CN117221872A - 一种vSIM数据的处理系统 - Google Patents

Abstract

本发明实施例涉及一种vSIM数据的处理系统，所述系统包括：密钥管理平台、vSIM数据平台和多个物联网设备；密钥管理平台分别与vSIM数据平台和各个物联网设备连接；vSIM数据平台分别与各个物联网设备连接。通过本发明系统可以在数据传输过程中提高对vSIM数据的安全保障。

Description

一种vSIM数据的处理系统

技术领域

本发明涉及数据处理技术领域，特别涉及一种vSIM数据的处理系统。

背景技术

传统的物联网设备上需要插入至少一张实体SIM(Subscriber Identity Module)卡，并通过该实体SIM卡进行联网操作。若要更换传统物联网设备上的SIM卡就需要工作人员到设备布放现场进行手工替换。这种手工替换方式费时费力，设备布放数量越大则替换效率越低。

设备开发商为了提高物联网设备的换卡效率，将虚拟SIM卡(Virtual SubscriberIdentity Module，vSIM)技术引入到了物联网设备上，即在传统物联网设备上加装一个可对实体卡通信流程进行仿真的软件/硬件仿真模块(也称vSIM模块)，并通过在该仿真模块上加载vSIM数据包的方式来模拟一张实体卡。对这种新型物联网设备进行换卡时，先由远程平台将新卡的vSIM数据包下载到设备上、再由该设备将下载数据包加载到仿真模块上就能完成一次换卡操作，这个换卡过程不再需要人工参与。

很显然，使用这种新型物联网设备可以大大提高换卡效率、解决了传统物联网设备换卡效率低下的问题，但同时也带来了一定的数据泄露风险：对这种新型物联网设备进行换卡时需要通过远程方式传送vSIM数据包，如果没有较好的数据保护机制则可能在传输过程中发生数据泄露的问题。如何在数据传输过程中提高对vSIM数据的安全保障就是本发明需要解决的技术问题。

发明内容

本发明的目的，就是针对现有技术的缺陷，提供一种vSIM数据的处理系统，该系统包括：密钥管理平台、vSIM数据平台和多个物联网设备，此处的物联网设备为带有vSIM模块的设备；其中，密钥管理平台用于按版本方式对与每个物联网设备对应的签名/验签公私钥对进行管理，并定期升级密钥版本，并通过推送方式将最新版本的验签公钥推送到物联网设备上；密钥管理平台还支持vSIM数据平台按设备标识方式查询指定物联网设备的最新版本签名私钥；密钥管理平台还支持物联网设备按设备标识+版本方式查询指定设备指定版本的验签公钥；vSIM数据平台用于在接收到用户输入的下载设备标识和下载vSIM标识之后，先基于ECDH秘钥协商算法与下载设备标识对应的物联网设备进行密钥协商使得双方同时具备一个相同的共享密钥(第一、第二共享密钥)，再通过私钥查询从密钥管理平台上得到对应的签名私钥，再通过查询vSIM数据列表得到与vSIM标识对应的vSIM数据包，再基于共享密钥和签名私钥对vSIM数据包进行加密和签名操作，最后将携带了密钥版本+vSIM加密数据+签名数据的设备下载指令推送到物联网设备上进行解密、验签和vSIM加密数据加载操作。本发明系统通过数据加密可以确保在传输过程中不会以明文方式传输vSIM数据包，通过数据签名可以保证vSIM加密数据的正确性，通过密钥管理平台可以提高签名私钥的盗取难度，通过每次下载之前都做一次密钥协商可以提高加密密钥的破解难度；通过本发明系统可以在数据传输过程中完全杜绝由明文传输带来的vSIM数据泄露问题，可以在数据传输过程中增大对加密vSIM数据的破解难度，从而达到提高vSIM数据安全保障的目的。

为实现上述目的，本发明实施例提供了一种vSIM数据的处理系统，所述系统包括：密钥管理平台、vSIM数据平台和多个物联网设备；

所述密钥管理平台分别与所述vSIM数据平台和各个所述物联网设备连接；

所述密钥管理平台用于在本地存储一个注册设备列表和一个设备密钥记录列表；所述注册设备列表包括多个第一注册设备记录，所述第一注册设备记录包括第一注册设备标识和第一注册设备基础信息，所述第一注册设备记录与所述物联网设备一一对应；所述设备密钥记录列表包括多个第一设备密钥记录，所述第一设备密钥记录包括第一设备标识、第一设备密钥版本号、第一设备公私钥对和第一时间戳，所述第一设备公私钥对包括第一设备公钥和第一设备私钥；

所述密钥管理平台还用于按预设的密钥更新频率定期根据所述注册设备列表和所述设备密钥记录列表向各个所述物联网设备推送对应的第一设备公钥更新数据；所述第一设备公钥更新数据包括所述第一设备密钥版本号和所述第一设备公钥；

所述密钥管理平台还用于在接收到所述vSIM数据平台发送的第一设备私钥查询指令时，根据所述第一设备私钥查询指令和所述设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向所述vSIM数据平台回发；所述第一设备私钥查询指令包括第一查询设备标识；所述第一查询返回数据包括所述第一设备密钥版本号和所述第一设备私钥；

所述vSIM数据平台分别与各个所述物联网设备连接；

所述vSIM数据平台用于在本地存储一个vSIM数据列表；所述vSIM数据列表包括多个第一vSIM数据记录；所述第一vSIM数据记录包括第一vSIM标识和第一vSIM数据包；

所述vSIM数据平台还用于在接收到用户输入的第一下载设备标识和第一下载vSIM标识时，将所述第一下载设备标识对应的所述物联网设备作为对应的当前设备；并与所述当前设备基于ECDH秘钥协商算法进行密钥协商处理得到对应的第一共享密钥并保存；并根据所述第一下载vSIM标识和所述vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包；并将所述第一下载设备标识作为对应的所述第一查询设备标识，并将携带了所述第一查询设备标识的所述第一设备私钥查询指令向所述密钥管理平台发送，并从所述密钥管理平台回发的所述第一查询返回数据中提取出对应的所述第一设备密钥版本号和所述第一设备私钥；并基于所述第一共享密钥、所述第一设备密钥版本号、所述第一设备私钥和所述当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向所述当前设备发送；并将所述当前设备回发的第一下载状态向当前用户转发；所述第一设备下载指令包括所述第一设备密钥版本号、第一vSIM加密数据和第一签名数据；所述第一下载状态包括下载成功和下载失败；

所述物联网设备包括用于加载vSIM数据包的vSIM模块；

所述物联网设备用于在本地存储一个验签公钥配置数据；所述验签公钥配置数据包括验签公钥版本和验签公钥；

所述物联网设备还用于在接收到所述密钥管理平台发送的所述第一设备公钥更新数据时，根据所述第一设备公钥更新数据对本地的所述验签公钥配置数据进行更新处理；

所述物联网设备还用于在由所述vSIM数据平台发起的基于ECDH秘钥协商算法的密钥协商处理过程中获得对应的第二共享密钥并保存；所述物联网设备侧的所述第二共享密钥与所述vSIM数据平台侧的第一共享密钥匹配；

所述物联网设备还用于在接收到所述vSIM数据平台发送的所述第一设备下载指令时，根据所述第一设备下载指令、所述验签公钥配置数据和所述第二共享密钥进行vSIM数据解析和加载处理生成对应的所述第一下载状态向所述vSIM数据平台回发。

优选的，所述密钥管理平台具体用于在所述按预设的密钥更新频率定期根据所述注册设备列表和所述设备密钥记录列表向各个所述物联网设备推送对应的第一设备公钥更新数据时，按所述密钥更新频率定期对所述注册设备列表的各个所述第一注册设备记录进行遍历；并在遍历时，将当前遍历的所述第一注册设备记录作为对应的当前设备记录，并将所述当前设备记录的所述第一注册设备标识作为对应的当前设备标识，并将所述当前设备记录对应的所述物联网设备作为对应的当前设备；并为所述当前设备生成一组公私钥对记为对应的所述第一设备公私钥对；并将本次公私钥对的生成时间作为对应的所述第一时间戳；并将所述设备密钥记录列表中所述第一设备标识与所述当前设备标识匹配且所述第一时间戳距离当前时间最近的所述第一设备密钥记录作为对应的前一版本密钥记录；并对所述前一版本密钥记录是否为空进行识别；若所述前一版本密钥记录为空，则基于预设的密钥版本初始化规则进行版本号初始化处理得到对应的第一初始版本号，并将所述第一初始版本号作为对应的所述第一设备密钥版本号；若所述前一版本密钥记录不为空，则基于预设的密钥版本升级规则根据所述前一版本密钥记录的所述第一设备密钥版本号进行版本号升级处理得到对应的第一升级版本号，并将所述第一升级版本号作为对应的所述第一设备密钥版本号；并在得到的所述第一设备密钥版本号之后，将所述当前设备标识作为对应的所述第一设备标识，并由得到的所述第一设备标识、所述第一设备密钥版本号、所述第一设备公私钥对和所述第一时间戳组成一个对应的所述第一设备密钥记录向所述设备密钥记录列表中添加；并在记录添加完成时，将当次添加的所述第一设备密钥记录的所述第一设备密钥版本号和所述第一设备公钥提取出来组成对应的所述第一设备公钥更新数据向所述当前设备推送。

优选的，所述密钥管理平台具体用于在所述根据所述第一设备私钥查询指令和所述设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向所述vSIM数据平台回发时，从所述第一设备私钥查询指令中提取出对应的所述第一查询设备标识；并将所述设备密钥记录列表中所述第一设备标识与所述第一查询设备标识匹配且所述第一时间戳为最近时间的所述第一设备密钥记录作为对应的当前匹配记录；并将所述当前匹配记录的所述第一设备密钥版本号和所述第一设备私钥提取出来组成对应的所述第一查询返回数据向所述vSIM数据平台回发。

优选的，所述vSIM数据平台具体用于在所述根据所述第一下载vSIM标识和所述vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包时，将所述vSIM数据列表中所述第一vSIM标识与所述第一下载vSIM标识匹配的所述第一vSIM数据记录的所述第一vSIM数据包提取出来作为对应的所述当前vSIM数据包。

优选的，所述vSIM数据平台具体用于在所述基于所述第一共享密钥、所述第一设备密钥版本号、所述第一设备私钥和所述当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向所述当前设备发送时，由所述第一共享密钥对所述当前vSIM数据包进行加密并将得到的加密数据作为对应的所述第一vSIM加密数据；

并基于预设的数字摘要算法对所述第一vSIM加密数据进行数字摘要计算得到对应的所述第一摘要数据；

并由所述第一设备私钥对所述第一摘要数据进行加密并将得到的加密数据作为对应的所述第一签名数据；

并由所述第一设备密钥版本号、所述第一vSIM加密数据和所述第一签名数据组成对应的所述第一设备下载指令向所述当前设备发送。

优选的，所述物联网设备具体用于在所述根据所述第一设备公钥更新数据对本地的所述验签公钥配置数据进行更新处理时，从所述第一设备公钥更新数据中提取出对应的所述第一设备密钥版本号和所述第一设备公钥；并在本地的所述验签公钥配置数据的所述验签公钥版本与所述第一设备密钥版本号不匹配时，由所述第一设备公钥对所述验签公钥配置数据的所述验签公钥进行更新。

优选的，所述物联网设备具体用于在所述根据所述第一设备下载指令、所述验签公钥配置数据和所述第二共享密钥进行vSIM数据解析和加载处理生成对应的所述第一下载状态向所述vSIM数据平台回发时，从所述第一设备下载指令中提取出对应的所述第一设备密钥版本号、所述第一vSIM加密数据和所述第一签名数据；

并对所述验签公钥配置数据的所述验签公钥版本是否与所述第一设备密钥版本号匹配进行识别；

若所述验签公钥版本与所述第一设备密钥版本号匹配，则将所述验签公钥配置数据的所述验签公钥作为对应的当前验签公钥；

若所述验签公钥版本与所述第一设备密钥版本号不匹配，则将本地预置的设备标识号作为对应的第二查询设备标识，并将所述第一设备密钥版本号作为对应的第一查询版本号，并将携带了所述第二查询设备标识和所述第一查询版本号的第一设备公钥查询指令向所述密钥管理平台发送，并从所述密钥管理平台回发的第二查询返回数据中提取出对应的所述第一设备公钥，并基于所述第一设备密钥版本号和所述第一设备公钥对所述验签公钥配置数据中对应的所述验签公钥版本和所述验签公钥进行更新，并将所述第一设备公钥作为对应的所述当前验签公钥；

并基于得到的所述当前验签公钥对所述第一签名数据进行解密得到对应的第一解密摘要；并基于预设的数字摘要算法对所述第一vSIM加密数据进行数字摘要计算得到对应的第二摘要数据；所述物联网设备侧的数字摘要算法与所述vSIM数据平台侧的数字摘要算法匹配；

并对所述第一解密摘要与所述第二摘要数据是否匹配进行识别；

若所述第一解密摘要与所述第二摘要数据不匹配，则设置对应的所述第一下载状态为下载失败，并将得到的所述第一下载状态向所述vSIM数据平台回发；

若所述第一解密摘要与所述第二摘要数据匹配，则基于所述第二共享密钥对所述第一vSIM加密数据进行解密并将得到的解密数据作为对应的第二vSIM数据包，并基于所述第二vSIM数据包对设备内的所述vSIM模块进行数据加载处理得到对应的第一更新结果，并在所述第一更新结果为更新成功时设置对应的所述第一下载状态为下载成功，并在所述第一更新结果为更新失败时设置对应的所述第一下载状态为下载失败，并将得到的所述第一下载状态向所述vSIM数据平台回发。

优选的，所述密钥管理平台还用于在接收到各个所述物联网设备发送的所述第一设备公钥查询指令时，从所述第一设备公钥查询指令中提取出对应的所述第二查询设备标识和所述第一查询版本号；并将所述设备密钥记录列表中所述第一设备标识与所述第二查询设备标识匹配且所述第一设备密钥版本号与所述第一查询版本号匹配的所述第一设备密钥记录作为对应的当前匹配记录；并将所述当前匹配记录的所述第一设备公钥提取出来组成对应的所述第二查询返回数据向当前所述物联网设备回发。

本发明实施例提供了一种vSIM数据的处理系统，该系统包括：密钥管理平台、vSIM数据平台和多个物联网设备，此处的物联网设备为带有vSIM模块的设备；其中，密钥管理平台用于按版本方式对与每个物联网设备对应的签名/验签公私钥对进行管理，并定期升级密钥版本，并通过推送方式将最新版本的验签公钥推送到物联网设备上；密钥管理平台还支持vSIM数据平台按设备标识方式查询指定物联网设备的最新版本签名私钥；密钥管理平台还支持物联网设备按设备标识+版本方式查询指定设备指定版本的验签公钥；vSIM数据平台用于在接收到用户输入的下载设备标识和下载vSIM标识之后，先基于ECDH秘钥协商算法与下载设备标识对应的物联网设备进行密钥协商使得双方同时具备一个相同的共享密钥(第一、第二共享密钥)，再通过私钥查询从密钥管理平台上得到对应的签名私钥，再通过查询vSIM数据列表得到与vSIM标识对应的vSIM数据包，再基于共享密钥和签名私钥对vSIM数据包进行加密和签名操作，最后将携带了密钥版本+vSIM加密数据+签名数据的设备下载指令推送到物联网设备上进行解密、验签和vSIM加密数据加载操作。本发明系统通过数据加密可以确保在传输过程中不会以明文方式传输vSIM数据包，通过数据签名可以保证vSIM加密数据的正确性，通过密钥管理平台可以提高签名私钥的盗取难度，通过每次下载之前都做一次密钥协商可以提高加密密钥的破解难度；通过本发明系统可以在数据传输过程中完全杜绝由明文传输带来的vSIM数据泄露问题，可以在数据传输过程中增大对加密vSIM数据的破解难度，提高了对vSIM数据的安全保障。

附图说明

图1为本发明实施例提供的一种vSIM数据的处理系统的模块示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明实施例提供的一种vSIM数据的处理系统如图1为本发明实施例提供的一种vSIM数据的处理系统的模块示意图所示，该处理系统包括：密钥管理平台1、vSIM数据平台2和多个物联网设备3。

(一)密钥管理平台1：

密钥管理平台1分别与vSIM数据平台2和各个物联网设备3连接。

密钥管理平台1用于在本地存储一个注册设备列表和一个设备密钥记录列表；

其中，注册设备列表包括多个第一注册设备记录，第一注册设备记录包括第一注册设备标识和第一注册设备基础信息，第一注册设备记录与物联网设备3一一对应；设备密钥记录列表包括多个第一设备密钥记录，第一设备密钥记录包括第一设备标识、第一设备密钥版本号、第一设备公私钥对和第一时间戳，第一设备公私钥对包括第一设备公钥和第一设备私钥。

这里，在注册设备列表中每个物联网设备3只有一个第一注册设备记录与之对应，在设备密钥记录列表中每个物联网设备3则可能有多个第一设备密钥记录与之对应、每个对应的第一设备密钥记录的版本号和公私钥对都是不同的。

密钥管理平台1还用于按预设的密钥更新频率定期根据注册设备列表和设备密钥记录列表向各个物联网设备3推送对应的第一设备公钥更新数据；其中，第一设备公钥更新数据包括第一设备密钥版本号和第一设备公钥。

这里，本发明实施例的密钥管理平台1会定期升级设备密钥记录列表中各设备的签名/验签公私钥对的密钥版本，并通过推送方式将最新版本的验签公钥推送到物联网设备3上。

在本发明实施例的一种具体实现方式中，密钥管理平台1具体用于在按预设的密钥更新频率定期根据注册设备列表和设备密钥记录列表向各个物联网设备3推送对应的第一设备公钥更新数据时，按密钥更新频率定期对注册设备列表的各个第一注册设备记录进行遍历；并在遍历时，将当前遍历的第一注册设备记录作为对应的当前设备记录，并将当前设备记录的第一注册设备标识作为对应的当前设备标识，并将当前设备记录对应的物联网设备3作为对应的当前设备；并为当前设备生成一组公私钥对记为对应的第一设备公私钥对；并将本次公私钥对的生成时间作为对应的第一时间戳；并将设备密钥记录列表中第一设备标识与当前设备标识匹配且第一时间戳距离当前时间最近的第一设备密钥记录作为对应的前一版本密钥记录；并对前一版本密钥记录是否为空进行识别；若前一版本密钥记录为空，则基于预设的密钥版本初始化规则进行版本号初始化处理得到对应的第一初始版本号，并将第一初始版本号作为对应的第一设备密钥版本号；若前一版本密钥记录不为空，则基于预设的密钥版本升级规则根据前一版本密钥记录的第一设备密钥版本号进行版本号升级处理得到对应的第一升级版本号，并将第一升级版本号作为对应的第一设备密钥版本号；并在得到的第一设备密钥版本号之后，将当前设备标识作为对应的第一设备标识，并由得到的第一设备标识、第一设备密钥版本号、第一设备公私钥对和第一时间戳组成一个对应的第一设备密钥记录向设备密钥记录列表中添加；并在记录添加完成时，将当次添加的第一设备密钥记录的第一设备密钥版本号和第一设备公钥提取出来组成对应的第一设备公钥更新数据向当前设备推送。

这里，密钥更新频率为一个预先设置的时间频率，可通过应用需求进行配置。密钥版本初始化规则为一个预先设置的用于对密钥版本进行初始化设置的初始版本命名规则，密钥版本升级规则为一个预先设置的用于以一个输入版本为参考进行版本升级的升级版本命名规则，这两个规则都可通过应用需求进行配置。例如，预先设置密钥版本初始化规则为将密钥版本设为0，预先设置密钥版本初始化规则为对当次输入的密钥版本加1；那么，在当前实现方式中：若前一版本密钥记录为空，则基于密钥版本初始化规则进行版本号初始化处理得到的第一初始版本号＝0；若前一版本密钥记录不为空，且前一版本密钥记录的第一设备密钥版本号为0，则基于密钥版本升级规则根据前一版本密钥记录的第一设备密钥版本号进行版本号升级处理得到的第一升级版本号＝1。

密钥管理平台1还用于在接收到vSIM数据平台2发送的第一设备私钥查询指令时，根据第一设备私钥查询指令和设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向vSIM数据平台2回发；其中，第一设备私钥查询指令包括第一查询设备标识；第一查询返回数据包括第一设备密钥版本号和第一设备私钥。

这里，本发明实施例的密钥管理平台1支持vSIM数据平台2按设备标识方式查询指定物联网设备的最新版本签名私钥。

在本发明实施例的另一种具体实现方式中，密钥管理平台1具体用于在根据第一设备私钥查询指令和设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向vSIM数据平台2回发时，从第一设备私钥查询指令中提取出对应的第一查询设备标识；并将设备密钥记录列表中第一设备标识与第一查询设备标识匹配且第一时间戳为最近时间的第一设备密钥记录作为对应的当前匹配记录；并将当前匹配记录的第一设备密钥版本号和第一设备私钥提取出来组成对应的第一查询返回数据向vSIM数据平台2回发。

密钥管理平台1还用于在接收到各个物联网设备3发送的第一设备公钥查询指令时，从第一设备公钥查询指令中提取出对应的第二查询设备标识和第一查询版本号；并将设备密钥记录列表中第一设备标识与第二查询设备标识匹配且第一设备密钥版本号与第一查询版本号匹配的第一设备密钥记录作为对应的当前匹配记录；并将当前匹配记录的第一设备公钥提取出来组成对应的第二查询返回数据向当前物联网设备3回发。

这里，本发明实施例的密钥管理平台1支持物联网设备3按设备标识+版本方式查询指定设备指定版本的验签公钥。

(二)vSIM数据平台2：

vSIM数据平台2分别与各个物联网设备3连接。

vSIM数据平台2用于在本地存储一个vSIM数据列表；其中，vSIM数据列表包括多个第一vSIM数据记录；第一vSIM数据记录包括第一vSIM标识和第一vSIM数据包。

这里，vSIM数据列表中的每个第一vSIM数据记录对应一个虚拟SIM卡，第一vSIM标识为对应虚拟SIM卡的卡片标识，第一vSIM数据包为对应虚拟SIM卡的电信运营商数据包。

vSIM数据平台2还用于在接收到用户输入的第一下载设备标识和第一下载vSIM标识时，将第一下载设备标识对应的物联网设备3作为对应的当前设备；并与当前设备基于ECDH秘钥协商算法进行密钥协商处理得到对应的第一共享密钥并保存；并根据第一下载vSIM标识和vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包；并将第一下载设备标识作为对应的第一查询设备标识，并将携带了第一查询设备标识的第一设备私钥查询指令向密钥管理平台1发送，并从密钥管理平台1回发的第一查询返回数据中提取出对应的第一设备密钥版本号和第一设备私钥；并基于第一共享密钥、第一设备密钥版本号、第一设备私钥和当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向当前设备发送；并将当前设备回发的第一下载状态向当前用户转发；其中，第一设备下载指令包括第一设备密钥版本号、第一vSIM加密数据和第一签名数据；第一下载状态包括下载成功和下载失败。

这里，基于ECDH秘钥协商算法进行密钥协商的实现方案是一个公开的技术方案，可通过查询公开技术文献获知，在此不不做重复性赘述；需要说明的就是本发明实施例的vSIM数据平台2在每次对一个物联网设备3进行vSIM数据下载之前都要与该物联网设备3做一次密钥协商并由此在vSIM数据平台2侧和物联网设备3侧同时产生一个相同的共享密钥即vSIM数据平台2侧的第一共享密钥和物联网设备3侧的第二共享密钥；这种处理方式可以在每次下载时都能产生不同的共享密钥、并由此达到一次一密的加密效果。

在本发明实施例的另一种具体实现方式中，vSIM数据平台2具体用于在根据第一下载vSIM标识和vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包时，将vSIM数据列表中第一vSIM标识与第一下载vSIM标识匹配的第一vSIM数据记录的第一vSIM数据包提取出来作为对应的当前vSIM数据包。

在本发明实施例的另一种具体实现方式中，vSIM数据平台2具体用于在基于第一共享密钥、第一设备密钥版本号、第一设备私钥和当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向当前设备发送时：

步骤A1，由第一共享密钥对当前vSIM数据包进行加密并将得到的加密数据作为对应的第一vSIM加密数据；

这里，本发明实施例的vSIM数据平台2在使用第一共享密钥对当前vSIM数据包进行加密时使用的加解密算法体系采用一个预先设置的对称密钥加解密算法体系，该对称密钥加解密算法体系包括DES算法、3DES算法、AES算法、国密SM1算法、国密SM4算法和国密SM7算法；

需要说明的是，因为不同的对称密钥加解密算法体系所需密钥的长度存在差异，本发明实施例的vSIM数据平台2还会在由第一共享密钥对当前vSIM数据包进行加密之前，将第一共享密钥的密钥长度记为第一长度、将当前加解密算法体系的密钥长度记为第二长度，并对第一、第二长度进行比对；若第一长度小于第二长度则基于一个预先指定的补码方式对第一共享密钥进行补码直到第一共享密钥的密钥长度与第二长度匹配为止；若第一长度大于第二长度则基于一个预先指定的截码方式对第一共享密钥进行截码直到第一共享密钥的密钥长度与第二长度匹配为止；

步骤A2，并基于预设的数字摘要算法对第一vSIM加密数据进行数字摘要计算得到对应的第一摘要数据；

这里，数字摘要算法为一个预设的用于计算哈希码或数字摘要信息的算法，数字摘要算法包括SHA系列算法、MD系列算法、国密SM3算法等；

步骤A3，并由第一设备私钥对第一摘要数据进行加密并将得到的加密数据作为对应的第一签名数据；

步骤A4，并由第一设备密钥版本号、第一vSIM加密数据和第一签名数据组成对应的第一设备下载指令向当前设备发送。

(三)物联网设备3：

物联网设备3包括用于加载vSIM数据包的vSIM模块31。

这里，本发明实施例的物联网设备3为支持vSIM技术并带有vSIM模块31的新型物联网设备。

物联网设备3用于在本地存储一个验签公钥配置数据；其中，验签公钥配置数据包括验签公钥版本和验签公钥。

物联网设备3还用于在接收到密钥管理平台1发送的第一设备公钥更新数据时，根据第一设备公钥更新数据对本地的验签公钥配置数据进行更新处理。

在本发明实施例的另一种具体实现方式中，物联网设备3具体用于在根据第一设备公钥更新数据对本地的验签公钥配置数据进行更新处理时，从第一设备公钥更新数据中提取出对应的第一设备密钥版本号和第一设备公钥；并在本地的验签公钥配置数据的验签公钥版本与第一设备密钥版本号不匹配时，由第一设备公钥对验签公钥配置数据的验签公钥进行更新。

物联网设备3还用于在由vSIM数据平台2发起的基于ECDH秘钥协商算法的密钥协商处理过程中获得对应的第二共享密钥并保存；其中，物联网设备3侧的第二共享密钥与vSIM数据平台2侧的第一共享密钥匹配。

物联网设备3还用于在接收到vSIM数据平台2发送的第一设备下载指令时，根据第一设备下载指令、验签公钥配置数据和第二共享密钥进行vSIM数据解析和加载处理生成对应的第一下载状态向vSIM数据平台2回发。

在本发明实施例的另一种具体实现方式中，物联网设备3具体用于在根据第一设备下载指令、验签公钥配置数据和第二共享密钥进行vSIM数据解析和加载处理生成对应的第一下载状态向vSIM数据平台2回发时：

步骤B1，从第一设备下载指令中提取出对应的第一设备密钥版本号、第一vSIM加密数据和第一签名数据；

步骤B2，并对验签公钥配置数据的验签公钥版本是否与第一设备密钥版本号匹配进行识别；

步骤B3，若验签公钥版本与第一设备密钥版本号匹配，则将验签公钥配置数据的验签公钥作为对应的当前验签公钥；

步骤B4，若验签公钥版本与第一设备密钥版本号不匹配，则将本地预置的当前设备标识号作为对应的第二查询设备标识，并将第一设备密钥版本号作为对应的第一查询版本号，并将携带了第二查询设备标识和第一查询版本号的第一设备公钥查询指令向密钥管理平台1发送，并从密钥管理平台1回发的第二查询返回数据中提取出对应的第一设备公钥，并基于第一设备密钥版本号和第一设备公钥对验签公钥配置数据中对应的验签公钥版本和验签公钥进行更新，并将第一设备公钥作为对应的当前验签公钥；

这里，验签公钥版本与第一设备密钥版本号不匹配说明物联网设备3侧存储的验签公钥版本已经过期需要从密钥管理平台1处获得最新版本的验签公钥，所以本发明实施例的物联网设备3在验签公钥版本与第一设备密钥版本号不匹配时通过向密钥管理平台1发送第一设备公钥查询指令的方式获得最新的验签公钥即第二查询返回数据中的第一设备公钥，并对本地的验签公钥配置数据的两个数据项进行更新；

步骤B5，并基于得到的当前验签公钥对第一签名数据进行解密得到对应的第一解密摘要；

步骤B6，并基于预设的数字摘要算法对第一vSIM加密数据进行数字摘要计算得到对应的第二摘要数据；

这里，物联网设备3侧的数字摘要算法与vSIM数据平台2侧的数字摘要算法匹配；

步骤B7，并对第一解密摘要与第二摘要数据是否匹配进行识别；

步骤B8，若第一解密摘要与第二摘要数据不匹配，则设置对应的第一下载状态为下载失败，并将得到的第一下载状态向vSIM数据平台2回发；

步骤B9，若第一解密摘要与第二摘要数据匹配，则基于第二共享密钥对第一vSIM加密数据进行解密并将得到的解密数据作为对应的第二vSIM数据包，并基于第二vSIM数据包对设备内的vSIM模块31进行数据加载处理得到对应的第一更新结果，并在第一更新结果为更新成功时设置对应的第一下载状态为下载成功，并在第一更新结果为更新失败时设置对应的第一下载状态为下载失败，并将得到的第一下载状态向vSIM数据平台2回发。

这里，本发明实施例的物联网设备3在使用与第一共享密钥相同的第二共享密钥对第一vSIM加密数据进行解密时使用的加解密算法体系与前文中基于第一共享密钥进行加密的加解密算法体系一致；

需要说明的是，与前文中对第一共享密钥进行长度补码或截码的处理方式类似，本发明实施例的物联网设备3还会在基于第二共享密钥对第一vSIM加密数据进行解密之前，将第二共享密钥的密钥长度记为第三长度、将当前加解密算法体系的密钥长度记为第四长度，并对第三、第四长度进行比对；若第三长度小于第四长度则基于一个预先指定的补码方式对第二共享密钥进行补码直到第二共享密钥的密钥长度与第四长度匹配为止；若第三长度大于第四长度则基于一个预先指定的截码方式对第二共享密钥进行截码直到第二共享密钥的密钥长度与第四长度匹配为止。

本发明实施例提供了一种vSIM数据的处理系统，该系统包括：密钥管理平台、vSIM数据平台和多个物联网设备，此处的物联网设备为带有vSIM模块的设备；其中，密钥管理平台用于按版本方式对与每个物联网设备对应的签名/验签公私钥对进行管理，并定期升级密钥版本，并通过推送方式将最新版本的验签公钥推送到物联网设备上；密钥管理平台还支持vSIM数据平台按设备标识方式查询指定物联网设备的最新版本签名私钥；密钥管理平台还支持物联网设备按设备标识+版本方式查询指定设备指定版本的验签公钥；vSIM数据平台用于在接收到用户输入的下载设备标识和下载vSIM标识之后，先基于ECDH秘钥协商算法与下载设备标识对应的物联网设备进行密钥协商使得双方同时具备一个相同的共享密钥(第一、第二共享密钥)，再通过私钥查询从密钥管理平台上得到对应的签名私钥，再通过查询vSIM数据列表得到与vSIM标识对应的vSIM数据包，再基于共享密钥和签名私钥对vSIM数据包进行加密和签名操作，最后将携带了密钥版本+vSIM加密数据+签名数据的设备下载指令推送到物联网设备上进行解密、验签和vSIM加密数据加载操作。本发明系统通过数据加密可以确保在传输过程中不会以明文方式传输vSIM数据包，通过数据签名可以保证vSIM加密数据的正确性，通过密钥管理平台可以提高签名私钥的盗取难度，通过每次下载之前都做一次密钥协商可以提高加密密钥的破解难度；通过本发明系统可以在数据传输过程中完全杜绝由明文传输带来的vSIM数据泄露问题，可以在数据传输过程中增大对加密vSIM数据的破解难度，提高了对vSIM数据的安全保障。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种vSIM数据的处理系统，其特征在于，所述系统包括：密钥管理平台、vSIM数据平台和多个物联网设备；

所述密钥管理平台分别与所述vSIM数据平台和各个所述物联网设备连接；

所述密钥管理平台用于在本地存储一个注册设备列表和一个设备密钥记录列表；所述注册设备列表包括多个第一注册设备记录，所述第一注册设备记录包括第一注册设备标识和第一注册设备基础信息，所述第一注册设备记录与所述物联网设备一一对应；所述设备密钥记录列表包括多个第一设备密钥记录，所述第一设备密钥记录包括第一设备标识、第一设备密钥版本号、第一设备公私钥对和第一时间戳，所述第一设备公私钥对包括第一设备公钥和第一设备私钥；

所述密钥管理平台还用于按预设的密钥更新频率定期根据所述注册设备列表和所述设备密钥记录列表向各个所述物联网设备推送对应的第一设备公钥更新数据；所述第一设备公钥更新数据包括所述第一设备密钥版本号和所述第一设备公钥；

所述密钥管理平台还用于在接收到所述vSIM数据平台发送的第一设备私钥查询指令时，根据所述第一设备私钥查询指令和所述设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向所述vSIM数据平台回发；所述第一设备私钥查询指令包括第一查询设备标识；所述第一查询返回数据包括所述第一设备密钥版本号和所述第一设备私钥；

所述vSIM数据平台分别与各个所述物联网设备连接；

所述vSIM数据平台用于在本地存储一个vSIM数据列表；所述vSIM数据列表包括多个第一vSIM数据记录；所述第一vSIM数据记录包括第一vSIM标识和第一vSIM数据包；

所述vSIM数据平台还用于在接收到用户输入的第一下载设备标识和第一下载vSIM标识时，将所述第一下载设备标识对应的所述物联网设备作为对应的当前设备；并与所述当前设备基于ECDH秘钥协商算法进行密钥协商处理得到对应的第一共享密钥并保存；并根据所述第一下载vSIM标识和所述vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包；并将所述第一下载设备标识作为对应的所述第一查询设备标识，并将携带了所述第一查询设备标识的所述第一设备私钥查询指令向所述密钥管理平台发送，并从所述密钥管理平台回发的所述第一查询返回数据中提取出对应的所述第一设备密钥版本号和所述第一设备私钥；并基于所述第一共享密钥、所述第一设备密钥版本号、所述第一设备私钥和所述当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向所述当前设备发送；并将所述当前设备回发的第一下载状态向当前用户转发；所述第一设备下载指令包括所述第一设备密钥版本号、第一vSIM加密数据和第一签名数据；所述第一下载状态包括下载成功和下载失败；

所述物联网设备包括用于加载vSIM数据包的vSIM模块；

所述物联网设备用于在本地存储一个验签公钥配置数据；所述验签公钥配置数据包括验签公钥版本和验签公钥；

所述物联网设备还用于在接收到所述密钥管理平台发送的所述第一设备公钥更新数据时，根据所述第一设备公钥更新数据对本地的所述验签公钥配置数据进行更新处理；

所述物联网设备还用于在由所述vSIM数据平台发起的基于ECDH秘钥协商算法的密钥协商处理过程中获得对应的第二共享密钥并保存；所述物联网设备侧的所述第二共享密钥与所述vSIM数据平台侧的第一共享密钥匹配；

所述物联网设备还用于在接收到所述vSIM数据平台发送的所述第一设备下载指令时，根据所述第一设备下载指令、所述验签公钥配置数据和所述第二共享密钥进行vSIM数据解析和加载处理生成对应的所述第一下载状态向所述vSIM数据平台回发。

2.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述密钥管理平台具体用于在所述按预设的密钥更新频率定期根据所述注册设备列表和所述设备密钥记录列表向各个所述物联网设备推送对应的第一设备公钥更新数据时，按所述密钥更新频率定期对所述注册设备列表的各个所述第一注册设备记录进行遍历；并在遍历时，将当前遍历的所述第一注册设备记录作为对应的当前设备记录，并将所述当前设备记录的所述第一注册设备标识作为对应的当前设备标识，并将所述当前设备记录对应的所述物联网设备作为对应的当前设备；并为所述当前设备生成一组公私钥对记为对应的所述第一设备公私钥对；并将本次公私钥对的生成时间作为对应的所述第一时间戳；并将所述设备密钥记录列表中所述第一设备标识与所述当前设备标识匹配且所述第一时间戳距离当前时间最近的所述第一设备密钥记录作为对应的前一版本密钥记录；并对所述前一版本密钥记录是否为空进行识别；若所述前一版本密钥记录为空，则基于预设的密钥版本初始化规则进行版本号初始化处理得到对应的第一初始版本号，并将所述第一初始版本号作为对应的所述第一设备密钥版本号；若所述前一版本密钥记录不为空，则基于预设的密钥版本升级规则根据所述前一版本密钥记录的所述第一设备密钥版本号进行版本号升级处理得到对应的第一升级版本号，并将所述第一升级版本号作为对应的所述第一设备密钥版本号；并在得到的所述第一设备密钥版本号之后，将所述当前设备标识作为对应的所述第一设备标识，并由得到的所述第一设备标识、所述第一设备密钥版本号、所述第一设备公私钥对和所述第一时间戳组成一个对应的所述第一设备密钥记录向所述设备密钥记录列表中添加；并在记录添加完成时，将当次添加的所述第一设备密钥记录的所述第一设备密钥版本号和所述第一设备公钥提取出来组成对应的所述第一设备公钥更新数据向所述当前设备推送。

3.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述密钥管理平台具体用于在所述根据所述第一设备私钥查询指令和所述设备密钥记录列表进行私钥查询处理生成对应的第一查询返回数据向所述vSIM数据平台回发时，从所述第一设备私钥查询指令中提取出对应的所述第一查询设备标识；并将所述设备密钥记录列表中所述第一设备标识与所述第一查询设备标识匹配且所述第一时间戳为最近时间的所述第一设备密钥记录作为对应的当前匹配记录；并将所述当前匹配记录的所述第一设备密钥版本号和所述第一设备私钥提取出来组成对应的所述第一查询返回数据向所述vSIM数据平台回发。

4.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述vSIM数据平台具体用于在所述根据所述第一下载vSIM标识和所述vSIM数据列表进行vSIM数据包查询得到对应的当前vSIM数据包时，将所述vSIM数据列表中所述第一vSIM标识与所述第一下载vSIM标识匹配的所述第一vSIM数据记录的所述第一vSIM数据包提取出来作为对应的所述当前vSIM数据包。

5.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述vSIM数据平台具体用于在所述基于所述第一共享密钥、所述第一设备密钥版本号、所述第一设备私钥和所述当前vSIM数据包进行下载指令封装处理得到对应的第一设备下载指令向所述当前设备发送时，由所述第一共享密钥对所述当前vSIM数据包进行加密并将得到的加密数据作为对应的所述第一vSIM加密数据；

并基于预设的数字摘要算法对所述第一vSIM加密数据进行数字摘要计算得到对应的所述第一摘要数据；

并由所述第一设备私钥对所述第一摘要数据进行加密并将得到的加密数据作为对应的所述第一签名数据；

并由所述第一设备密钥版本号、所述第一vSIM加密数据和所述第一签名数据组成对应的所述第一设备下载指令向所述当前设备发送。

6.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述物联网设备具体用于在所述根据所述第一设备公钥更新数据对本地的所述验签公钥配置数据进行更新处理时，从所述第一设备公钥更新数据中提取出对应的所述第一设备密钥版本号和所述第一设备公钥；并在本地的所述验签公钥配置数据的所述验签公钥版本与所述第一设备密钥版本号不匹配时，由所述第一设备公钥对所述验签公钥配置数据的所述验签公钥进行更新。

7.根据权利要求1所述的vSIM数据的处理系统，其特征在于，

所述物联网设备具体用于在所述根据所述第一设备下载指令、所述验签公钥配置数据和所述第二共享密钥进行vSIM数据解析和加载处理生成对应的所述第一下载状态向所述vSIM数据平台回发时，从所述第一设备下载指令中提取出对应的所述第一设备密钥版本号、所述第一vSIM加密数据和所述第一签名数据；

并对所述验签公钥配置数据的所述验签公钥版本是否与所述第一设备密钥版本号匹配进行识别；

若所述验签公钥版本与所述第一设备密钥版本号匹配，则将所述验签公钥配置数据的所述验签公钥作为对应的当前验签公钥；

若所述验签公钥版本与所述第一设备密钥版本号不匹配，则将本地预置的设备标识号作为对应的第二查询设备标识，并将所述第一设备密钥版本号作为对应的第一查询版本号，并将携带了所述第二查询设备标识和所述第一查询版本号的第一设备公钥查询指令向所述密钥管理平台发送，并从所述密钥管理平台回发的第二查询返回数据中提取出对应的所述第一设备公钥，并基于所述第一设备密钥版本号和所述第一设备公钥对所述验签公钥配置数据中对应的所述验签公钥版本和所述验签公钥进行更新，并将所述第一设备公钥作为对应的所述当前验签公钥；

并基于得到的所述当前验签公钥对所述第一签名数据进行解密得到对应的第一解密摘要；并基于预设的数字摘要算法对所述第一vSIM加密数据进行数字摘要计算得到对应的第二摘要数据；所述物联网设备侧的数字摘要算法与所述vSIM数据平台侧的数字摘要算法匹配；

并对所述第一解密摘要与所述第二摘要数据是否匹配进行识别；

若所述第一解密摘要与所述第二摘要数据不匹配，则设置对应的所述第一下载状态为下载失败，并将得到的所述第一下载状态向所述vSIM数据平台回发；

若所述第一解密摘要与所述第二摘要数据匹配，则基于所述第二共享密钥对所述第一vSIM加密数据进行解密并将得到的解密数据作为对应的第二vSIM数据包，并基于所述第二vSIM数据包对设备内的所述vSIM模块进行数据加载处理得到对应的第一更新结果，并在所述第一更新结果为更新成功时设置对应的所述第一下载状态为下载成功，并在所述第一更新结果为更新失败时设置对应的所述第一下载状态为下载失败，并将得到的所述第一下载状态向所述vSIM数据平台回发。

8.根据权利要求7所述的vSIM数据的处理系统，其特征在于，

所述密钥管理平台还用于在接收到各个所述物联网设备发送的所述第一设备公钥查询指令时，从所述第一设备公钥查询指令中提取出对应的所述第二查询设备标识和所述第一查询版本号；并将所述设备密钥记录列表中所述第一设备标识与所述第二查询设备标识匹配且所述第一设备密钥版本号与所述第一查询版本号匹配的所述第一设备密钥记录作为对应的当前匹配记录；并将所述当前匹配记录的所述第一设备公钥提取出来组成对应的所述第二查询返回数据向当前所述物联网设备回发。