基于PKI SIM卡的手机签名业务Word格式文档下载.docx

1、全省制卡数：（1002万张）一阶段卡（支持PKI保护的动态口令功能）：1000万张 二阶段卡（手机签名功能SIM卡）：20,000张用户数： 采用中国移动CA数字证书预置SIM卡用户数已达73万户； 动态发行CA证书SIM卡用户数已达15,000户； 其中：地市一阶段卡卡二阶段卡广州201,0405407深圳180,9002905阳江3清远4佛山120,0902900中山543100汕头9惠州76952东莞146,100江门8肇庆200潮州揭阳900珠海6梅州1100云浮韶关5湛江河源10茂名汕尾14小计727,70714,812业务开展情况：动态口令互联网身份认证：目前己成功实现与139社区

2、，139手机邮箱，移动商城、客服系统等自有平台的对接。QQ会员密码保护：用户利用动态口令功能，可以实现QQ会员的密码保护。盛大密宝业务：通过与盛大集团进行合作，使用户可以利用SIM卡在盛大密码使用的系统中享受动态口令认证服务，并享受包括盛大游戏、盛大文学在内的网络资源。手机支付：利用手机SIM卡中的支付菜单，可以完成AA转帐等业务。目前已结合远程支付账户完成验证性接口调试和原型开发工作。SIM卡小卡客服密码：通过动态口令码作为用户客服密码，可以解决节能减排小卡化后的用户客服密码的预置问题；Wlan登录：目前已经完成基于用户SIM卡签名的Wlan登录系统测试。网银手机盾：目前已经完成网络银行利用

3、手机进行U盾的应用原型开发工作，目前正在积极推动银行展开业务全方位合作。经济效益：产品月份累积用户规模（万）增值服务单价（包月）月收入小计（万）手机签名认证业务2010.65 2 10 2010.8 20 2010.10 1530 2010.12 40 2011.12502社会效益：手机签名业务中消费者在充分信任中国移动声誉和诚信的前提下，将自身移动安全需求交由中国移动来满足，足见此业务在消费者心中的地位以及深远的社会影响力。中国移动长久以来也一直在关注品牌建设和社会责任感的承担，消费者也对移动服务的评价逐步提升。而手机签名业务更像是消费者的安全保护者，为各类账号安全，支付安全等关键性行为起到

4、了重要的防护最用，这些日常生活中不断发生的保护行为，势必会令消费者对移动品牌的情感和依赖上逐渐增强，由此带来的社会效益和品牌效益将是中国移动决心推出移动安全服务的关键动力，在保持客户资源的稳定的同时，助力公司从移动通信专家向移动信息专家（甚至移动安全专家）的战略转变。省内试运行效果：描述成果引入后在本省试运行方案、取得的效果、推广价值和建议等。整体运行效果： 1）有效地防止了用户流失，使用手机签名（含手机密宝）业务的用户群体上半年用户离网率仅1.8%，远远低于未使用手机签名业务的全网普通客户离网率4.21%。 2）由于成功结合线上强势合作伙伴的优势业务（腾讯、盛大、财付通等），成功吸引竞争对手

5、的高端保有用户（成为中高集团保有的重点宣传业务） 3）提升ARPU值，使用手机签名业务的用户月平均使用费3元；且平均月使用业务量为5笔，用户对手机支付依赖性提升，成为手机支付忠实用户群，用户习惯培养效果明显。建议：1）将广东手机签名业务管理平台作为全国手机签名认证中心，为在全国开展手机签名业务提供支撑；2）基于广东手机签名的业务流程，进一步完善、发布企业标准，形成专利保护；3）选择2-3个省份同步开展业务试点推广工作，扩大用户规模。文章主体（3000字以上，可附在表格后）：根据成果研究类别，主体内容的要求有差异，具体要求见表格后的“填写说明6”。业务概述及功能简介在传统世界中，我们有很多方法识

6、别人的身份，如护照、身份证、驾照等有效证件。而在虚拟世界中有一句名言“在互联网上没有人知道你是一条狗”，由于互联网的这一特性，在互联网世界交易中的用户身份确认就显得更为重要了。特别是近几年来，随着互联网应用的风起云涌。特别是网上金融、网络游戏的快速发展使得攻击者对于互联网账户的攻击收益大大提高，因而如网上银行、网上支付、即时通信工具、网络游戏账号被盗事件大有愈演愈烈的趋势。目前市场上现有的电子身份认证方式包括静态口令、动态口令、PKI令牌、生物特征识别这几种方式；静态口令就是传统的用户名加密码的验证方式，使用普及部署成本低，但是其安全性很差，现在业界有许多针对静态口令的攻击方式，如暴力破解，木

7、马截获口令等，主要适用于一些对于安全性要求不高的场景，如私人邮箱的登录，网上论坛的登录；动态口令采用了私有的安全算法可以根据一个种子密钥产生一系列的密码，每个密码仅仅一次有效，故又称一次性口令。由于可以使得传统的对于静态口令的攻击方式失效，其安全性要大大高于静态口令方式，但是相应的也增加了系统的部署成本，现在在许多企业的内部OA系统和网上银行的登录中大量使用。PKI令牌是基于PKI非对称加密体系技术的，可以实现身份认证、数据机密性保证、数据完整性保证和数字签名功能。目前在各个银行的网银大多数都采用了这种方式；生物特征识别是身份识别未来的发展方向，它根据用户自身具备的特征如DNA、虹膜、指纹等来

8、验证用户的身份，从安全性的角度来看具备极高的安全性，但是同样系统成本也非常昂贵。现在多用于军工保密、银行金库等场景；目前正在处于从传统互联网向移动互联网过渡的时期，网络接入设备逐步地从PC设备转向手机等MID（Mobile Internet Device）设备，原来在互联网应用中非常普及的USBKey也将会响应地过渡到手机等移动设备中的安全芯片SIM卡。网上银行业务中，搞身份鉴别的最终目的是为了防止诈骗、窃取客户账户中的存款。那么，为了达到这个目的，除了上网时搞身份鉴别外，是否可以用别的方法来保护交易安全呢？广东移动创新的提出了基于手机的双渠道交易认证的方法，就是用手机签名确认交易。技术实现方

9、案：手机签名业务流程：在手机签名方案中，当一个网上业务/交易发生时，手机签名平台系统会将交易信息通知客户。收到通知后，当事人用移动确认终端（如手机）对这次电子业务/交易进行确认。系统根据客户的确认结果（同意或拒绝），完成或拒绝这次电子业务/交易。银行从网上收到交易请求，必须由客户本人通过另一条可靠的渠道进行交易确认，银行才能落实这笔交易，进行账务操作。这个方法的特点是利用了移动数据服务和互联网两个相互独立的渠道实现交易的确认，保护了交易信息的真实性、完整性和不可否认性。最简单的手机确认方案是利用手机文本短信来通知客户当事人交易发生的信息，当事人看到短信后肯定知道交易的真假，于是回发短信给平台进

10、行确认或否认。这也是现在很多银行和支付机构普遍采用的方式，但是这种方法存在一定的安全隐患：首先由于普通文本短信在整个生命周期所有网元设备中都是明文存储的，用户的交易信息等私密信息有可能泄露；其次由于SIM卡克隆及虚拟主叫技术的存在使得模拟用户号码回发文本短信变得不可以100%相信；更为重要的一点是即使用户回发了短信，由于没有法律的保障，依然存在用户抵赖交易的风险；而使用基于PKI技术和数据短信的数字签名方案可以完全规避上述风险。其大致工作过程如下：客户先要在平台进行注册，这一套流程很像RA申领证书的流程。只不过手机证书是通过无线方式下载的。客户进行注册后就可以进行网上交易了。交易流程是：1、客

11、户登录网银网站；2、手机平台查验手机证书认证客户身份；3、客户在网上提交交易请求；4、手机签名平台将交易请求发给客户手机，要求确认；5、客户用手机证书/私钥进行数字签名确认交易（或否认）；6、银行通过平台收到确认信息，并操作账户完成交易（或拒绝交易）。我们看到，在“手机签名”方案中，用户的证书和私钥存放在SIM卡中，完全取代了浏览器证书，用手机签名平台完成登录的身份认证和交易确认签名。其优点如下：首先，方案采用了数字证书PKI认证机制，认证强度高；其次，手机签名没有关于交易的帐号和交易明细等重要数据，因此手机信息的传输不可能泄漏个人客户资料。第三，手机签名信息在移动数据网络中的传输是由信令网承

12、载。信令网是移动运营商的私有网络，不开放。第四，手机签名终端发回给确认中心的确认结果带有数字签名，而且确认结果是用独立第二通道传送的。这样，签名结果信息的真实性和安全性便无需担心。数字证书认证基本原理PKI 是利用公钥密码理论和技术建立起来的、提供安全服务的普适性基础设施。PKI 是重要的信息安全技术,是目前解决电子商务、电子政务安全的关键和基础技术。PKI认证方式可以很好的解决网络空间中的信任问题, 确定网络空间中各行为主体身份的唯一性、真实性和合法性, 确保网络空间中各行为主体的安全利益。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。PKI的基本组成:完整的

13、PKI系统具有权威认证机构（CA）、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）等基本构成部分，构建PKI也将围绕着这五大系统来着手构建。使用PKI认证的用户必须拥有一套数字证书。用户在进行交易时，使用用户私钥证书对交易敏感信息进行签名，签名结果只有私钥对应的公钥证书才能正确解析。认证鉴权服务平台根据用户的数字证书对交易进行认证，从而保证交易的安全性。数字证书认证原理数字证书认证的实现由业务提供商负责PKI认证过程如下： 数字证书认证过程用户在登录系统或交易时，业务平台要求用户对交易进行数字签名，业务平台将交易信息与交易签名提交到认证鉴权服务平台进行交易认证，认证鉴权服务平

14、台去CA中心获取用户的数字证书，然后使用数字证书对交易进行认证，即交易信息与交易签名是否匹配。如果匹配则返回认证成功，否则返回认证失败。手机签名平台组网图：手机签名服务平台（MSSP）旨在通过SIM卡或其他可集成在移动用户手机中的安全芯片提供安全的电子签名服务。MSSP平台提供对CA的接入服务：MSSP平台通过标准或定制接口实现与中国移动自建CA以及其它服务于互联网、金融体系、政府办公等第三方CA接入，实现移动用户证书生命周期管理，根据用户业务的需要实现与不同CA之间的证书服务。MSSP平台提供APP（签名应用服务供应商）接入服务：MSSP平台使用ETSI标准规范实现APP的接入服务。APP可

15、以通过MSSP提供的签名服务接口实现电子文档签名、远程交易签名、电子邮件加密解密、服务内容版权管理、门户登录安全验证等相关服务。MSSP平台提供对移动已有网元的兼容与支持功能，通过OTA平台实现SIM安全信息更新、通过MISC或BOSS实现业务服务计费、用户帐单等。业务申请和开通： 广东移动的用户均可申请手机签名业务，可通过如下步骤申请和开通： 第一步：更换具备手机签名功能的SIM卡，您可到指定的中国移动沟通100营业厅或者中国移动授权应用服务提供商代售点更换手机签名SIM卡，用户需要完成实名登记。 第二步：开通激活短信、10086客服、营业厅、手机签名业务网站，可任选一种方式开通激活手机签名

16、卡短信开通 （已实现）（1）发送短信指令“KT”到10658698875。说明：您将收到如下回复短信：“尊敬的客户，您的手机号码xxxxxxxxxxx正在申请开通手机签名，请回复Y完成开通操作。”（2）用户确认并回复短信。（3）稍后您将收到成功开通的短信通知。“尊敬的客户，您的手机号码xxxxxxxxxxx己成功开通手机签名。” 10086客服开通 （开发阶段）（1）用手机或者固定电话拨打中国移动服务热线“10086”（2）在客服人员的语音提示下，输入客服密码进行激活；营业厅开通 （测试阶段）（1）您到指定中国移动沟通100服营厅前台，把手机签名SIM卡交给营业厅操作人员，并提供手机服务密码或

17、有效身份证件；（2）身份验证通过后，由营业厅操作员在系统内为您开通并激活手机签名卡；（3）签名确认您需开通的应用；（4）稍后您将收到成功开通的短信通知。手机签名网站开通 （已实现）（1）访问手机签名网站，点击“激活手机签名SIM卡”；（2）输入手机号、激活密码及短信验证码；（3）系统提示手机签名卡已开通激活。业务商务模式及资费：包括商务模式、业务资费模式、业务收费方式等未来商务模式的主要基础是SIM卡是中国移动部署的安全设备，只有中国移动对于SIM卡具有管理和使用的能力。对于SIM卡的使用有如下两种模式：模式A：租密钥 对于一般AP，可直接使用中国移动CA所颁发的证书（对应的私钥）进行签名。模

18、式B：租空间 对于已经建设CA的大型机构如工商银行，可在卡上为其分配一个密钥空间，专供其签名使用。目前其他运营商对于手机签名业务的部署也方兴未艾，主要的业务收入来源于月租和用户黏性增加带来的话费收入，由于交易往往都是第三方进行的，对于运营商很难插手：下表是按照每月每用户2元月租费进行的投资回报比，请参考。单位：RMB 10K201020112012Q3Q4合计Q1Q2新发卡量（万张）15 80 160315 320 640 1280 2560 5215累计发卡量（万张）3575 155 635 1275 2555 5215 每用户费用（元） - SIM卡安全业务管理平台收入90 - 210 4

19、50 930 18903810 7650 1533031290 卡片单价（元）8.0 制卡成本100 200 300 400 800 1600 5120 10240 20480 系统建设成本500 0 系统维护成本成本合计260 900 650 550 950 1650 2600 5160 10280 20520 利润合计-610 -170 -780 -440 -100 240 -280 1210 2490 5050 10770 19520 市场前景分析随着互联网业务的发展，手机签名业务平台的业务融合、能力开放等特性都将为手机签名业务的快速增长提供可靠的支撑。在经过前面一年多的技术和业务探索后

20、，广东移动己经在手机签名应用对于远程支付业务拓展方面，积累了丰富的经验，2010年下半年将通过持续不断发力，将业务推向新的高度。“成果上报申请书”的填写说明：1、“成果专业类别”指：核心网、无线、传输、IP、网管、业务支撑、管理信息系统、市场研究、通信电源、数据业务、其他。2、“成果研究类别”指：超前研究、新产品开发、相关网络解决方案、现有业务优化、其他。3、“所属专业部门”指：完成该成果的单位在省公司或地市分公司所属的专业线条部门。可填写：规划计划线条、网络线条、业务支撑线条、管理信息系统线条、数据线条、市场线条、集团客户线条、其他。4、“省内评审结果”指：优秀、通过。5、“对企业现有标准规

21、范的符合度”指：列举该成果使用并符合的中国移动统一发布的企业标准的名称和编号，详细描述该成果在现有的企业标准基础上所需新增的功能要求（如业务流程的改变、设备新增的功能要求等）。6、“文章主体”：根据不同科技成果分类实施不同的主体要求，具体如下：1）超前研究类成果主体包括：背景情况技术特点分析标准化情况其他运营商应用情况（可选）技术发展趋势引入策略分析2）相关网络解决方案类成果主体包括：技术方案：概述、网络解决方案（如果涉及到网络方面的改造，信令改造，路由改造等，应有详细的描述）、设备及系统改造/建设要求、码号资源需求效果（解决了哪些问题）本省应用推广情况3）新产品开发类成果主体包括：业务及功能

22、简介：业务概述、业务主要功能介绍技术实现方案：包括业务实现组网结构图、相关系统（平台、终端）功能和要求、业务实现流程、码号要求等业务申请和开通：包括用户范围及业务使用范围、业务申请与注销等业务商务模式及资费：市场前景分析4）现有业务优化类成果主体包括：现有业务存在的问题：现有缺陷分析、解决问题的思路原有业务方案/流程：业务实现组网结构图、相关系统（平台、终端）功能和要求、业务实现流程 优化后的方案/流程：业务实现组网结构图、相关系统（平台、终端）功能和要求、业务实现流程优化后达到的效果，产生的经济效益 5）其他类成果主体，参考1）4）的成果主体要求，阐述清楚项目背景、实现方案、解决的问题、取得的社会和经济效益等。