一种远程应用智能卡密钥的方法及系统与流程

本发明涉及智能卡应用方法和应用系统，尤其涉及一种智能卡密钥远程应 用方法及应用系统。

背景技术：

目前，行业应用中存在对称密钥和非对称密钥两种密钥模式。对称密钥模 式，运算速度快，存储空间要求小，适合于智能卡应用，但密钥传递过程复杂， 必须有安全模块存放认证密钥，一般采用PSAM卡方式，存在对PSAM卡攻击 的隐患，对PSAM卡中的密钥更新安全要求十分高，实现困难。非对称密钥模 式，安全强度高，但运算速度慢，存储空间要求高，目前还不适合智能卡应用， 但公钥可以以公开方式传送，方便，对终端没有特别安全要求，无需PSAM卡， 不存在对PSAM攻击的隐患，对终端中的公钥可以通过远程下载方式更新，安 全方便。

社会保障卡，是由人力资源和社会保障部统一规划，由各地人力资源和社 会保障部门面向社会发放的集成电路卡，采用对称密钥模式，读写设备需装载 PSAM进行安全控制管理，PSAM具有严格的发行和管理制度、流程，以保障 机构单位、商业应用的安全。社保卡个人终端，是针对社会保障卡互联网应用 专门开发的便携式设备(又称IC卡互联网支付终端)，面向个人大量发行，采 用适合于互联网的非对称密钥模式，不带PSAM卡，依靠远程方式完成桌面读 写器的各项功能。社保卡个人终端如果采用对称的PSAM卡模式，会导致以下 严重安全问题：(1)个人设备较易出现PSAM遗失的情况，导致PSAM卡被攻 破的可能性大大增加。(2)一旦某张PSAM卡出现泄露或攻破，则意味着整个 对称密钥体系的保护机制出现漏洞，直接导致部、省、市三级密钥体制下，起 码一个市的全部社保卡需要更新密钥，风险非常大。(3)密钥使用有效期有一 定的期限，到期后所有PSAM卡都要更换密钥，以个人为管理对象的PSAM卡 更换工作的周期将很长，成本会过高而不可行。所以，在采用非对称密钥模式 的社保卡个人终端，实现对采用对称密钥模式的社会保障卡的安全读写，成为 实现社保卡互联网应用的关键。

技术实现要素：

本发明要解决的技术问题在于提供一种能有效防止PSAM卡出现泄露或被 攻破、无需发行PSAM卡，且利用非对称密钥模式的终端设备实现对采用对称 密钥模式的智能卡进行安全读写的远程应用智能卡密钥的方法及系统。

为解决上述技术问题，本发明采用如下技术方案。

一种远程应用智能卡密钥的方法，该方法包括：A、应用认证，每个应用作为 一个独立的应用系统，当用户访问应用系统时，该应用系统到互联网平台注册， 获得互联网平台颁发的应用证书后，进入应用系统；B、设备认证，每个终端设 备加载一个互联网平台颁发的设备证书，用户使用终端设备时，终端设备请求 互联网平台对设备证书进行认证，并且在认证通过之后，执行步骤C；C、卡认 证和卡操作，对终端设备所插入的智能卡卡片进行卡认证和卡操作。

优选地，所述应用证书是非对称数字证书。

优选地，所述设备证书是非对称数字证书。

优选地，所述卡认证与卡操作采用对称密钥模式，依托于设备插件、应用 系统、平台、服务接口和前置系统，建立终端设备与加密机之间的可信逻辑通 道，完成智能卡和PSAM卡之间的安全交互。

一种远程应用智能卡密钥的系统，其包括有：终端设备，所述终端设备加载 有互联网平台颁发的非对称数字证书，用于执行卡认证和卡操作；设备插件， 所述设备插件是运行于浏览器内的网页插件，用于驱动和操作终端设备，并提 供应用接口，实现与服务系统的数据交互，为卡操作提供密钥代理；应用系统， 所述应用系统利用智能卡完成预设的卡认证和卡操作动作；服务系统，所述服 务系统是包括平台页面、服务接口、前置系统及加密机的整体系统，其用于支 撑应用系统，并借助终端设备完成对智能卡的卡认证和卡操作；网络通道，所 述网络通道是连接客户端和服务系统的互联网通道，在设备插件、服务接口和 前置系统之间采用加密传输方式进行数据交互，利用数字信封同步传输密钥。

优选地，所述应用系统加载有平台颁发的非对称数字证书，应用系统的页 面加载设备插件，在页面初始化时完成时请求互联网平台进行应用认证，使得 互联网平台许可该应用系统加载设备插件的请求。

本发明公开的远程应用智能卡密钥的方法，其相比现有技术而言的有益效果 在于：a、应用和设备单独认证，采用非对称证书机制，和卡片认证完全隔离。 b、卡片密钥客户端不存储，即卡片密钥完全不会在客户端出现，实际上，服务 器端也仅出现于加密机和PSAM卡两个环节。c、密钥访问通道限制，卡片密钥 通过专用网络接口访问，并且只能请求使用密钥运算的结果，而不能请求密钥 本身下发。d、密钥有条件访问，卡片密钥的访问，必须以应用和设备通过认证 为前提。e、密钥以代号访问，所请求的密钥，以代号TVI表示,TVI是密钥在 加密机里存放的标示，TVI在设备插件、应用系统、平台、服务接口、前置系统、 加密机等环节保持一致，采用同样的名称。f、命令硬件组合，卡认证与卡操作 的APDU指令最终在终端设备里由主控程序组合完成，在设备插件与终端设备 之间，采取伪指令方式交互，有效保证命令数据。

附图说明

图1为本发明远程应用智能卡密钥的方法的流程图。

图2为本发明远程应用智能卡密钥的系统的结构框图。

具体实施方式

下面结合附图和实施例对本发明作更加详细的描述。

本发明公开了一种远程应用智能卡密钥的方法，如图1所示，该方法包括：

A、应用认证，每个应用作为一个独立的应用系统，当用户访问应用系统时， 该应用系统到互联网平台注册，获得互联网平台颁发的应用证书后，进入应用 系统，所述应用证书是非对称数字证书；

B、设备认证，每个终端设备加载一个互联网平台颁发的设备证书，用户使 用终端设备时，终端设备请求互联网平台对设备证书进行认证，并且在认证通 过之后，执行步骤C，所述设备证书是非对称数字证书；

C、卡认证和卡操作，对终端设备所插入的智能卡卡片进行卡认证和卡操作， 所述卡认证与卡操作采用对称密钥模式，依托于设备插件、应用系统、平台、 服务接口和前置系统，建立终端设备与加密机之间的可信逻辑通道，完成智能 卡和PSAM卡之间的安全交互。

上述远程应用智能卡密钥的方法具有如下特点：a、应用和设备单独认证，采 用非对称证书机制，和卡片认证完全隔离。b、卡片密钥客户端不存储，即卡片 密钥完全不会在客户端出现，实际上，服务器端也仅出现于加密机和PSAM卡 两个环节。c、密钥访问通道限制，卡片密钥通过专用网络接口访问，并且只能 请求使用密钥运算的结果，而不能请求密钥本身下发。d、密钥有条件访问，卡 片密钥的访问，必须以应用和设备通过认证为前提。e、密钥以代号访问，所请 求的密钥，以代号TVI表示,TVI是密钥在加密机里存放的标示，TVI在设备插 件、应用系统、平台、服务接口、前置系统、加密机等环节保持一致，采用同 样的名称。f、命令硬件组合，卡认证与卡操作的APDU指令最终在终端设备里 由主控程序组合完成，在设备插件与终端设备之间，采取伪指令方式交互，有 效保证命令数据。

本发明还公开一种远程应用智能卡密钥的系统，其包括有终端设备、设备插件、应用系统、服务系统和网络通道，其中：

所述终端设备加载有互联网平台颁发的非对称数字证书，用于执行卡认证和卡操作；

所述设备插件是运行于浏览器内的网页插件，用于驱动和操作终端设备，并提供应用接口，实现与服务系统的数据交互，为卡操作提供密钥代理；

所述应用系统利用智能卡完成预设的卡认证和卡操作动作，所述应用系统加载有平台颁发的非对称数字证书，应用系统的页面加载设备插件，在页面初始化时完成时请求互联网平台进行应用认证，使得互联网平台许可该应用系统 加载设备插件的请求；

所述服务系统是包括平台页面、服务接口、前置系统及加密机的整体系统， 其用于支撑应用系统，并借助终端设备完成对智能卡的卡认证和卡操作；

所述网络通道是连接客户端和服务系统的互联网通道，在设备插件、服务 接口和前置系统之间采用加密传输方式进行数据交互，利用数字信封同步传输 密钥。

在上述基础上，结合远程应用智能卡密钥的系统和应用方法，其实际应用参见如下实施例：

(1)应用认证，应用系统基于应用证书通过平台认证，获得设备插件的请求授权。

(2)设备认证，设备插件读取终端设备的设备证书，通过平台认证，获得终端设备的平台授权。

(3)卡功能开启，设备插件记录认证状态，进入卡片许可状态，应用系统可基于接口请求对卡片的操作，否则设备插件对应用请求不予理会。

(4)伪指令生成，设备插件通过接口将应用系统的请求转换为伪指令，伪指令是实际卡命令的一种近似描述，其中包含可执行代码和不可执行的格式化 编码。

(5)PSAM通道建立，通过对格式化编码进行检查，如果伪指令与PSAM 操作有关，则应用接口调用平台的服务接口，服务接口确定装载有所需PSAM 的加密机，通过前置系统建立和该加密机的访问通道。如果PSAM通道已经建 立，则忽略此步骤。

(6)PSAM模拟，伪指令中所有与PSAM相关的操作由密钥代理本地接管，与前置系统通信，远程调用加密机执行并返回结果，密钥代理接收结果数据， 修改格式化编码。

(7)命令传输，设备插件调用驱动程序，将伪指令和格式化编码以特定的顺序传送给终端设备。

(8)命令执行，终端设备组合生成APDU，执行完成和社会保障卡的交互并反馈结果给设备插件。

本发明公开的远程应用智能卡密钥的方法及系统，建立了大规模的应用系统、终端设备、智能卡的基础用卡环境体系，并且这个体系是安全的，相对 现有体系是独立的补充和完善，不需要政策和规范的改动；同时，建立了智能 卡的远程密钥应用模式，实现了卡认证和卡操作，保证个人终端设备对卡片的 读写是完备的，能够实现各种各样的卡命令组合；此外，严密地实现了行业应 用密钥的保护，智能卡对称密钥仍然以PSAM卡的方式存在，导入平台系统的加密机中，便于实施。在所有的应用过程中，PSAM内的密钥信息仅存在于加 密机范围内，通过前置系统、服务接口、加密通信的多层保护，在客户端是完 全不可能出现密钥的；再次，完整地实现了密钥名值分离，利用TVI对密钥的 访问，保证了设备插件、应用系统、平台、服务接口、前置系统、加密机等环 节利用名称代号访问密钥，这样有利于应用开发代码的编写，同时又与具体的 密钥值无关，杜绝了客户端、服务系统开发、测试、运行时的密钥泄漏。

以上所述只是本发明较佳的实施例，并不用于限制本发明，凡在本发明的技术范围内所做的修改、等同替换或者改进等，均应包含在本发明所保护的范围内。