移动设备访问规则应用（ARA）安全性及性能改进方案.pdf

移动设备访问规则应用（ARA）安全性及性能改进方案 摘 要 移动支付现如今已成为国人越来越普及的一种支付手段。其中，基于安全元件的移动 支付，凭借其便携性及一定的安全保障，得到了广泛的应用。典型应用包括：苹果的 APPLE [1] PAY、华为的华为PAY、小米的米PAY、移动公交一卡通、手机电子钱包、银联的云闪付 等 等。然而，在这些移动支付的应用中，不断暴露出安全性和用户在使用体验上的卡顿问题， 也逐渐成为人们越来越关注的焦点。 全球平台组织 (GP)首先定义出了一套访问规则应用(ARA)标准，它可以让多个应用发行 商，相对独立地运用自己开发的移动客户端程序，去控制管理安全元件中应用的访问权限。 这套标准一经推出，就受到了国内外的热烈响应，SmartCard API 和中国电信集团公司都相 继实现了这套标准，各个手机厂商和应用发行商，也都遵循这套标准来设定自己的移动支 付。然而，作者在实际应用中发现，这种应用模式，会在一定情况下，存在为恶意者实施 访问拒绝服务攻击的可能性。而且，ARA-C 和访问规则数量过多时，也会产生耗时过多、性 能低下的问题。 为了解决以上问题，实现安全、高效的访问控制，本论文提出了以下几个方面的改进 思路： 1．增强安全性。基于非对称密码学技术，在访问规则中，使用非对称公私钥验证签名 的方式，替代访问规则中，通过值的判断方式，来控制移动客户端的访问。同时，取消了 繁琐的访问规则中关于冲突的机制，以达到增强安全性的改进； 2．提高性能。运用 Java Card API 中的 shareable 接口，将 ARA-C 中的访问规则，保 存在 ARA-M 中，节省了ARA-M 从各个 ARA-C 中获取规则的时间，实现了集中控制管理，改 进了性能低下的问题； 3．集成安全性及性能提升。在增强安全性改进和性能改进的基础上，进行统一整合， 使得访问规则控制，不仅在安全性上得到保障，同时在性能上也有较大的提升。 综上，本论文依据全球平台组织定义的访问规则应用标准，针对该标准中存在的安全 性漏洞及性能低下的问题，研究、设计及实现更安全的访问规则模型。同时，在性能上也 作出了相应改进。最后，作者展望，能在后续研究中，使用更好、更强大的国密算法，来进 一步为中国的移动支付保驾护航。 关键词：安全原件；访问控制；安全性增强；性能提升 I Mobile device access rule application (ARA) security and performance improvement scheme Abstract Nowadays, mobile payment has become an increasingly popular means of payment for Chinese people. Among them, mobile payment based on security components has been widely used because of its portability and certain security. Typical applications include Apples APPLE PAY, Huaweis Huawei PAY, Millets Rice PAY, Mobile Bus Card, Mobile E-wallet, UnionPay Cloud Flash, etc. However, in these mobile payment applications, the security and user experience of the