CN113098933B - 一种远程安装认证应用的方法、eUICC及SM-SR - Google Patents

一种远程安装认证应用的方法、eUICC及SM-SR Download PDF

Info

Publication number
CN113098933B
CN113098933B CN202110308684.1A CN202110308684A CN113098933B CN 113098933 B CN113098933 B CN 113098933B CN 202110308684 A CN202110308684 A CN 202110308684A CN 113098933 B CN113098933 B CN 113098933B
Authority
CN
China
Prior art keywords
authentication application
authentication
installing
euicc
platform
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110308684.1A
Other languages
English (en)
Other versions
CN113098933A (zh
Inventor
韩玲
王湘宁
梁昊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China United Network Communications Group Co Ltd
Original Assignee
China United Network Communications Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China United Network Communications Group Co Ltd filed Critical China United Network Communications Group Co Ltd
Priority to CN202110308684.1A priority Critical patent/CN113098933B/zh
Publication of CN113098933A publication Critical patent/CN113098933A/zh
Application granted granted Critical
Publication of CN113098933B publication Critical patent/CN113098933B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/61—Installation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/20—Transfer of user or subscriber data
    • H04W8/205—Transfer to or from user equipment or user record carrier

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Stored Programmes (AREA)

Abstract

本发明提供一种远程安装认证应用的方法、eUICC及SM‑SR，所述方法包括：接收签约关系管理平台安全路由网元SM‑SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；对所述认证平台证书进行验证，若验证通过，则根据认证应用安装文件将所述认证应用安装在所述ECASD中。该方法、eUICC及SM‑SR能够解决现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用以及证书、密钥等敏感数据，只能适用于特定范围内的用户，无法实时远程下载安装认证应用的问题。

Description

一种远程安装认证应用的方法、eUICC及SM-SR
技术领域
本发明涉及智能卡技术领域，尤其涉及一种远程安装认证应用的方法、eUICC及SM-SR。
背景技术
随着国家加快“新基建”步伐，5G通信网络也将日益融入社会管理的方方面面。系列5G应用场景都对信息安全提出比传统互联网更高的要求，尤其在工业物联网领域，泛在连接场景下的海量多样化终端易被攻击利用，对网络运行安全造成威胁，由于终端能力差异很大，弱终端由于资源、能力受限，终端自身安全防护能力也较弱，容易成为受攻击、受控对象。另一方面，作为移动通信网络基础入口的智能卡也逐渐从移动通信的生产部件发展成为移动通信业务和服务创新的重要载体，成为移动信息化的重要平台。
基于智能卡在移动通信网络中的重要位置和安全属性，业界提出了基于智能卡的身份认证解决方案，将智能卡作为用户端的安全承载模块，存放认证应用以及证书、密钥等敏感数据，终端通过认证应用与认证服务器交互以进行身份认证。
然而，现有的基于智能卡的安全认证解决方案为私有解决方案，通常需要与指定卡商及运营商合作，在制卡时预置指定认证应用以及证书、密钥等敏感数据，建立私有封闭的安全体系，或通过私有接口进行数据传递，只适用于其特定范围内的用户。因此这些解决方案对商业模式、产品种类、受众用户都有诸多限制。
发明内容
本发明所要解决的技术问题是针对现有技术的上述不足，提供一种远程安装认证应用的方法、eUICC及SM-SR，用以解决现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用以及证书、密钥等敏感数据，只能适用于特定范围内的用户，无法实时远程下载安装认证应用的问题。
第一方面，本发明实施例提供一种远程安装认证应用的方法，应用于嵌入式通用集成电路卡eUICC，所述方法包括：
接收签约关系管理平台安全路由网元SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
对所述认证平台证书进行验证，若验证通过，则根据认证应用安装文件将所述认证应用安装在所述ECASD中。
优选地，所述认证平台证书包括认证平台公钥，若验证通过，所述方法还包括：
从所述认证平台证书中提取并保存所述认证平台公钥；
根据预设算法生成随机挑战RC，并对所述RC进行签名；
向所述SM-SR发送认证应用下载安装成功消息，所述认证应用下载安装成功消息携带所述RC和签名。
优选地，若验证失败，所述方法还包括：
向所述SM-SR发送认证应用下载安装失败消息，所述认证应用下载安装失败消息携带错误码。
第二方面，本发明实施例提供一种远程安装认证应用的方法，应用于签约关系管理平台安全路由网元SM-SR，所述方法包括：
接收认证平台发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
向eUICC转发所述认证应用下载安装请求。
优选地，向eUICC转发所述认证应用下载安装请求之前，所述方法还包括：
对所述认证应用下载安装请求进行合法性验证；
所述向eUICC转发所述认证应用下载安装请求，具体包括：
若验证通过，则向eUICC转发所述认证应用下载安装请求。
优选地，所述认证应用下载安装请求还携带eUICC标识EID，若验证通过，所述方法还包括：
根据所述EID获取对应的eUICC的eUICC卡信息集EIS信息；
从所述EIS信息中获取所述EID对应的eUICC证书；
向认证平台返回所述eUICC的证书。
优选地，所述向eUICC转发所述认证应用下载安装请求之后，所述方法还包括：
接收所述eUICC发送的认证应用下载安装成功消息，所述认证应用下载安装成功消息携带RC和签名；
基于所述认证应用下载安装成功消息更新所述EIS信息；
向所述认证平台返回认证应用安装结果通知，所述认证应用安装结果通知携带所述EID，认证应用标识，RC和签名。
第三方面，本发明实施例提供一种eUICC，包括：根安全域ISD-R和eUICC的控制安全域ECASD；
所述ISD-R用于接收SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
所述ISD-R还用于向所述ECASD发送所述认证平台证书和认证应用安装文件；
所述ECASD用于接收所述ISD-R发送的所述认证平台证书和认证应用安装文件，并对所述认证平台证书进行验证，以及在验证通过后，根据认证应用安装文件安装所述认证应用。
优选地，所述认证平台证书包括认证平台公钥；
所述ECASD还用于从所述认证平台证书中提取并保存所述认证平台公钥，并根据预设算法生成随机挑战RC，对所述RC进行签名，以及向所述ISD-R发送验证成功消息，所述验证成功消息中携带所述RC和签名；
所述ISD-R还用于接收到所述验证成功消息后，向所述SM-SR发送认证应用下载安装成功消息，所述认证应用下载安装成功消息携带所述RC和签名。
第四方面，本发明实施例提供一种SM-SR，包括：
接收模块，用于接收认证平台发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
转发模块，用于向eUICC转发所述认证应用下载安装请求。
本发明实施例提供的远程安装认证应用的方法、eUICC及SM-SR，利用eUICC体系的安全架构，在接收到SM-SR发送的认证应用下载安装请求后，对认证应用下载安装请求中的认证平台证书进行验证，并在验证通过后，将认证应用安装在eUICC的控制安全域ECASD中，从而无需为移动身份认证业务额外配置一套私有的安全体系，通过利用eUICC的安全体系保证传输安全，避免在工厂制卡时预先写入认证应用等敏感数据，可在发卡后，业务平台根据业务需求通过认证平台向待认证终端的eUICC实时安全下载和安装认证业务所需的认证应用及平台证书，可支持灵活的商业模式，有利于建设安全、开放移动身份认证生态环境，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用以及证书、密钥等敏感数据，只能适用于特定范围内的用户，无法实时远程下载安装认证应用的问题。
附图说明
图1：为本发明实施例1的一种远程安装认证应用的方法的流程图；
图2：为本发明实施例的一种远程安装认证应用的交互示意图；
图3：为本发明实施例2的一种远程安装认证应用的方法的流程图；
图4：为本发明实施例3的一种eUICC的结构示意图；
图5：为本发明实施例4的一种SM-SR的结构示意图。
具体实施方式
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
实施例1：
本实施例提供一种远程安装认证应用的方法，应用于eUICC(Embedded UniversalIntegrated Circuit Card，嵌入式通用集成电路卡)，如图1所示，该方法包括：
步骤S102：接收签约关系管理平台安全路由网元SM-SR(Subscription ManagerSecurity Routing)发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD(eUICC Controlling Authority Security Domain)中；
步骤S104：对所述认证平台证书进行验证，若验证通过，则根据认证应用安装文件将所述认证应用安装在所述ECASD中。
需要说明的是，本发明主要利用eUICC体系架构的安全通道远程下载安装认证应用，该eUICC体系架构主要包括SM-SR、根安全域ISD-R(Issuer Security Domain Root)和ECASD，完整的eUICC体系架构还可以包括其他网元，并不以此为限制。
在本实施例中，终端首次使用认证业务，或者业务提供商需要对其购买或管理的终端安装认证应用，则由业务平台向认证平台发送认证应用申请请求，认证平台接收到该认证应用申请请求后可以对业务平台进行资质审核，并在审核通过后，向SM-SR发送认证应用下载安装请求；SM-SR接收到认证应用下载安装请求后向eUICC转发所述认证应用下载安装请求。
可选地，认证平台证书包括认证平台公钥，若验证通过，方法还可以包括：
从认证平台证书中提取并保存认证平台公钥；
根据预设算法生成随机挑战RC，并对RC进行签名；
向SM-SR发送认证应用下载安装成功消息，认证应用下载安装成功消息携带RC和签名。
在本实施例中，为了后续eUICC和认证平台之间的安全交互及连接，从认证平台证书中提取并存储认证平台公钥PK.AuServer.ECDSA。同时，为了进一步保证传输的安全，根据预设算法生成随机挑战RC，具体生成算法不做规定可任意，eUICC可以用自身的私钥SK.ECASD.ECKA对RC进行签名。
可选地，若验证失败，方法还可以包括：
向SM-SR发送认证应用下载安装失败消息，认证应用下载安装失败消息携带错误码。
在本实施例中，若验证失败，eUICC向SM-SR发送认证应用下载安装失败消息，SM-SR向认证平台返回携带有错误码的认证应用安装结果通知，认证平台接收到该通知后，可根据错误码进行再次尝试。
本实施例提供的远程安装认证应用的方法，利用eUICC体系的安全架构，在接收到SM-SR发送的认证应用下载安装请求后，对认证应用下载安装请求中的认证平台证书进行验证，并在验证通过后，将认证应用安装在eUICC的控制安全域ECASD中，从而无需为移动身份认证业务额外配置一套私有的安全体系，通过利用eUICC的安全体系保证传输安全，避免在工厂制卡时预先写入认证应用等敏感数据，可在发卡后，业务平台根据业务需求通过认证平台向待认证终端的eUICC实时安全下载和安装认证业务所需的认证应用及平台证书，可支持灵活的商业模式，有利于建设安全、开放移动身份认证生态环境，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用以及证书、密钥等敏感数据，只能适用于特定范围内的用户，无法实时远程下载安装认证应用的问题。
具体地，参考图2，示出了本发明实施例提供的一种远程安装认证应用的交互示意图，其中，业务平台可以提供具体的业务，认证平台可以提供认证服务。两者可以为同一个提供商，也可以分属不同的提供商。在一种理想的商业模式下，认证平台可以作为一个独立的第三方服务平台，为多家业务平台提供统一的认证服务。在本实施例中，包括如下步骤：
步骤S01：业务平台向认证平台发送认证应用申请请求；
需要说明的是，使用认证服务的业务平台和认证平台的新增接口进行连接，同时，认证平台与eUICC远程管理平台的签约关系管理平台安全路由网元SM-SR的新增接口连接，SM-SR是eUICC远程管理平台的一个重要网元。认证平台的公钥为PK.AuServer.ECDSA，认证平台证书为CERT.AuServer.ECDSA，由证书发行方CI(Certificate Issuer)或SM-SR进行签发，认证平台中预先存储有CI根证书。
具体地，使用认证服务的业务平台为eUICC向认证平台发送认证应用申请请求，以申请认证应用CAP包，即认证应用的安装文件。其中，认证应用申请请求携带eUICC标识EID(eUICC-ID)和应用类型，根据业务需求，业务平台通过应用类型申请将该应用安装在eUICC的ECASD安全域中，在本实施例中，可以预置一个应用类型以支持认证技术方案。
步骤S02：认证平台对业务平台进行资质审核；
具体地，认证平台审核该业务平台是否有资质获取该认证应用，具体审核方式不做规定可任意。一般情况下，业务平台使用认证平台提供的认证服务，双方需提前从商业上达成一致，例如，可以通过线下或线上签约的方式实现。此时，认证平台再通过审核确定该业务平台是否有资质获取该认证应用，以便其能够使用接下来的认证服务。若资质审核不通过，则认证平台通知业务平台审核失败，流程结束。
步骤S03：资质审核通过后，认证平台向SM-SR发送认证应用下载安装请求。
具体地，该认证应用下载安装请求携带EID，认证应用安装文件，认证应用标识和认证平台证书，其中，认证平台预先存储有该认证应用安装文件，认证应用标识和认证平台证书。
步骤S04：SM-SR对认证应用下载安装请求进行合法性验证，并查询EIS信息；
具体地，SM-SR接收到认证平台发送的认证应用下载安装请求后，提取EID，并根据EID查询该eUICC的eUICC卡信息集EIS(eUICC Information Set)信息。其中，SM-SR事先存储有所有eUICC的EIS，该EIS包括一系列的eUICC的信息，比如，eUICC证书。SM-SR可以根据该EIS对该认证应用下载安装请求进行合法性验证，比如，可以通过证书方式进行验证，也可以通过其他方式对该认证应用下载安装请求进行合法性验证，比如其他商业约定，证书方式如PKI(Public Key Infrastructure公钥基础设施)证书验证等等。如验证不通过，SM-SR向认证平台通知验证失败，流程结束。
步骤S05：SM-SR向认证平台返回该eUICC的证书。
具体地，如果验证通过，为了接下来的认证流程，SM-SR向认证平台返回该eUICC的证书：CERT.ECASD.ECKA。
步骤S06：SM-SR向ISD-R发送所述认证应用下载安装请求；
具体地，SM-SR通过ES5接口向ISD-R发送认证应用下载安装请求。
步骤S07：ISD-R将认证平台证书和认证应用安装文件转发至ECASD；
具体地，ISD-R接收到认证应用下载安装请求后，提取认证平台证书和认证应用安装文件，并将其转发至ECASD。
步骤S08：ECASD对认证平台证书进行验证，若验证通过，提取认证平台证书中的认证平台公钥，并安装认证应用，生成随机挑战RC，并对RC进行签名。如验证失败，则产生错误码。
其中，ECASD用CI的公钥PK.CI.ECDSA验证CERT.AuServer.ECDSA，若验证失败，则产生错误码。若验证成功，为了后续eUICC和认证平台之间的安全交互及连接，从认证平台证书中提取并存储认证平台公钥PK.AuServer.ECDSA,并安装认证应用,生成RC，用eUICC的私钥SK.ECASD.ECKA对RC进行签名。
步骤S09：若验证通过，ECASD向ISD-R发送验证成功消息；
具体地，若验证通过，则ECASD向ISD-R发送验证成功消息，该验证成功消息中携带RC和签名，若验证失败，ECASD向ISD-R发送验证失败消息，该验证失败消息中携带错误码。
步骤S10：ISD-R向SM-SR返回认证应用下载安装成功消息。
具体地，ISD-R根据接收到的验证成功消息或验证失败消息，向SM-SR返回认证应用下载安装成功消息或认证应用下载安装失败消息。
步骤S11：若安装成功，SM-SR进行EIS信息更新。
具体地，SM-SR可根据收到的结果对该eUICC的EIS信息进行信息更新，如指示该eUICC中有安装该认证应用，eUICC的剩余可用空间等等。
步骤S12：SM-SR向认证平台返回认证应用安装结果通知。
具体地，该认证应用安装结果通知可以携带EID，认证应用标识，RC、签名或错误码。
步骤S13：认证平台使用eUICC的公钥PK.ECASD.ECKA进行验签，如通过则安装成功，否则，安装失败。
具体地，若认证平台接收到RC及签名，则使用PK.ECASD.ECKA进行验签，如通过则安装成功，否则，安装失败。
步骤S12：认证平台向业务平台发送认证应用申请结果。
具体地，该认证应用申请结果可以携带EID和应用类型，如安装成功，认证平台向业务平台发送认证应用申请结果。否则，可根据错误码进行再次尝试。
本发明利用eUICC体系的安全架构，无需为移动身份认证业务额外配置一套私有的安全体系，通过利用eUICC的安全体系保证传输安全，还通过双向验证进一步防止对认证业务的中间人攻击，尤其适用于无人工验证情况下的工业物联网基础设施安全体系的建设。
本发明中，认证服务提供商与运营商和智能卡生产厂商相互独立，认证平台通过eUICC体系架构将认证应用实时安装在eUICC中。通过本发明，无需在工厂制卡时预先写入认证应用等敏感数据，可在发卡后，业务平台根据业务需求通过认证平台向待认证终端实时安全下载和安装认证业务所需的应用及平台证书。可支持灵活的商业模式，有利于建设安全、开放移动身份认证生态环境。
实施例2：
参考图3，本实施例提供一种远程安装认证应用的方法，应用于SM-SR，所述方法包括：
步骤S202：接收认证平台发送的认证应用下载安装请求，认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
步骤S204：向eUICC转发认证应用下载安装请求。
可选地，向eUICC转发认证应用下载安装请求之前，方法还包括：
对认证应用下载安装请求进行合法性验证；
向eUICC转发认证应用下载安装请求，具体包括：
若验证通过，则向eUICC转发认证应用下载安装请求。
可选地，认证应用下载安装请求还携带eUICC标识EID，若验证通过，方法还包括：
根据EID获取对应的eUICC的eUICC卡信息集EIS信息；
从EIS信息中获取EID对应的eUICC证书；
向认证平台返回eUICC的证书。
可选地，向eUICC转发认证应用下载安装请求之后，方法还包括：
接收eUICC发送的认证应用下载安装成功消息，认证应用下载安装成功消息携带RC和签名；
基于认证应用下载安装成功消息更新EIS信息；
向认证平台返回认证应用安装结果通知，认证应用安装结果通知携带EID，认证应用标识，RC和签名。
实施例3：
参考图4，本实施例提供一种eUICC，包括：根安全域ISD-R31和eUICC的控制安全域ECASD 32；
ISD-R 31用于接收SM-SR发送的认证应用下载安装请求，认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD 32中；
ISD-R 31还用于向ECASD 32发送认证平台证书和认证应用安装文件；
ECASD 32用于接收ISD-R 31发送的认证平台证书和认证应用安装文件，并对认证平台证书进行验证，以及在验证通过后，根据认证应用安装文件安装认证应用。
可选地，认证平台证书包括认证平台公钥；
ECASD 32还用于从认证平台证书中提取并保存认证平台公钥，并根据预设算法生成随机挑战RC，对RC进行签名，以及向ISD-R 31发送验证成功消息，验证成功消息中携带RC和签名；
ISD-R 31还用于接收到验证成功消息后，向SM-SR发送认证应用下载安装成功消息，认证应用下载安装成功消息携带RC和签名。
实施例4：
参考图5，本实施例提供一种SM-SR，包括：
接收模块41，用于接收认证平台发送的认证应用下载安装请求，认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD 32中；
转发模块42，与所述接收模块41连接，用于向eUICC转发认证应用下载安装请求。
实施例2至实施例4提供的远程安装认证应用的方法、eUICC及SM-SR，利用eUICC体系的安全架构，在接收到SM-SR发送的认证应用下载安装请求后，对认证应用下载安装请求中的认证平台证书进行验证，并在验证通过后，将认证应用安装在eUICC的控制安全域ECASD中，从而无需为移动身份认证业务额外配置一套私有的安全体系，通过利用eUICC的安全体系保证传输安全，避免在工厂制卡时预先写入认证应用等敏感数据，可在发卡后，业务平台根据业务需求通过认证平台向待认证终端的eUICC实时安全下载和安装认证业务所需的认证应用及平台证书，可支持灵活的商业模式，有利于建设安全、开放移动身份认证生态环境，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用以及证书、密钥等敏感数据，只能适用于特定范围内的用户，无法实时远程下载安装认证应用的问题。
可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (10)

1.一种远程安装认证应用的方法，其特征在于，应用于嵌入式通用集成电路卡eUICC，所述eUICC包括根安全域ISD-R和eUICC的控制安全域ECASD，所述方法包括：
所述ISD-R接收签约关系管理平台安全路由网元SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
所述ECASD对所述认证平台证书进行验证，若验证通过，则根据认证应用安装文件将所述认证应用安装在所述ECASD中。
2.根据权利要求1所述的远程安装认证应用的方法，其特征在于，所述认证平台证书包括认证平台公钥，若验证通过，所述方法还包括：
从所述认证平台证书中提取并保存所述认证平台公钥；
根据预设算法生成随机挑战RC，并对所述RC进行签名；
向所述SM-SR发送认证应用下载安装成功消息，所述认证应用下载安装成功消息携带所述RC和签名。
3.根据权利要求1所述的远程安装认证应用的方法，其特征在于，若验证失败，所述方法还包括：
向所述SM-SR发送认证应用下载安装失败消息，所述认证应用下载安装失败消息携带错误码。
4.一种远程安装认证应用的方法，其特征在于，应用于权利要求1-3任一项所述的签约关系管理平台安全路由网元SM-SR，所述方法包括：
接收认证平台发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
向eUICC转发所述认证应用下载安装请求。
5.根据权利要求4所述的远程安装认证应用的方法，其特征在于，向eUICC转发所述认证应用下载安装请求之前，所述方法还包括：
对所述认证应用下载安装请求进行合法性验证；
所述向eUICC转发所述认证应用下载安装请求，具体包括：
若验证通过，则向eUICC转发所述认证应用下载安装请求。
6.根据权利要求4所述的远程安装认证应用的方法，其特征在于，所述认证应用下载安装请求还携带eUICC标识EID，若验证通过，所述方法还包括：
根据所述EID获取对应的eUICC的eUICC卡信息集EIS信息；
从所述EIS信息中获取所述EID对应的eUICC证书；
向认证平台返回所述eUICC的证书。
7.根据权利要求6所述的远程安装认证应用的方法，其特征在于，所述向eUICC转发所述认证应用下载安装请求之后，所述方法还包括：
接收所述eUICC发送的认证应用下载安装成功消息，所述认证应用下载安装成功消息携带RC和签名；
基于所述认证应用下载安装成功消息更新所述EIS信息；
向所述认证平台返回认证应用安装结果通知，所述认证应用安装结果通知携带所述EID，认证应用标识，RC和签名。
8.一种eUICC，其特征在于，包括：根安全域ISD-R和eUICC的控制安全域ECASD；
所述ISD-R用于接收SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
所述ISD-R还用于向所述ECASD发送所述认证平台证书和认证应用安装文件；
所述ECASD用于接收所述ISD-R发送的所述认证平台证书和认证应用安装文件，并对所述认证平台证书进行验证，以及在验证通过后，根据认证应用安装文件安装所述认证应用。
9.根据权利要求8所述的eUICC，其特征在于，所述认证平台证书包括认证平台公钥；
所述ECASD还用于从所述认证平台证书中提取并保存所述认证平台公钥，并根据预设算法生成随机挑战RC，对所述RC进行签名，以及向所述ISD-R发送验证成功消息，所述验证成功消息中携带所述RC和签名；
所述ISD-R还用于接收到所述验证成功消息后，向所述SM-SR发送认证应用下载安装成功消息，所述认证应用下载安装成功消息携带所述RC和签名。
10.一种如权利要求1-3任一项所述的签约关系管理平台安全路由网元SM-SR，其特征在于，包括：
接收模块，用于接收认证平台发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用标识、认证应用安装文件和认证平台证书，所述认证应用安装文件用于将认证应用安装在eUICC的控制安全域ECASD中；
转发模块，用于向eUICC转发所述认证应用下载安装请求。
CN202110308684.1A 2021-03-23 2021-03-23 一种远程安装认证应用的方法、eUICC及SM-SR Active CN113098933B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110308684.1A CN113098933B (zh) 2021-03-23 2021-03-23 一种远程安装认证应用的方法、eUICC及SM-SR

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110308684.1A CN113098933B (zh) 2021-03-23 2021-03-23 一种远程安装认证应用的方法、eUICC及SM-SR

Publications (2)

Publication Number Publication Date
CN113098933A CN113098933A (zh) 2021-07-09
CN113098933B true CN113098933B (zh) 2022-12-20

Family

ID=76669066

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110308684.1A Active CN113098933B (zh) 2021-03-23 2021-03-23 一种远程安装认证应用的方法、eUICC及SM-SR

Country Status (1)

Country Link
CN (1) CN113098933B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114879985B (zh) * 2022-07-12 2022-11-11 广州朗国电子科技股份有限公司 一种证书文件的安装方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105282732A (zh) * 2014-07-17 2016-01-27 三星电子株式会社 用于更新配置文件管理服务器的方法和设备
CN108476399A (zh) * 2015-12-28 2018-08-31 三星电子株式会社 用于在通信***中发送和接收简档的方法和装置
CN109492371A (zh) * 2018-10-26 2019-03-19 中国联合网络通信集团有限公司 一种数字证书空发方法及装置
CN109495429A (zh) * 2017-09-12 2019-03-19 华为技术有限公司 一种鉴权方法、终端及服务器

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101729493B (zh) * 2008-10-28 2012-09-05 中兴通讯股份有限公司 密钥分发方法和***
CN101808092B (zh) * 2010-03-12 2013-03-20 中国电信股份有限公司 多证书共享方法、***和智能卡
US9122865B2 (en) * 2012-09-11 2015-09-01 Authenticade Llc System and method to establish and use credentials for a common lightweight identity through digital certificates

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105282732A (zh) * 2014-07-17 2016-01-27 三星电子株式会社 用于更新配置文件管理服务器的方法和设备
CN108476399A (zh) * 2015-12-28 2018-08-31 三星电子株式会社 用于在通信***中发送和接收简档的方法和装置
CN109495429A (zh) * 2017-09-12 2019-03-19 华为技术有限公司 一种鉴权方法、终端及服务器
CN109492371A (zh) * 2018-10-26 2019-03-19 中国联合网络通信集团有限公司 一种数字证书空发方法及装置

Also Published As

Publication number Publication date
CN113098933A (zh) 2021-07-09

Similar Documents

Publication Publication Date Title
US9450951B2 (en) Secure over-the-air provisioning solution for handheld and desktop devices and services
EP2243311B1 (en) Method and system for mobile device credentialing
KR101243073B1 (ko) 단말기 구성 및 관리를 위한 방법 및 단말기 장치
RU2515809C2 (ru) Способы, предназначенные для того, чтобы давать возможность безопасной самостоятельной инициализации абонентских устройств в системе связи
US8438391B2 (en) Credential generation management servers and method for communications devices and device management servers
KR100937166B1 (ko) 이동단말기 특징으로의 제공 접근 권한 제한
CN108848496B (zh) 基于TEE的虚拟eSIM卡的认证方法、TEE终端和管理平台
US20060039564A1 (en) Security for device management and firmware updates in an operator network
KR20190004499A (ko) eSIM 단말과 서버가 디지털 인증서를 협의하는 방법 및 장치
CN110535665B (zh) 一种在线签发同根证书的方法、装置及***
CN112533211B (zh) eSIM卡的证书更新方法和***以及存储介质
CN109120419B (zh) 光网络单元onu版本的升级方法、装置及存储介质
CN113098933B (zh) 一种远程安装认证应用的方法、eUICC及SM-SR
CN113079037B (zh) 一种远程更新认证应用证书的方法及***
US20220385483A1 (en) Credential bootstrapping
CN113079503B (zh) 一种远程下载认证应用证书的方法及***
CN113490211B (zh) 一种辅助安全域的创建方法、sm-sr及***
CN112637848B (zh) 管理认证应用证书的方法、装置和***
CN112672346B (zh) 下载认证应用的方法、装置和***
CN110048857B (zh) 一种公钥基础设施管理***、智能卡和设备***
EP4380102A1 (en) A method to allow traceability of usim profile tranfer from a source device to a target device, corresponding system an remote server
EP1494395A1 (en) Method and authentication module for providing access to a target network via a wireless local area network WLAN
CN114189334A (zh) 一种可管控的eSIM终端证书在线签发方法和***
CN114930325A (zh) 安全地对存储在终端的安全处理器中的通用应用进行多样化的方法
WO2023237187A1 (en) Provisioning of a subscription profile to a subscriber module

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant