基于SIM卡的统一授权业务研究_17页_1mb

基于SIM卡的统一授权业务研究总结

核心内容

本项目围绕基于SIM卡的统一授权业务发展模式展开，涵盖研究背景、需求分析、技术方案和商业模式等内容。旨在通过SIM卡技术提升移动互联网授权业务的安全性与便捷性，为国内推广统一授权方案提供参考。

主要观点

• 安全需求提升：随着个人数据泄露事件频发，用户对在线交易、支付等敏感操作的安全性要求不断提高。
• 传统方式不足：一次性短信验证码（SMS-OTP）存在易被截获、操作流程繁琐等问题。
• SIM卡技术优势：利用SIM卡绑定的个人移动ID，可提供更安全、便捷的统一授权方式。
• 国际与国内趋势：GSMA Vision 2020推动移动认证取代传统方式，国内也出台多项法规强调数据安全。
• 商业模式探索：初期以运营商对SP收费为主，未来可能向用户收费。

关键信息

1. 研究范围与目标

• 范围：研究基于SIM卡的统一授权业务发展模式。
• 目标：通过调研、需求分析、技术方案制定和商业模式设计，推动该业务在国内的落地与应用。

2. 规范性引用文件

• 引用了GSMA发布的多个标准文件，包括：
  • CPAS1: Proposition definition and requirements
  • CPAS2: High Level Design
  • CPAS3: Level of Assurance definition
  • CPAS4: Authenticator options
  • CPAS5: OpenID Connect - OpConnect Profile
  • CPAS6: Identity Gateway functional architecture
  • CPAS7: Operator discovery and federation
  • CPAS8: SIM Applet Authentication Specification
  • Mobile Connect Product Definition v2.1

3. 定义与缩略语

• 恶意软件：指未经用户许可在终端运行，侵害用户权益的软件（不包括计算机病毒）。
• 认证器：执行身份校验并基于公钥密码算法进行认证的实体，需受严格安全边界保护。
• LoA：Level of Assurance，服务等级水平。
• SP：Service Provider，服务提供商。
• OIDC：OpenID Connect，基于OAuth 2.0的联合身份API标准。
• USSD：Unstructured Supplementary Service Data，非结构化补充数据业务。
• 2FA：2 Factor Authentication，双因子验证。

4. 研究背景

• 国际背景：GSMA Vision 2020提出移动互联方案，以取代传统认证方式。
• 国内背景：国家高度重视数据安全，出台多项法规保护用户隐私。
• 技术方向：将用户真实数据存储于运营商基础设施，通过SIM卡实现统一授权。

5. 业务分析与需求

• 认证 vs 授权：
  • 认证：验证用户身份，确保操作者是合法用户。
  • 授权：验证用户是否同意执行特定操作，确保操作责任归属。
• 授权流程：
  • 用户登录业务平台，触发授权请求。
  • 通过短信或弹窗方式向用户发送授权提示。
  • 用户确认或取消操作，授权结果返回至业务平台。
• 授权级别：
  • LoA2：点击确认（单因素）。
  • LoA3：输入PIN码（双因素）。
• 支持的认证器：
  • SMS + URL
  • USSD
  • SIM卡应用
  • 智能手机APP

6. 技术方案

• 系统架构：
  • SP、用户、运营商、发现服务接口协同完成授权流程。
• 授权流程图：
  • 用户触发请求 → 授权服务器发送短信 → 卡应用弹窗 → 用户操作 → 返回结果 → 业务平台执行操作。
• 运营商互联互通方式：
  • 三家运营商通过代理转发模式实现互联互通，SP只需接入一家即可服务全网用户。

7. 商业模式

• 合作模式：
  • 用户：使用统一授权服务完成安全操作。
  • SP：发起授权请求，接收结果并执行操作。
  • 运营商：提供认证接口，处理授权请求与结果。
• 收费模式：
  • 初期以运营商对SP收费为主，用户免费。
  • 未来可考虑向用户收费（2C模式）。
• 细分市场：
  • 银行：用于网上交易授权，支持双因素认证，SP可向运营商收费。
  • 零售：用于支付授权，SP调用运营商接口，用户先免费后可能收费。
  • 旅游：用于酒店评分等无需登录的操作，确保操作真实性。

结论

本项目通过分析基于SIM卡的统一授权业务需求与技术实现，提出了适用于国内市场的商业模式与技术方案，为运营商、SP及用户三方合作提供了参考，有助于提升移动互联网授权业务的安全性与用户体验。