CN104579674A - 终端安全模块及其管理方法、车辆收费管理方法及*** - Google Patents

Abstract

本发明公开了一种终端安全模块及其管理方法、车辆收费管理方法及***，该终端安全模块的管理方法在使用密钥对数据进行加解密时，进行以下步骤：判断是否通过管理器的认证或PIN验证；在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。实施本发明的技术方案，可消除安全隐患。

Description

终端安全模块及其管理方法、车辆收费管理方法及***

技术领域

本发明涉及智能安全管理领域，尤其涉及一种终端安全模块及其管理方法、车辆收费管理方法及***。

背景技术

PSAM(Purchase Secure Access Module，终端安全模块)广泛应用于商用POS机、网点终端、直连终端等设备上，具有安全控制管理功能，适用于多应用环境。

例如，目前用在机关单位、商场、写字楼、住宅小区等地方的停车场通常都由物业运营独立的停车场***，对出入停车场的车辆进行收费，停车场一般通过用户持有的智能卡与车道出入口的交易终端之间的数据通信实现收费，为了确保收费的准确性，基于智能卡的安全交易由密钥体系保证，用户卡在终端进行交易时，需要通过安装于交易终端的PSAM进行认证。如果涉及到消费，PSAM具有相关的消费密钥。管理方通过管理PSAM的密钥和用户的密钥以达到认证和消费的控制。交易的安全性由密钥的安全性保证。

另一种基于智能卡的典型应用，比如：如高速公路ETC(Electronic TollCollection，不停车电子收费***)车道的入口和出口分别安装有一张有PSAM。只有获得PSAM，用户卡在进入ETC车道时才能写入口信息，以及在出口时才能消费扣款。比如：停车场入口需要写入口信息包括时间信息，出口再读取入口的时间信息，通过时间信息计算出具体收费价格。为了防止作弊，入口时间信息可能需要加密写入停车卡，出口再将信息解密后使用。

PSMA可以存储密钥和文件，需要用到PSAM进行加密运算时，有外部***通过指令发送待加密数据到PSAM，PSAM使用所存储的密钥对数据进行加密，并将加密结果返回给外部***。

但是，PSAM的管理是个难题。在支持ISO7816协议的PSMA中，并没有规定密钥的使用权限，这种现状可能造成以下隐患：如果攻击者非法获得了PSAM，后台就没法限制这个PSAM的使用，只要攻击者了解这个PSAM的应用流程，则其就可在这个PSAM的应用范围内任意使用。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述PSAM的管理存在安全隐患的缺陷，提供一种终端安全模块及其管理方法、车辆收费管理方法及***，能消除安全隐患。

本发明解决其技术问题所采用的技术方案是：构造一种终端安全模块的管理方法，所述终端安全模块存储有密钥，在使用所述密钥对数据进行加解密时，进行以下步骤：

A.判断是否通过管理器的认证或PIN验证；

B.在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；

C.判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；

D.在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

在本发明所述的终端安全模块的管理方法中，在所述步骤A中，判断是否通过管理器的认证的步骤包括：

A1.终端安全模块产生一随机数，并使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据，同时，通过读卡器向管理器发送所述随机数；

A2.终端安全模块通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；

A3.终端安全模块比较所述第一加密数据和第二加密数据是否相同，若相同，则确定通过管理器的认证；若不同，则确定未通过管理器的认证。

在本发明所述的终端安全模块的管理方法中，步骤B具体为：在通过管理器的认证或PIN验证时，判断当前状态下所述密钥是否可用，在当前状态下所述密钥可用时，才修改当前应用目录的使用权限的状态值。

在本发明所述的终端安全模块的管理方法中，判断当前状态下所述密钥是否可用的具体方法为：

判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用；

或者，

判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

本发明还构造一种终端安全模块，所述终端安全模块存储有密钥，所述终端安全模块包括：

认证单元或验证单元，用于在使用所述密钥对数据进行加解密时，判断是否通过管理器的认证或PIN验证；

修改单元，用于在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；

第一判断单元，用于判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；

加解密单元，用于在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

在本发明所述的终端安全模块中，所述认证单元包括：

随机数产生子单元，用于产生一随机数；

随机数加密子单元，用于使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据；

发送子单元，用于通过读卡器向管理器发送所述随机数；

接收子单元，用于通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；

比较子单元，用于比较所述第一加密数据和第二加密数据是否相同，若是，则确定通过管理器的认证；若否，则确定未通过管理器的认证。

在本发明所述的终端安全模块中，所述终端安全模块还包括第二判断单元，用于在通过管理器的认证或PIN验证时，判断当前状态下所述密钥是否可用；

所述修改单元还用于在当前状态下所述密钥可用时，修改当前应用目录的使用权限的状态值。

在本发明所述的终端安全模块中，所述第二判断单元具体用于在通过管理器的认证或PIN验证时，判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用；

或者，

所述第二判断单元具体用于在通过管理器的认证或PIN验证时，判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

本发明还构造一种车辆收费管理方法，包括：

在入口处，终端安全模块使用以上所述的管理方法对入口信息进行加密，并写入车载单元；

在出口处，终端安全模块使用以上所述的管理方法对车载单元所发送的加密后的入口信息进行解密；

服务器根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。

本发明还构造一种车辆收费管理***，包括服务器及安装在车辆上的车载单元，所述车辆收费管理***还包括：设置在入口处的第一终端安全模块及设置在出口处的第二终端安全模块，所述第一终端安全模块和第二终端安全模块分别为以上所述的终端安全模块，而且，

所述第一终端安全模块，用于对入口信息进行加密，并写入所述车载单元；

所述第二终端安全模块，用于对所述车载单元所发送的加密后的入口信息进行解密；

所述服务器，用于根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。

实施本发明的技术方案，终端安全模块在每次使用密钥时，都必须先通过管理器的认证或PIN验证，只有认证或PIN验证通过，才能对当前应用目录的使用权限的状态值进行修改，而且，在当前应用目录的使用权限的状态值大于或等于预设的使用权限的阀值时，才能使用该密钥对数据进行加解密。所以，就算攻击者非法获得了这个终端安全模块，由于无法通过管理器的认证或PIN验证，进而也就无法修改当前应用目录的使用权限的状态值，所以攻击者依然无法使用这个终端安全模块，从而消除了安全隐患。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明终端安全模块的管理方法实施例一的流程图；

图2是图1中步骤A实施例一的流程图；

图3是图1中步骤B实施例一的流程图；

图4是图1中步骤B实施例二的流程图；

图5是本发明终端安全模块实施例一的逻辑图；

图6是图5中认证单元实施例一的逻辑图；

图7是本发明终端安全模块实施例二的逻辑图；

图8是本发明车辆收费管理方法实施例一的流程图；

图9是本发明车辆收费管理***实施例一的逻辑图。

具体实施方式

图1是本发明终端安全模块的管理方法实施例一的流程图，在该实施例中，首先说明的是，终端安全模块中可存储密钥和文件，对于密钥，终端安全模块的COS(Chip Operating System，COS芯片操作***)除了规定密钥的用途、版本、算法标识、密钥值等属性外，还会规定密钥的使用权限，密钥的使用权限为一个数值，例如可以为0-15之间的一个数字。

该实施例中，终端安全模块的密钥属性字段结构和说明如表1所示：

数据域	密钥用途	密钥版本	算法标识	使用权限	密钥值
						长度(byte)	1	1	1	1	8/16

表1

另外，终端安全模块在使用所存储的密钥对数据进行加解密时，进行以下步骤：

A.判断是否通过管理器的认证或PIN验证；

B.在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值，优选地，可根据认证密钥或PIN密钥所规定的后续状态值，修改当前应用目录的使用权限的状态值，例如，修改后的使用权限的状态值为认证密钥或PIN密钥所规定的后续状态值；

C.判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；

D.在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

在步骤A中，结合图2，判断是否通过管理器的认证的步骤包括：

A1.终端安全模块产生一随机数，并使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据，同时，通过读卡器向管理器发送所述随机数；

A2.终端安全模块通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；

A3.终端安全模块比较所述第一加密数据和第二加密数据是否相同，若相同，则确定通过管理器的认证；若不同，则确定未通过管理器的认证。

另外，在步骤A中，判断是否通过管理器的PIN验证的方法可为：由于验证PIN就是验证用户口令，所以可由管理器直接就是发送一条指令给终端安全模块，该指令里包含了用户口令，口令是明文的，终端安全模块就返回正确还是不正确，如果正确，就认为PIN验证通过；如果不正确，就认为PIN验证未通过。PIN验证的过程只有一个步骤，更加简单，但由于口令是明文的，所以相比认证的方式不太安全。

在以上实施例中，在使用密钥之前，都迫使终端安全模块必须先通过管理器的认证或是PIN验证。但是，认证或PIN验证完成后，为了避免终端安全模块在没有断点的情况下一直使用，还继续判断当前状态下密钥是否为可用，如果可用才修改当前应用目录的使用权限的状态值。在判断密钥是否可用时，，终端安全模块的COS还可继续增加密钥的两个属性，这两个属性为已使用次数和最大使用次数，或者，这两个属性为剩余使用次数和最大使用次数。

在所增加的两个属性为已使用次数和最大使用次数时，终端安全模块的密钥属性字段结构和说明如表2所示：

表2

相应地，结合图3，步骤B可具体包括：

B1.在通过管理器的认证或PIN验证时，判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1，若是，则确定当前状态下所述密钥不可用，然后提示错误；若否，则确定当前状态下所述密钥可用，然后执行步骤B2；

B2.修改当前应用目录的使用权限的状态值。

在所增加的两个属性为剩余使用次数和最大使用次数时，终端安全模块的密钥属性字段结构和说明如表3所示：

表3

相应地，结合图4，步骤B可具体包括：

B3.在通过管理器的认证或PIN验证时，判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1，若是，则确定当前状态下所述密钥不可用，然后提示错误；若否，则确定当前状态下所述密钥可用，然后执行步骤B4B4.修改当前应用目录的使用权限的状态值。

图5是本发明终端安全模块实施例一的逻辑图，该实施例的终端安全模块包括依次连接的认证单元10(或验证单元10′)、修改单元20、第一判断单元30和加解密单元40，其中，认证单元10用于在使用密钥对数据进行加解密时，判断是否通过管理器的认证；验证单元10′用于在使用密钥对数据进行加解密时，判断是否通过管理器的PIN验证。修改单元20用于在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；第一判断单元30用于判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；加解密单元40用于在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

图6是图5中认证单元实施例一的逻辑图，在该实施例中，认证单元10具体包括：随机数产生子单元11、随机数加密子单元12、发送子单元13、接收子单元14和比较子单元15。其中，随机数产生子单元11用于产生一随机数；随机数加密子单元12用于使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据；发送子单元13用于通过读卡器向管理器发送所述随机数；接收子单元14用于通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；比较子单元15用于比较所述第一加密数据和第二加密数据是否相同，若是，则确定通过管理器的认证；若否，则确定未通过管理器的认证。

图7是本发明终端安全模块实施例二的逻辑图，该实施例相比图5所示的实施例一，所不同的仅是，在认证单元10(或验证单元10′)和修改单元20之间，还包括有第二判断单元50，第二判断单元50用于在通过管理器的认证或PIN验证时，判断当前状态下所述密钥是否可用，修改单元20还用于在当前状态下所述密钥可用时，修改当前应用目录的使用权限的状态值。

一种实施例中，第二判断单元50用于在通过管理器的认证或PIN验证时，判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

在另一个实施例中，第二判断单元50用于在通过管理器的认证或PIN验证时，判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

优选地，修改单元30用于在当前状态下所述密钥可用时，根据认证密钥或PIN密钥所规定的后续状态值，修改当前应用目录的使用权限的状态值。

图8是本发明车辆收费管理方法实施例一的流程图，该车辆收费管理方法可针对停车场收费，也可针对高速公路收费。该实施例的车辆收费管理方法包括：

S1.在入口处，终端安全模块对入口信息进行加密，并写入车载单元。在该步骤中，需说明的是，该入口可以是停车场入口也可以是高速公路入口。入口信息包括入口标识、入口时间。当车辆经过停车场入口或高速公路入口时，入口处的终端安全模块从外部***读取入口信息，并使用以上实施例所述的管理方法对入口信息进行加密，并将加密后的入口信息写入车载单元；

S2.在出口处，终端安全模块对车载单元所发送的加密后的入口信息进行解密。在该步骤中，同样需说明的是，该出口可以是停车场出口也可以是高速公路出口。当车辆经过停车场出口或高速公路出口时，车载单元会将加密后的入口信息发送至出口处的终端安全模块，然后终端安全模块使用以上实施例所述的管理方法对加密后的入口信息进行解密，就这样，便获得了该车辆的入口信息。另外，该终端安全模块还从外部***读取出口信息；

S3.服务器根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。

图9是本发明车辆收费管理***实施例一的逻辑图，该实施例的车辆收费管理***包括：设置在入口处的第一终端安全模块100、设置在出口处的第二终端安全模块200、服务器300、安装在车辆上的车载单元400。其中，第一终端安全模块100和第二终端安全模块200的逻辑结构可参照上述实施例，而且，在该实施例中，第一终端安全模块100用于对入口信息进行加密，并写入车载单元400；第二终端安全模块200用于对车载单元400所发送的加密后的入口信息进行解密；服务器300用于根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (10)

1.一种终端安全模块的管理方法，所述终端安全模块存储有密钥，其特征在于，在使用所述密钥对数据进行加解密时，进行以下步骤：

A.判断是否通过管理器的认证或PIN验证；

B.在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；

C.判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；

D.在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

2.根据权利要求1所述的终端安全模块的管理方法，其特征在于，在所述步骤A中，判断是否通过管理器的认证的步骤包括：

A1.终端安全模块产生一随机数，并使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据，同时，通过读卡器向管理器发送所述随机数；

A2.终端安全模块通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；

A3.终端安全模块比较所述第一加密数据和第二加密数据是否相同，若相同，则确定通过管理器的认证；若不同，则确定未通过管理器的认证。

3.根据权利要求1所述的终端安全模块的管理方法，其特征在于，步骤B具体为：在通过管理器的认证或PIN验证时，还判断当前状态下所述密钥是否可用，在当前状态下所述密钥可用时，才修改当前应用目录的使用权限的状态值。

4.根据权利要求3所述的终端安全模块的管理方法，其特征在于，判断当前状态下所述密钥是否可用的具体方法为：

判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用；

或者，

判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

5.一种终端安全模块，所述终端安全模块存储有密钥，其特征在于，所述终端安全模块包括：

认证单元或验证单元，用于在使用所述密钥对数据进行加解密时，判断是否通过管理器的认证或PIN验证；

修改单元，用于在通过管理器的认证或PIN验证时，修改当前应用目录的使用权限的状态值；

第一判断单元，用于判断当前应用目录的使用权限的状态值是否大于或等于预设的使用权限的阀值，其中，所述使用权限的阀值在密钥创建时设定；

加解密单元，用于在大于或等于预设的使用权限的阀值时，使用所述密钥对数据进行加解密。

6.根据权利要求5所述的终端安全模块，其特征在于，所述认证单元包括：

随机数产生子单元，用于产生一随机数；

随机数加密子单元，用于使用自身所存储的认证密钥对所述随机数进行加密以产生第一加密数据；

发送子单元，用于通过读卡器向管理器发送所述随机数；

接收子单元，用于通过读卡器接收来自管理器的认证指令，所述认证指令中包含管理器使用自身所存储的认证密钥对所述随机数进行加密后的第二加密数据；

比较子单元，用于比较所述第一加密数据和第二加密数据是否相同，若是，则确定通过管理器的认证；若否，则确定未通过管理器的认证。

7.根据权利要求5所述的终端安全模块，其特征在于，所述终端安全模块还包括第二判断单元，用于在通过管理器的认证或PIN验证时，判断当前状态下所述密钥是否可用；

所述修改单元还用于在当前状态下所述密钥可用时，修改当前应用目录的使用权限的状态值。

8.根据权利要求7所述的终端安全模块，其特征在于，所述第二判断单元用于在通过管理器的认证或PIN验证时，判断密钥的已使用次数是否大于等于最大使用次数，其中，所述最大使用次数在密钥创建时设定；所述已使用次数在所述终端安全模块复位时置0，且在每次使用密钥对数据进行加解密时，将已使用次数加1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用；

或者，

所述第二判断单元，用于在通过管理器的认证或PIN验证时，判断密钥的剩余使用次数是否小于等于0，其中，所述最大使用次数在密钥创建时设定；所述剩余使用次数在所述终端安全模块复位时设置为所述最大使用次数，且在每次使用密钥对数据进行加解密时，将剩余使用次数减1；若否，则确定当前状态下所述密钥可用；若是，则确定当前状态下所述密钥不可用。

9.一种车辆收费管理方法，其特征在于，包括：

在入口处，终端安全模块使用权利要求1-4任一项所述的管理方法对入口信息进行加密，并写入车载单元；

在出口处，终端安全模块使用权利要求1-4任一项所述的管理方法对车载单元所发送的加密后的入口信息进行解密；

服务器根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。

10.一种车辆收费管理***，包括服务器及安装在车辆上的车载单元，其特征在于，所述车辆收费管理***还包括：设置在入口处的第一终端安全模块及设置在出口处的第二终端安全模块，所述第一终端安全模块和第二终端安全模块分别为权利要求5-8任一项所述的终端安全模块，而且，

所述第一终端安全模块，用于对入口信息进行加密，并写入所述车载单元；

所述第二终端安全模块，用于对所述车载单元所发送的加密后的入口信息进行解密；

所述服务器，用于根据出口信息及解密后的入口信息计算停车费用，并根据预先存储的车载单元与用户账户的对应关系，从相应账户中扣除所述停车费用。