Nothing Special   »   [go: up one dir, main page]

CN105303377B - 一种智能卡从安全域密钥更新方法以及电子支付系统 - Google Patents

一种智能卡从安全域密钥更新方法以及电子支付系统 Download PDF

Info

Publication number
CN105303377B
CN105303377B CN201510655668.4A CN201510655668A CN105303377B CN 105303377 B CN105303377 B CN 105303377B CN 201510655668 A CN201510655668 A CN 201510655668A CN 105303377 B CN105303377 B CN 105303377B
Authority
CN
China
Prior art keywords
security domain
management platform
application provider
smart card
card
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201510655668.4A
Other languages
English (en)
Other versions
CN105303377A (zh
Inventor
余万涛
马景旺
贾倩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201510655668.4A priority Critical patent/CN105303377B/zh
Publication of CN105303377A publication Critical patent/CN105303377A/zh
Application granted granted Critical
Publication of CN105303377B publication Critical patent/CN105303377B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/086—Access security using security domains

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Software Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明提供了一种智能卡从安全域密钥更新方法以及电子支付系统。智能卡从安全域密钥更新方法包括：用户触发应用下载申请，向应用提供商管理平台提交应用下载申请；应用提供商管理平台向卡发行商管理平台提交从安全域创建请求信息；卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥，智能卡主安全域用从安全域初始密钥初始化从安全域；卡发行商管理平台将从安全域的控制权转交给应用提供商管理平台，应用提供商管理平台更新智能卡从安全域的初始密钥。本发明实现了通过安全通信通道将新的从安全域密钥发送给智能卡从安全域，以更新从安全域密钥。

Description

一种智能卡从安全域密钥更新方法以及电子支付系统
本案是专利申请200810177014.5的分案申请，原申请的申请日为2008年11月10日，申请号为200810177014.5，发明创造名称为一种智能卡从安全域密钥更新分发方法、系统及移动终端。
技术领域
本发明涉及基于NFC(Near Field Communication，近场通信技术)的移动终端电子支付技术，特别地，涉及一种智能卡从安全域密钥更新方法以及电子支付系统。
背景技术
近场通信技术(Near Field Communication,NFC)是工作于13.56MHz的一种近距离无线通信技术，由RFID技术及互连技术融合演变而来。手机等移动通信终端集成NFC技术后，可以模拟非接触式IC卡，用于电子支付的有关应用。移动通信终端上实现该方案需要在终端上增加NFC模拟前端芯片和NFC天线，并使用支持电子支付的智能卡。
IC卡特别是非接触式IC卡经过十多年的发展，已经被广泛应用于公交、门禁、小额电子支付等领域。与此同时，手机经历20多年的迅速发展，在居民中基本得到普及，给人们的工作及生活带来很大的便利。手机的功能越来越强大，并存在集成更多功能的趋势。将手机和非接触式IC卡技术结合，手机应用于电子支付领域，会进一步扩大手机的使用范围，给人们的生活带来便捷，存在着广阔的应用前景。
为实现基于NFC技术的移动电子支付，需要建立移动终端电子支付系统，通过该系统实现对基于NFC的移动终端电子支付的管理，包括：智能卡的发行，电子支付应用的下载、安装和个人化，采用相关技术和管理策略实现电子支付应用的安全等。
基于NFC技术的移动终端电子支付系统的业务框架通常采用Global Platform(全球平台)规范的多应用框架，在该框架下，支持Global Platform规范的智能卡指的是符合Global Platform Card Specification V2.1.1/V2.2(全球平台卡规范版本2.1.1/2.2，GP2.1.1或GP2.2)规范的IC芯片或智能卡，从物理形式上可以为SIM/USIM卡，即客户识别模块(Subscriber Identity Model)/通用移动通信系统客户识别模块(UMTS SubscriberIdentity Module UMTS)，可插拔的智能存储卡或者集成在移动终端上的IC芯片。
如果基于近场通信(NFC)技术的移动终端电子支付系统支持GP2.1.1规范，安全通道协议需要支持SCP02(基于对称密钥)，如果基于近场通信技术的移动终端电子支付系统支持GP2.2规范，安全通道协议需要支持SCP02(基于对称密钥)和SCP10(基于非对称密钥)，卡片发行商、应用提供商可以根据安全策略需求进行选择。
一般情况下，基于NFC的移动终端近距离电子支付系统主要由卡片发行商管理平台、应用提供商管理平台和支持具有电子支付应用功能智能卡的移动终端组成，该系统中可以存在多个应用提供商管理平台。
在支持Global Platform规范的智能卡上可以安装多个应用，为了实现电子支付应用的安全，智能卡被分隔为若干个独立的安全域，以保证多个应用相互之间的隔离以及独立性，各个应用提供商管理各自的安全域以及应用、应用数据等。
安全域是卡外实体包括卡发行商和应用提供商在卡上的代表，它们包含用于支持安全通道协议运作以及智能卡内容管理的密钥。安全域包括主安全域和从安全域等。主安全域是卡发行商在智能卡上的强制的卡上代表。从安全域是卡发行商或应用提供商在智能卡上的附加的可选卡上代表。
安全域的密钥生成、分发与更新由管理该安全域的卡发行商或应用提供商负责，这保证了来自不同应用提供者的应用和数据可以共存于同一个卡上。安全域的密钥包括主安全域密钥、从安全域初始密钥和从安全域密钥。主安全域密钥和从安全域初始密钥由卡发行商管理平台生成，从安全域密钥由管理从安全域的卡发行商管理平台或应用提供商管理平台生成。
在将电子支付应用下载并安装到智能卡之前，需要在智能卡上为该应用先创建从安全域。智能卡从安全域的创建是由卡发行商管理平台完成的。在智能卡发行后，创建智能卡从安全域时，从安全域初始密钥必须由卡发行商管理平台通过安全途径导入到智能卡上的从安全域。
从安全域创建完成后，在下载电子支付应用时，需要将从安全域初始密钥更新为电子支付应用使用的密钥，即更新为电子支付应用使用的从安全域密钥。电子支付应用所使用的从安全域密钥具有一定的生命周期时，必须在从安全域密钥生命周期结束之前完成从安全域密钥的更新。另外，也可能由于安全原因需要强制更新电子支付应用使用的从安全域密钥。从安全域密钥作为机密数据，在密钥更新过程中需要采取可靠及安全的方法将有关密钥导入到智能卡从安全域，以实现从安全域密钥的安全更新分发。
电子支付应用所使用的从安全域密钥的更新分发过程与系统网络架构的具体实现方式有关。为了实现智能卡的安全性管理和电子支付应用的下载、安装等，智能卡需要和卡发行商管理平台以及应用提供商管理平台建立通信。智能卡可以通过业务终端和管理平台建立通信。业务终端是可以对智能卡进行读写的设备，如与计算机相连的POS机等。在使用业务终端的情况下，针对对称密钥的情况，如何实现智能卡从安全域密钥的安全更新分发，是移动终端电子支付需要解决的一个问题。
发明内容
本发明要解决的技术问题是提供一种智能卡从安全域密钥更新方法以及电子支付系统，在使用业务终端的情况下实现从安全域密钥的安全更新。
为了解决上述技术问题，本发明提供了一种智能卡从安全域密钥更新方法，基于移动终端电子支付系统实现，所述移动终端电子支付系统包括具有电子支付应用功能的智能卡、应用提供商业务终端、应用提供商管理平台和卡发行商管理平台，所述智能卡直接通过所述应用提供商业务终端与所述应用提供商管理平台连接，所述应用提供商管理平台与所述卡发行商管理平台通过专线连接，所述应用提供商管理平台管理智能卡的从安全域；所述方法包括：
用户触发应用下载申请，向所述应用提供商管理平台提交应用下载申请；
所述应用提供商管理平台向所述卡发行商管理平台提交从安全域创建请求信息；
所述卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥，所述智能卡主安全域用所述从安全域初始密钥初始化从安全域；
所述卡发行商管理平台将从安全域的控制权转交给所述应用提供商管理平台，所述应用提供商管理平台更新智能卡从安全域的初始密钥。
为了解决上述技术问题，本发明还提供了一种电子支付系统，包括具有电子支付应用功能的智能卡、应用提供商业务终端、应用提供商管理平台和卡发行商管理平台，所述智能卡直接通过所述应用提供商业务终端与所述应用提供商管理平台连接，所述应用提供商管理平台与所述卡发行商管理平台通过专线连接，所述应用提供商管理平台管理智能卡的从安全域；其中，
所述应用提供商管理平台，用于接收用户提交的应用下载申请，向所述卡发行商管理平台提交从安全域创建请求信息；还用于更新智能卡从安全域的初始密钥；
所述卡发行商管理平台，用于经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥；还用于将从安全域的控制权转交给所述应用提供商管理平台；
所述智能卡，用于接收所述卡发行商管理平台发送的从安全域初始密钥，初始化从安全域。
本发明提出的智能卡从安全域密钥更新方法以及电子支付系统，可以解决在发卡后，针对对称密钥的情况，在用户下载更新时，生成新的从安全域密钥，并通过安全通信通道将该新的从安全域密钥发送给智能卡从安全域，以更新从安全域密钥。
附图说明
图1是本发明基于近场通信技术的移动终端电子支付系统架构示意图；
图2是针对卡发行商管理的从安全域，本发明基于卡发行商业务终端的从安全域初始密钥更新分发流程示意图；
图3是针对应用提供商管理的从安全域，本发明基于应用提供商业务终端的从安全域初始密钥更新分发流程示意图；
图4是本发明针对卡发行商管理的从安全域，由于密钥到期或强制更新引起的基于卡发行商业务终端的从安全域密钥更新分发流程示意图；
图5是本发明针对应用提供商管理的从安全域，由于密钥到期或强制更新引起的基于应用提供商业务终端的从安全域密钥更新分发流程示意图。
具体实施方式
为使本发明的目的，技术方案及优点更加清楚明白，以下参照附图并举较佳实例，对本发明进一步详细说明。
本发明基于图1所示的移动终端电子支付系统架构为例进行描述，但不限于图1所示移动终端电子支付系统架构。
图1示出了本发明移动终端电子支付系统，包括应用提供商管理平台、卡发行商管理平台、应用提供商业务终端、卡发行商业务终端、移动终端和智能卡，智能卡安装在移动终端上，该系统也可以不包含移动终端，此时智能卡为一独立设备。应用提供商管理平台和卡发行商管理平台统称为管理平台，应用提供商业务终端和卡发行商业务终端统称为业务终端。
所述智能卡支持Global Platform Card Specification V2.1.1/V2.2规范；具有电子支付应用功能的智能卡可以直接通过卡发行商业务终端和应用提供商业务终端分别与卡发行商管理平台或应用提供商管理平台连接。当具有电子支付应用功能的智能卡安装在移动终端上时，移动终端可以通过卡发行商业务终端或应用提供商业务终端分别与卡发行商管理平台和应用提供商管理平台连接，用于与管理智能卡从安全域的管理平台进行互认证，以及接收所述管理平台分发的从安全域密钥，更新从安全域密钥，所述互认证过程及从安全域密钥分发均通过所述应用提供商业务终端或卡发行商业务终端实现。
卡发行商业务终端，由卡发行商管理平台管理，智能卡通过移动终端及卡发行商业务终端或直接通过卡发行商业务终端与卡发行商管理平台通信；
应用提供商业务终端，由应用提供商管理平台管理，智能卡通过移动终端及应用提供商业务终端或直接通过应用提供商业务终端与应用提供商管理平台通信；
卡发行商管理平台，负责智能卡的发行和管理，对智能卡的资源和生命周期、密钥、证书进行管理，负责从安全域的创建，并与其他安全域交互应用数据，其中包括创建从安全域，与所述智能卡进行互认证及建立临时会话密钥，以及生成从安全域初始密钥和新的从安全域密钥。就具体实现而言，卡发行商管理平台可以包括卡片管理系统、应用管理系统、密钥管理系统、证书管理系统、应用提供商管理系统等，其中证书管理系统在支持非对称密钥的情况下使用，证书管理系统和卡片发行商认证机构(CA)系统连接；
应用提供商管理平台，负责电子支付应用的提供和管理功能，提供各种业务应用，并对智能卡上与其对应的从安全域进行安全管理，对所述从安全域的应用密钥、证书、数据等进行控制，提供应用的安全下载、安装等功能。其中包括与所述智能卡进行互认证及建立临时会话密钥，以及生成新的从安全域密钥。就具体实现而言，应用提供商管理平台可以包括应用管理系统、密钥管理系统、证书管理系统，其中证书管理系统在支持非对称密钥的情况下使用，证书管理系统和应用提供商认证机构(CA)系统连接。
卡发行商管理平台和应用提供商管理平台可以通过各自的业务终端提供电子支付有关服务：参与处理电子支付用户信息管理，参与从安全域的创建和密钥分发、电子支付应用的下载、以及电子支付应用的个人化等。应用提供商管理平台和卡发行商管理平台之间可以通过安全信道(如专线连接)进行通信。
以下结合图1所示的移动终端电子支付系统架构为例进行描述，但不限于图1所示移动终端电子支付系统架构，对本发明智能卡从安全域密钥更新分发方法进行说明：
从安全域的密钥更新主要涉及两种：
一、用户下载电子支付应用时，需要将与该电子支付应用关联的智能卡从安全域的初始密钥更新为从安全域密钥。
步骤s1，卡发行商管理平台创建智能卡从安全域。
卡发行商管理平台可以根据与应用下载有关的申请信息在智能卡上创建从安全域，与应用下载有关的申请信息可以包含智能卡ICCID信息、应用标识及应用提供商身份信息等。该申请信息由用户通过卡发行商业务终端发送给卡发行商管理平台，或者由用户通过应用提供商业务终端发送给应用提供商管理平台，应用提供商管理平台再发送给卡发行商管理平台，或者由应用提供商管理平台根据所述申请信息向卡发行商管理平台提交从安全域创建请求。
步骤s2，根据该智能卡从安全域的管理平台不同采取不同的初始密钥更新方法。
智能卡从安全域创建完成后，如果从安全域由应用提供商管理平台进行管理，卡发行商管理平台将从安全域基本信息(该从安全域基本信息中包括智能卡从安全域标识信息)和初始密钥发送给应用提供商管理平台，从而将从安全域的控制权转交给管理从安全域的应用提供商管理平台，然后应用提供商管理平台更新从安全域的初始密钥；
如果智能卡从安全域由卡发行商管理平台进行管理，由卡发行商管理平台针对具体下载的电子支付应用更新从安全域的初始密钥。
进行更新时，包含如下步骤：
步骤s201，管理该从安全域的卡发行商管理平台或应用提供商管理平台根据智能卡从安全域初始密钥等信息，启动卡发行商管理平台或应用提供商管理平台与智能卡从安全域的互认证并建立安全通信信道。针对卡发行商管理平台管理的智能卡从安全域，所述互认证过程经由所述卡发行商业务终端在所述卡发行商管理平台和所述智能卡之间完成。针对应用提供商管理平台管理的智能卡从安全域，所述互认证过程经由所述应用提供商业务终端在所述应用提供商管理平台和所述智能卡之间完成。完成互认证后，所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡从安全域之间建立临时会话密钥，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；该临时会话密钥用于卡发行商管理平台或应用提供商管理平台和智能卡从安全域之间的通信加密。
步骤s202，所述卡发行商管理平台或所述应用提供商管理平台生成新的从安全域密钥，通过所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡之间建立的安全通信信道，将卡发行商管理平台或应用提供商管理平台生成的新的从安全域密钥经由卡发行商业务终端或应用提供商业务终端导入到所述智能卡从安全域，完成从安全域密钥的安全更新分发。
二、由于密钥到期或强制更新进行的从安全域密钥更新分发
当与智能卡从安全域关联的电子支付应用当前使用的从安全域密钥具有一指定生命周期时，必须由管理该智能卡从安全域的卡发行商管理平台或应用提供商管理平台在当前使用的从安全域密钥的生命周期结束之前对该当前使用的从安全域密钥进行更新；
当由于安全原因需要更新智能卡从安全域关联的电子支付应用当前使用的从安全域密钥时，可以由管理该智能卡从安全域的卡发行商管理平台或应用提供商管理平台对该当前使用的从安全域密钥进行强制更新。
具体更新方法包含：
当从安全域密钥到期或由于安全原因强制更新从安全域密钥时，根据当前正在使用的从安全域密钥，启动卡发行商管理平台或应用提供商管理平台与智能卡从安全域的互认证并建立安全通信信道。针对卡发行商管理的从安全域，所述互认证过程经由卡发行商业务终端在所述卡发行商管理平台和所述智能卡之间完成。针对应用提供商管理的从安全域，所述互认证过程可以经由所述应用提供商业务终端在所述应用提供商管理平台和所述智能卡之间完成。
完成互认证后，所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡从安全域之间建立临时会话密钥，该临时会话密钥可以遵循Global Platform CardSpecification V2.1.1/V2.2规范建立，也可以通过其它方法建立。该临时会话密钥用于卡发行商管理平台或应用提供商管理平台和智能卡从安全域之间的通信加密。
所述卡发行商管理平台或所述应用提供商管理平台生成新的从安全域密钥，通过所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡之间建立的安全通信信道，将卡发行商管理平台或应用提供商管理平台生成的新的从安全域密钥经由所述卡发行商业务终端或应用提供商业务终端导入到所述智能卡从安全域，完成从安全域密钥的安全更新分发。
下面通过实例进一步说明本发明智能卡从安全域密钥更新方法，其中，图2，图3涉及从安全域初始密钥的更新分发，图4，图5涉及因为密钥到期或者强制更新引起的从安全域密钥的更新分发。
图2是根据本发明的，针对卡发行商管理的从安全域的基于卡发行商业务终端的从安全域初始密钥更新分发流程示意图。如图2所示，针对卡发行商管理的基于卡发行商业务终端的从安全域初始密钥更新分发流程步骤包括：
步骤201：卡发行商管理平台根据从安全域初始密钥，经由卡发行商业务终端向智能卡发送SELECT命令报文，选择从安全域；
步骤202：智能卡经由卡发行商业务终端向卡发行商管理平台提交SELECT命令响应报文；
步骤203：卡发行商管理平台经由卡发行商业务终端与智能卡从安全域建立安全通信信道，比如建立SCP02安全信道；
建立安全通信信道的方法为：卡发行商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；所述互认证过程经由卡发行商业务终端在所述卡发行商管理平台和所述智能卡从安全域之间完成。
步骤204：卡发行商管理平台生成新的从安全域密钥；
步骤205：卡发行商管理平台通过PUTKEY命令，经由卡发行商业务终端向智能卡从安全域发送新的从安全域密钥；
步骤206：智能卡从安全域接收到新的从安全域密钥后，完成对从安全域初始密钥的更新操作；
步骤207：智能卡从安全域经由卡发行商业务终端向卡发行商管理平台发送PUTKEY命令响应，结束对从安全域初始密钥的更新过程。
上述步骤201之前，还包含卡发行商管理平台根据用户应用下载申请建立智能卡从安全域，并下发智能卡从安全域初始密钥给从智能卡从安全域的步骤。
图3是根据本发明的，针对应用提供商管理的从安全域的基于应用提供商业务终端的从安全域初始密钥更新分发流程示意图。如图3所示，针对应用提供商管理的从安全域的基于应用提供商业务终端的从安全域初始密钥更新分发流程步骤包括：
步骤301：用户通过应用提供商业务终端客户端程序或卡片程序触发应用下载申请，并向应用提供商管理平台提交应用下载申请，应用下载申请包含智能卡标识信息(ICCID)等；
步骤302：应用提供商管理平台向卡发行商管理平台提交从安全域创建请求信息，在请求报文中包括应用提供商身份信息(ASP-ID)和智能卡标识信息(ICCID)等；
步骤303：卡发行商管理平台验证该从安全域创建请求信息，并确定是否允许该请求。卡发行商管理平台判断是否通过应用提供商管理平台创建从安全域。
如果卡发行商管理平台根据该创建请求信息中的智能卡标识信息和应用提供商身份等判断不需要创建从安全域，则终止从安全域创建过程，否则，继续执行后续步骤；
步骤304：卡发行商管理平台经由应用提供商管理平台、应用提供商业务终端向智能卡发送SELECT命令报文，选择主安全域；
步骤305：智能卡经由应用提供商业务终端和应用提供商管理平台向卡发行商管理平台提交SELECT命令响应报文；
步骤306：卡发行商管理平台与智能卡主安全域经由应用提供商管理平台和应用提供商业务终端建立安全通信信道，如建立SCP02安全信道；
建立安全通信信道的方法为：卡发行商管理平台与智能卡主安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；所述互认证过程经由应用提供商管理平台、应用提供商业务终端在所述卡发行商管理平台和所述智能卡主安全域之间完成。
步骤307：卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向智能卡发送INSTALL命令；
步骤308：智能卡经由应用提供商业务终端和应用提供商管理平台向卡发行商管理平台提交INSTALL命令响应；
步骤309：卡发行商管理平台生成从安全域初始密钥；
步骤310：卡发行商管理平台通过PUTKEY命令，经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥；
步骤311：智能卡主安全域接收到从安全域初始密钥后，用接收到的从安全域初始密钥初始化从安全域；
步骤312：智能卡主安全域经由应用提供商业务终端和应用提供商管理平台向卡发行商管理平台发送PUTKEY命令响应；
步骤313：卡发行商管理平台向应用提供商管理平台返回从安全域基本信息及从安全域初始密钥；
其中，该从安全域基本信息中包括智能卡从安全域标识信息。
步骤314：应用提供商管理平台在数据库中添加从安全域相关信息；
步骤315：应用提供商管理平台经由应用提供商业务终端向智能卡发送SELECT命令报文，选择从安全域；
步骤316：智能卡经由应用提供商业务终端向应用提供商密钥管理系统提交SELECT命令响应；
步骤317：应用提供商管理平台经由应用提供商业务终端与智能卡从安全域建立安全通信信道，如建立SCP02安全信道；
建立安全通信信道的方法为：应用提供商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；所述互认证过程经由应用提供商业务终端在所述应用提供商管理平台和所述智能卡从安全域之间完成。
步骤318：应用提供商管理平台生成新的从安全域密钥；
步骤319：应用提供商管理平台通过PUTKEY命令，经由应用提供商业务终端向智能卡从安全域发送新的从安全域密钥；
步骤320：智能卡从安全域接收到新的从安全域密钥后，完成对从安全域初始密钥的更新操作；
步骤321：智能卡从安全域经由应用提供商业务终端向应用提供商管理平台发送PUTKEY命令响应，结束从安全域密钥分发过程。
图4是根据本发明的，针对卡发行商管理的从安全域，由于密钥到期或强制更新引起的基于卡发行商业务终端的从安全域密钥更新分发流程示意图。如图4所示，针对卡发行商管理的从安全域，由于密钥到期或强制更新引起的基于卡发行商业务终端的从安全域密钥更新分发流程步骤包括：
步骤401、卡发行商管理平台经由卡发行商业务终端向智能卡发送SELECT命令报文，选择从安全域；
步骤402、智能卡经由卡发行商业务终端向卡发行商管理平台提交SELECT命令响应；
步骤403、卡发行商管理平台经由卡发行商业务终端与智能卡从安全域建立安全通信信道，如建立SCP02安全信道；
建立安全通信信道的方法为：卡发行商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；所述互认证过程经由卡发行商业务终端在所述卡发行商管理平台和所述智能卡从安全域之间完成。
步骤404、卡发行商管理平台生成新的从安全域密钥；
步骤405、卡发行商管理平台通过PUTKEY命令，经由卡发行商业务终端向智能卡从安全域发送新的从安全域密钥；
步骤406、智能卡从安全域接收到新从安全域密钥后，完成智能卡从安全域密钥的更新操作；
步骤407、智能卡从安全域经由卡发行商业务终端向卡发行商管理平台发送PUTKEY命令响应，结束从安全域密钥更新过程。
图5是根据本发明的，针对应用提供商管理的从安全域，由于密钥到期或强制更新引起的基于应用提供商业务终端的从安全域密钥更新分发流程示意图。如图5所示，针对应用提供商管理的从安全域，由于密钥到期或强制更新引起的基于应用提供商业务终端的从安全域密钥更新分发流程步骤包括：
步骤501、应用提供商管理平台经由应用提供商业务终端向智能卡发送SELECT命令报文，选择从安全域；
步骤502、智能卡经由应用提供商业务终端向应用提供商管理平台提交SELECT命令响应；
步骤503、应用提供商管理平台经由应用提供商业务终端与智能卡从安全域建立SCP02安全信道；
建立安全通信信道的方法为：应用提供商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以遵循Global Platform Card Specification V2.1.1/V2.2规范建立，也可以通过其它方法建立；所述互认证过程经由应用提供商业务终端在所述应用提供商管理平台和所述智能卡从安全域之间完成。
步骤504、应用提供商管理平台生成新的从安全域密钥；
步骤505、应用提供商管理平台通过PUTKEY命令，命令中携带新的从安全域密钥，经由应用提供商业务终端向智能卡从安全域发送新的从安全域密钥；
步骤506、智能卡从安全域接收到新从安全域密钥后，完成从安全域密钥的更新操作；
步骤507、智能卡从安全域经由应用提供商业务终端向应用提供商管理平台发送PUTKEY命令响应，结束从安全域密钥更新过程。
本发明智能卡从安全域密钥更新方法、系统及移动终端，可以解决针对对称密钥的情况，由卡发行商管理平台经卡发行商业务终端，或应用提供商管理平台经应用提供商业务终端将从安全域密钥安全导入智能卡从安全域，实现智能卡从安全域密钥的安全更新分发。
本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变和变形，这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (10)

1.一种智能卡从安全域密钥更新方法，其特征在于，基于移动终端电子支付系统实现，所述移动终端电子支付系统包括具有电子支付应用功能的智能卡、应用提供商业务终端、应用提供商管理平台和卡发行商管理平台，所述智能卡直接通过所述应用提供商业务终端与所述应用提供商管理平台连接，所述应用提供商管理平台与所述卡发行商管理平台通过专线连接，所述应用提供商管理平台管理智能卡的从安全域；所述方法包括：
用户触发应用下载申请，向所述应用提供商管理平台提交应用下载申请；
所述应用提供商管理平台向所述卡发行商管理平台提交从安全域创建请求信息；
所述卡发行商管理平台与智能卡主安全域经由所述应用提供商管理平台和应用提供商业务终端建立安全通信信道，所述卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥，所述智能卡主安全域用所述从安全域初始密钥初始化从安全域；
所述卡发行商管理平台将从安全域的控制权转交给所述应用提供商管理平台，所述应用提供商管理平台更新智能卡从安全域的初始密钥。
2.如权利要求1所述的方法，其特征在于，其中，所述卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥，所述智能卡主安全域用所述从安全域初始密钥初始化从安全域，具体包括：
所述卡发行商管理平台通过所述安全通信信道向智能卡发送INSTALL命令；
所述智能卡通过所述安全通信信道向卡发行商管理平台提交INSTALL命令响应；
所述卡发行商管理平台生成从安全域初始密钥；
所述卡发行商管理平台利用PUTKEY命令，通过所述安全通信信道向智能卡主安全域发送所述从安全域初始密钥；
所述智能卡主安全域用接收到的所述从安全域初始密钥初始化从安全域；
所述智能卡主安全域通过所述安全通信信道向卡发行商管理平台发送PUTKEY命令响应。
3.如权利要求1所述的方法，其特征在于，其中，所述卡发行商管理平台与智能卡主安全域经由所述应用提供商管理平台和应用提供商业务终端建立安全通信信道，具体包括：
所述卡发行商管理平台经由所述应用提供商管理平台和应用提供商业务终端向智能卡发送SELECT命令报文，选择主安全域；
所述智能卡经由所述应用提供商业务终端和应用提供商管理平台向卡发行商管理平台提交SELECT命令响应报文；
所述卡发行商管理平台与智能卡主安全域经由所述应用提供商管理平台和应用提供商业务终端建立安全通信信道；所述建立安全通信信道具体为：所述卡发行商管理平台与智能卡主安全域之间进行互认证，进行互认证后，建立起用于两者之间通信加密的临时会话密钥。
4.如权利要求1所述的方法，其特征在于，其中，所述卡发行商管理平台将从安全域的控制权转交给所述应用提供商管理平台，所述应用提供商管理平台更新从安全域的初始密钥，具体包括：
所述卡发行商管理平台向应用提供商管理平台发送从安全域基本信息和从安全域初始密钥；
所述应用提供商管理平台在数据库中添加所述从安全域相关信息；
所述应用提供商管理平台经由所述应用提供商业务终端向智能卡发送SELECT命令报文，选择从安全域；
所述智能卡经由所述应用提供商业务终端向应用提供商提交SELECT命令响应；
所述应用提供商管理平台与智能卡从安全域建立安全通信信道，将生成的新的从安全域密钥通过所述安全通信信道发送给智能卡从安全域，所述智能卡从安全域完成对从安全域初始密钥的更新操作。
5.如权利要求4所述的方法，其特征在于，其中，所述应用提供商管理平台与智能卡从安全域建立安全通信信道，将生成的新的从安全域密钥通过所述安全通信信道发送给智能卡从安全域，所述智能卡从安全域完成对从安全域初始密钥的更新操作，具体包括：
所述应用提供商管理平台经由所述应用提供商业务终端与智能卡从安全域建立安全通信信道；所述建立安全通信信道具体为：所述应用提供商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起用于两者之间通信加密的临时会话密钥；
所述应用提供商管理平台生成新的从安全域密钥；
所述应用提供商管理平台利用PUTKEY命令，通过所述安全通信信道向智能卡从安全域发送新的从安全域密钥；
所述智能卡从安全域接收到新的从安全域密钥后，完成对从安全域初始密钥的更新操作；
所述智能卡从安全域通过所述安全通信信道向应用提供商管理平台发送PUTKEY命令响应。
6.一种电子支付系统，其特征在于，包括具有电子支付应用功能的智能卡、应用提供商业务终端、应用提供商管理平台和卡发行商管理平台，所述智能卡直接通过所述应用提供商业务终端与所述应用提供商管理平台连接，所述应用提供商管理平台与所述卡发行商管理平台通过专线连接，所述应用提供商管理平台管理智能卡的从安全域；其中，
所述应用提供商管理平台，用于接收用户提交的应用下载申请，向所述卡发行商管理平台提交从安全域创建请求信息；还用于更新智能卡从安全域的初始密钥；
所述卡发行商管理平台，用于与智能卡主安全域经由所述应用提供商管理平台和应用提供商业务终端建立安全通信信道；还用于经由应用提供商管理平台和应用提供商业务终端向智能卡主安全域发送从安全域初始密钥；还用于将从安全域的控制权转交给所述应用提供商管理平台；
所述智能卡，用于接收所述卡发行商管理平台发送的从安全域初始密钥，初始化从安全域。
7.如权利要求6所述的系统，其特征在于：
所述卡发行商管理平台，用于通过所述安全通信信道向智能卡发送INSTALL命令；还用于生成从安全域初始密钥，利用PUTKEY命令，通过所述安全通信信道向智能卡主安全域发送所述从安全域初始密钥；
所述智能卡，用于通过所述安全通信信道向卡发行商管理平台提交INSTALL命令响应；还用于用接收到的所述从安全域初始密钥初始化从安全域；还用于通过所述安全通信信道向卡发行商管理平台发送PUTKEY命令响应。
8.如权利要求6所述的系统，其特征在于：
所述卡发行商管理平台，用于经由所述应用提供商管理平台和应用提供商业务终端向智能卡发送SELECT命令报文，选择主安全域；还用于与智能卡主安全域经由所述应用提供商管理平台和应用提供商业务终端建立安全通信信道；所述建立安全通信信道具体为：所述卡发行商管理平台与智能卡主安全域之间进行互认证，进行互认证后，建立起用于两者之间通信加密的临时会话密钥；
所述智能卡，用于经由所述应用提供商业务终端和应用提供商管理平台向卡发行商管理平台提交SELECT命令响应报文。
9.如权利要求6所述的系统，其特征在于：
所述卡发行商管理平台，用于向应用提供商管理平台发送从安全域基本信息和从安全域初始密钥；
所述应用提供商管理平台，用于在数据库中添加所述从安全域相关信息；还用于经由所述应用提供商业务终端向智能卡发送SELECT命令报文，选择从安全域；还用于与智能卡从安全域建立安全通信信道，将生成的新的从安全域密钥通过所述安全通信信道发送给智能卡从安全域；
所述智能卡，用于经由所述应用提供商业务终端向应用提供商提交SELECT命令响应；还用于完成对智能卡从安全域初始密钥的更新操作。
10.如权利要求7所述的系统，其特征在于：
所述应用提供商管理平台，用于经由所述应用提供商业务终端与智能卡从安全域建立安全通信信道；所述建立安全通信信道具体为：所述应用提供商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起用于两者之间通信加密的临时会话密钥；还用于生成新的从安全域密钥，利用PUTKEY命令，通过所述安全通信信道向智能卡从安全域发送新的从安全域密钥；
所述智能卡，用于接收到新的从安全域密钥后，完成对从安全域初始密钥的更新操作；还用于通过所述安全通信信道向应用提供商管理平台发送PUTKEY命令响应。
CN201510655668.4A 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新方法以及电子支付系统 Expired - Fee Related CN105303377B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510655668.4A CN105303377B (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新方法以及电子支付系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810177014A CN101742479A (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新分发方法、系统及移动终端
CN201510655668.4A CN105303377B (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新方法以及电子支付系统

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN200810177014A Division CN101742479A (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新分发方法、系统及移动终端

Publications (2)

Publication Number Publication Date
CN105303377A CN105303377A (zh) 2016-02-03
CN105303377B true CN105303377B (zh) 2019-10-29

Family

ID=42152479

Family Applications (2)

Application Number Title Priority Date Filing Date
CN200810177014A Pending CN101742479A (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新分发方法、系统及移动终端
CN201510655668.4A Expired - Fee Related CN105303377B (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新方法以及电子支付系统

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN200810177014A Pending CN101742479A (zh) 2008-11-10 2008-11-10 一种智能卡从安全域密钥更新分发方法、系统及移动终端

Country Status (2)

Country Link
CN (2) CN101742479A (zh)
WO (1) WO2010051716A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017143885A1 (zh) * 2016-02-25 2017-08-31 华为技术有限公司 一种嵌入式通用集成电路卡的应用处理方法及装置
CN112491558A (zh) * 2020-11-26 2021-03-12 湖南中育至诚数字科技有限公司 多应用芯片卡的数据写入方法、系统及存储介质
CN113490210B (zh) * 2021-06-17 2023-03-24 中国联合网络通信集团有限公司 一种辅助安全域的创建方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2007052116A1 (en) * 2005-11-02 2007-05-10 Nokia Corporation Method and apparatus for initializing a secure element in a wireless terminal .
CN101083792A (zh) * 2007-06-27 2007-12-05 浙江省电信有限公司 应用于公交系统的小灵通非接触式卡小额支付系统
CN101164086A (zh) * 2005-03-07 2008-04-16 诺基亚公司 能够使用无线网络实现信用卡个人化的方法、系统和移动设备
CN101295394A (zh) * 2007-04-23 2008-10-29 美国通宝科技有限公司 提供电子商务和移动商务的方法及其装置

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU770396B2 (en) * 1998-10-27 2004-02-19 Visa International Service Association Delegated management of smart card applications
US20040123152A1 (en) * 2002-12-18 2004-06-24 Eric Le Saint Uniform framework for security tokens
KR100437513B1 (ko) * 2004-02-09 2004-07-03 주식회사 하이스마텍 복수의 발급자 시큐리티 도메인을 설치할 수 있는 스마트카드 및 하나의 스마트 카드에 복수의 발급자 시큐리티도메인을 설치할 수 있는 방법
KR100562255B1 (ko) * 2004-09-21 2006-03-22 에스케이 텔레콤주식회사 시큐리티 도메인의 키 초기화 방법
CN101073098A (zh) * 2004-12-07 2007-11-14 皇家飞利浦电子股份有限公司 多应用程序智能卡上的应用程序管理系统及方法
US8522014B2 (en) * 2006-03-15 2013-08-27 Actividentity Method and system for storing a key in a remote security module
CN101370248B (zh) * 2007-08-15 2011-12-07 中国移动通信集团公司 密钥更新方法、第三方服务器及激活第三方应用的系统
CN101374153B (zh) * 2007-08-23 2012-02-29 中国移动通信集团公司 安全激活第三方应用的方法、第三方服务器、终端及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101164086A (zh) * 2005-03-07 2008-04-16 诺基亚公司 能够使用无线网络实现信用卡个人化的方法、系统和移动设备
WO2007052116A1 (en) * 2005-11-02 2007-05-10 Nokia Corporation Method and apparatus for initializing a secure element in a wireless terminal .
CN101295394A (zh) * 2007-04-23 2008-10-29 美国通宝科技有限公司 提供电子商务和移动商务的方法及其装置
CN101083792A (zh) * 2007-06-27 2007-12-05 浙江省电信有限公司 应用于公交系统的小灵通非接触式卡小额支付系统

Also Published As

Publication number Publication date
WO2010051716A1 (zh) 2010-05-14
CN101742479A (zh) 2010-06-16
CN105303377A (zh) 2016-02-03

Similar Documents

Publication Publication Date Title
EP2341659B1 (en) Key distribution method and system
CN101742478B (zh) 智能卡从安全域密钥更新分发方法、系统及移动终端
US8781131B2 (en) Key distribution method and system
CN101742480B (zh) 智能卡从安全域初始密钥分发方法、系统及移动终端
EP2352252A1 (en) Key distribution method and system
CN101739756B (zh) 一种智能卡密钥的生成方法
US10567959B2 (en) System and method for managing application data of contactless card applications
WO2010096991A1 (zh) 一种应用下载的系统和方法
CN103366140A (zh) 一种基于nfc的写卡方法和写卡装置
CN102932788A (zh) 一种手机的身份识别和近场支付的方法
CN101742481B (zh) 智能卡的从安全域初始密钥分发方法和系统、移动终端
US10097553B2 (en) Installation of a secure-element-related service application in a secure element in a communication device, system and telecommunications
CN101729246B (zh) 密钥分发方法和系统
CN105303377B (zh) 一种智能卡从安全域密钥更新方法以及电子支付系统
WO2007132056A1 (en) Method and system for loading value to a smartcard
CN101729245B (zh) 密钥分发方法和系统
CN106412881B (zh) 终端设备及卡片管理方法
CN101727706A (zh) 电子支付系统、更新智能卡对应的移动用户号码的方法
KR20130102642A (ko) 프로파일 사용과 데이터 준비를 통한 어플리케이션 ｏｔａ 프로비저닝 관리 시스템 및 방법
CN118886440A (zh) 一种电子卡的信息交互方法、装置、电子设备及介质
CN116566601A (zh) 银行卡模拟方法、汽车数字钥匙、计算机装置及计算机可读存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20191029

Termination date: 20201110

CF01 Termination of patent right due to non-payment of annual fee