专利名称：基于多界面安全智能卡的网上银行远程支付的安全认证方法
技术领域：
本发明涉及一种安全认证方法，特别涉及一种基于多界面安全智能卡的网上银行远程 支付的安全认证方法。
背景技术：
银行卡自诞生以来，始终是以磁条卡的形式存在和发展。磁条卡在给人们带来便利的 同时，由于其非常容易被仿制，给银行卡组织带来高额资金风险。为防范磁条卡的欺诈风 险，银行卡组织推出了银行卡由磁条卡向智能芯片卡迁移(即EMV迁移)的战略。很多国家 和地区已实施了迁移。我国目前也已进入磁条卡向智能芯片银行卡升级的过渡阶段，国内 技术条件和用卡环境均已具备。在这个升级过程中智能芯片银行卡直接采用多界面(即接 触界面、非接触界面及人机交互界面)安全智能卡的方式无疑是一种一步到位的选择。它不 仅能通过接触界面实现包括PB0C2.0、EMV在内的多种交易，确保安全性；能通过非接触界 面实现安全小额支付交易等功能；而且还能使用智能卡的人机交互界面向用户显示关键交 易信息并可等待用户按键确认。这样，用户可以轻松实现一卡多用。网银又称在线银行、网络银行，是指银行利用Internet技术，通过Internet向客 户提供开户、销户、查询、对帐、行内转帐、跨行转账、信贷、网上证券、投资理财等传统服务 项目，使客户可以足不出户就能够安全便捷地管理活期和定期存款、支票、信用卡及个人投 资等。由于网上交易不是面对面的，用户可以在任何时间、任何地点发出请求，传统的身 份识别方法通常是靠用户名和登录密码对用户的身份进行认证。但是，若用户的密码在登 录时以明文的方式在网络上传输，很容易被攻击者截获，进而可以假冒用户的身份，身份认 证机制就会被攻破。目前，网银个人认证介质(安全工具)主要有密码、文件数字证书、动态口令卡、动 态手机口令、移动口令牌、移动数字证书等。其中，移动数字证书实际上就是一种USBKey。 国内不同的银行称呼不同，如工行称U盾，农行称K宝等。USBKey存放着用户的个人数字证 书。通过USBKey进行个人身份认证是目前网银个人认证方法中相对最安全的一种方式。使用USBKey认证方式的问题之一是除了用户在开办银行业务之前要申请一张银 行卡之外，还需要给用户再额外配发相应的USBKey。随着网银的日渐普及，选择USBKey来 保护网银安全的用户已经达到很可观的数量。若使用多界面安全智能卡的银行卡，则可以 直接使用多界面智能银行卡来代替USBKey。从而可节约一笔相当大的用于配发USBKey的 成本，具有良好的社会经济效益。同时在用户使用网银时，由于只需要拥有多界面安全智能 卡(以银行卡的方式出现)，而不再需要再额外使用USBKey从而更方便用户对网银的使用。另外，USBKey并不是绝对安全的，当前广泛应用的USBKey实际存在两大安全漏 洞1)交互操作存在漏洞。攻击者可以远程控制，冒用用户的USBKey进行身份认证，而用户 无法知晓。2)无法防止数据被篡改。用户的一笔交易在送入USB Key加密前，可能会被攻 击者拦截屏篡改为另外一笔交易，这样可以在用户不知情的情况下篡改交易而认证通过。上面这两种安全问题可以结合多界面安全智能卡中的人机交互界面来解决。即将每次交易 的关键信息显示在多界面安全智能卡人机交互界面中的显示界面上，并且只有在用户按下 多界面安全智能卡人机交互界面上的确认按键后交易才能正常成功进行，从而保证了交易 的安全可靠。
发明内容
本发明的目的在于克服现有技术中存在的不足而提供一种在多界面安全智能卡的支 持下实现基于公钥证书的基于多界面安全智能卡的网上银行远程支付的安全认证方法， 多界面安全智能卡是一种符合国际国内相关标准和规范的多界面智能卡类产品，它可以用 于作为多界面智能银行卡，并提供本发明所述的安全认证方法支持。本发明的目的是这样实现的
一种基于多界面安全智能卡的网上银行远程支付的安全认证方法，其特征在于该 安全认证方法包括安全认证信息的非接触式传输通道的建立和安全认证协议两个基本部 分；
所述的安全认证信息的非接触式传输通道的建立，分为电脑与多界面安全智能卡间非 接触式传输通道的建立，或者具有短距离无线通信模块的手机终端与多界面安全智能卡间 非接触式传输通道的建立；
所述的安全认证协议是指在用户使用网银过程中，电脑或手机终端与银行网银服务器 之间进行双方身份安全认证时所遵循的协议和规范，该安全认证协议建立在使用公钥证书 的基础上，用户的公钥证书及私钥以及相应的加解密算法、摘要算法都在多界面安全智能 卡内，在安全认证过程中，电脑或手机终端与银行网银服务器之间需要收发的相关数据是 在上述非接触式传输通道建立的基础上传递到多界面安全智能卡内进行数字签名、加解密 处理，并返回结果，在多界面安全智能卡对交易关键信息进行数字签名处理以前，要先在其 人机交互界面中的显示界面上显示出来，只有等用户按下人机交互界面上的确认按键后才 会执行数字签名操作；
安全认证协议部分包括以下步骤
1)公钥证书的分发首先证书服务器为银行网银服务器和终端用户生成各自的公钥证 书，其次证书服务器离线向多界面安全智能卡写入银行网银服务器公钥证书，然后证书服 务器通知银行网银服务器用户公钥证书；
2)安全认证电脑或手机终端和银行网银服务器之间通过公钥证书，实现终端用户与 银行双方身份认证，安全认证协议所发送的消息如下
d: PEs (Afc)
S->C:PEc(JVs, TIMEcs, TYPEcs, AMOUNTcs, EXTcs, SIGs(Afc))
C->S\PEs {Ns, SIGc {TIMEcs, TYPEcs, AMOUNTcs, EXTcs))
其中义表示电脑或手机终端发送方，^表示银行网银服务器接收方；PEc表示用C的公 钥加密，SIGc表示用C的私钥签名；PEs表示用S的公钥加密，SIGs表示用S的私钥签名； Nc表示发送方产生的验证因子，Afe表示接收方产生的验证因子-JlMEcs表示交易的操作时 间，TYPEcs表示交易的操作种类,JM^VTb1S表示操作金额，^TTb1S表示预留扩展部分；
安全认证协议执行的步骤如下
第一步，交易开始后，终端发送方向服务器接收方发出用服务器接收方证书公钥加密认证请求，请求内容包括终端产生验证因子Afc ；
第二步，银行网银服务器根据当前使用网银的用户信息查找该用户相应的证书，并在 向证书服务器验证该证书合法性后，产生一个验证因子妝，利用自己的私钥对Afc进行签名 后与当前交易的交易操作时间TlMEcs，交易操作种类77/%^，操作金额JM^V/bs，预留扩 展部分等信息用接收方的加密公钥加密，然后传给终端；
第三步，终端对银行网银服务器发送来的密文信息进行脱密，先用自身的私钥脱密，再 用预存的银行网银服务器的公钥签证服务器签名，检查Afc —致后；
第四步，验证通过后，终端对TIMEcs，TYPEcs, AMOUNTcs, EXTcs信息用自己的私钥签名 后，在终端将这些信息送入多界面安全智能卡中进行数字签名处理以前，多界面安全智能 卡要先在其人机交互界面中的显示界面上将关键交易信息显示出来，只有等用户按下人机 交互界面上的确认按键后才会执行数字签名操作，连同Afe—起，用银行网银服务器的公钥 加密后传送给网银服务器；
第五步，网银服务器将收到的Afe与原来的Afe进行比较，若相同，表示双方身份安全认 证通过，交易成功，同时将终端对/Tiffib^ TYPEcs, AMOUNTcs, EXTcs等交易信息的私钥签名 结果保存备案；若不相同，则交易失败。所述的多界面安全智能卡是指在传统的接触界面和非接触界面多界面安全智能 卡的基础上再增加一个带有超薄柔性显示器、柔性薄膜按键和超薄柔性电池的人机交互 界面，用于为用户显示一些关键信息并等待用户按键输入确认的界面的安全智能卡，它符 合《中国金融集成电路(IC)卡规范(V2.0)》、《非接触支付IC卡支付规范》和国际标准 IS010536系列标准、支持IS0/IEC 14443-A和IS0/IEC 7816协议、支持国家密码管理局认 可的密码算法，该密码算法包括SM1、SSF33和RSA和摘要算法、可用作多界面智能银行卡的 智能卡类产品。本发明具有如下积极效果本发明将多界面安全智能卡应用于到网上银行(以下 简称网银)远程支付的安全认证中，通过使用多界面安全智能卡，并结合本发明中提出的方 法，可以实现网上银行的远程支付的安全认证。具体为通过电脑或具有短距离无线通信 模块的手机终端与多界面安全智能卡间非接触式传输通道的建立，可以利用多界面安全智 能卡的安全功能进行身份认证和数据加密等操作，从而实现网银远程支付。在此基础上，当 将多界面安全智能卡作为多界面智能银行卡后，便可以直接用该卡来代替传统的USBKey， 从而可节约一笔相当大的用于配发USBKey的成本，具有良好的社会经济效益。同时在用户 使用网银时，由于只需要拥有多界面安全智能卡(以银行卡的方式出现)，而不再需要再额 外使用USBKey从而更方便用户(特别是具有短距离无线通信模块的手机终端的用户)对网 银的使用。另外，通过本发明中所述的方法并结合多界面安全智能卡中的人机交互界面将 每次交易的关键信息显示在多界面安全智能卡人机交互界面中的显示界面上并且只有在 用户按下多界面安全智能卡人机交互界面上的确认按键后交易才能正常成功进行，从而很 好地解决了当前广泛应用的USBKey实际存在的两大安全漏洞问题，即1)交互操作存在漏 洞。攻击者可以远程控制，冒用用户的USBKey进行身份认证，而用户无法知晓。2)无法防 止数据被篡改。用户的一笔交易在送入USB Key加密前，可能会被攻击者拦截屏篡改为另 外一笔交易，这样可以在用户不知情的情况下篡改交易而认证通过，从而保证了交易的安 全可靠。
图1为本发明的基本示意图。图2为本发明的电脑与多界面安全智能卡间非接触式传输通道的建立示意图。图3为本发明的手机终端与多界面安全智能卡间非接触式传输通道的建立示意 图。图4为本发明的证书分发过程示意图。图5为本发明的安全认证协议示意图。
具体实施例方式
如图1所示，本发明公开了一种基于多界面安全智能卡的网上银行远程支付的安全认 证方法，该安全认证方法包括安全认证信息的非接触式传输通道的建立和安全认证协议两 个基本部分。本发明所用的多界面安全智能卡是指在传统的多界面(即接触界面和非接触界 面)安全智能卡的基础上再增加一个人机交互界面(即带有超薄柔性显示器、柔性薄膜按键 和超薄柔性电池的，可用于为用户显示一些关键信息并可等待用户按键输入确认的界面) 的安全智能卡。它符合《中国金融集成电路(IC)卡规范(V2.0)》、《非接触支付IC卡支付 规范》和国际标准IS010536系列等标准、支持IS0/IEC 14443-A和IS0/IEC 7816协议、支 持国家密码管理局认可的密码算法(包括SMI、SSF33和RSA等)和摘要算法(如SHA-I等)、 可用作多界面智能银行卡的智能卡类产品。1、安全认证信息的非接触式传输通道的建立具体可分为两种应用形式
如图2所示，第一种形式，电脑与多界面安全智能卡间非接触式传输通道的建立。电 脑上要具有适用于多界面安全智能卡的非接触界面的智能卡读写器模块，这样才能与多界 面安全智能卡间建立起非接触式传输通道。一般形式是在电脑上增加一个外置式非接触式 智能卡读写器，并在电脑中安装相应读写器的配套程序(如驱动程序等)。如图3所示，第二种形式，具有短距离无线通信模块的手机终端与多界面安全智 能卡间非接触式传输通道的建立。此种形式是将该手机终端中的短距离无线通信模块设置 为非接触式智能卡读写器模式，从而与多界面安全智能卡建立起非接触式传输通道。2、安全认证协议本发明中安全认证协议是指在用户使用网银过程中，电脑或手 机终端与银行网银服务器之间进行双方身份安全认证时所遵循的协议和规范。该安全认证 协议是建立在使用公钥证书的基础上的。用户的公钥证书及私钥以及相应的加解密算法、 摘要算法都在多界面安全智能卡内，所以在安全认证过程中，电脑或手机终端与银行网银 服务器之间需要接发的相关数据都是在上述非接触式传输通道建立的基础上传递到多界 面安全智能卡内进行的处理(如数字签名、加解密等)并返回结果的。另外，在多界面安全智 能卡对交易关键信息进行数字签名处理以前，要先在其人机交互界面中的显示界面上显示 出来，只有等用户按下人机交互界面上的确认按键后才会执行数字签名操作。安全认证部分包括以下步骤 1)公钥证书的分发(如图4所示)
A、证书服务器为银行网银服务器和终端用户生成各自的公钥证书；
B、证书服务器离线向多界面安全智能卡写入银行网银服务器公钥证书；
C、证书服务器通知银行网银服务器用户公钥证书；2)安全认证电脑或手机终端和银行网银服务器之间通过公钥证书，实现双方(即终端 用户与银行)身份认证(如图5所示)。安全认证协议所发送的消息如下 d: PEs (Afc)
S->C:PEc(JVs, TIMEcs, TYPEcs, AMOUNTcs, EXTcs, SIGs(Afc)) C->S\PEs {Ns, SIGc {TIMEcs, TYPEcs, AMOUNTcs, EXTcs))
其中义表示电脑或手机终端发送方，^表示银行网银服务器接收方；PEc表示用C的公 钥加密，SIGc表示用C的私钥签名；PEs表示用S的公钥加密，SIGs表示用S的私钥签名； Nc表示发送方产生的验证因子，Afe表示接收方产生的验证因子-JlMEcs表示交易的操作时 间，TYPEcs表示交易的操作种类,JM^VTb1S表示操作金额，^TTb1S表示预留扩展部分。
安全认证协议执行的步骤如下
第一步，交易开始后，终端发送方向服务器接收方发出用服务器接收方证书公钥加密 认证请求，请求内容包括终端产生验证因子Afc ；
第二步，银行网银服务器根据当前使用网银的用户信息查找该用户相应的证书，并在 向证书服务器验证该证书合法性后，产生一个验证因子妝，利用自己的私钥对Afc进行签名 后与当前交易的交易操作时间TIMEcs,交易操作种类77/%^，操作金额JM^V/bs，预留扩 展部分等信息用接收方的加密公钥加密，然后传给终端；
第三步，终端对银行网银服务器发送来的密文信息进行脱密(先用自身的私钥脱密，再 用预存的银行网银服务器的公钥签证服务器签名)，检查Afc —致后；
第四步，验证通过后，移动终端对TIMEcs，TYPEcs, AMOUNTcs, EXTcs等信息用自己的私 钥签名后(在终端将这些信息送入多界面安全智能卡中进行数字签名处理以前，多界面安 全智能卡要先在其人机交互界面中的显示界面上将关键交易信息显示出来，只有等用户按 下人机交互界面上的确认按键后才会执行数字签名操作)，连同Afe—起用银行网银服务器 的公钥加密后传送给网银服务器；
第五步，网银服务器将收到的Afe与原来的Afe进行比较。若相同，表示双方身份安全认 证通过，交易成功。同时将移动终端对TIMEcs，TYPEcs, AMOUNTcs, EXTcs等交易信息的私 钥签名结果保存备案；若不相同，则交易失败。
权利要求
1. 一种基于多界面安全智能卡的网上银行远程支付的安全认证方法，其特征在于该 安全认证方法包括安全认证信息的非接触式传输通道的建立和安全认证协议两个基本部 分；所述的安全认证信息的非接触式传输通道的建立，分为电脑与多界面安全智能卡间非 接触式传输通道的建立，或者具有短距离无线通信模块的手机终端与多界面安全智能卡间 非接触式传输通道的建立；所述的安全认证协议是指在用户使用网银过程中，电脑或手机终端与银行网银服务器 之间进行双方身份安全认证时所遵循的协议和规范，该安全认证协议建立在使用公钥证书 的基础上，用户的公钥证书及私钥以及相应的加解密算法、摘要算法都在多界面安全智能 卡内，在安全认证过程中，电脑或手机终端与银行网银服务器之间需要收发的相关数据是 在上述非接触式传输通道建立的基础上传递到多界面安全智能卡内进行数字签名、加解密 处理，并返回结果，在多界面安全智能卡对交易关键信息进行数字签名处理以前，要先在其 人机交互界面中的显示界面上显示出来，只有等用户按下人机交互界面上的确认按键后才 会执行数字签名操作；安全认证协议部分包括以下步骤1)公钥证书的分发首先证书服务器为银行网银服务器和终端用户生成各自的公钥证 书，其次证书服务器离线向多界面安全智能卡写入银行网银服务器公钥证书，然后证书服 务器通知银行网银服务器用户公钥证书；2)安全认证电脑或手机终端和银行网银服务器之间通过公钥证书，实现终端用户与 银行双方身份认证，安全认证协议所发送的消息如下C->S:PEs (JVc)S->C:PEc {Ns, TIMEcs, TYPEcs, AMOUNTcs, EXTcs, SIGs(Afc)) C->S:PEs {Ns, SIGc {TIMEcs, TYPEcs, AMOUNTcs, EXTcs))其中义表示电脑或手机终端发送方，^表示银行网银服务器接收方；PEc表示用C的公 钥加密，SIGc表示用C的私钥签名；PEs表示用S的公钥加密，SIGs表示用S的私钥签名； Nc表示发送方产生的验证因子，Afe表示接收方产生的验证因子-JlMEcs表示交易的操作时 间，TYPEcs表示交易的操作种类,JM^VTb1S表示操作金额，^TTb1S表示预留扩展部分； 安全认证协议执行的步骤如下第一步，交易开始后，终端发送方向服务器接收方发出用服务器接收方证书公钥加密 认证请求，请求内容包括终端产生验证因子Afc ；第二步，银行网银服务器根据当前使用网银的用户信息查找该用户相应的证书，并在 向证书服务器验证该证书合法性后，产生一个验证因子妝，利用自己的私钥对Afc进行签名 后与当前交易的交易操作时间TIMEcs,交易操作种类77/%^，操作金额JM^V/bs，预留扩 展部分等信息用接收方的加密公钥加密，然后传给终端；第三步，终端对银行网银服务器发送来的密文信息进行脱密，先用自身的私钥脱密，再 用预存的银行网银服务器的公钥签证服务器签名，检查Afc —致后；第四步，验证通过后，终端对TIMEcs，TYPEcs, AMOUNTcs, EXTcs信息用自己的私钥签名 后，在终端将这些信息送入多界面安全智能卡中进行数字签名处理以前，多界面安全智能 卡要先在其人机交互界面中的显示界面上将关键交易信息显示出来，只有等用户按下人机交互界面上的确认按键后才会执行数字签名操作，连同Afe—起，用银行网银服务器的公钥 加密后传送给网银服务器；第五步，网银服务器将收到的Afe与原来的Afe进行比较，若相同，表示双方身份安全认 证通过，交易成功，同时将终端对/Tiffib^ TYPEcs, AMOUNTcs, EXTcs等交易信息的私钥签名 结果保存备案；若不相同，则交易失败。
2.根据权利要求1所述的基于多界面安全智能卡的网上银行远程支付的安全认证方 法，其特征在于所述的多界面安全智能卡是指在传统的接触界面和非接触界面多界面安 全智能卡的基础上再增加一个带有超薄柔性显示器、柔性薄膜按键和超薄柔性电池的人机 交互界面，用于为用户显示一些关键信息并等待用户按键输入确认的界面的安全智能卡， 它符合《中国金融集成电路(IC)卡规范(V2.0)》、《非接触支付IC卡支付规范》和国际标准 IS010536系列标准、支持IS0/IEC 14443-A和IS0/IEC 7816协议、支持国家密码管理局认 可的密码算法，该密码算法包括SM1、SSF33和RSA和摘要算法、可用作多界面智能银行卡的 智能卡类产品。
全文摘要
本发明涉及一种基于多界面安全智能卡的网上银行远程支付的安全认证方法，包括安全认证信息的非接触式传输通道的建立和安全认证协议，安全认证信息的非接触式传输通道的建立分为电脑或具有短距离无线通信模块的手机终端与多界面安全智能卡间非接触式传输通道的建立，在安全认证部分首先要进行公钥证书的颁发，然后证书服务器离线向多界面安全智能卡写入银行网银服务器公钥证书和通知银行网银服务器用户公钥证书,然后电脑或手机终端和银行网银服务器之间通过安全认证协议进行双方身份的认证,可节约配发USBKey的成本，方便用户对网银的使用,保证了交易的安全可靠。
文档编号H04L29/06GK102118251SQ20111002463
公开日2011年7月6日 申请日期2011年1月24日 优先权日2011年1月24日
发明者刘熙胖, 司志刚, 常朝稳, 李平, 梁松涛, 王一宁, 赵国磊, 韩培胜 申请人:郑州信大捷安信息技术有限公司