一种辅助安全域的创建方法、sm‑sr及系统
技术领域：
：1.本发明涉及智能卡
技术领域：
：，尤其涉及一种辅助安全域的创建方法、sm‑sr及系统。
背景技术：
：：2.euicc(embeddeduniversalintegratedcircuitcard，嵌入式通用集成电路卡)是一种支持远程配置的新型电信智能卡技术，可运用于任何sim卡形式，包括嵌入式和可插拔的sim卡。euicc卡通过空中远程配置，可支持灵活网络更换，确保为设备提供最高速的网络支持，提高了设备的安全性和工作效率，能让连接设备从公众市场扩展到更丰富的物联网和消费类市场，可广泛应用在智能电网、车联网、安全监控等领域。3.然而，面对这种新型的卡片架构，需要考虑如何满足未来人与人、物与物、人与物海量应用的多样性和个性化需求，现有技术中，虽然euicc卡定义了ecasd(euicccontrollingauthoritysecuritydomain，euicc的控制安全域)、isd‑r(issuersecuritydomainroot，根安全域)、isd‑p(issuersecuritydomainprofile，profile安全域)等基本安全域的概念和特征，但由于业务提供商的应用在终端侧没有专属安全域，导致终端无法支持多业务提供者的应用在euicc上并存。因此，提供一种辅助安全域的创建方法是本领域技术人员亟待解决的问题。技术实现要素：4.本发明所要解决的技术问题是针对现有技术的上述不足，提供一种辅助安全域的创建方法、sm‑sr及系统，用以解决相关技术中由于业务提供商的应用在终端侧没有专属安全域，导致终端无法支持多业务提供者的应用在euicc上并存的问题。5.第一方面，本发明实施例提供一种辅助安全域的创建方法，应用于签约关系管理平台安全路由网元sm‑sr，所述方法包括：6.接收业务平台发送的创建辅助安全域ssd请求；7.根据创建ssd请求向euicc的根安全域isd‑r发送ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建ssd；8.接收所述isd‑r返回的ssd创建响应，并根据所述ssd创建响应为创建的ssd生成初始密钥；9.将所述初始密钥发送给所述isd‑r，以使所述isd‑r将所述初始密钥转发给所述创建的ssd；10.向所述业务平台发送所述初始密钥，以使所述业务平台用所述初始密钥与创建的ssd建立安全通道。11.优选地，所述将所述初始密钥发送给所述isd‑r之后，所述方法还包括：12.向签约关系管理平台数据准备sm‑dp发送申请ssd迁移令牌请求，以使所述sm‑dp接收到所述申请ssd迁移令牌请求后生成ssd迁移令牌；13.接收所述sm‑dp返回的所述ssd迁移令牌；14.向所述isd‑r发送携带有所述ssd迁移令牌的ssd迁移命令，以使所述isd‑r向profile安全域isd‑p转发所述ssd迁移命令，并使所述isd‑p接收到所述ssd迁移命令后对所述ssd迁移令牌进行验证，并在验证通过后，向所述euicc发送授权所述euicc将所述创建的ssd迁移至所述isd‑p的指示信息，以使所述euicc将所述创建的ssd迁移至所述isd‑p。15.优选地，所述创建ssd请求携带euicc标识eid以及业务平台证书，所述根据创建ssd请求向euicc的根安全域isd‑r发送ssd创建命令，具体包括：16.根据所述eid查询对应的euicc的euicc信息集eis信息；17.根据所述eis信息对接收到的所述创建ssd请求进行合法性验证；18.若验证通过，则进一步根据所述eid对应的profile信息判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识；19.向所述isd‑r发送携带有所述应用标识的ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建所述应用标识对应的ssd。20.优选地，所述根据所述eid查询对应的euicc的euicc信息集eis信息之后，所述方法还包括：21.从所述eis信息中获取所述eid对应的当前激活profile的移动用户号码msisdn以及euicc证书；22.将所述euicc证书以及当前激活profile的msisdn发送给所述业务平台。23.优选地，所述申请ssd迁移令牌请求携带所述eid，当前激活profile的集成电路卡识别码iccid，所述应用标识以及所述业务平台证书；所述根据所述eid查询对应的euicc的euicc信息集eis信息之后，所述方法还包括：24.从所述eis信息中获取所述eid对应的当前激活profile的iccid；25.所述向所述isd‑r发送携带有所述ssd迁移令牌的ssd迁移命令之后，所述方法还包括：26.接收所述isd‑r在所述创建的ssd迁移后返回的迁移成功消息；27.根据所述迁移成功消息向所述sm‑dp发送ssd迁移成功响应，以使所述sm‑dp接收到所述ssd迁移成功响应后更新所述eid对应的profile信息。28.第二方面，本发明实施例提供一种辅助安全域的创建方法，应用于euicc，所述方法包括：29.所述euicc的isd‑r接收sm‑sr发送的ssd创建命令，所述ssd创建命令是所述sm‑sr接收到业务平台发送的创建ssd请求后发送的；30.所述isd‑r根据所述ssd创建命令在所述euicc中创建ssd；31.若接收到创建的ssd发送的ssd创建成功消息，所述isd‑r向所述sm‑sr返回ssd创建响应，以使所述sm‑sr接收到所述ssd创建响应后为创建的ssd生成初始密钥，并向所述业务平台发送所述初始密钥；32.所述isd‑r接收所述sm‑sr发送的所述初始密钥，并向所述创建的ssd发送所述初始密钥；33.所述创建的ssd接收所述初始密钥，并使用所述初始密钥与所述业务平台建立安全通道。34.优选地，所述isd‑r接收所述sm‑sr发送的所述初始密钥之后，所述方法还包括：35.所述isd‑r接收所述sm‑sr发送的携带有ssd迁移令牌的ssd迁移命令，所述ssd迁移令牌是所述sm‑sr向sm‑dp发送申请ssd迁移令牌请求后，从所述sm‑dp中获取的；36.所述isd‑r向isd‑p转发所述ssd迁移命令；37.所述isd‑p接收到所述ssd迁移命令后对所述ssd迁移令牌进行验证，并在验证通过后，向所述euicc发送授权所述euicc将所述创建的ssd迁移至所述isd‑p的指示信息；38.所述euicc接收所述指示信息，并将所述创建的ssd迁移至所述isd‑p。39.第三方面，本发明实施例提供一种sm‑sr，包括：40.第一接收模块，用于接收业务平台发送的创建辅助安全域ssd请求；41.第一发送模块，与所述第一接收模块连接，用于根据创建ssd请求向euicc的根安全域isd‑r发送ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建ssd；42.接收生成模块，与所述第一发送模块连接，用于接收所述isd‑r返回的ssd创建响应，并根据所述ssd创建响应为创建的ssd生成初始密钥；43.第二发送模块，与所述接收生成模块连接，用于将所述初始密钥发送给所述isd‑r，以使所述isd‑r将所述初始密钥转发给所述创建的ssd；44.第三发送模块，与所述接收生成模块连接，用于向所述业务平台发送所述初始密钥，以使所述业务平台用所述初始密钥与创建的ssd建立安全通道。45.优选地，还包括：46.第四发送模块，用于向签约关系管理平台数据准备sm‑dp发送申请ssd迁移令牌请求，以使sm‑dp接收到申请ssd迁移令牌请求后生成ssd迁移令牌；47.第二接收模块，用于接收sm‑dp返回的ssd迁移令牌；48.第五发送模块，用于向isd‑r发送携带有ssd迁移令牌的ssd迁移命令，以使isd‑r向profile安全域isd‑p转发ssd迁移命令，并使isd‑p接收到ssd迁移命令后对ssd迁移令牌进行验证，并在验证通过后，向euicc发送授权euicc将创建的ssd迁移至isd‑p的指示信息，以使euicc将创建的ssd迁移至isd‑p。49.第四方面，本发明实施例提供一种sm‑sr，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以实现上述第一方面所述的辅助安全域的创建方法。50.第五方面，本发明实施例提供一种辅助安全域的创建系统，包括：sm‑sr和euicc；51.所述sm‑sr用于执行第一方面所述的辅助安全域的创建方法；52.所述euicc用于执行第二方面所述的辅助安全域的创建方法。53.本发明实施例提供的辅助安全域的创建方法、sm‑sr及系统，基于标准的euicc体系架构，sm‑sr在接收到业务平台发送的创建ssd请求后，向euicc的isd‑r发送ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建ssd。ssd创建后，sm‑sr接收isd‑r返回的ssd创建响应，并根据所述ssd创建响应为创建的ssd生成初始密钥；sm‑sr将初始密钥发送给所述isd‑r，以使所述isd‑r将所述初始密钥转发给所述创建的ssd，同时，向业务平台发送初始密钥，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其专属安全域，即ssd内部署应用。本发明能够实时、安全地为业务提供managerdatapreparation，签约关系管理平台数据准备)、ecasd、isd‑p和isd‑r，完整的euicc体系架构还可以包括其他网元，并不以此为限制。72.在本实施例中，sm‑sr为euicc卡的远程管理平台的一个重要网元，业务提供商的业务平台事先与sm‑sr的新增接口进行连接，业务平台中预先存储ci(certificateissuer，证书发行方)根证书，新增业务平台公钥pk.auserver.ecasd以及新增业务平台证书cert.auserver.ecasd，由ci或sm‑sr进行签发。73.在本实施例中，业务提供商根据业务需求，在需要为其所属应用申请创建一个或多个卡片的辅助安全域时，业务提供商通过业务平台向sm‑sr发送创建ssd请求，该创建ssd请求中可以携带euicc标识eid(euicc‑id)以及业务平台证书。74.步骤s104：根据创建ssd请求向euicc的根安全域isd‑r发送ssd创建命令，以使isd‑r接收到ssd创建命令后在euicc中创建ssd。75.具体地，sm‑sr接收到业务平台发送的创建ssd请求后，提取该创建ssd请求中的eid，并根据eid查询对应的euicc的euicc信息集eis(euiccinformationset)信息。其中，sm‑sr事先存储有所有euicc的eis，该eis包括一系列的euicc的信息，比如，euicc证书、euicc卡里当前激活profile的msisdn(mobilesubscriberinternationalisdn/pstnnumber，移动用户号码)、iccid(integratecircuitcardidentity，集成电路卡识别码)等等。同时，为了确保通信安全，sm‑sr可以根据eis信息对接收到的创建ssd请求进行合法性验证，比如，可以通过证书方式进行验证，也可以通过其他方式对该创建ssd请求进行合法性验证，比如其他商业约定，证书方式如pki(publickeyinfrastructure公钥基础设施)证书验证等等。如验证不通过，sm‑sr向业务平台通知验证失败，流程结束。如果验证通过，sm‑sr则进一步根据eid对应的profile信息判断是否允许创建ssd，比如依据profile的空间条件，安全限制等等判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识，即ssd的aid，aid可作为该ssd的唯一标识。同时，sm‑sr与isd‑r通过es5接口建立安全通道，sm‑sr通过该安全通道向isd‑r发送携带有该应用标识的ssd创建命令，以使isd‑r接收到ssd创建命令后在euicc中创建应用标识对应的ssd。76.可选地，如果验证通过，为了便于后续业务平台与euicc卡的认证与交互，sm‑sr可以从eis信息中获取eid对应的当前激活profile的msisdn以及euicc证书，并将euicc证书以及当前激活profile的msisdn发送给业务平台。77.步骤s106：接收isd‑r返回的ssd创建响应，并根据ssd创建响应为创建的ssd生成初始密钥。78.在本实施例中，isd‑r创建ssd后，创建的ssd向isd‑r返回ssd创建成功消息，isd‑r通过es5接口向sm‑sr返回ssd创建响应，sm‑sr根据该ssd创建响应为创建的ssd生成初始密钥。79.步骤s108：将初始密钥发送给isd‑r，以使isd‑r将初始密钥转发给创建的ssd。80.在本实施例中，为了防止密钥泄露，sm‑sr生成初始密钥后，可以采用事先与isd‑r约定的安全传输密钥进行加密，并通过es5接口向isd‑r发送加密的ssd初始密钥，以使isd‑r解密ssd初始密钥后向ssd发送该初始密钥。81.可选地，将初始密钥发送给isd‑r之后或者接收isd‑r返回的ssd创建响应之后，方法还可以包括：82.向签约关系管理平台数据准备sm‑dp发送申请ssd迁移令牌请求，以使sm‑dp接收到申请ssd迁移令牌请求后生成ssd迁移令牌；83.接收sm‑dp返回的ssd迁移令牌；84.向isd‑r发送携带有ssd迁移令牌的ssd迁移命令，以使isd‑r向profile安全域isd‑p转发ssd迁移命令，并使isd‑p接收到ssd迁移命令后对ssd迁移令牌进行验证，并在验证通过后，向euicc发送授权euicc将创建的ssd迁移至isd‑p的指示信息，以使euicc将创建的ssd迁移至isd‑p。85.在本实施例中，由于卡片架构、功能、业务管理模式等的不同，或者根据业务提供商事先与sm‑dp/mno(mobilenetworkoperator，移动网络运营商)事先的约定，可能需要对创建的ssd进行迁移。比如，若业务提供商事先与sm‑dp/运营商签约合作，约定将ssd安装在isd‑p中，则ssd创建后，sm‑sr向sm‑dp发送申请ssd迁移令牌请求，该申请ssd迁移令牌请求可以携带eid，当前激活profile的集成电路卡识别码iccid，应用标识以及业务平台证书，sm‑sr可以事先从eis信息中获取eid对应的当前激活profile的iccid，并向sm‑dp发送申请ssd迁移令牌请求。sm‑dp接收到申请ssd迁移令牌请求后，可以先审核eid合法性，若审核通过，sm‑dp可以根据事先与运营商的约定直接生成ssd迁移令牌，或者，可以进一步通过es2接口向运营商平台请求ssd迁移授权，若授权成功，sm‑dp再生成ssd迁移令牌，并向sm‑sr返回ssd迁移令牌。sm‑sr接收到ssd迁移令牌后，向isd‑r发送携带有ssd迁移令牌的ssd迁移命令，以使isd‑r向isd‑p转发ssd迁移命令，并使isd‑p接收到ssd迁移命令后对ssd迁移令牌进行验证，并在验证通过后，向euicc发送授权euicc将创建的ssd迁移至isd‑p的指示信息，以使euicc将创建的ssd迁移至isd‑p。ssd迁移后，isd‑p向isd‑r返回迁移成功消息，isd‑r通过es5接口向sm‑sr平台返回迁移成功消息。sm‑sr接收到isd‑r迁移成功消息后，根据该迁移成功消息向sm‑dp发送ssd迁移成功响应，以使sm‑dp接收到ssd迁移成功响应后更新eid对应的profile信息。本实施例通过令牌授权的方式，能够保证sd‑p及其中的profile的高安全性，提高在isd‑p中安装ssd的高安全保障，尤其适用于sr平台为第三方平台的情况。86.步骤s110：向业务平台发送初始密钥，以使业务平台用初始密钥与创建的ssd建立安全通道。87.在本实施例中，sm‑sr可以先用业务平台公钥加密ssd初始密钥，并向业务平台返回ssd的aid及加密的初始密钥。业务平台收到加密的ssd初始密钥后，可以先用自身的私钥解密得到ssd初始密钥，并用ssd初始密钥与应用标识为aid的ssd建立安全通道，从而可通过该安全通道在ssd内部部署应用。其中，为了通信过程中的安全，避免因密钥泄露所带来的风险，业务平台可以定期或接收到ssd初始密钥后更新ssd密钥。具体地，业务平台产生新的ssd密钥，用初始密钥或上一密钥与ssd建立安全通道，向ssd发送密钥更新命令，该密钥更新命令携带新的ssd密钥，ssd收到密钥更新命令后，进行密钥更新，从而业务平台可以直接通过该新的安全密钥与ssd进行通信。88.具体地，参考图2，示出了本发明实施例提供的一种辅助安全域的创建方法的交互示意图。其中，业务提供商的业务平台与euicc卡的远程管理平台sm‑sr的新增接口进行连接，sm‑sr是euicc远程管理平台的一个重要网元。业务平台中预先存储ci根证书，新增业务平台公钥pk.auserver.ecasd以及新增业务平台证书cert.auserver.ecasd，由ci或sm‑sr进行签发。该euicc包括ecasd、isd‑r和isd‑p。在本实施例中，包括如下步骤：89.步骤s01：业务平台向sm‑sr发送创建ssd请求；90.具体地，该创建ssd请求中携带eid，eid为相关的euicc标识，同时，为了便于认证，还可以携带业务平台的证书。91.步骤s02：sm‑sr根据eid查询eis信息，并对该创建ssd请求进行合法性验证，验证通过后，检查profile初始条件，并为待创建ssd分配aid；92.具体地，sm‑sr接收到业务平台发送的创建ssd请求后，提取eid，并根据eid查询该euicc的euicc信息集eis信息。其中，sm‑sr事先存储有所有euicc的eis，该eis包括一系列的euicc的信息，比如，euicc证书、euicc卡里当前激活profile的msisdn、iccid等等。为了确保通信安全，sm‑sr可以先根据该eis对该创建ssd请求进行合法性验证，比如，可以通过证书方式进行验证，也可以通过其他方式对该创建ssd请求进行合法性验证，比如其他商业约定，证书方式如pki证书验证等等。如验证不通过，sm‑sr向业务平台通知验证失败，流程结束。如果验证通过，sm‑sr通过预先存储的profile信息来检查profile初始条件，如profile的空间条件，安全限制等等判断是否允许创建ssd，并在判断允许创建ssd后分配待创建ssd的aid，即应用标识。93.步骤s03：sm‑sr向业务平台返回该euicc的证书及当前激活profile的msisdn；94.具体地，如果验证通过，为了便于后续业务平台与euicc卡的认证与交互，sm‑sr向业务平台返回该euicc的证书：cert.ecasd.ecka以及与该euicc对应的当前激活profile的msisdn，其中，euicc卡事先已激活msisdn号码对应的profile。如果验证不通过，则向业务平台返回错误码。其中，profile指的是euicc内部与某个mno相关的一系列文件、数据的统称。95.步骤s04：sm‑sr向isd‑r发送ssd创建命令；96.具体地，如果验证通过，sm‑sr建立与该euicc卡的isd‑r的es5接口的安全通道，并通过该安全通道向isd‑r发送install[forinstalandmakeselectable]，即ssd创建命令，该ssd创建命令携带aid。[0097]步骤s05：isd‑r创建ssd；[0098]具体地，isd‑r接收到ssd创建命令后，创建一个标识为该aid的ssd；[0099]步骤s06：ssd向isd‑r返回ssd创建成功消息；[0100]具体地，创建的ssd向isd‑r返回ssd创建成功消息或ssd创建失败消息。[0101]步骤s07：isd‑r通过es5接口向sm‑sr返回ssd创建响应；[0102]步骤s08：sm‑sr生成并加密ssd初始密钥；[0103]具体地，sm‑sr收到ssd创建响应后，如ssd创建成功，sm‑sr生成ssd初始密钥并采用事先与isd‑r约定的安全传输密钥进行加密。[0104]步骤s09：sm‑sr通过es5接口向isd‑r发送ssd初始密钥；[0105]步骤s10：isd‑r解密ssd初始密钥；[0106]步骤s11：isd‑r向ssd发送初始密钥；[0107]步骤s12：ssd向isd‑r返回密钥接收响应；[0108]步骤s13：isd‑r通过es5接口向sm‑sr返回密钥接收响应；[0109]步骤s14：sm‑sr接收到密钥接收响应后，向当前激活profile归属的sm‑dp发送申请ssd迁移令牌请求，请求中携带eid，当前激活profile的iccid，ssd的aid以及业务平台的证书。[0110]步骤s15：sm‑dp收到申请ssd迁移令牌请求后，向运营商平台请求ssd迁移授权。[0111]具体地，为了确保通信安全，sm‑dp可以先审核eid合法性，具体验证方式本发明不做规定，可通过证书方式进行验证，或进一步进行其他商业约定。若审核通过，sm‑dp可以进一步通过es2接口向运营商平台请求ssd迁移授权，具体请求授权方式本发明不做规定。若审核不通过，sm‑dp向sm‑sr返回错误码。sm‑sr进一步向业务平台返回ssd创建失败消息。[0112]步骤s16：sm‑dp生成ssd迁移令牌。[0113]具体地，若授权成功，sm‑dp生成ssd迁移令牌。[0114]步骤s17：sm‑dp向sm‑sr返回ssd迁移令牌(extraditiontoken)。[0115]步骤s18：sm‑sr向isd‑r发送ssd迁移命令，该命令中携带ssd迁移令牌和ssd的aid[0116]具体地，sm‑sr通过es5接口与isd‑r建立安全通道，向isd‑r发送ssd迁移命令install[forextadition]，命令中携带ssd迁移令牌和ssd‑aid。[0117]步骤s19：isd‑r向isd‑p发送ssd迁移命令；[0118]具体地，isd‑r向isd‑p发送ssd迁移命令install[forextadition]，命令中携带ssd迁移令牌和ssd‑aid。[0119]步骤s20：isd‑p验证ssd迁移令牌，并在通过后，授权euicc将ssd迁移至isd‑p。[0120]具体地，通过令牌授权的方式，能够保证sd‑p及其中的profile的高安全性，提高在isd‑p中安装ssd的高安全保障，尤其适用于sr平台为第三方平台的情况。isd‑p接收到ssd迁移命令后，对ssd迁移令牌进行验证，并在验证通过后，授权euicc将ssd迁移至isd‑p，验证方式如验证所述ssd迁移令牌是否过期等等，如未过期，则验证通过。[0121]步骤s21：euicc将ssd迁移至isd‑p。[0122]步骤s22：isd‑p向isd‑r返回迁移成功或失败消息。[0123]步骤s23：isd‑r通过es5接口向sm‑sr平台返回迁移成功或失败消息。[0124]步骤s24～24：sm‑sr平台向sm‑dp发送ssd迁移响应，如迁移成功，sm‑dp更新profile信息。[0125]具体地，由于安装了ssd，该卡片侧的profile中的文件和数据都有更新，因此，对于该profile的管理方sm‑dp也需要更新该profile信息。[0126]步骤s25：sm‑sr向业务平台返回ssd的aid及初始密钥，或错误码。[0127]具体地，sm‑sr可以先用业务平台公钥加密ssd初始密钥，并向业务平台返回ssd的aid及加密的初始密钥，或错误码。[0128]步骤s26：业务平台用ssd初始密钥与ssd建立安全通道，并向ssd发送密钥更新命令；[0129]具体地，业务平台收到加密的ssd初始密钥后，可以先用自身的私钥解密得到ssd初始密钥，业务平台用ssd初始密钥与应用标识为aid的ssd建立安全通道后，即可通过该安全通道在ssd内部部署应用。其中，为了通信过程中的安全，避免因密钥泄露所带来的风险，业务平台可以定期或接收到ssd初始密钥后更新ssd密钥。具体地，业务平台产生新的ssd密钥，用初始密钥或上一密钥与ssd建立安全通道，向ssd发送密钥更新命令，该密钥更新命令携带新的ssd密钥。[0130]步骤s27：ssd收到密钥更新命令后，进行密钥更新；[0131]步骤s28：密钥更新完毕，ssd向业务平台返回密钥更新响应，从而业务平台可以直接通过该新的安全密钥与ssd进行通信。[0132]本实施例提供的辅助安全域的创建方法，基于标准的euicc体系架构，sm‑sr在接收到业务平台发送的创建ssd请求后，向euicc的isd‑r发送ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建ssd。ssd创建后，sm‑sr接收isd‑r返回的ssd创建响应，并根据所述ssd创建响应为创建的ssd生成初始密钥；sm‑sr将初始密钥发送给所述isd‑r，以使所述isd‑r将所述初始密钥转发给所述创建的ssd，同时，向业务平台发送初始密钥，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其专属安全域，即ssd内部署应用。本发明能够实时、安全地为业务提供商在终端侧创建应用专属安全域，从而支持多业务提供者的应用在euicc上并存，为其业务的开展提供基础安全保障，解决了相关技术中由于业务提供商的应用在终端侧没有专属安全域，导致终端无法支持多业务提供者的应用在euicc上并存的问题。[0133]实施例2：[0134]参考图3，本实施例提供一种辅助安全域的创建方法，应用于euicc，所述方法包括：[0135]步骤s202：euicc的isd‑r接收sm‑sr发送的ssd创建命令，ssd创建命令是sm‑sr接收到业务平台发送的创建ssd请求后发送的；[0136]步骤s204：isd‑r根据ssd创建命令在euicc中创建ssd；[0137]步骤s206：若接收到创建的ssd发送的ssd创建成功消息，isd‑r向sm‑sr返回ssd创建响应，以使sm‑sr接收到ssd创建响应后为创建的ssd生成初始密钥，并向业务平台发送初始密钥；[0138]步骤s208：isd‑r接收sm‑sr发送的初始密钥，并向创建的ssd发送初始密钥；[0139]步骤s210：创建的ssd接收初始密钥，并使用初始密钥与业务平台建立安全通道。[0140]可选地，isd‑r接收sm‑sr发送的初始密钥之后，方法还可以包括：[0141]isd‑r接收sm‑sr发送的携带有ssd迁移令牌的ssd迁移命令，ssd迁移令牌是sm‑sr向sm‑dp发送申请ssd迁移令牌请求后，从sm‑dp中获取的；[0142]isd‑r向isd‑p转发ssd迁移命令；[0143]isd‑p接收到ssd迁移命令后对ssd迁移令牌进行验证，并在验证通过后，向euicc发送授权euicc将创建的ssd迁移至isd‑p的指示信息；[0144]euicc接收指示信息，并将创建的ssd迁移至isd‑p。[0145]实施例3：[0146]本实施例提供一种辅助安全域的创建方法，应用于sm‑dp，所述方法包括：[0147]接收sm‑sr发送的申请ssd迁移令牌请求；[0148]根据所述申请ssd迁移令牌请求生成ssd迁移令牌；[0149]将所述ssd迁移令牌返回给sm‑sr，所述ssd迁移令牌用于触发sm‑sr向所述isd‑r发送携带有所述ssd迁移令牌的ssd迁移命令，以使所述isd‑r向profile安全域isd‑p转发所述ssd迁移命令，并使所述isd‑p接收到所述ssd迁移命令后对所述ssd迁移令牌进行验证，并在验证通过后，向所述euicc发送授权所述euicc将所述创建的ssd迁移至所述isd‑p的指示信息，以使所述euicc将所述创建的ssd迁移至所述isd‑p。[0150]可选地，所述申请ssd迁移令牌请求携带eid；所述接收sm‑sr发送的申请ssd迁移令牌请求之后，所述方法还包括：[0151]对所述eid进行合法性验证；[0152]若验证通过，则进一步判断profile初始条件是否满足ssd迁移条件；[0153]若满足，则向运营商平台请求ssd迁移授权；[0154]所述根据所述申请ssd迁移令牌请求生成ssd迁移令牌，具体包括：[0155]若接收到所述运营商平台发送的授权成功信息，则生成ssd迁移令牌。实施例4：[0156]参考图4，本实施例提供一种sm‑sr，包括：[0157]第一接收模块11，用于接收业务平台发送的创建辅助安全域ssd请求；[0158]第一发送模块12，与第一接收模块11连接，用于根据创建ssd请求向euicc的根安全域isd‑r发送ssd创建命令，以使isd‑r接收到ssd创建命令后在euicc中创建ssd；[0159]接收生成模块13，与第一发送模块12连接，用于接收isd‑r返回的ssd创建响应，并根据ssd创建响应为创建的ssd生成初始密钥；[0160]第二发送模块14，与接收生成模块13连接，用于将初始密钥发送给isd‑r，以使isd‑r将初始密钥转发给创建的ssd；[0161]第三发送模块15，与接收生成模块13连接，用于向业务平台发送初始密钥，以使业务平台用初始密钥与创建的ssd建立安全通道。[0162]可选地，还可以包括：[0163]第四发送模块，用于向签约关系管理平台数据准备sm‑dp发送申请ssd迁移令牌请求，以使sm‑dp接收到申请ssd迁移令牌请求后生成ssd迁移令牌；[0164]第二接收模块，用于接收sm‑dp返回的ssd迁移令牌；[0165]第五发送模块，用于向isd‑r发送携带有ssd迁移令牌的ssd迁移命令，以使isd‑r向profile安全域isd‑p转发ssd迁移命令，并使isd‑p接收到ssd迁移命令后对ssd迁移令牌进行验证，并在验证通过后，向euicc发送授权euicc将创建的ssd迁移至isd‑p的指示信息，以使euicc将创建的ssd迁移至isd‑p。[0166]可选地，第一发送模块12具体可以包括：[0167]eis信息获取单元，用于根据eid查询对应的euicc的euicc信息集eis信息；[0168]验证单元，用于根据eis信息对接收到的创建ssd请求进行合法性验证；[0169]判断单元，用于若验证通过，则进一步根据eid对应的profile信息判断是否允许创建ssd，并在判断结果为是时，为待创建的ssd分配应用标识；[0170]发送单元，用于向isd‑r发送携带有应用标识的ssd创建命令，以使isd‑r接收到ssd创建命令后在euicc中创建应用标识对应的ssd。[0171]可选地，还可以包括：[0172]第一获取模块，用于从eis信息中获取eid对应的当前激活profile的移动用户号码msisdn以及euicc证书；[0173]第六发送模块，用于将euicc证书以及当前激活profile的msisdn发送给业务平台。[0174]可选地，申请ssd迁移令牌请求携带eid，当前激活profile的集成电路卡识别码iccid，应用标识以及业务平台证书；[0175]可选地，还可以包括：[0176]第二获取模块，用于从eis信息中获取eid对应的当前激活profile的iccid；[0177]第三接收模块，用于接收isd‑r在创建的ssd迁移后返回的迁移成功消息；[0178]第七发送模块，用于根据迁移成功消息向sm‑dp发送ssd迁移成功响应，以使sm‑dp接收到ssd迁移成功响应后更新eid对应的profile信息。[0179]实施例5：[0180]参考图5，本实施例提供一sm‑sr，包括存储器21和处理器22，存储器21中存储有计算机程序，处理器22被设置为运行所述计算机程序以执行实施例1中的辅助安全域的创建方法。[0181]其中，存储器21与处理器22连接，存储器21可采用闪存或只读存储器或其他存储器，处理器22可采用中央处理器或单片机。[0182]实施例6：[0183]参考图6，本实施例提供一种辅助安全域的创建系统，包括：sm‑sr和euicc；[0184]所述sm‑sr用于执行实施例1的辅助安全域的创建方法；[0185]所述euicc用于执行实施例2的辅助安全域的创建方法。[0186]可选地，还包括sm‑dp；[0187]所述sm‑dp用于执行实施例3的辅助安全域的创建方法。[0188]实施例2至实施例6提供的辅助安全域的创建方法、sm‑sr及系统，基于标准的euicc体系架构，sm‑sr在接收到业务平台发送的创建ssd请求后，向euicc的isd‑r发送ssd创建命令，以使所述isd‑r接收到所述ssd创建命令后在所述euicc中创建ssd。ssd创建后，sm‑sr接收isd‑r返回的ssd创建响应，并根据所述ssd创建响应为创建的ssd生成初始密钥；sm‑sr将初始密钥发送给所述isd‑r，以使所述isd‑r将所述初始密钥转发给所述创建的ssd，同时，向业务平台发送初始密钥，以使业务平台用初始密钥与创建的ssd建立安全通道，从而使得业务提供商可以在其专属安全域，即ssd内部署应用。本发明能够实时、安全地为业务提供商在终端侧创建应用专属安全域，从而支持多业务提供者的应用在euicc上并存，为其业务的开展提供基础安全保障，解决了相关技术中由于业务提供商的应用在终端侧没有专属安全域，导致终端无法支持多业务提供者的应用在euicc上并存的问题。[0189]可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。当前第1页12当前第1页12