CN102484645B - 管理嵌入在安全电子令牌中的应用的方法 - Google Patents

Abstract

本发明为一种管理嵌入在安全电子令牌中的应用的方法。该令牌意在从服务机接收消息。该消息具有报头和主体。该令牌包括能够管理消息的代理。该方法包括步骤：a）通过将应用的引用与消息报头的元素的值相关联来在代理中注册应用。b）当从服务机接收消息时，如果消息报头包含了具有与应用的引用相关联的值的元素，则转发消息的一部分到应用。

Description

管理嵌入在安全电子令牌中的应用的方法

技术领域

本发明涉及管理嵌入在安全电子令牌中的应用的方法。尤其涉及管理嵌入在智能卡中的应用的方法。

背景技术

诸如智能卡的安全电子令牌可包含小应用程序（Applet）形式的应用。这些小应用程序可经由被称为OTA的空中下载（over the air）信道由远程服务器访问。OTA机制由ETSI SCP 102.225、ETSI SCP 102.226和用于RAM标准的GlobalPlatform2.2定义。OTA信道允许访问已经为SIM卡专门开发的数据和应用。仅意图在电信域和机器对机器域（M2M）中使用的智能卡能够管理OTA通信。特别是SIM卡提供OTA特征。这些智能卡还可以通过通常称为HTTP的超文本传输协议被访问。特别地，OMA-SCWS标准版本1.0以及之后版本定义了用于智能卡网页服务器（SCWS）资源的OTA管理的管理协议。该协议基于由管理代理应用发送到OTA服务器的HTTP POST消息。管理代理应用位于智能卡中。作为响应，OTA服务器在HTTP发布响应的主体中发送回SCWS管理命令。根据标准，固定的内容类型在该HTTP POST响应的报头中被指定。在接收该消息时，以及由于内容类型，管理代理应用转发HTTP POST响应的主体到SCWS以用于执行该主体包含的管理命令。然后，一旦这些管理命令已经被SCWS执行，则另一个HTTP POST请求由管理代理应用发送以便通知OTA服务器命令执行的结果。该结果数据被放入在该HTTP POST消息的主体中，并且特定内容类型被设置在该HTTP POST的报头中。利用相似的原理，GlobalPlatform® 2.2 标准（修正案B “RAM over HTTP”）已经限定了用于智能卡内容的OTA管理的管理协议。该信道较好地适用于远程小应用程序管理（RAM）机制，适用于用于安全域、数据包和小应用程序的管理。GlobalPlatform® 2.2 标准指定了要在HTTP POST请求消息和HTTP POST响应消息中使用的内容类型的固定模式。

为SIM卡所开发的大多数应用被设计为带有能够管理OTA信道的应用程序接口（API）。这些智能卡应用不能够管理HTTP信道。因为HTTP响应的路由必须被管理代理保证，该管理代理不知道除了OMA-SCWS、RAM over HTTP和RFM over HTTP之外的任何内容类型特定值，所以目前不可能把这些应用作为目标。在以上提及的三个标准中，管理代理应用是用于管理这些“OTA over HTTP”协议的关键组件。此外，管理代理应用通常是智能卡操作系统的一部分。因此，更改它的行为可能是不容易的。

存在重新使用相同的“OTA over HTTP”协议机制的需求，目的是区别于如同由GlobalPlatform®或ETSI标准所定义的SCWS资源管理和卡内容管理。特别地，存在通过HTTP机制访问嵌入在智能卡中的任何应用的需求。特别是远距离服务器必须能够通过HTTP会话与嵌入在智能卡中的应用通信，以便使应用个性化或使用由应用提供的服务。

发明内容

本发明的目的是解决以上提到的技术问题。

本发明的目的是：一种管理嵌入在安全电子令牌中的应用的方法。安全电子令牌意在从服务机接收消息。安全电子令牌包括能够管理该消息的代理。消息具有报头和主体。该方法包括步骤：

a）通过将应用的引用与消息报头的元素的值相关联来在代理中注册应用，

b）当从服务机接收消息时，如果消息报头包含了具有与应用的引用相关联的值的元素，则转发该消息的一部分到应用。

有利地，当应用可对消息生成响应时，则该方法可包括转发该响应到服务机的步骤。

在优选的实施例中，消息可遵守HTTP或HTTPS格式。

有利地，报头元素可以是如由HTTP-RFC 2616 HTTP/1.1标准所定义的内容类型。

在优选的实施例中，如果应用不遵守预设的安全规则，则代理可拒绝注册步骤。

有利地，如果该元素的值已经被注册到另一个应用，则代理可拒绝注册步骤。

注册步骤可以通过应用被请求。

最好，安全电子令牌可包括第二应用并且注册步骤可通过第二应用被请求。

可选地，注册步骤可通过服务机被请求。

本发明的另一个目的是：一种意在从服务机接收消息的安全电子令牌。安全电子令牌包括能够管理消息的代理。消息具有报头和主体。安全电子令牌包括：微处理器、通信接口、操作系统、工作存储器和非易失性存储器。安全电子令牌意在包括应用、第一和第二装置。第一装置能够通过将应用的引用与消息报头的元素的值相关联来注册应用。如果消息报头包含了具有与应用的引用相关联的值的元素，则第二装置能够转发消息的一部分到应用。

有利地，代理可包括第三装置，该第三装置能够检查应用是否遵守预设的安全规则并且能够在检测不成功的情况下拒绝注册应用。

在优选的实施例中，应用可对消息生成响应，并且代理可包括能够转发该响应到服务机的第四装置。

有利地，应用可包括能够请求代理注册应用的第五装置。

在优选的实施例中，消息可遵守HTTP或HTTPS格式并且报头元素可以是如由HTTP-RFC 2616 HTTP/1.1标准所定义的内容类型。

在优选的实施例中，安全电子令牌可以是智能卡。

附图说明

本发明的其它特性和优点将通过参考对应的附图阅读本发明的一些优选实施例的随后描述而更清楚地呈现，其中：

图1示意性描绘了根据本发明的通过主机与远距离服务器通信的安全电子令牌的体系结构的实例；

图2是根据本发明的嵌入在代理中的寄存器的第一实施例的实例；

图3是根据本发明的代理体系结构的实例；以及

图4是根据本发明的嵌入在代理中的寄存器的第二实施例的实例。

具体实施方式

本发明可应用于任何类型的安全电子令牌。特别地，本发明还可以应用于使用通常称为HTTPS的安全超文本传输协议的安全电子令牌。在本说明书中，安全电子令牌为SIM卡，但其可以是能够利用HTTP或HTTPS机制的任何其它类型的安全电子设备。安全电子令牌可以是便携式的并且可包含一个或多个存储器、微处理器和通信接口。在本说明书中，安全电子令牌连接到主机。特别地，主机可以是移动电话或电信终端。电子令牌通过主机访问远程服务器。可选地，HTTPS消息可以直接在安全电子令牌和服务机之间交换而没有任何中间主机。

本发明依靠于允许注册应用的代理，代理和应用都存储在安全电子令牌中。远距离服务器发送包括报头和主体的消息。消息主体意在由注册的应用所接收。当已注册时，应用与报头字段的特定值相关联。根据本发明，代理为增强的管理代理应用。当从远距离服务器接收消息时，代理能够路由该消息的一部分到对应的应用。

由于本发明，远距离服务器总是使用标准HTTP机制并且与目标应用的接口约束保持完全独立。代理管理用于目标应用的发行和数据格式化。

本发明的优点是避免了所使用的电信终端的升级。由于在本领域中的电信终端的数量是巨大的，这种升级是管理繁重且昂贵的。此外，有许多不同种类的移动手持机已经被开发。

本发明的另一个优点是允许嵌入的应用使用特定的命令和响应集合。特定的命令和响应集合可遵守任何格式。

本发明的另一个优点是避免了在单个令牌中部署若干基础管理代理应用。这种若干代理的部署是消耗内存的并且需要涉及安全问题的繁重的验证、审计和认证。

本发明的另一个优点是允许了在唯一的HTTP OTA会话中混合若干业务OTA管理。例如本发明允许将激活操作与IMEI跟踪操作混合。

本发明的另一个优点是允许远距离服务器发送不包含目标小应用程序的小应用程序标识符（AID）的消息。

本发明的另一个优点是允许了对应用的OTA访问，这些应用是在对管理代理没有任何影响的情况下在卡发行之后已经被下载的。也就是说，即使管理代理保持不变，在个性化步骤之后被下载的应用可通过OTA信道到达。

图1示出了根据本发明的优选实施例的SIM卡类型的安全电子令牌SC的体系结构。

安全电子令牌SC包括RAM类型的工作存储器MEM1、两个非易失性存储器MEM2和MEM3、微处理器MP和通信接口IN。非易失性存储器MEM2包括可包含Java虚拟机的操作系统OS。

非易失性存储器MEM3包括两个小应用程序AP1和AP2、智能卡网页服务器SCWS、安全域SD和代理AA。安全域SD遵守GlobalPlatform标准。

两个存储器MEM2和MEM3可实现为一个、两个或更多个存储器的任何组合。这些存储器可以是NAND闪存或EEPROM存储器或另一种类型的非易失性存储器。

SIM卡SC意在通过通信接口IN与电信手持机HM交换消息。电信手持机HM意在通过OTA机制与远距离服务器SR交换消息。这样，SIM卡SC可以通过所连接的主机HM与远距离服务器SR交换消息。

代理AA可以实现为Java卡中的小应用程序。在该实例中，两个应用AP1和AP2取决于安全域SD。小应用程序AP1包括能够请求代理AA注册小应用程序AP1的装置M5。

在优选的实施例中，代理AA可以与安全域SD合并。

附图2示出了根据本发明的嵌入在代理AA中的寄存器RG的第一实施例的实例。

寄存器RG意在包含成对值（couples）{元素值，应用的引用}的集合。在图2的实例中，寄存器RG包含两个成对值：{EV1，RF1}和{EV2，RF2}。

RF1为小应用程序AP1的引用而RF2为小应用程序AP2的引用。例如RF1可以等于小应用程序AP1的AID，或特定于AP1或特定于存储在专用注册表中的标识符的地址。

EV1为与小应用程序AP1相关联的值而EV2为与小应用程序AP2相关联的值。在该第一实施例中，值EV1和EV2被认为是用于HTTP消息报头的隐含预设字段的可能值。特别地，两个值EV1、EV2可意于在HTTP报头的内容类型字段中被找到。例如EV1可等于“application/ImeiTracking/1.0”而EV2可等于“application/PDM/1.0”。在该实例中，EV2可对应于电话簿应用，在其中PDM代表个人数据管理器。

图3示出了代理AA的体系结构的实例。代理包括寄存器RG和四个装置M1、M2、M3和M4。

装置M1能够注册小应用程序AP1。该注册通过将应用AP1的引用RF1与HTTP消息报头的元素的值相关联来实现。在寄存器RG中使用的引用允许代理AA识别要被触发的目标应用。

当HTTP消息从服务器SR接收时，如果HTTP消息报头包含了等于与引用RF1相关联的值EV1的元素，则装置M2能够转发HTTP消息的一部分到小应用程序AP1。类似地，如果HTTP消息报头包含了等于与引用RF2相关联的值EV2的元素，则装置M2能够转发HTTP消息的一部分到小应用程序AP2。通常，转发到目标小应用程序的HTTP消息的一部分是由服务器SR发送的HTTP消息的整个主体。

装置M3能够检查小应用程序AP1是否遵守预设的安全规则。如果安全检查不成功，则装置M3拒绝注册小应用程序。例如装置M3可检查小应用程序AP1与代理AA处于相同的安全域中。

在大多数情况下，小应用程序AP1生成对从代理AA接收的数据的响应。装置M4能够转发该响应到远距离服务器SR。由于HTTP消息包含该响应，完成了该响应的发送。

图4示出了根据本发明的嵌入在代理AA中的寄存器RG的第二实施例的实例。寄存器RG意在包含子集{元素报头的标识符，元素值和应用的引用}的集合。在图4的实例中，寄存器RG包括一个子集：{HE1，EV1，RF1}。RF1为小应用程序的引用而EV1为与小应用程序AP1相关联的值。HE1为HTTP消息报头的字段的标识符。例如，标识符HE1可指向内容类型字段。例如当标识符HE1对应于内容类型字段时，HE1可以等于“内容类型（ContentType）”。可选地，HTTP消息可包含用定制字段定义的另一个报头。例如，如果标识符HE1对应于HTTP消息的附加的定制报头，则HE1可等于“X-Admin-To”。

根据本发明的实施例，方法的第一步骤对应于将小应用程序AP1注册到代理AA中。例如，该注册可以由小应用程序AP1自身来请求。小应用程序通过存储成对值来注册到代理AA中，该成对值包括HTTP消息报头的元素的值EV1和小应用程序AP1的引用RF1。在优选的实施例中，HTTP消息报头的元素为内容类型。值EV1必须被选择以便与由OMA-SCWS和GlobalPlatform® 2.2标准所定义的模式相区别。

应用AP1可生成初始化OTA会话的请求。然后应用AP1发送该请求到代理AA。

然后代理AA通过所连接的主机HM发送第一HTTP 发布消息到远程服务器SR。

然后远程服务器SR发送HTTP响应请求消息到令牌SC。该HTTP响应消息的报头包含等于EV1的内容类型字段。HTTP响应消息被令牌SC中的代理AA接收。代理AA检查是否已经对EV1值注册了小应用程序。鉴于小应用程序AP1已经被注册并且针对内容类型字段与EV1值相关联，代理AA提取所接收的HTTP响应消息的主体。例如，主体可包含目的在于更新电话薄的应用命令。主体还可以包含基于TLV结构或基于任何其它相关格式的应用消息。然后代理AA发送提取的数据到小应用程序AP1。在优选的实施例中，RF1等于小应用程序AP1的AID。因此代理AA能够容易地找到目标应用。然后小应用程序AP1处理接收的数据并且计算与所接收的应用命令对应的响应。小应用程序AP1发送响应到代理AA。然后代理AA生成包含小应用程序响应的HTTP POST消息并且发送HTTP POST消息到服务器SR。小应用程序AP1对代理AA提供服务器SR的URL。HTTP POST消息被生成为具有报头和主体，该报头的内容类型字段设置为EV1，以及该主体包括由小应用程序AP1提供的响应。这样服务器SR接收对应于初始HTTP响应消息的HTTP 发布消息。

在优选的实施例中，服务器SR和代理AA都具有凭证，该凭证允许保护通过HTTPS的HTTP通信。

可选地，寄存器RG可包含如图4中描述的子集{HE1，EV1，RF1}。特别地，标识符HE1可对应于HTTP报头的内容类型字段。在这种情况下，代理AA检查是否已经对报头字段HE1中的EV1值注册了小应用程序。

由于本发明，远程HTTP服务器可发送完整的OTA脚本到嵌入在安全电子令牌中的应用。特别地，远程HTTP服务器可发送完整的OTA脚本到不同于智能卡网页服务器的应用。

有利地，拒绝将小应用程序注册到已经被注册到另一个小应用程序的元素值的任何尝试。

可选地，当选择目标应用时，由于寄存器RG，代理AA能够管理可能的冲突。主要规则是选择至多一个应用。没有应用被选择或根据专用预设策略仅选择一个应用。例如代理AA可选择与寄存器RG中的入口相匹配的第一个应用。

在一个实施例中，仅自注册可被授权。也就是说，小应用程序仅可对自身请求注册。

可选地，注册可委托于嵌入在安全令牌SC中的另一个应用。这样，通过另一个小应用程序对小应用程序的注册可被授权。在这种情况下，注册的目标小应用程序将无论如何都已经存在于令牌SC中。

在另一个实施例中，代理AA还可以允许小应用程序的远程注册。这样远距离服务器SR可请求小应用程序AP1的注册。例如，代理AA可提供专用于远程注册的OTA命令。这样远距离服务器可在安全令牌中加载、安装和注册新的小应用程序。

有利地，代理AA可提供允许请求在寄存器RG中删除小应用程序入口的特征。该特征可由Java卡或OTA入口点来实现。

本发明的优点是允许了在远距离服务器和嵌入在安全令牌中的应用之间的动态管理。由于寄存器机制，在应用和远程服务器之间的链接可根据应用和管理需要被设置和移除。

Claims (15)

1.一种管理嵌入在安全电子令牌（SC）中的应用（AP1）的方法，所述安全电子令牌（SC）意在从服务机（SR）接收消息，所述安全电子令牌（SC）包括能够管理所述消息的代理（AA），所述消息具有报头和主体，

其特征在于所述方法包括步骤：

a）通过将应用（AP1）的引用（RF1）与消息报头的元素的值相关联来在代理（AA）中注册应用（AP1），

b）当从服务机（SR）接收消息时，如果消息报头包含了具有与应用（AP1）的引用（RF1）相关联的值的元素，则转发所述消息的一部分到应用（AP1）。

2.根据权利要求1的方法，其中所述方法包括进一步的步骤：

c）当应用（AP1）对所述消息生成响应时，转发所述响应到服务机（SR）。

3.根据权利要求1至2之一的方法，其中所述消息遵守HTTP或HTTPS格式。

4.根据权利要求3的方法，其中所述报头元素是由HTTP-RFC 2616 HTTP/1.1标准所定义的内容类型。

5.根据权利要求1至2之一的方法，其中如果应用（AP1）没有遵守预设安全规则，则所述代理（AA）拒绝所述注册步骤。

6.根据权利要求1至2之一的方法，其中如果所述元素的值已经被注册到另一个应用，则所述代理（AA）拒绝注册步骤。

7.根据权利要求1至2之一的方法，其中所述注册步骤由所述应用（AP1）请求。

8.根据权利要求1至2之一的方法，其中所述安全电子令牌（SC）包括第二应用（AP2）并且其中所述注册步骤由第二应用（AP2）请求。

9.根据权利要求1至2之一的方法，其中所述注册步骤由服务机（SR）请求。

10.一种意在从服务机（SR）接收消息的安全电子令牌（SC），所述安全电子令牌（SC）包括能够管理所述消息的代理（AA），所述消息具有报头和主体，所述安全电子令牌（SC）包括：

-微处理器（MP），

-通信接口（IN），

-操作系统（OS），

-工作存储器（MEM1）和非易失性存储器（MEM2），

所述安全电子令牌意在包括应用（AP1），

其特征在于所述代理（AA）包括第一和第二装置（M1，M2），所述第一装置能够通过将应用（AP1）的引用（RF1）与消息报头的元素的值相关联来注册应用（AP1），以及如果消息报头包含了具有与应用（AP1）的引用（RF1）相关联的值的元素，所述第二装置（M2）能够转发所述消息的一部分到应用（AP1）。

11.根据权利要求10的安全电子令牌（SC），其中所述代理（AA）包括第三装置（M3），能够检查应用（AP1）是否遵守预设安全规则并能够在检测不成功的情况下拒绝注册所述应用（AP1）。

12.根据权利要求10至11之一的安全电子令牌（SC），其中应用（AP1）对所述消息生成响应，以及其中所述代理（AA）包括能够转发所述响应到服务机（SR）的第四装置（M4）。

13.根据权利要求10至11之一的安全电子令牌（SC），其中应用（AP1）包括能够请求代理（AA）注册应用（AP1）的第五装置（M5）。

14.根据权利要求10至11之一的安全电子令牌（SC），其中所述消息遵守HTTP或HTTPS格式，以及其中所述报头元素是由HTTP-RFC 2616 HTTP/1.1标准所定义的内容类型。

15.根据权利要求10至11之一的安全电子令牌（SC），其中所述安全电子令牌（SC）是智能卡。