KR20060117319A

KR20060117319A - 보안모듈을 이용한 애플리케이션의 보안 관리 방법

Info

Publication number: KR20060117319A
Application number: KR1020067008780A
Authority: KR
Inventors: 라체드 크손티니; 레나토 칸티니
Original assignee: 나그라카드 에스.에이.
Priority date: 2003-11-04
Filing date: 2004-11-03
Publication date: 2006-11-16
Also published as: US8001615B2; EP1683388B1; CA2544759A1; EP1530392A1; JP2007511122A; TW200526056A; IL175254A0; AU2004307800B2; WO2005046278A3; EP1683388A2; CN1875653A; ZA200604291B; WO2005046278A2; AU2004307800A1; BRPI0415789A; US20070274524A1; ES2429136T3; RU2006114719A

Abstract

본 발명의 목적은 가입자 모듈이 특정한 사전에 결정된 보안 표준을 충족시키지 않는 장비의 타입 및/또는 소프트웨어 버전 상에서 수행된 애플리케이션에 의해 부정하게 사용될 수 있다는 사실과 관련된 위험을 제한하기 위해 장비, 보안 모듈, 애플리케이션 세트의 보안 관리 방법을 제시하는 데 있다.

본 발명의 목적은 네트워크(NET)에 연결된 장비(CB) 내에서 동작하는 보안모듈에 의해 애플리케이션(APP)의 보안을 관리하는 방법에 있어서, 상기 네트워크(NET)는 오퍼레이터의 컨트롤 서버(CSE)에 의해 관리되고, 상기 애플리케이션은 상기 장비(CB)에 지역적으로 연결된 보안모듈(SIM)에 저장된 리소스(RES)(데이타 혹은 기능)를 사용하며, 상기 애플리케이션은 상기 컨트롤 서버가 상기 네트워크를 통해 최소한 상기 장비(CB)의 타입과 소프트웨어 버전, 상기 보안모듈(SIM)의 식별 정보를 포함하는 데이터를 수신하는 단계와; 상기 컨트롤 서버(CSE)가 상기 데이터(ID)를 분석 및 검증하는 단계와; 상기 데이터(ID)의 검증 결과로부터 암호(J)를 생성하고 상기 네트워크(NET)와 상기 장비(CB)를 통해 상기 보안모듈(SIM)로 상기 암호(J)를 전송하는 단계를 포함하되; 상기 보안모듈(SIM)은 전송받고 활성화된 암호(J)를 분석하고 각각 상기 장비(CB) 내에 설치된 적어도 하나의 애플리케이션(APP)에 의해 사용된 리소스(RES)(데이타 혹은 기능)를 비활성화시키며, 상기 암호(J)는 상기 애플리케이션의 공급자 및/또는 오퍼레이터 및/또는 상기 장비 사용자에 의해 구축된 규칙에 따라 상기 애플리케이션(APP)의 기능을 조정하는 명령을 포함하는 애플리케이션(APP)의 보안 관리 방법에 의해 달성된다.

Description

보안모듈을 이용한 애플리케이션의 보안 관리 방법{METHOD FOR MANAGING THE SECURITY OF APPLICATIONS WITH A SECURITY MODULE}

본 발명은 셀 방식 네트워크라고도 하는 이동 네트워크에 관한 것이다. 보다 구체적으로는, 이동 전화통신의 이동 장비와 관련된 보안 모듈에 의해 기능하는 애플리케이션의 보안 관리에 관한 것이다.

이동성 혹은 휴대용 전화기의 보안 모듈은 "SIM card"(전화가입자 식별모듈 Subscriber Identity Module)라는 명칭으로 알려져 있으며, 이러한 전화기의 중앙 보안 소자를 구성한다. 제조 및/또는 개별화 단계가 진행되는 동안, 전화 교환기는 안전하고 고유한 방법으로 이동 네트워크에 연결하기를 바라는 각 전화가입자를 확인하는 일을 하는 IMSI(국제 이동전화 가입자 식별; International Mobile Subscriber Identification)라고 불리는 번호를 안내한다. 이하에서는 이동 장비라고 불릴 각 이동 전화기는 이동 장비의 비휘발성 메모리에 저장되어 있는 번호에 의해 물리적으로 식별된다. IMEI(국제 이동 장비 식별자; International Mobile Equipment Identifier)라고 불리는 이 번호는 이동 장비의 타입에 대한 식별자 및 GSM(이동통신 세계화 시스템; Global System for Mobile Communications)타입, GPRS(General Pocket Radio System)타입 또는 UMTS(범용이동통신 시스템 Universal Mobile Telecommunications System)타입의 네트워크상에서 주어진 이동장비를 고유한 방법으로 식별하는 역할을 하는 일련번호를 포함한다. 또한, 이동장비는 이동장비 내에 설치된 기본 소프트웨어의 업데이트 상태를 나타내는 소프트웨어 버전 SVN(Software Version Number)에 의해 특징지어진다. 소프트웨어 버전을 갖는 이동장비의 일련번호와 타입 식별자의 결합은 IMEISV(International Mobile Equipment Identifier and Software Version Number)라는 새로운 식별자를 제공한다. 동일한 식별 개념이 WLAN(Wireless LAN)이나 양 방향성 케이블 TV에 적용된다. 물리적인 식별자는 네트워크 IP(Internet Protocol)상의 사용자의 자료의 구성을 식별하는 고유한 어드레스에 대응하는 MAC(매체 접근 제어 Media Access Control) 어드레스가 될 수 있고 소프트웨어 버전은 IP에 근거한 상위층 프로토콜에 의해 전송될 수 있다.

ETSI(유럽 전기 통신 표준 협회; Europe Telecommunications Standard Institute) 규칙은 ME(이동장비; Mobile Equipment)와 SIM(가입자 신원 모듈; Subscriber Identity Module)을 포함한 MS(이동국; Mobile Station)를 규정한다. 이 가입자 모듈은 보통 제거가능한데 즉 하나의 이동장비에서 다른 장비로의 전달이나 철회가 가능하다.

이동장비가 활성화된 동안, 좀 더 정확히는 오퍼레이터의 네트워크에 연결되어 있는 동안, 식별 데이터를 포함하는 데이터는 이동장비와 이동장비의 사용을 금지하거나 허가하는 오퍼레이터의 관리센터 사이에서 교환된다.

문서 EP0757502는 이동장비 IMEI의 물리적인 식별자가 블랙리스트에 올라 있 을 때 사용자 식별 모듈을 잠그는 방법을 기술한다. 이동장비가 이동 네트워크에 연결될 때 관리센터에 식별자 IMEI를 전송한다. 관리센터는 수신한 식별자를 검증하기 위해 오퍼레이터가 도난 또는 불량 이동장비의 식별자를 기록한 데이터베이스와 비교한다. 수신한 식별자가 이 데이터베이스 내에 있으면, 관리센터는 잠금 명령을 포함한 메시지를 문제의 이동장비에 전송한다. 이 명령은 인증 확인 후에 식별모듈에 전송되고, 식별모듈은 이동장비가 네트워크에 더 이상 연결되는 것을 막는 잠금 과정을 수행한다.

문서 US5864757은 가입자 모듈의 식별자와 관련된 코드를 생성하는 핸드셋에 적합한 키의 사용에 근거하여 가입자 모듈을 갖는 이동 핸드셋의 활성화 방법을 기술한다. 핸드셋은 하나의 조작이 불가능한 키를 갖는다. 이것이 활성화될 때 오퍼레이터 관리센터는 핸드셋의 고유한 키를 사용하여 오퍼레이터가 특정한 키를 계산할 수 있게 하는 메시지를 핸드셋으로 전송한다. 이 새로운 키는 네트워크의 식별자나 가입자 모듈과 결합하여 컨트롤 단어를 생성하는데 사용되며, 이 컨트롤 단어는 가입자 모듈에 저장된 코드와 비교된다. 만일 컨트롤 단어가 가입자 모듈 코드와 일치한다면 핸드셋이 활성화될 것이다.

두 문서에 기술된 방법은 예를 들어 식별자 IMEI에 근거하여 이동장비의 물리적인 식별을 요구하는 측면에만 관련된다. 이러한 방법들이 구현되는 경우, 그 결과는 네트워크와 이동장비의 연결을 막기 위해 오직 가입자 모듈 및/또는 이동장비의 잠금/해제에만 집중하게 될 것이다.

현재 이동장비는 이동 네트워크에 대한 액세스에 의해 전화통화를 확립하는 통상의 기능에 더해서, 다양한 정보의 상담, 원거리 은행업무 처리, 전자 상거래, 멀티미디어 콘텐츠에의 접근과 같은 수많은 다른 부가가치가 더해진 서비스를 제공한다. 이러한 개선된 서비스는 이동장비에서 나타날 수 있는 보안의 실패를 이용하고자 하는 제 3자에 의한 도용에 대해 사용자를 보호하기 위해 더욱더 높은 수준의 보안을 요구한다.

그러므로 이동장비 자체의 레벨 및 오퍼레이터나 제 3자에 의해 제시된 다른 서비스를 수행하도록 하는 소프트웨어 애플리케이션의 레벨의 적어도 두 레벨의 검증이 필요하게 되었다. 이는 가입자 모듈이 오직 오퍼레이터 및/또는 애플리케이션 공급자에 의해 정식으로 위임받고 승인된 타입과 소프트웨어 버전의 이동장비에 의해서만 작동한다는 것을 보증하는 데 그 목적이 있다. 가입자 모듈의 기능수행은 이전에 이동장비의 메모리 내에 설치된 특정한 수의 소프트웨어 애플리케이션을 수행하는 것과 가입자 모듈을 보호 수단으로 사용함으로써 사용자에 의해 요구된 서비스의 이용을 허가하는 능력을 의미하는 것으로 이해된다.

이동장비 내에서 실행된 이러한 애플리케이션은 가입자 모듈에서 가능한 리소스를 이용한다. 리소스는 애플리케이션의 올바른 기능수행을 위해 필요한 여러 기능과 데이터를 의미하는 것으로 이해된다. 어떠한 리소스는 여러 애플리케이션 특히 그 보안과 관련된 기능에 공통일 수 있다. 가입자 모듈은 오퍼레이터 및/또는 애플리케이션 공급자에 의해 구축된 보안 환경이 문제의 이동장비 내에서 중요하지 않거나 이동장비의 사용자의 권리가 충분하지 않을 때 특정한 애플리케이션의 기능을 차단하거나 변경시킬 수 있다.

전술한 문서는 예를 들어 설치된 소프트웨어 애플리케이션과 관련된 정보, 소프트웨어 버전 번호 또는 심지어 이동장비의 타입이나 모델에 대한 문의 등 이동장비의 그룹과 관련된 소프트웨어 측면은 커버하지 못한다. 따라서 애플리케이션이나 이러한 리소스를 이용한 애플리케이션 기능의 선택적인 활성화/비활성화를 위해 가입자 모듈의 리소스의 지정된 관리방법의 사용에 관련되어 있다. 그러나 이러한 동작이 가입자 모듈을 완벽하게 잠금으로써 네트워크에 접근하는 이동장비를 방해하는 것은 바람직하지않다.

본 발명의 목적은 가입자 모듈이 특정한 사전에 결정된 보안 표준을 충족시키는 데 실패한 이동장비의 타입 및/또는 소프트웨어 버전 상에서 수행된 애플리케이션에 의해 부정하게 사용될 수 있다는 사실과 관련된 위험을 제한하기 위해 이동장비, 가입자 모듈, 애플리케이션 세트의 보안 관리 방법을 제시하는 데 있다.

또 다른 목적은 애플리케이션 공급자와 함께 이동장비 및/또는 가입자 모듈의 복제의 악용에 대응하여 이동장비 사용자를 보호하는 것이다.

이러한 목적들은 네트워크에 연결된 장비 내에서 동작하는 보안모듈에 의해 애플리케이션의 보안을 관리하는 방법에 있어서, 상기 네트워크는 오퍼레이터의 컨트롤 서버에 의해 관리되고, 상기 애플리케이션은 상기 장비에 지역적으로 연결된 보안모듈에 저장된 리소스(데이타 혹은 기능)를 사용하며, 상기 애플리케이션은

상기 컨트롤 서버가 상기 네트워크를 통해 최소한 상기 장비의 타입과 소프트웨어 버전, 상기 보안모듈의 식별 정보를 포함하는 데이터를 수신하는 단계와

상기 컨트롤 서버가 상기 데이터를 분석 및 검증하는 단계와,

상기 데이터의 검증 결과로부터 암호를 생성하고 상기 네트워크와 상기 장비를 통해 상기 보안모듈로 상기 암호를 전송하는 단계를 포함하되,

상기 보안모듈은 수신된 암호를 분석하여 활성화하고, 각각 상기 장비 내에 설치된 적어도 하나의 애플리케이션에 의해 사용된 리소스(데이타 혹은 기능)를 비활성화시키며, 상기 암호는 상기 애플리케이션의 공급자 및/또는 상기 오퍼레이터 및/또는 상기 장비 사용자에 의해 구축된 규칙에 따라 상기 애플리케이션의 기능을 조정하는 명령을 포함하는 애플리케이션의 보안 관리 방법에 의해 달성된다.

가입자 모듈의 리소스는 특정 애플리케이션 기능을 차단하거나 줄이기 위해 지정된 방법으로 차단된다. 장비의 애플리케이션은 직접적으로 차단되지는 않고, 간접적으로 차단되는데, 즉 장비가 이러한 애플리케이션을 수행하려고 할 때에만 차단 효과를 알 수 있다.

이 방법은 이동 네트워크에 바람직하게 적용된다. 따라서 장비는 이동 전화나 휴대용 전화 같은 이동장비이다. 보안모듈은 이동전화에 삽입된 가입자 모듈이며 SIM(Subscriber Identity Module) 카드 타입이다. 이 어셈블리는 오퍼레이터의 컨트롤 서버에 의해 관리되는 GSM(Global System for Mobile communications), GPRS(General Packet Radio System), UMTS(Universal Mobile Telecommunications System)와 같은 타입의 이동 네트워크에 연결되어 있다. 소프트웨어 애플리케이션은 이동장비에 설치되고 가입자 모듈에 존재하는 리소스(데이타 혹은 기능)를 이용하기 위해 구성된다. 따라서 오퍼레이터 및/또는 애플리케이션 공급자에 의해 미리 결정된 규칙에 따라 보안조건이 만족 되는 경우에만 완전히 사용될 수 있다. 규칙의 검증은 컨트롤 서버의 책임이다. 컨트롤 서버에 의해 송신된 명령을 따르는 애플리케이션은 이동장비에 설치된 애플리케이션의 올바른 기능수행을 위해 필요한 리소스로의 접근을 차단하거나 자유롭게 하는 보안모듈이 맡는다.

이러한 리소스의 데이터는 계좌번호, 프로그램(이동장비 내에 설치될 수 있는 코드 형태로), 암호화/해독 키, 컨텐츠에 대한 액세스 권한 등과 같은 데이터를 포함한다.

이러한 리소스의 기능은 암호의 알고리즘, 검증과정, 디지털 사인 생성 과정, 암호화 과정, 인증 과정, 데이터 타당성 과정, 액세스 컨트롤 과정, 데이터 보안 과정, 지불 과정 등을 포함할 수 있다.

컨트롤 서버는 이동장비 가입자 모듈 세트와 연관된 신뢰 또는 보안 요소를 유지하는데 필수적인 역할을 하고, 이동장비에 의해 전송된 데이터를 가입자 모듈에 의해 이용 가능한 애플리케이션, 기능 또는 리소스의 이용을 조절하거나 제한하기 위해 번역한다.

이동장비 및 가입자 모듈로부터 신원 정보를 수신하며 IMEISV, IMSI를 포함하는 서버는 이동장비 내에서 실행되는 애플리케이션에 의해 이용될 수 있는 가입자 모듈의 리소스를 규정하는 새로운 보호 프로필을 재규정하기 위해 새로운 명령이 가입자 모듈에 보내져야 하는지의 여부를 특정한 규칙에 따라 결정한다. 예를 들어 규칙은 이동 장비에 설치된 소프트웨어 버전의 업데이트와 이동 장비 상의 새로운 애플리케이션의 다운로드, 보호 프로파일의 업데이트 주기, 네트워크에 연결된 수, 네트워크에 액세스하기 위해 사용된 기술, 사용된 액세스 네트워크의 식별정보 등을 참조할 수 있다. 이러한 규칙은 오퍼레이터 및/또는 애플리케이션 공급자 및/또는 이동장비 사용자가 고려하고 싶어하는 사용된 자료 또는 소프트웨어와 결합된 다른 위험과 관계가 있다.

본 발명에 따른 방법은 일반적으로 네트워크에 각 이동장비를 연결하는 동안이나 각 이동장비의 소프트웨어 버전 업데이트 후나 가입자 모듈의 소프트웨어 버전 업데이트 후, 또는 가입자 모듈 상의 리소스의 업데이트 후에 실행된다. 이동장비 상에서 각 애플리케이션의 활성화나 비활성화 동안에도 역시 실행된다.

일 실시 예에 따르면, 상기 방법은 컨트롤 서버에 의해 주어진 비율에 따라 주기적으로 또는 이동 장비 상에서 애플리케이션의 초기화 후 실행된다. 다른 실시 예에 따르면 가입자 모듈은 이동장비의 식별자(IMEISV)가 변하지 않는 상태로 있는 한 컨트롤 센터로부터 새로운 메시지를 수신하지 않을 것이다.

가입자 모듈이 다시 초기설정하는 동안 암호의 도착 때까지 소정 수의 리소스를 차단하는 것이 더 바람직할 것이다. 따라서 만일 이동 장비가 암호를 가로채고 가입자 모듈에 전송하지 않길 원한다면 가입자 모듈의 모든 또는 일부 리소스(데이타 혹은 기능)는 이동장비 내에서 실행하는 애플리케이션에 이용할 수 없다. 현실화의 타입에 따라 낮은 보안 레벨 애플리케이션에 의해 사용된 가입자 모듈의 특정한 리소스가 암호의 도착 이전에 효력을 갖는 것을 가능하게 한다. 이것은 네트워크로의 접근을 획득하는데 필요한 리소스를 얻기 위한 경우이며, 이것이 없이는 동일한 네트워크에 의한 암호의 송신은 불가능하다.

가입자 모듈이 암호의 유효성을 검증할 때 이동 장비를 간접적으로 확인하고 데이타는 컨트롤 서버로부터 효과적으로 온다는 것을 보장한다. 달리 말해서 이 암호에 의해 컨트롤 서버는 이동장비의 타입과 소프트웨어 버전이 가입자 모듈에 명령이 전송되기 전에 고려된 가입자 모듈을 절대적으로 보장한다. 가입자 모듈은 로드되고 필요하다면 이동 장비의 특정한 애플리케이션의 이용에 대해 전부 혹은 일부를 허가하거나 거부한다.

이동장비는 가입자 모듈과 컨트롤 서버 사이의 거의 직접적인 대화 구축에 의한 검증 단계에서 중계역할을 수행한다. 따라서 교환된 메시지의 보안은 이동 장비 상에서 실시된 애플리케이션의 실행환경을 통해 컨트롤 서버와 가입자 모듈 사이의 끝에서 끝까지 보장된다. 그래서 가입자 모듈과 관련된 데이터를 속이거나 변환할 수 없다.

본 발명은 또한 네트워크에 연결된 장비에 설치된 하나 이상의 애플리케이션에 의해 부분적으로 액세스되는 리소스를 포함한 보안 모듈에 있어서, 상기 장비는 최소한 상기 장비의 식별자와 상기 보안 모듈의 식별자를 포함하는 판독 및 데이터 전송 수단을 포함하고, 상기 모듈은 암호에 포함된 명령의 수신, 분석, 실행 수단을 포함하며, 상기 명령은 상기 애플리케이션 공급자 및/또는 오퍼레이터 및/또는 장비 사용자에 의해 미리 결정된 규칙에 따라 상기 애플리케이션의 기능을 조정하는 보안모듈과 관련 있다.

보안 모듈은 예를 들어 이동 장비에 연결된 가입자 모듈이나 SIM 카드로서 이용된다.

본 발명은 예로써 주어진 첨부된 도면을 참조한 상세한 설명에 의해 잘 이해될 것이다.

도 1은 데이터와 암호의 신원확인을 교환하는 동안 기여하는 이동장비와 서버의 다른 부분을 보여주는 블록도.

도 2는 애플리케이션이 동작하는 동안 다른 부분 사이에 상호작용을 하는 이동장비/가입자 모듈 조립품의 블록도.

도 1은 이동장비(CB)와 가입자 모듈(SIM) 어셈블리가 이동 네트워크(NET)를 경유하여 컨트롤 서버(CSE)에 의해 검증되는 식별 데이터(ID)를 전송하는 것을 나타낸다. 컨트롤 서버는 이동장비(CB)를 경유하여 가입자 모듈을 향해 암호(J)를 되돌려 전송한다. 이동장비(CB)는 실행 환경(AEE)에서 동작하는 하나 이상의 소프트웨어 애플리케이션(APP)을 포함한다. 이러한 애플리케이션은 오퍼레이터의 컨트롤 서버(CSE)와 관련된 애플리케이션 공급자(FA)에 의해 공급되거나 이동장비 제작자에 의해 처음부터 프로그램된다.

가입자 모듈은 소프트웨어 애플리케이션(APP)에 의해 사용되는 리소스(RES)를 포함한다.

도 2는 이동장비(CB)의 애플리케이션(APP)의 기능이 가입자 모듈에서 유효한 리소스(RES)에 직접 의존한다는 것을 나타낸다. 적당한 리소스가 없는 경우, 애플리케이션은 개시될 수 없거나 또는 사용자가 예를 들어 이동장비(CB)나 가입자 모 듈(SIM)의 교체와 같은 필요한 교정 동작을 할 수 있게 하는 오류 메시지를 생성할 수 있는 디폴트 파라미터 만에 의해 매우 제한된 방법으로 기능한다.

예를 들어, 이동 장비(CB)는, 이동 네트워크(NET)를 통해 컨트롤 서버(CSE)에 네트워크 접속을 각각 요청하는 중에 이동 장비에 특유한 데이터: IMEISV(International Mobile Equipment Identity and Software Version Number)와 가입자 모듈 코드:IMSI (International Mobile Subscriber Identity)를 전송하는 것에 의해 식별된다. 첫 번째 번호 IMEISV는 문제의 이동 장비에 설치된 소프트웨어 버전과, 고유한 방법으로 이동 장비를 물리적으로 식별하는 시리얼 번호, 이동 장비 생산자로부터의 승인 코드(homologation code)를 포함하는 16개의 숫자의 집합이다. 두 번째 번호 IMSI는 15개의 숫자의 집합으로 고유한 방법으로 가입신청한 가입자를 식별할 수 있는 오퍼레이터에 의해 부여된 코드를 포함한다. ETSI(European Telecommunications Standards Institute)에 의해 확립된 이전의 표준에 따라 생산된 이동 장비의 경우, 15개의 숫자의 집합으로 이루어진 번호 IMEI와 2개의 숫자의 집합으로 이루어진 번호 SVN의 조합이 이 방법을 구현하기 위해 필요한 데이터를 제공한다.

이동 장비의 식별 중에, 컨트롤 서버(CSE)는 전송된 데이터(ID)를 분석 및 검증하고 이를 블랙 리스트(거부 데이터) 또는 화이트 리스트(수락 데이터)의 내용과 비교한다. 필요한 경우 데이터베이스는 인증 서비스, 가입 지급 조건과/혹은 서비스가 실행되는가 혹은 그렇지 않은가, 가입 기간, 사용된 이동 장비와 관련된 보안 프로파일, 이동 장비에 설치된 애플리케이션, 보안 모듈 상에서 이용 가능한 리 소스, 이동 장비 사용자의 선호 등과 같은 명세의 결정과 가입자의 식별의 정제를 허용한다. 이 검증의 결과는 다음에, 컨트롤 서버(CSE)가 이동 장비(CB)에 전송하는 토큰(J)이라고 불리는 암호문을 결정하기 위해 사용된다. 컨트롤 서버가 이동 오퍼레이터와 구별될 수 있다는 것과 이동 장비로부터 들어오는 요청이 이 컨트롤 기관으로 전송될 것이라는 것에 주목해야 한다.

이동 장비(CB)의 애플리케이션 실행환경(AEE)은, 가입자 모듈에 토큰(J)을 변경 없이 그대로 전송하고, 이동 장비 (CB)는 단지 중계 역할만 한다.

토큰(J)이 유효하면, 가입자 모듈은 특정한 리소스(RES)를 자유롭게 각각 차단할 수 있다. 따라서, 이 애플리케이션(APP)은 컨트롤 서버(CSE)에 의해 부과된 규칙에 따라 실행될 수 있다. 사실, 토큰(J)은 이동 장비(CB)의 어떠한 애플리케이션(APP)의 동작도 조정할 수 있는 가입자 모듈용의 특별한 명령들을 포함하거나 이들을 동반한다. 예를 들어, 가입자가 자신이 거주하는 국가와 다른 국가에 있는 자신이 가입되어 있는 다른 네트워크에 연결되는 경우(로밍), 어떠한 보안 정책이나 가입자의 선호 또는 금융 서비스 공급자의 선호로 인해, 또는 문제의 국가에서 강제하는 법률상의 제한에 의해 금융 거래의 실행은 제한될 수 있다. 다른 경우, 가입자 모듈이 오퍼레이터에 의해 인식되지 않았거나 승인되지 않은 이동 장비(CB)에 삽입될 때, 컨트롤 서버(CSE)에 의해 반환된 토큰(J)은 가입자 모듈의 리소스(RES)를 차단할 수 있고, 이런 방법으로 애플리케이션(APP)의 실행을 방지하거나 변경할 수 있다.

이동 장비(CB) 및/또는 가입자 모듈(SIM)의 복제가 가능한 경우, 데이터베이 스 검증 결과는 오퍼레이터가 복제 이동 전화의 수용을 수락하는 위험에 의존하는 명령을 포함한다. 예를 들면, 결과로서 생성된 토큰(J)은 가입자 모듈의 모든 리소스(RES)를 차단하거나, 애플리케이션 환경 실행(AEE)을 통해 가입자에게 경고 메시지를 생성하는 기간 동안 그들의 사용을 제한할 수 있다.

예를 들면, 토큰(J)은 개인키 RSA(Rivest, Shamir, Adelman), 예를 들어, IMSI, IMEISV, 가입자 모듈의 리소스 레퍼런스, 카운터를 포함하는 데이터 집합의 KRAS_Prri의 도움으로 생성된 서명과 조합될 수 있다. 공개 부분 KRSA_Pub가 가입자 모듈에 의해 알려지는 반면에 이 키는 단지 컨트롤 서버에게만 알려질 것이다. 비대칭 키 사용의 이점은 서명을 생성하기 위한 키가 컨트롤 서버(CSE)의 외부에서 발견되지 않는다는 사실에 있다.

물론, 예를 들어, DSA(Digital Signature Algorithm)와 ECC(Elliptic Curve Cryptography)와 같은 다른 비대칭 키 알고리즘이 RSA의 대안으로 사용될 수 있다.

대칭 키 알고리즘의 사용은 단순성과 검증 속도 또는 구현과 생산에 대한 저비용 등과 관련된 이유로 선호된다. 이 경우, 키는 서버(CSE)와 가입자 모듈에 알려질 수 있으며, 예를 들어, 알고리즘 IDEA(International Data Encryption Algorithm)은 어셈블리(IMSI, IMESISV, 가입자 모듈의 리소스 레퍼런스, 카운터)를 서명하기 위해 사용될 수 있다. IDEA 알고리즘의 대안으로, 예를 들어, TDES (Triple Data Encryption Standard)와 AES (Advanced Encryption Standard)와 같은 알고리즘이 사용될 수 있다.

이들 두 개의 비대칭 및 대칭 키의 실시 예에 있어, 가입자 모듈은 토큰(J) 에 나타나는 다른 필드의 일치를 검증하고, 특히, 규칙적으로 업데이트하는 카드에 저장된 대응 카운터와 비교함으로써 카운터(CPT)를 제어한다. 이 카운터는 응답 공격을 방지하기 위한 가입자 모듈에 예정된 동일한 토큰(J)의 이중 사용을 피하는 것을 허용한다.

카운터의 일 실시 예는 가입자 모듈에서 생성된 랜덤 변수(랜덤 수)를 사용하는 것이다. 이 랜덤 변수는 컨트롤 서버에 전송된 데이터와 함께 전송된다. 후자는 이 랜덤 변수를 응답 암호문으로 회신하고 가입자 모듈은 새로운 메시지와 관련되었는지를 검증한다. 보다 일반적으로, 오래된 암호문 사용의 모든 위험을 피하기 위하여, 후자는 가입자 모듈에서 예측 가능한 변수 즉 카운터나 랜덤 변수를 포함한다.

가입자 모듈은 또한 이동 장비(CB)에서 수행된 애플리케이션에 의한 사용을 허가 또는 금지하는 리소스(RES) 레퍼런스를 고려한다.

가입자 모듈은 이동 장비(CB)에 설치된 애플리케이션(APP) 레퍼런스와 같은 것을 알지 못한다. 사실, 특정한 글로벌 애플리케이션은 어떠한 외부의 이차적 애플리케이션에 사용될 수 있는 비교적 개방된 인터페이스를 갖는다. 예를 들면, 사용된 지불 모드에 따라서 일반적인 지불 애플리케이션에 특정 애플리케이션을 접목하는 것이 가능하다. 가입자 모듈은 자신의 리소스(RES) (데이터나 함수)에 대한 레퍼런스에만 기반할 수 있다. 이동 장비와 관련된 위험을 수락하면서, 오퍼레이터는 어떠한 가입자 모듈의 리소스(RES)가 이동 장비(CB)에서 실행된 어떠한 애플리케이션(들) (APP)에 사용되었는지 앎으로써 선택한다.

다른 실시 예에서, IDEA나 RSA 유형의 키의 도움으로 만들어진 서명은 집합 (IMSI, IMEISV, 가입자 모듈의 리소스 레퍼런스, 카운터)로부터 공유키 HMAC(Keyed-Hashing for Message Authentication) 로 생성된 블록에 의해 대체될 수 있다. HMAC는 즉, 동일한 키가 컨트롤 서버(CSE)와 가입자 모듈에 놓이는 공유키와 함께, SHA-1(Secure Hash Algorithm)나 MC5(Message Digest)와 같은 암호화 해싱 함수의 사용을 통한 메시지 인증을 위한 메커니즘이다.

컨트롤 서버(CSE)와 가입자 모듈에 동시에 나타나는 이 키는 가입자 모듈의 개별화 작업 중에 또는 가입자 모듈에서 어떠한 리소스들을 설치하는 중에 로드될 수 있다. 선택적으로, 다른 키가 가입자 모듈의 각 리소스 또는 리소스 그룹과 관련될 수 있거나, 그 키가 리소스 조합을 위하여 전역화되고 주어진 가입자 모듈에 대해 고유하게 될 수 있다.

보다 나은 보안을 위하여, 가입자 모듈이 토큰(J)을 수신했을 때, 가입자 모듈에 의한 토큰(J)의 올바른 수신 및 적당한 처리를 확인하는 확인 메시지(CF)를 이동 장비(CB)와 이동 네트워크(NET)를 통하여, 컨트롤 서버(CSE)에 재전송할 수 있다. 이 확인(CF)은 응답의 공격에 대한 방어를 제공하기 위한 토큰(J)과 유사한 카운터 및 동작에 대한 최소한 하나의 성공 또는 오류 코드를 포함한다. 이 메시지는 또한 컨트롤 서버(CSE)가 가입자 모듈과 관련된 카운터의 업데이트를 유지하도록 한다.

본 발명의 일 실시 예에서, 이동 장비는 유료 텔리비젼 디코더나 컴퓨터와 같은 고정 장비로 대체될 수 있다. 컨트롤 서버는 보안 모듈로부터 가입자 모듈의 것과 같은 네트워크에 연결된 장비의 식별자와 보안 모듈의 식별자를 수신한다. 응답에 있어, 서버는 전술된 것처럼 검증을 수행하고 보안모듈에 암호문을 회신한다. 이 응답은 보안 모듈 내에서 리소스를 허용 또는 차단한다

Claims

네트워크(NET)에 연결된 장비(CB) 내에서 동작하는 보안모듈에 의해 애플리케이션(APP)의 보안을 관리하는 방법에 있어서, 상기 네트워크(NET)는 오퍼레이터의 컨트롤 서버(CSE)에 의해 관리되고, 상기 애플리케이션은 상기 장비(CB)에 지역적으로 연결된 보안모듈(SIM)에 저장된 리소스(RES)(데이타 혹은 기능)를 사용하며, 상기 애플리케이션은

상기 컨트롤 서버가 상기 네트워크를 통해 최소한 상기 장비(CB)의 타입과 소프트웨어 버전 및 상기 보안모듈(SIM)의 식별 정보를 포함하는 데이터를 수신하는 단계와

상기 컨트롤 서버(CSE)가 상기 데이터(ID)를 분석 및 검증하는 단계와,

상기 데이터(ID)의 검증 결과로부터 암호(J)를 생성하고 상기 네트워크(NET)와 상기 장비(CB)를 통해 상기 보안모듈(SIM)로 상기 암호(J)를 전송하는 단계를 포함하되,

상기 보안모듈(SIM)은 수신된 암호(J)를 분석하여 활성화하고, 각각 상기 장비(CB) 내에 설치된 하나 이상의 애플리케이션(APP)에 의해 사용된 리소스(RES)(데이타 혹은 기능)를 비활성화시키며, 상기 암호(J)는 상기 애플리케이션의 공급자 및/또는 상기 오퍼레이터 및/또는 상기 장비 사용자에 의해 구축된 규칙에 따라 상기 애플리케이션(APP)의 기능을 조정하는 명령을 포함하는 애플리케이션(APP)의 보안 관리 방법.
제 1항에 있어서,

상기 장비(CB)는 이동 전화의 이동장비(CB)인 방법.
제 1항에 있어서,

상기 네트워크는 GSM, GPRS 또는 UMTS 타입의 이동 네트워크인 방법.
제 1항에 있어서,

상기 보안모듈(SIM)은 이동 전화의 이동 장비 내에 삽입된 SIM 카드 타입의 가입자 모듈인 방법.
제 4항에 있어서,

상기 이동 장비/가입자 모듈(SIM) 세트의 식별은 상기 이동장비(CB)의 식별자(IMEISV)와 상기 이동 네트워크의 가입자에 관한 가입자 모듈의 식별번호(IMSI)로부터 수행되는 방법.
제 1항에 있어서,

상기 규칙은 상기 애플리케이션(APP)에 관련된 위험과, 오퍼레이터 및/또는 애플리케이션 공급자 및/또는 이동장비 사용자가 고려하고 싶어하는 이동장비의 타입과 소프트웨어 버전에 따라 상기 애플리케이션(APP)의 사용 제한을 규정하는 방 법.
제 1항 또는 2항에 있어서,

상기 이동장비의 상기 네트워크로의 각각의 연결 후에 수행되는 방법.
제 1항 또는 2항에 있어서,

상기 이동장비의 소프트웨어 버전의 각각의 업데이트 후에 수행되는 방법.
제 1항 또는 2항에 있어서,

상기 이동 장비 상에서의 각 애플리케이션의 활성화 혹은 비활성화 후에 수행되는 방법.
제 1항 또는 4항에 있어서,

상기 가입자 모듈의 소프트웨어 버전의 각각의 업데이트 후에 수행되는 방법.
제 1항 또는 4항에 있어서,

상기 가입자 모듈의 리소스의 각각의 업데이트 후에 수행되는 방법.
제 1항에 있어서,

상기 컨트롤 서버에 의해 주어진 비율대로 주기적으로 수행되는 방법.
제 1항 또는 2항에 있어서,

상기 이동 장비 상에서의 애플리케이션의 각각의 초기화 후에 수행되는 방법.
제 1항 내지 4항 중 어느 한 항에 있어서,

상기 가입자 모듈(SIM)은 상기 암호(J)에 의해 주어진 명령의 실행에 앞서, 상기 이동 장비(CB)의 식별자(IMEISV)를 사전에 수신된 식별자와 비교하여, 식별자(IMEISV)가 변한 경우에만 검증 작업을 시작하는 방법.
제 1항 내지 5항 중 어느 한 항에 있어서,

상기 컨트롤 서버(CSE)는 상기 암호(J)의 전송에 앞서, 상기 이동장비의 식별자(IMEISV)를 사전에 수신된 식별자와 비교하여, 상기 식별자(IMEISV)가 변한 경우에만 검증 작업을 시작하는 방법.
제 1항 내지 4항 중 어느 한 항에 있어서,

상기 암호(J)는 다른 데이터 중에서, 상기 이동 장비(CB)의 식별자(IMEISV), 상기 가입자 모듈(IMSI)의 식별번호, 상기 가입자 모듈(SIM)의 리소스(RES) 레퍼런스 및 예측가능한 변수(CPT)를 포함하는 데이터 세트로부터 비대칭 혹은 대칭 암호 키의 도움으로 상기 컨트롤 서버(CSE)에 의해 암호화된 메시지로 구성되는 방법.
제 1항 내지 4항 중 어느 한 항에 있어서,

상기 가입자 모듈(SIM)이 상기 암호(J)를 수신한 경우, 상기 가입자 모듈은 상기 이동 장비(CB)와 상기 이동 네트워크(NET)를 경유하여 상기 컨트롤 서버(CSE)에 상기 가입자 모듈에 의해 암호의 정확한 수신과 적절한 처리를 확인하는 확인 메시지(CP)를 전송하는 방법.
제 1항에 있어서,

상기 장비는 상기 보안 모듈이 연결된 유료 텔리비젼 디코더 또는 컴퓨터인 방법.
네트워크(NET)에 연결된 장비(CB)에 설치된 하나 이상의 애플리케이션(APP)에 의해 부분적으로 액세스되는 리소스(RES)를 포함한 보안 모듈에 있어서,

상기 장비는 최소한 상기 장비의 식별자(IMEISV)와 상기 보안 모듈의 식별자(IMSI)를 포함하는 판독 및 데이터 전송 수단을 포함하고 ,

상기 모듈은 암호(J)에 포함된 명령의 수신, 분석, 실행 수단을 포함하며,

상기 명령은 상기 애플리케이션(APP) 공급자 및/또는 오퍼레이터 및/또는 장비(CB) 사용자에 의해 미리 결정된 규칙에 따라 상기 애플리케이션(APP)의 기능을 조정하는 보안모듈.
제 19항에 있어서,

이동장비에 연결된 SIM 카드 타입의 가입자 모듈을 구성하는 보안 모듈.