基于安全介质保密短信实现身份鉴别及数据认证的系统及方法与流程

本发明涉及移动支付安全通信技术领域，具体涉及一种基于安全介质保密短信实现身份鉴别及数据认证的系统及方法。

背景技术：

在互联网金融迅猛发展的背景下，移动互联网正渗透到各个行业领域。随着手机及其它移动终端的普及、移动支付市场的日渐成熟，越来越多的用户选择在移动端办理金融业务。与此同时，在移动终端办理金融业务，用户身份认证及数据认证则是保障金融应用安全的第一道环节，是其他安全机制的基础，这就使得移动端用户身份识别及交易安全保护问题已经成为移动互联网金融亟待解决的关键性问题。

基于现有手机基带芯片，大部分手机客户端应用均无法直接访问SIM卡，并无法通过客户现有SIM卡来实现交易签名或验签。现有手机客户端主要通过手机短信验证码、动态密码器、外接音频盾/蓝牙盾方式识别用户身份。在小额支付领域，目前普遍采用的是手机短信验证码的身份认证方式，这种方式的优势在于便利性高、成本低、易于推广普及，但是这种方式存在很大安全隐患：因短信下发过程中未采用加密技术，易发生短信在途攻击、恶意转发、短信拦截、短信篡改等风险，而且接收短信的客户，无法保证就是客户本人，一旦手机卡被复制或验证短信被劫持转发，则会导致用户的手机银行被非法盗用。对于手机外接音频盾/蓝牙盾实现身份认证的方式安全性比较高，但是手机外接额外设备其便利性与适配性不高、总体成本高、不易于大规模推广普及。与此同时，现有基于短信及专用动态密码设备的身份验证方式，在客户端一般采用软算法进行签名和加密，密钥及密码运算过程均存在数据泄露和恶意攻击风险，无法保证用户所见即所签。

技术实现要素：

针对上述技术问题，本发明提供了一种功能扩展SIM卡、基于安全介质保密短信实现身份鉴别及数据认证的系统及方法，主要应用在交易的签名验证、登录及交易过程中的实名身份认证等领域，目的在于减少短信在途截获及篡改攻击的风险，提升交易过程的安全性；与此同时，本发明无需额外设备投入，仅通过更换SIM卡即可低成本实现全部移动终端的通用性，在安全性得到明显提升的同时，可实现低成本、快速接入现有手机银行及移动互联网金融应用，因而这种方案具有安全性高、成本低、便利性高、通用性强的优势。

具体地，本发明提供了一种基于安全介质保密短信实现身份鉴别及数据认证的系统，其特征在于，包括功能扩展SIM卡、移动终端应用程序、云端服务器，所述功能扩展SIM卡包括安全芯片、蜂鸣器、指示灯，所述安全芯片由控制模块与安全处理模块集成，且所述功能扩展SIM卡中安装有基于JAVA平台操作系统、认证应用、STK应用和多应用管理平台，所述云端服务器包括认证服务器、CA服务器、业务服务器；所述认证服务器用于所述认证应用的管理，所述CA服务器用于证书的生成与管理，所述业务服务器用于银行或需要认证业务的第三方应用的管理；所述基于JAVA平台操作系统用于向所述认证应用、所述STK应用及所述多应用管理平台提供运行环境及API接口，所述多应用管理平台用于所述认证应用和STK应用的安全及管理，所述认证应用用于进行签名认证，安装于所述控制模块中所述STK应用用于所述功能扩展SIM卡内数据的输入输出，在交易过程中通过所述STK应用进行交易确认和客户身份验证，并根据交易内容产生相关控制指令，控制蜂鸣器的发声，并通过指示灯指示所述功能扩展SIM卡的工作状态。

本发明还提供了一种基于安全介质保密短信实现身份鉴别及数据认证的认证方法，利用上述基于安全介质保密短信实现身份鉴别及数据认证的系统进行认证，包括以下步骤：

步骤S101：用户通过移动终端应用程序发出数据认证请求；

步骤S102：所述移动终端应用程序校验功能扩展SIM卡的应用下载状态，移动终端应用程序向功能扩展SIM卡发送校验是否下载认证应用指令，功能扩展SIM卡返回当前应用状态给移动终端应用程序；

步骤S103：若认证应用已下载，转入步骤s605，否则，转入步骤S104；

步骤S104：移动终端应用程序向云端服务器中认证服务器发出认证应用下载申请，下载认证应用到功能扩展SIM卡中；

步骤S105：移动终端应用程序向功能扩展SIM卡发送校验证书状态指令，功能扩展SIM卡返回当前用户证书状态，移动终端应用程序校验证书下载状态，若已下载证书且证书有效，转入步骤S107，否则，转入步骤S106；

步骤S106：移动终端应用程序向认证服务器发出用户证书下载申请，下载用户证书到功能扩展SIM卡中；

步骤S107：移动终端应用程序向认证服务器发出交易认证请求；

步骤S108：认证服务器产生身份验证的动态验证码，并用服务器私钥进行签名，然后将动态验证码、签名数据及服务器证书一起通过功能扩展SIM卡的安全传输通道以数据短信方式发送给功能扩展SIM卡；

步骤S109：功能扩展SIM卡接收到数据后，安全芯片中安全处理模块使用安全芯片内存储的CA证书对服务器证书进行验证，若验证通过，从服务器证书中读取服务器公钥，用服务器的公钥对接收到的动态验证码数据进行验签，验证服务器的身份；

步骤S110：若验证通过，功能扩展SIM卡通过蜂鸣器给出验证通过提示音，转入步骤s611,否则，通过指示灯给出失败提示显示，转入步骤S117；

步骤S111：功能扩展SIM卡通过STK应用将动态验证码及交易信息通知用户；

步骤S112：用户通过STK应用确认交易或客户身份，用户的确认信息通过STK应用输入到认证应用程序；

步骤S113：功能扩展SIM卡的安全处理模块通过认证应用程序对用户的动态验证码用安全芯片中存储的私钥进行签名，然后将功能扩展SIM卡的用户证书及签名数据基于移动通信网络，并通过安全数据短信方式，发送给认证服务器；

步骤S114：认证服务器接收到数据后，先用服务器端CA证书对功能扩展SIM卡的用户证书进行验证，若验证通过，从功能扩展SIM卡的用户证书中提取公钥，用功能扩展SIM卡用户证书的公钥对接收到的数据进行验签，验证客户身份；

步骤S115：若验证通过，转入步骤S116,否则，转入步骤S118；

步骤S116：认证服务器返回验证通过信息给移动终端应用程序，移动终端应用程序向业务服务器发出下一步交易请求，开始业务交易；

步骤S117：功能扩展SIM卡返回验证失败信息给移动终端应用程序；

步骤S118：认证服务器返回验证失败信息给移动终端应用程序；

步骤S119：移动终端应用程序给出错误提示，数据认证流程结束。

作为优选，步骤S104中，下载认证应用到功能扩展SIM卡中的步骤包括：

步骤S201：用户通过移动终端应用程序向认证服务器发出认证应用下载申请；

步骤S202：认证服务器通过数据短信方式将认证应用下载到功能扩展SIM卡；

步骤S203：在功能扩展SIM卡上完成认证应用的下载安装后，功能扩展SIM卡通过数据短信方式响应认证应用的下载与安装结果；

步骤S204：移动终端应用程序接收功能扩展SIM卡返回的应用下载安装结果进行判断；

步骤S205：若认证应用安装成功，跳转到步骤S206,若安装失败，流程结束；

步骤S206：移动终端应用程序向认证服务器发出应用初始化申请。

作为优选，步骤S106中，下载用户证书到功能扩展SIM卡中的步骤包括：

步骤S301：用户通过移动终端应用程序向认证服务器发出证书下载申请；

步骤S302：认证服务器向CA服务器发出用户证书下载申请；

步骤S303：CA服务器生成用户证书并将证书发送给认证服务器；

步骤S304：认证服务器通过数据短信方式将证书下载到功能扩展SIM卡；

步骤S305：功能扩展SIM卡通过数据短信方式响应证书下载结果。

本发明技术方案，具有如下优点：

本发明提供的基于安全介质保密短信实现身份鉴别及数据认证的实现方案，创新的通过手机中的SIM卡来实现签名与验签，充分发挥SIM卡硬件签名安全机制，交易过程中服务器产生身份验证的动态验证码，由SIM卡的安全数据通道传输，通过STK应用通知直达用户，提升交易安全。因无需额外设备只需更换SIM卡(换卡不换号)即可实现全部移动终端通用，在安全性得到明显提升的同时，可实现低成本、快速接入手机银行应用，因而这种方案具有安全性高、成本低、便利性高、通用性强的优势，具体如下：

安全性高：基于云端+数据短信的方式实现与SIM卡的交互，基于SIM卡内置SE数据短信通道，与服务器进行双向身份认证，建立安全传输通道，充分发挥SIM卡的硬件签名安全机制，实现SIM卡一对一、双向实名认证，提升安全性，同时，服务器产生的动态验证码，通过SIM卡安全数据通道传输，极大的减少短信在途截获及篡改攻击的风险，基于SE的安全运算功能及双向确认机制，通过引入TOKEN机制实现会话密钥一次一协商，增强认证安全性，另外，交易过程中引入STK程序进行交易确认和客户身份验证，交易报文信息与交易确认、身份验证信息传输通道分离提升安全性；

成本低：仅需更换SIM卡(换卡不换号)，无需更换移动终端或接入其它额外设备即可实现全部移动终端通用，实现成本很低；

便利性高，通用性强：交易过程中增加客户短信确认过程，与现有短信验证方式客户体验基本不变；与此同时，因本方案可与市场上现有手机实现完全适配，兼容性好，在安全性得到明显提升的同时，可实现低成本、快速接入现有移动互联网应用，通用、便利及安全“鱼与熊掌兼得”。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种基于安全介质保密短信实现身份鉴别及数据认证的系统示意图；

图2为图1中扩展SIM卡的硬件结构示意图；

图3为图2中扩展SIM卡的逻辑处理结构示意图；

图4为本发明提供的一种基于安全介质保密短信实现身份鉴别及数据认证过程的认证方法的流程示意图；

图5为图4提供的认证方法中应用下载流程示意图；

图6为图4提供的认证方法中证书下载流程示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供了一种基于安全介质保密短信实现身份鉴别及数据认证的系统，主要通过基于安全数据短信的方式实现与功能扩展SIM卡的交互，基于功能扩展SIM卡内置安全芯片数据短信通道，与服务器端建立安全传输通道，充分发挥功能扩展SIM卡硬件签名安全机制。同时，在交易过程中引入STK程序进行交易确认和客户身份验证，交易报文信息与交易确认、身份验证信息传输通道分离提升安全性，交易过程中服务器产生身份验证的动态验证码，由功能扩展SIM卡的安全数据通道传输，通过STK应用通知直达用户，提升交易安全。基于安全芯片的安全运算功能及双向确认机制，通过引入TOKEN机制实现双向会话密钥一次一协商，增强认证安全性，基于云端服务器实现在线实时+实名挂失。

下面结合附图对本发明技术方案进行详细说明。

如图1所示，本实施例提供的基于安全介质保密短信实现身份鉴别及数据认证的系统包括功能扩展SIM卡11、移动终端应用程序12、云端服务器13，所述云端服务器13包括认证服务器130、CA服务器131、业务服务器132。

所述移动终端应用程序12是安装在移动终端例如手机上的一个应用软件程序，即APP，主要负责提供显示界面及与功能扩展SIM卡11和云端服务器13通信。移动终端应用程序12通过数据短信方式与功能扩展SIM卡11通信，通过无线网络与云端服务器13通信。

所述云端服务器13是多台服务器组成的一个资源池。其中，认证服务器130主要功能是负责认证应用1104的管理、认证应用1104的下载安装业务流程、交易的签名认证流程，产生手机动态验证码等。CA服务器131负责证书的生成与管理。业务服务器132负责银行或需要认证业务的第三方应用的管理。所述云端服务器13通过移动终端应用程序12可以与功能扩展SIM卡11进行双向认证，建立安全通道进行安全通信。

如图2所示，功能扩展SIM卡11包括安全芯片110、蜂鸣器111及指示灯112。

所述安全芯片110，是整个产品的核心部件，由控制模块1101与安全处理模块1102集成。

所述安全处理模块1102，是整个安全芯片110的核心，一方面，负责与移动终端设备之间的通信与数据传输；另一方面，负责存放和执行软件程序代码，数据加解密、数据存储及数据通信等安全操作，并将相关控制指传发送至控制模块1101。

所述控制模块1101，发挥模块通信及控制的功能，是功能扩展SIM卡11内各个模块协同工作的通讯中心，可通过安全处理模块1102发送的控制指令驱动和控制各个工作模块执行任务，主要包括蜂鸣器111及指示灯112的管理及控制，控制指令由安全处理模块统一生成。

所述蜂鸣器111主要是用来为功能扩展SIM卡11提供声音提示，通过蜂鸣器的鸣叫可提示功能扩展SIM卡11的当前的工作状态。

所述指示灯112主要是用来表示功能扩展SIM卡11的当前状态，包括但不局限于通过指示灯的灯光颜色、灯光亮灭、灯光闪烁来表示功能扩展SIM卡11的当前工作状态。

如图3所示是功能扩展SIM卡11的系统逻辑处理结构示意图。所述功能扩展SIM卡11包括基于JAVA平台操作系统1106、认证应用1104、STK应用1103及多应用管理平台1105。其中，基于JAVA平台操作系统1106是整个功能扩展SIM卡11的操作系统平台，基于JAVA平台进行构建，提供应用运行所需的JAVA虚拟机、JAVA运行环境及JAVA API，为认证应用1104、STK应用1103及多应用管理平台1105提供运行环境及API接口。多应用管理平台1105负责功能扩展SIM卡11的安全域管理及多应用管理，可实现各应用间的安全隔离及独立管理，主要负责认证应用1104及STK应用1103的安全及管理。认证应用1104是SIM卡11中的一个应用，主要负责签名认证功能，可以在功能扩展SIM卡11出厂和发行时预置认证应用1104,也可以通过云端服务器13将认证应用1104通过数据短信的方式下载到功能扩展SIM卡11中。STK应用1103是功能扩展SIM卡11中的应用程序，负责SIM卡11内数据的输入输出，在交易过程中，可通过STK应用1103程序进行交易确认和客户身份验证，同时，根据交易内容产生相关控制指令，控制蜂鸣器111的发声，并通过指示灯112指示功能扩展SIM卡11的工作状态。

如图4所示，本发明还提供的一种基于安全介质保密短信实现身份鉴别及数据认证的认证方法，包括以下步骤：

步骤S101：用户通过移动终端应用程序12发出数据认证请求；

步骤S102：移动终端应用程序12校验功能扩展SIM卡11的应用下载状态，移动终端应用程序12向功能扩展SIM卡11发送校验是否下载认证应用指令，功能扩展SIM卡11返回当前应用状态给移动终端应用程序12；

步骤S103：若认证应用已下载，转入步骤S105，否则，转入步骤S104；

步骤S104：移动终端应用程序12向认证服务器130发出认证应用下载申请，按照图5流程下载认证应用到功能扩展SIM卡11中；

步骤S105：移动终端应用程序12向功能扩展SIM卡11发送校验证书状态指令，功能扩展SIM卡11返回当前用户证书状态，移动终端应用程序12校验证书下载状态，若已下载证书且证书有效，转入步骤S107，否则，转入步骤S106；

步骤S106：移动终端应用程序12向认证服务器130发出用户证书下载申请，按照图6流程下载用户证书到功能扩展SIM卡11中；

步骤S107：移动终端应用程序12向认证服务器130发出交易认证请求；

步骤S108：认证服务器130产生身份验证的动态验证码，并用服务器私钥进行签名，然后将动态验证码、签名数据及服务器证书一起通过功能扩展SIM卡11的安全传输通道以数据短信方式发送给功能扩展SIM卡11；

步骤S109：功能扩展SIM卡11接收到数据后，功能扩展SIM卡11的安全处理模块1102使用安全芯片内存储的CA证书对服务器证书进行验证，若验证通过，从服务器证书中读取服务器公钥，用服务器的公钥对接收到的动态验证码数据进行验签，验证服务器的身份；

步骤S110：若验证通过，功能扩展SIM卡11通过蜂鸣器111给出验证通过提示音，转入步骤s611,否则，通过指示灯112给出失败提示显示，转入步骤S117；

步骤S111：功能扩展SIM卡11通过STK应用1103将动态验证码及交易信息通知用户；

步骤S112：用户通过STK应用1103确认交易或客户身份，用户的确认信息通过STK应用1103输入到认证应用程序；

步骤S113：功能扩展SIM卡11的安全处理模块1102通过认证应用程序对用户的确认信息动态验证码用安全芯片中存储的私钥进行签名，然后将功能扩展SIM卡11的用户证书及签名数据基于移动通信网络，并通过安全数据短信方式，发送给认证服务器130；

步骤S114：认证服务器130接收到数据后，先用服务器端CA证书对功能扩展SIM卡11的用户证书进行验证，若验证通过，从功能扩展SIM卡11的用户证书中提取公钥，用功能扩展SIM卡11用户证书的公钥对接收到的数据进行验签，验证客户身份；

步骤S115：若验证通过，转入步骤S116,否则，转入步骤S118；

步骤S116：认证服务器130返回验证通过信息给移动终端应用程序12，移动终端应用程序12向业务服务器132发出下一步交易请求，开始业务交易；

步骤S117：功能扩展SIM卡11返回验证失败信息给移动终端应用程序12；

步骤S118：认证服务器130返回验证失败信息给移动终端应用程序12；

步骤S119：移动终端应用程序12给出错误提示，数据认证流程结束。

图5是应用下载的流程示意图。认证应用必须在安全环境下下载到功能扩展SIM卡11中，可以采用预置的方式在功能扩展SIM卡11出厂时由厂商预置到功能扩展SIM卡11中，也可以在营业厅发行时下载到功能扩展SIM卡11中。本实施例中的方式是用户通过在线的方式从云端服务器13下载到功能扩展SIM卡11中，此种在线下载应用的方式要求密钥提前预置到功能扩展SIM卡11中，保证应用下载的安全。应用下载的流程如下：

步骤S201：用户通过移动终端应用程序12向认证服务器130发出认证应用1104下载申请；

步骤S202：认证服务器130通过数据短信方式将认证应用1104下载到功能扩展SIM卡11；

步骤S203：在功能扩展SIM卡11上完成认证应用1104的下载安装后，功能扩展SIM卡11通过数据短信方式响应认证应用1104的下载与安装结果；

步骤S204：移动终端应用程序12接收功能扩展SIM卡11返回的应用下载安装结果进行判断；

步骤S205：若认证应用1104安装成功，跳转到步骤S206,若安装失败，流程结束；

步骤S206：移动终端应用程序12向认证服务器130发出应用初始化申请。

图6是证书下载的流程示意图,包括以下步骤：

步骤S301：用户通过移动终端应用程序12向认证服务器130发出证书下载申请；

步骤S302：认证服务器130向CA服务器131发出用户证书下载申请；

步骤S303：CA服务器131生成用户证书并将证书发送给认证服务器130；

步骤S304：认证服务器130通过数据短信方式将证书下载到功能扩展SIM卡11；

步骤S305：功能扩展SIM卡11通过数据短信方式响应证书下载结果。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。