资源管理系统及相应方法技术方案

本发明专利技术提供了一种安全而有效的资源管理系统及相应方法，用于管理由许可者经由分发链投入市场的产品的资源。具体地，可以减少用于管理所述资源所需的密钥的数目。在将产品发行到市场上时，不需要知道产品的准确许可条件。通过向被许可者提供的第二密钥来管理许可条件和产品的资源的相关联配置。然而，被许可者不知道第一密钥和基于第一密钥产生所述第二密钥的导出函数。因此，确保了被许可者不可能要求比许可者允许的产品的资源要多的产品的资源。

【技术实现步骤摘要】

本专利技术涉及一种用于管理产品的可配置资源的资源管理系统。本专利技术还涉及ー种用于管理产品的可配置资源的方法。
技术介绍
在过去十年，智能卡的
已经取得了许多重要成果。智能卡可以提供身份证、认证、数据存储和许多不同应用领域的应用处理功能。智能卡的益处依赖于编程用于卡上的信息和应用程序的数量。例如，可以利用如下信息对单个接触受限智能卡或非接触式智能卡编程多个银行凭证、医疗权限数据(entitlement data)、驾驶证或公共运输权限数据、会员程序和俱乐部成员。可以将多种因素和接近认证嵌入智能卡中，以增加由卡提供的服务的安全性。例如，可以对智能卡编程，·以允许只有当智能卡处于诸如唯一配对移动电话之类的另一设备的范围内时才进行非接触式交易。这可以极大地增加智能卡的安全性。更新的发展是所谓的虚拟卡的概念。例如，申请人在市场上买卖了 Mifare Plus技木，该技术具有所谓的虚拟卡架构的特征。基本上，虚拟卡体系结构使得能够根据许可证配置安全元件或物理智能卡，所述许可证授权使用由智能卡提供的特定资源集。換言之，许可证指定可以使用智能卡的哪些功能集合或子集。因此，许可证可以用于配置智能卡的资源。虚拟卡被定义为能够进行特定许可功能的智能卡。典型地，通过包括若干団体的分发链来销售安全元件。例如，通过芯片制造商来制造安全元件，其中芯片制造商也是许可者。由许可者将安全元件投入市场。安全元件被配置为包括所述种类的多个虚拟卡。由诸如委托服务管理者(TSM)之类的另一団体管理虚拟卡，其中所述委托服务管理者充当了被许可者。常规上，ー个或多个委托服务管理者接收需要在安全元件上创建的虚拟卡的密钥。典型地，需要多个密钥来管理虚拟卡在安全元件上的创建，或者换句话说，在将安全元件投入市场之后配置安全元件的资源。
技术实现思路
本专利技术的目的在于，提供ー种安全且有效的，用于管理经由所述种类的分发链投入市场的产品的资源。具体地，本专利技术的目的在于减少用于管理所述资源所需的密钥的数目。这通过权利要求I限定的系统和权利要求11限定的方法来实现。根据本专利技术资源管理系统的ー个方面，资源管理系统包括许可者、被许可者和产品，其中许可者被配置为在产品中存储第一密钥，井向被许可者发送许可证；许可者还被配置为使用第一密钥将导出函数应用于许可证来产生第二密钥；许可者还被配置为向被许可者发送第二密钥；被许可者被配置为产生配置请求，所述配置请求包括许可证和许可证使用指令；被许可者还被配置为使用第二密钥将保护函数应用于配置请求的至少一部分；被许可者还被配置为向产品发送配置请求；产品被配置为使用第一密钥通过将所述导出函数应用于许可证，来产生验证密钥；产品还被配置为通过如下操作来验证接收到的配置请求使用验证密钥将所述保护函数应用于配置请求的至少一部分，并且将得到的结果与被许可者所应用保护函数的结果相比较。在将产品发行到市场上时，也不需要知道产品的准确许可条件。通过向被许可者提供的第二密钥来管理许可条件和产品资源的相关联配置。然而，被许可者不知道第一密钥和导出函数。因此，确保了被许可者不可能要求比许可者允许的产品资源要多的产品资源。根据本专利技术资源管理系统的另一方面，产品还被配置为只有当比较结果相同吋，才根据许可证使用指令来配置产品的资源。根据本专利技术资源管理系统的又一方面，许可证和许可证使用指令包括字节串。根据本专利技术资源管理系统的又一方面，配置请求包括可选的其它信息。·根据本专利技术资源管理系统的又一方面，被许可者和产品所应用的保护函数包括消息认证代码的产生，其中相应地使用第二密钥和验证密钥针对许可证和许可证使用指令计算所述消息认证代码。根据本专利技术资源管理系统的又一方面，被许可者应用的保护函数包括使用第二密钥、应用于许可证和许可证使用指令的对称加密算法，以及产品所应用的保护函数包括使用验证密钥的相应解密算法。根据本专利技术资源管理系统的又一方面，被许可者还被配置为经由服务运营商向产品发送配置请求；服务运营商被配置为将密钥集附加至配置请求；产品还被配置为只有当配置请求包括所述密钥集时，才授权访问产品的资源。根据本专利技术资源管理系统的又一方面，产品还被配置为产生所述密钥集，且向服务运营商发送所述密钥集。根据本专利技术资源管理系统的又一方面，产品是安全元件。根据本专利技术资源管理系统的又一方面，所述资源管理系统还包括用于在移动设备中嵌入安全元件的手机制造商以及用于将移动设备投入市场的移动网路运营商。最后，根据本专利技术的ー个方面，一种用于在资源管理系统中管理产品资源的方法，所述资源管理系统包括许可者、被许可者和产品，所述方法包括许可者在产品中存储第一密钥，井向被许可者发送许可证；许可者还使用第一密钥通过将导出函数应用于许可证来产生第二密钥；许可者还向被许可者发送第二密钥；被许可者产生配置请求，所述配置请求包括许可证和许可证使用指令；被许可者使用第二密钥将保护函数应用于配置请求的至少一部分；被许可者还向产品发送配置请求；产品使用第一密钥通过将所述导出函数应用于许可证，来产生验证密钥；产品还通过如下操作来验证接收到的配置请求使用验证密钥将所述保护函数应用于配置请求的至少一部分，并且将得到的结果与被许可者所应用的保护函数的结果相比较。附图说明将參考附图更详细地描述本专利技术，其中图I示出了根据本专利技术的资源管理系统的第一实施例；图2示出了根据本专利技术的资源管理系统的第二实施例；图3示出了根据本专利技术的资源管理系统的第三实施例；具体实施例方式图I示出了根据本专利技术的资源管理系统的第一实施例100。资源管理系统100包括许可者102，许可者102经由第一通信信道108与产品104通信。典型地，许可者102是芯片制造商，以及产品104是芯片制造商生产的安全元件。在这种情况下，例如，第一通信信道108可以包括用于在制造期间在所述产品104中存储信息的装置。许可者102经由第二通信信道110 (优选地，安全信道)与被许可者106通信。被许可者106经由第三信道112与产品104通信。典型地，被许可者106是委托服务管理者(TSM)。在操作中，许可者102(或者代表许可者操作的団体)在产品104中存储第一密钥。第一密钥被称作资源管理密钥，并且由Kl表示。许可者102向被许可者106发送许可证，许可证由L表示并且包括例如字节串。许可者102还使用资源管理密钥通过将导出函数应用于许可证来产生第二密钥(被称作批量(wholesale)密钥，并由K2表示)。导出函数由D表示，所以如下产生批量密钥K2 = D(Kl)。许可者102还向被许可者106发送批量密钥。被许可者106继而产生配置请求，其中，配置请求是消息，所述消息包括许可证及用于按照期望方式配置产品的资源的指令。这些指令被称作许可证使用指令，并且由LU表示。能够配置资源的方式和程度由许可证确定。此外，被许可者106使用批量密钥将保护函数应用于配置请求中的至少一部分。例如，配置请求可以采取以下形式的消息M1 = L| LU 0011 |MAC(K2,LI I LU I I 001)，其中001表示可选的其它信息，以及MAC表示保护函数的特定示例，即，产生消息认证代码，其中所消息认证代码是使用批发密钥针对许可证、许可证使用指令和可选其它信息来计算的。备选地，保护函数可以包括再次本文档来自技高网...

【技术保护点】
一种用于管理产品(104)的可配置资源的资源管理系统(100；200；300)，所述资源管理系统(100；200；300)包括许可者(102)、被许可者(106)和产品(104)，其中：？许可者(102)被布置为在产品(104)中存储第一密钥，并向被许可者(106)发送许可证；？许可者(102)还被布置为使用第一密钥将导出函数应用于许可证来产生第二密钥；？许可者(102)还被布置为向被许可者(106)发送第二密钥；？被许可者(106)被布置为产生配置请求，所述配置请求包括许可证和许可证使用指令；？被许可者(106)还被布置为使用第二密钥将保护函数应用于配置请求的至少一部分；？被许可者(106)还被布置为向产品(104)发送配置请求；？产品(104)被布置为通过使用第一密钥将所述导出函数应用于许可证，来产生验证密钥；？产品(104)还被布置为通过以下操作来验证接收到的配置请求：使用验证密钥将所述保护函数应用于配置请求的至少一部分，并且将得到的结果与被许可者(106)所应用的保护函数的结果相比较。

【技术特征摘要】
...

【专利技术属性】
技术研发人员：汉斯·德容，
申请(专利权)人：NXP股份有限公司，
类型：发明
国别省市：