一種應用解鎖方法與流程

本發明涉及信息安全技術領域，特別涉及一種應用解鎖方法。

背景技術：

目前，IC卡的脫機消費交易離不開每臺終端機上具有消費安全訪問模塊(PSAM)卡的支持，PSAM卡用于在IC卡進行消費交易時，通過存儲的密鑰文件和加密算法來進行安全計算，確保IC卡消費交易安全完成。

PSAM卡安裝于終端中，在IC卡進行消費交易時，可以直接使用，不需要解鎖。因此，PSAM卡丟失或遭盜搶之后，非法擁有者仍可使用，給運營秩序帶來混亂，因此安全性比較低。

技術實現要素：

本發明的目的在于提供了一種應用解鎖方法，能夠提高消費交易的安全性。

本發明實施例提供了一種應用解鎖方法，該方法包括：接收攜帶第一隨機數、要解鎖的應用標識和第一時間因子的應用解鎖請求；利用自身保存的應用解鎖密鑰，接收到的第一隨機數、要解鎖的應用標識和第一時間因子，計算得到請求鑒別碼；同時還產生第二隨機數；將請求鑒別碼、第二隨機數和自身唯一標識攜帶在應用解鎖請求響應中發送出去，以使對端對所述唯一標識和請求鑒別碼進行驗證，并在驗證通過后，根據第二隨機數、要解鎖的應用標識和第二時間因子，計算得到授權鑒別碼；接收攜帶授權鑒別碼和第二時間因子的應用解鎖授權；對所述授權鑒別碼進行驗證，驗證通過后，在發送的應用解鎖授權響應中攜帶應用解鎖成功的消息。

本發明實施例還提供了一種應用解鎖方法，該方法包括：接收到應用解鎖 連接請求的命令后，產生第一隨機數；將第一隨機數攜帶在應用解鎖連接請求響應中發送出去，以使對端產生請求鑒別碼；接收攜帶請求鑒別碼、第二隨機數、對端唯一標識、要解鎖的應用標識和第一時間因子的應用解鎖請求響應；根據應用解鎖請求響應對對端唯一標識和請求鑒別碼進行驗證，如果驗證通過則利用分散產生的應用解鎖密鑰，以及第二隨機數、要解鎖的應用標識，和當前時間作為的第二時間因子，產生授權鑒別碼；將授權鑒別碼和第二時間因子攜帶在應用解鎖授權中發送出去，以使對端對授權鑒別碼進行驗證，在驗證通過后，確認應用解鎖成功；接收攜帶應用解鎖成功消息的應用解鎖授權響應。

本發明的有益效果在于，本發明提出一種應用解鎖方法，需要解鎖的模塊可以是HSAM，或者其他模塊，該模塊所支持的應用在斷電和剛開機上電后處于鎖定狀態，須與后臺管理系統完成雙向認證進行解鎖。如此，模塊丟失或遭盜搶之后，只要進行了掛失處理，掛失后的模塊在后臺管理系統中的狀態為已掛失，屬于不合法狀態，則加電之后的應用解鎖不會成功，非法擁有者無法利用其進行破壞性活動。與現有技術中，PSAM卡安裝于終端中，在IC卡進行消費交易時，可以直接使用相比，大大提高了消費交易的安全性。

附圖說明

圖1為本發明應用解鎖方法的流程示意圖；

圖2為本發明實施例HSAM通過消費應用系統的終端與IC卡之間的消費交易流程示意圖。

具體實施方式

本發明提出一種多通道高速安全訪問模塊(Multi-Channel High-Speed SAM，下稱HSAM)，所支持的應用在斷電和剛開機上電后處于鎖定狀態，須與后臺管理系統完成雙向認證進行解鎖。解鎖后的應用可以為所有經過授權的終端提供服務。HSAM的應用解鎖機制大大強化了面對遺失或盜搶時的安全防控。另外，該設備具有多通道，用于實現多種應用和多個終端的并發消費交易，且不同應 用和不同終端彼此獨立互不干擾，相當于多只不同終端機編號的PSAM卡并行工作。需要說明的是，本發明實施例中所說的HSAM是相對于現有技術中的PSAM所提出的一種模塊，只要能夠實現在消費交易前進行應用解鎖，在消費交易中各終端的各應用可以通過對應的通道進行安全計算，實現多通道并發進行交易處理的模塊，都在本發明的保護范圍內，包括但不限于所舉的HSAM。

實施例一

本發明提供了一種應用解鎖方法，HSAM安插到消費應用系統，且消費應用系統與后臺管理系統通過網絡連接后，執行以下步驟，其流程示意圖如圖1所示：

步驟11、消費應用系統向后臺管理系統發出應用解鎖連接請求。

步驟12、后臺管理系統接收到應用解鎖連接請求的命令后，產生第一隨機數R1，并向消費應用系統返回攜帶第一隨機數的應用解鎖連接請求響應。

步驟13、消費應用系統攜帶第一隨機數、要解鎖的應用標識，連同消費應用系統當前時間所作的第一時間因子T1，向HSAM發送應用解鎖請求指令。

步驟14、HSAM利用自身保存的應用解鎖密鑰，以及獲取的第一隨機數、要解鎖的應用標識和第一時間因子，計算得到請求鑒別碼；同時HSAM還產生第二隨機數R2。

步驟15、HSAM將請求鑒別碼、第二隨機數和自身保存的HSAM唯一標識攜帶在應用解鎖請求響應中向消費應用系統發送。

步驟16、消費應用系統攜帶請求鑒別碼、第二隨機數、HSAM唯一標識、要解鎖的應用標識和第一時間因子，向后臺管理系統發送驗證請求鑒別碼和HSAM唯一標識的請求。

步驟17、后臺管理系統對HSAM唯一標識和請求鑒別碼進行驗證，如果驗證通過則產生授權鑒別碼；如果HSAM唯一標識或請求鑒別碼驗證失敗，則應用解鎖失敗，結束流程。

具體地，后臺管理系統中保存有該HSAM的唯一標識和當前狀態。

當HSAM遺失或盜搶后，消費應用系統攜帶該HSAM唯一標識向后臺管理 系統發送掛失請求，后臺管理系統響應該請求，并將接收的HSAM唯一標識狀態更新為“已掛失”。此后，若HSAM再開機進行雙向認證解鎖時，即步驟17中，后臺管理系統會驗證該HSAM唯一標識的狀態，若其狀態為“已掛失”等非正常狀態，則應用解鎖流程失敗。若為正常狀態，說明HSAM唯一標識通過驗證，則繼續執行應用解鎖流程，即繼續驗證請求鑒別碼。

當HSAM唯一標識通過驗證后，后臺管理系統根據已保存的應用解鎖母密鑰和接收到的HSAM的唯一標識，利用密鑰分散算法，分散產生當前HSAM的應用解鎖密鑰；后臺管理系統利用該分散產生的應用解鎖密鑰，以及第一隨機數、要解鎖的應用標識和第一時間因子，計算得到請求鑒別碼；

后臺管理系統將自身計算得到的請求鑒別碼和HSAM發送的請求鑒別碼進行比較，如果兩者一致，則請求鑒別碼驗證通過。如果兩者不一致，則請求鑒別碼驗證失敗，應用解鎖失敗，結束流程。當請求鑒別碼驗證通過后，后臺管理系統利用該分散產生的應用解鎖密鑰，以及第二隨機數、要解鎖的應用標識和以后臺管理系統當前時間所作的第二時間因子，計算得到授權鑒別碼。

步驟18、后臺管理系統向消費應用系統返回第二時間因子、授權鑒別碼。

步驟19、消費應用系統攜帶授權鑒別碼和第二時間因子，向HSAM發送應用解鎖授權。

步驟20、HSAM對授權鑒別碼進行驗證，如果驗證通過，則確認應用解鎖成功，在執行步驟21時，向消費應用系統發送的應用解鎖授權響應中攜帶應用解鎖成功的消息；如果驗證失敗，則確認應用解鎖失敗，在執行步驟21時，向消費應用系統發送的應用解鎖授權響應中攜帶應用解鎖失敗的消息。

其中，HSAM對授權鑒別碼進行驗證的方法包括：

HSAM利用自身保存的應用解鎖密鑰，以及第二隨機數、要解鎖的應用標識和第二時間因子，計算得到授權鑒別碼；

HSAM將自身計算得到的授權鑒別碼和接收的授權鑒別碼進行比較，如果兩者一致，授權鑒別碼驗證通過，則對當前應用進行解鎖，設置該應用為已解鎖狀態。

如果兩者不一致，授權鑒別碼驗證失敗，應用解鎖失敗，對應應用的解鎖錯誤計數器KEY值+1，當KEY值達到上限后，則對應應用休眠。

步驟21、HSAM向消費應用系統發送應用解鎖授權響應，該響應中攜帶應用解鎖成功或者失敗的消息。

只有得到應用解鎖成功，消費應用系統才能在HSAM的支持下，為所涉及應用提供相應的IC卡消費交易服務。

如此，HSAM丟失或遭盜搶之后，只要進行了掛失處理，掛失后的HSAM在后臺管理系統中的狀態為已掛失，屬于不合法狀態，則加電之后的應用解鎖不會成功，非法擁有者無法利用其進行破壞性活動。

實施例二

本發明HSAM具有多通道，用于保證多種應用和多個終端并發消費交易時的安全性，且不同應用和不同終端彼此獨立互不干擾。本發明中HSAM不再像現有技術那樣，PSAM卡安裝于一個終端中，而是HSAM通過消費應用系統后端服務可以與多個終端連接，每個終端只用于讀取IC卡信息，HSAM用于進行安全運算。一個HSAM可以支持多終端并行、支持多種應用，例如停車場，高速公路等。一個應用可以對應多個終端。

因此，本發明在HSAM中為每個終端的每個應用維護一個安全處理通道，在消費交易中各終端的各應用可以通過對應的通道進行安全計算，實現多通道并發進行交易處理。并且，在消費交易流程中，對HSAM加入了已授權終端的判斷，即判斷IC卡消費交易時所使用的終端機編號是否屬于HSAM預先存儲的終端授權列表，若不屬于則拒絕消費交易處理。

在電子收費過程中，電子收費前端系統包括IC卡、車道控制器、消費應用系統和HSAM。消費應用系統由終端和消費應用系統后端服務組成，HSAM通過消費應用系統后端服務與終端通信，終端和車道控制器連接。車道控制器是車道的總控和協調設備，感應到車輛通過時，觸發終端讀取IC卡信息，進行如圖2所示的消費交易流程；并且最終根據終端返回的消費交易結果，確定是否 允許車輛通過。

本發明HSAM在初始化時，保存的內容包括以下幾點：

1、根據自身所支持的具體應用，為不同應用裝載消費密鑰和應用解鎖密鑰。

2、建立終端授權列表，該終端授權列表中包括多個經過授權的終端機編號。

3、根據已保存的終端授權列表，為上述的每個終端的每種類型應用分別建立終端交易序號。

圖2為本發明實施例HSAM過消費應用系統的終端與IC卡之間的消費交易流程示意圖，包括如下步驟：

步驟31，終端向IC卡發送消費初始化命令。

步驟32，IC卡響應初始化命令：檢查電子存折/電子錢包余額是否大于等于交易金額，若滿足則產生第三隨機數。

步驟33，IC卡根據終端的指示向終端發送電子存折/電子錢包脫機交易序號和自身產生的第三隨機數。

步驟34，終端接收IC卡發送的電子存折/電子錢包脫機交易序號和產生的第三隨機數，在其中附加了終端機編號后，通過消費應用系統后端服務發送至HSAM。

步驟35、HSAM驗證收到的終端機編號是否屬于自身已存儲的授權終端列表，如果屬于，則產生第一消費MAC：MAC1。

其中，HSAM產生第一消費MAC的過程屬于HSAM安全運算的內容，具體可以為：通過HSAM中保存的消費密鑰產生消費子密鑰(DPK)；利用DPK對第三隨機數、電子存折/電子錢包脫機交易序號、終端交易序號的最右兩個字節加密，得到過程密鑰(SESPK)；用過程密鑰對以下數據進行加密產生MAC1(按所列順序)：交易金額、交易類型標識、終端機編號、交易日期(終端)、交易時間(終端)。

步驟36，HSAM通過消費應用系統向IC卡發送MAC1和自身保存的終端交易序號。

步驟37、IC卡進行MAC1的驗證。

IC卡產生MAC11，如果MAC11與接收的MAC1相等，則驗證MAC1成功，然后進行以下操作包括，IC卡從電子存折/電子錢包余額中扣減消費的金額，并將電子存折/電子錢包脫機交易序號加1。在余額和脫機交易序號的更新均成功后，IC卡消費交易明細才可更新。

其中，IC卡產生MAC11的算法與HSAM產生MAC1的算法相對應，首先IC卡利用自身保存的DPK對第三隨機數、電子存折/電子錢包脫機交易序號、終端交易序號加密，得到過程密鑰(SESPK)，然后按與HSAM所使用的相同順序，對交易金額、交易類型標識、終端機編號、交易日期(終端)、交易時間(終端)進行加密計算得到MAC11。

步驟38，IC卡驗證MAC1成功后，產生第二消費MAC：MAC2和交易鑒別碼(TAC)，并發送至終端。

其中，IC卡產生MAC2的過程可以為：用步驟37中所生成的過程密鑰，對交易金額進行加密產生MAC2。

IC卡產生TAC的過程可以為：IC卡利用上述過程密鑰對以下數據進行加密產生TAC：交易金額，交易類型標識，終端機編號，終端交易序號，交易日期(終端)，交易時間(終端)。

步驟39，終端將接收的TAC寫入終端消費交易明細，并通過消費應用系統后端服務發送終端機編號和MAC2到HSAM。

步驟40、HSAM驗證終端機編號是否屬于自身已保存的終端授權列表，若屬于，再進行MAC2的驗證。

HSAM計算MAC21，如果MAC21與MAC2相等，則驗證MAC2成功，將自身終端和應用的終端交易序號加1，并更新交易日志。

其中HSAM卡計算MAC21的算法與IC卡產生MAC2的算法相對應，具體可以為：HSAM利用接收到的終端機編號所對應通道中已保存的、在步驟35中所生成的過程密鑰，對交易金額進行加密。

步驟41，HSAM將MAC2的驗證結果通過消費應用系統后端服務發送至終端，以便終端做出相應的操作反應。

需要說明的是，圖2的消費交易流程和其中計算MAC1、MAC11、MAC2和MAC21的規則均符合《中國金融集成電路(IC)卡規范》JR/T 0025.2。

綜上，本發明的有益效果是，

一、本發明HSAM響應應用解鎖請求和應用解鎖授權，與消費應用系統和后臺管理系統進行交互，完成了HSAM的聯機授權，安全性得到了增強。

二、本發明的HSAM具有多通道，實現了多種應用和多個終端的并發消費交易，且不同應用和不同終端彼此獨立互不干擾。

以上所述僅為本發明的較佳實施例而已，并不用以限制本發明，凡在本發明的精神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本發明保護的范圍之內。