CN102202306B

CN102202306B - 移动安全认证终端及方法

Info

Publication number: CN102202306B
Application number: CN201110157095.4A
Authority: CN
Inventors: 张湘东; 张文安; 谢云; 黄泽龙
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2011-06-13
Filing date: 2011-06-13
Publication date: 2014-02-05
Anticipated expiration: 2031-06-13
Also published as: CN102202306A

Abstract

本发明涉及一种移动安全认证终端，包括：安全中间件，用于利用操作系统提供的AT指令通道将客户端的PKI调用请求转换为AT指令；基带芯片，用于根据所述AT指令获得与所述客户端的PKI调用请求对应的APDU指令，并将所述APDU指令发送到PKI SIM卡；PKI SIM卡，作为安全模块核心，提供PKI能力的APDU指令的支持。本发明还涉及一种移动安全认证方法。本发明克服了现有手机终端只能支持标准集卡接口，而无法支持PKI SIM卡所提供的PKI能力访问的问题，通过支持新的APDU指令接口方式或扩展现有的机卡接口指令的方式，使得终端能够顺利的支持PKI SIM卡所提供的PKI能力访问，从满足移动方式下银行业务的业务申请、证书更新、登录鉴权以及业务交易等更高级的安全需要。

Description

移动安全认证终端及方法

技术领域

本发明涉及电信技术及信息安全领域，尤其涉及一种移动安全认证终端及方法。

背景技术

随着电信技术的逐渐发展，目前已出现了利用移动设备进行金融业务的银行类服务，以此来提供较传统银行服务更为便利、高效和安全的服务方式。为了确保这种新型服务方式的安全性，目前的安全认证方式主要有以下几类：

1、账号/密码鉴权方式：通过移动终端内安装的客户端输入客户的银行帐号(或别名)以及密码进行登录鉴权，从而完成对客户身份的认证；

2、WAP认证方式：用户在开通银行业务时将银行账号与手机号码进行绑定，当用户通过WAP方式访问银行系统时，银行系统通过电信运营商的WAP网关获取用户的手机号码，并将用户登录所用的手机号码与该绑定的手机号码进行对比校验，从而验证用户身份；

3、动态口令方式：用户需要更换专用的SIM卡，而该SIM卡可根据时间、使用次数等条件产生不断变化的密码，每个密码只能使用一次，用户在进行手机客户端登录鉴权及交易过程中需要输入SIM卡产生的动态密码用于验证用户身份。

以上三种方式均具有一定的安全性，且可以结合使用，但仍均存在一定的安全隐患，例如账号密码易于被盗取、发生孖卡现象以及被钓鱼网站窃取动态密码的可能。对于大额支付、转账、汇款等安全等级非常高的银行业务，目前的这些安全认证方式尚不能满足要求。

目前已出现了一种PKI SIM卡，通过引入数字证书、数字签名等非对称安全算法可以提高银行业务的安全等级，但目前移动终端只能支持手机客户端访问一些标准的机卡接口，例如读取通信账号信息、存储卡内信息、存储卡内电话簿等，而无法支持PKI SIM卡所增加的对PKI能力访问的机卡接口，导致无法实现客户端对PKI SIM卡的PKI能力的正常调用。

发明内容

本发明的目的是提出一种移动安全认证终端及方法，能够调用PKI SIM卡的PKI能力，满足移动方式下银行业务的更高级的安全需要。

为实现上述目的，本发明提供了一种移动安全认证终端，包括：

安全中间件，用于利用操作系统提供的AT指令通道将客户端的PKI调用请求转换为AT指令；

基带芯片，用于根据所述AT指令获得与所述客户端的PKI调用请求对应的APDU指令，并将所述APDU指令发送到PKI SIM卡；

PKI SIM卡，作为安全模块核心，提供PKI能力的APDU指令的支持。

进一步的，所述安全中间件还包括：

APDU转换单元，用于将PKI调用请求转换为APDU指令；

AT指令组装单元，用于将转换后的APDU指令作为AT指令的参数组装到AT指令中。

进一步的，所述基带芯片还用于对所述组装的AT指令中的APDU指令的参数不做解析，直接提取该APDU指令，传入所述PKISIK卡中。

进一步的，所述PKI SIM卡包括：

安全标识检查单元，用于检查接收到的APDU指令中是否包含安全应用协议标识；

PKI操作单元，用于在确定接收到的APDU指令中包含安全应用协议标识时，根据所述APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

进一步的，所述PKI调用请求包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取。

为实现上述目的，本发明提供了一种移动安全认证方法，包括：

移动安全认证终端中的安全中间件利用操作系统提供的AT指令通道将客户端的PKI调用请求转换为AT指令；

所述移动安全认证终端中的基带芯片根据指令转换表将所述AT指令转换为APDU指令，并将所述APDU指令发送到安设在所述移动安全认证终端中的PKI SIM卡；

所述PKI SIM卡检查接收到的APDU指令中是否包含安全应用协议标识，在确定接收到的APDU指令中包含安全应用协议标识时，根据所述APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

为实现上述目的，本发明还提供了另一种移动安全认证方法，包括：

移动安全认证终端中的安全中间件将客户端的PKI调用请求转换为APDU指令，并将转换后的APDU指令作为AT指令的参数组装到AT指令中；

所述移动安全认证终端中的基带芯片对所述组装的AT指令中的APDU指令的参数不做解析，直接提取该APDU指令，并传入安设在所述移动安全认证终端中的PKI SIK卡中；

PKI SIM卡根据接收到的APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

进一步的，对于非PKI调用请求的普通调用请求，所述安全中间件利用操作系统提供的AT指令通道将客户端的普通调用请求转换为AT指令，所述基带芯片在处理不包括APDU指令的参数的AT指令时，将该AT指令转换为APDU指令，并将所述APDU指令发送到PKI SIM卡。

基于上述技术方案，本发明克服了现有手机终端只能支持标准集卡接口，而无法支持PKI SIM卡所提供的PKI能力访问的问题，通过支持新的APDU指令接口方式或扩展现有的机卡接口指令的方式，使得终端能够顺利的支持PKI SIM卡所提供的PKI能力访问，从满足移动方式下银行业务的业务申请、证书更新、登录鉴权以及业务交易等更高级的安全需要。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明移动安全认证终端的一实施例的结构示意图。

图2为本发明移动安全认证终端的另一实施例的结构示意图。

图3为本发明移动安全认证终端的又一实施例的结构示意图。

图4为本发明移动安全认证方法的一实施例的流程示意图。

图5为本发明移动安全认证方法的另一实施例的流程示意图。

图6为本发明移动安全认证方法实施例的应用场景示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图1所示，为本发明移动安全认证终端的一实施例的结构示意图。在本实施例中，移动安全认证终端包括：安全中间件1、基带芯片2和PKI SIM卡3。其中，安全中间件1负责利用操作系统提供的AT指令通道将客户端的PKI调用请求转换为AT指令。安全中间件1可以屏蔽手机操作系统、PKI SIM卡版本等的区别，为客户端提供统一的安全应用API接口进行调用，而这里的客户端通常指与服务相关的业务客户端，例如手机银行客户端，通过调用安全中间件1所提供的API接口完成手机银行业务功能。

手机中的操作系统要为AT指令提供通道支持，常用的操作系统接口层包括JSR-177、Windows Mobile RIL或Android RIL等。

基带芯片2负责根据AT指令获得与客户端的PKI调用请求对应的APDU指令，并将APDU指令发送到PKI SIM卡3。PKI SIM卡3作为安全模块核心，提供PKI能力的APDU指令的支持。PKI SIM卡3是一种专用的SIM卡，带有RSA硬件协处理器，可支持RSA的快速计算及公/私密钥对生成。卡内可存储一个或多个银行的公/私钥对及数字证书，为手机银行业务提供安全加密及数字签名功能。

下一个实施例给出的是通过定义新的APDU指令接口方式来实现客户端对PKI SIM卡中的PKI能力的调用。如图2所示，为本发明移动安全认证终端的另一实施例的结构示意图。与上一实施例相比，本实施例中的安全中间件包括：APDU转换单元11和AT指令组装单元12。其中APDU转换单元11负责将PKI调用请求转换为APDU指令。AT指令组装单元负责将转换后的APDU指令作为AT指令的参数组装到AT指令中。

在本实施例中安全中间件除提供了AT指令的接口之外，还提供了通用的APDU访问接口，例如采用GSM07.07中8.17GenericSIMacccess+CSIM(通用SIM访问+CSIM)协议，此时就可以直接将PKI调用请求转换为APDU指令，并将该APDU指令作为AT指令中参数的一部分，利用AT指令通道发送给基带芯片，此时由于已存在APDU指令，基带芯片不再需要对这部分APDU指令进行转换，而是直接提取出该部分APDU指令，并传送到PKI SIM卡中。

另外，也可以选择对现有的机卡接口指令进行扩展，这种方式避免对终端的硬软件进行较多的升级和修改。具体参见图3，该图为本发明移动安全认证终端的又一实施例的结构示意图。在本实施例中，PKI SIM卡包括：安全标识检查单元31和PKI操作单元32。其中，安全标识检查单元31负责检查接收到的APDU指令中是否包含安全应用协议标识。PKI操作单元32负责在确定接收到的APDU指令中包含安全应用协议标识时，根据所述APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

以标准的更新卡短信内容的APDU指令格式为例，其格式如下：

为支持手机银行业务需要扩展的指令，对上述指令的参数内容部分(加粗黑色框部分)进行扩展，具体扩展格式如下：

标识	值	说明
			STATUS	00	文件记录状态
FLAG	SJYH	安全应用协议标识
			TYPE	XX	安全应用命令类型
LENGTH	XX	后续命令参数长度
			PARAM	XXX	安全应用命令参数内容

当APDU指令中扩展有上述格式时，PKI SIM卡能够检查出其中的安全应用协议标识FLAG的内容为“SJYH”，从而识别出该指令为调用PKI能力的安全应用指令，从而进一步的按照安全应用命令类型TYPE、后续命令参数长度LENGTH和安全应用命令参数内容PARAM执行相应的PKI操作；如果PKI SIM卡没有检查出安全应用协议标识，则按照普通的更新卡短信内容的指令进行处理。

上述各实施例中的PKI调用请求包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取等，可以被应用到各种与手机银行业务相关的业务流程中，例如业务申请、证书更新、用户登录、业务交易等。具体业务流程将在下面有所介绍，这里就先不展开了。

如图4所示，为本发明移动安全认证方法的一实施例的流程示意图。在本实施例中，移动安全认证流程包括：

步骤101、移动安全认证终端中的安全中间件利用操作系统提供的AT指令通道将客户端的PKI调用请求转换为AT指令；

步骤102、所述移动安全认证终端中的基带芯片根据指令转换表将所述AT指令转换为APDU指令，并将所述APDU指令发送到安设在所述移动安全认证终端中的PKI SIM卡；

步骤103、所述PKI SIM卡检查接收到的APDU指令中是否包含安全应用协议标识，在确定接收到的APDU指令中包含安全应用协议标识时，根据所述APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

在本实施例中，PKI调用请求可以包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取等。

如图5所示，为本发明移动安全认证方法的另一实施例的流程示意图。在本实施例中，移动安全认证流程包括：

步骤201、移动安全认证终端中的安全中间件将客户端的PKI调用请求转换为APDU指令，并将转换后的APDU指令作为AT指令的参数组装到AT指令中；

步骤202、所述移动安全认证终端中的基带芯片对所述组装的AT指令中的APDU指令的参数不做解析，直接提取该APDU指令，并传入安设在所述移动安全认证终端中的PKI SIK卡中；

步骤203、PKI SIM卡根据接收到的APDU指令中包括的安全应用命令类型和安全应用命令参数的长度及内容执行相应的PKI操作。

对于非PKI调用请求的普通调用请求，所述安全中间件可利用操作系统提供的AT指令通道将客户端的普通调用请求转换为AT指令，所述基带芯片在处理不包括APDU指令的参数的AT指令时，可将该AT指令转换为APDU指令，并将所述APDU指令发送到PKISIM卡。

在本实施例中，所述PKI调用请求可以包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取等。

下面根据图6来说明一下应用场景。在图6中，移动安全认证终端通过电信运营商网络及Internet与手机银行应用服务器相连，手机银行应用服务器分别与CA中心和银行后台系统相连。其中手机银行应用服务器负责完成手机银行客户端与银行后台系统的介入，并负责实现整个交易流程的事务控制。CA中心是手机银行业务中交易受信任的第三方，承担公钥体系中公钥的合法性检验的责任。CA中心与手机银行应用服务器配合，对交易双方身份的合法性进行验证；同时CA中心还负责数字证书的管理和发放。银行后台系统负责接受手机银行应用服务器转发的业务请求并进行处理，完成实际的银行业务功能。

基于这样的应用场景，下面分别对该业务的主要业务流程进行描述，首先是业务申请流程：

业务申请流程指用户要开通使用手机银行业务时，向银行发起申请，并完成公/私钥对生成、证书签发以及证书下载的过程。具体流程如下：

用户通过手机银行客户端发起开通手机银行业务申请，申请时需输入银行帐号、密码及其他身份认证信息；为确保申请人身份的真实有效，银行可要求用户先到营业厅进行现场身份认证，认证通过后提供一个专用授权码给用户，由用户在业务开通时进行输入；

客户端向PKI SIM卡发起生成公/私钥对指令，PKI SIM卡通过RSA协处理器运算生成公/私钥对，其中私钥将安全存储于卡中，公钥则返回到客户端；

客户端将用户资料信息及公钥发送到手机银行应用服务器；

服务器将用户资料信息发送到银行后台，完成对用户身份的认证；

认证通过后，服务器将用户资料及公钥发送到CA中心，由CA签发数字证书；

银行后台完成数字证书及银行帐号的绑定操作；

服务器将数字证书返回到客户端；

客户端通过机卡接口，将数字证书写入到PKI SIM卡中进行保存。

考虑到证书使用的安全性，需要对数字证书进行有效期的限制，这就要求在证书将要过期时，要求用户作证书更新操作。证书更新业务流程如下：

用户登录手机银行客户端；

客户端读取并检查PKI SIM卡中存储的数字证书是否过期；

如证书过期，则提示用户需要进行更新；

客户端通过手机银行应用服务器向CA中心发起证书更新请求；

CA中心生成新的证书，并返回客户端，由客户端更新PKI SIM卡中存储的数字证书。

用户要使用手机银行业务前，需要首先进行登录鉴权，完成身份认证。登录鉴权业务流程如下：

用户打开手机银行客户端后，客户端向手机银行应用服务器发送PKI SIM卡中存储的数字证书(带公钥)；

手机银行应用服务器接收到数字证书后，通过CA中心验证证书的合法性；

服务器生成一个随机数作为以后通信将要使用的对称密钥，并用证书中的公钥加密后发送回客户端；

客户端调用PKI SIM卡提供的接口使用私钥对字符串进行解密，解密成功后，用该字符串作为对称密钥，将登录的账号和密码加密后，发送到手机银行应用服务器；

服务器将账号信息解密后发送到银行后台进行验证，验证通过后允许该客户进行登录。

用户使用手机银行完成账户查询、转账汇款、付费等银行业务流程在安全认证方面的流程都是类似的，这里统一描述为业务交易流程。

具体流程如下：

用户登录到手机银行客户端后，通过客户端界面选择要执行的业务类型，并输入相关的业务数据；

客户端向手机银行应用服务器发送PKI SIM卡中存储的数字证书(带公钥)；

客户端调用PKI SIM卡提供的接口使用私钥对字符串进行解密，解密成功后，用该字符串作为对称密钥；

客户端将业务信息生成数字签名，然后再进行加密，发送到手机银行应用服务器；

服务器对接收到的业务请求使用对称密钥进行解密，然后用证书中的公钥对数字签名进行验证；

验证通过后将业务请求信息发送到银行后台进行实际的交易处理，并将处理结果返回到客户端。

本发明通过打通客户端与PKI SIM卡的机卡接口，可以调用PKISIM卡的RSA的快速计算计公/私钥对的生成等PKI能力，从而极大地提高交易的安全性，满足银行对大额支付业务的高安全要求。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims

1.一种移动安全认证终端，包括：

安全中间件，包括APDU转换单元和AT指令组装单元；

所述APDU转换单元，用于将PKI调用请求转换为APDU指令；

所述AT指令组装单元，用于将转换后的APDU指令作为AT指令的参数组装到AT指令中；

所述安全中间件还用于：对于非PKI调用请求的普通调用请求，利用所述操作系统提供的AT指令通道将所述普通调用请求转换为AT指令；

基带芯片，用于根据所述安全中间件得到的AT指令获得对应的APDU指令，并将所述APDU指令发送到PKI SIM卡；

所述基带芯片还用于对所述组装的AT指令中的APDU指令的参数不做解析，直接提取该APDU指令，传入所述PKI SIK卡中；

2.根据权利要求1所述的移动安全认证终端，其中所述PKI SIM卡包括：

3.根据权利要求1～2任一所述的移动安全认证终端，其中所述PKI调用请求包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取。

4.一种移动安全认证方法，包括：

移动安全认证终端中的安全中间件包括APDU转换单元和AT指令组装单元；

所述APDU转换单元，用于将PKI调用请求转换为APDU指令；

所述移动安全认证终端中的基带芯片根据指令转换表将所述安全中间件得到的AT指令转换为APDU指令，并将所述APDU指令发送到安设在所述移动安全认证终端中的PKI SIM卡；

5.根据权利要求4所述的移动安全认证方法，其中所述PKI调用请求包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取。

6.一种移动安全认证方法，包括：

所述APDU转换单元，用于将PKI调用请求转换为APDU指令；

所述移动安全认证终端中的基带芯片对所述组装的AT指令中的APDU指令的参数不做解析，直接提取该APDU指令，并传入安设在所述移动安全认证终端中的PKI SIK卡中；对所述普通调用请求转换得到的AT指令，根据所述AT指令得到对应APDU指令，并将所述APDU指令发送到安设在所述移动安全认证终端中的PKI SIM卡中；

7.根据权利要求6所述的移动安全认证方法，其中对于非PKI调用请求的普通调用请求，所述安全中间件利用操作系统提供的AT指令通道将客户端的普通调用请求转换为AT指令，所述基带芯片在处理不包括APDU指令的参数的AT指令时，将该AT指令转换为APDU指令，并将所述APDU指令发送到PKI SIM卡。

8.根据权利要求6或7所述的移动安全认证方法，其中所述PKI调用请求包括：公私钥对的生成操作、数字签名、加解密运算或数字证书的保存/更新/读取。