2021-4-10 | 互联网
常见移动环境下身份认证技术方案身份认证技术是在互联网中为确认操作者身份而产生的解决方法。移动互联网中一切信息包括用户身份信息都是用一组特定的数据来表示的，如何保证以数字身份进行操作的操作者就是这个数字身份的合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证技术就是为了解决这个问题。为确保身份认证的真实有效，对于身份认证技术有以下几项基本的安全需求。
⑴保密性：确保交易过程中涉及的大量保密数据在公开网络的传输过程中不被窃取。
⑵完整性：保证交易信息在传输过程中不会被篡改或通过重复发送进行虚假交易。
⑶双向认证：基于单向认证的第二代移动网络安全机制己经导致多种利用协议漏洞的攻击出现，如中间人攻击等，因此保证交易双方身份的正确性尤为重要。
⑷不可抵赖性：确保交易完成后，交易的任何一方都无法否认已经发生的交易。
目前移动互联网中常用的身份认证技术有多种，它们具有不同的操作方式，具备不同的安全等级，可以适用于不同的应用场景。
基于硬件安全模块的PKI身份认证技术方案文件数字证书在安全等级上是最高的，同时具备双向认证机制及不可抵赖性，是一种较为适合高安全互联网应用的认证方式。这种方式的问题在于，使用文件方式存储数字证书，难以阻止非授权的访问，一旦文件被破译，就会造成用户密钥的泄漏，从而导致业务信息被破解。网银目前最普遍使用的USBKEY认证也是一种通过数字证书进行安全认证的方式，与文件数字证书方式相比，其证书及用户的密钥都采用硬件进行存储，因此能够避免非法的访问。能否在移动终端上引入专用的安全硬件完成类似计算机上USBKEY的功能，成为一种很自然的想法。
为此我们研究并提出了一种基于硬件安全模块（SecureElement，SE，本文中的安全模块均指通过硬件方式实现）的PKI身份认证技术，就是将数字证书、用户密钥存储在专用的安全模块中，并由安全模块完成各种加/解密及签名/验签运算，从而保证用户数据的安全。
2.1网络总体结构
本方案的网络结构如图1所示，其中主要的功能实体包括PKI安全模块、手机终端、业务系统平台、CA中心。
2.1.1PKI安全模块
PKI安全模块是集成在移动终端中的专用安全设备，能安全地存储用户密钥和数字证书，可实现公私密钥对生成、数字证书存储及访问、对称（非对称）加/解密、生成/验证数字签名等功能。为提高非对称运算的速度和效率，通常会在安全模块中集成专用的RSA协处理器用以快速完成密钥对生成及各种RSA相关的加/解密、签名/验签运算（对于使用ECC算法进行认证的业务，可集成ECC协处理器）。
2.1.2手机终端
手机终端是操作系统和客户端软件的运行载体。 操作系统提供了底层的硬件驱动支持，为应用软件提供了对安全模块的访问接口。 客户端软件向用户提供了业务交互的界面，它一方面通过调用操作系
统提供的安全模块访问接口来实现各种安全运算，另一方面则通过移动网络与业务系统平台进行业务交互，在安全模块与后台系统之间建立了一条实时交互的通道。
2.1.3CA中心
CA中心是PKI体系的核心，它是证书的签发机构，是保证业务交易的权威性、可信任性和公正性的第三方机构，负责生成、分发和撤销数字证书。此外CA中心还承担公钥体系中公钥合法性检验的责任，验证用户身份的真实性。
2.1.4业务系统平台
业务系统平台负责实际处理用户的交易请求，并通过与CA中心的交互，协助完成用户证书管理、签名验证等功能。2.2功能层次架构由于业务系统的设计实现较为成熟，本文将集中对手机客户端的功能层次架构进行说明。手机客户端分为应用层、安全应用接口层、手机操作系统层和物理硬件层4个层次。 应用层：客户端软件，通过调用安全应用接口层提供的标准接口，完成具体业务功能。
安全应用接口层：安全应用中间件是连接安装在移动终端上的客户端软件与安全模块之间的桥梁。
安全应用中间件屏蔽了底层手机操作系统、安全模块的差异，向应用层提供了标准的PKI运算接口，称为安全应用接口，具体包括密钥对生成、数字证书访问和管理、加/解密、签名/验签等。由于不同终端的操作系统和安全模块驱动并不统一，因此安全应用中间件需要根据终端进行适配，工作量非常大。为此需要针对目前主流的手机操作系统，包括Android、iOS、Symbian等，制定安全模块驱动接口标准，推动终端厂商遵循，减轻安全应用中间件的适配工作量。
终端操作系统层：手机终端与智能卡设备之间的访问接口简称为机卡接口。终端厂商在手机操作系统层对机卡接口进行技术实现，并向上层应用提供标准的安全模块访问接口。
对于SD卡方式，具备SD卡的终端都支持标准的SD卡访问接口。为区分对SD卡的普通存储访问和安全模块访问，一般可以采用专用文件读写方式实现：⑴安全应用中间件调用SD卡写入接口，将请求指令写入到SD卡上的专用输入文件中；⑵控制芯片判断是对专用文件的写入，认为这是安全模块访问指令，进入业务处理流程；⑶验证业务请求的合法性，确保是由合法的系统后台发出（可通过签名验证等方式）；⑷验证通过后进行运算处理，并将处理后的结果经过加密、签名后放到专用输出文件中；⑸安全应用中间件在发送访问请求后，对输出文件进行定时查询，直至取得返回结果。
对于SIM卡方式，手机终端操作系统目前对SIM卡的访问是通过“RIL（RadioInterfaceLayer，无线接口层）→基带芯片（BasebandProcessor）→SIM卡”的通路实现的，由于SIM卡方式的机卡接口实现技术较为复杂,具体方案在下文中进行专门讨论。