[00128141]基于SIM卡、免口令的一点安全认证系统及规模应用

为了贯彻中共中央总书记习近平同志“保障网络安全,促进有序发展”的指示精神,落实全国人大常委会“关于加强网络信息保护的决定”法案,符合国务院指导的“互联网+”行动计划中保障产业信息安全的需求,本项目致力于研发基于SIM卡、免口令的一点安全认证系统,利用运营商的资源禀赋（手机号码实名且全球互通,SIM卡EAL4+安全特性,实时寻址用户等）打造新型的安全、一点认证基础设施,为公众及行业用户提供便捷、安全认证服务,缓解弱口令、“脱库”、“撞库”问题对用户名+密码体系带来的负面影响,主动应对网络空间中国家、企业机密被窃,用户隐私泄露等重大挑战,为我国互联网+战略提供技术支撑和安全保障。 本项目的创新性有五个方面：一是打造国际一流、国内首个以SIM卡为核心的身份认证系统,为公众及行业用户提供更加安全、便捷、统一的认证方式,减少弱口令对互联网、电信、金融、政务、工业、能源等行业带来的入侵风险;二是利用寻址SIM卡过程代替口令比对,以更可信的方式验证用户真实身份;三是在GSMA牵头制定全球互通认证等5项规范,在中国通信标准化协会牵头制定9项认证类通信行业标准,使得用户具备使用一个手机号码登录全球任何符合该类标准的系统的能力;四是采用卡应用+认证平台+API开放的架构,全面兼容2/3/4G终端,支持Java及Native卡,用户使用认证能力无需更换卡与终端。 与用户名+口令传统认证技术及BAT、谷歌的同类认证技术相比,本项目具有如下优势：一是手机号码作为账号等同于实名,满足国家安全要求;二是通用可扩展,基于SIM卡的认证系统可以应用于任何认证授权的场景,手机号码作为账号具备全球互通能力;三是安全、便捷,用户无需记忆口令,业务系统无需保存口令,彻底消除了弱口令、脱撞库等问题;四是可信,SIM卡符合EAL4+标准,存储及传输的信息不可被窃取,运营商寻址SIM卡的过程即验证了用户的真实身份;五是向下兼容,用户无需前往营业厅办理换卡、换终端业务,支持2/3/4G终端,支持Java与Native卡,运营商后台无感知推送SIM卡应用。 本项目具有较好社会效益,已经在四个行业得到应用：一是互联网领域,为沃邮箱提供安全登录服务,使用户享受安全、快捷的统一认证体验;应用于沃通行证业务中,用户规模为200万,以单个用户信息被盗损失50元/年（联通公司近年在安全防护方面投入约合每个移动用户50元）计算,共计减少损失约2亿元;二是医疗领域,已为移动互联网医疗企业春雨医生云验星产品优一尿液检查App部署安全认证服务;三是金融领域,已与FIDO联盟合作实现基于生物识别的一点安全支付技术,并在中国通信标准化协会 TC11金融子组牵头两项移动互联网金融安全标准;四是电信领域,为中国联通公司网络建设、产品创新、信息安全等部多个业务平台提供安全登录服务。 本项目于2016年2月的巴塞罗那世界移动通信大会（MWC）上获得GSMA Vision 2020最佳创始奖,这是我国电信行业首次获此殊荣;本项目在2016年4月得到北京电视台特写报道。 本项目科技成果丰富,已经受理美国PCT专利2项,授权国内专利14项,受理国内专利84项,授权软件著作权20项;出版学术专著7部,其中3部输出到台湾;发表学术论文40篇,其中EI以上检索12篇,发布系统级测试用例100余个;负责ITU国际规范4项、已发布两项,牵头GSMA国际规范6项、已发布4项,撰写国际文稿100余篇,牵头国家标准9项、行业标准32项。