專利名稱：智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及基于NFC的移動(dòng)終端電子支付技術(shù)，特別地，涉及一種智能卡從安全 域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端。
背景技術(shù)：
近場(chǎng)通信技術(shù)(Near Field Communication, NFC)是工作于13. 56MHz的一種近距 離無線通信技術(shù)，由RFID技術(shù)及互連技術(shù)融合演變而來。手機(jī)等移動(dòng)通信終端集成NFC技 術(shù)后，可以模擬非接觸式IC卡，用于電子支付的有關(guān)應(yīng)用。移動(dòng)通信終端上實(shí)現(xiàn)該方案需 要在終端上增加NFC模擬前端芯片和NFC天線，并使用支持電子支付的智能卡。
IC卡特別是非接觸式IC卡經(jīng)過十多年的發(fā)展，已經(jīng)被廣泛應(yīng)用于公交、門禁、小 額電子支付等領(lǐng)域。與此同時(shí)，手機(jī)經(jīng)歷20多年的迅速發(fā)展，在居民中基本得到普及，給人 們的工作及生活帶來很大的便利。手機(jī)的功能越來越強(qiáng)大，并存在集成更多功能的趨勢(shì)。
將手機(jī)和非接觸式ic卡技術(shù)結(jié)合，手機(jī)應(yīng)用于電子支付領(lǐng)域，會(huì)進(jìn)一步擴(kuò)大手機(jī)的使用范
圍，給人們的生活帶來便捷，存在著廣闊的應(yīng)用前景。 為實(shí)現(xiàn)基于NFC技術(shù)的移動(dòng)電子支付，需要建立移動(dòng)終端電子支付系統(tǒng)，通過該
系統(tǒng)實(shí)現(xiàn)對(duì)基于NFC的移動(dòng)終端電子支付的管理，包括智能卡的發(fā)行，電子支付應(yīng)用的下
載、安裝和個(gè)人化，采用相關(guān)技術(shù)和管理策略實(shí)現(xiàn)電子支付應(yīng)用的安全等。 基于NFC技術(shù)的移動(dòng)終端電子支付系統(tǒng)的業(yè)務(wù)框架通常采用GlobalPlatform規(guī)
范的多應(yīng)用框架，在該框架下，支持Global Platform規(guī)范的智能卡指的是符合Global
Platform Card Specification V2. 1. 1/V2. 2規(guī)范的IC芯片或智能卡，從物理形式上可以
為SM/USIM卡、可插拔的智能存儲(chǔ)卡或者集成在移動(dòng)終端上的IC芯片。 如果基于近場(chǎng)通信(NFC)技術(shù)的移動(dòng)終端電子支付系統(tǒng)支持GP2. 1. 1規(guī)范，安全
通道協(xié)議需要支持SCP02 (基于對(duì)稱密鑰)；如果基于近場(chǎng)通信技術(shù)的移動(dòng)終端電子支付系
統(tǒng)支持GP2. 2規(guī)范，安全通道協(xié)議需要支持SCP02 (基于對(duì)稱密鑰)和SCP10 (基于非對(duì)稱
密鑰)，卡片發(fā)行商、應(yīng)用提供商可以根據(jù)安全策略需求進(jìn)行選擇。 —般情況下，基于NFC的移動(dòng)終端近距離電子支付系統(tǒng)主要由卡片發(fā)行商管理平 臺(tái)、應(yīng)用提供商管理平臺(tái)和支持具有電子支付應(yīng)用功能智能卡的移動(dòng)終端組成，該系統(tǒng)中 可以存在多個(gè)應(yīng)用提供商管理平臺(tái)。 在支持Global Platform規(guī)范的智能卡上可以安裝多個(gè)應(yīng)用，為了實(shí)現(xiàn)電子支付 應(yīng)用的安全，智能卡被分隔為若干個(gè)獨(dú)立的安全域，以保證多個(gè)應(yīng)用相互之間的隔離以及 獨(dú)立性，各個(gè)應(yīng)用提供商管理各自的安全域以及應(yīng)用、應(yīng)用數(shù)據(jù)等。 安全域是卡外實(shí)體包括卡發(fā)行商和應(yīng)用提供商在卡上的代表，它們包含用于支持 安全通道協(xié)議運(yùn)作以及智能卡內(nèi)容管理的密鑰。安全域包括主安全域和從安全域等。主安 全域是卡發(fā)行商在智能卡上的強(qiáng)制的卡上代表。從安全域是卡發(fā)行商或應(yīng)用提供商在智能 卡上的附加的可選卡上代表。 安全域的密鑰生成、分發(fā)與更新由管理該安全域的卡發(fā)行商或應(yīng)用提供商負(fù)責(zé)，
4這保證了來自不同應(yīng)用提供者的應(yīng)用和數(shù)據(jù)可以共存于同一個(gè)卡上。安全域的密鑰包括主安全域密鑰、從安全域初始密鑰和從安全域密鑰。主安全域密鑰和從安全域初始密鑰由卡發(fā)行商管理平臺(tái)生成，從安全域密鑰由管理從安全域的卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)生成。 在將電子支付應(yīng)用下載并安裝到智能卡之前，需要在智能卡上為該應(yīng)用先創(chuàng)建從安全域。智能卡從安全域的創(chuàng)建是由卡發(fā)行商管理平臺(tái)完成的。在智能卡發(fā)行后，創(chuàng)建智能卡從安全域時(shí)，從安全域初始密鑰必須由卡發(fā)行商管理平臺(tái)通過安全途徑導(dǎo)入到智能卡上的從安全域。 從安全域創(chuàng)建完成后，在下載電子支付應(yīng)用時(shí)，需要將從安全域初始密鑰更新為電子支付應(yīng)用使用的密鑰，即更新為電子支付應(yīng)用使用的從安全域密鑰。電子支付應(yīng)用所使用的從安全域密鑰具有一定的生命周期時(shí)，必須在從安全域密鑰生命周期結(jié)束之前完成從安全域密鑰的更新。另外，也可能由于安全原因需要強(qiáng)制更新電子支付應(yīng)用使用的從安全域密鑰。從安全域密鑰作為機(jī)密數(shù)據(jù)，在密鑰更新過程中需要采取可靠及安全的方法將有關(guān)密鑰導(dǎo)入到智能卡從安全域，以實(shí)現(xiàn)從安全域密鑰的安全更新分發(fā)。
電子支付應(yīng)用所使用的從安全域密鑰的更新分發(fā)過程與系統(tǒng)網(wǎng)絡(luò)架構(gòu)的具體實(shí)現(xiàn)方式有關(guān)。為了實(shí)現(xiàn)智能卡的安全性管理和電子支付應(yīng)用的下載、安裝等，智能卡需要和卡發(fā)行商管理平臺(tái)以及應(yīng)用提供商管理平臺(tái)建立通信。智能卡通過移動(dòng)終端使用移動(dòng)通信網(wǎng)絡(luò)和管理平臺(tái)建立通信，可以采用OTA(Over The Air)技術(shù)實(shí)現(xiàn)智能卡與卡發(fā)行商管理平臺(tái)和應(yīng)用提供商管理平臺(tái)的通信。在采用OTA技術(shù)的情況下，針對(duì)對(duì)稱密鑰的情況，如何實(shí)現(xiàn)智能卡從安全域密鑰的安全更新分發(fā)，是移動(dòng)終端電子支付需要解決的一個(gè)問題。

發(fā)明內(nèi)容
本發(fā)明要解決的技術(shù)問題是提供一種智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端，以對(duì)智能卡從安全域進(jìn)行安全的密鑰更新和分發(fā)。 為了解決上述問題，本發(fā)明提供了一種移動(dòng)終端電子支付系統(tǒng)，該系統(tǒng)包括具有電子支付應(yīng)用功能的智能卡、移動(dòng)終端、空中下載0TA服務(wù)器及卡外實(shí)體管理平臺(tái)，其中，
所述智能卡安裝在移動(dòng)終端上，用于通過移動(dòng)終端及0TA服務(wù)器與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信； 所述卡外實(shí)體管理平臺(tái)，用于通過所述OTA服務(wù)器和所述移動(dòng)終端向所述智能卡分發(fā)智能卡從安全域密鑰。 進(jìn)一步地，所述卡外實(shí)體管理平臺(tái)，還用于與所述智能卡進(jìn)行互認(rèn)證及建立臨時(shí)會(huì)話密鑰，以及生成新的從安全域密鑰；所述0TA服務(wù)器，用于通過安全連接與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信，通過0TA連接傳輸智能卡與卡發(fā)行商管理平臺(tái)和應(yīng)用提供商管理平臺(tái)之間的通訊數(shù)據(jù)；所述智能卡，還用于通過所述移動(dòng)終端與所述0TA服務(wù)器建立0TA連接，以及與所述卡外管理實(shí)體平臺(tái)進(jìn)行互認(rèn)證，以及接收所述卡外實(shí)體管理平臺(tái)分發(fā)的從安全域密鑰，更新從安全域密鑰，所述互認(rèn)證過程及從安全域密鑰分發(fā)均通過0TA服務(wù)器和所述移動(dòng)終端實(shí)現(xiàn)。 進(jìn)一步地，在智能卡從安全域密鑰到期或需要強(qiáng)制更新時(shí)，所述卡外實(shí)體管理平臺(tái)進(jìn)行智能卡從安全域密鑰分發(fā)，所述卡外實(shí)體管理平臺(tái)指卡發(fā)行商管理平臺(tái)或應(yīng)用提供
5商管理平臺(tái)。 為解決上述技術(shù)問題，本發(fā)明還提供了一種智能卡從安全域密鑰更新分發(fā)方法，該方法基于移動(dòng)終端電子支付系統(tǒng)實(shí)現(xiàn)，該系統(tǒng)包括具有電子支付應(yīng)用功能的智能卡、移動(dòng)終端、空中下載OTA服務(wù)器及卡外實(shí)體管理平臺(tái)，所述智能卡通過移動(dòng)終端及OTA服務(wù)器與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信，所述卡外實(shí)體管理平臺(tái)通過所述OTA服務(wù)器和所述移動(dòng)終端將從安全域密鑰分發(fā)給所述智能卡。
進(jìn)一步地，該方法包括 (a)所述卡外實(shí)體管理平臺(tái)與所述智能卡之間建立安全信道，所述安全信道是通過所述OTA服務(wù)器及所述移動(dòng)終端建立的； (b)所述卡外實(shí)體管理平臺(tái)生成新的從安全域密鑰； (c)所述卡外實(shí)體管理平臺(tái)將新的從安全域密鑰通過所述安全信道分發(fā)給所述智能卡； (d)所述智能卡完成從安全域密鑰更新。 進(jìn)一步地，步驟(a)中建立安全信道的過程包括 (al)所述卡外實(shí)體管理平臺(tái)與智能卡從安全域進(jìn)行互認(rèn)證，所述互認(rèn)證過程是由卡外實(shí)體管理平臺(tái)經(jīng)所述OTA服務(wù)器和所述移動(dòng)終端完成； (a2)所述卡外實(shí)體管理平臺(tái)與所述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立安全信道。 進(jìn)一步地，當(dāng)智能卡從安全域密鑰到期或需要強(qiáng)制更新時(shí)，由所述卡外實(shí)體管理平臺(tái)發(fā)起智能卡從安全域密鑰更新分發(fā)流程。 進(jìn)一步地，所述卡外實(shí)體管理平臺(tái)指卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)。
進(jìn)一步地，所述卡外實(shí)體管理平臺(tái)指應(yīng)用提供商管理平臺(tái)，所述步驟(a)之前還包括卡發(fā)行商管理平臺(tái)在智能卡上創(chuàng)建從安全域及生成從安全域初始密鑰；所述卡發(fā)行商管理平臺(tái)將創(chuàng)建的從安全域的基本信息和初始密鑰信息發(fā)送給應(yīng)用提供商管理平臺(tái)。
為解決上述技術(shù)問題，本發(fā)明還提供了一種移動(dòng)終端，所述移動(dòng)終端包括具有電子支付應(yīng)用功能的智能卡，所述智能卡從安全域的密鑰由卡外實(shí)體管理平臺(tái)通過空中下載OTA服務(wù)器和移動(dòng)終端分發(fā)。 本發(fā)明智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端，基于OTA技術(shù)，可以解決在發(fā)卡后，針對(duì)對(duì)稱密鑰的情況，對(duì)智能卡從安全域進(jìn)行安全的密鑰更新和分發(fā)。


圖1是本發(fā)明基于近場(chǎng)通信技術(shù)的移動(dòng)終端電子支付系統(tǒng)架構(gòu)示意圖。 圖2是針對(duì)卡發(fā)行商管理的從安全域，本發(fā)明從安全域初始密鑰更新分發(fā)流程示意圖。 圖3是針對(duì)應(yīng)用提供商管理的從安全域，本發(fā)明從安全域初始密鑰更新分發(fā)流程示意圖。 圖4是針對(duì)卡發(fā)行商管理的從安全域，密鑰到期或強(qiáng)制更新時(shí)，本發(fā)明從安全域密鑰更新分發(fā)流程示意圖。 圖5是針對(duì)應(yīng)用提供商管理的從安全域，密鑰到期或強(qiáng)制更新時(shí)，本發(fā)明從安全域密鑰更新分發(fā)流程示意圖。
具體實(shí)施例方式
如圖1所示，本發(fā)明移動(dòng)終端電子支付系統(tǒng)包括應(yīng)用提供商管理平臺(tái)、卡發(fā)行商管理平臺(tái)、OTA服務(wù)器和移動(dòng)終端和智能卡。 所述智能卡具有電子支付應(yīng)用功能，安裝在移動(dòng)終端上，和所述移動(dòng)終端支持OTA功能，所述智能卡還支持Global Platform Card SpecificationV2. 1. 1/V2. 2規(guī)范；當(dāng)用戶下載應(yīng)用時(shí)，所述智能卡通過所述移動(dòng)終端與OTA服務(wù)器之間建立OTA連接，OTA連接支持短信和BIP等傳輸方式承載。 智能卡通過移動(dòng)終端及OTA服務(wù)器與應(yīng)用提供商管理平臺(tái)、卡發(fā)行商管理平臺(tái)通信，用于與管理智能卡從安全域的管理平臺(tái)進(jìn)行互認(rèn)證，以及接收所述管理平臺(tái)分發(fā)的從安全域密鑰，更新從安全域密鑰，所述互認(rèn)證過程及從安全域密鑰分發(fā)均通過OTA服務(wù)器和所述移動(dòng)終端實(shí)現(xiàn)。 移動(dòng)終端可以通過移動(dòng)網(wǎng)絡(luò)與卡發(fā)行商管理平臺(tái)及應(yīng)用提供商管理平臺(tái)連接，也可以通過卡發(fā)行商業(yè)務(wù)終端或應(yīng)用提供商業(yè)務(wù)終端分別與卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)連接?？òl(fā)行商業(yè)務(wù)終端，由卡發(fā)行商管理平臺(tái)管理；應(yīng)用提供商業(yè)務(wù)終端，由應(yīng)用提供商管理平臺(tái)管理。 OTA服務(wù)器通過安全連接與應(yīng)用提供商管理平臺(tái)、卡發(fā)行商管理平臺(tái)通訊，通過OTA連接傳輸智能卡與卡發(fā)行商管理平臺(tái)和應(yīng)用提供商管理平臺(tái)之間的通訊數(shù)據(jù)；
應(yīng)用提供商管理平臺(tái)和卡發(fā)行商管理平臺(tái)之間可以通過安全連接進(jìn)行通信?？òl(fā)行商管理平臺(tái)和應(yīng)用提供商管理平臺(tái)可以通過OTA服務(wù)器提供電子支付有關(guān)服務(wù)提供可以下載的電子支付應(yīng)用列表，參與從安全域的創(chuàng)建和密鑰分發(fā)、電子支付應(yīng)用的下載、以及電子支付應(yīng)用的個(gè)人化等；具體地， 卡發(fā)行商管理平臺(tái)，負(fù)責(zé)卡的發(fā)行和管理，對(duì)卡的資源和生命周期、密鑰、證書進(jìn)行管理，負(fù)責(zé)從安全域的創(chuàng)建，并與其他安全域交互應(yīng)用數(shù)據(jù)，其中包括創(chuàng)建從安全域，與所述智能卡進(jìn)行互認(rèn)證及建立臨時(shí)會(huì)話密鑰，以及生成從安全域初始密鑰和新的從安全域密鑰。 就具體實(shí)現(xiàn)而言，卡發(fā)行商管理平臺(tái)可以包括卡片管理系統(tǒng)、應(yīng)用管理系統(tǒng)、密鑰管理系統(tǒng)、證書管理系統(tǒng)、應(yīng)用提供商管理系統(tǒng)等，其中證書管理系統(tǒng)在支持非對(duì)稱密鑰的情況下使用，證書管理系統(tǒng)和卡片發(fā)行商認(rèn)證機(jī)構(gòu)(CA)系統(tǒng)連接； 應(yīng)用提供商管理平臺(tái)，負(fù)責(zé)電子支付應(yīng)用的提供和管理功能，提供各種業(yè)務(wù)應(yīng)用，并對(duì)卡上與其對(duì)應(yīng)的從安全域進(jìn)行安全管理，對(duì)所述從安全域的應(yīng)用密鑰、證書、數(shù)據(jù)等進(jìn)行控制，提供應(yīng)用的安全下載、安裝等功能，其中包括與所述智能卡進(jìn)行互認(rèn)證及建立臨時(shí)會(huì)話密鑰，以及生成新的從安全域密鑰。 就具體實(shí)現(xiàn)而言，應(yīng)用提供商管理平臺(tái)可以包括應(yīng)用管理系統(tǒng)、密鑰管理系統(tǒng)、證書管理系統(tǒng)，其中證書管理系統(tǒng)在支持非對(duì)稱密鑰的情況下使用，證書管理系統(tǒng)和應(yīng)用提供商認(rèn)證機(jī)構(gòu)(CA)系統(tǒng)連接。 以下結(jié)合圖1所示的移動(dòng)終端電子支付系統(tǒng)架構(gòu)為例進(jìn)行描述，但不限于圖1所示移動(dòng)終端電子支付系統(tǒng)架構(gòu)，對(duì)本發(fā)明智能卡從安全域密鑰更新分發(fā)方法進(jìn)行說明
針對(duì)卡發(fā)行商管理的從安全域，基于OTA的從安全域初始密鑰更新分發(fā)流程示意 圖，如圖2所示。這種情況下，本發(fā)明基于OTA的從安全域初始密鑰更新分發(fā)流程步驟包 括 步驟201 :卡發(fā)行商管理平臺(tái)根據(jù)從安全域初始密鑰，經(jīng)由OTA服務(wù)器和移動(dòng)終端 向智能卡發(fā)送SELECT命令報(bào)文，選擇從安全域； 步驟202 :智能卡經(jīng)由移動(dòng)終端和OTA服務(wù)器向卡發(fā)行商管理平臺(tái)提交SELECT命 令響應(yīng)； 步驟203 :卡發(fā)行商管理平臺(tái)經(jīng)由OTA服務(wù)器及移動(dòng)終端與智能卡建立SCP02安 全信道； 管理該從安全域的卡發(fā)行商管理平臺(tái)根據(jù)從安全域初始密鑰等信息，啟動(dòng)卡發(fā)行 商管理平臺(tái)與智能卡從安全域的互認(rèn)證，并在完成互認(rèn)證后，所述卡發(fā)行商管理平臺(tái)與所 述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立安全信道。 臨時(shí)會(huì)話密鑰可以遵循Global Platform Card Specification V2. 1. 1/V2. 2規(guī)
范建立，也可以通過其它方法建立。 所述互認(rèn)證過程經(jīng)由所述OTA服務(wù)器和所述移動(dòng)終端在所述卡發(fā)行商管理平臺(tái) 和所述智能卡從安全域之間完成。
步驟204 :卡發(fā)行商管理平臺(tái)生成新的從安全域密鑰； 步驟205 :卡發(fā)行商管理平臺(tái)通過PUTKEY命令，經(jīng)由OTA服務(wù)器和移動(dòng)終端向智 能卡從安全域發(fā)送新的從安全域密鑰； 步驟206 :智能卡從安全域接收到新從安全域密鑰后，完成對(duì)從安全域初始密鑰 的更新操作； 步驟207 :智能卡從安全域經(jīng)由移動(dòng)終端和OTA服務(wù)器向卡發(fā)行商管理平臺(tái)發(fā)送 PUTKEY命令響應(yīng)，結(jié)束從安全域密鑰更新過程。 卡發(fā)行商管理平臺(tái)可以根據(jù)與應(yīng)用下載有關(guān)的申請(qǐng)信息在智能卡上創(chuàng)建從安全 域，與應(yīng)用下載有關(guān)的申請(qǐng)信息可以包含智能卡ICCID信息、應(yīng)用標(biāo)識(shí)及應(yīng)用提供商身份 信息等。從安全域創(chuàng)建完成后，針對(duì)應(yīng)用提供商管理的從安全域，卡發(fā)行商管理平臺(tái)將從安 全域的基本信息和初始密鑰信息發(fā)送給應(yīng)用提供商管理平臺(tái)，從而將從安全域的控制權(quán)轉(zhuǎn) 交給管理從安全域的應(yīng)用提供商管理平臺(tái)，然后應(yīng)用提供商管理平臺(tái)更新從安全域的初始 密鑰。如果從安全域由卡發(fā)行商管理，由卡發(fā)行商針對(duì)具體下載的應(yīng)用更新從安全域初始 密鑰。 針對(duì)應(yīng)用提供商管理的從安全域，基于OTA的從安全域初始密鑰更新分發(fā)流程示 意圖，如圖3所示。這種情況下，本發(fā)明基于OTA的從安全域初始密鑰更新分發(fā)流程步驟包 括 步驟301 :用戶通過移動(dòng)終端客戶端程序或卡片程序觸發(fā)應(yīng)用下載申請(qǐng)，并經(jīng)由 OTA服務(wù)器向應(yīng)用提供商管理平臺(tái)提交應(yīng)用下載申請(qǐng)，應(yīng)用下載申請(qǐng)包含智能卡標(biāo)識(shí)信息 ICCID信息等； 步驟302 :應(yīng)用提供商管理平臺(tái)向卡發(fā)行商管理平臺(tái)提交從安全域創(chuàng)建請(qǐng)求信
息，在請(qǐng)求報(bào)文中包括應(yīng)用提供商身份信息(ASP-ID)和智能卡標(biāo)識(shí)信息ICCID等； 步驟303 :卡發(fā)行商管理平臺(tái)驗(yàn)證從安全域創(chuàng)建請(qǐng)求信息，判斷是否通過應(yīng)用提供商管理平臺(tái)創(chuàng)建從安全域； 步驟304:卡發(fā)行商管理平臺(tái)經(jīng)由應(yīng)用提供商管理平臺(tái)、0TA服務(wù)器和移動(dòng)終端向 智能卡發(fā)送SELECT命令報(bào)文，選擇主安全域； 步驟305 :智能卡經(jīng)由移動(dòng)終端、OTA服務(wù)器和應(yīng)用提供商管理平臺(tái)向卡發(fā)行商管 理平臺(tái)提交SELECT命令響應(yīng)； 步驟306 :卡發(fā)行商管理平臺(tái)與智能卡主安全域經(jīng)由應(yīng)用提供商管理平臺(tái)、OTA服 務(wù)器和移動(dòng)終端建立SCP02安全信道； 步驟307 :卡發(fā)行商管理平臺(tái)經(jīng)由應(yīng)用提供商管理平臺(tái)、OTA服務(wù)器和移動(dòng)終端向 智能卡發(fā)送INSTALL命令； 步驟308 :智能卡經(jīng)由移動(dòng)終端、OTA服務(wù)器和應(yīng)用提供商管理平臺(tái)向卡發(fā)行商管 理平臺(tái)提交INSTALL命令響應(yīng)； 步驟309 :卡發(fā)行商管理平臺(tái)生成從安全域初始密鑰； 步驟310 :卡發(fā)行商管理平臺(tái)通過PUTKEY命令，經(jīng)由應(yīng)用提供商管理平臺(tái)、OTA服 務(wù)器和移動(dòng)終端向卡主安全域發(fā)送從安全域初始密鑰； 步驟311 :卡主安全域接收到從安全域初始密鑰后，用接收到的從安全域初始密 鑰初始化從安全域； 步驟312 :卡主安全域經(jīng)由移動(dòng)終端、OTA服務(wù)器和應(yīng)用提供商管理平臺(tái)向卡發(fā)行 商管理平臺(tái)發(fā)送PUTKEY命令響應(yīng)； 步驟313 :卡發(fā)行商管理平臺(tái)向應(yīng)用提供商管理平臺(tái)返回從安全域基本信息及從 安全域初始密鑰； 步驟314 :應(yīng)用提供商管理平臺(tái)在數(shù)據(jù)庫(kù)中添加從安全域相關(guān)信息； 步驟315 :應(yīng)用提供商管理平臺(tái)經(jīng)由OTA服務(wù)器和移動(dòng)終端向智能卡發(fā)送SELECT
命令報(bào)文，選擇從安全域； 步驟316 :智能卡經(jīng)由移動(dòng)終端和OTA服務(wù)器向應(yīng)用提供商管理平臺(tái)提交SELECT 命令響應(yīng)； 步驟317 :應(yīng)用提供商管理平臺(tái)經(jīng)由OTA服務(wù)器及移動(dòng)終端與智能卡從安全域建 立SCP02安全信道； 管理該從安全域的應(yīng)用提供商管理平臺(tái)根據(jù)從安全域初始密鑰等信息，啟動(dòng)應(yīng)用 提供商管理平臺(tái)與智能卡從安全域的互認(rèn)證，完成互認(rèn)證后，所述應(yīng)用提供商管理平臺(tái)與 所述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立安全信道。 該臨時(shí)會(huì)話密鑰可以遵循Global Platform Card Specification V2. 1. 1/V2. 2 規(guī)范建立，也可以通過其它方法建立。 針對(duì)應(yīng)用提供商管理的從安全域，所述互認(rèn)證過程可以經(jīng)由所述OTA服務(wù)器和所 述移動(dòng)終端在所述應(yīng)用提供商管理平臺(tái)和所述智能卡之間完成；
步驟318 :應(yīng)用提供商管理平臺(tái)生成從安全域密鑰； 步驟319 :應(yīng)用提供商管理平臺(tái)通過PUTKEY命令，經(jīng)由OTA服務(wù)器和移動(dòng)終端向 智能卡從安全域發(fā)送從安全域密鑰； 步驟320 :智能卡從安全域接收到從安全域密鑰后，完成對(duì)從安全域初始密鑰的 更新操作；
步驟321 :智能卡從安全域經(jīng)由移動(dòng)終端和OTA服務(wù)器向應(yīng)用提供商管理平臺(tái)發(fā) 送PUTKEY命令響應(yīng)，結(jié)束從安全域密鑰分發(fā)過程； 當(dāng)與從安全域關(guān)聯(lián)的電子支付應(yīng)用所使用的從安全域密鑰具有一定生命周期時(shí)， 必須由管理該從安全域的卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)在從安全域密鑰生命 周期結(jié)束之前完成從安全域密鑰的更新；當(dāng)由于安全原因需要更新電子支付應(yīng)用所使用的 從安全域密鑰時(shí)，管理該從安全域的卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)需要對(duì)從安 全域密鑰進(jìn)行強(qiáng)制更新。 以下結(jié)合附圖，對(duì)密鑰到期或強(qiáng)制更新時(shí)的從安全域密鑰更新分發(fā)過程進(jìn)行說 明 針對(duì)卡發(fā)行商管理的從安全域，當(dāng)密鑰到期或強(qiáng)制更新時(shí)，從安全域密鑰更新分 發(fā)流程示意圖如圖4所示。這種情況下，本發(fā)明基于OTA的從安全域密鑰更新分發(fā)流程步 驟包括 步驟401 :卡發(fā)行商管理平臺(tái)經(jīng)由OTA服務(wù)器和移動(dòng)終端向智能卡發(fā)送SELECT命 令報(bào)文，選擇從安全域； 步驟402 :智能卡經(jīng)由移動(dòng)終端和OTA服務(wù)器向卡發(fā)行商管理平臺(tái)提交SELECT命 令響應(yīng)； 步驟403 :卡發(fā)行商管理平臺(tái)經(jīng)由OTA服務(wù)器及移動(dòng)終端與智能卡從安全域建立 SCP02安全信道； 當(dāng)從安全域密鑰到期或由于安全原因強(qiáng)制更新從安全域密鑰時(shí)，根據(jù)當(dāng)前正在使 用的從安全域密鑰，啟動(dòng)卡發(fā)行商管理平臺(tái)與智能卡從安全域的互認(rèn)證，完成互認(rèn)證后，所 述卡發(fā)行商管理平臺(tái)與所述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立安全信道。
該臨時(shí)會(huì)話密鑰可以遵循Global Platform Card Specification V2. 1. 1/V2. 2 規(guī)范建立，也可以通過其它方法建立。 針對(duì)卡發(fā)行商管理的從安全域，所述互認(rèn)證過程經(jīng)由所述OTA服務(wù)器和所述移動(dòng)
終端在所述卡發(fā)行商管理平臺(tái)和所述智能卡之間完成。
步驟404 :卡發(fā)行商管理平臺(tái)生成新的從安全域密鑰； 步驟405 :卡發(fā)行商管理平臺(tái)通過PUTKEY命令，經(jīng)由OTA服務(wù)器和移動(dòng)終端向智 能卡從安全域發(fā)送新的從安全域密鑰； 步驟406 :智能卡從安全域接收到新從安全域密鑰后，完成從安全域密鑰的更新 操作； 步驟407 :智能卡從安全域經(jīng)由移動(dòng)終端和OTA服務(wù)器向卡發(fā)行商管理平臺(tái)發(fā)送 PUTKEY命令響應(yīng)，結(jié)束從安全域密鑰更新過程； 針對(duì)應(yīng)用提供商管理的從安全域，當(dāng)密鑰到期或強(qiáng)制更新時(shí)，基于OTA的從安全 域密鑰更新分發(fā)流程示意圖，如圖5所示。這種情況下，本發(fā)明基于OTA的從安全域密鑰更 新分發(fā)流程步驟包括 步驟501 :應(yīng)用提供商管理平臺(tái)經(jīng)由OTA服務(wù)器和移動(dòng)終端向智能卡發(fā)送SELECT 命令報(bào)文，選擇從安全域； 步驟502 :智能卡經(jīng)由移動(dòng)終端和OTA服務(wù)器向應(yīng)用提供商管理平臺(tái)提交SELECT 命令響應(yīng)；
步驟503 :應(yīng)用提供商管理平臺(tái)經(jīng)由OTA服務(wù)器和移動(dòng)終端與智能卡從安全域建 立SCP02安全信道； 當(dāng)從安全域密鑰到期或由于安全原因強(qiáng)制更新從安全域密鑰時(shí)，根據(jù)當(dāng)前正在使 用的從安全域密鑰，啟動(dòng)應(yīng)用提供商管理平臺(tái)與智能卡從安全域的互認(rèn)證，完成互認(rèn)證后， 所述應(yīng)用提供商管理平臺(tái)與所述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立安全信 道。 該臨時(shí)會(huì)話密鑰可以遵循Global Platform Card Specification V2. 1. 1/V2. 2 規(guī)范建立，也可以通過其它方法建立。 針對(duì)應(yīng)用提供商管理的從安全域，所述互認(rèn)證過程可以經(jīng)由所述OTA服務(wù)器和所 述移動(dòng)終端在所述應(yīng)用提供商管理平臺(tái)和所述智能卡從安全域之間完成；
步驟504 :應(yīng)用提供商管理平臺(tái)生成新的從安全域密鑰； 步驟505 :應(yīng)用提供商管理平臺(tái)通過PUTKEY命令，經(jīng)由OTA服務(wù)器和移動(dòng)終端向 智能卡從安全域發(fā)送新的從安全域密鑰； 步驟506 :智能卡從安全域接收到新從安全域密鑰后，完成從安全域密鑰的更新 操作； 步驟507 :智能卡從安全域經(jīng)由移動(dòng)終端和OTA服務(wù)器向應(yīng)用提供商管理平臺(tái)發(fā) 送PUTKEY命令響應(yīng)，結(jié)束從安全域密鑰更新過程。 本發(fā)明智能卡從安全域密鑰更新分發(fā)方法及實(shí)現(xiàn)該方法的移動(dòng)終端電子支付系 統(tǒng)的主要思想是，基于OTA技術(shù)，卡外實(shí)體管理平臺(tái)通過OTA服務(wù)器和移動(dòng)終端向智能卡分 發(fā)從安全域密鑰。 相應(yīng)地，本發(fā)明移動(dòng)終端中的智能卡，都是基于OTA技術(shù)，智能卡從安全域的密鑰 都是由卡外實(shí)體管理平臺(tái)通過OTA服務(wù)器和移動(dòng)終端分發(fā)的。 本發(fā)明所說的卡外實(shí)體管理平臺(tái)具有對(duì)智能卡從安全域進(jìn)行管理的權(quán)限，可以是 卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)。 本發(fā)明智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端，基于OTA技術(shù)，可以 解決在發(fā)卡后，針對(duì)對(duì)稱密鑰的情況，對(duì)智能卡從安全域進(jìn)行安全的密鑰更新和分發(fā)。
權(quán)利要求
一種移動(dòng)終端電子支付系統(tǒng)，其特征在于，該系統(tǒng)包括具有電子支付應(yīng)用功能的智能卡、移動(dòng)終端、空中下載OTA服務(wù)器及卡外實(shí)體管理平臺(tái)，其中，所述智能卡安裝在移動(dòng)終端上，用于通過移動(dòng)終端及OTA服務(wù)器與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信；所述卡外實(shí)體管理平臺(tái)，用于通過所述OTA服務(wù)器和所述移動(dòng)終端向所述智能卡分發(fā)智能卡從安全域密鑰。
2. 如權(quán)利要求l所述的系統(tǒng)，其特征在于所述卡外實(shí)體管理平臺(tái)，還用于與所述智能 卡進(jìn)行互認(rèn)證及建立臨時(shí)會(huì)話密鑰，以及生成新的從安全域密鑰；所述OTA服務(wù)器，用于通 過安全連接與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信，通過OTA連接傳輸智能卡與卡發(fā)行商管理 平臺(tái)和應(yīng)用提供商管理平臺(tái)之間的通訊數(shù)據(jù)；所述智能卡，還用于通過所述移動(dòng)終端與所 述OTA服務(wù)器建立OTA連接，以及與所述卡外實(shí)體管理平臺(tái)進(jìn)行互認(rèn)證，以及接收所述卡外 實(shí)體管理平臺(tái)分發(fā)的從安全域密鑰，更新從安全域密鑰，所述互認(rèn)證過程及從安全域密鑰 分發(fā)均通過OTA服務(wù)器和所述移動(dòng)終端實(shí)現(xiàn)。
3. 如權(quán)利要求1或2所述的系統(tǒng)，其特征在于，在智能卡從安全域密鑰到期或需要強(qiáng)制 更新時(shí)，所述卡外實(shí)體管理平臺(tái)進(jìn)行智能卡從安全域密鑰分發(fā)，所述卡外實(shí)體管理平臺(tái)指 卡發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)。
4. 一種智能卡從安全域密鑰更新分發(fā)方法，其特征在于，該方法基于移動(dòng)終端電子支 付系統(tǒng)實(shí)現(xiàn)，該系統(tǒng)包括具有電子支付應(yīng)用功能的智能卡、移動(dòng)終端、空中下載OTA服務(wù)器 及卡外實(shí)體管理平臺(tái)，所述智能卡通過移動(dòng)終端及OTA服務(wù)器與所述卡外實(shí)體管理平臺(tái)進(jìn) 行通信，所述卡外實(shí)體管理平臺(tái)通過所述OTA服務(wù)器和所述移動(dòng)終端將從安全域密鑰分發(fā) 給所述智能卡。
5. 如權(quán)利要求4所述的方法，其特征在于，該方法包括(a) 所述卡外實(shí)體管理平臺(tái)與所述智能卡之間建立安全信道，所述安全信道是通過所 述OTA服務(wù)器及所述移動(dòng)終端建立的；(b) 所述卡外實(shí)體管理平臺(tái)生成新的從安全域密鑰；(c) 所述卡外實(shí)體管理平臺(tái)將新的從安全域密鑰通過所述安全信道分發(fā)給所述智能卡；(d) 所述智能卡完成從安全域密鑰更新。
6. 如權(quán)利要求5所述的方法，其特征在于步驟(a)中建立安全信道的過程包括 (al)所述卡外實(shí)體管理平臺(tái)與智能卡從安全域進(jìn)行互認(rèn)證，所述互認(rèn)證過程是由卡外實(shí)體管理平臺(tái)經(jīng)所述OTA服務(wù)器和所述移動(dòng)終端完成；(a2)所述卡外實(shí)體管理平臺(tái)與所述智能卡從安全域之間建立臨時(shí)會(huì)話密鑰，從而建立 安全信道。
7. 如權(quán)利要求4所述的方法，其特征在于當(dāng)智能卡從安全域密鑰到期或需要強(qiáng)制更 新時(shí)，由所述卡外實(shí)體管理平臺(tái)發(fā)起智能卡從安全域密鑰更新分發(fā)流程。
8. 如權(quán)利要求4至7中任一項(xiàng)所述的方法，其特征在于所述卡外實(shí)體管理平臺(tái)指卡 發(fā)行商管理平臺(tái)或應(yīng)用提供商管理平臺(tái)。
9. 如權(quán)利要求4至7中任一項(xiàng)所述的方法，其特征在于所述卡外實(shí)體管理平臺(tái)指應(yīng) 用提供商管理平臺(tái)，所述步驟(a)之前還包括卡發(fā)行商管理平臺(tái)在智能卡上創(chuàng)建從安全域及生成從安全域初始密鑰；所述卡發(fā)行商管理平臺(tái)將創(chuàng)建的從安全域的基本信息和初始 密鑰發(fā)送給應(yīng)用提供商管理平臺(tái)。
10. —種移動(dòng)終端，所述移動(dòng)終端包括具有電子支付應(yīng)用功能的智能卡，其特征在于， 所述智能卡從安全域的密鑰由卡外實(shí)體管理平臺(tái)通過空中下載OTA服務(wù)器和移動(dòng)終端分 發(fā)。
全文摘要
本發(fā)明提供了一種智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端，其中移動(dòng)終端電子支付系統(tǒng)包括具有電子支付應(yīng)用功能的智能卡、移動(dòng)終端、空中下載OTA服務(wù)器及卡外實(shí)體管理平臺(tái)，其中，所述智能卡安裝在移動(dòng)終端上，用于通過移動(dòng)終端及OTA服務(wù)器與所述卡外實(shí)體管理平臺(tái)進(jìn)行通信；所述卡外實(shí)體管理平臺(tái)，用于通過所述OTA服務(wù)器和所述移動(dòng)終端向所述智能卡分發(fā)智能卡從安全域密鑰。本發(fā)明提供的智能卡從安全域密鑰更新分發(fā)方法、系統(tǒng)及移動(dòng)終端，可以對(duì)智能卡從安全域進(jìn)行安全的密鑰更新和分發(fā)。
文檔編號(hào)G06Q20/00GK101742478SQ200810172459
公開日2010年6月16日 申請(qǐng)日期2008年11月10日 優(yōu)先權(quán)日2008年11月10日
發(fā)明者余萬(wàn)濤, 賈倩, 馬景旺 申請(qǐng)人:中興通訊股份有限公司