CN104009843A - 一种令牌终端和方法 - Google Patents

Abstract

本发明涉及身份验证和信息安全技术领域，特别涉及一种安全便捷多用途的令牌终端和方法。一种实现身份验证的令牌终端，所述终端为移动手持终端，包括：权鉴单元，作为权鉴服务的核心；移动单元，作为权鉴单元的依附。本新型广泛适用于各类身份验证，诸如：网络、门禁、支付等场合，不仅能实现多卡合一的效果，而且具备智能卡的不可复制性，尤其是拥有优异的抗丢失和防窥视能力。

Description

一种令牌终端和方法

技术领域

本发明涉及身份验证和信息安全技术领域，特别涉及一种安全便捷多用途的令牌终端和方法。

背景技术

在现代生产生活中，人们经常会面临着各种身份认证要求，最为常见的莫过于互联网上广泛采用的用户名加密码的登录验证机制，通过该机制，人们仅须牢记自己的用户名和密码即可自由在任意时间地点来完成登录验证。这无疑是十分便利的，但也暴露了一些棘手的问题。首先，由于木马病毒的猖獗，导致密码失窃状况时有发生，尤其是一些意义重大的账号密码；其次，随着人们注册的网络账号数量的积增，以及缘于人类懒惰和善忘的天性，通常会将所有用户名密码设定为相同，或者设定成易于猜测的简单密码，于是密码的设定、记忆便和安全就构成了尖锐的矛盾，从而大大加剧了密码失窃的风险。一旦密码遭遇不测，将可能蒙受难以估量的损失。

如果网络信息和财产安全的重要性还不够突出的话，人们对现实生活中的资金、财产安全就显得尤为敏感了。比如各个银行的存折、银行卡、信用卡及其密码。值得说明的是，存折和银行卡仅凭其所附着的磁条来记录只有专用读卡设备方能读取的用户信息。这不仅省去了手动输入用户名的繁琐过程，而且一定程度上防止了用户信息遭窥窃。磁卡因其成本低廉，应用广泛，愈加暴露了它易遭非法复制的先天不足；所以智能卡，尤其是CPU智能卡，以其卓越的安全优势，以及强大的扩展能力，而备受瞩目。然而，智能卡和磁卡不但是专卡专用，挤占钱包空间，同丢失难挂失；而且密码相随，定点密码输入，容易遭到窥窃，所以收藏携带不方便，使用操作有风险。

时下，手机终端大行其道，机不离手，屏不离眼，更成为了这个时代的写照。可以毫不夸张的说，人们身上可以不带钱包钥匙，但是绝不可不带手机，手机已然成为了众人难以割舍的左膀右臂。这不禁让人联想到了人们经常使用的“手机动态密码”。这也许是目前普通大众所接触到的安全系数最高的技术手段了。可是其缺陷也是显而易见的：首先是必需结合静态密码来使用，因为纯粹的动态密码并不安全，可能被运营商内部或手机病毒所截获而利用；其次，动态和静态密码仍须手工在特定外置键盘上输入，操作较为麻烦。再者，动态密码以短信形式发送，这通常给动态密码的发送方造成额外的经济负担。也正是上述缺陷构成了推广“手机动态密码”应用的瓶颈。

发明内容

有鉴于此，本发明提供了一种安全便捷多用途的令牌终端和方法。

一种实现身份验证的令牌终端，所述终端为移动手持终端，包括：

权鉴单元，作为权鉴服务的核心；

移动单元，作为权鉴单元的依附。

优选的，所述移动单元，包括：

交互单元，作为人机交互接口；

通信单元，作为信息传输接口；

逻辑单元，作为核心控制系统。 

优选的，所述交互单元，包括：键盘、屏幕、触摸屏、麦克风、摄像头、指纹器件等人机交互接口。

优选的，所述通信单元，包括：USB、RS232、蓝牙、红外、NFC、WI-FI等有线和无线的通讯接口。

优选的，所述逻辑单元，包括：MPU和MCU等具有逻辑和控制能力的硬件和实现具体功能的软件。

优选的，所述权鉴单元，包括：具有随机数据生成能力的标准智能卡和类智能卡，以及权鉴服务程序。

优选的，所述权鉴服务，包括：密钥生成、密钥传输、密钥验证、凭据保护、硬件保护、寻呼保护。

优选的，所述密钥传输，包括：权鉴单元向外部设备输出密钥，以及外部设备向权鉴单元输入密钥。

优选的，所述密钥生成，包括：以真伪随机数据为参数来生成，基于对称和非对称加密机制的密钥。

优选的，所述密钥验证，包括：

首先，验证主体利用自身的随机数据和自身的非随机数据构成一个组合数据，并将其通过加密通道传到验证客体；

然后，验证客体利用接收的随机数据和自身的非随机数据构成一个组合数据，并将其通过加密通道传给验证主体；

最后，验证主体若能以既定的算法在自身和接收的随机数据之间建立一一对应关系则验证成功，反之则验证失败。

优选的，所述组合数据，包括：按照验证主客体之间的协定，以随机数据和非随机数据构建的数据组合。

优选的，所述加密通道，包括：基于密钥构建的，可以实现单向和双向加密传输的表示层数据传输通道。

优选的，所述主体客体，包括：权鉴单元与外部设备，外部设备与权鉴单元，权鉴单元与权鉴单元配对。

优选的，所述凭据保护，包括：访问特定权鉴服务前须提交密码口令、生物特征数据等有效的凭据信息。

优选的，所述硬件保护，包括：访问特定权鉴服务前须得到特定有效的不受逻辑单元支配的电子信号量。

优选的，所述寻呼保护，包括：访问特定权鉴服务前须完成若干次以权鉴单元作为验证主体的密钥验证。

本新型广泛适用于各类身份验证，诸如：网络、门禁、支付等场合，不仅能实现多卡合一的效果，而且具备智能卡的不可复制性，尤其是拥有优异的抗丢失和防窥视能力。

附图说明

图1是本发明实施例提供的新型SIM卡中密钥的组织示意图。

1.密钥池，2.密钥群，3.密钥组，4.权鉴密钥。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步的详细说明。

本新型主体部分包括了可分离的作为“移动单元”的手机终端和作为“权鉴单元”的新型SIM卡。其中，手机还配备了一个作为“通信单元”的NFC近距离通信模块，一个作为“交互单元”的触摸屏，作为“逻辑单元”的软硬件系统，和一个用于“硬件保护”的轻触按钮；而新型SIM卡则为一个包含真随机数据生成器和“权鉴服务”固化程序且符合某些规范的智能卡。因为本新型的体系结构与传统手机大致相同，所以要体现功能差异，只有结合典型的实例来加以诠释。

电子邮箱是一种广泛使用的基于因特网的信息交流工具。其使用，涵盖了邮箱注册、登录这两项关键操作。这不仅是大部分网络服务的共性，而且都须借助电脑系统来实现。注册过程就是登记用户名和密码。用户名的设定较为轻松，而密码的设定就比较困难。用户须小心维护着一大堆密码，既不能简单重复，又不能复杂多变，着实令人大伤脑筋。同样的，就邮箱的登录而言，且不说邮箱密码失窃足以酿成严重的恶果，就是时常地密码遗忘也令人不胜其扰。本新型恰恰能化解这些危险和困扰，但作为“外部设备”的电脑系统须配备NFC模块硬件接口和相应的邮箱注册和登录软件接口。

一个简化的邮箱的注册：首先，将本新型凑近拥有注册接口的电脑系统；然后，操作其应用软件来驱使新型SIM卡随机生成一对基于非对称加密机制的RSA公私密钥对，并结合邮箱的用户名、网址、用途等附加信息，构成邮箱密钥组（3），并添加到密钥群（2）中；接着，将邮箱密钥组（3）中的公钥返还给手机，手机又经NFC通信模块将它们中转至电脑系统；最后，电脑系统将公钥、用户名以及用户在电脑系统上预填的信息一并发送至邮箱服务器数据库以完成注册。至此，密码似乎销声匿迹了。其实，密码只不过以一种更人性的方式出现。确切地说，还须为新生成的邮箱密钥组（3）设定密码或者说PIN码。

一个简化的邮箱登录：首先，仍然将本新型凑近拥有登录接口的电脑系统；然后操作其应用软件遍历新型SIM卡密钥群（2）中的密钥组，并将每个密钥组的必要附加信息返回并罗列在手机触摸屏上候选；然后，用户根据附加信息激活之前新注册的邮箱条目；接着，手机“依次”经过新型SIM卡的三道分别为：硬件保护、寻呼保护、凭据保护的安全屏障并根据邮箱密钥组（3）中的附加信息，通过NFC模块和电脑系统，向特定网址的邮箱服务器发送特定邮箱名的登录请求；最后，新型SIM卡利用邮箱密钥组（3）中的私钥完成后续的“密钥验证”。

一个简化的密钥验证：首先，收到登录请求的邮箱服务器生成一串随机数据并将其副本经电脑系统和NFC模块发到手机的新型SIM卡；然后，新型SIM卡使用邮箱密钥组（3）的私钥，对接收的随机数据串实施加密，并将加密结果发回邮箱服务器；最后，邮箱服务器使用该用户名所对应的密钥，即邮箱密钥组（3）的公钥，对加密结果实施解密，并对比解密结果和原始随机数据串；若相同则验证成功，反之则验证失败。显然，此时新型SIM卡充当“验证客体”而被作为“验证主体”的邮箱服务器所验证。

为进一步阐明新型SIM卡对密钥的支配，请参见图1。新型SIM卡内部的密钥池（1）存储了一个密钥群（2）和一个权鉴密钥（4）。所述密钥群（2）可包含多个密钥组，而密钥组又包括基于非对称加密技术的公私密钥对、PIN码以及必要的附加信息。在新型SIM卡的管理下，私有密钥绝对保密，公共密钥则可对外输出。用户根据实际需要，不仅可将一个密钥组注册到多个登录对象，而且还可将多个密钥组注册到同一登录对象。此时，新型SIM卡属于“验证客体”。需要特别注意的是：密钥群（2）中的密钥组都是新型SIM卡以唯一真随机数据为参数所生成的。这就确保了密钥对的唯一性和随机性。

至此，邮箱的注册和登录过程基本明晰了，而所述的三道安全屏障又意义何在呢？

因为手机（特别是智能手机）相当于掌上电脑，所以能运行各种程序，甚至病毒和恶意程序；又因其接入了互联网，故有遭到黑客和不法分子攻击的风险。也就是说，手机及其新型SIM卡可能被远程劫持、监控和利用。为此，有必要安装一个不受手机上任何软件支配且与新型SIM卡相连的独立硬件装置。本新型中即为一个具有弹性的“轻触按钮”。于是，新型SIM卡只有得到持机者对“轻触按钮”的按键信号才授权外部对它的访问。这就是所谓的“硬件保护”。

“硬件保护”只能屏蔽黑客和病毒的对本新型的攻击，而抵御本新型遗失、抢夺、失窃继而被冒用的危险则有赖于“寻呼保护”和“凭据保护”。

众所周知，任何手机只有加装了SIM卡才能入网和通话，而且手机号码是随卡而不随机，特别是通话内容也是加密传输的。这都有赖于SIM卡内部的一个由运营商预先烧写的，既不能读取和复制，也不可擦除和覆盖的“权鉴密钥”。每当手机开机，手机都会凭SIM卡的唯一身份标识IMSI，向运营商的服务器发出入网请求，服务器收到请求后，首先会生成一串随机数据，然后SIM卡和运营商利用各自所持的密钥对该随机数据实施加密，最后运营商对比两方的加密结果，相同则SIM卡为真，允许入网；反之则SIM卡为假，不许入网。这一过程被称作“入网权鉴”。通过这种方式，运营商能验证SIM卡的真伪，但是SIM卡却无法验证运营商的真伪。本新型中恰恰要利用“权鉴密钥”来实现新型SIM卡对运营商的验证。即新型SIM卡充当“验证主体”，运营商作为“验证客体”。

日常生活中，银行卡、信用卡等遗失、抢夺或失窃后尚可立即携带身份证去相关的机构办理挂失，以防不测。若身份证和大堆卡一齐丢失，挂失起来将极其麻烦。而对于此类情况，本新型会采取“寻呼保护”和“凭据保护”，轻松做到“亡羊补牢，为时不晚”。

一个简化的寻呼保护：

第一步、新型SIM卡构建一个包含“随机数据1”和“非随机数据1”的“组合数据1”；

第二步、新型SIM卡使用所持的“权鉴密钥（4）”对“组合数据1”实施加密，再把加密结果传给运营商服务器；

第三步、运营商服务器利用所持的“配对密钥”对接收的加密内容实施解密，得到“随机数据1”和“非随机数据1”；

第四步、运营商服务器构建一个包含“随机数据1”和“非随机数据2”的“组合数据2”；

第五步、运营商服务器使用所持的“配对密钥”对“组合数据2”实施加密，再把加密结果传回新型SIM卡；

第六步、新型SIM卡利用所持“权鉴密钥（4）”对接收的加密内容实施解密，得到“随机数据1”和“非随机数据2”；

第七步、新型SIM卡对比原始和解密所得的“随机数据1”的异同，若相同则运营商为真，权鉴操作进程继续，相当于解锁了新型SIM卡；若不同则运营商为假，权鉴操作进程终止，相当于锁定了新型SIM卡；若通信超时或者中断，则本次密钥验证中止，虽然谈不上验证的成败，却也相当于锁定了新型SIM卡。

这样不但能使新型SIM卡辨别运营商的真伪，而且也能掌握彼此之间的通信状态。形象地说，就是新型SIM卡“寻呼”运营商，故称为“寻呼保护”。需要注意的是，“随机数据1”来自新型SIM卡的真随机数据生成器，这一定程度避免了组合数据的重现，从而排除了加密内容遭克隆和复用的可能；此外，最后权鉴单元对比两组随机数据的异同，实际就是判断两者能否建立“等同”的一一对应关系；至于“非随机数据1”和“非随机数据2”的用途将另行说明，但两者最好互不相同。

权鉴密钥（4）并非由新型SIM卡生成，该密钥由运营商预先写入到新型SIM卡，既不能读取和复制，也不可擦除和覆盖；同时，运营商也唯一把持着另外一把对应的密钥。于是双方都可利用各自的密钥和生成的真随机数据来验证对方。因为2G时代的SIM卡仅仅支持运营商对SIM卡验证，并未涉及SIM卡对运营商的验证，所以SIM卡仍然只是验证客体。于是本新型填补了这一空白，也让新型SIM卡充当验证主体。即敏感权鉴服务被访问时，新型SIM卡会主动利用权鉴密钥（4）和内部产生的真随机数据对运营商发起验证。唯有如此，新型SIM卡才能判定能否联络到真正的运营商，以及获得运营商的反馈态度。

显然，这不仅实现了新型SIM卡对运营商的验证，而且运营商对本新型起到了绝对的支配。又因为运营商直接对用户负责，所以用户完全可以委托运营商按照特定的策略来锁定或者解锁新型SIM卡。可问题是，运营商又该如何来核实用户的身份呢，身份证无疑是最可信的。即用户只需携身份证到运营商的营业厅，便可申请锁定或解锁新型SIM卡。这种方式固然可靠，但未免过于繁琐。那就不妨通过拨打运营商的客户服务电话，根据语音提示，提交“锁定密码”，并委托运营商执行锁定操作。

所述“锁定密码”须携带有效证件赴营业厅柜台设定和变更。既然是密码，自然就有泄漏的风险。于是规定，该锁定密码仅允许用于锁定新型SIM卡和延长锁定时间。但要解锁新型SIM卡，只有再携带有效证件到运营商营业厅申请解锁，或者等待度过锁定期限自动解锁。所谓自动解锁，其实是为了方便用户在遗落本新型的时候，能够争取足够的缓冲时间及时将本新型找回，而不至于远走运营商营业厅申请解锁。

一个简化的凭据保护：

只有向新型SIM卡提交一个正确且简短的PIN码（通常仅有4位自然数长度）才能访问敏感的权鉴服务，而且该PIN码绝难被“暴力破解”。因为新型SIM卡发起“寻呼保护”时，“组合数据1”中包含了记录历次PIN码验证成败的“非随机数据1”，所以运营商可根据用户的预设来决定诸如：连续三次PIN码输入错误，即锁定新型SIM卡或密钥组24小时。这无疑为用户争取了宝贵的追回时间。若时间不够，还可延长锁定时间；若竭力寻而不得，则应挂失旧卡重办新卡，旧的新型SIM卡必然永久锁定；若解锁后，PIN码仍就输错连续超过十次，新型SIM卡或密钥组就会永久性的自锁或自毁；若有必要，还可让运营商在“非随机数据2”中添加控制指令以永久性地锁定和摧毁新型SIM卡或密钥组。

从本质上说，PIN码也属于密码，但是它又优于传统意义上的密码。因为，PIN码简短易记，难以破解，便于使用；更重要的是，由于多数凭密码登录验证的场合，几乎都是借助于部署在现场的密码键你盘来实现密码输入的，从而潜伏了密码被人蹲点监视和窃取的巨大危机，然而，本新型一定程度上相当于移动密码键盘，可以在隐蔽之处预先输入部分PIN码，到达现场后才补全，或者干脆以双手遮掩的姿势小心输入全部PIN码，所以基本排除被人窥视的可能。如果觉得PIN码仍不够安全和便捷的话，甚至还可以用指纹和虹膜识别器替代PIN码键盘来提交凭据。

因为对绝大多数人而言，手机的使用频率超过任何一件物品，对它的依赖程度不亚于衣着，所以一旦手机有任何异常和闪失，用户必然会第一时间采取必要措施，包括启动“寻呼保护”。当然，也不乏这样一批用户，对本新型的任何异动丝毫没有察觉（譬如遭遇扒手），自然不会采取任何补救措施，等到有所察觉可能为时已晚，而“凭据保护”恰恰能及时应对这样的突发情况，却对PIN码泄漏的情形无能为力。这也就体现了“寻呼保护”的迟滞性、灵活性和“凭据保护”的及时性、僵化性。须特别强调的是，“寻呼保护”务必发生在“凭据保护”之前，彼此相辅相成。 

至此，三道保护措施的功能和机理基本明晰。实际上，为了适应不同密钥和权鉴服务的安保要求，可酌情增减保护措施，制定合理的保护策略。譬如：邮箱注册过程中的“密钥输出”可增设三道保护措施；邮箱登录过程中“硬件保护”其实也并非是必须的。此外，本新型几乎完全沿用了传统手机和SIM卡的固有体系，仅作了有限的功能扩充，故不会增加太多的成本；由于NFC模块的应用，一定程度上解放了某些外部设备的密码键盘，降低了生产和维护成本，提高了密码的隐秘度；出于保险考虑，以免因本新型的遗失而造成不便，还可用别的新型SIM卡注册一些重要的备用账号并对其做临时锁定处理。

Claims (16)

1.一种实现身份验证的令牌终端，其特征在于，所述终端为移动手持终端，包括：

权鉴单元，作为权鉴服务的核心；

移动单元，作为权鉴单元的依附。

2.根据权利要求1所述的手持终端，其特征在于，所述移动单元，包括：

交互单元，作为人机交互接口；

通信单元，作为信息传输接口；

逻辑单元，作为核心控制系统。

3.根据权利要求2所述的移动单元，其特征在于，所述交互单元，包括：键盘、屏幕、触摸屏、麦克风、摄像头、指纹器件等人机交互接口。

4.根据权利要求2所述的移动单元，其特征在于，所述通信单元，包括：USB、RS232、蓝牙、红外、NFC、WI-FI等有线和无线的通讯接口。

5.根据权利要求2所述的移动单元，其特征在于，所述逻辑单元，包括：MPU和MCU等具有逻辑和控制能力的硬件和实现具体功能的软件。

6.根据权利要求1所述的手持终端，其特征在于，所述权鉴单元，包括：具有随机数据生成能力的标准智能卡和类智能卡，以及权鉴服务程序。

7.根据权利要求6所述的权鉴单元，其特征在于，所述权鉴服务，包括：密钥生成、密钥传输、密钥验证、凭据保护、硬件保护、寻呼保护。

8.根据权利要求7所述的权鉴服务，其特征在于，所述密钥传输，包括：权鉴单元向外部设备输出密钥，以及外部设备向权鉴单元输入密钥。

9.根据权利要求7所述的权鉴服务，其特征在于，所述密钥生成，包括：以真伪随机数据为参数来生成，基于对称和非对称加密机制的密钥。

10.根据权利要求7所述的权鉴服务，其特征在于，所述密钥验证，包括：

首先，验证主体利用自身的随机数据和自身的非随机数据构成一个组合数据，并将其通过加密通道传到验证客体；

然后，验证客体利用接收的随机数据和自身的非随机数据构成一个组合数据，并将其通过加密通道传给验证主体；

最后，验证主体若能以既定的算法在自身和接收的随机数据之间建立一一对应关系则验证成功，反之则验证失败。

11.根据权利要求10所述的密钥验证，其特征在于，所述组合数据，包括：按照验证主客体之间的协定，以随机数据和非随机数据构建的数据组合。

12.根据权利要求10所述的密钥验证，其特征在于，所述加密通道，包括：基于密钥构建的，可以实现单向和双向加密传输的表示层数据传输通道。

13.根据权利要求10所述的密钥验证，其特征在于，所述主体客体，包括：权鉴单元与外部设备，外部设备与权鉴单元，权鉴单元与权鉴单元配对。

14.根据权利要求7所述的权鉴服务，其特征在于，所述凭据保护，包括：访问特定权鉴服务前须提交密码口令、生物特征数据等有效的凭据信息。

15.根据权利要求7所述的权鉴服务，其特征在于，所述硬件保护，包括：访问特定权鉴服务前须得到特定有效的不受逻辑单元支配的电子信号量。

16.根据权利要求7所述的权鉴服务，其特征在于，所述寻呼保护，包括：访问特定权鉴服务前须完成若干次以权鉴单元作为验证主体的密钥验证。