CN114189334A - 一种可管控的eSIM终端证书在线签发方法和系统 - Google Patents

一种可管控的eSIM终端证书在线签发方法和系统 Download PDF

Info

Publication number
CN114189334A
CN114189334A CN202111305449.5A CN202111305449A CN114189334A CN 114189334 A CN114189334 A CN 114189334A CN 202111305449 A CN202111305449 A CN 202111305449A CN 114189334 A CN114189334 A CN 114189334A
Authority
CN
China
Prior art keywords
certificate
eum
euicc
card
subsystem
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111305449.5A
Other languages
English (en)
Other versions
CN114189334B (zh
Inventor
彭涛
王巍
霍要峰
徐冬芳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Aspire Technologies Shenzhen Ltd
Original Assignee
Aspire Technologies Shenzhen Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Aspire Technologies Shenzhen Ltd filed Critical Aspire Technologies Shenzhen Ltd
Priority to CN202111305449.5A priority Critical patent/CN114189334B/zh
Publication of CN114189334A publication Critical patent/CN114189334A/zh
Application granted granted Critical
Publication of CN114189334B publication Critical patent/CN114189334B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明公开了一种可管控的eSIM终端证书在线签发方法和系统，通过将EUM证书签发过程和eUICC证书签发过程进行统一管理，不外泄EUM证书对应的加密机密钥，使得卡商无法私下通过EUM证书签发eUICC证书，确保了EUM证书的安全性，以及eUICC证书的可靠性，对EUM证书和eUICC证书的签发及使用形成了有效监管。

Description

一种可管控的eSIM终端证书在线签发方法和系统
技术领域
本发明涉及eSIM终端设备证书发放及证书管理技术领域，特别涉及一种可管控的eSIM终端证书在线签发方法和系统。
背景技术
嵌入式SIM(又称eSIM或者eUICC)是一种新型的安全SIM芯片，用于远程管理多个移动网络运营商个人化管理服务，并符合GSMA(全球移动通信系统协会)的规范。现有方案中，eUICC签发流程如图1所示，在线EUM证书私钥的生成、存储由卡商管理，eUICC的签发、更新、吊销以及验证均由卡商完成。
在我国，电子认证运营管理服务办法明确规定，向社会公众提供服务的电子认证服务机构应当依法设立，必须围绕满足人员、场地、安全等方面要求，围绕系统运行、认证业务管理、物理与设施安全、安全管理、业务连续性、记录与审计、组织与人员管理等7个层面282细项构建CA安全管理及技术支撑体系，保障认证服务的合法、合规、安全、可靠。
EUM卡商不是专业的电子认证服务机构，其技术水平存在较大差异，EUM卡商二级CA由卡商自己保管，私钥的生成、存储无法满足国家密码管理的规定，在生产过程中为eUICC终端设备签发数字证书的发证环境不符合电子认证运营服务管理办法要求，证书规范、签发流程也不否符合电子认证相关运营要求，eSIM CA中心与EUM中心从技术上脱机，缺乏技术上的监管控制手段，很难掌握eSIM终端证书的签发合规实际情况，无法对证书的签发及使用实施有效监管。
发明内容
本发明旨在至少解决现有技术中存根据本发明的实施例，至少具有如下技在的技术问题。为此，本发明提出一种可管控的eSIM终端证书在线签发方法和系统，通过将EUM证书和eUICC证书统一托管到eSIM CA中心，能够对证书和签发流程形成有效监督和管理。
第一方面，本发明实施例提供一种可管控的eSIM终端证书在线签发方法，包括以下步骤：
接收来自所述卡商子系统提供的EUM证书请求信息；
根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，并将所述EUM证书返回给所述卡商子系统；
接收来自所述卡商子系统的提供的eUICC证书请求信息；
根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书，并将所述eUICC证书返回给所述卡商子系统。
根据本发明的一些实施例，在所述根据所述EUM证书请求信息使用CI证书生成EUM证书之前，还包括步骤：接收来自所述卡商子系统提供的卡商信息；对所述卡商信息进行审核，并在审核通过后根据所述卡商信息创建卡商账号；给所述卡商账号分配接入ID和对应所述接入ID的密钥，并将所述接入ID和所述密钥返回给所述卡商子系统。
根据本发明的一些实施例，在根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书之前，还包括步骤：接收来自所述卡商子系统提供的所述接入ID和所述密钥；对所述接入ID和所述密钥进行验证，并在验证通过后执行所述eUICC证书的生成操作。
根据本发明的一些实施例，在所述并在验证通过后执行所述eUICC证书的生成操作之前，还包括步骤：对所述卡商子系统的IP进行验证。
根据本发明的一些实施例，在所述并将所述eUICC证书返回给所述卡商子系统之前，还包括步骤：保存所述eUICC证书。
第二方面，本发明实施例提供一种可管控的eSIM终端证书在线签发系统，包括：
卡商子系统，用于向eSIM CA在线签发子系统提供EUM证书请求信息和eUICC证书请求信息；
eSIM CA在线签发子系统，用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，并将所述EUM证书返回给所述卡商子系统；以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书，并将所述eUICC证书返回给所述卡商子系统。
根据本发明的一些实施例，所述eSIM CA在线签发子系统包括TEE网关模块和证书签发模块：所述TEE网关模块用于将所述卡商子系统提供的所述EUM证书请求信息和所述eUICC证书请求信息传递给证书证书签发模块，以及将所述证书证书签发模块提供的所述EUM证书和所述eUICC证书返回给所述卡商子系统；所述证书证书签发模块用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书。
根据本发明的一些实施例，所述卡商子系统包括证书申请处理单元和eUICC管理单元：所述证书申请处理单元用于向所述TEE网关模块提供所述EUM证书请求信息和所述eUICC证书请求信息；所述eUICC管理单元用于对eUICC终端进行管理。
根据本发明的一些实施例，所述TEE网关模块包括EUM卡商管理单元、证书申请请求鉴证单元和证书申请处理单元：所述EUM卡商管理单元用于管理所述卡商子系统的信息，并为所述卡商子系统分配接入ID和对应所述接入ID的密钥；所述证书申请请求鉴证单元用于对所述卡商子系统提供的所述接入ID、所述密钥和IP进行验证；所述证书申请处理单元用于在所述证书申请请求鉴证单元验证通过后，将所述EUM证书请求信息和所述eUICC证书请求信息传递给所述证书证书签发模块。
根据本发明的一些实施例，所述证书签发模块包括EUM根证书管理单元和证书签发单元：所述EUM根证书管理单元用于管理所述EUM证书和所述eUICC证书；所述证书签发单元用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书。
本发明实施例第一方面提供的种可管控的eSIM终端证书在线签发方法，通过将EUM证书签发过程和eUICC证书签发过程进行统一管理，不外泄EUM证书对应的加密机密钥，使得卡商无法私下通过EUM证书签发eUICC证书，确保了EUM证书的安全性，以及eUICC证书的可靠性，对EUM证书和eUICC证书的签发及使用形成了有效监管。
可以理解的是，上述第二方面与相关技术相比存在的有益效果与上述第一方面与相关技术相比存在的有益效果相同，可以参见上述第一方面中的相关描述，在此不再赘述。
本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：
图1为现有技术eUICC签发流程图；
图2为本发明实施例可管控的eSIM终端证书在线签发方法的流程示意图；
图3为本发明实施例可管控的eSIM终端证书在线签发系统的结构示意图；
图4为本发明实施例的EUM根证书托管签发流程；
图5为本发明实施例的eUICC证书在线签发流程。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行完整地描述,显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
非另有定义，本发明所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本发明中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是在于限制本发明。
为了更好的理解本发明的技术方案，对一些名称做出如下解释：
一、什么是eSIM
eSIM即Embedded-SIM，嵌入式SIM卡，即将传统通信中可插拔的SIM卡嵌入到设备芯片的技术，目前运营商运用的eSIM技术都是基于GSMA标准，参考SGP22文档来进行协议的统一。eSIM最大的技术特点是，用户将不再依赖运营商，随时自主的切换运营商而不用考虑到需要更换终端的问题。eSIM较于传统SIM卡模式，拥有占用体积小、降低实体卡成本、更安全的优点，是未来通信行业发展的必然趋势。
二、什么是RSP
RSP(Remote SIM Provisioning)远程SIM卡供应，顾名思义就是远程获取存在于运营商的电子SIM卡信息。其适用场景为个人消费类终端，即由运营商提供可通信的电子卡、由个人主动触发远程电子卡下载。
组成eSIM RSP的三要素是SM-DP、LPA、EUICC。
SM-DP(Subscription Manager Data Preparation)，是电子卡的提供商，我们一般默认为运营商。在运营商的系统会提供待下载的电子卡，和RSP server用来与终端进行交互进行身份鉴权，电子卡下载等功能。
EUICC(embedded UICC)通俗是理解是嵌入式的集成电路卡，运营商的电子卡信息会承载与EUICC中，实现与SIM卡相同的通信功能。
LPA(Local Profile Assistant)本地电子卡管理，存在于用户的终端设备中，是运营商SM-DP和电子卡EUICC通信的桥梁。同时其还具备电子卡激活、删除等功能。
三、RSP中的证书体系
在RSP的体系中，证书是必不可少的重要组成部分。其主要目的在于进行身份的验证、交互的鉴权。
在SGP22中定义了在RSP中，同一个CI应当包含：
1.CI根证书CERT.CI.ECDSA；
2.EUM卡商证书CERT.EUM.ECDSA；
3.DP+证书CERT.DPauth.ECDSA、CERT.DPpb.ECDSA；
4.卡证书CERT.EUICC.ECDSA；
5.TLS证书CERT.DP.TLS。
下面详细说明每个证书的具体用处：
1.CERT.CI.ECDSA，为CI机构签发的一级根证书，其主要目的是为了签发和验证二级证书。CI证书的使用者密钥标识符即是其签发的二级证书的颁发机构标识符。
2.CERT.EUM.ECDSA是CI根证书签发出来的二级证书，主要提供给EUICC制造商即卡商。卡商得到EUM证书后会签发其生产的EUICC证书.同时因EUM和DP证书是又同一CI签发而来，所以在与DP交换鉴权过程中，是验证是否为同根证书的必不可少的内容。
3.CERT.DPauth.ECDSA、CERT.DPpb.ECDSA，均为DP证书，是由同一CI签发出来的叶子证书，与其一共签发的EUM证书对应的根是相同的，这样在验证证书过程中EUICC与DP互换证书来实现双向鉴权的过程。之所以有两个证书是对应电子卡下载过程ES9+接口，CERT.DPauth.ECDSA主要用来双向鉴权、CERT.DPpb.ECDSA用来电子卡下载。
4.CERT.EUICC.ECDSA是由二级证书CERT.EUM.ECDSA签发的三级叶子证书，证书内包含电子卡的EID，是电子卡下载中最重要的组成部分。在电子下载过程中会根据该证书验证传输的euicc信息即euiccSignature2。
5.CERT.DP.TLS是CI签发的用来进行HTTPS交互过程中用到的证书，其目的是为了保证HTTPS信息的安全。
参照图2，本发明实施例提供一种可管控的eSIM终端证书在线签发方法，包括以下步骤：
步骤S110：接收来自卡商子系统提供的EUM证书请求信息；
步骤S120：根据EUM证书请求信息使用CI证书生成EUM证书，对EUM证书分配加密机密钥，并将EUM证书返回给卡商子系统；
步骤S130：接收来自卡商子系统的提供的eUICC证书请求信息；
步骤S140：根据eUICC证书请求信息使用EUM证书和加密机密钥生成eUICC证书，并将eUICC证书返回给卡商子系统。
在步骤S110和步骤S130中，卡商子系统请求EUM证书和eUICC证书，是由于卡商需要EUM证书预制到卡里面用于进行证书链验证，需要eUICC证书进行制卡。
在步骤S120中，eSIM CA在线签发子系统基于CI证书签发EUM证书，并给该EUM证书分配对应的加密机密钥，之后将该EUM证书返回给卡商子系统。没有将EUM证书的加密机密钥一并交给卡商子系统，是不想让卡商掌握EUM证书和加密机密钥私下签发eUICC证书，这样确保了EUM证书的安全性，以及eUICC证书的可靠性。
在步骤S140中，eSIM CA在线签发子系统使用EUM证书和加密机密钥生成eUICC证书，并将该eUICC证书返回给卡商子系统。这样，卡商通过卡商子系统就能获取到EUM证书和eUICC证书，就能开始着手制卡活动。
本发明实施例第一方面提供的种可管控的eSIM终端证书在线签发方法，通过将EUM证书签发过程和eUICC证书签发过程进行统一管理，不外泄EUM证书对应的加密机密钥，使得卡商无法私下通过EUM证书签发eUICC证书，确保了EUM证书的安全性，以及eUICC证书的可靠性，对EUM证书和eUICC证书的签发及使用形成了有效监管。
在一些可选的实施例中，在根据EUM证书请求信息使用CI证书生成EUM证书之前，还包括步骤：接收来自卡商子系统提供的卡商信息；对卡商信息进行审核，并在审核通过后根据卡商信息创建卡商账号；给卡商账号分配接入ID和对应接入ID的密钥，并将接入ID和密钥返回给卡商子系统。
卡商信息，即卡商提交的相关申请资料，包括企业信息，组织机构代码、申请人姓名、身份证号码等信息。对卡商提交的相关申请资料进行审核工作，是为了防止没有资质的人员进行恶意申请EUM证书。也就是说，即使有相关人员通过卡商子系统进行EUM证书的申请，但如果他提交的相关申请资料未通过审核的话，eSIM CA在线签发子系统也不会给他派发EUM证书。通过此举措保护了EUM证书的安全性。
给提交的相关申请资料的卡商配接入ID和对应接入ID的密钥，也是考虑到了后续程序的安全性。
在一些可选的实施例中，在根据eUICC证书请求信息使用EUM证书和加密机密钥生成eUICC证书之前，还包括步骤：接收来自卡商子系统提供的接入ID和密钥；对接入ID和密钥进行验证，并在验证通过后执行eUICC证书的生成操作。
对接入ID和对应接入ID的密钥进行验证，是不想给没有提供相关申请资料的卡商签发eUICC证书，只有录入eSIM CA在线签发子系统的，并分配了接入ID和密钥的卡商才能获取到eUICC证书，通过此举措保护了eUICC证书的安全性。进一步，为了防止接入ID和密钥的泄露，eSIM CA在线签发子系统在验证卡商子系统身份的时候也会对卡商子系统的IP进行鉴权。
在一些可选的实施例中，在将eUICC证书返回给卡商子系统之前，还包括步骤：保存该eUICC证书。
以前的流程eUICC证书在卡商手里，eSIM CA在线签发子系统无法对eUICC证书进行有效管理，保存eUICC证书是为了对EUM证书和eUICC证书进行统一管理。
第二方面，参照图3，本发明实施例提供一种可管控的eSIM终端证书在线签发系统，包括：
卡商子系统，用于向eSIM CA在线签发子系统提供EUM证书请求信息和eUICC证书请求信息；
eSIM CA在线签发子系统，用于根据EUM证书请求信息使用CI证书生成EUM证书，对EUM证书分配加密机密钥，并将EUM证书返回给卡商子系统；以及根据eUICC证书请求信息使用EUM证书和加密机密钥生成eUICC证书，并将eUICC证书返回给卡商子系统。
具体的，eSIM CA在线签发子系统包括TEE网关模块和证书签发模块。
EUM卡商证书私钥由eSIM CA中心统一管理，由通过国密局认证的专用设备生成卡商私钥，私钥保存在专用设备内部，不出设备，密钥的使用和备份均符合CA系统安全设计规划，对密钥的整个生命周期包括密钥生成、保存、使用、备份恢复、更新、销毁流程进行安全管控，从源头保障EUM证书的安全。
eUICC证书的签发由eSIM CA中心通过EUM二级证书进行在线签发：EUM卡商准备eUICC设备信息，包括设备标识，设备公钥(设备私钥从eUICC终端安全组件生成)，通过eSIMCATEE接口网关进行eUICC证书在线申请，TEE通过对EUM卡商系统身份识别，确认EUM卡商身份后，由eSIM CA系统EUM二级根证书为eUICC颁发设备证书，形成CI->EUM->eUICC证书信任链。eUICC后续更新、吊销均由卡商EUM系统与TEE对接，由eSIM CA在线签发系统对eUICC证书的生命周期进行统一监管。
eSIM终端证书在线签发系统，包括卡商子系统、以及eSIM CA在线签发子系统旗下的TEE网关模块和证书签发模块。
说明：
(1)卡商子系统；
卡商子系统：EUM卡商业务单元，对eUICC终端进行管理，同时与TEE网关对接，实现在线eUICC证书签发。
(2)TEE网关模块；
包括EUM卡商管理单元、证书申请请求鉴证单元和证书申请处理单元。
1、EUM卡商管理单元：负责管理接入TEE网关的卡商子系统信息，为卡商子系统分配接入账号及密钥，实现接入TEE网关的EUM系统管理。
2、证书申请请求鉴证单元：负责在线自动鉴证证书申请请求，包括请求IP鉴证，对应密钥验证等，鉴证通过后，TEE网关才会向证书签发模块发起证书签发请求。
3、证书申请处理单元：负责向证书证书签发模块发送eUICC证书申请请求。
(3)证书签发模块；
包括EUM根证书管理及证书证书签发单元。
1、EUM根证书管理单元：负责管理EUM根证书信息，包括EUM对应密钥号、证书有效期等，实现EUM证书生成、更新、吊销生命周期管理；
2、证书签发单元：证书签发。
如图4所示，EUM根证书托管签发流程如下：
1、EUM线下提交申请资料，包括企业信息，组织机构代码、申请人姓名、身份证号码等信息；
2、eSIM CA系统管理员审核EUM资料，确认无误后在eSIM CA系统为EUM创建EUM根证书；
3、EUM系统创建EUM卡商信息，分配根证书对应加密机密钥，使用CI顶级根签发EUM二级证书；
4、将EUM证书返回给EUM卡商。
如图5所示，eUICC证书在线签发流程如下：
1、卡商子系统向TEE网关发起eUICC证书申请；
2、TEE网关验证卡商子系统身份，包括IP鉴权、接入ID、密钥等；
3、验证通过，TEE网关向签发模块申请eUICC证书签发；
4、签发模块根据请求信息获取对于EUM二级根证书，并使用EUM二级根证书签发eUICC证书；
5、签发模块保存eUICC证书，并将签发的eUICC证书返回给TEE网关；
6、TEE网关将eUICC证书返回给卡商子系统。
本发明实施例实现EUM根证书在eSIM CA中心托管，证书密钥的生成、存储、备份恢复均按照国家密码管理局要求进行安全操作，从源头保证了EUM证书的安全。
eUICC证书在线签发，实现了证书签发由符合工信部要求的CA中心签发和管理，证书签发在CA中心内部进行，签发流程符合工信部及国密局要求，证书发放可控可管。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims (10)

1.一种可管控的eSIM终端证书在线签发方法，其特征在于，包括以下步骤：
接收来自所述卡商子系统提供的EUM证书请求信息；
根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，并将所述EUM证书返回给所述卡商子系统；
接收来自所述卡商子系统的提供的eUICC证书请求信息；
根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书，并将所述eUICC证书返回给所述卡商子系统。
2.根据权利要求1所述的可管控的eSIM终端证书在线签发方法，其特征在于，在所述根据所述EUM证书请求信息使用CI证书生成EUM证书之前，还包括步骤：
接收来自所述卡商子系统提供的卡商信息；
对所述卡商信息进行审核，并在审核通过后根据所述卡商信息创建卡商账号；
给所述卡商账号分配接入ID和对应所述接入ID的密钥，并将所述接入ID和所述密钥返回给所述卡商子系统。
3.根据权利要求2所述的可管控的eSIM终端证书在线签发方法，其特征在于，在根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书之前，还包括步骤：
接收来自所述卡商子系统提供的所述接入ID和所述密钥；
对所述接入ID和所述密钥进行验证，并在验证通过后执行所述eUICC证书的生成操作。
4.根据权利要求3所述的可管控的eSIM终端证书在线签发方法，其特征在于，在所述并在验证通过后执行所述eUICC证书的生成操作之前，还包括步骤：
对所述卡商子系统的IP进行验证。
5.根据权利要求1所述的可管控的eSIM终端证书在线签发方法，其特征在于，在所述并将所述eUICC证书返回给所述卡商子系统之前，还包括步骤：保存所述eUICC证书。
6.一种可管控的eSIM终端证书在线签发系统，其特征在于，包括：
卡商子系统，用于向eSIM CA在线签发子系统提供EUM证书请求信息和eUICC证书请求信息；
eSIM CA在线签发子系统，用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，并将所述EUM证书返回给所述卡商子系统；以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书，并将所述eUICC证书返回给所述卡商子系统。
7.根据权利要求6所述的可管控的eSIM终端证书在线签发系统，其特征在于，所述eSIMCA在线签发子系统包括TEE网关模块和证书签发模块：
所述TEE网关模块用于将所述卡商子系统提供的所述EUM证书请求信息和所述eUICC证书请求信息传递给证书证书签发模块，以及将所述证书证书签发模块提供的所述EUM证书和所述eUICC证书返回给所述卡商子系统；
所述证书证书签发模块用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书。
8.根据权利要求7所述的可管控的eSIM终端证书在线签发系统，其特征在于，所述卡商子系统包括证书申请处理单元和eUICC管理单元：
所述证书申请处理单元用于向所述TEE网关模块提供所述EUM证书请求信息和所述eUICC证书请求信息；
所述eUICC管理单元用于对eUICC终端进行管理。
9.根据权利要求7所述的可管控的eSIM终端证书在线签发系统，其特征在于，所述TEE网关模块包括EUM卡商管理单元、证书申请请求鉴证单元和证书申请处理单元：
所述EUM卡商管理单元用于管理所述卡商子系统的信息，并为所述卡商子系统分配接入ID和对应所述接入ID的密钥；
所述证书申请请求鉴证单元用于对所述卡商子系统提供的所述接入ID、所述密钥和IP进行验证；
所述证书申请处理单元用于在所述证书申请请求鉴证单元验证通过后，将所述EUM证书请求信息和所述eUICC证书请求信息传递给所述证书证书签发模块。
10.根据权利要求7所述的可管控的eSIM终端证书在线签发系统，其特征在于，所述证书签发模块包括EUM根证书管理单元和证书签发单元：
所述EUM根证书管理单元用于管理所述EUM证书和所述eUICC证书；
所述证书签发单元用于根据所述EUM证书请求信息使用CI证书生成EUM证书，对所述EUM证书分配加密机密钥，以及根据所述eUICC证书请求信息使用所述EUM证书和所述加密机密钥生成所述eUICC证书。
CN202111305449.5A 2021-11-05 2021-11-05 一种可管控的eSIM终端证书在线签发方法和系统 Active CN114189334B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111305449.5A CN114189334B (zh) 2021-11-05 2021-11-05 一种可管控的eSIM终端证书在线签发方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111305449.5A CN114189334B (zh) 2021-11-05 2021-11-05 一种可管控的eSIM终端证书在线签发方法和系统

Publications (2)

Publication Number Publication Date
CN114189334A true CN114189334A (zh) 2022-03-15
CN114189334B CN114189334B (zh) 2023-09-26

Family

ID=80540785

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111305449.5A Active CN114189334B (zh) 2021-11-05 2021-11-05 一种可管控的eSIM终端证书在线签发方法和系统

Country Status (1)

Country Link
CN (1) CN114189334B (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107873137A (zh) * 2015-04-13 2018-04-03 三星电子株式会社 用于管理通信系统中的简档的技术
CN107911224A (zh) * 2017-11-28 2018-04-13 恒宝股份有限公司 嵌入式通用集成电路卡的续证方法和系统
CN109005032A (zh) * 2018-08-13 2018-12-14 中国联合网络通信集团有限公司 一种路由方法和装置
US20190053040A1 (en) * 2015-09-11 2019-02-14 Huawei Technologies Co., Ltd. Method for Migration from SIM Card to EUICC, Device, and System
CN109451483A (zh) * 2019-01-03 2019-03-08 中国联合网络通信集团有限公司 eSIM数据处理方法、设备及可读存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107873137A (zh) * 2015-04-13 2018-04-03 三星电子株式会社 用于管理通信系统中的简档的技术
US20190053040A1 (en) * 2015-09-11 2019-02-14 Huawei Technologies Co., Ltd. Method for Migration from SIM Card to EUICC, Device, and System
CN107911224A (zh) * 2017-11-28 2018-04-13 恒宝股份有限公司 嵌入式通用集成电路卡的续证方法和系统
CN109005032A (zh) * 2018-08-13 2018-12-14 中国联合网络通信集团有限公司 一种路由方法和装置
CN109451483A (zh) * 2019-01-03 2019-03-08 中国联合网络通信集团有限公司 eSIM数据处理方法、设备及可读存储介质

Also Published As

Publication number Publication date
CN114189334B (zh) 2023-09-26

Similar Documents

Publication Publication Date Title
RU2515809C2 (ru) Способы, предназначенные для того, чтобы давать возможность безопасной самостоятельной инициализации абонентских устройств в системе связи
CN101527633B (zh) 智能密钥设备获取数字证书的方法
US10567370B2 (en) Certificate authority
EP2243311B1 (en) Method and system for mobile device credentialing
US8850527B2 (en) Method of performing a secure application in an NFC device
EP2559219B1 (en) Online secure device provisioning framework
CN103685138A (zh) 移动互联网上的Android平台应用软件的认证方法和系统
CN108848496B (zh) 基于TEE的虚拟eSIM卡的认证方法、TEE终端和管理平台
US20100088518A1 (en) Method of exchanging data such as cryptographic keys between a data processing system and an electronic entity such as a microcircuit card
CN111049835B (zh) 分布式公共证书服务网络的统一身份管理系统
JP2002056360A (ja) Ｉｃカードシステム及びｉｃカード
CN105681030B (zh) 密钥管理系统、方法及装置
CN108683674A (zh) 门锁通信的验证方法、装置、终端及计算机可读存储介质
CN103490881A (zh) 认证服务系统、用户认证方法、认证信息处理方法及系统
CN112533211B (zh) eSIM卡的证书更新方法和系统以及存储介质
CN113098933B (zh) 一种远程安装认证应用的方法、eUICC及SM-SR
CN102882882B (zh) 一种用户资源授权方法
CN114189334A (zh) 一种可管控的eSIM终端证书在线签发方法和系统
KR101118424B1 (ko) 인증서 자동갱신 처리 시스템
TW202121867A (zh) 基於管理者自發行票券的點對點權限管理方法
CN113162771B (zh) 一种智能卡应用管理方法、装置及系统
KR101625219B1 (ko) 사용자 매체를 이용한 다중 코드 생성 방식의 네트워크 형 오티피 제공 방법
CN113079503B (zh) 一种远程下载认证应用证书的方法及系统
KR20170087073A (ko) 씨드 조합 방식의 네트워크 형 오티피 제공 방법
KR102104094B1 (ko) 인증장치, 및 단말 간의 인증을 위한 프로그램 및 그 프로그램이 기록된 컴퓨터 판독 가능 기록매체

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant