支持多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端的移動(dòng)裝置和對(duì)應(yīng)的方法
【專(zhuān)利摘要】本發(fā)明在一個(gè)方面公開(kāi)了用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的方法與裝置，以及一種分層安全軟件協(xié)議。在一個(gè)不例性實(shí)施例中，服務(wù)器電子通用集成電路卡（eUICC)和客戶(hù)端elliCC軟件包括所謂的軟件層的“堆?！?。每個(gè)軟件層負(fù)責(zé)一組分級(jí)功能，與其對(duì)應(yīng)的對(duì)等軟件層協(xié)商該功能。分層安全軟件協(xié)議被配置用于大規(guī)模分發(fā)電子用戶(hù)身份模塊（eSIM)。
【專(zhuān)利說(shuō)明】支持多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端的移動(dòng)裝置和對(duì)應(yīng)的方法
[0001] 優(yōu)先權(quán)
[0002] 本專(zhuān)利申請(qǐng)要求2013年2月14日與本專(zhuān)利申請(qǐng)同時(shí)提交的名稱(chēng)為"METHODS AND APPARATUS FOR LARGE SCALE DISTRIBUTION OF ELECTRONIC ACCESS CLIENTS"的美國(guó)專(zhuān)利 申請(qǐng)13/767, 593的優(yōu)先權(quán)，該專(zhuān)利申請(qǐng)要求2012年2月14日提交的名稱(chēng)為"METHODS AND APPARATUS FOR LARGE SCALE DISTRIBUTION OF ELECTRONIC ACCESS CLIENTS"的美國(guó)臨時(shí) 專(zhuān)利申請(qǐng)61/598, 819的優(yōu)先權(quán)，在此通過(guò)引用將上述每個(gè)申請(qǐng)全文并入本文。
[0003] 相關(guān)專(zhuān)利申請(qǐng)
[0004] 本專(zhuān)利申請(qǐng)涉及2012年4月26日提交的名稱(chēng)為"ELECTRONIC ACCESS CLIENT DISTRIBUTION APPARATUS AND METHODS"的共同擁有且共同未決的美國(guó)專(zhuān)利申請(qǐng) 13/457,333 ;2012年5 月 4 日提交的名稱(chēng)為 "METHODS AND APPARATUS FOR PROVIDING MANAGEMENT CAPABILITIES FOR ACCESS CONTROL CLIENTS" 的美國(guó)專(zhuān)利申請(qǐng) 13/464, 677; 2011 年4月 27 日提交的名稱(chēng)為"APPARATUS AND METHODS FOR DISTRIBUTING AND STORING ELECTRONIC ACCESS CLIENTS"的美國(guó)專(zhuān)利申請(qǐng)13/095, 716 ;2011年4月5日提交的名 稱(chēng)為 "APPARATUS AND METHODS FOR CONTROLLING DISTRIBUTION OF ELECTRONIC ACCESS CLIENTS"的美國(guó)專(zhuān)利申請(qǐng)13/080,558 ;2010年11月22日提交的名稱(chēng)為"WIRELESS NETWORK AUTHENTICATION APPARATUS AND METHODS"的美國(guó)專(zhuān)利申請(qǐng) 12/952,082 ;2010 年 11 月 22 日提交的名稱(chēng)為 "METHODS FOR PROVISIONING SUBSCRIBER IDENTITY DATA IN A WIRELESS NETWORK"的美國(guó)專(zhuān)利申請(qǐng)12/952, 089 ;2011年7月14日提交的名稱(chēng)為"VIRTUAL SUBSCRIBER IDENTITY MODULE DISTRIBUTION SYSTEM" 的美國(guó)專(zhuān)利申請(qǐng) 13/183, 023 ; 2009年1月13日提交的名稱(chēng)為"POSTPONED CARRIER CONFI⑶RATION"的美國(guó)專(zhuān)利申 請(qǐng) 12/353,227 ;2011 年4 月 25 日提交的名稱(chēng)為 "APPARATUS AND METHODS FOR STORING ELECTRONIC ACCESS CLIENTS"的美國(guó)專(zhuān)利申請(qǐng)13/093, 722 ;2011年5月17日提交的名稱(chēng) 為 "METHODS AND APPARATUS FOR ACCESS CONTROL CLIENT ASSISTED ROAMING" 的美國(guó)專(zhuān) 利申請(qǐng) 13/109,851 ;2011 年 4 月 4 日提交的名稱(chēng)為 "MANAGEMENT SYSTEMS FOR MULTIPLE ACCESS CONTROL ENTITIES"的美國(guó)專(zhuān)利申請(qǐng)13/079,614 ;2011年5月19日提交的名稱(chēng) 為"METHODS AND APPARATUS FOR DELIVERING ELECTRONIC IDENTIFICATION COMPONENTS OVER A WIRELESS NETWORK"的美國(guó)專(zhuān)利申請(qǐng)13/111,801 ;2011年4月5日提交的名稱(chēng)為 "METHODS AND APPARATUS FOR STORAGE AND EXECUTION OF ACCESS CONTROL CLIENTS" 的 美國(guó)專(zhuān)利申請(qǐng)13/080,521 ;2011年4月1日提交的名稱(chēng)為"ACCESS DATA PROVISIONING APPARATUS AND METHODS"的美國(guó)專(zhuān)利申請(qǐng)13/078,811 ;2011年11月2日提交的名稱(chēng)為 "METHODS AND APPARATUS FOR ACCESS DATA RECOVERY FROM A MALFUNCTIONING DEVICE" 的美國(guó)專(zhuān)利申請(qǐng)13/287,874;2011年4月5日提交的名稱(chēng)為"SMULACRUM OF PHYSICAL SECURITY DEVICE AND METHODS" 的美國(guó)專(zhuān)利申請(qǐng) 13/080, 533 ;以及 2011 年 11 月 11 日 提交的名稱(chēng)為 "APPARATUS AND METHODS FOR RECORDATION OF DEVICE HISTORY ACROSS MULTIPLE SOFTWARE EMULATION"的美國(guó)專(zhuān)利申請(qǐng)13/294, 631，在此通過(guò)引用將上述每個(gè)申 請(qǐng)全文并入本文。

【背景技術(shù)】
[0005] 1.摶術(shù)領(lǐng)域
[0006] 本公開(kāi)整體涉及無(wú)線(xiàn)通信和數(shù)據(jù)網(wǎng)絡(luò)領(lǐng)域。更具體地講，本發(fā)明特別涉及用于大 規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的方法與裝置。
[0007] 2.相關(guān)領(lǐng)域
[0008] 在最新的無(wú)線(xiàn)電設(shè)備通信系統(tǒng)中需要訪(fǎng)問(wèn)控制來(lái)實(shí)現(xiàn)安全通信。例如，一種簡(jiǎn)單 的訪(fǎng)問(wèn)控制方案可以包括：（i)驗(yàn)證通信方的身份；以及（ii)授予與被驗(yàn)證身份相稱(chēng)的訪(fǎng) 問(wèn)水平。在示例性蜂窩系統(tǒng)（如通用移動(dòng)電信系統(tǒng)（UMTS))的語(yǔ)境中，訪(fǎng)問(wèn)控制受到訪(fǎng)問(wèn) 控制客戶(hù)端的管控，訪(fǎng)問(wèn)控制客戶(hù)端稱(chēng)為通用用戶(hù)身份模塊（USIM)，在物理通用集成電路 卡（UICC)(也稱(chēng)為"SM卡"）上執(zhí)行。USM訪(fǎng)問(wèn)控制客戶(hù)端認(rèn)證UMTS蜂窩網(wǎng)絡(luò)的用戶(hù)。 在成功認(rèn)證之后，允許用戶(hù)訪(fǎng)問(wèn)蜂窩網(wǎng)絡(luò)。如下文中使用的，術(shù)語(yǔ)"訪(fǎng)問(wèn)控制客戶(hù)端"一般 是指實(shí)現(xiàn)于硬件或軟件中，適于控制第一設(shè)備訪(fǎng)問(wèn)網(wǎng)絡(luò)的邏輯實(shí)體。訪(fǎng)問(wèn)控制客戶(hù)端的常 見(jiàn)實(shí)例包括上述USIM、CDMA用戶(hù)身份模塊（CSM)、IP多媒體服務(wù)身份模塊（ISM)、用戶(hù)身 份模塊（SM)、可移除用戶(hù)身份模塊（RUM)等。
[0009] 以前基于SIM卡的方法會(huì)遭受若干無(wú)法奏效的情況。例如，傳統(tǒng)的僅支持單 個(gè)USM(或更一般地"SM"）訪(fǎng)問(wèn)控制客戶(hù)端。如果用戶(hù)希望利用不同的SM認(rèn)證到蜂窩 網(wǎng)絡(luò)，用戶(hù)必須用不同的SM卡物理地交換設(shè)備中的SM卡。一些設(shè)備已經(jīng)被設(shè)計(jì)為同時(shí) 容納兩個(gè)SM卡（雙SM電話(huà)）；不過(guò)，這樣的雙SM電話(huà)未解決SM卡設(shè)備的根本物理限 制問(wèn)題。例如，不能容易地將一個(gè)SIM卡之內(nèi)存儲(chǔ)的信息與另一個(gè)SIM卡之內(nèi)存儲(chǔ)的信息 合并?，F(xiàn)有的雙SIM設(shè)備不能同時(shí)訪(fǎng)問(wèn)兩個(gè)SIM卡的內(nèi)容。
[0010] 此外，訪(fǎng)問(wèn)SM卡需要用戶(hù)花費(fèi)大量時(shí)間；在SM卡之間切換以傳送信息是不合需 要的，在傳統(tǒng)和雙SIM設(shè)備中都存在此情況。
[0011] 此外，現(xiàn)有的SIM卡發(fā)行者和激活實(shí)體一般是特定于網(wǎng)絡(luò)的，對(duì)于不同網(wǎng)絡(luò)中的 不同用戶(hù)不是普遍存在的。具體地講，給定網(wǎng)絡(luò)之內(nèi)的給定用戶(hù)必須要從被授權(quán)發(fā)放SIM 的非常特定的實(shí)體激活其電話(huà)或獲得替換用SIM卡。這可能極大地限制用戶(hù)迅速獲得有效 訪(fǎng)問(wèn)權(quán)的能力，諸如在跨其他網(wǎng)絡(luò)漫游、交換其電話(huà)等時(shí)。
[0012] 最近，已經(jīng)由諸如其受讓人開(kāi)發(fā)出電子SM(所謂的eSM)。這些電子SM在與另 一 eSIM換出、傳送到另一設(shè)備等方面提供了增強(qiáng)的靈活性。然而，用于分發(fā)和激活SIM的 現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)沒(méi)有跟上這些發(fā)展的步伐。
[0013] 因此，需要新的解決方案和基礎(chǔ)結(jié)構(gòu)來(lái)利用電子訪(fǎng)問(wèn)客戶(hù)端（如eSIM)提供的增 強(qiáng)靈活性并支持其安全且普遍的分發(fā)。


【發(fā)明內(nèi)容】

[0014] 本公開(kāi)尤其涉及用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端。
[0015] 首先，公開(kāi)了一種用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的方法。在一個(gè)不例性實(shí) 施例中，該方法包括：建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)；確定一個(gè)或多個(gè)電 子訪(fǎng)問(wèn)控制客戶(hù)端是否先前未被復(fù)制過(guò)；對(duì)一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端加密以傳送到 第二設(shè)備；以及交換加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端。
[0016] 還公開(kāi)了一種用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的裝置。在一個(gè)示例性實(shí)施例 中，該裝置包括：處理器；以及非暫態(tài)計(jì)算機(jī)可讀介質(zhì)，其包括指令，所述指令在由處理器 執(zhí)行時(shí)：建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)；確定一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客 戶(hù)端是否先前未被復(fù)制過(guò)；對(duì)一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端加密以傳送到第二設(shè)備；以 及交換加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端。
[0017] 還公開(kāi)了一種用于處理電子訪(fǎng)問(wèn)控制客戶(hù)端的移動(dòng)設(shè)備。在一個(gè)實(shí)施例中，該設(shè) 備包括：被配置為與無(wú)線(xiàn)網(wǎng)絡(luò)通信的無(wú)線(xiàn)接口；與接口進(jìn)行數(shù)據(jù)通信的處理器；以及與接 口進(jìn)行數(shù)據(jù)通信的安全元件。在一個(gè)變體中，安全元件包括：安全處理器；與安全處理器進(jìn) 行數(shù)據(jù)通信并存儲(chǔ)有多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端的安全存儲(chǔ)裝置，訪(fǎng)問(wèn)控制客戶(hù)端能夠用于至少 向無(wú)線(xiàn)網(wǎng)絡(luò)進(jìn)行認(rèn)證；以及與安全處理器進(jìn)行數(shù)據(jù)通信的邏輯，該邏輯被配置為存儲(chǔ)、訪(fǎng)問(wèn) 以及向或從用戶(hù)移動(dòng)裝置傳送多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端；以及用戶(hù)接口邏輯，其至少與安全元 件通信并被配置為使用戶(hù)移動(dòng)裝置的用戶(hù)能夠選擇所存儲(chǔ)的多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端之一，并 向網(wǎng)絡(luò)認(rèn)證該用戶(hù)移動(dòng)裝置以便能夠與網(wǎng)絡(luò)進(jìn)行通信。
[0018] 還公開(kāi)了一種無(wú)線(xiàn)系統(tǒng)。
[0019] 此外，公開(kāi)了 一種計(jì)算機(jī)可讀裝置。在一個(gè)實(shí)施例中，該裝置包括存儲(chǔ)有設(shè)置于其 上的計(jì)算機(jī)程序的存儲(chǔ)介質(zhì)，該程序被配置為在被執(zhí)行時(shí)：分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端。
[0020] 此外，公開(kāi)了一種用于提供具有電子訪(fǎng)問(wèn)客戶(hù)端的無(wú)線(xiàn)移動(dòng)設(shè)備的網(wǎng)絡(luò)架構(gòu)。在 一個(gè)實(shí)施例中，該架構(gòu)包括：多個(gè)代理人；以及與多個(gè)代理人進(jìn)行數(shù)據(jù)通信的多個(gè)制造商。 在一個(gè)變體中，給定的用戶(hù)移動(dòng)設(shè)備能夠由代理人中的多個(gè)提供服務(wù)；并且代理人中的任 一個(gè)能夠從一個(gè)或多個(gè)制造商訂購(gòu)電子訪(fǎng)問(wèn)客戶(hù)端。
[0021] 還公開(kāi)了用于向一個(gè)或多個(gè)移動(dòng)設(shè)備提供電子訪(fǎng)問(wèn)客戶(hù)端的裝置。在一個(gè)實(shí)施 例中，該裝置包括：至少一個(gè)處理器；以及與至少一個(gè)處理器進(jìn)行數(shù)據(jù)通信的第一邏輯，第 一邏輯被配置為使得裝置執(zhí)行對(duì)訪(fǎng)問(wèn)客戶(hù)端的加密與解密；與至少一個(gè)處理器進(jìn)行數(shù)據(jù)通 信的第二邏輯，第二邏輯被配置為使得裝置確保訪(fǎng)問(wèn)客戶(hù)端不是復(fù)制的；以及與至少一個(gè) 處理器進(jìn)行數(shù)據(jù)通信的第三邏輯，第三邏輯被配置為使得裝置建立訪(fǎng)問(wèn)客戶(hù)端的用戶(hù)的信 任、所有權(quán)和/或驗(yàn)證的至少一個(gè)。
[0022] 還公開(kāi)了一種電子訪(fǎng)問(wèn)控制客戶(hù)端撤消過(guò)程。在一個(gè)實(shí)施例中，該過(guò)程包括：確定 頒發(fā)證書(shū)的簽署證書(shū)管理機(jī)構(gòu)是否受影響，證書(shū)與存儲(chǔ)證書(shū)的一個(gè)或多個(gè)設(shè)備相關(guān)聯(lián)；在 創(chuàng)建對(duì)證書(shū)的初始請(qǐng)求時(shí)，在一個(gè)或多個(gè)設(shè)備處確定創(chuàng)建的證書(shū)服務(wù)請(qǐng)求；利用所確定的 證書(shū)服務(wù)請(qǐng)求請(qǐng)求新的證書(shū)；以及基于請(qǐng)求頒發(fā)新的證書(shū)。在一個(gè)變體中，一個(gè)或多個(gè)設(shè)備 能夠使用先前使用的私鑰作為請(qǐng)求的一部分，頒發(fā)包含與先前私鑰對(duì)應(yīng)的先前公鑰的新的 證書(shū)。
[0023] 本領(lǐng)域的普通技術(shù)人員參考如下附圖和示例性實(shí)施例的詳細(xì)描述將會(huì)立即認(rèn)識(shí) 到本公開(kāi)的其他特征和優(yōu)點(diǎn)。

【專(zhuān)利附圖】

【附圖說(shuō)明】
[0024] 圖1是可結(jié)合本公開(kāi)各方面使用的一種示例性電子通用集成電路卡（enCC)的邏 輯框圖。
[0025] 圖2是可結(jié)合本公開(kāi)各方面使用的一種示例性電子用戶(hù)身份模塊（eSIM)目錄結(jié) 構(gòu)的邏輯框圖。
[0026] 圖3是表示可結(jié)合本公開(kāi)各方面使用的用于用戶(hù)身份模塊（SIM)專(zhuān)用文件（SDF) 的一種示例性狀態(tài)機(jī)的邏輯框圖。
[0027] 圖4是表示可結(jié)合本公開(kāi)各方面使用的用于eSIM操作的一種示例性狀態(tài)機(jī)的邏 輯框圖。
[0028] 圖5是可結(jié)合本公開(kāi)各種實(shí)施例使用的一種示例性eSM代理人網(wǎng)絡(luò)的圖示。
[0029] 圖6是可結(jié)合本公開(kāi)各種實(shí)施例使用的一種示例性分層安全協(xié)議的邏輯框圖。
[0030] 圖7是可結(jié)合本公開(kāi)各方面使用的包括三（3)部分的一種示例性數(shù)據(jù)結(jié)構(gòu)的圖 /_J、1 〇
[0031] 圖8是可結(jié)合本公開(kāi)各方面使用的一種示例性(EM證書(shū)層次結(jié)構(gòu)的圖示。
[0032] 圖9是示出用于向未個(gè)性化的設(shè)備傳輸eSIM的一種示例性邏輯序列的邏輯流程 圖。
[0033] 圖10是示出用于向預(yù)個(gè)性化的設(shè)備傳輸eSIM的一種示例性邏輯序列的邏輯流程 圖。
[0034] 圖11是示出用于向設(shè)備傳輸一批eSIM的一種示例性邏輯序列的邏輯流程圖。
[0035] 圖12是電子通用集成電路卡（eHCC)裝置的邏輯表示。
[0036] 圖13是電子用戶(hù)身份模塊（eSIM)倉(cāng)庫(kù)裝置的邏輯表示。
[0037] 圖14是示出一種示例性用戶(hù)裝置的邏輯流程圖。
[0038] 圖15是示出用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的方法的一個(gè)實(shí)施例的邏輯流 程圖。
[0039] 所有圖片?版權(quán)所有2012_2013Apple Inc.保留所有權(quán)利。

【具體實(shí)施方式】
[0040] 現(xiàn)在參考附圖，在所有附圖中類(lèi)似標(biāo)號(hào)指代類(lèi)似部分。
[0041] 示例件實(shí)施例的描沭
[0042] 現(xiàn)在詳細(xì)描述本公開(kāi)的示例性實(shí)施例和各方面。盡管主要在GSM、GPRS/EDGE或 UMTS蜂窩網(wǎng)絡(luò)的用戶(hù)身份模塊（SIM)的語(yǔ)境中論述這些實(shí)施例和方面，但普通技術(shù)人員將 認(rèn)識(shí)到，本公開(kāi)不受這樣的限制。實(shí)際上，本公開(kāi)的各個(gè)特征能夠用于可能受益于向設(shè)備存 儲(chǔ)和分發(fā)訪(fǎng)問(wèn)控制客戶(hù)端的任何網(wǎng)絡(luò)（無(wú)論是無(wú)線(xiàn)蜂窩網(wǎng)絡(luò)還是其他網(wǎng)絡(luò)）。
[0043] 如本文所使用的，術(shù)語(yǔ)"客戶(hù)端"和"UE"包括但不限于具有無(wú)線(xiàn)功能的蜂窩電話(huà)、 智能電話(huà)（諸如iPhone?)、具有無(wú)線(xiàn)功能的個(gè)人計(jì)算機(jī)（PC)、諸如手持計(jì)算機(jī)的移動(dòng)設(shè)備、 PDA、個(gè)人媒體設(shè)備（PMD)、無(wú)線(xiàn)平板計(jì)算機(jī)（諸如iPad?)，所謂的"平板手機(jī)"，或以上設(shè)備 的任意組合。
[0044] 如下文中所使用的，術(shù)語(yǔ)"用戶(hù)身份模塊（SIM) "、"電子SIM(eSIM) "、"配置文件"和 "訪(fǎng)問(wèn)控制客戶(hù)端" 一般指實(shí)現(xiàn)于硬件或軟件中，適于控制第一設(shè)備訪(fǎng)問(wèn)網(wǎng)絡(luò)的邏輯實(shí)體。 訪(fǎng)問(wèn)控制客戶(hù)端的常見(jiàn)實(shí)例包括上述USIM、CDMA用戶(hù)身份模塊（CSM)、IP多媒體服務(wù)身份 模塊（ISM)、用戶(hù)身份模塊（SM)、可移除用戶(hù)身份模塊（RUM)等或上述的任意組合。
[0045] 還可以認(rèn)識(shí)到，盡管本文使用術(shù)語(yǔ)"用戶(hù)身份模塊"（如eSM)，但此術(shù)語(yǔ)并不一定 包含或需要（i)由用戶(hù)自身使用（即，可以由用戶(hù)或非用戶(hù)實(shí)踐本公開(kāi)的各種特征）；（ii) 單個(gè)個(gè)體的身份（即，可以代表一組個(gè)體，諸如家庭，或諸如企業(yè)的無(wú)形或假想實(shí)體，實(shí)踐 本公開(kāi)的各種特征）；或（iii)任何有形的"模塊"設(shè)備或硬件。
[0046] 示例件eUICC和eSIM橾作-
[0047] 現(xiàn)在結(jié)合一種示例性具體實(shí)施論述本公開(kāi)的各種特征和功能。在本公開(kāi)的示例性 實(shí)施例的語(yǔ)境中，并非如現(xiàn)有技術(shù)中那樣使用物理UICC，而是將UICC模擬為虛擬或電子實(shí) 體，例如軟件應(yīng)用程序，下文稱(chēng)為電子通用集成電路卡（enCC)，其包含于UE中的安全元件 (如安全微處理器或存儲(chǔ)設(shè)備）之內(nèi)。ΕΠ (Χ能夠存儲(chǔ)和管理多個(gè)SM元件，下文稱(chēng)為電子 用戶(hù)身份模塊（eSM)。每個(gè)eSIM都是典型USIM的軟件模擬，并且包含類(lèi)似編程和與其相 關(guān)聯(lián)的用戶(hù)數(shù)據(jù)。EHCC基于eS頂?shù)腎CC-ID選擇eSM。一旦eUICC選擇了期望的eSM， UE就能夠發(fā)起認(rèn)證過(guò)程以從eSM的對(duì)應(yīng)網(wǎng)絡(luò)運(yùn)營(yíng)商獲得無(wú)線(xiàn)網(wǎng)絡(luò)服務(wù)。
[0048] EHCC軟件架構(gòu)-
[0049] 現(xiàn)在參考圖1，示出了可結(jié)合本公開(kāi)使用的一種示例性電子通用集成電路卡 (eHCC)。在 2011 年 4 月 25 提交的名稱(chēng)為 "APPARATUS AND METHODS FOR STORING ELECTRONIC ACCESS CLIENTS"的共同擁有且共同未決的美國(guó)專(zhuān)利申請(qǐng)13/093, 722中描述 了示例性eUICC的實(shí)例，前文中通過(guò)引用將其全文并入，但要認(rèn)識(shí)到，可以依據(jù)本公開(kāi)使用 其他實(shí)例。
[0050] 圖1示出了一種示例性Java Card? enCC架構(gòu)。用于智能卡應(yīng)用程序上的操作 系統(tǒng)（0S)的其他實(shí)例包括（但不限于）MULT0S和專(zhuān)有0S，Java Card僅僅是例示性的。0S 提供了應(yīng)用程序軟件和硬件之間的接口。通常，0S包括服務(wù)和功能，所述服務(wù)和功能被配 置用于：輸入輸出（I/O)、隨機(jī)存取存儲(chǔ)器（RAM)、只讀存儲(chǔ)器（ROM)、非易失性存儲(chǔ)器（NV) (EEPR0M，閃存）等。0S還可以提供由更高層使用的密碼服務(wù)、存儲(chǔ)器和文件管理以及通信 協(xié)議。
[0051] 示例性Java具體實(shí)施由三部分組成：Java Card虛擬機(jī)（JCVM)(字節(jié)代碼解釋 器）Java Card運(yùn)行時(shí)間環(huán)境（JCRE)(其管理卡資源、小應(yīng)用程序的執(zhí)行和其他運(yùn)行時(shí)間 特征）；以及Java應(yīng)用程序編程接口（API)(-組用于編制智能卡應(yīng)用程序的定制類(lèi)）。
[0052] JCVM具有卡上部件（字節(jié)代碼解釋器）和卡外對(duì)應(yīng)物（轉(zhuǎn)換器）。由于卡資源的 限制，可以由轉(zhuǎn)換器執(zhí)行一些編譯任務(wù)。一開(kāi)始，Java編譯器從源代碼創(chuàng)建類(lèi)文件。轉(zhuǎn)換 器對(duì)類(lèi)文件進(jìn)行預(yù)處理并創(chuàng)建CAP文件。轉(zhuǎn)換器驗(yàn)證Java類(lèi)的加載映像是否形成良好，檢 查是否有Java card語(yǔ)言子集違規(guī)，并且還執(zhí)行一些其他任務(wù)。CAP文件包含Java包中類(lèi) 的可執(zhí)行二進(jìn)制表不。轉(zhuǎn)換器還生成導(dǎo)出文件，其包含公共API信息。僅向卡中加載CAP 文件。另一種通用的格式是IJC，其可以是從CAP文件轉(zhuǎn)換的。IJC文件的大小可以稍小于 CAP文件。
[0053] 通常，向卡下載小應(yīng)用程序需要應(yīng)用協(xié)議數(shù)據(jù)單元（APDU)的交換，以向卡的持久 性存儲(chǔ)器中加載CAP文件的內(nèi)容?？ㄉ习惭b程序還將CAP文件中的類(lèi)與卡上的其他類(lèi)相鏈 接。然后，安裝過(guò)程創(chuàng)建小應(yīng)用程序的實(shí)例并向JCRE注冊(cè)該實(shí)例。小應(yīng)用程序在被選擇之 前保持在暫停狀態(tài)。
[0054] 以上過(guò)程可以額外地實(shí)施一個(gè)或多個(gè)安全層。在一個(gè)示例性實(shí)施例中，全局平臺(tái) (GP)提供安全協(xié)議以管理應(yīng)用程序。GP在安全發(fā)行者安全域之內(nèi)工作，這是卡發(fā)行者的卡 上表示。卡還可以執(zhí)行用于例如應(yīng)用程序提供者的其他安全域。
[0055] 在一個(gè)示例性實(shí)施例中，EHCC是設(shè)備的不可移除部件。在工作期間，eHCC執(zhí)行 安全的自舉0S。自舉0S確保eUICC是安全的，并管理其中安全協(xié)議的執(zhí)行。在2011年4 月 5 日提交的名稱(chēng)為 "METHODS AND APPARATUS FOR STORAGE AND EXECUTION OF ACCESS CONTROL CLIENTS"的共同擁有且共同未決的美國(guó)專(zhuān)利申請(qǐng)13/080,521中描述了安全自舉 0S的實(shí)例，前文中通過(guò)引用將其全文并入。還應(yīng)當(dāng)理解，不同的移動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)商（ΜΝ0)可以 定制eSIM以支持各種程度的服務(wù)分化。定制的常見(jiàn)實(shí)例包括但不限于有專(zhuān)有文件結(jié)構(gòu)和 /或軟件應(yīng)用程序。由于eSM的可配置性，eSIM的尺寸可能變化顯著。
[0056] 與現(xiàn)有技術(shù)的SIM卡不同的是，eSIM可以根據(jù)安全事務(wù)在設(shè)備之間自由交換。用 戶(hù)不需要"物理卡"來(lái)在設(shè)備之間移動(dòng)SM ;然而，eSM的實(shí)際事務(wù)必須通過(guò)如特定的安全 協(xié)議得到安全保護(hù)。在一個(gè)示例性實(shí)施例中，在傳輸之前為特定接收器加密eSM。在一些 變體中，除了加密的內(nèi)容之外，每個(gè)eSIM還可以包括即明文的元數(shù)據(jù)部分?？梢赃M(jìn)一步使 用加密簽名確保明文內(nèi)容的完整性。可以自由地提供（甚至向不安全實(shí)體）此元數(shù)據(jù)部分， 以幫助不安全的存儲(chǔ)等。
[0057] eS頂軟件架構(gòu)-
[0058] 現(xiàn)在參考圖2,公開(kāi)了一種實(shí)現(xiàn)于示例性eUICC中的一種示例性電子用戶(hù)身份模 塊（eSM)目錄結(jié)構(gòu)。如圖所示，eSM目錄結(jié)構(gòu)已被修改以支持由eSIM提供的靈活性。例 如，eS頂目錄結(jié)構(gòu)尤其包括：（i)EFeSimDir，其包含已安裝eSM列表；（ii)EFcsn，其包含全 局性唯一標(biāo)識(shí)eUECC的卡序號(hào)；（iii)DFsecurity，其存儲(chǔ)與安全相關(guān)的數(shù)據(jù)和對(duì)應(yīng)于一個(gè) 或多個(gè)eUICC證書(shū)的私鑰。在一種這樣的變體中，DFsecurity信息包括：⑴DF印cf，其包 含eUICC平臺(tái)級(jí)PCF ; (ii)EFoemcert，其包含根證書(shū)和OEM的通用名稱(chēng)（OEM證書(shū)可用于諸 如工廠(chǎng)整修的特殊操作）；（iii)EfeUICCcert，即eUICC的證書(shū)；（iv)EFsLlcert，即服務(wù)器 L1設(shè)備的根證書(shū)；(v)EFsL2cert，即服務(wù)器L2設(shè)備的根證書(shū)；以及（vi)EFsL3cert，即服務(wù) 器L3設(shè)備的根證書(shū)。
[0059] 在一個(gè)示例性實(shí)施例中，該目錄結(jié)構(gòu)還包括包含特定于eSM的文件結(jié)構(gòu)的SM專(zhuān) 用文件（SDF)。每個(gè)SDF都位于MF的正下方。每個(gè)SDF都具有名稱(chēng)屬性和SID(eSM ID)， 諸如集成電路卡標(biāo)識(shí)符（ICCID)。如圖所示，每個(gè)SDF還包含DFprofiles和DFcodes。此外， 在一種變體中，在DFppcf下存儲(chǔ)所有與配置文件PCF相關(guān)的EF，DFppcf存儲(chǔ)于DFprofile 下。
[0060] 在一個(gè)示例性實(shí)施例中，DFprofile信息包括：（i)EFname，即eSM的描述（諸如 eSIM的名稱(chēng)和版本）；（ii)EFtype，其描述eSIM的類(lèi)型（如普通、自舉和測(cè)試）。軟件應(yīng)用 程序可以使用這一信息，如在使用自舉eSIM時(shí)顯示圖標(biāo)；（iii)EFsys_ver，即支持eSIM所 需的eUICC軟件的最低版本號(hào)；（iv) EFnv_min，其表示eSIM所要求的非易失性存儲(chǔ)器的最 小量；（v)EFram_min，其表示所要求的易失性存儲(chǔ)器的最小量；（vi)EFnv_rsvd，表示為空 中事務(wù)（0ΤΑ)保留的非易失性存儲(chǔ)器的量；以及（vii)EFram_rsvd，表示為0ΤΑ保留的易失 性存儲(chǔ)器的量。
[0061] 在一個(gè)示例性實(shí)施例中，DFcode信息包含一組用于每個(gè)eSM的密鑰。在大部分 環(huán)境下，不能從eUICC讀出這些值。一種例外使用情況是導(dǎo)出操作，其通過(guò)加密方式包裝 并導(dǎo)出整個(gè)eSM。由于整個(gè)eSM被加密，因此密鑰值保持安全。在一個(gè)示例性實(shí)施例中， DFcode信息包括：（i)ExEFgPinx/gPukx，其包含全局PIN (個(gè)人識(shí)別號(hào)碼）和PUK(PIN解鎖 密鑰）；（i i) EFuPin/uPuk 包含通用 PIN 和 PUK ; (i i i) EFadminx 包含 ADMIN 代碼；以及（iv) EFotax，其包含OTA代碼。在一些變體中，還可以有包含額外元素的ADFusim，諸如：（i) EFk， 其存儲(chǔ)K，即128位的共享認(rèn)證密鑰；（ii)EFopc，其存儲(chǔ)0Pc，0Pc是從用戶(hù)密鑰和運(yùn)營(yíng)商變 體算法配置字段0P (-些變體可以存儲(chǔ)0P而非OPc)導(dǎo)出的；（iii)EFauthpar，其指定RES 的長(zhǎng)度；（iv)EFalgid，其指定網(wǎng)絡(luò)認(rèn)證算法（例如Milenage) ;(v)EFsan，其存儲(chǔ)SQN;以及 (vi) EFlpinx/lpukx，其存儲(chǔ)PIN和用于本地PIN的PUK代碼。
[0062] 本領(lǐng)域的普通技術(shù)人員閱讀本公開(kāi)應(yīng)當(dāng)理解，上述文件、結(jié)構(gòu)或元件僅僅是示例 性的，可以用擁有期望功能或結(jié)構(gòu)的其他文件、結(jié)構(gòu)或元件替代。
[0063] 現(xiàn)在參考圖3,示出了一種用于SDF操作的示例性狀態(tài)機(jī)。如圖所示，SDF狀態(tài)機(jī)包 括以下?tīng)顟B(tài)：CREATION (創(chuàng)建）、INITIALISATION 初始化）、OPERATIONAL (ACTIVATED)(可 操作（激活））、OPERATIONAL (DEACTIVATED)(可操作（去活））和 TERMINATION (終止）。
[0064] 在第一次安裝eS頂時(shí)，創(chuàng)建SDF (CREATION)，然后利用eSM中包括的文件結(jié)構(gòu)數(shù) 據(jù)進(jìn)行初始化（INITIALISATION)。一旦安裝了 eSM，SDF就過(guò)渡到DEACTIVATED狀態(tài)。在 去活狀態(tài)期間，任何文件都不可用。一旦選擇了 eSM，SDF就從DEACTIVATED狀態(tài)過(guò)渡到 ACTIVATED狀態(tài)；ACTIVATED狀態(tài)使得能夠訪(fǎng)問(wèn)SDF的文件。在取消選定eS頂時(shí)（暗示或 明示），SDF從ACTIVATED狀態(tài)過(guò)渡回DEACTIVATED狀態(tài)。
[0065] 現(xiàn)在參考圖4,示出了用于eSM操作的一種示例性狀態(tài)機(jī)。如圖所示，eSM狀態(tài)機(jī) 包括以下?tīng)顟B(tài) INSTALLED (已安裝）、SELECTED (選定）、LOCKED (鎖定）、DEACTIVATED (去 活）、EXPORTED (導(dǎo)出）和 DELETED (已刪除）。
[0066] 在安裝eSM (INSTALLED)期間，在eHCC注冊(cè)表中為eS頂創(chuàng)建一個(gè)條目；該 條目表示一個(gè)或多個(gè)關(guān)聯(lián)的SDF和應(yīng)用程序。在INSTALLED狀態(tài)期間，將SDF設(shè)置成 DEACTIVATED狀態(tài)，將應(yīng)用程序設(shè)置成INSTALLED狀態(tài)。
[0067] 一旦選擇了 eSM，eS頂就過(guò)渡到SELECTED狀態(tài)。在選定的狀態(tài)期間，SDF過(guò)渡到 ACTIVATED狀態(tài)，應(yīng)用程序過(guò)渡到SELECTABLE (可選擇）狀態(tài)。如果取消選定eSM，eS頂過(guò) 渡回INSTALLED狀態(tài)。
[0068] 在特定環(huán)境下，eS頂可以進(jìn)入LOCKED狀態(tài)。例如，如果改變eUICC PCF，使得安 裝的eSM不再能夠使用，那么eS頂將過(guò)渡到LOCKED狀態(tài)。在LOCKED狀態(tài)中，將SDF設(shè)置 成DEACTIVATED狀態(tài)，將應(yīng)用程序設(shè)置成LOCKED狀態(tài)。其他雜項(xiàng)狀態(tài)包括，EXPORTED狀態(tài) (即，導(dǎo)出eSIM并不再被選擇），以及DELETED狀態(tài)（即，eSIM被刪除）。
[0069] 網(wǎng)絡(luò)認(rèn)證算法-
[0070] 網(wǎng)絡(luò)認(rèn)證算法（NAA) -般對(duì)于移動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)商（ΜΝ0)的運(yùn)營(yíng)而言是強(qiáng)制性的。盡 管有不同的NAA實(shí)施方式，但功能并非顯著不同。在某些實(shí)施例中，EWCC可以包括用于NAA 的通用包。在eS頂安裝期間，可以從預(yù)加載的包為每個(gè)eS頂創(chuàng)建每個(gè)NAA應(yīng)用程序的實(shí) 例，以減少eSIM的總加載時(shí)間以及eUICC上的不必要的存儲(chǔ)器消耗。
[0071] NAA 的常見(jiàn)實(shí)例包括但不限于：Milenage、C0MP128V1、C0MP128V2、C0MP128V3 和 C0MP128V4,以及特定的專(zhuān)有算法。有更大數(shù)量的專(zhuān)有算法仍在使用中（由于C0MP128VI上 的已知攻擊）。在一個(gè)實(shí)施例中，網(wǎng)絡(luò)認(rèn)證基于公知的認(rèn)證和密鑰協(xié)商（AKA)協(xié)議。
[0072] 在NAA受影響的不同事件中，替換NAA方案可能需要軟件更新。在這樣的事件期 間，如經(jīng)由安全的軟件更新，eSM可能附帶有替換算法。然后，ΜΝ0可以經(jīng)由現(xiàn)有的0ΤΑ機(jī) 制實(shí)現(xiàn)替換算法。
[0073] 示例件eSIM代理人網(wǎng)絡(luò)-
[0074] 圖5示出了可結(jié)合本公開(kāi)的各種實(shí)施例使用的一種示例性eSM代理人網(wǎng)絡(luò)的概 要視圖。在一個(gè)示例性實(shí)施例中，代理人網(wǎng)絡(luò)包括代理人和制造商的分布式網(wǎng)絡(luò)，使得能夠 由多個(gè)代理人為設(shè)備服務(wù)，并且代理人可以從多個(gè)eS頂制造商訂購(gòu)eSM。在一些實(shí)施例 中，可能存在eUICC和/或eSM配置文件策略，其限制對(duì)于特定eSM操作，設(shè)備可以與之 通信的該組代理人。例如，ΜΝ0可能需要ΜΝ0資助的設(shè)備僅與ΜΝ0自有的代理人通信。
[0075] 在一種這樣的變體中，主要代理人向設(shè)備提供發(fā)現(xiàn)服務(wù)，使得設(shè)備能夠識(shí)別適當(dāng) 的代理人。然后，該設(shè)備能夠針對(duì)eSIM操作（例如購(gòu)買(mǎi)、安裝、導(dǎo)出和導(dǎo)入）與所識(shí)別的代 理人直接通信。
[0076] 相關(guān)網(wǎng)絡(luò)領(lǐng)域中普通技術(shù)人員將認(rèn)識(shí)到，在運(yùn)營(yíng)大規(guī)模分發(fā)網(wǎng)絡(luò)期間會(huì)出現(xiàn)很多 實(shí)際問(wèn)題，諸如圖5所示的那樣。具體地講，大規(guī)模分發(fā)網(wǎng)絡(luò)必須可縮放，以應(yīng)對(duì)大量的突 發(fā)提供流量（諸如可能發(fā)生于給定移動(dòng)用戶(hù)設(shè)備的所謂"啟動(dòng)日"）。為了減小總的網(wǎng)絡(luò)流 量而建議的一種方案需要在啟動(dòng)日之前對(duì)eSIM(在可能的情況下）進(jìn)行預(yù)個(gè)性化。例如，在 裝運(yùn)時(shí)已經(jīng)為所謂的"SM-in"單元分配了 eSM ;例如，可以通過(guò)利用特定于單元的eUICC 的密鑰為對(duì)應(yīng)的eSM配置文件加密，從而為單元對(duì)這一預(yù)分配的eSM進(jìn)行預(yù)個(gè)性化。
[0077] 其他考慮事項(xiàng)包括系統(tǒng)可靠性，例如代理人網(wǎng)絡(luò)必須能夠從各種設(shè)備故障恢復(fù)。 一種解決方案是地理冗余，其中跨越不同位置的多個(gè)數(shù)據(jù)中心具有復(fù)制的內(nèi)容；然而，數(shù)據(jù) 中心的網(wǎng)絡(luò)可以主動(dòng)彼此同步，以避免eSM克隆。這樣的網(wǎng)絡(luò)同步會(huì)需要非常大量的網(wǎng) 絡(luò)帶寬。在另選解決方案中，每個(gè)數(shù)據(jù)中心可以具有一組獨(dú)立的eSM;不過(guò)，這需要很大的 eSIM開(kāi)銷(xiāo)。
[0078] 理想情況是，代理網(wǎng)絡(luò)能夠靈活地適應(yīng)各種業(yè)務(wù)模型。具體地講，出于各種法律和 反壟斷理由，可以由不同方處理上述代理人網(wǎng)絡(luò)的各個(gè)部件。因此，eSM流量的安全方面需 要被認(rèn)真監(jiān)測(cè)和評(píng)估。每個(gè)eSM都包含寶貴的用戶(hù)和ΜΝ0信息。例如，eS頂可以包括共 享的認(rèn)證密鑰（用于USM的K和用于SM的Ki)，如果受到影響，可以將其用于SM克隆。 類(lèi)似地，eSIM還可以包含可能具有敏感用戶(hù)數(shù)據(jù)（諸如銀行帳戶(hù)信息）的應(yīng)用程序。
[0079] 此外，還應(yīng)當(dāng)理解，eHCC軟件還需要其他對(duì)策用于設(shè)備的恢復(fù)。與物理SM不同 的是，如果eUICC軟件進(jìn)入不可恢復(fù)狀態(tài)，將需要交換整個(gè)設(shè)備（這比交換SIM卡成本高得 多）。因此，示例性解決方案應(yīng)當(dāng)能夠處理設(shè)備恢復(fù)，以便消除這種嚴(yán)厲的措施。
[0080] 最后，網(wǎng)絡(luò)操作應(yīng)當(dāng)提供"良好的"用戶(hù)體驗(yàn)。過(guò)多的響應(yīng)時(shí)間、不可靠的操作、過(guò) 多的軟件崩潰等，可能會(huì)顯著降低總體用戶(hù)體驗(yàn)。
[0081] 示例件安全協(xié)議-
[0082] 因此，本文公開(kāi)了一種分層安全軟件協(xié)議以解決上述各種問(wèn)題。在一個(gè)示例性實(shí) 施例中，服務(wù)器eUICC和客戶(hù)端eUICC軟件包括所謂的軟件層的"堆棧"。每個(gè)軟件層都負(fù) 責(zé)一組分級(jí)功能，與其對(duì)應(yīng)的對(duì)等軟件層協(xié)商該功能。此外，每個(gè)軟件層還與其自身的層通 信。還應(yīng)當(dāng)理解，在一些情況下，可能會(huì)影響（如"越獄"等）設(shè)備應(yīng)用處理器（AP);因此， 應(yīng)當(dāng)認(rèn)識(shí)到，在客戶(hù)端eUICC和對(duì)應(yīng)的服務(wù)器eUICC(或其他安全實(shí)體）之間存在信任關(guān) 系；即，AP不被信任。
[0083] 在一個(gè)不例性實(shí)施例中，公開(kāi)了一種三⑶層系統(tǒng)。如圖6中所不，安全軟件協(xié)議 包括第1層（LI)、第2層（L2)和第3層（L3)。L1安全對(duì)eSIM數(shù)據(jù)執(zhí)行加密與解密。LI 操作限于安全的執(zhí)行環(huán)境（如eUICC或硬件安全模塊（HSM))。在L1之內(nèi)，可以在邏輯L1 邊界之內(nèi)以明文（即未加密）存儲(chǔ)eSIM數(shù)據(jù)；在L1邊界之外，始終對(duì)eSIM數(shù)據(jù)進(jìn)行安全 地加密。L2安全確保不能復(fù)制eSM。L2邊界確保僅有一個(gè)eSM的副本。在L2邊界之內(nèi)， 可以存在多個(gè)副本。此外，L2安全還可以向加密的eSIM有效載荷中嵌入質(zhì)詢(xún)；eSM的接 收人將所接收的質(zhì)詢(xún)與安裝eSIM之前更早存儲(chǔ)的質(zhì)詢(xún)比較，以確保其eSIM不會(huì)失效（即， 是當(dāng)前唯一的eSM)。L3安全負(fù)責(zé)建立信任、所有權(quán)和用戶(hù)的驗(yàn)證。對(duì)于每個(gè)eSM，enCC 可以存儲(chǔ)信息以表示與eSIM相關(guān)聯(lián)的所有權(quán)。
[0084] 在一個(gè)示例性具體實(shí)施中，所謂的"質(zhì)詢(xún)"是用于將特定eSIM實(shí)例與eUICC相關(guān)聯(lián) 的關(guān)鍵資源。具體地講，每個(gè)eUICC都維護(hù)用于每個(gè)配置文件代理的特定數(shù)量的質(zhì)詢(xún)，是維 持L2安全的邏輯實(shí)體。通過(guò)驗(yàn)證質(zhì)詢(xún)是有效的，enCC可以確保eS頂不是失效的eSM (即， 無(wú)效的復(fù)制品）。針對(duì)每個(gè)要個(gè)性化的eSIM創(chuàng)建多個(gè)質(zhì)詢(xún)。在接收到匹配的eSIM時(shí)，enCC 刪除質(zhì)詢(xún)。
[0085] 考慮以下預(yù)個(gè)性化情形，enCC創(chuàng)建（或被給予）多個(gè)質(zhì)詢(xún)，質(zhì)詢(xún)被提供給網(wǎng)絡(luò)； 還在eUICC的非易失性存儲(chǔ)器中保存質(zhì)詢(xún)。然后接下來(lái)，網(wǎng)絡(luò)能夠?yàn)榻壎ǖ筋A(yù)先生成的質(zhì) 詢(xún)的eUICC生成eSM。在設(shè)備激活期間eUICC稍后接收eS頂時(shí)，enCC能夠驗(yàn)證接收的 eS頂是否包含適當(dāng)?shù)馁|(zhì)詢(xún)。
[0086] 然而，上述方案的一個(gè)缺點(diǎn)是，固定數(shù)量的質(zhì)詢(xún)可能容易受到拒絕服務(wù)（DOS)攻 擊的影響。在DOS攻擊中，連續(xù)觸發(fā)eUICC以生成質(zhì)詢(xún)，直到耗盡其所有質(zhì)詢(xún)資源。因此， 在一種這樣的變體中，enCC額外執(zhí)行會(huì)話(huà)握手，以在處理會(huì)觸發(fā)eUICC創(chuàng)建質(zhì)詢(xún)的請(qǐng)求之 前認(rèn)證配置文件服務(wù)器/代理。此外，在資源被耗盡且eUICC無(wú)法創(chuàng)建新質(zhì)詢(xún)的不同情況 下，enCC可以存儲(chǔ)一組獨(dú)立的保留質(zhì)詢(xún)，專(zhuān)門(mén)指定其以釋放另一組質(zhì)詢(xún)。在一些情況下， ΕΠ (Χ可以額外地包括原始設(shè)備制造商（OEM)憑證，該OEM可以使用此憑證進(jìn)一步控制質(zhì)詢(xún) 操作。
[0087] 現(xiàn)在參考圖7,示出了一種用于eSIM的示例性數(shù)據(jù)結(jié)構(gòu)。如圖所示，示例性數(shù)據(jù)結(jié) 構(gòu)包括三（3)部分，每部分用于L1、L2和L3安全級(jí)別之一。通過(guò)將安全部件解耦成不同的 層次，可以根據(jù)多種選項(xiàng)在多個(gè)實(shí)體上分配總體網(wǎng)絡(luò)操作。例如，各種網(wǎng)絡(luò)實(shí)體可以?xún)H執(zhí)行 安全層中的一個(gè)或兩個(gè)（如eS頂供應(yīng)商可以?xún)H處理L2等）；這種靈活性容易且有利地適 應(yīng)幾乎任何業(yè)務(wù)安排。
[0088] 如圖7中所示，因?yàn)榉菍?duì)稱(chēng)加密（S卩，每個(gè)實(shí)體具有不同且唯一密鑰）比對(duì)稱(chēng)操作 (其中實(shí)體共享密鑰）慢得多，所以每個(gè)eSIM配置文件部分702都利用對(duì)稱(chēng)密鑰被加密，并 利用預(yù)定的eSIM接收器的L1公鑰對(duì)對(duì)稱(chēng)密鑰進(jìn)行加密。ESIM還可以包括用于元數(shù)據(jù)的明 文部分（諸如ICCID的文本串）。對(duì)加密的對(duì)稱(chēng)密鑰、元數(shù)據(jù)和加密的eSIM內(nèi)容進(jìn)行散列 化，并利用"捐贈(zèng)"L1實(shí)體的公鑰進(jìn)行簽署。例如，在末尾附加關(guān)聯(lián)的L1證書(shū)，用于進(jìn)行驗(yàn) 證。
[0089] 圖7的批處理描述符部分704包含用于eS頂?shù)腖2信息。它具有明文部分，包括 全局唯一標(biāo)識(shí)符（⑶ID)、針對(duì)預(yù)定eSM接收器的質(zhì)詢(xún)、eSM接收器的唯一 ID、檢索配置文 件的URL和張貼安裝結(jié)果的URL。批處理描述符還包括一系列元素的明文部分，該部分由 如下內(nèi)容構(gòu)成：針對(duì)每個(gè)配置文件的ICCID和配置文件的散列部分（元數(shù)據(jù)部分和加密的 eS頂內(nèi)容）。在一個(gè)實(shí)施例中，散列不包括對(duì)稱(chēng)密鑰，從而可以創(chuàng)建批處理描述符而無(wú)需等 待生成實(shí)際的配置文件。對(duì)于設(shè)備側(cè)操作，批處理描述符僅包含一個(gè)ICCID和配置文件散 列。為了進(jìn)行服務(wù)器到服務(wù)器的批傳送，期望有更大的陣列。對(duì)批處理描述符的數(shù)據(jù)內(nèi)容 進(jìn)行散列化并利用L2公鑰簽署，以及在末尾附加關(guān)聯(lián)的L2證書(shū)。
[0090] L3所有者部分706包含用于eS頂?shù)腖3信息。主字段標(biāo)識(shí)與eSM相關(guān)聯(lián)的用戶(hù) 帳戶(hù)(如abcOme. com)，服務(wù)名標(biāo)識(shí)用戶(hù)帳戶(hù)要認(rèn)證的服務(wù)提供者。包括批處理描述符的散 列以關(guān)聯(lián)L2和L3數(shù)據(jù)結(jié)構(gòu)。該數(shù)據(jù)可以明文形式存儲(chǔ)，被散列化并利用L3公鑰簽署。在 末尾附加 L3證書(shū)。
[0091] 如本文使用的，有三（3)種類(lèi)型的證書(shū)：enCC證書(shū)、服務(wù)器設(shè)備證書(shū)和OEM證書(shū)。 在一個(gè)實(shí)施例中，受信任第三方為經(jīng)證實(shí)的eUICC發(fā)放證書(shū)。每個(gè)eUICC包含私鑰和由此 實(shí)體或此實(shí)體的下級(jí)密鑰管理機(jī)構(gòu)發(fā)放的關(guān)聯(lián)證書(shū)。在一些實(shí)施例中，一個(gè)受信任第三方 可以為經(jīng)證實(shí)的L1、L2和L3設(shè)備發(fā)放證書(shū)；或者，獨(dú)立的第三方實(shí)體可以為L(zhǎng)1、L2或L3設(shè) 備發(fā)放證書(shū)。當(dāng)存在多個(gè)第三方時(shí)，enCC已經(jīng)預(yù)加載（或者從受信任的實(shí)體被提供0ΤΑ) 第三方的根證書(shū)管理機(jī)構(gòu)（CA)，并可以基于適當(dāng)?shù)腃A驗(yàn)證從服務(wù)器設(shè)備接收的消息。
[0092] 現(xiàn)在參考圖8,示出了一種示例性O(shè)EM證書(shū)層次結(jié)構(gòu)。根證書(shū)管理機(jī)構(gòu)（CA)具有 一組中間CA，其執(zhí)行任務(wù)的子集（如發(fā)放例如iOS或相當(dāng)?shù)脑O(shè)備證書(shū)）。如圖所示，eUICC CA負(fù)責(zé)eSM具體的操作。ΕΠ(Χ CA可以為一組服務(wù)器發(fā)放證書(shū)；如圖所示，證書(shū)包括如用 于eUICC維護(hù)的工廠(chǎng)整修服務(wù)器和用于簽署eUICC PCF的激活服務(wù)器。由客戶(hù)端eUICC使 用根CA連同eUICC CA的通用名驗(yàn)證OEM簽署的消息。
[0093] 根據(jù)上文，在一個(gè)示例性實(shí)施例中，每個(gè)客戶(hù)端eUICC存儲(chǔ)以下安全相關(guān)的數(shù)據(jù)： (i)eHCC證書(shū)，用于eUICC L1、L2和L3操作（每個(gè)eUICC存儲(chǔ)用于L1、L2和L3安全相關(guān) 操作的證書(shū)）；（ii)與eUICC證書(shū)相關(guān)聯(lián)的eUICC私鑰；（iii) OEM證書(shū)，包括OEM的根證書(shū) 和OEM eUICC CA的通用名；（iv)可以證明服務(wù)器設(shè)備的第三方的根證書(shū)。在一些變體中， 如果簽署CA受到影響，例如，如果eUICC CA或服務(wù)器CA受到影響（如私鑰受到影響/丟 失），可能需要替換eUICC中的證書(shū)，下面描述兩（2)種撤消過(guò)程。
[0094] 根據(jù)第一示例性撤消過(guò)程，如果發(fā)放eUICC證書(shū)的簽署CA受到影響，應(yīng)當(dāng)交換受 影響eUICCs中存儲(chǔ)的eUICC證書(shū)。具體地講，在為eUICC創(chuàng)建初始證書(shū)請(qǐng)求時(shí)，保存證書(shū) 簽署請(qǐng)求（CSR)。如果簽署CA受到影響，可以利用初始CSR為eUICC請(qǐng)求新的證書(shū)。通過(guò) 保持相同的CSR，enCC能夠使用相同的私鑰，并且將發(fā)放包含相同eUICC公鑰的新證書(shū)。 OEM能夠利用OEM的私鑰簽署新的證書(shū)。當(dāng)eUICC向服務(wù)器代理人發(fā)送請(qǐng)求時(shí)，代理人能 夠檢查不良eUICC CA的撤消列表，并拒絕具有特定錯(cuò)誤的請(qǐng)求以指示需要交換該證書(shū)。AP 能夠通過(guò)現(xiàn)有OEM服務(wù)檢索新的eUICC證書(shū)，并向eUICC發(fā)送新的證書(shū)（在這種情形中，AP 無(wú)需受:到?目任）。
[0095] 然后，enCC驗(yàn)證OEM簽名并確保接收到的公鑰匹配eUICC中先前存儲(chǔ)的公鑰。在 一些變體中，為了防止拒絕服務(wù)（DOS)攻擊或重放攻擊，enCC還包括eUICC證書(shū)。當(dāng)發(fā)放 新證書(shū)時(shí)，在一種變體中增加該時(shí)段。EHCC能夠驗(yàn)證，在存儲(chǔ)新證書(shū)之前，所接收證書(shū)中的 enCC時(shí)段是否高于當(dāng)前證書(shū)的時(shí)段。
[0096] 遺憾的是，由于各種eUICC資源約束的原因，撤消eUICC中的服務(wù)器證書(shū)可能有一 定的難度；即，對(duì)于eUICC來(lái)講，處理大的撤消列表可能是站不住腳的。為了避免維護(hù)撤消 列表，在第二撤消方案中，將每個(gè)服務(wù)器證書(shū)額外與一個(gè)時(shí)段相關(guān)聯(lián)。如果CA受到影響， 根CA為所有合法的實(shí)體重新發(fā)放證書(shū)，并增加每個(gè)新證書(shū)的時(shí)段。由于服務(wù)器證書(shū)的數(shù)量 將不會(huì)很大，因此能夠在現(xiàn)有的系統(tǒng)中進(jìn)行證書(shū)的重新發(fā)放。在客戶(hù)端eUICC處，eHCC在 非易失性存儲(chǔ)器中保存服務(wù)器LI、L2和L3證書(shū)的預(yù)期時(shí)段。在所接收的證書(shū)包含更高時(shí) 段時(shí)，enCC必須更新對(duì)應(yīng)的NV時(shí)段并拒絕具有更低時(shí)段的任何將來(lái)證書(shū)；S卩，eUICC將拒 絕自從CA受影響以來(lái)未被簽署的欺詐服務(wù)器。在一些變體中，服務(wù)器也可以為受影響的 enCC維護(hù)eUICC黑名單。在一個(gè)實(shí)施例中，來(lái)自黑名單eUICC的請(qǐng)求被服務(wù)器拒絕。
[0097] 策略控制功能-
[0098] 在以上安全解決方案的語(yǔ)境之內(nèi)，有兩（2)個(gè)層次的策略控制功能（PCF) :(i) enCC平臺(tái)層次；以及（ii)配置文件層次。在一個(gè)示例性實(shí)施例中，ΕΠ(Χ PCF可以?xún)H由 OEM更新，而配置文件PCF由ΜΝ0控制并且是eS頂?shù)囊徊糠?。在一種這樣的變體中，在導(dǎo)入 和/或?qū)С鰁SIM時(shí)，包括配置文件PCF作為導(dǎo)入/導(dǎo)出包的一部分。
[0099] 現(xiàn)在參考eUICC PCF，eHCC PCF可以包括：（i)S頂鎖定策略，其指定eUICC可以激 活的eSIM的類(lèi)型；（ii)可用于授權(quán)刪除eUICC中所有eSIM的保密碼；（iii)服務(wù)器（L1、 L2和L3)的通用名列表，其指定eUICC可以通信的服務(wù)器設(shè)備群集（如基于業(yè)務(wù)考慮或方 法）（即包含性列表）；（iv)服務(wù)器（L1、L2和L3)的通用名列表，其指定eUICC不可以通信 的服務(wù)器設(shè)備群集（即，排除性列表）。
[0100] 類(lèi)似地，配置文件PCF可以包括：⑴服務(wù)器（L1、L2和L3)的通用名列表，其指 定eUICC可以導(dǎo)出eSIM的倉(cāng)庫(kù)群集（包含性的）；（ii)服務(wù)器（LI、L2和L3)的通用名列 表，其指定eUICC不可以導(dǎo)出eSIM的倉(cāng)庫(kù)群集（排除性的）；（iii)通知URL和操作類(lèi)型， 指定在完成指定eSM操作時(shí)被發(fā)送通知的URL ; (iv)自動(dòng)到期參數(shù)，其中一旦配置文件到 期，AP就可以刪除eSIM; (v)服務(wù)器設(shè)備（L1、L2和L3)類(lèi)，可以被分配不同的類(lèi)，表示實(shí) 施的安全級(jí)別（配置文件可以選擇僅與特定等級(jí)以上的服務(wù)器部件通信）；(vi)服務(wù)器證 書(shū)（L1、L2和L3)的時(shí)段，在安裝期間檢查其（例如，如果eUICC服務(wù)器證書(shū)的時(shí)段等于或 高于指定時(shí)段，enCC僅安裝配置文件）；（vii) L3認(rèn)證可以使用的L3服務(wù)名，和/或L3認(rèn) 證不能使用的服務(wù)名列表；(viii)enCC系統(tǒng)的最低版本（其中僅可以在高于指定最低版 本的eUICC系統(tǒng)上安裝eSM) ; (ix) eS頂要求的最小RAM大?。ú话?ΤΑ操作）；（X)為 0ΤΑ保留的最小RAM大?。唬▁i) eSIM要求的最小非易失性（NV)存儲(chǔ)器大?。?ΤΑ保存的 空間除外）；（xii)為0ΤΑ保留的最小NV大小。
[0101] 示例件橾作-
[0102] 在上述部分（如eUICC、eSM、代理人網(wǎng)絡(luò)、安全協(xié)議等）的語(yǔ)境之內(nèi)，公開(kāi)了以下 示例性消息序列。在下文中的序列圖中，給出了三個(gè)實(shí)體：代理人、配置文件代理以及配置 文件鎖，分別代表負(fù)責(zé)L3、L2和L1安全的實(shí)體。然而，應(yīng)當(dāng)理解，這些是邏輯實(shí)體，不同的 網(wǎng)絡(luò)拓?fù)淇梢园ㄔ趦?nèi)或進(jìn)一步區(qū)分其以上功能。
[0103] 在例示的實(shí)施例中，客戶(hù)端eUICC負(fù)責(zé)全部三個(gè)層級(jí)的安全；然而，為了清楚起 見(jiàn)，將客戶(hù)端eUICC分成三個(gè)邏輯實(shí)體，以在eUICC之內(nèi)收集功能需求。此外，盡管對(duì)于客 戶(hù)端eUICC之內(nèi)的LI、L2和L3可以有獨(dú)立的憑證集，但應(yīng)當(dāng)理解，可以使用相同（即一份 憑證）的憑證，因?yàn)榭蛻?hù)端設(shè)備是單個(gè)設(shè)備。
[0104] eS頂奪付，未個(gè)件化-
[0105] 圖9示出了用于向設(shè)備交付未個(gè)性化的eSIM的一種示例性邏輯序列。首先，設(shè)備 經(jīng)由發(fā)現(xiàn)過(guò)程（未示出）識(shí)別服務(wù)器代理人。一旦設(shè)備嘗試與服務(wù)器代理人通信，就有三 種主要操作：（i)設(shè)備向服務(wù)器后端查詢(xún)可用的eSIM選項(xiàng)；（ii)如果被請(qǐng)求的eSIM未被預(yù) 先個(gè)性化，則設(shè)備請(qǐng)求服務(wù)器對(duì)eSIM進(jìn)行個(gè)性化；以及（iii)設(shè)備下載實(shí)際的eSIM并安裝 它。
[0106] 在第一階段中，設(shè)備使用getProfileOptions向服務(wù)器后端查詢(xún)可用的eSIM選項(xiàng)。 通過(guò)其Uniqueld識(shí)別與設(shè)備相關(guān)聯(lián)的eUICC，UniqueId例如可以是卡序列號(hào)。代理人利用 銷(xiāo)售信息確定設(shè)備可用的一個(gè)或多個(gè)eSIM選項(xiàng)。對(duì)于解鎖的設(shè)備，可能有可用eSIM的非 常大的集合；因此，在一些實(shí)施例中，顯示可能要由用戶(hù)選擇的通用選項(xiàng)（如基于位置、成 本等）。服務(wù)器返回對(duì)于設(shè)備而言有效的配置文件提供者（ΜΝ0)和配置文件類(lèi)型（如預(yù)付 費(fèi)/后付費(fèi)）的陣列。
[0107] 在一些情形下，用戶(hù)可用的eSM類(lèi)型可以被視為保密信息，因此在一些變體中， getProfileOptionsAPI還要求設(shè)備eUICC L3簽署eUICC的唯一標(biāo)識(shí)符，并包括API中的簽 署標(biāo)識(shí)符。服務(wù)器代理人（或代理人服務(wù)器）能夠在處理請(qǐng)求之前驗(yàn)證簽名。這防止惡意 方通過(guò)發(fā)送偽裝的請(qǐng)求檢索用戶(hù)的配置文件選項(xiàng)。在一些變體中，設(shè)備代理人和服務(wù)器代 理人之間的通信使用安全協(xié)議（如傳輸安全（TLS))以防止捕獲和重放攻擊。
[0108] 在一個(gè)實(shí)施例中，getProfileOptions包含兩個(gè)L3令牌，以驗(yàn)證eSIM的當(dāng)前和新 所有權(quán)。當(dāng)前的L3令牌可以是唯一標(biāo)識(shí)符或所謂的"虛假卡"刮卡代碼。新的L3令牌可 以是用于將用戶(hù)帳戶(hù)與eSIM相關(guān)聯(lián)的信息，例如，用于iCloud帳戶(hù)的簽字令牌（如設(shè)備已 登錄到用戶(hù)帳戶(hù)中以檢索令牌）。兩個(gè)L3令牌都被eUICC L3簽署。服務(wù)器代理人利用關(guān) 聯(lián)的認(rèn)證服務(wù)驗(yàn)證L3令牌。例如，它可以與網(wǎng)絡(luò)服務(wù)器（如受讓人的iCloud服務(wù)器）或 第三方服務(wù)通信，以驗(yàn)證簽字令牌。
[0109] 為了優(yōu)化性能并避免重復(fù)認(rèn)證，在認(rèn)證設(shè)備傳遞的令牌之后，服務(wù)器代理人生成 一次性代碼（0TC)并將0TC傳遞回設(shè)備。該設(shè)備可以使用0TC作為服務(wù)器已經(jīng)執(zhí)行L3認(rèn)證 的證據(jù)。完整的數(shù)據(jù)二進(jìn)制大對(duì)象（BLOB)可以包括所生成的0TC、唯一的設(shè)備標(biāo)識(shí)符（如 卡序號(hào)（CSN))、委托人、服務(wù)提供者和表示0TC有效性的時(shí)間戳。BLOB被散列化并由代理人 簽署。在一個(gè)變體中，利用對(duì)稱(chēng)密鑰執(zhí)行散列化以改善總體性能。如果getProfileOptions 返回eSIM的陣列，則提示用戶(hù)做出選擇。
[0110] 在第二階段，設(shè)備會(huì)調(diào)用personalizeProfile以請(qǐng)求服務(wù)器后端對(duì)eSM進(jìn)行個(gè)性 化。在設(shè)備向服務(wù)器發(fā)送個(gè)性化請(qǐng)求之前，在eUICC配置文件代理和服務(wù)器配置文件代理 之間存在用于認(rèn)證的會(huì)話(huà)握手。設(shè)備代理人和eUICC基于用戶(hù)選擇的配置文件選項(xiàng)和服務(wù) 器代理人發(fā)送的當(dāng)前L3代碼和新L3代碼創(chuàng)建會(huì)話(huà)。ΕΠ (Χ能夠保存此信息以填充隨后接 下來(lái)發(fā)送的配置文件請(qǐng)求。ΕΠ (Χ配置文件代理生成會(huì)話(huà)id，其將被服務(wù)器代理返回，用于 隨后接下來(lái)的認(rèn)證。
[0111] 設(shè)備代理人現(xiàn)在可以向服務(wù)器代理人傳遞eUICC生成的會(huì)話(huà)請(qǐng)求。服務(wù)器代理人 能夠檢查該請(qǐng)求。例如，服務(wù)器代理人確定唯一 ID表示的請(qǐng)求eUICC是否有用。由于唯 一標(biāo)識(shí)符是以明文形式包括在內(nèi)的，因此即使由服務(wù)器配置文件代理執(zhí)行更徹底的請(qǐng)求驗(yàn) 證，服務(wù)器代理人也能夠檢索該信息。
[0112] 如果請(qǐng)求適當(dāng)，那么服務(wù)器代理人向配置文件代理傳遞該請(qǐng)求。配置文件代理通 過(guò)驗(yàn)證eUICC L2證書(shū)并利用eUICC L2公鑰驗(yàn)證L2簽名，以密碼方式驗(yàn)證該請(qǐng)求。一旦 通過(guò)驗(yàn)證，服務(wù)器配置文件代理就創(chuàng)建SessionResponse，其包括明文部分，明文部分包括： 所接收的會(huì)話(huà)標(biāo)識(shí)符和唯一標(biāo)識(shí)符，L2簽名（通過(guò)對(duì)明文部分進(jìn)行散列化并利用服務(wù)器配 置文件代理的私鑰簽名而生成）。
[0113] 從服務(wù)器配置文件代理向服務(wù)器代理人發(fā)送會(huì)話(huà)響應(yīng)，然后將會(huì)話(huà)響應(yīng)轉(zhuǎn)發(fā)到設(shè) 備代理人。設(shè)備代理人在prepareProfileRequest消息中向eUICC傳遞響應(yīng)。EUICC L2通 過(guò)驗(yàn)證服務(wù)器配置文件代理的證書(shū)和L2簽名來(lái)驗(yàn)證sessionReponse。EUICC L2還驗(yàn)證會(huì) 話(huà)標(biāo)識(shí)符和唯一標(biāo)識(shí)符是否匹配eUICC中的信息。一旦通過(guò)驗(yàn)證，enCC就創(chuàng)建針對(duì)個(gè)性 化的配置文件請(qǐng)求的質(zhì)詢(xún)。質(zhì)詢(xún)被提交到非易失性存儲(chǔ)器。ΕΠ (Χ然后創(chuàng)建配置文件請(qǐng)求 BL0B，包括LI、L2和L3相關(guān)的信息。在通過(guò)引用并入本文中的附錄A中列出了詳細(xì)的結(jié) 構(gòu)。
[0114] 然后，將配置文件請(qǐng)求BLOB發(fā)送到服務(wù)器后端。服務(wù)器代理人執(zhí)行L3驗(yàn)證，并包 括要關(guān)聯(lián)eSIM的L3所有者信息（如委托人和服務(wù)提供者）；服務(wù)器配置文件代理創(chuàng)建批 處理描述符，服務(wù)器配置文件鎖為eUICC對(duì)eS頂進(jìn)行個(gè)性化?？梢詫€(gè)性化的eS頂分發(fā) 到內(nèi)容交付網(wǎng)絡(luò)（CDN)以進(jìn)行性能優(yōu)化。
[0115] 在設(shè)備代理人接收到配置文件描述符和關(guān)聯(lián)的L3所有者信息之后，它通過(guò)提供 所接收的⑶ID(全局唯一標(biāo)識(shí)符）經(jīng)由getProfile檢索關(guān)聯(lián)配置文件。
[0116] 一旦設(shè)備代理人檢索了配置文件描述符和配置文件，它就指示客戶(hù)端eUICC安裝 eSIM。調(diào)用流程不出 了三個(gè)獨(dú)立的調(diào)用，processL30wner、processProfileDescriptor 和 installProfile，然而應(yīng)當(dāng)理解，在實(shí)際實(shí)現(xiàn)中，可以在單個(gè)事務(wù)處理之內(nèi)組合這三個(gè)邏輯 調(diào)用。EHCC執(zhí)行L3、L2和L1驗(yàn)證；一旦驗(yàn)證，就安裝eSM。關(guān)聯(lián)的質(zhì)詢(xún)被刪除。與eSM 一起保存L3所有者信息以指示適當(dāng)?shù)乃袡?quán)。如果用戶(hù)導(dǎo)出eSIM，可以在稍后的點(diǎn)提供 L3所有者信息。
[0117] -旦安裝了配置文件，enCC就向服務(wù)器返回安裝結(jié)果。服務(wù)器基礎(chǔ)結(jié)構(gòu)能夠使 用通知觸發(fā)清除內(nèi)容交付網(wǎng)絡(luò)（CDN)中高速緩存的內(nèi)容。在一些情況下，也可以將此信息 用于通知服務(wù)，例如，表示成功安裝、部分安裝、不成功安裝等。
[0118] ES頂奪付，預(yù)個(gè)件化-
[0119] 圖10示出了用于向預(yù)個(gè)性化的設(shè)備交付eSIM的一種示例性邏輯序列。類(lèi)似于圖 9的方案，交付預(yù)個(gè)性化的eSIM需要三（3)個(gè)階段。
[0120] -開(kāi)始，在制造客戶(hù)端設(shè)備期間，工廠(chǎng)代理人指示eUICC為稍后的eSM預(yù)個(gè)性化 創(chuàng)建質(zhì)詢(xún)。然而，與圖9的方案不同的是，該設(shè)備尚未與ΜΝ0或eSIM類(lèi)型相關(guān)聯(lián)；相反，這 些字段填充有特殊的值，以表示稍后將進(jìn)行選擇。保存配置文件請(qǐng)求BLOB的完整內(nèi)容用于 稍后的個(gè)性化使用。
[0121] 例如，通過(guò)發(fā)貨通知、設(shè)備銷(xiāo)售等自動(dòng)觸發(fā)第二階段。分發(fā)中心中的L2(客戶(hù)端配 置文件代理）充當(dāng)客戶(hù)端eUICC L2的代理。盡管eUICC配置文件請(qǐng)求BLOB不包含ΜΝ0和 eSIM類(lèi)型，但客戶(hù)端配置文件代理能夠通過(guò)用更新的信息替換這些字段來(lái)重新生成BLOB。 客戶(hù)端配置文件代理能夠創(chuàng)建其自身的質(zhì)詢(xún)并替換eUICC質(zhì)詢(xún)?？蛻?hù)端配置文件代理將利 用其自身的私鑰簽署內(nèi)容（否則，所有的L2將都需要唯一的質(zhì)詢(xún)）。BLOB將包含eUICC的 L1簽名，eHCC仍然需要對(duì)個(gè)性化的eS頂解密。利用現(xiàn)有的personalizeProfile請(qǐng)求向服 務(wù)器代理人發(fā)送新的配置文件請(qǐng)求BLOB。在下文中，該過(guò)程與圖9的過(guò)程沒(méi)有什么不同。
[0122] 此外，還應(yīng)當(dāng)理解，即使ΜΝ0想要支持其自己的代理系統(tǒng)，公開(kāi)的預(yù)個(gè)性化過(guò)程也 能夠使用相同的接口。服務(wù)器代理人將向客戶(hù)端返回批處理描述符并對(duì)eSIM進(jìn)行個(gè)性化。 客戶(hù)端配置文件代理會(huì)創(chuàng)建具有eUICC的質(zhì)詢(xún)的新批處理描述符，要在eUICC稍后請(qǐng)求配 置文件時(shí)使用。
[0123] 最后，在最后階段中，當(dāng)用戶(hù)為設(shè)備加電時(shí)，設(shè)備執(zhí)行g(shù)etProfileOptions以檢查 可用的eS頂選項(xiàng)。由于eS頂已經(jīng)預(yù)先個(gè)性化，響應(yīng)會(huì)包括有效的批處理描述符，設(shè)備不 再需要調(diào)用personalizeProfile。它會(huì)使用描述符中的信息直接經(jīng)由getProfile請(qǐng)求檢索 eSIM〇
[0124] eS頂奪付，成枇奪付-
[0125] 圖11示出了用于例如在兩個(gè)實(shí)體之間交付大量（批）eSM的一種示例性邏輯序 列。在一個(gè)實(shí)施例中，客戶(hù)端代理人和服務(wù)器代理人是具有經(jīng)由例如虛擬專(zhuān)用網(wǎng)絡(luò)（VPN) 的安全通信的安全實(shí)體。支持"批處理"使得客戶(hù)端可以訂購(gòu)大量的eSIM。
[0126] 在這種情形下，在配置文件代理接收到對(duì)配置文件進(jìn)行個(gè)性化的請(qǐng)求時(shí)，如果返 回批處理描述符，則不需要對(duì)配置文件進(jìn)行個(gè)性化；相反，客戶(hù)端可以在稍后階段根據(jù)需要 請(qǐng)求實(shí)際配置文件。在批處理描述符操作中，在加密配置文件（利用對(duì)稱(chēng)密鑰封裝）和配 置文件元數(shù)據(jù)上計(jì)算配置文件內(nèi)容的散列，后兩者都不需要對(duì)配置文件進(jìn)行個(gè)性化。這還 不需要L1存儲(chǔ)每個(gè)eUICC的對(duì)稱(chēng)密鑰，否則會(huì)因?yàn)殡y以滿(mǎn)足的額外存儲(chǔ)要求而使L1負(fù)擔(dān) 加重。在一個(gè)實(shí)施例中，可以在存儲(chǔ)裝置之外存儲(chǔ)加密的eSIM(利用對(duì)稱(chēng)密鑰封裝）。會(huì)利 用L1RFS(遠(yuǎn)程文件系統(tǒng)）密鑰封裝對(duì)稱(chēng)密鑰，可以在存儲(chǔ)裝置之外與加密的eSIM-起保 存封裝的密鑰。
[0127] eSIM 導(dǎo)出-
[0128] 最后，一旦將eSIM存儲(chǔ)到客戶(hù)端設(shè)備，用戶(hù)就可以選擇從設(shè)備導(dǎo)出eSIM，稍后將 eSIM導(dǎo)入到相同或不同的設(shè)備。一個(gè)目的是支持eSIM交換。另一個(gè)目的是釋放eUICC存 儲(chǔ)器以存儲(chǔ)額外的eSM。在導(dǎo)出時(shí)，有三種可能的情形：（i)導(dǎo)出到云；（ii)導(dǎo)出到AP(用 于板外存儲(chǔ)裝置）；以及（iii)設(shè)備到設(shè)備的eSIM傳送。類(lèi)似地，用戶(hù)可以從云、AP或另一 設(shè)備導(dǎo)入。
[0129] 在eSIM安裝期間，將用戶(hù)帳戶(hù)信息關(guān)聯(lián)到eSM(除非用戶(hù)選擇退出）。帳戶(hù)信息 包括用于L3認(rèn)證的充分信息。例如，它可以包括委托人（如x2z@yahoo. com)和用于認(rèn)證 的關(guān)聯(lián)服務(wù)提供者。如果沒(méi)有帳戶(hù)信息與eSIM相關(guān)聯(lián)，用戶(hù)可以利用其他認(rèn)證方法導(dǎo)出 eSM。一個(gè)這樣的實(shí)施例包括物理按鈕，其安全地連接到eUICC以證明設(shè)備的物理占有。在 另一個(gè)實(shí)施例中，每個(gè)eSIM包括唯一的密碼，用戶(hù)必須具有密碼以證明其所有權(quán)。利用OEM 憑證是另一選項(xiàng)。
[0130] 在用戶(hù)導(dǎo)出eSM時(shí)，AP從eUICC檢索已安裝配置文件的列表；對(duì)于每個(gè)配置文 件，enCC還返回關(guān)聯(lián)的委托人和為了對(duì)抗重放而產(chǎn)生的不重性。在用戶(hù)選擇導(dǎo)出配置文 件時(shí)，AP使用委托人中包含的信息從服務(wù)提供者獲得單一簽名（SS0)令牌，其中會(huì)提示用 戶(hù)為此目的輸入用戶(hù)名和密碼。將SS0令牌與委托人和不重性一起傳遞到導(dǎo)出請(qǐng)求中的服 務(wù)器代理人。服務(wù)器代理人能夠利用設(shè)備提供的SS0令牌處理對(duì)服務(wù)提供者的認(rèn)證。一旦 通過(guò)認(rèn)證，流程就對(duì)eSIM到設(shè)備的交付形成鏡像，只是客戶(hù)端和服務(wù)器的角色被顛倒。在 高層次上，服務(wù)器代理人發(fā)起與eUICC的會(huì)話(huà)，為導(dǎo)出創(chuàng)建請(qǐng)求BLOB。在該請(qǐng)求中，它包括 enCC產(chǎn)生的不重性，表示操作已經(jīng)通過(guò)了 L3認(rèn)證。ΕΠ (Χ驗(yàn)證請(qǐng)求BLOB。利用服務(wù)器代 理的公鑰加密eSM，創(chuàng)建用于eS頂?shù)呐幚砻枋龇蚅3所有者信息。可以將eS頂與L3 和L2信息一起發(fā)送到服務(wù)器。
[0131] 一旦eUICC對(duì)eS頂加密以進(jìn)行導(dǎo)出，eHCC就放棄對(duì)eS頂?shù)乃袡?quán)，不再使用 eS頂或向任何其他實(shí)體導(dǎo)出eSM。在一些情況下，ΕΠ (Χ可以保存加密的副本以幫助從連 接丟失中恢復(fù)過(guò)來(lái)（即，如果加密的eS頂始終未達(dá)到服務(wù)器）?；蛘撸珹P可以在連接失敗 時(shí)保存加密eSIM的副本進(jìn)行重新傳輸。服務(wù)器可以返回確認(rèn)，觸發(fā)AP清理存儲(chǔ)的副本。
[0132] 在一些實(shí)施例中，也可以從門(mén)戶(hù)網(wǎng)站發(fā)起導(dǎo)出。如果用戶(hù)丟失了其設(shè)備，他可以使 用門(mén)戶(hù)網(wǎng)站從其設(shè)備導(dǎo)出eSIM。在這種情況下，門(mén)戶(hù)網(wǎng)站會(huì)與設(shè)備通信以發(fā)起導(dǎo)出操作。 流程是相似的，只是用戶(hù)會(huì)使用門(mén)戶(hù)網(wǎng)站而非AP來(lái)獲得SS0令牌，用于所有權(quán)驗(yàn)證。
[0133] 裝置-
[0134] 現(xiàn)在更詳細(xì)地描述可結(jié)合上述方法使用的各種裝置。
[0135] eUICC 設(shè)各-
[0136] 圖12示出了根據(jù)本公開(kāi)的eUICC設(shè)備1200的一個(gè)示例性實(shí)施例。EHCC設(shè)備可 以包括獨(dú)立的實(shí)體，或者合并其他網(wǎng)絡(luò)實(shí)體，諸如服務(wù)器。如圖所示，enCC設(shè)備1200 -般 包括用于與通信網(wǎng)絡(luò)交接的網(wǎng)絡(luò)接口 1202、處理器1204和一個(gè)或多個(gè)存儲(chǔ)裝置1206。網(wǎng) 絡(luò)接口被示為連接到ΜΝ0基礎(chǔ)結(jié)構(gòu)，以便提供對(duì)其他eUICC設(shè)備的訪(fǎng)問(wèn)，以及對(duì)一個(gè)或多個(gè) 移動(dòng)設(shè)備的直接或間接訪(fǎng)問(wèn)，但可以用其他配置和功能取代。
[0137] 在一種配置中，eHCC設(shè)備能夠：（i)與另一 eUICC (eUICC設(shè)備或客戶(hù)端設(shè)備）建 立通信；（ii)安全地存儲(chǔ)eSM ; (iii)檢索安全存儲(chǔ)的eSM ; (iv)加密要交付到另一特定 eHCC的eSM ;以及（v)向/從eSM倉(cāng)庫(kù)發(fā)送多個(gè)eSM。
[0138] eSIM 合庫(kù)-
[0139] 圖13示出了根據(jù)本公開(kāi)的eSM倉(cāng)庫(kù)1300的一個(gè)示例性實(shí)施例。eSM倉(cāng)庫(kù)1300 可以被實(shí)現(xiàn)為獨(dú)立的實(shí)體，或者與其他網(wǎng)絡(luò)實(shí)體（如eUICC設(shè)備1200等）合并。如圖所 示，eS頂倉(cāng)庫(kù)1300 -般包括用于與通信網(wǎng)絡(luò)交接的網(wǎng)絡(luò)接口 1302、處理器1304和存儲(chǔ)裝 置 1306。
[0140] 在圖1300例示的實(shí)施例中，eS頂倉(cāng)庫(kù)304能夠：⑴對(duì)eSM進(jìn)行庫(kù)存管理（如通 過(guò)關(guān)聯(lián)的元數(shù)據(jù)）；（ii)對(duì)加密eSIM (如來(lái)自其他eSIM倉(cāng)庫(kù)和/或eUICC設(shè)備1200)的請(qǐng) 求做出響應(yīng)；（iii)管理用戶(hù)對(duì)eSIM的請(qǐng)求。
[0141] 例如，當(dāng)用戶(hù)在eS頂倉(cāng)庫(kù)1300存儲(chǔ)eS頂時(shí)，可以利用期望的目的地（如以方便 傳送到另一設(shè)備）存儲(chǔ)eSM或者可以不確定地停放。在任一種情況下，eSM倉(cāng)庫(kù)能夠向 enCC設(shè)備提供eS頂用于安全存儲(chǔ)并用于針對(duì)目的地設(shè)備的后續(xù)加密。
[0142] 用戶(hù)裝置-
[0143] 現(xiàn)在參考圖14,示出了根據(jù)本公開(kāi)各方面的示例性用戶(hù)裝置1400。
[0144] 圖14的示例性UE裝置是具有處理器子系統(tǒng)1402的無(wú)線(xiàn)設(shè)備，處理器子系統(tǒng)諸如 是數(shù)字信號(hào)處理器、微處理器、現(xiàn)場(chǎng)可編程門(mén)陣列或安裝于一個(gè)或多個(gè)基底上的多個(gè)處理 部件。處理子系統(tǒng)還可包括內(nèi)部高速緩存存儲(chǔ)器。處理子系統(tǒng)與存儲(chǔ)器子系統(tǒng)1404通信， 存儲(chǔ)器子系統(tǒng)包括存儲(chǔ)器，存儲(chǔ)器例如可以包括SRAM、閃存和/或SDRAM部件。存儲(chǔ)器子系 統(tǒng)可實(shí)現(xiàn)一個(gè)或多個(gè)DMA型硬件，以便促進(jìn)本領(lǐng)域所熟知的數(shù)據(jù)訪(fǎng)問(wèn)。存儲(chǔ)器子系統(tǒng)包含 可以由處理器子系統(tǒng)執(zhí)行的計(jì)算機(jī)可執(zhí)行指令。
[0145] 在一個(gè)示例性實(shí)施例中，設(shè)備包括一個(gè)或多個(gè)無(wú)線(xiàn)接口 1406,適于連接到一個(gè)或 多個(gè)無(wú)線(xiàn)網(wǎng)絡(luò)。多個(gè)無(wú)線(xiàn)接口可以通過(guò)實(shí)施無(wú)線(xiàn)領(lǐng)域中公知類(lèi)型的適當(dāng)?shù)奶炀€(xiàn)和調(diào)制解調(diào) 器子系統(tǒng)來(lái)支持不同的無(wú)線(xiàn)電技術(shù)，諸如
[0146] 用戶(hù)接口子系統(tǒng)1408包括任意數(shù)量的公知1/0,包括但不限于：小鍵盤(pán)、觸摸屏 (如多次觸摸界面）、LCD顯示器、背光、揚(yáng)聲器和/或麥克風(fēng)。然而，應(yīng)該認(rèn)識(shí)到，在某些應(yīng) 用中，可排除這些部件的一者或多者。例如，PCMCIA卡型客戶(hù)端實(shí)施例可缺少用戶(hù)接口（因 為它們可能背負(fù)在它們物理和/或電氣耦合的主機(jī)設(shè)備的用戶(hù)接口上）。
[0147] 在圖示的實(shí)施例中，設(shè)備包括安全元件1410,其包含并操作eUICC應(yīng)用程序。 ΕΠ (Χ能夠存儲(chǔ)并訪(fǎng)問(wèn)多個(gè)要用于認(rèn)證網(wǎng)絡(luò)運(yùn)營(yíng)商認(rèn)證的訪(fǎng)問(wèn)控制客戶(hù)端。安全元件包括 安全處理器，其執(zhí)行安全介質(zhì)中存儲(chǔ)的軟件。安全介質(zhì)對(duì)所有其他部件（除安全處理器之 外）不可訪(fǎng)問(wèn)。此外，可以進(jìn)一步強(qiáng)化示例性安全元件以防止如前所述的損害（如封入樹(shù) 脂中）。示例性安全元件1410能夠接收并存儲(chǔ)一個(gè)或多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端。在一個(gè)實(shí)施例 中，安全元件存儲(chǔ)與用戶(hù)相關(guān)聯(lián)的eSIM的陣列或多個(gè)eSIM(如一個(gè)用于工作、一個(gè)用于個(gè) 人、幾個(gè)用于漫游訪(fǎng)問(wèn)等），和/或根據(jù)另一種邏輯方案或關(guān)系（如一個(gè)用于家庭或企業(yè)實(shí) 體多個(gè)成員的每個(gè)、一個(gè)用于家庭成員個(gè)人和工作使用的每個(gè)，等等）。每個(gè)eSIM都包括小 的文件系統(tǒng)，包括計(jì)算機(jī)可讀指令（eSIM程序）和關(guān)聯(lián)數(shù)據(jù)（如加密密鑰、完整性密鑰等）。
[0148] 安全兀件還適于實(shí)現(xiàn)向和/或從移動(dòng)設(shè)備傳送eSIM。在一種具體實(shí)施中，移動(dòng)設(shè) 備提供基于⑶I的確認(rèn)以發(fā)起eSIM的傳送。
[0149] -旦移動(dòng)設(shè)備的用戶(hù)選擇激活eSIM，移動(dòng)設(shè)備就向激活服務(wù)發(fā)送激活請(qǐng)求。移動(dòng) 設(shè)備能夠使用eSIM進(jìn)行標(biāo)準(zhǔn)認(rèn)證和密鑰協(xié)商（AKA)交換。
[0150] 方法-
[0151] 現(xiàn)在更詳細(xì)地描述可結(jié)合上述方法使用的各種方法。
[0152] 圖15不出了用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的方法的一個(gè)實(shí)施例。
[0153] 在步驟1502,第一設(shè)備建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)。
[0154] 在步驟1504,第一設(shè)備確定一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端是否先前未被復(fù)制 過(guò)。
[0155] 在步驟1506,第一設(shè)備對(duì)一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端進(jìn)行加密以傳輸?shù)降诙?設(shè)備。
[0156] 在步驟1508,第一設(shè)備和第二設(shè)備交換或傳輸加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客 戶(hù)端。
[0157] 在給定本公開(kāi)的情況下，本領(lǐng)域的普通技術(shù)人員將認(rèn)識(shí)到用于大規(guī)模分發(fā)電子訪(fǎng) 問(wèn)控制客戶(hù)端的很多其他方案。
[0158] 應(yīng)該認(rèn)識(shí)到，當(dāng)根據(jù)方法的特定步驟順序來(lái)描述本公開(kāi)的某些方面時(shí)，這些描述 僅僅說(shuō)明了本公開(kāi)的更廣泛的方法并且可由特定應(yīng)用按需進(jìn)行修改。在某些情況下，某些 步驟可成為不必要的或可選的。此外，可將某些步驟或功能性添加至所公開(kāi)的實(shí)施例，或者 兩個(gè)或多個(gè)步驟的性能的次序可加以排列。所有此類(lèi)變型形式均視為涵蓋在本文所公開(kāi)和 要求保護(hù)的本公開(kāi)內(nèi)。
[0159] 雖然上述【具體實(shí)施方式】已經(jīng)示出、描述并指出施加到各種實(shí)施例的本公開(kāi)的新穎 特征，應(yīng)當(dāng)理解，本領(lǐng)域的技術(shù)人員在不脫離本公開(kāi)的情況下在設(shè)備或過(guò)程的形式和細(xì)節(jié) 中可做出各種省略、替代和改變前述描述是目前設(shè)想的實(shí)施本公開(kāi)的最佳模式。本說(shuō)明書(shū) 絕不旨在進(jìn)行限制，而是應(yīng)被認(rèn)為是本公開(kāi)的一般原理的示例。應(yīng)結(jié)合權(quán)利要求確定本公 開(kāi)的范圍。
【權(quán)利要求】
1. 用戶(hù)移動(dòng)裝置，包括： 無(wú)線(xiàn)接口，其被配置為與無(wú)線(xiàn)網(wǎng)絡(luò)進(jìn)行通信； 處理器，其與所述無(wú)線(xiàn)接口進(jìn)行數(shù)據(jù)通信； 安全元件，其與所述無(wú)線(xiàn)接口進(jìn)行數(shù)據(jù)通信，所述安全元件包括： 安全處理器； 安全存儲(chǔ)裝置，其與所述安全處理器進(jìn)行數(shù)據(jù)通信并存儲(chǔ)有多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端，所 述訪(fǎng)問(wèn)控制客戶(hù)端能夠用于至少向所述無(wú)線(xiàn)網(wǎng)絡(luò)進(jìn)行認(rèn)證；以及 計(jì)算機(jī)化邏輯，其與所述安全處理器進(jìn)行數(shù)據(jù)通信，所述邏輯被配置為存儲(chǔ)、訪(fǎng)問(wèn)以及 向或從所述用戶(hù)移動(dòng)裝置傳送所述多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端；以及 用戶(hù)接口邏輯，其至少與所述安全元件通信并被配置為使所述用戶(hù)移動(dòng)裝置的用戶(hù)能 夠選擇所存儲(chǔ)的多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端之一，并向所述網(wǎng)絡(luò)認(rèn)證所述用戶(hù)移動(dòng)裝置以便能夠 與所述網(wǎng)絡(luò)進(jìn)行通信。
2. 根據(jù)權(quán)利要求1所述的用戶(hù)移動(dòng)裝置，其中所述安全存儲(chǔ)裝置不能被所述用戶(hù)移動(dòng) 裝置中除所述安全處理器之外的所有部件訪(fǎng)問(wèn)。
3. 根據(jù)權(quán)利要求2所述的用戶(hù)移動(dòng)裝置，其中所述安全元件被配置為接收并存儲(chǔ)所述 一個(gè)或多個(gè)訪(fǎng)問(wèn)控制客戶(hù)端作為與公共用戶(hù)相關(guān)聯(lián)的不同電子用戶(hù)身份模塊（eSIM)，所述 不同eSIM中的每個(gè)包括不同的用戶(hù)語(yǔ)境。
4. 根據(jù)權(quán)利要求1所述的用戶(hù)移動(dòng)裝置，其中每個(gè)訪(fǎng)問(wèn)控制客戶(hù)端包括有限能力的文 件系統(tǒng)，所述文件系統(tǒng)包括計(jì)算機(jī)可讀指令和關(guān)聯(lián)的密碼數(shù)據(jù)。
5. 根據(jù)權(quán)利要求1所述的用戶(hù)移動(dòng)裝置，其中所述安全元件包括有限能力的文件系 統(tǒng)，所述文件系統(tǒng)包括計(jì)算機(jī)可讀指令，并且每個(gè)訪(fǎng)問(wèn)控制客戶(hù)端包括特定于該訪(fǎng)問(wèn)控制 客戶(hù)端的唯一密碼數(shù)據(jù)。
6. 根據(jù)權(quán)利要求1所述的用戶(hù)移動(dòng)裝置，其中所述安全元件還包括被配置為使得所述 用戶(hù)移動(dòng)裝置向所述網(wǎng)絡(luò)的激活服務(wù)發(fā)送激活請(qǐng)求的邏輯。
7. 根據(jù)權(quán)利要求1所述的用戶(hù)移動(dòng)裝置，其中所述安全元件還包括被配置為使所述用 戶(hù)移動(dòng)裝置能夠與多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端代理人實(shí)體通信的邏輯，所述代理人實(shí)體是代 理人和制造商網(wǎng)絡(luò)的每一部分，所述通信被配置為使所述用戶(hù)移動(dòng)裝置能夠獲得一個(gè)或多 個(gè)加密的訪(fǎng)問(wèn)控制客戶(hù)端。
8. -種用于分發(fā)多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端以在移動(dòng)無(wú)線(xiàn)設(shè)備上使用的方法，所述方法 包括： 建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)； 確定所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端是否先前未被復(fù)制過(guò)； 當(dāng)先前未被復(fù)制過(guò)時(shí)，加密所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端以傳送到所述移動(dòng)無(wú) 線(xiàn)設(shè)備之一；以及 交換經(jīng)加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端。
9. 根據(jù)權(quán)利要求8所述的方法，其中所述建立所有權(quán)包括評(píng)估3級(jí)（L3)安全證書(shū)。
10. 根據(jù)權(quán)利要求8所述的方法，其中所述確定先前的復(fù)制包括以下中的至少一者： ⑴評(píng)估；（ii)對(duì)質(zhì)詢(xún)問(wèn)題的響應(yīng)；和/或（iii)由電子通用集成電路卡（eUICC)發(fā)出的提 /_J、1 〇
11. 根據(jù)權(quán)利要求10所述的方法，其中所述加密包括利用特定于所述eUICC的密鑰加 Γ t I ο
12. 根據(jù)權(quán)利要求10所述的方法，其中所述交換經(jīng)加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客 戶(hù)端包括針對(duì)設(shè)置于所述一個(gè)移動(dòng)無(wú)線(xiàn)設(shè)備上的一個(gè)或多個(gè)客戶(hù)端交換經(jīng)加密的一個(gè)或 多個(gè)客戶(hù)端。
13. -種用于大規(guī)模分發(fā)電子訪(fǎng)問(wèn)控制客戶(hù)端的裝置，包括： 處理器；以及 非暫態(tài)計(jì)算機(jī)可讀介質(zhì)，所述非暫態(tài)計(jì)算機(jī)可讀介質(zhì)與所述處理器進(jìn)行數(shù)據(jù)通信并包 括指令，所述指令被配置為當(dāng)由所述處理器執(zhí)行時(shí)，使得所述裝置： 建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)； 確定所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端是否先前被復(fù)制過(guò)； 當(dāng)確定先前未被復(fù)制過(guò)時(shí)，加密所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端以傳送到第二設(shè) 備；以及 向所述第二設(shè)備傳送經(jīng)加密的一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端。
14. 根據(jù)權(quán)利要求13所述的裝置，其中所述裝置包括能夠由多個(gè)類(lèi)似的裝置訪(fǎng)問(wèn)的聯(lián) 網(wǎng)服務(wù)器，所述裝置經(jīng)由無(wú)線(xiàn)網(wǎng)絡(luò)與多個(gè)用戶(hù)移動(dòng)設(shè)備通信。
15. -種用于提供具有電子訪(fǎng)問(wèn)客戶(hù)端的無(wú)線(xiàn)移動(dòng)設(shè)備的網(wǎng)絡(luò)架構(gòu)，所述網(wǎng)絡(luò)架構(gòu)包 括： 多個(gè)代理人；以及 多個(gè)制造商，其與所述多個(gè)代理人進(jìn)行數(shù)據(jù)通信；其中給定的用戶(hù)移動(dòng)設(shè)備能夠由所 述代理人中的多個(gè)提供服務(wù)；以及 其中所述代理人中的任一個(gè)能夠從一個(gè)或多個(gè)所述制造商訂購(gòu)電子訪(fǎng)問(wèn)客戶(hù)端。
16. 根據(jù)權(quán)利要求15所述的網(wǎng)絡(luò)架構(gòu)，其中所述多個(gè)代理人包括向移動(dòng)設(shè)備至少提供 發(fā)現(xiàn)服務(wù)的主要代理人，使得移動(dòng)設(shè)備能夠在與其通信之前識(shí)別適當(dāng)?shù)拇砣恕?br> 17. 用于向一個(gè)或多個(gè)移動(dòng)設(shè)備提供電子訪(fǎng)問(wèn)客戶(hù)端的裝置，所述裝置包括： 至少一個(gè)處理器；以及 第一邏輯，其與所述至少一個(gè)處理器進(jìn)行數(shù)據(jù)通信，所述第一邏輯被配置為使得所述 裝置執(zhí)行訪(fǎng)問(wèn)客戶(hù)端的加密與解密； 第二邏輯，其與所述至少一個(gè)處理器進(jìn)行數(shù)據(jù)通信，所述第二邏輯被配置為使得所述 裝置確保所述訪(fǎng)問(wèn)客戶(hù)端不是復(fù)制的；以及 第三邏輯，其與所述至少一個(gè)處理器進(jìn)行數(shù)據(jù)通信，所述第三邏輯被配置為使得所述 裝置建立所述訪(fǎng)問(wèn)客戶(hù)端的用戶(hù)的信任、所有權(quán)和/或驗(yàn)證的至少一個(gè)。
18. 根據(jù)權(quán)利要求17所述的裝置，其中所述第一邏輯包括在L1中的電子通用集成電路 卡（enCC)或硬件安全模塊（HSM)內(nèi)的邏輯。
19. 根據(jù)權(quán)利要求18所述的裝置，其中所述第二邏輯被配置為向由所述第一邏輯加密 的加密有效載荷中嵌入質(zhì)詢(xún)。
20. -種電子訪(fǎng)問(wèn)控制客戶(hù)端撤消過(guò)程，包括： 確定發(fā)出證書(shū)的簽署證書(shū)管理機(jī)構(gòu)是否受到影響，所述證書(shū)與存儲(chǔ)所述證書(shū)的一個(gè)或 多個(gè)設(shè)備相關(guān)聯(lián)； 當(dāng)創(chuàng)建對(duì)所述證書(shū)的初始請(qǐng)求時(shí)，在所述一個(gè)或多個(gè)設(shè)備處確定創(chuàng)建的證書(shū)服務(wù)請(qǐng) 求； 利用所確定的證書(shū)服務(wù)請(qǐng)求請(qǐng)求新的證書(shū)；以及 基于所述請(qǐng)求發(fā)出新的證書(shū)； 其中所述一個(gè)或多個(gè)設(shè)備能夠使用先前使用的私鑰作為所述請(qǐng)求的一部分，并且發(fā)出 包含對(duì)應(yīng)于所述先前私鑰的先前公鑰的所述新的證書(shū)。
21. -種用于分發(fā)多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端以在移動(dòng)無(wú)線(xiàn)設(shè)備上使用的裝置，所述裝 置包括： 用于建立一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端的所有權(quán)的裝置； 用于確定所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端是否先前未被復(fù)制過(guò)的裝置； 用于當(dāng)確定所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端先前未被復(fù)制過(guò)時(shí)，加密所述一個(gè)或 多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端以傳送到所述移動(dòng)無(wú)線(xiàn)設(shè)備中的一個(gè)移動(dòng)無(wú)線(xiàn)設(shè)備的裝置；以及 用于用經(jīng)加密的一個(gè)或多個(gè)客戶(hù)端交換設(shè)置于所述一個(gè)移動(dòng)無(wú)線(xiàn)設(shè)備上的一個(gè)或多 個(gè)客戶(hù)端的裝置。
22. 根據(jù)權(quán)利要求21所述的裝置，其中所述建立所有權(quán)包括評(píng)估3級(jí)（L3)安全證書(shū)。
23. 根據(jù)權(quán)利要求21所述的裝置，其中所述確定所述一個(gè)或多個(gè)電子訪(fǎng)問(wèn)控制客戶(hù)端 是否先前未被復(fù)制過(guò)至少包括以下中的一者：（i)評(píng)估；（ii)對(duì)質(zhì)詢(xún)問(wèn)題的響應(yīng)；和/或 (iii)由電子通用集成電路卡（eUICC)發(fā)出的提示。
24. 根據(jù)權(quán)利要求23所述的裝置，其中所述加密使用特定于所述eUICC的至少一個(gè)密 鑰。
【文檔編號(hào)】H04L29/06GK104221347SQ201380019098
【公開(kāi)日】2014年12月17日 申請(qǐng)日期:2013年2月14日 優(yōu)先權(quán)日:2012年2月14日
【發(fā)明者】D·哈格瑞蒂, J·豪克, B·朱安格, 李莉, A·馬蒂亞斯, K·邁克勞林, A·納拉西穆罕, C·夏普, Y·韋德, 楊翔英 申請(qǐng)人:蘋(píng)果公司