CN113079037B - 一种远程更新认证应用证书的方法及系统 - Google Patents

一种远程更新认证应用证书的方法及系统 Download PDF

Info

Publication number
CN113079037B
CN113079037B CN202110308811.8A CN202110308811A CN113079037B CN 113079037 B CN113079037 B CN 113079037B CN 202110308811 A CN202110308811 A CN 202110308811A CN 113079037 B CN113079037 B CN 113079037B
Authority
CN
China
Prior art keywords
authentication application
certificate
authentication
application certificate
new
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110308811.8A
Other languages
English (en)
Other versions
CN113079037A (zh
Inventor
韩玲
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China United Network Communications Group Co Ltd
Original Assignee
China United Network Communications Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China United Network Communications Group Co Ltd filed Critical China United Network Communications Group Co Ltd
Priority to CN202110308811.8A priority Critical patent/CN113079037B/zh
Publication of CN113079037A publication Critical patent/CN113079037A/zh
Application granted granted Critical
Publication of CN113079037B publication Critical patent/CN113079037B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/082—Configuration setting characterised by the conditions triggering a change of settings the condition being updates or upgrades of network functionality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明提供一种远程更新认证应用证书的方法及系统，该方法包括：接收签约关系管理平台安全路由网元SM‑SR发送的认证应用证书更新命令；根据所述认证应用证书更新命令生成新的认证应用公私钥对，用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；向SM‑SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求；接收SM‑SR发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息，并基于所述新的认证应用证书进行证书更新操作。该方法及系统能够解决现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用证书，只能适用于特定范围内的用户，无法远程更新认证应用证书的问题。

Description

一种远程更新认证应用证书的方法及系统
技术领域
本发明涉及智能卡技术领域，尤其涉及一种远程更新认证应用证书的方法及系统。
背景技术
随着国家加快“新基建”步伐，5G通信网络也将日益融入社会管理的方方面面。系列5G应用场景都对信息安全提出比传统互联网更高的要求，尤其在工业物联网领域，泛在连接场景下的海量多样化终端易被攻击利用，对网络运行安全造成威胁，由于终端能力差异很大，弱终端由于资源、能力受限，终端自身安全防护能力也较弱，容易成为受攻击、受控对象。另一方面，作为移动通信网络基础入口的智能卡也逐渐从移动通信的生产部件发展成为移动通信业务和服务创新的重要载体，成为移动信息化的重要平台。
基于智能卡在移动通信网络中的重要位置和安全属性，业界提出了基于智能卡的身份认证解决方案，将智能卡作为用户端的安全承载模块，存放认证应用以及证书、密钥等敏感数据，终端通过认证应用与认证服务器交互以进行身份认证。
然而，现有的基于智能卡的安全认证解决方案为私有解决方案，通常需要与指定卡商及运营商合作，在制卡时预置指定认证应用证书，建立私有封闭的安全体系，只适用于其特定范围内的用户，且无法远程更新认证应用证书。
发明内容
本发明所要解决的技术问题是针对现有技术的上述不足，提供一种远程更新认证应用证书的方法及系统，用以解决现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用证书，只能适用于特定范围内的用户，无法远程更新认证应用证书的问题。
第一方面，本发明实施例提供一种远程更新认证应用证书的方法，应用于嵌入式通用集成电路卡eUICC，所述方法包括：
接收签约关系管理平台安全路由网元SM-SR发送的认证应用证书更新命令；
根据所述认证应用证书更新命令生成新的认证应用公私钥对，用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
向SM-SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求，所述认证应用证书更新请求用于触发SM-SR向认证平台转发所述认证应用证书更新请求，以使所述认证平台根据所述认证应用证书更新请求生成新的认证应用证书；
接收SM-SR发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息，并基于所述新的认证应用证书进行证书更新操作。
优选地，所述认证应用证书更新命令还携带第一RC和第一签名，所述第一签名为所述认证平台使用自身私钥对所述第一RC的签名，
所述根据所述认证应用证书更新命令生成新的认证应用公私钥对，包括：
用所述认证平台公钥对所述第一签名进行验证；
若验证通过，则生成所述新的认证应用公私钥对；
所述向SM-SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求之前，所述方法还包括：
用原认证应用私钥对第一RC和加密的新的认证应用公钥进行签名，得到第二签名；
所述认证应用证书更新请求还携带所述第一RC和所述第二签名。
优选地，所述认证应用证书更新反馈消息还携带第二RC和第三签名，所述第三签名为所述认证平台使用自身私钥对所述第二RC和所述新的认证应用证书的签名，
所述基于所述新的认证应用证书进行证书更新操作之前，所述方法还包括：
用所述认证平台公钥对所述第三签名进行验证；
若验证通过，则进一步判断所述第一RC是否与所述第二RC相同；
若相同，则从所述认证应用证书更新反馈消息中提取并存储所述新的认证应用证书。
优选地，所述接收签约关系管理平台安全路由网元SM-SR发送的认证应用证书更新命令之前，所述方法还包括：
接收所述SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用安装文件；
根据所述认证应用安装文件将所述认证应用安装在所述eUICC的控制安全域ECASD中。
第二方面，本发明实施例提供一种远程更新认证应用证书的方法，应用于签约关系管理平台安全路由网元SM-SR，所述方法包括：
接收认证平台发送的认证应用证书更新消息，并对所述认证应用证书更新消息进行验证；
若验证通过，则向eUICC发送认证应用证书更新命令，以使所述eUICC接收到所述认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
接收所述eUICC发送的携带有加密的所述新的认证应用公钥的认证应用证书更新请求，并向所述认证平台转发所述认证应用证书更新请求，以使所述认证平台根据所述认证应用证书更新请求生成新的认证应用证书；
接收认证平台发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息，并向所述eUICC转发所述认证应用证书更新反馈消息，以使所述eUICC基于所述新的认证应用证书进行证书更新操作。
优选地，所述接收认证平台发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息之后，所述方法还包括：
对所述认证应用证书更新反馈消息进行合法性验证；
所述向所述认证平台转发所述认证应用证书更新请求，包括：
若验证通过，则向所述认证平台转发所述认证应用证书更新请求。
第三方面，本发明实施例提供一种远程更新认证应用证书的方法，应用于认证平台，所述方法包括：
向SM-SR发送认证应用证书更新消息，所述认证应用证书更新消息用于触发所述SM-SR在判断出所述认证应用证书更新消息通过验证后，向eUICC发送认证应用证书更新命令，以使所述eUICC接收到所述认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
接收所述SM-SR发送的携带有加密的所述新的认证应用公钥的认证应用证书更新请求，并根据所述认证应用证书更新请求生成新的认证应用证书；
向所述SM-SR发送携带有所述新的认证应用证书的认证应用证书更新反馈消息，所述认证应用证书更新反馈消息用于触发所述SM-SR向eUICC转发所述认证应用证书更新反馈消息，以使所述eUICC基于所述新的认证应用证书进行证书更新操作。
优选地，所述认证应用证书更新消息携带第一RC和第一签名，所述向SM-SR发送认证应用证书更新消息之前，所述方法还包括：
根据预设算法生成第一RC；
用自身的私钥对所述第一RC进行签名，得到所述第一签名。
优选地，所述认证应用证书更新请求还携带所述第一RC和第二签名，所述认证应用证书更新反馈消息还携带与所述第一RC相同的第二RC以及第三签名，所述根据所述认证应用证书更新请求生成新的认证应用证书，包括：
用预存的原认证应用的公钥对所述第二签名进行验证；
若验证通过，则生成新的认证应用证书；
所述生成新的认证应用证书之后，所述方法还包括：
用自身的私钥对加密的所述新的认证应用公钥进行解密，并保存解密后的新的认证应用公钥；
用自身的私钥对所述第二RC和所述新的认证应用证书进行签名，得到所述第三签名。
第四方面，本发明实施例提供一种远程更新认证应用证书的系统，包括：eUICC、SM-SR和认证平台；
所述eUICC用于执行第一方面所述的远程更新认证应用证书的方法；
所述SM-SR用于执行第二方面所述的远程更新认证应用证书的方法；
所述认证平台用于执行第三方面所述的远程更新认证应用证书的方法。
本发明实施例提供的远程更新认证应用证书的方法及系统，利用eUICC体系的安全架构，在eUICC与SM-SR之间建立安全通道，从而eUICC能够通过该安全通道与SM-SR进行交互，接收来自认证平台生成的新的认证应用证书，并基于该新的认证应用证书进行证书更新操作，实现认证应用证书的远程更新，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用证书，只能适用于特定范围内的用户，无法远程更新认证应用证书的问题。
附图说明
图1：为本发明实施例1的一种远程更新认证应用证书的方法的流程图；
图2：为本发明实施例的一种远程更新认证应用证书的交互示意图；
图3：为本发明实施例2的一种远程更新认证应用证书的方法的流程图；
图4：为本发明实施例3的一种远程更新认证应用证书的方法的流程图。
具体实施方式
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
实施例1：
本实施例提供一种远程更新认证应用证书的方法，应用于eUICC(EmbeddedUniversal Integrated Circuit Card，嵌入式通用集成电路卡)，如图1所示，该方法包括：
步骤S102：接收签约关系管理平台安全路由网元SM-SR(Subscription ManagerSecurity Routing)发送的认证应用证书更新命令。
需要说明的是，本发明主要利用eUICC体系架构的安全通道远程更新认证应用证书，该eUICC体系架构主要包括SM-SR、根安全域ISD-R(Issuer Security Domain Root)和控制安全域ECASD(eUICC Controlling Authority Security Domain)，完整的eUICC体系架构还可以包括其他网元，并不以此为限制。
在本实施例中，eUICC可以通过ES5接口与SM-SR建立安全通道，安全通道可以使用SMS(Short Messaging Service，短消息业务)传输协议，或其他支持ES5接口的传输协议。SM-SR是eUICC远程管理平台的一个重要网元，认证平台与SM-SR的新增接口连接，eUICC通过SM-SR与认证平台交互。
在本实施例中，eUICC的ECASD中已通过预置或远程下载安装了认证应用，该认证应用可通过AuApplet-aid进行标识，认证应用已通过预置或配置获得了认证平台的公钥PK.AuServer.ECDSA。
在本实施例中，当需要远程更新认证应用证书时，可以由认证平台向SM-SR发送认证应用证书更新消息，SM-SR接收到该认证应用证书更新消息后，可以先对该认证应用证书更新消息进行验证，并在验证通过后，向eUICC发送认证应用证书更新命令。
步骤S104：根据认证应用证书更新命令生成新的认证应用公私钥对，用预存的认证平台公钥加密新的认证应用公私钥对中的新的认证应用公钥。
在本实施例中，认证应用证书更新命令依次经过eUICC中的ISD-R、ECASD的传输到达认证应用，认证应用根据该认证应用证书更新命令生成新的认证应用公私钥对，并用预存的认证平台公钥加密新的认证应用公私钥对中的新的认证应用公钥。
步骤S106：向SM-SR发送携带有加密的新的认证应用公钥的认证应用证书更新请求，认证应用证书更新请求用于触发SM-SR向认证平台转发认证应用证书更新请求，以使认证平台根据认证应用证书更新请求生成新的认证应用证书。
可选地，认证应用证书更新命令还携带第一RC和第一签名，第一签名为认证平台使用自身私钥对第一RC的签名，根据认证应用证书更新命令生成新的认证应用公私钥对，包括：
用认证平台公钥对第一签名进行验证；
若验证通过，则生成新的认证应用公私钥对；
向SM-SR发送携带有加密的新的认证应用公钥的认证应用证书更新请求之前，方法还可以包括：
用原认证应用私钥对第一RC和加密的新的认证应用公钥进行签名，得到第二签名；
认证应用证书更新请求还携带第一RC和第二签名。
在本实施例中，为了保证传输的安全，认证平台根据预设算法生成第一随机挑战RC，并用自身的私钥对第一RC进行签名，得到第一签名，以使eUICC中的认证应用接收到该认证应用证书更新命令后用认证平台公钥对第一签名进行验证，以确保该认证应用证书更新命令由认证平台所发。在验证通过，认证应用生成新的认证应用公私钥对，并用原认证应用私钥对第一RC和加密的新的认证应用公钥进行签名，得到第二签名，同时向SM-SR发送携带有加密的新的认证应用公钥、第一RC和第二签名的认证应用证书更新请求。
步骤S108：接收SM-SR发送的携带有新的认证应用证书的认证应用证书更新反馈消息，并基于新的认证应用证书进行证书更新操作。
可选地，认证应用证书更新反馈消息还携带第二RC和第三签名，第三签名为认证平台使用自身私钥对第二RC和新的认证应用证书的签名，基于新的认证应用证书进行证书更新操作之前，方法还可以包括：
用认证平台公钥对第三签名进行验证；
若验证通过，则进一步判断第一RC是否与第二RC相同；
若相同，则从认证应用证书更新反馈消息中提取并存储新的认证应用证书。
在本实施例中，通过比对第一RC和第二RC来校验数据在网络传输过程中是否被篡改，从而进一步保证了数据传输的正确性，在判断第一RC与第二RC相同时，认证应用从认证应用证书更新反馈消息中提取并存储新的认证应用证书，并进行证书更新操作。
可选地，接收签约关系管理平台安全路由网元SM-SR发送的认证应用证书更新命令之前，方法还可以包括：
接收SM-SR发送的认证应用下载安装请求，认证应用下载安装请求携带认证应用安装文件；
根据认证应用安装文件将认证应用安装在eUICC的控制安全域ECASD中。
在本实施例中，eUICC在接收SM-SR发送的认证应用证书更新命令之前，可以先通过SM-SR发送的认证应用下载安装请求将认证应用安装在eUICC的控制安全域ECASD中。具体地，终端首次使用认证业务，或者业务提供商需要对其购买或管理的终端安装认证应用，则可以由业务平台向认证平台发送认证应用申请请求，认证平台接收到该认证应用申请请求后可以对业务平台进行资质审核，并在审核通过后，向SM-SR发送认证应用下载安装请求；从而SM-SR在接收到该认证应用下载安装请求后通过安全通道向eUICC转发所述认证应用下载安装请求，以使eUICC将认证应用远程下载并安装在ECASD中。
本发明实施例提供的远程更新认证应用证书的方法及系统，利用eUICC体系的安全架构，在eUICC与SM-SR之间建立安全通道，从而eUICC能够通过该安全通道与SM-SR进行交互，接收来自认证平台生成的新的认证应用证书，并基于该新的认证应用证书进行证书更新操作，实现认证应用证书的远程更新，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用证书，只能适用于特定范围内的用户，无法远程更新认证应用证书的问题。
具体地，参考图2，示出了本发明实施例提供的一种远程更新认证应用证书的交互示意图，其中，认证平台可以提供认证服务。认证平台与eUICC远程管理平台的SM-SR的新增接口连接，SM-SR是eUICC远程管理平台的一个重要网元。SM-SR通过ES5接口与eUICC的ISD-R连接，eUICC的ECASD中已通过预置或远程下载安装了认证应用。在本实施例中，包括如下步骤：
步骤S01：认证平台生成RC，并对RC进行签名。
需要说明的是，本流程开始前，eUICC的ECASD中已通过预置或远程下载安装了认证应用，并已具备公私钥对PK.AuApplet.ECDSA和SK.AuApplet.ECDSA，及认证平台的公钥PK.AuServer.ECDSA。认证平台也已保存了该认证应用的原证书CERT.AuApplet.ECDSA。本流程可适用于在eUICC中已配置有认证应用证书的情况下根据业务需求或根据认证平台的认证应用证书更新消息进行证书更新。
具体地，认证平台首先生成随机挑战RC，并用认证平台的私钥：SK.AuServer.ECDSA对RC进行签名。
步骤S02：认证平台向SM-SR发送认证应用证书更新消息。
具体地，认证平台向SM-SR发送认证应用证书更新消息，消息中携带该eUICC的eUICC标识EID，该认证应用的认证应用标识AuApplet-aid、RC及签名。
步骤S03：SM-SR对接收到的认证应用证书更新消息进行验证。
具体地，SM-SR收到认证平台发送的的认证应用证书更新消息后可以先对该认证应用证书更新消息进行合法性验证，验证该更新消息是否合法。例如，若SM-SR判断该认证平台合法，则可以判断这个认证应用证书更新消息通过合法性验证；通过合法性验证后，SM-SR可以进一步对该认证应用证书更新消息进行可行性验证，验证该更新操作是否可行。比如，可以查询该eUICC对应的eUICC卡信息集EIS(eUICC Information Set)信息。其中，SM-SR事先存储有所有eUICC的EIS，该EIS包括一系列的eUICC的信息，根据该EIS对该eUICC进行可行性验证，比如，通过EIS判断该eUICC是否有相关的策略限制，或空间限制等等，从而获得可行性验证结果。具体合法性验证和可行性验证方式也可以通过eUICC安全体系进行验证，或进一步通过其他商业约定进行验证。若任意一个验证不通过，SM-SR可以向认证平台返回验证失败结果，流程结束。
步骤S04：验证通过后，SM-SR向ISD-R发送认证应用证书更新命令。
具体地，验证通过后，SM-SR与eUICC建立安全通道，通过ES5接口向对应的ISD-R发送认证应用证书更新命令，该命令中携带EID，认证平台标识AuServer-id、认证应用标识AuApplet-aid,RC及签名。
步骤S05：ISD-R向ECASD发送认证应用证书更新命令。
具体地，ISD-R收到认证应用证书更新命令后，根据认证应用标识AuApplet-aid向ECASD转发认证应用证书更新命令，该命令中携带RC及签名。
步骤S06：ECASD向认证应用转发认证应用证书更新命令，该命令中携带RC及签名。
步骤S07：认证平台对签名进行验证，以及在验证通过后，生成新的公私钥对，用认证平台的公钥加密新的认证应用公钥，并用原认证应用私钥对RC、加密的新认证应用公钥进行签名。
具体地，认证应用用认证平台的公钥：PK.AuServer.ECDSA对签名进行验签，若验证失败，则向认证平台返回验证失败通知，流程结束。若验证通过，则认证应用生成新的公私钥对PK.AuApplet.ECDSA和SK.AuApplet.ECDSA，并用认证平台的公钥：PK.AuServer.ECDSA加密新的认证应用公钥PK.AuApplet.ECDSA,用原认证应用私钥SK.AuApplet.ECDSA对RC、加密的新认证应用公钥PK.AuApplet.ECDSA进行签名。
步骤S08：认证应用向ECASD发送认证应用证书更新请求，该请求中携带RC、加密的新认证应用公钥PK.AuApplet.ECDSA及签名。
步骤S09：ECASD向ISD-R发送认证应用证书更新请求，该请求中携带RC、加密的新认证应用公钥PK.AuApplet.ECDSA及签名。
步骤S10：ISD-R向SM-SR发送认证应用证书更新请求，该请求中携带EID、认证平台标识AuServer-id、认证应用标识AuApplet-aid、RC、加密的新认证应用公钥PK.AuApplet.ECDSA及签名。
具体地，ISD-R与SM-SR建立安全通道，通过ES5接口向SM-SR发送认证应用证书更新请求，该请求中携带相关的参数。
步骤S11：SM-SR向认证平台发送认证应用证书更新请求。
具体地，SM-SR根据认证平台标识AuServer-id路由认证平台，向对应的认证平台发送认证应用证书更新请求，该请求中携带EID、认证应用标识AuApplet-aid、RC、加密的新认证应用公钥PK.AuApplet.ECDSA及签名。
步骤S12：认证平台对签名进行验证，并在验证通过后保存新的认证应用的公钥，同时生成新的认证应用证书，并对RC和新认证应用证书进行签名。
具体地，认证平台用原认证应用的公钥：PK.AuApplet.ECDSA对签名进行验签，验证通过后解密并保存新的认证应用的公钥PK.AuApplet.ECDSA，并用自身的私钥SK.AuServer.ECDSA生成新的认证应用证书CERT.AuApplet.ECDSA，并对RC和新的认证应用证书CERT.AuApplet.ECDSA进行签名。
步骤S13：认证平台向SM-SR提交认证应用证书更新反馈消息。该消息中携带认证平台标识AuServer-id、EID、认证应用标识AuApplet-aid、RC、新的认证应用证书CERT.AuApplet.ECDSA及签名。
步骤S14：SM-SR对该认证应用证书更新反馈消息进行合法性验证。
具体地，SM-SR对该认证应用证书更新反馈消息进行合法性验证。具体验证方式不做规定可任意，比如，可以通过证书方式进行验证，或进一步通过其他商业约定进行验证。如验证不通过，向认证平台发送验证失败通知，流程结束。
步骤S15：合法性验证通过后，SM-SR向ISD-R发送认证应用证书更新反馈消息，该消息中携带认证平台标识AuServer-id、EID、认证应用标识AuApplet-aid、RC、新的认证应用证书CERT.AuApplet.ECDSA及签名。
步骤S16：ISD-R向ECASD发送认证应用证书下载更新指令。
具体地，ISD-R接收到该更新反馈消息后，根据认证应用标识AuApplet-aid向ECASD发送认证应用证书下载更新指令，该指令中携带RC、新的认证应用证书CERT.AuApplet.ECDSA及签名。
步骤S17：ECASD向认证应用转发认证应用证书下载更新指令，该指令中携带RC、新的认证应用证书CERT.AuApplet.ECDSA及签名。
步骤S18：认证应用对签名进行验证，并比对RC,若验证通过且RC一致则存储并更新该认证应用证书。
具体地，认证应用接收到认证应用证书下载更新指令后，使用认证平台的公钥PK.AuServer.ECDSA对签名和新的认证应用证书进行验证，并比对RC，即将之前生成的RC与接收到的RC进行比对，若RC一致，且验证通过，则保存并更新认证应用的证书，以便于后续认证。如验证失败，eUICC侧也将反馈失败结果。
本发明利用eUICC体系的安全架构，无需为移动身份认证业务额外配置一套私有的安全体系，能够保障认证应用证书远程更新过程中的信息传输安全，并能通过双向身份认证进一步防止中间人的攻击威胁，尤其适用于5G时代海量多样化的终端的接入安全。
本发明中，认证服务提供商与运营商和智能卡生产厂商都相互独立，支持发卡后对认证应用证书的远程管理，可以支持灵活的商业模式，有利于建设开放的移动身份认证生态环境。
实施例2：
参考图3，本实施例提供一种远程更新认证应用证书的方法，应用于SM-SR，所述方法包括：
步骤S202：接收认证平台发送的认证应用证书更新消息，并对认证应用证书更新消息进行验证；
步骤S204：若验证通过，则向eUICC发送认证应用证书更新命令，以使eUICC接收到认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密新的认证应用公私钥对中的新的认证应用公钥；
步骤S206：接收eUICC发送的携带有加密的新的认证应用公钥的认证应用证书更新请求，并向认证平台转发认证应用证书更新请求，以使认证平台根据认证应用证书更新请求生成新的认证应用证书；
步骤S208：接收认证平台发送的携带有新的认证应用证书的认证应用证书更新反馈消息，并向eUICC转发认证应用证书更新反馈消息，以使eUICC基于新的认证应用证书进行证书更新操作。
优选地，接收认证平台发送的携带有新的认证应用证书的认证应用证书更新反馈消息之后，方法还可以包括：
对认证应用证书更新反馈消息进行合法性验证；
向认证平台转发认证应用证书更新请求，可以包括：
若验证通过，则向认证平台转发认证应用证书更新请求。
实施例3：
参考图4，本实施例提供一种远程更新认证应用证书的方法，应用于认证平台，所述方法包括：
步骤S302：向SM-SR发送认证应用证书更新消息，认证应用证书更新消息用于触发SM-SR在判断出认证应用证书更新消息通过验证后，向eUICC发送认证应用证书更新命令，以使eUICC接收到认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密新的认证应用公私钥对中的新的认证应用公钥；
步骤S304：接收SM-SR发送的携带有加密的新的认证应用公钥的认证应用证书更新请求，并根据认证应用证书更新请求生成新的认证应用证书；
步骤S306：向SM-SR发送携带有新的认证应用证书的认证应用证书更新反馈消息，认证应用证书更新反馈消息用于触发SM-SR向eUICC转发认证应用证书更新反馈消息，以使eUICC基于新的认证应用证书进行证书更新操作。
优选地，认证应用证书更新消息携带第一RC和第一签名，向SM-SR发送认证应用证书更新消息之前，方法还可以包括：
根据预设算法生成第一RC；
用自身的私钥对第一RC进行签名，得到第一签名。
优选地，认证应用证书更新请求还携带第一RC和第二签名，认证应用证书更新反馈消息还携带与第一RC相同的第二RC以及第三签名，根据认证应用证书更新请求生成新的认证应用证书，可以包括：
用预存的原认证应用的公钥对第二签名进行验证；
若验证通过，则生成新的认证应用证书；
生成新的认证应用证书之后，方法还可以包括：
用自身的私钥对加密的新的认证应用公钥进行解密，并保存解密后的新的认证应用公钥；
用自身的私钥对第二RC和新的认证应用证书进行签名，得到第三签名。
实施例4：
本实施例提供一种远程更新认证应用证书的系统，包括：eUICC、SM-SR和认证平台；
eUICC用于执行实施例1所述的远程更新认证应用证书的方法；
SM-SR用于执行实施例2所述的远程更新认证应用证书的方法；
认证平台用于执行实施例3所述的远程更新认证应用证书的方法。
实施例2至实施例4提供的远程更新认证应用证书的方法及系统，利用eUICC体系的安全架构，在eUICC与SM-SR之间建立安全通道，从而eUICC能够通过该安全通道与SM-SR进行交互，接收来自认证平台生成的新的认证应用证书，并基于该新的认证应用证书进行证书更新操作，实现认证应用证书的远程更新，解决了现有的基于智能卡的私有解决方案，通常需要与指定卡商及运营商合作，在制卡时需要预置指定认证应用证书，只能适用于特定范围内的用户，无法远程更新认证应用证书的问题。
可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (7)

1.一种远程更新认证应用证书的方法，其特征在于，应用于嵌入式通用集成电路卡eUICC，所述方法包括：
接收签约关系管理平台安全路由网元SM-SR发送的认证应用证书更新命令；
根据所述认证应用证书更新命令生成新的认证应用公私钥对，用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
向SM-SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求，所述认证应用证书更新请求用于触发SM-SR向认证平台转发所述认证应用证书更新请求，以使所述认证平台根据所述认证应用证书更新请求生成新的认证应用证书；
接收SM-SR发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息，并基于所述新的认证应用证书进行证书更新操作所述认证应用证书更新命令还携带第一随机挑战RC和第一签名，所述第一签名为所述认证平台使用自身私钥对所述第一RC的签名，
所述根据所述认证应用证书更新命令生成新的认证应用公私钥对，包括：
用所述认证平台公钥对所述第一签名进行验证；
若验证通过，则生成所述新的认证应用公私钥对；
所述向SM-SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求之前，所述方法还包括：
用原认证应用私钥对第一RC和加密的新的认证应用公钥进行签名，得到第二签名；
所述认证应用证书更新请求还携带所述第一RC和所述第二签名。
2.根据权利要求1所述的远程更新认证应用证书的方法，其特征在于，所述认证应用证书更新反馈消息还携带第二RC和第三签名，所述第三签名为所述认证平台使用自身私钥对所述第二RC和所述新的认证应用证书的签名，
所述基于所述新的认证应用证书进行证书更新操作之前，所述方法还包括：
用所述认证平台公钥对所述第三签名进行验证；
若验证通过，则进一步判断所述第一RC是否与所述第二RC相同；
若相同，则从所述认证应用证书更新反馈消息中提取并存储所述新的认证应用证书。
3.根据权利要求1所述的远程更新认证应用证书的方法，其特征在于，所述接收签约关系管理平台安全路由网元SM-SR发送的认证应用证书更新命令之前，所述方法还包括：
接收所述SM-SR发送的认证应用下载安装请求，所述认证应用下载安装请求携带认证应用安装文件；
根据所述认证应用安装文件将所述认证应用安装在所述eUICC的控制安全域ECASD中。
4.一种远程更新认证应用证书的方法，其特征在于，应用于签约关系管理平台安全路由网元SM-SR，所述方法包括：
接收认证平台发送的认证应用证书更新消息，并对所述认证应用证书更新消息进行验证；
若验证通过，则向eUICC发送认证应用证书更新命令，以使所述eUICC接收到所述认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
接收所述eUICC发送的携带有加密的所述新的认证应用公钥的认证应用证书更新请求，并向所述认证平台转发所述认证应用证书更新请求，以使所述认证平台根据所述认证应用证书更新请求生成新的认证应用证书；
接收认证平台发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息，并向所述eUICC转发所述认证应用证书更新反馈消息，以使所述eUICC基于所述新的认证应用证书进行证书更新操作；
所述认证应用证书更新命令还携带第一RC和第一签名，所述第一签名为所述认证平台使用自身私钥对所述第一RC的签名，
所述eUICC接收到所述认证应用证书更新命令后生成新的认证应用公私钥对，包括：
用所述认证平台公钥对所述第一签名进行验证；
若验证通过，则生成所述新的认证应用公私钥对；
向SM-SR发送携带有加密的所述新的认证应用公钥的认证应用证书更新请求之前，所述方法还包括：
用原认证应用私钥对第一RC和加密的新的认证应用公钥进行签名，得到第二签名；
所述认证应用证书更新请求还携带所述第一RC和所述第二签名。
5.根据权利要求4所述的远程更新认证应用证书的方法，其特征在于，所述接收认证平台发送的携带有所述新的认证应用证书的认证应用证书更新反馈消息之后，所述方法还包括：
对所述认证应用证书更新反馈消息进行合法性验证；
所述向所述认证平台转发所述认证应用证书更新请求，包括：
若验证通过，则向所述认证平台转发所述认证应用证书更新请求。
6.一种远程更新认证应用证书的方法，其特征在于，应用于认证平台，所述方法包括：
向SM-SR发送认证应用证书更新消息，所述认证应用证书更新消息用于触发所述SM-SR在判断出所述认证应用证书更新消息通过验证后，向eUICC发送认证应用证书更新命令，以使所述eUICC接收到所述认证应用证书更新命令后生成新的认证应用公私钥对，以及用预存的认证平台公钥加密所述新的认证应用公私钥对中的新的认证应用公钥；
接收所述SM-SR发送的携带有加密的所述新的认证应用公钥的认证应用证书更新请求，并根据所述认证应用证书更新请求生成新的认证应用证书；
向所述SM-SR发送携带有所述新的认证应用证书的认证应用证书更新反馈消息，所述认证应用证书更新反馈消息用于触发所述SM-SR向eUICC转发所述认证应用证书更新反馈消息，以使所述eUICC基于所述新的认证应用证书进行证书更新操作；
所述认证应用证书更新消息携带第一RC和第一签名，所述向SM-SR发送认证应用证书更新消息之前，所述方法还包括：
根据预设算法生成第一RC；
用自身的私钥对所述第一RC进行签名，得到所述第一签名；所述认证应用证书更新请求还携带所述第一RC和第二签名，所述认证应用证书更新反馈消息还携带与所述第一RC相同的第二RC以及第三签名，所述根据所述认证应用证书更新请求生成新的认证应用证书，包括：
用预存的原认证应用的公钥对所述第二签名进行验证；
若验证通过，则生成新的认证应用证书；
所述生成新的认证应用证书之后，所述方法还包括：
用自身的私钥对加密的所述新的认证应用公钥进行解密，并保存解密后的新的认证应用公钥；
用自身的私钥对所述第二RC和所述新的认证应用证书进行签名，得到所述第三签名。
7.一种远程更新认证应用证书的系统，其特征在于，包括：eUICC、SM-SR和认证平台；
所述eUICC用于执行权利要求1-3任一项所述的远程更新认证应用证书的方法；
所述SM-SR用于执行权利要求4或5所述的远程更新认证应用证书的方法；
所述认证平台用于执行权利要求6所述的远程更新认证应用证书的方法。
CN202110308811.8A 2021-03-23 2021-03-23 一种远程更新认证应用证书的方法及系统 Active CN113079037B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110308811.8A CN113079037B (zh) 2021-03-23 2021-03-23 一种远程更新认证应用证书的方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110308811.8A CN113079037B (zh) 2021-03-23 2021-03-23 一种远程更新认证应用证书的方法及系统

Publications (2)

Publication Number Publication Date
CN113079037A CN113079037A (zh) 2021-07-06
CN113079037B true CN113079037B (zh) 2022-12-02

Family

ID=76613587

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110308811.8A Active CN113079037B (zh) 2021-03-23 2021-03-23 一种远程更新认证应用证书的方法及系统

Country Status (1)

Country Link
CN (1) CN113079037B (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102523095A (zh) * 2012-01-12 2012-06-27 公安部第三研究所 具有智能卡保护的用户数字证书远程更新方法
CN108377190A (zh) * 2018-02-14 2018-08-07 飞天诚信科技股份有限公司 一种认证设备及其工作方法
CN110677263A (zh) * 2019-09-30 2020-01-10 恒宝股份有限公司 一种eSIM卡在线签发新CI体系下证书的方法及系统
CN112533211A (zh) * 2020-12-30 2021-03-19 深圳杰睿联科技有限公司 eSIM卡的证书更新方法和系统以及存储介质

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7552333B2 (en) * 2000-08-04 2009-06-23 First Data Corporation Trusted authentication digital signature (tads) system
CN101938520B (zh) * 2010-09-07 2015-01-28 中兴通讯股份有限公司 一种基于移动终端签名的远程支付系统及方法
CN107995200B (zh) * 2017-12-07 2021-03-30 深圳市优友互联有限公司 一种基于智能卡的证书签发方法、身份认证方法以及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102523095A (zh) * 2012-01-12 2012-06-27 公安部第三研究所 具有智能卡保护的用户数字证书远程更新方法
CN108377190A (zh) * 2018-02-14 2018-08-07 飞天诚信科技股份有限公司 一种认证设备及其工作方法
CN110677263A (zh) * 2019-09-30 2020-01-10 恒宝股份有限公司 一种eSIM卡在线签发新CI体系下证书的方法及系统
CN112533211A (zh) * 2020-12-30 2021-03-19 深圳杰睿联科技有限公司 eSIM卡的证书更新方法和系统以及存储介质

Also Published As

Publication number Publication date
CN113079037A (zh) 2021-07-06

Similar Documents

Publication Publication Date Title
EP3800909B1 (en) Remote management method, and device
KR101243073B1 (ko) 단말기 구성 및 관리를 위한 방법 및 단말기 장치
CN109417545B (zh) 下载网络接入简档的方法、安全模块、移动终端和介质
US8578153B2 (en) Method and arrangement for provisioning and managing a device
KR100937166B1 (ko) 이동단말기 특징으로의 제공 접근 권한 제한
US20080072301A1 (en) System And Method For Managing User Authentication And Service Authorization To Achieve Single-Sign-On To Access Multiple Network Interfaces
US20060039564A1 (en) Security for device management and firmware updates in an operator network
CN108848496B (zh) 基于TEE的虚拟eSIM卡的认证方法、TEE终端和管理平台
KR20160124648A (ko) 프로파일 다운로드 및 설치 장치
KR20190004499A (ko) eSIM 단말과 서버가 디지털 인증서를 협의하는 방법 및 장치
CN104125565A (zh) 一种基于oma dm实现终端认证的方法、终端及服务器
EP2520061A1 (en) Methods to enable secure self-provisioning of subscriber units in a communication system
EP1993301A1 (en) Method and apparatus of operating a wireless home area network
WO2018129754A1 (zh) 一种eUICC配置文件管理方法及相关装置
CN112533211B (zh) eSIM卡的证书更新方法和系统以及存储介质
KR102095136B1 (ko) 보안 요소를 인증하기 위한 적어도 하나의 인증 파라미터를 교체하는 방법, 및 대응하는 보안 요소
KR20200044629A (ko) 프로파일 원격관리 예외 처리 방법 및 장치
CN113098933B (zh) 一种远程安装认证应用的方法、eUICC及SM-SR
KR20140070195A (ko) 능력 정보를 이용한 내장형 범용 아이씨카드의 프로파일 프로비저닝 방법 및 이를 위한 이동통신 단말기
CN113079037B (zh) 一种远程更新认证应用证书的方法及系统
CN113079503B (zh) 一种远程下载认证应用证书的方法及系统
CN112637848B (zh) 管理认证应用证书的方法、装置和系统
CN112672346B (zh) 下载认证应用的方法、装置和系统
KR20190050949A (ko) ｅＵＩＣＣ를 이용하기 위한 보안 기반 환경 구축 방법 및 장치
US12034870B2 (en) Method for securely diversifying a generic application stored in a secure processor of a terminal

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant