CN105814540B - 用于策略控制功能管理机制的系统和方法 - Google Patents

Abstract

本发明公开了一种用于验证和应用对站点的策略控制功能(PCF)的修改的系统和方法。该方法包括：生成包括对PCF的修改的PCF分组，以及确定该PCF分组是否要由第一实体或第二实体传输至站点。该方法进一步包括：当PCF分组要由第一实体传输时，将该第一实体的第一签名包括在PCF分组的递送者字段中，并且当PCF分组要由第二实体传输时，将该第一签名包括在所有者字段中并将第二实体的第二签名包括在递送者字段中。该方法进一步包括从第一实体或第二实体接收PCF分组，确定PCF分组是否有效，以及在确定PCF分组有效时应用修改。

Description

用于策略控制功能管理机制的系统和方法

优先权请求/以引用方式并入

本专利申请要求于2013年11月21日提交的标题为“System and Method forPolicy Control Functions Management Mechanism”的美国临时专利申请61/907,047的优先权，该美国临时专利申请的全部内容以引用方式并入本文。

技术领域

本公开涉及用于策略控制功能管理机制的系统和方法。

背景技术

站点可包括决定其中该站点被允许在平台层上进行操作的设置的各种策略控制功能。例如，策略控制功能可以是针对可被存储的最大数量的应用程序的设置。策略控制功能可被初始预加载并且也可随后被修改。例如，另一策略控制功能可被添加，现有策略控制功能可被更改，或者现有策略控制功能可被删除。由于策略控制功能的安全等级，仅被授权实体被赋予对策略控制功能进行修改的访问权限。

发明内容

第一示例性实施方案包括由与第一实体相关联的网络部件执行的一种方法。该方法包括：生成包括对与站点相关联的策略控制功能(PCF)的修改的PCF分组；以及确定PCF分组是否要由第一实体和第二实体中的一者传输至站点。该方法进一步包括：当确定PCF分组要由第一实体传输时，将指示第一实体的第一签名包括在PCF分组的递送者字段中；并且当确定PCF分组要由第二实体传输时，将第一签名包括在PCF分组的所有者字段中。

另一示例性实施方案包括由站点执行的一种方法。该方法包括：从第一实体和第二实体中的一者接收策略控制功能(PCF)分组，该PCF分组包括对与站点相关联的PCF的修改；基于PCF分组中的第一实体的第一签名或PCF分组中的第二实体的第二签名中的一者来确定PCF分组是否有效；当确定PCF分组有效时，将修改应用于PCF；当确定PCF分组无效时，丢弃PCF分组。

另一个示例性实施方案包括具有处理器和非暂态计算机可读存储介质的站点，该非暂态计算机可读存储介质包括可由处理器执行的指令集。执行指令集使得处理器执行操作，该操作包括：从第一实体和第二实体中的一者接收策略控制功能(PCF)分组，该PCF分组包括对与站点相关联的PCF的修改，该第一实体被允许修改PCF并且被允许将PCF分组传输至第二实体和将PCF分组传输至站点中的一者，该第二实体被允许将PCF分组传输至站点；确定(1)PCF分组的递送者字段是否包括指示第一实体的第一签名，或者(2)PCF分组的所有者字段是否包括第一签名中的一者，以及递送者字段是否包括指示第二实体的第二签名；以及当(1)PCF分组是从第一实体接收的并且递送者字段中的第一签名是至少一个有效第一签名中的一个有效第一签名，或者(2)PCF分组是从第二实体接收的，所有者字段中的第一签名是至少一个有效第一签名中的一个有效第一签名并且递送者字段中的第二签名是至少一个有效第二签名中的一个有效第二签名中的一者发生时，将修改应用于PCF。

附图说明

图1示出了被配置为生成和提供PCF分组的示例性分发布置。

图2示出了根据示例性实施方案的示例性PCF分组。

图3示出了包括可根据本文所述的示例性实施方案进行管理的一个或多个PCF的示例性站点。

图4示出了用于生成用于向站点递送的PCF分组的第一示例性方法。

图5示出了用于确定由站点接收的PCF分组的有效性的第二示例性方法。

图6示出了可用于验证PCF分组的PCF数据库的示例性实施方案。

具体实施方式

参考以下描述及相关的附图可进一步理解示例性实施方案，其中类似的元件具有相同的参考标号。示例性实施方案涉及一种用于策略控制功能(PCF)管理机制的系统和方法。具体地，示例性系统和方法提供了在安全元件诸如通用集成电路卡(UICC)或嵌入式安全元件上管理和更新PCF的一组规则。示例性系统和方法中的这些规则利用来自PCF的所有者的签名、或者来自PCF的递送者的签名、或者两者。这些签名验证向站点递送的PCF是有效的而被应用。下文中将更加详细地描述PCF、规则、安全元件或UICC、验证、以及相关方法。

在站点被部署之前，站点可被预先配置。例如，站点可具有包括在部署之前安装的操作系统的预先确定的应用程序。又如，站点可具有用于在平台层处实施规则和行为的PCF(例如操作系统)。PCF可决定操作系统被配置为进行操作的方式。PCF可指示行为是被允许还是不被允许。例如，PCF可以是指示可被存储在站点的UICC或嵌入式安全元件上的最大数量的应用程序的设置。

由于PCF涉及操作系统被允许进行操作的基础方式，因此PCF可仅由经验证的实体来修改。一个此类实体可以是代表被允许设置PCF的实体的所有者。该所有者可以是监管PCF被设置的方式的管理实体。所有者可最初在部署之前将预先确定的PCF预加载到站点上。在部署之后，PCF可被所有者修改。为了使站点应用经修改的PCF，站点从所有者或者从被委派向被部署站点提供PCF的职责的另一实体诸如递送者接收PCF。

甚至在由被部署站点接收到PCF之后，也必须通过确定PCF是否已由有效所有者修改和/或已由有效递送者递送来验证PCF的有效性。因此，站点还可利用相应类型的PCF的有效所有者和有效递送者的数据库的PCF而被预加载。PCF可以是其中仅所有者的子集被设置作为被允许修改由PCF所决定的设置的的有效所有者的一种特定类型。PCF也可以是其中仅递送者的子集被设置作为被允许向被部署站点传输PCF的有效递送者的一种特定类型。使用该数据库，被部署站点可确定PCF是否已由有效所有者修改和/或已从有效递送者接收。具体地，根据示例性系统和方法，所有者的签名和/或递送者的签名可用作确定有效性的基础。

图1示出了被配置为生成和提供PCF分组的示例性分发布置100。示例性PCF分组可包括对PCF的修改以及验证信息(例如，一个或多个签名)。该分发布置100可代表任何网络布置，以用于供有效所有者修改PCF、供有效所有者生成包括所有者签名的PCF分组、供有效所有者将PCF分组传输至被部署站点或者将PCF分组提供至递送者以向包括递送者签名的被部署站点进行传输、以及供被部署站点接收PCF分组以进一步处理。分发布置100可包括第一所有者105、第二所有者110、第一递送者115、第二递送者120、网络125、第一站点130、第二站点135、和第三站点140。

如上所述，第一所有者105和第二所有者110可以是被允许修改PCF的实体。出于示例性的目的，在图1中仅示出了两个所有者。然而本领域的技术人员将理解，任意数量的所有者可被包括在分发布置100中。第一所有者105和第二所有者110可各自被指派以相应类型的PCF进行管理。例如，当存在五个不同类型的PCF要管理时，第一所有者105可仅被指派以第一子集，并且第二所有者110也可仅被指派以第二子集。然而，应当指出的是，任何所有者都可被允许修改PCF的整个集合。第一子集和第二子集彼此可以是排他性的或可重叠。例如，当子集是排他性的情况下，第一所有者105可被允许修改PCF中的三个PCF，而第二所有者110可被允许修改PCF中的其余两个PCF。又如，当子集是重叠的情况下，第一所有者105可被允许修改PCF中的四个PCF，而第二所有者110可被允许修改PCF中的包括PCF中的剩余一个PCF的三个PCF，使得PCF中的两个PCF可由第一所有者105和第二所有者110两者进行修改。

应当指出的是，图1所示的网络125可代表其他部件(例如站点130，135，140、所有者105，110以及递送者115和120)可连接到的任何网络或一系列网络。例如，站点130，135和140可以是连接到由蜂窝通信服务商(例如Verizon、AT&T、Sprint、T-Mobile等)提供的蜂窝网络(例如长期演进(LTE)网络)的智能电话。蜂窝网络可包括多个部件，诸如基站(例如演进Node B)、网关、蜂窝核心网等。蜂窝网络还可允许站点130，135和140连接到其他网络，诸如公共互联网、其他服务商的蜂窝网络等。因此，站点130，135和140可连接到位于蜂窝网络内或者位于蜂窝网络允许站点130，135，140连接到的任何其它网络内的其他设备。类似地，所有者和递送者也可连接到这些网络中的任何网络。因此，所有者和递送者可被理解为包括执行本文所述的功能而必需的任何部件。例如，所有者和递送者可包括网络部件，诸如服务器、数据库、通信布置、交换机等。因此，网络125应被理解为包括允许这些部件连接的任何方式。

图2示出了示例性PCF分组200。示例性PCF分组200包括标头210和主体240。标头210可包括所有者签名220和递送者签名230。标头210还可包括附加信息，诸如目的地、来源、关于PCF的信息(例如PCF版本、修改历史等)。在这个示例中，所有者签名220已被填充以“所有者1”的签名，并且递送者签名230已被填充以“递送者2”的签名。这个示例将通过下文所述的一个或多个示例来完成。主体240可包括要应用于PCF的修改。应当指出的是，PCF分组200仅是示例性的，并且可存在其他方式来向被部署站点提供PCF修改(例如以要从FTP服务器检索的文件的形式，作为自含式可执行文件，作为URL链接等)。还应该指出的是，PCF修改可以是对现有PCF的改变、新的PCF、删除现有PCF的指令、或者对被部署PCF的任何改变、添加、删除。

当第一所有者105或第二所有者110修改PCF时，第一所有者105或第二所有者110可将所有者签名包括在PCF分组200的所有者签名字段220中。所有者签名可被应用在包括PCF分组200的数据上。当在分发之前被包括在PCF分组200中时，所有者签名字段220和递送者字段230被用于设置或更新PCF的所有者和/或递送者。除了所有者签名之外，在分发之前可能在PCF分组200中需要递送者签名。递送者签名可被应用在包括可选的所有者签名的包括PCF分组200的数据上。因此，当第一所有者105或第二所有者110也向站点130，135，140分发PCF分组200时，所有者签名可被包括在递送者签名字段230中。在此类情形下，可忽略所有者签名，即所有者签名可不被附加到PCF分组200。然而应该指出的是，在所有者分发PCF分组200时，所有者签名也可存在并被填充在所有者签名字段220和递送者签名字段230两者中。

如上所述，第一递送者115和第二递送者120可以是从所有者(例如第一所有者105和第二所有者110)接收PCF分组200的实体。在此类情形下，第一所有者105和第二所有者110可包括在PCF分组200上计算的所有者签名，并在向第一递送者115或第二递送者120传输PCF分组200之前将其附加到PCF分组200(例如在所有者签名字段220中)。第一递送者115和第二递送者120也可被允许向站点(例如第一站点130、第二站点135、和第三站点140)分发PCF分组200。即，第一递送者115和第二递送者120可以是被允许执行该递送功能的被委派实体。出于示例性目的，在图1中仅示出了两个递送者。然而本领域的技术人员将理解，任意数量的递送者可被包括在分发布置100中。以与第一所有者105和第二所有者110可被指派以相应类型的PCF进行管理的基本上类似的方式，第一递送者115和第二递送者120也可被指派以相应类型的PCF进行传输。

当第一递送者115和第二递送者120从所有者接收PCF分组200时，第一递送者115和第二递送者120的相应递送者签名可在PCF分组200上被计算并在向站点130，135，140传输PCF分组200之前被附加到PCF分组(例如在递送者签名字段230中)。应该指出的是，描述了递送者签名可被计算。这意味着附加到PCF分组的签名可使用例如密钥类型的加密算法或用于计算签名的任何其他类型的算法来计算，使得签名是私有的并且仅预期的接收者(例如站点130，135，140)可对签名进行解密。因此，图2中对于递送者签名字段230中的简单的电子签名的图示仅被用作示例，因为设想实际的签名将被加密，但并非必须要加密。这同样适用于所有者签名。

PCF分组200可首先由第一所有者105或第二所有者110生成。如果第一所有者105或第二所有者110也被配置为向第一站点130、第二站点135、和第三站点140分发PCF分组200，则可使用所有者验证密钥来计算递送者签名，同时可省略所有者签名。在这种情形下，可仅依赖于递送者签名来确定PCF分组200的有效性。如下文中将更加详细所述的，对所有者签名字段220中的所有者签名的省略仍然可使得站点130，135，140能够验证PCF分组200。如果第一递送者115或第二递送者120被配置为分发PCF分组200，则第一所有者105和第二所有者110可在向递送者传输PCF分组200之前附加所有者签名。随后，可附加用于识别相应递送者的递送者签名。在这种情形下，可依赖于所有者签名和递送者签名来确定PCF分组200的有效性。

在利用第一递送者115或第二递送者120时，第一所有者105或第二所有者110可以多种方式来将具有所有者签名字段220中的所有者签名的PCF分组200提供给递送者。在第一示例中，第一所有者105和第二所有者110可建立与网络125(例如互联网)的连接，以向也已建立与网络125的连接的第一递送者115和第二递送者120传输PCF分组200。在第二示例中，第一所有者105和第二所有者110可使用任何数据传送硬件(例如闪存驱动器)来向递送者提供PCF分组200。在第三示例中，第一所有者105或第二所有者110可建立与第一递送者115或第二递送者120的专用连接诸如VPN或对等连接。

一旦第一递送者115或第二递送者120已接收到PCF分组200，第一递送者115或第二递送者120便可通过向第一站点130、第二站点135、和第三站点140分发数据来传输PCF分组200。例如，第一站点130、第二站点135、和第三站点140可已建立与网络125的无线连接，以用于执行对PCF分组200的传输。如下文中将更加详细所述的，第一站点130、第二站点135、和第三站点140可在将修改应用于PCF之前执行初始检验，以确定PCF分组200的有效性。

应当指出的是，所有者签名和递送者签名仅可由相应实体附加。即，所有者仅可附加其相应的所有者签名，而递送者仅可附加其递送者签名。这可提供安全机制来确保仅被授权实体向站点130，135，140提供PCF分组200。因此，递送者仅可将递送者签名包括在递送者签名字段230中，而不能更改所有者签名字段220中的所有者签名。所有者可附加其签名作为所有者签名以及递送者签名两者，这具体取决于PCF分组220的分发情况。因此，所有者具有更改所有者签名字段210和递送者签名字段230的能力。这例如可通过为被授权的所有者和递送者提供对应的权限级别来实现，该对应的权限级别基于试图创建/修改PCF分组200的实体的权限级别而允许PCF分组200被创建/修改。例如，所有者(例如第一所有者105和第二所有者110)可具有第一权限级别，该第一权限级别允许所有者修改PCF分组200的任何字段。然而，递送者(例如第一递送者115和第二递送者120)可具有第二权限级别，该第二权限级别仅允许递送者修改递送者签名字段230。因此，所有者可以任何方式来创建和修改PCF分组200，并且递送者可仅向PCF分组200添加其签名。

还应当指出的是，用于PCF的特定修改的PCF分组200可由第一所有者105和第二所有者110中的一者或两者生成。类似地，在利用递送者时，对PCF分组200的分发可由第一递送者115和第二递送者120中的一者或两者来执行。在第一示例中，第一递送者115可从第一所有者105接收PCF分组200，并向第一站点130、第二站点135、和第三站点135分发PCF分组200。在第二示例中，第一递送者115和第二递送者120可从第一所有者105接收PCF分组200。第一递送者115可向第一站点130和第二站点135分发PCF分组200，而第二递送者120可向第三站点140分发PCF分组200。由不同递送者对PCF分组200进行的递送可基于任意数量的因数，诸如例如地理位置、服务提供方、站点类型等等。

第一站点130、第二站点135、和第三站点140可代表被配置有PCF的任何电子设备。图3示出了包括可根据本文所述的示例性实施方案进行管理的一个或多个PCF的示例性站点300。示例性站点300可代表站点130，135和140中的一个或多个站点。例如，站点300可为便携式设备，诸如电话、智能电话、平板电脑、平板手机、膝上型电脑等。在其他实例中，站点300可为固定设备，诸如台式计算机终端。站点300可包括连接到收发器320的天线305，该收发器连接到基带处理器330，该基带处理器进一步连接到应用处理器310。站点300还可包括显示器340、I/O设备350、可由基带处理器330或应用处理器310访问的存储器布置360。本领域的技术人员将理解，站点300还可包括附加部件370，例如蓝牙/WiFi收发器、另外的输入设备(例如小键盘、触摸屏等)、电池等等。此外，站点300还可包括UICC 380(例如用户识别模块(SIM)卡)。UICC 380可存储站点300的用于在平台层上实施规则和行为的PCF。站点300的应用处理器310可执行PCF验证应用程序，以确定所接收的PCF分组200是否有效而被应用。存储器360可存储由PCF验证应用程序使用的上文所述PCF数据库。

如上所述，站点130，135站点140可各自从第一所有者105、第二所有者110、第一递送者115、或第二递送者120接收PCF分组200。然而应当指出的是，接收PCF分组200的所有站点130，135，140仅是示例性的。如上所述并且在第一示例性实施方案中，站点130，135，140每可各自与公共的一组PCF相关联。例如，站点130，135，140可各自利用相同的操作系统。在此类情形下，所有站点130，135，140可接收PCF分组200。在第二示例性实施方案中，站点130，135，140可与不同组的PCF相关联，诸如利用不同的操作系统。因此，仅PCF分组200所涉及的站点130，135，140接收PCF分组200。

当站点130，135，140接收到PCF分组200时，应用处理器310可执行PCF验证应用程序，以确定PCF分组200是否有效，然后将被包括在PCF分组200中的PCF修改应用于站点。如上所述，PCF分组200可包括所有者签名和/或递送者签名，这具体取决于是否使用了递送者来向站点130，135，140传输PCF分组200。

当第一所有者105或第二所有者110直接向站点130，135，140传输PCF分组200时，所有者计算递送者签名并且所有者签名可被省略。由于仅递送者签名字段230被完成，因此PCF验证应用程序可确定PCF分组200是从第一所有者105或第二所有者110接收的，因为可认为仅在所有者也是递送者时才省略所有者签名字段220。

当第一递送者115或第二递送者120向站点130，135，140传输PCF分组200时，PCF分组200可包括所有者签名和递送者签名。所有者签名在从第一所有者105或第二所有者110接收PCF分组200时已被包括在PCF分组200中，该递送者可在向站点130，135，140分发PCF分组200之前将递送者签名包括在递送者签名字段230中。由于递送者签名字段230已被第一递送者115或第二递送者120利用相应递送者签名更改，因此PCF验证应用程序可确定PCF分组200是从第一递送者115或第二递送者120接收的。

PCF验证应用程序可利用PCF数据库来确定PCF分组200的有效性。在从第一所有者105或第二所有者110接收到PCF分组200时，PCF验证应用程序可首先确定要修改的PCF的类型。例如，PCF验证应用程序可通过评估被包括在PCF分组200的主体240中的信息或被包括在标头210中的指示符来确定类型。基于该类型，PCF验证应用程序可参考PCF数据库来确定所有者签名是否是被允许提供对PCF的修改的所有者中的一个所有者。在从第一递送者115或第二递送者120接收到PCF分组200时，PCF验证应用程序可再次确定要修改的PCF的类型。基于该类型，PCF验证应用程序可参考PCF数据库来确定所有者签名是否是被允许提供对PCF的修改的所有者中的一个所有者以及递送者签名是否是被允许传输用于对PCF的修改的PCF分组200的递送者中的一个递送者。一旦被验证，PCF验证应用程序便可将修改应用于PCF。如果未被验证，则PCF验证应用程序可简单地丢弃PCF分组200和/或向PCF分组200的来源提供失败的消息。

应当指出的是，PCF分组200可包括对PCF数据库自身的修改。以与上述基本上类似的方式，首先确定包括PCF数据库修改的PCF分组200的所有者和/或递送者是有效的。然后，可应用对PCF数据库的修改。被接收的后续PCF分组200继而可参考所更新的PCF数据库。

图4示出了用于生成用于向站点130，135和140递送的PCF分组200的第一示例性方法400。因此，该第一示例性方法400涉及由所有者和/或递送者执行的操作。将参考图1的分发布置100和图2的PCF分组200来描述方法400。

在步骤405中，第一所有者105或第二所有者110生成向PCF应用修改的PCF分组200。在本示例的所有其余部分中，将考虑第一所有者105生成PCF分组200。如上所述，修改可以是添加新PCF、修改现有PCF、或者删除现有PCF。第一所有者105可生成包括标头210信息的PCF分组200，包括计算要包括在所有者签名字段220中的数据。在PCF分组200的示例中，数据或所有者签名被示出为“/所有者1/”。第一所有者还可生成被插入PCF分组200的主体240中的PCF修改。

在步骤410中，确定所有者与将PCF分组200递送至站点130，135，140的递送者是否相同。如上所述，生成PCF分组200的第一所有者105可将PCF分组200分发或递送至站点130，135和140，或者可将这个职责委派给单独的递送者(例如第一递送者115和/或第二递送者120)。如果第一所有者105还分发PCF分组200，则方法400前进到步骤425。在步骤425中，第一所有者105计算和/或填充要被包括在递送者签名字段230中的数据。在该示例中，要被包括在递送者签名字段230中的数据或递送者签名可与所有者签名字段220中的“/所有者1/”相同，因为所有者和递送者是相同的(例如第一所有者105)。

如上所述，当所有者也是递送者时，所有者签名字段220可被省略，因为所有者的签名也将出现在递送者签名字段230中，并且站点130，135和140不必验证相同签名两次(例如作为所有者和分发者)。因此，虽然第一所有者105可能已在步骤405中计算了所有者签名，但这个数据可能并未被填充到所有者签名字段220中，因为如本文所述，如果所有者和递送者是相同实体，则填充所有者签名字段220可能并不是必要的。

返回到步骤410，如果第一递送者115或第二递送者120要分发PCF分组200，则方法400前进到步骤415。在步骤415中，第一所有者105完成所有者签名字段220。在步骤420中，第一所有者105将具有所有者签名字段220中的所有者签名的PCF分组200传输至第一递送者115或第二递送者120。在这个示例中，将考虑第二递送者120是针对PCF分组200的所选择的递送者。因此在步骤420中，第一所有者105将PCF分组200传输至第二递送者120。

在步骤425中，第二递送者120计算递送者签名(例如“/递送者2/”)。第二递送者继而可将该递送者签名填充到PCF分组200的递送者签名字段230中。在步骤425之后(不管是从步骤410还是从步骤420进入)，方法400前进到步骤430，在步骤430中，PCF分组200从第一所有者105或第二递送者120分发至站点130，135，140。因此，如果PCF分组200从第一所有者105递送，则PCF分组200可仅包括递送者签名字段230中的所有者签名。然而，如果第二递送者120递送PCF分组200，则PCF分组200将包括所有者签名字段220中的第一所有者105的所有者签名并且包括递送者签名字段230中的第二递送者120的递送者签名。

图5示出了用于确定由站点接收的PCF分组200的有效性的第二示例性方法500。因此，该第二示例性方法500涉及站点侧操作。将参考图1的分发布置100、图2的PCF分组200和图3的站点300来描述方法500。还可考虑方法500是由上文所述的PCF验证应用程序执行的示例性方法。

在步骤505中，站点130，135，140从所有者或递送者接收PCF分组200。在对方法500的这个描述的所有其余部分中，将考虑第一站点130接收PCF分组200并且第一站点130是图3所示的一种类型的站点300(例如包括相同的部件)。如上所述，站点300可将其使用的PCF存储在UICC 380中，并且还可将PCF数据库存储在存储器360中。上文中还描述了站点300的应用处理器310执行PCF验证应用程序。应该指出的是，被描述为执行这些功能中的每一种功能(即存储PCF、PCF数据库和执行PCF验证应用程序)的部件仅是示例性的，并且站点300内的其他部件也可执行这些功能中的一些或全部功能。

在步骤510中，PCF验证应用程序确定PCF分组200的所有者和递送者。这可通过对分别被包括在所有者签名字段220和递送者签名字段230中的所有者签名和递送者签名进行解密来确定。如上所述，设想但并不要求使用对信息进行加密的任何已知的方式(例如密钥加密)来对所接收的签名进行加密。站点300可具有被存储在存储器360中的密钥，该密钥允许站点300对加密的签名进行解密。另一方面，如果签名未被加密，则该确定可简单地通过读取对应字段220和230中的签名来执行。

在步骤515中，PCF验证应用程序确定递送者与所有者是否相同。例如，如果所有者签名字段220是空的，则递送者与所有者相同。如果递送者与所有者相同(即所有者传输PCF分组200)，则方法500前进到步骤520。在步骤520中，PCF验证应用程序确定递送者签名字段230中的签名(即所有者签名，因为所有者也是递送者)是否有效。如上所述，PCF验证应用程序可首先确定要修改的PCF的类型，并参考PCF数据库来确定递送者签名字段230中的所有者签名的有效性。

图6示出了可用于验证PCF分组200的PCF数据库600的示例性实施方案。示例性PCF数据库600包括三列：PCF类型列610、有效所有者列620和有效递送者列630。在这个示例中，存在三种定义的PCF类型：类型A、类型B和类型C。类型A的PCF具有第一所有者105的有效所有者，以及第一递送者115和第二递送者120的有效递送者。因此在这个示例中，类型A的PCF可被第一所有者105有效地修改，并且可由第一所有者105、第一递送者115和第二递送者120有效地递送(例如因为有效的所有者也可以是有效的递送者)。也为PCF数据库600中的类型B和类型C的PCF提供类似的示例。如上所述，PCF数据库600可被存储在站点300的存储器360中，以供PCF验证应用程序使用。

重新参见方法500的步骤520，可考虑以下示例。PCF验证应用程序已确定PCF分组200包括类型B的PCF。PCF验证应用程序还已确定PCF分组200的递送者签名字段230中的所有者签名是第二所有者110的签名。PCF验证应用程序可参考PCF数据库600，并确定第二所有者110是类型B的PCF的有效所有者，并且因此是PCF分组200的有效递送者。

如果签名有效，则方法500前进到步骤525，在步骤525中，应用对PCF的修改。在上述示例中，基于包含在PCF分组200中的信息和PCF数据库600中的信息，确定PCF分组200有效。因此，PCF验证应用程序将把修改应用于对应PCF。如上所述，修改可以是改变PCF、添加新PCF、或者删除现有PCF。在这个示例中，由于确定PCF分组200有效，因此PCF验证应用程序将把修改应用于被存储在站点300的UICC 380中的PCF。

然而，也可考虑另一示例。在这个示例中，PCF验证应用程序已确定PCF分组200包括类型B的PCF。PCF验证应用程序还已确定PCF分组200的递送者签名字段230中的所有者签名是第一所有者105的签名。PCF验证应用程序可参考PCF数据库600，并确定第一所有者105不是类型B的PCF的有效所有者，并且因此不是PCF分组200的有效递送者。在这种情况下，方法500将从步骤520前进到步骤530，在步骤530中，PCF分组200被丢弃。由于PCF分组200不是从有效递送者接收的，因此站点300将不会应用被包括在PCF分组200中的PCF修改。如上所述，站点300还可通知递送者(例如第一所有者105)或一些其它实体由于递送者不是有效的，因此PCF分组200被丢弃。

返回到步骤515，如果递送者不是所有者(例如所有者签名字段220已被填充以所有者签名而没有被保留为空白)，则方法500前进到步骤535。在步骤535中，PCF验证应用程序首先以与上文中针对步骤520所述基本上类似的方式确定PCF分组200的所有者签名字段220中的所有者签名是否是有效的。例如，PCF验证应用程序利用PCF数据库600确定所有者的签名是否是针对PCF分组200中的PCF的类型有效的所有者的签名。

如果所有者的签名不是有效的，则方法500前进到步骤530，以丢弃PCF分组200。如果所有者的签名有效，则方法500前进到步骤520，在步骤520中，针对递送者签名字段230中的签名来执行进一步的检验。因此在这个示例中，所有者签名字段220和递送者签名字段230两者包括签名。步骤535验证所有者签名并且步骤520验证递送者签名。

为了提供这个过程的具体示例，可考虑PCF验证应用程序已确定PCF分组200包括类型A的PCF。PCF验证应用程序还已确定所有者签名字段220中的所有者签名是第一所有者105的签名，并且递送者签名字段230中的递送者签名是第一递送者115的签名。因此，在步骤535中，PCF验证应用程序将确定第一所有者105的签名是针对类型A的PCF的有效的所有者签名，在步骤520中，PCF验证应用程序将确定第一递送者115的签名是针对类型A的PCF的有效的递送者签名。因此，PCF验证应用程序将在步骤525中将被包括在PCF分组200中的PCF修改应用于站点300。相反，如果所有者的签名或递送者的签名不是有效的，则站点300将丢弃PCF分组200。

示例性实施方案提供了用于通过向被部署站点提供对PCF的更新来进行PCF管理机制的系统和方法。由于PCF的安全等级，站点在将修改应用于PCF之前首先确定所接收的PCF分组的有效性。当PCF的所有者生成PCF分组、包括所有者签名、并将PCF分组分发至站点时，站点可通过参考PCF数据库来确定PCF分组的有效性，该有效性指示所有者签名是否有效。当PCF的所有者生成PCF分组、将所有者签名包括在所有者字段中、并将PCF分组传输至递送者而递送者将递送者签名包括在递送者字段中并将PCF分组分发至站点时，站点可通过参考PCF数据库来确定PCF分组的有效性，该有效性指示所有者签名和递送者签名是否有效。

本领域的技术人员将理解，可以任何合适的软件配置或硬件配置或它们的组合来实施上文所述的示例性实施方案。用于实施示例性实施方案的示例性硬件平台可包括例如具有兼容操作系统的基于Intel x86的平台、Mac平台、MAC OS、iOS、Android OS等。在另外的实例中，上文所述的方法的示例性实施方案可被体现为包含被存储在非暂态计算机可读存储介质上的代码行的程序，该程序当被编译时可在处理器或微处理器上被执行。

对本领域的技术人员而言将显而易见的是，可在不脱离本发明的实质或范围的前提下对本发明进行各种修改。因此，本发明旨在涵盖本发明的修改形式和变型形式，但前提是这些修改形式和变型形式在所附权利要求及其等同形式的范围内。

Claims (38)

1.一种由与第一实体相关联的网络部件执行的方法，包括：

生成包括对与站点的平台层相关联的策略控制功能(PCF)的修改的PCF分组；

确定所述PCF分组是否要由所述第一实体和第二实体中的一者传输至所述站点；

当确定所述PCF分组要由所述第一实体传输时，将指示所述第一实体的第一签名包括在所述PCF分组的递送者字段中；以及

当确定所述PCF分组要由所述第二实体传输时，将所述第一签名包括在所述PCF分组的所有者字段中。

2.根据权利要求1所述的方法，还包括：

当确定所述PCF分组要由所述第一实体传输时，将所述PCF分组传输至所述站点。

3.根据权利要求1所述的方法，其中所述第一实体被允许修改所述PCF并且被允许将所述PCF分组传输至所述第二实体和所述站点中的一者。

4.根据权利要求1所述的方法，还包括：

当确定所述PCF分组要由所述第二实体传输时，将所述PCF分组传输至所述第二实体。

5.根据权利要求4所述的方法，还包括：

在所述第二实体的第二网络部件处：

接收所述PCF分组；

将指示所述第二实体的第二签名包括在所述PCF分组的递送者字段中；以及

将所述PCF分组传输至所述站点。

6.根据权利要求5所述的方法，其中为了将对所述PCF的所述修改应用于所述站点，所述第一签名是至少一个有效第一签名中的一个有效第一签名，并且所述第二签名是至少一个有效第二签名中的一个有效第二签名。

7.根据权利要求5所述的方法，其中所述第二实体被允许将所述PCF分组传输至所述站点。

8.一种由站点执行的方法，包括：

从第一实体或第二实体中的一者接收策略控制功能(PCF)分组，所述PCF分组包括对与所述站点相关联的PCF的修改；

基于所述PCF分组中的所述第一实体的第一签名或所述PCF分组中的所述第二实体的第二签名中的一者来确定所述PCF分组是否有效；

当确定所述PCF分组有效时，将所述修改应用于所述PCF；以及

当确定所述PCF分组无效时，丢弃所述PCF分组，

其中第一实体是PCF的所有者，而第二实体是PCF的递送者。

9.根据权利要求8所述的方法，其中PCF的所述所有者被允许修改所述PCF并且被允许将所述PCF分组传输至所述站点，并且其中所述PCF的所述递送者被允许将所述PCF分组传输至所述站点。

10.根据权利要求8所述的方法，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的递送者签名字段中的所述第一签名是否是有效的所有者签名。

11.根据权利要求10所述的方法，其中所述确定所述第一签名是否是有效的所有者签名包括：

将所述第一签名与针对要修改的所述PCF的有效的所有者签名的数据库进行比较。

12.根据权利要求8所述的方法，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的递送者签名字段中的所述第二签名是否是有效的递送者签名。

13.根据权利要求8所述的方法，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的所有者签名字段中的所述第一签名是否是有效的所有者签名。

14.根据权利要求8所述的方法，还包括：

确定所述PCF的类型。

15.根据权利要求8所述的方法，还包括：

当确定所述PCF分组无效时，将消息发送至所述第一实体或所述第二实体中的一者。

16.一种站点，包括：

处理器，所述处理器被配置为执行操作，所述操作包括：

从第一实体或第二实体中的一者接收策略控制功能(PCF)分组，所述PCF分组包括对与所述站点相关联的PCF的修改，所述第一实体被允许修改所述PCF并且被允许将所述PCF分组传输至所述第二实体或者将所述PCF分组传输至所述站点中的一者，所述第二实体被允许将所述PCF分组传输至所述站点；

确定以下情形之一是否发生：(1)所述PCF分组的递送者字段包括指示所述第一实体的第一签名或者(2)所述PCF分组的所有者字段包括所述第一签名并且所述递送者字段包括指示所述第二实体的第二签名；以及

当发生以下情形之一时，将所述修改应用于所述PCF：(1)所述PCF分组是从所述第一实体接收的并且所述递送者字段中的所述第一签名是至少一个有效第一签名中的一个有效第一签名，或者(2)所述PCF分组是从所述第二实体接收的，所述所有者字段中的所述第一签名是所述至少一个有效第一签名中的一个有效第一签名并且所述递送者字段中的所述第二签名是至少一个有效第二签名中的一个有效第二签名。

17.根据权利要求16所述的站点，还包括：

存储所述PCF的通用集成电路卡(UICC)，其中对所述PCF的所述修改被应用于被存储在所述UICC上的所述PCF。

18.根据权利要求16所述的站点，还包括：

存储PCF数据库的存储器，所述PCF数据库包括针对被存储在所述站点上的每个PCF的有效所有者的列表以及针对被存储在所述站点上的每个PCF的有效递送者的列表。

19.根据权利要求16所述的站点，其中所述操作进一步包括：

当以下两种情况均不发生时，丢弃所述PCF分组：(1)所述PCF分组是从所述第一实体接收的并且所述递送者字段中的所述第一签名是至少一个有效第一签名中的一个有效第一签名，或者(2)所述PCF分组是从所述第二实体接收的，所述所有者字段中的所述第一签名是所述至少一个有效第一签名中的一个有效第一签名并且所述递送者字段中的所述第二签名是至少一个有效第二签名中的一个有效第二签名。

20.一种与第一实体相关联的网络部件，包括：

处理器；和

存储器，所述存储器具有存储在其上的指令集，其中所述指令集使得所述处理器执行操作，所述操作包括：

生成包括对与站点的平台层相关联的策略控制功能(PCF)的修改的PCF分组；

确定所述PCF分组是否要由所述第一实体和第二实体中的一者传输至所述站点；

当确定所述PCF分组要由所述第一实体传输时，将指示所述第一实体的第一签名包括在所述PCF分组的递送者字段中；以及

当确定所述PCF分组要由所述第二实体传输时，将所述第一签名包括在所述PCF分组的所有者字段中。

21.根据权利要求20所述的网络部件，所述操作还包括：

当确定所述PCF分组要由所述第一实体传输时，将所述PCF分组传输至所述站点。

22.根据权利要求20所述的网络部件，其中所述第一实体被允许修改所述PCF并且被允许将所述PCF分组传输至所述第二实体和所述站点中的一者。

23.根据权利要求20所述的网络部件，所述操作还包括：

当确定所述PCF分组要由所述第二实体传输时，将所述PCF分组传输至所述第二实体。

24.一种非瞬时性计算机可读存储介质，所述非瞬时性计算机可读存储介质具有存储在其上的指令集，其中所述指令集使得与第一实体相关联的网络部件执行操作，所述操作包括：

生成包括对与站点的平台层相关联的策略控制功能(PCF)的修改的PCF分组；

确定所述PCF分组是否要由所述第一实体和第二实体中的一者传输至所述站点；

当确定所述PCF分组要由所述第一实体传输时，将指示所述第一实体的第一签名包括在所述PCF分组的递送者字段中；以及

当确定所述PCF分组要由所述第二实体传输时，将所述第一签名包括在所述PCF分组的所有者字段中。

25.根据权利要求24所述的非瞬时性计算机可读存储介质，所述操作还包括：

当确定所述PCF分组要由所述第一实体传输时，将所述PCF分组传输至所述站点。

26.根据权利要求24所述的非瞬时性计算机可读存储介质，其中所述第一实体被允许修改所述PCF并且被允许将所述PCF分组传输至所述第二实体和所述站点中的一者。

27.根据权利要求24所述的非瞬时性计算机可读存储介质，所述操作还包括：

当确定所述PCF分组要由所述第二实体传输时，将所述PCF分组传输至所述第二实体。

28.根据权利要求27所述的非瞬时性计算机可读存储介质，所述指令集还使得所述第二实体的第二网络部件执行包括以下的操作：

接收所述PCF分组；

将指示所述第二实体的第二签名包括在所述PCF分组的递送者字段中；以及

将所述PCF分组传输至所述站点。

29.根据权利要求28所述的非瞬时性计算机可读存储介质，其中为了将对所述PCF的所述修改应用于所述站点，所述第一签名是至少一个有效第一签名中的一个有效第一签名，并且所述第二签名是至少一个有效第二签名中的一个有效第二签名。

30.根据权利要求28所述的非瞬时性计算机可读存储介质，其中所述第二实体被允许将所述PCF分组传输至所述站点。

31.一种非瞬时性计算机可读存储介质，所述非瞬时性计算机可读存储介质具有存储在其上的指令集，其中所述指令集使得站点执行操作，所述操作包括：

从第一实体或第二实体中的一者接收策略控制功能(PCF)分组，所述PCF分组包括对与所述站点相关联的PCF的修改；

基于所述PCF分组中的所述第一实体的第一签名或所述PCF分组中的所述第二实体的第二签名中的一者来确定所述PCF分组是否有效；

当确定所述PCF分组有效时，将所述修改应用于所述PCF；以及

当确定所述PCF分组无效时，丢弃所述PCF分组，

其中第一实体是PCF的所有者，而第二实体是PCF的递送者。

32.根据权利要求31所述的非瞬时性计算机可读存储介质，其中PCF的所述所有者被允许修改所述PCF并且被允许将所述PCF分组传输至所述站点，并且其中所述PCF的所述递送者被允许将所述PCF分组传输至所述站点。

33.根据权利要求31所述的非瞬时性计算机可读存储介质，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的递送者签名字段中的所述第一签名是否是有效的所有者签名。

34.根据权利要求33所述的非瞬时性计算机可读存储介质，其中所述确定所述第一签名是否是有效的所有者签名包括：

将所述第一签名与针对要修改的所述PCF的有效的所有者签名的数据库进行比较。

35.根据权利要求31所述的非瞬时性计算机可读存储介质，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的递送者签名字段中的所述第二签名是否是有效的递送者签名。

36.根据权利要求31所述的非瞬时性计算机可读存储介质，其中确定所述PCF分组是否有效进一步包括：

确定所述PCF分组的所有者签名字段中的所述第一签名是否是有效的所有者签名。

37.根据权利要求31所述的非瞬时性计算机可读存储介质，所述操作还包括：

确定所述PCF的类型。

38.根据权利要求31所述的非瞬时性计算机可读存储介质，所述操作还包括：

当确定所述PCF分组无效时，将消息发送至所述第一实体或所述第二实体中的一者。