CN108141732A - 用于在安全元件中管理应用程序的方法 - Google Patents

Abstract

本发明是一种用于管理在包括通信接口的安全元件中的应用程序的方法。应用程序被安装在安全元件中并且被配置为在通信接口上被隐含地选择。方法包括以下步骤：‑安全元件接收请求安装被配置为在通信接口上被隐含地选择的新应用程序的命令，‑当接收到命令时，安全元件安装新应用程序，将新应用程序配置为在通信接口上被隐含地选择，并且保持先前的应用程序不变。

Description

用于在安全元件中管理应用程序的方法

技术领域

本发明涉及在安全元件中管理应用程序的方法。其特别是涉及如下的方法：该方法涉及如何执行对应用程序的选择。

背景技术

安全元件是意图在像移动电话、所连接的设备或要求安全计算的任何主机那样的机器中托管的防篡改的设备。安全元件可以像通用集成电路卡（UICC）或安全存储器卡那样是可移除的。安全元件一般地是基于硬件的组件。安全元件可以被焊接到它的托管机器。与其主机设备永久地关联的安全元件被称为嵌入式安全元件。安全元件可以包含意图由所连接的托管机器或由远程机器调用的应用程序。安全元件可以包含计算部件（像加密服务）或意图由所连接的托管机器使用的安全存储部件。

安全元件可以包括若干个应用程序。为了简化对应用程序的访问，已经定义了隐含选择的原理。当应用程序在通信接口上被隐含地选择时，外部设备可以直接地向该应用程序发送命令，而不明确地选择目标应用程序。例如，当利用嵌入在安全元件中的应用程序开始交易时，在交通领域中的许多已部署的非接触式读取器假定相关的应用程序已经是有效的并且被选择。全球平台卡规范v2.2（GlobalPlatform Card Specification v2.2）定义了允许将应用程序声明为被隐含地选择以用于非接触式接口的“隐含选择参数（ImplicitSelection Parameter）”（在§11.1.7处定义的标签“CF”）。然而，GP 2.2—修订 C v1.1.1标准指定了利用用于通信接口的“隐含选择参数”仅仅可以安装一个应用程序。

可能发生的是，用户需要在安全元件中具有相同类型的若干个应用程序。例如，当用户从城市A旅行到城市B时，在安装有关用于利用隐含选择设置来访问城市B的城市交通网络的交通应用程序之前，他/她不得不手动地卸载/注销对应于城市A的当前的交通应用程序。这样的卸载/安装操作是漫长的且可能是复杂的。对于用户而言它们是不方便的。

对于需要被隐含地选择和安装的应用程序而言，存在对容易的应用程序管理的需求。

发明内容

本发明的目的是解决以上提及的技术问题。

本发明的目的是一种包括操作系统和通信接口的安全元件。操作系统被配置为管理多个应用程序，该多个应用程序同时存在且被安装在安全元件中，并且该多个应用程序被单独地配置为在通信接口上被隐含地选择。

有利地，所述应用程序中的每个可以被单独地激活，并且操作系统可以被配置为如果所述应用程序中的一个已经被激活，则拒绝所述应用程序中的另一个的激活请求。

有利地，操作系统可能能够处置请求既安装被配置为在所述通信接口上被隐含地选择的新应用程序又激活所述新应用程序的命令。操作系统可以被适配以安装所述新应用程序，配置所述新应用程序从而它在所述通信接口上被隐含地选择，并且如果所述多个应用程序中的一个应用程序已经被激活，则拒绝激活所述新应用程序。

有利地，当新应用程序已经被安装而没有激活时，操作系统可以被适配以响应于所述命令而发送反映所述命令的部分的履行的警报代码。

有利地，所述通信接口可以专用于以非接触式设备为目标的通信。

本发明的另一个目的是一种用于管理在包括通信接口的安全元件中的应用程序的方法。第一应用程序被安装在安全元件中并且被配置为在所述通信接口上被隐含地选择。方法包括以下步骤：

- 安全元件接收请求安装第二应用程序的第一命令，第二应用程序被配置为在所述通信接口上被隐含地选择，

- 当接收到所述第一命令时，安全元件安装所述第二应用程序，将所述第二应用程序配置为要在所述通信接口上被隐含地选择并且保持所述第一应用程序不变。

有利地，所述第一和第二应用程序可以被单独地激活并且所述方法可以包括进一步的步骤：

- 如果所述应用程序中的一个已经被激活，则安全元件驳回所述应用程序中的另一个的激活请求。

有利地，所述方法可以包括进一步的步骤：

- 安全元件接收第二命令，第二命令请求既安装被配置为要在所述通信接口上被隐含地选择的第三应用程序又激活所述第三应用程序，以及

- 当接收到所述第二命令时，安全元件安装所述第三应用程序，配置所述第三应用程序从而它在所述通信接口上被隐含地选择，并且如果被配置为要在所述通信接口上被隐含地选择的一个应用程序已经被激活，则拒绝激活所述第三应用程序。

附图说明

从参照对应的随附附图阅读本发明的数个优选实施例的以下的描述，本发明的其它特性和优点将会更加清楚地显现，其中：

- 图1描绘了根据本发明的包括安全元件的系统。

具体实施方式

本发明可以应用于任何类型的安全元件。特别是，本发明应用于可移除的安全元件和焊接到主机设备的安全元件。本发明应用于被配置为经由NFC（近场通信）信道可访问的安全元件。本发明非常适合于在运输领域的应用。

图1图示了根据本发明的安全元件的架构。

主机设备11是包括能够与外部设备80建立NFC连接（示出为虚线）的NFC控制器（命名为CLF）的启用NFC的设备（像例如移动电话或可穿戴设备）。外部设备80可以是NFC读取器。主机设备11还包括能够与像MNO（移动网络运营商）、TSM（可信服务管理器）或SEI（安全元件颁发者）TSM那样的远程机器建立OTA（空中下载）或HTTPS会话的通信组件81。

替换地，可以利用RF路由器来代替NFC控制器。

安全元件10被嵌入在主机设备11中。安全元件10包括若干个通信接口。第一通信接口20经由单线连接到NFC控制器（或连接到RF路由器）并且能够通过如由ETSI TS 102613 Release 7或更高版本而定义的SWP协议（单线协议）与CLF交换数据。因为通信接口20是链接到NFC控制器的，所以它可以被认为是专用于以非接触式设备为目标的通信。第二通信接口21连接到通信组件81。安全元件10被配置为使用SPI（串行外设接口）通过通信接口21与通信组件81交换数据。在另一示例中，安全元件10可以被配置为根据ISO7816规范通过通信接口21进行通信。

在另一示例中，安全元件10可以具有独特的通信接口。

安全元件10包括操作系统30。两个交通应用程序40和50被安装在安全元件10中。操作系统30被设计为允许安装如在同一通信接口上被隐含地选择的若干个应用程序。例如，应用程序40和50单独地被配置为在第一通信接口20上被隐含地选择。

这些应用程序40和50可以被单独地激活。当被激活时，应用程序能够接收命令，处理命令并且生成响应。当被禁用（例如未激活）时，应用程序不能被触发并且不能处理任何命令。

操作系统30被设计为允许激活应用程序。更具体地，操作系统30被配置为，如果在给定通信接口上被隐含地选择的一个应用程序已经被激活，则拒绝在同一通信接口上被隐含地选择的另一个应用程序的激活请求。

例如，如果应用程序40已经被激活，则操作系统30驳回用于激活应用程序50的请求。在成功激活应用程序50之前，需要禁用应用程序40。

在另一示例中，如果不存在已经激活的应用程序，则操作系统30成功地执行用于激活应用程序50的请求。例如，分配给应用程序50的“CF”标签相应地被考虑到所关联的安装/激活序列中。

要注意的是，可以通过如由全球平台修订C v1.1.1（GlobalPlatform AmendmentC v1.1.1）定义的CRS（非接触式注册服务）请求应用程序激活。

如在图1处（以虚线）示出的，操作系统30能够处置请求既安装被配置为在指定的通信接口上被隐含地选择的新应用程序60又激活该新应用程序60的命令61。操作系统30被适配以安装应用程序60并且配置应用程序60从而它在目标通信接口上被隐含地选择。如果另一应用程序既在同一通信接口上被隐含地选择又已经被激活，则操作系统30还被配置为拒绝激活应用程序60。

例如，让我们假定应用程序40已经被激活，并且命令61请求既安装具有指定在通信接口20上的隐含的选择的设定的应用程序60又激活应用程序60。操作系统30将安装应用程序60并且拒绝激活应用程序60。在这种情况下，操作系统30被配置为响应于命令61而发送警报代码62。该警报代码62反映命令61的部分的履行。例如，警报代码62可以包含值0x6200。

本发明提供了管理由于如下的事实所致的可能的冲突的方式：每次仅仅可以激活在给定接口上被隐含地选择的一个应用程序。

要注意的是两个应用程序可以是在同一接口上同时地有效的：一个应用程序具有默认的选择的参数而另一个应用程序没有默认的选择的参数。

有利地，安全元件可以包括代理应用程序（未绘制），该代理应用程序是与通信接口关联的独特的进入点。在这种情况下，代理应用程序负责向目标应用程序转发进来的命令。在这种情况下，通过代理应用程序而可达到的应用程序是被根据本发明管理的。

主管/成员（Head/Member）应用程序的情况应当是如在全球平台规范（GlobalPlatform specification）对激活和停用机制（activation and deactivationmechanism）中定义的那样被管理的。因此，当主管/成员应用程序涉及多个CF标签时，考虑如在全球平台规范（GlobalPlatform specifications）中定义的主管/成员应用程序。

多亏本发明，用户只需停用当前默认的选择的应用程序并且激活相关的一个应用程序以用于访问所需要的服务。可以通过在全球平台规范（GlobalPlatformspecifications）中定义的常规的CRS（非接触式注册服务）和CREL（非接触式注册事件监听器）来执行该激活/停用。不再存在对于卸载/重新安装应用程序的需要。

多亏本发明，可以在具有在同一通信接口上的隐含选择的安全元件中安装若干应用程序。不请求在已部署的大批量非接触式读取器中进行改变。

必须理解的是，在本发明的范围内，以上描述的实施例是作为非限制性示例而提供的。特别是，应用程序可以应用于像支付、忠诚度、身份或服务访问那样的任何领域。它可以应用于对应于若干个国家、若干个市场或若干个商业模型的应用程序。安全元件可以包含任何数量的已安装的应用程序。

本发明并不限制于NFC通信接口，并且可以应用于任何可能的RF通信接口。

主机设备可以是能够嵌入安全元件的任何设备。例如，主机设备可以是平板计算机、汽车、膝上型计算机、智能手表、可穿戴设备或计算机。

Claims (6)

1.一种包括操作系统（30）和通信接口（20）的安全元件（10），其特征在于操作系统（30）被适配以管理多个应用程序（40、50），所述多个应用程序（40、50）同时存在且被安装在安全元件（10）中，并且所述多个应用程序（40、50）被单独地配置为在所述通信接口（20）上被隐含地选择，

其中所述应用程序（40、50）中的每个能够被单独地激活，

其中操作系统（30）被适配为如果所述应用程序（40、50）中的一个已经被激活则拒绝所述应用程序（40、50）中的另一个的激活请求，并且如果所述应用程序（40、50）中没有应用程序已经被激活，则执行激活，

其中操作系统（30）能够处置请求既安装被配置为在所述通信接口（20）上被隐含地选择的新应用程序（60）又激活所述新应用程序（60）的命令（61），

并且其中操作系统（30）被适配以安装所述新应用程序（60），配置所述新应用程序（60）从而它在所述通信接口（20）上被隐含地选择，并且如果所述多个应用程序（40、50）中的一个应用程序已经被激活，则拒绝激活所述新应用程序（60），并且如果所述多个应用程序（40、50）中没有应用程序已经被激活，则执行所述激活。

2.根据权利要求1所述的安全元件（10），其中操作系统（30）被适配为当所述新应用程序（60）已经被安装而没有激活时，响应于所述命令（61）而发送反映所述命令（61）的部分的履行的警报代码（62）。

3.根据权利要求1所述的安全元件（10），其中所述通信接口（20）专用于以非接触式设备（80）为目标的通信。

4.根据权利要求1所述的安全元件（10），其中所述激活请求是通过如由全球平台修订Cv1.1.1（GlobalPlatform Amendment C v1.1.1）定义的非接触式注册服务而执行的。

5.一种用于管理在包括操作系统（30）和通信接口（20）的安全元件（10）中的应用程序的方法，其特征在于操作系统（30）被适配以管理多个应用程序（40、50），所述多个应用程序（40、50）同时存在并且被安装在安全元件（10）中，并且所述多个应用程序（40、50）被单独地配置为在所述通信接口（20）上被隐含地选择，

其中所述应用程序（40、50）中的每个能够被单独地激活，并且其中所述方法包括以下步骤：

- 操作系统（30）接收请求既安装被配置为在所述通信接口（20）上被隐含地选择的新应用程序（60）又激活所述新应用程序（60）的命令（61），

- 操作系统（30）安装所述新应用程序（60），配置所述新应用程序（60）从而它在所述通信接口（20）上被隐含地选择，并且如果所述多个应用程序（4、50）中的一个应用程序已经被激活，则拒绝激活所述新应用程序（60），并且如果所述多个应用程序（40、50）中没有应用程序已经被激活，则执行激活。

6.根据权利要求5所述的方法，其中所述方法包括进一步的步骤：

- 如果所述应用程序（40、50、60）中的一个已经被激活，则安全元件（10）驳回所述应用程序（40、50、60）中的另一个的激活请求，并且如果所述应用程序（40、50、60）中没有应用程序已经被激活，则执行激活。