如何在智能卡上执行终端身份验证？

Question

我正在尝试使用智能卡电子签名应用程序对文档进行数字签名。它是国民身份证，我遵循 ICAO 9303 和 TR-03110 规范。如果我没记错的话，在选择eSign应用程序之前，我应该预先将Terminal Authentication作为Signature Terminal执行。

在ICAO 9303中规定：

The following sequence of commands SHALL be used with secure messaging to implement Terminal Authentication:

MSE:Set DST
PSO:Verify Certificate
MSE:Set AT
Get Challenge
External Authenticate

Steps 1 and 2 are repeated for every CV certificate to be verified (CVCA Link Certificates, DV Certificate, Terminal Certificate).

要执行MSE：设置DST，应使用以下APDU：

INS - 0x22
P1/P2 - 0x81B6
Data - 0x83 Reference of a public key, ISO 8859-1 encoded name of the public key to be set

它是数据部分我不明白。我到底需要在那里提供什么？如何找到公钥或其名称？

Answer 1

我到底需要在那里提供什么？如何找到公钥或其名称？

在开始 TA 之前，您应该确保终端拥有自己的有效 CV 证书链 + 正确的私钥：

1. DV cetitificate
2. 的终端私钥的 IS 证书
3. 与 IS 证书对应

TA 的初始步骤是证书链验证：

1. 读取 EF.CVCA 和查找芯片已知的根证书的 CHR
2. 选择作为终端 DV 证书父级的证书。 EF.CVCA 中的 CHR 必须等于 DV 证书中的 CAR。
3. 发送 MSE：使用所选 CHR 设置 DST
4. 发送 PSO：使用终端 DV 证书验证证书
5. 发送 MSE：使用终端 DV 证书的 CHR 设置 DST（必须等于 IS 证书中的 CAR）
6. 发送 PSO：使用终端 IS 证书验证证书
   现在芯片知道终端的公钥，并可以用它来验证终端用其私钥签名的密码。

证书持有者参考 (CHR) 和证书授权参考 (CAR) 是编码为字符串值的 ID。

Answer 2

jmrtd库可以提供帮助：

jmrtd：机器可读文档的开源Java实现

强>简单单词以完成终端身份验证的步骤就像以下：

• 首先是（检查系统）将终端证书链发送到IC（芯片）。
• IC验证证书链并提取终端的公钥。
• IC向终端发送挑战。
• 用其私钥签署挑战。
• IC验证签名。

这样，IC就可以验证终端并授予对敏感数据组的访问。