(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210618724.7 (22)申请日 2022.06.01 (71)申请人 支付宝 （杭州） 信息技 术有限公司 地址 310000 浙江省杭州市西湖区西溪路 556号8层B段801-1 1 (72)发明人 李志雄　 (74)专利代理 机构 北京国昊天诚知识产权代理 有限公司 1 1315 专利代理师 朱文杰 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/32(2006.01) (54)发明名称 一种离线的身份识别方法、 装置及设备 (57)摘要 本说明书实施例公开了一种离线的身份识 别方法、 装置及设备， 该方法应用于终端设备， 包 括： 基于基准用户生物信息和目标用户的用户生 物信息， 对目标用户的身份进行识别， 如果身份 识别通过， 则将用户生物信息通过可信执行环境 中的第一离线识别可信应用传递至可信执行环 境中的第二离线识别可信应用； 在可信执行环境 中， 通过第二离线识别可信应用对目标用户的身 份进行校验， 如果身份校验通过， 则创建鉴权数 据， 并使用第一业务密钥对鉴权数据进行签名处 理， 通过第二离线识别可信应用将签名后的鉴权 数据传递至第一离线识别可信应用， 并通过第一 离线识别可信应用对签名后的鉴权数据进行验 签处理， 基于验签结果确定对目标用户的离线身 份识别结果。 权利要求书5页 说明书22页 附图7页 CN 115001817 A 2022.09.02 CN 115001817 A 1.一种离线的身份识别方法， 应用于终端设备， 所述方法包括： 基于预先存储的基准用户生物信 息和目标用户的用户生物信 息， 对所述目标用户的身 份进行识别， 如果对所述 目标用户的身份识别通过， 则将所述用户生物信息通过可信执行 环境中的第一离线识别可信应用传递至所述可信执 行环境中的第二离线识别可信应用； 在所述可信执行环境中， 通过所述第二离线识别可信应用基于所述用户生物信息， 对 所述目标用户的身份进 行校验， 如果对 所述目标用户的身份校验通过， 则创建鉴权数据， 并 使用预先存储的第一 业务密钥对所述 鉴权数据进行签名处 理， 得到签名后的鉴权数据； 在所述可信执行环境中， 通过所述第 二离线识别可信 应用将所述签名后的鉴权数据传 递至所述第一离线识别可信应用， 并通过所述第一离线识别可信应用对所述签名后的鉴权 数据进行验签处 理， 得到验签结果； 基于所述验签结果确定对所述目标用户的离线 身份识别结果。 2.根据权利要求1所述的方法， 所述用户生物信 息包括指纹信 息、 面部信息、 掌纹信 息、 虹膜信息中的一种或多种。 3.根据权利要求1或2所述的方法， 所述将所述用户生物信 息通过可信执行环境中的第 一离线识别可信应用传递至所述可信执 行环境中的第二离线识别可信应用， 包括： 对所述用户生物信息进行签名处 理， 得到签名后的用户生物信息； 将所述签名后的用户生物信息通过可信执行环境中的第一离线识别可信应用 传递至 所述可信执 行环境中的第二离线识别可信应用； 所述在所述可信执行环境中， 通过所述第二离线识别可信应用基于所述用户生物信 息， 对所述目标用户的身份进行 校验， 包括： 在所述可信执行环境中， 对所述签名后的用户生物信息进行验签处理， 如果验签通过， 则通过所述第二离线识别可信应用基于所述用户生物信息， 对所述目标用户的身份进 行校 验。 4.根据权利要求1 ‑3中任一项所述的方法， 所述方法还 包括： 通过所述可信执行环境中的第一离线识别可信应用向第一服务器同步所述目标用户 进行离线 身份识别过程中的相关数据。 5.根据权利要求1 ‑3中任一项所述的方法， 所述方法还 包括： 基于预先存储的基准用户生物信息向所述可信执行环境中的第二离线识别可信应用 发起注册请求； 在所述可信执行环境中， 生成业务密钥对， 并使用根密钥对所述业务密钥对中的第二 业务密钥进行签名处理， 得到签名后的业务密钥， 所述业务密钥对中包括所述第一业务密 钥和所述第二 业务密钥； 从所述可信执 行环境中获取 所述签名后的业 务密钥和所述 根密钥的信息； 将所述签名后的业务密钥和所述根密钥的信 息发送给第 二服务器， 所述签名后的业务 密钥和所述根密钥的信息用于触发所述第二服务器对所述签名后的业务密钥进行验签处 理， 如果验签通过， 则存储所述第二业务密钥， 并向所述终端设备发送注册成功的通知消 息； 如果接收到注册成功的通知消息， 则向所述第一服务器发送离线业务开通请求， 所述 开通请求用于触发所述第一服务器向所述第二服务器查询所述目标用户开通离线身份识权　利　要　求　书 1/5 页 2 CN 115001817 A 2别所需的相关信息， 如果能够查询 到， 则获取所述第二服务器中存储的所述第二业务密钥 和所述基准用户生物信息， 并将所述第二业务密钥和所述基准用户生物信息发送给所述 终 端设备中的可信执 行环境中的第一离线识别可信应用； 通过可信执行环境中的第一离线识别可信应用获取所述第二业务密钥和所述基准用 户生物信息 。 6.根据权利要求5所述的方法， 所述注册请求是经过签名处理的请求， 所述在所述可信 执行环境中， 生成业 务密钥对， 包括： 在所述可信执行环境中， 对所述注册请求进行验签处理， 如果验签通过， 则生成业务密 钥对。 7.根据权利要求6所述的方法， 所述第一离线识别可信应用与所述可信执行环境中的 第二离线识别可信应用之间、 所述终端设备与所述第二服务器之间、 所述第二服务器与所 述第一服务器之间交 互的数据的格式为TLV格式。 8.一种离线的身份识别系统， 所述系统包括终端设备和第一 服务器， 其中： 所述终端设备， 被配置为基于预先存储的基准用户生物信 息和目标用户的用户生物信 息， 对所述目标用户的身份进 行识别， 如果对所述目标用户的身份识别通过， 则将所述用户 生物信息通过可信执行环境中的第一离线识别可信应用传递至所述可信执行环境中的第 二离线识别可信应用， 在所述可信执行环境中， 通过所述第二离线识别可信应用基于所述 用户生物信息， 对所述目标用户的身份进 行校验， 如果对所述目标用户的身份校验通过， 则 创建鉴权数据， 并使用预先存储的第一业务密钥对所述鉴权数据进行签名处理， 得到签名 后的鉴权数据， 通过所述第二离线识别可信应用将所述签名后的鉴权数据传递至所述第一 离线识别可信应用， 并通过所述第一离线识别可信应用对所述签名后的鉴权数据进行验签 处理， 得到验签结果， 基于所述验签结果确定对所述目标用户的离线 身份识别结果； 所述第一服务器， 被配置为与所述终端设备中的所述可信执行环境中的第 一离线识别 可信应用同步所述目标用户进行离线 身份识别过程中的相关数据。 9.根据权利要求8所述的系统， 所述系统还 包括第二 服务器， 所述第二服务器， 被配置为存储与 所述第一业务密钥对应的第 二业务密钥和所述用户 生物信息 。 10.根据权利要求8所述的系统， 所述终端设备， 被配置为基于预先存储的基准用户生 物信息向所述可信执行环境中的第二离线识别可信应用发起注册请求； 在所述可信执行环 境中， 生成业务密钥对， 并使用根密钥对所述业务密钥对中的第二业务密钥进 行签名处理， 得到签名后的业务密钥， 所述业务密钥对中包括所述第一业务密钥和所述第二业务密钥； 从所述可信执行环境中获取所述签名后的业务密钥和所述根密钥的信息； 将所述签名后的 业务密钥和所述 根密钥的信息发送给第二 服务器； 所述第二服务器， 被配置为对所述签名后的业务密钥进行验签处理， 如果验签通过， 则 存储所述第二 业务密钥， 并向所述终端设备发送 注册成功的通知消息； 所述终端设备， 被配置为如果接收到注册成功 的通知消息， 则向所述第二服务器发送 离线业务开通请求； 所述第二服务器， 被配置为向所述第 一服务器查询所述目标用户开通离线身份识别所 需的相关信息， 如果能够查询 到， 则获取所述第一服务器中存储的所述第二业务密钥和所权　利　要　求　书 2/5 页 3 CN 115001817 A 3