个性化中安全域与Applet的关系

Question

该指南对常见的个性化描述Personlalization以下过程：

• 重启
• Atr
• 选择 AID 进行个性化
• 启动安全通道
• 多个存储数据命令

安全通道与安全域一起建立，保存 DGI 的存储数据命令被转发到小程序。Applet 具有来自org.globalplatform包的Application和Personalization接口，并继承processData方法以使用 Store-data 命令。

现在的问题是我是否必须自己在我的小程序中实现init-update和external-authenticate命令，因为不再选择安全域并且我的小程序不知道这些 INS？JCRE 是否会自动检测这些 GlobalPlatform APDU 并将它们转发到 SecurityDomain？如果不是，为什么这不被 JCRE 隐藏/过滤？

e：我在 2006 年的 Global Platform 网站上找到了一个名为 CPSDemonstrator 的旧示例：http ://www.globalplatform.org/specificationform.asp?fid = 6596 除了已弃用的 API 调用之外，这仍然是标准方法吗？

Answer 1

不，您不需要自己实现安全通道功能：您可以使用安全域来实现。这通常是一个业务决策：您自己控制该安全域的密钥，还是由值得信赖的合作伙伴控制？

假设你确实这样做了。然后，可以建立到安全域的安全通道（选择安全通道的AID），安全域已经实现了所有必要的功能。建立后，如果您首先将 INSTALL[用于个性化] APDU 发送到安全域，则可以将 STORE DATA APDU 发送到您的小程序，并在命令参数中指示您的小程序的 AID。一步步：

1. 选择安全域
2. 建立到 SD 的安全通道：INITIALIZE_UPDATE、EXTERNAL_AUTHENTICATE
3. 安装[用于个性化]。在命令的数据字段中，发送您的小程序的 AID
4. 存储数据 - 它将转发到您的小程序

在卡内部，安全域将解密这些 STORE DATA APDU 并将它们转发到您的小程序，调用其processData方法。

如果您想在“可选择”应用程序之前对应用程序进行个性化，则可以使用 INSTALL[用于个性化]。一旦小程序可供选择，您就可以设置通往小程序 AID 的安全通道。小程序只需要实现SecureChannel接口（http://www.win.tue.nl/pinpasjc/docs/apis/gp211/org/globalplatform/SecureChannel.html）即可将身份验证和加密委托给其关联的安全域。

回答您的问题：您不需要在小程序中实现安全命令。