HCE近場支付解決方案20140711.pptx

1、NFC-HCE近場支付解決方案,基于HCE的近場支付新業(yè)務(wù)模式,目錄,1,3,2,HCE云端支付技術(shù)方案,HCE業(yè)務(wù)模式,什么是HCE？,4,HCE前端支付技術(shù)方案,HCE,HCE( Host-based Card Emulation)是Google在剛剛發(fā)布的Android 4.4 KitKat中新增的一種系統(tǒng)服務(wù)API。 HCE使得NFC手機(jī)可以在沒有硬件SE的情況下采用卡模擬模式進(jìn)行NFC支付。任意APP都可以模擬一張SE直接和Reader進(jìn)行通信。,A:傳統(tǒng)的NFC SE 架構(gòu),B：HCE架構(gòu)：由NFC主控芯片收集的數(shù)據(jù)，直接經(jīng)CPU傳送到APP,APP,APP,HCE 迅速受到業(yè)界廣

2、泛歡迎,Visahas introduced a new standard that useshost card emulation (HCE)to enable financial institutions to securely host Visa accounts in the cloud. The HCE-based NFC payments solution to be deployed by Spains Bankinter this year has been demonstrated by the banks Alberto Perez Lafuente and technol

3、ogy provider Seglans Imanol Garcia in a video interview filmed by Visa Europe at MWC 2014. UkrainesPrivatBankis to launch a cloud-based NFC payments service using host card emulation (HCE). Transaction technology provider Carta Worldwidehas added support for host card emulation (HCE) to its mobile p

4、ayments platform and is currently supporting market trials in Europe and North America that are expected to lead to large scale HCE deployments in late 2014. NXPhas updated itsPN547 NFC controllers firmware and middleware to provide enhanced support for host card emulation (HCE) transactions.,HCE和全終

5、端eSE方案的區(qū)別,NFC全終端手機(jī)將NFC芯片和SE都集成于手機(jī)中，手機(jī)客戶端通過基帶處理器與安全芯片SE進(jìn)行交互，可以通過客戶端方式對SE進(jìn)行應(yīng)用加載個(gè)人化等操作。 全終端方案仍需在手機(jī)中內(nèi)置硬件SE安全芯片。這是和HCE最大的區(qū)別。,HCE支持的協(xié)議和訪問機(jī)制,支持APDU協(xié)議；可兼容現(xiàn)有的借貸記、電子現(xiàn)金、電子錢包卡,APP AID1,APP AID2,AID注冊表,每個(gè)APP有唯一的AID 根據(jù)AID路由到指定APP進(jìn)行數(shù)據(jù)處理,HCE的安全機(jī)制,APP,后臺,密鑰安全：由APP自定義密鑰安全,APP安全：Android沙箱（SandBox）確保APP運(yùn)行和數(shù)據(jù)安全。,通道安全：An

6、droid系統(tǒng)確保APP和NFC之間的APDU傳輸安全；確保APP和NFC之間數(shù)據(jù)傳輸?shù)奈ㄒ恍浴?APP和后臺安全：由APP和后臺自定義安全協(xié)議,后臺,HCE兩種認(rèn)證模式,APP,A：前端模式 優(yōu)點(diǎn)：快速交易 缺點(diǎn)：密鑰可能被泄漏 適用于：小額快速脫機(jī)交易,密鑰,APP,密鑰,B：云端模式 優(yōu)點(diǎn)：密鑰更安全 缺點(diǎn)：需要實(shí)時(shí)聯(lián)網(wǎng) 適用于：大額聯(lián)機(jī)交易,兩種認(rèn)證模式的比較,目錄,1,3,2,HCE云端支付技術(shù)方案,HCE業(yè)務(wù)模式,什么是HCE？,4,HCE前端支付技術(shù)方案,HCE是線上線下業(yè)務(wù)的連接點(diǎn),online,offline,線上發(fā)卡：APP業(yè)務(wù)入口 空中發(fā)卡 在線充值：形成以銀行卡賬戶為核

7、心的消費(fèi)模式。 數(shù)據(jù)分析、消費(fèi)引導(dǎo),線下刷卡：形成O2O消費(fèi)閉環(huán) 銀聯(lián)POS、自有POS、合作POS 手機(jī)當(dāng)POS用，直接刷銀行卡消費(fèi),HCE使得商業(yè)銀行可以發(fā)行“軟卡”，擺脫對實(shí)體硬件的依賴。這能夠?qū)⒃械木€下卡業(yè)務(wù)整合到線上，建立起實(shí)時(shí)可達(dá)的卡用戶交互通道，形成革命性的變革。 結(jié)合大數(shù)據(jù)精準(zhǔn)分析，將能夠進(jìn)一步打造智能會員分析體系。,HCE云端支付業(yè)務(wù)模型,APP AID1,APP AID2,POS密鑰,收單行/ 清結(jié)算網(wǎng)絡(luò),發(fā)卡行系統(tǒng),NFC手機(jī)終端,空中發(fā)卡,交易驗(yàn)證,交易請求,交易請求,交易驗(yàn)證,卡片驗(yàn)證/交易處理,HCE前端脫機(jī)支付業(yè)務(wù)模型,APP,POS密鑰,收單行/ 清結(jié)算網(wǎng)絡(luò),

8、發(fā)卡行系統(tǒng),NFC手機(jī)終端,空中發(fā)卡,空中發(fā)卡,清結(jié)算,日結(jié)/批上送,脫機(jī)卡片驗(yàn)證/脫機(jī)交易處理,目錄,1,3,2,HCE云端支付技術(shù)方案,HCE業(yè)務(wù)模式,什么是HCE？,4,HCE前端支付技術(shù)方案,HCE云端支付系統(tǒng)框架,銀行HCE-APP,銀行TSM-A,銀行 手機(jī)錢包 APP,銀行金融IC卡系統(tǒng),密鑰系統(tǒng),個(gè)人化系統(tǒng),數(shù)據(jù)準(zhǔn)備系統(tǒng),空中發(fā)卡,空中充值,SE-TSM對接,運(yùn)營商SE-TSM,運(yùn)營商 手機(jī)錢包 APP,云端支付平臺,卡密鑰托管,密鑰運(yùn)算,APP認(rèn)證鑒權(quán),空中發(fā)卡流程,APP AID1,發(fā)卡行系統(tǒng),NFC手機(jī)終端,2、發(fā)卡請求,1、發(fā)卡請求,4、返回結(jié)果,3、下發(fā)卡數(shù)據(jù),3、用

9、戶身份驗(yàn)證,發(fā)卡前，用戶需安裝APP應(yīng)用程序，并注冊登錄。 在登錄之后，用戶在APP上點(diǎn)擊申請新卡片。此時(shí)，APP將啟動空中發(fā)卡流程。 由云端支付平臺生成卡數(shù)據(jù)，并托管在后臺。,云端支付交易流程,APP AID1,POS密鑰,收單行/ 清結(jié)算網(wǎng)絡(luò),發(fā)卡行系統(tǒng),NFC手機(jī)終端,2、APDU驗(yàn)證請求,6、聯(lián)機(jī)處理,6、聯(lián)機(jī)處理,4、返回結(jié)果,1、應(yīng)用選擇/初始化/SDA,3、APP認(rèn)證鑒權(quán)/ APDU處理,5、返回結(jié)果,HCE-APP應(yīng)用認(rèn)證機(jī)制,APP,云端支付平臺,APP認(rèn)證鑒權(quán),APP私鑰,NFC手機(jī)終端,發(fā)卡行CA,應(yīng)用認(rèn)證/PIN驗(yàn)證/終端驗(yàn)證,數(shù)字證書簽發(fā)/驗(yàn)證,采用數(shù)字證書、用戶PI

10、N碼、終端驗(yàn)證的三重驗(yàn)證機(jī)制。 在登錄之后，用戶在APP上點(diǎn)擊申請新卡片。此時(shí)，APP將啟動空中發(fā)卡流程。,空中安全信道（SSL）,HCE-APP安全威脅與防守方案,攻擊目標(biāo),攻擊方法,防守方案,破解 反編譯，重新打包；,用戶仿冒 截屏 多機(jī)重復(fù)登錄,應(yīng)用仿冒 偽裝應(yīng)用 惡意分發(fā) 惡意復(fù)制,后臺攻擊 重放攻擊 非授權(quán)的遠(yuǎn)程接口調(diào)用,防破解 代碼簽名驗(yàn)證 混淆 NDK,強(qiáng)認(rèn)證 用戶身份證書綁定 數(shù)字簽名證書認(rèn)證 用戶密鑰保護(hù) 應(yīng)用、終端、用戶唯一性綁定,抵御后臺攻擊 SID防重放攻擊 ； 遠(yuǎn)程接口調(diào)用者應(yīng)用身份認(rèn)證；,抗仿冒 代碼簽名應(yīng)用認(rèn)證； 數(shù)字證書,HCE-APP,云端支付平臺,目錄,1,

11、3,2,HCE云端支付技術(shù)方案,HCE業(yè)務(wù)模式,什么是HCE？,4,HCE前端支付技術(shù)方案,HCE前端脫機(jī)支付安全需求,21,采用數(shù)字證書技術(shù)來解決卡密鑰數(shù)據(jù)存在的安全威脅，是目前最好的解決方案和途徑。 但是由于在手機(jī)上不能像在PC上采用U盾來存儲私鑰和進(jìn)行簽名運(yùn)算，存在以下關(guān)鍵技術(shù)問題需要解決：,對用戶在移動終端上的密鑰數(shù)據(jù)進(jìn)行安全保護(hù)，密鑰不能被導(dǎo)出、竊聽，確保用戶私鑰安全。,對用戶私鑰建立起訪問控制機(jī)制，確保手機(jī)客戶端經(jīng)過認(rèn)證和授權(quán)之后才能訪問私鑰，防止非法應(yīng)用對私鑰的非法訪問。,核心安全需求,APP,HCE前端支付密鑰安全機(jī)制,數(shù)據(jù)加密密鑰DEK,用戶私鑰PrivKey,IMEI,隨機(jī)

12、數(shù),用戶PIN,卡密鑰組,消費(fèi)密鑰,MAC密鑰,2、解密,2、解密,用戶公鑰PubKey,1、加密,1、加密,用戶私鑰（SM2）： 以非對稱密碼算法的私鑰作為信任基點(diǎn)。 采用多因子分散的方法進(jìn)行私鑰組裝運(yùn)算。不需要存儲私鑰。 DEK（3DES）： 采用對稱密鑰DEK作為工作密鑰。 DEK由用戶公鑰加密，私鑰解密。DEK加密后存儲在手機(jī)端。 卡密鑰（依應(yīng)用而定）： 卡密鑰由DEK進(jìn)行加密，加密后存儲在手機(jī)端。,用戶私鑰保護(hù)機(jī)制,密鑰算法：采用基于ECC的國產(chǎn)非對稱密碼算法SM2。SM2的私鑰可以在創(chuàng)建時(shí)指定。 密鑰分散：由多個(gè)互不相關(guān)的因子組裝形成私鑰。 設(shè)備信息：采用手機(jī)唯一的IMEI作為設(shè)備信息參與運(yùn)算。運(yùn)算時(shí)從系統(tǒng)接口中讀取，不需要存儲。 用戶信息：采用用戶設(shè)置的PIN碼作為用戶信息。運(yùn)算時(shí)由用戶輸入，不需要存儲。 隨機(jī)因子：采用軟件隨機(jī)數(shù)作為隨機(jī)因子。在生成密鑰時(shí)創(chuàng)建，保存在手機(jī)中。 密鑰因子相關(guān)性：密鑰因子之間無相關(guān)性。最大程度提升保密強(qiáng)度。 密鑰分段運(yùn)算：各段因子在進(jìn)行運(yùn)算時(shí)分別運(yùn)算，不需要組裝成完整私鑰再運(yùn)算。這是SM2算法的特性。 密鑰存儲與運(yùn)行數(shù)據(jù)安全：因?yàn)槭欠侄芜\(yùn)算，因此手機(jī)上永遠(yuǎn)不會存儲完整私鑰，在運(yùn)算過程中內(nèi)存數(shù)據(jù)中也不會出現(xiàn)私鑰臨時(shí)數(shù)據(jù)?？梢缘挚箖?nèi)存分析攻擊。,IMEI,隨機(jī)數(shù),用戶PIN,