FI106281B

FI106281B - Menetelmä ja järjestelmä salasanan hyväksymiseksi

Info

Publication number: FI106281B
Application number: FI981819A
Authority: FI
Inventors: Heikki Osmonen
Original assignee: Nokia Networks Oy
Priority date: 1998-08-25
Filing date: 1998-08-25
Publication date: 2000-12-29
Also published as: AU5375799A; US20010004759A1; FI981819L; WO2000011534A1; FI981819A0

Description

1 106281

MENETELMÄ JA JÄRJESTELMÄ SALASANAN HYVÄKSYMISEKSI

KEKSINNÖN ALA

Keksinnön kohteena on patenttivaatimuksen 1 * 5 johdanto-osassa määritelty menetelmä ja patenttivaati muksen 5 johdanto-osassa määritelty järjestelmä salasanan hyväksymiseksi.

TEKNIIKAN TASO

10 On yleisesti tunnettua käyttää käyttäjätun nusta ja sitä vastaavaa salasanaa tietojärjestelmiin pääsyn edellytykseksi. Tällä parannetaan tietojärjestelmien tietoturvallisuutta ja ehkäistään tietojen leviämistä sellaisten tahojen käyttöön, joille ne eivät 15 ole tarkoitettuja. Salasana on tietty merkkijono, jolla identifioidaan järjestelmään käyttäjätunnuksellaan sisäänkirjoittautuva käyttäjä.

Tietojärjestelmän ylläpitäjä voi määritellä käyttäjäntunnistusjärjestelmään, että kaikissa salasa-20 noissa tulee olla erikoismerkkejä. Erikoismerkit ovat jotain muita merkkejä kuin perusaakkosia. Erikoismerkkien käytöllä parannetaan edelleen tietoturvallisuutta, sillä mitä enemmän mahdollisuuksia on valita merkit salasanaan, sitä suurempi on kokeiltavien merkki-25 kombinaatioiden määrä ja vaikeampi on salasanaa mur taa .

Eräissä MMI-järjestelmissä (MMI, Man Machine Interface) luodaan jokaista käyttäjää varten oma käyttäjäprofiili. Käyttäjäprofiili määrittää esimerkiksi 30 mitä MML-komentokielisiä komentoja (MML, Man Machine \

Language) käyttäjällä on valtuudet suorittaa, ja se liitetään käyttäjätunnukseen. Käyttäjän antaessa jon-' kin komennon, järjestelmä tarkistaa onko istunnolla valtuudet komennon suorittamiseen.

35 Edellä mainitussa käyttäjäntunnistusjärjes telmässä on ongelmana se, että erikoismerkkien käyttö « 2 106281 salasanassa on ollut joko vapaaehtoista tai kaikille käyttäjille pakollista. Monissa tietojärjestelmissä olisi kuitenkin tärkeää vaatia tietyiltä käyttäjiltä pidempiä salasanoja, joissa on myös erikoismerkkejä.

5 Näitä salasanoja on vaikeampi murtaa. Kayttäjäntunnis-tusjärjestelmän ylläpitäjällä ei ole tällä hetkellä mahdollisuutta määrittää keneltä käyttäjältä vaaditaan enemmän erikoismerkkejä ja keneltä vähemmän.

Keksinnön tarkoituksena on poistaa edellä 10 mainitut epäkohdat tai ainakin merkittävästi lieventää niitä.

Erityisesti keksinnön tarkoituksena on tuoda esiin uudentyyppinen menetelmä ja järjestelmä käyttäjätunnusta vastaavan salasanan hyväksymiseksi.

15

KEKSINNÖN YHTEENVETO

Esillä olevan keksinnön mukaisella menetelmällä salasanan hyväksymiseksi käyttäjäntunnistusjärjestelmässä, jossa käyttäjätunnukseen liittyy käyttä-20 jäprofiili, määritellään käyttäjäprofiilikohtaisesti tuleeko salasanassa esiintyä erikoismerkkejä. Erikoismerkit ovat merkkiavaruuden, johon kuuluu kaikki käytettävissä olevat merkit, ennalta määritellyn osajoukon merkkejä. Keksinnön mukaisesti liitetään käyttäjä-25 profiiliin tieto siitä, tuleeko salasanassa olla jokin merkkiavaruuden ennalta määrättyyn osajoukkoon kuuluva merkki.

Menetelmän eräässä sovelluksessa liitetään käyttäjäprofiiliin tieto salasanan, merkkiavaruuden 30 ennalta määrättyyn osajoukkoon kuuluvien merkkien vä himmäismäärästä . Tällöin kyseisellä käyttäjällä tulee olla ainakin vähimmäismäärä erikoismerkkejä salasanassaan. Erikoismerkkien määrän tarkistus tapahtuu edul-lisesti kayttäjäntunnistusjärjestelmässä.

35 Menetelmän eräässä sovelluksessa tarkistetaan salasanaa vaihdettaessa, ennen uuden salasanan hyväksymistä onko salasanassa vähintään vaadittu määrä en- 3 106281 naita määrättyyn merkkiavaruuden osajoukkoon kuuluvia merkkejä.

Esillä olevan keksinnön mukaiseen järjestel-mään salasanan hyväksymiseksi käyttäjäntunnistusjär-5 jestelmässä, jossa käyttäjätunnukseen liittyy käyttä-jäprofiili, kuuluu tietojärjestelmä, johon pääsemiseksi tulee käyttäjäntunnistusjärjestelmän hyväksyä käyttäjä käyttäjätunnuksen ja salasanan perusteella.

Keksinnön mukaisesti käyttäjäntunnistusjär-10 jestelmään kuuluu välineet salasanassa esiintyvästä, ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvasta merkistä kertovan tiedon liittämiseksi käyttäjäprofiiliin. Merkkiavaruuteen kuuluu kaikki käytettävissä olevat merkit.

15 Järjestelmän eräässä sovelluksessa käyttäjän- tunnistusjärjestelmään kuuluu välineet vaadittavan, ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvien merkkien vähimmäismäärän liittämiseksi käyttäjäprofiiliin. Välineet salasanassa esiintyvien, ennalta 20 määrättyyn merkkiavaruuden osajoukkoon kuuluvien merkkien määrän ja käyttäjäprofiilissa vaaditun merkkien määrän vertaamiseen ja tarkistamiseen kuuluvat edullisesti käyttäjäntunnistusjärjestelmään.

Edelleen järjestelmään kuuluu edullisesti 25 myös välineet vaaditun määrän ennalta määrättyyn merk-kiavaruuden osajoukkoon kuuluvien merkkien lukumäärän tarkistamiseksi salasanasta ennen uuden salasanan hyväksymistä salasanaa vaihdettaessa.

Keksintö parantaa MMI-järjestelmän tietotur-30 vaa niiden käyttäjien osalta, joiden käyttäjäprofiiliin on asetettu käytettäväksi paljon erikoismerkkejä.

S

Samalla niille käyttäjille, joilla ei ole valtuuksia suorittaa kuin alimpien tasojen MML-komentokielen ko-’ mentoja, voidaan asettaa sellainen käyttäjäprofiili, 35 joka ei vaadi erikoismerkkien käyttöä. Tällöin salasanan muistaminen on helpompaa ja sisäänpääsy järjestelmään nopeampaa.

m 106281 4

Keksintö antaa käyttäjäntunnistusjärjestelmän ylläpitäjälle mahdollisuuden päättää keneltä käyttäjältä vaaditaan erikoismerkkien käyttöä salasanassa ja keneltä ei.

5

KUVALUETTELO

Seuraavassa keksintöä selostetaan yksityiskohtaisesti sovellusesimerkkien avulla, jossa kuvio 1 esittää keksinnön mukaisen järjestel-10 män erästä sovellusta, ja kuvio 2 esittää kuvion 1 mukaisen sovelluksen toimintalohkokaaviota.

KEKSINNÖN YKSITYISKOHTAINEN SELOSTUS

15 Kuvion 1 mukaiseen järjestelmään kuuluu käyt töliittymä 11, jonka välityksellä ohjataan tietojärjestelmää 12. Käyttöliittymän käyttäjän on omattava valtuudet tietojärjestelmään sisään pääsemiseksi. Nämä valtuudet tarkastetaan tietojärjestelmän käyttäjäntun-20 nistusjärjestelmässä 13, jossa käyttäjältä tiedustellaan käyttäjätunnusta ja salasanaa. Eräs edullinen järjestelmä esimerkin sovellukselle on Nokian DX 200 puhelinkeskusjärjestelmä, jossa on MMI-käyttöliittymä ja komennot syötetään MML-komentokielisinä. Välineet 25 11, 12, 13 on toteutettu sinänsä tunnetulla tavalla, • · eikä niitä sen vuoksi kuvata tämän tarkemmin.

Käyttäjäntunnistusjärjestelmään 13 kuuluu välineet 1 merkkiavaruuden ennalta määrättyyn osajoukkoon kuuluvasta merkistä kertovan tiedon liittämiseksi 30 käyttäjäprofiiliin. Merkkiavaruuden ennalta määrättyyn osajoukkoon kuuluvien merkkien vähimmäismäärästä kertova tieto liitetään käyttäjäprofiiliin välineillä 2. Lisäksi käyttäjäntunnistusjärjestelmään kuuluu välineet 3 käyttäjäprofiilin muokkaamiseksi salasanaa 35 vaihdettaessa ja välineet 4, joilla löydetään vaadittu määrä ennalta määrättyyn merkkiavaruuden osajoukkoon 5 106281 kuuluvia merkkejä ennen salasanan hyväksymistä. Nämä välineet 1, 2, 3, 4 on toteutettu esimerkin tapauksessa ohjelmistoilla.

Seuraavassa esimerkin tapahtumat käydään läpi 5 kohta kohdalta viitaten samalla kuvion 2 toimintaloh-kokaavioon.

Käyttäjältä kysytään käyttäjätunnusta, jonka hän syöttää käyttöliittymältä 11, lohko 21. Käyttäjän-tunnistusjärjestelmä 13 tarkistaa, onko käyttäjäntun-10 nistusjärjestelmään tallennettu syötettyä käyttäjätunnusta, lohko 22. Jos syötetty käyttäjätunnus on tuntematon, siirrytään lohkoon 29, jossa käyttäjälle esitetään virheilmoitus ja käyttäjäntunnistus lopetetaan. Jos käyttäjätunnus löytyy, siirrytään eteenpäin.

15 Käyttäjäntunnistusjärjestelmä 13 tunnistaa käyttäjätunnuksesta käyttäjäprofiilin ja hakee muistiin tallennetut käyttäjäprofiilia vastaavat tiedot, lohko 23. Näiden tietojen perusteella käyttäjäntunnistus j ärj estelmä tietää tunnusta vastaavan salasanan, 20 salasanan pituuden ja ennalta määrättyyn merkkiavaruu-den osajoukkoon kuuluvien merkkien vähimmäismäärän salasanassa. Tähän osajoukkoon kuuluu esimerkiksi numeeriset merkit tai kaikki erikoismerkit. Esimerkin tapauksessa osajoukko koostuu kaikista merkeistä, jotka on 25 määritelty ITU-T:n (ITU-T, International Telecommuni- • cations Union - Telecommunications) standardissa IA5 (IA5, International Alphabet no. 5, kansainvälinen aakkosto no. 5) seuraavilla alueilla: 21H - 40H, 5BH -60H ja 7BH - 7EH.

30 Edelleen käyttäjää pyydetään syöttämään käyt töliittymältä 11 annettua käyttäjätunnusta vastaavaa salasanaa. Käyttäjä syöttää salasanan, lohko 24, jonka jälkeen käyttäjäntunnistusjärjestelmä 13 tarkistaa sa-* lasanan ominaisuudet, lohko 25. Jos salasana poikkeaa 35 käyttäjätunnusta vastaavasta, käyttäjäntunnistusjär- jestelmän muistiin tallennetusta salasanasta, esitetään käyttäjälle virheilmoitus ja lopetetaan tunnis- 6 106281 tus, lohko 29. Vaihtoehtoisesti voidaan käyttäjälle antaa muutama uusi mahdollisuus syöttää salasana ennen tunnistamisen lopetusta. Jos salasana on oikea, tarkastetaan onko siinä käyttäjäprofiilissa vaadittu mää-5 rä erikoismerkkejä, lohko 26.

Jos salasanassa ei ole käyttäjäprofiilissa vaadittua vähimmäismäärää erikoismerkkejä, pyydetään käyttäjää muuttamaan salasana hyväksyttävän muotoiseksi, lohko 27. Kun käyttäjä on vaihtanut salasanansa 10 tarkastetaan salasana uudestaan, lohko 26.

Jos salasana täyttää käyttäjätunnuksen ja käyttäjäprofiilin asettamat vaatimukset, luodaan käyt-täjäntunnistusjärjestelmästä 13 suora yhteys käyttöliittymän 11 ja tietojärjestelmän 12 välille, lohko 15 28. Tämän jälkeen käyttäjäntunnistusjärjestelmä ei enää välttämättä puutu yhteyteen millään tavoin. Esimerkiksi käyttäjän valtuudet suorittaa tiettyjä MML-komentoja saattavat riippua kuitenkin käyttäjäprofiilista .

20 Esimerkin mukaisessa järjestelmässä salasanan vaihto voidaan järjestää myös toisin kuin edellisessä esimerkissä esitettiin. Käyttäjäprofiilin vaatimat salasanan ominaisuudet voidaan esimerkiksi tarkistaa vain salasanaa muutettaessa, jolloin käyttäjä voi pi-25 tää vanhan salasanansa, vaikkei se täyttäisikään käyt-tä j äprof iilin asettamia vaatimuksia, kunnes hän itse päättää vaihtaa salasanansa.

Keksintöä ei rajata pelkästään edellä esitettyä sovellusesimerkkiä koskevaksi, vaan monet muunnok-30 set ovat mahdollisia pysyttäessä patenttivaatimusten määrittelemän keksinnöllisen ajatuksen puitteissa.

P

«

Claims

1. Menetelmä käyttäjätunnusta vastaavan salasanan hyväksymiseksi käyttäjäntunnistusjärjestelmässä, jossa käyttäjätunnukseen liitetään käyttäjäprofiili ja 5 jossa salasana muodostuu merkkiavaruuden merkeistä, tunnettu siitä, että liitetään käyttäjäprofiiliin tieto siitä, tuleeko salasanassa olla jokin merkkiavaruuden ennalta määrättyyn osajoukkoon kuuluva merkki.

2. Patenttivaatimuksen 1 mukainen menetelmä, 10 tunnettu siitä, että liitetään käyttäjäprofiiliin tieto salasanassa esiintyvien merkkiavaruuden ennalta määrättyyn osajoukkoon kuuluvien merkkien vähimmäismäärästä .

3. Patenttivaatimuksen 1 tai 2 mukainen mene-15 telmä, tunnettu siitä, että tarkistetaan käyttä- jäntunnistusjärjestelmässä esiintyykö salasanassa käyttäjäprofiilissa vaadittu määrä ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvia merkkejä.

4. Jonkin patenttivaatimuksista 1-3 mukai-20 nen menetelmä, tunnettu siitä, että tarkistetaan salasanaa vaihdettaessa, ennen uuden salasanan hyväksymistä, salasanassa esiintyvien ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvien merkkien lukumäärä . 25

5. Järjestelmä käyttäjätunnusta vastaavan sa lasanan hyväksymiseksi käyttäjäntunnistusjärjestelmäs-sä, jossa käyttäjätunnukseen liitetään käyttäjäprofiili ja jossa salasana muodostuu merkkiavaruuden merkeistä, tunnettu siitä, että käyttäjäntunnistus-30 järjestelmään kuuluu välineet (1) salasanassa esiinty-^ västä ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvasta merkistä kertovan tiedon liittämiseksi käyttäjäprofiiliin.

6. Patenttivaatimuksen 5 mukainen järjestel-35 mä, tunnettu siitä, että käyttä j äntunnistus järjestelmään kuuluu välineet (2) salasanassa esiintyvien , merkkiavaruuden ennalta määrättyyn osajoukkoon kuulu- 106281 vien merkkien vähimmäismäärästä kertovan tiedon liittämiseksi käyttäjäprofiiliin.

7. Patenttivaatimuksen 5 tai 6 mukainen järjestelmä, tunnettu siitä, että käyttäjäntunnis-5 tusjärjestelmään kuuluu välineet (3) salasanassa esiintyvien, ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvien merkkien määrän ja käyttäjäprofiilissa vaaditun merkkien määrän vertaamiseksi ja tarkistamiseksi .

7 106281

8. Jonkin patenttivaatimuksista 5-7 mukai nen järjestelmä, tunnettu siitä, että käyttäjän-tunnistusjärjestelmään kuuluu välineet (4) vaaditun määrän ennalta määrättyyn merkkiavaruuden osajoukkoon kuuluvien merkkien lukumäärän tarkistamiseksi salasa-15 nasta ennen uuden salasanan hyväksymistä salasanaa vaihdettaessa.

• · 9 9 106281