CN1310832A - 控制执行由服务器经终端传送给芯片卡的动作请求的方法 - Google Patents

Abstract

本发明涉及在一个应用服务器和至少一个芯片卡之间交换同步的消息的方法,其中,卡传输包含由服务器存储的一个动作计数器的当前值的消息到服务器;服务器发射包含由一个或者几个要由卡执行的动作组成的请求的消息并存储该请求的动作数n;卡接收该消息,顺序执行该请求中的一个或者多个动作,如果该动作成功执行的话,在每一动作之间使其动作计数器增1;当有由卡请求事务处理时,服务器比较接收到的动作计数器值与最新存储的、增加了在先前的动作请求中的动作数的值,基于这一比较操作。

Description

控制执行由服务器经终端 传送给芯片卡的动作请求的方法

本发明涉及使用通信网络在应用服务器和芯片卡之间交换消息的系统。它应用于通过远程通信网络、交换电话网络、蜂窝网络或因特网发生的交换。

一般说，在应用服务器和在芯片卡内的相应应用程序之间交换的消息通过一个中间设备传送，该中间设备下面称为终端。用户的芯片卡与该终端协同操作允许该种交换。

在所用网络是电话网络的场合，该终端是远程通信终端。在所用网络是计算机网络的场合，该终端是装备有读/写芯片卡的接口的计算机类型的数据处理设备。

在卡发行组织的控制下希望通过电话网络实现芯片卡内(或在所述卡的应用程序中)一个保护动作的服务器使用密码证书保证这种交换的安全。

然而，在传输或执行期间丢失消息的场合或在有意伪造的情况下，服务器/卡消息的重同步可能产生安全问题。

在终端是在发行组织控制下的专用保护终端(例如在银行控制下的自动柜员机)的情况下，消息的丢失是由使用服务器的软件和专用终端的软件两者的同步消息来补偿。专用终端要么物理保护(和)或者其内包含有一个SAM(安全验证模块)，在所有场合都由发行组织密切监视。

如果所用终端不是专用保护终端的话(例如GSM电话、因特网上的PC等)，则同步机构不能基于终端的安全，因为后者不能由发行者监视。

实际上在任何网络传输问题的事件下能够重新同步消息源和芯片卡是十分重要的。这一问题根据操作员和服务提供商面对面的安全而提出。

当今，没有一个系统设计为在下述场合保证在卡和服务器之间的同步，即在一个随后由卡接受的当前事务处理期间，服务器通过连接发送一个包含一个或多个要由卡完成的动作的消息，这些动作例如能够重新装载值单位或参数(货币或其它)或加载一个新应用程序。

事实上，在多应用卡的更一般意义上，当用户已经提出请求、以便在运行为当前事务处理的应用程序期间要执行的动作发送命令时，为发送消息做好准备。

这种消息例如使在电子钱包应用的场合能够控制电子钱包的重新装载，或修改银行应用程序的银行往来参数，或在卡上加载新的应用程序。

十分清楚，在这种场合，所述消息是否丢失，不通知服务器。

换句话说，对非专用终端执行保护的动作在当今是适宜的，但是要么需要高用户限制(如果安全动作尚未结束，则封锁卡或应用程序)，要么冒丢失信息的风险(例如丢失重新装载电子钱包的事务处理)。

本发明的目的是服务器可以检测在执行一个或者多个动作或命令中的失败，连接到丢失服务器和芯片卡之间的消息，或连接到执行卡中的动作的失败，所述消息被传输到卡，可能在当前事务处理期间，以便通知服务器，以便后者确定卡未执行的最后的动作或命令是什么。

按照未执行的一个或者多个动作预先建立一个过程，根据该过程，服务器例如可以回送包含所述一个或者多个动作的消息并允许它们执行。

为此目的，本发明的目的特别是一种监视对由服务器经由终端传输给卡的动作请求的执行的方法，所述卡包括一个动作计数器，其特征在于，它包括下面的步骤：

a)在由服务器发送包含由一个或者多个要由卡完成的动作组成的请求的消息时，服务器存储在该请求中的动作数n；

b)在接收消息时，卡顺序执行在该请求中的一个或者多个动作，同时如果动作恰当执行的话则在每一动作之间使其动作计数器增加1，如果该动作未正确执行的话则拒绝该动作和随后的动作，不增加其计数器；

c)比较卡中的值和存储在服务器中的值之间的变化，如果比较结果具有差x的话则确定最后x个动作(命令)未执行。

动作计数器的增加相应于正确执行的动作的数目。

如果所有动作都正确执行，则数x等于0；如果最后的或所有的动作都失败，则数x可以在1到n之间变化。

为比较卡值和存储在服务器中的值之间的变化，在执行该动作命令之前和之后卡传输其计数器的当前值给服务器。

为比较卡值和存储在服务器中的值之间的变化，卡在执行该动作命令后计算其计数器的变化的值，并将其传输给服务器。

根据另一个特征，卡的动作计数器的值的任何变化以保护方式系统地执行。

为此目的，卡的动作计数器的最后值用与密码一起传输，它的计算包括所述最后值。

根据另一个特征，卡中的动作计数器当前最后值以实时方式传输到服务器，也就是说在当前事务处理期间。

根据一个例子，可以通过应答卡内当前事务处理的消息传输该值。

根据另一个特征，卡动作计数器的值以非实时方式传输到服务器。

根据一个例子，动作计数器的值可以借助由卡为服务器执行一个新事务处理的请求的消息传输。

根据另一个例子，卡动作计数器的值借助从该卡向服务器发送的信息方法装置传输。

本发明的另一个目的是为实现前述方法的卡，它包括一个计数器和管理该计数器的设备，其特征在于，如果动作正确执行的话则所述管理设备能够在每一动作之间使所述动作计数器增加1，如果该动作未正确执行的话，则既不为该动作也不为后继动作增加1。

从阅读下面作为非限制性例子给出的说明并参考附图，可以明了本发明的其它特征和优点，附图中：

图1表示根据本发明在服务器和芯片卡之间的消息交换，

图2表示在丢失消息的场合下在服务器和芯片卡之间的详细的消息交换，

图3表示丢失消息的另一例。

动作请求指得是包含n个命令一组的消息，n当然能够等于1。

为更好理解本说明的其余部分，可以参考图1中的图解。

在其余部分，取下述事例作为一个例子，即服务器2得益于卡1中的当前事务处理，以便给卡发送包含一个或者多个该卡要执行的动作的请求。

自然，在这一场合一个动作请求将以对当前事务处理的响应发送，如果所述事务处理需要一个响应的话。如果不是这种情况，则产生一个只包含该动作请求的响应。与服务器通信的终端接收相应于该响应的消息，从该消息去除包封，以便给卡传送动作。

一个动作请求可以包括由卡执行的几个动作，也就是说，如在本说明开始时所述，一组n个命令。

举一个例子，一个动作请求可以是改变一个应用程序中的一个或者多个参数的请求，或者加载一个新应用或装载值单位的请求。

一个参数的改变相应于来自卡的一个动作，它是在一个预定地址删除和写的操作。

几个参数的改变相应于在不同地址处和参数同样多的删除和写操作，并因此相应于和要改变的参数同样多要执行的动作。

现在给出在卡一侧和服务器一侧发生什么的详情。

在卡一侧：

在每次正确执行动作后，当卡1从服务器一接收到要执行的一个或者多个动作和它能成功执行每一这些动作时，卡1就使动作计数器CA增1。

计数器值例如每次在卡给服务器发送消息时回送到服务器(图1中的消息3或消息4)。

计数器值基本上在下述动作时间可以回送到服务器2：

-当有一个事务处理应答时(如果在一个事务处理期间一个应答消息回送到服务器，则动作计数器的值可以放在该应答内)(例：消息3)，

-当对服务器有一个事务处理请求或卡验证请求时(例：消息4)，

-在银行卡或电子钱包的场合，

-在每一终端3内存储每一个前面的事务处理，

-把存储的事务处理回送到服务器，使得该服务器可以触发给与其发生该事务处理的商人付费的处理，可以使用该事务处理回送动作计数器CA。

这样，动作计数器的内容的值总回送到服务器，要么当这一点在应答时间进行时以实时方式，要么当有新事务处理请求时或当一个事务处理存储回送时以非实时方式。

服务器一侧：

对包含一个对其专用的应用程序、具有一个当前动作请求的每一卡，服务器必须存储：

-该应用程序的识别号码，

-动作计数器的当前值，

-为该卡的当前动作的列表。

这样，一个置于一个多应用芯片卡内的应用程序所属的服务器可以在由卡请求的任何事务处理期间要求一个动作，诸如重新装载单位，或加载一个程序或为驻留在该卡内的一个程序加载新参数。

于是服务器可以用小程序机构给卡发送动作，这些小程序不能由位于服务器和卡之间以提供通信的终端3解释。终端3以透明方式传输在小程序中接收到的一个或者多个消息给卡。

现在给出所有处理的详情，即动作计数器内容的回送以实时方式发生的场合，和所有事情正确发生的场合，也就是说不丢失消息的场合和卡的执行正确发生的场合。

可以参考在图1中的图解表示的特定实施例以给出更好的理解。

-在时间dti，持票人通过他的终端3请求一个事务处理(付费或另一个事务处理)：消息1。

-卡准备该事务处理和一个密码，也就是说验证数据，以后称为MAC，并传送给终端。

与该事务处理关联，银行往来应用连接由密码保护的它的动作计数器的CA的当前值。

-终端给银行服务器回送事务处理。

使用实际的术语，卡发送包含数据MAC和动作计数器的值的一个事务处理请求消息，和所请求的事务处理的标识。

服务器检验为卡MAC1的验证数据并处理该事务处理。服务器可以在此时执行在卡应用中的一个动作。

在一个特别的例子中，有可能是给卡加载货币参数的情形，但是如上所述，电子钱包重装载类型的其它动作也是可能的。

-为此目的，服务器将准备一个或者多个参数加载命令，其包含在一个称为小程序1的动作的一个信息字段内，和安全验证数据MAC2。

-该动作请求借助消息2发送，其可以包括对当前事务处理的响应，如果这种响应是为所涉及的应用提供的。

在给卡发送小程序1时，服务器在一个数据库中存储这一小程序1，将其与有关该卡的数据关联，以及该卡的动作计数器的当前值CA(在事务处理请求期间从卡向服务器发送)。这一信息将使其可以实现服务器-卡的验证。

-从小程序1一条一条接收命令的卡验证密码MAC2，并以原子方式(也就是说以单次而不可分地)执行小程序1中的一个一个动作，并在每一动作后使计数器的内容CA增1，如果该动作正确执行的话。当一个动作执行不正确，则动作计数器不增加，并且不接受其它动作。-为给服务器发送卡的动作计数器CA的新值CA’，可以有几种模式：

-在消息应答期间回送当前事务处理，也就是说以实时方式(相应于当前事务处理的消息3)；

-在下一事务处理期间回送CA’的值(相应于在时间dtj发生的消息4)；

-在任何时间，也就是说，当卡给服务器发送信息时。

-在所述例子的场合，卡以实时方式给服务器发送包含内容CA’的保护的应答。然后它可以比较由应答返回的值与存储在其库内的值。

如果值CA’=CA+n,n为小程序1内的动作数，则这证明该小程序1在卡内正确运行。然后服务器可以删除数据库中的这一小程序。

现在取同一个例子，关于图2给出当切断或丢失动作请求消息(消息2)时会发生什么的说明。

在这一场合，命令小程序1未到达卡。服务器将必须重新同步自己。服务器接到关于这种情形的通知，因为根据该例它未接收到应答。

在服务器不在等待应答时，它被通知何时接收到最后的卡动作计数器，也就是说，例如在下一个事务处理时。

事实上，在服务器验证卡的期间(验证MAC1)，服务器借助动作计数器的CA’的值识别该卡尚未接收到小程序1(或小程序1在卡内尚未正确执行)，该值回送给服务器，并与存储在服务器中的CA的值比较。

如果CA’小于CA而不相等，则这意味着最后一个或几个动作未正确执行。

在这一场合，服务器更新其数据库DB，删除CA的值，以便放入CA’的值。服务器被再次同步并重新启动未由卡执行的最后一个或几个动作。

仍然重复同一个例子，关于图3说明当在应答消息期间中断发生时会发生什么。

仅在由应用程序提供应答消息的场合才可以想象这一情况。然而，当动作计数器在请求一个新的事务处理时被回送时或发送一个信息消息时同一问题可以发生。

在这一场合，在请求新事务处理时，回送卡的计数器的当前值CA’=CA+n。

服务器比较该值CA’与其最后存储的值，亦即CA。当CA’=CA+n时，服务器知道最后n个动作确实被执行，而存储动作计数器的新值，亦即CA+n，以便与卡同步。

Claims (10)

1．一种监视由服务器经由终端传输给卡的动作请求执行的方法，所述卡包括一个动作计数器，其特征在于；

a)在由服务器发送包含由一个或者多个要由卡完成的动作组成的请求的消息时，服务器存储该请求中的动作数n；

b)在接收该消息时，卡顺序执行在该请求中的一个或者多个动作，同时如果该动作恰当执行的话则在每一动作之间使其动作计数器增加1，如果该动作未正确执行的话则拒绝该动作和随后的动作，不增加其计数器；

c)比较卡中的值和存储在服务器中的值之间的变化，如果比较结果具有差x的话则确定最后x个动作(命令)未执行。

2．根据权利要求1的方法，其特征在于，为比较卡值和服务器中存储的值之间的变化，在执行动作命令之前和之后卡传输其计数器的当前值给服务器。

3．根据权利要求1的方法，其特征在于，为比较卡值和存储在服务器中的值之间的变化，卡在执行动作命令后计算其计数器的变化的值，并将其传输给服务器。

4．根据权利要求2或3的方法，其特征在于，卡以保护形式传输所述值。

5．根据权利要求1的消息交换方法，其特征在于，卡动作计数器的值以实时方式传输，亦即在当前事务处理期间。

6．根据权利要求5的消息交换方法，其特征在于，借助应答卡内当前事务处理的消息传输卡动作计数器的值到服务器。

7．根据权利要求1的消息交换方法，其特征在于，卡动作计数器的值以非实时方式传输。

8．根据权利要求7的消息交换方法，其特征在于，卡动作计数器的值借助由卡为服务器执行一个新事务处理的请求的消息传输。

9．根据权利要求7的消息交换方法，其特征在于，卡动作计数器的值借助由该卡向服务器发送的信息消息传输。

10．一种实现根据前述权利要求之一的方法的卡，它具有一个计数器和管理该计数器的设备，其特征在于，如果动作正确执行的话则所述管理设备能够在每一动作之间使所述动作计数器增1，如果动作未执行的话，则既不为该动作也不为后继动作使其增1。

Images