(57)【要約】  本発明の実施形態は、eUICCのためのセキュリティ制御方法を開示し、本方法は、組み込み集積回路カードeUICCが、サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップと、許可されている場合に、eUICCが、SM−SRエンティティとのセキュアな伝送チャネルを確立するステップであって、セキュアな伝送チャネルはeUICCの管理インタラクションに使用される、SM−SRエンティティとのセキュアな伝送チャネルを確立するステップと、を含む。本発明の実施形態はeUICCをさらに開示する。本発明を用いてeUICCのセキュリティを保証することができる。
2017500798.tif 000002
【特許請求の範囲】
【請求項１】
eUICCのためのセキュリティ制御方法であって、
組み込み集積回路カードeUICCが、サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップと、
許可されている場合に、前記eUICCが、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するステップであって、前記セキュアな伝送チャネルは前記eUICCの管理インタラクションに使用される、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するステップと
を含む、セキュリティ制御方法。
【請求項２】
eUICCが、SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する前記ステップは、
前記eUICCが、公開鍵インフラストラクチャPKI機構に従って、前記SM−SRエンティティが有効なエンティティであることを認証する場合に、前記eUICCによって記憶された第1の許可情報に従って前記eUICCが、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ、または
対称鍵機構に従って前記eUICCが、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ
を含む、請求項1に記載の方法。
【請求項３】
前記eUICCが、サブスクリプションマネージャ−データ作成SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップと、
許可されている場合に、前記eUICCが、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するステップであって、前記鍵セットは、前記eUICCに対して前記SM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するステップと
をさらに含む、請求項1に記載の方法。
【請求項４】
前記eUICCが、SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する前記ステップは、
前記eUICCが、公開鍵インフラストラクチャPKI機構に従って、前記SM−DPエンティティが有効なエンティティであることを認証する場合に、前記eUICCによって記憶された第2の許可情報に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ、または、
対称鍵機構に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ
を含む、請求項3に記載の方法。
【請求項５】
前記第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項2に記載の方法。
【請求項６】
前記第1の許可情報は、
前記eUICCのプロファイル管理資格情報PMC、または前記eUICCの第1のPKI証明書
に記憶される、請求項2または5に記載の方法。
【請求項７】
前記第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−DPエンティティは、前記eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−DPエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項3に記載の方法。
【請求項８】
前記第2の許可情報は、
前記eUICCのプロファイルインストーラ資格情報PIC、または前記eUICCの第2のPKI証明書
に記憶される、請求項4または7に記載の方法。
【請求項９】
前記eUICCが、前記SM−SRエンティティを用いて新しい第1の許可情報もしくは第2の許可情報を受信するステップ、または
前記eUICCが、前記SM−SRエンティティを用いて新しい対称鍵を受信するステップ
をさらに含む、請求項2または4に記載の方法。
【請求項１０】
前記eUICCが、アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成するステップ、または
前記eUICCが、アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成するステップ
をさらに含む、請求項2または4に記載の方法。
【請求項１１】
eUICCであって、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するように構成された、第1のモジュールと、
前記第1のモジュールの検証結果が「許可されている」である場合に、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するように構成された、第2のモジュールと
を含む、eUICC。
【請求項１２】
前記第1のモジュールは、
公開鍵インフラストラクチャPKI機構に従って、前記SM−SRエンティティが有効なエンティティであることが認証される場合に、前記eUICCによって記憶された第1の許可情報に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する
ように構成されている、請求項11に記載のeUICC。
【請求項１３】
サブスクリプションマネージャ−データ作成SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するように構成された、第3のモジュールと、
前記第3のモジュールの検証結果が「許可されている」である場合に、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するように構成された第4のモジュールであって、前記鍵セットは、前記eUICCに対して前記SM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、第4のモジュールと
をさらに含む、請求項11に記載のeUICC。
【請求項１４】
前記第3のモジュールは、
公開鍵インフラストラクチャPKI機構に従って、前記SM−DPエンティティが有効なエンティティであることが認証される場合に、前記eUICCによって記憶された第2の許可情報に従って、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する
ように構成されている、請求項13に記載のeUICC。
【請求項１５】
前記第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項12に記載のeUICC。
【請求項１６】
前記第1の許可情報は、
前記eUICCのプロファイル管理資格情報PMC、または前記eUICCの第1のPKI証明書
に記憶される、請求項12または15に記載のeUICC。
【請求項１７】
前記第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−DPエンティティは、前記eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−DPエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項13に記載のeUICC。
【請求項１８】
前記第2の許可情報は、
前記eUICCのプロファイルインストーラ資格情報PIC、または前記eUICCの第2のPKI証明書
に記憶される、請求項14または17に記載のeUICC。
【請求項１９】
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成された、第5のモジュール
をさらに含む、請求項12または14に記載のeUICC。
【請求項２０】
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成された、第6のモジュール
をさらに含む、請求項12または14に記載のeUICC。
【請求項２１】
プロセッサとメモリとを含むeUICCであって、前記メモリはプログラムコードのセットを記憶し、前記プロセッサは、前記メモリに記憶された前記プログラムコードを呼び出すことにより、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する動作と、
前記第1のモジュールの検証結果が「許可されている」である場合に、前記SM−SRエンティティとのセキュアな伝送チャネルを確立する動作と
を実行するように構成されている、eUICC。
【請求項２２】
前記プロセッサが、SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップを実行する前記動作は、
公開鍵インフラストラクチャPKI機構に従って、前記SM−SRエンティティが有効なエンティティであることが認証される場合に、前記eUICCによって記憶された第1の許可情報に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する動作、または
対称鍵機構に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する動作
を含む、請求項21に記載の方法。
【請求項２３】
前記プロセッサは、
サブスクリプションマネージャ−データ作成SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証し、
許可されている場合に、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立する、ようにさらに構成されており、前記鍵セットは、前記eUICCに対して前記SM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、請求項21に記載のeUICC。
【請求項２４】
前記プロセッサが、SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップを実行する前記動作は、
前記eUICCが、公開鍵インフラストラクチャPKI機構に従って、前記SM−DPエンティティが有効なエンティティであることを認証する場合に、前記eUICCによって記憶された第2の許可情報に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する動作、または、
対称鍵機構に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する動作
を含む、請求項23に記載のeUICC。
【請求項２５】
前記第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項22に記載のeUICC。
【請求項２６】
前記第1の許可情報は、
前記eUICCのプロファイル管理資格情報PMC、または前記eUICCの第1のPKI証明書
に記憶される、請求項22または25に記載のeUICC。
【請求項２７】
前記第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−DPエンティティは、前記eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−DPエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項23に記載のeUICC。
【請求項２８】
前記第2の許可情報は、
前記eUICCのプロファイルインストーラ資格情報PIC、または前記eUICCの第2のPKI証明書
に記憶される、請求項24または27に記載のeUICC。
【請求項２９】
前記プロセッサは、
前記SM−SRエンティティを用いて新しい第1の許可情報もしくは第2の許可情報を受信し、または
前記SM−SRエンティティを用いて新しい対称鍵を受信する
ようにさらに構成されている、請求項22または24に記載のeUICC。
【請求項３０】
前記プロセッサは、
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ようにさらに構成されている、請求項22または24に記載のeUICC。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信分野に関し、詳細には、eUICCのためのセキュリティ制御方法およびeUICCに関する。
【背景技術】
【０００２】
M2M通信システムには組み込み型UICC（ユニバーサル集積回路カード）（USIMカード、SIMカード、RUIMカードともいう）が含まれている。いわゆる組み込み型とは、UICCカード、USIMカード、SIMカード、またはRUIMカードが、カードホルダを用いてM2M端末に挿入されるのではなく、M2M端末の回路基板に直接溶接され、または組み込まれていることを意味する。そうした組み込み型カードは、一般に、耐衝撃性、M2M端末小型化などのために必要とされ、この種のカードをeUICC（embedded UICC）と呼ぶ。
【０００３】
M2M端末は普通、屋外、遠隔地、または厳しい環境に位置する。eUICCはユーザ機器に組み込まれているため、交換作業を行うのが難しい。したがって、M2M端末のネットワーク加入契約変更が問題となり、このため、eUICC上のネットワークアクセス資格情報をリモートで安全に構成するための方法の必要性が急務となっており、あるMNO（移動体通信事業者）から別のMNOへのネットワーク加入契約変更を行うことができる能力が求められている。
【０００４】
図1は、標準化機関による目下の議論においてあらゆる関係者によって比較的受け入れられているeUICCシステムアーキテクチャである。SMはsubscription manager（サブスクリプションマネージャ）を指し、DPはdata preparation（データ作成）を指し、SRはsecure routing（セキュアルーティング）を指す。Profile（プロファイル）は、ファイル構造、データ、およびアプリケーションの組み合わせである。Enabled Profile（使用可能プロファイル）のファイルおよび／またはアプリケーション（ネットワーク・アクセス・アプリケーションなど）を、UICC−Terminalインターフェースを用いて選択することができる。あるタイプのProfileは、Provisioning profile（プロビジョニングプロファイル）と呼ばれる。eUICCにおいてインストールされた後で、Provisioning profileは、eUICCとリモートエンティティ（SM−SRやSM−DPなど）との間のeUICC管理およびProfile管理のための伝送能力を提供するように、通信ネットワークにアクセスするのに使用することができる。あるタイプのProfileは、operational profile（オペレーショナルプロファイル）と呼ばれ、Operational Profileは、1つまたは複数のネットワーク・アクセス・アプリケーションおよび関連付けられたネットワークアクセス資格情報を含む。SM−DPエンティティは、profile（プロファイル）を生成し、そのprofileをダウンロードしてeUICCにインストールする役割を果たす。SM−DPは、profile installer（プロファイルインストーラ）とも呼ばれうる。SM−SRエンティティは、eUICCにおいてprofileを管理する役割を果たし、eUICCとリモートエンティティ（SM−SRやSM−DPなど）との間の通信のセキュリティを保証する役割も果たす。SM−SRは、profile manager（プロファイルマネージャ）とも呼ばれうる。MNO（移動体通信事業者）は、SM−SRおよびSM−DPにprofile関連のサービスまたはeUICC関連のサービスを要求する必要があり、例えば、SM−DPからのprofileを利用し、SM−SRにeUICCにおいてprofileの管理（例えば、profile状況の変更やprofileの削除といった操作）を行うよう要求する必要がある。eUICCは、通信モジュール提供者、端末提供者、ネットワーク事業者、またはeUICC提供者からのM2M産業顧客のうちのいずれによる加入契約も可能であり、eUICCは、M2M端末（ユーザ機器ともいう）に組み込まれている。eUICCはM2M端末に適用可能であるのみならず、非M2M端末またはスマートフォンといった従来の端末にも適用可能であることに留意すべきである。eUICCは、スマートフォンの多様なID（industrial designer）設計を容易にし、また、ユーザが新しい事業者と便利よく加入契約することを容易にする。出願者の所見では、現在のeUICCベースの通信システムは、ユーザ機器においてeUICCに対するセキュリティ制御を行うための方法を提供していない。
【発明の概要】
【０００５】
技術的問題を解決するために、本発明は、eUICCのセキュリティを保証することのできるeUICCのためのセキュリティ制御方法およびeUICCを提供する。
【課題を解決するための手段】
【０００６】
前述の技術的問題を解決するために、本発明の第1の態様は、eUICCのためのセキュリティ制御方法を提供し、本方法は、
組み込み集積回路カードeUICCが、サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップと、
許可されている場合に、eUICCが、SM−SRエンティティとのセキュアな伝送チャネルを確立するステップであって、セキュアな伝送チャネルはeUICCの管理インタラクションに使用される、SM−SRエンティティとのセキュアな伝送チャネルを確立するステップと
を含む。
【０００７】
第1の態様に関連して、第1の可能な実施態様において、eUICCが、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップは、
eUICCが、公開鍵インフラストラクチャPKI機構に従って、SM−SRエンティティが有効なエンティティであることを認証する場合に、eUICCによって記憶された第1の許可情報に従ってeUICCが、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップ、または
対称鍵機構に従ってeUICCが、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップ
を含む。
【０００８】
第1の態様に関連して、第2の可能な実施態様において、本方法は、
eUICCが、サブスクリプションマネージャ−データ作成SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップと、
許可されている場合に、eUICCが、eUICCとSM−DPエンティティとの間で鍵セットを確立するステップであって、鍵セットは、eUICCに対してSM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、eUICCとSM−DPエンティティとの間で鍵セットを確立するステップと
をさらに含む。
【０００９】
第2の可能な実施態様に関連して、第3の可能な実施態様において、eUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップは、
eUICCが、公開鍵インフラストラクチャPKI機構に従って、SM−DPエンティティが有効なエンティティであることを認証する場合に、eUICCによって記憶された第2の許可情報に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップ、または、
対称鍵機構に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップ
を含む。
【００１０】
第1の可能な実施態様に関連して、第4の可能な実施態様において、第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００１１】
第1の可能な実施態様または第4の可能な実施態様に関連して、第5の可能な実施態様において、第1の許可情報は、
eUICCのプロファイル管理資格情報PMC、またはeUICCの第1のPKI証明書
に記憶される。
【００１２】
第2の可能な実施態様に関連して、第6の可能な実施態様において、第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−DPエンティティは、eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−DPエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００１３】
第3の可能な実施態様または第6の可能な実施態様に関連して、第7の可能な実施態様において、第2の許可情報は、
eUICCのプロファイルインストーラ資格情報PIC、またはeUICCの第2のPKI証明書
に記憶される。
【００１４】
第1の可能な実施態様または第3の可能な実施態様に関連して、第8の可能な実施態様において、本方法は、
eUICCが、SM−SRエンティティを用いて新しい第1の許可情報もしくは第2の許可情報を受信するステップ、または
eUICCが、SM−SRエンティティを用いて新しい対称鍵を受信するステップ
をさらに含む。
【００１５】
第1の可能な実施態様または第3の可能な実施態様に関連して、第9の可能な実施態様において、本方法は、
eUICCが、アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成するステップ、または
eUICCが、アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成するステップ
をさらに含む。
【００１６】
対応して、本発明の第2の態様はeUICCをさらに提供し、本eUICCは、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティがeUICCを管理することを許可されているかどうか検証するように構成された、第1のモジュールと、
第1のモジュールの検証結果が「許可されている」である場合に、SM−SRエンティティとのセキュアな伝送チャネルを確立するように構成された、第2のモジュールと
を含む。
【００１７】
第2の態様に関連して、第1の可能な実施態様において、第1のモジュールは、
公開鍵インフラストラクチャPKI機構に従って、SM−SRエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第1の許可情報に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する
ように構成されている。
【００１８】
第2の態様に関連して、第2の可能な実施態様において、eUICCは、
サブスクリプションマネージャ−データ作成SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するように構成された、第3のモジュールと、
第3のモジュールの検証結果が「許可されている」である場合に、eUICCとSM−DPエンティティとの間で鍵セットを確立するように構成された第4のモジュールであって、鍵セットは、eUICCに対してSM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、第4のモジュールと
をさらに含む。
【００１９】
第2の可能な実施態様に関連して、第3の可能な実施態様において、第3のモジュールは、
公開鍵インフラストラクチャPKI機構に従って、SM−DPエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第2の許可情報に従って、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する
ように構成されている。
【００２０】
第1の可能な実施態様に関連して、第4の可能な実施態様において、第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００２１】
第1の可能な実施態様または第4の可能な実施態様に関連して、第5の可能な実施態様において、第1の許可情報は、
eUICCのプロファイル管理資格情報PMC、またはeUICCの第1のPKI証明書
に記憶される。
【００２２】
第2の可能な実施態様に関連して、第6の可能な実施態様において、第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−DPエンティティは、eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−DPエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００２３】
第3の可能な実施態様または第6の可能な実施態様に関連して、第7の可能な実施態様において、第2の許可情報は、
eUICCのプロファイルインストーラ資格情報PIC、またはeUICCの第2のPKI証明書
に記憶される。
【００２４】
第1の可能な実施態様または第3の可能な実施態様に関連して、第8の可能な実施態様において、eUICCは、
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成された、第5のモジュール
をさらに含む。
【００２５】
第1の可能な実施態様または第3の可能な実施態様に関連して、第9の可能な実施態様において、eUICCは、
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成された、第6のモジュール
をさらに含む。
【００２６】
本発明の第3の態様は、プロセッサとメモリとを含むeUICCを提供し、メモリはプログラムコードのセットを記憶し、プロセッサは、メモリに記憶されたプログラムコードを呼び出すことにより、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作と、
第1のモジュールの検証結果が「許可されている」である場合に、SM−SRエンティティとのセキュアな伝送チャネルを確立する動作と
を実行するように構成されている。
【００２７】
第3の態様に関連して、第1の可能な実施態様において、プロセッサが、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップを実行する動作は、
公開鍵インフラストラクチャPKI機構に従って、SM−SRエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第1の許可情報に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作、または
対称鍵機構に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作
を含む。
【００２８】
第3の態様に関連して、第2の可能な実施態様において、プロセッサは、
サブスクリプションマネージャ−データ作成SM−DPエンティティがeUICCを管理することを許可されているかどうか検証し、
許可されている場合に、eUICCとSM−DPエンティティとの間で鍵セットを確立する、ように構成されており、鍵セットは、eUICCに対してSM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される。
【００２９】
第2の可能な実施態様に関連して、第3の可能な実施態様において、プロセッサが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップを実行する動作は、
eUICCが、公開鍵インフラストラクチャPKI機構に従って、SM−DPエンティティが有効なエンティティであることを認証する場合に、eUICCによって記憶された第2の許可情報に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する動作、または、
対称鍵機構に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する動作
を含む。
【００３０】
第1の可能な実施態様に関連して、第4の可能な実施態様において、第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００３１】
第1の可能な実施態様または第4の可能な実施態様に関連して、第5の可能な実施態様において、第1の許可情報は、
eUICCのプロファイル管理資格情報PMC、またはeUICCの第1のPKI証明書
に記憶される。
【００３２】
第2の可能な実施態様に関連して、第6の可能な実施態様において、第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−DPエンティティは、eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−DPエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【００３３】
第3の可能な実施態様または第6の可能な実施態様に関連して、第7の可能な実施態様において、第2の許可情報は、
eUICCのプロファイルインストーラ資格情報PIC、またはeUICCの第2のPKI証明書
に記憶される。
【００３４】
第1の可能な実施態様または第3の可能な実施態様に関連して、第8の可能な実施態様において、プロセッサは、
SM−SRエンティティを用いて新しい第1の許可情報もしくは第2の許可情報を受信し、または
SM−SRエンティティを用いて新しい対称鍵を受信する
ようにさらに構成されている。
【００３５】
第1の可能な実施態様または第3の可能な実施態様に関連して、第9の可能な実施態様において、プロセッサは、
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ようにさらに構成されている。
【００３６】
以下の有益な効果が本発明を実施することによってもたらされる。
【００３７】
eUICCは、外部SM−SRエンティティに関する許可検証を行い、許可検証に成功した場合、SM−SRエンティティはeUICCと通信することを許される。加えて、eUICCとSM−SRエンティティとの間の通信のセキュリティを保証するために、eUICCとSM−SRエンティティとの間でセキュアなデータ接続が確立され、これにより、外部エンティティがeUICCを攻撃するのを効果的に防ぐことができる。
【００３８】
本発明の実施形態における、または先行技術における技術的解決策をより明確に説明するために、以下に、各実施形態または先行技術を説明するのに必要とされる添付の図面について簡単に記述する。明らかに、以下の説明における添付の図面は単に本発明のいくつかの実施形態を示すにすぎず、当業者は、これら添付の図面から難なく他の図面をさらに導出することができる。
【図面の簡単な説明】
【００３９】
【図１】先行技術におけるeUICCの論理アーキテクチャ図である。
【図２】本発明の第1の実施形態によるeUICCのためのセキュリティ制御方法の概略的流れ図である。
【図３Ａ】本発明の第2の実施形態によるeUICCのためのセキュリティ制御方法の概略的流れ図である。
【図３Ｂ】本発明の第2の実施形態によるeUICCのためのセキュリティ制御方法の概略的流れ図である。
【図４】本発明の第3の実施形態によるeUICCのためのセキュリティ制御方法の概略的流れ図である。
【図５】鍵およびトークンの更新の概略的流れ図である。
【図６】本発明の第1の実施形態によるeUICCの概略的構造図である。
【図７】本発明の第2の実施形態によるeUICCの概略的構造図である。
【図８】本発明の第3の実施形態によるeUICCの概略的構造図である。
【発明を実施するための形態】
【００４０】
以下で、本発明の実施形態における添付の図面に関連して、本発明の実施形態における技術的解決策を明確かつ十分に説明する。明らかに、説明される実施形態は、本発明の実施形態の全部ではなく、一部であるにすぎない。本発明の実施形態に基づいて当業者によって難なく得られる他のすべての実施形態は、本発明の保護範囲内に含まれるものとする。
【００４１】
図2を参照されたい。図2は、本発明の第1の実施形態による組み込みユニバーサル集積回路カードのためのセキュリティ制御方法の概略的流れ図である。本実施形態において、本方法は以下を含む。
【００４２】
S101．eUICCが、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する。
【００４３】
具体的には、SM−SRエンティティの管理要求またはコマンドを受信すると、eUICCは、SM−SRエンティティがeUICCを管理する許可を有するかどうか検証する。例えば、eUICCがSM−SRエンティティによって送信されたprofileインストール要求を受信すると、eUICCは、SM−SRがeUICC上でprofileインストールを行うことを許可されているかどうか検証する。
【００４４】
S102．セキュアな伝送チャネルを確立する。
【００４５】
具体的には、SM−SRエンティティが許可されていることを検証した後で、eUICCは、SM−SRエンティティとのセキュアな伝送チャネルを確立する。
【００４６】
S103．管理インタラクションプロセス。
【００４７】
具体的には、SM−SRエンティティとeUICCとの間の管理インタラクションが、確立されたセキュアな伝送チャネルを用いて行われる。
【００４８】
図3Aおよび図3Bを参照されたい。図3Aおよび図3Bは、本発明の第2の実施形態による組み込みユニバーサル集積回路カードのためのセキュリティ制御方法の概略的流れ図である。本実施形態において、本方法は以下を含む。
【００４９】
S201．SM−DPエンティティがSM−SRエンティティへprofileインストール要求を送信する。
【００５０】
具体的には、profileインストール要求はeUICC識別子（EID）を搬送し、eUICC識別子は、そこでprofileインストール操作が行われる必要があるeUICCの識別情報を指示する。
【００５１】
S201．SM−SRは、EIDに対応するeUICCがSM−SRによってサービスされるeUICCであるかどうか判定する。
【００５２】
具体的には、SM−SRエンティティは、profileインストール要求内のeUICC識別子に対応するeUICCがSM−SRエンティティによってサービスされるかどうか問い合わせ、そうでない場合には、SM−DPエンティティへ失敗メッセージを返し、SM−DPエンティティに、サービスを提供することができないことを通知し、そうである場合には、S203を実行する。
【００５３】
S203．SM−SRエンティティはeUICCへ証明書およびシグネチャを送信する。
【００５４】
具体的には、SM−SRエンティティは、CAによってSM−SRエンティティに対して発行されたPKI証明書（以後、SM−SRエンティティの証明書と呼ぶ）を事前に記憶し、シグネチャを生成し、eUICC識別子に対応するeUICCへSM−SRエンティティのPKI証明書およびシグネチャを送信する。任意選択で、SM−SRエンティティは、eUICCへ、eUICC管理操作タイプ（例えば、profileインストール、profileダウンロード、profile使用可能化、profile使用不可化、profile状況切換え、profile削除、または関連付けられたSM−SR変更）も送信する。
【００５５】
S204．eUICCは、CA公開鍵を用いてSM−SRエンティティの証明書の有効性を検証し、SM−SRの証明書からSM−SRの公開鍵を取得し、SM−SRの公開鍵を用いてSM−SRのシグネチャの有効性を検証し、第1の許可情報に従って、SM−SRがeUICCを管理することを許可されているかどうか検証する。
【００５６】
具体的には、eUICCは、CA公開鍵を用いて、SM−SRのPKI証明書が有効であるかどうか検証し、有効である場合、SM−SRエンティティのPKI証明書からSM−SRの公開鍵を取得し、SM−SRエンティティの公開鍵を用いて、SM−SRのシグネチャが有効であるかどうか検証し、有効である場合、SM−SRエンティティが有効なエンティティであると決定する。さらに、eUICCは、第1の許可情報に従って、SM−SRエンティティが許可されているかどうか検証する。第1の許可情報は、許可されているSM−SR識別子のリストを使用することができ、eUICCのPMC（プロファイル管理資格情報）、または（例えば、証明書の内容において拡張情報として使用される）eUICCの第1のPKI証明書に含まれる。eUICCの第1のPKI証明書はeUICCのPMCの一部でもある。SM−SRエンティティが許可されている場合には、S207が実行され、SM−SRエンティティが許可されていない場合には、S205が実行される。
【００５７】
任意選択で、第1の許可情報はeUICCの第1のPKI証明書に保存されており、PKI証明書はX．509証明書であることを例にとるものと仮定する。この場合、X．509ディジタル証明書は以下の内容を含む。
証明書のバージョン情報；
証明書の通し番号。各証明書は一意の証明書通し番号を有する；
証明書によって使用されるシグネチャアルゴリズム；
証明書の発行者名。命名規則は一般にX．500フォーマットを使用する；
証明書の有効期間。汎用証明書は、現在、UTC時間フォーマットを使用しており、その時間範囲は1950〜2049である；
証明書所有者の名前。命名規則は一般にX．500フォーマットを使用する；
証明書所有者の公開鍵；
証明書発行者からの証明書上のシグネチャ；および
証明書拡張フィールド（Authorized SM−SR list：SM−SR id−1）。
【００５８】
X．509証明書の拡張フィールドに許可情報リストが新しく追加され、このリストは、許可されたSM−SRエンティティの識別子（SM−SR id−1）を含む。eUICCは、SM−SRエンティティが許可情報リストに記録されているかどうかに従ってSM−SRエンティティが許可されているかどうか判定する。あるいは、許可情報リストは、複数のSM−SRエンティティの識別子を含む場合もある。
【００５９】
S205．eUICCは、SM−SRエンティティへ失敗メッセージを送信する。失敗メッセージは、許可されていないSM−SRエンティティの識別子を搬送する。
【００６０】
S206．SM−SRエンティティはSM−DPエンティティへ失敗メッセージを送信する。
【００６１】
S207．eUICCはSM−SRエンティティへeUICCの第1のPKI証明書および対応するシグネチャを送信する。
【００６２】
具体的には、eUICCはCAによってeUICCに対して発行されたPKI証明書を事前に記憶しており、SM−SRエンティティへeUICCの第1のPKI証明書およびシグネチャを送信する。
【００６３】
S208．SM−SRエンティティは、CA公開鍵を用いてeUICCの第1のPKI証明書の有効性を検証し、eUICCの第1のPKI証明書からeUICCの公開鍵を取得し、eUICCが許可されているかどうか検証するために、eUICCの公開鍵を用いてeUICCのシグネチャの有効性を検証する。
【００６４】
具体的には、SM−SRエンティティが、eUICCが有効であるかどうか検証する原理は、S204の原理と一致する。eUICCが許可されていることが検証される場合には、S209およびS210が実行され、eUICCが許可されていることが検証される場合には、S211が実行される。
【００６５】
S209．SM−SRエンティティはSM−DPエンティティへ失敗メッセージを送信する。失敗メッセージはeUICC識別子を搬送する。
【００６６】
S210．SM−SRエンティティはeUICCへ失敗メッセージを送信する。失敗メッセージはeUICC識別子を搬送する。
【００６７】
S211．SM−SRエンティティとeUICCとの間でセキュアな伝送チャネルを確立する。
【００６８】
具体的には、SM−SRエンティティとeUICCとの間のインタラクション操作が、セキュリティを保護するために、確立されたセキュアな伝送チャネルを用いて行われる。加えて、SM−SRは、eUICCにおいてprofile Container（コンテナ）を作成する。
【００６９】
S212．SM−DPエンティティとeUICCとは、PKI証明書を用いて相互認証を行う。
【００７０】
具体的には、SM−DPエンティティとeUICCとは、相互によって送信されるPKI証明書およびシグネチャを用いて、相互の有効性を検証し、eUICCが、SM−DPエンティティが有効なエンティティであることを検証した場合、S213が実行される。
【００７１】
S213．eUICCは、第2の許可情報に従って、SM−DPエンティティが許可されているかどうか検証する。第2の許可情報は、許可されたSM−DPのリストを使用し、PIC（プロファイルインストーラ資格情報）もしくはeUICC証明書に含まれ、または独立して存在する。eUICCが、SM−DPエンティティが許可されていること検証する場合には、S216が実行され、eUICCが、SM−DPエンティティが許可されていないこと検証する場合には、S214およびS215が実行される。
【００７２】
S214．eUICCはSM−DPエンティティへ失敗メッセージを送信する。失敗メッセージはSM−DPエンティティの識別子を搬送する。
【００７３】
S215．SM−DPエンティティとeUICCとの間でセキュリティ鍵セットを確立する。
【００７４】
具体的には、SM−DPエンティティとeUICCとの間のprofileプロビジョニング管理操作が、確立されたセキュリティ鍵セットを用いて保護される。例えば、profileに対して暗号化保護が行われ、プロビジョニング管理コマンドに対して暗号化保護が行われる。
【００７５】
S216．SM−DPエンティティおよびeUICCは、profileダウンロードおよびprofileコンテナへのインストール操作を実行し、関連した操作が鍵セットを用いて暗号化される。
【００７６】
S217．SM−DPエンティティはSM−SRエンティティへprofileインストール結果を送信する。profileインストール結果は、正常にインストールされたeUICCの識別子およびprofileの識別子を搬送する。
【００７７】
図4を参照されたい。図4は、本発明の第3の実施形態による組み込みユニバーサル集積回路カードのためのセキュリティ制御方法の概略的流れ図である。本実施形態において、本方法は以下を含む。
【００７８】
S301．SM−DPエンティティがSM−SRエンティティへprofileインストール要求を送信する。
【００７９】
具体的には、profileインストール要求はeUICC識別子（EID）を搬送し、eUICC識別子は、そこでprofileインストール操作が行われる必要があるeUICCの識別情報を指示する。
【００８０】
S302．SM−SRエンティティは、EIDに対応するeUICCがホームeUICCであるかどうか問い合わせる。
【００８１】
具体的には、アクティブ化されると、eUICCは、profileに記憶されたプロビジョニング情報に従って、対応するSM−SRエンティティに登録される。SM−SRエンティティはeUICC識別子をローカルで保存し、eUICCはSM−SRエンティティのホームeUICCとして使用される。SM−SRエンティティは、profileインストール要求内のeUICC識別子に対応するeUICCがSM−SRエンティティによってサービスされるかどうか問い合わせ、そうでない場合には、S303が実行され、そうである場合には、S304が実行される。
【００８２】
S303．SM−SRエンティティはSM−DPエンティティへ失敗メッセージを返す。
【００８３】
具体的には、失敗メッセージは、eUICC識別子に対応するeUICCのためにサービスを提供することができないことをSM−DPに通知するために、eUICC識別子を搬送する。
【００８４】
S304．SM−SRエンティティとeUICCとは、対称鍵を用いて相互認証を行う。
【００８５】
具体的には、SM−DPエンティティとeUICCとの間の相互認証が成功した場合には、SM−SRが許可されていることが決定され、S307が実行され、SM−DPエンティティとeUICCとの間の相互認証が失敗した場合には、SM−SRが許可されていないことが決定され、S305およびS306が実行される。
【００８６】
S305．eUICCはSM−SRエンティティへ失敗メッセージを送信する。失敗メッセージはSM−SRエンティティの識別子を搬送する。
【００８７】
S306．SM−SRエンティティはSM−DPエンティティへ失敗メッセージを送信する。
【００８８】
S307．SM−SRは、eUICCが有効であるかどうか検証する。
【００８９】
具体的には、SM−SRエンティティとeUICCとの間の相互認証が成功した場合には、eUICCは有効なエンティティである（すなわち、eUICCはSM−SRエンティティによってサービスされる）ことが決定され、S311が実行され、SM−SRエンティティとeUICCとの間の相互認証が失敗した場合には、eUICCが無効なエンティティであることが決定され、S309およびS310が実行される。
【００９０】
S308．SM−SRエンティティはSM−DPへ失敗メッセージを送信する。失敗メッセージはeUICC識別子を搬送する。
【００９１】
S309．SM−SRエンティティはeUICCへ失敗メッセージを送信する。失敗メッセージはeUICC識別子を搬送する。
【００９２】
S310．SM−SRエンティティとeUICCとの間で鍵セットを確立する。
【００９３】
具体的には、SM−SRエンティティとeUICCとの間の相互認証および相互許可が成功した場合に、SM−SRエンティティとeUICCとの間でセキュアな伝送チャネルが確立され、2つのエンティティはセキュアな伝送チャネル上で通信する。加えて、鍵セットは、SM−SRエンティティとeUICCエンティティとの間で交換されるデータを暗号化するために、SM−SRエンティティとeUICCとの間で確立される。
【００９４】
S311．SM−SRエンティティとeUICCとの間でprofileコンテナ作成プロセスを実行する。
【００９５】
S312．SM−SRエンティティはSM−DPエンティティへprofileコンテナ作成確認メッセージを送信する。profileコンテナ作成確認メッセージは、profileコンテナが正常に作成されるeUICCの識別子を搬送する。
【００９６】
S313．SM−DPエンティティとeUICCとは、PKI証明書を用いて相互認証を行う。
【００９７】
具体的には、SM−DPエンティティとeUICCとは、相互によって送信されるPKI証明書およびシグネチャを用いて、相互の有効性を検証し、SM−DPエンティティが、eUICCエンティティが有効なエンティティであることを検証した場合、S315が実行される。
【００９８】
S314．SM−DPエンティティはeUICCへトークン（Token）を送信する。
【００９９】
S315．eUICCは、SM−DPによって送信されたTokenが正しいかどうか検証する。eUICCのローカルTokenがPIC（プロファイルインストーラ資格情報）もしくは第2のPKI証明書に保存されており、または独立して存在する。eUICCにおいて保存されたローカルTokenを第2の許可情報と呼ぶ。
【０１００】
具体的には、eUICCは、ローカルで保存された第2の許可情報を用いて、Tokenが正しいかどうか検証する。Tokenが正しい場合には、SM−DPエンティティが許可されることが決定され、S317が実行され、そうでない場合には、S316が実行される。eUICCの第2の許可情報はPICもしくは（拡張情報として使用される）eUICC証明書に含まれ、または独立して存在する。例えば、許可情報はeUICCのX．509証明書に含まれ、証明書拡張フィールドの形態（SM−DP Token：Token 1）であり、これは、Token 1を有するSM−DPエンティティが管理を行うことを許可されていることを指示する。SM−DP Token情報は、異なる管理操作タイプを別々に許可するように、複数のToken（Token 1、Token 2、．．．）を含むことができる。例えば、Token 1は、profile load管理操作タイプを許可するのに使用され、Token 2は、profile installation管理操作タイプを許可するのに使用される。
【０１０１】
S316．eUICCはSM−DPエンティティへ失敗メッセージを送信する。失敗メッセージはSM−DPエンティティの識別子を搬送する。
【０１０２】
S317．SM−DPエンティティとeUICCとの間で鍵セットを確立し、関連したprofileコンテナ初期設定操作を行う。
【０１０３】
S318．profileをダウンロードし、profileコンテナにインストールし、鍵セットを用いてprofileを暗号化する。
【０１０４】
S319．SM−DPエンティティはSM−SRエンティティへprofileインストール結果を送信する。profileインストール結果は、profileが正常にインストールされているeUICCの識別子およびprofileの識別子を搬送する。
【０１０５】
S320．SM−SRエンティティを用いて、対称鍵および第2の許可情報をリモートで更新する。
【０１０６】
図5を参照されたい。図5は、対称鍵およびトークンを更新するための方法の概略的流れ図である。本方法は以下を含む。
【０１０７】
S401．PLMN 2がPLMN 1へprofile管理要求を送信する。profile管理要求は、eUICC識別子、SM−SR識別子、およびSM−DP識別子を搬送する。
【０１０８】
S402．アタッチプロセス。
【０１０９】
具体的には、eUICCが位置するユーザ機器が、eUICC内のProvisioning Profileまたはoperational Profileを用いて、PLMN 1にアタッチする。
【０１１０】
S403．PLMN 1とeUICCとの間で対称鍵および第2の許可情報（具体的には1つまたは複数のTokenである）を確立する。
【０１１１】
S404．PLMN 1はSM−SRエンティティへ対称鍵を送信する。
【０１１２】
S405．PLMN 1はSM−DPエンティティへ第2の許可情報を送信する。
【０１１３】
図6を参照されたい。図6は、本発明の第1の実施形態によるeUICCの概略的構造図である。本実施形態において、eUICCは、第1のモジュール10と第2のモジュール20とを含む。
【０１１４】
第1のモジュール10は、サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティがeUICCを管理することを許可されているかどうか検証するように構成されている。
【０１１５】
第2のモジュール20は、第1のモジュールの検証結果が「許可されている」である場合に、SM−SRエンティティとのセキュアな伝送チャネルを確立するように構成されている。
【０１１６】
本実施形態と方法実施形態1とは同じ思想に由来するものであり、本実施形態と方法実施形態1とによってもたらされる技術的効果も同じである。詳細については、方法実施形態1の説明を参照されたく、ここでは詳細を繰り返さない。
【０１１７】
図7を参照されたい。図7は、本発明の第2の実施形態によるeUICCの概略的構造図である。本実施形態においては、第1のモジュール10および第2のモジュール20に加えて、eUICCは、第3のモジュール30と第4のモジュール40と第5のモジュール50と第6のモジュール60とをさらに含む。
【０１１８】
第3のモジュール30は、サブスクリプションマネージャ−データ作成SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するように構成されている。
【０１１９】
第4のモジュール40は、第3のモジュールの検証結果が「許可されている」である場合に、eUICCとSM−DPエンティティとの間で鍵セットを確立するように構成されており、鍵セットは、eUICCに対してSM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される。
【０１２０】
第5のモジュール50は、アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成されている。
【０１２１】
第6のモジュール60は、アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ように構成されている。
【０１２２】
任意選択で、第1のモジュール10は、公開鍵インフラストラクチャPKI機構に従って、SM−SRエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第1の許可情報に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する
ように構成されている。
【０１２３】
任意選択で、第3のモジュール30は、公開鍵インフラストラクチャPKI機構に従って、SM−DPエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第2の許可情報に従って、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する
ように構成されている。
【０１２４】
本実施形態と方法実施形態2から方法実施形態4とは同じ思想に由来するものであり、本実施形態と方法実施形態2から方法実施形態4とによってもたらされる技術的効果も同じである。詳細については、前述の方法実施形態の説明を参照されたく、ここでは詳細を繰り返さない。
【０１２５】
図8を参照されたい。図8は、本発明の第3の実施形態によるeUICCの概略的構造図である。以後、eUICCをeUICC 1と呼ぶ。eUICC 1は、プロセッサ71とメモリ72とを含む。eUICC 1には1つまたは複数のプロセッサ71が存在しうる。図8では一例として1つのプロセッサを使用している。本発明のいくつかの実施形態においては、プロセッサ71とメモリ72とをバスまたは他の方式を用いて接続することができ、図8では一例としてバス接続が使用されている。
【０１２６】
メモリ72はプログラムコードのセットを記憶し、プロセッサ71は、メモリ72に記憶されたプログラムコードを呼び出すことにより、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作と、
第1のモジュールの検証結果が「許可されている」である場合に、SM−SRエンティティとのセキュアな伝送チャネルを確立する動作と
を実行するように構成されている。
【０１２７】
本発明のいくつかの実施形態においては、プロセッサ61が、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証するステップを実行する動作は、
公開鍵インフラストラクチャPKI機構に従って、SM−SRエンティティが有効なエンティティであることが認証される場合に、eUICCによって記憶された第1の許可情報に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作、または
対称鍵機構に従って、SM−SRエンティティがeUICCを管理することを許可されているかどうか検証する動作
を含む。
【０１２８】
本発明のいくつかの実施形態においては、プロセッサ61は、
サブスクリプションマネージャ−データ作成SM−DPエンティティがeUICCを管理することを許可されているかどうか検証し、
許可されている場合に、eUICCとSM−DPエンティティとの間で鍵セットを確立する、ようにさらに構成されており、鍵セットは、eUICCに対してSM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される。
【０１２９】
本発明のいくつかの実施形態においては、プロセッサ61が、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証するステップを実行する動作は、
eUICCが、公開鍵インフラストラクチャPKI機構に従って、SM−DPエンティティが有効なエンティティであることを認証する場合に、eUICCによって記憶された第2の許可情報に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する動作、または、
対称鍵機構に従ってeUICCが、SM−DPエンティティがeUICCを管理することを許可されているかどうか検証する動作
を含む。
【０１３０】
本発明のいくつかの実施形態においては、第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−SRエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【０１３１】
本発明のいくつかの実施形態においては、第1の許可情報は、
eUICCのプロファイル管理資格情報PMC、またはeUICCの第1のPKI証明書
に記憶される。
【０１３２】
本発明のいくつかの実施形態においては、第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、該識別子に対応するSM−DPエンティティは、eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、該少なくとも1つの認証トークンを有するSM−DPエンティティは、eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む。
【０１３３】
本発明のいくつかの実施形態においては、第2の許可情報は、
eUICCのプロファイルインストーラ資格情報PIC、またはeUICCの第2のPKI証明書
に記憶される。
【０１３４】
本発明のいくつかの実施形態においては、プロセッサ61は、
SM−SRエンティティを用いて新しい第1の許可情報もしくは第2の許可情報を受信し、または
SM−SRエンティティを用いて新しい対称鍵を受信する
ようにさらに構成されている。
【０１３５】
本発明のいくつかの実施形態においては、プロセッサ61は、
アタッチされた公衆陸上移動網PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
アタッチされた公衆陸上移動網PLMNと折衝することによって新しい対称鍵を生成する
ようにさらに構成されている。
【０１３６】
当業者は、各実施形態における方法の各プロセスの全部または一部を関連ハードウェアに命令するコンピュータプログラムによって実現することができることを理解するであろう。プログラムはコンピュータ可読記憶媒体に記憶することができる。プログラムが走ると、各実施形態における方法の各ステップが行われる。前述の記憶媒体は、磁気ディスク、光ディスク、読取り専用メモリ（Read−Only Memory、ROM）、またはランダム・アクセス・メモリ（Random Access Memory、RAM）を含むことができる。
【０１３７】
以上の開示は単に本発明の例示的実施形態であるにすぎず、当然ながら、本発明の保護範囲を限定するためのものではない。当業者は、前述の実施形態および本発明の特許請求の範囲に従ってなされる均等な改変形態を実現するプロセスの全部または一部が本発明の保護範囲内に含まれるものであることを理解するであろう。
【符号の説明】
【０１３８】
10  第1のモジュール
20  第2のモジュール
30  第3のモジュール
40  第4のモジュール
50  第5のモジュール
60  第6のモジュール
71  プロセッサ
72  メモリ
【図１】
2017500798.tif 000003
【図２】
2017500798.tif 000004
【図３Ａ】
2017500798.tif 000005
【図３Ｂ】
2017500798.tif 000006
【図４】
2017500798.tif 000007
【図５】
2017500798.tif 000008
【図６】
2017500798.tif 000009
【図７】
2017500798.tif 000010
【図８】
2017500798.tif 000011
【手続補正書】
【提出日】平成28年9月5日(2016.9.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
組み込み集積回路カードeUICCのためのセキュリティ制御方法であって、
eUICCが、サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ（Ｓ101）と、
許可されている場合に、前記eUICCが、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するステップであって、前記セキュアな伝送チャネルは前記eUICCの管理インタラクションに使用される、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するステップ（Ｓ102）と
を含む、セキュリティ制御方法。
【請求項２】
eUICCが、SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する前記ステップは、
前記eUICCが、公開鍵インフラストラクチャPKI機構に従って、前記SM−SRエンティティが有効なエンティティであることを認証する場合に、前記eUICCによって記憶された第1の許可情報に従って前記eUICCが、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ（Ｓ204）、または
対称鍵機構に従って前記eUICCが、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ（Ｓ204）
を含む、請求項1に記載の方法。
【請求項３】
前記eUICCが、サブスクリプションマネージャ−データ作成SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップと、
許可されている場合に、前記eUICCが、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するステップであって、前記鍵セットは、前記eUICCに対して前記SM−DPによって行われるプロファイルプロビジョニング操作を保護するのに使用される、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するステップと
をさらに含む、請求項1に記載の方法。
【請求項４】
前記eUICCが、SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する前記ステップは、
前記eUICCが、PKI機構に従って、前記SM−DPエンティティが有効なエンティティであることを認証する場合に、前記eUICCによって記憶された第2の許可情報に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ、または、
対称鍵機構に従って前記eUICCが、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するステップ
を含む、請求項3に記載の方法。
【請求項５】
前記第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項2に記載の方法。
【請求項６】
前記第1の許可情報は、
前記eUICCのプロファイル管理資格情報PMC、または前記eUICCの第1のPKI証明書
に記憶される、請求項2または5に記載の方法。
【請求項７】
前記第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−DPエンティティは、前記eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−DPエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項3に記載の方法。
【請求項８】
組み込み集積回路カード、eUICCであって、
サブスクリプションマネージャ−セキュアルーティングSM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証するように構成された、第1のモジュール（10）と、
前記第1のモジュールの検証結果が「許可されている」である場合に、前記SM−SRエンティティとのセキュアな伝送チャネルを確立するように構成された、第2のモジュール（20）と
を含む、eUICC。
【請求項９】
前記第1のモジュール（10）は、
公開鍵インフラストラクチャPKI機構に従って、前記SM−SRエンティティが有効なエンティティであることが認証される場合に、前記eUICCによって記憶された第1の許可情報に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、前記SM−SRエンティティが前記eUICCを管理することを許可されているかどうか検証する
ように構成されている、請求項8に記載のeUICC。
【請求項１０】
サブスクリプションマネージャ−データ作成SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証するように構成された、第3のモジュール（30）と、
前記第3のモジュールの検証結果が「許可されている」である場合に、前記eUICCと前記SM−DPエンティティとの間で鍵セットを確立するように構成された第4のモジュールであって、前記鍵セットは、前記eUICCに対して前記SM−DPによって行われるプロファイルProfileプロビジョニング操作を保護するのに使用される、第4のモジュール（40）と
をさらに含む、請求項8に記載のeUICC。
【請求項１１】
前記第3のモジュールは、
PKI機構に従って、前記SM−DPエンティティが有効なエンティティであることが認証される場合に、前記eUICCによって記憶された第2の許可情報に従って、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証し、または
対称鍵機構に従って、前記SM−DPエンティティが前記eUICCを管理することを許可されているかどうか検証する
ように構成されている、請求項10に記載のeUICC。
【請求項１２】
前記第1の許可情報は、
SM−SRエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、SM−SRエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−SRエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項9に記載のeUICC。
【請求項１３】
前記第1の許可情報は、
前記eUICCのプロファイル管理資格情報PMC、または前記eUICCの第1のPKI証明書
に記憶される、請求項9または12に記載のeUICC。
【請求項１４】
前記第2の許可情報は、
SM−DPエンティティの少なくとも1つの識別子であって、前記識別子に対応する前記SM−DPエンティティは、前記eUICCに対するProfileプロビジョニング操作を行うことを許可されている、SM−DPエンティティの少なくとも1つの識別子、または
少なくとも1つの認証トークンであって、前記少なくとも1つの認証トークンを有するSM−DPエンティティは、前記eUICCに対する管理操作を行うことを許可されている、少なくとも1つの認証トークン
を含む、請求項10に記載のeUICC。
【請求項１５】
前記第2の許可情報は、
前記eUICCのプロファイルインストーラ資格情報PIC、または前記eUICCの第2のPKI証明書
に記憶される、請求項11または14に記載のeUICC。
【請求項１６】
アタッチされた公衆陸上移動網、PLMNと折衝することによって、新しい第1の許可情報もしくは第2の許可情報を生成し、または
PLMNと折衝することによって新しい対称鍵を生成する
ように構成された、第5のモジュール（50）
をさらに含む、請求項9または11に記載のeUICC。
【国際調査報告】
2017500798.tif 000012
2017500798.tif 000013
2017500798.tif 000014
2017500798.tif 000015