JP2022525370A - Ｓｍ‐ｓｒプラットフォームを介してセキュアエレメントのオペレーティングシステムに透過的にパッチを適用する方法 - Google Patents

Abstract

本発明は、端末に埋め込まれたセキュアエレメント１０３のオペレーティングシステム１００にパッチを適用する方法であって、－ セキュアエレメント１０３上へのＩＳＤ‐Ｐ１０４の作成命令をプラットフォーム１０１からＳＭ‐ＳＲ１０２に送信すること、－ プラットフォーム１０１とＩＳＤ‐Ｐ又はセキュアエレメント１０３との間にセキュアチャネルを確立すること、－ ＳＭ‐ＳＲ１０２からセキュアエレメント１０３にオペレーティングシステムのパッチを送信すること、－ ＩＳＤ‐Ｐ１０４においてオペレーティングシステムのパッチを実行すること、－ プラットフォーム１０１にパッチの実行の結果を通知するメッセージを、セキュアエレメント１０３からプラットフォーム１０１に送信すること、を含む方法に関する。【選択図】 図１

Description

本発明はセルラネットワーク（３Ｇ（ＵＭＴＳ）、４Ｇネットワーク（ＬＴＥ）又は次世代５Ｇネットワーク）における電気通信に関する。

これらのネットワークの特定の目標は、セキュアエレメント（ｅＵＩＣＣとも呼ばれる埋め込みＵＩＣＣ、又は組み込みｅＵＩＣＣとも呼ばれる組み込みＵＩＣＣ）と通信する端末間の通信の確立を支援することである。

これらのセキュアエレメントは通常、通常は携帯電話、スマートフォン、ＰＤＡなどから構成される端末の取り外し可能なカードの形態を取る。また、端末やマシンのモデム部に組み込まれた（したがって、抜き出し不能な）セキュアエレメントも存在する。これらのマシンは車両、飲料自動販売機、電気計数器などである。

より正確には、本発明はそのようなセキュアエレメントのパッチ能力に関する。ＧＳＭＡ対応のｅＵＩＣＣ又は組み込みｅＵＩＣＣ（以下の説明におけるセキュアエレメント）はデバイスに半田付けされ、フィールドに展開される。セキュアエレメントはよく認識された一組のＯＴＡプラットフォーム（ＳＭ‐ＳＲ／ＳＭ‐ＤＰ）によって管理される。ＳＭ‐ＳＲとは、サブスクリプションマネージャセキュアルーティングのことであり、ＳＭ‐ＤＰとはサブスクリプションマネージャデータ準備（ＳＭ‐ＤＰ）のことである。ＳＭ‐ＤＰは、オペレータがＳＭ‐ＳＲを介したセキュアエレメント内への無線によるインストールの準備が整っているオペレータプロファイル（プロファイルは一組のファイルシステム、アプリケーション、及びクレデンシャルである）を安全に暗号化するのに使用するエンティティである。

ＳＭ‐ＳＲは、暗号化されたオペレータプロファイルをセキュアエレメントに安全に配送し、プロファイルが一旦インストールされると、それ以降セキュアエレメントを遠隔管理する（製品の寿命の間、必要に応じてプロファイルの有効化、無効化及び削除を行う）。

オペレーティングシステム及びセキュアエレメントの内容のメンテナンスにはＯＴＡ（無線）接続が必要である。

ＧＳＭＡ仕様は、セキュアエレメントＯＳ（オペレーティングシステム）にパッチを適用する独自のＥＵＭ（セキュアエレメントメーカー）法を許可するが、ＥＵＭは一般に上記の認識されたプラットフォーム（ＳＭ‐ＳＲ／ＳＭ‐ＤＰ）の１つを所有していない。そして認識されたプラットフォームはその範囲のＯＳパッチの管理を行わない。

実際には、ＥＵＭはプラットフォームプロバイダと提携することができるが、パッチ適用の独自のＥＵＭ法用にプラットフォームをカスタマイズする必要がある。

この問題を解決するための既存の解決策がいくつか存在する：
－ このＥＵＭのセキュアエレメントを管理し得る各プラットフォームにおいて独自のＥＵＭパッチ法を実行すること。これは、セキュアエレメントがＮ個のプラットフォームにより管理されるＥＵＭについてＮ個の問題をもたらすと共に、Ｍ個の異なるＯＳ更新を実施するＭ個の異なるＥＵＭからのセキュアエレメントを管理するプラットフォーム所有者についてＭ個の問題をもたらす。そしてこれは、いくつかのＥＵＭのいくつかのプラットフォームにより管理される多くのデバイスを所有する顧客についてＭ×Ｎ個の問題を引き続きもたらす。
－ ＥＵＭが所有するＯＴＡプラットフォームにおいて独自のＥＵＭ法を実行すること。ただし、これは、一組の認識されたプラットフォームに別のプラットフォームを追加する際の多くの契約上の問題、及びこれら複数のプラットフォームを同期させるという技術的問題を引き起こす。

本発明はこれらの問題の解決策を提案する。

より正確には、本発明は、端末に埋め込まれたセキュアエレメントのオペレーティングシステムにパッチを適用する方法であって、
ｉ－ セキュアエレメント上へのＩＳＤ‐Ｐの作成命令をプラットフォームからＳＭ‐ＳＲに送信すること、
ｉｉ－ プラットフォームとＩＳＤ‐Ｐ又はセキュアエレメントとの間にセキュアチャネルを確立すること、
ｉｉｉ－ ＳＭ‐ＳＲからセキュアエレメントにオペレーティングシステムのパッチを送信すること、
ｉｖ－ ＩＳＤ‐Ｐにおいてオペレーティングシステムのパッチを実行すること、
ｖ－ プラットフォームにパッチの実行の結果を通知するメッセージをセキュアエレメントからプラットフォームに送信すること、
を含む方法を提案する。

好ましくは、プラットフォームはＳＭ‐ＤＰである。

有利には、ステップ‐ｉ‐はステップ‐ｉｉ‐の前に実行され、ＳＭ‐ＳＲは標準的なＳＭ‐ＳＲであり、セキュアエレメントはプラットフォームとＩＳＤ‐Ｐとの間に確立される。

セキュアエレメントはｅＵＩＣＣ又は組み込みｅＵＩＣＣである。

好ましくは、パッチはセキュアエレメントにより検証される少なくとも１つの署名を含む。

有利には、少なくとも１つの署名はＭＮＯプロファイルに存在する鍵によって検証することができる。

本発明の他の特殊性及び利点は、限定ではなく実例として与えられる本発明の有利な実施形態を読み、本発明に係る好適な方法を示す添付の唯一の図を参照するときに現れることになる。

本発明に係る好適な方法を示す図。

この図にはいくつかの要素が示されている。

－ ＯＳパッチをインストールするためのスクリプトを、署名されたトークン１０５（例えばＥＵＭ証明書１０５として知られているもの）、インストールパッチコマンド（ひいてはＱＣスクリプト（ＱＣは「品質管理」を意味する）を含む）、及び任意選択でターゲットＯＳバージョンと共に含む、スクリプトプラットフォーム１０１のメモリ１１３に格納されているＯＳパッチ１００。ＯＳパッチはこのメモリ１１３に格納されているか又はその場で生成される可能性がある。直結される要素１００及び１０１は同じエンティティを構成することができる。スクリプトプラットフォーム１０１は、サービスプロバイダＳＰ又はセキュアエレメント所有者１１２から見て標準的なＳＭ‐ＤＰと見なすことができる。スクリプトプラットフォーム１０１はＳＭ‐ＳＲの視点から単にＳＭ‐ＤＰと見なされる。サブスクリプションマネージャデータ準備（ＳＭ‐ＤＰ）１０１は、オペレータがセキュアエレメント内への無線によるインストールの準備が整っているオペレータクレデンシャルを安全に暗号化するのに使用するエンティティである。

－ 例えばｅＵＩＣＣや組み込みｅＵＩＣＣ（ｉ‐ＵＩＣＣ）のようなセキュアエレメント１０３。

－ 標準的なサブスクリプションマネージャセキュアルーティング（ＳＭ‐ＳＲ）１０２。このエンティティは、暗号化されたオペレータプロファイルをセキュアエレメント１０３に安全に配送し、プロファイルが一旦インストールされると、その後（製品の寿命の間、必要に応じてプロファイルの有効化、無効化及び削除を行うために）セキュアエレメントを遠隔管理する。

－ セキュアエレメントすなわちｅＵＩＣＣ１０３は、ＯＳパッチ１００のためのＩＳＤ‐Ｐ（セキュアドメイン）１０４（その作成は以下で説明される）、ＩＳＤＰ‐ＭＮＯ１０６（移動体ネットワークオペレータプロファイルをホストするために作成されたＩＳＤ‐Ｐ）、及びＩＳＤ‐Ｒ１０７（発行者セキュリティドメイン－ルート）を備える。したがって、セキュアエレメント１０３はＯＳパッチ１００のためのＩＳＤ‐Ｐ１０４を備え、このＩＳＤ‐Ｐ１０４は、セキュアエレメント１０３に新しいパッチをインストールすることに特化されたプログラム又はスクリプトを処理することができる。

－ セキュアエレメントに伝統的に組み込まれたＭＮＯファイル及びアプリケーション貯蔵庫１０９。

－ ｅＵＩＣＣ１０３はまたオペレーティングシステム１１０を備え、該オペレーティングシステム１１０は、
－ パッチ及びその署名のバージョンを検証すること、
－ ＯＳパッチスクリプトを実行すること、
－ ＱＣスクリプト実行、
－ ＯＳパッチのインストール中に何か不具合が発生した場合にＯＳパッチのインストールを中止するように意図されているロールバック管理、
－ パッチが正しくインストールされたかどうかをスクリプトプラットフォーム１０１に知らせるための結果管理
が予想されるＯＳパッチ管理システム１１１を備える。

－ そして最後に、以下で説明されるようにスクリプトプラットフォーム１０１によりセキュアエレメント１０３にインストールされたＯＳパッチ１００。

スクリプトプラットフォーム１０１は、そのＳＭ‐ＳＲとのインターフェイスで標準的なＳＭ‐ＤＰのように振る舞う。

標準的なＳＭ‐ＳＲプラットフォーム１０２は、スクリプトプラットフォーム１０１とセキュアエレメント１０３との間に連結される。

－ ＯＳパッチをＳＭ‐ＳＲを介してセキュアエレメントにいつ送信すべきか、またどのＳＭ‐ＳＲがセキュアエレメントを管理しているかなどの情報をスクリプトプラットフォーム１０１に提供するサービスプロバイダ又はセキュアエレメント所有者１１２。

これら様々なデバイスを説明してきたが、これより本発明を実施する好適な方法が説明される。

ＥＵＭ又は一部のサービスプロバイダは、オペレーティングシステム１１０にパッチを適用するためのスクリプトを生成又はフォーマットし得るスクリプトプラットフォーム１０１を所有するか又は下請け契約する。スクリプトプラットフォーム１０１はＥＵＭのセキュアエレメントとのＯＴＡ接続性を有しない。

スクリプトプラットフォーム１０１はノースバウンドＥＳ３インターフェイスを実装する。つまり、スクリプトプラットフォーム１０１はＳＭ‐ＳＲ１０２と統合することができ、ＳＭ‐ＤＰのように見える。

ＥＵＭ又はサービスプロバイダがパッチをターゲットセキュアエレメント１０３に送信することを決定するとき、ステップは以下のように示される：
１－ ＥＵＭは、ＯＳパッチをスクリプトプラットフォーム１０１に送信するか、又はこのスクリプトプラットフォーム１０１にその場でＯＳパッチを生成する、任意選択で署名されたトークンを生成するように指示することができる。
２－ ＥＵＭ、ＵＩＣＣ所有者１１２、又はセキュアエレメント１０３へのパッチのインストールを要求する権利を有するサービスプロバイダ若しくはＭＮＯは、このセキュアエレメント１０３にパッチスクリプトをインストールするようにスクリプトプラットフォーム１０１に要求する。

以下の３つのステップが続く：
－ ３ａ－ スクリプトプラットフォーム１０１は、ターゲットとされたセキュアエレメント１０３を管理するＳＭ‐ＳＲ１０２と接触し、ＩＳＤ‐Ｐ１０４を作成するように要求する（ＥＳ３．ＣｒｅａｔｅＩＳＤＰ）。
－ ３ｂ－ スクリプトプラットフォーム１０１は、ＳＭ‐ＳＲ１０２を介してセキュアエレメント１０３上のＩＳＤ‐Ｐ１０４とのＩＳＤ‐Ｐ鍵確立を行う（ＥＳ３．ＳｅｎｄＤａｔａによるＥＳ８．ＩＳＤＰＫｅｙｓｅｔＥｓｔａｂｌｉｓｈｍｅｎｔ）。これによって、スクリプトプラットフォーム１０１のみに知られているＳＣＰ０３鍵セットと、ＳＣＰ０３又はＳＣＰ０３ｔスクリプトを保護するのに使用され得るＩＳＤ‐Ｐ１０４とが生成される。
－ ３ｃ－ スクリプトプラットフォーム１０１はスクリプトを生成又はフォーマットし、スクリプト内に１つ以上の署名されたトークンを追加し、これをＳＣＰ０３又はＳＣＰ０３ｔを使用して保護する（以下のスクリプト及び署名されたトークンの説明参照）。
－ ３ｄ－ スクリプトプラットフォーム１０１は、ＥＳ３．ｓｅｎｄＤａｔａを使用して保護されたスクリプトをＳＭ‐ＳＲ１０２に送信する（ＳＭ‐ＳＲ１０２はスクリプトの内容を暗号化バージョンで見ることしかできない）。

－ ４－ ＳＭ‐ＳＲ１０２はスクリプトをセキュアエレメント１０３に送信する。

－ ５／６－ スクリプトはＩＳＤ‐Ｐ１０４で実行される。スクリプトの独自の方法によって、スクリプトの実行はパッチを直ちにＯＳ１００にインストールするか、又は後の有効化のために格納する。

－ ７／８－ スクリプトプラットフォーム１０１には、スクリプトの実行又は格納の結果が詳細に通知される。

１）スクリプトは以下のいずれかから構成することができる：
－ ＳＣＰ０３を使用して保護された、任意選択で独自のＡＰＤＵを加えた通常のＡＰＤＵ、又は
－ ＳＣＰ０３ｔで連結及び保護された独自のコマンド。本ケースでは、例えば第１のコマンドがＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージＰｒｏｆｉｌｅＨｅａｄｅｒの代わりにスクリプト（例えば“ＩｎｓｔａｌｌＯＳＰａｔｃｈ”）の性質を示す独自のコマンドである。又は
－ それ自体が独自のコマンドを含むことになる独自のＥＦ（基礎ファイル）を含む、ＳＣＰ０３ｔで保護された通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ。

いずれの場合においても、スクリプトは終わりに、スクリプトが正しく実行／格納されていることの確認を可能にする少しの品質管理（ＱＣ）命令、又は
－ それ自体が独自のコマンドを含むことになるＰＥ‐ＮｏｎＳｔａｎｄａｒｄを含む、ＳＣＰ０３ｔで保護された通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ
を含むことがある。

２）署名されたトークン
スクリプトプラットフォーム１０１は、スクリプトに署名されたトークンを挿入することがある。これによってセキュアエレメントは、以下に記載されるようにスクリプトが１つ以上の動作主体によって認証されたかどうかを確認できるようになる。

－ １つのトークンが、ＤＬＯＡ（電子承認状）であり、適合性を検証した後にのみＤＬＯＡを配送する認証機関により発行され、セキュリティ認証を受けたスクリプトのみが実行されることを保証するためにセキュアエレメントのＥＣＡＳＤ（ｅＵＩＣＣ制御機関セキュリティドメイン）に格納されている認証機関のＰＫにより検証されることがある。

－ １つのトークンが、共有鍵又はＥＵＭだけに知られている鍵ペアを使用して、例えばＥＵＭのＳＫ．ＥＵＭ．ＥＣＤＳＡ（ポイント３も参照）又はＥＵＭにより知られているＳＫ．ＥＣＡＳＤ．ＥＣＤＳＡにより署名された署名であり、ＥＵＭシステムにより生成されたスクリプトのみが実行されることを保証するためにセキュアエレメントのＥＣＡＳＤに格納されている対応するＰＫで検証されることがある。

－ １つのトークンが、関与するＭＮＯにより承認されたスクリプトのみが実行されることを保証するために、このセキュアエレメントにインストールされたプロファイルを所有するＭＮＯのそれぞれによって多重署名され、各ＩＳＤ‐Ｐ又はＭＮＯプロファイルのよく知られている鍵セットバージョン番号及び鍵インデックスに格納されている対応するＰＫを使用して検証されることがある。

－ １つのトークンが、スクリプトがサービスプロバイダによって生成される場合に第三者の鍵によって署名され、知られている第三者だけがスクリプトにアクセスできることを保証するためにＥＣＡＳＤ又はサービスプロバイダのセキュリティドメインに格納されている鍵を使用して検証されることがある。

３）追加の制御
－ セキュアエレメントは、証明書が（例えば鍵セット確立の間に提示されたプラットフォームの証明書のＯＩＤ（オブジェクト識別子）をチェックすることによって）よく知られていて許可されているスクリプトプラットフォームを特定しているかどうかをチェックすることがある。

－ スクリプトはＯＳバージョンを指定することがあり、セキュアエレメントはバージョンがその現在の状態に一致するかどうかをチェックし、一致しない場合にスクリプトを拒否することになる。

本発明の利点はＳＭ‐ＳＲ１０２が独自の機能を必要としないことである。

ＳＭ‐ＳＲ１０２は、ＳＭ‐ＤＰと対話できるとすぐに、スクリプトプラットフォーム１０１と透過的に対話することができる。

本発明はＧＳＭＡのｅＵＩＣＣ仕様Ｍ２Ｍ：ＳＧＰ．０２のいずれのバージョンとも互換性がある。

－ 最終的に、少なくとも１つの署名をＭＮＯプロファイルに存在する鍵によって検証することができる。ＭＮＯプロファイルはＭＮＯセキュリティドメイン（１０６又は１０９）に格納されており、セキュアエレメント１０３によって検証される。

Claims (7)

1. 端末に埋め込まれたセキュアエレメント（１０３）のオペレーティングシステム（１００）にパッチを適用する方法であって、
   ｉ－ 前記セキュアエレメント（１０３）上へのＩＳＤ‐Ｐ（１０４）の作成命令をプラットフォーム（１０１）からＳＭ‐ＳＲ（１０２）に送信すること、
   ｉｉ－ 前記プラットフォーム（１０１）と前記ＩＳＤ‐Ｐ（１０４）又は前記セキュアエレメント（１０３）との間にセキュアチャネルを確立すること、
   ｉｉｉ－ 前記ＳＭ‐ＳＲ（１０２）から前記セキュアエレメント（１０３）に前記オペレーティングシステムのパッチを送信すること、
   ｉｖ－ 前記ＩＳＤ‐Ｐ（１０４）において前記オペレーティングシステムの前記パッチを実行すること、
   ｖ－ 前記プラットフォーム（１０１）に前記パッチの実行の結果を通知するメッセージを、前記セキュアエレメント（１０３）から前記プラットフォーム（１０１）に送信すること、を含むことを特徴とする方法。
2. 前記プラットフォーム（１０１）がＳＭ‐ＤＰである、請求項１に記載の方法。
3. ステップ‐ｉ‐がステップ‐ｉｉ‐の前に実行され、前記ＳＭ‐ＳＲ（１０２）が標準的なＳＭ‐ＳＲであり、前記セキュアエレメントが前記プラットフォーム（１０１）と前記ＩＳＤ‐Ｐ（１０４）との間に確立される、請求項１又は２に記載の方法。
4. 前記セキュアエレメント（１０３）がｅＵＩＣＣである、請求項１乃至３のいずれかに記載の方法。
5. 前記セキュアエレメント（１０３）が組み込みｅＵＩＣＣである、請求項１乃至３のいずれかに記載の方法。
6. 前記パッチが前記セキュアエレメント（１０３）により検証される少なくとも１つの署名を含む、請求項１乃至５のいずれかに記載の方法。
7. 少なくとも１つの署名がＭＮＯプロファイルに存在する鍵によって検証することができる、請求項６に記載の方法。

Images