JP7194847B2 - デジタルキー、端末デバイス、及び媒体の同一性を認証する方法 - Google Patents

Description

本出願は、「ＭＥＴＨＯＤ ＦＯＲ ＡＵＴＨＥＮＴＩＣＡＴＩＮＧ ＩＤＥＮＴＩＴＹ ＯＦ ＤＩＧＩＴＡＬ ＫＥＹ， ＴＥＲＭＩＮＡＬ ＤＥＶＩＣＥ， ＡＮＤ ＭＥＤＩＵＭ」と題し、２０１９年４月２２日に中国国家知的所有権庁に出願された中国特許出願第２０１９１０３２４３１３．５号の利益を主張し、これは全体が参照により本明細書に組み込まれる。

本出願は、デジタルキー技術の分野に関し、特に、デジタルキー、端末デバイス、及びコンピュータ可読な記憶媒体の同一性を認証する方法に関する。

デジタルキー（Ｄｉｇｉｔａｌ Ｋｅｙ， ＤＫ）は、物理キー（即ち、実体キー）／リモートキー（ｋｅｙ ｆｏｂ）とは反対のものであり、通信技術を使用して、端末デバイス、例えば、携帯電話やウェアラブルインテリジェントデバイスをキーキャリアとして使用することができる。その結果、ユーザは、端末デバイスを使用して、ロック解除、ロック、及び車両の始動などのサービス動作を行うことができる。

図１は、デジタルキーが車両のロックを解除するために使用されるときに関与する、システムアーキテクチャーの図である。車両には、認証ユニット８１０と、電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ， ＥＣＵ）８３０と、通信ユニット８２０とがある。認証ユニット８１０は、認証キーを記憶する。携帯電話には、セキュア要素（Ｓｅｃｕｒｅ Ｅｌｅｍｅｎｔ， ＳＥ）９１０と通信ユニット９２０とがある。セキュア要素９１０は、物理的な攻撃を防止し、改ざんを防止する能力を有するハードウェアユニットである。セキュア要素９１０は、独立したプロセッサを有し、中で実行されるデジタルキーアプレット（Ｄｉｇｉｔａｌ Ｋｅｙ Ａｐｐｌｅｔ， ＤＫ Ａｐｐｌｅｔ）９１１のためのセキュアな実行環境が提供でき、また、その中に記憶された資産（例えば、認証キー）のセキュリティ及び機密性が保証できる。ロック解除中、携帯電話内のデジタルキーアプレット９１１は、車両から送信されたサービス命令に応答し、通信ユニット９２０を使用して、暗号文を含むサービス応答メッセージを車両内の通信ユニット８２０に送信する。このサービス応答メッセージ内の暗号文は、認証キーを使用して生成される。車両の通信ユニット８２０が、暗号文を含むサービス応答メッセージを受信した後、認証ユニット８１０は、認証キーを使用して暗号文を検証する。電子制御ユニット８３０は、検証結果に基づいて、ロック解除を許可するか否かを決定する。これにより、デジタルキーを使用してロック解除動作が実現できる。

近距離無線通信（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ， ＮＦＣ）は近距離無線通信技術である。端末デバイスでは、ＮＦＣモジュールとセキュア要素とが別々に給電できる。従って、端末デバイスのメインチップに電力が供給されなくても、ＮＦＣモジュールとセキュア要素とを独立に使用して、端末デバイスと車両との間で情報が交換できる。言い換えれば、端末デバイスの電源が切られても、端末デバイスを使用して、車両のロック解除、ロック、始動などのサービス動作が完了できる。

多くの端末デバイスは、パスワード、指紋、顔などを使用してユーザの同一性認証が行える同一性認証システムを有している。デジタルキーのセキュリティを強化するために、デジタルキーを使用するときに同一性認証の追加が可能である。例えば、ユーザは、デジタルキーが偽造されることを防止するために、デジタルキーが使用されるときに常に同一性認証が必要であるように設定できる。この場合に、デジタルキーを使用して車両のロック解除及び始動などのサービス動作を、ユーザが行う場合に、ユーザは端末デバイスで同一性認証を行った後にのみデジタルキーが使用できる。別の例として、ロックを解除して始動する前に、車両は、端末デバイス上で同一性認証を実行することをユーザに要求するために、アクティブに要求が開始できる。ただし、各端末デバイスの同一性認証システムは、信頼された実行環境（Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ， ＴＥＥ）で実行する。端末デバイス上で動作しているアプリケーションは、システムサービスインターフェースを使用することのみによって、同一性認証を開始し、同一性認証結果を取得することができる。つまり、同一性認証システムは、端末デバイスのメインチップが動作状態にある場合にのみ動作できる。

従って、端末デバイスが電源オフ状態にある場合に、ユーザは同一性認証を完了できない。端末デバイスの電源が切れていてもデジタルキーの機能を実現するためには、端末デバイスの電源オフ状態にある場合に、デジタルキーを使用したときに、同一性認証を行わないことが多い。従って、認証されたユーザの端末デバイスを入手した後、攻撃者は、端末デバイスの電源を切ることにより、認証されたユーザが設定した同一性認証制限を強制的にバイパスすることができる。言い換えれば、デジタルキーにはセキュリティ脆弱性がある。

本出願は、端末デバイスの電源が切れた状態になり、セキュリティ上の脆弱性が存在する場合に、デジタルキーを使用して同一性認証を行うことができない問題を解決するために、デジタルキーの同一性を認証する方法を提供する。

第１の態様によれば、本出願は、デジタルキーの同一性を認証する方法を提供する。方法は、
第１端末によって第２端末へサービス命令を送信するステップと、
第２端末によって送信されたサービス応答メッセージを第１端末によって受信するステップと、
第１キーを使用してサービス応答メッセージに対して実行された検証が成功した後、第１端末によってユーザ同一性認証情報を取得するステップであり、第１キーは、第２端末と第１端末とによって予め合意されたキーであり、ユーザ同一性認証情報は第２端末のセキュア要素に記憶され、ユーザ同一性認証情報はユーザ同一性認証結果を含み、ユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に、第２端末の同一性認証システムによって生成され、プリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成し得ない状態である、取得するステップと、
第１端末によってユーザ同一性認証情報を検証するステップとを備えている。

この実施を使用して、第２端末がプリセット動作状態（例えば、電源オフ又はバッテリ低下モード）であっても、ユーザが第２端末においてデジタルキーを使用する場合に、第１端末は、第２端末がプリセット動作状態にはいる前に、第２端末のセキュア要素に記憶されたユーザ同一性認証情報を使用して、ユーザの同一性を確認することができる。従って、この実施を使用して、第２端末が電源オフかバッテリ低下モードであっても、第２端末でデジタルキーを使用するユーザが第２端末の許可ユーザであるか否かを検証することができ、デジタルキーを使用する際のセキュリティを向上させる。

第１の態様に関して、第１の態様の第１の可能な実施において、第１端末によってユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、第１端末によってサービス命令に対応するサービス動作を許可するステップを含む。

この実施を使用して、第２端末がプリセット動作状態（例えば、電源オフ又はバッテリ低下モード）であっても、ユーザが第２端末でデジタルキーを使用する場合には、第１端末は、ユーザ同一性認証結果とプリセットの認証結果とを使用して、サービス動作を許可するか否かを決定することによって検証を行うことができる。これによって、デジタルキーを使用するセキュリティを向上させ、第１端末が許可のないユーザによって使用されるリスクを下げる。

第１の態様に関して、第１の態様の第２の可能な実施において、第１端末によってユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致し、プリセット動作状態にある第２端末がサービス動作を許可する合計回数がプリセットの数量閾値内である場合に、第１端末によってサービス命令に対応するサービス動作を許可するステップ、又は
ユーザ同一性認証結果がプリセットの認証結果と合致し、プリセット動作状態にある第２端末がサービス動作を許可する頻度がプリセットの頻度閾値内である場合に、第１端末によってサービス命令に対応するサービス動作を許可するステップを含む。

この実施を使用して、第１端末は、ユーザ同一性認証結果と、プリセット動作状態にある第２端末がサービス動作を許可する合計回数又は頻度とを使用して、二重の検証を行うことができ、それによって、デジタルキーを使用する際のセキュリティをさらに向上させる。デジタルキーをプリセット動作状態で使用する場合を制限することによって、プリセット動作状態にあり、リアルタイムの保護を欠いている第２端末で、悪意をもってデジタルキーを使用するリスクを下げることができる。

第１の態様に関して、第１の態様の第３の可能な実施において、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用され、
第１端末によってユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、第１端末によってサービス命令に対応するサービス動作を許可するステップを含む。

この実施を使用して、第１端末は、ユーザ同一性認証結果と第１タイムスタンプとを使用して、二重の検証を実行することができ、それによって、デジタルキーを使用することのセキュリティをさらに改善し、リスクを下げる。プリセット動作状態でデジタルキーを使用する時間と第１タイムスタンプとの間のインターバル継続時間を制限することによって、プリセット動作状態にあり、リアルタイムの保護を欠いている第２端末で、デジタルキーを使用するリスクを下げることができる。

第１の態様と、第１の態様の第１ないし第２の実施とのうちの任意の１つに関して、第１の態様の第４の可能な実施において、方法は、
第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わった場合に、第１端末によってデジタルキーをフリーズするか、第２端末にデジタルキーをフリーズするように指示するか、又は、ユーザに再度同一性認証を実行するように指示するステップを、さらに備えている。

この実施を使用して、現在提供されている同一性認証情報が最新のユーザ同一性認証情報であるか否かは、第１タイムスタンプで示された時刻の後に第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かを決定することによって決定することができ、第２端末が現在のサービスにおいて異常な挙動を示すか否かを決定する。第２端末が異常な挙動を示す場合は、例えばデジタルキーをフリーズしたり、ユーザに再度同一性認証を行うよう指示したりするなど、何らかの保護手段を講じることができる。従って、前述の単一又は二重の検証に基づいて、このときの検証を追加して、デジタルキーを使用するリスクをさらに下げることができる。

第１の態様に関して、第１の態様の第５の可能な実施において、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用され、
第１端末によってユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致し、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらない場合に、第１端末によってサービス命令に対応するサービス動作を許可するステップを含む。

この実施を使用して、第１端末は、ユーザ同一性認証結果と第１タイムスタンプとを使用して、二重の検証を実行することができ、それによって、デジタルキーを使用することのセキュリティをさらに向上させる。現在提供されている同一性認証情報が最新のユーザ同一性認証情報であるか否かは、第１タイムスタンプで示された時刻の後に第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かを決定することによって決定することができ、第２端末が現在のサービスにおいて異常動作をしているか否かを決定する。従って、この検証時間を追加することによって、デジタルキーを使用するリスクをさらに下げることができる。

第１の態様に関して、第１の態様の第６の可能な実施において、サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すのに使用され、
第１端末によって、ユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、第１命令に対応する第１動作を第１端末によって許可するステップと、
第１動作が許可された後、プリセット動作状態での第２端末がサービス動作を許可する合計回数がプリセットの数量閾値内である場合に、又は、プリセット動作状態での第２端末がサービス動作を許可する頻度がプリセットの頻度閾値内である場合に、又は、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、又は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらない場合に、第２命令に対応する第２動作を第１端末によって許可するステップとを含む。

この実施を使用して、サービス命令が複数の命令を含む場合には、第１端末は、異なる検証条件を使用して、また、ユーザ同一性認証結果と、プリセット動作状態の第２端末がサービス動作を許可する合計回数又は頻度と、第１タイムスタンプとを使用して、異なるサービス命令を検証することができ、それによって、デジタルキーを使用することのセキュリティをさらに向上させる。

第１の態様に関して、第１の態様の第７の可能な実施において、サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すのに使用され、
第１端末によって、ユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、第１命令に対応する第１動作を第１端末によって許可するステップと、
現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値を超えている場合に、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かを、第１端末によって決定するステップと、
第２端末が非プリセット動作状態に切り替わらない場合に、第２命令に対応する第２動作を第１端末が許可するステップとを含む。

この実施を使用して、サービス命令が複数の命令を含む場合に、第１端末は、異なる検証条件を使用して、またユーザ同一性認証結果と第１タイムスタンプとを使用して、異なるサービス命令を検証することができ、それによって、デジタルキーを使用することのセキュリティをさらに向上させる。

第１の態様に関して、第１の態様の第８の可能な実施において、サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すのに使用され、
第１端末によって、ユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、第１命令に対応する第１動作を第１端末によって許可するステップと、
第１動作が許可された後、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらない場合に、第２命令に対応する第２動作を第１端末によって許可するステップとを含む。

この実施を使用して、サービス命令が複数の命令を含む場合に、第１端末は、異なる検証条件を使用して、またユーザ同一性認証結果と第１タイムスタンプとを使用して、異なるサービス命令を検証することができ、それによって、デジタルキーを使用することのセキュリティをさらに向上させる。

第１の態様と、第１の態様の第５ないし第８の実施とのうちの任意の１つに関して、第１の態様の第９の可能な実施において、第１端末によってユーザ同一性認証情報を検証するステップは、
第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わった場合に、第１端末によってデジタルキーをフリーズするか、第２端末にデジタルキーをフリーズするように指示するか、又は、ユーザに再度同一性認証を実行するように指示するステップを、さらに含む。

この実施を使用して、現在提供されている同一性認証情報が最新のユーザ同一性認証情報であるか否かは、第２端末が第１タイムスタンプで示された時刻の後にプリセット動作状態から非プリセット動作状態に切り替わるか否かを決定することによって、決定することができる。第２端末が現在のサービスにおいて異常な挙動を示すか否かを決定することができる。第２端末が異常な挙動を示す場合は、例えばデジタルキーをフリーズしたり、ユーザに再度同一性認証を行うよう指示したりするなど、何らかの保護手段を講じることができる。従って、前述の検証に基づいて、この検証の時間を追加することによって、デジタルキーを使用するリスクをさらに下げることができる。

第１の態様と、第１の態様の第５ないし第９の実施とのうちの任意の１つに関して、第１の態様の第１０の可能な実施において、第２端末が、第１タイムスタンプで示された時刻の後に、プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定するステップは、
サーバによって送信された第２タイムスタンプを受信し、第２タイムスタンプは、第２端末がプリセット動作状態から非プリセット動作状態に切り替わる期間内で、第２端末がサービス応答メッセージを送信する時刻に最も近い時刻を示すために使用される、受信するステップと、
第２タイムスタンプが第１タイムスタンプよりも早い場合に、第１端末によって、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらないと決定するステップ、又は
第２タイムスタンプが第１タイムスタンプよりも遅い場合に、第１端末によって、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると決定するステップとを含む。

この実施を使用して、第１端末は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かを、ローカルに決定することができる。

第１の態様と、第１の態様の第５ないし第９の実施とのうちの任意の１つに関して、第１の態様の第１１の可能な実施において、第２端末が、第１タイムスタンプで示された時刻の後に、プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定するステップは、
第１端末によって第１タイムスタンプをサーバへ送信するステップと、
サーバによって送信されたオンライン検証結果を第１端末によって取得するステップであり、オンライン検証結果は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かに基づいて、サーバによって決定される、取得するステップと、
オンライン検証結果が成功である場合に、第１端末によって、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらないと決定するステップ、又は
オンライン検証結果が失敗である場合に、第１端末によって、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると決定するステップとを含む。

この実施を使用して、オンライン検証をリモートサーバ上で行うことができ、サーバは、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かを決定する。

第１の態様に関して、第１の態様の第１２の可能な実施において、サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、
第１端末によってユーザ同一性認証情報を検証するステップは、
ユーザ同一性認証結果がプリセットの認証結果と合致しない場合に、第１端末によって第１命令に対応する第１動作を許可するステップと、
ユーザ同一性認証結果がプリセットの認証結果と合致しない場合に、第１端末によって第２命令に対応する第２動作を許可することを拒否するステップとを、さらに含み、
方法は、
第１端末によって第２端末に新しいサービス命令を送信するステップであり、新しいサービス命令が第２命令を含む、送信するステップを、さらに備えている。

この実施を使用して、サービス命令が複数の命令を含む場合には、第１端末は、ユーザ同一性認証結果などを使用して、異なるサービス命令を検証することができる。ユーザ同一性認証結果の検証が成功であったか否かにかかわらず、ユーザの経験を向上させるために、リスクの低い一部のサービス動作に許可を与えてよく、リスクの高いその他のサービス動作に許可を拒否してよい。次に、許可されていないサービス動作を許可するか否かを検証するために、新しいサービス命令が開始される。

第１の態様に関して、第１の態様の第１３の可能な実施において、サービス応答メッセージは、第２検証データをさらに含み、第２検証データは、第２キーを使用してユーザ同一性認証情報を処理することによって生成され、
第１端末によってユーザ同一性認証情報を検証するステップは、
第２キーと第２検証データとを使用して、ユーザ同一性認証情報が有効であり、ユーザ同一性認証情報がプリセットのセキュリティポリシーに準拠していることが検証された場合に、サービス命令に対応するサービス動作を第１端末によって許可するステップであり、第２キーは第２端末と第１端末とによって予め合意されたキーであり、第２キーは第１キーと異なる、許可するステップを、さらに含む。

この実施を使用して、ユーザ同一性認証情報を使用してサービス動作を許可するか否かを検証する前に、ユーザ同一性認証情報は、最初に、第２キーと第２検証データとを使用して検証される。このようにして、ユーザ同一性認証情報が送信プロセスにおいて改ざんされていないことが確実にできる。即ち、ユーザ同一性認証情報の完全性が確実にされる。また、ユーザ同一性認証情報を送信するソースが許可されていることが確実にできる。即ち、第２端末のキーの許可保有者が確実にされる。

第２の態様によれば、本出願は、デジタルキーの同一性を認証する方法を提供する。方法は、
第１端末からのサービス命令を第２端末によって受信するステップと、
サービス命令に応答して、プリセット動作状態での第２端末から第１端末へ、第１キーを使用して処理されたサービス応答メッセージを送信するステップであり、サービス応答メッセージはユーザ同一性認証情報を含み、ユーザ同一性認証情報は第２端末のセキュア要素に記憶され、ユーザ同一性認証情報はユーザ同一性認証結果を含み、ユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に、第２端末の同一性認証システムによって生成され、プリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成し得ない状態であり、第１キーは、第２端末と第１端末とによって予め合意されたキーである、送信するステップとを備えている。

この実施を使用して、第２端末がプリセット動作状態にはいる前に、第２端末は、ユーザの同一性を認証する必要があり、ユーザ同一性認証情報を第２端末のセキュア要素に格納する。第２端末がプリセット動作状態（例えば、電源オフ、バッテリ低下モード）にあるときに、ユーザが第２端末でデジタルキーを使用する場合に、第２端末は、セキュア要素内のユーザ同一性認証情報を第１端末に送信して、第１端末はその情報が検証に使用できる。従って、この実施を使用して、第２端末においてデジタルキーを使用している第２端末の許可ユーザであることが保証でき、第２端末がプリセット動作状態にあるときにデジタルキーを使用するセキュリティを向上させることができる。

第２の態様に関して、第２の態様の第１の可能な実施において、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、ユーザ同一性認証結果を生成する時刻を示すのに使用される。

この実施を使用して、第１端末は、ユーザ同一性認証結果と第１タイムスタンプとを使用して、二重又は三重の検証が実行でき、また、ユーザ同一性認証結果と第１タイムスタンプとを使用して、異なるサービス命令がそれぞれに検証でき、それによって、デジタルキーを使用することのセキュリティをさらに向上させる。

第２の態様と、第２の態様の第１の実施とのうちの任意の１つに関して、第２の態様の第２の可能な実施において、サービス応答メッセージは、第２検証データをさらに含み、第２検証データは、第２キーを使用してユーザ同一性認証情報を処理することによって生成され、第２キーは第２端末と第１端末とによって予め合意されたキーであり、第２キーは第１キーと異なる。

この実施を使用して、ユーザ同一性認証情報を使用して、サービス動作を許可するか否かを、第１端末が検証する前に、ユーザ同一性認証情報は、最初に、第２キー及び第２検証データを使用して検証されることができる。このようにして、ユーザ同一性認証情報が送信プロセスにおいて改ざんされていないこと、即ち、ユーザ同一性認証情報の完全性が保証され得ることが確実にできる。また、ユーザ同一性認証情報を送信する際のソースが許可されていること、即ち、第２端末のキーの許可保有者が確保されていることが確実にできる。

第２の態様と、第２の態様の第１ないし第２の実施とのうちの任意の１つに関して、第２の態様の第３の可能な実施において、第１端末からサービス命令を第２端末によって受信するステップの前に、方法は、
第２端末がプリセット動作状態にはいる前に、必須同一性認証で構成されたデジタルキーが存在する場合に、ユーザ同一性認証結果を生成するステップであり、必須同一性認証で構成されたデジタルキーは、第２端末がプリセット動作状態にはいる前に、第２端末がユーザ同一性認証を実行することを必要とする、生成するステップと、
第２端末によって、ユーザ同一性認証情報を第２端末のセキュア要素に記憶するステップであり、ユーザ同一性認証情報はユーザ同一性認証結果を含む、記憶するステップとを、さらに備えている。

この実施を使用して、第２端末がプリセット動作状態にはいる前に、第２端末は、必須同一性認証で構成されたデジタルキーに対してユーザ同一性認証を行い、ユーザ同一性認証情報を第２端末のセキュア要素に記憶する必要がある。このように、第２端末がプリセット動作状態（例えば、電源オフ又はバッテリ低下モード）にあるときにデジタルキーを使用する必要があっても、第２端末は、セキュア要素内のユーザ同一性認証情報を第１端末に送信することができるので、第１端末は、この情報を検証に使用することができ、第２端末がプリセット動作状態にあるときにデジタルキーを使用するセキュリティが向上される。

第３の態様によれば、本出願は、端末デバイスを提供する。端末デバイスは、
第２端末へサービス命令を送信し、第２端末によって送信されたサービス応答メッセージを受信するように構成されている第１トランシーバと、
第１キーを使用してサービス応答メッセージに対して実行された検証が成功した後、ユーザ同一性認証情報を取得し、ユーザ同一性認証情報を検証するように構成されているプロセッサであり、第１キーは、第２端末と端末デバイスとによって予め合意されたキーであり、ユーザ同一性認証情報は第２端末のセキュア要素に記憶され、ユーザ同一性認証情報はユーザ同一性認証結果を含み、ユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に、第２端末の同一性認証システムによって生成され、プリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成し得ない状態である、プロセッサとを備えている。

第３の態様を参照すると、第３の態様の第１の可能な実施において、プロセッサは、ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、サービス命令に対応するサービス動作を許可するように、さらに構成されている。

第３の態様を参照すると、第３の態様の第２の可能な実施において、プロセッサは、ユーザ同一性認証結果がプリセットの認証結果と合致し、プリセット動作状態にある第２端末がサービス動作を許可する合計回数がプリセットの数量閾値内である場合に、サービス命令に対応するサービス動作を許可するように、さらに構成され；又は、プロセッサは、ユーザ同一性認証結果がプリセットの認証結果と合致し、プリセット動作状態にある第２端末がサービス動作を許可する頻度がプリセットの頻度閾値内である場合に、サービス命令に対応するサービス動作を許可するように、さらに構成されている。

第３の態様を参照すると、第３の態様の第３の可能な実施において、プロセッサは、ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、サービス命令に対応するサービス動作を許可するように、さらに構成されている。

第３の態様と、第３の態様の第１ないし第２の態様とのうちの任意の１つに関して、第３の態様の第４の可能な実施において、プロセッサはさらに、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるとき、デジタルキーをフリーズするか、又は第２端末にデジタルキーをフリーズするように指示するか、又はユーザに再度同一性認証を行うように指示するように構成されている。

第３の態様を参照すると、第３の態様の第５の可能な実施において、プロセッサはさらに、ユーザ同一性認証結果がプリセットの認証結果と合致し、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらない場合に、サービス命令に対応するサービス動作を許可するように構成され、ユーザ同一性認証情報はさらに第１タイムスタンプを含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用される。

第３の態様に関して、第３の態様の第６の可能な実施において、プロセッサは、さらに、ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、第１命令に対応する第１動作を許可するように構成され；第１動作が許可された後、プリセット動作状態にある第２端末がサービス動作を許可する合計回数がプリセットの数量閾値内である場合に、第２命令に対応する第２動作を許可するように構成され；プリセット動作状態にある第２端末がサービス動作を許可する頻度がプリセットの頻度閾値内である場合に、第２命令に対応する第２動作を許可するように構成され；現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、第２命令に対応する第２動作を許可するように構成され；又は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらない場合に、第２命令に対応する第２動作を許可するように構成される。サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用される。

第３の態様を参照すると、第３の態様の第７の可能な実施において、プロセッサはさらに、ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、第１命令に対応する第１動作を許可するように構成され；現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値を超えている場合に、第２端末が、第１タイムスタンプによって示される時刻の後に、プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定するように構成され；第２端末が非プリセット動作状態に切り替わらない場合に、第２命令に対応する第２動作を許可するように、構成されている。サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用される。

第３の態様を参照すると、第３の態様の第８の可能な実施において、プロセッサはさらに、ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値と合致する場合に、第１命令に対応する第１動作を許可するように構成され；第１命令が許可された後、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替えない場合に、第２命令に対応する第２動作を許可するように構成される。サービス命令は第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含み、ユーザ同一性認証情報は第１タイムスタンプをさらに含み、第１タイムスタンプは、同一性認証結果を生成する時刻を示すために使用される。

第３の態様と、第３の態様の第５ないし第８の態様とのうちの任意の１つに関して、第３の態様の第９の可能な実施において、プロセッサはさらに、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるとき、デジタルキーをフリーズするか、又は第２端末にデジタルキーをフリーズするように指示するか、又はユーザに再度同一性認証を行うように指示するように構成されている。

第３の態様と、第３の態様の第５ないし第９の実施とのうちの任意の１つに関して、第３の態様の第１０の可能な実施において、端末デバイスはさらに、
サーバによって送信された第２タイムスタンプを受信するように構成された第３トランシーバであり、第２端末がサービス応答メッセージを送信する時間に最も近い、第２端末がプリセット動作状態から非プリセット動作状態に切り替わる期間内の時刻を示すために、第２タイムスタンプが使用される、第３トランシーバを含み；
プロセッサはさらに、第２タイムスタンプが第１タイムスタンプよりも早い場合に、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらないと決定するように構成され；又は、第２タイムスタンプが第１タイムスタンプよりも遅い場合に、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると決定するように構成される。

第３の態様と、第３の態様の第５ないし第９の実施とのうちの任意の１つに関して、第３の態様の第１１の可能な実施において、端末デバイスは、さらに、
第１タイムスタンプをサーバに送信し、サーバによって送信されたオンライン検証結果を受信するように構成された第３トランシーバであり；第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わるか否かに基づいて、オンライン検証結果がサーバによって決定される、第３トランシーバを含み；
プロセッサはさらに、オンライン検証結果が成功である場合に、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらないことを決定するように構成され；又はオンライン検証結果が失敗である場合に、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると決定するように構成されている。

第３の態様に関して、第３の態様の第１２の可能な実施において、プロセッサはさらに、ユーザ同一性認証結果がプリセットの認証結果と合致しない場合に、第１命令に対応する第１動作を許可し、第２命令に対応する第２動作を許可することを拒否するように構成され、ここで、サービス命令は、第１命令と第２命令とを含み、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。
第１トランシーバは、第２端末に新しいサービス命令を送信するようにさらに構成され、新しいサービス命令は第２命令を含む。

第３の態様に関して、第３の態様の１３の可能な実施において、プロセッサは、さらに、第２キーと第２検証データとを使用して、ユーザ同一性認証情報が有効であり、ユーザ同一性認証情報がプリセットのセキュリティポリシーに準拠していることが検証される場合に、サービス命令に対応するサービス動作を許可するように構成され、サービス応答メッセージは、第２検証データをさらに含み、第２検証データは、第２キーを使用してユーザ同一性認証情報を処理することによって生成され、第２キーは、第２端末と第１端末とによって予め合意されたキーであり、第２キーは第１キーと異なる。

第４の態様によれば、本出願は、端末デバイスを提供する。端末デバイスは、
第１端末からサービス命令を受信するように構成され、そしてサービス命令に応答して、プリセット動作状態で、第１キーを使用して処理されたサービス応答メッセージを、第１端末へ送信するように構成されている第２トランシーバであり、サービス応答メッセージはユーザ同一性認証情報を含み、ユーザ同一性認証情報はユーザ同一性認証結果を含み、第１キーは、端末デバイスと第１端末とによって予め合意されたキーである、第２トランシーバと、
ユーザ同一性認証情報と第１キーとを記憶するように構成されているセキュア要素と、
端末デバイスがプリセット動作状態にはいる前に、ユーザ同一性認証結果を生成するように構成されているユーザ同一性認証システムであり、プリセット動作状態は、端末デバイスの同一性認証システムが同一性認証結果を生成し得ない状態である、ユーザ同一性認証システムとを備えている。

第４の態様を参照すると、第４の態様の第１の可能な実施において、ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、第１タイムスタンプは、ユーザ同一性認証結果を生成する時刻を示すために使用される。

第４の態様又は第４の態様の第１の実施に関して、第４の態様の第２の可能な実施において、サービス応答メッセージは、第２検証データをさらに含み、第２検証データは、第２キーを使用してユーザ同一性認証情報を処理することによって生成され、第２キーは、端末デバイスと第１端末とによって予め合意されたキーであり、第２キーは第１キーと異なる。

第４の態様と、第４の態様の第１ないし第２の実施とに関し、第４の態様の第３の可能な実施において、端末デバイスがプリセット動作状態にはいる前に、必須同一性認証で構成されたデジタルキーが端末デバイスに存在する場合に、ユーザ同一性認証システムはさらに、ユーザ同一性認証結果を生成するように構成され、必須同一性認証で構成されたデジタルキーは、第２端末がプリセット動作状態にはいる前に、第２端末がユーザ同一性認証を実行することを必要とし、
第２端末はさらに、
ユーザ同一性認証情報を端末デバイスのセキュア要素に記憶するように構成されたデジタルキーサービスを含み、ユーザ同一性認証情報はユーザ同一性認証結果を含む。

第５の態様によれば、本出願は、命令を含むコンピュータ可読な記憶媒体を提供する。命令がコンピュータ上で実行された場合に、コンピュータは、第１の態様に従って方法を実行することが可能にされる。

第６の態様によれば、本出願は、命令を含むコンピュータ可読な記憶媒体を提供する。命令がコンピュータ上で実行された場合に、コンピュータは、第２の態様に従って方法を実行することが可能にされる。

第７の態様によれば、本出願は、命令を含むコンピュータプログラム製品を提供する。命令がコンピュータ上で実行された場合に、コンピュータは、第１の態様に従って方法を実行することが可能にされる。

第８の態様によれば、本出願は、命令を含むコンピュータプログラム製品を提供する。命令がコンピュータ上で実行された場合に、コンピュータは、第２の態様に従って方法を実行することが可能にされる。

以上の端末デバイス及びコンピュータ可読な記憶媒体を使用することの利点は、第１の態様及び第２の態様によるデジタルキーの同一性を認証する方法の利点と同じであり、ここでは、再度、詳細について説明しない。

本出願の技術的解決策をさらに明確に説明するために、以下に、実施形態での添付する図面を簡単に説明する。

デジタルキーが車両のロックを解除するために使用されるときに関与する、システムアーキテクチャーの図である。 本出願の実施形態に係り、デジタルキーの同一性を認証する方法の応用シナリオの概略図である。 本出願によるデジタルキーの同一性を認証する方法の一実施形態の概略フローチャートである。 デジタルキーが車両キーとして使用される応用シナリオの一例で、同一性認証が実行される場合のユーザインターフェースの概略図である。 デジタルキーが車両キーとして使用される応用シナリオの一例で、ユーザが許可を取り消す場合の１つのユーザインターフェースの概略図である。 デジタルキーが車両キーとして使用される応用シナリオの一例で、ユーザが許可を取り消す場合の他の１つのユーザインターフェースの概略図である。 本出願の実施形態に係り、デジタルキーの同一性を認証する方法の応用シナリオの他の概略図である。 本出願に係る端末デバイスの１つの実施の構造の概略図である。 本出願に係る他の端末デバイスの１つの実施の構造の概略図である。

図２は、本出願の一実施形態に係り、デジタルキーの同一性を認証する方法の応用シナリオの概略図である。

図２において、第２端末はデジタルキーを有する端末である。第２端末は、セキュア要素２１０を含み、デジタルキーアプレット２１１は、少なくとも１つのデジタルキーを記憶する。第２端末のセキュア素子２１０とメインチップ（図示せず）とに、独立して電力が供給できるため、セキュア素子２１０は、メインチップがどちらの状態にあるかに関係なく、通電及び作動してよい。デジタルキーアプレット２１１は、デジタルキーの機能を実施するために、セキュア要素２１０内で実行されてよい。第２端末は、携帯電話（ｃｅｌｌｐｈｏｎｅ），スマートフォン（ｓｍａｒｔｐｈｏｎｅ），コンピュータ（ｃｏｍｐｕｔｅｒ），タブレットコンピュータ（ｔａｂｌｅｔ ｃｏｍｐｕｔｅｒ），パーソナルデジタルアシスタント（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ， ＰＤＡ），モバイルインターネットデバイス（ｍｏｂｉｌｅ Ｉｎｔｅｒｎｅｔ ｄｅｖｉｃｅ， ＭＩＤ），ウェアラブルデバイスなどを含んでよい。

第２端末と第１端末とは、それぞれ通信ユニット２２０と通信ユニット１２０とを有し、２つの通信ユニットを使用して相互作用を行う。通信ユニット２２０及び１２０は、ブルートゥースのような中距離通信技術又は超広帯域（Ｕｌｔｒａ－Ｗｉｄｅｂａｎｄ， ＵＷＢ）技術を使用してよく、又は近距離無線通信（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ， ＮＦＣ）のような近距離無線通信技術を使用してよい。さらに、通信ユニットは、様々な応用シナリオに対処するために、複数の前述の通信技術を一緒に使用してよい。本出願のこの実施形態では、ＮＦＣモジュールなどの第１端末及び第２端末の通信ユニットは、メインチップから独立して通電ができ、メインチップに通電を行わない場合には、内部／外部電源を使用して独立して動作できる。前述した外部電源は、通信モジュールに電力を供給するために電磁場からエネルギーが得られる電源方式である。前述した内部電源は、第２端末の電源が完全に消費されない電源方式であり、通信モジュールに電力を供給するために少量の電力が取っておかれている。なお、ブルートゥース、ＵＷＢなどの技術を使用した通信ユニットがメインチップとは独立して通電して動作できる場合には、これらの技術を使用した通信モジュールを、単独で、又は他の通信モジュールと一緒に、本出願の第１端末に適用してよいことに留意するものとする。

第１端末は、第２端末でのデジタルキーの有効性を検証する端末である。通信ユニット１２０によって受信された情報を取得した後、第１端末の処理ユニット１１０は、受信した情報を使用して、デジタルキーの妥当性を検証する。デジタルキーが有効であることを検証すると、処理ユニット１１０は、第１端末の実行ユニット（図示せず）に信号を送信し、実行ユニットは、プリセット又はユーザ指定の動作を行う。

本出願のデジタルキーは、複数のシナリオに適用してよい。例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第２端末は、携帯電話、タブレットコンピュータ、又はインテリジェントウェアラブルデバイスなどであってよく、第１端末は、車両であってよい。別の例として、デジタルキーが支払いのために使用されるシナリオでは、第２端末は、携帯電話、タブレットコンピュータ、又はインテリジェントウェアラブルデバイスなどであってよく、第１端末は、販売時点端末（ｐｏｉｎｔ ｏｆ ｓａｌｅ， ＰＯＳ）、交通カード読み取り機などであってよい。さらに別の例では、デジタルキーがドアキーとして使用される応用シナリオでは、第２端末は、携帯電話、タブレットコンピュータ、又はインテリジェントウェアラブルデバイスなどであってよく、第１端末はアクセス制御システムであってよい。

端末デバイスが電源を切っている状態に加えて、端末デバイスが、端末デバイスの同一性認証システムが動作しないモード（以下、バッテリ低下モードと呼ぶ）にある場合には、端末デバイスが電源を切らなくても、デジタルキーを使用した場合には、端末デバイスは、依然として、同一性認証を行う要件を満たすことができない。

これに鑑みて、本出願の第１実施形態では、デジタルキーの同一性を認証する方法が提供される。第２端末は、非プリセット動作状態（例えば、通常のバッテリモード）からプリセット動作状態（例えば、電源オフ又はバッテリ低下モード）にはいる前に、最初に、ユーザに対して、第２端末の同一性認証システムを使用して同一性認証を行い、得られた同一性認証情報を第２端末のセキュア要素に記憶する。次に、第２端末でのデジタルキーを使用する必要がある場合には、セキュア要素に記憶されたユーザ同一性認証情報を第１端末に送信し、第１端末は、ユーザ同一性認証情報に基づいて、ユーザが第２端末の許可保有者であるか否かを決定してよい。このように、第２端末がプリセット動作状態（例えば、電源オフ、又はバッテリ低下モード）であっても、ユーザが第２端末でデジタルキーを使用する場合には、元のデジタルキーに基づいてユーザ同一性の検証を追加してよい。従って、第２端末においてデジタルキーを使用するユーザは、第２端末の許可ユーザであることが保証され、これによりデジタルキーを使用する際のセキュリティが向上する。加えて、これはまた、第２端末の電源をオフにするか、第２端末を低電力モードにはいらせることによって、第２端末の許可のないユーザが同一性認証ステップをバイパスする場合に、第２端末の許可ユーザに起因する損失を回避する。

第２端末が非プリセット動作状態からプリセット動作状態にはいる前と、第２端末がプリセット動作状態にあるときにユーザがデジタルキーを使用することとの、２つのフェーズでは、以下に、第１端末と第２端末とが２つのフェーズで実行するステップがそれぞれに説明されている。

フェーズ１：第２端末が非プリセット動作状態からプリセット動作状態にはいる前
図３は、本出願に係り、デジタルキーの同一性を認証する方法の一実施形態の概略フローチャートである。フェーズ１では、第２端末は、ステップＳ１０１及びＳ１０２を実行してよい。

Ｓ１０１：第２端末がプリセット動作状態にはいる前に、必須同一性認証で構成されたデジタルキーが存在する場合は、ユーザ同一性認証結果を生成する。

プリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成できない状態、例えば、電源オフ又はバッテリ低下モードであってよい。例えば、第２端末の電源の電気量が、プリセット閾値、例えば５％未満である場合に、第２端末はバッテリ低下モードにはいる。この場合に、第２端末内の少数のコンポーネントのみが正常に動作し、同一性認証システムや表示画面などのほとんどのコンポーネントが非動作状態になる。非プリセット動作状態は、プリセット動作状態以外の状態であってよい。例えば、第２端末は、通常のバッテリモードである。

必須同一性認証で構成されたデジタルキーは、第２端末がプリセット動作状態にはいる前に、第２端末がユーザ同一性認証を実行することを必要とする。任意には、実施において、第２端末は、デジタルキーサービスを含んでよい。デジタルキーサービスは、デジタルキー管理機能を提供する。デジタルキーサービスの管理インターフェースを介して、ユーザは、デジタルキーアプレットに記憶された１つ以上のデジタルキーを閲覧し、これらのデジタルキーに対して必須同一性認証構成を実行することができる。ユーザがデジタルキーのために必須の認証を構成する場合に、ユーザはデジタルキーが使用されるたびに認証を実行する必要がある。

任意には、ユーザがデジタルキーに対して必須同一性認証構成を実行した後、第２端末は、第１端末に無線ネットワークを介して通知してよい。その結果、第１端末は、サービス動作を許可する際に関連するチェックを実行する。

非プリセット動作状態からプリセット動作状態に切り替える場合に、第２端末は一連のプリセットの動作を行うために状態切替手順にはいる必要がある。例えば、第２端末が通常のバッテリモードから電源オフ状態に直接切り替わると、第２端末は電源オフ手順にプリセットされた動作を実行するために電源オフ手順にはいる。例えば、電源オフを確認するためのダイアログボックスを表示したり、各アプリケーションプログラムにブロードキャストを送信したりして、データの記憶をプロンプトする。例えば、別の例では、第２端末が通常のバッテリモードからバッテリ低下モードに直接切り替わると、第２端末は、バッテリ低下処理手順にはいり、低電力処理手順にプリセットされた動作、例えば、サウンドプロンプト、ダイアログプロンプト、ディスプレイスクリーンの輝度調整、またバックグラウンドで実行中のプログラムの無効化又は中断を実行する。ユーザが、必須同一性認証を持つ少なくとも１つのデジタルキーを伴って構成されている場合に、デジタルキーサービスは、状態スイッチング手順に同一性認証動作を追加してよい。即ち、第２端末が、非プリセット動作状態からプリセット動作状態に切り替える状態切替手順にはいると、第２端末は、第２端末の同一性認証システムを起動し、ユーザに対して同一性認証を行い、ユーザ同一性認証結果を生成する。任意には、前述の同一性認証手順は、デジタルキーサービスによってトリガーされてよい。

同一性認証システムは、１つ以上の既存の同一性認証手段、例えば、個人識別番号（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ， ＰＩＮ）、指紋、顔、虹彩、骨伝導、及び挙動ベースの認証を使用して、ユーザに対して同一性認証を実行してよいことに留意するものとする。既存の同一性認証手段は、アクティブな同一性認証手段、例えば、ＰＩＮ番号、指紋、顔又は虹彩を含んでよい。これらの手段の全ては、第２端末のユーザインターフェース上のガイダンスに従って、ユーザによって実行される必要がある。さらに、既存の同一性認証手段はさらに、パッシブな（即ち、ユーザが感知しない）同一性認証手段、例えば、挙動ベースの同一性認証又はウェアラブルデバイスベースの同一性認証を、含んでよい。ウェアラブルデバイスベースの同一性認証は、ウェアラブルプレゼンス検出、ウェアラブル骨伝導同一性認証、ウェアラブル脈拍同一性認証などであってよい。パッシブ同一性認証手段は、第２端末のコンポーネント（例えば、センサ）を使用して実現されてよく、又は、第２端末と対話ができる第３端末（例えば、ウェアラブルデバイス）を使用して実現されてよい。これは、本出願で限定されない。どの１つ又は複数の同一性認証手段が実際の応用で使用されるかは、第２端末の同一性認証システムによって提供又はサポートされる同一性認証機能に、主に依存する。同一性認証システムは、ユーザが入力したパスワード、バイオメトリック特徴、又は他の認証データを収集し、次に、パスワード、バイオメトリック特徴、又は他の認証データを、予め記憶されたパスワード、予め記憶されたバイオメトリック特徴、又は予め記憶された他の認証データと比較して、ユーザ同一性認証結果を生成する。

任意には、同一性認証を実行するプロセスにおいて、デジタルキーサービスは、現在実行されている同一性認証の目的をユーザに通知するために、ユーザインターフェースを生成してよい。例えば、現在の同一性認証は、プリセット動作状態で少なくとも１つのデジタルキーの使用を許可するために使用される。加えて、ユーザインターフェースは、ユーザが同一性認証を完了するようにガイドするガイダンス情報をさらに表示してよい。例えば、図４は、デジタルキーが車両キーとして使用される応用シナリオの例において同一性認証が実行される場合のユーザインターフェースの概略図である。図４のユーザインターフェースでは、中央領域のプロンプトテキストが、現在の同一性認証が電源オフ状態でのデジタルキーＡの使用を許可するために使用されることを、ユーザに通知するために使用される。下部領域の画像とテキストとは、同一性認証に指紋又は顔をユーザが使用してよいことを示すため、又は許可のキャンセルを示すために、使用される。

任意には、実施では、ユーザが許可をキャンセルした場合に、別のユーザインターフェースがさらに生成されてよく、許可キャンセルの結果をユーザに通知し、ユーザに確認を実行するように要求する。例えば、図５は、デジタルキーが車両キーとして使用される応用シナリオの例において、ユーザが許可をキャンセルする場合のユーザインターフェースの概略図である。図５のユーザインターフェースでは、上部領域のプロンプトテキストは、許可のキャンセルの結果をユーザに通知するために使用され、具体的には、デジタル車両キーは、電源オフ状態では使用できない。下部領域のテキストは、確認又は再許可を行うことをユーザに指示するために、使用される。

任意には、別の実施では、ユーザが許可をキャンセルした場合に、ユーザが必須同一性認証を再構成し、元の構成を変更することができるように、必須同一性認証の構成インターフェースへさらにジャンプしてよい。例えば、図６は、デジタルキーが車両キーとして使用される応用シナリオの例において、ユーザが許可をキャンセルする場合の別のユーザインターフェースの概略図である。図６のユーザインターフェースでは、上部領域のプロンプトテキストを使用して、ユーザに許可が取り消されたことを通知し、ユーザが車両キーを電源オフ状態で使用することを希望する場合に、ユーザが取ることができる別の動作をユーザに通知する。下部領域のテキスト及び画像は、デジタル車両キーの必須同一性認証を再構成することをユーザに指示するために、使用される。

なお、上述のパッシブ同一性認証手段がユーザに対して同一性認証を行うために使用される場合に、第２端末は、上述のユーザインターフェースを表示せずに、バックグラウンドで全ての同一性認証手順を実行してよいことに留意するものとする。

Ｓ１０２：ユーザ同一性認証結果を含むユーザ同一性認証情報を、セキュア要素に記憶する。

ユーザ同一性認証結果が生成された後、ユーザ同一性認証結果を含むユーザ同一性認証情報をセキュア要素に記憶してよく、デジタルキーが使用されたときに、その後呼び出されるようにしてよい。本出願の実施形態では、既存のセキュア要素、例えば、埋め込みセキュア要素（ｅｍｂｅｄｄｅｄ ＳＥ， ｅＳＥ）、携帯電話のメインチップに集積されたｉｎＳＥセキュアモジュール（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ， ＳｏＣ）、及びユニバーサル集積回路カードセキュア要素（Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｓｅｃｕｒｅ Ｅｌｅｍｅｎｔ， ＵＩＣＣ ＳＥ）を使用してよい。

任意には、第１の実施では、デジタルキーサービスは、ユーザ同一性認証結果を取得し、ユーザ同一性認証結果をユーザ同一性認証情報としてセキュア要素に直接記憶してよい。

任意には、第２の実施では、デジタルキーサービスは、ユーザ同一性認証結果を取得し、次いで、第１端末との間で予め合意された第２キーを使用してユーザ同一性認証結果を処理して、第２検証データを生成してよい。これにより、ユーザ同一性認証情報が検証可能で否認不可能な特性を有することを確実にする。このようにして、ユーザ同一性認証情報を受信した後、第１端末は、予め合意された第２キーを使用して、ユーザ同一性認証情報を検証してよい。これにより、ユーザ同一性認証情報が送信プロセスにおいて改ざんされないこと、及びユーザ同一性認証情報を送信するためのソースが許可されることを確実にする。最後に、第２検証データとユーザ同一性認証結果とをユーザ同一性認証情報として一緒に使用し、セキュア要素に一緒に記憶する。この場合に、ユーザ同一性認証情報は、ときには、同一性認証証明（Ａｔｔｅｓｔａｔｉｏｎ）と呼ばれる。

実際の応用では、第２検証データは、デジタル署名，メッセージ認証コード（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ， ＭＡＣ），又はハッシュメッセージ認証コード（Ｈａｓｈｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ， ＨＭＡＣ）などであってよいことに留意するものとする。ユーザ同一性認証結果が、第２キーを使用して処理される場合に、ユーザ同一性認証結果は、第２検証データを取得するために、第２キーを使用して直接処理されてよい。又は、ユーザ同一性認証結果は、最初にメッセージダイジェストに圧縮されてよく、その後、第２検証データを取得するために、第２キーを使用して、メッセージダイジェストが処理される。

任意には、第３の実施では、デジタルキーサービスは、ユーザ同一性認証結果と第１タイムスタンプとを取得し、ユーザ同一性認証結果と第１タイムスタンプとを、ユーザ同一性認証情報としてセキュア要素に一緒に記憶してよい。

本出願の実施形態における第１タイムスタンプは、ユーザ同一性認証結果を生成する時刻を示すのに使用される。実際の応用では、ユーザ同一性認証システムがユーザ同一性認証結果を生成する時刻を第１タイムスタンプとして使用してよいし、デジタルキーサービスがユーザ同一性認証結果を取得する時刻を第１タイムスタンプとして使用してよいし、又は別のおおよその時刻を第１タイムスタンプとして使用してよい。これらの時刻は、第２端末がプリセット動作状態にはいるまでの非常に短い期間内であり、また、さらに、ユーザ同一性認証情報がセキュア要素に記憶される時間までの切替手順から比較的短い期間内であると理解してよい。従って、どちらの時刻を第１タイムスタンプとして使用するかにかかわらず、ユーザ同一性認証結果を生成する時刻を示してよい。第１タイムスタンプは、例えば、同一性認証システムによって生成された、外部からのデジタルキーサービスによって取得されてよく、又は、デジタルキーサービス自体によって生成されてよい。これは、本出願で限定されない。実施では、第１タイムスタンプのソースの信頼性を保証するために、デジタルキーサービスは、携帯電話の信頼された実行環境ＴＥＥにおいて、同一性認証システム又は信頼されたタイムサービスから第１タイムスタンプを取得してよいし、又は信頼されたタイムサーバから第１タイムスタンプを取得してよい。加えて、第１タイムスタンプは、改ざん防止属性（例えば、デジタル署名）を担うことができる。これは、本出願で限定されない。

任意には、第４実施では、デジタルキーサービスは、ユーザ同一性認証結果と第１タイムスタンプとを取得してよく、次いで、第２検証データを生成するために、第１端末との間で予め合意された第２キーを使用して、ユーザ同一性認証結果と第１タイムスタンプとを処理してよく、ユーザ同一性認証情報が検証可能で否認不可能な特性を有することを保証する。最後に、第２検証データと、ユーザ同一性認証結果と、第１タイムスタンプとを、ユーザ同一性認証情報として一緒に使用し、セキュア要素に一緒に記憶する。この場合に、ユーザ同一性認証情報はさらに、同一性認証証明と称してよい。

本実施における第２検証データについては、第２実施における関連説明を参照するものとする。第１タイムスタンプについては、第３の実施の関連説明を参照するものとする。詳細は、ここでは再度説明しない。

任意には、ユーザ同一性認証情報をセキュア要素に記憶する実施において、ユーザ同一性認証情報は、セキュア要素のデジタルキーアプレットに書き込まれてよい。

例えば、デジタルキーサービスは、デジタルキーアプレット内の特定の指示フィールドを設定し、デジタルキーアプレットにユーザ同一性認証結果を書き込むために、ユーザ同一性認証結果の３つの状態を示すのに、指示フィールドの異なる値を使用してよい。例えば、デジタルキーアプレットは、符号化が従来のタグ長値（Ｔｙｐｅ－Ｌｅｎｇｔｈ－Ｖａｌｕｅ， ＴＬＶ）フォーマットで実行されるときに、タグ（ｔａｇ）内の同一性認証結果を示してよく、値「１」は、ユーザ同一性認証結果が成功であることを示してよく、値「２」は、ユーザ同一性認証結果が失敗であることを示してよく、値「３」は、ユーザ同一性認証結果が完了していないことを示してよい。このような情報は、本出願では第１情報と呼ばれる。即ち、第１情報は、デジタルキーアプレットがユーザ同一性認証結果を提示する表現形式である。従って、前述したユーザ同一性認証情報は、ユーザ同一性認証結果を含み、ユーザ同一性認証情報は、第１情報を含むと考えてよい。第１情報は、ユーザ同一性認証結果が成功か失敗かを示すのに使用されるか、又は、第２端末がプリセット動作状態にはいる前に、同一性認証システムが同一性認証を完了していないことを示すのに使用される。

別の例として、デジタルキーサービスは、デジタルキーアプレット内の別の特定の指示フィールドを設定し、ユーザ同一性認証情報がセキュア要素に書き込まれたときに、第２端末がプリセット動作状態にはいろうとしているか否かを示すのに、指示フィールドの特定の値を使用してよい。即ち、指示フィールドは、第１端末のサービス命令に応答する際に、第２端末がプリセット動作状態にあるか否かを示すのに使用される。例えば、外部提示の間、「１」は、第１端末にサービス応答メッセージを送信する際に、第２端末がプリセット動作状態にあることを示してよい。「０」は、第１端末のサービス命令に応答する際に、第２端末が別の動作状態、例えば、非プリセット動作状態にあることを示してよい。このような情報は、本出願では第２情報と称される。従って、第１情報に加えて、ユーザ同一性認証情報は、第２情報をさらに含んでよい。第２情報は、サービス応答メッセージを第１端末に送信する際に、第２端末がプリセット動作状態にあるか否かを示すのに使用する。

任意には、前述の第２情報は、代替的に、デジタルキーアプレットのためのＮＦＣコントローラ（ＮＦＣ ｃｏｎｔｒｏｌｌｅｒ）によって提供されてよい。

前述の第１情報及び前述の第２情報は、独立して２つの指示フィールドによって表されてよいし、又は一緒に結合されて同じ指示フィールドによって表されてよいことに留意するものとする。これは、本出願で限定されない。例えば、同じ特定の指示フィールドが表現に使用される場合に、第１情報によって示される３つの状態と、第２情報によって示され得る２つの状態とを組み合わせてよく、特定の指示フィールドの６つの異なる値を使用して、６つのケースがそれぞれに表現される。例えば、セキュア要素に書き込まれたユーザ同一性認証情報が、さらに、第１タイムスタンプ、第２検証データなどを含む場合に、デジタルキーサービスは、データの存在を示す特定の指示フィールドを設定してよい。そして、第１タイムスタンプ、第２検証データなどがプリセットされた記憶アドレスに記憶される。これにより、第１情報及び第２情報に加えて、他の情報もセキュア要素に記憶してよい。

第１情報、第２情報、及びその他の情報を使用して、第２端末がプリセット動作状態にはいる前に同一性認証が完了したか否かの状態、第２端末が第１端末にサービス応答メッセージを送信したときの第２端末の動作状態、第１タイムスタンプ、検証情報などを、デジタルキーアプレットに記憶してよく、デジタルキーを利用したときに第１端末に配信する。このようにして、第１端末は、この情報を利用して第２端末の状態を知ってよく、さらに、プリセットのセキュリティポリシーに従って、リスク管理を行ってよい。リスク管理を実行するための具体的な方法は、第１端末によって実行される後のステップにおいて詳細に記述される。

任意には、ユーザ同一性認証情報をセキュア要素に記憶する別の実施では、ユーザ同一性認証情報を、セキュア要素のブローカアプレット（Ｂｒｏｋｅｒ Ａｐｐｌｅｔ）に書き込んでよい。

本出願の実施形態で使用されるセキュア要素は、国際プラットフォーム機関（Ｇｌｏｂａｌ ｐｌａｔｆｏｒｍ， ＧＰ）のブローカインターフェース（Ａｍｅｎｄｍｅｎｔ Ｊ）仕様をサポートする。図７は、本出願の一実施形態に係り、デジタルキーの同一性を認証する方法の応用シナリオの別の概略図である。第２端末のセキュア要素２１０には、１つのブローカアプレット２１２がある。ブローカアプレット２１２は、セキュア要素２１０内のすべてのアプレット（デジタルキーアプレット２１１と、存在し得る別のアプレットとを含む）について、ユーザ同一性認証情報を集中的に提供してよい。従って、デジタルキーサービス２３０は、前述のユーザ同一性認証情報の中の任意の部分を、記憶のためにブローカアプレット２１２に送信してよい。ユーザ同一性認証情報におけるユーザ同一性認証結果は、同一性認証システム２４０によって生成される。第２端末のデジタルキーアプレット２１１が第１端末と対話する場合に、ユーザ同一性認証情報を提供する必要があるならば、デジタルキーアプレット２１１は、標準インターフェースを介してプロキシアプレット２１２から記憶されたユーザ同一性認証情報を取得する。

なお、ユーザ同一性認証を行うときに、もし先立って１回又は複数回の認証が失敗であった場合には、ユーザに対して再度１回、又は複数回の認証を行ってよく、これにより、ユーザが誤ったパスワードを入力する、又は、有効なバイオメトリック特徴が収集されない場合を回避することを理解するものとする。この場合に、最後の同一性認証結果をセキュア要素に記憶してよい。例えば、通常のバッテリモードから電源オフ状態に切り替えると、第２端末は、ユーザに対して同一性認証を実行するために同一性認証システムをトリガーする。まず、図４に示すユーザインターフェースが、第２端末の表示画面に表示され、ユーザが指紋を入力するようにガイドする。ユーザは指紋押捺領域に指紋押捺し、指紋を記録する。ユーザの指に水があって、最初の指紋押捺時に同一性認証システムによって収集された指紋画像と、第２端末に予め記憶された指紋画像との間の類似性が、プリセット閾値よりも低いため、同一性認証システムは、最初に記録された指紋画像が、予め記憶された指紋画像と合致しない、即ち、同一性認証が失敗である、と決定する。この場合に、第２端末は、「失敗」の結果をセキュア要素に記憶せず、同一性認証に失敗した旨についてユーザにプロンプトを行い、再度指紋画像の記録をユーザに要求する。ユーザは、指紋の水を拭き取り、再度指紋を押捺する。記録された指紋画像と予め記憶された指紋画像との間の類似性がプリセット閾値を超えた場合は、同一性認証に成功し、最近取得した結果「成功」をセキュア要素に記憶する。ユーザが指紋画像を繰り返し記録した回数がプリセットの回数を超え、すべての結果が失敗した場合は、第２端末は、最近取得した結果「失敗」をセキュア要素に記憶する。

ユーザに対して同一性認証が行われ、ユーザ同一性認証情報が記憶されている場合に、第２端末における元の切替手順を中断してよい。同一性認証情報を記憶することが完了した後、切替手順の実行を継続する。切替手順の完了後、第２端末は正式にプリセット動作状態になる。

フェーズ２：第２端末がプリセット動作状態にあるときにユーザはデジタルキーを使用する
図３を参照する。フェーズ２では、第２端末は、ステップＳ１０３及びＳ１０４を実行してよい。

Ｓ１０３：第２端末は、第１端末からサービス命令を受信する。

第２端末は、通信ユニットを使用して第１端末と情報を交換する。さらに、通信ユニットは、独立して電力を供給することができる通信モジュール、例えば、ＮＦＣモジュールを含む必要がある。このように、第２端末が、例えば電源オフ又はバッテリ低下モードにおいて、プリセット動作状態にある場合には、独立して給電される通信モジュールは、第２端末のメインチップの動作状態に影響されない。通信モジュールは、依然として、第１端末と情報を交換してよい。

Ｓ１０４：サービス命令に応答して、プリセット動作状態で第２端末は、第１キーを使用して処理されたサービス応答メッセージを、第１端末に送信する。

本出願におけるプリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成することができない状態であってよい。プリセット動作状態では、フェーズ１でセキュア要素に記憶されたユーザ同一性認証情報を、第２端末はサービス応答メッセージに追加し、第１キーを使用してサービス応答メッセージを処理する。第１キーは、第２端末と第１端末とにより予め合意されたキーであり、第１キーは、第２検証データを生成するために使用される前述の第２キーと異なる。第２端末の第１キーは、セキュア要素のデジタルキーアプレットに記憶されてよい。次に、第２端末は、処理されたサービス応答メッセージを第１端末に送信する。

この実施形態におけるサービス応答メッセージは、ユーザ同一性認証情報を含む。ユーザ同一性認証情報は、ユーザ同一性認証結果のみを含んでよく、ユーザ同一性認証結果と第２検証データとを含んでよく、ユーザ同一性認証結果と第１タイムスタンプとを含んでよく、又はユーザ同一性認証結果と、第１タイムスタンプと、第２検証データとを含んでよい。ユーザ同一性認証情報、ユーザ同一性認証結果、第１タイムスタンプ、第２検証データについては、フェーズ１の関連説明を参照するものとする。詳細については、ここでは再度説明しない。加えて、サービス応答メッセージは、さらに、他の情報、例えば、前述の第２情報、プロトコル情報、トランザクション／サービス識別情報、第１端末の識別情報、及び第１端末／第２端末によって生成されたランダム情報値を含んでよい。これは、本出願で限定されない。

任意には、サービス応答メッセージは、第１検証データをさらに含んでよい。本出願における第１検証データは、サービス応答メッセージ内のユーザ同一性認証情報を処理するか、又は、第１キーを使用してサービス応答メッセージ内のユーザ同一性認証情報とその他の情報とを処理することによって、生成される検証データである。サービス応答メッセージが第１検証データを含む場合に、サービス応答メッセージは、第１キーを使用して処理されたサービス応答メッセージであると見なしてよい。第２検証データと同様に、ユーザ同一性認証情報、又はユーザ同一性認証情報と他の情報とが、第１キーを使用して処理される場合に、第１キーを使用して情報を直接処理して、第１検証データを取得してよい。又は、情報を最初にメッセージダイジェストに圧縮し、その後、第１キーを使用してメッセージダイジェストを処理して、第１検証データを取得してよい。

本出願の第１キーの暗号化メカニズムは、既存の対称暗号化又は非対称暗号化を使用してよく、又は、非対称暗号化に基づいてキーの協議が行われた後にセッションキーを生成してよいことに留意するものとする。ここには、詳細は記載しない。

なお、サービス命令が異なる場合には、サービス命令に対応するサービス動作もそれに応じて異なり、第１端末がサービス動作を許可するか否かを決定するために必要な情報も異ることに留意するものとする。従って、実施では、サービス応答メッセージに含まれる情報は、異なるサービス命令によって異なってよい。

任意には、サービス命令に応答する前に、第１端末によって送信されたサービス命令が、ユーザ同一性認証情報を提供することを第２端末に要求するか否か、即ち、サービス命令に対応するサービス動作が許可されたときにユーザ同一性認証情報が必要であるか否かを、第２端末は最初に決定してよい。ユーザ同一性認証情報が必要な場合に、セキュア要素内のユーザ同一性認証情報がサービス応答メッセージに追加される。又は、ユーザ同一性認証情報が必要でない場合は、ユーザ同一性認証情報を第１端末に提供する必要はない。

Ｓ１０３に対応して、第１端末は、第２端末にサービス命令を送信する。Ｓ１０４に対応して、第１端末は、サービス命令に応答して第２端末から送信されたサービス応答メッセージを受信する。

図３を参照する。フェーズ２では、第１端末は、ステップＳ１０５及びＳ１０６を実行してよい。

Ｓ１０５：第１端末は、第１キーを使用してサービス応答メッセージを検証した後、ユーザ同一性認証情報を取得する。

第１キーは、第２端末と第１端末により予め合意されたキーである。サービス応答メッセージに対して第１端末が第１キーを使用して行った検証が失敗した場合に、これは、第２端末が第１端末によって認識されたデジタルキーを持たないことを示す。サービス応答メッセージに対して第１端末が第１キーを使用して行った検証が成功した場合に、これは、第２端末が第１端末によって認識されたデジタルキーを保持していること、即ち、第２端末でのデジタルキーが許可されていることを示す。この場合に、第１端末は、サービス応答メッセージに含まれるユーザ同一性認証情報をさらに検証してよい。

サービス応答メッセージが、ユーザ同一性認証情報と、他の情報と、第１検証データとを含む例は、検証の実施をさらに説明するために、以下に使用される。第１端末は、第１キーを使用して、ユーザ同一性認証情報及びその他の情報を処理し、これにより、第１チェックデータを取得する。次に、第１チェックデータを第１検証データと比較する。第１チェックデータが第１検証データと同じである場合は、検証が成功であり、第１チェックデータが第１検証データと異なる場合は、検証が失敗である。

サービス応答メッセージが第２検証データを含まない場合に、第１端末は、ユーザ同一性認証情報の内容と、プリセットのセキュリティポリシーとを使用して、サービス命令に対応するサービス動作を許可するか否かを直接決定してよい。サービス応答メッセージが第２検証データを含む場合に、第１端末は、第２端末との間で予め合意された第２キーを使用して、ユーザ同一性認証情報が有効であるか否かを検証する必要があり、これにより、ユーザ同一性認証情報が、第２端末でのデジタルキーサービス又は同一性認証システムによって生成されることを保証する。さらに、第１端末は、ユーザ同一性認証情報の内容がプリセットのセキュリティポリシーに準拠しているか否かを決定する必要がある。サービス命令に対応するサービス動作は、この２つの条件を満たす場合にのみ許可してよい。

ユーザ同一性認証情報がユーザ同一性認証結果と第１タイムスタンプとを含み、サービス応答メッセージが第２検証データを含む例については、ユーザ同一性認証情報が有効であるか否かを検証するプロセスをさらに説明するために、使用される。第１端末は、第２キーを使用して、ユーザ同一性認証情報、即ちユーザ同一性認証結果と第１タイムスタンプとを処理し、計算によって第２チェックデータを取得する。次に、第２チェックデータを第２検証データと比較する。第２チェックデータが第２検証データと同一の場合は、ユーザ同一性認証情報が有効であると決定する。第２チェックデータが第２検証データと異なる場合は、ユーザ同一性認証情報が無効であると決定する。この方法を使用して、ユーザ同一性認証情報が送信プロセスにおいて改ざんされていないことを確実にしてよい。即ち、ユーザ同一性認証情報の完全性を確実にしてよい。加えて、ユーザ同一性認証情報が検証可能で否認不可能な特性を有することを確実にするために、ユーザ同一性認証情報を送信するソースを許可することを確実にしてよい、即ち、第２端末のキーの許可保有者が保証されることを確実にしてよい。

なお、サービス応答メッセージは、本来、ユーザ同一性認証情報を含み、第１キーが検証に使用されない場合でも、第１端末は、サービス応答メッセージからユーザ同一性認証情報を取得してよいことに留意するものとする。しかしながら、上述のように、第１キーを使用して実行された検証が失敗した場合に、これは、第２端末が、第１端末によって認識されたデジタルキーを保持しないことを示す。この場合に、以降のステップは、ユーザ同一性認証情報を使用して実行する必要はなく、サービス動作の許可は直接拒否される。ただし、第１キーを使って行われた検証が成功した場合は、第２端末でのデジタルキーが許可されていることを示す。この場合に、以降のステップは、サービス応答メッセージ中のユーザ同一性認証情報を使用することによって実行され、それによって、ユーザの同一性に関する検証を追加し、デジタルキーのセキュリティを向上させる。

さらに、第１端末から送信されるサービス命令が、ユーザ同一性認証情報の検証を必要としない場合に、即ち、サービス命令に対応するサービス動作を許可するか否かを決定する際にユーザ同一性認証情報を必要としない場合には、ユーザ同一性認証情報を使用して以降のステップを実行する必要はないことに留意するものとする。実施では、この場合に、サービス命令に対応するサービス動作を許可するか否かは、第１キーの検証結果に基づいて直接決定してよい。

Ｓ１０６：ユーザ同一性認証情報を検証する。

第１端末は、プリセットのセキュリティポリシーを記憶し、セキュリティポリシーは、ユーザ同一性認証情報に関連する１つ以上のルールを含む。ユーザ同一性認証情報を検証する実施では、第１端末は、ユーザ同一性認証情報をセキュリティポリシーのルールと比較してよく、ユーザ同一性認証情報がセキュリティポリシーのルールを満たすか否かに基づいて、サービス命令に対応するサービス動作が許可されることができるか否かを決定してよい。

異なる第１端末のセキュリティポリシーは異なってよく、第１端末のセキュリティポリシーは異なる応用シナリオで異なってよいことに留意するものとする。第１端末の製造者、例えば、車両製造者は、製造者のリスク許容能力に基づいてセキュリティポリシーをプリセットしてよい。

さらに、ここでのユーザ同一性認証情報は、第２端末のセキュア要素から取得されることに留意するものとする。ユーザ同一性認証情報を取得すると、第２端末はプリセット動作状態になる。ユーザ同一性認証情報は、ユーザ同一性認証結果を含み、ユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に、第２端末の同一性認証システムによって生成される。

任意には、ユーザ同一性認証情報は、前述の第２情報を含んでよい。第２端末が第１端末にサービス応答メッセージを送信する際に、第２端末がプリセット動作状態にあるか否かを、第１端末は第２情報を使用して、明確に知ることができる。実施においては、サービス応答メッセージを送信する際に、第２端末がプリセット動作状態にあるか否かを示すのに、第２情報は使用される。従って、ユーザ同一性認証情報が第２情報を含む場合に、第１端末は、第２情報を使用して、第２端末がサービス応答メッセージを送信する場合に、第２端末の状態を決定してよい。第２端末がプリセット動作状態にある場合に、第２端末の同一性認証システムは正常に使用できない。この場合に、取得したユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に生成及び記憶され、リアルタイムでは生成されない。これは、現在のユーザがデジタルキーを使用する場合に、リスクが相対的に高いことを示す。この場合に、第１端末は、プリセットのセキュリティポリシーとユーザ同一性認証情報とに基づいてリスク管理を行い、サービス動作を許可するか否かを決定し、リスクを下げてよい。

任意には、ユーザ同一性認証情報は、前述の第１情報を含んでよい。第２端末がプリセット動作状態にはいる前に、同一性認証が行われているか否か、又は同一性認証が完了していないか否かを、第１端末は第１情報を使用して、明確に知ることができる。実施においては、第１情報は、ユーザ同一性認証結果が「成功」、「失敗」、「未完了」であることを示すのに使用される。セキュリティポリシーは、第１ルールを含み、第１ルールでは認証結果が「成功」としてプリセットされている。サービス応答メッセージのユーザ同一性認証結果も「成功」であれば、サービス応答メッセージのユーザ同一性認証結果は、プリセットの認証結果と合致する。又は、サービス応答メッセージのユーザ同一性認証結果が「失敗」又は「未完了」であれば、サービス応答メッセージのユーザ同一性認証結果は、プリセットの認証結果と合致しない。

サービス命令は、１つ以上の異なる命令を含んでよい。サービス命令が複数の異なる命令を含む場合に、複数の異なる命令は、別々に第２端末に送信されてよいし、又は、一緒に第２端末に送信されてよい。これは、本出願で限定されない。複数の異なる命令が別々に第２端末に送られる場合に、第２端末は、別々の応答を行い、対応するサービス応答メッセージを別々に第１端末に送ってよいし、又は、１回応答を行い、１つのサービス応答メッセージを第１端末に送ってよい。なお、第１端末が複数の異なる命令を別々に第２端末に送信し、第２端末が別々の応答を行う場合に、第２端末は、最初に送信された命令に、最初に応答し、次に、後に送信された命令を受信してよいし、又は、後に送信された命令を、最初に受信し、次に、複数の受信された命令に順次応答してよいことに留意するものとする。換言すれば、複数の命令を受信し、第２端末が複数の命令に応答する一連のステップは、本出願で限定されない。複数の異なる命令が第２端末に一緒に送られるとき、第２端末は１回応答し、第１端末に１つのサービス応答メッセージを送ってよいし、又は別々の応答を行ってよい。これは、本出願で限定されない。

サービス命令に対応するサービス動作は、１つ以上の動作を含んでよい。これは、本出願で限定されない。第１端末及び第２端末は、複数の異なるシナリオにおけるサービス命令に合意してよく、異なるシナリオにおける各サービス命令は、１つ以上のサービス動作要求を含んでよい。第１端末によって第２端末に現在送信されている、サービス命令のシナリオに含まれる１つ以上のサービス動作に対する要求に基づいて、第１端末は、１つ以上のサービス動作を許可するか否かを決定する。

例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第１端末は車両であってよく、第２端末は携帯電話であってよい。車両内には複数の通信ユニットが存在する。異なる通信ユニットを使用して、異なるサービス命令と、対応するサービス動作とを、互いに区別してよい。車両ドアに関連付けられた通信モジュールがサービス命令を送信した場合に、対応するサービス動作は、単一の車両ドア又は全ての車両ドアのロックを解除することであってよい。車両のトランクに関連付けられた通信モジュールがサービス命令を送信した場合に、対応するサービス動作がトランクのロックを解除することであってよい。車両内に位置する始動モジュールに関連付けられた通信モジュールが、サービス命令を送信した場合に、対応するサービス動作がエンジンを始動することであってよい。このようにして、携帯電話から送信されたサービス応答メッセージを受信した場合に、車両は、異なるサービス命令に基づいて、また異なるセキュリティポリシーを使用して、対応するサービス動作を許可するか否かを決定してよい。

以下に、例として１２個の異なるセキュリティポリシーを使用して、ユーザ同一性認証情報に基づいて、異なるセキュリティポリシーが使用される場合にサービス命令に対応するサービス動作を許可するか否かを決定するプロセスを、さらに説明する。

（１）セキュリティポリシー１

セキュリティポリシー１は、第１ルールを含む。

第１ルールは、ユーザ同一性認証結果に関連するルールであり、２つのサブルールを含む。第１ルールでは、認証結果は「成功」とプリセットされる。サブルールａ：もしサービス応答メッセージ内のユーザ同一性認証結果もまた「成功」である場合に、サービス応答メッセージ内のユーザ同一性認証結果は、プリセットの認証結果と合致する。サブルールｂ：もしサービス応答メッセージ内の同一性認証結果が「失敗」又は「未完了」である場合に、サービス応答メッセージ内のユーザ同一性認証結果は、プリセットの認証結果と合致しない。

セキュリティポリシー１を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否かを決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は、サービス命令に対応するサービス動作を直接許可する。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は、サービス命令に対応するサービス動作を許可することを拒否する。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令に対応するサービス動作は「ロック解除」又は「エンジン始動」を含む。携帯電話は、現在は電源オフ状態である。車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、ユーザ同一性認証情報におけるユーザ同一性認証結果が「成功」した場合は、ユーザ同一性認証結果がサブルールａに準拠し、サービス動作「ロック解除」又は「エンジン始動」を許可する。

（２）セキュリティポリシー２

セキュリティポリシー２は、第１ルールと第２ルールとを含む。第１ルールはセキュリティポリシー１での第１ルールと同じであり、ここでは詳細については説明しない。

第２ルールは、第２端末がプリセット動作状態にあるときに、第１端末がサービス動作を許可する合計回数に関するルールである。第１端末は、第２端末がプリセット動作状態にあるときに、サービス動作を許可する履歴の合計回数を記録する。第２ルールでは、数量の閾値がプリセットされ、許可する合計回数が数量の閾値内であることが必要である。

セキュリティポリシー２を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び許可する合計回数が第２ルールに準拠しているか否かを決定する必要がある。２つのルールの両方に準拠している場合に、第１端末はサービス命令に対応するサービス動作を許可する。２つのルールのいずれかに準拠していない場合に、第１端末はサービス命令に対応するサービス動作を許可することを拒否する。

また、サービス動作を許可するか否かにかかわらず、第１端末又は第２端末は、ユーザに対して、現在の許可する合計回数、将来の結果、ユーザがとることのできる措置などをユーザに通知するために、プロンプト情報を表示してよい。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令に対応するサービス動作は「エンジン始動」を含む。第２ルールで設定された数量閾値は、４である。車両が携帯電話から送信されたサービス応答メッセージの検証に成功した後、ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。携帯電話が電源オフ又はバッテリ低下モードのときにデジタルキーを使用している場合は、車両が４回の認証を既に行っていて、現在の認証が第５回であり、第２ルールに準拠しない。従って、車両はサービス動作「エンジン始動」を許可することを拒否する。

さらに、第２ルールでは、一定期間内の許可する合計回数が閾値内であることを要求して、期間をさらに設定してよい。例えば、第２ルールは、現在時刻から２４時間以内の許可する合計回数が、数量閾値内であることを要求してよい。

このようにして、第１端末は、デジタルキーをプリセット動作状態で使用する場合を制限してよい。プリセット動作状態にあり、かつリアルタイムの保護を欠く第２端末で、デジタルキーを悪意をもって使用するリスクは、さらに下げられる。

（３）セキュリティポリシー３

セキュリティポリシー３は、第１ルールと第３ルールとを含む。第１ルールはセキュリティポリシー１の第１ルールと同じであり、ここでは詳細については再度説明しない。

第３ルールは、第２端末がプリセット動作状態にあるときに、第１端末がサービス動作を許可する頻度に関するルールである。許可の頻度は、一定期間内に実行された許可する回数を使用して決定してよい。第１端末は、第２端末がプリセット動作状態にあるときにサービス動作を許可する履歴の許可する回数と、許可の各回に対応する時間とを記録する。頻度閾値は、第３ルールでプリセットされ、許可の頻度（即ち、一定期間内の許可する回数）が頻度閾値内であることを要求する。

セキュリティポリシー３が使用される場合に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び許可の頻度が第３ルールに準拠しているか否かを、第１端末は決定する必要がある。２つのルールの両方に準拠している場合に、第１端末はサービス命令に対応するサービス動作を許可する。２つのルールのいずれかに準拠していない場合に、第１端末はサービス命令に対応するサービス動作を許可することを拒否する。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令に対応するサービス動作は「エンジン始動」を含む。第３ルールでは、許可の頻度閾値を毎月１０回と設定する。車両が携帯電話から送信されたサービス応答メッセージの検証に成功した後、ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。携帯電話が電源オフ又はバッテリ低下モードのときにデジタルキーを使用した場合に、車両が１か月以内に５回の許可を行い、現在の許可が第６回の場合に、第３ルールに準拠する。従って、車両はサービス動作「エンジン始動」を許可する。

このようにして、第１端末は、デジタルキーをプリセット動作状態で使用する場合を制限することができる。プリセット動作状態にあり、かつリアルタイムの保護を欠いている第２端末において、悪意をもってデジタルキーを使用するリスクは、さらに下げられる。

（４）セキュリティポリシー４

セキュリティポリシー４は、第１ルールと第４ルールとを含む。第１ルールはセキュリティポリシー１の第１ルールと同じであり、ここでは詳細については説明しない。

第４ルールは、デジタルキーを使用する時刻とユーザ同一性認証結果を生成する時刻との間のインターバル継続時間に関連するルールである。第１端末によって取得されたユーザ同一性認証情報は、さらに第１タイムスタンプを含み、第１タイムスタンプは、第２端末におけるユーザ同一性認証結果を生成する時刻を示すのに使用される。第４ルールでは、継続時間閾値がプリセットされる。これは、現在時刻と第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内であることを必要とする。

セキュリティポリシー４が使用される場合に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第４ルールに準拠しているか否かを、第１端末は決定する必要がある。２つのルールの両方に準拠している場合に、第１端末はサービス命令に対応するサービス動作を許可する。２つのルールのいずれかに準拠していない場合に、第１端末はサービス命令に対応するサービス動作を許可することを拒否する。

なお、第４ルールにおける現在時刻は、第１タイムスタンプが第４ルールに準拠しているか否かを第１端末が決定するリアルタイムであってよく、第１端末がサービス応答メッセージを受信する時刻、第１端末がユーザ同一性認証情報を取得する時刻などであってよい。これらの時刻は比較的近いものである。ユーザによるデジタルキーの使用時刻と、ユーザ同一性認証結果の生成時刻との間のインターバル継続時間は、現在時刻としてどちらの時刻を使用しているかにかかわらず、示してよい。従って、現在時刻として使用される特定の時刻は、本出願では制限されない。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令に対応するサービス動作は「エンジン始動」を含む。第４ルールでは、インターバル継続時間は２４時間に設定されている。車両が携帯電話から送信されたサービス応答メッセージの検証に成功した後、ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。第１タイムスタンプが３月５日の２０：００であり、現在時刻が３月６日の１２：００であれば、２つの時刻のインターバル継続時間は１６時間となり、これは継続時間閾値の２４時間未満である。この場合に、第４ルールに準拠する。従って、車両はサービス動作「エンジン始動」を許可する。

（５）セキュリティポリシー５

セキュリティポリシー５は、第１ルールと第５ルールとを含む。第１ルールはセキュリティポリシー１の第１ルールと同じであり、ここでは詳細について再度説明しない。

第５ルールは、プリセット動作状態にはいった後、第２端末が非プリセット動作状態に戻るか否かに関するルールである。第５ルールの実施では、第１タイムスタンプを第２タイムスタンプと比較する必要がある。第２タイムスタンプは、第１タイムスタンプよりも前である必要がある。即ち、第２端末は、第１タイムスタンプで示された時刻の後に、プリセット動作状態から非プリセット動作状態に逆に切り替わらないことが必要である。ユーザ同一性認証情報は、さらに、第１タイムスタンプを含み、第１タイムスタンプは、第２端末におけるユーザ同一性認証結果を生成する時刻を示すのに使用される。第２タイムスタンプは、第２端末が最後にプリセット動作状態から非プリセット動作状態に切り替わる時刻を示すのに、使用される。言い換えると、第２端末がプリセット動作状態から非プリセット動作状態に切り替わる期間内で、第２端末がサービス応答メッセージを送信する時刻に最も近い時刻を示すのに、第２タイムスタンプは使用される。

第５ルールの別の実施では、第１タイムスタンプを第３タイムスタンプと比較する必要がある。第３タイムスタンプと第１タイムスタンプとの間の間隔は、プリセット閾値よりも短いことが必要である。第１タイムスタンプは、第２端末でユーザ同一性認証結果を生成する時刻を示すのに使用される。このとき、第２端末はプリセット動作状態にはいろうとしている。第３タイムスタンプは、最後に第２端末が、非プリセット動作状態からプリセット動作状態に切り替わる時刻を示すのに、使用される。言い換えれば、この実施では、第３タイムスタンプが、第１タイムスタンプよりも大幅に遅くなるのでなく、第１タイムスタンプに非常に近いことを、第５ルールは要求する。

第１タイムスタンプが第５ルールに準拠していない場合に、第２端末が第１タイムスタンプの後に非プリセット動作状態にはいったことを示す。第２端末の同一性認証システムは、現在正常に動作することができ、又は第２端末は、より多くの新しい同一性認証情報を提供することができ、そして、現在提供されている同一性認証情報は、最新のユーザ認証ステータスを表すことができない。どちらの場合にも、第２端末が現在のサービスにおいて異常な挙動を示したこと、即ち通常の状況では提供すべきでない情報を提供したことが証明される。これは、デジタルキーが現在使用されている場合に、セキュリティリスクがある可能性があることを示す。例えば、第２端末は、現在のサービス動作を許可することを試行するために、既に古くなった同一性認証情報をリプレイする。ただし、電源を切った後に第２端末を再起動しない場合には、これは、同一性認証情報のリプレイを悪用するリスクが比較的低いことを示している。従って、第５ルールを前述の第１ルールと組み合わせて、デジタルキーを使用することのセキュリティリスクをさらに下げることができる。

第５ルールが使用される場合に、決定ステップは、第１端末でローカルに実行されてよく、又は第１端末によってサーバに送信を行ってよく、サーバはオンライン検証を実行することに留意するものとする。

実施では、第２タイムスタンプは、サーバから第１端末によって取得されてよい。第１端末は、サーバによって送信された第２タイムスタンプを最初に受信し、次いで、第２タイムスタンプが第１タイムスタンプよりも遅いか否かに基づいて、第２端末が、第１タイムスタンプで示された時刻の後に、プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定する。

別の実施では、第１端末は、第１タイムスタンプを含むオンライン検証リクエストをサーバに送信してよい。次に、サーバに記憶された第５ルールと、第１タイムスタンプと、第２タイムスタンプとに基づいて、サーバは、第２端末が、第１タイムスタンプで示された時刻の後に、プリセット動作状態から非プリセット動作状態に切り替えるか否かを決定し、オンライン検証結果を得る。続いて、サーバはオンライン検証結果を第１端末に送信する。オンライン検証結果が成功した場合に、第１端末は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わらないと決定してよく、又は、オンライン検証結果が失敗である場合に、第１端末は、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると決定してよい。

前述のサーバは、直接又は間接的に第２端末に通信接続されたサーバであってよい。例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第２端末が携帯電話であり、前述のサーバは、車両製造者のサーバであり、携帯電話のアカウントサーバに通信接続され、携帯電話のアカウントサーバは、携帯電話に通信接続される。この場合に、携帯電話は車両製造者のサーバに間接的に接続される。一旦電源がはいると、携帯電話が自動的に携帯電話のアカウントサーバに接続されるため、車両製造者のサーバは、携帯電話のアカウントサーバを使用して、携帯電話の通電時刻を取得してよい。

セキュリティポリシー５を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第５ルールに準拠しているか否かを決定する必要がある。２つのルールの両方に準拠している場合に、第１端末はサービス命令に対応するサービス動作を許可する。２つのルールのいずれかに準拠していない場合に、第１端末はサービス命令に対応するサービス動作を許可することを拒否する。さらに、第１タイムスタンプが第５ルールに準拠しない場合に、第１端末は、代替的に、デジタルキーをフリーズしてよく、第２端末にデジタルキーをフリーズするように指示してよく、又は、ユーザに再度同一性認証を実行するように指示してよく、それによって、デジタルキーを使用することのセキュリティを向上させる。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令に対応するサービス動作は「エンジン始動」である。前述のセキュリティポリシー５を使用する。

車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、ユーザ同一性認証結果が第１ルールのサブルールａに準拠していると決定されてよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。車両は、第２タイムスタンプを取得し、第１タイムスタンプと第２タイムスタンプとが第５ルールに準拠しているか否かを決定する。第１タイムスタンプは３月５日の２０：００、第２タイムスタンプは３月５日の１０：００（最新の通電時刻）と仮定する。この場合に、第２タイムスタンプは第１タイムスタンプよりも早く、これは、３月５日の２０時以降、携帯電話は再度通電されていないことを示す。従って、第５ルールに準拠している。従って、車両はサービス動作「エンジン始動」を許可する。

なお、上記セキュリティポリシー１ないし４と、その後のセキュリティポリシー６ないし８とのうちの任意の１つにも、第５ルールを適用してよいことが理解されるものとする。即ち、セキュリティポリシー１ないし４と、セキュリティポリシー６ないし８とは、それぞれ、前述の第５ルールと組み合わせてよい。サービス動作が許可された後、さらに、第１タイムスタンプで示された時刻の後に、第２端末がプリセット動作状態から非プリセット動作状態に再度はいるか否かを決定してよい。第２端末が非プリセット動作状態に再度はいった場合に、第５ルールは準拠しない。これは、第２端末が要件を満たすユーザ同一性認証結果を提供したにもかかわらず、第１端末が、後に、第５ルールに従って、ユーザ同一性認証結果が最新のものではないと決定することを示す。従って、現在、セキュリティリスクが存在する。この場合に、第１端末は、デジタルキーをフリーズしてよく、第２端末にデジタルキーをフリーズするように指示してよく、又はユーザに再度同一性認証を実行するように指示してよい。第５ルールについての決定を増加させることによって、デジタルキーのリスクがさらに下げられ、デジタルキーを使用するセキュリティが向上される。

前述のセキュリティポリシー１ないし５は、さらに互いに組み合わされてよく、異なるセキュリティポリシーが、異なるサービス動作に対応するために使用されることに留意するものとする。理解を容易にするために、デジタルキーが車両キーとして使用される応用シナリオが、一層の説明のために下記の例として使用される。使用手順では、車両のドアを開く動作にはセキュリティポリシー１が使用され、エンジン始動時にはセキュリティポリシー２ないし５の任意の１つが使用される。ＮＦＣを通信技術として使用する場合に、ユーザはまず、車両のハンドルバーでのＮＦＣリーダの近くに電話を置く。車両のＮＦＣカードリーダは、サービス命令を送信し、携帯電話から送信されたサービスレスポンスを受信した後、セキュリティポリシー１の条件に基づいて決定を行い、検証に成功した場合に、ドアのドアロックを解除する。続いて、ユーザは車両にはいり、携帯電話を車両内のカード読み取りエリアに置く。車両は、他のサービス命令を送信し、携帯電話から送信されたサービス応答を受信した後、セキュリティポリシー２ないし５の任意の１つに基づいて検証を行い、検証に成功した場合には、ユーザがエンジンを始動することを可能にする。

（６）セキュリティポリシー６ないし８

セキュリティポリシー６は、第１ルールと第２ルールとを含む。セキュリティポリシー７は、第１ルールと第３ルールとを含む。セキュリティポリシー８は、第１ルールと第４ルールとを含む。第１ルールは、前述のセキュリティポリシー１でのそれと同じであり、第２ルールは、前述のセキュリティポリシー２でのそれと同じであり、第３ルールは、前述のセキュリティポリシー３でのそれと同じであり、第４ルールは、前述のセキュリティポリシー４でのそれと同じである。詳細は、ここでは再度説明しない。

上述したように、第１端末から第２端末に送信されるサービス命令は、複数の命令を含んでよく、各命令は、それぞれ、複数の異なるサービス動作に対応する。例えば、サービス命令は、第１命令と第２命令とを含んでよく、サービス動作は、対応して、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。ユーザ体験を改善するために、異なる応用シナリオでは、異なる動作は、動作の異なるリスクに基づいて異なるルールに対応してよい。ユーザ同一性認証情報がセキュリティポリシーの異なるルールを満たす場合に、第１端末は異なるサービス動作を許可する。

セキュリティポリシー６を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び許可する合計回数が第２ルールに準拠しているか否かを順次決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１動作が許可された後に、許可する合計回数が第２ルールに準拠している場合に、第１端末は第２動作を許可する。又は、許可する合計回数が第２ルールに準拠しない場合に、第１端末は第２動作を許可することを拒否する。

セキュリティポリシー７を使用する場合と同様に、セキュリティポリシー７を使用する場合に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び許可の頻度が第３ルールに準拠しているか否かを、第１端末は順次決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１動作が許可された後、許可の頻度が第３ルールに準拠している場合に、第１端末は第２動作を許可する。又は、許可の頻度が第３ルールに準拠しない場合に、第１端末は第２動作を許可することを拒否する。

セキュリティポリシー６又は７を使用する場合と同様に、セキュリティポリシー７を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第４ルールに準拠しているか否かを順次決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１動作が許可された後、第１タイムスタンプが第４ルールに準拠している場合に、第１端末は第２動作を許可する。又は、第１タイムスタンプが第４ルールに準拠していない場合に、第１端末は第２動作を許可することを拒否する。

前述のセキュリティポリシー６ないし８において、第１端末が第１動作を許可することを拒否する場合に、第１端末は、その後の決定なしに、第２動作を許可することを直接拒否してよいことに留意するものとする。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令は第１命令と第２命令とを含み、第１命令と第２命令とがともに携帯電話に送信される。第１命令に対応するサービス動作は、第１動作「ロック解除」であり、第２命令に対応するサービス動作は、第２動作「エンジン始動」である。前述のセキュリティポリシー８が使用される。第４ルールでは、インターバル継続時間は２４時間に設定されている。

第１命令と第２命令とを受信した後、携帯電話は、サービス応答メッセージを車両に送信し、ここで、サービス応答メッセージは、ユーザ同一性認証結果と第１タイムスタンプとを含む。車両が、携帯電話から送信されたサービス応答メッセージを検証することに成功した後、最初に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否かを決定してよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。従って、車両はサービス動作「ロック解除」を許可する。この場合に、ユーザが車両にはいれるように、車両ロックを解除する。次いで、第１タイムスタンプが第４ルールに準拠しているか否かを決定する。第１タイムスタンプが３月５日の２０：００であり、現在時刻が３月６日の１２：００であれば、２つの時刻のインターバル継続時間は１６時間となり、これは継続時間閾値の２４時間未満である。この場合に、第４ルールに準拠している。従って、車両はサービス動作「エンジン始動」を許可する。この場合に、車両のエンジンが始動され、ユーザは車両が運転できる。

なお、第１命令と第２命令は、それぞれに、交互に携帯電話に送信されてよいことに留意するものとする。例えば、通信技術としてブルートゥースを使用する場合に、車両での認証モジュールは、異なるフェーズで異なるサービス命令を携帯電話に送信する。この場合に、最初に、ユーザが車両に近づいたとき、ユーザは、ドアに関連付けられた通信モジュールと、携帯電話を使用して対話する。車両は、ロック解除に関するサービス命令、即ち第１命令を、携帯電話に送信する。第１命令を受け取った後、携帯電話はサービス応答メッセージを車両に送り、そこでサービス応答メッセージはユーザ同一性認証結果を含む。車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否かを決定してよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果はサブルールａに準拠する。従って、車両はサービス動作「ロック解除」を許可する。この場合に、車両ロックは解除され、ユーザは車両にはいれる。測位技術（ＵＷＢ測位など）を使用して、ユーザが車両にはいったことを検知した後、車両は、エンジン始動に関するサービス命令、即ち第２命令を携帯電話に送信する。第２命令を受け取った後、携帯電話は、別のサービス応答メッセージを車両に送信し、ここで、サービス応答メッセージは、ユーザ同一性認証結果と第１タイムスタンプとを含む。車両が携帯電話から送信されたサービス応答メッセージを正常に検証し、ユーザ同一性認証結果が第１ルールのサブルールａに準拠していると決定された後、第１タイムスタンプが第４ルールに準拠しているか否かを、さらに決定する。第１タイムスタンプが第４ルールに準拠していると仮定すると、車両はサービス動作「エンジン始動」を許可する。この場合に、車両のエンジンが始動され、ユーザは車両が運転できる。

なお、複数の命令が別々に携帯電話に送信された場合には、携帯電話から複数のサービス応答メッセージが送信されてよく、複数のサービス応答メッセージは、それぞれ、同一のユーザ同一性認証情報を含んでよいことが分かる。また、第１ルールが準拠しているか否かを決定するプロセスは、１回以上繰り返してよい。

（７）セキュリティポリシー９

セキュリティポリシー９は、第１ルールと第５ルールとを含む。第１ルールは前述のセキュリティポリシー１でのそれと同じであり、第５ルールは前述のセキュリティポリシー５でのそれと同じである。詳細は、ここでは再度説明しない。

上述のように、サービス命令は、第１命令と第２命令とを含んでよく、これに対応して、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。ユーザ同一性認証情報がセキュリティポリシーの異なるルールを満たす場合に、第１端末は異なるサービス動作を許可する。

セキュリティポリシー９を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第５ルールに準拠しているか否かを順次決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１動作が許可された後、第１タイムスタンプが第５ルールに準拠している場合に、第１端末は第２動作を許可する。又は、第１タイムスタンプが第４ルールに準拠していない場合に、第１端末は第２動作を許可することを拒否する。さらに、第１タイムスタンプが第５ルールに準拠しない場合に、第１端末は、代替的に、デジタルキーをフリーズしてよく、第２端末にデジタルキーをフリーズするように指示してよく、又は、ユーザに再度同一性認証を実行するように指示してよく、それによって、デジタルキーを使用することのセキュリティを向上させる。

第１端末が第１動作を許可することを拒否する場合に、第１端末は、第１タイムスタンプが第５ルールに準拠しているか否かを決定することなく、第２動作の許可を直接拒否してよいことに留意するものとする。

例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令は、第１命令と第２命令とを含む。第１命令に対応するサービス動作は、第１動作「ロック解除」であり、第２命令に対応するサービス動作は、第２動作「エンジン始動」である。前述のセキュリティポリシー９が使用される。

車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、最初に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否かを決定してよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果はサブルールａに準拠する。従って、車両はサービス動作「ロック解除」を許可する。この場合に、車両ロックは解除され、ユーザは車両にはいれる。次に、車両は、第２タイムスタンプを取得し、第１タイムスタンプと第２タイムスタンプとが第５ルールに準拠しているか否かを決定する。第１タイムスタンプは３月５日の２０：００であり、第２タイムスタンプは３月５日の１０：００であると仮定する。この場合に、第２タイムスタンプは第１タイムスタンプよりも早く、これは、３月５日の２０時以降、携帯電話は再度通電されていないことを示す。従って、第５ルールに準拠している。従って、車両はサービス動作「エンジン始動」を許可する。この場合に、車両のエンジンが始動され、ユーザは車両が運転できる。

（８）セキュリティポリシー１０

セキュリティポリシー１０は、第１ルールと、第４ルールと、第５ルールとを含む。第１ルールは前述のセキュリティポリシー１でのそれと同じであり、第４ルールは前述のセキュリティポリシー４でのそれと同じであり、第５ルールは前述のセキュリティポリシー５でのそれと同じである。詳細は、ここでは再度説明しない。

上述のように、サービス命令は、第１命令と第２命令とを含んでよく、これに対応して、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。ユーザ同一性認証情報がセキュリティポリシーの異なるルールを満たす場合に、第１端末は異なるサービス動作を許可する。

セキュリティポリシー１０が使用される場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第４ルールと第５ルールとに準拠しているか否かを決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールａに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が、第１ルールのサブルールａに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１端末が第１動作を許可した後、第１タイムスタンプが第４ルールに準拠している場合に、第１端末は第２動作を許可する。又は、第１タイムスタンプが第４ルールに準拠していない場合に、第１端末は第１タイムスタンプが第５ルールに準拠しているか否かを決定する。第１タイムスタンプが第５ルールに準拠している場合に、第１端末は第２動作を許可する。又は、第１タイムスタンプが第４ルールに準拠していない場合に、第１端末は第２動作を許可することを拒否する。

セキュリティポリシー５の場合と同様に、第１タイムスタンプが第５ルールに準拠しない場合に、第１端末は、代替的に、デジタルキーをフリーズしてよく、第２端末にデジタルキーをフリーズするように指示してよく、又はユーザに同一性認証を再度実行するように指示してよく、それによって、デジタルキーを使用するセキュリティを向上させる。もし第１端末が第１動作を許可することを拒否するなら、第１タイムスタンプが第５ルールに準拠しているか否かを決定することなく、第１端末は第２動作を許可することを直接拒否してよい。

例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令は、第１命令と第２命令とを含む。第１命令に対応するサービス動作は、第１動作「ロック解除」であり、第２命令に対応するサービス動作は、第２動作「エンジン始動」である。前述のセキュリティポリシー１０が使用される。

車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、最初に、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否かを決定してよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果はサブルールａに準拠する。従って、車両はサービス動作「ロック解除」を許可する。この場合に、車両ロックは解除され、ユーザは車両にはいれる。次に、第１タイムスタンプが第４ルールに準拠しているか否かが決定される。第１タイムスタンプが３月５日の２０：００、現在時刻が３月７日の１２：００の場合に、２つの時刻の間のインターバル継続時間は４０時間となり、これは継続時間閾値である２４時間よりも長い。この場合に、第４ルールは準拠していない。この場合に、車両は、第２タイムスタンプを取得し、第１タイムスタンプと第２タイムスタンプとが第５ルールに準拠しているか否かを決定する。第２タイムスタンプは３月５日の１０：００と仮定する。この場合に、第２タイムスタンプは第１タイムスタンプよりも早く、３月５日２０時以降、携帯電話は再度通電されていないことを示す。従って、第５ルールは、次の通りである。この場合に、車両はサービス動作「エンジン始動」を許可する。この場合に、車両のエンジンが始動され、ユーザは車両が運転できる。

（９）セキュリティポリシー１１

セキュリティポリシー１１はまた、第１ルールと、第４ルールと、第５ルールとを含む。第１ルールは、前述のセキュリティポリシー１でのそれと同じであり、第４ルールは前述のセキュリティポリシー４でのそれと同じであり、第５ルールは、前述のセキュリティポリシー８でのそれと同じである。詳細は、ここでは再度説明しない。

上述のように、サービス命令は、第１命令と第２命令とを含んでよく、これに対応して、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。ユーザ同一性認証情報がセキュリティポリシーの異なるルールを満たす場合に、第１端末は異なるサービス動作を許可する。

セキュリティポリシー１１を使用する場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているか否か、及び第１タイムスタンプが第４ルールと第５ルールとに準拠しているか否かを決定する必要がある。ユーザ同一性認証結果が第１ルールのサブルールａに準拠し、第１タイムスタンプが第４ルールに準拠している場合に、第１端末は第１動作を許可する。又は、ユーザ同一性認証結果が第１ルールのサブルールａに準拠せず、又は、第１タイムスタンプが第４ルールに準拠していない場合に、第１端末は第１動作を許可することを拒否する。第１端末が第１動作を許可した後、第１タイムスタンプが第５ルールに準拠している場合に、第１端末は第２動作を許可する。又は、第１タイムスタンプが第５ルールに準拠していない場合に、第１端末は第２動作を許可することを拒否する。

セキュリティポリシー５の場合と同様に、第１タイムスタンプが第５ルールに準拠しない場合に、第１端末は、代替的に、デジタルキーをフリーズしてよく、第２端末にデジタルキーをフリーズするように指示してよく、又はユーザに同一性認証を再度実行するように指示してよく、それによって、デジタルキーを使用するセキュリティを向上させる。もし第１端末が第１動作を許可することを拒否するなら、第１タイムスタンプが第５ルールに準拠しているか否かを決定することなく、第１端末は第２動作を許可することを直接拒否してよい。

例えば、デジタルキーが車両キーとして使用される応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、サービス命令は、第１命令と第２命令とを含む。第１命令に対応するサービス動作は、第１動作「ロック解除」であり、第２命令に対応するサービス動作は、第２動作「エンジン始動」である。前述のセキュリティポリシー１１が使用される。

車両が携帯電話から送信されたサービス応答メッセージを検証することに成功した後、まず、ユーザ同一性認証結果が第１ルールのサブルールａに準拠しているかを決定する。また、第１タイムスタンプが第４ルールに準拠しているかを決定する。ユーザ同一性認証情報でのユーザ同一性認証結果が「成功」である場合に、ユーザ同一性認証結果は、サブルールａに準拠している。第１タイムスタンプが３月５日２０：００であり、現在時刻が３月６日１２：００の場合に、２つの時刻の間のインターバル継続時間は１６時間であり、継続時間閾値２４時間未満である。この場合に、第４ルールに準拠している。従って、車両はサービス動作「ロック解除」を許可する。この場合に、車両ロックは解除され、ユーザは車両にはいれる。次に、車両は、第２タイムスタンプを取得し、第１タイムスタンプと第２タイムスタンプとが第５ルールに準拠しているか否かを決定する。第２タイムスタンプは３月５日の１０：００と仮定する。この場合に、第２タイムスタンプは第１タイムスタンプよりも早く、３月５日２０時以降、携帯電話は再度通電されていないことを示す。従って、第５ルールに準拠している。従って、車両はサービス動作「エンジン始動」を許可する。この場合に、車両のエンジンが始動され、ユーザは車両が運転できる。

（１０）セキュリティポリシー１２

いくつかの応用シナリオでは、ユーザ同一性認証結果が第１ルールのサブルールａに準拠していなくても、いくつかのサービス動作が許可され、他のいくつかのサービス動作を許可することが拒否されることがある。次いで、デジタルキーの、もう一巡のサービス命令が開始される。デジタルキーの新しい一巡のサービス応答メッセージを受信した後、他のサービス動作を許可するか否かが決定される。

これに基づいて、本出願は、セキュリティポリシー１２をさらに提供する。セキュリティポリシー１２は、第１ルール、第２ルール、第３ルール、第４ルール、及び第５ルールのうち任意の１つ以上を含む。第１ルールは、前述のセキュリティポリシー１でのそれと同じであり、第２ルールは前述のセキュリティポリシー２でのそれと同じであり、第３ルールは前述のセキュリティポリシー３でのそれと同じであり、第４ルールは前述のセキュリティポリシー４でのそれと同じであり、第５ルールは前述のセキュリティポリシー５でのそれと同じである。詳細は、ここでは再度説明しない。

上述のように、サービス命令は、第１命令と第２命令とを含んでよく、これに対応して、サービス動作は、第１命令に対応する第１動作と、第２命令に対応する第２動作とを含む。ユーザ同一性認証情報がセキュリティポリシーの異なるルールを満たす場合に、第１端末は異なるサービス動作を許可する。

セキュリティポリシー１２が使用される場合に、第１端末は、ユーザ同一性認証結果が第１ルールのサブルールｂに準拠しているか否かを決定する必要がある。ユーザ同一性認証結果が、第１ルールのサブルールｂに準拠している場合に、第１端末は、第１命令に対応する第１動作を許可し、第１端末は、第２命令に対応する第２動作を許可することを直接拒否してよく、他のルールが準拠しているか否かを決定する必要はない。

その後、デジタルキーの同一性を認証する方法は、さらに、以下のステップを含んでよい。第１端末は、第２端末に新しいサービス命令を送信し、ここで、新しいサービス命令は、第２命令を含む。

なお、第２端末に新しいサービス命令を送信する場合に、第１端末は周期的に新しいサービス命令を１回以上送信してよい。これは、本出願で限定されない。

例えば、デジタルキーを車両キーとして使用する応用シナリオでは、第１端末は車両であり、第２端末は携帯電話であり、携帯電話は現在は電源オフ状態とする。サービス命令は、第１命令と第２命令とを含む。第１命令に対応するサービス動作は、第１動作「ロック解除」であり、第２命令に対応するサービス動作は、第２動作「エンジン始動」である。前述のセキュリティポリシー１２が使用される。

車両は、携帯電話から送信されたサービス応答メッセージの検証に成功した後、まず、ユーザ同一性認証結果が第１ルールのサブルールｂに準拠しているか否かを決定してよい。ユーザ同一性認証情報でのユーザ同一性認証結果が「未完了」の場合は、ユーザ同一性認証結果は、サブルールｂに準拠する。従って、車両はサービス動作「ロック解除」を許可し、サービス動作「エンジン始動」を許可することを拒否する。実際には、サービス動作「ロック解除」を許可するか否かは、ユーザ同一性認証結果に依存しない。ユーザ同一性認証結果が「成功」、「失敗」、「未完了」のいずれであるかにかかわらず、サービス動作「ロック解除」は許可されてよい。しかし、ユーザ同一性認証結果が「失敗」又は「未完了」の場合は、サービス動作「エンジン始動」の許可が直接拒否されてよい。サービス動作「エンジン始動」に対応するセキュリティポリシーを、考慮する必要はない。次いで、車両は、新しいサービス命令を携帯電話に送信する。ここで、新しいサービス命令は、「ロック解除」に関連する指示、即ち第１命令をもはや含まず、「エンジン始動」に関連する指示、即ち第２命令のみを含む。車両ロックが解除されているため、車両にはいって携帯電話を充電してよい。再度ユーザが電源を入れて通常のバッテリモードに移行した後、ユーザは、通電状態で同一性認証を完了してよい。車両は、携帯電話に新たなサービス命令を１回送信する。第２動作を許可するためのプリセットのセキュリティポリシーを満たすサービス応答メッセージを取得し、車両がサービス動作「エンジン始動」を許可した後に、車両のエンジンが始動され、ユーザは車両が運転できる。

前述のセキュリティポリシー１ないし１２は、本出願におけるデジタルキーの同一性を認証する方法に適用可能な、いくつかの例にすぎないことが理解されるものとする。当業者は、さらに、異なる応用シナリオに基づいて前述の５つのルールを組み合わせてよく、又は、５つのルールを別のルールと組み合わせて、別のセキュリティポリシーを形成してよい。複数のセキュリティポリシーが互いに競合しない場合に、さらに、複数のセキュリティポリシーを組み合わせてよい。

理解を容易にするために、前述のセキュリティポリシーにおいて、サービス命令が複数の命令を含む場合は、サービス命令が第１命令及び第２命令のみを含む場合を使用して説明されていることが、理解されるものとする。実際の応用では、サービス命令はさらに多くの命令を含んでよい。サービス命令の１つに対応するサービス動作を許可するか否かは、１つ以上のルールによって決定されてよい。

さらに、本出願では、非プリセット動作状態の第２端末が第１端末によって送信されたサービス命令を受信した場合に、第２端末は、サービス命令に応答してサービス応答メッセージを生成してよいことを理解するものとする。この場合に、サービス応答メッセージはまた、ユーザ同一性認証結果と第１タイムスタンプとのような前述の内容を含んでよい。この場合に、ユーザ同一性認証結果は、ユーザに対してリアルタイムで同一性認証を実行することによって、第２端末によって生成されてよく、又は、セキュア要素に予め記憶されてよい。サービス応答メッセージを受信した後、第１端末は、第１キーを使用してサービス応答メッセージを検証してよく、さらに、セキュリティポリシー１及びセキュリティポリシー４のような前述の可能なセキュリティポリシーを使用してリスクを決定し、これによって、デジタルキーを使用するセキュリティを向上させてよい。

任意には、前述の同一性認証方法において、第２端末は、さらに以下のステップを実行してよい。

Ｓ１０７：第２端末がプリセット動作状態から非プリセット動作状態に切り替わった後、第２端末は、ユーザ同一性認証情報の無効化処理を行う。

あるいは、第２端末は、以下のステップをさらに実行してよい。

Ｓ１０８：セキュア要素にユーザ同一性認証情報を記憶する前に、セキュア要素に元々記憶されていたユーザ同一性認証情報に対して、第２端末は無効化処理を行う。

第２端末は、第２端末が非プリセット動作状態からプリセット動作状態になるたびに１回、同一性認証を行う必要がある。従って、ユーザがデジタルキーを使用するたびに、ユーザ同一性認証情報は、同一性認証結果にかかわらず、セキュア要素に記憶される。セキュア要素に後で書き込まれた最新のユーザ同一性認証情報に、元のユーザ同一性認証情報が干渉することを防止するために、次回、第２端末がプリセット動作状態から非プリセット動作状態に切り替わると、セキュア要素に記憶されたユーザ同一性認証情報に対して、第２端末は無効化処理を行う。また、第２端末が非プリセット動作状態からプリセット動作状態に切り替える次の処理において、第２端末が最新のユーザ同一性認証情報をセキュア要素に記憶する前に、セキュア要素に記憶された元のユーザ同一性認証情報に対して、第２端末は無効化処理を行う。

無効化処理を行う実施では、セキュア要素のデジタルキーアプレット又はブローカアプレットに記憶されたユーザ同一性認証情報は、削除されてよい。無効化処理を行う別の実施では、以前にセキュア要素に記憶されたユーザ同一性認証情報は、無効としてマークされてよい。無効化処理を行うことにより、第２端末が非プリセット動作状態からプリセット動作状態に切り替わった後、毎回、セキュア要素が、最新の有効なユーザ同一性認証情報を１つずつ記憶することが確実にできる。

これに加えてさらに、サーバは、元のユーザ同一性認証情報に対して無効化処理を実行してよい。さらに、ユーザに元のユーザ同一性認証情報が無効になったことを通知するために、例えば「携帯電話がオンラインに戻った」又は「ユーザ同一性認証情報が無効になった」という通知情報を、サーバは第１端末に送信してよい。

本出願の第２実施形態では、端末デバイスが提供される。端末デバイスは、複数の異なるシナリオに適用してよく、例えば、車両、ＰＯＳ端末、交通カード読み取り機、及びアクセス制御システムに適用してよい。図８は、端末デバイスの実施の構成の概略図である。端末デバイス３００は、第１トランシーバ３２０と１つ以上のプロセッサ３１０とを含む。

第１トランシーバ３２０は、サービス命令を第２端末に送信し、第２端末によって送信されたサービス応答メッセージを受信するように構成されている。実際の応用では、第１トランシーバ３２０は、ＮＦＣ通信モジュールであってよく、又はブルートゥースモジュール、ＵＷＢモジュールなどであってよい。

プロセッサ３１０は、第１キーを使用してサービス応答メッセージに対して実行された検証が成功した後、ユーザ同一性認証情報を取得し、ユーザ同一性認証情報を検証するように構成され、ここで、第１キーは、第２端末と端末デバイス３００とにより予め合意されたキーであり、ユーザ同一性認証情報は、第２端末のセキュア要素に記憶され、ユーザ同一性認証情報はユーザ同一性認証結果を含み、ユーザ同一性認証結果は、第２端末がプリセット動作状態にはいる前に、第２端末の同一性認証システムによって生成され、プリセット動作状態は、第２端末の同一性認証システムが同一性認証結果を生成することができない状態である。

実際の応用では、プロセッサ３１０は、様々なインターフェースと結線とを使用して、端末デバイス３００全体の全ての部分を接続してよい。プロセッサ３１０は、中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ， ＣＰＵ），ネットワークプロセッサ（ｎｅｔｗｏｒｋ ｐｒｏｃｅｓｓｏｒ， ＮＰ），又はＣＰＵとＮＰとの組み合わせであってよい。プロセッサは、ハードウェアチップをさらに含んでよい。ハードウェアチップは、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ， ＡＳＩＣ），プログラマブルロジックデバイス（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｄｅｖｉｃｅ， ＰＬＤ），又はそれらの組み合わせであってよい。ＰＬＤは、複雑なプログラマブル論理デバイス（ｃｏｍｐｌｅｘ ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｄｅｖｉｃｅ， ＣＰＬＤ），フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ， ＦＰＧＡ），汎用アレイ論理（ｇｅｎｅｒｉｃ ａｒｒａｙ ｌｏｇｉｃ， 略してＧＡＬ），又はそれらの任意の組み合わせであってよい。

実際の用途では、端末デバイス３００は、メモリをさらに含んでよい。メモリは、１つ以上のコンピュータプログラムを記憶し、１つ以上のコンピュータプログラムは命令を含む。命令が１つ以上のプロセッサ３１０によって実行される場合に、端末デバイス３００は、第１実施形態の第１端末によって実行される任意の方法のいくつか又は全てのステップを実現してよい。メモリは、揮発性メモリ（ｖｏｌａｔｉｌｅ ｍｅｍｏｒｙ）、例えばランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ， ＲＡＭ）を含んでよく、不揮発性メモリ（ｎｏｎ－ｖｏｌａｔｉｌｅ ｍｅｍｏｒｙ）、例えばフラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）、ハードディスクドライブ（ｈａｒｄ ｄｉｓｋ ｄｒｉｖｅ， ＨＤＤ）、又は固体ドライブ（ｓｏｌｉｄ－ｓｔａｔｅ ｄｒｉｖｅ， ＳＳＤ）をさらに含んでよい。メモリはさらに、前述のタイプのメモリの組み合わせを含んでよい。

実施形態は、さらに、別の端末デバイスを提供する。端末デバイスは、複数の異なるシナリオに適用してよく、例えば、携帯電話、タブレットコンピュータ、及びインテリジェントウェアラブルデバイスに適用してよい。図９は、端末デバイスの構成の概略図である。端末デバイス４００は、セキュア要素４１０と、第２トランシーバ４２０と、同一性認証システム４４０とを含む。

第２トランシーバ４２０は、第１端末からサービス命令を受信するように構成され、サービス命令に応答して、プリセット動作状態で、第１キーを使用して処理されたサービス応答メッセージを、第１端末に送信するように構成されている。サービス応答メッセージはユーザ同一性認証情報を含み、ユーザ同一性認証情報はユーザ同一性認証結果を含み、第１キーは、端末デバイス４００と第１端末とにより予め合意されたキーである。実際の応用では、第２トランシーバ４２０は、ＮＦＣ通信モジュールであってよく、又はブルートゥースモジュール、ＵＷＢモジュールなどであってよい。第２トランシーバ４２０は、独立して通電されてよい。端末デバイスのメインチップが通常のバッテリモードであるか、電源オフ又はバッテリ低下モードであるかにかかわらず、第２トランシーバ４２０は、独立して通電及び動作が可能である。

セキュア要素４１０は、ユーザ同一性認証情報と第１キーとを記憶するように構成されている。実際の応用では、セキュア要素は、埋め込みセキュア要素（ｅｍｂｅｄｄｅｄ ＳＥ， ｅＳＥ）、携帯電話のメインチップに集積されたｉｎＳＥセキュアモジュール（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ， ＳｏＣ）、又はユニバーサル集積回路カードセキュア要素（Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｓｅｃｕｒｅ Ｅｌｅｍｅｎｔ， ＵＩＣＣ ＳＥ）などであってよい。セキュア要素４１０は、デジタルキーアプレット４１１を記憶し、前述の第１キーは、デジタルキーアプレット４１１に記憶される。

ユーザ同一性認証システム４４０は、端末デバイス４００がプリセット動作状態にはいる前にユーザ同一性認証結果を生成するように構成されている。ここでプリセット動作状態は、端末デバイスの同一性認証システムが同一性認証結果を生成し得ない状態である。なお、端末デバイス４００が通常のバッテリモードにある場合に、ユーザ同一性認証システム４４０は、ユーザのパスワード、バイオメトリック特徴などを収集することにより、ユーザに対して同一性認証を行ってよい。

任意には、端末デバイス４００は、デジタルキーサービス４３０をさらに含んでよい。デジタルキーサービス４３０は、同一性認証システム４４０とセキュア要素４１０とに別々に接続されてよい。第１実施形態で説明したように、デジタルキーサービスは、端末デバイス４００のためのデジタルキー管理機能を提供する。デジタルキーサービス４３０によって提供される管理インターフェースを介して、ユーザは、デジタルキーアプレット４１１に記憶された１つ以上のデジタルキーを閲覧し、これらのデジタルキーに対して必須同一性認証構成を実行してよい。デジタルキーサービス４３０は、ユーザが、必須同一性認証を有する少なくとも１つのデジタルキー（例えば、第１キー）で構成されている場合に、端末デバイス４００の状態切替手順に同一性認証動作を追加してよい。デジタルキーサービス４３０は、端末デバイス４００内の同一性認証手順をトリガーし、同一性認証システム４４０を使用してユーザ同一性認証結果を生成してよい。任意には、デジタルキーサービス４３０は、現在実行されている同一性認証の目的をユーザに通知するために、ユーザインターフェースをさらに生成してよい。任意には、デジタルキーサービス４３０は、ユーザ同一性認証結果と第１タイムスタンプとを取得し、次に、ユーザ同一性認証情報としてセキュア要素４１０に、ユーザ同一性認証結果と第１タイムスタンプとを一緒に記憶してよい。

これに加えて、実施形態は、コンピュータ可読な記憶媒体をさらに提供する。記憶媒体は命令を含む。命令がコンピュータ上で実行された場合に、コンピュータは、第１実施形態で第１端末によって実行される任意の方法を実行することが可能にされる。

実施形態は、別のコンピュータ可読な記憶媒体をさらに提供する。記憶媒体は命令を含む。命令がコンピュータ上で実行された場合に、コンピュータは、第１実施形態で第２端末によって実行される任意の方法を実行することが可能にされる。

本明細書における可読な記憶媒体は、磁気ディスク、光ディスク、ＤＶＤ、ＵＳＢ、読取専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）などであってよい。特定の記憶媒体形態は、本出願で限定されない。

これに加えて、本出願の実施形態は、命令を含むコンピュータプログラム製品をさらに提供する。コンピュータプログラム製品がコンピュータ上で動作する場合に、コンピュータは、第１実施形態の第１端末によって実行される任意の方法のステップを実行すること、又は第１実施形態の第２端末によって実行される任意の方法のステップを実行することが可能にされる。

前述の実施形態のいくつか又は全ては、ソフトウェア、ハードウェア、ファームウェア、又はそれらの任意の組み合わせによって実施してよい。ソフトウェアによって実施される場合に、前述の実施形態の一部又は全部は、コンピュータプログラム製品の形態で実施してよい。コンピュータプログラム製品は、１つ以上のコンピュータ命令を含む。コンピュータプログラム命令がコンピュータ上でロード及び実行されると、本出願に記載されているいくつか又は全ての手順又は機能が生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、又は他のプログラム可能な装置であってよい。コンピュータ命令は、コンピュータ可読な記憶媒体に記憶されてよく、或いは１つのコンピュータ可読な記憶媒体から、別の１つのコンピュータ可読な記憶媒体に送信されてよい。例えば、コンピュータ命令は、１つのウェブサイト、コンピュータ、サーバ、又はデータセンターから、別の１つのウェブサイト、コンピュータ、サーバ、又はデータセンターへ、有線（例えば、同軸ケーブル、光ファイバ、又はデジタル加入者線（ＤＳＬ））方式又は無線（例えば、赤外線、無線、又はマイクロ波）方式で送信してよい。コンピュータ可読な記憶媒体は、コンピュータによってアクセス可能な任意の使用可能な媒体、又は１つ以上の使用可能な媒体を統合するサーバ又はデータセンターのようなデータ記憶デバイスであってよい。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスク、又は磁気テープ）、光媒体（例えば、ＤＶＤ）、半導体媒体（例えば、固体ディスク（ｓｏｌｉｄ ｓｔａｔｅ ｄｉｓｋ， ＳＳＤ））などであってよい。

この実施形態における端末デバイス及びコンピュータ可読な記憶媒体は、第１実施形態におけるデジタルキーの同一性を認証する任意の方法の、いくつか又は全てのステップを実行するために使用され、これに対応して、上述した方法の有益な効果を有する。詳細は、ここでは再度説明しない。

本出願の種々の実施形態で、各ステップの実行の順は、ステップの機能と内部論理とに基づいて決定されるものであることを理解するものとする。各ステップの順序の番号は、実行の順を意味するものではなく、実施形態の実施プロセスに対する制限を構成するものではない。

特に断らない限り、本明細書で「複数」とは、２つ以上を意味するものとする。本出願の実施形態では、「第１」と「第２」のような語は、基本的に同一の機能と効果とを有する同一の物又は類似の物を区別するために使用される。「第１」と「第２」のような語は、数量又は実行順序を限定するものではなく、「第１」と「第２」のような語は、必然的な相違を示すものでもないことは当業者には理解可能である。

本明細書の実施形態の間で同一及び類似の部分は、相互に参照されてよいことが理解されるものとする。特に、端末デバイスとコンピュータ可読な記憶媒体との実施形態は、基本的に方法の実施形態と同様であるため、説明は比較的簡素である。関連部分については、本方法の実施形態の説明を参照するものとする。本発明の前述の実施は、本発明の保護範囲を制限することを意図しない。

Claims (22)

1. 第１端末によって実行され、デジタルキーの同一性を認証する方法であって、
   第２端末へサービス命令を送信するステップと、
   前記第２端末によって送信されたサービス応答メッセージを受信するステップと、
   第１キーを使用して前記サービス応答メッセージに対して実行された検証が成功した後、ユーザ同一性認証情報を取得するステップであり、前記第１キーは、前記第２端末と前記第１端末とによって予め合意されたキーであり、前記ユーザ同一性認証情報は前記第２端末のセキュア要素に記憶され、前記ユーザ同一性認証情報はユーザ同一性認証結果を含み、前記ユーザ同一性認証結果は、前記第２端末がプリセット動作状態にはいる前に、前記第２端末の同一性認証システムによって生成され、前記プリセット動作状態は、前記第２端末の前記同一性認証システムが同一性認証結果を生成し得ない状態である、取得するステップと、
   前記ユーザ同一性認証情報を検証するステップとを備えている、方法。
2. 前記第１端末によって前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、前記サービス命令に対応するサービス動作を許可するステップを含む、請求項１記載の方法。
3. 前記第１端末によって前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致し、前記プリセット動作状態にある前記第２端末がサービス動作を許可する合計回数がプリセットの数量閾値内である場合に、前記サービス命令に対応するサービス動作を許可するステップ、又は
   前記ユーザ同一性認証結果がプリセットの認証結果と合致し、前記プリセット動作状態にある前記第２端末がサービス動作を許可する頻度がプリセットの頻度閾値内である場合に、前記サービス命令に対応するサービス動作を許可するステップを含む、請求項１記載の方法。
4. 前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、ユーザ同一性認証結果を生成する時刻を示すために使用され、
   前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と前記第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、前記サービス命令に対応するサービス動作を許可するステップを含む、請求項１記載の方法。
5. 前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から非プリセット動作状態に切り替わった場合に、前記デジタルキーをフリーズするか、前記第２端末に前記デジタルキーをフリーズするように指示するか、又は、ユーザに再度同一性認証を実行するように指示するステップを、さらに備えている、請求項４記載の方法。
6. 前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、前記ユーザ同一性認証結果を生成する時刻を示すために使用され、
   前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致し、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から非プリセット動作状態に切り替わらない場合に、前記サービス命令に対応するサービス動作を許可するステップを含む、請求項１記載の方法。
7. 前記サービス命令は、第１命令と第２命令とを含み、サービス動作は、前記第１命令に対応する第１動作と、前記第２命令に対応する第２動作とを含み、前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、前記ユーザ同一性認証結果を生成する時刻を示すのに使用され、
   前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、前記第１命令に対応する前記第１動作を許可するステップと、
   前記第１動作が許可された後、前記プリセット動作状態での前記第２端末が前記サービス動作を許可する合計回数がプリセットの数量閾値内である場合に、又は、前記プリセット動作状態での前記第２端末が前記サービス動作を許可する頻度がプリセットの頻度閾値内である場合に、又は、現在時刻と前記第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、又は、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から非プリセット動作状態に切り替わらない場合に、前記第２命令に対応する前記第２動作を許可するステップとを含む、請求項１記載の方法。
8. 前記サービス命令は、第１命令と第２命令とを含み、サービス動作は、前記第１命令に対応する第１動作と、前記第２命令に対応する第２動作とを含み、前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、前記ユーザ同一性認証結果を生成する時刻を示すのに使用され、
   前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致する場合に、前記第１命令に対応する前記第１動作を許可するステップと、
   現在時刻と前記第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値を超えている場合に、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から非プリセット動作状態に切り替わるか否かを、決定するステップと、
   前記第２端末が前記非プリセット動作状態に切り替わらない場合に、前記第２命令に対応する前記第２動作を許可するステップとを含む、請求項１記載の方法。
9. 前記サービス命令は、第１命令と第２命令とを含み、サービス動作は、前記第１命令に対応する第１動作と、前記第２命令に対応する第２動作とを含み、前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、前記ユーザ同一性認証結果を生成する時刻を示すのに使用され、
   前記ユーザ同一性認証情報を検証するステップは、
   前記ユーザ同一性認証結果がプリセットの認証結果と合致し、現在時刻と前記第１タイムスタンプとの間のインターバル継続時間がプリセットの継続時間閾値内である場合に、前記第１命令に対応する前記第１動作を許可するステップと、
   前記第１動作が許可された後、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から非プリセット動作状態に切り替わらない場合に、前記第２命令に対応する前記第２動作を許可するステップとを含む、請求項１記載の方法。
10. 前記ユーザ同一性認証情報を検証するステップは、
    前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わった場合に、前記デジタルキーをフリーズするか、前記第２端末に前記デジタルキーをフリーズするように指示するか、又は、ユーザに再度同一性認証を実行するように指示するステップを、さらに含む、請求項６ないし９のいずれか１項に記載の方法。
11. 前記第２端末が、前記第１タイムスタンプで示された前記時刻の後に、前記プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定するステップは、
    サーバによって送信された第２タイムスタンプを受信し、前記第２タイムスタンプは、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わる期間内で、前記第２端末が前記サービス応答メッセージを送信する時刻に最も近い時刻を示すために使用される、受信するステップと、
    前記第２タイムスタンプが前記第１タイムスタンプよりも早い場合に、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わらないと決定するステップ、又は
    前記第２タイムスタンプが前記第１タイムスタンプよりも遅い場合に、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わると決定するステップとを含む、請求項６ないし１０のいずれか１項に記載の方法。
12. 前記第２端末が、前記第１タイムスタンプで示された前記時刻の後に、前記プリセット動作状態から非プリセット動作状態に切り替わるか否かを決定するステップは、
    前記第１タイムスタンプをサーバへ送信するステップと、
    前記サーバによって送信されたオンライン検証結果を取得するステップであり、前記オンライン検証結果は、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わるか否かに基づいて、前記サーバによって決定される、取得するステップと、
    前記オンライン検証結果が成功である場合に、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わらないと決定するステップ、又は
    前記オンライン検証結果が失敗である場合に、前記第１タイムスタンプで示された前記時刻の後に、前記第２端末が前記プリセット動作状態から前記非プリセット動作状態に切り替わると決定するステップを含む、請求項６ないし１０のいずれか１項に記載の方法。
13. 前記サービス命令は、第１命令と第２命令とを含み、サービス動作は、前記第１命令に対応する第１動作と、前記第２命令に対応する第２動作とを含み、
    前記ユーザ同一性認証情報を検証するステップは、
    前記ユーザ同一性認証結果がプリセットの認証結果と合致しない場合に、前記第１命令に対応する前記第１動作を許可するステップと、
    前記ユーザ同一性認証結果が前記プリセットの認証結果と合致しない場合に、前記第２命令に対応する前記第２動作を許可することを拒否するステップとを、さらに含み、
    方法は、
    前記第２端末に新しいサービス命令を送信するステップであり、前記新しいサービス命令が前記第２命令を含む、送信するステップを、さらに備えている、請求項１記載の方法。
14. 前記サービス応答メッセージは、第２検証データをさらに含み、前記第２検証データは、第２キーを使用して前記ユーザ同一性認証情報を処理することによって生成され、
    前記ユーザ同一性認証情報を検証するステップは、
    前記第２キーと前記第２検証データとを使用して、前記ユーザ同一性認証情報が有効であり、前記ユーザ同一性認証情報がプリセットのセキュリティポリシーに準拠していることが検証された場合に、前記サービス命令に対応するサービス動作を許可するステップであり、前記第２キーは前記第２端末と前記第１端末とによって予め合意されたキーであり、前記第２キーは前記第１キーと異なる、許可するステップを、さらに含む、請求項１記載の方法。
15. 第２端末によって実行され、デジタルキーの同一性を認証する方法であって、
    第１端末からのサービス命令を受信するステップと、
    前記サービス命令に応答して、プリセット動作状態で前記第１端末へ、第１キーを使用して処理されたサービス応答メッセージを送信するステップであり、前記サービス応答メッセージはユーザ同一性認証情報を含み、前記ユーザ同一性認証情報は前記第２端末のセキュア要素に記憶され、前記ユーザ同一性認証情報はユーザ同一性認証結果を含み、前記ユーザ同一性認証結果は、前記第２端末が前記プリセット動作状態にはいる前に、前記第２端末の同一性認証システムによって生成され、前記プリセット動作状態は、前記第２端末の前記同一性認証システムが同一性認証結果を生成し得ない状態であり、前記第１キーは、前記第２端末と前記第１端末とによって予め合意されたキーである、送信するステップとを備えている、方法。
16. 前記ユーザ同一性認証情報は、第１タイムスタンプをさらに含み、前記第１タイムスタンプは、前記ユーザ同一性認証結果を生成する時刻を示すのに使用される、請求項１５記載の方法。
17. 前記サービス応答メッセージは、第２検証データをさらに含み、前記第２検証データは、第２キーを使用して前記ユーザ同一性認証情報を処理することによって生成され、前記第２キーは前記第２端末と前記第１端末とによって予め合意されたキーであり、前記第２キーは前記第１キーと異なる、請求項１５又は１６記載の方法。
18. 前記第１端末から前記サービス命令を受信するステップの前に、方法は、
    前記第２端末が前記プリセット動作状態にはいる前に、必須同一性認証で構成されたデジタルキーが存在する場合に、前記ユーザ同一性認証結果を生成するステップであり、必須同一性認証で構成された前記デジタルキーは、前記第２端末が前記プリセット動作状態にはいる前に、前記第２端末がユーザ同一性認証を実行することを必要とする、生成するステップと、
    前記第２端末によって、前記ユーザ同一性認証情報を前記第２端末の前記セキュア要素に記憶するステップであり、前記ユーザ同一性認証情報は前記ユーザ同一性認証結果を含む、記憶するステップとを、さらに備えている、請求項１５ないし１７のいずれか１項に記載の方法。
19. １つ以上のコンピュータプログラムを記憶するように構成されているメモリと、
    前記メモリに結合され、前記１つ以上のコンピュータプログラムを実行するように構成され、請求項１ないし１４のいずれか１項に記載の方法を実行するように電子デバイスを構成させる１つ以上のプロセッサとを備えている、端末デバイス。
20. １つ以上のコンピュータプログラムを記憶するように構成されているメモリと、
    前記メモリに結合され、前記１つ以上のコンピュータプログラムを実行するように構成され、請求項１５ないし１８のいずれか１項に記載の方法を実行するように電子デバイスを構成させる１つ以上のプロセッサとを備えている、端末デバイス。
21. 命令を含むコンピュータ可読な記憶媒体であり、前記命令がコンピュータ上で実行された場合に、前記コンピュータは、請求項１ないし１４のいずれか１項に記載の方法を実行することが可能にされる、コンピュータ可読な記憶媒体。
22. 命令を含むコンピュータ可読な記憶媒体であり、前記命令がコンピュータ上で実行された場合に、前記コンピュータは、請求項１５ないし１８のいずれか１項に記載の方法を実行することが可能にされる、コンピュータ可読な記憶媒体。
    

Images