CN101986641A - 可应用于移动通讯设备的可信计算平台芯片及其认证方法 - Google Patents

Abstract

本发明涉及一种可应用于移动通讯设备的可信计算平台芯片及其认证方法，设有基于PKI体系的密钥生成模块、数据高速加密解密引擎模块、数据安全存储模块、芯片物理防护模块以及指纹处理引擎模块、支持SIM卡操作的SCSI接口模块和近距离传输模块，指纹处理引擎模块、SCSI接口模块和近距离传输模块均与通信总线相连接，芯片封装成SIM卡形式或TPM形式。本发明有益的效果是：把TPM技术和指纹识别技术结合，把TPM技术和移动支付结合，通过近距离通信技术，在一个芯片内实现TPM和移动现场支付功能，同时指纹技术的加入使得交易的安全性提高，通过和WAP2.0技术的结合，实现远程支付。

Description

可应用于移动通讯设备的可信计算平台芯片及其认证方法

技术领域

本发明涉及信息安全领域和移动支付领域以及生物识别领域，尤其是一种可应用于移动通讯设备的可信计算平台芯片及其认证方法，通过把三种领域内的技术融合，而实现一个创新性产品，可以广泛应用于移动支付和安全电脑场合。

背景技术

移动支付是现代电子支付的表现形式之一，它是通过手机提供支付服务的移动增值服务。通过移动支付能完成银行转账、缴费和购物等商业活动。移动支付包括在线远程移动支付和非接触式移动支付。非接触式移动支付指用户在消费现场使用手机和POS终端通过近现场通信技术，采用非接触的方式来完成支付。在线远程移动支付，主要是通过网络来实现和远程服务器的交互来实现转账，支付等操作。

非接触式移动支付技术是通过SIM卡和近现场通信技术结合来实现的，目前的近现场通信技术主要有三种，DI(双界面卡)，RF(射频)和NFC(近距离通信)。DI和NFC工作在13.56MHz，RF工作在2.4GHz。这三种技术因为都只是在现有的SIM卡上增加了近距离传输功能，功能有限，安全性不高，只具备基本的安全属性，一般只用于小额支付的情况，缺乏对高安全环境的支持，尤其对银行支付类产品的支持。

TPM安全芯片，是一种符合TPM(可信平台模块)安全标准的芯片，用来保护计算机设备不受入侵。是一种高安全的芯片，支持目前安全体系中最高的安全等级。TPM安全标准由TCG(可信计算组织)制定，其宗旨是从硬件和软件两方面，建立跨平台、跨操作环境的安全、可信赖的硬件运算平台。目前最新的TPM规范为V1.2版本。TPM安全芯片拥有内部处理器和存储单元，可以独立生成密钥、存储密钥和特征数据、进行加解密运算，既是密钥生成器、又是密钥管理器件，还提供了统一的编程接口(即TPM软件与TPM芯片进行交流的底层端口)，为计算机提供加密和安全认证服务。

TPM芯片模组结构如图1所示，主要包括如下功能模块：

1、基于PKI体系的密钥生成，其中包括真随机数(C1)，RSA密钥对的生成和运算(C3)。

2、通信安全机制，包括MAC运算和HASH算法(C2)等。

3、数据高速加密解密引擎(C6)，一般至少支持硬件DES/3DES运算。

4、数据安全存储，内部可以存放密钥对等重要数据(C8，C9，C4)。

5、芯片物理防护技术，防探测、防解剖，具有极强的抗攻击能力(C7)。

6、通过LPC接口和主机通信。主机可以是电脑，也可以是其它安全设备。

指纹和TPM技术结合的芯片现在已经出现，在TPM芯片中植入了指纹运算引擎，用指纹信息取代密码，以指纹的唯一性、不可替代性，增强TPM芯片的抗攻击能力。增加了指纹功能的TPM芯片的模组结构如图2所示。

为了实现上述目的所采取的技术方案是：1、在同一个芯片内部实现TPM和指纹技术，在TPM内植入指纹引擎，此指纹引擎负责指纹采集、录入和比对。并且所有工作都在TPM芯片内执行。2、增加片内易失性存储(用于运算)和非易失性存储(存储指纹模版)空间，以适应额外开销。3、在命令执行单元中把以前基于密码系统的权限控制，修改为基于指纹的权限控制。4、修改设置密码和比对密码流程为指纹录入和比对流程。

现有移动支付方式安全性低，只能用于小额支付，没使用PKI技术，不能进行远程支付。移动支付在安全性上的提高需要依赖于整个SIM芯片安全性的提高。TPM支持PKI技术，芯片本身的安全性足够，因此把TPM芯片应用于SIM卡市场是安全可行的，同时在移动支付平台还没有和指纹结合的方案，通过指纹的唯一性和随身性，可以把以前以物为主的认证方式，修改为以人为主，提高整个系统的安全性，随着WAP2.0的使用，远程支付也变得指日可待。

发明内容

本发明要解决上述现有技术的缺点，提供一种可应用于移动通讯设备的可信计算平台芯片及其认证方法，把TPM技术和指纹识别技术结合，把TPM技术和移动支付结合，通过近距离通信技术，在一个芯片内实现TPM和移动现场支付功能，同时指纹技术的加入使得交易的安全性提高，通过和WAP2.0技术的结合，实现远程支付。

本发明解决其技术问题采用的技术方案：这种可应用于移动通讯设备的可信计算平台芯片，设有基于PKI体系的密钥生成模块、数据高速加密解密引擎模块、数据安全存储模块、芯片物理防护模块以及指纹处理引擎模块、支持SIM卡操作的SCSI接口模块和近距离传输模块，指纹处理引擎模块、SCSI接口模块和近距离传输模块均与通信总线相连接，芯片封装成SIM卡形式或TPM形式。

进一步的，所述近距离传输模块是RF、DI或NFC。

进一步的，封装成SIM卡形式的所述芯片设有作为天线的C4和C8两个触点。

进一步的，所述芯片还包括有通信安全机制。

本发明所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，步骤如下：

(1)、在进行移动支付前，手机端生成一对公私钥及对应的由CA颁发的证书，用户拥有了自己的证书后，进行后续的手机支付操作，在用户每次登陆移动支付业务系统前，需要进行对用户的身份认证；

(2)、在身份认证通过后，用户使用支付系统进行移动支付；当近现场支付时，和现有的移动支付方式相同，当大额支付或远程支付时，则需要身份认证；

(3)、在以上基于PKI的操作中，每次请求之前都需要指纹的介入，由指纹处理引擎模块实现指纹特征的录入和指纹的比对，主控芯片采集好指纹图像后导入到SIM卡芯片中提取特征并搜索比对，比对通过才进行后续操作。

进一步的，手机端公私钥及证书的生成过程具体如下：

(1)、用户发送认证请求，请求中携带用户信息；

(2)、CA服务器通过运营商的BOSS系统对用户身份进行认证；

(3)、认证通过后，向手机返回确认；

(4)、手机端的密钥生成模块生成一对公私钥对(SK，PK)；

(5)、手机将生成的公钥PK及用户信息用CA的公钥进行加密，发送给CA服务器，请求生成证书；

(6)、CA服务器接受到请求后，生成用户证书，并将生成的证书发送给手机端，证书中有CA服务器的签名；

(7)、手机收到证书后，用CA服务器的公钥验证签名，如果验证通过，即说明该证书已成功生成，将其保存。

进一步的，身份认证过程如下：

(1)、手机发送接入请求，请求中包含用户信息；

(2)、支付系统生成随机数R，并用该用户的公钥进行加密ER＝Enc(R，PK)，将ER发送给手机端；

(3)、手机收到经过加密的随机数ER，用自己的私钥SK对ER进行解密获得R，并将解密后的随机数用支付系统的公钥加密DER＝Enc(R，PK)，返回给支付系统；

(4)、支付系统收到DER后，用自己的私钥解密，验证得到的随机数R’是否等于R，如果是，则通过对用户的身份认证。

进一步的，数字签名支付过程如下：

(1)、用户用自己的私钥SK将购买信息的指令TxT进行签名SignedTXT＝Sign(TxT，SK)，将其发送给支付系统，同时发送的还有用户基本信息；

(2)、支付系统根据用户信息找到用户的证书，验证证书的有效期信息；

(3)、支付系统再用用户证书中的公钥PK对SignedTXT进行解密，验证用户的签名是否正确；

(4)、验证通过后，进行后续的支付操作。

进一步的，在移动支付过程中，在会话之前需要建立安全通道，安全通道的建立涉及到公钥体系中的加解密过程，流程如下：

(1)、服务器生成随机数R作为手机与服务器之间的会话密钥，并用用户的公钥PK对R进行加密ER＝Enc(R，PK)；

(2)、服务器用R加密需要加密的会话内容TXT，CyberTXT＝Enc(TXT，R)；

(3)、服务器将ER与CyberTXT发送给手机。

(4)、手机收到后，用私钥解密ER，获得会话密钥R；

(5)、手机用R解密CyberTXT，获得TXT。

本发明有益的效果是：1.TPM和SIM卡技术结合，实现SIM卡的高安全性。2.SIM卡和指纹结合，实现用指纹来开启SIM卡的支付功能，实现高安全性。3.实现SIM卡的远程支付功能。4.指纹操作都在芯片内完成，保证系统的安全。5.TPM和指纹结合，实现TPM芯片生物认证的安全性。6.芯片中集成近距离通信模块，实现移动现场支付。7.通过不同的封装形式，同一个芯片可以工作在TPM模式，也可以工作在SIM模式。8.SIM卡支持PKI功能，实现证书和签名功能。

附图说明

图1是现有技术1的TPM芯片模组结构示意图；

图2是现有技术2的指纹TPM芯片模组结构示意图；

图3是本发明的系统方框结构示意图；

图4是本发明SIM卡封装图；

图5是本发明指纹录入流程示意图；

图6是本发明指纹比对流程示意图；

图7是本发明SIM卡方式指纹认证示意图；

图8是本发明手机申请证书流程示意图；

图9是本发明身份认证过程示意图；

图10是本发明数字签名过程示意图；

图11是本发明安全通道的建立示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步说明：

如图3所示，这种可应用于移动通讯设备的可信计算平台芯片，把TPM的高安全性和近距离传输技术结合，指纹技术的加入，使得设备和人进行绑定，大大加强了SIM卡的安全性。本发明的重点是在普通TPM芯片上增加指纹处理引擎模块、支持SIM卡操作的SCSI接口模块和近距离传输模块。指纹处理引擎模块、SCSI接口模块和近距离传输模块均与通信总线相连接，芯片封装成SIM卡形式或TPM形式，并且同时支持接触式和非接触式操作。现在常见的近距离传输模块为RF，DI和NFC。

作为SIM卡时，PIN封装如图4所示：根据ISO/IEC7816标准，SIM卡通常有8个触点C1~C8，普通SIM卡通常只用到了其中的C1、C2、C3、C5、C7共5个触点，对于增加了近距离传输模块的卡，还需要用到其中的C4和C8两个触点作为天线。

管脚定义如下：

表1移动支付SIM卡管脚定义

管脚	符号	功能
			C1	VDD	电源
C2	RST	复位
			C3	CLK	时钟
C5	GND	地
			C7	I/O	双向通信接口
C4	LA	天线
			C8	LB	天线

由于增加了指纹操作，对内存和速度的要求较高，因此本芯片需要跑在较高的主频，同时有专门的指纹处理引擎，RAM区也增大可以处理指纹。

根据不用的应用，当所述芯片应用于电子钱包或其他方面的小额支付时，可以不经过身份的验证；但当应用转账等大额支付，或远程支付时，则需要身份的验证。

本发明所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，具体步骤如下：

(1)、在进行移动支付前，手机端生成一对公私钥及对应的由CA颁发的证书，用户拥有了自己的证书后，进行后续的手机支付操作，在用户每次登陆移动支付业务系统前，需要进行对用户的身份认证；

(2)、在身份认证通过后，用户使用支付系统进行移动支付，由于是小额支付，可以不需要验证指纹；当近现场支付时，和现有的移动支付方式相同，当大额支付或远程支付时，则需要身份认证；现有的移动支付不支持网银的操作，基于TPM的高安全性，本芯片完全可以应用于网络上的网银操作。现在的手机大部分都支持WAP2.0，WAP2.0相对于WAP1.x增强了端对端的安全性，采用TLS(传输层安全协议)通信。TLS采用PKI体系进行握手和验证，因此对安全芯片的要求较高。必须支持RSA和HASH算法。传统的SIM芯片只支持对称算法，对速度要求不高，而这点TPM芯片完全吻合。

(3)、在以上基于PKI的操作中，每次请求之前都需要指纹的介入，由指纹处理引擎模块实现指纹特征的录入和指纹的比对(指纹录入流程如图5所示，指纹比对流程如图6所示)，在SCSI协议上，增加对指纹的操作指令，同时把基于口令的安全体系，提升为支持指纹的安全体系。此SCSI命令独立于现有的SCSI命令集，只是在现有的命令集上增加对指纹命令的支持，因为封装成SIM卡的芯片接口有限，不能采集指纹，因此指纹的采集在主控芯片中采集，采集完成后把图像导入到芯片中进行比对，因此需要增加导入图片和搜索两个命令，基于指纹的验证方式如下：主控芯片采集好指纹图像后导入到SIM卡芯片中提取特征并搜索比对，比对通过才进行后续操作(如图7所示)。

由于PKI体系的加入，手机支付提供商需要支持CA证书体系。在进行移动支付前，手机端需要生成一对公私钥及对应的由CA颁发的证书，才能进行后续的手机支付操作。手机端公私钥及证书的生成过程具体如下(如图8所示)：

(1)、用户发送认证请求，请求中携带用户信息；

(2)、CA服务器通过运营商的BOSS系统对用户身份进行认证；

(3)、认证通过后，向手机返回确认；

(4)、手机端的密钥生成模块生成一对公私钥对(SK，PK)；

(5)、手机将生成的公钥PK及用户信息用CA的公钥进行加密，发送给CA服务器，请求生成证书；

(6)、CA服务器接受到请求后，生成用户证书，并将生成的证书发送给手机端，证书中有CA服务器的签名；

(7)、手机收到证书后，用CA服务器的公钥验证签名，如果验证通过，即说明该证书已成功生成，将其保存。

用户拥有了自己的证书后，就可以进行移动支付了。在用户每次登陆移动支付业务系统前，需要进行对用户的身份认证。身份认证过程如下(如图9所示)：

(1)、手机发送接入请求，请求中包含用户信息；

(2)、支付系统生成随机数R，并用该用户的公钥进行加密ER＝Enc(R，PK)，将ER发送给手机端；

(3)、手机收到经过加密的随机数ER，用自己的私钥SK对ER进行解密获得R，并将解密后的随机数用支付系统的公钥加密DER＝Enc(R，PK)，返回给支付系统；

(4)、支付系统收到DER后，用自己的私钥解密，验证得到的随机数R’是否等于R，如果是，则通过对用户的身份认证。

在身份认证通过后，用户可以使用支付系统进行移动支付。数字签名支付过程如下(如图10所示)：

(1)、用户用自己的私钥SK将购买信息的指令TxT进行签名SignedTXT＝Sign(TxT，SK)，将其发送给支付系统，同时发送的还有用户基本信息；如用户ID和手机号等。

(2)、支付系统根据用户信息找到用户的证书，验证证书的有效期信息；

(3)、支付系统再用用户证书中的公钥PK对SignedTXT进行解密，验证用户的签名是否正确；

(4)、验证通过后，进行后续的支付操作。

在移动支付过程中，在会话之前需要建立安全通道，安全通道的建立涉及到公钥体系中的加解密过程，流程如下(如图11所示)：

(1)、服务器生成随机数R作为手机与服务器之间的会话密钥，并用用户的公钥PK对R进行加密ER＝Enc(R，PK)；

(2)、服务器用R加密需要加密的会话内容TXT，CyberTXT＝Enc(TXT，R)；

(3)、服务器将ER与CyberTXT发送给手机。

(4)、手机收到后，用私钥解密ER，获得会话密钥R；

(5)、手机用R解密CyberTXT，获得TXT。

以上方案通过把TPM中的PKI技术和SIM卡技术以及近现场通信技术结合，达到现场移动支付和远程移动支付的目的，同时指纹技术的加入，使基于物物认证的方式，达到人和物的统一，做到了以人为主的真正安全。

术语解释：

TPM：Trusted Platform Module(可信平台模块)；

TCM：Trusted Cryptography Module(可信密码模块)；

TCG：Trusted Computing Group(可信计算组织)；

DI：Double Interface(双界面)；

NFC：Near Field Communication(近距离通信)；

RF：Radio Frequency(射频)；

PKI：Public Key Infrastructure(公开密钥基础设施)。

除上述实施例外，本发明还可以有其他实施方式。凡采用等同替换或等效变换形成的技术方案，均落在本发明要求的保护范围。

Claims (9)

1.一种可应用于移动通讯设备的可信计算平台芯片，其特征在于：所述芯片设有基于PKI体系的密钥生成模块、数据高速加密解密引擎模块、数据安全存储模块、芯片物理防护模块以及指纹处理引擎模块、支持SIM卡操作的SCSI接口模块和近距离传输模块，所述指纹处理引擎模块、SCSI接口模块和近距离传输模块均与通信总线相连接，所述芯片封装成SIM卡形式或TPM形式。

2.根据权利要求1所述的可应用于移动通讯设备的可信计算平台芯片，其特征是：所述近距离传输模块是RF、DI或NFC。

3.根据权利要求1所述的可应用于移动通讯设备的可信计算平台芯片，其特征是：封装成SIM卡形式的所述芯片设有作为天线的C4和C8两个触点。

4.根据权利要求1所述的可应用于移动通讯设备的可信计算平台芯片，其特征是：所述芯片还包括有通信安全机制。

5.一种采用权利要求1所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，其特征在于：

(1)、在进行移动支付前，手机端生成一对公私钥及对应的由CA颁发的证书，用户拥有了自己的证书后，进行后续的手机支付操作，在用户每次登陆移动支付业务系统前，需要进行对用户的身份认证；

(2)、在身份认证通过后，用户使用支付系统进行移动支付；当近现场支付时，和现有的移动支付方式相同，当大额支付或远程支付时，则需要身份认证；

(3)、在以上基于PKI的操作中，每次请求之前都需要指纹的介入，由指纹处理引擎模块实现指纹特征的录入和指纹的比对，主控芯片采集好指纹图像后导入到SIM卡芯片中提取特征并搜索比对，比对通过才进行后续操作。

6.根据权利要求5所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，其特征在于：手机端公私钥及证书的生成过程具体如下：

(1)、用户发送认证请求，请求中携带用户信息；

(2)、CA服务器通过运营商的BOSS系统对用户身份进行认证；

(3)、认证通过后，向手机返回确认；

(4)、手机端的密钥生成模块生成一对公私钥对(SK，PK)；

(5)、手机将生成的公钥PK及用户信息用CA的公钥进行加密，发送给CA服务器，请求生成证书；

(6)、CA服务器接受到请求后，生成用户证书，并将生成的证书发送给手机端，证书中有CA服务器的签名；

(7)、手机收到证书后，用CA服务器的公钥验证签名，如果验证通过，即说明该证书已成功生成，将其保存。

7.根据权利要求5所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，其特征在于：身份认证过程如下：

(1)、手机发送接入请求，请求中包含用户信息；

(2)、支付系统生成随机数R，并用该用户的公钥进行加密ER＝Enc(R，PK)，将ER发送给手机端；

(3)、手机收到经过加密的随机数ER，用自己的私钥SK对ER进行解密获得R，并将解密后的随机数用支付系统的公钥加密DER＝Enc(R，PK)，返回给支付系统；

(4)、支付系统收到DER后，用自己的私钥解密，验证得到的随机数R’是否等于R，如果是，则通过对用户的身份认证。

8.根据权利要求5所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，其特征在于：数字签名支付过程如下：

(1)、用户用自己的私钥SK将购买信息的指令TxT进行签名SignedTXT＝Sign(TxT，SK)，将其发送给支付系统，同时发送的还有用户基本信息；

(2)、支付系统根据用户信息找到用户的证书，验证证书的有效期信息；

(3)、支付系统再用用户证书中的公钥PK对SignedTXT进行解密，验证用户的签名是否正确；

(4)、验证通过后，进行后续的支付操作。

9.根据权利要求5所述的可应用于移动通讯设备的可信计算平台芯片的认证方法，其特征在于：在移动支付过程中，在会话之前需要建立安全通道，安全通道的建立涉及到公钥体系中的加解密过程，流程如下：

(1)、服务器生成随机数R作为手机与服务器之间的会话密钥，并用用户的公钥PK对R进行加密ER＝Enc(R，PK)；

(2)、服务器用R加密需要加密的会话内容TXT，CyberTXT＝Enc(TXT，R)；

(3)、服务器将ER与CyberTXT发送给手机。

(4)、手机收到后，用私钥解密ER，获得会话密钥R；

(5)、手机用R解密CyberTXT，获得TXT。

Images