网络电子身份证eid终端的设计与实现

网络电子身份证eid终端的设计与实现

0用户隐私泄露

移动互联网自诞生以来，它先后发展，深入用户的生活中。然而，移动互联网在提高用户

生活、工作、学习效率的同时，也带来了用户隐私问题。2014年3月，乌云漏洞平台披露

了携程网两个技术漏洞，由于携程在手机无线产品开发中开启了用户支付服务接口的调试

功能，导致日志文件可被任意读取，日志中包含持卡人姓名、身份证、银行卡类别、钗行

卡号、CVV码等信息。2014年9月，好莱坞众多明星隐私照片遭到黑客恶意泄露及贩卖，

这是由于用户在使用iCloud服务时使用了弱密码，遭到黑客有针对性的暴力猜测攻百，掌

握了iCloud账户密码便可访问用户上传的所有隐私信息。导致用户隐私泄露的原因，无

论是移动产品开发中的漏洞、用户本身的疏漏还是黑客的攻击，归根结底在于缺乏一种安

全有效的移动身份认证方式。网络电子身份证elD(electronicidentity)作为用户身份

远程验证的有效、唯一、权威证明，依托国家公安部全国人口库，在确保了个人身份真实性

的同时\可有效避免用户身份信息被保留在网络运营商时所存在的泄露风险。本文使月

NFC(nearfieldcommunicalion)技术实现传统eID信息的高效安全读取与传输，设计并

实现了eID移动身份认证方法及流程，做到前端匿名、后端实名，从而有效地保护用户隐

私。

1用户密码被破解和识记

目前，移动身份认证方式包括传统的用户名密码、动态短信验证码等,但都存在用户隐私泄

露的问题。用户名密码方式易被破解和识记,并且用户密码在网络传输过程中，也易被网络

监听设备截获

为解决互联网时代用户身份的可信性认证,。ID应运而生。国外对。ID的研究和发展相对

较早，其中，比利时在2004年9月在全国范围内推广eID的使用，是较早普及使用e力的

国家之一，市民使用eID可以进行官方身份证明和电子签名

2eid数据的管理

与传统居民身份证不同,eID应用于网络，用于在网络中远程证实个人真实身份。eID系

统依托公安部覆盖13亿人口的全国公民身份信息库，生成•组唯•的网络标识符和数字证

书。从设计原则上,eID只是一串网络标识符，其本身不含任何用户身份信息；从管理思

路上,eID相关身份的建立和管理由统一的机构进行。eID在确保了个人身份真实性的前

提卜，又可有效避免个人信息的泄露。

国内现有eII)终端载体使用USB端口与PC交互，但是移动终端设备却很少有支持USB端

口的，其信息交互采用近距离无线通信方式，包括红外、蓝牙、RFID(radiofrequency

identification)xNFC

总之，传统的移动用户身份认证方式无法有效地保护用户的隐私信息，也难以保证用户身份

的真实可靠性，使用eII)身份认证方式,通过NFC技术联网实现移动终端用户身份认证,将

是一种新的思路。

3c技术的接口改造

0ID移动身份认证系统主要包含5个部分：基于MFC技术的。ID卡、eID移动客户端、

接口改造之后的应用系统前台、eID统一认证服务系统、应用系统后台服务器。eID移

动身份认证系统整体框架如图1所示。

3.1rica系统使用

传统USB端口的eID终端载体不适用于移动终端，本文设计了基于NFC技术的eID终端

载体，使用非接触方式与移动终端交互。eID卡主要包含客户识别模块(subscriber

identitymodule,STM)、使用特定密码算法的CPU加密芯片、NFC芯片、NFC天线以及其

他必要的物理硬件。其中,SIM存储的是个人唯一的eID证书、私钥以及PIN码,eID设

置PIN码保护，用户使用eID时需要输入PIN码，保证了eID卡的安全使用；CPU加密芯

片用于读卡信息前加密传输，保证信息交互过程中的安全可靠性；NFC芯片用于eID卡与

移动终端进行通信。eID卡中各个组件协调工作，共同实现了eID卡的各项功能。eID

在使用时需要联网实时认证，有效保证了eID唯一性、隐私性和可信性

3.2会话认证服务

eID移动客户端作为eID卡与移动终端、eID统一认证服务器、应用系统前台的沟通桥

梁,主要功能包括：接收应用系统前台发出的eID请求；通过移动终端NFC读取用户eID

卡中的有效信息；通过与eID统一认证服务系统建立安全的会话通道，代理验证eID信

息的可信性；接收eID统一认证服务系统返回的验证结果，之后将结果返回至应用系统前

台

3.3eid统一认证服务系统

eTD统一认证服务系统主要用来提供身份认证服务和网络操作令牌Token验证服务。

1身份认证请求

eID统一认证服务系统接收。ID移动客户端的。ID身份认证请求，验证。ID信息的合法

性,并将验证结果返回至eID移动客户端。

22tok验证服务

eTD统一认证服务系统接收应用系统服务器验证网络操作令牌Token有效性的请求,之后

将Token验证结果返回至应用系统服务器。

3.4验证eid信息

为支持。ID应用，应用系统前台需进行相关的接口改造。在登录模块增加eID登录方式，

当用户选择使用cID登录应用系统时,应用系统向。ID移动客户端发出验证。ID信息的

请求，之后等待。1D移动客户端返回验证结果。在此基础上，增加接收和判断e1D信息

验证结果的逻辑接U,。ID信息的验证结果包括“验证成功”和“验证失败”两种情况，

如果验证成功,验证结果中会包含有。ID统一认证服务系统返回的网络操作令牌Token,之

后由应用系统后台服务器代理验证Token的合法性；如果验证失败，将拒绝用户访问应用

系统前台

3.5token统一认证接口

应用系统后台服务器处理应用系统前台的各项请求，并为其提供业务处理逻辑，同时需要

提供代理验证Tukem合法性的接口，通过与eID统认证服务系统交互,验证Token的合

法性,并根据Token的验证结果执行相应的业务逻辑

4应用系统后台服务器

为了实现完整、可信、安全的eID移动身份认证，将eID移动身份认证的操作流程细化，

如图2所示。

如图2所示，当用户通过移动互联网访问某个支持eID的应用系统前台时，需要以下10个

步骤流程。

1）用户选择eID方式登录应用系统,应用系统前台向应用系统后台服务器发起eID登录

请求。

2）应用系统后台服务器检则到用户的此次登录请求为。ID登录请求,将用户的登录请求、

eID统一认证服务的访问路径以及应用系统唯一标识发给应用系统前台。其中，应用系统

标识是标识应用系统的唯一序列号。应用系统前台根据登录请求类型跳转到eID移动客

户端（图2中步骤（2.5）所示）。

3）eID移动客户端收到登录请求，提示用户将eID卡贴近移动终端，进行读取eID卡信息

操作。在成功验证eID卡PIN码之后,eID移动客户端通过移动终端的NFC功能与eID

卡通信，获取。ID卡中的有效信息。如果用户重狂5次输入错误的PIN码,eID移动客户

端将锁定eID功能。

4）eID移动客户端向eID统•认证服务系统提交eID信息和应用系统标识。

5）eID统一认证服务系统验证eID信息的真实合法性，如果验证成功，则根据时间戳、e

ID信息和应用系统标识计算出一个用户网络操作令牌Token,返回给eID移动客户端；如

果验证失败,则向eID移动客户端返回相应的错误代码。

6）eID移动客户端根据应用系统标识，将eID信息的验证结果返问给应用系统前台。

7）应用系统前台根据eIC信息的验证结果，执行下一步的逻辑操作。如果验证成功，应用

系统后台服务器将获取验证结果中的Token,执行步骤9）的操作；如果验证失败，应用系

统后台服务器拒绝用户访句应用系统前台,此次认证流程结束。

8）应用系统后台服务器携带Token访问。ID统一认证服务系统,验证Token的合法有效性。

9）eID统•认证服务系统在Token验证通过之后，向应用系统返回eID信息所绑定的用户

名列表。如果Token验证失败,则返回验证失败结果。

10）应用系统后台服务器根据Token的验证结果选择相应的业务逻辑。如果验证结果为成

功，则以eID信息所绑定的用户名登录应用系统；如果验证结果为失败，则拒绝用户访问

应用系统，要求用户重新验证eID信息。

5系统完成

5.1token认证服务

网络业务操作令牌Token申请接口：请求eID统一认证服务系统为用户发放Token。

应用系统前台界面增加“eID登录”按钮，重定向于。ID统一认证服务系统。当用户使用

eID登录应用系统前台时，调用此接口。

5.2token验证接口

1）网络业务操作令牌Token解析接口：解析eID证书验证结果中包含的Token值。

2）网络业务操作令牌Token验证接口：应用系统后台服务器将解析出来的Token提供给e

ID统一认证服务系统进行验证。若Token验证结果为合法有效，则执行用户登录成功的操

作；若Token验证无效,应用系统后台服务器执行拒绝用户登录应用系统前台的操作,重新

调用Token申请接口。

5.3需要为系统提供的接口，以便为系统提供统一的认证接口

1是否需要eid统一认证服务系统支持的服务

验证提交eID认证申请的应用系统前台是否在eID统一认证服务系统所支持的服务范围

之内，若验证成功,eII）统一认证服务系统将提供相应的Tokeno

22验证tok接口

eTD统一认证服务系统验证token的有效性,并返同验证结果。

5.4eid移动客户端

0ID移动客户端通过以下3个模块来实现。

1lid信息提取模块

调用android,nfc和android.nfc.tech包中的API,实现对NFC卡中信息的读写操作.

2基于pan码的错误，确定

在读取eID卡中证书信息之前,eID客户端要求用户输入PIN码，验证PIN码的正确性，如

果用户连续输入错误的PIN码次数达到5次,eID移动客户端自动锁定eID卡的功能。此

外，用户也可以通过eID客户端修改PIN码。

3验证eid信息

eID移动客户端通过eID信息读取模块，获取eID信息以后，访问eID统一认证服务系

统，验证eH）信息，并将验证结果反馈至应用系统前台。

6在线学习平台

eTD移动身份认证系统选取在线学习平台系统作为实验场景,通过对在线学习平台进行接

口改造，实现以eID身份认证方式登录系统。其中，在线学习平台是为学生提供课程学习

利交流的应用系统，主耍提供包括在线课程视频、试题练习、在线测评、成绩查询、学习

交流社区等功能，用户除了可以学习网络视频课程，在线测评之外，也可以在学习交流社

区进行交流。

图3所示是在线学习平台的首页，系统提供eID登录方式。

使用eID登录在线学习平台时，系统自动跳转