DE102009004490A1

DE102009004490A1 - Verfahren und System zur Authentifizierung von Netzknoten eines Peer-to-Peer Netzwerks

Info

Publication number: DE102009004490A1
Application number: DE102009004490A
Authority: DE
Inventors: Rainer Dr. Ing. Schatzmayr
Original assignee: T Mobile International AG
Current assignee: Deutsche Telekom AG
Priority date: 2009-01-09
Filing date: 2009-01-09
Publication date: 2010-07-15
Also published as: CA2749173A1; EP2377293A1; CN102282826A; KR20110103461A; US20110283337A1; BRPI0923951A2; JP2012514919A; WO2010078921A1

Abstract

Die vorliegende Erfindung betrifft ein System und ein Verfahren zur Authentifizierung eines in ein Peer-to-Peer Netzwerk (1) einfügbaren Netzknotens (2), dem eine eindeutige Kennung zugeordnet ist, die bei einem Zugangswunsch des Netzknotens (2) einer mit dem Netzwerk (1) verbundenen Authentifizierungseinrichtung (5) übermittelt und von dieser überprüft wird, wobei der Netzknoten (2) im Falle einer erfolgreichen Überprüfung in das Netzwerk (1) eingefügt wird. Die Authentifizierung wird durch einen Mobilfunknetzbetreiber (4) durchgeführt, wobei die Authentifizierungseinrichtung (5) Teil eines Mobilfunknetzes des Mobilfunknetzbetreibers (4) ist und die Kennung von einem Authentifizierungsmodul (AM) des Netzknotens (2) validiert und an die Authentifizierungseinrichtung (5) übermittelt wird.

Description

Die vorliegende Erfindung betrifft ein Verfahren und ein System zur Authentifizierung eines in ein Peer-to-Peer Netzwerk einfügbaren Netzknotens, dem eine eindeutige Kennung zugeordnet ist, die bei einem Zugangswunsch des Netzknotens einer mit dem Netzwerk verbundenen Authentifizierungseinrichtung übermittelt und von dieser überprüft wird, wobei der Netzknoten bei erfolgreicher Überprüfung in das Netzwerk eingefügt wird.
Peer-to-Peer (P2P) Netzwerke sind solche Netzwerke, bei denen gleichberechtigte Rechner, Peers genannt und vorliegend als Netzknoten bezeichnet, miteinander verknüpft sind. Sie ermöglichen eine Kommunikation unter ”Gleichgestellten” oder ”Gleichberechtigten” Netzknoten. Netzknoten können in einem Peer-to-Peer Netzwerk sowohl Dienste in Anspruch nehmen und damit als Arbeitsstationen genutzt werden, als auch Dienste anbieten, d. h. Aufgaben im Netz übernehmen. Die Peer-to-Peer Netzarchitektur stellt somit das Gegenteil zur Client-Server Netzarchitektur dar, wobei die physische Netzinfrastruktur auf denjenigen herkömmlicher Netzwerke wie Intranets (Local Area Netzworks, LANs) oder dem Internet (World Area Networks, WANs) basiert. Verwendet werden Peer-to-Peer Architekturen insbesondere für den Datenaustausch, da jeder Netzknoten auf bestimmte freigegebene Daten eines anderen Netzknotens zugreifen kann. Dies wird auch als ”File-Sharing” bezeichnet.
In einem Peer-to-Peer Netzwerk ist jedem Netzknoten eine eindeutige Kennung zugeordnet, die eine Identifizierung im Netz ermöglicht. Einige Peer-to-Peer Netzwerke administrieren die Vergabe neuer Kennungen und die Authentifizierung der Netzknoten anhand der Kennung durch einen zentralen Server. Sobald ein neuer Netzknoten in das Peer-to-Peer Netzwerk eingegliedert werden möchte, wir eine entsprechende eindeutige Kennung vergeben. In der Regel wird ein Benutzer nach der Installation einer Peer-to-Peer Software aufgefordert, eine neue Kennung und ein damit verbundenes Passwort anzulegen, um Zugang zu dem Peer-to-Peer Netzwerk zu erhalten. Alternativ ist es bekannt, Kennung und Passwort via E-Mail dem Benutzer zukommen zu lassen.
Sofern der Benutzer Zugang zum Netzwerk erhalten möchte, stellt er seine Kennung und sein Passwort einem Authentifizierungsserver bereit, welcher die Identität des Benutzers, d. h. des Netzknotens validiert, durch den der Benutzer Zugang erhalten möchte. Der Benutzer ist lediglich dann berechtigt, über das Netzwerk zu kommunizieren, wenn die Authentifizierung erfolgreich verlaufen ist. Ein derartiger Authentifizierungsmechanismus ist sicherheitsbedenklich und gewährleistet keine Kompatibilität zu anderen Peer-to-Peer Netzwerken.
Peer-to-Peer Netzwerke könne dazu verwendet werden, Telefonverbindungen aufzubauen. Eine Peer-to-Peer Telefonverbindung zwischen zwei oder mehr Netzknoten kann nur dann etabliert werden, wenn der/die Kontakte der Kommunikationspartner bekannt sind, beispielsweise in Gestalt einer Internetadresse (IP-Adresse, Internet Protocol) oder eines unterscheidbaren Namens, beispielsweise in Form einer E-Mail Adresse wie me@myself.com. Die Verwendung der Peer-to-Peer Technologie für Telefondienste basiert auf einheitlichen Kennungen, d. h. auf Kennungen die jeweils Unikate innerhalb des Netzwerks sind. Derartige Kennungen können dazu verwendet werden, den Kommunikationspartner (Kontakt) innerhalb des Netzwerks zu finden. Die Kennungen besitzen eine vergleichsweise komplexe Form. Die Form beeinflusst die Effektivität und die Struktur der Routingmechanismen innerhalb des Peer-to-Peer basierten Telefonnetzwerks. Beispielsweise verwenden zahlreiche verteilte Hashtabellen (Distributed Hash Tables, DHT) 160 Bit Adressen, um einem einheitlichen Endpunkt zu definieren, d. h. Datenobjekte oder Knoten in einem Peer-to-Peer Netzwerk aufzufinden.
Aufgabe der Erfindung ist es daher, ein einfaches und effektives Verfahren zur Authentifizierung eines in ein Peer-to-Peer Netzwerk einfügbaren Netzknotens bereitzustellen, das hohen Sicherheitsanforderungen gerecht wird und eine Kompatibilität anderen Peer-to-Peer Netzwerken ermöglicht.
Diese Aufgabe wird durch die Merkmale des Verfahrens gemäß Anspruch 1 sowie durch ein System mit den Merkmalen des Anspruchs 7 gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den jeweiligen Unteransprüchen formuliert und werden nachfolgend erläutert.
Erfindungsgemäß wird ein Verfahren zur Authentifizierung eines in ein Peer-to-Peer Netzwerk einfügbaren Netzknotens vorgeschlagen, dem eine eindeutige Kennung zugeordnet ist, die bei einem Zugangswunsch des Netzknotens einer mit dem Netzwerk verbundenen Authentifizierungseinrichtung übermittelt und von dieser überprüft wird, so dass der Netzknoten im Falle einer erfolgreichen Überprüfung in das Netzwerk eingefügt wird, wobei die Authentifizierung durch einen Mobilfunknetzbetreiber durchgeführt wird, die Authentifizierungseinrichtung Teil eines Mobilfunknetzes des Mobilfunknetzbetreibers ist und die Kennung von einem Authentifizierungsmodul des Netzknotens validiert und an die Authentifizierungseinrichtung übermittelt wird.
Die Grundidee der vorliegenden Erfindung liegt darin, die Infrastruktur eines Mobilfunknetzwerks zur Authentifizierung eines Netzknotens eines Peer-to-Peer Netzwerks zu nutzen, um den Netzknoten gegenüber dem Netzwerk und gegenüber den übrigen Netzknoten zu identifizieren und seine Identität zu bestätigen.
Vorzugsweise kann als Kennung eine Mobilfunkrufnummer verwendet werden. Die Mobilfunkrufnummer, auch MSISDN (Mobile Subscriber Integrated Services Digital Network Number) genannt, stellt eine eindeutige, wohl etablierte Kennung dar, mit der ein Benutzer gegenüber Anderen zuverlässig und sicher identifizierbar ist. Eine derartige Kennung besteht ausschließlich aus Zahlen zwischen 0 und 9 und gewährleistet eine schnelle und effiziente Authentifizierung.
Die Kennung kann in einem separaten Speichermodul gehalten werden, das vom Mobilfunkanbieter oder einem Peer-to-Peer Netzwerkanbieter bereitgestellt und mit dem Netzknoten in Verbindung gebracht wird. Das Speichermodul ist dabei eine von dem üblichen Festplattenspeicher, Arbeits- oder temporären Zwischenspeicher des Netzknotens separate Speichereinheit. Sie kann in der Gestalt eines Chips ausgebildet sein, beispielsweise als SIM-Karte (Subscriber Identification Module), USIM (Universal Subscriber Identification Module) oder als Smartcard. Eine entsprechende Leseeinrichtung zum Lesen der auf dem Speichermodul hinterlegten Daten kann in dem Netzknoten integriert oder über ein Kabel mit dem Netzknoten in Verbindung gebracht werden. Die Kennung wird damit lokal beim Benutzer hinterlegt, so dass ein Höchstmaß an Sicherheit erreicht wird. Ein fremder Zugriff auf das Peer-to-Peer Netzwerk allein aufgrund der Kenntnis der Zugangsdaten kann dadurch vermieden werden.
Sofern der Netzknoten mit einem anderen Netzknoten kommunizieren und hierzu in das Netzwerk eingegliedert werden möchte, kann die Kennung des Netzknotens über das Mobilfunknetz oder das Peer-to-Peer Netzwerk an die Authentifizierungseinrichtung übermittelt werden, die den Netzknoten anschließend authentifiziert.
Die Bereitstellung der Kennung kann vom Mobilfunknetzbetreiber erfolgen. Alternativ kann die Kennung von einem Peer-to-Peer Dienstanbieter bereitgestellt werden, der die Kennung anschließend dem Mobilfunknetzbetreiber zur Verfügung stellt.
Die bereitgestellte Kennung kann über das Mobilfunknetz an den Netzknoten übertragen und dort in dem Speichermodul hinterlegt werden. Alternativ kann die Kennung auch vom Mobilfunknetzbetreiber direkt auf dem Speichermodul hinterlegt und samt Speichermodul dem Netzknoten bereitgestellt werden.
Des Weiteren wird ein System vorgeschlagen, umfassend ein Peer-to-Peer Netzwerk, einen in das Netzwerk einfügbaren Netzknoten, dem eine eindeutige Kennung zugeordnet ist, und mit einer Authentifizierungseinrichtung, die mit dem Netzwerk verbunden ist, wobei die Kennung bei einem Zugangswunsch des Netzknotens der Authentifizierungseinrichtung übermittelbar und von dieser überprüfbar ist, die Authentifizierungseinrichtung Teil eines Mobilfunknetzes eines Mobilfunknetzbetreibers ist und der Netzknoten ein Authentifizierungsmodul zur Kommunikation mit der Authentifizierungseinrichtung aufweist.
Der Netzknoten kann – wie bereits beschrieben – ein separates Speichermodul aufweisen, das mit dem Authentifizierungsmodul in Verbindung steht und in dem die Kennung hinterlegt oder hinterlegbar ist.
Das Speichermodul kann eine SIM-Karte, USIM-Karte, ein TPM-Chip (Trusted Platform Module) oder eine Smartcard sein.
Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels und der beigefügten Figur näher erläutert.
Die Figur zeigt eine schematische Darstellung eines Systems zur Durchführung des erfindungsgemäßen Verfahrens. Es umfasst ein Peer-to-Peer Netzwerk 1 mit mehreren Netzknoten 3 und einem weiteren, in das Netzwerk einfügbaren Netzknoten 2, dem eine eindeutige, in einem Speichermodul SM hinterlegte Kennung zugeordnet ist und der ein Authentifizierungsmodul AM zur Kommunikation mit einer Authentifizierungseinrichtung 5 aufweist. Die Authentifizierungseinrichtung 5 ist über eine entsprechende Schnittstelle mit dem Netzwerk 1 verbunden und ist Teil eines Mobilfunknetzes eines Mobilfunknetzbetreibers 4.
In Peer-to-Peer Netzwerken ist die Benutzung von Kennungen zu ihrer Identifizierung gegenüber dem Netzwerk und den übrigen Netzknoten eine besondere Herausforderung. Eine Kennung muss von einer vertrauensvollen Autorität, einem so genannten ”Trusted Identity Provider”, zur Verfügung gestellt und authentifiziert werden, damit eine vertrauenswürdige Verbindung zwischen Netzknoten hergestellt werden kann. Durch die Verwendung der Infrastruktur eines Mobilfunknetzes, einschließlich der SIM-Karte oder eines Chips wie ein ”Trusted Platform Module” und der Authentifizierungsmechanismen eines Mobilfunkendgeräts und des Mobilfunknetzwerks, kann dies auf einfache und effektive Weise bereitgestellt werden.
Mobilfunknetzwerke wie GSM Netzwerke (Global System for Mobile Communications) haben einen besonders sicheren Weg zur Authentifizierung der Mobilfunkteilnehmer entwickelt. Die Kennung der Benutzer ist ihre jeweilige MSISDN, d. h. ihre Mobilfunkrufnummer, mit der sie weltweit eindeutig identifizierbar sind. Die Netzwerkbetreiber derartiger Mobilfunknetze stellen die Kennungen zusammen mit der SIM-Karte bereit. Zusätzlich enthalten die SIM-Karten einen Schlüssel, der zur Authentifizierung der mit der SIM-Karte bereitgestellten Kennung verwendet wird. Die SIM-Karte ist als vertrauensvoller Mechanismus zur Identifizierung und Authentifizierung von Benutzern gegenüber dem Telekommunikationsnetzwerk anerkannt und etabliert.
Die Kennung für einen Netzknoten 2 wird erfindungsgemäß entweder vom Mobilfunknetzwerkbetreiber 4 oder von einem externen Peer-to-Peer Dienstanbieter 6 entworfen. Sofern die Kennung von dem Peer-to-Peer Dienstanbieter 6 entworfen wird, wird sie dem Mobilfunknetzwerkbetreiber 4 zugesandt.
Nach dem Entwerfen der Kennung wird sie dem Netzknoten 2 bereitgestellt, so dass sie zur Identifikation des Netzknotens 2 in dem Peer-to-Peer Netzwerk 1 verwendet werden kann. Lediglich eine autorisierte Kennung kann zur Identifikation von Netzknoten 2 verwendet werden, die mit anderen Netzknoten 3 kommunizieren möchten.
Die Bereitstellung der Kennung kann auf verschiedene Arten erfolgen. Ein erster Weg ist in der Figur mit Pfeil A gekennzeichnet und umfasst die Speicherung der Kennung als zusätzlicher Parameter auf einem neuen Speichermodul SM, das anschließend physisch zu dem Netzknoten 2 geschickt wird. Ein zweiter Weg ist in der Figur mit Pfeil B gekennzeichnet und umfasst die Übermittlung der Kennung über das Mobilfunknetz des Mobilfunkanbieters 4 zum Netzknoten 2. Dieser speichert die Kennung anschließend in dem Speichermodul SM. Das Speichermodul für die Netzknotenkennung kann beispielsweise eine SIM-Karte oder ein Chipsatz wie ein TPM ”Trusted Platform Module” sein.
Sofern ein Anwender mit einem anderen Anwender des Peer-to-Peer Netzwerks 1 kommunizieren möchte, muss der Netzknoten 2, den er benutzt, in das Netzwerk 1 eingegliedert werden. Ein Netzknoten 2 wird durch seine Kennung identifiziert, die ihm wie zuvor beschrieben, bereitgestellt wird.
Um in das Netzwerk 1 eingefügt zu werden, muss sich der Netzknoten 2 gegenüber der Authentifizierungsinfrastruktur des Mobilfunknetzbetreibers 4 authentifizieren.
Dies kann durch die erneute Verwendung der Authentifizierungsmechanismen des Mobilfunknetzbetreibers 4 erfolgen.
Die Authentifizierungsmechanismen des Mobilfunknetzbetreibers 4 werden dazu verwendet, die in dem Speichermodul SM hinterlegte Kennung zu validieren, d. h. deren Gültigkeit zu prüfen. Dies erfolgt durch den Netzknoten 2 mittels des Authentifizierungsmoduls AM, in der Figur mit Pfeil C angedeutet. Die Validierung wird durch Anwendung der Authentifizierungsmechanismen unter der Kontrolle des Mobilfunkbetreibers 4 durchgeführt. Derartige Mechanismen machen Gebrauch von dem Authentifizierungsmodul AM, das erfindungsgemäß in jedem Netzknoten 2, 3 enthalten ist. Das Authentifizierungsmodul AM führt die Authentifizierung der Kennung respektive des Netzknotens 2 durch, indem es mit der zentralen Authentifizierungseinrichtung 5 der Authentifizierungsinfrastruktur des Mobilfunknetzbetreibers 4 kommuniziert. Dies ist in der Figur durch Pfeil D dargestellt.
Wenn die Authentifizierungsprozedur erfolgreich ist, wird der Netzknoten 2 in das Peer-to-Peer Netzwerk 1 korrekt eingefügt und kann Kontakte zu anderen Netzknoten 3 aufbauen. Wenn die Authentifizierung dagegen misslingt, ist der Netzknoten 2 nicht berechtigt, mit anderen Netzknoten 3 innerhalb des Netzwerks 1 zu kommunizieren.

Claims

Verfahren zur Authentifizierung eines in ein Peer-to-Peer Netzwerk (1) einfügbaren Netzknotens (2), dem eine eindeutige Kennung zugeordnet ist, die bei einem Zugangswunsch des Netzknotens (2) einer mit dem Netzwerk (1) verbundenen Authentifizierungseinrichtung (5) übermittelt und von dieser überprüft wird, wobei der Netzknoten (2) im Falle einer erfolgreichen Überprüfung in das Netzwerk (1) eingefügt wird, dadurch gekennzeichnet, dass die Authentifizierung durch einen Mobilfunknetzbetreiber (4) durchgeführt wird, wobei die Authentifizierungseinrichtung (5) Teil eines Mobilfunknetzes des Mobilfunknetzbetreibers (4) ist und die Kennung von einem Authentifizierungsmodul (AM) des Netzknotens (2) validiert und an die Authentifizierungseinrichtung (5) übermittelt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass als Kennung eine Mobilfunkrufnummer verwendet wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Kennung in einem separaten Speichermodul (SM) gehalten wird, das vom Mobilfunkanbieter (4) oder einem Peer-to-Peer Netzwerkanbieter bereitgestellt wird und mit dem Netzknoten (2) in Verbindung gebracht wird.
Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Kennung vom Netzknoten (2) über das Mobilfunknetz oder das Peer-to-Peer Netzwerk (1) an die Authentifizierungseinrichtung (5) übermittelt wird.
Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Bereitstellung der Kennung vom Mobilfunknetzbetreiber (4) erfolgt.
Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Kennung zu ihrer Bereitstellung über das Mobilfunknetz an den Netzknoten (2) übertragen wird und dort in dem Speichermodul hinterlegt wird.
System umfassend ein Peer-to-Peer Netzwerk (1), einem in das Netzwerk (1) einfügbaren Netzknoten (2), dem eine eindeutige Kennung zugeordnet ist, und mit einer Authentifizierungseinrichtung (5), die mit dem Netzwerk (1) verbunden ist, wobei die Kennung bei einem Zugangswunsch der Authentifizierungseinrichtung (5) übermittelbar ist und von dieser überprüfbar ist, dadurch gekennzeichnet, dass die Authentifizierungseinrichtung (5) Teil eines Mobilfunknetzes eines Mobilfunknetzbetreibers (4) ist und der Netzknoten (2) ein Authentifizierungsmodul (AM) zur Kommunikation mit der Authentifizierungseinrichtung (5) aufweist.
System nach Anspruch 7, dadurch gekennzeichnet, dass der Netzknoten (2) ein separates Speichermodul (SM) aufweist, das mit dem Authentifizierungsmodul in Verbindung steht und in dem die Kennung hinterlegt oder hinterlegbar ist.
System nach Anspruch 8, dadurch gekennzeichnet, dass das Speichermodul (SM) eine SIM-Karte, USIM-Karte, ein TPM-Chip oder eine Smartcard ist.