WO2012171285A1 - 一种终端与智能卡双向认证的方法、协议及智能卡 - Google Patents

一种终端与智能卡双向认证的方法、协议及智能卡 Download PDF

Info

Publication number
WO2012171285A1
WO2012171285A1 PCT/CN2011/080792 CN2011080792W WO2012171285A1 WO 2012171285 A1 WO2012171285 A1 WO 2012171285A1 CN 2011080792 W CN2011080792 W CN 2011080792W WO 2012171285 A1 WO2012171285 A1 WO 2012171285A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
smart card
authentication
algorithm
way
Prior art date
Application number
PCT/CN2011/080792
Other languages
English (en)
French (fr)
Inventor
吴传喜
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012171285A1 publication Critical patent/WO2012171285A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method, a protocol, and a smart card for mutual authentication of a terminal and a smart card.
  • the Internet of Things has been regarded as one of the key technologies for coping with the economic crisis and revitalizing the economy.
  • the IoT business can be widely applied to many industries, such as vehicles, electricity, finance, environmental protection, petroleum, personal and corporate security, hydrology, military, fire, weather, coal, agriculture, forestry, elevators, etc.
  • industries such as vehicles, electricity, finance, environmental protection, petroleum, personal and corporate security, hydrology, military, fire, weather, coal, agriculture, forestry, elevators, etc.
  • the Internet of Things business will quickly enter many industries, and its number of users will also grow rapidly. It is estimated that by the end of 2012, the number of Internet of Things users based on mobile cellular communication technology in China will reach 30-40 million.
  • IoT applications will become one of the core applications of Long Term Evolution (LTE) technology in a few years, and have broad development prospects.
  • LTE Long Term Evolution
  • the IoT service many services require high security of the device devices of the terminal and the smart card, for example: environmental monitoring, by deploying various environmental monitoring devices in the cell, for monitoring the environmental quality of the community, including Community pollutants, noise, garbage, sewage, etc., to create a quiet, healthy and harmonious living environment for the residents of the community; and community security, because personal safety and property safety are the top priority of the community residents, the community needs to install video surveillance equipment , anti-theft alarm equipment, home security equipment, home video intercom, building access control, etc., and realize the information of the owners, property, security, neighborhood committee, public security bureau to jointly build a harmonious and safe living environment; In addition, it also includes intelligence In applications such as home, coal mine safety production and monitoring, and medical health, the requirements for application safety management are also very high.
  • the technical problem to be solved by the present invention is to provide a method, a protocol and a smart card for mutual authentication of a terminal and a smart card, which ensure higher security of the terminal and the smart card when applied.
  • the present invention provides a method for bidirectional authentication between a terminal and a smart card, and the method includes:
  • the smart card determines whether the terminal supports the two-way authentication function according to the bidirectional authentication indication information of the terminal. If supported, initiates a two-way authentication process with the terminal.
  • the two-way authentication indication information is included in a terminal configuration (TERMINAL PROFILE) instruction sent by the terminal to the smart card.
  • TERMINAL PROFILE terminal configuration
  • the method further includes: the terminal sending a two-way authentication indication bit to the smart card by using a reserved field or a reserved bit in the extended TERMINAL PROFILE instruction, where the two-way authentication indication bit is used to indicate Whether the terminal supports the two-way authentication function.
  • the invention also provides a method for mutual authentication of a terminal and a smart card, comprising:
  • the smart card determines that the terminal supports the two-way authentication function, the smart card initiates a two-way authentication process with the terminal;
  • the smart card obtains the smart card side authentication result according to the authentication information using the algorithm 1 and encrypts the smart card side authentication result by using the algorithm 2, and sends the authentication information and the encrypted smart card side authentication result to the terminal;
  • the terminal obtains the terminal side authentication result according to the authentication information sent by the smart card, and decrypts the encrypted smart card side authentication result by using the third algorithm, and decrypts the obtained smart card side authentication result with the
  • the terminal side authentication result is compared, if yes, the terminal side authentication result is sent to the smart card; if not, the two-way authentication fails, and the current two-way authentication process is ended; the smart card will receive The terminal side authentication result is compared with the obtained smart card side authentication result. If they are consistent, the two-way authentication is determined to be successful; if not, the two-way authentication is determined to be unsuccessful, and the two-way authentication process is terminated; wherein the algorithm 3 is The inverse of the algorithm two.
  • the method further includes: the terminal sending a two-way authentication indication bit to the smart card by using a reserved field or a reserved bit in the extended TERMINAL PROFILE instruction, where the two-way authentication indication bit is used to indicate Whether the terminal supports the two-way authentication function.
  • the method further includes: after the smart card determines that the two-way authentication fails, the terminal is set to a card lock state or a two-way authentication fail state, and the authentication information of the smart card is changed to invalid information.
  • the algorithm 1 and the algorithm 2 include but are not limited to one of the following algorithms or any combination thereof:
  • Data encryption algorithm 3 data encryption algorithm, hash algorithm, International Mobile Subscriber Identity (IMSI) authentication algorithm A3, RSA algorithm and error checking, correction algorithm, encryption key generation algorithm A5, user key generation algorithm A8.
  • IMSI International Mobile Subscriber Identity
  • the method further includes:
  • an instruction to obtain an input (Get input) is sent to the terminal to notify the terminal to obtain the authentication information.
  • the method further includes:
  • the terminal After receiving the Get input command, the terminal sends a Fetch instruction to the smart card, and requests the smart card to send a smart card side authentication result.
  • the method further includes:
  • the card is activated. . , ', .
  • the present invention also provides an authentication protocol for mutual authentication of a terminal and a smart card, where the authentication protocol includes:
  • the smart card obtains the smart card side authentication result according to the authentication information using the algorithm 1 and encrypts the smart card side authentication result by using the algorithm 2, and sends the authentication information and the encrypted smart card side authentication result to the terminal;
  • the terminal obtains the terminal side authentication result according to the authentication information sent by the smart card, and decrypts the encrypted smart card side authentication result by using the third algorithm, and decrypts the obtained smart card side authentication result with the The terminal side authentication result is compared. If the result is the same, the terminal side authentication result is sent to the smart card. If not, the authentication fails, and the current two-way authentication process is ended.
  • the smart card compares the received terminal side authentication result with the obtained smart card side authentication result, and if they are consistent, determines that the two-way authentication is successful;
  • the algorithm 3 is an inverse operation of the algorithm 2.
  • the algorithm 1 and the algorithm 2 include but are not limited to one of the following algorithms or any combination thereof:
  • Data encryption algorithm 3 data encryption algorithm, hash algorithm, IMSI authentication algorithm A3, RSA algorithm and error checking, correction algorithm, encryption key generation algorithm A5, user key generation algorithm A8.
  • the present invention further provides a smart card supporting two-way authentication, the smart card includes a two-way authentication device, and the two-way authentication device includes a two-way authentication function identification module and a two-way authentication processing module.
  • the two-way authentication function identification module is configured to: determine, according to the bidirectional authentication indication information of the terminal, whether the terminal supports the two-way authentication function;
  • the two-way authentication processing module is configured to: when the two-way authentication function identification module determines that the terminal supports the two-way authentication function, initiate a two-way authentication process with the terminal.
  • the two-way authentication function identification module is configured to: send according to the terminal
  • the two-way authentication indication bit included in the TERMINAL PROFILE command determines whether the terminal supports the two-way authentication function.
  • the two-way authentication device further includes an information transceiver module and an authentication result implementation module, where:
  • the information transceiver module is configured to: receive the terminal side authentication result sent by the terminal; and send the authentication information and the smart card side authentication result to the terminal;
  • the authentication result implementation module is configured to: when the two-way authentication passes, the terminal and the smart card are set to a machine card authentication pass state or a two-way authentication pass state; when the two-way authentication is not When passing, the terminal is set to a card lock state or a two-way authentication fail state, and the authentication information of the smart card is modified to invalid information.
  • the two-way authentication processing module is configured to: initiate a two-way authentication process with the terminal by sending an allow authentication command to the terminal by using a command status word.
  • the information transceiver module is further configured to: notify the terminal to obtain the authentication information by sending a Get input command to the terminal.
  • the security of the terminal and the smart card are ensured.
  • the terminal uses the forged smart card, the terminal is locked, and the security of the terminal is ensured.
  • the terminal cannot be logged into the network, and the terminal is in use.
  • the terminal can be locked in time, which truly guarantees the specificity and security of the terminal and smart card for the IoT business.
  • the above scheme has the advantages of high security, easy implementation, and is very easy to promote.
  • FIG. 3 is a schematic diagram of a two-way authentication process of a two-way authentication protocol according to an embodiment of the present invention
  • FIG. 4 is a general flowchart of a two-way authentication protocol according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of successful bidirectional authentication between a terminal and a smart card according to Embodiment 1 of the present invention
  • FIG. 6 is a schematic diagram of successful bidirectional authentication between a terminal and a smart card according to Embodiment 2 of the present invention
  • FIG. 7 is not supported by the terminal according to Embodiment 3 of the present invention
  • Schematic diagram of the authentication process for the Profile download process Preferred embodiment of the invention Embodiments of the present invention will be described in detail below with reference to the accompanying drawings. It should be noted that, in the case of no conflict, the features in the embodiments and the embodiments in the present application may be arbitrarily combined with each other.
  • the implementation of the present invention provides a method for mutual authentication between the terminal and the smart card, and implements application security management of the smart card.
  • the 8 bytes of the first byte (Download) of the first byte of TERMINAL PROFILE, b 1, b2, b3, b4, b5, b6, b7, B8 respectively indicates: whether the terminal supports the profile download function; whether the terminal supports the SMS-PP data download function; whether the terminal supports the cell broadcast data download function; whether the terminal supports menu selection ( Menu selection ) Function; Whether the terminal supports the '9EXX' SIM code download error response function; Whether the terminal supports the timer expiration function; Whether the terminal supports unstructured supplementary data service characters
  • the embodiment of the present invention proposes a two-way authentication method based on the extended TERMINAL PROFILE instruction, which uses the following technical solution: by extending the unused bytes in the TERMINAL PROFILE instruction as a mutual authentication indication bit, which is used to implement the terminal and the smart card.
  • Two-way verification That is, using the ith bit of a byte (i is greater than or equal to 1 and less than 8) indicates support for bidirectional Certification. For example, the first bit of a byte indicates whether the two-way authentication function is supported, as shown in Figure 1.
  • the terminal sends a TERMINAL PROFILE command to the smart card; the smart card processes the TERMINAL PROFILE command sent by the terminal, and if the corresponding supported two-way authentication indicator bit is 1, the two-way authentication of the smart card and the terminal is started.
  • the two-way authentication indication information may be sent to the smart card by the terminal to inform the smart card terminal whether the bidirectional authentication function is supported.
  • Step 301 the smart card is reset.
  • Step 302 The terminal sends a TERMINAL PROFILE command to the smart card.
  • Step 303 The smart card processing terminal sends a TERMINAL PROFILE command. If the corresponding supported two-way authentication bit is 1, the process proceeds to step 304. If not, the process proceeds to step 305.
  • Step 304 Perform two-way authentication of the smart card and the terminal.
  • Step 305 using other authentication methods.
  • Step 306 The mobile terminal and the smart card are authenticated in both directions. If yes, step 307 is performed. If not, step 308 is performed.
  • Step 307 the mobile terminal and the smart card can be used normally, and the subsequent process is continued.
  • Step 308 The set terminal is in an abnormal use state (such as locking the terminal, the terminal is invalid, etc.), and the authentication information of the smart card is set to invalid information (such as changing the smart card IMSI to blank, random number, error information, etc.).
  • an abnormal use state such as locking the terminal, the terminal is invalid, etc.
  • the authentication information of the smart card is set to invalid information (such as changing the smart card IMSI to blank, random number, error information, etc.).
  • an embodiment of the present invention further provides an authentication protocol for supporting two-way authentication of a mobile terminal and a smart card.
  • the authentication protocol is as follows:
  • Step 401 The smart card sends an allow authentication command to the terminal, and the carrying parameters include: a random number, One or more of the IMSL user authentication key, other information stored in the smart card, and so on.
  • the algorithm 1 and the algorithm 2 are respectively stored in the smart card and the terminal, and the inverse algorithm 3 of the algorithm 2 is additionally stored in the terminal.
  • the algorithm 1 is used to obtain the authentication result according to the authentication information
  • the algorithm 2 is used to encrypt the authentication result
  • the algorithm 3 is used to The result of Algorithm 2 is decrypted;
  • the smart card obtains the smart card side operation result according to the agreed algorithm one. It is encrypted by Algorithm 2 and transmitted to the terminal.
  • Step 402 The terminal performs the decryption process of the algorithm 2 on the encrypted operation result transmitted by the smart card, and obtains the operation result of the smart card, and the terminal performs the operation according to the information sent by the smart card, and obtains the terminal side operation result.
  • Step 403 If the terminal side operation result is consistent with the decrypted smart card operation result, step 404 is performed; if not, step 405 is performed.
  • Step 404 The terminal side transmits its own operation result to the smart card, and performs step 406.
  • step 405 the set terminal is in the locked state of the card (such as locking the terminal, the terminal is invalid, etc.), and the authentication information of the smart card is modified to be invalid information (such as blank, random number, error information, etc.), and step 408 is performed.
  • Step 406 After obtaining the operation result of the terminal, the smart card compares with the result obtained by the self operation, and if yes, performs step 407; if not, performs step 408.
  • Step 407 The authentication succeeds, and the two-way authentication is determined to pass.
  • Step 408 The authentication fails, and it is determined that the mutual authentication fails.
  • the above algorithm 1 and algorithm 2 can use various algorithms currently known, including but not limited to the following symmetric or asymmetric algorithms: data encryption algorithm (DES), triple data encryption algorithm (3DES), hash algorithm ( HASH), IMSI authentication algorithm A3, RSA algorithm and error checking and correction algorithm (ECC), encryption key generation algorithm A5, user key generation algorithm A8 and the combination between them (that is, after using one of the algorithms first, after operation) The result will be calculated by another algorithm, and so on.
  • DES data encryption algorithm
  • 3DES triple data encryption algorithm
  • HASH hash algorithm
  • ECC error checking and correction algorithm
  • encryption key generation algorithm A5 user key generation algorithm A8 and the combination between them (that is, after using one of the algorithms first, after operation)
  • the result will be calculated by another algorithm, and so on.
  • an embodiment of the present invention provides a smart card supporting two-way authentication of a mobile terminal and a smart card, the smart card including a two-way authentication device having an extended TERMINAL PROFILE instruction, and bytes not used in the TERMINAL PROFILE instruction are made corresponding to the terminal and the smart card.
  • the two-way authentication function, the two-way authentication device includes the following functional modules:
  • the two-way authentication function identification module is configured to determine, according to the bidirectional authentication indication information of the terminal, whether the terminal supports the two-way authentication function;
  • the two-way authentication processing module is configured to initiate a two-way authentication process with the terminal when the two-way authentication function identification module determines that the terminal supports the two-way authentication function.
  • the two-way authentication function identification module is configured to determine whether the terminal supports the two-way authentication function according to the bidirectional authentication indication bit included in the TERMINAL PROFILE command sent by the terminal.
  • the two-way authentication device further includes an information transceiver module and an authentication result implementation module, wherein: the information transceiver module is configured to: receive the relevant authentication result sent by the terminal (such as the terminal side authentication result); and send the relevant authentication information to the terminal and Certification results (such as authentication parameters, terminal side authentication results, etc.);
  • the information transceiver module is configured to: receive the relevant authentication result sent by the terminal (such as the terminal side authentication result); and send the relevant authentication information to the terminal and Certification results (such as authentication parameters, terminal side authentication results, etc.);
  • the authentication result implementation module is configured to set the terminal and the smart card to the machine card authentication pass state or the two-way authentication pass state when the two-way authentication is passed; when the two-way authentication fails, the terminal is set to the machine card lock state or the two-way authentication fails Status and modify the authentication information of the smart card to invalid information.
  • the two-way authentication processing module is further configured to initiate a two-way authentication process with the terminal by using a command status word to send an allowable authentication command to the terminal.
  • the information transceiver module is further configured to notify the terminal to obtain the authentication information by sending a Get input command to the terminal.
  • the Internet of Things terminal device is powered on (the mobile terminal device in the present invention refers to a device composed of a terminal and a smart card).
  • the terminal After the smart card is reset, the terminal performs a Profile Download process, and the terminal sends a TERMINAL PROFILE command to the smart card, the TERMINAL
  • the PROFILE instruction includes a two-way authentication indication information or a two-way authentication indication bit; after receiving the TERMINAL PROFILE instruction, the smart card judges according to the two-way authentication indication information or the two-way authentication indication bit contained therein Whether the terminal supports the two-way authentication function, if supported, initiates the two-way authentication process of the mobile terminal and the smart card.
  • the random number and the IMSI are used as the authentication information
  • the smart card and the terminal respectively store the algorithm 1 and the algorithm 2
  • the terminal additionally stores the inverse algorithm 3 of the algorithm 2.
  • the algorithm 1 is used to obtain the authentication result according to the authentication information
  • the algorithm 2 is used to encrypt the authentication result
  • the algorithm 3 is used to decrypt the result of the algorithm 2.
  • FIG. 5 is a schematic flowchart of the two-way authentication success of the terminal and the smart card in the embodiment of the present invention. As shown in FIG. 5, the process mainly includes the following steps:
  • Step 501 The terminal sends a TERMINAL PROFILE instruction to the smart card, where the first bit in the 40th byte of the TERMINAL PROFILE instruction is 1, which indicates that the terminal and the smart card need to be authenticated in both directions.
  • Step 502 After receiving the TERMINAL PROFILE command, the smart card determines that the corresponding bit bit in the instruction is 1, and initiates a two-way authentication process of the mobile terminal and the smart card.
  • Step 504 The smart card sends a Get input command to the terminal to notify the terminal to obtain the authentication information, where the authentication information includes the authentication parameter and other related information.
  • Step 505 The terminal receives the command status word, identifies that the authentication is allowed, and performs the next step.
  • Step 506 The terminal sends a Fetch instruction to the smart card according to the received Get input command, requesting the smart card to send the encrypted authentication result.
  • Step 507 The smart card performs an operation by using a pair of authentication parameters according to the request of the terminal, and performs encryption using the algorithm 2, and transmits the encrypted authentication result to the terminal by using the command status word.
  • Step 508 The terminal performs an operation on the encrypted authentication result transmitted by the smart card by using the algorithm three (that is, performing the decryption process of the algorithm 2) to obtain the authentication result of the smart card. Meanwhile, the terminal uses the same algorithm according to the authentication information sent by the smart card. The calculation is performed to obtain the terminal side calculation result. The terminal compares the two authentication results and finds that the two are consistent. Then proceed to the next step 109.
  • algorithm three that is, performing the decryption process of the algorithm 2
  • Step 509 The terminal sends a self-encrypted authentication result to the smart card by using the Terminal Response command.
  • Step 511 the terminal status is successfully notified by the command status word.
  • the mobile terminal and the smart card pass the two-way authentication, continue the subsequent processes (such as network authentication process, network, service platform and other authentication).
  • the IMSI is used as the authentication information
  • the algorithm 1 and the algorithm 2 are respectively stored in the smart card and the terminal, and the inverse algorithm 3 of the algorithm 2 is additionally stored in the terminal.
  • the algorithm 1 is used to obtain the authentication result according to the authentication information
  • the algorithm 2 is used to obtain the authentication result according to the authentication information.
  • the authentication result is encrypted
  • the third algorithm is used to decrypt the result of the algorithm 2.
  • FIG. 6 is a schematic diagram of a process in which a terminal and a smart card fail to perform mutual authentication by using the two-way authentication protocol of the present invention in the embodiment, and as shown in FIG. 6, the process mainly includes the following steps:
  • Step 601 The terminal is powered on, and after the smart card is reset, the terminal executes the Profile Download process, and sends a TERMINAL PROFILE instruction to the smart card, wherein the 7th bit in the 50th byte of the TERMINAL PROFILE instruction is 1 to represent the terminal and the smart card. Two-way authentication.
  • Step 602 After receiving the instruction, the smart card determines that the corresponding bit bit in the instruction is 1, and then initiates a two-way authentication process of the mobile terminal and the smart card.
  • Step 604 The smart card sends a Get input command to the terminal to notify the terminal to obtain the authentication information.
  • Step 605 The terminal receives the command status word and identifies the allowed authentication, and then performs the next step 206.
  • Step 606 The terminal sends a Fetch instruction to the smart card according to the received Get input command, requesting the smart card to send the encrypted authentication result.
  • Step 607 The smart card performs an operation by using a pair of authentication parameters according to the request of the terminal, and performs encryption by using the algorithm 2, and transmits the encrypted authentication result to the terminal by using the command status word.
  • Step 608 The terminal performs an operation on the encrypted authentication result transmitted by the smart card by using algorithm three. (For the decryption process of algorithm 2), the authentication result of the smart card is obtained, and the terminal simultaneously performs the operation according to the authentication information sent by the smart card using the same algorithm to obtain the terminal side operation result; the terminal compares the two authentication results and finds that the two authentications are not The results are consistent, and the next step 209 is performed.
  • Step 609 The terminal uses the Terminal Response command to notify the smart card that the authentication has not passed the authentication. If the terminal smart card authentication fails, the terminal can be set to an abnormal use state (such as locking the terminal, the terminal is invalid, etc.), and the authentication information of the smart card is modified to be invalid information (such as blank, random number, error information, etc.). In this way, the terminal is locked and cannot be used, and the IMSI information of the smart card is changed to a random number, and even if it is stolen, it cannot be used for the network, and therefore, the security of the terminal and the smart card can be ensured.
  • an abnormal use state such as locking the terminal, the terminal is invalid, etc.
  • the authentication information of the smart card is modified to be invalid information (such as blank, random number, error information, etc.).
  • the terminal is locked and cannot be used, and the IMSI information of the smart card is changed to a random number, and even if it is stolen, it cannot be used for the network, and therefore, the security of the terminal and the smart card
  • the terminal does not support the two-way authentication function of the profile download process.
  • the process of this embodiment is described as follows:
  • Step 701 The IoT device (ie, the terminal) is powered on, and after the smart card is reset, the terminal performs a Profile Download process, and the terminal sends a TERMINAL PROFILE instruction to the smart card, where the sixth bit in the 60th byte of the TERMINAL PROFILE instruction is 1. , represents the need for two-way authentication of terminals and smart cards.
  • Step 702 After receiving the instruction, the smart card determines that the corresponding bit in the TERMINAL PROFILE instruction is 0, determines that the terminal does not support the Profile Download process, or does not support the two-way authentication function, and thus does not perform the two-way authentication process of the mobile terminal and the smart card, but uses Other methods of authentication.
  • Step 703 The smart card performs the authentication process of the terminal by using another authentication mode.
  • the terminal does not support the profile download function.
  • the existing other methods may be used for authentication, and details are not described herein.
  • the present invention also provides a method and a tool for unlocking, and the smart card and the terminal are unusable when they are needed, and the normal use is resumed.
  • the above is only a preferred embodiment of the present invention, and is not intended to limit the present invention.
  • the present invention may be embodied in various other embodiments without departing from the spirit and scope of the invention.
  • Various changes and modifications may be made to the invention, and such changes and modifications are intended to be included within the scope of the appended claims.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices. Alternatively, they may be implemented by program code executable by the computing device, such that they may be stored in the storage device by the computing device and, in some cases, may be different from the order herein.
  • the steps shown or described are performed, or they are separately fabricated into individual integrated circuit modules, or a plurality of modules or steps are fabricated as a single integrated circuit module.
  • the invention is not limited to any particular combination of hardware and software. Industrial Applicability Through the above schemes, the security of the terminal and the smart card are guaranteed.
  • the terminal uses the forged smart card
  • the terminal is locked, and the security of the terminal is ensured.
  • the terminal cannot log in to the network, and the terminal is in use.
  • the terminal can be locked in time, which truly guarantees the specificity and security of the terminal and smart card for the IoT service.
  • the solution of the present invention has the advantages of high security, easy implementation, and the like, and is very easy to promote.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Telephone Function (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种终端与智能卡双向认证的方法、协议及智能卡，该双向认证方法包括：智能卡根据终端的双向认证指示信息判断所述终端是否支持双向认证功能，若支持，则发起与所述终端之间的双向认证过程。通过本发明提供的双向认证方法，使得终端和智能卡的安全都得到了保证，智能卡在被盗或者非法使用时将无法登录网络使用，终端在使用非法智能卡时，也能及时锁定终端，保证了终端的安全，且保证了开展物联网等业务的终端和智能卡的专用性和安全性。

Description

一种终端与智能卡双向认证的方法、 协议及智能卡
技术领域
本发明涉及通信技术领域，尤其涉及一种终端与智能卡双向认证的方法、 协议及智能卡。
背景技术
物联网作为新兴高技术产业的重要组成部分， 已被世界各国当作应对经 济危机、 振兴经济的重点技术之一。 物联网业务可以广泛地应用到众多的行 业中， 例如车辆、 电力、 金融、 环保、 石油、 个人与企业安防、 水文、 军事、 消防、 气象、 煤炭、 农林业、 电梯等。 根据专家预计， 未来几年间， 物联网 业务将快速地进入很多行业， 其用户数也将快速成长， 预计至 2012年底， 中 国国内基于移动蜂窝通信技术的物联网用户数将可能达到 3000 ~ 4000万，物 联网应用也会在若干年后成为长期演进（Long Term Evolution, LTE )技术的 核心应用之一， 具有广阔的发展前景。
目前物联网业务的应用类型中， 很多业务都要求终端和智能卡的设备装 置具备较高的安全性， 例如： 环境监控， 通过在小区内部署各种环境监测设 备， 用于监控小区环境质量， 包括小区污染物、 噪音、 垃圾、 污水等， 为小 区居民营造安静、 健康、 和谐的居住环境； 以及社区安保， 由于人身安全、 财物安全是小区居民关注的重中之重， 小区需安装视频监控设备、 防盗报警 设备、 家庭安防设备、 家庭可视对讲、 楼宇门禁等， 并实现业主、 物业、 保 安、 居委会、 公安局的信息联互， 共同构建和谐安全的居住环境； 此外， 还 包括在智能家居、 煤矿安全生产及监测、 医疗健康等应用中， 对于应用安全 管理要求也非常高。
为避免智能卡被挪作他用或物理被盗， 需考虑智能卡的应用安全管理， 如釆取机卡绑定、 第三方合法性认证等手段等管理方式， 实现专卡专用。 但 是， 目前已有的机卡绑定方案、 第三方合法性认证或者绑定等手段的效果不 佳， 另外， 也无法保证在物联网业务等新应用环境下的安全问题。 发明内容
本发明解决的技术问题是提供一种终端与智能卡双向认证的方法、 协议 及智能卡， 保证了终端和智能卡在应用时的更高的安全性。
为解决上述技术问题，本发明提供了一种终端与智能卡双向认证的方法， 所述方法包括：
智能卡根据终端的双向认证指示信息判断所述终端是否支持双向认证功 能， 若支持， 则发起与所述终端之间的双向认证过程。
可选的， 所述双向认证指示信息包含在所述终端发送给所述智能卡的终 端配置 （ TERMINAL PROFILE )指令中。
可选的， 所述方法还包括： 所述终端使用扩展的所述 TERMINAL PROFILE指令中的预留字段或预留位， 向所述智能卡发送双向认证指示位， 所述双向认证指示位用于指示所述终端是否支持双向认证功能。 本发明还提供了一种终端与智能卡双向认证的方法， 包括：
智能卡判断出终端支持双向认证功能时， 则发起与所述终端之间的双向 认证过程；
所述智能卡根据认证信息使用算法一得出智能卡侧认证结果， 并使用算 法二对所述智能卡侧认证结果进行加密后， 将所述认证信息以及加密后的智 能卡侧认证结果发送给所述终端；
所述终端根据所述智能卡发送的认证信息使用算法一得出终端侧认证结 果， 同时使用算法三对所述加密后的智能卡侧认证结果进行解密， 并将解密 得到的智能卡侧认证结果与所述终端侧认证结果进行比较， 若一致， 则将所 述终端侧认证结果发送给所述智能卡； 若不一致， 则判定所述双向认证失败， 并结束本次双向认证过程； 所述智能卡将收到的所述终端侧认证结果与得出的智能卡侧认证结果进 行比较， 若一致， 则判定双向认证成功； 若不一致， 则判定双向认证失败， 并结束本次双向认证过程； 其中， 所述算法三为所述算法二的逆运算。 可选的， 所述方法还包括： 所述终端使用扩展的所述 TERMINAL PROFILE指令中的预留字段或预留位， 向所述智能卡发送双向认证指示位， 所述双向认证指示位用于指示所述终端是否支持双向认证功能。
可选的， 所述方法还包括： 所述智能卡判定双向认证失败后， 将所述终 端置为机卡锁定状态或双向认证未通过状态， 并将所述智能卡的认证信息修 改为无效信息。
可选的， 所述算法一、 算法二包括但不限于以下算法的一种或其任意组 合：
数据加密算法、 3 重数据加密算法、 哈希算法、 国际移动用户识别号 ( IMSI )认证算法 A3、 RSA算法和错误检查、 纠正算法、 加密密匙生成算 法 A5、 用户密匙生成算法 A8。 起与所述终端之间的双向认证过程。
可选的， 所述方法还包括：
所述智能卡发起与所述终端之间的双向认证过程后， 向所述终端发送获 取输入（Get input )指令， 通知终端获取认证信息。
可选的， 所述方法还包括：
所述终端收到所述 Get input指令后， 向所述智能卡发送提取 ( Fetch )指 令， 要求所述智能卡发送智能卡侧认证结果。
可选的， 所述方法还包括：
所述终端比较所述智能卡侧认证结果与所述终端侧认证结果一致时， 使 卡。 。 、 '、 .
此外， 本发明还提供了一种终端与智能卡双向认证的认证协议， 所述认 证协议包括：
智能卡根据认证信息使用算法一得出智能卡侧认证结果， 并使用算法二 对所述智能卡侧认证结果进行加密后， 将所述认证信息以及加密后的智能卡 侧认证结果发送给所述终端； 所述终端根据所述智能卡发送的认证信息使用算法一得出终端侧认证结 果， 同时使用算法三对所述加密后的智能卡侧认证结果进行解密， 并将解密 得到的智能卡侧认证结果与所述终端侧认证结果进行比较， 若一致， 则将所 述终端侧认证结果发送给所述智能卡， 若不一致， 则认证失败， 结束本次双 向认证过程；
所述智能卡将收到的所述终端侧认证结果与得出的智能卡侧认证结果进 行比较， 若一致， 则判定双向认证成功；
其中， 所述算法三为所述算法二的逆运算。
可选的， 所述算法一、 算法二包括但不限于以下算法的一种或其任意组 合：
数据加密算法、 3重数据加密算法、 哈希算法、 IMSI认证算法 A3、 RSA 算法和错误检查、 纠正算法、 加密密匙生成算法 A5、 用户密匙生成算法 A8。
此外， 本发明还提供了一种支持双向认证的智能卡， 所述智能卡包括双 向认证装置， 所述双向认证装置包括双向认证功能识别模块和双向认证处理 模块，
所述双向认证功能识别模块设置为： 根据终端的双向认证指示信息判断 所述终端是否支持双向认证功能；
所述双向认证处理模块设置为： 当所述双向认证功能识别模块判断出终 端支持双向认证功能时， 则发起与所述终端之间的双向认证过程。
可选的， 所述双向认证功能识别模块是设置为： 根据终端发送的
TERMINAL PROFILE指令中包含的双向认证指示位，判断所述终端是否支持 双向认证功能。
可选的， 所述双向认证装置还包括信息收发模块和认证结果实施模块， 其中：
所述信息收发模块设置为： 接收终端发送的终端侧认证结果； 以及， 向 终端发送认证信息及智能卡侧认证结果；
所述认证结果实施模块设置为： 当所述双向认证通过时， 将所述终端及 所述智能卡置为机卡认证通过状态或双向认证通过状态； 当所述双向认证未 通过时， 将所述终端置为机卡锁定状态或双向认证未通过状态， 并将所述智 能卡的认证信息修改为无效信息。
可选的， 所述双向认证处理模块是设置为： 通过使用命令状态字向所述 终端发送允许认证指令， 发起与所述终端之间的双向认证过程。
可选的， 所述信息收发模块还设置为： 通过向所述终端发送 Get input指 令， 通知所述终端获取所述认证信息。
通过上述双向认证方法， 使得终端和智能卡的安全都得到了保证， 终端 使用伪造的智能卡时， 锁定终端， 保证了终端的安全， 智能卡在被盗或者非 法使用时将无法登录网络使用， 终端在使用非法智能卡时， 也能及时锁定终 端， 真正保证了开展物联网业务的终端和智能卡的专用性和安全性。 此外， 釆用上述方案， 具有安全性高、 易于实现等优点， 且非常易于推广。 附图概述
此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部 分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的 不当限定。 在附图中：
示意图；
图 3为应用本发明实施方式的双向认证协议的双向认证过程的示意图； 图 4为本发明实施方式的双向认证协议的总体流程图；
图 5为本发明实施例一中终端和智能卡进行双向认证成功的示意图； 图 6为本发明实施例二中终端和智能卡进行双向认证成功的示意图； 图 7为本发明实施例三中终端不支持 Profile download流程的认证过程示 意图。 本发明的较佳实施方式 下文中将结合附图对本发明的实施例进行详细说明。 需要说明的是， 在 不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互任意组合。
有鉴于现有终端和智能卡应用中存在安全性不高的缺点， 本发明实施方 式提供一种终端和智能卡之间双向认证的方法，实现智能卡的应用安全管理。
根据 3GPP TS 31.111 V10.2.0 (2011-04)、3GPP TS 11.14 V8.18.0 (2007-06) 以及 ETSI TS 131 111 V9.4.0 (2011-01)、 ETSI TS 102 223 V10.3.0 (2011-05)^- 版本规定的方法， 终端开机后将执行配置下载（Profile download )过程， 使 得终端能够告知智能卡其支持的功能。 该 Profile download过程是通过终端向 智能卡发送 TERMINAL PROFILE指令实现的， TERMINAL PROFILE的各个 字节、 位代表了终端支持的功能。 如果该字节的 bit位为 1 , 表示终端支持该 功能， 0为终端不支持该功能。
以 3GPP TS 11.14 V8.18.0 (2007-06)协议版本为例说明， 如 TERMINAL PROFILE的首字节 First byte (Download)的 8个 bit位 b 1、 b2、 b3、 b4、 b5、 b6、 b7、 b8分别表示： 终端是否支持 Profile download功能； 终端是否支持点 对点短消息业务数据下载（ SMS-PP data download )功能； 终端是否支持小 区广播数据下载（ Cell Broadcast data download )功能； 终端是否支持菜单选 择（Menu selection ) 功能； 终端是否支持 '9EXX' SIM数据下载错误响应码 ( response code for SIM data download error )功能； 终端是否支持计时器超 时 ( Timer expiration )功能； 终端是否支持非结构化补充数据业务字符串数据 对象支持 USIM呼叫控制 （USSD string data object support in Call Control by USIM ) 功能； 终端是否支持自动重拨模式下封装呼叫控制总是发送到 SIM ( Envelope Call Control always sent to the SIM during automatic redial mode )功 能。
结合以上内容，本发明实施方式提出一种基于扩展 TERMINAL PROFILE 指令的双向认证方法， 釆用如下技术方案： 通过扩展 TERMINAL PROFILE 指令中未使用的字节作为双向认证指示位， 用于实现终端和智能卡的双向验 证功能。 即， 使用某个字节的第 i位（i大于等于 1且小于 8 )表示支持双向 认证。 例如， 通过某个字节的第 1位表示是否支持双向认证功能， 如图 1中 所示。 终端向智能卡发送 TERMINAL PROFILE指令； 智能卡处理终端发送 的 TERMINAL PROFILE指令，如果对应的支持双向认证指示位为 1 , 则启动 智能卡和终端的双向认证。
此外 , 除上述基于扩展的 TERMINAL PROFILE指令中的双向认证指示 位的实现方式之外，还可以通过终端向智能卡发送双向认证指示信息的方式， 告知智能卡终端是否支持双向认证功能。
如图 3所示， 本发明的终端和智能卡双向认证方法的总体流程具体描述 如下：
步骤 301 , 智能卡复位。
步骤 302 , 终端向智能卡发送 TERMINAL PROFILE指令。
步骤 303 ,智能卡处理终端发送的 TERMINAL PROFILE指令，如果对应 的支持双向认证位为 1 , 则执行步骤 304 , 如果不为 1 , 则执行步骤 305。
步骤 304, 执行智能卡和终端的双向认证。
步骤 305, 使用其他认证方式。
步骤 306, 移动终端和智能卡双向认证是否通过， 如果通过， 则执行步 骤 307, 如果不通过， 则执行步骤 308。
步骤 307, 可以正常使用移动终端和智能卡， 继续后续流程。
步骤 308, 置位终端为非正常使用状态 （如锁定终端、 终端无效等） ， 并将智能卡的认证信息置为无效信息 （如将智能卡 IMSI改为空白、 随机数、 错误信息等 ) 。
结合图 4所示， 本发明实施方式还提供了一种支持移动终端和智能卡双 向认证的认证协议， 该认证协议流程如下：
步骤 401 , 智能卡向终端发送允许认证指令， 并携带参数包括： 随机数、 IMSL 用户鉴权密钥、 存于智能卡内的其他信息等其中一个或多个。
智能卡和终端内分别存储算法一和算法二， 终端中另外存储算法二的逆 算法算法三， 算法一用于根据认证信息获得认证结果， 算法二用于对认证结 果进行加密， 算法三用于对算法二的结果进行解密；
智能卡根据约定的算法一得出智能卡侧运算结果。 并使用算法二进行加 密后传送给终端。
步骤 402 , 终端对智能卡传送的加密过的运算结果进行算法二的解密过 程， 获得智能卡的运算结果， 终端根据智能卡发送的信息， 使用同样的算法 一进行运算， 得到终端侧运算结果。
步骤 403 , 如果终端侧运算结果与解密得到的智能卡运算结果一致， 则 执行步骤 404; 若不一致， 则执行步骤 405。
步骤 404, 终端侧将自己的运算结果传送给智能卡， 执行步骤 406。
步骤 405 , 置位终端为机卡锁定状态 （如锁定终端、 终端无效等） ， 修 改智能卡的认证信息为无效信息 （如空白、 随机数、 错误信息等） ， 执行步 骤 408。
步骤 406 , 智能卡得到终端的运算结果后， 和自己运算得到的结果进行 比较， 如果相同， 则执行步骤 407; 如果不相同， 则执行步骤 408。
步骤 407 , 认证成功， 判定双向认证通过。
步骤 408, 认证失败， 判定双向认证未通过。
。
其中， 上述算法一和算法二可釆用目前已知的各类算法， 包括但不限于 如下对称或非对称算法：数据加密算法（ DES ) , 3重数据加密算法（ 3DES ) , 哈希算法（HASH ) , IMSI认证算法 A3 , RSA算法和错误检查和纠正算法 ( ECC ) , 加密密匙生成算法 A5 , 用户密匙生成算法 A8以及他们之间的组 合（即先用其中一个算法后运算后， 将得到的结果再用另外一个算法进行运 算， 依此类推） 。 此外， 本发明实施方式提供了一种支持移动终端和智能卡双向认证的智 能卡， 该智能卡包括双向认证装置， 具有扩展 TERMINAL PROFILE指令， 在 TERMINAL PROFILE指令中未使用的字节使之对应终端和智能卡的双向 验证功能， 该双向认证装置包括如下功能模块：
双向认证功能识别模块， 设置为根据终端的双向认证指示信息判断所述 终端是否支持双向认证功能；
双向认证处理模块， 设置为当双向认证功能识别模块判断出终端支持双 向认证功能， 则发起与所述终端之间的双向认证过程。
其中， 双向认证功能识别模块设置为， 根据终端发送的 TERMINAL PROFILE指令中包含的双向认证指示位， 判断终端是否支持双向认证功能。
较佳的， 双向认证装置还包括信息收发模块和认证结果实施模块， 其中： 信息收发模块设置为， 接收终端发送的相关认证结果（如终端侧认证结 果） ； 以及， 向终端发送相关认证信息及认证结果（如认证参数、 终端侧认 证结果， 等） ；
认证结果实施模块设置为， 当双向认证通过时， 将终端及智能卡置为机 卡认证通过状态或双向认证通过状态； 当双向认证未通过时， 将终端置为机 卡锁定状态或双向认证未通过状态，并将智能卡的认证信息修改为无效信息。
此外， 双向认证处理模块还设置为， 通过使用命令状态字向终端发送允 许认证指令， 以发起与终端之间的双向认证过程。
较佳的， 所述信息收发模块还设置为， 通过向终端发送 Get input指令， 通知终端获取认证信息。
实施例一
本实施例中， 物联网终端设备开机（本发明中的移动终端设备是指由终 端和智能卡组成的设备）， 智能卡进行复位后， 终端执行 Profile Download流 程， 终端向智能卡发送 TERMINAL PROFILE指令， 该 TERMINAL PROFILE 指令中包含双向认证指示信息或双向认证指示位； 智能卡收到该 TERMINAL PROFILE指令后， 根据其中包含的双向认证指示信息或双向认证指示位判断 终端是否支持双向认证功能， 如果支持， 则发起执行移动终端和智能卡双向 认证过程。
其中，本实施例使用随机数和 IMSI作为认证信息， 智能卡和终端内分别 存储算法一和算法二， 终端中另外存储算法二的逆算法算法三。 其中， 算法 一用于根据认证信息获得认证结果， 算法二用于对认证结果进行加密， 算法 三用于对算法二的结果进行解密。
图 5为本实施例中终端和智能卡釆用本发明的双向认证协议进行双向认 证成功的流程示意图， 如图 5所示， 该流程主要包括以下步骤：
步骤 501 , 终端向智能卡发送 TERMINAL PROFILE 指令， 其中 TERMINAL PROFILE指令的第 40个字节中的第 1 bit位为 1时代表需要进行 终端和智能卡双向认证。
步骤 502,智能卡收到 TERMINAL PROFILE指令后，判断该指令中对应 bit位为 1 , 则发起执行移动终端和智能卡双向认证过程。
步骤 504,智能卡同时向终端发送 Get input指令通知终端获取认证信息， 所述的认证信息包括认证参数及其他相关信息。
步骤 505 , 终端接收到命令状态字， 识别出允许认证， 则执行下一步骤
106。
步骤 506,终端根据收到的 Get input命令向智能卡发送 Fetch指令，请求 智能卡发送其加过密的认证结果。
步骤 507 , 智能卡根据终端的请求， 使用算法一对认证参数进行运算， 并使用算法二进行加密， 将加密的认证结果使用命令状态字传给终端。
步骤 508, 终端对智能卡传送的加密过的认证结果使用算法三进行运算 (即进行算法二的解密过程)， 获得智能卡的认证结果； 同时， 终端还根据智能 卡发送的认证信息， 使用同样的算法一进行运算， 得到终端侧运算结果。 终 端比较两个认证结果， 发现二者比较一致， 则执行下一步骤 109。
步骤 509, 终端使用 Terminal Response命令给智能卡发送自己的未加密 的认证结果。 步骤 510, 智能卡得到终端发送的终端侧运算结果后， 和自己运算得到 的结果进行比较， 如果两个认证结果相同， 则执行下一步骤 111。
步骤 511 , 通过命令状态字告诉终端双向认证成功。
如果移动终端和智能卡双向认证通过， 则继续执行后续流程（如网络鉴 权过程、 网络、 服务平台等其他认证） 。
实施例二
本实施例中，使用 IMSI作为认证信息， 智能卡和终端内分别存储算法一 和算法二， 终端中另外存储算法二的逆算法算法三， 算法一用于根据认证信 息获得认证结果， 算法二用于对认证结果进行加密， 算法三用于对算法二的 结果进行解密。
图 6为本实施例中终端和智能卡釆用本发明双向认证协议进行双向认证 失败的流程示意图， 如图 6所示， 该流程主要包括以下步骤：
步骤 601 , 终端开机， 智能卡进行复位后， 终端执行 Profile Download流 程， 并向智能卡发送 TERMINAL PROFILE指令， 其中 TERMINAL PROFILE 指令的第 50个字节中的第 7 bit位为 1时代表需要进行终端和智能卡双向认 证。
步骤 602, 智能卡收到该指令后， 判断指令中对应 bit位为 1 , 则发起执 行移动终端和智能卡双向认证过程。
步骤 604, 智能卡向终端发送 Get input指令， 通知终端获取认证信息。 步骤 605,终端接收到命令状态字，识别允许认证，则执行下一步骤 206。 步骤 606,终端根据收到的 Get input命令向智能卡发送 Fetch指令，请求 智能卡发送其加过密的认证结果。
步骤 607 , 智能卡根据终端请求， 使用算法一对认证参数进行运算， 并 使用算法二进行加密， 将加密的认证结果使用命令状态字传给终端。
步骤 608, 终端对智能卡传送的加密过的认证结果使用算法三进行运算 (进行算法二的解密过程)，获得智能卡的认证结果，终端同时根据智能卡发送 的认证信息， 使用同样的算法一进行运算， 得到终端侧运算结果； 终端比较 两个认证结果， 发现两个认证不结果一致， 则执行下一步骤 209。
步骤 609, 终端使用 Terminal Response命令通知智能卡未通过认证。 如果终端智能卡认证不通过， 则可以置位终端为非正常使用状态 （如锁 定终端、 终端无效等） ， 修改智能卡的认证信息为无效信息 （如空白、 随机 数、 错误信息等）。 这样， 终端被锁定， 无法使用， 智能卡的 IMSI信息被改 为随机数， 即使被盗， 也无法登网使用， 因此， 可以保证终端和智能卡的安 全性。
实施例三
本实施例中， 艮定终端不支持 Profile download流程的双向认证功能， 如 图 7所示， 本实施例流程描述如下：
步骤 701 , 物联网设备（即终端）开机， 智能卡进行复位后， 终端执行 Profile Download流程， 终端向智能卡发送 TERMINAL PROFILE指令， 其中 TERMINAL PROFILE指令的第 60个字节中的第 6 bit位为 1时， 代表需要进 行终端和智能卡双向认证。
步骤 702 ,智能卡收到该指令后，判断 TERMINAL PROFILE指令中对应 bit位为 0,判断终端不支持 Profile Download流程或者不支持上述双向认证功 能， 因而不执行移动终端和智能卡双向认证过程， 而是使用其他的认证方式。
步骤 703 , 智能卡釆用其他认证方式执行终端的认证过程。
本实施例中，是终端不支持 profile download功能的情况，针对这种情况， 可以釆用现有的其他方式进行认证， 在此不做详述。
此外， 本发明还提供了一种解除锁定的方法和工具， 在需要时对智能卡 和终端进行解除无法使用状态， 恢复正常使用。 以上仅为本发明的优选实施案例而已， 并不用于限制本发明， 本发明还 可有其他多种实施例， 在不背离本发明精神及其实质的情况下， 熟悉本领域 的技术人员可根据本发明做出各种相应的改变和变形， 但这些相应的改变和 变形都应属于本发明所附的权利要求的保护范围。
显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可 以用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布 在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程 序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 并 且在某些情况下， 可以以不同于此处的顺序执行所示出或描述的步骤， 或者 将它们分别制作成各个集成电路模块， 或者将它们中的多个模块或步骤制作 成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬件和软件 结合。 工业实用性 通过上述方案， 使得终端和智能卡的安全都得到了保证， 终端使用伪造 的智能卡时， 锁定终端， 保证了终端的安全， 智能卡在被盗或者非法使用时 将无法登录网络使用， 终端在使用非法智能卡时， 也能及时锁定终端， 真正 保证了开展物联网业务的终端和智能卡的专用性和安全性。 此外， 釆用本发 明方案， 具有安全性高、 易于实现等优点， 且非常易于推广。

Claims

权 利 要 求 书
1、 一种终端与智能卡双向认证的方法， 所述方法包括：
智能卡根据终端的双向认证指示信息判断所述终端是否支持双向认证功 能， 若支持， 则发起与所述终端之间的双向认证过程。
2、 如权利要求 1所述的方法， 其中，
所述双向认证指示信息包含在所述终端发送给所述智能卡的终端配置 ( TERMINAL PROFILE )指令中。
3、 如权利要求 2所述的方法， 所述方法还包括：
所述终端使用扩展的所述 TERMINAL PROFILE指令中的预留字段或预 留位， 向所述智能卡发送双向认证指示位， 所述双向认证指示位用于指示所 述终端是否支持双向认证功能。
4、 一种终端与智能卡双向认证的方法， 包括：
智能卡判断出终端支持双向认证功能时， 则发起与所述终端之间的双向 认证过程；
所述智能卡根据认证信息使用算法一得出智能卡侧认证结果， 并使用算 法二对所述智能卡侧认证结果进行加密后， 将所述认证信息以及加密后的智 能卡侧认证结果发送给所述终端；
所述终端根据所述智能卡发送的认证信息使用算法一得出终端侧认证结 果， 同时使用算法三对所述加密后的智能卡侧认证结果进行解密， 并将解密 得到的智能卡侧认证结果与所述终端侧认证结果进行比较， 若一致， 则将所 述终端侧认证结果发送给所述智能卡； 若不一致， 则判定所述双向认证失败， 并结束本次双向认证过程； 所述智能卡将收到的所述终端侧认证结果与得出的智能卡侧认证结果进 行比较， 若一致， 则判定双向认证成功； 若不一致， 则判定双向认证失败， 并结束本次双向认证过程；
其中， 所述算法三为所述算法二的逆运算。
5、 如权利要求 4所述的方法， 所述方法还包括： 所述终端使用扩展的终端配置（ TERMINAL PROFILE )指令中的预留字 段或预留位， 向所述智能卡发送双向认证指示位， 所述双向认证指示位用于 指示所述终端是否支持双向认证功能。
6、 如权利要求 4所述的方法， 所述方法还包括：
所述智能卡判定双向认证失败后， 将所述终端置为机卡锁定状态或双向 认证未通过状态， 并将所述智能卡的认证信息修改为无效信息。
7、 如权利要求 4所述的方法， 其中，
所述算法一、 算法二包括但不限于以下算法的一种或其任意组合： 数据加密算法、 3 重数据加密算法、 哈希算法、 国际移动用户识别号 ( IMSI )认证算法 A3、 RSA算法和错误检查、 纠正算法、 加密密匙生成算 法 A5、 用户密匙生成算法 A8。
8、 如权利要求 4所述的方法， 其中， 终端之间的双向认证过程。
9、 如权利要求 4或 8所述的方法， 所述方法还包括：
所述智能卡发起与所述终端之间的双向认证过程后， 向所述终端发送获 取输入（Get input )指令， 通知终端获取认证信息。
10、 如权利要求 9所述的方法， 所述方法还包括：
所述终端收到所述 Get input指令后， 向所述智能卡发送提取 ( Fetch )指 令， 要求所述智能卡发送智能卡侧认证结果。
11、 如权利要求 4所述的方法， 所述方法还包括：
所述终端比较所述智能卡侧认证结果与所述终端侧认证结果一致时， 使 卡。 。 、 '、 .
12、 一种终端与智能卡双向认证的认证协议， 所述认证协议包括： 智能卡根据认证信息使用算法一得出智能卡侧认证结果， 并使用算法二 对所述智能卡侧认证结果进行加密后， 将所述认证信息以及加密后的智能卡 侧认证结果发送给所述终端；
所述终端根据所述智能卡发送的认证信息使用算法一得出终端侧认证结 果， 同时使用算法三对所述加密后的智能卡侧认证结果进行解密， 并将解密 得到的智能卡侧认证结果与所述终端侧认证结果进行比较， 若一致， 则将所 述终端侧认证结果发送给所述智能卡， 若不一致， 则认证失败， 结束本次双 向认证过程；
所述智能卡将收到的所述终端侧认证结果与得出的智能卡侧认证结果进 行比较， 若一致， 则判定双向认证成功；
其中， 所述算法三为所述算法二的逆运算。
13、 如权利要求 12所述的方法， 其中，
所述算法一、 算法二包括但不限于以下算法的一种或其任意组合： 数据加密算法、 3 重数据加密算法、 哈希算法、 国际移动用户识别号 ( IMSI )认证算法 A3、 RSA算法和错误检查、 纠正算法、 加密密匙生成算 法 A5、 用户密匙生成算法 A8。
14、 一种支持双向认证的智能卡， 所述智能卡包括双向认证装置， 所述 双向认证装置包括双向认证功能识别模块和双向认证处理模块，
所述双向认证功能识别模块设置为： 根据终端的双向认证指示信息判断 所述终端是否支持双向认证功能；
所述双向认证处理模块设置为： 当所述双向认证功能识别模块判断出终 端支持双向认证功能时， 则发起与所述终端之间的双向认证过程。
15、 如权利要求 14所述的智能卡， 其中，
所述双向认证功能识别模块是设置为： 根据终端发送的终端配置 ( TERMINAL PROFILE )指令中包含的双向认证指示位 , 判断所述终端是否 支持双向认证功能。
16、 如权利要求 14或 15所述的智能卡， 其中， 所述双向认证装置还包 括信息收发模块和认证结果实施模块， 其中：
所述信息收发模块设置为： 接收终端发送的终端侧认证结果； 以及， 向 终端发送认证信息及智能卡侧认证结果；
所述认证结果实施模块设置为： 当所述双向认证通过时， 将所述终端及 所述智能卡置为机卡认证通过状态或双向认证通过状态； 当所述双向认证未 通过时， 将所述终端置为机卡锁定状态或双向认证未通过状态， 并将所述智 能卡的认证信息修改为无效信息。
17、 如权利要求 14或 15所述的智能卡， 其中，
所述双向认证处理模块是设置为： 通过使用命令状态字向所述终端发送 允许认证指令， 发起与所述终端之间的双向认证过程。
18、 如权利要求 16所述的智能卡， 其中，
所述信息收发模块还设置为： 通过向所述终端发送获取输入 ( Get input ) 指令， 通知所述终端获取所述认证信息。
PCT/CN2011/080792 2011-06-15 2011-10-14 一种终端与智能卡双向认证的方法、协议及智能卡 WO2012171285A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110160944.1A CN102833068B (zh) 2011-06-15 2011-06-15 一种终端与智能卡双向认证的方法、协议及智能卡
CN201110160944.1 2011-06-15

Publications (1)

Publication Number Publication Date
WO2012171285A1 true WO2012171285A1 (zh) 2012-12-20

Family

ID=47336048

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/080792 WO2012171285A1 (zh) 2011-06-15 2011-10-14 一种终端与智能卡双向认证的方法、协议及智能卡

Country Status (2)

Country Link
CN (1) CN102833068B (zh)
WO (1) WO2012171285A1 (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103914913B (zh) * 2012-12-28 2017-06-20 北京握奇数据系统有限公司 一种智能卡应用场景识别方法及系统
CN103997728B (zh) * 2013-02-19 2017-11-21 中国移动通信集团公司 一种机卡双向认证方法及系统
CN104243152B (zh) * 2013-06-06 2018-01-12 中国银联股份有限公司 安全性信息交互系统、设备和方法
CN105188050B (zh) 2014-05-27 2020-09-11 中兴通讯股份有限公司 一种机卡动态绑定方法、设备和系统
CN104219626B (zh) * 2014-08-25 2017-11-21 北京乐富科技有限责任公司 一种身份认证的方法和装置
CN105162797B (zh) * 2015-09-24 2018-03-09 广东工业大学 一种基于视频监控系统的双向认证方法
CN105516182B (zh) * 2015-12-30 2019-05-24 深圳市正东源科技有限公司 一种用于智能卡和读写器之间的双向认证方法及其系统
CN112241633B (zh) * 2019-07-17 2023-03-14 杭州海康威视数字技术股份有限公司 一种非接触式智能卡的双向认证实现方法及系统
CN111612944A (zh) * 2020-05-06 2020-09-01 浙江中邦数码科技有限公司 一种智能锁及其开锁控制方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1829365A (zh) * 2006-03-28 2006-09-06 江苏移动通信有限责任公司 可实现移动终端区域锁定的用户识别模块及方法
CN1832397A (zh) * 2005-11-28 2006-09-13 北京浦奥得数码技术有限公司 电子设备接口间基于公钥证书的认证密钥协商和更新方法
CN101330387A (zh) * 2008-07-24 2008-12-24 深圳华为通信技术有限公司 一种机卡认证的方法、通讯设备和认证系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2224850B1 (es) * 2003-05-12 2005-12-01 Vodafone España, S.A. Modulo y metodo de deteccion de al menos un evento en un equipo de usuario de telefonia movil celular, programa de ordenador para llevar a cabo el metodo, y tarjeta y terminal con el modulo.
CN101686572B (zh) * 2008-09-26 2012-07-04 中国移动通信集团公司 无线终端机卡互锁的方法、系统和管理平台
CN101511083B (zh) * 2008-12-25 2011-02-16 北京握奇数据系统有限公司 电信智能卡的认证鉴权方法和终端
CN101577906B (zh) * 2009-06-12 2011-02-09 大唐微电子技术有限公司 一种可实现机卡安全认证的智能卡及终端

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1832397A (zh) * 2005-11-28 2006-09-13 北京浦奥得数码技术有限公司 电子设备接口间基于公钥证书的认证密钥协商和更新方法
CN1829365A (zh) * 2006-03-28 2006-09-06 江苏移动通信有限责任公司 可实现移动终端区域锁定的用户识别模块及方法
CN101330387A (zh) * 2008-07-24 2008-12-24 深圳华为通信技术有限公司 一种机卡认证的方法、通讯设备和认证系统

Also Published As

Publication number Publication date
CN102833068B (zh) 2017-05-17
CN102833068A (zh) 2012-12-19

Similar Documents

Publication Publication Date Title
WO2012171285A1 (zh) 一种终端与智能卡双向认证的方法、协议及智能卡
CN108173822B (zh) 智能门锁管控方法、智能门锁及计算机可读存储介质
WO2012171284A1 (zh) 一种三方认证方法、装置及支持双向认证的智能卡
EP2887576B1 (en) Software key updating method and device
EP2421292B1 (en) Method and device for establishing security mechanism of air interface link
JP5390619B2 (ja) Ｈｏｍｅｎｏｄｅ−ｂ装置およびセキュリティプロトコル
RU2454832C2 (ru) Способ аутентификации доступа, применяемый к ibss-сети
CN105828332B (zh) 一种无线局域网认证机制的改进方法
US20070033643A1 (en) User authentication in connection with a security protocol
CN102934470A (zh) 用于在通信系统中将订户认证与设备认证绑定的方法和装置
CN110545252B (zh) 一种认证和信息保护的方法、终端、控制功能实体及应用服务器
US11722887B2 (en) Privacy protection authentication method based on wireless body area network
WO2018119623A1 (zh) 一种电子锁设备的解锁方法、客户端及其电子锁设备
CN109714360B (zh) 一种智能网关及网关通信处理方法
WO2009094886A1 (fr) Procédé pour bloquer un programme d'application
CN101895881B (zh) 一种实现gba密钥的方法及终端可插拔设备
WO2017024449A1 (zh) 终端接入3gpp网络的处理方法及装置
WO2019011751A1 (en) AUTHENTICATION CONTROL IN A HOME NETWORK
CN104754571A (zh) 用于多媒体数据传输的用户认证实现方法、装置及其系统
WO2012055297A1 (zh) 移动终端的鉴权方法及装置
CN101888626B (zh) 一种实现gba密钥的方法及其终端设备
CN112383521A (zh) 一种分布式文件系统中节点身份认证方法
WO2012171283A1 (zh) 三方认证的方法、系统及终端设备的认证状态管理方法
WO2014177106A1 (zh) 一种网络接入控制方法和系统
EP4066523A1 (en) Managing a subscription identifier associated with a device

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11867675

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11867675

Country of ref document: EP

Kind code of ref document: A1