基于共享式存儲的智能終端數(shù)字簽名方案

劉國榮，劉東鑫，汪來富，沈軍，金華敏

（中國電信股份有限公司廣州研究院，廣東 廣州 510630）

基于共享式存儲的智能終端數(shù)字簽名方案

劉國榮，劉東鑫，汪來富，沈軍，金華敏

（中國電信股份有限公司廣州研究院，廣東 廣州 510630）

在傳統(tǒng)互聯(lián)網(wǎng)中，USB key+數(shù)字證書是最成熟的應(yīng)用安全保障技術(shù)，但在移動互聯(lián)網(wǎng)領(lǐng)域，由于智能終端接口等方面的限制，證書難以直接使用。探討了在智能終端使用智能卡作為數(shù)字證書存儲介質(zhì)，支持多個數(shù)字證書，通過統(tǒng)一的管理，為多個應(yīng)用共享使用，降低證書在智能終端上的使用門檻，并分析了方案的安全性，探討了數(shù)字證書與指紋識別技術(shù)相結(jié)合，提升用戶使用便利性的方案。

智能終端；數(shù)字證書；認(rèn)證；安全

1 引言

隨著移動互聯(lián)網(wǎng)開放化、終端智能化和應(yīng)用豐富化，傳統(tǒng)互聯(lián)網(wǎng)的安全問題也在威脅著移動互聯(lián)網(wǎng)應(yīng)用。移動電子商務(wù)、移動辦公等行業(yè)應(yīng)用由于使用的特殊性，對安全具有很高的要求，特別是對用戶身份的驗(yàn)證、交易安全的保障。然而，由于手機(jī)終端限制，傳統(tǒng)互聯(lián)網(wǎng)成熟的安全保障技術(shù)在移動互聯(lián)網(wǎng)上應(yīng)用時存在較多限制，制約了業(yè)務(wù)發(fā)展。以手機(jī)銀行為例，目前與身份驗(yàn)證相關(guān)的主要技術(shù)見表1。

除數(shù)字證書外，表1中其他技術(shù)僅具備身份驗(yàn)證功能，而數(shù)字證書能提供交易過程的機(jī)密性、完整性、身份驗(yàn)證以及不可抵賴性的安全保障，特別是采用USB key存儲數(shù)字證書的方式是安全性最高、在傳統(tǒng)互聯(lián)網(wǎng)領(lǐng)域最成熟的應(yīng)用安全保障技術(shù)。但由于手機(jī)系統(tǒng)、端口等的差異性，在手機(jī)端應(yīng)用USB key存在諸多限制：USB并非手機(jī)的標(biāo)配端口，應(yīng)用提供商針對手機(jī)發(fā)放各種接口的key、定制不同終端底層驅(qū)動，成本較高，用戶針對不同應(yīng)用攜帶、使用多個介質(zhì)也不方便，目前僅有少數(shù)銀行試點(diǎn)。

實(shí)際上，安全問題制約了手機(jī)銀行的進(jìn)一步發(fā)展，CFCA（中國金融認(rèn)證中心）最新發(fā)布的《2016中國電子銀行調(diào)查報(bào)告》[1]顯示，安全因素是個人手機(jī)銀行發(fā)展的主要障礙之一，如圖1所示。手機(jī)銀行、手機(jī)支付局限于小額支付領(lǐng)域，也與其安全保障措施的現(xiàn)狀有關(guān)。

表1 手機(jī)銀行身份驗(yàn)證技術(shù)

圖1 用戶不開通手機(jī)銀行的原因

2 數(shù)字證書在智能終端應(yīng)用需求

我國于2005年實(shí)施的 《電子簽名法》（2015年修正）解決了電子環(huán)境下用戶身份的法律地位問題，賦予電子簽名與文本簽名同等的法律效力。其中，基于PKI（public key infastructure，公鑰基礎(chǔ)設(shè)施）/CA的數(shù)字簽名是最為成熟、應(yīng)用最廣泛的電子簽名技術(shù)。

PKI是基于公鑰理論和技術(shù)建立起來的安全體系，是提供信息安全服務(wù)具有普遍性的安全基礎(chǔ)設(shè)施[2]。該體系在統(tǒng)一的安全認(rèn)證標(biāo)準(zhǔn)和規(guī)范基礎(chǔ)上，提供了在線身份認(rèn)證、加密和數(shù)字簽名等服務(wù)，還提供了所必須的密鑰和證書管理體系，是CA認(rèn)證、數(shù)字證書、數(shù)字簽名以及相關(guān)安全應(yīng)用組件的集合。PKI的核心是解決信息網(wǎng)絡(luò)空間中的信任問題，確定信息網(wǎng)絡(luò)中行為主體身份的唯一性、真實(shí)性和合法性，是解決網(wǎng)上身份認(rèn)證、信息完整性和抗抵賴等安全問題的技術(shù)保障體系。PKI可滿足信息機(jī)密性、完整性、身份認(rèn)證及不可抵賴性的要求，是電子交易的關(guān)鍵保障技術(shù)。

智能終端環(huán)境下應(yīng)用數(shù)字證書的主要難題是私鑰的安全存儲及簽名安全計(jì)算，智能卡雖可滿足要求，但在智能終端應(yīng)用受到限制。針對智能終端環(huán)境下接口、智能卡片資源有限的問題，GP（Global Platform）制定了多應(yīng)用智能卡規(guī)范[3]，可同時運(yùn)行、動態(tài)更新管理智能卡，賦予了發(fā)卡方與業(yè)務(wù)合作伙伴共享卡片的管理功能。GP智能卡架構(gòu)如圖2所示。

圖2 GP智能卡架構(gòu)

GP智能卡規(guī)范為多應(yīng)用共存提供了靈活性，但也存在以下問題：多應(yīng)用的動態(tài)下載、共同執(zhí)行增加了智能卡自身的安全風(fēng)險(xiǎn)，運(yùn)行環(huán)境或加載應(yīng)用的漏洞可能被利用，危及其他應(yīng)用，如德國SRLabs的Karsten Nohl在第30屆混沌計(jì)算大會上演示了針對SIM卡的攻擊，利用其漏洞，成功在卡上安裝惡意applet，獲取卡內(nèi)的關(guān)鍵信息；GP智能卡作為通用標(biāo)準(zhǔn)，重點(diǎn)關(guān)注多應(yīng)用、多業(yè)務(wù)支持的通用性和靈活性，難以針對數(shù)字簽名這類計(jì)算強(qiáng)度較高的應(yīng)用進(jìn)行優(yōu)化，在多個數(shù)字簽名應(yīng)用同時安裝的情況下，不僅功能重復(fù)、性能也難以優(yōu)化；應(yīng)用提供方須維護(hù)卡內(nèi)applet程序，開發(fā)、維護(hù)成本較高。

本文旨在采用一種面向智能終端使用數(shù)字證書共享存儲的安全方案，通過提供PKI服務(wù)支撐基礎(chǔ)，降低智能終端各類應(yīng)用使用PKI服務(wù)的門檻。

根據(jù)手機(jī)應(yīng)用環(huán)境的特點(diǎn)和用戶的需求，手機(jī)PKI支持方案，應(yīng)能滿足以下要求。

（1）多應(yīng)用支持

由于接口限制，使用時更換手機(jī)key極為不便，甚至不可能（如內(nèi)置芯片）。隨著移動互聯(lián)網(wǎng)的發(fā)展，應(yīng)用將越來越豐富，用戶具有訪問多個應(yīng)用的需求，手機(jī)key應(yīng)能滿足該需求，提供多應(yīng)用支持。

（2）可管可控

在支持多個PKI應(yīng)用的情況下，不同應(yīng)用之間相互隔離，可以確保使用的合法性、私鑰的安全性，對方案能否應(yīng)用至關(guān)重要。同時，對業(yè)務(wù)的可管可控、數(shù)字證書引入的控制、使用情況的監(jiān)控，也是運(yùn)營的關(guān)鍵。

（3）開放性

目前，國內(nèi)有數(shù)十家開展PKI服務(wù)的第三方CA認(rèn)證機(jī)構(gòu)，也有不少實(shí)力較強(qiáng)的SP（service provider，服務(wù)提供商）自建了CA，為內(nèi)部應(yīng)用或自己開展的業(yè)務(wù)提供PKI支持。運(yùn)營商不應(yīng)也不可能限制SP對CA的選擇，因此方案應(yīng)具有開放性，不能局限于對某個CA的支持。

（4）標(biāo)準(zhǔn)化

根據(jù)開放性的要求，手機(jī)key應(yīng)遵循標(biāo)準(zhǔn)，提供基于X.509標(biāo)準(zhǔn)CA證書及RSA、SHA-1等主流算法的支持。

（5）其他要求

方案改造和管理的工作量、使用的方便性，也是方案能否吸引SP和用戶的重要因素，因此，應(yīng)盡量減少SP改造和管理工作、提高用戶使用的方便性。

3 基于共享式存儲的智能終端數(shù)字認(rèn)證方案

本文將數(shù)字證書私鑰的共享式存儲介質(zhì)稱為手機(jī)key，手機(jī)key支持多組證書，通過平臺統(tǒng)一管理，為多個應(yīng)用共享使用。在方案提供的PKI的支持下，SP可方便地提供基于PKI的身份認(rèn)證、交易簽名、數(shù)據(jù)加密功能，提高應(yīng)用的安全性，如圖3所示。

手機(jī)key可以是外置式的智能卡，如SD/TF、mini USB、藍(lán)牙接口的智能卡、手機(jī)SIM/UIM卡，或內(nèi)置的安全芯片，如TrustZone安全區(qū)。提供的主要功能包括以下幾點(diǎn)。

（1）證書加載

將SP的證書加載到手機(jī)key，并生成對應(yīng)的個人公私鑰對、加載經(jīng)簽名的個人證書；手機(jī)key可獨(dú)立存儲多組證書，為多個應(yīng)用服務(wù)。

（2）身份認(rèn)證

用戶與SP應(yīng)用使用數(shù)字證書相互驗(yàn)證對方身份，其中，客戶端采用數(shù)字證書和PIN碼或指紋識別等雙因素認(rèn)證。

（3）交易簽名

對客戶的關(guān)鍵交易信息進(jìn)行數(shù)字簽名，確保交易的不可抵賴性。

圖3 基于手機(jī)key的PKI應(yīng)用架構(gòu)

（4）數(shù)據(jù)加密

利用公鑰算法為用戶安全分發(fā)密鑰，在特定的使用場合，可擴(kuò)展移動終端的計(jì)算能力，支持符合國家密碼管理要求的加密算法。

為支持多個SP共享，手機(jī)key應(yīng)能存儲多組數(shù)字證書及其私鑰。同時，由于多個SP具有訪問手機(jī)key的權(quán)限，對SP證書的有效管理，包括加載、使用的權(quán)限管理，以確保證書和私鑰的安全性，成為方案的關(guān)鍵。本方案采用多個數(shù)字證書組和 SP準(zhǔn)入認(rèn)證機(jī)制來實(shí)施對 SP的管理。

證書組包括SP證書、SP頒發(fā)給用戶的個人證書及私鑰，是用于個人和SP間相互認(rèn)證的憑證。證書組存儲于手機(jī)key的安全存儲區(qū)，其中，私鑰在卡內(nèi)生成，且不能從卡內(nèi)讀取出來。

（1）SP證書

由CA頒發(fā)給SP的數(shù)字證書，私鑰由SP保存，用于驗(yàn)證SP身份。SP在使用手機(jī)key進(jìn)行加密或簽名前，必須出示身份信息。手機(jī)key用存儲的證書驗(yàn)證SP身份，通過后才能為SP提供加密和數(shù)字簽名等功能。

（2）客戶證書/私鑰

SP或由SP信任的CA頒發(fā)給用戶的數(shù)字證書及私鑰，在用戶訪問SP時提供身份驗(yàn)證和交易簽名等功能。

（3）管理證書

管理證書組是特殊的證書組，預(yù)制于手機(jī)key中，作為SP準(zhǔn)入控制機(jī)制的可信根。

智能卡支持多組證書，證書組的存儲形式見表2。

表2 手機(jī)key證書示意

初始狀態(tài)下，手機(jī)key僅包括管理證書組。為了對SP實(shí)施有效的管理、確保用戶證書的安全性，方案引入了SP準(zhǔn)入認(rèn)證機(jī)制：只有經(jīng)key管理方認(rèn)可、通過認(rèn)證的SP，才能使用手機(jī)key提供相應(yīng)的服務(wù)。實(shí)現(xiàn)上，通過SP證書組的加載來實(shí)施準(zhǔn)入控制，即SP證書在加載進(jìn)手機(jī)key之前，必須經(jīng)過管理平臺的認(rèn)證。

認(rèn)證流程如圖4所示，具體有以下步驟。

步驟1 初始狀態(tài)下，手機(jī)key內(nèi)置管理證書組，手機(jī)與管理平臺間建立初始信任關(guān)系。

步驟2 SP與key管理方簽署協(xié)議，允許其使用手機(jī)key開展基于PKI的服務(wù)，SP系統(tǒng)與管理平臺建立信任關(guān)系。

步驟3終端與SP首次通信時，SP身份須經(jīng)管理平臺驗(yàn)證，通過后，手機(jī)key加載SP證書，建立對SP的信任。

步驟4手機(jī)key基于對SP的信任，接收SP指令，生成對應(yīng)于該SP的個人證書公私鑰對，經(jīng)CA簽發(fā)后，按傳統(tǒng)流程（如客戶號、驗(yàn)證碼下載）加載個人證書到手機(jī)key，建立與SP的雙向信任關(guān)系。

此后，SP在需要用戶終端使用手機(jī)key提供的服務(wù)時，提供身份驗(yàn)證信息，手機(jī)key驗(yàn)證后，即可使用其加密、數(shù)字簽名等功能。

4 安全性分析

本方案為SP開展基于PKI的服務(wù)提供支撐基礎(chǔ)，以提高SP應(yīng)用的安全性，因此，方案自身的安全性尤為重要，尤其是手機(jī)key的共享機(jī)制，允許多個SP證書共存于同一個存儲介質(zhì)，對安全性具有更高的要求。

方案在充分利用PKI、智能卡安全機(jī)制的基礎(chǔ)上，采用了信任鏈傳遞機(jī)制將SP證書組加載到手機(jī)key中，并在證書加載和使用過程中，采用雙向認(rèn)證、雙因素認(rèn)證等多種安全措施。以下分別對信任鏈傳遞、雙向認(rèn)證、防重放攻擊等關(guān)鍵安全機(jī)制進(jìn)行分析。

4.1 信任鏈傳遞

所謂信任鏈傳遞機(jī)制，是利用key管理方的管理證書組作為可信根，SP證書加載指令由該證書組簽名、經(jīng)管理平臺認(rèn)證后，確認(rèn)SP可信，將SP證書加載到手機(jī)key；然后利用對SP證書的信任，確認(rèn)SP頒發(fā)的個人證書可信，并將個人證書加載到手機(jī)key。利用信任鏈的傳遞機(jī)制，實(shí)現(xiàn)SP證書組的加載，如圖5所示。

圖4 SP準(zhǔn)入認(rèn)證流程

圖5 信任鏈傳遞流程

信任鏈傳遞的關(guān)鍵步驟如下所示。

（1）管理證書組

管理證書組作為信任鏈的可信根，其安全性是機(jī)制安全的基礎(chǔ)。由于管理證書在手機(jī)key初始化時寫入，頒發(fā)給用戶的個人根證書/私鑰在卡內(nèi)生成，不允許用戶讀取、修改，使用過程中也不會出卡，可以確保其安全。

（2）SP證書加載

SP證書加載前，由終端提交給管理平臺驗(yàn)證，通過以后才能加載。在PKI體系中，證書是公開的且經(jīng)CA簽署，不必?fù)?dān)心被竊取和篡改的風(fēng)險(xiǎn)。傳輸過程中的主要威脅是身份仿冒，為了應(yīng)對該風(fēng)險(xiǎn)，手機(jī) key和管理平臺間交互的消息，發(fā)送方須對消息簽名，接收方用對方的證書驗(yàn)證消息的合法性，確保消息來源可靠，可以有效防范身份仿冒攻擊。因此，SP證書加載過程的安全機(jī)制，可以確保只有合法的SP證書才能被加載到手機(jī)key中。

（3）個人證書頒發(fā)

個人證書的頒發(fā)，包括公私鑰對生成、證書簽署以及證書的加載。該過程須確保私鑰的安全性以及個人證書（公鑰）與真實(shí)身份的對應(yīng)。面臨的主要威脅包括私鑰竊取、身份仿冒和重放攻擊。與SP證書相同，個人證書不必?fù)?dān)心被竊取和篡改，但不同的是，證書簽署之前所產(chǎn)生的公鑰需防范被篡改的風(fēng)險(xiǎn)。

個人證書頒發(fā)過程在SP證書加載之后完成，安全性由SP證書結(jié)合傳統(tǒng)的證書安全發(fā)放流程來保障。

（1）私鑰安全

私鑰安全性由智能卡的安全機(jī)制保證，即公私鑰對在卡內(nèi)生成，私鑰存儲、計(jì)算都在卡內(nèi)完成，永不出卡，不允許從外部讀取、篡改，可確保其安全性。

（2）用戶身份驗(yàn)證

個人證書頒發(fā)時，通過用戶的參考號、授權(quán)碼（簡稱兩碼）來驗(yàn)證用戶身份，兩碼采用傳統(tǒng)的PKI安全發(fā)放渠道獲得。該渠道一般為離線方式，用戶事先到SP處申請PKI安全服務(wù)，SP審核用戶身份后，將兩碼以密封信件交給用戶。用戶請求簽署個人證書時，SP據(jù)此確認(rèn)用戶身份，將用戶的公鑰與其提交的個人信息進(jìn)行關(guān)聯(lián)。兩碼具有有效期，且僅能使用一次，SP和用戶需共同保證兩碼發(fā)放的安全。

（3）SP身份驗(yàn)證

SP下發(fā)指令前，均需對指令進(jìn)行簽名，手機(jī)key收到指令后首先驗(yàn)證消息簽名，確認(rèn)消息來源可靠。

（4）公鑰防篡改

數(shù)字證書的防篡改機(jī)制是由CA簽名建立的，但在簽署之前，公鑰存在被篡改的風(fēng)險(xiǎn)。為此，采用以下兩個措施來防范：

· 要求SP與終端之間建立安全連接，如采用HTTPS，公鑰簽名請求與用戶身份驗(yàn)證在同一個會話中完成，這些機(jī)制可降低公鑰被篡改的風(fēng)險(xiǎn)；

· 手機(jī)key在接收到SP加載證書指令、驗(yàn)證消息可靠后，進(jìn)一步檢查證書的公鑰與發(fā)送前的原始公鑰的一致性，由于原始公鑰存在卡內(nèi)，外部無法篡改，因此，只要兩者相同，可以確認(rèn)公鑰未被篡改，從而確認(rèn)個人證書的有效性；同時，證書經(jīng)CA簽署之后，下發(fā)過程中可防篡改，因此，可確認(rèn)SP、CA保留的證書未被篡改，是與用戶真實(shí)身份相符、與手機(jī)key私鑰對應(yīng)的證書。

綜上所述，本文方案可以保證運(yùn)營商證書組、SP證書的加載和個人證書的頒發(fā)過程的安全性，確保只有合法的SP證書以及該SP頒發(fā)的個人證書才能加載到手機(jī)key。

4.2 雙向認(rèn)證

由于手機(jī)key供多個SP共享使用，必須能夠識別并隔離不同SP的請求，以選擇對應(yīng)的證書組，為此，SP發(fā)送指令、要求手機(jī)key提供服務(wù)前，須提供自己的身份信息，即SP用其私鑰對所發(fā)送的指令簽名。手機(jī)key接到消息后，首先驗(yàn)證消息的合法性，確認(rèn)消息來源于可信的SP，然后才選擇該SP頒發(fā)的個人證書及私鑰提供身份認(rèn)證、數(shù)字簽名等服務(wù)。

雙向認(rèn)證機(jī)制在隔離識別 SP證書的同時，也提高了 SP應(yīng)用的安全性，為用戶提供防范釣魚攻擊的手段。

4.3 雙因素認(rèn)證

手機(jī)key存在丟失的可能，對于長期在線的key，還可能被遠(yuǎn)程控制。為防范盜用風(fēng)險(xiǎn)，需采用雙因素認(rèn)證，驗(yàn)證使用者身份。常用的是PIN碼保護(hù)，但PIN碼存在泄露風(fēng)險(xiǎn)，甚至可被惡意程序自動操作。除了所持有的物品（手機(jī)key）、所知道的內(nèi)容（PIN碼），雙因素認(rèn)證還可對使用者所擁有的特征進(jìn)行驗(yàn)證，如指紋等生物特征識別技術(shù)，目前在中高端手機(jī)上已廣泛使用，在安全環(huán)境中，采用手機(jī)key+生物特征識別技術(shù)的驗(yàn)證方案，可提升驗(yàn)證過程的安全性和便利性。

以指紋識別為例，方案的處理過程如圖6所示。

圖6 雙因素認(rèn)證處理過程

系統(tǒng)組件包括網(wǎng)絡(luò)側(cè)的應(yīng)用服務(wù)器、CA中心，終端側(cè)的應(yīng)用客戶端、證書服務(wù)、指紋識別服務(wù)以及證書服務(wù)代理等組件，其中，私鑰存儲、證書服務(wù)、指紋識別服務(wù)等運(yùn)算過程在可信執(zhí)行環(huán)境（TEE）、TrustZone、SD/TF智能卡等安全環(huán)境完成。

以身份驗(yàn)證為例，典型的處理流程如下：

（1）應(yīng)用客戶端與服務(wù)器進(jìn)行正常交互；

（2）驗(yàn)證環(huán)節(jié)，應(yīng)用服務(wù)器生成隨機(jī)字符串、發(fā)起身份驗(yàn)證請求，應(yīng)用客戶端將該請求經(jīng)代理發(fā)送給安全環(huán)境的證書服務(wù)代理；

（3）證書服務(wù)代理將請求發(fā)送給指紋識別服務(wù)，并提示用戶進(jìn)行操作；

（4）用戶完成指紋識別驗(yàn)證，通過后，將結(jié)果反饋給證書服務(wù)代理；

（5）證書服務(wù)代理根據(jù)指紋驗(yàn)證結(jié)果，請求證書服務(wù)；

（6）證書服務(wù)對請求內(nèi)容，即隨機(jī)字符串等內(nèi)容進(jìn)行簽名，并將簽名結(jié)果經(jīng)客戶端返回給應(yīng)用服務(wù)器；

（7）服務(wù)器利用證書公鑰對結(jié)果進(jìn)行驗(yàn)證，從而確定用戶身份。

本文方案中，數(shù)字證書私鑰存儲、服務(wù)請求、運(yùn)算過程在安全環(huán)境中進(jìn)行，保障證書私鑰的安全性。同時，由于數(shù)字證書加解密、簽名等服務(wù)前須經(jīng)指紋識別驗(yàn)證用戶身份，指紋特征采集、驗(yàn)證過程在安全環(huán)境中，確保是用戶本人操作，從而可保證數(shù)字證書簽名的有效性，防范數(shù)字證書一直在線以及雙因素認(rèn)證失效、證書被惡意程序盜用等風(fēng)險(xiǎn)，兼具了公鑰技術(shù)的安全性和指紋識別的便利性。

5 結(jié)束語

本文提出的基于共享式存儲的智能終端數(shù)字認(rèn)證方案，通過管理平臺對安全介質(zhì)的管控及信任鏈傳遞機(jī)制，建立SP與用戶的信任關(guān)系，實(shí)現(xiàn)數(shù)字證書的遠(yuǎn)程寫入，在單一的手機(jī)安全介質(zhì)中實(shí)現(xiàn)多數(shù)字證書的共享，為SP提供基于PKI的安全服務(wù)，降低手機(jī)上使用數(shù)字證書進(jìn)行應(yīng)用安全保障的難度。最后從信任鏈傳遞、雙向認(rèn)證、雙因素認(rèn)證等方面分析了方案的安全性，并通過與指紋識別的結(jié)合，提升用戶使用的方便性。

[1]中國金融認(rèn)證中心.2016中國電子銀行調(diào)查報(bào)告[R/OL]. (2016-12-08)[2017-01-16].http：//www.199it.com/archives/544560. html.2016. CFCA.2016 China e-bank survey report[R/OL].(2016-12-08) [2017-01-16].http：//www.199it.com/archives/544560.html.2016.

[2]關(guān)振勝.公鑰基礎(chǔ)設(shè)施PKI與認(rèn)證機(jī)構(gòu)CA[M].北京：電子工業(yè)出版社,2002. GUAN Z S.PKI&CA security institution[M].Beijing：Publishing House of Electronics Industry,2002.

[3]Global Platform.Global Platform卡片規(guī)范[S].2006. Global Platform.Global Platform card specification[S].2006.

A digital signature scheme based on shared key in intelligent terminal

LIU Guorong,LIU Dongxin,WANG Laifu,SHEN Jun,JIN Huamin
Guangzhou Research Institute of China Telecom Co.,Ltd.,Guangzhou 510630,China

In traditional internet,digital certificate in USB key is the most mature technology of application security assurance.But it is difficult to use in mobile internet,because of the restriction of intelligent terminal interface.A digital signature scheme based on shared key in intelligent terminal was discussed to lower the threshold.The shared key supported multiple digital certificates,and was shared by multiple applications through the unified management.After that,the security of the scheme was analyzed,and a scheme integrated digital certificate and fingerprint identification was discussed to enhance user convenience.

intelligent terminal,digital certificate,authentication,security

TP393

A

10.11959/j.issn.1000-0801.2017049

劉國榮（1978-），男，中國電信股份有限公司廣州研究院高級工程師，主要研究方向?yàn)橐苿踊ヂ?lián)網(wǎng)安全、云計(jì)算安全。

劉東鑫（1985-），男，中國電信股份有限公司廣州研究院工程師，獲 CCIE、CISSP和CISA等認(rèn)證，主要研究方向?yàn)榫W(wǎng)絡(luò)與信息安全、大數(shù)據(jù)安全。

汪來富（1976-），男，中國電信股份有限公司廣州研究院高級工程師，主要研究方向?yàn)榇髷?shù)據(jù)安全、云計(jì)算安全、網(wǎng)絡(luò)安全。

沈軍（1976-），女，中國電信股份有限公司廣州研究院高級工程師，主要研究方向?yàn)樵朴?jì)算大數(shù)據(jù)安全及移動互聯(lián)網(wǎng)安全。

金華敏（1972-），男，中國電信股份有限公司廣州研究院高級工程師，主要研究方向?yàn)镮P網(wǎng)、云計(jì)算、大數(shù)據(jù)安全、網(wǎng)絡(luò)安全。

2017-01-20；

2017-02-16

國家高技術(shù)研究發(fā)展計(jì)劃（“863”計(jì)劃）基金資助項(xiàng)目（No.2015AA017205）

Foundation Item：The National High Technology Research and Development Program of China(863 Program)(No.2015AA017205)