特表2023-553950セキュアエレメント内にインストールされたＯＳをアップデートする方法、対応するシステム、およびセキュアエレメント
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-12-26
(54)【発明の名称】セキュアエレメント内にインストールされたＯＳをアップデートする方法、対応するシステム、およびセキュアエレメント
(51)【国際特許分類】
G06F 8/65 20180101AFI20231219BHJP
G06F 21/57 20130101ALI20231219BHJP
【ＦＩ】
G06F8/65
G06F21/57 320
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023535407
(86)(22)【出願日】2021-12-14
(85)【翻訳文提出日】2023-07-31
(86)【国際出願番号】 EP2021085722
(87)【国際公開番号】W WO2022129068
(87)【国際公開日】2022-06-23
(31)【優先権主張番号】20306620.4
(32)【優先日】2020-12-18
(33)【優先権主張国・地域又は機関】EP
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＧＳＭＡ
(71)【出願人】
【識別番号】521561673
【氏名又は名称】タレス・ディス・フランス・エス・ア・エス
(74)【代理人】
【識別番号】110001173
【氏名又は名称】弁理士法人川口國際特許事務所
(72)【発明者】
【氏名】デュプレ，ジェローム
(72)【発明者】
【氏名】ダオ，フレデリク
(72)【発明者】
【氏名】グリンカ－エッケ，ジェラルド
【テーマコード（参考）】
5B376
【Ｆターム（参考）】
5B376CA05
5B376CA60
5B376FA01
(57)【要約】
本発明は、ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォーム（１０４）のおかげで、セキュアエレメント（１０６）内にインストールされたＯＳ（１０２）をアップデートする方法に関し、セキュアエレメント（１０６）は、端末と協働するｅＵＩＣＣまたはｉＵＩＣＣであり、セキュアエレメントおよび端末はデバイス内に備えられ、方法は：セキュアエレメントの製造業者（１００）のＯＳアップデートプラットフォーム（１０４）内にＯＳアップデートスクリプト（１０２）をロードすること；ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、端末のＬＰＡ（１０５）をＯＳアップデートプラットフォーム（１０４）に接続するようにトリガーすること、セキュアエレメント（１０６）のＩＳＤ－Ｐ（１０７）内にＯＳアップデートスクリプト（１０２）をＬＰＡ（１０５）によってダウンロードし、セキュアエレメント（１０６）のＩＳＤ－Ｐ（１０７）内にＯＳアップデートスクリプト（１０２）をインストールすること；ＩＳＤ－Ｐ（１０７）内へのＯＳアップデートスクリプト（１０２）のインストレーション後に、ＬＰＡ（１０５）を通してＯＳアップデートプラットフォーム（１０４）に実行結果をセキュアエレメント（１０６）によって返すことを含む。
【特許請求の範囲】
【請求項1】
ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォーム（１０４）のおかげで、セキュアエレメント（１０６）内にインストールされたＯＳ（１０２）をアップデートする方法であって、前記セキュアエレメント（１０６）はｅＵＩＣＣまたはｉＵＩＣＣであり、前記セキュアエレメント（１０６）は端末と協働し、前記セキュアエレメントおよび前記端末はデバイス内に備えられ、前記セキュアエレメント（１０６）の製造業者（１００）の前記ＯＳアップデートプラットフォーム（１０４）内にＯＳアップデートスクリプト（１０２）をロードすること、
前記ＯＳアップデートプラットフォーム（１０４）に接続するように、前記端末のＬＰＡ（１０５）をトリガーすることであって、前記接続は、ＧＳＭＡによって規定されたＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用する、こと、
前記セキュアエレメント（１０６）のＩＳＤ－Ｐ（１０７）内に前記ＯＳアップデートスクリプト（１０２）を前記ＬＰＡ（１０５）によってダウンロードし、前記セキュアエレメント（１０６）の前記ＩＳＤ－Ｐ（１０７）内に前記ＯＳアップデートスクリプト（１０２）をインストールすることであって、前記インストレーションは、前記ＯＳ（１０２）の前記アップデートをもたらす、こと、
前記ＯＳの前記インストレーションの実行後に、前記ＬＰＡ（１０５）を通して前記ＯＳアップデートプラットフォーム（１０４）に、前記セキュアエレメント（１０６）によって実行結果を返すこと
を含む、方法。
【請求項2】
方法が、前記端末を備えるデバイスのオリジナル機器製造業者に、ＯＳアップデートスクリプトが利用可能であることを通知することを含む、請求項１に記載の方法。
【請求項3】
前記セキュアエレメント（１０６）内の前記ＩＳＤ－Ｐ（１０７）が、前記ＯＳアップデートスクリプト（１０２）の前記実行後に削除される、請求項１または２に記載の方法。
【請求項4】
前記セキュアエレメントが、前記ＩＳＤ－Ｐ（１０７）が削除されない場合にＩＳＤ－Ｐ（１０７）がイネーブルされることを禁止する、請求項１または２に記載の方法。
【請求項5】
前記ＯＳアップデートスクリプトのローディングが、前記セキュアエレメント（１０６）の特徴に応じて、動的生成の幾つかのステップを含む、請求項１から４のいずれか一項に記載の方法。
【請求項6】
前記ＯＳアップデートスクリプトが、前記ＯＳアップデートスクリプト（１０２）のインストレーションおよび実行を可能にする１つ以上のＰＥ－非標準コマンドを含む、請求項１から４のいずれか一項に記載の方法。
【請求項7】
ＰＥ－非標準のコンテンツが、それ自体暗号化される、請求項４に記載の方法。
【請求項8】
ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォーム（１０４）を備えるシステムであって、端末と協働するセキュアエレメント（１０６）を備え、前記セキュアエレメント（１０６）および前記端末はデバイス内に備えられ、前記セキュアエレメント（１０６）は、前記セキュアエレメント（１０６）の製造業者（１００）のＯＳアップデートプラットフォームのＯＳアップデートスクリプトを受信すると、ＯＳをアップデートすることができ、前記端末はＬＰＡ（１０５）を備え、前記ＬＰＡ（１０５）は、ＧＳＭＡによって規定されたＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、前記ＯＳアップデートプラットフォームに接続するようにトリガーされ、
前記ＬＰＡ（１０５）は、前記セキュアエレメント（１０６）のＩＳＤ－Ｐ内に前記ＯＳアップデートスクリプトをダウンロードし、前記セキュアエレメント（１０６）のＩＳＤ－Ｐ内に前記ＯＳアップデートスクリプトをインストールし、前記インストレーションは、前記ＯＳ（１０２）のアップデートをもたらし、
前記ＯＳの前記アップデートの前記インストレーションの実行後に、前記セキュアエレメント（１０６）は、前記ＬＰＡ（１０５）を通して前記ＯＳアップデートプラットフォームに実行結果を返す、システム。
【請求項9】
端末と協働するセキュアエレメント（１０６）であって、前記セキュアエレメント（１０６）および前記端末はデバイス内に備えられ、前記セキュアエレメント（１０６）は、前記セキュアエレメント（１０６）の製造業者のＯＳアップデートプラットフォーム（１０４）のＯＳアップデートスクリプトを受信すると、ＯＳをアップデートすることができ、前記端末はＬＰＡ（１０５）を備え、前記ＬＰＡ（１０５）は、ＧＳＭＡによって規定されたＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、前記ＯＳアップデートプラットフォーム（１０４）に接続するようにトリガーされ、
前記ＬＰＡ（１０５）は、前記セキュアエレメント（１０６）のＩＳＤ－Ｐ（１０７）内に前記ＯＳアップデートスクリプトをダウンロードし、前記セキュアエレメント（１０６）の前記ＩＳＤ－Ｐ（１０７）内に前記ＯＳアップデートスクリプトをインストールし、前記インストレーションは、前記ＯＳ（１０２）のアップデートをもたらし、
前記ＯＳの前記アップデートの前記インストレーションの実行後に、前記セキュアエレメント（１０６）は、前記ＬＰＡ（１０５）を通して前記ＯＳアップデートプラットフォーム（１０４）に実行結果を返す、セキュアエレメント（１０６）。
【請求項10】
セキュアエレメント（１０６）が、ｅＵＩＣＣまたはｉＵＩＣＣである、請求項９に記載のセキュアエレメント（１０６）。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ｅＳＩＭのようなコンシューマ向け統合型セキュアエレメント（ｅＵＩＣＣとも呼ばれる埋め込み型ＵＩＣＣまたはｉＵＩＣＣとも呼ばれる統合型ＵＩＣＣ）、および、コンシューマ向け製品（タブレット、スマートフォン、ＰＤＡ、テレマティクス（コンピュータ化情報の長距離伝送を扱う情報技術の分野）・・・）のために、特に、それらのＯＳ（オペレーティングシステム（ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ））にパッチを当てるために、そのような統合型セキュアエレメントを管理するサーバーに関する。本発明は、セルラーネットワーク（３Ｇ（ＵＭＴＳ）、４Ｇネットワーク（ＬＴＥ）、または５Ｇネットワーク）に適用可能である。本発明は、特に自動車システムに適用される。
【背景技術】
【0002】
ＳＭ－ＳＲプラットフォームを通してセキュアエレメント上でオペレーティングシステムに透過的にパッチを当てることが可能であることが特許出願ＷＯ２０２０／２０１３１３から知られている。
【0003】
この特許出願において、ＳＭ－ＤＰプラットフォームは、端末に埋め込まれたセキュアエレメント上でオペレーティングシステムにパッチを当てる。
【0004】
提案される方法は：
ｉ－ セキュアエレメント上でＩＳＤ－Ｐを作成する指令を、ＳＭ－ＤＰプラットフォームからＳＭ－ＳＲに送信するステップ；
ｉｉ－ ＳＭ－ＤＰプラットフォームとＩＳＤ－Ｐまたはセキュアエレメントとの間にセキュアチャネルを確立するステップ；
ｉｉｉ－ ＳＭ－ＳＲからセキュアエレメントにオペレーティグシステムのパッチを送信するステップ；
ｉｖ－ オペレーティグシステムのパッチをＩＳＤ－Ｐ内で実行するステップ；
ｖ－ セキュアエレメントからＳＭ－ＤＰプラットフォームに、パッチの実行の結果をＳＭ－ＤＰプラットフォームに通知するメッセージを送出するステップ
を含む。
ｉ－ セキュアエレメント上でＩＳＤ－Ｐを作成する指令を、ＳＭ－ＤＰプラットフォームからＳＭ－ＳＲに送信するステップ；
ｉｉ－ ＳＭ－ＤＰプラットフォームとＩＳＤ－Ｐまたはセキュアエレメントとの間にセキュアチャネルを確立するステップ；
ｉｉｉ－ ＳＭ－ＳＲからセキュアエレメントにオペレーティグシステムのパッチを送信するステップ；
ｉｖ－ オペレーティグシステムのパッチをＩＳＤ－Ｐ内で実行するステップ；
ｖ－ セキュアエレメントからＳＭ－ＤＰプラットフォームに、パッチの実行の結果をＳＭ－ＤＰプラットフォームに通知するメッセージを送出するステップ
を含む。
【0005】
ＧＳＭＡ準拠ｅＵＩＣＣまたはｉＵＩＣＣ（以下の説明におけるセキュアエレメントまたはｅＳＩＭ）は、デバイスにはんだ付けされ、現場でデプロイされる。それは、明確に定義されたＯＴＡプラットフォーム（ＳＭ－ＳＲ／ＳＭ－ＤＰ）のセットによって管理される。ＳＭ－ＳＲはサブスクリプションマネージャセキュアルーティング（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｍａｎａｇｅｒ Ｓｅｃｕｒｅ Ｒｏｕｔｉｎｇ）プラットフォームであり、ＳＭ－ＤＰはサブスクリプションマネージャデータプリペアレーション（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｍａｎａｇｅｒ Ｄａｔａ Ｐｒｅｐａｒａｔｉｏｎ）プラットフォームである。ＳＭ－ＤＰは、ＳＭ－ＳＲを通したセキュアエレメント内へのオーバー・ジ・エアインストレーションの準備ができているオペレータプロファイル（プロファイルは、ファイルシステム、アプリケーション、および証明書のセットである）をセキュアに暗号化するためにオペレータが使用するエンティティである。
【0006】
ＳＭ－ＳＲは、暗号化されたオペレータプロファイルをセキュアエレメントにセキュアに送達し、次いで、ひとたびプロファイルがインストールされると、セキュアエレメントを、それ以降、遠隔で管理する（製品寿命中に必要に応じて、イネーブルする、ディセーブルする、および削除する）。
【0007】
オペレーティングシステムおよびセキュアエレメントのコンテンツのメンテナンスは、ＯＴＡ（オーバー・ジ・エア（Ｏｖｅｒ ｔｈｅ Ａｉｒ））またはインターネット接続性を必要とする。しかし、オペレーティングシステムメンテナンスコマンドを適用することは、コマンドをｅＳＩＭに送出することを許可されることになるデバイス上にインストールされた特定のアプリケーションを必要とする。
【0008】
ＧＳＭＡ ｅＳＩＭ仕様は、セキュアエレメントＯＳにパッチを当てるために、ＥＵＭ（セキュアエレメント製造業者（ｓｅｃｕｒｅ ｅｌｅｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ））がプロプライエタリなコマンドを使用することを許可するが、ＥＵＭは、一般に、上記の識別されたプラットフォーム（ＳＭ－ＳＲ／ＳＭ－ＤＰ）のうちの１つを所有せず、識別されたプラットフォームは、それらのスコープ内でＯＳパッチの管理を有さない。
【0009】
ＷＯ２０２０／２０１３１３に記載される解決策を使用することは、Ｍ２Ｍセキュアエレメントについて実現される可能性があるが、異なるアーキテクチャ（ＳＭ－ＳＲなし、ＩＳＤ－Ｐへの直接アクセスなし、任意のＡＰＤＵを実行する可能性なし）は、それをコンシューマ向けセキュアエレメントに適用可能にさせない。
【先行技術文献】
【特許文献】
【0010】
【特許文献1】国際公開第２０２０／２０１３１３号
【発明の概要】
【発明が解決しようとする課題】
【0011】
したがって、本発明の範囲は、ＳＭ－ＳＲを使用することなく、コンシューマ向けセキュアエレメントのＯＳにパッチを当てる解決策を提案することである。
【課題を解決するための手段】
【0012】
この点に関して、本発明は、ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォームのおかげで、セキュアエレメント内にインストールされたＯＳをアップデートする方法を提案し、セキュアエレメントは端末と協働するｅＵＩＣＣまたはｉＵＩＣＣであり、セキュアエレメントおよび端末はデバイス内に備えられ、方法は：
－ セキュアエレメント製造業者のＯＳアップデートプラットフォーム内にＯＳアップデートスクリプトをロードすること；
－ ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するように、端末のＬＰＡをトリガーすること；
－ セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをＬＰＡによってダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールすること；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、ＬＰＡを通してＯＳアップデートプラットフォームに、セキュアエレメントによって実行結果を返すこと
を含む。
－ セキュアエレメント製造業者のＯＳアップデートプラットフォーム内にＯＳアップデートスクリプトをロードすること；
－ ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するように、端末のＬＰＡをトリガーすること；
－ セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをＬＰＡによってダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールすること；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、ＬＰＡを通してＯＳアップデートプラットフォームに、セキュアエレメントによって実行結果を返すこと
を含む。
【0013】
好ましくは、方法は、端末を備えるデバイスのオリジナル機器製造業者（ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ）に、ＯＳアップデートスクリプトが利用可能であることを通知することを含む。
【0014】
有利には、セキュアエレメント内のＩＳＤ－Ｐは、ＯＳアップデートスクリプトの実行後に削除される。
【0015】
有利には、セキュアエレメントは、ＩＳＤ－Ｐが削除されない場合にＩＳＤ－Ｐがイネーブルされることを禁止する。
【0016】
好ましくは、ＯＳアップデートスクリプトのローディングは、セキュアエレメントの特徴に応じて、スクリプトコマンドの動的生成の幾つかのステップを含む。
【0017】
有利には、ＯＳアップデートスクリプトは、ＯＳアップデートスクリプトのインストレーションおよび実行を可能にする１つ以上のＰＥ－非標準コマンドを含む。
【0018】
好ましくは、ＰＥ－非標準のコンテンツは、それ自体暗号化される。
【0019】
本発明は、ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォームを備えるシステムにも関し、システムは、端末と協働するセキュアエレメントを備え、セキュアエレメントおよび端末はデバイス内に備えられ、セキュアエレメントは、セキュアエレメントのセキュアエレメント製造業者のＯＳアップデートプラットフォームのＯＳアップデートスクリプトを受信すると、ＯＳをアップデートすることができ、端末はＬＰＡを備え：
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
【0020】
本発明は、端末と協働するセキュアエレメントにも関し、セキュアエレメントおよび端末はデバイス内に備えられ、セキュアエレメントは、セキュアエレメントのセキュアエレメント製造業者のＯＳアップデートプラットフォームのＯＳアップデートスクリプトを受信すると、ＯＳスクリプトをアップデートすることができ、端末はＬＰＡを備え：
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
【0021】
セキュアエレメントはｅＵＩＣＣまたはｉＵＩＣＣとすることができる。
【図面の簡単な説明】
【0022】
【図1】幾つかのエレメントを示す図である。
【発明を実施するための形態】
【0023】
本発明の他の詳細および利点は、例証として示され、制限として示されない本発明の有利な実施形態を読み、本発明による好ましい方法を示す添付されたただ一つの図を参照すると明らかになるであろう。
【0024】
この図１において、幾つかのエレメントが示される：
－ 署名付きトークン（例えばＥＵＭ証明書として知られる署名付きトークン）を有するスクリプトプラットフォーム１０４（ＯＳアップデートプラットフォームとも呼ばれる）のメモリに記憶されるＯＳアップデートスクリプトを生成するＥＵＭ１００。ＥＵＭ１００は、ＯＥＭデバイス１０１メーカ、例えば、ユーザ１０３の車両に統合されたタブレットの製造業者または自動車メーカとも協働する。
－ デバイス自体のＬＰＡ１０５；
－ デバイスは、ｅＵＩＣＣまたはｉＵＩＣＣのようなセキュアエレメント１０６を備える；
－ セキュアエレメント１０６は、ＯＳアップデートスクリプト（その作成は以下で説明される）のためのＩＳＤ－Ｐ（セキュアドメイン）１０７、ＩＳＤＰ－ＭＮＯ１０８（モバイルネットワークオペレータプロファイルをホストするために作成されるＩＳＤ－Ｐ）、およびＩＳＤ－Ｒ１０９（イシュアセキュリティドメイン－ルート）も備える。セキュアエレメント１０６は、ＯＳアップデートスクリプトのためのＩＳＤ－Ｐ１０７を備え、このＩＳＤ－Ｐ１０７は、セキュアエレメント１０６内に新ＯＳアップデートスクリプトをインストールするために専用のプログラムまたはスクリプトを処理することができる。
－ セキュアエレメント内に慣行に従って統合されたＭＮＯファイルおよびアプリケーションレパートリー１１１；
－ セキュアエレメント１０６は、オペレーティングシステム１１５も備え、後者は：
・ ＯＳアップデートスクリプトおよびそのシグネチャのバージョンを検証するために；
・ ＯＳアップデートスクリプトを実行するために；
・ ＱＣ（品質管理（Ｑｕａｌｉｔｙ Ｃｏｎｔｒｏｌ）スクリプト実行のために；
・ ＯＳアップデートスクリプトのインストレーション中に何か悪いことが起こると、ＯＳアップデートスクリプトのインストレーションを取り消すことが意図されるロールバック管理のために；
・ ＯＳアップデートスクリプトが正しくインストールされたか否かをスクリプトプラットフォーム１０４に通知するための結果管理のために
想定された、ＯＳアップデートスクリプト管理システム１１３を備える。
－ および、最後に、以降で説明するような、スクリプトプラットフォーム１０４によってセキュアエレメント１０６にインストールされるＯＳアップデートスクリプト１１４。
－ 署名付きトークン（例えばＥＵＭ証明書として知られる署名付きトークン）を有するスクリプトプラットフォーム１０４（ＯＳアップデートプラットフォームとも呼ばれる）のメモリに記憶されるＯＳアップデートスクリプトを生成するＥＵＭ１００。ＥＵＭ１００は、ＯＥＭデバイス１０１メーカ、例えば、ユーザ１０３の車両に統合されたタブレットの製造業者または自動車メーカとも協働する。
－ デバイス自体のＬＰＡ１０５；
－ デバイスは、ｅＵＩＣＣまたはｉＵＩＣＣのようなセキュアエレメント１０６を備える；
－ セキュアエレメント１０６は、ＯＳアップデートスクリプト（その作成は以下で説明される）のためのＩＳＤ－Ｐ（セキュアドメイン）１０７、ＩＳＤＰ－ＭＮＯ１０８（モバイルネットワークオペレータプロファイルをホストするために作成されるＩＳＤ－Ｐ）、およびＩＳＤ－Ｒ１０９（イシュアセキュリティドメイン－ルート）も備える。セキュアエレメント１０６は、ＯＳアップデートスクリプトのためのＩＳＤ－Ｐ１０７を備え、このＩＳＤ－Ｐ１０７は、セキュアエレメント１０６内に新ＯＳアップデートスクリプトをインストールするために専用のプログラムまたはスクリプトを処理することができる。
－ セキュアエレメント内に慣行に従って統合されたＭＮＯファイルおよびアプリケーションレパートリー１１１；
－ セキュアエレメント１０６は、オペレーティングシステム１１５も備え、後者は：
・ ＯＳアップデートスクリプトおよびそのシグネチャのバージョンを検証するために；
・ ＯＳアップデートスクリプトを実行するために；
・ ＱＣ（品質管理（Ｑｕａｌｉｔｙ Ｃｏｎｔｒｏｌ）スクリプト実行のために；
・ ＯＳアップデートスクリプトのインストレーション中に何か悪いことが起こると、ＯＳアップデートスクリプトのインストレーションを取り消すことが意図されるロールバック管理のために；
・ ＯＳアップデートスクリプトが正しくインストールされたか否かをスクリプトプラットフォーム１０４に通知するための結果管理のために
想定された、ＯＳアップデートスクリプト管理システム１１３を備える。
－ および、最後に、以降で説明するような、スクリプトプラットフォーム１０４によってセキュアエレメント１０６にインストールされるＯＳアップデートスクリプト１１４。
【0025】
スクリプトプラットフォーム１０４は、ＬＰＡ１０５に対するおよびＥＵＭ１００に対するそのインタフェースにおいて標準的なＳＭ－ＤＰ＋のように振る舞う。
【0026】
これらの異なるデバイスが説明されたが、本発明を実現するための好ましい方法がここで説明される。
【0027】
ＥＵＭ１００またはサービスプロバイダーが、アップデートスクリプト（パッチ）をターゲットセキュアエレメント１０６に送出することに決めると、ステップは、示すように次の通りである：
【0028】
ステップ１において、ＥＵＭ１００は、ＯＳアップデートスクリプト、および任意選択で、署名付きトークンをスクリプトプラットフォーム１０４に送出する。同時に（ステップ１）、ＥＵＭ１００は、ＯＳアップデートスクリプトが利用可能であることをＯＥＭデバイスメーカー１０１に通知する。
【0029】
同じステップ１において、ＥＵＭ１００、ＯＥＭ、またはセキュアエレメントオーナー１００、あるいは、セキュアエレメント１０６上でのＯＳアップデートスクリプトのインストレーションを要求する権利を有するサービスプロバイダーまたはＭＮＯは、このセキュアエレメント１０６上にアップデートスクリプトをインストールするようスクリプトプラットフォーム１０４に要求する。
【0030】
このセキュアエレメントは、識別されたセキュアエレメント、またはアップデートされるセキュアエレメントのバッチとすることができる。
【0031】
ステップ２において、エンドユーザにアクセスできる、ＥＵＭ、ＯＥＭデバイスメーカー、またはＭＮＯは、次いで、ＯＳアップデートスクリプトが利用可能であることをユーザ１０３に（電子メール、ＳＭＳ、プッシュサービス・・・を通して）通知することができる（任意のステップ）。エンドユーザ１０３は、こうして、エンドユーザ１０３が操作を実施するよう勧められていることを通知される。
【0032】
ユーザ１０３は、次いで、アップデートスクリプトのインストレーションを認可する（またはしない）ことができる（ステップ３）。このステップは、例えば、ユーザ１０３がＯＳのアップデートを得ることを以前に受諾した場合、ユーザ１０３にとって透過的とすることができる。エンドユーザは、スクリプトプラットフォーム１０４（通常のＳＭ－ＤＰ＋として見られる）へのＬＰＡ１０５の（ＥＳ９＋接続を通した）接続をトリガーするジェスチャ（ＬＰＡにおける特定のメニュー；ＱＲコード（登録商標）をフラッシュする；リンク上をクリックする；・・・のうちのいずれかとすることができる）を実施することができる。
【0033】
ＥＵＭ、ＭＮＯ、またはＯＥＭは、スクリプトプラットフォーム１０４へのＬＰＡ１０５の（ＥＳ９＋接続を通した）接続を直接トリガーすることもできる。
【0034】
ＯＳアップデートプラットフォーム１０４（図において「スクリプトプラットフォーム（ｓｃｒｉｐｔ ｐｌａｔｆｏｒｍ）」と名付けられる）は、ＬＰＡ１０５を用いて、ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズする。
【0035】
ステップ４および５において、ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用してスクリプトプラットフォームに接続し、スクリプトプラットフォームは、ＩＳＤ－Ｐ１０７を作成するように要求する（ＥＳ３．ＣｒｅａｔｅＩＳＤＰ）。
【0036】
ステップ６において、ＬＰＡ１０５は、セキュアエレメントのＩＳＤ－Ｐ１０７内にＯＳアップデートスクリプトをダウンロードする。提案される解決策において、ＬＰＡはメッセージを中継するだけである。
【0037】
スクリプトプラットフォーム１０４は、次いで（ユーザ１０３のステップ７におけるオプションの合意後に）、ＬＰＡ１０５を通して、セキュアエレメント１０６上のＩＳＤ－Ｐ１０７とのＩＳＤ－Ｐキー確立を実施する。これは、スクリプトプラットフォーム１０４によってのみ知られているＳＣＰ０３キーセット（またはＳＣＰ０３ｔ）を生成する。
【0038】
このキーセットは、ＳＣＰ０３またはＳＣＰ０３ｔスクリプトをセキュアにするために使用され得る。
【0039】
スクリプトプラットフォーム１０４は、次いで、ＯＳアップデートスクリプトを生成またはフォーマットし、１つ以上の署名付きトークンをＯＳアップデートスクリプトに追加し、ＳＣＰ０３またはＳＣＰ０３ｔを使用してＯＳアップデートスクリプトをセキュアにする（スクリプトまたは署名付きトークンの以下の説明参照）。ＯＳアップデートスクリプトは、前もって、ＳＣＰ０３／ＳＣＰ０３ｔを用いて同様にセキュアにされ得る。
【0040】
ステップ８において、スクリプトプラットフォーム１０４は、ＥＳ９＋プロコトルを使用してＬＰＡ１０５に、セキュアにされたスクリプトを送出する。
【0041】
ステップ９ａにおいて、スクリプトプラットフォーム１０４は、ＥＳ８＋プロトコルを使用してセキュアエレメント１０６にＯＳアップデートスクリプトを送出する。このスクリプトは、ＩＳＤ－Ｐ１０７によって受信され、ＯＳシステム１１５に送出され、ＯＳシステム１１５は、ＯＳパッチ１１４内にパッチ１１０をインストールするよう命令する（ステップ９ｂ）。セキュアエレメントのＯＳは、次いでアップデートされる。
【0042】
ステップ１０において、スクリプトストレージの実行またはスクリプト実行後に、セキュアエレメント１０６は、実行結果をＬＰＡ１０５に返し、ＬＰＡ１０５は、それをスクリプトプラットフォーム１０４に転送する。これは、ＥＳ８＋プロトコルを使用することによっても行われる。
【0043】
ステップ１１において、即座に実行された場合、スクリプトを実行した後、ｅＳＩＭは、ＩＳＤ－Ｐ１０７を自動的に削除することができる。これは、ＬＰＡおよびユーザ１０３に透過的である。
【0044】
代替的に、セキュアエレメントは、このＩＳＤ－Ｐ１０７が削除されない場合、ＩＳＤ－Ｐ１０７がイネーブルされることを禁止する。
【0045】
ＯＳアップデートスクリプトは：
－ ＳＣＰ０３ｔ内で連結されセキュアにされたプロプライエタリなコマンド。この場合、第１のコマンドは、ＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージプロファイルヘッダの代わりにスクリプト（例えば、「ＩｎｓｔａｌｌＯＳＰａｔｃｈ」）の性質を示すプロプライエタリなコマンドである、または、
－ プロプライエタリなコマンドをそれ自体含むことになるプロプライエタリなＥＦを含む、ＳＣＰ０３ｔ内でセキュアにされた通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ（コンシューマ向けｅＵＩＣＣアーキテクチャにおいて、スクリプトは、スクリプトプラットフォーム／ＳＭ－ＤＰ＋がｅＵＩＣＣにＡＰＤＵを送出することができないため、ＳＣＰ０３によってセキュアにされたプロプライエタリなＡＰＤＵとすることができない。これは、ＷＯ２０２０／２０１３１３によって記載される解決策が直接適用可能でない理由の１つである）；
－ ＳＣＰ０３を使用してセキュアにされた、通常のＡＰＤＵ、加えて任意選択でプロプライエタリなＡＰＤＵ、または、
－ プロプライエタリなコマンドをそれ自体含むことになるＰＥ非標準を含む、ＳＣＰ０３ｔを用いてセキュアにされた通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ
のいずれかからなり得る。
－ ＳＣＰ０３ｔ内で連結されセキュアにされたプロプライエタリなコマンド。この場合、第１のコマンドは、ＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージプロファイルヘッダの代わりにスクリプト（例えば、「ＩｎｓｔａｌｌＯＳＰａｔｃｈ」）の性質を示すプロプライエタリなコマンドである、または、
－ プロプライエタリなコマンドをそれ自体含むことになるプロプライエタリなＥＦを含む、ＳＣＰ０３ｔ内でセキュアにされた通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ（コンシューマ向けｅＵＩＣＣアーキテクチャにおいて、スクリプトは、スクリプトプラットフォーム／ＳＭ－ＤＰ＋がｅＵＩＣＣにＡＰＤＵを送出することができないため、ＳＣＰ０３によってセキュアにされたプロプライエタリなＡＰＤＵとすることができない。これは、ＷＯ２０２０／２０１３１３によって記載される解決策が直接適用可能でない理由の１つである）；
－ ＳＣＰ０３を使用してセキュアにされた、通常のＡＰＤＵ、加えて任意選択でプロプライエタリなＡＰＤＵ、または、
－ プロプライエタリなコマンドをそれ自体含むことになるＰＥ非標準を含む、ＳＣＰ０３ｔを用いてセキュアにされた通常のＳＩＭＡｌｌｉａｎｃｅプロファイルパッケージ
のいずれかからなり得る。
【0046】
全ての場合に、スクリプトは、スクリプトが正しく実行／記憶されることをチェックできるようにする品質管理（ＱＣ）の少数の命令を最後に含むことができる。
【0047】
ＰＥ非標準のコンテンツは、それ自体暗号化され得る。
【0048】
好ましくは、端末を備えるデバイスのオリジナル機器製造業者は、ＯＳアップデートスクリプトが利用可能であることを通知される。このオリジナル機器製造業者は、車両またはスマートフォンのモデムの製造業者とすることができる。そのため、車両製造業者のサーバーまたはスマートフォン上にＯＳパッチをインストールすることが可能である。これらのオリジナル機器製造業者は、次いで、彼らの機器内にＯＳパッチをインストールしたいか否かを決めることができる。
【0049】
本発明は、ＳＭ－ＤＰ＋と同じＥＳ９＋インタフェースをエクスポーズするＯＳアップデートプラットフォームを備えるシステムにも関し、システムは、端末と協働するセキュアエレメントを備え、セキュアエレメントおよび端末はデバイス内に備えられ、セキュアエレメントは、セキュアエレメントのセキュアエレメント製造業者のＯＳアップデートプラットフォームのＯＳアップデートスクリプトを受信すると、ＯＳスクリプトをアップデートすることができ、端末はＬＰＡを備え：
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
【0050】
本発明は、端末と協働するセキュアエレメントにも関し、セキュアエレメントおよび端末はデバイス内に備えられ、セキュアエレメントは、セキュアエレメントのセキュアエレメント製造業者のＯＳアップデートプラットフォームのＯＳアップデートスクリプトを受信すると、ＯＳスクリプトをアップデートすることができ、端末はＬＰＡを備え：
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
－ ＬＰＡは、ＥＳ９＋ＳＭ－ＤＰ＋プロトコルを使用することによって、ＯＳアップデートプラットフォームに接続するようにトリガーされ；
－ ＬＰＡは、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをダウンロードし、セキュアエレメントのＩＳＤ－Ｐ内にＯＳアップデートスクリプトをインストールし；
－ ＩＳＤ－Ｐ内へのＯＳアップデートスクリプトのインストレーション後に、セキュアエレメントは、ＬＰＡを通してＯＳアップデートプラットフォームに実行結果を返す。
【0051】
これは、セキュアエレメント内にインストールされたアプレットのおかげで行われる。
【0052】
署名付きトークンに関して、スクリプトプラットフォーム１０４は、スクリプトに署名付きトークンを挿入することができる。これは、以下で説明するように、１つ以上のアクターによってスクリプトが認可されたことをセキュアエレメントが検証できるようにすることになる：
－ １つのトークンは、セキュリティ認証を受けたスクリプトのみが実行されることを保証するために、コンプライアンスを検証した後にだけＤＬＯＡ（デジタル承認状（Ｄｉｇｉｔａｌ Ｌｅｔｔｅｒ ｏｆ Ａｐｐｒｏｖａｌ））を送達する認証局によって発行されたＤＬＯＡとすることができ、ＤＬＯＡはｅＳＩＭのＥＣＡＳＤに記憶された認証局のＰＫによって検証され得る；
－ １つのトークンは、ＥＵＭシステムによって生成されるスクリプトのみが実行されることを保証するために、ＥＵＭによってのみ知られている共有キーまたはキーペアを使用するシグニチャとすることができ、シグニチャは、例えば、ＥＵＭによって知られているＥＵＭのＳＫ．ＥＵＭ．ＥＣＤＳＡまたはＳＫ．ＥＣＡＳＤ．ＥＣＤＳＡによって署名され、ｅＳＩＭのＥＣＡＳＤに記憶された対応するＰＫを用いて検証され得る；
－ １つのトークンは、関与するＭＮＯによって承認されたスクリプトのみが実行されることを保証するために、このセキュアエレメント上にインストールされたプロファイルを所有するＭＮＯのそれぞれによって多重に署名され得、各ＩＳＤ－Ｐまたは各プロファイル内のよく知られているキーセットバージョン番号およびキーインデックスに記憶された対応するＰＫを使用して検証され得る；
－ １つのトークンは、知られている第三者のみがｅＳＩＭのＯＳに影響を及ぼすことができることを保証するために、スクリプトがサービスプロバイダーによって生成された場合、第三者のキーによって署名され得、ＥＣＡＳＤにまたはサービスプロバイダーのセキュリティドメインに記憶されたキーを使用して検証され得る。
－ １つのトークンは、セキュリティ認証を受けたスクリプトのみが実行されることを保証するために、コンプライアンスを検証した後にだけＤＬＯＡ（デジタル承認状（Ｄｉｇｉｔａｌ Ｌｅｔｔｅｒ ｏｆ Ａｐｐｒｏｖａｌ））を送達する認証局によって発行されたＤＬＯＡとすることができ、ＤＬＯＡはｅＳＩＭのＥＣＡＳＤに記憶された認証局のＰＫによって検証され得る；
－ １つのトークンは、ＥＵＭシステムによって生成されるスクリプトのみが実行されることを保証するために、ＥＵＭによってのみ知られている共有キーまたはキーペアを使用するシグニチャとすることができ、シグニチャは、例えば、ＥＵＭによって知られているＥＵＭのＳＫ．ＥＵＭ．ＥＣＤＳＡまたはＳＫ．ＥＣＡＳＤ．ＥＣＤＳＡによって署名され、ｅＳＩＭのＥＣＡＳＤに記憶された対応するＰＫを用いて検証され得る；
－ １つのトークンは、関与するＭＮＯによって承認されたスクリプトのみが実行されることを保証するために、このセキュアエレメント上にインストールされたプロファイルを所有するＭＮＯのそれぞれによって多重に署名され得、各ＩＳＤ－Ｐまたは各プロファイル内のよく知られているキーセットバージョン番号およびキーインデックスに記憶された対応するＰＫを使用して検証され得る；
－ １つのトークンは、知られている第三者のみがｅＳＩＭのＯＳに影響を及ぼすことができることを保証するために、スクリプトがサービスプロバイダーによって生成された場合、第三者のキーによって署名され得、ＥＣＡＳＤにまたはサービスプロバイダーのセキュリティドメインに記憶されたキーを使用して検証され得る。
【0053】
さらなる制御が使用される可能性もある：
－ ｅＳＩＭ１０６は、「一般的相互認証（ｃｏｍｍｏｎ ｍｕｔｕａｌ ａｕｔｈｅｎｔｉｃａｔｉｏｎ）」のために使用されるかまたは「プロファイルバインディング（ｐｒｏｆｉｌｅ ｂｉｎｄｉｎｇ）」のために使用されるスクリプトプラットフォーム１０４証明書が、よく知られており許可されたスクリプトプラットフォーム１０４を識別することをチェックすることができる（例えば、プラットフォームの証明書のＯＩＤをチェックすることによって）；
－ ＯＳスクリプトは、ＯＳバージョンを指定することができ、ｅＳＩＭ１０６は、バージョンがその現在のステータスに一致することをチェックし、一致しない場合、スクリプトを拒否することになる。
－ ｅＳＩＭ１０６は、「一般的相互認証（ｃｏｍｍｏｎ ｍｕｔｕａｌ ａｕｔｈｅｎｔｉｃａｔｉｏｎ）」のために使用されるかまたは「プロファイルバインディング（ｐｒｏｆｉｌｅ ｂｉｎｄｉｎｇ）」のために使用されるスクリプトプラットフォーム１０４証明書が、よく知られており許可されたスクリプトプラットフォーム１０４を識別することをチェックすることができる（例えば、プラットフォームの証明書のＯＩＤをチェックすることによって）；
－ ＯＳスクリプトは、ＯＳバージョンを指定することができ、ｅＳＩＭ１０６は、バージョンがその現在のステータスに一致することをチェックし、一致しない場合、スクリプトを拒否することになる。
【0054】
ユーザ体験を簡略化するために、スクリプトプラットフォーム１０４またはパッチングをトリガーすることを欲するアクターは、ＳＭ－ＤＳまたはプッシュサービスまたはＲＰＭ（リモートプロファイル管理（Ｒｅｍｏｔｅ Ｐｒｏｆｉｌｅ Ｍａｎａｇｅｍｅｎｔ））に基づくメカニズムを使用して、スクリプトのダウンロードおよび実行を動的にトリガーすることができる。これは、ＳＭ－ＤＳ（サブスクリプションマネジャーディスカバリーサーバー（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｍａｎａｇｅｒ Ｄｉｓｃｏｖｅｒｙ Ｓｅｒｖｅｒ））へのコールによってステップ２および３を置換することを意味することになる。
【0055】
透過性を目的として、スクリプトプラットフォーム１０４は、プロファイル（実際には、ＯＳパッチスクリプト）がテストプロファイルであると、プロファイルメタデータ内でマーク付けすることができる。この場合、特に、ステップ４にリンクすると、インストレーションおよび削除は、ＬＰＡ内で「プロファイル（Ｐｒｏｆｉｌｅ）」を通常のプロファイルとして示すリスクをとることなく、サイレントに行われ得る。
【0056】
上記で説明したシーケンスにおいて、ＬＰＡ１０５は、プロプライエタリな特徴を全く必要としない。ＬＰＡ１０５は、ＳＭ－ＤＰ＋と相互作用することができるとすぐに、スクリプトプラットフォーム１０４と透過的に相互作用することができる。
【0057】
その意図は、パッチ実行をユーザから隠蔽することではなく、パッチのデプロイメントをデバイス側での特定の開発なしで可能にすることである。
【0058】
特定の開発は、インストレーションを、エンドユーザにとって完全に透過的にするために（ＯＳの自動メンテナンス、またはデバイスＯＳアップデートと共に実施される自動ＯＳアップデート）、または、パッチプロセスの、よりユーザフレンドリなユーザインタフェースレンダリングを提供するために、デバイス内で（特に、ＬＰＡ１０５内で）依然として実施され得る。
【0059】
パッチスクリプトをプロファイルスクリプトとみなすことをＳＭ－ＤＰ＋が受諾する限り、任意のＳＭ－ＤＰ＋を介してＥＵＭパッチをダウンロードし、パッチスクリプトを送達まで記憶することも可能である。
【0060】
本発明は、コンシューマ向けｅＵＩＣＣ：ＳＧＰ．２２のためのＧＳＭＡ ｅＳＩＭ仕様ＲＳＰに適用される。
【図1】
【国際調査報告】