CN102110205A - 一种智能卡的操作权限检查方法及一种智能卡 - Google Patents

Abstract

本发明提供了一种智能卡的操作权限检查方法，包括：当需要执行某项操作时，获取智能卡当前的安全状态标识，并判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；若是，则执行所述操作，并依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。本发明可以精确、有效地控制智能卡的安全状态，提高智能卡的安全性。

Description

一种智能卡的操作权限检查方法及一种智能卡

技术领域

本发明涉及智能卡的技术领域，特别是涉及一种智能卡的操作权限检查方法及一种智能卡。

背景技术

智能卡又称为IC卡，英文名称为SMART card或Integrated Circuit Card。智能卡中集成了微处理器CPU、存储单元(包括随机存储器RAM、程序存储器ROM(FLASH)、用户数据存储器EEPROM等)以及芯片操作系统COS(chip operating system)，构成一个完整的计算机系统。近年来，智能卡在身份认证、电子支付和结算、交易安全和数据载体等领域得到了广泛应用。

为保证智能卡应用的安全性，除设置有自身的物理安全机制以外，智能卡内部还设立了COS的安全管理模块，智能卡COS的安全管理模块分散在COS的各层中，包括最底层的加密算法实现、系统安全服务和应用安全控制等。其中，最核心的是安全服务中系统所提供的安全策略。

具体而言，智能卡的安全体系包括三部分：安全状态、安全属性以及安全机制。其中，安全状态是指智能卡当前所处的安全级别，是一种中间的状态信息。例如，可以用于表示在卡片完成下述三种操作后可能达到的状态：

第一种、卡片复位：无论是上电复位还是软复位，卡片中所记录的所有安全状态都被清除，这时卡片处于最低级别的安全状态。

第二种、执行认证指令(如外部认证、PIN认证等)：卡片的认证指令包括对用户密码(PIN)的检验、对卡内密钥的校验等。

第三种、安全报文校验：对于包含安全报文的命令，卡片在执行命令以前需要对安全报文进行校验，校验成功之后才能执行命令。

安全属性又称为访问权限，隶属于某一个数据对象，定义了对该对象可以进行的操作，以及进行这些操作时所需要满足的安全条件，也就是在智能卡进行某种操作时，所要求的安全状态。

安全机制从广义上说是卡片支持的各种安全模式，从狭义上说是安全状态实现转移所采用的方法和手段。一种安全状态通过上述安全机制转移到另一种状态，把该安全状态与某个安全属性相比较，如果一致，则表明能够执行该属性对应的命令；如果不一致，则相关命令不能被执行。也就是说，当智能卡进行的任何一项操作时，首先需要检查当前的安全状态是否满足所要操作对象的安全属性，若满足，则允许执行相应的命令或者访问相应的数据对象；否则，将拒绝执行相应的命令或者访问相应的数据对象，现有技术中，智能卡正是采用上述手段进行安全状态控制。

然而，当智能卡执行某项操作的安全状态满足所要操作对象的安全属性，从而被允许执行该项操作后，通常该安全状态将会一直保留，这在应用中存在极大的安全隐患，例如，某应用的消费交易需要通过PIN认证，用户在输入正确PIN后，PIN认证成功，该消费操作结束后，若非法的第三方再次发起消费交易，将也能成功。特别是在网络应用中，这种安全隐患会体现得更加明显。

因而，目前需要本领域技术人员解决的一个技术问题就是：如何能够创新地提出一种智能卡的操作权限检查方法，以精确、有效地控制智能卡的安全状态，提高智能卡的安全性。

发明内容

本发明所要解决的技术问题是提供一种智能卡的操作权限检查方法，用以精确、有效地控制智能卡的安全状态，提高智能卡的安全性。

本发明还提供了一种智能卡，用以保证上述方案在实际中的应用。

为了解决上述问题，本发明公开了一种智能卡的操作权限检查方法，包括：

当需要执行某项操作时，获取智能卡当前的安全状态标识，并判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；

若是，则执行所述操作，并依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

优选的，所述的方法，还包括：

若当前的安全状态标识未在预设的智能卡安全状态的有效标识范围内，则拒绝执行所述操作。

优选的，所述安全状态标识为安全状态值，所述有效标识范围为有效取值区间。

优选的，所述预置迁移规则包括：

按照指定步长进行更新所述安全状态值。

优选的，所述预置迁移规则还包括：

将所述安全状态值置为一无效值，所述无效值为有效取值区间外的任一值。

优选的，所述预置迁移规则还包括：

保持当前的安全状态值。

优选的，在执行操作之前，所述的方法还包括：

初始化智能卡的安全状态值。

本发明实施例还公开了一种智能卡，包括：

安全状态获取模块，用于在需要执行某项操作时，获取智能卡当前的安全状态标识；

判断模块，用于判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；

若是，则触发执行模块和安全状态更新模块；所述执行模块用于执行所述操作；所述安全状态更新模块用于依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

优选的，所述的智能卡，还包括：

拒绝处理模块，用于在当前的安全状态标识未在预设的智能卡安全状态的有效标识范围内时，拒绝执行所述操作。

优选的，所述安全状态标识为安全状态值，所述有效标识范围为有效取值区间。

优选的，所述预置迁移规则包括：

按照指定步长进行更新所述安全状态值。

优选的，所述预置迁移规则还包括：

将所述安全状态值置为一无效值，所述无效值为有效取值区间外的任一值。

优选的，所述的智能卡，还包括：

安全状态初始化模块，用于初始化智能卡的安全状态值。

与现有技术相比，本发明具有以下优点：

本发明通过定义智能卡安全状态的有效取值区间，以及，在数据对象的安全属性中增加安全状态的迁移规则，当智能卡执行某项操作时，智能卡除了依据所述安全状态的有效取值区间完成相应数据对象的安全属性检查外，还需要依据该安全属性中设置的安全状态迁移规则完成安全状态的更新。通过安全状态取值的变化，来对该安全状态的使用情况进行动态记录，从而达到对安全状态使用过程进行控制的目的。由于控制了安全状态的使用过程，也就控制了受该安全状态对应安全条件控制的所有操作。即通过对安全状态的有效、精确地控制，就可以根据应用的需要精确地控制实际应用中某项操作的频率，从而提高智能卡应用的安全性。

附图说明

图1是本发明的一种智能卡的操作权限检查方法实施例的步骤流程图；

图2是本发明的一种智能卡的操作权限检查系统实施例的结构框图；

图3是本发明的一种智能卡的结构图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明实施例的核心构思之一在于，通过定义智能卡安全状态的有效取值区间，以及，在数据对象的安全属性中增加安全状态的迁移规则，当智能卡执行某项操作时，智能卡除了依据所述安全状态的有效取值区间完成相应数据对象的安全属性检查外，还需要依据该安全属性中设置的安全状态迁移规则完成安全状态的更新。通过安全状态取值的变化，来对该安全状态的使用情况进行动态记录，从而达到对安全状态使用过程进行控制的目的。

参考图1，示出了本发明的一种智能卡的操作权限检查方法实施例的流程图，具体可以包括以下步骤：

步骤101、当需要执行某项操作时，获取智能卡当前的安全状态标识；

步骤102、判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；若是，则执行步骤103；若否，则执行步骤104；

步骤103、执行所述操作，并依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

步骤104、拒绝执行所述操作。

本发明实施例的主要目的是为了提高智能卡的安全性，在具体应用中，智能卡的安全性体现在对智能卡数据对象访问的安全控制能力上，由于智能卡中主要的数据对象是命令和文件，所以提高智能卡的安全性，也就是增强对文件访问和命令执行的安全控制能力。

公知的是，智能卡的安全控制能力主要是由安全体系决定的，安全体系包括三部分：安全状态、安全属性以及安全机制。其中，安全状态是指智能卡当前所处的安全级别，是一种中间的状态信息。安全属性又称为访问权限，隶属于某一个数据对象，定义了对该对象可以进行的操作，以及进行这些操作时所需要满足的安全条件，也就是在智能卡进行某种操作时，所要求的安全状态。安全机制即安全状态实现转移所采用的方法和手段。

在本发明的一种优选实施例中，所述安全状态标识可以为安全状态值，所述有效标识范围可以为有效取值区间。在需要执行某项操作时所获取的智能卡当前的安全状态值，是指该项操作所对应的安全属性中所要求的安全状态的取值，简而言之，即与当前操作相关的安全状态值。

在具体实现中，当智能卡进行任何一项操作时，首先都需要检查当前的安全状态是否满足所要操作的数据对象的安全属性，在本发明实施例中，定义了智能卡安全状态的有效取值区间，如[1，252]，而不是如现有技术中仅定义单一的安全状态值，当智能卡成功执行某项安全相关操作后(比如，PIN认证、外部认证)，即可获得该有效取值区间中的某一个值。在这种情况下，对于执行某项操作的安全属性检查的操作，即为判断智能卡当前的安全状态值是否在所述有效取值区间内，若是，则允许执行相应的命令或者访问相应的数据对象，并依据当前操作所对应的预置迁移规则对所述安全状态值进行更新；否则，将拒绝执行相应的命令或者访问相应的数据对象。作为本发明的一种优选实施例，还可以同时定义智能卡安全状态的有效取值区间和无效取值区间，其中，所述无效取值区间可以为自定义的非有效区间的任意区间；对于不同的安全状态而言，其对应的无效取值区间也有所不同，本发明对此不作限制。

例如，定义智能卡安全状态的取值区间为[0，255]，其中，安全状态的有效取值区间为[1，252]，安全状态的无效取值区间为：0、[253，255]。一方面，当智能卡成功执行某项安全相关操作后(比如，PIN认证、外部认证)，即可获得有效取值区间中的某一个值；另一方面，当智能卡在执行某些操作时，通过预置的安全状态迁移规则完成安全状态的逐次更新，直至安全状态的取值为无效取值区间中的某一个值。在这种情况下，对于执行某项操作的安全属性检查的操作，即为判断智能卡当前的安全状态值是在有效取值区间内，还是在无效取值区间内，若是在有效取值区间内，则允许执行相应的命令或者访问相应的数据对象，并依据当前操作所对应的预置迁移规则对所述安全状态值进行更新；若是在无效取值区间内，则拒绝执行相应的命令或者访问相应的数据对象。

在实际中，对于所述安全状态的有效取值区间或无效取值区间具体所需的范围可以由本领域技术人员根据应用的需要来定义，本发明对此无需加以限制。

为精确、有效地控制智能卡的安全状态，本发明实施例还需要在数据对象的安全属性中针对操作设置安全状态的迁移规则。作为本发明实施例的一种具体应用的示例，所述预置迁移规则可以包括：

规则1：按照指定步长进行更新所述安全状态值。

其中，步长取值为正值，则更新的安全状态值为当前安全状态值加上该步长所得的值；步长取值为负值，则更新的安全状态值为当前安全状态当前取值减去该步长所得的值。

例如，假设在执行操作1时，获得当前的安全状态值为242，操作1所定义的预置迁移规则为步长等于10，在执行完操作1后，即获得更新的安全状态值为252；或如，假设在执行操作2时，获得当前的安全状态值为60，操作2所定义的预置迁移规则为步长等于-100，在执行完操作2后，即获得更新的安全状态值为-40。

规则2：若更新后的安全状态值超出智能卡安全状态的有效取值区间，则将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

例如，假设预设的智能卡安全状态的有效取值区间为[1，252]，无效取值区间为0、[253，255]。执行操作3时，获得当前的安全状态值为242，操作3所定义的预置迁移规则为步长等于20，在执行完操作1后，即获得更新的安全状态值为262；由于该更新的安全状态值超出了有效取值区间，则将该安全状态值置为一无效值0。

规则3：直接将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

规则4：保持当前的安全状态值。

当然，上述迁移规则的设定仅仅用作示例，在具体应用中，本领域技术人员可以依据实际情况任意设置所述迁移规则，本发明无需加以限制。

作为本发明的一种优选实施例，本发明还可以包括以下步骤：

初始化智能卡的安全状态值。

作为一种的具体应用的示例，智能卡在未成功执行任何安全相关操作(比如，PIN认证、外部认证等)前，卡内的安全状态可以被初始化为无效取值区间中的某一个值，例如，可以将其初始化为0。

作为另一种的具体应用的示例，智能卡在密钥(对称密钥、非对称密钥、PIN等)属性中定义安全状态的初值(通常该值为安全状态有效区间取值中的某一个值)，当使用该密钥成功执行某项安全相关操作时(比如，PIN认证、外部认证等)，智能卡的安全状态将被初始化为该密钥属性中设定的值。

为使本领域技术人员更好地理解本发明，以下通过一个具体例子对本发明实施例更进一步说明。

例如，设置安全状态的区间定义为[0，255]，其中，安全状态的有效取值区间为[1，252]，安全状态的无效取值区间为：0、[253，255]。

针对不同的智能卡操作设置的迁移规则如下表所示：

获取智能卡当前的安全状态值为：安全状态1值为242，安全状态2值为80，安全状态3值为70。

假设对智能卡的操作顺序为：操作1--操作1--操作1--操作3，则各项操作完成后，所获得的安全状态更新值分别为：

安全状态1的取值：243--244--245--某无效值(因为245+20＝265，超出了有效取值区间[1，252]，故将其置为一无效值)；

安全状态2的取值：70--60--50--某无效值；

安全状态3的取值：69--68--67--某无效值(因为67-100＝-33，超出了有效取值区间[1，252]，故将其置为一无效值)。

本发明实施例中设置的迁移规则本质上是用于控制安全状态的，但是由于智能卡进行的任何一项操作首先需要检查当前的安全状态是否满足所要操作对象的安全属性中要求的安全条件，故控制了安全状态的使用过程，也就控制了受该安全状态对应安全条件控制的所有操作。即通过对安全状态的有效、精确地控制，就可以根据应用的需要精确地控制实际应用中某项操作的频率，从而提高智能卡应用的安全性。

需要说明的是，对于本发明实施例而言，所述安全状态标识也可以采用现有技术中的任一种方案，除采用安全状态值外，还可以采用其它安全状态标识符号、安全状态标识文字等，如用状态1、状态2、状态3、...、状态n等进行标识，所述有效标识范围也可以依据实际情况相应设置，如从状态1到状态5为有效标识范围；在这种情况下，对于智能卡每次执行操作，对应地迁移规则可以设置为，状态1-状态2-状态3-...状态n，即状态n的递进；本发明对此无需加以限制。

对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

参考图2，示出了本发明的一种智能卡的操作权限检查系统实施例的结构图，具体可以包括以下模块：

安全状态获取模块201，用于在需要执行某项操作时，获取智能卡当前的安全状态标识；

判断模块202，用于判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；

若是，则触发执行模块203和安全状态更新模块204；所述执行模块203用于执行所述操作；所述安全状态更新模块204用于依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

若否，则触发拒绝处理模块205，该模块用于在当前的安全状态标识未在预设的智能卡安全状态的有效标识范围内时，拒绝执行所述操作。

在本发明的一种优选实施例中，所述安全状态标识可以为安全状态值，所述有效标识范围可以为有效取值区间。

在具体实现中，当智能卡进行任何一项操作时，首先都需要检查当前的安全状态是否满足所要操作的数据对象的安全属性，在本发明实施例中，定义了智能卡安全状态的有效取值区间，如[1，252]，而不是如现有技术中仅定义单一的安全状态值，当智能卡成功执行某项安全相关操作后(比如，PIN认证、外部认证)，即可获得该有效取值区间中的某一个值。在这种情况下，对于执行某项操作的安全属性检查的操作，即为判断智能卡当前的安全状态值是否在所述有效取值区间内，若是，则允许执行相应的命令或者访问相应的数据对象，并依据当前操作所对应的预置迁移规则对所述安全状态值进行更新；否则，将拒绝执行相应的命令或者访问相应的数据对象。

作为本发明的另一种优选实施例，所述智能卡的操作权限检查系统还可以包括以下模块：

无效区间预设模块，用于预设智能卡安全状态的无效取值区间；

无效处理模块，用于在获得当前的安全状态值在所述无效取值区间内时，拒绝执行所述操作。

应用本实施例，可以同时定义智能卡安全状态的有效取值区间和无效取值区间，例如，定义智能卡安全状态的取值区间为[0，255]，其中，安全状态的有效取值区间为[1，252]，安全状态的无效取值区间为：0、[253，255]。一方面，当智能卡成功执行某项安全相关操作后(比如，PIN认证、外部认证)，即可获得有效取值区间中的某一个值；另一方面，当智能卡在执行某些操作时，通过预置的安全状态迁移规则完成安全状态的逐次更新，直至安全状态的取值为无效取值区间中的某一个值。在这种情况下，对于执行某项操作的安全属性检查的操作，即为判断智能卡当前的安全状态值是在有效取值区间内，还是在无效取值区间内，若是在有效取值区间内，则允许执行相应的命令或者访问相应的数据对象，并依据当前操作所对应的预置迁移规则对所述安全状态值进行更新；若是在无效取值区间内，则拒绝执行相应的命令或者访问相应的数据对象。

在实际中，对于所述安全状态的有效取值区间或无效取值区间具体所需的范围可以由本领域技术人员根据应用的需要来定义，本发明对此无需加以限制。

作为本发明实施例的一种具体应用的示例，所述预置迁移规则可以包括：

规则1：按照指定步长进行更新所述安全状态值。

其中，步长取值为正值，则更新的安全状态值为当前安全状态值加上该步长所得的值；步长取值为负值，则更新的安全状态值为当前安全状态当前取值减去该步长所得的值。

规则2：若更新后的安全状态值超出智能卡安全状态的有效取值区间，则将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

规则3：直接将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

规则4：保持当前的安全状态值。

当然，上述迁移规则的设定仅仅用作示例，在具体应用中，本领域技术人员可以依据实际情况任意设置所述迁移规则，本发明无需加以限制。

在具体实现中，所述智能卡的操作权限检查系统还可以包括：

安全状态初始化模块，用于初始化智能卡的安全状态值。

对于系统实施例而言，由于其与前述的方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本发明还公开了一种智能卡，参考图3，示出了本发明的一种智能卡的结构图，具体可以包括以下模块：

微处理器31；

存储单元32；

芯片操作系统33，所述芯片操作系统中可以包括：

安全状态获取模块331，用于在需要执行某项操作时，获取智能卡当前的安全状态值；

判断模块332，用于判断所述安全状态值是否在预设的智能卡安全状态的有效取值区间内；

若是，则触发执行模块333和安全状态更新模块334；所述执行模块333用于执行所述操作；所述安全状态更新模块334用于依据当前操作所对应的预置迁移规则对所述安全状态值进行更新。

在具体实现中，所述智能卡的芯片操作系统中还可以包括：

拒绝处理模块，用于在当前的安全状态值未在预设的智能卡安全状态的有效取值区间内时，拒绝执行所述操作。

在本发明的一种优选实施例中，所述安全状态标识可以为安全状态值，所述有效标识范围可以为有效取值区间。作为一种具体应用的示例，所述预置迁移规则可以包括：

按照指定步长进行更新所述安全状态值。

在本发明的一种优选实施例中，所述智能卡的芯片操作系统中还可以包括：

无效区间预设模块，用于预设智能卡安全状态的无效取值区间；

无效处理模块，用于在获得当前的安全状态值在所述无效取值区间内时，拒绝执行所述操作。

在本发明实施例中，所述预置迁移规则还可以包括：

若更新后的安全状态值超出智能卡安全状态的有效取值区间，则将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

和/或，所述预置规则还可以为：直接将所述安全状态值置为一无效值，所述无效值为无效取值区间内的任一值。

在具体实现中，所述智能卡的芯片操作系统中还可以包括安全状态初始化模块，用于初始化智能卡的安全状态值。

对于装置实施例而言，由于其与前述的方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上对本发明所提供的一种智能卡的操作权限检查方法及一种智能卡进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种智能卡的操作权限检查方法，其特征在于，包括：

当需要执行某项操作时，获取智能卡当前的安全状态标识，并判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；

若是，则执行所述操作，并依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

2.如权利要求1所述的方法，其特征在于，还包括：

若当前的安全状态标识未在预设的智能卡安全状态的有效标识范围内，则拒绝执行所述操作。

3.如权利要求1或2所述的方法，其特征在于，所述安全状态标识为安全状态值，所述有效标识范围为有效取值区间。

4.如权利要求3所述的方法，其特征在于，所述预置迁移规则包括：

按照指定步长进行更新所述安全状态值。

5.如权利要求4所述的方法，其特征在于，所述预置迁移规则还包括：

将所述安全状态值置为一无效值，所述无效值为有效取值区间外的任一值。

6.如权利要求3所述的方法，其特征在于，所述预置迁移规则还包括：

保持当前的安全状态值。

7.如权利要求3所述的方法，其特征在于，在执行操作之前，还包括：

初始化智能卡的安全状态值。

8.一种智能卡，其特征在于，包括：

安全状态获取模块，用于在需要执行某项操作时，获取智能卡当前的安全状态标识；

判断模块，用于判断所述安全状态标识是否在预设的智能卡安全状态的有效标识范围内；

若是，则触发执行模块和安全状态更新模块；所述执行模块用于执行所述操作；所述安全状态更新模块用于依据当前操作所对应的预置迁移规则对所述安全状态标识进行更新。

9.如权利要求8所述的智能卡，其特征在于，还包括：

拒绝处理模块，用于在当前的安全状态标识未在预设的智能卡安全状态的有效标识范围内时，拒绝执行所述操作。

10.如权利要求8或9所述的智能卡，其特征在于，所述安全状态标识为安全状态值，所述有效标识范围为有效取值区间。

11.如权利要求10所述的智能卡，其特征在于，所述预置迁移规则包括：

按照指定步长进行更新所述安全状态值。

12.如权利要求11所述的智能卡，其特征在于，所述预置迁移规则还包括：

将所述安全状态值置为一无效值，所述无效值为有效取值区间外的任一值。

13.如权利要求8所述的智能卡，其特征在于，还包括：

安全状态初始化模块，用于初始化智能卡的安全状态值。

Images