Security apparatus and method for wireless communication

Abstract

Example embodiments relate to an apparatus, methods, devices, a system and a computer readable storage medium for communication. In an aspect, the apparatus comprises: at least one enabler module configured to provide at least one type of security functionality associated with a terminal device; and a management entity module configured to manage the at least one enabler module. This way, a uniformed structure in the apparatus is provided, thus all or part of the applications existing in the apparatus are able to access the security modules and functionalities in the apparatus.

Description

SECURITY APPARATUS AND METHOD FOR WIRELESS COMMUNICATIONFIELD

[0001] Example embodiments of the present disclosure generally relate to the field of telecommunication, and in particular, to security apparatus and method for wireless communication.BACKGROUND

[0002] An apparatus such as a subscriber identity module (SIM) card or an embedded universal integrated circuit card (eUICC) plays a vital role in mobile telecommunications since its introduction. It authenticates a terminal device to the network and is a secure element that stores keys securely. There is a requirement of advanced security functionalities in the apparatus, as the apparatus is being utilized for several important applications such as banking and to store sensitive data. The security functions in current SIM card or eUICC are fixed and limited, which cannot meet the security requirement of upcoming communication system. The security functionalities of the SIM card or eUICC also need to be enhanced.SUMMARY

[0003] In general, example embodiments of the present disclosure provide a solution for security in communication.

[0004] In a first aspect, there is provided an apparatus. The apparatus comprises: at least one enabler module configured to provide at least one type of security functionality associated with a terminal device; and a management entity module configured to manage the at least one enabler module. This way, a uniformed structure in the apparatus is provided, thus all or part of the applications existing in the apparatus such as an eUICC are able to access the security modules and functionalities in the apparatus.

[0005] In some possible implementations of the present disclosure, the apparatus further comprises, configured to execute program instructions to implement the at least one enabler  module and the management entity module. This way, the apparatus can be implemented in software or firmware format.

[0006] In some possible implementations of the present disclosure, the at least one enabler module comprises at least one of: a first enabler module configured to support at least one encryption function, a second enabler module configured to support authorization, a third enabler module configured to support at least one blockchain function, a fourth enabler module configured to support at least one situation awareness function, a fifth enabler module configured to perform at least one attestation function, or a sixth enabler module configured to support at least one privacy preserving function. This way, a unified and efficient platform is provided in the apparatus, and the applications can access any of the enablers.

[0007] In some possible implementations of the present disclosure, the at least one encryption function comprises at least one of: a symmetric encryption algorithm, an asymmetric encryption algorithm, a homomorphic encryption, or a post-quantum cryptography (PQC) . Additionally or alternatively, the at least one blockchain function comprises at least one of: smart contract deployment, transaction endorsement, transaction execution, consensus, transaction synchronization, block synchronization, or ledger storage. Additionally or alternatively, the at least one situation awareness function comprises at least one of: a situational awareness capability, a traffic monitoring, an asset monitoring, or a log collection. Additionally or alternatively, the at least one attestation function comprises at least one of: generating attestation information, verifying remote attestation information or endorsing the remote attestation information. Additionally or alternatively, the at least one privacy preserving function comprises at least one of: data masking, differential privacy, zero knowledge, multi-party computation, or users’ consent holding. This way, some enablers can support different implementation schemes, to make them flexible.

[0008] In some possible implementations of the present disclosure, the apparatus further comprises one or more of: a trustworthiness association module configured to transfer and  / or parse at least one message between the security apparatus and at least one external entity, a flow-point module configured to perform at least one of invoking the at least one enabler module, or querying for at least one trusted root function from the trustworthiness association module; or a trustworthiness association protocol comprising at least one security protocol. This way, with the trustworthiness association module, the enablers and the management entity can communicate with each other, and with the external terminal  device. With the flow-point module, the functionalities can be invoked efficiently. With the trustworthiness association protocol, the security apparatus can communication with the terminal device and network reliably.

[0009] In some possible implementations of the present disclosure, the at least one security protocol comprises one or more of: hyper-text transfer protocol secure (HTTPS) , transport layer security (TLS) , internet protocol security (IPsec) , or communication network authentication protocols. This way, the security protocol supported by the apparatus is flexible.

[0010] In some possible implementations of the present disclosure, an enabler module among the at least one enabler module comprises one or more of: at least one function module configured to implement the functionality of the enabler module, a file structure configured to store information related to the enabler module, or at least one supplementary security domain (SSD) configured to store at least one of sensitive data, at least one credential, or at least one certificate of an application. This way, the enabler can implement the internal functionality efficiently.

[0011] In some possible implementations of the present disclosure, the apparatus further comprises: a master file (MF) and at least one elementary file (EF) , wherein the file structure in the management entity module comprises the MF, and wherein the file structure in the enabler module comprises the EF. This way, the apparatus can support the flexible file system with MF and EF. Optionally, the apparatus includes at least one dedicated file (DF) . The MF can be a root directory when the headers of at least one DF and at least one EF are contained. MF, EF and DF forms a flexible file system in the apparatus, and the management entity module can manage the enabler modules flexibly.

[0012] In some possible implementations of the present disclosure, the EF comprises a transparent file and a linear fixed file, at least one of the following items is stored in the transparent file: an apparatus identity, an IP address, a state of the apparatus, or a warning notification, and at least one of the following items is stored in the linear fixed file: at least one version vector, the at least one enabler module, at least one log, or monitoring information. This way, the different EF can support different functionalities efficiently.

[0013] In some possible implementations of the present disclosure, the apparatus comprises one or more of: a smart card, a universal integrated circuit card (UICC) , an  embedded universal integrated circuit card (eUICC) , or a Secure UICC (SeeUICC) . This way, the apparatus can be implemented in multiple security apparatus formats flexibly.

[0014] In some possible implementations of the present disclosure, managing the at least one enabler module comprises one or more of: adding the enabler module, upgrading the enabler module, deleting the enabler module, or logging. This way, the enabler modules can be managed flexibly.

[0015] In some possible implementations of the present disclosure, the apparatus receives, from the terminal device, at least one command related to the at least one enabler module or the management entity module. This way, the apparatus can be operated by the external terminal device flexibly.

[0016] In some possible implementations of the present disclosure, the at least one command comprising one or more of: at least one enabler command configured to manage the at least one enabler module, at least one management command corresponding to the management entity module, or at least one enabler operation command configured to operate the at least one enabler module. This way, the command can control the modules inside the apparatus flexibly.

[0017] In some possible implementations of the present disclosure, the at least one enabler operation command comprises one or more of: a first enabler operation command corresponding to a privacy preserving enabler module operation, a second enabler operation command corresponding to an authorization enabler module operation, a third enabler operation command corresponding to an attestation enabler module operation, a fourth enabler operation command corresponding to a situational awareness enabler module operation, or a fifth enabler operation command corresponding to a blockchain enabler module operation. This way, different enabler operation command can operate different enablers flexibly.

[0018] In some possible implementations of the present disclosure, the at least one enabler command comprises one or more of: a first enabler command configured to update at least one specific algorithm function in the enabler module, a second enabler command configured to add a new function to the enabler module, a third enabler command configured to delete a function in the enabler module, a fourth enabler command configured to disable the enabler module, a fifth enabler command configured to delete the enabler  module, or a sixth enabler command configured to lock the enabler module. This way, the enablers can be managed flexibly.

[0019] In some possible implementations of the present disclosure, the at least one management command comprises one or more of: a first management command configured to update the management entity module, a second management command configured to enable the apparatus, or a third management command configured to disable the apparatus. This way, the management entity can manage modules inside the apparatus flexibly.

[0020] In some possible implementations of the present disclosure, the at least one enabler operation command comprises one or more of: a command configured to perform at least one privacy preserving algorithm based on user’s data, a command configured to perform at least one authorization function, a command configured to perform at least one attestation function, a command configured to perform data collection for a strategy module in the apparatus, wherein the strategy module comprises at least one of a traffic module, an asset module, or a log module, a command configured to perform at least one function related to a blockchain. The at least one function related to the blockchain comprises one or more of the following: at least one consensus mechanism, transaction generation, or invocation of at least one smart contract. This way, the enablers can be operated flexibly.

[0021] In some possible implementations of the present disclosure, the at least one command further comprises: a command configured to perform trustworthiness policy negotiation, or a command configured to request for at least one of a requirement tag, a capability tag, or a policy tag. This way, the trustworthiness association module can be operated flexibly.

[0022] In a second aspect, there is provided a method performed by an apparatus. The method comprises: receiving, at an apparatus and from a terminal device, a command for performing a security operation related to a type of security functionality associated with the terminal device, and sending to the terminal device, a response to the command from the terminal device, wherein the response includes a result of the security functionality. This way, the apparatus can be operated by the terminal device flexibly, and the apparatus can provide uniformed security functionality associated with the terminal.

[0023] In some possible implementations of the present disclosure, the method further comprises: receiving, from a third-party application module at an enabler module in the apparatus, a request for performing the security operation related to the type of security  functionality associated with the terminal device, wherein the enabler module is configured to provide the type of security functionality; and sending a result obtained by performing the security operation from the enabler module to the third-party application module. This way, the apparatus can perform the security functionality flexibly.

[0024] In some possible implementations of the present disclosure, the security operation comprised one or more of: attestation, encryption, authorization, situational awareness, or privacy preserving. This way, the command can support different security functionalities flexibly.

[0025] In some possible implementations of the present disclosure, the result is obtained based on an attestation evidence and an attestation certificate, in a case that the security operation is attestation. This way, the attestation can be implemented efficiently.

[0026] In some possible implementations of the present disclosure, the command received at apparatus from the terminal device is an application protocol data unit (APDU) command, and the APDU command comprises a verifier identifier. This way, the command can be implemented efficiently and concisely, and identify the verifier accurately.

[0027] In some possible implementations of the present disclosure, the request for performing the security operation from the third-party application to the enabler module comprises: an application identifier and a verifier identifier. This way, the security operation can be identified by the application identifier and the verifier identifier clearly.

[0028]

[0029] In a third aspect, there is provided a method performed by a terminal device. The method comprises: sending, at a terminal device to an apparatus, a command for performing a security operation related to a type of security functionality associated with the terminal device, wherein an enabler module in the apparatus is configured to provide the type of security functionality; and receiving a response to the command from the apparatus, wherein the response includes a result of the security operation. This way, the terminal device can operate the apparatus flexibly.

[0030] In some possible implementations of the present disclosure, the security functionality comprises one or more of: attestation, encryption, authorization, situational awareness, privacy preserving. This way, the terminal device can operate different security functionalities in the apparatus flexibly.

[0031] In a fourth aspect, there is provided an apparatus. The apparatus comprises: at least one processor, coupled to at least one memory storing programming instructions for execution by the at least one processor, when the programming instructions is executed by the at least one processor cause the apparatus to perform the methods in the second and the third aspects.

[0032] In a fifth aspect, there is provided a system. The device comprises an apparatus and a terminal device. The apparatus is caused to perform the method in the second aspect. The terminal device is caused to perform the method in the third aspect. This way, the terminal device can operate the security functionality in the apparatus flexibly.

[0033] In a sixth aspect, there is provided a computer-readable storage medium having instructions stored thereon that, when executed by one or more processors of a computing device, cause the computing device to perform at least the method in the second, and third aspects.

[0034] It is to be understood that the summary section is not intended to identify key or essential features of embodiments of the present disclosure, nor is it intended to be used to limit the scope of the present disclosure. Other features of the present disclosure will become easily comprehensible through the following description.BRIEF DESCRIPTION OF THE DRAWINGS

[0035] Some example embodiments will now be described with reference to the accompanying drawings, in which:

[0036] FIG. 1 illustrates an example of a communication system in which some example embodiments of the present disclosure may be implemented;

[0037] FIG. 2 illustrates an example of a global platform card in the present disclosure;

[0038] FIG. 3 illustrates an example of an eUICC in the present disclosure;

[0039] FIG. 4 illustrates an example of a general architecture of a security apparatus in accordance some example embodiments of the present disclosure may be implemented;

[0040] FIG. 5 illustrates an example of block diagram of the security apparatus in accordance some example embodiments of the present disclosure may be implemented;

[0041] FIG. 6 illustrates another example of block diagram of the security apparatus in accordance some example embodiments of the present disclosure may be implemented;

[0042] FIG. 7 illustrates an example of block diagram of an enabler in accordance some example embodiments of the present disclosure may be implemented;

[0043] FIG. 8 illustrates an example of structure of a management entity component in accordance some example embodiments of the present disclosure may be implemented;

[0044] FIG. 9 illustrates an example of a process flow of a terminal device requesting for security operation to an apparatus in accordance with some example embodiments of the present disclosure;

[0045] FIG. 10 illustrates an example of a process flow of attestation in accordance with some example embodiments of the present disclosure;

[0046] FIG. 11 illustrates an example of a process flow of calling a function in an enabler in accordance with some example embodiments of the present disclosure;

[0047] FIG. 12 illustrates an example of a process flow of an apparatus in accordance with some example embodiments of the present disclosure;

[0048] FIG. 13 illustrates an example of a process flow of a terminal device in accordance with some example embodiments of the present disclosure;

[0049] FIG. 14 illustrates a simplified block diagram of a communication device that is suitable for implementing some example embodiments of the present disclosure;

[0050] FIG. 15 illustrates another simplified block diagram of an apparatus that is suitable for implementing some example embodiments of the present disclosure; and

[0051] FIG. 16 illustrates a simplified block diagram of a terminal device that is suitable for implementing some example embodiments of the present disclosure.

[0052] Throughout the drawings, the same or similar reference numerals represent the same or similar elements.DETAILED DESCRIPTION

[0053] Principles of the present disclosure will now be described with reference to some example embodiments. It is to be understood that these embodiments are described only for the purpose of illustration and help those skilled in the art to understand and implement the present disclosure, without suggesting any limitation as to the scope of the disclosure. The disclosure described herein can be implemented in various manners other than the ones described below.

[0054] In the following description and claims, unless defined otherwise, all technical and scientific terms used herein have the same meaning as commonly understood by one of ordinary skills in the art to which this disclosure belongs.

[0055] References in the present disclosure to “one embodiment” , “an embodiment” , “an example embodiment” , and the like indicate that the embodiment described may include a particular feature, structure, or characteristic, but it is not necessary that every embodiment includes the particular feature, structure, or characteristic. Moreover, such phrases are not necessarily referring to the same embodiment. Further, when a particular feature, structure, or characteristic is described in connection with an embodiment, it is submitted that it is within the knowledge of one skilled in the art to affect such feature, structure, or characteristic in connection with other embodiments whether or not explicitly described.

[0056] It shall be understood that although the terms “first” and “second” etc. may be used herein to describe various elements, these elements should not be limited by these terms. These terms are only used to distinguish one element from another. For example, a first element could be termed a second element, and similarly, a second element could be termed a first element, without departing from the scope of example embodiments. As used herein, the term “and / or” includes any and all combinations of one or more of the listed terms.

[0057] The terminology used herein is for the purpose of describing particular embodiments only and is not intended to be limiting of example embodiments. As used herein, the singular forms “a” , “an” and “the” are intended to include the plural forms as well, unless the context clearly indicates otherwise. It will be further understood that the terms “comprises” , “comprising” , “has” , “having” , “includes” and / or “including” , when used herein, specify the presence of stated features, elements, and / or components etc., but do not preclude the presence or addition of one or more other features, elements, components and / or combinations thereof.

[0058] As used herein, the term “communication network” refers to a network following any suitable communication standards, such as Long Term Evolution (LTE) , LTE-Advanced (LTE-A) , Wideband Code Division Multiple Access (WCDMA) , High-Speed Packet Access (HSPA) , Narrow Band Internet of Things (NB-IoT) and so on. The communication network can be used in the 5th generation (5G) communication system, such as 5G new radio (NR) communication system, or in other evolving communication  systems after 5G, such as 6G. The method proposed in the embodiments of the present disclosure can also be used in long range internet of things (IoT) system such as Lora, or vehicle to everything (V2X) systems. The method proposed in the embodiments of the present disclosure can also be used in satellite communication systems, the satellite communication systems can be integrated with the above communication system. Furthermore, the communications between a terminal device and a network device in the communication network may be performed according to any suitable generation communication protocols, including, but not limited to, the fourth generation (4G) , 4.5G, the fifth generation (5G) communication protocols, and / or any other protocols either currently known or to be developed beyond 5G communication. Embodiments of the present disclosure may be applied in various communication systems. Given the rapid development in communications, there will of course also be future type communication technologies and systems with which the present disclosure may be embodied. It should not be seen as limiting the scope of the present disclosure to only the aforementioned system.

[0059] The term “terminal device” refers to any end device that may be capable of wireless communication. By way of example rather than limitation, a terminal device may also be referred to as a communication device, user equipment (UE) , a Subscriber Station (SS) , a Portable Subscriber Station, a Mobile Station (MS) , or an Access Terminal (AT) . The terminal device may include, but not limited to, a mobile phone, a cellular phone, a smart phone, voice over IP (VoIP) phones, wireless local loop phones, a tablet, a wearable terminal device, a personal digital assistant (PDA) , portable computers, desktop computer, image capture terminal devices such as digital cameras, gaming terminal devices, music storage and playback appliances, vehicle-mounted wireless terminal devices, wireless endpoints, mobile stations, laptop-embedded equipment (LEE) , laptop-mounted equipment (LME) , USB dongles, smart devices, wireless customer-premises equipment (CPE) , an Internet of Things (IoT) device, a watch or other wearable, a head-mounted display (HMD) , a vehicle, a drone, a medical device and applications (for example, remote surgery) , an industrial device and applications (for example, a robot and / or other wireless devices operating in an industrial and / or an automated processing chain contexts) , a consumer electronics device, a device operating on commercial and / or industrial wireless networks, and the like. The terminal device can also be called user equipment (UE) , mobile station (MS) , mobile terminal (MT) , etc., or a device for providing voice or data connectivity to user devices, or IoT devices. For example, the terminal device includes a hand-held device  with a wireless connection function, a vehicle-carried device, etc. In the present disclosure, the terminal device can be: a mobile phone, a tablet computer, a notebook computer, a handheld computer, a mobile internet devices (MID) , wearable devices (such as a smart watch, a smart bracelet, a pedometers, etc. ) , vehicle-carried device (for example, an automobiles, a bicycle, an electric vehicle, an airplanes, a ship, a train, a high-speed rail, etc. ) , a satellite terminal, a virtual reality (VR) equipment, an augmented reality (AR) equipment, an intelligent point of sale (POS) machine, a customer-premises equipment (CPE) , a wireless terminal in industrial control, a smart home equipment (such as a refrigerators, a TV, an air conditioners, an electricity meter, etc. ) , an intelligent robot, a robotic arm, a workshop equipment, an unmanned wireless terminal in driving, a wireless terminals in tele-medicine, a wireless terminal in smart grid, a wireless terminal in transportation security, a wireless terminal in smart city, or a wireless terminal in smart home, a flying equipment (such as , a intelligent robot, a hot air balloon, a drone, an airplane) , etc. The terminal device may also be other device having a terminal function, for example, the terminal device may also be a device serving as a terminal function in device to device (D2D) communication. In the following description, the terms “terminal device” , “communication device” , “terminal” may be used interchangeably.

[0060] As mentioned hereinbefore, the apparatus such as the SIM Card or the eUICC plays a vital role in mobile telecommunications since its introduction. It authenticates the terminal device to the network and is a secure element that stores keys securely. In the current scenario in addition to its fundamental role, it is capable of several secure mobile transactions.

[0061] FIG. 1 illustrates an example of a communication system in which some example embodiments of the present disclosure may be implemented. In the communication system 100, there are a terminal device 101 and a network 105. An apparatus 103 with security functionality such as a subscriber identity module (SIM) card, a smart card, a universal integrated circuit card (UICC) , an embedded universal integrated circuit card (eUICC) , or a Secure UICC (SeeUICC) is inside the terminal device 101. The network 105 can comprises access network, core network. The network 105 can also comprises service providers, such as banking application provider, retailer, etc. The communication connection between the terminal device 101 and the network 105 can be wireless or wireline connections.

[0062] FIG. 2 illustrates an example of a global platform card in the present disclosure. In the global platform card 200, there is a runtime environment 210. Global platform card  specification can be used to define the profiles in the eUICC. In the runtime environment 210, there is an open and generous purpose (GP) trusted framework 209. Above the open and generous purpose (GP) trusted framework 209, there is a GP application programming interface (API) 207. Above the runtime environment 210, there is a real time enablement (RTE) API 208. There are several applications, such as a card issue application 201, an application provider application 202, and a global service application 203. There are several security domains for the applications, such as an issue’s security domain 204 for the card issue application 201, an application provider’s security domain 205 for the application provider application 202, and a controlling authorities’s ecurity domain 206 for the global service application 203.

[0063] FIG. 3 illustrates an example of an eUICC in the present disclosure. In the eUICC 300, there is an eUICC operating system 303. In the eUICC operating system 303, there are a telecommunication framework 305 and a platform service manager 307. There is a policy rules enforcer in the platform service manager 307. There are a eUICC controlling authority security domain (ECASD) (313) and an issuer security domain -root (ISD-R) (315) above the eUICC operating system 303. Above the eUICC operating system 303, there can be at least one mobile network operator (MNO) profile, such as an MNO enabled profile and an MNO disabled profile. So, the eUICC 300 can switch among multiple MNOs. In each MNO profile, there are a file system, one or more network access applications (NAAs) , a controlling authority security domain (CASD) , one or more applets, a supplementary security domain (SSD) , and one or more policy rules.

[0064] The security functions in current SIM card or eUICC are fixed and limited, which cannot meet the security requirement of upcoming communication system. As several secure applications are being implemented in the SIM card, the security functionalities of the SIM card need to be enhanced. There is a requirement of advanced security functionalities in the SIM card, as the SIM card is being utilized for several important applications like banking and to store sensitive data. For example, aspects like privacy, attestation are required for the SIM card to be used in future. The apparatus 103 needs to store sensitive data such as credentials of the applications and also manages secure access to the sensitive data, and the space also needs to be saved.

[0065] In some possible implementations, a unified framework of the apparatus 103 such as eUICC is proposed, in which every application in the apparatus can access. Some enablers are proposed in the apparatus 103 to provide security functionalities. A  management entity is proposed in the apparatus 103, and a plurality of new application protocol data unit (APDU) commands for communication between the terminal device 101 and the apparatus 103.

[0066] FIG. 4 illustrates an example of a general architecture of a security apparatus in accordance some example embodiments of the present disclosure may be implemented. In embodiment 400, a security apparatus 401 includes the security entities in the SIM card architecture, so that all or part of the applications existing on the SIM card are able to access the security entities. The security apparatus 401 can be an implementation of apparatus 103 in FIG. 1. The applications can be one or more of: SIM applications 403, 5G applications 405, remote management applications 407, USIM applications 409, beyond 5G applications 411, or 3rd party applications 413. In some possible implementations of the present disclosure, the 5G Applications 405 can include V2X applications. The remote management applications 407 can include loading, installation, management and removal of applets and packages. The USIM applications 409 can include contactless payment. The beyond 5G applications 411 can include virtual reality (VR) . The 3rd party applications 413 can include banking applications, or browser applications.

[0067] FIG. 5 illustrates an example of block diagram of the security apparatus 401 in accordance some example embodiments of the present disclosure may be implemented. In embodiment 500, the security apparatus 401 includes a management entity module 502, and one or more enabler modules 501. The one or more enabler modules 501 is configured to provide one or more type of security functionalities associated with the terminal device 101, and the management entity module 502 is configured to manage the one or more enabler modules 501. In some possible implementation, the enabler modules 501 can be the enabler modules in Fig. 6. For example, a first enabler or a crypto enabler module 603 configured to support at least one encryption function, a second enabler or an authorization enabler module 605 configured to support authorization, a third enabler or a blockchain enabler module 607 configured to support at least one blockchain function, a fourth enabler or a situational awareness enabler module 609 configured to support at least one situational awareness function, a fifth enabler or an attestation enabler module 611 configured to perform at least one attestation function, a sixth enabler or a privacy preserving module 613 configured to support at least one privacy preserving function. This way, a uniformed structure in the apparatus is provided, thus all or part of the applications existing in the  apparatus such as the eUICC are able to access the security modules and functionalities in the apparatus.

[0068] FIG. 6 illustrates another example of block diagram of the security apparatus in accordance some example embodiments of the present disclosure may be implemented. In embodiment 600, in the security apparatus 401, there is an operating system (OS) 649, such as eUICC OS. In the OS 649, there are a trustworthiness association (TruA) and flow-point module 651, a telecommunication framework 653, and a platform service management 657. There is a TruA protocol 655 in the telecommunication framework 653, and a policy rules enforcer 659 in the platform service management 657. The TruA and flow-point module 651 transfers and parses messages between the security apparatus 401 and the terminal device 101. The flow-point invokes enablers and queries for trusted root functions based on the list of sequenced tasks from the TruA. The TruA Protocol 655 includes common security protocols, such as hypertext transfer protocol secure (HTTPS) , transport layer security (TLS) , and IPsec, and communication network authentication protocols, such as authentication and key agreement (AKA) and extensible authentication protocol (EAP) -AKA. This way, the modules inside the security apparatus 401 can communicate with the terminal device 101 efficiently and flexibly. The skilled in the art can understand that there can be other security protocol for the TruA protocol 655.

[0069] Above the OS 649, there may be a Java card virtual machine (VM) 643, a Java card real time enablement (RTE) 647, a Java card API 641, a generous platform (GP) API 645, and a vertical market API 639. There are one or more enabler modules in the security apparatus 401. As in Fig. 6, E1 can be an implementation of the first enabler, E2 can be an implementation of the second enabler, E3 can be an implementation of the third enabler, E4 can be an implementation of the fourth enabler, E5 can be an implementation of the fifth enabler, and E6 can be an implementation of the sixth enabler. The crypto enabler module 603 supports one or more of: symmetric and asymmetric algorithms, homomorphic encryption, or post-quantum cryptography (PQC) . The authorization enabler module 605 supports authorization of third-party applications. The blockchain enabler module 607 supports one or more of: smart contract deployment, transaction endorsement or execution, consensus, transaction or block synchronization and ledger storage. The situational awareness enabler module 609 supports one or more of: situational awareness capability, supporting traffic monitoring, asset monitoring, or log collection. The attestation enabler module 611 generates attestation information, and verifies and endorses remote attestation  information. The privacy preserving enabler module 613 supports one or more of: data masking, differential privacy, zero knowledge, or multi-party computation. The privacy preserving enabler module 613 also holds user’s consent which stores the permissions of the user data collected by third parties. The third-party (3rd Party) applications 633, 635, ……, 637 can access one or more of the enabler modules in the unified infrastructure. Thus the enabler modules provide efficiency and flexibility in the security apparatus 401. The skilled in the art can understand that there can be other enablers in the security apparatus 401.

[0070] In some possible implementations, there is an ISD-R 617 in the security apparatus 401, and a management entity module 619 in the ISD-R 617. In some possible implementations, the management entity module 619 is outside the ISD-R 617. The management entity module 619 manages Secure eUICC's internal functions, including one or more of: adding, upgrading, and deleting profiles and enablers, and logging. This way, the enablers can be managed by the management entity module 619 in a unified infrastructure. There are an MNO enabled profile 621 and an MNO disabled profile 627 in the security apparatus 401. In each MNO profile, there are a mobile network operator security domain (MNO-SD) and an issuer security domain-profile (SD-P) .

[0071] FIG. 7 illustrates an example of block diagram of an enabler in accordance some example embodiments of the present disclosure may be implemented. In embodiment 700, the enabler module 701 can be any one of enabler modules, such as the crypto enabler module 603, the authorization enabler module 605, the blockchain enabler module 607, the situational awareness enabler module 609, the attestation enabler module 611, the privacy preserving module 613 in FIG. 6, or other enabler modules.

[0072] There are one or more functions 703 in the enabler 701, which refers to one or more functions that the enabler 701 provides. For example, in the crypto enabler module 603, the functions can be one or more of: advanced encryption standard (AES) algorithm, RSA algorithm, or elliptic-curve cryptography (ECC) algorithm.

[0073] There is a file structure 705 in the enabler 701. The file structure 705 is a hierarchical structure of files. It stores information related to the Enablers like management or administrative information.

[0074] There may be one or more supplementary security domains (SSDs) 707, 709, ……, 711 in the enabler 701. The SSDs store one or more of: the sensitive data or credentials,  certificates of the applications. The SSDs are optional within each of the enablers. Only authorized applications or security domains in the enabler 701 can access the Enablers.

[0075] FIG. 8 illustrates an example of structure of a management entity component in accordance some example embodiments of the present disclosure may be implemented. The management entity module 619 includes the information that is organized as files. The structure of the files can include master file (MF) , dedicated file (DF) and elementary file (EF) . The embodiment proposes the file system of the management entity module 619 including a MF, followed by one or more DF profiles. The file system consists of three types of files: master file (MF) , dedicated files (DF) , and elementary files (EF) . A MF is the root of the system. A Dedicated File (DF) can consist of a group of files that are either DF or EF. An EF can have transparent EF, linear fixed and cyclic EF. An elementary File that has a transparent structure consists of a sequence of bytes. An elementary file that has a linear fixed structure consists of a sequence of records all having the same (fixed) length. Cyclic files are used for storing records in chronological order. Information about the apparatus ID such as Secure eUICC (SeeUICC) ID, IP address, state of the SeeUICC and warning notification are stored in the EF transparent file, as the data is of type sequence of bytes. The version vectors and enablers of apparatus 103 are stored in the EF linear fixed file, as the data consist an array or sequence of records. The logs and monitoring of the apparatus 103 such as SeeUICC are also stored in the EF linear fixed file.

[0076] In some possible implementations, the apparatus 103 receives from the terminal device 101, one or more commands related to the one or more enabler modules 603-613, or the management entity module 619. This way, the terminal device 101 can access to security functionalities in the apparatus 103 flexibly. In some possible implementations the above commands can be new application protocol data unit command, to make the terminal device 101 access the apparatus 103 flexibly.

[0077] In some possible implementations, one or more commands comprise enabler commands, which manage the at least one enabler module. The enabler commands comprise an update enabler command, which updates specific algorithm functions in the corresponding Enabler. The input of the update enabler command is one or more of: enabler name, function Name, parameters and algorithms to be updated. The output of the update enabler command is command successful or unsuccessful.

[0078] Additionally or alternatively, the enabler commands comprise an add function enabler command, which adds a new function to the Enabler. The input of the add function enabler command comprise one or more of: enabler name, function name. The output of the add function enabler command comprise command successful or unsuccessful.

[0079] Additionally or alternatively, the enabler commands comprise a delete function enabler command, which deletes function in the Enabler. The input of the delete function enabler command comprises one or more of: enabler name, function name. The output of the delete function enabler command comprises command successful or unsuccessful.

[0080] Additionally or alternatively, the enabler commands comprise a disable enabler command, which disables an enabler. The input of the disable enabler command comprises enabler name. The output of the disable enabler command comprises command successful or unsuccessful.

[0081] Additionally or alternatively, the enabler commands comprise a delete enabler command, which deletes an enabler. The input of the delete enabler command comprises enabler name. The output of the delete enabler command comprises command successful or unsuccessful.

[0082] Additionally or alternatively, the enabler commands comprise a lock enabler command, which locks an enabler, and prevents it from being updated or disable or delete. The input of the lock enabler command comprises enabler name, and the output of the lock enabler command comprises command successful or unsuccessful.

[0083] This way, the enablers can be managed flexibly and efficiently. In some possible implementations, the function name can be specific to the functionalities each of the enabler provides. For example, for the crypto enabler module 603, the function name can be one or more of advanced encryption standard (AES) , Zu Chongzhi (ZUC) , SNOW. This way, the enablers can be managed flexibly and efficiently.

[0084] In some possible implementations, the one or more commands comprises one or more management commands, which are related to the management entity module 619. The management command comprises an update management command, which performs the function to update the management entity module 619, such as to update the management entity module 619 to new version. The input of the update management command comprises parameters for the function, such as update state, update ID, etc. The output of the update management command comprises command successful or unsuccessful.

[0085] Additionally or alternatively, the management command comprises an enable security module command, which performs the function to enable the apparatus 103. The output of the enable security module command comprises command successful or unsuccessful.

[0086] Additionally or alternatively, the management command comprises a disable security module command, which performs the function to disable the apparatus 103. The output of the disable security module command comprises command successful or unsuccessful. This way, the management entity module 619 can be operated flexibly and efficiently.

[0087] In some possible implementations, the one or more commands comprises enabler operation commands, to operate the one or more enabler modules.

[0088] In some possible implementations, the enabler operation commands comprise the first enabler operation command, used for performing privacy preserving algorithms based on the user’s data. Optionally, the first enabler operation command can be a privacy preserving command. For example, the privacy preserving command can be named as PRIVPRESERV. The enabler also holds user’s consent which stores the permissions of the user data collected by third parties. The input of the first enabler operation command comprises one or more of: function name, parameters for the function. The output of the first enabler operation command comprises: output data, and command successful or unsuccessful. The function name can be one or more of: data masking, user consent, multi-party computation, zero knowledge, differential privacy. An example of parameters for the privacy preserving enabler for the multi-party computation can be the data on which computation has to be performed without any party revealing their private data. In a bidding example, farmers bid for contracts at auction without having to reveal the price they are willing to sell for, or their economic position. The selling price can be the parameters. Another example can be where 3 colleagues would like to compute their average salary. Each individual do not want to reveal their individual salary to the others. Here the salary (which can be encrypted) are the parameters to the enabler function PRIVPRESERV. Thus, the privacy preserving enabler module can be operated flexibly, and the apparatus 103 can provide privacy preserving functions or services in response to the command. The skilled in the art can understand that the input and output can be in other format.

[0089] In some possible implementations, the enabler operation commands comprise the second enabler operation command, or a perform authorization command, which is related to the authorization enabler module. The input of the perform authorization command is function name, and parameters for the function. The output of the perform authorization command is command successful or unsuccessful. The function name can be static authorization. Thus, the authorization enabler module can be operated flexibly, and the apparatus 103 can provide authorization functions or services in response to the command. The skilled in the art can understand that the input and output can be in other format.

[0090] In some possible implementations, the enabler operation commands comprise the third enabler operation command, or a perform attestation command, which is related to the attestation enabler module. The input of the perform attestation command is function name, and parameters for the function. The output of the perform attestation command is command successful or unsuccessful. The function name can be getting reference value, where the terminal device 101 can be the reference value (RV) provider. The function name can also be getting attestation evidence, where the terminal device 101 can be an attester. The function name can also be “generate challenge” , where the terminal device 101 can be a verifier. The function name can also be token authorization. Thus, the attestation enabler module can be operated flexibly, and the apparatus 103 can provide attestation functions or services in response to the command. The skilled in the art can understand that the input and output can be in other format.

[0091] In some possible implementations, the enabler operation commands comprise the fourth enabler operation command, or a perform situational awareness command, which is related to the situational awareness enabler module, and performs collection of data for strategy module in engine. The input of the perform situational awareness command is function name, and parameters for the function. The output of the perform situational awareness command is output data, and command successful or unsuccessful. The function name can be one or more of: traffic monitoring, asset monitoring, or log collection. Thus, the situational awareness enabler module can be operated flexibly, and the apparatus 103 can provide situation awareness functions or services in response to the command. The skilled in the art can understand that the input and output can be in other format.

[0092] In some possible implementations, the enabler operation commands comprise the fourth enabler operation command, or a perform blockchain operation command, which is related to the blockchain enabler module, and performs functions related to the blockchain,  such as consensus mechanisms, transaction generation, invocation of smart contracts, etc. The input of the perform situational awareness command is function name, and parameters for the function. The output of the perform blockchain operation command is output data, and command successful or unsuccessful. This way, the blockchain enabler module can be operated flexibly, and the apparatus 103 can provide blockchain functions or services in response to the command.

[0093] In some possible implementations, the at least one command further comprises a perform policy negotiation operation command, which is related with trustworthiness association module, and the trustworthiness association module performs trustworthiness policy negotiation. The input of the perform situational policy negotiation operation command is parameters for the function. The output of the policy negotiation operation command is output data, and command successful or unsuccessful. This way, the trustworthiness association module can be operated flexibly, and the apparatus 103 can provide trustworthiness association functions or services in response to the command.

[0094] In some possible implementations, the at least one command further comprises a get trust tag command, which requests for one or more of: requirement tag, capability tag, or policy tag. The input of the get trust tag command is function name, and parameters for the function. The output of the perform get trust tag command is output data, and command successful or unsuccessful. The function name can be one or more of: requirement tag, capability tag, or policy tag. This way, multiple tags can be required efficiently, to mark different requirements, capabilities, or policies of the TruA module, and the apparatus 103 can provide trustworthiness association functions or services in response to the command. The skilled in the art can understand that the input and output can be in other format.

[0095] FIG. 9 illustrates an example of a process flow of a terminal device requesting for security operation to an apparatus in accordance with some example embodiments of the present disclosure.

[0096] In process flow 900, the apparatus 103 receives (905) a command 910 for performing a security operation related to a type of security functionality associated with the terminal device 101. The command 910 can be any one of the above commands for security operation, such as the enabler commands, the enabler operation commands, etc. Then the apparatus 103 sends (915) to the terminal device 101, a response 920 to the command 910 from the terminal device 101. The response 920 includes a result of the  security functionality, such as the output data, command successful or unsuccessful of the above commands. This way, the apparatus 103 can be operated by the terminal device 101 flexibly. And functionality in the enablers in the apparatus 103 can be achieved efficiently. In the following embodiment, the process flow of the attestation enabler module 611 is illustrated in details, as an example of all the enablers.

[0097] FIG. 11 illustrates an example of a process flow of calling a function in an enabler in accordance with some example embodiments of the present disclosure. Specifically, FIG. 11 illustrates a general protocol flow diagram when an application 1105 calls an enabler function in an enabler module 1110.

[0098] In some possible implementations, the terminal device 101 selects (1117) the application 1105 by the APDU command selection application 1115 (application ID) . The application 1105 sends (1122) a response 1120 to the terminal device 101. The terminal device 101 sends (1127) an APDU command for an enabler function, or perform_enabler_function (function name, parameters) 1125. The application 1105 sends (1132) the request to the enabler module 1110, with the request for the specified enabler request for enabler_function (application ID, function name, parameters) 1130. In 1135, the enabler module 1110 performs the corresponding function and sends the response to the application 1105.

[0099] The result 1140 is provided (1142) by the enabler module 1110 to the application 1105. The application 1105 sends (1147) the result to terminal device 101, with perform_enabler_function_response (result, success) 1145. FIG. 11 illustrates the general process among the terminal device 101, the application 1105, and the enabler module 1110, for a specified function call in the enabler module 1110. The process 1100 is suitable for any one of the enabler modules in FIG. 6, such as the crypto enabler module 603, the authorization enabler module 605, the blockchain enabler module 607, etc. The skilled in the art can understand that the process 1100 can also be suitable for any other enablers, beside those in FIG. 6.

[0100] FIG. 10 illustrates an example of a process flow of attestation in accordance with some example embodiments of the present disclosure. In the embodiment 1000, the scenario is a verifier requesting to verify a third-party application 1005 that can be a banking application in the apparatus 103. The embodiment 1000 can be a specific implementation of the general protocol flow diagram in Fig. 11.

[0101] In some possible implementations, the banking application employs the attestation enabler module 1007 to generate attestation evidence and transmits to the verifier 1003. The attestation enabler module 1007 can be an implementation of the attestation enabler module 611 in Fig. 6. The verifier 1005 verifies the attestation result received from the apparatus 103 with the banking application provider. The application provider or relying party 1001 can be the bank that provide the 3rd party application 1005 as banking application. The application provider or relying party 1001 can also different with the provider of the banking application. The verifier can be a service provider, such as a retailer in the network.

[0102] In some possible implementations, the verifier 1003 transmits (1012) a request for attestation to the terminal device 101 with a message 1010 of request for attestation which includes verifier ID and application ID, where the verifier ID is the identity of the verifier 1003, and application ID is the Identity of the 3rd party application 1005 to be verified. The terminal device 101 sends (1017) , to the 3rd party application 1005, an APDU command for selecting application which includes application ID. For example, the APDU command for selecting application can be a select application command 1015. The 3rd party application 1005 sends (1022) a select response 1020 to the terminal device 101. The terminal device 101 sends (1027) , to the 3rd party application 1005, an APDU command for attestation which include get attestation evidence and verifier ID. For example the APDU command for attestation can be a perform attestation command 1023. The 3rd party application 1005 sends (1032) the request for attestation 1030 to the attestation enabler module 1007, the request for attestation 1030 can include application ID and verifier ID. In 1035, the attestation enabler module 1007 generates the attestation evidence (AE) and attestation certificate (AC) , and forms the result based on the AE and the AC. For example, the result = AE || AC. The “||” operation can be a concatenation operation. The skilled in the art can understand that the result can be obtained from AE and AC with other operations.

[0103] The result 1040 is provided (1042) by the attestation enabler module 1007 to the 3rd party application 1005. The 3rd party application 1005 sends (1047) the result to terminal device 101, with perform attestation response 1045, the attestation response 1045 can include result and success. The response 1050 is then transmitted (1052) to the verifier 1003. The verifier 1003 transmits (1057) requests 1055 for reference values (RV) to the application provider 1001, for verifying the result from the apparatus 103. Reference values 1060 are provided (1062) by the application provider 1001 to the verifier 1003. In 1065, the  verifier 1003 verifies the reference values with the result from the apparatus 103. This way, the attestation is implemented efficiently with the attestation enabler module 1007 in the apparatus 103. The skilled in the art can understand that other enablers in FIG. 6 can be operated in similar.

[0104] FIG. 12 illustrates an example of a process flow 1200 of the apparatus 103 in accordance with some example embodiments of the present disclosure.

[0105] In block 1210, the apparatus 103 receives from the terminal device 101, a command for performing a security operation related to a type of security functionality associated with the terminal device 101. In block 1220, the apparatus 103 sends to the terminal device 101, a response to the command from the terminal device 101, wherein the response includes a result of the security functionality.

[0106] In some possible implementations, in accordance to receiving the command form the terminal device 101, the apparatus 103 receives from a third-party application module at an enabler module in the apparatus 103, a request for performing the security operation related to the type of security functionality associated with the terminal device 101, wherein the enabler module is configured to provide the type of security functionality. The apparatus 103 sends a result obtained by performing the security operation from the enabler module to the third-party application module. In some possible implementations, the security operation comprised one or more of: attestation, encryption, authorization, situational awareness, or privacy preserving.

[0107] In some possible implementations, the result is obtained based on an attestation evidence and an attestation certificate, in a case that the security operation is attestation.

[0108] In some possible implementations, the command received at apparatus 103 from the terminal device 101 is an application protocol data unit (APDU) command, and the APDU command comprises a verifier identifier. In some possible implementations, the request for performing the security operation from the third-party application to the enabler module comprises: an application identifier and a verifier identifier.

[0109] FIG. 13 illustrates an example of a process flow 1300 of the terminal device 101 in accordance with some example embodiments of the present disclosure.

[0110] In block 1310, the terminal device 101 sends to the apparatus 103, a command for performing a security operation related to a type of security functionality associated with the terminal device 101, wherein an enabler module in the apparatus 103 is configured to  provide the type of security functionality. In block 1320, the terminal device 101 receives a response to the command from the apparatus 103, wherein the response includes a result of the security operation.

[0111] In some possible implementations, the security functionality comprises one or more of: attestation, encryption, authorization, situational awareness, privacy preserving.

[0112] FIG. 14 illustrates a simplified block diagram of a communication device 1400 that is suitable for implementing some example embodiments of the present disclosure. For example, the communication device 1400 may be provided to implement the terminal device 101, or the apparatus 103 as shown in FIG. 1.

[0113] As shown in FIG. 14, the communication apparatus 1400 includes one or more processors 1410, and one or more communications interfaces 1420. Optionally, the communication apparatus 1400 includes one or more memories 1430. The processor 1410 may be of any type suitable to the local technical network and may include one or more of the following: general purpose computers, special purpose computers, microprocessors, digital signal processors (DSPs) and processors based on multicore processor architecture, as non-limiting examples. The communication apparatus 1400 may have multiple processors, such as an application specific integrated circuit chip that is slaved in time to a clock which synchronizes the main processor.

[0114] The memory 1430 may include one or more non-volatile memories and one or more volatile memories. Examples of the non-volatile memories include, but are not limited to, a Read Only Memory (ROM) , an electrically programmable read only memory (EPROM) , a flash memory, a hard disk, a compact disc (CD) , a digital video disk (DVD) , and other magnetic storage and / or optical storage. Examples of the volatile memories include, but are not limited to, a random access memory (RAM) and other volatile memories that will not last in the power-down duration.

[0115] The communications interface 1420 can be used for bidirectional communications. The communications interface 1420 may have at least one antenna to facilitate communication. The communication interface 1420 may represent any interface that is necessary for communication with other network elements.

[0116] The processor 1410 is configured to control the communications interface 1420 to receive and send a signal. The memory 1430 is configured to store a computer program. The processor 1410 is configured to invoke the computer program from the memory 1430  and run the computer program, so that the communication apparatus 1400 is enabled to perform a corresponding procedure and / or operation in various embodiments of the communication methods in this application.

[0117] FIG. 15 illustrates a further simplified block diagram of an apparatus that is suitable for implementing some example embodiments of the present disclosure. As shown in Fig 15, the apparatus 103 comprises a transmission unit 1510, and a reception unit 1520. The reception unit 1520 receives from the terminal device 101, a command for performing a security operation related to a type of security functionality associated with the terminal device 101. The transmission unit 1510 sends to the terminal device 101, a response to the command from the terminal device 101, wherein the response includes a result of the security functionality.

[0118] FIG. 16 illustrates a simplified block diagram of a terminal device that is suitable for implementing some example embodiments of the present disclosure. As shown in Fig. 16, the terminal device 101 comprises a transmission unit 1610, and a reception unit 1620. The transmission unit 1610 sends to the apparatus 103, a command for performing a security operation related to a type of security functionality associated with the terminal device 101, wherein an enabler module in the apparatus is configured to provide the type of security functionality. The reception unit 1620 receives a response to the command from the apparatus 103, wherein the response includes a result of the security operation.

[0119] A person of ordinary skill in the art may be aware that, in combination with units and algorithm steps of the examples described in the embodiments disclosed in this specification, this application may be implemented by electronic hardware or a combination of computer software and electronic hardware. Whether the functions are performed by hardware or software depends on particular applications and design constraint conditions of the technical solutions. A person skilled in the art may use different methods to implement the described functions for each particular application, but it should not be considered that the implementation goes beyond the scope of this application.

[0120] It may be clearly understood by a person skilled in the art that, for convenient and brief description, for a detailed working process of the foregoing system, apparatus, and unit, refer to a corresponding process in the foregoing method embodiments, and details are not described herein again.

[0121] In the several embodiments provided in this application, it should be understood that the disclosed system, apparatus, and method may be implemented in other manners. For example, the described apparatus embodiment is merely an example. For example, the unit division is merely logical function division and may be other division in actual implementation. For example, a plurality of units or components may be combined or integrated into another system, or some features may be ignored or not performed. In addition, the displayed or discussed mutual couplings or direct couplings or communication connections may be implemented by using some interfaces. The indirect couplings or communication connections between the apparatuses or units may be implemented in electronic, mechanical, or other forms.

[0122] The units described as separate parts may or may not be physically separate, and parts displayed as units may or may not be physical units, may be located in one position, or may be distributed on a plurality of network units. Some or all of the units may be selected based on actual requirements to achieve the objectives of the solutions of the embodiments.

[0123] In addition, functional units in the embodiments of this application may be integrated into one processing unit, or each of the units may exist alone physically, or two or more units are integrated into one unit.

[0124] When the functions are implemented in the form of a software functional unit and sold or used as an independent product, the functions may be stored in a computer-readable storage medium. Based on such an understanding, the technical solutions of this application essentially, or the part for improving conventional solutions, or some of the technical solutions may be implemented in a form of a software product. The software product is stored in a storage medium, and includes several instructions for instructing a computer device (which may be a personal computer, a server, or a network device) to perform all or some of the steps of the methods described in the embodiments of this application. The foregoing storage medium includes: any medium that can store program code, such as a USB flash drive, a removable hard disk, a read-only memory (Read-Only Memory, ROM) , a random access memory (Random Access Memory, RAM) , a magnetic disk, or an optical disc.

[0125] The foregoing descriptions are merely specific implementations of this application, but are not intended to limit the protection scope of this application. Any variation or  replacement readily figured out by a person skilled in the art within the technical scope disclosed in this application shall fall within the protection scope of this application. Therefore, the protection scope of this application shall be subject to the protection scope of the claims.

Claims

1.An apparatus comprising:at least one enabler module configured to provide at least one type of security functionality associated with a terminal device; anda management entity module configured to manage the at least one enabler module.2.The apparatus of claim 1, further comprising:at least one processor, configured to execute program instructions to implement the at least one enabler module and the management entity module.3.The apparatus of claim 1 or 2, wherein the at least one enabler module comprises at least one of:a first enabler module configured to support at least one encryption function;a second enabler module configured to support authorization;a third enabler module configured to support at least one blockchain function;a fourth enabler module configured to support at least one situational awareness function;a fifth enabler module configured to perform at least one attestation function; ora sixth enabler module configured to support at least one privacy preserving function.4.The apparatus of claim 3, wherein at least one of:the at least one encryption function comprises at least one of: a symmetric encryption algorithm, an asymmetric encryption algorithm, a homomorphic encryption, or a post-quantum cryptography (PQC) ;the at least one blockchain function comprises at least one of: smart contract deployment, transaction endorsement, transaction execution, consensus, transaction synchronization, block synchronization, or ledger storage;the at least one situational awareness function comprises at least one of: a situational awareness capability, a traffic monitoring, an asset monitoring, or a log collection;the at least one attestation function comprises at least one of: generating attestation information, verifying remote attestation information or endorsing the remote attestation information;the at least one privacy preserving function comprises at least one of: data masking, differential privacy, zero knowledge, multi-party computation, or user’s consent holding.5.The apparatus of any one of claims 1-4, further comprising at least one of:a trustworthiness association module configured to transfer and  / or parse at least one message between the security apparatus and at least one external entity;a flow-point module configured to perform at least one of invoking the at least one enabler module, or querying for at least one trusted root function from the trustworthiness association module; ora trustworthiness association protocol comprising at least one security protocol.6.The apparatus of claim 5, wherein the at least one security protocol comprises at least one of:hyper-text transfer protocol secure (HTTPS) , transport layer security (TLS) , internet protocol security (IPsec) , or communication network authentication protocols.7.The apparatus of any one of claims 1-6, wherein an enabler module among the at least one enabler module comprises at least one of:at least one function module configured to implement the functionality of the enabler module;a file structure configured to store information related to the enabler module; orat least one supplementary security domain (SSD) configured to store at least one of sensitive data, at least one credential, or at least one certificate of an application.8.The apparatus of any one of claims 1-7, further comprising:a master file (MF) and at least one elementary file (EF) ,wherein the file structure in the management entity module comprises the MF, andwherein the file structure in the enabler module comprises the EF.9.The apparatus of claim 8, wherein:the EF comprises a transparent file and a linear fixed file,at least one of the following items is stored in the transparent file: an apparatus identity, an IP address, a state of the apparatus, or a warning notification, andat least one of the following items is stored in the linear fixed file: at least one version vector, the at least one enabler module, at least one log, or monitoring information.10.The apparatus of any one of claims 1-9, wherein the apparatus comprises at least one of:a smart card, a universal integrated circuit card (UICC) , an embedded universal integrated circuit card (eUICC) , or a Secure UICC (SeeUICC) .11.The apparatus of any one of claims 1-10, wherein managing the at least one enabler module comprises at least one of:adding the enabler module, upgrading the enabler module, deleting the enabler module, or logging.12.The apparatus of any of claims 1-11, wherein the apparatus receives, from the terminal device, at least one command related to the at least one enabler module or the management entity module.13.The apparatus of claims 12, wherein the at least one command comprising at least one of:at least one enabler command configured to manage the at least one enabler module,at least one management command corresponding to the management entity module, orat least one enabler operation command configured to operate the at least one enabler module.14.The apparatus of claim 13, wherein the at least one enabler operation command comprises at least one of:a first enabler operation command corresponding to a privacy preserving enabler module operation,a second enabler operation command corresponding to an authorization enabler module operation,a third enabler operation command corresponding to an attestation enabler module operation,a fourth enabler operation command corresponding to a situational awareness enabler module operation, ora fifth enabler operation command corresponding to a blockchain enabler module operation.15.The apparatus of any one of claims 13-14, wherein the at least one enabler command comprises at least one of:a first enabler command configured to update at least one specific algorithm function in the enabler module,a second enabler command configured to add a new function to the enabler module,a third enabler command configured to delete a function in the enabler module,a fourth enabler command configured to disable the enabler module,a fifth enabler command configured to delete the enabler module, ora sixth enabler command configured to lock the enabler module.16.The apparatus of any one of claims 13-15, wherein the at least one management command comprises at least one of:a first management command configured to update the management entity module,a second management command configured to enable the apparatus, ora third management command configured to disable the apparatus.17.The apparatus of any one of claims 14-16, wherein the at least one enabler operation command comprises at least one of:a command configured to perform at least one privacy preserving algorithm based on user’s data,a command configured to perform at least one authorization function,a command configured to perform at least one attestation function,a command configured to perform data collection for a strategy module in the apparatus, wherein the strategy module comprises at least one of a traffic module, an asset module, or a log module,a command configured to perform at least one function related to a blockchain, wherein the at least one function related to the blockchain comprises at least one of the following:at least one consensus mechanism, transaction generation, or invocation of at least one smart contract.18.The apparatus of any one of claims 13-17, wherein the at least one command further comprising:a command configured to perform trustworthiness policy negotiation, ora command configured to request for at least one of a requirement tag, a capability tag, or a policy tag.19.A method, comprising:receiving, at an apparatus and from a terminal device, a command for performing a security operation related to a type of security functionality associated with the terminal device, andsending to the terminal device, a response to the command from the terminal device, wherein the response includes a result of the security functionality.20.The method of claim 19, further comprising:receiving, from a third-party application module at an enabler module in the apparatus, a request for performing the security operation related to the type of security functionality associated with the terminal device, wherein the enabler module is configured to provide the type of security functionality; andsending a result obtained by performing the security operation from the enabler module to the third-party application module.21.The method of any one of claims 19-20, wherein the security operation comprised at least one of:attestation, encryption, authorization, situational awareness, or privacy preserving.22.The method of claim 20 or 21, wherein the result is obtained based on an attestation evidence and an attestation certificate,in a case that the security operation is attestation.23.The method of any one of claims 19-22, wherein the command received at apparatus from the terminal device is an application protocol data unit (APDU) command, andthe APDU command comprises a verifier identifier.24.The method of any one of claims 20-23, wherein the request for performing the security operation from the third-party application to the enabler module comprises:an application identifier and a verifier identifier.25.A method comprising:sending, at a terminal device to an apparatus, a command for performing a security operation related to a type of security functionality associated with the terminal device, wherein an enabler module in the apparatus is configured to provide the type of security functionality; andreceiving a response to the command from the apparatus, wherein the response includes a result of the security operation.26.The method of claim 25, wherein the security functionality comprises at least one of:attestation, encryption, authorization, situational awareness, privacy preserving.27.An apparatus comprising:at least one processor, coupled to at least one memory storing programming instructions for execution by the at least one processor, when the programming instructions is executed by the at least one processor cause the apparatus to perform method of any one of claims 19-26.28.A system comprising an apparatus and a terminal device,the apparatus is configured to perform the method according to any one of the claims 19-24; andthe terminal device is configured to perform the method according to claim 25 or 26.29.A computer-readable storage medium having instructions stored thereon that, when executed by one or more processors of a device, cause the computing device to perform the method of any of claims 19-26.

Images