CN106506472B - 一种安全的移动终端电子认证方法及系统 - Google Patents

一种安全的移动终端电子认证方法及系统 Download PDF

Info

Publication number
CN106506472B
CN106506472B CN201610931150.3A CN201610931150A CN106506472B CN 106506472 B CN106506472 B CN 106506472B CN 201610931150 A CN201610931150 A CN 201610931150A CN 106506472 B CN106506472 B CN 106506472B
Authority
CN
China
Prior art keywords
mobile terminal
safety
digital certificate
safe unit
echo
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610931150.3A
Other languages
English (en)
Other versions
CN106506472A (zh
Inventor
闫春清
徐超杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201610931150.3A priority Critical patent/CN106506472B/zh
Publication of CN106506472A publication Critical patent/CN106506472A/zh
Application granted granted Critical
Publication of CN106506472B publication Critical patent/CN106506472B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G06Q20/38215—Use of certificates or encrypted proofs of transaction rights
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明提出了一种安全的移动终端电子认证方法及系统，包括内置于移动终端的能够存储密钥的安全单元(SE)以及内置于移动终端中的可信执行环境(TEE)，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，可产生公私钥对，进行电子签名，私钥存储在安全单元(SE)不可被导出或复制。所述可信执行环境(TEE)中设置有安全回显可信应用程序(TA)，可让用户人工确认交易的正确性，无法被富执行环境(REE)中的木马攻击。本发明大量减少了另外需要生产硬件设备带来的成本高和用户使用携带不方便的问题，有利于节能减排，节约社会资源。

Description

一种安全的移动终端电子认证方法及系统
技术领域
本发明关于手机等智能移动终端电子认证领域，具体涉及到一种安全的移动终端电子认证系统及方法，应用于移动终端认证的安全单元(SE)/可信执行环境(TEE)以及基于安全单元(SE)和可信执行环境(TEE)的移动终端安全服务系统和方法。
背景技术
目前在移动端实现电子认证的应用技术背景主要包括如下：
1.使用移动终端富执行环境(REE)存储密钥，以软件实现方式进行电子认证。
2.使用移动终端可信执行环境(TEE)存储密钥，以软件实现方式进行电子认证。
3.使用可插入移动终端设备内的外部部件设备存储秘钥实现电子认证，外部部件包含SIM卡，SIM贴膜卡，TF卡。交易确认环节在富执行环境(REE)中进行。该方式解决了密钥的安全存储问题和用户携带的问题，但没有解决用户在安全的执行环境中实现对交易的二次确认的问题，容易在用户不知情的情况下交易信息被篡改，且制造带有安全单元(SE)的SIM卡、SIM贴膜卡、TF卡，用户需要另行购买，使用成本较高。
4.使用外部部件作为安全单元(SE)的承载介质，拥有独立显示屏幕，并通过音频、蓝牙、WIFI、NFC、OTG等接口与移动终端通信，进行电子认证。该模式可以实现通过设备自有的安全单元(SE)存储私钥，用利用私钥实现电子签名，通过自有的显示设备对交易信息进行二次确认。但该方式存在用户携带该设备不方便，且设备生产成本较高的问题。
5.PKI为Public Key Infrastructure的简称，即公钥基础设施，是提供非对称加解密和数字签名验签服务的系统或平台，目的是为了管理密钥和数字证书。 PKI是一种遵循标准的利用公钥加密技术为电子商务、电子政务、网络金融等开展提供一套安全基础平台的技术和规范。
6.为了保证金融领域的网上交易信息安全，为金融领域提供一套标准的电子认证服务规范，人民银行牵头制定了《金融电子认证规范》(JR/T 0118-2015)，对电子认证技术在金融领域里面的应用提供了参考。
7.移动终端由于其便携式的要求，急需一种无额外硬件、使用安全便利、抗抵赖性强并且兼容性好的一种安全的移动终端电子认证方法及系统。
方式1中的密钥存储在富执行环境(REE)中，密钥容易被植入手机终端中的木马盗取，无法达到《金融电子认证规范》(JR/T 0118-2015)中的高安全要求。
方式2中的私钥存储在可信执行环境(TEE)中，私钥不容易被植入手机终端中的木马盗取，但存在被可信执行环境(TEE)的管理方获得，也存在安全风险，无法达到《金融电子认证规范》(JR/T 0118-2015)中的高安全要求。
方式3，私钥存储在安全单元(SE)中，木马无法盗取，但用户的交易确认操作在富执行环境(REE)中操作，交易数据容易在富执行环境(REE)中被木马篡改，因此无法达到《金融电子认证规范》(JR/T 0118-2015)中的高安全要求。
方式4，私钥存储在安全单元(SE)中，且有独立的操作系统控制交易回显以方便用户进行交易的二次确认，能够达到《金融电子认证规范》(JR/T 0118-2015)中的高安全级别要求，但用户随身携带不方便，且成本较高。
发明内容
本发明的目的旨在至少解决所述技术缺陷之一。为了解决上述技术问题和成本问题，本发明的目的是提供一种可方便携带且安全级别较高，能够防止在移动端交易被木马攻击的安全的移动终端电子认证方法。
为了实现上述目的，本发明的实施例提一种安全的移动终端电子认证方法，包括内置于移动终端的能够存储密钥的安全单元(SE)以及内置于移动终端的可信执行环境(TEE)，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE) 中设置有安全回显可信应用程序(TA)，包括如下步骤：
步骤S1，终端使用安全应用程序applet在安全单元内部产生公私钥对，私钥存储在安全单元(SE)中且无法被导出，公钥提交到电子认证服务机构申请数字证书，在完成数字证书申请后，将数字证书存储于安全单元内部；
步骤S2，在用户使用移动终端APP进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；
步骤S3，将步骤S2中的回显信息与所述原始信息进行比较，如果比较结果一致，则通过安全回显可信应用程序(TA)将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
进一步，在步骤S2中，通过移动电子认证可信管理系统将可运行于安全单元(SE)中的安全应用程序applet下载至安全单元(SE)中，将安全回显可信应用程序(TA)下载至可信执行环境(TEE)。
进一步，所述安全应用程序applet通过远程下载或工厂烧录的方式加载。
进一步，所述移动终端还包括富执行环境(REE)。
进一步，所述安全单元(SE)是在移动终端生产过程中就固化在移动终端内部的部件，遵守公钥基础设施技术体系，内部可以产生公私钥对，并设置访问私钥的密码和/或指纹和 /或虹膜和/或脸部特征，且私钥无法被导出的电子部件，所述固化在移动终端中的安全单元(SE)与通过SIM卡接口、TF卡接口、音频接口、WIFI接口、蓝牙接口、NFC接口与移动终端连接且可以从移动终端物理上分离的安全单元(SE)结构相比，降低了生产成本，给用户使用带来了便利。
优选的，所述安全应用程序applet可实现公私钥对的产生，对数据进行签名、验签、加密、解密、摘要计算功能。
优选的，所述可信执行环境(TEE)中不保存私钥，不采用私钥进行电子签名操作。
优选的，所述步骤S3中的比较结果一致后还包括用户确认比较结果的步骤，所述用户确认比较结果的步骤是在安全回显可信应用程序(TA)中输入密码进行确认和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认。
优选的，所述申请数字证书过程包括：
a.用户向数字证书注册审批机构(RA)申请数字证书，并注册用户身份信息，由RA向数字证书认证中心申请获得数字证书下载凭证，包括参考号和授权码，并由RA以安全的方式告知用户；
b.可信执行环境(TEE)的TA接受富执行环境(REE)中的app提出的公私钥生成请求，向SE请求生成公私钥对，SE中的applet接受可信执行环境(TEE)中的TA发送的公私钥对生成请求，并生成公私钥对，并将公钥返回给可信执行环境(TEE)中的TA，由TA返回给富执行环境(REE)中的app，并由app完成数字证书申请文件的生成；
c.应用程序将用户在富执行环境(REE)中的app中输入参考号和授权码连同数字证书申请文件提交到数字证书认证中心(CA)，数字证书认证中心(CA)校验参考号和授权码是否正确，正确，则由数字证书认证中心(CA)的根证书，根据申请文件签发数字证书，并返回给应用程序；
d.富执行环境(REE)中的app接收到申请的数字证书，并由富执行环境(REE)中的app通过TEE中的TA写入所述安全单元(SE)进行存储。
e.所述数字证书和私钥均在安全单元(SE)中进行存储。
优选的，所述私钥进行电子签名及电子签名验证过程，包括：
a.用户在富执行环境(REE)中的app输入交易信息，并将待签名的交易数据发送到可信执行环境(TEE)中的TA中，由可信执行环境(TEE)的TA程序通过移动终端固有的屏幕进行数据显示。
b.用户将可信执行环境(TEE)的TA程序显示的数据与原始输入数据进行比对，比对正确用户进行确认，不正确用户终止签名过程。
c.用户确认正确后，由可信执行环境(TEE)中的TA将签名数据发送到SE中，通过存储在SE中的私钥进行签名。
d.安全单元(SE)完成签名后将签名结果数据，存储的公钥证书一同返回给TEE 中的TA，并由TA返回给REE中的客户端。
e.富执行环境(REE)中的app将签名后的数据、原始数据和公钥证书一同提交到服务器端，由服务器验证公钥证书是否由数字证书认证中心(CA)签发的，验证通过后，再通过被验证过的公钥数字证书结合原始数据验证采用私钥签名的数据是否正确。
f.采用私钥签名的数据被验证通过后，则继续服务器的其他操作，完成交易。
本发明提供的一种安全的移动终端电子认证方法，信息回显过程和用户确认过程在可信执行环境(TEE)下进行。数字签名、密码运算过程在安全单元(SE)下进行，用户的私钥存储在安全单元(SE)中，不可导出，避免了现有技术中的诸多问题。如私钥存储在非安全单元(SE)中，容易被盗取，交易信息在非可信执行环境(TEE)环境下确认容易被篡改。通过综合运用TEE技术和安全单元(SE)，保证了签名的唯一性，能大大提高交易安全；所述移动终端可以为任一同时具备可信执行环境(TEE)和安全单元(SE)的智能设备。在用户通常随身携带的一定终端上即可进行，如手机、平板电脑；其核心的私钥存储和签名过程是在安全单元(SE)中完成，可以防止私钥被非法复制，使得交易的安全性非常高；基于可信执行环境(TEE)的TA实现安全回显的方法，能保证所述交易数据不被篡改，能够有效防止木马的远程攻击，进而达到安全性和便利性的有效统一。
本发明实施例还提出包括内置于移动终端的能够存储密钥的安全单元(SE)以及内置于移动终端的可信执行环境(TEE)，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE)中设置有安全回显可信应用程序(TA)，用户使用安全应用程序applet产生公私钥对，私钥存储在安全单元(SE)中且无法被软件导出或外部设备获得，公钥提交到数字证书认证中心(CA)申请数字证书；在用户使用富执行环境(REE)的app进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；将回显信息与所述原始信息进行比较，如果比较结果一致，则通过安全回显可信应用程序(TA)将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
进一步，通过移动电子认证可信管理系统将可运行于安全单元(SE)中的安全应用程序applet下载至安全单元(SE)中，将安全回显可信应用程序(TA)下载至可信执行环境(TEE)。
进一步，所述安全应用程序applet通过远程下载或工厂烧录的方式加载，所述移动终端还包括富执行环境(REE)。
进一步，比较结果一致后还包括用户确认比较结果的步骤，所述用户确认比较结果的步骤是在安全回显可信应用程序(TA)中输入密码进行确认和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认。
优选的，所述申请数字证书过程包括：
a.用户向数字证书注册审批机构(RA)申请数字证书，并注册用户身份信息，由RA向数字证书认证中心申请获得数字证书下载凭证，包括参考号和授权码，并由RA以安全的方式告知用户；
b.可信执行环境(TEE)的TA接受富执行环境(REE)中的app提出的公私钥生成请求，向SE请求生成公私钥对，SE中的applet接受可信执行环境(TEE)中的TA发送的公私钥对生成请求，并生成公私钥对，并将公钥返回给可信执行环境(TEE)中的TA，由TA返回给富执行环境(REE)中的app，并由app完成数字证书申请文件的生成；
c.应用程序将用户在富执行环境(REE)中的app中输入参考号和授权码连同数字证书申请文件提交到数字证书认证中心(CA)，数字证书认证中心(CA)校验参考号和授权码是否正确，正确，则由数字证书认证中心(CA)的根证书，根据申请文件签发数字证书，并返回给应用程序；
d.富执行环境(REE)中的app接收到申请的数字证书，并由富执行环境(REE)中的app通过TEE中的TA写入所述安全单元(SE)进行存储。
e.所述数字证书和私钥均在安全单元(SE)中进行存储。
优选的，所述私钥进行电子签名及电子签名验证过程，包括：
a.用户在富执行环境(REE)中的app输入交易信息，并将待签名的交易数据发送到可信执行环境(TEE)中的TA中，由可信执行环境(TEE)的TA程序通过移动终端固有的屏幕进行数据显示。
b.用户将可信执行环境(TEE)的TA程序显示的数据与原始输入数据进行比对，比对正确用户进行确认，不正确用户终止签名过程。
c.用户确认正确后，由可信执行环境(TEE)中的TA将签名数据发送到SE中，通过存储在SE中的私钥进行签名。
d.安全单元(SE)完成签名后将签名结果数据，存储的公钥证书一同返回给TEE中的TA，并由TA返回给REE中的客户端。
e.富执行环境(REE)中的app将签名后的数据、原始数据和公钥证书一同提交到服务器端，由服务器验证公钥证书是否由数字证书认证中心(CA)签发的，验证通过后，再通过被验证过的公钥数字证书结合原始数据验证采用私钥签名的数据是否正确。
f.采用私钥签名的数据被验证通过后，则继续服务器的其他操作，完成交易。
优选的，所述步骤S3中的回显信息包括需要通过SE中私钥进行电子签名的详细信息。
根据本发明实施例的安全的移动终端电子认证系统及方法，实现对移动终端的电子认证，具有以下有益效果：
1.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，解决了用户使用外部设备进行密钥存储带来的不便利性。
2.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，用户不需要采购其他外部设备，降低了用户使用成本。
3.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，有别与采用在可信执行环境(TEE)中进行存储私钥和电子签名，提高了安全性。
4.采用运行于可信执行环境(TEE)中的TA程序进行交易的安全回显，复用手机屏幕，确保了用户的交易安全，有别于其他外接设备，使用独立的屏幕进行交易确认。该方法大量减少了另外需要生产硬件设备带来的成本高和用户使用携带不方便的问题，有利于节能减排，节约社会资源。
5.采用运行于可信执行环境(TEE)中的TA程序，复用移动终端屏幕进行交易的安全回显，确保了用户的交易安全。有别于其他可插拔在移动终端内部的安全部件，使用移动终端屏幕，在富执行环境(REE)中的使用app进行交易回显及确认，大大地提高了交易安全性，防止了数据在电子签名之前被篡改。
6.通过移动电子认证可信管理系统对安全单元的applet和TEE中的TA进行管理，可实现系统的高效升级，避免了因为软件升级带来的需要回收相应硬件的问题，减少了使用方的成本和资源的浪费。
7提高利用率，本发明运行于安全单元(SE)中的applet不仅可以在出厂前率先烧录到硬件设备中，也可以通过移动电子认证可信管理系统实现远程加载、更新，管理方便。
本发明可以广泛应用于电子商务，电子政务，网络银行等相关领域，替代目前广泛使用的SIM贴膜卡、音频Key、蓝牙Key等部件，减少社会资源的消耗。
本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：
图1为根据本发明实施例的系统整体结构图；
图2为根据本发明实施例的数字证书申请示意图；
图3为根据本发明实施例的电子签名业务流程；
具体实施方式
下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。
本发明提出为了解决上述技术问题和成本问题，本发明的目的是提供一种可方便携带且安全级别较高，能够防止在移动终端交易过程被木马攻击的安全的移动终端电子认证方法及系统。
实施例1
一种安全的移动终端电子认证方法，包括内置于移动终端的能够存储密钥的安全单元(SE)以及内置于移动终端的可信执行环境(TEE)，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE)中设置有安全回显可信应用程序(TA)，包括如下步骤：
步骤S1，终端使用安全应用程序applet在安全单元内部产生公私钥对，私钥存储在安全单元(SE)中且无法被导出，公钥提交到电子认证服务机构申请数字证书，在完成数字证书申请后，将数字证书存储于安全单元内部；
步骤S2，在用户使用移动终端APP进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；
步骤S3，将步骤S2中的回显信息与所述原始信息进行比较，如果比较结果一致，则通过安全回显可信应用程序(TA)将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
实施例2
一种安全的移动终端电子认证方法，包括内置于移动终端的能够存储密钥的安全单元 (SE)以及内置于移动终端的可信执行环境(TEE)，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE)中设置有安全回显可信应用程序(TA)，包括如下步骤：
步骤S1，终端使用安全应用程序applet在安全单元内部产生公私钥对，私钥存储在安全单元(SE)中且无法被导出，公钥提交到电子认证服务机构申请数字证书，在完成数字证书申请后，将数字证书存储于安全单元内部；
步骤S2，在用户使用移动终端APP进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；通过移动电子认证可信管理系统将可运行于安全单元(SE)中的安全应用程序applet下载至安全单元(SE)中，将安全回显可信应用程序(TA)下载至可信执行环境(TEE)。
步骤S3，将步骤S2中的回显信息与所述原始信息进行比较，如果比较结果一致，则通过安全回显可信应用程序(TA)将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
实施例3
基于手机安全单元(SE)和可信执行环境(TEE)技术实现交易安全回显的安全的移动终端电子认证方法，包含了一种可存储且不可导出用户私钥，及可完成签名加密功能的内置于移动终端安全单元(SE)、可运行于可信执行环境(TEE)中实现交易安全回显功能的TA程序，一套可以对安全单元(SE)中的applet进行管理，对安全显示TA程序进行管理的移动电子认证可信管理系统。
采用的PKI技术产生的公私钥对在移动终端内置的安全单元(SE)中产生，一旦密钥产生，私钥无法被导出。包括运行于安全单元(SE)中的应用程序applet；
可回显用户的交易信息通过运行于可信执行环境(TEE)的TA中进行显示，富执行环境 (REE)中的任何程序无法对TA程序进行攻击或篡改。
移动电子认证可信管理系统可采用安全的加密技术手段，对运行于安全单元(SE)中的应用程序applet和运行于可信执行环境(TEE)中的应用程序TA进行管理。其实现步骤为：
S1.首先移动电子认证可信管理向安全单元(SE)加载应用程序applet，
S2.其次，移动电子认证可信管理平台向可信执行环境(TEE)系统中加载进行业务安全回显功能的TA；
S3.完成applet和TA加载完成后，富执行环境(REE)中的app通过可信执行环境(TEE) 中的TA程序，申请由applet在安全单元(SE)内部产生公私钥对，私钥保存在安全单元内部不可导出，公钥提交到电子认证服务机构申请数字证书，完成数字证书申请；
S4.用户通过富执行环境(REE)中的app要求对交易数据进行电子认证时，由富执行环境(REE)中的app向可信执行环境(TEE)中的TA发起交易签名请求，可信执行环境(TEE)中的TA程序回显用户的交易数据，并由用户人工确认回显的交易数据是否与原始数据一致，如果发现交易数据被篡改则取消交易，确认正确，则发送到安全单元(SE)中使用私钥进行电子签名.
S5.签名完成后，将签名信息返回给富执行环境(REE)中的app，并提交到相关业务系统服务器端进行签名验证，验证用户电子签名正确则批准交易。
在本发明的另外一个实施例中，S4中的子步骤还包括用户可以使用在TA中输入密码进行确认，或者输入用户指纹/虹膜及脸部特征进行交易确认。
实施例4
本发明实施例还提出一种安全的移动终端电子认证系统，包括内置于移动终端的能够存储密钥的安全单元(SE)以及内置于移动终端中的可信执行环境(TEE)，其特征在于，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE) 中设置有安全回显可信应用程序(TA)，用户使用安全应用程序applet在安全单元(SE) 中产生公私钥对，私钥存储在安全单元(SE)中且无法被导出，公钥提交到电子认证中心 (CA)申请数字证书；在用户使用富执行环境(REE)中的app进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；将回显信息与所述原始信息进行比较，如果比较结果一致，则通过可信执行环境(TEE)中的TA将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
实施例5
一种安全的移动终端电子认证系统，包括内置于移动终端的能够存储密钥的安全单元 (SE)以及内置于移动终端中的可信执行环境(TEE)，其特征在于，所述安全单元(SE)中设置有可运行于其中的安全应用程序applet，所述可信执行环境(TEE)中设置有安全回显可信应用程序(TA)，用户使用安全应用程序applet在安全单元(SE)中产生公私钥对，私钥存储在安全单元(SE)中且无法被导出，公钥提交到电子认证中心(CA)申请数字证书；在用户使用富执行环境(REE)中的app进行交易电子签名前，将交易信息发送至安全回显可信应用程序(TA)，安全回显可信应用程序(TA)将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；将回显信息与所述原始信息进行比较，如果比较结果一致，则通过可信执行环境(TEE)中的TA将所述回显信息发送到安全单元(SE)中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
通过移动电子认证可信管理系统将可运行于安全单元(SE)中的安全应用程序applet 下载至安全单元(SE)中，将安全回显可信应用程序(TA)下载至可信执行环境(TEE)，所述安全应用程序applet通过远程下载或工厂烧录的方式加载，所述移动终端还包括富执行环境(REE)，比较结果一致后还包括用户确认比较结果的步骤，所述用户确认比较结果的步骤是在安全回显可信应用程序(TA)中输入密码进行确认和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认。
本发明提供的一种安全的移动终端电子认证方法及系统，信息回显过程，和用户确认过程在可信执行环境(TEE)下进行。数字签名、密码运算过程在安全单元(SE)下进行，用户的私钥存储在安全单元(SE)中，不可导出，避免了现有技术中的诸多问题。如私钥存储在非安全单元(SE)中，容易被盗取，交易信息在非可信执行环境(TEE)环境下确认容易被篡改。通过综合运用TEE技术和安全单元(SE)，保证了签名的唯一性，能大大提高交易安全；所述移动终端可以为任一同时具备可信执行环境(TEE)和安全单元(SE)的智能设备。在用户通常随身携带的一定终端上即可进行，如手机、平板电脑；其核心的私钥存储和签名过程是在安全单元(SE)中完成，可以防止私钥被非法复制，使得交易的安全性非常高；基于可信执行环境(TEE)的TA实现安全回显的方法，能保证所述交易数据不被篡改，能够有效防止木马的远程攻击，进而达到安全性和便利性的有效统一。
根据本发明实施例的安全的移动终端电子认证系统及方法，实现对移动终端的电子认证，具有以下有益效果：
1.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，解决了用户使用外部设备进行密钥存储带来的不便利性。
2.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，用户不需要采购其他外部设备，降低了用户使用成本。
3.采用手机本身的安全单元(SE)进行电子签名和私钥的存储，有别与采用在可信执行环境(TEE)中进行存储私钥和电子签名，提高了安全性。
4.采用运行于可信执行环境(TEE)中的TA程序进行交易的安全回显，复用手机屏幕，确保了用户的交易安全，有别于其他外接设备，使用独立的屏幕进行交易确认。该方法大量减少了另外需要生产硬件设备带来的成本高和用户使用携带不方便的问题，有利于节能减排，节约社会资源。
5.采用运行于可信执行环境(TEE)中的TA程序，复用移动终端屏幕进行交易的安全回显，确保了用户的交易安全。有别于其他可插拔在移动终端内部的安全部件，使用移动终端屏幕，在富执行环境(REE)中的使用app进行交易回显及确认，大大地提高了交易安全性，防止了数据在电子签名之前被篡改。
6.通过移动电子认证可信管理系统对安全单元的applet和TEE中的TA进行管理，可实现系统的高效升级，避免了因为软件升级带来的需要回收相应硬件的问题，减少了使用方的成本和资源的浪费。
7提高利用率，本发明运行于安全单元(SE)中的applet不仅可以在出厂前率先烧录到硬件设备中，也可以通过移动电子认证可信管理系统实现远程加载、更新，管理方便。
本发明可以广泛应用于电子商务，电子政务，网络银行等相关领域，替代目前广泛使用的SIM贴膜卡、音频Key、蓝牙Key等部件，减少社会资源的消耗。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求极其等同限定。

Claims (7)

1.一种安全的移动终端电子认证方法，包括内置于移动终端的能够存储密钥的安全单元SE以及内置于移动终端的可信执行环境TEE，其特征在于，所述安全单元SE为内置于移动终端中的独立安全模块，其中设置有可运行于其中的安全应用程序applet，所述可信执行环境TEE中设置有安全回显可信应用程序TA，安全回显可信应用程序TA可对用户输入交易信息进行回显，用户可比较TA显示结果与用户输入信息是否一致，并通过在安全回显可信应用程序TA中输入密码和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认后，将交易信息明文发送到SE中进行交易签名；包括如下步骤：
步骤S1，终端使用安全应用程序applet在安全单元内部产生公私钥对，私钥存储在安全单元SE中且无法被导出，公钥提交到电子认证服务机构申请数字证书，在完成数字证书申请后，将数字证书存储于安全单元内部；
步骤S2，在用户使用移动终端APP进行交易电子签名前，将交易信息发送至安全回显可信应用程序TA，安全回显可信应用程序TA将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；
步骤S3，将步骤S2中的回显信息与所述原始信息进行比较，如果比较结果一致，则并通过在安全回显可信应用程序TA中输入密码和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认后，通过安全回显可信应用程序TA将所述回显信息明文发送到安全单元SE中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
2.如权利要求1所述的安全的移动终端电子认证方法，其特征在于，在步骤S2中，通过移动电子认证可信管理系统将可运行于安全单元SE中的安全应用程序applet下载至安全单元SE中，将安全回显可信应用程序TA下载至可信执行环境TEE。
3.如权利要求1或2所述的安全的移动终端电子认证方法，其特征在于，所述安全应用程序applet通过远程下载或工厂烧录的方式加载。
4.如权利要求1所述的安全的移动终端电子认证方法，其特征在于，所述移动终端还包括富执行环境REE。
5.如权利要求1所述的安全的移动终端电子认证方法，其特征在于，所述安全单元SE是在移动终端生产过程中就固化在移动终端内部的部件，遵守公钥基础设施技术体系，内部可以产生公私钥对，并设置访问私钥的密码和/或指纹和/或虹膜和/或脸部特征，且私钥无法被导出的电子部件。
6.一种安全的移动终端电子认证系统，包括内置于移动终端的能够存储密钥的安全单元SE以及内置于移动终端的可信执行环境TEE，其特征在于，所述安全单元SE中设置有可运行于其中的安全应用程序applet，所述可信执行环境TEE中设置有安全回显可信应用程序TA，用户使用安全应用程序applet产生公私钥对，私钥存储在安全单元SE中且无法被软件导出或外部设备获得，公钥提交到数字证书认证中心CA申请数字证书；在用户使用富执行环境REE的app进行交易电子签名前，将交易信息发送至安全回显可信应用程序TA，安全回显可信应用程序TA将用户的原始信息在移动终端固有显示屏幕进行回显，得到回显信息；将回显信息与所述原始信息进行比较，如果比较结果一致，则并通过在安全回显可信应用程序TA中输入密码和/或输入用户指纹和/或虹膜和/或脸部特征进行交易确认后，通过安全回显可信应用程序TA将所述回显信息明文发送到安全单元SE中，使用私钥进行电子签名，如果比较结果不一致，则取消交易。
7.如权利要求6所述的安全的移动终端电子认证系统，其特征在于，通过移动电子认证可信管理系统将可运行于安全单元SE中的安全应用程序applet下载至安全单元SE中，将安全回显可信应用程序TA下载至可信执行环境TEE。
CN201610931150.3A 2016-11-01 2016-11-01 一种安全的移动终端电子认证方法及系统 Active CN106506472B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610931150.3A CN106506472B (zh) 2016-11-01 2016-11-01 一种安全的移动终端电子认证方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610931150.3A CN106506472B (zh) 2016-11-01 2016-11-01 一种安全的移动终端电子认证方法及系统

Publications (2)

Publication Number Publication Date
CN106506472A CN106506472A (zh) 2017-03-15
CN106506472B true CN106506472B (zh) 2019-08-02

Family

ID=58318896

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610931150.3A Active CN106506472B (zh) 2016-11-01 2016-11-01 一种安全的移动终端电子认证方法及系统

Country Status (1)

Country Link
CN (1) CN106506472B (zh)

Families Citing this family (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107122645A (zh) * 2017-04-20 2017-09-01 深圳法大大网络科技有限公司 基于移动端和二维码的电子合同签署系统及方法
CN108933660A (zh) * 2017-05-26 2018-12-04 展讯通信（上海）有限公司 基于hdcp的数字内容保护系统
CN107464109B (zh) * 2017-07-28 2020-10-20 中国工商银行股份有限公司 可信移动支付装置、系统和方法
CN107506986A (zh) * 2017-08-04 2017-12-22 深圳市雪球科技有限公司 基于安全环境或可信执行环境的支付方法以及支付系统
CN107493291B (zh) * 2017-08-31 2020-03-27 阿里巴巴集团控股有限公司 一种基于安全元件se的身份认证方法和装置
CN109495885B (zh) * 2017-09-13 2021-09-14 中国移动通信有限公司研究院 认证方法、移动终端、管理系统及蓝牙ic卡
CN109508532A (zh) * 2017-09-14 2019-03-22 展讯通信（上海）有限公司 基于tee的设备安全启动方法、装置及终端
WO2019051839A1 (zh) * 2017-09-18 2019-03-21 华为技术有限公司 一种数据处理的方法及装置
CN109815749B (zh) * 2017-11-21 2021-01-15 华为技术有限公司 控制se的系统、方法及芯片
CN109872148B (zh) * 2017-12-01 2021-06-29 北京握奇智能科技有限公司 基于tui的可信数据处理方法、装置以及移动终端
CN108229956A (zh) * 2017-12-13 2018-06-29 北京握奇智能科技有限公司 网银交易方法、装置、系统以及移动终端
CN108154361B (zh) * 2017-12-22 2020-08-14 恒宝股份有限公司 一种移动终端内嵌u盾的访问方法及移动终端
CN108234509A (zh) * 2018-01-16 2018-06-29 国民认证科技（北京）有限公司 基于tee和pki证书的fido认证器、认证系统及方法
CN108616352B (zh) * 2018-04-13 2022-01-18 北京握奇智能科技有限公司 基于安全元件的动态口令生成方法和系统
CN108768655B (zh) * 2018-04-13 2022-01-18 北京握奇智能科技有限公司 动态口令生成方法和系统
US11734416B2 (en) 2018-04-27 2023-08-22 Huawei Technologies Co., Ltd. Construct general trusted application for a plurality of applications
WO2019206315A1 (zh) * 2018-04-28 2019-10-31 Li Jinghai 一种包括tee的系统及其电子签名系统
CN109559105A (zh) * 2018-11-05 2019-04-02 深圳市恒达移动互联科技有限公司 基于tee及加密芯片的数字钱包生成方法及系统
CN109544137A (zh) * 2018-11-05 2019-03-29 深圳市恒达移动互联科技有限公司 基于tee及nfc的数字钱包生成方法及系统
CN111245620B (zh) * 2018-11-29 2023-10-27 北京中金国信科技有限公司 一种在终端中的移动安全应用架构及其构建方法
CN111242615B (zh) * 2018-11-29 2024-02-20 北京中金国信科技有限公司 一种申请证书的方法和系统
CN109903041A (zh) * 2018-11-30 2019-06-18 阿里巴巴集团控股有限公司 用于区块链交易的区块上链的方法及系统
CN109508562B (zh) * 2018-11-30 2022-03-25 四川长虹电器股份有限公司 基于tee的可信远程验证的方法
CN109495276B (zh) * 2018-12-29 2021-07-09 金邦达有限公司 一种基于se芯片的电子驾照的实现方法、计算机装置、计算机可读存储介质
CN109922056B (zh) 2019-02-26 2021-09-10 创新先进技术有限公司 数据安全处理方法及其终端、服务器
CN110555706B (zh) * 2019-08-30 2024-08-06 北京银联金卡科技有限公司 基于安全单元和可信执行环境的人脸支付安全方法及平台
CN111459869B (zh) * 2020-04-14 2022-04-29 中国长城科技集团股份有限公司 一种数据访问的方法、装置、设备及存储介质
CN113962676A (zh) * 2020-07-20 2022-01-21 华为技术有限公司 交易验证的方法、装置
CN112667743B (zh) * 2020-12-18 2023-11-10 合肥达朴汇联科技有限公司 应用于传输终端的数据上链方法、系统、设备、存储介质
CN112487011B (zh) * 2020-12-18 2023-11-10 合肥达朴汇联科技有限公司 基于区块链的物联网终端数据上链方法及系统
CN113221141B (zh) * 2021-05-06 2022-07-19 杭州复杂美科技有限公司 钱包加密存储方法、签名方法、计算机设备和存储介质
CN113205333B (zh) * 2021-05-06 2022-09-13 杭州复杂美科技有限公司 钱包加密存储方法、签名方法、计算机设备和存储介质
CN113468611B (zh) * 2021-06-28 2022-11-18 展讯通信（上海）有限公司 安全认证方法、系统、设备及介质
CN113592484B (zh) * 2021-07-16 2024-07-12 支付宝(杭州)信息技术有限公司 一种账户的开立方法、系统及装置
CN113935736A (zh) * 2021-10-11 2022-01-14 武汉云中点信息科技有限公司 一种移动端区块链安全交易系统
CN115733517A (zh) * 2022-10-19 2023-03-03 国网河北省电力有限公司营销服务中心 基于hplc的用电信息通信方法、装置、终端
CN115618327B (zh) * 2022-12-16 2023-06-13 飞腾信息技术有限公司 安全架构系统、安全管理方法、计算设备及可读存储介质
CN115618328B (zh) * 2022-12-16 2023-06-13 飞腾信息技术有限公司 安全架构系统、安全管理方法、计算设备及可读存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102855561A (zh) * 2012-07-31 2013-01-02 长沙锐得信息科技有限公司 一种基于安全芯片和声音载波通信的手机支付器及支付方法
CN105528554A (zh) * 2015-11-30 2016-04-27 华为技术有限公司 用户界面切换方法和终端
CN105590201A (zh) * 2015-04-23 2016-05-18 中国银联股份有限公司 移动支付装置及移动支付系统
CN105790938A (zh) * 2016-05-23 2016-07-20 中国银联股份有限公司 基于可信执行环境的安全单元密钥生成系统及方法
CN105991287A (zh) * 2015-02-26 2016-10-05 阿里巴巴集团控股有限公司 一种签名数据的生成及指纹认证请求方法及装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016129863A1 (en) * 2015-02-12 2016-08-18 Samsung Electronics Co., Ltd. Payment processing method and electronic device supporting the same

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102855561A (zh) * 2012-07-31 2013-01-02 长沙锐得信息科技有限公司 一种基于安全芯片和声音载波通信的手机支付器及支付方法
CN105991287A (zh) * 2015-02-26 2016-10-05 阿里巴巴集团控股有限公司 一种签名数据的生成及指纹认证请求方法及装置
CN105590201A (zh) * 2015-04-23 2016-05-18 中国银联股份有限公司 移动支付装置及移动支付系统
CN105528554A (zh) * 2015-11-30 2016-04-27 华为技术有限公司 用户界面切换方法和终端
CN105790938A (zh) * 2016-05-23 2016-07-20 中国银联股份有限公司 基于可信执行环境的安全单元密钥生成系统及方法

Also Published As

Publication number Publication date
CN106506472A (zh) 2017-03-15

Similar Documents

Publication Publication Date Title
CN106506472B (zh) 一种安全的移动终端电子认证方法及系统
CN105391840B (zh) 自动创建目标应用程序
US11223614B2 (en) Single sign on with multiple authentication factors
TW518489B (en) Data processing system for application to access by accreditation
US9160717B2 (en) Systems and methods for using a domain-specific security sandbox to facilitate secure transactions
US9264232B2 (en) Cryptographic device that binds an additional authentication factor to multiple identities
US9871821B2 (en) Securely operating a process using user-specific and device-specific security constraints
CN110826043B (zh) 一种数字身份申请系统及方法、身份认证系统及方法
CN101414909B (zh) 网络应用用户身份验证系统、方法和移动通信终端
CN104247329B (zh) 请求云服务的装置的安全补救
US9780950B1 (en) Authentication of PKI credential by use of a one time password and pin
CN105991287B (zh) 一种签名数据的生成及指纹认证请求方法及装置
CN112953970B (zh) 一种身份认证方法及身份认证系统
CN103888252A (zh) 一种基于uid、pid、appid控制应用访问权限方法
CN102822835B (zh) 个人便携式安全网络访问系统
CN115618399A (zh) 基于区块链的身份认证方法、装置、电子设备和可读介质
CN108932421A (zh) 一种身份认证方法及装置
JP2019533852A (ja) プライバシーを損なうことなしに製品および／またはサービスをユーザに提供するためのソフトウェアベースのスイッチ
US8152074B1 (en) Method for preparing by a smart card issuer an anonymous smart card and resulting structure
CN109962785A (zh) 一种包括tee的系统及其电子签名系统
CN112669021B (zh) 一种基于移动终端的数字货币硬件钱包
US12039527B2 (en) Service providing system, service providing device, service providing method, and service providing program
CN111178896B (zh) 乘车支付方法、装置及存储介质
CN105187447B (zh) 一种终端安全登录方法
US20140282925A1 (en) Personal Authentication Device and System for Securing Transactions on a Mobile Device

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant