CN101765101B - 一种空中个人化写卡的方法和*** - Google Patents

Abstract

一种空中个人化写卡的方法和***；方法包括：终端向业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带附属卡提供的公钥；所述业务平台生成个人化数据；用所述公钥加密所述个人化数据得到个人化加密数据，并通过所述终端返回给所述附属卡；所述附属卡使用与所述公钥配对的私钥解密所述个人化加密数据得到明文的个人化数据并保存。本发明可降低附属卡生产管理成本，减少号段资源的浪费，方便运营商的数据安全管理。

Description

一种空中个人化写卡的方法和***

技术领域

本发明涉及通讯领域，尤其涉及一种空中个人化写卡的方法和***。

背景技术

近年来，基于终端的业务在不断发生着变化，以手机电视和移动支付为例，业务不是承载在用户身份识别模块(主卡)或终端上，而是承载在一个新的业务安全模块上，通常将该业务安全模块称为附属卡。附属卡的出现与跨行业应用紧密相关，其特点是网络运营商与其它合作方(例如广电总局、银联等)联合开发共同运营。通常附属卡采用独立发行和销售的模式，但在业务启用之时附属卡与主卡将自动建立关联，附属卡业务可归于主卡用户业务管理范畴。

附属卡的主要功能是实现业务安全控制和管理。在附属卡发行阶段需要完成业务相关密钥和敏感信息的写入(俗称个人化写卡)。通常个人化写卡由附属卡提供商完成，运营商管理也相对简单。但另一方面也带来很多问题：

首先，附属卡本质上是一颗独立的芯片，不限于作为业务安全模块，其产品表现形态可以多种多样，可以是SD卡，也可以根据需要封装成各种嵌入式模块，例如将其与终端基带芯片封装在一起。如果采用这种嵌入式的模块，涉及模块损失导致的号码回收、物流控制、生产管理及库存压力等一系列问题。

其次，部分用户长期不使用相关业务也会导致号段资源无谓占用；安全方面也存在一定的风险，运营商必须加强对提供商的严格监管，以防止业务密钥泄露。

发明内容

本发明要解决的技术问题是提供一种空中个人化写卡的方法和***，可降低附属卡生产管理成本，减少号段资源的浪费，方便运营商的数据安全管理。

为了解决上述问题，本发明提供了一种空中个人化写卡的方法，包括：

A、终端向业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带附属卡提供的公钥；

B、所述业务平台生成个人化数据；用所述公钥加密所述个人化数据得到个人化加密数据，并通过所述终端返回给所述附属卡；

C、所述附属卡使用与所述公钥配对的私钥解密所述个人化加密数据得到明文的个人化数据并保存。

进一步地，所述步骤A中：

终端在所述个人化数据请求消息中还携带附属卡提供的附卡侧公钥及附属卡唯一标识验证码及该附属卡的唯一标识；

所述步骤A后、步骤B前还包括：

所述业务平台使用共享初始密钥验证所述附卡侧公钥及附属卡唯一标识验证码的合法性，验证通过则进行步骤B。

进一步地，所述步骤B还包括：

业务平台使用共享初始密钥生成个人化加密数据的验证码，并通过所述终端返回给所述附属卡；

所述步骤B后、步骤C前还包括：

附属卡使用所述共享初始密钥检查所述个人化加密数据的验证码是否正确，如果正确则进行步骤C。

进一步地，所述步骤A前还包括：

S1、终端向业务平台发送初始化请求消息，在所述初始化请求消息中携带主卡的用户标识；

S2、业务平台根据所述用户标识返回相应的平台侧公钥及附属卡唯一标识验证码；如果用户标识未保存过，则返回的平台侧公钥及附属卡唯一标识验证码为空；

S3、终端从附属卡获取公钥、该附属卡的唯一标识以及附卡侧公钥及附属卡唯一标识验证码；如果业务平台返回的的平台侧公钥及附属卡唯一标识验证码为空，或与所述附卡侧公钥及附属卡唯一标识验证码不同，则进行步骤A；否则无须进行空中个人化写卡。

进一步地，当一个主卡绑定多个附属卡时，所述步骤S2中：

所返回的平台侧公钥及附属卡唯一标识验证码为多个，分别与不同附属卡的唯一标识对应；

所述步骤S3中，当业务平台返回的平台侧公钥及附属卡唯一标识验证码有多个时，所述终端根据所述附属卡的唯一标识在其中选择相应的平台侧公钥及附属卡唯一标识验证码与所述附卡侧公钥及附属卡唯一标识验证码进行比较。

本发明还提供了一种空中个人化写卡的***，包括：

所述终端用于向所述业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带所述附属卡提供的公钥；

所述业务平台用于生成个人化数据Data；用所述公钥加密所述个人化数据得到个人化加密数据，并通过所述终端返回给所述附属卡；

所述附属卡用于使用与所述公钥配对的私钥解密所述个人化加密数据得到明文的个人化数据并保存。

进一步地，所述终端还在所述个人化数据请求消息中携带附属卡提供的附卡侧公钥及附属卡唯一标识验证码及该附属卡的唯一标识；

所述业务平台还用于在生成所述个人化数据前，使用共享初始密钥验证所述附卡侧公钥及附属卡唯一标识验证码的合法性，验证通过则生成所述个人化数据。

进一步地，所述业务平台还用于在生成所述个人化加密数据后，使用共享初始密钥生成个人化加密数据的验证码，并通过所述终端返回给所述附属卡；

所述附属卡还用于在解密所述个人化加密数据前，先使用共享初始密钥检查所述个人化加密数据的验证码是否正确，如果正确则解密所述个人化加密数据。

进一步地，所述的***还包括：

主卡；

所述终端还用于向业务平台发送初始化请求消息，在所述初始化请求消息中携带主卡的用户标识；以及用于判断是否进行空中个人写卡，如果业务平台返回的的平台侧公钥及附属卡唯一标识验证码为空，或与所述附卡侧公钥及附属卡唯一标识验证码不同，则发送所述个人化数据请求消息；否则不发送所述个人化数据请求消息；

所述业务平台还用于根据用户标识返回相应的平台侧公钥及附属卡唯一标识验证码；如果用户标识未保存过，则返回为空的平台侧公钥及附属卡唯一标识验证码。

进一步地，当一个主卡绑定多个附属卡时：

所述业务平台所返回的平台侧公钥及附属卡唯一标识验证码为多个，分别与不同附属卡的唯一标识对应；

所述终端当业务平台返回的平台侧公钥及附属卡唯一标识验证码有多个时，根据所述附属卡的唯一标识在其中选择相应的平台侧公钥及附属卡唯一标识验证码与所述附卡侧公钥及附属卡唯一标识验证码进行比较。

本发明为网络运营商自行完成个人化写卡提供了一种安全方法。具体阐述：网络运营商自己管理业务相关的密钥和号段资源；附属卡销售时不预置业务密钥和号段等个人化数据；当用户请求开通附卡上的业务之时，借助网络无线通道，业务平台和附卡可以通过一种安全的交互方式实现个人化写卡。

本发明的优化方案中，考虑公钥和个人化数据在空中传递过程中的完整性保护要求，在附属卡出厂时统一安装一个共享初始密钥Kinit，业务平台也共享此密钥。共享初始密钥用于计算公钥和个人化数据的验证码，以防止数据被篡改。验证码算法可采用3DES或AES对称算法，也可以采用其它算法。

附图说明

图1为实施例一中空中个人化写卡的方法的例子的流程示意图；

图2为实施例二中的空中个人化写卡的***示意图。

具体实施方式

下面将结合附图及实施例对本发明的技术方案进行更详细的说明。

实施例一、一种空中个人化写卡的方法。

每次终端开机之时，用户身份识别***与主卡之间进行双向鉴权，用户鉴权通过以后才可以执行包括附属卡在内的其它业务。

附属卡的业务通常是以客户端软件方式在终端上呈现。用户通过触发客户端软件启动附属卡上的业务，业务触发后将自动执行空中个人化写卡流程。

本实施例中，所述空中个人化写卡的方法包括：

A、终端向业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带附属卡提供的公钥Kp；

B、所述业务平台生成个人化数据Data；用所述公钥Kp加密所述个人化数据得到个人化加密数据E(Data)Kp，并通过所述终端返回给所述附属卡；

C、所述附属卡使用与所述公钥Kp配对的私钥Ks解密E(Data)Kp得到明文的个人化数据Data并保存。

本实施例中，所述公钥Kp和私钥Ks是基于公钥算法的密钥对。本实施例采用公钥算法。其原理是加密密钥和解密密钥分离，加密密钥可以公之于众，而解密密钥只自己拥有。任何人利用这个加密密钥和算法向该用户发送的加密信息，该用户均可以将之还原。公钥算法优点是不需要经安全渠道传递密钥，大大简化了密钥管理。所述公钥算法可以但不限于为RSA或ECC。

本实施例中，所述步骤A中：

终端在所述个人化数据请求消息中还可以携带附属卡提供的该附属卡的唯一标识以及附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡；

此时，所述步骤A后、步骤B前还可以进一步包括：

所述业务平台使用共享初始密钥Kinit验证所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN))_附卡的合法性，验证通过则进行步骤B。

本实施例中，所述附属卡的唯一标识可以但不限于为该附属卡的SN(序列号)。

本实施例中，所述步骤B还可以进一步包括：

业务平台使用共享初始密钥Kinit生成个人化加密数据的验证码MAC((Data)Kp)，并通过所述终端返回给所述附属卡。

此时，所述步骤B后、步骤C前还进一步包括：

附属卡使用所述共享初始密钥Kinit检查所述个人化加密数据的验证码MAC((Data)Kp)是否正确，如果正确则进行步骤C。

所述共享初始密钥Kinit是预置在所述附属卡和业务平台中的。

本实施例中，所述步骤A前还可以进一步包括：

S1、终端向业务平台发送初始化请求消息，在所述初始化请求消息中携带主卡的用户标识；

S2、业务平台根据所述用户标识返回相应的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台；如果用户标识未保存过，则返回的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台为空；

S3、终端从附属卡获取公钥Kp、该附属卡的唯一标识以及附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡；如果业务平台返回的的平台侧公钥及附属卡唯一标识验证码为空，或与所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp)_附卡不同，则进行步骤A；否则无须进行空中个人化写卡。

本实施例中，所述步骤B中还包括：业务平台保存用户信息，包括所述用户标识，附属卡的唯一标识、公钥Kp、平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台、个人化数据，个人化加密数据的验证码MAC((Data)Kp)、开通状态等。

通过关联主卡的用户标识，附属卡与主卡可以实现动态绑定；所述附属卡的唯一标识与公钥通过公钥及附属卡唯一标识验证码关联。终端通过比较业务平台和附属卡的唯一标识及其公钥及附属卡唯一标识验证码的一致性来确定是否是一张新的附属卡(SD卡存在此场景)，并重新建立主卡与附属卡的绑定关系，更新所保存的所述用户信息。

本实施例一个具体例子的流程如图1所示，包括：

101、终端向主卡请求用户标识；

102、主卡返回用户标识；

103、终端向业务平台发送初始化请求消息，在所述初始化请求消息中携带所述用户标识；

104、业务平台向终端返回初始化响应消息，在所述初始化响应消息中包括对应于所述用户标识的平台侧公钥及附属卡唯一标识验证码；所述平台侧公钥及附属卡唯一标识验证码可能为空值；当一个主卡绑定多个附属卡时，所返回的平台侧公钥及附属卡唯一标识验证码为多个，分别与不同附属卡的唯一标识对应；

具体来说，业务平台收到初始化请求消息后，在***中查询是否存在此用户标识以及业务状态，如果没有此用户标识说明是第一次开通业务，***尚没有分配个人化数据，公钥及附属卡唯一标识验证码为空值；如果存在此用户标识且业务状态处于开通状态，则说明该用户已经注册，输出该用户的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台。

105、终端向附属卡发送获取公钥命令请求消息。

106、附属卡向终端返回获取公钥命令响应消息，包括本附属卡的唯一标识SN、公钥Kp及附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡。

107、终端判断是否向业务平台发起个人化数据请求：如果所述平台侧公钥及附属卡唯一标识验证码为空，或者如果所述平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台与所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡不同，则执行步骤108，向业务平台请求个人化数据；否则，直接跳转至步骤115，执行后续业务流程。

当业务平台返回的平台侧公钥及附属卡唯一标识验证码有多个时，所述终端根据所述附属卡的唯一标识在其中选择相应的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台与所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡进行比较。

108终端向业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带所述用户标识、附属卡SN、公钥Kp及所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡。

109、业务平台收到所述个人化数据请求消息后，首先使用共享初始密钥Kinit验证所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡的合法性，验证通过后，生成一组个人化数据Data，然后用上传的所述公钥Kp加密得到个人化加密数据E(Data)Kp；使用共享初始密钥Kinit生成个人化加密数据的验证码MAC((Data)Kp)。最后在数据库中创建用户信息(包括用户标识，附属卡SN、个人化数据，个人化加密数据的验证码MAC((Data)Kp)、平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台，公钥Kp，开通状态等)。

110、业务平台向终端返回个人化数据响应消息，携带所述个人化加密数据E(Data)Kp及所述个人化加密数据的验证码MAC((Data)Kp)。

111、终端向附属卡发送写个人化数据命令，携带所述个人化加密数据E(Data)Kp及所述个人化加密数据的验证码MAC((Data)Kp)。

112、附属卡使用共享初始密钥Kini检查所述个人化加密数据的验证码是否正确：

如果正确，则使用与所述公钥Kp配对的私钥Ks解密E(Data)Kp得到明文的个人化数据Data，并保存在本附属卡内；

如果错误，则直接返回错误信息。

113、附属卡向终端发送写卡成功或写卡失败响应。

114、如果所述附属卡返回写卡失败响应，则终端中止流程并提示错误信息；如果所述附属卡返回写卡成功响应，则终端向业务平台发送写卡成功消息。业务平台将用户信息中的开通状态置为业务开通状态。

115、后续业务流程，不在这里描述。

实施例二、一种空中个人化写卡的***，如图2所示，包括：

业务平台，位于无线网络管理***，包括密钥管理、用户管理和业务控制等几部分；密钥管理部分主要功能是生成业务相关密钥等个人化信息；用户管理部分的功能是为开通业务的用户创建数据库；业务部分控制负责完成业务相关的安全控制等；

终端，一种无线通信设备，例如支持GSM/TD-SCDMA制式，借助它可以进行语音通话、上网及开展多媒体数据业务；

附属卡，比较常见的为业务安全模块(业务认证模块)，是带有微处理器的安全芯片，位于终端侧。附属卡的产品形态多种多样，可以是SD卡，也可以根据需要封装成各种形式，例如：独立的贴片或者与终端基带芯片一起封装而成的嵌入式模块等。业务认证模块主要服务于某些特定的业务，负责相关业务安全控制和数据存储。诸如手机电视或移动支付业务这样的跨行业联合开发运营项目，倾向于附属卡方案居多。

所述终端用于向所述业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带所述附属卡提供的公钥Kp；

所述业务平台用于生成一组个人化数据Data；用所述公钥Kp加密所述个人化数据得到个人化加密数据E(Data)Kp，并通过所述终端返回给所述附属卡；

所述附属卡用于使用与所述公钥Kp配对的私钥Ks解密E(Data)Kp得到明文的个人化数据Data并保存。

本实施例中，所述公钥Kp和私钥Ks是基于公钥算法的密钥对。

本实施例中，所述终端还在所述个人化数据请求消息中携带附属卡提供的该附属卡的唯一标识以及附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡；

所述业务平台还用于在生成所述个人化数据前，使用共享初始密钥Kinit验证所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡的合法性，验证通过则生成所述个人化数据。

本实施例中，所述附属卡的唯一标识可以但不限于为该附属卡的SN(序列号)。

本实施例中，所述业务平台还用于在生成所述个人化加密数据后，使用共享初始密钥Kinit生成个人化加密数据的验证码MAC((Data)Kp)，并通过所述终端返回给所述附属卡。

此时，所述附属卡还用于在解密所述个人化加密数据前，先使用共享初始密钥Kinit检查所述个人化加密数据的验证码MAC((Data)Kp)是否正确，如果正确则解密所述个人化加密数据。

本实施例中，所述***还可以包括：

用户身份识别模块，是带有微处理器的安全芯片，本文称为主卡(俗称SIM卡)。此卡***终端后，网络通过对用户身份识别模块的认证完成对移动用户身份的鉴权，鉴权通过的用户可以正常登网，享受语言通话及网络提供的其它服务。这里网络可以是GSM，TD-SCDMA或WCDMA等网络。

所述终端还用于向业务平台发送初始化请求消息，在所述初始化请求消息中携带主卡的用户标识；以及用于判断是否进行空中个人写卡，如果业务平台返回的的平台侧公钥及附属卡唯一标识验证码为空，或与所述附卡侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_附卡不同，则发送所述个人化数据请求消息；否则无须进行空中个人化写卡，不发送所述个人化数据请求消息；

所述业务平台还用于根据用户标识返回相应的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台；如果用户标识未保存过，则返回为空的平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台；以及在生成个人化加密数据及其验证码后保存用户信息，包括所述主卡用户标识、与之对应的附属卡的唯一标识、公钥Kp、平台侧公钥及附属卡唯一标识验证码MAC(Kp||SN)_平台、个人化数据，个人化加密数据的验证码MAC((Data)Kp)、开通状态等。

本实施例中，当一个主卡绑定多个附属卡时：

所述业务平台所返回的平台侧公钥及附属卡唯一标识验证码为多个，分别与不同附属卡的唯一标识对应；

所述终端当业务平台返回的平台侧公钥及附属卡唯一标识验证码有多个时，根据所述附属卡的唯一标识在其中选择相应的平台侧公钥及附属卡唯一标识验证码与所述附卡侧公钥及附属卡唯一标识验证码进行比较。

其它实现细节可以与实施例一中相同。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明的权利要求的保护范围。

Claims (4)

1.一种空中个人化写卡的方法，包括：

A、当附属卡上的业务触发后，终端向业务平台发送个人化数据请求消息，在所述个人化数据请求消息中携带附属卡提供的公钥、附卡侧公钥及附属卡唯一标识验证码及该附属卡的唯一标识；所述附属卡的唯一标识与公钥通过公钥及附属卡唯一标识验证码关联；

B、所述业务平台使用共享初始密钥验证所述附卡侧公钥及附属卡唯一标识验证码的合法性，验证通过则生成个人化数据；用所述公钥加密所述个人化数据得到个人化加密数据，并通过所述终端返回给所述附属卡；

C、所述附属卡使用与所述公钥配对的私钥解密所述个人化加密数据得到明文的个人化数据并保存。

2.如权利要求1所述的方法，其特征在于，所述步骤B还包括：

业务平台使用共享初始密钥生成个人化加密数据的验证码，并通过所述终端返回给所述附属卡；

所述步骤B后、步骤C前还包括：

附属卡使用所述共享初始密钥检查所述个人化加密数据的验证码是否正确，如果正确则进行步骤C。

3.如权利要求1或2所述的方法，其特征在于，所述步骤A前还包括：

S1、终端向业务平台发送初始化请求消息，在所述初始化请求消息中携带主卡的用户标识；

S2、业务平台根据所述用户标识返回相应的平台侧公钥及附属卡唯一标识验证码；如果用户标识未保存过，则返回的平台侧公钥及附属卡唯一标识验证码为空；

S3、终端从附属卡获取公钥、该附属卡的唯一标识以及附卡侧公钥及附属卡唯一标识验证码；如果业务平台返回的的平台侧公钥及附属卡唯一标识验证码为空，或与所述附卡侧公钥及附属卡唯一标识验证码不同，则进行步骤A；否则无须进行空中个人化写卡。

4.如权利要求3所述的方法，其特征在于，当一个主卡绑定多个附属卡时，所述步骤S2中：

所返回的平台侧公钥及附属卡唯一标识验证码为多个，分别与不同附属卡的唯一标识对应；

所述步骤S3中，当业务平台返回的平台侧公钥及附属卡唯一标识验证码有多个时，所述终端根据所述附属卡的唯一标识在其中选择相应的平台侧公钥及附属卡唯一标识验证码与所述附卡侧公钥及附属卡唯一标识验证码进行比较。

Images