DE69733574T2

DE69733574T2 - Authentifizierung zwischen kommunikationspartnern in einem telekommunikationsnetzwerk

Info

Publication number: DE69733574T2
Application number: DE69733574T
Authority: DE
Inventors: Jari Juopperi
Original assignee: Nokia Oyj; Nokia Inc
Current assignee: Nokia Oyj; Nokia Inc
Priority date: 1996-12-10
Filing date: 1997-12-08
Publication date: 2006-05-18
Anticipated expiration: 2017-12-09
Also published as: CA2274472A1; ATE298155T1; WO1998026538A1; EP0963636B1; FI964926L; DE69733574D1; JP2001505749A; FI107367B; FI964926A0; AU5190898A; EP0963636A1

Description

Gebiet der Erfindung
Diese Erfindung betrifft eine Entstehung einer Datenübertragung in einem Mehrfachzugangsnetzwerk, wobei die Endgerätevorrichtung unter Verwendung eines gemeinsamen Zugangskanals, der für alle Endgerätvorrichtungen bestimmt ist, von dem Netzwerk einen Kanal für sich selbst anfordert, und wobei das Netzwerk in Erwiderung auf die Anforderung auf einem gemeinsamen Zugangsbewilligungskanal, der für alle Endgerätevorrichtungen bestimmt ist, der Endgerätevorrichtung denjenigen Kanal bekannt macht, auf dem eine eigentliche Informationsübertragung erfolgen wird.
Hintergrund der Erfindung
Es ist ein allgemeines Prinzip bei Mehrfachzugang verwendenden Telekommunikationsnetzwerken, dass die Endgerätevorrichtung zur Nutzung von Diensten des Netzwerks das Netzwerk zuerst durch Verwendung eines gewissen Uplink- bzw. Aufwärtsstreckenzugangsverfahrens über sein Begehren informieren muss, Zugang zu dem Netzwerk zu erlangen. Dies erfolgt so, dass z.B. ein spezieller Kanal im Netzwerk als ein gemeinsamer Kanal für alle Endgerätevorrichtungen reserviert wird, die eine Anforderung auf diesem Kanal senden, um einen Dienst zu erhalten. Abhängig vom Netzwerk kann diese Anforderung einfach eine Anforderung enthalten, einen Kanal für eine Zweiwege-Datenübertragung zu bekommen, oder sie kann Informationen darüber enthalten, welcher besondere Dienst gewünscht ist, und möglicherweise auch Informationen über die gewünschte Kanalkapazität. Der Kanal kann ein Datenstromtyp- oder ein Paketkanal sein. Die Anforderungen weiterleitende Schicht wird gemäß dem OSI-Modell Medienzugangssteuerung-Teilschicht (MAC-Schicht) genannt und sie verwendet Dienste der physikalischen Schicht, um Dienste für die Steuerschicht der logischen Verbindung zu erzeugen.
Bei zellularen Netzwerken mit zeitüberlappendem Mehrfachzugang ist ein Kanal festgesetzt, auf dem alle Mobilstationen beim Bilden von einem Mobilgerät abgehender Rufe eine Anforderung für einen Verkehrskanal vom Netzwerk senden. Die Anforderung, die über den Funkpfad an die Basisstation und von dieser entlang eines Kabels an die Basisstationssteuerung weitergeleitet wird, enthält die Kennung IMSI der Mobilstation, so dass die Basisstationssteuerung weiß, von wem die Anforderung gekommen ist. Bei einem GSM-System wird ein solcher von allen verwendeter Kanal Zufallszugangskanal (RACH: „Random Access Channel") genannt. Sollten Kollisionen zwischen Anforderungen auf dem Kanal auftreten, wird die Mobilstation nach einem Augenblick erneut einen Versuch unternehmen, bis die Anforderung empfangen wird. Das Netzwerk sendet Bestätigungen bzw. Quittungen der Anforderungen an die Mobilstationen auf einem Kanal, den alle Mobilstationen abhören. Bei einem GSM-System wird dieser Kanal Zugangsbewilligungskanal (AGCH: „Access Grant Channel") genannt: die Bestätigung bzw. Quittung enthält die Kennung der Mobilstation, mittels der die Mobilstation weiß, dass die Nachricht für sie selbst bestimmt ist, sowie die Nummer des Kanals, der von dem Netzwerk als ein Verkehrskanal zugewiesen ist.
Ein Zugang in Übereinstimmung mit dem MAC-Protokoll wird auch bei interaktiven Kabel-TV-Systemen verwendet, bei denen ein gewünschter audiovisueller Dienst über ein Festnetzwerk an mehrere Abnehmer bzw. Empfänger übermittelt werden kann. Der physikalische Übermittlungspfad kann ein Koaxialkabel und/oder ein optisches Kabel oder ein Funknetzwerk sein, oder die Verteilung kann über einen Satelliten erfolgen. Bei dem System wird mit dem Namen Kopfstelle eine zentrale Stelle bezeichnet, wo ein ankommender Versand auf mehrere physikalische Signalpfade wie etwa mehrere Lichtleitfasern aufgeteilt wird, mittels derer der Versand näher zu den Verbrauchern gebracht wird. Bei den Systemen kann eine Übertragung sowohl in Downlink- bzw. Abwärtsstreckenrichtung als auch in Uplink- bzw. Aufwärtsstreckenrichtung in Zeitschlitzen erfolgen, die von Null beginnend und mit einer beliebigen max-Zahl endend nummeriert sind, nach der die Nummerierung erneut beginnt. Die Zeitschlitze 0, ..., max bilden einen Rahmen. Für Endgeräte, die in der Lage sein sollen, Informationen aufwärts zu senden, kann ein derartiger Kanal in der Aufwärtsstreckenrichtung verwendet werden, bei der die Zugangsform ALOHA ist, wobei alle Teilnehmer Anforderungen in jedem beliebigen Zeitschlitz senden können. Das Netzwerk bestätigt bzw. quittiert eine erfolgreiche Übertragung mittels Echoüberprüfung auf einem Abwärtsstreckenkanal. In der Aufwärtsstreckenrichtung kann wahlweise nur ein bestimmter Zeitschlitz zum Senden von Anforderungen verwendet werden. Dies stellt einen Schlitz-ALOHA-Zugangstyp dar. Es ist auch bei diesen Systemen für das Endgerät wesentlich, seine Bezeichner in seiner Zugangsnachricht einzubinden, so dass die Kopfstelle wissen kann, wer die Anforderung gesendet hat.
Gemäß 1 ist es für Systeme des beschriebenen Typs charakteristisch, dass, wenn mehrere Endgerätevorrichtungen A mit einem Netzwerk B kommunizieren möchten, sie auf einem gemeinsamen Kanal U einen privaten Kanal anfordern. Die Anforderungsnachricht enthält die Kennung von Anforderer A. Das Netzwerkelement kann eine Authentisierung des Anforderers durchführen und, falls die Sache in Ordnung geht, wird es einen privaten Kanal T für den Anforderer zuweisen und Informationen über den Kanal entweder auf dem gleichen gemeinsamen Kanal U oder auf einem anderen gemeinsamen Rückleitungskanal D senden. Die Informationen enthalten die Kennung von Anforderer A. A empfängt die Nachricht und beginnt damit, auf dem zugewiesenen Kanal T zu kommunizieren.
2 zeigt einen Austausch von Nachrichten, die bei einem bekannten GSM-Mobiltelefonsystem beim Netzwerkzugang verwendet werden. Möchte eine Mobilstation einen Ruf bilden, sendet sie auf einem einseitigen (Aufwärtsstreckenrichtungs-) Zufallszugangskanal (RACH) eine Kanalanforderung an die Basisstation, um einen Verkehrskanal (TCH: „Traffic Channel") zu ihrer Verfügung zu bekommen (Schritt 211). Die Anforderung enthält eine 5 Bit-Zufallszahl, die zunächst als die Kennung der Mobilstation fungiert. Die Basisstation empfängt die Anforderung (Schritt 213), und leitet sie an die Basisstationssteuerung weiter, die einen freien Kanal auswählt, diesen an der Basisstation aktiviert (Schritt 212) und dann eine Sofortige Zuordnung bildet, die die Basisstation auf einem Funkruf- und Zugangsbewilligungskanal (PAGCH: „Paging and Access Grant Channel") an die Mobilstation sendet (Schritt 214). Die Zuordnung enthält eine Beschreibung des zugewiesenen Kanals, einen voreingestellten Zeitsteuerungswert, den zu verwendenden Sendeleistungswert und die gleiche 5 Bit-Zufallszahl, die von der Mobilstation gesendet wurde, und auch die Zeitschlitznummer, mit der die Basisstation die Kanalanforderung empfangen hat. Mit diesen Informationen ist die Mobilstation in der Lage, die für sie selbst bestimmte Nachricht zu unterscheiden bzw. zu erkennen und wird den zugewiesenen Verkehrskanal erfahren (Schritt 215).
Die Mobilstation signalisiert dann die Verbindungsschicht-Anfangsnachricht, die den SABM-Rahmen enthält, auf dem Verkehrskanal an die Basisstation. In dieser Nachricht nennt die Mobilstation ihre Kennung IMSI ("International Mobile Subscriber Identity": Internationale Mobilteilnehmerkennung) oder ihre temporäre Mobilteilnehmerkennung (TMSI: "Temporary Mobile Subscriber Identity") (Schritt 224). Die Basisstation empfängt die Nachricht (Schritt 226) und bestätigt sie mit einer Antwortnachricht, deren UA-Rahmen die Kennung der Mobilstation enthält (Schritt 228). Die Mobilstation vergleicht ihre eigene Kennung mit der empfangenen Kennung (Schritt 223), und falls die Kennungen gleich bzw. gleichartig sind, wird sie wissen, dass der Verkehrskanal für sie selbst reserviert ist.
Bevor ein Betrieb bzw. Vorgang begonnen wird, wird auch eine Authentisierung auf dem Prinzip durchgeführt, dass das Netzwerk eine Frage an die Mobilstation richtet, auf die nur die richtige Mobilstation die Antwort wissen wird. Die Authentisierung basiert auf einem Authentisierungsalgorithmus A3 und auf einem Teilnehmerspezifischen Authentisierungsschlüssel K_i. Im früheren Abschnitt einer Authentisierung sendet die Authentisierungsstelle AuC eine Frage an die Mobilstation, welche eine Zufallszahl RAND ist. Die Mobilstation empfängt die RAND, übermittelt sie an die SIM-Karte, die mit deren Hilfe und mit der Hilfe des Teilnehmer-spezifischen Schlüssels K_i den A3-Algorithmus auf der Karte durchführt. Das signierte Resultat (SRES) wird von der Mobilstation an das Netzwerk gesendet. Die Authentisierungsstelle AuC vergleicht den SRES-Wert mit dem Wert, den sie selbst unter Verwendung des gleichen A3-Algorithmus, der gleichen RAND und des gleichen Schlüssels K_i berechnet hat. Sind die SRESs identisch, ist die Authentisierung gebilligt, andernfalls wird dem Teilnehmer ein Zugang zu dem Netzwerk versagt. Die Mobilstation verwendet die empfangenen RAND- und K_i-Werte auch zum Berechnen eines verbindungsspezifischen Verschlüsselungsschlüssels Kc. Im Netzwerk führt die Authentisierungsstelle AuC den gleichen Algorithmus mit den gleichen Werten durch, was folglich zu dem gleichen Verschlüsselungsschlüssel führt. Beide speichern den Schlüssel in einen Speicher und die Mobilstation sendet den Schlüssel zusätzlich an die Authentisierungsstelle AuC, die ihn überprüft, um sicherzustellen, dass beide die gleichen Schlüssel verwenden.
Es ist ein nennenswertes Merkmal bei dem gemäß 2 gezeigten Prozess, dass die Mobilstation ihre eigene Kennung an das Netzwerk gesendet hat, bevor sie völlig sicher ist, dass der Verkehrskanal an sie selbst und an niemanden sonst zugewiesen ist.
Bei bekannten Systemen des gemäß 1 gezeigten Typs wird als gegeben angenommen, dass die Zugang anfordernde Partei A selbstverständlich weiß, dass Netzwerkelemente B genau das ist, von dem A ausgeht, dass es ist, und dass Netzwerkelement B nicht bezweifeln wird, dass die das empfangene Symbol verwendende Endgerätevorrichtung Endgerätevorrichtung A ist.
Bei diesen Systemen besteht ein Problem darin, dass das Netzwerk die Authentisierung immer durchführt. Es ist hiermit für einen Dritten möglich, zwischen die identifizierende Partei und die zu identifizierende zu kommen, um die ersten Nachrichten abzuhören bzw. zu belauschen und sich selbst an die Stelle der anderen Partei zu stellen. Dies ist insbesondere dann möglich, wenn ein Teil des Übertragungspfads zwischen A und B ein Funkpfad ist, was bei Mobiltelefonnetzwerken der Fall ist, aber bei Festnetzwerken kann sich ein Dritter gleichermaßen an die Leitung anschließen und den Verkehr abhören bzw. belauschen. Es ist hiermit für den Dritten möglich, eine von Endgerätevorrichtung A gesendete Kanalanforderungsnachricht zu erbeuten und aus dieser die Anforderung und vor allem die Kennung von A auszuwerten. Er wird dann auf die eine oder andere Art und Weise Endgerätevorrichtung A eliminieren und ihren Platz einnehmen. Er empfängt dann die vom Netzwerkelement gesendete Kanalzuweisungsnachricht, verbindet sich mit dem Kanal, wobei er vorgibt, Endgerätevorrichtung A zu sein, und erlangt so Zugang zu dem Netzwerk. Für Netzwerkelement B gibt es keine Möglichkeit zu wissen, dass es anstelle der authentischen bzw. echten Endgerätevorrichtung A mit einem Dritten kommuniziert.
Es ist auch für Netzwerkelement B möglich, der Betrüger bzw. Schwindler zu sein. Hierbei übergibt Endgerätevorrichtung A, wenn sie Kontakt zu Netzwerkelement B aufnimmt, in der ersten Nachricht sofort ihre Kennungsdaten. B weiß somit, wer A ist, aber A weiß nicht, dass B nur vorgibt, B zu sein. Eine derartige Situation ist z.B. bei Mobilstationsnetzwerken möglich, wobei eine "falsche" Basisstation den Platz der authentischen bzw. echten einnehmen und dadurch den Funkverkehr abhören und kontrollieren kann.
Die Patentveröffentlichung EP-0 651 533 A2 offenbart ein Verfahren und eine Vorrichtung für Geheimhaltung bzw. Datenschutz und Authentisierung in einem drahtlosen Mobilfunknetzwerk. Die EP-0 651 533 A2 verwendet Zertifikate einschließlich öffentlicher Schlüssel nebst privaten Schlüsseln eines Mobilgeräts und einer Basisstation.
Mit Systemen gemäß dem Stand der Technik ist es nicht möglich, Situationen wie die vorstehend beschriebenen zu verhindern. Die Erfindung zielt daher auf ein Verfahren ab, mittels dem es möglich ist, die beschriebenen Situationen zu verhindern, und insbesondere auf einen derartigen Fall, bei dem die Endgerätevorrichtung ihre Kennung niemals an irgendeinen Dritten offenbart, der den Verkehr zwischen der Endgerätevorrichtung und dem Netzwerkelement abhört bzw. belauscht, und bei der die Endgerätevorrichtung ihre Kennung nur dann offenbaren wird, wenn sie sicher ist, dass das Netzwerkelement wirklich dasjenige ist, das es selbst erklärt zu sein, wodurch das Netzwerkelement, wenn es ein Betrüger bzw. Schwindler ist, niemals die wahre Kennung der Endgerätevorrichtung kennen wird.
Das Verfahren gemäß der Erfindung ist durch die in den unabhängigen Ansprüchen definierter Merkmale gekennzeichnet.
Kurze Übersicht der Erfindung
Das vorgeschlagene Verfahren beruht auf der Tatsache, dass das Festlegungsprotokoll eine aus der Kryptografie bekannte (verbindliche) Bitfestlegung und einen geteilten bzw. gemeinsamen Verschlüsselungsschlüssel anwendet, und dass eine Authentisierung in zwei aufgeteilt wird, wobei ein Teil der Authentisierung von der Endgerätevorrichtung vorgenommen wird und der andere Teil vom Netzwerk vorgenommen wird. Die Endgerätevorrichtung stellt zunächst sicher, dass das Netzwerkelement authentisch ist, indem eine Authentisierung des Netzwerkelements durchgeführt wird. In diesem Zusammenhang wird das Netzwerkelement seine eigene Kennung offenbaren. Dann gibt die Endgerätevorrichtung dem Netzwerkelement ihre eigene Kennung preis, indem die notwendigen Informationen auf einem geschützten Kanal gesendet werden. Schließlich authentisiert das Netzwerkelement die Endgerätevorrichtung durch Verwendung der Kennungsinformationen, die sie offenbart hat. Erst danach kann Verkehr begonnen werden.
Die Zugang anfordernde Endgerätevorrichtung erzeugt im Festlegungsprotokoll zuerst eine Pseudokennung für sich selbst, die sie durch Anwenden einer einseitigen Hash-Funktion auf ihre richtige Kennung bildet. Die Hash-Funktion wird nicht auf die Kennung an sich angewandt, sondern die richtige Kennung wird zuerst verschlüsselt. Dadurch kann das Netzwerk oder das Netzwerkelement bei Empfang der Pseudokennung die richtige Kennung nicht ohne den Code kennen lernen. Hat das Netzwerkelement der Endgerätevorrichtung den Verkehrskanal genannt, von der es in diesem Stadium nur die Pseudokennung kennt, wird die Endgerätevorrichtung ihre eigene Sicherheitsschlüsselhälfte erzeugen, das heißt, den ersten Teilschlüssel, und wird diesen an das Netzwerk senden. Bei Empfang des Teilschlüssels wird das Netzwerkelement ebenfalls seine eigene Sicherheitsschlüsselhälfte bilden, das heißt, den zweiten Teilschlüssel. Es sendet diesen an die Endgerätevorrichtung der Pseudokennung, wodurch beide Parteien in diesem Stadium beide Teilschlüssel in ihrem Besitz haben werden.
Die Endgerätevorrichtung überprüft, ob die vom Netzwerkelement empfangene Pseudokennung und die Pseudokennung, die sie vorher selbst gebildet hat, identisch sind, und falls sie das sind, wird sie eine Authentisierung des Netzwerkelements auf eine bekannte Art und Weise durchführen.
Nach der Authentisierung hat das Netzwerkelement sich selbst der Endgerätevorrichtung preisgegeben, aber die tatsächliche Kennung der Endgerätevorrichtung ist immer noch nur der Endgerätevorrichtung bekannt. Das Netzwerkelement wird die tatsächliche Kennung nicht kennen lernen, bis ihm die Endgerätevorrichtung Informationen darüber gesendet hat, wie die wahre Kennung vor der Verwendung der Hash-Funktion verschlüsselt wurde.
Die Endgerätevorrichtung sendet nun ihre eigene wahre Kennung an das Netzwerkelement. Zu diesem Zweck bildet die Endgerätevorrichtung eine Nachricht, die enthält: a) ihre wahre Kennung, b) Informationen darüber, wie die wahre Kennung vor Anwendung der Hash-Funktion verschlüsselt wurde. Sie verschlüsselt die Nachricht, bevor sie sie versendet, durch. Verwendung eines Schlüssels, der sowohl aus dem ersten als auch aus dem zweiten Teilschlüssel gebildet ist.
Das Netzwerkelement empfängt die Nachricht, decodiert sie unter Verwendung des ersten und des zweiten Teilschlüssels und überprüft, ob die Inhalte der Nachricht richtig sind. Falls sie das sind, wird das Netzwerkelement mittels eines bekannten Verfahrens eine Authentisierung der Endgerätevorrichtung durchführen.
Nach einem erfolgreich durchgeführten Festlegungsprotokoll und einer gegenseitigen Authentisierung kann Verkehr auf dem Verkehrskanal begonnen werden.
Liste von Figuren
Die Erfindung wird unter Bezugnahme auf die beigefügten schematischen Zeichnungen ausführlicher beschrieben, bei denen zeigen:
1 einen Nachrichtenaustausch gemäß dem Stand der Technik;
2 einen Nachrichtenaustausch in einem Mobiltelefonsystem;
3 ein Festlegungsprotokoll gemäß der Erfindung; und
4 einen Austausch von Nachrichten.
Ausführliche Beschreibung der Erfindung
3 zeigt ein Verfahren gemäß der Erfindung, wie es auf ein zellulares GSM-System angewandt wird. Es enthält daher die gleichen Elemente wie der gemäß 2 gezeigte grundlegende Vorgang, weshalb die Beschreibung bei Bedarf auch auf 2 Bezug nimmt.
Das bei der Erfindung zu verwendende Festlegungsprotokoll benötigt fünf Schritte, von denen jeder aus der Kryptografie bekannt ist:

1. Bitblockfestlegung,
2. Austausch von Schlüsseln,
3. Identifizierung des Netzwerkelements,
4. Preisgeben der Kennung der Endgerätevorrichtung an das Netzwerkelement, und
5. Identifizierung der Endgerätevorrichtung.

Das Verfahren einer Bitblockfestlegung ist ausführlich in einem Buch von Bruce Schneier beschrieben: "Applied Cryptography, Second Edition, Protocols, Algorithms, and Source Code in C", John Wiley & Sons; Inc., 1996, ISBN 0-471-11709-9. Das Verfahren läuft so ab, dass:

1) Partei A zuerst Zufallsbitfolgen R1 und R2 bildet.
2) Dann bildet sie eine Nachricht, die diese Zufallsbitfolgen und diejenige Bitfolge S (z.B. eine Kennung, eine beliebige Nachricht oder etwas anderes) enthält, die sie an Partei B übergeben möchte, jedoch derart, dass Partei B Bitfolge S nicht ohne die Erlaubnis von A kennen lernen wird. Zufallsbitfolgen R1 und R2 sowie Kennung S werden einfach hintereinander in der Nachricht angeordnet.
3) Partei A wendet eine einseitige Hash-Funktion h auf die Nachricht an und sendet das Ergebnis h(R1, R2, S) sowie eine der Zufallsfolgen, z.B. R1, an Partei B. Diese Übertragung beweist B, dass A tatsächlich Bitfolge S gesendet hat. Die Verwendung einer einseitigen Hash-Funktion verhindert, dass B die Funktion umkehrt, und aus diesem Grund kann B, obwohl sie die Hash-Funktion und eine Zufallsfolge R1 kennt, Bitfolge S nicht kennen lernen, weil die andere Zufallsfolge R2 mit einer Hash-Funktion verarbeitet bzw. zerlegt ist.
4) Wenn es für Partei A Zeit ist, Bitfolge S zu offenbaren, wird sie die ursprüngliche Nachricht (R1, R2, S) an Partei B senden.
5) Partei B wendet eine einseitige Hash-Funktion auf diese Nachricht an und vergleicht das Ergebnis und Zufallsfolge R1 mit dem, was Partei A bereits früher in Schritt 3) gesendet hat. Falls alles übereinstimmt, ist die empfangene Folge S korrekt.

Bei diesem bekannten Verfahren sendet Partei B nicht einmal die erste Nachricht. Es ist eine bekannte Eigenschaft der einseitigen Hash-Funktion, dass sie aus einer binären Folge beliebiger Länge eine Folge fester Länge erzeugen wird, nämlich "einen sicheren Fingerabdruck". Wenn hierbei gilt H = h(M), wobei M eine binäre Folge beliebiger Länge ist, h eine einseitige Hash-Funktion ist und H eine binäre Folge fester Länge ist, wird das folgende gelten: a) ist M gegeben, kann H einfach berechnet werden, b) ist H gegeben, ist es unmöglich, ein derartiges M zu finden, dass h(M) = H wahr wäre, c) ist M gegeben, ist es unmöglich, ein derartiges M' zu finden, dass h(M') = h(M) wahr wäre, und d) es ist unmöglich, zwei Zufallsfolgen M und M' zu finden, so dass h(M) = h(M') wahr wäre.
Von bekannten Hash-Funktionen, die bei dieser Erfindung verwendet werden können, können SHA ("Secure Hash Algorithm") und MD5 ("Message Digest Algorithm 5") erwähnt werden, aber es ist natürlich prinzipiell möglich, jede beliebige Art einer anderen bekannten Hash-Funktion zu verwenden.
Der Zweck des beim Festlegungsprotokoll verwendeten Schlüsselaustauschalgorithmus besteht darin, einen Verschlüsselungsschlüssel für zwei oder mehr Parteien zu bilden, selbst wenn zwischen den Parteien kein sicherer Übermittlungskanal existiert. Der Diffie-Hellman-Schlüsselaustausch, der in der vorstehend genannten Veröffentlichung beschrieben ist, und der RSA-Verschlüsselungsalgorithmus für öffentliche Schlüssel sind zur Verwendung bei dieser Erfindung gut geeignet.
Das Festlegungsprotokoll gemäß der Erfindung wird nun unter Bezugnahme auf 3 beschrieben. Statt nur eine Zufallszahl in der Kanalanforderungsnachricht auf dem Rufkanal zu senden sendet die Mobilstation eine Pseudokennung AMSI. Diese bildet sie wie folgt durch Verwendung der einseitigen Hash-Funktion (Schritt 311, 3): AMSI = h(IMSI, RND1, RND2),wobei h eine beliebige einseitige Hash-Funktion ist, IMSI die tatsächliche Kennung der Mobilstation ist, die erste Zufallszahl RND₁ eine Folge binärer Ziffern endlicher Länge ist, während die zweite Zufallszahl RND₂ eine Folge binärer Ziffern endlicher Länge ist. Daher ist die tatsächliche Kennung in gewisser Hinsicht mit der ersten und der zweiten Zufallszahl durch einfaches Anordnen der Zahlen und der Kennung in einer Aufeinanderfolge codiert, um eine Verkettung zu bilden, und die Hash-Funktion wird auf die Verkettung angewandt. Die Mobilstation sendet ihre Pseudokennung AMSI und die erste Zufallszahl RND₁ über das Übertragungsnetzwerk an das Netzwerkelement (Schritt 312).
Es sollte beachtet werden, dass das Übertragungsnetzwerk abhängig davon, ob das Netzwerkelement eine Basisstation, eine Basisstationssteuerung oder eine Mobiltelefonvermittlung meint, entweder einfach ein Funkpfad oder eine Kombination von Funkpfad und Kabelnetzwerk sein kann. Die wesenhafte Beschaffenheit des Netzwerkelements ist für die Erfindung nicht wesentlich.
Die Basisstationssteuerung empfängt eine von der Basisstation weitergeleitete Kanalanforderungsnachricht, die eine Pseudokennung AMSI enthält (Schritt 313), woraufhin sie wie bei dem bekannten Verfahren, das heißt in Schritt 23 gemäß 2, eine Auswahl und Aktivierung des Verkehrskanals durchführt und auf die normale Art und Weise eine Kanalzuweisungsnachricht versendet, worin der zugewiesene Verkehrskanal angegeben ist (Schritt 314).
Dann werden im Festlegungsprotokoll einige Arbeitsvorgänge durchgeführt, bevor die tatsächliche Kennung IMSI preisgegeben wird. Die Mobilstation erstellt zuerst ihren eigenen Sicherheitsschlüssel MKEY, der hier als der erste Teilschlüssel bezeichnet wird (Schritt 315). Im ersten Teilschlüssel enthaltene Informationen werden beim später durchzuführenden Schlüsselaustauschvorgang verwendet. Sie platziert den Teilschlüssel, den sie gebildet hat, in der abgehenden Nachricht und sie signalisiert die Nachricht auf dem angegebenen Verkehrskanal an die Basisstation (Schritt 316).
Das Netzwerkelement empfängt den ersten Teilschlüssel der Nachricht (Schritt 317). Es erstellt dann seinen eigenen Sicherheitsschlüssel BKEY, der hier als der zweite Teilschlüssel bezeichnet wird (Schritt 318). Im zweiten Teilschlüssel enthaltene Informationen werden beim später durchzuführenden Schlüsselaustauschvorgang verwendet. Es bildet dann eine Bestätigungsnachricht, die die Pseudokennung AMSI, die es vorher empfangen hat, und den zweiten Verschlüsselungsschlüssel BKEY enthält, den es gebildet hat, und es sendet eine Bestätigungsnachricht an die Mobilstation (Schritt 320).
Die Mobilstation empfängt die Bestätigungsnachricht (Schritt 321), und trennt die Bestandteile deren Inhalte. Sie untersucht zuerst, ob die Pseudokennung AMSI, die in der Nachricht enthalten ist, die gleiche ist wie die Pseudokennung AMSI, die sie selbst in Schritt 311 erzeugt hat. Ergibt der Vergleich (Schritt 322), dass die Pseudokennungen unterschiedlich sind, wird die Mobilstation wissen, dass der in Schritt 314 angegebene Verkehrskanal nicht für sie selbst bestimmt war, weshalb sie den Zugangsprozess von Beginn an, von Schritt 311, starten muss. Ergibt der Vergleich, dass die Pseudokennungen identisch sind, wird die Mobilstation wissen, dass der in Schritt 314 angegebene Verkehrskanal tatsächlich für sie selbst bestimmt ist.
Im folgenden Schritt 323 führt die Mobilstation eine Authentisierung des Netzwerkelements durch, um sicherzustellen, dass das Netzwerkelement, in diesem Fall eine Basisstation, tatsächlich dasjenige ist, was es beansprucht zu sein. Der Authentisierungsvorgang kann jeder beliebige Vorgang sein, z.B. ist der heutzutage beim GSM-System verwendete Authentisierungsvorgang geeignet.
Nach einer erfolgreichen Authentisierung weiß die Mobilstation, dass sie es mit einer tatsächlichen Basisstation zu tun hat und nicht mit einem Betrüger bzw.
Schwindler, weshalb es Zeit für sie ist, ihre wahre Kennung preiszugeben. Zu diesem Zweck bildet sie eine Nachricht, die die tatsächliche Kennung IMSI (oder die temporäre Kennung TMSI, falls vorhanden), die erste Zufallszahl RND₁ und die zweite Zufallszahl RND₂ enthält. Demnach ist die Nachricht die gleiche wie diejenige, auf die sie in Schritt 311 die Hash-Funktion angewandt hat. Schließlich verschlüsselt sie die gesamte Nachricht mit Verschlüsselungsschlüssel BMKEY, der aus dem ersten Teilschlüssel MKEY und dem zweiten Teilschlüssel BKEY gebildet ist (Schritt 324). Die Mobilstation sendet diese mittels eines Schlüssels verschlüsselte Nachricht an das Netzwerk (Schritt 325).
Nun also ist es Zeit für das Netzwerkelement, herauszufinden, welche die wahre Kennung der Mobilstation ist. Zuerst decodiert das Netzwerkelement (Schritt 326) die verschlüsselte Nachricht durch Verwendung von Sicherheitsschlüssel BMKEY, der eine Kombination des zweiten Teilschlüssels BKEY, den es in Schritt 318 selbst erzeugt hat, und des ersten Teilschlüssels MKEY ist, der in Schritt 317 von der Mobilstation empfangen wurde. Das Netzwerkelement führt dann eine Überprüfung der Gültigkeit von in der Nachricht enthaltenen Bestandteilen durch (Schritt 327). Zuerst berechnet es das Ergebnis der Formel AMSI = h(ISMI; RND₁, RND₂), das durch Verwendung von Bestandteilen der Nachricht berechnet wird. Es untersucht dann, ob die mittels der Formel erzeugte AMSI die gleiche ist wie diejenige, die sie vorher in Schritt 313 von der Mobilstation empfangen hat. Schließlich überprüft es, ob die zweite Zufallszahl RND₁, die in der Nachricht angegeben ist, die gleiche ist wie diejenige, die es in Schritt 313 empfangen hat. Sind alle AMSIs exakt identisch und stimmen die zweiten Zufallszahlen überein, wird das Netzwerkelement versichert sein, dass die Mobilstation genau die gleiche ist wie die zu Beginn des Prozesses fragliche. Stimmen die empfangenen Werte bei der Überprüfung nicht vollständig überein, wird das Netzwerkelement das Zugangsprotokoll unterbrechen und den Verkehrskanal der Verwendung durch diese Sitzung entziehen, wodurch er einer beliebigen anderen Verbindung zugewiesen werden kann.
Ist bis hierher alles in Ordnung, wird das Netzwerkelement auch eine Authentisierung der Mobilstation durchführen. Ergibt die Authentisierung ein ordnungsgemäßes Ergebnis, kann Verkehr auf dem angegebenen Verkehrskanal beginnen.
Das Signaldiagramm gemäß 4 zeigt Nachrichten, die bei dem gemäß 3 gezeigten Vorgang auf dem Funkpfad zwischen Mobilstation MS und Basisstation BTS ausgetauscht werden. Mit Ausnahme von Authentisierungsnachrichten gibt es bei dem vorgeschlagenen Verfahren im Vergleich zu einem GSM-System gemäß dem Stand der Technik fast keinen Austausch von Nachrichten mehr. Die in den Nachrichten ausgetauschten Hauptinformationen sind gemäß der Figur in runden Klammern gezeigt. Die Kanäle sind ebenfalls gekennzeichnet und, wie festgestellt werden kann, wird ein Großteil der Nachrichten auf dem Verkehrskanal signalisiert.
Der Zweck der Authentisierung des Netzwerkelements, z.B. der Basisstation, in Schritten 323 gemäß 3 und 4 besteht darin, die Endgerätevorrichtung, z.B. die Mobilstation, mit einer Möglichkeit zu versehen, zu überprüfen, dass sie sich den geheimen Schlüssel MBKEY mit einem ehrlichen Netzwerkelement teilt, mit anderen Worten, dass das Netzwerkelement ein solches Betreiberzertifikat aufweist, dem die Endgerätevorrichtung vertraut. Eine Authentisierung des Netzwerkelements wird durch den Umstand eingeschränkt, dass die Endgerätevorrichtung eine Authentisierung basierend nur auf denjenigen Informationen durchführen muss, die das Netzwerkelement bereitstellt. ISO-Standard X.509 bietet eine Menge von Authentisierungsprotokollen dar, die zur Verwendung bei diesem Verfahren geeignet sind. Eine kurze Beschreibung eines geradlinigen Protokolls basierend auf Zertifikat und digitaler Signatur wird als ein Beispiel eines möglichen Protokolls angegeben, mittels dem die Mobilstation die Beziehung der Basisstation und des Schlüssels MBKEY sicherstellen kann

1. MS sendet eine zufällig gewählte Folge binärer Ziffern RDN₃ an die Basisstation.
2. Die Basisstation empfängt die RDN₃ und erstellt eine Nachricht, die ein Zertifikat und die RDN₃ enthält. Sie signiert die Nachricht mit einer digitalen Signatur und verschlüsselt die Nachricht dann durch Verwendung des Schlüssels MBKEY und sendet die Nachricht an die Mobilstation.
3. Die Mobilstation decodiert die verschlüsselte Nachricht, überprüft die Signatur, die Signatur am Zertifikat, und stellt sicher, dass die in der Nachricht gesendete Folge zufälliger Ziffern die gleiche ist wie diejenige, die sie vorher an die Basisstation gesendet hat. Durchläuft die Nachricht all diese Überprüfungen, hat die Authentisierung ein positives Ergebnis ergeben.

Der Zweck der Authentisierung einer Endgerätevorrichtung, z.B. einer Mobilstation, durch das Netzwerkelement in gemäß 3 und 4 gezeigtem Schritt 328 besteht darin, einem ehrlichen Netzwerkelement eine Möglichkeit zu geben, sicherzustellen, dass es sich einen gemeinsamen sicheren Schlüssel (MBKEY) mit einem derartigen Endgerätevorrichtungsteil teilt, dessen Kennung (IMSI/TMSI) genau diejenige ist, die die Endgerätevorrichtung in ihrer die wahre Kennung preisgebenden Nachricht in Schritt 325 gemäß 3 gesendet hat. Die Authentisierung unterscheidet sich von der durch die Endgerätevorrichtung (die Mobilstation) durchgeführten Authentisierung aus dem Grund, dass die Endgerätevorrichtung ihre wahre Kennung bereits preisgegeben hat. Aus diesem Grund führt das Netzwerkelement eine Abfrage an einer beliebigen geeigneten Datenbank des Netzwerks durch, wobei es nach Informationen über die Endgerätevorrichtung fragt, die genau diese Kennung (IMSI/TMSI) hat. In einem Mobilfunknetzwerk ist die Datenbank naturgemäß ein Heimatstandortverzeichnis (HLR: "Home Location Register"). Weisen die Verzeichnisinformationen in Bezug auf die Kennung darauf hin, dass alles in Ordnung ist, hat die Authentisierung ein positives Ergebnis ergeben und Verkehr kann beginnen.
Bei Verwendung eines Festlegungsprotokolls gemäß der Erfindung werden mindestens drei Sicherheitsfaktoren erreicht:
Erstens ist es für einen Dritten unmöglich, die Kennung der Endgerätevorrichtung herauszufinden, wenn das Protokoll durchgeführt wird. Aus 4 kann ersehen werden, dass die Kennung der Endgerätevorrichtung in Nachrichten 1, 4 und 6 gesendet wird. Aus den vorstehend beschriebenen Eigenschaften der Hash-Funktion ergibt sich, dass kein Eindringling aus Nachrichten 1 und 4 die wahre Kennung eventuell berechnen kann. Die in Schritt 6 zu übertragende wahre Kennung ist mit einem gemeinsamen Schlüssel verschlüsselt, der nur den Parteien bekannt ist, weshalb kein Eindringling die Kennung herausfinden kann, ohne den Verschlüsselungsalgorithmus zu brechen.
Zweitens kann jede fremde Basisstation, die versucht, sich selbst an die Stelle der eigentlichen Basisstation zu setzen, zwar Nachrichten 1 bis 4 gemäß 4 erbeuten, aber wenn die von der Endgerätevorrichtung durchgeführte Authentisierung der Basisstation fortfährt wie sie sollte, wird sie feststellen, dass die Basisstation nicht authentisch bzw. echt ist, und wird das Protokoll abbrechen. Da die Endgerätevorrichtung nur ihre Pseudokennung gesendet hat, wird dank den Eigenschaften der einseitigen Hash-Funktion keine betrügerische Basisstation auf irgendeine Weise in der Lage sein, die wahre Kennung zu berechnen.
Drittens ist eine ehrliche Basisstation fähig, zu folgern, ob die Endgerätevorrichtung, für die der Kanal zugewiesen wurde, genau diejenige Endgerätevorrichtung ist, die die Kanalanforderung gesendet hat. Basierend auf den vorstehend dargelegten Eigenschaften der einseitigen Hash-Funktion ist es für jede andere Endgerätevorrichtung abgesehen von derjenigen, die die Kanalanforderung gesendet hat, unmöglich, derartige Parameter zu berechnen, die nach dem Empfang von Nachricht 6 an der Basisstation gemäß 4 zu einem akzeptablen Endergebnis führen würden. Unter diesen Umständen kann die Endgerätevorrichtung aus guten Gründen folgern, ob der Verkehrskanal genau für sie selbst bestimmt ist, nachdem sie die Bestätigungsnachricht, Nachricht 4 gemäß der Figur, empfangen hat.
Das Netzwerkelement bemerkt den Versuch einer fremden Endgerätevorrichtung, einen Verkehrskanal vom ursprünglichen Anforderer zu "stehlen" (Schritt 6 gemäß 4), weil es die Pseudokennung AMSI vom Anforderer zu Beginn des Protokolls empfangen hat und weil es für jede fremde Endgerätevorrichtung unmöglich ist, die zweite Zufallszahl und die wahre Kennung aus der Pseudokennung zu berechnen.
Das vorgeschlagene Festlegungsprotokoll kommt gewissermaßen zu dem Verkehr auf dem Übertragungspfad hinzu, hauptsächlich aus dem Grund, dass Nachrichtenlängen im Vergleich z.B. zu typischen Nachrichtenlängen bei einem GSM-System steigen werden. Die Länge der Pseudokennung beträgt 160 Bits, falls der MD5-Algorithmus als Hash-Funktion verwendet wird. Wird der Diffie-Hellman-Schlüsselaustauschalgorithmus beim Schlüsselaustausch verwendet, wird die zu übertragende Informationsmenge mindestens 500 bis 1000 Bits sein.
Das vorgeschlagene Festlegungsprotokoll kann innerhalb des Umfangs der Ansprüche auf jedes Telekommunikationsnetzwerk angewandt werden, bei dem die Endgerätevorrichtung unter Verwendung gemeinsamer Betriebsmittel zuerst eine Verbindung zum Übertragen von Informationen vom Netzwerk anfordert und das Netzwerk in Erwiderung auf die Anforderung die angeforderte Verbindung angibt.

Claims

Authentisierungsverfahren zwischen kommunizierenden Parteien in einem Telekommunikationsnetzwerk, bei dem ein Netzwerkelement und eine Endgerätevorrichtung eine gegenseitige Authentisierung durchführen (323, 328) und wobei das Netzwerkelement in Erwiderung auf eine Zugangsnachricht (312) der Endgerätevorrichtung einen Verkehrskanal zuweist (314), auf dem der Verkehr realisiert wird, wobei die Endgerätevorrichtung und das Netzwerkelement beide jeweils einen eigenen Teilschlüssel bilden (315, 318) und die eigenen Teilschlüssel einander auf dem Verkehrskanal preisgeben (316, 320), dadurch gekennzeichnet, dass bevor Verkehr begonnen wird: die Endgerätevorrichtung in der Zugangsnachricht (312) eine Pseudokennung sendet, die eine wahre Kennung der Endgerätevorrichtung enthält, die auf eine Weise verschlüsselt ist, dass das Netzwerkelement erst fähig ist, die wahre Kennung herauszufinden, nachdem es von der Endgerätevorrichtung eine neue Nachricht empfangen hat, wobei Inhaltsbestandteile der neuen Nachricht die wahre Kennung unverschlüsselt enthalten, die Endgerätevorrichtung die Authentisierung des Netzwerkelements durchführt (323), bevor dem Netzwerkelement die wahre Kennung der Endgerätevorrichtung mitgeteilt wird, die Endgerätevorrichtung die neue Nachricht, die die wahre Kennung unverschlüsselt enthält, bildet (324) und die neue Nachricht, die sowohl mit dem eigenen Teilschlüssel der Endgerätevorrichtung als auch dem eigenen Teilschlüssel des Netzwerkelements verschlüsselt ist, auf dem Verkehrskanal an das Netzwerkelement sendet, falls die Authentisierung ergibt, dass das Netzwerkelement authentisch ist (325).
Verfahren gemäß Anspruch 1, bei dem die Endgerätevorrichtung die Pseudokennung bildet (311), indem eine einseitige Hash-Funktion auf Inhaltsbestandteile angewandt wird, die die wahre Kennung der Endgerätevorrichtung und zwei Zufallszahlen aufweisen, und die Pseudokennung sowie eine erste der beiden Zufallszahlen in der Zugangsnachricht sendet.
Verfahren gemäß Anspruch 2, bei dem die Endgerätevorrichtung den ersten Teilschlüssel bildet (315) und den ersten Teilschlüssel auf dem Verkehrskanal an das Netzwerkelement sendet (316), das Netzwerkelement den zweiten Teilschlüssel bildet (318) und den zweiten Teilschlüssel sowie die Pseudokennung auf dem Verkehrskanal an die Endgerätevorrichtung sendet (320).
Verfahren gemäß Anspruch 3, bei dem die Endgerätevorrichtung die Authentisierung des Netzwerkelements durchführt (323), wenn die von der Endgerätevorrichtung empfangene Pseudokennung und die Pseudokennung, die die Endgerätevorrichtung früher gebildet hat, identisch sind (322).
Verfahren gemäß Anspruch 4, bei dem die Endgerätevorrichtung nach einer erfolgreichen Authentisierung die neue Nachricht bildet (324), die die Inhaltsbestandteile der Hash-Funktion enthält, und die neue Nachricht, verschlüsselt mit dem ersten und dem zweiten Teilschlüssel, an das Netzwerkelement sendet.
Verfahren gemäß Anspruch 5, bei dem das Netzwerkelement die Verschlüsselung der neuen Nachricht unter Verwendung des ersten und des zweiten Teilschlüssels entschlüsselt (326) und eine Authentisierung der Inhaltsbestandteile durchführt (327).
Verfahren gemäß Anspruch 6, bei dem das Netzwerkelement bei der Authentisierung (327): eine Hash-Funktion auf die Inhaltsbestandsteile anwendet und das Ergebnis mit der Pseudokennung vergleicht, die früher in der Zugangsnachricht empfangen wurde, die erste Zufallszahl, die in der neuen Nachricht enthalten ist, mit der ersten Zufallszahl vergleicht, die früher in der Zugangsnachricht empfangen wurde.
Verfahren gemäß Anspruch 7, bei dem das Netzwerkelement eine Authentisierung der Endgerätevorrichtung durchführt (328), wenn das Vergleichen ergibt, dass die Pseudokennung und die erste Zufallszahl richtig sind.
Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass beim Bilden der Pseudokennung (311) und beim Angeben der wahren Kennung (324) ein kryptografisches Bitblockfestelegungsverfahren verwendet wird.
Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass für die Verwendung von Teilschlüsseln Diffie-Hellman-Schlüsselaustausch und RSA-Verschlüsselungsalgorithmen für öffentliche Schlüssel angewandt werden.
Endgerätevorrichtung für ein Telekommunikationsnetzwerk, dadurch gekennzeichnet, dass die Endgerätevorrichtung konfiguriert ist zum: Anfordern von Zugang zum Netzwerk unter Verwendung einer Zugangsnachricht (312), die eine Pseudokennung aufweist, welche eine wahre Kennung der Endgerätevorrichtung enthält, die auf eine Weise verschlüsselt ist, dass ein Netzwerkelement nicht fähig ist, die wahre Kennung aus der Zugangsnachricht ohne weitere Informationen von der Endgerätevorrichtung zu kennen; und Senden (325) der wahren Identität der Endgerätevorrichtung und von Informationen darüber, wie die wahre Kennung in der Zugangsnachricht verschlüsselt wurde, an das Netzwerkelement, nachdem das Netzwerkelement an der Endgerätevorrichtung authentisiert wurde (323).
Netzwerkelement für ein Telekommunikationsnetzwerk, dadurch gekennzeichnet, dass das Netzwerkelement konfiguriert ist zum: Zuweisen eines Verkehrskanals zum Kommunizieren mit einer Endgerätevorrichtung (314) in Erwiderung auf eine Zugangsnachricht, die eine Pseudokennung der Endgerätevorrichtung aufweist (313), wobei die Pseudokennung eine wahre Kennung der Endgerätevorrichtung enthält, die auf eine Weise verschlüsselt ist, dass das Netzwerkelement nicht fähig ist, die wahre Kennung aus der Zugangsnachricht ohne weitere Informationen von der Endgerätevorrichtung zu kennen; und Verifizieren der wahren Kennung (327) mit Hilfe weiterer Informationen, die von der Endgerätevorrichtung empfangen werden, nachdem das Netzwerkelement an der Endgerätevorrichtung authentisiert wurde, wobei die Informationen die wahre Identität der Endgerätevorrichtung und Informationen darüber aufweisen, wie die wahre Kennung in der Zugangsnachricht verschlüsselt wurde.