基于可配置的強制數據認證模式的認證方法及裝置、系統制造方法及圖紙

本發明專利技術公開了一種基于可配置的強制數據認證模式的認證方法及裝置、系統，所述方法包括：接收到強制數據認證模式DAP安全域的安裝及更新相關的指令后，對所述指令進行解析，獲取解析結果；判斷所述解析結果中存在強制DAP的配置參數的標識時，獲取所述強制DAP的配置參數，并將所述配置參數寫入注冊表中。本發明專利技術實施例能夠有效滿足多行業管理機構監管SE中行業應用的需求，為多個行業的強制DAP驗證提供統一認證方案，避免了頻繁修改SE的COS，不會導致SE產品的版本碎片而造成兼容性問題，并降低了管理成本。

【技術實現步驟摘要】

本專利技術涉及強制數據認證技術，尤其涉及一種基于可配置的強制數據認證模式的 認證方法及裝置、系統。
技術介紹
標準組織（GP，Global Platform)定義了數據認證模式（DAP，Data Authenticate Pattern)，用于驗證應用程序的文件數據真實性，即保證應用程序未被篡改。 GP定義了 一套生態系統，發卡方的可信服務管理方（TSM，Trust Service Manager)/第三方的TSM在為如銀行、公交等服務提供商（SP，Service Provider)提供行業 應用發行機制，通過TSM將銀行、公交等應用下載到運營商或其他發卡方的安全芯片（SE， Security Element)。SE有多種形態，類如具有CPU的銀行卡、公交卡、SWP-S頂卡。這種機 制脫離了原有銀行、公交發行銀行卡、公交卡的封閉模式，需要將原有銀行卡、公交卡內的 應用跨行業部署到其他行業、部門發行的SE中，因此，需要提供一種機制保證銀行、公交等 行業SP的應用的安全，保證應用不被發卡方或第三方（第三方為獨立于發卡方和服務提供 方的具有公信力的第三方機構）所篡改。圖1為由第三方對卡片進行數據認證的示意圖，如 圖1所示，首先SP需要將應用及應用的DAP簽名提供給發卡方TSM或第三方TSM。SE上的 應用遵循Java Card標準。DAP簽名用DAP密鑰對應用程序的Hash進行簽名，簽名算法可 以是對稱的3DES、AES或非對稱的RAS。DAP密鑰由SP提供，可采用一卡一密的分散算法， 通過安全的方式寫入SE上SP所屬安全域中。 TSM進行應用下載，負責將應用程序及DAP簽名數據下載到SE中。SE接受到應用 及DAP簽名后，SP的安全域使用SE上DAP密鑰對應用程序進行DAP簽名數據驗證檢查簽 名數據是否一致，保證應用程序未被篡改；如果應用程序或DAP簽名數據在發卡方或第三 方有任何改變，DAP簽名驗證不通過，應用安裝將會失敗。 同時GP提出了強制DAP驗證方法（M-DAP，Mandatory DAP)，強制DAP用于具有公 信力的控制機構（CA，Control Authority)或行業的監管機構驗證發行到卡上的所有應用 的DAP簽名，而不是用于某個應用提供商驗證其自身的應用。圖2為強制DAP驗證的示意 圖，如圖2所示，SE上安全域A的DAP密鑰由SP生成、分發以及寫入；安全域N的強制DAP 密鑰由控制機構或行業的監管機構生成、分發以及寫入。SP以及控制機構或行業的監管機 構需要將應用程序、DAP簽名以及強制DAP簽名數據提供給發卡方TSM或第三方TSM。 TSM進行應用的下載，負責將應用程序、DAP簽名、強制DAP簽名寫入SE上的安全 域A中。安全域A驗證DAP簽名數據，安全域N驗證強制DAP簽名數據。 DAP簽名相比較于強制DAP簽名，SP的應用下載可由SP自行選擇是否使用DAP簽 名，但若SE上存在強制DAP權限安全域，SP的應用下載必須向控制機構或行業監管機構申 請強制DAP簽名數據。 中國人民銀行發布了移動支付系列規范，對強制DAP提出要求，其試點驗證的實 現方案如圖3所示，相比較于GP的強制DAP方案，央行的強制DAP僅針對行業兼顧的金融 應用進行強制DAP驗證。GP提出的強制DAP方案提出了通過具有公信力的控制機構強制要 求發卡方TSM或第三方TSM進行應用程序的DAP驗證，達到防篡改的目的，提升應用的安全 性。通過集中的強制DAP驗證代替可選的分散DAP驗證，即保證安全性，又簡化了應用發行 的流程。但存在以下問題：由于SE是開放的，可安裝各個行業的應用；但在實際的業務開展 過程中，金融、公交、社保等行業難以達成一個控制機構。 若各行業都需要在SE上監管其行業內的應用，導致在實際的運營中，SE上存在多 個強制DAP權限的安全域分屬不同行業。這樣遵循GP標準，一個SP需要向SE上所有強制 DAP權限的安全域對應的機構申請強制DAP簽名，這在實際業務運營中是行不通的。 央行的強制DAP方案僅要求對其監管的金融應用進行強制DAP驗證，避免了實 際業務運營過程中對其他行業進行監管的尷尬局面，但其方案存在以下問題：央行的強制 DAP方案僅支持金融應用，與SE開放承載多行業存在沖突。因此從SE上角度應支持多行業 的強制DAP認證。 在方案實現上，央行強制DAP需要SE的操作系統（0S，Operation System) 進行修改，在應用下載過程判斷應用的AID是否匹配金融應用（金融應用AID為 A000000333……）。由于應用判斷標準在0S層硬編碼，不利于后續擴展變更，不利于對多行 業強制DAP認證的支持。
技術實現思路
本專利技術實施例為解決上述技術問題，提供一種基于可配置的強制數據認證模式的 認證方法及裝置、系統，適用于多行業管理機構監管SE的場景。 本專利技術實施例的技術方案是這樣實現的： 一種基于可配置的強制數據認證模式的認證方法，包括： TSM平臺生成強制DAP安全域安裝或更新指令； 將所述強制DAP安全域安裝或更新指令向終端發送。 優選地，所述方法還包括： 所述TSM平臺設置強制DAP的配置參數； 將所述強制DAP的配置參數承載于所述強制DAP安全域的安裝或更新指令中。 優選地，所述將所述DAP的配置參數承載于所述強制DAP安全域的安裝或更新指 令中，包括： 對所述強制DAP安全域的安裝指令進行擴展，將所述強制DAP的配置參數承載于 所述強制DAP安全域的安裝指令的擴展部分； 或者，對所述強制DAP安全域的更新指令進行擴展，將所述強制DAP的配置參數承 載于所述強制DAP安全域的更新指令的擴展部分。 優選地，所述強制DAP的配置參數包括以下參數： 待添加的安全域或應用列表； 強制DAP的配置參數長度； -個以上的安全域或應用； 安全域安全屬性長度； 應用或安全域標識。 -種基于可配置的強制數據認證模式的認證方法，包括： 終端接收到TSM平臺發送的強制DAP安全域的安裝或更新指令后，對所述強制DAP 安全域安裝或更新指令進行解析，獲取解析結果； 判斷所述解析結果中存在強制DAP的配置參數的標識時，獲取所述強制DAP的配 置參數，并將所述配置參數寫入注冊表中。 優選地，所述方法還包括： 所述終端接收到應用的安裝指令后，確定所述應用與當前存儲的強制DAP安全域 是否關聯； 在確定所述應用與當前存儲的強制DAP安全域關聯時，查找所述安裝指令中是否 包含強制DAP簽名數據； 在所述安裝指令中包含強制DAP簽名數據時，在所述注冊表中查找出與所述應用 關聯的強制DAP的配置參數，并驗證所述強制DAP簽名數據與所述強制DAP的配置參數是 否一致； 在所述強制DAP簽名數據與所述強制DAP的配置參數一致時安裝所述應用。 優選地，所述方法還包括： TSM平臺生成強制數據認證模式DAP安全域安裝或更新指令； 所述TSM平臺將所述強制DAP安全域安裝或更新指令向終端發送。 優選地，所述方法還包括： 所述TSM平臺設置強制DAP的配置參數； 所述TSM平臺將所述強制DAP的配置參數承載于所述強制DAP安全域的安裝或更 新指令中。 優選地，所述將所述DAP的配置參數承載于所述強制DAP安全域的安裝本文檔來自技高網...

【技術保護點】
一種基于可配置的強制數據認證模式的認證方法，其特征在于，所述方法包括：可信服務管理方TSM平臺生成強制數據認證模式DAP安全域安裝或更新指令；將所述強制DAP安全域安裝或更新指令向終端發送。

【技術特征摘要】

【專利技術屬性】
技術研發人員：陸鳴，王萍，
申請(專利權)人：中國移動通信集團公司，
類型：發明
國別省市：北京;11