DE102015012943A1

DE102015012943A1 - Verwalten eines Subskriptions-Profils

Info

Publication number: DE102015012943A1
Application number: DE102015012943.0A
Authority: DE
Inventors: Nils Nitsch
Original assignee: Giesecke and Devrient GmbH
Current assignee: GIESECKE+DEVRIENT MOBILE SECURITY GERMANY GMBH, DE
Priority date: 2015-10-07
Filing date: 2015-10-07
Publication date: 2017-04-13
Also published as: US10292043B2; CN108141746B; CN108141746A; US20180302782A1; WO2017059958A1; EP3360356A1

Abstract

Die Erfindung schafft ein Verfahren zum Verwalten eines Profils (P) für eine Subskription in einem Teilnehmeridentitätsmodul (eUICC), umfassend die Schritte: a) Senden einer Verwaltungsnachricht (M) von einem Server (SM-DP) an das Teilnehmeridentitätsmodul (eUICC); c) Durchführen einer der Verwaltungsnachricht (M) entsprechenden Verwaltungsmaßnahme im Teilnehmeridentitätsmodul (eUICC). Das Verfahren ist gekennzeichnet durch den vor Schritt c) erfolgenden Schritt: b) Anfordern und Empfangen einer Nutzereingabe (PIN, OTP) beim Teilnehmeridentitätsmodul (eUICC); und Durchführen von Schritt c) nur anlässlich erfolgreicher Durchführung von Schritt b).

Description

Gebiet der Erfindung
Die Erfindung betrifft ein Verfahren zum Verwalten eines Profils für eine Subskription (Subskription-Profils) in einem Teilnehmeridentitätsmodul.
Stand der Technik
Mobile Endgeräte werden mittels Teilnehmeridentitätsmodulen, auch Secure Elements genannt, sicher in Funknetzwerken betrieben. Als mobile Endgeräte können insbesondere Mobilfunk-Endgeräte, wie z. B. Smartphones, sowie M2M-Endgeräte vorgesehen sein.
Im Rahmen des Einrichten eines Teilnehmeridentitätsmoduls muss ein Subskription-Profil in das Teilnehmeridentitätsmodul geladen werden. Änderungswünsche am Subskription-Profil (oder auch kurz nur Profil) erfordern das Bereitstellen eines geänderten Subskription-Profils. Bei Plug-In-SIM-Karten für Mobilfunk-Endgeräte kann die Änderung durch Austausch der SIM-Karte durchgeführt werden. Alternativ wird ein neues Subskriptions-Profil in das Teilnehmeridentitätsmodul geladen, was besonders für festeingelötete Teilnehmeridentitätsmodule (z. B. eUICC im Mobilfunkbereich oder festeingelötetes M2M-Modul) durchgeführt wird, die nicht ohne Weiteres ausgetauscht werden können. Das Verwalten von Subskriptionen, insbesondere durch Herunterladen von Subskription-Profilen und begleitenden Daten in ein Teilnehmeridentitätsmodul, wird im Allgemeinen auch als Subscription Management bezeichnet.
Die technischen Spezifikationen [1] 12FAST.13 – Embedded SIM Remote Provisioning Architecture 17 December 2013", GSMA, und [2] SGP02-Remote-Provisioning-Architecture-for-Embedded-UICC-Technical-Specification-v2.0,13 October 2014, GSMA, beschreiben das Herunterladen und Installieren eines Subskriptions-Profils in ein eUICC. Gemäß [1] 12FAST.13 sind am Laden eines Subskription-Profils in ein Teilnehmeridentitätsmodul eine Subscription Management Data Preparation SM-SP und ein Subscription Management Secure Router SM-SR beteiligt.
Die Subscription Management Data Preparation SM-SP verfügt über Teilnehmeridentitätsmodul-spezifische Information und erzeugt hiermit ausgehend vom Subskription-Profil ein in das Teilnehmeridentitätsmodul zu ladendes Lade-Paket, stellt das Lade-Paket an den Subscription Management Secure Router SM-SR bereit, der das Lade-Paket wiederum in das Teilnehmeridentitätsmodul lädt. Im Teilnehmeridentitätsmodul wird das Lade-Paket entpackt und das Profil ausgehend vom entpackten Paket-Inhalt implementiert. Änderungen an im Teilnehmeridentitätsmodul bereits bestehenden Profilen erfolgen auf analoge Weise. Hierbei empfängt der Subscription Management Secure Router SM-SR vom Subscription Management Data Preparation SM-SP ein die gewünschten Änderungen enthaltendes Lade-Paket und sendet es an das Teilnehmeridentitätsmodul. Im Teilnehmeridentitätsmodul wird das Lade-Paket entpackt, die Änderungen am Profil werden ausgehend vom entpackten Paket-Inhalt implementiert.
Die Subscription Management Data Preparation SM-SP (auf dem Weg über den Subscription Management Secure Router SM-SR) kann Lade-Pakete mit zu ladenden Profilen oder Änderungen an bereits implementierten Profilen unbemerkt und unaufgefordert an das Teilnehmeridentitätsmodul senden. Unter Umständen wünscht ein Halter oder Nutzer des mobilen Endgeräts keine unbemerkten oder unaufgeforderten Verwaltungsmaßnahmen wie Profilladen oder Profiländern im Teilnehmeridentitätsmodul.
Insbesondere kann die Subscription Management Data Preparation SM-SP von einem Herausgeber des Teilnehmeridentitätsmoduls betrieben werden.
Nach Übergabe des Teilnehmeridentitätsmoduls an den Halter oder Nutzer geht der Halter oder Nutzer vertragliche Nutzungsvereinbarungen mit anderen Parteien als dem Herausgeber des Teilnehmeridentitätsmoduls ein, beispielsweise mit einem Mobilfunk-Netzbetreiber. Manche der vom Herausgeber unbemerkt oder unaufgefordert durchgeführten Verwaltungsmaßnahmen am Teilnehmeridentitätsmodul könnten gegen vertragliche Nutzungsvereinbarungen zwischen der anderen Partei (z. B. Netzbetreiber) und dem Nutzer oder Halter verstoßen. Mit der bestehenden Infrastruktur zum Verwalten von Profilen hat der Nutzer/Halter keine Handhabe, selbst autark auf die Einhaltung seiner vertraglichen Nutzungsvereinbarungen zu achten und diese durchzusetzen.
Zusammenfassung der Erfindung
Der Erfindung liegt die Aufgabe zu Grunde, ein Verfahren zum Verwalten eines Profils für eine Subskription (Subskription-Profils) in einem Teilnehmeridentitätsmodul zu schaffen, das dem Halter oder Nutzer des Teilnehmeridentitätsmoduls mehr Autarkie gegenüber einem Herausgeber des Teilnehmeridentitätsmoduls verschafft.
Die Aufgabe wird gelöst durch ein Verfahren nach Anspruch 1. Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben.
Das erfindungsgemäße Verfahren zum Verwalten eines Profils für eine Subskription in einem Teilnehmeridentitätsmodul umfasst die Schritte: a) Senden einer Verwaltungsnachricht von einem Server an das Teilnehmeridentitätsmodul und c) Durchführen einer der Verwaltungsnachricht entsprechenden Verwaltungsmaßnahme im Teilnehmeridentitätsmodul. Das Verfahren ist gekennzeichnet durch den vor Schritt c) erfolgenden Schritt: b) Anfordern und Empfangen einer Nutzereingabe beim Teilnehmeridentitätsmodul und Durchführen von Schritt c) nur anlässlich erfolgreicher Durchführung von Schritt b).
Durch das Erfordernis des Anfordern und Empfangen einer Nutzereingabe, bevor im Teilnehmeridentitätsmodul die durch die Verwaltungsnachricht in Auftrag gegebene Verwaltungsmaßnahme durchgeführt wird, ist sichergestellt, dass der Nutzer die Möglichkeit hat, anstehende Verwaltungsmaßnahmen auf Konformität mit seinen eigenen Vorstellungen und vertraglichen Verpflichtungen zu überprüfen. Ein unbemerktes Durchführen von Verwaltungsmaßnahmen, denen der Nutzer nicht zustimmen würde, wird vermieden. Der Nutzer erhält somit die Möglichkeit, seine Willenserklärung in den Prozess der Verwaltungsmaßnahmen einzubringen.
Somit ist gemäß Anspruch 1 ein Verfahren zum Verwalten eines Subskriptions-Profils in einem Teilnehmeridentitätsmodul geschaffen, das dem Halter oder Nutzer des Teilnehmeridentitätsmoduls mehr Autarkie gegenüber einem Herausgeber des Teilnehmeridentitätsmoduls verschafft.
Wahlweise ist als Nutzereingabe eine Authentisierungseingabe vorgesehen, insbesondere ein statischer Zugangscode wie z. B. eine PIN (personal identification number) oder ein statisches Passwort, oder ein Einmalpasswort oder OTP (one time password).
Wahlweise wird die Nutzereingabe über eine Ein-/Ausgabeschnittstelle, z. B. ein Touch-Pad oder Touch-Display, eines mobiles Endgeräts, in welchem das Teilnehmeridentitätsmodul betrieben wird, angefordert und empfangen.
Wahlweise ist als Verwaltungsmaßnahme ein Laden einer Verwaltungsnachricht zum Laden eines Profils in das Teilnehmeridentitätsmodul vorgesehen, oder/und ein Implementieren eines Profils im Teilnehmeridentitätsmodul. Mit anderen Worten erhält z. B. der Nutzer eine Eingriffsmöglichkeit, und wird zu einer Eingabe aufgefordert, bevor ein Ladeprofil in das Teilnehmeridentitätsmodul geladen wird. Alternativ oder zusätzlich erhält der Nutzer z. B. eine Eingriffsmöglichkeit, und wird zu einer Eingabe aufgefordert, bevor ein bereits geladenes Ladeprofil im Teilnehmeridentitätsmodul implementiert wird. Je nach konkretem Einzelfall wird also z. B. das Ladepaket zunächst noch ungehindert in das Teilnehmeridentitätsmodul geladen, und erst dann wird das Einverständnis des Nutzers mittels seiner Eingabe eingeholt. Der Nutzer kann nun den Inhalt des Ladepakets prüfen und abhängig vom Inhalt des Ladepakets mit seiner Eingabe dem Implementieren des Ladepakets zustimmen oder widersprechen. In einem anderen Einzelfall wird das Einverständnis des Nutzers bereits eingeholt, bevor ein Ladepaket überhaupt in das Teilnehmeridentitätsmodul geladen wird. Hierbei kann der Nutzer bereits das Laden des Ladepakets ablehnen.
Wahlweise ist als Verwaltungsmaßnahme ein Laden einer Verwaltungsnachricht zum Verändern oder/und ein Verändern eines bereits im Teilnehmeridentitätsmodul implementierten Profils vorgesehen. In diesem Fall wird wahlweise die Verwaltungsnachricht zunächst in das Teilnehmeridentitätsmodul geladen. Danach wird eine Eingabe vom Nutzer gefordert. Hierbei erhält der Nutzer die Möglichkeit, den Inhalt des Ändern zu prüfen und abhängig vom Inhalt das Ändern zuzulassen (Zustimmung) oder zu verhindern (Widerspruch).
Wahlweise wird Schritt a) durchgeführt als Senden der Verwaltungsnachricht von einem Datenaufbereitungs-Server über einen Sicherheitsrouter an das Teilnehmeridentitätsmodul.
Wahlweise umfasst Schritt c) die folgenden Teilschritte: c1) Freigeben der Verwaltungsmaßnahme seitens des Teilnehmeridentitätsmoduls und c2) Durchführen der Verwaltungsmaßnahme. Das Freigeben erfolgt wahlweise in Reaktion auf den Empfang einer zustimmenden Eingabe seitens des Nutzers, also einer zustimmenden Willenserklärung, z. B. durch Eingabe von „Bestätigen” über eine entsprechende Menüführung auf dem Touch-Display des Endgeräts.
Gemäß einer Ausgestaltung der Erfindung hat der Nutzer die Möglichkeit Ausnahme-Kriterien zu definieren, um gewisse Verwaltungsmaßnahmen auch ohne Nutzereingabe durchführen zu lassen, auch unbemerkt im Hintergrund.
Gemäß der Ausgestaltung umfasst das Verfahren weiter den vor Schritt b) erfolgenden Schritt des Bewerten der Verwaltungsnachricht auf Erfüllen eines Ausnahme-Kriteriums, wobei, falls durch die Verwaltungsnachricht das Ausnahme-Kriterium erfüllt ist, Schritt b) übersprungen wird und unmittelbar Schritt c) durchgeführt wird. Beispielsweise wird das Ausnahme-Kriterium erfüllt durch Aktualisierungen am bereits implementierten, aktiven Profil. Nicht erfüllt wird das Ausnahme-Kriterium beispielsweise durch Verwaltungsmaßnahmen, die ein anderes Profil als das aktive Profil betreffen, oder die von einem anderen Netzbetreiber kommen oder einen anderen Netzbetreiber betreffen als denjenigen, der das aktuell implementierte, aktive Profil betreut.
Wahlweise ist das Ausnahme-Kriterium auf Grundlage einer an einem früheren Zeitpunkt empfangenen Nutzereingabe erstellt worden. Bei dieser früheren Nutzereingabe hat der Nutzer beispielsweise definiert und abgespeichert, welche Verwaltungsmaßnahmen auch ohne Nutzereingabe durchgeführt werden dürfen.
Kurze Beschreibung der Zeichnungen
Im Folgenden wird die Erfindung an Hand von Ausführungsbeispielen und unter Bezugnahme auf die Zeichnungen näher erläutert, in der zeigen:
1 ein Schaubild zum Laden eines Lade-Pakets zum Laden eines Profils von einem Daten-Aufbereitungsserver über einen Sicherheits-Router in ein Teilnehmeridentitätsmodul, nach dem Stand der Technik;
2 ein Schaubild zum Laden eines Lade-Pakets zum Laden eines Profils von einem Daten-Aufbereitungsserver über einen Sicherheits-Router in ein Teilnehmeridentitätsmodul, gemäß einer Ausführungsform der Erfindung.
Detaillierte Beschreibung von Ausführungsbeispielen
1 zeigt ein Schaubild zum Laden einer Verwaltungsnachricht in Gestalt eines Lade-Pakets M von einem Daten-Aufbereitungsserver SM-DP in ein Teilnehmeridentitätsmodul eUICC, gemäß dem Stand der Technik. Das Lade-Paket M umfasst eine Lade-Sequenz PL zum Implementieren eines Subskriptionsprofil P im Teilnehmeridentitätsmodul eUICC. Der Daten-Aufbereitungsserver SM-DP sendet das Lade-Paket M an einen Sicherheits-Router SM-SR, der das Lade-Paket M wiederum am das Teilnehmeridentitätsmodul eUICC sendet. Durch Verarbeiten der Lade-Sequenz PL aus dem Lade-Paket M wird das Profil P im Teilnehmeridentitätsmodul eUICC implementiert.
2 zeigt ein Schaubild zum Laden einer Verwaltungsnachricht in Gestalt eines Lade-Pakets M zum Laden eines Profils P von einem Daten-Aufbereitungsserver SM-DP über einen Sicherheits-Router SM-SR in ein Teilnehmeridentitätsmodul eUICC, gemäß einer Ausführungsform der Erfindung. (a) Zunächst sendet der Daten-Aufbereitungsserver SM-DP das Lade-Pakets M an das Teilnehmeridentitätsmodul eUICC. Zunächst wird beim Teilnehmeridentitätsmodul eUICC entweder die Annahme des Lade-Pakets M oder die Verarbeitung des Lade-Pakets M blockiert (verhindert). (b) Stattdessen wird (b1) durch das Teilnehmeridentitätsmodul eUICC, über das Endgerät ME, in welchem das Teilnehmeridentitätsmodul eUICC betrieben wird, ein Nutzer des Endgeräts ME aufgefordert, ein Eingabe am Endgerät ME zu tätigen, z. B. eine PIN (personal identification number) oder ein Einmalpasswort OTP (One Time Password), einzugeben. (b2) Der Nutzer tätigt die geforderte Eingabe, z. B. durch Eingabe von PIN bzw. OTP. (b3) Die Eingabe, z. B. PIN bzw. OTP, wird an das Teilnehmeridentitätsmodul eUICC zur Verifizierung weitergeleitet. Im Fall erfolgreicher Verifizierung (c) (c1) wird die Blockade des Annehmen bzw. Verarbeiten des Lade-Pakets m aufgehoben. (c2) Folglich wird das Lade-Paket M in das Teilnehmeridentitätsmodul eUICC geladen und anschließend verarbeitet bzw. das geladene aber blockierte Lade-Paket M verarbeitet. Durch das Verarbeiten des Lade-Pakets M wird die Lade-Sequenz PL abgearbeitet und das Profil P im Teilnehmeridentitätsmodul eUICC implementiert.
Zitierter Stand der Technik

[1] 12FAST.13 – Embedded SIM Remote Provisioning Architecture 17 December 2013, GSMA
[2] SGP02-Remote-Provisioning-Architecture-for-Embedded-UICC-Technical-Specification-v2.0,13 October 2014, GSMA

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

12FAST.13 – Embedded SIM Remote Provisioning Architecture 17 December 2013”, GSMA [0004]
SGP02-Remote-Provisioning-Architecture-for-Embedded-UICC-Technical-Specification-v2.0,13 October 2014, GSMA [0004]
12FAST.13 – Embedded SIM Remote Provisioning Architecture 17 December 2013, GSMA [0027]
SGP02-Remote-Provisioning-Architecture-for-Embedded-UICC-Technical-Specification-v2.0,13 October 2014, GSMA [0027]

Claims

Verfahren zum Verwalten eines Profils (P) für eine Subskription in einem Teilnehmeridentitätsmodul (eUICC), umfassend die Schritte: a) Senden einer Verwaltungsnachricht (M) von einem Server (SM-DP) an das Teilnehmeridentitätsmodul (eUICC); c) Durchführen einer der Verwaltungsnachricht (M) entsprechenden Verwaltungsmaßnahme im Teilnehmeridentitätsmodul (eUICC); gekennzeichnet durch den vor Schritt c) erfolgenden Schritt: b) Anfordern und Empfangen einer Nutzereingabe (PIN, OTP) beim Teilnehmeridentitätsmodul (eUICC); und Durchführen von Schritt c) nur anlässlich erfolgreicher Durchführung von Schritt b).
Verfahren nach Anspruch 1, wobei als Nutzereingabe eine Authentisierungseingabe vorgesehen ist, insbesondere ein statischer Zugangscode (PIN) oder ein Einmalpasswort (OTP).
Verfahren nach Anspruch 1 oder 2, wobei die Nutzereingabe (PIN; OTP) über eine Ein-/Ausgabeschnittstelle (TP) eines mobiles Endgeräts (ME), in welchem das Teilnehmeridentitätsmodul betrieben wird, angefordert und empfangen wird.
Verfahren nach einem der Ansprüche 1 bis 3, wobei als Verwaltungsmaßnahme ein Laden einer Verwaltungsnachricht (M) zum Laden eines Profils (P) in das Teilnehmeridentitätsmodul oder/und ein Implementieren eines Profils (P) im Teilnehmeridentitätsmodul (eUICC) vorgesehen ist.
Verfahren nach einem der Ansprüche 1 bis 4, wobei als Verwaltungsmaßnahme ein Laden einer Verwaltungsnachricht (M) zum Verändern oder/und ein Verändern eines bereits im Teilnehmeridentitätsmodul (eUICC) implementierten Profils (P) vorgesehen ist.
Verfahren nach einem der Ansprüche 1 bis 5, wobei Schritt a) durchgeführt wird als Senden der Verwaltungsnachricht (M) von einem Datenaufbereitungs-Server (SM-DP) über einen Sicherheitsrouter (SM-SR) an das Teilnehmeridentitätsmodul (eUICC).
Verfahren nach einem der Ansprüche 1 bis 6, wobei Schritt c). die folgenden Teilschritte umfasst: c1) Freigeben der Verwaltungsmaßnahme seitens des Teilnehmeridentitätsmoduls (eUICC); c2) Durchführen der Verwaltungsmaßnahme.
Verfahren nach einem der Ansprüche 1 bis 7, weiter umfassend den vor Schritt b) erfolgenden Schritt des Bewerten der Verwaltungsnachricht (M) auf Erfüllen eines Ausnahme-Kriteriums, wobei, falls durch die Verwaltungsnachricht (M) das Ausnahme-Kriterium erfüllt ist, Schritt b) übersprungen wird und unmittelbar Schritt c) durchgeführt wird.
Verfahren nach Anspruch 8, wobei das Ausnahme-Kriterium auf Grundlage einer an einem früheren Zeitpunkt empfangenen Nutzereingabe erstellt worden ist.