CN104219055A

CN104219055A - 一种基于nfc的点对点可信认证方法

Info

Publication number: CN104219055A
Application number: CN201410456819.9A
Authority: CN
Inventors: 邹佳伟; 金志刚
Original assignee: Tianjin University
Current assignee: Tianjin University
Priority date: 2014-09-10
Filing date: 2014-09-10
Publication date: 2014-12-17

Abstract

本发明提供一种基于对NFC点对点工作模式可信认证方法，包括客户端NFC设备首先产生自己的密钥对，并将自身公钥、设备自身信息及个人身份信息传送给认证中心CA；CA核实身份后，颁发给该设备一个用于同NFC服务器端进行身份认证的证书，同时附有CA中心的发行者数字签名信息；将颁发的数字证书导入到客户端NFC设备，这样该设备就可以使用自己的证书进行相关的访问；当需要访问NFC服务器端进行身份认证时，客户端NFC设备在已建立好的保密通道中向NFC服务器端传递自己的证书。本发明可在NFC点对点传输过程中建立安全可信、灵活便利、资源节约、功能多样的认证。

Description

一种基于NFC的点对点可信认证方法

技术领域

本发明涉及一种点对点模式可信认证方法。

背景技术

随着无线通讯技术的不断发展，NFC技术自出现以来，凭借自身传输带宽高、能耗低等优势而被应用到各行业中。可以说作为RFID技术的一个延伸，NFC突破了RFID只能实现信息的读取及判定的局限，强调双方可以近距离滴交互信息。而在NFC产业链中的应用，主要是支付产业及数据传输。因此，其安全性问题也逐渐成为了关注的热点。

目前业界普遍看好NFC技术，最主要的是该技术的卡模拟模式与读卡器模式的安全性已然趋于成熟，因此逐步开始广泛应用。而点对点模式作为第三种重要的工作模式，其认证过程却存在着严重的简化及明文传输等安全风险。在认证过程中，仅依靠设备ID来授予设备访问权限的认证方式，因简化而带来的安全性问题在日常生活中比比皆是，NFC认证过程也不例外。相比于另两种方式，点对点模式下移动设备间近距离直接身份认证以获取权限进行其他相关操作的场景(例如解锁、访问局域网等方面)的安全性就显得尤为薄弱；并且由于仅依靠ID作为解锁认证的依据，其访问过程功能的多样性也受到局限。故而，完善NFC点对点模式认证环节成为迫切需要改进的问题。

发明内容

本发明的目的是改进现有的NFC点对点模式身份认证方法的缺陷，提出一种能够保证通信过程的安全性、真实性、可靠性、完整性以及不可抵赖性的基于NFC的点对点可信认证方法。本发明的技术方案如下：

一种基于NFC的点对点可信认证方法，包括步骤如下：

1)客户端NFC设备首先产生自己的密钥对，并将自身公钥、设备自身信息及个人身份信息传送给认证中心CA；CA核实身份后，颁发给该设备一个用于同NFC服务器端进行身份认证的证书，该证书内包含NFC客户端的基本信息，包括NFC设备编号ID、版本号、公钥信息和证书有效期，同时附有CA中心的发行者数字签名信息；将颁发的数字证书导入到客户端NFC设备，这样该设备就可以使用自己的证书进行相关的访问；

2)当需要访问NFC服务器端进行身份认证时，客户端NFC设备在已建立好的保密通道中向NFC服务器端传递自己的证书；NFC服务器端收到证书后进行拆封，要验证签发NFC设备证书的CA是否是权威可信的CA，进而验证此CA的公钥能否正确解开客户端证书中发行者的数字签名。如果不能正确解开，则该证书视为不合法，身份认证过程失败；如果能正确解开，则从中提取证书有效期、设备的ID、版本号和公钥信息进行进一步的认证；

3)对于全部验证都通过的证书，该客户端NFC设备将允许访问NFC服务器端，两者可在保密通道中交互信息。

作为优选实施方式，在CA颁发的证书中：

a、添加时间与随机数混合生成的数字时间戳，利用这一参数标识该证书的唯一性；

b、证书中添加有用户标识，同一客户端NFC设备同时存放不同张证书，在同一时间实现多用户访问；

c、根据用户群体的不同分别对每类人设置不同的访问权限，在证书中添加权限字段，用于在用户登录客户端设备并且与NFC服务器端建立可信认证后，依据其身份获得NFC服务器提供的不同服务；

d、证书的自动更新协议：证书中设定每日访问次数这一参数，限制每张证书每日可访问NFC服务器端的次数，CA中心根据用户身份及权限标识决定不同用户每日可访问的次数；NFC服务器端每日自动吊销后台所有客户证书列表，CA中心每日负责向NFC服务器端发送新的可访问的列表，实现证书更新的即时性与访问的可控性。

步骤3)中，客户端NFC设备与NFC服务器端之间在保密通道中交互信息的方法如下：对于每次发送的信息M，客户端使用MD5算法计算出摘要值md₀，并使用自身私钥加密摘要md₀以创建其签名sm，将签名附在原文之后(M+sm)一同发送至NFC服务器端；NFC服务器端使用证书拆分后得到的客户端公钥解密签名得到消息摘要md₁，并使用MD5算法对接收到的原文进行哈希处理得到消息摘要md₂，比较两个消息摘要md₁、md₂，如果完全一致，则可确定该信息来自唯一持有私钥的客户端NFC设备，并且数据未被篡改和伪造。

本发明具有下列特点：

(1)安全可靠：采用数字证书认证取代单一通过NFCID认证的方式，消除了ID作为NFC设备单一属性极易被仿制从而造成虚假认证的弊端。通过依靠第三方机构——CA证书授权中心权威性、公正性和可信赖性的数字签名，使得其他人无法伪造和篡改证书，不仅保证了可信认证的建立，同时证明了证书中列出的NFC设备合法拥有证书中列出的公开密钥，为进一步实现加密传递数据等其他环节起到了便利。同时利用私钥签名的唯一性，进一步确保认证后每次数据传递过程中，NFC服务器端接收到的数据均为认证的客户端所发送而非其他方伪造。

(2)灵活多变的证书控制：通过在数字证书中添加特殊的字段的方式，可以灵活控制认证后客户端的访问。比如：添加用户字段区分证书的属主，可以使一台NFC设备同时被多用户使用，提高资源利用，节约成本；添加访问权限字段，可以设置不同证书允许访问服务器的权限(读、写以及应用的使用权等)，实现多样化需求；添加访问次数字段，可控制每张证书对应的用户一定时间段内允许访问服务器端的次数，有效防止恶意无限次访问及保证用户使用上的公平；时间戳的添加也标识了每张证书生成的任意性与唯一性。

(3)实时性强：证书的有效期及自动更新协议的设定，使得每张证书的生命周期一定。通过CA中心及时更新与吊销证书，使得通讯、认证及访问的过程具有明显的实时性与动态性。

(4)改动最小原则：对于NFC点对点过程的认证，仅需要通过添加证书并采用证书验证取代ID验证的方式，平滑升级而不需要过多改变已有的函数接口，从而达成建立可信认证这一目标与改动最小的双重优势。

附图说明

图1是本发明中NFC点对点工作模式中CA中心颁发给客户端设备的证书结构示意图(简图)。

图2是本发明中NFC点对点工作模式实现可信认证的整体运作流程图。

具体实施方式

为使本发明的目的、实现方案和优点更为清晰，下面对本发明的具体实施作进一步的详细描述，本发明的具体图解参见图1和图2所示。

(1)用两台NFC设备直接相互感应认证身份时，由于只通过ID进行认证的方式过于简单，安全性无法保证，故而采用可信赖的第三方权威机构CA颁发的数字证书取代ID进行验证。可信认证建立后，通过设置证书中相关的字段即可灵活控制访问，实现多重功能需求。下图1为CA中心颁发给客户端设备的数字证书结构示意图简图，列举了证书中的主要参数。

(2)具体实施上，依据只有私钥持有者可以对要发送的数据进行数字签名，而其他人无法模拟的原理，采用证书成功进行身份验证后，客户端每次发送至服务器的数据均可以通过附带其签名的方式，让服务器端接收到有来源、有依据、可验证的数据，签名的不可伪造及不可抵赖性确保了后续通信的可信性。

(3)针对上述分析，设计具体的认证方法，步骤如下：

1)客户端NFC设备首先产生自己的密钥对，并将自身公钥、设备自身信息及个人身份信息传送给认证中心CA。CA核实身份后，颁发给该设备一个可以同NFC服务器端进行身份认证的数字证书。该证书内包含NFC客户端的基本信息(NFC设备编号ID、版本号等)、公钥信息、同时附有CA中心的签名信息。将颁发的数字证书导入到客户端NFC设备，这样该设备就可以使用自己的证书进行相关的访问；

2)当需要访问服务器端进行身份认证时，客户端NFC设备在已建立好的保密通道中向服务器端传递自己的数字证书。服务器端收到证书后进行证书的拆封，要验证签发客户端NFC设备证书的CA是否是权威可信的CA，进而验证发行者CA的公钥能否正确解开客户端证书中发行者的数字签名。如果不能正确解开，则该证书视为不合法，身份认证过程失败；如果能正确解开，则从中提取证书有效期、设备的ID、版本号、公钥等信息进行进一步的认证；

3)对于全部验证都通过的证书，该客户端设备将允许访问服务器，两者可在保密通道中交互信息。对于每次发送的信息M，客户端要使用MD5算法计算出摘要值md₀，并使用自身私钥加密摘要md₀以创建其签名sm，将签名附在原文之后(M+sm)一同发送至服务器端。服务器端使用证书拆分后得到的客户端公钥解密签名得到消息摘要md₁，并使用MD5算法对接收到的原文进行哈希处理得到消息摘要md₂，比较两个消息摘要md₁、md₂，如果完全一致，则可确定该信息来自唯一持有私钥的客户端设备，并且数据未被篡改和伪造；

4)为了使认证后两台NFC设备间通讯具有多样化功能，CA颁发的数字证书可做如下设计：

a、除了证书有效期这一参数之外，添加时间与随机数混合生成的数字时间戳，利用这一参数标识该证书的唯一性；

b、证书中添加用户标识，同一客户端设备可以同时存放不同张证书，这样不仅可以实现单用户访问需求，而且仅依靠一个终端就可以在同一时间实现多用户访问，方便快捷地提高了资源的利用率，节约成本；

c、证书中添加权限字段，根据用户群体的不同分别对每类人设置不同的访问权限，在用户登录客户端设备并且与服务器端建立可信认证后，可依据其身份获得服务器提供的不同服务(使用哪些应用、访问哪些存储空间等)，实现了需求的多样化。

d、证书的自动更新协议：证书中设定每日访问次数这一参数，限制每张证书每日可访问服务器的次数，CA中心可根据用户身份及权限标识决定不同用户每日可访问的次数。一次申请证书成功后，当日每使用一次，通讯结束前均需要服务器向CA中心发出请求修改可访问次数-1(达到0时将不可访问)，CA将证书传递给服务器后，再由服务器转给客户端设备，设备更新证书并用于之后的认证。NFC服务器端每日自动吊销后台所有客户证书列表，CA中心每日负责向服务器端发送新的可访问的列表。实现更新的即时性与访问的可控性。

图2给出了NFC点对点工作模式实现可信认证的整体运作流程图。

Claims

1.一种基于NFC的点对点可信认证方法，包括步骤如下：

2.根据权利要求1所述的基于NFC的点对点可信认证方法，其特征在于，在CA颁发的证书中：

3.根据权利要求1所述的基于NFC的点对点可信认证方法，其特征在于，步骤3)中，客户端NFC设备与NFC服务器端之间在保密通道中交互信息的方法如下：对于每次发送的信息M，客户端使用MD5算法计算出摘要值md₀，并使用自身私钥加密摘要md₀以创建其签名sm，将签名附在原文之后(M+sm)一同发送至NFC服务器端；NFC服务器端使用证书拆分后得到的客户端公钥解密签名得到消息摘要md₁，并使用MD5算法对接收到的原文进行哈希处理得到消息摘要md₂，比较两个消息摘要md₁、md₂，如果完全一致，则可确定该信息来自唯一持有私钥的客户端NFC设备，并且数据未被篡改和伪造。