□ 文/陳 喆 劉少軍 李 潔

非對稱密鑰體系在粵通卡空中充值中的應(yīng)用

□ 文/陳 喆 劉少軍 李 潔

根據(jù)交通運(yùn)輸部發(fā)布的《交通運(yùn)輸部關(guān)于開展全國高速公路電子不停車收費(fèi)聯(lián)網(wǎng)工作的通知》中關(guān)于探索網(wǎng)上充值等服務(wù)模式的要求，廣東于2015年率先推出了粵通卡空中充值系統(tǒng)，并創(chuàng)新性推出基于非對稱密鑰技術(shù)的認(rèn)證充值終端的認(rèn)證模式，基本解決了異地充值、充值網(wǎng)點(diǎn)有限等條件的限制，粵通卡用戶更好的體驗(yàn)到簡單、便捷的充值方式。

與傳統(tǒng)的充值方式相比，空中充值有效彌補(bǔ)客服網(wǎng)點(diǎn)等實(shí)體渠道的不足，為客戶提供多樣化的靈活、便捷充值服務(wù)?？罩谐渲档膬?yōu)點(diǎn)主要表現(xiàn)在服務(wù)理念的創(chuàng)新——將營業(yè)網(wǎng)點(diǎn)無限拉近到客戶身邊，減緩了營業(yè)網(wǎng)點(diǎn)的充值壓力；提高服務(wù)質(zhì)量——采用便利服務(wù)系統(tǒng)，不再受到時(shí)間和空間的限制。

數(shù)字證書介紹

非對稱密鑰加密也稱為公鑰加密，它使用公鑰/私鑰，構(gòu)成一對，私鑰用于加密數(shù)據(jù)，公鑰用于解密，其中公鑰可以提供給很多人，但私鑰是特定個(gè)人所獨(dú)有的。向用戶傳送公鑰使用的分發(fā)機(jī)制是數(shù)字證書，因此數(shù)字證書也稱公開密鑰證書，由CA系統(tǒng)簽發(fā)，在網(wǎng)絡(luò)通信中標(biāo)志通信各方身份信息的一系列數(shù)據(jù)。證書中最重要的信息是個(gè)體名字、個(gè)體的公鑰、機(jī)構(gòu)的簽名、算法和用途，目前最常用的證書格式X.509。

數(shù)字簽名是一種使用了公鑰加密領(lǐng)域的技術(shù)實(shí)現(xiàn)，用于鑒別數(shù)字信息的方法。一套數(shù)字簽名通常定義兩種互補(bǔ)的運(yùn)算，一個(gè)用于簽名，另一個(gè)用于驗(yàn)證。數(shù)字簽名主要的功能是：保證信息傳輸?shù)耐暾浴l(fā)送者的身份認(rèn)證、防止交易中的抵賴發(fā)生。

數(shù)字簽名過程

首先對要簽名的信息進(jìn)行摘要運(yùn)算（散列函數(shù)如MD5），然后將生成的摘要用私鑰進(jìn)行加密運(yùn)算（如RSA）

驗(yàn)簽過程

信息接收方獲得簽名者的數(shù)字證書，驗(yàn)證證書的有效性（有效期，頒發(fā)等），然后取出數(shù)字證書中的公鑰對簽名數(shù)據(jù)解密，獲得摘要，然后對信息原文進(jìn)行摘要運(yùn)算，如果得到的摘要相同，則說明驗(yàn)簽成功。

圖1：證書簽名及驗(yàn)簽過程

基于非對稱密鑰技術(shù)的粵通卡空中充值系統(tǒng)應(yīng)用

粵通卡“空中充值”是通過在電腦或手機(jī)上的簡單操作來實(shí)現(xiàn)對粵通卡的充值辦理?？罩谐渲抵饕修D(zhuǎn)賬和圈存兩個(gè)步驟：轉(zhuǎn)賬時(shí)，用戶可以直接通過第三方支付方式(支付寶、微信支付、網(wǎng)銀、迷你付等)進(jìn)行轉(zhuǎn)賬即可；圈存時(shí)，則需利用廣東聯(lián)合電子服務(wù)股份有限公司（以下簡稱“聯(lián)合電子”）自行發(fā)行的讀卡設(shè)備完成寫卡。

粵通卡空中充值業(yè)務(wù)的讀寫卡設(shè)備稱為充值終端設(shè)備，主要實(shí)現(xiàn)充值金額圈存到粵通卡中，包括聯(lián)合電子自發(fā)的設(shè)備與機(jī)構(gòu)接入方的設(shè)備，其中聯(lián)合電子自發(fā)的設(shè)備需要自行實(shí)現(xiàn)發(fā)行與認(rèn)證，設(shè)備中內(nèi)置SE模塊。

當(dāng)粵通卡客戶選擇聯(lián)合電子自發(fā)充值終端設(shè)備圈存時(shí)，可以通過手機(jī)APP與自發(fā)充值終端設(shè)備藍(lán)牙交互，實(shí)現(xiàn)粵通卡的充值。

圖2：自發(fā)充值終端設(shè)備的空中充值模式

自發(fā)充值終端設(shè)備與空中充值系統(tǒng)之間通過互聯(lián)網(wǎng)或?qū)＞€接入，數(shù)據(jù)傳輸建立在利用CA證書進(jìn)行雙向認(rèn)證的基礎(chǔ)之上。CA證書主要用途一方面用于服務(wù)器、終端雙向認(rèn)證，另一方面用于互聯(lián)網(wǎng)加密通訊，具體安全架構(gòu)體系統(tǒng)如下。

圖3：安全架構(gòu)體系

自發(fā)充值終端設(shè)備證書簽發(fā)流程

自發(fā)充值終端設(shè)備中簽發(fā)的數(shù)字證書完全符合ITUX.509 V3格式，兼容ITUX.509 V4標(biāo)準(zhǔn)。自發(fā)充值終端設(shè)備中的數(shù)字證書是通過與部中心連接的RA系統(tǒng)簽發(fā)生成，設(shè)備證書申請流程如下：

圖4：設(shè)備證書申請流程

自發(fā)充值終端設(shè)備安全認(rèn)證流程

在粵通卡圈存過程中，對于內(nèi)置數(shù)字證書的自發(fā)充值終端設(shè)備的雙向認(rèn)證是根據(jù)JR/T0025.3—2013《中國金融集成電路（IC）卡規(guī)范》第十六部分“IC卡互聯(lián)網(wǎng)終端規(guī)范”實(shí)現(xiàn)，空中后臺服務(wù)器與設(shè)備之間的安全通道，利用握手工作原理與處理中心建立端到端的邏輯安全通道。

圖5：握手協(xié)議消息序列圖

安全通道的建立協(xié)議由握手協(xié)議和記錄協(xié)議兩部分組成。其中握手協(xié)議用于完成充值終端與空充服務(wù)器的雙向身份認(rèn)證和會話密鑰的交互過程，記錄協(xié)議用于完成應(yīng)用數(shù)據(jù)的加密傳輸具體握手協(xié)議流程如下。

總結(jié)

粵通卡空中充值系統(tǒng)是落實(shí)交通部鼓勵(lì)探索網(wǎng)上充值等服務(wù)模式的戰(zhàn)略部署，創(chuàng)新性推出充值終端安全認(rèn)證模式，構(gòu)建了全國充值模式最全面、充值手段最豐富的線上充值系統(tǒng)，在全國同行業(yè)中處于領(lǐng)先位置。該系統(tǒng)為廣大粵通卡用戶提供更加快捷方便的充值服務(wù)，實(shí)現(xiàn)足不出戶，隨時(shí)隨地進(jìn)行充值，使出行更加智能化、便捷化、人性化。此外，粵通卡空中充值已有成熟的加密和防篡改安全保障機(jī)制，可以最大程度保障信息的機(jī)密性、完整性和確證性，防止信息被篡改、偽造和假冒，有效保障用戶的資金安全。

作者單位：陳喆：廣東聯(lián)合電子服務(wù)股份有限公司；劉少軍、李潔：廣州華工信息軟件有限公司