CN102880897B - 一种智能卡的应用数据共享方法和智能卡 - Google Patents

Abstract

本发明提供了一种智能卡上的应用数据共享方法和智能卡。该方法包括：在智能卡上创建父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该ACL中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息；接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。应用本发明能够提高应用数据共享的安全性。

Description

一种智能卡的应用数据共享方法和智能卡

技术领域

本发明涉及智能卡和数据库技术领域，尤其涉及一种智能卡的应用数据共享方法和智能卡。

背景技术

随着智能卡技术的日趋成熟，智能卡上可以承载各类不同的应用，例如：公交应用、金融应用、社保应用、医疗应用等。通过普及承载有多种应用的智能卡，能够极大地方便用户的生活。

例如，在企业中，企业一卡通系统有助于企业内部的信息交换、共享和统一管理，在企业管理领域使用的一卡通系统，目前已经覆盖了人员身份识别、员工考勤、薪资管理、人事管理、电子门禁、出入口控制、车辆进出管理、员工内部消费管理等多种应用。由此可见，智能卡技术已经渗透到了企业管理的各个环节，使得各项管理工作更加高效、科学，为人们日常的工作和生活带来便捷和安全。

随着智能卡承载应用的增多，常常需要在不同的应用之间实现数据共享。例如，在企业一卡通系统中，有时需要员工内部消费管理的应用能够访问员工考勤的应用数据。

可见，如何解决智能卡上不同应用间数据的安全共享，成为一个急需解决的技术问题。

然而，目前为了保证智能卡上应用数据的安全，为智能卡上的各个应用设置了防火墙，其不允许不同应用之间进行数据共享，如果为了实现不同应用之间的数据共享而撤销防火墙，则无法保证应用数据的安全性。

发明内容

有鉴于此，本发明提供了一种智能卡的应用数据共享方法和智能卡，以便提高应用数据共享的安全性。

本发明采用的技术方案具体是这样实现的：

一种智能卡上的应用数据共享方法，该方法包括：

预先在智能卡上创建父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该访问控制列表中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息；

接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。

一种智能卡，该智能卡包括存储模块和访问控制模块；

所述存储模块，用于存储父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该访问控制列表中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息；

所述访问控制模块，用于接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。

由上述技术方案可见，本发明在子应用数据块信息中存储访问控制列表ACL，在接收到第一子应用访问第二子应用数据的共享请求时，仍然根据第一子应用的鉴权信息对该共享请求进行鉴权，如果鉴权通过，说明该共享请求的发送方有权访问第一子应用的数据块，那么，如果第二子应用的数据块的ACL中存储了该第一子应用的数据块的ID，则该第一子应用可以访问第二子应用的共享数据，因此，智能卡向所述共享请求的发送方返回第二子应用的共享数据。

可见，本发明实现了对各个子应用的数据共享进行访问控制，因此能够提高数据共享的安全性。而且，由于在第一子应用请求访问共享第二子应用的共享数据时，仍然是根据第一子应用的鉴权信息进行鉴权，因此每个子应用的卡外实体仍然只需要存储该子应用自身的鉴权信息，而不需要存储其要与之进行数据共享的其他子应用的鉴权信息，能够节省存储空间，而且能够简化鉴权操作。

附图说明

图1是本发明提供的智能卡上的应用数据共享方法流程图。

图2是本发明提供的父应用创建子应用数据块信息的流程图。

图3是本发明提供的子应用数据信息的结构示意图。

图4是本发明提供的不同子应用之间进行数据块访问的流程图。

图5是本发明提供的智能卡结构图。

图6是本发明提供的企业一卡通应用的数据结构示意图。

具体实施方式

图1是本发明提供的智能卡上的应用数据共享方法流程图。

如图1所示，该方法包括：

步骤101，在智能卡上创建父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL。

其中，子应用数据块的ACL中存储了允许访问该子应用数据块的其他子应用数据块的标识(ID)信息。

其中，所述其他子应用数据块的ID信息可以是以ID全文的形式、或者ID区间的形式、或者ID标志位的形式存储在ACL中，总之，只要通过子应用数据块的ACL能够确定出是否允许其他子应用块访问该子应用数据块即可，本发明不限定其他子应用数据块的ID信息在ACL中的存储形式。

步骤102，智能卡接收第一子应用访问第二子应用数据的共享请求。

步骤103，智能卡根据第一子应用的鉴权信息对该共享请求进行鉴权，如果鉴权通过，执行步骤104，否则，应用数据共享失败，结束本流程。

步骤104，智能卡查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，执行步骤105，否则，应用数据共享失败，结束本流程。

步骤105，智能卡向所述共享请求的发送方返回第二子应用的共享数据。

图1所示方法中，父应用和子应用是相对的，当一个应用可以被分解为若干个功能更加单一的应用时，本分解的应用可以称为父应用，分解出的应用可以称为子应用，例如，企业管理一卡通应用可以被分解为考勤应用、消费应用等，那么，该企业一卡通应用即相当于父应用，所述考勤应用和所述消费应用即相当于子应用。

图1所示方法涉及创建父应用的子应用数据块信息、子应用数据块的结构以及在不同子应用之间进行数据块访问的流程，下面分别进行详细说明。

在智能卡创建父应用的子应用数据块信息时，智能卡根据父应用的密钥信息，对该父应用的子应用数据块创建请求进行鉴权，在鉴权通过后，创建该父应用的子应用数据块信息。

下面以利用MAC值校验的方法进行鉴权为例，对创建父应用的子应用数据块信息进行说明，所举例子并不用于限制本发明，具体请参见图2。

图2是本发明提供的父应用创建子应用数据块信息的流程图。

如图2所示，该流程包括：

步骤201，智能卡外实体向智能卡发送获取随机数指令。

步骤202，智能卡根据该指令生成第一段随机数RAND1。

步骤203，智能卡将该第一段随机数RAND1返回给所述智能卡外实体。

步骤204，智能卡外实体向智能卡发送子应用数据块创建请求。

其中，智能卡外实体生成第二段随机数RAND2，根据该智能卡外实体存储的父应用的密钥信息，对由第一段随机数RAND1和第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对子应用数据块信息进行计算得到MAC值，将子应用数据块信息、第二段随机数RAND2和所述MAC值携带在子应用数据块创建请求中发给智能卡。

步骤205，智能卡收到所述创建请求后，进行MAC值校验，如果校验通过，执行步骤206，否则执行步骤207。

其中，智能卡根据该智能卡存储的父应用的密钥信息，对所述第一段随机数RAND1和所述子应用数据块创建请求中携带的第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对所述子应用数据块创建请求中携带的子应用数据块信息进行MAC计算，判断该智能卡计算出的MAC值是否与所述子应用数据块创建请求中携带的MAC值一致，如果一致，则MAC值校验通过，换言之，对所述子应用数据块创建请求鉴权通过，否则，MAC值校验不通过，换言之，对所述子应用数据块创建请求鉴权不通过。

步骤206，智能卡创建父应用的子应用数据块信息，结束本流程。

其中，智能卡创建父应用的子应用数据块信息具备包括：按照子应用数据块信息的结构，在智能卡中存储子应用数据块信息。子应用数据块信息的结构具体请参见图3。

步骤207，智能卡向所述卡外实体返回数据块信息创建失败的结果，结束本流程。

图3是本发明提供的子应用数据信息的结构示意图。

如图3所示，以子应用数据块B为例，子应用数据块B的信息一般包括子应用数据块B的ID(DID_B)、内容管理密钥KEY_B、子应用数据块B的访问控制列表ACL_B、子应用数据块B的数据修改策略ACR_B以及该子应用数据块的共享数据和独享数据。

其中，ACR_B中存储了允许修改该子应用数据块B的信息的密钥信息，例如，允许KEY_B和该子应用数据块B所属的父应用A的密钥KEY_A修改该子应用数据块B的共享数据和/或独享数据的内容，再例如，仅允许KEY_B修改该子应用数据块B的共享数据和独享数据的内容，不允许KEY_A修改该子应用数据块B的共享数据和独享数据的内容。

子应用数据块的结构中也可以不包括ACR，而是默认所有子应用数据块采用相同的修改策略，例如，仅允许子应用数据块自身的内容管理密钥对该子应用数据块的内容进行修改。

图4是本发明提供的不同子应用之间进行数据块访问的流程图。

与图2所示流程类似，图4所示流程也是以MAC值校验的方法进行鉴权为例，对不同子应用之间的数据块访问流程进行说明，当然也可以采用图4所示MAC值校验以外的其他方法进行鉴权。

与图2所示流程不同的是，图4所示流程利用子应用数据块的内容管理密钥进行鉴权，而非父应用的管理密钥。

如图4所示，该流程具体包括：

步骤401～步骤403，与步骤201～步骤203相同。

步骤404，智能卡外实体向智能卡发送第一子应用访问第二子应用数据的共享请求。

步骤405，智能卡根据第一子应用的鉴权信息对该共享请求进行鉴权，如果鉴权通过，执行步骤406，否则，执行步骤408。

步骤406，智能卡查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，执行步骤407，否则，执行步骤408。

步骤407，智能卡向所述卡外实体返回第二子应用的共享数据，结束本流程。

步骤408，应用数据共享失败，结束本流程。

本步骤中，智能卡可以向所述卡外实体返回应用数据共享失败的结果。

图4所示流程中，根据第一子应用的内容管理密钥KEY_B计算出MAC值具体可以包括：

利用第一子应用的内容管理密钥KEY_B，对智能卡生成的第一段随机数RAND1与卡外实体生成的第二段随机数RAND2拼成的随机数RAND进行加密，得到会话密钥，利用该会话密钥对共享请求中携带的除MAC值以外的其他数据进行计算得到MAC值。

本发明还提供了一种智能卡，具体请参见图5。

图5是本发明提供的智能卡结构图。

如图5所示，该智能卡包括存储模块501和访问控制模块502。

存储模块501，用于存储父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该访问控制列表中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息。

访问控制模块502，用于接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。

图5所示智能卡还可以包括创建模块。

所述创建模块，用于根据父应用的密钥信息，对该父应用的子应用数据块创建请求进行鉴权，在鉴权通过后，将该父应用的子应用数据块信息存储在所述存储模块中。

所述创建模块可以包括通信模块和第一鉴权模块。

所述通信模块，用于接收智能卡外实体获取随机数的指令，根据该指令生成并返回第一段随机数RAND1，接收子应用数据块创建请求，该创建请求中携带有子应用数据块信息、由智能卡外实体生成的第二段随机数RAND2和MAC值。

所述第一鉴权模块，用于根据父应用的密钥信息，对所述第一段随机数RAND1和所述子应用数据块创建请求中携带的第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对所述子应用数据块创建请求中携带的子应用数据块信息进行MAC计算，判断该鉴权模块计算出的MAC值是否与所述子应用数据块创建请求中携带的MAC值一致，如果一致，对所述子应用数据块创建请求鉴权通过，否则，对所述子应用数据块创建请求鉴权不通过。

其中，子应用数据块创建请求中携带的MAC值，由智能卡外实体根据该智能卡外实体存储的应用的密钥信息，对由第一段随机数RAND1和第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对子应用数据块信息进行计算得到。

存储模块501中存储的子应用数据块信息具体可以包括：子应用数据块的ID、内容管理密钥KEY_B、访问控制列表ACL以及该子应用数据块的共享数据和独享数据。

访问控制模块502具体可以包括通信模块、第二鉴权模块和共享决策模块。

所述通信模块，用于接收第一子应用访问第二子应用数据的共享请求，所述共享请求中携带有第一子应用的数据块标识ID1、第二子应用的数据块标识ID2、以及MAC值，其中，所述MAC值由卡外实体根据第一子应用的内容管理密钥KEY_B计算得到。

所述第二鉴权模块，用于根据所述共享请求中携带的第一子应用的数据块标识ID1查找该智能卡存储的该第一子应用的内容管理密钥KEY_B，根据该智能卡存储的该第一子应用的内容管理密钥KEY_B计算出MAC值，判断该智能卡计算出的MAC值是否与所述共享请求中携带的MAC值一致，如果一致，鉴权通过，否则，鉴权不通过。

所述共享决策模块，用于在所述第二鉴权模块鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。

下面举一个具体的实例，对本发明提供的方法和智能卡进行示例性说明，具体请参见图6。

图6是本发明提供的企业一卡通应用的数据结构示意图。

如图6所示，企业一卡通相当于父应用，其包括考勤子应用和消费子应用。

其中，考勤子应用包括考勤密钥KEY_B和考勤信息，该考勤信息是考勤子应用的共享数据；消费子应用包括消费密钥KEY_C和消费信息，该消费信息是消费子应用的共享数据。

与之对应地，企业部署了考勤机具和食堂消费机具，这两个机具分别只存储有考勤密钥KEY_B和消费密钥KEY_C。

目前的需求是：不希望考勤信息被企业外知晓，在企业内食堂消费时需要获取考勤信息，从而判断是否允许员工用餐或执行不同的扣费标准。

针对该需求，如果采用本发明，则在创建子应用数据块信息时，可以在考勤子应用数据块信息的ACL中包含消费子应用的标识DID_C，那么员工在食堂消费时，消费机具与承载有企业一卡通应用的智能卡之间，通过消费密钥KEY_C进行鉴权，如果鉴权通过，再查询出考勤子应用的ACL中存储有消费子应用的标识DID_C，则将考勤子应用的共享数据返回给所述消费机具，从而实现考勤子应用与消费子应用之间的数据共享，同时也保证了企业内部信息不会外露，而且还无需在机具中部署所有的密钥，确保了机具专用。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种智能卡上的应用数据共享方法，其特征在于，该方法包括：

预先在智能卡上创建父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该ACL中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息；

接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败；

其中，所述在智能卡上创建父应用的子应用数据块信息包括：

根据父应用的密钥信息，对该父应用的子应用数据块创建请求进行鉴权，在鉴权通过后，创建该父应用的子应用数据块信息；

所述创建该父应用的子应用数据块信息包括：

存储该子应用数据块的ID、内容管理密钥KEY_B、访问控制列表ACL以及该子应用数据块的共享数据和独享数据；

所述共享请求中携带有第一子应用的数据块标识ID1、第二子应用的数据块标识ID2、以及MAC值，其中，所述MAC值由卡外实体根据第一子应用的内容管理密钥KEY_B计算得到。

2.根据权利要求1所述的方法，其特征在于，所述根据父应用的密钥信息，对该父应用的子应用数据块创建请求进行鉴权包括：

智能卡外实体向智能卡发送获取随机数指令，智能卡根据该指令生成第一段随机数RAND1，将该第一段随机数RAND1返回给所述智能卡外实体；

智能卡外实体生成第二段随机数RAND2，根据该智能卡外实体存储的父应用的密钥信息，对由第一段随机数RAND1和第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对子应用数据块信息进行计算得到MAC值，将子应用数据块信息、第二段随机数RAND2和所述MAC值携带在子应用数据块创建请求中发给智能卡；

智能卡根据该智能卡存储的父应用的密钥信息，对所述第一段随机数RAND1和所述子应用数据块创建请求中携带的第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对所述子应用数据块创建请求中携带的子应用数据块信息进行MAC计算，判断该智能卡计算出的MAC值是否与所述子应用数据块创建请求中携带的MAC值一致，如果一致，对所述子应用数据块创建请求鉴权通过，否则，对所述子应用数据块创建请求鉴权不通过。

3.根据权利要求1所述的方法，其特征在于，所述创建该父应用的子应用数据块信息还包括；存储该子应用数据块的数据修改策略ACR，该ACR中存储了允许修改该子应用数据块信息的密钥信息。

4.根据权利要求1所述的方法，其特征在于，

所述根据第一子应用的鉴权信息对该共享请求进行鉴权包括：

智能卡根据所述共享请求中携带的第一子应用的数据块标识ID1查找该智能卡存储的该第一子应用的内容管理密钥KEY_B，根据该智能卡存储的该第一子应用的内容管理密钥KEY_B计算出MAC值，判断该智能卡计算出的MAC值是否与所述共享请求中携带的MAC值一致，如果一致，鉴权通过，否则，鉴权不通过。

5.根据权利要求4所述的方法，其特征在于，根据第一子应用的内容管理密钥KEY_B计算出MAC值包括：

利用第一子应用的内容管理密钥KEY_B，对智能卡生成的第一段随机数RAND1与卡外实体生成的第二段随机数RAND2拼成的随机数RAND进行加密，得到会话密钥，利用该会话密钥对所述共享请求中携带的除所述MAC值以外的其他数据进行计算得到MAC值。

6.一种智能卡，其特征在于，该智能卡包括存储模块和访问控制模块；

所述存储模块，用于存储父应用的子应用数据块信息，所述子应用数据块信息包括访问控制列表ACL，该访问控制列表中存储了允许访问该子应用数据块的其他子应用数据块的标识ID信息；

所述访问控制模块，用于接收第一子应用访问第二子应用数据的共享请求，根据第一子应用的鉴权信息对该共享请求进行鉴权，在鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败；

其中，该智能卡还包括创建模块；

所述创建模块，用于根据父应用的密钥信息，对该父应用的子应用数据块创建请求进行鉴权，在鉴权通过后，将该父应用的子应用数据块信息存储在所述存储模块中；

所述存储模块中存储的子应用数据块信息包括：子应用数据块的ID、内容管理密钥KEY_B、访问控制列表ACL以及该子应用数据块的共享数据和独享数据；

所述访问控制模块包括通信模块，用于接收第一子应用访问第二子应用数据的共享请求，所述共享请求中携带有第一子应用的数据块标识ID1、第二子应用的数据块标识ID2、以及MAC值，其中，所述MAC值由卡外实体根据第一子应用的内容管理密钥KEY_B计算得到。

7.根据权利要求6所述的智能卡，其特征在于，所述创建模块包括通信模块和第一鉴权模块；

所述通信模块，用于接收智能卡外实体获取随机数的指令，根据该指令生成并返回第一段随机数RAND1，接收子应用数据块创建请求，该创建请求中携带有子应用数据块信息、由智能卡外实体生成的第二段随机数RAND2和MAC值；

所述第一鉴权模块，用于根据父应用的密钥信息，对所述第一段随机数RAND1和所述子应用数据块创建请求中携带的第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对所述子应用数据块创建请求中携带的子应用数据块信息进行MAC计算，判断该第一鉴权模块计算出的MAC值是否与所述子应用数据块创建请求中携带的MAC值一致，如果一致，对所述子应用数据块创建请求鉴权通过，否则，对所述子应用数据块创建请求鉴权不通过；

其中，子应用数据块创建请求中携带的MAC值，由智能卡外实体根据该智能卡外实体存储的应用的密钥信息，对由第一段随机数RAND1和第二段随机数RAND2拼成的随机数RAND进行加密得到会话密钥，利用该会话密钥对子应用数据块信息进行计算得到。

8.根据权利要求7所述的智能卡，其特征在于，所述访问控制模块还包括第二鉴权模块和共享决策模块；

所述第二鉴权模块，用于根据所述共享请求中携带的第一子应用的数据块标识ID1查找该智能卡存储的该第一子应用的内容管理密钥KEY_B，根据该智能卡存储的该第一子应用的内容管理密钥KEY_B计算出MAC值，判断该智能卡计算出的MAC值是否与所述共享请求中携带的MAC值一致，如果一致，鉴权通过，否则，鉴权不通过；

所述共享决策模块，用于在所述第二鉴权模块鉴权通过后，查询第二子应用数据块的ACL中是否存储了第一子应用数据块的ID信息，如果是，返回第二子应用的共享数据，否则，应用数据共享失败。