[发明专利]用于管理访问控制的方法和访问控制客户端供应服务器

说明书

本公开涉及用于管理访问控制的基于策略的技术。本发明描述了基于策略的框架。该基于策略的框架可用于为逻辑实体指定执行与位于电子设备中的安全元件内的访问控制元件(诸如，电子用户身份模块)相关联的操作的特权。需注意，不同逻辑实体可针对与相同或不同访问控制元件相关联的不同操作具有不同特权。此外，基于策略的框架可指定逻辑实体在认证期间使用的凭证的类型，使得不同类型的凭证可用于不同操作和/或由不同逻辑实体使用。此外，基于策略的框架可指定逻辑实体在认证期间使用的安全协议和安全级别，使得不同安全协议和安全级别可用于不同操作和/或由不同逻辑实体使用。

本申请是国际申请日为2013年11月20日、国家申请号为201380060499.9、发明名称为“用于管理访问控制的基于策略的技术”的进入中国国家阶段的PCT申请的分案申请。

技术领域

所公开的实施例涉及用于促进无线系统中的认证和安全通信的技术。更具体地，所公开的实施例涉及用于管理逻辑实体的特权的技术，该逻辑实体执行与电子设备中的安全元件中的安全访问控制元件相关联的操作。

背景技术

许多无线通信系统使用访问控制技术来确保安全通信。例如，访问控制技术可涉及：验证通信方的身份；以及授予与所验证的身份相称的访问水平。在蜂窝电话系统(诸如通用移动通信系统或UMTS)中，访问控制通常由在物理通用集成电路卡(UICC)上执行的访问控制元件或客户端(诸如，通用用户身份模块或USIM)来管理。访问控制客户端通常认证蜂窝网络的用户。在成功认证之后，用户可被允许访问蜂窝网络。在随后的讨论中，需注意，“访问控制客户端”通常指的是控制从电子设备到网络的访问的逻辑实体(可在硬件和/或软件中实现)。除了USIM之外，访问控制客户端可包括：CDMA用户身份模块(CSIM)、IP多媒体服务身份模块(ISIM)、用户身份模块(SIM)、可移除用户身份模块(RUIM)等。

传统上，访问控制客户端执行认证和密钥协议(AKA)技术，其验证和解密应用数据和程序以确保安全初始化。具体地，访问控制客户端可：回答远程质疑以证明其对于网络运营商的身份，并且可发出质疑来验证网络的身份。

尽管传统访问控制客户端解决方案在可移除集成电路卡(ICC)(有时称为“SIM卡”)内实施，但最新研究涉及在电子设备上执行的软件客户端内的虚拟化SIM操作。虚拟化SIM操作可减小设备尺寸，增加设备功能并提供更大的灵活性。注意“虚拟化SIM”可指电子SIM(eSIM)。

然而，虚拟化SIM操作还为网络运营商和设备制造商呈现新的质疑。例如，传统SIM卡由可信SIM供应商制造并保证。这些传统SIM卡执行已永久烧录到SIM卡的单一安全版本的软件。一旦被烧录，SIM卡通常不能加以改变或篡改(在另外不损坏SIM卡的情况下)。

相反，便携式电子设备由范围广泛的设备制造商制造，并且可执行由多个并且可能未知的第三方软件供应商提供的软件。另外，便携式电子设备经常利用能解决现有缺陷并且同时引入新缺陷的软件来“打补丁”。由此，该软件会易于受到损坏、蓄意破坏和/或滥用。

此外，尽管物理SIM卡极难复制，但软件可容易被拷贝、倍增等。因为每个SIM代表约定对有限网络资源的访问量，所以对虚拟化SIM的非法使用会极大影响网络操作和用户体验(例如，此类非法使用可掠夺将另外对合法用户可用的资源网络，从而降级针对此类合法用户的服务速度、可用性等)。

作为结果，需要新的解决方案来为通常与传统物理SIM类似的虚拟化SIM(以及，更一般地，访问控制客户端)提供保护和其他属性。此外，需要改进的解决方案以用于存储和分发虚拟化访问控制客户端。理想地，这些解决方案可提供传统访问控制客户端操作的益处，其中虚拟操作提供增加的性能。

发明内容