常見移動環(huán)境下身份認證技術方案身份認證技術是在互聯(lián)網(wǎng)中為確認操作者身份而產(chǎn)生的解決方法。移動互聯(lián)網(wǎng)中一切信息包括用戶身份信息都是用一組特定的數(shù)據(jù)來表示的，如何保證以數(shù)字身份進行操作的操作者就是這個數(shù)字身份的合法擁有者，也就是說保證操作者的物理身份與數(shù)字身份相對應，身份認證技術就是為了解決這個問題。為確保身份認證的真實有效，對于身份認證技術有以下幾項基本的安全需求。

⑴保密性：確保交易過程中涉及的大量保密數(shù)據(jù)在公開網(wǎng)絡的傳輸過程中不被竊取。

⑵完整性：保證交易信息在傳輸過程中不會被篡改或通過重復發(fā)送進行虛假交易。

⑶雙向認證：基于單向認證的第二代移動網(wǎng)絡安全機制己經(jīng)導致多種利用協(xié)議漏洞的攻擊出現(xiàn)，如中間人攻擊等，因此保證交易雙方身份的正確性尤為重要。

⑷不可抵賴性：確保交易完成后，交易的任何一方都無法否認已經(jīng)發(fā)生的交易。

目前移動互聯(lián)網(wǎng)中常用的身份認證技術有多種，它們具有不同的操作方式，具備不同的安全等級，可以適用于不同的應用場景。

基于硬件安全模塊的PKI身份認證技術方案文件數(shù)字證書在安全等級上是最高的，同時具備雙向認證機制及不可抵賴性，是一種較為適合高安全互聯(lián)網(wǎng)應用的認證方式。這種方式的問題在于，使用文件方式存儲數(shù)字證書，難以阻止非授權的訪問，一旦文件被破譯，就會造成用戶密鑰的泄漏，從而導致業(yè)務信息被破解。網(wǎng)銀目前最普遍使用的USBKEY認證也是一種通過數(shù)字證書進行安全認證的方式，與文件數(shù)字證書方式相比，其證書及用戶的密鑰都采用硬件進行存儲，因此能夠避免非法的訪問。能否在移動終端上引入專用的安全硬件完成類似計算機上USBKEY的功能，成為一種很自然的想法。

為此我們研究并提出了一種基于硬件安全模塊（SecureElement，SE，本文中的安全模塊均指通過硬件方式實現(xiàn)）的PKI身份認證技術，就是將數(shù)字證書、用戶密鑰存儲在專用的安全模塊中，并由安全模塊完成各種加/解密及簽名/驗簽運算，從而保證用戶數(shù)據(jù)的安全。

2.1網(wǎng)絡總體結(jié)構

本方案的網(wǎng)絡結(jié)構如圖1所示，其中主要的功能實體包括PKI安全模塊、手機終端、業(yè)務系統(tǒng)平臺、CA中心。

2.1.1PKI安全模塊

PKI安全模塊是集成在移動終端中的專用安全設備，能安全地存儲用戶密鑰和數(shù)字證書，可實現(xiàn)公私密鑰對生成、數(shù)字證書存儲及訪問、對稱（非對稱）加/解密、生成/驗證數(shù)字簽名等功能。為提高非對稱運算的速度和效率，通常會在安全模塊中集成專用的RSA協(xié)處理器用以快速完成密鑰對生成及各種RSA相關的加/解密、簽名/驗簽運算（對于使用ECC算法進行認證的業(yè)務，可集成ECC協(xié)處理器）。

2.1.2手機終端

手機終端是操作系統(tǒng)和客戶端軟件的運行載體。　操作系統(tǒng)提供了底層的硬件驅(qū)動支持，為應用軟件提供了對安全模塊的訪問接口。　客戶端軟件向用戶提供了業(yè)務交互的界面，它一方面通過調(diào)用操作系

統(tǒng)提供的安全模塊訪問接口來實現(xiàn)各種安全運算，另一方面則通過移動網(wǎng)絡與業(yè)務系統(tǒng)平臺進行業(yè)務交互，在安全模塊與后臺系統(tǒng)之間建立了一條實時交互的通道。

2.1.3CA中心

CA中心是PKI體系的核心，它是證書的簽發(fā)機構，是保證業(yè)務交易的權威性、可信任性和公正性的第三方機構，負責生成、分發(fā)和撤銷數(shù)字證書。此外CA中心還承擔公鑰體系中公鑰合法性檢驗的責任，驗證用戶身份的真實性。

2.1.4業(yè)務系統(tǒng)平臺

業(yè)務系統(tǒng)平臺負責實際處理用戶的交易請求，并通過與CA中心的交互，協(xié)助完成用戶證書管理、簽名驗證等功能。2.2功能層次架構由于業(yè)務系統(tǒng)的設計實現(xiàn)較為成熟，本文將集中對手機客戶端的功能層次架構進行說明。手機客戶端分為應用層、安全應用接口層、手機操作系統(tǒng)層和物理硬件層4個層次。　應用層：客戶端軟件，通過調(diào)用安全應用接口層提供的標準接口，完成具體業(yè)務功能。

　安全應用接口層：安全應用中間件是連接安裝在移動終端上的客戶端軟件與安全模塊之間的橋梁。

安全應用中間件屏蔽了底層手機操作系統(tǒng)、安全模塊的差異，向應用層提供了標準的PKI運算接口，稱為安全應用接口，具體包括密鑰對生成、數(shù)字證書訪問和管理、加/解密、簽名/驗簽等。由于不同終端的操作系統(tǒng)和安全模塊驅(qū)動并不統(tǒng)一，因此安全應用中間件需要根據(jù)終端進行適配，工作量非常大。為此需要針對目前主流的手機操作系統(tǒng)，包括Android、iOS、Symbian等，制定安全模塊驅(qū)動接口標準，推動終端廠商遵循，減輕安全應用中間件的適配工作量。

　終端操作系統(tǒng)層：手機終端與智能卡設備之間的訪問接口簡稱為機卡接口。終端廠商在手機操作系統(tǒng)層對機卡接口進行技術實現(xiàn)，并向上層應用提供標準的安全模塊訪問接口。

對于SD卡方式，具備SD卡的終端都支持標準的SD卡訪問接口。為區(qū)分對SD卡的普通存儲訪問和安全模塊訪問，一般可以采用專用文件讀寫方式實現(xiàn)：⑴安全應用中間件調(diào)用SD卡寫入接口，將請求指令寫入到SD卡上的專用輸入文件中；⑵控制芯片判斷是對專用文件的寫入，認為這是安全模塊訪問指令，進入業(yè)務處理流程；⑶驗證業(yè)務請求的合法性，確保是由合法的系統(tǒng)后臺發(fā)出（可通過簽名驗證等方式）；⑷驗證通過后進行運算處理，并將處理后的結(jié)果經(jīng)過加密、簽名后放到專用輸出文件中；⑸安全應用中間件在發(fā)送訪問請求后，對輸出文件進行定時查詢，直至取得返回結(jié)果。

對于SIM卡方式，手機終端操作系統(tǒng)目前對SIM卡的訪問是通過“RIL（RadioInterfaceLayer，無線接口層）→基帶芯片（BasebandProcessor）→SIM卡”的通路實現(xiàn)的，由于SIM卡方式的機卡接口實現(xiàn)技術較為復雜,具體方案在下文中進行專門討論。