CN108012268A - 一种手机终端SIM卡及安全使用App的方法、介质 - Google Patents

一种手机终端SIM卡及安全使用App的方法、介质 Download PDF

Info

Publication number
CN108012268A
CN108012268A CN201711293104.6A CN201711293104A CN108012268A CN 108012268 A CN108012268 A CN 108012268A CN 201711293104 A CN201711293104 A CN 201711293104A CN 108012268 A CN108012268 A CN 108012268A
Authority
CN
China
Prior art keywords
cpk
mobile phone
application software
user
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201711293104.6A
Other languages
English (en)
Other versions
CN108012268B (zh
Inventor
李维刚
王飞欣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Hufu Information Technology Co Ltd
Original Assignee
Beijing Hufu Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Hufu Information Technology Co Ltd filed Critical Beijing Hufu Information Technology Co Ltd
Priority to CN201711293104.6A priority Critical patent/CN108012268B/zh
Publication of CN108012268A publication Critical patent/CN108012268A/zh
Application granted granted Critical
Publication of CN108012268B publication Critical patent/CN108012268B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04WWIRELESS COMMUNICATION NETWORKS
    • H04W12/00Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06Authentication
    • GPHYSICS
    • G06COMPUTING; CALCULATING; COUNTING
    • G06KGRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K19/00Record carriers for use with machines and with at least a part designed to carry digital markings
    • G06K19/06Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
    • G06K19/067Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components
    • G06K19/07Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips
    • G06K19/077Constructional details, e.g. mounting of circuits in the carrier
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04WWIRELESS COMMUNICATION NETWORKS
    • H04W8/00Network data management
    • H04W8/22Processing or transfer of terminal data, e.g. status or physical capabilities
    • H04W8/24Transfer of terminal data

Abstract

本发明公开了一种保证应用软件在手机终端上安全使用的SIM卡以及相应的方法,该SIM卡包括:射频天线、射频驱动单元、MCU安全芯片和SIM卡标准连接触点,并顺次连接;所述MCU安全芯片通过SIM卡标准连接触点连接至手机终端;在所述MCU安全芯片通过SIM卡标准连接触点将IMSI发送给手机终端,由手机终端与电信运营商之间进行用户身份鉴权;所述MCU安全芯片通过射频驱动单元和射频天线与外部的读卡设备相配合,保证所述应用软件的安全使用;所述MCU安全芯片存储有一个或多个用户应用标识CPK私钥和一个IMSI CPK标识私钥。通过本发明的技术方案,解决了手机终端应用软件的安全应用问题。

Description

一种手机终端SIM卡及安全使用App的方法、介质
技术领域
[0001] 本发明涉及移动通信技术及信息安全领域,尤其涉及一种支持CPK的手机终端SIM 卡及安全使用App的方法、介质。
背景技术
[0002] 如今手机已经成为人们出行所必需带的物品之一,甚至可说是首要必需携带的。 随着其重要性的日益增加,越来越多的厂家都将目光投向手机的相关应用产品与技术。目 前NFC、RFID-S頂等手机卡技术已日渐成熟,出现了很多相关的手机应用,如手机门禁、手机 支付、手机消费等。近年来移动互联网的高速发展,金融服务向互联网化、移动化的方向发 展已是大势所趋,金融机构纷纷通过布局手机银行进行变革与创新。据统计,2016年我国 TOP2〇的手机银行月均活跃用户规模达12494万,预计全部银行的月均活跃用户约K5亿, 2016年全年手机银行市场超过百万亿规模。
[0003]不过值得注意的是,伴随着金融服务向移动端发展,移动端的安全问题也随之而 来,包括支付密码的盗取、键盘录制、非法钓鱼网站、远程控制等,不安全性是手机银行显著 存在的问题。因此如何将传统服务当中的安全方案同样放在移动端,为移动端的金融服务 业务提供安全保障成为当下金融机构迫切需要解决的问题,也是移动金融落地发展和迈向 成熟的关键所在。
[0004] 从央行政策监管方面,《关于进一步加强银行卡风险管理的通知》(银发〔2016〕170 号)也要求严格手机客户端软件安全管理,打造可信手机支付执行环境。针对手机木马病 毒、虚假短信、伪基站等欺诈手段,央行鼓励手机厂商综合运用新技术提供硬件级安全保 护,提升支付敏感信息防护能力和支付交易安全强度。目前,在非接触式用户身份认证应用 领域中Ml (Mifare one)卡使用比较广泛,但其采用的专用不公开硬件逻辑算法已被非法破 解,用户信息存在安全隐患,而具备智能刷卡功能的RFID-SIM手机卡已有逐步取代Ml卡的 趋势。本发明的核心是支持CPK的RFID-SIM卡,直接在传统的SIM上实现了芯片级的公钥体 制安全,同时集成了RFID射频卡功能,集通信、安全、RFID技术于一体,真正了实现了手机 卡,解决了现阶段的手机应用安全性问题。
发明内容
[0005] 为解决上述技术问题,本发明公开了一种保证应用软件在手机终端上安全使用的 SIM卡,该SIM卡包括:射频天线、射频驱动单元、M⑶安全芯片和SIM卡标准连接触点,并顺次 连接;
[0006] 所述MCU安全芯片通过SIM卡标准连接触点连接至手机终端;
[0007]在所述MCU安全芯片中存储有MSI用户身份鉴权信息,通过SIM卡标准连接触点将 頂SI发送给手机终端,由手机终端与电信运营商之间进行用户身份鉴权;
[000S]所述M⑶安全芯片通过射频驱动单元和射频天线与外部的读卡设备相配合,保证 所述应用软件的安全使用;
[0009] 所述M⑶安全芯片存储有一个或多个用户应用CPK标识私钥和一个IMSI CPK标识 私钥;
[0010] 所述用户应用CPK标识私钥,是CPK密钥管理中心根据所述頂SI CPK标识私钥签名 用户应用标识得到的密钥申请信息产生并分发给MCU安全芯片的。
[0011] 根据本发明的实施例,优选的,所述MCU安全芯片中包含:移动通信模块、CPK安全 模块和EFlash芯片存储区;
[0012] 所述移动通信模块负责手机终端与基站间的通信和定位功能;
[0013] 所述CPK安全模块负责CPK公钥密码体制的密码学算法与协议实现;
[0014] 所述EFlash数据存储区是M⑶安全芯片的安全存储区,用于存储移动通信模块的 相关参数、数据以及CPK安全模块的相关数据。
[0015] 根据本发明的实施例,优选的,所述应用软件通过标准的7816接口、射频天线或手 机终端的蓝牙模块实现对CPK安全模块的调用。
[0016] 根据本发明的实施例,优选的,所述CPK安全模块对頂SI CPK标识私钥和应用软件 的用户应用CPK标识私钥加密后存储于EFlash安全数据区。
[0017] 根据本发明的实施例,优选的,所述应用软件通过上述方法运行。
[0018] 为解决上述技术问题,本发明公开了一种在手机终端上安全使用应用软件的方 法,该方法包括以下步骤:
[0019] (1)启动手机终端的应用软件,判断是否存在该应用软件对应的用户应用CPK标识 密钥,如果是,则跳转至步骤(6),否则跳转至步骤⑵;
[0020] (2)调用手机终端SIM卡中的IMSI CPK标识私钥对应用软件的用户应用标识进行 签名;
[0021] (3)应用软件将此签名信息作为密钥申请信息发给密钥管理中心;
[0022] ⑷密钥管理中心对所述签名信息进行验证,如果验证通过,生成该应用软件的用 户应用CPK标识私钥返回所述应用软件,否则跳转至步骤(7);
[0023] (5)将所述应用软件的用户应用CPK标识私钥写入所述手机终端S顶卡;
[0024] ⑹该应用软件正常运行;
[0025] ⑺结束。
[0026] 所述用户应用CPK标识密钥包括用户应用CPK标识私钥和用户应用CPK标识公钥。
[0027] 根据本发明的实施例,优选的,所述步骤(4)中,密钥管理中心验证签名的真实性 和唯一性,以确保所述用户应用标识的真实性,并且是首次申请密钥。
[0028] 根据本发明的实施例,优选的,所述步骤⑷中,密钥管理中心将私钥矩阵与用户 应用标识通过CPK算法计算对应的用户应用CPK标识私钥。
[0029] 根据本发明的实施例,优选的,所述应用软件的用户应用标识包括:手机号、用户 姓名、身份证号、社保卡和银行卡号等。
[0030] 根据本发明的实施例,优选的,在所述步骤⑴之前,由运营商预制IMSI CPK标识 私钥,并加密存储于SIM存储区中。
[0031] 为解决上述技术问题,本发明公开了一种位于手机终端上的可读计算机存储介 质,该计算机存储介质存储有计算机程序,通过执行所述计算机程序实现下述方法:
[0032] (1)启动手机的应用软件时,判断是否存在该应用软件对应的用户应用CPK标识密 钥,如果是,则跳转至步骤⑸,否则跳转至步骤⑵;
[0033] ⑵调用手机SIM卡中的IMSI CPK标识私钥对应用软件的用户应用标识进行签名;
[0034] (3)应用软件将此签名作为密钥申请信息发给密钥管理中心;
[0035] ⑷应用软件接收到密钥管理中心返回的用户应用CPK标识私钥后,将所述用户应 用CPK标识私钥写入所述手机SIM卡;
[0036] (5)该应用软件正常运行;
[0037] ⑹结束。
[0038]所述用户应用CPK标识密钥包括用户应用CPK标识私钥和用户应用cpk标识公钥。 [0039]为解决上述技术问题,本发明公开了 一种通过上述方法获得的用户应用CPK标识 私钥开启门禁的方法,该方法包括:
[0040] (1)手机终端与门禁终端建立通信连接,开门应用软件向门禁终端发起一个开门 申请;
[0041] (2)门禁终端将该开门申请发送给门禁服务器;
[0042] (3)门禁服务器通过门禁终端返回给开门应用软件一个随机数;
[0043] (4)开门应用软件采用用户应用CPK标识私钥对所述随机数和时间戳进行数字签 名后,通过门禁终端发送给门禁服务器;
[0044] (5)门禁服务器对签名进行验签,如果验签通过,则转入步骤⑹,否则向门禁终端 发送拒绝开锁指令;
[0045] ⑹门禁终端接到开锁指令,执行开锁;
[0046] ⑺结束。
[0047]根据本发明的实施例,优选的,所述步骤(5)中,在验签通过后,门禁服务器还需要 检查用户应用标识是否在门禁白名单中,若在白名单中则为合法授权用户,转入步骤(6), 否则向门禁终端发送拒绝开锁指令。
[0048]根据本发明的实施例,优选的,所述步骤(1)中手机终端通过近场通信NFC、无线通 信网络或者蓝牙通信的方式与门禁终端建立无线通信连接。
附图说明
[0049]为了更清楚地说明本发明实施例或现有技术中的技术方案,下面将对实施例中所 需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明的一些实施 例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获 得其他的附图。
[0050] 图1本发明的逻辑结构图
[0051] 图2本发明的IMSI预置密钥分发流程 [0052]图3本发明的用户密钥分发流程 [0053]图4本发明的安全门禁实施例
具体实施方式
[0054]本发明的目的在于解决现阶段的手机应用安全性问题,提供一种可支持CPK (Combined Public Key)的RFID-S頂手机用户识别卡,在传统手机用户识别卡中嵌入了CPK 公钥体制的安全模块,同时集成了RFID (Radio Frequency Identification)射频卡功能, 实现了通信、安全和近场通信应用功能于一体。
[0055]本发明所涉及的手机卡具有三个显著优势:
[0056] 一、完全兼容传统手机卡的移动通信功能;
[0057]二、集成的RFID功能,拓展了手机的非接触式应用范围,如门禁、公交卡、手机钱包 等;
[0058]三、CPK安全模块可以支持多个标识私钥,为移动应用提供基于标识公钥体制的安 全服务,实现了应用中的身份鉴权,数据完整性、真实性与防抵赖的功能及数据保密性。采 用本发明的手机卡可以广泛的应用于移动电子政务、移动办公、智慧城市和移动支付领域, 打造用户数字身份和为用户提供安全交易保护的机制,为用户提供安全、便捷的应用体验, 满足智慧城市建设和管理对安全实名制的需求。
[0059] 本发明解决其技术问题所采用的技术方案是:一种支持CPK的RFID-SIM手机卡,包 括卡本体以及集成在该卡空间内的卡内电路;该卡内电路包括M⑶(Microcontroller Unit)安全芯片、射频驱动单元、射频天线和SIM卡标准铜制连接触点;射频天线、射频驱动 单元、MCU安全芯片和SM卡标准铜制连接触点顺次相连接;在MCU安全芯片中存储有用户身 份鉴权信息(IMSI,International Mobile Subscriber Identification Number),MCU安 全芯片通过SIM卡标准铜制连接触点连接至手机终端,以将頂SI发送给手机终端,由手机终 端与电信运营商之间进行用户身份鉴权;M⑶安全芯片通过射频驱动单元和射频天线与外 部的读卡设备相配合,实现了安全芯片的非接触式通信,使电子钱包、门禁、公交卡等应用 成为可能。
[0060] 所述MCU安全芯片中还存储有一个或多个用户的CPK标识私钥;所述标识私钥,是 CPK密钥管理中心根据手机用户的标识与CPK私钥矩阵通过计算所产生的,通过安全密钥分 发协议写入安全芯片的用户数字密钥。用户应用标识私钥是通过逻辑加密存储于M⑶安全 芯片,私钥的使用需要通过严格的权限验证,并仅限于在M⑶芯片内使用,上位机无法获得 私钥。MCU安全芯片的C0S程序中除传统的移动通信模块外,还包括了CPK相关的密码学安全 模块,包括了数字签名协议、密钥传递协议、对称加密算法、数字摘要算法、访问控制、安全 状态机和安全报文等子模块功能。
[0061] 所述M⑶安全芯片通过数据链路连接手机终端,并通过手机终端的网络资源以在 线的方式连接密钥管理中心,进行在线的用户应用标识密钥申请。手机卡在交付用户之前, 由运营商预置IMSI标识密钥,頂SI标识密钥为预置密钥,这个密钥只与手机卡有关,与使用 手机卡的人是无关的,通常这个密钥可以由运营商预置,即用户所购买的卡中已经由运营 商预置了 imsi所对应的标识密钥。nisi所对应的密钥可以作为后续实名密钥的安全分发基 础。
[0062] 用户购买卡后,所申请的实名制标识密钥借助于手机终端网络进行在线申请。此 处的在线申请的标识密钥是与使用的人和应用软件关联,如用户的姓名、手机号、银行卡 号、身份证号、邮件地址等,这些标识只有在应用时才能确定,所以只能在使用时在线申请。 申请流程为:
[0063] ⑴手机终端调用IMSI标识私钥对所申请的用户应用标识(如:手机号、用户姓名、 身份证号、社保卡和银行卡号等)进行数字签名;
[0064] (2)将用户应用标识和签名通过手机终端网络发送给密钥管理中心;
[0065] (3)密钥管理中心对用户应用标识的签名进行验证,并检查用户应用标识的唯一 性;
[0066] ⑷密钥管理中心以用户应用标识与私钥矩阵计算对应的标识私钥;
[0067] (5)将计算产生的标识私钥通过安全密钥分发协议写入S頂卡的安全芯片。
[0068] 所述的数据链路采用M⑶安全芯片与手机终端的IS07816接口为连接通道,并通过 扩展APDU指令集,实现手机终端与手机卡在IS07816接口下对CPK密码学运算与处理的数据 流通信。
[0069] 所述的数据链路采用在MCU安全芯片与手机终端之间新增设的以硬件方式体现的 数据传输通道,实现手机终端与MCU安全芯片的CPK安全模块之间的数据传输。
[0070]所述以硬件方式体现的数据传输通道为有线传输通道或无线传输通道。
[0071]所述的数据链路采用在手机用户识别卡上增设与手机终端的已有数据传输设备 相匹配的部件,以实现和手机现有资源的匹配对接,从而实现手机终端与安全芯片的数据 传输。
[0072] 本发明公开了一种支持CPK的RFID-SIM手机卡,所述的CPK标识私钥是以手机卡 (SIM)为载体,以SIM卡内的存储单元和MCU安全芯片的硬件协处理为支撑,建立的支持CPK 相关密码学算法与协议的安全模块。这个标识私钥,是手机客户使用者的应用用户应用标 识与CPK私钥矩阵在CPK密钥管理中心通过组合公钥算法所计算产生的,是只有该用户才拥 有的密钥数据,通过数字签名技术,对客户的网上交易实施身份认证,并且可以签署各种业 务服务协议,确保了交易和协议的唯一、完整和不可否认。这个以手机卡(SIM)为载体,集成 了射频卡功能,存储了 CPK标识私钥,并支持CPK相关的密码学算法与协议的卡即本发明的 支持CPK的RFID-SIM手机卡。标识私钥是通过用户的PIN码进行逻辑加密存储的,使用时需 要先通过验证用户PIN以确定使用者的身份,用户对标识私钥具有完全的自主权,运营商或 应用管理员均无权调用其中的标识私钥,应用此类手机卡的安全应用符合国家的电子签名 法。
[0073] 本发明公开了一种支持CPK的RFID-SIM手机卡,是以具备非接触、支持近距离无线 通信功能、支持移动支付的手机卡为平台,可以采用2.4G通信频率,也可以采用13.56M通信 频率,且手机卡内包括CPK安全模块,可以存储标识私钥和支持密码学相关的算法与协议。 手机卡是基于安全芯片的,通过传输链路,与智能手机端终进行数据通信,智能手机终端在 操作系统0S的管理下,运行应用程序APP完成相关的安全应用(如移动支付)。
[0074]下面将结合本发明实施例中的附图,对本发明实施例中的技术方案进行清楚、完 整地描述,显然,所描述的实施案例仅仅是本发明一部分实施例,而不是全部的实施例。基 于本发明中的实施例,本领域普通技术人员所获得的所有其他实施例,都属于本发明保护 的范围。
[0075] 本发明公开了一种支持CPK的RFID-SIM手机卡,其逻辑结构(如图1)包括M⑶安全 芯片、射频驱动单元、射频天线和SM卡7816标准铜制连接触点;射频天线、射频驱动单元、 MCU安全芯片和SIM卡7816标准铜制连接触点顺次相连接。其中安全芯片中包含了移动通信 模块、CPK安全模块和EFlash芯片存储区;移动通信模块是负责手机与基站间的通信和定位 功能,这与当前普通SM手机卡功能相同;CPK安全模块是负责公钥密码体制的密码学算法 与协议实现,其功能与银行U盾相当;EFlash数据存储区是安全芯片的安全存储区,移动通 信模块的相关参数和数据存储在此,CPK安全模块中的用户私钥、密码学参数、内部文件系 统等也存储于此,对于敏感数据采用逻辑加密后存放。采用本发明的移动应用程序可通过 标准的7816接口、射频天线或移动设备的蓝牙模块实现对安全模块的调用。
[0076] 本发明公开了一种支持CPK的RFID-SIM手机卡,要求移动运营商对外发行卡前预 置IMSI标识密钥,其预置密钥的分发流程如图2所示。移动运营商在向手机SIM卡中设置 IMSI标识之后,将对应的IMSI标识发送到CPK密钥管理中心;密钥管理中心根据IMSI标识与 密钥中心所保存的私钥矩阵通过组合公钥算法协议计算出IMSI标识所对应的标识私钥;密 钥管理中心通过安全密钥分发协议将所生产的IMSI标识私钥回送到SIM手机卡;RFID-SIM 卡接口调用其中的CPK安全模块对IMSI标识私钥加密并存储于EFlash安全数据区。
[0077] 本发明公开了一种支持CPK的RFID-SIM手机卡,通过移动运营商将卡分发给用户 后,用户根据其安全应用的需要,在线申请用户应用标识密钥(注:用户应用标识是根据具 体应用需求,定义的通俗易记、具有唯一性的实名标识,如手机通话相关的业务,其标识以 手机号码作为标识;银行业务,则以银行卡号作为标识;以手机实名制相关业务,则以居民 身份证号为标识;安全邮件系统,则以邮件地址为标识),由于是在线密钥申请与分发,所以 其流程有别于预置密钥的分发流程,具体的密钥申请分发流程如图3所示:(1)手机应用首 次启动时,发现RFID-SIM卡中无此应用所对应标识的密钥时,则调用CPK安全模块的IMSI标 识私钥对用户应用标识进行签名;(2)应用App将此签名作为密钥申请信息发给密钥管理中 心;(3)密钥管理中心验证签名以确定标识的真实性(防止密钥的冒领),再检查此标识是否 已申请密钥;⑷若签名验证与唯一性检查通过,则将私钥矩阵与标识通过组合公钥算法计 算对应的私钥,否则拒绝密钥生产请求;(5)密钥管理中心通过安全分发协议将所生产的标 识私钥返回应用App,而App调用密钥更新接口将标识私钥写入安全芯片。本发明的手机卡 中可以同时支持多个用户应用标识密钥,不同的密钥适用于不同的领域。
[0078] 本发明的RFID-SIM完成了预置密钥的生产和用户应用标识密钥的在线申请后,就 可以开始安全性应用了。在此就以安全门禁的案例介绍本发明的安全性应用的具体实施方 式。本发明的手机卡具有射频功能,用手机可以实现非接触式门禁卡的功能,同时通过射频 通信功能可以调用CPK安全模块,以实现基于数字签名技术的安全门禁功能。其流程如图4 所示,流程描述如下:
[0079] (1)用户持本发明的新型手机卡的手机在门禁终端上刷一下手机,系统自动产生 一个请求开门的申请;
[0080] (2)门禁终端将此申请发送给门禁服务器;
[0081] (3)门禁服务器产生一个随机数作为挑战信息返回门禁终端;
[0082] ⑷门禁终端将此随机数通过射频天线传到手机App软件;
[0083] (5)手机App软件调用安全芯片中的CPK安全模块中的用户应用标识私钥对随机数 和时间戳进行数字签名;
[0084] ⑹再通过射频天线将数字签名信息传给门禁终端;
[0085] ⑺门禁终端将签名信息发到门禁服务器;
[0086] (8)门禁服务器从签名信息中获得签名标识(即用户应用标识),并与公钥矩阵计 算所对应的标识公钥,再用标识公钥验证签名,验证通过后再检查签名时间戳是否在有效 时间内何设定为1分钟,超时无效,可防止复制攻击),满足则转入⑼,否则服务器向门禁 终端发送拒绝开锁指令;
[0087] (9)门禁服务器检查用户应用标识是否在门禁白名单中,若在白名单中则为合法 授权用户,转入(10),否则向门禁终端发送拒绝开锁指令;
[0088] (10)签名验证与白名单检查均通过后,服务器向门禁终端发送开锁指令;
[0089] (11)门禁终端接到指令,执行开锁。
[0090] 上述安全门禁是以近场通信为例的安全应用,还可借助于手机的移动数据网络实 现远程门禁开锁功能,此方案也适用于共享单车的开锁。用户还可以参考本应用案例实现 移动支付、手机银行、电子钱包、加密语音电话等等安全性应用。
[0091] 通过本发明的技术方案,取得了以下技术效果:
[0092] (1)以安全芯片为SIM卡硬件基础,实现了安全与通信两大功能的集成,解决了安 全TF卡的高成本问题和手机硬件的支持问题;
[0093] ⑵以硬件安全芯片的手机卡安全模块,与互联网的银行U盾采用了相同的安全机 制,其安全性和便捷性远高于最近兴起的手机安全盾方案,尤其在手机银行、移动支付领域 可解决突出的安全性问题;
[0094] (3)卡内集成了射频功能,用户只需更换SIM卡就可支持电子钱包、门禁卡和公交 一卡通的功能,不仅实现了手机一卡通,还与安全模块联动解决了近场通信应用的安全问 题,相比用户更换支持NFC功能的手机,本发明更容易被用户所接受,易于推广;
[0095] (4) CPK标识公钥体制是基于标识的,对于实名制具有天然的优势,正好符合工信 部关于手机卡实名制管理的规定,并随着本发明手机卡的普及,基于标识的手机卡将成为 公安部居民身份证后的数字身份证,并可能成为数字世界的用户一卡通,能很好的与智慧 城市、智能家居、远程医疗等物联网有机整合,彻底解决网络世界中的数字身份认证问题。 [0096]以上所述仅为本发明的较佳实施例而己,并非用于限定本发明的保护范围。凡在 本发明的精神和原则之内,所作的任何修改、等同替换以及改进等,均应保护在本发明的保 护范围之内。

Claims (14)

1. 一种保证应用软件在手机终端上安全使用的SM卡,该SIM卡包括:射频天线、射频驱 动单元、MCU安全芯片和S頂卡标准连接触点,并顺次连接; 所述MCU安全芯片通过S頂卡标准连接触点连接至手机终端; 在所述M⑶安全芯片中存储有IMSI用户身份鉴权信息,通过SIM卡标准连接触点将IMSI 发送给手机终端,由手机终端与电信运营商之间进行用户身份鉴权; 所述MCU安全芯片通过射频驱动单元和射频天线与外部的读卡设备相配合,保证所述 应用软件的安全使用; 所述MCU安全芯片存储有一个或多个用户应用CPK标识私钥和一个IMSI CPK标识私钥; 所述用户应用CPK标识私钥,是CPK密钥管理中心根据所述IMSI CPK标识私钥签名用户应用 标识得到的密钥申请信息产生并分发给MCU安全芯片的。
2. 根据权利要求1所述的系统,所述MCU安全芯片中包含:移动通信模块、CPK安全模块 和EFlash芯片存储区; 所述移动通信模块负责手机终端与基站间的通信和定位功能; 所述CPK安全模块负责CPK公钥密码体制的密码学算法与协议实现; 所述EFlash数据存储区是MCU安全芯片的安全存储区,用于存储移动通信模块的相关 参数、数据以及CPK安全模块的相关数据。
3. 根据权利要求1所述的系统,所述应用软件通过标准的7816接口、射频天线或手机终 端的蓝牙模块实现对CPK安全模块的调用。
4. 根据权利要求1所述的系统,所述CPK安全模块对IMSI CPK标识私钥和应用软件的用 户应用CPK标识私钥加密后存储于EFlash安全数据区。
5. 根据权利要求4所述的系统,所述应用软件通过权利要求6-10之一的方法运行。
6. —种在手机终端上安全使用应用软件的方法,该方法包括以下步骤: (1) 启动手机终端的应用软件,判断是否存在该应用软件对应的用户应用CPK标识密 钥,如果是,则跳转至步骤⑹,否则跳转至步骤⑵; (2) 调用手机终端S顶卡中的IMSI CPK标识私钥对应用软件的用户应用标识进行签名; ⑶应用软件将此签名信息作为密钥申请信息发给密钥管理中心; ⑷密钥管理中心对所述签名信息进行验证,如果验证通过,生成该应用软件的用户应 用CPK标识私钥返回所述应用软件,否则跳转至步骤(7); ⑸将所述应用软件的用户应用CPK标识私钥写入所述手机终端SIM卡; ⑹该应用软件正常运行; ⑺结束。
7. 根据权利要求6所述的方法,所述步骤(4)中,密钥管理中心验证签名的真实性和唯 一性,以确保所述用户应用标识的真实性,并且是首次申请密钥。
8. 根据权利要求6所述的方法,所述步骤(4)中,密钥管理中心将私钥矩阵与用户应用 标识通过CPK算法计算对应的用户应用CPK标识私钥。 _
9.根据权利要求6-8之一所述的方法,所述应用软件的用户应用标识包括:手机号、用 户姓名、身份证号、社保卡和银行卡号。 _ _
10.根据权利要求6-8之一所述的方法,在所述步骤(1)之前,由运营商预制1MSI CPK标 识私钥,并加密存储于SIM存储区中。
11.一种位于手机终端上的可读计算机存储介质,该计算机存储介质存储有计算机程 序,通过执行所述计算机程序实现下述方法: (1)启动手机的应用软件时,判断是否存在该应用软件对应的用户应用CPK标识密钥, 如果是,则跳转至步骤(5),否则跳转至步骤(2); ⑵调用手机SM卡中的IMSI CPK标识私钥对应用软件的用户应用标识进行签名; ⑶应用软件将此签名作为密钥申请信息发给密钥管理中心; (4) 应用软件接收到密钥管理中心返回的用户应用CPK标识私钥后,将所述用户应用 CPK标识私钥写入所述手机S頂卡; ⑸该应用软件正常运行; ⑹结束。
12.—种通过权利要求6-10所述的方法获得的用户应用CPK标识私钥开启门禁的方法, 该方法包括: (1)手机终端与门禁终端建立通信连接,开门应用软件向门禁终端发起一个开门申请. ⑵门禁终端将该开门申请发送给门禁服务器; ’ ⑶门禁服务器通过门禁终端返回给开门应用软件一个随机数; ⑷开门应用软件采用用户应用CPK标识私钥对所述随机数和时间戳进行数字签名后 通过门禁终端发送给门禁服务器; 见 ’ (5) 门禁服务器对签名进行验签,如果验签通过,则转入步骤(6),否则向门禁终端发送 拒绝开锁指令; 、 …、 ⑹门禁终端接到开锁指令,执行开锁; ⑺结束。
13. 根据权利要求I2所述的方法,所述步骤(5)中,在验签通过后,门禁服务器还需要检 查用户应用标识是否在门禁白名单中,右在白名单中则为合法授权用户转入步骤(6丨不; 则向门禁终端发送拒绝开锁指令。 ^
14. 根据权利要求12所述的方法,所述步骤(1)中手机终端通过近场通信NFC无线通户 网络或者蓝牙通信的方式与门禁终端建立无线通信连接。 》 ' ~ »
CN201711293104.6A 2017-12-08 2017-12-08 一种保证应用软件在手机终端上安全使用的sim卡 Active CN108012268B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711293104.6A CN108012268B (zh) 2017-12-08 2017-12-08 一种保证应用软件在手机终端上安全使用的sim卡

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711293104.6A CN108012268B (zh) 2017-12-08 2017-12-08 一种保证应用软件在手机终端上安全使用的sim卡

Publications (2)

Publication Number Publication Date
CN108012268A true CN108012268A (zh) 2018-05-08
CN108012268B CN108012268B (zh) 2021-07-09

Family

ID=62057590

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711293104.6A Active CN108012268B (zh) 2017-12-08 2017-12-08 一种保证应用软件在手机终端上安全使用的sim卡

Country Status (1)

Country Link
CN (1) CN108012268B (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109191127A (zh) * 2018-10-12 2019-01-11 中移电子商务有限公司 一种数字资产安全存储的方法及工具
CN109408127A (zh) * 2018-11-09 2019-03-01 四川科道芯国智能技术股份有限公司 芯片系统加载方法及芯片卡
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
WO2020093812A1 (zh) * 2018-11-09 2020-05-14 阿里巴巴集团控股有限公司 移动支付方法及装置和电子设备
CN111182521A (zh) * 2018-11-12 2020-05-19 中移(杭州)信息技术有限公司 物联网终端机卡绑定、入网认证和业务认证方法及装置
CN111400737A (zh) * 2020-03-17 2020-07-10 中孚信息股份有限公司 一种多应用物理隔离的加密sim卡实现装置,方法及终端
CN112887409A (zh) * 2021-01-27 2021-06-01 珠海格力电器股份有限公司 一种数据处理系统、方法、装置、设备和存储介质
CN113159759A (zh) * 2021-04-06 2021-07-23 支付宝(杭州)信息技术有限公司 基于电子社保凭证的身份鉴权方法及装置

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1832403A (zh) * 2006-04-24 2006-09-13 北京易恒信认证科技有限公司 Cpk可信认证系统
CN101340282A (zh) * 2008-05-28 2009-01-07 北京易恒信认证科技有限公司 复合公钥的生成方法
CN102056077A (zh) * 2009-10-29 2011-05-11 中国移动通信集团公司 一种通过密钥进行智能卡应用的方法和装置
CN102694818A (zh) * 2012-06-08 2012-09-26 南相浩 网上私钥的在线分发方法及系统
CN102722921A (zh) * 2012-05-25 2012-10-10 北京时代凌宇科技有限公司 一种门禁管理系统
CN104753671A (zh) * 2013-12-27 2015-07-01 东方斯泰克信息技术研究院(北京)有限公司 网络实体间互联方法与装置和网际网的构建方法与装置
CN105025007A (zh) * 2015-06-09 2015-11-04 王一磊 基于cpk的手机应用间及与服务器间的安全通信方式

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1832403A (zh) * 2006-04-24 2006-09-13 北京易恒信认证科技有限公司 Cpk可信认证系统
CN101340282A (zh) * 2008-05-28 2009-01-07 北京易恒信认证科技有限公司 复合公钥的生成方法
CN102056077A (zh) * 2009-10-29 2011-05-11 中国移动通信集团公司 一种通过密钥进行智能卡应用的方法和装置
CN102722921A (zh) * 2012-05-25 2012-10-10 北京时代凌宇科技有限公司 一种门禁管理系统
CN102694818A (zh) * 2012-06-08 2012-09-26 南相浩 网上私钥的在线分发方法及系统
CN104753671A (zh) * 2013-12-27 2015-07-01 东方斯泰克信息技术研究院(北京)有限公司 网络实体间互联方法与装置和网际网的构建方法与装置
CN105025007A (zh) * 2015-06-09 2015-11-04 王一磊 基于cpk的手机应用间及与服务器间的安全通信方式

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109191127A (zh) * 2018-10-12 2019-01-11 中移电子商务有限公司 一种数字资产安全存储的方法及工具
CN109408127A (zh) * 2018-11-09 2019-03-01 四川科道芯国智能技术股份有限公司 芯片系统加载方法及芯片卡
WO2020093812A1 (zh) * 2018-11-09 2020-05-14 阿里巴巴集团控股有限公司 移动支付方法及装置和电子设备
CN109408127B (zh) * 2018-11-09 2022-05-24 四川科道芯国智能技术股份有限公司 芯片系统加载方法及芯片卡
CN111182521A (zh) * 2018-11-12 2020-05-19 中移(杭州)信息技术有限公司 物联网终端机卡绑定、入网认证和业务认证方法及装置
CN111182521B (zh) * 2018-11-12 2022-07-01 中移(杭州)信息技术有限公司 物联网终端机卡绑定、入网认证和业务认证方法及装置
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
CN111400737A (zh) * 2020-03-17 2020-07-10 中孚信息股份有限公司 一种多应用物理隔离的加密sim卡实现装置,方法及终端
CN112887409A (zh) * 2021-01-27 2021-06-01 珠海格力电器股份有限公司 一种数据处理系统、方法、装置、设备和存储介质
CN113159759A (zh) * 2021-04-06 2021-07-23 支付宝(杭州)信息技术有限公司 基于电子社保凭证的身份鉴权方法及装置

Also Published As

Publication number Publication date
CN108012268B (zh) 2021-07-09

Similar Documents

Publication Publication Date Title
CN108012268A (zh) 一种手机终端SIM卡及安全使用App的方法、介质
RU2537795C2 (ru) Доверенный дистанционный удостоверяющий агент (traa)
RU2523304C2 (ru) Доверенный администратор достоверности (tim)
RU2415470C2 (ru) Способ создания безопасного кода, способы его использования и программируемое устройство для осуществления способа
CN107278307A (zh) 软件层的相互认证
CN101496344B (zh) 网上银钱支付和身份确认的带自设认证算式的方法和系统
CN101414909B (zh) 网络应用用户身份验证系统、方法和移动通信终端
US9530165B2 (en) Financial transaction system
US20110103586A1 (en) System, Method and Device To Authenticate Relationships By Electronic Means
CN105830107A (zh) 基于云的交易方法和系统
RU2411670C2 (ru) Способ создания и проверки подлинности электронной подписи
CN105635168A (zh) 一种脱机交易装置及其安全密钥的使用方法
CN105119716A (zh) 一种基于sd卡的密钥协商方法
Agu et al. Mobile banking–adoption and challenges in Nigeria
CN109120412A (zh) 一种基于智能卡的区块链密钥保存和交换系统
CN104320261B (zh) 金融智能卡上实现身份认证的方法、金融智能卡和终端
CN210691384U (zh) 基于安全单元和可信执行环境的人脸识别支付终端平台
CN106779672A (zh) 移动终端安全支付的方法及装置
CN110326011A (zh) 确定计算设备处的合法条件
AU2004312730B2 (en) Transaction processing system and method
CN109146468A (zh) 一种数字通证的备份与恢复方法
KR20120071945A (ko) Usim 공인인증서를 유선환경에서 활용하기 위한 방법 및 시스템
KR101103634B1 (ko) 이동 단말기를 이용한 카드사 서버의 인증 방법 및 카드사 서버
CN106534047A (zh) 一种基于Trust应用的信息传输方法及装置
CN106779711A (zh) 基于eID的安全支付方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant