用于管理访问控制的基于策略的技术制造技术

本公开涉及用于管理访问控制的基于策略的技术。本发明专利技术描述了基于策略的框架。该基于策略的框架可用于为逻辑实体指定执行与位于电子设备中的安全元件内的访问控制元件(诸如，电子用户身份模块)相关联的操作的特权。需注意，不同逻辑实体可针对与相同或不同访问控制元件相关联的不同操作具有不同特权。此外，基于策略的框架可指定逻辑实体在认证期间使用的凭证的类型，使得不同类型的凭证可用于不同操作和/或由不同逻辑实体使用。此外，基于策略的框架可指定逻辑实体在认证期间使用的安全协议和安全级别，使得不同安全协议和安全级别可用于不同操作和/或由不同逻辑实体使用。

【技术实现步骤摘要】
用于管理访问控制的基于策略的技术本申请是国际申请日为2013年11月20日、国家申请号为201380060499.9、专利技术名称为“用于管理访问控制的基于策略的技术”的进入中国国家阶段的PCT申请的分案申请。
所公开的实施例涉及用于促进无线系统中的认证和安全通信的技术。更具体地，所公开的实施例涉及用于管理逻辑实体的特权的技术，该逻辑实体执行与电子设备中的安全元件中的安全访问控制元件相关联的操作。
技术介绍
许多无线通信系统使用访问控制技术来确保安全通信。例如，访问控制技术可涉及：验证通信方的身份；以及授予与所验证的身份相称的访问水平。在蜂窝电话系统(诸如通用移动通信系统或UMTS)中，访问控制通常由在物理通用集成电路卡(UICC)上执行的访问控制元件或客户端(诸如，通用用户身份模块或USIM)来管理。访问控制客户端通常认证蜂窝网络的用户。在成功认证之后，用户可被允许访问蜂窝网络。在随后的讨论中，需注意，“访问控制客户端”通常指的是控制从电子设备到网络的访问的逻辑实体(可在硬件和/或软件中实现)。除了USIM之外，访问控制客户端可包括：CDMA用户身份模块(CSIM)、IP多媒体服务身份模块(ISIM)、用户身份模块(SIM)、可移除用户身份模块(RUIM)等。传统上，访问控制客户端执行认证和密钥协议(AKA)技术，其验证和解密应用数据和程序以确保安全初始化。具体地，访问控制客户端可：回答远程质疑以证明其对于网络运营商的身份，并且可发出质疑来验证网络的身份。尽管传统访问控制客户端解决方案在可移除集成电路卡(ICC)(有时称为“SIM卡”)内实施，但最新研究涉及在电子设备上执行的软件客户端内的虚拟化SIM操作。虚拟化SIM操作可减小设备尺寸，增加设备功能并提供更大的灵活性。注意“虚拟化SIM”可指电子SIM(eSIM)。然而，虚拟化SIM操作还为网络运营商和设备制造商呈现新的质疑。例如，传统SIM卡由可信SIM供应商制造并保证。这些传统SIM卡执行已永久烧录到SIM卡的单一安全版本的软件。一旦被烧录，SIM卡通常不能加以改变或篡改(在另外不损坏SIM卡的情况下)。相反，便携式电子设备由范围广泛的设备制造商制造，并且可执行由多个并且可能未知的第三方软件供应商提供的软件。另外，便携式电子设备经常利用能解决现有缺陷并且同时引入新缺陷的软件来“打补丁”。由此，该软件会易于受到损坏、蓄意破坏和/或滥用。此外，尽管物理SIM卡极难复制，但软件可容易被拷贝、倍增等。因为每个SIM代表约定对有限网络资源的访问量，所以对虚拟化SIM的非法使用会极大影响网络操作和用户体验(例如，此类非法使用可掠夺将另外对合法用户可用的资源网络，从而降级针对此类合法用户的服务速度、可用性等)。作为结果，需要新的解决方案来为通常与传统物理SIM类似的虚拟化SIM(以及，更一般地，访问控制客户端)提供保护和其他属性。此外，需要改进的解决方案以用于存储和分发虚拟化访问控制客户端。理想地，这些解决方案可提供传统访问控制客户端操作的益处，其中虚拟操作提供增加的性能。
技术实现思路
所述实施例涉及电子设备。该电子设备包括具有访问控制元件的安全元件，该访问控制元件识别服务的用户并且促进安全通信，其中访问控制元件与一组操作相关联。此外，安全元件包括处理器和存储器，该存储器存储程序模块和凭证管理模块，程序模块由该处理器执行，凭证管理模块为与一组操作相关联的逻辑实体指定具有一组特权的配置文件。此外，对于操作中的一些操作，逻辑实体中的一些逻辑实体具有不同特权。在一些实施例中，凭证管理模块包括程序模块指定该一组特权所使用的信息。需注意，访问控制元件可包括电子用户身份模块(eSIM)。此外，逻辑实体可位于电子设备的内部和/或外部。此外，访问控制元件可包括用于为逻辑实体和第二逻辑实体中的至少一者指定第二组特权的信息。在与该一组特权相关联的安全级别和与第二组特权相关联的第二安全级别之间发生冲突的情况下，安全元件可将安全级别和第二安全级别进行比较并且可选择该一组特权和第二组特征中的与较强安全性相关联的一者。另选地，在与该一组特权相关联的安全级别和与第二组特权相关联的第二安全级别之间发生冲突的情况下，安全元件可选择该一组特权。另外，该一组操作可包括：加载访问控制元件、启用访问控制元件、禁用访问控制元件、输出访问控制元件和/或删除访问控制元件。在一些实施例中，凭证管理模块包括与该一组操作相关联的对称加密密钥，并且给定的加密密钥有助于提供与该一组操作相关联的特权。另选地或除此之外，凭证管理模块可包括证书和与该一组操作相关联的非对称加密密钥以有助于非对称加密，并且给定的加密密钥和给定的证书可有助于提供与该一组操作相关联的特权。另一实施例提供了一种用于为逻辑实体指定一组特权的方法。在该方法期间，从第一逻辑实体和第二逻辑实体接收凭证。随后，基于凭证和凭证管理模块为第一逻辑实体和第二逻辑实体确定与该一组操作相关联的该一组特权。接下来，指定第一逻辑实体和第二逻辑实体的该一组特权的信息被提供给电子设备中的安全元件中的访问控制元件，其中访问控制元件识别服务的用户并有助于安全通信。此外，访问控制元件与该一组操作相关联，对于操作中的一些操作，第一逻辑实体和第二逻辑实体具有不同特权。在一些实施例中，使用电子设备中的处理器执行程序模块。附图说明图1是示出了现有的认证和密钥协议(AKA)技术的图示。图2是示出了根据本公开的实施例的用于分发访问控制元件的网络架构的框图。图3是示出了根据本公开的实施例的用于将访问控制元件传输到电子设备的方法的流程图。图4是示出了根据本公开的实施例的针对与访问控制元件相关联的一组操作为逻辑实体指定一组特权的方法的流程图。图5是示出了根据本公开的实施例的适用于存储一个或多个访问控制元件的电子通用集成电路卡(eUICC)装置的框图。图6是示出了根据本公开的实施例的适用于存储和使用一个或多个访问控制元件的电子设备的框图。图7是示出了根据本公开的实施例的电子设备的框图。具体实施方式概述所公开的实施例提供了用于存储访问控制元件并将访问控制元件分发到电子设备诸如便携式电子设备(例如，“智能电话”等)的装置和技术。用于传输访问控制元件(例如，eSIM)的电子设备可通过确保仅借助可信目标电子设备执行传输来实施访问控制元件的唯一性和保护。在一个实施例中，公开了在硬件安全模块(HSM)中实现的eUICC装置。每个HSM都可存储大量eSIM以有助于其存储和分发，例如用于零售服务。eUICC装置可验证其对等eUICC装置根据达成一致的且可信的协议进行操作。如果eUICC装置两者达成协议，则当源eUICC装置传输其eSIM时，其将删除其eSIM或者以其他方式使其自身eSIM闲置。目标eUICC装置可保留eSIM的唯一现行版本。在另一实施例中，当将访问控制元件从电子设备移动到另一个电子设备时，接收或目标电子设备发出质疑或唯一标识符。发送电子设备可使用接收电子设备的公钥来加密访问控制元件并且可添加唯一标识符或质疑。此外，还可对加密的访问控制元件和唯一标识符或质疑的组合进行签名。在传输之后，发送电子设备可删除其访问控制元件。随后，接收电子设备可验证加密的访问控制元件和唯一标识符。如果这些有效，则接收本文档来自技高网...

【技术保护点】
一种用于保护第一设备和第二设备之间的访问控制客户端的传输的安全的方法，所述方法包括：在存储所述访问控制客户端的所述第一设备处：识别将所述访问控制客户端传输到所述第二设备的条件；识别由所述第二设备实现的至少一个安全策略；以及当所述至少一个安全策略满足由所述第一设备实现的一个或多个安全策略时：准备将被传输到所述第二设备的所述访问控制客户端，以及将所述访问控制客户端传输到所述第二设备。

【技术特征摘要】
2012.11.21 US 61/729,2081.一种用于保护第一设备和第二设备之间的访问控制客户端的传输的安全的方法，所述方法包括：在存储所述访问控制客户端的所述第一设备处：识别将所述访问控制客户端传输到所述第二设备的条件；识别由所述第二设备实现的至少一个安全策略；以及当所述至少一个安全策略满足由所述第一设备实现的一个或多个安全策略时：准备将被传输到所述第二设备的所述访问控制客户端，以及将所述访问控制客户端传输到所述第二设备。2.根据权利要求1所述的方法，其中所述第一设备为第一移动无线设备，并且所述第二设备为第二移动无线设备。3.根据权利要求1所述的方法，其中所述第一设备为访问控制客户端供应服务器，并且所述第二设备为移动无线设备。4.根据权利要求1所述的方法，其中使用与所述第一设备相关联的第一公钥来加密所述访问控制客户端。5.根据权利要求4所述的方法，其中准备将被传输到所述第二设备的所述访问控制客户端包括：使用与所述第一公钥相关联的私钥来解密所述访问控制客户端；识别与所述第二设备相关联的第二公钥，以及使用所述第二公钥来加密所述访问控制客户端。6.根据权利要求1所述的方法，其中所述访问控制客户端为电子用户身份模块(eSIM)。7.根据权利要求1所述的方法，还包括在将所述访问控制客户端传输到所述第二设备之后：对所述第一设备处的所述访问控制客户端去激活。8.一种访问控制客户端供应服务器，包括：安全存储器，被配置为存储多个访问控制客户端；以及处理器，被配置为使得所述访问控制客户端供应服务器执行以下步骤，所述步骤包括：从移动无线设备接收将所述多个访问控制客户端中的特定访问控制客户端传输到所述移动无线设备的请求，识别由所述移动无线设备实现的第一安全策略，确定所述第一安全策略与由所述访问控制客户端供应服务器实现的第二安全策略一致，准备将被传输到所述移动无线设备的所述特定访问控制客户端，以及将所述特定访问控制客户端传输到所述移动无线设备。9.根据权利要求8所述的访问控制客户端供应服务器，其中所述第二安全策略指示与将访问控制客户端传输到目标移动无线设备相关联的要求，并且所述第一安全策略满足由所述第二安全策略指示的所述要求。10.根据权利要求8所述的访问控制客户端供应服务器，其中准备将被传输到所述移动无线设备的所述特定访问控制客户端包括：获得与所述移动无线设备相关联的公钥，生成对于所述移动无线设备的质疑，以及使用所述公钥来加密所述特定访问控制客户端和所述质疑。11.根据权利要求10所述的访问控制客户端供应服务器，其中在将所述特定访问控制客户端传输到所述移动无线设备之后，所述步骤还包括：从所述移动无线设备接收对所述质疑的响应；当所述响应指示所述质疑...

【专利技术属性】
技术研发人员：C·B·夏普，Y·H·韦德，李莉，J·V·豪客，A·G·马赛厄斯，杨翔英，K·P·麦克劳克林，
申请(专利权)人：苹果公司，
类型：发明
国别省市：美国,US