一种手机终端SIM卡及安全使用App的方法、介质与流程

本发明涉及移动通信技术及信息安全领域，尤其涉及一种支持cpk的手机终端sim卡及安全使用app的方法、介质。

背景技术：

如今手机已经成为人们出行所必需带的物品之一，甚至可说是首要必需携带的。随着其重要性的日益增加，越来越多的厂家都将目光投向手机的相关应用产品与技术。目前nfc、rfid-sim等手机卡技术已日渐成熟，出现了很多相关的手机应用，如手机门禁、手机支付、手机消费等。近年来移动互联网的高速发展，金融服务向互联网化、移动化的方向发展已是大势所趋，金融机构纷纷通过布局手机银行进行变革与创新。据统计，2016年我国top20的手机银行月均活跃用户规模达12494万，预计全部银行的月均活跃用户约1.5亿，2016年全年手机银行市场超过百万亿规模。

不过值得注意的是，伴随着金融服务向移动端发展，移动端的安全问题也随之而来，包括支付密码的盗取、键盘录制、非法钓鱼网站、远程控制等，不安全性是手机银行显著存在的问题。因此如何将传统服务当中的安全方案同样放在移动端，为移动端的金融服务业务提供安全保障成为当下金融机构迫切需要解决的问题，也是移动金融落地发展和迈向成熟的关键所在。

从央行政策监管方面，《关于进一步加强银行卡风险管理的通知》(银发〔2016〕170号)也要求严格手机客户端软件安全管理，打造可信手机支付执行环境。针对手机木马病毒、虚假短信、伪基站等欺诈手段，央行鼓励手机厂商综合运用新技术提供硬件级安全保护，提升支付敏感信息防护能力和支付交易安全强度。目前，在非接触式用户身份认证应用领域中m1(mifareone)卡使用比较广泛，但其采用的专用不公开硬件逻辑算法已被非法破解，用户信息存在安全隐患，而具备智能刷卡功能的rfid-sim手机卡已有逐步取代m1卡的趋势。本发明的核心是支持cpk的rfid-sim卡，直接在传统的sim上实现了芯片级的公钥体制安全，同时集成了rfid射频卡功能，集通信、安全、rfid技术于一体，真正了实现了手机卡，解决了现阶段的手机应用安全性问题。

技术实现要素：

为解决上述技术问题，本发明公开了一种保证应用软件在手机终端上安全使用的sim卡，该sim卡包括：射频天线、射频驱动单元、mcu安全芯片和sim卡标准连接触点，并顺次连接；

所述mcu安全芯片通过sim卡标准连接触点连接至手机终端；

在所述mcu安全芯片中存储有imsi用户身份鉴权信息，通过sim卡标准连接触点将imsi发送给手机终端，由手机终端与电信运营商之间进行用户身份鉴权；

所述mcu安全芯片通过射频驱动单元和射频天线与外部的读卡设备相配合，保证所述应用软件的安全使用；

所述mcu安全芯片存储有一个或多个用户应用cpk标识私钥和一个imsicpk标识私钥；

所述用户应用cpk标识私钥，是cpk密钥管理中心根据所述imsicpk标识私钥签名用户应用标识得到的密钥申请信息产生并分发给mcu安全芯片的。

根据本发明的实施例，优选的，所述mcu安全芯片中包含：移动通信模块、cpk安全模块和eflash芯片存储区；

所述移动通信模块负责手机终端与基站间的通信和定位功能；

所述cpk安全模块负责cpk公钥密码体制的密码学算法与协议实现；

所述eflash数据存储区是mcu安全芯片的安全存储区，用于存储移动通信模块的相关参数、数据以及cpk安全模块的相关数据。

根据本发明的实施例，优选的，所述应用软件通过标准的7816接口、射频天线或手机终端的蓝牙模块实现对cpk安全模块的调用。

根据本发明的实施例，优选的，所述cpk安全模块对imsicpk标识私钥和应用软件的用户应用cpk标识私钥加密后存储于eflash安全数据区。

根据本发明的实施例，优选的，所述应用软件通过上述方法运行。

为解决上述技术问题，本发明公开了一种在手机终端上安全使用应用软件的方法，该方法包括以下步骤：

(1)启动手机终端的应用软件，判断是否存在该应用软件对应的用户应用cpk标识密钥，如果是，则跳转至步骤(6)，否则跳转至步骤(2)；

(2)调用手机终端sim卡中的imsicpk标识私钥对应用软件的用户应用标识进行签名；

(3)应用软件将此签名信息作为密钥申请信息发给密钥管理中心；

(4)密钥管理中心对所述签名信息进行验证，如果验证通过，生成该应用软件的用户应用cpk标识私钥返回所述应用软件，否则跳转至步骤(7)；

(5)将所述应用软件的用户应用cpk标识私钥写入所述手机终端sim卡；

(6)该应用软件正常运行；

(7)结束。

所述用户应用cpk标识密钥包括用户应用cpk标识私钥和用户应用cpk标识公钥。

根据本发明的实施例，优选的，所述步骤(4)中，密钥管理中心验证签名的真实性和唯一性，以确保所述用户应用标识的真实性，并且是首次申请密钥。

根据本发明的实施例，优选的，所述步骤(4)中，密钥管理中心将私钥矩阵与用户应用标识通过cpk算法计算对应的用户应用cpk标识私钥。

根据本发明的实施例，优选的，所述应用软件的用户应用标识包括：手机号、用户姓名、身份证号、社保卡和银行卡号等。

根据本发明的实施例，优选的，在所述步骤(1)之前，由运营商预制imsicpk标识私钥，并加密存储于sim存储区中。

为解决上述技术问题，本发明公开了一种位于手机终端上的可读计算机存储介质，该计算机存储介质存储有计算机程序，通过执行所述计算机程序实现下述方法：

(1)启动手机的应用软件时，判断是否存在该应用软件对应的用户应用cpk标识密钥，如果是，则跳转至步骤(5)，否则跳转至步骤(2)；

(2)调用手机sim卡中的imsicpk标识私钥对应用软件的用户应用标识进行签名；

(3)应用软件将此签名作为密钥申请信息发给密钥管理中心；

(4)应用软件接收到密钥管理中心返回的用户应用cpk标识私钥后，将所述用户应用cpk标识私钥写入所述手机sim卡；

(5)该应用软件正常运行；

(6)结束。

所述用户应用cpk标识密钥包括用户应用cpk标识私钥和用户应用cpk标识公钥。

为解决上述技术问题，本发明公开了一种通过上述方法获得的用户应用cpk标识私钥开启门禁的方法，该方法包括：

(1)手机终端与门禁终端建立通信连接，开门应用软件向门禁终端发起一个开门申请；

(2)门禁终端将该开门申请发送给门禁服务器；

(3)门禁服务器通过门禁终端返回给开门应用软件一个随机数；

(4)开门应用软件采用用户应用cpk标识私钥对所述随机数和时间戳进行数字签名后，通过门禁终端发送给门禁服务器；

(5)门禁服务器对签名进行验签，如果验签通过，则转入步骤(6)，否则向门禁终端发送拒绝开锁指令；

(6)门禁终端接到开锁指令，执行开锁；

(7)结束。

根据本发明的实施例，优选的，所述步骤(5)中，在验签通过后，门禁服务器还需要检查用户应用标识是否在门禁白名单中，若在白名单中则为合法授权用户，转入步骤(6)，否则向门禁终端发送拒绝开锁指令。

根据本发明的实施例，优选的，所述步骤(1)中手机终端通过近场通信nfc、无线通信网络或者蓝牙通信的方式与门禁终端建立无线通信连接。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1本发明的逻辑结构图

图2本发明的imsi预置密钥分发流程

图3本发明的用户密钥分发流程

图4本发明的安全门禁实施例

具体实施方式

本发明的目的在于解决现阶段的手机应用安全性问题，提供一种可支持cpk(combinedpublickey)的rfid-sim手机用户识别卡，在传统手机用户识别卡中嵌入了cpk公钥体制的安全模块，同时集成了rfid(radiofrequencyidentification)射频卡功能，实现了通信、安全和近场通信应用功能于一体。

本发明所涉及的手机卡具有三个显著优势：

一、完全兼容传统手机卡的移动通信功能；

二、集成的rfid功能，拓展了手机的非接触式应用范围，如门禁、公交卡、手机钱包等；

三、cpk安全模块可以支持多个标识私钥，为移动应用提供基于标识公钥体制的安全服务，实现了应用中的身份鉴权，数据完整性、真实性与防抵赖的功能及数据保密性。采用本发明的手机卡可以广泛的应用于移动电子政务、移动办公、智慧城市和移动支付领域，打造用户数字身份和为用户提供安全交易保护的机制，为用户提供安全、便捷的应用体验，满足智慧城市建设和管理对安全实名制的需求。

本发明解决其技术问题所采用的技术方案是：一种支持cpk的rfid-sim手机卡，包括卡本体以及集成在该卡空间内的卡内电路；该卡内电路包括mcu(microcontrollerunit)安全芯片、射频驱动单元、射频天线和sim卡标准铜制连接触点；射频天线、射频驱动单元、mcu安全芯片和sim卡标准铜制连接触点顺次相连接；在mcu安全芯片中存储有用户身份鉴权信息(imsi，internationalmobilesubscriberidentificationnumber)，mcu安全芯片通过sim卡标准铜制连接触点连接至手机终端，以将imsi发送给手机终端，由手机终端与电信运营商之间进行用户身份鉴权；mcu安全芯片通过射频驱动单元和射频天线与外部的读卡设备相配合，实现了安全芯片的非接触式通信，使电子钱包、门禁、公交卡等应用成为可能。

所述mcu安全芯片中还存储有一个或多个用户的cpk标识私钥；所述标识私钥，是cpk密钥管理中心根据手机用户的标识与cpk私钥矩阵通过计算所产生的，通过安全密钥分发协议写入安全芯片的用户数字密钥。用户应用标识私钥是通过逻辑加密存储于mcu安全芯片，私钥的使用需要通过严格的权限验证，并仅限于在mcu芯片内使用，上位机无法获得私钥。mcu安全芯片的cos程序中除传统的移动通信模块外，还包括了cpk相关的密码学安全模块，包括了数字签名协议、密钥传递协议、对称加密算法、数字摘要算法、访问控制、安全状态机和安全报文等子模块功能。

所述mcu安全芯片通过数据链路连接手机终端，并通过手机终端的网络资源以在线的方式连接密钥管理中心，进行在线的用户应用标识密钥申请。手机卡在交付用户之前，由运营商预置imsi标识密钥，imsi标识密钥为预置密钥，这个密钥只与手机卡有关，与使用手机卡的人是无关的，通常这个密钥可以由运营商预置，即用户所购买的卡中已经由运营商预置了imsi所对应的标识密钥。imsi所对应的密钥可以作为后续实名密钥的安全分发基础。

用户购买卡后，所申请的实名制标识密钥借助于手机终端网络进行在线申请。此处的在线申请的标识密钥是与使用的人和应用软件关联，如用户的姓名、手机号、银行卡号、身份证号、邮件地址等，这些标识只有在应用时才能确定，所以只能在使用时在线申请。申请流程为：

(1)手机终端调用imsi标识私钥对所申请的用户应用标识(如：手机号、用户姓名、身份证号、社保卡和银行卡号等)进行数字签名；

(2)将用户应用标识和签名通过手机终端网络发送给密钥管理中心；

(3)密钥管理中心对用户应用标识的签名进行验证，并检查用户应用标识的唯一性；

(4)密钥管理中心以用户应用标识与私钥矩阵计算对应的标识私钥；

(5)将计算产生的标识私钥通过安全密钥分发协议写入sim卡的安全芯片。

所述的数据链路采用mcu安全芯片与手机终端的iso7816接口为连接通道，并通过扩展apdu指令集，实现手机终端与手机卡在iso7816接口下对cpk密码学运算与处理的数据流通信。

所述的数据链路采用在mcu安全芯片与手机终端之间新增设的以硬件方式体现的数据传输通道，实现手机终端与mcu安全芯片的cpk安全模块之间的数据传输。

所述以硬件方式体现的数据传输通道为有线传输通道或无线传输通道。

所述的数据链路采用在手机用户识别卡上增设与手机终端的已有数据传输设备相匹配的部件，以实现和手机现有资源的匹配对接，从而实现手机终端与安全芯片的数据传输。

本发明公开了一种支持cpk的rfid-sim手机卡，所述的cpk标识私钥是以手机卡(sim)为载体，以sim卡内的存储单元和mcu安全芯片的硬件协处理为支撑，建立的支持cpk相关密码学算法与协议的安全模块。这个标识私钥，是手机客户使用者的应用用户应用标识与cpk私钥矩阵在cpk密钥管理中心通过组合公钥算法所计算产生的，是只有该用户才拥有的密钥数据，通过数字签名技术，对客户的网上交易实施身份认证，并且可以签署各种业务服务协议，确保了交易和协议的唯一、完整和不可否认。这个以手机卡(sim)为载体，集成了射频卡功能，存储了cpk标识私钥，并支持cpk相关的密码学算法与协议的卡即本发明的支持cpk的rfid-sim手机卡。标识私钥是通过用户的pin码进行逻辑加密存储的，使用时需要先通过验证用户pin以确定使用者的身份，用户对标识私钥具有完全的自主权，运营商或应用管理员均无权调用其中的标识私钥，应用此类手机卡的安全应用符合国家的电子签名法。

本发明公开了一种支持cpk的rfid-sim手机卡，是以具备非接触、支持近距离无线通信功能、支持移动支付的手机卡为平台，可以采用2.4g通信频率，也可以采用13.56m通信频率，且手机卡内包括cpk安全模块，可以存储标识私钥和支持密码学相关的算法与协议。手机卡是基于安全芯片的，通过传输链路，与智能手机端终进行数据通信，智能手机终端在操作系统os的管理下，运行应用程序app完成相关的安全应用(如移动支付)。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施案例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

本发明公开了一种支持cpk的rfid-sim手机卡，其逻辑结构(如图1)包括mcu安全芯片、射频驱动单元、射频天线和sim卡7816标准铜制连接触点；射频天线、射频驱动单元、mcu安全芯片和sim卡7816标准铜制连接触点顺次相连接。其中安全芯片中包含了移动通信模块、cpk安全模块和eflash芯片存储区；移动通信模块是负责手机与基站间的通信和定位功能，这与当前普通sim手机卡功能相同；cpk安全模块是负责公钥密码体制的密码学算法与协议实现，其功能与银行u盾相当；eflash数据存储区是安全芯片的安全存储区，移动通信模块的相关参数和数据存储在此，cpk安全模块中的用户私钥、密码学参数、内部文件系统等也存储于此，对于敏感数据采用逻辑加密后存放。采用本发明的移动应用程序可通过标准的7816接口、射频天线或移动设备的蓝牙模块实现对安全模块的调用。

本发明公开了一种支持cpk的rfid-sim手机卡，要求移动运营商对外发行卡前预置imsi标识密钥，其预置密钥的分发流程如图2所示。移动运营商在向手机sim卡中设置imsi标识之后，将对应的imsi标识发送到cpk密钥管理中心；密钥管理中心根据imsi标识与密钥中心所保存的私钥矩阵通过组合公钥算法协议计算出imsi标识所对应的标识私钥；密钥管理中心通过安全密钥分发协议将所生产的imsi标识私钥回送到sim手机卡；rfid-sim卡接口调用其中的cpk安全模块对imsi标识私钥加密并存储于eflash安全数据区。

本发明公开了一种支持cpk的rfid-sim手机卡，通过移动运营商将卡分发给用户后，用户根据其安全应用的需要，在线申请用户应用标识密钥(注：用户应用标识是根据具体应用需求，定义的通俗易记、具有唯一性的实名标识，如手机通话相关的业务，其标识以手机号码作为标识；银行业务，则以银行卡号作为标识；以手机实名制相关业务，则以居民身份证号为标识；安全邮件系统，则以邮件地址为标识)，由于是在线密钥申请与分发，所以其流程有别于预置密钥的分发流程，具体的密钥申请分发流程如图3所示：(1)手机应用首次启动时，发现rfid-sim卡中无此应用所对应标识的密钥时，则调用cpk安全模块的imsi标识私钥对用户应用标识进行签名；(2)应用app将此签名作为密钥申请信息发给密钥管理中心；(3)密钥管理中心验证签名以确定标识的真实性(防止密钥的冒领)，再检查此标识是否已申请密钥；(4)若签名验证与唯一性检查通过，则将私钥矩阵与标识通过组合公钥算法计算对应的私钥，否则拒绝密钥生产请求；(5)密钥管理中心通过安全分发协议将所生产的标识私钥返回应用app，而app调用密钥更新接口将标识私钥写入安全芯片。本发明的手机卡中可以同时支持多个用户应用标识密钥，不同的密钥适用于不同的领域。

本发明的rfid-sim完成了预置密钥的生产和用户应用标识密钥的在线申请后，就可以开始安全性应用了。在此就以安全门禁的案例介绍本发明的安全性应用的具体实施方式。本发明的手机卡具有射频功能，用手机可以实现非接触式门禁卡的功能，同时通过射频通信功能可以调用cpk安全模块，以实现基于数字签名技术的安全门禁功能。其流程如图4所示，流程描述如下：

(1)用户持本发明的新型手机卡的手机在门禁终端上刷一下手机，系统自动产生一个请求开门的申请；

(2)门禁终端将此申请发送给门禁服务器；

(3)门禁服务器产生一个随机数作为挑战信息返回门禁终端；

(4)门禁终端将此随机数通过射频天线传到手机app软件；

(5)手机app软件调用安全芯片中的cpk安全模块中的用户应用标识私钥对随机数和时间戳进行数字签名；

(6)再通过射频天线将数字签名信息传给门禁终端；

(7)门禁终端将签名信息发到门禁服务器；

(8)门禁服务器从签名信息中获得签名标识(即用户应用标识)，并与公钥矩阵计算所对应的标识公钥，再用标识公钥验证签名，验证通过后再检查签名时间戳是否在有效时间内(可设定为1分钟，超时无效，可防止复制攻击)，满足则转入(9)，否则服务器向门禁终端发送拒绝开锁指令；

(9)门禁服务器检查用户应用标识是否在门禁白名单中，若在白名单中则为合法授权用户，转入(10)，否则向门禁终端发送拒绝开锁指令；

(10)签名验证与白名单检查均通过后，服务器向门禁终端发送开锁指令；

(11)门禁终端接到指令，执行开锁。

上述安全门禁是以近场通信为例的安全应用，还可借助于手机的移动数据网络实现远程门禁开锁功能，此方案也适用于共享单车的开锁。用户还可以参考本应用案例实现移动支付、手机银行、电子钱包、加密语音电话等等安全性应用。

通过本发明的技术方案，取得了以下技术效果：

(1)以安全芯片为sim卡硬件基础，实现了安全与通信两大功能的集成，解决了安全tf卡的高成本问题和手机硬件的支持问题；

(2)以硬件安全芯片的手机卡安全模块，与互联网的银行u盾采用了相同的安全机制，其安全性和便捷性远高于最近兴起的手机安全盾方案，尤其在手机银行、移动支付领域可解决突出的安全性问题；

(3)卡内集成了射频功能，用户只需更换sim卡就可支持电子钱包、门禁卡和公交一卡通的功能，不仅实现了手机一卡通，还与安全模块联动解决了近场通信应用的安全问题，相比用户更换支持nfc功能的手机，本发明更容易被用户所接受，易于推广；

(4)cpk标识公钥体制是基于标识的，对于实名制具有天然的优势，正好符合工信部关于手机卡实名制管理的规定，并随着本发明手机卡的普及，基于标识的手机卡将成为公安部居民身份证后的数字身份证，并可能成为数字世界的用户一卡通，能很好的与智慧城市、智能家居、远程医疗等物联网有机整合，彻底解决网络世界中的数字身份认证问题。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。