JR/T 0340-2025 移动终端数字证书应用技术规范

　　中华人民共和国金融行业标准

　　JR/T 0340—2025

　　移动终端数字证书应用技术规范

　　Technical specification for mobile terminal digital certificate

　　application

　　2025 - 07 - 11 发布2025 - 07 - 11 实施

　　中国人民银行发布

　　目 次

　　前言.................................................................................. II

　　引言................................................................................. III

　　1 范围................................................................................ 1

　　2 规范性引用文件...................................................................... 1

　　3 术语和定义.......................................................................... 1

　　4 移动证书应用框架.................................................................... 3

　　5 移动证书服务端模块技术要求.......................................................... 4

　　6 服务端业务系统技术要求.............................................................. 5

　　7 客户端移动应用技术要求.............................................................. 5

　　8 证实方法............................................................................ 6

　　附录A(资料性)基于非对称密钥分散的移动证书参考实现....................................7

　　附录B(资料性)基于TEE/SE 的移动证书参考实现...........................................9

　　参考文献.............................................................................. 10

　　JR/T 0340—2025

　　II

　　前 言

　　本文件按照GB/T 1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

　　起草。

　　请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

　　本文件由中金金融认证中心有限公司提出。

　　本文件由全国金融标准化技术委员会(SAC/TC 180)归口。

　　本文件起草单位：中金金融认证中心有限公司、中国人民银行山东省分行、中国银联股份有限公司、

　　中国银行股份有限公司、交通银行股份有限公司、中国邮政储蓄银行股份有限公司、安徽省农村信用社

　　联合社、山东省农村信用社联合社、徽商银行股份有限公司、广发银行股份有限公司、中信银行股份有

　　限公司、上海浦东发展银行股份有限公司、江苏省农村信用社联合社、杭州银行股份有限公司、上海农

　　村商业银行股份有限公司、华夏银行股份有限公司、广东华兴银行股份有限公司、深圳前海微众银行股

　　份有限公司、渤海银行股份有限公司、北京钱袋宝支付技术有限公司、网易支付(杭州)有限公司、资

　　和信电子支付有限公司、重庆大学。

　　本文件主要起草人：朱钢、张野、刘通、张翼、魏晓莉、赵烨昕、李恩达、龚喜杰、高飞、王博、

　　王奇、刘晓晴、钟琪、谷彬彬、赵钰、马征、王栋、韩婷婷、邱震尧、蒋慧科、袁思思、胡敏、尚占奇、

　　郭启立、肖遥、张威、毛海庆、李长礼、李雅、邓箫笛、刘文佳、杨晨、曹碧云、高继全、郭寒冰、刘

　　亚军、朱刚、高江健、蒋睿良、曾以蓁、林晔、黄育佳、刘军、王阿婷、卜异亚、窦炳琳、赵红、李健、

　　陈庆华、姜桂华、赵小平、张淳、金铭、汪平、刘宇、韩博、吴莉丽、谭柱钢、朱丹、徐宇舜、黄益伟、

　　洪创煌、甄宇、王文彬、李阳、余洋、田慧鹏、陈逢文。

　　JR/T 0340—2025

　　III

　　引 言

　　随着智能移动终端的普及和移动互联网技术在金融领域的快速发展，利用数字证书在移动终端上保

　　障业务安全性需求日益凸显。将移动终端作为数字证书的载体，以其方便快捷的使用方式和良好的用户

　　体验，将逐步演变为一种数字证书应用新模式。此模式下，移动终端数字证书可为移动应用提供统一的

　　数字证书使用方式，实现数字证书使用方式的无缝切换与多样化选择，从而有效降低应用部署成本，提

　　升数字证书在移动终端上的普及率和安全性。

　　鉴于移动证书应用场景的多元化、金融机构业务类型的复杂性，以及当前各银行业金融机构、非银

　　行支付机构和数字证书平台建设方的业务现状，为了对尚属发展阶段但已广泛应用于移动终端的数字证

　　书业务进行统一规范与指导，特制定本文件。

　　JR/T 0340—2025

　　1

　　移动终端数字证书应用技术规范

　　1 范围

　　本文件规定了移动终端数字证书应用的框架，以及服务端模块、服务端业务系统和客户端移动应用

　　的技术要求。

　　本文件适用于在金融领域提供移动证书应用服务的机构，包含应用移动终端数字证书服务的银行业

　　金融机构、非银行支付机构等。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

　　仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本

　　文件。

　　GB/T 22239—2019 信息安全技术网络安全等级保护基本要求

　　GB/T 25056—2018 信息安全技术证书认证系统密码及其相关安全技术规范

　　GB/T 35273—2020 信息安全技术个人信息安全规范

　　GB/T 42930—2023 互联网金融个人身份识别技术要求

　　GM/T 0024—2023 SSL VPN 技术规范

　　JR/T 0068—2020 网上银行系统信息安全通用规范

　　JR/T 0092—2019 移动金融客户端应用软件安全管理规范

　　JR/T 0093.6—2015 中国金融移动支付远程支付应用第6 部分：基于安全单元(SE)的安全

　　服务技术规范

　　JR/T 0118—2015 金融电子认证规范

　　JR/T 0171—2020 个人金融信息保护技术规范

　　JR/T 0285—2024 基于数字证书的移动终端金融安全身份认证规范

　　3 术语和定义

　　下列术语和定义适用于本文件。

　　3.1

　　移动终端mobile terminal

　　可移动的便携式计算设备。

　　注：移动终端包括带有无线上网功能的智能移动通信终端、平板式计算机、便携式计算机。

　　[来源：GB/T 25069—2022，3.719]

　　3.2

　　数字证书digital certificate

　　JR/T 0340—2025

　　2

　　由国家认可的，具有权威性、可信性和公正性的第三方证书认证机构(CA)进行数字签名的一个可

　　信的数字化文件。

　　[来源：GB/T 20518—2018，3.7，有修改]

　　3.3

　　移动证书mobile certificate

　　以移动终端为载体的数字证书。

　　3.4

　　数字签名digital signature

　　数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。

　　3.5

　　移动应用mobile application

　　安装或运行在移动终端上，通过网络链接服务端进行交互操作的应用程序软件。

　　[来源：JR/T 0225—2021，3.2，有修改]

　　3.6

　　移动证书应用服务mobile certificate application service

　　由证书应用提供方提供、能够帮助应用提供方和签名方实现移动证书管理和移动终端数字签名功能

　　的服务。

　　3.7

　　电子认证机构certification authority

　　对数字证书进行全生命周期管理的实体。

　　[来源：JR/T 0118—2015，3.2]

　　3.8

　　非对称密钥分散asymmetric key distribution

　　利用算法将非对称密钥对中的私钥分量分布在不同的设备中，以避免全部私钥信息的直接存储和使

　　用。

　　3.9

　　安全单元secure element;SE

　　负责身份认证服务的密钥和数字证书等关键数据的存储和运算的高安全性硬件部件。

　　注：安全单元包括移动终端集成的安全芯片和外置的安全芯片。

　　[来源：JR/T 0088.1—2012，2.11，有修改]

　　3.10

　　可信执行环境trusted execution environment;TEE

　　JR/T 0340—2025

　　3

　　基于硬件级隔离及安全启动机制，为确保安全敏感应用相关数据和代码的机密性、完整性、真实

　　性和不可否认性目标构建的一种软件运行环境。

　　注：硬件级隔离是基于硬件安全扩展机制，通过对计算资源的固定划分或动态共享，保证隔离资源不被富执行环境

　　访问的一种安全机制。

　　[来源：GB/T 41388—2022，3.3]

　　3.11

　　富执行环境rich execution environment;REE

　　在移动终端内，由通用操作系统管理和控制的环境。

　　注：通用操作系统及运行在其中的应用程序具有不可信的特点。

　　4 移动证书应用框架

　　4.1 总体框架

　　移动证书应用服务体系架构参考模型如下图所示，主要由客户端、服务端和电子认证机构3 部分组

　　成。

　　图移动证书应用服务体系架构参考模型

　　4.2 客户端

　　客户端包括移动应用和移动证书客户端模块。移动应用是移动证书服务的使用者，用户在移动终端

　　上通过移动应用使用移动证书客户端模块获取完整的数字证书服务，包括数字证书申请、数字证书下载、

　　对交易报文使用数字证书进行签名确认等。移动证书客户端模块可由第三方机构向移动应用提供。

　　4.3 服务端

　　服务端包括业务系统和移动证书服务端模块。业务系统提供具体业务服务，并通过验证用户的签名

　　和验证移动证书有效性，来判断用户操作真实性。移动证书服务端模块为用户提供移动证书的生命周期

　　管理服务。移动证书服务端模块可由第三方机构向业务系统提供。

　　4.4 电子认证机构

　　JR/T 0340—2025

　　4

　　电子认证机构负责提供数字证书全生命周期管理功能。使用合法CA 机构时，由CA 机构提供的数字

　　证书必须符合《中华人民共和国电子签名法》的要求。

　　4.5 移动证书技术要求

　　4.5.1 概述

　　移动证书技术的基本要求应符合JR/T 0118—2015中第5章、第6章的相关技术要求。移动证书私钥

　　安全存储方式包括文件证书存储方式、基于非对称密钥分散的证书存储方式、基于TEE/SE的证书存储方

　　式等。

　　4.5.2 文件证书存储方式

　　移动终端采用文件证书存储方式时应满足JR/T 0068—2020 中6.2.2.2 文件证书的要求。

　　4.5.3 基于非对称密钥分散的证书存储方式

　　移动终端采用非对称密钥分散的证书存储方式时，可采用非对称密钥分散技术等安全保障措施，防

　　止证书私钥外泄，确保私钥安全性。基于非对称密钥分散的移动证书参考实现见附录A。

　　4.5.4 基于TEE/SE 的证书存储方式

　　移动终端采用TEE/SE 存储方式时，应符合JR/T 0093.6—2015 中第5 章、第6 章、第7 章以及JR/T

　　0285—2024 中第6 章、第7 章、第8 章的有关基于安全单元的移动证书应用技术要求。基于TEE/SE 的

　　移动证书参考实现见附录B。

　　5 移动证书服务端模块技术要求

　　5.1 身份鉴别

　　移动证书服务端模块应独立识别或通过业务系统识别每个访问实体(证书的拥有者)的真实身份，

　　并确保每个实体只能按照业务系统设定的范围提供业务服务。在访问实体身份被成功鉴别前，移动证书

　　服务端模块应禁止执行该实体的任何操作。移动证书服务端模块应符合GB/T 42930—2023 中第6 章、

　　第7 章、第8 章的相关要求。

　　当移动证书服务端模块和服务端业务系统处于不同的网络环境时，移动证书服务端模块应对服务端

　　业务系统进行身份鉴别，可通过对其部署数字证书进行识别。

　　5.2 通讯安全

　　移动证书服务端模块采用互联网通信时，应支持安全套接层协议或传输层安全协议(SSL/TLS)

　　等安全的通信方式，应符合GM/T 0024—2023 的相关要求。

　　当移动证书服务端模块与服务端业务系统处于不同的网络环境时，应通过建立安全传输通道，例如

　　专线、虚拟专用网络(VPN)或其他安全方式进行通信。

　　5.3 数据存储安全

　　移动证书服务端模块应支持静态加密和动态加密的证书存储方式，移动证书服务端模块对个人信息

　　的保护宜符合GB/T 35273—2020中第6章和JR/T 0171—2020中第6章的相关要求。

　　5.4 用户密钥安全

　　移动证书服务端模块应保证用户密钥的安全性，防止密钥泄露。

　　JR/T 0340—2025

　　5

　　采用非对称密钥分散方式提供移动证书应用服务时，移动证书服务端模块应保证服务端用户私钥分

　　量的安全性，防止私钥分量外泄，避免签名被冒用的风险。调用服务端用户私钥分量时，应对用户身份

　　进行身份鉴权。

　　5.5 安全审计

　　移动证书服务端模块应具备完善的安全审计功能，能对系统的管理日志、异常日志、服务日志、安

　　全事件以及相关的时间、人员信息进行全面记录、统计和分析。同时，应确保日志不被未经受授权的访

　　问、意外删除、篡改或覆盖，并应符合GB/T 22239—2019中7.1.3.5关于日志审计的相关要求。

　　5.6 系统可靠性

　　移动证书服务端模块系统应提供7×24小时的服务，并具备容灾备份机制，支持应用备份、数据备

　　份及关键数据的异地备份，同时应符合GB/T 25056—2018中8.4关于系统可靠性的相关要求。

　　6 服务端业务系统技术要求

　　6.1 身份鉴别

　　服务端业务系统可采用的身份鉴别技术包括但不限于已有数字证书、身份证要素验证、银行卡要素

　　验证、动态口令(OTP)、生物识别技术、临柜面签，应符合GB/T 42930—2023 中第6 章、第7 章、第

　　8 章和JR/T 0285—2024 中6.2 的相关要求。

　　6.2 传输安全

　　服务端业务系统应使用安全传输通道，完成与移动证书服务端模块的数据交互。数据交互可使用专

　　线、VPN 或其他安全方式进行。

　　7 客户端移动应用技术要求

　　7.1 身份鉴别

　　客户端移动应用与服务端业务系统通信时，采用密码技术识别双方真实身份，可采用的手段包括但

　　不限于数字签名、数据加密、SSL 通信等。

　　移动证书客户端模块对实际使用者应具有身份鉴别功能，在启用私钥进行签名之前，应采用口令或

　　生物识别等方式对实际使用者进行鉴别，鉴别通过才能生成签名;若鉴别不通过，则应拒绝生成签名。

　　7.2 传输安全

　　客户端移动应用应使用安全传输通道完成与服务端的数据交互。

　　7.3 数据存储安全

　　客户端移动应用使用的密码算法必须符合国家密码管理部门的相关规定，对移动应用中所需保存的

　　本地敏感数据进行加密保护。

　　7.4 程序完整性保护

　　JR/T 0340—2025

　　6

　　客户端移动应用应具备软件完整性检测功能和代码防篡改、防调试技术，防范客户端程序被替换、

　　篡改或动态调试，可采用代码加壳、代码签名验证等方式，应满足JR/T 0068—2020 中6.2.1 和JR/T 0092

　　—2019 中5.3.4 的客户端相关安全技术要求。

　　7.5 移动证书客户端模块密钥管理要求

　　移动证书客户端模块密钥管理应符合以下要求。

　　a)移动证书客户端模块应具备密码运算功能，能够实现签名或验签等功能，密码算法必须符合国

　　家密码管理部门的相关规定。

　　b)移动证书客户端模块应实现私钥安全存储功能，不提供私钥导出指令，采用非对称密钥分散或

　　TEE/SE 密钥的证书存储方式下，签名过程中完整私钥不应以明文形式在移动终端富执行环境

　　REE 内存中出现。

　　c)移动证书客户端模块应与移动设备信息及应用信息绑定，防范证书被非法复制到其他移动设备

　　或应用上使用。

　　8 证实方法

　　8.1 移动证书服务端模块技术要求验证

　　按照第5 章移动证书服务端模块技术要求，通过文档审查、服务操作测试、身份鉴别安全评估、数

　　据存储安全检查、用户密钥安全管理、审计记录审核、系统可靠性验证等方式进行验证。

　　8.2 服务端业务系统技术要求验证

　　按照第6 章服务端业务系统技术要求，通过文档审查、服务操作测试、身份鉴别安全评估、传输安

　　全检查等方式进行验证。

　　8.3 客户端移动应用技术要求验证

　　按照第7 章客户端移动应用技术要求，通过文档审查、服务操作测试、身份鉴别安全评估、传输安

　　全检查、数据存储安全验证、程序完整性校验等方式进行验证。

　　JR/T 0340—2025

　　7

　　附录A

　　(资料性)

　　基于非对称密钥分散的移动证书参考实现

　　为解决非对称密钥的私钥在单一节点存储所带来的安全隐患，将私钥分量分布在不同的设备中，以

　　避免全部私钥信息的直接存储和使用。签名时，各设备的私钥分量进行协同签名运算。例如在移动互联

　　网环境下，云端与终端分别存储部分私钥分量，使用时进行协同计算，完整私钥不在任何一方完整出现。

　　基于非对称密钥分散的移动证书参考实现满足以下条件。

　　a)在涉及密钥运算的操作中(例如公钥初始化、签名计算等)，私钥不在任何参与方以完整的形

　　式出现。

　　b)由协同签名的交互数据不能逆向推测私钥，包括但不限于过程随机数。

　　基于非对称密钥分散的移动证书应用技术框架如下图所示。

　　图基于非对称密钥分散的移动证书应用技术框架

　　基于非对称密钥分散的移动证书应用的主要流程如下。

　　a)证书下载：

　　——下载客户移动证书时，需进行身份鉴别，身份鉴别凭证设定有效期，超出有效期未下载证

　　书的，需重新办理。

　　——用户在移动终端使用移动应用上的移动证书客户端模块发起证书下载操作，由移动证书客

　　户端模块向移动证书服务端模块发起证书下载请求，在生成证书后将证书写入移动证书客

　　户端模块中，完成证书下载。

　　b)证书签名验签：

　　——移动应用使用移动证书客户端模块对交易数据签名，服务端业务系统验证签名有效性。

　　——交易签名验签满足以下条件。

　　•签名前，客户端移动应用验证用户身份。

　　•签名由移动证书客户端模块和移动证书服务端模块协同签名后合成完整的签名值。

　　•验签结果反馈至服务端业务系统。

　　JR/T 0340—2025

　　8

　　c)证书更新：使用新证书替换当前证书，适用于证书即将过期、已过期或用户主动发起更新的情

　　况。当前证书可用时，移动证书服务端模块对当前证书进行验证，验证通过后下发新证书;当

　　前证书不可用时，用户参照证书下载流程重新申请证书。

　　d)证书注销：用户不再使用移动证书服务时，服务提供方为用户提供注销服务，服务注销时启动

　　证书吊销服务。

　　JR/T 0340—2025

　　9

　　附录B

　　(资料性)

　　基于TEE/SE 的移动证书参考实现

　　B.1 概述

　　基于TEE/SE 的移动证书架构图如图B.1 所示。在移动终端部分，证书管理模块负责证书申请、证

　　书存储、证书更新、个人身份识别码(PIN)设定、重置等;密钥管理模块负责密钥的生成、存储和签

　　名。

　　图B.1 基于TEE/SE 的移动证书架构图

　　B.2 基于TEE/SE 的移动证书应用客户端

　　基于TEE/SE 的移动证书应用客户端架构如图B.2 所示。其中，证书管理和可信用户界面(TUI)服

　　务在TEE 中实现，密钥管理在SE 中实现。TUI 服务负责证书PIN 设置界面、PIN 验证输入界面、转账界

　　面等场景下的信息展示和安全输入。

　　图B.2 基于TEE/SE 的移动证书应用客户端架构

　　JR/T 0340—2025

　　10

　　参考文献

　　[1] GB/T 20518—2018 信息安全技术公钥基础设施数字证书格式

　　[2] GB/T 25069—2022 信息安全技术术语

　　[3] JR/T 0225—2021 保险移动应用信息安全基本要求

　　[4] 《中华人民共和国电子签名法》

　　[5] 尚铭，马原，林璟锵，荆继武.SM2 椭圆曲线门限密码算法[J].密码学报，2014，1(2)：155