本發(fā)明涉及一種用于編程移動終端設(shè)備芯片的方法，一種用于在使用所述編程方法的同時激活安全操作系統(tǒng)的方法，以及一種用于在使用所述編程方法的同時安全地配置包含芯片的移動終端設(shè)備的方法。

背景技術(shù)：
移動終端設(shè)備，例如移動電話、智能手機等，包含具有集成電路（IC）的芯片（微處理器芯片），所述芯片也稱為SoC（片上系統(tǒng)），通過所述芯片控制包括例如顯示屏幕、鍵盤、用于SIM卡和/或其他的卡讀卡器的其組件的移動終端設(shè)備。所述芯片由芯片制造商（也被稱為SoC提供商，SoCP）制造，可提供給不同于芯片制造商的終端設(shè)備制造商（也被稱為原始設(shè)備制造商，OEM），并被編程為具有操作系統(tǒng)（即，將操作系統(tǒng)編程到芯片中），并由終端設(shè)備制造商將芯片安裝到移動終端設(shè)備之中。用于芯片的操作系統(tǒng)通常不是由終端設(shè)備制造商生產(chǎn)，而是由芯片制造商或與芯片制造商密切聯(lián)系的操作系統(tǒng)制造者生產(chǎn)。由于在操作系統(tǒng)中要考慮到將要使用所述芯片的移動終端設(shè)備的特性，然而芯片制造商不會馬上將操作系統(tǒng)編程到芯片之中，而是由終端設(shè)備制造商做這件事情。在制造芯片和將芯片提供給終端設(shè)備制造商之間，編程步驟通常由芯片制造商和/或與芯片制造商密切聯(lián)系的公司執(zhí)行，這些步驟不是本專利申請的主題事項。在芯片制造商的影響范圍之外對芯片進行編程會導(dǎo)致偽造芯片（通常被稱為灰色芯片（graychip））被提供給終端設(shè)備制造商的風(fēng)險，所述偽造芯片并非來自芯片制造商并可能具有不同于來自所述芯片制造商的原始芯片的屬性。終端設(shè)備制造商對下列事情感興趣：將來自芯片制造商的、具有確定屬性（assuredproperty）的原始芯片實現(xiàn)在其移動終端設(shè)備之中。反過來芯片制造商對下列事情感興趣：將要用于其芯片的操作系統(tǒng)只被編程到其芯片之中，而不會被編程到不同來源的芯片之中。在當(dāng)前階段，由芯片制造商將序列號編程到芯片之中用于抵御灰色芯片。在由終端設(shè)備制造商將進一步的數(shù)據(jù)（例如，操作系統(tǒng)）編程到芯片之中之前，檢查芯片的序列號?；诎ㄋ杏行蛄刑柕男蛄刑柫斜?，終端設(shè)備制造商可以識別出芯片是否有有效的序列號。不具有有效序列號的芯片不會被編程。序列號列表可能非常之大，這使得對它們的處理非常費力和麻煩。此外，在芯片制造商和終端設(shè)備制造商以及任何其他方之間安全傳輸序列號列表涉及很多努力。本專利申請的申請人在品牌名稱MOBICORE下制造并銷售用于將被實現(xiàn)在移動（無線電）終端設(shè)備（例如移動電話、智能手機）中的芯片的安全操作系統(tǒng)。通過安全操作系統(tǒng)MOBICORE以安全方式控制安全性關(guān)鍵應(yīng)用程序和一些系統(tǒng)功能（例如，鍵盤驅(qū)動程序）。進一步的應(yīng)用程序和其他系統(tǒng)功能（例如當(dāng)前的顯示屏幕驅(qū)動程序）通過與安全操作系統(tǒng)并存的正常操作系統(tǒng)控制。安全操作系統(tǒng)包括加密密鑰——認(rèn)證密鑰Kauth，安全操作系統(tǒng)可以通過其向后臺系統(tǒng)驗明（identify）自身。可選地，認(rèn)證密鑰Kauth被附加地提供用于運行芯片或移動終端設(shè)備和后臺系統(tǒng)之間的安全通信通道。后臺系統(tǒng)是例如移動無線電網(wǎng)絡(luò)本身的已知的后臺系統(tǒng)。

技術(shù)實現(xiàn)要素：
本發(fā)明基于提供一種用于編程移動終端設(shè)備芯片的高效和安全的方法的目的，其中最多只允許對來自預(yù)定來源的芯片編程。具體地，提供了一種在沒有序列號列表的情況下進行的這樣的方法。另外，根據(jù)本發(fā)明的開發(fā)，將分別描述在使用所述編程方法的同時一種用于激活安全操作系統(tǒng)的方法以及一種用于安全地配置包含芯片的移動終端設(shè)備的方法。該目的通過根據(jù)權(quán)利要求1的方法實現(xiàn)。本發(fā)明的有利實施例在從屬權(quán)利要求中描述。根據(jù)權(quán)利要求1所述的方法被配置用于對用于移動終端設(shè)備的芯片進行編程。在準(zhǔn)備步驟中，序列號被編程到芯片之中。此后，在編程步驟中，驗證序列號，并且只在序列號已經(jīng)被成功驗證時才將至少一個進一步的數(shù)據(jù)編程到芯片之中。所述方法的特征在于，在采用存儲在安全模塊中并且不同于序列號的秘密信息項的同時，序列號可以通過安全模塊驗證?！斑M一步的數(shù)據(jù)”在這里被理解為任何類型的數(shù)據(jù)，例如程序代碼（例如操作系統(tǒng)，參見下文）或?qū)⒁糜谂c程序代碼交互的單個數(shù)據(jù)（例如加密（認(rèn)證）密鑰）。由于在采用存儲在安全模塊中的秘密信息項的同時，序列號是可驗證的，因此驗證序列號只需要安全模塊，而不需要序列號列表。因此，所述方法與利用基于序列號列表的序列號檢查的方法至少是同等安全的，但明顯更加高效，因為不需要處理序列號列表。因此，根據(jù)權(quán)利要求1提供了一種在檢查芯片來源的情況下用于對移動終端設(shè)備的芯片編程的高效和安全的方法?？蛇x地，應(yīng)對于成功驗證序列號，進一步的數(shù)據(jù)直接通過安全模塊被編程到芯片之中，而不存在任何來自安全模塊之外的干預(yù)的可能性。因此，可以實現(xiàn)在成功驗證序列號之后可以將進一步的數(shù)據(jù)排他地分配并編程到剛剛驗證其序列號的芯片之中。然而，不可能在驗證所述序列號之后且在將進一步的數(shù)據(jù)編程到所述芯片之中之前，將所述芯片換成另一個芯片。因此，可以保證只有正宗來源的芯片才會獲得被編程在其中的進一步的數(shù)據(jù)?？蛇x地，在采用秘密信息項的同時，序列號通過序列號或取決于正在被復(fù)制（即，再次生成）的序列號的信息項驗證。在第二種情況下，取決于序列號的信息項附加地在準(zhǔn)備步驟中被優(yōu)選地編程到芯片之中。根據(jù)第一實施例，序列號通過映射規(guī)則形成，所述映射規(guī)則作為秘密信息項存儲在安全模塊中。在該情況下，為了驗證序列號，通過安全模塊從芯片中讀出序列號，序列號在安全模塊中通過所存儲的映射規(guī)則再次生成，優(yōu)選地也在安全模塊中將讀出的和新生成的序列號進行比較，如果匹配，那么序列號被視為已驗證。映射規(guī)則對可以包括例如隨機數(shù)和其他數(shù)據(jù)的輸入數(shù)據(jù)進行處理并從中生成序列號。根據(jù)第二實施例，除了序列號之外，存儲在芯片中的還有在采用序列號和秘密密鑰的同時形成的數(shù)字簽名，所述秘密密鑰作為秘密信息項存儲在安全模塊中。在該情況下，為了驗證序列號，通過安全模塊從芯片中讀出序列號和數(shù)字簽名，通過讀出的序列號和存儲在安全模塊中的秘密密鑰在安全模塊中再次生成所述簽名，優(yōu)選地也在安全模塊中將讀出的和新生成的簽名進行比較，如果簽名匹配，那么序列號被視為已驗證?？蛇x地，秘密信息項存儲在安全模塊中以針對讀出進行保護。例如，直接讀出秘密信息項是不可能的，或最多只在向安全模塊成功認(rèn)證之后。在不傳遞出安全模塊的情況下，在安全模塊內(nèi)采用秘密信息項用于驗證芯片序列號?？蛇x地，作為進一步的數(shù)據(jù)，提供安全操作系統(tǒng)，或至少安全操作系統(tǒng)的一部分。例如，在編程步驟中，僅在序列號已經(jīng)被成功驗證的情況下將安全操作系統(tǒng)編程到芯片之中?？蛇x地，作為進一步的數(shù)據(jù)，提供在芯片中實現(xiàn)的或尚未在芯片中實現(xiàn)的安全操作系統(tǒng)的可操作性所需的加密密鑰，例如認(rèn)證密鑰。安全操作系統(tǒng)本身可選地在驗證序列號之前或之后被編程到芯片之中，或可替換地在其之前或之后被部分編程到芯片之中?？蛇x地，作為進一步的數(shù)據(jù)，提供了上述安全操作系統(tǒng)MOBICORE的認(rèn)證密鑰Kauth?？蛇x地，加密密鑰（例如，認(rèn)證密鑰）在安全模塊中生成，可選地，直接應(yīng)對于成功驗證序列號。所生成的密鑰隨后被編程到芯片之中，可選地不存在任何來自安全模塊之外的干預(yù)的可能性。可選地，在采用序列號的同時生成加密密鑰。作為結(jié)果，加密密鑰取決于序列號，因此，加密密鑰對芯片來說與序列號一樣是唯一的。一種用于激活安全操作系統(tǒng)的方法通過一種用于對芯片編程的方法執(zhí)行，其中，如上所述，在準(zhǔn)備步驟中，序列號被編程到芯片之中。作為進一步的數(shù)據(jù)，提供安全操作系統(tǒng)的可操作性所需的加密密鑰，具體地認(rèn)證密鑰。在用于激活安全操作系統(tǒng)的所述方法中，除加密密鑰之外，安全操作系統(tǒng)被附加地編程到芯片之中，從而在芯片中實現(xiàn)所述安全操作系統(tǒng)。在編程步驟中，只有當(dāng)序列號已經(jīng)被成功驗證時，才將加密密鑰編程到芯片之中。通過將密鑰編程到芯片之中，安全操作系統(tǒng)被激活，并因此關(guān)于該編程操作是可操作的。所述方法尤其有利地適用于對用于移動終端設(shè)備的芯片進行工作共享編程，例如在芯片制造商和終端設(shè)備制造商（例如，移動無線電終端設(shè)備制造商）之間共享對芯片的編程?？蛇x地，準(zhǔn)備步驟由第一編程者（例如芯片制造商）執(zhí)行，編程步驟由與第一編程者邏輯上和/或空間上分離的第二編程者（例如，終端設(shè)備制造商）執(zhí)行。因為驗證序列號在沒有序列號列表的情況下進行并且只需要安全模塊，所以迄今不再需要在第一和第二編程者之間（例如，在芯片制造商和終端設(shè)備制造商之間）交換序列號列表?？蛇x地，秘密信息項通過第一編程者（例如，芯片制造商）被編程到安全模塊之中，安全模塊被提供給第二編程者（例如，終端設(shè)備制造商）以執(zhí)行編程步驟。安全模塊可選地被設(shè)計為具有加密處理器、用于秘密信息的存儲器和用于芯片編程的控制單元的完整的系統(tǒng)?？蛇x地，存儲器只能被加密處理器讀取。加密處理器被配置為在采用存儲在存儲器中的秘密信息的同時進行加密計算，例如簽名計算、根據(jù)算法的序列號計算、比較運算、密鑰生成，具體地進行用于Mobicore安全操作系統(tǒng)的認(rèn)證密鑰Kauth的生成。用于芯片編程的控制單元被配置為對芯片編程。優(yōu)選地，加密處理器和用于芯片編程的控制單元彼此耦接，使得芯片編程可直接被加密處理器的計算結(jié)果控制。根據(jù)本發(fā)明的第一開發(fā)，在編程步驟中，在安全模塊中生成至少包括秘密信息項的驗證數(shù)據(jù)集，通過所述數(shù)據(jù)集可以驗證序列號。驗證數(shù)據(jù)集被發(fā)送到后臺系統(tǒng)。在時間上繼編程步驟之后的驗證步驟中，利用后臺系統(tǒng)通過驗證數(shù)據(jù)集再次驗證序列號，如果序列號已經(jīng)在驗證步驟中被成功驗證，那么接受所述芯片，如果序列號在驗證步驟中未被成功驗證，那么丟棄所述芯片。例如當(dāng)包含芯片的移動終端設(shè)備向后臺系統(tǒng)登記時執(zhí)行驗證步驟?？蛇x地，在本發(fā)明的第一開發(fā)中，在編程步驟中，例如通過將密鑰和序列號通過算法G處理成密鑰序列號數(shù)據(jù)生成取決于密鑰和序列號的密鑰序列號數(shù)據(jù)作為驗證數(shù)據(jù)集的至少一部分，并將所述密鑰序列號數(shù)據(jù)發(fā)送到后臺系統(tǒng)。在驗證步驟中，除驗證序列號之外，或替代驗證序列號，通過驗證數(shù)據(jù)集，例如通過再次計算密鑰序列號數(shù)據(jù)，對密鑰序列號數(shù)據(jù)進行驗證。如果需要，驗證數(shù)據(jù)集包括算法G。如上文所述，在一種根據(jù)本發(fā)明的用于為移動無線電系統(tǒng)安全配置包含芯片的移動終端設(shè)備的方法中，根據(jù)本發(fā)明的第二開發(fā)，在芯片上執(zhí)行準(zhǔn)備步驟（具體地包括編程加入序列號和（如適用）簽名）和編程步驟（具體地包括驗證序列號和（如適用）編程加入進一步的數(shù)據(jù)（例如，（認(rèn)證）密鑰））。隨后，所述芯片被帶入與移動無線電系統(tǒng)的后臺系統(tǒng)的數(shù)據(jù)交換連接，以向后臺系統(tǒng)中登記移動終端設(shè)備，目的是為了使移動終端設(shè)備隨后在移動無線電系統(tǒng)中可用，例如用于打電話、數(shù)據(jù)交換和習(xí)慣（customary）用于移動終端設(shè)備的其他應(yīng)用。此后，第二驗證步驟根據(jù)本發(fā)明的開發(fā)（例如，通過數(shù)據(jù)交換連接）執(zhí)行。只有在序列號和/或密鑰序列號數(shù)據(jù)已經(jīng)在第二驗證步驟中成功驗證的情況下，才向后臺系統(tǒng)登記移動無線電設(shè)備。作為結(jié)果，在移動終端設(shè)備的生命周期中安裝進一步的安全裝置（securingmeans），從而確保只有具有原始芯片和（如適用）原始安全操作系統(tǒng)的移動終端設(shè)備才能夠參與移動無線電系統(tǒng)。附圖說明下面將基于示例性實施例并參考附圖對本發(fā)明進行更詳細的說明，在所述附圖中示出：圖1是包括第一開發(fā)的用于圖示本發(fā)明的第一實施例的系統(tǒng)；圖2是包括第一開發(fā)的用于圖示本發(fā)明的第二實施例的系統(tǒng)，；圖3是用于圖示本發(fā)明的第二開發(fā)的系統(tǒng)。具體實施例圖1示出用于圖示本發(fā)明的第一實施例的系統(tǒng)，其中對用于移動無線電終端設(shè)備的芯片SoC的編程通過根據(jù)秘密映射規(guī)則F形成的序列號SENR保護。編程的目的是使得移動無線電終端設(shè)備制造商OEM（原始設(shè)備制造商）將安全操作系統(tǒng)編程到由芯片制造商SOCP（SOC提供商）制造的芯片SoC（片上系統(tǒng)）之中。在這樣做時，必須確保只向芯片制造商SOCP的原始芯片提供可操作的安全操作系統(tǒng)。安全操作系統(tǒng)包括認(rèn)證密鑰Kauth，沒有所述認(rèn)證密鑰Kauth安全操作系統(tǒng)是不可操作的。芯片制造商SOCP將根據(jù)秘密映射規(guī)則F形成的序列號SENR編程到芯片SoC之中，并將秘密映射規(guī)則F編程到安全模塊HSM（高安全模塊）之中。芯片制造商SOCP將芯片SoC和安全模塊HSM提供給終端設(shè)備制造商OEM。通常，芯片制造商SOCP將大量由此準(zhǔn)備的SoC芯片提供給終端設(shè)備制造商OEM。終端設(shè)備制造商OEM以適當(dāng)?shù)姆绞綄踩KHSM集成到其生產(chǎn)鏈（productionchain）之中用于芯片編程。作為結(jié)果，用于對芯片SoC編程的每個編程操作由安全模塊HSM控制，這只有在安全模塊HSM的控制下是可能的。首先，終端設(shè)備制造商OEM將除認(rèn)證密鑰Kauth之外的安全操作系統(tǒng)編程到芯片SoC之中。認(rèn)證密鑰Kauth此時還不存在。只要在終端設(shè)備制造商OEM處發(fā)出將認(rèn)證密鑰Kauth編程到芯片SoC之中的編程命令，安全模塊HSM就從芯片SoC讀出序列號SENR，通過讀出的序列號SENR和存儲在安全模塊HSM中的秘密映射規(guī)則F再次形成序列號SENR，并比較讀出的和新形成的序列號SENR。只有當(dāng)讀出的和新形成的SENR匹配時，序列號才在安全模塊HSM中被視為驗證，并且應(yīng)對于安全模塊HSM中的驗證直接生成認(rèn)證密鑰Kauth。認(rèn)證密鑰Kauth通過加密計算從序列號SENR和進一步的輸入數(shù)據(jù)生成，因此與序列號SENR一樣，認(rèn)證密鑰Kauth是唯一的，并且對于芯片SoC是特有的。生成的認(rèn)證密鑰Kauth被編程到芯片SoC之中，不存在任何來自安全模塊HSM之外的干預(yù)的可能性。作為結(jié)果，安全操作系統(tǒng)被激活。然而，如果序列號不同，那么輸出錯誤消息和/或中止芯片編程，可選地還采取錯誤處理措施，例如擦除芯片SoC的存儲器。因此，在該情況下，安全操作系統(tǒng)沒有被激活。圖2示出用于圖示本發(fā)明的第二實施例的系統(tǒng)，其中對用于移動無線電終端設(shè)備的芯片SoC的編程通過序列號SENR和序列號SENR上的簽名SIG保護。用于芯片編程的基本條件如圖1所述。與根據(jù)圖1的實施例對比，在根據(jù)圖2的實施例中，芯片制造商SoCP將序列號SENR和通過利用秘密加密密鑰K加密序列號SENR生成的簽名SIG編程到芯片SoC之中。此外，芯片制造商SOCP將秘密加密密鑰K編程到安全模塊HSM之中。只要發(fā)出編程命令將認(rèn)證密鑰Kauth編程到芯片SoC之中，安全模塊HSM就從芯片SoC讀出簽名SIG和序列號SENR，通過讀出的序列號SENR和存儲在安全模塊HSM中的秘密密鑰K再次形成簽名SIG，并比較讀出的和新形成的簽名SIG。如果簽名不同，那么輸出錯誤消息和/或中止芯片編程，可選地還采取錯誤處理措施，例如擦除芯片SoC的存儲器。如果存儲的和新形成的簽名SIG匹配，那么序列號SENR被視為驗證。如圖1所述，應(yīng)對于驗證，形成（計算）認(rèn)證密鑰Kauth，并將其編程到芯片之中，從而激活安全操作系統(tǒng)。圖3示出用于表示本發(fā)明的開發(fā)的系統(tǒng)，其具有向移動無線電系統(tǒng)的后臺系統(tǒng)BS登記包含芯片SoC的移動終端設(shè)備的附加步驟。直到在安全模塊HSM中驗證序列號SENR，以及（若適用）生成認(rèn)證密鑰Kauth并將所述認(rèn)證密鑰Kauth存儲在安全模塊HSM中，所述過程與參考圖1或圖2所述的相同。此外，在認(rèn)證密鑰Kauth已經(jīng)在安全模塊HSM中生成并被編程到芯片SoC之中之后，在采用秘密信息項（算法F或密鑰K）和序列號SENR的同時，密鑰序列號數(shù)據(jù)SSD=G（F，Kauth，SENR）或SSD=G（K，Kauth，SENR）通過算法G生成。密鑰序列號數(shù)據(jù)SSD、序列號SENR和秘密信息項F或K構(gòu)成用于稍后驗證芯片SoC的序列號的驗證數(shù)據(jù)集。驗證數(shù)據(jù)集通過終端設(shè)備制造商OEM不能影響的安全的數(shù)據(jù)連接發(fā)送到移動無線電系統(tǒng)的后臺系統(tǒng)BS。稍后，在其中包含芯片SoC的移動終端設(shè)備被賣給終端客戶之后，移動終端設(shè)備必須首次向后臺系統(tǒng)BS登記，以在移動無線電系統(tǒng)中可操作。當(dāng)嘗試向后臺系統(tǒng)BS登記移動終端設(shè)備時，通過密鑰序列號數(shù)據(jù)SSD再次驗證芯片SoC的序列號SENR。只有當(dāng)序列號SENR被成功驗證時，移動終端設(shè)備才向后臺系統(tǒng)BS登記，作為結(jié)果，移動終端設(shè)備能夠參與移動無線電系統(tǒng)。