基于可配置的強制數(shù)據(jù)認證模式的認證方法及裝置、系統(tǒng)的制作方法
【技術領域】
[0001] 本發(fā)明涉及強制數(shù)據(jù)認證技術，尤其涉及一種基于可配置的強制數(shù)據(jù)認證模式的 認證方法及裝置、系統(tǒng)。
【背景技術】
[0002] 標準組織（GP，Global Platform)定義了數(shù)據(jù)認證模式（DAP，Data Authenticate Pattern)，用于驗證應用程序的文件數(shù)據(jù)真實性，即保證應用程序未被篡改。
[0003] GP定義了 一套生態(tài)系統(tǒng)，發(fā)卡方的可信服務管理方（TSM，Trust Service Manager)/第三方的TSM在為如銀行、公交等服務提供商（SP，Service Provider)提供行業(yè) 應用發(fā)行機制，通過TSM將銀行、公交等應用下載到運營商或其他發(fā)卡方的安全芯片（SE， Security Element)。SE有多種形態(tài)，類如具有CPU的銀行卡、公交卡、SWP-S頂卡。這種機 制脫離了原有銀行、公交發(fā)行銀行卡、公交卡的封閉模式，需要將原有銀行卡、公交卡內的 應用跨行業(yè)部署到其他行業(yè)、部門發(fā)行的SE中，因此，需要提供一種機制保證銀行、公交等 行業(yè)SP的應用的安全，保證應用不被發(fā)卡方或第三方（第三方為獨立于發(fā)卡方和服務提供 方的具有公信力的第三方機構）所篡改。圖1為由第三方對卡片進行數(shù)據(jù)認證的示意圖，如 圖1所示，首先SP需要將應用及應用的DAP簽名提供給發(fā)卡方TSM或第三方TSM。SE上的 應用遵循Java Card標準。DAP簽名用DAP密鑰對應用程序的Hash進行簽名，簽名算法可 以是對稱的3DES、AES或非對稱的RAS。DAP密鑰由SP提供，可采用一卡一密的分散算法， 通過安全的方式寫入SE上SP所屬安全域中。
[0004] TSM進行應用下載，負責將應用程序及DAP簽名數(shù)據(jù)下載到SE中。SE接受到應用 及DAP簽名后，SP的安全域使用SE上DAP密鑰對應用程序進行DAP簽名數(shù)據(jù)驗證檢查簽 名數(shù)據(jù)是否一致，保證應用程序未被篡改；如果應用程序或DAP簽名數(shù)據(jù)在發(fā)卡方或第三 方有任何改變，DAP簽名驗證不通過，應用安裝將會失敗。
[0005] 同時GP提出了強制DAP驗證方法（M-DAP，Mandatory DAP)，強制DAP用于具有公 信力的控制機構（CA，Control Authority)或行業(yè)的監(jiān)管機構驗證發(fā)行到卡上的所有應用 的DAP簽名，而不是用于某個應用提供商驗證其自身的應用。圖2為強制DAP驗證的示意 圖，如圖2所示，SE上安全域A的DAP密鑰由SP生成、分發(fā)以及寫入；安全域N的強制DAP 密鑰由控制機構或行業(yè)的監(jiān)管機構生成、分發(fā)以及寫入。SP以及控制機構或行業(yè)的監(jiān)管機 構需要將應用程序、DAP簽名以及強制DAP簽名數(shù)據(jù)提供給發(fā)卡方TSM或第三方TSM。
[0006] TSM進行應用的下載，負責將應用程序、DAP簽名、強制DAP簽名寫入SE上的安全 域A中。安全域A驗證DAP簽名數(shù)據(jù)，安全域N驗證強制DAP簽名數(shù)據(jù)。
[0007] DAP簽名相比較于強制DAP簽名，SP的應用下載可由SP自行選擇是否使用DAP簽 名，但若SE上存在強制DAP權限安全域，SP的應用下載必須向控制機構或行業(yè)監(jiān)管機構申 請強制DAP簽名數(shù)據(jù)。
[0008] 中國人民銀行發(fā)布了移動支付系列規(guī)范，對強制DAP提出要求，其試點驗證的實 現(xiàn)方案如圖3所示，相比較于GP的強制DAP方案，央行的強制DAP僅針對行業(yè)兼顧的金融 應用進行強制DAP驗證。GP提出的強制DAP方案提出了通過具有公信力的控制機構強制要 求發(fā)卡方TSM或第三方TSM進行應用程序的DAP驗證，達到防篡改的目的，提升應用的安全 性。通過集中的強制DAP驗證代替可選的分散DAP驗證，即保證安全性，又簡化了應用發(fā)行 的流程。但存在以下問題：由于SE是開放的，可安裝各個行業(yè)的應用；但在實際的業(yè)務開展 過程中，金融、公交、社保等行業(yè)難以達成一個控制機構。
[0009] 若各行業(yè)都需要在SE上監(jiān)管其行業(yè)內的應用，導致在實際的運營中，SE上存在多 個強制DAP權限的安全域分屬不同行業(yè)。這樣遵循GP標準，一個SP需要向SE上所有強制 DAP權限的安全域對應的機構申請強制DAP簽名，這在實際業(yè)務運營中是行不通的。
[0010] 央行的強制DAP方案僅要求對其監(jiān)管的金融應用進行強制DAP驗證，避免了實 際業(yè)務運營過程中對其他行業(yè)進行監(jiān)管的尷尬局面，但其方案存在以下問題：央行的強制 DAP方案僅支持金融應用，與SE開放承載多行業(yè)存在沖突。因此從SE上角度應支持多行業(yè) 的強制DAP認證。
[0011] 在方案實現(xiàn)上，央行強制DAP需要SE的操作系統(tǒng)（0S，Operation System) 進行修改，在應用下載過程判斷應用的AID是否匹配金融應用（金融應用AID為 A000000333……）。由于應用判斷標準在0S層硬編碼，不利于后續(xù)擴展變更，不利于對多行 業(yè)強制DAP認證的支持。

【發(fā)明內容】

[0012] 本發(fā)明實施例為解決上述技術問題，提供一種基于可配置的強制數(shù)據(jù)認證模式的 認證方法及裝置、系統(tǒng)，適用于多行業(yè)管理機構監(jiān)管SE的場景。
[0013] 本發(fā)明實施例的技術方案是這樣實現(xiàn)的：
[0014] 一種基于可配置的強制數(shù)據(jù)認證模式的認證方法，包括：
[0015] TSM平臺生成強制DAP安全域安裝或更新指令；
[0016] 將所述強制DAP安全域安裝或更新指令向終端發(fā)送。
[0017] 優(yōu)選地，所述方法還包括：
[0018] 所述TSM平臺設置強制DAP的配置參數(shù)；
[0019] 將所述強制DAP的配置參數(shù)承載于所述強制DAP安全域的安裝或更新指令中。
[0020] 優(yōu)選地，所述將所述DAP的配置參數(shù)承載于所述強制DAP安全域的安裝或更新指 令中，包括：
[0021] 對所述強制DAP安全域的安裝指令進行擴展，將所述強制DAP的配置參數(shù)承載于 所述強制DAP安全域的安裝指令的擴展部分；
[0022] 或者，對所述強制DAP安全域的更新指令進行擴展，將所述強制DAP的配置參數(shù)承 載于所述強制DAP安全域的更新指令的擴展部分。
[0023] 優(yōu)選地，所述強制DAP的配置參數(shù)包括以下參數(shù)：
[0024] 待添加的安全域或應用列表；
[0025] 強制DAP的配置參數(shù)長度；
[0026] -個以上的安全域或應用；
[0027] 安全域安全屬性長度；
[0028] 應用或安全域標識。
[0029] -種基于可配置的強制數(shù)據(jù)認證模式的認證方法，包括：
[0030] 終端接收到TSM平臺發(fā)送的強制DAP安全域的安裝或更新指令后，對所述強制DAP 安全域安裝或更新指令進行解析，獲取解析結果；
[0031] 判斷所述解析結果中存在強制DAP的配置參數(shù)的標識時，獲取所述強制DAP的配 置參數(shù)，并將所述配置參數(shù)寫入注冊表中。
[0032] 優(yōu)選地，所述方法還包括：
[0033] 所述終端接收到應用的安裝指令后，確定所述應用與當前存儲的強制DAP安全域 是否關聯(lián)；
[0034] 在確定所述應用與當前存儲的強制DAP安全域關聯(lián)時，查找所述安裝指令中是否 包含強制DAP簽名數(shù)據(jù)；
[0035] 在所述安裝指令中包含強制DAP簽名數(shù)據(jù)時，在所述注冊表中查找出與所述應用 關聯(lián)的強制DAP的配置參數(shù)，并驗證所述強制DAP簽名數(shù)據(jù)與所述強制DAP的配置參數(shù)是 否一致；
[0036] 在所述強制DAP簽名數(shù)據(jù)與所述強制DAP的配置參數(shù)一致時安裝所述應用。
[0037] 優(yōu)選地，所述方法還包括：
[0038] TSM平臺生成強制數(shù)據(jù)認證模式DAP安全域安裝或更新指令；
[0039] 所述TSM平臺將所述強制DAP安全域安裝或更新指令向終端發(fā)送。
[0040] 優(yōu)選地，所述方法還包括：
[0041] 所述TSM平臺設置強制DAP的配置參數(shù)；
[0042] 所述TSM平臺將所述強制DAP的配置參數(shù)承載于所述強制DAP安全域的安裝或更 新指令中。
[0043] 優(yōu)選地，所述將所述DAP的配置參數(shù)承載于所述強制DAP安全域的安裝或更新指 令中，包括：
[0044] 對所述強制DAP安全域的安裝指令進行擴展，將所述強制DAP的配置參數(shù)承載于 所述強制DAP安全域的安裝指令的擴展部分；
[0045] 或者，對所述強制DAP安全域的更新指令進行擴展，將所述強制DAP的配置參數(shù)承 載于所述強制DAP安全域的更新指令的擴展部分。
[0046] 優(yōu)選地，所述強制DAP的配置參數(shù)包括以下參數(shù)：
[0047] 待添加的安全域或應用列表；
[0048] 強制DAP的配置參數(shù)長度；
[0049] 一個以上的安全域或應用；
[0050] 安全域安全屬性長度；
[0051] 應用或安全域標識。
[0052] -種基于可配置的強制數(shù)據(jù)認證模式的認證裝置，包括：生成單元和發(fā)送單元，其 中：
[0053] 生成單元，用于生成強制數(shù)據(jù)認證模式DAP安全域安裝或更新指令；
[0054] 發(fā)送單元，用于將所述強制DAP安全域安裝或更新指令向終端發(fā)送。
[0055] 優(yōu)選地，所述裝置還包括：設置單元和承載單元，其中：
[0056] 設置單元，用于設置強制DAP的配置參數(shù)；
[0057] 承載單元，用于將所述強制DAP的配置參數(shù)承載于所述強制DAP安全域的安裝或 更新指令中。
[0058] 優(yōu)選地，所述承載單元，還用于：
[0059] 對所述強制DAP安全域的安裝指令進行擴展，將所述強制DAP的配置參數(shù)承載于 所述強制DAP安全域的安裝指令的擴展部分；
[0060] 或者，對所述強制DAP安全域的更新指令進行擴展，將所述強制DAP的配置參數(shù)承 載于所述強制DAP安全域的更新指令的擴展部分。
[0061] 一種基于可配置的強制數(shù)據(jù)認證模式的認證裝置，包括：第一接收單元、解析單 元、判斷單元、獲取單元和寫入單元，其中：
[0062] 第一接收單元，用于接收強制數(shù)據(jù)認證模式DAP安全域的安裝或更新相關的指 令；
[0063] 解析單元