一种辅助安全域的创建方法及系统与流程

1.本发明涉及智能卡技术领域，尤其涉及一种辅助安全域的创建方法及系统。


背景技术：

2.euicc(embedded universal integrated circuit card，嵌入式通用集成电路卡)是一种支持远程配置的新型电信智能卡技术，可运用于任何sim卡形式，包括嵌入式和可插拔的sim卡。euicc卡通过空中远程配置，可支持灵活网络更换，确保为设备提供最高速的网络支持，提高了设备的安全性和工作效率，能让连接设备从公众市场扩展到更丰富的物联网和消费类市场，可广泛应用在智能电网、车联网、安全监控等领域。
3.然而，面对这种新型的卡片架构，需要考虑如何满足未来人与人、物与物、人与物海量应用的多样性和个性化需求，现有技术中，虽然euicc卡定义了ecasd(euicc controlling authority security domain，euicc的控制安全域)、isd
‑
r(issuer security domain root，根安全域)、isd
‑
p(issuer security domain profile，profile安全域)等基本安全域的概念和特征，但随着应用的增多，无法满足多家业务提供商的应用以安全的方式同时并存，因此，如何支持多家业务提供商的应用以安全的方式同时并存是本领域技术人员亟待解决的问题。


技术实现要素：

4.本发明所要解决的技术问题是针对现有技术的上述不足，提供一种辅助安全域的创建方法及系统，用以解决相关技术中随着应用的增多，euicc卡无法支持多家业务提供商的应用以安全的方式同时并存的问题。
5.第一方面，本发明实施例提供一种辅助安全域的创建方法，应用于签约关系管理平台安全路由网元sm
‑
sr，所述方法包括：
6.接收业务平台发送的创建辅助安全域ssd请求；
7.向运营商平台转发创建ssd请求，以使所述运营商平台根据所述创建ssd请求向嵌入式通用集成电路卡euicc的运营商安全域mno
‑
sd发送创建ssd的命令，并使所述mno
‑
sd接收到所述创建ssd的命令后在所述euicc中创建ssd；
8.接收所述运营商平台返回的ssd创建响应，所述ssd创建响应携带所述运营商平台为创建的ssd生成的初始密钥；
9.将所述初始密钥发送给所述业务平台，以使所述业务平台用所述初始密钥与创建的ssd建立安全通道。
10.优选地，所述创建ssd请求携带euicc标识eid以及业务平台证书，所述向运营商平台转发创建ssd请求，具体包括：
11.根据所述eid查询对应的euicc的euicc卡信息集eis信息；
12.从所述eis信息中获取所述eid对应的当前激活profile的msisdn和iccid；
13.向所述当前激活profile所归属的所述运营商平台转发当前激活profile的iccid
以及所述创建ssd请求。
14.优选地，所述从所述eis信息中获取所述eid对应的当前激活profile的msisdn和iccid之后，所述方法还包括：
15.从所述eis信息中获取所述eid对应的euicc证书；
16.将所述euicc证书以及当前激活profile的msisdn发送给所述业务平台。
17.第二方面，本发明实施例提供一种辅助安全域的创建方法，应用于运营商平台，所述方法包括：
18.接收sm
‑
sr转发的来自业务平台的创建ssd请求；
19.根据所述创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，以使所述mno
‑
sd接收到所述创建ssd的命令后在所述euicc中创建ssd；
20.接收所述mno
‑
sd返回的ssd创建成功消息；
21.根据所述ssd创建成功消息为创建的ssd生成初始密钥；
22.向所述mno
‑
sd发送所述初始密钥，以使所述mno
‑
sd向创建的ssd转发所述初始密钥；
23.向所述sm
‑
sr返回携带有所述初始密钥的ssd创建响应，以使所述sm
‑
sr接收到所述初始密钥后，向所述业务平台发送所述初始密钥，并使所述业务平台用所述初始密钥与所述创建的ssd建立安全通道。
24.优选地，所述创建ssd请求携带euicc标识eid；所述根据所述创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，具体包括：
25.对接收到的所述创建ssd请求进行合法性验证；
26.若验证通过，则进一步根据所述eid对应的profile信息判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识；
27.向所述mno
‑
sd发送携带有所述应用标识的创建ssd的命令，以使所述mno
‑
sd接收到所述创建ssd的命令后在所述euicc中创建所述应用标识对应的ssd。
28.优选地，所述向所述mno
‑
sd发送携带有所述应用标识的创建ssd的命令，具体包括：
29.通过es6接口与所述mno
‑
sd建立安全通道；
30.使用所述安全通道向所述mno
‑
sd发送携带有所述应用标识的创建ssd的命令。
31.优选地，所述创建ssd请求还携带业务平台证书；所述根据所述ssd创建成功消息为创建的ssd生成初始密钥之后，所述方法还包括：
32.更新所述eid对应的profile信息；
33.从所述业务平台证书中提取业务平台公钥；
34.用所述业务平台公钥加密所述创建的ssd的初始密钥；
35.所述向所述sm
‑
sr返回携带有所述初始密钥的ssd创建响应，具体包括：
36.向所述sm
‑
sr返回携带有应用标识以及加密的所述初始密钥的ssd创建响应，以使所述sm
‑
sr接收到所述应用标识以及加密的所述初始密钥后，向所述业务平台发送所述应用标识以及加密的所述初始密钥，并使所述业务平台保存所述应用标识后，用自身的私钥对加密的所述初始密钥进行解密，以及用解密后的所述初始密钥与所述创建的ssd建立安全通道。
37.第三方面，本发明实施例提供一种辅助安全域的创建方法，应用于euicc，所述方法包括：
38.位于所述euicc的mno
‑
sd接收运营商平台发送的创建ssd的命令，所述创建ssd的命令是所述运营商平台接收到sm
‑
sr发送的创建ssd请求后发送的；
39.所述mno
‑
sd根据所述创建ssd的命令在euicc中创建ssd；
40.若接收到创建的ssd发送的ssd创建成功消息，所述mno
‑
sd向所述运营商平台返回所述ssd创建成功消息，以使所述运营商平台根据所述ssd创建成功消息为创建的ssd生成初始密钥，并向sm
‑
sr返回携带有所述初始密钥的ssd创建响应，并使sm
‑
sr接收到所述初始密钥后，向所述业务平台发送所述初始密钥；
41.所述mno
‑
sd接收所述运营商平台发送的所述初始密钥，并向所述创建的ssd发送所述初始密钥；
42.所述创建的ssd接收所述初始密钥，并使用所述初始密钥与所述业务平台建立安全通道。
43.优选地，所述创建的ssd使用所述初始密钥与所述业务平台建立安全通道之后，所述方法还包括：
44.所述创建的ssd接收所述业务平台通过所述安全通道发送的密钥更新命令，所述密钥更新命令携带所述业务平台生成的新的ssd密钥；
45.所述创建的ssd使用所述新的ssd密钥对所述初始密钥进行更新。
46.第四方面，本发明实施例提供一种辅助安全域的创建系统，包括：sm
‑
sr、运营商平台和euicc；
47.所述sm
‑
sr用于执行第一方面所述的辅助安全域的创建方法；
48.所述运营商平台用于执行第二方面所述的辅助安全域的创建方法；
49.所述euicc用于执行第三方面所述的辅助安全域的创建方法。
50.本发明实施例提供的辅助安全域的创建方法及系统，基于标准的euicc体系架构，sm
‑
sr在接收到业务平台发送的创建ssd请求后，向运营商平台转发创建ssd请求，以使运营商平台根据创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，mno
‑
sd接收到创建ssd的命令后在euicc中创建ssd；ssd创建后，sm
‑
sr接收运营商平台返回的ssd创建响应，该ssd创建响应携带运营商平台为创建的ssd生成的初始密钥；sm
‑
sr将初始密钥发送给业务平台，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其自有安全域，即ssd内部署应用。本发明能够在现有统一的euicc硬件平台和基本系统能力的基础之上，允许业务提供商根据业务需求，实时为其所属应用申请一个或多个euicc卡片的辅助安全域，业务提供商部署应用时可以设置应用所属安全域为euicc默认安全域或其自有安全域，从而能够支持多业务提供商的应用以安全的方式同时并存，为实际应用中的动态应用管理提供安全保障。解决了相关技术中随着应用的增多，euicc卡无法支持多家业务提供商的应用以安全的方式同时并存的问题。
附图说明
51.图1：为本发明实施例1的一种辅助安全域的创建方法的流程图；
52.图2：为本发明实施例的一种辅助安全域的创建方法的交互示意图；
53.图3：为本发明实施例2的一种辅助安全域的创建方法的流程图；
54.图4：为本发明实施例3的一种辅助安全域的创建方法的流程图；
55.图5：为本发明实施例4的一种辅助安全域的创建系统的结构示意图。
具体实施方式
56.为使本领域技术人员更好地理解本发明的技术方案，下面将结合附图对本发明实施方式作进一步地详细描述。
57.可以理解的是，此处描述的具体实施例和附图仅仅用于解释本发明，而非对本发明的限定。
58.可以理解的是，在不冲突的情况下，本发明中的各实施例及实施例中的各特征可相互组合。
59.可以理解的是，为便于描述，本发明的附图中仅示出了与本发明相关的部分，而与本发明无关的部分未在附图中示出。
60.可以理解的是，本发明的实施例中所涉及的每个单元、模块可仅对应一个实体结构，也可由多个实体结构组成，或者，多个单元、模块也可集成为一个实体结构。
61.可以理解的是，在不冲突的情况下，本发明的流程图和框图中所标注的功能、步骤可按照不同于附图中所标注的顺序发生。
62.可以理解的是，本发明的流程图和框图中，示出了按照本发明各实施例的系统、装置、设备、方法的可能实现的体系架构、功能和操作。其中，流程图或框图中的每个方框可代表一个单元、模块、程序段、代码，其包含用于实现规定的功能的可执行指令。而且，框图和流程图中的每个方框或方框的组合，可用实现规定的功能的基于硬件的系统实现，也可用硬件与计算机指令的组合来实现。
63.可以理解的是，本发明实施例中所涉及的单元、模块可通过软件的方式实现，也可通过硬件的方式来实现，例如单元、模块可位于处理器中。
64.实施例1：
65.本实施例提供一种辅助安全域的创建方法，应用于签约关系管理平台安全路由网元sm
‑
sr(subscription manager security routing)，如图1所示，该方法包括：
66.步骤s102：接收业务平台发送的创建辅助安全域ssd(supplementary security domain)请求。
67.需要说明的是，辅助安全域是安全域的一种，本发明基于标准的euicc体系架构和euicc卡片，在当前激活的profile中新建业务所需要的ssd，该euicc体系架构主要包括sm
‑
sr、ecasd、isd
‑
p和mno
‑
sd(mobile network operator security domain，运营商安全域)，完整的euicc体系架构还可以包括其他网元，并不以此为限制。
68.在本实施例中，sm
‑
sr为euicc卡的远程管理平台的一个重要网元，业务提供商的业务平台事先与sm
‑
sr的新增接口进行连接，业务平台中预先存储ci(certificate issuer，证书发行方)根证书，新增业务平台公钥pk.auserver.ecasd以及新增业务平台证书cert.auserver.ecasd，由ci或sm
‑
sr进行签发。
69.在本实施例中，业务提供商根据业务需求，在需要为其所属应用申请创建一个或多个卡片的辅助安全域时，业务提供商通过业务平台向sm
‑
sr发送创建ssd请求，该创建ssd
请求中可以携带euicc标识eid(euicc
‑
id)以及业务平台证书。
70.步骤s104：向运营商平台转发创建ssd请求，以使运营商平台根据创建ssd请求向嵌入式通用集成电路卡euicc的运营商安全域mno
‑
sd发送创建ssd的命令，并使mno
‑
sd接收到创建ssd的命令后在euicc中创建ssd。
71.具体地，sm
‑
sr接收到业务平台发送的创建ssd请求后，提取该创建ssd请求中的eid，并根据eid获取对应的euicc的euicc卡信息集eis(euicc information set)信息。其中，sm
‑
sr事先存储有所有euicc的eis，该eis包括一系列的euicc的信息，比如，euicc证书、euicc卡里当前激活profile的msisdn(mobile subscriber international isdn/pstn number，移动用户号码)和iccid(integrate circuit card identity，集成电路卡识别码)等等。同时，sm
‑
sr也可以根据该eis对该创建ssd请求进行合法性验证，比如，可以通过证书方式进行验证，也可以通过其他方式对该创建ssd请求进行合法性验证，比如其他商业约定，证书方式如pki(public key infrastructure公钥基础设施)证书验证等等。如验证不通过，sm
‑
sr向业务平台通知验证失败，流程结束。如果验证通过，再从eis信息中获取eid对应的当前激活profile的msisdn和iccid，并向当前激活profile所归属的运营商平台转发当前激活profile的iccid以及创建ssd请求。
72.在本实施例中，为了便于后续业务平台对euicc卡的认证，sm
‑
sr从eis信息中获取eid对应的euicc证书，并将euicc证书以及当前激活profile的msisdn发送给业务平台。
73.在本实施例中，运营商平台接收到sm
‑
sr转发的创建ssd请求后，可以先对创建ssd请求进行合法性验证，并在验证通过后，进一步根据eid对应的profile信息判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识aid，同时，通过es6接口与mno
‑
sd建立安全通道，通过安全通道向mno
‑
sd发送携带有应用标识的创建ssd的命令，以使mno
‑
sd接收到创建ssd的命令后在euicc中创建应用标识对应的ssd。
74.步骤s106：接收运营商平台返回的ssd创建响应，ssd创建响应携带运营商平台为创建的ssd生成的初始密钥。
75.在本实施例中，mno
‑
sd创建ssd后，通过es6接口向运营商平台返回ssd创建成功消息，运营商平台接收mno
‑
sd返回的ssd创建成功消息后，根据ssd创建成功消息为创建的ssd生成初始密钥，并向mno
‑
sd发送初始密钥，以使mno
‑
sd向创建的ssd转发初始密钥；同时，运营商平台向sm
‑
sr返回携带有初始密钥的ssd创建响应。
76.步骤s108：将初始密钥发送给业务平台，以使业务平台用初始密钥与创建的ssd建立安全通道。
77.在本实施例中，sm
‑
sr接收到运营商平台返回的ssd创建响应后，向业务平台发送初始密钥，并使业务平台用初始密钥与创建的ssd建立安全通道，从而业务平台可通过该安全通道在ssd内部部署应用。
78.本实施例提供的辅助安全域的创建方法，基于标准的euicc体系架构，sm
‑
sr在接收到业务平台发送的创建ssd请求后，向运营商平台转发创建ssd请求，以使运营商平台根据创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，mno
‑
sd接收到创建ssd的命令后在euicc中创建ssd；ssd创建后，sm
‑
sr接收运营商平台返回的ssd创建响应，该ssd创建响应携带运营商平台为创建的ssd生成的初始密钥；sm
‑
sr将初始密钥发送给业务平台，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其自有安全域，即
ssd内部署应用。本发明能够在现有统一的euicc硬件平台和基本系统能力的基础之上，允许业务提供商根据业务需求，实时为其所属应用申请一个或多个euicc卡片的辅助安全域，业务提供商部署应用时可以设置应用所属安全域为euicc默认安全域或其自有安全域，从而能够支持多业务提供商的应用以安全的方式同时并存，为实际应用中的动态应用管理提供安全保障。解决了相关技术中随着应用的增多，euicc卡无法支持多家业务提供商的应用以安全的方式同时并存的问题。
79.具体地，参考图2，示出了本发明实施例提供的一种辅助安全域的创建方法的交互示意图。其中，业务提供商的业务平台与euicc卡的远程管理平台sm
‑
sr的新增接口进行连接，sm
‑
sr是euicc远程管理平台的一个重要网元。业务平台中预先存储ci根证书，新增业务平台公钥pk.auserver.ecasd以及新增业务平台证书cert.auserver.ecasd，由ci或sm
‑
sr进行签发。euicc还包括ecasd和isd
‑
p。在本实施例中，包括如下步骤：
80.步骤s01：业务平台向sm
‑
sr发送创建ssd请求；
81.具体地，该创建ssd请求中携带eid，eid为相关的euicc标识，同时，为了便于认证，还可以携带业务平台的证书。
82.步骤s02：sm
‑
sr对创建ssd请求进行合法性验证，并根据eid查询eis信息；
83.具体地，sm
‑
sr接收到业务平台发送的创建ssd请求后，提取eid，并根据eid查询该euicc的euicc卡信息集eis信息。其中，sm
‑
sr事先存储有所有euicc的eis，该eis包括一系列的euicc的信息，比如，euicc证书、euicc卡里当前激活profile的msisdn等等。sm
‑
sr可以根据该eis对该创建ssd请求进行合法性验证，比如，可以通过证书方式进行验证，也可以通过其他方式对该创建ssd请求进行合法性验证，比如其他商业约定，证书方式如pki证书验证等等。如验证不通过，sm
‑
sr向业务平台通知验证失败，流程结束。
84.步骤s03：sm
‑
sr向业务平台返回该euicc的证书及当前激活profile的msisdn；
85.具体地，如果验证通过，为了便于后续业务平台对euicc卡的认证，sm
‑
sr向业务平台返回该euicc的证书：cert.ecasd.ecka以及与该euicc对应的当前激活profile的msisdn，其中，euicc卡事先已激活msisdn号码对应的profile。如果验证不通过，则向业务平台返回错误码。其中，profile指的是euicc内部与某个mno(mobile network operator，移动网络运营商)相关的一系列文件、数据的统称。
86.步骤s04：sm
‑
sr向运营商平台发送创建ssd请求；
87.具体地，如果验证通过，sm
‑
sr根据查询的eis信息，向当前激活profile所归属的运营商平台发送当前激活profile的iccid以及创建ssd请求，该创建ssd请求中携带eid以及业务平台的证书。
88.步骤s05：运营商平台对创建ssd请求进行合法性验证，若验证通过，检查profile初始条件，并在满足后分配待创建ssd的应用标识aid；
89.具体地，运营商平台对创建ssd请求进行合法性验证，具体验证方式不做规定可任意，比如，可以通过证书方式进行验证，或进一步通过其他商业约定进行验证。若验证不通过，运营商平台向sm
‑
sr发送验证失败消息，流程结束。若验证通过，运营商平台提取业务平台证书中的业务平台公钥，并通过预先存储的profile信息来检查profile初始条件，如profile的空间条件，安全限制等等是否允许本次安装，并在满足后分配待创建ssd的aid，即应用标识。
90.步骤s06：运营商平台向mno
‑
sd发送创建ssd的命令；
91.具体地，运营商平台通过es6接口与mno
‑
sd建立安全通道，向mno
‑
sd发送创建ssd的命令，该创建ssd的命令携带aid。
92.步骤s07：mno
‑
sd创建ssd；
93.具体地，mno
‑
sd创建一个标识为该aid的ssd；
94.步骤s08：ssd向mno
‑
sd返回ssd创建成功消息；
95.步骤s09：mno
‑
sd通过es6接口向运营商平台返回ssd创建成功消息；
96.步骤s10：运营商平台产生并向mno
‑
sd发送ssd初始密钥；
97.步骤s11：mno
‑
sd向ssd发送初始密钥；
98.步骤s12：运营商平台更新profile信息，并用业务平台公钥加密ssd初始密钥；
99.具体地，由于安装了ssd，运营商平台更新自身内部相应存储的profile信息，并用业务平台公钥加密ssd初始密钥；
100.步骤s13：运营商平台向sm
‑
sr返回ssd创建响应；
101.具体地，运营商平台向sm
‑
sr返回ssd创建响应，包括ssd的aid及加密的ssd初始密钥，或错误码。
102.步骤s14：sm
‑
sr向业务平台返回ssd的aid及加密的ssd初始密钥，或错误码；
103.步骤s15：业务平台用自身的私钥解密得到ssd初始密钥；
104.具体地，业务平台收到加密的ssd初始密钥后，用自身的私钥解密得到ssd初始密钥。
105.步骤s16：业务平台用ssd初始密钥与ssd建立安全通道，并向ssd发送密钥更新命令；
106.具体地，业务平台用ssd初始密钥与ssd建立安全通道后，即可通过该安全通道在ssd内部部署应用。其中，为了通信过程中的安全，避免因密钥泄露所带来的风险，业务平台可以定期或接收到ssd初始密钥后更新ssd密钥。具体地，业务平台产生新的ssd密钥，用初始密钥或上一密钥与ssd建立安全通道，向ssd发送密钥更新命令，该密钥更新命令携带新的ssd密钥。
107.步骤s17：ssd收到密钥更新命令后，进行密钥更新；
108.步骤s18：密钥更新完毕，ssd向业务平台返回密钥更新响应，从而业务平台可以直接通过该新的安全密钥与ssd进行通信。
109.本发明提供的一种辅助安全域的创建方法，在提供统一的硬件平台和基本系统能力的基础之上，允许业务提供商为其所属应用申请一个或多个euicc卡片的安全域，业务提供商部署应用时可以设置应用所属安全域为euicc默认安全域或其自有安全域，通过本方案能够支持多业务提供商的应用以安全的方式同时并存，为实际应用中的动态应用管理提供安全保障。
110.实施例2：
111.参考图3，本实施例提供一种辅助安全域的创建方法，应用于运营商平台，所述方法包括：
112.步骤s202：接收sm
‑
sr转发的来自业务平台的创建ssd请求；
113.步骤s204：根据创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，以使mno
‑
sd接
收到创建ssd的命令后在euicc中创建ssd；
114.步骤s206：接收mno
‑
sd返回的ssd创建成功消息；
115.步骤s208：根据ssd创建成功消息为创建的ssd生成初始密钥；
116.步骤s210：向mno
‑
sd发送初始密钥，以使mno
‑
sd向创建的ssd转发初始密钥；
117.步骤s212：向sm
‑
sr返回携带有初始密钥的ssd创建响应，以使sm
‑
sr接收到初始密钥后，向业务平台发送初始密钥，并使业务平台用初始密钥与创建的ssd建立安全通道。
118.可选地，创建ssd请求携带euicc标识eid；根据创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，具体包括：
119.对接收到的创建ssd请求进行合法性验证；
120.若验证通过，则进一步根据eid对应的profile信息判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识；
121.向mno
‑
sd发送携带有应用标识的创建ssd的命令，以使mno
‑
sd接收到创建ssd的命令后在euicc中创建应用标识对应的ssd。
122.可选地，向mno
‑
sd发送携带有应用标识的创建ssd的命令，具体包括：
123.通过es6接口与mno
‑
sd建立安全通道；
124.使用安全通道向mno
‑
sd发送携带有应用标识的创建ssd的命令。
125.可选地，创建ssd请求还携带业务平台证书；根据ssd创建成功消息为创建的ssd生成初始密钥之后，方法还包括：
126.更新eid对应的profile信息；
127.从业务平台证书中提取业务平台公钥；
128.用业务平台公钥加密创建的ssd的初始密钥；
129.向sm
‑
sr返回携带有初始密钥的ssd创建响应，具体包括：
130.向sm
‑
sr返回携带有应用标识以及加密的初始密钥的ssd创建响应，以使sm
‑
sr接收到应用标识以及加密的初始密钥后，向业务平台发送应用标识以及加密的初始密钥，并使业务平台保存应用标识后，用自身的私钥对加密的初始密钥进行解密，以及用解密后的初始密钥与创建的ssd建立安全通道。
131.实施例3：
132.参考图4，本实施例提供一种辅助安全域的创建方法，应用于euicc，所述方法包括：
133.步骤s302：位于euicc的mno
‑
sd接收运营商平台发送的创建ssd的命令，创建ssd的命令是运营商平台接收到sm
‑
sr发送的创建ssd请求后发送的；
134.步骤s304：mno
‑
sd根据创建ssd的命令在euicc中创建ssd；
135.步骤s306：若接收到创建的ssd发送的ssd创建成功消息，mno
‑
sd向运营商平台返回ssd创建成功消息，以使运营商平台根据ssd创建成功消息为创建的ssd生成初始密钥，并向sm
‑
sr返回携带有初始密钥的ssd创建响应，并使sm
‑
sr接收到初始密钥后，向业务平台发送初始密钥；
136.步骤s308：mno
‑
sd接收运营商平台发送的初始密钥，并向创建的ssd发送初始密钥；
137.步骤s310：创建的ssd接收初始密钥，并使用初始密钥与业务平台建立安全通道。
138.可选地，创建的ssd使用初始密钥与业务平台建立安全通道之后，方法还可以包括：
139.创建的ssd接收业务平台通过安全通道发送的密钥更新命令，密钥更新命令携带业务平台生成的新的ssd密钥；
140.创建的ssd使用新的ssd密钥对初始密钥进行更新。
141.实施例4：
142.参考图5，本实施例提供一种辅助安全域的创建系统，包括：sm
‑
sr 41、运营商平台42和euicc 43；
143.所述sm
‑
sr 41用于执行实施例1的辅助安全域的创建方法；
144.所述运营商平台42用于执行实施例2的辅助安全域的创建方法；
145.所述euicc 43用于执行实施例3的辅助安全域的创建方法。
146.实施例2至实施例4提供的辅助安全域的创建方法及系统，基于标准的euicc体系架构，sm
‑
sr在接收到业务平台发送的创建ssd请求后，向运营商平台转发创建ssd请求，以使运营商平台根据创建ssd请求向euicc的mno
‑
sd发送创建ssd的命令，mno
‑
sd接收到创建ssd的命令后在euicc中创建ssd；ssd创建后，sm
‑
sr接收运营商平台返回的ssd创建响应，该ssd创建响应携带运营商平台为创建的ssd生成的初始密钥；sm
‑
sr将初始密钥发送给业务平台，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其自有安全域，即ssd内部署应用。本发明能够在现有统一的euicc硬件平台和基本系统能力的基础之上，允许业务提供商根据业务需求，实时为其所属应用申请一个或多个euicc卡片的辅助安全域，业务提供商部署应用时可以设置应用所属安全域为euicc默认安全域或其自有安全域，从而能够支持多业务提供商的应用以安全的方式同时并存，为实际应用中的动态应用管理提供安全保障。解决了相关技术中随着应用的增多，euicc卡无法支持多家业务提供商的应用以安全的方式同时并存的问题。
147.可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。