WO2014056302A1 - 基于嵌入式通用集成电路卡的数据保密方法及设备 - Google Patents

基于嵌入式通用集成电路卡的数据保密方法及设备 Download PDF

Info

Publication number
WO2014056302A1
WO2014056302A1 PCT/CN2013/072034 CN2013072034W WO2014056302A1 WO 2014056302 A1 WO2014056302 A1 WO 2014056302A1 CN 2013072034 W CN2013072034 W CN 2013072034W WO 2014056302 A1 WO2014056302 A1 WO 2014056302A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal device
euicc
identification information
subscription
response message
Prior art date
Application number
PCT/CN2013/072034
Other languages
English (en)
French (fr)
Inventor
王涛
薛国栋
金辉
衣强
Original Assignee
华为终端有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为终端有限公司 filed Critical 华为终端有限公司
Priority to EP13846032.4A priority Critical patent/EP2836052B1/en
Publication of WO2014056302A1 publication Critical patent/WO2014056302A1/zh
Priority to US14/534,609 priority patent/US9390277B2/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/88—Detecting or preventing theft or loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/082—Access security using revocation of authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/126—Anti-theft arrangements, e.g. protection against subscriber identity module [SIM] cloning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]

Definitions

  • the present invention relates to communication technologies, and in particular, to a data security method and device based on an embedded Universal Integrated Circuit Card (eUICC).
  • eUICC embedded Universal Integrated Circuit Card
  • the traditional Universal Integrated Circuit Card (UICC) is customized by the mobile operator. It is shipped with information about the mobile operator. Once shipped, the carrier information cannot be changed.
  • the eUICC is a UICC embedded in the terminal device, allowing remote management, such as downloading/deleting mobile operator data, switching the mobile operator network, and the like.
  • the user can contact the mobile network operator (Mobile Network Operator) or go to the business hall to handle the unemployment service. After receiving the loss of service request, the mobile operator only needs to update the subscription database in the network, so that the lost subscription of the terminal device can be invalidated. However, no security protection mechanism is provided for the subscription information and user data on the eUICC. Summary of the invention
  • the embodiment of the invention provides a data security method and device based on an embedded universal integrated circuit card, which is used for secreting data on the eUICC after the terminal device is lost.
  • the first aspect provides a data security method based on an embedded universal integrated circuit card, including: determining that the terminal device is not held by a legitimate user; Setting the eUICC on the terminal device to an unavailable state;
  • the determining that the terminal device is not held by the legal user includes: determining, when the geographical location information does not belong to a preset legal use area of the terminal device, The terminal device is stolen.
  • the performing, by the terminal device, the eUICC to perform confidential processing on data on the eUICC includes:
  • the terminal device sends data to the eUICC for security processing, where the first paging message includes identifier information of the terminal device and is used to identify the terminal
  • the stolen indication of the stolen device, the stop signing command includes the identification information of the terminal device and the stolen indication;
  • the first OP response message is used to perform confidential processing on the data on the eUICC, where the second paging message includes identification information of the terminal device, where the first OP request message includes identifier information of the terminal device and The identifier information of the eUICC, where the first OP response message is sent by the SM-SR according to the identifier information of the terminal device and the identifier information of the eUICC, after the terminal device is stolen, the first An OP response message includes the stolen indication.
  • the determining that the terminal device is not held by the legal user includes:
  • the suspension subscription request message includes the identification information of the terminal device, the identifier information of the eUICC, and a loss indication for identifying the loss of the terminal device, where the M2M-SP device determines according to the report loss request of the legal user.
  • the terminal device is lost;
  • the performing, by the terminal device, the eUICC to perform the security processing on the data on the eUICC includes:
  • the second OP request message includes the identifier information of the terminal device and the identifier information of the eUICC, where the second OP response message is the SM-
  • the SR determines, according to the identifier information of the terminal device and the identifier information of the eUICC, that the terminal device is lost, and the second OP response message includes the loss indication and encrypts data on the eUICC. Encryption key.
  • the second aspect provides a data security method based on an embedded universal integrated circuit card, including: an eUICC receiving indication message on the terminal device, where the indication message is used to indicate that the terminal device is not held by a legitimate user.
  • the eUICC performs security processing on the data on the eUICC; the eUICC performs security processing on the data on the eUICC according to the indication message.
  • the indication message is a stop signing command
  • the eUICC receiving the indication message on the terminal device includes:
  • the stop signing command sent by the terminal device, where the stop signing command is generated by the terminal device after receiving the first paging message sent by the mobile network operator MNO device, and sent to the eUICC
  • the first paging message is sent by the MNO device to the terminal device after the terminal device is stolen according to the geographical location information reported by the terminal device, where the first paging message includes Identification information of the terminal device and used to identify the The stolen indication of the theft of the terminal device, the stop signing command includes the identification information of the terminal device and the stolen indication;
  • the eUICC sends a stop sign response to the subscription management unit-secure route SM-SR by the terminal device, where the stop sign response includes the identifier information of the terminal device, the identifier information of the eUICC, and the stolen indication.
  • the indication message is a first execution file OP response message
  • the eUICC receiving indication message on the terminal device includes:
  • the eUICC sends a first OP request message to the subscription management unit-secure route SM-SR by the terminal device according to the indication that the terminal device receives the second paging message; the second paging message is The mobile network operator MNO device determines, according to the geographical location information reported by the terminal device, that the terminal device is stolen and sent to the terminal device, where the second paging message includes the identification information of the terminal device.
  • the first OP request message includes the identifier information of the terminal device and the identifier information of the eUICC;
  • the first OP response message is that the SM-SR is configured according to the identifier information of the terminal device and the identifier information of the eUICC
  • the first OP response message includes a stolen indication for identifying that the terminal device is stolen.
  • the indication message is a second execution file OP response message
  • the eUICC receiving indication message on the terminal device includes:
  • the eUICC sends a second OP request message to the subscription management unit-secure route SM-SR by the terminal device according to the indication that the terminal device receives the reject attachment response message; the reject attachment response message is a mobile network.
  • the operator MNO device receives the second OP request message from the terminal device, including the identifier information of the terminal device and the identifier information of the eUICC; Receiving, by the eUICC, the second OP response message returned by the SM-SR by using the terminal device; the second OP response message is that the SM-SR is configured according to the identifier information of the terminal device and the identifier information of the eUICC
  • the second OP response message includes a loss indication for identifying the terminal device loss and an encryption key for encrypting and using the data on the eUICC.
  • the third aspect provides a data security method based on an embedded universal integrated circuit card, including: determining that the terminal device is not held by a legitimate user;
  • the first OP request message that is sent by the eUICC includes the identifier information of the terminal device and the identifier information of the eUICC;
  • a first OP response message to the eUICC, so that the eUICC performs confidential processing on data on the eUICC.
  • the determining that the terminal device is not held by the legal user includes:
  • the stop signing request message includes a stolen indication for identifying that the terminal device is stolen; Returning, by the terminal device, the first OP response message to the eUICC, so that the eUICC performs security processing on the data on the eUICC, including:
  • the terminal device the first OP response message to the eUICC, so that the eUICC deletes data on the eUICC.
  • the determining that the terminal device is not legally used Household holdings include:
  • Suspending a subscription request message sent by the inter-device communication service provider M2M-SP device forwarding the suspended subscription request message to the MNO device, so that the MNO device determines that the terminal device is lost;
  • the message includes the identifier information of the terminal device, the identifier information of the eUICC, and the loss indication.
  • the first OP response message includes a loss indication for identifying the terminal device loss, and the The encryption key used by the data on the eUICC for encryption;
  • the terminal device the first OP response message to the eUICC, so that the eUICC performs security processing on the data on the eUICC, including:
  • the terminal device the first OP response message to the eUICC, so that the eUICC performs encryption processing on data on the eUICC.
  • the fourth aspect provides a mobile network operator MNO device, including:
  • a determining module configured to determine that the terminal device is not held by a legitimate user
  • a setting module configured to set an embedded universal integrated circuit card eUICC on the terminal device to be unavailable
  • the security processing indication module is configured to instruct the eUICC to perform security processing on the data on the eUICC by using the terminal device.
  • the determining module includes: determining location information
  • a first determining submodule configured to determine that the terminal device is stolen when the geographical location information received by the first receiving submodule does not belong to a preset legal use area of the terminal device.
  • the security processing indication module is specifically configured to send the first paging cancellation to the terminal device And performing the security processing on the data on the eUICC according to the stop signing command, where the first paging message includes identifier information of the terminal device and a stolen indication for identifying that the terminal device is stolen, the stopping The subscription command includes the identification information of the terminal device and the stolen indication; or
  • the security processing indication module is specifically configured to send a second paging message to the terminal device, so that the terminal device instructs the eUICC to send a first execution file OP request message to the subscription management unit-secure route SM-SR.
  • the security processing indication module After receiving the first OP response message returned by the SM-SR, performing confidential processing on the data on the eUICC, where the second paging message includes identifier information of the terminal device, the first OP request message And including the identifier information of the terminal device and the identifier information of the eUICC, where the first OP response message is that the SM-SR determines the terminal device according to the identifier information of the terminal device and the identifier information of the eUICC. After being stolen, the first OP response message includes the stolen indication.
  • the determining module includes:
  • a second receiving submodule configured to send a suspension subscription request message sent by the inter-device communication service provider M2M-SP device, where the suspended subscription request message includes identifier information of the terminal device, identifier information of the eUICC, and Determining, by the M2M-SP device, that the terminal device is lost according to the report loss request of the legal user;
  • the security processing indication module includes:
  • a third receiving submodule configured to receive an attach request message sent by the terminal device
  • a sending submodule configured to return a reject attach response message to the terminal device, to enable the terminal device to instruct the eUICC to the subscription management unit -
  • the secure routing SM-SR sends a second OP request message and encrypts the data on the eUICC after receiving the second OP response message returned by the SM-SR, the second OP request message including the The identifier information of the terminal device and the identifier information of the eUICC, where the second OP response message is that the SM-SR is based on the terminal device And the identifier information of the eUICC is determined to be sent after the terminal device is lost, and the second OP response message includes the loss indication and an encryption key used for encrypting data on the eUICC.
  • the fifth aspect provides an embedded universal integrated circuit card eUICC device, which is embedded in a terminal device, where the eUICC device includes:
  • an indication receiving module configured to receive an indication message, where the indication message is used to instruct the eUICC device to perform confidential processing on data on the eUICC device when the terminal device is not held by a legal user;
  • the security processing module is configured to perform confidential processing on the data on the eUICC device according to the indication message.
  • the indication message is a stop signing command;
  • the indication receiving module includes:
  • a first receiving submodule configured to receive the stop signing command sent by the terminal device, where the stop signing command is generated by the terminal device after receiving the first paging message sent by the mobile network operator MNO device Sending to the eUICC device, the first paging message is sent by the MNO device to the terminal device after determining that the terminal device is stolen according to the geographical location information reported by the terminal device, a paging message includes the identification information of the terminal device and the stolen indication for identifying the theft of the terminal device, where the stop signing command includes the identification information of the terminal device and the stolen indication;
  • a first sending submodule configured to send, by using the terminal device, a stop signing response to the subscription management unit-secure route SM-SR, where the stop signing response includes the identifier information of the terminal device, the identifier information of the eUICC device, and The stolen indication.
  • the indication message is a first execution file OP response message
  • the indication receiving module includes:
  • a second sending submodule configured to: according to the terminal device, after receiving the second paging message Transmitting, by the terminal device, a first OP request message to the subscription management unit-secure route SM-SR; the second paging message is determined by the mobile network operator MNO device according to the geographical location information reported by the terminal device After the terminal device is stolen and sent to the terminal device, the second paging message includes the identifier information of the terminal device, and the first OP request message includes the identifier information of the terminal device and the eUICC. Identification information of the device;
  • a second receiving submodule configured to receive, by using the terminal device, a first OP response message returned by the SM-SR; the first OP response message is that the SM-SR is based on the identifier information of the terminal device.
  • the identifier information of the eUICC is determined to be sent after the terminal device is stolen, and the first OP response message includes a stolen indication for identifying that the terminal device is stolen.
  • the indication message is a second execution file
  • the indication receiving module includes:
  • a third sending submodule configured to send, by the terminal device, a second OP request message to the subscription management unit-secure route SM-SR according to the indication that the terminal device receives the reject attachment response message;
  • the response message is that the mobile network operator MNO device is receiving the terminal device, and the second OP request message includes the identifier information of the terminal device and the identifier information of the eUICC device;
  • a third receiving submodule configured to receive, by using the terminal device, a second OP response message that is returned by the SM-SR; the second OP response message is that the SM-SR is configured according to the identifier information of the terminal device.
  • the identifier information of the eUICC device is determined to be sent after the terminal device is lost, and the second OP response message includes a loss indication for identifying the terminal device loss and an encryption for encrypting the data on the eUICC device. Key.
  • the sixth aspect provides a subscription management unit-secure routing SM-SR device, including: a determining module, configured to determine that the terminal device is not held by a legal user;
  • a first request receiving module configured to receive, by the terminal, an eUICC on the terminal device
  • the first OP request message is sent, the first OP request message is sent by the terminal device to the eUICC after receiving the reject attachment response message sent by the mobile network operator MNO device, where the first OP request is sent.
  • the message includes the identification information of the terminal device and the identifier information of the eUICC;
  • a first response sending module configured to return, by using the terminal device, a first OP response message to the eUICC, so that the eUICC performs confidential processing on data on the eUICC.
  • the determining module includes:
  • a receiving submodule configured to receive a stop signing request message sent by the MNO device, where the stop signing request message is sent by the MNO device after determining that the terminal device is stolen and the terminal device is in a detached state,
  • the stop signing request message includes the identifier information of the eUICC and the stolen indication;
  • a first determining submodule configured to determine that the terminal device is stolen according to the identifier information of the eUICC and the stolen indication.
  • the first OP response message includes a stolen indication for identifying that the terminal device is stolen;
  • the first OP responds to the message to cause the eUICC to delete data on the eUICC.
  • the determining module includes:
  • a receiving and forwarding submodule configured to send a suspended subscription request message sent by the inter-device communication service provider M2M-SP device, to forward the suspended subscription request message to the MNO device, so that the MNO device determines the terminal device Loss;
  • the suspension subscription request message includes identification information of the terminal device, identification information of the eUICC, and the loss indication;
  • the first OP response message includes a loss indication for identifying that the terminal device is lost And an encryption key used for encrypting data on the eUICC; the first OP response message is used to enable the eUICC to perform encryption processing on data on the eUICC.
  • the seventh aspect provides a data security system based on the embedded universal integrated circuit card eUICC, including: any mobile network operator MNO device provided by the fourth aspect of the present invention, and any embedded universal integration provided by the fifth aspect of the present invention
  • the data security method and device based on the embedded universal integrated circuit card provided by the embodiment of the present invention after the MNO device determines that the terminal device is not held by the legal user, the eUICC on the terminal device is set to be unavailable, and is indicated by the terminal device.
  • the eUICC performs confidential processing on the data on the eUICC, thereby realizing protection of data on the eUICC in the case where the terminal device is stolen or lost.
  • FIG. 1 is a schematic structural diagram of a system for an eUICC according to an embodiment of the present disclosure
  • FIG. 2 is a flowchart of an eUICC-based data security method according to an embodiment of the present invention
  • FIG. 3 is a flowchart of an eUICC-based data security method according to another embodiment of the present invention
  • FIG. 5 is a flowchart of an eUICC-based data security method in a case where a terminal device is lost according to an embodiment of the present invention
  • FIG. 6 is a flowchart of an eUICC-based data security method according to another embodiment of the present invention
  • FIG. 7 is a flowchart of an eUICC-based data security method according to another embodiment of the present invention
  • FIG. 8 is a schematic structural diagram of an MNO device according to an embodiment of the present invention
  • FIG. 9 is a schematic structural diagram of an MNO device according to another embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of an MNO device according to another embodiment of the present invention.
  • FIG. 11 is a schematic structural diagram of an eUICC device according to an embodiment of the present invention.
  • FIG. 12 is a schematic structural diagram of an eUICC device according to another embodiment of the present disclosure.
  • FIG. 13 is a schematic structural diagram of an eUICC device according to another embodiment of the present invention.
  • FIG. 14 is a schematic structural diagram of an SM-SR device according to an embodiment of the present invention.
  • FIG. 15 is a schematic structural diagram of an SM-SR device according to another embodiment of the present invention.
  • FIG. 16 is a schematic structural diagram of an SM-SR device according to another embodiment of the present invention. detailed description
  • FIG. 1 is a schematic structural diagram of a system for an eUICC according to an embodiment of the present invention.
  • the system architecture includes: an MNO device, a subscription management unit (CPU), and a Machine to Machine-Service Provider (M2M-SP) device.
  • the SM includes a Subscription Manager-Securely Routing (SM-SR) and a Subscription Management-Data Preparation (SM-DP).
  • SM-SR Subscription Manager-Securely Routing
  • SM-DP Subscription Management-Data Preparation
  • the MNO device is mainly responsible for ensuring that the subscribers normally access the mobile communication network and provide corresponding voice or data communication services for the users.
  • SM-SR is mainly used to directly manage the data related to the contract-related execution file (Operational Profile, called OP), and the configuration file (Provisioning Profile, called PP). Download, delete, and change data.
  • OP Contract-related execution file
  • PP Provisioning Profile
  • SM-DP is mainly used to prepare data such as OP/PP for signing, for example, using a file to ensure that OP/PP is securely downloaded to eUICC.
  • the M2M-SP equipment is mainly responsible for using the communication network provided by the MNO equipment to provide M2M services for contracted users, such as meter reading services for water and electricity meters, and remote monitoring in building automation systems.
  • the following embodiment of the present invention provides a solution.
  • the following embodiments of the present invention can be implemented based on the system architecture shown in FIG.
  • FIG. 2 is a flowchart of an eUICC-based data security method according to an embodiment of the present invention. As shown in FIG. 2, the method of this embodiment includes:
  • Step 201 Determine that the terminal device is not held by a legitimate user.
  • Step 202 Set eUICC on the terminal device to be unavailable.
  • Step 203 Instruct the eUICC to perform security processing on the data on the eUICC by using the terminal device.
  • the execution subject of this embodiment is an MNO device. Specifically, the MNO device determines whether the terminal device is held by the legal user. When it is determined that the terminal device is not held by the legal user, first setting the eUICC on the terminal device to be unavailable, so that the terminal device can be prohibited from subsequently accessing the device.
  • the MNO device network, and instructs the eUICC to perform confidential processing on the data on the eUICC through the terminal device, that is, the terminal device attempts to guide the eUICC to protect the local data.
  • the scenario where the terminal device is not held by a legitimate user including the case where the terminal device is stolen or the terminal device is lost, may be different.
  • the process of determining that the terminal device is not held by the legal user includes: receiving geographical location information of the terminal device reported by the terminal device, where The geographical location information does not belong to the default legal device of the terminal device.
  • the MNO device considers that the terminal device belongs to the stolen situation, and then determines that the terminal device is stolen, that is, determines that the terminal device is not held by the legitimate user. Since many terminal devices have low mobility stored on the MNO device. The terminal device periodically reports the geographical location information of the MNO device to the MNO device.
  • the MNO device can compare the geographical location information reported by the terminal device with the legal use area of the terminal device in the user subscription data, and determine whether the geographical location information reported by the terminal device belongs to the legal use area, and then analyze whether the terminal device is The conclusion of the theft. If the geographical location information reported by the terminal device does not belong to the legal use area of the terminal device, the MNO device may determine that the terminal device is stolen, and conversely, determine that the terminal device is not stolen (ie, still held by the legitimate user).
  • the location change of the low-mobility terminal device is largely due to the theft, but it may also be the system maintenance of the M2M-SP device organization (for example, unified maintenance of all terminal devices at a certain location) ) etc. caused by.
  • the MNO device directly determines that the terminal device is stolen and may cause an erroneous operation, affecting the service of the terminal device. Based on this, the MNO device can obtain an indication of whether the terminal device is stolen or not to the M2M-SP device.
  • an optional implementation process for determining that the terminal device is stolen includes: the MNO device determines that the terminal device reports After the geographical location information does not belong to the default legal use area of the terminal device, the device sends the device theft management policy request message to the M2M-SP device, where the device theft management policy request message includes the identification information of the terminal device and the identifier information of the eUICC.
  • the location information of the device on the terminal device; receiving the device stolen processing policy response message sent by the M2M-SP device, the device stolen processing policy response message is the identifier information of the M2M-SP device according to the terminal device, and the identifier of the eUICC
  • the information and the geographical location information are determined to be sent after the terminal device is stolen, and the device stolen processing policy response message includes a stolen processing indication; determining that the terminal device is stolen according to the stolen processing indication.
  • the process of setting the eUICC on the terminal device to the unavailable state by the MNO device includes: adding the identifier information of the eUICC to the blacklist (in English Blacklist ) to make eUICC unavailable.
  • the MNO device may also suspend the OP corresponding to the eUICC, so that the eUICC is in an unavailable state.
  • the terminal device may still be in an attached state or may be in an unattached state (That is, the state of attachment.)
  • the MNO device instructs the eUICC to perform confidential processing on the data on the eUICC through the terminal device in different manners according to whether the terminal device is in the attached state or not.
  • An optional implementation manner of step 203 includes: sending a first paging message to the terminal device, so that the terminal device sends a stop signing command to the eUICC, so that the eUICC
  • the data on the eUICC is treated confidentially according to the stop signing command.
  • the first paging message sent by the MNO device to the terminal device includes the identifier information of the terminal device and the theft indication for identifying the theft of the terminal device
  • the stop signing command sent by the terminal device to the eUICC includes the terminal device. Identification information and the stolen indication.
  • the data on the eUICC may be confidentially processed according to the stolen indication in the stop signing command.
  • An optional implementation manner of step 203 includes: sending a second paging message to the terminal device, so that the terminal device instructs the eUICC to send the first OP to the SM-SR.
  • the request message and the data on the eUICC are processed confidentially after receiving the first OP response message returned by the SM-SR.
  • the second paging message includes the identifier information of the terminal device, where the first OP request message includes the identifier information of the terminal device and the identifier information of the eUICC, where the first OP response message is the identifier information of the terminal device and the identifier of the eUICC.
  • the information is determined to be sent after the terminal device is stolen, and the first OP response message includes a stolen indication that the terminal device is stolen.
  • the MNO device pages the terminal device by using the second paging message, and the terminal device sends an indication message to the eUICC after receiving the second paging message of the MNO device, so that the eUICC initiates an OP request to the SM-SR.
  • the SM-SR determines that the terminal device is stolen, and carries the stolen indication in the OP response sent to the eUICC.
  • eUICC after receiving the first OP ring After the message is received, it may be known that the terminal device is stolen according to the stolen indication in the first OP response message, and the data on the eUICC needs to be processed confidentially.
  • the SM-SR may send a delete subscription data request message to the SM-DP to instruct the SM-DP to delete the subscription data corresponding to the eUICC.
  • the method before step 203, includes: determining, by the terminal device, the eUICC on the eUICC, if it is determined that the terminal device is in the attached state; The data is processed confidentially.
  • the MNO device can determine whether the terminal device is in an attached state by querying status information in the subscription data corresponding to the terminal device.
  • the MNO device sends a stop signing request message to the SM-SR, so that the SM-SR instructs the SM-DP to delete the subscription data corresponding to the eUICC, where the stop signing request message includes The identification information of the eUICC and the stolen indication for identifying the theft of the terminal device.
  • the MNO device sends a stop subscription request message to the SM-SR, and carries the identifier information and the stolen indication of the eUICC.
  • the SM-SR After receiving the stop subscription request message sent by the MNO device, the SM-SR receives the The stolen indication is that the terminal device is stolen, so the SM-DP initiates the request to delete the subscription data, and the identifier of the eUICC is carried in the request.
  • the SM-DP deletes the subscription data corresponding to the eUICC according to the identifier information of the eUICC.
  • the SM-DP may further return a message that the subscription data is completed to the SM-SR.
  • the MNO device when the terminal device sends an attach request message to the MNO device, the MNO device returns a reject attach response message to the terminal device to prohibit the terminal device from illegally accessing the MNO device network.
  • the terminal device instructs the eUICC to send an OP request message to the SM-SR and performs confidential processing on the data on the eUICC after receiving the OP response message returned by the SM-SR, where the OP is processed.
  • the request message includes the identifier information of the terminal device and the identifier information of the eUICC, where the OP response message is that the SM-SR determines that the terminal device is lost according to the identifier information of the terminal device and the identifier information of the eUICC.
  • the OP response message sent after the loss includes the above stolen indication to instruct the eUICC to perform confidential processing on the data on the eUICC.
  • the MNO device instructs the eUICC to perform confidential processing on the data on the eUICC through the terminal device: the terminal device instructs the eUICC to delete the data on the eUICC.
  • the MNO device may instruct the terminal device to delete the data on the terminal device in addition to instructing the eUICC to delete the data on the eUICC.
  • the MNO device instructs the eUICC to perform security processing on the data on the eUICC through the terminal device: the terminal device instructs the eUICC to encrypt the data on the eUICC, where the eUICC
  • the encryption key used to encrypt the data may be pre-agreed, or may be provided by the MNO device or other network element to the eUICC.
  • data on the eUICC includes, but is not limited to, OP, PP, and user data.
  • the identification information of the terminal device may include, but is not limited to, an International Mobile Equipment Identifier (IMEI) and an International Mobile Subscriber Identifier (IMSI).
  • IMEI International Mobile Equipment Identifier
  • IMSI International Mobile Subscriber Identifier
  • the identification information of the carried terminal device is either IMEI or IMSI.
  • the identification information of the terminal device carried in the various paging messages may be IMSI
  • the identification information of the terminal device carried in other messages except the paging message may be IMEI.
  • the identifier information of the eUICC may be, but not limited to, an embedded IDent (the embedded IDentity, the cartridge is called an eID).
  • the process of determining that the terminal device is not held by the legal user includes: the MNO device receiving the suspended subscription request message sent by the M2M-SP device, where The suspension subscription request message includes the identification information of the terminal device, the identification information of the eUICC, and the loss indication for identifying the loss of the terminal device, where the M2M-SP device determines that the terminal device is lost according to the report loss request of the legal user; the MNO device according to the loss indication , determine that the terminal device is missing.
  • the legal user of the terminal device may initiate a report loss request to the M2M-SP device after discovering that the terminal device is lost; after receiving the loss report request, the M2M-SP device recognizes If the terminal device is not owned by the legal user, the terminal device is lost, and then the terminal device is determined to be lost. Then, the SM-SR initiates the suspension subscription request message to the MNO device, and carries the identification information of the terminal device, the identifier information of the eUICC, and the loss. The indication (Loss indication); after receiving the suspension subscription request message, the MNO device determines that the terminal device is lost according to the loss indication therein.
  • the process of setting the eUICC on the terminal device to the unavailable state by the MNO device includes: suspending the OP corresponding to the eUICC to make the eUICC unavailable; and using the SM-SR to the M2M
  • the SP device returns a suspended subscription response message, and the suspended subscription response message includes identification information of the terminal device and identification information of the eUICC.
  • the charging information related to the terminal device can be backed up and the charging is suspended.
  • an optional implementation manner of step 203 includes: receiving an attach request message sent by the terminal device, and returning a reject attach response message to the terminal device, so that the terminal device indicates the eUICC to the SM-SR.
  • the second OP request message is sent and the data on the eUICC is encrypted after receiving the second OP response message returned by the SM-SR.
  • the second OP request message includes the identifier information of the terminal device and the identifier information of the eUICC
  • the second OP response message is that the SM-SR determines that the terminal device is lost according to the identifier information of the terminal device and the identifier information of the eUICC
  • the second The OP response message includes a loss indication and an encryption key used to encrypt data on the eUICC.
  • the SM-SR can determine that the terminal device is lost according to the identification information of the terminal device and the identifier information of the eUICC, and carry the encryption key and the loss indication in the OP response sent to the eUICC.
  • the eUICC may learn that the terminal device is lost according to the loss indication in the second OP response message, and the data on the eUICC needs to be encrypted, and the encryption in the second OP response message is adopted.
  • the key encrypts the data on the eUICC.
  • the eUICC completes the encryption of the data on the eUICC.
  • the encrypted data confirmation message can be returned to the SM-SR through the terminal device.
  • the suspended subscription request message sent by the M2M-SP device to the device and the suspended subscription response message returned by the device to the M2M-SP device are forwarded by the SM-SR, in the process.
  • the SM-SR can know information about the lost terminal device. Based on this, the SM-SR can determine whether the terminal device is lost according to the identification information of the terminal device and the identification information of the eUICC.
  • the method of the embodiment further includes: the MNO device receives the recovery subscription request message sent by the M2M-SP device by using the SM-SR, where the recovery subscription request message includes the identification information of the terminal device, The identifier information of the eUICC and the recovery indication for identifying that the terminal device is re-held by the legal user; unmounting the OP corresponding to the eUICC to restore the eUICC to an available state; sending the recovery to the M2M-SP device through the SM-SR
  • the subscription response message includes the identification information of the terminal device and the identification information of the eUICC.
  • the M2M-SP device may send a request for the disconnection. Accordingly, the M2M-SP device receives the unmount request, and according to the unmount request, the terminal device is known to be re-held by the legitimate user. Therefore, the SM-SR sends a recovery subscription request message to the MNO device, and carries the identification information of the terminal device, the identifier information of the eUICC, and the recovery indication. After receiving the recovery subscription request message, the MNO device restores the eUICC to an available state and passes the The SM-SR returns a resume subscription response message to the M2M-SP device.
  • the M2M-SP device reloads the backup of the billing information and continues to charge the terminal device.
  • the terminal device can re-access the MNO device network under the guidance of the eUICC.
  • the eUICC resends the third OP request message to the SM-SR, and carries the identifier information of the terminal device and the identifier information of the eUICC.
  • the SM-SR determines that the terminal device has been unmounted according to the identifier information of the terminal device and the identifier information of the eUICC.
  • the decryption key and the recovery indication are carried in the OP response sent to the eUICC; the eUICC learns that the terminal device has been unattached according to the recovery indication, so the previously encrypted data on the eUICC is decrypted using the decryption key.
  • the eUICC successfully decrypts the data. Thereafter, the decryption data confirmation message can be returned to the SM-SR through the terminal device.
  • the legal user is still not released, and the network side does not retain the previously suspended subscription data.
  • the subscription data of the network side can be deleted after the legal user completes the settlement.
  • the M2M-SP device notifies the user to complete the settlement before deleting the backup charging information, and then notifies the network side device such as SM-DP, MNO device, and SM-SR. Delete the subscription data corresponding to the terminal device.
  • the eUICC-based data security method can prevent the terminal device from being illegally accessed by setting the eUICC on the terminal device to be unavailable after determining that the terminal device is not held by the legal user.
  • the MNO device network and the eUICC instructs the eUICC to perform confidential processing on the data on the eUICC, thereby realizing protection of data on the eUICC in the case where the terminal device is stolen or lost, and can well protect the personal information of the user. .
  • FIG. 3 is a flowchart of an eUICC-based data security method according to another embodiment of the present invention. As shown in FIG. 3, the method in this embodiment includes:
  • Step 301 The eUICC on the terminal device receives an indication message, where the indication message is used to instruct the eUICC to perform confidential processing on the data on the eUICC when the terminal device is not held by the legal user.
  • Step 302 The eUICC performs confidential processing on the data on the eUICC according to the indication message.
  • the execution body of this embodiment is an eUICC on the terminal device. Specifically, when the terminal device is not held by the legal user, the device on the network side of the MNO device guides the eUICC on the terminal device to perform data security processing, and the eUICC receives the indication information for instructing the eUICC to perform confidential processing on the data. After that, the eUICC performs confidential processing on the data on the eUICC according to the indication information.
  • the manner in which the eUICC receives the indication information may also be different according to the determination of the network side device that the terminal device is not owned by the legal user.
  • the network side device here may be an MNO device or an SM-SR or the like.
  • the scenario in which the terminal device is not held by the legal user includes the case where the terminal device is stolen or the terminal device is lost. According to different scenarios, the specific implementation manner in which the terminal device is not held by the legal user may be different. Therefore, the manner in which the eUICC receives the indication information may also be different.
  • the terminal device if the terminal device is not held by the legal user because it is stolen, the terminal device periodically sends the geographic location information of the terminal device to the MNO device before step 301, so that The MNO device determines that the terminal device is stolen based on the geographical location information. Specifically, since many terminal devices have the characteristics of low mobility, the user can pre-customize the legal use area of the terminal device in the subscription, and store it on the MNO device. The terminal device periodically reports the geographical location information of the MNO device to the MNO device.
  • the MNO device can compare the geographical location information reported by the terminal device with the legal use area of the terminal device in the user subscription data, and determine whether the geographical location information reported by the terminal device belongs to the legal use area, and then analyze whether the terminal device is The conclusion of the theft. In this embodiment, the MNO device determines that the terminal device is stolen before step 301.
  • the eUICC receiving the indication message on the terminal device includes: the eUICC receiving the stop subscription command sent by the terminal device, where the stop subscription command is generated by the terminal device after receiving the first paging message sent by the MNO device, and sent to the eUICC
  • the first paging message is sent by the MNO device to the terminal device after the terminal device is stolen according to the geographical location information reported by the terminal device, where the first paging message includes the identification information of the terminal device and is used to identify that the terminal device is stolen.
  • the severance indication includes the identification information of the terminal device and the spoofing indication; the eUICC sends a stop signing response to the SM-SR by using the terminal device, where the stop signing response includes the identification information of the terminal device and the identification information of the eUICC And stolen instructions.
  • the SM-SR After receiving the stop signing response, the SM-SR sends a delete subscription data request message to the SM-DP to instruct the SM-DP to delete the subscription data corresponding to the eUICC.
  • the MNO device after determining that the terminal device is stolen according to the last reported geographical location information of the terminal device, the MNO device sends the first paging message to the terminal device, and carries the identification information of the terminal device and the stolen indication; the terminal device receives After the first paging message, the device stops sending a stop signing command to the eUICC, and carries the identification information of the terminal device and the stolen indication. For the eUICC, after receiving the stop signing command, it is necessary to know that the terminal device is stolen according to the stolen instruction.
  • the process of the eUICC receiving the indication message on the terminal device includes: the eUICC sending, by the terminal device, the first OP request message to the SM-SR according to the indication that the terminal device receives the second paging message; the second paging message After the MNO device determines that the terminal device is stolen according to the geographical location information reported by the terminal device, the second paging message includes the identifier information of the terminal device, where the first OP request message includes the identifier information of the terminal device and the eUICC.
  • the eUICC receives the first OP response message returned by the SM-SR through the terminal device; the first OP response message is that the SM-SR determines, after the terminal device is stolen, according to the identifier information of the terminal device and the identifier information of the eUICC, An OP response message includes a stolen indication for identifying the theft of the terminal device.
  • the SM-SR sends a delete subscription data request message to the SM-DP to instruct the SM-DP to delete the subscription data corresponding to the eUICC.
  • the MNO device sends a second paging message to the terminal device, and carries the identification information of the terminal device; the terminal device receives the second paging.
  • the eUICC sends an indication message to the eUICC to send an OP request to the SM-SR, and carries the identifier information of the terminal device and the identifier information of the eUICC in the OP request.
  • the SM-SR may The identification information of the terminal device and the identification information of the eUICC determine that the terminal device is stolen, and then return an OP response to the eUICC through the terminal device, and carry a stolen indication for identifying the stolen terminal device, so that the eUICC is local to the stolen indication.
  • the data is processed confidentially.
  • the eUICC performs security processing on the data on the eUICC according to the indication message, and the eUICC deletes the data on the eUICC according to the stolen indication.
  • the eUICC can also encrypt the local data according to the stolen indication.
  • the encryption key used in the encryption process may be pre-agreed or provided by a network side device such as an MNO device or an SM-SR.
  • One implementation of the indication message is the second OP response message.
  • the process of receiving the indication message by the eUICC on the terminal device includes: the eUICC sends the second OP to the SM-SR by using the terminal device according to the indication that the terminal device receives the reject attachment response message.
  • the request message is sent by the MNO device to the terminal device after receiving the attach request message sent by the terminal device and determining that the terminal device is lost.
  • the second OP request message includes the identifier information of the terminal device and the identifier of the eUICC.
  • the eUICC receives the second OP response message returned by the SM-SR through the terminal device; the second OP response message is that the SM-SR determines, after the terminal device is lost, the identifier is sent according to the identifier information of the terminal device and the identifier information of the eUICC,
  • the two OP response message includes an indication of loss for identifying the loss of the terminal device and an encryption key for encrypting the data on the eUICC.
  • the legal user of the terminal device can initiate a report loss request to the M2M-SP device; after receiving the report loss request, the M2M-SP device can determine that the terminal device is lost; the M2M-SP device passes the SM-SR. Sending a suspension subscription request message to the MNO device, and carrying the identification information of the terminal device, the identification information of the eUICC, and the loss indication; after receiving the suspension subscription request message, the MNO device determines that the terminal device is lost according to the loss indication, and the MNO device will The OP corresponding to the eUICC is suspended, so that the eUICC is in an unavailable state, and then the illegal access of the terminal device is organized.
  • the terminal device sends an attach request message to the MNO device to request access to the MNO device network; since the terminal device has been lost, the MNO device returns a reject attachment response message to the terminal device to reject the access of the terminal device; the terminal device receives the rejection to attach
  • the eUICC sends an indication message to the eUICC to automatically activate the PP to initiate an OP request to the SM-SR through the terminal device, and carries the identification information of the terminal device and the identifier information of the eUICC.
  • the SM-SR is configured according to the identifier information of the terminal device. And the identifier information of the eUICC can determine that the terminal device is lost, and the encryption key and the loss indication are carried in the OP response sent to the eUICC.
  • the eUICC may learn that the terminal device loss needs to perform confidential processing on the data on the eUICC according to the loss indication in the second OP response message. Specifically, the eUICC encrypts the data on the eUICC using the encryption key according to the loss indication.
  • the eUICC may return an encrypted data confirmation message to the SM-SR by using the terminal device. It is noted that the legal user loss has a maximum time limit within which the legitimate user can release the report loss, thereby continuing to use the eUICC and the terminal device normally.
  • the method in this embodiment further includes: the eUICC sends a third OP request message to the SM-SR by using the terminal device, where the third OP request message includes the identifier information of the terminal device and the eUICC
  • the eUICC receives the third OP response message sent by the SM-SR through the terminal device, where the third OP response message is that the SM-SR confirms the terminal device according to the resumed subscription response message sent by the received MNO device to the M2M-SP device.
  • the resume subscription response message is sent by the MNO device to the M2M-SP device after receiving the recovery subscription request message sent by the M2M-SP device.
  • the third OP response message includes a decryption key and a recovery indication for identifying that the terminal device is re-held by the legal user; the eUICC decrypts the data on the eUICC by using the decryption key according to the recovery indication.
  • the eUICC sends a data recovery confirmation message to the SM-SR through the terminal device.
  • the recovery indication in the embodiments of the present invention in addition to identifying that the terminal device is re-held by a legitimate user, also means that the legitimate user issues an understanding request to the M2M-SP device for the terminal device.
  • the eUICC cooperates with the network side device (for example, the MNO device, the SM-SR, and/or the M2M-SP device), after the terminal device is not held by the legal user.
  • the data on the eUICC is processed according to the received indication information, so that the protection of the data on the eUICC is realized in the case that the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • FIG. 4 is a flowchart of an eUICC-based data security method according to still another embodiment of the present invention. As shown in FIG. 4, the method in this embodiment includes:
  • Step 401 Determine that the terminal device is not held by a legitimate user.
  • Step 402 Receive a first OP request message sent by the eUICC on the terminal device by using the terminal device, where the first OP request message is sent by the terminal device to the eUICC after receiving the reject attachment response message sent by the MNO device, where the first OP is sent.
  • the request message includes identification information of the terminal device and Identification information of the eUICC.
  • Step 403 The first OP response message is returned to the eUICC by the terminal device, so that the eUICC performs confidential processing on the data on the eUICC.
  • the execution body of this embodiment is SM-SR.
  • the scenario in which the terminal device is not held by the legal user includes the case where the terminal device is stolen or the terminal device is lost.
  • the specific implementation manner in which the SM-SR determines that the terminal device is not held by a legitimate user may vary.
  • the theft of the terminal device can be determined by the MNO device according to the geographical location information reported by the terminal device, and the determination process can be referred to the description of the above implementation.
  • the MNO device After determining that the terminal device is stolen, the MNO device further determines whether the terminal device is in an attached state. When it is determined that the terminal device is in the detached state, the MNO device sends a stop signing request message to the SM-SR, and stops the signing request.
  • the message carries the identifier information of the eUICC and the stolen indication that the terminal device is stolen.
  • the process that the SM-SR determines that the terminal device is not held by the legal user includes: the SM-SR receives the stop subscription request message sent by the MNO device, where the stop subscription request message is that the MNO device determines that the terminal device is stolen and the terminal After the device is in the detached state, the stop signing request message includes the identifier information of the eUICC and the stolen indication that the terminal device is stolen. After receiving the stop signing request message, the SM-SR determines that the terminal device is stolen according to the identification information of the eUICC and the stolen indication.
  • the SM-SR after receiving the first OP response message or after receiving the stop subscription request message, the SM-SR sends a delete subscription data request message to the SM-DP.
  • the SM-DP is instructed to delete the subscription data corresponding to the eUICC.
  • the first OP response message returned by the SM-SR includes a stolen indication for identifying that the terminal device is stolen, and the SM-SR returns the first OP response to the eUICC by using the terminal device.
  • the message in order for the eUICC to perform confidential processing on the data on the eUICC, includes: the SM-SR returns a first OP response message to the eUICC through the terminal device, so that the eUICC deletes the data on the eUICC. Or the SM-SR returns a first OP response message to the eUICC through the terminal device, so that the eUICC Encrypt data on the eUICC.
  • the device can send a report to the M2M-SP device, and the M2M-SP device can report the report loss. Make sure the terminal device is missing. Then, the M2M-SP device sends a suspension subscription request message to the SM-SR, and carries the identification information of the terminal device, the identification information of the eUICC, and the loss indication indicating that the terminal device is lost in the suspension subscription request message.
  • the SM-SR determines that the terminal device is not held by the legal user, and includes: the SM-SR receives the suspended subscription request message sent by the M2M-SP device, and forwards the suspended subscription request message to the MNO device, so that the MNO device determines that the terminal device is lost.
  • the suspended subscription request message includes identification information of the terminal device, identification information of the eUICC, and a loss indication.
  • the SM-SR may also determine that the terminal device is lost according to the loss indication in the suspended subscription request message.
  • the MNO device sends a suspension subscription response message to the M2M-SP device through the SM-SR.
  • the SM-SR also receives the suspended subscription response message sent by the MNO device, and forwards the suspended subscription response message to the M2M-SP device, where the suspended subscription response message includes the identification information of the terminal device and the identification information of the eUICC.
  • the first OP response message returned by the SM-SR includes a loss indication for identifying the loss of the terminal device and an encryption key used for encrypting data on the eUICC, then the SM-SR Returning the first OP response message to the eUICC by the terminal device, so that the eUICC performs the security processing on the data on the eUICC.
  • the SM-SR returns a first OP response message to the eUICC through the terminal device, so that the eUICC encrypts the data on the eUICC. deal with.
  • the method of the embodiment further includes: receiving, by the eUICC, a second OP request message sent by the terminal device, where the second OP request message includes the identifier information of the terminal device and the identifier of the eUICC.
  • the second OP response message is sent by the terminal device to the eUICC, where the second OP response message is determined according to the received subscription response message sent by the MNO device to the M2M-SP device, after the terminal device is re-held by the legal user.
  • the resume subscription response message is sent by the MNO device to the M2M-SP device after receiving the recovery subscription request message sent by the M2M-SP device, where the second OP response message includes the decryption key and the And a recovery indication that the terminal device is re-held by the legal user, so that the eUICC decrypts the data on the eUICC by using the decryption key according to the recovery indication; and receives a data recovery confirmation message sent by the eUICC through the terminal device.
  • the first OP request message and the first OP response message in this embodiment are respectively corresponding to the second OP request message and the second OP response message in other method embodiments, respectively, in the case that the terminal device is lost;
  • the second OP request message and the second OP response message in this embodiment are respectively equivalent to the third OP request message and the third OP response message in other method embodiments.
  • the SM-SR returns an OP response for the OP request sent by the eUICC and responds in the OP if the terminal device is stolen or lost, and is not held by the legal user.
  • the indication of the theft or the loss of the terminal device is carried in the eUICC, so that the eUICC can perform the security processing on the data on the eUICC according to the indication, thereby realizing the protection of the data on the eUICC in the case that the terminal device is stolen or lost, etc. Good protection of users' personal information.
  • FIG. 5 is a flowchart of a method for securing data based on eUICC in a case where a terminal device is lost according to an embodiment of the present invention. As shown in FIG. 5, the method in this embodiment includes:
  • Step 501 Determine that the terminal device is lost.
  • Step 502 Receive a second OP request message sent by the eUICC on the terminal device by using the terminal device, where the second OP request message is sent by the terminal device to the eUICC after receiving the reject attachment response message sent by the MNO device, where the second OP is sent.
  • the request message includes identification information of the terminal device and identification information of the eUICC.
  • Step 503 The terminal device returns a second OP response message to the eUICC, so that the eUICC performs encryption processing on the data on the eUICC, where the second OP response message includes a loss indication for identifying the terminal device loss and data on the eUICC.
  • the encryption key used for encryption is used for encryption.
  • the execution subject of this embodiment is an SM-SR.
  • This embodiment is applicable to the case where the terminal device is lost. Specifically, after the legal user of the terminal device finds that the terminal device is lost, the device may send a loss report to the M2M-SP device, and the M2M-SP device may determine that the terminal device is lost according to the report loss request. Then, the M2M-SP device sends a pause subscription request message to the SM-SR. Accordingly, the SM-SR receives the suspended subscription request message sent by the M2M-SP device, and forwards the suspension subscription request message to the MNO device, so that the MNO device determines the terminal. The device is lost; the suspended subscription request message includes identification information of the terminal device, identification information of the eUICC, and a loss indication. In the process, the SM-SR may also determine that the terminal device is lost according to the loss indication in the suspended subscription request message.
  • the MNO device after receiving the suspended subscription request message, sends a suspension subscription response message to the M2M-SP device through the SM-SR.
  • the s-J SM-SR also receives the suspended subscription response message sent by the MNO device, and forwards the suspension subscription response message to the M2M-SP device, where the suspension subscription response message includes the identification information of the terminal device and the identification information of the eUICC.
  • the method in this embodiment further includes: receiving a third OP request message sent by the eUICC by using the terminal device, where the third OP request message includes the identifier information of the terminal device and the identifier information of the eUICC.
  • the terminal device Sending, by the terminal device, a third OP response message to the eUICC, where the third OP response message is determined according to the received subscription response message sent by the received MNO device to the M2M-SP device, after the terminal device is re-held by the legal user,
  • the resumed subscription response message is sent by the MNO device to the M2M-SP device after receiving the resume subscription request message sent by the M2M-SP device, where the third OP response message includes a decryption key and a recovery indication for identifying that the terminal device is re-held by the legal user, so that the eUICC decrypts the data on the eUICC by using the decryption key according to the recovery indication; and receiving the data recovery sent by the eUICC through the terminal device Confirm the message.
  • the SM-SR returns an OP response for the OP request sent by the eUICC in the case that the terminal device is lost, and carries an identifier indicating that the terminal device is lost in the OP response.
  • EDUCC can make an indication based on the loss The data on the eUICC is deleted, so that the protection of the data on the eUICC is realized in the case that the terminal device is lost, and the personal information security of the user can be well protected.
  • FIG. 6 is a flowchart of an eUICC-based data security method according to still another embodiment of the present invention. As shown in FIG. 6, the method in this embodiment includes:
  • Step 6a The MNO device detects that the terminal device is stolen.
  • the user can pre-determine the legal use area of the terminal device in the subscription and store it on the MNO device.
  • the terminal device periodically reports the geographical location information of the MNO device to the MNO device.
  • the MNO device can compare the geographical location information reported by the terminal device with the legal use area of the terminal device in the user subscription data, and determine whether the geographical location information reported by the terminal device belongs to the legal use area, and then analyze whether the terminal device is The conclusion of the theft. If the geographical location information reported by the terminal device does not belong to the legal use area of the terminal device, the MNO device may determine that the terminal device is stolen, and conversely, determine that the terminal device is not stolen (ie, still held by the legitimate user).
  • Step 6b The MNO device initiates a device stolen processing policy request to the M2M-SP device by using the SM-SR, and carries the identifier information of the terminal device, the identifier information of the eUICC, and the geographic location information reported by the terminal device.
  • Step 6c The M2M-SP device determines, according to the identifier information of the terminal device, the identifier information of the eUICC, and the geographical location information reported by the terminal device, that the terminal device belongs to the stolen situation, and returns the device stolen processing policy response message to the MNO device by using the SM-SR. , carry the stolen handling instructions.
  • the MNO device may obtain an indication of whether the terminal device is stolen from the M2M-SP device.
  • step 6b and step 6c are optional steps.
  • Step 6d The MNO device determines, according to the stolen processing instruction, that the terminal device is really stolen, and the eUICC The identification information is added to the blacklist.
  • the terminal device may be in an attached state or may be in a detached state (also referred to as an unattached state).
  • the embodiment adopts the following two paging methods to guide the eUICC to delete the local data.
  • Step 6el The MNO device sends a first paging message to the terminal device, and carries the identification information of the terminal device and the stolen indication.
  • the first paging message here is an enhanced paging message.
  • Step 6fl The terminal device sends a stop signing command to the eUICC, and carries the identification information of the terminal device and the stolen indication.
  • Step 6gl The eUICC sends a stop signing response to the SM-SR through the terminal device, carrying the identification information of the terminal device, the identifier information of the eUICC, and the theft indication, and then performing step 6k.
  • Step 6e2 The MNO device sends a second paging message to the terminal device, and carries the identification information of the terminal device.
  • Step 6f2 The terminal device sends an indication message to the eUICC to instruct the eUICC to send an OP request to the SM-SR.
  • Step 6g2 The eUICC sends a first OP request message to the SM-SR by using the terminal device, and carries the identifier information of the terminal device and the identifier information of the eUICC.
  • Step 6h2 The SM-SR determines that the terminal device is stolen according to the identifier information of the terminal device and the identifier information of the eUICC, sends a first OP response message to the eUICC, carries the stolen indication, and then performs step 6k.
  • Step 6i The eUICC deletes the data on the eUICC according to the stolen indication.
  • the local data deleted by eUICC includes but is not limited to OP, PP and user data.
  • steps 6el, 6fl, 6gl, and 6i are the processes in which the first paging method provided by the eUICC to delete the local data when the terminal device is in the attached state.
  • step 6e2, step 6f2, step 6g2, step 6h2, and step 6i are processes in which the second paging method provided by the eUICC to delete the local data when the terminal device is in the attached state.
  • Step 6j The MNO device initiates a stop signing request message to the SM-SR, carries the identifier information of the eUICC and the stolen indication, and then performs step 6k.
  • Step 6k The SM-SR sends a delete subscription data request message to the SM-DP, and carries the identifier information of the eUICC.
  • Step 61 The SM-DP deletes the subscription data corresponding to the eUICC according to the identifier information of the eUICC.
  • Step 6m The SM-DP returns a message to the SM-SR to delete the subscription data.
  • Step 6n the terminal device attempts to access the MNO network is rejected.
  • the step 6n specifically includes: the terminal device sends an attach request message to the MNO device, and then receives the reject attach response message returned by the MNO device, and sends an indication message to the eUICC after receiving the reject attachment response message, so that the eUICC initiates an OP request to the SM-SR. .
  • Step 6 The eUICC automatically activates the PP, and sends a second OP request message to the SM-SR through the terminal device, and carries the identifier information of the terminal device and the identifier information of the eUICC.
  • Step 6p The SM-SR determines that the terminal device is stolen according to the identifier information of the terminal device and the identifier information of the eUICC, and sends a second OP response message to the eUICC through the terminal device, and carries the stolen indication.
  • Step 6q The eUICC deletes the data on the eUICC according to the stolen indication.
  • the local data deleted by eUICC includes but is not limited to OP, PP and user data.
  • step 6j and the step 6n step 6q are processes for deleting the local data by the eUICC when the terminal device is in the detached state.
  • Step 6k-step 6m belongs to the processing flow on the network side, and the process is not limited by whether the terminal device is in an attached state or a detached state.
  • the identifier of the terminal device carried in the first paging message and the second paging message is IMSI
  • the identifier information of the terminal device carried in the other message is IMEI.
  • FIG. 7 is a flowchart of an eUICC-based data security method according to still another embodiment of the present invention. As shown in FIG. 7, the method in this embodiment includes:
  • Step 7a The M2M-SP device determines that the terminal device is lost according to the loss report initiated by the legal user of the terminal device.
  • Step 7b The M2M-SP device sends a suspension subscription request message to the MNO device through the SM-SR, and carries the identification information of the terminal device, the identifier information of the eUICC, and the loss indication indicating that the terminal device is lost.
  • Step 7c The MNO device sets the OP state corresponding to the eUICC to be suspended.
  • Step 7d The MNO device returns a suspension subscription response message to the M2M-SP device through the SM-SR, and carries the identification information of the terminal device and the identifier information of the eUICC.
  • Step 7e The M2M-SP device backs up the charging information of the terminal device and suspends charging.
  • Step 7f The terminal device tries to access the MNO network before the legitimate user unpacks and is rejected.
  • the step 7f specifically includes: the terminal device sends an attach request message to the MNO device, receives the reject attachment response message returned by the MNO device, and sends an indication message to the eUICC after receiving the reject attachment response message, so that the eUICC initiates an OP request to the SM-SR.
  • Step 7g The eUICC automatically activates the PP, and sends a second OP request message to the SM-SR through the terminal device, and carries the identifier information of the terminal device and the identifier information of the eUICC.
  • Step 7h The SM-SR determines that the terminal device is lost according to the identifier information of the terminal device and the identifier information of the eUICC, and sends a second OP response message to the eUICC through the terminal device, carrying the loss indication and the encryption key.
  • Step 7i The eUICC encrypts the data on the eUICC by using the encryption key according to the loss indication.
  • Local data encrypted by eUICC includes, but is not limited to, OP and user data.
  • Step 7j The eUICC returns an encrypted data confirmation message to the SM-SR through the terminal device.
  • Step 7k The M2M-SP device receives the unmount request for the terminal device.
  • Step 71 The M2M-SP device sends a recovery subscription request message to the MNO device by using the SM-SR, and carries the identifier information of the terminal device, the identifier information of the eUICC, and the recovery indication.
  • Step 7m The MNO device restores the state of the OP corresponding to the eUICC to normal.
  • Step 7n The MNO device returns a recovery subscription response message to the M2M-SP device through the SM-SR, and carries the identification information of the terminal device and the identifier information of the eUICC.
  • Step 7o The M2M-SP device reloads the backup accounting information and continues to charge the terminal device.
  • Step 7p The eUICC sends a third OP request message to the SM-SR by using the terminal device, and carries the identifier information of the terminal device and the identifier information of the eUICC.
  • Step 7q The SM-SR determines that the terminal device has been unattached according to the identifier information of the terminal device and the identifier information of the eUICC, and returns a third OP response message to the eUICC, carrying the decryption key and the recovery indication.
  • Step 7r The eUICC decrypts the local data by using the decryption key according to the recovery indication.
  • Step 7s The eUICC returns a decrypted data confirmation message to the SM-SR through the terminal device.
  • the method of the embodiment further includes an operation of requiring the user to perform settlement and delete the subscription data of the network side. As shown in FIG. 7, the method of this embodiment further includes the following optional steps:
  • Step 7t The M2M-SP device detects that the loss time of the terminal device exceeds the maximum time limit, notifies the legal user of the terminal device to complete the settlement, and then deletes the previously backed up charging information.
  • Step 7u the SM-DP on the network side, the MNO device, and the SM-SR delete the subscription data corresponding to the terminal device.
  • the M2M-SP device after learning that the terminal device is lost, instructs the MNO device to temporarily suspend the OP corresponding to the eUICC on the terminal device to suspend the subscription, so as to prohibit the terminal device from illegally accessing.
  • the MNO device network when the terminal device attempts to access the MNO device network before being unmounted, the SM-SR sends an encryption key to the eUICC to guide the eUICC to encrypt the local data, which can well protect the user's individual. information security. Another In addition, when the legal user requests to be revoked, the network-side subscription status is first restored. When the eUICC contacts the SM-SR through the terminal device, the SM-SR sends the decryption key to the eUICC to complete the decryption operation of the data on the eUICC. .
  • FIG. 8 is a schematic structural diagram of an MNO device according to an embodiment of the present invention.
  • the MNO device of the present embodiment includes a determination module 81, a setting module 82, and a security processing instruction module 83.
  • the determining module 81 is configured to determine that the terminal device is not held by a legitimate user.
  • the setting module 82 is configured to set the eUICC on the terminal device to an unavailable state after the determining module 81 determines that the terminal device is not held by the legal user.
  • the security processing indication module 83 is configured to, after the determining module 81 determines that the terminal device is not held by the legal user, instruct the eUICC to perform security processing on the data on the eUICC through the terminal device.
  • an implementation structure of the determining module 81 includes: a first receiving submodule 811 and a first determining submodule 812.
  • the first receiving submodule 811 is configured to receive geographic location information of the terminal device reported by the terminal device.
  • the first determining sub-module 812 is connected to the first receiving sub-module 811, and is configured to determine that the terminal device is stolen when the geographical location information received by the first receiving sub-module 811 does not belong to a legal use area of the preset terminal device.
  • an implementation structure of the first determining submodule 812 includes: a sending unit 8112, a receiving unit 8122, and a determining unit 8123.
  • the sending unit 8121 is connected to the first receiving sub-module 811, and configured to send the device to the M2M-SP device after determining that the geographical location information received by the first receiving sub-module 811 does not belong to the legal use area of the preset terminal device.
  • the stolen processing policy request message, the device stolen processing policy request message includes identifier information of the terminal device, identifier information of the eUICC, and geographic location information.
  • the receiving unit 8122 is configured to receive a device stolen processing policy response message sent by the M2M-SP device, where the device stolen processing policy response message is the identifier information of the M2M-SP device according to the terminal device, the identifier information of the eUICC, and the geographic location information. After the terminal device is determined to be stolen, the device stolen processing policy response message includes a stolen processing indication.
  • the receiving unit 8122 and the sending The sending unit 8121 is connected to receive the device stolen processing policy response message after the sending unit 8121 sends the device stolen processing policy request message.
  • the determining unit 8123 is connected to the receiving unit 8122, and is configured to determine that the terminal device is stolen according to the stolen processing indication received by the receiving unit 8122.
  • the setting module 82 is specifically configured to add the identifier information of the eUICC on the terminal device to the blacklist, so that the eUICC is in an unavailable state.
  • the security processing indication module 83 is specifically configured to instruct the eUICC to delete the data on the eUICC through the terminal device.
  • the security processing indication module 83 is specifically configured to send a first paging message to the terminal device, so that the terminal device sends a stop subscription command to the eUICC, so that the eUICC can perform data on the eUICC according to the stop signing command.
  • the first paging message includes the identification information of the terminal device and the stolen indication for identifying the theft of the terminal device
  • the stop subscription command includes the identification information of the terminal device and the stolen indication.
  • the security processing indication module 83 is specifically configured to send a second paging message to the terminal device, so that the terminal device instructs the eUICC to send the first OP request message to the SM-SR and receives the first OP response message returned by the SM-SR.
  • the second paging message includes the identifier information of the terminal device
  • the first OP request message includes the identifier information of the terminal device and the identifier information of the eUICC
  • the first OP response message includes the stolen indication.
  • the MNO device of this embodiment further includes: a determining module 84.
  • the determining module 84 is connected to the security processing indication module 83, and is configured to determine whether the terminal device is in an attached state before the security processing indication module 83 instructs the eUICC to perform security processing on the data on the eUICC, and determine that the terminal device is in an attached state.
  • the triggering security processing indication module 83 instructs the eUICC to perform security processing on the data on the eUICC through the terminal device.
  • the MNO device of this embodiment further includes: a deletion indication module 85.
  • the deletion indication module 85 is connected to the determination module 84 for determining the end of the determination module 84.
  • the device stops sending the subscription request message to the SM-SR, so that the SM-SR instructs the SM-DP to delete the subscription data corresponding to the eUICC, where the stop subscription request message includes the identifier information of the eUICC and the identifier for identifying the terminal.
  • the stolen stolen indication of the device is a deletion indication module 85.
  • another implementation structure of the determining module 81 includes: a second receiving submodule 813 and a second determining submodule 814.
  • the second receiving sub-module 813 is configured to receive a suspended subscription request message sent by the M2M-SP device, where the suspended subscription request message includes identifier information of the terminal device, identifier information of the eUICC, and a loss indication for identifying the loss of the terminal device, where The M2M-SP device determines that the terminal device is lost according to the report loss request of the legitimate user of the terminal device.
  • the second determining sub-module 814 is connected to the second receiving sub-module 813, and is configured to determine that the terminal device is lost according to the loss indication received by the second receiving sub-module 813.
  • the setting module 82 may be specifically configured to suspend the OP corresponding to the eUICC, so that the eUICC is in an unavailable state. Based on this, the MNO device of this embodiment further includes: a pause response sending module 86.
  • the suspension response sending module 86 is connected to the setting module 82, and is configured to send a suspension subscription response message to the M2M-SP device after the setting module 82 suspends the OP corresponding to the eUICC, where the suspended subscription response message includes the identification information of the terminal device. And eUICC identification information.
  • an implementation structure of the security processing indication module 83 includes: a third receiving submodule 831 and a transmitting submodule 832.
  • the third receiving submodule 831 is configured to receive an attach request message sent by the terminal device.
  • the sending submodule 832 is connected to the third receiving submodule 831, and is configured to: after receiving the attach request message, the third receiving submodule 831 returns a reject attach response message to the terminal device, so that the terminal device instructs the eUICC to send the message to the SM-SR.
  • the second OP response message is that the SM-SR determines that the terminal device is lost and sends according to the identifier information of the terminal device and the identifier information of the eUICC.
  • the second OP response message includes a loss indication and an encryption key used to encrypt data on the eUICC.
  • the MNO device of this embodiment further includes: a recovery request receiving module 87, an unattached module 88, and a recovery response sending module 89.
  • the recovery request receiving module 87 is configured to receive a recovery subscription request message sent by the M2M-SP device by using the SM-SR, where the recovery subscription request message includes identifier information of the terminal device, identifier information of the eUICC, and is used to identify that the terminal device is re-legalized The recovery indication held by the user.
  • the recovery request receiving module 87 is connected to the sending submodule 832.
  • the hangout module 88 is connected to the recovery request receiving module 87, and is configured to receive the recovery subscription request message at the recovery request receiving module 87, and unmount the OP corresponding to the eUICC, so that the eUICC is restored to the available state.
  • the recovery response sending module 89 is connected to the unattaching module 88, and is configured to send a recovery subscription response message to the M2M-SP device by using the SM-SR after the unmounting module 88 unpacks the OP corresponding to the eUICC, the recovery subscription response message.
  • the identification information of the terminal device and the identification information of the eUICC are included.
  • the function modules of the MNO device provided in this embodiment can be used to execute the corresponding process in the data security method shown in FIG. 2, and the specific working principle is not described here. For details, refer to the description of the method embodiment.
  • the MNO device of this embodiment can prevent the terminal device from illegally accessing the MNO device network by setting the eUICC on the terminal device to be in an unavailable state after determining that the terminal device is not held by the legal user, and instructing the eUICC to be notified by the terminal device.
  • the data on the eUICC is processed confidentially, so that the data on the eUICC is protected in the case where the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • FIG. 10 is a schematic structural diagram of an MNO device according to another embodiment of the present invention.
  • the MNO device of this embodiment includes: a processor 1001, a communication interface 1002, a memory 1003, and a bus 1004.
  • the processor 1001, the communication interface 1002, and the memory 1003 are connected to each other through the bus 1004 and by completing communication with each other.
  • the bus 1004 may be an industry standard architecture (industry standard architecture), and a peripheral component (Peripheral Component, The cartridge is called a PCI) bus or an extended industry standard architecture (EISA) bus.
  • the bus 1004 can be divided into an address bus, a data bus, a control bus, and the like. For ease of representation, only one thick line is shown in FIG. 10, but it does not mean that there is only one bus or one type of bus 1004. among them:
  • the memory 1003 is configured to store a program.
  • the program can include program code, the program code including computer operating instructions.
  • the memory 1003 can also store data received or transmitted by the communication interface 1002.
  • the memory 1003 may include a high speed RAM memory, and may also include a non-volatile memory (e.g., a non-volatile memory), such as at least one disk storage device.
  • a non-volatile memory e.g., a non-volatile memory
  • the processor 1001 is configured to execute a program stored in the memory 1003, to implement: determining that the terminal device is not held by a legitimate user, and setting the eUICC on the terminal device to an unavailable state.
  • the communication interface 1002 is configured to instruct the eUICC to perform confidential processing on the data on the eUICC by using the terminal device.
  • the communication interface 1002 can perform confidential processing on the data on the eUICC by using the terminal device to indicate the eUICC under the control of the processor 1001.
  • the processor 1001 sends an instruction to the communication interface 1002 via its bus to the communication interface 1002, and the communication interface 1002 instructs the eUICC to perform confidential processing on the data on the eUICC through the terminal device according to the instruction of the processor 1001.
  • the processor 1001 may be a central processing unit (CPU), or an application specific integrated circuit (Application Specific Integrated Circuit).
  • CPU central processing unit
  • Application Specific Integrated Circuit Application Specific Integrated Circuit
  • ASIC application-specific integrated circuit
  • the MNO device provided in this embodiment can be used to perform the corresponding process in the data security method shown in FIG. 2.
  • the specific working principle is not described here. For details, refer to the description of the method embodiment.
  • the MNO device of this embodiment can prevent the terminal device from illegally accessing the MNO device network by setting the eUICC on the terminal device to be in an unavailable state after determining that the terminal device is not held by the legal user, and instructing the eUICC to be notified by the terminal device.
  • the data on the eUICC is treated confidentially, from In the case that the terminal device is stolen or lost, the protection of the data on the eUICC is realized, and the personal information security of the user can be well protected.
  • FIG. 11 is a schematic structural diagram of an eUICC device according to an embodiment of the present invention.
  • the eUICC device in this embodiment is embedded in the terminal device.
  • the eUICC device in this embodiment includes: an indication receiving module 1101 and a security processing module 1102.
  • the indication receiving module 1101 is configured to receive an indication message, where the indication message is used to indicate that the eUICC device of the embodiment embedded in the terminal device performs confidential processing on the data on the eUICC device when the terminal device is not held by the legal user.
  • the security processing module 1102 is connected to the indication receiving module 1101, and is configured to perform confidential processing on the data on the eUICC device according to the embodiment according to the indication message received by the indication receiving module 1101.
  • the indication message received by the receiving module 1101 is a stop signing command.
  • an implementation structure of the indication receiving module 1101 includes: a first receiving submodule 11011 and a first transmitting submodule 11012.
  • the first receiving sub-module 11011 is configured to receive a stop signing command sent by the terminal device, where the stop signing command is generated by the terminal device after receiving the first paging message sent by the MNO device, and sent to the eUICC device of the embodiment.
  • the first paging message is sent by the MNO device to the terminal device after the terminal device is stolen according to the geographical location information reported by the terminal device, where the first paging message includes the identifier information of the terminal device and is used to identify the terminal.
  • the stolen indication of the stolen device includes the identification information of the terminal device and the stolen indication.
  • the first sending submodule 11012 is connected to the first receiving submodule 11011, and configured to send a stop signing response to the SM-SR by using the terminal device after the first receiving submodule 11011 receives the stop signing command, where the stop signing response includes The identification information of the terminal device, the identification information of the eUICC device of the embodiment, and the stolen indication received by the first receiving submodule 11011.
  • the first sending sub-module 11012 is also coupled to the security processing module 1102 for providing a stolen indication to the security processing module 1102.
  • the indication message received by the receiving module 1101 is a first OP response message.
  • an implementation structure of the indication receiving module 1101 includes: The second transmitting submodule 11013 and the second receiving submodule 11014.
  • a second sending sub-module 11013 configured to send, by the terminal device, a first OP request message to the SM-SR according to the indication that the terminal device receives the second paging message; the second paging message is that the MNO device is based on The location information reported by the terminal device is determined to be sent to the terminal device after the terminal device is stolen, and the second paging message includes the identifier information of the terminal device, where the first OP request message includes the identifier information of the terminal device and the eUICC of the embodiment. Identification information of the device.
  • the second receiving sub-module 11014 is connected to the second sending sub-module 11013, and configured to receive, by the terminal device, a first OP response message returned by the SM-SR after the second sending sub-module 11013 sends the first OP request message.
  • the first OP response message is sent by the SM-SR according to the identifier information of the terminal device and the identifier information of the eUICC device in the embodiment, and the first OP response message is used to identify that the terminal device is stolen. Stolen instructions.
  • the second receiving sub-module 11014 is connected to the security processing module 1102 for providing a stolen indication to the security processing module 1102.
  • the security processing module 1102 is specifically configured to delete data on the eUICC device of the embodiment according to the stolen indication.
  • the indication message received by the receiving module 1101 is a second OP response message.
  • another implementation structure of the indication receiving module 1101 includes: a third sending submodule 11015 and a third receiving submodule 11016.
  • the third sending sub-module 11015 is configured to send, by the terminal device, a second OP request message to the SM-SR according to the indication that the terminal device receives the reject attachment response message; the reject attachment response message is that the MNO device receives the terminal And the second OP request message includes the identifier information of the terminal device and the identifier information of the eUICC device in this embodiment, where the device sends the attach request message and determines that the terminal device is lost.
  • the third receiving sub-module 11016 is connected to the third sending sub-module 11015, and configured to receive, by the terminal device, a second OP response message returned by the SM-SR after the third sending sub-module 11015 sends the second OP request message.
  • the second OP response message is sent by the SM-SR after determining that the terminal device is lost according to the identifier information of the terminal device and the identifier information of the eUICC device in this embodiment.
  • the two OP response message includes a loss indication for identifying the loss of the terminal device and an encryption key for encrypting the data on the eUICC device of the present embodiment.
  • the third receiving sub-module 11016 is also connected to the security processing module 1102.
  • the security processing module 1102 is specifically configured to perform, according to the loss indication received by the third receiving submodule 11016, using the encryption key received by the third receiving submodule 11016 to perform data on the eUICC device of the embodiment. Encryption processing.
  • the eUICC device of this embodiment further includes: a request sending module 1103, a response receiving module 1104, a decryption processing module 1105, and an acknowledgment sending module 1106.
  • the request sending module 1103 is configured to send, by using the terminal device, a third OP request message to the SM-SR, where the third OP request message includes the identifier information of the terminal device and the identifier information of the eUICC device in this embodiment.
  • the request sending module 1103 is connected to the security processing module 1102.
  • the response receiving module 1104 is connected to the request sending module 1103, and configured to receive, by the terminal device, a third OP response message sent by the SM-SR after the request sending module 1103 sends the third OP request message, where the third OP response message is
  • the SM-SR determines, after receiving the third OP request message, after the terminal device is re-held by the legal user according to the received subscription response message sent by the received MNO device to the M2M-SP device, the resume subscription response message is
  • the MNO device sends the recovery subscription request message sent by the M2M-SP device to the M2M-SP device, where the third OP response message includes a decryption key and a recovery indication for identifying that the terminal device is held by the legal user.
  • the decryption processing module 1105 is connected to the response receiving module 1104, and is configured to perform decryption processing on the data on the eUICC device of the embodiment by using the decryption key received by the response receiving module 1104 according to the recovery indication received by the response receiving module 1104.
  • the confirmation sending module 1106 is connected to the decryption processing module 1105, and is configured to send a data recovery confirmation message to the SM-SR through the terminal device after the decryption processing module 1105 decrypts the data on the eUICC device of the present embodiment.
  • Each functional module of the eUICC device of this embodiment may be used to execute the data security method shown in FIG.
  • the eUICC device provided in this embodiment cooperates with the network side device (for example, the MNO device, the SM-SR, and/or the M2M-SP device), and after the terminal device is not held by the legal user, according to the received indication information, e
  • the data on the uiCC is processed confidentially, so that the protection of the data on the eUICC is realized in the case where the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • FIG. 13 is a schematic structural diagram of an eUICC device according to another embodiment of the present invention.
  • the eUICC device in this embodiment is embedded in the terminal device.
  • the eUICC device in this embodiment includes: a communication interface 1301, a processor 1302, a memory 1303, and a bus 1304.
  • the communication interface 1301, the processor 1302, and the memory 1303 are connected to each other through the bus 1304 and complete communication with each other.
  • the bus 1304 can be an ISA bus, a PCI bus, or an EISA bus.
  • the bus 1304 can be divided into an address bus, a data bus, a control bus, and the like. For ease of representation, only one thick line is shown in Figure 13, but it does not mean that there is only one bus or one type of bus 1304. among them:
  • the memory 1303 is used to store the program.
  • the program can include program code, the program code including computer operating instructions.
  • the memory 1303 can also store data received or transmitted by the communication interface 1301.
  • the memory 1303 may include a high speed RAM memory and may also include a non-volatile memory such as at least one disk memory.
  • the communication interface 1301 is configured to receive an indication message, where the indication message is used to instruct the eUICC device embedded in the terminal device to perform confidential processing on the data on the eUICC device when the terminal device is not held by the legal user.
  • the processor 1302 is configured to execute the program stored in the memory 1303, so as to: perform security processing on the data on the eUICC of the embodiment according to the indication message received by the communication interface 1301.
  • Processor 1302 may be a CPU, or a particular ASIC, or one or more integrated circuits configured to implement embodiments of the present invention.
  • the eUICC device provided in this embodiment may be used to perform corresponding operations in the data security method shown in FIG.
  • the specific working principle of the process is not described here. For details, refer to the description of the method embodiment.
  • the eUICC device provided in this embodiment cooperates with the network side device (for example, the MNO device, the SM-SR, and/or the M2M-SP device), and after the terminal device is not held by the legal user, according to the received indication information, e
  • the data on the uiCC is processed confidentially, so that the protection of the data on the eUICC is realized in the case where the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • FIG. 14 is a schematic structural diagram of an SM-SR device according to an embodiment of the present invention.
  • the SM-SR device of this embodiment includes: a determining module 1401, a first request receiving module 1402, and a first response sending module 1403.
  • the determining module 1401 is configured to determine that the terminal device is not held by a legitimate user.
  • the first request receiving module 1402 is connected to the determining module 1401, and configured to: after the determining module 1401 determines that the terminal is stolen, receive the first OP request message sent by the eUICC on the terminal device by using the terminal device, where the first OP request message is After receiving the reject attachment response message sent by the MNO device, the terminal device instructs the eUICC to send the identifier, where the first OP request message includes the identifier information of the terminal device and the identifier information of the eUICC.
  • the first response sending module 1403 is configured to be connected to the first request receiving module 1402, and configured to: after the first request receiving module 1402 receives the first OP request message, return, by using the terminal device, the first OP response message to the eUICC, so that the eUICC pair The data on the eUICC is treated confidentially.
  • an implementation structure of the determining module 1401 includes: a receiving submodule 14011 and a first determining submodule 14012.
  • the receiving sub-module 14011 is configured to receive a stop signing request message sent by the MNO device, where the stop signing request message is sent by the MNO device after determining that the terminal device is stolen and the terminal device is in a detached state, where the stop signing request message includes The eUICC identification information and the stolen indication.
  • the first determining sub-module 14012 is connected to the receiving sub-module 14011, and is configured to determine that the terminal device is stolen according to the identifier information of the eUICC and the stolen indication received by the receiving sub-module 14011.
  • the first request receiving module 1402 is connected to the first determining submodule 14012. As shown in FIG.
  • the SM-SR device of this embodiment may further include: a request sending module 14013, and the receiving sub-module 14011 and the first response sending
  • the module 1403 is configured to send a delete subscription data request message to the SM-DP after the first response sending module 1403 returns a first OP response message to the eUICC or after the receiving submodule 14011 receives the stop subscription request message, to indicate the SM.
  • -DP deletes the subscription data corresponding to the eUICC.
  • the first OP response message includes a stolen indication for identifying the stolen terminal device
  • the first response sending module 1403 is specifically configured to use the terminal device to the eUICC.
  • the first OP response message is returned to cause the eUICC to delete the data on the eUICC.
  • the first response sending module 1403 is specifically configured to: return, by using the terminal device, the first OP response message to the eUICC, so that the eUICC performs encryption processing on the data on the eUICC.
  • the determining module 1401 includes: a receiving forwarding submodule 16011 and a second determining submodule 16012.
  • the receiving and forwarding sub-module 16011 is configured to receive the suspended subscription request message sent by the M2M-SP device, and forward the suspended subscription request message to the MNO device, so that the MNO device determines that the terminal device is lost; and the suspended subscription request message includes the identifier of the terminal device.
  • Information, identification information for eUICC, and loss indication is included in the suspended subscription request message.
  • the second determining sub-module 16012 is connected to the receiving and forwarding sub-module 16011, and is configured to determine that the terminal device is lost according to the lost indication received by the receiving and forwarding sub-module 16011.
  • the second determining sub-module 16012 is coupled to the first request receiving module 1402.
  • the first response is sent, except that the terminal device is lost.
  • the module 1403 is specifically configured to return a first OP response message to the eUICC by using the terminal device, so that the eUICC performs encryption processing on the data on the eUICC.
  • the SM-SR of the embodiment further includes: a pause response receiving module 1604. And suspending the response forwarding module 1605.
  • the suspension response receiving module 1604 is connected to the receiving and forwarding sub-module 16011, and configured to receive the suspended subscription response message sent by the MNO device after the receiving and forwarding sub-module 16011 forwards the suspended subscription request message, where the suspended subscription response message includes the identifier of the terminal device. Information and identification information of the eUICC.
  • the suspend response forwarding module 1605 is coupled to the suspend response receiving module 1604 for forwarding the suspend subscription response message received by the suspend response receiving module 1604 to the M2M-SP device.
  • the SM-SR of the embodiment further includes: a second request receiving module 1606, a second response The transmitting module 1607 and the determining receiving module 1608.
  • the second request receiving module 1606 is configured to receive a second OP request message sent by the eUICC by using the terminal device, where the second OP request message includes the identifier information of the terminal device and the identifier information of the eUICC.
  • the second request receiving module 1606 is connected to the first response sending module 1403, and configured to: after the first response sending module 1403 returns a first OP response message to the eUICC, to enable the eUICC to encrypt the data on the eUICC, Receiving a second OP request message sent by the eUICC through the terminal device.
  • the second response sending module 1607 is connected to the second request receiving module 1606, and configured to send, by the terminal device, a second OP response message to the eUICC after the second request receiving module 1606 receives the second OP request message, where the second The OP response message is sent after receiving the second OP request message after determining that the terminal device is re-held by the legal user according to the recovery subscription response message sent by the MNO device to the M2M-SP device, and the recovery subscription response message is The MNO device sends the recovery subscription request message sent by the M2M-SP device to the M2M-SP device, where the second OP response message includes a decryption key and is used to identify that the terminal device is re-held by the legal user. The indication is restored so that the eUICC decrypts the data on the eUICC using the decryption key according to the recovery indication.
  • the acknowledgment receiving module 1608 is connected to the second response sending module 1607, and configured to send in the second response. After sending the second OP response message, the sending module 1607 receives the data recovery confirmation message sent by the eUICC through the terminal device.
  • the function modules or sub-modules of the SM-SR device in this embodiment can be used to perform the corresponding processes in the data security method shown in FIG. 4.
  • the specific working principle is not described here. For details, refer to the description of the method embodiments.
  • the SM-SR device of the present embodiment returns an OP response for the OP request sent by the eUICC in the case that the terminal device is stolen or lost, and the OP response is carried in the OP response to identify that the terminal device is stolen or lost.
  • the indication is that the eUICC can perform confidential processing on the data on the eUICC according to the indication, so that the protection of the data on the eUICC is implemented in the case that the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • FIG. 16 is a schematic diagram of receiving a SM-SR device according to another embodiment of the present invention.
  • the SM-SR device of this embodiment includes: a processor 1801, a communication interface 1802, a memory 1803, and a bus 1804.
  • the processor 1801, the communication interface 1802, and the memory 1803 are mutually connected by the bus 1804 and complete communication with each other.
  • the bus 1804 can be an ISA bus, a PCI bus, or an EISA bus.
  • the bus 1804 can be divided into an address bus, a data bus, a control bus, and the like. For ease of representation, only one thick line is shown in Figure 16, but it does not mean that there is only one bus or one type of bus 1804. among them:
  • the memory 1803 is used to store the program.
  • the program can include program code, the program code including computer operating instructions.
  • the memory 1803 can also store data received or transmitted by the communication interface 1802.
  • the memory 1803 may include a high speed RAM memory and may also include a non-volatile memory (e.g., a non-volatile memory), such as at least one disk storage device.
  • a non-volatile memory e.g., a non-volatile memory
  • the processor 1801 is configured to execute a program stored in the memory 1803 to determine that the terminal device is not held by a legitimate user.
  • Processor 1801 may be a CPU, or a particular ASIC, or one or more integrated circuits configured to implement embodiments of the present invention.
  • the communication interface 1802 is configured to: after the processor 1801 determines that the terminal device is not held by the legal user, receive the first OP request message sent by the eUICC on the terminal device by using the terminal device, where the first The OP request message is sent by the terminal device to the eUICC after receiving the reject attachment response message sent by the MNO device, where the first OP request message includes the identifier information of the terminal device and the identifier information of the eUICC; the communication interface 1802 is also used to pass the terminal.
  • the device returns a first OP response message to the eUICC, so that the eUICC performs confidential processing on the data on the eUICC.
  • the first OP response message includes a stolen indication for identifying that the terminal device is stolen.
  • the first OP response message includes a loss indication for identifying the loss of the terminal device and an encryption key for encrypting the data on the eUICC.
  • the function modules or sub-modules of the SM-SR device in this embodiment can be used to perform the corresponding processes in the data security method shown in FIG. 4.
  • the specific working principle is not described here. For details, refer to the description of the method embodiments.
  • the SM-SR device of the present embodiment returns an OP response for the OP request sent by the eUICC in the case that the terminal device is stolen or lost, and the OP response is carried in the OP response to identify that the terminal device is stolen or lost.
  • the indication is that the eUICC can perform confidential processing on the data on the eUICC according to the indication, so that the protection of the data on the eUICC is implemented in the case that the terminal device is stolen or lost, and the personal information security of the user can be well protected.
  • An embodiment of the present invention provides an eUICC-based data security system, including: the MNO device provided in the embodiment shown in FIG. 8 or FIG. 9 or FIG. 10, and the eUICC device provided in the embodiment shown in FIG. 11 or FIG. And the SM-SR device provided by the embodiment shown in Fig. 14 or Fig. 15 or Fig. 16.
  • the aforementioned program can be stored in a computer readable storage medium.
  • the program when executed, performs the steps including the foregoing method embodiments; and the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明实施例提供一种基于嵌入式通用集成电路卡（eUICC）的数据保密方法及设备。一种方法包括：确定终端设备未被合法用户持有（201）；设置所述终端设备上的eUICC为不可用状态（202）；通过所述终端设备指示所述eUICC对所述eUICC上的数据进行保密处理（203）。采用本发明的技术方案，可以在终端设备丢失后，对嵌入终端设备的eUICC上的数据进行保密。

Description

基于 人式通用集成电路卡的数据保密方法及设备 本申请要求于 2012 年 10 月 12 日提交中国专利局， 申请号为 201210387378.2、发明名称为 "基于嵌入式通用集成电路卡的数据保密方法及 设备" 的中国专利申请， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信技术， 尤其涉及一种基于嵌入式通用集成电路卡 ( embedded Universal Integrated Circuit Card, 筒称为 eUICC )的数据保密方法 及设备。
背景技术
传统的通用集成电路卡（ Universal Integrated Circuit Card, 筒称为 UICC ) 是移动运营商定制的， 出厂时包含了移动运营商的相关信息， 一旦出厂后， 运营商信息不可变更。 eUICC是嵌入在终端设备中的 UICC, 允许对其进行远 程管理， 例如下载 /删除移动运营商数据、 切换移动运营商网络等。
对于 eUICC来说， 在终端设备丟失后， 用户可以自行联系移动网络运营 商 （Mobile Network Operator, 筒称为 MNO )客服或前往营业厅办理挂失业 务。 移动运营商收到挂失业务请求后， 只需要更新网络中的签约数据库， 使 丟失终端设备使用的签约无效即可拒绝非法接入。 但是， 对于 eUICC上的签 约信息和用户数据没有提供安全保护机制。 发明内容
本发明实施例提供一种基于嵌入式通用集成电路卡的数据保密方法及设 备， 用于在终端设备丟失后， 对 eUICC上的数据进行保密。
第一方面提供一种基于嵌入式通用集成电路卡的数据保密方法， 包括： 确定终端设备未被合法用户持有； 设置所述终端设备上的 eUICC为不可用状态；
通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进行保密处 理。
在第一方面的第一种可选的实施方式中， 所述确定终端设备未被合法用 户持有包括： 在所述地理位置信息不属于预设的所述终端设备的合法使用区域时， 确 定所述终端设备被盗。
结合第一方面的第一种可能的实施方式， 在第一方面的第二种可能的实 施方式中，所述通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进 行保密处理包括：
向所述终端设备发送第一寻呼消息， 以使所述终端设备向所述 eUICC发 数据进行保密处理， 所述第一寻呼消息包括所述终端设备的标识信息和用于 标识所述终端设备被盗的被盗指示， 所述停止签约命令包括所述终端设备的 标识信息和所述被盗指示； 或者
向所述终端设备发送第二寻呼消息， 以使所述终端设备指示所述 eUICC 向签约管理单元-安全路由 SM-SR发送第一执行文件 OP请求消息并在接收到 所述 SM-SR返回的第一 OP响应消息后对所述 eUICC上的数据进行保密处理， 所述第二寻呼消息包括所述终端设备的标识信息，所述第一 OP请求消息包括 所述终端设备的标识信息和所述 eUICC的标识信息， 所述第一 OP响应消息 是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出 所述终端设备被盗后发送的， 所述第一 OP响应消息包括所述被盗指示。
在第一方面的第三种可能的实现方式中， 所述确定终端设备未被合法用 户持有包括：
接收机器间通信服务提供商 M2M-SP设备发送的暂停签约请求消息， 所 述暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息 和用于标识所述终端设备丟失的丟失指示， 其中， 所述 M2M-SP设备根据所 述合法用户的挂失请求确定所述终端设备丟失；
根据所述丟失指示， 确定所述终端设备丟失。
结合第一方面的第三种可能的实现方式， 在第一方面的第四种可能的实 现方式中，所述通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进 行保密处理包括：
接收所述终端设备发送的附着请求消息；
向所述终端设备返回拒绝附着响应消息， 以使所述终端设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第二 OP请求消息并在接收到所 述 SM-SR返回的第二 OP响应消息后对所述 eUICC上的数据进行加密处理， 所述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信 息， 所述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所 述 eUICC的标识信息确定出所述终端设备丟失后发送的， 所述第二 OP响应 消息包括所述丟失指示和对所述 eUICC上的数据进行加密使用的加密密钥。
第二方面提供一种基于嵌入式通用集成电路卡的数据保密方法， 包括： 终端设备上的 eUICC接收指示消息， 所述指示消息用于在所述终端设备 未被合法用户持有时，指示所述 eUICC对所述 eUICC上的数据进行保密处理； 所述 eUICC根据所述指示消息， 对所述 eUICC上的数据进行保密处理。 在第二方面的第一种可能的实现方式中， 所述指示消息为停止签约命令； 所述终端设备上的 eUICC接收指示消息包括：
所述 eUICC接收所述终端设备发送的所述停止签约命令， 所述停止签约 命令是所述终端设备在接收到移动网络运营商 MNO设备发送的第一寻呼消 息后生成并发送给所述 eUICC的， 所述第一寻呼消息是所述 MNO设备在根 据所述终端设备上报的地理位置信息确定所述终端设备被盗后发送给所述终 端设备的， 所述第一寻呼消息包括所述终端设备的标识信息和用于标识所述 终端设备被盗的被盗指示， 所述停止签约命令包括所述终端设备的标识信息 和所述被盗指示；
所述 eUICC通过所述终端设备向签约管理单元-安全路由 SM-SR发送停 止签约响应， 所述停止签约响应包括所述终端设备的标识信息、 所述 eUICC 的标识信息和所述被盗指示。
在第二方面的第二种可能的实现方式中， 所述指示消息为第一执行文件 OP响应消息；
所述终端设备上的 eUICC接收指示消息包括：
所述 eUICC根据所述终端设备在接收到第二寻呼消息后的指示， 通过所 述终端设备向签约管理单元-安全路由 SM-SR发送第一 OP请求消息； 所述第 二寻呼消息是移动网络运营商 MNO设备在根据所述终端设备上报的地理位 置信息确定所述终端设备被盗后发送给所述终端设备的， 所述第二寻呼消息 包括所述终端设备的标识信息，所述第一 OP请求消息包括所述终端设备的标 识信息和所述 eUICC的标识信息；
所述 eUICC通过所述终端设备接收所述 SM-SR返回的第一 OP响应消息； 所述第一 OP 响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出所述终端设备被盗后发送的，所述第一 OP响应消息 包括用于标识所述终端设备被盗的被盗指示。
在第二方面的第三种可能的实现方式中， 所述指示消息为第二执行文件 OP响应消息；
所述终端设备上的 eUICC接收指示消息包括：
所述 eUICC根据所述终端设备在接收到拒绝附着响应消息后的指示， 通 过所述终端设备向签约管理单元-安全路由 SM-SR发送第二 OP请求消息； 所 述拒绝附着响应消息是移动网络运营商 MNO设备在接收到所述终端设备发 述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息； 所述 eUICC通过所述终端设备接收所述 SM-SR返回的第二 OP响应消息； 所述第二 OP 响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出所述终端设备丟失后发送的，所述第二 OP响应消息 包括用于标识所述终端设备丟失的丟失指示和对所述 eUICC上的数据进行加 密使用的加密密钥。
第三方面提供一种基于嵌入式通用集成电路卡的数据保密方法， 包括： 确定终端设备未被合法用户持有；
接收所述终端设备上的 eUICC通过所述终端设备发送的第一 OP请求消 息，所述第一 OP请求消息是所述终端设备在接收到移动网络运营商 MNO设 备发送的拒绝附着响应消息后指示所述 eUICC发送的， 所述第一 OP请求消 息包括所述终端设备的标识信息和所述 eUICC的标识信息；
通过所述终端设备向所述 eUICC返回第一 OP响应消息，以使所述 eUICC 对所述 eUICC上的数据进行保密处理。
在第三方面的第一种可能的实现方式中， 所述确定终端设备未被合法用 户持有包括：
接收所述 MNO设备发送的停止签约请求消息，所述停止签约请求消息是 所述 MNO设备在确定所述终端设备被盗且所述终端设备处于去附着状态后 发送的，所述停止签约请求消息包括所述 eUICC的标识信息和所述被盗指示； 根据所述 eUICC的标识信息和所述被盗指示， 确定所述终端设备被盗。 结合第三方面的第一种可能的实现方式， 在三方面的第二种可能的实现 方式中， 所述第一 OP响应消息包括用于标识所述终端设备被盗的被盗指示； 所述通过所述终端设备向所述 eUICC返回第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理包括：
通过所述终端设备向所述 eUICC返回所述第一 OP响应消息， 以使所述 eUICC删除所述 eUICC上的数据。
在第三方面的第三种可能的实现方式中， 所述确定终端设备未被合法用 户持有包括：
接收机器间通信服务提供商 M2M-SP设备发送的暂停签约请求消息， 将 所述暂停签约请求消息转发给所述 MNO设备，以使所述 MNO设备确定所述 终端设备丟失； 所述暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和所述丟失指示；
根据所述丟失指示， 确定所述终端设备丟失。
结合第三方面的第三种可能的实现方式， 在第三方面的第四种可能的实 现方式中，所述第一 OP响应消息包括用于标识所述终端设备丟失的丟失指示 和对所述 eUICC上的数据进行加密使用的加密密钥；
所述通过所述终端设备向所述 eUICC返回第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理包括：
通过所述终端设备向所述 eUICC返回所述第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行加密处理。
第四方面提供一种移动网络运营商 MNO设备， 包括：
确定模块， 用于确定终端设备未被合法用户持有；
设置模块， 用于设置所述终端设备上的嵌入式通用集成电路卡 eUICC为 不可用状态；
保密处理指示模块， 用于通过所述终端设备指示所述 eUICC 对所述 eUICC上的数据进行保密处理。
在第四方面的第一种可能的实现方式中， 所述确定模块包括： 理位置信息；
第一确定子模块， 用于在所述第一接收子模块接收到的所述地理位置信 息不属于预设的所述终端设备的合法使用区域时， 确定所述终端设备被盗。
结合第四方面的第一种可能的实现方式， 在第四方面的第二种可能的实 现方式中， 所述保密处理指示模块具体用于向所述终端设备发送第一寻呼消 据所述停止签约命令对所述 eUICC上的数据进行保密处理， 所述第一寻呼消 息包括所述终端设备的标识信息和用于标识所述终端设备被盗的被盗指示， 所述停止签约命令包括所述终端设备的标识信息和所述被盗指示； 或者
所述保密处理指示模块具体用于向所述终端设备发送第二寻呼消息， 以 使所述终端设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第一 执行文件 OP请求消息并在接收到所述 SM-SR返回的第一 OP响应消息后对 所述 eUICC上的数据进行保密处理， 所述第二寻呼消息包括所述终端设备的 标识信息，所述第一 OP请求消息包括所述终端设备的标识信息和所述 eUICC 的标识信息， 所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识 信息和所述 eUICC的标识信息确定出所述终端设备被盗后发送的， 所述第一 OP响应消息包括所述被盗指示。
在第四方面的第三种可能的实现方式中， 所述确定模块包括：
第二接收子模块， 用于接收机器间通信服务提供商 M2M-SP设备发送的 暂停签约请求消息， 所述暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和用于标识所述终端设备丟失的丟失指示， 其中， 所 述 M2M-SP设备根据所述合法用户的挂失请求确定所述终端设备丟失；
第二确定子模块， 用于根据所述丟失指示， 确定所述终端设备丟失。 结合第四方面的第三种可能的实现方式， 在第四方面的第四种可能的实 现方式中， 所述保密处理指示模块包括：
第三接收子模块， 用于接收所述终端设备发送的附着请求消息； 发送子模块， 用于向所述终端设备返回拒绝附着响应消息， 以使所述终 端设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第二 OP请求 消息并在接收到所述 SM-SR返回的第二 OP响应消息后对所述 eUICC上的数 据进行加密处理，所述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息， 所述第二 OP响应消息是所述 SM-SR根据所述终端设备 的标识信息和所述 eUICC的标识信息确定出所述终端设备丟失后发送的， 所 述第二 OP响应消息包括所述丟失指示和对所述 eUICC上的数据进行加密使 用的加密密钥。
第五方面提供一种嵌入式通用集成电路卡 eUICC设备，嵌在终端设备中， 所述 eUICC设备包括：
指示接收模块， 用于接收指示消息， 所述指示消息用于在所述终端设备 未被合法用户持有时，指示所述 eUICC设备对所述 eUICC设备上的数据进行 保密处理；
保密处理模块， 用于根据所述指示消息， 对所述 eUICC设备上的数据进 行保密处理。
在第五方面的第一种可能的实现方式中， 所述指示消息为停止签约命令； 所述指示接收模块包括：
第一接收子模块， 用于接收所述终端设备发送的所述停止签约命令， 所 述停止签约命令是所述终端设备在接收到移动网络运营商 MNO设备发送的 第一寻呼消息后生成并发送给所述 eUICC设备的， 所述第一寻呼消息是所述 MNO设备在根据所述终端设备上报的地理位置信息确定所述终端设备被盗 后发送给所述终端设备的， 所述第一寻呼消息包括所述终端设备的标识信息 和用于标识所述终端设备被盗的被盗指示， 所述停止签约命令包括所述终端 设备的标识信息和所述被盗指示；
第一发送子模块， 用于通过所述终端设备向签约管理单元-安全路由 SM-SR发送停止签约响应，所述停止签约响应包括所述终端设备的标识信息、 所述 eUICC设备的标识信息和所述被盗指示。
在第五方面的第二种可能的实现方式中， 所述指示消息为第一执行文件 OP响应消息；
所述指示接收模块包括：
第二发送子模块， 用于根据所述终端设备在接收到第二寻呼消息后的指 示，通过所述终端设备向签约管理单元-安全路由 SM-SR发送第一 OP请求消 息；所述第二寻呼消息是移动网络运营商 MNO设备在根据所述终端设备上报 的地理位置信息确定所述终端设备被盗后发送给所述终端设备的， 所述第二 寻呼消息包括所述终端设备的标识信息，所述第一 OP请求消息包括所述终端 设备的标识信息和所述 eUICC设备的标识信息；
第二接收子模块， 用于通过所述终端设备接收所述 SM-SR返回的第一 OP响应消息；所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识 信息和所述 eUICC的标识信息确定出所述终端设备被盗后发送的， 所述第一 OP响应消息包括用于标识所述终端设备被盗的被盗指示。
在第五方面的第三种可能的实现方式中， 所述指示消息为第二执行文件
OP响应消息；
所述指示接收模块包括：
第三发送子模块， 用于根据所述终端设备在接收到拒绝附着响应消息后 的指示，通过所述终端设备向签约管理单元-安全路由 SM-SR发送第二 OP请 求消息；所述拒绝附着响应消息是移动网络运营商 MNO设备在接收到所述终 备的， 所述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC设 备的标识信息；
第三接收子模块， 用于通过所述终端设备接收所述 SM-SR返回的第二 OP响应消息；所述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识 信息和所述 eUICC设备的标识信息确定出所述终端设备丟失后发送的， 所述 第二 OP 响应消息包括用于标识所述终端设备丟失的丟失指示和对所述 eUICC设备上的数据进行加密使用的加密密钥。
第六方面提供一种签约管理单元-安全路由 SM-SR设备， 包括： 确定模块， 用于确定终端设备未被合法用户持有；
第一请求接收模块， 用于接收所述终端设备上的 eUICC通过所述终端设 备发送的第一 OP请求消息， 所述第一 0P请求消息是所述终端设备在接收到 移动网络运营商 MNO设备发送的拒绝附着响应消息后指示所述 eUICC发送 的， 所述第一 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标 识信息；
第一响应发送模块， 用于通过所述终端设备向所述 eUICC返回第一 OP 响应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理。
在第六方面的第一种可能的实现方式中， 所述确定模块包括：
接收子模块，用于接收所述 MNO设备发送的停止签约请求消息，所述停 止签约请求消息是所述 MNO设备在确定所述终端设备被盗且所述终端设备 处于去附着状态后发送的， 所述停止签约请求消息包括所述 eUICC的标识信 息和所述被盗指示；
第一确定子模块， 用于根据所述 eUICC的标识信息和所述被盗指示， 确 定所述终端设备被盗。
结合第六方面的第一种可能的实现方式， 在第六方面的第二种可能的实 现方式中， 所述第一 OP 响应消息包括用于标识所述终端设备被盗的被盗指 示； 述第一 OP响应消息， 以使所述 eUICC删除所述 eUICC上的数据。
在第六方面的第三种可能的实现方式中， 所述确定模块包括：
接收转发子模块， 用于接收机器间通信服务提供商 M2M-SP设备发送的 暂停签约请求消息，将所述暂停签约请求消息转发给所述 MNO设备， 以使所 述 MNO设备确定所述终端设备丟失；所述暂停签约请求消息包括所述终端设 备的标识信息、 所述 eUICC的标识信息和所述丟失指示；
第二确定子模块， 用于根据所述丟失指示， 确定所述终端设备丟失。 结合第六方面的第三种可能的实现方式， 在第六方面的第四种可能的实 现方式中，所述第一 OP响应消息包括用于标识所述终端设备丟失的丟失指示 和对所述 eUICC上的数据进行加密使用的加密密钥； 述第一 OP响应消息，以使所述 eUICC对所述 eUICC上的数据进行加密处理。
第七方面提供一种基于嵌入式通用集成电路卡 eUICC的数据保密系统， 包括： 本发明第四方面提供的任一移动网络运营商 MNO设备、本发明第五方 面提供的任一嵌入式通用集成电路卡 eUICC设备、 以及本发明第六方面提供 的任一签约管理单元-安全路由 SM-SR设备。
本发明实施例提供的基于嵌入式通用集成电路卡的数据保密方法及设 备， MNO设备确定终端设备未被合法用户持有后， 通过设置终端设备上的 eUICC为不可用状态，并通过终端设备指示 eUICC对 eUICC上的数据进行保 密处理， 从而在终端设备被盗或丟失的情况下实现了对 eUICC上的数据的保 护。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一筒单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例提供的针对 eUICC的系统架构示意图；
图 2为本发明一实施例提供的基于 eUICC的数据保密方法的流程图； 图 3为本发明另一实施例提供的基于 eUICC的数据保密方法的流程图； 图 4为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图； 图 5为本发明一实施例提供的在终端设备丟失情况下， 基于 eUICC的数 据保密方法的流程图；
图 6为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图； 图 7为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图； 图 8为本发明一实施例提供的 MNO设备的结构示意图；
图 9为本发明另一实施例提供的 MNO设备的结构示意图；
图 10为本发明又一实施例提供的 MNO设备的结构示意图；
图 11为本发明一实施例提供的 eUICC设备的结构示意图；
图 12为本发明另一实施例提供的 eUICC设备的结构示意图；
图 13为本发明又一实施例提供的 eUICC设备的结构示意图；
图 14为本发明一实施例提供的 SM-SR设备的结构示意图；
图 15为本发明另一实施例提供的 SM-SR设备的结构示意图；
图 16为本发明又一实施例提供的 SM-SR设备的结构示意图。 具体实施方式
为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本发 明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于 本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
图 1为本发明实施例提供的针对 eUICC的系统架构示意图。如图 1所示， 该系统架构包括： MNO设备、 签约管理单元（Subscription Manager, 筒称为 SM )和机器间通信服务提供商 ( Machine to Machine-Service Provider, 筒称为 M2M-SP ) 设备， SM 包括签约管理单元-安全路由 （ Subscription Manager-Securely Routing , 筒称为 SM-SR ) 和签约管理单元-数据准备 ( Subscription Manager-Data Preparation , 筒称为 SM-DP )。
MNO设备主要负责保证签约用户正常接入移动通信网络， 并为用户提供 相应的语音或数据通信业务。
SM-SR主要用于直接管理签约相关的执行文件（Operational Profile, 筒 称为 OP )、 配置文件（Provisioning Profile , 筒称为 PP )等数据， 例如负责这 些数据的下载、 删除和变更等。
SM-DP 主要用于准备签约相关的 OP/PP 等数据， 例如采用加密文件 ( Profile ) 的方式， 确保 OP/PP等安全下载到 eUICC。
M2M-SP设备主要负责使用 MNO设备提供的通信网络，为签约用户提供 M2M服务， 例如水电气表的抄表服务、 楼宇自动化系统中的远程监控等。
为了在终端设备丟失或被盗等各种未被合法用户持有的情况下实现对终 端设备的 eUICC上的数据的保护， 本发明以下实施例给出了解决方法。 本发 明以下各实施例可基于图 1所示系统架构实现。
图 2为本发明一实施例提供的基于 eUICC的数据保密方法的流程图。 如 图 2所示， 本实施例的方法包括：
步骤 201、 确定终端设备未被合法用户持有。
步骤 202、 设置所述终端设备上的 eUICC为不可用状态。
步骤 203、 通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进 行保密处理。
本实施例的执行主体为 MNO设备。 具体的， MNO设备确定终端设备是 否被合法用户持有， 当确定出终端设备未被合法用户持有时， 首先设置终端 设备上的 eUICC为不可用状态，这样可以禁止该终端设备后续非法接入 MNO 设备网络， 并通过终端设备指示 eUICC对 eUICC上的数据进行保密处理， 即 通过终端设备尝试引导 eUICC对本地数据进行保护。
其中， 对 MNO设备、 SM-SR、 SM-DP以及 M2M-SP等机器设备看来， 终端设备未被合法用户持有的场景包括终端设备被盗或终端设备丟失等情 式会有所不同。
例如，如果终端设备是因为被盗而未被合法用户持有的， 则 MNO设备确 定终端设备未被合法用户持有的过程包括： 接收终端设备上报的终端设备所 在的地理位置信息， 在所述地理位置信息不属于预设的该终端设备的合法使 用区域时， MNO设备认为该终端设备属于被盗的情况， 于是确定终端设备被 盗， 也就是确定终端设备未被合法用户持有。 由于许多终端设备具有低移动 储在 MNO设备上。终端设备会周期性的通过信令向 MNO设备上报其所在的 地理位置信息。 MNO设备可以将终端设备上报的地理位置信息与用户签约数 据中该终端设备的合法使用区域进行比较， 通过判断终端设备上报的地理位 置信息是否属于合法使用区域， 进而分析得出该终端设备是否被盗的结论。 如果终端设备上报的地理位置信息不属于该终端设备的合法使用区域， 则 MNO设备可以确定终端设备被盗， 反之， 确定终端设备没有被盗（即仍被合 法用户持有）。
在此说明， 低移动性的终端设备发生地理位置变动， 在很大程度上是因 为被盗， 但也有可能是 M2M-SP设备组织的系统维护 （例如在某个位置对所 有终端设备进行统一维护）等导致的。 在这些特殊情况下， MNO设备直接确 定终端设备被盗会发生错误的操作， 影响终端设备的服务， 基于此， MNO设 备可以向 M2M-SP设备获取终端设备是否是被盗的处理指示。 因此， MNO设 备在终端设备上报的地理位置信息不属于预设的该终端设备的合法使用区域 时， 确定该终端设备被盗的一种可选实施过程包括： MNO设备在确定出终端 设备上报的地理位置信息不属于预设的该终端设备的合法使用区域后， 向 M2M-SP设备发送设备被盗处理策略请求消息， 该设备被盗处理策略请求消 息包括终端设备的标识信息、 eUICC 的标识信息和终端设备上 ·^艮的地理位置 信息； 接收 M2M-SP设备发送的设备被盗处理策略响应消息， 该设备被盗处 理策略响应消息是 M2M-SP设备根据终端设备的标识信息、 eUICC的标识信 息和所述地理位置信息判断出终端设备被盗后发送的， 该设备被盗处理策略 响应消息包括被盗处理指示； 根据所述被盗处理指示确定该终端设备被盗。
可选的， 在终端设备被盗的情况下， MNO设备设置终端设备上的 eUICC 为不可用状态的过程包括： 将 eUICC 的标识信息加入黑名单 （英文为 blacklist ), 以使 eUICC处于不可用状态。 可选的， MNO设备还可以将 eUICC 对应的 OP挂起， 从而使 eUICC处于不可用状态。
可选的，在终端设备被盗的情况下， 由于 MNO设备是基于终端设备最近 一次上报的地理位置信息确定终端设备被盗的， 因此终端设备可能仍处于附 着状态， 也有可能处于未附着状态 （即去附着状态）。 在本实施例中， MNO 设备在终端设备被盗的情况下， 根据终端设备是否处于附着状态采用不同的 方式通过终端设备指示 eUICC对 eUICC上的数据进行保密处理。
对于终端设备被盗， 且终端设备处于附着状态的情况： 步骤 203 的一种 可选实施方式包括： 向终端设备发送第一寻呼消息， 以使终端设备向 eUICC 发送停止签约命令，以使 eUICC根据停止签约命令对 eUICC上的数据进行保 密处理。 其中， MNO设备发送给终端设备的第一寻呼消息包括终端设备的标 识信息和用于标识该终端设备被盗的被盗指示（theft indication ), 终端设备发 送给 eUICC 的停止签约命令包括终端设备的标识信息和所述被盗指示。 对 eUICC 来说， 在接收到停止签约命令后， 可以根据停止签约命令中的被盗指 示获知终端设备被盗需要对 eUICC上的数据进行保密处理。
对于终端设备被盗， 且终端设备处于附着状态的情况： 步骤 203 的一种 可选实施方式包括：向终端设备发送第二寻呼消息，以使终端设备指示 eUICC 向 SM-SR发送第一 OP请求消息并在接收到 SM-SR返回的第一 OP响应消息 后对 eUICC上的数据进行保密处理。 其中， 第二寻呼消息包括终端设备的标 识信息， 第一 OP请求消息包括终端设备的标识信息和 eUICC的标识信息， 第一 OP响应消息是 SM-SR根据终端设备的标识信息和 eUICC的标识信息确 定出终端设备被盗后发送的，第一 OP响应消息包括标识终端设备被盗的被盗 指示。 在该实施方式中， MNO设备通过第二寻呼消息对终端设备进行寻呼， 终端设备接收到 MNO设备的第二寻呼消息后向 eUICC发送指示消息， 以使 eUICC向 SM-SR发起 OP请求，进而由 SM-SR判断出终端设备被盗，并在发 给 eUICC的 OP响应中携带被盗指示。 对 eUICC来说， 在接收到第一 OP响 应消息后，可以根据第一 OP响应消息中的被盗指示获知终端设备被盗需要对 eUICC上的数据进行保密处理。
在该实施方式中， SM-SR接收到第一 OP响应消息后， 可以向 SM-DP发 送删除签约数据请求消息， 以指示 SM-DP删除 eUICC对应的签约数据。
基于上述， 在一可选实施方式中， 在步骤 203之前包括： 判断终端设备 是否处于附着状态的操作； 如果判断出终端设备处于附着状态， 则执行步骤 203 , 即通过终端设备指示 eUICC对 eUICC上的数据进行保密处理。 可选的， MNO设备可以通过查询该终端设备对应的签约数据中的状态信息， 以判断终 端设备是否处于附着状态。
可选的， 如果判断出终端设备处于去附着状态， 则 MNO设备向 SM-SR 发送停止签约请求消息， 以使 SM-SR指示 SM-DP删除 eUICC对应的签约数 据， 所述停止签约请求消息包括 eUICC的标识信息和用于标识终端设备被盗 的被盗指示。 具体的， 在终端设备去附着的情况下， MNO设备向 SM-SR发 送停止签约请求消息， 携带 eUICC 的标识信息和被盗指示； SM-SR接收到 MNO设备发送的停止签约请求消息后， 根据其中的被盗指示获知该终端设备 被盗，故向 SM-DP发起删除签约数据的请求，在该请求中携带 eUICC的标识 信息； SM-DP根据 eUICC的标识信息删除该 eUICC对应的签约数据。 可选 的， SM-DP在删除该 eUICC对应的签约数据之后， 还可以向 SM-SR返回删 除签约数据完毕的消息。
进一步， 在判断出终端设备处于去附着状态的情况下， 当终端设备向 MNO设备发送附着请求消息时， MNO设备向终端设备返回拒绝附着响应消 息， 以禁止终端设备非法接入 MNO设备网络。 在该情况下， 终端设备收到拒 绝附着响应消息后， 指示 eUICC 向 SM-SR发送 OP请求消息并在接收到 SM-SR返回的 OP响应消息后对 eUICC上的数据进行保密处理， 这里的 OP 请求消息包括终端设备的标识信息和 eUICC的标识信息， 这里的 OP响应消 息是 SM-SR根据终端设备的标识信息和 eUICC的标识信息确定出终端设备丟 失后发送的，这里的 OP响应消息包括上述被盗指示，以指示 eUICC对 eUICC 上的数据进行保密处理。
在终端设备被盗的情况下， MNO设备通过终端设备指示 eUICC对 eUICC 上的数据进行保密处理的一种可选实施方式为： 通过终端设备指示 eUICC将 eUICC上的数据删除。 在此说明， MNO设备除了指示 eUICC将 eUICC上的 数据删除之外， 还可以指示终端设备将终端设备上的数据删除。
在终端设备被盗的情况下， MNO设备通过终端设备指示 eUICC对 eUICC 上的数据进行保密处理的另一种可选实施方式为： 通过终端设备指示 eUICC 将 eUICC上的数据进行加密， 其中， eUICC加密数据使用的加密密钥可以是 预先约定的， 也可以是 MNO设备或其他网元提供 eUICC的。
在此说明， 在本发明各实施例中， eUICC上的数据包括但不限于： OP、 PP和用户数据。 在本发明各实施中， 终端设备的标识信息可以包括但不限于 国际移动设备号 ( International Mobile Equipment Identifier, 筒称为 IMEI )和 国际移动用户识别码 ( International Mobile Subscriber Identifier,筒称为 IMSI )。 在不同消息中， 所携带的终端设备的标识信息或者是 IMEI或者是 IMSI。 例 如， 在各种寻呼消息中携带的终端设备的标识信息可以是 IMSI, 在除寻呼消 息之外的其他消息中携带的终端设备的标识信息可以是 IMEI。 在本发明各实 施例中， eUICC的标识信息可以是但不限于嵌入式标识 （ embedded IDentity , 筒称为 eID )。
又例如，如果终端设备是因为丟失而未被合法用户持有的， 则 MNO设备 确定终端设备未被合法用户持有的过程包括： MNO设备接收 M2M-SP设备发 送的暂停签约请求消息， 所述暂停签约请求消息包括终端设备的标识信息、 eUICC的标识信息和用于标识终端设备丟失的丟失指示， 其中， M2M-SP设 备根据合法用户的挂失请求确定终端设备丟失； MNO设备根据所述丟失指 示， 确定终端设备丟失。 具体的， 终端设备的合法用户在发现终端设备丟失 后可以向 M2M-SP设备发起挂失请求； M2M-SP设备接收到挂失请求后， 认 为终端设备未被合法用户持有属于终端设备丟失的情况， 于是确定终端设备 丟失， 然后通过 SM-SR向 MNO设备发起暂停签约请求消息， 并携带终端设 备的标识信息、 eUICC的标识信息和丟失指示 （ Loss indication ); MNO设备 收到暂停签约请求消息后， 根据其中的丟失指示确定终端设备丟失。
可选的， 在终端设备丟失的情况下， MNO设备设置终端设备上的 eUICC 为不可用状态的过程包括： 将 eUICC对应的 OP挂起， 以使 eUICC处于不可 用状态； 通过 SM-SR向 M2M-SP设备返回暂停签约响应消息， 所述暂停签约 响应消息包括终端设备的标识信息和 eUICC的标识信息。 对于 M2M-SP设备 来说， 在接收到暂停签约响应消息后， 可以备份该终端设备相关的计费信息 并暂停计费。
终端设备在合法用户解挂之前会尝试访问 MNO设备网络， 并且会被拒 绝。 基于此， 在终端设备丟失的情况下， 步骤 203的一种可选实施方式包括： 接收终端设备发送的附着请求消息； 向终端设备返回拒绝附着响应消息， 以 使终端设备指示 eUICC向 SM-SR发送第二 OP请求消息并在接收到 SM-SR 返回的第二 OP响应消息后对 eUICC上的数据进行加密处理。 其中， 第二 OP 请求消息包括终端设备的标识信息和 eUICC的标识信息， 第二 OP响应消息 是 SM-SR根据终端设备的标识信息和 eUICC的标识信息确定出终端设备丟失 后发送的， 第二 OP响应消息包括丟失指示和对 eUICC上的数据进行加密使 用的加密密钥。 具体的， 终端设备访问 MNO设备网络被拒绝后，会向 eUICC 发送指示消息， 以使 eUICC 自动激活 PP以通过终端设备向 SM-SR发起 OP 请求， 并携带终端设备的标识信息和 eUICC的标识信息； SM-SR根据终端设 备的标识信息和 eUICC的标识信息可以判断出终端设备丟失， 在发给 eUICC 的 OP响应中携带加密密钥和丟失指示。 对 eUICC来说， 在接收到第二 OP 响应消息后，可以根据第二 OP响应消息中的丟失指示获知终端设备丟失需要 对 eUICC上的数据进行加密处理， 并采用第二 OP响应消息中的加密密钥对 eUICC上的数据进行加密。 可选的， eUICC完成对 eUICC上的数据的加密处 理后， 可以通过终端设备向 SM-SR返回加密数据确认消息。
在此说明， 在上述过程中， 由于 M2M-SP设备发送给 ΜΝΟ设备的暂停 签约请求消息以及 ΜΝΟ设备返回给 M2M-SP设备的暂停签约响应消息都要 经过 SM-SR进行转发， 在该过程中 SM-SR可以获知发生丟失的终端设备的 有关信息。 基于此， SM-SR可以根据终端设备的标识信息和 eUICC的标识信 息判断出终端设备是否丟失。
在此说明， 合法用户挂失具有一个最长时限， 在该时限内， 合法用户可 以解除挂失， 从而继续正常使用 eUICC以及终端设备。 基于此， 在终端设备 丟失的情况下， 本实施例的方法还包括： MNO设备接收 M2M-SP设备通过 SM-SR发送的恢复签约请求消息， 所述恢复签约请求消息包括终端设备的标 识信息、 eUICC 的标识信息和用于标识该终端设备重新被所述合法用户持有 的恢复指示； 将 eUICC对应的 OP解挂， 以使 eUICC恢复为可用状态； 通过 SM-SR向 M2M-SP设备发送恢复签约响应消息， 所述恢复签约响应消息包括 终端设备的标识信息和 eUICC的标识信息。 具体的， 合法用户需要解除挂失 时， 可以向 M2M-SP设备发出解挂请求， 相应的， M2M-SP设备会接收解挂 请求， 根据该解挂请求可知获知该终端设备重新被合法用户持有， 故通过 SM-SR向 MNO设备发送恢复签约请求消息， 并携带终端设备的标识信息、 eUICC 的标识信息和恢复指示； MNO设备接收到恢复签约请求消息后， 将 eUICC恢复为可用状态，并通过 SM-SR向 M2M-SP设备返回恢复签约响应消 息。 另外， M2M-SP设备会重新载入计费信息备份， 并继续对该终端设备进 行计费。 之后， 终端设备就可以在 eUICC的指导下重新访问 MNO设备网络 了。 具体的， eUICC重新向 SM-SR发送第三 OP请求消息， 携带终端设备的 标识信息和 eUICC的标识信息， SM-SR根据终端设备的标识信息和 eUICC 的标识信息判断出终端设备已解挂， 在发给 eUICC的 OP响应中携带解密密 钥和恢复指示； eUICC根据恢复指示获知终端设备已经解挂， 故使用解密密 钥对 eUICC上之前加密的数据进行解密处理。 可选的， eUICC成功解密数据 之后， 可以通过终端设备向 SM-SR返回解密数据确认消息。
可选的， 当到达最长时限后， 合法用户仍未解挂， 则网络侧不再保留之 前暂停的签约数据， 此时可以在合法用户结算完毕后， 删除网络侧的签约数 据。 具体的， 合法用户对终端设备的挂失时间达到最长时限后， M2M-SP设 备在删除备份的计费信息前通知用户完成结算， 然后通知 SM-DP、 MNO设备 \SM-SR等网络侧设备删除该终端设备对应的签约数据。
由上述可见， 本实施例提供的基于 eUICC的数据保密方法， MNO设备 在确定终端设备未被合法用户持有后， 通过设置终端设备上的 eUICC为不可 用状态，可以达到禁止终端设备非法接入 MNO设备网络， 并通过终端设备指 示 eUICC对 eUICC上的数据进行保密处理，从而在终端设备被盗或丟失的情 况下实现了对 eUICC上的数据的保护，能够很好地保护用户的个人信息安全。
图 3为本发明另一实施例提供的基于 eUICC的数据保密方法的流程图。 如图 3所示， 本实施例的方法包括：
步骤 301、 终端设备上的 eUICC接收指示消息， 所述指示消息用于在终 端设备未被合法用户持有时， 指示 eUICC对 eUICC上的数据进行保密处理。
步骤 302、 eUICC根据所述指示消息， 对 eUICC上的数据进行保密处理。 本实施例的执行主体为终端设备上的 eUICC。 具体的， 在终端设备未被 合法用户持有时， MNO设备网络侧的设备会引导该终端设备上的 eUICC进 行数据保密处理，则 eUICC会接收到用于指示 eUICC对数据进行保密处理的 指示信息， 之后 eUICC会根据该指示信息对 eUICC上的数据进行保密处理。
其中， 根据确定出终端设备未被合法用户持有的网络侧设备的不同， eUICC接收指示信息的方式也会有所不同。 这里的网络侧设备可以是 MNO 设备或 SM-SR等。 其中， 终端设备未被合法用户持有的场景包括终端设备被 盗或终端设备丟失等情况。 根据不同场景， 确定终端设备未被合法用户持有 的具体实施方式会有所不同， 因此， eUICC接收指示信息的方式也会有所不 同。 下面举例说明： 在一可选实施方式中， 假设终端设备是因为被盗而未被合法用户持有的， 则在步骤 301之前，终端设备会周期性的向 MNO设备发送终端设备所在的地 理位置信息， 以使 MNO设备根据所述地理位置信息确定终端设备被盗。具体 的， 由于许多终端设备具有低移动性的特点， 因此用户可以在签约中预先定 制终端设备的合法使用区域， 并存储在 MNO设备上。终端设备会周期性的通 过信令向 MNO设备上报其所在的地理位置信息。 MNO设备可以将终端设备 上报的地理位置信息与用户签约数据中该终端设备的合法使用区域进行比 较， 通过判断终端设备上报的地理位置信息是否属于合法使用区域， 进而分 析得出该终端设备是否被盗的结论。 在本实施例中， MNO设备在步骤 301之 前判断出终端设备被盗。
对于终端设备被盗的情况： 指示消息的一种实现方式为停止签约命令。 相应的， 终端设备上的 eUICC接收指示消息的过程包括： eUICC接收终端设 备发送的停止签约命令，该停止签约命令是终端设备在接收到 MNO设备发送 的第一寻呼消息后生成并发送给 eUICC的， 第一寻呼消息是 MNO设备在根 据终端设备上报的地理位置信息确定终端设备被盗后发送给终端设备的， 第 一寻呼消息包括终端设备的标识信息和用于标识终端设备被盗的被盗指示， 所述停止签约命令包括终端设备的标识信息和被盗指示； eUICC 通过终端设 备向 SM-SR发送停止签约响应，所述停止签约响应包括终端设备的标识信息、 eUICC 的标识信息和被盗指示。 SM-SR接收到停止签约响应后， 向 SM-DP 发送删除签约数据请求消息， 以指示 SM-DP删除 eUICC对应的签约数据。
具体的， MNO设备在根据终端设备最近一次上报的地理位置信息判断出 终端设备被盗后， 向终端设备发送第一寻呼消息， 并携带终端设备的标识信 息和被盗指示； 终端设备收到第一寻呼消息后， 向 eUICC发送停止签约命令， 并携带终端设备的标识信息和被盗指示。 对 eUICC来说， 在接收到停止签约 命令后， 根据其中的被盗指示获知终端设备被盗需要对其进行保密处理。
对于终端设备被盗的情况： 指示消息的一种实现方式为第一 OP 响应消 息。 相应的， 终端设备上的 eUICC接收指示消息的过程包括： eUICC根据终 端设备在接收到第二寻呼消息后的指示， 通过终端设备向 SM-SR发送第一 OP请求消息； 第二寻呼消息是 MNO设备在根据终端设备上报的地理位置信 息确定终端设备被盗后发送给终端设备的， 第二寻呼消息包括终端设备的标 识信息， 第一 OP请求消息包括终端设备的标识信息和 eUICC的标识信息； eUICC通过终端设备接收 SM-SR返回的第一 OP响应消息； 第一 OP响应消 息是 SM-SR根据终端设备的标识信息和 eUICC的标识信息确定出终端设备被 盗后发送的， 第一 OP 响应消息包括用于标识终端设备被盗的被盗指示。 SM-SR接收到第一 OP响应消息后， 向 SM-DP发送删除签约数据请求消息， 以指示 SM-DP删除 eUICC对应的签约数据。
具体的， MNO设备在根据终端设备最近一次上报的地理位置信息判断出 终端设备被盗后， 向终端设备发送第二寻呼消息， 并携带终端设备的标识信 息； 终端设备接收到第二寻呼消息后， 向 eUICC发送指示消息， 以使 eUICC 向 SM-SR发起 OP请求， 并在 OP请求中携带终端设备的标识信息和 eUICC 的标识信息； SM-SR收到 OP请求后， 可以根据其中的终端设备的标识信息 和 eUICC的标识信息判断出终端设备被盗，然后通过终端设备向 eUICC返回 OP响应，并携带用于标识终端设备被盗的被盗指示， 以使 eUICC根据被盗指 示对本地数据进行保密处理。
在终端设备被盗的情况下， eUICC根据指示消息， 对 eUICC上的数据进 行保密处理的一种实施方式包括： eUICC根据被盗指示， 删除 eUICC上的数 据。 另外， eUICC还可以根据被盗指示， 对本地数据进行加密处理。 其中， 加密处理使用的加密密钥可以是预先约定的，也可以是由 MNO设备或 SM-SR 等网络侧设备提供的。
对于终端设备丟失的情况： 指示消息的一种实现方式为第二 OP 响应消 息。 则终端设备上的 eUICC接收指示消息的过程包括： eUICC根据终端设备 在接收到拒绝附着响应消息后的指示， 通过终端设备向 SM-SR发送第二 OP 请求消息；所述拒绝附着响应消息是 MNO设备在接收到终端设备发送的附着 请求消息且确定出终端设备丟失后发送给终端设备的，第二 OP请求消息包括 终端设备的标识信息和 eUICC的标识信息； eUICC通过终端设备接收 SM-SR 返回的第二 OP响应消息； 所述第二 OP响应消息是 SM-SR根据终端设备的 标识信息和 eUICC的标识信息确定出终端设备丟失后发送的， 第二 OP响应 消息包括用于标识终端设备丟失的丟失指示和对 eUICC上的数据进行加密使 用的加密密钥。
具体的，在终端设备丟失的情况下，终端设备的合法用户可以向 M2M-SP 设备发起挂失请求； M2M-SP设备接收到挂失请求后， 可以确定终端设备丟 失； M2M-SP设备通过 SM-SR向 MNO设备发起暂停签约请求消息， 并携带 终端设备的标识信息、 eUICC的标识信息和丟失指示； MNO设备收到暂停签 约请求消息后，根据其中的丟失指示确定终端设备丟失， 并且 MNO设备会将 eUICC对应的 OP挂起， 以使 eUICC处于不可用状态， 进而组织终端设备的 非法接入。 终端设备向 MNO设备发送附着请求消息， 以请求接入 MNO设备 网络； 由于终端设备已经丟失，故 MNO设备向终端设备返回拒绝附着响应消 息， 以拒绝终端设备的接入； 终端设备接收到拒绝附着响应消息后， 向 eUICC 发送指示消息， 以使 eUICC 自动激活 PP以通过终端设备向 SM-SR发起 OP 请求， 并携带终端设备的标识信息和 eUICC的标识信息； SM-SR根据终端设 备的标识信息和 eUICC的标识信息可以判断出终端设备丟失， 在发给 eUICC 的 OP响应中携带加密密钥和丟失指示。
对 eUICC来说，在接收到第二 OP响应消息后，可以根据第二 OP响应消 息中的丟失指示获知终端设备丟失需要对 eUICC上的数据进行保密处理。 具 体的， eUICC根据所述丟失指示， 使用所述加密密钥对 eUICC上的数据进行 加密处理。
可选的， eUICC完成对 eUICC上的数据的加密处理后， 可以通过终端设 备向 SM-SR返回加密数据确认消息。 在此说明， 合法用户挂失具有一个最长时限， 在该时限内， 合法用户可 以解除挂失， 从而继续正常使用 eUICC以及终端设备。 基于此， 在终端设备 丟失的情况下， 本实施例的方法还包括： eUICC通过终端设备向 SM-SR发送 第三 OP请求消息，所述第三 OP请求消息包括终端设备的标识信息和 eUICC 的标识信息； eUICC通过终端设备接收 SM-SR发送的第三 OP响应消息， 所 述第三 OP响应消息是 SM-SR根据接收到的 MNO设备发送给 M2M-SP设备 的恢复签约响应消息确终端设备重新被合法用户持有后， 在接收到的第三 OP 请求消息后发送的， 所述恢复签约响应消息是 MNO设备在接收到 M2M-SP 设备发送的恢复签约请求消息后发送给 M2M-SP设备的， 所述第三 OP响应 消息包括解密密钥和用于标识终端设备重新被合法用户持有的恢复指示； eUICC根据所述恢复指示， 使用所述解密密钥对 eUICC上的数据进行解密处 理； eUICC通过终端设备向 SM-SR发送数据恢复确认消息。
在此说明， 本发明各实施例中的恢复指示除了标识终端设备重新被合法 用户持有之外， 还意味着合法用户针对该终端设备向 M2M-SP设备发出了解 挂请求。
由上述可见， 本实施例提供的基于 eUICC的数据保密方法， eUICC与网 络侧设备 (例如 MNO设备、 SM-SR和 /或 M2M-SP设备 )相配合， 在终端设 备未被合法用户持有后， 根据接收到的指示信息对 eUICC上的数据进行保密 处理，从而在终端设备被盗或丟失的情况下实现了对 eUICC上的数据的保护， 能够很好地保护用户的个人信息安全。
图 4为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图。 如图 4所示， 本实施例的方法包括：
步骤 401、 确定终端设备未被合法用户持有。
步骤 402、接收终端设备上的 eUICC通过终端设备发送的第一 OP请求消 息，所述第一 OP请求消息是终端设备在接收到 MNO设备发送的拒绝附着响 应消息后指示 eUICC发送的， 第一 OP请求消息包括终端设备的标识信息和 eUICC的标识信息。
步骤 403、 通过终端设备向 eUICC返回第一 OP响应消息， 以使 eUICC 对 eUICC上的数据进行保密处理。
本实施例的执行主体为 SM-SR。 其中， 对 MNO设备、 SM-SR、 SM-DP 以及 M2M-SP等机器设备看来， 终端设备未被合法用户持有的场景包括终端 设备被盗或终端设备丟失等情况。 根据不同场景， SM-SR确定终端设备未被 合法用户持有的具体实施方式会有所不同。
例如， 对于终端设备是因为被盗而未被合法用户持有的情况： 终端设备 被盗可由 MNO设备根据终端设备上报的地理位置信息确定出，确定过程可参 见上述实施的描述。 MNO设备在确定终端设备被盗后， 进一步判断终端设备 是否处于附着状态， 在判断出终端设备处于去附着状态的情况下， MNO设备 向 SM-SR发送停止签约请求消息，并会在停止签约请求消息中携带 eUICC的 标识信息和标识终端设备被盗的被盗指示。 基于此， 则 SM-SR确定终端设备 未被合法用户持有的过程包括： SM-SR接收 MNO设备发送的停止签约请求 消息，所述停止签约请求消息是 MNO设备在确定终端设备被盗且终端设备处 于去附着状态后发送的， 停止签约请求消息包括 eUICC的标识信息和标识终 端设备被盗的被盗指示。 SM-SR接收到停止签约请求消息后， 根据其中的 eUICC的标识信息和被盗指示， 确定终端设备被盗。
在终端设备被盗的情况下， 在一可选实施方式中， SM-SR在接收到第一 OP响应消息后或者在接收到停止签约请求消息后， 向 SM-DP发送删除签约 数据请求消息， 以指示 SM-DP删除 eUICC对应的签约数据。
可选的， 在终端设备被盗的情况下， SM-SR返回的第一 OP响应消息包 括用于标识终端设备被盗的被盗指示，则 SM-SR通过终端设备向 eUICC返回 第一 OP响应消息，以使 eUICC对 eUICC上的数据进行保密处理包括： SM-SR 通过终端设备向 eUICC返回第一 OP响应消息，以使 eUICC删除 eUICC上的 数据。或者， SM-SR通过终端设备向 eUICC返回第一 OP响应消息，以使 eUICC 对 eUICC上的数据进行加密处理。
例如， 对于终端设备是因为被盗而未被合法用户持有的情况： 终端设备 的合法用户发现终端设备丟失后， 可以向 M2M-SP 设备发送挂失请求， M2M-SP设备才艮据挂失请求可以确定终端设备丟失。 然后， M2M-SP设备向 SM-SR发送暂停签约请求消息， 并在暂停签约请求消息中携带终端设备的标 识信息、 eUICC的标识信息和标识终端设备丟失的丟失指示。基于此， SM-SR 确定终端设备未被合法用户持有包括： SM-SR接收 M2M-SP设备发送的暂停 签约请求消息， 将暂停签约请求消息转发给 MNO设备， 以使 MNO设备确定 终端设备丟失； 所述暂停签约请求消息包括终端设备的标识信息、 eUICC 的 标识信息和丟失指示。 在该过程中， SM-SR也可以根据暂停签约请求消息中 的丟失指示确定终端设备丟失。
可选的， 在终端设备丟失的情况下， MNO设备在接收到暂停签约请求消 息后， 会通过 SM-SR向 M2M-SP设备发送暂停签约响应消息。 则 SM-SR还 会接收 MNO设备发送的暂停签约响应消息， 并将暂停签约响应消息转发给 M2M-SP设备， 所述暂停签约响应消息包括终端设备的标识信息和 eUICC的 标识信息。
可选的， 在终端设备丟失的情况下， SM-SR返回的第一 OP响应消息包 括用于标识终端设备丟失的丟失指示和对 eUICC上的数据进行加密使用的加 密密钥，则 SM-SR通过终端设备向 eUICC返回第一 OP响应消息，以使 eUICC 对 eUICC上的数据进行保密处理包括： SM-SR通过终端设备向 eUICC返回 第一 OP响应消息， 以使 eUICC对 eUICC上的数据进行加密处理。
可选的，在终端设备丟失的情况下，本实施例的方法还包括：接收 eUICC 通过终端设备发送的第二 OP请求消息， 所述第二 OP请求消息包括终端设备 的标识信息和 eUICC的标识信息； 通过终端设备向 eUICC发送第二 OP响应 消息，所述第二 OP响应消息是根据接收到的 MNO设备发送给 M2M-SP设备 的恢复签约响应消息确定终端设备重新被合法用户持有后， 在接收到第二 OP 请求消息后发送的， 所述恢复签约响应消息是 MNO设备在接收到 M2M-SP 设备发送的恢复签约请求消息后发送给 M2M-SP设备的， 所述第二 OP响应 消息包括解密密钥和用于标识终端设备重新被合法用户持有的恢复指示， 以 使 eUICC根据所述恢复指示，使用解密密钥对 eUICC上的数据进行解密处理； 接收 eUICC通过终端设备发送的数据恢复确认消息。
在此说明，在终端设备丟失的情况下， 本实施例中的第一 OP请求消息和 第一 OP响应消息分别相当于其他方法实施例中的第二 OP请求消息和第二 OP响应消息； 相应的， 本实施例中的第二 OP请求消息和第二 OP响应消息 分别相当于其他方法实施例中的第三 OP请求消息和第三 OP响应消息。
由上述可见， 本实施例提供的基于 eUICC的数据保密方法， SM-SR在终 端设备被盗或丟失等未被合法用户持有的情况下， 针对 eUICC发送的 OP请 求返回 OP响应并在 OP响应中携带标识终端设备被盗或丟失的指示， 使得 eUICC可以根据该指示对 eUICC上的数据进行保密处理， 从而在终端设备被 盗或丟失等情况下实现了对 eUICC上的数据的保护， 能够艮好地保护用户的 个人信息安全。
图 5为本发明一实施例提供的在终端设备丟失情况下， 基于 eUICC的数 据保密方法的流程图。 如图 5所示， 本实施例的方法包括：
步骤 501、 确定终端设备丟失。
步骤 502、接收终端设备上的 eUICC通过终端设备发送的第二 OP请求消 息，所述第二 OP请求消息是终端设备在接收到 MNO设备发送的拒绝附着响 应消息后指示 eUICC发送的， 第二 OP请求消息包括终端设备的标识信息和 eUICC的标识信息。
步骤 503、 通过终端设备向 eUICC返回第二 OP响应消息， 以使 eUICC 对 eUICC上的数据进行加密处理， 所述第二 OP响应消息包括用于标识终端 设备丟失的丟失指示和对 eUICC上的数据进行加密使用的加密密钥。
本实施例的执行主体为 SM-SR。 本实施例适用于终端设备丟失的情况。 具体的， 终端设备的合法用户发现终端设备丟失后， 可以向 M2M-SP设备发 送挂失请求， M2M-SP设备根据挂失请求可以确定终端设备丟失。 然后， M2M-SP设备向 SM-SR发送暂停签约请求消息，相应的， SM-SR接收 M2M-SP 设备发送的暂停签约请求消息，将暂停签约请求消息转发给 MNO设备， 以使 MNO设备确定终端设备丟失； 所述暂停签约请求消息包括终端设备的标识信 息、 eUICC的标识信息和丟失指示。 在该过程中， SM-SR也可以根据暂停签 约请求消息中的丟失指示确定终端设备丟失。
可选的， MNO设备在接收到暂停签约请求消息后， 会通过 SM-SR 向 M2M-SP设备发送暂停签约响应消息。 贝' J SM-SR还会接收 MNO设备发送的 暂停签约响应消息， 并将暂停签约响应消息转发给 M2M-SP设备， 所述暂停 签约响应消息包括终端设备的标识信息和 eUICC的标识信息。
在此说明， 合法用户挂失具有一个最长时限， 在该时限内， 合法用户可 以解除挂失， 从而继续正常使用 eUICC以及终端设备。 基于此， 在终端设备 丟失的情况下， 本实施例的方法还包括： 接收 eUICC通过终端设备发送的第 三 OP请求消息， 所述第三 OP请求消息包括终端设备的标识信息和 eUICC 的标识信息； 通过终端设备向 eUICC发送第三 OP响应消息， 所述第三 OP 响应消息是根据接收到的 MNO设备发送给 M2M-SP设备的恢复签约响应消 息确定终端设备重新被合法用户持有后， 在接收到第三 OP请求消息后发送 的， 所述恢复签约响应消息是 MNO设备在接收到 M2M-SP设备发送的恢复 签约请求消息后发送给 M2M-SP设备的， 所述第三 OP响应消息包括解密密 钥和用于标识终端设备重新被合法用户持有的恢复指示， 以使 eUICC根据所 述恢复指示， 使用解密密钥对 eUICC上的数据进行解密处理； 接收 eUICC通 过终端设备发送的数据恢复确认消息。
由上述可见， 本实施例提供的基于 eUICC的数据保密方法， SM-SR在终 端设备丟失的情况下，针对 eUICC发送的 OP请求返回 OP响应并在 OP响应 中携带标识终端设备丟失的丟失指示， 使得 eUICC 可以根据该丟失指示将 eUICC上的数据删除， 从而在终端设备丟失的情况下实现了对 eUICC上的数 据的保护， 能够很好地保护用户的个人信息安全。
图 6为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图。 如图 6所示， 本实施例的方法包括：
步骤 6a、 MNO设备检测到终端设备被盗。
由于许多终端设备具有低移动性的特点， 因此用户可以在签约中预先定 制终端设备的合法使用区域， 并存储在 MNO设备上。终端设备会周期性的通 过信令向 MNO设备上报其所在的地理位置信息。 MNO设备可以将终端设备 上报的地理位置信息与用户签约数据中该终端设备的合法使用区域进行比 较， 通过判断终端设备上报的地理位置信息是否属于合法使用区域， 进而分 析得出该终端设备是否被盗的结论。 如果终端设备上报的地理位置信息不属 于该终端设备的合法使用区域， 则 MNO设备可以确定终端设备被盗， 反之， 确定终端设备没有被盗（即仍被合法用户持有）。
步骤 6b、 MNO设备通过 SM-SR向 M2M-SP设备发起设备被盗处理策略 请求， 携带终端设备的标识信息、 eUICC 的标识信息和终端设备上报的地理 位置信息。
步骤 6c、 M2M-SP设备根据终端设备的标识信息、 eUICC的标识信息和 终端设备上报的地理位置信息， 确定终端设备属于被盗情形， 通过 SM-SR向 MNO设备返回设备被盗处理策略响应消息， 携带被盗处理指示。
由于低移动性的终端设备发生地理位置变动， 在很大程度上是因为被盗， 但也有可能是 M2M-SP设备组织的系统维护 （例如在某个位置对所有终端设 备进行统一维护）等导致的。 在这些特殊情况下， 直接确定终端设备被盗会 发生错误的操作， 影响终端设备的服务， 基于此， MNO设备可以向 M2M-SP 设备获取终端设备是否是被盗的处理指示。
其中， 步骤 6b和步骤 6c属于可选步骤。
步骤 6d、 MNO设备根据被盗处理指示确定终端设备真的被盗，将 eUICC 的标识信息加入黑名单。
鉴于 MNO设备是基于终端设备最近一次上报的地理位置信息监测到终 端设备被盗的， 终端设备可能是处于附着状态，也可能是处于去附着状态（又 称为未附着状态）。 对于终端设备处于附着状态的情况， 本实施例采用下述两 种寻呼方法来引导 eUICC删除本地数据。
步骤 6el、 MNO设备向终端设备发送第一寻呼消息， 携带终端设备的标 识信息和被盗指示。 这里的第一寻呼消息是一种增强型的寻呼消息。
步骤 6fl、 终端设备向 eUICC发送停止签约命令， 携带终端设备的标识 信息和被盗指示。
步骤 6gl、 eUICC通过终端设备向 SM-SR发送停止签约响应， 携带终端 设备的标识信息、 eUICC的标识信息和被盗指示， 然后执行步骤 6k。
步骤 6e2、 MNO设备向终端设备发送第二寻呼消息， 携带终端设备的标 识信息。
步骤 6f2、 终端设备向 eUICC发送指示消息， 以指示 eUICC向 SM-SR发 起 OP请求。
步骤 6g2、 eUICC通过终端设备向 SM-SR发送第一 OP请求消息， 携带 终端设备的标识信息和 eUICC的标识信息。
步骤 6h2、 SM-SR根据终端设备的标识信息和 eUICC的标识信息判断出 终端设备被盗， 向 eUICC发送第一 OP响应消息， 携带被盗指示， 然后执行 步骤 6k。
步骤 6i、 eUICC根据被盗指示， 删除 eUICC上的数据。 eUICC删除的本 地数据包括但不限于 OP、 PP和用户数据。
上述步骤 6el、 步骤 6fl、 步骤 6gl和步骤 6i是在终端设备处于附着状态 情况下， 提供的第一种寻呼方法引导 eUICC删除本地数据的流程。
上述步骤 6e2、 步骤 6f2、 步骤 6g2、 步骤 6h2和步骤 6i是在终端设备处 于附着状态情况下，提供的第二种寻呼方法引导 eUICC删除本地数据的流程。 步骤 6j、 MNO设备向 SM-SR发起停止签约请求消息， 携带 eUICC的标 识信息和被盗指示， 然后执行步骤 6k。
步骤 6k、 SM-SR向 SM-DP发送删除签约数据请求消息， 携带 eUICC的 标识信息。
步骤 61、 SM-DP根据 eUICC的标识信息删除 eUICC对应的签约数据。 步骤 6m、 SM-DP向 SM-SR返回删除签约数据完毕的消息。
步骤 6n、 终端设备尝试访问 MNO网络被拒绝。
步骤 6n具体包括： 终端设备向 MNO设备发送附着请求消息， 然后接收 MNO 设备返回的拒绝附着响应消息， 在接收到拒绝附着响应消息之后向 eUICC发送指示消息， 以使 eUICC向 SM-SR发起 OP请求。
步骤 6o、 eUICC 自动激活其中的 PP, 并通过终端设备向 SM-SR发送第 二 OP请求消息， 携带终端设备的标识信息和 eUICC的标识信息。
步骤 6p、 SM-SR根据终端设备的标识信息和 eUICC的标识信息判断出终 端设备被盗， 通过终端设备向 eUICC发送第二 OP响应消息， 携带被盗指示。
步骤 6q、 eUICC根据被盗指示， 删除 eUICC上的数据。 eUICC删除的本 地数据包括但不限于 OP、 PP和用户数据。
上述步骤 6j以及步骤 6n步骤 6q是在终端设备处于去附着状态情况下， 弓 I导 eUICC删除本地数据的流程。
步骤 6k-步骤 6m属于网络侧的处理流程， 该流程并不受终端设备是处于 附着状态还是去附着状态的限制。
在本实施例中， 第一寻呼消息和第二寻呼消息中携带的终端设备的标识 为 IMSI, 其他消息中携带的终端设备的标识信息为 IMEI。
由上述可见，本实施例提供的方法， MNO设备在监测到终端设备被盗后， 一方面通过将终端设备上的 eUICC的标识信息加入黑名单， 禁止终端设备非 法接入 MNO设备网络，另一方面尝试引导 eUICC对本地数据进行删除操作， 能够很好地保护用户的个人信息安全。 图 7为本发明又一实施例提供的基于 eUICC的数据保密方法的流程图。 如图 7所示， 本实施例的方法包括：
步骤 7a、 M2M-SP设备根据终端设备的合法用户发起的挂失请求， 确定 终端设备丟失。
步骤 7b、 M2M-SP设备通过 SM-SR向 MNO设备发送暂停签约请求消息， 携带终端设备的标识信息、 eUICC 的标识信息和标识终端设备丟失的丟失指 示。
步骤 7c、 MNO设备将 eUICC对应的 OP状态置为挂起。
步骤 7d、MNO设备通过 SM-SR向 M2M-SP设备返回暂停签约响应消息， 携带终端设备的标识信息和 eUICC的标识信息。
步骤 7e、 M2M-SP设备备份终端设备的计费信息并暂停计费。
步骤 7f、 终端设备在合法用户解挂之前尝试访问 MNO网络被拒绝。 步骤 7f具体包括： 终端设备向 MNO设备发送附着请求消息，接收 MNO 设备返回的拒绝附着响应消息， 在接收到拒绝附着响应消息之后向 eUICC发 送指示消息， 以使 eUICC向 SM-SR发起 OP请求。
步骤 7g、 eUICC 自动激活其中的 PP, 并通过终端设备向 SM-SR发送第 二 OP请求消息， 携带终端设备的标识信息和 eUICC的标识信息。
步骤 7h、 SM-SR根据终端设备的标识信息和 eUICC的标识信息判断出终 端设备丟失， 通过终端设备向 eUICC发送第二 OP响应消息， 携带丟失指示 和加密密钥。
步骤 7i、 eUICC根据所述丟失指示， 使用所述加密密钥对 eUICC上的数 据进行加密处理。 eUICC加密的本地数据包括但不限于 OP和用户数据。
步骤 7j、 eUICC通过终端设备向 SM-SR返回加密数据确认消息。
合法用户对终端设备的挂失具有一个最长时限， 在该最长时限内， 如果 合法用户找到终端设备可以解除挂失，从而继续正常使用 eUICC与终端设备。 基于此， 本实施例的方法还包括以下可选步骤： 步骤 7k、 M2M-SP设备接收针对终端设备的解挂请求。
步骤 71、 M2M-SP设备通过 SM-SR向 MNO设备发送恢复签约请求消息， 携带终端设备的标识信息、 eUICC的标识信息和恢复指示。
步骤 7m、 MNO设备将 eUICC对应的 OP的状态恢复为正常。
步骤 7n、 MNO设备通过 SM-SR向 M2M-SP设备返回恢复签约响应消息， 携带终端设备的标识信息和 eUICC的标识信息。
步骤 7o、 M2M-SP设备重新载入备份的计费信息， 并继续对终端设备进 行计费。
步骤 7p、 eUICC通过终端设备向 SM-SR发送第三 OP请求消息， 携带终 端设备的标识信息和 eUICC的标识信息。
步骤 7q、 SM-SR根据终端设备的标识信息和 eUICC的标识信息判断出终 端设备已解挂， 向 eUICC返回第三 OP响应消息， 携带解密密钥和恢复指示。
步骤 7r、 eUICC根据恢复指示， 使用解密密钥解密出本地数据。
步骤 7s、 eUICC通过终端设备向 SM-SR返回解密数据确认消息。
如果在最长时限结束时， 合法用户仍未找到终端设备， 则本实施例的方 法还包括要求用户进行结算完并将删除网络侧的签约数据的操作。 如图 7所 示， 本实施例的方法还包括以下可选步骤：
步骤 7t、 M2M-SP设备检测到终端设备的挂失时间超过最大时限， 通知 该终端设备的合法用户完成结算， 然后删除之前备份的计费信息。
步骤 7u、 网络侧的 SM-DP、 MNO设备、 SM-SR删除该终端设备对应的 签约数据。
由上述可见， 本实施例提供的方法， M2M-SP设备在获知终端设备丟失 后， 一方面命令 MNO设备临时挂起该终端设备上的 eUICC对应的 OP来暂 停签约， 以禁止终端设备非法接入 MNO设备网络， 另一方面在终端设备在解 挂前尝试访问 MNO设备网络被拒绝时， SM-SR下发加密密钥到 eUICC引导 eUICC对本地数据进行加密操作， 能够很好地保护用户的个人信息安全。 另 外， 在合法用户要求解挂时， 首先恢复网络侧的签约状态， 再由 eUICC通过 终端设备联系 SM-SR时， SM-SR下发解密密钥到 eUICC上， 完成 eUICC上 的数据的解密操作。
图 8为本发明一实施例提供的 MNO设备的结构示意图。如图 8所示，本 实施例的 MNO设备包括：确定模块 81、设置模块 82和保密处理指示模块 83。
其中， 确定模块 81 , 用于确定终端设备未被合法用户持有。
设置模块 82, 用于在确定模块 81确定终端设备未被合法用户持有后，设 置终端设备上的 eUICC为不可用状态。
保密处理指示模块 83 ,用于在确定模块 81确定终端设备未被合法用户持 有后， 通过终端设备指示 eUICC对 eUICC上的数据进行保密处理。
在一可选实施方式中， 如图 9所示， 确定模块 81的一种实现结构包括： 第一接收子模块 811和第一确定子模块 812。
第一接收子模块 811 ,用于接收终端设备上报的终端设备所在的地理位置 信息。 第一确定子模块 812, 与第一接收子模块 811连接， 用于在第一接收子 模块 811 接收到的地理位置信息不属于预设的终端设备的合法使用区域时， 确定终端设备被盗。
可选的， 第一确定子模块 812的一种实现结构包括： 发送单元 8121、 接 收单元 8122和确定单元 8123。
发送单元 8121 , 与第一接收子模块 811连接， 用于在确定出第一接收子 模块 811 接收到的地理位置信息不属于预设的终端设备的合法使用区域后， 向 M2M-SP设备发送设备被盗处理策略请求消息， 所述设备被盗处理策略请 求消息包括终端设备的标识信息、 eUICC的标识信息和地理位置信息。
接收单元 8122, 用于接收 M2M-SP设备发送的设备被盗处理策略响应消 息， 所述设备被盗处理策略响应消息是 M2M-SP设备根据终端设备的标识信 息、 eUICC 的标识信息和地理位置信息判断出终端设备被盗后发送的， 所述 设备被盗处理策略响应消息包括被盗处理指示。 可选的， 接收单元 8122与发 送单元 8121连接， 用于在发送单元 8121发送设备被盗处理策略请求消息后， 接收设备被盗处理策略响应消息。
确定单元 8123 , 与接收单元 8122连接， 用于根据接收单元 8122接收到 的被盗处理指示确定终端设备被盗。
基于上述终端设备被盗的情况， 设置模块 82 具体用于将终端设备上的 eUICC的标识信息加入黑名单， 以使该 eUICC处于不可用状态。
基于上述终端设备被盗的情况， 保密处理指示模块 83具体用于通过终端 设备指示 eUICC将 eUICC上的数据删除。
基于上述终端设备被盗的情况， 保密处理指示模块 83具体可用于向终端 设备发送第一寻呼消息， 以使终端设备向 eUICC 发送停止签约命令， 以使 eUICC根据停止签约命令对 eUICC上的数据进行保密处理， 所述第一寻呼消 息包括终端设备的标识信息和用于标识终端设备被盗的被盗指示， 所述停止 签约命令包括终端设备的标识信息和所述被盗指示。 或者， 保密处理指示模 块 83具体可用于向终端设备发送第二寻呼消息，以使终端设备指示 eUICC向 SM-SR发送第一 OP请求消息并在接收到 SM-SR返回的第一 OP响应消息后 对 eUICC上的数据进行保密处理， 所述第二寻呼消息包括终端设备的标识信 息， 所述第一 OP请求消息包括终端设备的标识信息和 eUICC的标识信息， 所述第一 OP响应消息是 SM-SR根据终端设备的标识信息和 eUICC的标识信 息确定出终端设备被盗后发送的， 所述第一 OP响应消息包括所述被盗指示。
基于上述， 如图 9所示， 本实施例的 MNO设备还包括： 判断模块 84。 判断模块 84, 与保密处理指示模块 83连接， 用于在保密处理指示模块 83指 示 eUICC对 eUICC上的数据进行保密处理之前，判断终端设备是否处于附着 状态， 并在判断除终端设备处于附着状态时， 触发保密处理指示模块 83通过 终端设备指示 eUICC对 eUICC上的数据进行保密处理。
进一步可选的， 如图 9所示， 本实施例的 MNO设备还包括： 删除指示模 块 85。 删除指示模块 85 , 与判断模块 84连接， 用于在判断模块 84判断出终 端设备处于去附着状态时， 向 SM-SR发送停止签约请求消息， 以使 SM-SR 指示 SM-DP删除 eUICC对应的签约数据，所述停止签约请求消息包括 eUICC 的标识信息和用于标识终端设备被盗的被盗指示。
在一可选实施方式中，如图 9所示，确定模块 81的另一种实现结构包括： 第二接收子模块 813和第二确定子模块 814。
第二接收子模块 813 , 用于接收 M2M-SP设备发送的暂停签约请求消息， 所述暂停签约请求消息包括终端设备的标识信息、 eUICC 的标识信息和用于 标识终端设备丟失的丟失指示， 其中， M2M-SP设备根据终端设备的合法用 户的挂失请求确定终端设备丟失。
第二确定子模块 814, 与第二接收子模块 813连接， 用于根据第二接收子 模块 813接收到的丟失指示， 确定终端设备丟失。
基于上述终端设备丟失的情况，设置模块 82具体可用于将 eUICC对应的 OP挂起， 以使 eUICC处于不可用状态。 基于此， 本实施例的 MNO设备还包 括： 暂停响应发送模块 86。
暂停响应发送模块 86,与设置模块 82连接，用于在设置模块 82将 eUICC 对应的 OP挂起后， 向 M2M-SP设备发送暂停签约响应消息， 所述暂停签约 响应消息包括终端设备的标识信息和 eUICC的标识信息。
基于上述终端设备丟失的情况， 如图 9所示， 保密处理指示模块 83的一 种实现结构包括： 第三接收子模块 831和发送子模块 832。
第三接收子模块 831 , 用于接收终端设备发送的附着请求消息。
发送子模块 832, 与第三接收子模块 831 连接， 用于在第三接收子模块 831接收到附着请求消息后， 向终端设备返回拒绝附着响应消息， 以使终端设 备指示 eUICC向 SM-SR发送第二 OP请求消息并在接收到 SM-SR返回的第 二 OP响应消息后对 eUICC上的数据进行加密处理，所述第二 OP请求消息包 括终端设备的标识信息和 eUICC的标识信息，所述第二 OP响应消息是 SM-SR 根据终端设备的标识信息和 eUICC 的标识信息确定出终端设备丟失后发送 的， 所述第二 OP响应消息包括丟失指示和对 eUICC上的数据进行加密使用 的加密密钥。
基于上述， 如图 9所示， 本实施例的 MNO设备还包括： 恢复请求接收模 块 87、 解挂模块 88和恢复响应发送模块 89。
恢复请求接收模块 87, 用于接收 M2M-SP设备通过 SM-SR发送的恢复 签约请求消息， 所述恢复签约请求消息包括终端设备的标识信息、 eUICC 的 标识信息和用于标识终端设备重新被合法用户持有的恢复指示。 可选的， 恢 复请求接收模块 87与发送子模块 832连接。
解挂模块 88, 与恢复请求接收模块 87 连接， 用于在恢复请求接收模块 87接收到恢复签约请求消息， 将 eUICC对应的 OP解挂， 以使 eUICC恢复为 可用状态。
恢复响应发送模块 89,与解挂模块 88连接，用于在解挂模块 88将 eUICC 对应的 OP解挂后， 通过 SM-SR向 M2M-SP设备发送恢复签约响应消息， 所 述恢复签约响应消息包括终端设备的标识信息和 eUICC的标识信息。
本实施例提供的 MNO设备的各功能模块可用于执行图 2所示数据保密方 法中的相应流程， 其具体工作原理不再赘述， 详见方法实施例的描述。
本实施例的 MNO设备，在确定终端设备未被合法用户持有后，通过设置 终端设备上的 eUICC为不可用状态， 可以达到禁止终端设备非法接入 MNO 设备网络， 并通过终端设备指示 eUICC对 eUICC上的数据进行保密处理， 从 而在终端设备被盗或丟失的情况下实现了对 eUICC上的数据的保护， 能够很 好地保护用户的个人信息安全。
图 10为本发明又一实施例提供的 MNO设备的结构示意图。 如 10所示， 本实施例的 MNO设备包括： 处理器 1001、 通信接口 1002、存储器 1003以及 总线 1004。 处理器 1001、 通信接口 1002和存储器 1003通过总线 1004相互 连接并通过完成相互间的通信。 总线 1004可以是工业标准体系结构（ Industry Standard Architecture ,筒称为 ISA )总线、夕卜部设备互连( Peripheral Component, 筒称为 PCI ) 总线或扩展工业标准体系结构 （Extended Industry Standard Architecture, 筒称为 EISA )总线等。 总线 1004可以分为地址总线、 数据总 线、 控制总线等。 为便于表示， 图 10中仅用一条粗线表示， 但并不表示仅有 一根总线或一种类型的总线 1004。 其中：
存储器 1003 , 用于存放程序。 具体地， 程序可以包括程序代码， 所述程 序代码包括计算机操作指令。 除了存放程序之外， 存储器 1003还可存储通信 接口 1002接收或发送的数据。
存储器 1003可能包含高速 RAM存储器， 也可能还包括非易失性存储器 (英文为 non-volatile memory ), 例如至少一个磁盘存 4诸器。
处理器 1001用于执行存储器 1003存放的程序， 以实现： 确定终端设备 未被合法用户持有， 设置终端设备上的 eUICC为不可用状态。
通信接口 1002, 用于通过终端设备指示 eUICC对 eUICC上的数据进行 保密处理。
可选的， 通信接口 1002可以在处理器 1001的控制下， 通过终端设备指 示 eUICC对 eUICC上的数据进行保密处理。 例如， 处理器 1001通过其与通 信接口 1002之间的总线， 向通信接口 1002发送指令， 通信接口 1002根据处 理器 1001的指令， 通过终端设备指示 eUICC对 eUICC上的数据进行保密处 理。
处理器 1001 可能是一个中央处理器 （Central Processing Unit, 筒称为 CPU ), 或者是特定集成电路（Application Specific Integrated Circuit, 筒称为
ASIC ), 或者是被配置成实施本发明实施例的一个或多个集成电路。
本实施例提供的 MNO设备可用于执行图 2所示数据保密方法中的相应流 程， 其具体工作原理不再赘述， 详见方法实施例的描述。
本实施例的 MNO设备，在确定终端设备未被合法用户持有后，通过设置 终端设备上的 eUICC为不可用状态， 可以达到禁止终端设备非法接入 MNO 设备网络， 并通过终端设备指示 eUICC对 eUICC上的数据进行保密处理， 从 而在终端设备被盗或丟失的情况下实现了对 eUICC上的数据的保护， 能够很 好地保护用户的个人信息安全。
图 11 为本发明一实施例提供的 eUICC设备的结构示意图。 本实施例的 eUICC设备嵌在终端设备中， 如图 11所示， 本实施例的 eUICC设备包括： 指 示接收模块 1101和保密处理模块 1102。
指示接收模块 1101 , 用于接收指示消息， 所述指示消息用于在终端设备 未被合法用户持有时， 指示嵌入终端设备的本实施例的 eUICC 设备对该 eUICC设备上的数据进行保密处理。
保密处理模块 1102, 与指示接收模块 1101连接， 用于根据指示接收模块 1101接收到的指示消息， 对本实施例的 eUICC设备上的数据进行保密处理。
在一可选实施方式中， 指示接收模块 1101接收到的指示消息为停止签约 命令。 基于此， 如图 12所示， 指示接收模块 1101的一种实现结构包括： 第 一接收子模块 11011和第一发送子模块 11012。
第一接收子模块 11011 , 用于接收终端设备发送的停止签约命令， 所述停 止签约命令是终端设备在接收到 MNO设备发送的第一寻呼消息后生成并发 送给本实施例的 eUICC设备的， 所述第一寻呼消息是 MNO设备在根据终端 设备上报的地理位置信息确定终端设备被盗后发送给终端设备的， 所述第一 寻呼消息包括终端设备的标识信息和用于标识终端设备被盗的被盗指示， 所 述停止签约命令包括终端设备的标识信息和被盗指示。
第一发送子模块 11012, 与第一接收子模块 11011连接， 用于在第一接收 子模块 11011接收到停止签约命令后， 通过终端设备向 SM-SR发送停止签约 响应， 所述停止签约响应包括终端设备的标识信息、 本实施例的 eUICC设备 的标识信息和第一接收子模块 11011 接收到的被盗指示。 第一发送子模块 11012还与保密处理模块 1102连接，用于向保密处理模块 1102提供被盗指示。
在一可选实施方式中， 指示接收模块 1101接收到的指示消息为第一 OP 响应消息。 基于此， 如图 12所示， 指示接收模块 1101的一种实现结构包括： 第二发送子模块 11013和第二接收子模块 11014。
第二发送子模块 11013 ,用于根据终端设备在接收到第二寻呼消息后的指 示， 通过终端设备向 SM-SR发送第一 OP请求消息； 所述第二寻呼消息是 MNO设备在根据终端设备上报的地理位置信息确定终端设备被盗后发送给 终端设备的， 所述第二寻呼消息包括终端设备的标识信息， 第一 OP请求消息 包括终端设备的标识信息和本实施例的 eUICC设备的标识信息。
第二接收子模块 11014, 与第二发送子模块 11013连接， 用于在第二发送 子模块 11013发送第一 OP请求消息之后， 通过终端设备接收 SM-SR返回的 第一 OP响应消息； 所述第一 OP响应消息是 SM-SR根据终端设备的标识信 息和本实施例的 eUICC设备的标识信息确定出终端设备被盗后发送的， 所述 第一 OP 响应消息包括用于标识终端设备被盗的被盗指示。 第二接收子模块 11014与保密处理模块 1102连接， 用于向保密处理模块 1102提供被盗指示。
基于上述指示接收模块 1101 的两种实现结构， 保密处理模块 1102具体 可用于根据所述被盗指示， 删除本实施例的 eUICC设备上的数据。
在一可选实施方式中， 指示接收模块 1101接收到的指示消息为第二 OP 响应消息。 基于此， 如图 12所示， 指示接收模块 1101 的另一种实现结构包 括： 第三发送子模块 11015和第三接收子模块 11016。
第三发送子模块 11015 ,用于根据终端设备在接收到拒绝附着响应消息后 的指示， 通过终端设备向 SM-SR发送第二 OP请求消息； 所述拒绝附着响应 消息是 MNO设备在接收到终端设备发送的附着请求消息且确定出终端设备 丟失后发送给终端设备的，所述第二 OP请求消息包括终端设备的标识信息和 本实施例的 eUICC设备的标识信息。
第三接收子模块 11016, 与第三发送子模块 11015连接， 用于在第三发送 子模块 11015发送第二 OP请求消息后， 通过终端设备接收 SM-SR返回的第 二 OP响应消息； 所述第二 OP响应消息是 SM-SR根据终端设备的标识信息 和本实施例的 eUICC设备的标识信息确定出终端设备丟失后发送的， 所述第 二 OP 响应消息包括用于标识终端设备丟失的丟失指示和对本实施例的 eUICC设备上的数据进行加密使用的加密密钥。 第三接收子模块 11016还与 保密处理模块 1102连接。
基于终端设备丟失的情况， 保密处理模块 1102具体可用于根据第三接收 子模块 11016接收到的丟失指示， 使用第三接收子模块 11016接收到的加密 密钥对本实施例的 eUICC设备上的数据进行加密处理。
基于上述， 如图 12所示， 本实施例的 eUICC设备还包括： 请求发送模块 1103、 响应接收模块 1104、 解密处理模块 1105和确认发送模块 1106。
请求发送模块 1103 ,用于通过终端设备向 SM-SR发送第三 OP请求消息， 所述第三 OP请求消息包括终端设备的标识信息和本实施例的 eUICC设备的 标识信息。 可选的， 请求发送模块 1103与保密处理模块 1102连接。
响应接收模块 1104,与请求发送模块 1103连接，用于在请求发送模块 1103 发送第三 OP请求消息之后， 通过终端设备接收 SM-SR发送的第三 OP响应 消息， 所述第三 OP 响应消息是 SM-SR 根据接收到的 MNO设备发送给 M2M-SP设备的恢复签约响应消息确定终端设备重新被合法用户持有后， 在 接收到第三 OP请求消息后发送的，所述恢复签约响应消息是 MNO设备在接 收到 M2M-SP设备发送的恢复签约请求消息后发送给 M2M-SP设备的， 所述 第三 OP 响应消息包括解密密钥和用于标识终端设备被合法用户持有的恢复 指示。
解密处理模块 1105 , 与响应接收模块 1104连接， 用于根据响应接收模块 1104接收到的恢复指示，使用响应接收模块 1104接收到的解密密钥对本实施 例的 eUICC设备上的数据进行解密处理。
确认发送模块 1106,与解密处理模块 1105连接，用于在解密处理模块 1105 对本实施例的 eUICC设备上的数据进行解密处理后， 通过终端设备向 SM-SR 发送数据恢复确认消息。
本实施例的 eUICC设备的各功能模块可用于执行图 3所示数据保密方法 中的相应流程， 其具体工作原理不再赘述， 详见方法实施例的描述。 本实施例提供的 eUICC设备， 与网络侧设备 (例如 MNO设备、 SM-SR 和 /或 M2M-SP设备 )相配合， 在终端设备未被合法用户持有后， 根据接收到 的指示信息对 euiCC上的数据进行保密处理， 从而在终端设备被盗或丟失的 情况下实现了对 eUICC上的数据的保护， 能够很好地保护用户的个人信息安 全。
图 13为本发明又一实施例提供的 eUICC设备的结构示意图。本实施例的 eUICC设备嵌在终端设备中， 如图 13所示， 本实施例的 eUICC设备包括： 通信接口 1301、 处理器 1302、 存储器 1303和总线 1304。 通信接口 1301、 处 理器 1302和存储器 1303通过总线 1304相互连接并完成相互间的通信。 总线 1304可以是 ISA总线、 PCI总线或 EISA总线等。 总线 1304可以分为地址总 线、 数据总线、 控制总线等。 为便于表示， 图 13中仅用一条粗线表示， 但并 不表示仅有一根总线或一种类型的总线 1304。 其中：
存储器 1303 , 用于存放程序。 具体地， 程序可以包括程序代码， 所述程 序代码包括计算机操作指令。 除了存放程序之外， 存储器 1303还可存储通信 接口 1301接收或发送的数据。
存储器 1303可能包含高速 RAM存储器， 也可能还包括非易失性存储器 ( non-volatile memory ) , 例如至少一个磁盘存储器。
通信接口 1301用于接收指示消息， 所述指示消息用于在终端设备未被合 法用户持有时，指示嵌入终端设备的 eUICC设备对 eUICC设备上的数据进行 保密处理
处理器 1302用于执行存储器 1303存放的程序， 以实现： 根据通信接口 1301接收到的指示消息， 对本实施例的 eUICC上的数据进行保密处理。
处理器 1302可能是一个 CPU, 或者是特定 ASIC, 或者是被配置成实施 本发明实施例的一个或多个集成电路。
本实施例提供的 eUICC设备可用于执行图 3所示数据保密方法中的相应 流程， 其具体工作原理不再赘述， 详见方法实施例的描述。
本实施例提供的 eUICC设备， 与网络侧设备 (例如 MNO设备、 SM-SR 和 /或 M2M-SP设备）相配合， 在终端设备未被合法用户持有后， 根据接收到 的指示信息对 euiCC上的数据进行保密处理， 从而在终端设备被盗或丟失的 情况下实现了对 eUICC上的数据的保护， 能够很好地保护用户的个人信息安 全。
图 14为本发明一实施例提供的 SM-SR设备的结构示意图。如图 14所示， 本实施例的 SM-SR设备包括： 确定模块 1401、 第一请求接收模块 1402和第 一响应发送模块 1403。
确定模块 1401 , 用于确定终端设备未被合法用户持有。
第一请求接收模块 1402, 与确定模块 1401连接， 用于在确定模块 1401 确定终端被盗后， 接收终端设备上的 eUICC通过终端设备发送的第一 OP请 求消息，所述第一 OP请求消息是终端设备在接收到 MNO设备发送的拒绝附 着响应消息后指示 eUICC发送的， 所述第一 OP请求消息包括终端设备的标 识信息和 eUICC的标识信息。
第一响应发送模块 1403 , 与第一请求接收模块 1402连接， 用于在第一请 求接收模块 1402接收到第一 OP请求消息后，通过终端设备向 eUICC返回第 一 OP响应消息， 以使 eUICC对 eUICC上的数据进行保密处理。
在一可选实施方式中， 如图 15所示， 确定模块 1401的一种实现结构包 括： 接收子模块 14011和第一确定子模块 14012。
接收子模块 14011 , 用于接收 MNO设备发送的停止签约请求消息， 所述 停止签约请求消息是 MNO设备在确定终端设备被盗且终端设备处于去附着 状态后发送的， 所述停止签约请求消息包括 eUICC的标识信息和被盗指示。
第一确定子模块 14012, 与接收子模块 14011连接， 用于根据接收子模块 14011接收到的 eUICC的标识信息和被盗指示， 确定终端设备被盗。 第一请 求接收模块 1402与第一确定子模块 14012连接。 如图 15所示， 在第一确定子模块 14012确定出终端设备被盗的情况下， 本实施例的 SM-SR设备还可以包括： 请求发送模块 14013 , 与接收子模块 14011 和第一响应发送模块 1403 连接， 用于在第一响应发送模块 1403 向 eUICC返回第一 OP响应消息后或在接收子模块 14011接收到停止签约请求消 息后， 向 SM-DP发送删除签约数据请求消息， 以指示 SM-DP删除 eUICC对 应的签约数据。
在第一确定子模块 14012确定出终端设备被盗的情况下，第一 OP响应消 息包括用于标识终端设备被盗的被盗指示， 则第一响应发送模块 1403具体可 用于通过终端设备向 eUICC返回第一 OP响应消息， 以使 eUICC删除 eUICC 上的数据。 可选的， 第一响应发送模块 1403 具体也可用于通过终端设备向 eUICC返回第一 OP响应消息，以使 eUICC对 eUICC上的数据进行加密处理。 在一可选实施方式中， 如图 15所示， 确定模块 1401 包括： 接收转发子模块 16011和第二确定子模块 16012。
接收转发子模块 16011 , 用于接收 M2M-SP设备发送的暂停签约请求消 息， 将暂停签约请求消息转发给 MNO设备， 以使 MNO设备确定终端设备丟 失； 所述暂停签约请求消息包括终端设备的标识信息、 eUICC 的标识信息和 丟失指示。
第二确定子模块 16012, 与接收转发子模块 16011连接， 用于根据接收转 发子模块 16011接收到的丟失指示，确定终端设备丟失。第二确定子模块 16012 与第一请求接收模块 1402连接。
在第二确定子模块 16012确定除终端设备丟失的情况下，第一 OP响应消 息包括用于标识终端设备丟失的丟失指示和对 eUICC上的数据进行加密使用 的加密密钥，则第一响应发送模块 1403具体可用于通过终端设备向 eUICC返 回第一 OP响应消息， 以使 eUICC对 eUICC上的数据进行加密处理。
在第二确定子模块 16012确定除终端设备丟失的情况下， 在一可选实施 方式中， 如图 15所示， 本实施例的 SM-SR还包括： 暂停响应接收模块 1604 和暂停响应转发模块 1605。
暂停响应接收模块 1604, 与接收转发子模块 16011连接， 用于在接收转 发子模块 16011转发暂停签约请求消息后，接收 MNO设备发送的暂停签约响 应消息， 所述暂停签约响应消息包括终端设备的标识信息和 eUICC的标识信 息。
暂停响应转发模块 1605 , 与暂停响应接收模块 1604连接， 用于将暂停响 应接收模块 1604接收到的暂停签约响应消息转发给 M2M-SP设备。
在第二确定子模块 16012确定除终端设备丟失的情况下， 在一可选实施 方式中， 如图 15所示， 本实施例的 SM-SR还包括： 第二请求接收模块 1606、 第二响应发送模块 1607和确定接收模块 1608。
第二请求接收模块 1606, 用于接收 eUICC通过终端设备发送的第二 OP 请求消息， 所述第二 OP请求消息包括终端设备的标识信息和 eUICC的标识 信息。 可选的， 第二请求接收模块 1606与第一响应发送模块 1403连接， 用 于在第一响应发送模块 1403向 eUICC返回第一 OP响应消息， 以使 eUICC 对 eUICC上的数据进行加密处理之后，接收 eUICC通过终端设备发送的第二 OP请求消息。
第二响应发送模块 1607, 与第二请求接收模块 1606连接， 用于在第二请 求接收模块 1606接收到第二 OP请求消息后，通过终端设备向 eUICC发送第 二 OP 响应消息， 所述第二 OP 响应消息是根据接收到 MNO设备发送给 M2M-SP设备的恢复签约响应消息确定终端设备重新被合法用户持有后， 在 接收到第二 OP请求消息后发送的，所述恢复签约响应消息是 MNO设备在接 收到 M2M-SP设备发送的恢复签约请求消息后发送给 M2M-SP设备的， 所述 第二 OP 响应消息包括解密密钥和用于标识终端设备重新被所述合法用户持 有的恢复指示， 以使 eUICC根据恢复指示， 使用解密密钥对 eUICC上的数据 进行解密处理。
确认接收模块 1608 , 与第二响应发送模块 1607连接， 用于在第二响应发 送模块 1607发送第二 OP响应消息后，接收 eUICC通过终端设备发送的数据 恢复确认消息。
本实施例的 SM-SR设备的各功能模块或子模块可用于执行图 4所示数据 保密方法中的相应流程， 其具体工作原理不再赘述， 详见方法实施例的描述。
本实施例的 SM-SR设备， 在终端设备被盗或丟失等未被合法用户持有的 情况下，针对 eUICC发送的 OP请求返回 OP响应并在 OP响应中携带标识终 端设备被盗或丟失的指示，使得 eUICC可以根据该指示对 eUICC上的数据进 行保密处理， 从而在终端设备被盗或丟失等情况下实现了对 eUICC上的数据 的保护， 能够很好地保护用户的个人信息安全。
图 16为本发明又一实施例提供的 SM-SR设备的接收示意图。 如图 18所 示，本实施例的 SM-SR设备包括： 处理器 1801、通信接口 1802、存储器 1803 和总线 1804。 处理器 1801、 通信接口 1802和存储器 1803通过总线 1804相 互连接并完成相互间的通信。 总线 1804可以是 ISA总线、 PCI总线或 EISA 总线等。 总线 1804可以分为地址总线、数据总线、控制总线等。 为便于表示， 图 16中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线 1804。 其中：
存储器 1803 , 用于存放程序。 具体地， 程序可以包括程序代码， 所述程 序代码包括计算机操作指令。 除了存放程序之外， 存储器 1803还可存储通信 接口 1802接收或发送的数据。
存储器 1803可能包含高速 RAM存储器， 也可能还包括非易失性存储器 (英文为 non-volatile memory ), 例如至少一个磁盘存 4诸器。
处理器 1801用于执行存储器 1803存放的程序， 以确定终端设备未被合 法用户持有。 处理器 1801可能是一个 CPU, 或者是特定 ASIC, 或者是被配 置成实施本发明实施例的一个或多个集成电路。
通信接口 1802,用于在处理器 1801确定终端设备未被合法用户持有之后， 接收终端设备上的 eUICC通过终端设备发送的第一 OP请求消息， 所述第一 OP请求消息是终端设备在接收到 MNO设备发送的拒绝附着响应消息后指示 eUICC发送的， 所述第一 OP请求消息包括终端设备的标识信息和 eUICC的 标识信息； 通信接口 1802还用于通过终端设备向 eUICC返回第一 OP响应消 息， 以使 eUICC对 eUICC上的数据进行保密处理。
可选的， 在处理器 1801确定终端设备被盗的情况下， 第一 OP响应消息 包括用于标识终端设备被盗的被盗指示。
可选的， 在处理器 1801确定终端设备丟失的情况下， 第一 OP响应消息 包括用于标识终端设备丟失的丟失指示和对 eUICC上的数据进行加密使用的 加密密钥。
本实施例的 SM-SR设备的各功能模块或子模块可用于执行图 4所示数据 保密方法中的相应流程， 其具体工作原理不再赘述， 详见方法实施例的描述。
本实施例的 SM-SR设备， 在终端设备被盗或丟失等未被合法用户持有的 情况下，针对 eUICC发送的 OP请求返回 OP响应并在 OP响应中携带标识终 端设备被盗或丟失的指示，使得 eUICC可以根据该指示对 eUICC上的数据进 行保密处理， 从而在终端设备被盗或丟失等情况下实现了对 eUICC上的数据 的保护， 能够很好地保护用户的个人信息安全。
本发明一实施例提供一种基于 eUICC的数据保密系统， 包括： 图 8或图 9或图 10所示实施例提供的 MNO设备、 图 11或图 12或图 13所示实施例提 供的 eUICC设备和图 14或图 15或图 16所示实施例提供的 SM-SR设备。
本领域普通技术人员可以理解： 实现上述各方法实施例的全部或部分步 骤可以通过程序指令相关的硬件来完成。 前述的程序可以存储于一计算机可 读取存储介质中。 该程序在执行时， 执行包括上述各方法实施例的步骤； 而 前述的存储介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程序代码 的介质。
最后应说明的是： 以上各实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述各实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或者对其中部分或者全部技术特征进行等同替换； 而这些修改或者替换， 并 不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权利要求 书
1、 一种基于嵌入式通用集成电路卡 eUICC的数据保密方法， 其特征在于， 包括：
确定终端设备未被合法用户持有；
设置所述终端设备上的 eUICC为不可用状态；
通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进行保密处理。
2、 根据权利要求 1所述的方法， 其特征在于， 所述确定终端设备未被合法 用户持有包括：
在所述地理位置信息不属于预设的所述终端设备的合法使用区域时， 确定 所述终端设备被盗。
3、 根据权利要求 2所述的方法， 其特征在于， 所述在所述地理位置信息不 属于预设的所述终端设备的合法使用区域时， 确定所述终端设备被盗包括： 在确定出所述地理位置信息不属于预设的所述终端设备的合法使用区域 后， 向机器间通信服务提供商 M2M-SP设备发送设备被盗处理策略请求消息， 所述设备被盗处理策略请求消息包括所述终端设备的标识信息、 所述 eUICC的 标识信息和所述地理位置信息； 接收所述 M2M-SP设备发送的设备被盗处理策略响应消息， 所述设备被盗 处理策略响应消息是所述 M2M-SP设备根据所述终端设备的标识信息、 所述 eUICC的标识信息和所述地理位置信息判断出所述终端设备被盗后发送的， 所 述设备被盗处理策略响应消息包括被盗处理指示； 根据所述被盗处理指示确定所述终端设备被盗。
4、 根据权利要求 2或 3所述的方法， 其特征在于， 所述设置所述终端设备 上的 eUICC为不可用状态包括： 将所述 eUICC的标识信息加入黑名单， 以使所述 eUICC处于不可用状态。
5、 根据权利要求 2或 3或 4所述的方法， 其特征在于， 所述通过所述终端 设备指示所述 eUICC对所述 eUICC上的数据进行保密处理包括： 通过所述终端设备指示所述 eUICC将所述 eUICC上的数据删除。
6、 根据权利要求 2-5任一项所述的方法， 其特征在于， 所述通过所述终端 设备指示所述 eUICC对所述 eUICC上的数据进行保密处理包括： 向所述终端设备发送第一寻呼消息， 以使所述终端设备向所述 eUICC发送 进行保密处理， 所述第一寻呼消息包括所述终端设备的标识信息和用于标识所 述终端设备被盗的被盗指示， 所述停止签约命令包括所述终端设备的标识信息 和所述被盗指示； 或者 向所述终端设备发送第二寻呼消息， 以使所述终端设备指示所述 eUICC向 签约管理单元-安全路由 SM-SR发送第一执行文件 OP请求消息并在接收到所述 SM-SR返回的第一 OP响应消息后对所述 eUICC上的数据进行保密处理， 所述 第二寻呼消息包括所述终端设备的标识信息， 所述第一 OP请求消息包括所述终 端设备的标识信息和所述 eUICC的标识信息， 所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出所述终端 设备被盗后发送的， 所述第一 OP响应消息包括所述被盗指示。
7、 根据权利要求 2-5任一项所述的方法， 其特征在于， 所述通过所述终端 设备指示所述 eUICC对所述 eUICC上的数据进行保密处理之前包括： 判断所述终端设备是否处于附着状态； 如果判断出所述终端设备处于附着状态， 通过所述终端设备指示所述 eUICC对所述 eUICC上的数据进行保密处理。
8、 根据权利要求 7所述的方法， 其特征在于， 还包括： 如果判断出所述终端设备处于去附着状态， 向签约管理单元-安全路由 SM-SR发送停止签约请求消息， 以使所述 SM-SR指示签约管理单元-数据准备 SM-DP删除所述 eUICC对应的签约数据， 所述停止签约请求消息包括所述 eUICC的标识信息和用于标识所述终端设备被盗的被盗指示。
9、 根据权利要求 1所述的方法， 其特征在于， 所述确定终端设备未被合法 用户持有包括：
接收机器间通信服务提供商 M2M-SP设备发送的暂停签约请求消息， 所述 暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和用 于标识所述终端设备丟失的丟失指示， 其中， 所述 M2M-SP设备根据所述合法 用户的挂失请求确定所述终端设备丟失； 根据所述丟失指示， 确定所述终端设备丟失。
10、 根据权利要求 9所述的方法， 其特征在于， 所述设置所述终端设备上 的 eUICC为不可用状态包括： 将所述 eUICC对应的执行文件 OP挂起以使所述 eUICC处于不可用状态 向所述 M2M-SP设备发送暂停签约响应消息， 所述暂停签约响应消息包括 所述终端设备的标识信息和所述 eUICC的标识信息。
11、 根据权利要求 9或 10所述的方法， 其特征在于， 所述通过所述终端设 备指示所述 eUICC对所述 eUICC上的数据进行保密处理包括： 接收所述终端设备发送的附着请求消息；
向所述终端设备返回拒绝附着响应消息， 以使所述终端设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第二 OP请求消息并在接收到所述 SM-SR返回的第二 OP响应消息后对所述 eUICC上的数据进行加密处理， 所述 第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息， 所 述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC 的标识信息确定出所述终端设备丟失后发送的， 所述第二 OP响应消息包括所述 丟失指示和对所述 eUICC上的数据进行加密使用的加密密钥。
12、 根据权利要求 10或 11所述的方法， 其特征在于， 还包括： 接收所述 M2M-SP设备通过所述 SM-SR发送的恢复签约请求消息， 所述恢 复签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和用于 标识所述终端设备重新被所述合法用户持有的恢复指示； 将所述 eUICC对应的 OP解挂， 以使所述 eUICC恢复为可用状态； 通过所述 SM-SR向所述 M2M-SP设备发送恢复签约响应消息， 所述恢复签 约响应消息包括所述终端设备的标识信息和所述 eUICC的标识信息。
13、 一种基于嵌入式通用集成电路卡 eUICC的数据保密方法， 其特征在于， 包括：
终端设备上的 eUICC接收指示消息， 所述指示消息用于在所述终端设备未 被合法用户持有时， 指示所述 eUICC对所述 eUICC上的数据进行保密处理； 所述 eUICC根据所述指示消息， 对所述 eUICC上的数据进行保密处理。
14、 根据权利要求 13所述的方法， 其特征在于， 所述指示消息为停止签约 命令；
所述终端设备上的 eUICC接收指示消息包括： 所述 eUICC接收所述终端设备发送的所述停止签约命令， 所述停止签约命 令是所述终端设备在接收到移动网络运营商 MNO设备发送的第一寻呼消息后 生成并发送给所述 eUICC的， 所述第一寻呼消息是所述 MNO设备在根据所述 终端设备上报的地理位置信息确定所述终端设备被盗后发送给所述终端设备 的， 所述第一寻呼消息包括所述终端设备的标识信息和用于标识所述终端设备 被盗的被盗指示， 所述停止签约命令包括所述终端设备的标识信息和所述被盗 指示；
所述 eUICC通过所述终端设备向签约管理单元-安全路由 SM-SR发送停止 签约响应， 所述停止签约响应包括所述终端设备的标识信息、 所述 eUICC的标 识信息和所述被盗指示。
15、 根据权利要求 13所述的方法， 其特征在于， 所述指示消息为第一执行 文件 OP响应消息；
所述终端设备上的 eUICC接收指示消息包括：
所述 eUICC根据所述终端设备在接收到第二寻呼消息后的指示， 通过所述 终端设备向签约管理单元-安全路由 SM-SR发送第一 OP请求消息； 所述第二寻 呼消息是移动网络运营商 MNO设备在根据所述终端设备上报的地理位置信息 确定所述终端设备被盗后发送给所述终端设备的， 所述第二寻呼消息包括所述 终端设备的标识信息， 所述第一 OP请求消息包括所述终端设备的标识信息和所 述 eUICC的标识信息；
所述 eUICC通过所述终端设备接收所述 SM-SR返回的第一 OP响应消息； 所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出所述终端设备被盗后发送的，所述第一 OP响应消息包 括用于标识所述终端设备被盗的被盗指示。
16、 根据权利要求 14或 15所述的方法， 其特征在于， 所述 eUICC根据所 述指示消息， 对所述 eUICC上的数据进行保密处理包括：
所述 eUICC根据所述被盗指示， 删除所述 eUICC上的数据。
17、 根据权利要求 13所述的方法， 其特征在于， 所述指示消息为第二执行 文件 OP响应消息；
所述终端设备上的 eUICC接收指示消息包括：
所述 eUICC根据所述终端设备在接收到拒绝附着响应消息后的指示， 通过 所述终端设备向签约管理单元-安全路由 SM-SR发送第二 OP请求消息； 所述拒 绝附着响应消息是移动网络运营商 MNO设备在接收到所述终端设备发送的附 请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息；
所述 eUICC通过所述终端设备接收所述 SM-SR返回的第二 OP响应消息； 所述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所述 eUICC的标识信息确定出所述终端设备丟失后发送的，所述第二 OP响应消息包 括用于标识所述终端设备丟失的丟失指示和对所述 eUICC上的数据进行加密使 用的加密密钥。
18、 根据权利要求 17所述的方法， 其特征在于， 所述 eUICC根据所述指示 消息， 对所述 eUICC上的数据进行保密处理包括： 所述 eUICC根据所述丟失指示， 使用所述加密密钥对所述 eUICC上的数据 进行加密处理。
19、 根据权利要求 18所述的方法， 其特征在于， 还包括： 所述 eUICC通过所述终端设备向所述 SM-SR发送第三 OP请求消息， 所述 第三 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息； 所述 eUICC通过所述终端设备接收所述 SM-SR发送的第三 OP响应消息， 所述第三 OP响应消息是所述 SM-SR根据接收到的所述 MNO设备发送给机器 间通信服务提供商 M2M-SP设备的恢复签约响应消息确定所述终端设备重新被 所述合法用户持有后， 在接收到所述第三 OP请求消息后发送的， 所述恢复签约 响应消息是所述 MNO设备在接收到所述 M2M-SP设备发送的恢复签约请求消 息后发送给所述 M2M-SP设备的， 所述第三 OP响应消息包括解密密钥和用于 标识所述终端设备被所述合法用户持有的恢复指示； 所述 eUICC根据所述恢复指示， 使用所述解密密钥对所述 eUICC上的数据 进行解密处理； 所述 eUICC通过所述终端设备向所述 SM-SR发送数据恢复确认消息。
20、 一种基于嵌入式通用集成电路卡 eUICC的数据保密方法， 其特征在于， 包括：
确定终端设备未被合法用户持有； 接收所述终端设备上的 eUICC通过所述终端设备发送的第一 OP请求消 息， 所述第一 OP请求消息是所述终端设备在接收到移动网络运营商 MNO设备 发送的拒绝附着响应消息后指示所述 eUICC发送的， 所述第一 OP请求消息包 括所述终端设备的标识信息和所述 eUICC的标识信息；
通过所述终端设备向所述 eUICC返回第一 OP响应消息， 以使所述 eUICC 对所述 eUICC上的数据进行保密处理。
21、 根据权利要求 20所述的方法， 其特征在于， 所述确定终端设备未被合 法用户持有包括：
接收所述 MNO设备发送的停止签约请求消息， 所述停止签约请求消息是所 述 MNO设备在确定所述终端设备被盗且所述终端设备处于去附着状态后发送 的， 所述停止签约请求消息包括所述 eUICC的标识信息和所述被盗指示；
根据所述 eUICC的标识信息和所述被盗指示， 确定所述终端设备被盗。
22、 根据权利要求 20或 21所述的方法， 其特征在于， 还包括： 在向所述 eUICC返回所述第一 OP响应消息之后， 或者在接收到所述停止 签约请求消息之后，向签约管理单元-数据准备 SM-DP发送删除签约数据请求消 息， 以指示所述 SM-DP删除所述 eUICC对应的签约数据。
23、 根据权利要求 21或 22所述的方法， 其特征在于， 所述第一 OP响应消 息包括用于标识所述终端设备被盗的被盗指示； 所述通过所述终端设备向所述 eUICC返回第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理包括： 通过所述终端设备向所述 eUICC返回所述第一 OP响应消息， 以使所述 eUICC删除所述 eUICC上的数据。
24、 根据权利要求 20所述的方法， 其特征在于， 所述确定终端设备未被合 法用户持有包括：
接收机器间通信服务提供商 M2M-SP设备发送的暂停签约请求消息， 将所 述暂停签约请求消息转发给所述 MNO设备， 以使所述 MNO设备确定所述终端 设备丟失； 所述暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC 的标识信息和所述丟失指示； 根据所述丟失指示， 确定所述终端设备丟失。
25、 根据权利要求 24所述的方法， 其特征在于， 所述第一 OP响应消息包 括用于标识所述终端设备丟失的丟失指示和对所述 eUICC上的数据进行加密使 用的加密密钥； 所述通过所述终端设备向所述 eUICC返回第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理包括：
通过所述终端设备向所述 eUICC返回所述第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行加密处理。
26、 根据权利要求 24或 25所述的方法， 其特征在于， 所述接收机器间通 信服务提供商 M2M-SP设备发送的暂停签约请求消息， 将所述暂停签约请求消 息转发给所述 MNO设备以使所述 MNO设备确定所述终端设备丟失之后包括 接收所述 MNO设备发送的暂停签约响应消息， 并将所述暂停签约响应消息 转发给所述 M2M-SP设备， 所述暂停签约响应消息包括所述终端设备的标识信 息和所述 eUICC的标识信息。
27、 根据权利要求 25或 26所述的方法， 其特征在于， 还包括： 接收所述 eUICC通过所述终端设备发送的第二 OP请求消息， 所述第二 OP 请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息；
通过所述终端设备向所述 eUICC发送第二 OP响应消息所述第二 OP响应 消息是根据接收到所述 MNO设备发送给机器间通信服务提供商 M2M-SP设备 的恢复签约响应消息确定所述终端设备重新被合法用户持有后， 在接收到所述 第二 OP请求消息后发送的， 所述恢复签约响应消息是所述 MNO设备在接收到 所述 M2M-SP设备发送的恢复签约请求消息后发送给所述 M2M-SP设备的， 所 述第二 OP响应消息包括解密密钥和用于标识所述终端设备重新被所述合法用 户持有的恢复指示， 以使所述 eUICC根据所述恢复指示， 使用所述解密密钥对 所述 eUICC上的数据进行解密处理； 接收所述 eUICC通过所述终端设备发送的数据恢复确认消息。
28、 一种移动网络运营商 MNO设备， 其特征在于， 包括： 确定模块， 用于确定终端设备未被合法用户持有；
设置模块， 用于设置所述终端设备上的嵌入式通用集成电路卡 eUICC为不 可用状态；
保密处理指示模块， 用于通过所述终端设备指示所述 eUICC对所述 eUICC 上的数据进行保密处理。
29、 根据权利要求 28所述的 MNO设备， 其特征在于， 所述确定模块包括：
位置信息； 第一确定子模块， 用于在所述第一接收子模块接收到的所述地理位置信息 不属于预设的所述终端设备的合法使用区域时， 确定所述终端设备被盗。
30、 根据权利要求 29所述的 MNO设备， 其特征在于， 所述第一确定子模 块包括： 发送单元， 用于在确定出所述地理位置信息不属于预设的所述终端设备的 合法使用区域后， 向机器间通信服务提供商 M2M-SP设备发送设备被盗处理策 略请求消息， 所述设备被盗处理策略请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和所述地理位置信息； 接收单元， 用于接收所述 M2M-SP设备发送的设备被盗处理策略响应消 息， 所述设备被盗处理策略响应消息是所述 M2M-SP设备根据所述终端设备的 标识信息、 所述 eUICC的标识信息和所述地理位置信息判断出所述终端设备被 盗后发送的， 所述设备被盗处理策略响应消息包括被盗处理指示； 确定单元， 用于根据所述被盗处理指示确定所述终端设备被盗。
31、 根据权利要求 29或 30所述的 MNO设备， 其特征在于， 所述设置模块 具体用于将所述 eUICC的标识信息加入黑名单， 以使所述 eUICC处于不可用状 态。
32、 根据权利要求 29或 30或 31所述的 MNO设备， 其特征在于， 所述保 密处理指示模块具体用于通过所述终端设备指示所述 eUICC将所述 eUICC上的 数据删除。
33、 根据权利要求 29-32任一项所述的 MNO设备， 其特征在于， 所述保密 处理指示模块具体用于向所述终端设备发送第一寻呼消息， 以使所述终端设备 向所述 eUICC发送停止签约命令， 以使所述 eUICC根据所述停止签约命令对所 述 eUICC上的数据进行保密处理， 所述第一寻呼消息包括所述终端设备的标识 信息和用于标识所述终端设备被盗的被盗指示， 所述停止签约命令包括所述终 端设备的标识信息和所述被盗指示； 或者 所述保密处理指示模块具体用于向所述终端设备发送第二寻呼消息， 以使 所述终端设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第一执行 文件 OP请求消息并在接收到所述 SM-SR返回的第一 OP响应消息后对所述 eUICC上的数据进行保密处理， 所述第二寻呼消息包括所述终端设备的标识信 息， 所述第一 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识 信息， 所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识信息和所 述 eUICC的标识信息确定出所述终端设备被盗后发送的， 所述第一 OP响应消 息包括所述被盗指示。
34、 根据权利要求 29-32任一项所述的 MNO设备， 其特征在于， 还包括： 判断模块， 用于在所述保密处理指示模块指示所述 eUICC对所述 eUICC上 的数据进行保密处理之前， 判断所述终端设备是否处于附着状态， 并在判断出 所述终端设备处于附着状态时， 触发所述保密处理指示模块通过所述终端设备 指示所述 eUICC对所述 eUICC上的数据进行保密处理。
35、 根据权利要求 34所述的 MNO设备， 其特征在于， 还包括： 删除指示模块， 用于在所述判断模块判断出所述终端设备处于去附着状态 时， 向签约管理单元-安全路由 SM-SR发送停止签约请求消息， 以使所述 SM-SR 指示签约管理单元-数据准备 SM-DP删除所述 eUICC对应的签约数据， 所述停 止签约请求消息包括所述 eUICC的标识信息和用于标识所述终端设备被盗的被 盗指示。
36、 根据权利要求 28所述的 MNO设备， 其特征在于， 所述确定模块包括： 第二接收子模块， 用于接收机器间通信服务提供商 M2M-SP设备发送的暂 停签约请求消息， 所述暂停签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和用于标识所述终端设备丟失的丟失指示， 其中， 所述 M2M-SP设备根据所述合法用户的挂失请求确定所述终端设备丟失； 第二确定子模块， 用于根据所述丟失指示， 确定所述终端设备丟失。
37、 根据权利要求 36所述的 MNO设备， 其特征在于， 所述设置模块具体 用于将所述 eUICC对应的执行文件 OP挂起以使所述 eUICC处于不可用状态 所述 MNO设备还包括：
暂停响应发送模 ¾用于在所述设置模块将所述 eUICC对应的执行文件 OP 挂起后， 向所述 M2M-SP设备发送暂停签约响应消息， 所述暂停签约响应消息 包括所述终端设备的标识信息和所述 eUICC的标识信息。
38、 根据权利要求 36或 37所述的 MNO设备， 其特征在于， 所述保密处理 指示模块包括：
第三接收子模块， 用于接收所述终端设备发送的附着请求消息； 发送子模块， 用于向所述终端设备返回拒绝附着响应消息， 以使所述终端 设备指示所述 eUICC向签约管理单元-安全路由 SM-SR发送第二 OP请求消息 并在接收到所述 SM-SR返回的第二 OP响应消息后对所述 eUICC上的数据进行 加密处理， 所述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC 的标识信息， 所述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识信 息和所述 eUICC的标识信息确定出所述终端设备丟失后发送的， 所述第二 OP 响应消息包括所述丟失指示和对所述 eUICC上的数据进行加密使用的加密密 钥。
39、 根据权利要求 37或 38所述的 MNO设备， 其特征在于， 还包括： 恢复请求接收模块， 用于接收所述 M2M-SP设备通过所述 SM-SR发送的恢 复签约请求消息， 所述恢复签约请求消息包括所述终端设备的标识信息、 所述 eUICC的标识信息和用于标识所述终端设备重新被所述合法用户持有的恢复指 示；
解挂模块， 用于将所述 eUICC对应的 OP解挂， 以使所述 eUICC恢复为可 用状态； 恢复响应发送模块， 用于通过所述 SM-SR向所述 M2M-SP设备发送恢复签 约响应消息， 所述恢复签约响应消息包括所述终端设备的标识信息和所述 eUICC的标识信息。
40、 一种嵌入式通用集成电路卡 eUICC设备， 其特征在于， 嵌在终端设备 中， 所述 eUICC设备包括： 指示接收模块， 用于接收指示消息， 所述指示消息用于在所述终端设备未 被合法用户持有时， 指示所述 eUICC设备对所述 eUICC设备上的数据进行保密 处理； 保密处理模块， 用于根据所述指示消息， 对所述 eUICC设备上的数据进行 保密处理。
41、 根据权利要求 40所述的 eUICC设备， 其特征在于， 所述指示消息为停 止签约命令； 所述指示接收模块包括： 第一接收子模块， 用于接收所述终端设备发送的所述停止签约命令， 所述 停止签约命令是所述终端设备在接收到移动网络运营商 MNO设备发送的第一 寻呼消息后生成并发送给所述 eUICC设备的， 所述第一寻呼消息是所述 MNO 设备在根据所述终端设备上报的地理位置信息确定所述终端设备被盗后发送给 所述终端设备的， 所述第一寻呼消息包括所述终端设备的标识信息和用于标识 所述终端设备被盗的被盗指示， 所述停止签约命令包括所述终端设备的标识信 息和所述被盗指示； 第一发送子模块， 用于通过所述终端设备向签约管理单元-安全路由 SM-SR 发送停止签约响应， 所述停止签约响应包括所述终端设备的标识信息、 所述 eUICC设备的标识信息和所述被盗指示。
42、 根据权利要求 40所述的 eUICC设备， 其特征在于， 所述指示消息为第 一执行文件 OP响应消息； 所述指示接收模块包括： 第二发送子模块， 用于根据所述终端设备在接收到第二寻呼消息后的指 示， 通过所述终端设备向签约管理单元-安全路由 SM-SR发送第一 OP请求消 息； 所述第二寻呼消息是移动网络运营商 MNO设备在根据所述终端设备上报的 地理位置信息确定所述终端设备被盗后发送给所述终端设备的， 所述第二寻呼 消息包括所述终端设备的标识信息， 所述第一 OP请求消息包括所述终端设备的 标识信息和所述 eUICC设备的标识信息；
第二接收子模块， 用于通过所述终端设备接收所述 SM-SR返回的第一 OP 响应消息； 所述第一 OP响应消息是所述 SM-SR根据所述终端设备的标识信息 和所述 eUICC的标识信息确定出所述终端设备被盗后发送的， 所述第一 OP响 应消息包括用于标识所述终端设备被盗的被盗指示。
43、 根据权利要求 41或 42所述的 eUICC设备， 其特征在于， 所述保密处 理模块具体用于根据所述被盗指示， 删除所述 eUICC设备上的数据。
44、 根据权利要求 40所述的 eUICC设备， 其特征在于， 所述指示消息为第 二执行文件 OP响应消息； 所述指示接收模块包括：
第三发送子模块， 用于根据所述终端设备在接收到拒绝附着响应消息后的 指示， 通过所述终端设备向签约管理单元-安全路由 SM-SR发送第二 OP请求消 息； 所述拒绝附着响应消息是移动网络运营商 MNO设备在接收到所述终端设备 述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC设备的标识信 息；
第三接收子模块， 用于通过所述终端设备接收所述 SM-SR返回的第二 OP 响应消息； 所述第二 OP响应消息是所述 SM-SR根据所述终端设备的标识信息 和所述 eUICC设备的标识信息确定出所述终端设备丟失后发送的，所述第二 OP 响应消息包括用于标识所述终端设备丟失的丟失指示和对所述 eUICC设备上的 数据进行加密使用的加密密钥。
45、 根据权利要求 44所述的 eUICC设备， 其特征在于， 所述保密处理模块 具体用于根据所述丟失指示， 使用所述加密密钥对所述 eUICC设备上的数据进 行加密处理。
46、 根据权利要求 45所述的 eUICC设备， 其特征在于， 还包括： 请求发送模块， 用于通过所述终端设备向所述 SM-SR发送第三 OP请求消 息， 所述第三 OP请求消息包括所述终端设备的标识信息和所述 eUICC设备的 标识信息； 响应接收模块， 用于通过所述终端设备接收所述 SM-SR发送的第三 OP响 应消息， 所述第三 OP响应消息是所述 SM-SR根据接收到的所述 MNO设备发 送给机器间通信服务提供商 M2M-SP设备的恢复签约响应消息确定所述终端设 备重新被所述合法用户持有后， 在接收到所述第三 OP请求消息后发送的， 所述 恢复签约响应消息是所述 MNO设备在接收到所述 M2M-SP设备发送的恢复签 约请求消息后发送给所述 M2M-SP设备的， 所述第三 OP响应消息包括解密密 钥和用于标识所述终端设备被所述合法用户持有的恢复指示；
解密处理模块， 用于根据所述恢复指示， 使用所述解密密钥对所述 eUICC 设备上的数据进行解密处理；
息。
47、 一种签约管理单元-安全路由 SM-SR设备， 其特征在于， 包括： 确定模块， 用于确定终端设备未被合法用户持有； 第一请求接收模块， 用于接收所述终端设备上的 eUICC通过所述终端设备 发送的第一 OP请求消息， 所述第一 OP请求消息是所述终端设备在接收到移动 网络运营商 MNO设备发送的拒绝附着响应消息后指示所述 eUICC发送的， 所 述第一 OP请求消息包括所述终端设备的标识信息和所述 eUICC的标识信息； 第一响应发送模块， 用于通过所述终端设备向所述 eUICC返回第一 OP响 应消息， 以使所述 eUICC对所述 eUICC上的数据进行保密处理。
48、 根据权利要求 47所述的 SM-SR设备， 其特征在于， 所述确定模块包 括： 接收子模块， 用于接收所述 MNO设备发送的停止签约请求消息， 所述停止 签约请求消息是所述 MNO设备在确定所述终端设备被盗且所述终端设备处于 去附着状态后发送的， 所述停止签约请求消息包括所述 eUICC的标识信息和所 述被盗指示； 第一确定子模块， 用于根据所述 eUICC的标识信息和所述被盗指示， 确定 所述终端设备被盗。
49、 根据权利要求 47或 48所述的 SM-SR设备， 其特征在于， 还包括： 请求发送模块， 用于在所述第一响应发送模块向所述 eUICC返回所述第一 OP响应消息后或在所述接收子模块接收到所述停止签约请求消息后， 向签约管 理单元-数据准备 SM-DP发送删除签约数据请求消息， 以指示所述 SM-DP删除 所述 eUICC对应的签约数据。
50、 根据权利要求 48或 49所述的 SM-SR设备， 其特征在于， 所述第一 OP响应消息包括用于标识所述终端设备被盗的被盗指示；
第一 OP响应消息， 以使所述 eUICC删除所述 eUICC上的数据。
51、 根据权利要求 47所述的 SM-SR设备， 其特征在于， 所述确定模块包 括：
接收转发子模块， 用于接收机器间通信服务提供商 M2M-SP设备发送的暂 停签约请求消息， 将所述暂停签约请求消息转发给所述 MNO设备， 以使所述 MNO设备确定所述终端设备丟失； 所述暂停签约请求消息包括所述终端设备的 标识信息、 所述 eUICC的标识信息和所述丟失指示； 第二确定子模块， 用于根据所述丟失指示， 确定所述终端设备丟失。
52、 根据权利要求 51所述的 SM-SR设备， 其特征在于， 所述第一 OP响应 消息包括用于标识所述终端设备丟失的丟失指示和对所述 eUICC上的数据进行 加密使用的加密密钥；
第一 OP响应消息， 以使所述 eUICC对所述 eUICC上的数据进行加密处理。
53、 根据权利要求 51或 52所述的 SM-SR设备， 其特征在于， 还包括： 暂停响应接收模块， 用于接收所述 MNO设备发送的暂停签约响应消息， 所 述暂停签约响应消息包括所述终端设备的标识信息和所述 eUICC的标识信息； 暂停响应转发模块， 用于将所述暂停签约响应消息转发给所述 M2M-SP设 备。
54、 根据权利要求 51或 52或 53所述的 SM-SR设备， 其特征在于， 还包 括：
第二请求接收模 ¾用于接收所述 eUICC通过所述终端设备发送的第二 OP 请求消息， 所述第二 OP请求消息包括所述终端设备的标识信息和所述 eUICC 的标识信息；
第二响应发送模块， 用于通过所述终端设备向所述 eUICC发送第二 OP响 应消息， 所述第二 OP响应消息是根据接收到所述 MNO设备发送给机器间通信 服务提供商 M2M-SP设备的恢复签约响应消息确定所述终端设备重新被合法用 户持有后， 在接收到所述第二 OP请求消息后发送的， 所述恢复签约响应消息是 所述 MNO设备在接收到所述 M2M-SP设备发送的恢复签约请求消息后发送给 所述 M2M-SP设备的， 所述第二 OP响应消息包括解密密钥和用于标识所述终 端设备重新被所述合法用户持有的恢复指示， 以使所述 eUICC根据所述恢复指 示， 使用所述解密密钥对所述 eUICC上的数据进行解密处理；
确认接收模块， 用于接收所述 eUICC通过所述终端设备发送的数据恢复确 认消息。
55、 一种基于嵌入式通用集成电路卡 eUICC的数据保密系统， 其特征在于， 包括 权利要求 28-39任一项所述的移动网络运营商 MNO设备、权利要求 40-46 任一项所述的嵌入式通用集成电路卡 eUICC设备、 以及权利要求 47-54任一项 所述的签约管理单元-安全路由 SM-SR设备。
PCT/CN2013/072034 2012-10-12 2013-03-01 基于嵌入式通用集成电路卡的数据保密方法及设备 WO2014056302A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP13846032.4A EP2836052B1 (en) 2012-10-12 2013-03-01 Method and device for data secrecy based on embedded universal integrated circuit card
US14/534,609 US9390277B2 (en) 2012-10-12 2014-11-06 Method and device for data confidentiality protection based on embedded universal integrated circuit card

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210387378.2A CN103731821B (zh) 2012-10-12 2012-10-12 基于嵌入式通用集成电路卡的数据保密方法及设备
CN201210387378.2 2012-10-12

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/534,609 Continuation US9390277B2 (en) 2012-10-12 2014-11-06 Method and device for data confidentiality protection based on embedded universal integrated circuit card

Publications (1)

Publication Number Publication Date
WO2014056302A1 true WO2014056302A1 (zh) 2014-04-17

Family

ID=50455713

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/072034 WO2014056302A1 (zh) 2012-10-12 2013-03-01 基于嵌入式通用集成电路卡的数据保密方法及设备

Country Status (4)

Country Link
US (1) US9390277B2 (zh)
EP (1) EP2836052B1 (zh)
CN (1) CN103731821B (zh)
WO (1) WO2014056302A1 (zh)

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9904788B2 (en) * 2012-08-08 2018-02-27 Amazon Technologies, Inc. Redundant key management
US10541751B2 (en) 2015-11-18 2020-01-21 Crowdcomfort, Inc. Systems and methods for providing geolocation services in a mobile-based crowdsourcing platform
US11394462B2 (en) 2013-07-10 2022-07-19 Crowdcomfort, Inc. Systems and methods for collecting, managing, and leveraging crowdsourced data
US10070280B2 (en) 2016-02-12 2018-09-04 Crowdcomfort, Inc. Systems and methods for leveraging text messages in a mobile-based crowdsourcing platform
US10379551B2 (en) 2013-07-10 2019-08-13 Crowdcomfort, Inc. Systems and methods for providing augmented reality-like interface for the management and maintenance of building systems
US10841741B2 (en) 2015-07-07 2020-11-17 Crowdcomfort, Inc. Systems and methods for providing error correction and management in a mobile-based crowdsourcing platform
US10796085B2 (en) 2013-07-10 2020-10-06 Crowdcomfort, Inc. Systems and methods for providing cross-device native functionality in a mobile-based crowdsourcing platform
WO2015006622A1 (en) 2013-07-10 2015-01-15 Crowdcomfort, Inc. System and method for crowd-sourced environmental system control and maintenance
CN104581854B (zh) * 2013-10-16 2019-07-12 中兴通讯股份有限公司 一种无线连接方法和装置
US9537858B2 (en) * 2014-05-15 2017-01-03 Apple Inc. Methods and apparatus to support globalplatform™ usage on an embedded UICC (eUICC)
US9544747B2 (en) * 2015-05-27 2017-01-10 Airwatch Llc Transmitting management commands to a client device
CN105101165A (zh) * 2015-07-28 2015-11-25 中国联合网络通信集团有限公司 eUICC签约数据管理方法、管理平台
CN106470430A (zh) * 2015-08-14 2017-03-01 中兴通讯股份有限公司 运营商配置的处理方法、设备和系统
CN105722064A (zh) * 2016-01-29 2016-06-29 北京小米移动软件有限公司 获取终端信息的方法及装置
CN108781358B (zh) * 2016-03-30 2021-02-23 华为技术有限公司 一种管理eUICC中的签约信息集的方法及相关设备
CN107426800B (zh) * 2016-05-23 2020-12-29 中兴通讯股份有限公司 降低终端功耗的方法、装置和智能卡
CN107426801A (zh) * 2016-05-23 2017-12-01 中兴通讯股份有限公司 一种智能卡的控制方法、装置、终端设备及智能卡
CN107438059B (zh) * 2016-05-27 2020-06-05 宇龙计算机通信科技(深圳)有限公司 终端防盗验证方法、终端和服务器
MX2018015011A (es) * 2016-06-23 2019-03-06 Ericsson Telefon Ab L M Metodos y entidades para finalizar una suscripcion.
EP3301885A1 (en) 2016-10-03 2018-04-04 Gemalto Sa Method, data sending control server, storage server, processing server and system for sending data to at least one device
WO2018157484A1 (zh) * 2017-03-01 2018-09-07 华为技术有限公司 网络配置方法及终端
CN109802826B (zh) * 2017-11-17 2021-10-01 华为技术有限公司 一种事件的处理方法和终端
GB201804626D0 (en) * 2018-03-22 2018-05-09 Nordic Semiconductor Asa Devices with removable smart cards
JP6993498B2 (ja) * 2018-04-16 2022-01-13 株式会社Ｎｔｔドコモ 移動端末装置
CN108650624A (zh) * 2018-05-15 2018-10-12 珠海格力电器股份有限公司 一种终端防盗方法及终端
CN108769981A (zh) * 2018-06-09 2018-11-06 深圳市宝尔爱迪科技有限公司 一种用于终端设备的加密sim卡及一种基于加密sim卡遗失后的个人信息保护方法
US10652728B1 (en) * 2018-11-13 2020-05-12 Microsoft Technology Licensing, Llc eSIM profile discovery
CN109361808A (zh) * 2018-12-25 2019-02-19 深圳市趣创科技有限公司 一种移动通信终端的假死防护方法及系统
US11346755B2 (en) 2019-01-10 2022-05-31 Travera, Inc. Calibration of a functional biomarker instrument
KR20200114392A (ko) * 2019-03-28 2020-10-07 삼성전자주식회사 가입자 프로파일을 설치하기 위한 방법 및 그 전자 장치
US11751050B2 (en) 2020-12-17 2023-09-05 Texas Instruments Incorporated Provisioning a network device for secure communications
US20240089732A1 (en) * 2022-09-14 2024-03-14 Apple Inc. Techniques for managing communication with wireless devices flagged for certain activity

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101309518A (zh) * 2008-06-30 2008-11-19 中国移动通信集团公司 对sim卡内信息进行保护的方法、装置及系统
CN101772017A (zh) * 2009-01-06 2010-07-07 三星电子（中国）研发中心 远程销毁通信终端的信息的方法及其通信终端
CN101878492A (zh) * 2007-09-27 2010-11-03 金雅拓股份有限公司 管理丢失或被盗移动通信设备的报告的可信服务管理器
CN101996445A (zh) * 2009-08-28 2011-03-30 中兴通讯股份有限公司 智能卡远程控制的方法和系统
CN102026241A (zh) * 2009-09-10 2011-04-20 华为技术有限公司 业务检测方法及核心网设备、检测设备
CN102509033A (zh) * 2011-09-26 2012-06-20 宇龙计算机通信科技(深圳)有限公司 一种通信终端被盗后的处理方法及通信终端
WO2012085593A1 (en) * 2010-12-22 2012-06-28 Vodafone Ip Licensing Limited Sim locking

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8932368B2 (en) * 2008-04-01 2015-01-13 Yougetitback Limited Method for monitoring the unauthorized use of a device
US20090253406A1 (en) * 2008-04-02 2009-10-08 William Fitzgerald System for mitigating the unauthorized use of a device
US8219148B2 (en) * 2009-04-06 2012-07-10 Gemalto Sa Method for activating the subscription of an UICC device
EP2334025A1 (en) * 2009-12-08 2011-06-15 Gemalto SA Proactive commands over secure channel between a mobile equipment and a UICC

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101878492A (zh) * 2007-09-27 2010-11-03 金雅拓股份有限公司 管理丢失或被盗移动通信设备的报告的可信服务管理器
CN101309518A (zh) * 2008-06-30 2008-11-19 中国移动通信集团公司 对sim卡内信息进行保护的方法、装置及系统
CN101772017A (zh) * 2009-01-06 2010-07-07 三星电子（中国）研发中心 远程销毁通信终端的信息的方法及其通信终端
CN101996445A (zh) * 2009-08-28 2011-03-30 中兴通讯股份有限公司 智能卡远程控制的方法和系统
CN102026241A (zh) * 2009-09-10 2011-04-20 华为技术有限公司 业务检测方法及核心网设备、检测设备
WO2012085593A1 (en) * 2010-12-22 2012-06-28 Vodafone Ip Licensing Limited Sim locking
CN102509033A (zh) * 2011-09-26 2012-06-20 宇龙计算机通信科技(深圳)有限公司 一种通信终端被盗后的处理方法及通信终端

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2836052A4 *

Also Published As

Publication number Publication date
EP2836052A4 (en) 2015-09-02
US9390277B2 (en) 2016-07-12
EP2836052B1 (en) 2019-11-13
CN103731821B (zh) 2017-04-19
EP2836052A1 (en) 2015-02-11
CN103731821A (zh) 2014-04-16
US20150067351A1 (en) 2015-03-05

Similar Documents

Publication Publication Date Title
WO2014056302A1 (zh) 基于嵌入式通用集成电路卡的数据保密方法及设备
JP4390808B2 (ja) 携帯無線端末及びそのセキュリティシステム
EP3741145B1 (en) Profile handling of a communications device
US8347090B2 (en) Encryption of identifiers in a communication system
JP6033291B2 (ja) サービスアクセス認証方法およびシステム
US11882442B2 (en) Handset identifier verification
EP1873998B1 (en) Identifiers in a communication system
CN112260995A (zh) 接入认证方法、装置及服务器
US20200076606A1 (en) Blockchain key storage on sim devices
KR20090056908A (ko) 도난된 단말기에서 데이터의 파괴성 독출을 위한 방법
JP2013537760A (ja) セキュリティ部品及び携帯通信装置において複数の加入者プロファイルを安全に使用するシステムと方法
JP2003501891A (ja) 安全に通信するための方法及び装置
CN113785607A (zh) 远程安全解锁
JP2006279321A (ja) 移動端末のためのセキュリティソフトウェア及びセキュリティ通信システム
CN110166410B (zh) 一种安全传输数据的方法、终端及多模通信终端
CN106714151A (zh) 信息传输方法
CN104902473A (zh) 一种基于cpk标识认证的无线网络接入认证的方法及装置
JP2012060357A (ja) 移動体システムのリモートアクセス制御方法
WO2010040259A1 (zh) 一种为通信终端用户提供身份机密性保护的方法和装置
KR100924951B1 (ko) 네트워크 연동 보안 게이트웨이 장치 및 방법
KR102465364B1 (ko) 가입자 프로파일을 구성하는 로컬 관리 모드를 지원하는 보안 모듈을 포함하는 전자 디바이스
JP6920614B2 (ja) 本人認証装置、本人認証システム、本人認証プログラム、および、本人認証方法
KR101431010B1 (ko) 하드웨어 인증 모듈을 이용한 액세스 포인트 인증 장치 및 방법
CN116264682A (zh) 设备入网方法及装置、电子设备、存储介质
CN118250683A (zh) 一种通信方法、装置、系统及电子设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13846032

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2013846032

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE