用于实现虚拟智能卡服务的方法和系统与流程

本发明一般涉及用于实现虚拟智能卡服务的方法和系统。

本发明尤其适用于如下领域：其中，客户端装置包括例如个人计算机(或pc)、膝上型计算机、平板、智能(远程)电话或任何其他计算装置。

在本描述内，虚拟智能卡服务仿真(一个或多个)物理智能卡行为，即，一个或若干密码或密钥(key)操作，诸如，(一个或多个)数字签名、加密和/或解密功能/操作。

背景技术：

已知使用在服务器侧控制对多个虚拟智能卡的访问的虚拟智能卡服务器(或vscs)。vscs访问仅vscs可访问的存储在安全数据存储设备中的多个私有密钥。vscs通过像因特网之类的网络远程地连接到作为虚拟智能卡客户端(或vscc)的一组客户端计算机。vscc请求vscs实行私有密钥操作。vscs安全地实行私有密钥操作。然后，vscs向vscc发送私有密钥操作的结果。

然而，由于例如在标准gemaltovscs产品的优化版本中，vscc通过使用(一个或多个)应用协议数据单元(或apdu)来与vscs通信，因此apdu级通信包括表示繁重的网络业务(traffic)和低业务性能的公共密钥基础结构(或pki)型操作的大约二十个交换的apdu消息。

us2013290717a1和wo2018004784a1都描述了如下解决方案：其中，在服务器侧模拟智能卡应用逻辑，其涉及在客户端侧与服务器侧之间交换apdu。

需要如下备选解决方案：其减少所要求的消息的计数，并且因此减少相关联的网络业务，并且提高业务性能。

技术实现要素：

本发明提出了如下解决方案：其用于通过提供用于实现虚拟智能卡服务的方法来满足刚刚在上文中指定的需要。

根据本发明，虚拟智能卡服务对应于智能卡应用的执行。至少一个密钥存储在服务器侧。智能卡应用使用应用元数据来模拟智能卡应用逻辑。该方法包括以下步骤：

-a)由至少一个客户端处理智能卡应用逻辑；

-b)在从智能卡应用逻辑中检索智能卡数据时，由至少一个客户端运行智能卡应用；

-c)在运行智能卡应用时，由至少一个客户端识别智能卡应用内的至少一个密钥操作；

-d)在运行智能卡应用时，由至少一个客户端通过使用至少一个识别的密钥操作和与客户端有关的数据来生成密钥操作请求；

-e)由至少一个客户端通过智能卡应用向第一服务器发送所生成的密钥操作请求；

-f)由第一服务器或第二服务器通过使用至少一个密钥和客户端数据来处理所生成的密钥操作请求，第二服务器连接到第一服务器；

-g)由第一或第二服务器获得密钥操作结果，该密钥操作结果是对客户端数据的至少一个识别的密钥操作的结果；以及

-h)由第一或第二服务器通过智能卡应用向客户端发送密钥操作结果。

本发明的原理在于，在客户端侧使用应用元数据来模拟与智能卡应用有关的逻辑并且仅在服务器侧使用一个或若干密钥，以便执行智能卡应用。一旦客户端应用使用应用元数据并且从智能卡应用逻辑获得智能卡数据，则客户端应用在执行智能卡应用时，查找将实施的一个或若干密钥操作。然后，客户端应用通过使用(一个或多个)密钥操作和与客户端有关的数据来构建密钥操作请求。客户端应用通过智能卡应用向第一服务器传送密钥操作请求。然后，第一服务器或与之连接的第二服务器通过使用所接收的客户端数据和存储在服务器侧处的(一个或多个)密钥来处理密钥操作请求。一旦在服务器侧得到对应的密钥操作结果，则第一服务器通过智能卡应用向客户端应用传送密钥操作结果。

在本描述内，应用元数据是除了(一个或多个)(秘密)密钥之外的允许在客户端侧模拟智能卡应用逻辑的所有数据。

要求保护的解决方案基于在客户端侧进行的智能卡应用逻辑模拟。智能卡应用逻辑模拟允许在客户端侧仿真物理智能卡行为。

当客户端执行智能卡应用作为智能卡应用逻辑模拟，并且基于(一个或多个)秘密密钥来查找操作时，客户端构建或生成对应的密钥操作请求并且向服务器侧提交密钥操作请求。(所得的)密钥操作请求不包括任何apdu。

因此，客户端将处置或实行(一个或多个)相关密钥操作的(一个或多个)密钥操作卸载或委托给服务器侧。

客户端侧仅针对(一个或多个)密钥操作来对服务器侧进行寻址。

其中所有(一个或多个)非密钥操作在客户端侧实施并且所有(一个或多个)密钥操作在服务器侧实施的这种混合解决方案允许交换客户端侧与服务器侧之间交换的一些消息，通常仅两个消息。

实际上，客户端侧与服务器侧交换密钥操作请求和对应的密钥操作结果。

本发明解决方案允许相对于在整体服务器侧处的上述现有技术的虚拟智能卡服务实现，获得在服务器侧处的更简单得多的虚拟智能卡服务的实现。

本发明解决方案允许相对于上述现有技术的解决方案，减少客户端侧与服务器侧之间交换的消息的计数，并且改进业务性能。

本发明解决方案允许相对于上述现有技术的解决方案，改进业务稳定性。

诸如私有密钥之类的(一个或多个)秘密密钥不暴露于服务器侧之外，这是因为在服务器侧存储并且使用(一个或多个)秘密密钥。

根据额外的方面，本发明是用于实现虚拟智能卡服务的系统。

根据本发明，该系统包括至少一个服务器和至少一个客户端。至少一个服务器包括第一服务器。虚拟智能卡服务对应于智能卡应用的执行。智能卡应用使用应用元数据来模拟智能卡应用逻辑。至少一个客户端配置成：

-处理智能卡应用逻辑；

-在从智能卡应用逻辑中检索智能卡数据时运行智能卡应用；

-在运行智能卡应用时，识别智能卡应用内的至少一个密钥操作；

-在运行智能卡应用时，通过使用至少一个所识别的密钥操作和与客户端有关的数据来生成密钥操作请求；

-通过智能卡应用向至少一个服务器发送所生成的密钥操作请求；以及

-至少一个密钥存储在服务器侧，至少一个服务器配置成：

-从至少一个客户端接收所生成的密钥操作请求；以及

-通过使用客户端数据和至少一个密钥来处理所生成的密钥操作请求；

-获得密钥操作结果，该密钥操作结果是对客户端数据的至少一个识别的密钥操作的结果；以及

-通过智能卡应用向客户端发送密钥操作结果。

附图说明

结合下面的附图，根据本发明的作为指示性和非限制性示例而给出的一个优选实施例的详细描述，本发明的额外特征和优点将是显然的：

-图1图示根据本发明的虚拟智能卡服务实现系统的示范性实施例的简化图，该虚拟智能卡服务实现系统包括客户端pc和两个服务器，客户端侧配置成基于应用元数据来模拟智能卡应用逻辑，并且向服务器侧发送用于实行一个或若干密钥操作的请求，该服务器侧配置成基于所接收的客户端数据和存储在服务器侧处的(一个或多个)秘密密钥来实行所请求的(一个或多个)密钥操作，并且向客户端侧发送所请求的(一个或多个)密钥操作的结果；以及，

-图2表示消息的流的示例，所述消息在图1的系统的客户端侧与服务器侧之间交换，使得基于客户端侧可访问的应用元数据以及仅服务器侧可访问的(一个或多个)秘密密钥，客户端侧仅与服务器侧交换所请求的(一个或多个)密钥操作。

具体实施方式

在下文中考虑如下示范性实施例：其中，用于实现虚拟智能卡服务的本发明方法尤其是通过由pc运行的客户端应用来实现的，所述pc作为(计算)装置和独立实体，即，不与诸如硬件安全元件(或se)之类的另一个装置和在服务器侧的两个交互的远程服务器协作。

在本描述内，se是作为智能对象的如下组件：其包括作为(一个或多个)防篡改组件来保护对所存储的数据的访问的(一个或多个)芯片，并且旨在与像例如se主机装置和/或se用户之类的(一个或多个)装置传递数据。

根据另一个示范性实施例(未表示)，用于实现虚拟智能卡服务的本发明方法由与服务器侧处的单个本地或远程服务器协作的装置实现。根据这样的实施例，服务器适合于实行两个服务器实施的(一个或多个)功能/(一个或多个)操作，如下文中所述。

当然，下文中所描述的实施例仅出于举例说明目的，并且不被视为缩小本发明的范围。

图1示意性地示出虚拟智能卡(或vsc)服务实现系统10和用户11。

这样的vsc服务实现系统10包括作为(计算)装置的pc12、以及两个远程(web)服务器(或sr)——第一sr(或sr1)14和第二sr(或sr2)16。

sr114尤其起到与客户端侧对接的作用。

诸如硬件安全模块(或hsm)型服务器之类的sr216尤其起到提供(一个或多个)密码(或密钥)操作的服务的密钥操作者的作用。

vsc服务对应于诸如身份(或id)prime迷你驱动程序(或md)java卡(或jc)小程序之类的智能卡应用(或sca)的执行。

系统10优选地布置成基于在客户端侧处的预确定关联认证过程来成功地(或不成功地)认证客户端，并且访问(或不访问)由客户端(应用)在本地请求的并且包括诸如例如(一个或多个)签名、加密和/或解密操作之类的(一个或多个)密钥操作的vsc应用(或服务)。被包括在所请求的vsc应用内的(一个或多个)密钥操作使用一个或若干秘密密钥，并且仅在服务器侧实行或实施。被包括在所请求的vsc应用内的(一个或多个)非密钥操作在客户端侧实行或实施。

为了简单起见，已在客户端侧表示仅一个pc12。

然而，当sr114管理可各自单独在客户端侧使用pc12或单独的主机装置的一组客户端((一个或多个)用户和/或(一个或多个)应用)时，本发明是适用的。

pc12包括作为数据处理部件的一个或若干中央处理单元(或cpu)、(一个或多个)(微)处理器和/或(一个或多个)(微)控制器(未表示)、作为数据存储部件的一个或若干存储器(未表示)以及在内部彼此连接的一个或若干输入/输出(或i/o)接口(未表示)。

所述(或每个)pc处理器处理起源于和/或指定给任何内部组件的数据以及通过一个或若干pci/o接口起源于和/或指定给任何外部装置的数据。

pc存储器可以包括一个或若干eeprom(对于“电可擦除可编程只读存储器”的首字母缩略词)、一个或若干rom(对于“只读存储器”的首字母缩略词、一个或若干闪速存储器和/或不同类型的任何其他存储器，像例如一个或若干ram(对于“随机存取存储器”的首字母缩略词)。

pc存储器(和/或连接或耦合到pc12的另一个装置的存储器)存储作为pc12标识符(或id)的因特网协议(或ip)地址和/或允许唯一地识别要从外部寻址的pc12的(一个或多个)其他数据。

(一个或多个)pci/o接口可以包括(和/或连接到)作为pc人机接口(或mmi)的显示屏122和键盘124，以便与用户11交互。

(一个或多个)pci/o接口可以包括例如(一个或多个)相机(未表示)，以便捕获被包括在存在于相机前面的(本地)环境或情境中的(一个或多个)视频(或图片)信号。

(一个或多个)pci/o接口可以包括(或连接或耦合到)例如各自单独允许捕获与用户11的情境有关的一个或若干信号的一个或若干传感器。

(一个或多个)pci/o接口可以包括例如天线(未表示)，从而允许经由诸如内联网和/或因特网之类的一个(或多个)(通信)网络通过例如无线链路13向sr114传送数据。

使用链路13的信道可能是安全或不安全的。该信道可以与超文本传输协议(或http)(注册商标)型信道、http安全(或https)型信道或任何其他数据通信信道有关。

诸如mdsc模拟模块(像例如以c实现的迷你驱动程序库(或mdlibc))之类的sca使用应用元数据来模拟与sca有关的逻辑，即，呈现物理插入(硬件)sc读取器中的sc。

safenet认证客户端(或sac)pki中间件(或mw)经由个人计算机智能卡(或pcsc)apdu信道与作为sca的mdsc模拟模块交互。

应用元数据可能已如在下文中进一步解释的那样预先从服务器侧下载，或从诸如嵌入pc12中、连接或耦合到pc12的se(未表示)之类的硬件附件加载。

pc12(se或嵌入其中、与其连接或耦合的附件)在存储器中存储应用元数据。

应用元数据包括属于sca逻辑的除了一个或若干秘密密钥之外的所有基础结构和数据。

应用元数据允许在客户端侧模拟sca逻辑。

应用元数据包括除了一个或若干秘密密钥之外的与sca有关的所有组件或实体，其允许在客户端侧进行sca逻辑模拟。

应用元数据包括文件结构、一个或若干(本地和/或远程)访问策略、安全环境。

应用元数据包括参考用户证书，诸如，参考用户个人识别号(或pin)和/或参考用户生物数据。

应用元数据包括所有sc状态，诸如，尤其(一个或多个)已提交用户pin值和/或对失败的已提交用户pin的计数。

应用元数据可以包括与要在服务器侧由(一个或多个)密钥操作使用的每个秘密密钥有关的标识符。

应用元数据优选地仅对于客户端侧是以纯文本可访问的，即，可解译的。

作为主机装置的pc12支持一个或若干操作系统(或os)、作为(一个或多个)客户端应用的一个或若干应用，其可能通过使用应用元数据来模拟与sca有关的逻辑。

sca逻辑模拟被实现并且反映到(主机)os(像例如windows(注册商标))，作为插入(硬件)sc读取器中的(硬件)sc。

在客户端侧，仅pc12(或se或附件)并且更确切地诸如outlook(注册商标)之类的客户端应用能够解析并且处置或处理应用元数据。

客户端应用处理sca逻辑。

客户端应用在从sca逻辑中检索智能卡数据时运行sca。

在客户端侧，sca逻辑模拟处置或处理涉及与sca有关的所有非密钥操作的所有apdu。这样的非密钥操作apdu表示与sca有关的绝大多数相关apdu。

当模拟sca逻辑时，作为各个和每个密钥操作请求的目标，与所有密钥操作有关的所有apdu转化成用于通过识别sr114来在服务器侧实行(一个或多个)对应的密钥操作的(一个或多个)对应的请求。密钥操作apdu表示与sca有关的少数相关apdu。因此，(一个或多个)密钥操作请求传送到sr114，以便仅在需要(一个或多个)密钥操作时，才实行(一个或多个)相关密钥操作。

在客户端侧，sca逻辑模拟可以允许迫使用户11实行sca逻辑模拟的登录。

在客户端侧，sca逻辑模拟允许识别被包括在sca内的一个或若干密钥操作，诸如(一个或多个)签名、解密和/或加密操作。

在客户端侧，sca逻辑模拟允许通过使用(所识别的)(一个或多个)密钥操作和与客户端应用有关的数据来生成用于实行一个或若干密钥操作的请求。

在客户端侧，sca逻辑模拟允许向sr114发送(所生成的)密钥操作请求。

密钥操作请求可以包括与要由服务器侧用于实行(一个或多个)密钥操作的每个密钥有关的(一个或多个)标识符。

因此，仅在服务器侧需要并且要实行(一个或多个)密钥操作时，pc12才与sr114交互。

当模拟sca逻辑时，pc12并且更确切地客户端应用配置成通过sca来接收作为密钥操作请求响应而在服务器侧实行的与(一个或多个)密钥操作有关的结果。

系统10优选地布置成基于在服务器侧处的预确定关联密钥访问策略(或kap)来成功地(或不成功地)认证客户端。

kap包括访问(一个或多个)密钥要满足的一个或若干准则/条件，所述(一个或多个)密钥要用于在服务器侧实行由客户端侧远程(或本地)请求的所请求的(一个或多个)密钥操作。

准则/条件可以包括群组的一个或若干元素，所述群组包括：

-先前的成功的用户认证；和

-先前的成功的客户端认证。

准则/条件可以在内容和/或数量上改变。

准则/条件可以取决于基于客户端情境的风险评估的结果而改变。

对于在服务器侧注册的每个客户端，kap包括与(一个或多个))关联的预定义认证过程有关的一个或若干预定义的要求，(一个或多个)关联的预定义认证过程与相关客户端有关，即，与用户11和/或客户端应用有关，客户端必须经历并且通过(一个或多个)关联的预定义认证过程以便被认证。这样的认证提供如下(一个或多个)必要条件：所述(一个或多个)必要条件要被满足并且当成功时，允许根据关联的kap来访问与由客户端侧请求的(一个或多个)密钥操作有关的结果。

对于在服务器侧注册的每个客户端，kap可以包括已相应地预先针对每个客户端账户(即，在登记或注册阶段期间)注册的一个或若干预确定参考客户端认证数据项，诸如，参考用户pin、参考用户一次性口令(或otp)和/或参考用户口令。

kap与针对sr114或由sr114管理的客户端或一组客户端相关联。

kap存储在sr114内部或sr114外部同时sr114可访问的存储器内。kap可以存储在诸如sr216或另一个服务器(未表示)之类的单独的服务器。

作为计算装置的每个服务器，即，sr114和sr216，包括作为数据处理部件142和162的一个或若干cpu、(一个或多个)(微)处理器和/或(一个或多个)(微)控制器、作为数据存储部件144和164的一个或若干存储器以及相应地在内部彼此连接的一个或若干i/o接口146和166。

sr114和/或sr216可以通过移动网络运营商(或mno)、移动虚拟网络运营商(或mvno)、银行事务运营商、有线通信网络运营商、服务运营商(或管理者)或代表服务运营商、作为服务提供商来操作或管理。

所述(或每个)服务器处理器处理起源于和/或指定给任何内部组件的数据以及通过一个或若干pci/o接口起源于和/或指定给任何外部装置的数据。

服务器存储器可以包括一个或若干eeprom、一个或若干rom、一个或若干闪速存储器和/或像例如一个或若干ram之类的不同类型的任何其他存储器。

优选地，除了os之外，(一个或多个)所述(或每个)服务器存储器还存储从(一个或多个)sr114或sr216处理器可访问的(服务器)发明应用。

服务器存储器存储作为sr1标识符(或id)的ip地址和/或允许唯一地识别要从外部寻址的sr114和sr216的其他数据。

(一个或多个)服务器i/o接口可以包括允许通过例如有线或无线链路15在sr114与sr216之间交换数据的i/o接口。因此，sr114连接或耦合到sr216。

sr114是远程的，并且通过允许定义或形成对应的通信信道的可能一个、两个或更多个(诸如内联网网络和/或因特网网络之类的)通信网络可访问。

根据备选实施例(未表示)，sr114或软件组件是本地的。例如，sr114嵌入在连接或耦合到pc12的诸如se之类的装置(未表示)内。

sr114管理一组客户端(用户和/或应用)账户。

每个客户端可以是用户(人类)、机器或任何装置，诸如，物联网(或iot)型装置。

sr114优选地通过相关联的应用提供商接口(或api)或服务提供商接口(或spi)来访问。

sr114(或sr216)优选地适合于控制对由已注册客户端请求的(一个或多个)密钥操作的访问。

应用元数据可以存储在服务器侧。

应用元数据可以采用加密方式存储在服务器侧。

sr114可以适合于从客户端(应用)接收对于获得应用元数据的请求。

sr114可以配置成通过可能涉及sr216来从数据库或文件中读取或检索应用元数据，以便对被加密的元数据进行解密。

一旦应用元数据以纯文本被检索到，则sr114向客户端发送应用元数据。

优选地，应用元数据的内容对于服务器侧，即，sr114和/或sr216不可访问。因此，服务器侧不能解析和处置或处理应用元数据。对于sr114和/或sr216，应用元数据是例如不透明blob等等，即，服务器侧不可解译。

sr114可以适合于向客户端(应用)发送应用元数据作为对(所接收的)应用元数据请求的响应。

sr114配置成从客户端侧接收用于实行诸如(一个或多个)签名、加密和/或解密操作之类的(一个或多个)密钥操作的请求。

sr114优选地配置成将(一个或多个)密钥操作的处理委托给sr216。

sr216配置成通过使用(一个或多个)秘密密钥和与客户端有关的数据来处理密钥操作请求。

诸如(一个或多个)私有密钥和/或(一个或多个)对称密钥之类的(一个或多个)秘密密钥可以在密钥操作请求内被识别。

(一个或多个)秘密密钥已预先在客户端侧和/或在服务器侧，即，sr114、sr216或连接或耦合到sr114或sr216并且专用于生成(一个或多个)秘密密钥的第三服务器(未表示)生成。

优选地，(一个或多个)秘密密钥安全地存储在服务器侧，即，sr114、sr216或连接或耦合到sr114或sr216的第三服务器(未表示)。sr114可以能够从客户端侧优选地以加密方式接收可能已预先由客户端侧生成的(一个或多个)秘密密钥。

优选地，仅sr114或sr216能够在已经解密对应的被加密的(一个或多个)秘密密钥之后，优选地访问(一个或多个)秘密密钥。(一个或多个)秘密密钥可已通过使用诸如租客密钥之类的包装密钥来加密。sr216优选地适合于通过使用包装密钥(或对应的密钥)来访问(一个或多个)秘密密钥。

将从相关的客户端(应用)接收与客户端有关的数据。

应用元数据和(一个或多个)秘密密钥的这种分离允许将对应用元数据的访问与对(一个或多个)秘密密钥的访问隔离。

优选地，应用元数据仅对于客户端侧在诸如(一个或多个)用户pin(和/或用户证书)验证之类的优选sc(即，本地访问)策略下可访问，而(一个或多个)秘密密钥优选地仅对于服务器侧在优选的远程访问策略下可访问。

应用元数据和(一个或多个)秘密密钥的分离允许具有混合的服务器-客户端sc虚拟化模式。

应用元数据和(一个或多个)秘密密钥的分离允许将(通信)网络业务减少到仅将在服务器侧实行的(一个或多个)密钥操作。除了将在服务器侧实行的(一个或多个)密钥操作之外，应用元数据还可以优选地通过涉及服务器侧，从客户端侧以加密方式更新。但是，涉及服务器侧的这种应用元数据更新不频繁。客户端侧可以更新应用元数据，以便创建、改变和/或删除相关的应用元数据和/或生成新的(一个或多个)秘密密钥和/或改变pin差错计数器(对于pin验证失败或在pin验证失败之后的pin验证成功)。

应用元数据和(一个或多个)秘密密钥的分离可以允许将vsc实现方案与基于情境的访问组合。因此，各个和每个密钥操作请求可以在密钥操作请求的报头中包括服务器访问令牌，像例如openid连接(或oidc)协议或kerberos票据。每当要使用私有密钥时，如例如身份提供商代理之类的本地访问代理可以请求将被包括在密钥操作请求中的访问令牌，以便识别用户11，确定对应的访问许可，并且根据客户端情境来应用对应的适当(一个或多个)访问控制。

图2描绘消息流20的示例，消息流20涉及图1的用户11、pc12、sr114以及sr216，以便通过在客户端侧模拟sca逻辑并且在起源于客户端侧的请求下在服务器侧实行(一个或多个)密钥操作来实现vsc应用。

可选地，在使用被包括在pc12中或连接到pc12的mmi时，用户11发起22由pc12支持的客户端应用。

备选地，由pc12支持的客户端应用的执行被自动地发起(即，没有用户11的任何参与)(未表示)。

关于用户11的主动性，pc12并且更确切地客户端应用处理24sca逻辑。

客户端(应用)通过从sca逻辑中检索sc数据来运行26sca。

然后，在运行(未表示)sca时，客户端(应用)通过例如根据在应用元数据中定义的访问策略，将每个已提交用户认证数据项与对应的参考用户认证数据项相应地进行比较，作为要匹配(和/或满足)的(一个或多个)条件，优选地验证(未表示)作为已提交用户认证数据的、像例如pin(和/或生物数据)之类的已提交(和/或已捕获)用户数据是否匹配(和/或满足)像例如参考用户11pin(和/或参考用户生物数据)之类的参考用户11认证数据。

一旦优选地已成功地实行要匹配(和/或满足)的(一个或多个)条件的(一个或多个)验证，则客户端(应用)分析28作为sca逻辑的模拟的sca的执行是否包括(一个或多个)密钥操作。

如果sca的执行不包括(一个或多个)密钥操作，则客户端(应用)终止29sca的执行。

否则，即，如果客户端在运行sca时，识别(一个或多个)密钥操作，则客户端(应用)在运行sca时，通过使用诸如电子邮件解密之类的(所识别的)(一个或多个)密钥操作和与客户端(应用)有关的诸如要解密的电子邮件之类的数据来生成210对应的密钥操作请求。

(所生成的)密钥操作请求包括sr1标识符和/或sr2标识符，以便对sr114和/或sr216进行寻址，以在服务器侧实行(一个或多个)密钥操作。

(所生成的)密钥操作请求可以包括一个或若干密钥标识符，以便作为密钥操作者的sr216识别要用于实行(一个或多个)密钥操作的(一个或多个)秘密密钥。

(所生成的)密钥操作请求可以包括访问令牌和/或otp(等等)，使得在访问令牌是(或不是)预期的访问令牌时，和/或在otp是(或不是)预期的otp(相应地)时，作为密钥操作者的sr216授权(或不授权)客户端(应用)和/或用户11访问要用于实行(一个或多个)密钥操作的(一个或多个)秘密密钥。

客户端(应用)在运行sca时，向sr114发送对应的(所生成的)密钥操作请求212。

sr114向sr216发送(所接收的)密钥操作请求214。

优选地，在使用访问令牌(等等)的客户端(应用)认证和/或使用otp(等等)的用户认证之后，当适用时(即，当客户端和/或用户成功地被认证时)，sr216通过使用相关的(一个或多个)秘密密钥和所接收的客户端数据来实行216所请求的(一个或多个)密钥操作，以便处理密钥操作请求。

为了以安全方式处理密钥操作请求，sr216可以预先通过使用包装密钥(或对应的密钥)来对相关被加密的(一个或多个)秘密密钥进行解密。

一旦sr216已获得对应的密钥操作(处理)结果作为对客户端数据实行的(一个或多个)密钥操作的结果，则sr216通过sr114向客户端12发送密钥操作结果，诸如采用纯文本(即，未被加密)的电子邮件数据。

可选地，客户端应用显示220(或使另一个装置显示)密钥操作结果，以便用户11获知密钥操作结果。

本发明解决方案允许在客户端侧模拟sca逻辑并且仅在服务器侧实行(一个或多个)密钥操作时实现vsc服务。

刚刚已描述的实施例不旨在限制相关的本发明的范围。可以给出其他实施例。作为另一个实施例，代替使用两个单独的服务器，即，同一个服务器实现由如上所述的两个服务器实行的功能/操作。