智能卡及其写卡方法、设备和系统 【技术领域】
本发明涉及智能卡领域，尤其涉及一种智能卡及其写卡方法、设备和系统。
背景技术
目前，为移动运营商提供SIM(Subscriber Identity Module，客户识别模块)卡的厂商非常多，在向SIM卡中写入数据的过程中，移动运营商必需使用各SIM卡厂商提供的写卡组件，生成相应的应用协议数据单元(Application ProtocolData Unit，简称APDU)指令，进行写卡操作。由于写卡组件与系统硬件、操作系统等联系较为紧密，因此，当进行写卡的环境发生变更时，移动运营商需要各SIM卡商提供新环境下的写卡组件。
写卡组件所生成的APDU指令中，包含了各卡商卡片的部分实现机制(如写入信息存储单元、信息的详细内容等)，在通过写卡组件进行写卡的过程中，由于写卡组件生成的APDU指令未经过任何安全性处理，在写卡过程中，一旦写卡数据被截获，写卡格式很容易被破解，写卡数据会非常容易地被篡改和复制，从而导致SIM卡信息被篡改和复制。
发明人在实现本发明的技术方案时发现现有技术至少存在如下问题：
采用当前使用写卡组件进行写卡的方案，一方面写卡组件的维护成本较高，由于写卡组件对系统软硬件环境的依赖性较高，当写卡组件所应用的环境发生变更后，移动运营商需要召集各SIM卡供应商，对写卡组件进行更新，编译不同版本的写卡组件，以能够适应于新的应用环境；另一方面写卡数据在传输过程中没有安全性保护，写卡组件所生成的APDU指令为明文写卡数据，极容易被破解和复制，既不利于卡商对各自卡片的安全性保护，同时也对运营商的运营造成了潜在的危害，如果卡片被复制，也将对使用者的权益造成损失。
【发明内容】
本发明所要解决的技术问题在于提供一种智能卡及其写卡方法、设备和系统，能够提高智能卡写卡过程中的信息安全。
为解决上述技术问题，本发明采用如下技术方案：
本发明提供一种智能卡写卡方法，包括：
根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；
根据所述卡片信息获取与所述智能卡相匹配的加密密钥；
根据所述加密密钥将获取到的所述智能卡的写卡数据加密为密文；
发送所述密文，以便于所述智能卡根据内置的解密密钥将所述密文解密为明文进行写卡操作。
本发明还提供一种写卡数据组织设备，包括：
卡片信息获取单元，用于根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；
密钥获取单元，用于根据所述卡片信息获取与所述智能卡相匹配的加密密钥；
加密单元，用于根据所述加密密钥将获取到的所述智能卡的写卡数据加密为密文；
发送单元，用于发送所述密文，以便于所述智能卡根据内置的解密密钥将所述密文解密为明文进行写卡操作。
本发明还提供一种智能卡写卡方法，包括：
发送智能卡的标识，以便于写卡数据组织设备根据所述标识解析出所述智能卡的卡片信息，根据所述卡片信息获取与所述智能卡相匹配的加密密钥，并根据所述密钥将获取到的所述智能卡的写卡数据加密为密文；
根据内置的解密密钥将所述密文解密为明文；
根据所述明文进行写卡操作。
本发明还提供一种智能卡，包括：
发送单元，用于发送智能卡的标识，以便于写卡数据组织设备根据所述标识解析出所述智能卡的卡片信息，根据所述卡片信息获取与所述智能卡相匹配的加密密钥，并根据所述密钥将获取到的所述智能卡的写卡数据加密为密文；
接收单元，用于接收所述密文；
解密单元，用于根据内置的解密密钥将所述密文解密为明文；
写卡单元，用于根据所述明文进行写卡操作。
本发明还提供一种智能卡写卡系统，包括：智能卡和写卡管理服务器，其中
所述智能卡用于发送智能卡的标识到所述写卡管理服务器；
所述写卡管理服务器用于根据从所述智能卡获取到的智能卡的标识，解析出所述智能卡的卡片信息，并根据与所述智能卡相匹配的加密密钥将写卡数据加密为密文并将所述密文发送到所述智能卡；
所述智能卡还用于接收从所述写卡管理服务器发送的所述密文，并根据内置的解密密钥将所述密文解密为明文进行写卡操作。
本发明提供的智能卡及其写卡方法、设备和系统，通过将写入智能卡的写卡数据进行密文传输，保证了传输过程的安全性，并且智能卡将密文解密为明文并自行进行写卡操作，则无需智能卡提供商提供对应的写卡组件，解决了写卡组件与使用环境的依赖性，降低了智能卡提供商和运营商的管理和维护成本。
【附图说明】
图1为本发明实施例一智能卡写卡方法的流程图之一；
图2为本发明实施例一写卡数据组织设备的结构示意图；
图3为本发明实施例一智能卡写卡方法的流程图之二；
图4为本发明实施例一智能卡的结构示意图；
图5为本发明实施例一密钥管理设备的结构示意图；
图6A‑6C为本发明实施例一的密钥设置示意图；
图7为本发明实施例二智能卡写卡方法的流程示意图；
图8为本发明实施例二写卡数据组织设备的结构示意图；
图9为本发明实施例二智能卡的结构示意图；
图10为本发明实施例二智能卡写卡系统的结构示意图之一；
图11为本发明实施例二智能卡写卡系统的结构示意图之二；
图12为本发明实施例二智能卡写卡系统的网络拓扑的结构示意图；
图13为本发明实施例二智能卡写卡系统的模块结构示意图。
【具体实施方式】
本发明实施例提供一种智能卡及其写卡方法、设备和系统，能够提高智能卡写卡过程中的信息安全。
下面结合附图对本发明实施例智能卡及其写卡方法、设备和系统进行详细描述。
实施例一
本发明实施例提供一种智能卡写卡方法，如图1所示，该方法包括：
步骤S11、根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；
当需要进行智能卡写卡时，服务器端的写卡数据组织设备需要获取待写入数据的智能卡的标识，该标识可以为智能卡的序列号，序列号是可唯一标识一张智能卡的标识，根据该标识可以得到该智能卡的厂商、版本、批次等信息，即卡片信息包括：智能卡供应商信息、智能卡批次信息和智能卡版本信息等信息。写卡数据为根据具体业务配置的个性化数据，以移动运营商进行写卡操作为例，该个性化数据至少包含：集成电路卡识别码(Integrate Circuit Card Identity，简称ICCID)、国际移动用户识别码(International Mobile Subscriber Identity，简称IMSI)、个人标识号(Personal Identification Number，简称PIN)、特定解锁钥匙(Personal Unlock Key简称PUK)和短消息中心号(SMSP)。
步骤S12、根据所述卡片信息获取与所述智能卡相匹配的加密密钥；
写卡数据组织设备根据智能卡的标识向服务器端的密钥管理设备请求对应的加密密钥，该标识可以由服务器端的写卡数据组织设备主动向智能卡请求，也可以由智能卡主动提交给写卡数据组织设备。
步骤S13、根据所述加密密钥将获取到的所述智能卡的写卡数据加密为密文；
写卡数据组织设备将从写卡资源设备获取的智能卡的写卡数据，用加密密钥进行加密生成密文。
步骤S14、发送所述密文，以便于智能卡根据内置的解密密钥将所述密文解密为明文进行写卡操作。
写卡数据组织设备将密文发送到智能卡，写卡数据处理模块则根据内置的解密密钥将所述密文解密为明文，并执行相应的写卡操作。
本发明实施例还提供了一种写卡数据组织设备，如图2所示，该设备包括：卡片信息获取单元11、密钥获取单元12、加密单元13和发送单元14。其中
卡片信息获取单元11，用于根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；密钥获取单元12，用于根据所述卡片信息获取与所述智能卡相匹配的加密密钥；加密单元13，用于根据所述加密密钥将获取到的所述智能卡的写卡数据加密为密文；发送单元14，用于发送所述密文，以便于智能卡根据内置的解密密钥将所述密文解密为明文进行写卡操作。
本发明实施例还提供一种智能卡写卡方法，如图3所示，该方法包括：
S21、发送智能卡的标识，以便于写卡数据组织设备根据所述标识解析出所述智能卡的卡片信息，根据所述卡片信息获取与所述智能卡相匹配的加密密钥，并根据所述密钥将获取到的所述智能卡的写卡数据加密为密文；
卡片信息包括：智能卡供应商信息、智能卡批次信息和智能卡版本信息等信息。写卡数据为智能卡运营商根据具体业务自行设定的个性化数据。
S22、根据内置的解密密钥将所述密文解密为明文；
S23、根据所述明文进行写卡操作。
本发明实施例提供一种智能卡，如图4所示，该设备包括：发送单元21、接收单元22、解密单元23和写卡单元24。其中，
发送单元21，用于发送智能卡的标识，以便于写卡数据组织设备根据所述标识解析出所述智能卡的卡片信息，根据所述卡片信息获取与所述智能卡相匹配的加密密钥，并根据所述密钥将获取到的所述智能卡的写卡数据加密为密文；接收单元22，用于接收所述密文；解密单元23，用于根据内置的解密密钥将所述密文解密为明文；写卡单元24，用于根据所述明文进行写卡操作。
具体地，该智能卡在现有技术的智能卡的基础上增加了一个写卡数据处理模块，则上述发送单元21、接收单元22、解密单元23和写卡单元24的功能由该写卡数据处理模块实现。该数据处理模块具体由各卡商根据协议要求在智能卡出厂前预置该模块，同时预置由移动运营商提供的解密密钥，在收到服务器下发的加密的写卡数据之后，使用解密密钥对数据内容进行解密，同时，根据自身实现机制，将待写入的数据存储到指定位置，或进行相应的业务处理等。
本发明实施例提供一种密钥管理设备，如图5所示，包括：接收单元31、生成单元32和发送单元33。其中，
接收单元31，用于接收写卡数据组织设备发送的携带有智能卡的卡片信息的密钥请求；生成单元32，用于根据所述卡片信息生成与所述智能卡相匹配的加密密钥；发送单元33，用于将所述加密密钥发送到所述写卡数据组织设备。
需要说明的是，根据实际业务安全级别的要求，密钥管理设备目前支持对智能卡进行三级密钥管理，后续可根据实际情况，制订符合实际需求的密钥管理机制，例如，不仅进行密钥管理，还可以进行加密算法的管理；不仅进行一组对应密钥管理，还可以进行密钥对分散管理等。
如图6A‑6C所示，对于密钥的设置，可以是一个智能卡供应商对应一密钥，一张智能卡对应一密钥，或者是一个版本对应一密钥等多种实现方式。
本发明实施例提供的智能卡及其写卡方法和设备，通过将写入智能卡的写卡数据进行密文传输，保证了传输过程的安全性，并且智能卡将密文解密为明文并自行进行写卡操作，则无需智能卡提供商提供对应的写卡组件，解决了写卡组件与使用环境的依赖性，降低了智能卡提供商和运营商的管理和维护成本。
实施例二
本发明实施例提供一种智能卡写卡方法，如图7所示，该方法包括：
步骤S101、向智能卡发送标识请求；
写卡数据组织设备向智能卡发送一个标识请求，以获取智能卡的标识，该标识可以为智能卡的序列号，序列号是可唯一标识一张智能卡的标识，根据该标识可以得到该智能卡的厂商、版本、批次等信息。
步骤S102、接收所述写卡数据组织设备返回的所述智能卡的标识；
写卡数据组织设备根据标识请求发送该智能卡的标识到写卡数据组织设备。
步骤S101和S102为写卡数据组织设备获取智能卡的标识的过程，其中，该标识可以由服务器端的写卡数据组织设备主动向智能卡请求，也可以由智能卡主动提交给写卡数据组织设备。
步骤S103、根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；
写卡数据组织设备根据智能卡的标识，解析出包括卡商、卡片批次等信息的卡片信息，即卡片信息包括：智能卡供应商信息、智能卡批次信息和智能卡版本信息等信息。
步骤S104、向密钥管理设备发送携带有所述卡片信息的密钥请求；
写卡数据组织设备向密钥管理设备发送携带有上述卡片信息的密钥请求。
步骤S105、接收所述密钥管理设备返回的与所述智能卡相匹配的加密密钥；
写卡数据组织设备接收所述密钥管理设备返回的与所述智能卡相匹配的加密密钥。
步骤S106、向写卡资源设备发送写卡数据请求；
写卡数据组织设备向写卡资源设备发送写卡数据请求。写卡数据为根据具体业务配置的个性化数据，以移动运营商进行写卡操作为例，该个性化数据至少包含：ICCID、IMSI、PIN码、PUK码和SMSP。
步骤S107、接收所述写卡资源设备返回的所述智能卡的写卡数据；
写卡数据组织设备接收所述写卡资源设备返回的所述智能卡的写卡数据。写卡数据为智能卡运营商根据具体业务自行设定的个性化数据。
步骤S108、将获取到的所述写卡数据进行组包处理生成组包数据；
写卡数据组织设备按照协议规范组织写卡数据，将写卡数据组包处理生成组包数据。其中，该步骤可以直接将写卡数据组包处理，也可以生成写卡指令后再进行组包处理，优选为直接将写卡数据组包处理生成组包数据，因为若在该步骤生成写卡指令，则需要相应的写卡组件支持该操作。其中，写卡指令为根据协议规范组织的APDU指令，用于指示将所述写卡数据写入对应存储区域或进行相应业务处理。
步骤S109、根据所述加密密钥将所述组包数据加密为密文；
写卡数据组织设备将组包数据加密为密文；
步骤S110、发送所述密文；
写卡数据组织设备将密文发送到智能卡。
步骤S111、根据内置的解密密钥将所述密文解密为明文；
写卡数据组织设备收到密文后，使用卡端存储的解密密钥对该密文进行解密生成明文。
步骤S112、将所述明文进行解析，生成写卡指令；
智能卡对解密后的明文进行解包处理，若解包后的明文包含写卡指令，则直接获取该写卡指令；若解包后的明文不包含写卡指令，则利用存储在智能卡内的操作软件根据协议将明文进行组包处理生成写卡指令。其中，写卡指令为根据协议规范组织的APDU指令，用于指示将所述写卡数据写入对应存储区域或进行相应业务处理。使用该智能卡的运营商采用各自根据协议规范组织定义的不同的APDU指令，以实现区别于其它运营商的写卡操作。
步骤S113、根据所述写卡指令进行写卡操作；
智能卡将待写入的数据存储到指定位置，或进行相应的业务处理等操作。以移动运营商进行写卡操作为例，具体地，将ICCID存储于3F00下的2FE2；IMSI存储于7F20下的6F07；SMSP存储于7F10下的6F42，上述属于由移动运营商统一规划的内容，各厂家的存储区域和存储指令均相同。而PIN1、PIN2、PUK1、PUK2为非固定内容，上述内容为各厂家自定义的内容，需要各厂家自行定义实现存储区域。
步骤S114、返回写卡结果。
智能卡将写卡成功或写卡失败的写卡结果返回到写卡数据组织设备，整个写卡流程结束。
本发明实施例提供一种写卡数据组织设备，如图8所示，该设备包括：卡片信息获取单元11、密钥获取单元12、加密单元13和发送单元14。其中
卡片信息获取单元11，用于根据获取到的智能卡的标识，解析出所述智能卡的卡片信息；密钥获取单元12，用于根据所述卡片信息获取与所述智能卡相匹配的加密密钥；加密单元13，用于根据所述加密密钥将获取到的所述智能卡的写卡数据加密为密文；发送单元14，用于发送所述密文，以便于智能卡根据内置的解密密钥将所述密文解密为明文进行写卡操作。
该设备还包括：标识获取单元15，用于获取智能卡的标识。
进一步地，所述标识获取单元15包括：标识请求模块151和标识接收模块152。其中，标识请求模块151，用于向写卡数据组织设备发送标识请求；标识接收模块152，用于接收所述写卡数据组织设备返回的所述智能卡的标识。
进一步地，所述密钥获取单元12包括：密钥请求模块121和密钥接收模块122。其中，密钥请求模块121，用于向密钥管理设备发送携带有所述卡片信息的密钥请求；密钥接收模块122，用于接收所述密钥管理设备返回的与所述智能卡相匹配的加密密钥。
进一步地，该设备还包括：写卡数据获取单元16，用于获取所述智能卡的写卡数据。
进一步地所述写卡数据获取单元16包括：写卡数据请求模块161和写卡数据接收模块162。其中，
写卡数据请求模块161用于向写卡资源设备发送写卡数据请求；写卡数据接收模块162，用于接收所述写卡资源设备返回的所述智能卡的写卡数据。
进一步地，所述加密单元13包括：组包模块131和加密模块132。其中，组包模块131，用于将获取到的所述写卡数据进行组包处理生成写卡指令；加密模块132，用于根据所述加密密钥将所述写卡指令加密为密文。
本发明实施例提供一种智能卡，如图9所示，该设备包括：发送单元21、接收单元22、解密单元23和写卡单元24。其中，
发送单元21，用于发送智能卡的标识，以便于写卡数据组织设备根据所述标识解析出所述智能卡的卡片信息，根据所述卡片信息获取与所述智能卡相匹配的加密密钥，并根据所述密钥将获取到的所述智能卡的写卡数据加密为密文；接收单元22，用于接收所述密文；解密单元23，用于根据内置的解密密钥将所述密文解密为明文；写卡单元24，用于根据所述明文进行写卡操作。
进一步地，该智能卡，还包括：存储单元25，用于存储解密密钥。该解密密钥由移动运营商提供并预置存储在该存储单元25内。
进一步地，写卡单元24包括：写卡指令模块241和写卡模块242。其中，写卡指令模块241，用于对所述明文进行解包处理获得写卡数据，并生成写卡指令；写卡模块242，用于根据所述写卡指令进行写卡操作。
具体地，该智能卡在现有技术的智能卡的基础上增加了一个写卡数据处理模块，则上述发送单元21、接收单元22、解密单元23、写卡单元24和存储单元25的功能由该写卡数据处理模块实现。该数据处理模块具体由各卡商根据与运营商的协议要求在智能卡出厂前预置该模块，同时预置由运营商提供的解密密钥，在收到服务器下发的加密的写卡数据之后，使用解密密钥对数据内容进行解密，同时，根据自身实现机制，将待写入的数据存储到指定位置，或进行相应的业务处理。
本实施例还提供一种智能卡写卡系统，如图10所示，该系统包括：智能卡1和写卡管理服务器100。其中
所述智能卡1用于发送智能卡的标识到所述写卡管理服务器100；所述写卡管理服务器100用于根据从所述智能卡1获取到的智能卡的标识，解析出所述智能卡的卡片信息，并根据与所述智能卡相匹配的加密密钥将写卡数据加密为密文并将所述密文发送到所述智能卡1；所述智能卡1还用于接收从所述写卡管理服务器100发送的所述密文，并根据内置的解密密钥将所述密文解密为明文进行写卡操作。
如图11所示，进一步地，写卡管理服务器100包括：写卡数据组织设备2、密钥管理设备3和写卡资源设备4。其中，
所述智能卡1用于发送智能卡的标识到所述写卡数据组织设备2；所述写卡数据组织设备2用于根据从所述智能卡1获取到的智能卡的标识，解析出所述智能卡的卡片信息并向所述密钥管理设备3获取与所述智能卡相匹配的加密密钥；所述密钥管理设备3用于向所述写卡数据组织设备2发送与所述智能卡相匹配的加密密钥；所述写卡数据组织设备2还用于向所述写卡资源设备4获取所述智能卡的写卡数据；所述写卡资源设备4用于向所述写卡数据组织设备2发送所述写卡数据；所述写卡数据组织设备2还用于根据所述加密密钥将所述写卡数据加密为密文并向所述智能卡1发送所述密文；所述智能卡1还用于接收从所述写卡数据组织设备2发送的所述密文，并根据内置的解密密钥将所述密文解密为明文进行写卡操作。
具体地，本系统主要用于对多卡商多版本/批次智能卡进行黑盒写卡，其网络拓扑如图12和图13所示。
智能卡读写模块承载终端：用于承载与智能卡进行数据交换的智能卡读写器，为与智能卡读写器可以进行数据交互的终端或者内嵌有智能卡读写模块的设备，该终端可以与服务器进行数据交互，同时，也可通过其连接/嵌入的智能卡读写器/读写模块与智能卡进行数据交互。
智能卡密钥管理终端：为写卡管理服务器中的一个设备，用于管理人员对各卡商不同批次/版本的空白卡密钥进行管理的终端机，可以是普通PC，也可以是其他外挂设备。运营商管理人员通过该设备与写卡应用服务器连接，进行卡商密钥的管理和维护。
写卡应用服务器：为写卡管理服务器中的一个设备，用于提供有卡商密钥管理功能和写卡数据组织功能的服务器，用于进行各卡商密钥管理和组织下发写卡数据。该服务器主要由密钥管理设备和写卡数据组织设备构成，各卡商不同批次/版本的空白智能卡在出厂前，应预置对应的写卡数据处理模块，这样，写卡的过程就隐藏在空白智能卡里面，由各卡商进行控制，避免数据内容和存储方式的泄漏。
写卡资源服务器：即写卡资源设备，用于提供写卡时的写卡数据的服务器，该服务器所提供的接口和数据内容在本系统中无须进行修改，可沿用目前已有的技术。
密钥管理设备：为写卡管理服务器中的一个设备，由运营商负责管理和维护，主要用于生成各卡商不同版本/批次的空白智能卡加密密钥，在生成加密密钥后，由运营商通知各卡商，各卡商在出厂前对对应批次的空白智能卡中预置该密钥，用于对加密后的写卡数据进行解密。密钥管理的深度按照业务实际情况进行设定，可以是一个卡商对应一组密钥，也可以是一个卡商的某一批次卡片对应一组密钥，也可以是一个卡片对应一组密钥(一卡一密)。该设备的具体体现形式可以是加密机、密钥管理系统等软硬件设备。
写卡数据组织设备：用于根据请求写卡的智能卡卡片序列号(也可以是其它用于标识该卡片的厂商、版本和批次的信息内容)，区分该智能卡的生产厂商、卡片版本、卡片批次等信息；通过密钥管理设备获取对应的加密密钥；接收或获取写卡数据(被动接收数据或主动从写卡数据管理模块或者其他系统获取)，组织写卡数据，并对写卡数据进行加密(具体组织与加密方式方法由各厂家自行制定)。该设备的表现形式可以是外挂的第三方系统，也可以是各智能卡厂商提供的动态库组件。
写卡数据处理模块：智能卡端模块，包含于智能卡，即在现有技术智能卡的基础上，增加该写卡数据处理模块。具体由各卡商根据协议要求在智能卡端实现，在智能卡出厂前预置该模块，同时预置由运营商提供的解密密钥，在收到服务器下发的加密写卡数据之后，使用解密密钥对数据内容进行解密，同时，根据自身实现机制，将待写入的数据存储到指定位置，或进行相应的业务处理等。
智能卡读写器：智能卡读写器需要有一个承载的终端，可以是电脑终端或者是嵌入到其他具有数据收发功能的移动终端，在本系统中，无须对现有的智能卡读写器/读写模块进行修改，仍然采用现有的方式对智能卡进行数据交互。
本发明实施例提供的智能卡及其写卡方法、设备和系统，通过将写入智能卡的写卡数据进行密文传输，保证了传输过程的安全性，并且智能卡的写卡数据处理模块可以自行进行写卡操作，支持对多卡商多版本智能卡进行统一写卡，则无需智能卡提供商提供对应的写卡组件，解决了写卡组件与使用环境的依赖性，提高了智能卡写卡的灵活性和安全性，加强了智能卡数据和结构的安全性，降低了运营商和各卡片厂商的管理和维护成本。
需要说明的是，本发明不限于移动运营商所使用的SIM卡写卡过程，也可以应用于银行、电信、公交等其它行业的智能卡写卡业务。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。