《虚拟SIM卡云平台.pdf》由会员分享，可在线阅读，更多相关《虚拟SIM卡云平台.pdf（25页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN104205891A43申请公布日20141210CN104205891A21申请号201180076162822申请日20111230H04W8/02200601H04W8/08200601H04W8/2620060171申请人瑞典爱立信有限公司地址瑞典斯德哥尔摩72发明人赵思焰伯纳德斯密茨74专利代理机构中科专利商标代理有限责任公司11021代理人穆童54发明名称虚拟SIM卡云平台57摘要一种获取用于移动设备的虚拟SIM的方法，包括向TTA发送针对用于与所述TTA关联的移动设备的虚拟SIM的请求以进行认证。从移动设备向NRS应用或组合的NRS/PCSS应用发送经认证的请求。
2、。移动设备随后接收标识计算环境中提供用于移动设备的虚拟SIM的PCSS应用或组合的NRS/PCSS应用的信息。85PCT国际申请进入国家阶段日2014063086PCT国际申请的申请数据PCT/CN2011/0850272011123087PCT国际申请的公布数据WO2013/097177EN2013070451INTCL权利要求书3页说明书13页附图8页19中华人民共和国国家知识产权局12发明专利申请权利要求书3页说明书13页附图8页10申请公布号CN104205891ACN104205891A1/3页21一种获取用于移动设备的虚拟订户标识模块SIM的方法，包括向终端信任锚TTA发送针对用于。
3、与所述TTA关联的移动设备的虚拟SIM的请求以进行认证；从移动设备向号码注册服务NRS应用发送经认证的请求；以及在所述移动设备处接收虚拟SIM信息，所述虚拟SIM信息标识计算环境中提供用于所述移动设备的虚拟SIM的私有云存储服务PCSS应用。2根据权利要求1所述的方法，还包括在所述移动设备处验证接收到的虚拟SIM信息。3根据权利要求2所述的方法，其中，验证接收到的虚拟SIM信息包括将与所述虚拟SIM信息一起接收到的令牌与从所述NRS应用接收到的令牌进行比较。4根据权利要求1、2或3所述的方法，还包括在所述移动设备处缓存用于所述虚拟SIM的访问信息。5根据权利要求1、2或3所述的方法，其中，经认。
4、证的针对用于所述移动设备的虚拟SIM的请求是利用由所述TTA提供的令牌来认证的。6一种生成用于移动设备的虚拟订户标识模块SIM的方法，所述方法包括在计算环境中的应用处，接收针对用于移动设备的虚拟SIM的请求，所述请求包括标识与所述移动设备关联的终端信任锚TTA的信息；生成用于所述移动设备的虚拟SIM信息；在所述计算环境中的所述应用中分配用于所述移动设备的存储空间；以及向所述移动设备发送所述虚拟SIM信息。7根据权利要求6所述的方法，其中，所接收的针对虚拟SIM的请求包括用于所述移动设备的移动号码。8根据权利要求6或7所述的方法，其中，向所述移动设备发送所述虚拟SIM信息包括向所述移动设备发送令。
5、牌，所述令牌是先前发送给所述移动设备的令牌，或者是从先前发送给所述移动设备的令牌导出的。9一种移动设备，被配置为执行用于获取用于移动设备的虚拟订户标识模块SIM的客户端应用，所述移动设备包括处理器和存储编程指令的存储器，所述编程指令当由所述处理器执行时，建立所述应用，所述应用包括用于向终端信任锚TTA发送针对用于所述移动设备的虚拟SIM的请求以进行认证的模块，所述TTA与所述移动设备关联；第一接口，用于向号码注册服务NRS应用发送针对用于所述移动设备的虚拟SIM的请求，所述请求是经所述TTA认证的；以及第二接口，用于在所述移动设备处接收虚拟SIM信息，所述虚拟SIM信息标识计算环境中提供用于所。
6、述移动设备的虚拟SIM的私有云存储服务PCSS应用。10根据权利要求9所述的移动设备，还包括用于验证接收到的虚拟SIM信息的模块。11根据权利要求10所述的移动设备，其中，所述模块适合于将与所述虚拟SIM信息一起接收到的令牌与从所述NRS应用接收到的令牌进行比较。12根据权利要求9、10或11所述的移动设备，其中，所述第一接口是所述第二接口。权利要求书CN104205891A2/3页313根据权利要求9、10、11或12所述的移动设备，其中，所述应用还包括缓存模块。14根据权利要求913中任一项所述的移动设备，还包括所述TTA。15一种电信网络实体，被配置为执行在计算环境中生成用于移动设备的虚。
7、拟订户标识模块SIM的应用，所述网络实体包括处理器和存储编程指令的存储器，所述编程指令在由所述处理器执行时，建立所述应用，所述应用包括虚拟SIM卡生成模块，用于响应于针对用于所述移动设备的虚拟SIM的请求，生成用于所述移动设备的虚拟SIM信息；虚拟SIM模块，用于分配用于所述移动设备的存储空间；以及接口，用于向所述移动设备发送所述虚拟SIM信息。16根据权利要求15所述的电信网络实体，其中，所述虚拟SIM卡生成模块适合于在生成用于所述移动设备的虚拟SIM信息之前，验证在所述针对用于所述移动设备的虚拟SIM的请求中包括的安全信息。17一种处理针对用于移动设备的虚拟SIM的请求的方法，所述方法包括。
8、在计算环境中的应用处，接收针对用于移动设备的虚拟SIM的请求，所述请求包括经所述移动设备的终端信任锚TTA验证的信息；在所述应用处，验证所述请求；生成用于所述设备的移动号码；以及向私有云存储服务PCSS应用转发所述请求和标识所述移动设备的TTA的信息。18根据权利要求17所述的方法，其中，标识所述移动设备的TTA的信息包括在针对虚拟SIM的请求中接收到的经TTA验证的信息，或者从在针对虚拟SIM的请求中接收到的经TTA验证的信息导出的信息。19根据权利要求17或18所述的方法，包括根据所述请求中标识优选网络运营商的信息来选择网络运营商应用，以及将所述请求转发给所选择的网络运营商应用。20根据权。
9、利要求17、18或19所述的方法，包括在接收所述针对用于移动设备的虚拟SIM的请求之前，响应于来自所述移动设备的请求，预配置用于所述移动设备的客户端应用。21一种电信网络实体，被配置为执行计算环境中处理针对用于移动设备的虚拟订户标识模块SIM的请求的应用，所述网络实体包括处理器和存储编程指令的存储器，所述编程指令当由所述处理器执行时，建立所述应用，所述应用包括第一接口，用于接收针对用于移动设备的虚拟SIM的请求，所述请求包括经所述移动设备的终端信任锚TTA验证的信息；TTA认证模块，用于验证所述请求；用于生成用于所述移动设备的移动号码的模块；以及，第二接口，用于向私有云存储服务PCSS应用转发。
10、所述请求和标识所述移动设备的TTA的信息。22根据权利要求21所述的电信网络实体，其中，所述第一接口不同于所述第二接口。23根据权利要求21或22所述的电信网络实体，其中，所述应用还包括客户端包CP预配置模块，用于响应于来自所述移动设备的请求，预配置用于所述移动设备的客户端应用。权利要求书CN104205891A3/3页424根据权利要求21、22或23所述的电信网络实体，其中，所述应用还包括一个或多个网络运营商模块，用于响应于针对用于移动设备的虚拟SIM的请求而生成网络访问数据。25根据权利要求24所述的电信网络实体，其中，所述第一接口适合于将所述针对用于移动设备的虚拟SIM的请求转发给所述。
11、网络运营商模块中基于所述请求中标识优选网络运营商的信息而选择的一个网络运营商模块。26一种包括指令的计算机可读介质，所述指令当由处理器执行时，使得所述处理器执行根据权利要求114和1720中任一项所述的方法。权利要求书CN104205891A1/13页5虚拟SIM卡云平台技术领域0001本发明涉及在所谓的计算“云”中使用的虚拟SIM订户标识模块卡平台。背景技术0002例如随着第3代和第4代无线标准3G，4G的引入，移动宽带网络正在迅速发展，这意味着越来越高速的无线连接，允许实现更复杂的应用。与此同时，如“智能电话”之类的设备提供更先进的计算能力和连接性，并且利用先进的硬件例如，如基于ARM或N。
12、VIDIA的双核处理器运行完整的操作系统。术语“智能电话”通常指代结合了移动电话的功能以及个人数字助理PDA或笔记本的功能的设备。0003“订户标识模块”用于标识移动设备的用户通过PIN登记机制，以及用于向移动网络运营商认证用户，使得网络运营商可以授权用户使用该移动设备拨打和接听电话。事实上，SIM标识了与移动设备关联的订户，即与该移动设备有关的运营商签了合同的个人或组织；设备的用户可以不同于订户例如，在订户是组织的情况下，用户通常会是订户的雇员，或者在订户是个人的情况下，他们可以允许其他家庭成员使用移动设备。为了简单起见，本申请将假定移动设备的用户也是订户，但是本文描述的发明也可应用于订户和。
13、用户彼此不同的情形。0004与移动设备关联的SIM包括与移动设备的用户有关的信息，例如包括标识信息，如用户的手机号和网络访问凭证密钥和密钥ID，以及所保存的用户已经与之通信的人的联系方式例如，电话号码或电子邮件地址。此外，SIM包括加密信息，其使得移动设备能够加密正从该移动设备发送的语音或数据，以及解密接收到的语音或数据。目前，智能电话的个人标识信息被保存在智能电话的SIM订户标识模块卡上，或者保存在智能电话的USIM通用订户标识模块卡上。在3G网络中，SIM或USIM可以是运行在通用集成电路卡UICC上的应用。SIM卡、USIM卡或UICC是具有受保护的持久性存储器的安全的微处理器芯片。00。
14、05现有的解决方案具有众多问题，例如包括以下问题00061SIM卡存储器是非常有限的，通常至多约1MB，这对可以存储多少用户数据和个人信息数据设置了限制。00072安全问题当丢失移动电话的情况下，人们必须购买新的SIM卡，并且无法恢复丢失的移动电话的SIM卡上包括的信息其通常是非常有用的和/或私人的信息。00083当前存在内容容易被复制的SIM卡从中国报告的。00094SIM卡上的用户数据尽管受PIN的保护，但是在智能电话上针对窃听应用的保护很弱，因为只要通过成功的PIN验证开放了卡接口，该接口就开放给任何人使用。换言之，常规的SIM卡缺少用户访问控制。0010为了简单起见，我们已经仅结合SI。
15、M卡描述了这些问题。然而，所述的所有内容同样适用于USIM卡，以及如在CDMA系统中使用的RUIM卡。如本文中所使用的，术语“SIM”旨在涵盖USIM以及SIM。如本文中所使用的，术语“SIM卡”旨在涵盖USIM卡以及SIM卡，说明书CN104205891A2/13页6并且还覆盖运行SIM或USIM应用或者CDMARUIM应用的UICC。0011关于1，我们注意到目前人们很少使用SIM卡来存储诸如联系人电话号码即电话簿和/或拨打的电话号码历史数据之类的用户数据。相反，人们使用移动电话上的存储器，并且使用同步解决方案来同步联系人。对于网络运营商而言，这种趋势削弱了SIM的价值。0012提出了将U。
16、ICC服务从一个电话导出到另一个电话的解决方案，如在蓝牙SIM卡访问简档可从下面的网址获得HTTPS/WWWBLUETOOTHORG/TECHNICAL/SPECICATIONS/ADOPTEDHTM中标准化的。GSMA工作组已经研究了UICC的远程预配置。例如，MWALKER在“EMBEDDEDSIMSANDM2MCOMMUNICATIONS”，PROCEEDINGSOFETSISECURITYWORKSHOP，2011年1月20日也可从下面的地址获得HTTP/DOCBOXETSIORG/WORKSHOP/2011/201101_SECURITYWORKSHOP/S4_MOBIILE_WIR。
17、ELESS_SECURITY/WALKER_EMBEDDEDSIMSPDF”中给出了如何将访问凭证移到UICC中的提议。这些解决方案是不完整的，因为它们没有考虑SIM卡和所需的组件及密钥的创建和安全预配置，而是侧重于远程访问及其安全保障方面。发明内容0013本发明的第一方面提供了一种获取用于移动设备的虚拟SIM的方法。所述方法包括在移动设备处，使用与所述移动设备关联的TTA终端信任锚来认证针对用于所述移动设备的虚拟SIM的请求。然后，从所述移动设备向NRS号码注册服务应用发送经认证的请求。所述移动设备接收虚拟SIM信息，所述虚拟SIM信息标识在计算环境中提供用于所述移动设备的虚拟SIM的PCS。
18、S私有云存储服务应用。0014适合于与本发明一起使用的计算环境的一个例子是计算“云”。所谓的“云平台”也正在迅速发展。云计算例如被描述在HTTP/ENWIKIPEDIAORG/WIKI/CLOUD_COMPUTING，并且提供对用于客户端的无限量的联网、计算和存储资源的抽象。该抽象是通过对数据中心中的基础设施、平台和软件的虚拟化来实现的。云平台能够满足所有种类的商务应用，如私有云应用或APP或公共云应用，可以包括大量用户，并且提供优良性能和对硬件资源的经济利用。0015本发明提议使用“虚拟SIM”，所述虚拟SIM在诸如计算云之类的计算环境中的应用上执行。这将被称为“云SIM”，但是该术语并不表。
19、示本发明局限于计算云。例如，这允许用户拥有比当前SIM卡提供的存储器大得多的存储器，并且还允许减小移动设备中的SIM卡上提供的存储器的大小。数据被存储在由PCSS应用在计算云中创建的存储中。PCSS应用保存移动设备的个人号码和SIM安全信息，并提供用以允许移动设备的用户拨打电话和访问其他功能的接口。PCSS应用还提供针对惯常被存储在传统SIM卡的所有数据的存储。因此，云SIM能够向移动设备的用户提供传统SIM卡会提供的所有功能，如存储联系方式、对服务如SMS服务的访问以及拨号记录。存储在云SIM中的数据对于移动设备的用户和网络运营商保持机密，并且可以在移动设备和云之间设立安全隧道以允许在移动设。
20、备与云之间安全地传送数据，反之亦然。这样的安全隧道例如可以通过TLS/SSL或IPSEC技术来实现。0016在实现云SIM时要解决的一个问题是提供所需的信任，例如以使得PCSS能够使说明书CN104205891A3/13页7自己确信针对云SIM的请求是来自可信设备。本发明通过使用移动设备中的或者与移动设备关联的TTA来提供信任锚以解决该问题。TTA通常是由移动设备的制造商在制造过程期间安装在移动设备中的，并且TTA的存在确保了移动设备包括可被信任的单元。因此，网络运营商根据这一事实知道TTA已经针对用于虚拟SIM的请求认证了该请求来自安全的设备，并且可以确保该移动设备将安全地保存允许访问运营商。
21、的网络所需要的任何秘密如密码或蜂窝网络访问密钥。0017此外，TTA提供SIM锚“SIM锚”是SIM中需要在移动设备上实现的部分，并且将云SIM绑定到移动设备的硬件。0018发送针对虚拟SIM的请求的过程可以由移动设备中的CP客户端包应用来执行。0019所述方法还可以包括在所述移动设备处验证接收到的虚拟SIM信息。0020验证接收到的虚拟SIM信息可以包括将与所述虚拟SIM信息一起接收到的令牌与从NRS应用接收到的令牌进行比较，以及/或者验证接收到的虚拟SIM信息包括根据在发送给NRS应用的请求中包括的经TTA认证的信息导出的信息。0021所述方法还可以包括在所述移动设备处缓存所述虚拟SIM信。
22、息。0022认证针对用于移动设备的虚拟SIM的请求可以包括对要包括在所述请求中的令牌进行TTA认证。0023本发明的第二方面提供了生成用于移动设备的虚拟SIM的方法。所述方法包括在计算环境中的应用处接收针对用于移动设备的虚拟SIM的请求，所述请求包括标识与所述移动设备关联的TTA的信息。所述应用生成用于所述移动设备的虚拟SIM信息，并且分配所述计算环境中用于所述移动设备的存储空间。然后，所述应用向所述移动设备发送虚拟SIM信息。本发明的这一方面涉及由PCSS应用生成虚拟SIM。0024生成用于所述移动设备的虚拟SIM信息可以包括生成用于所述移动设备的移动号码。术语“生成”旨在涵盖对预先计算的数。
23、据进行组合来获得虚拟SIM信息的情形以及从头开始计算虚拟SIM信息的情形。0025向所述移动设备发送所述虚拟SIM信息可以包括向所述移动设备发送令牌，所述令牌是先前发送给所述移动设备的令牌和/或标识所述TTA的信息，或者是从先前发送给所述移动设备的令牌和/或标识所述TTA的信息导出的。0026本发明的第三方面提供了一种移动设备，被配置为执行用于获取用于移动设备的虚拟SIM的客户端应用，所述移动设备包括处理器和存储编程指令的存储器，所述编程指令当由所述处理器执行时，建立所述应用。所述应用包括用于向NRS应用发送针对用于所述移动设备的虚拟SIM的请求的第一接口，所述请求是经与所述移动设备关联的TT。
24、A认证的。所述应用还具有用于接收虚拟SIM信息的第二接口，所述虚拟SIM信息标识在虚拟化计算环境中提供用于所述移动设备的云SIM的PCSS私有云存储服务应用；以及用于验证接收到的虚拟SIM信息的模块。0027所述用于验证接收到的虚拟SIM信息的模块可以适合于将与所述虚拟SIM信息一起接收到的令牌与从所述NRS应用接收到的令牌进行比较，以及/或者验证接收到的虚拟SIM信息包括根据在发送给所述NRS应用的请求中包括的经TTA认证的信息导出的信息。说明书CN104205891A4/13页80028所述第一接口可以是所述第二接口。0029所述应用还可以包括缓存模块。0030所述移动设备还可以包括TTA。
25、。0031本发明的第四方面提供了一种电信网络实体，被配置为执行计算环境中用于生成用于移动设备的虚拟SIM的应用，所述网络实体包括处理器和存储编程指令的存储器，所述编程指令在由所述处理器执行时，建立所述应用。所述应用包括虚拟SIM卡生成模块，用于响应于针对用于移动设备的虚拟SIM的请求，生成用于所述移动设备的虚拟SIM信息；以及云SIM模块，用于分配用于所述移动设备的存储空间。所述电信网络实体还包括用于向所述移动设备发送所述虚拟SIM信息的接口。0032所述虚拟SIM卡生成模块可适合于在生成所述用于移动设备的虚拟SIM信息之前，验证在所述针对用于移动设备的虚拟SIM的请求中包括的安全信息。003。
26、3本发明的第五方面提供了一种处理针对用于移动设备的虚拟SIM的请求的方法。所述方法包括在计算环境中的应用处接收针对用于移动设备的虚拟SIM的请求。所述请求包括经所述移动设备的TTA验证的信息。所述方法还包括在所述应用处验证所述请求，并且生成用于所述设备的移动号码。所述请求和标识所述移动设备的TTA的信息被转发给PCSS应用。0034标识所述移动设备的TTA的信息可以包括在针对虚拟SIM的请求中接收到的经TTA验证的信息，或者从在针对虚拟SIM的请求中接收到的经TTA验证的信息导出的信息。0035所述方法可以包括根据所述请求中的标识优选网络运营商的信息来选择网络运营商应用，以及将所述请求转发给所。
27、选择的网络运营商应用。0036所述方法可以包括在接收所述针对用于移动设备的虚拟SIM的请求之前，响应于来自所述移动设备的请求，生成用于所述移动设备的客户端应用。0037本发明的第五方面提供了一种电信网络实体，被配置为执行计算环境中用于处理针对用于移动设备的虚拟SIM的请求的应用。所述网络实体包括处理器和存储编程指令的存储器，所述编程指令当由所述处理器执行时，建立所述应用。所述应用包括第一接口，用于接收针对用于移动设备的虚拟SIM的请求，所述请求包括经所述移动设备的TTA验证的信息；TTA认证模块，用于验证所述请求；用于生成用于所述移动设备的移动号码的模块；以及第二接口，用于向PCSS应用转发所。
28、述请求和标识所述移动设备的TTA的信息。0038所述第一接口和所述第二接口可以是不同的接口。0039所述应用还可以包括客户端包CP生成模块，用于响应于来自所述移动设备的请求，生成用于所述移动设备的客户端应用。0040所述应用还可以包括一个或多个网络运营商模块，用于响应于针对用于移动设备的虚拟SIM的请求而生成网络访问数据。0041所述第一接口可以适合于，将所述针对用于移动设备的虚拟SIM的请求转发给网络运营商模块中基于所述请求中的标识优选网络运营商的信息而选择的一个网络运营商模块。0042本发明的第六方面提供了一种包括指令的计算机可读介质，所述指令当由处理器执行时，使得所述处理器执行根据第一方。
29、面、第三方面或第五方面所述的方法。0043本发明的第七方面提供了一种计算机程序，其用于使得处理器执行根据第一方说明书CN104205891A5/13页9面、第三方面或第五方面所述的方法。0044在本发明的任何方面或实施例中，计算可以是虚拟化的计算环境，但是本发明不限于此。0045根据上文应该理解本发明利用NRS应用/模块和PCSS应用/模块。NRS应用/模块可以与PCSS应用/模块相分离，或者NRS应用/模块可以与PCSS应用/模块组合作为组合的NRS/PCSS应用/模块。因此，除非上下文另有明确说明，否则术语NRS应用/模块应该被理解为涵盖NRS应用/模块或者组合的NRS/PCSS应用/模块。
30、；除非上下文另有明确说明，术语PCSS应用/模块应该被理解为涵盖PCSS应用/模块或者组合的NRS/PCSS应用/模块。附图说明0046本发明的优选实施例将参考附图通过示例来描述，在附图中0047图1是云平台工作过程的示意图；0048图2是NRS应用的结构的示意图；0049图3是PCSS应用的结构的示意图；0050图4是CP应用的结构的示意图；0051图5是示出根据本发明的一个实施例的方法的方框流程图；0052图6是示出根据本发明另一实施例的方法的方框流程图；0053图7是示出根据本发明另一实施例的方法的方框流程图；0054图8是根据本发明实施例的网络实体的示意框图；以及0055图9是根据本发。
31、明实施例的移动设备的示意框图。具体实施方式0056图1是根据本发明实施例的在计算环境中产生云SIM的主要特征的示意框图。本发明将参考下述示例进行描述，在所述示例中计算环境是虚拟化计算环境，并且具体地是“云”平台，使得虚拟SIM是“云SIM”，但是本发明不限于此。另外，如上面所说明的，本发明将参考其中移动设备的用户也是订户即，与移动设备有关的运营商签有合同的示例进行描述，但是本发明可以应用在用户和订户是不同的实体的情形。0057存在四个主要应用，其合作以提供移动号码注册，即“云SIM”的生成在计算云或其他虚拟化计算环境中虚拟SIM卡的生成，以及允许使用移动设备。这些是客户端包CP、终端信任锚TT。
32、A、号码注册服务NRS和私有云存储服务PCSS。这些功能如下0058客户端包CP它被嵌入在移动设备中，所述移动设备可以是如图1中所示的移动电话，如智能电话，并且能够直接连接到NRS或PCSS，例如经由WLAN无线局域网来连接。一旦虚拟SIM已经生成并且在移动设备中进行了安装和认证，则CP可以与PCSS进行通信，以允许移动设备进行电话呼叫和访问其他服务。0059终端信任锚TTA它被嵌入在移动设备中，并且提供了用于安全地认证针对虚拟SIM的请求的方式其中“安全地”表示该认证可被PCSS信任。它还充当SIM锚SIM中需要在移动设备上实现的部分，并且将虚拟SIM绑定到移动设备的硬件。0060TTA是这。
33、样的实体，其被信任来保存秘密数据密钥、信息等，并且被信任来以不说明书CN104205891A6/13页10可改变的方式执行给定的软件。可以以多种方式来实施TTA。例如，TTA可被实现在设计用于处理安全功能的芯片上这种类型的许多芯片是公知的。备选地，如果移动设备具有TPM可信平台模块可用于保护设备的引导过程以使得只有可信软件能被启动的安全组件，则可以使用TPM，以在与安全的操作系统如SELINUX结合的情况下创建构成TTA的隔离的执行环境。作为另一示例，TPM可以在与管理程序如XEN管理程序结合的情况下启动具有小型操作系统的虚拟机，所述小型操作系统与其他软件隔离运行并且因此可被信任用于容纳TTA。
34、。0061为了清楚起见，在图1中TTA被示出为与CP相分离。然而，备选地，TTA可以嵌入在CP中，同时仍然是与CP相分离的逻辑实体。0062号码注册服务NRS其提供用于号码注册的接口，并产生用于移动设备的移动号码。0063私有云存储服务PCSS其在计算云或其他虚拟化计算环境中保存移动号码和SIM安全信息，并提供接口以允许移动设备的用户进行电话呼叫和使用其他服务。0064NRS和PCSS是完全属于或部分属于移动网络架构的节点。NRS是公共即，在MNO的网络之外可用的接口。PCSS完全操作在MNO的网络内部，但可以被若干MNO共享。PCSS能够与MNO的HSS归属订户服务器/AUC认证中心进行通信。
35、，以便提供/同步订户数据和访问凭证针对AUC。0065本发明的方法涉及以下主要过程0066过程0图1中未示出作为制造过程的一部分，移动设备的制造商在移动设备中预安装CP。备选地，如果CP没被预安装在移动设备中，则移动设备的用户这里假设是订户可以将他的设备置于表明订户希望申请虚拟SIM的模式。使用低层信令，允许移动设备使用移动设备中的TTA中的凭证经认证访问与移动设备关联的运营商诸如与销售移动设备的商家关联的移动网络运营商的网络。移动设备可以例如通过它的IMEI国际移动设备标识号来标识，并且该标识可被用于选择正确的网络运营商，即使网络不知道与移动设备关联的订户。该认证将给予移动设备对NRS中的提。
36、供商服务的有限访问，该提供商服务将在移动设备中安装具有空的虚拟SIM关联参数的CP。0067此阶段的认证可以基于不同于标准3GPPAKA的其他技术。例如，可以使用移动服务提供商的公共移动号码公共移动号码类似于紧急号码，但在此处用于不同的专用目的。作为另一备选，还可用使用基于公钥基础设施的解决方案，或者移动设备可以经由本地连接远程借用SIM，例如利用蓝牙SIM访问简档来实现。0068应该注意，在过程0中，还可以使用如在3GPP技术报告33812中作为备选方案1描述的MCIM解决方案来建立初始连接。上述方案更密切地基于WIMAX移动网络系统中的可能性。0069过程1移动设备背后的订户启动CP，并且。
37、输入他/她的标识凭证。于是，CP将连接到NRS，并向NRS发送针对用于移动设备的云SIM的请求。该请求还可被看作注册请求，因为移动设备当前没有注册到移动网络运营商。CP发送的请求包括标识移动设备的信息，0070如移动设备的地址如，它的MAC地址；标识订户的信息如他们的标识凭证；以及，表明移动设备的TTA已经认证了该针对云SIM的请求的信息，如由TTA认证的优选地还由CP认证的令牌。用CP以及TTA来认证令牌表明该令牌源自具有正确TTA的移动说明书CN104205891A107/13页11设备上的CP而不是来自“流氓”CP。0071TTA认证针对云SIM的请求的一种方式是在CP向NRS发送请求之。
38、前，CP向TTA发送认证请求。CP还可以发送标识CP的TTA信息例如，CP的版本号或CP的ID号码。TTA处理它从CP接收的数据，并向CP返回响应例如TTA可对其接收到的数据进行数字“签名”，并且将签名后的数据返回给CP。该数字签名的数据构成了“令牌”，其表明针对云SIM的请求已经通过了TTA的认证，并且CP将该令牌包括在发送给NRS的请求中。如果经TTA签名的数据包括标识CP的信息时，令牌还标识了CP。0072如上所述，优选地，该令牌还由CP进行认证，以及由TTA进行认证。完成这一点的一种方式是CP对其发送给TTA以供TTA签名的数据的一部分或全部进行数字“签名”。这允许CP发送的请求包括由。
39、CP数字“签名”并由TTA数字“签名”的数据，或者包括由CP数字“签名”的数据和由TTA数字“签名”的数据。0073TTA可以以任何合适的方式对数据进行数字“签名”或者以其他方式根据其从CP接收的数据生成令牌，并且本发明不限于生成令牌的特定方法。0074发送给NRS的请求可以可选地针对私密性进行加密。这可以通过下述方式容易地完成使用公钥密码，以及使用请求正被发送至的NRS的公钥来加密该请求。0075过程2每个电信运营商在NRS中具有自己的云应用或虚拟化应用。这种云应用允许电信运营商检查新的注册请求即，检查该请求是否来自可信的移动设备例如，来自具有正确TTA的设备0076并且来自合法订户例如，已。
40、经购买该移动设备的订户，或者具有与运营商的现有预订合同的订户，以及在处理注册请求后向移动设备发送确认。可以根据由用户在过程1中输入的并且被包括在CP发送的请求中的“信息凭证”来检查请求来自合法订户。0077当接收到针对用于移动设备的云SIM的请求时，NRS或者更具体地，NRS中的一个运营商的云应用将检查该请求是否来自可信的移动设备，例如来自具有NRS或运营商信任的TTA的移动设备。如果发现请求来自不可信的移动设备，则NRS将拒绝该请求。如果发现注册请求来自可信的移动设备，NRS或NRS中的一个运营商的云应用将向该运营商注册移动设备。运营商的云应用将在其数据库中存储信息，如订户的移动号码和/或订。
41、户标识IMSI其生成将在下文描述、其他设备信息、订户信息、CP信息如版本和/或序列号等。0078NRS或NRS中的所选运营商的云应用于是将生成用于订户的IMSI和移动号码，并且还将生成用于设备的网络访问凭证。这些是一旦完成注册过程就将允许移动设备登录到PCSS的认证/访问数据，如用户名和密码/安全密钥。因此，当用户正在使用移动设备时，移动设备能够与PCSS进行通信，例如在PCSS中存储数据，或者从PCSS中获取存储的数据。订户不需要知道在移动设备与PCSS之间的通信如果用户询问例如他们希望呼叫的某个人的联系方式，则移动设备中的CP可以处理从PCSS获取该信息的过程，而不需要来自用户的其他输入。。
42、0079NRS还包括用于生成安全令牌的模块如TTA。其可以与CP中的TTA相链接例如一个TTA可被嵌入在移动设备上，嵌入在NRS和PCSS中，下文将对其进行描述。当NRS接收到来自移动设备的针对云SIM的请求时，该模块生成两个安全令牌，为了方便起见将其称为“令牌1”和“令牌2”。令牌1被用来加密从NRS发送给PCSS的数据。令牌2的使说明书CN104205891A118/13页12用允许移动设备的CP认证已经正确完成注册过程，下文将对其进行描述。0080NRS向CP发送对接收到注册请求的肯定应答图2中未示出。该肯定应答包括“令牌2”，“令牌2”是NRS生成的安全令牌之一。0081最后，NRS将。
43、向PCSS发送移动设备的标识例如它的IMEI和MAC地址、NRS已经生成的用于订户的IMSI和移动号码、以及NRS已经生成的认证/访问数据。NRS还将向PCSS发送其已经生成的第二令牌，即令牌2。从NRS发送给PCSS的数据可以使用NRS已经生成的第一令牌令牌1进行加密。0082过程3PCSS接收NRS发送的数据，以及在数据是加密发送的情况下对接收到的数据进行加密。如果来自NRS的通信被加密，则PCSS将配备用于对接收的通信进行解密的合适模块，如与NRS中的TTA模块链接的TTA模块，使得PCSS知道来自NRS的通信是利用令牌1进行加密的。当PCSS从NRS接收到移动设备的标识、移动号码和网络。
44、访问凭证时，它将在验证该请求后，在PCSS的云平台中注册移动设备的移动号码和网络访问凭证。验证请求例如可以包括检查从NRS接收的信息示出该请求源于具有NRS信任的TTA的移动设备，即检查从NRS接收的信息包括经TTA认证的安全令牌或由此导出的令牌。0083然后，PCSS将生成用于移动设备的云SIM信息，并且将在PCSS云中分配用于该订户的存储。云SIM信息例如可以包括用于移动设备的云应用信息，如联系人列表、SMS信箱和/或MMS信箱即，用于存档所有文本消息SMS和/或多媒体消息MMS和/或电话呼叫的应用等，并且甚至还可能包括订户提供的一个或多个应用。0084然后，PCSS向CP发送它从NRS接。
45、收的用于移动设备的移动号码和网络访问凭证。PCSS还向CP发送令牌2NRS生成的一对安全令牌中已经由NRS发送给CP且也发送给PCSS的一个令牌。0085过程4当CP从PCSS接收到“令牌2”时，它将验证其与CP先前已从NRS接收的“令牌2”相同，从而向CP保证接收到的移动号码和网络访问凭证来自NRS信任的并且因此被移动网络运营商信任的源。假设验证是符合要求的，则订户可以使用移动设备，例如用于进行电话呼叫和/或访问其它服务，就好像移动设备配备了传统SIM卡一样。CP还可以使用网络访问凭证来访问PCSS，以调用传统SIM卡能够支持的全部种类的应用服务，如同步联系人列表、SM短信服务、访问拨号记录。
46、等。0086例如，如果订户想向云SIM中存储了其联系方式的某个人发送文本消息时，订户将以常规方式向移动设备输入文本消息，然后将选择该消息要发送至的所存储的联系人。然后，CP将使用所存储的网络访问凭证与PCSS进行通信，以获取PCSS中针对该消息要发送至的联系人存储的移动号码或其他地址信息尽管经常需要的一些信息可被存储在移动设备中的CP中的缓存中，下文将对此进行描述。然后，可以将该文本消息发送给从PCSS获取到的移动号码或其他地址信息。0087为了安全，对CP与PCSS之间的通信进行加密是有利的。原则上，CP和PCSS可以使用“令牌2”来保护他们之间的通信安全，因为它们都拥有令牌2。但是，为了提。
47、高安全性，使用不同的令牌来保护CP与PCSS之间的通信安全是优选的。因此，PCSS优选生成第三令牌“令牌3”，并将其发送给CP。PCSS可以在其生成云SIM信息时生成令牌3，并且在过程3中向CP发送令牌3。备选地，一旦CP已经验证它在过程3中从PCSS接收的信息，它就可以向PCSS发送利用令牌2保护的一个消息，然后PCSS可以生成令牌3并且将其发送给CP供说明书CN104205891A129/13页13在以后的通信中使用。0088应该注意，上文描述的方法仅是本发明的一个实施例，并且其变型是可能的。例如，作为在过程3中PCSS向CP发送“令牌2”的替代，PCSS可以对令牌2应用已知修改，并且将修。
48、改结果发送给CP。然后，CP将在过程4中验证它已从CP接收到的令牌是对在过程2中CP从NRS接收的令牌2应用已知修改的结果。0089应该注意，为了便于基于TTA公钥凭证的访问认证，需要改变AKA认证和密钥协议安全程序。因为TTA不是MNO专用的，所以TTA无法验证它正在与“正确的”MNO例如，与销售移动设备的商家关联的MNO进行通信。克服这缺陷的一种方式是向TTA提供用以验证它正在经由与安装TTA的实体这里假定是电话的制造商具有信任关系的实体接收数据的装置。在任何情况下，存在若干方式用以向现有AKA过程引入改变以添加所需的功能。一种简单方式将是仪增强返回响应以变成密钥加密的质洵即签名，以及验证。
49、该响应所需的证书链。0090图2是NRS应用/模块的结构的一个实施例的示意框图。图2的NRS实际上是企业云，其具有4个可能是5个主要的应用或模块。0091图2的NRS可选地配备有“CP生成和预配置公共服务”应用/模块。这可在移动设备中没有预安装CP的情况下用于执行如上文参考过程0描述的预配置过程。也即，“CP生成和预配置公共服务”能够将具有空的云SIM关联参数的CP安装到没有预安装CP的移动设备中。“CP生成和预配置公共服务”应用使用提供用以认证过程0中由移动设备的TTA提供的凭证的服务的第二模块即“TTA认证和检查服务”模块。0092应该注意，备选地，“CP生成和预配置公共服务”模块可被实现在NRS外部但为了简单起见，此处假设它是NRS的一部分。还应该注意，“CP生成和预配置公共服务”应用/模块不一定需要在过程0中生成其预配置给移动设备的CP。原则上，“CP生成和预配置公共服务”应用/模块可以在其需要向移动设备预配置CP时生成CP。然而，因为各CP基本上是彼此相同的，所以下述情况可能更加高效预先生成CP或CP代码中的至少大部分，使得当移动设备需要预配置CP时，“CP生成和预配置公共服务”应用/模块可以选择已经存在的CP并且将其预配置给移动设备。0093“TTA认证和检查服务”应用/模块用于认证在从移动设备接收的任何消息中由移动设备的TTA提供的凭证，所述从移动设备接。