KR20150140588A - 보안 전자 엔티티를 포함하는 전자 장치 및 이러한 전자 장치에 구현되는 방법 - Google Patents

Abstract

본 발명은 제1 프로세서와, 제2 프로세서를 구비한 보안 전자 엔티티(40)를, 포함하는 전자 디바이스(10)에 관한 것이며, 상기 전자 디바이스(10)는 신뢰 운영 체계(30)의 상기 제1 프로세서에 의한 실행에 의해 동작하도록 설계된다.
상기 보안 전자 엔티티(40)의 외부에 위치하고 상기 신뢰 운영 체계(30)와는 별개인 요소(20)가 상기 제2 프로세서에 의한 애플리케이션(42)의 실행을 트리거하도록 설계되고; 그리고 상기 제2 프로세서에 의해 실행된 상기 애플리케이션(42)이 상기 신뢰 운영 체계(30)의 서비스의 수행을 요청하도록 설계된다.
이러한 전자 디바이스에서 구현되는 방법이 또한 개시된다.

Description

보안 전자 엔티티를 포함하는 전자 장치 및 이러한 전자 장치에 구현되는 방법{Electronic apparatus comprising a secure electronic entity and method implemented in such an electronic apparatus}

본 발명은 전자 디바이스의 보안에 관한 것이다.

본 발명은 보다 구체적으로는 제1 프로세서와, 제2 프로세서를 구비한 보안 전자 엔티티를, 포함하는 전자 디바이스에 관한 것이며, 상기 전자 디바이스는 신뢰 운영 체계(trusted operating system)의 제1 프로세서에 의한 실행에 의해 동작하도록 구성되어 있다. 본 발명은 또한 이러한 전자 디바이스에서 수행되는 방법에 관한 것이다.

본 발명은 특히 범용 운영 체계(multi-purpose operating system)가 또한 전자 디바이스 내에서 실행되는 경우에 유리하게 적용될 수 있다.

위에서 정의된 바와 같은 전자 디바이스가 알려져 있는데, 여기서, 한편으로는, 특정 애플리케이션만이 설치되고 실행될 수 있는 신뢰성 있는 실행 환경(trusted execution environment; TEE)을 제공하는 것을 가능케 하는 신뢰 운영 체계(또는 "TrustedOS")의 사용에 의해 보안 동작이 이루어지며, 그리고 다른 한편으로는, 데이터의 암호 처리와 같이 높은 보안 수준을 필요로 하는 프로세싱의 수행을 위한 보안 전자 엔티티의 사용에 의해 보안 동작이 이루어진다.

게다가, 이러한 전자 디바이스들은 일반적으로 비-보안 요소들, 예컨대 전자 디바이스 내에서 실행되는 범용 운영 체계(또는 언급된 대로의 "RichOS")를, 포함하며; 그것들의 동작의 범위 내에서, 이 비-보안 요소들은 보안 기능성들을 호출해야 한다(call upon).

이 경우, 전통적으로는, 비-보안 요소에 의해 요구되는 보안 기능성이 신뢰 운영 체계의 범위 내에서 구현되는 애플리케이션에 의해 조종되어 제공되며, 그런 다음 이 애플리케이션은 필요한 경우 특정 처리(전형적으로 암호화)에 관하여 보안 전자 엔티티를 요청하는 것을 담당한다.

그러나, 사용자에 의해 서비스 검색을 수행하기 위하여, 이 해결책은 애플리케이션들을 비보안 요소에, 신뢰성 있는 실행 환경에 그리고 보안 전자 엔티티에 설치할 필요가 있다는 점을 알 수 있다.

이와 관련하여, 본 발명은 위에 정의된 바와 같은 전자 디바이스를 제안하며, 상기 전자 디바이스는, 상기 보안 전자 엔티티의 외부에 위치하고 상기 신뢰 운영 체계와는 별개인 요소가 상기 제2 프로세서에 의한 애플리케이션의 실행을 트리거하도록 설계되고, 그리고 상기 제2 프로세서에 의해 실행된 상기 애플리케이션이 상기 신뢰 운영 체계의 서비스의 수행을 요청하도록 설계되는 것을 특징으로 한다.

따라서, 비-보안 요소에 의해 애플리케이션의 실행이 트리거되는 상기 애플리케이션은 보안 기능성의 수행을 조종하여, 필요한 경우에 - 예를 들어, 신뢰 운영 체계에 의해 관리되는 전자 디바이스의 리소스들이 제 2 프로세서에 의해 조종되는 프로세스에 사용되어야 하는 경우에 - 신뢰 운영 체계의 서비스들을 호출할 수 있을 것이다.

따라서, 신뢰 운영 체계에 의해 제공되는 기본 서비스들만이 사용될 것이며, 이에 따라, 사용자에 의해 검색되는 서비스의 수행 전용의 애플리케이션을 신뢰성 있는 실행 환경에 설치할 필요가 더 이상은 없다.

또한, 보안 기능성은 신뢰성 있는 실행 환경에 의해 얻어지는 보안 수준보다 훨씬 더 높은 보안 수준을 제공하는 보안 전자 엔티티를 통해 제어된다.

제1 가능한 실시예에 따르면, 상기 별개 요소는 상기 전자 디바이스 내에서 구현되는 범용 운영 체계이다. 이와 같은 범용 운영 체계는 상기 제1 프로세서에 의해 실행되도록 설계될 수 있다.

다음의 설명에서 기재된 바와 같이, 상기 범용 운영 체계에 기초한 동작과 상기 신뢰 운영 체계에 기초한 동작 사이에 동작을 토글링(toggling)하는 수단이 제공될 수 있다.

변형 예로서, 상기 전자 디바이스는 제3 프로세서를 포함할 수 있으며, 상기 범용 운영 체계는 이 제3 프로세서에 의해 실행되도록 설계될 수 있다.

제2 가능한 실시예에 따르면, 상기 별개 요소는, 예를 들면 프로세서를 또한 구비한 상기 전자 디바이스의 모듈로서, 예를 들면 상기 전자 디바이스의 통신 모듈이다.

상기 별개 요소는 상기 애플리케이션의 실행의 상기 트리거에 관하여 상기 제2 프로세서에 직접 명령하도록 설계될 수 있거나, 또는 상기 신뢰 운영 체계를 위한 상기 애플리케이션의 실행을 트리거할 명령어를 발행하도록 설계될 수 있으며, 이후에 상기 신뢰 운영 체계는 상기 제2 프로세서에 의한 상기 애플리케이션의 실행을 명령하도록 설계됨이 주목된다. 후자의 경우에는, 상기 신뢰 운영 체계의 역할은 트리거 명령어를 상기 제2 프로세서에 송신하는 것으로 한정된다.

그런 다음, 위에 언급된 토글링 수단은 상기 트리거 명령어의 발행시, 상기 범용 운영 체계에 기초한 동작으로부터 상기 신뢰 운영 체계에 기초한 동작으로 토글링하도록 설계될 수 있다.

상기 서비스의 수행이 상기 제 2 프로세서에 의해 요청되는 상기 서비스는 예를 들어, 상기 전자 디바이스의 주변 장치(예컨대, 인간-기계 인터페이스)의 기능성의 구현을, 포함한다.

이 서비스는 상기 전자 디바이스의 인간-기계 인터페이스에 관한 정보의 (사운드 신호의 디스플레이 또는 방출이나, 아니면 진동자의 활성화와 같은) 피드백, 및/또는 상기 사용자를 확인하기 위한 정보의 아이템(예컨대, 정보의 인증 아이템) 수신을 포함할 수 있다.

본 발명은 또한, 제1 프로세서와, 제2 프로세서를 구비한 보안 전자 엔티티를, 포함하는 전자 디바이스에서 수행되는 방법을 제안하며, 상기 전자 디바이스는 신뢰 운영 체계의 상기 제1 프로세서에 의한 실행에 의해 동작하도록 설계되고; 그리고 상기 방법은: 상기 보안 전자 엔티티의 외부에 위치하고 상기 신뢰 운영 체계와는 별개인 요소에 의해, 상기 제2 프로세서에 의한 애플리케이션의 실행을 트리거하는 단계; 및 상기 제2 프로세서에 의해 실행된 상기 애플리케이션에 의해, 상기 신뢰 운영 체계의 서비스의 수행을 요청하는 단계를 포함한다.

또한, 이러한 방법에는 위에서 제안된 상기 전자 디바이스에 대한 임의의 특징들이 적용될 수도 있다.

비한정적인 예시들로서 주어진 첨부 도면들에 관한 설명은 본 발명의 실체와 본 발명이 어떻게 수행될 수 있는지를 명확하게 설명할 것이다.
도 1은 본 발명이 구현되는 시스템의 주 요소들을 개략적으로 도시한 도면이다.
도 2는 본 발명의 교시에 따른, 도 1의 시스템 요소들 사이에 데이터를 교환하는 방법의 제1 예를 도시한 도면이다.
도 3은 본 발명의 교시에 따른, 도 1의 형태의 시스템에서 데이터를 교환하는 방법의 제2 예를 도시한 도면이다.
도 4는 본 발명이 구현될 수 있는 또 하나의 예시적인 시스템을 도시한 도면이다.
도 5는 도 4의 시스템의 요소들 사이에 데이터를 교환하는 예시적인 방법을 도시한 도면이다.

도 1은 본 발명이 구현되는 시스템의 주요 요소들을 개략적으로 보여준다.

이 시스템은 전자 디바이스(10), 즉 여기서는 터미널(예를 들면, 지능형 전화기 또는 "스마트폰" 유형의 터미널)을 포함하며, 그의 동작은 두 개의 별개의 운영 체계들, 즉 범용 운영 체계(20)(또는 언급된 대로의 "RichOS")와 때때로 보안 운영 체계("SecureOS")라고 지칭되는 신뢰 운영 체계(30)(또는 "TrustedOS")의 사용에 근거를 두고 있다.

범용 운영 체계(20)는 사용자가 매우 자유롭게 할 수 있는 애플리케이션들의 다운로딩, 설치 및 실행을 가능케 한다.

반대로, 신뢰 운영 체계(30)에 기초한 전자 디바이스(10)의 동작 범위 내에서, 애플리케이션들의 다운로딩 및 설치의 가능성들이 (예를 들면, 특정 인증을 받은 애플리케이션들로) 제한되고 따라서 신뢰 운영 체계의 사용은 전자 디바이스(10) 내에 신뢰성 있는 실행 환경(TEE)을 만들 수 있다.

이 신뢰성 있는 실행 환경은 예를 들어, 2 내지 7 사이의 레벨을 갖는 ISO 표준 15408에 대응하거나 FIPS(Federal Information Processing Standard; 연방 정보 처리 표준) 표준 140-2에 대응하는, EAL(Evaluation Assurance Level; 평가 보증 등급) 공통 기준에 따른 보안 수준을 제공한다.

여기에 기재된 예에서, 범용 운영 체계(20)와 신뢰 운영 체계(30)는 전자 디바이스의 단일 및 동일한 프로세서, 예를 들면 시스템 온 칩(system on chip)(SoC)의 프로세서에 의해 실행된다. 상기 프로세서 이외에도, 이러한 시스템 온 칩은 다양한 기능성들을 갖는 다른 전자 부품들, 특히 하나 이상의 메모리들(예를 들면, ROM(판독 전용 메모리) 또는 RAM(랜덤 액세스 메모리), 및 재기록 가능 비휘발성 메모리(예컨대, EEPROM(전기적 소거 및 프로그램 가능한 판독 전용 메모리) 유형의 메모리))을 포함하고; 이 메모리들 중 적어도 하나의 일부는 신뢰 운영 체계(30)를 위해 예비될 수 있다(즉, 이 메모리 부분은 신뢰 운영 체계(30)에 의해서만 판독 및/또는 기록될 수 있다).

이 경우에는, 후술되는 바와 같이, 범용 운영 체계(20)에 기초한 전자 디바이스(10)의 동작과 신뢰 운영 체계(30)에 기초한 전자 디바이스(10)의 동작 사이의 토글링(toggling)을 위한 프로세스가 제공되며, 따라서 전자 디바이스(10)는 각각의 순간에서 상기 두 운영 체계들(20, 30) 중 하나를 기반으로 하여 동작한다.

범용 운영 체계(20)와 신뢰 운영 체계(30)가 제공될 수 있는데, 변형 예에서 이들은 두 개의 전용 프로세서들(예를 들면, 이들 둘 다가 온 보드 시스템 온 칩인 프로세서들) 상에 각각 실행된다.

전자 디바이스(10)는 또한 프로세서를 구비한 보안 전자 엔티티(40)를 포함하며; 보안 전자 엔티티(40)는 예를 들어, 보안 집적 회로(또는 보안 요소(Secure Element; SE) 또는 마이크로회로 카드(또는 UICC(Universal Integrated Circuit Card; 범용 집적 회로 카드)이고, 여기서 상기 보안 집적 회로(또는 보안 요소(Secure Element; SE)는 전자 디바이스(10)에 임의로 솔더링된다(이때에는 eSE(embedded Secure Element; 임베디드 보안 요소)라 불린다).

이러한 보안 전자 엔티티는 예를 들어, 2 내지 7 사이의 레벨을 갖는 ISO 표준 15408에 대응하거나 FIPS(Federal Information Processing Standard; 연방 정보 처리 표준) 표준 140-2에 대응하는, EAL(Evaluation Assurance Level; 평가 보증 등급) 공통 기준에 따른다.

이 전자 엔티티(40)용으로 발행된 명령어들은 예를 들면 APDU 유형(예를 들어 아래 단계 E13 참조)이다. 도 1에 개략적으로 보여진 바와 같이, 전자 엔티티(40)는 또한 신뢰 운영 체계(30)를 위한 명령어들, 예를 들면 STK 타입(SIM ToolKit(툴킷))의 명령어들을 발행할 수 있다.

전자 디바이스(10)는 최종적으로 사용자 인터페이스(UI) 또는 인간-기계 인터페이스(MMI; man-machine interface)(50), 예를 들면 터치 스크린을 포함하며, 이러한 인터페이스는 사용자가 터치 스크린에 디스플레이된 (가상 버튼들과 같은) 요소들을 터치할 때, 사용자에게 정보를 디스플레이하고 사용자로부터 명령어들 또는 정보를 수신하는 것을 가능케 한다.

변형 예로서, 사용자 인터페이스는 예를 들어 라우드스피커(loudspeaker), 마이크로폰 또는 생체인식 센서와 같이, 전자 디바이스와 사용자 사이에 정보를 교환하기 위해 다른 유형들의 입출력 장치를 사용할 수 있다.

도 1에 보여진 시스템은 화살표 A로 개략적으로 표시된 통신 수단에 의해 전자 디바이스(10)와 데이터를 교환할 수 있는 (예컨대, 전자상거래 사이트에 속하는) 원격 서버(60)를 포함하며, 상기 통신 수단은 특히 전화 네트워크(여기서는 모바일 전화 네트워크) 및 데이터 네트워크, 예를 들면, 인터넷 네트워크와 같은 컴퓨터 네트워크를 포함할 수 있다.

도 1의 시스템은 은행 서버(70), 즉 일반적으로 사용자가 은행 계좌를 보유하고 있는 은행에 의해 관리되는 서버를 선택적으로 더 포함할 수 있다.

도 2는 본 발명의 교시에 따른, 도 1의 시스템 요소들 사이에 데이터를 교환하는 제1 예시적인 방법을 보여준다.

이 방법은, 범용 운영 체계(20)에 의해 정의되는 환경의 범위 내에서 전자 디바이스(10)의 프로세서에 의해 실행되는 데이터 교환으로서, 원격 서버(60)와 브라우저(24)(예를 들면, 인터넷 브라우저 또는 웹 브라우저) 사이에서 데이터를 교환하는 단계 E0에서 시작된다.

브라우저(24)에 의해 수신된 데이터는 이후 전자 디바이스(10)의 터치 스크린에 디스플레이된다. 따라서, 브라우저(24)는 단계 E1에서 인간-기계 인터페이스(또는 MMI) 관리 모듈(22)을 호출한다(call upon). 도 1에 보여진 바와 같이, 이러한 MMI 관리 모듈(22)은 범용 운영 체계(20)에 의해 제공되는 서비스들의 일부분을 형성한다.

그 다음에, MMI 관리 모듈(22)은 단계 E2에서, 터치 스크린(50)에 필요한 디스플레이를 명령한다.

그 다음에, 사용자는 보안 상황에서 구현되어야 하는 기능(예컨대, 지불)을 (예를 들면, 터치 스크린(50) 상의 가상 버튼을 터치하여) 선택한다.

이 선택(실제로는 사용자가 터치 스크린(50)의 주어진 위치에 자신의 손가락을 위치시킴)은 단계 E3에서 MMI 관리 모듈(22)에 송신되며, 이 관리 모듈은 단계 E4에서 그것을 브라우저(24)에 릴레이한다.

이 선택 때문에, 브라우저(24)는 단계 E5에서, 이 기능에 전용인 모듈(26), 예를 들면 확장 모듈(또는 언급된 대로의 "플러그-인(plug-in)")의 수행을 명령한다. 그 다음에, 브라우저(24)는 요청된 기능과 관련된 정보를, 즉 여기서는 거래량, 상인의 식별자, 거래 일자 및 제품 코드와 같은 지불 정보를, 전용 모듈(26)에 통신할 수 있다.

단계 E6에서, 그 다음에 (전자 디바이스(10)의 프로세서에 의해 실행되는) 전용 모듈(26)은 활성 운영 체계(이 경우에는 범용 운영 체계(20))에게, 다른 가능한 운영 체계(여기서는 신뢰 운영 체계(30))에 기초한 전자 디바이스(10)의 동작 모드로의 토글링, 즉 신뢰성 있는 실행 환경(TEE)에서의 동작 모드로의 토글링을 요청한다.

따라서, 범용 운영 체계(20)는 단계 E7에서 신뢰 운영 체계(30)의 개시(launching)를 명령하고; 신뢰 운영 체계(30)는 단계 E8에서 수신을 확인하여(acknowledge), 단계 E9에서 범용 운영 체계(20)의 셧다운을 일으킨다. 그 다음에 전자 디바이스(10)는 신뢰 운영 체계(30)를 기반으로 하여 동작한다.

그 다음에, 전용 모듈(26)은 신뢰 운영 체계(30)를 기반으로 하여 전자 디바이스가 동작하는 동안에 전자 디바이스(10)의 프로세서에 의해 실행가능한 신뢰 애플리케이션(36)(trusted application; TA, 때때로는 "trustlet")을 선택하기 위한 명령어를 신뢰 운영 체계(30)에 디스패치할 수 있다(단계 E10).

이 선택 명령어는 예를 들면 고유 범용 식별자(Universal Unique IDentifier; UUID)와 같은 신뢰 애플리케이션(36)의 식별자에 의해 이루어진다.

따라서, 신뢰 운영 체계(30)는 단계 E11에서, 요청된 신뢰 애플리케이션(36)을 선택한다(즉, 실제로 신뢰 운영 체계(30)는 전자 디바이스(10)의 프로세서에 의한 신뢰 애플리케이션(36)의 실행을 개시한다).

그 다음에, 전용 모듈(26)은 단계 E12 동안, 사용자에 의해서 요청된 기능과 관련된 정보(여기서는 지불 정보)를 신뢰 애플리케이션(36)에 디스패치할 수 있다.

그런 다음 신뢰 애플리케이션(36)은 보안 전자 엔티티(40) 내부에 있는 애플릿(applet)(42)의 개시를 명령한다. 따라서, 단계 E13에서, 신뢰 애플리케이션(36)은 애플릿(42)의 식별자(또는 AID(Application IDentifier; 애플리케이션 식별자))를 동반하는 선택 명령어를 보안 전자 엔티티(40)에 디스패치한다. 이 명령어는 예를 들면 APDU(Application Protocol Data Unit) 유형의 명령어이다. 그 다음에, 보안 전자 엔티티(40)(구체적으로는 보안 전자 엔티티(40)의 프로세서에 의해 실행되는 그의 운영 체계)는 보안 전자 엔티티(40)의 프로세서에 의한 애플릿(42)의 실행을 개시함으로써 식별된다(단계 E14).

그 다음에, 신뢰 애플리케이션(36)은 단계 E15 동안, 사용자에 의해 요청된 기능과 관련된 정보(여기서는 지불 정보)를 애플릿(42)에 디스패치할 수 있다.

(아래에 기술한 바와 같은) 보안 전자 엔티티에 의한 지불 검증(validation)을 수행하기 전에, 애플릿(42)은 (터치 스크린(50)을 통한 사용자의 인증 정보 제공에 의해) 사용자를 인증하기 위한 프로세스를 수행하며, 이제 설명될 것이다.

따라서, 애플릿(42)은 신뢰 운영 체계(30)에 의해 제공되는 라이브러리 서비스들 중 서비스(34)의 수행을 신뢰 운영 체계(30)에 요청한다(단계 E16).

이 서비스는, 예를 들면, 메시지로서 사용자에게 식별 코드(예컨대, PIN(Personal Identification Number) 코드)의 입력을 요청하고 터치 스크린(50)의 가상 키보드에 의해 사용자에 의한 코드 입력을 기다려 대기하도록 요청하는 메시지의 터치스크린(50) 상의 디스플레이에 대응한다.

변형 예로서, 그것은 사용자에게 심볼들 또는 이미지들을 임의의 특정 순서로 식별하도록 요청하거나, 또는 사용자의 지문을 검출하기 위하여 사용자의 손가락을 터치스크린(50) 상의 주어진 위치에 놓도록 요청하는 메시지의 터치스크린(50) 상의 디스플레이를 수반할 수 있다.

이 예들에서, 식별 코드, 식별된 심볼(또는 이미지) 및 지문은 각각 사용자 인증 정보를 형성한다.

일반적으로, 사용자 식별 데이터는 입력 주변 장치(키보드, 터치스크린, 생체인식 센서 등)를 통해 신뢰 운영 체계(30)에 의해 수신된다.

그 다음에, 신뢰 운영 체계(30)는 요청된 서비스(34)를 개시한다(단계 E17). 이 서비스(34)는 MMI의 보안 관리 모듈(32)을 호출하며(단계 E18), 보안 관리 모듈(32)은 단계 E19 동안, 터치스크린(50) 상에 요청된 디스플레이(즉, 위의 예들에서, 인증 코드의 입력을 요청하는 메시지의 디스플레이, 또는 손가락의 배치를 요청하는 메시지의 디스플레이)를 명령한다. MMI의 이러한 보안 관리 모듈(32)은 도 1에 나타난 바와 같이, 신뢰 운영 체계(30)의 일부분을 형성한다.

변형 예로서, 터치 스크린(50)상의 디스플레이를 요청하기 위해 보안 관리 모듈(32)에 직접 자신을 어드레싱하는 애플릿(42)으로서, 보안 전자 엔티티(40)의 프로세서에 의해 실행되는 애플릿(42)이 제공될 수 있다.

사용자 인터페이스(50)의 수단(여기서는 터치 스크린)으로 사용자로부터 얻어진 식별 및 인증 정보는 MMI의 보안 관리 모듈(32)의 레벨에서 결정되고(단계 E20), 그리고 나서 임의로 신뢰 운영 체계(30)를 통해 애플릿(42)에 송신된다(단계들(E21 및 E22)).

그 다음에, 애플릿(42)은 (예를 들어, 보안 전자 엔티티(40) 내에 저장된 정보와 비교함으로써,) 수신된 식별 또는 인증 정보가 실제로 사용자와 관련된 것임을 검증할 수 있다.

애플릿(42)이 상기 수신된 식별 또는 인증 정보와 저장된 정보 사이의 대응관계를 검증하면, 애플릿(42)은 단계 E23에서, 인증 메시지를 (예를 들어, 이 메시지를 보안 전자 엔티티(40)에 저장된 암호화 키를 써서 서명함으로써) 준비하고 그리고 이 인증 메시지를 전자 디바이스(10)에 의해 수행되는 신뢰 운영 체계(30)에 디스패치한다. (그 대응관계가 검증되지 않으면, 예를 들어, 인증 메시지 대신에 에러 메시지를 반환하는 애플릿(42)이 제공될 수 있다.)

그 다음에, 신뢰 운영 체계(30)는 인증 메시지를 전용 모듈(26)에 송신한다(단계 E24). 따라서, 인증 메시지는 사용자가 요청한 기능의 실제 수행을 - 여기서는 단계 E3에서 사용자에 의해 개시된 지불의 검증을 - 원격 서버(60)에 알리기 위해 단계 E26 동안에 원격 서버(60)에 송신되도록 브라우저(24)에 의해 다시 사용된다(단계 E25).

위에 설명된 방법에서, 사용자의 식별 또는 인증 프로세스의 모든 단계들이 신뢰 운영 체계(30)와 보안 전자 엔티티(40)의 협력을 통해 수행됨을 주목해야 한다. 더욱이, 식별 또는 인증 프로세스는 보안 전자 엔티티(40)의 프로세서에 의해 실행되는 애플릿(42)의 주도(initiative)로 수행되며, 보안 전자 엔티티(40)의 보안 레벨은 신뢰 운영 체계(30)에 의해 보장되는 것보다 훨씬 더 높다. 따라서, 그것은 공격자가 사용자 인증 정보를 얻으려고 시도할 때 사용하는 악성 프로그램(또는 악성 코드(malware))에 의해서는 식별 또는 인증 프로세스가 수행되지 않음을 보장한다.

그러므로, 신뢰 운영 체계(30)의 역할은 보안 전자 엔티티(40)와의 데이터 교환으로 제한되고, 그리고 보안 전자 엔티티(40)의 요청시에 (특히, 터치 스크린(50)과 같은 전자 디바이스(10)의 주변 장치들에의 액세스를 목적으로 하는) 서비스들의 제공으로 제한되지만; 여기서는 기능성의 진행(예컨대, 거래의 진행)을 조종하지 않으며, 이 조종은 보안 전자 엔티티(40)가 담당한다.

도 3은 본 발명의 교시에 따른, 도 1의 형태의 시스템에서 데이터를 교환하는 제2 예시적인 방법을 보여준다.

이 방법은 단계 E100에서 사용자에 의한 온라인 쇼핑 애플리케이션의 개시로 시작하는데, 예를 들면 터치 스크린(50)에서 이 쇼핑 애플리케이션과 관련된 아이콘을 선택하여 시작된다. 온라인 쇼핑 애플리케이션은 범용 운영 체계(20)에 의해 생성된 환경에서 실행된다. 그러므로, 온라인 쇼핑 애플리케이션은 특히, 범용 운영 체계(20)에 의해 제공되는 서비스들을 호출한다.

그 다음에, 온라인 쇼핑 애플리케이션은 단계 E101에서, (예를 들면, 범용 운영 체계(20)의 전용 서비스를 호출하여, 그리고 도 1의 화살표 A로 표시된 통신 수단을 통해,) 원격 서버(60)에 저장된 원격 콘텐츠에 액세스한다. 이 원격 콘텐츠는 예를 들어, 사용자가 터치 스크린(50)에서 제품의 이미지 옆에 디스플레이된 아이콘을 터치하여, 예를 들어 그가 구매하고자 하는 제품을 선택할 수 있도록, 터치스크린(50)에 디스플레이된다(디스플레이 단계는 도 3에는 도시되지 않음).

제품이 사용자에 의해 일단 선택되면(선택 단계는 도 3에 도시되지 않음), 사용자는 예를 들어, 터치 스크린(50)에 디스플레이된 가상 지불 버튼을 터치함으로써, 터치 스크린(50)에서 특정 액션으로 선택된 제품의 지불을 개시한다(단계 E102).

범용 운영 체계(20)는 이 단계 E102에 의해, 지불의 개시(실제로는 사용자가 그의 손가락을 가상 지불 버튼의 디스플레이의 위치에 갖다 놓았다는 점)에 관한 정보의 아이템를 수신하고, 그 다음에 단계 E103에서, 보안 전자 엔티티(40) 내에 저장된 지불 애플리케이션의 개시(즉, 보안 전자 엔티티의 프로세서에 의한 실행)를 명령한다.

보안 전자 엔티티(40)의 프로세서에 의해 실행된 지불 애플리케이션은 사용자를 인증하기 위한 프로세스를 설정한다.

따라서, 보안 전자 엔티티(40)에서 실행된 지불 애플리케이션은 단계 E104에서 신뢰 운영 체계(30)의 서비스의 수행을 요청한다. 이 서비스는 후자(latter)가 사용자 인터페이스(50)(여기서는 터치 스크린)의 입력 주변 장치에 의해, 인증 정보, 예컨대 위에서 설명한 바와 같은, 패스워드, 개인 코드(PIN 코드), 또는 지문과 같은 생체인식 정보를 제공함을 사용자로부터 획득하는 것을 목적으로 한다.

이 서비스는 예를 들어, 사용자를 대상으로 한 표시 또는 메시지를 터치 스크린(50)에 디스플레이하도록 명령하여, 필요한 인증 정보를 제공할 것을 사용자에게 요청한다(도 3에는 디스플레이 단계가 도시되지 않음).

그 다음에 사용자는 (터치 스크린(50) 상에서의 액션에 의해) 필요한 인증 정보를 제공할 수 있으며, 이에 따라 이 인증 정보는 단계 E105에서 신뢰 운영 체계(30)에 송신된다.

그 다음에 신뢰 운영 체계(30)는 단계 E106에서 이 인증 정보를 보안 전자 엔티티(40)에 송신하고, 이에 따라 보안 전자 엔티티(40)는, 예를 들어 보안 전자 엔티티(40)에 저장된 해당 데이터와 비교하여, 이 인증 정보를 검증할 수 있게 된다.

보안 전자 엔티티(40)가 사용자로부터 얻어진 인증 정보가 부정확하다고 검출하면, 지불은 완료되지 않고, 보안 전자 엔티티(40)는 범용 운영 체계(20)에 예컨대 에러 메시지를 반환한다(이 단계는 도 3에 도시되지 않음).

한편, 보안 전자 엔티티(40)가 사용자로부터 얻어진 인증 정보가 정확하다고 검증하면, 보안 전자 엔티티(40)는 거래를 승인하는 메시지(예를 들면, 보안 전자 엔티티(40)에 저장된 암호화 키에 의해 서명된 메시지)를 준비하고, 단계 E107에서, 범용 운영 체계(20)의 범위 내에서 실행된 온라인 쇼핑 애플리케이션을 위한 이 인증 메시지를 디스패치한다.

단계들(E104 내지 E106)의 코스에서 신뢰 운영 체계(30)를 사용함으로써, 신뢰 운영 체계(30)에 의해 만들어진 신뢰 실행 환경(TEE)의 범위 내에서 보안 전자 엔티티(40)가 전자 디바이스(10)의 리소스들(여기서 터치 스크린(50))을 사용할 수 있다는 점이 주목된다. 그러므로, 전자 디바이스(10)의 이 리소스들에 의해 얻어진 정보(여기서는 인증 정보)는 보안 전자 엔티티(40) 내에서 실행된 애플리케이션(여기서는 지불 애플리케이션)에 의해 사용될 수 있을 것이다.

인증 메시지를 수신한 후(위에 기재된 단계 E107), 온라인 쇼핑 애플리케이션은 단계 E108에서, 은행 서버(70)와 데이터를 교환함으로써, 특히 (예를 들어, 이미 지적된 바와 같이 보안 전자 엔티티(40)에 의해 서명된) 인증 메시지를 은행 서버(70)에 송신함으로써, 은행에 의해 지불을 트리거한다.

거래가 이전 단계들에 의해 적절히 진행되었을 때, 온라인 쇼핑 애플리케이션은 예를 들어, 범용 운영 체계(20)의 전용 서비스들을 호출하여 사용자를 위한 시각적 확인물(visual confirmation)을 터치 스크린(50)에 디스플레이할 것을 명령한다(단계 E109).

도 4는 본 발명이 구현될 수 있는 또 하나의 예시적인 시스템을 보여준다.

이 다른 시스템은 전자 디바이스(80)(여기서는 스마트 폰과 같은 터미널) 및, 예를 들어 보안 영역에 액세스하기 위한 턴스타일(turnstile)에 적합한, 판독기(90)를 포함한다. 턴스타일의 통과가 허용되기 위해, 사용자는 인증 데이터를 포함하는 전자 디바이스, 예를 들면 전자 디바이스(80)를 판독기(90)의 앞에 제시해야 한다.

전자 디바이스(80)는 제어 모듈(82), 통신 모듈(88) 및 인간-기계 인터페이스(84), 예를 들면 터치 스크린을 포함한다.

제어 모듈(82)은 프로세서 및 메모리들(예를 들면, RAM, ROM 및 재기록 가능 비휘발성 메모리)을 포함하며 전자 디바이스의 주요 기능들을 관리한다. 특히, 제어 모듈(82)은 인간-기계 인터페이스(84)를 관리한다: 제어 모듈(82)은 터치 스크린(84)상에 디스플레이 명령어들을 디스패치하고 터치 스크린(84)으로부터의 정보, 특히 사용자의 특정 지시로서 해석될 수 있는 (터치 스크린(84)상에 위치되는 디스플레이, 예를 들면 가상 버튼의 디스플레이에 의존하는) 터치 스크린(84) 상의 사용자 손가락들의 위치를 수신할 수 있다.

제어 모듈(82)은 신뢰 운영 체계를 기반으로 하여 동작할 수 있으며(즉, 제어 모듈의 동작의 기본 기능들은 제어 모듈(82)의 프로세서상에서의 신뢰 운영 체계의 실행에 의해 달성되며), 이는 신뢰 실행 환경 또는 TEE를 만들 수 있다.

선택적으로, 제어 모듈(82)은 또한 도 1과 관련하여 위에서 설명한 바와 같이, 범용 운영 체계를 기반으로 하여 동작할 수 있다.

통신 모듈(88)은 안테나(89)에 연결되며 그래서 판독기(90)와의 접촉 없이 단거리 통신을 셋업한다. 통신 모듈(88)은 예를 들면 CLF("Contactless Frontend"의 약칭)형이며, 예를 들면 NFC("Near Field Communication"의 약칭)형의 구성을 가능케 한다. 이러한 통신 모듈(88)은 프로세서를 포함하고 그리고 선택적으로 메모리들, 예를 들면 RAM 및 비휘발성 재기록 가능 메모리를 포함한다.

제어 모듈(82) 및 통신 모듈(88)은 예를 들면 직렬(serial) 링크 또는 버스에 연결된다.

전자 디바이스(80)는 또한 보안 집적 회로(또는 "Secure Element"의 약칭, SE)와 같은 보안 전자 엔티티(86)을 포함하며, 여기서는 전자 디바이스(80)의 인쇄 회로에 솔더링된 보안 집적 회로(또는 "embedded Secure Element"의 약칭, eSE)를 포함한다. 변형 예에서, 그것은 전자 디바이스에 수용되는 스마트 카드(또는 "Universal Integrated Circuit Card"의 약칭, UICC)일 수 있다.

보안 전자 엔티티(86)는 여기서 (예를 들면, SWP("Single Wire Protocol"의 약칭) 또는 I2C("Inter Integrated Circuit"의 약칭)형의 프로토콜에 의해) 통신 모듈(88)과 제어 모듈(82)에 연결된다.

보안 전자 엔티티(86)는 프로세서, 및 RAM 및 비휘발성 재기록가능 메모리와 같은 메모리를 포함한다. 비휘발성 재기록 가능 메모리는 보안 전자 엔티티(86)가 아래에 설명하는 바와 같이, 판독기(90)에 의해 예상 인증 데이터를 생성할 수 있게 하는 (예를 들면 암호화된) 데이터 또는 (위에서 나타낸 바와 같이 턴스타일을 통한 사용자의 통과를 가능케 하는) 인증 데이터를 저장한다.

판독기(90)는 안테나(91)에 연결된 프로세서(92)를 포함한다.

전자 디바이스와 판독기가 충분히 가까이 있을 때(예를 들면, 전자 디바이스들의 각 안테나들(89, 91)이 5cm보다 짧은 거리에 있을 때), 전자 디바이스(80)의 안테나(89)가 안테나(91)를 통해 판독기(90)에 의해 발생된 자기장에 영향을 받으며, 그것이 예를 들면 ISO/IEC 표준 14443에 따라 판독기(90)의 프로세서(92)와 통신 모듈(88)의 프로세서 사이의 데이터 교환을 가능케 한다.

도 5는 도 4의 시스템의 요소들 사이에서 데이터를 교환하는 예시적인 방법을 보여준다.

사용자가 이 터미널(80)을 턴스타일에 설치된 판독기(90)에 가까이 가져감에 따라, 방금 나타난 바와 같이 통신 모듈(88)과 판독기(90)의 프로세서(92) 사이의 통신 세션을 설정하게 됨이 고려된다.

세션 초기화 단계들(도시되지 아니함) 이후에, 단계 E202에서 판독기(90)의 프로세서(92)는 명령어를 통신 모듈(88)에 송신하여, (예컨대 SELECT AID 유형의) 이 명령어는 보안 전자 엔티티(86)의 애플릿을 지정한다.

통신 모듈(88)은 단계 E203에서 상기 명령어를 보안 전자 엔티티(86)로 송신하여, 보안 전자 엔티티(86) 내에서 지정된 애플릿의 실행을 가능케 한다. 모든 차후의 명령어들은 선택된 애플릿에 송신될 것이다.

인증 데이터를 준비하기 전에, 보안 전자 엔티티(86)는 전자 디바이스(80)의 사용자를 인증하기 위해 프로세스를 조종할 것이다.

따라서, 애플릿의 실행으로 인해, 보안 전자 엔티티(86)는 단계 E204에서, 제어 모듈(82)의 프로세서에 의해 실행된 신뢰 운영 체계를 위한 명령어를 디스패치하며, 이에 따라 사용자는 생체인식 센서와 같은 전자 디바이스의 터치 스크린(84)이나 다른 입-출력 장치의 레벨의 인증 정보를 발생시켜 자기 자신을 인증할 수 있다. 인증 정보는 터치 스크린(84)에 제공된 가상 키보드로 사용자에 의해 입력된 예를 들면 패스워드 또는 식별 코드(PIN 코드)인데; 변형 예로서, 그것은 터치 스크린(84)이나 상기 생체인식 센서에 의해 얻어진 생체인식 데이터를 수반(entail)할 수 있다.

사용자에 의해 제공된 인증 정보는 단계 E205 동안, 터치 스크린(84)(또는 변형예로서의 다른 입-출력 장치)으로부터, 제어 모듈(82)의 프로세서에서 실행되는 신뢰 운영 체계로 송신된다.

그 다음에, 인증 정보는 신뢰 운영 체계로부터 보안 전자 엔티티(86)로 송신된다(단계 E206).

그 다음에, 보안 전자 엔티티(86)는 인증 정보가 실제로 사용자의 정보에 해당하는지를 확인하고, 긍정이면 인증 데이터를 준비한다. (부정이면, 당연히 프로세스는 인증 데이터를 준비하지 않음으로써 사용자의 액세스를 허용하지 않고 종료된다.)

이미 나타난 바와 같이, 이들 인증 데이터는 보안 전자 엔티티(86)의 비휘발성 메모리에 저장된 데이터일 수 있거나, 또는 예를 들면, 예를 들어 시도-응답 방식(challenge-response technique)에 따라, 보안 전자 엔티티(86)의 비휘발성 메모리에 저장된 암호화 키를 판독기로부터 수신된(예를 들어 단계 E202의 명령어에 추가된) 데이터에 인가함으로써, 보안 전자 엔티티(86)가 얻은 데이터일 수 있다.

그 다음에, 보안 전자 엔티티(86)는 준비된 인증 데이터를 통신 모듈(88)에 통신할 수 있으며(단계 E207), 통신 모듈(88)은 이들 인증 데이터를 판독기(90)의 프로세서(92)에 송신한다(단계 E208).

수신된 인증 데이터를 기반으로 하여, 판독기(90)의 프로세서(92)는 턴스타일의 회전을 해제(release)하여 사용자에 대한 액세스를 허용한다.

Claims (14)

1. 제1 프로세서와, 제2 프로세서를 구비한 보안 전자 엔티티(40, 86)를, 포함하는 전자 디바이스(10, 80)로서,
   상기 전자 디바이스(10, 80)는 신뢰 운영 체계(30)의 상기 제1 프로세서에 의한 실행에 의해 동작하도록 설계되고,
   상기 보안 전자 엔티티(40, 86)의 외부에 위치하고 상기 신뢰 운영 체계(30)와는 별개인 요소(20, 88)가 상기 제2 프로세서에 의한 애플리케이션(42)의 실행을 트리거하도록 설계되고, 그리고 상기 제2 프로세서에 의해 실행된 상기 애플리케이션(42)이 상기 신뢰 운영 체계(30)의 서비스의 수행을 요청하도록 설계되는 것을 특징으로 하는, 전자 디바이스.
2. 제 1 항에 있어서,
   상기 별개 요소는 상기 전자 디바이스 내에서 구현되는 범용 운영 체계(20)인 것을 특징으로 하는, 전자 디바이스.
3. 제 2 항에 있어서,
   상기 범용 운영 체계(20)는 상기 제1 프로세서에 의해 실행되도록 설계되는 것을 특징으로 하는, 전자 디바이스.
4. 제 3 항에 있어서,
   상기 범용 운영 체계(20)에 기초한 동작과 상기 신뢰 운영 체계(30)에 기초한 동작 사이에 동작을 토글링(toggling)하는 수단을 포함하는 전자 디바이스.
5. 제 2 항에 있어서,
   상기 전자 디바이스는 제3 프로세서를 포함하며, 상기 범용 운영 체계(20)는 상기 제3 프로세서에 의해 실행되도록 설계되는, 전자 디바이스.
6. 제 1 항에 있어서,
   상기 별개 요소는 상기 전자 디바이스(80)의 통신 모듈(88)인 것을 특징으로 하는, 전자 디바이스.
7. 제 1 항 내지 제 6 항 중 어느 한 항에 있어서,
   상기 별개 요소(20, 88)는 상기 애플리케이션(42)의 실행의 상기 트리거에 관하여 상기 제2 프로세서에 직접 명령하도록 설계되는, 전자 디바이스.
8. 제 1 항 내지 제 6 항 중 어느 한 항에 있어서,
   상기 별개 요소(20)는 상기 신뢰 운영 체계(30)를 위한 상기 애플리케이션의 실행을 트리거할 명령어를 발행하도록 설계되며, 상기 신뢰 운영 체계(30)는 상기 제2 프로세서에 의한 상기 애플리케이션(42)의 실행을 명령하도록 설계되는, 전자 디바이스.
9. 제 4 항에 있어서,
   상기 별개 요소(20)는 상기 신뢰 운영 체계(30)를 위한 상기 애플리케이션의 실행을 트리거할 명령어를 발행하도록 설계되며, 상기 신뢰 운영 체계(30)는 상기 제2 프로세서에 의한 상기 애플리케이션(42)의 실행을 명령하도록 설계되고; 그리고
   상기 토글링 수단은 상기 트리거 명령어의 발행시, 상기 범용 운영 체계(20)에 기초한 동작으로부터 상기 신뢰 운영 체계(30)에 기초한 동작으로 토글링하도록 설계되는, 전자 디바이스.
10. 제 1 항 내지 제 6 항 중 어느 한 항에 있어서,
    상기 서비스는 상기 전자 디바이스(10, 80)의 주변 장치(50, 84)의 기능성의 구현을 포함하는, 전자 디바이스.
11. 제 10 항에 있어서,
    상기 주변 장치는 상기 전자 디바이스(10, 80)의 인간-기계 인터페이스(50, 84)인 것을 특징으로 하는, 전자 디바이스.
12. 제 1 항 내지 제 6 항 중 어느 한 항에 있어서,
    상기 서비스는 상기 전자 디바이스(10, 80)의 인간-기계 인터페이스(50, 84)에 관한 정보의 피드백을 포함하는, 전자 디바이스.
13. 제 1 항 내지 제 6 항 중 어느 한 항에 있어서,
    상기 서비스는 상기 사용자를 확인하기 위한 정보의 아이템 수신을 포함하는, 전자 디바이스.
14. 제1 프로세서와, 제2 프로세서를 구비한 보안 전자 엔티티(40, 86)를, 포함하는 전자 디바이스(10, 80)에서 수행되는 방법으로서,
    상기 전자 디바이스(10, 80)는 신뢰 운영 체계(30)의 상기 제1 프로세서에 의한 실행에 의해 동작하도록 설계되고; 그리고
    상기 보안 전자 엔티티(40, 86)의 외부에 위치하고 상기 신뢰 운영 체계(30)와는 별개인 요소에 의해, 상기 제2 프로세서에 의한 애플리케이션(42)의 실행을 트리거하는 단계, 및
    상기 제2 프로세서에 의해 실행된 상기 애플리케이션(42)에 의해, 상기 신뢰 운영 체계(30)의 서비스의 수행을 요청하는 단계를 포함하는 방법.

Images