基于SWP—SIM技術的移動終端身份認證及使用授權的實現方法

張潭 林偉雄

摘 要：移動終端身份認證是信息安全技術的一個重要方面，較為流行的身份認證技術各自存在一定的優缺點。文章提出SWP-SIM技術安全機制，應用更為全面、安全、并且應用靈活的認證及使用授權，通過SWP標準的說明和SWP工藝在SIM卡的應用，實現移動支付功能進而被通訊市場認可，針對SWP-SIM卡模塊的加工分析，解決SWP模塊加工中的問題，為SWP-SIM技術的移動終端身份認證及使用授權大批量加工和投放市場提供準備。

關鍵詞：使用授權；身份認證；移動終端；SWP-SIM技術

中圖分類號：TP309.1 文獻標志碼：A 文章編號：2095-2945（2018）09-0021-02

Abstract： Mobile terminal identity authentication is an important aspect of information security technology， while the more popular identity authentication technology has its own advantages and disadvantages. In this paper， the security mechanism of SWP-SIM technology is put forward， which is more comprehensive， secure and flexible in application of authentication and authorization for use. It is applied in SIM card through the description of SWP standard and the application of SWP process. The realization of mobile payment function is recognized by the communication market， aiming at the processing analysis of SWP-SIM card module， to solve the problems in the processing of SWP module and prepare for mobile terminal identity authentication and authorization for mass processing and launch of SWP-SIM technology.

Keywords： authorization for use； identity authentication； mobile terminal； SWP-SIM technology

1 概述

SWP-SIM卡以常規SIM卡為基礎進行了擴展，在卡片內部集成了面向NFC應用所需的物理芯片，并在邏輯上提供了獨立的交互通道實現與外部設備的信息交互。SWP-SIM卡可同時提供面向移動通信所需的服務功能（SIM卡功能）以及面向NFC應用的服務功能，兩者在物理層面上獨立運作，互不影響。

SWP-SIM卡上NFC功能模塊的核心為SE（Secure Element，安全元件），SE內置COS（Chip Operation System，智能卡操作系統），COS運行在SE所提供的安全環境中，提供SE內部的文件創建、讀寫、修改、刪除操作，卡應用（Applet）管理、加載與運行管理等基本功能。為確保Applet和數據的安全性，SE中可為系統和應用劃分各自獨立的內存空間，從而實現不同應用的Applet和數據的完全隔離。此外，COS還提供了對當前成熟的3DES算法（Triple Data Encryption Standard，3重數據加密標準）、RSA算法（公鑰加密算法）的支持，算法實現過程完全在SE內部進行。

加載于移動終端OS（如Android）上的APP，可以通過OS提供的相關接口實現對所插卡片中Applet的調用，從而對APP中的身份認證所需的敏感數據進行存儲和處理。由于SWP-SIM卡完全由運營商定制，在向用戶發卡時進行卡片初始化，直到卡被注銷，全程受到運營商的卡管理平臺管控，APP開發者可以從運營商的卡管理平臺獲得授權，對授權的卡內SE的數據域進行管控和應用，因此，APP中用于身份認證的數據受到發卡運營商和應用開發商的雙重嚴格管控，未被授權外部攻擊無法對卡內敏感數據進行訪問和篡改，從而滿足高強度的信息安全應用需求。

2 移動終端身份認證、授權的實現機制

利用SWP-SIM卡上SE所提供的信息安全處理功能，可以用于移動終端APP中所需的身份認證、授權等對信息安全敏感的功能。

應用安全域是移動終端身份認證、授權的實現機制的基礎和核心，每個應用可以構建自己的安全域，該應用相關的移動終端APP、終端用戶、應用后臺都需要在獲得授權后才能進入相應的應用安全域，所以，在該應用安全域內的所有對象都是可信任的。

授權信息采用一卡一密，一次一密的形式，每張SWP-SIM卡授權信息都采用不同且唯一性的密鑰進行加密，密鑰本身存放于卡上的SE中，任何一張卡片的密鑰泄露、被破解都不會影響到其他卡片的信息安全。對密鑰的使用均在COS的管控下在SE內部進行，終端設備的OS和APP用均無法訪問到密鑰?？ㄆ系氖跈嘈畔⒕哂形ㄒ恍裕看螌κ跈嘈畔⒌尿炞C和確認過程中，均采用不同且唯一的密文進行交互，僅在本次驗證和確認過程中有效，驗證和確認過程完成后即失效，以防止密文被攻擊者截獲后冒用。

2.1 移動終端身份認證技術

身份認證如同每個人都擁有的一張證明個人身份的身份證或護照。即是安全訪問的第一道關卡，包括用戶向系統出示自己的身份證明和系統核查用戶身份證明的過程。為了防止計算機資源的非授權訪問和獲取，每個用戶與主機之間建立了口令。用戶登錄的初始階段就是采用的口令認證方案，口令認證方案簡單無法抵抗重放冒充和窮舉猜測等攻擊。針對身份認證方法的準確性、安全性和可靠性提出了更高的要求，伴隨網絡詐騙和攻擊技術的發展，目前移動終端身份認證技術身份認證主要包括基于智能卡的認證、動態口令認證和生物認證幾種方式。

基于智能卡的認證進行鑒別時用戶首先輸入用戶的身份識別碼PIN，智能卡上存儲著用戶的個人秘密信息，智能卡鑒別PIN。確認后計算機可以從智能卡中讀取用戶的秘密信息并傳遞到遠程服務器，服務器收到秘密信息對用戶的身份進行鑒別。智能卡的識別方法為雙因素的識別方式，無論是盜用用戶的PIN或盜用用戶的智能卡，PIN或智能卡二者缺一不可，入侵者都不能通過該系統的認證。動態口令認證使用次數不斷變化且每個密碼只能使用一次的技術，采用一種動態令牌的硬件設備，自帶電源、密碼生成芯片和顯示屏，根據當前時間或使用次數生成當前密碼并顯示，密碼生成芯片運行專門的密碼算法。動態口令技術采用一次一密的方法，防止了泄露和重放攻擊，有效保證了用戶身份的安全性?？蛻舳伺c服務器端的時間或次數不能保持同步，用戶每次登錄時需要通過鍵盤輸入一長串無規律的密碼，就容易發生合法用戶無法登錄的問題。生物特征分為身體特征和行為特征兩類，主要是指通過可測量的身體或行為等生物特征進行身份認證的一種技術。

2.2 移動終端的授權協議

平臺內部的密鑰、敏感數據及其他需要存儲保護的數據稱謂對象，每個對象必須具有相應的授權數據，一個授權數據可以對應多個對象，通過授權數據的驗證才能訪問對象。TPM所有者的授權數據保存在TPM中，其他的對象和授權數據加密后可以存儲在TPM外部。對象的授權數據是由用戶從平臺輸入，經Hash算法進行長度歸一化處理后存儲，表示為auth Data=Hash（input Data）。根據TPM規范中的相關協議，設計的移動終端的改進授權的實現機制滿足如下要求。（1）協議提供認證機制。以auth Data為共享密鑰生成校驗值，判斷調用者是否擁有某一實體的權限。（2）協議提供可選的機密性保護機制。根據需要，以ECC的公鑰對功能調用階段的數據包進行加密保護。If EncryPted為是否對通信數據包進行加密的標志，在特殊情況下通信數據本身已經加密。（3）協議提供抗重放機制。seq為抗重放序列號，由TPM生成并在外部調用者和TPM之間共享。雙方各自維護序列號，每發送一個數據包序列號自增1，用以防止重放攻擊。

3 應用場景示例

3.1 增強型動態短信驗證控件

目前手機銀行、移動支付等應用絕大多數均采用戶名+用戶密碼+動態短信驗證碼的方式進行用戶身份的驗證，由于用戶名、用戶密碼和動態短信驗證碼均為可視可復制的信息，很容易被木馬、病毒和釣魚網站所截獲，甚至通過電話詐騙手段所獲取，從而盜取用戶賬戶中的資金。利用本方法升級移動銀行APP和后臺應用后，銀行后臺系統所發送和接收的驗證碼是經過用戶手機上的SWP-SIM卡上的Applet認證處理過的數據，而攻擊者截獲了用戶名、用戶密碼和動態短信驗證碼后，由于無法在合法用戶手機之外的環境中被認證，因而也無法通過用戶身份的認證。此外，該控件還對APP本身的有效性進行認證，防止用戶不慎安裝了釣魚APP或被惡意篡改了的APP。

3.2 企業移動應用綜合服務控件

在企業移動信息化服務過程中，由于移動終端的流動性的特點，因終端遺失、他人冒用等問題而帶來的企業信息安全問題層出不窮。利用本方法可以構建面向企業移動應用的安全服務控件，在不改變企業現有移動信息化系統架構的前提下，利用用戶手機上的SWP-SIM卡上定制的Applet為企業APP提供信息安全增強服務能力，從而在新用戶開戶、用戶移動端登錄、業務功能開通、業務功能使用、內部小額快捷支付及充值等通用功能中，大幅度提升安全性能，最大限度地避免因移動終端的非授權使用而給企業帶來的損失。

4 結束語

通過SWP-SIM卡的根權限在發卡運營商，獲得相應的卡上SE當中所分配的數據域的使用授權，安全服務平臺需要先從運營商卡管控平臺。授權信息采用一卡一密，一次一密的形式，運營商分配的卡片SE數據域內存放安全平臺管理所有的應用授權信息。采用不同且唯一性的密鑰加密每張SWP-SIM的授權信息。密鑰本身存放于卡上的SE中，一張卡片密鑰的泄露、破解不會影響到其他卡片的信息安全，外部OS和應用均無法訪問到密鑰，密鑰的使用均在COS的管控下在卡片內部進行。每次對授權信息的驗證和確認過程，卡片上的授權信息具有唯一性，均采用不同且唯一的密文進行交互，驗證和確認過程完成后即失效，驗證和確認過程中有效防止密文被攻擊者截獲后冒用。

參考文獻：

[1]成聰，譚琨.SWP-SIM卡實現方式與模塊加工[J].電子世界，2016（17）：101-102.

[2]常朝穩，魏彥芬，王帥.面向現場支付的MCSP模式及其支付協議[J].小型微型計算機系統，2014，35（10）：2319-2324.

[3]S Sarkisian， TR Fenton， AA Shaheen， M Raman. Parenteral nutrition-associated hyperglycemia in noncritically ill inpatients is associated with higher mortality[J]. Canadian Journal of Gastroenterology， 2010，24（7）：453-457.

[4]韓麗英，陳紹強.近距離通信的SWP方案及在SIM卡中的實現方法[J].單片機與嵌入式系統應用，2010（3）：31-34.

[5]趙丙秀.基于AdHoc的近距離通信的實現[J].計算機時代，2017（12）：32-34.