CN102625309A

CN102625309A - 访问控制方法及装置

Info

Publication number: CN102625309A
Application number: CN2012100161894A
Authority: CN
Inventors: 谢杰
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2012-01-18
Filing date: 2012-01-18
Publication date: 2012-08-01

Abstract

本发明公开了一种访问控制方法及装置，该方法包括：检索欲访问安全单元SE应用的终端应用程序的签名证书；根据签名证书和证书文件确认应用程序访问SE应用的权限，其中，证书文件是从SE中获取的；根据访问SE应用的权限，控制应用程序对SE应用的访问。通过本发明，采用终端应用程序的签名证书和从SE中获取的证书文件来确认应用程序访问SE应用的权限，提高了SE访问的安全性，从而完善了原有智能手机平台访问控制机制的不足，提高了手机支付的安全性和实用性。

Description

访问控制方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种应用于智能移动终端的访问控制方法及装置。

背景技术

随着智能手机的普及(尤其以android平台为主)，智能手机平台的应用也逐渐丰富。近年来，基于NFC手机支付(Mobile NFC Payment)俨然成为继卡支付和网络支付之后的又一个支付方式新宠。

然而，随着手机移动支付方式的普及，其安全性也成为该项应用能被广泛采用的一项关键技术。在手机支付领域，其应用一部分依赖于手机硬件设备，而另一部分则依赖于SE(SecureElement，简称为SE)访问(access control)机制的安全性。手机侧SE访问APIs的正常运作，首先需要操作系统支持手机应用侧与SE侧的应用之间的数据交换；其次为了保证访问APIs的安全性，很有必要提供一套安全访问机制，以提高访问SE模块的安全性。

发明内容

本发明提供了一种访问控制方法及装置，以至少解决现有的智能手机平台中访问控制的安全性问题。

根据本发明的一个方面，提供了一种访问控制方法，应用于智能移动终端中，包括：检索欲访问安全单元SE应用的终端应用程序的签名证书；根据签名证书和证书文件确认应用程序访问SE应用的权限，其中，证书文件是从SE中获取的；根据访问SE应用的权限，控制应用程序对SE应用的访问。

优选地，检索欲访问安全单元SE应用的终端应用程序的签名证书之前，还包括：提示用户输入密码，并判断所输入的密码是否正确，如果密码不正确，则结束终端应用程序。

优选地，检索欲访问安全单元SE应用的终端应用程序的签名证书之前，还包括：在终端开机或应用程序启动时，从SE中读取证书文件并保存在终端的访问控制数据库中。

优选地，如果证书文件的长度大于阈值m字节，则通过设置偏移量分段读取证书文件，具体包括：计算需要分段读取证书文件的次数n，其中，每次最多读取m字节；分n次读取证书文件，其中第i次读取时的偏移量为m×(i-1)字节，i为读取次数；将n次读取结果依次存储在一个字符串中，并将字符串转换为字节数组类型。

优选地，证书文件为PKCS#15证书文件，证书文件包括访问SE应用的权限以及与权限对应的授权证书，其中，权限至少包括以下一种：读取READ、更新UODATE、激活ACTIVATE和去激活DEACTIVATE。

优选地，根据签名证书和证书文件确认应用程序访问SE应用的权限，包括：将应用证书的签名证书与证书文件中的授权证书进行匹配，如果匹配上，则应用程序具有与授权证书对应的访问SE应用的权限。

根据本发明的另一方面，提供了一种访问控制装置，该装置位于智能移动终端中，包括：检索模块，用于检索欲访问安全单元SE应用的终端应用程序的签名证书；确认模块，用于根据签名证书和证书文件确认应用程序访问SE应用的权限，其中，证书文件是从SE中获取的；控制模块，用于根据访问SE应用的权限，控制应用程序对SE应用的访问。

优选地，该装置还包括：密码模块，用于提示用户输入密码，并判断所输入的密码是否正确，如果密码不正确，则结束终端应用程序。

优选地，该装置还包括：读取模块，用于在终端开机或应用程序启动时，从SE中读取证书文件并保存在终端的访问控制数据库中，其中，如果证书文件的长度大于阈值m字节，则读取模块通过设置偏移量分段读取证书文件。

优选地，读取模块包括：计算单元，用于计算需要分段读取证书文件的次数n，其中，每次最多读取m字节；读取单元，用于分n次读取证书文件，其中第i次读取时的偏移量为m×(i-1)字节，i为读取次数；转换单元，用于将n次读取结果依次存储在一个字符串中，并将字符串转换为字节数组类型。

通过本发明，采用终端应用程序的签名证书和从SE中获取的证书文件来确认应用程序访问SE应用的权限，提高了SE访问的安全性，从而完善了原有智能手机平台访问控制机制的不足，提高了手机支付的安全性和实用性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的访问控制方法流程图；

图2是根据本发明实施例的访问控制装置框图；

图3是根据本发明实施例一的访问控制装置框图；

图4是根据本发明实施例二的访问控制装置模块示意图；

图5是根据本发发明实施例的ACCF文件格式示意图；以及

图6是根据本发明实施例二的访问控制方法流程图；以及

图7是根据本发发明实施例的改进的ACRF解析机制流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

图1是根据本发明实施例的访问控制方法流程图，如图1所述，该方法包括：

步骤S102，检索欲访问安全单元SE应用的终端应用程序的签名证书。

步骤S104，根据签名证书和证书文件确认应用程序访问SE应用的权限，其中，证书文件是从SE中获取的。

步骤S106，根据访问SE应用的权限，控制应用程序对SE应用的访问。

在本实施例中，采用终端应用程序的签名证书和从SE中获取的证书文件来确认应用程序访问SE应用的权限，提高了SE访问的安全性，从而完善了原有智能手机平台访问控制机制的不足，提高了手机支付的安全性和实用性。

在现有访问控制机制下，手机被他人持有后，仍能正常使用NFC的各项应用。为此在上述步骤S102之前，还可以包括步骤：提示用户输入密码，并判断所输入的密码是否正确，如果密码不正确，则结束终端应用程序。这样的话，通过在原有访问机制基础上加入密码保护机制，只有密码持有者才能正常使用NFC的应用程序，其安全性得到进一步保证和提升。

在上述实施例中，在终端开机或应用程序启动时，从SE中读取证书文件并保存在终端的访问控制数据库中。

在现有访问控制机制中，最大读取SE证书文件的长度为255字节。如果证书文件长度大于255字节，访问SE应用的请求失败，这极大程度限制了access control机制的实用性。在本发明的一个优选的实施例中，如果证书文件的长度大于阈值255字节，则通过设置偏移量分段读取证书文件。

图2是根据本发明实施例的访问控制装置框图，如图2所示，该装置包括依次连接的检索模块10、确认模块20和控制模块30。

其中，检索模块10，用于检索欲访问安全单元SE应用的终端应用程序的签名证书；确认模块20，用于根据签名证书和证书文件确认应用程序访问SE应用的权限，其中，证书文件是从SE中获取的；控制模块30，用于根据访问SE应用的权限，控制应用程序对SE应用的访问。

在本发明的优选实施例中，上述访问控制装置还包括：密码模块，用于提示用户输入密码，并判断所输入的密码是否正确，如果密码不正确，则结束终端应用程序。

实施例一

图3是根据本发明实施例一的访问控制装置框图，如图3所示，该除包括上述实施例中的检索模块10、确认模块20和控制模块30外，还包括密码模块40和读取模块50。

其中，密码模块40，用于提示用户输入密码，并判断所输入的密码是否正确，如果密码不正确，则结束终端应用程序。读取模块50，用于在终端开机或应用程序启动时，从SE中读取证书文件并保存在终端的访问控制数据库中，其中，如果证书文件的长度大于阈值m字节，则读取模块通过设置偏移量分段读取证书文件。

读取模块50包括：计算单元502，用于计算需要分段读取证书文件的次数n，其中，每次最多读取m字节；读取单元504，用于分n次读取证书文件，其中第i次读取时的偏移量为m×(i-1)字节，i为读取次数；转换单元506，用于将n次读取结果依次存储在一个字符串中，并将字符串转换为字节数组类型。

实施例二

图4是根据本发明实施例二的访问控制装置框图，实施例二详细描述了一个实际应用中的访问控制装置的功能模块划分，以及各模块之间的交换流程。如图4所示，在本实施中，访问控制装置包括以下模块：

终端侧的访问控制规则数据库引擎(Access Control Rules Database & Engine)模块，该模块主要功能是在手机终端侧建立和维护一个访问控制规则；访问控制规则储存在SE模块的访问控制数据(access control data)中。

终端侧的访问控制过滤(Access Control Filtering)模块，该模块在终端应用请求访问一个SE的应用时被激活；该模块必须收集必要信息以识别发起请求的终端应用程序；信息一旦被检索会发送到access control rules engine，这将决定是否准予访问。

访问控制数据(Access control data)存储在每个SE模块中，用以保护对该SE模块中的应用程序的访问；如果某个SE模块没有access control data，则任何终端应用都不可以访问该SE模块的应用程序；如果某个SE模块有access control data，但其数据结构为空，则任何终端应用都不可以访问该SE模块的应用程序。

在分析访问控制规则具体实现流程之前，先介绍一下访问控制数据的数据格式：

本实施例中，访问控制数据以PKCS#15文件结构存储在SE中；

访问控制规则中涉及的所有文件路径(包括DODF、ACMF和ACRF)都可由PKCS#15文件路径分析得出，下面介绍各文件路径的格式及访问规则：

PKCS#15DODF，用于访问控制数据的入口，且其中包含EFACMF的地址，其中，每个SE模块仅含有一个ACMF文件；

ACMF文件包含fresh tag和ACRF路径。规则对象定义了针对一个或多个SE应用的访问规则；其中，每个SE模块仅含有一个ACRF文件

ACCF的文件格式参见图5，将条件定义成一个项列表，列表的每一项包含一个允许访问的SHA-1证书授权，若ACCF文件为空，则指向该ACCF文件的规则拒绝一切终端应用访问。

下面介绍访问控制规则的实现流程：

图6是根据本发明实施例二的访问控制方法流程图，如图6所示，该访问控制规则实现流程包括

步骤S602，手机在开机或打开相关应用程序的过程中启动访问控制初始化。

步骤S604，打开终端应用程序后，采用密码保护规则，弹出对话框提示输入密码。如果输入密码正确，继续执行S606；否则提示输入密码错误，再次执行S604。

步骤S606，终端应用程序利用访问API的SE打开一个与SE应用进行通讯的频道；

步骤S608，在进行其他任何操作之前，需要通过访问控制的过滤规则。

步骤S610，访问控制过滤规则检索证书链，用以签名调用的应用程序，同时检查访问控制规则引擎，确认证书链中是否有有访问SE应用的权限。

在实施过程中，如果该规则尚未确定，或者Refresh Tag已经改变，规则引擎将试图从处理被访问的SE应用的SE模块获取一个新版规则数据。该新版本如果可用，成为这个SE新的参考规则。SE的Refresh Tag是用来支持使用已经加载的应用，并且访问控制数据在无需终端同意的情况下可以自动更新。

步骤S612，将规则和权限组合结果反馈至过滤规则，然后发送给传输层。

步骤S614，如果访问被允许，与SE应用的链接获得授权，并且终端应用与SE应用的通讯被允许。在实施过程中，如果访问被拒绝，那么终端应用与SE应用之间的连接建立失败，且终端应用会被告知由于安全性问题不能访问SE应用。

其中，在执行步骤S602的过程中，还可以包括以下步骤：

(1)PKCS#15文件路径的初始化：PKCS#15AID(A0 00 00 00 63 50 4B 43 53 2D 31 35)，发送SELECT_BY_NAME命令。如果选择成功，设备即可读取PKCS#15文件(ODF、DODF等)；

如果上述步骤选择失败，发送SELECT命令选择MF和EF路径，然后再读取EF路径以定位PKCS#15AID入口。如果入口匹配，由EF获取PKCS#15DF路径，从而读取PKCS#15文件(ODF、DODF等)；

(2)如果PKCS#15文件路径初始化成功，则构造EF对象并对其进行解析；否则accesscontrol模块初始化失败，直接退出；

(3)构造DODF对象，由EF解析结果得到的DODF文件路径和AC_OID得到ACMF文件路径。如果得到的ACMF文件路径为空，则初始化失败；否则继续以下步骤；

(4)构造ACMF对象，并对其进行解析，得到ACRF文件路径；

(5)构造ACRF对象，并对其进行解析。如果ACRF文件长度小于255字节，采用原有的解析规则读取ACCF文件数据；否则采用改进的ACRF解析规则实现。

(6)最后将解析得到的ACCF储存于终端侧的访问控制规则数据库中，访问控制初始化过程结束。

其中，在上述步骤(5)中，通过设置偏移量分段读取ACCF文件的具体步骤如图7所示，包括：

步骤S702，计算需要分段读取ACCF文件的次数n，其中，每次最多读取255字节。

步骤S704，第i次读取过程中，偏移量为255×(i-1)字节，读取长度为255字节。

步骤S706，第n次读取过程中，偏移量为255×(n-1)字节，读取长度为：总长度-255(n-1)字节。

步骤S708，将n次读取结果存储在一个字符串中，再转换为字节数组类型。从而获取到ACCF文件数据。

在本发明的上述各实施例中，针对NFC技术中存在的对SE模块访问控制的安全性问题和缺陷，提供一套对SE模块进行安全访问控制的机制。采用本发明实施例提供的access control机制，完善了原有access control机制的不足，实用性得到进一步提升；提高了对SE模块访问的安全性，解决了NFC技术得以普遍推广的关键技术之一。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种访问控制方法，应用于智能移动终端中，其特征在于，包括：

检索欲访问安全单元SE应用的终端应用程序的签名证书；

根据所述签名证书和证书文件确认所述应用程序访问所述SE应用的权限，其中，所述证书文件是从所述SE中获取的；

根据访问所述SE应用的权限，控制所述应用程序对所述SE应用的访问。

2.根据权利要求1所述的方法，其特征在于，检索欲访问安全单元SE应用的终端应用程序的签名证书之前，还包括：

提示用户输入密码，并判断所输入的密码是否正确，如果所述密码不正确，则结束所述终端应用程序。

3.根据权利要求1或2所述的方法，其特征在于，检索欲访问安全单元SE应用的终端应用程序的签名证书之前，还包括：

在所述终端开机或所述应用程序启动时，从所述SE中读取所述证书文件并保存在所述终端的访问控制数据库中。

4.根据权利要求3所述的方法，其特征在于，如果所述证书文件的长度大于阈值m字节，

则通过设置偏移量分段读取所述证书文件，具体包括：

计算需要分段读取所述证书文件的次数n，其中，每次最多读取m字节；

分n次读取所述证书文件，其中第i次读取时的偏移量为m×(i-1)字节，i为读取次数；

将n次读取结果依次存储在一个字符串中，并将所述字符串转换为字节数组类型。

5.根据权利要求4所述的方法，其特征在于，所述证书文件为PKCS#15证书文件，所述证书文件包括访问所述SE应用的权限以及与所述权限对应的授权证书，其中，所述权限至少包括以下一种：

读取READ、更新UODATE、激活ACTIVATE和去激活DEACTIVATE。

6.根据权利要求5所述的方法，其特征在于，根据所述签名证书和证书文件确认所述应用程序访问所述SE应用的权限，包括：

将所述应用证书的所述签名证书与所述证书文件中的所述授权证书进行匹配，如果匹配上，则所述应用程序具有与所述授权证书对应的访问所述SE应用的权限。

7.一种访问控制装置，位于智能移动终端中，其特征在于，包括：

检索模块，用于检索欲访问安全单元SE应用的终端应用程序的签名证书；

确认模块，用于根据所述签名证书和证书文件确认所述应用程序访问所述SE应用的权限，其中，所述证书文件是从所述SE中获取的；

控制模块，用于根据访问所述SE应用的权限，控制所述应用程序对所述SE应用的访问。

8.根据权利要求7所述的终端，其特征在于，还包括：

密码模块，用于提示用户输入密码，并判断所输入的密码是否正确，如果所述密码不正确，则结束所述终端应用程序。

9.根据权利要求8所述的终端，其特征在于，还包括：

读取模块，用于在所述终端开机或所述应用程序启动时，从所述SE中读取所述证书文件并保存在所述终端的访问控制数据库中，其中，如果所述证书文件的长度大于阈值m字节，则所述读取模块通过设置偏移量分段读取所述证书文件。

10.根据权利要求9所述的终端，其特征在于，所述读取模块包括：

计算单元，用于计算需要分段读取所述证书文件的次数n，其中，每次最多读取m字节；

读取单元，用于分n次读取所述证书文件，其中第i次读取时的偏移量为m×(i-1)字节，i为读取次数；

转换单元，用于将n次读取结果依次存储在一个字符串中，并将所述字符串转换为字节数组类型。