WO2014187363A1

WO2014187363A1 - 无线终端的锁网方法及系统

Info

Publication number: WO2014187363A1
Application number: PCT/CN2014/078319
Authority: WO
Inventors: 温海龙; 李伟
Original assignee: 中兴通讯股份有限公司
Priority date: 2013-12-20
Filing date: 2014-05-23
Publication date: 2014-11-27
Also published as: JP6074125B2; EP3086583A4; US20160345175A1; JP2017501633A; EP3086583A1; US9775043B2; EP3086583B1; CN104735647A

Abstract

本发明公开了一种无线终端的锁网方法，包括：前端锁网模块向无线终端发送加锁证书生成请求，无线终端根据所述加锁证书生成请求生成加锁证书；后端锁网模块对加锁证书进行签名，生成已签名的加锁证书；前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，用于所述无线终端执行加锁操作。

Description

无线终端的锁网方法及系统技术领域

本发明涉及无线终端的锁网技术领域，尤其涉及一种无线终端的锁网方法及系统。背景技术

随着移动通讯技术的发展，运营商之间的竟争日益激烈。大部分运营商为了吸引客户，通常都以低价或免费方式给用户提供无线终端，同时通过锁网技术来限制该无线终端只能使用自身提供的网络服务，从而实现盈利。

通常无线终端的加锁过程都需要使用加密狗，该加密狗存储了私钥，用于对锁网数据进行加密，而公钥是保存在无线终端中。无线终端的锁网操作基本上都是在生产线上完成的，但是外场测试通常也需要进行锁网功能测试。由于测试锁网功能必须要有加密狗才能测试，因此外场测试人员必须携带加密狗或邮寄加密狗给前方。这不仅会增加锁网成本，而且可能由于前方保管不善导致加密狗丟失，将会无线终端的锁网安全带来极大风险。发明内容

本发明实施例的主要目的是提供一种无线终端的锁网方法及其锁网系统，旨在实现降低成本的同时，还可实现降低外场测试、运营商和售后代理等锁网操作带来的安全风险。

有鉴于此，本发明实施例提供一种无线终端的锁网方法，所述方法包括：前端锁网模块向无线终端发送加锁证书生成请求，无线终端根据所述加锁证书生成请求生成加锁证书；

后端锁网模块对加锁证书进行签名，生成已签名的加锁证书；前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，用于所述无线终端执行加锁操作。

优选地，所述无线终端根据所述加锁证书生成请求生成加锁证书，包括：

无线终端从本地读取能够唯一标识无线终端的硬件特征信息，使用本地保存的加锁公钥对硬件特征信息进行加密生成加锁证书，并将所述加锁证书返回给前端锁网模块。

优选地，所述后端锁网模块对加锁证书进行签名，生成已签名的加锁证书，包括：

使用加密狗私钥对加锁证书进行解密，解密出无线终端硬件的特征信息；

使用加密狗私钥对无线终端硬件特征信息的明文进行加密，生成已签名的加锁证书。

优选地，所述后端锁网模块对加锁证书进行签名，生成已签名的加锁证书，还包括：

将锁网数据使用加密狗私钥进行加密，然后将密文插入到已签名的加锁证书中。

优选地，所述前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，用于所述无线终端执行加锁操作，包括：无线终端根据接收到的前端锁网模块发送的使用加锁证书加锁的请求，向前端锁网模块请求下发已签名的加锁证书；

无线终端接收到已签名的加锁证书后，检查其中是否包含有锁网数据，如果包含有锁网数据，则对锁网数据进行校验，并在校验通过之后执行加锁操作；

如果不包含锁网数据，则向前端锁网模块返回允许加锁操作的响应消息；

前端锁网模块根据锁网单元反馈的允许加锁操作的响应消息将加锁数据发送至无线终端，用于所述无线终端执行加锁操作。

优选地，在执行所述无线终端检查已签名的加锁证书中是否包含有锁网数据之前，所述方法还包括：

无线终端使用本地保存的加锁公钥对已签名的加锁证书进行解密，将所述硬件特征信息解密成明文；

判断已签名的加锁证书中的硬件特征信息与本地硬件特征信息是否一致，如果是，则检查已签名的加锁证书中是否包含有锁网数据，否则返回拒绝进行加锁操作响应，结束加锁流程。

本发明实施例还提供一种无线终端的锁网系统，其包括前端锁网模块、后端锁网模块以及终端执行单元，其中，所述终端执行单元在硬件具体实现时可以为无线终端；

所述前端锁网模块，配置为向终端执行单元发送加锁证书生成请求；所述后端锁网模块，配置为对加锁证书进行签名，生成已签名的加锁证书；

所述前端锁网模块，还配置为与终端执行单元进行通信交互，将所述已签名的加锁证书发送至终端执行单元，用于终端执行单元执行加锁操作；所述终端执行单元包括：

加锁证书处理单元，配置为根据所述加锁证书生成请求生成加锁证书；锁网单元，配置为与前端锁网模块进行通信交互，根据所述已签名的加锁证书执行加锁操作。优选地，所述加锁证书处理单元，配置为从本地读取能够唯一标识所述终端执行单元的硬件特征信息，使用本地保存的加锁公钥对硬件特征信息进行加密生成加锁证书，并将所述加锁证书返回给前端锁网模块。

优选地，所述后端锁网模块，配置为使用加密狗私钥对加锁证书进行解密，解密出所述终端执行单元的硬件特征信息；使用加密狗私钥对终端执行单元硬件特征信息的明文进行加密，生成已签名的加锁证书。

优选地，所述后端锁网模块，还配置为将锁网数据使用加密狗私钥进行加密，然后将密文插入到已签名的加锁证书中。

优选地，所述锁网单元，配置为接收前端锁网模块发送的使用加锁证书加锁的请求，并向前端锁网模块请求下发已签名的加锁证书；接收到已签名的加锁证书后，检查其中是否包含有锁网数据，如果包含有锁网数据，则对锁网数据进行校验，并在校验通过之后执行加锁操作；如果不包含锁网数据，则向前端锁网模块返回允许加锁操作的响应消息；

前端锁网模块，还配置为根据锁网单元反馈的允许加锁操作的响应消息将加锁数据发送至所述终端执行单元，用于所述终端执行单元执行加锁操作。

优选地，所述锁网单元，还配置为用本地保存的加锁公钥对已签名的加锁证书进行解密，将硬件特征信息解密成明文；判断已签名的加锁证书中的硬件特征信息与本地硬件特征信息是否一致，如果是，则检查已签名的加锁证书中是否包含有锁网数据，否则返回拒绝进行加锁操作响应，结束加锁流程。

所述前端锁网模块、所述后端锁网模块、加锁证书处理单元、锁网单元在执行处理时，釆用中央处理器（CPU， Central Processing Unit ), 数字信号处理器（DSP， Digital Singnal Processor )或可编程逻辑阵列（FPGA， Field - Programmable Gate Array ) 实现。与现有技术相比，本发明实施例将锁网操作分为前端和后端两部分，前端锁网模块用于加锁证书生成和加锁操作，后端锁网模块用于对加锁证书进行数字签名。对于外场测试，前方测试人员先使用前端锁网模块和要锁网的无线终端生成加锁证书，然后再将生成的加锁证书发给后方（公司或家里），后方人员再使用后端锁网模块和加密狗对加锁证书进行签名，然后将已签名的加锁证书发给前方测试人员，前方测试人员再使用前端锁网模块再将已签名的加锁证书发送给无线终端进行加锁。由于使用此方案后不在需要给前方发加密狗了，因此该方案不仅可以降低成本，还可大大降低外场测试给锁网带来的安全风险。附图说明

图 1是本发明一较佳实施例中无线终端的锁网方法的流程图；

图 2是本发明一较佳实施例中后端锁网模块生成已签名的加锁证书的步骤流程图；

图 3是本发明一较佳实施例中无线终端执行锁网操作的步骤流程图；图 4是本发明一较佳实施例中无线终端的锁网系统的结构示意图。具体实施方式

以下结合说明书附图及具体实施例进一步说明本发明的技术方案。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图 1，本发明实施例提出一种无线终端的锁网方法，该锁网方法包括以下步骤：

步骤 S10，前端锁网模块向无线终端发送加锁证书生成请求，无线终端根据所述加锁证书生成请求生成加锁证书；

步骤 S20，后端锁网模块对加锁证书进行签名，生成已签名的加锁证书；本发明实施例中，无线终端生成加锁证书后，用户可通过邮件或者拷贝等方式将加锁证书传送至后端锁网模块所在的数据处理终端。后端锁网模块生成已签名的加锁证书后，用户再通过邮件或者拷贝等方式将已签名的加锁证书传送给前端锁网模块所在的数据处理终端，再由该数据处理终端传送至无线终端。

步骤 S30，前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，以供其执行加锁操作。本发明实施例中，前端锁网模块可根据无线终端发送的请求将已签名的加锁证书发送至无线终端，并根据无线终端反馈的允许加锁操作的响应消息将加锁数据发送至无线终端以供其执行加锁。

本发明实施例中，前端锁网模块可以为加载在个人电脑或其他数据处理终端中的加锁软件，该个人电脑可由外场测试人员携带。

本发明实施例中，后端锁网模块可为加载在电脑或其他数据处理终端中的加锁软件，该电脑放置在公司、测试人员家中或测试人员选择的地点。如果前端与后端距离较近，可选择后端锁网模块、前端锁网模块可以加载在一台电脑中。

本发明实施例中，可在无线终端中加载锁网软件，该锁网软件至少包括力口锁证书处理单元和锁网单元。加锁证书单元负责加锁证书生成和证书合法性验证，锁网单元负责加锁和解锁操作。应当说明的是，本发明实施例中，无线终端中的锁网软件与后端锁网模块、前端锁网模块可以属于一种软件也可以为分别独立的软件。

本发明实施例将锁网操作分为前端和后端两部分，前端锁网模块配置为加锁证书生成和加锁操作，后端锁网模块配置为对加锁证书进行数字签名。对于外场测试，前方测试人员先使用前端锁网模块和要锁网的无线终端生成加锁证书，然后再将生成的加锁证书发给后方（公司或家里），由后端加锁模块对加锁证书进行签名，然后将已签名的加锁证书发给前端锁网模块所在的数据处理终端，前端锁网模块再将已签名的加锁证书发送给无线终端进行加锁。由于使用此方案后不在需要给前方发加密狗了，因此该方案不仅可以降低成本，还可大大降低外场测试给锁网带来的安全风险。

参照图 2，本发明一较佳实施例中，前述步骤 S20包括：

步骤 S21，使用加密狗私钥对加锁证书进行解密，解密出无线终端硬件的特征信息；

步骤 S22，使用加密狗私钥对无线终端硬件特征信息的明文进行加密，生成已签名的加锁证书。

本发明实施例中，加密狗设置在后端锁网模块，从而使得对加锁证书的签名在公司或测试人员所指定的地点完成，而不需外场测试人员携带加密狗或邮寄加密狗给前方，降低了锁网成本，避免了可能由于前方保管不善导致加密狗丟失所导致的风险。

进一步的，本发明一较佳实施例中，上述步骤 S30还可包括：

将锁网数据使用加密狗私钥进行加密，然后将密文插入到已签名的加锁证书中。本发明实施例通过与后端锁网模块通信的加密狗对锁网数据进行加密，进一步保证了锁网数据的安全性能，提升了外场测试的安全级别。

参照图 3，在一较佳实施例中，前述步骤 S30中可包括：

步骤 S31，无线终端根据接收到的前端锁网模块发送的使用加锁证书加锁的请求，向前端锁网模块请求下发已签名的加锁证书；

步骤 S32，无线终端锁网单元使用本地保存的加锁公钥对已签名加锁证书进行解密，将硬件特征信息解密成明文；

步骤 S33，判断已签名的加锁证书中的硬件特征信息与本地硬件特征信息是否一致，如果是，则执行步骤 S34，否则执行步骤 S35，返回拒绝进行加锁操作响应，结束加锁流程。步骤 S34，无线终端接收到已签名的加锁证书后，检查其中是否包含有锁网数据，如果不包含锁网数据，则执行步骤 36; 否则执行步骤 37，对锁网数据进行校验，并在校验通过之后执行加锁操作；

步骤 S36，向前端锁网模块返回允许加锁操作的响应消息；

步骤 S38，前端锁网模块根据锁网单元反馈的允许加锁操作的响应消息将加锁数据发送至无线终端以供加锁。

本发明实施例中，在后端锁网模块完成加锁证书发签名后，前端锁网模块给无线终端发送使用加锁证书加锁的请求，无线终端收到该请求后，向前端锁网模块请求加锁证书，前端锁网模块将已签名的加锁证书下发给无线终端以供无线终端解密。无线终端可使用本地保存的加锁公钥对已签名的加锁证书进行解密，将硬件特征信息解密成明文，并就将该硬件特征信息与本地存储的硬件特征信息比较，如果一致，则向前端锁网模块返回允许加锁操作的响应消息，前端锁网模块根据该响应消息将加锁数据发送至无线终端，无线终端执行加锁操作。

本发明实施例还提供一种无线终端的锁网系统，该锁网系统可实施上述方法，解决现有技术所存在的技术问题并达成前述方法所提及的所有有益效果。参照图 4，本发明一较佳实施例中，该锁网系统包括前端锁网模块 10、后端锁网模块 20以及无线终端 30，其中，

前端锁网模块 10配置为向无线终端 30发送加锁证书生成请求；后端锁网模块 20配置为对加锁证书进行签名，生成已签名的加锁证书；前端锁网模块 10还配置为与无线终端 30进行通信交互，将所述已签名的加锁证书发送至无线终端 30，以供其执行加锁操作；

无线终端 30包括：

加锁证书处理单元 31，配置为根据所述加锁证书生成请求生成加锁证书；锁网单元 32，配置为与前端锁网模块进行通信交互，根据所述已签名的加锁证书执行加锁操作。

本发明实施例中，前端锁网模块 10可以为加载在个人电脑或其他数据处理终端中的加锁软件，该个人电脑可由外场测试人员携带。在进行外场测试时，由该加锁软件向无线终端 30发送加锁证书生成请求。

本发明实施例中，可在无线终端 30中加载锁网软件，该锁网软件至少包括加锁证书处理单元 31和锁网单元 32。加锁证书单元 31负责加锁证书生成和证书合法性验证，锁网单元 32负责加锁和解锁操作。在收到前端锁网模块 10发送的加锁证书生成请求，加锁证书单元 31从无线终端 30本地读取能够唯一标识无线终端的硬件特征信息（例如硬件 ID或 IMEI号等），然后使用加密公钥对其进行加密生成加锁证书。应当说明的是，本发明实施例中，无线终端 30中的锁网软件与后端锁网模块 20、前端锁网模块 10可以属于一种软件也可以为分别独立但可相互兼容匹配的软件。

本发明实施例中，后端锁网模块 20可为加载在电脑或其他数据处理终端中的加锁软件，该电脑放置在公司、测试人员家中或测试人员选择的地点。本发明实施例中，无线终端 30生成加锁证书后，前端锁网模块 10可将加锁证书保存为一文件形式，用户可通过加载有前端锁网模块 10的数据处理终端将加锁证书通过邮件或者拷贝等方式传送至后端锁网模块 20。后端锁网模块 20生成已签名的加锁证书后，用户再通过邮件或者拷贝等方式将已签名的加锁证书传送给前端锁网模块 10所在的数据处理终端，再由该数据处理终端传送至无线终端 30。

本发明实施例，由后端加锁模块 20对加锁证书进行签名，然后由用户用户再通过邮件或者拷贝等方式将已签名的加锁证书传送给前端锁网模块 10所在的数据处理终端，前端锁网模块 10再将已签名的加锁证书发送给无线终端 30进行加锁。由于使用此方案后不在需要给前方发加密狗了，因此该方案不仅可以降低成本，还可大大降低外场测试给锁网带来的安全风险。本发明一较佳实施例中，后端锁网模块 20配置为：

进一步的，后端锁网模块 20还配置为将锁网数据使用加密狗私钥进行加密，然后将密文插入到已签名的加锁证书中。本发明实施例通过与后端锁网模块通信的加密狗对锁网数据进行加密，进一步保证了锁网数据的安全性能，提升了外场测试的安全级别。

进一步的，锁网单元 32配置为：

接收前端锁网模块 10发送的使用加锁证书加锁的请求，并向前端锁网模块 10请求下发已签名的加锁证书；

接收到已签名的加锁证书后，检查其中是否包含有锁网数据，如果包含有锁网数据，则对锁网数据进行校验，并在校验通过之后执行加锁操作；如果不包含锁网数据，则向前端锁网模块返回允许加锁操作的响应消息；

前端锁网模块 10还配置为根据锁网单元 32反馈的允许加锁操作的响应消息将加锁数据发送至无线终端 30以供加锁。

前端锁网模块 10还配置为给无线终端 30发送使用加锁证书加锁的请无线终端解密，并根据无线终端 30反馈的允许加锁操作的响应消息将加锁数据发送至无线终端 30。例如，本发明实施例中，后端锁网模块 20将加锁证书签名后，前端锁网模块 10给无线终端 30发送使用加锁证书加锁的请求，无线终端 30收到该请求后，向前端锁网模块 10请求加锁证书，前端锁网模端 30可使用本地保存的加锁公钥对已签名的加锁证书进行解密，将硬件特征信息解密成明文，并就将该硬件特征信息与本地存储的硬件特征信息比较，如果一致，则向前端锁网模块 10返回允许加锁操作的响应消息，前端锁网模块 10根据该响应消息将加锁数据发送至无线终端 30，无线终端 30执行加锁操作。

本发明实施例中，锁网单元 32还可配置为：

用本地保存的加锁公钥对已签名的加锁证书进行解密，将硬件特征信息解密成明文；

判断已签名的加锁证书中的硬件特征信息与本地硬件特征信息是否一致，如果是，则执行检查已签名的加锁证书中是否包含有锁网数据的步骤，否则返回拒绝进行加锁操作响应，结束加锁流程。

本发明一较佳实施例中，无线终端的锁网系统工作流程包括以下步骤：首先，前端锁网模块 10向无线终端 30发送加锁证书生成请求；然后，无线终端 30读取硬件特征信息，使用本地保存的加锁公钥对硬件特征信息进行加密生成加锁证书；

无线终端 30将生成的加锁证书返回给前端锁网模块 10;

前端锁网模块 10将加锁证书发送给后端锁网模块 20;

后端锁网模块 20使用加密狗私钥对加锁证书进行解密，解密出无线终端 30的硬件特征信息；

后端锁网模块 20使用加密狗私钥对无线终端的硬件特征信息明文进行加密，生成已签名的加锁证书并发送给前端锁网模块 10;

前端锁网模块 10给无线终端 30发送使用加锁证书加锁请求；

无线终端 30的加锁证书单元 31向前端锁网模块 10请求加锁证书；前端锁网模块 10将已签名的加锁证书下发给无线终端 30; 无线终端 30使用本地保存的加锁公钥对加锁证书进行解密，将硬件特征信息解密成明文；

无线终端 30验证从证书中解密出来的硬件特征信息是否与无线终端自己的硬件特征信息一致，如果否，则返回拒绝进行加锁操作的响应消息给前端锁网模块 10，结束加锁流程；如果是，则检查已签名的加锁证书中是否包含有锁网数据，如果不包含锁网数据，则返回允许加锁操作的响应消息给前端锁网模块 10; 如果包含锁网数据，则前端锁网模块 10将锁网数据发送给无线终端 30; 无线终端 30对锁网数据进行校验，校验通过之后执行加锁操作；

无线终端 30向前端锁网模块 10返回解锁码和加锁成功指示。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。工业实用性与现有技术相比，本发明实施例将锁网操作分为前端和后端两部分，前端锁网模块用于加锁证书生成和加锁操作，后端锁网模块用于对加锁证书进行数字签名。对于外场测试，前方测试人员先使用前端锁网模块和要锁网的无线终端生成加锁证书，然后再将生成的加锁证书发给后方（公司或家里），后方人员再使用后端锁网模块和加密狗对加锁证书进行签名，然后将已签名的加锁证书发给前方测试人员，前方测试人员再使用前端锁网模块再将已签名的加锁证书发送给无线终端进行加锁。由于使用此方案后不在需要给前方发加密狗了，因此，釆用本发明实施例，不仅可以降低成本，还可大大降低外场测试给锁网带来的安全风险。

Claims

权利要求书

1、一种无线终端的锁网方法，包括：

前端锁网模块向无线终端发送加锁证书生成请求，无线终端根据所述加锁证书生成请求生成加锁证书；

后端锁网模块对所述加锁证书进行签名，生成已签名的加锁证书；前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，用于所述无线终端执行加锁操作。

2、根据权利要求 1所述的无线终端的锁网方法，其中，所述无线终端根据所述加锁证书生成请求生成加锁证书，包括：

3、根据权利要求 1或 2所述的无线终端的锁网方法，其中，所述后端锁网模块对加锁证书进行签名，生成已签名的加锁证书，包括：

使用加密狗私钥对加锁证书进行解密，解密出无线终端的所述硬件特征信息；

4、根据权利要求 3所述的无线终端的锁网方法，其中，所述后端锁网模块对加锁证书进行签名，生成已签名的加锁证书，还包括：

5、根据权利要求 1所述的无线终端的锁网方法，其中，所述前端锁网模块与无线终端进行通信交互，将所述已签名的加锁证书发送至无线终端，用于所述无线终端执行加锁操作，包括：无线终端根据接收到的前端锁网模块发送的使用加锁证书加锁的请求，向前端锁网模块请求下发已签名的加锁证书；

6、根据权利要求 5所述的无线终端的锁网方法，其中，在执行所述无线终端检查已签名的加锁证书中是否包含有锁网数据之前，所述方法还包括：

7、一种无线终端的锁网系统，包括前端锁网模块、后端锁网模块以及终端执行单元，其中，

所述前端锁网模块，还配置为与终端执行单元进行通信交互，将所述已签名的加锁证书发送至终端执行单元，用于所述终端执行单元执行加锁操作；所述终端执行单元包括：

加锁证书处理单元，配置为根据所述加锁证书生成请求生成加锁证书；锁网单元，配置为与前端锁网模块进行通信交互，根据所述已签名的加锁证书执行加锁操作。

8、根据权利要求 6所述的无线终端的锁网系统，其中，所述加锁证书处理单元，配置为从本地读取能够唯一标识终端执行单元的硬件特征信息，使用本地保存的加锁公钥对硬件特征信息进行加密生成加锁证书，并将所述加锁证书返回给前端锁网模块。

9、根据权利要求 7或 8所述的无线终端的锁网系统，其中，所述后端锁网模块，配置为使用加密狗私钥对加锁证书进行解密，解密出终端执行单元的所述硬件特征信息；使用加密狗私钥对终端执行单元硬件特征信息的明文进行加密，生成已签名的加锁证书。

10、根据权利要求 9所述的无线终端的锁网系统，其中，所述后端锁网模块，还配置为将锁网数据使用加密狗私钥进行加密，然后将密文插入到已签名的加锁证书中。

11、根据权利要求 7所述的无线终端的锁网系统，其中，所述锁网单元，配置为接收前端锁网模块发送的使用加锁证书加锁的请求，并向前端锁网模块请求下发已签名的加锁证书；接收到已签名的加锁证书后，检查其中是否包含有锁网数据，如果包含有锁网数据，则对锁网数据进行校验，并在校验通过之后执行加锁操作；如果不包含锁网数据，则向前端锁网模块返回允许加锁操作的响应消息；

所述前端锁网模块，还配置为根据锁网单元反馈的允许加锁操作的响应消息将加锁数据发送至终端执行单元，用于所述终端执行单元执行加锁操作。

12、根据权利要求 11所述的无线终端的锁网系统，其中，所述锁网单元，还配置为用本地保存的加锁公钥对已签名的加锁证书进行解密，将所述硬件特征信息解密成明文；判断已签名的加锁证书中的硬件特征信息与本地硬件特征信息是否一致，如果是，则检查已签名的加锁证书中是否包含有锁网数据，否则返回拒绝进行加锁操作响应，结束加锁流程。