移动支付 OTA 实施方案
(草稿)
欢迎交流
孟宏文
menghongwen@gmail.com
2006-9-26
移动支付 OTA 实施方案 1
目录
1、概述....................................................................................................................................................3
1.1 文档的目标和范围 ........................................................................................................................3
1.2 定义及缩略语 ................................................................................................................................3
1.3 参考资料 .......................................................................................................................................3
2、系统架构............................................................................................................................................4
3、业务模型............................................................................................................................................4
3.1 手机终端的获取方式 ....................................................................................................................4
3.2 OTA 平台的运营...........................................................................................................................5
3.3 预个人化 .......................................................................................................................................5
3.3.1
目录服务及应用下载
.............................................................................................................5
3.3.2
应用管理
.................................................................................................................................6
3.4 应用下载 .......................................................................................................................................6
4、安全策略............................................................................................................................................6
4.1 面临的风险 ....................................................................................................................................6
4.1.1
安全风险
................................................................................................................................7
4.1.2
运营风险
................................................................................................................................7
4.2 解决办法 ........................................................................................................................................7
4.2.1
安全报文和报文加密及签名
.................................................................................................7
4.2.2
弱化
MIDLet...........................................................................................................................8
5、实施方案............................................................................................................................................8
5.1 概念的提出 ...................................................................................................................................8
5.2 管道的功能 ...................................................................................................................................9
5.3 报文定义 .......................................................................................................................................9
5.3.1
数据类型表示法
.....................................................................................................................9
5.3.1
报文元素说明
.......................................................................................................................10
5.4 管道的定义 .................................................................................................................................10
5.4.1
管道元素说明
......................................................................................................................11
5.4.2
管道消息编码规则
.............................................................................................................12
5.4.3
管道过程协议
(PSP 01).......................................................................................................13
5.5 管道的实现机制..........................................................................................................................13
移动支付 OTA 实施方案 2
5.5.1
应用端
(Applet)
管道的实现
................................................................................................13
5.5.2 OTAA
的实现
.................................................................................................................13
5.5.3 OTAP
的实现
.................................................................................................................14
附录 A : 加密管道 APDU 定义 .........................................................................................................16
A.1 初始化管道(INITIALIZE PIPE)...............................................................................................16
A.1.1
定义
.......................................................................................................................................16
A.1.2
命令格式
...............................................................................................................................16
A.1.3
命令报文数据域
...................................................................................................................16
A.1.4
响应报文数据域
...................................................................................................................17
A.1.5
响应状态码
...........................................................................................................................17
A.2 发送管道数据(PIPE SEND)......................................................................................................18
A.2.1
定义
.......................................................................................................................................18
A.2.2
命令格式
...............................................................................................................................18
A.2.3
命令报文数据域
...................................................................................................................18
A.2.4
响应报文数据域
...................................................................................................................18
A.2.5
响应状态码
...........................................................................................................................18
附录 B: GP 应用下载流程..................................................................................................................19
B.1 建立安全通道.............................................................................................................................19
B.2 安装 APPLET................................................................................................................................19
B.3 创建 APPLET 实例.......................................................................................................................19
B.4 更新安全域的控制密钥.............................................................................................................20
附录 C: OTA 应用下载示例 ..............................................................................................................21
附录 D: 新增交易示例.......................................................................................................................21
移动支付 OTA 实施方案 3
1、概述
目前,移动支付作为一种新型的支付手段,正在逐步兴起并将改变我们的生活,国内
和国际上都在积极研究和试点,其中 NFC 技术的发展是非常重要的一个事件,它将作为移
动支付实现的主要手段之一,并在消费电子领域等诸多领域衍生出新的应用。目前在移动
支付的产业链上,移动运营商的态度和选择至关重要,本方案的描述基于 NFC 芯片的移动
支付实现方案,但基于 JAVA 的双界面 SIM 卡的实现方案也包含在内,并不特别指明。
1.1 文档的目标和范围
本文试图描述在移动支付的解决方案中,如何将支付应用或其他行业应用通过 OTA
技术下载到移动终端设备上,包括其中的安全机制和应用流程。
1.2 定义及缩略语
MPP 移动支付平台(Mobile Payment Platform)
SP 服务提供商(Service Provider)
MT 移动终端设备(Mobile Terminal)
OTA 空中下载(Over The Air)
GP 环球平台(Global Platform)
TK 传输密钥(Transport Key)
OTAP 空中下载平台(OTA Platform)
OTAA 空中下载管理程序(OTA Agent)
PIPE 数据传输管道
PSP 管道过程数据协议(Pipe Session Protocol)
APDU 应用协议数据单元(Application Protocol Data Unit)
1.3 参考资料
《GlobalPlatform Card Specification Version 2.1.1》, 2003
《VISA 3-D Secure Mobile Authentication Scenarios》,2002
《EMV Card Personalization Specification》 Version 1.0, 2003
移动支付 OTA 实施方案 4
2、系统架构
MT
移动支付平台
应用门户(OTA Server)
$
发卡银行
内容服务提供商
图 1:移动支付系统架构
在上述的系统架构中,应用门户是 MT 首先访问的节点,在应用下载到 MT 后用户才
会和移动支付平台(MPP)及内容服务商建立联系。MPP 是整个手机商务市场上的重要环
节,通过 MPP 安全的进行支付是手机商务市场能否成功的关键。
3、业务模型
3.1 手机终端的获取方式
当前用户获取手机的方式主要有两种:商店购买和移动运营商送机。在商店购买的手
机的传输密钥一般是手机制造商设定的,一般不会改变;从移动运营商或其他渠道获得的
手机的传输密钥可能被更新,如果用户不是从手机提供方的 OTA SERVER 下载应用,则
第三方 OTA SERVER 必须获得手机提供方的授权才可以使用该手机。