基於安全介質保密簡訊實現身份鑑別及數據認證的系統及方法與流程

2023-12-08 21:08:36

本發明涉及行動支付安全通信技術領域，具體涉及一種基於安全介質保密簡訊實現身份鑑別及數據認證的系統及方法。

背景技術：

在網際網路金融迅猛發展的背景下，移動網際網路正滲透到各個行業領域。隨著手機及其它移動終端的普及、行動支付市場的日漸成熟，越來越多的用戶選擇在移動端辦理金融業務。與此同時，在移動終端辦理金融業務，用戶身份認證及數據認證則是保障金融應用安全的第一道環節，是其他安全機制的基礎，這就使得移動端用戶身份識別及交易安全保護問題已經成為移動網際網路金融亟待解決的關鍵性問題。

基於現有手機基帶晶片，大部分手機客戶端應用均無法直接訪問SIM卡，並無法通過客戶現有SIM卡來實現交易籤名或驗籤。現有手機客戶端主要通過手機簡訊驗證碼、動態密碼器、外接音頻盾/藍牙盾方式識別用戶身份。在小額支付領域，目前普遍採用的是手機簡訊驗證碼的身份認證方式，這種方式的優勢在於便利性高、成本低、易於推廣普及，但是這種方式存在很大安全隱患：因簡訊下發過程中未採用加密技術，易發生簡訊在途攻擊、惡意轉發、簡訊攔截、簡訊篡改等風險，而且接收簡訊的客戶，無法保證就是客戶本人，一旦手機卡被複製或驗證簡訊被劫持轉發，則會導致用戶的手機銀行被非法盜用。對於手機外接音頻盾/藍牙盾實現身份認證的方式安全性比較高，但是手機外接額外設備其便利性與適配性不高、總體成本高、不易於大規模推廣普及。與此同時，現有基於簡訊及專用動態密碼設備的身份驗證方式，在客戶端一般採用軟算法進行籤名和加密，密鑰及密碼運算過程均存在數據洩露和惡意攻擊風險，無法保證用戶所見即所籤。

技術實現要素：

針對上述技術問題，本發明提供了一種功能擴展SIM卡、基於安全介質保密簡訊實現身份鑑別及數據認證的系統及方法，主要應用在交易的籤名驗證、登錄及交易過程中的實名身份認證等領域，目的在於減少簡訊在途截獲及篡改攻擊的風險，提升交易過程的安全性；與此同時，本發明無需額外設備投入，僅通過更換SIM卡即可低成本實現全部移動終端的通用性，在安全性得到明顯提升的同時，可實現低成本、快速接入現有手機銀行及移動網際網路金融應用，因而這種方案具有安全性高、成本低、便利性高、通用性強的優勢。

具體地，本發明提供了一種基於安全介質保密簡訊實現身份鑑別及數據認證的系統，其特徵在於，包括功能擴展SIM卡、移動終端應用程式、雲端伺服器，所述功能擴展SIM卡包括安全晶片、蜂鳴器、指示燈，所述安全晶片由控制模塊與安全處理模塊集成，且所述功能擴展SIM卡中安裝有基於JAVA平臺作業系統、認證應用、STK應用和多應用管理平臺，所述雲端伺服器包括認證伺服器、CA伺服器、業務伺服器；所述認證伺服器用於所述認證應用的管理，所述CA伺服器用於證書的生成與管理，所述業務伺服器用於銀行或需要認證業務的第三方應用的管理；所述基於JAVA平臺作業系統用於向所述認證應用、所述STK應用及所述多應用管理平臺提供運行環境及API接口，所述多應用管理平臺用於所述認證應用和STK應用的安全及管理，所述認證應用用於進行籤名認證，安裝於所述控制模塊中所述STK應用用於所述功能擴展SIM卡內數據的輸入輸出，在交易過程中通過所述STK應用進行交易確認和客戶身份驗證，並根據交易內容產生相關控制指令，控制蜂鳴器的發聲，並通過指示燈指示所述功能擴展SIM卡的工作狀態。

本發明還提供了一種基於安全介質保密簡訊實現身份鑑別及數據認證的認證方法，利用上述基於安全介質保密簡訊實現身份鑑別及數據認證的系統進行認證，包括以下步驟：

步驟S101：用戶通過移動終端應用程式發出數據認證請求；

步驟S102：所述移動終端應用程式校驗功能擴展SIM卡的應用下載狀態，移動終端應用程式向功能擴展SIM卡發送校驗是否下載認證應用指令，功能擴展SIM卡返回當前應用狀態給移動終端應用程式；

步驟S103：若認證應用已下載，轉入步驟s605，否則，轉入步驟S104；

步驟S104：移動終端應用程式向雲端伺服器中認證伺服器發出認證應用下載申請，下載認證應用到功能擴展SIM卡中；

步驟S105：移動終端應用程式向功能擴展SIM卡發送校驗證書狀態指令，功能擴展SIM卡返回當前用戶證書狀態，移動終端應用程式校驗證書下載狀態，若已下載證書且證書有效，轉入步驟S107，否則，轉入步驟S106；

步驟S106：移動終端應用程式向認證伺服器發出用戶證書下載申請，下載用戶證書到功能擴展SIM卡中；

步驟S107：移動終端應用程式向認證伺服器發出交易認證請求；

步驟S108：認證伺服器產生身份驗證的動態驗證碼，並用伺服器私鑰進行籤名，然後將動態驗證碼、籤名數據及伺服器證書一起通過功能擴展SIM卡的安全傳輸通道以數據簡訊方式發送給功能擴展SIM卡；

步驟S109：功能擴展SIM卡接收到數據後，安全晶片中安全處理模塊使用安全晶片內存儲的CA證書對伺服器證書進行驗證，若驗證通過，從伺服器證書中讀取伺服器公鑰，用伺服器的公鑰對接收到的動態驗證碼數據進行驗籤，驗證伺服器的身份；

步驟S110：若驗證通過，功能擴展SIM卡通過蜂鳴器給出驗證通過提示音，轉入步驟s611,否則，通過指示燈給出失敗提示顯示，轉入步驟S117；

步驟S111：功能擴展SIM卡通過STK應用將動態驗證碼及交易信息通知用戶；

步驟S112：用戶通過STK應用確認交易或客戶身份，用戶的確認信息通過STK應用輸入到認證應用程式；

步驟S113：功能擴展SIM卡的安全處理模塊通過認證應用程式對用戶的動態驗證碼用安全晶片中存儲的私鑰進行籤名，然後將功能擴展SIM卡的用戶證書及籤名數據基於移動通信網絡，並通過安全數據簡訊方式，發送給認證伺服器；

步驟S114：認證伺服器接收到數據後，先用伺服器端CA證書對功能擴展SIM卡的用戶證書進行驗證，若驗證通過，從功能擴展SIM卡的用戶證書中提取公鑰，用功能擴展SIM卡用戶證書的公鑰對接收到的數據進行驗籤，驗證客戶身份；

步驟S115：若驗證通過，轉入步驟S116,否則，轉入步驟S118；

步驟S116：認證伺服器返回驗證通過信息給移動終端應用程式，移動終端應用程式向業務伺服器發出下一步交易請求，開始業務交易；

步驟S117：功能擴展SIM卡返回驗證失敗信息給移動終端應用程式；

步驟S118：認證伺服器返回驗證失敗信息給移動終端應用程式；

步驟S119：移動終端應用程式給出錯誤提示，數據認證流程結束。

作為優選，步驟S104中，下載認證應用到功能擴展SIM卡中的步驟包括：

步驟S201：用戶通過移動終端應用程式向認證伺服器發出認證應用下載申請；

步驟S202：認證伺服器通過數據簡訊方式將認證應用下載到功能擴展SIM卡；

步驟S203：在功能擴展SIM卡上完成認證應用的下載安裝後，功能擴展SIM卡通過數據簡訊方式響應認證應用的下載與安裝結果；

步驟S204：移動終端應用程式接收功能擴展SIM卡返回的應用下載安裝結果進行判斷；

步驟S205：若認證應用安裝成功，跳轉到步驟S206,若安裝失敗，流程結束；

步驟S206：移動終端應用程式向認證伺服器發出應用初始化申請。

作為優選，步驟S106中，下載用戶證書到功能擴展SIM卡中的步驟包括：

步驟S301：用戶通過移動終端應用程式向認證伺服器發出證書下載申請；

步驟S302：認證伺服器向CA伺服器發出用戶證書下載申請；

步驟S303：CA伺服器生成用戶證書並將證書發送給認證伺服器；

步驟S304：認證伺服器通過數據簡訊方式將證書下載到功能擴展SIM卡；

步驟S305：功能擴展SIM卡通過數據簡訊方式響應證書下載結果。

本發明技術方案，具有如下優點：

本發明提供的基於安全介質保密簡訊實現身份鑑別及數據認證的實現方案，創新的通過手機中的SIM卡來實現籤名與驗籤，充分發揮SIM卡硬體籤名安全機制，交易過程中伺服器產生身份驗證的動態驗證碼，由SIM卡的安全數據通道傳輸，通過STK應用通知直達用戶，提升交易安全。因無需額外設備只需更換SIM卡(換卡不換號)即可實現全部移動終端通用，在安全性得到明顯提升的同時，可實現低成本、快速接入手機銀行應用，因而這種方案具有安全性高、成本低、便利性高、通用性強的優勢，具體如下：

安全性高：基於雲端+數據簡訊的方式實現與SIM卡的交互，基於SIM卡內置SE數據簡訊通道，與伺服器進行雙向身份認證，建立安全傳輸通道，充分發揮SIM卡的硬體籤名安全機制，實現SIM卡一對一、雙向實名認證，提升安全性，同時，伺服器產生的動態驗證碼，通過SIM卡安全數據通道傳輸，極大的減少簡訊在途截獲及篡改攻擊的風險，基於SE的安全運算功能及雙向確認機制，通過引入TOKEN機制實現會話密鑰一次一協商，增強認證安全性，另外，交易過程中引入STK程序進行交易確認和客戶身份驗證，交易報文信息與交易確認、身份驗證信息傳輸通道分離提升安全性；

成本低：僅需更換SIM卡(換卡不換號)，無需更換移動終端或接入其它額外設備即可實現全部移動終端通用，實現成本很低；

便利性高，通用性強：交易過程中增加客戶簡訊確認過程，與現有簡訊驗證方式客戶體驗基本不變；與此同時，因本方案可與市場上現有手機實現完全適配，兼容性好，在安全性得到明顯提升的同時，可實現低成本、快速接入現有移動網際網路應用，通用、便利及安全「魚與熊掌兼得」。

附圖說明

為了更清楚地說明本發明具體實施方式或現有技術中的技術方案，下面將對具體實施方式或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖是本發明的一些實施方式，對於本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他的附圖。

圖1為本發明提供的一種基於安全介質保密簡訊實現身份鑑別及數據認證的系統示意圖；

圖2為圖1中擴展SIM卡的硬體結構示意圖；

圖3為圖2中擴展SIM卡的邏輯處理結構示意圖；

圖4為本發明提供的一種基於安全介質保密簡訊實現身份鑑別及數據認證過程的認證方法的流程示意圖；

圖5為圖4提供的認證方法中應用下載流程示意圖；

圖6為圖4提供的認證方法中證書下載流程示意圖。

具體實施方式

下面將結合附圖對本發明的技術方案進行清楚、完整地描述，顯然，所描述的實施例是本發明一部分實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。

本發明提供了一種基於安全介質保密簡訊實現身份鑑別及數據認證的系統，主要通過基於安全數據簡訊的方式實現與功能擴展SIM卡的交互，基於功能擴展SIM卡內置安全晶片數據簡訊通道，與伺服器端建立安全傳輸通道，充分發揮功能擴展SIM卡硬體籤名安全機制。同時，在交易過程中引入STK程序進行交易確認和客戶身份驗證，交易報文信息與交易確認、身份驗證信息傳輸通道分離提升安全性，交易過程中伺服器產生身份驗證的動態驗證碼，由功能擴展SIM卡的安全數據通道傳輸，通過STK應用通知直達用戶，提升交易安全。基於安全晶片的安全運算功能及雙向確認機制，通過引入TOKEN機制實現雙向會話密鑰一次一協商，增強認證安全性，基於雲端伺服器實現在線實時+實名掛失。

下面結合附圖對本發明技術方案進行詳細說明。

如圖1所示，本實施例提供的基於安全介質保密簡訊實現身份鑑別及數據認證的系統包括功能擴展SIM卡11、移動終端應用程式12、雲端伺服器13，所述雲端伺服器13包括認證伺服器130、CA伺服器131、業務伺服器132。

所述移動終端應用程式12是安裝在移動終端例如手機上的一個應用軟體程序，即APP，主要負責提供顯示界面及與功能擴展SIM卡11和雲端伺服器13通信。移動終端應用程式12通過數據簡訊方式與功能擴展SIM卡11通信，通過無線網絡與雲端伺服器13通信。

所述雲端伺服器13是多臺伺服器組成的一個資源池。其中，認證伺服器130主要功能是負責認證應用1104的管理、認證應用1104的下載安裝業務流程、交易的籤名認證流程，產生手機動態驗證碼等。CA伺服器131負責證書的生成與管理。業務伺服器132負責銀行或需要認證業務的第三方應用的管理。所述雲端伺服器13通過移動終端應用程式12可以與功能擴展SIM卡11進行雙向認證，建立安全通道進行安全通信。

如圖2所示，功能擴展SIM卡11包括安全晶片110、蜂鳴器111及指示燈112。

所述安全晶片110，是整個產品的核心部件，由控制模塊1101與安全處理模塊1102集成。

所述安全處理模塊1102，是整個安全晶片110的核心，一方面，負責與移動終端設備之間的通信與數據傳輸；另一方面，負責存放和執行軟體程序代碼，數據加解密、數據存儲及數據通信等安全操作，並將相關控制指傳發送至控制模塊1101。

所述控制模塊1101，發揮模塊通信及控制的功能，是功能擴展SIM卡11內各個模塊協同工作的通訊中心，可通過安全處理模塊1102發送的控制指令驅動和控制各個工作模塊執行任務，主要包括蜂鳴器111及指示燈112的管理及控制，控制指令由安全處理模塊統一生成。

所述蜂鳴器111主要是用來為功能擴展SIM卡11提供聲音提示，通過蜂鳴器的鳴叫可提示功能擴展SIM卡11的當前的工作狀態。

所述指示燈112主要是用來表示功能擴展SIM卡11的當前狀態，包括但不局限於通過指示燈的燈光顏色、燈光亮滅、燈光閃爍來表示功能擴展SIM卡11的當前工作狀態。

如圖3所示是功能擴展SIM卡11的系統邏輯處理結構示意圖。所述功能擴展SIM卡11包括基於JAVA平臺作業系統1106、認證應用1104、STK應用1103及多應用管理平臺1105。其中，基於JAVA平臺作業系統1106是整個功能擴展SIM卡11的作業系統平臺，基於JAVA平臺進行構建，提供應用運行所需的JAVA虛擬機、JAVA運行環境及JAVA API，為認證應用1104、STK應用1103及多應用管理平臺1105提供運行環境及API接口。多應用管理平臺1105負責功能擴展SIM卡11的安全域管理及多應用管理，可實現各應用間的安全隔離及獨立管理，主要負責認證應用1104及STK應用1103的安全及管理。認證應用1104是SIM卡11中的一個應用，主要負責籤名認證功能，可以在功能擴展SIM卡11出廠和發行時預置認證應用1104,也可以通過雲端伺服器13將認證應用1104通過數據簡訊的方式下載到功能擴展SIM卡11中。STK應用1103是功能擴展SIM卡11中的應用程式，負責SIM卡11內數據的輸入輸出，在交易過程中，可通過STK應用1103程序進行交易確認和客戶身份驗證，同時，根據交易內容產生相關控制指令，控制蜂鳴器111的發聲，並通過指示燈112指示功能擴展SIM卡11的工作狀態。

如圖4所示，本發明還提供的一種基於安全介質保密簡訊實現身份鑑別及數據認證的認證方法，包括以下步驟：

步驟S101：用戶通過移動終端應用程式12發出數據認證請求；

步驟S102：移動終端應用程式12校驗功能擴展SIM卡11的應用下載狀態，移動終端應用程式12向功能擴展SIM卡11發送校驗是否下載認證應用指令，功能擴展SIM卡11返回當前應用狀態給移動終端應用程式12；

步驟S103：若認證應用已下載，轉入步驟S105，否則，轉入步驟S104；

步驟S104：移動終端應用程式12向認證伺服器130發出認證應用下載申請，按照圖5流程下載認證應用到功能擴展SIM卡11中；

步驟S105：移動終端應用程式12向功能擴展SIM卡11發送校驗證書狀態指令，功能擴展SIM卡11返回當前用戶證書狀態，移動終端應用程式12校驗證書下載狀態，若已下載證書且證書有效，轉入步驟S107，否則，轉入步驟S106；

步驟S106：移動終端應用程式12向認證伺服器130發出用戶證書下載申請，按照圖6流程下載用戶證書到功能擴展SIM卡11中；

步驟S107：移動終端應用程式12向認證伺服器130發出交易認證請求；

步驟S108：認證伺服器130產生身份驗證的動態驗證碼，並用伺服器私鑰進行籤名，然後將動態驗證碼、籤名數據及伺服器證書一起通過功能擴展SIM卡11的安全傳輸通道以數據簡訊方式發送給功能擴展SIM卡11；

步驟S109：功能擴展SIM卡11接收到數據後，功能擴展SIM卡11的安全處理模塊1102使用安全晶片內存儲的CA證書對伺服器證書進行驗證，若驗證通過，從伺服器證書中讀取伺服器公鑰，用伺服器的公鑰對接收到的動態驗證碼數據進行驗籤，驗證伺服器的身份；

步驟S110：若驗證通過，功能擴展SIM卡11通過蜂鳴器111給出驗證通過提示音，轉入步驟s611,否則，通過指示燈112給出失敗提示顯示，轉入步驟S117；

步驟S111：功能擴展SIM卡11通過STK應用1103將動態驗證碼及交易信息通知用戶；

步驟S112：用戶通過STK應用1103確認交易或客戶身份，用戶的確認信息通過STK應用1103輸入到認證應用程式；

步驟S113：功能擴展SIM卡11的安全處理模塊1102通過認證應用程式對用戶的確認信息動態驗證碼用安全晶片中存儲的私鑰進行籤名，然後將功能擴展SIM卡11的用戶證書及籤名數據基於移動通信網絡，並通過安全數據簡訊方式，發送給認證伺服器130；

步驟S114：認證伺服器130接收到數據後，先用伺服器端CA證書對功能擴展SIM卡11的用戶證書進行驗證，若驗證通過，從功能擴展SIM卡11的用戶證書中提取公鑰，用功能擴展SIM卡11用戶證書的公鑰對接收到的數據進行驗籤，驗證客戶身份；

步驟S115：若驗證通過，轉入步驟S116,否則，轉入步驟S118；

步驟S116：認證伺服器130返回驗證通過信息給移動終端應用程式12，移動終端應用程式12向業務伺服器132發出下一步交易請求，開始業務交易；

步驟S117：功能擴展SIM卡11返回驗證失敗信息給移動終端應用程式12；

步驟S118：認證伺服器130返回驗證失敗信息給移動終端應用程式12；

步驟S119：移動終端應用程式12給出錯誤提示，數據認證流程結束。

圖5是應用下載的流程示意圖。認證應用必須在安全環境下下載到功能擴展SIM卡11中，可以採用預置的方式在功能擴展SIM卡11出廠時由廠商預置到功能擴展SIM卡11中，也可以在營業廳發行時下載到功能擴展SIM卡11中。本實施例中的方式是用戶通過在線的方式從雲端伺服器13下載到功能擴展SIM卡11中，此種在線下載應用的方式要求密鑰提前預置到功能擴展SIM卡11中，保證應用下載的安全。應用下載的流程如下：

步驟S201：用戶通過移動終端應用程式12向認證伺服器130發出認證應用1104下載申請；

步驟S202：認證伺服器130通過數據簡訊方式將認證應用1104下載到功能擴展SIM卡11；

步驟S203：在功能擴展SIM卡11上完成認證應用1104的下載安裝後，功能擴展SIM卡11通過數據簡訊方式響應認證應用1104的下載與安裝結果；

步驟S204：移動終端應用程式12接收功能擴展SIM卡11返回的應用下載安裝結果進行判斷；

步驟S205：若認證應用1104安裝成功，跳轉到步驟S206,若安裝失敗，流程結束；

步驟S206：移動終端應用程式12向認證伺服器130發出應用初始化申請。

圖6是證書下載的流程示意圖,包括以下步驟：

步驟S301：用戶通過移動終端應用程式12向認證伺服器130發出證書下載申請；

步驟S302：認證伺服器130向CA伺服器131發出用戶證書下載申請；

步驟S303：CA伺服器131生成用戶證書並將證書發送給認證伺服器130；

步驟S304：認證伺服器130通過數據簡訊方式將證書下載到功能擴展SIM卡11；

步驟S305：功能擴展SIM卡11通過數據簡訊方式響應證書下載結果。

顯然，上述實施例僅僅是為清楚地說明所作的舉例，而並非對實施方式的限定。對於所屬領域的普通技術人員來說，在上述說明的基礎上還可以做出其它不同形式的變化或變動。這裡無需也無法對所有的實施方式予以窮舉。而由此所引伸出的顯而易見的變化或變動仍處於本發明創造的保護範圍之中。