CN118159966A - 关于安全元件的授权应用程序 - Google Patents

Abstract

根据本发明的用于授权安装在安全元件(3)上的应用程序(12)的方法包括以下步骤：借助于用户验证元件(100)的传感器(6)捕获(41)用户特征并生成表征用户特征的传感器数据；借助于用户验证元件(100)从传感器数据导出(42)用户验证状态；以及将用户验证状态从用户验证元件(100)发送(43)到安全元件(3)，以便通过安全元件(3)授权应用程序(12)。

Description

关于安全元件的授权应用程序

技术领域

本发明涉及一种用于授权安装在安全元件上的应用程序的方法，并且涉及一种包括安全元件和用户验证元件的对应设备。

背景技术

可以用于数字交易(诸如数字支付等)的移动设备是已知的。这样的设备可以被设计为例如手表或钥匙链，但也可以被设计为电信终端，诸如蜂窝电话等。通常有利的是，为这些设备配备用户验证手段，例如通过生物特征检查的手段，以便保护交易。

然而，交易所需并且频繁安装在相关安全元件上并由相关安全元件运行的应用程序不能由设备的制造商修改，例如因为认证或其他安全要求不允许这一点。

在其他情况下，应用程序由第三方提供商作为二进制代码提供，并且源代码对于所述设备的制造商根本不可用。例如，为了保护交易，第三方提供商因此必须承担相应修改的任务。为了相应地修改所有相关应用程序，可能需要单独考虑不同类型的生物特征检查和/或可能需要涉及不同的第三方提供商。这经常导致应用程序的额外认证或重新认证，从而导致大量的成本和时间。

发明内容

在这方面，本发明的目的是提出一种克服现有技术的上述和其他缺点的解决方案。

该目的通过根据独立权利要求的方法和设备来实现。在从属权利要求中详细说明了本发明的其他配置和优选实施例。

本发明涉及授权安装在安全元件上的应用程序，并且包括多个步骤：根据第一步骤，借助于用户验证元件的传感器捕获用户的用户特征，并且从中确定表征用户特征的传感器数据。在第二步骤中，用户验证元件从传感器数据导出用户的用户验证状态。在第三步骤中，为了通过安全元件授权应用程序的目的将导出的用户验证状态从用户验证元件发送到安全元件，并且基于用户验证状态授权应用程序。

以这种方式表征的本发明使得可以提供一种安全元件，该安全元件具有安装在其上的具有用户验证状态的应用程序，并在那里使用该安全元件来授权该应用程序。安全元件或其操作系统和应用程序本身都不必须执行用户验证本身或专门适用于此目的。根据本发明，可以为已经存在的应用程序提供访问和/或交易保护，而无需改变它们的源代码或二进制代码、执行新的安装或重新认证、或以其他方式必须修改应用程序。根据本发明，用户验证是模块化的，并且因此与实际授权分离。

根据本发明，用户验证的所有方面相应地捆绑在用户验证元件上，该用户验证元件与安全元件分离并且向安全元件或相关应用程序提供用于其授权的所需用户验证状态。因此，在安全元件上运行的任何安全相关的或用户特定的或应用程序特定的应用程序不需要适于特定的用户验证。

根据本发明的设备被适当地配备和配置为检查根据本发明的安装在安全元件上的应用程序的授权。为此目的，根据本发明的设备包括用户验证元件和其上安装有应用程序的安全元件。用户验证元件被配置为借助于传感器捕获用户特征并从其导出表征用户特征的用户验证状态。此外，用户验证元件被配置为将用户验证状态发送到安全元件。安全元件又被配置为接受用户验证状态并使用它来授权应用程序。

优选地，根据本发明的方法包括提供具有安全元件和用户验证元件的所述设备的步骤。这里，安全元件和用户验证元件在结构上是分离的，并且保持数据通信连接。

除了传感器之外，用户验证元件优选地包括分配给传感器的至少一个传感器控制器和验证控制器。优选地，安全元件又包括中间应用程序。尽管传感器控制器从传感器数据导出用户验证状态，但是验证控制器将用户验证状态发送到安全元件或其中间应用程序。在这种情况下，根据用户验证状态，中间应用程序可以允许或拒绝某些步骤，例如授权相关应用程序或拒绝授权并防止交易被执行。

传感器控制器可以确定是否由传感器数据产生肯定的用户验证状态，并且可以将用户验证状态转发到验证控制器。特别地，传感器控制器可以独立于根据本发明的设备的其他部件来确定是否可以通过传感器数据验证用户。

优选地，根据本发明的方法的步骤，当传感器控制器确定肯定的用户验证状态时，选择安全元件上的至少一个应用程序和/或利用至少一个应用程序执行交易。例如，如果存在肯定的用户验证状态，则允许使用该安全元件的交易。

使用传感器及其传感器控制器的用户验证避免了在安全性方面调整交易所需的应用程序的需要。而是可以在中间应用程序和验证控制器中进行这些调整。由于借助于传感器数据的用户验证在逻辑上并且优选地在结构上与安全元件的应用程序分离，并且用户验证状态被安全地传递给应用程序，因此避免了应用程序的修改以及因此相应认证的破坏。

传感器优选地是生物识别传感器，其生成表征生物识别用户特征的传感器数据。特别优选地，生物识别传感器是指纹传感器，并且传感器控制器是指纹控制器。这允许容易地确定用户验证状态，因为用户不需要具有任何特殊项目或证明知识。特别地，生物识别传感器减轻验证控制器上的负载。在一些情况下，这可以导致更低的能量需求和相应更长的电池寿命。

优选地，安全元件的中间应用程序、验证控制器和/或传感器控制器通过将个性化数据安全地存储在这些部件中而被预先个性化。这些数据优选地包括具有适合于加密所讨论的数据通信的一个或多个密码密钥的密钥集。优选地，在预先个性化期间，将相同的密钥集存储在中间应用程序、验证控制器和传感器控制器中。可替代地，一个密钥集可以用于验证控制器和传感器控制器之间的通信，并且另一个密钥集可以用于与中间应用程序通信。

验证控制器、中间应用程序和/或传感器控制器之间的数据通信的加密防止攻击者对用户验证状态的未授权读取或操纵。在所述组件之间发送的信息和数据至少部分地用消息认证码保护，以便确保并且能够检查所发送的信息和数据的真实性。

优选地，根据优选地使用质询-响应方法的安全协议来发送用户验证状态。优选地，至少部分地根据这样的安全协议在验证控制器、中间应用程序和/或传感器控制器之间发送信息。这防止了对用户验证状态的操纵，例如借助于验证控制器中的恶意软件的逻辑攻击或对组件之间的电缆连接的物理攻击。这些措施使得能够跨越根据本发明的设备的非安全组件进行安全通信。

根据本发明，通过中间应用程序检测肯定的用户验证状态来授权应用程序。在这种情况下，可以选择应用程序和/或可以使用应用程序执行交易。优选地，在选择应用程序和/或使用应用程序执行交易之后重置用户验证状态，使得仅在更新用户验证时才可能进一步选择应用程序和/或执行交易。例如，如果根据本发明的设备在用户验证和后续交易之后被盗，则防止进一步的未授权交易。

安全元件通常借助于安全元件或验证控制器上的合适的发送和接收设备(例如借助于具有天线的NFC或蓝牙模块)来非接触地执行交易。发送和接收装置可以布置在例如安全元件或验证控制器上。被配置用于这种非接触式交易的设备不需要任何在安全性方面是危险的以及被路由到外部的线路。

优选地，根据本发明授权认证交易、支付交易和/或访问交易。例如，认证交易用于认证先前已经被验证的用户，使得用户可以例如执行支付交易和/或获得对系统或对象的访问。

根据一些实施例，根据本发明的设备具有钥匙链的形式；特别地，它是具有集成式指纹传感器的“密钥卡(Key Fob)”。

优选地，验证控制器检测用户是否想要执行用户验证。在这种情况下，验证控制器向中间应用程序请求质询，诸如随机数，其优选地用消息认证码进行保护，例如借助于HMAC码。

然后，传感器控制器使用消息认证码检查质询的完整性。如果质询的消息认证码是肯定的，则传感器控制器优选地执行用户验证并确定用户验证状态。

然后，传感器控制器使用消息认证码检查质询的完整性，并且如果完整性存在，则执行用户验证并确定用户验证状态。然后，传感器控制器将加密和安全的用户验证状态发送到验证控制器，验证控制器将其转发到中间应用程序，中间应用程序解密用户验证状态并在相关联的消息认证码被识别为正确时存储它。安全元件的操作系统可以访问以这种方式存储的用户验证状态，并且在肯定的用户验证状态的情况下，允许选择应用程序和/或借助于该应用程序执行相关交易。

附图说明

本发明的其他特征和优点从根据本发明的示例性实施例以及结合附图的其他替代实施例的以下描述中显现，其中：

图1示出了根据本发明的设备的第一实施例；

图2示出了根据本发明的设备的第二实施例；

图3示出了根据本发明的设备的第三实施例；和

图4示出了根据本发明的方法。

具体实施方式

图1示出了具有验证控制器2的设备1，验证控制器2可以被设计为BLE控制器，例如被设计为蓝牙低功耗控制器DIALOG BLE 5.0DA14683(WL-CSP53)。设备1具有安全元件3，例如芯片卡、智能卡、eSE、eUICC卡等，例如具有G+D Sm@rt Café操作系统的Infineon芯片SLE78。装置1还包括传感器控制器4，特别是指纹控制器5，诸如Nuvoton NuMicro M480，以及传感器6，诸如指纹传感器7。

BLE验证控制器2是根据图1中的实施例的主处理器，并且经由BLE信道将所有数据通信路由到指纹控制器5(TX/RX)并继续路由到安全元件3。在这种情况下，图1示出了验证控制器2与安全元件3或传感器控制器4之间的数据连接DATA及线RST和CLK，以及数据连接TX(“发送”)和RX(“接收”)。

验证控制器2由电池8(诸如锂离子电池)供电。验证控制器2向设备1的其他部件(特别是安全元件3和传感器控制器4)提供电力(PWD)。此外，电源电路9(“电源开关电路”)连接到验证控制器2。应用程序12(例如，JavaCard小程序和/或qVSDC)安装在安全元件3上，并且经由验证控制器2以基于接触的方式通信或者经由连接的天线10以非接触的方式通信。

指纹传感器7将描述或表示用户的用户特征的生物识别传感器数据发送到指纹控制器5，指纹控制器5确定是否可以使用该数据来验证所讨论的用户。然后，对应的用户验证状态以加密的形式被发送到验证控制器2，并从那里发送到安全元件3上的中间应用程序11。加密在很大程度上消除了例如通过验证控制器中的恶意软件的逻辑攻击或通过物理攻击进行的操纵，例如在弱点(诸如指纹控制器5与验证控制器2和安全元件3之间的电缆连接)处的位操纵。

特别地，设备提供质询-响应安全协议(“密钥卡指纹安全协议”)，用于经由非安全系统组件(诸如设备1的BLE控制器或电缆连接)来保护用户验证状态的传输。

在安全元件3中，设备1具有中间应用程序11，其根据安全协议接受并存储用户验证状态。一旦选择应用程序12或使用它执行交易，安全元件3的操作系统14就检查用户验证状态，并且仅在用户验证状态为肯定时才允许选择或交易。在已经执行交易之后，安全元件3重置用户验证状态，使得在没有更新的用户验证的情况下，使得另一交易(诸如选择应用程序)是不可能的。

中间应用程序11、指纹控制器5和验证控制器2在安全环境内的设备1的制造期间利用用于安全协议“密钥卡指纹安全协议”的密钥集EncKeyID和MacKeyID被预先个性化。

图2示出了多个步骤中的用户验证的序列：

步骤21：一旦验证控制器2(例如，BLE控制器)确定用户意图使用指纹作为用户特征来执行用户验证，验证控制器2就使用GET_CHALLENGE命令从安全元件中的中间应用程序11请求质询(例如，随机数)。

步骤22：中间应用程序11将受消息认证码HMAC保护的质询返回到验证控制器。

步骤23：验证控制器2执行匹配命令，其中HMAC安全质询作为输入参数，以用于检查指纹的目的，并参考密钥EncKeyID和MacKeyID作为附加输入参数。

步骤24：指纹控制器5使用HMAC签名来检查质询的完整性。

步骤25：如果HMAC签名正确，则指纹控制器5使用指纹执行用户验证。否则，将错误消息传送到验证控制器2。

步骤26：指纹控制器5加密用户验证状态(匹配(OK Match)，不匹配(NO Match))，并且通过密钥EncKey和MacKey使用消息认证码(HMAC)来保护它。

步骤27：指纹控制器5将加密的和HMAC安全的用户验证状态发送回验证控制器2。

步骤28：验证控制器2将用户验证状态转发到安全元件3上的中间应用程序11。

步骤29：安全元件3上的中间应用程序11检查接收到的用户验证状态的HMAC签名。

步骤30：如果HMAC签名有效，则由中间应用程序11解密用户验证状态。

步骤31：解密的用户验证状态存储在中间应用程序11中。

步骤32：安全元件3的操作系统14向中间应用程序11请求用户验证状态以及定义的AID和规则，并检查它们。

步骤33：如果用户验证成功并且应用程序12具有定义的AID之一，则操作系统14允许选择应用程序12或使用应用程序12的交易。

在根据图2的用户验证的情况下，用户验证状态存储在安全元件3中。可替代地，用户验证状态可以存储在验证控制器2中，例如存储在BLE控制器中。为此目的，验证控制器2生成质询和对应的消息认证码(诸如HMAC码)，以HMAC安全质询作为输入参数执行MATCH命令，并引用密码化密钥EncKeyID和MacKeyID作为附加输入参数。

指纹控制器5使用HMAC签名来检查质询的完整性，并且如果HMAC签名是正确的，则使用指纹来执行用户验证。否则，将错误消息传递到验证控制器2。然后，指纹控制器5加密用户验证状态(匹配(OK Match)，不匹配(NO Match))，使用消息认证码(HMAC)保护它，并将加密的和HMAC保护的用户验证状态发送回验证控制器2。然后，验证控制器2检查接收到的用户验证状态的消息认证码，并且如果HMAC签名有效，则解密用户验证状态。解密的用户验证状态最终存储在验证控制器2中。

特别地，MATCH命令可以产生以下结果：

OK就绪：接收到命令；等待传感器上的指纹(＝用户特征)；

OK FP：在传感器上检测到的手指(＝传感器数据)；

匹配(OK Match)：所选择的模板匹配传感器上的手指并返回匹配的ID值；

不匹配(NO Match)：所选择的模板与传感器上的手指不匹配。

传感器控制器4、指纹控制器5、验证控制器2和中间应用程序11需要预先存储的用于加密的密钥和消息认证码，使得可以执行用户验证命令。这些密钥被存储在设备1的制造期间提到的组件中，并且通过KEY_LOCK命令使该存储是永久的。

对于基于验证控制器2的用户验证，密钥被存储在验证控制器2本身中并且被验证控制器2阻断以防止重写。对于基于安全元件的用户验证，密钥EncKeyID_1[16字节]和MacKeyID_1[32字节]存储在安全元件3中和传感器控制器4中。对于基于验证控制器2的用户验证，密钥EncKeyID_2和MacKeyID_2存储在验证控制器2和传感器控制器4中。在执行KEY_LOCK命令之后，这些密钥不再能够被改变。

图3示出了包括安全元件3和具有验证控制器2、传感器6和传感器控制器4的用户验证元件100的设备1。

验证控制器2包括处理器单元201、易失性存储器202和非易失性存储器203。此外，验证控制器2具有用于连接到传感器控制器4和安全元件3的通信接口204和205。

安全元件包括处理器单元301、易失性存储器302和非易失性存储器303，以及连接到验证控制器2的通信接口304。

传感器控制器4包括处理器单元401、易失性存储器402、非易失性存储器403和连接到验证控制器2的通信接口404。

在这种情况下，用户验证元件100被设计和配置为借助于传感器6执行用户验证，并将接收到的用户验证状态以加密形式发送到安全元件3上的中间应用程序11。特别地，用户验证状态以加密形式从传感器控制器4发送到验证控制器2，并从那里发送到安全元件3。

安全元件3被设计和配置为解密由用户验证元件100发送的加密的用户验证状态。

图4最后图示出了根据本发明的方法的步骤，该方法用于借助于根据本发明的具有用户验证元件100和安全元件3的设备1来授权安装在安全元件3上的应用程序12：

步骤41：借助于用户验证元件100的传感器6捕获设备1的用户的用户特征，并且借助于用户验证元件100的传感器控制器4生成表征用户特征的传感器数据；

步骤42：借助于用户验证元件或其传感器控制器从所述传感器数据导出用户验证状态；

步骤43：为通过中间应用程序11授权应用程序12的目的，将用户验证状态从用户验证元件100安全地发送到安全元件3；

步骤44：将授权信息存储在安全元件3上(可选)；以及

步骤45、46：选择安全元件3上的应用程序12和/或使用应用程序12执行交易，条件是授权信息满足列表中的要求(可选)。

Claims (15)

1.一种用于授权安装在安全元件(3)上的应用程序(12)的方法，包括以下步骤：

-借助于用户验证元件(100)的传感器(6)捕获(41)用户特征并生成表征所述用户特征的传感器数据；

-借助于所述用户验证元件(100)从所述传感器数据导出(42)用户验证状态；和

-为了通过所述安全元件(3)授权所述应用程序(12)的目的，将所述用户验证状态从所述用户验证元件(100)发送(43)到所述安全元件(3)。

2.根据权利要求1所述的方法，包括提供包括所述安全元件(3)和所述用户验证元件(100)的设备(1)的步骤。

3.根据权利要求1或2所述的方法，其中，所述用户验证状态由分配给所述传感器(6)的所述用户验证元件(100)的传感器控制器(4)导出，和/或所述用户验证状态从所述用户验证元件(100)的验证控制器(2)发送到所述安全元件(3)的中间应用程序(11)。

4.根据权利要求3所述的方法，其中，所述验证控制器(2)从所述传感器数据导出(42)所述用户验证状态，和/或所述传感器控制器(4)确定是否由所述传感器数据导致肯定的用户验证状态，并将导出的用户验证状态转发给所述验证控制器(2)。

5.根据权利要求1至4中任一项所述的方法，其中，所述用户验证元件(100)与所述安全元件(3)之间的数据通信用消息认证码来加密和/或至少部分地保护。

6.根据权利要求1至5中任一项所述的方法，其中，根据安全协议将所述用户验证状态从所述用户验证元件(100)发送(43)到所述安全元件(3)。

7.根据权利要求3或权利要求6所述的方法，其中，所述传感器控制器(4)和/或所述验证控制器(2)和/或所述中间应用程序(11)是预先个性化的，特别是利用与所述安全协议相关的密码化密钥集预先个性化的。

8.根据权利要求3和权利要求6或7所述的方法，其中，借助于与质询-响应方法相关的安全协议以加密形式将所述用户验证状态从所述验证控制器(2)发送(43)到所述中间应用程序(11)。

9.根据前述权利要求中任一项所述的方法，其中，所述用户特征由所述用户验证元件(100)的生物识别传感器(6)捕获，特别是由指纹传感器(7)捕获。

10.根据前述权利要求中任一项所述的方法，其中，所述应用程序(12)的授权还包括以下步骤：

-以所述用户验证元件(100)的中间应用程序(11)检测到肯定的用户验证状态为前提，在所述安全元件(3)上选择(45)所述应用程序(12)和/或使用所述应用程序(12)执行(46)交易。

11.根据权利要求10所述的方法，其中，如果存在肯定的用户验证状态，则所述中间应用程序(11)确定安装在所述安全元件(3)上的应用程序(12)，选择(45)该应用程序(12)和/或借助于该应用程序(12)来执行(46)交易。

12.根据权利要求10或11所述的方法，其中，所述中间应用程序(11)具有命令列表，在所述命令列表的执行期间重置应用程序(12)的所述用户验证状态，和/或

在选择(45)所述应用程序和/或执行(46)所述交易之后重置所述用户验证状态，使得进一步选择(45)和/或执行(46)交易需要用户验证。

13.根据权利要求10至12中任一项所述的方法，其中，借助于所述安全元件(3)非接触地执行(46)所述交易，和/或将认证交易、支付交易和/或访问控制交易作为交易来执行(46)。

14.一种设备(1)，包括具有传感器(6)的用户验证元件(100)和其上安装有应用程序(12)的安全元件(3)，其中

所述用户验证元件(100)被配置为借助于所述传感器(6)来捕获(41)用户特征，并从其导出表征所述用户特征的用户验证状态，并将所述用户验证状态发送到所述安全元件(3)；和

所述安全元件(3)被配置为接受所述用户验证状态以便授权所述应用程序(12)。

15.根据权利要求14所述的设备，其中，所述设备被配置为执行根据权利要求1至13中任一项所述的方法。