CN102549592B

CN102549592B - 嵌入信息终端中的软件更新时的认证方法、其系统及其程序

Info

Publication number: CN102549592B
Application number: CN201080043996.4A
Authority: CN
Inventors: 平林靖
Original assignee: NEC Infrontia Corp
Current assignee: NEC Platforms Ltd
Priority date: 2009-11-06
Filing date: 2010-11-04
Publication date: 2014-12-17
Anticipated expiration: 2030-11-04
Also published as: JP2011100328A; EP2498200B1; US20120173867A1; US8612742B2; WO2011055748A1; HK1171822A1; EP2498200A4; CN102549592A; JP4817153B2; EP2498200A1

Abstract

服务器或网络上的负荷被抑制在最小值，不需要认证服务器，并防止了篡改软件的下载。服务器产生限时认证密钥，针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用认证密钥对哈希表进行加密。单元从服务器获得加密哈希表和认证密钥。信息终端从单元获得加密哈希表，从单元获得认证密钥，确定认证密钥的时限是否是有效的，如果作为确定的结果时限被确定为有效，则从服务器获得加密哈希表，使用认证密钥将表格解密，在解密之后比较表格，并且如果两个表格彼此相同，则发起更新软件的下载。

Description

嵌入信息终端中的软件更新时的认证方法、其系统及其程序

技术领域

本发明涉及一种在嵌入信息终端中的软件被更新时保证安全性的方法。

背景技术

采用各种技术来更新被嵌入信息终端中的软件。然而，一般地使用通过网络从服务器下载或递送更新软件的技术。在该技术中，由于在服务器上上传更新软件，并且信息终端从服务器下载更新软件以进行更新，所以不需要直接对多个信息终端执行软件更新。这有利地减少了工作负荷。另外，可以通过提供用于认证的服务器以认证信息终端是否适合于下载并在信息终端与服务器之间进行认证之后允许下载来增强安全性。特别地，对于其中强调安全性的信息终端而言，诸如能够进行电子支付的终端，该技术被用来防止诸如用户口令的机密信息由于软件的篡改（falsification）而被泄漏。

在如下专利文献中公开了诸如典型软件更新的认证系统的示例。

在专利文献1中公开的技术中，为了递送用于对终端进行认证的密钥，通过网络来提供临时认证终端，并且该临时认证终端对终端执行认证。结果，可能减少到服务器的网络负荷。

在专利文献2中公开的技术中，将从GPS获得的终端的位置信息添加到仅为认证服务器和终端所知的加密文本，并且在认证服务器与终端之间执行认证以允许下载。

在专利文献3中公开的技术中，将用户ID从个人计算机传输至服务器，并且服务器基于该ID来生成密钥和随机数。生成的密钥被转换成2维代码并传输到个人计算机。传输的2维数据的哈希值被再次传输到服务器，并且服务器执行认证。

在专利文献4中公开的技术中，将执行与因特网服务计费的认证的计费服务器从内容服务器分离。程序在内容服务器确认计费过程时被从内容服务器下载到个人计算机。

在专利文献5中公开的技术中，来自服务器的下载数据在减少网络负荷之前被通过网络累积在中继装置中。

在专利文献6中公开的技术中，配置与在专利文献5中公开的技术的配置相同，除了用打印机代替PC之外。

在专利文献7中公开的技术中，为了减轻网络负荷和下载服务器的处理负荷，其他客户端终端可以不从下载服务器而是从其中完成更新软件的下载的客户端终端获得更新软件。

{引用列表}

{专利文献}

{PTL 1} JP-A-2005- 157497

{PTL 2} JP-A-2004-70593

{PTL 3} JP-A-2008-003754

{PTL 4} JP-A-2006-190038

{PTL 5} JP-A-2009- 124605

{PTL 6} JP-A-2005-148840

{PTL 7} JP-A-2008-65611。

发明内容

{技术问题}

可能通过使用上述技术来保证安全性。然而，上述技术中的每一个具有以下问题。

在专利文献1中公开的技术中，当提供多个临时认证终端时，难以减少网络负荷。

在专利文献2中公开的技术中，每当终端的安装位置改变时，将再次设置终端侧的位置信息，并且这不适合于移动应用。

在专利文献3中公开的技术中，由于在服务器侧执行认证，所以生成网络负荷。此外，当使用在专利文献3中公开的认证方法来更新软件时，不存在关于下载的文件是否被篡改的注意（remark）。

在专利文献4中公开的技术中，不存在关于下载的软件是否被篡改的考虑。

在专利文献5中公开的技术中，当中继装置停机时不能执行下载。另外，在专利文献5中公开的技术中，由于从数据篡改的观点出发不存在关于是否在中继装置、服务器和个人计算机三者之间传输/接收适当数据的确定，所以不保证安全性。另外，在专利文献6中公开的技术中，用打印机来代替作为专利文献5中公开的技术的元素之一的个人计算机。因此，类似问题持续。

在专利文献7中公开的技术中，客户端终端具有从其他客户端终端接收软件的权力（authority）。在该情况下，不存在针对可能发生更新软件的伪造或篡改的事实的考虑。

可以用如下三点来概括上述问题。

1. 当在认证服务器中发生错误时不能执行软件更新。

2. 服务器或网络上的负载增加以便对多个信息终端进行认证。

3. 如果在下载目的地服务器中发生伪造，则可能下载篡改的软件，使得难以保证安全性。

在这方面，本发明提供了用来更新被嵌入信息终端中的软件的认证方法、其系统及其程序，通过它们，最大地抑制服务器或网络上的负荷，认证服务器不是必需的，并且可以防止篡改软件的下载。

{问题的解决方案}

根据本发明的第一方面，提供了一种信息终端的软件更新系统，包括；信息终端；软件下载服务器，其经由网络连接到信息终端，该软件下载服务器存储更新软件；以及安全单元，其可经由近场无线电网络与信息终端通信，其中，该软件下载服务器产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用认证密钥对哈希表进行加密，该安全单元从软件下载服务器获得加密哈希表和认证密钥，并且该信息终端从安全单元获得加密哈希表作为第一表格、从安全单元获得认证密钥、确定认证密钥的时限是否是有效的、如果时限被确定为有效，则从软件下载服务器获得加密哈希表作为第二表格、使用认证密钥将第一和第二表格解密、在解密之后将第一和第二表格相比较并且如果确定两个表格彼此相同，则发起从软件下载服务器的更新软件的下载。

根据本发明的第二方面，提供了一种更新被嵌入其中的软件的信息终端，其中，该信息终端被配置为：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

根据本发明的第三方面，提供了一种更新系统中的信息终端的软件的方法，该系统包括信息终端、经由网络连接到信息终端并存储更新软件的软件下载服务器以及可经由近场无线电网络与信息终端通信的安全单元，该方法包括：软件下载服务器产生限时认证密钥，针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用认证密钥将哈希表加密；安全单元从软件下载服务器获得加密哈希表和认证密钥；以及信息终端从安全单元获得加密哈希表作为第一表格，从安全单元获得认证密钥，确定认证密钥的时限是否是有效的，如果时限作为确定的结果被确定为是有效的，则从软件下载服务器获得加密哈希表作为第二表格，使用认证密钥将第一和第二表格解密，在解密之后比较第一和第二表格，以及如果两个表格彼此相同，则发起从软件下载服务器的更新软件的下载。

根据本发明的第四方面，提供了一种更新嵌入信息终端中的软件的方法，包括：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

根据本发明的第五方面，提供了一种嵌入信息终端中的更新安装在其中的软件的软件更新程序，该软件更新程序使计算机充当信息终端，其中，信息终端被配置为从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

{本发明的有利效果}

根据本发明，将服务器或网络上的负荷的增加抑制在最小，不需要认证服务器并且防止篡改软件被下载是可能的。

附图说明

{图1}图示了根据本发明的实施例的整个系统的基本配置的图。

{图2}图示了根据本发明的实施例的信息终端的基本配置的图。

{图3}图示了根据本发明的实施例的安全单元的基本配置的图。

{图4}图示了根据本发明的实施例的软件下载服务器的基本配置的图。

{图5}图示了根据本发明的实施例的操作的概述的流程图。

{图6}图示了根据本发明的实施例的操作中的步骤S401和S402的细节的流程图。

{图7}图示了根据本发明的实施例的操作中的步骤S403的细节的流程图（1/2）。

{图8}图示了根据本发明的实施例的操作中的步骤S403的细节的流程图（2/2）。

{图9}图示了根据作为本发明的实施例的修改示例的第一修改的基本配置的图。

{图10}图示了作为本发明的实施例的修改示例的第二修改的基本配置的图。

{图11}图示了作为本发明的实施例的修改示例的第三修改的基本配置的图。

{附图标记列表}

100：软件下载服务器

101、205：网络通信单元

102、202、302：CPU

103、204、303：存储器单元

200、210：信息终端

201、301：蓝牙通信单元

203：输入单元

206：显示单元

300：安全单元

700：非接触式IC卡

800：支架

1000：网络。

具体实施方式

首先，将描述本发明的实施例的概述。根据本发明的实施例，通常，使用以下第一至第五手段来执行信息终端的软件更新方法以便保证安全性。

第一手段：由另一信息终端或等价装置来执行认证服务器的任务。

第二手段：使用诸如蓝牙（注册商标）的近场无线电通信作为用于认证的通信单元。

第三手段：信息终端侧确定下载服务器是否是适当的。

第四手段：识别应用是否被篡改。

第五手段：使用具有特定截止时限的限时加密密钥。

接下来，将参考附图来详细地描述本发明的实施例的配置。

图1是图示了根据本发明的实施例的整个软件更新系统的概述的图。

根据本发明的实施例的软件更新系统包括软件下载服务器100、信息终端200、安全单元300和网络1000。

可以经由网络1000将软件下载服务器100连接到信息终端200。

另外，可以使用诸如蓝牙的近场无线电网络将信息终端200连接到安全单元300。根据本实施例，假设与近场无线电网络的典型示例相结合地使用蓝牙。另外，蓝牙仅仅是示例，并且在连接方法中可以使用符合其他近场无线电网络标准的除蓝牙之外的手段。

图2图示了信息终端200的配置。在这里，作为信息终端200的具体典型示例，可以提供个人计算机、诸如个人数字助理（PDA）的移动终端等。

信息终端200包括蓝牙通信单元201、CPU 202、输入单元203、存储器单元204、网络通信单元205以及显示单元206。

蓝牙通信单元201是用于经由近场无线电网络去往安全单元300的连接的部分。CPU 202是用于控制整个信息终端200的部分。输入单元203是用于从用户接收输入的部分且可以包括键盘等。

存储器单元204是用于存储用于操作信息终端的软件的部分，其中软件诸如操作系统（OS）。网络通信单元205是用于经由网络连接到软件下载服务器100的部分。显示单元206是用于显示信息的一部分且可以包括显示器。可以将输入单元203和显示单元206组合并实现为例如触摸板。

信息终端200的存储器单元204具有从软件下载服务器100下载并存储更新软件和限时认证密钥以更新软件的功能。

图3图示了安全单元300的配置。

安全单元300包括蓝牙通信单元301、CPU 302和存储器单元303。

蓝牙通信单元301是用于经由近场无线电网络去往信息终端200的连接的部分。CPU 302是用于控制整个安全单元300的部分。

存储器单元303是能够存储用于操作安全单元300的软件的部分。存储器单元303具有存储限时认证密钥或哈希表以及OS的功能。

虽然图3中未示出，但安全单元300具有用于从外面接收限时认证密钥或哈希表的物理外部接口。在本实施例中，在相应的外部接口中使用哪种规范是不重要的。为此，可以在外部接口中采用任何规范。例如，可以在安全单元300的外面产生限时认证密钥和哈希表，并且可以使用通用串行总线（USB）的接口（物理外部接口）、PC卡或SD存储卡等来存储限时认证密钥和哈希表。

图4图示了软件下载服务器100的配置。

软件下载服务器100包括网络通信单元101、CPU 102和存储器单元103。

网络通信单元101是用于经由网络去往信息终端200的连接的部分。CPU 102是用于控制整个软件下载服务器100的部分。

存储器单元103具有存储在下载中使用的更新软件或哈希表以便更新信息终端200的功能。

在图1至4中，未提供不涉及本实施例的主题的某些元件，诸如电源。

接下来，将参考图5的流程图来描述根据本发明的软件更新的简单流程。

第一操作：作为用于更新软件的准备，产生具有时限的限时认证密钥。另外，通过计算并列出用于更新软件文件的哈希值来产生哈希表并用限时认证密钥来加密该哈希表（图5中的步骤401）。

第二操作：将在图5的步骤S401中产生的哈希表和具有截止的限时认证密钥存储在安全单元300中（图5中的步骤S402）。

将参考图6来详细地描述第一和第二操作。

第三操作：信息终端200通过经由蓝牙通信与安全单元300通信来获得哈希表和限时认证密钥。软件下载服务器通过经由网络与101通信来获得哈希表。将哈希表与解密的限时认证密钥相比较。如果它们是相同的，则执行下载过程（图5中的步骤S403）。下面将参考图7和8来详细地描述第三操作。

接下来，将参考图6的流程图来描述上述第一和第二操作。

软件下载服务器100产生限时认证密钥作为具有截止时限的密钥（图6中的步骤S501）。由于认证密钥具有截止时限，所以即使当限时认证密钥被盗时，限时认证密钥也在截止时限之后是无效的。因此，保证安全性是可能的。

然后，软件下载服务器100通过计算用于更新软件的多个文件的每个哈希值来产生哈希表（图6中的步骤S502）。该哈希表充当每个文件的哈希值的列表。哈希表被用来确定下载的更新软件文件是否被篡改。另外，在图中用“哈希表（Hash Table）”来表示哈希表。

随后，软件下载服务器100使用在步骤S501中产生的限时认证密钥将在步骤S502中产生的哈希表加密（图6中的步骤S503）。

此外，软件下载服务器100将在步骤S503中产生的加密哈希表和更新软件存储在软件下载服务器100的存储器单元103中。另外，加密哈希表和限时认证密钥被存储在安全单元300的存储器单元303中（图6中的步骤S504）。结果，完成了用于信息终端200的软件更新过程的准备。

另外，可以由除软件下载服务器100之外的设备来执行限时认证密钥等的产生。例如，可以使用除图1所示的那些之外的设备来产生哈希表或限时认证密钥并将其加密，并且可以将加密哈希表和产生的限时认证密钥递送至安全单元300或安全下载服务器100。

接下来，将参考图7和8的流程图来描述作为上述第三操作的信息终端200的软件更新过程。

最初，信息终端200经由蓝牙连接连接到安全单元300并获得预先存储在安全单元300中的加密哈希表和限时认证密钥（图7中的步骤S601）。

随后，信息终端200确定在步骤S601中获得的限时认证密钥的时限是否是有效的（图7中的步骤S602）。

另外，如果时限是有效的（步骤S602中的YES），则过程前进至步骤S603。否则，如果时限已截止（在步骤S602中的NO），则下载过程失败且该过程结束。

然后，信息单元200从软件下载服务器100获得加密哈希表（图7中的步骤S603）。使用相同的加密密钥对从软件下载服务器100获得的哈希表和从安全单元300获得的哈希表进行加密。

信息终端200在信息终端200内将所获得的哈希表解密（图7中的步骤S604）。在图7中的步骤S601中从安全单元300获得限时认证密钥，并在解密中使用此密钥。

信息终端200将在信息终端200内解密的两个哈希表相比较（步骤S605）。如果确定两个哈希表是彼此相同的（在图8中的步骤S606中的YES），则过程前进至步骤S607以发起更新软件下载。否则，如果两个哈希表是不同的（在图8中的步骤S606中的NO），则操作结束。

当更新软件被下载时，信息终端200检查安全单元300是否存在以便可靠地执行从限时认证密钥的获得至更新软件到信息终端200的下载的过程（图8中的步骤S607）。这是为了在获得限时认证密钥之后信息终端200被盗时防止欺诈下载。使用定时器等以恒定的间隔执行安全单元300的存在的检查。如果存在未被确认，则立即停止并结束下载。另外，存在检查间隔可以不是恒定的，但是可以不恒定地执行。例如，可以在发起下载之后立即频繁地执行检查。替代地，可以在接近下载完成时频繁地执行检查。

如果安全单元300的存在被确认（图8中的步骤S607中的YES），则信息终端200执行从软件下载服务器100下载更新软件（图8中的步骤S608）。信息终端200在下载期间如上所述地检查安全单元300的存在（图8中的步骤S609中的NO）。

另一方面，如果安全单元300的存在未被确认（图8中的步骤S607中的NO），则信息终端200结束操作。

当下载完成时（图8中的步骤S609中的YES），则信息终端200在信息终端200内计算下载软件的哈希值（图8中的步骤S610）。另外，信息终端200将计算的哈希值与所获得的哈希值相比较（图8中的步骤S611）。

如果作为比较的结果两个哈希值是相同的（图8中的步骤S611中的YES），则信息终端200结束软件更新过程并允许软件的激活（图8中的步骤S612）。

另一方面，如果两个哈希值不是相同的（图8中的步骤S611中的NO），则信息终端200确定软件是篡改的且不允许激活（图8中的步骤S613）。本发明的上述实施例具有如下的许多优势。

作为第一优势，减少网络负荷是可能的。

原因是在信息终端200内执行认证过程，并且只有当在认证过程期间获得哈希表时才使用网络1000。

作为第二优势，防止欺诈下载是可能的。

原因是如果信息终端200未能在蓝牙中检查到安全单元300的存在，则在下载时不允许下载。

作为第三优势，通过在限时认证密钥中设置截止时限来防止欺诈下载是可能的。

作为第四优势，信息终端200侧确定篡改的软件未被操作是可能的。

原因是信息终端200计算软件的哈希值并将其与哈希表相比较。

根据本实施例，只有当获得哈希表时，才在认证中使用网络1000，并在信息终端内执行认证过程。因此，在向服务器的认证过程中不产生网络负荷。因此，解决了在专利文献1中公开的技术中的问题。

根据本实施例，在近场无线电网络中检查安全单元的存在。因此，即使当安装地点改变时，也不需要位置信息等的重置。因此，解决了在专利文献2中公开的技术中的问题。

根据本实施例，基于上述配置获得第一至第四优势。因此，解决了在专利文献3至7中公开的技术中的问题。

接下来，将描述上文所述的本实施例的修改。

虽然可以以各种形式来修改本实施例，但将举例说明以下三个修改。

在图9中示出了第一修改。在图9的系统配置中，可以用具有与信息终端200的配置相同的配置的信息终端210来代替安全单元300。信息终端210具有与图2中所示的信息终端200的配置相同的配置，并且可以满足与安全单元300的功能相同的功能。

对于软件下载过程而言，未示出过程流程，因为除了用信息终端200代替安全单元300之外，使用了类似的配置。

接下来，分别在图10和11中示出了第二和第三修改。

在此类修改中，使用除蓝牙规范之外的近场无线电通信单元来与安全单元300通信。

如图10所示，在系统配置中，可以用非接触式IC卡700来代替安全单元300。例如，可以将非接触式IC卡700嵌入雇员识别卡中。非接触式IC卡700和信息终端200执行近场无线电通信而不是蓝牙通信。可以通过在软件下载过程时执行与信息终端200的近场无线电通信而不是与安全单元的通信来实现相同的过程。

如图11所示，在该系统配置中，可以用支架800来代替安全单元300。如果使用诸如蓝牙通信或红外通信的近场无线电通信方法，则支架800和信息终端200可以通过在软件下载过程时执行与信息终端200而不是安全单元的近场无线电通信来实现相同的过程。

如何使用上述安全单元300取决于用户。例如，执行信息终端200的软件更新工作的系统工程师或操作员可以来到存在信息终端200的地点并执行更新工作。另外，可以将哈希表和限时认证密钥直接发送给信息终端200的用户并允许用户执行更新工作。

在上述描述中，假设认证密钥具有截止时限。然而，可能不需要设置截止时限。最重要的是，从安全观点出发，设置密钥的截止时限且仅在该时限内允许更新工作将是适当的。另外，即使当设置了截止时限时，截止时限也可以基本上是无限的，因为其被设置为100年。根据本实施例，可能将截止时限设置为任意值。

可以用硬件来实现根据本发明的实施例的安装在信息终端中的软件更新系统的每个设备。替代地，可以通过从计算机可读记录介质读取并执行程序来实现本发明，所述程序使计算机充当被嵌入信息终端中的软件更新系统的每个设备。

可以用硬件来实现根据本发明的实施例的更新安装在信息终端中的软件的方法。替代地，可以通过从计算机可读记录介质读取并执行使计算机执行该方法的程序来实现本发明。

虽然已描述了本发明的优选实施例，但本发明不限于此。在不脱离本发明的精神和范围的情况下，各种修改可以是可能的。

本申请基于在2011年11月6日提交的日本专利申请号2009-254920，并且要求根据巴黎公约的基于日本专利申请号2009-的优先权。另外，日本专利申请号2009-254920的内容通过引用日本专利申请号2009-254920而被结合。虽然已详细地描述了本发明的典型实施例，但将认识到的是在不脱离如在所附权利要求书中限定的本发明的精神和范围的情况下可以进行各种改变、代替和替换。即使当在申请程序中修正任何权利要求时，本发明人也意图涵盖权利要求及其等价物。

可以如下定义上述实施例的一部分或全部，但其不限于此。

（附录1）一种信息终端的软件更新系统，包括：

信息终端；

软件下载服务器，其经由网络连接到信息终端，该软件下载服务器存储更新软件；以及

安全单元，其可经由近场无线电网络与信息终端通信，

其中，所述软件下载服务器产生限时认证密钥，针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用认证密钥对哈希表加密，

安全单元从软件下载服务器获得加密哈希表和认证密钥，以及

信息终端从安全单元获得加密哈希表作为第一表格，从安全单元获得认证密钥，确定认证密钥的时限是否有效，如果时限被确定为是有效的，则从软件下载服务器获得加密哈希表作为第二表格，使用认证密钥将第一和第二表格解密，在解密之后比较第一和第二表格，并且如果确定两个表格彼此相同，则发起从软件下载服务器的更新软件的下载。

（附录2）根据附录1所述的软件更新系统，其中，所述信息终端尝试以恒定或不恒定的间隔检查安全单元的存在直至发起的下载结束，并且如果作为尝试的结果未确认安全单元的存在，则停止下载。

（附录3）根据附录1或2所述的软件更新系统，其中，所述信息终端在下载完成时计算下载更新软件的哈希值，在解密之后将所计算的哈希值与第一表格或第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

（附录4）根据附录1至3中的任一项所述的软件更新系统，其中，所述安全单元可作为移动终端进行操作，并且所述移动终端可作为安全单元进行操作。

（附录5）一种更新被嵌入其中的软件的信息终端，

其中所述信息终端被配置为：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生的；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

（附录6）根据附录5所述的信息终端，其中，所述信息终端尝试以恒定或不恒定的间隔检查安全单元的存在直至发起的下载结束，并且如果作为尝试的结果未确认安全单元的存在，则停止下载。

（附录7）根据附录5或6所述的信息终端，其中，所述信息终端在下载完成时计算下载更新软件的哈希值，在解密之后将所计算的哈希值与第一表格或第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

（附录8）一种用于更新系统中的信息终端的软件的方法，该系统包括信息终端、经由网络连接到信息终端的软件下载服务器，该软件下载服务器存储更新软件、以及可经由近场无线电网络与信息终端通信的安全单元，该方法包括：

所述软件下载服务器产生限时认证密钥，针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用认证密钥对哈希表进行加密；

所述安全单元从软件下载服务器获得加密哈希表和认证密钥；以及

所述信息终端从安全单元获得加密哈希表作为第一表格，从安全单元获得认证密钥，确定认证密钥的时限是否有效，如果时限作为确定的结果被确定为是有效的，则从软件下载服务器获得加密哈希表作为第二表格，使用认证密钥将第一和第二表格解密，在解密之后比较第一和第二表格，并且如果两个表格彼此相同，则发起从软件下载服务器的更新软件的下载。

（附录9）根据附录8所述的更新信息终端的软件的方法，其中，所述信息终端尝试以恒定或不恒定的间隔检查安全单元的存在直至发起的下载结束，并且当作为尝试的结果未确认安全单元的存在时，停止下载。

（附录10）根据附录8或9所述的更新信息终端的软件的方法，其中，所述信息终端在下载完成时计算下载更新软件的哈希值，在解密之后将计算的哈希值与第一表格或第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

（附录11）根据附录8至10中的任一项所述的更新信息终端的软件的方法，其中，所述安全单元可作为移动终端进行操作，并且所述移动终端可作为安全单元进行操作。

（附录12）一种更新安装在信息终端中的软件的方法，包括：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生的；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

（附录13）根据附录12所述的更新软件的方法，其中，所述信息终端尝试以恒定或不恒定的间隔检查安全单元的存在直至发起的下载结束，并且当作为尝试的结果未确认安全单元的存在时，停止下载。

（附录14）根据附录12或13所述的更新软件的方法，其中，当下载完成时计算下载更新软件的哈希值，并在解密之后将计算的哈希值与第一表格或第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

（附录15）一种更新被安装在信息终端中的软件的嵌入在信息终端中的软件更新程序，该软件更新程序使计算机充当信息终端，其中，所述信息终端被配置为：

从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，该加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用认证密钥将哈希表加密而产生的；从安全单元获得认证密钥；确定其时限是否是有效的；如果时限作为该确定的结果被确定为是有效的，则经由网络从软件下载服务器获得加密哈希表作为第二表格；使用认证密钥将第一和第二表格解密；在解密之后将第一和第二表格相互比较；以及如果两个表格彼此相同，则经由网络发起从软件下载服务器的更新软件的下载。

（附录16）根据附录15所述的软件更新程序，其中，所述信息终端尝试以恒定或不恒定的间隔检查安全单元的存在直至发起的下载结束，并且当作为尝试的结果未确认安全单元的存在时，停止下载。

（附录17）根据附录15或16所述的软件更新程序，其中，所述信息终端在下载完成时计算下载更新软件的哈希值，在解密之后将所计算的哈希值与第一表格或第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

Claims

1.一种信息终端的软件更新系统，包括；

信息终端；

软件下载服务器，其经由网络连接到所述信息终端，所述软件下载服务器存储更新软件；以及

安全单元，其可经由近场无线电网络与所述信息终端通信，

其中，所述软件下载服务器产生限时认证密钥，针对每个文件计算包括在所述更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用所述认证密钥对所述哈希表加密，

安全单元从所述软件下载服务器获得加密哈希表和所述认证密钥，以及

信息终端从安全单元获得所述加密哈希表作为第一表格，从所述安全单元获得所述认证密钥，确定所述认证密钥的时限是否有效，如果所述时限被确定为是有效的，则从所述软件下载服务器获得所述加密哈希表作为第二表格，使用所述认证密钥将所述第一和第二表格解密，在解密之后比较所述第一和第二表格，如果确定两个表格彼此相同，则发起从所述软件下载服务器的所述更新软件的下载，在下载完成时计算下载更新软件的哈希值，在解密之后将所计算的哈希值与所述第一表格或所述第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

2.根据权利要求1所述的软件更新系统，其中，所述信息终端尝试以恒定或不恒定的间隔检查所述安全单元的存在直至发起的下载结束，并且如果作为尝试的结果尚未确认所述安全单元的存在，则停止下载。

3.根据权利要求1或2所述的软件更新系统，其中，所述安全单元可作为移动终端进行操作，并且所述移动终端可作为所述安全单元进行操作。

4.一种更新被嵌入其中的软件的信息终端，其中，所述信息终端被配置为：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，所述加密哈希表是由软件下载服务器通过产生限时认证密钥，针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并且使用所述认证密钥将哈希表加密产生的；从所述安全单元获得所述认证密钥；确定其时限是否是有效的；如果作为确定的结果所述时限被确定为是有效的，则经由网络从所述软件下载服务器获得所述加密哈希表作为第二表格；使用所述认证密钥将所述第一和第二表格解密；在解密之后将所述第一和第二表格相互比较；如果两个表格彼此相同，则经由网络发起从所述软件下载服务器的所述更新软件的下载；在下载完成时计算下载更新软件的哈希值；在解密之后将所计算的哈希值与所述第一表格或所述第二表格中的哈希值相比较；并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

5.一种更新系统中的信息终端的软件的方法，该系统包括所述信息终端，经由网络被连接到所述信息终端并存储更新软件的软件下载服务器以及可经由近场无线电网络与所述信息终端通信的安全单元，所述方法包括：

所述软件下载服务器产生限时认证密钥，针对每个文件计算包括在所述更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表，并使用所述认证密钥对哈希表进行加密；

所述安全单元从所述软件下载服务器获得加密哈希表和所述认证密钥；以及

所述信息终端从所述安全单元获得所述加密哈希表作为第一表格，从所述安全单元获得所述认证密钥，确定所述认证密钥的时限是否有效，如果所述时限作为确定的结果被确定为是有效的，则从所述软件下载服务器获得所述加密哈希表作为第二表格，使用所述认证密钥将所述第一和第二表格解密，在解密之后比较所述第一和第二表格，如果两个表格彼此相同，则发起从所述软件下载服务器的所述更新软件的下载，在下载完成时计算下载更新软件的哈希值，在解密之后将所计算的哈希值与所述第一表格或所述第二表格中的哈希值相比较，并且如果两个哈希值彼此相同，则允许下载更新软件的激活。

6.根据权利要求5所述的更新信息终端的软件的方法，其中，所述信息终端尝试以恒定或不恒定的间隔检查所述安全单元的存在直至发起的下载结束，并且当作为尝试的结果未确认所述安全单元的存在时，停止下载。

7.根据权利要求5或6所述的更新信息终端的软件的方法，其中，所述安全单元可作为移动终端进行操作，并且所述移动终端可作为所述安全单元进行操作。

8.一种更新嵌入信息终端中的软件的方法，包括：从可经由近场无线电网络通信的安全单元获得加密哈希表作为第一表格，所述加密哈希表是由软件下载服务器通过产生限时认证密钥、针对每个文件计算包括在更新软件中的文件的哈希值以产生其中列出文件的哈希值的哈希表并使用所述认证密钥将所述哈希表加密而产生的；从所述安全单元获得所述认证密钥；确定其时限是否是有效的；如果所述时限作为确定的结果被确定为是有效的，则经由网络从所述软件下载服务器获得加密哈希表作为第二表格；使用所述认证密钥将所述第一和第二表格解密；在解密之后将所述第一和第二表格相互比较；如果两个表格彼此相同，则经由网络发起从所述软件下载服务器的所述更新软件的下载；在下载完成时计算下载更新软件的哈希值；在解密之后将所计算的哈希值与所述第一表格或所述第二表格中的哈希值相比较；并且如果两个哈希值彼此相同，则允许下载更新软件的激活。