专利名称：一种智能卡从安全域密钥更新分发方法、系统及移动终端的制作方法
技术领域：
本发明涉及基于NFC (Near Field Communication,近场通信技术)的移动终端电子支付技术，特别地，涉及一种智能卡从安全域密钥更新分发方法、系统及移动终端。
背景技术：
近场通信技术(Near Field Communicaf ion， NFC)是工作于13. 56MHz的一种近距离无线通信技术，由RFID技术及互连技术融合演变而来。手机等移动通信终端集成NFC技术后，可以模拟非接触式IC卡，用于电子支付的有关应用。移动通信终端上实现该方案需要在终端上增加NFC模拟前端芯片和NFC天线，并使用支持电子支付的智能卡。
IC卡特别是非接触式IC卡经过十多年的发展，已经被广泛应用于公交、门禁、小额电子支付等领域。与此同时，手机经历20多年的迅速发展，在居民中基本得到普及，给人们的工作及生活带来很大的便利。手机的功能越来越强大，并存在集成更多功能的趋势。
将手机和非接触式ic卡技术结合，手机应用于电子支付领域，会进一步扩大手机的使用范
围，给人们的生活带来便捷，存在着广阔的应用前景。 为实现基于NFC技术的移动电子支付，需要建立移动终端电子支付系统，通过该系统实现对基于NFC的移动终端电子支付的管理，包括智能卡的发行，电子支付应用的下载、安装和个人化，采用相关技术和管理策略实现电子支付应用的安全等。
基于NFC技术的移动终端电子支付系统的业务框架通常采用GlobalPlatform(全球平台)规范的多应用框架，在该框架下，支持Global Platform规范的智能卡指的是符合Global Platform Card Specification V2. 1. 1/V2. 2 (全球平台卡规范版本2. 1. 1/2. 2，GP2. 1. 1或GP2. 2)规范的IC芯片或智能卡，从物理形式上可以为SM/USIM卡，即客户识别模±央(Subscriber Identity Model)/通用移动通信系统客户识别模i央(UMTS SubscriberIdentity Module UMTS)，可插拔的智能存储卡或者集成在移动终端上的IC芯片。
如果基于近场通信(NFC)技术的移动终端电子支付系统支持GP2. 1. 1规范，安全通道协议需要支持SCP02 (基于对称密钥)，如果基于近场通信技术的移动终端电子支付系统支持GP2. 2规范，安全通道协议需要支持SCP02 (基于对称密钥)和SCP10 (基于非对称密钥)，卡片发行商、应用提供商可以根据安全策略需求进行选择。 —般情况下，基于NFC的移动终端近距离电子支付系统主要由卡片发行商管理平台、应用提供商管理平台和支持具有电子支付应用功能智能卡的移动终端组成，该系统中可以存在多个应用提供商管理平台。 在支持Global Platform规范的智能卡上可以安装多个应用，为了实现电子支付应用的安全，智能卡被分隔为若干个独立的安全域，以保证多个应用相互之间的隔离以及独立性，各个应用提供商管理各自的安全域以及应用、应用数据等。 安全域是卡外实体包括卡发行商和应用提供商在卡上的代表，它们包含用于支持安全通道协议运作以及智能卡内容管理的密钥。安全域包括主安全域和从安全域等。主安全域是卡发行商在智能卡上的强制的卡上代表。从安全域是卡发行商或应用提供商在智能卡上的附加的可选卡上代表。 安全域的密钥生成、分发与更新由管理该安全域的卡发行商或应用提供商负责，这保证了来自不同应用提供者的应用和数据可以共存于同一个卡上。安全域的密钥包括主安全域密钥、从安全域初始密钥和从安全域密钥。主安全域密钥和从安全域初始密钥由卡发行商管理平台生成，从安全域密钥由管理从安全域的卡发行商管理平台或应用提供商管理平台生成。 在将电子支付应用下载并安装到智能卡之前，需要在智能卡上为该应用先创建从安全域。智能卡从安全域的创建是由卡发行商管理平台完成的。在智能卡发行后，创建智能卡从安全域时，从安全域初始密钥必须由卡发行商管理平台通过安全途径导入到智能卡上的从安全域。 从安全域创建完成后，在下载电子支付应用时，需要将从安全域初始密钥更新为电子支付应用使用的密钥，即更新为电子支付应用使用的从安全域密钥。电子支付应用所使用的从安全域密钥具有一定的生命周期时，必须在从安全域密钥生命周期结束之前完成从安全域密钥的更新。另外，也可能由于安全原因需要强制更新电子支付应用使用的从安全域密钥。从安全域密钥作为机密数据，在密钥更新过程中需要采取可靠及安全的方法将有关密钥导入到智能卡从安全域，以实现从安全域密钥的安全更新分发。
电子支付应用所使用的从安全域密钥的更新分发过程与系统网络架构的具体实现方式有关。为了实现智能卡的安全性管理和电子支付应用的下载、安装等，智能卡需要和卡发行商管理平台以及应用提供商管理平台建立通信。智能卡可以通过业务终端和管理平台建立通信。业务终端是可以对智能卡进行读写的设备，如与计算机相连的POS机等。在使用业务终端的情况下，针对对称密钥的情况，如何实现智能卡从安全域密钥的安全更新分发，是移动终端电子支付需要解决的一个问题。
发明内容
本发明要解决的技术问题是提供一种智能卡从安全域密钥更新分发方法、系统及移动终端，以对智能卡从安全域进行安全的密钥更新和分发。 为了解决上述技术问题，本发明提供了一种移动终端电子支付系统，该系统包括具有电子支付应用功能的智能卡、业务终端及管理平台，其中，
所述智能卡，用于通过业务终端与所述管理平台进行通信； 所述管理平台，用于通过所述业务终端向所述智能卡分发智能卡从安全域密钥。
进一步的，上述系统还可具有以下特点，所述管理平台，还用于与所述智能卡建立安全通信信道，进行互认证及建立临时会话密钥，以及生成新的从安全域密钥；
所述业务终端，用于传输智能卡与管理平台的通讯数据； 所述智能卡，还用于与所述业务终端建立连接，以及与所述管理平台进行互认证，以及接收所述管理平台分发的从安全域密钥，更新从安全域密钥，所述互认证过程及从安全域密钥分发均通过所述业务终端实现； 所述管理平台和业务终端分别为卡发行商管理平台和卡发行商业务终端，或者为应用提供商管理平台和业务提供商业务终端。 进一步的，上述系统还可具有以下特点，所述智能卡为一独立设备或安装在移动终端上。 进一步的，上述系统还可具有以下特点，所述管理平台还用于在智能卡从安全域
密钥到期或需要强制更新或用户下载应用时，进行智能卡从安全域密钥分发。 本发明还提出一种智能卡从安全域密钥更新分发方法，该方法基于移动终端电子
支付系统实现，该系统包括具有电子支付应用功能的智能卡、业务终端及管理平台，所述智
能卡通过所述业务终端与所述管理平台进行通信，所述管理平台通过所述业务终端将从安
全域密钥分发给所述智能卡。 进一步的，上述方法还可具有以下特点，该方法包括 (a)所述管理平台与所述智能卡之间建立安全通信信道，所述安全通信信道是通过所述业务终端在所述管理平台与所述智能卡之间建立的；
(b)所述管理平台生成新的从安全域密钥； (c)所述管理平台将所述新的从安全域密钥通过所述安全通信信道分发给所述智能卡； (d)所述智能卡完成从安全域密钥更新。 进一步的，上述方法还可具有以下特点，步骤(a)中建立安全通信信道的过程包括 (al)所述管理平台与智能卡从安全域进行互认证，所述互认证过程是由管理平台
启动，经所述业务终端在所述管理平台与所述智能卡从安全域之间完成； (a2)所述管理平台与所述智能卡从安全域之间建立临时会话密钥，从而建立安全
通信信道。 进一步的，上述方法还可具有以下特点，当智能卡从安全域密钥到期或需要强制更新或者用户下载应用时，由所述管理平台发起智能卡从安全域密钥更新分发流程。
进一步的，上述方法还可具有以下特点，所述管理平台和业务终端分别指卡发行商管理平台和卡发行商业务终端，或者指应用提供商管理平台和应用提供商业务终端，所述管理平台指应用提供商管理平台时，所述步骤(a)之前还包括卡发行商管理平台在智能卡上创建从安全域及生成从安全域初始密钥；所述卡发行商管理平台将创建的从安全域的基本信息和初始密钥发送给所述应用提供商管理平台。 本发明还提出一种移动终端，所述移动终端包括具有电子支付应用功能的智能卡，所述智能卡从安全域的密钥由应用提供商管理平台通过应用提供商业务终端分发，或者由卡发行商管理平台通过卡发行商业务终端分发。 本发明提出的智能卡从安全域密钥更新方法、系统及移动终端，可以解决在发卡后，针对对称密钥的情况，在用户下载更新或者由于安全原因需要强制更新或者由于从安全域密钥到期需要更新时，生成新的从安全域密钥，并通过安全通信通道将该新的从安全域密钥发送给智能卡从安全域，以更新从安全域密钥。
图1是本发明基于近场通信技术的移动终端电子支付系统架构示意图； 图2是针对卡发行商管理的从安全域，本发明基于卡发行商业务终端的从安全域
初始密钥更新分发流程示意 图3是针对应用提供商管理的从安全域，本发明基于应用提供商业务终端的从安全域初始密钥更新分发流程示意图； 图4是本发明针对卡发行商管理的从安全域，由于密钥到期或强制更新引起的基于卡发行商业务终端的从安全域密钥更新分发流程示意图； 图5是本发明针对应用提供商管理的从安全域，由于密钥到期或强制更新引起的基于应用提供商业务终端的从安全域密钥更新分发流程示意图。
具体实施例方式
为使本发明的目的，技术方案及优点更加清楚明白，以下参照附图并举较佳实例，对本发明进一步详细说明。 本发明基于图1所示的移动终端电子支付系统架构为例进行描述，但不限于图1所示移动终端电子支付系统架构。 图i示出了本发明移动终端电子支付系统，包括应用提供商管理平台、卡发行商管理平台、应用提供商业务终端、卡发行商业务终端、移动终端和智能卡，智能卡安装在移动终端上，该系统也可以不包含移动终端，此时智能卡为一独立设备。应用提供商管理平台和卡发行商管理平台统称为管理平台，应用提供商业务终端和卡发行商业务终端统称为业务终端。所述智能卡支持Global Platform Card Specification V2. 1. 1/V2. 2规范；具有
电子支付应用功能的智能卡可以直接通过卡发行商业务终端和应用提供商业务终端分别
与卡发行商管理平台或应用提供商管理平台连接。当具有电子支付应用功能的智能卡安装
在移动终端上时，移动终端可以通过卡发行商业务终端或应用提供商业务终端分别与卡发
行商管理平台和应用提供商管理平台连接，用于与管理智能卡从安全域的管理平台进行互
认证，以及接收所述管理平台分发的从安全域密钥，更新从安全域密钥，所述互认证过程及
从安全域密钥分发均通过所述应用提供商业务终端或卡发行商业务终端实现。 卡发行商业务终端，由卡发行商管理平台管理，智能卡通过移动终端及卡发行商
业务终端或直接通过卡发行商业务终端与卡发行商管理平台通信； 应用提供商业务终端，由应用提供商管理平台管理，智能卡通过移动终端及应用
提供商业务终端或直接通过应用提供商业务终端与应用提供商管理平台通信； 卡发行商管理平台，负责智能卡的发行和管理，对智能卡的资源和生命周期、密
钥、证书进行管理，负责从安全域的创建，并与其他安全域交互应用数据，其中包括创建从
安全域，与所述智能卡进行互认证及建立临时会话密钥，以及生成从安全域初始密钥和新
的从安全域密钥。就具体实现而言，卡发行商管理平台可以包括卡片管理系统、应用管理系
统、密钥管理系统、证书管理系统、应用提供商管理系统等，其中证书管理系统在支持非对
称密钥的情况下使用，证书管理系统和卡片发行商认证机构(CA)系统连接； 应用提供商管理平台，负责电子支付应用的提供和管理功能，提供各种业务应用，
并对智能卡上与其对应的从安全域进行安全管理，对所述从安全域的应用密钥、证书、数据
等进行控制，提供应用的安全下载、安装等功能。其中包括与所述智能卡进行互认证及建立
临时会话密钥，以及生成新的从安全域密钥。就具体实现而言，应用提供商管理平台可以包
括应用管理系统、密钥管理系统、证书管理系统，其中证书管理系统在支持非对称密钥的情况下使用，证书管理系统和应用提供商认证机构(CA)系统连接。 卡发行商管理平台和应用提供商管理平台可以通过各自的业务终端提供电子支 付有关服务参与处理电子支付用户信息管理，参与从安全域的创建和密钥分发、电子支付 应用的下载、以及电子支付应用的个人化等。应用提供商管理平台和卡发行商管理平台之 间可以通过安全信道(如专线连接)进行通信。
以下结合图1所示的移动终端电子支付系统架构为例进行描述，但不限于图1所 示移动终端电子支付系统架构，对本发明智能卡从安全域密钥更新分发方法进行说明
从安全域的密钥更新主要涉及两种 —、用户下载电子支付应用时，需要将与该电子支付应用关联的智能卡从安全域 的初始密钥更新为从安全域密钥。 步骤sl，卡发行商管理平台创建智能卡从安全域。 卡发行商管理平台可以根据与应用下载有关的申请信息在智能卡上创建从安全 域，与应用下载有关的申请信息可以包含智能卡ICCID信息、应用标识及应用提供商身份 信息等。该申请信息由用户通过卡发行商业务终端发送给卡发行商管理平台，或者由用户 通过应用提供商业务终端发送给应用提供商管理平台，应用提供商管理平台再发送给卡发 行商管理平台，或者由应用提供商管理平台根据所述申请信息向卡发行商管理平台提交从 安全域创建请求。 步骤s2，根据该智能卡从安全域的管理平台不同采取不同的初始密钥更新方法。
智能卡从安全域创建完成后，如果从安全域由应用提供商管理平台进行管理，卡 发行商管理平台将从安全域基本信息(该从安全域基本信息中包括智能卡从安全域标识 信息)和初始密钥发送给应用提供商管理平台，从而将从安全域的控制权转交给管理从安 全域的应用提供商管理平台，然后应用提供商管理平台更新从安全域的初始密钥；
如果智能卡从安全域由卡发行商管理平台进行管理，由卡发行商管理平台针对具 体下载的电子支付应用更新从安全域的初始密钥。
进行更新时，包含如下步骤 步骤s201，管理该从安全域的卡发行商管理平台或应用提供商管理平台根据智能 卡从安全域初始密钥等信息，启动卡发行商管理平台或应用提供商管理平台与智能卡从安 全域的互认证并建立安全通信信道。针对卡发行商管理平台管理的智能卡从安全域，所述 互认证过程经由所述卡发行商业务终端在所述卡发行商管理平台和所述智能卡之间完成。 针对应用提供商管理平台管理的智能卡从安全域，所述互认证过程经由所述应用提供商业 务终端在所述应用提供商管理平台和所述智能卡之间完成。完成互认证后，所述卡发行商 管理平台或所述应用提供商管理平台与所述智能卡从安全域之间建立临时会话密钥，该临 时会话密钥可以遵循Global Platform Card Specif icationV2. 1. 1/V2. 2规范建立，也可 以通过其它方法建立；该临时会话密钥用于卡发行商管理平台或应用提供商管理平台和智 能卡从安全域之间的通信加密。 步骤s202，所述卡发行商管理平台或所述应用提供商管理平台生成新的从安全域 密钥，通过所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡之间建立的安 全通信信道，将卡发行商管理平台或应用提供商管理平台生成的新的从安全域密钥经由卡 发行商业务终端或应用提供商业务终端导入到所述智能卡从安全域，完成从安全域密钥的安全更新分发。 二、由于密钥到期或强制更新进行的从安全域密钥更新分发 当与智能卡从安全域关联的电子支付应用当前使用的从安全域密钥具有一指定
生命周期时，必须由管理该智能卡从安全域的卡发行商管理平台或应用提供商管理平台在
当前使用的从安全域密钥的生命周期结束之前对该当前使用的从安全域密钥进行更新； 当由于安全原因需要更新智能卡从安全域关联的电子支付应用当前使用的从安
全域密钥时，可以由管理该智能卡从安全域的卡发行商管理平台或应用提供商管理平台对
该当前使用的从安全域密钥进行强制更新。 具体更新方法包含 当从安全域密钥到期或由于安全原因强制更新从安全域密钥时，根据当前正在使 用的从安全域密钥，启动卡发行商管理平台或应用提供商管理平台与智能卡从安全域的互 认证并建立安全通信信道。针对卡发行商管理的从安全域，所述互认证过程经由卡发行商 业务终端在所述卡发行商管理平台和所述智能卡之间完成。针对应用提供商管理的从安全 域，所述互认证过程可以经由所述应用提供商业务终端在所述应用提供商管理平台和所述 智能卡之间完成。 完成互认证后，所述卡发行商管理平台或所述应用提供商管理平台与所述智
能卡从安全域之间建立临时会话密钥，该临时会话密钥可以遵循GlobalPlatform Card
Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方法建立。该临时会话密钥用于卡
发行商管理平台或应用提供商管理平台和智能卡从安全域之间的通信加密。 所述卡发行商管理平台或所述应用提供商管理平台生成新的从安全域密钥，通过
所述卡发行商管理平台或所述应用提供商管理平台与所述智能卡之间建立的安全通信信
道，将卡发行商管理平台或应用提供商管理平台生成的新的从安全域密钥经由所述卡发行
商业务终端或应用提供商业务终端导入到所述智能卡从安全域，完成从安全域密钥的安全
更新分发。 下面通过实例进一步说明本发明智能卡从安全域密钥更新方法，其中，图2，图3 涉及从安全域初始密钥的更新分发，图4，图5涉及因为密钥到期或者强制更新引起的从安 全域密钥的更新分发。 图2是根据本发明的，针对卡发行商管理的从安全域的基于卡发行商业务终端的 从安全域初始密钥更新分发流程示意图。如图2所示，针对卡发行商管理的基于卡发行商 业务终端的从安全域初始密钥更新分发流程步骤包括 步骤201 :卡发行商管理平台根据从安全域初始密钥，经由卡发行商业务端向智 能卡发送SELECT命令报文，选择从安全域； 步骤202 :智能卡经由卡发行商业务终端向卡发行商管理平台提交SELECT命令响 应报文； 步骤203 :卡发行商管理平台经由卡发行商业务终端与智能卡从安全域建立安全 通信信道，比如建立SCP02安全信道； 建立安全通信信道的方法为卡发行商管理平台与智能卡从安全域之间进行互认 证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以 遵循Global Platform Card Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方法建立；所述互认证过程经由卡发行商业务终端在所述卡发行商管理平台和所述智能卡从安 全域之间完成。
步骤204 :卡发行商管理平台生成新的从安全域密钥； 步骤205 :卡发行商管理平台通过PUTKEY命令，经由卡发行商业务终端向智能卡 从安全域发送新的从安全域密钥； 步骤206 :智能卡从安全域接收到新的从安全域密钥后，完成对从安全域初始密 钥的更新操作； 步骤207 :智能卡从安全域经由卡发行商业务终端向卡发行商管理平台发送 PUTKEY命令响应，结束对从安全域初始密钥的更新过程。 上述步骤201之前，还包含卡发行商管理平台根据用户应用下载申请建立智能卡
从安全域，并下发智能卡从安全域初始密钥给从智能卡从安全域的步骤。 图3是根据本发明的，针对应用提供商管理的从安全域的基于应用提供商业务终
端的从安全域初始密钥更新分发流程示意图。如图3所示，针对应用提供商管理的从安全
域的基于应用提供商业务终端的从安全域初始密钥更新分发流程步骤包括 步骤301 :用户通过应用提供商业务终端客户端程序或卡片程序触发应用下载
申请，并向应用提供商管理平台提交应用下载申请，应用下载申请包含智能卡标识信息 (ICCID)等； 步骤302 :应用提供商管理平台向卡发行商管理平台提交从安全域创建请求信 息，在请求报文中包括应用提供商身份信息(ASP-ID)和智能卡标识信息(ICCID)等；
步骤303 :卡发行商管理平台验证该从安全域创建请求信息，并确定是否允许该 请求。卡发行商管理平台判断是否通过应用提供商管理平台创建从安全域。
如果卡发行商管理平台根据该创建请求信息中的智能卡标识信息和应用提供商 身份等判断不需要创建从安全域，则终止从安全域创建过程，否则，继续执行后续步骤；
步骤304 :卡发行商管理平台经由应用提供商管理平台、应用提供商业务终端向 智能卡发送SELECT命令报文，选择主安全域； 步骤305 :智能卡经由应用提供商业务终端和应用提供商管理平台向卡发行商管 理平台提交SELECT命令响应报文； 步骤306 :卡发行商管理平台与智能卡主安全域经由应用提供商管理平台和应用 提供商业务终端建立安全通信信道，如建立SCP02安全信道； 建立安全通信信道的方法为卡发行商管理平台与智能卡主安全域之间进行互认 证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以 遵循Global Platform Card Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方法 建立；所述互认证过程经由应用提供商管理平台、应用提供商业务终端在所述卡发行商管 理平台和所述智能卡从安全域之间完成。 步骤307 :卡发行商管理平台经由应用提供商管理平台和应用提供商业务终端向 智能卡发送INSTALL命令； 步骤308 :智能卡经由应用提供商业务终端和应用提供商管理平台向卡发行商管 理平台提交INSTALL命令响应； 步骤309 :卡发行商管理平台生成从安全域初始密钥；
步骤310 :卡发行商管理平台通过PUTKEY命令，经由应用提供商管理平台和应用 提供商业务终端向智能卡主安全域发送从安全域初始密钥； 步骤311 :智能卡主安全域接收到从安全域初始密钥后，用接收到的从安全域初 始密钥初始化从安全域； 步骤312 :智能卡主安全域经由应用提供商业务终端和应用提供商管理平台向卡 发行商管理平台发送PUTKEY命令响应； 步骤313 :卡发行商管理平台向应用提供商管理平台返回从安全域基本信息及从 安全域初始密钥； 其中，该从安全域基本信息中包括智能卡从安全域标识信息。
步骤314 :应用提供商管理平台在数据库中添加从安全域相关信息； 步骤315 :应用提供商管理平台经由应用提供商业务终端向智能卡发送SELECT命
令报文，选择从安全域； 步骤316 :智能卡经由应用提供商业务终端向应用提供商密钥管理系统提交 SELECT命令响应； 步骤317 :应用提供商管理平台经由应用提供商业务终端与智能卡从安全域建立 安全通信信道，如建立SCP02安全信道； 建立安全通信信道的方法为应用提供商管理平台与智能卡从安全域之间进行互
认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可
以遵循Global Platform Card Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方 法建立；所述互认证过程经由应用提供商业务终端在所述应用提供商管理平台和所述智能 卡从安全域之间完成。
步骤318 :应用提供商管理平台生成新的从安全域密钥； 步骤319 :应用提供商管理平台通过PUTKEY命令，经由应用提供商业务终端向智 能卡从安全域发送新的从安全域密钥； 步骤320 :智能卡从安全域接收到新的从安全域密钥后，完成对从安全域初始密 钥的更新操作； 步骤321 :智能卡从安全域经由应用提供商业务终端向应用提供商管理平台发送 PUTKEY命令响应，结束从安全域密钥分发过程。 图4是根据本发明的，针对卡发行商管理的从安全域，由于密钥到期或强制更新 引起的基于卡发行商业务终端的从安全域密钥更新分发流程示意图。如图4所示，针对卡 发行商管理的从安全域，由于密钥到期或强制更新引起的基于卡发行商业务终端的从安全 域密钥更新分发流程步骤包括 步骤401、卡发行商管理平台经由卡发行商业务终端向智能卡发送SELECT命令报 文，选择从安全域； 步骤402、智能卡经由卡发行商业务终端向卡发行商管理平台提交SELECT命令响 应； 步骤403、卡发行商管理平台经由卡发行商业务终端与智能卡从安全域建立安全 通信信道，如建立SCP02安全信道； 建立安全通信信道的方法为卡发行商管理平台与智能卡从安全域之间进行互认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可以 遵循Global Platform Card Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方法 建立；所述互认证过程经由卡发行商业务终端在所述卡发行商管理平台和所述智能卡从安 全域之间完成。 步骤404、卡发行商管理平台生成新的从安全域密钥； 步骤405、卡发行商管理平台通过PUTKEY命令，经由卡发行商业务终端向智能卡 从安全域发送新的从安全域密钥； 步骤406、智能卡从安全域接收到新从安全域密钥后，完成智能卡从安全域密钥的 更新操作； 步骤407、智能卡从安全域经由卡发行商业务终端向卡发行商管理平台发送 PUTKEY命令响应，结束从安全域密钥更新过程。 图5是根据本发明的，针对应用提供商管理的从安全域，由于密钥到期或强制更 新引起的基于应用提供商业务终端的从安全域密钥更新分发流程示意图。如图5所示，针 对应用提供商管理的从安全域，由于密钥到期或强制更新引起的基于应用提供商业务终端 的从安全域密钥更新分发流程步骤包括 步骤501、应用提供商管理平台经由应用提供商业务终端向智能卡发送SELECT命 令报文，选择从安全域； 步骤502、智能卡经由应用提供商业务终端向应用提供商管理平台提交SELECT命 令响应； 步骤503、应用提供商管理平台经由应用提供商业务终端与智能卡从安全域建立 SCP02安全信道； 建立安全通信信道的方法为应用提供商管理平台与智能卡从安全域之间进行互 认证，进行互认证后，建立起临时会话密钥，用于两者之间的通信加密，该临时会话密钥可 以遵循Global Platform Card Specification V2. 1. 1/V2. 2规范建立，也可以通过其它方 法建立；所述互认证过程经由应用提供商业务终端在所述应用提供商管理平台和所述智能 卡从安全域之间完成。 步骤504、应用提供商管理平台生成新的从安全域密钥； 步骤505、应用提供商管理平台通过PUTKEY命令，命令中携带新的从安全域密钥， 经由应用提供商业务终端向智能卡从安全域发送新的从安全域密钥； 步骤506、智能卡从安全域接收到新从安全域密钥后，完成从安全域密钥的更新操 作； 步骤507、智能卡从安全域经由应用提供商业务终端向应用提供商管理平台发送 PUTKEY命令响应，结束从安全域密钥更新过程。 本发明智能卡从安全域密钥更新方法、系统及移动终端，可以解决针对对称密钥 的情况，由卡发行商管理平台经卡发行商业务终端，或应用提供商管理平台经应用提供商 业务终端将从安全域密钥安全导入智能卡从安全域，实现智能卡从安全域密钥的安全更新 分发。 本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本 领域的技术人员当可根据本发明做出各种相应的改变和变形，这些相应的改变和变形都应属于本发明所附的权利要求的保护范围'
权利要求
一种移动终端电子支付系统，其特征在于，该系统包括具有电子支付应用功能的智能卡、业务终端及管理平台，其中，所述智能卡，用于通过业务终端与所述管理平台进行通信；所述管理平台，用于通过所述业务终端向所述智能卡分发智能卡从安全域密钥。
2. 如权利要求l所述的系统，其特征在于所述管理平台，还用于与所述智能卡建立安全通信信道，进行互认证及建立临时会话 密钥，以及生成新的从安全域密钥；所述业务终端，用于传输智能卡与管理平台的通讯数据；所述智能卡，还用于与所述业务终端建立连接，以及与所述管理平台进行互认证，以及 接收所述管理平台分发的从安全域密钥，更新从安全域密钥，所述互认证过程及从安全域 密钥分发均通过所述业务终端实现；所述管理平台和业务终端分别为卡发行商管理平台和卡发行商业务终端，或者为应用 提供商管理平台和业务提供商业务终端。
3. 如权利要求1或2所述的系统，其特征在于，所述智能卡为一独立设备或安装在移动 终端上。
4. 如权利要求1或2所述的系统，其特征在于，所述管理平台还用于在智能卡从安全域 密钥到期或需要强制更新或用户下载应用时，进行智能卡从安全域密钥分发。
5. —种智能卡从安全域密钥更新分发方法，其特征在于，该方法基于移动终端电子支 付系统实现，该系统包括具有电子支付应用功能的智能卡、业务终端及管理平台，所述智能 卡为一独立设备或安装在移动终端上，所述智能卡通过所述业务终端与所述管理平台进行 通信，所述管理平台通过所述业务终端将从安全域密钥分发给所述智能卡。
6. 如权利要求5所述的方法，其特征在于，该方法包括(a) 所述管理平台与所述智能卡之间建立安全通信信道，所述安全通信信道是通过所 述业务终端在所述管理平台与所述智能卡之间建立的；(b) 所述管理平台生成新的从安全域密钥；(c) 所述管理平台将所述新的从安全域密钥通过所述安全通信信道分发给所述智能卡；(d) 所述智能卡完成从安全域密钥更新。
7. 如权利要求6所述的方法，其特征在于步骤(a)中建立安全通信信道的过程包括 (al)所述管理平台与智能卡从安全域进行互认证，所述互认证过程是由管理平台启动，经所述业务终端在所述管理平台与所述智能卡从安全域之间完成；(a2)所述管理平台与所述智能卡从安全域之间建立临时会话密钥，从而建立安全通信 信道。
8. 如权利要求5所述的方法，其特征在于当智能卡从安全域密钥到期或需要强制更新或者用户下载应用时，由所述管理平台发起智能卡从安全域密钥更新分发流程。
9. 如权利要求5至8中任一项所述的方法，其特征在于所述管理平台和业务终端分别指卡发行商管理平台和卡发行商业务终端，或者指应用提供商管理平台和应用提供商业务终端，所述管理平台指应用提供商管理平台时，所述步骤(a)之前还包括卡发行商管理 平台在智能卡上创建从安全域及生成从安全域初始密钥；所述卡发行商管理平台将创建的从安全域的基本信息和初始密钥发送给所述应用提供商管理平台。
10. —种移动终端，所述移动终端包括具有电子支付应用功能的智能卡，其特征在于， 所述智能卡从安全域的密钥由应用提供商管理平台通过应用提供商业务终端分发，或者由 卡发行商管理平台通过卡发行商业务终端分发。
全文摘要
本发明提供了一种智能卡从安全域密钥更新分发方法、系统及移动终端，其中，移动终端电子支付系统包括具有电子支付应用功能的智能卡、业务终端及管理平台，智能卡为一独立设备或安装在移动终端上，所述智能卡通过所述业务终端与所述管理平台通信，所述管理平台通过所述业务终端向所述智能卡分发智能卡从安全域密钥。本发明还提供一种包含智能卡的移动终端。本发明提供的智能卡从安全域密钥更新分发方法、系统及移动终端，可以在针对对称密钥情况下，对智能卡从安全域密钥进行安全更新和分发。
文档编号G06F21/34GK101742479SQ20081017701
公开日2010年6月16日 申请日期2008年11月10日 优先权日2008年11月10日
发明者余万涛, 贾倩, 马景旺 申请人:中兴通讯股份有限公司