移动设备上个人和服务提供商的信息的安全重置的制作方法
【专利摘要】本文描述的方法和系统用于支持移动设备诸如移动电话的终端用户重置与通信设备相关联的安全元件。重置过程可包括清除任何用户特定的安全元件、关联的存储器和存储设备或与用户相关联的个人信息。重置过程还可包括在安全元件内移除或重置使移动设备与特定安全服务提供商相关联的密钥或者其它识别符。根据各种实施方案，用于在网络设备内重置安全元件的计算机实现的方法可包括在安全元件处接收加密的重置请求消息、使用通信密钥解密所述加密的重置请求消息、验证用于所述重置请求消息的授权和利用原子能地清除与所述安全元件相关联的参数。
【专利说明】移动设备上个人和服务提供商的信息的安全重置
[0001]相关申请
[0002]本申请要求2012年7月11日提交的、第13/547，029号且题为“移动设备上个人和服务提供商的信息的安全重置”的美国申请的优先权，其要求2012年4月6日提交的、第61/621，081号且题为“移动设备上个人和服务提供商的信息的安全重置”的美国临时专利申请的优先权。上述确定的优先权申请的全部内容在此通过弓I用全部并入本文。
【技术领域】
[0003]本公开涉及用于使移动设备用户能够重置或清除与移动通信设备相关联的安全元件的内容的系统和方法。
[0004]背景
[0005]当前的近场通信(“NFC” )生态系统依赖于通常称为“安全元件”的一块硬件，其安装在通信设备上为金融交易、交通售票、物理安全访问和其它功能提供安全操作环境。安全元件通常包括具有防篡改微处理器、存储器和操作系统的其自己的操作环境。除了别的之外，可信的服务管理器(TSM)安装、预备和个性化安全元件。安全元件具有通常在制造时安装的一个或多个密钥。相应的密钥由TSM共享，使得TSM能够建立至安全元件的密码安全信道，用于安全元件的安装、预备和个性化，同时具有安全元件的设备为终端用户所有。这样，安全元件可以保持安全，即使设备中的主机CPU已被泄密。
[0006]当前的NFC系统的问题是，安全元件和TSM之间存在紧密结合。对于当前的部署，仅有一个TSM有权访问特定安全元件的密钥。因此，终端用户可以选择仅由一个TSM提供的预备安全元件特征。设备的制造商通常会选择该TSM。例如，智能电话制造商可在来自购买智能电话的移动网络运营商(“ΜΝ0”)诸如SPRINT或VERIZON而不是终端用户的引导下来选择用于智能电话的TSM。因此，终端用户可用的TSM特征也许不是终端用户的兴趣所在。例如，MNO可只与一个支付提供商诸如美国的MASTERCARD或者BANK of AMERICA具有商业关系。该TSM可允许安全元件预备有只来自一个支付提供商的支付指令。因此，终端用户将不能访问来自其它支付提供商诸如VISA的服务。
[0007]除了不能够改变到安全元件中的密钥的TSM配对，终端用户不能从安全元件清除他们的私人数据和密钥。当销售、转让、返还或交换设备时，这可是期望的。终端用户可能希望将他们的有关隐私和安全的信息移除，以及准备该设备以允许新的用户选择他们自己的安全服务在该设备上运行。
[0008]发明概述
[0009]在本文描述的某些示例性实施方案中，方法和系统可以支持移动设备诸如移动电话的终端用户重置与通信设备相关联的安全元件。重置过程可包括清除任何用户特定的安全元件、关联的存储器和存储设备或与用户相关联的个人信息。重置过程还可包括在安全元件内移除或重置使移动设备与特定安全服务提供商相关联的密钥或者其它识别符。
[0010]根据各种实施方案，用于在网络设备内重置安全元件的计算机实现的方法可包括在安全元件处接收加密的重置请求消息、使用通信密钥解密所述加密的重置请求消息、验证用于所述重置请求消息的授权和利用原子能地清除与所述安全元件相关联的参数。
[0011]在考虑到包括执行本发明的目前认为的最佳模式的所示示例性实施方案的下列详细描述时，示例性实施方案的这些和其它方面、目的、特征和优点对于本领域中具有普通技术的那些人员来说将变得明显。
[0012]附图简述
[0013]图1描绘了根据某些示例性实施方案的近场通信(“NFC”)系统。
[0014]图2是根据某些示例性实施方案的描绘用于改变图1的NFC系统中的安全服务提供商的方法的方框流程图。
[0015]图3描绘了根据某些示例性实施方案的另一个NFC系统。
[0016]图4是根据某些示例性实施方案的描绘用于改变图3的NFC系统中的安全服务提供商的方法的方框流程图。
[0017]图5描绘了根据某些示例性实施方案的用于安全终端用户设备的操作环境。
[0018]图6描绘了根据某些示例性实施方案的来自终端用户设备的安全元件。
[0019]图7是根据某些示例性实施方案的描绘用于制造安全元件的方法的方框流程图。
[0020]图8是根据某些示例性实施方案的描绘用于重置安全元件的方法的方框流程图。
[0021]示例性实施方案的详细描述
[0022]综述
[0023]本文描述的方法和系统使移动设备诸如移动电话的终端用户能够重置与通信设备相关联的安全元件。重置过程可包括清除任何用户特定的安全元件、关联的存储器和存储设备或与用户相关联的个人信息。重置过程还可包括在安全元件内移除或重置使移动设备与特定安全服务提供商相关联的密钥或者其它识别符。在各种实施方案中，重置机构可被提供以支持从安全设备安全地擦除或重置现有数据。该机构可包括安全识别技术以验证合适的机构来重置设备。此类方法可用于使设备停留在清除状态或安装新密钥、新身份或新的提供商联盟。
[0024]本文描述的安全地重置或清除与通信设备相关联的安全元件的技术可以支持通信设备诸如移动电话的终端用户选择或改变安全服务提供商以与通信设备上存储的安全元件一起使用。在一个实施方案中，系统包括密钥托管服务，其管理用于一个或多个用户和一个或多个安全服务提供商的密码密钥。通常，安全元件和用于安全元件的一个或多个密码密钥在制造通信设备时被安装在每个用户通信设备上。这些密钥或相应的密钥被提供给密钥托管服务。每个用户设备还包括服务提供商选择器(“SPS”)模块或软件应用，其使用户能够从可用安全服务提供商选择。响应于用户选择，SPS经由安全信道传输识别所选择的服务提供商的信息到密钥托管服务。密钥托管服务向所选择的安全服务提供商的可信服务管理器(“TSM”)提供用于用户的安全元件的密钥。密钥托管服务还从用户的先前的安全服务提供商的TSM撤回用于用户的安全元件的密钥。此外，SPS可以防止未授权的安全服务提供商诸如先前的安全服务提供商访问安全元件。
[0025]在另一实施方案中，为了其它安全服务提供商，中央TSM执行业务逻辑和应用预备。不是将密码密钥分配给所选择的安全服务提供商，而是中央TSM用作所选择的安全服务提供商和通信设备上安装的安全元件之间的代理。
[0026]本文描述的示例性系统和方法克服了常规NFC系统的缺点，允许用户重置或擦除安全识别符和联盟。这种能力可以支持安全设备的重新赋值以及简化对一个以上的安全服务提供商的服务的访问。不是被限制在由一个安全服务提供商提供的功能和服务，而是用户可以与当前提供商分离并从多个安全服务提供商选择。例如，如果安全服务提供商不提供用户期望的服务诸如通过特定品牌的信用卡进行支付，那么用户可以选择提供这些服务的安全服务提供商。
[0027]示例性实施方案的一个或多个方面可包括计算机程序，该程序实施本文所述和所示的功能，其中，计算机程序被实现在包括存储在机器可读介质中的指令和执行指令的处理器的计算机系统中。然而，应该明白，在计算机编程中可有实现示例性实施方案的很多不同的方式，并且示例性实施方案不应解释为限于任何一组计算机程序指令。此外，基于所附流程图和应用文本中的相关描述，熟练的程序员将能够将此类计算机程序写入以实现实施方案。因此，认为程序代码指令的特定集合的公开对于充分理解如何制造和使用示例性实施方案不是必须的。此外，对由计算机执行的动作的任何引用不应被认为是由单个计算机执行的，该动作可由一个以上的计算机执行。示例性实施方案的功能将在下文中更详细地进行解释、结合示出程序流的附图进行阅读。
[0028]现在转到附图，其中在所有附图中相似的数字指示相似的(但不一定相同)的元件，示例性实施方案进行了详细描述。
[0029]系统体系结构
[0030]图1描绘了根据某些示例性实施方案的近场通信(“NFC”)系统100。如图1中所描绘的，系统100包括一个或多个终端用户网络设备110、一个或多个应用提供商180、密钥托管服务150、移动网络运营商(“ΜΝ0”)130和多个安全服务提供商160。应用提供商180、密钥托管服务150和安全服务提供商160的每个包括被配置成经由因特网140通信的网络设备。例如，应用提供商180、密钥托管服务150和安全服务提供商160的每个可包括服务器、台式计算机、膝上型计算机、平板计算机、智能电话、手持型计算机、个人数字助理(“PDA”)或任何其它有线或无线的处理器驱动设备。在一实施方案中，密钥托管服务150包括(或可通信地耦合到)用于接收请求以从可用的安全服务提供商160改变(或选择)的第一网络通信模块和用于传输密码密钥120给安全服务提供商160的第二网络通信模块。第一和第二网络通信模块可是相同或不同的网络通信模块。
[0031]终端用户网络设备110可是移动电话、智能电话、PDA上网本计算机、膝上型计算机、平板计算机、或任何其它有线或无线的处理器驱动设备。如图1所示，终端用户网络设备110经由MN0130访问因特网140。示例性MNO包括VERIZON、SPRINT和AT&T。MNO经由移动网络(未示出)诸如3G或4G移动通信网络向终端用户网络设备110提供因特网访问。当然，经由其它机构诸如W1-Fi连同因特网提供商，终端用户网络设备110能够访问因特网140。
[0032]终端用户网络设备110每个包括具有一个或多个密码密钥120的安全元件111、NFC控制器112、NFC天线113、主机CPUl 14和SPS115。NFC控制器112和NFC天线113使终端用户网络设备110能够与其它启用NFC的设备(未示出)通信。例如，终端用户网络设备110可以与销售(“P0S”)设备、售票设备、安全设备和其它终端用户网络设备110的启用NFC的商户点通信。
[0033]主机CPU114执行存储在终端用户网络设备110上的应用。例如，主机CPU114可执行与NFC控制器112交互的应用，诸如NFC支付应用，其使操作终端用户网络设备110的用户能够经由启用NFC的POS完成购买，或交通或事件售票应用，其使用户能够经由启用NFC的售票POS输入交通设施或事件。包括识别、认证、安全和优惠券剪切和退回应用的其它应用也可存储在终端用户网络设备110上用于由主机CPUl 14连同NFC控制器112和NFC天线113执行。
[0034]每个应用可由各自的应用提供商180提供。例如，信用卡公司可提供信用卡支付应用；交通或其它售票公司可提供购票和退票应用；出售产品或服务的制造商、零售商或其它实体可提供优惠券应用；以及认证公司可提供用户认证应用。
[0035]出于安全目的，NFC应用通常存储在终端用户网络设备110的安全元件111中。安全元件111为NFC (或其它)应用提供安全操作环境。安全元件111通常包括其自己的操作环境，其具有防篡改微处理器、操作系统和用于存储信息诸如支付凭证的存储器。安全元件111可存在于终端用户网络设备110的固定芯片、用户识别模块(“SIM”)卡、通用集成电路卡(“nCC”)、可拆卸智能芯片内或在存储卡诸如微型SD卡中。安全元件111还可包括存储器控制器，其用于管理安全元件111被安装在其中的卡或芯片的只读存储器(“ROM”)、就绪存取存储器(“RAM”)和EEPROM快速存储器。
[0036]一般来说，安全服务提供商160作为媒介，其帮助应用提供商180和其它服务提供商安全地分配和管理应用和业务诸如NFC非接触式应用服务。安全服务提供商160的TSM170通常主持应用并将应用安装和预备到安全元件111上。如图1所示，每个TSM170可以接收、存储和使用用于用户的安全元件111的密钥120。通过具有密钥120，TSM170可以经由安全加密通信信道访问安全元件111，以在安全元件111内安装、预备和定制应用。示例性安全服务提供商160包括GEMALT0和FIRST DATA。
[0037]在某些示例性实施方案中，当与安全元件111通信时，安全服务提供商160旁路主机CPUl 14和NFC控制器112。例如，在某些nCC/S頂安全元件中，安全服务提供商160经由安装在终端用户网络设备110上的无线电CPU(未示出)与安全元件111通信。因此，在某些示例性实施方案中，在安全元件111上预备应用期间，NFC控制器112和主机CPUl 14的涉及可是可选的。在某些示例性实施方案中，主机CPUl 14和无线电CPU彼此交互以对安全元件111协同访问控制。
[0038]密钥托管服务150维持用于安全元件111的密钥120。密钥托管服务150也分配密钥给TSM170，例如响应于用户选择。例如，如果用户选择从第一安全服务提供商160A切换到第二安全服务提供商160B，那么密钥托管服务150从第一 TSM170A撤回密钥120并向第二 TSM170B提供密钥120。第二 TSM170可以然后访问用户的网络设备110的安全元件111。
[0039]SPS115被实现在软件和/或硬件中并使终端用户网络设备110的用户能够经由密钥托管服务150选择或改变安全服务提供商160。SPS115提供用户界面，其允许用户做出安全服务提供商160的选择。响应于用户选择，SPS115将有关所选择的安全服务提供商160的信息传输到密钥托管服务150。密钥托管服务150也可以经由一条或多条反常路径机构来确认该选择。示例性系统100的SPS115、密钥托管服务150和其它部件在下文中参考图2中描绘的方法进行更详细地描述。
[0040]图3描绘了根据某些可选示例性实施方案的另一个NFC系统300。示例性系统300包括与系统100相同的许多部件，包括一个或多个终端用户网络设备110、一个或多个应用提供商180、MN0130和多个安全服务提供商160。然而,不是密钥托管服务150，而是系统300包括中央管理的TSM350。受管理的TSM350包括被配置成与因特网140通信的网络设备，诸如服务器、台式计算机、膝上型计算机、平板计算机、智能电话、手持型计算机、PDA或其它有线或无线的处理器驱动设备。类似于密钥托管服务150，受管理的TSM350维持用于安全元件111的密钥120，并且使操作终端用户网络设备110的用户能够从多个安全服务提供商160选择。不是将密钥120分配给所选择的TSM170，而是为了所选择的安全服务提供商160，受管理的TSM350可以与安全元件111交互。即，受管理的TSM350可以在安全元件111上安装、预备应用以及与安装在安全元件111上的应用交互。或者，受管理的TSM170可以在所选择的TSM170和安全元件111之间建立(和终止)安全通信信道，使得所选择的TSM170可以与安全元件111交互。该安全通信信道可用与安全元件111不相关联的不同的密钥加密，并且可是每个安全服务提供商160特有的。为了安全服务提供商160，受管理的TSM350也可以执行业务逻辑。图3的受管理的TSM350和其它部件在下文中参考图4中描绘的方法进行了更详细地描述。
[0041]图5描绘了根据某些示例性实施方案的用于安全终端用户设备110的操作环境500。如图5中所描绘的，操作环境500包括一个或多个终端用户设备110、一个或多个应用提供商180、移动网络运营商(“MN0”)130以及一个或多个安全服务提供商160。应用提供商180和安全服务提供商160的每个包括被配置成经由因特网140通信的网络设备。例如，应用提供商180和安全服务提供商160的每个可包括服务器、台式计算机、膝上型计算机、平板计算机、智能电话、手持型计算机、个人数字助理(“PDA”)或任何其它有线或无线的处理器驱动设备。
[0042]终端用户设备110可是移动电话、智能电话、PDA、上网本计算机、膝上型计算机、平板计算机、或任何其它有线或无线的处理器驱动设备。终端用户设备110可以经由MNO130访问网络140。示例性MN0130包括VERIZON、SPRINT和AT&T。这些MN0130可为终端用户设备110提供对网络140的访问。网络140可是有线、无线、光、射频、移动、蜂窝、任何其它数据或语音网络或它们的任意组合。例如，网络140可是因特网或因特网。MN0130可为提供网络140的一部分提供连接如3G或4G移动通信网络。当然，经由其它机构诸如W1-Fi,W1-Max或连同因特网提供商，终端用户网络设备110可以访问因特网140。
[0043]终端用户设备110每个包括具有安全元件(“SE”)身份(“ID”)模块190和一个或多个卡密钥120A的安全元件111。终端用户设备110也可包括NFC控制器112、NFC天线113和主机CPU114。NFC控制器112和NFC天线113使终端用户设备110能够与其它启用NFC的设备(未示出)通信。例如，终端用户设备110可以与销售(“P0S”)设备、售票设备、安全设备和其它终端用户设备110的启用NFC的商户点通信。
[0044]卡密钥120A可包括用于安全元件111的安全应用或过程的任何密钥。根据各个实施方案，卡密钥120A可包括卡管理器密钥、计费密钥、金融交易密钥、银行密钥等等。卡密钥120A可与安全服务提供商160、可信服务管理器170、应用提供商180或安全地与终端用户设备110及其安全元件111交互的任何其它实体或系统相关联、共享或分开。卡密钥120A可以结合与SE ID模块190相关联的其它密钥操作，或受到与SE ID模块190相关联的其它密钥的保护，如下文中进一步详细描述的。[0045]主机CPU114可以执行存储在终端用户网络设备110上的应用。例如，主机CPU114可执行与NFC控制器112交互的应用，诸如NFC支付应用，其使操作终端用户设备110的用户能够经由启用NFC的POS完成购买，或交通或事件售票应用，其使用户能够经由启用NFC的售票POS输入交通设施或事件。包括识别、认证、安全和优惠券剪切和退回应用的其它应用也可存储在终端用户设备110上用于由主机CPUl 14连同NFC控制器112和NFC天线113执行。
[0046]与终端用户设备110相关联的应用也可与应用提供商180相关联。例如，信用卡公司可提供信用卡支付应用；交通或其它售票公司可提供购票和退票应用；出售产品或服务的制造商、零售商或其它实体可提供优惠券应用；以及认证公司可提供用户认证应用。
[0047]出于安全目的，NFC应用通常存储在终端用户设备110的安全元件111中。安全元件111为NFC(或其它)应用提供安全操作环境。安全元件111通常包括其自己的操作环境，其具有防篡改微处理器、操作系统和用于存储信息诸如支付凭证的存储器。安全元件111可存在于终端用户设备110的固定芯片、用户识别模块(“SM”)卡、通用集成电路卡(“nCC”)、可拆卸智能芯片内或在存储卡诸如微型SD卡中。安全元件111还可包括存储器控制器，其用于管理安全元件111被安装在其中的卡或芯片的只读存储器(“ROM”)、就绪存取存储器(“RAM”)和EEPROM快速存储器。
[0048]一般来说，安全服务提供商160作为媒介，其帮助应用提供商180和其它服务提供商安全地分配和管理应用和业务诸如NFC非接触式应用服务。安全服务提供商160的TSM170通常主持应用并将应用安装和预备到安全元件111上。每个TSM170可以接收、存储和使用用于相关联的安全元件111的卡密钥120A。使用用于该安全元件的卡密钥120A，TSM170可以访问安全元件111。示例性安全服务提供商160包括GEMALT0和FIRST DATA。
[0049]在某些示例性实施方案中，当与安全元件111通信时，安全服务提供商160旁路主机CPUl 14和NFC控制器112。例如，在某些nCC/S頂安全元件中，安全服务提供商160经由安装在终端用户设备110上的无线电CPU(未示出)与安全元件111通信。因此，在某些示例性实施方案中，在安全元件111上预备应用期间，NFC控制器112和主机CPU114的涉及可是可选的。在某些示例性实施方案中，主机CPUl 14和无线电CPU彼此交互以对安全元件111协冋访问控制。
[0050]终端用户设备110的用户可能希望删除或重置与安全元件111相关联的安全特征，诸如卡密钥120A。例如，用户可能希望使终端用户设备110与安全服务提供商160分离，使得它们可以将终端用户设备110安全地转移给另一用户。类似地，用户可能希望使终端用户设备110与一个安全服务提供商160分离以允许与其它提供商相关联。例如，如果用户希望改变与NFC支付相关联的该金融机构或由终端用户设备110进行的资金转帐。讨论重置/删除密钥。SE ID模块190可以支持用于安全元件111的安全删除或重置过程，如下文中进一步详细描述的。
[0051]图6描绘了根据某些示例性实施方案的来自终端用户设备110的安全元件111。如图6中所描绘的，安全元件111可以包括卡密钥120A和安全元件身份模块190。安全元件身份模块190可以包括安全元件身份通信密钥610、安全元件身份签名密钥620和安全元件身份证书630。安全元件身份模块190可用于验证应用或服务正与特定安全元件111交互并且还验证发送到安全元件111和从安全元件111发送的安全消息。例如，元件身份通信密钥610可用于加密与安全元件111的通信，使得这些通信仅可由预期的安全元件111进行。类似地，安全元件身份签名密钥620可用于验证安全元件111正与哪个通信。这些机构可用于如下面所讨论的那样安全地重置安全元件111诸如清除或重置卡密钥120A。安全元件身份证书630可用于证实各种密钥诸如安全元件身份通信密钥610和安全元件身份签名密钥620的交换和转移。
[0052]安全元件身份通信密钥610和安全元件身份签名密钥620可工作在密钥分开配置或公用/私有密钥对配置中。例如，安全元件身份通信密钥610可包括公用密钥612和私人密钥614。类似地，安全元件身份签名密钥620可包括公用密钥622和私人密钥624。
[0053]安全元件身份模块190可提供安全识别功能。此类功能可包括由安全元件111提供的、与安全元件111相关联的特征，以便支持安全元件111重置过程，如下文进一步详细讨论的。一个这样的特征涉及用安全元件身份模块190支持来自安全应用、应用提供商180或安全服务提供商160的安全通信和安全认证。另一特征涉及支持与安全元件身份模块190相关联的重置操作。重置操作可利用原子能地清除安全元件111。这可包括从安全元件111清除或重置一个或多个卡密钥120A。重置操作的原子性质可提供都是本质上或没有本质上的重置，并且操作上不能分割或部分地进行。另一特征可包括用于验证重置操作源于可信来源的机构。例如，验证可确保，实际上为了终端用户设备110的所有者或某个其它批准的个人、提供商或应用而进行重置。安全元件身份模块190的这些特征还可与操作系统、智能卡操作系统或小应用诸如卡片管理器应用相关联。
[0054]系统过程
[0055]图2是描绘用于改变图1的NFC系统100中的安全服务提供商的方法200的方框流程图。方法200参考图1中所示的部件进行描述。
[0056]在方框205中，一个或多个安全密码密钥120被提供用于安全元件111。在某些示例性实施方案中，安全元件111及其密钥120在制造时安装在终端用户网络设备110上。在某些示例性实施方案中，安全元件111及其密钥120安装在可拆卸的卡或芯片诸如SM卡或微型SD卡上，其然后安装在终端用户网络设备110上。
[0057]在方框210中，用于安全元件111的密钥120或相应的密钥被提供给密钥托管服务150。这些密钥120使密钥托管服务150 (或接收密钥120的另一实体)能够创建与安全元件111的安全通信信道并且准许访问安全元件111。任选地，密钥120也被提供给安全服务提供商160的TSM170。按照惯例，用于安全元件111的安全服务提供商160和TSM170由终端用户网络设备110的制造商通常在来自购买终端用户网络设备110的MN0130的引导下来选择。在此情况下，密钥120可被提供给该TSM170。可选地，密钥120只被提供给密钥托管服务150。在此情况下，操作终端用户网络设备110(或另一实体诸如MN0130)的用户可以使用SPS115来进行安全服务提供商160的最初选择。
[0058]在方框215中，用户使用SPS115来选择安全服务提供商160并因此选择TSM170。例如，用户可使用终端用户网络设备110访问SPS115JPS115可呈现用户界面，其列出了可用的安全服务提供商160和任选地由安全服务提供商160支持的服务。例如，SPS115可显示金融机构，关于其的非接触式交易由每个安全服务提供商160支持。在另一实例中，SPS115可显示由每个可用的安全服务提供商160预备和支持的应用。在又一实例中，SPS115可提供搜索功能，它使用户能够基于安全服务提供商160的特征和服务来搜索安全服务提供商160。当用户找到合适的安全服务提供商160时，用户可以使用SPS115选择这种安全服务提供商160。
[0059]在方框220中，响应于用户选择，SPS115传输使用所选择的服务提供商160的请求到密钥托管服务150。该请求通常包括识别所选择的安全服务提供商160的信息。响应于接收该请求，密钥托管服务150处理该请求。
[0060]在方框225中，密钥托管服务150执行反常路径确认程序，以确认用户发起使用所选择的安全服务提供商160的请求。这个方框225是可选的并为SPS115/密钥托管服务150系统提供了附加级别的安全性例如以在终端用户网络设备110被丢失或偷窃的情况下防止其他人访问该特征。
[0061]在一个实施方案中，反常路径确认程序包括密钥托管服务150将经由不同的通信信道而不是通过终端用户网络设备110做出的该请求传递到用户。例如，密钥托管服务150可传输指示做出请求的SMS文本消息到用户的移动电话。或者，密钥托管服务150可打电话给用户告知做出请求的消息。如果用户没有做出请求，那么文本消息或语音消息可通知用户呼叫某一电话号码。密钥托管服务150还可以要求用户确认该请求。例如，文本消息可通知用户响应文本消息、访问密钥托管服务150的网站或呼叫密钥托管服务150以确认该请求。并且，代码可在该消息中提供给用户，以及用户可能被要求经由电话或经由网站输入该代码来确认该请求。
[0062]在方框230中，如果另一个TSM170拥有用于安全元件115的密钥120，那么密钥托管服务150从先前的TSM170撤回密钥120。在一个实施方案中，密钥托管服务150发送消息例如SMS文本消息给先前的TSMl70，请求该TSM放弃密钥120。响应于此类请求，安全服务提供商160可根据合同义务放弃密钥120。
[0063]在另一个实施方案中，密钥托管服务150通过通知安全元件111阻止先前的TSM170而从先前的TSM170撤回密钥120。安全元件111可以包括识别试图访问安全元件111的TSM170的程序代码以及允许和/或阻止TSM170的列表。当TSM170试图访问安全元件111时，安全元件111可以将识别该TSM170的信息与列表进行比较，来确定是否准许访问。密钥托管服务150也可以发送请求到先前的TSM170，请求该先前的TSM放弃密钥120。当然，在用户重新选择安全服务提供商160用于该TSM160的情况下，这些被阻止的TSM170可以开启。例如，密钥托管服务150可将消息发送到安全元件111，请求安全元件110开启TSM170。
[0064]在又一实施方案中，经由使用主密钥和TSM专用密钥，密钥托管服务150从先前的TSMl70撤回密钥120。TSM专用密钥可被提供给安全元件111用于每个可用的TSM或者用于选定的TSM170。TSM专用密钥还被分配给各自的TSM170。TSM专用密钥可在制造时预先加载到安全元件111上、在晚些时候由密钥托管服务150安装或响应于用户选择TSM170由密钥托管服务150安装。安全元件111可以控制哪些TSM专用密钥是有效的和哪些TSM专用密钥是无效的。例如，如果用户请求从安全服务提供商160A切换到安全服务提供商160B，那么SPSl 15传递该请求(和识别所选的TSM170B的信息)到安全元件111的密钥管理小应用或模块(未示出)。响应于该请求，密钥管理小应用激活用于TSM170B的TSM专用密钥并撤销用于TSM170A的TSM专用密钥。此时，安全元件111允许访问TSM170B同时阻止访问 TSMl70A。[0065]在方框235中，存储在安全元件111上、涉及先前的TSM170和/或先前的安全服务提供商160的信息从安全元件111移除。例如，与先前的TSM170相关联的支付卡凭证可存储在安全元件111上同时该TSMl70结合安全元件111使用。在使另一个TSMl70能够访问安全元件111之前，从安全元件111移除这些凭证。此外，安装在安全元件111上用于先前的TSM170的任何应用被取消安装。在某些示例性实施方案中，密钥托管服务150发送命令到安全元件111的小应用或模块诸如卡管理器小应用以移除涉及先前的TSM170的信息。
[0066]在方框240中，密钥托管服务150传输密钥120至所选择的安全服务提供商160的TSM170。这种传输通常经由安全通信信道进行。例如，密钥托管服务150可经由加密通信信道发送密钥120到所选择的TSM170。在方框245中，所选定的TSM170接收密钥120。
[0067]在某些示例性实施方案中，密钥托管服务150延迟传输密钥120至所选择的安全服务提供商160的TSM170，直到接收到涉及先前的TSM170的信息和应用从安全元件111移除的确认。在一些实施方案中，在没有从用户接收到用户请求使用所选择的安全服务提供商160的反常路径确认的情况下，密钥托管服务150可不传输密钥120至所选择的安全服务提供商160的TSM170。
[0068]在方框250中，所选择的安全服务提供商160的TSM170试图使用接收到的密钥120创建与安全元件111的安全通信信道。在一个实施方案中，TSM170发送加密消息到安全元件111，请求访问安全元件111。TSM170通过在使用接收到的密钥120的消息上执行密码算法来加密该消息。
[0069]在方框255中，安全元件111确定是否准许访问TSMl70。在一个实施方案中，安全元件111的处理器在使用存储在安全元件111上的密钥120的所接收的消息上执行加密算法来确定是否准许访问TSM170。
[0070]在某些示例性实施方案中，在安全元件111证实TSM170之前，SPSl 15进行初始确定是否准许访问TSM170，。例如，当终端用户网络设备110接收到访问安全元件111的请求时，SPS115可评估该请求以在请求被传送到安全元件111之前确定发出该请求的TSM170是否是用户选择的TSM170。如果SPS115确定发出该请求的TSM170是所选择的TSM170，则安全元件111可根据方框255的动作证实该请求。
[0071]如果安全元件111准许访问TSM170，那么方法200沿着“是”分支到方框265。否贝U，如果安全元件111确定该TSM170应被阻止，则方法200沿着“否”分支到方框260。
[0072]在方框260中，安全元件111阻止TSM170访问安全元件111。安全元件111还可将消息发送至TSM170通知TSM170，该TSM170没有获准访问。
[0073]在方框265中，TSM170预备安全元件111处的服务。TSM170可传输一个或多个应用和用于那些应用的凭证到安全元件111。应用可由用户选择。例如，用户可从应用提供商180请求应用。作为响应，应用提供商180请求TSM170将应用安装到用户的安全元件到111上。应用提供商180还可向TSM170提供有关用户的信息或用户的帐户信息，用于存储在安全元件111上。例如，信用卡公司可向TSM170提供支付应用和有关用户的支付帐户的信息，用于安装/存储在安全元件111上。在某些示例性实施方案中，用户可从密钥托管服务150或安全服务提供商160请求应用。
[0074]在方框270中，用户访问由所选择的安全服务提供商160连同一个或多个应用提供商180提供的服务。例如，如果应用提供商180是信用卡公司，那么用户可使用终端用户网络设备110在启用NFC的POS处完成购买。NFC控制器112可与安全元件111安全地交互以从安全元件111获得支付凭证，并经由NFC天线113向启用NFC的POS提供这些凭证。
[0075]在方框270之后，方法200结束。当然，用户可以继续访问由所选择的安全服务提供商160提供的服务或者切换到另一个安全服务提供商160。
[0076]图4是根据某些示例性实施方案的描绘用于改变图3的NFC系统300中的安全服务提供商的方法400的方框流程图。方法400参考图3中所示的部件进行描述。
[0077]在方框405中，一个或多个安全密码密钥120被提供用于安全元件111。在某些示例性实施方案中，安全元件111及其密钥120在制造时安装在终端用户网络设备110上。在某些示例性实施方案中，安全元件111及其密钥120安装在可拆卸的卡或芯片诸如SM卡或微型SD卡上，其然后安装在终端用户网络设备110上。
[0078]在方框410中，用于安全元件111的密钥120或相应的密钥被提供给受管理的TSM350。这些密钥120使受管理的TSM350(或接收密钥120的另一实体)能够创建与安全元件111的安全通信信道并且准许访问安全元件111。
[0079]在方框415中，用户使用SPS115来选择安全服务提供商160。这个方框415可以与图2中所示的和上面所述的方框215相同或类似。在方框420中，响应于用户选择，SPSl 15传输使用所选择的服务提供商160的请求到受管理的TSM350。该请求通常包括识别所选择的安全服务提供商160的信息。响应于接收该请求，受管理的TSM350处理该请求。
[0080]在方框425中，受管理的TSM350执行反常路径确认程序，以确认用户发起使用所选择的安全服务提供商160的请求。该块是可选的，并且基本上类似于上面描述的图2的方框225。然而，在方框425中，受管理的TSM350执行反常路径确认，而不是密钥托管服务150。
[0081]在方框430中，存储在安全元件111上、涉及先前的TSM170和/或先前的安全服务提供商160的信息从安全元件111移除。例如，与先前的TSM170相关联的支付卡凭证可存储在安全元件111上同时该TSMl70结合安全元件111使用。在使另一个TSMl70能够访问安全元件111之前，从安全元件111移除这些凭证。此外，安装在安全元件111上用于先前的TSM170的任何应用被取消安装。在某些示例性实施方案中，受管理的TSM350发送命令到安全元件111的小应用或模块诸如卡管理器小应用以移除涉及先前的TSM170的信息。
[0082]在方框435中，受管理的TSM350创建与用户选择的安全服务提供商160的安全通信信道。该安全通信信道可被加密，例如使用不同于密钥120的一个或多个密码密钥。其它加密技术可被使用，如获益于本公开的本领域的普通技术人员之一将理解的。
[0083]在方框440中，受管理的TSM350通知所选择的安全服务提供商160，用户已经请求访问该安全服务提供商160的服务。为了用户，受管理的TSM350也可从安全服务提供商160请求一个或多个应用。或者，用户可从应用提供商180请求一个或多个应用，而应用提供商180又将请求传输给安全服务提供商160以向用户的安全元件111提供一个或多个应用。在方框445中，所选择的安全服务提供商160传输所请求的应用和任何其它适当的信息到受管理的TSM350。例如，这个其它适当的信息可包括用于访问安全服务的凭证诸如支付卡凭证。
[0084]在方框450中，受管理的TSM350使用一个或多个密钥120创建与安全元件111的安全通信信道。在方框455中，受管理的TSM350预备安全元件111处的服务。受管理的TSM350可传输一个或多个应用和用于那些应用的凭证到安全元件111。受管理的TSM350也可向安全元件111提供有关用户的信息或用户的帐户。例如，信用卡公司可向受管理的TSM350提供支付应用和有关用户的支付帐户的信息，用于安装/存储在安全元件111上。
[0085]在方框460中，这是可选的，受管理的TSM350执行用于所选择的安全服务提供商160的业务逻辑并充当选择的安全服务提供商160之间的代理或中介。由受管理的TSM350执行的业务逻辑的实例包括证实用户是否具有合作金融机构的支付卡、证实由用户提供的信用卡凭证使得信用卡可被预备给安全元件111、证实所选择的安全服务提供商160是否提供用于终端用户网络设备150与其通信的MN0130上指定终端用户网络设备150请求的服务以及从用户接收预备请求并传输预备指令用于安全元件111。
[0086]在方框465中,用户访问由所选择的安全服务提供商160连同一个或多个应用提供商180提供的服务。例如，如果应用提供商180是信用卡公司，那么用户可使用终端用户网络设备110在启用NFC的POS处退回交通票。NFC控制器112可与安全元件111安全地交互以从安全元件111获得交通票凭证，并经由NFC天线113向启用NFC的POS提供这些凭证。
[0087]在方框465之后，方法400结束。当然，用户可以继续访问由所选择的安全服务提供商160提供的服务或者切换到另一个安全服务提供商160。
[0088]图7是根据某些示例性实施方案的描绘用于制造安全元件111的方法700的方框流程图。方法700参考图5和图6中所示的部件进行描述。
[0089]在方框710中，用于终端用户设备110的硬件可被制造。制造终端用户设备110可包括制造安全元件111。可选地，先前制造的安全元件111可并入终端用户设备110或与终端用户设备110相关联。
[0090]在方框720中，可配置用于制造方框610的硬件中所讨论的安全元件111的初始卡密钥120A。卡密钥120A可被配置有备用的初始密钥或仅仅是位置标志符的密钥。一个或多个卡密钥120A可保持公开或为了未来的安装未初始化。
[0091]在方框730中，与安全元件身份模块190相关联的密钥可被初始化。这些密钥可包括安全元件身份通信密钥610和安全元件身份签名密钥620。初始化安全元件身份通信密钥610可包括创建公用密钥612和私人密钥614。类似地，初始化安全元件身份签名密钥620可包括创建公用密钥622和私人密钥624。这些密钥可由安全元件身份模块190使用或者与安全元件身份模块190相关联用于签名以显示消息的真实性和用于加密和解密以保护消息。
[0092]在方框740中，公用密钥可从方框730中创建的安全元件身份密钥提取。例如，公用密钥612可从安全元件身份通信密钥610提取。类似地，公用密钥622可从安全元件身份签名密钥620提取。这些公用密钥可由其他系统使用以签名或加密消息，消息可然后在安全元件身份模块190处使用相关私人密钥接收或验证。
[0093]在方框750中，安全元件身份证书630可被创建用于方框310中所讨论的安全元件111。安全元件身份证书630可包括方框740中提取的公用密钥。安全元件身份证书630可被使用为真实的安全元件身份模块190。安全元件身份证书630也可用于建立与安全元件身份模块190的安全通信。通过使用放置在安全元件身份证书630内的公用密钥，这些特征可被支持。[0094]在方框760中，安全元件身份证书630可被签名带有密钥诸如制造商的私人密钥。在使用安全元件身份证书630之前，该签名可被验证以确保安全元件身份证书630是真实的和正确的。
[0095]在方框770中，安全元件身份证书630可被安装到终端用户设备110中。安全元件身份证书630可被安装在在终端用户设备110的安全元件111内的安全元件身份模块190内或与安全元件身份模块190相关联。
[0096]在方框780中，第一重置操作的初始要求可被设置在安全元件身份模块190内。这些要求可包括第一重置操作中使用的授权类型，如下面关于方法800的方框870所讨论的。例如，第一重置操作可要求，由安全元件身份证书630内可用的指定密钥或某个其它密钥来签名。
[0097]在方框780之后，方法700结束。当然，根据方法700，额外的安全元件可继续制造。
[0098]图8是根据某些示例性实施方案的描绘用于重置安全元件111的方法800的方框流程图。方法800参考图5和图6中所示的部件进行描述。
[0099]在方框810中，安全元件身份证书630可从安全元件111获得。可从安全元件111请求安全元件身份证书630并且安全元件111可用存储在安全元件111内的安全元件身份证书630来响应。
[0100]在方框820中，方框810中获取的安全元件身份证书630可被认证。应用于安全元件身份证书630的签名可被验证为真实的安全元件身份证书630。该签名可基于与安全元件111或终端用户设备110的制造商相关联的密钥。
[0101]在方框830中，公用密钥可从方框820中认证的安全元件身份证书630提取。用于与安全元件111传递安全消息的公用密钥可是最初从安全元件身份通信密钥610提取的公用密钥612。类似地，用于签名的公用密钥可是最初从安全元件身份签名密钥620提取的公用密钥622。这些公用密钥可用于签名或加密消息，消息可然后在安全元件身份模块190处使用相关私人密钥接收或验证。
[0102]在方框840中，重置请求消息可被构造。该消息是重置请求，其可被发送到安全元件111以请求其重置或清除其密钥诸如卡密钥120A。重置请求消息可包括要安装的新密钥，诸如新的卡管理器密钥、新的计费密钥等等。重置请求消息还可包括认证信息以规定如何从批准的个人诸如终端用户设备110的所有者处认证重置请求。重置请求消息还可包括配置信息。配置信息可包括关于下一个重置将被如何认证的详细说明或其它配置参数诸如用于清除的密钥的默认密钥图形等等。
[0103]在方框850中，方框840中构造的重置请求消息可被加密用于安全通信。重置请求消息可使用安全元件身份通信密钥610来加密。根据这种加密，安全元件身份模块190可安全地接收重置请求消息并验证该消息没有恶意地、错误地发送或该消息预期用于另一安全元件111。
[0104]在方框860中，方框840中构造和方框850中加密的重置请求消息可发给终端用户设备的安全元件111，其中该消息可由安全元件身份模块190接收、验证和采取行动。
[0105]在方框870中，方框860中安全元件111处接收的重置请求消息可被授权允许重置操作继续。如果安全元件111允许对该重置操作的不受限制的访问，那么攻击者有可能使用该特征来恶意破坏另一用户的安全元件111上的信息。因此，需要有某种授权或确认机构来防止对重置操作的未经批准的访问。用于提供该授权保护的各种选项的一些实例在这里进行讨论。
[0106]根据用于认证重置操作的第一实例，知名的或可信的权威机构可对重置请求消息进行加密签名。在这个方案中，安全元件身份模块190可被提供有与知名的权威机构相关联的公用密钥。在执行重置请求之前，该密钥可被用于验证放置在任何重置请求消息上的签名。因此，拥有相应私人密钥的实体被委托验证重置请求只由合法团体发出。
[0107]根据用于认证重置操作的第二实例，在安全元件111内可能需要通过非接触式接口提交授权代码以授权重置请求消息。这保护用户免受试图重置其安全元件111的远程攻击者的攻击，因为重置请求消息仅在用户有意将授权代码输入阅读器并将相关的授权命令无线发送到安全元件111时执行。
[0108]根据用于认证重置操作的第三实例，重置请求消息可能需要与终端用户设备110或安全元件111的特定预定物理通信。例如，如果在终端用户设备110上存在可信的操作系统，那么可信的操作系统可通知安全元件111，重置请求已由终端用户设备110上的可信的用户输入授权。可选地，如果终端用户设备110上存在专用安全按钮或输入，那么在允许重置操作发生之前，安全元件111可要求该按钮或输入被按下或被激活。这种要求将是物理验证，终端用户设备110的所有者或某个其他被授权的个人意欲重置安全元件111并且从未授权源头，其余将不太可能被欺骗。
[0109]在方框880中，安全元件111可被清除或重置。重置操作可是原子的以确保重置完全发生或根本不发生。重置操作可重置、删除或擦除安全元件111的内容。重置操作可包括删除所有现存的应用、小应用、密钥和数据。新卡密钥120A可被安装作为重置操作的部分。这可包括移除所有小应用和执行情况。所有安全域也可与所有卡管理器密钥、计费密钥和任何其它密钥或证书一起移除。重置操作可清除所有不变堆和其它存储器。该操作还可重置所有通信，其控制相关数据诸如安全信道序列计数器，或频率集合。重置操作可安装新的卡密钥120A诸如卡管理器密钥并且也可保存配置信息以控制用于下一个重置的授权请求。
[0110]根据某些实施方案，与安全元件身份模块190相关联的密钥和证书可被免除重置操作的清除，因为这些密钥和证书被绑定到特定安全元件111部分地支持重置和初始化。
[0111]在方框880之后，方法800结束。当然，安全元件111可继续接收重置请求消息以使将来的安全元件111能够在终端用户设备110内重置操作。
[0112]通用
[0113]先前呈现的实施方案中描述的示例性方法和方框是说明性的，并且，在可选实施方案中，某些方框可以按不同的顺序、彼此并行、完全省去和/或不同示例性方法之间的组合执行，和/或某些额外的方框可以被执行，而不偏离本发明的范围和精神。因此，此类可选实施方案被包括在本文描述的本发明中。
[0114]本发明可以与执行上述方法和处理功能的计算机硬件和软件一起使用。如本领域的具有普通技术的那些人员将会认识到，本文描述的系统、方法和程序可以实施在可编程计算机、计算机可执行软件或数字电路中。该软件可以存储在计算机可读介质上。例如，计算机可读介质可以包括软盘、RAM、ROM、硬盘、可移动介质、闪存、记忆棒、光学介质、磁光介质、CD-ROM等。数字电路可以包括集成电路、门阵列、积木块逻辑、现场可编程门阵列(“FPGA”)等。
[0115]虽然本发明的具体实施方案已在上面进行详细描述，但是该描述仅仅是为了说明的目的。除了上面描述的那些，示例性实施方案的所公开的方面的各种修改以及对于所公开的方面的等效块可通过本领域的具有普通技术的那些人员进行，而不偏离所附权利要求中定义的本发明的精神和范围，所附权利要求的范围被赋予最宽的解释以涵盖此类修改和等效结构。
【权利要求】
1.一种用于重置非接触式网络支付设备内的安全元件的计算机实现的方法，所述方法包括: 在所述非接触式网络支付设备的所述安全元件处接收加密的重置请求消息，所述加密的重置请求消息与从与所述安全元件相关联的第一可信服务管理器变换到第二可信服务管理器的请求相关联； 在所述安全元件内提供通信密钥； 在所述安全元件内使用所述通信密钥解密所述加密的重置请求消息； 验证用于所述重置请求消息的授权；以及 清除与所述安全元件相关联的参数。
2.根据权利要求1所述的计算机实现的方法，其还包括关于从所述第一可信服务管理器变换到所述第二可信服务管理器的请求来撤回所述第一 TSM访问所述非接触式网络支付设备的所述安全元件的访问密钥。
3.根据权利要求1所述的计算机实现的方法，其还包括接收证书请求并且响应于接收所述证书请求来提供与所述通信密钥相关联的证书。
4.根据权利要求1所述的计算机实现的方法，其中清除与所述安全元件相关联的参数包括在所述安全元件内重置一个或多个卡密钥。
5.根据权利要求1所述的计算机实现的方法，其中验证用于所述重置请求消息的授权包括从可信权威机构验证所述重置请求消息上的签名。
6.根据权利要求1所述的计算机实现的方法，其中验证用于所述重置请求消息的授权包括通过无线接口接收授权代码。
7.根据权利要求1所述的计算机实现的方法，其中所述通信密钥包括私人公用密钥对。
8.根据权利要求1所述的计算机实现的方法，其还包括在所述安全元件内提供签名密钥。
9.根据权利要求1所述的计算机实现的方法，其中所述安全元件与近场通信接口相关联。
10.根据权利要求1所述的计算机实现的方法，其中清除与所述安全元件相关联的参数包括原子操作。
11.一种计算机程序产品，其包括: 非暂时性计算机可读介质，其具有实施在其中的计算机可读程序代码用于: 提供与非接触式网络支付设备的安全元件相关联的安全证书； 在所述非接触式网络支付设备的所述安全元件处接收加密的重置请求消息； 支持所述安全证书内的通信密钥； 在所述安全元件内使用所述通信密钥解密所述加密的重置请求消息； 验证用于所述重置请求消息的授权；以及 清除与所述安全元件相关联的参数。
12.根据权利要求11所述的计算机程序产品，其中所述加密的重置请求消息与将与所述安全元件相关联的第一可信服务管理器更新至第二可信服务管理器的请求相关联。
13.根据权利要求12所述的计算机程序产品，其中所述计算机可读介质还包括实施在其中用于关于从所述第一可信服务管理器变换到所述第二可信服务管理器的请求来撤回所述第一 TSM访问所述非接触式网络支付设备的所述安全元件的访问密钥的计算机可读程序代码。
14.根据权利要求11所述的计算机程序产品，其中清除与所述安全元件相关联的参数包括重置与所述安全元件相关联的卡密钥。
15.根据权利要求11所述的计算机程序产品，其中所述安全元件与近场通信接口相关联。
16.根据权利要求11所述的计算机程序产品，其中验证用于所述重置请求消息的授权包括从可信权威机构验证所述重置请求消息的签名。
17.根据权利要求11所述的计算机程序产品，其中验证用于所述重置请求消息的授权包括通过无线接口接收授权代码。
18.根据权利要求11所述的计算机程序产品，其中验证用于所述重置请求消息的授权包括通过近场通信接口接收授权代码。
19.根据权利要求11所述的计算机程序产品，其中清除与所述安全元件相关联的参数包括原子操作。
20.根据权利要求11所述的计算机程序产品，其中所述安全证书包括用于签名与所述安全元件相关联的消息的公用密钥。
21.一种用于在非接触式网络支付设备内提供可重置的安全元件的系统，所述系统包括: 与所述可重置的安全元件相关联的一个或多个卡密钥；以及 安全元件身份模块，其包括: 安全元件身份证书； 安全元件身份通信密钥； 安全元件身份签名密钥；以及 计算机可执行程序，其用于在所述安全元件身份模块内接收重置请求消息、解密所述重置请求消息、验证所述重置请求消息的授权并响应于验证所述重置请求消息的授权而重置所述一个或多个卡密钥。
22.根据权利要求21所述的系统，其中所述重置请求消息与将与所述可重置的安全元件相关联的第一可信服务管理器更新至第二可信服务管理器的请求相关联。
23.根据权利要求21所述的系统，其中所述重置请求消息与从有权访问所述可重置的安全元件的第一电子实体的访问更新至提供对第二电子实体的访问的请求相关联。
24.根据权利要求21所述的系统，其中所述可重置的安全元件与近场通信相关联。
25.根据权利要求21所述的系统，其中所述卡密钥包括卡管理器密钥或计费密钥。
【文档编号】G06Q20/38GK103493079SQ201380000817
【公开日】2014年1月1日 申请日期:2013年4月5日 优先权日:2012年4月6日
【发明者】乔纳森·沃尔, 罗伯·冯贝伦 申请人:谷歌公司