CN104657683B - 智能卡cos多应用隔离的安全性测试方法 - Google Patents

Abstract

本发明公开了一种智能卡COS多应用隔离的安全性测试方法，包括：文件结构测试，文件管理测试，密钥管理测试，安全管理测试以及指令管理测试。该智能卡COS多应用隔离的安全性测试方法，从系统设计和系统实现两个角度，对智能卡多应用COS的文件结构、文件管理、密钥管理、安全管理以及指令管理的安全性进行检测，从而减少了COS在实现多应用时可能存在的漏洞，提高了智能卡COS应用系统的安全性。

Description

智能卡COS多应用隔离的安全性测试方法

技术领域

本发明涉及智能卡COS（Chip Operating System片内操作系统）的测试领域，尤其涉及一种智能卡COS多应用隔离的安全性测试方法。

背景技术

随着现代生活中对于智能卡“一卡多用”要求的不断提高，在一张智能卡上集成多个应用的趋势越来越明显，这就要求卡数据及卡的应用安全对于不同的应用是相对独立的。也就是说各个应用的应用数据必须是分区存放的，各个应用对自已的数据进行的是独享式的访问和处理。

对于智能卡COS多应用的测试，目前主要集中在对各个应用的功能性测试上，即各个应用是否能正确的实现本身的功能的测试上，而对于安全性测试，特别是多应用隔离的安全性测试，则很少涉及。但是，随着“一卡多用”的不断发展，保证卡上各个应用数据访问的安全性将会越来越重要，特别是当应用中有金融应用时，则显得尤为重要。目前的测试方法主要是通过对卡上每个应用分别进行功能测试，通过验证每个应用的功能正确性来推论出多应用智能卡是安全可用的，但这样的测试并不是真正意义上的安全性测试，不足以防范未来智能卡COS多应用可能受到的安全攻击。

发明内容

本发明要解决的技术问题是提供一种智能卡COS多应用隔离的安全性测试方法，它可以提高智能卡COS多应用的安全性。

为解决上述技术问题，本发明的智能卡COS多应用隔离的安全性测试方法，包括：

文件结构测试，核实多应用环境下，各个应用的存储空间独立，相互间无覆盖；

文件管理测试，核实各个应用对于自身的文件存储与访问的正确性，各个应用间不能相互访问；

密钥管理测试，核实各个应用对于密钥使用的独立性，各个应用只能使用或修改本应用中的密钥，而无法使用到其他应用下的密钥；

安全管理测试，核实多应用环境下，各应用的安全状态独立，相互间不受影响；核实多应用环境下，各应用所处的应用生命周期独立，相互间不受影响；

指令管理测试，核实应用中的专有指令以及符合该应用要求的7816指令，只在该应用中有效，各应用间不可通用。

本发明通过对智能卡多应用COS进行文件结构测试、文件管理测试、密钥管理测试、安全管理测试以及指令管理测试来完成对各应用间隔离的安全性测试，从系统设计和系统实现两个角度，对智能卡多应用COS的文件结构、文件管理、密钥管理、安全管理以及指令管理的安全性进行检测，进而减少智能卡多应用COS在多个应用并存时，可能存在的多应用间的安全漏洞，使COS应用系统的安全性得以提高。

附图说明

图1是多应用文件结构示意图。

图2是所述智能卡COS多应用隔离的安全性测试方法流程示意图。

具体实施方式

为对本发明的技术内容、特点与功效有更具体的了解，现结合图示的实施方式，详述如下：

参见图2所示，本发明实施例的智能卡COS多应用隔离的安全性测试方法，主要是通过对智能卡多应用COS进行文件结构测试、文件管理测试、密钥管理测试、安全管理测试以及指令管理测试来完成对各应用间隔离的安全性测试。在下面的描述中，所述的“某个应用”是指所有各个应用中的任意一个应用。所述“某个文件”是指所有文件中的任意一个文件。

在进行文件结构测试之前，首先对智能卡COS的系统设计文档进行审核，以从系统设计角度，核实当多应用文件结构建立时，系统设计是否采用了独立性存储空间设计。

所述文件结构测试，是核实多应用环境下，各个应用的存储空间独立，相互间无覆盖。采用下述方法实现：对各个应用所占存储空间的独立性进行测试，检测某个应用所能使用到的存储空间不会越界到其他应用的存储空间，即只能使用到为该应用定义好的存储空间。具体测试的项目如下：

（1）各个应用所占存储空间的独立性进行测试。要求多应用文件结构建立后（如图1所示），某个应用数据满载之后，不影响其他应用的正常功能，也不影响其他应用的满载。

（2）对存储空间的边界测试。对某个应用进行满载数据写入操作，将写入的最后一部分数据量设置成写入的数据总量，超过本应用的满载数据量，要求COS处理本次数据写入不成功，并返回相应的错误返回码，即应用不可越界。

（3）文件链表异常保护测试（需要在仿真器上构造异常）。在某个应用下，对某个文件（例如EF文件）的文件链表进行修改，然后对该文件进行写操作，COS处理本次数据写入不成功，并返回相应的错误返回码,即写操作不会越界到其他应用中。

在进行文件管理测试之前，首先，对智能卡COS的系统设计文档进行审核，以从系统设计角度，核实当多应用并存时，多应用间的文件存储与访问是否采用了隔离性设计。

所述文件管理测试，是核实各个应用对于自身的文件存储与访问的正确性，各个应用间不能相互访问。采用下述方法实现：检测某个应用只能访问到本应用下的DDF（Directory Definition File目录定义文件）、ADF（Application Definition File应用数据文件）以及EF（Elementary File基本文件）文件，而无法访问到其他应用下的DDF、ADF以及EF文件。具体测试的项目如下：

（ⅰ）对于各个应用的DDF、ADF以及EF文件访问的正确性测试。要求访问后能正确的选中文件，并返回正确的信息（例如：文件控制信息）。

（ⅱ）对于越应用访问文件的测试。要求COS禁止越应用进行DDF、ADF以及EF文件的访问，并返回相应的错误返回码。

在进行密钥管理测试之前，首先，对智能卡COS的系统设计文档进行审核，以从系统设计角度，核实当多应用并存时，多应用间的密钥管理是否采用了隔离性设计。

所述密钥管理测试，是核实各个应用对于密钥使用的独立性，各个应用只能使用或修改本应用中的密钥，而无法使用到其他应用下的密钥。采用下述方法实现：检测各个应用只能使用或修改自身的密钥，即无法使用或修改到其他应用的密钥；检测各个应用创建文件和追加密钥中MAC（message authentication code报文鉴别代码）计算使用的主控密钥独立，即各应用只能使用到自己的主控密钥，无法使用到其他应用的主控密钥。具体测试的项目如下：

（Ⅰ）密钥使用的正确性测试。各个应用间若有类型与索引相同的密钥，则在当前应用下只能使用或修改本应用中的密钥。

（Ⅱ）多主控密钥使用的正确性测试。在创建各个应用，需要计算MAC时，只能使用指定给该应用的主控密钥，在创建各个应用下的文件，需要计算MAC时，也只能使用该应用下指定的主控密钥。

（Ⅲ）越应用密钥使用的测试。当前应用下涉及到使用密钥的指令（例如：涉及到计算MAC的指令），该指令所需要的密钥未建立，则在当前应用下使用该指令，COS不会使用到其他应用中类型与索引符合该指令要求的密钥，该指令执行应不成功，COS应返回相应的错误返回码。

（Ⅳ）越应用密钥修改的测试。当前应用下修改类型与索引并不存在的密钥，COS不会修改到其他应用中类型与索引相同的密钥，该指令执行应不成功，COS应返回相应的错误返回码。

（Ⅴ）越应用主控密钥使用的测试。在创建某个应用，需要计算MAC时，未使用指定给该应用的主控密钥，则该应用的DDF文件应创建不成功；在创建某个应用下的文件，需要计算MAC时，未使用指定給该应用的主控密钥，则该文件应创建不成功。

在进行安全管理测试之前，首先，对智能卡COS的系统设计文档进行审核，以从系统设计角度，核实当多应用并存时，多应用间的安全管理是否采用了隔离性设计。

所述安全管理测试，是核实多应用环境下，各应用的安全状态独立，相互间不受影响；核实多应用环境下，各应用所处的应用生命周期独立，相互间不受影响。采用下述方法实现：安全状态的独立性测试，检测某个应用下获得的安全状态，在离开该应用进入其他应用后，安全状态失效，即便再次返回该应用，安全状态仍失效；生命周期的独立性测试，检测所有应用中的一个应用完成个人化后，进入用户应用阶段，所设立的安全权限在该阶段生效，对于其他未进入用户应用阶段的应用，所设立的安全权限不会被激活。具体测试的项目如下：

（A）安全状态的有效性测试:在当前应用下通过某种认证（例如：外部认证）获得了安全状态，跳转到其他应用后，该安全状态不被保留，即其他应用下也需要通过相同认证方式方可获得的安全状态未被激活；在当前应用下通过了某种认证（例如：外部认证）获得了安全状态，跳转到其他应用后，再跳转回该应用，该安全状态不被保留；在当前应用下通过了某种认证（例如：外部认证）获得了安全状态，再次进行该种认证，但认证失败，则该安全状态被清除。

（B）生命周期的有效性测试。在当前应用下完成个人化后，进入用户应用阶段，所设立的安全权限在该阶段生效。

（C）在当前应用已无法使用（例如：应用锁定）的情况下，其他应用的使用正常，可获得的安全状态途径不变。

（D）当前应用已进入用户应用阶段，即所设立的安全权限已生效，而其他应用应不会受影响，依然处于各自的原有阶段。

在进行指令管理测试之前，首先，对智能卡COS的系统设计文档进行审核，以从系统设计角度，核实当多应用并存时，多应用间的指令管理是否采用了隔离性设计。

所述指令管理测试，是核实应用中的专有指令以及符合该应用要求的7816指令，只在该应用中有效，各应用间不可通用。采用下述方法实现：指令管理的独立性测试，检测某个应用下只能使用到该应用定义好的专有指令或7816通用指令，在其他应用中使用专有指令则失效，在其他应用中使用7816通用指令，返回结果为当前应用的处理数据，即与该应用无关。具体测试的项目如下：

（a）指令的有效性测试。当前应用的专有指令以及符合该应用要求的7816指令，可在当前应用下正确使用。

（b）其他应用的专有指令不可在当前应用下使用，不符合当前应用要求的7816指令不可在当前应用下使用，COS应返回相应的错误返回码。

下面以金融应用以及全国社保应用为例，对本实施例的安全性测试方法做进一步说明。

请参阅图2所示，包括以下步骤：

（1）审查系统设计文档，从设计角度，对金融应用以及全国社保应用文件结构建立时，系统设计是否采用了独立性存储空间设计进行测试。

（2）对金融应用进行满载数据写入操作，即金融PSE（PSE:名为“1PAY.SYS.DDF01”的DDF）下空间写满,在全国社保以及金融应用下分别进行应用功能操作,测试全国社保应用以及金融应用功能的正常性。

对全国社保应用进行满载数据写入操作，将写入的最后一部分数据量设置成写入的数据总量，超过本应用的满载数据量,测试COS应处理本次数据写入不成功，并返回相应的错误返回码。

对全国社保应用下的一个EF文件的文件链表中的指针信息进行修改（需要在仿真器上构造异常），然后对该文件进行写操作，测试COS应处理本次数据写入不成功，并返回相应的错误返回码。

（3）审查系统设计文档，从设计角度，对金融应用以及全国社保应用文件结构建立时，系统设计对各个应用下文件存储与访问是否采用了隔离性设计进行测试。

（4）分别对金融应用以及全国社保应用下的DDF、ADF以及EF文件进行访问，对各个应用下的文件访问，测试COS应有正确的返回（例如：返回正确的文件控制信息）。

选中金融应用的PSE，使用select（选择文件）指令选择全国社保应用的SSSE(SSSE:名为7378312E73682EC9E7BBE1B1A3D5CF的DDF)，测试COS应处理为不可选中全国社保应用的SSSE，只有从MF（Master File主控文件）开始选或重新上电后方可选中。

选中全国社保应用的SSSE，使用select指令选择金融应用ADF以及EF文件，测试COS应处理越应用选择ADF和EF不成功，并返回相应的错误返回码。

选中金融应用的ADF，使用select指令选择全国社保应用SSSE、ADF以及EF,测试COS应处理越应用选择DDF、ADF以及EF不成功，并返回相应的错误返回码。

选中金融应用的EF，使用select指令选择全国社保应用的SSSE、ADF以及EF，测试COS应处理越应用选择DDF、ADF以及EF不成功，并返回相应的错误返回码。

（5）审查系统设计文档，从设计角度，对金融应用以及全国社保应用并存时，系统设计对各个应用下的密钥管理是否采用了隔离性设计进行测试。

（6）在金融应用以及全国社保应用下各建立一个类型与索引相同，但密钥值不同的密钥（例如：MAC密钥），在金融应用下执行带MAC的指令,测试COS使用的是金融应用下的MAC密钥，而不会使用到全国社保应用下的MAC密钥。

在金融应用以及全国社保应用下各建立一个类型与索引相同，但密钥值不同的密钥（例如：MAC密钥），在社保应用下修改本应用下的MAC密钥，测试COS应修改的是社保应用下的MAC密钥，而不会修改到金融应用下的MAC密钥。

建立MF时，为金融应用以及全国社保应用设置其各自的主控密钥，在分别创建这两个应用需要计算MAC时，测试COS应只识别指定给每个应用的主控密钥；在创建每个应用下的文件，需要计算MAC时，测试COS应也只识别该应用下指定的主控密钥。

在金融应用下建立一个密钥（例如：MAC密钥），而在全国社保应用下没有建立该密钥，在全国社保应用下，执行修改MAC密钥的指令，测试COS应不会修改到金融应用中的MAC密钥，并且由于全国社保应用下无该密钥，测试COS应返回相应的错误返回码。

建立MF时，建立MF时，为金融应用以及全国社保应用设置其各自的主控密钥，在创建全国社保应用需要计算MAC时，使用指定给金融应用的主控密钥，测试COS应处理全国社保应用创建不成功，COS返回相应的错误返回码；当金融应用与全国社保应用均创建成功，在创建金融应用下的ADF或EF文件需要计算MAC时，使用全国社保应用下与指定給该文件相同索引号的主控密钥，测试COS应处理创建文件不成功，COS返回相应的错误返回码。

（7）审查系统设计文档，从设计角度，对金融应用以及全国社保应用并存时，系统设计对各个应用下的安全管理是否采用了隔离性设计进行测试。

（8）在全国社保应用下，通过了某种认证（例如：外部认证）后跳转到金融应用下，执行只有通过外部认证后放可执行的功能指令，测试COS应处理全国社保下的该安全状态未被保留，金融应用下的指令执行不成功，并返回相应的错误返回码。

在全国社保应用下，通过了种认证（例如：外部认证）后跳转到金融应用，再跳转回来，执行通过外部认证后放可执行的功能指令，测试COS应处理全国社保下的该安全状态未被保留，指令返回相应的错误返回码。

在全国社保应用下，通过了某种认证（例如：外部认证）后，再次执行该认证，但认证失败，执行通过外部认证后放可执行的功能指令，测试COS应处理全国社保下的该安全状态被清除，指令返回相应的错误返回码。

在全国社保应用下完成个人化阶段到用户应用阶段的操作，金融应用仍旧处于个人化阶段，测试COS应处理全国社保应用下所设立的安全权限生效，而金融应用不受影响，安全权限依然未生效。

将金融应用以及全国社保应用均进行应用锁定，将全国社保应用解锁，此时，再用select指令选择金融应用，测试COS应处理金融应用依然处于锁定状态，而选择全国社保应用应能正确选中。

金融应用已进入了用户应用阶段，即设立的安全权限已生效，全国社保应用仍处于个人化阶段，则在全国社保应用中进行个人化操作，测试COS应处理全国社保应用中的个人化操作不受安全权限的限制。

（9）审查系统设计文档，从设计角度，对金融应用以及全国社保应用并存时，系统设计对各个应用下的指令管理是否采用了隔离性设计进行测试。

（10）分别在全国社保应用以及金融应用下执行当前应用的专用指令以及符合该应用要求的7816指令，测试COS应能正确执行并处理。

在金融应用下，执行全国社保应用下的专用指令，测试COS应处理执行不成功，并返回相应的错误返回码。

在金融应用下，执行不符合该应用要求，但符合全国社保应用要求的7816指令，测试COS应处理执行不成功，并返回相应的错误返回码。

以上仅列举了本发明的一个实施例，该实施例仅用于解释本发明，并非用于限定本发明。凡与上述实施例等效的变换与置换，均应属于本发明的保护范围。

Claims (15)

1.一种智能卡COS多应用隔离的安全性测试方法，其特征在于，包括：

文件结构测试，核实多应用环境下，各个应用的存储空间独立，相互间无覆盖；

文件管理测试，核实各个应用对于自身的文件存储与访问的正确性，各个应用间不能相互访问；

密钥管理测试，核实各个应用对于密钥使用的独立性，各个应用只能使用或修改本应用中的密钥，而无法使用到其他应用下的密钥；

安全管理测试，核实多应用环境下，各应用的安全状态独立，相互间不受影响；核实多应用环境下，各应用所处的应用生命周期独立，相互间不受影响；

指令管理测试，核实应用中的专有指令以及符合该应用要求的7816指令，只在该应用中有效，各应用间不可通用；

所述文件结构测试，测试的项目如下：

(1)、各个应用所占存储空间的独立性进行测试，要求多应用文件结构建立后，某个应用数据满载之后，不影响其他应用的正常功能，也不影响其他应用的满载；

(2)、对存储空间的边界测试，对某个应用进行满载数据写入操作，将写入的最后一部分数据量设置成写入的数据总量，超过本应用的满载数据量，要求COS处理本次数据写入不成功，并返回相应的错误返回码，即应用不可越界；

(3)、文件链表异常保护测试，在某个应用下，对某个文件的文件链表进行修改，然后对该文件进行写操作，COS处理本次数据写入不成功，并返回相应的错误返回码,即写操作不会越界到其他应用中。

2.如权利要求1所述的方法，其特征在于：在实施所述文件结构测试之前，审核智能卡COS的系统设计文档，检查多应用文件结构建立时，系统设计中是否采用了独立性存储空间设计。

3.如权利要求1或2所述的方法，其特征在于：所述文件结构测试，采用如下方法测试，对各个应用所占存储空间的独立性测试，检测某个应用所能使用到的存储空间不会越界到其他应用的存储空间，即只能使用到为该应用定义好的存储空间。

4.如权利要求1所述的方法，其特征在于：在实施所述文件管理测试之前，审核智能卡COS的系统设计文档，检查系统设计中对于多应用间的文件存储与访问是否采用了隔离性设计。

5.如权利要求1或4所述的方法，其特征在于：所述文件管理测试，采用如下方法测试，检测某个应用只能访问到本应用下的目录定义文件DDF、应用数据文件ADF和基本文件EF文件，而无法访问到其他应用下的目录定义文件DDF、应用数据文件ADF和基本文件EF文件。

6.如权利要求5所述的方法，其特征在于，所述文件管理测试，测试项目如下：

(ⅰ)、对于各个应用的目录定义文件DDF、应用数据文件ADF和基本文件EF文件访问的正确性测试；要求访问后能正确的选中文件，并返回正确的信息；

(ⅱ)、对于越应用访问文件的测试，要求COS禁止越应用进行目录定义文件DDF、应用数据文件ADF和基本文件EF文件的访问，并返回相应的错误返回码。

7.如权利要求1所述的方法，其特征在于：在实施所述密钥管理测试之前，审核智能卡COS的系统设计文档，检查系统设计中对于多应用间的密钥管理是否采用了隔离性设计。

8.如权利要求1或7所述的方法，其特征在于，所述密钥管理测试，采用如下方法测试，检测各个应用只能使用或修改自身的密钥，即无法使用或修改到其他应用的密钥；检测各个应用创建文件和追加密钥中MAC计算使用的主控密钥独立，即各应用只能使用到自己的主控密钥，无法使用到其他应用的主控密钥。

9.如权利要求8所述的方法，其特征在于，所述密钥管理测试，测试项目如下：

(Ⅰ)、密钥使用的正确性测试，各个应用间若有类型与索引相同的密钥，则在当前应用下只能使用或修改本应用中的密钥；

(Ⅱ)、多主控密钥使用的正确性测试，在创建各个应用，需要计算MAC时，只能使用指定给该应用的主控密钥，在创建各个应用下的文件，需要计算MAC时，也只能使用该应用下指定的主控密钥；

(Ⅲ)、越应用密钥使用的测试，当前应用下涉及到使用密钥的指令，该指令所需要的密钥未建立，则在当前应用下使用该指令，COS不会使用到其他应用中类型与索引符合该指令要求的密钥，该指令执行应不成功，COS应返回相应的错误返回码；

(Ⅳ)、越应用密钥修改的测试，当前应用下修改类型与索引并不存在的密钥，COS不会修改到其他应用中类型与索引相同的密钥，该指令执行应不成功，COS应返回相应的错误返回码；

(Ⅴ)、越应用主控密钥使用的测试，在创建某个应用，需要计算MAC时，未使用指定给该应用的主控密钥，则该应用的DDF文件应创建不成功；在创建某个应用下的文件，需要计算MAC时，未使用指定給该应用的主控密钥，则该文件应创建不成功。

10.如权利要求1所述的方法，其特征在于：在实施所述安全管理测试之前，审核智能卡COS的系统设计文档，检查系统设计中对于多应用间的安全管理是否采用了隔离性设计。

11.如权利要求1或10所述的方法，其特征在于：所述安全管理测试，采用如下方法测试，安全状态的独立性测试，检测某个应用下获得的安全状态，在离开该应用进入其他应用后，安全状态失效，即便再次返回该应用，安全状态仍失效；生命周期的独立性测试，检测所有应用中的一个应用完成个人化后，进入用户应用阶段，所设立的安全权限在该阶段生效，对于其他未进入用户应用阶段的应用，所设立的安全权限不会被激活。

12.如权利要求11所述的方法，其特征在于：所述安全管理测试，测试项目如下：

(A)、安全状态的有效性测试，在当前应用下通过认证获得了安全状态，跳转到其他应用后，该安全状态不被保留，即其他应用下也需要通过相同认证方式方可获得的安全状态未被激活；在当前应用下通过了认证获得了安全状态，跳转到其他应用后，再跳转回该应用，该安全状态不被保留；在当前应用下通过了认证获得了安全状态，再次进行该种认证，但认证失败，则该安全状态被清除；

(B)、生命周期的有效性测试，在当前应用下完成个人化后，进入用户应用阶段，所设立的安全权限在该阶段生效；

(C)、在当前应用已无法使用的情况下，其他应用的使用正常，获得的安全状态途径不变；

(D)、当前应用已进入用户应用阶段，即所设立的安全权限已生效，而其他应用应不会受影响，依然处于各自的原有阶段。

13.如权利要求1所述的方法，其特征在于：在实施所述指令管理测试之前，审核智能卡COS的系统设计文档，检查系统设计中对于多应用间的指令管理是否采用了隔离性设计。

14.如权利要求1或13所述的方法，其特征在于：所述指令管理测试，采用如下方法测试，指令管理的独立性测试，检测某个应用下只能使用到该应用定义好的专有指令或7816通用指令，在其他应用中使用专有指令则失效，在其他应用中使用7816通用指令，返回结果为当前应用的处理数据，即与该应用无关。

15.如权利要求14所述的方法，其特征在于，所述指令管理测试，测试项目如下：

(a)、指令的有效性测试，当前应用的专有指令以及符合该应用要求的7816指令，在当前应用下正确使用；

(b)、其他应用的专有指令不能在当前应用下使用，不符合当前应用要求的7816指令不能在当前应用下使用，COS应返回相应的错误返回码。