專利名稱：密鑰分發(fā)方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，并且特別地，涉及一種密鑰分發(fā)方法和系統(tǒng)。
背景技術(shù)：
在相關(guān)技術(shù)中，近場通信技術(shù)(Near Field Communication,簡稱為NFC)是 工作于13. 56腿z的一種近距離無線通信技術(shù)，該技術(shù)由射頻識別(Radio Frequency Identification,簡稱為RFID)技術(shù)及互連技術(shù)融合演變而來。手機等移動通信終端在集 成NFC技術(shù)后，可以模擬非接觸式IC卡，用于電子支付的相關(guān)應(yīng)用；此外，在移動通信終端 上實現(xiàn)該方案需要在終端上增加NFC模擬前端芯片和NFC天線，并使用支持電子支付的智 能卡。 IC卡特別是非接觸式IC卡經(jīng)過十多年的發(fā)展，已經(jīng)被廣泛應(yīng)用于公交、門禁、小 額電子支付等領(lǐng)域；與此同時，手機經(jīng)歷20多年的迅速發(fā)展后，其應(yīng)用已經(jīng)基本得到普及， 并且給人們的工作及生活帶來了很大的便利，隨著手機的功能越來越強大，將手機和非接 觸式IC卡技術(shù)結(jié)合，將手機應(yīng)用于電子支付領(lǐng)域，會進一步擴大手機的使用范圍，給人們 的生活帶來便捷，存在著廣闊的應(yīng)用前景。 在相關(guān)技術(shù)中，為實現(xiàn)基于NFC技術(shù)的移動電子支付，需要建立移動終端電子支 付系統(tǒng)，并通過該系統(tǒng)實現(xiàn)對移動終端電子支付的管理，其中，移動終端電子支付系統(tǒng)包 括智能卡的發(fā)行、電子支付應(yīng)用的下載、安裝和個人化、以及采用相關(guān)技術(shù)和管理策略實 現(xiàn)電子支付的安全等。 安全域是卡外實體包括卡片發(fā)行商和應(yīng)用提供商在卡上的代表，它們包含用于支 持安全通道協(xié)議運作以及卡內(nèi)容管理的加密密鑰。安全域負責(zé)它們自己的密鑰管理，這保 證了來自不同應(yīng)用提供者的應(yīng)用和數(shù)據(jù)可以共存于同一個卡上。安全域的密鑰采用非對稱 密鑰體制時，安全域上的密鑰和證書需要包括安全域的公鑰和私鑰、安全域的證書、用于 認證卡外實體證書的可信任根公鑰。 應(yīng)用提供商在智能卡上的安全域為從安全域，在將應(yīng)用提供商的電子支付應(yīng)用下 載并安裝到智能卡之前，需要在智能卡上先通過卡片發(fā)行商擁有的智能卡主安全域創(chuàng)建應(yīng) 用提供商的從安全域，然后設(shè)置從安全域的密鑰。 安全域密鑰作為機密數(shù)據(jù)，需要采取可靠及安全的方法和技術(shù)將有關(guān)密鑰和證書 導(dǎo)入到從安全域，實現(xiàn)從安全域密鑰的安全分發(fā)，其中，從安全域的創(chuàng)建需要由卡片發(fā)行商 管理平臺指示智能卡上的主安全域創(chuàng)建，而且從安全域創(chuàng)建完成后，從安全域的初始密鑰 需要由卡片發(fā)行商管理平臺負責(zé)設(shè)置和分發(fā)。 從安全域創(chuàng)建完成后，卡發(fā)行商管理平臺可以通知應(yīng)用提供商管理平臺生成從安 全域的公私密鑰對和證書；應(yīng)用提供商管理平臺生成從安全域的公私密鑰對和證書后，再 由卡發(fā)行商管理平臺通過智能卡主安全域?qū)陌踩蚬矫荑€對和證書發(fā)送給從安全域， 由此完成從安全域的密鑰分發(fā)。 在上述情況下，卡片發(fā)行商管理平臺負責(zé)密鑰數(shù)據(jù)的傳送時可以獲得發(fā)送的安全域密鑰數(shù)據(jù)，可能使用獲得的密鑰對從安全域執(zhí)行操作，這樣會對應(yīng)用提供商的電子支付 應(yīng)用安全造成威脅，因此，急需一種解決從安全域密鑰的分發(fā)不安全的問題的技術(shù)方案。

發(fā)明內(nèi)容
考慮到相關(guān)技術(shù)中由于卡片發(fā)行商管理平臺負責(zé)密鑰數(shù)據(jù)的傳送時可以獲得發(fā)
送的安全域密鑰數(shù)據(jù)而導(dǎo)致的從安全域密鑰的分發(fā)不安全的問題而提出本發(fā)明，為此，本 發(fā)明的主要目的在于提供一種密鑰分發(fā)方法和系統(tǒng)，以解決相關(guān)技術(shù)中存在的上述問題。 根據(jù)本發(fā)明的一個方面，提供了一種密鑰分發(fā)方法。 根據(jù)本發(fā)明的密鑰分發(fā)方法包括卡片發(fā)行商管理平臺生成應(yīng)用提供商對應(yīng)的從 安全域的初始密鑰，將初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到從安全域，并向應(yīng)用 提供商管理平臺發(fā)送從安全域的信息以及初始密鑰；應(yīng)用提供商管理平臺接收從安全域的 信息以及初始密鑰，并根據(jù)從安全域的信息以及初始密鑰通過業(yè)務(wù)終端選擇智能卡的從安 全域；應(yīng)用提供商管理平臺生成從安全域的公密鑰和私密鑰以及從安全域證書，并將公密 鑰和私密鑰以及從安全域證書加密后發(fā)送到從安全域。 其中，卡片發(fā)行商管理平臺生成初始密鑰的具體處理為應(yīng)用提供商管理平臺通 過業(yè)務(wù)終端判斷智能卡中是否存在對應(yīng)于應(yīng)用提供商的從安全域；在判斷為是的情況下， 智能卡中已存在應(yīng)用提供商的從安全域，不再進行安全域的創(chuàng)建和密鑰的分發(fā)過程；在判 斷為否的情況下，應(yīng)用提供商管理平臺通過卡片發(fā)行商管理平臺在智能卡上創(chuàng)建從安全 域，并由卡片發(fā)行商管理平臺生成初始密鑰。 其中，應(yīng)用提供商管理平臺通過卡片發(fā)行商管理平臺在智能卡上創(chuàng)建從安全域的
具體處理為卡片發(fā)行商管理平臺通過應(yīng)用提供商管理平臺與智能卡進行通信，選擇智能
卡的主安全域并與主安全域建立安全通道；卡片發(fā)行商管理平臺通過安全通道通知主安全
域建立應(yīng)用提供商對應(yīng)的從安全域；主安全域在智能卡上建立從安全域。 此外，在應(yīng)用提供商管理平臺接收卡片發(fā)行商管理平臺發(fā)送的從安全域的信息以
及初始密鑰之后，上述方法進一步包括應(yīng)用提供商管理平臺在其數(shù)據(jù)庫中記錄從安全域
的信息。 此外，在應(yīng)用提供商管理平臺根據(jù)從安全域的信息以及初始密鑰通過業(yè)務(wù)終端選 擇智能卡的從安全域之后，上述方法進一步包括應(yīng)用提供商管理平臺與從安全域建立安 全信道。 此外，在應(yīng)用提供商管理平臺將公密鑰和私密鑰以及從安全域證書經(jīng)過加密后發(fā) 送到從安全域之后，上述方法進一步包括從安全域?qū)⒊跏济荑€更新為公私密鑰，并將從安 全域證書寫入到從安全域。 根據(jù)本發(fā)明的另一方面，提供了一種密鑰分發(fā)系統(tǒng)。 根據(jù)本發(fā)明的密鑰分發(fā)系統(tǒng)包括卡片發(fā)行商管理平臺，包括，生成模塊，用于生 成與應(yīng)用提供商對應(yīng)的從安全域的初始密鑰；導(dǎo)入模塊，用于將初始密鑰、用于外部認證的 可信任根公鑰導(dǎo)入到從安全域；第一發(fā)送模塊，用于向應(yīng)用提供商管理平臺發(fā)送從安全域 的信息以及初始密鑰；應(yīng)用提供商管理平臺，包括接收模塊，用于接收卡片發(fā)行商管理平 臺的從安全域的信息以及初始密鑰；選擇模塊，用于根據(jù)從安全域的信息以及初始密鑰通 過業(yè)務(wù)終端選擇智能卡的從安全域；生成模塊，用于生成從安全域的公密鑰和私密鑰以及從安全域證書；第二發(fā)送模塊，用于將公密鑰和私密鑰以及從安全域證書加密后發(fā)送到從 安全域，完成從安全域密鑰的分發(fā)；業(yè)務(wù)終端，用于通過讀寫設(shè)備與智能卡建立通信，并建 立智能卡與應(yīng)用提供商管理平臺之間的連接；智能卡，位于移動終端，包括從安全域，其中 從安全域用于根據(jù)應(yīng)用提供商管理平臺發(fā)送的初始密鑰以及可信任根公鑰進行設(shè)置，并根 據(jù)應(yīng)用提供商管理平臺發(fā)送的公密鑰和私密鑰以及從安全域證書進行設(shè)置，并安裝從安全 域證書。 此外，應(yīng)用提供商管理平臺進一步包括判斷模塊，用于通過業(yè)務(wù)終端判斷智能卡 中是否存在對應(yīng)于應(yīng)用提供商的從安全域；創(chuàng)建模塊，用于在判斷為否的情況下，通過卡片 發(fā)行商管理平臺在智能卡上創(chuàng)建從安全域。 此外，應(yīng)用提供商管理平臺進一步包括記錄模塊，用于在接收卡片發(fā)行商管理平
臺發(fā)送的從安全域的信息以及初始密鑰之后，在其數(shù)據(jù)庫中記錄從安全域的信息。
此外，應(yīng)用提供商管理平臺進一步包括建立安全信道模塊，用于在根據(jù)從安全
域的信息以及初始密鑰通過業(yè)務(wù)終端選擇智能卡的從安全域之后，與從安全域建立安全信道。 借助于本發(fā)明的技術(shù)方案，通過應(yīng)用提供商的業(yè)務(wù)終端對從安全域密鑰進行分 發(fā)，解決了相關(guān)技術(shù)中由于卡片發(fā)行商管理平臺負責(zé)密鑰數(shù)據(jù)的傳送時可以獲得發(fā)送的安 全域密鑰數(shù)據(jù)而導(dǎo)致的從安全域密鑰的分發(fā)不安全的問題，能夠避免遭受其它潛在的安全 威脅和攻擊，提高了應(yīng)用提供商從安全域密鑰分發(fā)的安全性。 本發(fā)明的其它特征和優(yōu)點將在隨后的說明書中闡述，并且，部分地從說明書中變 得顯而易見，或者通過實施本發(fā)明而了解。本發(fā)明的目的和其他優(yōu)點可通過在所寫的說明 書、權(quán)利要求書、以及附圖中所特別指出的結(jié)構(gòu)來實現(xiàn)和獲得。


附圖用來提供對本發(fā)明的進一步理解，并且構(gòu)成說明書的一部分，與本發(fā)明的實 施例一起用于解釋本發(fā)明，并不構(gòu)成對本發(fā)明的限制。在附圖中
圖1是根據(jù)本發(fā)明實施例的密鑰分發(fā)系統(tǒng)的框圖；
圖2是根據(jù)本發(fā)明實施例的密鑰分發(fā)方法的流程圖； 圖3是根據(jù)本發(fā)明實施例的密鑰分發(fā)方法的詳細處理過程的信令流程圖。
具體實施方式

功能概述 在相關(guān)技術(shù)中，由于卡片發(fā)行商管理平臺負責(zé)密鑰數(shù)據(jù)的傳送時可以獲得發(fā)送的 安全域密鑰數(shù)據(jù)，會導(dǎo)致應(yīng)用提供商的從安全域密鑰的分發(fā)不安全的問題，因此，本發(fā)明提 供了一種密鑰分發(fā)方法和系統(tǒng)，具體包括卡片發(fā)行商管理平臺生成應(yīng)用提供商對應(yīng)的從 安全域的初始密鑰，將初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到從安全域，并向應(yīng)用 提供商管理平臺發(fā)送從安全域的信息以及初始密鑰；應(yīng)用提供商管理平臺接收從安全域的 信息以及初始密鑰，并根據(jù)從安全域的信息以及初始密鑰通過業(yè)務(wù)終端選擇智能卡的從安 全域；應(yīng)用提供商管理平臺生成從安全域的公密鑰和私密鑰以及從安全域證書，并將公密 鑰和私密鑰以及從安全域證書加密后發(fā)送到從安全域。
以下結(jié)合附圖對本發(fā)明的優(yōu)選實施例進行說明，應(yīng)當(dāng)理解，此處所描述的優(yōu)選實 施例僅用于說明和解釋本發(fā)明，并不用于限定本發(fā)明。
方法實施例
系統(tǒng)實施例 根據(jù)本發(fā)明的實施例，提供了一種密鑰分發(fā)系統(tǒng)，圖1是根據(jù)本發(fā)明實施例的密 鑰分發(fā)系統(tǒng)的框圖，目前，移動終端近距離電子支付系統(tǒng)的業(yè)務(wù)框架采用Global Platform 規(guī)范的多應(yīng)用框架，在支持Global Platform規(guī)范的智能卡上可以安裝多個應(yīng)用，并被分隔 為若干個獨立的安全域，以保證多個應(yīng)用相互之間的隔離以及獨立性，各個應(yīng)用提供商管 理各自的安全域以及應(yīng)用、應(yīng)用數(shù)據(jù)等，上述提到的支持Global Platform規(guī)范的智能卡指 的是符合環(huán)球平臺(GlobalPlatform，簡稱為GP)組織制定的環(huán)球平臺卡規(guī)范2. 1. 1或2. 2 版本(Global Platform Card Specification V2. 1. 1或V2. 2)的IC芯片或智能卡，從物 理形式上可以為SM/USIM卡、可插拔的智能存儲卡或者集成在移動終端上的IC芯片。
基于近場通信的移動終端電子支付系統(tǒng)的框架要求滿足GlobalPlatform Card Specification V2. 1. 1/V2. 2規(guī)范，如果該系統(tǒng)支持GP2. 1. 1規(guī)范，則安全通道協(xié)議就需 要支持基于對稱密鑰(SecurityChannel Protocol 02，簡稱為SCP02);如果該系統(tǒng)支持 GP2. 2規(guī)范，安全通道協(xié)議需要支持SCP02和基于非對稱密鑰(Security ChannelProtocol 10，簡稱為SCP10)，并且，卡片發(fā)行商、應(yīng)用提供商可以根據(jù)安全策略的需求進行選擇。
移動終端近距離支付系統(tǒng)從業(yè)務(wù)架構(gòu)上可以包括卡片發(fā)行商、應(yīng)用提供商和用 戶，其中 卡片發(fā)行商負責(zé)卡的發(fā)行和管理，擁有卡片管理系統(tǒng)、密鑰管理系統(tǒng)和證書管理 系統(tǒng)，其中，僅在支持非對稱密鑰情況下使用證書管理系統(tǒng)。此外，卡片發(fā)行商對卡的資源 和生命周期、密鑰、證書進行管理，對其他應(yīng)用提供商的安全域進行創(chuàng)建，并與其他安全域 交互應(yīng)用數(shù)據(jù)?？ㄆl(fā)行商也可以擁有應(yīng)用管理系統(tǒng)，負責(zé)卡片發(fā)行商自己的應(yīng)用或者其 負責(zé)托管的應(yīng)用的提供和管理功能?？ㄆl(fā)行商可擁有業(yè)務(wù)終端管理系統(tǒng)和業(yè)務(wù)終端，通 過業(yè)務(wù)終端向用戶提供服務(wù)。為了支持對應(yīng)用提供商的管理，卡片發(fā)行商可以擁有應(yīng)用提 供商管理系統(tǒng)，通過該系統(tǒng)記錄應(yīng)用提供商的有關(guān)信息，規(guī)定應(yīng)用提供商的業(yè)務(wù)權(quán)限等。
應(yīng)用提供商負責(zé)電子支付應(yīng)用的提供和管理功能，擁有應(yīng)用管理系統(tǒng)、密鑰管理 系統(tǒng)、證書管理系統(tǒng)，其中，僅在支持非對稱密鑰情況下使用證書管理系統(tǒng)。此外，應(yīng)用提 供商提供各種業(yè)務(wù)應(yīng)用，并對卡上與其對應(yīng)的安全域進行管理，對其安全域的應(yīng)用密鑰、證 書、數(shù)據(jù)等進行控制，提供應(yīng)用的安全下載功能。應(yīng)用提供商可以是運營商、銀行、公交公 司、零售商戶等。另外，應(yīng)用提供商可擁有業(yè)務(wù)終端管理系統(tǒng)和業(yè)務(wù)終端，通過業(yè)務(wù)終端向
用戶提供服務(wù)。 用戶負責(zé)電子支付應(yīng)用的下載、安裝和使用。用戶通過與卡片發(fā)行商或應(yīng)用提供 商交互，對移動終端和卡進行操作，在安全域內(nèi)下載及安裝新的應(yīng)用，使用提供的各種業(yè)務(wù) 應(yīng)用。 移動終端電子支付系統(tǒng)主要由卡片發(fā)行商管理平臺、應(yīng)用提供商管理平臺和移動 終端組成，系統(tǒng)中可以存在多個應(yīng)用提供商管理平臺。 移動終端中具備支持電子支付的智能卡，為了實現(xiàn)智能卡的安全性管理和支付應(yīng) 用的下載、安裝等，智能卡需要和卡片發(fā)行商管理平臺以及應(yīng)用提供商管理平臺建立通信，可以通過管理平臺的業(yè)務(wù)終端實現(xiàn)智能卡和管理平臺的連接，業(yè)務(wù)終端配置有非接觸讀卡 器或者直接讀取智能卡的讀卡器，并且業(yè)務(wù)終端可以和管理平臺建立通信，從而實現(xiàn)智能 卡和管理平臺的通信。 基于近場通信技術(shù)的移動終端電子支付系統(tǒng)支持多電子支付應(yīng)用，S卩，在智能卡 上可以安裝多個電子支付應(yīng)用。為了實現(xiàn)支付應(yīng)用的安全，智能卡采用Global Platform Card Specification V2. 1/V2. 2規(guī)范，智能卡被分隔為若干個獨立的安全域，以保證多個
應(yīng)用相互之間的隔離以及獨立性，各個應(yīng)用提供商管理各自的安全域以及應(yīng)用、應(yīng)用數(shù)據(jù)等。 下面，基于上述的系統(tǒng)構(gòu)架，對通過業(yè)務(wù)終端對從安全域密鑰進行分發(fā)的密鑰分 發(fā)系統(tǒng)進行詳細的說明，需要說明的是，本發(fā)明的密鑰分發(fā)系統(tǒng)為上述基于近場通信的移 動終端電子支付系統(tǒng)的一部分。 根據(jù)本發(fā)明的實施例，提供了一種密鑰分發(fā)系統(tǒng)，圖1是根據(jù)本發(fā)明實施例的密 鑰分發(fā)系統(tǒng)的框圖。如圖l所示，上述密鑰分發(fā)系統(tǒng)包括卡片發(fā)行商管理平臺10、應(yīng)用提供 商管理平臺12、應(yīng)用提供商的業(yè)務(wù)終端14、智能卡16(智能卡16位于移動終端內(nèi)，其中包 括主安全域和從安全域)。其中，應(yīng)用提供商需要具有業(yè)務(wù)終端管理系統(tǒng)和業(yè)務(wù)終端14，可 以通過業(yè)務(wù)終端14提供電子支付的有關(guān)服務(wù)。應(yīng)用提供商管理平臺12和卡片發(fā)行商管理 平臺IO之間通過專線或者Internet連接，卡片發(fā)行商管理平臺IO可以通過應(yīng)用提供商管 理平臺12及應(yīng)用提供商業(yè)務(wù)終端14和智能卡16建立通信。并且，智能卡16通過應(yīng)用提 供商的業(yè)務(wù)終端14和應(yīng)用提供商管理平臺12以及卡片發(fā)行商管理平臺10建立連接。下 面將對上述密鑰分發(fā)系統(tǒng)進行詳細的說明。 卡片發(fā)行商管理平臺10，包括生成模塊，用于生成與應(yīng)用提供商對應(yīng)的從安全 域的初始密鑰；導(dǎo)入模塊，用于將初始密鑰、用于外部認證的可信任根公鑰(可信任根公鑰 是由簽發(fā)應(yīng)用提供商證書的CA提供的，可以從應(yīng)用提供商管理平臺獲得，該公鑰用于從安 全域?qū)?yīng)用提供商的證書進行認證)導(dǎo)入到從安全域；第一發(fā)送模塊，用于向應(yīng)用提供商 管理平臺12發(fā)送從安全域的信息以及初始密鑰；并且，結(jié)合圖1所示的卡發(fā)行商管理平臺 10，可以將生成模塊、導(dǎo)入模塊、和第一發(fā)送模塊根據(jù)實際應(yīng)用需要，將上述一個或多個模 塊設(shè)置于卡片發(fā)行商管理平臺10的子系統(tǒng)中。 應(yīng)用提供商管理平臺12，包括接收模塊，用于接收卡片發(fā)行商管理平臺10的從 安全域的信息以及初始密鑰；選擇模塊，用于根據(jù)從安全域的信息以及初始密鑰通過業(yè)務(wù) 終端14選擇智能卡16的從安全域；生成模塊，用于生成從安全域的公密鑰和私密鑰以及從 安全域證書；第二發(fā)送模塊，用于將公密鑰和私密鑰以及從安全域證書加密后發(fā)送到從安 全域，完成從安全域密鑰的分發(fā)；并且，結(jié)合圖l所示的應(yīng)用提供商管理平臺12，可以將接 收模塊、選擇模塊、生成模塊、和第二發(fā)送模塊根據(jù)實際應(yīng)用需要，將上述一個或多個模塊 設(shè)置于應(yīng)用提供商管理平臺12的子系統(tǒng)中。 此外，應(yīng)用提供商管理平臺12進一步包括判斷模塊，用于通過業(yè)務(wù)終端14判斷 智能卡16中是否存在對應(yīng)于應(yīng)用提供商的從安全域；創(chuàng)建模塊，用于在判斷為否的情況 下，通過卡片發(fā)行商管理平臺10在智能卡16上創(chuàng)建從安全域。 此外，應(yīng)用提供商管理平臺12進一步包括記錄模塊，用于在接收卡片發(fā)行商管 理平臺10發(fā)送的從安全域的信息以及初始密鑰之后，在其數(shù)據(jù)庫中記錄從安全域的信息。
此外，應(yīng)用提供商管理平臺12進一步包括建立安全信道模塊，用于在根據(jù)從安 全域的信息以及初始密鑰通過業(yè)務(wù)終端14選擇智能卡16的從安全域之后，與從安全域建 立安全信道。 業(yè)務(wù)終端14，用于通過讀寫設(shè)備與智能卡16建立通信，并建立智能卡16與應(yīng)用提 供商管理平臺12之間的連接。 智能卡16，位于移動終端，包括從安全域，其中從安全域用于根據(jù)應(yīng)用提供商管理 平臺12發(fā)送的初始密鑰以及可信任根公鑰進行設(shè)置，并根據(jù)應(yīng)用提供商管理平臺12發(fā)送 的公密鑰和私密鑰以及從安全域證書進行設(shè)置，并安裝從安全域證書。 通過上述的處理，在卡片發(fā)行商管理平臺10將從安全域的基本信息和密鑰返回 給應(yīng)用提供商管理平臺后12，應(yīng)用提供商管理平臺12和從安全域之間重新進行密鑰分發(fā)， 這時應(yīng)用提供商管理平臺12和智能卡16之間的通信不再經(jīng)過卡片發(fā)行商管理平臺10傳 輸，而是經(jīng)過應(yīng)用提供商的業(yè)務(wù)終端14進行，實現(xiàn)了對卡片發(fā)行商管理平臺10的隔離，卡 片發(fā)行商管理平臺IO無法獲得應(yīng)用提供商從安全域在智能卡16上生成的從安全域密鑰。 另外，應(yīng)用提供商管理平臺12和智能卡16的通信處于一個封閉的環(huán)境內(nèi)，也可以避免遭受 其它潛在的安全威脅和攻擊。通過本發(fā)明可以實現(xiàn)應(yīng)用提供商從安全域密鑰分發(fā)的安全。
方法實施例 根據(jù)本發(fā)明的實施例，提供了一種密鑰分發(fā)方法，用于對應(yīng)用提供商的從安全域 進行密鑰分發(fā)。圖2是根據(jù)本發(fā)明實施例的密鑰分發(fā)方法的流程圖，如圖2所示，包括以下 處理(步驟S加2-步驟S加6): 步驟S202，卡片發(fā)行商管理平臺生成應(yīng)用提供商對應(yīng)的從安全域的初始密鑰，將 初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到從安全域，并向應(yīng)用提供商管理平臺發(fā)送 從安全域的信息以及初始密鑰。 其中，在步驟S202中，通過應(yīng)用提供商業(yè)務(wù)終端在智能卡中下載應(yīng)用提供商的電 子支付應(yīng)用以前，應(yīng)用提供商管理平臺通過業(yè)務(wù)終端判斷智能卡中是否存在對應(yīng)于應(yīng)用提 供商的從安全域；在判斷為是的情況下，智能卡中已經(jīng)存在應(yīng)用提供商對應(yīng)的安全域，而且 該安全域已經(jīng)進行了密鑰的分發(fā)，在這種情況下，不需要創(chuàng)建從安全域及進行密鑰的分發(fā)， 應(yīng)用提供商管理平臺可以將電子支付應(yīng)用下載到已存在的從安全域；在判斷為否的情況 下，應(yīng)用提供商管理平臺通過卡片發(fā)行商管理平臺在智能卡上創(chuàng)建從安全域，并由卡片發(fā) 行商管理平臺生成初始密鑰。 其中，應(yīng)用提供商管理平臺通過卡片發(fā)行商管理平臺在智能卡上創(chuàng)建從安全域的
具體處理為卡片發(fā)行商管理平臺通過應(yīng)用提供商管理平臺與智能卡進行通信，選擇智能
卡的主安全域并與主安全域建立安全通道；卡片發(fā)行商管理平臺通過安全通道通知主安全
域建立應(yīng)用提供商對應(yīng)的從安全域；主安全域在智能卡上建立從安全域。 步驟S204，應(yīng)用提供商管理平臺接收從安全域的信息以及初始密鑰，并根據(jù)從安
全域的信息以及初始密鑰通過業(yè)務(wù)終端選擇智能卡的從安全域。 在步驟S204中，在應(yīng)用提供商管理平臺接收卡片發(fā)行商管理平臺發(fā)送的從安全 域的信息以及初始密鑰之后，應(yīng)用提供商管理平臺在其數(shù)據(jù)庫中記錄從安全域的信息。
此外，在步驟S204中，在應(yīng)用提供商管理平臺根據(jù)從安全域的信息以及初始密鑰 通過業(yè)務(wù)終端選擇智能卡的從安全域之后，應(yīng)用提供商管理平臺與從安全域建立安全信道。 步驟S206，應(yīng)用提供商管理平臺生成從安全域的公密鑰和私密鑰以及從安全域證 書，并將公密鑰和私密鑰以及從安全域證書加密后發(fā)送到從安全域。 在步驟S206中，在應(yīng)用提供商管理平臺將公密鑰和私密鑰以及從安全域證書經(jīng) 過加密后發(fā)送到從安全域之后，上述方法進一步包括從安全域?qū)⒊跏济荑€更新為公私密 鑰，并將從安全域證書寫入到從安全域。 下面，結(jié)合實例，對本發(fā)明的上述技術(shù)方案進行詳細的說明，如圖3所示，圖3是根 據(jù)本發(fā)明實施例的密鑰分發(fā)方法的詳細處理過程的信令流程圖，需要說明的是，盡管下面 將以圖1所示的移動終端電子支付系統(tǒng)架構(gòu)為例進行描述，但本發(fā)明的應(yīng)用場景不限于圖 1所示移動終端電子支付系統(tǒng)架構(gòu)。 在本實例中，應(yīng)用提供商業(yè)務(wù)終端可以是應(yīng)用提供商營業(yè)場所的計算機設(shè)備，可 以參與處理電子支付用戶信息管理、從安全域創(chuàng)建、密鑰更新、電子支付應(yīng)用下載等業(yè)務(wù)終 端。并且，終端可以通過應(yīng)用提供商的業(yè)務(wù)終端管理系統(tǒng)連接到應(yīng)用提供商管理平臺，業(yè)務(wù) 終端與應(yīng)用提供商管理平臺之間的連接可以采用專線或者Internet的形式進行連接。業(yè) 務(wù)終端配置有非接觸式讀卡器或者直接讀取智能卡的讀寫設(shè)備，業(yè)務(wù)終端可以通過讀寫設(shè) 備與智能卡建立通信。 在實例中，應(yīng)用提供商管理平臺和卡片發(fā)行商管理之間通過專線或者Internet 連接，卡片發(fā)行商管理平臺可以通過應(yīng)用提供商管理平臺及應(yīng)用提供商業(yè)務(wù)終端和智能卡 建立通信。 并且，通過應(yīng)用提供商業(yè)務(wù)終端可以完成電子支付應(yīng)用的業(yè)務(wù)申請和下載。在進 行電子支付應(yīng)用下載前，需要檢查智能卡中是否存在屬于該應(yīng)用提供商的從安全域。具體 的檢查方式如下 1、通過業(yè)務(wù)終端讀取智能卡的特征信息ICCID，然后應(yīng)用提供商管理平臺根據(jù) ICCID在系統(tǒng)的已創(chuàng)建從安全域的智能卡數(shù)據(jù)庫中檢索該智能卡是否已經(jīng)創(chuàng)建自己的從安 全域。 2、當(dāng)應(yīng)用提供商在每個智能卡上的從安全域的ID相同時，可以向智能卡發(fā)送
SELECT報文，報文中的對象參數(shù)為從安全域ID，如果智能卡返回的SELECT RESPONSE中指
示對應(yīng)的從安全域不存在時，可以判斷該智能卡上不存在應(yīng)用提供商的從安全域。 并且，如果不存在該應(yīng)用提供商的從安全域，需要先進行從安全域的創(chuàng)建和從安
全域的密鑰分發(fā)過程。 下面將結(jié)合圖3，詳細說明應(yīng)用提供商的從安全域的創(chuàng)建和密鑰分發(fā)過程，包括以 下處理 1、應(yīng)用提供商業(yè)務(wù)終端讀取智能卡的標(biāo)識信息，如智能卡的ICCID，然后將智能卡 標(biāo)識信息發(fā)送給應(yīng)用提供商管理平臺。 2、應(yīng)用提供商管理平臺向卡片發(fā)行商管理平臺發(fā)送從安全域創(chuàng)建請求，在請求報 文中包括應(yīng)用提供商ID(ASP_ID)和智能卡標(biāo)識信息ICCID等。 3、卡片發(fā)行商管理平臺收到從安全域創(chuàng)建請求后，驗證從安全域創(chuàng)建請求信息， 并確定是否允許該請求，卡片發(fā)行商可以根據(jù)應(yīng)用提供商的業(yè)務(wù)權(quán)限等確定是否允許通過 應(yīng)用提供商管理平臺創(chuàng)建從安全域。
4、卡片發(fā)行商管理平臺確認可以通過應(yīng)用提供商管理平臺創(chuàng)建從安全域后，卡片 發(fā)行商管理平臺根據(jù)智能卡ICCID在平臺內(nèi)的數(shù)據(jù)庫中檢索該智能卡的相關(guān)信息，包括智 能卡主安全域ID(ISD_ID)等。 5、卡片發(fā)行商管理平臺通過應(yīng)用提供商管理平臺向智能卡發(fā)送SELECT報文，選 擇智能卡的主安全域。 6、卡片發(fā)行商管理平臺和智能卡主安全域按照Global PlatformCard Specification V2. 2附錄F Secure Channel Protocol 10的要求建立SCP10安全信道，完 成雙方的認證及對話密鑰的協(xié)商。 7、卡片發(fā)行商管理平臺向主安全域發(fā)送從安全域創(chuàng)建報文INSTALL[for Install]。主安全域按照報文創(chuàng)建從安全域，完成創(chuàng)建后，主安全域發(fā)送INSTALL Response 給卡片發(fā)行商管理平臺。 8、卡片發(fā)行商管理平臺接收到從安全域創(chuàng)建響應(yīng)并確認從安全域已創(chuàng)建后，生成 從安全域的初始公私密鑰對(對應(yīng)于圖2中的步驟S202)。 9、卡片發(fā)行商管理平臺通過PUT KEY報文將從安全域的公私鑰和外部認證使用的 可信任根公鑰(One Public Key for Trust Pointfor External Authentication,PK. TP— EX. AUT)發(fā)送給智能卡主安全域(對應(yīng)于圖2中的步驟S202)。 10、智能卡主安全域?qū)陌踩虻某跏脊借€和PK. TP_EX. AUT發(fā)送給從安全域， 從安全域進行初始公私鑰和PK. TP_EX. AUT的設(shè)置，然后發(fā)送PUT KEY RESPONSE給卡片發(fā) 行商管理平臺(對應(yīng)于圖2中的步驟S202)。 11、卡片發(fā)行商管理平臺將創(chuàng)建的從安全域的基本信息和智能卡的公私密鑰對發(fā)
送給應(yīng)用提供商管理平臺(對應(yīng)于圖2中的步驟S202)。 12、應(yīng)用提供商管理平臺在數(shù)據(jù)庫中添加從安全域的相關(guān)信息。 13、應(yīng)用提供商管理平臺通過應(yīng)用提供商業(yè)務(wù)終端向智能卡發(fā)送SELECT報文，選
擇由卡片發(fā)行商管理平臺創(chuàng)建的從安全域(對應(yīng)于圖2中的步驟S204)。 14、應(yīng)用提供商管理平臺和從安全域按照Global Platform CardSpecification
V2. 2附錄F Secure Channel Protocol ' 10'的要求建立SCP10安全信道，完成從安全域?qū)?br> 應(yīng)用提供商管理平臺的認證和對話密鑰的協(xié)商(對應(yīng)于圖2中的步驟S204)。 15、應(yīng)用提供商管理平臺生成從安全域的公鑰和私鑰，應(yīng)用提供商管理平臺中的
證書管理系統(tǒng)將從安全域的公鑰和證書申請信息發(fā)給應(yīng)用提供商CA，由CA簽發(fā)從安全域
證書(對應(yīng)于圖2中的步驟S206)。 16、應(yīng)用提供商管理平臺通過PUT KEY報文，將從安全域公私鑰、證書發(fā)送給從安 全域。為了保證數(shù)據(jù)的安全，在PUT KEY報文中，需要使用對話密鑰將從安全域公私鑰和證 書進行加密(對應(yīng)于圖2中的步驟S206)。 17、從安全域使用對話密鑰將報文進行解密，獲得應(yīng)用提供商管理平臺發(fā)送的公 私密鑰對和從安全域證書；從安全域?qū)⒂煽ㄆl(fā)行商管理平臺生成的初始公私鑰更新為由 應(yīng)用提供商管理平臺生成的公私鑰并安裝從安全域的證書。 在進行上述的處理后，應(yīng)用提供商管理平臺和從安全域之間可以繼續(xù)進行電子支 付應(yīng)用的下載和安裝等過程。 綜上所述，借助于本發(fā)明的技術(shù)方案，通過應(yīng)用提供商的業(yè)務(wù)終端對從安全域密鑰進行分發(fā)，解決了相關(guān)技術(shù)中由于卡片發(fā)行商管理平臺負責(zé)密鑰數(shù)據(jù)的傳送時可以獲得發(fā)送的安全域密鑰數(shù)據(jù)而導(dǎo)致的從安全域密鑰的分發(fā)不安全的問題，能夠避免遭受其它潛在的安全威脅和攻擊，提高了應(yīng)用提供商從安全域密鑰分發(fā)的安全性。以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進等，均應(yīng)包含在本發(fā)明的保護范圍之內(nèi)。
權(quán)利要求
一種密鑰分發(fā)方法，其特征在于，所述方法包括卡片發(fā)行商管理平臺生成應(yīng)用提供商對應(yīng)的從安全域的初始密鑰，將所述初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到所述從安全域，并向應(yīng)用提供商管理平臺發(fā)送所述從安全域的信息以及所述初始密鑰；所述應(yīng)用提供商管理平臺接收所述從安全域的信息以及所述初始密鑰，并根據(jù)所述從安全域的信息以及所述初始密鑰通過所述業(yè)務(wù)終端選擇所述智能卡的從安全域；所述應(yīng)用提供商管理平臺生成所述從安全域的公密鑰和私密鑰以及從安全域證書，并將所述公密鑰和所述私密鑰以及所述從安全域證書加密后發(fā)送到所述從安全域。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述卡片發(fā)行商管理平臺生成所述初始 密鑰的具體處理為所述應(yīng)用提供商管理平臺通過所述業(yè)務(wù)終端判斷智能卡中是否存在對應(yīng)于所述應(yīng)用 提供商的從安全域；在判斷為是的情況下，所述智能卡中已存在所述應(yīng)用提供商的從安全域，不再進行安 全域的創(chuàng)建和密鑰的分發(fā)過程；在判斷為否的情況下，所述應(yīng)用提供商管理平臺通過所述卡片發(fā)行商管理平臺在所述 智能卡上創(chuàng)建所述從安全域，并由所述卡片發(fā)行商管理平臺生成所述初始密鑰。
3. 根據(jù)權(quán)利要求2所述的方法，其特征在于，所述應(yīng)用提供商管理平臺通過所述卡片 發(fā)行商管理平臺在所述智能卡上創(chuàng)建所述從安全域的具體處理為所述卡片發(fā)行商管理平臺通過所述應(yīng)用提供商管理平臺與所述智能卡進行通信，選擇 所述智能卡的主安全域并與所述主安全域建立安全通道；所述卡片發(fā)行商管理平臺通過所述安全通道通知所述主安全域建立所述應(yīng)用提供商 對應(yīng)的從安全域；所述主安全域在所述智能卡上建立所述從安全域。
4. 根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述應(yīng)用提供商管理平臺接收所述卡 片發(fā)行商管理平臺發(fā)送的所述從安全域的信息以及所述初始密鑰之后，所述方法進一步包 括所述應(yīng)用提供商管理平臺在其數(shù)據(jù)庫中記錄所述從安全域的信息。
5. 根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述應(yīng)用提供商管理平臺根據(jù)所述從 安全域的信息以及所述初始密鑰通過所述業(yè)務(wù)終端選擇所述智能卡的從安全域之后，所述 方法進一步包括所述應(yīng)用提供商管理平臺與所述從安全域建立安全信道。
6. 根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述應(yīng)用提供商管理平臺將所述公密 鑰和所述私密鑰以及所述從安全域證書經(jīng)過加密后發(fā)送到所述從安全域之后，所述方法進 一步包括所述從安全域?qū)⑺龀跏济荑€更新為所述公私密鑰，并將所述從安全域證書寫入到所 述從安全域。
7. —種密鑰分發(fā)系統(tǒng)，其特征在于包括 卡片發(fā)行商管理平臺，包括生成模塊，用于生成與應(yīng)用提供商對應(yīng)的從安全域的初始密鑰；導(dǎo)入模塊，用于將所述初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到所述從安全域；第一發(fā)送模塊，用于向應(yīng)用提供商管理平臺發(fā)送所述從安全域的信息以及所述初始密鑰；所述應(yīng)用提供商管理平臺，包括接收模塊，用于接收所述卡片發(fā)行商管理平臺的所述從安全域的信息以及所述初始密鑰；選擇模塊，用于根據(jù)所述從安全域的信息以及所述初始密鑰通過所述業(yè)務(wù)終端選擇所 述智能卡的從安全域；生成模塊，用于生成所述從安全域的公密鑰和私密鑰以及從安全域證書；第二發(fā)送模塊，用于將所述公密鑰和所述私密鑰以及所述從安全域證書加密后發(fā)送到 所述從安全域，完成從安全域密鑰的分發(fā)；所述業(yè)務(wù)終端，用于通過讀寫設(shè)備與智能卡建立通信，并建立所述智能卡與所述應(yīng)用 提供商管理平臺之間的連接；所述智能卡，位于移動終端，包括所述從安全域，其中所述從安全域用于根據(jù)所述應(yīng)用 提供商管理平臺發(fā)送的所述初始密鑰以及所述可信任根公鑰進行設(shè)置，并根據(jù)所述應(yīng)用提 供商管理平臺發(fā)送的所述公密鑰和所述私密鑰以及所述從安全域證書進行設(shè)置，并安裝所 述從安全域證書。
8. 根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述應(yīng)用提供商管理平臺進一步包括 判斷模塊，用于通過所述業(yè)務(wù)終端判斷所述智能卡中是否存在對應(yīng)于所述應(yīng)用提供商的從安全域；創(chuàng)建模塊，用于在判斷為否的情況下，通過所述卡片發(fā)行商管理平臺在所述智能卡上 創(chuàng)建所述從安全域。
9. 根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述應(yīng)用提供商管理平臺進一步包括 記錄模塊，用于在接收所述卡片發(fā)行商管理平臺發(fā)送的所述從安全域的信息以及所述初始密鑰之后，在其數(shù)據(jù)庫中記錄所述從安全域的信息。
10. 根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述應(yīng)用提供商管理平臺進一步包括 建立安全信道模塊，用于在根據(jù)所述從安全域的信息以及所述初始密鑰通過所述業(yè)務(wù)終端選擇所述智能卡的從安全域之后，與所述從安全域建立安全信道。
全文摘要
本發(fā)明公開了一種密鑰分發(fā)方法和系統(tǒng)，該方法包括卡片發(fā)行商管理平臺生成應(yīng)用提供商對應(yīng)的從安全域的初始密鑰，將初始密鑰、用于外部認證的可信任根公鑰導(dǎo)入到從安全域，并向應(yīng)用提供商管理平臺發(fā)送從安全域的信息以及初始密鑰；應(yīng)用提供商管理平臺接收從安全域的信息以及初始密鑰，并根據(jù)從安全域的信息以及初始密鑰通過業(yè)務(wù)終端選擇智能卡的從安全域；應(yīng)用提供商管理平臺生成從安全域的公密鑰和私密鑰以及從安全域證書，并將公密鑰和私密鑰以及從安全域證書加密后發(fā)送到從安全域。通過上述處理，能夠提高從安全域密鑰分發(fā)的安全性。
文檔編號H04L9/30GK101729503SQ200810172970
公開日2010年6月9日 申請日期2008年10月23日 優(yōu)先權(quán)日2008年10月23日
發(fā)明者馬景旺 申請人:中興通訊股份有限公司