本文来自《OIDAA视界》，本篇文章作者：中国移动金融科技有限公司 唐欢 王性国 王昊 

背景

     随着信息技术的飞速发展，数字化转型在社会的各个领域持续深化，人类活动正大规模地从实体环境转向数字世界，在此背景下，数字身份的重要性变得空前突出。鉴于此，世界各国都加大了对数字身份领域的研究力度，美国早在2011年4月就推出了《网络空间可信身份国家战略》，并在2017年由其国家标准与技术研究院(NIST)进一步制定了《数字身份指南》系列标准，以引导和规范数字身份的发展。欧盟也在2006年发布了《2010泛欧洲电子身份管理框架图》，并基于此框架逐步建立了基于eIDAS法规的数字身份系统。自2016年起,我国开展了可信数字身份服务体系建设，逐步面向行业输出具有权威性、可靠性、安全性以及高效性特质的网络身份认证服务，推动相关领域在身份认证方面的规范化与数字化进程，为各行业数字化转型与业务拓展筑牢根基，有效提升整体网络身份认证体系的效能与质量水准，以适应不断发展变化的网络环境与行业需求。

     中国移动在5G时代推出战略产品超级SIM，具有安全存储、安全计算、安全连接、支持国密算法等特性。基于权威可信身份认证能力，提出了一种基于超级SIM卡的可信数字身份认证方式，用户仅利用手机NFC功能，通过“碰一碰”即可完成身份识别。解决了可信数字身份安全存储的问题，同时，满足了在用户在手机息屏、无网等环境下的身份认证需求。

一、超级SIM是安全可信载体

       (一)超级SIM特性

     超级SIM卡是安全可信硬件载体，目标是成为数字经济时代信息基础设施的重要组成部分，具备安全存储、安全计算、安全连接等特性，是用户可随身携带的可信安全载体。

     安全存储:芯片及操作系统通过EAL4+认证，具备防侵入传感器，支持存储区加密，可抵御各种物理攻击和逻辑攻击。

     安全计算:硬件层具备真随机数发生器(TRNG)支持国密算法(SM2、3、4、7等)，通过国家密码局认证。

     安全连接:基于Global Platform，实现安全可控的外部访问机制，支持机卡、NFC、BIP及短信等应用访问方式，各方式均具有特有安全管理策略。

图1 超级SIM架构图

     硬件层:定义SIM卡物理层访问接口，IO、CPU、存储器、协处理器等。

     COS层:主要定义SIM卡内存管理和文件系统等基础处理、各类安全机制、SIM/USIM逻辑功能、空中短信传输协议控制等。定义GP应用管理，提供在卡内下载、安装、删除的管理和存储等服务，并实现SIM卡与外部设备通信的指令报文，以及包含鉴权和加密机制的安全信道会话机制;定义安全空间管理在卡内划分不同的安全区域以承载不同的行业应用，定义应用和安全域的生命周期管理，提供各类API供上层应用调用。

     应用层:主要承载各类应用，包含各类行业应用(如公交、金融、校企等)及中国移动自有应用(SIM盾、SIM快捷确认等)，应用可预置也可动态加载。

       (二)中国移动超级SIM体系

     中国移动以超级SIM为安全底座，打造统一能力开放平台，逐步形成跨行业的超级SIM多应用生态体系。基于超级SIM卡在芯片、安全计算、安全存储、安全连接、安全生产、支持国密算法等特性，打造安全基座。在平台能力层面，不断优化提升平台支撑服务能力，机卡通道成功率大幅提升，攻关BIP通道突破终端及操作系统限制;研发资产迁移、应用远程锁定等问题，让行业应用更好用。面向行业合作伙伴打造了一站式的业务聚合统一入口，让合作方和用户易用，从制卡、空发能力、空间管理、渠道赋能等各方面全面支撑应用生态的建设，打造“数字身份+数字人民币+N”的应用体系，包括门禁、交通卡等行业应用，赋能千行百业。

图2 超级SIM生态体系

二、SIM数字身份

       (一) 产品架构

     基于可信身份认证服务体系，面向用户提供匿名化的网络身份认证，将切实保护个人隐私身份信息，减少个人信息过度收集和不规范留存。中国移动以超级SIM为载体，为公民可信数字身份凭证划分专属安全域，提供基于短信、机卡、BIP多种安全连接方式，为数字身份提供安全存储、安全计算及安全传输能力将认证平台为用户颁发的数字身份凭证写入超级SIM卡。面向行业客户提供“硬件+软件+服务”的SIM数字身份认证服务，联合上下游合作伙伴，面向金融、文旅、酒店、政务、交通等行业提供安全、快捷的SIM数字身份认证服务。

图3 数字身份总体架构

       (二)攻克关键技术

      1.打造BIP安全通道

     BIP协议(承载独立协议，Bearer Independent Protocol)，是一种支持SIM卡通过TCP/IP协议与远端服务器进行通讯的高速数据传输模式。采用基于TLS PSK的协议握手，使用SIM卡内安全存储的对称密钥实时生成当前会话密钥并应用于通信传输，确保每笔操作的安全性;建链成功后，将数字资产卡应用下载至卡片，进一步完成个人数字资产数据写入卡内，业务交互过程中终端及操作系统不参与，提升了终端覆盖率。

     2.攻克NFC防克隆

     NFC作为一种非接触通信方式，在特殊环境下，存在被监听装置窥探、重放交易指令等风险，威胁用户数字资产安全。通过引入异步时间序列机制、建立分散密钥索引机制，保证终端和超级SIM交互数据一次有效，无法通过监听等手段，达到二次认证或交易的目的。用户认证过程中，加入异步时间序列(长度4个字节，阈值，可使用约21亿次)，作为服务器的准入校验参数，保证终端和超级SIM交互数据一次有效，同时增加密文+签名防护，保证数据无法篡改，以此达到防止重放攻击的目的。

三、开展行业应用

      (一)展馆通行

     基于SIM数字身份权威实人核验能力，为用户提供方便、快捷身份核验服务，通过手机NFC碰一碰或二维码实现实人核验，提升通行效率，提升用户便利性满足监管要求。

图4 SIM数字身份展馆通行

      (二)分布式认证

     依托区块链非对称加密和分布式存储技术的安全可靠的特点，结合超级SIM卡安全计算特性打造SIM身份锁产品。以公钥密码学和区块链技术为依托，融合超级SIM卡安全计算、安全存储及安全链接的特性能力，为用户生成基于国密算法的自主可控的秘钥对以公钥为安全因子，将DID分布式基础平台为用户颁发的唯一DID身份标识上链发布并存储至SIM卡。在需要身份认证时，SIM卡通过用户私钥对DID身份标识进行签名，通过用户公钥实现对用户身份的核验在此基础上，叠加SIM卡人机交互特性，包括弹屏通知、弹屏PIN码验证及网证核验等方式保障实人、实卡操作，保障用户支付安全。

图5 分布式数字身份架构

       (三)多因子安全认证

     动态口令(OTP，0ne-Time Password)又称一次性密码，是使用密码技术实现的在客户端和服务器之间通过共享秘密的一种认证技术，广泛应用于身份认证领域。依托超级SIM安全可信硬件载体能力，研发基于国密算法的动态口令(OTP)生成技术，为用户提供便于携带、安全的硬件OPT认证服务。同时，结合实人认证能力，为合作伙伴提供实人+实卡+OPT的多因子认证服务。

图6 实人+实卡+OPT认证

       (四)试点应用情况

     目前，SIM数字身份已经在营业厅、访客、文旅等场景进行试点应用，覆盖场景广泛，覆盖人群多样。

     营业厅业务办理:在运营商营业厅试点数字身份办理业务，创新营业厅业务办理模式，用户线下无需携带实体身份证即可完成非入网实名和非高敏感类业务办理，有效提升用户体验。在浙江、江苏、福建等12个省营业厅开展试点，累计提供认证服务超53万次。

     访客通行:研发基于数字身份认证能力的访客管理系统，支持访客线上预约、线下自助核验，解决传统登记方式排队时间久、写错写漏难辨别、个人信息易泄露、核验效率低下等问题。目前已经在33个合作单位进行部署，累计核验次数超过29万次。

     未来，将进一步探索SIM数字身份在民航出行、酒店入住、线上认证等各类线下、线上场景的落地可行性。

四、总结

     随着全球数字化进程的加速，数字身份行业市场规模将持续增长。SIM数字身份能够为用户提供可信、便捷、安全的认证服务，是对数字身份认证的重要形式之一，其市场规模也将不断扩大。同时，随着人们对个人隐私保护的日益重视，SIM数字身份在安全和隐私保护方面将更加注重。通过采用基于SIM卡的国密加密技术、隐私保护技术等手段，确保用户身份信息的安全性和隐私性。未来，随着数字化进程的推进和技术的不断创新，SIM数字身份行业将迎来更加广阔的发展前景和机遇。

参考文献:

[1]中国移动超级SIM卡技术白皮书.