CN111526509A - 一种卡数据处理方法及装置 - Google Patents

Abstract

本发明公开了一种卡数据处理方法，属于通信技术领域。该卡数据处理方法包括：用户识别卡接收卡管理平台发送的一次核验通过消息；其中，一次核验通过消息是卡管理平台对应用和/或应用的用户进行验证，且验证通过后生成的消息；基于授权密钥对应用进行二次核验；其中，授权密钥为卡管理平台为应用预先下发的权限密钥；当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作，可以在确保应用数据安全的基础上将用户识别卡的读写权限对外部应用开放，从而提升了用户识别卡应用的灵活性和开放性。

Description

一种卡数据处理方法及装置

技术领域

本发明涉及通信技术领域，具体涉及一种卡数据处理方法及装置。

背景技术

用户识别模块卡(Subscriber Identity Module Card，简称SIM卡)为全球移动通信系统(Global System for Mobile Communications，简称GSM系统)的移动用户所持有的用户识别卡，是GSM手机连接到网络的钥匙，只有将SIM卡插入GSM手机后，用户才能使用通信运营商提供的服务。最初的SIM卡只需满足网络接入鉴权要求即可，是仅具备SIM单应用的智能卡。随着智能卡业务的发展和技术演进，SIM卡的应用场景和应用领域已经突破单一行业限制，不断扩展到其它行业其它类型的应用。在这类新型SIM卡中，除移动网络鉴权功能之外，SIM卡还需要同时提供金融支付、身份认证、数据采集和配置等功能，即在同一SIM卡上承载多个不同功能不同类型的应用。而传统模式中，卡数据的处理由SIM卡独立完成，卡内读写权限由运营商掌控，而由于SIM卡内嵌于终端，对于外部应用和用户而言，卡内应用数据是相对封闭不可见的。随着终端应用的多样化和复杂化，业务需求场景也在不断变化，这对SIM卡应用的灵活性和开放性提出新的需求。

因此，如何在确保应用数据安全的基础上将SIM卡的读写权限对外部应用开放，成为本领域亟待解决的问题。

发明内容

为此，本发明提供一种卡数据处理方法及装置，以解决在确保数据安全的前提下，如何将SIM卡的读写权限对外部应用开放问题。

为了实现上述目的，本发明第一方面提供一种卡数据处理方法，应用于用户识别卡，包括：

接收卡管理平台发送的一次核验通过消息；其中，所述一次核验通过消息是所述卡管理平台对应用和/或所述应用的用户进行验证，且验证通过后生成的消息；

基于授权密钥对所述应用进行二次核验；其中，所述授权密钥为所述卡管理平台为所述应用预先下发的权限密钥；

当所述应用通过二次核验时，向所述应用授权操作权限，以供所述应用对指定数据进行操作。

进一步地，所述基于授权密钥对所述应用进行二次核验，包括：

向所述应用发送获取授权密钥请求；

接收所述应用返回的所述授权密钥；

对所述授权密钥进行验证；

根据验证结果确定所述应用是否通过二次核验。

进一步地，所述向所述应用授权操作权限之后，还包括：

基于链路层加密算法建立与所述卡管理平台进行数据传输的安全通道；

接收所述卡管理平台通过所述安全通道发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

执行所述应用加密数据的写入操作。

进一步地，所述向所述应用授权操作权限之后，还包括：

接收所述应用发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

基于链路层加密算法对所述应用加密数据进行链路层加密，并执行链路层加密后的所述应用加密数据的写入操作。

进一步地，所述向所述应用授权操作权限之后，还包括：

提取传输数据；

基于链路层加密算法建立与所述卡管理平台进行数据传输的安全通道；

将所述传输数据通过所述安全通道发送至所述卡管理平台，以供所述卡管理平台对接收的所述传输数据进行链路层解密，并将链路层解密获得的应用加密数据转发至所述应用。

为了实现上述目的，本发明第二方面提供一种卡数据处理方法，应用于卡管理平台，包括：

接收应用发送的操作请求；

对所述应用和/或所述应用的用户进行一次核验；

当所述应用和/或所述应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供所述用户识别卡基于授权密钥对所述应用进行二次核验，并在所述应用通过二次核验时，向所述应用授权操作权限。

进一步地，所述对所述应用和/或所述应用的用户进行一次核验，包括：

根据所述卡管理平台的后台数据和所述应用的后台数据对所述应用的有效性进行验证；和/或，

通过口令验证、手势验证和生物特征验证任意之一对所述应用的用户的合法性进行验证。

进一步地，所述向用户识别卡发送一次核验通过消息之后，还包括：

接收所述应用发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

将所述应用加密数据通过安全通道发送至所述用户识别卡，以供所述用户识别卡执行写入操作；其中，所述安全通道为所述用户识别卡基于链路层加密算法建立的与所述卡管理平台进行数据传输的通道。

进一步地，所述向用户识别卡发送一次核验通过消息之后，还包括：

接收所述用户识别卡通过安全通道发送的传输数据；

基于链路层解密算法对所述传输数据进行链路层解密，获得所述应用加密数据；

将所述应用加密数据发送至所述应用。

为了实现上述目的，本发明第三方面提供一种卡数据处理装置，应用于用户识别卡，包括：

用户识别卡接收模块，用于接收卡管理平台发送的一次核验通过消息；其中，所述一次核验通过消息是所述卡管理平台对应用和/或所述应用的用户进行验证，且验证通过后生成的消息；

用户识别卡核验模块，用于基于授权密钥对所述应用进行二次核验；其中，所述授权密钥为所述卡管理平台为所述应用预先下发的权限密钥；

用户识别卡授权模块，用于当所述应用通过二次核验时，向所述应用授权操作权限，以供所述应用对指定数据进行操作。

为了实现上述目的，本发明第四方面提供一种卡数据处理装置，应用于卡管理平台，包括：

卡管理平台接收模块，用于接收应用发送的操作请求；

卡管理平台核验模块，用于对所述应用和/或所述应用的用户进行一次核验；

卡管理平台发送模块，用于当所述应用和/或所述应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供所述用户识别卡基于授权密钥对所述应用进行二次核验，并在所述应用通过二次核验时，向所述应用授权操作权限。

本发明具有如下优点：

本发明提供的卡数据处理方法，用户识别卡接收卡管理平台发送的一次核验通过消息；其中，一次核验通过消息是卡管理平台对应用和/或应用的用户进行验证，且验证通过后生成的消息；基于授权密钥对应用进行二次核验；其中，授权密钥为卡管理平台为应用预先下发的权限密钥；当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作，可以在确保应用数据安全的基础上将用户识别卡的读写权限对外部应用开放，从而提升了用户识别卡应用的灵活性和开放性。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。

图1为本发明第一实施例提供的一种卡数据处理方法的流程图；

图2为本发明第二实施例提供的一种卡数据处理方法的流程图；

图3为本发明第三实施例提供的一种卡数据处理方法的流程图；

图4为本发明第四实施例提供的一种卡数据处理方法的流程图；

图5为本发明第五实施例提供的一种卡数据处理方法的流程图；

图6为本发明第六实施例提供的一种卡数据处理方法的流程图；

图7为本发明第七实施例提供的一种卡数据处理方法的流程图；

图8为本发明第八实施例提供的一种卡数据处理装置的原理框图；

图9为本发明第九实施例提供的一种卡数据处理装置的原理框图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

本发明实施例提供的卡数据处理方法，考虑到随着终端应用的多样化和复杂化，业务需求场景也在不断变化，这对用户识别卡应用的灵活性和开放性提出新的需求，而传统模式中，用户识别卡的数据处理由用户识别卡独立完成，卡内读写权限由运营商掌控，而由于用户识别卡内嵌于终端，对于外部应用和用户而言，卡内应用数据是相对封闭不可见的，因此，提出一种卡数据处理方法，可以在确保应用数据安全的基础上，将用户识别卡的读写权限对外部应用开放，从而提升用户识别卡应用的灵活性和开放性。

图1是本发明第一实施例提供的一种卡数据处理方法的流程图，应用于用户识别卡。如图1所示，该卡数据处理方法可包括如下步骤：

步骤S101，接收卡管理平台发送的一次核验通过消息。

其中，一次核验通过消息是卡管理平台对应用和/或应用的用户进行验证，且验证通过后生成的消息。

用户识别卡即为SIM卡，属于智能卡的一种，用户只有将SIM卡插入手机或其他终端设备之后，才能使用运营商提供的服务。卡管理平台是管理用户识别卡的信息化平台，由运营商进行管理维护。最初使用时，用户识别卡只需满足网络接入鉴权要求即可，随着智能卡业务的发展和技术演进，用户识别卡的应用场景和应用领域不断扩展到其它行业其它类型的应用。在这类新型用户识别卡中，除移动网络鉴权功能之外，用户识别卡还需要同时提供金融支付、身份认证、数据采集和配置等功能，这对用户识别卡应用的灵活性和开放性提出新的需求。考虑到传统模式中，卡数据处理由用户识别卡完成，卡内读写权限由运营商控制，卡内应用数据对于外部应用和用户而言是相对封闭不可见，因此，提出将用户识别卡的读取和写入等操作权限对外部应用开放，从而提升用户识别卡的灵活性和开放性。但是，将用户识别卡的操作权限对外部应用开放，不可避免的地涉及到信息安全的问题。为保障信息安全，由卡管理平台预先为应用下发授权密钥，通过对应用和/或应用用户和授权密钥进行验证来确保应用对用户识别卡进行操作的合法性，同时，采用链路层和应用层分层加密的方式来进一步保障数据的安全。具体地，将应用与用户识别卡之间的数据传输和数据操作进行拆解。关于数据传输，由运营商通过传输层加密算法建立安全通道，应用对应用数据使用应用层加密算法进行加密，获得应用加密数据，然后通过安全通道传输应用加密数据，实现了数据的双层加密。而且，由于应用层加密算法由应用进行设置和管理，因此，用户识别卡无法解密应用加密数据，所以，保证了应用数据只对应用侧(包括应用和应用后台)可见，从而满足数据的隐私要求和安全要求。关于数据操作，运营商预先为应用下发授权密钥，由用户识别卡对授权密钥进行验证，从而将数据操作权限由用户识别卡侧转移至应用侧，实现了将用户识别卡的操作权限对外部应用的开放。

在一个实施方式中，应用向应用后台发送操作请求，应用后台将操作请求转发至卡管理平台，卡管理平台收到操作请求后，根据具体使用场景，对应用和/或应用的用户进行验证，当应用和/或应用的用户通过验证后，卡管理平台生成一次核验通过消息，并将一次核验通过消息发送至用户识别卡。用户识别卡接收卡管理平台发送的一次核验通过消息，并通过一次核验通过消息获知应用和/或应用的用户通过了卡管理平台的核验。

步骤S102，基于授权密钥对应用进行二次核验。

其中，授权密钥为卡管理平台为应用预先下发的权限密钥。一般情况下，运营商为每个应用分别设置权限密钥，并通过卡管理平台将授权密钥下发至对应的应用。当用户识别卡收到一次核验通过消息后，为进一步验证应用是否具有操作的权限，基于授权密钥对应用发起二次核验。

在一个实施方式中，基于授权密钥对应用进行二次核验，包括：用户识别卡向应用发送获取授权密钥请求。应用收到获取授权密钥请求后，响应获取授权密钥请求，向用户识别卡发送授权密钥。用户识别卡接收应用返回的授权密钥，并对授权密钥进行验证，然后根据验证结果确定应用是否通过二次核验。具体地，当授权密钥通过验证时，确定应用通过二次核验；当授权密钥未通过验证时，确定应用未通过二次核验。

步骤S103，当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作。

其中，操作权限包括读取权限、写入权限和传输权限的一种或多种。

在一个实施方式中，当应用通过二次核验时，用户识别卡确定应用是可以被授权操作权限的应用，因此，用户识别卡向应用授权操作权限。应用获取操作权限后，可以对指定数据进行对应的操作，包括读取用户识别卡内的指定数据，或者将指定数据写入用户识别卡的指定位置，或者将指定数据从用户识别卡内提取并传输至应用侧。

需要说明的是，用户识别卡向应用授权的操作权限，可以是集成式或一体式的进行授权，也可以是与操作请求对应的定制化的进行授权。如，集成式或一体式授权中，不论应用的操作请求为只有写入请求，还是包括其他操作请求，用户识别卡向应用授权全部的操作权限。又如，定制化授权中，若应用的操作请求只有写入请求，则用户识别卡向应用授权的操作权限只有写入权限，应用无法读取或传输用户识别卡的数据。用户可以根据实际适用场景、业务安全要求等设置用户识别卡的授权方式。一般情况下，如果业务安全要求较低，而对执行效率要求较高时，可以选择集成式或一体式授权，从而简化流程，节省时间；如果业务安全要求较高时，可以选择定制化授权，从而提升操作的安全性。

图2是本发明第二实施例提供的一种卡数据处理方法的流程图，应用于用户识别卡，与本发明第一实施例基本相同，区别之处在于：对应用授权操作权限之后，执行写入操作。如图2所示，该卡数据处理方法可包括如下步骤：

步骤S201，接收卡管理平台发送的一次核验通过消息。

本实施例中的步骤S201与本发明第一实施例中步骤S101的内容相同，在此不再赘述。

步骤S202，基于授权密钥对应用进行二次核验。

本实施例中的步骤S202与本发明第一实施例中步骤S102的内容相同，在此不再赘述。

步骤S203，当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作。

本实施例中的步骤S203与本发明第一实施例中步骤S103的内容相同，在此不再赘述。

步骤S204，基于链路层加密算法建立与卡管理平台进行数据传输的安全通道。

其中，链路层加密算法为发卡单位(一般指运营商)自有算法，如，运营商SSD(Shared Secret Data，共享秘密数据)加密算法。

在一个实施方式中，应用存在将指定数据写入用户识别卡的需求，并经过卡管理平台的一次核验、用户识别卡的二次核验，获得用户识别卡的操作授权。为保障应用向用户识别卡发送的待写入的数据在传输过程中的安全性，用户识别卡基于运营商预设的链路层加密算法建立与卡管理平台进行数据传输的安全通道，由安全通道来进行数据的传输，从而保证数据在链路层的传输安全性。

步骤S205，接收卡管理平台通过安全通道发送的应用加密数据。

其中，应用加密数据为应用基于应用层加密算法对指定数据进行加密获得的数据。一般情况下，为保障数据的安全性，每个应用设置有自己的应用层加密算法，以此来实现对本应用数据的应用层加密。

在一个实施方式中，应用或应用后台将经过应用层加密的应用加密数据发送至卡管理平台，卡管理平台将应用加密数据通过安全通道转发至用户识别卡。用户识别卡接收卡管理平台通过安全通道传输的应用加密数据。

步骤S206，执行应用加密数据的写入操作。

用户识别卡接收应用侧通过安全通道传输的应用加密数据后，将应用加密数据写入指定位置。

在一个实施方式中，为保障不同应用的独立性、机密性和安全性，用户识别卡内设置了主安全域和子安全域。其中，主安全域一般只有一个，为发卡单位归属的安全域，子安全域的数量可以有多个，分别与每个应用对应，每个子安全域之间相互独立。用户识别卡接收应用或应用后台发送的应用加密数据后，将应用加密数据写入该应用对应的子安全域中。

图3是本发明第三实施例提供的一种卡数据处理方法的流程图，应用于用户识别卡，与本发明第二实施例基本相同，区别之处在于：对应用授权操作之后，执行链路层加密和写入操作。如图3所示，该卡数据处理方法可包括如下步骤：

步骤S301，接收卡管理平台发送的一次核验通过消息。

本实施例中的步骤S301与本发明第一实施例中步骤S101的内容相同，在此不再赘述。

步骤S302，基于授权密钥对应用进行二次核验。

本实施例中的步骤S302与本发明第一实施例中步骤S102的内容相同，在此不再赘述。

步骤S303，当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作。

本实施例中的步骤S303与本发明第一实施例中步骤S103的内容相同，在此不再赘述。

步骤S304，接收应用发送的应用加密数据。

其中，应用加密数据为应用基于应用层加密算法对指定数据进行加密获得的数据。为保障数据的安全性，一般每个应用设置有自己的应用层加密算法，以此来实现对本应用数据的应用层加密。

用户识别卡可以通过安全通道接收应用侧转发至卡管理平台的应用加密数据，也可以直接接收应用发送的应用加密数据。

在一个实施方式中，应用使用其对应的应用层加密算法对指定数据进行应用层加密，生成应用加密数据，然后将应用加密数据直接发送至用户识别卡。用户识别卡接收应用直接发送的应用加密数据。

步骤S305，基于链路层加密算法对应用加密数据进行链路层加密，并执行链路层加密后的应用加密数据的写入操作。

在一个实施方式中，当用户识别卡直接接收应用发送的应用加密数据后，为避免应用加密数据被其他终端获取并破解，用户识别卡先使用链路层加密算法对应用加密数据进行链路层加密，再将链路层加密后的应用加密数据写入用户识别卡内的指定位置。

图4是本发明第四实施例提供的一种卡数据处理方法的流程图，应用于用户识别卡，与本发明第一实施例基本相同，区别之处在于：对应用授权操作之后，执行传输操作。如图4所示，该卡数据处理方法可包括如下步骤：

步骤S401，接收卡管理平台发送的一次核验通过消息。

本实施例中的步骤S401与本发明第一实施例中步骤S101的内容相同，在此不再赘述。

步骤S402，基于授权密钥对应用进行二次核验。

本实施例中的步骤S402与本发明第一实施例中步骤S102的内容相同，在此不再赘述。

步骤S403，当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作。

本实施例中的步骤S403与本发明第一实施例中步骤S103的内容相同，在此不再赘述。

步骤S404，提取传输数据。

当应用需要将数据从用户识别卡传输出来，并获得用户识别卡授权的操作权限时，用户识别卡需要先确定要传输的数据，并将传输数据提取出来，以便进行后续的传输操作。

步骤S405，基于链路层加密算法建立与卡管理平台进行数据传输的安全通道。

其中，链路层加密算法为发卡单位自有算法。

在一个实施方式中，应用存在将指定数据从用户识别卡传输至应用侧的需求，并经过卡管理平台的一次核验、用户识别卡的二次核验，获得用户识别卡的操作授权。为保障应用向用户识别卡发送的待写入的数据在传输过程中的安全性，用户识别卡基于运营商预设的链路层加密算法建立与卡管理平台进行数据传输的安全通道，由安全通道来进行数据的传输，从而保证数据在链路层的传输安全性。

步骤S406，将传输数据通过安全通道发送至卡管理平台，以供卡管理平台对接收的传输数据进行链路层解密，并将链路层解密获得的应用加密数据转发至应用。

在一个实施方式中，用户识别卡将提取的传输户数通过安全通道发送至卡管理平台。卡管理平台收到传输数据后，首先对收到的传输数据进行链路层解密，获得应用加密数据，然后将应用加密数据发送至应用。

需要说明的是，应用对用户识别卡的操作类型包括读取操作、写入操作和传输操作等，这些不同类型的操作可以在同一个业务场景中同时出现。如果某一业务场景需要同时进行多项操作时，为简化流程，卡管理平台的一次核验与用户识别卡的二次核验分别进行一次即可，不需要为每个操作均进行核验。如，为实现应用数据在各业务节点(包括应用对应节点、应用后台对应结点、用户识别卡对应结点和卡管理平台对应结点)之间的流转，应用需要将应用数据发送至用户识别卡和卡管理平台，并由卡管理平台将应用数据流转至应用后台。在此过程中，涉及到的操作类型包括传输操作和写入操作，而核验环节(包括一次核验和二次核验)只需要执行一次即可，即将应用数据传输至用户识别卡之后，在将应用数据写入用户识别卡之前，不需要为了写入操作而再次进行核验环节。

图5是本发明第五实施例提供的一种卡数据处理方法的流程图，应用于卡管理平台。如图5所示，该卡数据处理方法可包括如下步骤：

步骤S501，接收应用发送的操作请求。

其中，操作请求包括读取请求、写入请求和传输请求等类型。在实际使用时，可以根据需求将上述请求进行组合，如，应用向卡管理平台发送读写请求(既包括读取请求，又包括写入请求)。

在一个实施方式中，应用向应用后台发送操作请求，应用后台收到操作请求后，将操作请求转发至卡管理平台。

步骤S502，对应用和/或应用的用户进行一次核验。

在实际情况中，卡管理平台可以根据适用场景或业务需求选择对应用进行一次核验，或者对应用的用户进行一次核验，或者对应用和应用的用户均进行一次核验。可以理解的是，对安全级别要求较高的场景或业务，可以选择对应用和应用的用户均进行一次核验，以保障核验的准确性，从而提升安全保障。

在第一个实施方式中，对应用进行一次核验包括：

卡管理平台根据卡管理平台的后台数据和应用的后台数据对应用的有效性进行验证。如，通过卡后台数据和应用后台数据判断该应用是否为用户识别卡的卡内应用，如果判断出应用不属于卡内应用，则判定应用不具有有效性，应用无法通过一次核验。

在第二个实施方式中，对应用的用户进行一次核验包括：

卡管理平台通过口令验证、手势验证和生物特征验证等任意一种验证方式对应用的用户的合法性进行验证。如，卡管理平台向应用发送信息采集请求或信息获取请求，应用唤起终端设备的采集工具进行信息采集，并将采集的信息反馈至卡管理平台，卡管理平台将采集的信息与卡管理平台的后台数据进行交换核验，当两者一致时，判断应用的用户通过合法性验证，当两者不一致时，判断应用的用户未通过合法性验证。可以理解的是，针对安全支付等业务场景，可以选择多种验证方式相结合对应用的用户的有效性进行验证。

步骤S503，当应用和/或应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供用户识别卡基于授权密钥对应用进行二次核验，并在应用通过二次核验时，向应用授权操作权限。

在一个实施方式中，当应用和/或应用用户通过一次核验时，说明应用具有有效性和/或应用用户具有合法性，因此，卡管理平台生成一次核验通过消息，并将一次核验通过消息发送至用户识别卡。用户识别卡收到一次核验通过消息后，进一步基于授权密钥对应用进行二次核验，当应用通过二次核验后，用户识别卡向应用授权操作权限。应用获得操作权限后，对指定数据进行相关操作。

图6是本发明第六实施例提供的一种卡数据处理方法的流程图，应用于卡管理平台，与本发明第五实施例基本相同，区别之处在于：应用获得用户识别卡操作授权之后，将应用发送的应用加密数据传输至用户识别卡。如图6所示，该卡数据处理方法可包括如下步骤：

步骤S601，接收应用发送的操作请求。

本实施例中的步骤S601与本发明第一实施例中步骤S501的内容相同，在此不再赘述。

步骤S602，对应用和/或应用的用户进行一次核验。

本实施例中的步骤S602与本发明第一实施例中步骤S502的内容相同，在此不再赘述。

步骤S603，当应用和/或应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供用户识别卡基于授权密钥对应用进行二次核验，并在应用通过二次核验时，向应用授权操作权限。

本实施例中的步骤S603与本发明第一实施例中步骤S503的内容相同，在此不再赘述。

步骤S604，接收应用发送的应用加密数据。

其中，应用加密数据为应用基于应用层加密算法对指定数据进行加密获得的数据。一般情况下，为保障数据的安全性，每个应用设置有自己的应用层加密算法，以此来实现对本应用数据的应用层加密。

在一个实施方式中，当用户识别卡向应用授权操作权限后，应用要向用户识别卡内写入数据时，应用使用应用层加密算法对指定数据进行加密，获得应用加密数据，然后将应用加密数据发送至卡管理平台。卡管理平台接收应用发送的应用加密数据。

步骤S605，将应用加密数据通过安全通道发送至用户识别卡，以供用户识别卡执行写入操作。

其中，安全通道为用户识别卡基于链路层加密算法建立的与卡管理平台进行数据传输的通道。链路层加密算法一般为发卡单位设置的加密算法。

在一个实施方式中，用户识别卡为保证信息传输的安全性，基于链路层加密算法建立安全通道，卡管理平台将应用发送的应用加密数据通过安全通道转发至用户识别卡。用户识别卡收到应用加密数据后，将其写入卡内。

图7是本发明第七实施例提供的一种卡数据处理方法的流程图，应用于卡管理平台，与本发明第五实施例基本相同，区别之处在于：应用获得用户识别卡操作授权之后，将用户识别卡发送的传输数据转发至应用。如图7所示，该卡数据处理方法可包括如下步骤：

步骤S701，接收应用发送的操作请求。

本实施例中的步骤S701与本发明第一实施例中步骤S501的内容相同，在此不再赘述。

步骤S702，对应用和/或应用的用户进行一次核验。

本实施例中的步骤S702与本发明第一实施例中步骤S502的内容相同，在此不再赘述。

步骤S703，当应用和/或应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供用户识别卡基于授权密钥对应用进行二次核验，并在应用通过二次核验时，向应用授权操作权限。

本实施例中的步骤S703与本发明第一实施例中步骤S503的内容相同，在此不再赘述。

步骤S704，接收用户识别卡通过安全通道发送的传输数据。

在一个实施方式中，当用户识别卡向应用授权操作权限后，应用要从用户识别卡向外传输数据时，用户识别卡将提取的传输数据通过安全通道发送至卡管理平台。卡管理平台接收用户识别卡发送的传输数据。

步骤S705，基于链路层解密算法对传输数据进行链路层解密，获得应用加密数据。

通过安全通道发送传输数据时，对传输数据进行了链路层加密。因此，卡管理平台接收用户识别卡通过安全通道传输的数据后，先基于链路层解密算法对传输数据进行链路层解密，获得应用加密数据。

步骤S706，将应用加密数据发送至应用。

卡管理平台将应用加密数据发送至对应的应用。而应用加密数据是经过应用层加密的数据，应用收到应用加密数据后，可以使用相应的应用层解密算法对其进行解密，获得解密后的应用数据。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

图8是本发明第八实施例提供的一种卡数据处理装置的原理框图，应用于用户识别卡。如图8所示，该卡数据处理装置包括：用户识别卡接收模块801、用户识别卡核验模块802和用户识别卡授权模块803。

用户识别卡接收模块801，用于接收卡管理平台发送的一次核验通过消息。

其中，一次核验通过消息是卡管理平台对应用和/或应用的用户进行验证，且验证通过后生成的消息。

为提升用户识别卡的灵活性和开放性，将用户识别卡的操作权限对外部应用开放。考虑到开放操作权限带来的信息安全隐患，由卡管理平台预先为应用下发授权密钥，通过对应用和/或应用用户和授权密钥进行验证来确保应用对用户识别卡进行操作的合法性，并且当卡管理平台完成对应用和/或应用用户的一次核验且一次核验通过时，向用户识别卡发送一次核验通过消息，用户识别卡收到一次核验通过消息后，进一步基于授权密钥对应用发起二次核验。

在一个实施方式中，应用向应用后台发送操作请求，应用后台将操作请求转发至卡管理平台，卡管理平台收到操作请求后，根据具体使用场景，对应用和/或应用的用户进行验证，当应用和/或应用的用户通过验证后，卡管理平台生成一次核验通过消息，并将一次核验通过消息发送至用户识别卡。用户识别卡通过用户识别卡接收模块801接收卡管理平台发送的一次核验通过消息，进而通过一次核验通过消息获知应用和/或应用的用户通过了卡管理平台的核验。

用户识别卡核验模块802，用于基于授权密钥对应用进行二次核验。

其中，授权密钥为卡管理平台为应用预先下发的权限密钥。一般情况下，运营商为每个应用分别设置权限密钥，并通过卡管理平台将授权密钥下发至对应的应用。当用户识别卡收到一次核验通过消息后，为进一步验证应用是否具有操作的权限，基于授权密钥对应用发起二次核验。

在一个实施方式中，用户识别卡核验模块802基于授权密钥对应用进行二次核验，包括：用户识别卡向应用发送获取授权密钥请求。应用收到获取授权密钥请求后，响应获取授权密钥请求，向用户识别卡发送授权密钥。用户识别卡接收应用返回的授权密钥，并对授权密钥进行验证，然后根据验证结果确定应用是否通过二次核验。具体地，当授权密钥通过验证时，确定应用通过二次核验；当授权密钥未通过验证时，确定应用未通过二次核验。

用户识别卡授权模块803，用于当应用通过二次核验时，向应用授权操作权限，以供应用对指定数据进行操作。

其中，操作权限包括读取权限、写入权限和传输权限的一种或多种。

在一个实施方式中，当应用通过二次核验时，用户识别卡确定应用是可以被授权操作权限的应用，因此，用户识别卡通过用户识别卡授权模块803向应用授权操作权限。应用获取操作权限后，可以对指定数据进行对应的操作，包括读取用户识别卡内的指定数据，或者将指定数据写入用户识别卡的指定位置，或者将指定数据从用户识别卡内提取并传输至应用侧。

图9是本发明第九实施例提供的一种卡数据处理装置的原理框图，应用于卡管理平台。如图9所示，该卡数据处理装置包括：卡管理平台接收模块901、卡管理平台核验模块902和卡管理平台发送模块903。

卡管理平台接收模块901，用于接收应用发送的操作请求。

其中，操作请求包括读取请求、写入请求和传输请求等类型。在实际使用时，可以根据需求将上述请求进行组合。

在一个实施方式中，应用向应用后台发送操作请求，应用后台收到操作请求后，将操作请求转发至卡管理平台。卡管理平台通过卡管理平台接收模块901接收到应用发送的操作请求。

卡管理平台核验模块902，用于对应用和/或应用的用户进行一次核验。

在实际情况中，卡管理平台可以根据适用场景或业务需求选择对应用进行一次核验，或者对应用的用户进行一次核验，或者对应用和应用的用户均进行一次核验。可以理解的是，对安全级别要求较高的场景或业务，可以选择对应用和应用的用户均进行一次核验，以保障核验的准确性，从而提升安全保障。

在第一个实施方式中，卡管理平台核验模块902对应用进行一次核验包括：

卡管理平台根据卡管理平台的后台数据和应用的后台数据对应用的有效性进行验证。如，通过卡后台数据和应用后台数据判断该应用是否为用户识别卡的卡内应用，如果判断出应用不属于卡内应用，则判定应用不具有有效性，应用无法通过一次核验。

在第二个实施方式中，卡管理平台核验模块902对应用的用户进行一次核验包括：

卡管理平台通过口令验证、手势验证和生物特征验证等任意一种验证方式对应用的用户的合法性进行验证。如，卡管理平台向应用发送信息采集请求或信息获取请求，应用唤起终端设备的采集工具进行信息采集，并将采集的信息反馈至卡管理平台，卡管理平台将采集的信息与卡管理平台的后台数据进行交换核验，当两者一致时，判断应用的用户通过合法性验证，当两者不一致时，判断应用的用户未通过合法性验证。可以理解的是，针对安全支付等业务场景，可以选择多种验证方式相结合对应用的用户的有效性进行验证。

卡管理平台发送模块903，用于当应用和/或应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供用户识别卡基于授权密钥对应用进行二次核验，并在应用通过二次核验时，向应用授权操作权限。

在一个实施方式中，当应用和/或应用用户通过一次核验时，说明应用具有有效性和/或应用用户具有合法性，因此，卡管理平台生成一次核验通过消息，并由卡管理平台发送模块903将一次核验通过消息发送至用户识别卡。用户识别卡收到一次核验通过消息后，进一步基于授权密钥对应用进行二次核验，当应用通过二次核验后，用户识别卡向应用授权操作权限。应用获得操作权限后，对指定数据进行相关操作。

值得一提的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (11)

1.一种卡数据处理方法，应用于用户识别卡，其特征在于，包括：

接收卡管理平台发送的一次核验通过消息；其中，所述一次核验通过消息是所述卡管理平台对应用和/或所述应用的用户进行验证，且验证通过后生成的消息；

基于授权密钥对所述应用进行二次核验；其中，所述授权密钥为所述卡管理平台为所述应用预先下发的权限密钥；

当所述应用通过二次核验时，向所述应用授权操作权限，以供所述应用对指定数据进行操作。

2.根据权利要求1所述的卡数据处理方法，其特征在于，所述基于授权密钥对所述应用进行二次核验，包括：

向所述应用发送获取授权密钥请求；

接收所述应用返回的所述授权密钥；

对所述授权密钥进行验证；

根据验证结果确定所述应用是否通过二次核验。

3.根据权利要求1所述的卡数据处理方法，其特征在于，所述向所述应用授权操作权限之后，还包括：

基于链路层加密算法建立与所述卡管理平台进行数据传输的安全通道；

接收所述卡管理平台通过所述安全通道发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

执行所述应用加密数据的写入操作。

4.根据权利要求1所述的卡数据处理方法，其特征在于，所述向所述应用授权操作权限之后，还包括：

接收所述应用发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

基于链路层加密算法对所述应用加密数据进行链路层加密，并执行链路层加密后的所述应用加密数据的写入操作。

5.根据权利要求1所述的卡数据处理方法，其特征在于，所述向所述应用授权操作权限之后，还包括：

提取传输数据；

基于链路层加密算法建立与所述卡管理平台进行数据传输的安全通道；

将所述传输数据通过所述安全通道发送至所述卡管理平台，以供所述卡管理平台对接收的所述传输数据进行链路层解密，并将链路层解密获得的应用加密数据转发至所述应用。

6.一种卡数据处理方法，应用于卡管理平台，其特征在于，包括：

接收应用发送的操作请求；

对所述应用和/或所述应用的用户进行一次核验；

当所述应用和/或所述应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供所述用户识别卡基于授权密钥对所述应用进行二次核验，并在所述应用通过二次核验时，向所述应用授权操作权限。

7.根据权利要求6所述的卡数据处理方法，其特征在于，所述对所述应用和/或所述应用的用户进行一次核验，包括：

根据所述卡管理平台的后台数据和所述应用的后台数据对所述应用的有效性进行验证；和/或，

通过口令验证、手势验证和生物特征验证任意之一对所述应用的用户的合法性进行验证。

8.根据权利要求6所述的卡数据处理方法，其特征在于，所述向用户识别卡发送一次核验通过消息之后，还包括：

接收所述应用发送的应用加密数据；其中，所述应用加密数据为所述应用基于应用层加密算法对指定数据进行加密获得的数据；

将所述应用加密数据通过安全通道发送至所述用户识别卡，以供所述用户识别卡执行写入操作；其中，所述安全通道为所述用户识别卡基于链路层加密算法建立的与所述卡管理平台进行数据传输的通道。

9.根据权利要求6所述的卡数据处理方法，其特征在于，所述向用户识别卡发送一次核验通过消息之后，还包括：

接收所述用户识别卡通过安全通道发送的传输数据；

基于链路层解密算法对所述传输数据进行链路层解密，获得所述应用加密数据；

将所述应用加密数据发送至所述应用。

10.一种卡数据处理装置，应用于用户识别卡，其特征在于，包括：

用户识别卡接收模块，用于接收卡管理平台发送的一次核验通过消息；其中，所述一次核验通过消息是所述卡管理平台对应用和/或所述应用的用户进行验证，且验证通过后生成的消息；

用户识别卡核验模块，用于基于授权密钥对所述应用进行二次核验；其中，所述授权密钥为所述卡管理平台为所述应用预先下发的权限密钥；

用户识别卡授权模块，用于当所述应用通过二次核验时，向所述应用授权操作权限，以供所述应用对指定数据进行操作。

11.一种卡数据处理装置，应用于卡管理平台，其特征在于，包括：

卡管理平台接收模块，用于接收应用发送的操作请求；

卡管理平台核验模块，用于对所述应用和/或所述应用的用户进行一次核验；

卡管理平台发送模块，用于当所述应用和/或所述应用用户通过一次核验时，向用户识别卡发送一次核验通过消息，以供所述用户识别卡基于授权密钥对所述应用进行二次核验，并在所述应用通过二次核验时，向所述应用授权操作权限。

Images