CN110024426B - 通过eSIM进行访问控制的装置及方法 - Google Patents

通过eSIM进行访问控制的装置及方法 Download PDF

Info

Publication number
CN110024426B
CN110024426B CN201880004652.9A CN201880004652A CN110024426B CN 110024426 B CN110024426 B CN 110024426B CN 201880004652 A CN201880004652 A CN 201880004652A CN 110024426 B CN110024426 B CN 110024426B
Authority
CN
China
Prior art keywords
lpa
server
terminal
service provider
uicc
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201880004652.9A
Other languages
English (en)
Other versions
CN110024426A (zh
Inventor
李慧远
李德基
姜秀姃
柳永善
朴钟汉
尹江镇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Samsung Electronics Co Ltd
Original Assignee
Samsung Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Samsung Electronics Co Ltd filed Critical Samsung Electronics Co Ltd
Priority to CN202210962708.XA priority Critical patent/CN115314901A/zh
Publication of CN110024426A publication Critical patent/CN110024426A/zh
Application granted granted Critical
Publication of CN110024426B publication Critical patent/CN110024426B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/20—Transfer of user or subscriber data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/20—Transfer of user or subscriber data
    • H04W8/205—Transfer to or from user equipment or user record carrier
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/40—Security arrangements using identity modules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/35—Protecting application or service provisioning, e.g. securing SIM application provisioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/60—Subscription-based services using application servers or record carriers, e.g. SIM application toolkits
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/183—Processing at user equipment or user record carrier
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/22—Processing or transfer of terminal data, e.g. status or physical capabilities
    • H04W8/24—Transfer of terminal data
    • H04W8/245—Transfer of terminal data from a network towards a terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/50—Service provisioning or reconfiguring

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本公开涉及一种通信技术及其系统，该通信技术将用于支持高于超4G系统的数据速率的数据速率的5G通信系统与IoT技术相结合。本公开可以被应用于基于5G通信技术和IoT相关技术的智能服务，例如智能家居、智能建筑、智能城市、智能汽车或联网汽车、医疗保健、数字教育、零售、安保和安全相关服务。更具体地，本公开涉及在通信系统中终端通过下载并安装通信服务来执行通信连接的装置和方法。

Description

通过eSIM进行访问控制的装置及方法
技术领域
本公开一般涉及通过将通信服务下载并安装到终端上而在通信系统中进行通信连接的装置和方法，更具体地，涉及用于在通信系统中在线下载、安装并管理简档(profile)的装置和方法。
背景技术
为了在4G通信系统商用化之后满足呈上升趋势的对无线数据业务量的需求，已努力开发改进的5G或pre-5G通信系统。因此，5G或pre-5G通信系统也被称为超4G网络通信系统或后LTE系统。
为了实现高数据速率，已经考虑在超高频(毫米波)频带(例如，类似于60GHz频带)中实现5G通信系统。为了在超高频带中减小无线电波的路径损耗并增加无线电波的传输距离，已经讨论了用于5G通信系统的波束成形、大规模MIMO、全维度MIMO(FD-MIMO)、阵列天线、混合波束成形和大型天线的技术。
此外，为了5G通信系统中的系统网络改进，已经针对演进小型基站、高级小型基站、云无线接入网络(云RAN)、超密集网络、设备到设备通信(D2D)、无线回程、移动网络、协作通信、协同多点(CoMP)和接收干扰消除进行了技术开发。
另外，在5G系统中，已经开发了对应于高级编码调制(ACM)系统的混合FSK与QAM调制(FQAM)和滑动窗口叠加编码(SWSC)，以及对应于高级连接技术的滤波器组多载波(FBMC)、非正交多址(NOMA)和稀疏码多址(SCMA)。
另一方面，互联网是人生成和使用信息的以人为中心的连接网络，现在正在演进到物联网(IoT)，在物联网中分布式实体(诸如物品)交换和处理信息。万物互联网(IoE)已经出现，它是通过与云服务器连接而实现的物联网技术和大数据处理技术的结合。由于IoT实现已要求诸如感测技术、有线/无线通信和网络基础设施、服务接口技术和安全技术等技术要素，近来已经研究了用于机器到机器连接的传感器网络、机器到机器(M2M)通信、机器类型通信(MTC)等。这样的IoT环境可以提供智能互联网技术(IT)服务，其通过对在所连接的物品之间生成的数据进行收集和分析来为人类生活创造新的价值。通过现有信息技术(IT)和各个行业之间的融合和结合，IoT可以被应用于各个领域，包括智能家居、智能建筑、智能城市、智能汽车或联网汽车、智能电网、医疗保健、智能家电和高级医疗服务。
因此，已经进行了各种尝试以将5G通信系统应用于IoT网络。例如，传感器网络、机器到机器(M2M)通信和MTC的技术已经通过对应于5G通信技术的波束成形、MIMO和阵列天线的技术实现。作为如上所述的大数据处理技术，云无线接入网络(RAN)的应用将是5G技术和IoT技术之间的融合的示例。
发明内容
技术问题
通用集成电路卡(UICC)是可以插入到移动通信终端等的智能卡。UICC可以包括用于访问移动通信服务提供商的网络的访问控制模块。访问控制模块的示例包括通用用户识别模块(USIM)、用户识别模块(SIM)和互联网协议(IP)多媒体服务识别模块(ISIM)。包括USIM的UICC可以被称为USIM卡。类似地，包括SIM模块的UICC可以被称为SIM卡。本文中，假设SIM卡包括UICC卡、USIM卡和包含ISIM的UICC。然而，尽管描述了SIM卡，但是其技术特征也可以以相同的方式被应用于USIM卡、ISIM卡或通用UICC卡。
SIM卡存储了移动通信用户的个人信息，并通过在访问移动通信网络期间执行用户认证和业务安全密钥生成，允许用户使用安全的移动通信。
通常，SIM卡在该卡的制造期间被制造为用于特定移动通信服务提供商的专用卡，用于访问相应服务提供商的网络的认证信息(例如USIM应用(app)和IMSI、K值(用户密钥)和OPc值(运营商变体算法配置值))在发货之前就预先被嵌入卡中。因此，所制造的SIM卡被交付给相应的移动通信服务提供商，然后由移动通信服务提供商提供给用户。此后，如果需要，可以使用诸如空中下载(OTA)的技术来执行对UICC中的应用的管理，诸如安装、校正和删除。用户能够通过将UICC卡插入用户的移动通信终端来使用相应移动通信服务提供商的网络和应用服务。
当用户更换终端时，可以将UICC卡从现有终端中移除并插入新终端中，从而允许新终端使用存储在UICC卡中的认证信息、移动通信电话号码、个人电话簿等。
然而，当移动通信终端用户想要改变服务提供商，即从新的移动通信服务提供商接收服务时，SIM卡不方便使用，这是因为用户必须从新的移动通信服务提供商物理地获取用于该服务的新的SIM卡。例如，当前往新的国家时，终端用户应当购买本地SIM卡以便在新的国家接收本地移动通信服务。尽管漫游服务可以稍微解决这种不方便的问题，但是由于昂贵的费用或通信服务提供商之间不存在协议，用户可能无法或不想要接收漫游服务。
然而，当SIM模块被远程下载并安装在UICC卡中时，上述问题可以得到解决。也就是说，用户能够在期望的时间将用于期望使用的移动通信服务的新SIM模块下载到UICC卡中。可以将多个SIM模块下载并安装在UICC卡中，并且可以选择使用所下载的SIM模块中的一个。UICC卡可以固定或不固定到终端。
特别地，固定到终端的UICC通常被称为嵌入式UICC(eUICC)。本文中，eUICC是指通常固定在终端内并且能够远程下载和选择SIM模块的UICC卡。也就是说，固定在终端内或者不固定在终端内并且能够远程下载和选择SIM模块的UICC卡被称为eUICC。此外，所下载的SIM模块信息可以被称为eUICC简档或简档。
终端可以包括控制eUICC操作(例如，操作以下载、选择或删除eUICC简档)的软件。本文中，这种软件可以被称为本地简档助理(LPA)，其可以是通过从终端中包括的其他软件接收输入来控制eUICC的独特软件。
问题的解决方案
本公开的一方面是提供用于终端在通信系统中使用所选择的通信服务来执行通信连接的装置和方法。
本公开的另一方面是提供用于终端下载、安装并管理简档以在通信系统中进行通信连接的装置和方法。
本公开的另一方面是提供用于在通信系统中有效地控制终端软件对eUICC的访问的装置和方法。
根据本公开的一方面，提供了一种在无线通信系统中由终端发送和接收与UICC相关的信息的方法。所述方法包括：向第一服务器发送第一消息，所述第一消息包括由所述终端的UICC生成的询问；从所述第一服务器接收响应于所述询问的第二消息，所述第二消息包括由第二服务器生成的签名；以及通过所述终端的所述UICC来确认所述签名。
根据本公开的另一方面，提供了一种在无线通信系统中发送和接收与UICC相关的信息的终端。所述终端包括：收发器；以及控制器，所述控制器与所述收发器联接且被配置为：控制所述收发器向第一服务器发送第一消息，所述第一消息包括由所述终端的UICC生成的询问；控制所述收发器从所述第一服务器接收响应于所述询问的第二消息，所述第二消息包括由第二服务器生成的签名；以及通过所述终端的所述UICC来确认所述签名。
根据本公开的另一方面，提供了一种在无线通信系统中由第一服务器发送和接收与UICC相关的信息的方法。所述方法包括：从终端接收第一消息，所述第一消息包括由所述终端的UICC生成的询问；以及响应于所述询问，向所述终端发送第二消息，所述第二消息包括由第二服务器生成的签名，其中，由所述终端通过所述UICC来确认所述签名。
根据本公开的另一方面，提供了一种在无线通信系统中发送和接收与UICC相关的信息的第一服务器。所述第一服务器包括：收发器；以及控制器，所述控制器与所述收发器联接且被配置为：控制所述收发器从终端接收第一消息，所述第一消息包括由所述终端的UICC生成的询问；以及控制所述收发器响应于所述询问而向所述终端发送第二消息，所述第二消息包括由第二服务器生成的签名，其中，由所述终端通过所述UICC来确认所述签名。
发明的有益效果
根据本公开的实施例，如果第二软件打算调用LPA的功能，则终端的LPA可以识别第二软件是否是该终端中经过验证的软件，并且可以通过网络服务器来识别第二软件的访问权限。因此，LPA能够防止未经验证的第三软件访问LPA，并且能够通知网络服务器第二软件打算访问LPA。
此外，如果第二软件打算调用LPA的功能两次或更多次，则该终端的LPA可以根据上述关于初始访问的过程而允许第二软件进行访问，并且可以省略关于两次或更多次访问的通过网络服务器对第二软件的访问权限的识别。因此，在已经过验证的软件请求连续的LPA访问的情况下，LPA可以减轻访问权限验证的负担，并且可以缩短验证时间。
附图说明
通过以下结合附图的详细描述，本公开的某些实施例的以上和其他方面、特征和优点将更加明显，在附图中：
图1示出了终端使用嵌入有固定简档的UICC来连接到移动通信网络的方法；
图2A和图2B示出了根据实施例的终端、简档服务器、服务提供商服务器、服务提供商app、LPA和eUICC的配置；
图3示出了根据实施例的用于在离线认证和在线认证这两个阶段中执行服务提供商app的访问权限验证的方法；
图4示出了根据实施例，如果服务提供商app的访问权限被多次验证，则省略关于两次或更多次验证的在线认证的方法；
图5示出了根据实施例的LPA通过服务提供商app访问服务提供商服务器的在线认证方法；
图6示出了根据实施例的LPA直接访问服务提供商服务器的在线认证方法；
图7示出了根据实施例，在LPA通过服务提供商app访问服务提供商服务器的在线认证方法中，LPA从eUICC接收帮助的过程；
图8示出了根据实施例，在LPA直接访问服务提供商服务器的在线认证方法中，LPA从eUICC接收帮助的过程；
图9示出了根据实施例，在LPA通过服务提供商app访问服务提供商服务器的在线认证方法中，LPA从简档服务器接收帮助的过程；
图10示出了根据实施例，在LPA直接访问服务提供商服务器的在线认证方法中，LPA从简档服务器接收帮助的过程；
图11示出了根据实施例，在LPA通过服务提供商app访问服务提供商服务器的在线认证方法中，LPA从eUICC和简档服务器接收帮助的过程；
图12示出了根据实施例，在LPA直接访问服务提供商服务器的在线认证方法中，LPA从eUICC和简档服务器接收帮助的过程；
图13示出了根据实施例，在LPA访问简档服务器的在线认证方法中，LPA使用在服务提供商app和简档服务器中预共享的密钥的过程；
图14示出了根据实施例，如果服务提供商app通过所有两次LPA功能调用来下载简档，则服务提供商app执行关于这两次LPA功能调用的在线认证的过程；
图15示出了根据实施例，如果服务提供商app通过两次LPA功能调用来下载简档，则服务提供商app使用关于第二LPA功能调用的定时器来省略在线认证的过程；
图16示出了根据实施例，如果服务提供商app通过两次LPA功能调用来下载简档，则服务提供商app使用关于第二LPA功能调用的令牌来省略在线认证的过程；
图17示出了根据实施例的终端；
图18示出了根据实施例的服务器。
具体实施方式
下面将参考附图详细描述本公开的各种实施例。在以下描述中，提供诸如详细配置和组件的具体细节仅为了帮助全面理解本公开的这些实施例。因此，对于本领域技术人员来说显而易见的是，在不脱离本公开的范围和精神的情况下，可以对本文描述的实施例进行各种改变和修改。另外，为了清楚和简明，省略了对公知功能和结构的描述。
在附图中，一些元件被放大、省略或粗略地示出。此外，所示出的元件的尺寸可能不完全反映其实际尺寸。另外，相同或相似的附图标记可以用于各个附图中的相同或相似的元件。
流程图图示的每个块或步骤以及流程图图示中的块或步骤的组合可以由计算机程序指令实现。可以将这些计算机程序指令提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器以产生机器，使得通过计算机或其他可编程数据处理装置的处理器运行的指令创建用于实现流程图块或步骤中指定的功能的设备。计算机程序指令可以被存储在计算机可用或计算机可读存储器中，其能够指示计算机或另一可编程数据处理装置以特定方式运行，使得存储在计算机可用或计算机可读存储器中的指令产生包括指令装置的制品，该指令装置实现在流程图块或步骤中指定的功能。计算机程序指令也可以被加载到计算机或其他可编程数据处理装置上，以指示在计算机或其他可编程装置上执行一系列操作步骤，从而产生计算机实现的过程，使得在计算机或其他可编程装置上执行的指令提供用于实现在该流程图块或步骤中指定的功能的步骤。
流程图图示的每个块或步骤可以表示代码的模块、片段或部分，其包括用于实现所指定的逻辑功能的一个或更多个可执行指令。在一些替代实施方式中，框或步骤中提到的功能可以以不同的顺序发生。例如，依据所涉及的功能，连续示出的两个块或步骤实际上可以基本上同时或以相反的顺序运行。
本文中，术语“单元”可以指代执行某些任务的软件或硬件组件，诸如现场可编程门阵列(FPGA)或专用集成电路(ASIC)。然而，“单元”不一定是指软件或硬件。“单元”可以有利地被配置为驻留在可寻址存储介质上并且被配置为在一个或更多个处理器上运行。因此，“单元”可以包括软件组件、面向对象的软件组件、类组件和任务组件、进程、功能、属性、过程、子例程、程序代码段、驱动程序、固件、微代码、电路、数据、数据库、数据结构、表、阵列、变量等。在组件和“单元”中提供的功能可以被组合成更少的组件和“单元”，或者被进一步分成另外的组件和“单元”。此外，组件和“单元”可以被实现为操作设备或安全多媒体卡中的一个或更多个中央处理单元(CPU)。此外，“单元”可以包括一个或更多个处理器。
提供以下描述中使用的特定术语以帮助理解本公开，并且可以在不偏离本公开的技术构思的范围内以不同的形式对其进行修改。
本文中，UICC是可以插入移动通信终端的智能卡。UICC存储了个人信息，诸如移动通信用户的网络接入认证信息、电话簿和短消息服务(SMS)，并且可以在访问移动通信网络(诸如全球移动通信系统(GSM)、宽带码分多址(WCDMA)和LTE)时通过执行用户认证和业务安全密钥生成来安全地使用移动通信。
在UICC中，通信应用(诸如SIM、USIM和ISIM)根据用户访问的移动通信网络的类型进行嵌入，并且UICC可以提供用于嵌入各种应用(诸如电子钱包应用、票务应用和电子护照应用)的上层安全功能。
eUICC是被嵌入(或固定在)终端中的芯片型安全模块。eUICC可以使用OTA技术下载并安装简档。eUICC可以被称为在其中可以执行简档下载并安装的UICC。
在本公开中，使用OTA技术在eUICC中下载并安装简档的方法可以应用于可以插入终端或从终端拆卸的可拆卸类型UICC。也就是说，参考eUICC描述的本公开的实施例也可以应用于能够使用OTA技术下载并安装简档的UICC。
本文中，术语“UICC”可以与SIM互换使用，术语“eUICC”可以与eSIM互换使用。
本文中，简档可以指以软件的形式对存储在UICC中的应用、文件系统和认证密钥值的封装。
“USIM简档”可以具有与“简档”相同的含义，或者可以表示以软件形式将USIM应用中包括的信息封装在简档中。
简档提供服务器可以生成简档，加密所生成的简档，生成远程简档管理命令，和/或加密所生成的远程简档管理命令。简档提供服务器也可以被称为用户管理器数据准备(SM-DP)、用户管理器数据准备加(SM-DP+)、简档域的卡外实体、简档加密服务器、简档生成服务器、简档供应者(PP)、简档提供商或简档供应凭证持有者(PPC持有者)。
简档管理服务器可以被称为用户管理器安全路由(SM-SR)、用户管理器安全路由加(SM-SR+)、eUICC简档管理器的卡外实体、简档管理凭证(PMC)持有者或者是eUICC管理器(EM)。
简档提供服务器还可以包括简档管理服务器的功能。因此，根据本公开的各种实施例，简档提供服务器的操作也可以由简档管理服务器执行。关于简档管理服务器或SM-SR描述的操作也可以由简档提供服务器执行。
本文中，终端可以包括移动站(MS)、用户设备(UE)、用户终端(UT)、无线终端、接入终端(AT)、用户单元、用户站(SS)、无线设备、无线通信设备、无线发送/接收单元(WTRU)、运动节点、移动设备、蜂窝电话、智能电话、个人数字助理(PDA)、无线调制解调器、便携式计算机、成像设备(诸如数码相机)、游戏设备、音乐存储和再现设备、因特网家用电器，或集成了这些功能的组合的便携式单元或终端。
此外，终端可以包括M2M终端或MTC终端/设备，但不限于此。
终端也可以被称为电子设备。
本文中，能够下载并安装简档的UICC可以被嵌入在电子设备(例如，eUICC)中，或者可以物理地与电子设备分离。例如，可以将卡式UICC插入到电子设备中。电子设备可以包括终端，并且终端可以包括被配置为下载并安装简档的UICC。
终端或电子设备可以包括安装在其中的第一软件或应用以控制UICC或eUICC。第一软件或应用可以被称为LPA。
终端或电子设备可以包括被允许访问LPA的第二软件或应用。第二软件或应用可以被称为服务提供商app。
服务提供商app可以预先包括特定服务器的访问地址。被配置为由服务提供商app访问的服务器可以被称为服务提供商服务器。
终端或电子设备可以包括不被允许访问LPA的第三软件或应用。该第三软件或应用可以被称为恶意软件。
简档鉴别符可以包括简档标识符(ID)、集成电路卡ID(ICCID)、机器ID、事件ID、激活码、激活码令牌、发行者安全域简档(ISD-P)或与简档域(PD)匹配的因子。简档ID可以指示每个简档的固有标识符。简档鉴别符可以包括能够标引简档的简档提供服务器(例如，SM-DP+)的地址。
eUICC ID(EID)可以是嵌入在终端中的eUICC的固有标识符。此外，如果提供商简档已经嵌入在eUICC中，则EID可以是相应提供商简档的简档ID。此外，根据本公开的实施例，如果终端和eUICC芯片没有彼此分离，则EID可以是终端ID。此外，EID可以被称为eUICC芯片的特定安全域。
简档容器可以包括简档域或安全域。
应用协议数据单元(APDU)可以是用于终端与eUICC互锁的消息。此外，APDU可以是用于PP或简档管理器(PM)与eUICC互锁的的消息。
事件可以指简档下载、远程简档管理，或者另一简档或eUICC管理/处理命令。简档下载可以与简档安装互换使用。
此外，事件类型可以指示特定事件是简档下载还是远程简档管理，或者特定事件是否是另一简档或eUICC管理/处理命令。事件类型可以包括事件请求类型、事件类或事件请求类。
简档包可以与简档交替使用，或者可以用作指示特定简档的数据对象的术语。简档包可以包括简档的类型、长度和值(TLV)或简档包TLV。如果使用加密参数对简档包进行加密，则简档包可以被称为受保护的简档包(PPP)或PPP TLV。
如果使用可以仅由特定eUICC解密的加密参数来加密简档包，则简档包可以被称为绑定简档包(BPP)或BBP TLV。简档包TLV可以包括表示构成TLV类型的简档的信息的数据集。
远程简档管理(RPM)可以被称为简档远程管理、远程管理、远程管理命令、远程命令、RPM包、简档远程管理包、远程管理包、远程管理命令包，或远程命令包。RPM可以用于改变特定简档的状态(例如，启用、禁用或删除)或更新特定简档的内容(例如，简档昵称或简档元数据)。
认证和密钥协议(AKA)可以指示用于访问第三代合作伙伴计划(3GPP)和3GPP2网络的认证算法。
本文中，K是被存储在用于AKA认证算法的eUICC中的加密密钥值，并且OPc是可以被存储在用于AKA认证算法的eUICC中的参数值。
网络访问应用(NAA)程序(诸如USIM或ISIM)可以被存储在UICC中以访问网络。NAA可以包括网络访问模块。
图1示出了终端使用嵌入有固定到终端(100)的简档的UICC以连接到移动通信网络的方法。
参照图1，UICC 120可以被插入终端110。UICC可以是可拆卸的类型，或者可以被预先嵌入终端110。嵌入有固定简档的UICC的固定简档指示用于访问特定通信服务提供商的“访问信息”是固定的。访问信息可以包括用户鉴别符和用于利用该用户鉴别符在网络中进行认证的K值或子密钥(Ki)值。
终端110可以使用UICC，与移动通信服务提供商的认证处理系统(例如，归属位置寄存器(HLR)或认证中心(AuC))执行认证。认证过程可以包括AKA过程。如果认证成功，则终端110可以利用移动通信系统的移动通信网络130来使用移动通信服务(例如拨打电话)或使用移动数据。
图2A和图2B示出了根据实施例(200)的终端(230)、简档服务器(280)、服务提供商服务器(270)、服务提供商app(240)、恶意软件(245)、LPA(250)和eUICC(260)。
参照图2A，终端230包括连接到服务提供商app 240和eUICC 260的LPA 250。LPA250与服务提供商app 240之间的连接遵循由终端230的操作系统(OS)、第四安全软件或物理接口连接所提供的安全过程290。在安全过程290中，如果软件或应用的程序代码的散列值或签名值和用于相应散列或签名的公钥或存储有该公钥的数字证书被包括在该软件或应用中，则终端230的OS在安装该软件或应用期间使用该公钥或数字证书来验证该散列值或签名值。
LPA 250例如通过传输层安全(TLS)安全过程还被连接到简档服务器(SM-DP+)280。
服务提供商app 240还连接到服务提供商服务器270。服务提供商app 240与服务提供商服务器270之间的连接可以遵循由服务提供商可选地选择的安全过程(例如，基于加密方法的TLS连接或对称密钥)。
参照图2B，在终端230中，除了作为第一软件的LPA 250和作为第二软件的服务提供商app 240之外，还安装了作为第三软件的恶意软件245。根据终端230中的安全程序290，可以允许第二软件240访问LPA 250(B)或阻止第三软件245访问LPA 250(A)。
如果允许服务提供商app 240访问LPA 250，则在步骤211，服务提供商app 240传送向LPA 250请求eUICC 260的信息(例如，可用存储空间的大小)的消息。LPA 250可以读取eUICC 260的信息并答复服务提供商app 240。
在步骤213，服务提供商app 240使用所获取的eUICC的信息在简档服务器280中准备简档。作为简档准备的结果，可以生成用于简档安装的激活码。
在步骤215，服务提供商app 240将生成的激活码传送到LPA 250。
在步骤217，LPA 250使用所接收的激活码来接收从简档服务器280下载的简档。
根据上述过程，关于第二软件或第三软件对LPA的访问控制应当取决于终端230中的安全过程290，并且网络(例如，服务提供商服务器270)不能管理终端230中的操作。此外，如果如同在图2B中的步骤211和215那样连续地对LPA 250进行访问，则终端230应当有效地处理连续访问以改进终端230的性能。
图3示出了根据实施例的用于在离线认证和在线认证这两个阶段中执行服务提供商app的访问权限验证的方法(300)。
参照图3，在步骤301，LPA 250离线认证服务提供商app 240。如上面参照图2A所述，步骤301的离线认证可以使用由终端230提供的功能。
在步骤305，LPA 250通过服务提供商服务器270在线认证服务提供商app 240。可以执行步骤305的在线认证，使得LPA 250通过服务提供商app 240访问服务提供商服务器270，或者LPA 250可以根据终端230或LPA 250的配置在步骤307直接访问服务提供商服务器270。
此外，在步骤309，LPA 250访问eUICC 260，并且在步骤311，服务提供商服务器270访问简档服务器280。
图4示出了根据实施例，如果服务提供商app的访问权限被多次验证，则省略关于两次或更多次验证的在线认证的方法(400)。
参照图4，LPA 250和服务提供商app 240例如根据图3的过程，初次验证服务提供商app 240对LPA 250的访问权限，如果步骤301的离线认证和步骤303的在线认证已成功，则LPA 250对服务提供商app 240操作定时器或发出令牌。
此后，当重新验证相同服务提供商app 240对LPA 250的访问权限时，在用于离线认证服务提供商app 240的步骤401，LPA 250识别是否在先前验证期间操作的定时器到期之前执行了相应的验证或使用了有效令牌。如果在定时器到期之前执行的先前验证中服务提供商app 240已成功了或者已经使用了有效令牌，则此后LPA 250可以在步骤403省略在线认证。
图5示出了根据实施例，LPA通过服务提供商app访问服务提供商服务器来识别服务提供商app的在线认证方法(500)。
参照图5，在步骤501，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且相应的访问可以如上参照图2A所述的那样使用终端230提供的功能。
在步骤503，LPA 250生成询问。
在步骤505，LPA 250通过服务提供商app 240将所生成的询问传送到服务提供商服务器270以请求数字签名。服务提供商服务器270的地址可以预先设置在服务提供商app240或LPA 250中，或者可以由用户输入。
在步骤507，服务提供商服务器270关于所接收的询问来执行数字签名。可以使用预先存储在服务提供商服务器270中的数字证书和相应的密钥来执行数字签名。
在步骤509，服务提供商服务器270通过服务提供商app 240将所生成的数字签名发送到LPA 250，作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤511，LPA 250尝试验证所接收的数字签名。如果数字签名验证成功，则LPA250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图6示出了根据实施例的LPA直接访问服务提供商服务器以识别服务提供商app的在线认证方法(600)。
参照图6，在步骤601，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且相应的访问可以如上参照图2A所述的使用终端230提供的功能。
在步骤603，LPA 250生成询问。
在步骤605，LPA 250将生成的询问直接传送到服务提供商服务器270以请求数字签名。服务提供商服务器270的地址可以被预先设置在LPA 250中，该服务提供商服务器270的地址可以在步骤601从服务提供商app 240传送，或者可以从用户输入。
在步骤607，服务提供商服务器270关于所接收的询问执行数字签名。可以使用预先存储在服务提供商服务器270中的数字证书和相应的密钥来执行数字签名。
在步骤609，服务提供商服务器270将生成的数字签名直接发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤611，LPA 250尝试验证所接收的数字签名。如果数字签名验证成功，则LPA250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图7示出了根据实施例，当LPA通过经由服务提供商app访问服务提供商服务器来识别服务提供商app时，LPA从eUICC接收帮助的在线认证过程(700)。
参照图7，在步骤701，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且相应的访问可以如上参照图2A所述的使用终端230提供的功能。
在步骤703，LPA 250请求eUICC 260来生成询问，而后eUICC 260生成询问并将所生成的询问发送到LPA 250作为应答。
在步骤705，LPA 250通过服务提供商app 240将所接收的询问传送到服务提供商服务器270，以请求数字签名。服务提供商服务器270的地址可以被预先设置在服务提供商app 240或LPA 250中，或者可以从用户输入。
在步骤707，服务提供商服务器270关于所接收的询问执行数字签名。可以使用预先存储在服务提供商服务器270中的数字证书和相应的密钥来执行数字签名。
在步骤709，服务提供商服务器270通过服务提供商app 240将所生成的数字签名发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤711，LPA 250将所接收的数字签名传送到eUICC 260，以请求验证数字签名。eUICC 260可以将数字签名的验证结果发送到LPA 250作为应答。如果通过eUICC 260的数字签名验证成功，则LPA 250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图8示出了根据实施例，当LPA通过直接访问服务提供商服务器来识别服务提供商app时，LPA从eUICC接收帮助的在线认证过程(800)。
参照图8，在步骤801，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤803，LPA 250请求eUICC 260来生成询问。eUICC可以生成询问，并将所生成的询问发送到LPA 250作为应答。
在步骤805，LPA 250直接将所接收的询问传送到服务提供商服务器270，以请求数字签名。服务提供商服务器270的地址可以预先设置在LPA 250中，该服务提供商服务器270的地址可以在步骤801从服务提供商app 240传送，或者可以从用户输入。
在步骤807，服务提供商服务器270关于所接收的询问执行数字签名。可以使用预先存储在服务提供商服务器270中的数字证书和相应的密钥来执行数字签名。
在步骤809，服务提供商服务器270将生成的数字签名直接发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤811，LPA 250将所接收的数字签名传送到eUICC 260，以请求验证数字签名。eUICC 260可以将数字签名的验证结果发送到LPA 250作为应答。如果通过eUICC 260的数字签名验证成功，则LPA 250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图9示出了根据实施例，当LPA通过经由服务提供商app访问服务提供商服务器来识别服务提供商app时，LPA从简档服务器接收帮助的在线认证过程(900)。
参照图9，在步骤901，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤903，LPA 250生成询问。
在步骤905，LPA 250通过服务提供商app 240将所生成的询问传送到服务提供商服务器270以请求数字签名。服务提供商服务器270的地址可以预先设置在服务提供商app240或LPA 250中，或者可以从用户输入。
在步骤907，服务提供商服务器270通过将所接收的询问传送到简档服务器280来获得简档服务器280的数字签名。可以在服务提供商服务器270中预设简档服务器280的地址。可以使用预先存储在简档服务器280中的数字证书和相应的密钥来执行数字签名。
在步骤909，服务提供商服务器270通过服务提供商app 240将所生成的数字签名发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤911，LPA 250尝试验证所接收的数字签名。如果数字签名验证成功，则LPA250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图10示出了根据实施例，当LPA通过直接访问服务提供商服务器来识别服务提供商app时，LPA从简档服务器接收帮助的在线认证过程(1000)。
参照图10，在步骤1001，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1003，LPA 250生成询问。
在步骤1005，LPA 250直接将所生成的询问传送到服务提供商服务器270，以请求数字签名。服务提供商服务器270的地址可以预先设置在LPA 250中，该服务提供商服务器270的地址可以在步骤1001从服务提供商app 240传送，或者可以从用户输入。
在步骤1007，服务提供商服务器270通过将所接收的询问传送到简档服务器280来获得简档服务器280的数字签名。可以在服务提供商服务器270中预设简档服务器280的地址。可以使用预先存储在简档服务器280中的数字证书和相应的密钥来执行数字签名。
在步骤1009，服务提供商服务器270将所生成的数字签名直接发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤1011，LPA 250尝试验证所接收的数字签名。如果数字签名验证成功，则LPA250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图11示出了根据实施例，当LPA通过经由服务提供商app访问服务提供商服务器来识别服务提供商app时，LPA从eUICC和简档服务器接收帮助的在线认证过程(1100)。
参照图11，在步骤1101，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1103，LPA 250可以请求eUICC 260来生成询问。eUICC 260可以生成询问，并将所生成的询问发送到LPA 250作为应答。
在步骤1105，LPA 250可以通过服务提供商app 240将所接收的询问传送到服务提供商服务器270，以请求数字签名。服务提供商服务器270的地址可以预先设置在服务提供商app 240或LPA 250中，或者可以从用户输入。
在步骤1107，服务提供商服务器270将所接收的询问传送到简档服务器280，以获得简档服务器280的数字签名。可以在服务提供商服务器270中预设简档服务器280的地址。可以使用预先存储在简档服务器280中的数字证书和相应的密钥来执行签名。
在步骤1109，服务提供商服务器270通过服务提供商app 240将所生成的数字签名发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤1111，LPA 250将所接收的数字签名传送到eUICC 260，以请求验证数字签名。eUICC 260可以将数字签名的验证结果发送到LPA 250作为应答。如果通过eUICC 260的数字签名验证成功，则LPA 250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图12示出了根据实施例，当LPA通过直接访问服务提供商服务器来识别服务提供商app时，LPA从eUICC和简档服务器接收帮助的在线认证过程(1200)。
参照图12，在步骤1201，服务提供商app 240尝试调用LPA 250的特定功能。相应的访问可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1203，LPA 250请求eUICC 260来生成询问。eUICC 260可以生成询问，并将所生成的询问发送到LPA 250作为应答。
在步骤1205，LPA 250直接将所接收的询问传送到服务提供商服务器270，以请求数字签名。服务提供商服务器270的地址可以预先设置在LPA 250中，该服务提供商服务器270的地址可以在操作1201从服务提供商app 240传送，或者可以从用户输入。
在步骤1207，服务提供商服务器270将所接收的询问传送到简档服务器280，以获得简档服务器280的数字签名。可以在服务提供商服务器270中预设简档服务器280的地址。可以使用预先存储在简档服务器280中的数字证书和相应的密钥来执行数字签名。
在步骤1209，服务提供商服务器270将生成的数字签名直接发送到LPA 250作为应答。该应答可以包括数字签名和用于验证该数字签名的一个或更多个数字证书。
在步骤1211，LPA 250将所接收的数字签名传送到eUICC 260，以请求验证数字签名。eUICC 260可以将数字签名的验证结果发送到LPA 250作为应答。如果通过eUICC 260的数字签名验证成功，则LPA 250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图13示出了根据实施例，当LPA识别服务提供商app时，LPA使用在服务提供商app和简档服务器中预共享的密钥的在线认证过程(1300)。
参照图13，服务提供商服务器270可以将相同的密钥存储在服务提供商app 240和简档服务器280中。
在步骤1301，当服务提供商app 240尝试调用LPA 250的特定功能时，服务提供商app 240传送在服务提供商app 240中包括的密钥以及使用相应的密钥的操作结果。相应的访问可以通过图3的步骤301的离线认证被转到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1303，LPA 250将所接收的密钥和使用相应的密钥的操作结果传送到简档服务器280。简档服务器280的地址可以预先存储在LPA 250中，该简档服务器280的地址可以在步骤1301从服务提供商app 240传送，或者可以从用户输入。
在步骤1305，简档服务器280可以使用存储在简档服务器280中的密钥来验证所接收的密钥或使用相应的密钥的操作结果。
在步骤1307，简档服务器280将验证结果发送到LPA 250作为应答。如果验证结果成功，则LPA 250认为服务提供商app 240的访问权限已被批准，执行服务提供商app 240所调用的功能(例如，从简档服务器下载简档)，并通知服务提供商app 240或服务提供商服务器270执行该功能的结果。
图14示出了根据实施例的服务提供商app通过连续调用LPA的两个特定功能而允许LPA下载简档的方法(1400)。
参照图14，在步骤1401，服务提供商app 240将“获取eUICC信息”消息传送到LPA250作为第一LPA功能调用。步骤1401的“获取eUICC信息”消息可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1403，LPA 250例如根据图5至图13中所示的方法中的一种方法，通过服务提供商服务器270在线认证服务提供商app 240的访问权限。此外，尽管未在图14中示出，可以根据情况将eUICC 260和/或简档服务器280包括在在线认证过程中，如图5至图13所示。
在步骤1405，LPA 250向服务提供商app 240通知在线认证结果。在根据该实施例的作为第一LPA功能调用的“获取eUICC信息”的情况下，可以将相应的在线认证结果与LPA250已经从eUICC 260读取出的eUICC信息一起传送。
在步骤1407，服务提供商app 240将所接收的eUICC信息传送到服务提供商服务器270。
在步骤1409，服务提供商服务器270基于所接收的eUICC信息准备要安装在eUICC中的简档。简档的准备可以与特定简档服务器280相关联地执行，并且作为简档准备的结果，可以生成用于下载相应简档的激活码。
在步骤1411，服务提供商服务器270将所生成的激活码发送到服务提供商app 240作为应答。
为了将所接收的激活码传送到LPA 250，服务提供商app 240在步骤1413将“推送激活码”消息传送到LPA 250作为第二LPA功能调用。步骤1413的“推送激活码”消息可以通过与上述步骤1401相同的离线认证。
在步骤1415，LPA 250重新执行与在步骤1403所执行的相同的在线认证。此外，在步骤1415关于“推送激活码”消息的在线认证过程可以包括通过根据图5至图13中所示的实施例将例如在步骤1413接收到的激活码和询问传送到服务提供商服务器240并请求数字签名，识别相应的激活码的完整性的过程。
在步骤1417，LPA 250向服务提供商app 240通知在线认证结果。在根据该实施例的“推送激活码”(其是第二LPA功能调用)的情况下，在简档在步骤1419被安装之后，可以将对应的在线认证结果作为应答发送。
在步骤1419，LPA 250使用在步骤1413接收到的激活码从简档服务器280下载并安装简档。
图15示出了根据实施例，当服务提供商app连续调用LPA的两个特定功能时，服务提供商app用关于第二访问的定时器操作来替换在线认证的方法(1500)。
参照图15，在步骤1501，服务提供商app 240将“获取eUICC信息”消息传送到LPA250作为第一LPA功能调用。步骤1501的“获取eUICC信息”消息可以通过图3的步骤301的离线认证被传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1503，LPA 250例如根据图5至图13的实施例中的一个，通过服务提供商服务器270在线认证服务提供商app 240的访问权限。此外，尽管未在图15中示出，可以根据情况将eUICC 260和/或简档服务器280包括在在线认证过程中，如图5至图13所示。
如果步骤1503的在线认证成功，则LPA 250在步骤1505可以操作定时器，以在相应的服务提供商app 240的第二LPA功能调用期间简化访问权限验证。
在步骤1507，LPA 250向服务提供商app 240通知在线认证结果。在根据该实施例的作为第一LPA功能调用的“获取eUICC信息”的情况下，可以将相应的在线认证结果与LPA250已经从eUICC 260读取出的eUICC信息一起传送。
步骤1507至1513的操作与图14的步骤1405至1411相同。因此，省略了对这些步骤的重复描述。
为了将在步骤1513接收到的激活码传送到LPA 250，服务提供商app240在步骤1515将“推送激活码”消息传送到LPA 250作为第二LPA功能调用。步骤1515的“推送激活码”消息可以通过与上述步骤1501相同的离线认证。
在步骤1517，LPA 250识别第二LPA功能调用是否由相同的服务提供商app 240引起，以及是否在步骤1505操作的定时器到期之前进行。如果相同的服务提供商app 240第二次调用LPA 250的功能，则在定时器到期之前，LPA 250可以认为对相应的服务提供商app240的访问得到允许，并且可以省略执行在线认证过程。
在步骤1519，LPA 250在步骤1517向服务提供商app 240通知识别结果。在图15中，尽管省略了在线认证过程，但是与图14的实施例类似，第二LPA功能调用的在线认证可能并不会必然地与答复的结果区分开。因此，如果需要，LPA 250在步骤1519可以操作附加定时器或者可以针对第三LPA功能调用或随后的LPA功能调用延长前一定时器的操作时间。此外，在根据本实施例的作为第二LPA功能调用的“推送激活码”的情况下，可以在步骤1521安装了简档之后，将相应的在线认证结果作为应答进行发送。
在步骤1521，LPA 250使用在步骤1515接收到的激活码从简档服务器280下载并安装简档。
图16示出了根据实施例，当服务提供商app连续调用LPA的两个特定功能时，服务提供商app用关于第二访问的令牌验证来替换在线认证的方法(1600)。
参照图16，在步骤1601，服务提供商app 240将“获取eUICC信息”消息传送到LPA250作为第一LPA功能调用。可以通过图3的步骤301的离线认证将步骤1601的“获取eUICC信息”消息传送到LPA 250，并且可以如上参照图2A所述的使用终端230提供的功能。
在步骤1603，LPA 250例如根据图5至图13的实施例中的一个，通过服务提供商服务器270在线认证服务提供商app 240的访问权限。此外，尽管未在图16中示出，可以根据情况将eUICC 260和/或简档服务器280包括在在线认证过程中，如图5至图13所示。
如果步骤1603的在线认证已成功，则LPA 250在步骤1605发出令牌，以便在相应的服务提供商app 240的第二LPA功能调用期间简化访问权限验证。令牌可以在诸如以下列表中的有效性限制下被使用，但是这种限制不限于此：
-可用次数
-使用期限
在步骤1607，LPA 250向服务提供商app 240通知在步骤1603处的在线认证结果。在根据本实施例的作为第一LPA功能调用的“获取eUICC信息”的情况下，可以将相应的在线认证结果与LPA 250已从eUICC 260读取出的eUICC信息一起传送。此外，在步骤1607，LPA250还可以将在步骤1605发出的令牌传送到服务提供商app 240。
步骤1607至1613的操作与图14的步骤1405至1411相同，因此，省略了对这些步骤的重复描述。
为了将在步骤1613接收到的激活码传送到LPA 250，服务提供商app240在步骤1615将“推送激活码”消息传送到LPA 250作为第二LPA功能调用。在步骤1615，服务提供商app 240也可以将在步骤1607接收到的令牌传送到LPA 250。步骤1615的“推送激活码”消息可以通过与上述步骤1601相同的离线认证。
在步骤1617，LPA 250识别在步骤1615的第二LPA功能调用是否由相同的服务提供商app 240引起，以及通过将该令牌与在步骤1605发出的令牌进行比较来识别在步骤1615接收到的令牌是否是有效的。如果相同的服务提供商app 240使用有效令牌第二次调用LPA250的功能，则LPA 250可以认为对相应的服务提供商app 240的访问已经得到允许，并且可以省略在线认证过程。
在步骤1619，LPA 250在步骤1617向服务提供商app 240通知识别结果。在图16中，尽管省略了在线认证过程，但是与图14的实施例类似，第二LPA功能调用的在线认证可能并不会必然地与答复的结果区分开。因此，如果需要，LPA 250在步骤1619可以针对第三LPA功能调用或随后的LPA功能调用，发出新令牌或者更新先前发出的令牌的有效性。此外，在根据本实施例的作为第二LPA功能调用的“推送激活码”的情况下，可以在步骤1621安装了简档之后，发送相应的在线认证结果作为应答。
在步骤1621，LPA 250使用在步骤1613接收到的激活码从简档服务器280下载并安装简档。
图17示出了根据实施例的终端。
参照图17，终端1700包括收发器1710、控制器1720和UICC 1730。UICC 1730可以被插入到终端1700中，或者可以被嵌入到终端1700中。
收发器1710可以发送和接收信号、信息和数据。
控制器1720可以例如根据图3至图16中所示的方法，控制终端1700的全部操作。
此外，UICC 1730可以下载简档并安装所下载的简档。此外，UICC 1730可以管理简档。UICC 1730可以在控制器1720的控制下操作。此外，UICC 1730可以包括用于安装简档的处理器或控制器，或者可以将应用安装在该UICC 1730。
例如，在根据本公开的实施例的无线通信系统中，终端1700可以包括：控制器1720，该控制器1720用于控制第二软件以调用第一软件的功能且用于准备第二软件的权限验证的签名请求消息(询问)；以及收发器1710，该收发器1710用于将该签名请求消息发送到服务提供商服务器以请求数字签名并从该服务提供商服务器接收数字签名。
此外，控制器1720还可以包括用于使用数字证书来验证数字签名的确定单元。如果通过服务提供商服务器的数字签名验证成功，则控制器1720和确定单元此后可以省略对第二软件的额外的权限验证。
另外，终端1700可以包括：用于控制eUICC的控制器1720；以及收发器1710，该收发器1710用于将简档请求消息发送到简档服务器SM-DP+并接收从简档服务器下载的简档。
图18示出了根据实施例的服务器。例如，图18的服务器1800可以是简档服务器或服务提供商服务器。
参照图18，服务器1800包括收发器1810和控制器1820。
收发器1810可以发送和接收信号、信息和数据。例如，收发器1810可以与终端或另一服务器(或网络实体)通信，使得该收发器1810从终端接收请求，并将简档和数字签名发送到终端。
控制器1820可以例如根据图3至图16中所示的方法，控制服务器1800的全部操作。
例如，如果服务器1800是根据本公开的实施例的无线通信系统中的服务提供商服务器，则服务器1800可以包括控制器1820，该控制器1820用于接收来自终端或终端中包括的第一软件或第二软件的签名请求消息，确定是否能够生成数字签名，并生成该数字签名。此外，如果不能生成数字签名，则服务器1800可以使用控制器1820和收发器1810将签名请求消息传送到简档服务器。服务器1800可以从简档服务器接收数字签名，或者可以将数字签名发送到终端或终端中包括的第一软件或第二软件。
根据本公开的上述实施例，如果第二软件打算调用LPA的功能，则终端的LPA可以识别第二软件是否是该终端中经过验证的软件，并且可以通过网络服务器识别第二软件的访问权限。因此，LPA能够防止未经验证的第三软件访问LPA，并且可以通知网络服务器第二软件打算访问LPA。
此外，如果第二软件打算调用LPA的功能两次或更多次，则终端的LPA可以根据上述关于初始访问的过程而允许第二软件进行访问，并且可以省略关于两次或更多次访问的通过网络服务器对第二软件的访问权限的识别。因此，在已经过验证的软件请求连续的LPA访问的情况下，LPA可以减轻访问权限验证的负担，并且可以缩短验证时间。
尽管以上在说明书和附图中描述了本公开的各种实施例，但是这些仅仅是为了帮助理解本公开而提供的示例，而不旨在限制本公开的范围。因此，对于本公开所属领域的普通技术人员显而易见的是，可以基于本公开的技术构思实现各种修改。
此外，可以组合各个实施例以根据需要进行操作。例如，可以组合本公开的不同实施例的部分以操作基站和终端。此外，尽管基于LTE/LTE-高级(LTE-A)系统提供了上述实施例，但是基于实施例的技术构思的其他修改也能够应用于其他系统，诸如5G或新空(NR)系统。
虽然已经参考本公开的某些实施例具体示出和描述了本公开，但是本领域普通技术人员将理解，在不脱离由以下权利要求及其等同形式限定的本公开的精神和范围的情况下，可以在形式和细节上进行各种改变。

Claims (16)

1.一种由包括通用集成电路卡即UICC的终端执行的方法，所述终端具有安装在其中的应用和本地简档助理即LPA，所述方法包括：
由所述终端的所述LPA从所述应用接收请求所述终端的所述UICC的询问的功能调用；
由所述终端的所述LPA向所述UICC发送针对所述UICC的询问的请求；
响应于所述请求，由所述终端的所述LPA从所述UICC获得由所述UICC生成的所述询问；
由从所述LPA获得所述询问的应用向与运营商相关联的第一服务器发送基于所述询问生成的第一消息；
由所述应用从所述第一服务器接收第二消息，所述第二消息包括由提供简档的第二服务器生成的签名，所述签名是针对所述询问生成的；以及
通过所述终端的从所述LPA和所述应用获得所述签名的所述UICC来确认所述签名。
2.根据权利要求1所述的方法，其中，安装在所述终端中的所述应用是由运营商授权的，并且
其中，通过所述应用从所述第一服务器接收所述第二消息。
3.根据权利要求1所述的方法，其中，从所述第一服务器向所述第二服务器发送对所述签名的请求，并且
其中，所述签名是由所述第二服务器基于数字证书生成的。
4.根据权利要求1所述的方法，还包括：从所述第二服务器接收与用于所述UICC的简档相关的命令。
5.一种包括通用集成电路卡即UICC的终端，所述终端具有安装在其中的应用和本地简档助理即LPA，所述终端包括：
收发器；以及
控制器，所述控制器与所述收发器联接且被配置为：
由所述终端的所述LPA从所述应用接收请求所述终端的所述UICC的询问的功能调用；
由所述终端的所述LPA向所述UICC发送针对所述UICC的询问的请求；
响应于所述请求，由所述终端的所述LPA从所述UICC获得由所述UICC生成的所述询问；
由从所述LPA获得所述询问的应用向与运营商相关联的第一服务器发送基于所述询问生成的第一消息；
由所述应用从所述第一服务器接收第二消息，所述第二消息包括由提供简档的第二服务器生成的签名，所述签名是针对所述询问生成的，并且
通过所述终端的从所述LPA和所述应用获得所述签名的所述UICC来确认所述签名。
6.根据权利要求5所述的终端，其中，安装在所述终端中的所述应用是由运营商授权的，并且
其中，通过所述应用从所述第一服务器接收所述第二消息。
7.根据权利要求5所述的终端，其中，从所述第一服务器向所述第二服务器发送对所述签名的请求，并且
其中，所述签名是由所述第二服务器基于数字证书生成的。
8.根据权利要求5所述的终端，其中，所述控制器还被配置为：从所述第二服务器接收与用于所述UICC的简档相关的命令。
9.一种由与运营商相关联的第一服务器执行的与终端进行通信的方法，所述终端包括通用集成电路卡即UICC以及具有安装在其中的应用和本地简档助理即LPA，所述方法包括：
从所述终端的所述应用接收第一消息，所述第一消息是基于由所述终端的所述UICC生成的询问生成的，所述询问是响应于所述LPA对所述UICC的询问的请求而生成的；以及
向所述终端的所述应用发送第二消息，所述第二消息包括由提供简档的第二服务器生成的签名，所述签名是针对所述询问生成的；
其中，由所述终端的所述LPA从所述应用接收请求所述UICC的所述询问的功能调用，
其中，所述请求由所述LPA发送到所述UICC，并且其中，由从所述LPA和所述应用获得所述签名的所述UICC来确认所述签名。
10.根据权利要求9所述的方法，其中，安装在所述终端中的所述应用是由所述运营商授权的，并且
其中，由所述终端通过使用所述应用来接收所述第二消息。
11.根据权利要求9所述的方法，还包括：
向所述第二服务器发送对所述签名的请求；以及
从所述第二服务器接收由所述第二服务器使用数字证书生成的所述签名。
12.根据权利要求9所述的方法，
其中，所述第二服务器向所述终端发送与用于所述UICC的简档相关的命令。
13.一种与终端通信并且与运营商相关联的第一服务器，所述终端包括通用集成电路卡即UICC以及具有安装在其中的应用和本地简档助理即LPA，所述第一服务器包括：
收发器；以及
控制器，所述控制器与所述收发器联接且被配置为：
从终端的所述应用接收第一消息，所述第一消息是基于由所述终端的所述UICC生成的询问生成的，所述询问是响应于所述LPA对所述UICC的询问的请求而生成的；以及
向所述终端的所述应用发送第二消息，所述第二消息包括由提供简档的第二服务器生成的签名，所述签名是针对所述询问生成的；
其中，由所述终端的所述LPA从所述应用接收请求所述UICC的所述询问的功能调用，
其中，所述请求由所述LPA发送到所述UICC，并且
其中，由从所述LPA和所述应用获得所述签名的所述UICC来确认所述签名。
14.根据权利要求13所述的第一服务器，其中，安装在所述终端中的所述应用是由所述运营商授权的，并且
其中，由所述终端通过使用所述应用来接收所述第二消息。
15.根据权利要求13所述的第一服务器，其中，所述控制器还被配置为：
向所述第二服务器发送对所述签名的请求，并且
从所述第二服务器接收由所述第二服务器使用数字证书生成的所述签名。
16.根据权利要求13所述的第一服务器，其中，所述第二服务器向所述终端发送与用于所述UICC的简档相关的命令。
CN201880004652.9A 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法 Active CN110024426B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210962708.XA CN115314901A (zh) 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
KR10-2017-0019257 2017-02-13
KR1020170019257A KR102293683B1 (ko) 2017-02-13 2017-02-13 eSIM 접근 제어 방법 및 장치
PCT/KR2018/001896 WO2018147711A1 (en) 2017-02-13 2018-02-13 APPARATUS AND METHOD FOR ACCESS CONTROL ON eSIM

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN202210962708.XA Division CN115314901A (zh) 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法

Publications (2)

Publication Number Publication Date
CN110024426A CN110024426A (zh) 2019-07-16
CN110024426B true CN110024426B (zh) 2022-09-02

Family

ID=63106465

Family Applications (2)

Application Number Title Priority Date Filing Date
CN202210962708.XA Pending CN115314901A (zh) 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法
CN201880004652.9A Active CN110024426B (zh) 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN202210962708.XA Pending CN115314901A (zh) 2017-02-13 2018-02-13 通过eSIM进行访问控制的装置及方法

Country Status (5)

Country Link
US (2) US10735945B2 (zh)
EP (2) EP3566481B1 (zh)
KR (1) KR102293683B1 (zh)
CN (2) CN115314901A (zh)
WO (1) WO2018147711A1 (zh)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11070355B2 (en) * 2017-06-30 2021-07-20 Apple Inc. Profile installation based on privilege level
KR102600813B1 (ko) * 2018-06-07 2023-11-10 삼성전자 주식회사 메시지 서비스를 이용하여 프로파일을 설치하고 관리하는 방법 및 장치
US11340879B2 (en) 2018-08-08 2022-05-24 Apple Inc. Techniques for dynamically provisioning electronic subscriber identity modules to mobile devices
US11354400B2 (en) * 2018-10-01 2022-06-07 Citrix Systems, Inc. Systems and methods for offline usage of SaaS applications
US10798564B2 (en) 2018-10-05 2020-10-06 T-Mobile USA, Inc Machine-readable code-based embedded subscriber identity module (ESIM) profile download
EP3672300A1 (en) * 2018-12-21 2020-06-24 Telefonica, S.A. Portable secure elements for subscription manager roles
WO2021054808A1 (ko) * 2019-09-20 2021-03-25 삼성전자 주식회사 기기 간 번들 이동 후 번들의 상태를 설정하는 방법 및 장치
US11394702B2 (en) * 2019-09-23 2022-07-19 T-Mobile Usa, Inc. Authentication system when authentication is not functioning
EP3855328A1 (en) * 2020-01-24 2021-07-28 Thales Dis France Sa A method for securely diversifying a generic application stored in a secure processor of a terminal
KR20220017212A (ko) * 2020-08-04 2022-02-11 삼성전자주식회사 기기 간 번들 또는 프로파일 이동 시 연계 방법 및 장치
CN111901792B (zh) * 2020-09-08 2023-04-07 中国联合网络通信集团有限公司 一种uicc应用设置信息管理方法、系统及终端
US20230054892A1 (en) * 2021-08-20 2023-02-23 Samsung Electronics Co., Ltd. Method and device for providing event in wireless communication system

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102016867A (zh) * 2008-03-04 2011-04-13 苹果公司 基于至少一个已安装的简档来授权执行软件代码的系统和方法
CN102016865A (zh) * 2008-03-04 2011-04-13 苹果公司 基于可用权利来授权执行软件代码的系统和方法
CN105323323A (zh) * 2010-06-14 2016-02-10 苹果公司 用于在无线网络中提供用户标识数据的装置和方法
CN105493530A (zh) * 2013-09-04 2016-04-13 本田技研工业株式会社 电子通信系统、车载装置以及控制方法
WO2016167551A1 (ko) * 2015-04-13 2016-10-20 삼성전자 주식회사 통신 시스템에서 프로파일을 관리하는 기법
WO2016178548A1 (ko) * 2015-05-07 2016-11-10 삼성전자 주식회사 프로파일 제공 방법 및 장치

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7680491B2 (en) * 2003-05-15 2010-03-16 Redknee Inc. Method and system allowing for one mobile phone number (MSISDN) to be associated with a plurality of wireless devices (‘Multi-SIM’)
EP2461613A1 (en) * 2010-12-06 2012-06-06 Gemalto SA Methods and system for handling UICC data
US9009475B2 (en) 2011-04-05 2015-04-14 Apple Inc. Apparatus and methods for storing electronic access clients
EP2533588A1 (en) * 2011-06-08 2012-12-12 Cinterion Wireless Modules GmbH SIM information based SIM validation
KR102152008B1 (ko) 2012-06-15 2020-09-07 삼성전자주식회사 인증 모듈의 프로파일을 이동하는 방법 및 시스템
US9049596B1 (en) 2013-03-15 2015-06-02 Emc Corporation Prevention of fraud in mobile SIM reissuing via knowledge based authentication
US9363669B2 (en) * 2013-04-12 2016-06-07 Blackberry Limited Methods and systems for server-initiated activation of device for operation with server
US9100175B2 (en) * 2013-11-19 2015-08-04 M2M And Iot Technologies, Llc Embedded universal integrated circuit card supporting two-factor authentication
KR102200209B1 (ko) 2014-04-22 2021-01-08 삼성전자 주식회사 프로파일 설치 방법 및 장치
WO2016153977A1 (en) * 2015-03-22 2016-09-29 Apple Inc. Methods and apparatus for user authentication and human intent verification in mobile devices
KR102381377B1 (ko) * 2015-10-07 2022-03-31 삼성전자주식회사 통신 시스템에서 프로파일을 원격으로 제공하는 방법 및 장치
CN107925868B (zh) * 2016-04-12 2019-09-27 华为技术有限公司 一种远程管理方法及设备
US9992607B2 (en) * 2016-10-07 2018-06-05 Microsoft Technology Licensing, Llc eSIM identification data
US11832347B2 (en) * 2017-01-13 2023-11-28 Huawei Technologies Co., Ltd. Subscription profile downloading method, device, and server

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102016867A (zh) * 2008-03-04 2011-04-13 苹果公司 基于至少一个已安装的简档来授权执行软件代码的系统和方法
CN102016865A (zh) * 2008-03-04 2011-04-13 苹果公司 基于可用权利来授权执行软件代码的系统和方法
CN105323323A (zh) * 2010-06-14 2016-02-10 苹果公司 用于在无线网络中提供用户标识数据的装置和方法
CN105493530A (zh) * 2013-09-04 2016-04-13 本田技研工业株式会社 电子通信系统、车载装置以及控制方法
WO2016167551A1 (ko) * 2015-04-13 2016-10-20 삼성전자 주식회사 통신 시스템에서 프로파일을 관리하는 기법
WO2016178548A1 (ko) * 2015-05-07 2016-11-10 삼성전자 주식회사 프로파일 제공 방법 및 장치

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
C1-153219 "Handling of Application specific Congestion control for Data Communication (ACDC)";LG Electronics等;《3GPP tsg_ct\WG1_mm-cc-sm_ex-CN1》;20150821;全文 *

Also Published As

Publication number Publication date
KR20180093333A (ko) 2018-08-22
WO2018147711A1 (en) 2018-08-16
US20200367049A1 (en) 2020-11-19
CN115314901A (zh) 2022-11-08
US10735945B2 (en) 2020-08-04
EP3566481A4 (en) 2020-10-14
US11496883B2 (en) 2022-11-08
CN110024426A (zh) 2019-07-16
KR102293683B1 (ko) 2021-08-26
US20180234837A1 (en) 2018-08-16
EP3566481A1 (en) 2019-11-13
EP3905742A1 (en) 2021-11-03
EP3905742B1 (en) 2023-09-27
EP3566481B1 (en) 2021-07-28

Similar Documents

Publication Publication Date Title
CN110024426B (zh) 通过eSIM进行访问控制的装置及方法
US11039311B2 (en) Profile download method and apparatus for use in wireless communication system
US11943615B2 (en) Method and apparatus for discussing digital certificate by ESIM terminal and server
CN107580790B (zh) 用于提供简档的方法和装置
KR102398276B1 (ko) 프로파일 다운로드 및 설치 장치
CN108293043B (zh) 用于下载关于终端的嵌入式通用集成电路卡的简档的方法和装置
CN111052777A (zh) 支持无线通信系统中设备间简档转移的方法和装置
AU2016247689A1 (en) Technique for managing profile in communication system
US11589212B2 (en) Method and apparatus for managing event in communication system
KR102546972B1 (ko) 프로파일 원격관리 예외 처리 방법 및 장치
US20220132300A1 (en) Method, apparatus, and system for authorizing remote profile management
KR20190117302A (ko) eUICC 버전을 협상하는 방법 및 장치
CN112567772B (zh) 用于授权远程简档管理的方法、装置和系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant