CN103747443B - 一种基于手机用户识别卡多安全域装置及其鉴权方法 - Google Patents

Abstract

本发明公开了一种基于手机用户识别卡多安全域装置及其鉴权方法，是采用手机用户识别卡（SIM卡）作为个人信息安全装置的处理平台，在SIM的软件体系中，结合SIM卡的硬件结构，建立多安全域装置，用来存储个人信息的数据认证证书；通过SIM卡的安全和加密***，与云端的应用服务平台，按特定的鉴权算法，实现个人身份的认证，经授权后，完成用户所需要的服务和应用；本发明是利用手机用户识别卡SIM具有安全性、不可复制和唯一性，以及排它性的技术特点，选择SIM卡作为安全域装置的载体，通过卡端鉴权和云端服务器的鉴权，从而有效地保护了个人信息的安全。

Description

一种基于手机用户识别卡多安全域装置及其鉴权方法

技术领域

本发明涉及通信技术领域，特别是涉及一种基于手机用户识别卡多安全域装置及其鉴权方法。

背景技术

信息时代，特别是移动互联网的兴起，智能手机成为移动互联网理想的终端，受到个人用户的青睐，网络和手机终端的应用产品如雨后春笋，层出不穷。与此同时，个人信息，特别是个人身份信息、个人隐私等是需要安全保护的信息。目前保护的手段还十分有限，在一些应用的场合，私人信息的泄密，被盗，甚至违法的事件，时有发生，无论是商业上的应用，还是法律法规的要求，建立一个安全可靠的个人信息安全装置，是新一代互联网急需要解决的问题。

发明内容

本发明的目的在于克服现有技术之不足，提供一种基于手机用户识别卡多安全域装置及其鉴权方法，是利用手机用户识别卡SIM具有安全性、不可复制和唯一性，以及排它性的技术特点，选择SIM卡作为安全域装置的载体，通过卡端鉴权和云端服务器的鉴权，从而有效地保护了个人信息的安全。

本发明解决其技术问题所采用的技术方案是：一种基于手机用户识别卡多安全域装置，包括：

云端服务器，具有CA认证处理模块和鉴权处理模块；

手机终端，具有通信处理模块；

SIM卡，具有多组相互独立的安全域，每个安全域具有：管理密钥处理模块，用于安全域的管理；非对称密钥处理模块，存储有一对非对称密钥，用于签名、加解密的操作；可变的数据存储空间，用于存储证书、签名以及私有数据；对称密钥处理模块，用于产生临时对称密钥，供数据加解密使用；

手机终端通过无线网络与云端服务器实现数据通信，手机终端通过手机内的数据链路与SIM卡实现数据通信；

其中，云端服务器的CA认证处理模块根据SIM卡所对应的安全域通过手机终端所发送的认证请求，生成对应于该安全域的公钥的证书；云端服务器的鉴权处理模块根据SIM卡所对应的安全域通过手机终端所发送的数字签名，使用该对应的安全域所对应的公钥验证该数字签名的有效性；

SIM卡的非对称密钥处理模块，根据SIM卡内所对应的安全域，利用云端服务器的CA认证处理模块的公钥解密出对应的证书，得到该证书所对应的公钥，再由该公钥验证对应的安全域内的数字签名的有效性。

所述SIM卡的可变的数据存储空间存储的数据包括：唯一标识符，域名称，安全域状态，管理密钥，用户口令，非对称密钥类型，非对称密钥对，私有数据空间长度和私有数据空间。

所述SIM卡的可变的数据存储空间是在SIM卡内以固定大小的数据块为基础数据块，每个数据块设有两个属性字段，该两个属性字段为安全域索引和数据块索引，通过遍历数据块数组来找到对应的安全域的所有数据块。

所述SIM卡的安全域的管理密钥处理模块还包括用来设置用户口令和对用户口令的验证。

所述SIM卡的安全域与外界数据交换的每一步由命令响应对组成，其中终端应用层通过终端传输层给手机用户识别卡发送命令，手机用户识别卡处理该命令后通过终端传输层返回一个响应给终端应用层；每一个特定的命令都与一个特定的响应相匹配。

一种基于手机用户识别卡多安全域的鉴权方法，包括：

应用提供者在云端服务器生成公私钥对，并将公钥提供给CA认证处理模块生成证书；同时，应用提供者用私钥对一段明文进行签名操作，生成数字签名；应用提供者通过手机终端的通信处理模块首先读取SIM卡的唯一ID返回给云端服务器供其建立用户基本信息，其次在SIM卡上创建一个对应的安全域，返回该安全域的公钥至云端服务器保存，同时将证书和数字签名写入SIM卡对应的安全域内；

手机终端的通信处理模块读取SIM卡的唯一ID传送给云端服务器，云端服务器对该ID进行鉴权；

选择SIM卡内应用提供者对应的安全域，由云端服务器的CA认证处理模的公钥解密证书，得到应用提供者的公钥，再由应用提供者的公钥验证对应的安全域内的数字签名的有效性；

由SIM卡内对应的安全域的私钥生成数字签名信息传至云端服务器，由云端服务器使用对应的安全域所对应的公钥验证该数字签名的有效性。

进一步的，还包括SIM卡A生成随机对称密钥，使用SIM卡B的安全域N的公钥对随机对称密钥进行加密操作生成密文C，将密文C发送给SIM卡B的安全域N由其私钥进行解密得到随机对称密钥，至此对称密钥协商完成。

与现有技术相比较，本发明的有益效果是：

本发明是采用手机用户识别卡（SIM卡）作为个人信息安全装置的处理平台，在SIM的软件体系中，结合SIM卡的硬件结构，建立多安全域装置，用来存储个人信息的数据认证证书；通过SIM卡的安全和加密***，与云端的应用服务平台，按特定的鉴权算法，实现个人身份的认证，经授权后，完成用户所需要的服务和应用；本发明是利用手机用户识别卡SIM具有安全性、不可复制和唯一性，以及排它性的技术特点，选择SIM卡作为安全域装置的载体，通过卡端鉴权和云端服务器的鉴权，从而有效地保护了个人信息的安全。

以下结合附图及实施例对本发明作进一步详细说明；但本发明的一种基于手机用户识别卡多安全域装置及其鉴权方法不局限于实施例。

附图说明

图1是本发明的装置的构成框图；

图2是本发明的SIM卡设置多安全域的示意图；

图3是本发明的安全域的数据结构的示意图；

图4是本发明的可变的数据存储空间的结构示意图；

图5是本发明应用一的处理过程示意图；

图6是本发明应用二的短信消息的加密过程的示意图；

图7是本发明应用二的短信消息的解密过程的示意图；

图8是本发明应用三的处理过程示意图。

具体实施方式

实施例

本发明的一种基于手机用户识别卡多安全域装置，包括：

云端服务器，具有CA认证处理模块和鉴权处理模块；

手机终端，具有通信处理模块；

SIM卡，具有多组相互独立的安全域，每个安全域具有：管理密钥处理模块，用于安全域的管理；非对称密钥处理模块，存储有一对非对称密钥，用于签名、加解密的操作；可变的数据存储空间，用于存储证书、签名以及私有数据；对称密钥处理模块，用于产生临时对称密钥，供数据加解密使用；

手机终端通过无线网络与云端服务器实现数据通信，手机终端通过手机内的数据链路与SIM卡实现数据通信；

其中，云端服务器的CA认证处理模块根据SIM卡所对应的安全域通过手机终端所发送的认证请求，生成对应于该安全域的公钥的证书；云端服务器的鉴权处理模块根据SIM卡所对应的安全域通过手机终端所发送的数字签名，使用该对应的安全域所对应的公钥验证该数字签名的有效性；

SIM卡的非对称密钥处理模块，根据SIM卡内所对应的安全域，利用云端服务器的CA认证处理模块的公钥解密出对应的证书，得到该证书所对应的公钥，再由该公钥验证对应的安全域内的数字签名的有效性。

如图1所示，本发明发明是采用手机用户识别卡（SIM卡）作为个人信息安全装置的处理平台，在SIM的软件体系中，结合SIM卡的硬件结构，建立多安全域装置，用来存储个人信息的数据认证证书。通过SIM卡的安全和加密***，与云端的应用服务平台，按特定的鉴权算法，实现个人身份的认证，经授权后，完成用户所需要的服务和应用。

在手机SIM卡内设置了多组相互独立的安全域，每个安全域中存储了一对非对称密钥。手机应用程序（APPS）即手机终端的通信处理模块通过专用的数据链路（CA-Link）与SIM卡进行通信，通过无线网络与云端服务器进行通信，完成数字证书的鉴权认证。

射频终端，通常是运营商提供服务的POS***，通过无线射频信号与手机（NFC手机）或具有近距离无线通信功能的SIM卡（RF-SIM或NFC-SIM）通信，完成线下的移动支付交易。

云端服务器存储了每张SIM卡中每个安全域对应的公开密钥，用于验证签名信息。

由于手机用户识别卡SIM具有安全性、不可复制和唯一性，以及排它性的技术特点，选择SIM卡为本发明说述的安全域装置的载体，比选择手机终端或其他移动电子设备更有先进和优越之处，本发明所述的具有多安全域的SIM卡，简称CA-SIM，如图2所示。

手机SIM卡内设置的多组相互独立的安全域，每个安全域有如下特点：

1）拥有独立的管理密钥，用于安全域的管理（如：创建安全域、删除安全域、清空用户口令、修改管理密钥等）；

2）支持用户口令，以提高安全域的安全性；

3）存储一对非对称密钥，用于签名、加解密等操作；

4）支持可变私有空间，用于存储证书、签名以及其他私有数据；

5）提供对称密钥协商、对称密钥加解密功能。

当然，对于支持用户口令，并不是必须的，也可以不要。

本发明的一种基于手机用户识别卡多安全域装置，所述SIM卡的可变的数据存储空间存储的数据包括：唯一标识符，域名称，安全域状态，管理密钥，用户口令，非对称密钥类型，非对称密钥对，私有数据空间长度和私有数据空间。

本发明的数据结构如图3所示

本发明的一种基于手机用户识别卡多安全域装置，所述SIM卡的可变的数据存储空间是在SIM卡内以固定大小的数据块为基础数据块，每个数据块设有两个属性字段，该两个属性字段为安全域索引和数据块索引，通过遍历数据块数组来找到对应的安全域的所有数据块。

在创建安全域的时候，动态分配安全域的私有数据空间，这样可以有效的节约存储空间，方便支持多业务形式的应用提供者使用安全域。如图4所示，动态分配空间的策略是通过以固定大小的数据块为基础数据块，每个数据块有两个属性字段，安全域索引和数据块索引。安全域索引表明这个数据块属于哪个安全域，数据块索引表明该数据块在安全域内部属于第几个数据块。通过遍历数据块数组即可找到某个安全域的所有数据块。

本发明的一种基于手机用户识别卡多安全域装置，所述SIM卡的安全域的管理密钥处理模块还包括用来设置用户口令和对用户口令的验证。

本发明的各个安全域相互独立，每个安全域有拥有独立的管理密钥，以保障应用提供者对于安全域使用的权利；每个安全域可由用户选择设置用户口令保护，以保障用户对于安全域使用的权利；每个安全域保存有一对非对称密钥，用以签名、加解密等运算；每个安全域支持对称密钥协商机制，用以产生临时对称密钥，供数据加解密使用。

本发明的一种基于手机用户识别卡多安全域装置，所述SIM卡的安全域与外界数据交换的每一步由命令响应对组成，其中终端应用层通过终端传输层给手机用户识别卡发送命令，手机用户识别卡处理该命令后通过终端传输层返回一个响应给终端应用层；每一个特定的命令都与一个特定的响应相匹配。一个APDU就是一个命令报文或一个响应报文。

C-APDU(命令报文)

C-APDU包含一个必备的连续四字节的命令头，用CLA、INS、P1和P2表示，同时包括一个可变长度的条件体。

命令头定义如下：

——CLA：指令类型。

——INS：指令类型的指令码。

——P1P2：完成INS的参数字节。

条件体定义如下：

——Lc占一个字节，定义了在C-APDU中发送数据的字节数。

——Le占一个字节，指出R-APDU中期望返回的最大字节数。

可能的C-APDU结构的四种情况见下表：

C-APDU的情况

R-APDU(应答报文)

R-APDU是一串字节，这一串字节由一个条件体以及必备的两字节状态码SW1SW2组成。

条件体是一串数据字节，其最大长度在C-APDU中的Le中定义。

本发明的一种基于手机用户识别卡多安全域的鉴权方法，包括：

发卡创建安全域，数字签名与证书下发的步骤：应用提供者在云端服务器生成公私钥对，并将公钥提供给CA认证处理模块生成证书；同时，应用提供者用私钥对一段明文进行签名操作，生成数字签名；应用提供者通过手机终端的通信处理模块首先读取SIM卡的唯一ID返回给云端服务器供其建立用户基本信息，其次在SIM卡上创建一个对应的安全域，返回该安全域的公钥至云端服务器保存，同时将证书和数字签名写入SIM卡对应的安全域内；

通过卡端的ID鉴权的步骤：手机终端的通信处理模块读取SIM卡的唯一ID传送给云端服务器，云端服务器对该ID进行鉴权；

通过卡端的证书鉴权的步骤：选择SIM卡内应用提供者对应的安全域，由云端服务器的CA认证处理模的公钥解密证书，得到应用提供者的公钥，再由应用提供者的公钥验证对应的安全域内的数字签名的有效性；

通过卡端的公私钥和云端服务器握手的步骤：由SIM卡内对应的安全域的私钥生成数字签名信息传至云端服务器，由云端服务器使用对应的安全域所对应的公钥验证该数字签名的有效性。

进一步的，还包括对称密钥协商的步骤：SIM卡A生成随机对称密钥，使用SIM卡B的安全域N的公钥对随机对称密钥进行加密操作生成密文C，将密文C发送给SIM卡B的安全域N由其私钥进行解密得到随机对称密钥，至此对称密钥协商完成；

以及利用卡做数据加密的步骤：对称密钥协商完成之后，即可利用对称密钥进行数据加解密操作了。

以下通过具体应用例来说明本发明的一种基于手机用户识别卡多安全域装置及其鉴权方法：

应用一，参见图5所示，本发明用于互动广告鉴权。

商家通过射频终端向手机应用软件推送广告链接，用户点击查看广告链接时由手机SIM卡的私有密钥Ss对广告链接进行签名操作，产生签名信息S，该签名信息S被传送到云端服务器由私有密钥Ss配对的公开密钥Ps进行验签操作，由此证明是用户本人进行了广告查看操作。

应用二，参见图6、图7所示，本发明用于加密短信。

用户A向用户B发起加密短信请求，其步骤如下：

A.用户A作为发起者需要向用户B获取用户B的公开密钥Pb，进而完成用户A和用户B之间的对称密钥协商，得到对称密钥K；

B.在对称密钥K的保护下，用户A和用户B即可进行加密短信的收发。

短信消息的加密过程如图6所示；

短信消息的解密过程如图7所示。

应用三，参见图8所示，本发明用于电子驾照鉴权。

用户A的手机射频SIM卡上存有交通部门发放的电子驾照数据及其重要数据的签名以及交通部门的公开密钥的证书。

电子驾照验证过程如下：

A.射频终端读取证书，并通过射频终端中的认证中心公开密钥Pca恢复交通部门的公开密钥Pi；

B.由公开密钥Pi对签名数据进行验签。

所谓电子驾照就是应用提供者向用户发放带有应用提供者私有密钥签名的驾照电子副本。

电子驾照鉴权过程如图8所示。

上述实施例仅用来进一步说明本发明的一种基于手机用户识别卡多安全域装置及其鉴权方法，但本发明并不局限于实施例，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均落入本发明技术方案的保护范围内。

Claims (7)

1.一种基于手机用户识别卡多安全域装置，其特征在于：包括：

云端服务器，具有CA认证处理模块和鉴权处理模块，其中，CA即为数字证书认证中心；

手机终端，具有通信处理模块；

SIM卡，具有多组相互独立的安全域，每个安全域具有：管理密钥处理模块，用于安全域的管理；非对称密钥处理模块，存储有一对非对称密钥，用于签名、加解密的操作；可变的数据存储空间，用于存储证书、签名以及私有数据；对称密钥处理模块，用于产生临时对称密钥，供数据加解密使用；

手机终端通过无线网络与云端服务器实现数据通信，手机终端通过手机内的数据链路与SIM卡实现数据通信；

其中，云端服务器的CA认证处理模块根据SIM卡所对应的安全域通过手机终端所发送的认证请求，生成对应于该安全域的公钥的证书；云端服务器的鉴权处理模块根据SIM卡所对应的安全域通过手机终端所发送的数字签名，使用该对应的安全域所对应的公钥验证该数字签名的有效性；

SIM卡的非对称密钥处理模块，根据SIM卡内所对应的安全域，利用云端服务器的CA认证处理模块的公钥解密出对应的证书，得到该证书所对应的公钥，再由该公钥验证对应的安全域内的数字签名的有效性。

2.根据权利要求1所述的基于手机用户识别卡多安全域装置，其特征在于：所述SIM卡的可变的数据存储空间存储的数据包括：唯一标识符，域名称，安全域状态，管理密钥，用户口令，非对称密钥类型，非对称密钥对，私有数据空间长度和私有数据空间。

3.根据权利要求1所述的基于手机用户识别卡多安全域装置，其特征在于：所述SIM卡的可变的数据存储空间是在SIM卡内以固定大小的数据块为基础数据块，每个数据块设有两个属性字段，该两个属性字段为安全域索引和数据块索引，通过遍历数据块数组来找到对应的安全域的所有数据块。

4.根据权利要求1所述的基于手机用户识别卡多安全域装置，其特征在于：所述SIM卡的安全域的管理密钥处理模块还包括用来设置用户口令和对用户口令的验证。

5.根据权利要求1所述的基于手机用户识别卡多安全域装置，其特征在于：所述SIM卡的安全域与外界数据交换的每一步由命令响应对组成，其中终端应用层通过终端传输层给手机用户识别卡发送命令，手机用户识别卡处理该命令后通过终端传输层返回一个响应给终端应用层；每一个特定的命令都与一个特定的响应相匹配。

6.一种基于手机用户识别卡多安全域的鉴权方法，其特征在于：包括：

应用提供者在云端服务器生成公私钥对，并将公钥提供给CA认证处理模块生成证书，其中，CA即为数字证书认证中心；同时，应用提供者用私钥对一段明文进行签名操作，生成数字签名；应用提供者通过手机终端的通信处理模块首先读取SIM卡的唯一ID返回给云端服务器供其建立用户基本信息，其次在SIM卡上创建一个对应的安全域，返回该安全域的公钥至云端服务器保存，同时将证书和数字签名写入SIM卡对应的安全域内；

手机终端的通信处理模块读取SIM卡的唯一ID传送给云端服务器，云端服务器对该ID进行鉴权；

选择SIM卡内应用提供者对应的安全域，由云端服务器的CA认证处理模块的公钥解密证书，得到应用提供者的公钥，再由应用提供者的公钥验证对应的安全域内的数字签名的有效性；

由SIM卡内对应的安全域的私钥生成数字签名信息传至云端服务器，由云端服务器使用对应的安全域所对应的公钥验证该数字签名的有效性。

7.根据权利要求6所述的基于手机用户识别卡多安全域的鉴权方法，其特征在于：进一步的，还包括SIM卡A生成随机对称密钥，使用SIM卡B的安全域N的公钥对随机对称密钥进行加密操作生成密文C，将密文C发送给SIM卡B的安全域N由其私钥进行解密得到随机对称密钥，至此对称密钥协商完成。