用于安全元件中心式nfc架构的nfc访问控制的系统和方法
【专利说明】
【背景技术】
[0001]随着诸如智能电话和平板之类的移动设备变得流行，用户越来越多地采用移动设备来发起和完成财务交易。例如，移动设备可采用近场通信(NFC)标准通过将移动设备与NFC使能设备触碰在一起或者使得它们足够邻近来建立与NFC使能设备的无线电通信，从而交换诸如交易数据和支付信息之类的数据。在一些情形中，移动设备可从无电源的NFC芯片(被称作NFC标签)(例如，从信用卡)获得信息。在一些实施例中，移动设备的应用处理器和NFC控制器之间的直接有线通信可增加移动设备经受硬件和/或软件攻击的易损性，该硬件和/或软件攻击可导致敏感信息在移动设备的用户不知道的情况下被第三方获得。
【附图说明】
[0002]详细描述是参考附图提出的。相同的标号用于指示类似或相等的组件或元件;然而，不同的标号也可被用于指示类似或相等的组件或元件。本公开的各种实施例可采用除了图示中所描绘的那些组件或元件之外的元件和/或组件，并且一些元件和/或组件可能不存在于各种实施例中。依据上下文，用于描述元件或者组件的类似术语可涵盖多种这样的元件或组件，并且反之亦然。
[0003]图1是根据本公开的一个或多个实施例，包括用于安全元件中心式架构的NFC访问控制的示例性系统架构的各种硬件和软件组件的框图。
[0004]图2A-2B是根据本公开的一个或多个实施例包括用于安全元件中心式架构的NFC访问控制的各种架构的示例性框图。
[0005]图3A是根据本公开的一个或多个实施例的NFC访问控制小型应用程序实现的示例性实施例。
[0006]图3B是根据本公开的一个或多个实施例的NFC访问控制原生实现的示例性实施例。
[0007]图3C是根据本公开的一个或多个实施例的NFC访问控制Java卡0S扩展实现的示例性实施例。
[0008]图4是根据本公开的一个或多个实施例，用于安全元件中心式架构的NFC访问控制的示例性方法的流程图。
【具体实施方式】
[0009]除了其他事物之外，本公开涉及使能安全元件中心式近场通信(NFC)架构以针对要求硬件和/或软件篡改保护的场景(如支付验收、数字身份、物理和逻辑访问控制等)提供软件和/或硬件篡改防护NFC子系统的系统、方法、计算机可读介质、技术和方法。在一些实施例中，安全元件被置于应用处理器和NFC控制器之间，消除应用处理器和NFC控制器之间的任何直接连接。通过消除应用处理器和NFC控制器之间的直接连接，由NFC控制器提供的NFC接口与应用处理器以及可由应用处理器运行的任何软件(例如，移动设备的操作系统)物理隔离。应用处理器和NFC控制器之间的所有NFC流量可被路由通过安全元件。
[0010]在一些实施例中，安全元件可包括NFC访问控制管理器，其可以是小型应用程序(applet)、原生应用程序、或Java卡操作系统扩展。NFC访问控制管理器可分析NFC流量并确定哪些交易被允许由应用处理器所执行的主机操作系统服务并且哪些交易是特许的并且必须由在安全元件内运行的受信任应用程序进行服务。在一些实施例中，安全元件中的访问控制管理器可对由安全元件接收到的NFC流量进行过滤以分离交易类型并强制施行访问控制策略。访问控制策略可由受信任服务管理器生成并加密，该受信任服务管理器然后可将它们发送给移动设备。应用处理器可接收访问控制策略并将它们发送至安全元件。访问控制策略可由访问控制管理器使用安全密钥进行解密并且访问控制策略可被应用于接收到的NFC流量以识别特许的流量和正常的流量。特许的流量可由安全元件处理，而正常的流量可由应用处理器所运行的主机操作系统处理。
[0011]安全元件可以是嵌入式安全元件、通用集成电路卡(UICC)、安全数字(SD)卡等等的形式。在一些实施例中，安全元件可以是经评估保证级别(EAL)4+认证的篡改防护设备。
[0012]在安全元件内实现的访问控制管理器可分析NFC请求(例如，从应用处理器接收的NFC控制器接口请求)并对NFC请求应用一个或多个访问控制策略。访问控制策略可将NFC交易的类型映射至访问级别。依据访问级别，访问控制管理器可至少部分地基于与交易发起者相关联的访问级别来允许或拒绝交易。
[0013]上文已经讨论了各种示例性实施例。本公开的这些和其他示例实施例将在后面参考附图来进行更详细的描述。图示和相应描述仅被提供用于描述性目的而并不意图以任何方式限制本公开。应当认识到，众多的其他实施例、变更等等在本公开的范围之内。
[0014]示例性系统架构
[0015]图1是根据本公开的一个或多个实施例，包括用于安全元件中心式架构的NFC访问控制的示例性系统架构的各种硬件和软件组件的框图。尽管本公开是在基于近场通信和/或NFC的交易的上下文中进行描述的，这里所述的硬件、系统和方法可同等应用于其他无线交易协议，例如Bluetooth?等等。示例性系统架构100可包括可由一个或多个用户操作的一个或多个移动设备102、一个或多个受信任服务管理器(TSM)104、一个或多个NFC使能设备108、和/或一个或多个数据库106。(一个或多个)移动设备102可包括任何适合的处理器驱动的移动计算设备，包括但不限于:膝上型计算设备、智能电话、平板等等。为了便于解释，(一个或多个)移动设备102在这里以单数形式进行描述，然而应当认识到可提供多个移动设备102。(一个或多个)TSM 104可包括任何适合的处理器驱动的移动计算设备，包括但不限于:台式计算设备、膝上型计算设备、服务器、智能电话、平板等等。为了便于解释，(一个或多个)TSM 104在这里以单数形式进行描述，然而应当认识到可提供多个TSM 104。
[0016]移动设备102、(一个或多个)TSM 104、(一个或多个)NFC使能设备108、和/或(一个或多个)数据库106中的任一者可被配置为经由一个或多个网络110彼此通信以及与系统架构100的任何其他组件通信。(一个或多个)网络110可包括但不限于:不同类型的适合通信网络(例如，有线网络、公共网络(例如，互联网)、私有网络、无线网络、蜂窝网络、或者任何其他适合的私有和/或公共网络)中的任何一者或组合。另外，(一个或多个)网络110可具有与其相关联的任何适合通信范围并且例如可包括:全球网络(例如，互联网)、城域网(MAN)、广域网(WAN)、局域网(LAN)、或个域网(PAN)。此外，(一个或多个)网络110可包括可通过其载送网络流量的任何类型的介质，包括但不限于:同轴线缆、双绞线、光纤、混合光纤(HFC)介质、微波陆基收发器、无线电频率通信介质、卫星通信介质、或它们的任何组合。
[0017](一个或多个)移动设备102可包括一个或多个处理器132以及一个或多个存储器136(这里被统称为存储器136)。(一个或多个)处理器132可包括能够接受数字数据作为输入、基于存储的计算机可执行指令处理输入数据以及生成输出数据的任何适合处理单元。计算机可执行指令例如可被存储在数据存储设备134中并且可包括(除了其他事物之外)操作系统软件和应用程序软件。计算机可执行指令可从数据存储设备134中取回并按照执行的需要被加载至存储器136中。(一个或多个)处理器132可被配置为执行计算机可执行指令以使得各种操作被执行。(一个或多个)处理器132可包括任何类型的处理器单元，包括但不限于:中央处理单元、微处理器、微控制器、精简指令集计算机(RISC)微处理器、复杂指令集计算机(CISC)微处理器、专用集成电路(ASIC)、片上系统(SoC)、现场可编程门阵列(FPGA)等等。
[0018]数据存储设备134可存储可由(一个或多个)处理器132加载和执行的程序指令以及由(一个或多个)处理器132在程序指令的运行期间操纵和生成的数据。程序指令可按照执行的需要被加载到存储器136中。依据(一个或多个)移动设备102的配置和实现方式，存储器136可以是诸如随机存取存储器(RAM)之类的易失性存储器(被配置为在不供电时不保留所存储的信息的存储器)和/或诸如只读存储器(R0M)、闪存等等非易失性存储器(被配置为即使在不供电时也保留所存储的信息的存储器)。在各种实现方式中，存储器136可包括许多不同类型的存储器，例如各种形式的静态随机存取存储器(SRAM)、各种形式的动态随机存取存储器(DRAM)、不可更改R0M、和/或ROM的可写入变体(例如，电可擦写可编程只读存储器(EEPR0M))、闪存等等。
[0019](—个或多个)移动设备102还可包括诸如可移除的存储设备和/或不可移除的存储设备之类的附加数据存储设备134，包括但不限于:磁性存储设备、光盘存储设备、和/或磁带存储设备。数据存储设备134可提供计算机可执行指令和其他数据的非易失性存储。存储器136和/或数据存储设备134(可移除和/或不可移除的)是计算机可读存储介质(CRSM)的示例。
[0020](一个或多个)移动设备102还可包括(一个或多个)网络接口140，其辅助(一个或多个)移动设备102与示例性系统架构100中的其他设备(例如，(一个或多个)TSM 104、(一个或多个)数据库106等等)或应用程序软件经由(一个或多个)网络110的通信。(一个或多个)网络接口 140可包括一个或多个天线172和一个或多个无线电装置170，其可包括用于通过上面所述的各种类型的网络110发送和/或接收无线信号的硬件和软件。(一个或多个)网络接口 140可包括使得移动设备102能够接收和/或发送无线信号到(一个或多个)NFC使能设备108和/或(一个或多个)受信任服务管理器104的一个或多个无线电装置170和天线172。移动设备102还可包括可接收和发送无线电频率信号的无线电收发器(未示出)。收发器(或者接收器和/或发送器)可被耦合到一个或多个天线(例如，与移动设备102相关联的天线172)。
[0021](—个或多个)移动设备102可以可选地包括一个或多个输入/输出(I/O)接口138(以及可选地，诸如设备驱动器之类的相关联的软件组件)，该一个或多个I/O接口可支持用户和多种I/O设备(例如，键盘、鼠标、笔、指向设备、语音输入设备、触摸输入设备、显示器、扬声器、相机、麦克风、打印机等等)之间的交互。
[0022]再次参考数据存储设备134，各种程序模块、应用程序等等可被存储在其中，这可包括当被(一个或多个)处理器132执行时使得各种操作被执行的计算机可执行指令。存储器136可能已经从数据存储设备134加载了一个或多个操作系统(0/S)142，该一个或多个操作系统142可提供在移动设备142上运行的各种其他应用程序软件(例如，专用应用程序、浏览器应用程序、基于web的应用程序、分布式客户端-服务器应用程序等等)与移动设备102的硬件资源的接口连接。更具体地，0/S 142可包括用于管理(一个或多个)移动设备102的硬件资源并且用于向其他应用程序提供通用服务(例如，管理各种应用程序间的存储器分配)的一组计算机可执行指令。0/S 142可包括现在已知或者可在将来被研发出来的任何操作系统，包括但不限于:任何移动操作系统、台式或膝上型操作系统、大型机操作系统、或者任何其他专属或开源操作系统。
[0023]数据存储设备134还可包括一个或多个数据库管理