［陳鑫 朱華虹 王剛 高敏］

1 引言

隨著移動互聯(lián)網(wǎng)技術(shù)快速發(fā)展，智能終端規(guī)模和應用呈指數(shù)級增長，國計民生與移動互聯(lián)網(wǎng)深度融合。但移動互聯(lián)網(wǎng)的安全形勢卻日趨嚴峻，網(wǎng)絡欺詐、隱私泄露等安全事件頻發(fā)?！?021年上半年我國互聯(lián)網(wǎng)網(wǎng)絡安全監(jiān)測數(shù)據(jù)分析報告》[1]指出，國家互聯(lián)網(wǎng)應急中心捕獲的移動互聯(lián)網(wǎng)惡意程序達86.6萬余個。網(wǎng)絡環(huán)境日益惡化，移動互聯(lián)網(wǎng)身份認證作為移動業(yè)務開展的安全入口，面臨重大挑戰(zhàn)。如何從認證技術(shù)和方法上提高身份認證水平，提供安全、便捷、可信的身份認證服務，推動移動互聯(lián)網(wǎng)網(wǎng)絡安全空間的發(fā)展成為研究熱點。

傳統(tǒng)的移動互聯(lián)網(wǎng)身份認證方式主要有短信驗證碼、賬號密碼、生物特征認證[2]以及第三方的免密認證等。隨著移動用戶訪問的移動應用越來越多，每個用戶一般擁有多個賬戶，因此賬號密碼方式要求用戶記憶大量密碼，這些密碼容易被遺忘，且面臨“拖庫撞庫”風險。而對于短信驗證碼方式，驗證碼易被黑客獲取，欺詐、盜用、篡改等情況屢見不鮮。生物特征方式雖然安全性較高，但是認證流程繁瑣，用戶體驗不佳。第三方的免密認證方式，主要由頭部應用依賴其龐大的用戶群體，將自身的賬號能力（如QQ賬號、微信賬號、微博賬號等）開放給移動應用市場，實現(xiàn)認證。但這種賬號捆綁的方式，出于用戶隱私及安全性考慮，金融服務等對安全性要求較高的應用不會與第三方平臺進行對接，使用場景受限。

從技術(shù)趨勢上，由于傳統(tǒng)身份認證方式在便捷性和安全性兩方面的缺陷[3]，基于實名制手機卡號和運營商核心網(wǎng)絡能力的認證技術(shù)逐漸成為移動互聯(lián)網(wǎng)身份認證的重要手段。本文將以中國電信“統(tǒng)一賬號平臺”為例，介紹運營商認證平臺技術(shù)實現(xiàn)與建設方案。

2 手機號碼免密認證技術(shù)

目前，智能手機終端在我國已經(jīng)普及。截至2021年6月，移動電話用戶總數(shù)達16.14億戶，5G手機終端連接數(shù)量達3.65億戶[4]。用戶通過移動蜂窩網(wǎng)絡接入互聯(lián)網(wǎng)，都需擁有實名制SIM卡及相應的手機號碼，因此手機號碼免密認證技術(shù)[5]被創(chuàng)新提出。該技術(shù)依托運營商移動網(wǎng)絡能力，構(gòu)建終端、移動運營商網(wǎng)絡、運營商認證平臺、應用提供商的閉環(huán)流程實現(xiàn)網(wǎng)關(guān)自動取號、用戶“本機號碼”一鍵登錄，在提供可信、安全身份認證服務的同時，滿足毫秒級的便捷登錄體驗。該技術(shù)方案涉及以下幾個環(huán)節(jié)，如圖1所示。

圖1 免密認證技術(shù)流程圖

（1）終端側(cè)：根據(jù)用戶授權(quán)觸發(fā)手機號碼免密認證流程，在認證請求中插入運營商認證平臺地址，并維持與平臺側(cè)的后續(xù)交互。為了適應終端操作系統(tǒng)的差異性，提供安卓和IOS的快速集成能力，一般在移動APP中嵌入SDK實現(xiàn)。

（2）移動運營商網(wǎng)絡側(cè)：網(wǎng)絡側(cè)主動識別該終端SIM卡信息，網(wǎng)關(guān)設備通過信令關(guān)聯(lián)、DPI技術(shù)提取手機號碼、國際移動用戶識別碼、國際移動設備識別碼等信息后，在認證消息中采用HTTP/HTTPS頭增強技術(shù)插入上述關(guān)鍵信息，并加密傳輸至認證平臺。

（3）運營商認證平臺側(cè)：獲取認證的手機號碼，并向該終端應用分配token，維護映射信息，并根據(jù)應用提供商認證需求提供手機號碼登錄、手機號碼校驗等功能。

（4）APP應用平臺側(cè)：基于攜帶token的終端認證請求向運營商認證平臺進行認證。

不難看出，所述技術(shù)方案的優(yōu)勢明顯，由于運營商網(wǎng)絡具備電信級安全能力，可以抵御認證過程中終端側(cè)的安全威脅，以及認證信息在傳輸過程中的劫持、篡改等安全風險。因此，手機號碼可作為用戶登錄應用時該終端的身份標識，實現(xiàn)認證終端與手機號碼之間的可信驗證。其中，運營商認證平臺作為其中重要的一個環(huán)節(jié)，需要在架構(gòu)、功能、安全等方面進行設計，滿足高并發(fā)、低時延、高安全的認證需求。

3 認證平臺建設方案

手機號碼免密認證技術(shù)為移動互聯(lián)網(wǎng)身份認證提供了新的思路。中國電信率先在業(yè)界研發(fā)了支持三大運營商手機號碼認證的認證平臺，建立以手機號碼為核心的統(tǒng)一賬號體系，具備基于“賬號能力”一并向合作伙伴開放的核心能力，實現(xiàn)全運營商手機號碼、用戶多應用統(tǒng)一賬號的生態(tài)化發(fā)展。平臺依托手機號碼為各互聯(lián)網(wǎng)業(yè)務間建立橋梁，大大降低業(yè)務間交互融合成本，并創(chuàng)新經(jīng)營模式，促進互聯(lián)網(wǎng)行業(yè)規(guī)模發(fā)展。

3.1 平臺架構(gòu)

中國電信統(tǒng)一賬號平臺整體業(yè)務架構(gòu)如圖2所示，包括數(shù)據(jù)能力層、業(yè)務能力層、接入控制層、產(chǎn)品接入層、產(chǎn)品應用層及配套的運維管理。

圖2 平臺整體業(yè)務架構(gòu)圖

① 數(shù)據(jù)能力層：提供移動認證所需的基礎數(shù)據(jù)支持，由于集成了運營商核心能力，除了一般的移動認證方式所需數(shù)據(jù)，該層可通過與運營商內(nèi)部用戶開銷戶、短信、增值業(yè)務、服務質(zhì)量等能力平臺對接采集網(wǎng)絡大數(shù)據(jù)，支持運營商獨有的一些移動認證方式。

② 業(yè)務能力層：主要基于用戶識別能力（實名碼號信息、終端信息、運營商歸屬等），提供手機號碼免密認證、賬號密碼認證、短信認證、生物特征認證、二維碼掃描認證等多因子移動認證能力。

③ 接入控制層：認證信息傳輸加解密、流量控制、流量調(diào)度、計費控制等技術(shù)保障平臺及業(yè)務的安全可靠運行。

④ 產(chǎn)品接入層：基于嵌入WEB端、WAP端的各類APK、SDK套件提供安卓和IOS終端的快速集成，合作應用可通過該層實現(xiàn)快速集成應用。

⑤ 產(chǎn)品應用層：面向自營業(yè)務、企業(yè)客戶、第三方應用提供適合個人、企業(yè)的個性化解決方案及產(chǎn)品視圖。

⑥ 后臺管理：平臺后臺管理和系統(tǒng)運行參數(shù)配置，主要包括應用審批、計費管理、參數(shù)配置、業(yè)務報表等。

⑦ 監(jiān)控管理：對平臺運行狀態(tài)進行監(jiān)控并主動預警，主要包括流量監(jiān)控、運行狀態(tài)監(jiān)控、服務器環(huán)境監(jiān)控、業(yè)務狀態(tài)碼監(jiān)控等。

3.2 技術(shù)特征

隨著手機號碼免密認證逐漸成為互聯(lián)網(wǎng)應用首選登錄方式，互聯(lián)網(wǎng)企業(yè)對運營商認證平臺除了要求認證場景適配外，也對其平臺提出了SLA和技術(shù)性能相關(guān)指標相關(guān)要求，同時還要求在活動和大促期間提供高并發(fā)、高性能支持。因此統(tǒng)一賬號平臺需要具備以下幾個技術(shù)特征。

① 高可用

統(tǒng)一賬號平臺基于阿里云和天翼云跨云平臺構(gòu)建了分布式混合云的異地多節(jié)點部署架構(gòu)，節(jié)點之間通過專線進行互聯(lián)互通，通過綜合監(jiān)控系統(tǒng)、數(shù)字生活撥測平臺對節(jié)點應用情況進行監(jiān)控，當出現(xiàn)閾值預警時，通過基于DNS調(diào)度技術(shù)，綜合重點應用保障、流量波動特點等因素，實現(xiàn)無縫自動切換，確保提供無間斷的服務，保障平臺的可靠性達到電信級。

② 高并發(fā)

免密認證作為移動互聯(lián)網(wǎng)應用認證入口，平臺十萬級并發(fā)已成平臺常態(tài)，電商集中促銷、春節(jié)紅包營銷活動高峰期對平臺并發(fā)需求達到百萬級。平臺自研了基于K8S的“簡云容器管理系統(tǒng)”，實現(xiàn)終端、認證平臺、第三方應用服務器間的多路優(yōu)選及資源柔性調(diào)度，平臺各服務組件采用簡云系統(tǒng)部署，如圖3所示，具備多節(jié)點、可伸縮性、高可用、高性能等特征，在高并發(fā)的情況下為系統(tǒng)提供有力的資源保障。

圖3 平臺多節(jié)點部署架構(gòu)圖

③ 高性能

認證時間對用戶交互體驗及登錄轉(zhuǎn)化率有極大影響。統(tǒng)一賬號平臺對開源Kong網(wǎng)關(guān)進行了二次改造開發(fā)，并增加了高性能業(yè)務組件，同時對下游微服務進行邏輯優(yōu)化，并采用更適用高并發(fā)場景的GO語言重構(gòu)，極大地提升認證接口性能，認證接口時延小于20 ms，保障高并發(fā)情況下接口性能。網(wǎng)關(guān)部署架構(gòu)圖如圖4所示。

圖4 網(wǎng)關(guān)部署架構(gòu)圖

④ 高安全

手機號碼的免密認證技術(shù)需要網(wǎng)關(guān)設備通過頭增強方式插入用戶信息并傳遞給認證平臺，由于用戶信息屬于敏感類信息，為了提高傳輸安全性，運營商網(wǎng)關(guān)設備采用了基于HTTP/HTTPS頭增強的傳輸加密技術(shù)。在保障網(wǎng)關(guān)設備線速轉(zhuǎn)發(fā)的條件下，采用RC4等混淆組合算法對在HTTP/HTTPS報文頭中插入的手機號碼等信息進行加密轉(zhuǎn)換處理后再發(fā)送給平臺。同時，為了防止用戶使用欺詐的頭增強信息進行認證，研發(fā)頭增強防欺詐功能，針對高安全場景，支持SM2金融級國密算法，整體提升免密認證的安全性。同時基于SDK終端運行環(huán)境和網(wǎng)絡連接狀態(tài)的多維安全檢測技術(shù)，實現(xiàn)移動認證的終端安全接入。針對復雜的終端接入應用場景，認證平臺具備端網(wǎng)云協(xié)同的安全檢測能力。終端SDK自動動態(tài)檢測網(wǎng)絡連接狀態(tài)，在免密認證時采用蜂窩網(wǎng)絡。云端利用網(wǎng)絡大數(shù)據(jù)，對用戶接入網(wǎng)絡的信息進行校驗，防止整個流程中存在被劫持的風險，有效地加固了免密認證的身份識別流程，保證了免密認證的準確率和安全性。系統(tǒng)運行至今，信息泄露事件0發(fā)生。認證平臺整體安全實現(xiàn)如圖5所示。

圖5 平臺安全示意圖

4 認證平臺建設實踐

經(jīng)過幾年的建設，中國電信建成了基于分布式混合云部署架構(gòu)，提供以手機號碼免密認證為基礎，融合賬號密碼、短信、生物特征等多因子身份認證技術(shù)的運營商認證平臺，適配不同場景對身份認證安全等級的需求，滿足移動互聯(lián)網(wǎng)的新場景、新業(yè)態(tài)、新模式安全認證需求。

① 免密認證為主的多因子認證疊加

為滿足不同場景對移動認證安全等級的要求，統(tǒng)一賬號平臺支持運營商手機號碼的免密認證、賬號密碼、短信認證、生物特征等多因子身份認證技術(shù)，并可按需主動提供單因子、雙因子、多因子疊加的認證能力。

② 適配多場景、多模式接入

提供基于安卓和IOS的SDK認證接入方式，合作應用可通過集成SDK迅速支持免密認證。針對PC端提供內(nèi)嵌頁面和二維碼生成模式，用戶可以通過終端手機掃碼免密認證達到登錄PC端的目的。同時對于H5和小程序環(huán)境，統(tǒng)一賬號平臺研發(fā)了JS-SDK，H5和小程序通過快速集成應用，可迅速支持免密認證。

③ 提供全網(wǎng)絡運營商免密認證互通能力

統(tǒng)一賬號平臺通過運營商歸屬快速查詢、用戶在線溯源、運營商接口串聯(lián)等技術(shù)，實現(xiàn)三大運營商（電信、移動、聯(lián)通）網(wǎng)絡的全網(wǎng)絡賬號可靠性識別，提供了全網(wǎng)絡移動用戶的認證技術(shù)能力。

④ 運營商特色能力結(jié)合輸出

統(tǒng)一賬號平臺與運營商核心業(yè)務系統(tǒng)串聯(lián)互通，在認證的同時，可提供基于運營商的二次卡、攜號轉(zhuǎn)網(wǎng)、號碼實名確認等用戶信息能力驗證。

統(tǒng)一賬號平臺能力已在通信行程卡、云閃付、支付寶、小紅書、拼多多、嗶哩嗶哩、快手、天翼全系列產(chǎn)品、京東等超過4萬個移動互聯(lián)網(wǎng)應用，提供可信、安全、便捷的認證，部分認證頁面如圖6所示，涉及疫情防控、民生服務、數(shù)字金融等眾多領域，覆蓋電信、移動、聯(lián)通等運營商移動用戶。截至2022年7月，平臺累計認證移動用戶超10億，日認證能力超過15億次，日活躍用戶數(shù)量近5 000萬，是運營商中首個具備4G/5G全制式免密認證能力的認證平臺，成為中國電信行業(yè)滲透率第一的產(chǎn)品。平臺成果成功落地疫情防控領域，為通信大數(shù)據(jù)行程卡提供“本機號碼一鍵登錄”的移動認證功能，極大降低了各類群體對行程卡的使用門檻，提升了用戶的使用效率，也獲得中國信息通信研究院的高度認可。同時平臺經(jīng)歷了“線上春晚”紅包大戰(zhàn)等高并發(fā)場景的考驗，降低了移動認證的使用門檻，顯著提高了移動互聯(lián)網(wǎng)應用的認證效率、整體安全和用戶體驗，增進民生福祉，助力數(shù)字經(jīng)濟高質(zhì)量發(fā)展。

圖6 實踐應用效果圖

5 結(jié)束語

隨著5G新型基礎設施建設的穩(wěn)步推進，移動互聯(lián)網(wǎng)將繼續(xù)高速發(fā)展，產(chǎn)業(yè)規(guī)模持續(xù)擴大，應用范圍不斷提升。而面對層出不窮的安全威脅和日益嚴峻的安全形勢，打造可信移動認證將成為重中之重。運營商認證平臺將進一步應用于移動互聯(lián)網(wǎng)領域，催生移動互聯(lián)網(wǎng)的新場景、新業(yè)態(tài)、新模式，帶動芯片、網(wǎng)絡、終端、平臺的產(chǎn)業(yè)發(fā)展，不斷推進信息通信技術(shù)與數(shù)字經(jīng)濟、數(shù)字社會深度融合，為我國全面推進城市數(shù)字化轉(zhuǎn)型、高效統(tǒng)籌疫情防控和經(jīng)濟社會發(fā)展提供重要支撐。