CN109246170A - 一种应用程序安全下载系统 - Google Patents

Abstract

本发明公开了一种应用程序安全下载系统，包括移动终端设备、安全模块提供商SEI后台服务器和应用提供商SP后台服务器，所述移动终端设备中安装有由安全模块提供商SEI提供的安全模块SE；SEI后台服务器与SP后台服务器网络连接。本发明实施例中所述的应用程序安全下载系统，基于应用提供商SP和安全模块提供商SEI线下交互的方式组织脚本，脚本以APP的形式发布于应用下载平台，使移动终端设备可以一次性下载所有需要的脚本，离线安装运行，提高了下载的成功率，通过对线下脚本生成的管控，去掉了对脚本下载时权限的检查，提升了下载效率，且通过SEI方对脚本的加密处理，保证了只有对应的SE才能够成功运行应用脚本，在兼顾了简便性的同时，满足了安全性的要求。

Description

一种应用程序安全下载系统

技术领域

本发明涉及应用程序安全管理领域，具体涉及一种应用程序安全下载系统。

背景技术

传统的OTA(Over The Air，空中下载)方式，通常使用TSM(Trusted ServiceManager，可信服务管理)系统作为下载的载体。TSM系统通过手机网络将手机生产商、服务提供商以及其他控制手机上安全模块SE的机构连接起来，TSM系统允许服务提供商通过操作SE来远程控制他们自己在SE上的应用，比如包的下载、应用的安装及个人化。在这些应用场景下，会用到两个TSM系统，一个是安全模块提供商SEI(Secure Element Issuers)TSM和服务提供商SP(Service Providers)TSM。

SEI TSM负责管理SE上ISD(Issuer Security Domain，卡片发行商安全域)的密钥及SE的生命周期，包括创建、删除、锁定SD及SD下的应用,SP TSM负责将CAP包下载到卡片上及对应用进行个人化。由于SP TSM没有控制ISD密钥的权限，因此SP TSM只能通过SEI TSM创建SD来进行包的下载，或者将明文指令传递给SEI TSM，由SEI TSM进行处理后再发给SE，而SP的个人化数据由SP TSM直接发送给SE。由于对ISD主控密钥和应用个人化的控制权不统一，因此在实际的应用场景中，两个TSM系统缺一不可。将SEI TSM及SP TSM两个系统整合到一起难度较高，其中的方法和技术种类繁多，使其在不同的SE上具备通用性尤为困难，且TSM系统的搭建较为复杂，令很多小企业望而却步。另外，使用TSM系统下载包时，由于下载包依赖于网络连接，而当应用包较大时，下载耗时较长，连接中断的情况时有发生，大大降低了下载的成功率。

在现有技术的基础上，GP组织在规范《GlobalPlatform Card Secure ElementManagement Service Card Specification v2.3–Amendment I Version 0.2CommitteeDraft February 2016》中提出了一整套离线下载包、安装应用及个人化的方案，包括重新定义指令格式、脚本生成方案、脚本加密方案。但这个方案较为复杂，需要新增很多指令；由于脚本加密使用非对称密钥，指令下载时的脚本解密及权限检查相当耗时，用户体验不好。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种应用程序安全下载系统，该系统实现了应用包的在线下载与离线安装，且在兼顾安全性要求的同时，提高了下载效率。

为实现上述目的，本发明采用的技术方案如下：

一种应用程序安全下载系统，包括安全模块提供商SEI后台服务器、应用提供商SP后台服务器以及由安全模块提供商SEI提供的安全模块SE，SEI后台服务器与SP后台服务器网络连接；

所述SP后台服务器包括：

SP应用安装文件生成装置，用于开发生成应用的应用安装文件；

操作请求发送装置，用于向SEI后台服务器发送应用操作请求；所述应用操作请求包括应用安装请求，应用安装请求为应用提供商SP用于请求将其所提供的应用安装于安全模块提供商SEI所提供的安全模块SE中的请求，应用安装请求中包括所述应用安装文件；

所述SEI后台服务器包括：

SEI密钥生成装置，用于生成用于对所述应用操作请求中的应用安装文件进行加解密处理的SEI加密密钥对；SEI加密密钥对包括SEI加密密钥PK.SEI.SEC和SEI解密密钥SK.SEI.SEC；

SEI密钥管理装置，用于在安全模块SE生产时将所述SEI解密密钥SK.SEI.SEC装载到安全模块SE中；

SEI加密装置，用于采用所述SEI加密密钥PK.SEI.SEC对所述应用安装文件进行加密处理，生成应用安装文件密文；

所述SEI后台服务器将应用安装文件密文发送到SP后台服务器；

所述SP后台服务器还包括：

APP生成装置，用于根据SEI后台服务器返回的应用安装文件密文组织脚本，生成应用程序APP安装包；其中，所述APP安装包的安装说明信息中包括安全模块提供商SEI信息；

APP发布装置，用于将所述APP安装包发布到应用下载平台；

其中，所述安全模块SE用于安装于需要下载并安装应用提供商SP所提供的应用的移动终端设备中。

进一步，如上所述的一种应用程序下载系统，所述应用安装文件为应用可执行下载文件，或者为将应用可执行下载文件转换生成的应用可执行脚本SP.SCRIPT.CAP。

进一步，如上所述的一种应用程序下载系统，所述系统还包括安装有所述安全模块SE的移动终端设备；

所述移动终端设备，用于从所述应用下载平台上下载与移动终端设备中所安装的安全模块SE的提供商SEI信息相对应的可下载的应用程序APP安装包，解析所下载的APP安装包，得到应用安装文件密文；

所述安全模块SE，用于采用其所存储的SEI解密密钥SK.SEI.SEC对解析得到的应用安装文件密文进行解密，得到应用安装文件，执行所述应用安装文件，完成应用的安装。

进一步，如上所述的一种应用程序下载系统，所述移动终端设备中安装有可与所述安全模块SE通信的、用于对安全模块SE中所安装的应用进行管理的SE管理客户端SEManage Client；所述SE管理客户端包括：

APP列表获取单元，用于从所述应用下载平台上获取与移动终端设备中所安装的安全模块SE的提供商SEI信息相对应的可下载的应用程序APP列表；

UI交互单元，用于显示所获取到的APP列表，以供用户从APP列表中选择所要下载的APP，接收用户的APP选择指令；

APP下载单元，用于根据用户的APP选择指令从所述应用下载平台下载指定的APP安装包；

APP解析单元，用于解析所下载的APP安装包，得到应用安装文件密文；

所述安全模块SE包括：

安装文件解密单元，用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用安装文件密文进行解密，得到应用安装文件；

应用安装单元，用于执行解密得到的所述应用安装文件密文，完成应用的安装。

进一步，如上所述的一种应用程序下载系统，所述SP后台服务器还包括：

SP密钥生成装置，用于生成用于对所述应用安装文件进行加解密处理的SP加密密钥对；SP加密密钥对包括SP加密密钥SPENC和SP解密密钥SPDEC；

SP加密装置，用于在向SEI后台服务器发送应用操作请求前，采用所述SP加密密钥SPENC对应用安装文件进行加密，生成应用安装密文文件；

所述应用安装请求中包括所述应用安装密文文件；

SEI加密装置采用SEI加密密钥PK.SEI.SEC对应用安装密文文件进行加密处理，生成应用安装密文文件密文；

所述SEI后台服务器将应用安装密文文件密文发送到SP后台服务器；

APP生成装置根据所述SP解密密钥SPDEC和应用安装密文文件密文组织脚本，生成APP安装包；

所述APP解析单元解析所下载的APP安装包，得到SP解密密钥SPDEC和应用安装密文文件密文；

安装文件解密单元采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用安装密文文件密文进行解密，得到应用安装密文文件；

所述安全模块SE还包括：

SP解密单元，用于采用解析得到的所述SP解密密钥SPDEC对安装文件解密单元解密得到的所述应用安装密文文件进行解密，得到应用安装文件。

进一步，如上所述的一种应用程序下载系统，所述APP生成装置根据所述SP解密密钥SPDEC和应用安装密文文件密文组织脚本时，还用于在组织的脚本中添加SP应用安装文件加密标识。

进一步，如上所述的一种应用程序下载系统，所述SP密钥生成装置，还用于生成用于对所述应用安装文件进行签名及验签的SP签名密钥对，SP签名密钥对包括SP签名私钥SK.SP.AUT和SP验签公钥PK.SP.AUT；

所述SP后台服务器还包括：

SP签名装置，用于采用所述SP签名私钥SK.SP.AUT对所述应用安装文件进行签名，生成应用提供商SP签名文件SPSIGN；

APP生成装置根据SP解密密钥SPDEC、SP验签公钥PK.SP.AUT、SP签名文件SPSIGN和应用安装密文文件密文组织脚本，生成APP安装包；

所述APP解析单元解析APP安装包，得到SP解密密钥SPDEC、SP验签公钥PK.SP.AUT、SP签名文件SPSIGN和应用安装密文文件密文；

所述安全模块SE还包括：

第一验签单元，用于在执行应用安装文件之前，采用解析得到的SP验签公钥PK.SP.AUT对SP签名文件SPSIGN进行验签，若验签通过，则执行应用安装文件，若验签失败，则结束应用的安装。

进一步，如上所述的一种应用程序下载系统，所述应用操作请求还包括用于满足应用提供商SP对其所提供的应用进行个性化处理的个性化请求；

所述SEI后台服务器还包括：

个性化请求响应脚本生成装置，用于在接收到的所述应用操作请求包括所述个性化请求时，生成满足所述个性化请求的个性化请求响应脚本SE.SCRIPT.PERSON；

SEI后台服务器将个性化请求响应脚本SE.SCRIPT.PERSON和所述应用安装文件密文发送到SP后台服务器；

所述APP生成装置根据SEI后台服务器返回的个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文生成应用程序APP安装包；

所述APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文；

所述应用安装单元，用于执行所述个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文，完成应用个性化操作和应用的安装。

进一步，如上所述的一种应用程序下载系统，所述SEI加密密钥对还用于对个性化请求响应脚本SE.SCRIPT.PERSON进行加解密处理；

所述SEI加密装置，还用于采用所述SEI加密密钥PK.SEI.SEC对个性化请求响应脚本SE.SCRIPT.PERSON进行加密处理，生成个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC；

SEI后台服务器将个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文发送到SP后台服务器；

所述APP生成装置根据个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文组织脚本，生成APP安装包；

所述APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文；

所述安装文件解密单元，还用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC进行解密，得到个性化请求响应脚本SE.SCRIPT.PERSON。

进一步，如上所述的一种应用程序下载系统，所述SEI密钥生成装置，还用于生成用于对由SEI后台服务器发出的文件进行签名及验签的SEI签名密钥对；SEI签名密钥对包括SEI验签公钥PK.SEI.AUT和SEI签名私钥SK.SEI.AUT；

所述SEI密钥管理装置，还用于在安全模块SE生产时将所述SEI签名密钥对的SEI验签公钥PK.SEI.AUT装载到安全模块SE中；

所述SEI后台服务器还包括：

SEI签名装置，用于采用所述SEI签名私钥SK.SEI.AUT对由SEI后台服务器发出的文件进行签名，生成安全模块提供商SEI签名文件SEISIGN；

SEI后台服务器将应用安装文件密文和所述SEI签名文件SEISIGN发送到SP后台服务器；

所述APP生成装置，用于根据SEI签名文件SEISIGN和应用安装文件密文组织脚本，生成应用程序APP安装包；

所述APP解析单元解析所下载的APP安装包，得到SEI签名文件SEISIGN和应用安装文件密文；

所述安全模块SE还包括：

第二验签单元，用于在执行应用安装文件之前，采用安全模块SE中存储的SEI验签公钥PK.SEI.AUT对SEI签名文件SEISIGN进行验签，若验签通过，则执行应用安装文件，若验签失败，则结束应用的安装。

进一步，如上所述的一种应用程序下载系统，所述SEI签名密钥对用于对由SEI后台服务器发出的、在SEI加密装置进行加密处理前的文件进行签名及验签；

SEI签名装置采用SEI签名私钥SK.SEI.AUT对所述由SEI后台服务器发出的、在SEI加密装置进行加密处理前的文件进行签名，生成安全模块提供商SEI签名文件SEISIGN。

进一步，如上所述的一种应用程序下载系统，所述APP生成装置在组织脚本后，还用于为组织后的脚本添加预设的命令头，根据添加命令头后的脚本生成应用程序APP安装包；所述命令头为SP后台服务器与SEI后台服务器协议的、用于标识APP安装包为经过SEI后台服务器安全处理，或者经过SEI后台服务器和SP后台服务器安全处理的安装包。

进一步，如上所述的一种应用程序下载系统，所述APP生成装置在生成APP安装包时，若组织脚本的文件包括个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC、SP解密密钥SPDEC、SP应用安装文件加密标识、应用安装密文文件密文、SP验签公钥PK.SP.AUT、SEI签名文件SEISIGN和SP签名文件SPSIGN，则按照SP应用安装文件加密标识、SP解密密钥SPDEC、PK.SP.AUT、SEISIGN、SPSIGN、SE.SCRIPT.PERSON.SEENC和应用安装密文文件密文的顺序组织脚本。

进一步，如上所述的一种应用程序下载系统，所述SP加密密钥对为SP签名密钥对，所述SP应用安装文件加密标识为APP安装包解析后得到的文件中PK.SP.AUT出现两次。

进一步，如上所述的一种应用程序下载系统，所述个性化请求包括安全域SD创建及SD密钥装载请求；所述SD创建及SD密钥装载请求为SP后台服务器请求安全模块提供商SEI在其提供的安全模块SE中为应用提供商SP创建安全域，应用提供商SP的安全域为专门用于安装移动终端设备上所安装的由该应用提供商SP所提供的应用，并在所创建的安全域中装载SP提供的管理密钥；

所述个性化请求响应脚本SE.SCRIPT.PERSON包括满足SD创建及SD密钥装载需求的脚本；

所述应用安装单元在执行个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件时，首先执行个性化请求响应脚本，然后执行应用安装文件，将应用安装到该应用提供商SP的SD中。

本发明的有益效果在于：本发明所提供的应用程序安全下载系统，基于应用提供商和安全模块提供商线下交互的方式组织脚本，应用提供商SP的脚本以APP的形式发布于应用下载平台，使移动终端设备可以一次性下载所有需要的脚本，离线安装运行，提高了下载的成功率，通过对线下脚本生成的管控，与TSM相比，去掉了对脚本下载时权限的检查，提升了下载效率，且通过SEI方对脚本的加密处理，保证了只有对应的SE才能够正确解密运行应用脚本，在兼顾了简便性的同时，满足了安全性的要求。本发明所提供的方案，无需通过TSM进行时时的交互来完成应用的下载和安装，可有效解决了基于TSM系统进行空中下载方案中需时时联网、耗时较长、容易失败的问题，且避免了搭建TSM系统的成本。

附图说明

图1为实施例一中提供的一种应用程序下载系统的结构示意图；

图2为实施例二中提供的一种应用程序安全下载系统的结构示意图；

图3为实施例三中提供的一种应用程序安全下载系统的结构示意图；

图4为实施例四中提供的一种应用程序安全下载系统的结构示意图；

图5为实施例八中提供的一种应用程序安全下载系统的结构示意图；

图6为实施例八中所示的应用程序安全下载系统的执行流程示意图。

具体实施方式

下面结合说明书附图与具体实施方式对本发明做进一步的详细说明。

实施例一

图1示出了本实施例中提供的一种应用程序安全下载系统的结构示意图，由图中可以看出，所述系统包括安全模块提供商SEI后台服务器120、应用提供商SP后台服务器130以及由安全模块提供商SEI提供的安全模块SE 111；SEI后台服务器120与SP后台服务器130网络连接。

本实施例中，所述SP后台服务器130包括SP应用安装文件生成装置131和操作请求发送装置132、APP生成装置133和APP发布装置134。所述SEI后台服务器120包括SEI密钥生成装置122、SEI密钥管理装置123和SEI加密装置124。

SP应用安装文件生成装置131，用于生成应用的应用安装文件；操作请求发送装置132，用于向SEI后台服务器发送应用操作请求；所述应用操作请求包括应用安装请求，应用安装请求为应用提供商SP用于请求将其所提供的应用安装于安全模块提供商SEI所提供的安全模块SE中的请求，应用安装请求中包括所述应用安装文件；

SEI密钥生成装置122，用于生成用于对所述应用操作请求中的应用安装文件进行加解密处理的SEI加密密钥对；SEI加密密钥对包括SEI加密密钥PK.SEI.SEC和SEI解密密钥SK.SEI.SEC；

SEI密钥管理装置123，用于在安全模块SE生产时将所述SEI解密密钥SK.SEI.SEC装载到安全模块SE中；

SEI加密装置124，用于采用所述SEI加密密钥PK.SEI.SEC对所述应用安装文件进行加密处理，生成应用安装文件密文；

所述SEI后台服务器将应用安装文件密文发送到SP后台服务器；

APP生成装置133，用于根据SEI后台服务器返回的应用安装文件密文组织脚本，生成应用程序APP安装包；其中，所述APP安装包的安装说明信息中包括安全模块提供商SEI信息；

APP发布装置134，用于将所述APP安装包发布到应用下载平台。

本实施例中，安全模块提供商SEI生产提供的安全模块SE用于安装在需要下载并安装由应用提供商SP所提供的应用的移动终端设备中，即需要下载由所述应用提供商SP后台服务器生成并发布的所述APP安装包、并安装该APP安装包对应的应用程序的移动终端设备中。

其中，所述应用安装文件可以是应用可执行下载文件，或者是将应用可执行下载文件进行转化所得到的应用可执行脚本SP.SCRIPT.CAP。其中，所述应用的可执行下载文件为现有技术中应用提供商SP所发布的可执行文件包，应用可执行脚本指的是能够在卡片上直接执行、完成应用安装的脚本。对于不同的卡片应用开发环境，应用的可执行下载文件也会有所不同，例如，对于JAVA卡而言，其可执行下载文件为CAP包，如何将CAP包转换成应用可执行脚本为现有技术。

在实际应用中，所述应用安装文件优选为所述应用可执行脚本SP.SCRIPT.CAP，通过由SP后台服务器完成可执行下载文件到应用可执行脚本的转换，使安装安全模块SE的移动终端设备下载APP安装包后，便能够直接执行解析后得到的应用可执行脚本，完成应用的离线安装。该方案与现有方案相比，移动终端设备在下载APP安装包后，无需由终端设备进行可执行下载文件到应用可执行脚本的转换，可直接执行脚本完成安装，减少了终端设备安全模块的资源消耗，大大提高了应用离线安装的效率，且由于移动终端设备本身资源的限制，由SP后台服务器在开发阶段完成该转换，可有效避免由终端设备完成该转换时造成设备卡顿等现象，进一步提高应用的安装效率。

需要说明的是，本发明所述的应用安装文件可以为新的应用程序的可执行脚本或者为用于实现某一已发布的应用程序的一个功能的可执行脚本。也就是说，通过执行所述应用安装文件，安装的可能是一个新的应用程序，也可能是已安装应用程序的一个新的功能脚本。

本实施例中所提供的安全下载系统，通过应用提供商SP和安全模块提供商SEI的线下交互，即可完成应用安装文件的生成与加密，最终将应用以APP安装包形式发布于应用下载平台(包括但不限于移动终端应用商店、应用下载网页等)，需要安装所述应用提供商SP提供的应用的移动终端设备可以通过从应用下载平台一次性完成安装所需的文件的下载，由于安全模块SE在生产时，已经预先装载了SEI解密密钥SK.SEI.SEC，因此，移动终端设备可以实现应用安装文件密文的离线解密，完成应用的离线运行安装，无需通过TSM进行时时的交互来完成应用的下载及安装，大大提高了应用下载及安装的效率。

此外，由于下载的APP安装包内容中所要执行的应用安装文件是由SEI后台服务器加密处理的文件，因此，移动终端设备只有下载与其所安装的安全模块SE的提供商SEI所对应的APP安装包才能够安装成功，否则即使可以下载，由于SE中存储的SEI解密密钥不对应，在安装运行时也会返回错误，从而保证了只有安装了对应的安全模块SE才能够安装运行应用程序。

需要说明的是，所述安全模块SE在移动终端设备中可以是独立的一个安全芯片，即安全模块与移动终端设备的SIM卡的单独的两个部分，安全模块SE也可以是与移动终端设备的SIM卡为一体化设计，即SIM卡包括内置安全模块SE,移动终端设备与应用下载平台之间的通信是由SIM卡的通信单元完成的。

实施例二

图2示出了本实施例中提供的一种应用程序安全下载系统的结构示意图，本实施例在实施例一的基础上，所述系统还包括安全有所述安全模块SE111的移动终端设备110，安全模块SE 111中装载有由所述SEI后台服务器120生成的SEI解密密钥SK.SEI.SEC。其中：

所述移动终端设备，用于从所述应用下载平台上下载与移动终端设备中所安装的安全模块SE的供应商信息相对应的可下载的应用程序APP安装包，解析所下载的APP安装包，得到应用安装文件密文；

所述安全模块SE，用于采用其所存储的SEI解密密钥SK.SEI.SEC对应用安装文件密文进行解密，得到应用安装文件P，执行所述应用安装文件，完成应用的安装。

由于APP安装包中所要执行的应用安装文件是由SEI后台服务器加密处理的脚本，因此，所述移动终端设备110只有下载与其所安装的安全模块SE的提供商SEI所对应的APP安装包才能够安装成功，否则即使可以下载，由于SE中存储的SEI解密密钥不对应，在安装运行时也会返回错误，从而保证了只有安装了对应的安全模块SE才能够安装运行应用程序。

为了实现对移动终端设备上安装的经过实施例一中上述过程发布的应用(为了描述方便，通称为SP APP)的管理，在本发明的一个实施例中，所述移动终端设备110中还安装有与所述安全模块SE 111通信连接的、用于对安全模块SE中已安装的应用进行管理的SE管理客户端(SE Manage Client)112。所述SE管理客户端112包括APP列表获取单元、APP下载单元和APP解析单元，所述安全模块SE 111包括安装文件解密单元和应用安装单元。在实际操作中，SE管理客户端112可通过预置安装或后下载安装的方式安装到移动终端设备中。其中：

APP列表获取单元，用于从所述应用下载平台上获取与移动终端设备中所安装的安全模块SE的供应商信息相对应的应用程序APP列表；

UI交互单元，用于显示所获取到的APP列表，以供用户从APP列表中选择所要下载的APP，接收用户的APP选择指令；

APP下载单元，用于根据用户的APP选择指令从所述应用下载平台下载指定的APP安装包；

APP解析单元，用于解析所下载的APP安装包，得到应用安装文件密文；

安装文件解密单元，用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用安装文件密文进行解密，得到应用安装文件；

应用安装单元，用于执行所述应用安装文件密文，完成应用的安装。

在实际应用中，当在SE中已经安装了某个或某些应用后，所述UI交互单元还用于显示安全模块SE中已安装的应用的相关信息；所述相关信息包括应用可操作提示信息；UI交互单元还用于接收用户对安全模块SE中已安装的应用的操作请求，此时，所述安全模块SE根据用户的所述操作请求，对已安装的应用完成相应的操作。

实施例三

图3示出了本实施例中提供的一种应用程序安全下载系统的结构示意图，本实施例在实施例一或实施例二的基础上，所述SP后台服务器130发送到SEI后台服务器120的所述应用操作请求中还包括用于满足应用提供商SP对其所提供的应用进行个性化处理的个性化请求。对应的，本实施例中所述的安全下载系统在实施例一的基础上，所述SEI后台服务器120还包括个性化请求响应脚本生成装置121。

所述个性化请求响应脚本生成装置121，用于在接收到的所述应用操作请求包括所述个性化请求时，生成满足所述个性化请求的个性化请求响应脚本SE.SCRIPT.PERSON；

此时，SEI后台服务器120将个性化请求响应脚本SE.SCRIPT.PERSON和所述应用安装文件密文发送到SP后台服务器130；

SP后台服务器130的APP生成装置133根据SEI后台服务器返回的个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文组织脚本，生成应用程序APP安装包；

SE管理客户端112的APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文；

安全模块111的应用安装单元，用于执行所述个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件，完成应用个性化操作和应用的安装。

需要说明的是，所述个性化请求是SP后台服务器根据其实际需要向SEI后台服务器发送的、用于请求SEI后台服务器给出能够使SP后台服务器在SEI所提供的安全模块SE中完成相应的应用个人化操作的应答脚本。

在本发明的一个实施例中，为了提高应用提供商SP对安全模块SE所安装的由其所提供的应用的管理安全性，所述应用个性化请求包括安全域SD创建及SD密钥装载等请求；所述SD创建请求为SP后台服务器请求安全模块提供商SEI在其提供的安全模块SE中为应用提供商SP创建安全域，应用提供商SP的安全域为专门用于安装由该应用提供商SP所提供的应用并在创建的安全域中装载SP提供的管理密钥。

SP通过请求SEI在SE中为其建立SD,使SE中在安装该SP提供的应用时，将SP所有应用都安装在其对应的SD中，且该SD的管理密钥只有SP知道，因此，保证了只有被对应的SP后台服务器才能够实现对SE中安装的其SP应用的后台管理操作。

对应的，此时SEI后台服务器返回的个性化请求响应脚本SE.SCRIPT.PERSON中还包括了满足SD创建及SD密钥装载功能的脚本。所述应用安装单元在执行个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件时，首先执行个性化请求响应脚本SE.SCRIPT.PERSON，完成安全域SD的创建及SD密钥装载，再执行应用安装文件，将应用安装到要求的即与应用提供商SP相对应的安全域SD中。

此外，需要说明是，所述应用安装请求和个性化请求可以同时发送到SEI后台服务器，由后台服务器同时完成对应用安装文件的加密和个性化请求响应脚本SE.SCRIPT.PERSON的生成，SP后台服务器将同时包含应用安装文件的加密脚本和个性化请求响应脚本SE.SCRIPT.PERSON的APP安装包发布，供移动终端设备完成下载，完成个性化操作和应用的装载。在实际应用中，所述应用安装请求和个性化请求也可以在不同的处理流程中分别实现，即SP后台服务器根据需求分别向SEI后台服务器发送安全安装请求和个性化请求，例如，可以只发送应用安装请求或个性化请求，只接收到应用安装文件密文或个性化请求响应脚本SE.SCRIPT.PERSON，根据应用安装文件密文组织脚本生成一APP安装包发布或者根据个性化请求响应脚本SE.SCRIPT.PERSON组织脚本生成一APP安装包发布，移动终端可以分别选择对应不同功能的APP安装包完成应用安装或个性化操作。

为了更详细的描述本发明所提供大的应用程序安全下载系统，下面在实施例一或实施例二或实施例三的基础上，结合实施例四至实施例八进行进一步描述。需要说明的是，实施例四至实施例八中，所述应用安装文件为应用可执行脚本SP.SCRIPT.CAP，即SP应用安装文件生成装置用于生成应用的可执行下载文件，并将可执行下载文件转换为应用可执行脚本SP.SCRIPT.CAP。

实施例四

图4示出了本实施例中提供的一种应用程序安全下载系统的结构示意图，所述系统包括移动终端设备210、安全模块提供商SEI后台服务器220和应用提供商SP后台服务器230，所述移动终端设备210中安装有由安全模块提供商SEI提供的安全模块SE211；SEI后台服务器220与SP后台服务器230网络连接。

本实施例中，所述SP后台服务器230包括SP应用安装文件生成装置231、SP密钥生成装置232、SP加密装置233、操作请求发送装置234、APP生成装置235和APP发布装置236。所述SEI后台服务器220包括个性化请求响应脚本生成装置221、SEI密钥生成装置222、SEI密钥管理装置223和SEI加密装置224。

SP应用安装文件生成装置231，用于生成应用的可执行下载文件，并将可执行下载文件转换为应用可执行脚本SP.SCRIPT.CAP；

SP密钥生成装置232，用于生成用于对所述应用可执行脚本SP.SCRIPT.CAP进行加解密处理的SP加密密钥对；SP加密密钥对包括SP加密密钥SPENC和SP解密密钥SPDEC；

SP加密装置233，用于采用所述SP加密密钥SPENC对应用可执行脚本SP.SCRIPT.CAP进行加密，生成应用可执行密文脚本SP.SCRIPT.CAP.SPENC；

操作请求发送装置234，用于向SEI后台服务器发送应用操作请求；所述应用操作请求包括应用安装请求和用于满足应用提供商SP对其所提供的应用进行个性化处理的个性化请求，应用安装请求为应用提供商SP用于请求将其所提供的应用安装于安全模块提供商SEI所提供的安全模块SE中的请求，应用安装请求中包括所述应用可执行密文脚本SP.SCRIPT.CAP.SPENC；

个性化请求响应脚本生成装置221，用于接收SP后台服务器发送的所述应用操作请求，生成满足所述个性化请求的个性化请求响应脚本SE.SCRIPT.PERSON；

SEI密钥生成装置222，用于生成用于对所述应用操作请求中的应用可执行密文脚本SP.SCRIPT.CAP.SPENC进行加解密处理的SEI加密密钥对；SEI加密密钥对包括SEI加密密钥PK.SEI.SEC和SEI解密密钥SK.SEI.SEC；

SEI密钥管理装置223，用于在安全模块SE生产时将所述SEI解密密钥SK.SEI.SEC装载到安全模块SE中；

SEI加密装置224，用于采用所述SEI加密密钥PK.SEI.SEC对所述应用可执行密文脚本SP.SCRIPT.CAP.SPENC进行加密处理，生成应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC；

所述SEI后台服务器将所述个性化请求响应脚本SE.SCRIPT.PERSON和应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC发送到SP后台服务器；

APP生成装置235，根据所述SP解密密钥SPDEC以及SEI后台服务器返回的个性化请求响应脚本SE.SCRIPT.PERSON和应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC组织脚本，生成APP安装包；

APP发布装置236，用于将所述APP安装包发布到应用下载平台。

所述移动终端设备210的安全模块SE 211中装载有由所述SEI后台服务器220生成的SEI解密密钥SK.SEI.SEC。所述移动终端设备210中还安装有可与所述安全模块SE 211进行通信的、用于对安全模块SE中已安装的应用进行管理的SE管理客户端(SE ManageClient)212。所述SE管理客户端212包括APP列表获取单元、APP下载单元和APP解析单元，所述安全模块SE 211包括安装文件解密单元、SP解密单元和应用安装单元。其中：

APP列表获取单元，用于从所述应用下载平台上获取与移动终端设备中所安装的安全模块SE的供应商信息相对应的可下载的应用程序APP列表；

UI交互单元，用于显示所获取到的APP列表，以供用户从APP列表中选择所要下载的APP，接收用户的APP选择指令；

APP下载单元，用于根据用户的APP选择指令从所述应用下载平台下载指定的APP安装包；

APP解析单元，用于解析所下载的APP安装包，得到SP解密密钥SPDEC、个性化请求响应脚本SE.SCRIPT.PERSON和应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC；

安装文件解密单元，用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC进行解密，得到应用可执行密文脚本SP.SCRIPT.CAP.SPENC；

SP解密单元，用于采用所述SP解密密钥SPDEC对所述应用可执行密文脚本SP.SCRIPT.CAP.SPENC进行解密，得到应用可执行脚本SP.SCRIPT.CAP；

应用安装单元，用于执行所述个性化请求响应脚本SE.SCRIPT.PERSON及应用可执行脚本SP.SCRIPT.CAP，完成应用的安装和相应的个性化处理。

采用本实施例中的方案生成应用程序APP安装包时，为了使安全模块SE在安装时，识别安装包中的应用程序脚本是否需要先解密，所述APP生成装置235根据所述SP脚本解密密钥SPDEC、个性化请求响应脚本SE.SCRIPT.PERSON和应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC组织脚本时，还用于在组织的脚本中添加一SP应用安装文件加密标识，根据添加SP应用安装文件加密标识后的脚本生成APP安装包，以使SE在解析APP安装包时，如果得到该SP应用安装文件加密标识，便可识别出需要对脚本先进行解密处理。其中，所述SP应用安装文件加密标识为SP后台服务器与SEI后台服务器协议约定的，标识的具体实现形式可自定义。

本实施例中所提供的应用程序安全下载系统，在实施例一的基础上，增加了对应用提供商SP所提供的应用可执行脚本的安全处理，适用于应用提供商SP不想将其所提供的应用内容对安全模块提供商SEI开放的情形，实现SP应用脚本对SEI的保密，在生成APP安装包时，通过将SP脚本解密密钥也封装其中，保证了应用安装脚本的明文只对安全模块SE可见，SEI后台服务器、SE管理客户端与用户均不可见，增强了对应用脚本的保护。

实施例五

为了进一步提高应用程序管理的安全性，本实施例中所提供的应用程序安全下载系统，在实施例三或实施例四的基础上，在应用提供商SEI端进一步增强了对个性化请求响应脚本SE.SCRIPT.PERSON的安全处理。

本实施例中，SEI后台服务器所生成的SEI加密密钥对还用于对个性化请求响应脚本SE.SCRIPT.PERSON进行加解密处理；相应的，

SEI加密装置(实施例中的SEI加密装置124或SEI加密装置224)，还用于采用所述SEI加密密钥PK.SEI.SEC对个性化请求响应脚本SE.SCRIPT.PERSON进行加密处理，生成个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC；此时，SEI后台服务器将个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用可执行脚本密文SP.SCRIPT.CAP.SEENC发送到SP后台服务器(基于实施例一中的应用可执行脚本处理方案)，或者是将个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC发送到SP后台服务器(基于实施例二中的应用可执行脚本处理方案)。

在SP后台服务器端，其APP生成装置则根据个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用可执行脚本密文SP.SCRIPT.CAP.SEENC/应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC组织脚本，生成应用程序APP安装包；

对应的，在移动终端设备端，所述APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用可执行脚本密文SP.SCRIPT.CAP.SEENC/应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC；

此时，所述安装文件解密单元，还用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC进行解密，得到个性化请求响应脚本SE.SCRIPT.PERSON。

本实施中所提供的方案中，安全模块提供商SEI对其所提供的应答脚本进行了加密处理，使应用提供商SP无法得知应答脚本的明文，从而保证了对安全模块SE的操作只能由其对应的提供商SEI进行，提高了对SE的安全管理。

实施例六

本实施例中所提供的应用程序安全下载系统，在实施例二、实施例三或者实施例四的基础上，所述SP密钥生成装置，还用于生成用于所述应用可执行脚本SP.SCRIPT.CAP进行签名及验签的SP签名密钥对，SP签名密钥对包括SP签名私钥SK.SP.AUT和SP验签公钥PK.SP.AUT。对应的，所述SP后台服务器还包括SP签名装置，所述安全模块SE还包括第一验签单元。

SP签名装置，用于采用所述SP签名私钥SK.SP.AUT对所述应用可执行脚本SP.SCRIPT.CAP进行签名，生成应用提供商SP签名文件SPSIGN；

此时，所述APP生成装置，用于根据SP验签公钥PK.SP.AUT、SP签名文件SPSIGN、个性化请求响应脚本SE.SCRIPT.PERSON(或个性化请求响应脚本密文)和应用可执行脚本密文SP.SCRIPT.CAP.SEENC(或应用可执行密文脚本密文)组织脚本，生成应用程序APP安装包；

所述APP解析单元解析APP安装包，得到SP验签公钥PK.SP.AUT、SP签名文件SPSIGN、个性化请求响应脚本SE.SCRIPT.PERSON(或个性化请求响应脚本密文)和应用可执行脚本密文SP.SCRIPT.CAP.SEENC(或应用可执行密文脚本密文)；

所述第一验签单元，用于在执行个性化请求响应脚本SE.SCRIPT.PERSON和应用可执行脚本SP.SCRIPT.CAP之前，采用解析得到的SP验签公钥PK.SP.AUT对SPSIGN应用提供商SP签名文件进行验签，若验签通过，则执行脚本，若验签失败，则结束应用的安装。

实施例七

本实施例中所提供的应用程序安全下载方案，在所述实施例二、实施例三、实施例四或者实施例五的基础上，所述SEI密钥生成装置还用于生成用于对由SEI后台服务器发出的脚本进行签名及验签的SEI签名密钥对；SEI签名密钥对包括SEI验签公钥PK.SEI.AUT和SEI签名私钥SK.SEI.AUT；所述SEI后台服务器还包括SEI签名装置，所述安全模块SE还包括第二验签单元。

所述SEI密钥管理装置还用于在安全模块SE生产时将所述SEI签名密钥对的SEI验签公钥PK.SEI.AUT装载到SE中；

所述SEI签名装置，用于采用所述SEI签名私钥SK.SEI.AUT对由SEI后台服务器发出的脚本进行签名，生成SEI签名文件SEISIGEN；

所述SEI后台服务器将个性化请求响应脚本SE.SCRIPT.PERSON(或个性化请求响应脚本密文)、应用可执行脚本密文SP.SCRIPT.CAP.SEENC(或应用可执行密文脚本密文)和所述SEI签名文件SEISIGN(基于实施例四时，还包括SP签名文件SPSIGN)发送到SP后台服务器；

所述APP生成装置，用于根据SEI后台服务器发送来的文件组织脚本，生成应用程序APP安装包；

所述APP解析单元，解析所下载的APP安装包，得到SEI签名文件SEISIGN、个性化请求响应脚本SE.SCRIPT.PERSON(或个性化请求响应脚本密文)和应用可执行脚本密文SP.SCRIPT.CAP.SEENC(或应用可执行密文脚本密文)，若基于实施例四时，则还得到SP签名文件SPSIGEN；

第二验签单元，用于在执行个性化请求响应脚本SE.SCRIPT.PERSON和解密得到的应用可执行脚本SP.SCRIPT.CAP之前，采用安全模块SE中存储的SEI验签公钥PK.SEI.AUT对SEI签名文件SEISIGN进行验签，若验签通过，则执行脚本，若验签失败，则结束应用的安装。

在本发明的一个实施例中，所述SEI签名密钥对优选用于对由SEI后台服务器发出的、在SEI加密装置进行加密处理前的脚本进行签名及验签；相应的，SEI签名装置采用SEI签名私钥SK.SEI.AUT对所述由SEI后台服务器发出的、在SEI加密装置进行加密处理前的脚本进行签名，生成安全模块提供商SEI签名文件SEISIGN。采用该方案，使安全模块SE在完成APP安装包的解析后，可以先对由SEI后台服务器进行加密处理过的文件先解密，然后再依据解密后的文件进行SEISIGN的验签，两重保障，防止了SEI后台服务器进行加密前的脚本被篡改。

需要说明的是，所述由SEI后台服务器发出的脚本不单是由SEI后台服务器自身生成的脚本，也包括SEI后台服务器接收到的、需要经其处理并再发出去的脚本。对于前文不同的实施例中，由SEI后台服务器发出的脚本是不同的，因此，由所述SEI签名装置进行签名处理的脚本也是不同的，如实施例一中，由SEI后台服务器发出的脚本(发送到SP后台服务器)即为所述应用可执行脚本SP.SCRIPT.CAP，实施例二，由SEI后台服务器发出的脚本则为所述应用可执行脚本SP.SCRIPT.CAP和个性化请求响应脚本SE.SCRIPT.PERSON。

在本发明的一个实施例中，为了提高移动终端设备中应用的离线安装效率，所述APP生成装置在APP安装包时，若组织脚本的文件包括个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC、SP解密密钥SPDEC、SP应用安装文件加密标识、应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC、SP验签公钥PK.SP.AUT、SEI签名文件SEISIGN和SP签名文件SPSIGN，则按照SP应用安装文件加密标识、SP解密密钥SPDEC、PK.SP.AUT、SEISIGN、SPSIGN、SE.SCRIPT.PERSON.SEENC和SP.SCRIPT.CAP.SPENC.SEENC的顺序组织脚本。

在一个优选实施例中，所述SP加密密钥对可以直接采用所述SP签名密钥对，所述SP应用安装文件加密标识为APP安装包解析后PK.SP.AUT出现两次，即此时无需再专门设置一SP应用安装文件加密标识，根据PK.SP.AUT的出现次数即可判断出SP后台服务器是否对其生成的脚本进行了加密处理。

此外，为了使安全模块在安装应用时，知晓所安装的应用的安装包是需要进行特殊解密及验签处理的安装包，本发明的一个实施例中，所述APP生成装置在组织脚本后，还用于为组织后的脚本添加预设的命令头，根据添加命令头后的脚本生成应用程序APP安装包；所述命令头为SP后台服务器与SEI后台服务器协议的、用于标识APP安装包为经过SEI后台服务器安全处理，或者经过SEI后台服务器和SP后台服务器安全处理的安装包。

实施例八

图5示出了的一个优选实施例中的一种应用程序安全下载系统的结构示意图，本实施例中，SP后台服务器330包括SP应用安装文件生成装置331、SP密钥生成装置332、SP加密装置333、SP签名装置334和操作请求发送装置335、APP生成装置336和APP发布装置337。

SEI后台服务器320包括个性化请求响应脚本生成装置321、SEI密钥生成装置322、SEI密钥管理装置323、SEI加密装置324和SEI签名装置325。

移动终端设备310的安全模块客户端312包括APP列表获取单元、UI交互单元、APP下载单元和APP解析单元；安全模块SE 311包括安装文件解密单元、SP解密单元、第一验签单元、第二验签单元和应用安装单元。

本实施例中该系统的具体实施流程如下(如图6中所示)：

应用提供商SP方和安全模块提供商SEI方分别生成各自所需的密钥，具体如下：

对于SP方：SP密钥生成装置332生成用于对SP后台服务器生成的脚本(应用可执行脚本SP.SCRIPT.CAP)进行加解密处理的SP加密密钥对，生成用于对SP后台服务器生成的脚本进行签名和验签的SP签名密钥对，SP签名密钥对包括SP签名私钥SK.SP.AUT和SP验签公钥PK.SP.AUT。

在实际应用中，SP加密密钥对和SP签名密钥对的具体采用何种密钥形式、如何生成均可以根据需要进行设定，本实施例中，为了降低处理的复杂度，SP加密密钥对和SP签名密钥对选定相同的密钥对，即SP签名私钥SK.SP.AUT既用于对脚本进行签名，也用于对脚本加密，同样，SP验签公钥PK.SP.AUT既用于验签，也用于对加密的脚本进行解密。

对于SEI方：SEI密钥生成装置322生成用于SEI后台服务器生成的脚本以及用于对SP后台服务器发送来的脚本进行加解密处理的SEI加密密钥对，生成用于对由SEI后台服务器发出的、由SEI加密装置进行加密处理前的脚本进行签名及验签的SEI签名密钥对；SEI加密密钥对包括SEI加密密钥PK.SEI.SEC和SEI解密密钥SK.SEI.SEC，SEI签名密钥对包括SEI验签公钥PK.SEI.AUT和SEI签名私钥SK.SEI.AUT。SEI方在完成所需的密钥生成后，其SEI密钥管理装置323在安全模块SE生产时将所述SEI验签公钥PK.SEI.AUT和SEI解密密钥SK.SEI.SEC装载到安全模块SE中。

其中，SEI加密密钥对可以是对称加密密钥对，也可以是非对称加密密钥对，也就是说，PK.SEI.SEC和SK.SEI.SEC可以相同，也可以不同(一个公钥，一个私钥)，在速度要求较高的场合可以使用对称算法以提高下载的速度。所述SEI加密密钥PK.SEI.SEC可以是一个或多个，对应的SEI解密密钥SK.SEI.SEC也可以是一个或多个。

本实施例中，以JAVA语言开发的应用为例进行说明，对应的，用户的移动终端设备中安装的为JAVA卡，SEI提供的安全模块SE与JAVA卡集成设置。为了实现应用安全的在线下载、离线安装，本实施例中对应用的处理如下：

应用提供商SP根据应用需求开发应用，具体的，SP后台服务器的SP应用安装文件生成装置331生成应用的可执行下载文件CAP包，并将CAP包转换为应用可执行脚本SP.SCRIPT.CAP(应用的明文脚本)。

SP加密装置333采用所述SK.SP.AUT对SP.SCRIPT.CAP进行加密，生成应用可执行密文脚本SP.SCRIPT.CAP.SPENC。

SP签名装置334采用所述SK.SP.AUT对PK.SP.AUT+SP.SCRIPT.CAP进行签名(当然，也可以只对SP.SCRIPT.CAP进行签名)，生成SP签名文件SPSIGN。

为了发布应用，以使移动终端设备能够下载、并能够在其安全模块中安装所述应用，SP后台服务器需要向SEI后台服务器发送应用操作请求；所述应用操作请求包括应用安装请求和个性化请求。具体的，所述应用安装请求包括所述应用可执行密文脚本SP.SCRIPT.CAP.SPENC。

SEI后台服务器接收到SP后台服务器发送的所述应用操作请求后，其个性化请求响应脚本生成装置321生成满足所述个性化请求的个性化请求响应脚本SE.SCRIPT.PERSON。为了保证由SEI后台服务器发出的脚本不被篡改，SEI签名装置325采用SEI签名私钥SK.SEI.AUT对SE.SCRIPT.PERSON+SP.SCRIPT.CAP.SPENC进行签名，生成SEISIGN，为了控制只有对应SEI提供的安全模块SE能够运行应用可执行脚本SP.SCRIPT.CAP和安装个性化请求响应脚本SE.SCRIPT.PERSON，SEI加密装置324采用PK.SEI.SEC分别对SP.SCRIPT.CAP.SPENC和SE.SCRIPT.PERSON进行加密处理，生成SP.SCRIPT.CAP.SPENC.SEENC和SE.SCRIPT.PERSON.SEENC。

完成上述签名和加密处理后，SEI后台服务器将个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC、应用可执行密文脚本密文SP.SCRIPT.CAP.SPENC.SEENC和SEISIGN发送给SP后台服务器。

SP后台服务器接收到SEI后台服务器发送来的SE.SCRIPT.PERSON.SEENC、SP.SCRIPT.CAP.SPENC.SEENC和SEISIGN后，APP生成装置336按照SP验签公钥PK.SP.AUT、PK.SP.AUT、SEISIGN、SPSIGN、SE.SCRIPT.PERSON.SEENC和SP.SCRIPT.CAP.SPENC.SEENC的顺序组织脚本并添加预设的五字节命令头(此五字节命令头用来表明指令不是普通的APDU指令，而是需要特殊解密及验签处理的指令)，生成应用程序APP安装包。其中，所述APP安装包的安装说明信息(APP的命名或其它说明书信息)中包括安全模块提供商SEI信息，还可以包括应用提供商SP信息以及其它功能说明信息等，如图6中所示，在应用下载平台(公共安全环境)上发布的应用，由其安装说明信息可以看出该应用对应的是哪个安全模块提供商以及是由哪个应用提供商提供的，如图中所示的SEI1中的SP1SCRIPT1标识对应的安装包是由应用提供商SP1提供的、对应的可下载该应用的安全模块提供商是SEI 1。完成APP安装包的生成后，APP发布装置337将所述APP安装包发布到应用下载平台，所述应用下载平台包括但不限于应用商店、网页等公共APP发布平台。至此，完成了应用程序的发布。

安装了安全模块SE的移动终端设备(如智能手机等)可以从所述应用下载平台下载所需的应用程序的安装包，并进行离线安装。

为了实现对设备上安装的经过上述过程发布的应用(为了描述方便，通称为SPAPP)的管理，本实施例中通过在设备上安装一个安全模块SE管理客户端SE Manage Client作为一级App，一级App可对SP APP进行发现、下载和其它管理，提供给SP APP与安全模块SE进行通讯的接口。当SP APP运行后，会改变SE Manage Client显示的SE中所安装的SP APP的信息。

在需要下载APP时，SE管理客户端的APP列表获取单元从所述应用下载平台上获取与移动终端设备中所安装的安全模块SE的供应商信息相对应的应用程序APP列表。由于APP安装包的安装说明信息(APP的命名或其它说明书信息)中包括安全模块提供商SEI信息，因此，SE Manage Client能够获取到与设备中所安装的安全模块SE的提供商信息相对应的APP列表，不同SEI的SE能获取到的SP APP的列表是不同的，因为SP APP中的内容有SE加密的部分，只有对应的SE下载对应的SP APP才能执行成功，否则即便可以下载和安装，运行时也会返回错误，从而保证了只有购买或者与SP有合作关系的SE才可以成功运行SP APP，是一对一的合作关系。

获取到APP列表后，UI交互单元显示所获取到的APP列表，以供用户从APP列表中选择所要下载的APP，并接收用户的APP选择指令，由APP下载单元根据用户的APP选择指令从所述应用下载平台下载指定的APP安装包，APP解析单元解析APP安装包，将解析后的内容发送给安全模块SE，由安全模块SE完成APP的离线安装。

APP解析单元解析所下载的APP安装包，按照APP安装包的脚本组织顺序，将依次解析得到PK.SP.AUT、PK.SP.AUT、SEISIGN、SPSIGN、SE.SCRIPT.PERSON.SEENC和SP.SCRIPT.CAP.SPENC.SEENC。在解析过程中，解析到SP验签密钥PK.SP.AUT后，首先将SP验签密钥PK.SP.AUT存储,然后根据是否出现SP应用安装文件加密标识判断SP脚本是否是经过加密处理的，即CAP包的内容是否需要对SEI保密的，本实施例中的判断过程为：

如果PK.SP.AUT出现两次，则说明CAP包的内容需要对SEI保密，如果PK.SP.AUT出现一次，则说明CAP包的内容不需要对SEI保密。本实施例中，判断出SP后台服务器是对其生成的脚本进行了加密处理的。

由于SE中预装载了SEI解密密钥SK.SEI.SEC，因此，安装文件解密单元可以采用SEI解密密钥SK.SEI.SEC分别对解析后的SE.SCRIPT.PERSON.SEENC和SP.SCRIPT.CAP.SPENC.SEENC进行解密处理，得到SE.SCRIPT.PERSON和SP.SCRIPT.CAP.SPENC。由于安全模块SE中预装载有SEI验签公钥PK.SEI.AUT，第二验签单元通过使用PK.SEI.AUT对明文数据SE.SCRIPT.PERSON+SP.SCRIPT.CAP.SPENC与待验签数据SEISIGN进行验签得到验签结果，若验签通过，则继续执行后续的安装运行流程，若验签失败，则结束应用的安装流程。对SE.SCRIPT.PERSON.SEENC及SP.SCRIPT.CAP.SPENC.SEENC进行部分解密后即得到部分明文数据后即可开始验签工作，并开始执行SE.SCRIPT.PERSON并解析SP.SCRIPT.CAP.SPENC，若SE.SCRIPT.PERSON.SEENC及SP.SCRIPT.CAP.SPENC.SEENC解密完成后验签结果失败，则立刻停止脚本执行。

SP解密单元采用解析得到的PK.SP.AUT对上述解密得到的SP.SCRIPT.CAP.SPENC进行解密，得到SP.SCRIPT.CAP，第一验签单元通过对明文数据PK.SP.AUT+SP.SCRIPT.CAP及待验签数据SPSIGN进行验签，得到验签结果，若验签通过，则继续后续的流程，若验签失败，则结束整个流程。对SP.SCRIPT.CAP.SPENC进行部分解密即得到部分SP.SCRIPT.CAP数据后即可开始验签过程，并可同时执行脚本SP.SCRIPT.CAP，以提高运行效率，如果执行的过程中验签失败，则立刻停止脚本执行，终止整个安装流程。

需要说明的是，在实际操作中，如果SP后台服务器只想请求SEI后台服务器对其提供的SE中安装的SP提供的某一应用进行某一操作，例如，删除应用，而该操作的实现无需SP后台服务器生成脚本，只需执行SEI后台服务器的个性化请求响应脚本SE.SCRIPT.PERSON，此时，SP后台服务器向SEI后台服务器发送的应用操作请求中只需要包括所需要实现的操作请求，即没有应用可执行脚本SP.SCRIPT.CAP，SP后台服务器接收到SEI后台服务器返回的满足其请求的脚本SE.SCRIPT.PERSON，则只需要按照SEISIGN，SE.SCRIPT.PERSON.SEENC的顺序组织脚本并添加五字节的命令组织脚本生成APP放置在应用下载平台即可，此时，移动终端设备中下载了该APP安装包中，解析后PK.SP.AUT未出现，说明不需下载SP.SCRIPT.CAP，SE只需执行SE.SCRIPT.PERSON脚本完成对应的操作即可。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其同等技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (15)

1.一种应用程序安全下载系统，其特征在于，包括安全模块提供商SEI后台服务器、应用提供商SP后台服务器以及由安全模块提供商SEI提供的安全模块SE，SEI后台服务器与SP后台服务器网络连接；

所述SP后台服务器包括：

SP应用安装文件生成装置，用于开发生成应用的应用安装文件；

操作请求发送装置，用于向SEI后台服务器发送应用操作请求；所述应用操作请求包括应用安装请求，应用安装请求为应用提供商SP用于请求将其所提供的应用安装于安全模块提供商SEI所提供的安全模块SE中的请求，应用安装请求中包括所述应用安装文件；

所述SEI后台服务器包括：

SEI密钥生成装置，用于生成用于对所述应用操作请求中的应用安装文件进行加解密处理的SEI加密密钥对；SEI加密密钥对包括SEI加密密钥PK.SEI.SEC和SEI解密密钥SK.SEI.SEC；

SEI密钥管理装置，用于在安全模块SE生产时将所述SEI解密密钥SK.SEI.SEC装载到安全模块SE中；

SEI加密装置，用于采用所述SEI加密密钥PK.SEI.SEC对所述应用安装文件进行加密处理，生成应用安装文件密文；

所述SEI后台服务器将应用安装文件密文发送到SP后台服务器；

所述SP后台服务器还包括：

APP生成装置，用于根据SEI后台服务器返回的应用安装文件密文组织脚本，生成应用程序APP安装包；其中，所述APP安装包的安装说明信息中包括安全模块提供商SEI信息；

APP发布装置，用于将所述APP安装包发布到应用下载平台；

其中，所述安全模块SE用于安装于需要下载并安装应用提供商SP所提供的应用的移动终端设备中。

2.根据权利要求1所述的一种应用程序下载系统，其特征在于，所述应用安装文件为应用可执行下载文件，或者为将应用可执行下载文件转换生成的应用可执行脚本SP.SCRIPT.CAP。

3.根据权利要求2所述的一种应用程序下载系统，其特征在于，所述系统还包括安装有所述安全模块SE的移动终端设备；

所述移动终端设备，用于从所述应用下载平台上下载与移动终端设备中所安装的安全模块SE的提供商SEI信息相对应的可下载的应用程序APP安装包，解析所下载的APP安装包，得到应用安装文件密文；

所述安全模块SE，用于采用其所存储的SEI解密密钥SK.SEI.SEC对解析得到的应用安装文件密文进行解密，得到应用安装文件，执行所述应用安装文件，完成应用的安装。

4.根据权利要求3所述的一种应用程序安全下载系统，其特征在于，所述移动终端设备中安装有可与所述安全模块SE通信的、用于对安全模块SE中所安装的应用进行管理的SE管理客户端SE Manage Client；所述SE管理客户端包括：

APP列表获取单元，用于从所述应用下载平台上获取与移动终端设备中所安装的安全模块SE的提供商SEI信息相对应的可下载的应用程序APP列表；

UI交互单元，用于显示所获取到的APP列表，以供用户从APP列表中选择所要下载的APP，接收用户的APP选择指令；

APP下载单元，用于根据用户的APP选择指令从所述应用下载平台下载指定的APP安装包；

APP解析单元，用于解析所下载的APP安装包，得到应用安装文件密文；

所述安全模块SE包括：

安装文件解密单元，用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用安装文件密文进行解密，得到应用安装文件；

应用安装单元，用于执行解密得到的所述应用安装文件密文，完成应用的安装。

5.根据权利要求4所述的一种应用程序安全下载系统，其特征在于：所述SP后台服务器还包括：

SP密钥生成装置，用于生成用于对所述应用安装文件进行加解密处理的SP加密密钥对；SP加密密钥对包括SP加密密钥SPENC和SP解密密钥SPDEC；

SP加密装置，用于在向SEI后台服务器发送应用操作请求前，采用所述SP加密密钥SPENC对应用安装文件进行加密，生成应用安装密文文件；

所述应用安装请求中包括所述应用安装密文文件；

SEI加密装置采用SEI加密密钥PK.SEI.SEC对应用安装密文文件进行加密处理，生成应用安装密文文件密文；

所述SEI后台服务器将应用安装密文文件密文发送到SP后台服务器；

APP生成装置根据所述SP解密密钥SPDEC和应用安装密文文件密文组织脚本，生成APP安装包；

所述APP解析单元解析所下载的APP安装包，得到SP解密密钥SPDEC和应用安装密文文件密文；

安装文件解密单元采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对应用安装密文文件密文进行解密，得到应用安装密文文件；

所述安全模块SE还包括：

SP解密单元，用于采用解析得到的所述SP解密密钥SPDEC对安装文件解密单元解密得到的所述应用安装密文文件进行解密，得到应用安装文件。

6.根据权利要求5所述的一种应用程序安全系统，其特征在于：所述APP生成装置根据所述SP解密密钥SPDEC和应用安装密文文件密文组织脚本时，还用于在组织的脚本中添加SP应用安装文件加密标识。

7.根据权利要求5所述的一种应用程序安全下载系统，其特征在于：

所述SP密钥生成装置，还用于生成用于对所述应用安装文件进行签名及验签的SP签名密钥对，SP签名密钥对包括SP签名私钥SK.SP.AUT和SP验签公钥PK.SP.AUT；

所述SP后台服务器还包括：

SP签名装置，用于采用所述SP签名私钥SK.SP.AUT对所述应用安装文件进行签名，生成应用提供商SP签名文件SPSIGN；

APP生成装置根据SP解密密钥SPDEC、SP验签公钥PK.SP.AUT、SP签名文件SPSIGN和应用安装密文文件密文组织脚本，生成APP安装包；

所述APP解析单元解析APP安装包，得到SP解密密钥SPDEC、SP验签公钥PK.SP.AUT、SP签名文件SPSIGN和应用安装密文文件密文；

所述安全模块SE还包括：

第一验签单元，用于在执行应用安装文件之前，采用解析得到的SP验签公钥PK.SP.AUT对SP签名文件SPSIGN进行验签，若验签通过，则执行应用安装文件，若验签失败，则结束应用的安装。

8.根据权利要求3所述的一种应用程序安全下载系统，其特征在于：所述应用操作请求还包括用于满足应用提供商SP对其所提供的应用进行个性化处理的个性化请求；

所述SEI后台服务器还包括：

个性化请求响应脚本生成装置，用于在接收到的所述应用操作请求包括所述个性化请求时，生成满足所述个性化请求的个性化请求响应脚本SE.SCRIPT.PERSON；

SEI后台服务器将个性化请求响应脚本SE.SCRIPT.PERSON和所述应用安装文件密文发送到SP后台服务器；

所述APP生成装置根据SEI后台服务器返回的个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文生成应用程序APP安装包；

所述APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文；

所述应用安装单元，用于执行所述个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件密文，完成应用个性化操作和应用的安装。

9.根据权利要求8所述的一种应用程序安全下载系统，其特征在于：所述SEI加密密钥对还用于对个性化请求响应脚本SE.SCRIPT.PERSON进行加解密处理；

所述SEI加密装置，还用于采用所述SEI加密密钥PK.SEI.SEC对个性化请求响应脚本SE.SCRIPT.PERSON进行加密处理，生成个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC；

SEI后台服务器将个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文发送到SP后台服务器；

所述APP生成装置根据个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文组织脚本，生成APP安装包；

所述APP解析单元解析所下载的APP安装包，得到个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC和应用安装文件密文；

所述安装文件安装文件解密单元，还用于采用安全模块SE中存储的SEI解密密钥SK.SEI.SEC对个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC进行解密，得到个性化请求响应脚本SE.SCRIPT.PERSON。

10.根据权利要求1至9之一所述的一种应用程序安全下载系统，其特征在于：

所述SEI密钥生成装置，还用于生成用于对由SEI后台服务器发出的文件进行签名及验签的SEI签名密钥对；SEI签名密钥对包括SEI验签公钥PK.SEI.AUT和SEI签名私钥SK.SEI.AUT；

所述SEI密钥管理装置，还用于在安全模块SE生产时将所述SEI签名密钥对的SEI验签公钥PK.SEI.AUT装载到安全模块SE中；

所述SEI后台服务器还包括：

SEI签名装置，用于采用所述SEI签名私钥SK.SEI.AUT对由SEI后台服务器发出的文件进行签名，生成安全模块提供商SEI签名文件SEISIGN；

SEI后台服务器将应用安装文件密文和所述SEI签名文件SEISIGN发送到SP后台服务器；

所述APP生成装置，用于根据SEI签名文件SEISIGN和应用安装文件密文组织脚本，生成应用程序APP安装包；

所述APP解析单元解析所下载的APP安装包，得到SEI签名文件SEISIGN和应用安装文件密文；

所述安全模块SE还包括：

第二验签单元，用于在执行应用安装文件之前，采用安全模块SE中存储的SEI验签公钥PK.SEI.AUT对SEI签名文件SEISIGN进行验签，若验签通过，则执行应用安装文件，若验签失败，则结束应用的安装。

11.根据权利要求10所述的一种应用程序安全下载系统，其特征在于，所述SEI签名密钥对用于对由SEI后台服务器发出的、在SEI加密装置进行加密处理前的文件进行签名及验签；

SEI签名装置采用SEI签名私钥SK.SEI.AUT对所述由SEI后台服务器发出的、在SEI加密装置进行加密处理前的文件进行签名，生成安全模块提供商SEI签名文件SEISIGN。

12.根据权利要求1至9之一所述的一种应用程序安全下载系统，其特征在于，所述APP生成装置在组织脚本后，还用于为组织后的脚本添加预设的命令头，根据添加命令头后的脚本生成应用程序APP安装包；所述命令头为SP后台服务器与SEI后台服务器协议的、用于标识APP安装包为经过SEI后台服务器安全处理，或者经过SEI后台服务器和SP后台服务器安全处理的安装包。

13.根据权利要求10所述的一种应用程序安全下载系统，其特征在于，所述APP生成装置在生成APP安装包时，若组织脚本的文件包括个性化请求响应脚本密文SE.SCRIPT.PERSON.SEENC、SP解密密钥SPDEC、SP应用安装文件加密标识、应用安装密文文件密文、SP验签公钥PK.SP.AUT、SEI签名文件SEISIGN和SP签名文件SPSIGN，则按照SP应用安装文件加密标识、SP解密密钥SPDEC、PK.SP.AUT、SEISIGN、SPSIGN、SE.SCRIPT.PERSON.SEENC和应用安装密文文件密文的顺序组织脚本。

14.根据权利要求10所述的一种应用程序安全下载系统，其特征在于，所述SP加密密钥对为SP签名密钥对，所述SP应用安装文件加密标识为APP安装包解析后得到的文件中PK.SP.AUT出现两次。

15.根据权利要求8所述的一种应用程序安全下载系统，其特征在于，所述个性化请求包括安全域SD创建及SD密钥装载请求；所述SD创建及SD密钥装载请求为SP后台服务器请求安全模块提供商SEI在其提供的安全模块SE中为应用提供商SP创建安全域，应用提供商SP的安全域为专门用于安装移动终端设备上所安装的由该应用提供商SP所提供的应用，并在所创建的安全域中装载SP提供的管理密钥；

所述个性化请求响应脚本SE.SCRIPT.PERSON包括满足SD创建及SD密钥装载需求的脚本；

所述应用安装单元在执行个性化请求响应脚本SE.SCRIPT.PERSON和应用安装文件时，首先执行个性化请求响应脚本，然后执行应用安装文件，将应用安装到该应用提供商SP的SD中。