CN109413648B - 访问控制方法、终端、智能卡、后台服务器及存储介质 - Google Patents

Abstract

本发明提供了一种访问控制方法、终端、智能卡、后台服务器及存储介质，该访问控制方法包括：客户端应用的中间件将通过非接触通道通信连接的智能卡的卡标识信息发送至后台服务器，然后基于后台服务器返回的第一随机数生成在线认证请求而发送至智能卡，中间件接收并发送智能卡返回的第二随机数和基于第一随机数生成的卡鉴权参数至后台服务器，后台服务器对卡鉴权参数验证通过而基于第二随机数生成外部鉴权参数，然后通过中间件发送至智能卡进行外部鉴权参数的认证，在智能卡对外部鉴权参数的认证也通过时，建立客户端应用对智能卡的正常访问。通过双向认证保证了客户端应用通过非接触式通道访问智能卡的合法性，有效提升了机卡通信的安全性。

Description

访问控制方法、终端、智能卡、后台服务器及存储介质

技术领域

本发明涉及移动通信技术领域，尤其涉及一种访问控制方法、终端、智能卡、后台服务器及存储介质。

背景技术

随着技术的不断演进，蓝牙(Bluetooth)通信等许多无线通信技术被集成到SIM(Subscriber Identity Module，客户识别模块)卡、USIM(Universal SubscriberIdentity Module，全球用户识别模块)卡、UIM(User Identity Module，用户识别模块)卡和SD卡(Secure Digital Memory Card，安全数字存储卡)等智能卡中，使得手机等终端可以通过蓝牙等非接触连接方式与智能卡通信，从而打通了终端与智能卡之间的机卡高速数据通道，使得智能卡不仅提供电信功能，还可以通过蓝牙等通道支持各种新的应用的下载与运行，摆脱了基带芯片和操作系统对智能卡访问的限制；另一方面，终端可通过应用程序来访问智能卡中的安全元件(SE)来完成数据加密/解密，签名/验签等安全操作，从而提升应用程序的安全性。

由于智能卡存储了越来越多的非常重要的个人化数据，因此必须向用户提供必要的手段来对智能卡中存储的数据进行访问、更新等管理，为此需要通过机卡接口进行实现，然而与普通智能卡在7816接口上的访问控制措施相比，目前应用程序通过非接触方式访问如蓝牙智能卡等智能卡时，尚不具备成熟、标准的接口来实现机卡通信，从而终端厂家只有开放终端操作系统的机卡接口，以供应用程序访问，但是在这种情况下，应用程序虽然能够很方便的访问智能卡，但是会存在很大的安全隐患，如非法应用程序通过机卡接口对智能卡发动攻击等，为此，业内亟需一种安全的访问控制策略来为应用程序对智能卡的访问提供安全保障。

发明内容

本发明提供了一种访问控制方法、终端、智能卡、后台服务器及存储介质，以解决现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的技术问题。

为了解决上述技术问题，本发明采用以下技术方案：

本发明提供了一种访问控制方法，该访问控制方法包括：

终端在终端上的客户端应用请求访问智能卡时，确定与客户端应用的中间件通过非接触通道通信连接的智能卡的卡标识信息，并通过中间件发送至后台服务器；

终端在中间件接收到后台服务器返回的第一随机数时，控制中间件向智能卡发送在线认证请求；在线认证请求包括客户端应用的应用标识信息以及第一随机数；

终端在中间件接收到智能卡返回的第二随机数以及基于第一随机数生成的卡鉴权参数时，控制中间件将卡鉴权参数以及第二随机数发送至后台服务器，以使后台服务器对卡鉴权参数进行认证；

终端在中间件接收到后台服务器对卡鉴权参数认证通过，而发送过来的基于第二随机数生成的外部鉴权参数时，控制中间件将外部鉴权参数发送至智能卡，以使智能卡对外部鉴权参数进行认证；

终端在中间件接收到智能卡对外部鉴权参数认证通过而发送过来的在线认证通过响应时，建立客户端应用对智能卡的正常访问。

进一步地，在建立客户端应用对智能卡的正常访问之后，还包括：

基于外部鉴权参数以及应用标识信息生成外部认证记录；

对外部认证记录进行保存。

进一步地，还包括：

在客户端应用再次请求访问智能卡时，控制中间件向智能卡发送离线认证请求；离线认证请求包括应用标识信息；

在中间件接收到智能卡返回的第三随机数时，基于外部认证记录与第三随机数生成离线认证鉴权参数；

控制中间件将离线认证鉴权参数发送至智能卡，以使智能卡基于所保存的外部认证记录对离线认证鉴权参数进行认证；

在中间件接收到智能卡对离线认证鉴权参数认证通过而发送过来的离线认证通过响应时，建立客户端应用对智能卡的正常访问。

进一步地，在对外部认证记录进行保存之后，还包括：

确定当前所累积的认证次数；

对认证次数进行保存。

更进一步地，智能卡为蓝牙智能卡。

本发明还提供了一种访问控制方法，该访问控制方法包括：

智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求；在线认证请求包括客户端应用的应用标识信息，以及终端将所确定的智能卡的卡标识信息通过中间件发送至后台服务器后所获取的第一随机数；

智能卡基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件；

智能卡接收到中间件将卡鉴权参数以及第二随机数发送至后台服务器之后，后台服务器对卡鉴权参数认证通过而经过中间件发送过来的基于第二随机数生成的外部鉴权参数时，对外部鉴权参数进行认证；

智能卡在对外部鉴权参数认证通过时，向中间件发送在线认证通过响应，而允许终端上的客户端应用的正常访问。

进一步地，在智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求之前，还包括：

检测在预设的时间周期内是否未接收到在线认证请求；

若是，则断开通过非接触通道与终端的通信连接。

进一步地，智能卡基于第一随机数生成卡鉴权参数包括：

智能卡通过第一密钥对第一随机数进行加密而生成卡鉴权参数；

对外部鉴权参数进行认证包括：

通过第一密钥，对后台服务器根据根秘钥以及卡标识信息分散出的第二密钥加密第二随机数所生成的外部鉴权参数进行解密；第一密钥与第二密钥为对称密钥；

通过第二随机数对解密出的随机数进行比对认证。

进一步地，智能卡为蓝牙智能卡。

更进一步地，在向中间件发送认证通过响应之后，还包括：

基于外部鉴权参数以及应用标识信息生成外部认证记录；

对外部认证记录进行保存。

进一步地，还包括：

当接收到中间件发送过来的离线认证请求时，生成第三随机数，并将第三随机数返回至中间件；离线认证请求包括应用标识信息；

接收中间件发送过来的基于所存储的外部认证记录以及第三随机数所生成离线认证鉴权参数；

根据自身所保存的外部认证记录对离线认证鉴权参数进行认证；

在对离线认证鉴权参数认证通过时，向中间件发送离线认证通过响应，而允许终端上的客户端应用的正常访问。

本发明还提供了一种访问控制方法，该访问控制方法包括：

后台服务器接收终端在客户端应用请求访问智能卡，而由客户端应用的中间件发送过来的所确定的智能卡的卡标识信息时，生成第一随机数，并将第一随机数返回至中间件；

后台服务器在接收到中间件发送过来的、由智能卡生成的第二随机数以及基于第一随机数生成的卡鉴权参数时，对卡鉴权参数进行认证；

后台服务器在对卡鉴权参数认证通过时，基于第二随机数生成外部鉴权参数，并将外部鉴权参数发送至中间件，以使中间件将外部鉴权参数发送至智能卡进行认证。

进一步地，本发明还提供了一种终端，该终端包括第一处理器、第一存储器、第一通信总线；

第一通信总线用于实现第一处理器和第一存储器之间的连接通信；

第一处理器用于执行第一存储器中存储的一个或者多个程序，以实现上述应用于终端的访问控制方法的步骤。

进一步地，本发明还提供了一种智能卡，该智能卡包括第二处理器、第二存储器、第二通信总线；

第二通信总线用于实现第二处理器和第二存储器之间的连接通信；

第二处理器用于执行第二存储器中存储的一个或者多个程序，以实现上述应用于智能卡的访问控制方法的步骤。

进一步地，本发明还提供了一种后台服务器，该后台服务器包括第三处理器、第三存储器、第三通信总线；

第三通信总线用于实现第三处理器和第三存储器之间的连接通信；

第三处理器用于执行第三存储器中存储的一个或者多个程序，以实现上述应用于后台服务器的访问控制方法的步骤。

进一步地，本发明还提供了一种计算机可读存储介质，该计算机可读存储介质存储有第一访问控制程序，第一访问控制程序可被一个或者多个处理器执行，以实现上述应用于终端的访问控制方法的步骤；或，计算机可读存储介质存储有第二访问控制程序，第二访问控制程序可被一个或者多个处理器执行，以实现上述应用于智能卡的访问控制方法的步骤；或，计算机可读存储介质存储有第三访问控制程序，第三访问控制程序可被一个或者多个处理器执行，以实现上述应用于后台服务器的访问控制方法的步骤。

本发明的有益效果为：

本发明提供了一种访问控制方法、终端、智能卡、后台服务器及存储介质，针对现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的缺陷，该访问控制方法包括：客户端应用的中间件将通过非接触通道通信连接的智能卡的卡标识信息发送至后台服务器，然后基于后台服务器返回的第一随机数生成在线认证请求而发送至智能卡，中间件接收并发送智能卡返回的第二随机数和基于第一随机数生成的卡鉴权参数至后台服务器，后台服务器对卡鉴权参数验证通过而基于第二随机数生成外部鉴权参数，然后通过中间件发送至智能卡进行外部鉴权参数的认证，在智能卡对外部鉴权参数的认证也通过时，建立客户端应用对智能卡的正常访问。通过双向认证保证了客户端应用通过非接触式通道访问智能卡的合法性，有效提升了机卡通信的安全性。

附图说明

图1为本发明实施例一提供的访问控制方法的基本流程图；

图2为本发明实施例二提供的访问控制方法的基本流程图；

图3为本发明实施例三提供的访问控制方法的基本流程图；

图4为本发明实施例四提供的一种访问控制方法的细化流程图；

图5为本发明实施例四提供的通信系统的结构示意图；

图6为本发明实施例四提供的另一种访问控制方法的细化流程图；

图7为本发明实施例五提供的终端的结构框图；

图8为本发明实施例五提供的智能卡的结构框图；

图9为本发明实施例五提供的后台服务器的结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例只是本发明中一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现通过具体实施方式结合附图的方式对本发明做出进一步的诠释说明。

实施例一：

为解决现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的缺陷，本实施例提供了一种访问控制方法，图1为实施例一提供的访问控制方法的基本流程图，该访问控制方法应用于终端侧，这里的终端为可安装SIM卡的所有终端设备，并不仅限于手机，还可以包括PDA、笔记本电脑和平板电脑等，具体包括以下步骤：

S101、终端在终端上的客户端应用请求访问智能卡时，确定与客户端应用的中间件通过非接触通道通信连接的智能卡的卡标识信息，并通过中间件发送至后台服务器。

具体的，本实施例中的终端上安装有客户端应用，例如掌上银行客户端APP等，客户端应用可以通过通信网络与后台服务器进行数据和请求的交互，也可以通过机卡接口与智能卡之间进行交互。客户端应用与智能卡之间至少有一条数据通道来进行数据交互，中间件对应用层提供安全访问接口，而机卡接口则只能被中间件访问，客户端应用通过调用中间件来与智能卡进行交互。而智能卡则接收机卡接口发送的指令并进行相应的业务处理。应当说明的是，在本实施例中的智能卡可以是标准的SIM卡、USIM卡、UIM卡、MicroSIM卡、NanoSIM卡等各种形态和尺寸的通信卡、智能卡中设置有非接触通信模块如蓝牙模块、WiFi模块、Zigbee模块等用于与终端的通信模块建立非接触通道而实现通信连接，只需要终端和智能卡均支持相应的通信协议，而建立相应的协议连接即可。终端在建立与智能卡的通信连接之后，可以获取与之连接的智能卡的卡标识信息，这里的卡标识信息用于对智能卡进行唯一标识。

在一种优选的实施方式中，该智能卡为蓝牙智能卡。更进一步的，蓝牙智能卡可以为蓝牙SIM卡，蓝牙SIM卡中封装了安全蓝牙连接的接口协议，可以向客户端应用提供安全的蓝牙连接管理和数据收发接口，从而为用户提供更安全的数据交互服务，该SIM卡可以采用2FF规格、3FF规格或者4FF规格等多种封装形态。

S102、终端在中间件接收到后台服务器返回的第一随机数时，控制中间件向智能卡发送在线认证请求；在线认证请求包括客户端应用的应用标识信息以及第一随机数。

具体的，后台服务器在接收到终端上的客户端应用的中间件发送过来的卡标识信息之后，后台服务器生成第一随机数R1，并将该随机数返回至终端，此时，终端再控制中间件将携带有R1和客户端应用的应用标识信息的在线认证请求，通过非接触通道发送至智能卡，这里的应用标识信息用于唯一标识客户端应用，保证当前的客户端应用与终端上的其他客户端应用之间的可区分。

S103、终端在中间件接收到智能卡返回的第二随机数以及基于第一随机数生成的卡鉴权参数时，控制中间件将卡鉴权参数以及第二随机数发送至后台服务器，以使后台服务器对卡鉴权参数进行认证。

具体的，智能卡在接收到中间件发送过来的在线认证请求后，基于R1生成卡鉴权参数，在一种实施方式中智能卡通过自身的设备密钥来对R1进行加密来生成卡鉴权参数，这里的加密方法可以采用SM4算法、AES算法、DES算法等，在此不作唯一限定。本实施例中的卡鉴权参数用于终端通过客户端应用的后台服务器来对智能卡进行合法性认证，而智能卡在将卡鉴权参数返回至中间件的同时，还生成一第二随机数R2一并返回至中间件。

S104、终端在中间件接收到后台服务器对卡鉴权参数认证通过，而发送过来的基于第二随机数生成的外部鉴权参数时，控制中间件将外部鉴权参数发送至智能卡，以使智能卡对外部鉴权参数进行认证。

具体的，中间件将卡鉴权参数发送至后台服务器进行认证，若卡鉴权参数通过智能卡的设备密钥对R1进行加密而成，那么该认证方式则可以为后台服务器通过根秘钥和智能卡的卡标识信息分散出该设备密钥的对称密钥，从而通过分散出的对称密钥来对卡鉴权参数进行解密，而解密出随机数R1’，然后再将该R1’与服务器此前生成的第一随机数R1进行比对，若R1’与R1比对一直则表示后台服务器对智能卡的认证通过，该智能卡合法，而若不一致，则拒绝服务。由于后台服务器在接收到卡鉴权参数的同时，还接收到智能卡提供的R2，那么在智能卡认证通过之后，后台服务器还基于R2生成外部鉴权参数，外部鉴权参数用于智能卡对访问方的认证，这里外部鉴权参数的产生方式优选的可以为后台服务器采用前述分散出的对称密钥来对R2进行加密后得到，继而再将该外部鉴权参数返回至终端应用的中间件，并由中间件应答到智能卡。

S105、终端在中间件接收到智能卡对外部鉴权参数认证通过而发送过来的在线认证通过响应时，建立客户端应用对智能卡的正常访问。

具体的，智能卡在接收到中间件发送过来的外部鉴权参数时，对外部鉴权参数进行认证以对访问方的合法性进行认证，与前述举例对应的，这里的其中一种认证方式则是，通过外部鉴权参数加密时所使用的对称密钥所对应的设备密钥对外部鉴权参数进行解密，而解密出随机数R2’，然后再将该R2’与智能卡此前生成的第二随机数R2进行比对，若R2’与R2比对一直则表示智能卡对访问方的认证通过，该访问合法，而若不一致，则拒绝服务。在访问合法之后则由智能卡向中间件反馈在线认证通过响应，允许后继客户端应用对智能卡的正常访问。

可选的，在建立客户端应用对智能卡的正常访问之后，还包括：基于外部鉴权参数以及应用标识信息生成外部认证记录；对外部认证记录进行保存。

具体的，在客户端应用与智能卡建立正常访问的同时，客户端应用的中间件还可以将包括外部鉴权参数以及应用标识信息的外部认证记录进行缓存，以供后续使用。进一步的，还可以在建立正常访问的同时，确定当前所累积的认证次数；将该认证次数与外部认证记录一并进行缓存。

可选的，在客户端应用再次请求访问智能卡时，控制中间件向智能卡发送离线认证请求；离线认证请求包括应用标识信息；在中间件接收到智能卡返回的第三随机数时，基于外部认证记录与第三随机数生成离线认证鉴权参数；控制中间件将离线认证鉴权参数发送至智能卡，以使智能卡基于所保存的外部认证记录对离线认证鉴权参数进行认证；在中间件接收到智能卡对离线认证鉴权参数认证通过而发送过来的离线认证通过响应时，建立客户端应用对智能卡的正常访问。

具体的，当完成首次在线认证之后，在中间件已经缓存了外部认证记录等的情况下，在终端上的客户端应用再次与智能卡进行通讯时，则可以采用离线认证的方式来完成外部认证。其中，中间件读取缓存的外部认证记录，通过外部认证记录中的应用标识信息生成离线认证请求，然后发送至智能卡，此时智能卡根据离线认证请求生成第三随机数R3，并将R3返回至中间件，进而在一种实施方式中，中间件采用外部认证记录中的外部鉴权参数作为加密密钥，来对R3进行加密而生成离线认证鉴权参数，进而将该离线认证鉴权参数发送至智能卡，由智能卡对访问方进行合法性认证，对应的，智能卡中在经过在线认证之后也可以缓存有外部认证记录，智能卡根据传入的应用标识信息查找缓存中的对应外部认证记录，从而解密出随机数R3’，然后再将该R3’与智能卡此前生成的第三随机数R3进行比对，若R3’与R3比对一直则表示智能卡对访问方的认证通过，该访问合法，而若不一致，则拒绝服务，与此同时对缓存的外部认证记录均进行更新。进一步的，若此前智能卡与中间件在缓存外部认证记录的同时还对认证次数COUNT进行了缓存，那么在生成离线认证鉴权参数时可以是将R3与COUNT进行加密得到，对应的，在智能卡对其进行认证时，则需要对R3’与COUNT’均比对一致之后才认证通过，并在认证通过之后还对COUNT递增1。

本发明提供了一种访问控制方法，针对现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的缺陷，该访问控制方法包括：客户端应用的中间件将通过非接触通道通信连接的智能卡的卡标识信息发送至后台服务器，然后基于后台服务器返回的第一随机数生成在线认证请求而发送至智能卡，中间件接收并发送智能卡返回的第二随机数和基于第一随机数生成的卡鉴权参数至后台服务器，后台服务器对卡鉴权参数验证通过而基于第二随机数生成外部鉴权参数，然后通过中间件发送至智能卡进行外部鉴权参数的认证，在智能卡对外部鉴权参数的认证也通过时，建立客户端应用对智能卡的正常访问。通过双向认证保证了客户端应用通过非接触式通道访问智能卡的合法性，有效提升了机卡通信的安全性。

实施例二：

图2为实施例二提供的另一访问控制方法的基本流程图，该访问控制方法应用于智能卡侧，具体包括以下步骤：

S201、智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求；在线认证请求包括客户端应用的应用标识信息，以及终端将所确定的智能卡的卡标识信息通过中间件发送至后台服务器后所获取的第一随机数。

具体的，本实施例中的客户端应用通过非接触通道访问智能卡，在终端上的客户端应用需要请求访问智能卡时，客户端应用通过中间件向智能卡发送在线认证请求，该在线认证请求包括后台服务器根据智能卡的卡标识信息所生成的第一随机数R1，这里的卡标识信息用于对智能卡进行唯一标识。

在一种优选的实施方式中，该智能卡为蓝牙智能卡。更进一步的，蓝牙智能卡可以为蓝牙SIM卡，蓝牙SIM卡中封装了安全蓝牙连接的接口协议，可以向客户端应用提供安全的蓝牙连接管理和数据收发接口，从而为用户提供更安全的数据交互服务，该SIM卡可以采用2FF规格、3FF规格或者4FF规格等多种封装形态。

可选的，在智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求之前，还包括：检测在预设的时间周期内是否未接收到在线认证请求；若是，则断开通过非接触通道与终端的通信连接。

具体的，当客户端应用与智能卡建立连接之后，智能卡在预设时间周期内例如5秒内检测是否接收到在线认证请求而开始外部认证操作，若未接收到，则由智能卡主动中断两者之间通过非接触通道所建立的通信连接，以避免非法客户端应用对非接触通道的占用。

S202、智能卡基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件。

具体的，智能卡在接收到中间件发送过来的在线认证请求后，基于R1生成卡鉴权参数，在一种实施方式中智能卡通过自身的设备密钥来对R1进行加密来生成卡鉴权参数，这里的加密方法可以采用SM4算法、AES算法、DES算法等，在此不作唯一限定。本实施例中的卡鉴权参数用于终端通过客户端应用的后台服务器来对智能卡进行合法性认证，而智能卡在将卡鉴权参数返回至中间件的同时，还生成一第二随机数R2一并返回至中间件。

S203、智能卡接收到中间件将卡鉴权参数以及第二随机数发送至后台服务器之后，后台服务器对卡鉴权参数认证通过而经过中间件发送过来的基于第二随机数生成的外部鉴权参数时，对外部鉴权参数进行认证。

具体的，中间件将卡鉴权参数发送至后台服务器进行认证，由后台服务器验证基于卡鉴权参数中所获取的随机数R1’与服务器此前生成的第一随机数R1是否一致，若R1’与R1比对一致则表示后台服务器对智能卡的认证通过，该智能卡合法。由于后台服务器在接收到卡鉴权参数的同时，还接收到智能卡提供的R2，那么在智能卡认证通过之后，后台服务器还基于R2生成外部鉴权参数，外部鉴权参数用于智能卡对访问方的认证，也即智能卡将从外部鉴权参数中所获取的随机数R2’与此前自身所生成的第二随机数R2进行比对。

可选的，智能卡基于第一随机数生成卡鉴权参数包括：智能卡通过第一密钥对第一随机数进行加密而生成卡鉴权参数；对外部鉴权参数进行认证包括：通过第一密钥，对后台服务器根据根秘钥以及卡标识信息分散出的第二密钥加密第二随机数所生成的外部鉴权参数进行解密；第一密钥与第二密钥为对称密钥；通过第二随机数对解密出的随机数进行比对认证。

具体的，在一种实施方式中，卡鉴权参数通过智能卡的设备密钥对R1进行加密而成，那么后台服务器则通过根秘钥和智能卡的卡标识信息分散出该设备密钥的对称密钥，从而通过分散出的对称密钥来对卡鉴权参数进行解密，而解密出随机数R1’。对应的，外部鉴权参数则由后台服务器根据前述的对称密钥对第二随机数进行加密而成，而智能卡对外部鉴权参数的认证则是采用此前的设备密钥对之进行解密，将解密得到的随机数R2’与此前自身所生成的第二随机数R2进行比对。

S204、智能卡在对外部鉴权参数认证通过时，向中间件发送在线认证通过响应，而允许终端上的客户端应用的正常访问。

具体的，智能卡在对外部鉴权参数认证通过则说明该访问合法，而未认证通过则对该非法访问拒绝服务。在访问合法之后则由智能卡向中间件反馈在线认证通过响应，允许后继客户端应用对智能卡的正常访问。

可选的，其特征在于，在向中间件发送认证通过响应之后，还包括：基于外部鉴权参数以及应用标识信息生成外部认证记录；对外部认证记录进行保存。

具体的，在客户端应用与智能卡建立正常访问的同时，智能卡还可以将包括外部鉴权参数以及应用标识信息的外部认证记录进行缓存，以供后续使用。进一步的，还可以在建立正常访问的同时，确定当前所累积的认证次数；将该认证次数与外部认证记录一并进行缓存。

可选的，当接收到中间件发送过来的离线认证请求时，生成第三随机数，并将第三随机数返回至中间件；离线认证请求包括应用标识信息；接收中间件发送过来的基于所存储的外部认证记录以及第三随机数所生成离线认证鉴权参数；根据自身所保存的外部认证记录对离线认证鉴权参数进行认证；在对离线认证鉴权参数认证通过时，向中间件发送离线认证通过响应，而允许终端上的客户端应用的正常访问。

具体的，当完成首次在线认证之后，在中间件已经缓存了外部认证记录等的情况下，在终端上的客户端应用再次与智能卡进行通讯时，则可以采用离线认证的方式来完成外部认证。其中，中间件读取缓存的外部认证记录，通过外部认证记录中的应用标识信息生成离线认证请求，然后发送至智能卡，此时智能卡根据离线认证请求生成第三随机数R3，并将R3返回至中间件，进而在一种实施方式中，中间件采用外部认证记录中的外部鉴权参数作为加密密钥，来对R3进行加密而生成离线认证鉴权参数，进而将该离线认证鉴权参数发送至智能卡，由智能卡对访问方进行合法性认证，对应的，智能卡中在经过在线认证之后也缓存有外部认证记录，智能卡根据传入的应用标识信息查找缓存中的对应外部认证记录，从而解密出随机数R3’，然后再将该R3’与智能卡此前生成的第三随机数R3进行比对，若R3’与R3比对一直则表示智能卡对访问方的认证通过，该访问合法，而若不一致，则拒绝服务，与此同时对缓存的外部认证记录均进行更新。进一步的，若此前智能卡与中间件在缓存外部认证记录的同时还对认证次数COUNT进行了缓存，那么终端在生成离线认证鉴权参数时可以是将R3与COUNT进行加密得到，对应的，在智能卡对其进行认证时，则需要对R3’与COUNT’均比对一致之后才认证通过，并在认证通过之后还对COUNT递增1。

本发明提供了一种访问控制方法，针对现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的缺陷，该访问控制方法包括：智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的包括从后台服务器所获取的第一随机数的在线认证请求；智能卡基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件；智能卡接收到中间件将卡鉴权参数以及第二随机数发送至后台服务器之后，后台服务器对卡鉴权参数认证通过而经过中间件发送过来的基于第二随机数生成的外部鉴权参数时，对外部鉴权参数进行认证；智能卡在对外部鉴权参数认证通过时，向中间件发送在线认证通过响应，而允许终端上的客户端应用的正常访问。通过双向认证保证了客户端应用通过非接触式通道访问智能卡的合法性，有效提升了机卡通信的安全性。

实施例三：

图3为实施例三提供的另一访问控制方法的基本流程图，该访问控制方法应用于后台服务器侧，具体包括以下步骤：

S301、后台服务器接收终端在客户端应用请求访问智能卡，而由客户端应用的中间件发送过来的所确定的智能卡的卡标识信息时，生成第一随机数，并将第一随机数返回至中间件。

具体的，终端在终端上的客户端应用请求访问智能卡时，确定与客户端应用的中间件通过非接触通道通信连接的智能卡的卡标识信息，并通过中间件发送至后台服务器，后台服务器在接收到中间件发送过来的卡标识信息之后，后台服务器生成第一随机数R1，并将该随机数返回至终端。

S302、后台服务器在接收到中间件发送过来的、由智能卡生成的第二随机数以及基于第一随机数生成的卡鉴权参数时，对卡鉴权参数进行认证。

具体的，终端在中间件接收到后台服务器返回的第一随机数时，控制中间件向智能卡发送包括客户端应用的应用标识信息以及第一随机数在线认证请求，然后，智能卡基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件，进而再由中间件将卡鉴权参数以及第二随机数发送至后台服务器，其中，卡鉴权参数用于后台服务器来对智能卡进行合法性认证。

S303、后台服务器在对卡鉴权参数认证通过时，基于第二随机数生成外部鉴权参数，并将外部鉴权参数发送至中间件，以使中间件将外部鉴权参数发送至智能卡进行认证。

具体的，后台服务器验证基于卡鉴权参数中所获取的随机数R1’与服务器此前生成的第一随机数R1是否一致，若R1’与R1比对一致则表示后台服务器对智能卡的认证通过，该智能卡合法。由于后台服务器在接收到卡鉴权参数的同时，还接收到智能卡提供的R2，那么在智能卡认证通过之后，后台服务器还基于R2生成外部鉴权参数，外部鉴权参数用于智能卡对访问方的认证，也即智能卡将从外部鉴权参数中所获取的随机数R2’与此前自身所生成的第二随机数R2进行比对。

本发明提供了一种访问控制方法，针对现有技术中在应用程序通过非接触方式访问智能卡时，尚不具备成熟、标准的接口来实现机卡通信，所导致的机卡通信安全隐患较大的缺陷，该访问控制方法包括：后台服务器接收终端在客户端应用请求访问智能卡，而由客户端应用的中间件发送过来的所确定的智能卡的卡标识信息时，生成第一随机数，并将第一随机数返回至中间件；后台服务器在接收到中间件发送过来的、由智能卡生成的第二随机数以及基于第一随机数生成的卡鉴权参数时，对卡鉴权参数进行认证；后台服务器在对卡鉴权参数认证通过时，基于第二随机数生成外部鉴权参数，并将外部鉴权参数发送至中间件，以使中间件将外部鉴权参数发送至智能卡进行认证。通过双向认证保证了客户端应用通过非接触式通道访问智能卡的合法性，有效提升了机卡通信的安全性。

实施例四：

为了更好的理解本发明，本实施例以一个具体的示例对访问控制方法进行说明，图4为本发明实施例四提供的访问控制方法的细化流程图，应用于包括终端、智能卡和后台服务器的通信系统，该访问控制方法通过在线认证的方式进行实现，如图5所示为本实施例提供的通信系统的结构示意图，该访问控制方法具体包括以下步骤：

S401、终端在终端上的客户端应用请求访问蓝牙SIM卡时，确定与客户端应用的中间件通过蓝牙通道通信连接的蓝牙SIM卡的卡标识信息，并通过中间件发送至后台服务器。

本实施例中的终端上安装有客户端应用，客户端应用通过蓝牙通道与蓝牙SIM卡进行数据通信。

S402、后台服务器在接收中间件发送过来的卡标识信息时，生成第一随机数，并将第一随机数返回至中间件。

S403、终端在中间件接收到后台服务器返回的第一随机数时，控制中间件向蓝牙SIM卡发送在线认证请求；在线认证请求包括客户端应用的应用标识信息以及第一随机数。

S404、蓝牙SIM卡在接收到在线认证请求时，基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件。

在实际应用中，蓝牙模块可以采用设备密钥加密第一随机数R1而获得卡鉴权参数AuthDataCard＝SM4Enc(设备密钥,R1)，同时产生第二随机数R2，然后向中间件返回AuthDataCard和R2。

S405、终端在中间件接收到蓝牙SIM卡返回的第二随机数以及基于第一随机数生成的卡鉴权参数时，控制中间件将卡鉴权参数以及第二随机数发送至后台服务器。

S406、后台服务器对所接收到的卡鉴权参数进行认证，并在认证通过时，基于第二随机数生成外部鉴权参数，并将外部鉴权参数发送至中间件。

继续承接前述举例，在实际应用中，后台服务器可以通过根密钥与设备ID分散出卡的设备密钥，然后通过设备密钥对AuthDataCard进行解密而得到R1’，并将R1’与此前自身所生成的R1进行比对，比对一致则表示后台服务器对蓝牙SIM卡的认证通过，比对不一致，则拒绝服务。后台服务器在对蓝牙SIM卡认证通过后，再通过设备密钥对第二随机数R2运算，得到外部鉴权参数AuthDataServer，其中，AuthDataServer＝SM4EncECB(设备密钥,R2)。

S407、终端控制中间件将外部鉴权参数发送至蓝牙SIM卡。

S408、蓝牙SIM卡对所接收到的外部鉴权参数进行认证，并在认证通过时向中间件发送在线认证通过响应。

S409、终端在中间件接收到在线认证通过响应时，建立客户端应用对蓝牙SIM卡的正常访问。

继续承接前述举例，蓝牙SIM卡通过设备密钥对AuthDataServer进行解密而得到R2’，并将R2’与此前自身所生成的R2进行比对，比对一致表示蓝牙SIM卡对访问方认证通过，反之则拒绝服务。在访问合法之后则由蓝牙SIM卡向中间件反馈在线认证通过响应，允许后继客户端应用对智能卡的正常访问。

为了更好的理解本发明，本实施例还以另一个具体的示例对访问控制方法进行说明，图6为本发明实施例四提供的另一种访问控制方法的细化流程图，应用于包括终端、智能卡的通信系统，该访问控制方法通过离线认证的方式进行实现，该访问控制方法具体包括以下步骤：

S601、终端在客户端应用再次请求访问蓝牙SIM卡时，控制中间件向蓝牙SIM卡发送离线认证请求；离线认证请求包括应用标识信息。

S602、蓝牙SIM卡在接收到离线认证请求时，生成第三随机数，并将第三随机数返回至中间件。

S603、终端在中间件接收到第三随机数时，基于所保存的外部认证记录与第三随机数生成离线认证鉴权参数。

本实施例中的外部认证记录可以包括外部鉴权参数AuthDataServer、累积认证次数COUNT，终端可以采用外部鉴权参数AuthDataServer作为密钥，对第三随机数以及累积认证次数COUNT进行SM4加密，而得到离线认证数据OfflineAuthData＝PKCS5Padding(R3+COUNT)。

S604、终端控制中间件将离线认证鉴权参数发送至蓝牙SIM卡。

S605、蓝牙SIM卡根据所保存的外部认证记录对接收到的离线认证鉴权参数进行认证，并在认证通过时向中间件发送离线认证通过响应。

S606、终端在中间件接收到离线认证通过响应时，建立客户端应用对蓝牙SIM卡的正常访问。

蓝牙SIM卡根据应用标识信息查找所缓存的对应的外部认证记录，并验证离线认证鉴权参数，校验解密得到的COUNT’以及R3’是否均正确，若全部校验通过，则通过离线认证，并更新缓存的外部认证记录。

实施例五：

本实施例提供了一种终端，参见图7所示，包括第一处理器701、第一存储器702、第一通信总线703；

第一通信总线703用于实现第一处理器701、第一存储器702之间的连接通信；

第一存储器702用于存储一个或多个程序，第一处理器701用于执行第一存储器702中存储的一个或者多个程序，以实现上述各实施例中所示例的访问控制方法中的以下步骤：

终端在终端上的客户端应用请求访问智能卡时，确定与客户端应用的中间件通过非接触通道通信连接的智能卡的卡标识信息，并通过中间件发送至后台服务器；

终端在中间件接收到后台服务器返回的第一随机数时，控制中间件向智能卡发送在线认证请求；在线认证请求包括客户端应用的应用标识信息以及第一随机数；

终端在中间件接收到智能卡返回的第二随机数以及基于第一随机数生成的卡鉴权参数时，控制中间件将卡鉴权参数以及第二随机数发送至后台服务器，以使后台服务器对卡鉴权参数进行认证；

终端在中间件接收到后台服务器对卡鉴权参数认证通过，而发送过来的基于第二随机数生成的外部鉴权参数时，控制中间件将外部鉴权参数发送至智能卡，以使智能卡对外部鉴权参数进行认证；

终端在中间件接收到智能卡对外部鉴权参数认证通过而发送过来的在线认证通过响应时，建立客户端应用对智能卡的正常访问。

本实施例还提供了一种智能卡，参见图8所示，包括第二处理器801、第二存储器802、第二通信总线803；

第二通信总线803用于实现第二处理器801、第二存储器802之间的连接通信；

第二存储器802用于存储一个或多个程序，第二处理器801用于执行第二存储器802中存储的一个或者多个程序，以实现上述各实施例中所示例的访问控制方法中的以下步骤：

智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求；在线认证请求包括客户端应用的应用标识信息，以及终端将所确定的智能卡的卡标识信息通过中间件发送至后台服务器后所获取的第一随机数；

智能卡基于第一随机数生成卡鉴权参数，并将卡鉴权参数以及所生成的第二随机数发送至中间件；

智能卡接收到中间件将卡鉴权参数以及第二随机数发送至后台服务器之后，后台服务器对卡鉴权参数认证通过而经过中间件发送过来的基于第二随机数生成的外部鉴权参数时，对外部鉴权参数进行认证；

智能卡在对外部鉴权参数认证通过时，向中间件发送在线认证通过响应，而允许终端上的客户端应用的正常访问。

本实施例还提供了一种后台服务器，参见图9所示，包括第三处理器901、第三存储器902、第三通信总线903；

第三通信总线903用于实现第三处理器901、第三存储器902之间的连接通信；

第三存储器902用于存储一个或多个程序，第三处理器901用于执行第三存储器902中存储的一个或者多个程序，以实现上述各实施例中所示例的访问请求处理方法中的以下步骤：

后台服务器接收终端在客户端应用请求访问智能卡，而由客户端应用的中间件发送过来的所确定的智能卡的卡标识信息时，生成第一随机数，并将第一随机数返回至中间件；

后台服务器在接收到中间件发送过来的、由智能卡生成的第二随机数以及基于第一随机数生成的卡鉴权参数时，对卡鉴权参数进行认证；

后台服务器在对卡鉴权参数认证通过时，基于第二随机数生成外部鉴权参数，并将外部鉴权参数发送至中间件，以使中间件将外部鉴权参数发送至智能卡进行认证。

第六实施例

本发明还提供了一种计算机可读存储介质，该计算机可读存储介质存储有第一访问控制程序，第一访问控制程序可被一个或者多个处理器执行，以实现上述各实施例中所示例的应用于终端的访问控制方法的步骤；或，该计算机可读存储介质存储有第二访问控制程序，第二访问控制程序可被一个或者多个处理器执行，以实现上述各实施例中所示例的应用于智能卡的访问控制方法的步骤；或，该计算机可读存储介质存储有第三访问控制程序，第三访问控制程序可被一个或者多个处理器执行，以实现上述各实施例中所示例的应用于后台服务器的访问控制方法的步骤。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (16)

1.一种访问控制方法，其特征在于，所述访问控制方法包括：

终端在所述终端上的客户端应用请求访问智能卡时，确定与所述客户端应用的中间件通过非接触通道通信连接的所述智能卡的卡标识信息，并通过所述中间件发送至后台服务器；

所述终端在所述中间件接收到所述后台服务器返回的第一随机数时，控制所述中间件向所述智能卡发送在线认证请求；所述在线认证请求包括所述客户端应用的应用标识信息以及所述第一随机数；

所述终端在所述中间件接收到所述智能卡返回的第二随机数以及基于所述第一随机数生成的卡鉴权参数时，控制所述中间件将所述卡鉴权参数以及所述第二随机数发送至所述后台服务器，以使所述后台服务器对所述卡鉴权参数进行认证；

所述终端在所述中间件接收到所述后台服务器对所述卡鉴权参数认证通过，而发送过来的基于所述第二随机数生成的外部鉴权参数时，控制所述中间件将所述外部鉴权参数发送至所述智能卡，以使所述智能卡对所述外部鉴权参数进行认证；

所述终端在所述中间件接收到所述智能卡对所述外部鉴权参数认证通过而发送过来的在线认证通过响应时，建立所述客户端应用对所述智能卡的正常访问。

2.如权利要求1所述的访问控制方法，其特征在于，在建立所述客户端应用对所述智能卡的正常访问之后，还包括：

基于所述外部鉴权参数以及所述应用标识信息生成外部认证记录；

对所述外部认证记录进行保存。

3.如权利要求2所述的访问控制方法，其特征在于，还包括：

在所述客户端应用再次请求访问所述智能卡时，控制所述中间件向所述智能卡发送离线认证请求；所述离线认证请求包括所述应用标识信息；

在所述中间件接收到所述智能卡返回的第三随机数时，基于所述外部认证记录与所述第三随机数生成离线认证鉴权参数；

控制所述中间件将所述离线认证鉴权参数发送至所述智能卡，以使所述智能卡基于所保存的所述外部认证记录对所述离线认证鉴权参数进行认证；

在所述中间件接收到所述智能卡对所述离线认证鉴权参数认证通过而发送过来的离线认证通过响应时，建立所述客户端应用对所述智能卡的正常访问。

4.如权利要求2所述的访问控制方法，其特征在于，在对所述外部认证记录进行保存之后，还包括：

确定当前所累积的认证次数；

对所述认证次数进行保存。

5.如权利要求1至4中任一项所述的访问控制方法，其特征在于，所述智能卡为蓝牙智能卡。

6.一种访问控制方法，其特征在于，所述访问控制方法包括：

智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求；所述在线认证请求包括所述客户端应用的应用标识信息，以及所述终端将所确定的所述智能卡的卡标识信息通过所述中间件发送至后台服务器后所获取的第一随机数；

所述智能卡基于所述第一随机数生成卡鉴权参数，并将所述卡鉴权参数以及所生成的第二随机数发送至所述中间件；

所述智能卡接收到所述中间件将所述卡鉴权参数以及所述第二随机数发送至所述后台服务器之后，所述后台服务器对所述卡鉴权参数认证通过而经过所述中间件发送过来的基于所述第二随机数生成的外部鉴权参数时，对所述外部鉴权参数进行认证；

所述智能卡在对所述外部鉴权参数认证通过时，向所述中间件发送在线认证通过响应，而允许所述终端上的所述客户端应用的正常访问。

7.如权利要求6所述的访问控制方法，其特征在于，在智能卡通过非接触通道接收到终端上的客户端应用的中间件发送过来的在线认证请求之前，还包括：

检测在预设的时间周期内是否未接收到所述在线认证请求；

若是，则断开通过非接触通道与所述终端的通信连接。

8.如权利要求6所述的访问控制方法，其特征在于，所述智能卡基于所述第一随机数生成卡鉴权参数包括：

所述智能卡通过第一密钥对所述第一随机数进行加密而生成卡鉴权参数；

所述对所述外部鉴权参数进行认证包括：

通过所述第一密钥，对所述后台服务器根据根秘钥以及所述卡标识信息分散出的第二密钥加密所述第二随机数所生成的外部鉴权参数进行解密；所述第一密钥与所述第二密钥为对称密钥；

通过所述第二随机数对解密出的随机数进行比对认证。

9.如权利要求6所述的访问控制方法，其特征在于，所述智能卡为蓝牙智能卡。

10.如权利要求6至9中任一项所述的访问控制方法，其特征在于，在向所述中间件发送认证通过响应之后，还包括：

基于所述外部鉴权参数以及所述应用标识信息生成外部认证记录；

对所述外部认证记录进行保存。

11.如权利要求10所述的访问控制方法，其特征在于，还包括：

当接收到所述中间件发送过来的离线认证请求时，生成第三随机数，并将所述第三随机数返回至所述中间件；所述离线认证请求包括所述应用标识信息；

接收所述中间件发送过来的基于所存储的所述外部认证记录以及所述第三随机数所生成离线认证鉴权参数；

根据自身所保存的所述外部认证记录对所述离线认证鉴权参数进行认证；

在对所述离线认证鉴权参数认证通过时，向所述中间件发送离线认证通过响应，而允许所述终端上的所述客户端应用的正常访问。

12.一种访问控制方法，其特征在于，所述访问控制方法包括：

后台服务器接收终端在客户端应用请求访问智能卡，而由所述客户端应用的中间件发送过来的所确定的所述智能卡的卡标识信息时，生成第一随机数，并将所述第一随机数返回至所述中间件；

所述后台服务器在接收到所述中间件发送过来的、由所述智能卡生成的第二随机数以及基于所述第一随机数生成的卡鉴权参数时，对所述卡鉴权参数进行认证；

所述后台服务器在对所述卡鉴权参数认证通过时，基于所述第二随机数生成外部鉴权参数，并将所述外部鉴权参数发送至所述中间件，以使所述中间件将所述外部鉴权参数发送至所述智能卡进行认证。

13.一种终端，其特征在于，所述终端包括第一处理器、第一存储器、第一通信总线；

所述第一通信总线用于实现所述第一处理器和所述第一存储器之间的连接通信；

所述第一处理器用于执行所述第一存储器中存储的一个或者多个程序，以实现如权利要求1至5中任一项所述的访问控制方法的步骤。

14.一种智能卡，其特征在于，所述智能卡包括第二处理器、第二存储器、第二通信总线；

所述第二通信总线用于实现所述第二处理器和所述第二存储器之间的连接通信；

所述第二处理器用于执行所述第二存储器中存储的一个或者多个程序，以实现如权利要求6至11中任一项所述的访问控制方法的步骤。

15.一种后台服务器，其特征在于，所述后台服务器包括第三处理器、第三存储器、第三通信总线；

所述第三通信总线用于实现所述第三处理器和所述第三存储器之间的连接通信；

所述第三处理器用于执行所述第三存储器中存储的一个或者多个程序，以实现如权利要求12所述的访问控制方法的步骤。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有第一访问控制程序，所述第一访问控制程序可被一个或者多个处理器执行，以实现如权利要求1至5中任一项所述的访问控制方法的步骤；或，所述计算机可读存储介质存储有第二访问控制程序，所述第二访问控制程序可被一个或者多个处理器执行，以实现如权利要求6至11中任一项所述的访问控制方法的步骤；或，所述计算机可读存储介质存储有第三访问控制程序，所述第三访问控制程序可被一个或者多个处理器执行，以实现如权利要求12所述的访问控制方法的步骤。

Images