利用本地生成密鑰進(jìn)行智能卡個(gè)人化的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及利用本地生成認(rèn)證密鑰經(jīng)由電信網(wǎng)絡(luò)對(duì)智能卡個(gè)人化。
【背景技術(shù)】
[0002]移動(dòng)通信提供了通過移動(dòng)電話、個(gè)人數(shù)字助理PDA、便攜式計(jì)算機(jī)和多種其它用戶設(shè)備經(jīng)由無線接入網(wǎng)(RAN)與核心網(wǎng)通信以用于與其它移動(dòng)裝置、互聯(lián)網(wǎng)和常規(guī)陸地線路電話連接。RAN分布在通常劃分成由相應(yīng)基站服務(wù)的小區(qū)的地理區(qū)域上?；就ㄟ^空中接口與用戶設(shè)備通信，多個(gè)基站連接至與一個(gè)或多個(gè)核心網(wǎng)連接的無線網(wǎng)絡(luò)控制器(RNC)或基站控制器(BSC)。在通常情形中，可以通過在基站處進(jìn)行加密和解密來對(duì)系統(tǒng)用戶提供安全通信。核心網(wǎng)與基站之間的通信是加密的，并且基站與無線用戶設(shè)備之間的通信也是加密的。
[0003]移動(dòng)網(wǎng)絡(luò)正在使用強(qiáng)認(rèn)證方法，該方法是基于配置在HLR或HSS的認(rèn)證中心中的網(wǎng)絡(luò)側(cè)和配置在通用集成電路卡(UICC)中的終端側(cè)的共享秘密，通用集成電路卡包含用于GSM網(wǎng)絡(luò)的訂戶身份模塊(SIM)應(yīng)用或用于UMTS網(wǎng)絡(luò)中的通用訂戶身份模塊(USIM)。
[0004]該共享秘密是認(rèn)證密鑰，并且利用給出的認(rèn)證密鑰配置通用卡的動(dòng)作稱為個(gè)人化。
[0005]認(rèn)證密鑰是在認(rèn)證和密鑰生成過程中使用的128位密鑰。認(rèn)證密鑰用于認(rèn)證移動(dòng)網(wǎng)絡(luò)上的ncc卡。每個(gè)ncc包含在個(gè)人化過程期間由運(yùn)營方指派給它的此認(rèn)證密鑰。
[0006]所以，移動(dòng)網(wǎng)絡(luò)運(yùn)營方(MNO)在其處所徹底地對(duì)卡進(jìn)行物理上的個(gè)人化。運(yùn)營方然后將個(gè)人化后的ncc卡發(fā)送至用戶，用戶將ncc卡插入移動(dòng)終端中來接入MNO的移動(dòng)網(wǎng)絡(luò)。個(gè)人化也可以外包給ncc提供方，但是個(gè)人化一直是被物理上永久地配置。
[0007]當(dāng)用戶想要變更其MNO時(shí)，新的MNO發(fā)送新的個(gè)人化的WCC卡，以及用戶必須將此新卡插入其移動(dòng)終端中來接入新網(wǎng)絡(luò)。對(duì)于出售時(shí)自身內(nèi)部帶有ncc (例如出于安全理由)的裝置或者難以(或成本太高)訪問的裝置(例如，傳感器、汽車/卡車、自動(dòng)售貨機(jī)等)而言，這帶來問題。對(duì)于這些裝置，UICC卡的手工替換成本太高或者甚至是不可能的。
[0008]存在允許利用不同的憑證集來方便地重新配置移動(dòng)終端的ncc的需要，以便在保持認(rèn)證密鑰的機(jī)密性的同時(shí)變更服務(wù)移動(dòng)網(wǎng)絡(luò)運(yùn)營方。

【發(fā)明內(nèi)容】

[0009]為了解決上面提及的問題，一種用于個(gè)人化與通信裝置耦合的智能卡的方法，通信裝置的用戶是第一電信網(wǎng)絡(luò)的訂戶并且希望變成為第二電信網(wǎng)絡(luò)的訂戶，在智能卡中存儲(chǔ)有第一國際身份和第一認(rèn)證密鑰，該方法包括在智能卡(SC)中的以下步驟:
[0010]在與第一電信網(wǎng)絡(luò)和第二電信網(wǎng)絡(luò)連接的應(yīng)用服務(wù)器已經(jīng)接收包括第二電信網(wǎng)絡(luò)的標(biāo)識(shí)符的訂購變更請(qǐng)求并且已經(jīng)與通過標(biāo)識(shí)符識(shí)別的第二電信網(wǎng)絡(luò)的個(gè)人化服務(wù)器建立安全會(huì)話之后，從該應(yīng)用服務(wù)器接收消息，該消息包括個(gè)人化命令和管理代碼，
[0011]如果管理代碼有效，解釋個(gè)人化命令從而經(jīng)由應(yīng)用服務(wù)器與個(gè)人化服務(wù)器建立安全會(huì)話，
[0012]通過交互包含從隨機(jī)秘密導(dǎo)出的值的消息，與個(gè)人化服務(wù)器協(xié)商從而同意第二認(rèn)證密鑰，
[0013]從個(gè)人化服務(wù)器接收包含第二國際身份的消息，
[0014]用第二國際身份和所述第二認(rèn)證密鑰替換第一國際身份和第一認(rèn)證密鑰。
[0015]本發(fā)明有利地允許與電信網(wǎng)絡(luò)運(yùn)營方關(guān)聯(lián)的憑證的遠(yuǎn)程重新配置，并且允許以非常靈活的方式不限次數(shù)地方便地變更電信網(wǎng)絡(luò)運(yùn)行方的訂購的能力。
[0016]本發(fā)明有利地啟用訂戶將從中受益的新的漫游提供，原因在于它憑借不必變更智能卡的本地訂購的優(yōu)勢(shì)并且允許將智能卡嵌入通信裝置中。
[0017]本發(fā)明允許不通過空中傳輸新的認(rèn)證密鑰的智能卡遠(yuǎn)程配置，這意味著減小了認(rèn)證密鑰竊聽或泄露的風(fēng)險(xiǎn)。
[0018]在實(shí)施例中，在智能卡與個(gè)人化服務(wù)器之間的協(xié)商包括在智能卡中的以下步驟:
[0019]向個(gè)人化服務(wù)器發(fā)送包含從第一隨機(jī)秘密導(dǎo)出的第一值的第一消息，
[0020]從個(gè)人化服務(wù)器接收包含從第二隨機(jī)秘密導(dǎo)出的第二值的第二消息，以及計(jì)算第二認(rèn)證密鑰作為從第二值和第一隨機(jī)秘密導(dǎo)出的第三值的函數(shù)。
[0021]在實(shí)施例中，訂購變更請(qǐng)求由通信裝置或由第二電信網(wǎng)絡(luò)的實(shí)體在用戶同意之后發(fā)送。
[0022]在實(shí)施例中，請(qǐng)求包括智能卡的標(biāo)識(shí)符，以及，在發(fā)送消息之前，應(yīng)用服務(wù)器取回初始存儲(chǔ)在數(shù)據(jù)庫中的與智能卡的標(biāo)識(shí)符對(duì)應(yīng)的管理代碼，智能卡的標(biāo)識(shí)符與包括在接收的請(qǐng)求中的智能卡的標(biāo)識(shí)符對(duì)應(yīng)。
[0023]在實(shí)施例中，智能卡中的應(yīng)用檢查在消息中接收的管理代碼是否與初始存儲(chǔ)在智能卡中的管理代碼兼容，以便確定管理代碼是否有效。
[0024]在實(shí)施例中，應(yīng)用服務(wù)器通知第一電信網(wǎng)絡(luò)的運(yùn)營方用戶以后不再是第一電信網(wǎng)絡(luò)的訂戶，以便第一電信網(wǎng)絡(luò)的運(yùn)營方刪除在第一電信網(wǎng)絡(luò)的歸屬位置寄存器中的第一國際身份和第一認(rèn)證密鑰。
[0025]在實(shí)施例中，消息是加密短消息，并且可以被分解為多條消息。
[0026]在實(shí)施例中，消息包含經(jīng)由安全會(huì)話通過第二電信網(wǎng)絡(luò)的服務(wù)節(jié)點(diǎn)和網(wǎng)關(guān)節(jié)點(diǎn)發(fā)往智能卡的數(shù)據(jù)包。
[0027]在實(shí)施例中，應(yīng)用服務(wù)器在向通信裝置發(fā)送消息之前詢問第一電信網(wǎng)絡(luò)的實(shí)體，以便獲得訂購變更的確認(rèn)。
[0028]本發(fā)明的另一目的是一種與通信裝置耦合的智能卡，通信裝置的用戶是第一電信網(wǎng)絡(luò)的訂戶并且希望變成第二電信網(wǎng)絡(luò)的訂戶，在智能卡中存儲(chǔ)有第一國際身份和第一認(rèn)證密鑰，智能卡包括:
[0029]用于在與第一電信網(wǎng)絡(luò)和第二電信網(wǎng)絡(luò)連接的應(yīng)用服務(wù)器已經(jīng)接收包括第二電信網(wǎng)絡(luò)的標(biāo)識(shí)符的訂購變更請(qǐng)求并且已經(jīng)與通過標(biāo)識(shí)符識(shí)別的第二電信網(wǎng)絡(luò)的個(gè)人化服務(wù)器建立安全會(huì)話之后，從該應(yīng)用服務(wù)器接收消息的部件，該消息包括個(gè)人化命令和管理代碼，
[0030]如果管理代碼有效，用于解釋個(gè)人化命令從而經(jīng)由應(yīng)用服務(wù)器與個(gè)人化服務(wù)器建立安全會(huì)話的部件，
[0031]用于通過交互包含從隨機(jī)秘密導(dǎo)出的值的消息，與個(gè)人化服務(wù)器協(xié)商從而同意第二認(rèn)證密鑰的部件，
[0032]用于從所述個(gè)人化服務(wù)器接收包含第二國際身份的消息的部件，
[0033]用于用第二國際身份和第二認(rèn)證密鑰替換第一國際身份和第一認(rèn)證密鑰的部件。
[0034]本發(fā)明的另一目的是一種用于個(gè)人化與通信裝置耦合的智能卡的應(yīng)用服務(wù)器，通信裝置的用戶是第一電信網(wǎng)絡(luò)的訂戶并且希望變成第二電信網(wǎng)絡(luò)的訂戶，在智能卡中存儲(chǔ)有第一國際身份和第一認(rèn)證密鑰，應(yīng)用服務(wù)器與第一電信網(wǎng)絡(luò)和第二電信網(wǎng)絡(luò)連接并且包括:
[0035]用于接收包括第二電信網(wǎng)絡(luò)的標(biāo)識(shí)符的訂購變更請(qǐng)求的部件，
[0036]用于與通過所述標(biāo)識(shí)符識(shí)別的第二電信網(wǎng)絡(luò)的個(gè)人化服務(wù)器建立安全會(huì)話的部件，以及
[0037]用于發(fā)送包括個(gè)人化命令和管理代碼的消息的部件，以便智能卡
[0038]如果管理代碼有效，解釋個(gè)人化命令從而經(jīng)由應(yīng)用服務(wù)器與個(gè)人化服務(wù)器建立安全會(huì)話，
[0039]通過交互包含從隨機(jī)秘密導(dǎo)出的值的消息，與個(gè)人化服務(wù)器協(xié)商從而同意第二認(rèn)證密鑰，
[0040]從個(gè)人化服務(wù)器接收包含第二國際身份的消息，
[0041]用第二國際身份和第二認(rèn)證密鑰替換第一國際身份和第一認(rèn)證密鑰。
[0042]本發(fā)明的另一目的是一種用于個(gè)人化與通信裝置耦合的智能卡的個(gè)人化服務(wù)器，通信裝置的用戶是第一電信網(wǎng)絡(luò)的訂戶并且希望變成第二電信網(wǎng)絡(luò)的訂戶，在智能卡中存儲(chǔ)有第一國際身份和第一認(rèn)證密鑰，該個(gè)人化服務(wù)器與第二電信網(wǎng)絡(luò)連接并且包括:
[0043]在與第一和第二電信網(wǎng)絡(luò)連接的應(yīng)用服務(wù)器已經(jīng)接收包括第二電信網(wǎng)絡(luò)的標(biāo)識(shí)符的訂購變更請(qǐng)求并且已經(jīng)與通過標(biāo)識(shí)符識(shí)別的第二電信網(wǎng)絡(luò)的個(gè)人化服務(wù)器建立安全會(huì)話之后，以及在智能卡已經(jīng)解釋包含在從應(yīng)用服務(wù)器發(fā)往智能卡的消息中的個(gè)人化命令從而建立與個(gè)人化服務(wù)器的安全會(huì)話之后，如果在接收的所述消息中的管理代碼有效，用于經(jīng)由該應(yīng)用服務(wù)器與智能卡建立安全會(huì)話的部件，
[0044]用于通過交互包含從隨機(jī)秘密導(dǎo)出的值的消息，與智能卡協(xié)商從而同意第二認(rèn)證密鑰的部件，
[0045]用于向智能卡發(fā)送包含第二國際身份的消息的部件，智能卡能夠用第二國際身份和第二認(rèn)證密鑰替換第一國際身份和第一認(rèn)證密鑰。
[0046]本發(fā)明進(jìn)一步關(guān)于適于在用于個(gè)人化與通信裝置耦合的智能卡的服務(wù)器中執(zhí)行的計(jì)算機(jī)程序，所述程序包括當(dāng)程序在所述服務(wù)器中執(zhí)行時(shí)，執(zhí)行在服務(wù)器中執(zhí)行的本發(fā)明的方法步驟的指令。
【附圖說明】
[0047]現(xiàn)僅通過示例的方式并參考附圖描述本發(fā)明的一些實(shí)施例，在圖中:
[0048]圖1是根據(jù)本發(fā)明實(shí)施例的通信系統(tǒng)的示意性框圖；
[0049]圖2是示出根據(jù)本發(fā)明實(shí)施例的執(zhí)行用于個(gè)人化智能卡的方法所進(jìn)行的步驟的流程圖，智能卡與電信網(wǎng)絡(luò)中具有本地生成的認(rèn)證密鑰的通信裝置耦合。
[0050]在所有附圖中，相同的參考數(shù)字表示相同的元件或相同類型的元件。
【具體實(shí)施方式】
[0051]附圖和以下說明示出本發(fā)明的特定示例性實(shí)施例。因此將要了解，本領(lǐng)域的技術(shù)人員將能夠設(shè)計(jì)出多種布置，這些布置雖然在本文中未明確描述或示出，但是體現(xiàn)了本發(fā)明的原理并且被包括在本發(fā)明的范圍內(nèi)。此外，本文所描述的任何示例均旨在幫助理解本發(fā)明的原理，并且將理解為不限于這樣的特別列舉的示例和條件。因此，本發(fā)明不限于下文所描述的特定實(shí)施例或示例，而是由權(quán)利要求及其等同物來限制。
[0052]參考圖1，通信系統(tǒng)包括能夠通過第一電信網(wǎng)絡(luò)TNl和第二電信網(wǎng)絡(luò)TN2在其之間通信的應(yīng)用服務(wù)器AS和通信裝置⑶，以及包含在第二電信網(wǎng)絡(luò)TN2中的個(gè)人化服務(wù)器PS。
[0053]例如，電信網(wǎng)絡(luò)TN1、TN2是全球移動(dòng)通信系統(tǒng)(GSM)或通用移動(dòng)通信系統(tǒng)(UMTS)或者甚至是碼分多址(CDMA)類型或者甚至是長期演進(jìn)(LTE)類型的數(shù)字蜂窩無線通信網(wǎng)絡(luò)。GSM類型的網(wǎng)絡(luò)可以與用于通過經(jīng)由無線電利用移動(dòng)性和接入管理的數(shù)據(jù)包的數(shù)據(jù)傳輸?shù)耐ㄓ梅纸M無線業(yè)務(wù)(GPRS)網(wǎng)絡(luò)耦合。例如，當(dāng)例如通過與通信裝置關(guān)聯(lián)的訂戶識(shí)別模塊在網(wǎng)絡(luò)上識(shí)別到通信裝置時(shí)，電信網(wǎng)絡(luò)能夠授權(quán)通信裝置經(jīng)由網(wǎng)絡(luò)發(fā)送和接收數(shù)據(jù)。
[0054]圖1不表示通信裝置所在電信網(wǎng)絡(luò)的本地化區(qū)域的已知主要