CN1143517C

CN1143517C - 利用安全模块管理数据的方法和安全模块

Info

Publication number: CN1143517C
Application number: CNB008082464A
Authority: CN
Inventors: 弗雷德里克・梅扬斯; 弗雷德里克·梅扬斯
Original assignee: Schlumberger SA
Current assignee: Axalto SA
Priority date: 1999-05-18
Filing date: 2000-05-18
Publication date: 2004-03-24
Anticipated expiration: 2020-05-18
Also published as: WO2000070842A3; CN1353905A; EP1192795A2; WO2000070842A2; FR2793979A1; FR2793979B1

Abstract

本发明涉及一种利用安全模块管理属于插入至少一终端的用户卡中的数据的方法，所述卡经历由所述安全模块进行的至少一次鉴别处理，本发明的特征在于该方法包括下列步骤：将卡插入终端；每当鉴别用户卡时，在安全模块中给所述终端分配一逻辑信道；在与该逻辑信道关联的存储单元存储有关于该鉴别步骤的前后关系数据，所述存储单元位于安全模块的存储器中；以及从终端中取出卡。本发明特别适合于使用在电话领域。

Description

利用安全模块管理数据的方法和安全模块

发明领域

本发明涉及一种利用安全模块管理在适合插入至少一终端的用户卡中的数据的方法，所述卡经历由所述安全模块进行的至少一次鉴别。本发明也涉及适合其实现的安全模块。

这个发明还可以以特别有利的方式应用于电话领域。

发明背景

在电话领域，存在有一些用于终端经管的系统，这些系统包括通常包含在连接到所述终端的集线器中的经管服务器和安全模块。集线器包括一计算机、几个安全模块和所述模块连接到其中的电子卡。该终端指的是公用电话。

安全模块具体地说是通过鉴别插入公用电话的用户卡来保证所述卡的有效性。为此目的，所述卡包括其有效性得以保证的机密数据。该公用电话经管系统和该机密数据一起由电话公司管理。该集线器管理几个安全模块，一般来说是大约三十个。安全模块只管理唯一一个公用电话。该电子卡允许管理电话和经管服务器之间的通信。

虽然这个装置允许管理一组公用电话，但具有需要进行单调乏味的经管的缺点。此外，为此而安装该装置对于电话公司来说太昂贵了。

因此，要根据本发明解决的技术问题是提供一种方法，用于利用安全模块管理在适合插入至少一终端的用户卡中的数据，所述卡经历由所述安全模块以及在减轻对于所述终端的装置经管的同时、得以较低成本轻松管理一组终端的安全模块进行的至少一次鉴别。

发明内容

根据本发明的第一个目的，针对提出的技术问题的方案的特征在于该数据管理方法包括步骤：

-将卡插入终端，

-取得可以利用的逻辑信道(LC)，并且在安全模块(SAM)中为所述终端(P)分配一逻辑信道(LC)，

-在分配之后，将存储单元(M)与该逻辑信道(LC)关联起来，

-对用户卡的每次鉴别，都在与该逻辑信道关联的存储单元中存储有关于该鉴别步骤的前后关系，所述存储单元位于安全模块的存储器中，

-从终端中取出卡。

根据本发明的第二目的，这个方案特征在于该安全模块包括：

-用于给该卡插入的所述终端分配一逻辑信道的部件，

-将存储单元(M)与该逻辑信道(LC)关联起来的部件，

-与该逻辑信道关联、适合存储有关于该鉴别步骤的前后关系的存储单元，所述存储单元位于安全模块的存储器中。

因此，按照下面的详细展示，根据本发明的数据管理方法以及安全模块使得几个公用电话可以借助于一个安全模块并行地进行管理。为此目的，为几个电话存储定义一组用户卡在所述卡连接会话期间的给定瞬间的状态的前后关系数据，该数据被保存在安全模块的存储器中。

附图说明

将从下列结合经由非限制性示例所给出的附图的描述中明白本发明的特征以及其怎样实现。

图1是图示用于实现根据本发明的方法的安全模块、终端和用户卡的示意图。

图2是包括几个存储单元的图1的安全模块的示意图。

图3是图示安全模块和图1的终端之间的第一通信的示意图。

图4a、4b、4c、4d和4e是图示图2的安全模块中的存储单元的示意图。

图5是图示图2的安全模块中的存储单元的示意图。

图6是图示安全模块和图1的终端之间的第二通信的示意图。

具体描述

本说明书涉及被用作示例的集成电路卡。利用集成电路表示任何便携器件、无论是否是ISO格式的任何卡、任何用户识别模块、任何电子标签及标记卡等。

应该注意到，以下使用的在终端中的“插入”术语，一般表示“合作”。本发明既涉及带有需要物理插入终端的接触接口的卡，也涉及带有与之没有物理接触就能进行通信的无接触接口的卡(使用射频)，甚至还涉及包括这两种接口的卡。

在图1中，图示了安全模块SAM、终端P和用户卡CARD。终端P是公用电话。模块SAM包括具有至少一个存储单元M的存储器。安全模块SAM中的存储器最好是非易失性EEPROM存储器。安全模块SAM最好包括几个存储单元M。如图2所示，存储器M最好连续地放在非易失性EEPROM存储器中的文件CHANNEL中，次数计数器RECMAN与存储单元M以及分配区域CN关联。分配区域CN以及次数计数器RECMAN具有各自的初始值V1和V2。安全模块SAM也至少具有一个文件ISSUER，包括主密钥MASTER以及费用单元累积计数器CBCPT。该模块最好拥有几个ISSUER文件。每个ISSUER文件对应一种类型的已发行卡。

当用户想打电话时，他/她将他的/她的卡CARD插入公用电话P。在初始化通信之前，通过电话P借助于安全模块SAM进行第一次鉴别A，然后建立该通信。

如图3所示，第一次鉴别A包括下面所述的步骤。

在第一步骤中，读取用户卡识别符ID，该识别符对每个卡来说是唯一的。

在第二步骤中，取得可以利用的逻辑信道LC，并且在安全模块SAM中为用户卡CARD所插入的公用电话分配一逻辑信道。在所述分配之前，借助于从公用电话P发送到安全模块SAM的第一命令GETCHANNELSTATUS取得逻辑信道LC。逻辑信道LC具有识别符NB。所述模块送回所使用的全部信道的列表，并且这些信道的识别符最好都是NB。可利用的信道从这里导出和选定。在分配之后，通过在选定的存储单元M的分配区域CN中写入所分配的逻辑信道LC的识别符NB，将存储单元M与逻辑信道关联起来。这样，存储单元M就不再可用了。

非易失性EEPROM存储器的使用寿命与执行的写入操作的次数有关。为了防止非易失性EEPROM存储器中的存储单元M与逻辑信道LC例如按升序关联以免总是使用同一存储单元，每个存储单元M的次数计数器RECMAN按照下面所述的方式使用。当关闭逻辑信道LC时，被关联存储单元M的次数计数器RECMAN的值相对于存储单元M的所有次数计数器的最大值增加。最旧的存储单元M是具有次数计数器RECMAN的最小值的存储单元。因此，最旧的闲置存储单元M与逻辑信道LC关联。如图4a所示，文件CHANNEL包括四个已使用的存储单元M1、M2、M3和M4。它们的次数计数器RECMAN都具有初始值V2＝0。在这个示例中，次数计数器RECMAN的值按1递增。如图4b所示，释放与第三存储单元M3的关联的信道。其次数计数器RECMAN3按1递增并且等于1。如图4c所示，释放与第二存储单元M2的关联的信道。其次数计数器RECMAN2相对于第三计数器按1递增。如图4d所示它的值等于2。释放与第四存储单元M4的关联的信道，其次数计数器RECMAN4等于3。最后将一逻辑信道分配识别符NB3，将最旧的空闲存储单元M即图4e所示的第三存储单元M3与之关联。因此，根据本发明的方法一方面得以避免总是选定同一存储单元并写入数据(如下面所述)，另一方面又不受限于对要分配的逻辑信道LC的选择识别符的存储单元M的数量。虽然只有10个存储单元M，但它可以按这种方式从例如255个信道识别符LC中选定。

当然，上述存储器管理方法可以应用到电话领域以外的任何应用中。

在第三步骤中，在安全模块SAM内基于所述卡的识别符ID并从所述模块SAM的主密钥MASTER重新计算卡CARD的机密密钥KEY。该步骤也称为密钥多样化步骤。为了选定模块SAM中主密钥MASTER，在读取用户卡识别符的步骤中选择ISSER文件，相关在卡的类型和主密钥之间借助于所述用户卡的识别符进行。

逻辑信道LC的分配和密钥的多样性借助于从公用电话P发送到安全模块SAM的第二命令DIVERSIFYKY执行。所述第二命令特别地考虑到分配给公用电话P的信道识别符NB、多样化算法ALGO2的识别符ALGOID2、所使用的主密钥MASTER的识别符以及在有关时的多样化识别符RAND。

在第四步骤中，如图5所示，与鉴别步骤A有关的前后关系数据DATA被存储在与所分配的逻辑信道LC关联的存储单元M中。该前后关系数据DATA包括签名算法ALGO1的识别符ALGOID1、用户卡CARD的识别符ID、所使用的主密钥MASTER的识别符、被多样化的密钥KEY、用户卡CARD的列线图ABACUS和状态数据STATE......列线图ABACUS具有初始值VO。它允许记录使用在用户卡CARD中的费用单元。状态数据STATE允许在安全模块SAM中管理命令序列，以便存储给定时间中关于给定逻辑信道LC的模块SAM的状态。因此，根据当前状态可以知道授权了什么命令，以及在执行这样一个命令，根据所述执行的结果的状态是什么。根据一个具体的实施例，模块SAM具有一张表，在该表中，分配给每个状态一个号码和一组字节。授权的命令用所述字节之一表示。该字节的前半部分包括在执行不提供出现任何差错的命令后占优势的状态号码。后半部分包括出现差错时占优势的状态号码。

如果另一用户在第二公用电话中使用第二卡CARD，那么该第二卡可以借助于模块SAM例如在第一用户卡的第一次鉴别之后启动。该第一卡的前后关系数据不丢失，并且可以重新进行第一卡的管理。因此，根据本发明的方法允许基于依靠安全模块SAM进行的这个前后关系数据管理，并行地进行不同的鉴别会话，其中，鉴别会话对应呼叫持续时间，并且因此而借助于安全模块SAM管理多个公用电话P，公用电话P具有已分配的逻辑信道LC和已关联的存储单元M。

最后，在最后一步中，将随机数RAND送回该卡，所述随机数存储在与所分配的逻辑信道LC关联的存储单元M，密码是通过加密机密密钥KEY在该卡中计算出来的，具体地说，借助于签名算法ALGO1、随机数RAND，并且该密码被发送到安全模块SAM(未图示)。在所述模块SAM中，密码值借助于在第三步骤中重新计算的机密密钥KEY进行检查。

因此，一旦执行了第一次鉴别A，就可以建立一通信。卡列线图ABACUS根据该次通信期间使用的费用单元数量更新。读取列线图ABACUS的值以便检查所述列线图是否真正得以更新。然后执行对应于前面所述的第一次鉴别A的最后步骤的第二鉴别A。

所述第二鉴别A考虑已经保存在存储单元M中的、前面读取的列线图ABACUS的值、所使用的签名算法ALGO1的识别符ALGOID1和卡的识别符ID。在使用同样的随机数RAND的情况下，不再使用相关于所述随机数的步骤，原因是后者存储在存储单元M中。

然后，诸如列线图ABACUS的新值VN这样的前后关系数据DATA、新的状态数据STATE以及必要时新产生的随机数RAND，被存储在与所分配的逻辑信道LC关联的存储单元M中，那个新状态数据替代以前的状态数据。在必要时，关于该新随机数RAND执行同样的操作。如果发生模块SAM断电的情况，则再次运行所述第二鉴别。

这个第二如鉴别A用于核实诈骗者没有使用非法卡拨打电话。在这方面，如果用户插入一非法卡，由所述卡计算出来并送回模块SAM的密码由于不同于在所述模块SAM中计算出来的密码，因此是错的。非法卡的识别符与以前插入公用电话P的有效卡的识别符不同，列线图值ABACUS也有类似情况。

在结束通信时，从公用电话P中退出卡CARD。所分配的逻辑信道LC不再使用。因此，关闭与该终端P关联的逻辑信道LC。为此目的，初始化用于分配与初始值V1关联的存储单元的区域CN，并且更新次数计数器RECMAN。在必要时，从与正在释放的逻辑信道LC关联的存储单元M中擦除前后关系数据DATA。

根据本发明的方法有利于以最佳的方式，在安全模块SAM中记录用于每种类型的卡的费用单元数。在这方面，如图6所示，代替对每个所使用的费用单元执行更新操作，通过从所述列线图的第一值VO中减去卡的列线图ABACUS的新值VN更新模块SAM的ISSUER文件中的费用单元累积计数器CBCPT就足够了，在每个新的第二鉴别A之后将新的值VN存储在存储单元M中。一旦执行完该减法，就用关于第二个接下来的鉴别A的第二存储值VN替代第一值VO。这种更新操作借助于考虑到对应于ISSUER文件和所使用的公用电话P的信道识别符NB的第三命令INCBILLING触发，所述命令被从公用电话P发送到模块SAM。

应该注意，当公用电话P包括所述安全模块SAM时，上述信道管理不再应用，原因是只使用了一个逻辑信道，并且前后关系DATA存储在非易失性RAM存储器。

当然，本发明不限于电话领域，可以扩展到在其中实现诸如停车计时器经管系统之类的终端经管系统的任何其他领域。

Claims

1.一种利用在适合插入至少一终端(P)的用户卡(CARD)中的安全模块的数据管理方法，所述卡经历由所述安全模块(SAM)进行的至少一次鉴别(A)，该方法包括步骤：

-将卡(CARD)插入终端(P)，

-在分配之后，将存储单元(M)与该逻辑信道(LC)关联起来，

-对用户卡(CARD)的每次鉴别(A)，都在与该逻辑信道(LC)关联的存储单元(M)中存储有关于该鉴别步骤(A)的前后关系数据(DATA)，所述存储单元(M)位于安全模块(SAM)的存储器中，

-从终端(P)中取出卡(CARD)。

2.一种根据权利要求1的方法，还包括步骤：

-在所述分配之前，借助于第一命令(GETCHANNELSTATUS)取得逻辑信道(LC)。

3.一种根据权利要求1的方法，还包括步骤：

-在退出卡后关闭与该终端(P)关联的逻辑信道(LC)。

4.一种根据权利要求1的方法，其中通过在存储单元(M)的分配区域(CN)中写入所分配的逻辑信道(LC)的识别符(NB)，将存储单元(M)与一逻辑信道(LC)关联起来。

5.一种用于管理插入至少一个终端(P)的用户卡(CARD)的安全模块(SAM)，所述卡经历由所述安全模块(SAM)进行的至少一次鉴别(A)，该安全模块包括：

-用于给该卡(CARD)插入的所述终端(P)分配一逻辑信道(LC)的部件，

-将存储单元(M)与该逻辑信道(LC)关联起来的部件，

-与该逻辑信道(LC)关联、适合存储有关于用户卡(CARD)的每个鉴别步骤(A)的前后关系数据(DATA)的存储单元(M)，其中，所述存储单元(M)位于安全模块(SAM)的存储器中。

6.根据权利要求5的模块，其中它还包括用于在所述分配之前取得逻辑信道(LC)的第一命令(GETCHANNELSTATUS)。

7.根据权利要求5的模块，其中它还包括用于关闭与该终端(P)关联的逻辑信道(LC)的部件。

8.根据权利要求5的模块，其中它还包括将存储单元(M)与一逻辑信道(LC)关联起来的部件，其中，所述部件是适合在存储单元(M)的分配区域(CN)中写入所分配的逻辑信道(LC)的识别符(NB)的部件。