CN113099448B - 一种适用于大容量sim卡的终端身份认证方法 - Google Patents

Abstract

本发明提供了一种适用于大容量SIM卡的终端身份认证方法，所述终端身份认证方法基于大容量SIM卡、移动终端和应用程序服务器，大容量SIM卡包括SE模块，应用程序安装于移动终端，应用程序和应用程序服务器通过无线通信进行连接，应用程序和大容量SIM卡通过无线通信进行连接，所述终端身份认证方法包括初始化阶段和身份认证阶段；采用大容量SIM卡作为用户身份认证的载体，不需要其余的身份认证终端，增强了该发明实施的可行性和灵活性。采用基于IBC体系的技术进行身份认证，以用户的唯一性身份标识作为用户公钥，简化了用户公钥和用户真实身份的关联过程，解决了公钥证书在应用中使用困难的问题，提升了移动终端身份认证的安全性。

Description

一种适用于大容量SIM卡的终端身份认证方法

技术领域

本发明涉及SIM卡集成电路技术领域，尤其涉及一种适用于大容量SIM卡的终端身份认证方法。

背景技术

随着移动互联网时代的发展，移动支付相关的各类安全软件使人们的生活更加方便和便捷。而与此同时，窃取个人信息的技术和手段也不断变化，严重威胁着个人信息安全。

移动互联网设备通常基于IOS或安卓***，而其操作***的漏洞很容易被黑客或恶意软件加以利用；同时，现在移动支付相关的各类手机安全软件APP多采用登陆账户、密码(登陆密码/支付密码等)进行身份认证。实际上，密码方式是一种不安全的身份认证方式，其安全强度无法应对越来越专业的各种攻击方式。因此，亟需一种更为安全的移动终端身份认证方法。

在移动终端设备中的各类安全相关的软件中，多采用登陆账户、登陆密码、支付密码等方式进行用户的身份认证。而实际上，许多用户为了防止忘记密码，经常采用有意义的字符串作为密码，极易造成密码泄漏，存在一定的安全隐患。而即使能够保证用户密码不被泄漏，由于密码是静态的数据，很容易被网络中的监听设备截获。

标准SIM卡上集成了SE(Secure Element，安全元件)模块，可以充分地保证用户的身份信息以及用于身份认证的密钥信息的安全。SE内部的密码模块，可以为用户进行身份认证提供算法支持。因此，SIM卡可为用户提供可信身份凭证功能，而不需要其余的身份认证终端设备，具有作为用户身份认证载体的天然优势。

IBC(Identity-Based Cryptography，基于身份的密码体系，简称IBC体系)是公开密钥体系的最新研究成果，用户的唯一性身份标识(手机号码等)就作为用户的公钥。相比于PKI体系，IBC体系简化了公钥和用户真实身份的关联过程，解决了公钥证书在应用中使用困难的问题，在各种交互式应用中具备天然的优势。

综上所述，用户名/密码方式是一种极为不安全的身份认证方式；现在的大容量SIM卡中也包括SE模块，但在移动设备端使用大容量SIM卡的情况下，同样面临安全问题。

发明内容

针对上述现有技术中存在的不足，本发明的目的是提供一种适用于大容量SIM卡的终端身份认证方法，基于大容量SIM卡、移动终端和应用程序服务器，将用户的唯一性身份标识作为用户的公钥，利用基于IBC体系的技术对用户进行身份认证，提升了移动终端身份认证的安全性，解决了用户名/密码登录方式带来的安全隐患。

为了达到上述技术目的，本发明所采用的技术方案是：

一种适用于大容量SIM卡的终端身份认证方法，所述终端身份认证方法基于大容量SIM卡、移动终端和应用程序服务器，大容量SIM卡包括SE模块，应用程序安装于移动终端，应用程序和应用程序服务器通过无线通信进行连接，应用程序和大容量SIM卡通过无线通信进行连接，所述终端身份认证方法包括初始化阶段和身份认证阶段，其中，所述初始化阶段的具体步骤如下：

步骤1：用户在移动终端中进行账户注册，应用程序服务器为密钥生成中心，采用用户的唯一性身份标识作为用户ID，并产生用户的签名私钥；

步骤2：应用程序与应用程序服务器建立安全连接；

步骤3：应用程序服务器将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥发送给应用程序；

步骤4：应用程序服务器和应用程序断开安全连接；

步骤5：应用程序和大容量SIM卡建立安全连接；

步骤6：应用程序将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥发送给大容量SIM卡；

步骤7：大容量SIM卡给应用程序分配应用程序编号，建立应用程序编号和应用程序存储地址的查找表，大容量SIM卡启动SE模块，将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥安全存储到应用程序编号对应的应用程序存储地址中；

步骤8：应用程序和大容量SIM卡断开安全连接；

以及，所述身份认证阶段的具体步骤如下：

步骤9：用户登录移动终端的应用程序，输入用户名和密码；

步骤10：应用程序向大容量SIM卡发送用户身份认证请求，以及应用程序编号；

步骤11：大容量SIM卡收到上述用户身份认证请求后，查找应用程序编号和应用程序存储地址的查找表；

步骤12：大容量SIM卡根据应用程序编号查询到对应的应用程序存储地址，通过应用程序存储地址查询到基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥；

步骤13：大容量SIM卡启动SE模块，SE模块产生随机数作为摘要，利用基于IBC体系的***参数、签名主公钥、用户私钥信息对摘要进行签名，并将摘要、用户ID及签名值作为验证信息发送给应用程序；

步骤14：应用程序接收摘要、用户ID及签名值作为验证信息，并将该验证信息发送给应用程序服务器进行验证；

步骤15：应用程序服务器利用基于IBC体系的***参数、签名主公钥，用户ID，摘要对签名值进行验签，并将验签结果发送给应用程序进行验证；

步骤16：若应用程序验证成功，则用户身份认证成功，应用程序继续和用户进行后续信息交互；若应用程序验证失败，则用户身份认证失败，应用程序终止和用户的信息交互。

本发明的适用于大容量SIM卡的终端身份认证方法包括初始化阶段和身份认证阶段，所获得的有益效果是：

(1)采用大容量SIM卡作为用户身份认证的载体，不需要其余的身份认证终端设备，从而，增强了该发明实施的可行性和灵活性。同时，不会影响用户体验；

(2)采用基于IBC体系的技术进行身份认证，以用户的唯一性身份标识作为用户公钥，简化了用户公钥和用户真实身份的关联过程，解决了公钥证书在应用中使用困难的问题。

(3)在传统的用户名/密码的身份认证方式的基础上，将大容量SIM卡作为用户身份认证的载体，利用基于IBC体系的技术对用户进行身份认证，大大提升了移动终端身份认证的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明具体实施的大容量SIM卡、移动终端和应用程序服务器连接关系图。

图2是本发明具体实施的初始化阶段具体步骤流程图。

图3是本发明具体实施的初始化阶段，应用程序服务器、应用程序和大容量SIM卡之间的交互流程图。

图4是本发明具体实施的身份认证阶段具体步骤流程图。

图5是本发明具体实施的身份认证阶段，应用程序服务器、应用程序和大容量SIM卡之间的交互流程图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参看图1，为本发明具体实施的本发明具体实施的大容量SIM卡、移动终端和应用程序服务器连接关系图。本发明具体实施的适用于大容量SIM卡的终端身份认证方法基于大容量SIM卡100、移动终端200和应用程序服务器300，大容量SIM卡100包括SE模块110，应用程序210安装于移动终端200，应用程序210和应用程序服务器300通过无线通信进行连接，应用程序210和大容量SIM卡100通过无线通信进行连接。本发明中的无线通信采用7816协议。

参看图2，为本发明具体实施的初始化阶段具体步骤流程图。本发明具体实施的初始化阶段，为用户注册应用程序的阶段。初始化阶段完成的主要功能，是为大容量SIM卡加载应用程序服务器分发的基于IBC体系的***参数和用户私钥。该初始化阶段的具体步骤如下：

步骤S201：用户在移动终端进行账户注册，应用程序服务器作为密钥生成中心，采用用户的唯一性身份标识(如用户的手机号码等身份信息)作为用户ID，并产生用户的签名私钥ks。

其中，可选的，应用程序服务器选取IBC体系的***参数，生成签名主公私钥的过程可不在该阶段进行；也可在该阶段执行前，由应用程序服务器选取完成即可。

其中，用户的唯一性身份标识可以为用户的手机号码，也可以是用户的手机号码和用户密码组成的字符串，本发明不做限定。

步骤S202：应用程序服务器和应用程序建立安全连接。

需要说明的是，本发明中不对应用程序服务器和应用程序建立安全连接的方式进行规定。该部分的安全连接可以为：应用程序服务器和应用程序进行密钥协商，产生共享密钥后，利用共享密钥对传输的信息(基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks)进行加密传输；或者，采用其他安全连接方式亦可。

在本发明中，应用程序服务器和应用程序建立安全连接，以“应用程序服务器向应用程序发送安全连接请求，应用程序返回安全连接应答”的方式描述。

在本发明中，应用程序服务器和应用程序断开安全连接，以“应用程序服务器向应用程序发送断开安全连接请求，应用程序返回安全连接断开应答”的方式描述。

在本发明中，安全连接的连接和安全连接断开的区间，说明了在交互流程中需要进行安全传输的范围。

步骤S203：应用程序服务器将基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks发送给应用程序。

步骤S204：应用程序服务器和应用程序断开安全连接。

步骤S205：应用程序和大容量SIM卡建立安全连接。

需要说明的是，本发明中不对应用程序和大容量SIM卡建立安全连接的方式进行限定。该步骤中的安全连接可以为：应用程序和大容量SIM卡进行密钥协商，产生共享密钥后，利用共享密钥对传输的信息(IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks)进行加密传输；或者，采用其他安全连接方式亦可。

本发明中，应用程序和大容量SIM卡建立安全连接，以“应用程序向大容量SIM卡发送安全连接请求，大容量SIM卡返回安全连接应答”的方式描述。

本发明中，应用程序和大容量SIM卡断开安全连接，以“应用程序向大容量SIM卡发送断开安全连接请求，大容量SIM卡返回断开安全连接应答”的方式描述。

在本发明中，安全连接的连接和安全连接断开的区间，说明了在交互流程中需要进行安全传输的范围。

步骤S206：应用程序服务器将基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks发送给大容量SIM卡。

步骤S207：大容量SIM卡给应用程序分配应用程序编号AppID，建立应用程序编号AppID和存储地址的查找表，大容量SIM卡启动SE模块，将基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥Ks安全存储到应用程序编号AppID对应的应用程序存储地址中。

大容量SIM卡根据应用程序编号AppID和应用程序存储地址的查找表，来区分不同的应用程序。

大容量SIM卡通过应用程序编号AppID，查询到其对应的应用程序存储地址；通过该存储地址，查询到该应用程序存储地址上的基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥Ks信息。

其中，可选的，基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥的信息作为敏感信息，可以采用MPU(Micro-processor Unit，微处理器单元)进行保护。本发明中，不对具体的保护方式进行规定。

步骤S208：应用程序和大容量SIM卡断开安全连接。

参看图3，本发明具体实施的初始化阶段，应用程序服务器、应用程序和大容量SIM卡之间的交互流程图。该具体实施例中，应用程序服务器、应用程序和大容量SIM卡之间交互流程的具体步骤如下：

步骤S301：应用程序向应用程序服务器发送用户注册的账户和密码。

步骤S302：应用程序服务器返回收到信息的响应。

步骤S303：应用程序服务器采用用户的唯一性身份标识作为用户ID，产生用户签名私钥ks。用户的唯一性身份标识可以采用例如，用户的手机号码等身份信息。

步骤S304：应用程序服务器向应用程序发送安全连接请求。

步骤S305：应用程序返回响应。

步骤S306：应用程序服务器向应用程序发送IBC***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks。

步骤S307：应用程序返回响应。

步骤S308：应用程序服务器向应用程序发送断开安全连接请求。

步骤S309：应用程序返回响应。

步骤S310：应用程序向大容量SIM卡发送安全连接请求。

步骤S311：大容量SIM卡返回响应。

步骤S312：应用程序向大容量SIM发送IBC***参数、签名主公钥Ppubs、用户ID以及用户签名私钥ks。

步骤S313：大容量SIM卡给应用程序分配应用程序编号AppID，建立应用程序编号AppID和应用程序存储地址的查找表。

步骤S314：大容量SIM卡启动SE模块，将基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥Ks安全存储到应用程序编号AppID对应的应用程序存储地址中。

步骤S315：大容量SIM卡返回响应。

步骤S316：大容量SIM卡向应用程序发送应用程序编号AppID。

步骤S317：应用程序存储应用程序编号AppID。

步骤S318：应用程序返回响应。

步骤S319：应用程序向大容量SIM卡发送断开安全连接请求。

步骤S320：大容量SIM卡返回响应。

参看图4，本发明具体实施的身份认证阶段具体步骤流程图。该身份认证阶段的具体步骤如下：

步骤S401：在身份认证阶段，用户登录移动终端应用程序，输入用户名和密码。

步骤S402：应用程序向大容量SIM卡发送用户身份认证请求，以及应用程序编号AppID。

步骤S403：大容量SIM卡收到上述用户身份认证请求后，查找应用程序编号AppID和应用程序存储地址的查找表。

若大容量SIM卡未查询到应用程序编号AppID，则终止和应用程序通信；若大容量SIM卡查询到应用程序编号AppID，则继续后续步骤。

步骤S404：大容量SIM卡根据应用程序编号AppID查询到其对应的应用程序存储地址，通过应用程序存储地址查询到IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥。

步骤S405：大容量SIM卡启动SE模块，SE模块产生随机数作为摘要Msg，利用基于IBC体系的***参数、签名主公钥Ppubs、用户私钥ks信息对摘要进行签名，并将摘要Msg、用户ID及签名值IBCSign发送给应用程序。

步骤S406：应用程序接收摘要Msg、用户ID及签名值IBCSign作为验证信息，并将上述验证信息发送给应用程序服务器进行验证。

步骤S407：应用程序服务器利用基于IBC体系的***参数、签名主公钥Ppubs，用户ID，摘要Msg对签名值IBCSign进行验签，并将验签结果发送给应用程序进行验证。

步骤S408：若应用程序验证成功，则用户身份认证成功，应用程序继续与用户进行后续信息交互；若应用程序验证失败，则用户身份认证失败，应用程序终止与用户的信息交互。

参看图5，本发明具体实施的身份认证阶段，应用程序服务器、应用程序和大容量SIM卡之间的交互流程图。该具体实施例中，应用程序服务器、应用程序和大容量SIM卡之间交互流程的具体步骤如下：

步骤S501：用户登录应用程序，输入用户名和密码。

步骤S502：应用程序向大容量SIM卡发送身份认证请求和应用程序编号AppID。

步骤S503：大容量SIM卡收到上述身份认证请求后，查找应用程序编号AppID和应用程序存储地址的查找表，并判断在查找表中是否找到应用程序编号AppID。

步骤S504：大容量SIM卡返回响应信息。大容量SIM卡此处返回是否查询到应用程序编号AppID的信息；若未查询到，大容量SIM卡将终止与应用程序的通信。

步骤S505：SIM卡根据应用程序编号AppID查询到其对应的存储地址，通过存储地址可查询到IBC体系的***参数、签名主公钥Ppubs、用户ID以及用户签名私钥Ks。

步骤S506：大容量SIM卡启动SE模块，SE模块产生随机数作为摘要Msg，利用基于IBC体系的***参数、签名主公钥Ppubs、用户私钥ks信息对摘要进行签名。

步骤S507：大容量SIM卡向应用程序发送摘要Msg、用户ID及签名值IBCSign。

步骤S508：应用程序返回响应信息。

步骤S509：应用程序向应用程序服务器发送摘要Msg、用户ID及签名值IBCSign。

步骤S510：应用程序服务器利用基于IBC体系的***参数、签名主公钥Ppubs、用户ID以及摘要Msg对签名值进行验签。

步骤S511：应用程序服务器返回验证信息。

本申请实施例方法所述的功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算设备可读取存储介质中。基于这样的理解，本申请实施例对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一台计算设备(可以是个人计算机，服务器，移动计算设备或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (1)

1.一种适用于大容量SIM卡的终端身份认证方法，所述终端身份认证方法基于大容量SIM卡、移动终端和应用程序服务器，大容量SIM卡包括SE模块，应用程序安装于移动终端，应用程序和应用程序服务器通过无线通信进行连接，应用程序和大容量SIM卡通过无线通信进行连接，其特征在于，所述终端身份认证方法包括初始化阶段和身份认证阶段，其中，所述初始化阶段的具体步骤如下：

步骤1：用户在移动终端中进行账户注册，应用程序服务器为密钥生成中心，采用用户的唯一性身份标识作为用户ID，并产生用户的签名私钥；

步骤2：应用程序与应用程序服务器建立安全连接；

步骤3：应用程序服务器将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥发送给应用程序；

步骤4：应用程序服务器和应用程序断开安全连接；

步骤5：应用程序和大容量SIM卡建立安全连接；

步骤6：应用程序将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥发送给大容量SIM卡；

步骤7：大容量SIM卡给应用程序分配应用程序编号，建立应用程序编号和应用程序存储地址的查找表，大容量SIM卡启动SE模块，将基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥安全存储到应用程序编号对应的应用程序存储地址中；

步骤8：应用程序和大容量SIM卡断开安全连接；

以及，所述身份认证阶段的具体步骤如下：

步骤9：用户登录移动终端的应用程序，输入用户名和密码；

步骤10：应用程序向大容量SIM卡发送用户身份认证请求，以及应用程序编号；

步骤11：大容量SIM卡收到上述用户身份认证请求后，查找应用程序编号和应用程序存储地址的查找表；

步骤12：大容量SIM卡根据应用程序编号查询到对应的应用程序存储地址，通过应用程序存储地址查询到基于IBC体系的***参数、签名主公钥、用户ID以及用户签名私钥；

步骤13：大容量SIM卡启动SE模块，SE模块产生随机数作为摘要，利用基于IBC体系的***参数、签名主公钥、用户私钥信息对摘要进行签名，并将摘要、用户ID及签名值作为验证信息发送给应用程序；

步骤14：应用程序接收摘要、用户ID及签名值作为验证信息，并将该验证信息发送给应用程序服务器进行验证；

步骤15：应用程序服务器利用基于IBC体系的***参数、签名主公钥，用户ID，摘要对签名值进行验签，并将验签结果发送给应用程序进行验证；

步骤16：若应用程序验证成功，则用户身份认证成功，应用程序继续和用户进行后续信息交互；若应用程序验证失败，则用户身份认证失败，应用程序终止和用户的信息交互。

Images