CN102025710A - 多应用智能卡及智能卡多应用管理系统和方法 - Google Patents

多应用智能卡及智能卡多应用管理系统和方法 Download PDF

Info

Publication number
CN102025710A
CN102025710A CN2009101956242A CN200910195624A CN102025710A CN 102025710 A CN102025710 A CN 102025710A CN 2009101956242 A CN2009101956242 A CN 2009101956242A CN 200910195624 A CN200910195624 A CN 200910195624A CN 102025710 A CN102025710 A CN 102025710A
Authority
CN
China
Prior art keywords
application
smart card
territory
card
safety territory
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2009101956242A
Other languages
English (en)
Other versions
CN102025710B (zh
Inventor
庄晓
鲁志军
何朔
孟宏文
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Unionpay Co Ltd
Original Assignee
China Unionpay Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Unionpay Co Ltd filed Critical China Unionpay Co Ltd
Priority to CN200910195624.2A priority Critical patent/CN102025710B/zh
Priority to US13/394,803 priority patent/US9009476B2/en
Priority to EP10814868.5A priority patent/EP2477165B1/en
Priority to PCT/CN2010/001302 priority patent/WO2011029266A1/zh
Publication of CN102025710A publication Critical patent/CN102025710A/zh
Application granted granted Critical
Publication of CN102025710B publication Critical patent/CN102025710B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/355—Personalisation of cards for use
    • G06Q20/3552—Downloading or loading of personalisation data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/356—Aspects of software for card payments
    • G06Q20/3563—Software being resident on card
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/357—Cards having a plurality of specified features
    • G06Q20/3574—Multiple applications on card
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/357—Cards having a plurality of specified features
    • G06Q20/3576—Multiple memory zones on card
    • G06Q20/35765—Access rights to memory zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal

Abstract

本发明提出了一种多应用智能卡及智能卡多应用管理系统和方法。其中，所述多应用智能卡包括应用安全域管理装置，用于管理和维护多应用智能卡内的应用安全域，并且所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。可选地，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。

Description

多应用智能卡及智能卡多应用管理系统和方法
技术领域
本发明涉及智能卡及智能卡应用管理系统和方法，更具体地，涉及多应用智能卡及智能卡多应用管理系统和方法。
背景技术
目前，随着智能卡应用的不断增加和日益普及，用户需要拥有和携带的智能卡也越来越多，例如网上银行支付卡、电子交易卡、电子交通卡等，然而，不断增多的智能卡数量和种类不仅提高了用户使用智能卡的成本，也不便于用户对智能卡进行管理。
因此，为了克服上述问题，全球平台(GlobalPlatform)规范提出了一种智能卡多应用管理模型。在该模型中，具有在卡中扮演集中式管理员角色的卡管理者(Card Manager)，其包含发行者安全域，该安全域的主要职责为在卡上执行卡发行者的职责，即具有对发行者或其应用提供者提供的应用进行装载、安装、删除的功能。所述多应用管理模型还包括应用提供者安全域(即合作方安全域)，其主要职责是管理密钥和提供这些密钥相关的加密操作，这些密钥独立于发行者安全域，不受其控制，因而可以通过创建应用提供者安全域来保证密钥和卡发行者以及多应用提供者之间的完全分离。由上可知，在上述多应用管理模型中，特权安全域(即发行者安全域)行使智能卡的管理权，其他的安全域都是在该域的授权下创建，并接受特权安全域的管理。然而，随着智能卡市场逐步成熟并形成规模，上述多应用管理模型不能满足智能卡在市场和业务层面上的共管共生关系，即不符合非集中式的多方共管的真实环境。同时，该多应用管理模型也不能满足卡片控制权适度向持卡人倾斜的需求。
发明内容
为了解决上述现有技术方案所存在的缺陷，本发明提出了一种适应非集中式的多方共管的真实环境的多应用智能卡及智能卡多应用管理系统和方法。
本发明的目的是通过以下技术方案实现的：
一种智能卡多应用管理系统，所述智能卡多应用管理系统包括终端、服务器、多应用智能卡和读卡器，并且所述终端包括浏览器、网络协议模块和网络适配器。其中，所述多应用智能卡通过所述网络适配器和所述读卡器与终端相连接，而所述服务器通过网络适配器与终端相连接，其中，所述多应用智能卡包括应用安全域管理装置，用于管理和维护所述多应用智能卡内的应用安全域，并且所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
在上面所公开的方案中，优选地，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
在上面所公开的方案中，优选地，所述多应用智能卡与所述终端之间使用HTTP协议建立安全通道。
在上面所公开的方案中，可选地，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
在上面所公开的方案中，可选地，所述终端是基于Web方式的移动电话或POS机或ATM机。
本发明的目的是通过以下技术方案实现的：
一种多应用智能卡，所述多应用智能卡包括应用模块、本地操作系统、应用安全域管理装置以及物理层硬件，所述应用安全域管理装置用于管理和维护所述多应用智能卡内的应用安全域，并且所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
在上面所公开的方案中，优选地，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
在上面所公开的方案中，优选地，所述多应用智能卡与外部终端之间使用HTTP协议建立安全通道。
在上面所公开的方案中，优选地，所述本地操作系统包括基于Web的服务器模块，所述基于Web的服务器模块用于对所述应用模块与外部终端之间的交互信息进行编解码和解释。
在上面所公开的方案中，可选地，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
在上面所公开的方案中，可选地，所述外部终端是基于Web方式的移动电话或POS机或ATM机。
本发明的目的是通过以下技术方案实现的：
一种智能卡多应用管理方法，所述方法包括如下步骤：
(a)在多应用智能卡和终端中的浏览器之间建立安全通道；
(b)所述多应用智能卡通过读卡器向所述终端中的浏览器发出事件信息；
(c)所述浏览器接收到所述事件信息后，通过解析而获得事件参数，并将所述事件参数传递给事件处理者；
(d)所述事件处理者接收到所述事件参数后对所述事件参数进行处理而生成带有所述多应用智能卡的身份识别信息和回叫地址的请求消息，并将所述请求消息发送给服务器；
(e)所述服务器接收到所述请求消息后对所述请求消息进行处理并生成响应消息，并将所述响应消息通过所述浏览器发送到所述多应用智能卡中，其中，所述响应消息包含有需要操作的应用安全域的标识；
(f)所述多应用智能卡接收到所述响应消息后对相应的应用安全域进行指定的操作，并与所述服务器进行后续的通信；
并且，所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
在上面所公开的方案中，优选地，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
在上面所公开的方案中，优选地，步骤(a)进一步包括如下步骤：
(a1)所述终端中的浏览器向所述多应用智能卡发送安全通道建立请求消息，所述安全通道建立请求消息包含有需要操作的域的标识信息和附加信息以及所述浏览器的公钥证书，从而申明所述终端所支持的算法、公钥和所选择操作的应用安全域；
(a2)所述多应用智能卡收到所述安全通道建立请求消息后检查收到的所述安全通道建立请求消息的内容，校验所述浏览器的公钥证书、并根据附加信息确定返回的安全通道建立响应消息的内容，从而申明所述多应用智能卡支持的算法、公钥以及建议的双方均支持的会话算法；
(a3)所述终端中的浏览器接收到所述安全通道建立响应消息后，判断是否接受所述多应用智能卡的建议或重新协商；
(a4)所述多应用智能卡按照协商的算法产生过程密钥，用于保护后续通讯的数据加密和防止篡改。
在上面所公开的方案中，优选地，所述多应用智能卡与所述终端之间使用HTTP协议建立安全通道。
在上面所公开的方案中，可选地，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
在上面所公开的方案中，可选地，所述终端是基于Web方式的移动电话或POS机或ATM机。
本发明所公开的多应用智能卡及智能卡多应用管理系统和方法具有如下优点：多应用智能卡具有多个发卡商应用安全域并共享该智能卡控制权，从而适应真实世界多方共管的客观现实；多应用智能卡具有持卡人应用安全域满足了卡片控制权适度向持卡人倾斜的需求。
附图说明
结合附图，本发明的技术特征以及优点将会被本领域技术人员更好地理解，其中：
图1为根据本发明的实施例的智能卡多应用管理系统的结构图；
图2为根据本发明的实施例的多应用智能卡的结构图；
图3为根据本发明的实施例的应用安全域结构图；
图4为根据本发明的实施例的基于Web的服务器模块工作原理示意图；
图5为根据本发明的实施例的应用模块工作原理示意图；
图6为根据本发明的实施例的智能卡多应用管理方法流程图。
具体实施方式
图1为根据本发明的实施例的智能卡多应用管理系统的结构图。如图1所示，本发明公开的智能卡多应用管理系统包括终端1、服务器2、多应用智能卡3和读卡器9，并且所述终端1包括浏览器4、HTTP协议模块5、静态域名解析器7、TCP/IP协议模块6和网络适配器8。其中，所述多应用智能卡3通过网络适配器8和读卡器9与终端1相连接，而服务器2可通过网络适配器8与终端相连接。多应用智能卡3插入读卡器9后，用户可通过终端1中的浏览4器与该多应用智能卡3相交互。例如：多应用智能卡3发出的经过通信协议封装的事件信息通过读卡器9和网络适配器8而被传送到终端1，此后，信息将被HTTP协议模块5和TCP/IP协议模块6解析从而获得事件参数，随后通过静态域名解析器7的映射而将所获得的事件参数传递给事件处理者。同样，服务器2可通过类似的方式与终端1相交互。由上可知，通过终端1作为媒介，多应用智能卡3可以与服务器2相交互。其中，当客户端(即多应用智能卡3)在请求服务器2服务时必须将自己的身份识别信息通过URL参数的方式带到服务器2，同时告知浏览器4服务器相应信息的回叫地址。根据本发明的实施例的终端1可以是移动电话、基于Web方式的P0S机或ATM机等。
图2为根据本发明的实施例的多应用智能卡的结构图，如图2所示，本发明公开的多应用智能卡3包括应用模块10、应用开发框架模块11、API接口14、本地操作系统13、应用安全域管理装置12以及物理层硬件15，并且所述本地操作系统13包括加密模块16、输入输出模块17、文件系统模块18和基于Web的服务器模块19。其中，所述基于Web的服务器模块19用于完成应用模块10与服务器2和浏览器4之间的交互信息的编解码和翻译。图4为根据本发明的实施例的基于Web的服务器模块工作原理示意图。如图4所示，基于Web的服务器模块19包括解码器20、编码器21和解释器22。来自于浏览器4的消息经过解码器20解码后以WebRequest请求或WebResponse响应的格式发送给解释器22，此后，经过解释器的解析和处理，将产生的请求或响应消息发送给编码器21，随后，基于Web的服务器模块19将编码后的请求或响应消息通过浏览器4发送到服务器2。同样，应用模块10通过类似的方式与基于Web的服务器模块19相交互。
图5为根据本发明的实施例的应用模块工作原理示意图。如图5所示，应用模块10使用适配器(WebAdapter)来进行资源的动态引用，适配过程如下：适配器根据接收到的信息选择对应的页面动作对象(WebAction)，随后页面动作对象根据映射关系调用对应的动作处理函数，从而动态引用页面资源。
所述应用安全域管理装置12用于集中管理和维护卡上的各个合作方的应用，并使之保持一定的独立性。通常，智能卡上存在多个应用，这些应用需要分成几个集合，每个集合中的应用属于同一个卡外实体，例如卡发行商或持卡人。卡外实体的卡上代理叫做应用安全域。在实际应用中，只有通过应用安全域，外卡实体才能实现对应用的管理。图3为根据本发明的实施例的应用安全域结构图。如图3所示，本发明所公开的多应用智能卡定义了下面几种应用安全域：发卡商应用安全域，所述发卡商应用安全域用于管理发卡商应用，可以安装生成其他应用安全域，例如一般应用安全域或持卡人应用安全域，并且可以锁定或删除自己创建的应用或应用安全域，所述多应用智能卡上可以存在多个发卡商应用安全域；共享应用安全域，所述共享应用安全域可以共享卡片控制权，可以在自己的域内创建一般应用安全域，并且可以锁定或删除自己创建的应用或应用安全域；一般应用安全域(即合作方应用安全域)，发卡商允许第三方组织通过其发行的卡片向持卡人提供应用，第三方组织的卡上代理被称之为一般应用安全域，所述一般应用安全域可以创建应用，并且可以锁定或删除自己创建的应用；持卡人应用安全域，发卡商允许持卡人在自己的卡上安装和删除应用，持卡人的卡上代理被称之为持卡人应用安全域，所述持卡人应用安全域可以创建应用或片应用，并且可以锁定或删除自己的应用安全域。本发明所公开的应用安全域还包括服务应用和片应用，所述服务应用是智能卡上的特殊应用，该服务应用不与终端交互，并通过其私有接口向其他应用提供服务。所述片应用是一种为行业应用提供支撑的轻量级应用，可以提供灵活的、可伸缩的安全架构和数据存取机制。
本发明所公开的应用安全域具有如下作用：代理卡外实体进行应用的维护工作，在代理应用维护工作前，应用安全域首先与卡外实体建立安全通道，完成相互认证，安全通道建立完成后，应用安全域才可接受和执行卡外实体发来的应用维护命令；为直接隶属的应用或应用安全域提供服务，通常，应用安全域会存储一些私有的密钥，为其直接隶属的应用提供加解密服务，服务接口由应用安全域自定义。
本发明所公开的发卡商应用安全域在卡发行时已经预置在卡中，其主要作用如下：存储发卡商证书或密钥，本发明所公开的智能卡允许存在多个发卡商应用安全域，其中，所述多个发卡商应用安全域表示该智能卡由多个发卡商联合发行，每个发卡商对应一个发卡商应用安全域，同时，发卡商证书或密钥参与安全通道的建立，并向卡外实体证明自己的合法身份；为发卡商应用提供密钥和算法服务，除了发卡商证书或密钥外，发卡商应用安全域可以存储一些私有密钥和私有密钥算法，这些密钥和算法可以通过自定义的服务接口向外提供密钥服务，只有直接隶属于发卡商应用安全域的应用才可以使用发卡商应用安全域的密钥服务；应用维护，发卡商应用安全域负责维护隶属于它的应用，维护操作包括应用的安装和注册，应用的生命周期的改变和应用的删除等，在发卡商应用安全域开启维护操作前，该发卡商应用安全域需要和卡外实体建立安全通道。
如图3所示，本发明所公开的一般应用安全域和持卡人应用安全域是二级应用安全域，其隶属于卡上某个发卡商应用安全域。一般应用安全域和持卡人应用安全域可在卡发行时预置在卡中，也可以在卡发行后由发卡商应用安全域创建，因此，一般应用安全域和持卡人应用安全域可以看作隶属于发卡商应用安全域的应用，从而可以调用发卡商应用安全域提供的服务。一般应用安全域的主要作用如下：存储应用安全域的密钥，该应用安全域的密钥参与安全通道的建立，并向卡外实体证明自己的合法身份；为直接隶属的应用提供密钥和算法服务，这些密钥和算法是该一般应用安全域私有的，并且服务接口由该一般应用安全域自定义，负责维护隶属于它的应用，维护操作包括应用的安装和注册，应用的生命周期的改变和应用的删除等，并且在与卡外实体成功建立安全通道之后，一般应用安全域通过接收卡外实体的应用管理命令进行应用管理操作。持卡人应用安全域主要作用如下：存储持卡人应用安全域的个人身份码(PIN)，持卡人在进行持卡人应用安全域的应用维护前，需要先验证持卡人应用安全域的PIN码，持卡人应用安全域需要自定义验证PIN码的命令，验证PIN码后，持卡人应用安全域就可以确认外界持卡人身份，即与外界建立了安全通道；为直接隶属的应用提供密钥服务，这些密钥和算法是持卡人应用安全域私有的，并且服务接口由持卡人应用安全域自定义；负责维护隶属它的应用，维护操作包括应用的安装和注册，应用的生命周期的改变和应用的删除等，在成功验证了持卡人应用安全域的PIN码后，持卡人应用安全域通过接收卡外实体的应用管理命令进行应用管理操作。
如图3所示，在本发明所公开的应用安全域中，可选地，已存在的发卡商应用安全域可以通过投票的方式决定是否添加新的发卡商应用安全域。投票过程如下：进程初始化，主要用于确定认证算法；各个已存在的发卡商应用安全域接收到请求后进行投票；拆开每张票，比较每张票的内容，并根据比较结果决定是否添加新的发卡商应用安全域。其中，每张票中包含的信息决定了新的发卡商应用安全域的关键属性(例如，该新的发卡商应用安全域是否具有投票权)。
在根据本发明的实施例的智能卡多应用管理系统中，应用的安装步骤如下：采用HTTP协议建立安全通道，其中密钥体系采用非对称密钥体系结合对称密钥体系；如果是隶属于持卡人应用安全域的应用，则可以利用PIN建立安全通道；创建应用句柄；下载并安装应用本身；激活应用。其中，安全通道的建立过程如下：终端1向智能卡3发送安全通道建立请求消息，该消息内含需要操作的域的标识和附加信息以及浏览器4的公钥证书，从而申明终端1所支持的算法、公钥和选择操作的应用安全域；智能卡3收到安全通道建立请求消息后检查收到的消息内容，校验浏览器证书、并根据附加信息确定返回的安全通道建立响应消息的内容，从而申明智能卡3支持的算法、公钥以及建议的双方均支持的会话算法；终端1接收到该安全通道建立响应消息后，判断是否接受智能卡的建议或重新协商；按照协商的算法产生过程密钥，用于保护后续通讯的数据加密和防止篡改。
图6为根据本发明的实施例的智能卡多应用管理方法流程图。如图6所示，该智能卡多应用管理方法包括如下步骤：(a)在终端中的浏览器和多应用智能卡之间建立安全通道；(b)多应用智能卡通过读卡器向终端中的浏览器发出事件信息；(c)该浏览器接收到所述事件信息后，通过解析而获得事件参数，并将该参数传递给事件处理者；(d)该事件处理者接收到事件参数后对其进行处理而生成带有所述多应用智能卡的身份识别信息和回叫地址的请求消息，并将该请求消息发送给服务器；(e)该服务器接收到所述请求消息后对其进行处理并生成响应消息，并将该响应消息通过浏览器发送到所述多应用智能卡，其中，所述响应消息包含有需要操作的应用安全域的标识；(f)所述多应用智能卡接收到该响应消息后对相应的应用安全域进行指定的操作，并与服务器进行后续的通信。其中，所述应用安全域包括多于一个的发卡商应用安全域。并且可选地，所述应用安全域包括至少一个持卡人应用安全域。其中，可选地，已存在的发卡商应用安全域可以通过投票的方式决定是否添加新的发卡商应用安全域。投票过程如下：进程初始化，主要用于确定认证算法；各个已存在的发卡商应用安全域接收到请求后进行投票；拆开每张票，比较每张票的内容，并根据比较结果决定是否添加新的发卡商应用安全域。其中，每张票中包含的信息决定了新的发卡商应用安全域的关键属性(例如，该新的发卡商应用安全域是否具有投票权)。
所述智能卡多应用管理方法中的步骤(a)进一步包括如下步骤：(a1)终端中的浏览器向所述多应用智能卡发送安全通道建立请求消息，该消息内含需要操作的域的标识和附加信息以及该浏览器的公钥证书，从而申明终端所支持的算法、公钥和选择操作的应用安全域；(a2)所述多应用智能卡收到该安全通道建立请求消息后检查收到的消息内容，效验浏览器证书、并根据附加信息确定返回的安全通道建立响应消息的内容，从而申明多应用智能卡支持的算法、公钥以及建议的双方均支持的会话算法；(a3)终端中的浏览器接收到该安全通道建立响应消息后，判断是否接受所述多应用智能卡的建议或重新协商；(a4)所述多应用智能卡按照协商的算法产生过程密钥，用于保护后续通讯的数据加密和防止篡改。
尽管本发明是通过上述的优选实施方式进行描述的，但是其实现形式并不局限于上述的实施方式。应该认识到：在不脱离本发明主旨和范围的情况下，本领域技术人员可以对本发明做出不同的变化和修改。

Claims (17)

1.一种智能卡多应用管理系统，所述智能卡多应用管理系统包括终端、服务器、多应用智能卡和读卡器，并且所述终端包括浏览器、网络协议模块和网络适配器；其中，所述多应用智能卡通过所述网络适配器和所述读卡器与终端相连接，而所述服务器通过网络适配器与终端相连接，其中，所述多应用智能卡包括应用安全域管理装置，用于管理和维护所述多应用智能卡内的应用安全域，其特征在于，所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
2.根据权利要求1所述的智能卡多应用管理系统，其特征在于，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
3.根据权利要求1-2中任一个权利要求所述的智能卡多应用管理系统，其特征在于，所述多应用智能卡与所述终端之间使用HTTP协议建立安全通道。
4.根据权利要求3所述的智能卡多应用管理系统，其特征在于，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
5.根据权利要求4所述的智能卡多应用管理系统，其特征在于，所述终端是基于Web方式的移动电话或POS机或ATM机。
6.一种多应用智能卡，所述多应用智能卡包括应用模块、本地操作系统、应用安全域管理装置以及物理层硬件，所述应用安全域管理装置用于管理和维护所述多应用智能卡内的应用安全域，其特征在于，所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
7.根据权利要求6所述的多应用智能卡，其特征在于，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
8.根据权利要求6-7中任一个权利要求所述的多应用智能卡，其特征在于，所述多应用智能卡与外部终端之间使用HTTP协议建立安全通道。
9.根据权利要求8所述的多应用智能卡，其特征在于，所述本地操作系统包括基于Web的服务器模块，所述基于Web的服务器模块用于对所述应用模块与外部终端之间的交互信息进行编解码和解释。
10.根据权利要求9所述的多应用智能卡，其特征在于，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
11.根据权利要求10所述的多应用智能卡，其特征在于，所述外部终端是基于Web方式的移动电话或POS机或ATM机。
12.一种智能卡多应用管理方法，所述方法包括如下步骤：
(a)在多应用智能卡和终端中的浏览器之间建立安全通道；
(b)所述多应用智能卡通过读卡器向所述终端中的浏览器发出事件信息；
(c)所述浏览器接收到所述事件信息后，通过解析而获得事件参数，并将所述事件参数传递给事件处理者；
(d)所述事件处理者接收到所述事件参数后对所述事件参数进行处理而生成带有所述多应用智能卡的身份识别信息和回叫地址的请求消息，并将所述请求消息发送给服务器；
(e)所述服务器接收到所述请求消息后对所述请求消息进行处理并生成响应消息，并将所述响应消息通过所述浏览器发送到所述多应用智能卡中，其中，所述响应消息包含有需要操作的应用安全域的标识；
(f)所述多应用智能卡接收到所述响应消息后对相应的应用安全域进行指定的操作，并与所述服务器进行后续的通信；
其特征在于，所述应用安全域包括多个发卡商应用安全域，所述多个发卡商应用安全域共享所述多应用智能卡的控制权。
13.根据权利要求12所述的智能卡多应用管理方法，其特征在于，所述应用安全域还包括至少一个持卡人应用安全域，所述持卡人应用安全域隶属于创建所述持卡人应用安全域的发卡商应用安全域，用于管理和维护持卡人所创建的应用。
14.根据权利要求12-13中任一个权利要求所述的智能卡多应用管理方法，其特征在于，步骤(a)进一步包括如下步骤：
(a1)所述终端中的浏览器向所述多应用智能卡发送安全通道建立请求消息，所述安全通道建立请求消息包含有需要操作的域的标识信息和附加信息以及所述浏览器的公钥证书，从而申明所述终端所支持的算法、公钥和所选择操作的应用安全域；
(a2)所述多应用智能卡收到所述安全通道建立请求消息后检查收到的所述安全通道建立请求消息的内容，校验所述浏览器的公钥证书、并根据附加信息确定返回的安全通道建立响应消息的内容，从而申明所述多应用智能卡支持的算法、公钥以及建议的双方均支持的会话算法；
(a3)所述终端中的浏览器接收到所述安全通道建立响应消息后，判断是否接受所述多应用智能卡的建议或重新协商；
(a4)所述多应用智能卡按照协商的算法产生过程密钥，用于保护后续通讯的数据加密和防止篡改。
15.根据权利要求14所述的智能卡多应用管理方法，其特征在于，所述多应用智能卡与所述终端之间使用HTTP协议建立安全通道。
16.根据权利要求15所述的智能卡多应用管理方法，其特征在于，所述多个发卡商应用安全域通过投票的方式决定是否添加新的发卡商应用安全域。
17.根据权利要求16所述的智能卡多应用管理方法，其特征在于，所述终端是基于Web方式的移动电话或POS机或ATM机。
CN200910195624.2A 2009-09-11 2009-09-11 多应用智能卡及智能卡多应用管理系统和方法 Active CN102025710B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN200910195624.2A CN102025710B (zh) 2009-09-11 2009-09-11 多应用智能卡及智能卡多应用管理系统和方法
US13/394,803 US9009476B2 (en) 2009-09-11 2010-08-27 Multi-application smart card, and system and method for multi-application management of smart card
EP10814868.5A EP2477165B1 (en) 2009-09-11 2010-08-27 Multi-application smart card, and system and method for multi-application management of smart card
PCT/CN2010/001302 WO2011029266A1 (zh) 2009-09-11 2010-08-27 多应用智能卡及智能卡多应用管理系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN200910195624.2A CN102025710B (zh) 2009-09-11 2009-09-11 多应用智能卡及智能卡多应用管理系统和方法

Publications (2)

Publication Number Publication Date
CN102025710A true CN102025710A (zh) 2011-04-20
CN102025710B CN102025710B (zh) 2015-11-25

Family

ID=43731940

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200910195624.2A Active CN102025710B (zh) 2009-09-11 2009-09-11 多应用智能卡及智能卡多应用管理系统和方法

Country Status (4)

Country Link
US (1) US9009476B2 (zh)
EP (1) EP2477165B1 (zh)
CN (1) CN102025710B (zh)
WO (1) WO2011029266A1 (zh)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102542226A (zh) * 2011-12-26 2012-07-04 东信和平智能卡股份有限公司 一种应用终端访问智能卡的安全访问实现方法
CN103117856A (zh) * 2012-01-16 2013-05-22 深圳市家富通汇科技有限公司 在移动装置中配置应用的方法和装置
CN103188233A (zh) * 2011-12-30 2013-07-03 卓望数码技术（深圳）有限公司 一种多应用分发与管理的方法及系统
CN103208065A (zh) * 2012-01-16 2013-07-17 深圳市家富通汇科技有限公司 在移动装置中个人化安全元件的方法和装置
WO2014063632A1 (zh) * 2012-10-25 2014-05-01 中国银联股份有限公司 多应用智能卡管理系统及方法
CN103957210A (zh) * 2014-04-30 2014-07-30 捷德（中国）信息科技有限公司 智能卡及其安全控制方法、装置和系统
CN104092546A (zh) * 2014-06-30 2014-10-08 飞天诚信科技股份有限公司 智能卡上安全域的生成方法
CN104301284A (zh) * 2013-07-15 2015-01-21 中国银联股份有限公司 多应用智能卡及智能卡多应用管理方法
CN104573591A (zh) * 2015-01-05 2015-04-29 飞天诚信科技股份有限公司 一种安全读卡器及其工作方法
CN105516181A (zh) * 2015-12-29 2016-04-20 邵军利 安全设备管理系统及方法
CN105592115A (zh) * 2014-10-23 2016-05-18 广东华大互联网股份有限公司 一种分布式智能卡行业应用系统和方法
CN105809064A (zh) * 2014-12-31 2016-07-27 北京华大智宝电子系统有限公司 一种智能卡安全控制方法及智能卡
CN106203578A (zh) * 2015-05-08 2016-12-07 北京数码视讯科技股份有限公司 一种智能卡、智能卡应用的安全服务调用方法及装置
CN106874733A (zh) * 2016-12-29 2017-06-20 北京握奇智能科技有限公司 一种具有UI功能的多应用网银Key及其控制方法
CN108304716A (zh) * 2017-01-13 2018-07-20 国民技术股份有限公司 多应用智能卡及其应用管理方法、通信系统及通信方法

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2273748A1 (en) * 2009-07-09 2011-01-12 Gemalto SA Method of managing an application embedded in a secured electronic token
CN103167498B (zh) * 2011-12-19 2015-11-11 卓望数码技术（深圳）有限公司 一种能力管控方法和系统
US9058498B2 (en) * 2012-07-12 2015-06-16 Oracle International Corporation Runtime environment management of secure communications on card computing devices
US8898769B2 (en) 2012-11-16 2014-11-25 At&T Intellectual Property I, Lp Methods for provisioning universal integrated circuit cards
US8959331B2 (en) * 2012-11-19 2015-02-17 At&T Intellectual Property I, Lp Systems for provisioning universal integrated circuit cards
KR101449644B1 (ko) 2013-05-22 2014-10-15 한국정보통신주식회사 Pos 시스템 및 이를 이용한 카드 정보 암호화 결제 방법
US9036820B2 (en) 2013-09-11 2015-05-19 At&T Intellectual Property I, Lp System and methods for UICC-based secure communication
US9124573B2 (en) 2013-10-04 2015-09-01 At&T Intellectual Property I, Lp Apparatus and method for managing use of secure tokens
US9208300B2 (en) 2013-10-23 2015-12-08 At&T Intellectual Property I, Lp Apparatus and method for secure authentication of a communication device
US9240994B2 (en) 2013-10-28 2016-01-19 At&T Intellectual Property I, Lp Apparatus and method for securely managing the accessibility to content and applications
US9240989B2 (en) 2013-11-01 2016-01-19 At&T Intellectual Property I, Lp Apparatus and method for secure over the air programming of a communication device
US9313660B2 (en) 2013-11-01 2016-04-12 At&T Intellectual Property I, Lp Apparatus and method for secure provisioning of a communication device
US9413759B2 (en) 2013-11-27 2016-08-09 At&T Intellectual Property I, Lp Apparatus and method for secure delivery of data from a communication device
US9713006B2 (en) 2014-05-01 2017-07-18 At&T Intellectual Property I, Lp Apparatus and method for managing security domains for a universal integrated circuit card
US20150326545A1 (en) * 2014-05-06 2015-11-12 Apple Inc. Secure key rotation for an issuer security domain of an electronic device
CN104463263B (zh) * 2014-10-17 2017-08-11 青岛丰华时代信息技术有限公司 Ic卡上多应用的系统构架及基于该构架的信息处理方法
US9935789B2 (en) 2015-02-11 2018-04-03 Dell Products L.P. Centralized pluggable authentication and authorization
EP3101862A1 (en) * 2015-06-02 2016-12-07 Gemalto Sa Method for managing a secure channel between a server and a secure element
US9819670B2 (en) * 2015-06-18 2017-11-14 Airwatch Llc Distributing security codes through a restricted communications channel
US9843572B2 (en) 2015-06-29 2017-12-12 Airwatch Llc Distributing an authentication key to an application installation
CN105184330B (zh) * 2015-09-21 2019-08-13 北京握奇智能科技有限公司 一种基于网络的ic卡发卡系统及方法
CN106355124A (zh) * 2016-08-31 2017-01-25 新智数字科技有限公司 一种cpu卡的读写方法及装置
CN107169762B (zh) * 2017-05-24 2020-02-07 中国银联股份有限公司 一种安全载体的配置方法及装置
CN109711221B (zh) * 2018-12-28 2021-09-28 飞天诚信科技股份有限公司 一种多应用智能卡及其查询应用监听关系的方法
US11727403B2 (en) 2019-05-20 2023-08-15 Samsung Electronics Co., Ltd. System and method for payment authentication
CN113162771B (zh) * 2021-04-25 2022-09-16 广州羊城通有限公司 一种智能卡应用管理方法、装置及系统

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1004992A3 (en) * 1997-03-24 2001-12-05 Visa International Service Association A system and method for a multi-application smart card which can facilitate a post-issuance download of an application onto the smart card
ATE281680T1 (de) 1997-03-24 2004-11-15 Visa Int Service Ass System und verfahren für eine mehrzweckchipkarte die eine nachträgliche speicherung einer anwendung auf dieser karte ermöglicht
US7290288B2 (en) * 1997-06-11 2007-10-30 Prism Technologies, L.L.C. Method and system for controlling access, by an authentication server, to protected computer resources provided via an internet protocol network
FR2782435B1 (fr) 1998-08-13 2000-09-15 Bull Cp8 Procede de communication entre une station d'utilisateur et un reseau, notamment de type internet, et architecture de mise en oeuvre
US6402028B1 (en) * 1999-04-06 2002-06-11 Visa International Service Association Integrated production of smart cards
CA2405477A1 (en) * 2000-04-11 2001-10-18 Visa International Service Association Integrated production of smart cards
US20040123152A1 (en) * 2002-12-18 2004-06-24 Eric Le Saint Uniform framework for security tokens
WO2004100094A2 (en) * 2003-05-01 2004-11-18 The Trustees Of The University Of Pennsylvania System and method for using open apis to provide integrated security policies for flexible management and customization of payment instruments
KR100437513B1 (ko) * 2004-02-09 2004-07-03 주식회사 하이스마텍 복수의 발급자 시큐리티 도메인을 설치할 수 있는 스마트카드 및 하나의 스마트 카드에 복수의 발급자 시큐리티도메인을 설치할 수 있는 방법
US7628322B2 (en) 2005-03-07 2009-12-08 Nokia Corporation Methods, system and mobile device capable of enabling credit card personalization using a wireless network
US20070022051A1 (en) * 2005-05-18 2007-01-25 Parcxmart Technologies, Inc. System and method for multi-application payment processing
CN201114171Y (zh) * 2006-12-31 2008-09-10 泰州苏源集团科电有限公司 一种多功能智能卡网络管理系统
EP2048591B1 (en) 2007-10-09 2018-01-24 Vodafone Holding GmbH Method for communication, communication device and secure processor
EP2048594A1 (en) 2007-10-09 2009-04-15 Vodafone Holding GmbH Method for communication, communication device and secure processor
GB2457221A (en) * 2007-10-17 2009-08-12 Vodafone Plc Smart Card Web Server (SCWS) administration within a plurality of security domains
CN101231768B (zh) * 2008-01-25 2010-09-08 北京深思洛克软件技术股份有限公司 一种多应用智能卡及实现智能卡多应用的方法
CN101500224B (zh) * 2008-01-31 2012-06-06 中国移动通信集团公司 电信智能卡的多应用管理服务器、多应用管理方法及系统
CN101729502B (zh) * 2008-10-23 2012-09-05 中兴通讯股份有限公司 密钥分发方法和系统
JP5547803B2 (ja) * 2009-04-16 2014-07-16 テレフオンアクチーボラゲット エル エム エリクソン（パブル） メッセージをセキュアエレメントへ送信するための方法、サーバ、およびコンピュータプログラム

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102542226A (zh) * 2011-12-26 2012-07-04 东信和平智能卡股份有限公司 一种应用终端访问智能卡的安全访问实现方法
CN103188233A (zh) * 2011-12-30 2013-07-03 卓望数码技术（深圳）有限公司 一种多应用分发与管理的方法及系统
CN103188233B (zh) * 2011-12-30 2016-03-16 卓望数码技术（深圳）有限公司 一种多应用分发与管理的方法及系统
CN103117856B (zh) * 2012-01-16 2015-07-01 深圳市可秉资产管理合伙企业（有限合伙） 在移动装置中配置应用的方法和装置
CN103117856A (zh) * 2012-01-16 2013-05-22 深圳市家富通汇科技有限公司 在移动装置中配置应用的方法和装置
CN103208065A (zh) * 2012-01-16 2013-07-17 深圳市家富通汇科技有限公司 在移动装置中个人化安全元件的方法和装置
WO2014063632A1 (zh) * 2012-10-25 2014-05-01 中国银联股份有限公司 多应用智能卡管理系统及方法
CN104301284A (zh) * 2013-07-15 2015-01-21 中国银联股份有限公司 多应用智能卡及智能卡多应用管理方法
WO2015007184A1 (zh) * 2013-07-15 2015-01-22 中国银联股份有限公司 多应用智能卡及智能卡多应用管理方法
CN103957210A (zh) * 2014-04-30 2014-07-30 捷德（中国）信息科技有限公司 智能卡及其安全控制方法、装置和系统
CN103957210B (zh) * 2014-04-30 2017-10-20 捷德（中国）信息科技有限公司 智能卡及其安全控制方法、装置和系统
CN104092546B (zh) * 2014-06-30 2017-07-14 飞天诚信科技股份有限公司 智能卡上安全域的生成方法
CN104092546A (zh) * 2014-06-30 2014-10-08 飞天诚信科技股份有限公司 智能卡上安全域的生成方法
CN105592115A (zh) * 2014-10-23 2016-05-18 广东华大互联网股份有限公司 一种分布式智能卡行业应用系统和方法
CN105809064B (zh) * 2014-12-31 2018-09-28 北京华大智宝电子系统有限公司 一种智能卡安全控制方法及智能卡
CN105809064A (zh) * 2014-12-31 2016-07-27 北京华大智宝电子系统有限公司 一种智能卡安全控制方法及智能卡
CN104573591B (zh) * 2015-01-05 2017-11-28 飞天诚信科技股份有限公司 一种安全读卡器及其工作方法
CN104573591A (zh) * 2015-01-05 2015-04-29 飞天诚信科技股份有限公司 一种安全读卡器及其工作方法
CN106203578A (zh) * 2015-05-08 2016-12-07 北京数码视讯科技股份有限公司 一种智能卡、智能卡应用的安全服务调用方法及装置
CN106203578B (zh) * 2015-05-08 2019-03-01 北京数码视讯科技股份有限公司 一种智能卡、智能卡应用的安全服务调用方法及装置
CN105516181A (zh) * 2015-12-29 2016-04-20 邵军利 安全设备管理系统及方法
CN106874733A (zh) * 2016-12-29 2017-06-20 北京握奇智能科技有限公司 一种具有UI功能的多应用网银Key及其控制方法
CN108304716A (zh) * 2017-01-13 2018-07-20 国民技术股份有限公司 多应用智能卡及其应用管理方法、通信系统及通信方法

Also Published As

Publication number Publication date
US9009476B2 (en) 2015-04-14
CN102025710B (zh) 2015-11-25
EP2477165A4 (en) 2014-05-21
EP2477165A1 (en) 2012-07-18
EP2477165B1 (en) 2016-11-02
WO2011029266A1 (zh) 2011-03-17
US20120246476A1 (en) 2012-09-27

Similar Documents

Publication Publication Date Title
CN102025710A (zh) 多应用智能卡及智能卡多应用管理系统和方法
CN107566117B (zh) 一种区块链密钥管理系统及方法
CN110419044B (zh) 信息处理装置和信息处理方法
CN107067251A (zh) 使用具有地理上受限的非本地凭据的电子设备进行交易
CN102855710B (zh) 一种客户身份信息远程认证方法及系统
CN104050565B (zh) 基于pboc支付网络的智能支付系统及其移动终端
CN106934673A (zh) 一种电子发票系统
CN102202306B (zh) 移动安全认证终端及方法
CN111080295A (zh) 一种基于区块链的电子合同处理方法以及设备
CN107545031A (zh) 账户综合查询服务、系统及计算机可读存储介质
US11195177B1 (en) Distributed ledger systems for tracking recurring transaction authorizations
CN104283961A (zh) 社区管理集成云服务平台及方法
CN104951939A (zh) 电子银行卡系统及其应用方法、银行卡的电子化方法
US20160342809A1 (en) System and method of authentication of a first party respective of a second party aided by a third party
CN111553678A (zh) 基于手机名片的二维码支付方法及其系统
KR20060130312A (ko) 복수기관 공동발급 스마트카드 칩에 키를 전달하는 방법 및그 시스템
CN107947934A (zh) 基于银行系统的移动终端的指纹识别认证系统及方法
TWM617427U (zh) 具隱私保護的風險資訊交換系統
KR20130048532A (ko) 차세대 금융 거래 시스템
JP2013536481A (ja) 複数のサービスのうち１つのサービスへのユニバーサルアクセスを提供するための方法およびシステム
CN105225104A (zh) 一种支付方法及系统
KR101823241B1 (ko) 비대면 계좌개설 절차를 통합함으로써 다중/다종의 금융기관의 계좌를 동시에 개설토록 하는 시스템 및 방법
KR100822942B1 (ko) 온라인 금융상품 신규 처리 시스템
CN104463645A (zh) 一种基于sim卡开具电子发票的系统及方法
CN104506574A (zh) 信息交互双方通讯联系建立方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant