送信した後、アプリケーションクライアントＡは、予め設定されたハードウェア抽象化層インタフェースを介してキー管理クライアントに認証情報ａを送信するとともに、アプリケーションクライアントＡの識別子「Ａ」を送信し、アプリケーションクライアントＢは、予め設定されたハードウェア抽象化層インタフェースを介してキー管理クライアントに認証情報ｂを送信するとともに、アプリケーションクライアントＢの識別子「Ｂ」を送信する。
【００７５】
すると、キー管理クライアントは、認証情報ａおよび対応する識別子「Ａ」、認証情報ｂおよび対応する識別子「Ｂ」を受信した後、認証情報ａおよび対応する識別子「Ａ」、認証情報ｂおよび対応する識別子「Ｂ」をキー管理サービス端末に送信して、キー管理サービス端末が認証情報ａおよび対応する識別子「Ａ」、認証情報ｂおよび対応する識別子「Ｂ」を信頼できる実行環境における信頼アプリケーションに送信することにより、信頼アプリケーションが認証情報ａおよび認証情報ｂのそれぞれを署名することができる。
【００７６】
また、信頼アプリケーションは、認証情報ａおよび認証情報ｂのそれぞれを署名した後、認証情報ａが署名された認証情報ａ′および対応する識別子「Ａ」、認証情報ｂが署名された認証情報ｂ′および対応する識別子「Ｂ」をキー管理サービス端末に送信することにより、キー管理クライアントは、キー管理サービス端末から転送された認証情報ａ′および対応する識別子「Ａ」、認証情報ｂ′および対応する識別子「Ｂ」を取得し、かつ識別子「Ａ」および「Ｂ」のそれぞれに基づいてアプリケーションクライアントＡおよびＢのそれぞれに対応するターゲットアプリケーションサーバを確定して、アプリケーションクライアントＡに対応するターゲットアプリケーションサーバが認証情報ａに対して正当性を検証し、アプリケーションクライアントＢに対応するターゲットアプリケーションサーバが認証情報ｂに対して正当性を検証するように、署名後の認証情報ａ′をアプリケーションクライアントＡに対応するターゲットアプリケーションサーバに送信し、署名後の認証情報ｂ′をアプリケーションクライアントＢに対応するターゲットアプリケーションサーバに送信することができる。
【００７７】
本発明の実施例が提供する認証情報伝送方法では、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信し、かつ予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、まずは、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をハードウェア抽象化層に予め構築されたリンクパスを介してキー管理サービス端末に送信し、その後、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得し、かつ、アプリケーションクライアントの識別子に基づいてアプリケーションクライアントに対応するターゲットアプリケーションサーバを確定した後、ターゲットアプリケーションサーバが認証情報に対して正当性を検証するように、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をターゲットアプリケーションサーバに送信することができる。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題が回避され、認証情報の伝送時間が低減され、認証情報の信頼性が向上される。そして、キー管理クライアントがアプリケーションクライアントの識別子に基づいてアプリケーションクライアントに対応するターゲットアプリケーションサーバを確定し、さらに、ターゲットアプリケーションサーバが認証情報に対して正当性を検証するように署名後の認証情報をターゲットアプリケーションサーバに送信することにより、複数のターゲットクライアントから送信された認証情報に対して同時に情報認証を行うことができ、情報認証の効率が向上される。
【００７８】
以下、図４に示す認証情報伝送方法のシグナリング交換図を参照して、本発明の実施例が提供する認証情報伝送方法をさらに説明する。
【００７９】
図４は、本発明の１つの例示的な実施例に係る認証情報伝送方法のシグナリング交換を示す図である。
【００８０】
図４に示すように、この認証情報伝送方法は、アプリケーションクライアントＭ、アプリケーションクライアントＭに対応するアプリケーションサーバＮ、キー管理クライアントＰ、キー管理サービス端末Ｓ、および信頼できる実行環境における信頼アプリケーションＴＡによって実行される。
【００８１】
ステップ４０１において、キー管理クライアントＰが予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントＭに送信する。
【００８２】
ステップ４０２において、キー管理クライアントＰが予め設定されたハードウェア抽象化層インタフェースを介して、アプリケーションクライアントＭから送信された認証情報を受信する。
【００８３】
ステップ４０３において、キー管理クライアントＰが認証情報をキー管理サービス端末Ｓに送信する。
【００８４】
ステップ４０４において、キー管理サービス端末Ｓが認証情報を信頼できる実行環境における信頼アプリケーションＴＡに送信する。
【００８５】
ステップ４０５において、信頼アプリケーションＴＡが認証情報に対して署名する。
【００８６】
ステップ４０６において、信頼アプリケーションＴＡが署名後の認証情報をキー管理サービス端末Ｓに送信する。
【００８７】
ステップ４０７において、キー管理サービス端末Ｓが署名後の認証情報をキー管理クライアントＰに転送する。
【００８８】
ステップ４０８において、アプリケーションサーバＮが認証情報に対して正当性を検証するように、キー管理クライアントＰが予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をアプリケーションサーバＮに送信する。
【００８９】
以上の過程により、アプリケーションクライアントＭから送信された認証情報を、信頼できる実行環境における信頼アプリケーションＴＡに送信して署名し、かつ信頼アプリケーションＴＡが認証情報に対して署名した後、アプリケーションサーバＮが認証情報に対して正当性を検証するように、署名後の認証情報をアプリケーションクライアントＭに対応するアプリケーションサーバＮに送信することにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避し、認証情報の伝送時間を低減し、認証情報の信頼性を向上させることができる。
【００９０】
また、上記実施例が提供する認証情報伝送方法は、指紋決済、公式アカウント/ミニプログラムの指紋認証インタフェースなどの各シーンに適用することができる。以下、指紋決済シーンを例として、本発明の実施例が提供する認証情報伝送方法について説明する。
【００９１】
図５は、本発明の１つの例示的な実施例に係る認証情報伝送方法の応用シーンを示す図である。
【００９２】
図５に示すように、アプリケーションクライアントＭが指紋決済機能を用いて決済を行い、アプリケーションクライアントＭがアプリケーションサーバＮに対応すると仮定すると、ユーザが端末機器の指紋採取装置を介して端末機器に指紋を入力した後（ステップ１）、アプリケーションクライアントＭは、取得した指紋を予め定義されたハードウェア抽象化層を介してキー管理クライアントＰに送信し（ステップ２−３）、その後、キー管理クライアントＰは、予め構築したリンクパスを介して指紋をキー管理サービス端末Ｓに送信し（ステップ４）、さらに、キー管理サービス端末Ｓは、指紋を信頼できる実行環境における信頼アプリケーションＴＡに送信する（ステップ５）。
【００９３】
そして、信頼アプリケーションＴＡは、取得した指紋に対して署名した後（ステップ６）、署名後の指紋をキー管理サービス端末Ｓに送信し（ステップ７）、そして、キー管理サービス端末Ｓは、予め構築されたリンクパスを介して署名後の指紋をキー管理クライアントＰに転送し（ステップ８）、さらに、キー管理クライアントＰは、予め設定されたハードウェア抽象化層インタフェースを介して署名後の指紋をアプリケーションサーバＮに送信する（ステップ９）。そして、アプリケーションサーバＮは、署名後の指紋を取得した後、署名後の指紋に対して署名検証を行い、そして、署名検証後に得られた指紋に対して正当性の検証を行うことができる（ステップ１０）。アプリケーションサーバＮによって指紋が正当であると判断すると、決済が完了する。
【００９４】
図６Ａは、本発明の１つの例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。
【００９５】
当該認証情報伝送方法は、図６Ａに示すように、以下のステップを含むことができる。
【００９６】
ステップ６０１において、キー管理クライアントがシステムサービスインタフェースを介してアプリケーションクライアントから送信された認証情報採取要求を受信する。
本発明の実施例によれば、前記キー管理クライアントは、端末機器のオペレーティングシステムに設けられた１つのシステムサービスであってもよい。前記キー管理クライアントは、前記システムサービスインタフェースを備える。前記アプリケーションクライアントは、前記キー管理クライアントのシステムサービスインタフェースを呼び出して認証情報採取要求を発出することができる。
【００９７】
前記キー管理クライアントと前記アプリケーションクライアントとの間には、前記システムサービスインタフェースを介してシステムサービスリンクパスが予め構築される。前記システムサービスインタフェースは、システムインタフェース定義言語で定義されるものであって、アプリケーションクライアントとキー管理クライアントとの間で、プロセス間通信（Ｉｎｔｅｒ-ｐｒｏｃｅｓｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ、ＩＰＣ）にて通信するためのインタフェースであってもよい。前記システムインタフェース定義言語は、例えばＡｎｄｒｏｉｄインタフェース定義言語（ＡＩＤＬ）であり、前記システムサービスインタフェースは、例えばＡＩＤＬインタフェースである。
【００９８】
ここで、前記認証情報採取要求は、例えば指紋採取要求であってもよい。前記認証情報採取要求は、前記アプリケーションクライアントの識別子を含むことができる。
【００９９】
ステップ６０２において、キー管理クライアントが前記認証情報採取要求をハードウェア抽象化層インタフェース指令にカプセル化して、前記ハードウェア抽象化層インタフェース指令をハードウェア抽象化層インタフェースを介してキー管理サービス端末に送信する。
【０１００】
本発明の実施例によれば、前記キー管理サービス端末は、前記ハードウェア抽象化層インタフェースを備え、前記キー管理クライアントは、前記キー管理サービス端末のハードウェア抽象化層インタフェースを呼び出して、前記ハードウェア抽象化層インタフェース指令を前記キー管理サービス端末に送信することができる。前記キー管理サービス端末は、例えば端末機器の安全領域内に設置される。
【０１０１】
前記キー管理クライアントと前記キー管理サービス端末との間には、前記ハードウェア抽象化層インタフェースを介してハードウェア抽象化層のリンクパスが予め構築されている。前記ハードウェア抽象化層インタフェースは、例えばハードウェア抽象化層インタフェース定義言語（ＨＩＤＬ）により定義されたインタフェースである。
【０１０２】
ステップ６０３において、キー管理サービス端末が受信したハードウェア抽象化層インタフェース指令から前記認証情報採取要求を解析して信頼アプリケーションに送信する。
【０１０３】
本発明の実施例によれば、前記キー管理サービス端末は、パス・スルー（Ｐａｓｓ-ｔｈｒｏｕｇｈ）の方式により前記認証情報採取要求を信頼アプリケーションに送信する。
【０１０４】
ステップ６０４において、信頼アプリケーションが前記認証情報採取要求に応じて、認証情報採取装置を呼び出して認証情報を採取し、かつ採取した認証情報に対して署名する。
【０１０５】
ここで、前記認証情報採取装置は、例えば端末機器における指紋採取装置である。前記署名後の認証情報は、前記アプリケーションクライアントの識別子を含むことができる。前記署名後の認証情報は、署名キー値をさらに有してもよい。
【０１０６】
ステップ６０５において、信頼アプリケーションが前記署名後の認証情報を前記キー管理サービス端末に送信する。
【０１０７】
ステップ６０６において、前記キー管理サービス端末が前記署名後の認証情報をハードウェア抽象化層の指令結果にカプセル化して、前記ハードウェア抽象化層の指令結果を前記ハードウェア抽象化層インタフェースを介してキー管理クライアントに送信する。
【０１０８】
ステップ６０７において、前記キー管理クライアントが前記ハードウェア抽象化層の指令結果から前記署名後の認証情報を解析し、かつ、前記アプリケーションサーバが前記認証情報に対して正当性を検証するように、署名後の認証情報を前記アプリケーションクライアントに対応するアプリケーションサーバに送信する。
【０１０９】
具体的には、前記キー管理クライアントは、前記署名後の認証情報に含まれるアプリケーションクライアントの識別子に基づいて、アプリケーションクライアントに対応するアプリケーションサーバを確定して、署名後の認証情報を対応するアプリケーションサーバに送信することができる。
【０１１０】
本発明の実施例に係る認証情報伝送方法によれば、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避し、認証情報の伝送時間を低減させ、認証情報の信頼性を向上させることができる。
【０１１１】
図６Ｂは、本発明のさらに別の例示的な実施例に係る認証情報伝送方法を説明するためのフローチャートである。このフローは、キー管理クライアントの認証情報伝送方法である。当該方法は、図６Ｂに示すように、以下のステップを含むことができる。
【０１１２】
ステップ６１０において、キー管理クライアントがシステムサービスインタフェースを介してアプリケーションクライアントから送信された認証情報採取要求を受信する。
【０１１３】
ステップ６１１において、キー管理クライアントが前記認証情報採取要求をハードウェア抽象化層インタフェース指令にカプセル化し、かつ、前記キー管理サービス端末が前記認証情報採取要求を信頼できる実行環境における信頼アプリケーションに送信させるように、前記ハードウェア抽象化層インタフェース指令をハードウェア抽象化層インタフェースを介してキー管理サービス端末に送信する。
【０１１４】
ステップ６１２において、キー管理クライアントが前記キー管理サービス端末からハードウェア抽象化層の指令結果を受信する。ここで、前記ハードウェア抽象化層の指令結果には、前記信頼アプリケーションによる署名後の認証情報が含まれる。
【０１１５】
ステップ６１３において、前記キー管理クライアントが前記ハードウェア抽象化層の指令結果から署名後の認証情報を解析し、かつ、前記アプリケーションサーバが前記認証情報に対して正当性を検証するように、署名後の認証情報を前記アプリケーションクライアントに対応するアプリケーションサーバに送信する。
【０１１６】
図６Ｂにおける各ステップは、図６Ａにおける対応するステップの具体的な説明を参照することができる。
【０１１７】
図６Ａおよび図６Ｂの認証情報伝送方法、および本発明の他の実施例における認証情報伝送方法は、互いに参照して使用することができる。
【０１１８】
また、例示的な実施例では、キー管理クライアントをさらに提供している。
【０１１９】
図７は、本発明の１つの例示的な実施例に係るキー管理クライアントの構成を示す図である。
【０１２０】
本発明のキー管理クライアントは、図７に示すように、受信モジュール１１０と、第１の送信モジュール１２０と、第１の取得モジュール１３０と、第２の送信モジュール１４０とを備える。
【０１２１】
受信モジュール１１０は、予め設定されたハードウェア抽象化層インタフェースを介して、アプリケーションクライアントから送信された認証情報を受信するためのものである。
【０１２２】
第１の送信モジュール１２０は、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をキー管理サービス端末に送信するためのものである。
【０１２３】
第１の取得モジュール１３０は、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得するためのものである。
【０１２４】
第２の送信モジュール１４０は、アプリケーションサーバが認証情報に対して正当性を検証するように、署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信するためのものである。
【０１２５】
具体的には、本発明の実施例が提供するキー管理クライアントは、本発明の実施例が提供する認証情報伝送方法を実行することができる。このキー管理クライアントは、データ処理機能を有する任意のコンピュータ装置に配置されていてもよい。
【０１２６】
また、１つの可能な実施形態では、上記キー管理クライアントは、キー管理サービス端末から送信されたアプリケーションサーバの署名キー値を取得する第２の取得モジュールと、ここで、前記署名キー値が信頼アプリケーションにより生成されたものであり、予め設定されたハードウェア抽象化層インタフェースを介して署名キー値をアプリケーションサーバに送信するための第３の送信モジュールとをさらに備える。
【０１２７】
また、別の可能な実施形態では、上記キー管理クライアントは、ハードウェア抽象化層においてキー管理クライアントとキー管理サービス端末とのリンクパスを構築するためのリンクパス構築モジュールをさらに備える。
【０１２８】
また、別の可能な実施形態では、受信モジュール１１０は、予め設定されたハードウェア抽象化層インタフェースを介して、アプリケーションクライアントから送信された前記認証情報に対応するアプリケーションクライアントの識別子をさらに受信する。
【０１２９】
また、上記キー管理クライアントは、アプリケーションクライアントの識別子に応じて、アプリケーションクライアントに対応するターゲットアプリケーションサーバを確定する確定モジュールをさらに備える。
【０１３０】
これと対応して、上記第２の送信モジュール１４０は、具体的には、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をターゲットアプリケーションサーバに送信するためのものである。
【０１３１】
また、別の可能な実施形態では、上記キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースの識別子をアプリケーションクライアントに送信するための第４の送信モジュールをさらに備える。
【０１３２】
なお、上記の認証情報伝送方法の実施例についての解釈説明は、本実施例に係るキー管理クライアントにも適用可能であり、その実現原理が同様であるので、ここでは説明を省略する。
【０１３３】
本発明の実施例が提供するキー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をキー管理サービス端末に送信し、その後、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得し、最後に、アプリケーションサーバが認証情報に対して正当性を検証するように、予め設定されたハードウェア抽象化層インタフェースを介して署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信することができる。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題が回避され、認証情報の伝送時間が低減され、認証情報の信頼性が向上される。
【０１３４】
また、例示的な実施例では、さらにコンピュータ装置も提供される。
【０１３５】
図８は、本発明の１つの実施例に係るコンピュータ装置の構成を示す図である。図８に示すコンピュータ装置は、あくまでも一例に過ぎなく、本発明の実施例の機能や使用範囲を何ら制限しない。
【０１３６】
コンピュータ装置２００は、図８に示すように、コンピュータプログラムが記憶されるメモリ２１０とプロセッサ２２０とを備え、前記コンピュータプログラムは、プロセッサ２２０によって実行される際に、上記の実施例で説明したような認証情報伝送方法を前記プロセッサ２２０に実行させる。
【０１３７】
また、１つの好適な実施形態では、コンピュータ装置２００は、図９に示すように、コンピュータプログラムが記憶されるメモリ２１０と、プロセッサ２２０と、異なるコンポーネント（メモリ２１０とプロセッサ２２０とを含む）を接続するバス２３０とを備え、前記コンピュータプログラムは、プロセッサ２２０によって実行される際に、本発明の実施例で説明したような認証情報伝送方法を実現する。
【０１３８】
バス２３０は、複数種類のバス構造のうちの１種または複数種を表し、メモリバスまたはメモリコントローラ、周辺バス、グラフィックス高速化ポート、プロセッサ、または複数種類のバス構造のうちのいずれかを用いたローカルバスを含む。例えて言えば、これらのアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＡＣ）バス、エンハンスメント型ＩＳＡバス、ビデオエレクトロニクススタンダーズアソシエーション（ＶＥＳＡ）ローカルバスおよび周辺コンポーネント相互接続（ＰＣＩ）バスを含むが、これらに限定されない。
【０１３９】
また、コンピュータ装置２００は、一般的に複数種類のコンピュータ装置読取可能な媒体を備える。なお、これらの媒体は、例えば揮発性や不揮発性の媒体、移動可能や移動不能な媒体などの、コンピュータ装置２００がアクセス可能な任意の媒体であってもよい。
【０１４０】
また、メモリ２１０は、例えば、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）２４０、および/またはキャッシュメモリ２５０などの揮発性メモリ型のコンピュータシステム読取可能な媒体を含んでもよい。また、コンピュータ装置２００は、他の移動可能/移動不能、揮発性/不揮発性のコンピュータシステム記憶媒体をさらに含んでもよい。一例として、記憶システム２６０は、移動不能な不揮発性の磁気媒体（図９には図示されていないが、一般的に「ハードディスクドライブ」と呼ばれる）の読み書きに使用することができる。また、図９には図示されていないが、移動可能な不揮発性の磁気ディスク（例えば、フレキシブルディスク」）に対して読み書きを行うためのディスクドライブ、および移動可能な不揮発性の光ディスク（例えば、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、またはその他の光媒体）に対して読み書きを行うための光ディスクドライブを提供することができる。これらの場合、各ドライブは、１つまたは複数のデータ媒体インタフェースを介してバス２３０に接続されてもよい。また、メモリ２１０は、少なくとも１つのプログラム製品を含んでもよく、このプログラム製品は、１組（例えば、少なくとも１つ）のプログラムモジュールを有し、これらのプログラムモジュールは、本発明の各実施例の機能を実行するように配置される。
【０１４１】
プログラムモジュール２７０を１組（少なくとも１つ）有するプログラム/ユーティリティ２８０は、例えばメモリ２１０に記憶されていてもよく、このようなプログラムモジュール２７０は、オペレーティングシステム、１つまたは複数のアプリケーションプログラム、その他のプログラムモジュールおよびプログラムデータを含んでいるが、これに限定されるものではなく、これらの例示のそれぞれまたはある種類の組み合わせはネットワーク環境の実現を含んでいる可能性がある。また、プログラムモジュール２７０は、通常、本発明で説明した実施例における機能および/または方法を実行する。
【０１４２】
コンピュータ装置２００は、１つまたは複数の外部装置２９０（例えば、キーボード、ポインティングデバイス、ディスプレイ２９１等）と通信可能であってもよいし、ユーザが当該コンピュータ装置２００と対話可能なようにする１つまたは複数の装置、および/または、当該コンピュータ装置２００が１つまたは複数の他の計算装置と通信可能なようにする任意の装置（例えば、ネットワークカード、モデム等）と通信可能であってもよい。このような通信は、入出力（Ｉ/Ｏ）インタフェース２９２を介して行うことができる。また、コンピュータ装置２００は、ネットワークアダプタ２９３を介して１つまたは複数のネットワーク（例えば、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、および/または公衆ネットワーク（例えばインターネット）と通信可能であってもよい。図９に示すように、ネットワークアダプタ２９３は、コンピュータ装置２００の他のモジュールとバス２３０を介して通信する。なお、図９には図示されていないが、コンピュータ装置２００と組み合わせて、他のハードウェアおよび/またはソフトウェアモジュールを使用してもよく、例えば、マイクロコード、デバイスドライバ、冗長処理手段、外部ディスクドライブアレイ、ＲＡＩＤシステム、テープドライブ、データバックアップストレージシステム等が挙げられるが、これらに限定されるものではない。
【０１４３】
なお、上記の認証情報伝送方法の実施例についての解釈説明は、本実施例のコンピュータ装置にも適用可能であり、その実現原理が同様であるので、ここでは説明を省略する。
【０１４４】
本発明の実施例が提供するコンピュータ装置におけるキー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、キー管理サービス端末が認証情報を信頼できる実行環境における信頼アプリケーションに送信するように、認証情報をキー管理サービス端末に送信し、その後、キー管理サービス端末から転送された信頼アプリケーションによる署名後の認証情報を取得し、最後に、アプリケーションサーバが認証情報に対して正当性を検証するように、署名後の認証情報を予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントに対応するアプリケーションサーバに送信することができる。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題が回避され、認証情報の伝送時間が低減され、認証情報の信頼性が向上される。
【０１４５】
また、例示的な実施例では、本発明は、アプリケーションクライアントと、アプリケーションサーバと、キー管理サービス端末と、信頼アプリケーションと、上記の実施例に記載のキー管理クライアントとを備える認証情報伝送システムをさらに提供している。
【０１４６】
本発明の実施例が提供する認証情報伝送システムは、アプリケーションクライアントと、アプリケーションサーバと、キー管理サービス端末と、信頼アプリケーションと、上記の実施例に記載のキー管理クライアントとを備えており、キー管理クライアントは、予め設定されたハードウェア抽象化層インタフェースを介してアプリケーションクライアントから送信された認証情報を受信した後、キー管理サービス端末を介して認証情報を信頼できる実行環境における信頼アプリケーションに送信して署名し、かつ、信頼アプリケーションが認証情報に対して署名した後、キー管理サービス端末を介して署名後の認証情報を受信し、かつ、アプリケーションサーバが認証情報に対して正当性を検証するように、署名後の認証情報をアプリケーションクライアントに対応するアプリケーションサーバに送信する。これにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題が回避され、認証情報の伝送時間が低減され、認証情報の信頼性が向上される。
【０１４７】
また、例示的な実施例では、本発明は、コンピュータ読み取り可能な記憶媒体も提供している。
【０１４８】
上記のコンピュータ読み取り可能な記憶媒体には、プロセッサによって実行される際に、上記の認証情報伝送方法を実現するためのコンピュータプログラムが記憶されている。
【０１４９】
なお、上記の認証情報伝送方法の実施例についての解釈説明は、本実施例のコンピュータ読取可能な記憶媒体にも適用可能であり、その実現原理が同様であるので、ここでは説明を省略する。
【０１５０】
本発明の実施例が提供するコンピュータ読み取り可能な記憶媒体は、情報認証を行うことが可能な任意のコンピュータ装置に搭載され、情報認証を行う際に、それに記憶された認証情報伝送方法を実行することにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避し、認証情報の伝送時間を低減させ、認証情報の信頼性を向上させることができる。
【０１５１】
また、例示的な実施例では、本発明は、その指令がプロセッサによって実行される際に、上記の実施例における認証情報伝送方法を実行するコンピュータプログラム製品も提供している。
【０１５２】
本発明の実施例が提供するコンピュータプログラム製品は、情報認証を行うことが可能な任意のコンピュータ装置に書き込むことができ、情報認証を行う際に、対応する認証情報伝送方法のプログラムを実行することにより、システムの頻繁な更新に起因して情報認証のパスの構築が複雑かつ煩雑となり、およびコストが高くなるという課題を回避し、認証情報の伝送時間を低減させ、認証情報の信頼性を向上させることができる。
【０１５３】
なお、本発明の説明では、「第１」、「第２」のような用語は、単に目的を説明するためのものであり、相対的な重要性を指示または暗示し、または指示された技術的特徴の数量を暗示的に示すものではないと理解すべきである。これにより、「第１」、「第２」が限定されている特徴は、当該特徴を明示的または暗黙的に１つまたはそれ以上含むことができる。なお、本発明の説明では、「複数」とは、特に明記しない限り、２つまたはそれ以上であることを意味する。
【０１５４】
また、本明細書の説明では、「１つの実施例」、「いくつかの実施例」、「例示」、「具体例」、または「いくつかの例示」等の記載は、当該実施例または例示を参照して説明した具体的な特徴や特点が本発明の少なくとも１つの実施例または例示に含まれることを意味する。また、本明細書において、上記用語の概略的な表現は、必ずしも同一の実施例または例示に限定されるものではない。そして、説明した具体的な特徴または特点は、いずれか１つまたは複数の実施例または例示において適切な方式で結合されてもよい。また、互いに矛盾しない限り、当業者であれば、本明細書に記載されている異なる実施例や例示、および異なる実施例や例示の特徴を結合したり、組み合わせたりすることが可能である。
【０１５５】
また、フローチャートまたはここで他の形態で説明されている任意の過程または方法につていの記載は、特定の論理機能または過程のステップを実現するための実行可能な指令のコードのモジュール、セグメントまたは部分を１つまたは複数含むことを表し、そして、本発明の好適な実施形態の範囲は、別の実現を含み、明示されまたは検討された順序に従わず、係る機能に基づいて、基本的に同時または逆の順序で機能を実行することを含み、これは、本発明の実施例が属する技術分野の当業者に理解されるべきである。
【０１５６】
なお、フローチャートに示されまたはここで他の方式で記載される論理および/またはステップは、例えば、論理機能を実現するための実行可能な指令のシーケンスリストであると考えられるものであり、具体的には、指令実行システム、装置または機器（例えば、コンピュータに基づくシステム、プロセッサを含むシステムまたは指令実行システム、装置または機器から指令を取得して実行可能なシステム）が使用し、またはこれらの指令実行システム、装置または機器と組み合わせて使用するように、任意のコンピュータ読取可能な媒体に実現されてもよい。なお、本明細書において、「コンピュータ読取可能な媒体」は、指令実行システム、装置または機器が使用し、またはこれらの指令実行システム、装置または機器と組み合わせて使用するように、プログラムを包含、記憶、通信、伝播または伝送可能な任意の装置であってもよい。また、コンピュータ読取可能な媒体のより具体的な例（非網羅的リスト）は、１つまたは複数の配線を有する電気接続部（電子機器）、携帯式のコンピュータ・ディスクカートリッジ（磁気デバイス）、ＲＡＭ、ＲＯＭ、ＥＰＲＯＭまたはフラッシュメモリ、光ファイバ装置、およびＣＤＲＯＭを含む。また、コンピュータ読み取り可能な媒体は、前記プログラムを印刷可能な紙やその他の適宜な媒体であってもよい。なぜならば、例えば紙やその他の媒体を光学的に走査して編集、解釈したり、必要に応じて他の適切な方式で処理したりすることにより、前記プログラムを電子的に取得してコンピュータのメモリに記憶させることができるためである。
【０１５７】
なお、本発明の各部は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの組み合わせによって実現されてもよい。また、上記実施形態において、複数のステップまたは方法は、メモリに記憶され、適切な指令実行システムにより実行されるソフトウェアまたはファームウェアで実現されてもよい。例えば、ハードウェアで実現される場合、他の実施形態と同様に、データ信号に対して論理機能を実現するための論理ゲート回路を有する離散論理回路、論理ゲート回路を適宜組み合わせた専用集積回路、プログラマブルゲートアレイ（ＰＧＡ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）等のいずれかまたはそれらの組み合わせで実現することができる。
【０１５８】
本分野の一般的な技術者であれば、上記の実施例の方法が有する全てまたは一部のステップの実現は、プログラムによって関連するハードウェアを指示して完成することが可能であることを理解することができ、かかるプログラムは、コンピュータ読み取り可能な記憶媒体に記憶されていてもよく、当該プログラムは、実行時に方法の実施例のステップの１つまたはその組み合わせを含む。
【０１５９】
また、本発明の各実施例における各機能ユニットは、１つの処理モジュールに集積されていてもよいし、個々のユニットが個別に物理的に存在していてもよいし、２以上のユニットが１つのモジュールに集積されていてもよい。上記集積されたモジュールは、ハードウェアで実現されてもよいし、ソフトウェア機能モジュールで実現されてもよい。上記集積されたモジュールがソフトウェア機能モジュールで実現されかつ独立した製品として販売または使用される場合、１つのコンピュータ読み取り可能な記憶媒体に記憶されてもよい。
【０１６０】
上記の記憶媒体は、ＲＯＭ、磁気ディスクまたは光ディスク等であってもよい。以上、本発明の実施例について説明したが、上記の実施例は例示的なものであって、本発明を限定するものではないと考えられるべきであり、当業者であれば、本発明の範囲内で上記実施例に対して変更、修正、置換、変形を加えることが可能である。
【図１】
2021516918.tif 000003
【図２】
2021516918.tif 000004
【図３】
2021516918.tif 000005
【図４】
2021516918.tif 000006
【図５】
2021516918.tif 000007
【図６Ａ】
2021516918.tif 000008
【図６Ｂ】
2021516918.tif 000009
【図７】
2021516918.tif 000010
【図８】
2021516918.tif 000011
【図９】
2021516918.tif 000012
【国際調査報告】
2021516918.tif 000013
2021516918.tif 000014
2021516918.tif 000015
2021516918.tif 000016