CN104954134A - 可视卡的安全通讯方法 - Google Patents

Abstract

本发明公开了一种可视卡的安全通讯方法，包括：在可视卡中设置连接在控制芯片与安全芯片之间不同于7816接口的第三通信通道，设置匹配于所述第三通信通道的通讯协议，所述控制芯片与安全芯片之间通过所述第三通信通道和通讯协议进行的双向通讯。该方法在可视卡控制芯片与安全芯片中设置第三通信通道，控制方面通过设置隔离通道，实现数据通道的软件隔离，从而将7816接口独立开来，解决了双向通信问题及安全性问题。

Description

可视卡的安全通讯方法

技术领域

本发明涉及可视卡领域，特别是涉及一种可视卡的安全通讯方法。

背景技术

可视卡是一种新型的IC卡片，目前主要应用于金融IC卡领域，与传统的IC卡片不同的显著特征是：可视卡具有显示和按键功能。显示屏多采用电子纸或者柔性LCD进行数据显示，可显示电子钱包金额、账号信息；可视卡的按键功能通常可作为PIN口令、金额、账号的输入模块；可视卡与PKI功能结合，可以在卡上实现达到“所见即所签”的强身份认证功能，在支付场景中应用安全强度可达到二代KEY的安全水平。

目前，有一种普通可视卡具有OTP功能、查询电子余额功能、查询电子现金消费记录功能，甚至可以切换多应用。这些动作通常是由用户按按键启动，由控制芯片发起操作，安全芯片被动响应的过程。

以查询电子现金余额为例，控制芯片与安全芯片的通讯方式为：

(1)用户按下查询电子现金余额按键；

(2)控制芯片接收到后，向安全芯片发送APDU获取电子现金余额数据；

(3)安全芯片发送响应，向控制芯片返回电子现金余额数据；

(4)控制芯片把电子现金余额数据显示到显示屏上。

上述流程中，通常控制芯片与安全芯片的通讯采用的是7816协议通讯，控制芯片为主模式，负责发起通讯，向安全芯片发送数据，并接收响应；安全芯片为被动模式，被动响应控制芯片的请求。而基于这种通讯方式，安全芯片始终处于被动模式，无法主动发起数据传输。因此这种通讯方式，在查询电子现金金额、消费记录等类似操作下是可行的，能满足要求，这些应用操作均是由控制芯片端接收用户信息，向安全芯片发起请求。但是有一些场景，应用的操作须由安全芯片端发起，现有方案则无法满足要求。

上述现有普通可视卡的缺点是MCU与SE的通讯都是由MCU发起的，SE是被动响应，无法解决通讯由SE主动发起的需求。为解决上述现有普通可视卡所存在的问题，目前，还有一种改进的普通可视卡，在安全芯片端增加一根控制线(如图1所示)。通过增加一个控制线，利用控制线，安全芯片可以给控制芯片发信号，控制芯片接收到安全芯片的信号后，启动数据通讯。以可视卡的PKI应用交易签名场景来描述该增加控制线的普通可视卡的数据通讯过程，

以可视卡的PKI应用交易签名场景来描述数据通讯过程，基于移动终端交易签名的流程如下：

(1)移动终端通过NFC天线向安全芯片发送交易报文；

(2)安全芯片解析报文，得到显示数据。并准备好需要向控制端发送的显示数据；

(3)安全芯片改变控制线的电平，比如由初始的高电平转为低电平，或者反之；

(4)控制芯片接收到控制线的电平变化；

(5)控制端向安全芯片发送APDU指令，从安全芯片获取数据；

(6)安全芯片接收到APDU指令后，向控制芯片发送显示数据；

(7)控制芯片接收用户的确认信息，并把确认信息通过7816口发送给安全芯片；

(8)安全芯片对交易数据进行签名；

(9)安全芯片向移动终端发送响应数据。

基于PC交易的场景下，PC端需要配一个接触式读卡器，通过7816接口与可视卡进行通讯其交易签名流程如下：

(1)PC通过7816接口向安全芯片发送交易报文；

(2)安全芯片解析报文，得到显示数据。并准备好需要向控制端发送的显示数据；

(3)安全芯片改变控制线的电平，比如由初始的高电平转为低电平，或者反之；

(4)控制芯片接收到控制线的电平变化；

(5)控制端通过7816口向安全芯片发送APDU指令，从安全芯片获取数据；

(6)安全芯片接收到APDU指令后，向控制芯片发送显示数据；

(7)控制芯片接收用户的确认信息，并把确认信息通过7816口发送给安全芯片；

(8)安全芯片对交易数据进行签名；

(9)安全芯片向PC端发送响应数据。

而这种改进后普通可视卡装置，也存在降低了可视卡的安全性，存在一定的安全隐患，在PC端通过7816接口与可视卡进行交易的场景中，存在漏洞，容易招致黑客攻击。因为，可视卡(作为金融IC卡)有两种通讯接口，一种是通过移动端用NFC进行通讯，另外一种是通过PC端利用接触式7816的方式进行通讯。PC端利用接触式7816与安全芯片进行通讯，而控制端也同样通过7816与SE进行通讯，这会导致安全芯片无法辨别到底是哪个设备与之通讯。这种通讯模式会引发一种安全漏洞。在PC应用场景中，7816接口被PC读卡器及控制芯片复用，黑客完全可以撇开控制芯片，远程控制PC及读卡器，通过发送指令完成支付，而无需通过用户进行确认，这样PKI交易签名的安全级别将大大降低，无法达到所见即所签的效果。

发明内容

基于上述现有技术所存在的问题，本发明提供一种可视卡的安全通讯方法，能保证可视卡的控制芯片与安全芯片双向通讯时的安全性。

为解决上述技术问题，本发明提供一种可视卡的安全通讯方法，包括：

在可视卡中设置连接在控制芯片与安全芯片之间的第三通信通道，设置匹配于所述第三通信通道的通讯协议，所述控制芯片与安全芯片之间通过所述第三通信通道和通讯协议进行的双向通讯。

本发明的有益效果为：通过在可视卡的控制芯片与安全芯片之间设置不同于7816接口的第三通信通道，将7816接口独立出来，从硬件方面进行了通讯隔离，进而保证了控制芯片与安全芯片进行双向通讯的安全性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的安全通讯方法所用可视卡示意图；

图2为本发明实施例提供的安全通讯方法的处理方式示意图。

具体实施方式

下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

下面结合附图和具体实施例对本发明的方法作进一步说明。

本发明实施例提供一种可视卡的安全通讯方法，能提供可视卡的控制芯片与安全芯片之间双向通讯的安全性，包括：

在可视卡中设置连接在控制芯片与安全芯片之间的第三通信通道(可视卡的结构如图1所示)，设置匹配于第三通信通道的通讯协议，控制芯片与安全芯片之间通过第三通信通道和通讯协议进行的双向通讯。

上述方法中，在可视卡中设置连接在控制芯片与安全芯片之间的第三通信通道包括：

在控制芯片与安全芯片之间增设一组连接两者的数据线作为第三通信通道；

或，用连接在控制芯片与安全芯片之间现有的两条IO线模拟UART通道、I2C通道或其他能进行双向通信的数据通道作为第三通信通道。

上述方法中，设置匹配于第三通信通道的通讯协议包括：

若第三通信通道为在控制芯片与安全芯片之间增设连接两者的数据线，则通讯协议为能满足控制芯片与安全芯片双向通讯的自定义通讯协议；

若第三通信通道为用连接在控制芯片与安全芯片之间现有的两条IO线模拟UART通道、I2C通道或其他能进行双向通信的数据通道，则通讯协议采用匹配于UART通道、I2C通道或其他能进行双向通信的数据通道的通讯协议，如采用UART通道时对应采用匹配于UART通道的通讯协议，采用I2C通道时对应采用匹配于I2C通道的通讯协议，采用其他能进行双向通信的数据通道则采用匹配于该数据通道的能进行双向通信的通讯协议。

上述方法中，控制芯片与安全芯片之间通过第三通信通道和通讯协议进行的双向通讯为：控制芯片作为通讯发起方时，安全芯片作为通讯接收方；或，安全芯片作为通讯发起方时，控制芯片作为通讯接收方。即控制芯片与安全芯片均可作为通讯发起方，从而在控制芯片与安全芯片之间实现双向通讯。

上述方法还包括，安全芯片与控制芯片之间设置隔离通道，通过所述隔离通道来传送控制芯片指令与控制芯片数据。该隔离通道可以是通过软件控制方式在第三通信通道虚拟形成的软件隔离通道，确保数据传输的安全性。

本发明的方法，通过在可视卡的控制芯片与安全芯片设置不同于7816接口的第三通信通道，不仅解决控制芯片与安全芯片双向通行问题，特别是安全芯片主动发起通讯的情况；而且将7816接口独立出来，从硬件方面进行了通讯隔离，解决控制芯片与安全芯片的安全通讯问题。

由上图所示，本方案中，控制芯片与安全芯片主要第三通信接口连接的第三通信通道进行数据通讯。第三通信通道的第三通信接口具体可以自主定义，比如使用连接在控制芯片与安全芯片之间的两个IO线模拟UART接口、I2C接口，进而形成UART通道或I2C通道，或者增设一组数据通道，采用的通讯协议可与第三通信通道类型匹配，若第三通信通道为自定义，则通讯协议也可以自定义。通讯时，控制芯片与安全芯片可不分主从，任何一方都可以做通讯的发起方，进而实现控制芯片与安全芯片之间的双向通讯。

以PKI交易签名作举例，对可视卡采用本发明通讯方法进行交易的流程说明如下：

(1)外部终端通过NFC天线或7816接触接口向安全芯片发送交易报文；

(2)安全芯片解析报文，得到显示数据。并准备好需要向控制端发送的显示数据；

(3)安全芯片通过第三通信接口向控制芯片发送显示数据；

(4)控制芯片把数据显示到显示屏上；

(5)用户对数据进行确认；

(6)控制芯片通过第三通信接口把状态发送给安全芯片；

(7)安全芯片对交易数据进行签名，把签名结果返回给外部终端。

本发明的方法通过设置第三通信通道，将7816接口独立出来，从硬件方面进行了通讯隔离。控制指令方面，也可进行相应的调整。控制芯片与外部终端，相对安全芯片来讲都是***终端，都使用相同的协议进行通信，比如都采用APDU指令。如果两者都对安全芯片发送相同的指令，则安全芯片可能无法判别出到底是哪个通道的数据发送过来，那样仍然存在漏洞，因为黑客仍然可以通过7816接口伪装成第三通信通道来欺骗安全芯片。因此，在安全芯片COS中第三通信通道与7816通道、14443NFC接口之间增加软件隔离通道(相当于用控制软件虚拟出一条隔离通道)来安全传送控制芯片指令与控制芯片数据。如图2所示：通过控制方式的调整，可视卡PKI应用只在第三通信通道上接收控制芯片发给安全芯片的用户确认状态，安全性大大加强。因此，本方法既解决控制芯片与安全芯片双向通行问题，又了解决控制芯片与安全芯片的安全通讯问题。

本发明的方法，在可视卡控制芯片与安全芯片中设置第三通信通道，控制方面通过设置隔离通道，实现数据通道的软件隔离，从而将7816接口独立开来，解决了双向通信问题及安全性问题。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (5)

1.一种可视卡的安全通讯方法，其特征在于，包括：

在可视卡中设置连接在控制芯片与安全芯片之间不同于7816接口的第三通信通道，设置匹配于所述第三通信通道的通讯协议，所述控制芯片与安全芯片之间通过所述第三通信通道和通讯协议进行的双向通讯。

2.根据权利要求1所述的可视卡的安全通讯方法，其特征在于，所述在可视卡中设置连接在控制芯片与安全芯片之间的第三通信通道包括：

在所述控制芯片与安全芯片之间增设连接两者的数据线作为第三通信通道；

或，用连接在所述控制芯片与安全芯片之间现有的两条IO线模拟UART通道、I2C通道或其他能进行双向通信的数据通道作为第三通信通道。

3.根据权利要求1或2所述的可视卡的安全通讯方法，其特征在于，所述设置匹配于所述第三通信通道的通讯协议包括：

若所述第三通信通道为在所述控制芯片与安全芯片之间增设一组连接两者的数据线，则通讯协议为能满足控制芯片与安全芯片双向通讯的自定义通讯协议；

若所述第三通信通道为用连接在所述控制芯片与安全芯片之间现有的两条IO线模拟UART通道、I2C通道或能进行双向通信的其他数据通道，则通讯协议采用匹配于UART通道、I2C通道或其他能进行双向通信的数据通道的通讯协议。

4.根据权利要求1或2所述的可视卡的安全通讯方法，其特征在于，所述控制芯片与安全芯片之间通过所述第三通信通道和通讯协议进行的双向通讯为：

所述控制芯片作为通讯发起方时，所述安全芯片作为通讯接收方；

或，所述安全芯片作为通讯发起方时，所述控制芯片作为通讯接收方。

5.根据权利要求1或2所述的可视卡的安全通讯方法，其特征在于，还包括，所述安全芯片中第三通信通道与7816通道、NFC接口之间设置软件隔离通道，通过所述软件隔离通道来传送控制芯片指令与控制芯片数据。