移动数字证书在银行的应用研究

张芬

（上海市数字证书认证中心有限公司 上海市 200080）

网上银行系统的核心是通过融合互联网系统，让客户可以通过互联网、移动通信网络或其它开放性公众网络或专用网络访问传统的柜台服务，是商业银行等银行业金融机构在网络经济时代紧跟时代潮流，开拓新业务、推进人性化操作设计、推动生产关系等变革的核心技术，可以大幅提高银行业金融机构的社会效益和经济效益。网上银行系统主要包括通过PC、手机、平板电脑、智能 电视、可穿戴设备等终端访问的网上银行系统，例如，手机银行、微信银行、直销银行、银企直联、小微企业银行等系统。网上银行系统涵盖个人网银系统和企业网银系统。

中共中央办公厅、国务院办公厅关于印发《金融和重要领域密码应用与创新发展工作规划（2018-2022年）》的通知中指出：“加强电子交易、电子票据的密码应用，推进网上银行、移动支付、条码支付及非银行支付等各类电子支付中的密码应用”

以PKI/CA 密码技术为核心构建应用安全保障体系和网络信任体系，是目前国际国内公认成熟适用的技术机制，已经在政府、金融、电信、企业等领域大面积应用，同时PKI/CA 也是《信息安全等级保护制度》以及国家信息和网站运营主管部门、安全主管部门、保密部门、密码管理部门等多部门齐抓共管的信息安全体系建设要求。

目前银行银企直连是PC 端采用C/S 架构，银企直连前置软件提供签名服务以及SSL 请求转发服务。每个登录账户发放一张经过第三方认证的usbkey 数字证书。用户采用数字证书从PC 端进行安全认证登录。登录过程中采用数字签名技术，很好的解决了用户密码无需在网络上传递，且数字证书的用户身份由第三方认证机构认证，从而实现了保障了身份真实性，传递安全性的要求。但是usbkey 数字证书也有携带不便，容易丢失，并且大量的用户将公司的应用系统安装在云上部署，这样没有办法使用硬件的介质。如何解决密钥存储的安全，基于密钥分散技术的数字证书认证技术不仅可以有效地解决银企直连系统中面临的各种安全问题，并且脱离了硬件介质，安全性好，可以满足银企直连的应用安全需求。

1 建设需求及背景

网上银行系统主要由客户端、通信网络和服务器端组成，并可通过不同类型的通信网络连接到外部系统，开展各类合作业务。

客户端运行环境往往缺少甚至完全缺失专用金融交易设备所具备的可信验证能力，无论是可信输入、可信输出，还是可信通讯、可信存储和可信计算能力均补具备。因此，需要使用基于USBkey 和数字证书的密码技术手段，实现访问用户的身份真实性认证、数据完整性保护、业务抗抵赖保护、数据传输安全保护等综合安全防护能力，确保网上交易的安全性。

随着金融科技的发展，电子银行应用场景日趋丰富，交互设计日趋复杂。为满足移动端应用场景扩展，提升电子银行系统安全性能，银行纷纷启用手机电子银行项目，优化客户体验，电子银行需要从手机银行安全认证体系升级入手，通过引入手机银行证书认证机制，升级移动端交易安全保障，适应大额动账等业务场景的客户体验。

商用密码行业的技术发展，辅以移动互联网突飞猛进的扩张，令基于手机等移动互联网的智能终端满足了数字证书私钥介质存储所需要的诸多的条件，而数字证书的便捷性和易用性也随着移动互联网的发展获得长足提升，极大降低了应用集成的复杂性，解决了多终端证书应用瓶颈等行业痛点，将成为新的发展趋势。

移动数字证书应用的核心安全是要保护证书持有者私钥的信息安全，通过特定的私钥分割算法，可以通过运算参数和分量将涉及私钥的运算安全分割，保存在手机端、平台服务端，在运算过程中各参方只通过特定算法得出私钥运算结果，保障整个过程中不出现私钥信息，防止私钥伪造、窃取，能有效的保护用户在移动终端上的证书安全应用。

2 技术架构及功能

2.1 移动数字证书的安全访问控制设计

在手机软件环境下，实现用户证书私钥分量的安全保护和用户私钥的访问控制是安全访问控制的重点，主要通过用户注册、私钥生成、安全存储和签名运算过程中的各个环节进行访问控制的设计。

当用户在进行公私钥生成时，即需要对用户的身份进行鉴别，通过后台白名单预制手机号方式，身份鉴别通过后方可允许用户进行私钥的产生和证书的申请，申请过程中会进行用户身份和终端设备用户注册。

在密钥生成时，通过终端硬件特征值的方式和私钥保护口令双重因素来对私钥进行安全访问控制设置，同时私钥分量保存在手机端的安全存储区，在计算私钥分量时采取硬件特征值作为一部分，同时会在后台进行终端的注册，运算过程中，组件会进行设备特征值校验，确保分量在其他设备上无法有效运行。

在每次签名运算过程中首先在客户端对用户的私钥保护口令进行校验，同时可以采用手势密码、指纹认证等手段确保本机的使用访问控制和校验，通过后提交到服务器端，服务器端根据注册时的硬件特征值来判断是否合法，同时通过用户预留手机号进行私钥分量使用的用户权限鉴别，通过后方可进行运算操作，最终的签名结果在客户端进行组装。

移动数字证书的技术架构如图1所示，技术架构包括手机证书、移动安全认证服务和CA 数字证书平台。

图1：移动数字证书技术架构

2.2 手机证书

手机证书是面向用户服务并提供安全功能的安全业务客户端，手机证书可以选择手机号短信认证、手势密码、口令密码、指纹认证、微信账号联合认证等多种手段对数字证书和密钥运算因子进行安全保护。

2.3 移动安全认证服务

移动安全认证服务主要包括终端设备注册和认证、密钥协同签名、数字证书签发管理、数字认证签名、数字签名验证、数字信封和通用密码服务等功能。与移动终端协作产生签名密钥对、执行签名等任务，为应用系统提供数字签名、签名验证、证书验证、证书解析、随机数、数据加解密等功能服务接口，同时采用密钥分割算法保障私钥的安全存储和调用，并能够针对终端获取对应的特征值与证书进行绑定。

2.4 CA数字证书平台

数字证书平台为银行数字证书服务提供长效证书、托管证书、事件证书等软件颁发服务，提供数字证书发放、更新等功能。主要包括：证书申请、发放、更新、吊销、丢失补办、损坏重办、印章制作等服务内容。

2.5 手机证书下载

在实际应用过程中，被授权人登录手机银行APP，进入证书下载界面。完成个人三要素实名认证，输入姓名、身份证号及手机号，填写验证码，验证通过后即可下载证书。如图2 和图3所示。

图2：手机证书下载流程

图3：手机证书

2.6 手机证书数字签名

个人手机证书应用APP 或小程序为用户提供数字证书申请、管理和电子签名功能，作为个人的通用数字签名系统，为用户和应用系统提供通用的统一的数字签名系统，当用户在各类应用系统中进行数字签名和用户认证时，通过移动服务平台推送认证和签名信息到手机证书应用APP 中实现证书签名。如图4所示。

图4：手机证书扫描登录

通过后台电子签章服务，面向应用服务端提供电子签章接口服务，获取待签章审批数据后调用移动安全认证服务器和用户手机证书进行电子签章，签章图像可为用户手写笔迹和模式印章方式。如图5所示。

图5：手机扫描签章

3 应用效果及创新点

3.1 突破传统数字证书的终端应用限制

传统的数字证书往往是基于USBKey 的解决方案，只支持在电脑端的场景下使用用户认证和数字签名等服务，而银行终端应用环境的不同，导致用户使用和稳定性存在较多问题，从而导致维护的工作量较大。基于手机证书的方案将突破终端平台的限制，支持各终端的数字签名和用户认证，极大的方便银行用户使用。

3.2 突破硬件介质分发和管理限制

传统的USBkey 是专用的硬件介质，其分发、管理、携带均不方便，其硬件成本和硬件的发放管理成为纯互联网证书应用的一大障碍。手机本身可作为证书的介质，有效解决了原有的USBkey 等硬件介质不方便随时随地使用的问题，

3.3 突破传统应用场景的限制，带来应用变革

传统的USBkey 是专用的硬件介质，其认证和签名需要依赖于该介质和连接介质的PC 电脑应用，很多银行常见场景无法支持。利用手机可实现多个终端绑定，并将多个终端信息发送到一台手机上，进行随时随地的数字签名。

3.4 降低应用集成门槛，突破行业应用瓶颈

基于PKI/CA 的应用安全防护和网络可信认证方案可以综合解决信息系统可信身份认证、可靠电子签名、可信时间戳、隐私数据保护等安全需求和银行机构无纸化的需求。

手机证书应用突破传统的应用调用方式，通过后台轻量级的通用接口即可实现安全、可靠、完整的数字证书应用，可预见将成为行业新的发展方向和风口。

3.5 核心的安全算法和技术

数字证书应用的核心安全是要保护证书持有者私钥的信息安全，我们采用特定的私钥分割算法，可以通过运算参数和分量将涉及私钥的运算安全分割，保存在手机端、平台服务端，在运算过程中各参与运算方只通过特定算法得出私钥运算结果，保障整个过程中不出现私钥信息，防止私钥伪造、窃取。

4 总结

随着网上银行的应用场景的不断扩展，通过手机银行集成证书，实现与U 盾相似功能，解决客户携带U 盾的繁琐和不便性问题，打造移动端无附加硬件的安全统一认证机制。应用秘钥分割、分散储存和数字签名技术对交易要素签名，快速认证客户身份，防止抵赖，保障手机银行交易安全，满足银行系统对于强安全身份认证、授权管理、用户保护等各层面的安全需求。

用手机取代USBkey 介质，同时兼容多家CA 公司证书，避免了不同介质的驱动之间可能存在冲突导致登录、签章、加密解密时出现问题影响银行业务正常进行的情况，实现随时随地的数字签名，为银行开拓新业务、方便客户操作、改善服务质量提供了有效工具，提高了银行业金融机构的社会效益和经济效益。