机卡接口的安全访问控制方法与系统、手机终端技术方案

本发明专利技术实施例公开了一种机卡接口的安全访问控制方法与系统、手机终端，其中，方法包括：安全应用中间件单元截获客户端应用软件发送的访问请求，该访问请求中包括客户端应用软件的个性化参数的数字签名信息与AID；从用户身份识别单元中读取公私密钥对中的公钥，对数字签名信息中的加密数据进行解密；比较解密得到的个性化参数与数字签名信息中直接携带的个性化参数是否一致；若一致，打开机卡接口，允许客户端应用软件调用机卡接口对用户身份识别单元中AID标识的应用进行访问；否则，拒绝客户端应用软件调用机卡接口。本发明专利技术实施例使得客户端应用软件既能够利用机卡接口提供的便利实现对SIM卡的访问，同时又能够保证SIM卡上存储数据的安全性。

【技术实现步骤摘要】
机卡接口的安全访问控制方法与系统、手机终端
本专利技术涉及通信技术，尤其是一种机卡接口的安全访问控制方法与系统、手机终端。
技术介绍
机卡接口是指手机终端（也称为：移动终端或手机）与智能卡之间的通信接口，用于实现手机终端对于智能卡存储数据的访问。其中的智能卡例如用户身份识别卡（subscriberidentitymodule，SIM卡）。随着移动互联网及无线射频识别（radiofrequencyidentificationdevices，RFID）技术的发展，智能卡由于具有安全数据存储及RFID能力，因此在移动互联网应用中发挥着越来越重要的作用，可广泛应用于移动远程支付、近场支付、移动办公、移动电子商务等业务中。由于智能卡存储了越来越多的非常重要的个人化数据，在RFID、远程支付等业务领域有越来越广泛的应用，因此必须向用户提供必要的手段对智能卡中存储的数据进行访问、更新等管理，为此需要通过机卡接口进行实现。例如，在目前最热门的移动支付应用上，应用方希望能够通过客户端应用软件（也称为：客户端应用软件程序）方式对SIM卡上的RFID钱包进行管理，查询钱包余额、交易记录、空中充值等。再如，在手机银行领域的应用上，银行方希望能够将SIM卡实现类似于U盾（也称为：数字证书USBkey）的功能，在SIM卡上存储数字证书，并通过手机客户端应用软件与SIM卡之间的交互，完成用户的帐户管理及安全支付。目前基于安全性差及缺乏相关应用等原因，手机终端所支持的对SIM卡的访问接口非常有限，只能提供短信、电话本、用户识别应用发展工具（SIMCardToolKit，STK）、部分通信数据访问等接口给应用软件进行调用。目前一般访问SIM卡的手机终端都是通过STK菜单的形式进行访问，客户端应用软件目前不具备成熟、标准、通用的接口能够实现机卡通信，因此只能通过STK菜单应用方式完成以短信方式与用户身份认证系统（即：后台系统）进行通信，导致用户界面不友好、与用户身份认证系统通信不实时等问题，难以满足业务发展需要。为此，需要手机终端厂家开放手机终端操作系统的机卡接口，提供新的更为通用和标准化的机卡接口通道供客户端应用程序访问，使得应用程序可以象使用标准的SIM卡读卡器一样，向SIM卡发送ISO7816协议规定的任意的应用协议数据单元（ApplicationProtocolDataUnit，APDU）指令，实现对SIM卡存储数据的访问，从而完成各种业务功能。目前国际SIM卡联盟（SIMalliance）和第三代合作伙伴项目（the3rdGenerationPartnershipProject，3GPP）组织等都在研究相关的接口规范。但如果机卡接口开放，客户端应用软件在能够很方便的访问SIM卡的同时，也会带来安全隐患。如果一些非法客户端应用软件通过机卡接口对SIM卡发动攻击，例如，多次尝试错误的私人密码（PersonalIdentificationNumber，PIN）码会导致SIM卡被锁，或者试图破解SIM上用户的敏感数据等。为此，必须制定必要的安全访问策略，限制客户端应用软件对机终端的卡接口的访问。
技术实现思路
本专利技术实施例所要解决的一个技术问题是：针对机卡接口开放后可能出现的安全隐患，提供一种机卡接口的安全访问控制方法与系统、手机终端，使得客户端应用软件既能够利用机卡接口提供的便利实现对SIM卡的访问，同时又能够保证SIM卡上存储数据的安全性。本专利技术实施例的一个方面，提供的一种机卡接口的安全访问控制方法，包括：客户端应用软件需要调用机卡接口访问用户身份识别单元中的应用时，安全应用中间件单元截获客户端应用软件发送的访问请求，该访问请求中包括所述客户端应用软件的个性化参数的数字签名信息与用于唯一标识所述应用的应用标识AID，所述个性化参数包括客户端应用软件的名称与唯一标识所述客户端应用软件的软件标识ID；其中，所述数字签名信息包括由一个预先申请的数字证书包括的公私密钥对中的私钥对客户端应用软件的个性化参数进行数字签名得到的加密数据与所述个性化参数；安全应用中间件单元从所述用户身份识别单元中读取所述公私密钥对中的公钥，并利用所述公钥对所述数字签名信息中的加密数据进行解密；安全应用中间件单元比较解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数是否一致；响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数一致，打开机卡接口，允许所述客户端应用软件调用机卡接口对用户身份识别单元中所述AID标识的应用进行访问；否则，响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数不一致，拒绝所述客户端应用软件调用所述机卡接口。本专利技术方法的一个具体实施例中，还包括：运营商将预先申请的数字证书包括的公私密钥对中的私钥存储在运营商的用户身份认证系统中，将所述公私密钥对中的公钥写入所述用户身份识别单元中；客户端应用软件在通过运营商审核后，运营商利用所述公私密钥对中的私钥对客户端应用软件的个性化参数进行数字签名，并将数字签名得到的加密数据与所述个性化参数合并得到所述个性化参数的数字签名信息。本专利技术方法的一个具体实施例中，允许所述客户端应用软件调用机卡接口对用户身份识别单元中所述AID标识的应用进行访问之后，还包括：客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令时，安全应用中间件单元截获所述访问指令，并识别用户身份识别单元中预先设置的指令表是否包括所述访问指令的指令头，所述指令表包括了用户身份识别单元中各应用的AID与授权客户端应用软件访问各应用的访问指令的指令头；响应于用户身份识别单元中预先设置的指令表包括所述访问指令的指令头，允许所述客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令；否则，响应于用户身份识别单元中预先设置的指令表不包括所述访问指令的指令头，拒绝所述客户端应用软件调用所述机卡接口发送访问指令。本专利技术方法的一个具体实施例中，允许所述客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令之后，还包括：客户端应用软件调用机卡接口发送文件操作请求，所述文件操作请求中包括客户端应用软件请求操作的文件的文件名与操作类型信息；安全应用中间件单元截获所述文件操作请求，并查询所述文件操作请求中的文件名是否存在于预先存储的文件列表中，所述文件列表包括禁止客户端应用软件访问的通信数据文件的文件名；响应于所述文件操作请求中的文件名未存在于预先存储的文件列表中，安全应用中间件单元允许所述客户端应用软件调用机卡接口对请求操作的文件进行所述操作类型对应的操作；否则，响应于所述文件操作请求中的文件名存在于预先存储的文件列表中，安全应用中间件单元拒绝所述客户端应用软件调用机卡接口。本专利技术方法的一个具体实施例中，还包括：安全应用中间件单元预先从用户身份识别单元中读取所述文件列表并将读取的所述文件列表存储在所述安全应用中间件单元中。本专利技术方法的一个具体实施例中，所述用户身份识别单元包括：用户身份识别SIM卡、用户识别模块UIM卡或者通用用户身份模块USIM卡。本专利技术实施例的另一个方面，提供的一种机卡接口的安全访问控制系统，包括用户身份识别单元、机卡接口与安全应用中间件单元；所述机卡接口，用于作为客本文档来自技高网...

【技术保护点】
一种机卡接口的安全访问控制方法，其特征在于，包括：客户端应用软件需要调用机卡接口访问用户身份识别单元中的应用时，安全应用中间件单元截获客户端应用软件发送的访问请求，该访问请求中包括所述客户端应用软件的个性化参数的数字签名信息与用于唯一标识所述应用的应用标识AID，所述个性化参数包括客户端应用软件的名称与唯一标识所述客户端应用软件的软件标识ID；其中，所述数字签名信息包括由一个预先申请的数字证书包括的公私密钥对中的私钥对客户端应用软件的个性化参数进行数字签名得到的加密数据与所述个性化参数；安全应用中间件单元从所述用户身份识别单元中读取所述公私密钥对中的公钥，并利用所述公钥对所述数字签名信息中的加密数据进行解密；安全应用中间件单元比较解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数是否一致；响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数一致，打开机卡接口，允许所述客户端应用软件调用机卡接口对用户身份识别单元中所述AID标识的应用进行访问；否则，响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数不一致，拒绝所述客户端应用软件调用所述机卡接口。

【技术特征摘要】
1.一种机卡接口的安全访问控制方法，其特征在于，包括：客户端应用软件需要调用机卡接口访问用户身份识别单元中的应用时，安全应用中间件单元截获客户端应用软件发送的访问请求，该访问请求中包括所述客户端应用软件的个性化参数的数字签名信息与用于唯一标识所述应用的应用标识AID，所述个性化参数包括客户端应用软件的名称与唯一标识所述客户端应用软件的软件标识ID；其中，所述数字签名信息包括由一个预先申请的数字证书包括的公私密钥对中的私钥对客户端应用软件的个性化参数进行数字签名得到的加密数据与所述个性化参数；安全应用中间件单元从所述用户身份识别单元中读取所述公私密钥对中的公钥，并利用所述公钥对所述数字签名信息中的加密数据进行解密；安全应用中间件单元比较解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数是否一致；响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数一致，打开机卡接口，允许所述客户端应用软件调用机卡接口对用户身份识别单元中所述AID标识的应用进行访问；否则，响应于解密得到的个性化参数与所述数字签名信息中直接携带的个性化参数不一致，拒绝所述客户端应用软件调用所述机卡接口；其中，允许所述客户端应用软件调用机卡接口对用户身份识别单元中所述AID标识的应用进行访问之后，所述方法还包括：客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令时，安全应用中间件单元截获所述访问指令，并识别用户身份识别单元中预先设置的指令表是否包括所述访问指令的指令头，所述指令表包括了用户身份识别单元中各应用的AID与授权客户端应用软件访问各应用的访问指令的指令头；响应于用户身份识别单元中预先设置的指令表包括所述访问指令的指令头，允许所述客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令；否则，响应于用户身份识别单元中预先设置的指令表不包括所述访问指令的指令头，拒绝所述客户端应用软件调用所述机卡接口发送访问指令。2.根据权利要求1所述的方法，其特征在于，还包括：运营商将预先申请的数字证书包括的公私密钥对中的私钥存储在运营商的用户身份认证系统中，将所述公私密钥对中的公钥写入所述用户身份识别单元中；客户端应用软件在通过运营商审核后，运营商利用所述公私密钥对中的私钥对客户端应用软件的个性化参数进行数字签名，并将数字签名得到的加密数据与所述个性化参数合并得到所述个性化参数的数字签名信息。3.根据权利要求1所述的方法，其特征在于，允许所述客户端应用软件调用机卡接口向访问请求中AID标识的应用发送访问指令之后，还包括：客户端应用软件调用机卡接口发送文件操作请求，所述文件操作请求中包括客户端应用软件请求操作的文件的文件名与操作类型信息；安全应用中间件单元截获所述文件操作请求，并查询所述文件操作请求中的文件名是否存在于预先存储的文件列表中，所述文件列表包括禁止客户端应用软件访问的通信数据文件的文件名；响应于所述文件操作请求中的文件名未存在于预先存储的文件列表中，安全应用中间件单元允许所述客户端应用软件调用机卡接口对请求操作的文件进行所述操作类型对应的操作；否则，响应于所述文件操作请求中的文件名存在于预先存储的文件列表中，安全应用中间件单元拒绝所述客户端应用软件调用机卡接口。4.根据权利要求3所述的方法，其特征在于，还包括：安全应用中间件单元预先从用户身份识别单元中读取所述文件列表并将读取的所述文件列表存储在所述安全应用中间件单元中。5.根据权利要求1至4任意一项所述的方法，其特征在于，所述用户身份识别单元包括：用户身份识别SIM卡、用户识别模块UIM卡或者通用用户身份模块USIM卡。6.一种机卡接口的安全访问控制系统，其特征在于，包括用户身份识别单元、机卡接口与安全应用中间件单元；所述机卡接口，用于作为客户端应用软件访问用户身份识别单元的接口...

【专利技术属性】
技术研发人员：张湘东，雷红嘉，张文安，谢云，黄泽龙，李洪波，李庆艳，
申请(专利权)人：中国电信股份有限公司，
类型：发明
国别省市：北京;11