CN106789067B - 一种基于TEE和可穿戴设备的手机网银Key方法及系统 - Google Patents

一种基于TEE和可穿戴设备的手机网银Key方法及系统 Download PDF

Info

Publication number
CN106789067B
CN106789067B CN201611143786.8A CN201611143786A CN106789067B CN 106789067 B CN106789067 B CN 106789067B CN 201611143786 A CN201611143786 A CN 201611143786A CN 106789067 B CN106789067 B CN 106789067B
Authority
CN
China
Prior art keywords
certificate
mobile phone
bank
key
tee
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611143786.8A
Other languages
English (en)
Other versions
CN106789067A (zh
Inventor
鲁洪成
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing WatchSmart Technologies Co Ltd
Original Assignee
Beijing WatchSmart Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing WatchSmart Technologies Co Ltd filed Critical Beijing WatchSmart Technologies Co Ltd
Priority to CN201611143786.8A priority Critical patent/CN106789067B/zh
Publication of CN106789067A publication Critical patent/CN106789067A/zh
Application granted granted Critical
Publication of CN106789067B publication Critical patent/CN106789067B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G06Q20/38215—Use of certificates or encrypted proofs of transaction rights
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/42—Confirmation, e.g. check or permission by the legal debtor of payment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M1/00—Substation equipment, e.g. for use by subscribers
    • H04M1/72—Mobile telephones; Cordless telephones, i.e. devices for establishing wireless links to base stations without route selection
    • H04M1/724—User interfaces specially adapted for cordless or mobile telephones
    • H04M1/72403—User interfaces specially adapted for cordless or mobile telephones with means for local support of applications that increase the functionality
    • H04M1/72406—User interfaces specially adapted for cordless or mobile telephones with means for local support of applications that increase the functionality by software upgrading or downloading

Abstract

本发明涉及一种基于TEE和可穿戴设备的手机网银Key方法及系统。本发明所述的方法包括以下步骤：(1)应用预置，在可穿戴设备上预装cos操作系统、Key Applet及证书下装根证书，在手机终端进行可信执行环境TEE的预置及预装银行手机银行应用APP；(2)证书生成，证书下装模块向银行服务器端的银行证书中心CA提交证书请求，银行证书中心CA根据证书下装模块提交的证书请求，实时生成证书；(3)证书下发，证书下装模块通过手机终端将银行证书中心CA生成的证书下载并安装到可穿戴设备上。采用本发明所述的方法和系统，用户可以把Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key。

Description

一种基于TEE和可穿戴设备的手机网银Key方法及系统
技术领域
本发明属于移动支付技术领域，具体涉及一种基于TEE和可穿戴设备的手机网银Key方法及系统。
背景技术
随着移动互联网技术及电子商务的发展，使用手机网银Key进行支付、转账的应用场景越来越多，因而手机网银Key使用越来越广泛，但需要单独配置和购买。
可信执行环境TEE（Trusted Execution Environment）是移动设备（包含智能手机、平板电脑、机顶盒、智能电视等）主处理器上的一个安全区域，其可以保证加载到该环境内部的代码和数据的安全性、机密性以及完整性。TEE提供一个隔离的执行环境，提供的安全特征包含：隔离执行、可信应用的完整性、可信数据的机密性、安全存储等。总体来说，TEE提供的执行空间比常见的移动操作系统（如IioS、Android等）提供更高级别的安全性；比安全元素SE（Secure Element，如智能卡、SIM卡等）提供更多的功能。
移动设备上，TEE环境与移动OS并行存在，为丰富的移动OS环境提供安全功能。运行在TEE的应用称为可信应用（即TA，Trusted Apps），其可以访问设备主处理器和内存的全部功能，硬件隔离技术保护其不受安装在主操作系统环境的用户Apps影响。而TEE内部的软件和密码隔离技术可以保护每个TA不相互影响，这样可以为多个不同的服务提供商同时使用，而不影响安全性。
可穿戴设备即直接穿在身上，或是整合到用户的衣服或配件的一种便携式设备。可穿戴设备不仅仅是一种硬件设备，更是通过软件支持以及数据交互、云端交互来实现强大的功能，可穿戴设备将会对我们的生活、感知带来很大的转变。可穿戴设备多以具备部分计算功能、可连接手机及各类终端的便携式配件形式存在，主流的产品形态包括以手腕为支撑的watch类(包括手表和腕带等产品)，以脚为支撑的shoes类(包括鞋、袜子或者将来的其他腿上佩戴产品)，以头部为支撑的Glass类(包括眼镜、头盔、头带等)，以及智能服装、书包、拐杖、配饰等各类非主流产品形态。
随着可穿戴设备技术的迅速发展，可穿戴设备也被许多用户接受并逐渐普及，功能也越来越丰富，但现有的可穿戴设备还未见有作为手机网银Key的报道。因而，目前急需一种技术，可以把银行的网银应用下载到可穿戴设备的安全芯片中，用户不需要额外购买新的手机网银Key即可安全完成支付、转账，而且一个可穿戴设备可以同时加载多个网银应用。
发明内容
针对现有技术中存在的缺陷，本发明的目的是提供一种基于TEE和可穿戴设备的手机网银Key方法及系统。该方法和系统能够把Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key，使用可穿戴设备替代网银Key，并使用TEE技术保证在手机上使用的安全性。
为达到以上目的，本发明采用的技术方案是：
一种基于TEE和可穿戴设备的手机网银Key方法，包括以下步骤：
(1)应用预置，在可穿戴设备上预装cos操作系统、Key Applet及证书下装OTA根证书，在手机终端进行可信执行环境TEE的预置及预装银行手机银行应用APP；
(2)证书生成，证书下装模块向银行服务器端的银行证书中心CA提交证书请求，银行证书中心CA根据证书下装模块提交的证书请求，实时生成证书；
(3)证书下发，证书下装模块通过手机终端将银行证书中心CA生成的证书下载并安装到可穿戴设备上。
步骤(1)中，所述的可信执行环境TEE中安装手机银行对应的手机银行可信应用TA，手机银行可信应用TA对根据手机银行的应用ID、包名唯一信息进行验证，确保仅手机银行可以访问手机银行可信应用TA。
进一步，步骤(2)中，所述的证书生成具体包括以下步骤：
1)用户点击手机银行APP的获取公钥信息菜单；
2)通过手机银行APP与可信应用TA交互，可信应用TA验证手机银行APP的合法性；
3)可信应用TA通过接口访问可穿戴设备，并请求获取可穿戴设备的公钥信息；
4)可穿戴设备产生公私钥对，并返回公钥信息；
5)公钥信息通过可信应用TA返回手机银行APP；
6)手机银行APP把可穿戴设备返回的公钥信息提交证书下装模块；
7)证书下装模块进行数据组装，生产P10证书请求并发送给银行证书中心CA；
8)银行证书中心CA根据P10证书请求实时生成证书，并返回给证书下装模块。
进一步，步骤(3)中，所述的证书下载安装包括以下步骤：
1)证书下装模块把证书发送给手机银行APP；
2)手机银行APP通过可信应用TA，把证书发送给可穿戴设备；
3)可穿戴设备验证证书的合法性，并进行安装；
4)可穿戴设备返回安装成功信息给可信应用TA；
5)可信应用TA透传返回状态给手机银行APP。
进一步，证书下装模块与手机终端上的手机银行APP之间的空中下载OTA通道采用TLS协议，保证通道的完整性和保密性。
进一步，所述的可信执行环境TEE与可穿戴设备之间采用安全蓝牙接口或wifi接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。
本发明还提供了一种基于TEE和可穿戴设备的手机网银Key系统，包括以下装置：银行证书中心CA，证书注册审批系统RA，安装有富执行环境REE模块和可信执行环境TEE模块的手机终端，安装有操作系统cos及Key应用的可穿戴设备；
其中，所述的银行证书中心CA部署在银行服务器端，用于根据证书注册审批系统RA提交的证书请求实时生成证书；
所述的证书注册审批系统RA中设置有证书下装模块，用于为可穿戴设备申请并下发证书。
进一步，所述的富执行环境REE模块中安装有手机银行App，以APK应用形式提供，用于为用户提供手机银行的相关功能展示。
进一步，所述的REE模块中还设有TEE Client API接口，该接口是系统层提供的和可信执行环境TEE模块交互的唯一通路，通过调用该类API接口完成和可信执行环境TEE系统交互。
进一步，所述的可信执行环境TEE模块包括手机银行可信应用TA、可信应用TA操作接口及与TEE Client API接口连接的安全通道，用于：
(1)提供创建安全通道指令；
(2)提供可信应用TA的管理指令；
(3)可信执行环境TEE作为通道与SE安全元件中应用通信；
所述的手机银行可信应用TA对应于手机银行APP，用于进行手机网银的相关操作，包括输入银行帐户、密码、访问Key应用。
进一步，银行证书中心CA与证书下装模块物理上采用专线方式连接，银行证书中心CA与证书下装模块预先约定对称密钥，在通讯过程中采用一次一密的方式进行数据的交互。
进一步，证书下装模块与手机银行APP之间通过可穿戴设备预装的证书下装OTA根证书来验证服务器的合法性，下载通道采用TLS协议，保证通道的完整性和保密性。
进一步，可信执行环境TEE模块中安装手机银行对应的手机银行可信应用TA，可信应用TA对根据手机银行的应用ID、包名唯一信息进行验证，确保仅手机银行能够访问TEE模块中的可信应用TA；
可信执行环境TEE与可穿戴设备采用安全蓝牙接口、wifi接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。
本发明的效果在于： 采用本发明所述的方法和系统，可以把Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key，用户只需要携带手机、可穿戴设备，不需要其他设备即可方便的进行银行转账、支付等操作。具体来说，效果如下：
1、用户购买了可穿戴设备后不需要重新购买网银key，为用户节约资金；
2、扩展了可穿戴设备的应用；
3、使用TEE（Trusted Execution Environment可信执行环境）保证了手机可以安全的进行网银证书下载、网银使用过程的安全性。
附图说明
图1是本发明具体实施方式中所述一种基于TEE和可穿戴设备的手机网银Key系统的结构图；
图2是本发明具体实施方式中所述一种基于TEE和可穿戴设备的手机网银Key方法的流程图；
图3是本发明具体实施方式中应用预置的流程图；
图4是本发明具体实施方式中证书生成的流程图；
图5是本发明具体实施方式中证书下发的流程图。
具体实施方式
下面结合附图和具体实施方式对本发明作进一步描述。
本发明基于银行证书中心、手机终端、TEE、可穿戴设备,通过OTA (Over the Air空中下载)方式可以把Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key，用户只需要携带手机、可穿戴设备，不需要其他设备即可方便的进行银行转账、支付等操作。
如图1所示，一种基于TEE和可穿戴设备的手机网银Key系统，包括以下装置：银行证书中心CA 1，证书注册审批系统RA 2，安装有REE模块和TEE模块的手机终端3，安装有操作系统cos及Key应用的可穿戴设备4。
其中，所述的银行证书中心CA(certification authority)部署在银行服务器端，用于根据证书下装OTA提交的证书请求，实时生成证书；
所述的证书注册审批系统RA2可以单独设置，也可以设置在银行服务器端，证书注册审批系统RA2中设置有证书下装模块21，主要用于为可穿戴设备申请并下发证书：
(1)提供证书请求管理，包括证书数据的获取、证书请求的组织；
(2)为可穿戴设备申请证书；
(3)证书安全下发。
所述的富执行环境REE(Rich Execution Environment)模块31部署在手机终端，其中安装有手机银行App (Application), 即手机银行客户端应用程序，以APK应用形式提供，主要用于为用户提供手机银行的相关功能展示，包括：
(1)用户注册、登录；
(2)转账；
(3)支付；
(4)余额查询；
(5)日志查询等。
REE模块中还设有TEE Client API接口，系统层提供的和TEE模块(TrustedExecution Environment可信执行环境)交互的唯一通路，手机银行App通过调用该类API接口完成和可信执行环境TEE系统交互。
所述的TEE模块32，即可信执行环境，部署在手机终端，主要用于：
(1)提供创建安全通道指令；
(2)提供可信应用TA的管理指令；
(3)可信执行环境TEE作为通道与SE(安全元件 Secure Element)中应用通信。
所述的TEE模块32中还包括手机银行可信应用TA、可信应用TA操作接口及与TEEClient API接口连接的安全通道，所述的手机银行可信应用TA对应于手机银行APP，用于进行手机网银的相关操作，包括输入银行帐户、密码、访问Key应用等。
所述的可穿戴设备4，包括操作系统cos41及Key应用42，还包括GP规范及安全域(I)SD，用于生成公私钥对、导出公钥及导入公钥证书。
本实施例中，各个数据接口及安全性采取以下方式：
①银行证书中心CA与证书下装模块物理上采用专线方式连接；
银行证书中心CA与证书下装模块预先约定对称密钥，在通讯过程中采用一次一密的（约定密钥+时间戳）方式进行数据的交互。
②证书下装模块与手机银行APP；
通过预装的证书下装根证书，验证服务器的合法性；
下载通道采用TLS协议，保证通道的完整性和保密性。
③手机银行APP与TEE模块；
可信执行环境TEE模块中安装手机银行对应的手机银行可信应用TA，可信应用TA对根据手机银行的应用ID、包名等唯一信息进行验证，确保仅手机银行可以访问TEE模块中的可信应用TA。
④可信执行环境TEE模块与可穿戴设备；
可信执行环境TEE与可穿戴设备采用安全蓝牙接口、wifi接口或其他通讯接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。本实施例中，优选蓝牙接口。
如图2所示，一种基于TEE和可穿戴设备的手机网银Key方法，包括以下步骤：
(1)应用预置S1，在可穿戴设备4上预装cos(操作系统)、Key Applet(应用程序)及证书下装OTA根证书，在手机终端进行可信执行环境TEE的预置并预装银行手机银行应用；
(2)证书生成S2，证书下装模块向银行服务器端的银行证书中心CA提交证书请求，银行证书中心CA根据证书下装模块提交的证书请求，实时生成证书；
(3)证书下发S3，证书下装模块通过手机终端将银行证书中心CA生成的证书下载并安装到可穿戴设备上。
本实施例中，步骤(2)中，证书下装OTA与手机银行CA之间的通道采用TLS协议，保证通道的完整性和保密性。
步骤(2) 中，所述的可信执行环境TEE中安装手机银行对应的手机银行可信应用TA，手机银行可信应用TA对根据手机银行的应用ID、包名等唯一信息进行验证，确保仅手机银行可以访问手机银行可信应用TA。
步骤(3)中，证书下发时需要保证证书下发过程中的安全性，所述的可信执行环境TEE与可穿戴设备之间采用安全蓝牙接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。
本实施例中，如图3所示，步骤(1)中，所述的应用预置包括：
步骤S11，在可穿戴设备中预装cos操作系统、Key Applet及证书下装OTA根证书；
步骤S12，在手机终端上进行TEE的预置；
在手机终端预装银行手机银行APP。
如图4所示，步骤(2)中，所述的证书生成包括以下步骤：
步骤S21，用户点击手机银行APP的获取公钥信息菜单（下载成功后此菜单隐藏）；
步骤S22，通过手机银行APP与可信应用TA交互，可信应用TA验证手机银行APP的合法性；
步骤S23，可信应用TA通过蓝牙接口访问可穿戴设备，并请求获取可穿戴设备的公钥信息；
步骤S24，可穿戴设备产生公私钥对，并返回公钥信息；
步骤S25，公钥信息通过可信应用TA返回手机银行APP；
步骤S26，手机银行APP把可穿戴设备返回的公钥信息提交证书下装模块；
步骤S27，证书下装模块进行数据组装，生产P10证书请求(PKCS#10Certification Request，证书的一种文件格式)并发送给银行证书中心CA；
步骤S28，银行证书中心CA根据P10实时生成证书，并返回给证书下装模块。
如图5所示，步骤(3)中，所述的证书下载安装包括以下步骤：
步骤S31，证书下装模块把证书发送给手机银行证书中心CA；
步骤S32，手机银行证书中心CA通过可信应用TA，把证书发送给可穿戴设备；
步骤S33，可穿戴设备验证证书的合法性，并进行安装；
步骤S34，可穿戴设备返回安装成功信息给可信应用TA；
步骤S35，可信应用TA透传返回状态给手机银行APP。
通过上述实施例可以看出，本发明技术方案带来的有益效果如下：采用本发明所述的方法和系统，可以把Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key，用户只需要携带手机、可穿戴设备，不需要其他设备即可方便的进行银行转账、支付等操作。
本领域技术人员应该明白，本发明所述的方法和系统并不限于具体实施方式中所述的实施例，上面的具体描述只是为了解释本发明的目的，并非用于限制本发明。本领域技术人员根据本发明的技术方案得出其他的实施方式，同样属于本发明的技术创新范围，本发明的保护范围由权利要求及其等同物限定。

Claims (5)

1.一种基于TEE和可穿戴设备的手机网银Key方法，包括以下步骤：
(1)应用预置，在可穿戴设备上预装cos操作系统、Key Applet及证书下装OTA根证书，在手机终端进行可信执行环境TEE的预置及预装银行手机银行应用APP；
(2)证书生成，证书下装模块向银行服务器端的银行证书中心CA提交证书请求，银行证书中心CA根据证书下装模块提交的证书请求，实时生成证书；
(3)证书下发，证书下装模块通过手机终端将银行证书中心CA生成的证书下载并安装到可穿戴设备上；
步骤(1)中，所述的可信执行环境TEE中安装手机银行对应的手机银行可信应用TA，手机银行可信应用TA对根据手机银行的应用ID、包名唯一信息进行验证，确保仅手机银行可以访问手机银行可信应用TA；
通过将Key应用和证书下载到可穿戴设备，使可穿戴设备成为一个物理的Key；
步骤(2)中，所述的证书生成具体包括以下步骤：
1)用户点击手机银行APP的获取公钥信息菜单；
2)通过手机银行APP与可信应用TA交互，可信应用TA验证手机银行APP的合法性；
3)可信应用TA通过接口访问可穿戴设备，并请求获取可穿戴设备的公钥信息；
4)可穿戴设备产生公私钥对，并返回公钥信息；
5)公钥信息通过可信应用TA返回手机银行APP；
6)手机银行APP把可穿戴设备返回的公钥信息提交证书下装模块；
7)证书下装模块进行数据组装，生产P10证书请求并发送给银行证书中心CA；
8)银行证书中心CA根据P10证书请求实时生成证书，并返回给证书下装模块；
步骤(3)中，所述的证书下发包括以下步骤：
1)证书下装模块把证书发送给手机银行APP；
2)手机银行APP通过可信应用TA，把证书发送给可穿戴设备；
3)可穿戴设备验证证书的合法性，并进行安装；
4)可穿戴设备返回安装成功信息给可信应用TA；
5)可信应用TA透传返回状态给手机银行APP；
证书下装模块与手机终端上的手机银行APP之间的空中下载OTA通道采用TLS协议，保证通道的完整性和保密性。
2.如权利要求1所述的一种基于TEE和可穿戴设备的手机网银Key方法，其特征是：所述的可信执行环境TEE与可穿戴设备之间采用安全蓝牙接口或wifi接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。
3.一种基于TEE和可穿戴设备的手机网银Key系统，包括以下装置：银行证书中心CA，证书注册审批系统RA，安装有富执行环境REE模块和可信执行环境TEE模块的手机终端，可穿戴设备；
其中，所述的银行证书中心CA部署在银行服务器端，用于根据证书注册审批系统RA提交的证书请求实时生成证书；
所述的证书注册审批系统RA单独设置，其中设置有证书下装模块，用于为可穿戴设备申请并下发证书；
所述可穿戴设备，包括操作系统cos及Key应用，还包括GP规范及安全域(I)SD，用于生成公私钥对、导出公钥及导入公钥证书；
安装在手机终端的富执行环境REE模块中安装有手机银行App，以APK应用形式提供，用于为用户提供手机银行的相关功能展示；
安装在手机终端的可信执行环境TEE模块包括手机银行可信应用TA、可信应用TA操作接口及与TEE Client API接口连接的安全通道，用于：
(1)提供创建安全通道指令；
(2)提供可信应用TA的管理指令；
(3)可信执行环境TEE作为通道与SE安全元件中应用通信；
可信执行环境TEE模块中安装手机银行对应的手机银行可信应用TA，可信应用TA对根据手机银行的应用ID、包名唯一信息进行验证，确保仅手机银行能够访问TEE模块中的可信应用TA；
所述的手机银行可信应用TA对应于手机银行APP，用于进行手机网银的相关操作，包括输入银行帐户、密码、访问Key应用；
银行证书中心CA与证书下装模块物理上采用专线方式连接，银行证书中心CA与证书下装模块预先约定对称密钥，在通讯过程中采用一次一密的方式进行数据的交互；
证书下装模块与手机银行APP之间通过可穿戴设备预装的证书下装OTA根证书来验证服务器的合法性，下载通道采用TLS协议，保证通道的完整性和保密性。
4.如权利要求3所述的一种基于TEE和可穿戴设备的手机网银Key系统，其特征在于：所述的富执行环境REE模块中还设有TEE Client API接口，该接口是系统层提供的和可信执行环境TEE模块交互的唯一通路，通过调用该API接口完成和可信执行环境TEE系统交互。
5.如权利要求3所述的一种基于TEE和可穿戴设备的手机网银Key系统，其特征在于：
可信执行环境TEE与可穿戴设备采用安全蓝牙接口、wifi接口，数据传输采用非对称密钥协商临时会话密钥，通过会话密钥进行数据的加密，对数据进行保护。
CN201611143786.8A 2016-12-13 2016-12-13 一种基于TEE和可穿戴设备的手机网银Key方法及系统 Active CN106789067B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201611143786.8A CN106789067B (zh) 2016-12-13 2016-12-13 一种基于TEE和可穿戴设备的手机网银Key方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611143786.8A CN106789067B (zh) 2016-12-13 2016-12-13 一种基于TEE和可穿戴设备的手机网银Key方法及系统

Publications (2)

Publication Number Publication Date
CN106789067A CN106789067A (zh) 2017-05-31
CN106789067B true CN106789067B (zh) 2022-04-22

Family

ID=58876181

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611143786.8A Active CN106789067B (zh) 2016-12-13 2016-12-13 一种基于TEE和可穿戴设备的手机网银Key方法及系统

Country Status (1)

Country Link
CN (1) CN106789067B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019072039A1 (zh) * 2017-10-09 2019-04-18 华为技术有限公司 一种业务证书管理方法、终端及服务器
CN108616352B (zh) * 2018-04-13 2022-01-18 北京握奇智能科技有限公司 基于安全元件的动态口令生成方法和系统
CN108769043B (zh) * 2018-06-06 2021-02-02 中国联合网络通信集团有限公司 可信应用认证系统和可信应用认证方法
WO2020047868A1 (zh) 2018-09-07 2020-03-12 华为技术有限公司 一种业务处理方法及设备
CN111242615B (zh) * 2018-11-29 2024-02-20 北京中金国信科技有限公司 一种申请证书的方法和系统
CN110166257A (zh) * 2019-06-19 2019-08-23 武汉墨仗信息科技股份有限公司 一种基于移动ca证书的公共资源交易数据签名方法及系统
CN110740136B (zh) * 2019-10-22 2022-04-22 中国建设银行股份有限公司 面向开放银行的网络安全控制方法及开放银行平台
CN112583894A (zh) * 2020-11-24 2021-03-30 福建联迪商用设备有限公司 一种Android终端安全连接的方法及终端
CN117647965B (zh) * 2024-01-29 2024-04-30 西安热工研究院有限公司 一种dcs控制器可信策略下装方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103793815A (zh) * 2014-01-23 2014-05-14 武汉天喻信息产业股份有限公司 适用于银行卡和行业卡的移动智能终端收单系统及方法
CN104272647A (zh) * 2012-03-19 2015-01-07 诺基亚公司 用于从外部传感器向安全环境提供信息认证的方法和装置
CN104850990A (zh) * 2015-05-27 2015-08-19 拉卡拉支付有限公司 一种支付方法及系统、key终端和key支撑系统
CN105812332A (zh) * 2014-12-31 2016-07-27 北京握奇智能科技有限公司 数据保护方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104272647A (zh) * 2012-03-19 2015-01-07 诺基亚公司 用于从外部传感器向安全环境提供信息认证的方法和装置
CN103793815A (zh) * 2014-01-23 2014-05-14 武汉天喻信息产业股份有限公司 适用于银行卡和行业卡的移动智能终端收单系统及方法
CN105812332A (zh) * 2014-12-31 2016-07-27 北京握奇智能科技有限公司 数据保护方法
CN104850990A (zh) * 2015-05-27 2015-08-19 拉卡拉支付有限公司 一种支付方法及系统、key终端和key支撑系统

Also Published As

Publication number Publication date
CN106789067A (zh) 2017-05-31

Similar Documents

Publication Publication Date Title
CN106789067B (zh) 一种基于TEE和可穿戴设备的手机网银Key方法及系统
EP3121752B1 (en) Mobile payment device and method
US20150310427A1 (en) Method, apparatus, and system for generating transaction-signing one-time password
KR101210260B1 (ko) 통합센터를 이용한 유심칩기반 모바일 오티피 인증장치 및 인증방법
EP3048553B1 (en) Method for distributing applets, and entities for distributing applets
KR20100136329A (ko) 인덱스 교환을 통해 생성되는 복수 인증 방식 네트워크 형 오티피 인증을 통한 휴대폰 결제 방법 및 시스템과 이를 위한 기록매체
KR101625222B1 (ko) 씨드 조합 방식의 오티피 운영 방법
KR20170087073A (ko) 씨드 조합 방식의 네트워크 형 오티피 제공 방법
KR101625219B1 (ko) 사용자 매체를 이용한 다중 코드 생성 방식의 네트워크 형 오티피 제공 방법
KR20100136318A (ko) 인덱스 교환을 통한 코드 조합 방식 오티피 생성 방법 및 시스템과 이를 위한 기록매체
KR20200080214A (ko) 프로그램 기반의 네트워크 형 오티피 제공 방법
KR102131375B1 (ko) 네트워크 형 오티피 제공 방법
KR20150090005A (ko) 생체 인식을 이용한 네트워크 형 오티피 제공 방법
KR101625218B1 (ko) 사용자 매체를 이용한 씨드 조합 방식의 네트워크 형 오티피 제공 방법
KR101653822B1 (ko) 사용자 매체를 이용한 씨드 조합 방식의 오티피 운영 방법
KR101645555B1 (ko) 사용자 매체를 이용한 이중 코드 생성 방식의 네트워크 형 오티피 제공 방법
KR20130075762A (ko) 네트워크형 오티피 운영 시스템
CN113626777A (zh) 身份认证方法、存储介质和电子设备
KR20160105962A (ko) 이중 코드 생성 방식의 오티피 운영 방법
KR20170088320A (ko) 비접촉 매체를 이용한 다중 코드 생성 방식의 오티피 운영 방법
KR20160030388A (ko) 씨드 조합 방식의 네트워크 형 오티피 제공 방법
KR20170109510A (ko) 매체 인증 기반 서비스 제공 방법
KR20160004248A (ko) 씨드 조합 방식의 네트워크 형 오티피 제공 방법
KR20170018874A (ko) 매체 인증 기반 서비스 제공 방법
KR20180043781A (ko) 매체 인증 기반 서비스 제공 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant