防止盗用多用途智能卡鉴别值的方法、 用于此目的的智能卡 及设计来接收所述卡的终端 本发明涉及防止盗用多用途智能卡鉴别值的方法，该卡能够利用一个终端与外界通信。本发明还涉及使用所述方法的智能卡和可接收该卡的终端。本发明特别适用于和移动电话，比如由GSM标准定义的电话一起使用的多用途智能卡。
多用途智能卡是包含一片或多片集成电路芯片的卡，该卡在其有效期内能够执行各种装载或下载的应用程序。
在现有的多用途卡解决方案中，我们可以提到的有太阳(Sun)公司专用的“JavaCard”和微软公司专用的“视窗智能卡(SmartCardfor Windows)”。
为了简单起见，下文提到“应用”时，特指应用程序(或英语术语中的小应用程序(Applet))。
鉴别值也称为鉴别码，意指可以鉴别持卡者地一个值。鉴别值可以是只有持有者知道的数据项(通常是个人身份码，或称PIN码)，它来自持有者的生物统计学特征(如声音、指纹、热量等等)，或来自只有持有者能够执行的动作(如签名)。
为了与只支持一种应用的智能卡兼容，也为了卡的使用者少些麻烦，多用途智能卡通常对所有应用只使用一个鉴别值。这样由VISA定义的OP规范，目前作为多用途智能卡装载/下载和内部管理应用的标准，为卡的所有固有的和未来的应用规定了一个单一的全球PIN码。
本申请人对多用途卡提出的问题来源于这样一个事实：即这种卡的设计使其在有效期内能够装载或下载新的应用。在原则上这是一个优点，但在实际应用中这个特点使得该卡非常脆弱，因为恶意应用能以一种对持有者透明的方式与其它应用一起被装载。这就为在实际操作中试图发现卡的鉴别值的应用打开了一扇门。
根据以上观察，申请人识别出一种有可能获得卡的鉴别值的攻击。
这种攻击假设存在一个接入外界的恶意应用。
如果有一个终端能使这一应用通过此终端直接与用户对话，则此应用接入终端。比如在GSM环境下，能够改变移动电话上菜单显示的应用就是例子。
那么下面就是利用能与外界对话的一个应用来进行攻击的过程。
实际上，这种应用利用其与外界对话的能力，以便在终端上模拟可能请求用户输入鉴别值的接口。
这是因为对卡用户身份的验证通常是利用一个应用，它负责在智能卡插入的终端屏幕上显示一个菜单，邀请用户提供鉴别值。一旦提供了鉴别值，终端将此值返回给所述应用，该应用检查(可能通过负责验证鉴别值的应用)用户的提供的值是否和卡的鉴别值一样。如果是，则应用响应确认，如果不是则作出否认。
对负责在智能卡插入的终端屏幕上显示菜单邀请用户提供鉴别值的应用的访问一般是受到控制的，以便只有授权的应用才能启动鉴别值的验证。
然而，接入一个终端的恶意应用能够在此终端上模拟菜单，邀请用户提供鉴别值。这样用户将完全没有戒心地提供其鉴别值，使得恶意应用能够发现此值。然后此恶意应用因为能够与外界对话，将能够把这个鉴别值提供给恶意应用的开发者。对于象移动电话这样的终端，这一切将更加容易，因为恶意应用能够拨号将鉴别值传出去。
本发明的目的是解决这些问题。
本发明的目的是提供一种防止盗用多用途智能卡鉴别值的方法，它包括一个操作系统，其主要特征在于包含一种机制，使得一旦出现鉴别值请求，无论什么应用启动了此程序，卡操作系统都强迫接入提供鉴别值的接口，以便防止已接入终端的应用模拟邀请用户提供鉴别值的菜单。
根据其另一个特征，本方法包括在终端上保留至少一个功能键或功能键序列，用于启用卡操作系统。
该机制的实施包括下列动作：
-卡使用者按下所述的一个或多个功能键，以授权提供鉴别值，并暂时中断卡的应用，
-提供鉴别值，
-在前两个动作之后操作系统执行验证鉴别值的程序。
本发明还涉及一种多用途智能卡，它包括一个操作系统和与终端通信的装置，其主要特征在于它包括装置，以便使得来自终端的要求提供鉴别值的系统调用不能被应用拦截。
本发明涉及一种能够与智能卡通信的终端，其主要特征在于它包含保留的至少一个功能键或功能键序列，用于向智能卡作出系统调用和启动提供鉴别值。
该终端可以是移动电话，例如GSM类型的。
从下面的描述，并参照附图，将清楚地了解本发明的其它特别之处和优点。附图中：
-图1是描述实施根据本发明的方法的示意图，
-图2是描述能够与根据本发明的智能卡通信的终端的示意图，
-图3是描述根据本发明的多用途智能卡的示意图。
下面参照图1描述根据本发明的方法的一个实际实施方案。
本方法包括暂时中断用户选择的应用，或者由用户选择的应用调用的应用；调用智能卡的操作系统，以便该操作系统实施验证鉴别值的程序。
根据建议的实施方案，中断是从终端提供的一个功能键或功能键序列获得的，以便通过按下此功能键或功能键序列来能够启动提供鉴别值和系统调用。用户一看到终端屏幕上出现请求鉴别值的消息，他只有在按下所述键后才能继续提供鉴别值的过程，这样便保证了验证鉴别值的程序是由操作系统执行的，或者是在操作系统的控制下的。
这是因为，当卡内执行应用，要求提供鉴别值的菜单出现在终端屏幕上时，用户可以按下图中标有提示PIN的功能键(或功能键序列)以提供鉴别值。这一动作暂时中断了当前正在执行的应用(也就是说该应用被暂停)，并且向卡操作系统发出一次调用。然后是在操作系统的控制下，进行鉴别值提供和验证程序。此验证包括对用户提供的鉴别值和卡内存储的鉴别值进行比较。
当用户提供的鉴别值正确时，卡操作系统解除对当前正在执行应用的中断，后者于是能够从其被暂停的地方继续执行；当鉴别值不正确时，操作系统显示错误消息，并执行适当的安全行动(如明确地中断应用，并显示警告消息)。
图2说明能够与智能卡通信的终端T。此终端按已知方式具有一个带有程序存储器MPT的中央处理单元UC。此存储器有一个与智能卡通信的接口IT，其本身也是常规类型的。只修改了一个地方，以便允许该终端等待显示请求鉴别值的消息后用户按下PIN键(或功能键序列)，并向卡操作系统发起调用。
图3是多用途智能卡C的示意图，用以说明参与实施根据本发明的方法的各种元件。为简单起见，这里的示例是卡中只有一片集成电路卡P；这个卡包含一个和多个微处理器及其相关的存储器，特别是一块程序存储器MPC。此存储器包含操作系统和用于提供和验证鉴别值的接口。一般情况下，使用另一块程序存储器MPA存储各种应用程序A1、A2、……An。