一种基于智能卡的密钥应用方法及应用装置的制造方法
【技术领域】
[0001]本发明涉及计算机安全技术领域，尤其涉及一种基于智能卡的密钥应用方法及应
/TJ 目.0
【背景技术】
[0002]多应用智能卡，是一种集多个功能于一体的集成电路卡，可以承载多个应用，具有便于携带、方便使用等优点，被广泛应用于金融、交通、社保、医疗通信等行业。多应用智能卡主要是通过智能卡操作系统(Card Operating System，C0S)来实现各个应用程序的协调管理，其中，COS系统内部主要采用了 Java卡开放平台技术和全球开放平台(GlobalPlatform，GP)技术，以实现各个应用程序之间的数据隔离。但是，现有技术中，各个应用程序的密钥信息均由应用程序自身进行存储管理，并没有将密钥信息与应用程序本身进行隔离，在智能卡进行业务处理时，可以直接从应用程序中获取密钥进行相关处理。
[0003]这样，仍然存在由于应用程序对密钥信息管理不当导致密钥信息泄露的安全隐串
■/Ql、O
[0004]例如:由于开发应用程序的经验不足，或者，由于应用程序测试不合格等因素，均可能导致应用程序存在逻辑缺陷，不法人员就可以通过攻击应用程序的漏洞盗取相关业务的密钥，再根据盗取的相关密钥复制智能卡，并采用相关密钥，使用复制的智能卡与业务对端进行交互，从而给持卡人带来严重的损失。
[0005]基于上述分析，现有技术中仍然存在智能卡的密钥易泄露的问题。
【发明内容】
[0006]本发明实施例提供了一种基于智能卡的密钥应用方法及应用装置，用以实现对智能卡密钥的安全管理和应用。
[0007]本发明实施例提供的具体技术方案如下:
[0008]—种基于智能卡的密钥应用方法，包括:
[0009]智能卡接收应用程序发送的第一业务请求，上述业务请求中至少携带有第一密钥索引；
[0010]智能卡基于预设的第一密钥索引和密钥关联信息之间的映射关系，从本地指定的密钥存储区域中读取对应上述第一密钥索引设置的密钥关联信息；
[0011]智能卡基于上述密钥关联信息获得上述第一密钥索引对应的第一密钥，并采用上述第一密钥与业务对端完成相关业务操作。
[0012]本发明实施例中，智能卡在处理第一业务请求时，是根据应用程序预设的第一密钥索引和密钥关联信息之间的映射关系，从本地指定的密钥存储区域中获取的第一密钥，而不再是直接从应用程序中获取第一密钥，也就是说，应用程序对应的密钥被存储在本地指定的密钥存储区域中，而不再是由应用程序自身进行存储管理，在处理第一业务请求时，应用程序只能根据自身设定的密钥索引获取对应的第一密钥，这样，即使应用程序本身存在漏洞，不法人员对应用程序的漏洞进行攻击时，也只能盗取到应用程序的密钥索引，不会盗取到相关的密钥，因此，就不能复制智能卡，从而，避免了由于攻击应用程序导致泄露密钥的风险，进而，避免了通过使用复制的智能卡与业务对端进行交互的风险。
[0013]较佳的，进一步包括:
[0014]在预处理阶段，智能卡从专属设备或通过指定接口下载上述应用程序，以及下载上述应用程序对应的至少一种密钥；
[0015]智能卡安装上述应用程序后，通过上述应用程序调用预设的密钥创建接口，在本地指定的密钥存储区域中针对上述至少一种密钥创建相应的存储空间，并通过上述应用程序调用预设的密钥写入接口将上述至少一种密钥的密钥关联信息写入相应的存储空间，其中，一种密钥的密钥关联信息中至少记录有上述一种密钥的密钥索引和密钥值。
[0016]这样，智能卡将与各个应用程序对应的密钥分别存储至本地指定的密钥存储区域中的不同存储空间内，实现了应用程序与对应密钥的完全隔离，而且，在应用程序与本地指定的密钥存储区域之间，智能卡只设定了面向应用程序的密钥创建接口和密钥写入接口，并没有设定密钥读取接口，这样，应用程序在任何时间都不能读取密钥，进一步地降低了应用程序泄露密钥的风险。
[0017]较佳的，智能卡采用上述第一密钥与业务对端完成相关业务操作，包括:
[0018]智能卡使用默认的安全算法，按照默认的密钥使用方式，采用上述第一密钥与业务对端完成相关业务操作;或者，
[0019]智能卡基于上述第一密钥对应的密钥关联信息进一步获取上述第一密钥的用途索引和算法索引，并基于上述第一密钥的用途索引确定第一密钥的密钥使用方式，基于上述第一密钥的算法索引确定相应的安全算法，以及使用上述安全算法，按照上述使用方式，采用第一密钥业务与业务对端完成相关业务操作。
[0020]较佳的，智能卡使用第一密钥与业务对端完成相关业务操作，包括:
[0021 ]采用上述第一密钥对与业务对端交互的报文进行加密或解密;或者，
[0022]采用上述第一密钥对业务对端进行消息授权码MAC校验，或，采用上述第一密钥生成针对业务对端的MAC;或者，
[0023]采用上述第一密钥对与业务对端交互的报文进行电子签名，或，采用上述第一密钥对与业务对端交互的报文进行电子签名验证。
[0024]较佳的，上述智能卡为以下卡片中的任意一种:
[0025]公交卡、社保卡、医保卡、银行卡、校园一卡通、手机用户身份识别SIM卡，用户全球识别US頂卡。
[0026]—种基于智能卡的密钥应用装置，包括:
[0027]接收单元，用于接收应用程序发送的第一业务请求，上述业务请求中至少携带有第一密钥索引；
[0028]读取单元，用于基于预设的第一密钥索引和密钥关联信息之间的映射关系，从本地指定的密钥存储区域中读取对应上述第一密钥索引设置的密钥关联信息；
[0029]执行单元，用于基于上述密钥关联信息获得上述第一密钥索引对应的第一密钥，并采用上述第一密钥与业务对端完成相关业务操作。
[0030]本发明实施例中，智能卡在处理第一业务请求时，是根据应用程序预设的第一密钥索引和密钥关联信息之间的映射关系，从本地指定的密钥存储区域中获取的第一密钥，而不再是直接从应用程序中获取第一密钥，也就是说，应用程序对应的密钥被存储在本地指定的密钥存储区域中，而不再是由应用程序自身进行存储管理，在处理第一业务请求时，应用程序只能根据自身设定的密钥索引获取对应的第一密钥，这样，即使应用程序本身存在漏洞，不法人员对应用程序的漏洞进行攻击时，也只能盗取到应用程序的密钥索引，不会盗取到相关的密钥，因此，就不能复制智能卡，从而，避免了由于攻击应用程序导致泄露密钥的风险，进而，避免了通过使用复制的智能卡与业务对端进行交互的风险。
[0031]较佳的，上述接收单元进一步用于:
[0032]在预处理阶段，从专属设备或通过指定接口下载上述应用程序，以及下载上述应用程序对应的至少一种密钥；
[0033]安装上述应用程序后，通过上述应用程序调用预设的密钥创建接口，在本地指定的密钥存储区域中针对上述至少一种密钥创建相应的存储空间，并通过上述应用程序调用预设的密钥写入接口将上述至少一种密钥的密钥关联信息写入相应的存储空间，其中，一种密钥的密钥关联信息中至少记录有上述一种密钥的密钥索引和密钥值。
[0034]这样，智能卡将与各个应用程序对应的密钥分别存储至本地指定的密钥存储区域中的不同存储空间内，实现了应用程序与对应密钥的完全隔离，而且，在应用程序与本地指定的密钥存储区域之间，智能卡只设定了面向应用程序的密钥创建接口和密钥写入接口，并没有设定密钥读取接口，这样，应用程序在任何时间都不能读取密钥，进一步地降低了应用程序泄露密钥的风险。
[0035]较佳的，采用上述第一密钥与业务对端完成相关业务操作时，上述执行单元用于:
[0036]使用默认的安全算法，按照默认的密钥使用方式，采用上述第一密钥与业务对端完成相关业务操作;或者，
[0037]基于上述第一密钥对应的密钥关联信息进一步获取上述第一密钥的用途索引和算法索引，并基于上述第一密钥的用途索引确定第一密钥的密钥使用方式，基于上述第一密钥的算法索引确定相应的安全算法，以及使用上述安全算法，按照上述使用方式，采用第一密钥业务与业务对端完成相关业务操作。
[0038]较佳的，使用第一密钥与业务对端完成相关业务操作时，上述执行单元用于:
[0039]采用上述第一密钥对与业务对端交互的报文进行加密或解密;或者，
[0040]