基于SWP—SIM技术的移动终端身份认证及使用授权的实现方法

张潭 林伟雄

摘 要：移动终端身份认证是信息安全技术的一个重要方面，较为流行的身份认证技术各自存在一定的优缺点。文章提出SWP-SIM技术安全机制，应用更为全面、安全、并且应用灵活的认证及使用授权，通过SWP标准的说明和SWP工艺在SIM卡的应用，实现移动支付功能进而被通讯市场认可，针对SWP-SIM卡模块的加工分析，解决SWP模块加工中的问题，为SWP-SIM技术的移动终端身份认证及使用授权大批量加工和投放市场提供准备。

关键词：使用授权；身份认证；移动终端；SWP-SIM技术

中图分类号：TP309.1 文献标志码：A 文章编号：2095-2945（2018）09-0021-02

Abstract： Mobile terminal identity authentication is an important aspect of information security technology， while the more popular identity authentication technology has its own advantages and disadvantages. In this paper， the security mechanism of SWP-SIM technology is put forward， which is more comprehensive， secure and flexible in application of authentication and authorization for use. It is applied in SIM card through the description of SWP standard and the application of SWP process. The realization of mobile payment function is recognized by the communication market， aiming at the processing analysis of SWP-SIM card module， to solve the problems in the processing of SWP module and prepare for mobile terminal identity authentication and authorization for mass processing and launch of SWP-SIM technology.

Keywords： authorization for use； identity authentication； mobile terminal； SWP-SIM technology

1 概述

SWP-SIM卡以常規SIM卡为基础进行了扩展，在卡片内部集成了面向NFC应用所需的物理芯片，并在逻辑上提供了独立的交互通道实现与外部设备的信息交互。SWP-SIM卡可同时提供面向移动通信所需的服务功能（SIM卡功能）以及面向NFC应用的服务功能，两者在物理层面上独立运作，互不影响。

SWP-SIM卡上NFC功能模块的核心为SE（Secure Element，安全元件），SE内置COS（Chip Operation System，智能卡操作系统），COS运行在SE所提供的安全环境中，提供SE内部的文件创建、读写、修改、删除操作，卡应用（Applet）管理、加载与运行管理等基本功能。为确保Applet和数据的安全性，SE中可为系统和应用划分各自独立的内存空间，从而实现不同应用的Applet和数据的完全隔离。此外，COS还提供了对当前成熟的3DES算法（Triple Data Encryption Standard，3重数据加密标准）、RSA算法（公钥加密算法）的支持，算法实现过程完全在SE内部进行。

加载于移动终端OS（如Android）上的APP，可以通过OS提供的相关接口实现对所插卡片中Applet的调用，从而对APP中的身份认证所需的敏感数据进行存储和处理。由于SWP-SIM卡完全由运营商定制，在向用户发卡时进行卡片初始化，直到卡被注销，全程受到运营商的卡管理平台管控，APP开发者可以从运营商的卡管理平台获得授权，对授权的卡内SE的数据域进行管控和应用，因此，APP中用于身份认证的数据受到发卡运营商和应用开发商的双重严格管控，未被授权外部攻击无法对卡内敏感数据进行访问和篡改，从而满足高强度的信息安全应用需求。

2 移动终端身份认证、授权的实现机制

利用SWP-SIM卡上SE所提供的信息安全处理功能，可以用于移动终端APP中所需的身份认证、授权等对信息安全敏感的功能。

应用安全域是移动终端身份认证、授权的实现机制的基础和核心，每个应用可以构建自己的安全域，该应用相关的移动终端APP、终端用户、应用后台都需要在获得授权后才能进入相应的应用安全域，所以，在该应用安全域内的所有对象都是可信任的。

授权信息采用一卡一密，一次一密的形式，每张SWP-SIM卡授权信息都采用不同且唯一性的密钥进行加密，密钥本身存放于卡上的SE中，任何一张卡片的密钥泄露、被破解都不会影响到其他卡片的信息安全。对密钥的使用均在COS的管控下在SE内部进行，终端设备的OS和APP用均无法访问到密钥。卡片上的授权信息具有唯一性，但每次对授权信息的验证和确认过程中，均采用不同且唯一的密文进行交互，仅在本次验证和确认过程中有效，验证和确认过程完成后即失效，以防止密文被攻击者截获后冒用。

2.1 移动终端身份认证技术

身份认证如同每个人都拥有的一张证明个人身份的身份证或护照。即是安全访问的第一道关卡，包括用户向系统出示自己的身份证明和系统核查用户身份证明的过程。为了防止计算机资源的非授权访问和获取，每个用户与主机之间建立了口令。用户登录的初始阶段就是采用的口令认证方案，口令认证方案简单无法抵抗重放冒充和穷举猜测等攻击。针对身份认证方法的准确性、安全性和可靠性提出了更高的要求，伴随网络诈骗和攻击技术的发展，目前移动终端身份认证技术身份认证主要包括基于智能卡的认证、动态口令认证和生物认证几种方式。

基于智能卡的认证进行鉴别时用户首先输入用户的身份识别码PIN，智能卡上存储着用户的个人秘密信息，智能卡鉴别PIN。确认后计算机可以从智能卡中读取用户的秘密信息并传递到远程服务器，服务器收到秘密信息对用户的身份进行鉴别。智能卡的识别方法为双因素的识别方式，无论是盗用用户的PIN或盗用用户的智能卡，PIN或智能卡二者缺一不可，入侵者都不能通过该系统的认证。动态口令认证使用次数不断变化且每个密码只能使用一次的技术，采用一种动态令牌的硬件设备，自带电源、密码生成芯片和显示屏，根据当前时间或使用次数生成当前密码并显示，密码生成芯片运行专门的密码算法。动态口令技术采用一次一密的方法，防止了泄露和重放攻击，有效保证了用户身份的安全性。客户端与服务器端的时间或次数不能保持同步，用户每次登录时需要通过键盘输入一长串无规律的密码，就容易发生合法用户无法登录的问题。生物特征分为身体特征和行为特征两类，主要是指通过可测量的身体或行为等生物特征进行身份认证的一种技术。

2.2 移动终端的授权协议

平台内部的密钥、敏感数据及其他需要存储保护的数据称谓对象，每个对象必须具有相应的授权数据，一个授权数据可以对应多个对象，通过授权数据的验证才能访问对象。TPM所有者的授权数据保存在TPM中，其他的对象和授权数据加密后可以存储在TPM外部。对象的授权数据是由用户从平台输入，经Hash算法进行长度归一化处理后存储，表示为auth Data=Hash（input Data）。根据TPM规范中的相关协议，设计的移动终端的改进授权的实现机制满足如下要求。（1）协议提供认证机制。以auth Data為共享密钥生成校验值，判断调用者是否拥有某一实体的权限。（2）协议提供可选的机密性保护机制。根据需要，以ECC的公钥对功能调用阶段的数据包进行加密保护。If EncryPted为是否对通信数据包进行加密的标志，在特殊情况下通信数据本身已经加密。（3）协议提供抗重放机制。seq为抗重放序列号，由TPM生成并在外部调用者和TPM之间共享。双方各自维护序列号，每发送一个数据包序列号自增1，用以防止重放攻击。

3 应用场景示例

3.1 增强型动态短信验证控件

目前手机银行、移动支付等应用绝大多数均采用户名+用户密码+动态短信验证码的方式进行用户身份的验证，由于用户名、用户密码和动态短信验证码均为可视可复制的信息，很容易被木马、病毒和钓鱼网站所截获，甚至通过电话诈骗手段所获取，从而盗取用户账户中的资金。利用本方法升级移动银行APP和后台应用后，银行后台系统所发送和接收的验证码是经过用户手机上的SWP-SIM卡上的Applet认证处理过的数据，而攻击者截获了用户名、用户密码和动态短信验证码后，由于无法在合法用户手机之外的环境中被认证，因而也无法通过用户身份的认证。此外，该控件还对APP本身的有效性进行认证，防止用户不慎安装了钓鱼APP或被恶意篡改了的APP。

3.2 企业移动应用综合服务控件

在企业移动信息化服务过程中，由于移动终端的流动性的特点，因终端遗失、他人冒用等问题而带来的企业信息安全问题层出不穷。利用本方法可以构建面向企业移动应用的安全服务控件，在不改变企业现有移动信息化系统架构的前提下，利用用户手机上的SWP-SIM卡上定制的Applet为企业APP提供信息安全增强服务能力，从而在新用户开户、用户移动端登录、业务功能开通、业务功能使用、内部小额快捷支付及充值等通用功能中，大幅度提升安全性能，最大限度地避免因移动终端的非授权使用而给企业带来的损失。

4 结束语

通过SWP-SIM卡的根权限在发卡运营商，获得相应的卡上SE当中所分配的数据域的使用授权，安全服务平台需要先从运营商卡管控平台。授权信息采用一卡一密，一次一密的形式，运营商分配的卡片SE数据域内存放安全平台管理所有的应用授权信息。采用不同且唯一性的密钥加密每张SWP-SIM的授权信息。密钥本身存放于卡上的SE中，一张卡片密钥的泄露、破解不会影响到其他卡片的信息安全，外部OS和应用均无法访问到密钥，密钥的使用均在COS的管控下在卡片内部进行。每次对授权信息的验证和确认过程，卡片上的授权信息具有唯一性，均采用不同且唯一的密文进行交互，验证和确认过程完成后即失效，验证和确认过程中有效防止密文被攻击者截获后冒用。

参考文献：

[1]成聪，谭琨.SWP-SIM卡实现方式与模块加工[J].电子世界，2016（17）：101-102.

[2]常朝稳，魏彦芬，王帅.面向现场支付的MCSP模式及其支付协议[J].小型微型计算机系统，2014，35（10）：2319-2324.

[3]S Sarkisian， TR Fenton， AA Shaheen， M Raman. Parenteral nutrition-associated hyperglycemia in noncritically ill inpatients is associated with higher mortality[J]. Canadian Journal of Gastroenterology， 2010，24（7）：453-457.

[4]韩丽英，陈绍强.近距离通信的SWP方案及在SIM卡中的实现方法[J].单片机与嵌入式系统应用，2010（3）：31-34.

[5]赵丙秀.基于AdHoc的近距离通信的实现[J].计算机时代，2017（12）：32-34.