CN116528230A - 验证码处理方法、移动终端及可信服务系统 - Google Patents

Abstract

本发明公开了一种验证码处理方法、移动终端及可信服务系统。根据本发明实施例的验证码处理方法包括移动终端接收验证码平台通过运营商短信平台向移动终端反馈的验证码，并将验证码存储到移动终端的安全容器中；在移动终端的可信执行环境中，通过调用其中的可信应用访问安全容器中的验证码。本发明公开的方案在移动终端的可信执行环境中调用可信应用处理验证码，可信应用调用安全容器访问验证码，提升了验证码处理过程中的安全性；在可信执行环境中调用可信应用和可信用户界面处理并安全显示验证码，在所述移动终端的安全容器中存储敏感数据，在验证码平台和移动终端之间进行双向认证，数据传输加密和校验，进一步提升了验证码处理过程中的安全性。

Description

验证码处理方法、移动终端及可信服务系统

技术领域

本发明涉及移动终端的安全技术领域，特别涉及一种验证码处理方法、移动终端及可信服务系统。

背景技术

随着移动终端的普及及其功能的丰富，移动终端的开放性越来越高，相对来说，移动终端中信息的安全问题也越来越受到重视，比如说，目前往移动终端上发送验证码验证用户权限的方式，已被广泛用于登录和移动支付/转账等场景中。

然而在现有技术中，在用户输入(短信)验证码的过程中，短信验证码会以明文的方式暴露在移动终端应用中，存在被窃取的风险。此外，在短信验证码业务过程中，验证码平台端和移动设备端缺乏相互身份认证，存在被第三方假冒的风险。在验证码业务传输过程中，没有加密传输和数据完整性校验等措施，存在验证码被截获的风险。

因此，希望能有一种新的验证码处理方法、移动终端及可信服务系统，能够克服上述问题。

发明内容

鉴于上述问题，本发明的目的在于提供一种验证码处理方法、移动终端及可信服务系统，特别是一种基于TEE的手机短信验证码安全保护方法，从而提升验证码处理过程中的安全性。

根据本发明的一方面，提供一种验证码处理方法，包括：

移动终端接收验证码平台通过运营商短信平台向所述移动终端反馈的验证码，并将所述验证码存储到所述移动终端的安全容器中；

在所述移动终端的可信执行环境中，通过调用其中的可信应用访问所述安全容器中的验证码。

可选地，所述验证码处理方法还包括：

所述验证码平台生成所述验证码，并将所述验证码发送给所述运营商短信平台；

所述运营商短信平台生成包括所述验证码的验证码短信；

所述移动终端接收所述运营商短信平台向所述移动终端反馈的所述验证码短信，并将所述验证码短信存储到所述安全容器中。

可选地，所述验证码处理方法还包括：

所述移动终端向所述验证码平台发送验证码请求；

通过所述移动终端的调制解调器接收所述运营商短信平台反馈的验证码短信，所述验证码短信的验证码数据由所述验证码平台生成，所述调制解调器将包括所述验证码的所述验证码短信存储到所述移动终端的安全容器中；

其中，在所述安全容器包括SIM卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问通用集成电路卡的插件服务和调制解调器驱动，并读写所述SIM卡；

在所述安全容器包括eSE贴片卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问eSE的插件服务和eSE驱动，并读写所述eSE贴片卡；

在所述安全容器包括可信执行环境软SIM卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问所述可信执行环境软SIM卡的插件服务和软SIM卡模拟驱动，并读写所述可信执行环境软SIM卡。

可选地，所述验证码处理方法还包括：

在所述安全容器中存储敏感数据，

其中，所述安全容器包括可信执行环境软SIM卡、eSE贴片卡、eSIM模块和SIM卡中的至少一种；

所述敏感数据包括所述验证码和安全密钥中的至少一种。

可选地，所述验证码处理方法还包括：

在所述移动终端的可信执行环境中，调用相应的可信应用以申请所述验证码和/或接收所述验证码和/或验证所述验证码和/或回复所述验证码。

可选地，所述验证码处理方法还包括：

所述可信应用根据所述移动终端的唯一标识生成唯一的密钥；以及

所述移动终端同验证码平台进行密钥协商，各自生成协商后的根密钥，

其中，所述唯一的密钥用于用户注册时所述移动终端和所述验证码平台间的安全认证和密钥协商；

所述协商后的根密钥用于用户注册时生成所述移动终端和所述验证码平台间的唯一认证、加密和校验密钥；

所述唯一认证、加密和校验密钥用于所述验证码的申请、接收、验证过程中所述移动终端和所述验证码平台间传输信息的认证、加密和校验。

可选地，所述可信应用根据所述移动终端的唯一标识生成唯一的密钥包括：

对所述移动终端的唯一标识和本地随机数进行异或运算得到第一数据；

对所述第一数据进行哈希运算，得到第二数据；

所述第二数据异或复杂数，得到第三数据；所述第三数据达到要求的对称密钥长度或非对称私钥长度；以及

根据所述第三数据生成唯一安全认证和协商密钥。

可选地，用户注册时生成所述移动终端和所述验证码平台间的唯一认证、加密和校验密钥包括：

对所述移动终端同验证码平台进行密钥协商后生成的根密钥作为分散密钥进行分散得到第一数据；

对所述第一数据，根据不同的密钥类型进行密钥处理，得到唯一认证、加密和校验密钥。

可选地，所述验证码处理方法还包括：

所述移动终端向所述验证码平台发送验证码请求，所述验证码平台生成所述验证码，并向所述运营商短信平台申请生成验证码短信，所述运营商短信平台向所述移动终端下发所述验证码短信；

在所述移动终端接收所述验证码后，所述移动终端通过可信用户界面获取输入的验证码；

所述可信应用获取所述输入的验证码；所述输入的验证码在通过安全容器的业务加密密钥加密和/或业务校验密钥签名后，得到验证码密文；所述验证码密文发送至所述移动终端的客户端应用；

所述客户端应用将所述验证码密文发送至所述验证码平台，所述验证码平台通过相应的业务校验密钥和/或相应的业务解密密钥进行校验和/或解密，得到验证码明文；

所述验证码平台对比所述验证码明文和所述验证码平台申请验证码时生成的验证码是否相同，并将对比结果发送至所述客户端应用。

可选地，所述验证码处理方法还包括：

所述移动终端通过可信用户界面申请短信验证码；

所述可信执行环境的客户端应用监听服务调用可信应用接口，获取申请短信验证码指令的反馈；

所述移动终端的客户端应用向所述验证码平台发送身份认证请求；所述验证码平台生成认证随机数，并将所述认证随机数发送至所述移动终端的客户端应用和可信应用；所述可信应用通过安全容器业务认证密钥加密所述认证随机数后得到加密随机数，并将所述加密随机数发送至所述验证码平台；所述验证码平台校验所述加密随机数以验证所述移动终端的身份，并将验证结果发送至所述客户端应用；

所述可信应用通过所述安全容器生成终端认证随机数，并将所述终端认证随机数发送至所述验证码平台；所述验证码平台通过业务认证密钥加密所述终端认证随机数，得到加密终端认证随机数，并将所述加密终端认证随机数发送至所述可信应用；

所述可信应用通过所述安全容器校验所述加密终端认证随机数以验证所述验证码平台的身份。

可选地，所述验证码处理方法还包括：

所述移动终端通过可信用户界面获取输入的手机号后，所述客户端应用以所述手机号为参数，向所述验证码平台发送验证码请求；

所述客户端应用调用所述可信应用，所述可信应用通过安全容器业务加密密钥加密和/或通过业务校验密钥签名所述验证码请求的报文，得到传输报文密文，并将所述传输报文密文发送至所述验证码平台；

所述验证码平台校验和/或解密所述传输报文密文后，生成所述短信验证码数据；

所述验证码平台加密和/或签名所述验证码数据后，生成验证码密文，并将所述验证码密文发送给所述运营商短信平台生成所述验证码短信，由所述运营商短信平台发送所述验证码短信至所述手机号对应的移动终端。

可选地，所述验证码处理方法还包括：

客户端应用调用可信应用接口，获取所述验证码；

所述移动终端的安全容器校验并解密所述验证码，并重新打包验证码短信；

所述可信应用接收所述安全容器的所述验证码短信；以及

所述可信应用通过可信用户界面显示所述验证码短信，所述可信用户界面提供验证码输入窗口。

根据本发明的另一方面，提供一种移动终端，包括：

接收模块，用于接收验证码平台通过运营商短信平台反馈的验证码；以及

安全容器，用于存储所述验证码，

其中，在所述移动终端的可信执行环境中，通过其中的可信应用访问所述安全容器中的验证码。

根据本发明的再一方面，提供一种可信服务系统，包括：

验证码平台；以及

如上所述的移动终端，

其中，所述移动终端向所述验证码平台发送验证码请求，所述验证码平台通过所述运营商短信平台向所述移动终端发送所述验证码。

根据本发明实施例的验证码处理方法、移动终端及可信服务系统，在移动终端的可信执行环境中调用可信应用处理验证码，提升了验证码处理过程中的安全性。

进一步地，验证码处理过程中涉及到的敏感数据在安全容器中存储，保证了敏感数据的安全性，提升了验证码处理过程中敏感数据访问的安全性；可信执行环境与安全容器的结合，使验证码处理过程达到了TEE+SE(Secure Element，安全单元)的金融级安全保护等级。

进一步地，验证码的显示和输入在可信执行环境(TEE)的可信用户界面(TUI)中进行，保证了验证码在显示和输入过程中，不被第三方非法程序截获，提升了验证码处理过程中的安全性。

进一步地，在验证码业务交互处理的验证码平台和移动终端双方，进行了双向身份认证，避免了验证码处理业务被第三方非法程序假冒，提升了验证码处理过程中的安全性。

进一步地，在验证码业务交互处理的数据传输过程中，进行了数据私密性(加密)传输和/或数据完整性校验，保证了数据传输的安全性，提升了验证码处理过程中的安全性。

进一步地，本申请的技术方案充分利用了可信执行环境(TEE)和密码学算法安全能力，有效保护了验证码平台和移动终端双方身份的合法性，以及验证码申请、下发、验证等过程数据的私密性和完整性，有效保护了用户/企业信息隐私权和用户/企业财产不受损失。

附图说明

通过以下参照附图对本发明实施例的描述，本发明的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示出了根据本发明第一实施例的验证码处理方法的方法流程图。

图2示出了根据本发明第二实施例的移动终端的架构示意图。

图3示出了根据本发明第三实施例的验证码可信显示界面。

图4示出了根据本发明第四实施例的验证码密钥协商的时序图。

图5示出了根据本发明第五实施例的验证码申请和下发的时序图。

图6示出了根据本发明第六实施例的验证码处理方法的时序图。

图7示出了根据本发明第七实施例的验证码验证方法的时序图。

具体实施方式

以下将参照附图更详细地描述本发明的各种实施例。在各个附图中，相同的元件采用相同或类似的附图标记来表示。为了清楚起见，附图中的各个部分没有按比例绘制。此外，在图中可能未示出某些公知的部分。

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。在下文中描述了本发明的许多特定的细节，例如部件的结构、材料、尺寸、处理工艺和技术，以便更清楚地理解本发明。但正如本领域的技术人员能够理解的那样，可以不按照这些特定的细节来实现本发明。

应当理解，在描述部件的结构时，当将一层、一个区域称为位于另一层、另一个区域“上面”或“上方”时，可以指直接位于另一层、另一个区域上面，或者在其与另一层、另一个区域之间还包含其它的层或区域。并且，如果将部件翻转，该一层、一个区域将位于另一层、另一个区域“下面”或“下方”。

图1示出了根据本发明第一实施例的验证码处理方法的方法流程图。如图1所示，根据本发明第一实施例的验证码处理方法包括以下步骤：

在步骤S101中，移动终端接收验证码平台通过运营商短信平台向所述移动终端反馈的验证码，并将所述验证码存储到所述移动终端的安全容器中；

具体地，验证码平台生成验证码，并发送给运营商短信平台，运营商短信平台生成短信(包括验证码的验证码短信)；移动终端调制解调器(modem)接收运营商短信平台向移动终端反馈的验证码短信，并将验证码短信及验证码存储到移动终端的安全容器中；

验证码平台例如为第三方(阿里云短信、腾讯云短信、华为云短信、部分短信聚合平台等)验证码业务服务端。运营商短信平台为传统的移动、联通、电信、沃达丰等运营商短信服务平台。验证码例如为短信验证码、消息验证码(Message Authentication Codes，MAC)等。

移动终端接收运营商短信平台向该移动终端反馈的验证码短信，并在接收到验证码短信后，将该短信及验证码存储至安全容器中。移动终端例如为智能手机、智能手表等带有modem通讯功能的终端设备。

可选地，根据本发明实施例的验证码处理方法还包括，调用该移动终端中的客户端应用，客户端应用调用可信应用，可信应用调用安全容器加密和签名后，客户端应用获取验证码申请密文以向验证码平台申请验证码(发送验证码请求)。

可选地，验证码平台生成验证码，并将验证码加密和签名后，发送给运营商短信平台生成短信，运营商短信平台下发验证码密文短信，移动终端中modem接收运营商短信平台反馈的验证码密文短信。

在步骤S102中，在所述移动终端的可信执行环境中，通过调用其中的可信应用访问所述安全容器中的验证码。

在移动终端的可信执行环境(Trusted Execution Environment，TEE)中，通过调用其中的可信应用(Trusted Application，TA)访问安全容器中的验证码。可信应用访问验证码后，对验证码的处理例如包括通过可信应用和/或可信用户界面(Trusted UserInterface，TUI)完成验证码的显示、输入、验证和结果回复等。例如在移动终端的可信执行环境中，调用相应的可信应用和/或可信应用界面(TUI)以验证验证码和/或回复验证码。

图2示出了根据本发明第二实施例的移动终端的架构示意图。如图2所示，在本发明的第二实施例中，基于TEE系统的短信验证码安全保护架构例如为系统级芯片/片上系统(System on Chip，SoC)。

SoC是应用芯片(Application Processor，AP)和基带芯片(Baseband Processor，BP)的集成，AP是运行在SoC里的一种应用芯片组，REE(Rich Execution Environment，富执行环境)和TEE是运行在AP上的系统。

调制解调器(modem)，为BP基带芯片组，用于短信的发送和收取。

客户端应用程序(Client Application，CA)是运行在REE系统上的应用，可信应用是运行在TEE系统上的高安全应用，CA可以调用TA来保护短信验证码的申请、下发、验证等过程的安全。可选地，可以通过TEE的TUI来保护短信验证码下发到本地后的安全显示，以及短信验证阶段的安全输入。

可选地，根据本发明实施例的验证码处理方法还包括：

移动终端向验证码平台发送验证码申请请求；验证码平台在接收到验证码申请请求后生成验证码，并发送给运营商短信平台生成短信，运营商短信平台向该移动终端发送(反馈)验证码短信。

通过移动终端的调制解调器(modem)接收运营商短信平台向移动终端反馈的验证码短信，调制解调器将接收到的短信及验证码存储到移动终端的安全容器中。可选地，在安全容器中存储敏感数据。安全容器包括可信执行环境软SIM、eSIM贴片卡和SIM卡等中的至少一种。敏感数据包括验证码和安全密钥等中的至少一种。

具体地，安全容器可以包括TEE软SIM、eSE(Secure Element，安全单元)方式的eSIM(Embedded Subscriber Identity Module，嵌入式用户身份识别卡)贴片卡、SIM卡三种实现方式，通过安全容器可以存储短信数据和本发明涉及的安全密钥。调制解调器在收到短信数据后，通过7816来访问SIM卡或eSIM贴片卡，通过模拟的7816来访问TA里面的软SIM应用，将短信数据存储到安全容器中。在安全容器为SIM卡情况下，使用TEE系统的TA，TA访问TEE SE API(Application Programming Interface，应用程序接口)，TEE SE API访问UICC(Universal Integrated Circuit Card，通用集成电路卡)的插件服务和调制解调器驱动，按此调用过程来读写SIM卡。在安全容器为eSIM(eSE)贴片卡情况下，使用TEE系统的TA，TA访问TEE SE API，TEE SE API访问eSE的插件服务和eSE驱动，按此调用过程来读写eSIM贴片(eSE芯片)卡。在安全容器为TEE软SIM情况下，使用TEE系统的TA，TA访问TEE SEAPI，TEE SE API访问(TEE)软SIM的插件服务和软SIM模拟驱动，按此调用过程来读写软SIM应用(TEE软SIM)。

图3示出了根据本发明第三实施例的验证码显示界面。具体地，图3示出了本申请第三实施例的基于TEE系统的手机短信验证码TUI结构。TUI是运行于TEE系统的一种高安全性可信用户界面，配合TA使用，可以更加安全的保护短信验证码的输入和显示。在TA通过调制解调器读取短信验证码后，保护的是短信验证码的安全读取，在通过TUI的TA自动和/或手动把短信验证码填入到TUI界面，保护的是短信验证码的安全输入。可选地，TUI验证码输入，可以支持4个数字的验证码输入，也可以支持6个数字的验证码输入。验证码输入后，可以在TUI的TA中发起验证。

图4示出了根据本发明第四实施例的验证码密钥协商的时序图。如图4所示，在本申请的第四实施例中，基于TEE系统的短信验证码密钥协商过程在短信验证码运营服务端(验证码平台)、富执行环境中的客户端应用(CA in REE)和可信执行环境(TA in TEE)的可信应用间进行。

首先，对密钥协商过程中涉及到的名词进行解释。

DUID：移动终端侧唯一标识，包含但不限于IMEI(International MobileEquipment Identity，国际移动设备识别码)、设备序列号或自定义唯一标识号等，DUID可用于生成端侧的认证和密钥协商的公私钥对。

Rt：移动终端安全容器生成，用于认证和密钥协商时移动端随机数。

Rs：验证码平台生成，用于认证和密钥协商时平台端随机数。

Pt：移动终端安全容器通过DUID生成终端唯一密钥(包括但不限于对称密钥，CA证书或公钥)，用于安全认证和密钥协商。

Ps：验证码平台生成平台密钥(包括但不限于对称密钥，CA证书或公钥)，用于安全认证和密钥协商。

RootK：在完成平台与端侧的认证和密钥协商后，通过密钥协商算法，协商出的平台和端侧的根密钥。

Taut：移动终端安全容器和验证码平台，通过RootK和相同的密钥分散算法，生成的业务认证密钥，用于验证码业务交互过程中，平台和端侧的双向握手认证，用于确认平台和端侧双方身份的合法性。

Tenc：移动终端安全容器和验证码平台，通过RootK和相同的密钥分散算法，生成的业务加密密钥，用于验证码业务交互过程中，对传输的验证码交互数据和验证码本身进行加密，用于保护传输业务数据的私密性。

Tdek：移动终端安全容器和验证码平台，通过RootK和相同的密钥分散算法，生成的业务签名验签密钥，用于验证码业务交互过程中，对传输的验证码交互数据和验证码本身进行签名，用于保护传输业务数据的完整性。

在本申请可选的验证码处理方法中，可信应用根据移动终端的唯一标识(DUID)生成唯一的密钥；移动终端同验证码平台进行密钥协商，各自生成协商后的根密钥。其中，唯一的密钥用于用户注册时移动终端和验证码平台间的安全认证和密钥协商。协商后的根密钥用于用户注册时生成移动终端和验证码平台间的唯一认证、加密和校验密钥。唯一认证、加密和校验密钥用于验证码申请、接收、验证过程中移动终端和验证码平台间传输信息的认证、加密和校验。可选地，用户注册时生成移动终端和验证码平台间的唯一认证、加密和校验密钥包括：对移动终端同验证码平台进行密钥协商后生成的根密钥作为分散密钥进行分散得到第一数据；以及对第一数据，根据不同的密钥类型进行密钥处理，得到唯一认证、加密和校验密钥。在该实施例中，根密钥通过分散算法得到唯一认证、加密和校验密钥的分算法算法过程，保证了认证、加密和校验密钥的随机性和唯一性，增加了认证、加密和校验密钥被暴力破解的难度，从而验证码处理过程中的安全性。

具体地讲，用户在进行账户注册时，移动终端TA通过安全容器的DUID生成自己唯一的密钥Pt及Rt，并采用SSL2.0及以上协议(包括但不限于SSL2.0/SSL3.0/TLS1.0/TLS1.1/TLS1.2/TLS1.3/GMTLS1.1)，同验证码平台进行密钥协商，生成各自协商后的根密钥RootK。

验证码平台同移动终端安全容器密钥协商的算法，不包括不含身份认证的算法DH-ANON和ECDH-ANON，可以包括的算法列表如下：

在一个具体的实施例中，验证码平台同移动终端CA进行密钥协商的流程如下：

在准备阶段，验证码平台部署完成后，可以在验证码平台(短信验证码运营服务端)预先生成平台侧密钥Ps。

协商过程中，在采用协商算法为非对称密钥情况下，移动终端预先生成平台侧公私钥对，私钥在加密机保存。根据协商算法类型的不同，Ps可支持RSA/DSA/SM2/SM9/ECDSA等非对称算法。可选地，可以直接将生成的公钥作为Ps，也可以将生成的公钥发给CA机构签发后生成公钥证书作为Ps。

协商过程中，在采用协商算法为PSK和SRP对称密钥协商算法情况下，可以将移动终端唯一标识DUID，事先由集成了本申请描述的验证码安全业务TA功能的服务商导入到验证码平台，验证码平台根据和移动终端TA相同的算法生成唯一Ps。

在用户注册阶段，用户通过移动终端CA的UI界面进行用户账号注册，移动终端CA调用TA接口，TA通过安全容器获取终端唯一标识DUID，生成唯一密钥Pt和终端随机数Rt。

移动终端CA向TA，TA通过安全容器获取终端唯一标识DUID，并以DUID作为参数，向验证码平台请求进行身份认证和密钥协商。验证码平台收到请求后，生成平台随机数Rs，同移动终端CA进行身份认证和密钥协商，协商支持的算法可参照上文的列表。

验证码平台同移动终端CA完成身份认证和密钥协商后，在验证码平台和移动终端安全容器中生成根密钥RootK。

可选地，在不支持前向保密算法的情况下，可以在注册时，同时生成永久密钥Taut，Tenc，Tdek；在支持前向保密算法的情况下，只生成RootK，密钥Taut，Tenc，Tdek在后续的验证码业务中临时生成，业务结束后删除。

可选地，在采用PSK和SRP对称协商算法情况下，RootK则和Ps和Pt相等，参与计算Ps和Pt的随机数也相等，协商的是DUID，通过密钥协商时平台上送的DUID查询平台准备阶段导入的DUID是否匹配并存在。

验证码平台向移动终端CA返回RootK等密钥协商生成结果，移动终端TA向CA返回安全容器的RootK等密钥协商生成结果，至此注册阶段的认证协商过程完成。

在本发明的一个可选实施例中，可信应用根据移动终端的唯一标识生成唯一的密钥包括，对移动终端的唯一标识和本地随机数进行异或运算得到第一数据；对第一数据进行哈希运算，得到第二数据；第二数据异或复杂数，得到第三数据；第三数据达到要求的对称密钥长度或非对称私钥长度；根据第三数据生成唯一安全认证和协商密钥。

具体地，验证码平台或移动终端TA通过安全容器的DUID，生成自己唯一密钥Px，所采用的算法如下：

步骤一：先通过DUID(移动终端的唯一标识)与本地随机数(R)进行异或得到第一数据(X)。

步骤二：使用X进行HASH算法(包括但不限于SHA-1，SHA-224，SHA384，SHA512，MD5等)得到第二数据(结果Y)。

步骤三：根据结果Y异或复杂数(F)(可以采用自定义的类似于A5A5的固定的复杂数值)，得到第三数据(结果Z)，使其达到要求的对称密钥长度或非对称私钥长度。

步骤四：根据异后的结果Z，分类处理(根据第三数据生成对应的唯一安全认证和协商密钥Px)。例如在采用协商算法为非对称密钥情况下，Z既为非对称私钥，可以通过私钥Z，采用各自私钥生成公钥的算法接口生成公钥Px；在采用PSK密钥协商算法情况下，协商的密钥为对称密钥，既是唯一密钥Px；在采用SRP密钥协商算法情况下，可以取结果Z的前2个字节(4个字符)或前3个字节(6个字符)或前4个字节(8个字符)作为密码Px。

在本申请的上述实施例中，所采用的算法生成的Pt具有唯一性，可以保证后续生成RootK，以及Taut，Tenc，Tdek的唯一性，达到一机一密的目的。

在本发明的一个可选实施例中，移动终端安全容器或验证码平台通过RootK生成唯一的认证、加密和校验密钥(包括对称密钥或非对称密钥)采用的算法如下：

步骤一：采用密钥分散算法，将RootK作为根密钥，将前2个字节密钥类型加上后续复杂数补充字节(如下表所示)作为分散因子，采用3DES-CBC，得到Taut，Tenc，Tdek。

步骤二：第一步得到的Taut，Tenc，Tdek，根据密钥协商算法不同的密钥特性进行处理，得到最终验证平台和移动终端之间的唯一认证、加密和校验密钥。

在Taut，Tenc，Tdek密钥为对称密钥情况下，RootK根密钥在采用SRP协商算法情况下，采用尚未切分的结果Z作为RootK，分散因子的后续复杂数补充字节，字节长度根据可支持的后续验证码业务安全算法DES/3DES/AES/SM1/SM4/SM7等对称算法类型要求的长度不同，填充不同长度的复杂数。

在Taut，Tenc，Tdek密钥为非对称密钥情况下，分散因子的后续复杂数补充字节，字节长度根据可支持的后续验证码业务安全算法RSA/DSA/ECDSA/SM2/SM9等非对称算法类型要求的长度不同，填充不同长度的复杂数。分散后的Taut，Tenc，Tdek各自作为私钥，记为Tauts，Tencs，Tdeks，通过私钥生成公钥的算法接口，得到对应的安全业务公钥Tautp，Tencp，Tdekp。

图5示出了根据本发明第五实施例的验证码申请和下发的时序图。如图5所示，在本申请的第五实施例中，基于TEE系统的短信验证码申请和下发方法在运营商短信管理平台、短信验证码运营服务端、富执行环境中的客户端应用和可信执行环境中的可信应用间进行。

具体地讲，通过移动终端的TUI界面以及TEE的可信应用和安全容器进行短信验证码申请和下发。在和验证码平台传输数据的过程中，可使用安全业务密钥(唯一认证、加密和校验密钥)进行平台同端侧的身份认证，数据加密和签名验证，保证平台和终端交互的双方身份的合法性，数据传输的私密性和完整性。

在一个具体实施例中，短信验证码的申请和下发包括以下步骤：

步骤一：用户在TUI界面输入手机号，点击“发送验证码”按钮申请短信验证码(移动终端通过可信用户界面(TUI)获取验证码请求指令的一种方式)。

步骤二：移动终端TEE的CA监听服务调用TA接口，获取TUI的用户点击事件返回结果(验证码请求指令的反馈)。

步骤三：移动终端CA向验证码平台发送身份认证请求，验证码平台生成认证随机数(Rs)，并发给移动终端的CA和TA，TA通过安全容器业务认证密钥加密Rs(得到加密平台认证随机数)后返回给验证码平台，验证码平台校验加密结果，完成验证码平台对移动终端身份的合法性校验，平台返回身份认证结果给移动终端CA。

移动终端TA通过安全容器生成终端认证随机数(Rt)，并发给验证码平台，验证码平台通过业务认证密钥加密Rt(得到加密终端认证随机数)后返回给移动终端TA，移动终端TA通过安全容器校验加密结果，完成移动终端对验证码平台身份的合法性校验。

步骤四：移动终端CA以手机号作为参数，向验证码平台发送短信验证码申请请求(验证码请求)，请求的报文，由CA调用TA，TA通过安全容器业务加密密钥加密，通过业务校验密钥签名后(得到验证码申请报文密文)发送给验证码平台，验证码平台校验签名报文，并解密后，生成短信验证码数据。

步骤五：验证码平台通过业务加密密钥加密，通过业务校验密钥签名验证码数据后，并调用运营商短信管理平台(短信平台)提供的接口生成验证码短信，短信平台下发短信验证码给移动终端设备的调制解调器(modem)，调制解调器将短信数据存储到安全容器中。

步骤六：短信平台向验证码平台回复短信生成结果，验证码平台透传短信验证码生成结果，并下发给对应手机号的移动终端设备CA。

可选地，移动终端同验证码平台进行验证码申请和下发过程中，所涉及的业务认证密钥，业务加密密钥和业务校验密钥处理方法如下：

在采用协商算法为非对称密钥的情况下，业务认证密钥即为公钥Tautp，业务加密密钥即为公钥Tencp，业务校验密钥即为公钥Tdekp。业务认证和加密过程，涉及到的非对称算法，包括但不限于RSA/DSA/SM2/SM9/ECDSA等算法；业务校验过程，涉及到签名hash算法，包括但不限于MD5/SHA1/SHA256/SHA384/SHA512/SM3等。

在采用协商算法为对称密钥的情况下，业务认证密钥即为使用RootK＝Z分散后的密钥Taut，业务加密密钥即为Tenc，业务校验密钥即为Tdek。业务认证和加密过程，涉及到的对称算法，包括但不限于DES/3DES/AES/SM1/SM4/SM7等算法；业务校验过程，涉及到签名算法，包括但不限于CMAC/HMAC等。

图6示出了根据本发明第六实施例的验证码显示处理方法的时序图。

如图6所示，在本申请的第六实施例中，基于TEE系统的短信验证码显示处理方法包括通过可信应用获取验证码，移动终端的安全容器校验并解密该验证码，并重新打包该验证码。可信应用获取安全容器的验证码短信，可信应用通过TUI显示该验证码，并由TUI提供验证码输入窗口。

具体地，可信执行环境中的可信应用(TA in TEE)通过安全容器校验和解密验证码后，重新打包短信；可信执行环境中的可信应用获取安全容器的验证码短信；可信执行环境中的可信应用通过TUI在系统通知栏和系统预置短信app中显示验证码短信，用户在安全TUI界面输入显示的短信验证码。

在一个具体实施例中，移动终端CA在收到短信生成结果后，调用TA接口从安全容器获取验证码短信。

安全容器校验和解密验证码，并重新打包短信，将验证码短信数据返回发给TA。

移动终端TA收到验证码短信后，可以采用如下两种方式进行验证码的显示。方式一：在移动终端系统通知栏，采用TUI技术进行验证码短信的显示。方式二：在手机预置的短信app中生成一条短信通知，用户点击短信通知后，短信app通过TUI技术进行验证码短信的显示。

用户通过移动终端系统通知栏TUI，或者手机预置短信app的TUI，看到显示的验证码明文数据后，在安全TUI界面，输入验证码。

图7示出了根据本发明第七实施例的验证码验证方法的时序图。如图7所示，在本申请的第七实施例中，基于TEE系统的短信验证码验证方法在短信验证码运营服务商(验证码平台)、富执行环境中的客户端应用和可信执行环境中的可信应用间进行，例如在三者之间进行申请短信验证码、下发短信验证码、显示短信验证码和输入短信验证码等。

移动终端向验证码平台发送验证码请求，验证码平台生成短信验证码，发送给运营商短信平台，运营商短信平台生成短信，并向移动终端下发验证码短信。在移动终端接收该验证码短信后，移动终端通过可信用户界面(TUI)获取输入的验证码。可信应用通过TUI获取输入的验证码，输入的验证码再通过安全容器的业务加密密钥加密和/或业务校验密钥签名后，得到验证码密文。验证码密文发送至移动终端的客户端应用。客户端应用将验证码密文发送至验证码平台，验证码平台通过相应的业务校验密钥和/或相应的业务解密密钥进行校验和/或解密，得到验证码明文。验证码平台对比验证码明文和验证码平台申请验证码时生成的验证码是否相同，并将对比结果发送至客户端应用。

具体地讲，使用安全TUI界面进行短信验证码验证的流程如下：

步骤一：用户在TUI界面完成验证码输入后，点击“登录”按钮验证短信验证码。

步骤二：移动终端TA获取TUI的用户点击事件和TUI输入结果，通过安全容器的业务加密密钥加密，通过业务校验密钥签名后(得到验证码密文)，(并将验证码密文)返回给移动终端CA。

步骤三：移动终端CA将验证码结果发送给验证码平台，并使用对应的业务校验密钥校验，业务解密密钥后(得到验证码明文)，(将验证码明文)与验证码申请阶段生成的验证码进行对比。

步骤四：验证码平台返回验证码对比结果给移动终端CA，移动终端CA通知TUI处理结果，至此完成校验码校验过程，进入业务的后续步骤。

可选地，移动终端同验证码平台进行验证码验证过程中，所涉及的业务加密密钥和业务校验密钥处理方法如下：

在采用协商算法为非对称密钥的情况下，业务加密密钥即为公钥Tencp，业务校验密钥即为公钥Tdekp。业务加密过程，涉及到的非对称算法，包括但不限于RSA/DSA/SM2/SM9/ECDSA等算法；业务校验过程，涉及到签名的hash算法，包括但不限于

MD5/SHA1/SHA256/SHA384/SHA512/SM3等。

在采用协商算法为对称密钥的情况下，业务加密密钥即为使用RootK＝Z分散后的密钥Tenc，业务校验密钥即为Tdek。业务加密过程中，涉及到的对称算法，包括但不限于DES/3DES/AES/SM1/SM4/SM7等算法；业务校验过程中，涉及到签名过程中的算法，包括但不限于CMAC/HMAC等。

根据本发明的另一方面，提供一种移动终端。该移动终端包括接收模块，用于接收运营商短信平台反馈的验证码短信；以及安全容器，用于存储所述短信及验证码，其中，在所述移动终端的可信执行环境中，通过其中的可信应用访问所述安全容器中的验证码。

根据本发明实施例的移动终端例如用于实现上述的验证码处理方法。

根据本发明的再一方面，提供一种可信服务系统。该可信服务系统包括验证码平台(短信验证码运营服务端)以及如上所述的移动终端。其中，移动终端向验证码平台发送验证码请求，验证码平台生成验证码，并向运营商短信平台申请生成短信，运营商短信平台向移动终端发送验证码短信。可选地，根据本发明实施例的可信服务系统还包括上述第五实施例中所述的运营商短信管理平台。

应当说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

依照本发明的实施例如上文所述，这些实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施例。显然，根据以上描述，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地利用本发明以及在本发明基础上的修改使用。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (14)

1.一种验证码处理方法，包括：

移动终端接收验证码平台通过运营商短信平台向所述移动终端反馈的验证码，并将所述验证码存储到所述移动终端的安全容器中；

在所述移动终端的可信执行环境中，通过调用其中的可信应用访问所述安全容器中的验证码。

2.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述验证码平台生成所述验证码，并将所述验证码发送给所述运营商短信平台；

所述运营商短信平台生成包括所述验证码的验证码短信；

所述移动终端接收所述运营商短信平台向所述移动终端反馈的所述验证码短信，并将所述验证码短信存储到所述安全容器中。

3.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述移动终端向所述验证码平台发送验证码请求；

通过所述移动终端的调制解调器接收所述运营商短信平台反馈的验证码短信，所述验证码短信的验证码数据由所述验证码平台生成，所述调制解调器将包括所述验证码的所述验证码短信存储到所述移动终端的安全容器中；

其中，在所述安全容器包括SIM卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问通用集成电路卡的插件服务和调制解调器驱动，并读写所述SIM卡；

在所述安全容器包括eSE贴片卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问eSE的插件服务和eSE驱动，并读写所述eSE贴片卡；

在所述安全容器包括可信执行环境软SIM卡时，所述可信应用访问可信执行环境安全单元应用程序接口，所述可信执行环境安全单元应用程序接口访问所述可信执行环境软SIM卡的插件服务和软SIM卡模拟驱动，并读写所述可信执行环境软SIM卡。

4.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

在所述安全容器中存储敏感数据，

其中，所述安全容器包括可信执行环境软SIM卡、eSE贴片卡、eSIM模块和SIM卡中的至少一种；

所述敏感数据包括所述验证码和安全密钥中的至少一种。

5.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

在所述移动终端的可信执行环境中，调用相应的可信应用以申请所述验证码和/或接收所述验证码和/或验证所述验证码和/或回复所述验证码。

6.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述可信应用根据所述移动终端的唯一标识生成唯一的密钥；以及

所述移动终端同验证码平台进行密钥协商，各自生成协商后的根密钥，

其中，所述唯一的密钥用于用户注册时所述移动终端和所述验证码平台间的安全认证和密钥协商；

所述协商后的根密钥用于用户注册时生成所述移动终端和所述验证码平台间的唯一认证、加密和校验密钥；

所述唯一认证、加密和校验密钥用于所述验证码的申请、接收、验证过程中所述移动终端和所述验证码平台间传输信息的认证、加密和校验。

7.根据权利要求6所述的验证码处理方法，其中，所述可信应用根据所述移动终端的唯一标识生成唯一的密钥包括：

对所述移动终端的唯一标识和本地随机数进行异或运算得到第一数据；

对所述第一数据进行哈希运算，得到第二数据；

所述第二数据异或复杂数，得到第三数据；所述第三数据达到要求的对称密钥长度或非对称私钥长度；以及

根据所述第三数据生成唯一安全认证和协商密钥。

8.根据权利要求6所述的验证码处理方法，其中，用户注册时生成所述移动终端和所述验证码平台间的唯一认证、加密和校验密钥包括：

对所述移动终端同验证码平台进行密钥协商后生成的根密钥作为分散密钥进行分散得到第一数据；

对所述第一数据，根据不同的密钥类型进行密钥处理，得到唯一认证、加密和校验密钥。

9.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述移动终端向所述验证码平台发送验证码请求，所述验证码平台生成所述验证码，并向所述运营商短信平台申请生成验证码短信，所述运营商短信平台向所述移动终端下发所述验证码短信；

在所述移动终端接收所述验证码后，所述移动终端通过可信用户界面获取输入的验证码；

所述可信应用获取所述输入的验证码；所述输入的验证码在通过安全容器的业务加密密钥加密和/或业务校验密钥签名后，得到验证码密文；所述验证码密文发送至所述移动终端的客户端应用；

所述客户端应用将所述验证码密文发送至所述验证码平台，所述验证码平台通过相应的业务校验密钥和/或相应的业务解密密钥进行校验和/或解密，得到验证码明文；

所述验证码平台对比所述验证码明文和所述验证码平台申请验证码时生成的验证码是否相同，并将对比结果发送至所述客户端应用。

10.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述移动终端通过可信用户界面申请短信验证码；

所述可信执行环境的客户端应用监听服务调用可信应用接口，获取申请短信验证码指令的反馈；

所述移动终端的客户端应用向所述验证码平台发送身份认证请求；所述验证码平台生成认证随机数，并将所述认证随机数发送至所述移动终端的客户端应用和可信应用；所述可信应用通过安全容器业务认证密钥加密所述认证随机数后得到加密随机数，并将所述加密随机数发送至所述验证码平台；所述验证码平台校验所述加密随机数以验证所述移动终端的身份，并将验证结果发送至所述客户端应用；

所述可信应用通过所述安全容器生成终端认证随机数，并将所述终端认证随机数发送至所述验证码平台；所述验证码平台通过业务认证密钥加密所述终端认证随机数，得到加密终端认证随机数，并将所述加密终端认证随机数发送至所述可信应用；

所述可信应用通过所述安全容器校验所述加密终端认证随机数以验证所述验证码平台的身份。

11.根据权利要求10所述的验证码处理方法，其中，所述验证码处理方法还包括：

所述移动终端通过可信用户界面获取输入的手机号后，所述客户端应用以所述手机号为参数，向所述验证码平台发送验证码请求；

所述客户端应用调用所述可信应用，所述可信应用通过安全容器业务加密密钥加密和/或通过业务校验密钥签名所述验证码请求的报文，得到传输报文密文，并将所述传输报文密文发送至所述验证码平台；

所述验证码平台校验和/或解密所述传输报文密文后，生成所述短信验证码数据；

所述验证码平台加密和/或签名所述验证码数据后，生成验证码密文，并将所述验证码密文发送给所述运营商短信平台生成所述验证码短信，由所述运营商短信平台发送所述验证码短信至所述手机号对应的移动终端。

12.根据权利要求1所述的验证码处理方法，其中，所述验证码处理方法还包括：

客户端应用调用可信应用接口，获取所述验证码；

所述移动终端的安全容器校验并解密所述验证码，并重新打包验证码短信；

所述可信应用接收所述安全容器的所述验证码短信；以及

所述可信应用通过可信用户界面显示所述验证码短信，所述可信用户界面提供验证码输入窗口。

13.一种移动终端，包括：

接收模块，用于接收验证码平台通过运营商短信平台反馈的验证码；以及

安全容器，用于存储所述验证码，

其中，在所述移动终端的可信执行环境中，通过调用其中的可信应用访问所述安全容器中的验证码。

14.一种可信服务系统，包括：

验证码平台；以及

如权利要求13所述的移动终端，

其中，所述移动终端向所述验证码平台发送验证码请求，所述验证码平台通过所述运营商短信平台向所述移动终端发送所述验证码。