CN105813060A - 一种获取虚拟用户身份的方法及装置 - Google Patents

Abstract

本发明涉及一种获取虚拟用户身份的方法及装置，涉及通信技术领域。其中，获取方法包括生成步骤、请求步骤、获取步骤及鉴权步骤。其中，生成步骤包括在TEE中生成公钥与存储在该TEE中的私钥；请求步骤包括向虚拟运营商服务器发送下载号卡资源的请求及上传生成步骤生成的公钥；获取步骤包括接收虚拟运营商服务器基于上传的公钥进行加密的号卡资源，在TEE中基于存储的私钥对接收到的号卡资源进行解密，并将解密之后的号卡资源存储在该TEE中；鉴权步骤包括在TEE中基于接收到的鉴权参数与存储在该TEE中的号卡资源对终端用户的接入身份进行鉴权。有效确保号卡资源安全及获取过程的安全性。

Description

一种获取虚拟用户身份的方法及装置

技术领域

本发明涉及通信技术领域，特别涉及一种获取虚拟用户身份的方法及装置。

背景技术

用户身份识别模块（SubscriberIdentityModule，SIM），通常称为“SIM卡”，作为整个GSM系统中唯一确认用户身份的设备，使其成为向网络表明用户合法身份的重要工具。通常为带有微处理器的芯片，用于存储用户信息、加密密钥等，以及提供入网的身份鉴权并对用户的语音信息进行加密处理。

当一张SIM卡从一个地区漫游至另一个地区时，会产生高昂的漫游费，为了减少由此产生的漫游费，通常会选择使用漫游所在地的SIM卡，现在还可以使用Softsim，即虚拟SIM卡。

对于虚拟SIM卡，用户无需在手机上装入漫游所在地的SIM卡，只需在手机中装入客户端应用程序SoftsimAPP，在到达漫游所在地后，通过通信数据通道，从虚拟运营商服务器上下载包含加密算法、加密算法密钥、IMSI的号卡资源，并对终端用户的接入身份进行鉴权，以获取虚拟用户身份识别，从而拥有漫游所在地的号码，有效地降低用户的漫游费用。

但是，现有虚拟SIM卡的获取过程直接运行在Android等普通操作系统中，导致其存储与运行均存在安全风险，难以满足终端用户在获取虚拟用户身份识别过程对安全性的要求。

发明内容

本发明的主要目的是提供一种获取虚拟用户身份的方法；

本方明的另一目的是提供一种获取虚拟用户身份的装置。

为了实现上述主要目的，本发明提供的获取虚拟用户身份的方法包括生成步骤、请求步骤、获取步骤及鉴权步骤。其中，生成步骤包括在TEE中生成公钥与存储在该TEE中的私钥；请求步骤包括向虚拟运营商服务器发送下载号卡资源的请求及上传生成步骤生成的公钥；获取步骤包括接收虚拟运营商服务器基于上传的公钥进行加密的号卡资源，在TEE中基于存储的私钥对接收到的号卡资源进行解密，并将解密之后的号卡资源存储在该TEE中；鉴权步骤包括在TEE中基于接收到的鉴权参数与存储在该TEE中的号卡资源对终端用户的接入身份进行鉴权。

由以上方案可见，由于在TEE中生成公钥与私钥，对号卡资源进行解密，私钥与解密后的号卡资源存储在该TEE中，且终端设备中的鉴权过程在该TEE中进行，有效地确保整个获取虚拟用户身份过程的安全性，有效的确保号卡资源的安全性。

具体的方案为生成步骤包括：客户端应用接收到下载号卡资源的请求，触发安全操作，从REE切换至TEE，运行在TEE下的可信操作系统执行与客户端应用对应的第一可信应用，第一可信应用执行公钥加密算法生成公钥与私钥，并将公钥传给客户端应用，及将私钥存储在被标识为可信执行状态的存储单元中。

更具体的方案为获取步骤包括：接收虚拟运营商服务器基于公钥进行加密的号卡资源；客户端应用将号卡资源传给第一可信应用，第一可信应用使用私钥对经加密的号卡资源进行解密，获取解密后的号卡资源，并将解密后的号卡资源存储在被标识为可信执行状态的存储单元中。

优选的方案为鉴权步骤包括：客户端应用接收激活虚拟用户身份识别卡的请求；触发安全操作，从REE切换到TEE，运行在TEE下的可信操作系统执行与该客户端应用相对应的第二可信应用；第二可信应用通过基带接收核心网发送的鉴权参数；第二可信应用基于鉴权参数执行鉴权算法计算出SRES，并将SRES与从解密后的号卡资源中提取的IMSI通过基带返回给核心网。

更优选的方案为号卡资源包括国际移动客户识别码、鉴权秘钥、运营商密钥及鉴权算法。第二可信应用基于鉴权参数执行鉴权算法A3A5计算出SRES。鉴权参数包括随机参数与鉴权标记。

为了实现上述另一目的，本发明提供的获取虚拟用户身份的装置包括生成单元、请求单元、获取单元及鉴权单元。其中，生成单元用于在TEE中生成公钥与存储在该TEE中的私钥；请求单元用于向虚拟运营商服务器发送下载号卡资源的请求及上传生成单元生成的公钥；获取单元用于接收虚拟运营商服务器基于接收到的公钥进行加密的号卡资源，在TEE中基于私钥对接收到的号卡资源进行解密，并将解密后的号卡资源存储在该TEE中；鉴权单元用于在TEE中基于接收到的鉴权参数与存储在该TEE中的号卡资源对终端用户的接入身份进行鉴权。

具体的方案为生成单元包括第一接收模块、生成模块与第一操作模块。第一接收模块用于接收下载号卡资源的请求。生成模块用于在TEE中，执行公钥加密算法生成公钥与私钥。第一操作模块用于将私钥存储在被标识为可信执行状态的存储单元中。

更具体的方案为获取单元包括第二接收模块、解密模块与第二操作模块。第二接收模块用于接收虚拟运营商服务器基于公钥进行加密的号卡资源。解密模块用于使用私钥对第一接收模块接收的号卡资源进行解密。第二操作模块用于将解密模块解密得到的号卡资源存储在被标识为可信执行状态的存储单元中。

优选的方案为鉴权单元包括第三接收模块、处理模块及传输模块。第三接收模块用于接收核心网通过基带传输的鉴权参数。处理模块用于在TEE中，基于鉴权参数，执行鉴权算法获得SRES。传输模块用于将SRES及从解密后的号卡资源中提取的IMSI通过基带返回给核心网。

更优选的方案为号卡资源包括国际移动客户识别码、鉴权秘钥、运营商密钥及鉴权算法。处理模块基于鉴权参数，执行鉴权算法A3A5获得SRES。鉴权参数包括随机参数与鉴权标记。

附图说明

图1是本发明获取虚拟用户身份的方法实施例的工作流程图;

图2是本发明获取虚拟用户身份的装置实施例的结构框图。

以下结合具体实施例及其附图对本发明作进一步的说明。

具体实施方式

本具体实施方式中的移动终端设备可支持两种运行环境，分别为普通执行环境（RichExecutionEnvironment，REE）与可信执行环境（TrustedExecutionEnvironment，TEE），本实施例基于ARM的Trustedzone技术提供可执行环境，且安装有运行在普通执行环境中的客户端应用程序SoftsimAPP。

获取虚拟用户身份的方法实施例

参见图1，获取虚拟用户身份的方法由生成步骤S1、请求步骤S2、获取步骤S3及鉴权步骤S4构成。

生成步骤S1，在可信执行环境中生成公钥与私钥，并将私钥存储在该可信执行环境中。

当用户达到漫游所在地后，用户操作SoftsimAPP主动触发安全操作流程，从REE切换至TEE，运行在TEE下的可信操作系统（TrustedOS）执行与SoftsimAPP对应的第一可信应用（TrustedApplication，TA），第一可信应用执行RSA公钥加密算法生成密钥对--公钥（RSAPublicKey）与私钥（RSAPrivateKey），RSAPrivateKey保留在第一可信应用中，即存储在只能由可信操作系统进行访问的被标识为可信执行状态的存储单元中，并将RSAPublicKey传至SoftsimAPP。

请求步骤S2，向虚拟运营商服务器发送下载号卡资源的请求及上传由生成步骤S1中生成的公钥。

SoftsimAPP通过通信数据通道向虚拟运营商（VirtualNetworkOperator，VNO）的服务器请求获取号卡资源，并将公钥发送给虚拟运营商服务器。

号卡资源中包括了虚拟用户身份识别卡的信息。

虚拟运营商服务器在接收到请求及公钥后，对包括国际移动客户识别码ISMI、鉴权密钥Ki、运营商密钥Opc、鉴权算法的号卡资源全部使用公钥进行RSA加密生成密文，并将加密之后的号卡资源通过通信数据通道发送至SoftsimAPP。

获取步骤S3，接收虚拟运营商服务器基于公钥进行加密的号卡资源，在TEE中，基于存储在TEE中的私钥对接收到的号卡资源进行解密，并将解密之后的号卡资源存储在该TEE中，即存储在被标识为可信执行状态的存储单元中。

SoftsimAPP在接收到经加密的号卡资源后，将其传至第一可信应用，第一可信应用使用私钥对加密的号卡资源进行RSA解密，将密文解密为明文，从中得到号卡资源，并将号卡资源存储在TEE中。

鉴权步骤S4，当接收到激活虚拟SIM卡的指令后，在TEE中，基于接收到的鉴权参数与存储在该TEE中的号卡资源对终端用户的接入身份进行鉴权。

当要激活虚拟SIM卡时，用户操控SoftsimAPP主动触发安全流程，从REE切换到TEE，运行在TEE下的可信操作系统(TrustedOS)执行与SoftsimAPP对应的第二可信应用。

当收到核心网的鉴权请求时，核心网通过基带将鉴权参数传递给第二可信应用。第二可信应用从存储在TEE中的号卡资源中提取IMSI,结合收到鉴权参数，如鉴权标记AUTN与随机参数RAND，采用USIM/SIM鉴权算法A3A5，计算出响应结果SRES及其他K值，并将IMSI、SRES及其他K值通过基带返回给核心网。

核心网收到IMSI、SRES及其他K值后，进行鉴权。

获取虚拟用户身份的装置实施例

参见图2，获取虚拟用户身份的装置1包括生成单元10、请求单元11、获取单元12及鉴权单元13。

生成单元10用于在TEE中生成公钥与存储在TEE中的私钥，包括第一接收模块、生成模块与第一操作模块。

第一接收模块用于接收下载号卡资源的请求；生成模块用于在可信执行环境中执行RSA公钥加密算法生成密钥对--公钥与私钥；第一操作模块用于将私钥存储在该可信执行环境中，即存储在被标识为可信执行状态的存储单元中。

请求单元11用于向虚拟运营商服务器发送下载号卡资源的请求及上传公钥，包括请求模块与上传模块。

请求模块用于通过通信数据通道向虚拟运营商服务器发送下载号卡资源的请求，号卡资源包括国际移动客户识别码ISMI、鉴权密钥Ki、运营商密钥Opc、鉴权算法；上传模块用于将生成单元10生成的公钥上传给虚拟运营商服务器，以供虚拟运营服务器基于该公钥对请求模块请求的号卡资源进行RSA加密。

获取单元12用于接收虚拟运营商服务器基于公钥进行加密的号卡资源，在TEE中，基于私钥对接收到的号卡资源进行解密，并将解密之后的号卡资源存储在该TEE中；其包括第二接收模块、解密模块及第二操作模块。

第二接收模块用于通过通信数据通道接收虚拟运营商服务器发送的经RSA加密之后的号卡资源；解密模块用于在TEE环境中基于存储在该TEE中的私钥，对接收到的号卡资源进行RSA解密；第二操作模块用于将解密后的号卡资源存储在该TEE中，即存储在被标识为可信执行状态的存储单元中。

鉴权单元13用于当接收到激活虚拟SIM卡的指令后，在TEE中基于接收到的鉴权参数与存储在该TEE中的号卡资源对终端用户的接入身份进行鉴权；其包括第三接收模块、处理模块及传输模块。

第三接收模块用于接收激活虚拟SIM卡的指令及核心网通过基带传输的鉴权参数；处理模块用于在TEE中，基于接收到的鉴权参数与存储在该TEE中的号卡资源，采用USIM/SIM鉴权算法A3A5，计算出SRES及其他K值；传输模块用于将IMSI、SRES及其他K值通过基带返回给核心网。

本发明的主要构思是通过在TEE中实现获取虚拟用户身份的过程及将号卡资源存储在该TEE中，有效地确保号卡资源的安全及获取虚拟用户身份过程的安全性，根据本构思，生成公钥与私钥的算法还有多种显而易见的变化，进行鉴权的方法还有多种显而易见的变化。

Claims (10)

1.一种获取虚拟用户身份的方法，其特征在于，包括：

生成步骤，在可信执行环境中生成公钥与私钥，所述私钥存储在所述可信执行环境中；

请求步骤，向虚拟运营商服务器发送下载号卡资源的请求及上传所述公钥；

获取步骤，接收所述虚拟运营商服务器基于所述公钥进行加密的号卡资源，在所述可信执行环境中基于所述私钥对接收到的号卡资源进行解密，并将解密后的号卡资源存储在所述可信执行环境中；

鉴权步骤，在所述可信执行环境中，基于接收到的鉴权参数与存储在所述可信执行环境中的号卡资源对终端用户的接入身份进行鉴权。

2.根据权利要求1所述获取虚拟用户身份的方法，其特征在于，所述生成步骤包括：

客户端应用接收下载号卡资源的请求；

触发所述可信执行环境下的可信操作系统执行与所述客户端应用对应的第一可信应用；

所述第一可信应用执行公钥加密算法生成所述公钥与所述私钥，并将所述公钥传给所述客户端应用，将所述私钥存储在被标识为可信执行状态的存储单元中。

3.根据权利要求2所述获取虚拟用户身份的方法，其特征在于，所述获取步骤包括：

接收所述虚拟运营商服务器基于所述公钥进行加密的号卡资源；

所述客户端应用将所述加密的号卡资源传给所述第一可信应用；

所述第一可信应用使用所述私钥对所述加密的号卡资源进行解密，获取解密后的号卡资源，并将所述解密后的号卡资源存储在被标识为可信执行状态的存储单元中。

4.根据权利要求1至3任一项所述获取虚拟用户身份的方法，其特征在于，所述鉴权步骤包括：

客户端应用接收激活虚拟用户身份识别卡的请求；

触发运行在所述可信执行环境下的可信操作系统执行与该客户端应用相对应的第二可信应用；

所述第二可信应用通过基带接收核心网发送的所述鉴权参数；

所述第二可信应用基于所述鉴权参数执行鉴权算法计算出响应结果，并将所述响应结果与从所述解密后的号卡资源中提取的国际移动客户识别码通过基带返回给所述核心网。

5.根据权利要求4所述获取虚拟用户身份的方法，其特征在于：

号卡资源包括国际移动客户识别码、鉴权秘钥、运营商密钥及鉴权算法；

所述第二可信应用基于所述鉴权参数执行鉴权算法A3A5计算出所述响应结果；

所述鉴权参数包括随机参数与鉴权标记。

6.一种获取虚拟用户身份的装置，

其特征在于，包括：

生成单元，用于在可信执行环境中生成公钥与存储在所述可信执行环境中的私钥；

请求单元，用于向虚拟运营商服务器发送下载号卡资源的请求及上传所述公钥；

获取单元，用于接收所述虚拟运营商服务器基于所述公钥进行加密的号卡资源，在所述可信执行环境中基于所述私钥对接收到的号卡资源进行解密，将解密后的号卡资源存储在所述可信执行环境中；

鉴权单元，用于在所述可信执行环境中基于接收到的鉴权参数与存储在所述可信执行环境中的号卡资源对终端用户的接入身份进行鉴权。

7.根据权利要求6所述获取虚拟用户身份的装置，其特征在于：

所述生成单元包括第一接收模块、生成模块与第一操作模块；

所述第一接收模块用于接收下载号卡资源的请求；

所述生成模块用于在所述可信执行环境中，执行公钥加密算法生成所述公钥与所述私钥；

所述第一操作模块用于将所述私钥存储在被标识为可信执行状态的存储单元中。

8.根据权利要求7所述获取虚拟用户身份的装置，其特征在于：

所述获取单元包括第二接收模块、解密模块与第二操作模块；

所述第二接收模块用于接收所述虚拟运营商服务器基于所述公钥进行加密的号卡资源；

所述解密模块用于使用所述私钥对所述第二接收模块接收的号卡资源进行解密；

所述第二操作模块用于将所述解密模块解密得到的号卡资源存储在被标识为可信执行状态的存储单元中。

9.根据权利要求6至8任一项所述获取虚拟用户身份的装置，其特征在于：

所述鉴权单元包括第三接收模块、处理模块及传输模块；

所述第三接收模块用于接收核心网通过基带传输的所述鉴权参数；

所述处理模块用于在所述可信执行环境中，基于所述鉴权参数，执行鉴权算法获得响应结果；

所述传输模块用于将所述响应结果及从所述解密后的号卡资源中提取的国际移动客户识别码通过基带返回给所述核心网。

10.根据权利要求9所述获取虚拟用户的装置，其特征在于：

号卡资源包括国际移动客户识别码、鉴权秘钥、运营商密钥及鉴权算法；

所述处理模块基于所述鉴权参数，执行鉴权算法A3A5获得所述响应结果；

所述鉴权参数包括随机参数与鉴权标记。