一种终端认证方法
【技术领域】
[0001]本发明涉及安全数据处理，特别涉及一种终端认证方法。
【背景技术】
[0002]随着计算机技术的高速发展，银行业务基于移动互联网，缩短了其交易成本和时间，拉近了银行行业与用户的距离。目前，无论是个人还是企业，对网上银行已经逐步认可和接受，但是安全问题一直使用户心存顾虑，网上银行交易方式在安全性和易用性方面均存在不足。硬件签名认证方式在网上银行应用十分广泛。通过USB双钥加密，私钥安全地保存在外接存储中，然而，随着移动移动终端的快速发展和移动互联网的普及，移动终端购物、网上交费等新型消费形式的出现，移动终端也提出了对加密和签名的新需求。原有形态的U盾在便携性、易用性和兼容性方面不再适应移动互联网业务的发展。此外，网上银行用户认证的另外一种方式即短信认证，由于明文方式传输和存储，同样存在着安全缺陷。
【发明内容】
[0003]为解决上述现有技术所存在的问题，本发明提出了一种终端认证方法，包括:
[0004]利用移动终端存储卡存储认证应用，当业务系统通过移动通信网络向移动终端发出鉴权请求时，用户利用所述认证应用进行签名操作，完成移动终端的签名认证。
[0005]优选地，所述移动签名认证平台包括以下4层，业务层、业务聚集层、服务器层、终端层，4层结构按照业务逻辑独立部署；业务层部署一个至多个业务系统，用于认证业务的发起；业务聚集层部署跨平台应用服务系统，用于聚集不同业务系统的认证业务请求，由服务器部署并运营，或由可信的第三方机构部署并运营，介于通信网络和业务系统之间；服务器层用于部署管理平台、SD卡认证应用管理平台、SD卡访问控制平台、消息平台；终端层用于部署移动终端和SD卡，其中移动终端执行终端层面的SD卡访问控制和通过预定义的API方式调用卡内应用，完成业务展示和机卡交互；SD卡用于执行SD卡层面的认证应用访问控制和SD卡认证应用，其中SD卡认证应用实现验证的业务逻辑；
[0006]其中，在移动终端中部署认证应用和操作系统层面的SD卡读写通道和访问控制功能单元，使仅有授权的认证应用可以通过读写通道访问SD卡中的认证应用，所述访问控制功能单元根据认证应用的哈希值和应用包进行规则匹配，从而进行终端的访问控制；每个认证应用安装在不同的辅助安全域，保证数据存储安全。
[0007]优选地，所述方法还包括:用户签名认证采用SSL实现了基于终端和SD卡的签名；当业务请求得到用户确认并输入唯一识别码后，SD卡通过唯一识别码校验后将业务信息生成哈希散列，进而使用存在于SD卡认证应用中的私钥进行加密形成签名数据，上述加密过程由SD卡认证应用完成，所述签名数据连同用户ID、业务确认信息同时上传至认证平台，上传过程可通过两种方式，即短信方式或使用客户端基于IP网络进行数据传输；在认证平台收到签名数据后，通过用户ID提取签名文件，同时对数据做哈希处理，对签名数据使用公钥进行解密，如解密后的数据与前哈希值相同则鉴权通过；
[0008]移动终端上的应用通过移动终端底层的API访问SD卡中的一个应用；SD卡中存储是否允许移动终端客户端应用访问卡片应用的规则，该规则定义了卡内安全数据访问控制的通用机制，支持多个应用方的应用程序管理并允许每个应用方为其加载到卡内的应用设置访问规则，卡内应用访问规则数据存储在SD卡中，供设备上的访问控制执行使用，操作系统访问控制执行层将卡内认证应用里取回访问规则然后运用这些规则来控制应用客户端对卡认证应用的访问。
[0009]本发明相比现有技术，具有以下优点:
[0010]本发明提出了一种终端认证方法，实现进行移动场景下的用户认证和签名，而且有利于服务器构建面向安全的应用环境，从而提高网络和业务的地位和价值。
【附图说明】
[0011]图1是根据本发明实施例的终端认证方法的流程图。
【具体实施方式】
[0012]下文与图示本发明原理的附图一起提供对本发明一个或者多个实施例的详细描述。结合这样的实施例描述本发明，但是本发明不限于任何实施例。本发明的范围仅由权利要求书限定，并且本发明涵盖诸多替代、修改和等同物。在下文描述中阐述诸多具体细节以便提供对本发明的透彻理解。出于示例的目的而提供这些细节，并且无这些具体细节中的一些或者所有细节也可以根据权利要求书实现本发明。
[0013]本发明的一方面提供了一种终端认证方法。图1是根据本发明实施例的终端认证方法流程图。随着移动终端SD卡技术的发展，卡的功能也不断增强，不仅能提供服务器的网络鉴权能力，而且能提供基于SD卡的安全能力开发，为银行业务在移动场景下的用户签名和认证提供技术手段。本发明从移动通信服务器角度提出利用移动终端SD卡和通信网络构建移动终端用户签名认证的结构，以终端为用户入口，面向银行业务系统实现了端到端的解决方案。
[0014]基于移动终端SD卡的银行应用移动签名认证业务包括以下几种。
[0015](I)应用的发行:移动终端用户通过银行业务系统柜台签署业务开通，获取授权码。用户通过服务器或者客户端向SD卡下载认证应用。
[0016](2)业务签约:移动终端用户通过移动客户端或SD卡菜单选择银行进行业务开户，设定本机唯一识别码。
[0017](3)业务执行:当移动终端用户通过网上银行或移动终端银行进行支付转账等需要进行用户签名认证操作时，银行业务系统向跨平台鉴权服务系统认证请求，通过通信网络请求发送至移动终端，终端通过客户端的SD卡开发工具菜单呈现操作的具体信息，用户输入步骤(2)中设定的唯一识别码后对交易操作进行签名，签名数据通过通信网络发送至鉴权服务系统，通过认证后将结果返回至银行业务系统完成支付操作。
[0018](4)业务的退订:移动终端用户通过移动客户端从SD卡菜单选择银行进行业务取消和退订。
[0019](5)应用更新:当应用进行更新时，应用平台通过通信网络发送应用更新通知，通过移动客户端进行应用的下载更新。
[0020]本发明基于移动终端SD卡的银行应用移动签名认证平台总体结构，从业务应用到终端进行了层次划分，包括以下4个层次:业务层、业务聚集层、服务器层、终端层。4层结构按照业务逻辑独立部署，面向银行业务系统实现了端到端解决方案。
[0021](I)业务层部署一个至多个银行业务系统，负责认证业务的发起。
[0022](2)业务聚集层部署跨平台银行应用服务系统，用于聚集不同银行业务系统的认证业务请求。系统可由服务器部署并运营，也可以由可信的第三方机构部署并运营，可介于通信网络和银行业务系统之间。
[0023](3)服务器层部署管理平台、SD卡认证应用管理平台、SD卡访问控制平台、消息平台。
[0024](4)终端层部署移动终端和SD卡，其中移动终端负责执行终端层面的SD卡访问控制和通过预定义的API方式调用卡内应用，完成业务展示和机卡交互；SD卡负责执行SD卡层面的卡片认证应用访问控制和SD卡认证应用。其中SD卡认证应用实现了验证的业务逻辑。
[0025]从终端层展开看，包括移动终端和SD卡两个功能实体。其中终端中部署认证应用和操作系统层面的SD卡读写通道和访问控制功能单元，保证仅有授权的认证应用可以通过读写通道访问SD卡中的认证应用。访问控制功能单元根据认证应用的哈希值和应用包进行规则匹配，从而进行终端的访问控制。SD卡中部署访问控制规则，保证只有通过该规则的应用才能访问卡上的认证应用。每个认证应用安装在不同的辅助安全域，保证数据存储安全。
[002