規(guī)范編制背景
2025年7月11日，中國(guó)人民銀行正式發(fā)布《移動(dòng)終端數(shù)字證書(shū)應(yīng)用技術(shù)規(guī)范》(JR/T 0340-2025)，旨在為移動(dòng)終端數(shù)字證書(shū)的使用出具統(tǒng)一應(yīng)用標(biāo)準(zhǔn)，為移動(dòng)終端數(shù)字證書(shū)應(yīng)用提供技術(shù)指導(dǎo)。
核心內(nèi)容解讀
一、移動(dòng)證書(shū)整體應(yīng)用框架
移動(dòng)證書(shū)應(yīng)用服務(wù)體系架構(gòu)主要由客戶端、服務(wù)端和電子認(rèn)證機(jī)構(gòu)三部分組成。
1. 客戶端包括移動(dòng)應(yīng)用和移動(dòng)證書(shū)客戶端模塊。
移動(dòng)應(yīng)用是移動(dòng)證書(shū)服務(wù)的使用者，用戶在移動(dòng)終端上通過(guò)移動(dòng)應(yīng)用使用移動(dòng)證書(shū)客戶端模塊獲取完整的數(shù)字證書(shū)服務(wù)。移動(dòng)證書(shū)客戶端模塊可由第三方機(jī)構(gòu)向移動(dòng)應(yīng)用提供。
2. 服務(wù)端包括業(yè)務(wù)系統(tǒng)和移動(dòng)證書(shū)服務(wù)端模塊。
業(yè)務(wù)系統(tǒng)提供具體業(yè)務(wù)服務(wù)，并通過(guò)驗(yàn)證用戶的簽名和驗(yàn)證移動(dòng)證書(shū)有效性，來(lái)判斷用戶操作真實(shí)性。移動(dòng)證書(shū)服務(wù)端模塊為用戶提供移動(dòng)證書(shū)的生命周期管理服務(wù)，可由第三方機(jī)構(gòu)向業(yè)務(wù)系統(tǒng)提供。
3. 電子認(rèn)證機(jī)構(gòu)負(fù)責(zé)提供數(shù)字證書(shū)全生命周期管理功能。
二、三種典型移動(dòng)證書(shū)應(yīng)用模式
1. 文件證書(shū)
引用參考《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》(JR/T 0068—2020)中 6.2.2.2 文件證書(shū) 的要求。
2. 非對(duì)稱密鑰分散證書(shū)
將私鑰分量分布在不同的設(shè)備中，以避免全部私鑰信息的直接存儲(chǔ)和使用。簽名時(shí)，各設(shè)備的私鑰分量進(jìn)行協(xié)同簽名運(yùn)算。采用安全保障措施，防止證書(shū)私鑰外泄，確保私鑰安全性。
3. TEE/SE證書(shū)
引用參考《基于數(shù)字證書(shū)的移動(dòng)終端金融安全身份認(rèn)證規(guī)范(JR/T 0285-2024)》，其對(duì)基于可信執(zhí)行環(huán)境(TEE)和安全單元(SE)的移動(dòng)終端安全身份認(rèn)證服務(wù)進(jìn)行了規(guī)范。
三、身份鑒別
1. 移動(dòng)證書(shū)服務(wù)端模塊
應(yīng)獨(dú)立識(shí)別或通過(guò)業(yè)務(wù)系統(tǒng)識(shí)別每個(gè)訪問(wèn)實(shí)體(證書(shū)的擁有者)的真實(shí)身份，并確保每個(gè)實(shí)體只能按照業(yè)務(wù)系統(tǒng)設(shè)定的范圍提供業(yè)務(wù)服務(wù)。在訪問(wèn)實(shí)體身份被成功鑒別前，移動(dòng)證書(shū)服務(wù)端模塊應(yīng)禁止執(zhí)行該實(shí)體的任何操作。
2. 服務(wù)端業(yè)務(wù)系統(tǒng)
可采用的身份鑒別技術(shù)包括但不限于已有數(shù)字證書(shū)、身份證要素驗(yàn)證、銀行卡要素驗(yàn)證、動(dòng)態(tài)口令(OTP)、生物識(shí)別技術(shù)、臨柜面簽。
3. 移動(dòng)證書(shū)客戶端模塊
對(duì)實(shí)際使用者應(yīng)具有身份鑒別功能，在啟用私鑰進(jìn)行簽名之前，應(yīng)采用口令或生物識(shí)別等方式對(duì)實(shí)際使用者進(jìn)行鑒別，鑒別通過(guò)才能生成簽名;若鑒別不通過(guò)，則應(yīng)拒絕生成簽名。
四、用戶密鑰安全管理
1. 移動(dòng)證書(shū)服務(wù)端模塊
采用非對(duì)稱密鑰分散方式提供移動(dòng)證書(shū)應(yīng)用服務(wù)時(shí)，應(yīng)保證服務(wù)端用戶私鑰分量的安全性，防止私鑰分量外泄，避免簽名被冒用的風(fēng)險(xiǎn)。
2. 移動(dòng)證書(shū)客戶端模塊
密鑰管理應(yīng)符合以下要求：
a)移動(dòng)證書(shū)客戶端模塊應(yīng)具備密碼運(yùn)算功能，能夠?qū)崿F(xiàn)簽名或驗(yàn)簽等功能，密碼算法必須符合國(guó)家密碼管理部門(mén)的相關(guān)規(guī)定。
b)移動(dòng)證書(shū)客戶端模塊應(yīng)實(shí)現(xiàn)私鑰安全存儲(chǔ)功能，不提供私鑰導(dǎo)出指令，采用非對(duì)稱密鑰分散或TEE/SE密鑰的證書(shū)存儲(chǔ)方式下，簽名過(guò)程中完整私鑰不應(yīng)以明文形式在移動(dòng)終端富執(zhí)行環(huán)境REE內(nèi)存中出現(xiàn)。
c)移動(dòng)證書(shū)客戶端模塊應(yīng)與移動(dòng)設(shè)備信息及應(yīng)用信息綁定，防范證書(shū)被非法復(fù)制到其他移動(dòng)設(shè)備或應(yīng)用上使用。
滿足《規(guī)范》要求的實(shí)施方案及其功能特點(diǎn)
中金金融認(rèn)證中心(CFCA)推出“基于密鑰分散協(xié)同簽名技術(shù)數(shù)字證書(shū)實(shí)施方案”——CFCA云證通，以及“基于FIDO標(biāo)準(zhǔn)的數(shù)字證書(shū)實(shí)施方案”——CFCA FIDO+。
CFCA云證通基于SM2、SM3、SM4國(guó)密算法，提供密鑰分散證書(shū)下載、協(xié)同簽名、數(shù)據(jù)加解密等功能，讓客戶可以無(wú)需攜帶額外硬件設(shè)備，以智能設(shè)備為載體，隨時(shí)、隨地、安全、便捷地實(shí)現(xiàn)電子簽名。云證通提供云端數(shù)字證書(shū)身份認(rèn)證與數(shù)字簽名服務(wù)，可為移動(dòng)端業(yè)務(wù)操作進(jìn)行可信賴的安全加固，防止出現(xiàn)抵賴、篡改等問(wèn)題。
CFCA FIDO+基于FIDO生物識(shí)別技術(shù)和電子簽名技術(shù)，在客戶登錄、支付、轉(zhuǎn)賬場(chǎng)景中通過(guò)指紋、3D人臉等方式實(shí)現(xiàn)快速認(rèn)證，應(yīng)用TEE數(shù)字證書(shū)模式實(shí)現(xiàn)安全認(rèn)證保護(hù)，防止遠(yuǎn)程調(diào)用攻擊，保障安全性的同時(shí)，給予用戶更加便捷的體驗(yàn)。
CFCA云證通和CFCA FIDO+兩種實(shí)施方案擁有中國(guó)人民銀行、國(guó)家密碼管理局、公安部等頒發(fā)的相關(guān)資質(zhì)認(rèn)證，技術(shù)要求滿足《移動(dòng)終端數(shù)字證書(shū)應(yīng)用技術(shù)規(guī)范》(JR/T 0340-2025)，具有合規(guī)性保障，并在各大銀行、證券機(jī)構(gòu)等眾多金融機(jī)構(gòu)實(shí)施上線，且系統(tǒng)運(yùn)行穩(wěn)定。
未來(lái)，CFCA作為“可信數(shù)字身份服務(wù)的領(lǐng)導(dǎo)者”，將繼續(xù)致力于創(chuàng)新產(chǎn)品模式，擴(kuò)展服務(wù)場(chǎng)景，筑牢安全基線。
免責(zé)聲明：
1、本網(wǎng)所刊登文章，除原創(chuàng)頻道外，若無(wú)特別版權(quán)聲明，均來(lái)自網(wǎng)絡(luò)轉(zhuǎn)載。
2、文章觀點(diǎn)不代表本網(wǎng)立場(chǎng)，其真實(shí)性由作者或稿源方負(fù)責(zé);市場(chǎng)有風(fēng)險(xiǎn)，選擇需謹(jǐn)慎，此文僅供參考，不作買賣依據(jù)。