手机远程认证系统

手机远程认证系统由手机的芯片厂商或者手机厂商提供。该功能用于验证特定数据是不是由特定手机发出来。在央行数字货币钱包应用中，该功能用于实现一个账户只能在一个钱包中并绑定一台手机。

主要过程

生产时的预置要求

央行数字货币钱包需要事先获得手机厂商使用其 TEE 的授权。央行数字货币钱包 APP 无须在手机出厂时预置入手机，但其位于 TEE 中的可信应用（TA）部分，应当事先获得手机厂商的签名，以便用户下载后，手机允许其安装和运行。智能手机如何利用其 Rootof Trust 进行安全的启动并对 TA 是否经过授权进行核查，超出了本文的范围，不做展开。

央行数字货币钱包的 TA 部分负责预置央行数字货币发行公钥、央行钱包认证根公钥、央行数字货币登记系统的服务器根证书，存储 UTXO 账本信息、央行钱包认证子私钥、用户私钥等敏感信息，处理签名 / 验签、近场通信中交互的交易信息、UTXO 交易报文组装等敏感操作，并使用安全显示（TUI）实现用户信息的显示 / 输入。

钱包激活

用户向央行数字货币登记系统申请数字货币账号，或者更换手机进行钱包迁移时，需要对钱包进行激活，以便向央行数字货币登记系统登记设备标识并关联其数字货币账号，确保一个账号只能在一台手机上进行交易。

1. 用户在手机上下载央行数字货币钱包。
2. 数字货币钱包连接央行数字货币登记系统服务器并利用 TEE 中预置的央行数字货币登记系统根证书，验证服务器是真的。
3. 央行数字货币登记系统利用手机远程认证系统，对手机进行验证，确认手机是真实的且状态是安全的（不是安卓模拟器，没有被 root 等），并通过验证过程获得手机的可信标识（与 IMEI 不同，该标识是关联手机远程认证功能的公私密钥对的公钥，可对手机在远程认证中的签名进行认证），登记用户数字货币账户与手机可信标识的关联。远程认证本质上是利用手机生产时在安全条件下预埋的公私密钥对，对后续在手机上产生的数据（包括手机可信标识）进行进行签名认证。华为的手机根密钥模块、高通的 QWES(Qualcomm Wireless Edge Service) 等均提供了该功能。远程认证的具体方案超出了本文的范围，不再赘述。
4. 用户进行必要的 KYC 过程。KYC 有强弱不同的多个层次。从弱到强可能包括：手机验证码认证，姓名身份证号认证，拍摄身份证的照片+人脸比对认证，刷二代身份证或 eID 公民网络身份+人脸比对认证，柜面办理面签认证等。除柜面办理外，其他均可在线完成。
5. 央行数字货币登记系统派生钱包认证密钥，并将派生参数和生成的子私钥下发至钱包。 (责任编辑：admin)