IC卡在线应用追加方法 【技术领域】
本发明涉及的是一种有关IC卡应用安全的方法，特别是一种IC卡在线应用追加方法，属于计算机和信息安全技术领域。
背景技术
根据文件检索，在现有的技术条件下，如果要在已发行的用户IC卡上进行应用添加，只能够采取将用户卡回收的方式，在回收的卡片上建立新应用所需的文件系统和导入新应用的相关密钥，进行新应用的追加。应用追加如果采用回收方式，则工作量很大，而且回收周期比较长，文献检索中尚未发现与本发明主题相同或者相类似的文献报道。
【发明内容】
本发明的目的在于克服现有技术中的不足，提供一种IC卡在线应用追加方法，使其工作量减小，本发明不存在卡片回收环节，因此可行性好，用户在远程客户端就能方便的进行新应用的追加。
本发明是通过以下技术方案实现的，本发明方法如下：采用在线追加应用系统，由提供在线应用追加服务的机构，利用多应用安全共享机制和密文+MAC数据安全更新方法，通过SSL(或VPN)方式将应用追加的相关数据加密，并使用公网将加密后的数据传递到远程客户端，用户在远程客户端就能方便地进行新应用的追加。
●多应用安全共享机制
多应用安全共享采用应用“防火墙”机制保证了应用的安全创建和独立共享，具体机制是：在应用的创建阶段，应用主控密钥(ACK)受卡片主控密钥(CCK)的保护，即应用创建必须经过卡片发行方(掌握CCK地机构)的授权；一旦应用主控密钥存在，应用密钥受应用主控密钥(ACK)的保护，只有应用提供商(掌握ACK的机构)才能对应用中密钥以及信息进行更新和修改，卡片发行方无法更改应用信息；由于不同的应用提供商的ACK不同，因此，其它的应用提供商无法更改应用信息，ACK实现了不同应用之间的“防火墙”，保证了多应用卡片不同应用的安全共享。
●密文+MAC数据安全更新方法
密文+MAC是保证数据安全更新的一种技术。在IC卡上，数据和密钥的写入都有相关的密钥进行保护。具体实现方式为：
1、数据导入方将要写入的数据(可以是密钥或是要写入的数据)的明文使用相应的保护密钥加密，得到密文；
2、在IC卡上产生一个随机数，传递给数据导入方；
3、数据导入方使用相关密钥将随机数、指令头和密文等数据通过一定的数据组成方式组成的数据计算一个MAC；
4、数据导入方将密文和MAC送入IC卡，IC卡用相关密钥对相关数据计算出MAC，与数据导入方传入的MAC进行比较来验证数据导入方的合法性；
5、验证MAC通过后，IC卡将密文使用相关密钥进行解密，得到明文，完成数据的导入。
●在线追加应用系统
系统采用B/S架构，客户端采用标准IE浏览器，线路加密可以采用SSL方式，也可以采用链路加密或VPN方式，密钥加密服务采用应用服务器方式提供。
在线应用追加服务器端：存储、管理密钥，对外提供密钥操作的最基本的接口。它不直接放置在Internet上，而是位于应用服务器的后面。
应用服务器：提供客户端所需的应用服务(比如密钥导出，密钥计算等功能)，它放置于SSL网关的后面，在接受到客户端送来的应用请求后，与局域网内的在线应用追加服务器端进行通讯，得到结果后再通过通讯协议响应返回给发卡客户端。
远程密钥服务客户端：负责对IC卡进行读写，包括写入密钥，写入PIN，PIN解锁，PIN重装等IC卡操作。
IC卡读写控件：负责读写卡片
应用服务器客户端控件：负责和应用服务器进行通讯(该通讯是建立在SSL或VPN之上的，以保证安全)
在以上技术的基础上，本发明方法实现流程如下：
(1)在线应用追加服务器端启动应用追加服务；
(2)用户手持用户卡来到支持在线应用追加功能的客户端，将用户卡插入客户端的IC卡读写控件中；
(3)用户选择要添加的应用；
(4)客户端通过通讯协议与在线应用追加服务器端通讯，在用户卡上建立新应用需要的文件系统；
(5)客户端通过通讯协议与在线应用追加服务器端通讯，将本用户卡的新应用相关密钥写入用户卡中，完成新应用的追加。
本发明具有实质性特点和显著进步，本发明具有如下特点：采用联机、分布方式进行追加解决卡片回收难题，用户可以自主选择追加应用，只要业务系统支持，甚至可以由用户自主选择删除应用，通过SSL和VPN加密通道保证传输安全，通过采用密文+MAC方式的发卡指令保证内容安全。
【具体实施方式】
下面是一个使用在线应用追加方法来实现应用追加的应用实例的描述。
由于IC卡能在一张卡片上实现多应用，但如何在一张已发卡片上方便的进行应用追加就成了一个问题。本系统通过在线的方式很好的解决了这个问题。整个系统包括在线应用追加服务器端、应用服务器和客户端三部分。 首先由在线应用追加服务器端启动应用追加服务。用户手持用户卡来到支持在线应用追加功能的客户端，将用户卡插入客户端的IC卡读写控件中。在用户选择要添加的应用后，客户端通过应用服务器与在线应用追加服务器端通讯，在用户卡上建立新应用需要的文件系统并将本用户卡的新应用相关密钥写入用户卡中，完成新应用的追加。
本发明方法回收周期短，可行性好，用户在远程客户端就能方便的进行新应用的追加。