基于SIM卡的移动互联网应用鉴权研究.doc

基于SIM卡的移动互联网应用鉴权研究林鹏, 梁如凯, 利惠光（中国移动通信集团广东有限公司，广州 510623）摘 要 智能终端的普及和移动互联网的迅速发展极大地改变了通信服务产业链。面对移动互联网行业，SIM卡作为天然的鉴权工具却无法发挥其优势。我们希望探索一种基于SIM卡的移动互联网应用鉴权机制，利用SIM卡 现有能力，将SIM卡通信鉴权的便利性带到移动互联网的应用鉴权中，使用户享受更安全便捷，无感知的应 用鉴权方式，同时为众多移动互联网应用提供开放性的平台化接入服务。关键词 SIM；应用鉴权；移动互联网；信息安全中图分类号 TN929.5文献标识码 A文章编号 1008-5599（2012）10-000604智能终端促使移动互联网产业快速发展，手机已经从以往的通话工具向个人移动应用中心转变。互联网 / 移动互联网推倒了通信业的围墙，短信、语音等业务被 加速替代，通信管道变成哑管道，边际效应被无限放大。 云管端的市场分层概念已经得到广泛的认可，移动互联 网 企 业 如 今 对 终 端 的 控 制 欲 望 比 以 往 任 何 时 候 都 要 强 烈。苹果 nano-SIM 新标准的提出，说明终端应用厂商 希望逐步弱化 SIM 卡的能力，继而减少运营商利益分成 比例。SIM 卡是移动运营商实现业务端到端的重要渠道， 务必巩固加强其地位。目前包括 TD-SCDMA 在内的中国移动 3G 用户仍 使 用 2G 时 代 的 SIM 卡 OTA 卡。 这 类 卡 在 移 动 互 联网时代灵活度不高，很多功能无法实现。同时，智能 终端对 SIM 卡的支持力度不足，导致 SIM 卡在移动互 联网应用服务中被边缘化的风险 ；4G 技术在未来 3 5 年内仍然无法商用，由此得出，目前的 SIM 卡将在相当长的一段时间内继续支撑移动互联网业务转型。1SIM 卡应用鉴权的含义顾 名 思 义，SIM 卡 应 用 鉴 权 就 是 利 用 SIM 卡 实 现对应用软件 APP 的接入认证。SIM 卡应用鉴权不是独 立的移动业务，而是为众多第三方 APP 应用提供的开 放接入服务。任何 APP 应用均可以使用 SIM 卡应用鉴 权来为客户提供更便捷安全的认证接入服务。中国移动提 出“ 智 能 管 道， 开 放 平 台， 特 色 业 务， 友 好 界 面 ”，利 用 SIM 卡 实 现 移 动 互 联 网 应 用 鉴 权 能 够 发 挥 中 国 移动的管道优势，为其它 APP 应用提供一体化、集中化、开放式的鉴权服务和平台，有别于现有 APP 应用，独辟蹊径，找准了移动互联网产业链中的差异化定位。 目前 SIM 的主要功能包括通信鉴权和 SIM 菜单业务， 现 有 的 APP 应 用 认 证 接 入 不 依 赖 SIM 卡， 主 要收稿日期 ：2012-09-10通过固定密码方式鉴权，部分通过动态短信方式鉴权。利 用 Cookies 保 存 密 码 的 方 式，APP 可 以 实 现 直 接 登 录，无需重复输入密码。当用户首次登陆 APP 时输入 账 号 和 密 码，APP 会 提 示 是 否 保 存 密 码 以 便 下 次 直 接 登录。如果用户选择保存账号密码，就会在手机内生成 Cookies 文件。下次登陆的时候 APP 直接读取 Cookies 完成登录。固定密码方式实现简单，但也存在一定缺陷 ：（1） 账 号 密 码 易 被 窃 取， 账 号 安 全 缺 乏 保 障。 一 旦账号密码泄露，他人便可以在其它移动终端盗用账号 登 陆。 近 些 年 微 博 上 流 传 的 免 费 WLAN 账 号 和 密 码， ISDN 账号泄露的事件就证明仅仅静态密码的鉴权方式 存在相当大的盗号冒用风险 ；（2）移动互联应用众多，账号密码使用繁多。虽然 cookies 解决了二次输入密码的问题，但还需用户记忆 密码。众多的应用对应不同的账号和密码，又给用户增 加了记忆的难度 ；（3）鉴权输入方式繁琐，无感知鉴权成趋势。在换 机和重置密码后，固定密码的鉴权方式不可避免要手工 输入，这种繁琐的方式与无感知鉴权的大趋势形成鲜明 对比。利用 SIM 卡实现 APP 应用的鉴权登陆不但可以解 决账号盗用的问题，还能实现无感知登陆。利用 SIM 卡 信息实现鉴权认证，将 SIM 卡的通信鉴权能力能引入到 移动互联网应用鉴权中，使 SIM 卡成为移动互联网应用 鉴权的重要工具，也将 SIM 卡网络鉴权的便利性带到移 动互联网应用鉴权中。图1 SIM卡文件结构SIM 卡的技术构造简单，作为一个完整的单片机系统，它包含了 CPU，ROM，RAM，EEPROM 和 I/O， 但 在 业 务 定 位 上 SIM 卡 在 设 计 之 初 仅 仅 服 务 于 通 信 鉴 权，SIM 卡的文件目标包含以下基本参数 ：(1) I M S I ( I n t e r n a t i o n a l M o b i l e S u b s c r i b e rIdentity);(2) Ki (Subscriber authentication key) ；( 3 ) I C C I D ( I n t e g r a t e d C i r c u i t C a r d I d e n t - ifier) ；(4) PIN (Personal Identification Number) ； (5) PUK(PIN Unblocking Key)。 移动智能终端实现应用认证鉴权的就要从 SIM 卡中找到不可复制且唯一的标识符。Ki 信息不能被移动终端 直接读取，PIN 和 PUK 是加锁解锁专用码。唯有 IC 卡 识别号 ICCID 和国际用户识别码 IMSI 可以读取并使用， 具 备 成 为 鉴 权 凭 证 的 条 件，IMSI 信 息 目 前 只 有 运 营 商 掌握，不具备公开性，ICCID 作为 SIM 卡的硬件编码， 除了运营商掌握外，SIM 实体卡上也有印刷。新密钥写卡实现认证的方式。SIM 卡的存储区域分 为标准区域和非标准区域。标准区域是各个卡商的 SIM 卡都具备的空间，可以作为新密钥写入的目的区域。由 于 SIM 卡的读取遵循 7816 接口的严格指令集定义，读 写新数据意味着要破坏现有文件结构，部分功能将丧失。2实现途径分析利用既有数据实现认证的方式。Wi-Fi 的接入认证就有一种方式是利用了 MAC 编码实现鉴权。SIM 卡也 具备这一能力。从 SIM 卡存储的已有数据中寻找唯一不 可替代的数据作为鉴权凭证。以下从 SIM 卡的文件结构 分析利用 SIM 现有数据实现认证鉴权的可行性。这种方式安全级别更高，但改造成本过大，不宜采用。（2）APP 应 用 登 录 调 用 SIM 鉴 权 组 件。 用 户 点 击APP 应用客户端，客户端会自动调用 SIM 卡鉴权组件。3SIM 卡应用鉴权设计原则SIM 鉴 权 组 件 负 责 了 SIM 卡 读 数 和 向 云 端 发 起 请 求 的工作，是 SIM 卡应用鉴权服务的桥梁枢纽 ；（3）读取 SIM 卡信息。SIM 组件收到 APP 应用客（1）“三不”原则。不换机，不换卡，不增加硬件 ；（2）兼容适配原则。能够兼容市面上主流硬件平台 和操作系统 ；（3）快速部署原则。可通过预置写卡，远程更新或 用户手工更新方式快速加载 ；（4）开放能力原则。能够作为统一鉴权的能力为众 多 APP 应用提供开放接入的能力。户端的调用请求后，会读取 SIM 卡 ICCID 和 IMSI 数据，之后向 SIM 鉴权云端发起认证请求 ；（4）云端鉴权。SIM 鉴权云端收到移动终端鉴权组 件发来的认证请求后，会将上行的 ICCID/IMSI 进行数 据匹配，验证用户是否是该应用的合法用户。验证通过 后向移动终端返回认证 token ；（5）获得认证 token。移动终端的 SIM 鉴权组件获 得云端返回的认证 token，并将 token 交由 APP 应用客 户端发起面向应用云端的接入请求 ；（6） 发 起 APP 认 证 请 求。APP 客 户 端 通 过 token 向 应 用 云 端 发 起 认 证 请 求。 应 用 云 端 认 证 通 过。 同 时 token 在一段时期内有效，短时内 APP 应用无需重复向 SIM 鉴权云端发起鉴权请求。4SIM 卡应用鉴权的实现SIM 卡 实 现 应 用 鉴 权 首 先 要 建 立 卡 - 组 件 - 云 端一体化架构，包括 SIM 卡，鉴权组件，CA 云端三部分， SIM 卡定位于前端业务 key ；云端定位于提供鉴权接入 服 务， 终 端 组 件 提 供 交 互 能 力。 这 是 由 SIM 卡 的 自 身 能力局限性决定的，SIM 卡自身的单片机系统不能提供 应用鉴权服务，如果由应用开发商自行开发鉴权组件和 鉴权云端，会造成重复开发和标准不统一。一体化架构 有利于实现开放的鉴权接入能力，降低 APP 应用接入 门槛，也能弥补 SIM 卡智能交互能力不足的缺陷。 应用鉴权包括如下步骤 ：（1） 应 用 授 权。APP 应 用 云 端 与 SIM 鉴权云端建立授权关系，这是 SIM 鉴 权 的 前 提。 之 后 SIM 鉴 权 云 端 会 建 立手机号和 APP 应用账号的对应关系， 这 就 为 APP 应 用 实 现 SIM 鉴 权 提 供 了 平 台 基 础。 同 时 APP 客 户 端 应 用 需 要 相应改造，增加 SIM 鉴权的选项，当用 户选择 SIM 鉴权后，登录认证时会调用 SIM 鉴权组件完成 SIM 信息读取和云端 交互工作 ；5SIM 卡应用鉴权的优势（1） 无 感 知 鉴 权。 鉴 权 行 为 由 SIM 卡 自 动 完 成，图2 SIM应用鉴权实现原理用户点击 APP 应用即可实现登录，无需手工认证 ；（2）防止盗用。由于 APP 账号与 SIM 卡捆绑，无 SIM 卡便无法盗用当事人身份登录 ；（3）免记密码。新的鉴权方式不涉及固定密码，无 需记忆密码 ；（4）随卡换机。由于鉴权方式随卡不随终端，所以 客户可以随意换机，只要 SIM 卡不变，就能轻易登录账 号 ；（5）集中接入。一张 SIM 卡可以服务众多 APP 应 用的鉴权需求，不受数量限制。权方式选择 ；（2） 应 用 探 针。 当 SIM 应 用 鉴 权 服 务 成 为 众 多 APP 应用登录方式的授权。应用探针的扩展职能也就具 备。以 SIM 卡为重要组件开发面向移动互联网应用服务 的“应用探针”，目的是识别手机用户的行为，具体包 括通信状态（开关机，停开机，换机），应用状态（应 用名称，应用版本），操作行为（应用使用时间，使用 次数，使用时长），终端配置（终端编码，操作系统及 版本）。应 用 探 针 是 运 营 商 了 解 用 户 移 动 互 联 网 行 为 的 必 要工具，是移动互联网经营分析的重要数据基础和数据 来源。6SIM 卡应用鉴权职能定位7结束语（1）开放式服务。作为移动运营商，中国移动应更专注于移动互联网的管道服务和平台服务。而鉴权服务 作为移动互联网所有应用的共同点，具备独立化，模块 化的可能性，由运营商统一建设应用鉴权服务平台，为 众多应用提供鉴权服务，建立类似通话服务的信控机制， 可降低应用开发成本，方便用户接入使用。SIM 卡应用 鉴 权 作 为 开 放 式 的 服 务， 会 建 立 开 放 平 台， 任 何 APP 应用均可接入并建立授权关系，为用户提供多样化的鉴搭建一体化 SIM 卡应用鉴权体系，利用 SIM 卡现有数据实现应用加密，替代固定密码方式，有 SIM 卡就 能登陆，无感知接入，使应用接入向接入 GSM 一样便 捷安全。这种新型鉴权方式改造成本小，接入门槛低， 职能定位清晰，将成为运营商在移动互联网战略转型中 的特色产品。Research of mobile Internet application authentication based on SIM technologyLIN Peng, LIANG Ru-kai, LI Hui-guang(China Mobile Group Guangdong Co., Ltd., Guangzhou 510623, China)AbstractWith popularity of smart phones and development of mobile Internet, the communication serviceindustry chain has greatly changed. As natural authentication tool, SIM was unable to play to its strengths.We hope to explore a new way for mobile application authentication based on SIM technology, by using existing capacity, bring the convenience of communica