版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進行舉報或認領(lǐng)
文檔簡介
1基于SIM卡的物聯(lián)網(wǎng)安全服務(wù)技術(shù)要求本文件提出了基于SIM卡的物聯(lián)網(wǎng)安全服務(wù)技術(shù)要求,其中包括對基于SIM卡的物聯(lián)網(wǎng)安全服務(wù)進行功能定義、系統(tǒng)架構(gòu)設(shè)計以及技術(shù)流程定義,涉及對物聯(lián)網(wǎng)卡、物聯(lián)網(wǎng)終端、物聯(lián)網(wǎng)平臺等單元的技術(shù)要求。本文件適用于2/3/4/5G以及NB-IoT終端的安全體系設(shè)計2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中,注日期的引用文件。僅該日期對應(yīng)的版本適用于本文件;不注日期的引用文件,其最新版本(包括所有的修改單)適用于本YD/T3589-2019M2M環(huán)境下的電信智能卡技術(shù)要求3術(shù)語和定義下列術(shù)語和定義適用于本文件。物聯(lián)網(wǎng)終端中所使用的各類電信智能卡,有插拔卡、貼片卡兩種封裝形態(tài)。在SIM卡中運行的小程序,用于向SIM卡所在的終端應(yīng)用提供安全服務(wù)。下列縮略語適用于本文件。AES高級加密標準APPTripleDataEncryptionAdvancedEncryptionStandardApplicationProgrammingIn2卡操作系統(tǒng)數(shù)據(jù)報傳輸層安全協(xié)議橢圓曲線密碼算法SIM卡安全應(yīng)用唯一標識物聯(lián)網(wǎng)服務(wù)提供方消息驗證碼操作系統(tǒng)預(yù)共享密鑰軟件開發(fā)工具安全散列算法-1用戶身份識別模塊國家商密算法-2國家商密算法-3國家商密算法-4國家商密算法-9DatagramTransportLayerSecEllipticCurveCryptograIoTServiceMessageAuthenticationCRivest/Shamir/AdlemanasymmetricSecureHashSubscriberIdentity服務(wù)提供方5.1業(yè)務(wù)定義基于SM卡的物聯(lián)網(wǎng)安全服務(wù)是基于物聯(lián)網(wǎng)終端的安全能力為物聯(lián)網(wǎng)服務(wù)提供方(IoT-SP)提供的安全服務(wù),該服務(wù)以SIM卡為安全載體,依托其高安全性的存儲和運算能力為IoT-SP提供物聯(lián)網(wǎng)終端安全保護及物聯(lián)網(wǎng)終端與平臺之間的身份認證以及數(shù)據(jù)傳輸保護,該服務(wù)可以幫助IoT-SP快速提升安全能5.2業(yè)務(wù)功能基于SIM卡的物聯(lián)網(wǎng)安全服務(wù)包括如下內(nèi)容:安全通信服務(wù)包括以下安全服務(wù):●針對標準通信協(xié)議的安全支撐服務(wù):為物聯(lián)網(wǎng)領(lǐng)域的各類標準的安全通信協(xié)議(至少包括DTLS協(xié)議),提供基礎(chǔ)的密碼運算服對于未實現(xiàn)標準安全通信協(xié)議的物聯(lián)網(wǎng)終端,可以基于數(shù)據(jù)安全傳輸服務(wù)實現(xiàn)端到端的認證和數(shù)據(jù)安全傳輸,服務(wù)類型包括:密鑰協(xié)商物聯(lián)網(wǎng)終端與平臺間的密鑰協(xié)商服務(wù),及為后續(xù)的數(shù)據(jù)上傳和下發(fā)協(xié)商會話密鑰數(shù)據(jù)安全上傳/下發(fā)提供物聯(lián)網(wǎng)終端與IoT-SP之間的業(yè)務(wù)數(shù)據(jù)安全上傳及下發(fā)服務(wù),包括傳輸過程中的數(shù)據(jù)加解密及驗證可以為IoT-SP和物聯(lián)網(wǎng)終端提供雙向身份認證服務(wù),包括IoT-SP對終端的認證以及終端對IoT-SP的認證。從而確保IoT-SP和終端交互雙方身份的可信性?!雒舾袛?shù)據(jù)存儲服務(wù):以SDM卡為安全存儲介質(zhì),為物聯(lián)網(wǎng)終端提供墩感數(shù)據(jù)的安全存儲服務(wù),包括受控寫/自由讀方式,具體控制方式包括:●寫入控制:對于敏感信息寫入SIM卡,需要由平臺側(cè)控制下寫入●自由讀?。航K端對SDM卡內(nèi)指定區(qū)域的信息自由地讀取為滿足個性化的加解密需求,可以提供基于SIM卡的通用密碼運算能力,包括如下服務(wù)物聯(lián)網(wǎng)終端APP可以基于該服務(wù)進行各類定制化的安全開發(fā),包含但不限于如下功能:本地安全存儲功能本業(yè)務(wù)的參與方及其職責(zé)包括:■物聯(lián)網(wǎng)服務(wù)提供方(1oT-SP):物聯(lián)網(wǎng)服務(wù)的提供者,可以通過使用物聯(lián)網(wǎng)安全服務(wù)提供方的安全服務(wù),實現(xiàn)對物聯(lián)網(wǎng)設(shè)備進行安全管理以及數(shù)據(jù)安全傳輸?shù)取鑫锫?lián)網(wǎng)安全服務(wù)提供方;為IoT-SP提供物聯(lián)網(wǎng)終端安全、終端認證以及數(shù)據(jù)安全傳輸?shù)劝踩鲭娦胚\營商:為IoT-SP提供移動網(wǎng)絡(luò)接入服務(wù)■SM卡廠商:SIM卡生產(chǎn)并對SIM卡安全應(yīng)用進行個人化■物聯(lián)網(wǎng)終端廠商:負責(zé)終端生產(chǎn)并集成標準的終端安全服務(wù)SDK以及SIM卡安全服務(wù)平臺為IoT-SP提供服務(wù)的模式有如下兩種■服務(wù)模式1:IoT-SP授權(quán)及自服務(wù)安全服務(wù)平臺通過對IoT-SP授權(quán)管理實現(xiàn)將安全服務(wù)能力授權(quán)給IoT-SP,授權(quán)完成后,4IoT-SP可以自行使用安全服務(wù)。該模式包括如下業(yè)務(wù)流程●IoT-SP授權(quán):安全服務(wù)平臺向IoT-SP提供SIM卡安全服務(wù)使用權(quán)限,該過程可以在工廠預(yù)置或者在線完成:●IoT-SP自服務(wù)安全全服務(wù)平臺在對IoT-SP授權(quán)完成后,IoT-SP可以獨立使用各類安全該方式為安全服務(wù)平臺直接為IoT-SP提供安全服務(wù),即密朝協(xié)商、加解密操作都由安全服務(wù)平臺完成。5.5終端安全要求由于物聯(lián)網(wǎng)終端會面臨一些安全鳳險,可能會影響SIM卡安全服務(wù)的正常運行,比如:遠程攻擊、0S及應(yīng)用的非法算改、非法調(diào)試、非法拆卸/替換SIM卡等。針對以上的安全風(fēng)險,物聯(lián)網(wǎng)終端廠商可以結(jié)合相應(yīng)行業(yè)的終端安全要求和終端應(yīng)用環(huán)境的特點采取相應(yīng)的安全措施進行防范,比如:安全啟動、安全升級、安全調(diào)試等。針對拆卸/替換SIM卡的風(fēng)險,應(yīng)采取措施進行防范,以保證SIM卡和終端之間的一對一綁定關(guān)系(可參考使用附錄A的建議)。終端采取的具體安全措施和安全要求超出了本文件的范圍,不在本文件中規(guī)定6系統(tǒng)結(jié)構(gòu)和組網(wǎng)6.1系統(tǒng)結(jié)構(gòu)6.1.1系統(tǒng)結(jié)構(gòu)圖基帶芯片56.1.2各模塊功能介紹6.1.2.1SIM卡/SIM卡安全應(yīng)用SIM卡作為物聯(lián)網(wǎng)安全服務(wù)在終端側(cè)的基礎(chǔ)安全載體,其中裝載SIM卡安全應(yīng)用,該應(yīng)用可以通過SIM卡提供的密碼運算和安全存儲能力實現(xiàn)加解密、身份認證等安全功能,并向終端提供調(diào)用接口。不同SIM卡中的SIM卡安全應(yīng)用以一個全局唯一的ID號來標識,即IoT-SeeID,該標識需要在SIM卡安全應(yīng)用個人化過程中寫入SIM卡安全應(yīng)用需要提供多邏輯通道的支持,以滿足終端應(yīng)用的并發(fā)連接需求6.1.2.2基帶芯片/模組/終端0s基帶芯片一方面為物聯(lián)網(wǎng)終端提供通信能力,同時還需要提供終端訪間SIM卡的基礎(chǔ)能力,終端0S則需要將該基礎(chǔ)能力封裝為SIM卡訪問接口,以滿足物聯(lián)網(wǎng)安全服務(wù)SDK訪問SIM卡的需求。6.1.2.3物聯(lián)網(wǎng)安全服務(wù)SDK物聯(lián)網(wǎng)安全服務(wù)SDK是在物聯(lián)網(wǎng)終端0S上,為物聯(lián)網(wǎng)終端APP提供安全服務(wù)的安全中間件。6.1.2.4物聯(lián)網(wǎng)終端APP物聯(lián)網(wǎng)終端上的APP軟件,運行于終端08上,用于完成物聯(lián)網(wǎng)應(yīng)用功能。6.1.2.5物聯(lián)網(wǎng)安全服務(wù)平臺物聯(lián)網(wǎng)安全服務(wù)平臺是向IoT-SP提供安全服務(wù)的平臺側(cè)實體,其主要功能如下■安全服務(wù)能力授權(quán):安全服務(wù)平臺可以向IoT-SP提供各種安全服務(wù)的授權(quán)■簡單安全服務(wù);由安全服務(wù)平臺向IoT-SP提供對物聯(lián)網(wǎng)終端的身份認證以及數(shù)據(jù)加解密服務(wù)該平臺即IoT-SP服務(wù)器,是對物聯(lián)網(wǎng)終端進行管理以及提供物聯(lián)網(wǎng)服務(wù)的平臺。不同的IoT-SP在使用物聯(lián)網(wǎng)安全服務(wù)之前需要在物聯(lián)網(wǎng)安全服務(wù)平臺中注冊,并被分配全局唯一標識SPID。6.1.3各接口功能描述各接口說明■IFI:SIM卡安全應(yīng)用提供的APDU接口■IF2:物聯(lián)網(wǎng)安全服務(wù)SDK向物聯(lián)網(wǎng)終端APP提供的API接口■IF3:物聯(lián)網(wǎng)安全服務(wù)平臺與IoT-SP之間的接口■IF4:終端OS為SDK提供的SIM卡訪問接口系統(tǒng)組網(wǎng)圖見圖2。該類密鑰是在工廠預(yù)置,由物聯(lián)網(wǎng)安全服務(wù)平臺進行管理和使用,用于對loT-SP進行授權(quán)操作,該類密鑰可以為對稱密鑰或非對稱密鑰,其中:●非對稱密鑰:可以實現(xiàn)IoT-SP自行生成和管理SP服務(wù)密該類密鑰是在工廠預(yù)置,由物聯(lián)網(wǎng)安全服務(wù)平臺進行管理和使用,用于為1oT-SP提供簡單安全服務(wù),該類密鑰用于提供身份認證服或稱SP業(yè)務(wù)密鑰,是物聯(lián)網(wǎng)安全服務(wù)平臺授權(quán)JoT-SP平臺使用于IoT-SP平臺與物聯(lián)網(wǎng)設(shè)備之間的安全通信、安全存儲、通用■對稱密碼算法:3DES、AES、SM4■摘要算法:SHAl、SHA256、SM37本文件涉及的技術(shù)流程包括■SP授權(quán)和自服務(wù)●身份認證服務(wù)在以上的技術(shù)流程中,考慮到交互的效率以及系統(tǒng)實現(xiàn)的復(fù)雜度等因素,流程提供了兩種交互模型。即Counter模式和無Counter模式,其中:在服務(wù)器和SIM卡安全應(yīng)用之間維護一個線性遞增的同步計數(shù)器(Counter),用于在報文安全傳輸過程中,實現(xiàn)報文的序列的唯一性,可以防范重放攻擊?;谠撃J?,可以顯著減少報文交互次數(shù)。提高交互效率,但是系統(tǒng)維護的復(fù)雜性較高,建議在安全服務(wù)平臺采用該機制。IoT-SP平臺則可選使用。該模式下服務(wù)器和SIM卡之間不維護計數(shù)器,但是為了避免重放攻擊和保護服務(wù)密鑰。需要通過增加必要的交互實現(xiàn)密鑰協(xié)商,IoT-SP平臺可選使用該模式。8.2開通前準備8.2.1SIM卡生產(chǎn)SIM卡生產(chǎn)過程中需要在其中寫入COS并進行SIM卡安全應(yīng)用的初始化,使之具備安全能力.SIM卡安全應(yīng)用初始化需要寫入的數(shù)據(jù)要求如表2。SIM卡安全應(yīng)用初始化完成后需要導(dǎo)出的數(shù)據(jù)包括:■IoT-SeeID列表:在后續(xù)的終端生產(chǎn)過程中,需要維護終端與SIM卡的對應(yīng)列表,并提供給IoT-SP,并用于后續(xù)IoT-SP將終端對應(yīng)的IoT-SeeID列表提交給安全服務(wù)平臺,以便對所有授權(quán)的IoT-SecID進行注冊SIM卡公鑰與1oT-SeeID的對應(yīng)表;如果在SIM卡安全應(yīng)用中預(yù)置了非對稱密鑰,則需要將對應(yīng)的公鑰提供給物聯(lián)網(wǎng)安全服務(wù)平臺loT-SP在使用物聯(lián)網(wǎng)安全服務(wù)之間,需要在物聯(lián)網(wǎng)安全服務(wù)平臺進行注冊操作,流程如下:步驟一;基本信息注冊:a)在物聯(lián)網(wǎng)安全服務(wù)平臺登記IoT-SP信息b)物聯(lián)網(wǎng)安全服務(wù)平臺為該1oT-SP分配SPID步驟二:SP服務(wù)密鑰傳遞:a)SP服務(wù)密鑰(JoT-SP公鑰)傳遞:對于采用非對稱密鑰體系的IoT-SP,需要將loT-SP的公鑰傳遞給物聯(lián)網(wǎng)安全服務(wù)平臺,用于在后續(xù)的授權(quán)過程中,將該公鑰寫入SIM卡b)SP服務(wù)密鑰(對稱密鑰)根密鑰傳遞:物聯(lián)網(wǎng)安全服務(wù)平臺導(dǎo)出SP服務(wù)根密鑰,并加密c)服務(wù)管理密鑰(公鑰)傳遞:對于需要自行生成服務(wù)密鑰的IoT-SP,物聯(lián)網(wǎng)安全服務(wù)平臺需要將服務(wù)管理密鑰(公朝)傳遞給IoT-SP,以在授權(quán)流程中實現(xiàn)自行生成密鑰的加密傳輸操作8.2.3SIM卡安全應(yīng)用注冊IoT-SP注冊后,物聯(lián)網(wǎng)安全服務(wù)平臺需要在JoT-SP授權(quán)之前完成SPID與JoT-SeeID的關(guān)聯(lián),即SIM卡安全應(yīng)用注冊,只有注冊完成后,IoT-SP才可以調(diào)用該SIM卡安全應(yīng)用的安全能力。在IoT-SP授權(quán)過程中,安全服務(wù)平臺會對SIM卡安全應(yīng)用的注冊狀態(tài)進行檢查SIM卡安全應(yīng)用注冊的過程如下:a)loT-SP向安全服務(wù)平臺提供其擬申請安全服務(wù)的終端SIM卡安全應(yīng)用列表(loT-SecIDList)b)安全服務(wù)平臺將IoT-SeeIDList導(dǎo)入數(shù)據(jù)庫8.3SP授權(quán)和自服務(wù)本節(jié)針對IoT-SP授權(quán)和自服務(wù)流程進行說明,IoT-SP授權(quán)流程中,根據(jù)需要向SIM卡安全應(yīng)用寫SP授權(quán)的方式分為線下授權(quán)和線上授權(quán)兩種,其中線下授權(quán)用于在產(chǎn)線和業(yè)務(wù)開通前通過線下完成授權(quán)操作;線上授權(quán)則是通過在線的報文交互流程實現(xiàn)授權(quán)操作。由于服務(wù)管理密鑰使用的密碼體制(對稱或非對稱)的不同,相應(yīng)的業(yè)務(wù)流程也有所差別,又將線上授權(quán)流程分為如下流程進行介紹8.3.1.1線下授權(quán)在生產(chǎn)過程中及業(yè)務(wù)開通前進行線下授權(quán)操作,根據(jù)SP服務(wù)密鑰的密碼體制的不同,授權(quán)方式有所不同,說明如下:在SIM卡生產(chǎn)過程中預(yù)置SP服務(wù)密鑰(對稱密鑰);安全服務(wù)平臺將SP服務(wù)密鑰(對稱密鑰)根密鑰提供給IoT-SP。,服務(wù)管理密鑰為非對稱密鑰的場量下的主要特點是,SP服務(wù)密鑰可以由IoT-SP平臺生成并自行加密,并由安全服務(wù)平臺進行寫入,從而可以滿足IoT-SP對SP服務(wù)密鑰的隱私保護需求,該流程見圖4。務(wù)圖4線上授權(quán)(服務(wù)管理密鑰為非對稱密鑰)流程說明如下:1)流程觸發(fā):a)對于終端觸發(fā)的情況下,終端APP在調(diào)用安全服務(wù)時受到SIM卡的錯誤響應(yīng),然后終端APP可以觸發(fā)授權(quán)流程,即向JoT-SP發(fā)送授權(quán)請求,然后IoT-SP向物聯(lián)網(wǎng)安全服務(wù)平臺b)對于loT-SP觸發(fā)的情況下,loT-SP在發(fā)起業(yè)務(wù)前,發(fā)現(xiàn)終端尚未授權(quán),則發(fā)起后續(xù)的授權(quán)流程2)IoT-SP平臺為相應(yīng)終端生成SP服務(wù)密鑰(對稱或非對稱):3)采用服務(wù)管理公鑰(即相應(yīng)終端的SIM卡公鑰)加密SP服務(wù)密鑰并計算SP服務(wù)密鑰密文的4)IoT-SP向安全服務(wù)平臺發(fā)送授權(quán)請求(攜帶SP服務(wù)密鑰密文的摘要信息);5)安全服務(wù)平臺檢查IoT-SP和SIM卡安全應(yīng)用注冊信息、生成ServerRand并生成授權(quán)指令(含6)安全服務(wù)平臺向IoT-SP平臺發(fā)送授權(quán)響應(yīng),其中包含授權(quán)指令(含ServerRand、Counter、服7-9、IoT-SP平臺將SP服務(wù)密鑰密文增加到授權(quán)指令內(nèi),形成授權(quán)指令報文,發(fā)送給物聯(lián)網(wǎng)終端m會子會子口調(diào)生成合pwo圖6密鑰協(xié)商(Counter模式)說明如下;a-+a-+e3)SIM卡安全應(yīng)用返回響應(yīng):5)物聯(lián)網(wǎng)APP向IoT-SP上報數(shù)據(jù)密文:6)loT-SP采用會話密鑰驗證及解密數(shù)據(jù):8.3.2.3敏感數(shù)據(jù)存儲服務(wù)8.3.2.3.1敏感數(shù)據(jù)受控寫入(Counter模式)圖10敏感數(shù)據(jù)受控寫入(Counter模式)流程說明:1)IoT-SP生成數(shù)據(jù)寫入指令:3)APP發(fā)送數(shù)據(jù)寫
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當內(nèi)容,請與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。
最新文檔
- 醫(yī)療護理醫(yī)學(xué)培訓(xùn) 吸痰護理技術(shù)課件
- DB6103T 87-2025企業(yè)簡易注銷登記服務(wù)規(guī)程
- XX村電排建設(shè)及維護合同書2025
- 個人股權(quán)抵押融資合同樣本
- 臨時促銷服務(wù)合同
- 中小企業(yè)融資合作合同協(xié)議
- 京東商城代運營合同模板
- 個人質(zhì)押貸款合同模板
- 二手房交易合同寫作范例
- 專利權(quán)合同管理新策略
- 流行文化對青少年價值觀的影響研究
- 中國保險行業(yè)協(xié)會官方-2023年度商業(yè)健康保險經(jīng)營數(shù)據(jù)分析報告-2024年3月
- 設(shè)計質(zhì)量管理和保證措施及設(shè)計質(zhì)量管理和質(zhì)量保證措施
- 2024電力系統(tǒng)安全規(guī)定
- 小學(xué)二年級語文上冊閱讀理解專項訓(xùn)練20篇(含答案)
- 科技論文圖表等規(guī)范表達
- 高考寫作指導(dǎo)議論文標準語段寫作課件32張
- 2021年普通高等學(xué)校招生全國英語統(tǒng)一考試模擬演練八省聯(lián)考解析
- 華能火力發(fā)電機組節(jié)能降耗技術(shù)導(dǎo)則(2023年版)
- 基礎(chǔ)知識3500個常用漢字附拼音
- 企業(yè)易制毒化學(xué)品管理培訓(xùn)
評論
0/150
提交評論