提供认证能力的设备的制作方法

1.本文所示出和所描述的实施方式总体上涉及对用户进行认证以访问安全资源的自动身份认证系统，并且涉及用于身份认证系统的安全消息传递的技术。


背景技术：

2.存在许多使用设备对人的身份进行自动认证的应用。一个示例是自动访问安全区域。另一示例是证明对逻辑资产(例如比如金融资源)的自动访问的身份。使用设备的自动认证可以涉及在执行认证的验证方设备与凭证设备诸如智能卡或移动电话之间交换认证信息。自动认证也可以是机器对机器(m2m)，其中一个设备在基于从另一设备接收到的信息改变其行为之前对另一设备进行认证。设备需要配置硬件和软件中的一者或两者来执行身份验证功能。为了提供安全性，设备通常是手动配置的，但是对于大型认证系统来说，这是昂贵的。期望使用安全消息传递能够传输敏感信息，以配置用于自动认证的设备。
附图说明
3.图1是认证系统的各部分的示例的图示。
4.图2是示出用于终端认证设备的嵌入式通用集成电路卡(euicc)的框图。
5.图3是对认证系统的凭证设备进行编码的方法的示例的流程图。
6.图4示出了认证系统的元件和网络运营商后端当中的认证应用的流程的示例。
7.图5是认证系统的设备当中的通信示例的流程图。
8.图6示出了认证系统的元件当中的认证应用的流程的另一示例。
9.图7是认证系统的设备当中的通信的另一示例的流程图。
10.图8是示出认证设备中的认证应用的不同部署的框图。
11.图9是认证设备的示例的各部分的框图示意图。
具体实施方式
12.自动设备认证涉及在设备之间发送敏感信息，以证明设备的持有者的身份，或者证明信息来自授权设备或被提供给授权设备。设备需要硬件、固件和软件中的一种或多种以用于执行自动认证的功能所需的逻辑。为了提供安全性，设备可以手动地或使用系统的实现者的安全网络提供有该逻辑，但是越来越期望使用作为移动计算设备(例如，移动电话或智能卡)的设备。
13.图1是认证系统的后端服务器105、移动设备110、凭证设备115和物联网(iot)设备120的示例的图示。移动设备110可以是智能电话、平板计算机、膝上型计算机或任何便携式计算设备。凭证设备115可以是用于认证设备的持有者的智能卡或可穿戴设备。物联网设备120可以是m2m工业设备、智能传感器、智能仪表、智能标签、智能锁或具有蜂窝模块或网络模块的其他设备。
14.期望通过标准无线通信网络125传输敏感信息，以远程提供具有自动认证能力的
设备。该敏感信息将包括认证软件应用(例如，安全操作系统核心)或小程序，其将允许配置有认证应用的设备执行与相互认证、凭证验证、加密密钥管理和安全消息传递中的一个或更多个等相关的功能。
15.例如，如果终端认证设备是凭证设备115，则认证应用可以安装在具有包括数字凭证的凭证配置文件的凭证设备115中。执行所安装的认证应用使凭证设备向认证系统的验证方设备提供包括在凭证配置文件中的凭证信息。
16.认证应用使用加密的强认证来保护对存储在设备中的数字凭证的访问。认证应用将数字凭证存储在应用专用文件(adf)中，每个应用专用文件都具有唯一的对象标识符(oid)。adf可以由认证应用动态地创建和销毁，从而在数字凭证的整个生命周期中优化可用内存的使用。
17.每个数字凭证都通过选择和认证得到保护。如果终端认证设备是移动设备110，则在移动设备110中安装并执行认证应用使移动设备作为验证方设备操作，并且从凭证设备接收访问凭证信息，并且根据访问凭证信息对凭证设备进行认证。另外，执行认证应用还可以使移动设备作为凭证设备操作。认证应用还可以远程提供给静态验证方设备，例如物理访问系统的读取器设备。
18.如果终端认证设备是物联网设备120，则在物联网设备110中安装并执行认证应用使物联网设备110向另一设备(例如，验证方设备或另一物联网设备)提供凭证信息，或者从另一物联网设备接收访问凭证信息，并且根据访问凭证信息认证另一物联网设备。
19.对凭证信息或其他敏感信息的保护可能涉及利用使用认证应用生成的多个加密密钥。认证应用还可以生成和认证静态密码或一次性密码。认证应用可以加载到其执行的终端认证设备的安全内存区域中。该安全区域可以是认证设备的安全元件(se)或安全飞地(secure enclave)。se可以包括具有密钥管理器的协处理器或安全处理器。se与认证设备的处理电路系统之间的通信被严格控制，例如比如通过隔离到中断驱动邮箱的通信来控制。在某些示例中，安全区域包括在认证设备的可信执行环境(tee)中。tee是身份验证应用的执行空间，其提供了比富操作系统更高级别的安全性，但提供了比se更多的功能。tee的一个示例是认证设备的处理电路系统的处理器或中央处理单元(cpu)的专用安全区域。
20.图2是示出用于终端认证设备诸如图1的示例的移动设备、凭证设备或物联网设备中的任何一个的嵌入式通用集成电路卡(euicc)的框图。euicc是安全存储设备的嵌入式用户识别模块(esim)配置文件的硬件。esim配置文件是包括允许用户设备连接到运营商网络的订阅和网络设置的虚拟配置文件。远程提供可以将认证应用230安装在euicc内，其中认证应用执行以执行认证功能。认证应用230是基于软件的，并且独立于底层硬件芯片，以提供灵活的形状因子来供应图1的示例的移动设备、凭证设备和物联网设备，以执行设备认证、凭证呈现、加密密钥管理和安全消息传递。
21.这种远程提供设备的技术的挑战是，不存在很多选项用于建立安全通道来从后端服务器认证系统发送认证应用，以提供和编码所述设备。提供过程应该是安全和标准化的，并且认证系统的实现者应该保持对发行者安全域(isd)密钥的控制。如果系统实现者不能控制在系统中提供认证设备所需的所有设备，则无法保证这种安全级别。
22.蜂窝网络运营商能够使用蜂窝网络、使用运营商的后端网络的订阅管理元件，通过无线方式提供具有配置文件信息的用户识别模块(sim)卡。该网络可以提供将认证应用
发送到设备的通道，从而可以安装应用来为设备提供认证和凭证功能。
23.图3是提供认证系统的认证设备的一般方法的流程图。在305处，将认证应用从认证系统后端服务器发送到蜂窝网络运营商的后端网络。在框310处，蜂窝运营商的后端网络验证认证应用，并且将认证应用包括在将被提供为认证设备(例如，图1的移动设备110、凭证设备115或物联网设备120中的任何一个)的终端设备的运营商配置文件中。认证应用的提供可以使用网络运营商的订阅管理器发现服务(sm-ds)。
24.在框315处，将认证应用和运营商配置文件从蜂窝网络运营商的后端网络发送到认证设备的本地配置文件助手(lpa)。在320处，使用lpa将认证应用安装在认证设备的安全区域中。
25.图4示出了认证系统的元件和网络运营商后端当中的认证应用的流程的示例。在一些示例中，认证设备的终端用户465启用提供。该流程围绕元件中的四个元件来组织：订阅管理器数据准备(sm-dp)435、订阅管理器发现服务(sm-ds)440、认证设备的lpa450和认证设备的euicc 455。
26.sm-dp 435负责运营商凭证(例如，运营商配置文件)的创建、下载、远程管理(例如，启用、禁用、更新、删除)以及运营商凭证的保护。sm-ds 440负责将运营商配置文件传送到设备的lpa450。图4中的流程包括认证系统的后端服务器405与sm-dp/sm-sr之间的通信。sm-dp可以封装sm-dp和sm-sr两者的功能，并且这样的sm-dp被指定为sm-dp+。sm-dp负责嵌入式用户身份模块(esim)配置文件的安全存储、esim配置文件订阅、使用所需订阅数据的esim配置文件个性化以及esim配置文件准备，以用于安全下载和安装到euicc上。
27.sm-sr(并入到sm-dp+中)负责为注册到sm-sr的每个单独的euicc建立安全通道，该安全通道允许将下载/安装、启用、禁用、删除等功能的远程管理操作直接传递给euicc或esim配置文件。sm-dp和sm-sr职责涵盖在一个平台中。这两个功能的集成降低了复杂度，缩短了实现时间。另一方面，两个功能的集成导致esim配置文件所有者(网络运营商460)与euicc所有者(服务提供商)之间的固定依赖性。
28.lpa450是认证设备445中负责提供将加密配置文件下载到euicc 455的能力的一组功能。lpa450还向终端用户465呈现本地管理终端用户接口，从而可以管理euicc上的配置文件的状态。lpa的主要功能也可以构建到euicc中。
29.对于消费者设备，euicc 455服务于与m2m设备的euicc相同的高级目的，但是实现可以不同，以支持消费者设备内的终端用户交互。sm-ds 440为来自sm-dp的数据(例如，运营商配置文件)提供到达euicc的手段，而euicc不必知道设备连接到哪个网络。该特征非常重要，因为设备可以使用具有不同地址的不同接入网络进行连接。sm-ds 440通过允许sm-dp向安全布告栏发布警报并让设备提取这些警报来克服这一点。当配置文件数据可供下载到euicc时，安全布告栏用于通知lpa。通知从sm-dp发送到sm-ds。当期望或需要时，设备lpa450轮询sm-ds 440以获得通知(支持“拉”模型)。轮询频率可以由euicc状态和终端用户动作中的一者或两者来确定。在推送模型中，sm-ds 440在配置文件可用于发送到euicc 455时通知lpa450。
30.图5是图4的认证系统的元件和网络运营商后端当中的通信示例的详细流程图。该通信将认证应用530安装到包括lpa550和euicc 555或esim的用户设备(例如，图1中的移动设备110或凭证设备115)中。在步骤502处，设备的所有者发送对认证应用530的请求。在步
骤504处，用户设备检查是否存在可以从网络运营商获得的新配置文件。该配置文件可以包含新的或者更新的认证应用。框506示出用户设备lpa550可以轮询sm-ds 540以查看配置文件更新是否可用。如果配置文件在sm-ds 540处不可用，则后端服务器505在步骤508处确认用户的身份。在步骤510处，如果身份被确认，则授权提供认证应用，并且认证应用从后端服务器505发送到sm-dp+535。图5的示例示出了与后端服务器的通信可以经由云服务。
31.框512示出了sm-dp+535可以验证认证应用并将其包括在移动网络运营商安全域(mno-sd)下的运营商配置文件中。在步骤514处，sm-dp+通知sm-ds 540新的或者更新的运营商配置文件，并且在步骤516处，sm-ds 540通知用户设备的lpa550该配置文件是可用的。在步骤518处，lpa550确认运营商配置文件。这可能导致用户设备的lpa550与运营商的sm-dp+535之间的合约。在步骤520处，包含认证应用的配置文件从sm-dp+535下载到lpa550。在步骤522处，lpa550将配置文件和认证应用530安装到用户设备的euicc或esim 555中(如图2的示例中所示)并且认证应用530可供用户设备使用。
32.图6示出了认证系统的元件当中的认证应用的流程的另一示例。该示例是为了提供物联网设备作为认证设备。该流程围绕物联网设备的sm-dp 635、sm-sr637和euicc 655进行组织。与图4的示例相反，服务提供商633的sm-dp 635和sm-sr 637被示出在单独的平台中。提供由认证系统的后端服务器605(例如，图1的后端服务器105)推送。
33.图7是图6中的认证系统的元件当中的通信的示例的详细流程图。该通信将认证应用安装在具有蜂窝模块的物联网设备720中。在步骤702处，认证应用被认证系统的后端服务器705(例如，图1的后端服务器105)推送到sm-dp 735服务器。在框704处，sm-dp服务器735验证认证应用并将其包括在mno-sd下的运营商配置文件中。在步骤706处，认证应用与运营商配置文件一起从sm-dp服务器735发送到sm-sr服务器737。
34.在步骤708处，如果还没有认证，sm-sr服务器735和物联网设备720的euicc彼此认证。相互认证可以使用包括在发行者安全域根(isd-r)中的密钥集。在步骤710处，具有新认证应用的新配置文件被安装在物联网设备720中。如图4的示例中所示，物联网设备720可以使用物联网设备的lpa接收认证应用，并且lpa750可以如图5的示例中那样从sm-ds接收认证应用。在一些示例中，使用相同的方法将已经安装在物联网设备720中的认证应用的更新发送到物联网设备720。
35.在步骤712处，sm-sr服务器737将配置文件改变的结果报告回请求sm-dp服务器735。在框714处，sm-dp服务器735更新关于安装在物联网设备720中的配置文件的信息。在步骤716处，后端服务器705从sm-dp服务器735接收认证应用的安装的状态。尽管该示例描述了将认证应用部署到终端物联网设备，但是该方法也可以用于提供前端设备，例如比如用于物理访问系统的读取器设备。
36.图8是示出认证设备中的认证应用的不同部署的框图。部署包括安装在作为智能卡的凭证设备815的se中的认证应用(app)、安装在移动设备810a的se中的认证应用，以及安装在没有se的移动设备810b中的认证应用。部署还可以包括用于凭证设备、移动设备或物联网设备的嵌入式用户身份模块(esim)870。
37.图8中的部署示例还包括移动设备810c和物联网设备820的可信执行环境(tee)。如果期望，将认证应用部署到tee可以利用运营商网络的esim部署来将认证应用远程部署到终端认证设备的tee。例如，可以使用运营商网络的sm-dp服务器来部署认证应用。tee可
以使用类似于esim部署中使用的java卡技术。
38.本文描述的系统、设备和方法提供了认证系统的提供后端服务器与终端认证设备之间的安全的空中部署通道。这降低了在认证系统中使用的设备的提供和维护的成本。
39.尽管本文描述的技术包括从后端服务器提供认证应用并将认证应用包括在运营商配置文件中，但是也可以使用其他机制。例如，用户设备的euicc可以在制造期间预提供有运营商的远程sim提供平台sm-dp地址。当第一次激活时，用户设备直接连接到sm-dp以检索包括认证应用的配置文件。在另一机制中，运营商提供一个qr码，用智能手机扫描该qr码以下载配置文件。qr码包含告诉用户设备在哪里检索配置文件的信息(例如，sm-dp地址)。用户设备的lpa可以轮询sm-dp以检索配置文件。
40.本文描述的方法、系统和设备提供安全的空中通道，以提供终端设备来执行认证系统的功能。这提高了在认证系统中使用的提供设备的效率并降低了成本。
41.图9是用于支持本文所描述和所示出的设备架构的设备900(例如，嵌入式设备)的各种示例部件的框图示意图。图9的设备900可以是例如对凭证设备的持有者的权限、状态、权利和/或享有特权的权利的认证信息进行认证的认证设备(或其他发起方设备)。该设备也可以是凭证设备，例如智能卡、移动电话、其他便携式计算设备、便携式令牌或其他形状因子。
42.具体参照图9，用于支持本文所描述和所示出的设备架构的设备900的附加示例通常可以包括以下中的一项或更多项：存储器902、处理电路系统诸如处理器904、一个或更多个天线906、通信端口或通信模块908、网络接口设备910、用户接口912、以及电源914或电力供应。
43.存储器902可以通过处理电路系统与应用编程或指令的执行结合使用，并且用于临时或长期存储程序指令或指令集916例如认证应用的指令和/或授权数据918例如凭证数据、凭证授权数据或访问控制数据或指令、以及支持上述设备架构所需或期望的任何数据、数据结构和/或计算机可执行指令。例如，存储器902可以包含可执行指令916，该可执行指令916由处理电路系统的处理器904使用，以运行设备900的其他部件，计算加密密钥以传送凭证或授权数据918，以及/或者执行本文所描述的功能或操作中的任何功能或操作，例如诸如图3的方法。存储器902可以包括计算机可读介质，该计算机可读介质可以是可以包含、存储、传送或传输由设备900使用或与设备900结合使用的数据、程序代码或指令的任何介质。计算机可读介质可以是例如但不限于电子的、磁的、光学的、电磁的、红外或半导体系统、装置或设备。合适的计算机可读介质的更具体的示例包括但不限于具有一个或更多个线的电连接或有形存储介质，例如便携式计算机软盘、硬盘、随机访问存储器(ram)、只读存储器(rom)、可擦除可编程只读存储器(eprom或闪速存储器)、动态ram(dram)、通常为致密盘只读存储器(cd-rom)或其他光或磁存储设备的任何固态存储设备。计算机可读介质包括计算机可读存储介质但应不与计算机可读存储介质混淆，其旨在覆盖计算机可读介质的所有物理的、非暂态的或类似的实施方式。
44.设备900的处理电路系统被配置(例如，通过固件)成执行本文描述的验证方设备的功能，例如图2或图3的方法的功能。处理电路系统可以对应于一个或更多个计算机处理设备或资源。例如，处理器904可以被提供为硅、现场可编程门阵列(fpga)、专用集成电路(asic)、任何其他类型的集成电路(ic)芯片、ic芯片的集合等。作为更具体的示例，处理器
904可以被提供为微处理器、中央处理单元(cpu)或者被配置成执行存储在内部存储器和/或存储器902中的指令集920的多个微处理器或cpu。处理器可以包括用于执行认证应用的tee。
45.天线906可以对应于一个或更多个天线，并且可以被配置成提供设备900与另一设备之间的无线通信。天线906可以可操作地耦接至包括一个或更多个物理(phy)层924的物理层电路系统，以使用一个或更多个无线通信协议和操作频率进行操作，所述无线通信协议和操作频率包括但不限于ieee 802.15.1、低能量(ble)、近场通信(nfc)、zigbee、gsm、cdma、wi-fi、rf、uwb等。在示例中，天线906可以包括耦接至一个或更多个物理层924的一个或更多个天线，以使用用于带内活动/通信的超宽带(uwb)和用于带外(oob)活动/通信的蓝牙(例如，ble)进行操作。然而，任何rfid或个域网(pan)技术——例如ieee 502.15.1、近场通信(nfc)、zigbee、gsm、cdma、wi-fi等——可以替选地或附加地用于本文中描述的oob活动/通信。
46.设备900可以另外包括通信模块908和/或网络接口设备910。通信模块908可以被配置成根据任何合适的通信协议与设备900远程或本地的一个或更多个不同的系统或设备进行通信。网络接口设备910包括用于促进利用多种传输协议(例如，帧中继、互联网协议(ip)、传输控制协议(tcp)、用户数据报协议(udp)、超文本传输协议(http)等)中的任何一种传输协议通过通信网络与其他设备进行通信的硬件。示例通信网络可以包括局域网(lan)、广域网(wan)、分组数据网络(例如，因特网)、移动电话网络(例如，蜂窝网络)、普通老式电话(pots)网络、无线数据网络(例如，被称为wi-fi的ieee 802.11标准族、被称为wimax的ieee 802.16标准族)、ieee 802.15.4标准族以及对等(p2p)网络等。在一些示例中，网络接口设备910可以包括以太网端口或其他物理插孔、wi-fi卡、网络接口卡(nic)、蜂窝接口(例如，天线、滤波器和相关电路系统)等。在一些示例中，网络接口设备910可以包括多个天线，以使用单输入多输出(simo)、多输入多输出(mimo)或多输入单输出(miso)技术中的至少一种技术进行无线通信。在一些示例实施方式中，天线906、通信模块908和/或网络接口设备910或其子部件中的一个或更多个可以被集成为单个模块或设备，如同它们是单个模块或设备一样起作用或操作，或者可以包括在它们之间共享的元件。
47.用户接口912可以包括一个或更多个输入设备和/或显示设备。可以包括在用户接口912中的合适的用户输入设备的示例包括但不限于，一个或更多个按钮、键盘、鼠标、触摸敏感的表面、手写笔、相机、麦克风等。可以包括在用户接口912中的合适的用户输出设备的示例包括但不限于，一个或更多个led、lcd面板、显示屏、触摸屏、一个或更多个灯、扬声器等。应该理解的是，用户接口912还可以包括组合的用户输入和用户输出设备，如触摸敏感的显示器等。
48.电源914可以是任何合适的内部电源，例如电池、电容性电源或类似类型的电荷存储设备等，并且/或者可以包括适于将外部电力转换成用于设备900的部件的合适电力(例如，将外部供应的ac电力转换成dc电力)的一个或更多个电力转换电路。
49.设备900还可以包括可操作以在设备的各种硬件部件之间传输通信的一个或更多个互连或总线922。系统总线922可以是若干种商业上可用的总线结构或总线构架中的任何一种。
50.附加公开内容和示例
51.示例1包括主题(例如提供认证系统的认证设备的方法)，主题包括：将认证应用从认证系统后端服务器发送到蜂窝网络运营商的后端网络；由蜂窝运营商的后端网络验证认证应用，并且将认证应用包括在运营商配置文件中；将认证应用和运营商配置文件从蜂窝网络运营商的后端网络发送到认证设备的本地配置文件助手(lpa)；以及使用lpa将认证应用安装在认证设备的安全区域中。
52.在示例2中，示例1的主题可选地包括：在由蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器与认证设备进行设备认证之后，安装认证应用。
53.在示例3中，示例2的主题可选地包括：由认证系统后端服务器从蜂窝运营商的后端网络的订阅管理器数据准备(sm-dp)服务器和认证设备接收认证应用的安装的状态。
54.在示例4中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的凭证设备，将凭证设备的凭证配置文件包括在运营商配置文件中；将认证应用和凭证配置文件安装在凭证设备的安全元件中；以及认证应用，其包括下述指令，所述指令可由凭证设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的验证方设备。
55.在示例5中，示例4的主题可选地包括凭证设备，该凭证设备包括嵌入式通用集成电路卡(euicc)。
56.在示例6中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的移动计算设备；将认证应用安装在移动计算设备的安全元件中；以及认证应用，其包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据访问凭证信息认证凭证设备。
57.在示例7中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的移动计算设备；将认证应用安装在移动计算设备的可信执行环境(tee)中；以及认证应用，其包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据访问凭证信息认证凭证设备。
58.在示例8中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的移动计算设备；将移动计算设备的凭证配置文件包括在运营商配置文件中；将认证应用和凭证配置文件安装在移动计算设备的安全区域中；以及认证应用，其包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的验证方设备。
59.在示例9中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的物联网(iot)设备；将认证应用安装在物联网设备的可信执行环境(tee)中；以及认证应用，其包括下述指令，所述指令可由物联网设备的处理电路系统执行，以从另一物联网设备接收访问凭证信息，并且根据访问凭证信息认证另一物联网设备。
60.在示例10中，示例1至3中的一个或任何组合的主题可选地包括：作为认证设备的物联网(iot)设备；将认证应用和凭证配置文件安装在物联网设备的可信执行环境(tee)中；以及认证应用，其包括下述指令，所述指令可由物联网设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的另一物联网设备。
61.示例11可以包括主题(例如，认证系统的物联网设备)，或者可以可选地与示例1至10中的一个或任何组合相结合以包括这样的主题，该主题包括：物理层电路系统，以及耦接
至物理层电路系统的处理电路系统。该处理电路系统包括本地配置文件助手(lpa)应用，该本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器，响应于所述认证，从sm-sr服务器接收认证应用，以及将认证应用安装在物联网设备的可信执行环境(tee)中。
62.在示例12中，示例11的主题可选地包括：认证应用，该认证应用包括下述指令，所述指令可由物联网设备的处理电路系统执行，以从另一物联网设备接收访问凭证信息，并且根据访问凭证信息认证另一物联网设备。
63.在示例13中，示例11和12中的一个或两个的主题可选地包括lpa应用，该lpa应用被配置成：从sm-sr服务器接收凭证配置文件，并且将认证应用和凭证配置文件安装在物联网设备的tee中，以及包括处理电路系统，该处理电路系统被配置成：将凭证配置文件中包括的凭证信息提供给认证系统的另一物联网设备。
64.示例14包括主题(例如，认证系统的移动计算设备)，或者可以可选地与示例1至13中的一个或任何组合相结合以包括这样的主题，该主题包括：物理层电路系统，以及耦接至物理层电路系统的处理电路系统。该处理电路系统包括本地配置文件助手(lpa)应用，该本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器，响应于所述认证，从sm-sr服务器接收认证应用，以及将认证应用安装在移动计算设备的安全区域中。
65.在示例15中，示例14的主题可选地包括安全区域，安全区域是移动计算设备的安全元件(se)，并且认证应用包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据访问凭证信息认证凭证设备。
66.在示例16中，示例14的主题可选地包括安全区域，安全区域是移动计算设备的可信执行环境(tee)，并且认证应用包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据访问凭证信息认证凭证设备。
67.在示例17中，示例14至16中的一个或任意组合的主题可选地包括lpa，lpa被配置成：响应于所述认证，从sm-sr服务器接收凭证配置文件，将凭证配置文件安装在移动计算设备的安全区域中，以及认证应用，其包括下述指令，所述指令可由移动计算设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的验证方设备。
68.示例18包括主题(例如，认证系统的凭证设备)，或者可以可选地与示例1至17中的一个或任何组合相结合以包括这样的主题，该主题包括：物理层电路系统，以及耦接至物理层电路系统的处理电路系统。该处理电路系统包括本地配置文件助手(lpa)应用，该本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器；响应于所述认证，从sm-sr服务器接收授权应用和凭证配置文件；以及将授权应用和凭证配置文件安装在移动计算设备的安全区域中。
69.在示例19中，示例18的主题可选地包括：安全区域是凭证设备的安全元件(se)；以及认证应用，其包括下述指令，所述指令可由认证设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的验证方设备。
70.在示例20中，示例19的主题可选地包括嵌入式通用集成电路卡(euicc)。
71.在示例21中，示例18至20的一个或任何组合的主题可选地包括：作为凭证设备的移动计算设备。
72.在示例22中，示例18的主题可选地包括：作为凭证设备的移动计算设备，安全区域是移动计算设备的可信执行环境(tee)，以及认证应用，其包括下述指令，所述指令可由凭证设备的处理电路系统执行，以将凭证配置文件中包括的凭证信息提供给认证系统的验证方设备。
73.这些非限制性示例可以以任何排列或组合方式组合。以上详细描述包括对附图的参考，附图形成该详细描述的一部分。通过说明的方式，附图示出了可以实践本发明的具体实施方式。以上描述旨在是说明性的，而不是限制性的。例如，上述示例(或上述示例的一个或更多个方面)可以彼此组合地使用。在查看以上描述之后，例如本领域普通技术人员可以使用其他实施方式。提供摘要以使得读者能够快速确定技术公开内容的本质。所提交的摘要应当理解为不用于解释或限制权利要求的范围或含义。在以上的具体实施方式中，各种特征可以被分组在一起以简化本公开内容。这不应被解释为意指未请求保护的公开的特征对于任何权利要求是必不可少的。而是，主题可能在于少于特定公开的实施方式的所有特征。因此，所附权利要求由此并入详细描述中，其中每个权利要求本身作为单独的实施方式，并且预期这样的实施方式可以以各种组合或置换的方式彼此结合。应参考所附权利要求以及这样的权利要求所享有的等同物的全部范围来确定范围。

技术特征：
1.一种提供认证系统的认证设备的方法，所述方法包括：将认证应用从认证系统后端服务器发送到蜂窝网络运营商的后端网络；由蜂窝运营商的后端网络验证所述认证应用，并且将所述认证应用包括在运营商配置文件中；将所述认证应用和所述运营商配置文件从所述蜂窝网络运营商的后端网络发送到所述认证设备的本地配置文件助手(lpa)；以及使用所述lpa将所述认证应用安装在所述认证设备的安全区域中。2.根据权利要求1所述的方法，其中，安装所述认证应用包括：在由所述蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器与所述认证设备进行设备认证之后，安装所述认证应用。3.根据权利要求2所述的方法，包括：由所述认证系统后端服务器从所述蜂窝运营商的后端网络的订阅管理器数据准备(sm-dp)服务器和所述认证设备接收所述认证应用的安装的状态。4.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是凭证设备，并且所述方法还包括：将所述凭证设备的凭证配置文件包括在所述运营商配置文件中；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用和所述凭证配置文件安装在所述凭证设备的安全元件中；以及其中，所述认证应用包括下述指令，所述指令能够由所述凭证设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的验证方设备。5.根据权利要求4所述的方法，其中，所述凭证设备包括嵌入式通用集成电路卡(euicc)。6.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是移动计算设备；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用安装在所述移动计算设备的安全元件中；以及其中，所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据所述访问凭证信息认证所述凭证设备。7.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是移动计算设备；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用安装在所述移动计算设备的可信执行环境(tee)中；以及其中，所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据所述访问凭证信息认证所述凭证设备。8.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是移动计算设备，并且所述方法还包括：将所述移动计算设备的凭证配置文件包括在所述运营商配置文件中；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用和所述凭证配置文件安装在所述移动计算设备的安全区域中；以及
其中，所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的验证方设备。9.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是物联网(iot)设备；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用安装在所述物联网设备的可信执行环境(tee)中；以及其中，所述认证应用包括下述指令，所述指令能够由所述物联网设备的处理电路系统执行，以从另一物联网设备接收访问凭证信息，并且根据所述访问凭证信息认证所述另一物联网设备。10.根据权利要求1至3中任一项所述的方法，其中，所述认证设备是物联网(iot)设备，并且所述方法还包括：向所述物联网设备发送凭证配置文件；其中，将所述认证应用安装在所述安全区域中包括：将所述认证应用和所述凭证配置文件安装在所述物联网设备的可信执行环境(tee)中；以及其中，所述认证应用包括下述指令，所述指令能够由所述物联网设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的另一物联网设备。11.一种认证系统的物联网(iot)设备，所述物联网设备包括：物理层电路系统；以及耦接至所述物理层电路系统的处理电路系统，其中，所述处理电路系统包括本地配置文件助手(lpa)应用，所述本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器；响应于所述认证，从所述订阅管理器安全路由服务器接收认证应用；以及将所述认证应用安装在所述物联网设备的可信执行环境(tee)中。12.根据权利要求11所述的物联网设备，其中，所述认证应用包括下述指令，所述指令能够由所述物联网设备的处理电路系统执行，以从另一物联网设备接收访问凭证信息，并且根据所述访问凭证信息认证所述另一物联网设备。13.根据权利要求11或12所述的物联网设备，其中，所述本地配置文件助手应用被配置成：从所述订阅管理器安全路由服务器接收凭证配置文件；并且将所述认证应用和所述凭证配置文件安装在所述物联网设备的可信执行环境中；以及其中，所述处理电路系统被配置成：将所述凭证配置文件中包括的凭证信息提供给所述认证系统的另一物联网设备。14.一种认证系统的移动计算设备，所述移动计算设备包括：物理层电路系统；以及耦接至所述物理层电路系统的处理电路系统，其中，所述处理电路系统包括本地配置文件助手(lpa)应用，所述本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器；响应于所述认证，从所述订阅管理器安全路由服务器接收认证应用；以及将所述认证应用安装在所述移动计算设备的安全区域中。
15.根据权利要求14所述的移动计算设备，其中，所述安全区域是所述移动计算设备的安全元件(se)，并且所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据所述访问凭证信息认证所述凭证设备。16.根据权利要求14所述的移动计算设备，其中，所述安全区域是所述移动计算设备的可信执行环境(tee)，并且所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以从凭证设备接收访问凭证信息，并且根据所述访问凭证信息认证所述凭证设备。17.根据权利要求14至16中任一项所述的移动计算设备，其中，所述本地配置文件助手被配置成：响应于所述认证，从所述订阅管理器安全路由服务器接收凭证配置文件；将所述凭证配置文件安装在所述移动计算设备的安全区域中；以及其中，所述认证应用包括下述指令，所述指令能够由所述移动计算设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的验证方设备。18.一种认证系统的凭证设备，所述凭证设备包括：物理层电路系统；以及耦接至所述物理层电路系统的处理电路系统，其中，所述处理电路系统包括本地配置文件助手(lpa)应用，所述本地配置文件助手应用被配置成：认证蜂窝运营商的后端网络的订阅管理器安全路由(sm-sr)服务器；响应于所述认证，从所述订阅管理器安全路由服务器接收认证应用和凭证配置文件；以及将所述认证应用和所述凭证配置文件安装在移动计算设备的安全区域中。19.根据权利要求18所述的凭证设备，其中，所述安全区域是所述凭证设备的安全元件(se)；以及其中，所述认证应用包括下述指令，所述指令能够由所述凭证设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的验证方设备。20.根据权利要求19所述的凭证设备，包括嵌入式通用集成电路卡(euicc)。21.根据权利要求18至20中任一项所述的凭证设备，其中，所述凭证设备是移动计算设备。22.根据权利要求18至21中任一项所述的凭证设备，其中，所述凭证设备是移动计算设备，并且所述安全区域是所述移动计算设备的可信执行环境(tee)；以及其中，所述认证应用包括下述指令，所述指令能够由所述凭证设备的处理电路系统执行，以将所述凭证配置文件中包括的凭证信息提供给所述认证系统的验证方设备。

技术总结
一种提供认证系统的认证设备的方法包括：将认证应用从认证系统后端服务器发送到蜂窝网络运营商的后端网络；由蜂窝运营商的后端网络验证认证应用，并且将认证应用包括在运营商配置文件中；将认证应用和运营商配置文件从蜂窝网络运营商的后端网络发送到认证设备的本地配置文件助手(LPA)；以及使用LPA将认证应用安装在认证设备的安全区域中。安装在认证设备的安全区域中。安装在认证设备的安全区域中。


技术研发人员：克日什托夫
受保护的技术使用者：亚萨合莱有限公司
技术研发日：2021.01.15
技术公布日：2023/9/12