基于移动数字证书的企业安全认证应用研究

摘  要：通过传统USBKey设备来实现双因子身份认证的方法已不能满足用户对更高安全性、便捷性的要求。为了解决在移动端实现安全认证的需求，文章提出了基于移动数字证书的企业安全认证方案。首先给出移动安全认证中间件+移动安全认证管理平台的总体架构设计，基于该架构，研究详细阐明了移动安全认证涉及到的核心安全设计，在行为感知和威胁感知方面引入了机器学习模型。最后基于移动数字证书的企业应用案例，介绍了移动认证的完整业务流程。

关键词：移动认证;数字证书;威胁感知

中图分类号：TP317.1;TP309.7      文献标识码：A 文章编号：2096-4706（2020）03-0153-03

Abstract：The method of realizing two-factor identity authentication through traditional USBKey devices can no long meet the requirements of users for higher security and convenience. In order to solve the need of realizing security authentication in mobile terminal，this paper proposes an enterprise security authentication scheme based on mobile digital certificate. Firstly，this paper gives the overall architecture design of mobile security authentication middleware and mobile security authentication management platform. Based on this architecture，the core security design involved in mobile security authentication is explained in detail，and introduces machine learning model in behavior perception and threat perception. Finally，this paper gives an enterprise application case based on mobile digital certificate and introduces the complete business process of mobile authentication.

Keywords：mobile authentication;digital certificate;threat awareness

0  引  言

为了保障用户身份安全，电子政务、电子商务等业务系统广泛使用基于数字证书的身份认证系统来实现用户的双因子身份认证。在使用过程中，用户通常通过专用的USBKey设备来存储并保护私钥，实现对关键信息的数字签名[1]。但是在移动互联网时代，用户在手机、PAD等移动设备上进行移动办公、网上转账时，使用专用的USBKey硬件设备，携带和使用都不方便。而直接在移动终端设备上使用用户名密码的认证方式又面临着密码被截获、口令被窥视、被病毒木马攻击等风险。企业迫切希望能够获得一种能直接运行在移动终端设备上的基于数字证书的认证产品或安全解决方案，使得用户仅需携带手机或PAD就能完成用户身份认证。

针对以上问题，本研究提出了移动数字证书安全解决方案，通过该方案可以帮助本企业以较低成本解决移动认证问题，全方位保证应用的安全性。

1  技術架构设计

移动数字证书安全解决方案包含移动客户端和服务端两部分，架构设计如图1所示。

1.1  移动安全中间件

移动安全中间件负责用户证书的密钥管理、安全下载、安全更新、数字证书的安全使用、用户口令管理、密码软键盘、数字签名/验签、威胁感知、安全通信等功能，以接口的形式为企业业务系统提供服务[2]。

1.2  移动安全认证管理平台

移动安全认证管理平台为移动数字证书的后台服务端，包含用户管理、授权码管理、数字证书管理、用户密钥管理、系统管理、威胁感知、用户行为分析等功能，以WEB UI的形式提供给管理员进行配置管理，以接口形式为业务平台提供服务。

2  核心安全性设计

2.1  密钥安全管理设计

密钥安全管理以用户私钥在移动端不存储、使用时密钥也不完整出现在移动端内存中的思路进行设计，具体为由各参与实体（用户、设备、服务器等）各自形成和维护自己的分散私钥片段，公开自己的公钥片段，需要参与签名运算时，各分散私钥片段独立计算得到分段签名结果，由门限签名算法负责将分段签名结果整合成完整签名结果。移动数字证书用户私钥由用户因子、设备因子和服务端因子三方共同生成。设备因子采集设备硬件特征值（包含但不限于MAC地址、CPUinfo、IMEI等）、设备系统特征值等信息，调用密钥派生函数派生，记为d1，计算相对应的公钥因子P1，d1不保存，使用时由密钥管理算法自动采集派生，P1导出用于申请数字证书。用户因子根据用户设定的用户PIN码、用户行为特征值、采集的设备硬件特征值（包含但不限于MAC地址、CPUinfo、IMEI等）等信息调用密码派生函数派生，记为d2，计算相对应的公钥因子P2，d2不保存，使用时采集用户因子临时派生参与运算，P2导出用于申请数字证书。服务端因子根据用户密钥生成请求，生成随机数，记为d3，计算相对应的公钥因子P3，d3由服务端保存，使用时由服务器根据用户行为特征分析结果确定d3是否参与运算，返回运算结果，P3导出用于申请数字证书。用户完整私钥d=d1+d2+d3，其对应的公钥为P=P1+P2+P3[3]。

在需要用户私钥进行数字签名或解密时，用户向服务端发起服务端因子参与运算请求，服务端根据用户行为特征分析结果确定是否使用d3参与数字签名运算或解密运算，如果是，返回相应计算结果，如果否，拒绝该请求;d1、d2、d3分别对原文进行数字签名或对密文进行解密，得到相应的分段签名结果或分段解密结果，由（n，n）门限签名算法或（n，n）门限解密算法对分段签名结果或分段解密结果进行整合，形成完整的数字签名值或明文。

2.2  用户PIN码安全

用户因子与用户PIN码息息相关，所以必须保证用户PIN码的安全。用户设定PIN码时进行PIN码安全强度检测，强制用户使用复杂度较高的PIN码，杜绝用户使用弱PIN码;用户PIN码输入时使用密码软键盘，全面保护PIN码信息输入安全。移动安全中间件提供的密码软键盘提供随机分布式虚拟按键，对键盘的数据输入、数据存储、内存数据换算等全过程加密，可以有效防止数据侦听、数据窃取、键盘劫持、键盘截屏等攻击行为[4];PIN码尝试次数限制，连续输入PIN码错误次数达到一定次数，移动数字证书自动锁定。

2.3  基于行为感知的身份认证

移动数字证书安全解决方案采用用户PIN码和用户行为感知相结合的身份认证方式。移动安全中间件负责记录用户的击键行为，移动安全认证管理平台利用平时获得的用户击键行为习惯数据，构建数据模型和机器学习模型，为每个用户构建击键行为特征画像，对用户身份进行鉴别。

在用户因子（用户PIN码）、设备因子、可信服务端因子构建移动数字证书的基础上，加入用户行为特征身份认证，并将这一机制应用到大型业务系统中，分析千万级用户的行为特征，并利用大数据技术进一步对用户行为特征进行细致研究，不断完善用户行为特征画像，可进一步提高身份鉴别的准确率。

2.4  威胁感知

移动安全中间件能够实时监测移动终端安全态势，并把采集的数据发送到移动安全认证管理平台进行安全分析。移动端能够采集设备动态信息、设备静态信息、运行环境信息、设备设置信息、设备安全信息和应用异常信息。设备动态信息为设备地理信息包括但不限于GPS、IP、Wi-Fi ID、基站信息等;设备静态信息为设备基本信息，包括但不限于设备名称、设备型号、操作系统类型、系统版本、厂商信息、CPU信息、Wi-Fi MAC地址、蓝牙设备号、基带信息、IMEI/IMSI、传感器信息;设备运行环境信息包括但不限于所安装应用、软件版本、软件包名、软件签发证书、杀毒软件、应用的日启动次数、日启动时间;设备设置信息包括但不限于是否开启调试、锁屏设置检测、WLAN是否开启、蓝牙是否开启、NFC是否开启;设备安全信息包括模拟器检测、root检测、SQL注入检测、代码注入检测、可疑框架检测;应用异常信息，包括但不限于崩溃信息、应用异常退出信息。

移动安全认证管理平台能够对收到的海量安全基础数据通过数据挖掘、机器学习等人工智能算法进行持续分析。

移动安全认证管理平台认证威胁感知架构通过静态检测、漏洞利用检测和大数据技术发现终端设备异常、移动应用运行异常、网络流量异常、恶意行为和文件威胁等异常威胁行为。

2.5  程序运行安全

针对恶意篡改、注入代码、内存修改、逆向分析等攻击，采用防止静态分析与防止动态调试全面防护的思路，在程序运行的不同周期采取不同程度的加固措施，保护SDK运行安全。

2.6  数据的安全存储设计

程序中所需要的数据或者产生的数据都会存储在程序对应的私有目录。其他应用不能够访问本程序目录下的数据文件;如果需要把本应用的数据文件导出到其他目录，需要明确提示用户，需要经过用户明确通过之后，方可导出到其他目录;如果程序需要和其他应用进行数据交换，应该使用进程间通信AIDL、广播、内容提供者或者数据通信接口。

3  移动数字证书安全解决方案在企业中的应用

移动数字证书安全解决方案是保障移动平台安全认证、保密通信、数据安全、移动威胁感知等的一套安全解决方案，可以帮助企业解决移动应用的用户安全认证问题，提升企业安全保障能力。移动数字证书签名既支持PC应用签名，也支持移动端APP应用签名[5]，在企业移动支付领域应用实例如图2所示。

（1）用户在PC网络支付或移动网络支付业务系统中发起支付请求;

（2）支付业务系统向移动统一认证安全管理平台发起签名认证请求;

（3）移动统一认证安全管理平台向该用户的移动端推送签名请求，并请求用户出示用户凭据;

（4）移动安全中间件收到签名请求后，在移动端回显交易信息，请求用户确认，并请求用户输入验证信息;用户确认并输入验证信息后发送给移动统一认证安全管理平台，请求服务端签名;

（5）服务端验证用户身份信息后，调用存储在服务端的用户私钥因子，生成服务端部分签名，并将签名信息返回给移动安全中间件;

（6）移动安全中间件利用设备因子、用户因子分别对交易信息进行SM2门限签名，得到相对应的签名结果，再利用收到的服务端签名，合成完整的签名信息;

（7）移动安全中间件将完整签名信息发送给移动统一认证安全管理平台;

（8）移动统一认证安全管理平台向签名服务器发起签名验证请求;

（9）签名服务器向移动统一认证安全管理平台返回验证结果;

（10）移动统一认证安全管理平臺向支付业务系统返回签名认证结果;

（11）支付业务系统根据签名认证结果返回交易结果。

4  结  论

随着移动互联网的高速发展，企业内部业务系统的移动应用建设需求与日俱增，由此而产生的移动应用安全问题成为制约企业移动应用发展的关键瓶颈之一。本文通过移动安全认证中间件+移动安全认证管理平台的总体架构设计研究，简单描述了移动数字证书在企业中的应用，为企业移动应用系统的安全认证建设提供一些参考。

参考文献：

[1] 杨萍基，周苏婷.浅析网上支付不安全因素及防范措施 [J].沿海企业与科技，2011（7）：106-107.

[2] 陈立志，李凤华，戴英侠.基于动态口令的身份认证机制及其安全性分析 [J].计算机工程，2002（10）：48-49.

[3] 魏永禄，朱红，邱兵.基于双因素特征的信息安全身份认证技术研究 [J].山东大学学报（理学版），2005（3）：76-79.

[4] 刘怀兰，侯昕，王佳.改进的基于USBKey的动态身份认证方案 [J].华中科技大学学报（自然科学版），2010，38（11）：41-43.

[5] 邓所云，胡正名，钮心忻，等.一个无线双向认证和密钥协商协议 [J].电子学报，2003（1）：135-138.

作者简介：钟征燕（1986-），女，汉族，广西桂林人，工程师，部门信息化项目运维管理员，硕士研究生，主要研究方向：信息化系统运维与安全管理。