[發明專利]用于保護移動裝置中的本地資源的數據處理

有效

• 申請號: 201180052672.1
• 申請日: 2011-10-21
• 公開（公告）號: CN103201998A
• 公開（公告）日: 2013-07-10
• 發明（設計）人: 洛倫佐·賽諾;路易斯-瑪麗·勒薩歐克斯
• 申請（專利權）人: 法國電信公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04W12/06;G06F21/42
• 代理公司: 北京英賽嘉華知識產權代理有限責任公司 11204
• 代理人: 余朦;王艷春

技術領域

本發明大體上涉及移動裝置的安全性。更具體地，本發明涉及這樣的裝置和方法，其用于在離線背景下基于識別模塊安全信息向移動裝置的本地資源提供強制性的訪問控制、完整性和保密性。識別模塊可以是用戶識別模塊（SIM）、全球用戶識別模塊（USIM）、可移動用戶識別模塊（RUIM）、或CDMA用戶識別模塊（CSIM）。

背景技術

在技術進步和市場需求的推動下，市場上存在的移動電話的平均特征集在近幾年里穩步地增加。由于這種趨勢，現今，能力最強的移動裝置，有時被稱為智能手機，除傳統的電話服務之外還能夠執行大量的任務。這些特征例如包括訪問因特網、運行計算相對密集型的應用、播放或錄制多個媒體內容以及存儲大量數據。隨后，由移動裝置提供的更大的功能集導致了終端使用者在移動電話的使用方面的變化。

這些變化之一體現在使用者存儲在其設備上的內容。事實上，終端使用者現在能夠在移動電話本地存儲越來越多的數據，其中一些還可能非常敏感。示例性的數據包括電子郵件、文件、照片、視頻、密碼、及其他認證憑證。即使在云計算的背景下，計算和存儲的大部分由服務器端應用執行，移動裝置仍然存儲相當多的敏感信息，如認證憑證和由于性能和可用性原因在本地緩沖的數據。

因為裝置容易遭到盜竊或遺失，數據的安全性，更一般而言的移動裝置的任何其他本地資源（如應用或硬件組件）的安全性是相當重要的事情。為此，移動裝置上越來越多的本地可用資源導致對適當地保護的更嚴格的安全性要求。

目前，在符合3GPP標準的移動電話中，可以通過使用安裝在抗干擾集成電路卡（有時稱為智能卡）上的用戶識別模塊（SIM）或全球用戶識別模塊（USIM）來提供安全性。（U）SIM可用于移動用戶與移動網絡的相互認證以及為移動電話與符合3GPP標準的移動網絡之間的數據交換提供保密性、完整性、真實性和不可否認性。

（U）SIM提供用于訪問移動網絡服務的適當水平的安全性。事實上，與提供“你所知道的”單因素認證的用戶名/密碼認證憑證不同，智能卡上的（U）SIM應用提供更強的“你所具有的”認證。此外，可以通過設置個人識別號碼（PIN）增加（U）SIM安全性以保護未授權的使用者對卡的訪問，因此使得（U）SIM能夠提供雙因素認證。總之，（U）SIM的另一個顯著的安全特性在于移動網絡操作者可以遠程使其無效的能力。

然而，使用基于（U）SIM的認證機制作為保護移動裝置上的本地資源的方式還是有相當大的限制的。

第一，如果沒有可用的網絡連接，基于（U）SIM的認證不能被執行。事實上，GSM認證與密鑰協商（AKA）協議和UMTS認證與密鑰協商（AKA）協議都需要移動網絡的可用性以產生認證挑戰并驗證由（U）SIM提供的響應。

第二，攻擊者可以在欺騙性的（U）SIM與欺騙性的移動網絡之間運行AKA認證以使裝置相信該（U）SIM為真，因此授權對本地資源的訪問。

第三，基于（U）SIM的認證協議不提供適當的機制來加密/解密本地存儲的文件和驗證其完整性。

然而，本領域的技術人員應該認識到這些能力可以由安裝在SIM卡或通用的集成電路卡（UICC）上的特別的另外的小應用提供。但是，這將需要發行特殊的卡，這樣會對大規模應用提出嚴重的限制。事實上，這樣將需要替換目前使用的卡或通過無線電安裝這種小應用，這兩種過程都將會相當昂貴。另外，假如還需要在線安全特性，如當網絡連通性可用時的遠程無效和在線認證，就將需要專用網絡設施，進一步增加了資金成本和運營成本。

第WO2007/036024號國際專利申請公開了一種用于當接收單元離線時提供認證該接收單元的使用者的方法。該方法包括基于與發送單元的在線通信存儲與一個項目相關聯的一個或多個挑戰-答復組。挑戰-答復組的每個包括至少一個挑戰答復對，該至少一個挑戰答復對用于為了通過接收單元獲得特殊資源的使用者的離線認證。

然而，在該文件中公開的方法沒有描述對識別模塊環境的適應。換句話說，該方法不準許在單獨的模塊框架中認證。

本發明的實施方式將改進這種情況。

發明內容

為了處理這些需求，本發明的第一方面涉及用于保護移動裝置中的本地資源的數據處理方法。該方法包括：

a）當網絡連通時：

-聯接所述移動裝置與第一識別模塊，第一識別模塊與第一國際移動用戶識別碼（IMSI）相關聯；

-在第一識別模塊中接收來自通信網絡的網絡挑戰，使用密鑰加密網絡挑戰，并向通信網絡發出相應的響應以用于隨后的成功認證，

b）在對通信網絡成功認證之后：