前言：尋找寫作靈感？中文期刊網用心挑選的移動互聯網身份認證解決，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
常見移動環境下身份認證技術方案身份認證技術是在互聯網中為確認操作者身份而產生的解決方法。移動互聯網中一切信息包括用戶身份信息都是用一組特定的數據來表示的，如何保證以數字身份進行操作的操作者就是這個數字身份的合法擁有者，也就是說保證操作者的物理身份與數字身份相對應，身份認證技術就是為了解決這個問題。為確保身份認證的真實有效，對于身份認證技術有以下幾項基本的安全需求。 ⑴保密性：確保交易過程中涉及的大量保密數據在公開網絡的傳輸過程中不被竊取。 ⑵完整性：保證交易信息在傳輸過程中不會被篡改或通過重復發送進行虛假交易。 ⑶雙向認證：基于單向認證的第二代移動網絡安全機制己經導致多種利用協議漏洞的攻擊出現，如中間人攻擊等，因此保證交易雙方身份的正確性尤為重要。 ⑷不可抵賴性：確保交易完成后，交易的任何一方都無法否認已經發生的交易。 目前移動互聯網中常用的身份認證技術有多種，它們具有不同的操作方式，具備不同的安全等級，可以適用于不同的應用場景。 基于硬件安全模塊的PKI身份認證技術方案文件數字證書在安全等級上是最高的，同時具備雙向認證機制及不可抵賴性，是一種較為適合高安全互聯網應用的認證方式。這種方式的問題在于，使用文件方式存儲數字證書，難以阻止非授權的訪問，一旦文件被破譯，就會造成用戶密鑰的泄漏，從而導致業務信息被破解。網銀目前最普遍使用的USBKEY認證也是一種通過數字證書進行安全認證的方式，與文件數字證書方式相比，其證書及用戶的密鑰都采用硬件進行存儲，因此能夠避免非法的訪問。能否在移動終端上引入專用的安全硬件完成類似計算機上USBKEY的功能，成為一種很自然的想法。 為此我們研究并提出了一種基于硬件安全模塊（SecureElement，SE，本文中的安全模塊均指通過硬件方式實現）的PKI身份認證技術，就是將數字證書、用戶密鑰存儲在專用的安全模塊中，并由安全模塊完成各種加/解密及簽名/驗簽運算，從而保證用戶數據的安全。 2.1網絡總體結構 本方案的網絡結構如圖1所示，其中主要的功能實體包括PKI安全模塊、手機終端、業務系統平臺、CA中心。 2.1.1PKI安全模塊 PKI安全模塊是集成在移動終端中的專用安全設備，能安全地存儲用戶密鑰和數字證書，可實現公私密鑰對生成、數字證書存儲及訪問、對稱（非對稱）加/解密、生成/驗證數字簽名等功能。為提高非對稱運算的速度和效率，通常會在安全模塊中集成專用的RSA協處理器用以快速完成密鑰對生成及各種RSA相關的加/解密、簽名/驗簽運算（對于使用ECC算法進行認證的業務，可集成ECC協處理器）。 2.1.2手機終端 手機終端是操作系統和客戶端軟件的運行載體?！〔僮飨到y提供了底層的硬件驅動支持，為應用軟件提供了對安全模塊的訪問接口?！】蛻舳塑浖蛴脩籼峁┝藰I務交互的界面，它一方面通過調用操作系 統提供的安全模塊訪問接口來實現各種安全運算，另一方面則通過移動網絡與業務系統平臺進行業務交互，在安全模塊與后臺系統之間建立了一條實時交互的通道。 2.1.3CA中心 CA中心是PKI體系的核心，它是證書的簽發機構，是保證業務交易的權威性、可信任性和公正性的第三方機構，負責生成、分發和撤銷數字證書。此外CA中心還承擔公鑰體系中公鑰合法性檢驗的責任，驗證用戶身份的真實性。 2.1.4業務系統平臺 業務系統平臺負責實際處理用戶的交易請求，并通過與CA中心的交互，協助完成用戶證書管理、簽名驗證等功能。2.2功能層次架構由于業務系統的設計實現較為成熟，本文將集中對手機客戶端的功能層次架構進行說明。手機客戶端分為應用層、安全應用接口層、手機操作系統層和物理硬件層4個層次?！脤樱嚎蛻舳塑浖?，通過調用安全應用接口層提供的標準接口，完成具體業務功能。 安全應用接口層：安全應用中間件是連接安裝在移動終端上的客戶端軟件與安全模塊之間的橋梁。 安全應用中間件屏蔽了底層手機操作系統、安全模塊的差異，向應用層提供了標準的PKI運算接口，稱為安全應用接口，具體包括密鑰對生成、數字證書訪問和管理、加/解密、簽名/驗簽等。由于不同終端的操作系統和安全模塊驅動并不統一，因此安全應用中間件需要根據終端進行適配，工作量非常大。為此需要針對目前主流的手機操作系統，包括Android、iOS、Symbian等，制定安全模塊驅動接口標準，推動終端廠商遵循，減輕安全應用中間件的適配工作量。 終端操作系統層：手機終端與智能卡設備之間的訪問接口簡稱為機卡接口。終端廠商在手機操作系統層對機卡接口進行技術實現，并向上層應用提供標準的安全模塊訪問接口。 對于SD卡方式，具備SD卡的終端都支持標準的SD卡訪問接口。為區分對SD卡的普通存儲訪問和安全模塊訪問，一般可以采用專用文件讀寫方式實現：⑴安全應用中間件調用SD卡寫入接口，將請求指令寫入到SD卡上的專用輸入文件中；⑵控制芯片判斷是對專用文件的寫入，認為這是安全模塊訪問指令，進入業務處理流程；⑶驗證業務請求的合法性，確保是由合法的系統后臺發出（可通過簽名驗證等方式）；⑷驗證通過后進行運算處理，并將處理后的結果經過加密、簽名后放到專用輸出文件中；⑸安全應用中間件在發送訪問請求后，對輸出文件進行定時查詢，直至取得返回結果。 對于SIM卡方式，手機終端操作系統目前對SIM卡的訪問是通過“RIL（RadioInterfaceLayer，無線接口層）→基帶芯片（BasebandProcessor）→SIM卡”的通路實現的，由于SIM卡方式的機卡接口實現技術較為復雜,具體方案在下文中進行專門討論。 #p#分頁標題#e# 硬件層：安全模塊，完成用戶數據的安全存儲及PKI運算。 2.3交易流程 為進一步闡述基于安全模塊的PKI身份認證技術的工作方式，我們將結合一個典型的交易流程對認證鑒權方式進行說明，業務流程如圖2所示。從上述交易流程我們可以看到，安全模塊與業務系統平臺之間通過數字簽名互相進行了認證，并對傳輸信息進行了安全加密，確保了整個交易流程的保密性、完整性、雙向認證及不可抵賴性，很好地保證了交易流程的安全。 2.4機卡接口技術 目前手機終端對SIM卡的訪問過程如下：⑴應用層通過操作系統的Framework向RIL發起SIM卡訪問指令；⑵RIL將訪問指令轉換為對應的AT命令（調制解調器命令語言）發送到終端的基帶芯片；⑶基帶芯片將AT命令轉換為對應的APDU（ApplicationProtocolDataUnit，應用協議數據單元）指令發送到SIM卡；⑷SIM卡接收到APDU指令進行處理并返回處理結果。 這種方式的問題在于，目前終端基帶芯片支持的AT命令是有限的，一般只能支持一些固定的SIM卡訪問命令，如讀寫SIM卡短信/電話本、STK應用等，難以靈活擴展，因此如果要定義新的安全命令對安全模塊進行訪問，通過現有的機卡接口很難實現。 對于這個問題目前有兩種解決方案，擴展現有協議指令方案和擴展新的AT命令方案。 2.5安全應用接口 上文我們提出需要在應用層與操作系統層之間增加一個安全應用接口層，其功能是為應用層提供標準化的安全應用接口，這是非常必要的。 為了滿足不同類型安全應用的需求，安全應用接口的標準制定應該遵循以下原則： 使用UML語言進行描述，以便于在不同操作系統、使用不同編程語言實現； 既需要包含通用指令傳輸接口（可以向SIM卡傳輸任意的APDU指令），也應該包括根據各類安全應用需求抽象出來的專用接口，如加/解密、文件管理、認證、安全存儲、安全模塊識別及選擇、證書管理等，以滿足不同類型應用的需要； 安全應用接口不做安全訪問控制，任何應用程序都可以對安全應用接口進行訪問。由于安全應用接口是由終端軟件實現，容易被破解，安全等級不高，并且不專屬于某個應用，而是能夠為所有應用共同使用，因此不應由安全應用接口進行訪問鑒權，而是由安全模塊本身通過訪問權限授權、簽名驗證、MAC校驗等方式完成安全訪問控制。 目前有兩個可以參考的技術標準，公開密鑰加密標準（PKCS#11）和開放移動終端接口規范（OpenMobileAPI）。前者由RSA實驗室提出，定義了一套非常強大的接口功能供應用程序使用，可以滿足絕大部分安全應用的需要；而后者由SIMalliance（全球SIM卡制造商協會）提出，設計為允許應用提供商在一個與互聯網連接的移動設備上，通過訪問SIM卡或其他嵌入式安全模塊，實現更為安全的雙因素安全認證，以滿足NFC、移動支付和身份認證等業務的需要。 應用前景展望 隨著移動互聯網的發展，高安全應用需求越來越普遍，傳統的移動環境身份認證技術已經不能夠滿足用戶的安全要求，因此基于安全模塊的PKI身份認證技術有著非常廣闊的應用前景。未來的應用場景可以歸結為以下幾類。 手機金融。使用SIM卡取代USBKEY，在手機終端上完成手機銀行、手機證券、第三方支付等金融服務，使得用戶可以在手機終端上放心地進行轉賬、匯款、支付、理財等業務?！? 移動辦公。通過SIM卡的鑒權及簽名，在手機終端上安全地完成政府、企業的OA公文流轉及審批、郵件收發、日程管理等?！? 行業應用。目前國家在推行居民健康卡的過程中有這樣的需求，隨著居民健康檔案的電子化后，無論是醫生還是居民自身要查看健康檔案都必須得到居民的授權，使用我們的方案對居民而言就是一種非常便利的方式。另外，像警務通等業務也有類似需求。 為滿足不同應用場景的需要，我們所提出方案具備幾種不同形式，能夠很好地適應不同業務運營方、不同手機終端、不同應用領域的要求，使得所有用戶都能選擇合適的方案?！? SD卡方案由于終端不需要改造，推廣較為方便，因此受到非運營商的業務運營方的青睞。目前國內部分銀行已將該方案應用于手機銀行領域，但這種方式的缺點是不適用于不支持SD卡的手機，尤其是目前非常普及的iPhone。 SIM卡方案由于可以通過SIM卡實現用戶的綁定，同時運營商具備終端定制的能力，因此更受運營商的歡迎，更多應用于運營商主導的應用領域。目前中國電信已經在進行相關產品的原型開發，并準備在翼支付等業務領域進行試點，實現手機終端的安全支付應用。 終端集成安全芯片方案方面，目前國外在NFC全終端方案上正在進行試點，與NFC業務結合完成手機支付、酒店自助入住、自助租車等。此外還有一些變種方案，例如在iPhone上通過在音頻口（Square方案）或數據口（iCarte）的專用外設集成安全芯片，實現安全支付等。 隨著高安全技術的引入，移動安全環境的建立，用戶的移動數字生活必將更加豐富多彩。 結束語 本文創新性地提出了一種高安全的身份認證技術方案，通過專用智能卡安全硬件進行用戶私密數據運算及存儲，并通過機卡接口實現客戶端軟件對于安全模塊的訪問，很好地滿足了身份認證技術在機密性、完整性、雙向認證、不可抵賴性等方面的要求，在功能、性能等各方面都能很好地適應移動互聯網環境下各種高安全要求應用業務的需要。 上述方案的提出，對移動環境下的高安全身份認證技術進行了完善，為運營商和移動業務應用方提供更多的選擇。#p#分頁標題#e#
