基于SCWS技术的图形化界面卡的接口与安全

1 引言

    随着移动通信技术 3G 时代的到来，三大电信运营商相继推出了全新的3G 业务，其中 增值业务将取代语音业务成为电信运营商的主要收入。但如何利用3G 网络优势采用与2G 时代不同的市场推销手段，三大电信运营商不约而同地采用了多媒体技术作为主要推介手 段，确保用户获悉并使用3G 新业务。

    图形化界面 SIM 卡不同于原来的仅借用SMS 短信技术[1]，而是使用户可以通过手机上 的浏览器，访问储存在SIM 卡上的数据信息，发现并选择运营商的数据业务；同时运营商 可以利用后台服务器，及时更新数据业务，也可将用户群体细分，达到个性化业务推介和体 验。图形化界面SIM 卡采用SCWS（SMART Card Web Server，智能卡网络服务器）技术，将 Internet、移动网络、移动服务器平台结合起来，依靠3G 网络的数据传输速度，将各类应用 放在SIM 卡中，用户只需更换手机的SIM 卡达到使用这些应用的目的，使运营商掌握新增 值业务推介的主动权。 本文介绍基于 SCWS 技术的图形化界面SIM 卡的系统应用环境、接口技术、安全协议。

2 图形化界面卡

    早期的手机SIM 卡主要作为个人的身份认证与识别信息的载体，随着芯片技术的快速 发展和移动技术的发展，手机SIM 卡已日益成为增值业务、电子商务等移动业务的载体， 目前运营商在现有的SIM 卡中，已经置入了品牌服务、超级号码本、地图、目录等本地服 务，也采用短信方式对其进行更新，但其可视性及速度不尽人意。

    图形化界面 SIM 卡使得用户利用手机上的浏览器，以图形方式浏览预储存在图形化界 面SIM 卡中的音乐、铃声、视频等，在离线媒体库中试用感兴趣的数据业务，引导用户选 择并购买该项业务；运营商在闲时可以根据业务推广情况，细分用户群，及时更新图形化界 面SIM 卡中的离线媒体库，确保运营商快速推广新业务、提高数字服务的收入。

3 系统应用环境

    图形化界面 SIM 卡系统应用环境[2]如图1 所示。

    1) 远端管理服务器：该服务器是定位于 SCWS 的OTA（Over-The-Air 空中下载）服 务器，用来实现SIM 卡上内容的及时更新、管理、统计等；

    2) 支持 SCWS 的手机终端：用于手机终端与SIM 卡间的通信，实现手机终端对卡片 的内容访问，符合OMA-SMART_Card_Web_Server-V1_0-20080421-A [2]规范中的 SCWS Gateway（SCWS 门户）软件的所有必须功能要求；同时符合该规范要求， 对外提供一个3516(HTTP)，4116(HTTPS)端口，并代理SCWS 卡作为HTTP-server 的服务；

    3) 图形化界面 SIM 卡：预置由开放移动联盟（OMA）定义的SCWS 应用，该应用定 位于SIM 卡端的HTTP/1.1 的WEB 服务器，向手机终端HTTP 客户端软件提供静 态（xHTML 和相关文件）和动态（由servlets 生成）的数据信息，实现了手机终 端与图形化界面SIM 卡的通信，实现了逻辑分离而不必依赖于目前基于电信的通 信；同时允许开放移动联盟（OMA）定义的完全管理协议（Full Admin Protocol） 来管理图形化界面SIM 卡的内容。

    SCWS 工作模式有两类，即服务器模式和客户端模式：

    1) 服务器端模式：当终端浏览器对图形化界面SIM 卡作本地浏览时，SCWS 处于BIP （Bearer Independent Protocol，承载无关协议）服务器模式；通过BIP 协议，手机 终端允许图形化界面SIM 卡和远程服务器之间进行透明的数据传输，更有利于实 现高速移动数据业务的传输。此时，SCWS 为手机浏览器提供静态（xHTML 和相 关文件）和动态（由Servlets 生成）的内容。Servlet 是一个标准Java 卡小应用 （JavaCard Applet），它允许图形化界面SIM 卡提供使用追踪、广告横幅管理、动 态页面生成等服务；

    2) 客户端模式：运营商/服务提供商通过远程服务器对图形化界面SIM 卡进行更新时， SCWS 处于BIP 客户端模式。此时，移动运营商可以定期更新SIM 卡的本地化内 容。手机终端用户也可以主动向服务器发起更新请求，从服务器上获取数据，此时SCWS 同样也工作在客户端模式。

4 系统通信接口

    在本系统应用环境中有两种通信：图形化界面 SIM 卡与远端管理服务器；图形化界面 SIM 卡与手机终端[3]。

4.1 图形化界面SIM 卡与远端管理服务器的通信接口

    即 SCWS 与远端管理服务器的通信接口，用来实现管理SCWS 内容，或更新SCWS 的 配置。使用HTTP 协议或BIP 客户端模式，遵循OMA 定义的完全管理协议（Full Admin Protocol）来打开SCWS 和远端管理服务器间的通道，也可使用HTTPs 定义的安全通道。

4.2 图形化界面SIM 卡与手机终端的通信接口

    即 SCWS 与手机终端的通信接口，用来实现手机终端浏览器对图形化界面SIM 卡作本 地浏览。使用HTTP 协议或BIP 服务器端模式。

    SCWS 与手机终端的接口运行在一个逻辑独立的通信通道上，该通道独立于电信通道， 使手机应用程序可与智能卡内运营商部署的SCWS 通信。

    SCWS 与手机终端使用HTTP 协议通信。手机终端浏览器不需要任*增功能来呈现 SCWS 内容。手机终端上的应用程序可以通过IP 地址连接SCWS。SCWS 采用开放式体系 结构，允许选用多种“智能卡-手机”协议作为传输HTTP 请求与应答的本地承载。SCWS 响应来自手机终端内置的HTTP 应用程序（如，浏览器）的HTTP 请求。

    手机终端通过内置的网关访问SCWS，该网关将TCP/IP 协议转化为手机终端和智能卡 间的本地传输协议，HTTP 的请求与应答是通过手机终端与智能卡间的本地传输协议直接送 至SCWS。由终端内部传递给SCWS 的本地访问URL 被分配了两个TCP 端口：HTTP 端口 3516 和HTTP 端口4116。

    SCWS 与移动手机HTTP 应用通信使用两种协议：BIP 服务器模式；TCP/IP 传输协议。

    1) BIP 服务器模式 如果智能卡没有自己的 IP 地址并且不直接支持TCP/IP 协议，终端内的BIP 网关可被用 作协议转换器。TCP/IP 协议用于实现终端内的HTTP 应用程序与BIP 网关间的通信；BIP 协议用于BIP 网关和智能卡间的通信。

    移动手机中的 HTTP 应用程序（如，浏览器）将回送的IP 地址用作BIP 网关寻址。BIP 网关*SCWS，必须打开两个端口：为来自手机的HTTP 应用程序的HTTP 请求打开端口； 为HTTP over TLS（HTTPs）请求打开端口。 当一个手机中的HTTP应用程序经BIP 网关连接到SCWS并开始进行数据交换时，SCWS 可以打开另外的BIP 通道（使用Open Channel 命令），以允许手机中其他HTTP 应用程序连 接到SCWS，实现多个应用程序的同时连接。

    2) TCP/IP 传输协议 如果智能卡拥有自己的 IP 地址并直接支持TCP/IP，而且手机终端支持来自智能卡的直 接IP 访问，TCP/IP 则被视作手机上HTTP 应用程序和卡上SCWS 间通信的首选协议。

    有一组预先设置的端口：用于 HTTP 通信的80 端口和用于HTTPS 通信的443 端口是 默认端口。这种情况下终端中的HTTP 应用程序可以不依赖手机内置BIP 网关而直接与 SCWS 通信。因此，SCWS 将*默认端口和安全端口，以响应来自手机的HTTP 请求和 HTTP over TLS 请求。

5 安全协议

    为保证传输的安全性，采用传输层安全TLS（Transport Layer Security）为通信的双方提 供一种安全可靠的传输机制，以保证传输的私密性和完整性，也可根据要求采用单向或双向 认证。TLS 工作于客户端-服务器方式，其中发起认证的一端称为客户端，响应的一端称为服务器。大多数情况下，TLS 客户端使用公共密钥证书方式来认证服务器，而双向认证可以 使用公共密钥证书方式，或者是预共享密钥PSK-TLS 方式。

    SCWS 作为本地的HTTPS 服务器时，必须能够采用公共密钥实现HTTP over TLS，也可以采用PSK-TLS 实现HTTP over TLS。

    1) 采用 PSK-TLS 方式的HTTP over TLS

    在SCWS 和已连接的主机（如远程管理服务器）间共享一个对称密钥时，采用PSK-TLS。

    SCWS 必须支持下列加密算法：

TLS_PSK_WITH_3DES_EDE_CBC_SHA [PSK-TLS]

TLS_PSK_WITH_AES_128_CBC_SHA [PSK-TLS]

    2) 公共密钥对和设备证书

    SCWS 应该能使用一个公共钥密钥对，并把它们保存在安全的区域，这些密钥只能用于 TLS 的实现或卡应用的验证，这是由卡发行者的内部安全策略决定的。SCWS 也应该为公共 密钥嵌入一个设备证书，该设备证书由卡发行者提供并由权威发行者签署。

    公共密钥对和设 备证书应该用于服务器在TLS 上的认证（如TLS 二级认证）。 如果 SCWS 采用公共密钥对和设备证书，则必须支持下列所有的加密算法：

TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_RSA_WITH_AES_128_CBC_SHA

    SCWS 必须支持采用TLS1.0 的服务器认证，并且应该能采用WAP profiled X.509 服务器证书[WAPCert]。

    3) 支持 TLS 扩展

    由于容量限制或者带宽限制， SCWS 必须确定一个较小的最大片段长度，扩展允许使用以下定义的片段长度（默认值是2^14）：

2^9(1), 2^10(2), 2^11(3), 2^12(4), (255)

    卡管理代理可以使用[RFC3546]定义协商的最大片段长度，管理服务器需要支持 [RFC3546]定义协商的最大片段长度，连接到SCWS 的HTTP 客户端可以使用[RFC3546]定 义协商的最大片段长度，SCWS 需要支持[RFC3546]定义协商的最大片段长度，也可以支持 最小到512byte 的最大片段长度。如果客户端没有协商定义，SCWS 需要接受预先定义的16K 作为TLS 片段长度。

    4) 会话恢复

    SCWS 应该支持TLS 定义的会话恢复，能够使用更长的会话周期（如12 小时）。会话 恢复流程应该遵守TLS1.0 中的相关定义。

6 总结

    图形化界面 SIM 卡技术的使用突破了以往SIM 卡只能支持SMS 短信类业务的局限， 将图形界面引入到SIM 卡中，支持GPRS、EDGE、UMTS类数据网络业务的推广，使用户 不必连接网络，即使在网络无法覆盖的区域也可使用，并且不产生任何费用；同时运营商可 按需定制SIM 卡，及时更新智能卡网络服务器SCWS 内容，可跟踪、统计用户的使用行为， 定期发送到服务器统计分析，以实时调整业务推广策略，为运营商创造了展示最佳服务和解 决方案的可控平台，助推3G 业务的快速发展。