JP6514238B2

JP6514238B2 - プロフィール管理方法及びサーバ

Info

Publication number: JP6514238B2
Application number: JP2016569845A
Authority: JP
Inventors: ダンレー，アルノー; ラリニョン，ギヨーム
Original assignee: Oberthur Technologies SA
Current assignee: Idemia France SAS
Priority date: 2014-05-27
Filing date: 2015-05-26
Publication date: 2019-05-15
Anticipated expiration: 2035-05-26
Also published as: EP3149983B1; RU2016151382A3; CN106537957B; RU2673845C2; US20170188230A1; US9883386B2; FR3021835A1; FR3021835B1; WO2015181485A1; EP3149983A1; CN106537957A; KR20170008273A; KR102191176B1; JP2017521908A; RU2016151382A

Description

本発明は、移動通信端末に組み込まれたセキュアエンティティにプロフィールを供給する分野に関する。

まずはじめに、本発明における「プロフィール」とは、セキュアエンティティにインストールされた、又はセキュアエンティティにインストールするためのファイル群、データ群、及びアプリケーション群であり、該プロフィールがアクティブ化されたときに、該セキュアエンティティを組み込んでいる端末が、該プロフィールによって規定されている移動通信ネットワークのサービスにアクセスできるようにするものである。

図１は、現在の技術に準じてプロフィールを管理する方法を示している。図１は、プロフィール管理サーバ３００、ネットワークルータ２００、及び移動端末８０に組み込まれたセキュアエンティティ１００を示している。セキュアエンティティ１００は、ＧＳＭ協会（ＧＳＭＡ）によって規定されているｅＵＩＣＣ（embedded universal integrated circuit card）のタイプのエンティティである。ｅＵＩＣＣエンティティは、取り外し可能なＳＩＭ（subscriber identity module）カードとは異なり、通常はんだ付けされる（いかなる場合でも取り外したり、取り替えたりするようには設計されない）エンティティであり、プロフィールをセキュアに変更できるようにするエンティティである。

プロフィール管理サーバ３００が、ステップＳ１０でリクエスト３０１を受信して、セキュアエンティティ上でプロフィールをアクティブ化する場合を想定する。このリクエストは、以下のタイプであり得る。
request (enable-profile (EID,ICCID))
ここで、
・ＥＩＤは、ｅＵＩＣＣセキュアエレメントの一意の識別子であり、
・ＩＣＣＩＤは、セキュアエンティティ内のプロフィールを識別するための一意の識別子である。

セキュアエレメント内のプロフィールのアクティブ化は、現在アクティブであるプロフィールを非アクティブ化することと、リクエストで指定されている別のプロフィールをアクティブ化することとからなる。

再度図１を参照する。プロフィール管理サーバ３００は、別表Ａに示すように、各セキュアエレメントＥＩＤに対しプロフィール管理テーブル３００Ｔ１を保持している。

このテーブルは、各プロフィールに対し、
・セキュアエンティティＥＩＤ内のプロフィールの識別子ＩＣＣＩＤ、
・プロフィールの種類（別表Ａの例では、テーブルが、１つのプロビジョニングプロフィールと２つの操作プロフィールＰ１、Ｐ２とを有している。）、
・プロフィールの状態（非アクティブ又はアクティブ）、及び
・プロフィールに関連付けられたＭＳＩＤＳＮの電話番号、
を含んでいる。

この例では、プロフィール管理サーバ３００は、セキュアエレメント１００の現在アクティブなプロフィールが操作プロフィールＰ１であると認識していることに留意されたい。

プロフィール管理サーバ３００は、リクエスト３０１を受信すると、ステップＳ１５で、リクエストに含まれる識別子ＩＣＣＩＤに基づいて、テーブル３００Ｔ１内のプロフィールＰ２を識別し、次いで、下記の規格ＩＳＯ７８１６に準じたアプリケーションプロトコルデータユニット（ＡＰＤＵ）リクエストを生成する。
ENABLE_PROFILE (P2)

ステップＳ２０で、プロフィール管理サーバ３００は、上記ＡＰＤＵコマンドを暗号化して、それにセキュリティヘッダ、例えば下記のGlobal Platform規格に準じたＳＣＰ８０セキュリティヘッダを付与する。
Scp80‐header // ENABLE_PROFILE (P2)

ステップＳ２５で、プロフィール管理サーバ３００は、伝送サービスを利用して、テーブル３００Ｔ１中のプロフィールＰ１に関連付けられたＭＳＩＳＤＮの電話番号にステップＳ２０で構築されたフレームを送信する。プロフィール管理サーバは、このメッセージの生存期間（time-to-live）を決定するが、生存期間は例えば２４時間である。

例えば、このメッセージを送るため、及び上述の生存期間を管理するために用いられる伝送サービスは、ショートメッセージサービス（ＳＭＳ）、ＧＧＳＮサービス、又はインターネットである。以下では、ＳＭＳサービスが用いられると想定されている。
SMS(Scp80‐header // ENABLE_PROFILE(P2),MSISDN (P1),time-to-live)

図１において参照符号３０２で示されるこのＳＭＳメッセージは、伝送ネットワーク、特にルータ２００を介してセキュアエンティティ１００のプロフィールステータスマネージャ１２０に送られる。プロフィールステータスマネージャ１２０は、ステップＧ１０でＳＭＳメッセージ３０２を受信する。

セキュアエンティティ１００のプロフィールステータスマネージャ１２０は、別表Ｂに示すように、プロフィール管理テーブル１００Ｔ１を保持している。このテーブルは、第４列の「ＭＳＩＳＤＮ」を有しないことを除き、プロフィール管理サーバ３００が該セキュアエンティティについて保持しているテーブル３００Ｔ１と同様である。

この例では、セキュアエレメントＥＩＤのアクティブなプロフィールがプロフィールＰ１であり、従ってプロフィール管理サーバ３００の認識が正しいことがわかる。

ステップＧ１５で、プロフィールステータスマネージャ１２０は、ＳＣＰ８０セキュリティヘッダを削除し、ＳＭＳメッセージ３０２の内容を復号する。
decrypt-scp80 (302)

ステップＧ２０で、プロフィールステータスマネージャ１２０は、プロフィールＰ２をアクティブ化するためのコマンドを実行し、その結果、現在アクティブなプロフィールＰ１が非アクティブ化され、別のプロフィールＰ２がアクティブ化される。

ステップＧ３０で、プロフィールステータスマネージャ１２０は、移動端末８０用のバッファにＲＥＦＲＥＳＨＳＩＭＴｏｏｌｋｉｔコマンドを入力する。このＲＥＦＲＥＳＨコマンドが処理されると、セキュアエンティティ１００が再初期化され、移動端末８０を再始動するためのプロシージャが実行される。この再始動プロシージャ時に、移動端末はテーブル１００Ｔ１を読み込み、別のプロフィールＰ２に関連する認証プロシージャを開始する。

この認証プロシージャは、ＥＴＳＩ規格ＴＳ１３１１０２Ｖ１１．６．０（２０１３‐１０）により規定されたものである。

テストＧ３５で、プロフィールステータスマネージャ１２０は、認証プロシージャが成功したかどうかを確認する。

成功した場合、プロフィールステータスマネージャ１２０は、ステップＧ３６で、テーブル１００Ｔ１を更新し、ステップＧ４０で、ＳＭＳメッセージ３０６をプロフィール管理サーバ３００に送信してプロフィールＰ２が実際にアクティブである旨を知らせる。
send-SMS(P2-enabled-OK, MSISDN (300))

例えば、プロフィールステータスマネージャ１２０は、サーバ３００のＭＳＩＳＤＮの番号をメッセージ３０２から見つけてもよく、あるいは、セキュアエンティティのメモリからこの番号を取得してもよい。メッセージ３０４は、通常、ステップＳ３０でプロフィール管理サーバ３００によって受信される。

メッセージ３０６は、通常、ステップＳ３５でプロフィール管理サーバ３００によって受信される。このような場合、プロフィール管理サーバ３００は、プロフィールＰ２がアクティブであることをテーブル３００Ｔ１に記憶し、その結果、テーブル３００Ｔ１とテーブル１００Ｔ１とが同期される（ステップＳ３６）。

認証プロシージャが失敗した場合、プロフィールステータスマネージャ１２０は、プロビジョニングプロフィールをアクティブ化すること（ステップＧ５０）と、テーブル１００Ｔ１を更新すること（ステップＧ５１）と、ＳＭＳメッセージ３１０をプロフィール管理サーバ３００に送信してプロビジョニングプロフィールがアクティブ化された旨を知らせること（ステップＧ５５）とからなる緊急プロシージャ又は「フォールバック」プロシージャを開始する。
send-SMS (provisioning-enabled-OK, MSISDN (300))

このメッセージ３１０は、通常、ステップＳ４５で、プロフィール管理サーバ３００によって受信される。このような場合、プロフィール管理サーバ３００は、プロフィールＰ２がアクティブであることをテーブル３００Ｔ１に記憶し、その結果、テーブル３００Ｔ１とテーブル１００Ｔ１とが同期される（ステップＳ４６）。

従って、要約すると、セキュアエンティティ１００のプロフィールステータスマネージャ１２０によってプロフィール管理サーバ３００へ送信され得るメッセージには以下の４つがある。
・プロフィールＰ２をアクティブ化するためのメッセージ３０２の受信を通知するメッセージ３０４、
・プロフィールＰ２のアクティブ化が成功した旨を伝えるメッセージ３０６、
・プロフィールＰ２のアクティブ化が失敗した旨を伝えるメッセージ３０８、及び
・プロビジョニングプロフィールのアクティブ化が成功した旨を伝えるメッセージ３１０。

プロフィールＰ２又はプロビジョニングプロフィールのアクティブ化の成功を伝えるメッセージ３０６又はメッセージ３１０の受信にプロフィール管理サーバ３００が失敗すると、いずれの場合でもプロフィール管理サーバはプロフィールＰ１が依然として現在アクティブなプロフィールであると判断するため、プロフィール管理テーブル３００Ｔ１とプロフィール管理テーブル１００Ｔ１とが非同期化されることになる。この状況は有害である。なぜなら、その後サーバ３００が、例えば更新スクリプトをセキュアエンティティ１００に送信するためにセキュアエンティティ１００と通信しようとした場合、サーバ３００はテーブル３００Ｔ１を参照して、実際にアクティブなプロフィールのＭＳＩＳＤＮの電話番号ではなくプロフィールＰ１のＭＳＩＳＤＮの電話番号を利用することになるからである。

本発明は、上述の欠点がないプロフィール管理方法を提案する。

より正確には、第１の態様において、本発明は、セキュアエンティティのプロフィールを管理するためのプロフィール管理サーバによって行われる方法を提供する。この方法は、
前記セキュアエンティティのアクティブなプロフィールを変更するために、メッセージを前記セキュアエンティティに送信するステップと、
タイマーを初期化して開始するステップと、
前記タイマーの開始から所定の期間が終了するまでに、どのプロフィールが前記セキュアエンティティ内でアクティブであるかを示すメッセージを前記サーバが受信しなかった場合に、どのプロフィールが前記セキュアエンティティ内で実際にアクティブであるかを判定するための監査プロシージャを開始するステップと、
を含む。

それに応じて、本発明はさらに、セキュアエンティティのプロフィールを管理するためのプロフィール管理サーバを提供する。このサーバは、
前記セキュアエンティティのアクティブなプロフィールを変更するために、メッセージを前記セキュアエンティティに送信するための手段と、
タイマーを初期化して開始するための手段と、
前記タイマーの開始から所定の期間が終了するまでに、どのプロフィールが前記セキュアエンティティ内でアクティブであるかを示すメッセージを前記サーバが受信しなかった場合に、どのプロフィールが前記セキュアエンティティ内で実際にアクティブであるかを判定するための監査プロシージャを開始するための手段と、
を備える。

従って、概して言えば、本発明は、プロフィール管理サーバが、アクティブなプロフィールを変更するためのメッセージを送信した後で、セキュアエンティティ内で実際にアクティブであるプロフィールを示す情報を明確に受信しない場合に、セキュアエンティティ内で実際にアクティブであるプロフィールをサーバが判定できるようにする監査プロシージャを導入することを提案する。

従って、本発明によれば、サーバによって管理されるプロフィール管理テーブルとエンティティ自体によって管理されるプロフィール管理テーブルとを同期させることが可能になる。

本発明は、何よりもまず、プロフィール管理サーバがセキュアエレメント内の現在アクティブなプロフィールに関する正確な情報を保持できるようにする。これにより、サーバは、例えば、更新スクリプトを送信するために、このプロフィールに的確に対応できる。

エンティティのアクティブなプロフィールを変更するためにサーバによって送信されるメッセージは、
・別のプロフィールをインストールしてアクティブ化するためのメッセージ、
・別の操作プロフィール又はプロビジョニングプロフィールを優先してアクティブなプロフィールを非アクティブ化する又は削除するためのメッセージ、及び／又は
・アクティブなプロフィールを変更するのに適した、又は変更が失敗した場合にプロビジョニングプロフィールへ切り替えるのに適した任意のメッセージ、であり得る。

特定の実施形態では、セキュアエンティティのアクティブなプロフィールを変更するためにサーバによって送信されたメッセージの生存期間に相当する期間に合わせてタイマーを初期化する。

この特徴によれば、監査プロシージャの起動を可能な限り遅らせることができる。

特定の実施形態では、監査プロシージャは、少なくとも
変更の前にアクティブであったとサーバが判断するセキュアエンティティのプロフィールのステータスと、
変更の後にアクティブであるとサーバが判断するセキュアエンティティのプロフィールのステータスと、
セキュアエンティティのプロビジョニングプロフィールのステータスと、
を取得するために、少なくとも１つのスクリプトをセキュアエンティティに送信することからなる。

一変形形態では、監査プロシージャは、プロフィール管理サーバにとって既知であるエンティティのプロフィールの全てのステータスを取得するために、少なくとも１つのスクリプトをセキュアエンティティに送信することからなる。

特定の実施形態では、１つ又は複数のスクリプトは、ＡＰＤＵＧＥＴＳＴＡＴＵＳコマンドを含む。有利なことに、このコマンドによって、ステータスを変更することなく該ステータスを取得することが可能になる。一変形形態では、ＧＥＴＤＡＴＡコマンド、ＳＥＬＥＣＴコマンド、又はステータスを変更することなく該ステータスをセキュアエンティティの１つ又は複数のファイルから読み取ることを可能にする任意の他のコマンド又はコマンド群を使用できる。

上述のスクリプトは、各スクリプトを伝送するメッセージの生存期間の間待機することなく、順次送信されてもよい。一変形形態では、この方法は、スクリプトを送信する前に、先行する別のスクリプトを伝送するメッセージを送信したことに対して応答が得られない場合、該メッセージの生存期間の間待機する。

特定の実施形態では、送信制御方法の各ステップは、コンピュータプログラムの指令によって決定される。

従って、本発明はさらに、データ媒体に格納されたコンピュータプログラムであって、コンピュータによって実行可能であり、上述した送信制御方法の各ステップを実行するように構成された指令を含むコンピュータプログラムを提供する。

このプラグラムには、如何なるプログラム言語を使用してもよく、このプログラムは、ソースコード、オブジェクトコード、もしくは部分的にコンパイルされた形態のようなソースコードとオブジェクトコードとの中間的なコードの形態、又は、他の所望の形態でありうる。

本発明はさらに、上述したコンピュータプログラムの指令を含むコンピュータ読み取り可能なデータ媒体を提供する。

データ媒体は、上記プログラムを格納可能な如何なるエンティティ又はデバイスであってもよい。例えば、この媒体は、コンパクトディスク（ＣＤ）ＲＯＭ又はマイクロ電子回路ＲＯＭなどの読み取り専用メモリ（ＲＯＭ）などの格納手段を含んでもよく、あるいは、フロッピーディスク又はハードディスクなどの磁気記録手段を含んでもよい。

さらに、データ媒体は、無線又はその他の手段によって、電気ケーブル又は光学ケーブルを経由して伝送できる電気信号又は光信号などの伝達可能な媒体であってもよい。本発明のプログラムは、特に、インターネット型のネットワークからダウンロードされてもよい。

また、データ媒体は、上記プログラムが組み込まれた集積回路であって、本方法を実行可能な、又は本方法の実行に使用可能な回路であってもよい。

本発明の他の特徴及び利点が、限定的な性質を持たない実施形態を示す図面及び別表を参照してなされる以下の説明から明らかになる。

図１は、上述した通り、先行技術のプロフィール管理方法を示す。図２は、本発明に係るプロフィールステータスマネージャを示す。図３は、本発明の特定の実施形態に係るプロフィール管理方法を示す。

図２は、本発明に係るプロフィール管理サーバ５００を示している。プロフィール管理サーバ５００は、プロセッサ１０１、ランダムアクセスメモリ（ＲＡＭ）１０２、ＲＯＭ１０３、及びネットワークアクセスモジュール１０４を備える。これら各構成要素は、参照符号で示していないバスシステムによって互いに接続されている。

モジュール１０４は、フレームと、図１を参照して説明したメッセージ３０１、３０２、３０４、３０６、３０８と同じタイプのメッセージとを送受信できる。

プロフィール管理サーバ５００は、図３にフローチャートでその主要ステップを示している本発明に係るプロフィール管理方法を行う。このプロフィール管理方法は、ＲＯＭ１０３に格納されたコンピュータプログラムを実行することによって行われてもよい。

図３は、本発明に係るプロフィール管理方法の主要ステップを示すフローチャートである。この方法のステップＳｘｘは、図１を参照して上述した先行技術のプロフィール管理方法のステップＳｘｘと同じである。

本発明に係るプロフィール管理方法は、セキュアエンティティ１００のアクティブなプロフィールを変更するためのメッセージ３０２を送信するステップＳ２５の後に、この例ではカウントダウンＴＩＭによって構成されるタイマーを初期化するステップＶ２６を含む点で特徴的である。

一変形形態では、タイマーは、クロックによって構成されてもよく、又は期間を計測するための任意の他の手段によって構成されてもよい。

ここで説明される実施形態では、メッセージ３０２の生存期間に相当する期間に合わせてカウントダウンＴＩＭが初期化される。

本発明によれば、別のプロフィール（プロフィールＰ２又はプロビジョニングプロフィールＰＲＯＶ）が実際にアクティブ化された旨を伝えるメッセージ３０６又は３１０が受信される前にカウントダウンＴＩＭが終了した場合、プロフィール管理サーバ５００は、図３に参照符号Ｖ１００で示される監査プロシージャを起動する。

この目的のために、本発明の方法は、カウントダウンＴＩＭが終了したかどうかを確認するためのステップＶ５０を含み、テストＶ５０の結果がポジティブであった場合、監査プロシージャが起動される。

監査プロシージャは、少なくとも
・サーバ５００が現時点でアクティブだと判断するプロフィール、すなわち、ここで説明される例におけるＰ１のステータスと、
・サーバ５００がアクティブ化を要求しているプロフィール、すなわち、ここで説明される例におけるＰ２のステータスと、
・プロビジョニングプロフィールＰＲＯＶのステータスと、
を取得するために、複数のスクリプトをセキュアエンティティ１００に送信することからなる。

一変形形態では、監査プロシージャは、サーバ５００にとって既知であるセキュアエンティティ１００のプロフィールの全て、すなわち、このエンティティに関してプロフィール管理テーブル３００Ｔ１に記載されているプロフィールの全てのステータスを取得するためにスクリプトを送信することからなる。

ここで説明される実施形態では、ＡＰＤＵＧＥＴＳＴＡＴＵＳコマンドを用いて、各種のステータスリクエストスクリプトがそれぞれのプロフィールに並列に送信される（ステップＶ５５）。
SMS (Scp80‐header // GET STATUS, MSISDN (P1))
SMS (Scp80‐header // GET STATUS, MSISDN (P2))
SMS (Scp80‐header // GET STATUS, MSISDN (PROV))

ＧＥＴＳＴＡＴＵＳコマンドを用いれば、有利なことに、プロフィールのステータスを該ステータスを変更することなく把握できる。

プロフィール管理サーバ５００は、受信通知を受信すると（ステップＶ６０）、プロフィール管理テーブル３００Ｔ１を更新する（ステップＶ６５）。

従って、本発明に係るサーバ５００のプロフィール管理テーブル３００Ｔ１は、メッセージ３０６及びメッセージ３１０が届かなかった場合でも、セキュアエンティティのテーブル１００Ｔ１と同期される。

サーバ５００は、カウントダウンＴＩＰが終了する前にメッセージ３０６又はメッセージ３１０のいずれかを受信した場合、ステップＶ７０でカウントダウンを停止する。

ここで説明される実施形態では、複数のプロフィールステータスリクエストスクリプトが並列に送信される。一変形形態では、それらは逐次に送信されてもよい。

Claims

セキュアエンティティ（１００）のプロフィール（Ｐ１，Ｐ２，ＰＲＯＶ）を管理するためのプロフィール管理サーバ（５００）によって行われるプロフィール管理方法であって、
前記セキュアエンティティのアクティブなプロフィールを変更するために、メッセージ（３０２）を前記セキュアエンティティに送信するステップ（Ｓ２５）と、
タイマー（ＴＩＭ）を初期化して開始するステップ（Ｖ５０）と、
前記タイマーの開始から所定の期間が終了するまでに、どのプロフィールが前記セキュアエンティティ（１００）内でアクティブであるかを示すメッセージを前記サーバ（５００）が受信しなかった場合に、どのプロフィールが前記セキュアエンティティ（１００）内で実際にアクティブであるかを判定するための監査プロシージャ（Ｖ１００）を開始するステップと、
を含む方法。
前記エンティティのアクティブなプロフィールを変更するための前記メッセージ（３０２）は、別のプロフィール（Ｐ２）をアクティブ化するためのメッセージ、又は現在アクティブなプロフィール（Ｐ１）を非アクティブ化するためのメッセージであることを特徴とする、請求項１に記載のプロフィール管理方法。
前記セキュアエンティティ（１００）のアクティブなプロフィールを変更するために前記サーバによって送信された前記メッセージ（３０２）の生存期間に相当する期間に合わせて前記タイマーを初期化することを特徴とする、請求項１又は２に記載のプロフィール管理方法。
前記監査プロシージャは、少なくとも
前記変更の前にアクティブであったと前記サーバ（５００）が判断する前記エンティティ（１００）のプロフィール（Ｐ１）のステータスと、
前記変更の後にアクティブであると前記サーバ（５００）が判断する前記エンティティ（１００）のプロフィール（Ｐ２）のステータスと、
前記エンティティ（１００）のプロビジョニングプロフィール（ＰＲＯＶ）のステータスと、
を取得するために、少なくとも１つのスクリプトを前記セキュアエンティティに送信する（Ｖ５５）ことからなることを特徴とする、請求項１〜３のいずれか一項に記載のプロフィール管理方法。
前記監査プロシージャは、前記サーバに保持されている前記エンティティ（１００）のプロフィールの全てのステータスを取得するために、少なくとも１つのスクリプトを前記セキュアエンティティに送信する（Ｖ５５）ことからなることを特徴とする、請求項１〜３のいずれか一項に記載のプロフィール管理方法。
前記少なくとも１つのスクリプトは、ＡＰＤＵＧＥＴＳＴＡＴＵＳコマンドを含むことを特徴とする、請求項４又は５に記載のプロフィール管理方法。
前記スクリプトは、複数で並列に送信されることを特徴とする、請求項４〜６のいずれか一項に記載のプロフィール管理方法。
セキュアエンティティ（１００）のプロフィール（Ｐ１，Ｐ２，ＰＲＯＶ）を管理するためのプロフィール管理サーバ（５００）であって、
前記セキュアエンティティのアクティブなプロフィールを変更するために、メッセージ（３０２）を前記セキュアエンティティに送信するための手段（１０４）と、
タイマー（ＴＩＭ）を初期化して開始するための手段（１０１）と、
前記タイマーの開始から所定の期間（ＴＩＭ）が終了するまでに、どのプロフィールが前記セキュアエンティティ（１００）内でアクティブであるかを示すメッセージを前記サーバ（５００）が受信しなかった場合に、どのプロフィールが前記セキュアエンティティ（１００）内で実際にアクティブであるかを判定するための監査プロシージャ（Ｖ１００）を開始するための手段（１０１）と、
を備えるプロフィール管理サーバ。
コンピュータプログラムであって、コンピュータによって実行された時に請求項１〜７のいずれか一項に記載のプロフィール管理方法の各ステップを実行するための指令を含むコンピュータプログラム。
請求項１〜７のいずれか一項に記載のプロフィール管理方法の各ステップを実行するための指令を含むコンピュータプログラムを格納しているコンピュータ読み取り可能な、伝送媒体を除くデータ媒体。