[發明專利]一種SIM芯片安全可信認證系統及其認證方法

在審

• 申請號: 201811333116.1
• 申請日: 2018-11-09
• 公開（公告）號: CN111181724A
• 公開（公告）日: 2020-05-19
• 發明（設計）人: 許秋林;蘇琳琳;劉嘉維;王琨;黃金煌;楊會峰
• 申請（專利權）人: 紫光同芯微電子有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種SIM芯片安全可信認證系統，其特征在于，所述系統包括微處理器、安全芯片、安全認證電路、數字證書電路、算法電路和SIM芯片，其中，微處理器連接安全芯片、安全認證電路、數字證書電路、算法電路和SIM芯片，SIM芯片依次相互連接安全芯片、安全認證電路、數字證書電路和算法電路，安全芯片相互連接算法電路，算法電路相互連接數字證書電路，數字證書電路相互連接SIM芯片和微處理器，SIM芯片連接外部的終端設備；

微處理器包括授權簽名私鑰和授權認證公鑰；

安全芯片包括相互連接的安全存儲單元、安全自檢模塊和安全驗證固件模塊，實現安全芯片對SIM芯片的安全自檢與安全驗證；

安全認證電路包括相互連接的安全認證存儲單元和安全認證管理器，實現SIM芯片對終端設備的安全可信認證；

算法電路包括哈希算法模塊、數字簽名算法模塊和數字驗簽算法模塊，哈希算法模塊包括哈希算法，數字簽名算法模塊包括數字簽名算法，數字驗簽算法模塊包括數字驗簽算法；

SIM芯片存儲數據包括SIM芯片標識、終端設備公鑰、終端設備私鑰和終端設備類型聲明，終端設備公鑰、終端設備私鑰和終端設備類型聲明來自于外部的終端設備，SIM芯片標識來自于SIM芯片本身，SIM芯片實現與終端設備的通信連接與斷開；

微處理器向安全芯片和安全認證電路提供授權認證公鑰，并分別存儲固化到安全芯片的安全存儲單元和安全認證電路的安全認證存儲單元中實現授權認證，并通過數字證書電路和算法電路對SIM芯片的固件全部或部分數據進行哈希處理，實現生成SIM芯片固件數字摘要及其數字簽名，并將SIM芯片中的SIM芯片標識、終端設備類型聲明和終端設備公鑰，以及SIM芯片固件數字摘要及其數字簽名信息打包生成與SIM芯片相對應的SIM芯片設備證書體，并對待簽的SIM芯片設備證書體進行數字簽名，最終生成終端設備證書，實現終端設備證書簽發，同時，安全認證電路中的安全認證管理器與安全芯片中的安全驗證固件模塊進行會話通訊，并通過對SIM芯片設備證書體中的SIM芯片固件數字摘要進行雙向安全可信認證管理，實現SIM芯片與終端設備的通信連接與斷開，終端設備與SIM芯片建立通信連接后，安全認證電路將執行安全芯片中的安全驗證固件模塊，實現終端設備與SIM芯片的通信連接與斷開。

2.一種SIM芯片安全可信認證系統的認證方法，基于權利要求1的系統，其特征在于，所述工作方法的具體步驟如下：

第一步驟：系統授權階段；首先，微處理器為安全芯片提供授權認證公鑰，并存儲固化到安全芯片的安全存儲單元中；同時，微處理器為安全認證電路提供授權認證公鑰，并存儲固化到安全認證電路的安全認證存儲單元中；

第二步驟：終端設備證書生成、簽發與存儲固化階段；數字證書電路使用算法電路中的哈希算法對SIM芯片的固件全部或部分數據進行哈希處理，生成SIM芯片固件數字摘要一，并使用SIM芯片中的終端設備私鑰和算法電路中的數字簽名算法生成SIM芯片固件數字摘要一的數字簽名一，并將SIM芯片中的SIM芯片標識、終端設備類型聲明和終端設備公鑰，以及SIM芯片固件數字摘要一和SIM芯片固件數字摘要一的數字簽名一信息打包生成與SIM芯片對應的SIM芯片設備證書體，SIM芯片設備證書體被提供給微處理器，微處理器使用SIM芯片設備證書體中的終端設備公鑰和算法電路中的數字驗簽算法驗證SIM芯片設備證書體中的SIM芯片固件數字摘要一的數字簽名一，確認SIM芯片固件數字摘要一的合法性和完整性；若通過數字簽名一驗證，微處理器使用算法電路中的哈希算法對SIM芯片固件全部或部分數據進行哈希處理，生成SIM芯片固件數字摘要二，將該SIM芯片固件數字摘要二與SIM芯片設備證書體中的SIM芯片固件數字摘要一進行比對，若數據一致，則使用授權簽名私鑰和算法電路中的數字簽名算法生成SIM芯片設備證書體的數字簽名二，并將SIM芯片設備證書體和該數字簽名二打包生成終端設備證書，終端設備證書將被存儲固化在安全芯片的安全存儲單元中；

第三步驟：SIM芯片安全自檢階段；SIM芯片連接終端設備，實現終端設備上電后，SIM芯片開始執行安全芯片中的安全自檢模塊，安全自檢模塊使用安全存儲單元中的授權認證公鑰和算法電路中的數字驗簽算法驗證安全存儲單元中終端設備證書的數字簽名二，確認終端設備證書的合法性和完整性；若未通過數字簽名二驗證，SIM芯片將被阻止與終端設備進行通信連接；安全自檢模塊使用終端設備證書中的終端設備公鑰和算法電路中的數字驗簽算法驗證終端設備證書中的SIM芯片固件數字摘要二的數字簽名一，確認SIM芯片固件數字摘要二的合法性和完整性；若未通過數字簽名一驗證，終端設備將被阻止與SIM芯片進行通信連接；安全自檢模塊使用算法電路中的哈希算法對SIM芯片固件全部或部分數據進行哈希處理，得到SIM芯片固件數字摘要三，并將該SIM芯片固件數字摘要三與終端設備證書中的SIM芯片固件數字摘要二進行比對，若數據一致，確認SIM芯片固件數據未被篡改，終端設備與SIM芯片建立通信連接；若數據不一致，終端設備將被阻止與SIM芯片進行通信連接；終端設備與SIM芯片建立通信連接后，安全芯片將執行安全芯片中的安全驗證固件模塊，配合終端設備對安全芯片的可信認證；

第四步驟：SIM芯片安全可信認證階段；終端設備檢測到SIM芯片后，建立通信連接，安全認證電路中的安全認證管理器與安全芯片中的安全驗證固件模塊進行會話通訊，安全認證電路從安全芯片中的安全存儲單元獲取終端設備證書，并調用安全認證存儲單元所存儲的授權認證公鑰和算法電路中的數字驗簽算法驗證終端設備證書的數字簽名二，確認終端設備證書的合法性和完整性；若未通過數字簽名二驗證，直接斷開終端設備與SIM芯片的通信連接；安全認證電路的安全認證管理器開始對終端設備的枚舉過程，從SIM芯片中獲取終端設備類型聲明，將該終端設備類型聲明與終端設備證書中的終端設備類型聲明進行比對；若終端設備類型聲明一致，則繼續終端設備的正常枚舉過程；若終端設備類型聲明不一致，直接斷開終端設備與SIM芯片的通信連接。