常見移動環境下身份認證技術方案身份認證技術是在互聯網中為確認操作者身份而產生的解決方法。移動互聯網中一切信息包括用戶身份信息都是用一組特定的數據來表示的，如何保證以數字身份進行操作的操作者就是這個數字身份的合法擁有者，也就是說保證操作者的物理身份與數字身份相對應，身份認證技術就是為了解決這個問題。為確保身份認證的真實有效，對于身份認證技術有以下幾項基本的安全需求。

⑴保密性：確保交易過程中涉及的大量保密數據在公開網絡的傳輸過程中不被竊取。

⑵完整性：保證交易信息在傳輸過程中不會被篡改或通過重復發送進行虛假交易。

⑶雙向認證：基于單向認證的第二代移動網絡安全機制己經導致多種利用協議漏洞的攻擊出現，如中間人攻擊等，因此保證交易雙方身份的正確性尤為重要。

⑷不可抵賴性：確保交易完成后，交易的任何一方都無法否認已經發生的交易。

目前移動互聯網中常用的身份認證技術有多種，它們具有不同的操作方式，具備不同的安全等級，可以適用于不同的應用場景。

基于硬件安全模塊的PKI身份認證技術方案文件數字證書在安全等級上是最高的，同時具備雙向認證機制及不可抵賴性，是一種較為適合高安全互聯網應用的認證方式。這種方式的問題在于，使用文件方式存儲數字證書，難以阻止非授權的訪問，一旦文件被破譯，就會造成用戶密鑰的泄漏，從而導致業務信息被破解。網銀目前最普遍使用的USBKEY認證也是一種通過數字證書進行安全認證的方式，與文件數字證書方式相比，其證書及用戶的密鑰都采用硬件進行存儲，因此能夠避免非法的訪問。能否在移動終端上引入專用的安全硬件完成類似計算機上USBKEY的功能，成為一種很自然的想法。

為此我們研究并提出了一種基于硬件安全模塊（SecureElement，SE，本文中的安全模塊均指通過硬件方式實現）的PKI身份認證技術，就是將數字證書、用戶密鑰存儲在專用的安全模塊中，并由安全模塊完成各種加/解密及簽名/驗簽運算，從而保證用戶數據的安全。

2.1網絡總體結構

本方案的網絡結構如圖1所示，其中主要的功能實體包括PKI安全模塊、手機終端、業務系統平臺、CA中心。

2.1.1PKI安全模塊

PKI安全模塊是集成在移動終端中的專用安全設備，能安全地存儲用戶密鑰和數字證書，可實現公私密鑰對生成、數字證書存儲及訪問、對稱（非對稱）加/解密、生成/驗證數字簽名等功能。為提高非對稱運算的速度和效率，通常會在安全模塊中集成專用的RSA協處理器用以快速完成密鑰對生成及各種RSA相關的加/解密、簽名/驗簽運算（對于使用ECC算法進行認證的業務，可集成ECC協處理器）。

2.1.2手機終端

手機終端是操作系統和客戶端軟件的運行載體。　操作系統提供了底層的硬件驅動支持，為應用軟件提供了對安全模塊的訪問接口。　客戶端軟件向用戶提供了業務交互的界面，它一方面通過調用操作系

統提供的安全模塊訪問接口來實現各種安全運算，另一方面則通過移動網絡與業務系統平臺進行業務交互，在安全模塊與后臺系統之間建立了一條實時交互的通道。

2.1.3CA中心

CA中心是PKI體系的核心，它是證書的簽發機構，是保證業務交易的權威性、可信任性和公正性的第三方機構，負責生成、分發和撤銷數字證書。此外CA中心還承擔公鑰體系中公鑰合法性檢驗的責任，驗證用戶身份的真實性。

2.1.4業務系統平臺

業務系統平臺負責實際處理用戶的交易請求，并通過與CA中心的交互，協助完成用戶證書管理、簽名驗證等功能。2.2功能層次架構由于業務系統的設計實現較為成熟，本文將集中對手機客戶端的功能層次架構進行說明。手機客戶端分為應用層、安全應用接口層、手機操作系統層和物理硬件層4個層次。　應用層：客戶端軟件，通過調用安全應用接口層提供的標準接口，完成具體業務功能。

　安全應用接口層：安全應用中間件是連接安裝在移動終端上的客戶端軟件與安全模塊之間的橋梁。

安全應用中間件屏蔽了底層手機操作系統、安全模塊的差異，向應用層提供了標準的PKI運算接口，稱為安全應用接口，具體包括密鑰對生成、數字證書訪問和管理、加/解密、簽名/驗簽等。由于不同終端的操作系統和安全模塊驅動并不統一，因此安全應用中間件需要根據終端進行適配，工作量非常大。為此需要針對目前主流的手機操作系統，包括Android、iOS、Symbian等，制定安全模塊驅動接口標準，推動終端廠商遵循，減輕安全應用中間件的適配工作量。

　終端操作系統層：手機終端與智能卡設備之間的訪問接口簡稱為機卡接口。終端廠商在手機操作系統層對機卡接口進行技術實現，并向上層應用提供標準的安全模塊訪問接口。

對于SD卡方式，具備SD卡的終端都支持標準的SD卡訪問接口。為區分對SD卡的普通存儲訪問和安全模塊訪問，一般可以采用專用文件讀寫方式實現：⑴安全應用中間件調用SD卡寫入接口，將請求指令寫入到SD卡上的專用輸入文件中；⑵控制芯片判斷是對專用文件的寫入，認為這是安全模塊訪問指令，進入業務處理流程；⑶驗證業務請求的合法性，確保是由合法的系統后臺發出（可通過簽名驗證等方式）；⑷驗證通過后進行運算處理，并將處理后的結果經過加密、簽名后放到專用輸出文件中；⑸安全應用中間件在發送訪問請求后，對輸出文件進行定時查詢，直至取得返回結果。

對于SIM卡方式，手機終端操作系統目前對SIM卡的訪問是通過“RIL（RadioInterfaceLayer，無線接口層）→基帶芯片（BasebandProcessor）→SIM卡”的通路實現的，由于SIM卡方式的機卡接口實現技術較為復雜,具體方案在下文中進行專門討論。