[发明专利]一种在终端和服务器之间建立安全通道的方法及装置

权利要求书

1.一种在终端和服务器之间建立安全通道的方法，其特征在于，包括：

步骤S1、终端接收服务器通过客户端发来的建立安全通道指令，生成产生第二应用密文数据指令，并向IC卡发送所述产生第二应用密文数据指令；

步骤S2、所述终端接收所述IC卡返回的第二应用密文数据，从所述第二应用密文数据中获取第一应用密文，将第二预置数据组中的四组预置数据分别和所述建立安全通道指令中的配置数据进行拼接，对拼接后的四组数据使用所述第一应用密文进行加密，得到上行工作密钥、下行工作密钥、上行MAC密钥和下行MAC密钥；

步骤S3、所述终端使用所述上行MAC密钥对第三预置数据进行加密，产生第一校验值；

所述步骤S3之前还包括：

步骤X：所述终端生成产生第一应用密文数据指令，并向IC卡发送所述产生第一应用密文数据指令；

步骤Y：所述终端接收所述IC卡返回的第一应用密文数据后，根据所述第一应用密文数据生成第一令牌；

所述步骤S3中还包括：将所述第一令牌和所述第一校验值通过客户端发送至所述服务器。

2.根据权利要求1所述的方法，其特征在于，所述步骤X中所述终端生成产生第一应用密文数据指令，具体为：根据第一预置数据和所述建立安全通道指令中的不可预知数生成产生第一应用密文数据指令；

所述步骤S1中所述终端生成产生第二应用密文数据指令，具体为：根据第一预置数据和所述建立安全通道指令中的不可预知数生成产生第二应用密文数据指令。

3.根据权利要求1所述的方法，其特征在于，所述步骤S1中所述终端接收服务器通过客户端发来的建立安全通道指令后，还包括：

步骤A1、所述终端从所述建立安全通道指令中获取应用文件列表，从所述应用文件列表中获取应用标识符，根据所述应用标识符生成选择应用指令，并向IC卡发送所述选择应用指令；

步骤A2、所述终端接收所述IC卡发来的选择应用响应，根据所述选择应用响应生成获取处理选项指令，并向所述IC卡发送所述获取处理选项指令；

步骤A3、所述终端接收所述IC卡发来的获取处理选项指令响应，根据所述获取处理选项指令响应确定要读取的IC卡记录，生成读记录指令，并向所述IC卡发送所述读记录指令；

步骤A4、所述终端接收IC卡发来的读记录响应，从所述读记录响应中获取主账号序列号。

4.根据权利要求3所述的方法，其特征在于，所述步骤Y中，所述根据所述第一应用密文数据生成第一令牌，具体为：

所述终端将所述主账号序列号和所述第一应用密文数据进行拼接，对拼接后的数据进行计算，生成第一令牌。

5.根据权利要求1所述的方法，其特征在于，所述步骤S3之前，还包括：

步骤B1、所述终端从所述建立安全通道指令中获取应用文件列表，从所述应用文件列表中获取应用标识符，根据所述应用标识符生成选择应用指令，并向IC卡发送所述选择应用指令；

步骤B2、所述终端接收所述IC卡发来的选择应用响应，根据所述选择应用响应生成获取处理选项指令，并向所述IC卡发送所述获取处理选项指令；

步骤B3、所述终端接收所述IC卡发来的获取处理选项指令响应。

6.根据权利要求1所述的方法，其特征在于，所述步骤S3之后还包括：

步骤C1、所述终端接收服务器发来的查询卡片交易记录指令密文和第三校验值；

步骤C2、所述终端判断所述第三校验值是否正确，是则所述终端使用所述下行工作密钥解密查询卡片交易记录指令密文，得到查询卡片交易记录指令，并向所述IC卡发送所述查询卡片交易记录指令；否则报错结束；

步骤C3、所述终端接收到IC卡返回的查询卡片交易记录响应后，使用上行工作密钥对所述查询卡片交易记录响应加密，得到查询卡片交易记录响应密文；

步骤C4、所述终端使用上行MAC密钥对第三预置数据进行计算，产生第四校验值，并将所述查询卡片交易记录响应密文和所述第四校验值发送至服务器。