Mobile Connect卡认证与FIDO认证技术方案比较研究

要实现访 问控制 ，建立应用 ＡＰ Ｐ、
应 关 系 ，屏 蔽 认 证 器 差 异 （ 一 个 移 旨）向应 用 Ａ Ｐ Ｐ提 供统 一 接 口 ，
１ ８
Ｍｏ ｂ ｉ ｌ ｅ Ｃ ｏ ｎ ｎ ｅ ｃ ｔ 卡认证 与 Ｆ Ｉ Ｄ Ｏ认证技术方案 比较研究
具体 来说 ，基于 Ｕ ＡＦ协 议 的 Ｆ ｌ Ｄ ０ 联盟 方案在使 用
技
术方案 比较研
运二 营二 皇 应 甫一
１ ７
圜
运营与应用
客 户端 进 行 后续 操 作
Ｇ ｓ Ｍ Ａ Ｍ 。 ｂ ｉ Ｉ ｅ ｃ 。 ｎ ｎ ｅ ｃ ｔ 卡认证方案如图１ 所示：
３ Ｆ Ｉ Ｄ Ｏ联盟认 Ｅ 技 术方案介绍
方案是 Ｆ Ｉ Ｄ Ｏ 联 盟 制 定 的 在 线 与
移 动终 端作为认证载体 ，其 中卡认 证方案利用 了运营 商的
用 户卡 （ 手机号 ）作为用户 的身份 标识 ．而 Ｆ Ｉ Ｄ Ｏ 联盟认
证 方 案 则 是 利 用 了终 端 生物 特 征 识 别 技 术 ．并 将 用 户 生 物
特 征作为身份标识
但是 ，这两种 方案在应用场景 、加 密
互相借鉴和融合 ．形成新 的安全性高 、用户体验 良好 的移
环境或者 Ｓ Ｅ 实现 认 证 器 功 能 。
器 ， 服 务 器 将 此 公 钥 和 用 户 对 应 的 应 用 账 户 相 关 联
当用户登 录时 ，用户 侧 Ｕ ＡＦ认证 器在经过 本地用 户
身份识别后 ，采用私钥 对服 务器 的挑战数据做签名 ．服 务
器 使 用 对应 的 公 钥做 验 证
时 涉 及 两 个 步 骤 ：注 册 和 认 证 ： 当用 户 注 册 时 ， 用 户 侧 的 Ｕ ＡＦ认 证 器 产 生 一 对 非 对
盖 能力有赖于运营商及各运 营商之间的互联互通情况 ．在
用 户体 验 方 面 也 一般 对 于 Ｆ Ｉ Ｄ Ｏ 联 盟 方 案 来 说 ，只 需 要 移 动终 端 支 持 生 物 特 征 识 别技 术 ，对 用 户 卡 无 要 求 ，可 广
５ 两种 方案 的集成 分析
综 上 所 述 ，Ｍｏ ｂ ｉ ｌ ｅ Ｃ ｏ ｎ ｎ ｅ ｃ ｔ 卡认证和 Ｆ Ｉ Ｄ Ｏ 联 盟 认
４ 两种方案 的比较分析
Ｍｏ ｂ ｉ ｌ ｅ Ｃｏ ｎ ｎ ｅ ｃ ｔ 卡 认 证 方案 和 Ｆ Ｉ Ｄ Ｏ 联 盟 认 证 方 案
证方案各有 自己的优 缺点 ．其 中。卡认证采 用短信通 道对
称密钥对 ，并与用户本地 的生物特征身份信 息 （ 如指纹等 ）
进行关联 私 钥 在 用户 端 本 地 设 备 中保 留 ．公 钥 传 给服 务
泛 覆盖各 运营商的用户 ，用户使 用时，认证速度 比较快 ． 用户具有 良好 的客户体验 ．但是 ．这种 方案只适用于移动 应 用，而且 ，在 高安全 需 求情 况下 ，需 要终 端通 过 Ｔ Ｅ Ｅ
９
，
圜卓。
பைடு நூலகம்圆
固 圃
子 ｉ Ｆ ｖ Ｃ ｅ （ ｒ ｓ 芯 密 ａ 片 ｌ 码 Ａ 和 、 ｕ ｔ Ｔ ｈ 硬 Ｐ ｅ 件 ｎ Ｍ ｔ ｉ （ 设 ｃ 可 ａ 备 ｔ ｉ 信 ｏ ｎ ） 赖 保 Ｆ 平 ｒ ａ 护 台 ｍ 用 ｅ 模 ｗ 户 块 ｏ 账 ｒ ｋ ）
； 音 、虹膜 、脸 部识 别等生物 身份
用 户 的 业 务 体 验 会 有 一 定 的 影 响 ．而 Ｆ Ｉ Ｄ Ｏ 联 盟 认 证 方 案
均 希望为用户提供更容 易 、更安 全的在线身份认证 ，采 用
中的认证器如果 需要 安全存储 ．则对终端 的要 求较 高 ，影 响该方案的推广 和普及 一随着现在用户卡技术 以及机 卡通 信技术 的发展 ．终端 和用户卡之 间可直接通过 ＯＭＡ接 口 实现高效通信 卡认证和 Ｆ Ｉ ＤＯ联盟认 证这两种方 案可以
动 认 证 解 决 方 案 ，如 图 ３所 示
技 术以及对终端 与卡的要求 方面 均存在一定 的差异 ，表 １
是 二者 的 主要 比较 和分 析 情 况 ：
表１ Ｍｏ ｂ ｉ ｌ ｅ Ｃｏ ｎ ｎ ｅ ｃ ｔ 卡认证和 Ｆ Ｉ Ｄ Ｏ联盟认证方案 比较
认证器安 存储在用户卡 内．安全性高 全 性
该 方 案 主 要 功 能模 块 包 括 ： 网络 侧 的认 证 器 服 务 器 、 终 端侧的 Ｕ Ａ Ｆ认 证 器 ］ Ｕ Ａ Ｆ插 件 其 中 ．认 证 器 服 务 器 交验 功 能 ；Ｕ ＡＦ认 证 器 负 责 获 取 生
一
般 是 指 纹信 息 ），产 生 并 管 理 非
密码 学 运 算 （ 例 如 签 名 、哈 希 、加
目 一
． 一 ～ ～ ～
舻 ． 黑 吣 。
触发
曼 放 行 业 标 准 ， 并 于 ２ ０ １ ４ 年 １ ２ 月
．
０和 ｆ ｉ ｄ ｏ — ｕ ａ ｆ － ｖ １ ． ０两 套 协 议
这
：
高 身 份 认 证 安 全 性 、保 护 隐 私 及
Ｕ２ Ｆ （Ｕｎ ｉ ｖ ｅｒ ｓ ａ ｌ Ｓｅ ｃ ｏ ｎ ｄ Ｆ ａ ｃ ｔ ｏ ｒ
吗介 入 ．直 接 进 行 认 证 这 里 主 要 了 智 能 终端 的 生物 特 征 识 别 技 术 ，
左 线身份认证相结合的方式实现用
中， 在线身 份认证技术采用非对称
：
障
基于 Ｕ ＡＦ协 议 的 Ｆ Ｉ Ｄ Ｏ 联 盟
訇２ 所示
廊Ｊ ｝ ］ ＡＰ Ｐ 客 户端 ▲
Ｔ
存储在移动终端内．高安全 性 情 况 下 ．需 要 终 端 支持
Ｔ Ｅ Ｅ环 境 或 Ｓ Ｅ
ｕＡＦ插 ｒ｛ ：
▲
’
ＵＡＦ ｜ 人 ｉ ｌ 器
（ ４） Ｓ Ｐ服 务 器 重 定 向将 ＡＰ Ｐ客 户 端 的 认 证 请 求 信
络
终
息转发给运营商认证平 台：
（ ５）运 营 商 认 证 平 台 以短 信 方 式 将 认 证 请 求信 息 发 送给用户卡 ；
图 ２基于 Ｕ Ａ Ｆ协议 的 Ｆ Ｉ Ｄ Ｏ 联盟 认证 方案总体 架构