本發明涉及移動支付安全通信技術領域，具體涉及一種基于安全介質保密短信實現身份鑒別及數據認證的系統及方法。

背景技術：

在互聯網金融迅猛發展的背景下，移動互聯網正滲透到各個行業領域。隨著手機及其它移動終端的普及、移動支付市場的日漸成熟，越來越多的用戶選擇在移動端辦理金融業務。與此同時，在移動終端辦理金融業務，用戶身份認證及數據認證則是保障金融應用安全的第一道環節，是其他安全機制的基礎，這就使得移動端用戶身份識別及交易安全保護問題已經成為移動互聯網金融亟待解決的關鍵性問題。

基于現有手機基帶芯片，大部分手機客戶端應用均無法直接訪問SIM卡，并無法通過客戶現有SIM卡來實現交易簽名或驗簽。現有手機客戶端主要通過手機短信驗證碼、動態密碼器、外接音頻盾/藍牙盾方式識別用戶身份。在小額支付領域，目前普遍采用的是手機短信驗證碼的身份認證方式，這種方式的優勢在于便利性高、成本低、易于推廣普及，但是這種方式存在很大安全隱患：因短信下發過程中未采用加密技術，易發生短信在途攻擊、惡意轉發、短信攔截、短信篡改等風險，而且接收短信的客戶，無法保證就是客戶本人，一旦手機卡被復制或驗證短信被劫持轉發，則會導致用戶的手機銀行被非法盜用。對于手機外接音頻盾/藍牙盾實現身份認證的方式安全性比較高，但是手機外接額外設備其便利性與適配性不高、總體成本高、不易于大規模推廣普及。與此同時，現有基于短信及專用動態密碼設備的身份驗證方式，在客戶端一般采用軟算法進行簽名和加密，密鑰及密碼運算過程均存在數據泄露和惡意攻擊風險，無法保證用戶所見即所簽。

技術實現要素：

針對上述技術問題，本發明提供了一種功能擴展SIM卡、基于安全介質保密短信實現身份鑒別及數據認證的系統及方法，主要應用在交易的簽名驗證、登錄及交易過程中的實名身份認證等領域，目的在于減少短信在途截獲及篡改攻擊的風險，提升交易過程的安全性；與此同時，本發明無需額外設備投入，僅通過更換SIM卡即可低成本實現全部移動終端的通用性，在安全性得到明顯提升的同時，可實現低成本、快速接入現有手機銀行及移動互聯網金融應用，因而這種方案具有安全性高、成本低、便利性高、通用性強的優勢。

具體地，本發明提供了一種基于安全介質保密短信實現身份鑒別及數據認證的系統，其特征在于，包括功能擴展SIM卡、移動終端應用程序、云端服務器，所述功能擴展SIM卡包括安全芯片、蜂鳴器、指示燈，所述安全芯片由控制模塊與安全處理模塊集成，且所述功能擴展SIM卡中安裝有基于JAVA平臺操作系統、認證應用、STK應用和多應用管理平臺，所述云端服務器包括認證服務器、CA服務器、業務服務器；所述認證服務器用于所述認證應用的管理，所述CA服務器用于證書的生成與管理，所述業務服務器用于銀行或需要認證業務的第三方應用的管理；所述基于JAVA平臺操作系統用于向所述認證應用、所述STK應用及所述多應用管理平臺提供運行環境及API接口，所述多應用管理平臺用于所述認證應用和STK應用的安全及管理，所述認證應用用于進行簽名認證，安裝于所述控制模塊中所述STK應用用于所述功能擴展SIM卡內數據的輸入輸出，在交易過程中通過所述STK應用進行交易確認和客戶身份驗證，并根據交易內容產生相關控制指令，控制蜂鳴器的發聲，并通過指示燈指示所述功能擴展SIM卡的工作狀態。

本發明還提供了一種基于安全介質保密短信實現身份鑒別及數據認證的認證方法，利用上述基于安全介質保密短信實現身份鑒別及數據認證的系統進行認證，包括以下步驟：

步驟S101：用戶通過移動終端應用程序發出數據認證請求；

步驟S102：所述移動終端應用程序校驗功能擴展SIM卡的應用下載狀態，移動終端應用程序向功能擴展SIM卡發送校驗是否下載認證應用指令，功能擴展SIM卡返回當前應用狀態給移動終端應用程序；

步驟S103：若認證應用已下載，轉入步驟s605，否則，轉入步驟S104；

步驟S104：移動終端應用程序向云端服務器中認證服務器發出認證應用下載申請，下載認證應用到功能擴展SIM卡中；

步驟S105：移動終端應用程序向功能擴展SIM卡發送校驗證書狀態指令，功能擴展SIM卡返回當前用戶證書狀態，移動終端應用程序校驗證書下載狀態，若已下載證書且證書有效，轉入步驟S107，否則，轉入步驟S106；

步驟S106：移動終端應用程序向認證服務器發出用戶證書下載申請，下載用戶證書到功能擴展SIM卡中；

步驟S107：移動終端應用程序向認證服務器發出交易認證請求；

步驟S108：認證服務器產生身份驗證的動態驗證碼，并用服務器私鑰進行簽名，然后將動態驗證碼、簽名數據及服務器證書一起通過功能擴展SIM卡的安全傳輸通道以數據短信方式發送給功能擴展SIM卡；

步驟S109：功能擴展SIM卡接收到數據后，安全芯片中安全處理模塊使用安全芯片內存儲的CA證書對服務器證書進行驗證，若驗證通過，從服務器證書中讀取服務器公鑰，用服務器的公鑰對接收到的動態驗證碼數據進行驗簽，驗證服務器的身份；

步驟S110：若驗證通過，功能擴展SIM卡通過蜂鳴器給出驗證通過提示音，轉入步驟s611,否則，通過指示燈給出失敗提示顯示，轉入步驟S117；

步驟S111：功能擴展SIM卡通過STK應用將動態驗證碼及交易信息通知用戶；

步驟S112：用戶通過STK應用確認交易或客戶身份，用戶的確認信息通過STK應用輸入到認證應用程序；

步驟S113：功能擴展SIM卡的安全處理模塊通過認證應用程序對用戶的動態驗證碼用安全芯片中存儲的私鑰進行簽名，然后將功能擴展SIM卡的用戶證書及簽名數據基于移動通信網絡，并通過安全數據短信方式，發送給認證服務器；

步驟S114：認證服務器接收到數據后，先用服務器端CA證書對功能擴展SIM卡的用戶證書進行驗證，若驗證通過，從功能擴展SIM卡的用戶證書中提取公鑰，用功能擴展SIM卡用戶證書的公鑰對接收到的數據進行驗簽，驗證客戶身份；

步驟S115：若驗證通過，轉入步驟S116,否則，轉入步驟S118；

步驟S116：認證服務器返回驗證通過信息給移動終端應用程序，移動終端應用程序向業務服務器發出下一步交易請求，開始業務交易；

步驟S117：功能擴展SIM卡返回驗證失敗信息給移動終端應用程序；

步驟S118：認證服務器返回驗證失敗信息給移動終端應用程序；

步驟S119：移動終端應用程序給出錯誤提示，數據認證流程結束。

作為優選，步驟S104中，下載認證應用到功能擴展SIM卡中的步驟包括：

步驟S201：用戶通過移動終端應用程序向認證服務器發出認證應用下載申請；

步驟S202：認證服務器通過數據短信方式將認證應用下載到功能擴展SIM卡；

步驟S203：在功能擴展SIM卡上完成認證應用的下載安裝后，功能擴展SIM卡通過數據短信方式響應認證應用的下載與安裝結果；

步驟S204：移動終端應用程序接收功能擴展SIM卡返回的應用下載安裝結果進行判斷；

步驟S205：若認證應用安裝成功，跳轉到步驟S206,若安裝失敗，流程結束；

步驟S206：移動終端應用程序向認證服務器發出應用初始化申請。

作為優選，步驟S106中，下載用戶證書到功能擴展SIM卡中的步驟包括：

步驟S301：用戶通過移動終端應用程序向認證服務器發出證書下載申請；

步驟S302：認證服務器向CA服務器發出用戶證書下載申請；

步驟S303：CA服務器生成用戶證書并將證書發送給認證服務器；

步驟S304：認證服務器通過數據短信方式將證書下載到功能擴展SIM卡；

步驟S305：功能擴展SIM卡通過數據短信方式響應證書下載結果。

本發明技術方案，具有如下優點：

本發明提供的基于安全介質保密短信實現身份鑒別及數據認證的實現方案，創新的通過手機中的SIM卡來實現簽名與驗簽，充分發揮SIM卡硬件簽名安全機制，交易過程中服務器產生身份驗證的動態驗證碼，由SIM卡的安全數據通道傳輸，通過STK應用通知直達用戶，提升交易安全。因無需額外設備只需更換SIM卡(換卡不換號)即可實現全部移動終端通用，在安全性得到明顯提升的同時，可實現低成本、快速接入手機銀行應用，因而這種方案具有安全性高、成本低、便利性高、通用性強的優勢，具體如下：

安全性高：基于云端+數據短信的方式實現與SIM卡的交互，基于SIM卡內置SE數據短信通道，與服務器進行雙向身份認證，建立安全傳輸通道，充分發揮SIM卡的硬件簽名安全機制，實現SIM卡一對一、雙向實名認證，提升安全性，同時，服務器產生的動態驗證碼，通過SIM卡安全數據通道傳輸，極大的減少短信在途截獲及篡改攻擊的風險，基于SE的安全運算功能及雙向確認機制，通過引入TOKEN機制實現會話密鑰一次一協商，增強認證安全性，另外，交易過程中引入STK程序進行交易確認和客戶身份驗證，交易報文信息與交易確認、身份驗證信息傳輸通道分離提升安全性；

成本低：僅需更換SIM卡(換卡不換號)，無需更換移動終端或接入其它額外設備即可實現全部移動終端通用，實現成本很低；

便利性高，通用性強：交易過程中增加客戶短信確認過程，與現有短信驗證方式客戶體驗基本不變；與此同時，因本方案可與市場上現有手機實現完全適配，兼容性好，在安全性得到明顯提升的同時，可實現低成本、快速接入現有移動互聯網應用，通用、便利及安全“魚與熊掌兼得”。

附圖說明

為了更清楚地說明本發明具體實施方式或現有技術中的技術方案，下面將對具體實施方式或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖是本發明的一些實施方式，對于本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他的附圖。

圖1為本發明提供的一種基于安全介質保密短信實現身份鑒別及數據認證的系統示意圖；

圖2為圖1中擴展SIM卡的硬件結構示意圖；

圖3為圖2中擴展SIM卡的邏輯處理結構示意圖；

圖4為本發明提供的一種基于安全介質保密短信實現身份鑒別及數據認證過程的認證方法的流程示意圖；

圖5為圖4提供的認證方法中應用下載流程示意圖；

圖6為圖4提供的認證方法中證書下載流程示意圖。

具體實施方式

下面將結合附圖對本發明的技術方案進行清楚、完整地描述，顯然，所描述的實施例是本發明一部分實施例，而不是全部的實施例。基于本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬于本發明保護的范圍。

本發明提供了一種基于安全介質保密短信實現身份鑒別及數據認證的系統，主要通過基于安全數據短信的方式實現與功能擴展SIM卡的交互，基于功能擴展SIM卡內置安全芯片數據短信通道，與服務器端建立安全傳輸通道，充分發揮功能擴展SIM卡硬件簽名安全機制。同時，在交易過程中引入STK程序進行交易確認和客戶身份驗證，交易報文信息與交易確認、身份驗證信息傳輸通道分離提升安全性，交易過程中服務器產生身份驗證的動態驗證碼，由功能擴展SIM卡的安全數據通道傳輸，通過STK應用通知直達用戶，提升交易安全。基于安全芯片的安全運算功能及雙向確認機制，通過引入TOKEN機制實現雙向會話密鑰一次一協商，增強認證安全性，基于云端服務器實現在線實時+實名掛失。

下面結合附圖對本發明技術方案進行詳細說明。

如圖1所示，本實施例提供的基于安全介質保密短信實現身份鑒別及數據認證的系統包括功能擴展SIM卡11、移動終端應用程序12、云端服務器13，所述云端服務器13包括認證服務器130、CA服務器131、業務服務器132。

所述移動終端應用程序12是安裝在移動終端例如手機上的一個應用軟件程序，即APP，主要負責提供顯示界面及與功能擴展SIM卡11和云端服務器13通信。移動終端應用程序12通過數據短信方式與功能擴展SIM卡11通信，通過無線網絡與云端服務器13通信。

所述云端服務器13是多臺服務器組成的一個資源池。其中，認證服務器130主要功能是負責認證應用1104的管理、認證應用1104的下載安裝業務流程、交易的簽名認證流程，產生手機動態驗證碼等。CA服務器131負責證書的生成與管理。業務服務器132負責銀行或需要認證業務的第三方應用的管理。所述云端服務器13通過移動終端應用程序12可以與功能擴展SIM卡11進行雙向認證，建立安全通道進行安全通信。

如圖2所示，功能擴展SIM卡11包括安全芯片110、蜂鳴器111及指示燈112。

所述安全芯片110，是整個產品的核心部件，由控制模塊1101與安全處理模塊1102集成。

所述安全處理模塊1102，是整個安全芯片110的核心，一方面，負責與移動終端設備之間的通信與數據傳輸；另一方面，負責存放和執行軟件程序代碼，數據加解密、數據存儲及數據通信等安全操作，并將相關控制指傳發送至控制模塊1101。

所述控制模塊1101，發揮模塊通信及控制的功能，是功能擴展SIM卡11內各個模塊協同工作的通訊中心，可通過安全處理模塊1102發送的控制指令驅動和控制各個工作模塊執行任務，主要包括蜂鳴器111及指示燈112的管理及控制，控制指令由安全處理模塊統一生成。

所述蜂鳴器111主要是用來為功能擴展SIM卡11提供聲音提示，通過蜂鳴器的鳴叫可提示功能擴展SIM卡11的當前的工作狀態。

所述指示燈112主要是用來表示功能擴展SIM卡11的當前狀態，包括但不局限于通過指示燈的燈光顏色、燈光亮滅、燈光閃爍來表示功能擴展SIM卡11的當前工作狀態。

如圖3所示是功能擴展SIM卡11的系統邏輯處理結構示意圖。所述功能擴展SIM卡11包括基于JAVA平臺操作系統1106、認證應用1104、STK應用1103及多應用管理平臺1105。其中，基于JAVA平臺操作系統1106是整個功能擴展SIM卡11的操作系統平臺，基于JAVA平臺進行構建，提供應用運行所需的JAVA虛擬機、JAVA運行環境及JAVA API，為認證應用1104、STK應用1103及多應用管理平臺1105提供運行環境及API接口。多應用管理平臺1105負責功能擴展SIM卡11的安全域管理及多應用管理，可實現各應用間的安全隔離及獨立管理，主要負責認證應用1104及STK應用1103的安全及管理。認證應用1104是SIM卡11中的一個應用，主要負責簽名認證功能，可以在功能擴展SIM卡11出廠和發行時預置認證應用1104,也可以通過云端服務器13將認證應用1104通過數據短信的方式下載到功能擴展SIM卡11中。STK應用1103是功能擴展SIM卡11中的應用程序，負責SIM卡11內數據的輸入輸出，在交易過程中，可通過STK應用1103程序進行交易確認和客戶身份驗證，同時，根據交易內容產生相關控制指令，控制蜂鳴器111的發聲，并通過指示燈112指示功能擴展SIM卡11的工作狀態。

如圖4所示，本發明還提供的一種基于安全介質保密短信實現身份鑒別及數據認證的認證方法，包括以下步驟：

步驟S101：用戶通過移動終端應用程序12發出數據認證請求；

步驟S102：移動終端應用程序12校驗功能擴展SIM卡11的應用下載狀態，移動終端應用程序12向功能擴展SIM卡11發送校驗是否下載認證應用指令，功能擴展SIM卡11返回當前應用狀態給移動終端應用程序12；

步驟S103：若認證應用已下載，轉入步驟S105，否則，轉入步驟S104；

步驟S104：移動終端應用程序12向認證服務器130發出認證應用下載申請，按照圖5流程下載認證應用到功能擴展SIM卡11中；

步驟S105：移動終端應用程序12向功能擴展SIM卡11發送校驗證書狀態指令，功能擴展SIM卡11返回當前用戶證書狀態，移動終端應用程序12校驗證書下載狀態，若已下載證書且證書有效，轉入步驟S107，否則，轉入步驟S106；

步驟S106：移動終端應用程序12向認證服務器130發出用戶證書下載申請，按照圖6流程下載用戶證書到功能擴展SIM卡11中；

步驟S107：移動終端應用程序12向認證服務器130發出交易認證請求；

步驟S108：認證服務器130產生身份驗證的動態驗證碼，并用服務器私鑰進行簽名，然后將動態驗證碼、簽名數據及服務器證書一起通過功能擴展SIM卡11的安全傳輸通道以數據短信方式發送給功能擴展SIM卡11；

步驟S109：功能擴展SIM卡11接收到數據后，功能擴展SIM卡11的安全處理模塊1102使用安全芯片內存儲的CA證書對服務器證書進行驗證，若驗證通過，從服務器證書中讀取服務器公鑰，用服務器的公鑰對接收到的動態驗證碼數據進行驗簽，驗證服務器的身份；

步驟S110：若驗證通過，功能擴展SIM卡11通過蜂鳴器111給出驗證通過提示音，轉入步驟s611,否則，通過指示燈112給出失敗提示顯示，轉入步驟S117；

步驟S111：功能擴展SIM卡11通過STK應用1103將動態驗證碼及交易信息通知用戶；

步驟S112：用戶通過STK應用1103確認交易或客戶身份，用戶的確認信息通過STK應用1103輸入到認證應用程序；

步驟S113：功能擴展SIM卡11的安全處理模塊1102通過認證應用程序對用戶的確認信息動態驗證碼用安全芯片中存儲的私鑰進行簽名，然后將功能擴展SIM卡11的用戶證書及簽名數據基于移動通信網絡，并通過安全數據短信方式，發送給認證服務器130；

步驟S114：認證服務器130接收到數據后，先用服務器端CA證書對功能擴展SIM卡11的用戶證書進行驗證，若驗證通過，從功能擴展SIM卡11的用戶證書中提取公鑰，用功能擴展SIM卡11用戶證書的公鑰對接收到的數據進行驗簽，驗證客戶身份；

步驟S115：若驗證通過，轉入步驟S116,否則，轉入步驟S118；

步驟S116：認證服務器130返回驗證通過信息給移動終端應用程序12，移動終端應用程序12向業務服務器132發出下一步交易請求，開始業務交易；

步驟S117：功能擴展SIM卡11返回驗證失敗信息給移動終端應用程序12；

步驟S118：認證服務器130返回驗證失敗信息給移動終端應用程序12；

步驟S119：移動終端應用程序12給出錯誤提示，數據認證流程結束。

圖5是應用下載的流程示意圖。認證應用必須在安全環境下下載到功能擴展SIM卡11中，可以采用預置的方式在功能擴展SIM卡11出廠時由廠商預置到功能擴展SIM卡11中，也可以在營業廳發行時下載到功能擴展SIM卡11中。本實施例中的方式是用戶通過在線的方式從云端服務器13下載到功能擴展SIM卡11中，此種在線下載應用的方式要求密鑰提前預置到功能擴展SIM卡11中，保證應用下載的安全。應用下載的流程如下：

步驟S201：用戶通過移動終端應用程序12向認證服務器130發出認證應用1104下載申請；

步驟S202：認證服務器130通過數據短信方式將認證應用1104下載到功能擴展SIM卡11；

步驟S203：在功能擴展SIM卡11上完成認證應用1104的下載安裝后，功能擴展SIM卡11通過數據短信方式響應認證應用1104的下載與安裝結果；

步驟S204：移動終端應用程序12接收功能擴展SIM卡11返回的應用下載安裝結果進行判斷；

步驟S205：若認證應用1104安裝成功，跳轉到步驟S206,若安裝失敗，流程結束；

步驟S206：移動終端應用程序12向認證服務器130發出應用初始化申請。

圖6是證書下載的流程示意圖,包括以下步驟：

步驟S301：用戶通過移動終端應用程序12向認證服務器130發出證書下載申請；

步驟S302：認證服務器130向CA服務器131發出用戶證書下載申請；

步驟S303：CA服務器131生成用戶證書并將證書發送給認證服務器130；

步驟S304：認證服務器130通過數據短信方式將證書下載到功能擴展SIM卡11；

步驟S305：功能擴展SIM卡11通過數據短信方式響應證書下載結果。

顯然，上述實施例僅僅是為清楚地說明所作的舉例，而并非對實施方式的限定。對于所屬領域的普通技術人員來說，在上述說明的基礎上還可以做出其它不同形式的變化或變動。這里無需也無法對所有的實施方式予以窮舉。而由此所引伸出的顯而易見的變化或變動仍處于本發明創造的保護范圍之中。