本发明专利技术描述了基于策略的框架。该基于策略的框架可用于为逻辑实体指定执行与位于电子设备中的安全元件内的访问控制元件(诸如，电子用户身份模块)相关联的操作的特权。需注意，不同逻辑实体可针对与相同或不同访问控制元件相关联的不同操作具有不同特权。此外，基于策略的框架可指定逻辑实体在认证期间使用的凭证的类型，使得不同类型的凭证可用于不同操作和/或由不同逻辑实体使用。此外，基于策略的框架可指定逻辑实体在认证期间使用的安全协议和安全级别，使得不同安全协议和安全级别可用于不同操作和/或由不同逻辑实体使用。
【技术实现步骤摘要】
【国外来华专利技术】【专利说明】
技术介绍
所公开的实施例涉及用于促进无线系统中的认证和安全通信的技术。更具体地，所公开的实施例涉及用于管理逻辑实体的特权的技术，该逻辑实体执行与电子设备中的安全元件中的安全访问控制元件相关联的操作。相关领域许多无线通信系统使用访问控制技术来确保安全通信。例如，访问控制技术可涉及:验证通信方的身份；以及授予与所验证的身份相称的访问水平。在蜂窝电话系统(诸如通用移动通信系统或UMTS)中，访问控制通常由在物理通用集成电路卡(UICC)上执行的访问控制元件或客户端(诸如，通用用户身份模块或USIM)来管理。访问控制客户端通常认证蜂窝网络的用户。在成功认证之后，用户可被允许访问蜂窝网络。在随后的讨论中，需注意，“访问控制客户端”通常指的是控制从电子设备到网络的访问的逻辑实体(可在硬件和/或软件中实现)。除了 USM之外，访问控制客户端可包括:CDMA用户身份模块(CSIM)、IP多媒体服务身份模块(ISIM)、用户身份模块(SIM)、可移除用户身份模块(RUIM)等。传统上，访问控制客户端执行认证和密钥协议(AKA)技术，其验证和解密应用数据和程序以确保安全初始化。具体地，访问控制客户端可:回答远程质疑以证明其对于网络运营商的身份，并且可发出质疑来验证网络的身份。尽管传统访问控制客户端解决方案在可移除集成电路卡(ICC)(有时称为“SIM卡”)内实施，但最新研宄涉及在电子设备上执行的软件客户端内的虚拟化SIM操作。虚拟化SIM操作可减小设备尺寸，增加设备功能并提供更大的灵活性。注意“虚拟化SIM”可指电子 SIM(eSIM) ο然而，虚拟化SM操作还为网络运营商和设备制造商呈现新的质疑。例如，传统SM卡由可信SM供应商制造并保证。这些传统SM卡执行已永久烧录到SM卡的单一安全版本的软件。一旦被烧录，SIM卡通常不能加以改变或篡改(在另外不损坏SIM卡的情况下)。相反，便携式电子设备由范围广泛的设备制造商制造，并且可执行由多个并且可能未知的第三方软件供应商提供的软件。另外，便携式电子设备经常利用能解决现有缺陷并且同时引入新缺陷的软件来“打补丁”。由此，该软件会易于受到损坏、蓄意破坏和/或滥用。此外，尽管物理SM卡极难复制，但软件可容易被拷贝、倍增等。因为每个SM代表约定对有限网络资源的访问量，所以对虚拟化SIM的非法使用会极大影响网络操作和用户体验(例如，此类非法使用可掠夺将另外对合法用户可用的资源网络，从而降级针对此类合法用户的服务速度、可用性等)。作为结果，需要新的解决方案来为通常与传统物理SM类似的虚拟化SM(以及，更一般地，访问控制客户端)提供保护和其他属性。此外，需要改进的解决方案以用于存储和分发虚拟化访问控制客户端。理想地，这些解决方案可提供传统访问控制客户端操作的益处，其中虚拟操作提供增加的性能。
技术实现思路
所述实施例涉及电子设备。该电子设备包括具有访问控制元件的安全元件，该访问控制元件识别服务的用户并且促进安全通信，其中访问控制元件与一组操作相关联。此夕卜，安全元件包括处理器和存储器，该存储器存储程序模块和凭证管理模块，程序模块由该处理器执行，凭证管理模块为与一组操作相关联的逻辑实体指定具有一组特权的配置文件。此外，对于操作中的一些操作，逻辑实体中的一些逻辑实体具有不同特权。 在一些实施例中，凭证管理模块包括程序模块指定该一组特权所使用的信息。需注意，访问控制元件可包括电子用户身份模块(eSIM)。此外，逻辑实体可位于电子设备的内部和/或外部。此外，访问控制元件可包括用于为逻辑实体和第二逻辑实体中的至少一者指定第二组特权的信息。在与该一组特权相关联的安全级别和与第二组特权相关联的第二安全级别之间发生冲突的情况下，安全元件可将安全级别和第二安全级别进行比较并且可选择该一组特权和第二组特征中的与较强安全性相关联的一者。另选地，在与该一组特权相关联的安全级别和与第二组特权相关联的第二安全级别之间发生冲突的情况下，安全元件可选择该一组特权。另外，该一组操作可包括:加载访问控制元件、启用访问控制元件、禁用访问控制元件、输出访问控制元件和/或删除访问控制元件。在一些实施例中，凭证管理模块包括与该一组操作相关联的对称加密密钥，并且给定的加密密钥有助于提供与该一组操作相关联的特权。另选地或除此之外，凭证管理模块可包括证书和与该一组操作相关联的非对称加密密钥以有助于非对称加密，并且给定的加密密钥和给定的证书可有助于提供与该一组操作相关联的特权。另一实施例提供了一种用于为逻辑实体指定一组特权的方法。在该方法期间，从第一逻辑实体和第二逻辑实体接收凭证。随后，基于凭证和凭证管理模块为第一逻辑实体和第二逻辑实体确定与该一组操作相关联的该一组特权。接下来，指定第一逻辑实体和第二逻辑实体的该一组特权的信息被提供给电子设备中的安全元件中的访问控制元件，其中访问控制元件识别服务的用户并有助于安全通信。此外，访问控制元件与该一组操作相关联，对于操作中的一些操作，第一逻辑实体和第二逻辑实体具有不同特权。在一些实施例中，使用电子设备中的处理器执行程序模块。【附图说明】图1是示出了现有的认证和密钥协议(AKA)技术的图示。图2是示出了根据本公开的实施例的用于分发访问控制元件的网络架构的框图。图3是示出了根据本公开的实施例的用于将访问控制元件传输到电子设备的方法的流程图。图4是示出了根据本公开的实施例的针对与访问控制元件相关联的一组操作为逻辑实体指定一组特权的方法的流程图。图5是示出了根据本公开的实施例的适用于存储一个或多个访问控制元件的电子通用集成电路卡(eUICC)装置的框图。图6是示出了根据本公开的实施例的适用于存储和使用一个或多个访问控制元件的电子设备的框图。图7是示出了根据本公开的实施例的电子设备的框图。【具体实施方式】概沭所公开的实施例提供了用于存储访问控制元件并将访问控制元件分发到电子设备诸如便携式电子设备(例如，“智能电话”等)的装置和技术。用于传输访问控制元件(例如，eSIM)的电子设备可通过确保仅借助可信目标电子设备执行传输来实施访问控制元件的唯一性和保护。在一个实施例中，公开了在硬件安全模块(HSM)中实现的eUICC装置。每个HSM都可存储大量eSIM以有助于其存储和分发，例如用于零售服务。eWCC装置可验证其对等enCC装置根据达成一致的且可信的协议进行操作。如果enCC装置两者达成协议，则当源eUICC装置传输其eSIM时，其将删除其eSIM或者以其他方式使其自身eSIM闲置。目标enCC装置可保留eSIM的唯一现行版本。在另一实施例中，当将访问控制元件从电子设备移动到另一个电子设备时，接收或目标电子设备发出质疑或唯一标识符。发送电子设备可使用接收电子设备的公钥来加密访问控制元件并且可添加唯一标识符或质疑。此外，还可对加密的访问控制元件和唯一标识符或质疑的组合进行签名。在传输之后，发送电子设备可删除其访问控制元件。随后，接收电子设备可验证加密的访问控制元件和唯一标识符。如果这些有效，则接收电子设备可存储加密的访问控制元件和唯一标识符以用于未来使用。在示例性配置中，仅在符合标准可信关系的电子设备之间传输访问控制元件。因为电子设备两者均根据达成一致的协议进行操作，所以访问控制元本文档来自技高网...
【技术保护点】
一种电子设备，包括安全元件，其中所述安全元件包括：访问控制元件，所述访问控制元件被配置为识别服务的用户并有助于安全通信，其中所述访问控制元件与一组操作相关联；处理器；和存储器，所述存储器耦接至所述处理器并存储程序模块和凭证管理模块，所述程序模块被配置为由所述处理器执行，所述凭证管理模块为与所述一组操作中的操作相关联的逻辑实体指定具有一组特权的配置文件；并且其中对于所述操作中的一些操作，所述逻辑实体中的一些逻辑实体具有不同特权。
【技术特征摘要】
【国外来华专利技术】...
【专利技术属性】
技术研发人员：C·B·夏普，Y·H·韦德，李莉，J·V·豪客，A·G·马赛厄斯，杨翔英，K·P·麦克劳克林，
申请(专利权)人：苹果公司，
类型：发明
国别省市：美国;US
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。