[发明专利]基于可配置的强制数据认证模式的认证方法及装置、系统

说明书

本发明公开了一种基于可配置的强制数据认证模式的认证方法及装置、系统，所述方法包括：接收到强制数据认证模式DAP安全域的安装及更新相关的指令后，对所述指令进行解析，获取解析结果；判断所述解析结果中存在强制DAP的配置参数的标识时，获取所述强制DAP的配置参数，并将所述配置参数写入注册表中。本发明实施例能够有效满足多行业管理机构监管SE中行业应用的需求，为多个行业的强制DAP验证提供统一认证方案，避免了频繁修改SE的COS，不会导致SE产品的版本碎片而造成兼容性问题，并降低了管理成本。

技术领域

本发明涉及强制数据认证技术，尤其涉及一种基于可配置的强制数据认证模式的认证方法及装置、系统。

背景技术

标准组织(GP，Global Platform)定义了数据认证模式(DAP，Data AuthenticatePattern)，用于验证应用程序的文件数据真实性，即保证应用程序未被篡改。

GP定义了一套生态系统，发卡方的可信服务管理方(TSM，Trust ServiceManager)/第三方的TSM在为如银行、公交等服务提供商(SP，Service Provider)提供行业应用发行机制，通过TSM将银行、公交等应用下载到运营商或其他发卡方的安全芯片(SE，Security Element)。SE有多种形态，类如具有CPU的银行卡、公交卡、SWP-SIM卡。这种机制脱离了原有银行、公交发行银行卡、公交卡的封闭模式，需要将原有银行卡、公交卡内的应用跨行业部署到其他行业、部门发行的SE中，因此，需要提供一种机制保证银行、公交等行业SP的应用的安全，保证应用不被发卡方或第三方(第三方为独立于发卡方和服务提供方的具有公信力的第三方机构)所篡改。图1为由第三方对卡片进行数据认证的示意图，如图1所示，首先SP需要将应用及应用的DAP签名提供给发卡方TSM或第三方TSM。SE上的应用遵循Java Card标准。DAP签名用DAP密钥对应用程序的Hash进行签名，签名算法可以是对称的3DES、AES或非对称的RAS。DAP密钥由SP提供，可采用一卡一密的分散算法，通过安全的方式写入SE上SP所属安全域中。

TSM进行应用下载，负责将应用程序及DAP签名数据下载到SE中。SE接受到应用及DAP签名后，SP的安全域使用SE上DAP密钥对应用程序进行DAP签名数据验证检查签名数据是否一致，保证应用程序未被篡改；如果应用程序或DAP签名数据在发卡方或第三方有任何改变，DAP签名验证不通过，应用安装将会失败。

同时GP提出了强制DAP验证方法(M-DAP，Mandatory DAP)，强制DAP用于具有公信力的控制机构(CA，Control Authority)或行业的监管机构验证发行到卡上的所有应用的DAP签名，而不是用于某个应用提供商验证其自身的应用。图2为强制DAP验证的示意图，如图2所示，SE上安全域A的DAP密钥由SP生成、分发以及写入；安全域N的强制DAP密钥由控制机构或行业的监管机构生成、分发以及写入。SP以及控制机构或行业的监管机构需要将应用程序、DAP签名以及强制DAP签名数据提供给发卡方TSM或第三方TSM。

TSM进行应用的下载，负责将应用程序、DAP签名、强制DAP签名写入SE上的安全域A中。安全域A验证DAP签名数据，安全域N验证强制DAP签名数据。

DAP签名相比较于强制DAP签名，SP的应用下载可由SP自行选择是否使用DAP签名，但若SE上存在强制DAP权限安全域，SP的应用下载必须向控制机构或行业监管机构申请强制DAP签名数据。