| 标准编号 | GB/T 38542-2020 (GB/T38542-2020) | | 中文名称 | 信息安全技术 基于生物特征识别的移动智能终端身份鉴别技术框架 | | 英文名称 | Information security technology - Technical framework for authentication of mobile smart terminals based on biometric | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 18,192 | | 发布日期 | 2020-03-06 | | 实施日期 | 2020-10-01 | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | GB/T 38542-2020: 信息安全技术 基于生物特征识别的移动智能终端身份鉴别技术框架
GB/T 38542-2020 英文名称: Information security technology -- Technical framework for authentication of mobile smart terminals based on biometric
1 范围
本标准规定了基于生物特征识别的移动智能终端身份鉴别的技术框架,包括技术架构、业务流程、
功能要求和安全要求。
本标准适用于基于生物特征识别的移动智能终端身份鉴别系统的设计、开发与集成。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 26238-2010 信息技术 生物特征识别术语
GB/T 34975-2017 信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法
GB/T 34978-2017 信息安全技术 移动智能终端个人信息保护技术要求
GB/T 35273-2017 信息安全技术 个人信息安全规范
GB/T 35281-2017 信息安全技术 移动互联网应用服务器安全技术要求
GB/T 36651-2018 信息安全技术 基于可信环境的生物特征识别身份鉴别协议框架
3 术语和定义、缩略语
3.1 术语和定义
GB/T 26238-2010界定的以及下列术语和定义适用于本文件。为了便于使用,以下重复列出了
GB/T 26238-2010中的一些术语和定义。
3.1.1
生物特征识别
基于个体的行为特征和生物学特征,对该个体进行的自动识别。
注:“个体”限指人。
3.1.2
生物特征项
从生物特征样本中提取的,用于比对的数值或标记。
3.1.3
生物特征识别器
基于个体的行为特征和生物学特征执行用户验证时使用的组件。
3.1.4
生物特征样本
先于生物特征项提取,且从生物特征采集子系统获得的模拟的或数字的生物识别特征的表示。
3.1.5
生物特征模板
参考的生物特征项的集合,已存储的生物特征项的集合,可直接与探针生物特征样本的生物特征项
进行比对。
3.1.6
比对
估算、计算或测量生物特征探针与生物特征参考之间的相似度和相异度。
3.1.7
执行环境
存在于移动设备中,能够为应用程序在移动设备中的运行提供必要的能力支持的软硬件集合。
注:一般包括硬件处理单元、易失性存储单元、非易失性存储单元、操作系统、调用接口等组件。
3.1.8
身份鉴别
验证实体所声称的身份的动作。
3.1.9
呈现攻击
以干扰生物特征识别系统的操作为目的,针对生物特征数据采集模块的一种攻击行为。
3.1.10
依赖方
依赖于其他实体(例如身份鉴别服务器)提供的关于用户的鉴别结果,对用户所使用的资源或者系
统进行授权的实体。
3.1.11
移动智能终端
能够接入移动通信网,具有能够提供应用程序开发接口的开放操作系统,并能够安装和运行应用软
件的移动终端。
3.1.12
可信应用
运行在可信环境下,为客户端软件或其他应用提供安全相关服务的软件。
3.1.13
可信应用管理
提供应用发行管理和安全模块管理功能的系统。
3.1.14
可信环境
用户设备上的安全区域,可保证加载到其内部数据的安全性,包括保密性、完整性和可用性等,如可
信执行环境(TEE)、安全元件(SE)、可信密码模块(TCM)或其他具备安全边界的保护区域。
3.2 缩略语
下列缩略语适用于本文件。
REE:富执行环境
SDK:软件开发工具包
SE:安全元件
SSL:安全套接层
TCM:可信密码模块
TEE:可信执行环境
TLS:传输层安全
4 概述
本标准规范了基于生物特征识别的移动智能终端身份鉴别技术框架,并通过身份鉴别协议实现身
份鉴别注册、身份鉴别和身份鉴别注销等业务流程。
通常用户先进行身份鉴别注册,在成功注册后,会为本次注册过程生成相应的用户鉴别密钥并与本
次注册过程进行绑定。在对用户进行身份鉴别时,首先通过移动智能终端所支持的生物特征识别器对
用户进行验证,只有在验证通过后才能够具备权限使用注册过程中生成并绑定的用户鉴别密钥,实现服
务器端对用户的身份鉴别。在身份鉴别注销过程中,移动智能终端和服务器端将注册关系以及对应绑
定的用户鉴别密钥删除。
本标准可为移动智能终端上基于生物特征识别技术的身份鉴别相关应用的设计、开发、使用提供统
一的基础技术架构,以此技术框架为基准,为相关功能单元、接口、协议提出功能和安全的基本要求。基于该技术框架实现的指纹识别身份鉴别应用案例可参见附录A。
本标准涉及个人信息保护的相关技术要求,应符合 GB/T 35273-2017和GB/T 34978-2017的
规定。
5 技术架构
5.1 总体架构
基于生物特征识别的移动智能终端身份鉴别技术框架主要包括移动智能终端和服务器侧的若干功
能单元,总体技术架构如图1所示。
注:“ ”必须具备的模块;“”可选具备的模块。
图1 基于生物特征识别的移动智能终端身份鉴别技术架构
移动智能终端侧一般包括移动应用、身份鉴别中间件、身份鉴别可信应用、生物特征识别器、采集元件等功能单元。对于有较高安全需求的应用,本标准所规范的技术框架基于可信环境实现,运行于移动智能终端的身份鉴别协议解析、用户生物特征采集、比对、存储与呈现攻击检测等均在可信环境中进行。
对于大多数移动智能终端而言,本标准中可信环境的具体实现方式可采用但不限于TEE或TEE与SE
组合使用的方式。
服务器侧包括身份鉴别服务器和依赖方。身份鉴别服务器包括身份鉴别服务模块,可具备可信应
用管理和可信设备管理等模块。
注1:TEE(可信执行环境)一般指运行在移动设备中的隔离执行环境,具备较强的安全能力,以确保运行其中的应用程序、敏感数据等在相对可信的环境中得到存储、处理和保护。
注2:SE(安全元件)一般指具有防篡改能力的微处理芯片,能够在其内部安全地运行应用程序并存储敏感数据。
5.2 移动智能终端侧功能单元
5.2.1 移动应用
移动应用是移动智能终端中使用生物特征识别身份鉴别功能的应用软件。移动应用通常安装运行
在REE中。当需要基于生物特征识别进行用户身份鉴别时,通过身份鉴别中间件调用位于可信环境中
的身份鉴别可信应用进而启动生物特征识别器实现对用户的生物特征识别,并基于身份鉴别协议与依
赖方和身份鉴别服务器进行交互完成对用户的身份鉴别过程。
注:REE(富执行环境)一般指运行在移动设备中的开放执行环境,为运行其中的应用程序提供开放、丰富的运行能力支持,但安全保护能力相对较弱。
5.2.2 身份鉴别中间件
身份鉴别中间件是位于底层系统资源和应用之间的独立的身份鉴别系统软件或服务程序,这些服
务能够适用不同的操作系统和硬件平台,为移动应用提供身份鉴别服务的相关操作接口,并负责REE
中移动应用与可信环境中身份鉴别可信应用之间身份鉴别相关的通信。
身份鉴别中间件可以是集成在移动智能终端操作系统中的身份鉴别系统服务,也可是集成在移动
应用中的专有SDK,或者是运行于移动智能终端中的独立应用软件。
5.2.3 身份鉴别可信应用
身份鉴别可信应用负责身份鉴别协议的解析和处理,并负责管理其所支持的生物特征识别器,基于
鉴别协议中所选择的生物特征识别器完成对用户的生物特征验证过程。
身份鉴别可信应用负责对身份鉴别相关的用户鉴别密钥的管理,包括用户鉴别密钥的生成、存储、
使用和删除。
身份鉴别可信应用可通过预置方式在出厂前安装在移动智能终端中,也可通过远程动态下载方式
安装在移动智能终端中。
5.2.4 生物特征识别器
生物特征识别器是位于移动智能终端上的一个生物特征识别系统,能够基于生物特征识别技术对
用户生物特征进行验证,一般由特征采集模块、特征存储模块和特征比对模块等构成,其中:
a) 特征采集模块通过生物特征采集元件采集用户的生物特征样本,并对符合采集质量要求的生
物特征样本进一步提取出生物特征项,以用于后续的特征存储模块或特征比对模块;
b) 特征存储模块用于存储用户录入的生物特征模板;
c) 特征比对模块通过将所输入的用户生物特征探针与特征存储模块中已录入的一个或多个生物
特征模板进行比对,并对比对结果进行识别决策,判断用户是否验证通过。
5.2.5 采集元件
采集元件与生物特征识别器连接,可被生物特征识别器调用并对用户的生物特征样本进行采集。
5.3 服务器侧功能单元
5.3.1 依赖方
依赖方主要负责提供移动应用的后台服务,基于身份鉴别协议与移动应用和身份鉴别服务器进行
交互,完成身份鉴别的各个业务流程。
在身份鉴别过程中,依赖方从身份鉴别服务器获得用户的身份鉴别结果,并根据鉴别结果提供相应
权限的服务或资源。
5.3.2 身份鉴别服务器
5.3.2.1 概述
身份鉴别服务器包括身份鉴别服务模块和可信管理模块。其中,身份鉴别服务模块是必选模块,主
要负责在服务器侧对身份鉴别注册关系进行管理,对身份鉴别协议进行解析并验证,并向依赖方提供身
份鉴别结果。可信管理模块主要负责对移动智能终端和身份鉴别可信应用进行可信管理。
5.3.2.2 身份鉴别服务模块
身份鉴别服务模块主要负责:
a) 在身份鉴别注册业务流程中,校验注册过程中所使用生物特征识别器的真实性和完整性,创建
和存储用户新申请的身份鉴别注册关系,存储注册过程中生成的用户鉴别密钥并与注册关系
进行绑定;
b) 在身份鉴别业务流程中,校验鉴别过程中所使用生物特征识别器的真实性和完整性,识别此次
业务中所使用的身份鉴别注册关系,并使用绑定的用户鉴别密钥对身份鉴别协议中的信息进
行验证;
c) 在身份鉴别注销业务流程中,删除相应的身份鉴别注册关系以及绑定的用户鉴别密钥;
d) 将身份鉴别结果通过可信的方式传递给依赖方。
5.3.2.3 可信管理
可信管理为可选功能模块,主要包括:
a) 可信应用管理模块,负责对身份......
|