移动数字证书远程安全管理研究

刘衍斐 卢煜 周昕

摘 要：论文首先总结分析了当前主流的移动数字证书远程安全管理方案和面临的安全威胁，针对存在的安全风险和常见问题，阐述了相应的各类安全技术，最后在综合使用各类安全技术和多种保障手段的基础上，给出了解决移动数字证书安全远程管理的途径和思路，提出了解决当前移动数字证书远程安全管理的新方案。

关键词：移动数字证书；远程管理；身份认证；移动安全

中图分类号：TP309.7 文献标识码：A

Abstract： This paper describes classic schemes， and analyzes the security threats in remote management of mobile digital certificate. The appropriate security solutions and ideas are given in this paper accordingly for the threats. Also， based on comprehensive use of various security technologies and methods， this paper presents a new security scheme to solve the security problems in remote management of mobile digital certificate.

Key words： mobile digital certificate； remote management； authentication； mobile security

1 引言

隨着移动通信和智能终端技术的迅速发展，智能终端已在社会的各个领域中得到广泛的应用，对人们的工作生活的影响也越来越大。特别是随着近年来BYOD（Bring Your Own Device）的兴起[1]，越来越多的政府、企事业单位等开始部署远程办公系统，而为了保证在使用移动终端远程处理工作时的可控性和安全性，使用数字证书实现身份认证和通信加密保护等，成为目前移动办公安全方案的主流。

为了保证移动办公的安全性，移动安全管理框架不断涌现[2]，可提供多种远程管控功能，同使用VPN（Virtual Private Network）技术来保证远程通信的安全性[3，4]。但作为用户身份认证基础的移动数字证书[5，6]，对其进行远程安全管理的研究却较少[7]，在实现过程中仍然存在一定的安全性或操作复杂等问题，而这将可能带来严重的安全性后果，如用户身份被冒用、信息被非法窃取和功能被滥用等。

本文全面分析了移动数字证书安全远程管理所面临的各类安全威胁，针对存在的问题，分别给出了有针对性的安全解决办法，并在综合使用各类安全技术和多种保障手段的基础上，提出了一种新的移动数字证书远程安全管理方案，新的安全方案能够有效应对各类安全威胁，提高移动数字证书管理的安全性。

2 传统移动数字证书远程管理机制

当前的移动数字证书远程管理系统一般包括移动终端证书管理APP（Application）和管理平台两部分，两部分之间通过移动数据通信网络或WiFi等无线网络实现通信。移动终端证书管理APP运行在智能手机、平板电脑等各类移动终端上提供证书管理服务；管理平台则包括远程证书管理服务器、证书认证中心（PKI/CA，Public Key Infrastructure/ Certificate Authority）等各类服务器，为了提高安全性，管理平台还可能额外划分出一个代理边界区对外提供服务。移动数字证书远程管理系统的组成如图1所示。

移动数字证书远程管理系统中主要工作可以分为证书申请和证书日常管理两个部分。证书申请包括证书信息登记、数字证书请求和下发等步骤；证书日常管理包括数字证书的更新、吊销/废弃等内容[8]。

证书申请是证书远程管理中的核心功能，也是后续日常管理的基础。传统的移动数字证书远程管理系统的证书申请流程主要包括几个步骤：管理员导入用户等信息至管理平台；操作人员向管理平台发送数字证书请求消息；管理平台收到数字证书请求后对请求进行审核，如果需要人工介入则会将申请信息上报由PKI管理员进行审批；请求经确认合法后，管理平台生成对应的数字证书，返回成功响应，完成首次证书申请，如图2所示。

在申请流程中，证书请求的发起一般集中在特定的地点进行，操作人员一般是管理员而非实际的用户本人：通常是由管理员手动操作进行证书申请后，将载有证书的密码产品（如加密卡/UKey等）发放给实际的用户使用。

对移动数字证书进行日常管理，证书的吊销/废弃等管理操作，由管理员在管理平台处进行操作执行，并可根据情况通知到终端证书管理APP；证书到期更新时，由终端证书APP连接管理平台，获取新的数字证书。

3 传统移动数字证书远程管理问题分析

传统移动数字证书远程管理面临多种威胁，除了针对管理平台、移动终端、终端证书管理APP的攻击、针对通信的攻击和功能流程实现的攻击等外，在实际的证书管理实现流程中也存在一定的安全隐患。证书管理中的日常管理部分由于可以基于已有证书建立双向认证的安全连接来保证安全性，因此问题较少；但证书申请部分却由于实现机制的限制，导致面临大量难以克服的问题。本章节详细了阐述了传统移动数字证书远程管理中存在的各类安全威胁和问题。

传统移动数字证书管理的证书申请部分主要采用管理员人工集中处理的方式实现，这种管理方式在实际的使用过程中存在诸多问题。

工作差错多：少量管理员制发全部用户的证书，而由于对实际用户不熟悉，极易产生工作差错，致使人为原因造成的身份冒用等各类问题大量出现。

环节复杂：对加密卡、密钥钥匙等使用专门工具进行人工发证后，需要手工逐一标识，逐级分发到对应用户。

维护难：当发生移动终端设备、密码模块、证书的丢失或损坏时，需要逐级上报，由管理员再次进行复杂的人工发证操作。

同时随着密码产品和密码技术的升级改进，传统移动数字证书管理还面临多方面新的挑战。

密码产品形态多样化：具备更高的可靠性和性能优势的终端内置安全芯片、TEE密码模块等密码产品不断出现，而这些产品由于密码模块与移动终端不能分离，因此很难通过传统的密码模块由人工集中发证的方式管理。

PKI部署方式向中心集中式变化：随着对安全的重视程度和统一管理的需求不断提高，政府、大型企事业单位在建设部署云计算、大数据中心等的同时，开始向集中建设PKI转变，而这种集中度的提高使传统人工方式弊端更加明显，同时带来了分级授权管理、远程技术支持等各类问题。

传统移动数字证书远程管理需要集中由管理员完成证书申请工作后，才能真正对证书更新、废除等各类日常管理的远程操作进行有效管理，致使面对上述问题和挑战时，显得力不从心，已逐渐难以满足用户对安全性和便利性的要求。

4 新型移动数字证书远程安全管理

传统移动数字证书远程管理中存在的各类问题，其原因主要是采用了集中由管理员主导完成证书申请的工作机制，因此为了克服传统方案的不足，新的移动数字證书远程管理方案应改由实际的用户自行远程进行数字证书申请，以避免管理员人为失误造成的安全问题和简化管理的复杂度。但用户自行远程进行数字证书申请，又面临如何有效进行真实身份的远程识别认证这一核心安全问题。

本章节将首先阐述移动数字证书远程管理中可能涉及到的远程身份认证技术，并在深入分析远程身份认证的基础上，针对安全要求较高的场景，提出了一种新的移动数字证书远程管理安全方案，该方案使用多种远程身份识别技术对用户的身份进行有效识别，保证数字证书安全发放给合法用户，具备较高的安全性。

4.1 远程身份认证技术分析

移动数字证书本身是后续进行各项移动办公时的重要安全基础，如果在进行证书申请时用户的身份安全无法得到保障，则可能导致用户身份被冒用、信息被非法获取、功能被恶意使用和合法用户接入虚假管理平台等严重问题的产生。目前在进行远程身份认证时可能使用的技术主要有几项。

基于密码技术的能够防伪造、抗抵赖的密码产品进行身份认证。密码产品中应包含可认证的数字证书、密钥等信息，使用的密码算法包括对称加密算法、数字签名技术和其他密码技术等，具体的产品形态包括加密芯片、加密TF卡、USBKey、U盾等。

基于人体生物特征作为用户本体属性进行真实性身份认证。人像、虹膜、声纹及指纹等各类生物特征识别技术日益成熟，当前对人像、指纹、声纹等多种生物特征的识别准确率已经可以到达商用的水平，并开始逐步大规模在网络支付、证券交易等各类服务中使用[9]。

基于动态口令的电子令牌等进行身份认证，电子令牌可以硬件形态提供用户使用，具备持续自从更新口令的能力，比用户静态设置的口令安全性更高，目前已经在银行金融支付中得到广泛的应用。

基于用户口令进行身份认证，为了提高安全性，用户口令在设置时应具备一定的复杂度。

基于短信验证码进行身份认证。

密码产品除上述的加密芯片、加密TF卡等常规密码产品外，居民身份证实际上也属于一种特殊的可进行身份认证的密码产品，具备较高的安全性。身份证是我国公民的法定身份证件，内置的安全芯片，使用国产密码算法，并具备加密通信能力。而人手一张、有通信能力和加密安全的特性，结合目前公安部的居民身份证挂失系统，为居民身份证参与远程身份认证提供了有利条件。目前，已经有基于身份证进行网上身份认证的相关服务出现，如互联网+可信身份认证平台（CTID）等已经开始运营[10]。

远程身份识别认证在具体实现时，其认证因子的选择根据安全要求的高低主要可以分为几种情况。

安全要求较高：同时使用密码产品和生物特征识别技术等进行多因子认证。

安全要求中等：同时使用生物特征识别技术、口令或短信验证码等进行多因子认证。

安全要求较低：使用口令或短信验证码等进行认证。

在为政府和大型企事业单位等提供移动数字证书的远程管理服务时，一般对安全性要求较高，因此应考虑同时使用密码产品和人体生物特征等进行多因子认证。而居民身份证核验和人像识别在安全性、技术成熟度和便利性等方面具备明显的优势，是当前比较适合移动数字证书远程管理使用的身份认证技术。

4.2 新的移动数字证书远程管理方案

移动数字证书远程管理的核心流程是数字证书申请，其实现过程与传统数字证书最重要的区别在于需要实现远程身份认证。因此本文提出了一种新的移动数字证书远程管理方案，在新方案中，远程身份认证主要由身份证核验和人像等生物特征识别两种技术共同保证，配合可能的短信验证码、口令、设备信息检查等，可以有效保证用户身份的真实合法性，满足政府和大型企事业单位等的安全性要求。

新方案的移动数字证书申请的实现过程涉及的对象包括移动终端上的证书管理APP（可调用终端密码模块）、管理平台中的证书管理服务器（包含身份认证功能）和PKI/CA系统，具体流程如图3所示。

1） 管理员将用户等信息导入管理平台。

2） 终端证书管理APP与管理平台的证书管理服务器之间基于TLS协议等建立安全连接，证书管理APP通过管理服务器的证书确认平台的合法性。

3） 终端证书管理APP采集人像等活体生物特征、身份证信息等数据，发送至证书管理服务器，由身份认证模块进行身份证核验和生物特征识别，认证终端用户的合法性，可辅助采用短信验证码、用户口令、终端信息校验等方式增强认证。

4） 认证成功后，终端证书管理APP生成并发送数字证书申请至证书管理服务器。

5） 证书管理服务器收到证书请求后，调用PKI/CA系统对本次证书申请操作进行审核和签发数字证书。

6） 证书管理服务器发送数字证书至终端证书管理APP，移动数字证书远程申请流程结束。

新的移动数字证书远程管理方案以居民身份证核验和人像识别等技术结合为主的方式，在进行实际的证书申请之前，首先实现了对用户真实身份的可靠识别，从而有效避免移动数字证书远程管理带来的各类安全隐患，提高证书申请过程中的安全性，保证数字证书安全下发到对应的用户。在实际使用过程中，可以根据需求，使用已具备合法数字证书的U盾、指纹或声纹等代替身份证、人像等进行远程身份认证。

5 结束语

本文首先分析了当前移动数字证书远程管理的主要实现方式，并从多个方面分析总结了数字证书远程管理需要解决的各类安全威胁和问题。针对存在的远程身份认证等安全问题，总结分析了远程身份认证相关技术和不同安全等级下对认证技术的选择要求。最后提出了一种新的移动数字证书远程管理方案，新方案综合使用了身份证核验、生物特征识别等多种安全技术，能够有效提高移动数字证书远程管理的安全性，同时大幅简化了移动证书管理实施的复杂度，保证了方案的安全性和可操作性。

参考文献

[1] Ballagas R， Rohs M， Sheridan J G， et al. BYOD： Bring your own device[J]. Proceedings of the Workshop on Ubiquitous Display Environments Ubicomp，2004， 50（2）：43–53.

[2] Liu L， Moulic R， Shea D. Cloud Service Portal for Mobile Device Management[C]. IEEE， International Conference on E-Business Engineering. IEEE， 2010：474-478.

[3] Virtual Private Networking： An Overview[OL]. Microsoft TechNet.https：//docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-2000-server/bb742566（v=technet.10），2001.

[4] 曾紅霞， 朱泉.军工企业移动办公安全接入研究与应用[J].网络空间安全，2016（8）：42-45，49.

[5] Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List （CRL） Profile[S].RFC5280.https：//tools.ietf.org/html/rfc5280，2008.

[6] Federal Agency Use of Public Key Technology for Digital Signatures and Authentication[S].https：//nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-25.pdf，2000.

[7] 韩峰.无线网络数字证书管理技术的研究[D].北京邮电大学，2007.

[8] William Stallings，白国强，等译.网络安全基础应用与标准（第5版）[M].清华大学出版社，2015.

[9] 移动金融基于声纹识别的安全应用技术规范[S].JR/T 0164-2018，2018.

[10] 王宇.电子身份证为公共服务“互联网+”打基础[J].计算机与网络，2018（1）：11-11.