ES2865293T3

ES2865293T3 - Dispositivo electrónico que comprende un módulo seguro que soporta un modo de gestión local de configurar de un perfil de abonado

Info

Publication number: ES2865293T3
Application number: ES16794377T
Authority: ES
Inventors: Tomasz Wozniak; Alexis Michel
Original assignee: Idemia France SAS
Current assignee: Idemia France SAS
Priority date: 2015-10-15
Filing date: 2016-10-13
Publication date: 2021-10-15
Anticipated expiration: 2036-10-13
Also published as: CN108432201A; KR102465364B1; EP3363178B1; FR3042675A1; US10484861B2; US20180324579A1; BR112018007286A2; KR20180070635A; FR3042675B1; EP3363178A1; CN108432201B; WO2017064430A1

Abstract

Dispositivo electrónico (1) que comprende un módulo seguro (14) destinado a alojar al menos un perfil de abonado (18) a una red de comunicación móvil y una primera interfaz (13) para al menos la transmisión de demandas locales (101) de configuración de perfil hacia el módulo seguro (14), caracterizado porque el módulo seguro (14) comprende un gestor local (15) para al menos la recepción de demandas locales (101) de configuración de perfil procedentes desde la primera interfaz (13) y también un agente de activación (16) que comprende un medio de detección (161) de un modo de gestión local del perfil para autorizar y/o prohibir al gestor local (15) procesar las demandas locales (101) de configuración en función del resultado de la detección.

Description

DESCRIPCIÓN

Dispositivo electrónico que comprende un módulo seguro que soporta un modo de gestión local de configurar de un perfil de abonado

El campo de la invención se refiere a un dispositivo electrónico que comprende un módulo seguro, del tipo de tarjeta de circuito integrado, por ejemplo, destinado a alojar al menos un perfil de abonado en una red de comunicación móvil.

El módulo seguro de un dispositivo electrónico suele designarse por el acrónimo UICC, "Tarjeta de Circuito Integrado Universal" (“Universal Integrated Circuit Card” en inglés), por eUICC por "Tarjeta de Circuito Integrado Universal Incorporada" (“Embedded Universal Integrated Circuit Card” en inglés) o eSE por "Elemento Seguro Integrado" (“Embedded Secure Element” en inglés). Estos módulos seguros son del tipo de tarjeta de circuito integrado extraíble o están soldados en el dispositivo electrónico del usuario.

En la denominada arquitectura M2M, por “Máquina a Máquina” ("Machine to Machine" en inglés), se carga un perfil de aprovisionamiento durante la fabricación del módulo seguro o del dispositivo electrónico y, a continuación, un servidor distante proporciona los perfiles de abonado por medio de una red de comunicación segura que pone en práctica operaciones de cifrado y descifrado de los datos.

Por ejemplo, el perfil de un abonado que permite el uso de un servicio de red de comunicación móvil se puede aprovisionar y configurar a distancia. Las especificaciones técnicas de la asociación GSMA denominada “Arquitectura de aprovisionamiento distante para UICC integrado” versión 3.0 del 30 de junio de 2015 (SGP-02-V3-0) tienen como objetivo proporcionar un marco para el desarrollo de estas soluciones. Otro ejemplo de un perfil de un abonado provisto a distancia es el documento de patente US 2014/0031012 A1.Z.

Además, se conoce el documento de patente EP1483930B1, por ejemplo, que describe una solución que permite la actualización de un módulo seguro. Las acciones de aprovisionamiento y configuración se inician por un servidor distante.

O bien, también se busca proporcionar dispositivos electrónicos que autoricen al usuario o una aplicación que resida dentro del dispositivo electrónico o dentro del módulo seguro para iniciar, a nivel local, el aprovisionamiento de un perfil de abonado y configurar dicho perfil a nivel local. Las funciones denominadas de gestión de perfil o "Profile Management" en inglés también se transmiten entonces por medio de una interfaz del dispositivo electrónico que se comunica con el módulo seguro. La interfaz tiene por función transmitir demandas locales de configuración, iniciadas, por ejemplo, por el usuario o bien por una aplicación que pueda estar ubicada, por ejemplo, en el dispositivo electrónico o también en el módulo seguro, a partir de una aplicación de software de gestión del perfil que funciona en el entorno de software del dispositivo electrónico, a un gestor local de las demandas locales de configuración del módulo seguro.

Por gestión local o modo de gestión local del perfil se entiende las funciones de configuración de un perfil iniciadas o procedentes del dispositivo electrónico (a través de la interfaz hombre-máquina o de una aplicación) que incorpora el módulo asegurado o iniciadas o procedentes del propio módulo seguro (a través de una aplicación) a diferencia de una arquitectura en donde las funciones de gestión de perfiles se originan en un servidor distante.

Un objetivo de la invención es garantizar la seguridad de las acciones de configuración local del perfil. Otro objetivo de la invención es garantizar la convivencia operativa entre un modo de gestión distante de un perfil y un modo de gestión local.

Más concretamente, la invención se refiere a un dispositivo electrónico que comprende un módulo seguro destinado a alojar al menos un perfil de abonado en una red de comunicación móvil y una primera interfaz para al menos la transmisión de demandas locales de configuración de perfil hacia el módulo seguro. Según la invención, el dispositivo comprende un gestor local para al menos la recepción de demandas locales de configuración de perfil que se originan en la primera interfaz y también un agente de activación que comprende un medio de detección de un modo de gestión local del perfil para autorizar y/o prohibir al gestor local el procesamiento de las demandas locales de configuración en función del resultado de la detección.

En una forma de realización alternativa, las demandas locales son demandas para activar un perfil de abonado, demandas para desactivar un perfil de abonado y demandas para borrar un perfil de abonado.

En una forma de realización alternativa, el medio de detección comprende un medio para verificar que, durante un aprovisionamiento del perfil, dicho aprovisionamiento del perfil se origina desde la primera interfaz para determinar el resultado de la detección.

En una forma de realización alternativa, el módulo seguro también comprende una segunda interfaz que se comunica con un servidor distante para al menos la recepción de demandas distantes de configuración de perfil y el medio de detección comprende un medio para determinar al menos un protocolo de transporte de radiofrecuencia seguro que fue ejecutado por la segunda interfaz durante el aprovisionamiento del perfil para determinar el resultado de la detección.

En una forma de realización alternativa, el protocolo de transporte de radiofrecuencia seguro es del tipo SCP80 o SCP81.

En una forma de realización alternativa, el medio de detección también comprende un medio para verificar que la segunda interfaz ha recibido una instrucción de activación del modo de gestión local del perfil procedente del servidor distante para determinar el resultado de la detección.

En una forma de realización alternativa, la primera interfaz comprende un medio para notificar al servidor distante que active el modo de gestión local del perfil.

En otra forma de realización alternativa, el agente de activación comprende un medio para autorizar y/o prohibir que el gestor local procese la totalidad o una parte de las demandas locales de configuración que se originan en la primera interfaz. Por ejemplo, el agente de activación comprende un medio para autorizar al gestor local a procesar las demandas locales para activar y desactivar un perfil de abonado y para prohibir al gestor local que procese demandas locales para borrar un perfil de abonado.

También se proporciona, según la invención, un método para activar un modo de gestión local de demandas de configuración de un perfil de abonado para un dispositivo electrónico que comprende un módulo seguro destinado a alojar al menos un perfil de abonado. Según la invención, el método comprende una etapa de detección de un modo de gestión local del perfil por un medio de detección de un agente de activación del módulo seguro, y luego una etapa de autorización o de prohibición a un gestor local del módulo seguro para procesar demandas locales de configuración que se originen en una primera interfaz del dispositivo electrónico en función del resultado de la detección.

Según una forma de realización alternativa, la etapa de detección comprende la verificación de que, durante un aprovisionamiento del perfil, dicho aprovisionamiento del perfil se origina desde la primera interfaz para determinar el resultado de la detección.

Según otra forma de realización alternativa, la etapa de detección también comprende la determinación de al menos un protocolo de transporte de radiofrecuencia seguro que ha sido ejecutado por una segunda interfaz del módulo seguro para determinar el resultado de la detección.

Según una forma de realización alternativa, el protocolo de transporte de radiofrecuencia seguro es del tipo SCP80 o SCP81.

Según otra forma de realización alternativa, la etapa de detección también comprende la verificación de la recepción por la segunda interfaz de una instrucción de activación del modo de gestión local del perfil procedente de un servidor distante para determinar el resultado de la detección.

Según una forma de realización alternativa, el método también comprende una etapa de notificación por parte de la interfaz al servidor distante para activar el modo de gestión local del perfil.

Según otra forma de realización alternativa, el método también comprende una etapa de autorización o de prohibición al gestor local de procesar la totalidad o una parte de las demandas locales de configuración que se originan en la primera interfaz. Por ejemplo, el agente de activación autoriza al gestor local a procesar las demandas locales para activar y desactivar un perfil de abonado y prohíbe al gestor local procesar las demandas locales para el borrado de un perfil de abonado.

En una forma de realización alternativa del método, las demandas locales de configuración son demandas para activar el perfil de abonado, demandas para desactivar el perfil de abonado y demandas para borrar el perfil de abonado. Según la invención, se proporciona un producto de programa informático que memoriza un código ejecutable por un dispositivo electrónico que comprende un módulo seguro destinado a alojar al menos un perfil de abonado en una red de comunicación móvil para la puesta en práctica del método según cualquiera de las formas de realización precedentes.

Gracias a la invención, la activación del modo de gestión local para configurar un perfil de abonado es segura. El módulo seguro dispone de medios de detección para autorizar o prohibir el procesamiento de demandas locales de configuración. Además, la invención permite a un operador mantener el control sobre el modo de gestión local de la configuración de un perfil, y en particular al permitir la autorización o la prohibición de demandas específicas elegidas por el propio operador. Además, la detección del modo de gestión local está integrada en las funcionalidades del módulo seguro, lo que permite garantizar su seguridad.

Otras características y ventajas de la presente invención surgirán más claramente al leer la siguiente descripción detallada que comprende formas de realización de la invención dadas a modo de ejemplo no limitativos e ilustradas por los dibujos adjuntos, en los que:

La Figura 1 representa un dispositivo electrónico de un usuario que comprende un módulo seguro que incluye un gestor local de demandas locales de configuración;

La Figura 2A representa una primera variante del método de activación del gestor local del módulo seguro según la invención realizando una detección del modo de gestión local durante un aprovisionamiento distante de un perfil ejecutado de manera convencional. En esta situación, el gestor local no está activado;

La Figura 2B representa una segunda variante del método para activar el gestor local del módulo seguro según la invención realizando una detección del modo de gestión local durante el aprovisionamiento de un perfil iniciado a nivel local. En esta situación se activa el gestor local;

La Figura 3 representa una tercera variante del método de activación del gestor local del módulo seguro según la invención, activándose el modo de gestión local por la detección de una instrucción de activación procedente del servidor distante;

La Figura 4 representa una cuarta variante del método de activación del gestor local del módulo seguro según la invención, activándose el modo de gestión local por la lectura del estado de un parámetro de la tabla de servicios del perfil.

La invención se refiere a un dispositivo electrónico de un usuario abonado a un servicio de red de comunicación móvil del tipo GSM, Sistema Global para Comunicación Móvil ("Global System for Mobile Communications" en inglés), CDMA, Acceso Multiple por División de Código ("Code Division Multiple Access" en inglés), WiFi, o más en general, cualquier red de comunicación a distancia de corto, medio y largo alcance. El dispositivo electrónico puede ser un dispositivo portátil del tipo teléfono móvil, tableta, reloj, ordenador, automóvil o dispositivo electrónico fijo que utilice una red de telefonía móvil para sus funciones, por ejemplo, un controlador distante, un distribuidor o cualquier máquina que pueda ser supervisada a distancia en una arquitectura de tipo M2M.

Para estos fines, el dispositivo electrónico comprende un módulo seguro destinado a alojar uno o más perfiles de abonado para autenticarse en una o más redes de comunicación móvil. El perfil de abonado se configura a distancia mediante la comunicación segura que ofrece la red de comunicación móvil.

Además, dentro del marco de la invención, se busca proporcionar un dispositivo electrónico cuyo perfil de abonado pueda ser provisto y configurado a nivel local a través de una interfaz del dispositivo electrónico que se comunique con un gestor local del módulo seguro. Es necesario garantizar la protección del gestor local y garantizar la cooperación entre el gestor local y el servidor distante que generalmente ejecuta las acciones de configuración y de aprovisionamiento. La invención propone un dispositivo electrónico que comprende un módulo seguro capaz de funcionar según un modo de gestión local del perfil.

Un modo de gestión local opera mediante funciones para configurar el perfil de abonado y demandas locales que son iniciadas por el usuario del dispositivo electrónico, por ejemplo, mediante una aplicación para configurar un perfil incorporado utilizable por el usuario a través de una interfaz hombre-máquina del dispositivo electrónico 1. El modo de gestión local permite a un usuario configurar un perfil de abonado directamente a partir de demandas locales que el usuario ha iniciado en su dispositivo electrónico. A modo de ejemplo no limitativo, las demandas locales son demandas para activar un perfil ("EnableProfile" en inglés), demandas para desactivar un perfil ("DisableProfile" en inglés) y demandas para borrar un perfil ("DeleteProfile" en inglés).

El modo de gestión distante de un perfil de abonado se diferencia en que un servidor distante inicia demandas distantes de configuración. Las demandas distantes de configuración son iniciadas por una función del servidor distante y transmitidas al módulo seguro a través de la red de comunicación de telefonía móvil. Las demandas distantes de configuración están protegidas por métodos de cifrado y protocolos de transporte de radiofrecuencia seguros. Por ejemplo, estas demandas distantes corresponden a las demandas enumeradas en el apartado 4.1 de la norma GSMA mencionada con anterioridad que describe las funciones existentes entre un servidor distante y el módulo seguro para la gestión de un perfil. A modo de ejemplo, pero no limitativo, las demandas distantes de un perfil son demandas para crear un perfil ("CreatelSDP"), demandas para activar un perfil ("EnableProfile"), para desactivar un perfil ("DisableProfile"), demandas para borrar un perfil ("DeleteProfile"), demandas para consultar el estado de un perfil ("eUICCCapabilityAudit"), demandas de autenticación mutua para el intercambio de un secreto ("EstablishISDRKeySet"), demandas de eliminación de claves ("FinaliselSDRhandover").

Más concretamente, la Figura 1 representa el dispositivo electrónico 1 de un usuario que comprende un módulo seguro 14 capaz de alojar uno o más perfiles de abonado 18. El módulo seguro 14 es un circuito integrado de tipo tarjeta SIM extraíble “Subscriber Identification Module” en inglés, o un circuito integrado soldado al dispositivo electrónico 1, comúnmente denominado eSE. El dispositivo electrónico 1 también comprende un medio de comunicación 12 para el intercambio de datos a través de una red de comunicación por radiofrecuencia, por ejemplo, del tipo GSM o CDMA. El medio de comunicación 12 permite intercambios del tipo de voz, datos, internet móvil o SMS, Servicios de Mensajes Cortos (“Short Message Service” en inglés), por ejemplo.

Más concretamente, un perfil de abonado 18 incluye, entre otros, los parámetros de conexión y los medios criptográficos para autenticar y acceder a una red de telefonía móvil, un sistema de archivos, grupos de claves criptográficas ("Keysets" en terminología inglesa) y aplicaciones de acceso a la red (“NAA” en terminología inglesa). En particular, el perfil de abonado permite el uso de claves criptográficas privadas y aplicaciones de red memorizadas en el módulo seguro 14 para autenticarse con un servidor de autenticación de la red telefónica y así estar autorizado a utilizar los recursos de la red de telecomunicaciones. Además, los medios criptográficos incluyen funciones que utilizan algoritmos de autenticación que se usan para el proceso de autenticación, así como algoritmos de cifrado y descifrado de datos para realizar comunicaciones seguras a través de la red de telefonía móvil.

El dispositivo electrónico 1 comprende una primera interfaz 13 para al menos la transmisión de demandas locales 101 de configuración de perfil hacia el módulo seguro 14. Las demandas locales 101 de configuración son las demandas/funciones que utilizan las funciones de gestión de perfil 18, por ejemplo, las funciones de activación, desactivación y borrado de un perfil. Estas demandas locales son generadas por el dispositivo electrónico 1, por ejemplo, por una demanda del usuario a través de la interfaz hombre-máquina 10 y la interfaz de configuración 13.

Conviene señalar que las demandas locales 101 de configuración de un perfil 18 pueden utilizar las funciones equivalentes a las demandas distantes denominadas de GESTIÓN DE PERFIL de la especificación técnica GSMA antes mencionada, como, por ejemplo, las demandas distantes denominadas EnableProfile, DisableProfile y DeleteProfile. A diferencia de la especificación GSMA, las demandas locales 101 de configuración son generadas por el dispositivo electrónico 1, y no por un servidor distante 20.

La primera interfaz 13 es una aplicación utilizada por el entorno de software del dispositivo electrónico 1 y, de manera preferente, tiene también por función la de aprovisionar un perfil de abonado 18 al módulo seguro 14 en un modo de aprovisionamiento iniciado a nivel local. En este modo de aprovisionamiento iniciado a nivel local, la interfaz 13 comprende un medio para transmitir una demanda de aprovisionamiento de perfil de abonado a un servidor distante de aprovisionamiento 20 a través de los medios de comunicación 11 o 12. La interfaz 13 también comprende un medio para recibir el programa script de instalación de un perfil de abonado recibido a través de los medios de comunicación 11 o 12. Es posible prever el acceso a una red de comunicación 21 diferente de una red de telefonía móvil a través de la cual el perfil puede ser aprovisionado en el modo local. La red de comunicación 21 es una red de un proveedor de acceso a Internet (cableada o de fibra óptica, por ejemplo) a través de comunicaciones del tipo WiFi, Ethernet o fibra óptica, por ejemplo.

En el modo de gestión local de un perfil de abonado, Conviene señalar que las demandas locales 101 de configuración cuando se reciben desde el exterior a través del medio de comunicación 11 o del medio de comunicación 12 son procesadas por la interfaz 13 (por ejemplo, para operaciones de descifrado y memorización temporal) con el fin de ser ejecutables por el módulo seguro 14.

Además, en el contexto de la invención, el módulo seguro 14 también incluye un gestor local 15 para recibir al menos demandas locales de configuración de perfil 101 originadas desde la primera interfaz 13 y también un agente de activación 16 que comprende un medio de detección 161 de un modo de gestión local del perfil para autorizar y prohibir al gestor local 15 procesar las demandas locales 101 de configuración en función del resultado de la detección. Más concretamente, el agente de activación 16 autoriza al gestor local 15 a procesar las demandas locales que se originan en la primera interfaz 13 cuando el resultado de la detección indica que se detecta el modo de gestión local. Si no es así, el agente de activación 16 prohíbe al gestor local 15 procesar las demandas locales que se originan en la primera interfaz 13 cuando el resultado de la detección indica que no se detecta el modo de gestión local. Conviene señalar que el módulo seguro 14 es capaz de recibir las demandas locales 101 de configuración y un perfil de abonado 18, cuyo aprovisionamiento es iniciado por el usuario por medio de la interfaz 13.

Además, el módulo seguro 14 comprende una segunda interfaz 17 capaz de comunicarse con el servidor distante 20 para recibir un perfil de abonado 18 y demandas distantes 102 de configuración del perfil 18. La segunda interfaz 17 es un medio para enrutar un perfil de abonado y demandas de configuración distantes generadas por el servidor distante 20. La interfaz 17 del módulo seguro 14 ejecuta en particular operaciones de cifrado-descifrado de conformidad con los protocolos de transporte seguro conocidos como Protocolo de Canal Seguro ("Secure Channel Protocol" en inglés), por ejemplo, SCP03 o SCP03t, SCP80 y SCP81. Una vez que el flujo de datos ha sido descifrado, es procesado por el módulo seguro 14 para la ejecución del programa script de instalación del perfil y las demandas distantes de configuración. La interfaz 17 del módulo seguro 14 recibe un flujo de datos a través de un medio de comunicación GSM o CDMA 12 del dispositivo electrónico 1.

Por ejemplo, el medio de cifrado-descifrado de la interfaz 17 del módulo seguro cumple con la especificación técnica SCP03 descrita en el documento "Tecnología de tarjeta de plataforma global - Protocolo de canal seguro 03 -Especificaciones de la tarjeta V2.2-Enmienda D", versión 1.1.1, en la especificación técnica SCP03t descrita en el documento "Arquitectura de aprovisionamiento distante para la especificación técnica de UICC integrada", versión 3.0, a la especificación técnica SCP80 en particular puesta en práctica en el documento ETSI TS 102 225 v12.0.0 "Estructura de paquetes segura para aplicaciones basadas en UICC” y a la especificación técnica SCP081 “Gestión distante de aplicaciones a través de http - Especificación de tarjeta V2.2-Enmienda B”- versión 1.1.3.

También es concebible que la interfaz 13 del dispositivo electrónico 1 también realice operaciones de descifrado de conformidad con los protocolos de transporte seguro SCP03, SCP80 o SCP81 antes de la transmisión al gestor local 15 del módulo seguro 14.

Conviene señalar que la interfaz 17 se suele designar con el acrónimo ISD-R, Raíz del Dominio de Seguridad del Emisor ("Issuer Security Domain Root" en inglés) en la norma GSMA antes mencionada y está destinada a cooperar con una interfaz del servidor distante 20 a cargo del cifrado del flujo de datos (por ejemplo, un programa script para instalar un perfil de abonado, demandas distantes 102 en forma de una orden APDU, Unidad de datos de Protocolo de Aplicación, (“Application Protocol Data Unit” en inglés)).

Además, en el contexto de la invención, la interfaz 17 es capaz de recibir del gestor local 15 demandas locales 101 recibidas a través de la interfaz 13 del dispositivo electrónico 1, cuando el gestor local 15 está autorizado para transmitir estas demandas locales. La interfaz 17 a continuación procesa las demandas locales. Así, por procesamiento de las demandas locales por parte del gestor local 15, se entiende en particular que el gestor local 15 es el encargado de transmitir las demandas locales 101 de configuración a la segunda interfaz 17 en función del resultado de la detección del modo de gestión local.

La interfaz 17 del módulo seguro también puede recibir un programa script de instalación de un perfil de abonado en el modo de aprovisionamiento iniciado a nivel local desde la interfaz 13 del dispositivo electrónico 1. En este caso, el programa script de instalación y las demandas locales de configuración han sido procesadas y descifradas, en su totalidad o en parte, de antemano mediante la interfaz 13.

Conviene señalar que las demandas distantes 102 para configurar un perfil pueden ejecutar las funciones denominadas de GESTIÓN DE PERFILES de la especificación técnica GSMA antes mencionada, como por ejemplo las demandas distantes denominadas EnableProfile, DisableProfile y DeleteProfile.

En una primera variante, el medio de detección 161 comprende un medio para verificar si, durante el aprovisionamiento, el perfil se origina desde la primera interfaz 13 para determinar el resultado de la detección. Además, el medio de detección 161 comprende un medio para determinar al menos un protocolo de transporte seguro de radiofrecuencia que ha sido utilizado por la segunda interfaz 17 durante el aprovisionamiento del perfil para determinar el resultado de la detección. Por ejemplo, el medio de detección determina si el protocolo de transporte seguro es del tipo SCP81, SCP80 o cualquier protocolo de transporte seguro de radiofrecuencia para una red de telecomunicación. Cuando el resultado de la detección indica que se detecta un protocolo de transporte seguro de radiofrecuencia, el agente de activación 16 prohíbe al gestor local 15 procesar las demandas locales 101, es decir, prohíbe la transmisión de las demandas locales 101 de configuración a la segunda interfaz 17. En caso contrario, el gestor local 15 está autorizado, por el agente de activación 16, para transmitir las demandas locales 101 de configuración a la segunda interfaz 17.

En una segunda variante, el medio de detección 161 comprende también un medio para verificar si se recibe una instrucción de activación del modo de gestión local del perfil procedente del servidor distante 20 para determinar el resultado de la detección. Cuando el resultado de la detección indica que se recibe dicha instrucción, el agente de activación 16 autoriza al gestor local 15 a transmitir las demandas locales 101 de configuración a la segunda interfaz 17. De lo contrario, el gestor local 15 prohíbe la transmisión de las demandas locales 101 de configuración a la segunda interfaz 17. Se notifica necesariamente al servidor distante 20 de la compatibilidad del dispositivo electrónico 1 y del módulo seguro 14 con el modo de gestión local de configuración. Para ello, una primera forma consiste en enviar una notificación al servidor por parte del dispositivo para hacerle conocer la información de soporte y de compatibilidad del módulo de seguridad con la gestión local de configuración. Por ejemplo, este modo de detección actúa cuando el módulo seguro se inserta por primera vez en el dispositivo electrónico 1 o cuando el usuario desea activar la gestión local de configuración a través de la interfaz hombre-máquina. También se puede realizar otra forma de proceder a través de una demanda del servidor al módulo de seguridad mediante el dispositivo electrónico para interrogarlo sobre sus capacidades en cuanto a la gestión del modo local de configuración. Tras el intercambio entre el servidor y el módulo seguro, si resulta que se admite la gestión local de configuración, el servidor activará el modo de gestión local de configuración enviando una orden de activación al módulo seguro y más concretamente a la interfaz 17. Por ejemplo, este modo puede intervenir cuando el servidor distante 20 se autentifica por primera vez con el módulo seguro 14.

El medio de detección 161 es una función de software del agente de activación 16 capaz de recibir una notificación o capaz de realizar intercambios de tipos de demanda y respuesta con la interfaz 17 para detectar el modo de gestión local según la primera variante o la segunda variante de detección.

Está previsto que el dispositivo electrónico 1 también incluya un medio para notificar al servidor distante 20 que active el modo de gestión local del perfil, en particular cuando detecta que el módulo seguro comprende un gestor local 15 o esa información o marcador lo indica en la tabla de servicio de un perfil.

Conviene señalar que la primera y la segunda variante de detección del modo de gestión local pueden ser ambas o solamente una de las dos utilizadas por el agente de activación 16.

También está previsto que el agente de activación 16 incluya un medio para autorizar y prohibir al gestor local 15 transmitir a la segunda interfaz 17 la totalidad o parte de las demandas locales de configuración recibidas por la primera interfaz 13. Por ejemplo, el agente de activación 16 puede, por un lado, autorizar al gestor local 15 a procesar una demanda local de activación y desactivación de un perfil de abonado 18 por parte del gestor local 15 y, por otro lado, prohibir al gestor local 15 procesar una demanda local de borrado del perfil. En particular, esta configuración puede ser deseada por un operador de telefonía móvil que no desea que el usuario borre el perfil.

Por supuesto, los expertos en esta técnica pueden proporcionar otras distribuciones o arquitecturas de software de las funciones realizadas por el agente de activación 16, el gestor local 15, la primera interfaz 13 y la segunda interfaz 17 entre el dispositivo electrónico 1 y el módulo seguro 14 sin apartarse del alcance de la invención. Los expertos en esta técnica pueden proporcionar otras distribuciones o arquitecturas de software que garanticen un nivel de seguridad suficiente para la protección del perfil de abonado y el funcionamiento del modo de gestión local.

Conviene señalar que el servidor distante 20 es una entidad electrónica distante utilizada por un operador de telefonía móvil que posee el perfil o perfiles de abonado registrados en el módulo seguro 14. El servidor distante 20 incluye una función para preparar datos para la instalación de perfiles de abonado y para la ejecución de demandas de configuración por el módulo seguro. De conformidad con la especificación técnica de GSMa antes mencionada, SM-DP designa la función de preparación de datos para "Preparación de datos del gestor de abonados" (“Subscription Manager Data Preparation” en ingles). El servidor distante 20 también incluye una función de enrutamiento de los datos hacia la interfaz 17 del módulo seguro que utiliza el cifrado de las comunicaciones de radiofrecuencia (por ejemplo, SCP80 y SCP81) y de los datos transmitidos (por ejemplo, SCP03 o SCP03t). De conformidad con la especificación técnica de GSMA antes mencionada, la función de enrutamiento de datos es designada por SM-SR, por “Enrutamiento Seguro del Gestor de Abonado” (“Subscription Manager Secure Rounting” en ingles).

La Figura 2A representa una primera situación operativa del método de desactivación del gestor local 15. La primera situación corresponde a un aprovisionamiento de un perfil procedente de un servidor distante 20 directamente en la interfaz 17 a través de la red de radiofrecuencia de telefonía móvil y para que el agente de activación 16 prohíba al gestor local 15 procesar demandas locales.

En una etapa inicial 201, el servidor distante 20 prepara un programa script de instalación para un perfil de abonado y proporciona el cifrado del flujo de datos, por ejemplo, un cifrado de protocolo de transporte de radiofrecuencia seguro conforme al norma SCP80 o SCP81.

En una etapa 202, el programa script de instalación del perfil se transmite a la interfaz 17 del módulo seguro a través de la red de comunicación móvil cifrada de conformidad con un protocolo de transporte seguro por radiofrecuencia. A continuación, en una etapa 203, el programa script de instalación de perfil es recibido y procesado por la interfaz 17. Durante esta etapa, se llevan a cabo las operaciones de descifrado de conformidad con el protocolo de transporte de radiofrecuencia seguro del tipo SCP80 o SCP81.

En paralelo, el medio de detección 161 del agente de activación 16 realiza una etapa de detección 205 del modo de gestión local del perfil aprovisionado. En esta forma de realización, se informa al medio de detección 161 sobre la demanda o recepción de una notificación de la interfaz 17 que ejecuta las operaciones de descifrado que se ajustan a un protocolo de transporte de radiofrecuencia seguro. Los intercambios de información 204 pueden tener lugar entre la interfaz 17 y el agente de activación 16 para llevar a cabo la detección y determinar el resultado de la misma. En este caso, el resultado de la detección indica que no se detecta el modo de gestión local.

Conviene señalar que, en esta fase del proceso, el perfil del abonado instalado no está activado. Se encuentra en un estado de espera de activación.

En esta situación, el agente de activación 16 detecta un aprovisionamiento distante del perfil porque el resultado de la detección no indica un modo de gestión local, y transmite en una etapa 206, al gestor local 15, una instrucción de prohibición de procesar las demandas locales 101 de configuración. En una etapa 207, se ordena al gestor local 15 que prohíba el procesamiento de las demandas locales 101 de configuración, en particular su transmisión a la interfaz 17.

A continuación, se asume que en una etapa 208, el usuario realiza una acción a través de la interfaz hombre-máquina del dispositivo electrónico para activar el perfil de abonado por sí mismo. En una etapa 209, la instrucción de activación se transmite a la interfaz 13 que, en una etapa 210, prepara la demanda local de activación. En una etapa 211, la demanda local de activación del perfil se transmite al gestor local 15. En la etapa 212, esta demanda local de activación es rechazada, porque el gestor local 15 tiene prohibido transmitir las demandas locales 101 de configuración a la segunda interfaz 17. En una etapa 213, se transmite una notificación de rechazo a la interfaz 13 del dispositivo electrónico 1 que, a continuación, informa preferiblemente al usuario a través de la interfaz hombre-máquina.

Conviene señalar que posteriormente, en una etapa 214 el servidor distante 20 prepara una demanda distante para activar el perfil, y en una etapa 215 lo transmite a la interfaz 17 del módulo seguro, y luego, en una etapa 216, la interfaz 17 procesa la demanda distante de activación de perfil. Es concebible que el servidor distante 20 haya sido informado a través de un servicio de Internet del deseo del usuario de activar el perfil tras el rechazo de la activación local.

La Figura 2B representa una segunda situación operativa del método de activación del gestor local 15 en donde el usuario inicia el aprovisionamiento de un perfil de abonado a través de la interfaz 13 del dispositivo electrónico 1, por ejemplo, un perfil de un operador recibido a través del medio de comunicación 11 o 12. La situación corresponde a un primer modo de detección de un modo de gestión local mediante la detección de un aprovisionamiento de un perfil que se origina en la interfaz 13. El agente de activación 16 autoriza al gestor local 15 a procesar las demandas locales 101 de configuración.

En una etapa 217, la interfaz 13 inicia con el servidor distante 20 a través de los medios de comunicación 11 o 12, una demanda de aprovisionamiento de un perfil de abonado. El servidor distante 20 transmite un programa script de instalación de perfil, luego la interfaz 13 recibe el script de instalación a través de los medios de comunicación 11 o 12, y en una etapa 218 la interfaz 13 activa el aprovisionamiento destinado a la interfaz 17 del módulo seguro 14. El aprovisionamiento se puede cifrar durante esta fase de conformidad con un protocolo de cifrado utilizado para un bus de comunicación de datos cableado entre la interfaz 13 del dispositivo electrónico 1 y la interfaz 17 del módulo seguro 14. Conviene señalar que la demanda de aprovisionamiento es una orden local del tipo "Descargar perfil" (“Download Profile” en inglés) que se envía directamente a la interfaz 17. En una etapa 219, la interfaz 17 procesa el programa script de instalación del perfil. Conviene señalar que la demanda de aprovisionamiento de un perfil no está sujeta al control de autorización o de prohibición de procesamiento del gestor local 15. Es posible que la interfaz 13 utilice un descifrado del programa script de instalación en la recepción, si se recibe cifrado antes de la transmisión a la interfaz 17 del módulo seguro.

En paralelo, el medio de detección 161 del agente de activación 16 realiza una etapa 221 para detectar un modo de gestión local del perfil aprovisionado. En esta forma de realización, el medio de detección 161 a la demanda o solicitud de una notificación de la interfaz 17 es informado de que el aprovisionamiento del perfil se ha utilizado a través de la primera interfaz 13 para determinar el resultado de la detección. Más concretamente, la ausencia de operaciones de descifrado (por ejemplo, SCP80, SCP81) en el marco de un protocolo de transporte seguro para una red de comunicación de radiofrecuencia, por ejemplo, la red de comunicación de telefonía móvil, es detectada por el medio de detección 161 y determina el resultado de la detección que indica un modo de gestión local. Se informa al agente de activación 16 de que el perfil se ha aprovisionado a nivel local y, por tanto, detecta el modo de gestión local del perfil. Los intercambios de información 220 tienen lugar entre la interfaz 17 y el agente de activación 16 para realizar la detección y determinar el resultado de la misma.

En esta situación, el agente de activación 16 detecta un aprovisionamiento local del perfil 18 y envía, en una etapa 222, una orden de autorización para procesar las demandas locales de configuración al gestor local 15 del módulo seguro 14. En una etapa 223, el gestor local 15 está autorizado para transmitir las demandas locales 101 de configuración con destino a la segunda interfaz 17.

A continuación, en una etapa 224, el usuario solicita la activación del perfil a través de la interfaz hombre-máquina 10 del dispositivo electrónico 1. En una etapa 225, esta demanda se transmite a la interfaz 13 que prepara la demanda local de activación del perfil en una etapa 226. En una etapa 227, la demanda local de activación se transmite al gestor local 15 que se retransmite, en una etapa 228, a la interfaz 17 para su ejecución.

Está previsto que durante la etapa 221, el agente de activación 16 detecte una instrucción para la autorización parcial de demandas locales, por ejemplo, una instrucción para autorizar demandas de activación y desactivación del perfil y una instrucción para prohibir demandas para borrar un perfil. En la etapa 222, la orden de autorización de procesamiento de las demandas locales de configuración al gestor local 15 del módulo seguro 14 configura entonces una autorización parcial de las demandas locales, por ejemplo, la autorización de las demandas de activación/desactivación de un perfil y la prohibición de demandas para el borrado del perfil.

La Figura 3 representa el segundo modo de detección del modo de gestión local del perfil. Esta situación corresponde, por ejemplo, a la inserción del módulo seguro en un nuevo dispositivo electrónico 1. El módulo seguro 14 es compatible con un modo de gestión local, es decir, es capaz de recibir demandas locales de configuración del perfil. En una etapa 301, la interfaz 13 genera una notificación al servidor 20 de la presencia de medios operativos de un modo de gestión local en el dispositivo electrónico. En esta fase operativa, el agente de activación 16 del módulo seguro 14 prohíbe al gestor local 15 procesar las demandas locales 101. En una variante, en una etapa previa 300, el usuario inicia una demanda para activar el modo de gestión local a través de la interfaz hombre-máquina 11 y la interfaz 13.

A continuación, en una etapa 302, la interfaz 13 transmite al servidor a través del medio de comunicación 11 o del medio de comunicación 12, una notificación para la activación del modo de gestión local. La notificación se cifra preferiblemente mediante un algoritmo de cifrado en cooperación con el servidor distante. En una etapa 303, el servidor distante 20 prepara una instrucción de activación del modo de gestión local del perfil y luego, en una etapa 304, realiza su transmisión a la interfaz 17 mediante una comunicación segura de la red de comunicación móvil. De este modo se asegura la orden de activación del modo de gestión local.

La interfaz 17 recibe la instrucción para activar el modo de gestión local y ejecuta la orden en una etapa 305 y transmite, en una etapa 306, una instrucción de activación del modo de gestión local al agente de activación 16. El método comprende entonces una etapa 307 mediante el medio de detección 161 de verificación de la recepción de la instrucción para activar el modo de gestión de perfil local procedente del servidor distante 20 con el fin de determinar el resultado de la detección. El resultado de la detección indica que el modo de gestión local está autorizado. En una etapa 308, se transmite una instrucción de autorización para el modo de gestión local al gestor local 15. Las demandas locales 101 de configuración se autorizan entonces en una etapa 309.

Es concebible que el dispositivo electrónico utilice el proceso inverso correspondiente a una desactivación del modo de gestión local mediante una instrucción de desactivación desde el servidor distante 20. En esta situación, el medio de detección 161 determina el resultado de la detección que indica una desactivación del modo de gestión local. A continuación, el agente de activación 16 prohíbe al gestor local 15 procesar las demandas locales.

La Figura 4 representa una tercera forma de realización para activar el modo de gestión local. Se supone que el módulo seguro 14 se conecta con el servidor distante 20 a través de una comunicación de la red móvil. Por ejemplo, en esta situación operativa, se trata de la primera autenticación del módulo seguro con el servidor distante. El módulo seguro 14 ya está aprovisionado con un perfil de abonado.

En una etapa 400, la interfaz 17 prepara una notificación de compatibilidad con el modo de gestión local, por ejemplo, informando del estado de un parámetro de la tabla de servicios del perfil. El parámetro de la tabla de servicios es un marcador o una información que indica la compatibilidad del perfil con un modo de gestión local. En una etapa 402, tienen lugar intercambios entre la interfaz 17 y el servidor distante 20 a través de la comunicación segura de la red de comunicación. En una etapa 401, se informa al servidor distante de la compatibilidad del módulo seguro con el modo de gestión local.

En una variante, durante la etapa 401, el servidor distante 20 interroga a la interfaz 17 para determinar la compatibilidad del módulo seguro 14 con el modo de gestión local. En la etapa 400, la interfaz 17 realiza la lectura del parámetro de la tabla de servicios del perfil.

En una etapa 403, el servidor distante 20 prepara una instrucción de activación del modo de gestión local del perfil y luego, en una etapa 404, realiza su transmisión a la interfaz 17 a través de una comunicación segura de la red de comunicación móvil. De este modo se asegura la orden de activación del modo de gestión local.

La interfaz 17 recibe la instrucción para activar el modo de gestión local y ejecuta la orden en una etapa 405 y transmite, en una etapa 406, una instrucción de activación del modo de gestión local al agente de activación 16. El método comprende entonces una etapa 407 mediante el medio de detección 161 para verificar la recepción de la instrucción de activación del modo de gestión local del perfil procedente del servidor distante 20 con el fin de determinar el resultado de la detección. El resultado de la detección indica que el modo de gestión local está autorizado. En una etapa 408, se transmite una instrucción de autorización para el modo de gestión local al gestor local 15. Las demandas locales 101 de configuración se autorizan entonces en una etapa 409.

Por supuesto, está previsto que todas las variantes de formas de realización del método para activar el gestor local 15 incluyan una etapa de detección de una instrucción de autorización parcial para demandas locales, por ejemplo, una instrucción de autorización para demandas, activación y desactivación del perfil y una instrucción de prohibición de demandas para borrar un perfil. La orden de autorización para procesar demandas locales de configuración al gestor local 15 del módulo seguro 14 configura entonces una autorización parcial de las demandas locales, por ejemplo, la autorización de demandas para activar/desactivar un perfil y la prohibición de las demandas de borrado del perfil.

La invención garantiza la seguridad de la activación del modo de gestión local mediante varios modos de detección utilizados por el agente de activación 16 que son una función de comunicaciones seguras, en particular mediante la detección de un protocolo de transporte de radiofrecuencia seguro entre el módulo seguro y un servidor distante o la detección de un orden de activación desde el servidor distante. El servidor distante conserva así el control sobre la activación y la desactivación del modo de gestión local.

Conviene señalar que el dispositivo electrónico 1 y el módulo seguro 14 comprenden, cada uno, un circuito integrado de microprocesador y memorias programables para la ejecución de las funciones de software necesarias para la ejecución del método de activación del modo de gestión local.

Claims

REIVINDICACIONES

1. Dispositivo electrónico (1) que comprende un módulo seguro (14) destinado a alojar al menos un perfil de abonado (18) a una red de comunicación móvil y una primera interfaz (13) para al menos la transmisión de demandas locales (101) de configuración de perfil hacia el módulo seguro (14), caracterizado porque el módulo seguro (14) comprende un gestor local (15) para al menos la recepción de demandas locales (101) de configuración de perfil procedentes desde la primera interfaz (13) y también un agente de activación (16) que comprende un medio de detección (161) de un modo de gestión local del perfil para autorizar y/o prohibir al gestor local (15) procesar las demandas locales (101) de configuración en función del resultado de la detección.

2. Dispositivo según la reivindicación 1, caracterizado porque el medio de detección (161) comprende un medio para verificar que, durante un aprovisionamiento del perfil (18), dicho aprovisionamiento del perfil (18) se origina desde la primera interfaz (13) con el fin de determinar el resultado de la detección.

3. Dispositivo según la reivindicación 1 o 2, caracterizado porque el módulo seguro (14) también comprende una segunda interfaz (17) que comunica con un servidor distante (20) para al menos la recepción de demandas distantes (102) de configuración de perfil y porque el medio de detección (161) comprende un medio para determinar al menos un protocolo de transporte de radiofrecuencia seguro que ha sido ejecutado por la segunda interfaz (17) durante el aprovisionamiento del perfil (18) para determinar el resultado de la detección.

4. Dispositivo según la reivindicación 3, caracterizado porque el protocolo de transporte de radiofrecuencia seguro es del tipo SCP80 o SCP81.

5. Dispositivo según cualquiera de las reivindicaciones 3 a 4, caracterizado porque el medio de detección (161) también comprende un medio para verificar que la segunda interfaz (17) ha recibido una instrucción de activación del modo de gestión local del perfil que procede del servidor distante (20) para determinar el resultado de la detección.

6. Dispositivo según cualquiera de las reivindicaciones 3 a 5, caracterizado porque la primera interfaz (13) comprende un medio para notificar al servidor distante (20) la activación del modo de gestión local del perfil.

7. Dispositivo según cualquiera de las reivindicaciones 1 a 6, caracterizado porque el agente de activación (16) comprende un medio para autorizar y/o prohibir al gestor local (15) procesar la totalidad o parte de las demandas locales de configuración o procedentes desde la primera interfaz (13).

8. Dispositivo según cualquiera de las reivindicaciones 1 a 7, caracterizado porque las demandas locales de configuración son demandas de activación del perfil de abonado, demandas de desactivación del perfil de abonado y demandas de borrado del perfil de abonado.

9. Método de activación de un modo de gestión local de demandas de configuración de un perfil de abonado (18) para un dispositivo electrónico (1) que comprende un módulo seguro (14) destinado a alojar al menos un perfil de abonado (18), caracterizado por que comprende una etapa de detección (221; 307; 407) de un modo de gestión local del perfil por un medio de detección (161) de un agente de activación (16) del módulo seguro (14), y luego una etapa de autorización o prohibición (222; 308; 408) para que un gestor local (15) del módulo seguro (14) procese demandas locales (101) de configuración que se originen en una primera interfaz (13) del dispositivo electrónico (1) en función del resultado de la detección.

10. Método según la reivindicación 9, caracterizado porque la etapa de detección (221; 307; 407) comprende la verificación de que, durante un aprovisionamiento del perfil (18), dicho aprovisionamiento del perfil (18) se origine desde la primera interfaz (13) para determinar el resultado de la detección.

11. Método según la reivindicación 9 o 10, caracterizado porque la etapa de detección (221; 307; 407) también comprende la determinación de al menos un protocolo de transporte de radiofrecuencia seguro que haya sido ejecutado por una segunda interfaz (17) del módulo seguro (14) para determinar el resultado de la detección.

12. Método según la reivindicación 11, caracterizado porque el protocolo de transporte de radiofrecuencia seguro es del tipo SCP80 o SCP81.

13. Método según cualquiera de las reivindicaciones 11 a 12, caracterizado porque la etapa de detección también comprende la verificación (307; 407) de la recepción por la segunda interfaz (17) de una instrucción de activación del modo de gestión local del perfil procedente de un servidor distante (20) para determinar el resultado de la detección.

14. Método según la reivindicación 13, caracterizado porque también comprende una etapa de notificación por la interfaz (13) al servidor distante (20) para activar el modo de gestión local del perfil.

15. Método según cualquiera de las reivindicaciones 9 a 14, caracterizado porque comprende, además, una etapa de autorización o de prohibición al gestor local (15) de procesar la totalidad o una parte de las demandas locales de configuración que se originan en la primera interfaz (13).

16. Método según cualquiera de las reivindicaciones 9 a 15, caracterizado porque las demandas locales de configuración son demandas de activación del perfil de abonado, demandas de desactivación del perfil de abonado y demandas de borrado del perfil de abonado.

17. Producto de programa informático que memoriza un código ejecutable por un dispositivo electrónico (1) que comprende un módulo seguro destinado a alojar al menos un perfil de abonado (18) en una red de comunicación móvil para la puesta en práctica del método según cualquiera de las reivindicaciones 9 a 16, cuando el programa es ejecutado por el dispositivo electrónico (1).