ATR BCD BER CBC CIN CLA CVM DAP DEK DES ECB EMV
ENC FCI HEX ICC ICV IIN INS ISD ISO Lc Le LV MAC
2CMSAC OID 2
CMSAC EN P1 P2 PIN RAM RFU RID ROM
复位响应（Answer-to-Reset）
二-十进制代码（Binary Coded Decimal） 基本编码规则（Basic Encoding Rules） 加密块链接（Cipher Block Chaining） 卡镜像码/卡标识符（Card Image Number / Card Identification Number）
命令消息中的类别字节（Class byte of the command message） 卡持有者身份验证方法（Cardholder Verification Method） 数据鉴权模式（Data Authentication Pattern） 数据加密密钥（Data Encryption Key）
数据加密标准（Data Encryption Standard） 电子密码本（Electronic Code Book）
Europay，MasterCard和Visa，用于表示支付系统中的ICC规范（Europay, MasterCard, and Visa; used to refer to the ICC Specifications for Payment Systems） 加密（Encryption）
文件控制信息（File Control Information） 十六进制（Hexadecimal）
集成电路卡（Integrated Circuit Card） 初始化矢量（Initial Chaining Vector）
中国移动标识符（Issuer Identification Number）
命令消息中的指令字节（Instruction byte of the command message）
主安全域（Issuer Security Domain）
国际标准化组织（International Organization for Standardization）
3、4类命令中数据的准确长度（Exact length of data in a case 3 or case 4 command）
2、4类命令期望响应数据的最大长度（Maximum length of data expected in response to a case 2 or case 4 command） 长度-值（Length Value）
消息鉴权码（Message Authentication Code）
中国移动安全多安全域多应用卡（China Mobile Security and Multi-Space Application Card） 对象标识符（Object Identifier） 2
CMSAC环境（CMS2AC Environment）
引用控制参数1（Reference Control Parameter 1） 引用控制参数2（Reference Control Parameter 2） 个人标识符（Personal Identification Number） 随机访问存储器（Random Access Memory）
为将来的使用预留（Reserved for Future Use）
注册应用供应商标识（Registered Application Provider Identifier）
只读存储器（Read-only Memory）
2
RSA SCP SSD SW SW1 SW2 TLV Rivest / Shamir / Adleman非对称算法（Rivest / Shamir / Adleman asymmetric algorithm）
安全信道协议（Secure Channel Protocol） 辅助安全域（Supplementary Security Domain） 状态字（Status Word）
状态字1（Status Word One） 状态字2（Status Word Two）
标签-长度-值（Tag Length Value）
4. CMS2AC概述
CMSAC为中国移动提供了管理智能卡的架构，使得中国移动可以灵活地管理商业合作伙伴运行在卡上的应用。
2
CMSAC为中国移动提供了极其便捷的功能，使其能够同商业合作伙伴共同管理卡片。通2
过CMSAC，中国移动拥有对卡的最终控制权，同时合作伙伴也可以管理卡上属于自己的应用。为中国移动与第三方合作提供技术基础。 5. 系统架构
2
3
OTA平台卡应用管理系统手机CMS2AC中国移动自有应用系统卡数据生成管理系统第三方应用系统
图5.1 CMSAC架构 其中， 2? OTA平台为CMSAC卡片空间以及卡上应用安全管理提供空中通道； 2? 卡数据生成管理系统为CMSAC在制卡过程中生成Ki、安全域密钥、OTA密钥等制卡数据； 2? 卡应用管理系统为CMSAC卡上中国移动自有应用以及第三方应用提供下载、删除等生命周期管理。 2? 中国移动自由应用系统为CMSAC卡上中国移动自有应用提供业务处理平台，并负责生成管理中国移动自有应用的应用密钥； 2? 第三方应用系统为CMSAC卡上第三方应用提供业务处理平台，并负责生成管理第三方应用的应用密钥。 22? 手机为CMSAC卡的载体，并为CMSAC卡与卡外实体的通信建立BIP通道支持。 6. 卡片架构
CMSAC卡片架构为应用和卡外管理系统提供了与硬件无关的接口。图5.1显示了一张示例卡上的组件，包括中国移动应用和商业合作伙伴（应用提供方）应用。
2
24
第三方应用第三方辅助安全域应用6应用5第三方托管应用或/和中国移动自有应用中国移动辅助安全域辅助安全域中国移动主安全域辅助安全域应用4应用3主安全域应用层应用1应用2（如电子钱包）（如移动信息宝）电信应用和中国移动自有应用CMS2AC APIOTA APIOTA引擎业务支撑层STK/USATSIMCOS层硬件层安全ISO 7816TD USIM文件管理SWP/双界面2SCWS空中传输协议控制APDUHSP(USB-IC)
图6.1 CMSAC卡片架构 2为了支持应用的可移植性，所有的应用使用CMSAC API进行编程。为了确保中国移动和其他应用提供方的密钥完全隔离，需要创建特殊的密钥和安全管理应用，称为安全域。其中，22主安全域是最主要的CMSAC卡组件，用来集中管理CMSAC卡。 6.2. 主安全域（ISD） 主安全域，作为中国移动对卡片内容进行管理时的操作代理，CMSAC卡片必须实现此安全域应用。中国移动可以利用此授权程序加载、安装、删除中国移动或其他应用提供方的应用。 主安全域的主要职责包括：为命令分发、应用选择、逻辑信道（Logical Channel）管理、卡应用管理、应用提供API、为应用提供安全服务以及实现至少一种安全信道协议。详细如下： 1. 执行应用代码加载和相关的卡应用管理。 2. 负责安装卡上加载的应用。主安全域强制执行内容加载和安装的安全原则，包括应用代码的验证及代码的加载和（或）安装是否得到中国移动的授权。 3. APDU命令分发和应用选择。当收到一个SELECT命令，主安全域将SELECT命令中包含
的应用设置为当前处于被选择状态的应用，后续的应用命令将分发到该应用。 4. 通过建立逻辑信道，卡架构支持并发选择多个应用。主安全域控制是否或何时选择
某个应用同自身或其它应用并发运行。
22
5. 拥有并使用内部CMSAC注册表作为卡应用管理的信息源。CMSAC注册表包含的内容
包括可执行加载文件、应用、安全域关联和权限。 6. 为应用提供访问安全域服务的接口。一套定义好的外部APDU接口确保所有的安全域
实现的表现一致，可以通过同一个卡外管理系统统一管理所有的安全域。
5
2
7. 支持安全服务，例如密钥管理、加密、解密、生成数字签名和验证安全域所有者（中
国移动，应用提供方）。
8. 实现一个安全信道协议，定义中国移动、应用提供方和卡片通信时的安全。
9. 具有应用属性，例如应用AID、应用权限和生命周期状态（主安全域继承卡片的生
命周期状态）。安全域作为应用的一个例子：需要选择安全域来为卡片加载一个新的应用。
符合本规范的卡必须且只支持一个主安全域(ISD)。
6.3. 辅助安全域（SSD）
类似主安全域，辅助安全域在本规范中是某个应用提供方在卡上的代表。 辅助安全域的职责及权限小于主安全域，只具备主安全域的第6-9条。 当中国移动、应用提供方这些卡外实体要求使用独立密钥时，需要为其建立单独的安全域。
6.4. CMS2AC API
CMSAC API为应用提供服务（例如：个人化，安全服务等）。同时，CMSAC API还为应用提供卡应用管理服务（例如：卡锁定，应用生命周期状态更新等）。
图6.2 7. 安全架构
设计良好的安全架构对保护CMSAC系统中卡结构和功能非常重要。 本节内容包括： ? 安全架构的目标
? 中国移动作为卡所有者的特定安全职责 ? 应用提供方作为应用的所有者的安全职责 ? 对卡上组件的安全要求
2
? CMSAC提供的密码支持 7.1. 目标
CMSAC的主要目标是保证在卡片的整个生命周期中卡组件的安全性和完整性。这些卡组件包括：
? 卡操作系统运行环境 ? 主安全域 ? 辅助安全域
6
2
2
2
2