CN103957210A

CN103957210A - 智能卡及其安全控制方法、装置和系统

Info

Publication number: CN103957210A
Application number: CN201410181142.2A
Authority: CN
Inventors: 方瑜
Original assignee: Giesecke and Devrient China Information Technologies Co Ltd
Current assignee: Jiede China Technology Co ltd
Priority date: 2014-04-30
Filing date: 2014-04-30
Publication date: 2014-07-30
Anticipated expiration: 2034-04-30
Also published as: CN103957210B

Abstract

本发明提供了一种智能卡及其安全控制方法、装置和系统，该方法包括：智能卡终端在认证成功后向智能卡的ISD发送屏蔽ISD指令；所述ISD根据所述屏蔽ISD指令将管理权限按应用关联性交接给所述智能卡的各个ESSD分立管理；各个所述ESSD接管所述ISD交接的管理权限，接管后，每个所述ESSD的管理权限限于本安全域及其下挂载的所有应用；当接收到任意指令时，每个所述ESSD根据自身管理权限对所述指令进行处理。本发明实现了联合发卡的各个发卡方可将自己的应用仅受自己的安全域控制，因而，提高了联合发卡的各个发卡方的数据安全性。

Description

智能卡及其安全控制方法、装置和系统

技术领域

本发明涉及智能卡的安全控制技术，尤其是涉及一种智能卡及其安全控制方法、装置和系统。

背景技术

Global Platform规范(以下简称GP规范)是国际通用的智能卡行为管理规范。所有的Java卡都遵循GP规范。在GP规范中，发行方安全域(ISD，Issuer SecurityDomain)拥有最高的管理权限，比如全局删除(Global Delete)、令牌验证(TokenVerification)、卡片生命周期状态等等，其中，ISD也称为主安全域。

目前国内有很多的多应用联合发卡的场景。GP规范针对多应用场景，提供了辅助安全域(SSD，Supplementary Security Domain)的功能，各个应用可以挂载到各自的SSD下，那么各个应用仅受其挂载的SSD和ISD的管理。

但是，如图6所示，按照现有GP规范，一张卡片上只能有一个ISD，该ISD拥有最高的管理权限，可以锁定、删除卡上的任何应用。通常，联合发卡的发卡方是相互合作的关系，权限应用是平等的，因此，联合发卡的发卡方不希望任何一方掌管ISD，都希望自己的应用仅受自己安全域的控制，针对这样的应用场景，标准的GP规范无法实现该需求。

发明内容

本发明的目的在于提供一种智能卡及其安全控制方法、装置和系统，以实现联合发卡的各个发卡方可将自己的应用仅受自己的安全域控制，提高各个发卡方的数据安全性。

为达到上述目的，一方面，本发明提供了一种ISD侧的安全控制方法，包括以下步骤：

接收智能卡终端发送的认证请求；

对所述认证请求进行认证，生成认证结果并将其发送至所述智能卡终端；

接收所述智能卡终端在认证成功后发送的屏蔽主安全域ISD指令；

根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个增强型辅助安全域ESSD分立管理。

本发明的ISD侧的安全控制方法，所述根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理，具体包括：

将本智能卡的生命周期状态推送给本智能卡的各个ESSD；

取消所述ISD的令牌验证服务；

将GP系统应用程序编程接口的访问对象转接到与该应用关联的ESSD上。

本发明的ISD侧的安全控制方法，在所述根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理之后，还包括：

拒绝任何指令。

另一方面，本发明还提供了一种ESSD侧的安全控制方法，包括以下步骤：

接管ISD交接的管理权限，接管后，每个ESSD的管理权限限于本安全域及其下挂载的所有应用；

当接收到任意指令时，每个所述ESSD根据自身管理权限对所述指令进行处理。

再一方面，本发明还提供了一种智能卡终端侧的安全控制方法，包括以下步骤：

向智能卡的ISD发起认证请求；

接收所述ISD返回的认证结果；

当所述认证结果为成功认证时，向所述ISD发送屏蔽ISD指令。

本发明的智能卡终端侧的安全控制方法，所述屏蔽ISD指令包括修改ISD的应用标识AID为无效AID指令。

再一方面，本发明还提供了一种智能卡安全控制方法，包括以下步骤：

智能卡终端在认证成功后向智能卡的ISD发送屏蔽ISD指令；

所述ISD根据所述屏蔽ISD指令将管理权限按应用关联性交接给所述智能卡的各个ESSD分立管理；；

各个所述ESSD接管所述ISD交接的管理权限，接管后，每个所述ESSD的管理权限限于本安全域及其下挂载的所有应用；

再一方面，本发明还提供了一种ISD，包括：

认证处理模块，用于接收智能卡终端发送的认证请求，对所述认证请求进行认证，生成认证结果并将其发送至所述智能卡终端；

管理权限交接模块，用于接收所述智能卡终端在认证成功后发送的屏蔽ISD指令，根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理。

再一方面，本发明还提供了一种ESSD，包括：

管理权限接管模块，用于接管ISD交接的管理权限，接管后，每个所述ESSD的管理权限限于本安全域及其下挂载的所有应用；

指令处理模块，用于当接收到任意指令时，根据自身管理权限对所述指令进行处理。

再一方面，本发明还提供了一种智能卡终端，包括：

认证发起模块，用于向智能卡的ISD发起认证请求，接收所述ISD返回的认证结果；

屏蔽ISD指令发起模块，用于在所述认证结果为成功认证时，向所述ISD发送屏蔽ISD指令。

再一方面，本发明还提供了一种智能卡，包括：

至少一个如上所述的ESSD；以及，

一个如上所述的ISD。

再一方面，本发明还提供了一种智能卡安全控制系统，包括：

如上所述的智能卡终端；以及，

如上所述智能卡。

本发明中，在认证成功后智能卡终端向智能卡的ISD发送屏蔽ISD指令，ISD根据屏蔽ISD指令将管理权限按应用关联性交接给该智能卡的各个ESSD分立管理，各个ESSD接管ISD交接的管理权限后，ISD完全丧失了所有的管理能力，每个ESSD的管理权限限于本安全域及其下挂载的所有应用，也就是说，任何一个ESSD仍然没有访问和管理其他ESSD的权限。从而实现了联合发卡的各个发卡方可将自己的应用仅受自己的安全域控制，因而，提高了联合发卡的各个发卡方的数据安全性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，并不构成对本发明的限定。在附图中：

图1为本发明实施例的智能卡终端侧的安全控制方法的流程图；

图2为本发明实施例的ISD侧的安全控制方法的流程图；

图3为本发明实施例的ESSD侧的安全控制方法的流程图；

图4为本发明实施例的智能卡安全控制方法的流程图；

图5为本发明实施例的智能卡安全控制系统的结构图；

图5a为图5中智能卡的结构图；

图5b为图5a中智能卡的ISD的结构图；

图5c为图5a中智能卡的ESSD的结构图；

图5d为图5中智能卡终端的结构图；

图6为现有GP规范下的智能卡安全控制架构图；

图7为本发明实施例的智能卡安全控制架构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

下面结合附图，对本发明的具体实施方式作进一步的详细说明。

参考图1所示，本发明实施例的智能卡终端侧的安全控制方法，包括以下步骤：

步骤S101、向智能卡的ISD发起认证请求。

步骤S102、接收该ISD返回的认证结果。其中，认证结果通常为返回码。

步骤S103、当认证结果为成功认证时，向该ISD发送屏蔽ISD指令。智能卡终端在接收到认证结果后会进行认证结果检查，如果是成功认证，则向发送屏蔽ISD指令。可见，只有认证成功，才能进行ISD屏蔽。其中，屏蔽ISD指令可以有多种形式，例如，屏蔽ISD指令可以为修改ISD的应用标识(AID，Application Identifier)为无效AID指令，当然，也可以采用其他特殊指令来实现。

参考图2所示，本发明实施例的ISD侧的安全控制方法，包括以下步骤：

步骤S201、接收智能卡终端发送的认证请求。

步骤S202、对认证请求进行认证，生成认证结果并将其发送至智能卡终端。

步骤S203、接收智能卡终端在认证成功后发送的屏蔽ISD指令。

步骤S204、根据屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个增强型辅助安全域(ESSD，Enhanced Supplementary Security Domain)。ISD收到该指令后，将执行一系列的处理，所谓的根据屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理，具体包括：将本智能卡的生命周期状态推送给本智能卡的各个ESSD；取消ISD的令牌验证服务；将GP系统应用程序编程接口(即GPSystem API)的访问对象转接到与该应用关联的ESSD上。

在ISD屏蔽后，ISD将拒绝任何指令，例如，对于任何指令都返回拒绝代码0X6D00，此后ISD完全丧失了所有的管理能力，那么智能卡就会处于各个ESSD分立管理的局面，各个应用仅受其挂载的ESSD的管理。这样的局面很好的解决了各个发卡方所期望的：自己的应用仅受自己的安全域的控制；没有任何一方能力跨越安全域管理。

参考图3所示，本发明实施例的ESSD侧的安全控制方法，包括以下步骤：

步骤S301、接管ISD交接的管理权限，接管后，每个ESSD的管理权限限于本安全域及其下挂载的所有应用，也就说，任何一个ESSD仍然没有访问和管理其他ESSD的权限。

本步骤中，ESSD接管的功能如下：

1、ESSD能够执行，如下载、安装、删除等基本管理功能；

2、ESSD本身不能被删除；

3、ESSD下，下载新的应用仅由ESSD控制，不需要得到ISD的验证；

4、ESSD接管ISD的生命周期状态作为自身的生命周期状态，ESSD的生命周期状态将直接影响其下所挂载的应用：

1)、ESSD处于LOCKED状态时，其下所有应用都不能被选择；

2)、ESSD处于TERMINATED状态时，该ESSD和其下所有应用都被终结；

5、ESSD的生命周期状态不影响其他的ESSD和应用；

6、GPSystem API不再访问ISD的生命周期状态，而将访问其对应的ESSD的生命周期状态，GPSystem API将使用ESSD的状态标志作为访问和判断标志：

1)、GPSystem.lockCard()将会锁定对应的ESSD；

2)、GPSystem.terminateCard()将会终结对应的ESSD。

实际上，ESSD是由普通SSD在接管了ISD的部分管理权限后升级而成的。通过如下表1我们可以更加直观的看出ISD和ESSD在ISD被屏蔽前后的变化。

表1

步骤S302、当接收到任意指令时，每个ESSD根据自身管理权限对指令进行处理。

结合图4所示，本发明实施例的智能卡安全控制方法，包括以下步骤：

步骤S401、智能卡终端在认证成功后向智能卡的ISD发送屏蔽ISD指令。

步骤S402、该ISD根据屏蔽ISD指令将管理权限按应用关联性交接给该智能卡的各个ESSD分立管理。具体参见上述步骤S204。

步骤S403、该智能卡的各个ESSD接管该ISD交接的管理权限，接管后，每个ESSD的管理权限限于本安全域及其下挂载的所有应用，也就说，任何一个ESSD仍然没有访问和管理其他ESSD的权限。具体参见上述步骤S301。

步骤S404、当接收到任意指令时，每个ESSD根据自身管理权限对指令进行处理。

本发明实施例中，在认证成功后智能卡终端向智能卡的ISD发送屏蔽ISD指令，该ISD根据屏蔽ISD指令将管理权限按应用关联性交接给智能卡的各个ESSD分立管理(如图7所示)，各个ESSD接管ISD交接的管理权限后，ISD完全丧失了所有的管理能力，每个ESSD的管理权限限于本安全域及其下挂载的所有应用，也就是说，任何一个ESSD仍然没有访问和管理其他ESSD的权限。从而实现了联合发卡的各个发卡方可将自己的应用仅受自己的安全域控制，因而，提高了联合发卡的各个发卡方的数据安全性。

参考图5～图5d所示，本发明实施例的智能卡安全控制系统包括智能卡5和智能卡终端6。其中：

智能卡终端6包括：

认证发起模块61，用于向智能卡5的ISD51发起认证请求，接收智能卡5返回的认证结果。

屏蔽ISD指令发起模块62，用于在认证结果为成功认证时，向该ISD51发送屏蔽ISD指令。

智能卡5通常包括一个ISD51和多个ESSD52。，其中：

ISD51包括：

认证处理模块511，用于接收智能卡终端6发送的认证请求，对认证请求进行认证，生成认证结果并将其发送至智能卡终端6；

管理权限交接模块512，用于接收智能卡终端6在认证成功后发送的屏蔽ISD指令，根据屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD52分立管理。

每个ESSD52包括：

管理权限接管模块521，用于接管ISD交接的管理权限，接管后，各个ESSD52的管理权限限于本安全域及其下挂载的所有应用；也就说，任何一个ESSD52仍然没有访问和管理其他ESSD52的权限。

指令处理模块522，用于当接收到任意指令时，根据自身管理权限对指令进行处理。

本发明实施例中，在认证成功后智能卡终端6向智能卡5的ISD51发送屏蔽ISD指令，该ISD51根据屏蔽ISD指令将管理权限按应用关联性交接给智能卡5的各个ESSD52分立管理，各个ESSD52接管ISD51交接的管理权限后，ISD51完全丧失了所有的管理能力，每个ESSD52的管理权限限于本安全域及其下挂载的所有应用，也就是说，任何一个ESSD52仍然没有访问和管理其他ESSD52的权限。从而实现了联合发卡的各个发卡方可将自己的应用仅受自己的安全域控制，因而，提高了联合发卡的各个发卡方的数据安全性。

本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块、单元和步骤可以通过硬件、软件或两者的结合来实现。至于是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。

本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。

本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用户终端中的不同的部件中。

在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种ISD侧的安全控制方法，其特征在于，包括以下步骤：

接收智能卡终端发送的认证请求；

2.根据权利要求1所述的ISD侧的安全控制方法，其特征在于，所述根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理，具体包括：

将本智能卡的生命周期状态推送给本智能卡的各个ESSD；

取消所述ISD的令牌验证服务；

3.根据权利要求1所述的ISD侧的安全控制方法，其特征在于，在所述根据所述屏蔽ISD指令将管理权限按应用关联性交接给本智能卡的各个ESSD分立管理之后，还包括：

拒绝任何指令。

4.一种ESSD侧的安全控制方法，其特征在于，包括以下步骤：

5.一种智能卡终端侧的安全控制方法，其特征在于，包括以下步骤：

向智能卡的ISD发起认证请求；

接收所述ISD返回的认证结果；

当所述认证结果为成功认证时，向所述ISD发送屏蔽ISD指令。

6.根据权利要求5所述的智能卡终端侧的安全控制方法，其特征在于，所述屏蔽ISD指令包括修改ISD的应用标识AID为无效AID指令。

7.一种智能卡安全控制方法，其特征在于，包括以下步骤：

智能卡终端在认证成功后向智能卡的ISD发送屏蔽ISD指令；

所述ISD根据所述屏蔽ISD指令将管理权限按应用关联性交接给所述智能卡的各个ESSD分立管理；

8.一种ISD，其特征在于，包括：

9.一种ESSD，其特征在于，包括：

10.一种智能卡终端，其特征在于，包括：

11.一种智能卡，其特征在于，包括：

至少一个权利要求9所述的ESSD；以及，

一个权利要求8所述的ISD。

12.一种智能卡安全控制系统，其特征在于，包括：

权利要求10所述的智能卡终端；以及，

权利要求11所述智能卡。