CN101916476A - 一种基于sd加密卡与近距离无线通信技术相结合的移动数据传输方法 - Google Patents

Abstract

一种基于SD加密卡与近距离无线通信技术相结合的移动数据传输方法，属于通信领域，步骤如下：1，获取消费金额信息；2，检查是否超过小额支付额度，若超过，则转到步骤3；若不超过，则转到到步骤4；3，登陆移动终端银行，后到步骤5；4，检查小额支付余额是否足够，若足够，转到步骤6；不够，转到步骤3；5，移动终端银行的业务处理，或步骤6，小额支付，后支付完毕。本发明可以有效的解决掉浮游在各种卡上面的资金，使之在银行卡上不仅能够得到一定的利息收入，而且更加方便消费者。这样让银行与移动终端运营商合作，去中介化，使银行的资金直接进入端消费，消费的信息流直接进入银行的消息系统，使之处理信息更有效率。

Description

一种基于SD加密卡与近距离无线通信技术相结合的移动数据传输方法

技术领域

本发明涉及近距离无线通信技术与智能卡加密技术，特别是二者相结合实现无线终端系统数据传输的方法，用于实现移动安全支付。

背景技术

旧的移动支付模式包含移动终端话费支付(实现方式有短信、WAP、二维码、RF-SIM等)和“移动终端+银行”支付。前者是小额支付，后者是大额支付。小额支付受到移动终端话费账户的制约，违背了消费者“自由消费”这一天性，所以将其作为过渡，逐步走向“移动终端+银行”模式。而目前的“移动终端+银行”模式没有任何可信的安全保障。旧的支付模式面临以下问题：加密问题和即时性问题是移动终端支付普及的主要障碍，虽然WAP功能的移动终端支付时，能够采用移动网络的加密技术，相对而言，并不能很有效的保证安全。如果引入短信确认实现移动终端支付的双重确认方式，又会因为短信的中继问题，有可能造成短信不能及时到达，影响支付的流程；身份识别的缺乏是限制移动支付应用的第二大原因。当移动终端仅仅当作通话工具时，密码保护并不是很重要。但作为支付工具时，移动信息化提高了移动终端等手持终端的重要程度，设备丢失、密码被攻破、病毒发作等问题都会造成重大损失；信用体系的缺失是限制移动信息化应用的第三大原因。在移动终端支付中，一些小额支付可以捆绑在移动终端话费中，但移动终端话费透支、恶意拖欠十分常见，信用意识以及体系的不完善，也制约了移动信息化的普及、推广。

移动终端受限于体积的限制，外部接口无法和计算机比拟，在网上支付方面还停留在使用动态密码或者下载软密钥等措施，其安全性无法与计算机+U盾的安全性相比拟，这也是制约移动终端支付发展的重要原因。要想保证移动终端银行的安全性，数字证书的存储方式尤为重要。SD加密卡是最安全的存储方式，能够提供基于智能卡的强身份认证。解决了移动支付安全性。移动手持终端设备通常都具有SD存储卡接口，SD加密卡的模样跟普通的SD卡一样，也具有普通SD卡的存储功能。不同的是SD加密卡内置智能卡芯片，还具有一定的存储空间，可以存储用户的私钥以及数字证书。客户端证书被存储于SD加密卡中，用于进行身份验证和数字签名。

存储于SD加密卡中的证书不能被导出或复制，且使用SD加密卡时需要输入SD加密卡的保护密码。使用该证书需要物理上获得其存储介质SD加密卡，且需要知道SD加密卡的保护密码，这就是双因子认证机制。

发明内容

本发明的主要目的在于提供一种基于SD加密卡(MiniSD、Mirco SD、标准SD)与近距离无线通信技术相结合的新颖的移动数据传输方法，用以实现移动安全支付，大额支付以移动终端银行为依托，建立包含小额支付及大额支付的完整的支付体系。

本发明的方法流程是：

步骤1，获取消费金额信息；

步骤2，检查是否超过小额支付额度，若超过，则转到步骤3；若不超过，则转到到步骤4；

步骤3，登陆移动终端银行，后到步骤5；

步骤4，检查小额支付余额是否足够，若足够，转到步骤6；不够，转到步骤3；

步骤5，移动终端银行的业务处理，后至步骤7；

步骤6，小额支付，后至步骤7；

步骤7，支付完毕。

小额支付由具有近距离无线通信功能(RF-SIM、SIMpass、NFC)的移动终端(笔记本、智能手机、掌上电脑)来完成实时直接支付，不必登录移动终端银行。对于超过小额支付能力以外的大额支付，采用“RFID移动终端+银行+SD加密卡”的移动终端银行模式。一人，一卡，一Key进行系统绑定，系统根据支付额度决定支付方式，并且小额支付的电子钱包余额不足时，可以及时进行移动终端银行充值，做到日常生活支付的基本覆盖。

当移动终端有业务需求要访问银行资源时，具体步骤如下：

向银行VPN网关发出连接请求，VPN网关在收到请求后，与移动终端建立加密通道，移动终端将自己的证书信息发送给VPN网关；

VPN网关在收到移动终端证书后，通过证书服务器对用户证书信息进行确认；如果认证通过，VPN网关便为该移动终端分配一个内网IP，此时VPN连接建立成功；安全管理服务器在收到登入用户信息以后，会通过用户移动终端号查询出用户所分配的安全策略，然后将该安全策略应用到内网防火墙上；当客户向银行某业务发起请求时，内网防火墙将检查其合法性。

本方法做到了通信网络的全覆盖。支持移动，电信，联通的通信运营商的网络。接入网络的方式支持GPRS、WIFI、3G、4G网络及红外，蓝牙的同步方式。整个移动支付价值链包括移动网络运营商(移动、电信、联通等)、支付服务提供商(支付平台、银行等)、内容服务提供商、设备提供商(终端厂商、卡供应商、芯片提供商等)、系统集成商、商家和终端用户。

本发明可以有效的解决掉浮游在各种卡上面的资金，使之在银行卡上不仅能够得到一定的利息收入，而且更加方便消费者。这样让银行与移动终端运营商合作，去中介化，使银行的资金直接进入端消费，消费的信息流直接进入银行的消息系统，使之处理信息更有效率。

本方法是基于智能卡的安全应用，可做到：基于智能卡的强身份认证；整合OTP功能，实现OTP登录、及VPN登录；移动终端到银行的通信过程无法复制；基于PKI体系。

本发明主要用于构建一个完整的支付平台，让用户对移动终端银行管理的同时，还能享受银行转账、证劵交易、外汇买卖等金融服务。

附图说明：

图1，本发明步骤流程图。

图2，本发明完整实施例流程图。

图3，本发明SSL认证过程流程图。

具体实施方式：

本方法基于SD加密卡与近距离无线通信技术。基于RF-SIM、SIMpass、NFC等近距离无线通信技术，要求移动终端和银行卡进行绑定实现非接触式移动支付，只需要将移动终端靠近具有RFID读卡器POS机即可完成小额支付及大额支付用户信息的自主推送以便网银后端生成交易流水线。近距离无线通信技术结合终端设备用于为用户提供身份识别应用和服务。

本方法的一个具体实施例如图2所示步骤是这样的：

1，终端设备靠近POS机，获取用户帐户信息。

2，POS机判断消息根据金额大小判断消费类型。

若是小额支付消费，直接从电子钱包支付。

若是大额支付消费，POS机停止块操作并将消费人信息及消费信息传递给后端服务器。

3，POS提示移动终端银行支付、同时后端服务器推送短信至用户，附带交易的安全URL。

4，用户进入安全页面确定消费信息并输入SD加密卡PIN码进行合法性验证。

5，SD加密卡对交易信息进行数字签名。

6，网银后端系统对签名信息进行验证

7，交易完成。

本方法使用SD加密卡为传输的移动数据提供加密，将数据加密使得只有预定的收件人才能理解通过网络传输的数据。SD加密卡和服务端存有第三方权威机构签署的数字证书，在网络中连接的双方能够互相认证对方的身份。使用SD加密卡的移动终端作为SSL客户机。在双向SSL身份认证中，SSL客户机应用程序验证SSL服务器应用程序的身份，然后服务器应用程序验证SSL客户机应用程序的身份。

依靠智能移动终端操作系统中的VPN客户端来同VPN网关进行连接，利用SSL的加密技术和CA认证技术来保障互联网通信的安全。

如图3，SD加密卡实现SSL VPN+动态口令认证过程：

(1)SD加密卡作为密钥Key，动态口令牌。

(2)统一CA认证服务器作为AAA授权服务器。

(3)OTP Server作为动态口令认证服务器。

认证请求过程是：

(1)用户通过SD加密卡PIN码校验，请求SSL双向认证。

(2)双方交换证书，用户验证服务端的身份后把认证请求发送给SSL VPN设备。

(3)SSL VPN设备本身不做授权工作，因此SSL VPN设备把认证请求通过Tacacs协议转发给统一CA认证服务器。

(4)因为统一CA认证服务器并不具备动态口令认证方式，于是把口令认证通过Radius协议转发到OTP Server作身份认证。

认证响应过程是这样：

(1)经过OTP Server验证口令后同样通过Radius返回该用户是否合法用户给统一CA认证服务器。

(2)统一CA认证服务器取得该用户合法性后判断是发送请求失败还是授权该用户进去并赋予该用户权限的结果给SSL VPN。

(3)SSL VPN得到CA认证服务器返回结果并发送返回结果给的用户认证请求。

本发明的大额支付安全性保证实现如下：

移动手持终端设备通常都具有SD存储卡接口，SD加密卡的模样跟普通的SD卡一样，也具有普通SD卡的存储功能。不同的是SD加密卡内置智能卡芯片，还具有一定的存储空间，可以存储用户的私钥以及数字证书。客户端证书被存储于SD加密卡中，用于进行身份验证和数字签名。

存储于SD加密卡中的证书不能被导出或复制，且使用SD加密卡时需要输入SD加密卡的保护密码。使用该证书需要物理上获得其存储介质SD加密卡，且需要知道SD加密卡的保护密码，这就是双因子认证机制。

本方法中SD加密卡通过将OTP种子密钥封装在SD加密卡的智能芯片中，确保种子密钥的安全性和不可复制性；通过SD加密卡内置的3DES/AES/SHA-1算法，可以进行硬件OTP运算。这样SD加密卡将PKI技术同OTP技术结合，实现多个种子密钥、在线生成种子密钥、OTP在线管理等功能。

SD加密卡安全机制分析：

硬件PIN码保护。需要同时取得用户的SD加密卡硬件以及用户的PIN码，才可以登录系统。即使用户的PIN码被泄漏，只要用户持有的SD加密卡不被盗取，合法用户的身份就不会被仿冒；如果用户的SD加密卡遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。

安全的存储介质。SD加密卡的密钥存储于安全的介质之中，外部用户无法直接读取，对密钥文件的读写和修改都必须由SD加密卡内的程序调用。从SD加密卡接口的外面，没有任何一条命令能够对密钥区的内容进行读出、修改、更新和删除。

公钥密码体制。公钥密码体制和数字证书从密码学的角度上保证了SD加密卡的安全性，在SD加密卡初始化的时候，先将密码算法程序烧制在ROM中，然后通过产生公私密钥对的程序生成一对公私密钥，公私密钥产生后，公钥可以导出到SD加密卡外，而私钥则存储于密钥区，不允许外部访问。进行数字签名时以及非对称解密运算时，有私钥参与的密码运算只在芯片内部即可完成，全过程中私钥可以不出SD加密卡介质，以此来保证以SD加密卡为存储介质的数字证书认证在安全上无懈可击。

硬件实现加密算法。SD加密卡内置CPU或智能卡芯片，可以实现数据摘要、数据加解密和签名的各种算法，加解密运算在SD加密卡内进行，保证了用户密钥不会出现在计算机内存中。

Claims (9)

1.一种基于SD加密卡与近距离无线通信技术相结合的移动数据传输方法，其特征是：步骤如下：

步骤1，获取消费金额信息；

步骤2，检查是否超过小额支付额度，若超过，则转到步骤3；若不超过，则转到到步骤4；

步骤3，登陆移动终端银行，后到步骤5；

步骤4，检查小额支付余额是否足够，若足够，转到步骤6；不够，转到步骤3；

步骤5，移动终端银行的业务处理，后至步骤7；

步骤6，小额支付，后至步骤7；

步骤7，支付完毕。

2.根据权利要求1所述的移动数据传输方法，其特征是：进一步详细步骤是这样的：

1，终端设备靠近POS机，获取用户帐户信息；

2，POS机判断消息根据金额大小判断消费类型；

若是小额支付消费，直接从电子钱包支付；

若是大额支付消费，POS机停止块操作并将消费人信息及消费信息传递给后端服务器；

3，POS提示移动终端银行支付、同时后端服务器推送短信至用户，附带交易的安全URL；

4，用户进入安全页面确定消费信息并输入SD加密卡PIN码进行合法性验证；

5，SD加密卡对交易信息进行数字签名；

6，网银后端系统对签名信息进行验证；

7，交易完成。

3.根据权利要求1或2所述的移动数据传输方法，其特征是所述的小额支付由具有近距离无线通信功能(RF-SIM、SIMpass、NFC)的移动终端来完成实时直接支付。

4.根据权利要求1或2所述的移动数据传输方法，其特征是所述步骤5，具体是登陆移动终端银行的大额支付。

5.根据权利要求4所述的移动数据传输方法，其特征是所述的大额支付，采用“RFID移动终端+银行+SD加密卡”的移动终端银行方法。

6.根据权利要求1所述的移动数据传输方法，其特征是所述步骤5，具体是登陆移动终端银行对小额支付余额进行充值。

7.根据权利要求1所述的移动数据传输方法，其特征是所述步骤3访问银行资源时，具体步骤如下：

向银行VPN网关发出连接请求，VPN网关在收到请求后，与移动终端建立加密通道，移动终端将自己的证书信息发送给VPN网关；

VPN网关在收到移动终端证书后，通过证书服务器对用户证书信息进行确认；如果认证通过，VPN网关便为该移动终端分配一个内网IP，此时VPN连接建立成功；安全管理服务器在收到登入用户信息以后，会通过用户移动终端号查询出用户所分配的安全策略，然后将该安全策略应用到内网防火墙上；当客户向银行某业务发起请求时，内网防火墙将检查其合法性。

8.根据权利要求1或2或7任一条所述的移动数据传输方法，其特征是：使用SD加密卡的移动终端作为SSL客户机，在双向SSL身份认证中，SSL客户机应用程序验证SSL服务器应用程序的身份，然后服务器应用程序验证SSL客户机应用程序的身份。

9.根据权利要求8所述的移动数据传输方法，其特征是：SD加密卡实现SSL VPN+动态口令认证过程：

(1)SD加密卡作为密钥Key，动态口令牌；

(2)统一CA认证服务器作为AAA授权服务器；

(3)OTP Server作为动态口令认证服务器；

认证请求过程：

(1)用户通过SD加密卡PIN码校验，请求SSL双向认证；

(2)双方交换证书，用户验证服务端的身份后把认证请求发送给SSL VPN设备；

(3)SSL VPN设备本身不做授权工作，因此SSL VPN设备把认证请求通过Tacacs协议转

发给统一CA认证服务器；

(4)因为统一CA认证服务器并不具备动态口令认证方式，于是把口令认证通过Radius协议转发到OTP Server作身份认证；

认证响应过程：

(1)经过OTP Server验证口令后同样通过Radius返回该用户是否合法用户给统一CA认证服务器；

(2)统一CA认证服务器取得该用户合法性后判断是发送请求失败还是授权该用户进去并赋予该用户权限的结果给SSL VPN；

(3)SSL VPN得到CA认证服务器返回结果并发送返回结果给的用户认证请求。

Images