學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載ICS

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載CCS

11

JR

JR/T

0285—2024基于數(shù)字證書的移動(dòng)終端金融安全身份認(rèn)證規(guī)范Specification

for

mobile

terminal

financial

security

identityauthentication

based

on

digital

certificate 中國(guó)人民銀行??

發(fā)

布學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔下載學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔下載學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

II

III

11

12

1410

1511

15

...............................16

...............................19

21學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載本文件按照GB/T

1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則

第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件由中國(guó)人民銀行科技司提出。本文件由全國(guó)金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC

II學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔下載學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔下載學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

務(wù)生命周期管理、密鑰管理、安全及功能、風(fēng)險(xiǎn)控制和運(yùn)營(yíng)管理的要求。

GB/T

32915—2016

GM/T

0062—2018

JR/T

0089.2—2012

JR/T

0098.2—2012

JR/T

0098.5—2012

JR/T

0118—2015

JR/T

0156—2017

3.1

mobile

terminal[來(lái)源：GB/T

25069—2022，3.719]3.2

secure

element；SE[來(lái)源：JR/T

0088.1—2012，2.11，有修改]學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載3.3

rich

3.4

trusted

environment；TEE[來(lái)源：GB/T

3.5

trusted

environment本文件中的可信環(huán)境指TEE安全環(huán)境和TEE+SE安全環(huán)境。[來(lái)源：JR/T

0156—2017，3.1，有修改]3.6

trusted

user

interface；TUI3.7

certificate

對(duì)數(shù)字證書進(jìn)行全生命周期管理的實(shí)體。[來(lái)源：JR/T

0118—2015，3.2]3.8

digital

certificate[來(lái)源：GB/T

3.9

內(nèi)置單片機(jī)或智能卡芯片，具備存儲(chǔ)用戶私鑰以及數(shù)字證書能力的終端硬件設(shè)備。[來(lái)源：JR/T

0068—2020，3.7，有修改]學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載3.10

personal

number；PIN[來(lái)源：JR/T

0114—2015，3.8，有修改]3.11

trusted

application；TA運(yùn)行在可信執(zhí)行環(huán)境中的應(yīng)用程序。[來(lái)源：GB/T

3.12

secure

application；SA3.13

trusted

service

management；TSM[來(lái)源：JR/T

0088.1—2012，2.20]

4.1

身份認(rèn)證服務(wù)，服務(wù)應(yīng)用包括以下內(nèi)容。a）在

REE

b）在

TEE

c）在

SE

4.2

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載圖1

a）用戶方：使用安全身份認(rèn)證服務(wù)的對(duì)象。在不同的場(chǎng)景下具有不同的含義，例如移動(dòng)終端的擁平臺(tái)等進(jìn)行管理。在不同的實(shí)施方式中可再細(xì)分為金融機(jī)構(gòu)、平臺(tái)提供方，平臺(tái)提供方主要是c）設(shè)備提供方：安全身份認(rèn)證服務(wù)載體的生產(chǎn)制造方，為服務(wù)提供方在設(shè)備上部署安全身份認(rèn)證4.3

根據(jù)移動(dòng)終端可信環(huán)境不同能力級(jí)別（分類分級(jí)參見(jiàn)JR/T

0156—2017），身份認(rèn)證實(shí)現(xiàn)方式采用TEE+SE安全能力和采用TEE安全能力2種方式。身份認(rèn)證在商業(yè)銀行中的具體實(shí)現(xiàn)方式參見(jiàn)附錄A。

TEE+SE

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載圖2

TEE+SE

a）在

REE

中的客戶端模塊：

REE

b）在

TEE

TEE

中。

PIN

SE

c）在

SE

SE

中。

TEE

的安全訪問(wèn)。

PIN

碼管理功能。

TEE

采用TEE安全能力的一般結(jié)構(gòu)如圖3所示。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載圖3

TEE

安全能力的方式）采用TEE安全能力的一般結(jié)構(gòu)時(shí)，應(yīng)符合以下規(guī)則。a）在

REE

中的客戶端應(yīng)用：

REE

b）在

TEE

TEE

中。

PIN

碼的安全輸入及管理功能。

5.1

5.2

移動(dòng)終端生產(chǎn)制造環(huán)境（例如機(jī)房、設(shè)備、網(wǎng)絡(luò)、運(yùn)輸、人員及管理等）應(yīng)符合相關(guān)行業(yè)要求。移動(dòng)終端數(shù)據(jù)預(yù)置過(guò)程（例如SE操作系統(tǒng)、TEE操作系統(tǒng)、工廠密鑰、其他敏感數(shù)據(jù)等）應(yīng)符合相關(guān)行業(yè)要求。5.3

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載5.4

5.5

5.6

5.7

6.1

6.2

安全身份認(rèn)證服務(wù)申請(qǐng)及移動(dòng)終端關(guān)聯(lián)方式參見(jiàn)附錄B。a）柜面人工方式：用戶須攜帶有效身份證件及服務(wù)提供方所要求的其他材料，服務(wù)提供方工作人

JR/T

0118—2015

b）網(wǎng)絡(luò)自助方式：用戶通過(guò)網(wǎng)絡(luò)自助方式向服務(wù)提供方發(fā)起服務(wù)申請(qǐng)，服務(wù)提供方應(yīng)提供用戶身學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載6.3

REE

客戶端安裝方式如下。a）集成在安全身份認(rèn)證服務(wù)相關(guān)的客戶端軟件中，依托客戶端軟件的下載和安裝進(jìn)行相應(yīng)操作。b）客戶端模塊單獨(dú)形成安裝包，供下載安裝。

TEE

通過(guò)服務(wù)提供方平臺(tái)下載安裝包或隨REE中的客戶端應(yīng)用統(tǒng)一下載，并在安裝后進(jìn)行實(shí)例化操作。

TEE+SE

SE

SE

b）安全域在移動(dòng)終端出廠前預(yù)置或后期創(chuàng)建，安全域宜符合

JR/T

c）安全應(yīng)用在終端出廠前預(yù)置或后期安裝，應(yīng)用安裝宜符合

JR/T

d）安全應(yīng)用安裝后，應(yīng)進(jìn)行實(shí)例化操作。6.4

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

6.5

TEE+SE

在采用TEE+SE安全能力的情況下，交易簽名流程如圖4所示，關(guān)鍵步驟主要包括交易信息確認(rèn)、交圖4

TEE+SE

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

TEE

PIN碼驗(yàn)證宜采用本地免密方式代替，包括指紋、人臉、虹膜等生物特征輸入驗(yàn)證方式。圖5

TEE

選擇聲、光、獨(dú)特圖像等標(biāo)識(shí)信息。a）安全身份認(rèn)證服務(wù)名稱。b）身份認(rèn)證標(biāo)識(shí)。c）金融機(jī)構(gòu)標(biāo)識(shí)。d）PIN

e）生物特征（例如指紋、人臉、虹膜）確認(rèn)提示（可選）。f）確認(rèn)按鈕。g）取消按鈕。10學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

用戶在TUI中點(diǎn)擊確認(rèn)按鈕后，由可信環(huán)境中的密碼服務(wù)模塊進(jìn)行PIN碼驗(yàn)證，采用TEE安全能力的情況，PIN碼驗(yàn)證在TEE中實(shí)現(xiàn)；采用TEE+SE安全能力的情況，PIN碼驗(yàn)證在SE中實(shí)現(xiàn)。若驗(yàn)證不通過(guò)，

6.6

用戶不再使用安全身份認(rèn)證服務(wù)時(shí)，通過(guò)以下2種方式注銷服務(wù)。a）柜面人工方式：用戶須攜帶有效身份證件及服務(wù)提供方所要求的其他材料，服務(wù)提供方工作人b）網(wǎng)絡(luò)自助方式：用戶通過(guò)移動(dòng)終端上的客戶端發(fā)起操作，在用戶身份鑒別（例如

PIN

用戶通過(guò)以上2種方式注銷服務(wù)時(shí)，服務(wù)提供方驗(yàn)證注銷申請(qǐng)數(shù)據(jù)，驗(yàn)證通過(guò)后，服務(wù)提供方在安

7.1

7.2

參與密鑰運(yùn)算的隨機(jī)數(shù)的相關(guān)指標(biāo)，應(yīng)遵循GB/T

0062—2018中的相關(guān)要求。

移動(dòng)終端可信環(huán)境中TEE和SE應(yīng)支持非對(duì)稱密鑰用于簽名，應(yīng)支持對(duì)稱密鑰用于本地或遠(yuǎn)程數(shù)據(jù)和密鑰的加密。

11TEE密鑰學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載表1

表1

7.3

轉(zhuǎn)移過(guò)程在于設(shè)備提供方和服務(wù)提供方對(duì)密鑰的轉(zhuǎn)移，保證密鑰的授權(quán)轉(zhuǎn)移和管理。宜選擇的2種a）設(shè)備提供方生成初始化密鑰，在設(shè)備生產(chǎn)后通過(guò)足夠安全的方式將初始化密鑰移交給服務(wù)提供b）服務(wù)提供方生成初始化密鑰，在設(shè)備出廠前通過(guò)足夠安全的方式將初始化密鑰移交給設(shè)備提供

8.1

b）不應(yīng)向SE寫入私鑰、不固化密鑰對(duì)和用于生成密鑰對(duì)的素?cái)?shù)。g）應(yīng)提供交易敏感信息顯示及確認(rèn)機(jī)制。h）應(yīng)提供PIN碼驗(yàn)證機(jī)制，驗(yàn)證通過(guò)后才能進(jìn)行數(shù)據(jù)簽名。12學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載i）電子簽名信息在可信環(huán)境中生成（采用TEE安全能力的方式，在TEE中生成；采用TEE+SE安全能j）不應(yīng)在日志中記錄用戶敏感信息。8.2

TUI

TUI要求如下。b）應(yīng)提供確認(rèn)及取消按鈕。c）字符集至少應(yīng)支持英文、簡(jiǎn)體中文語(yǔ)言的顯示。d）應(yīng)支持PIN碼輸入。8.3

PIN

a）證書下載、更新操作，應(yīng)驗(yàn)證PIN碼。b）交易過(guò)程中的私鑰簽名，每次都應(yīng)驗(yàn)證PIN碼。c）PIN碼輸入和修改應(yīng)在TUI中進(jìn)行。g）應(yīng)設(shè)置PIN碼嘗試次數(shù)，嘗試超過(guò)次數(shù)后，安全身份認(rèn)證服務(wù)被鎖死。h）安全身份認(rèn)證服務(wù)鎖死后，即使再輸入正確PIN碼，服務(wù)也為不可用狀態(tài)。i）解鎖過(guò)程需先注銷安全身份認(rèn)證服務(wù)，并再次申請(qǐng)服務(wù)。8.4

a）應(yīng)經(jīng)安全處理。c）保證使用過(guò)程可追溯性。d）對(duì)有效期進(jìn)行嚴(yán)格設(shè)定。8.5

a）用于身份鑒別的生物信息（例如指紋、人臉、虹膜等），應(yīng)使用密碼技術(shù)保證其機(jī)密性、完整b）采用客戶本人生物特征作為驗(yàn)證要素的，應(yīng)符合國(guó)家標(biāo)準(zhǔn)、金融行業(yè)標(biāo)準(zhǔn)和相關(guān)信息安全管理c）用于身份鑒別的生物信息，未經(jīng)用戶同意，不應(yīng)應(yīng)用于生成用戶畫像或進(jìn)行個(gè)性化推薦。13學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8.6

SE

SE要求如下。a）SE安全芯片應(yīng)符合JR/T

0098.2—2012的要求。b）SE嵌入式軟件應(yīng)符合JR/T

c）SE安全應(yīng)用管理應(yīng)符合JR/T

0089.2—2012的要求。8.7

TEE

TEE要求如下。a）應(yīng)提供可信應(yīng)用生命周期管理，包括但不限于在TEE中安裝、更新、鎖定、解鎖及卸載。b）可信應(yīng)用生命周期通過(guò)可信服務(wù)管理平臺(tái)遠(yuǎn)程管理。c）執(zhí)行管理操作前可信服務(wù)管理平臺(tái)和TEE通過(guò)安全預(yù)置的密鑰相互認(rèn)證后建立安全通道。8.8

客戶端要求如下。a）客戶端應(yīng)用卸載時(shí)，客戶端應(yīng)用的附屬數(shù)據(jù)和用戶數(shù)據(jù)應(yīng)被清除。b）客戶端應(yīng)用卸載完成后，文件系統(tǒng)中不應(yīng)殘留任何用戶數(shù)據(jù)及交易數(shù)據(jù)等。c）客戶端應(yīng)用卸載時(shí)，SE中的數(shù)據(jù)（例如輔助安全域、安裝包、實(shí)例、個(gè)性化數(shù)據(jù)等）應(yīng)保留。

9.1

9.2

a）宜建立交易監(jiān)控系統(tǒng)，能甄別并預(yù)警潛在風(fēng)險(xiǎn)交易。b）在交易前應(yīng)對(duì)移動(dòng)終端的安全環(huán)境狀態(tài)進(jìn)行必要的安全檢測(cè)。c）宜采用大數(shù)據(jù)分析、用戶行為建模等手段，建立交易風(fēng)險(xiǎn)監(jiān)控模型和系統(tǒng)，對(duì)異常交易進(jìn)行及d）宜根據(jù)交易的風(fēng)險(xiǎn)特征建立風(fēng)險(xiǎn)交易模型，有效監(jiān)測(cè)可疑交易，對(duì)可疑交易建立報(bào)告、排查復(fù)f）宜通過(guò)分析用戶交易習(xí)慣和群體用戶行為習(xí)慣，提高交易監(jiān)控的效率和準(zhǔn)確率。9.3

a）加強(qiáng)對(duì)用戶PIN碼等身份認(rèn)證信息的保護(hù)管理和客戶安全教育，提示客戶及時(shí)修改密碼。14學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載b）讓客戶充分了解功能實(shí)現(xiàn)和操作流程，例如提供對(duì)外服務(wù)功能的演示版等。10

10.1

同一個(gè)移動(dòng)終端支持多家服務(wù)提供方的安全身份認(rèn)證服務(wù)業(yè)務(wù)。10.2

11

11.1

按照第6章安全身份認(rèn)證服務(wù)生命周期管理的要求，通過(guò)文檔審查和服務(wù)操作，對(duì)服務(wù)申請(qǐng)、服務(wù)11.2

按照第7章密鑰管理的要求，通過(guò)文檔審查和日志查驗(yàn)，對(duì)隨機(jī)數(shù)生成、密鑰生成、密鑰更新、密11.3

憑證、生物特征身份鑒別、SE、TEE、客戶端的安全及功能進(jìn)行驗(yàn)證。11.4

按照第9章風(fēng)險(xiǎn)控制要求，在安全身份認(rèn)證服務(wù)首次上線和發(fā)生重大變更時(shí)，服務(wù)提供方或金融機(jī)完整日志記錄。客戶教育形成培訓(xùn)記錄。11.5

15學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

A.1

A.2

根據(jù)移動(dòng)終端可信環(huán)境不同能力級(jí)別（分類分級(jí)參見(jiàn)JR/T

0156—2017），安全身份認(rèn)證實(shí)現(xiàn)方式分為以下2類。

SE

SE

TEE+SE

SE

TEE

TEE

等業(yè)務(wù)場(chǎng)景中，以安全身份認(rèn)證TEE實(shí)現(xiàn)或TEE+SE實(shí)現(xiàn)方式作為賬戶風(fēng)險(xiǎn)分級(jí)管控的主要因素，輔以其安全身份認(rèn)證架構(gòu)參考實(shí)現(xiàn)如圖A.1所示。

A.1 16學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載A.3

采用TEE+SE安全能力的身份認(rèn)證終端

A.2

TEE+SE

A.4

在采用TEE安全能力的情況下，身份認(rèn)證終端架構(gòu)如圖A.3所示。17學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載JR/T

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

A.3

TEE

A.5

圖A.4以驗(yàn)證PIN碼為例描述了防重放攻擊的實(shí)現(xiàn)機(jī)制。

A.4

PIN

18學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

0285—2024學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

B.1

要由金融機(jī)構(gòu)統(tǒng)一采購(gòu)并向用戶發(fā)放，二者有較大的區(qū)別