DE102013013178A1

DE102013013178A1 - Method and apparatus for changing a mobile radio network

Info

Publication number: DE102013013178A1
Application number: DE102013013178.2A
Authority: DE
Inventors: Nils Nitsch; Ulrich Huber
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient Mobile Security GmbH
Priority date: 2013-08-07
Filing date: 2013-08-07
Publication date: 2015-02-12
Also published as: WO2015018510A2; WO2015018510A3

Abstract

Es werden ein Verfahren zum Wechseln bzw. Umschalten von einem ersten Subskriptionsprofil (18A) zum Einbuchen in ein erstes Mobilfunknetz (30) zu einem zweiten Subskriptionsprofil (18B) zum Einbuchen in ein zweites Mobilfunknetz (40) mit einem Sicherheitselement (14), das Teil eines mobilen Endgeräts (12) ist, sowie ein solches Sicherheitselement (14) beschrieben. Dabei ist das Sicherheitselement (14) dazu ausgestaltet, dem ersten Subskriptionsprofil (18A) einen Zustand und dem zweiten Subskriptionsprofil (18B) einen Zustand zuzuweisen. Das Verfahren umfasst die folgenden Schritte: das Empfangen wenigstens eines Kommandos von einer Serverinstanz (50) zum Wechseln vom ersten Subskriptionsprofil (18A) zum zweiten Subskriptionsprofil (18B); und falls der Zustand des ersten Subskriptionsprofils (18A) und/oder der Zustand des zweiten Subskriptionsprofils (18B) das Ausführen des wenigstens eines Kommandos durch das Sicherheitselement (14) zulassen, das Ausführen des wenigstens einen Kommandos, um vom ersten Subskriptionsprofil (18A) zum zweiten Subskriptionsprofil (18B) zu wechseln.A method for switching or switching from a first subscription profile (18A) for logging into a first mobile radio network (30) to a second subscription profile (18B) for logging into a second mobile radio network (40) with a security element (14), the part a mobile terminal (12), as well as such a security element (14) is described. In this case, the security element (14) is configured to assign a state to the first subscription profile (18A) and a state to the second subscription profile (18B). The method comprises the steps of: receiving at least one command from a server entity (50) to switch from the first subscription profile (18A) to the second subscription profile (18B); and if the state of the first subscription profile (18A) and / or the state of the second subscription profile (18B) allow the at least one command to be executed by the security element (14), executing the at least one command to move from the first subscription profile (18A) to second subscription profile (18B).

Description

Gebiet der ErfindungField of the invention

Die Erfindung betrifft die Kommunikation über Mobilfunknetze im Allgemeinen und insbesondere Verfahren und Vorrichtungen zum Durchführen eines Wechsels von einem ersten Subskriptionsprofil zum Einbuchen in ein erstes Mobilfunknetz zu einem zweiten Subskriptionsprofil zum Einbuchen in ein zweites Mobilfunknetz durch ein mobiles Endgerät mit einem Sicherheitselement, wie beispielsweise ein Teilnehmeridentifikationsmodul in Form einer SIM, einer eUICC/UICC oder dergleichen.The invention relates to communication via mobile radio networks in general and in particular to methods and devices for performing a change from a first subscription profile for logging into a first mobile network to a second subscription profile for logging into a second mobile network by a mobile terminal with a security element, such as a subscriber identification module in the form of a SIM, an eUICC / UICC or the like.

Hintergrund der ErfindungBackground of the invention

Das Kommunizieren mittels eines mobilen Endgeräts, beispielsweise einem Mobiltelefon, über ein Mobilfunknetzwerk (auch als PLMN [Public Land Mobile Network] bezeichnet), das von einem Netzbetreiber (auch als MNO [Mobile Network Operator] bezeichnet) betrieben wird, erfordert in der Regel, dass das mobile Endgerät mit einem Sicherheitselement zum sicheren Speichern von Daten ausgestattet ist, die den Benutzer des mobilen Endgeräts gegenüber dem Mobilfunknetzwerk eindeutig identifizieren. Beispielsweise kommt bei einem mobilen Endgerät, das dazu ausgestaltet ist, gemäß dem GSM-Standard (Global System for Mobile Communications) zu kommunizieren, bei dem es sich zur Zeit um einen der am weitesten verbreiteten Mobilfunkstandards handelt, ein Sicherheitselement mit dem Namen SIM (Subscriber Identity Module) üblicherweise in Form einer Chipkarte bzw. Smartcard zum Einsatz. Gemäß dem GSM-Standard, dessen technische Merkmale in einer Vielzahl von miteinander verknüpften und voneinander abhängigen Spezifikationen definiert werden, enthält die SIM-Karte Teilnehmeridentifikationsdaten bzw. Subskriptionsberechtigungsdaten (”Subscription Credentials”) zum Identifizieren und Authentisieren des Benutzers bzw. Teilnehmers, einschließlich einer IMSI (International Mobile Subscriber Identity) und eines Authentisierungsschlüssels K_i. Bevor einem Teilnehmer seine SIM-Karte zur Verfügung gestellt wird, werden diese Subskriptionsberechtigungsdaten üblicherweise vom SIM-Karten-Hersteller oder dem Netzbetreiber im Rahmen eines Personalisierungsprozesses als Teil eines Subskriptionsprofils auf der SIM-Karte sicher hinterlegt. Eine nicht-personalisierte SIM-Karte ist im Allgemeinen nicht für die bestimmungsgemäße Verwendung in einem mobilen Endgerät geeignet, d. h. es ist nicht möglich mit einer nicht-personalisierten SIM-Karte ohne ein Subskriptionsprofil auf von einem Mobilfunknetzwerk bereitgestellte Dienste zuzugreifen.Communicating by means of a mobile terminal, for example a mobile telephone, via a mobile radio network (also referred to as PLMN [Public Land Mobile Network]) operated by a network operator (also referred to as MNO [Mobile Network Operator]) usually requires in that the mobile terminal is provided with a security element for the secure storage of data which uniquely identifies the user of the mobile terminal with respect to the mobile radio network. For example, in a mobile terminal configured to communicate in accordance with the Global System for Mobile Communications (GSM) standard, which is currently one of the most widely used cellular standards, a security element called SIM (Subscriber Identity modules) usually in the form of a smart card or smartcard are used. In accordance with the GSM standard, the technical features of which are defined in a plurality of interrelated and interdependent specifications, the SIM card contains subscriber identification data ("subscription credentials") for identifying and authenticating the user, including an IMSI (International Mobile Subscriber Identity) and an authentication key K _i . Before a subscriber is provided with his SIM card, these subscription authorization data are usually stored securely by the SIM card manufacturer or the network operator as part of a subscription profile on the SIM card as part of a personalization process. A non-personalized SIM card is generally not suitable for its intended use in a mobile terminal, ie it is not possible to access a service provided by a mobile network with a non-personalized SIM card without a subscription profile.

Ein bestimmtes Anwendungsgebiet von Sicherheitselementen, wie SIM-Karten, UICCs, eUICCS und dergleichen, das aller Voraussicht nach in der nahen Zukunft beträchtlich wachsen wird, ist die M2M-Kommunikation (”machine-to-machine communication”), d. h. die Kommunikation zwischen Maschinen über ein Mobilfunknetz ohne menschliche Interaktion. Bei der M2M-Kommunikation können Daten automatisch zwischen zahlreichen unterschiedlichen Maschinenarten ausgetauscht werden, die mit einem Sicherheitselement in Form eines M2M-Moduls ausgestattet sind, beispielsweise TV-Systeme, Set-Top-Boxen, Verkaufsautomaten, Fahrzeuge, Verkehrsampeln, Überwachungskameras, Sensorvorrichtungen und dergleichen. Es ist abzusehen, dass zumindest bei einigen derartiger Vorrichtungen es unmöglich oder zumindest sehr schwierig sein wird, das Sicherheitselement bereits bei der Herstellung mit einem Subskriptionsprofil zu versehen. Dies liegt insbesondere daran, dass in vielen M2M-Vorrichtungen das Sicherheitselement in Form eines oberflächenmontiertes Chips (surface mounted chip) oder Chipmoduls implementiert wird und zu diesem Zeitpunkt beispielsweise nicht klar ist, in welchem Land der Erde eine bestimmte M2M-Vorrichtung zum Einsatz kommen wird. Folglich ist es bei solchen M2M-Vorrichtungen mit nicht-personalisierten Sicherheitselementen erforderlich, dass diese erst beim Einsatz im Feld über die Luftschnittstelle mit einem Subskriptionsprofil versehen werden können.One particular application of security elements, such as SIM cards, UICCs, eUICCS, and the like, which is likely to grow considerably in the near future is M2M ("machine-to-machine communication") communication; H. the communication between machines over a mobile network without human interaction. In M2M communication, data can be automatically exchanged between many different types of machines equipped with a security element in the form of an M2M module, such as TV systems, set-top boxes, vending machines, vehicles, traffic lights, surveillance cameras, sensor devices, and the like , It is anticipated that, at least in some such devices, it will be impossible or at least very difficult to provide the security element with a subscription profile already during manufacture. This is particularly because in many M2M devices, the security element is implemented in the form of a surface mounted chip or chip module, and at this time, for example, it is not clear in which country of the earth a particular M2M device will be used , Consequently, such M2M devices with non-personalized security elements require that they be provided with a subscription profile only when deployed in the field over the air interface.

Für die Inanspruchnahme der von einem Mobilfunknetzbetreiber bereitgestellten Dienste, insbesondere das Kommunizieren über das entsprechende Mobilfunknetzwerk, muss der Benutzer eines mobilen Endgeräts in der Regel eine monatliche Gebühr zahlen. Falls der Benutzer beispielsweise aufgrund von niedrigeren monatlichen Gebühren und/oder besseren Diensten zu einem anderen Mobilfunknetzbetreiber wechseln möchte, muss dieser üblicherweise manuell die vom bisherigen Mobilfunknetzbetreiber bereitgestellte SIM-Karte mit dem Subskriptionsprofil zur Nutzung des Mobilfunknetzes des bisherigen Mobilfunknetzbetreibers durch eine vom neuen Mobilfunknetzbetreiber bereitgestellte SIM-Karte mit einem Subskriptionsprofil zur Nutzung des Mobilfunknetzes des neuen Mobilfunknetzbetreibers ersetzen. Anstatt dieser herkömmlichen Vorgehensweise wäre es für den Benutzer ohne Frage einfacher und bequemer, ein Sicherheitselement zu haben, das über die Luftschnittstelle mittels eines neuen Subskriptionsprofils ”umprogrammiert” werden kann.For the use of the services provided by a mobile network operator, in particular the communication via the corresponding mobile radio network, the user of a mobile terminal usually has to pay a monthly fee. For example, if the user wishes to switch to another mobile network operator due to lower monthly fees and / or better services, he will typically have manually provided the SIM card provided by the previous mobile network operator with the subscription profile for using the mobile network of the previous mobile network operator through a SIM provided by the new mobile network operator Card with a subscription profile to use the mobile network of the new mobile network operator replace. Instead of this conventional approach, it would be easier and more convenient for the user to have a security element that can be "reprogrammed" over the air interface using a new subscription profile.

Aus dem Stand der Technik sind Verfahren zum Herunterladen eines Subskriptionsprofils über die Luftschnittstelle von einer Serverinstanz auf ein Sicherheitselement bekannt, auf dem bereits ein Subskriptionsprofil vorliegt, und zum Durchführen eines Wechsels von dem bereits vorhandenen Subskriptionsprofil zu dem neuen Subskriptionsprofil. Bei herkömmlichen Subskriptionswechseln kann jedoch das Problem auftreten, dass Nachrichten von der Serverinstanz über die Luftschnittstelle an das Sicherheitselement verloren gehen und somit die Serverinstanz und das Sicherheitselement nicht synchron sind, so dass die Serverinstanz nicht weiß, in welchem Zustand sich das Sicherheitselement befindet. Ferner ist es nicht immer möglich, sei es aus Kostengründen oder aus technischen Gründen, dass das Sicherheitselement bei jedem Kommando der Serverinstanz eine Bestätigung an die Serverinstanz schickt, um die Serverinstanz über den aktuellen Status des Sicherheitselements auf dem Laufenden zu halten. Falls das Sicherheitselement und die Serverinstanz nicht synchron sind, d. h. die Serverinstanz nicht den richtigen Status des Sicherheitselements kennt, kann der Fall eintreten, dass ein zu dem tatsächlichen Status des Sicherheitselements nicht passendes Kommando der Serverinstanz dazu führt, dass sich das Sicherheitselement aufhängt und durch die Serverinstanz nicht mehr ansprechbar ist.The prior art discloses methods for downloading a subscription profile over the air interface from a server instance to a security element, which already has a subscription profile, and for making a change from the already existing subscription profile to the new subscription profile. However, with conventional subscription changes, the problem may arise that messages from the server instance over the air interface to the server Security element are lost and thus the server instance and the security element are not in sync, so that the server instance does not know in which state the security element is located. Furthermore, it is not always possible, either for reasons of cost or for technical reasons, that the security element sends an acknowledgment to the server instance with each command of the server instance in order to keep the server instance up to date on the current status of the security element. If the security element and the server instance are not synchronous, that is, the server instance does not know the correct status of the security element, it may happen that a command of the server instance that does not match the actual status of the security element causes the security element to hang up and through the Server instance is no longer accessible.

Vor diesem Hintergrund stellt sich der vorliegenden Erfindung die Aufgabe, verbesserte Verfahren und Vorrichtungen zum Durchführen eines Wechsels von einem ersten Subskriptionsprofil zum Einbuchen in ein erstes Mobilfunknetz zu einem zweiten Subskriptionsprofil zum Einbuchen in ein zweites Mobilfunknetz durch ein mobiles Endgerät mit einem Sicherheitselement bereitzustellen, mit denen die vorstehend beschriebenen Nachteile zumindest teilweise behoben werden können.Against this background, the present invention has the object to provide improved methods and apparatus for performing a change from a first subscription profile for logging into a first mobile network to a second subscription profile for logging into a second mobile network by a mobile terminal with a security element with which the disadvantages described above can be at least partially resolved.

Zusammenfassung der ErfindungSummary of the invention

Die vorstehende Aufgabe wird gemäß der vorliegenden Erfindung durch den jeweiligen Gegenstand der unabhängigen Ansprüche gelöst. Bevorzugte Ausgestaltungen der Erfindung werden in den abhängigen Ansprüchen definiert.The above object is solved according to the present invention by the respective subject matter of the independent claims. Preferred embodiments of the invention are defined in the dependent claims.

Gemäß einem ersten Aspekt der Erfindung wird ein Verfahren zum Wechseln bzw. Umschalten von einem ersten Subskriptionsprofil zum Einbuchen eines Sicherheitselements, das Teil eines mobilen Endgeräts ist, in ein erstes Mobilfunknetz zu einem zweiten Subskriptionsprofil zum Einbuchen des Sicherheitselements in ein zweites Mobilfunknetz bereitgestellt. Dabei ist das Sicherheitselement dazu ausgestaltet, dem ersten Subskriptionsprofil einen Zustand einer Vielzahl von Zuständen und dem zweiten Subskriptionsprofil einen Zustand einer Vielzahl von Zuständen zuzuweisen. Das Verfahren umfasst die folgenden Schritte: das Empfangen wenigstens eines Kommandos von einer Serverinstanz zum Wechseln vom ersten Subskriptionsprofil zum zweiten Subskriptionsprofil; das Überprüfen, ob der Zustand des ersten Subskriptionsprofils und/oder der Zustand des zweiten Subskriptionsprofils das Ausführen des wenigstens einen Kommandos durch das Sicherheitselement zulassen; und falls das Ergebnis der Überprüfung erfolgreich war, das Ausführen des wenigstens einen Kommandos, um vom ersten Subskriptionsprofil zum zweiten Subskriptionsprofil zu wechseln.According to a first aspect of the invention, a method for switching or switching from a first subscription profile for registering a security element which is part of a mobile terminal in a first mobile network to a second subscription profile for posting the security element in a second mobile network is provided. In this case, the security element is configured to assign a state of a plurality of states to the first subscription profile and a state of a plurality of states to the second subscription profile. The method includes the steps of: receiving at least one command from a server instance to switch from the first subscription profile to the second subscription profile; checking whether the state of the first subscription profile and / or the state of the second subscription profile allow the at least one command to be executed by the security element; and if the result of the verification was successful, executing the at least one command to switch from the first subscription profile to the second subscription profile.

Bei dieser bevorzugten Ausführungsform handelt es sich bei dem Sicherheitselement vorzugsweise um ein Teilnehmeridentifikationsmodul, das dazu ausgestaltet ist, einen Teilnehmer gegenüber einem Mobilfunknetzwerk zu authentisieren und mit der Serverinstanz über das Mobilfunknetzwerk zu kommunizieren.In this preferred embodiment, the security element is preferably a subscriber identification module, which is configured to authenticate a subscriber to a mobile radio network and to communicate with the server instance via the mobile radio network.

Vorzugsweise beinhaltet das Ausführen des wenigstens einen Kommandos zum Wechseln vom ersten Subskriptionsprofil zum zweiten Subskriptionsprofil den Übergang des Zustands des zweiten Subskriptionsprofils in den Zustand ”aktiv”.Preferably, executing the at least one command to change from the first subscription profile to the second subscription profile includes transitioning the state of the second subscription profile to the "active" state.

Gemäß bevorzugter Ausführungsformen der Erfindung umfasst das Verfahren den weiteren Schritt des Herunterladens des zweiten Subskriptionsprofils von der Serverinstanz durch das Sicherheitselement.According to preferred embodiments of the invention, the method comprises the further step of downloading the second subscription profile from the server instance by the security element.

Vorzugsweise überprüft vor dem Ausführen des wenigstens einen Kommandos zum Wechseln vom ersten Subskriptionsprofil zum zweiten Subskriptionsprofil das Sicherheitselement die Integrität des zweiten Subskriptionsprofils.Preferably, before executing the at least one command to switch from the first subscription profile to the second subscription profile, the security element verifies the integrity of the second subscription profile.

Gemäß bevorzugter Ausführungsformen der Erfindung wird der Schritt des Überprüfen von einem auf dem Sicherheitselement implementierten Verwaltungsmodul durchgeführt. Vorzugsweise befindet sich das Verwaltungsmodul in einem Zustand einer Vielzahl von Zuständen und vorzugsweise umfasst der Schritt des Überprüfen ferner den Schritt des Überprüfen, ob der Zustand des Verwaltungsmoduls das Ausführen des wenigsten einen Kommandos durch das Sicherheitselement zulässt.According to preferred embodiments of the invention, the step of checking is performed by a management module implemented on the security element. Preferably, the management module is in a state of a plurality of states, and preferably, the step of checking further comprises the step of verifying that the state of the management module permits execution of the at least one command by the security element.

Vorzugsweise kann sich immer nur ein Subskriptionsprofil im Zustand ”aktiv” befinden, der es ermöglicht, dass sich das Sicherheitselement mit dem entsprechenden Subskriptionsprofil in das entsprechende Mobilfunknetzwerk einbuchen kann.Preferably, only one subscription profile can always be in the "active" state, which makes it possible for the security element to be able to log into the corresponding mobile radio network with the corresponding subscription profile.

Gemäß einem zweiten Aspekt der Erfindung wird ein Sicherheitselement bereitgestellt, das Teil eines mobilen Endgeräts ist. Dabei ist das Sicherheitselement dazu ausgestaltet, gemäß einem Verfahren gemäß dem ersten Aspekt der Erfindung betrieben zu werden.According to a second aspect of the invention, there is provided a security element that is part of a mobile terminal. In this case, the security element is designed to be operated in accordance with a method according to the first aspect of the invention.

Bei einem erfindungsgemäßen Sicherheitselement handelt es sich beispielsweise um einen in Hardware ausgestalteten Datenträger. Das Sicherheitselement ist beispielsweise als ein fest integrierter Bestandteil in einem Endgerät angeordnet, wobei es entweder in der Form nicht vom Endgerät entnommen werden kann, beispielsweise als Teilnehmeridentifikationmodul, M2M-Modul, Co-Prozessor, Trusted Base, Trusted Platform Module.A security element according to the invention is, for example, a data carrier designed in hardware. The security element is arranged, for example, as a firmly integrated component in a terminal, wherein it can not be removed either in the form of the terminal, for example as Subscriber Identification Module, M2M Module, Co-Processor, Trusted Base, Trusted Platform Module.

Alternativ ist das Sicherheitselement als ein entnehmbares Modul mit dem mobilen Endgerät verbunden, beispielsweise als Chipkarte, insbesondere als Teilnehmeridentifikationsmodul, Smart Card, Massenspeicherkarte, USB-Token, Multimediakarte, Secure MicroSD-Karte, Mobilfunknetztoken, z. B. ein UMTS-Surfstick und/oder als elektronisches Identitätsdokument, beispielsweise als elektronischer Personalausweis beziehungsweise Reisepass mit in einem Speicherbereich abgelegten maschinenlesbaren Identifikationsdaten einer Person.Alternatively, the security element is connected as a removable module with the mobile terminal, for example as a smart card, in particular as a subscriber identification module, smart card, mass storage card, USB token, multimedia card, Secure MicroSD card, Mobilfunknetztoken, z. B. a UMTS surf stick and / or as an electronic identity document, for example, as an electronic identity card or passport with stored in a memory area machine-readable identification data of a person.

Gemäß einer weiteren Alternative kann das Sicherheitselement als eine Kombination aus Hard- und Softwarekomponenten in einem vertrauenswürdigen Teil eines Betriebssystems des Endgeräts ausgebildet sein, die dem Fachmann auch als gesicherte Laufzeitumgebung (”Trusted Execution Environment”; TEE) bekannt ist. Das Sicherheitselement kann dann beispielsweise innerhalb einer solchen gesicherten Laufzeitumgebung in Form von darin ablaufenden Programmen, sogenannten Trustlets ausgebildet sein.According to a further alternative, the security element can be embodied as a combination of hardware and software components in a trusted part of an operating system of the terminal, which is also known to the person skilled in the art as a trusted execution environment ("TEE"). The security element can then be designed, for example, within such a secure runtime environment in the form of programs running in it, so-called trustlets.

Bei dem Sicherheitselement kann es sich grundsätzlich um einen in Baugröße und Ressourcenumfang reduzierten Computer handeln, der einen Prozessor und mindestens eine Schnittstelle zur Kommunikation mit einem externen Gerät aufweist. Häufig besitzt er keine oder nur eine rudimentäre eigene Nutzerdatenausgabe. Das Sicherheitselement weist insbesondere einen Datenspeicher zum Ablegen von Daten, Informationen, Dateien und/oder Applikationen mit dazugehörigen Variablen ab, wobei Bereiche des Datenspeichers flüchtig oder nicht-flüchtig sein können. Der nichtflüchtige Datenspeicher kann insbesondere permanent, beispielsweise als ein Read-Only-Memory, kurz ROM oder semi-permanent sein, beispielsweise als ein Electrically-Erasable-Programmable-Read-Only-Memory, kurz EEPROM, Flashspeicher, Ferroelectric Random Access Memory, kurz FRAM bzw. FeRAM-Speicher oder Magnetoresistive Random Access Memory, kurz MRAM-Speicher.The security element can basically be a computer reduced in size and in terms of resources, which has a processor and at least one interface for communication with an external device. He often has no or only a rudimentary own user data output. In particular, the security element has a data memory for storing data, information, files and / or applications with associated variables, wherein areas of the data memory may be volatile or non-volatile. In particular, the nonvolatile data memory may be permanent, for example as a read-only memory, ROM for short or semi-permanent, for example as an Electrically Erasable Programmable Read Only Memory, in short EEPROM, Flash Memory, Ferroelectric Random Access Memory, in short FRAM or FeRAM memory or magnetoresistive random access memory, in short MRAM memory.

Wie der Fachmann erkennt, lassen sich die vorstehend beschriebenen bevorzugten Ausgestaltungen sowohl im Rahmen des ersten Aspekts der Erfindung, d. h. im Rahmen des Verfahrens zum Wechseln von einem ersten Subskriptionsprofil zu einem zweiten Subskriptionsprofil, als auch im Rahmen des zweiten Aspekts der Erfindung, d. h. im Rahmen des Sicherheitselements, vorteilhaft implementieren.As those skilled in the art will appreciate, the preferred embodiments described above can be both within the scope of the first aspect of the invention, i. H. in the context of the method for changing from a first subscription profile to a second subscription profile, as well as in the context of the second aspect of the invention, d. H. in the context of the security element, implement advantageous.

Weitere Merkmale, Vorteile und Aufgaben der Erfindung gehen aus der folgenden detaillierten Beschreibung mehrerer Ausführungsbeispiele und Ausführungsalternativen hervor. Es wird auf die Zeichnungen verwiesen, in denen zeigen:Other features, advantages and objects of the invention will be apparent from the following detailed description of several embodiments and alternative embodiments. Reference is made to the drawings, in which:

1 eine schematische Darstellung eines Kommunikationssystems mit einem Sicherheitselement in Form eines als SIM-Karte ausgestalteten Teilnehmeridentifikationsmoduls, die unterschiedliche Aspekte der vorliegenden Erfindung illustriert, 1 1 a schematic representation of a communication system with a security element in the form of a subscriber identification module designed as a SIM card, which illustrates different aspects of the present invention,

3 eine schematische Darstellung eines bevorzugten Ablaufs beim Betreiben des Sicherheitselements von 1 und 3 a schematic representation of a preferred procedure when operating the security element of 1 and

3 eine Darstellung von Zustandsdiagrammen eines ersten Subskriptionsprofils, eines zweiten Subskriptionsprofils und einer Subskriptionsprofilverwaltungsapplikation gemäß bevorzugter Ausführungsformen der Erfindung. 3 an illustration of state diagrams of a first subscription profile, a second subscription profile and a subscription profile management application according to preferred embodiments of the invention.

1 zeigt eine schematische Darstellung der Komponenten eines Kommunikationssystems 10 sowie einige der Kommunikationsverbindungen zwischen diesen Komponenten, das unterschiedliche Aspekte der vorliegenden Erfindung illustriert. Obgleich in der nachstehenden detaillierten Beschreibung auf ein ”mobiles” Endgerät Bezug genommen wird, wird der Fachmann erkennen, dass die vorliegende Erfindung vorteilhaft im Zusammenhang mit jeder Art von Endgerät implementiert werden kann, das dazu ausgestaltet ist, über ein mobiles oder zelluläres Kommunikationsnetzwerk zu kommunizieren, also auch mit Endgeräten, deren Standort sich praktisch nicht ändert. Mit anderen Worten: das hierein verwendete Attribut ”mobil” bezieht sich auf die Fähigkeit des Endgeräts über ein mobiles oder zelluläres Kommunikationsnetzwerk zu kommunizieren, einschließlich IP-basierte Kommunikationsnetzwerke. 1 shows a schematic representation of the components of a communication system 10 as well as some of the communication links between these components that illustrate different aspects of the present invention. Although in the following detailed description reference will be made to a "mobile" terminal, those skilled in the art will appreciate that the present invention may be advantageously implemented in conjunction with any type of terminal configured to communicate over a mobile or cellular communication network So also with terminals whose location practically does not change. In other words, the term "mobile" as used herein refers to the ability of the terminal to communicate over a mobile or cellular communication network, including IP-based communication networks.

Ein beispielhaftes mobiles Endgerät 12 ist in 1 dargestellt, das ein Sicherheitselement (”Secure Element”) 14 zum sicheren Speichern und Verarbeiten von Daten umfasst, die beispielsweise das mobile Endgerät 12 und/oder dessen Benutzer eindeutig identifizieren. Wie dies in 1 angedeutet ist, handelt es sich bei dem mobilen Endgerät 12 vorzugsweise um ein Mobiltelefon, ein Smartphone oder eine ähnliche Vorrichtung. Der Fachmann wird jedoch erkennen, dass das mobile Endgerät 12 gemäß der vorliegenden Erfindung ebenfalls in Form von anderen Vorrichtungen implementiert werden kann, die dazu eingerichtet sind, über ein Mobilfunknetzwerk zu kommunizieren, wie beispielsweise ein Tablett-Computer, ein Notebook, ein TV-System, eine Set-Top-Box, ein Verkaufsautomat, ein Kraftfahrzeug, eine Überwachungskamera, eine Sensorvorrichtung und dergleichen.An exemplary mobile device 12 is in 1 represented that a security element ("Secure Element") 14 for securely storing and processing data, such as the mobile terminal 12 and / or uniquely identify its user. Like this in 1 is indicated, it is the mobile terminal 12 preferably a mobile phone, a smartphone or similar device. However, those skilled in the art will recognize that the mobile terminal 12 according to the present invention may also be implemented in the form of other devices adapted to communicate over a mobile radio network, such as a tablet computer, a notebook, a TV system, a set-top box, a vending machine, a motor vehicle, a surveillance camera, a sensor device and the like.

Gemäß bevorzugter Ausführungsformen der Erfindung ist das Sicherheitselement 14 als ein Teilnehmeridentifikationsmodul in Form einer eUICC oder UICC mit einer darauf laufenden SIM-Applikation ausgestaltet, d. h. als ein Sicherheitselement, das fester Bestandteil des mobilen Endgeräts 12 ist und in einem Mobilfunknetzwerk für die eindeutige und sichere Identifizierung des Benutzers und für die Bereitstellung unterschiedlicher Funktionen und Mehrwertdienste verwendet wird. Alternativ kann das Sicherheitselement 14 als ein Teilnehmeridentifikationsmodul in Form einer SIM-Karte (Subscriber Identity Module) ausgestaltet sein, die dem Fachmann als eine der zurzeit am häufigsten verwendeten Formen eines Sicherheitselements bekannt ist. Der Fachmann wird jedoch erkennen, dass andere Arten von Sicherheitselementen in Form von Teilnehmeridentifikationsmodulen, die je nach Generation und Typ des zugrunde liegenden Mobilfunkkommunikationssystemstandards als USIM, R-UIM, ISIM und dergleichen bezeichnet werden, ebenfalls von der vorliegenden Erfindung umfasst werden. Ferner kann es sich bei dem Sicherheitselement 14 um ein M2M-Modul handeln.According to preferred embodiments of the invention, the security element 14 as a Subscriber identification module in the form of an eUICC or UICC configured with a running SIM application, ie as a security element, the fixed part of the mobile terminal 12 is used in a mobile network for the unique and secure identification of the user and for the provision of different functions and value-added services. Alternatively, the security element 14 be designed as a subscriber identification module in the form of a SIM card (Subscriber Identity Module), which is known in the art as one of the currently most commonly used forms of a security element. However, those skilled in the art will recognize that other types of subscriber identity module security elements, referred to as USIM, R-UIM, ISIM, and the like, depending on the generation and type of underlying cellular communication system standard, are also encompassed by the present invention. Furthermore, the security element may be 14 to trade an M2M module.

Gemäß weiterer bevorzugter Ausführungsformen der Erfindung kann das Sicherheitselement 14 in Form eines Teilnehmeridentifikationsmoduls als eine Kombination aus Hard- und Softwarekomponenten in einem vertrauenswürdigen Teil eines Betriebssystems des mobilen Endgeräts 12 ausgebildet sein, die dem Fachmann auch als gesicherte Laufzeitumgebung (”Trusted Execution Environment”; TEE) bekannt ist. Das Sicherheitselement 14 in Form eines Teilnehmeridentifikationsmoduls kann dann beispielsweise innerhalb einer solchen gesicherten Laufzeitumgebung des mobilen Endgeräts 12 in Form von darin ablaufenden Programmen, sogenannten Trustlets ausgebildet sein.According to further preferred embodiments of the invention, the security element 14 in the form of a subscriber identification module as a combination of hardware and software components in a trusted part of an operating system of the mobile terminal 12 be formed, which is known to the skilled person as a secure runtime environment ("Trusted Execution Environment", TEE). The security element 14 in the form of a subscriber identification module can then, for example, within such a secure runtime environment of the mobile terminal 12 in the form of programs running in it, so-called trustlets.

Das mobile Endgerät 12 ist dazu ausgestaltet, über die Luftschnittstelle mit einem ersten Mobilfunknetzwerk 30 (auch als ”Public Land Mobile Network” [PLMN] bezeichnet) oder einem zweiten Mobilfunknetzwerk bzw. PLMN 40 eines Mobilfunkkommunikationssystems 20 zu kommunizieren. Vorzugsweise wird das erste PLMN 30 von einem ersten Mobilfunknetzbetreiber (auch als ”Mobile Network Operator” oder MNO bezeichnet) und das zweite PLMN 40 von einem zweiten Mobilfunknetzbetreiber betrieben. Gemäß bevorzugter Ausführungsformen der Erfindung werden das erste PLMN 30 und/oder das zweite PLMN 40 gemäß dem GSM-Standard (”Global Standard for Mobile Communications”) betrieben.The mobile device 12 is configured over the air interface with a first mobile network 30 (also referred to as "Public Land Mobile Network" [PLMN]) or a second mobile network or PLMN 40 a mobile communication system 20 to communicate. Preferably, the first PLMN 30 from a first mobile network operator (also referred to as "Mobile Network Operator" or MNO) and the second PLMN 40 operated by a second mobile network operator. According to preferred embodiments of the invention, the first PLMN 30 and / or the second PLMN 40 operated according to the GSM standard ("Global Standard for Mobile Communications").

Nachstehend werden bevorzugte Ausführungsformen der Erfindung im Zusammenhang mit Mobilfunknetzwerken gemäß den GSM-Standards beschrieben, die in einer Vielzahl von ETSI-Spezifikationen spezifiziert sind. Der Fachmann wird jedoch erkennen, dass die vorliegende Erfindung auch im Zusammenhang mit anderen Mobilfunksystemen vorteilhaft eingesetzt werden kann. Derartige Systeme umfassen Mobilfunksysteme der dritten Generation (3GPP), wie UMTS (Universal Mobile Telecommunications System), Mobilfunksysteme der vierten Generation (4G), wie LTE (Long Term Evolution), sowie andere Mobilfunksysteme, wie CDMA und dergleichen.Hereinafter, preferred embodiments of the invention will be described in the context of cellular networks according to GSM standards specified in a variety of ETSI specifications. However, those skilled in the art will recognize that the present invention may also be used to advantage in connection with other mobile radio systems. Such systems include third generation (3GPP) mobile communication systems such as UMTS (Universal Mobile Telecommunications System), fourth generation (4G) mobile communication systems such as LTE (Long Term Evolution), and other mobile radio systems such as CDMA and the like.

Wie dies dem Fachmann bekannt ist, umfasst ein gemäß dem GSM-Standard implementiertes PLMN im Allgemeinen ein BSS (”Base Station Subsystem”), das aus einer Vielzahl von BTS (”Base Transceiver Station”) besteht, die jeweilige Funkzellen des PLMN definieren und mit einem BSC (”Base Station Controller”) verbunden sind. Üblicherweise handelt es sich bei dem BSC um einen einer Vielzahl von BSC, die mit einem gemeinsamen MSC (”Mobile Switching Center”) kommunizieren. Häufig ist eine lokale Datenbank, die VLR (”Visitor Location Register”) genannt wird, Teil des MSC, um Informationen über die Mobilfunkteilnehmer vorzuhalten, die sich momentan in den Funkzellen befinden, die von einem MSC versorgt werden (d. h. der von einem MSC abgedeckte Bereich). Das MSC stellt im Wesentlichen dieselbe Funktionalität wie eine Vermittlungsstelle im Festnetz (public-switched telephone network; PSTN) bereit und steht in Kommunikation mit einem HLR (”Home Location Register”), bei dem es sich um die primäre Datenbank des PLMN handelt, in der Informationen zur Anmeldung bzw. Authentisierung der Mobilfunkteilnehmer gespeichert sind. Hierzu hat das HLR üblicherweise Zugriff auf ein AUC (”Authentication Center”). Wie dies dem Fachmann bekannt ist, können die Kommunikationsverbindungen zwischen den vorstehend beschriebenen Komponenten eines PLMNs auf proprietären und/oder offenen Standards basieren. Die verwendeten Protokolle können SS7- oder IP-basiert sein. Wie die Netzwerkkomponenten als separate oder zusammengefasste Einheiten ausgebildet sind und wie die Schnittstellen zwischen diesen Komponenten ausgebildet sind, ist Sache des MNO, so dass die vorstehende Beschreibung lediglich als beispielhaft zu verstehen ist.As is known to those skilled in the art, a PLMN implemented according to the GSM standard generally comprises a BSS ("Base Station Subsystem") consisting of a plurality of BTSs ("Base Transceiver Station") which define respective radio cells of the PLMN and connected to a BSC ("Base Station Controller"). Typically, the BSC is one of a plurality of BSCs that communicate with a common MSC ("Mobile Switching Center"). Often, a local database called the Visitor Location Register (VLR) is part of the MSC to maintain information about the mobile subscribers currently located in the radio cells served by an MSC (ie, that covered by an MSC Area). The MSC provides substantially the same functionality as a public-switched telephone network (PSTN) and is in communication with a HLR ("Home Location Register"), which is the primary database of the PLMN the information for the registration or authentication of mobile subscribers are stored. For this purpose, the HLR usually has access to an AUC ("Authentication Center"). As is known to those skilled in the art, the communication links between the components of a PLMN described above may be based on proprietary and / or open standards. The protocols used may be SS7 or IP based. How the network components are formed as separate or aggregated units and how the interfaces are formed between these components is a matter for the MNO, so that the above description is merely exemplary.

Der Fachmann wird erkennen, dass obgleich die vorstehend beschriebenen Funktionseinheiten eines herkömmlichen Mobilfunknetzes gemäß dem GSM-Standard in anderen oder zukünftigen Mobilfunkstandards andere Namen aufweisen können, die zugrundeliegenden Prinzipien im Wesentlichen gleich sind und diese daher von der Erfindung ebenfalls erfasst werden.It will be appreciated by those skilled in the art that although the functional units of a conventional mobile network according to the GSM standard described in other or future mobile radio standards may have different names, the underlying principles are substantially the same and are therefore also covered by the invention.

Der Übersichtlichkeit halber sind von den vorstehend beschriebenen Komponenten eines PLMN lediglich die folgenden in der schematischen Darstellung von 1 gezeigt: eine beispielhafte BTS 32 und ein HLR 34 für das erste PLMN 30 sowie eine beispielhafte BTS 42 und ein HLR 44 für das zweite PLMN 40. Wie sich dies 1 entnehmen lässt, stehen das erste PLMN 30 und das zweite PLMN 40 zumindest zeitweise in Kommunikation mit einem Subskriptionsverwaltungsserver (”Subscription Management Server” oder SM Server) 50, wie dies nachstehend im Detail beschrieben wird. Das erste PLMN 30 und/oder das zweite PLMN 40 können ferner jeweils ein SMS-C (”Short Message Service Center”) zum Speichern, Weiterleiten, Konvertieren und Zustellen von SMS-Nachrichten aufweisen oder mit einem gemeinsamen SMS-C verbunden sein.For the sake of clarity, of the components of a PLMN described above, only the following are in the schematic representation of FIG 1 shown: an exemplary BTS 32 and an HLR 34 for the first PLMN 30 as well as an exemplary BTS 42 and an HLR 44 for the second PLMN 40 , How is this 1 remove lets stand the first PLMN 30 and the second PLMN 40 at least temporarily in communication with a Subscription Management Server ("Subscription Management Server" or SM Server) 50 , as described in detail below. The first PLMN 30 and / or the second PLMN 40 Furthermore, each may have an SMS-C ("Short Message Service Center") for storing, forwarding, converting and delivering SMS messages or be connected to a common SMS-C.

Wie sich dies der vergrößerten Ansicht des Sicherheitselements 14 in 1 entnehmen lässt, umfasst das Sicherheitselement 14 vorzugsweise eine zentrale Verarbeitungseinheit bzw. einen zentralen Prozessor (”central processing unit”; CPU) 15. Vorzugsweise ist der Prozessor 15 derart ausgestattet, dass ein Verwaltungsmodul in Form einer Subskriptionsverwaltungsapplikation (”subscription management applet”; SM Applet) 16 auf dem Prozessor 15 ausgeführt werden kann, die vorzugsweise zumindest einige der Features bereitstellt, die im Zusammenhang mit den 2 und 3 nachstehend detailliert beschrieben werden. Vorzugsweise ist die Subskriptionsverwaltungsapplikation 16 in Form eines Java Applets implementiert. Zur Bereitstellung einer entsprechenden Ausführungsumgebung für das SM Applet 16 kann vorzugsweise ein sicheres Betriebssystem (nicht in 1 gezeigt) auf dem Prozessor 15 implementiert sein.How this is the enlarged view of the security element 14 in 1 can be seen, includes the security element 14 preferably a central processing unit or central processing unit (CPU) 15 , Preferably, the processor 15 equipped such that a management module in the form of a subscription management applet (SM Applet) 16 on the processor 15 can be executed, which preferably provides at least some of the features associated with the 2 and 3 will be described in detail below. Preferably, the subscription management application is 16 implemented in the form of a Java applet. To provide a corresponding execution environment for the SM Applet 16 can preferably have a secure operating system (not in 1 shown) on the processor 15 be implemented.

Das Sicherheitselement 14 umfasst vorzugsweise ferner eine Speichereinheit 17, die vorzugsweise als eine nicht-flüchtige, wiederbeschreibbare Speichereinheit, z. B. in Form eines Flash-Speichers, implementiert ist. Wie sich dies 1 entnehmen lässt, ist ein erstes Subskriptionsprofil (SUB) 18A in der Speichereinheit 17 des Sicherheitselements 14 gespeichert. Das erste Subskriptionsprofil 18A enthält Daten, die es dem Sicherheitselement 14 und dem mobilen Endgerät 12 ermöglichen, sich in das erste PLMN 30 einzubuchen, d. h. Daten, wie Subskriptionsberechtigungsdaten (”Subscription Credentials”), einen MNO-spezifischen Authentisierungsalgorithmus und dergleichen. Vorzugsweise sind zumindest Teile der Speichereinheit 17 des Sicherheitselements 14 dazu ausgestaltet, sicher die Daten darin zu speichern, beispielsweise geheimzuhaltende Subskriptionsberechtigungsdaten, wie eine IMSI (”International Mobile Subscriber Identity”) oder ein Authentisierungsschlüssel K_i, die Teil des Subskriptionsprofils 18A sind. Wie dies in 1 angedeutet ist, stellt die Speichereinheit 17 vorzugsweise wenigstens einen weiteren ”Slot” zum Unterbringen zusätzlicher Subskriptionsprofile bereit, wie beispielsweise zum Unterbringen des zweiten Subskriptionsprofils (SUB) 18B, das vorzugsweise von dem SM Server 50 gemäß dem in 2 dargestellten und nachstehend detaillierter beschriebenen Verfahren bereitgestellt wird.The security element 14 preferably further comprises a memory unit 17 , preferably as a non-volatile, rewritable storage unit, e.g. In the form of a flash memory. How is this 1 is a first subscription profile (SUB) 18A in the storage unit 17 of the security element 14 saved. The first subscription profile 18A Contains data that is the security element 14 and the mobile terminal 12 allow yourself in the first PLMN 30 that is, data such as subscription credentials, an MNO-specific authentication algorithm, and the like. Preferably, at least parts of the storage unit 17 of the security element 14 configured to securely store the data therein, for example, subscription authorization data to be kept secret, such as an International Mobile Subscriber Identity (IMSI) or an authentication key K _i that is part of the subscription profile 18A are. Like this in 1 is indicated, represents the storage unit 17 preferably at least one further "slot" for accommodating additional subscription profiles ready, such as for accommodating the second subscription profile (SUB) 18B preferably from the SM server 50 according to the in 2 provided and described in more detail below.

Vorzugsweise wird das erste Subskriptionsprofil 18A in der Speichereinheit 17 des Sicherheitselements 14 im Rahmen der Herstellung und/oder der Personalisierung des mobile Endgeräts 12 und/oder des Sicherheitselements 14 gespeichert. Insbesondere im Zusammenhang mit dieser bevorzugten Ausführungsform ist es denkbar, dass es sich bei dem ersten Subskriptionsprofil 18A lediglich um ein vorläufiges Subskriptionsprofil handelt, das nur Basisdienste bereitstellt, die es dem Sicherheitselement 14 und dem mobilen Endgerät 12 ermöglichen, mit dem SM Server 50 über das erste PLMN 30 zu kommunizieren und ein vollständiges Subskriptionsprofil herunterzuladen, das zusätzliche Dienste bereitstellt, wie beispielsweise das in 1 dargestellte zweite Subskriptionsprofil 18B. Da ein vorläufiges Subskriptionsprofil, wie das in 1 dargestellte erste Subskriptionsprofil 18A, im Allgemeinen lediglich eine beschränkte Funktionalität bereitstellt, wird der Benutzer des mobilen Endgeräts 12 dazu veranlasst, zu einem vollständigen Subskriptionsprofil zu wechseln, das zusätzliche Dienste ermöglicht, wie das in 1 dargestellte zweite Subskriptionsprofil 18B. Das zweite Subskriptionsprofil 18B enthält die notwendigen Daten, die es dem Sicherheitselement 14 bzw. dem mobilen Endgerät 12 ermöglichen, sich in das zweite PLMN 40 einzubuchen und über dieses zu kommunizieren.Preferably, the first subscription profile becomes 18A in the storage unit 17 of the security element 14 as part of the manufacture and / or personalization of the mobile terminal 12 and / or the security element 14 saved. In particular, in connection with this preferred embodiment, it is conceivable that the first subscription profile 18A is only a preliminary subscription profile that provides only basic services to the security element 14 and the mobile terminal 12 enable with the SM server 50 about the first PLMN 30 to communicate and download a full subscription profile that provides additional services, such as the one in 1 illustrated second subscription profile 18B , As a preliminary subscription profile, as in 1 illustrated first subscription profile 18A , generally provides only limited functionality, becomes the user of the mobile terminal 12 caused to switch to a full subscription profile that enables additional services, such as the one in 1 illustrated second subscription profile 18B , The second subscription profile 18B Contains the necessary data that it is the security element 14 or the mobile terminal 12 enable yourself in the second PLMN 40 to register and to communicate about this.

Erfindungsgemäß wird den auf dem Sicherheitselement 14 befindlichen Subskriptionsprofilen, also z. B. dem ersten Subskriptionsprofil 18A und/oder dem zweiten Subskriptionsprofil 18B, jeweils ein definierter Zustand einer Vielzahl von Zuständen zugewiesen. Vorzugsweise erfolgt dieses Zuweisen bzw. Verwalten eines Zustands durch das SM Applet 16. Ferner kann sich auch das SM Applet 16 gemäß bevorzugter Ausführungsformen der Erfindung in einem definierten Zustand einer Vielzahl von Zuständen befinden. Mit anderen Worten das SM Applet 16 definiert einen Zustand für das erste Subskriptionsprofil 18A und das zweite Subskriptionsprofil 18B. Wie dies nachstehend im Detail beschrieben wird, ermöglicht insbesondere die Verwendung dieser Zustände des Sicherheitselements 15 den sicheren Übergang zwischen einzelnen Zuständen davon, so dass keine inkonsistenten Zustände auftreten können und das Sicherheitselement 14 nicht verloren gehen kann.According to the invention on the security element 14 located subscription profiles, ie z. For example, the first subscription profile 18A and / or the second subscription profile 18B , each assigned a defined state of a plurality of states. Preferably, this assignment is made by the SM Applet 16 , Furthermore, the SM Applet 16 According to preferred embodiments of the invention are in a defined state of a plurality of states. In other words the SM applet 16 defines a state for the first subscription profile 18A and the second subscription profile 18B , As will be described in detail below, in particular, the use of these states enables the security element 15 the safe transition between individual states thereof so that no inconsistent states can occur and the security element 14 can not be lost.

Die Funktionsweise des SM Servers 50 in Verbindung mit den anderen Elementen des in 1 dargestellten Kommunikationssystems 10 wird nun im Zusammenhang mit einer bevorzugten Ausführungsform der Erfindung unter weiterer Bezugnahme auf die 2 beschrieben, und zwar für den Fall, dass anfänglich lediglich das (vorläufige) erste Subskriptionsprofil 18A auf dem Sicherheitselement 14 vorliegt. Anhand der nachstehenden detaillierten Beschreibung wird der Fachmann jedoch erkennen, dass die vorliegende Erfindung ebenso vorteilhaft in dem Fall eingesetzt werden kann, dass zusätzlich zu dem (vorläufigen) ersten Subskriptionsprofil 18A auch das zweite Subskriptionsprofil 18B (sowie gegebenenfalls weitere Subskriptionsprofile) bereits auf dem Sicherheitselement 14 vorliegt.The functionality of the SM server 50 in conjunction with the other elements of the in 1 represented communication system 10 Now, in connection with a preferred embodiment of the invention with further reference to the 2 described, in the case that initially only the (provisional) first subscription profile 18A on the security element 14 is present. However, it will be apparent to those skilled in the art from the following detailed description that: that the present invention can also be used advantageously in the case that in addition to the (provisional) first subscription profile 18A also the second subscription profile 18B (and possibly other subscription profiles) already on the security element 14 is present.

Im Schritt S1 von 2 bucht sich das Sicherheitselement 14 mit dem aktiven Subskriptionsprofil 18A in das PLMN 30 ein. Dieser Schritt beinhaltet in der Regel eine Authentisierung des Sicherheitselements 14 gegenüber dem PLMN 30, und zwar beispielsweise unter Verwendung einer IMSI und/oder eines Authentisierungsschlüssels K_i, die Teil des aktiven Subskriptionsprofils 18A sind. Nachdem sich das Sicherheitselement 14 in Schritt S1 in das PLMN 30 eingebucht hat und über dieses mit dem SM Server 50 kommunizieren kann, wird im Schritt S2 von 2 das zweite Subskriptionsprofil 18B durch das Sicherheitselement 14 vom SM Server 50 heruntergeladen, um dem Sicherheitselement 14 zu ermöglichen, sich in das zweite Mobilfunknetz 40 einzubuchen und die von diesem bereitgestellten Dienste zu nutzen. In Verbindung mit dem Herunterladen des zweiten Subskriptionsprofils 18B kann der SM Server 50 dem Sicherheitselement 14 eine Vielzahl von Kommandos übermitteln, beispielsweise Kommandos zum Speichern des zweiten Subskriptionsprofils 18B in dem nicht-flüchtigen Speicher 17 des Sicherheitselements 14, zum Löschen des ersten Subskriptionsprofils 18A in dem nichtflüchtigen Speicher des Sicherheitselements 14 und dergleichen.In step S1 of 2 the security element books 14 with the active subscription profile 18A in the PLMN 30 one. This step usually involves authentication of the security element 14 opposite the PLMN 30 , for example, using an IMSI and / or an authentication key K _i , the part of the active subscription profile 18A are. After the security element 14 in step S1 into the PLMN 30 has logged in and about this with the SM server 50 can communicate is in step S2 of 2 the second subscription profile 18B through the security element 14 from the SM server 50 downloaded to the security element 14 to enable yourself in the second mobile network 40 and use the services provided by it. In connection with the download of the second subscription profile 18B can the SM server 50 the security element 14 transmit a plurality of commands, for example commands for storing the second subscription profile 18B in the non-volatile memory 17 of the security element 14 , to delete the first subscription profile 18A in the nonvolatile memory of the security element 14 and the same.

Anhand von 3, die in Form einer schematischen Darstellung die Zustandsdiagramme der ersten Subskription 18A, der zweiten Subskription 18B und des SM Applets 16 zeigt, soll erläutert werden, in welchen Zuständen sich die erste Subskription 18A, die zweite Subskription 18B und das SM Applet 16 bei den einzelnen Schritten des in 1 dargestellten Verfahrens vorzugsweise befinden. Dabei bezeichnen die in 3 verwendeten Kombinationen aus Buchstaben und Zahlen die folgenden Zustände: bei der Subskription 18A die Zustände A1 (”new”), A2 (”enabled”), A3 (”active”) und A4 (”disabled”); bei der Subskription 18B die Zustände B1 (”new”), B2 (”enabled”), B3 (”active”) und B4 (”disabled”); und beim SM Applet 16 die Zustände S0 (”idle”), S1 (”send acknowledgement”), S2 (”error”) und S3 (”send final confirmation”).Based on 3 in the form of a schematic representation of the state diagrams of the first subscription 18A , the second subscription 18B and the SM applet 16 shows, in which states are the first subscription 18A , the second subscription 18B and the SM applet 16 at the individual steps of in 1 preferably shown method. Here are the in 3 The combinations of letters and numbers used the following states: at subscription 18A the states A1 ("new"), A2 ("enabled"), A3 ("active") and A4 ("disabled"); when subscribing 18B the states B1 ("new"), B2 ("enabled"), B3 ("active") and B4 ("disabled"); and the SM applet 16 the states S0 ("idle"), S1 ("send acknowledgment"), S2 ("error") and S3 ("send final confirmation").

Bei Schritt S1 von 3 befindet sich das erste Subskriptionsprofil 18A in dem Zustand A3 (”active”), d. h. dem ersten Subskriptionsprofil 18A ist der Zustand A3 (”active”) zugewiesen. In diesem Zustand kann sich das Sicherheitselement 14 mittels des ersten Subskriptionsprofils 18A in das erste Mobilfunknetzwerk 30 einbuchen. Dem zweiten Subskriptionsprofil 18B ist bei Schritt S1 noch kein Subskriptionsprofil zugeordnet, da sich dieses noch nicht auf dem Sicherheitselement 14 befindet. Das SM Applet 16 befindet sich vorzugsweise in einem Zustand S0 (”idle”), in dem das SM Applet 16 unterschiedliche Kommandos des SM Servers 50 ausführen kann.At step S1 of FIG 3 is the first subscription profile 18A in the state A3 ("active"), ie the first subscription profile 18A is assigned the status A3 ("active"). In this state, the security element can 14 by means of the first subscription profile 18A in the first mobile network 30 einbuchen. The second subscription profile 18B At step S1, no subscription profile is yet assigned, since this is not yet on the security element 14 located. The SM applet 16 is preferably in a state S0 ("idle"), in which the SM applet 16 different commands of the SM server 50 can perform.

Im Schritt S2 von 3 wird das zweite Subskriptionsprofil 18B über das erste Mobilfunknetzwerk 30 auf das Sicherheitselement 14 geladen. Im Zuge dieses Ladens des zweiten Subskriptionsprofil 18B wird durch das SM Applet 16 des Sicherheitselements 14 auch diesem zweiten Subskriptionsprofil 18B ein Zustand zugewiesen. Ein entsprechendes Zustandsdiagramm ist in 2 dargestellt. Nach dem Laden befindet sich das zweite Subskriptionsprofil 18B vorzugsweise in dem Zustand B1 (”new”).In step S2 of 3 becomes the second subscription profile 18B over the first mobile network 30 on the security element 14 loaded. In the course of this loading of the second subscription profile 18B is through the SM applet 16 of the security element 14 also this second subscription profile 18B assigned a state. A corresponding state diagram is in 2 shown. After loading, the second subscription profile is located 18B preferably in the state B1 ("new").

Nachdem der Download des zweiten Subskriptionsprofils 18B in Schritt S2 von 2 durchgeführt worden ist, sendet der SM Server 50 in Schritt S3 von 2 vorzugsweise Kommandos, damit diese vom Sicherheitselement 14 ausgeführt werden und dieses dazu veranlassen, vom ersten Subskriptionsprofil 18A zum zweiten Subskriptionsprofil 18B zu wechseln. Vorzugsweise umfassen diese vom SM Server 50 an das Sicherheitselement 14 gesendeten Kommandos ein oder mehrere Kommandos, aufgrund derer das Sicherheitselement 14 die Integrität des zweiten Subskriptionsprofils 18B überprüft. In der in 2 dargestellten bevorzugten Ausführungsform wird dies durch das Kommando ”ENABLE SUB 18B” erreicht, und zwar vorzugsweise mittels der Berechnung einer Prüfsumme durch das Sicherheitselement 14 und dem Vergleich mit einer vom SM Server 50 bereitgestellten Kontrollprüfsumme, wie dies in Schritt S4 von 2 angedeutet ist. Vorzugsweise kommt bei dieser Überprüfung der Integrität des zweiten Subskriptionsprofils 18B, beispielsweise mittels einer Prüfsumme oder vergleichbarer Verfahren, ein kryptographisches Geheimnis zum Einsatz, das auf dem Sicherheitselement 14 und dem SM Server 50 vorliegt, vorzugsweise ein für das Sicherheitselement 14 individueller Schlüssel. Durch die Ausführung des Kommandos ”ENABLE SUB 18B” und die erfolgreiche Überprüfung der Integrität des zweiten Subskriptionsprofils 18B geht im Zustandsdiagramm von 3 das zweite Subskriptionsprofil 18B vom Zustand B1 (”new”) in den Zustand B2 (”enabled”) über.After downloading the second subscription profile 18B in step S2 of 2 has been performed, sends the SM server 50 in step S3 of 2 preferably commands, so that these from the security element 14 and cause this to happen from the first subscription profile 18A to the second subscription profile 18B switch. Preferably, these include the SM server 50 to the security element 14 sent commands one or more commands, on the basis of which the security element 14 the integrity of the second subscription profile 18B checked. In the in 2 this is shown by the command "ENABLE SUB 18B ", Preferably by means of the calculation of a checksum by the security element 14 and comparing it with one from the SM server 50 provided control checksum, as in step S4 of 2 is indicated. Preferably, in this verification comes the integrity of the second subscription profile 18B For example, by means of a checksum or similar methods, a cryptographic secret used on the security element 14 and the SM server 50 is present, preferably one for the security element 14 individual key. By executing the command "ENABLE SUB 18B "And successfully checking the integrity of the second subscription profile 18B goes in the state diagram of 3 the second subscription profile 18B from state B1 ("new") to state B2 ("enabled") via.

Durch das Kommando ”DEACTIVATE SUB 18A” in Schritt S5 von 2 geht das erste Subskriptionsprofil 18A vom Zustand A3 (”active”) in den Zustand A2 (”enabled”) über, d. h. das SM Applet 16 weist dem ersten Subskriptionsprofil 18A nunmehr den Zustand A2 (”enabled”) zu. In diesem Zustand könnte das erste Subskriptionsprofil 18A wieder aktiviert werden. Da jedoch ein Wechsel zum zweiten Subskriptionsprofil 18B erfolgen soll, das in Schritt S2 von 2 vom SM Server 50 heruntergeladen worden ist, erfolgt in Schritt S6 von 2 mittels des Kommandos ”ACTIVATE SUB 18B” ein Übergang des zweiten Subskriptionsprofils 18B vom Zustand B2 (”enabled”) in den Zustand B3 (”active”). Der Fachmann wird erkennen, dass neben dem Zustandsübergang des zweiten Subskriptionsprofils 18B in den Zustand B3 (”active”) das Kommando ”ACTIVATE SUB 18B” noch weitere Auswirkungen haben kann, wie beispielsweise das Ersetzen der bisher verwendeten Subskriptionsberechtigungsdaten des ersten Subskriptionsprofils 18A, insbesondere eine IMSI, die den Benutzer im ersten Mobilfunknetz 30 identifiziert, durch die Subskriptionsberechtigungsdaten des zweiten Subskriptionsprofils 18B, insbesondere eine IMSI, die den Benutzer im zweiten Mobilfunknetz 30 identifiziert, oder das Versetzen des ersten Subskriptionsprofils 18A in den Zustand A4 (”disabled”), falls dieses nicht mehr zum Einbuchen in das PLMN 30 geeignet sein soll und beispielsweise gelöscht werden soll.With the command "DEACTIVATE SUB 18A In step S5 of 2 goes the first subscription profile 18A from state A3 ("active") to state A2 ("enabled"), ie the SM applet 16 indicates the first subscription profile 18A now the state A2 ("enabled"). In this state, the first subscription profile could be 18A be activated again. However, there is a change to the second subscription profile 18B to be performed in step S2 of 2 from the SM server 50 has been downloaded, in step S6 of 2 by means of the command "ACTIVATE SUB 18B A transition of the second subscription profile 18B from state B2 ("enabled") to state B3 ("active"). The person skilled in the art will recognize that in addition to the state transition of the second subscription profile 18B in state B3 ("active") the command "ACTIVATE SUB 18B "May have further effects, such as replacing the previously used subscription authorization data of the first subscription profile 18A , in particular an IMSI, which is the user in the first mobile network 30 identified by the subscription authorization data of the second subscription profile 18B , in particular an IMSI, which the user in the second mobile network 30 identifies or offsets the first subscription profile 18A in the state A4 ("disabled"), if this is no longer for logging into the PLMN 30 should be suitable and should be deleted, for example.

Der Fachmann wird erkennen, dass die in 2 gezeigten und vorstehend beschriebenen Kommandos nur beispielhaft sind. So könnten die Kommandos ”DEACTIVATE SUB 18A” und ”ACTIVATE SUB 18B” beispielsweise durch ein einzelnes Kommando ”SWITCH TO SUB 18B” ersetzt werden, was zu demselben Ergebnis führen würde, nämlich dass das erste Subskriptionsprofil 18A in den Zustand A2 (”enabled”) zurückfällt und das zweite Subskriptionsprofil 18B in den Zustand B3 (”active”) gehoben wird. Mit anderen Worten: mit dem Kommando ”SWITCH TO SUB 18B” könnte implizit das erste Subskriptionsprofil 18A deaktiviert werden.The person skilled in the art will recognize that the in 2 shown and described above are only examples. So the commands "DEACTIVATE SUB 18A "And" ACTIVATE SUB 18B "For example, by a single command" SWITCH TO SUB 18B ", Which would lead to the same result, namely that the first subscription profile 18A falls back to state A2 ("enabled") and the second subscription profile 18B is raised to the state B3 ("active"). In other words: with the command "SWITCH TO SUB 18B "Implicitly could be the first subscription profile 18A be deactivated.

Nachdem in den Schritten S5 und S6 von 2 das erste Subskriptionsprofil 18A in den Zustand A2 (”enabled”) bzw. ggf. in den Zustand A4 (”disabled”) und das zweite Subskriptionsprofil 18B in den Zustand B3 (”active”) übergangen sind, ist das Sicherheitselement 14 nun dazu in der Lage, sich in Schritt S7 von 2 mit dem nunmehr aktiven zweiten Subskriptionsprofil 18B in dem PLMN 40 einzubuchen. Dieser Schritt kann beispielsweise wiederum durch ein entsprechendes Kommando des SM Servers 50 veranlasst werden.After performing steps S5 and S6 of 2 the first subscription profile 18A in the state A2 ("enabled") or possibly in the state A4 ("disabled") and the second subscription profile 18B have been bypassed to state B3 ("active") is the security element 14 now able to do so in step S7 of 2 with the now active second subscription profile 18B in the PLMN 40 einzubuchen. This step, for example, again by a corresponding command of the SM server 50 be initiated.

Wie bereits vorstehend erwähnt, verarbeitet das SM Applet 16 die vom SM Server 50 kommenden Kommandos vorzugsweise nur dann, wenn sich das SM Applet 16 im Zustand S0 (”idle”) befindet. Für den Fall, dass das Sicherheitselement 14 vom SM Server 50 ein Kommando erhält, dass nicht mit dem Zustand von einem der Subskriptionsprofile kompatibel ist, z. B. das Aktivieren des Subskriptionsprofils 18B im Zustand B1 (”new”), d. h. ohne vorherige Überprüfung auf Integrität, dann geht das SM Applet 16 vorzugsweise in den Zustand S2 (”error”) über. Vorzugsweise beinhaltet dieser Übergang eine Fehlermeldung an den SM Server 50. Das SM Applet 16 verbleibt in diesem Zustand, bis das Sicherheitselement 14 ein Kommando vom SM Server 50 erhält, aus dem Zustand S2 (”error”) in den Zustand S0 (”idle”) zurückzukehren. Sobald sich das SM Applet 16 wieder im Zustand S0 (”idle”) befindet, kann dies wieder Kommandos des SM Servers 50 ausführen. Wird hingegen ein Kommando erfolgreich vom SM Applet 16 ausgeführt, kann gemäß bevorzugter Ausführungsformen der Erfindung vorgesehen sein, dass das SM Applet 16 in den Zustand S1 (”send acknowledgement”) übergeht. Vorzugsweise geht das SM Applet 16 nach einem erfolgreichen Wechseln der Subskriptionen in den Zustand S3 (”send final confirmation”) über, in dem eine Bestätigung an den SM Server 50 geschickt wird. Aus diesem Zustand S3 fällt das SM Applet 16 wieder zurück in den Zustand S0 (”idle”), sobald der SM Server 50 den Erhalt dieser Bestätigungsnachricht bestätigt hat.As mentioned earlier, the SM Applet processes 16 those from the SM server 50 coming commands preferably only when the SM Applet 16 in state S0 ("idle"). In the event that the security element 14 from the SM server 50 receive a command that is incompatible with the state of any of the subscription profiles, e.g. B. activating the subscription profile 18B in state B1 ("new"), ie without checking for integrity, then goes the SM applet 16 preferably in the state S2 ("error") via. Preferably, this transition contains an error message to the SM server 50 , The SM applet 16 remains in this state until the security element 14 a command from the SM server 50 receives to return from the state S2 ("error") in the state S0 ("idle"). As soon as the SM Applet 16 again in state S0 ("idle"), this can again commands the SM server 50 To run. If, on the other hand, a command succeeds from the SM applet 16 executed, may be provided according to preferred embodiments of the invention that the SM Applet 16 goes to state S1 ("send acknowledgment"). Preferably, the SM Applet goes 16 after a successful change of the subscriptions to the state S3 ("send final confirmation"), in which a confirmation to the SM server 50 is sent. From this state S3 falls the SM Applet 16 back to the state S0 ("idle"), as soon as the SM server 50 confirmed receipt of this confirmation message.

Vorzugsweise unterscheiden sich die Zustände S1 (”send acknowledgement”) und S3 (”send final confirmation”) des SM Applets 16 insofern, als dass im Zustand S3 vorgesehen ist, dass eine Rückkehr zum Subskriptionsprofil 18A erfolgt, falls sich das Sicherheitselement 14 nicht innerhalb eines vorbestimmten Zeitraums mit dem Subskriptionsprofil 18B erfolgreich in das PLMN 40 einbucht, wie dies in Schritt S7 von 2 gezeigt ist. Im Zustand S1 (”send acknowledgement”) verharrt das SM Applet 16 so lange, bis es eine Bestätigung durch den SM Server 50 erhält, um wieder in den Zustand S0 (”idle”) zurückzukehren. Vorzugsweise wird ohne eine solche Bestätigung kein weiteres Kommando vom Sicherheitselement 14 bzw. vom SM Applet 16 ausgeführt.The states S1 ("send acknowledgment") and S3 ("send final confirmation") of the SM Applet preferably differ 16 insofar as it is provided in state S3 that a return to the subscription profile 18A takes place if the security element 14 not within a predetermined time period with the subscription profile 18B successful in the PLMN 40 as shown in step S7 of 2 is shown. In state S1 ("send acknowledgment"), the SM applet pauses 16 until it is confirmed by the SM server 50 receives to return to the state S0 ("idle"). Preferably, without such confirmation no further command from the security element 14 or from the SM Applet 16 executed.

Der Fachmann wird erkennen, dass die vorstehenden beschriebenen Zustände der Subskriptionsprofile 18A und 18B und die definierten Übergänge zwischen diesen Zuständen sicher stellen, dass ein vom SM Server 50 empfangenes Kommando nur dann den gewünschten Erfolg hat, wenn sich die entsprechenden Subskriptionsprofile 18A und 18B und vorzugsweise das SM Applet 16 in einem geeigneten Zustand befinden, und dass somit nicht der Fall eintreten kann, dass das Sicherheitselement 14 verloren geht, d. h. nicht mehr ansprechbar ist.Those skilled in the art will recognize that the above-described states of the subscription profiles 18A and 18B and the defined transitions between these states make sure that one from the SM server 50 received command only then has the desired success, if the corresponding subscription profiles 18A and 18B and preferably the SM Applet 16 be in a suitable state, and thus can not be the case that the security element 14 is lost, that is no longer responsive.

Claims

Method for changing from a first subscription profile ( 18A ) for posting a security element ( 14 ), the part of a mobile device ( 12 ) is in a first mobile network ( 30 ) to a second subscription profile ( 18B ) for posting the security element ( 14 ) into a second mobile network ( 40 ), the security element ( 14 ) is adapted to the first subscription profile ( 18A ) a state of a plurality of states and the second subscription profile ( 18B ) one Assign a state to a plurality of states, the method comprising the steps of: receiving at least one command from a server instance ( 50 ) to switch from the first subscription profile ( 18A ) to the second subscription profile ( 18B ); checking that the state of the first subscription profile ( 18A ) and / or the state of the second subscription profile ( 18B ) executing the at least one command by the security element ( 14 ) allow; and if the result of the check was successful, executing the at least one command to get started from the first subscription profile ( 18A ) to the second subscription profile ( 18B ) switch.

The method of claim 1, wherein executing the at least one command to switch from the first subscription profile ( 18A ) to the second subscription profile ( 18B ) the transition of the state of the second subscription profile ( 18B ) into the "active" state (B3).

The method of claim 1 or 2, wherein the method comprises the further step of downloading the second subscription profile ( 18B ) from the server instance ( 50 ) by the security element ( 14 ).

Method according to one of the preceding claims, wherein before the execution of the at least one command for changing from the first subscription profile ( 18A ) to the second subscription profile ( 18B ) the security element ( 14 ) the integrity of the second subscription profile ( 18B ) checked.

Method according to one of the preceding claims, wherein the step of checking on the security element ( 14 ) implemented management module ( 16 ) is carried out.

Method according to claim 5, wherein the management module ( 16 ) is in a state of a plurality of states and the step of checking further comprises the step of checking whether the state of the management module ( 16 ) executing the least one command by the security element ( 14 ) allows.

Method according to claim 1, wherein only one subscription profile ( 18A . 18B ) can be in the "active" state (A3, B3), which allows the security element ( 14 ) with the corresponding subscription profile ( 18A . 18B ) into the corresponding mobile radio network ( 30 . 40 ) can book.

Security element ( 20 ), the part of a mobile device ( 12 ), the security element ( 20 ) is adapted to be operated according to a method according to one of the preceding claims.

Mobile terminal ( 12 ) with a security element ( 20 ) according to claim 8.

Communication system ( 10 ) with a first mobile network ( 30 ), a second mobile network ( 40 ), a server instance ( 50 ) and a mobile terminal ( 12 ) according to claim 9.