ES2263811T3 - Procedimiento para auntentificacion de usuario en un terminal, sistema de autentificacion, terminal y dispositivo de autorizacion. - Google Patents
Procedimiento para auntentificacion de usuario en un terminal, sistema de autentificacion, terminal y dispositivo de autorizacion.Info
- Publication number
- ES2263811T3 ES2263811T3 ES02762485T ES02762485T ES2263811T3 ES 2263811 T3 ES2263811 T3 ES 2263811T3 ES 02762485 T ES02762485 T ES 02762485T ES 02762485 T ES02762485 T ES 02762485T ES 2263811 T3 ES2263811 T3 ES 2263811T3
- Authority
- ES
- Spain
- Prior art keywords
- authentication
- terminal
- protocol
- message
- server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 238000000034 method Methods 0.000 title claims abstract description 39
- 238000013475 authorization Methods 0.000 title description 13
- 238000004422 calculation algorithm Methods 0.000 claims abstract description 42
- 230000004044 response Effects 0.000 claims abstract description 41
- 238000004364 calculation method Methods 0.000 claims abstract description 26
- 230000005540 biological transmission Effects 0.000 claims abstract description 11
- 238000004891 communication Methods 0.000 claims description 19
- 230000006870 function Effects 0.000 claims description 19
- 238000004590 computer program Methods 0.000 claims description 6
- 238000010295 mobile communication Methods 0.000 description 43
- 238000012795 verification Methods 0.000 description 12
- 230000008569 process Effects 0.000 description 11
- 238000010586 diagram Methods 0.000 description 5
- 230000008859 change Effects 0.000 description 3
- 230000011664 signaling Effects 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 238000006243 chemical reaction Methods 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 230000001413 cellular effect Effects 0.000 description 1
- 230000008878 coupling Effects 0.000 description 1
- 238000010168 coupling process Methods 0.000 description 1
- 238000005859 coupling reaction Methods 0.000 description 1
- 230000001939 inductive effect Effects 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/062—Pre-authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/069—Authentication using certificates or pre-shared keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/08—Access security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/162—Implementing security features at a particular protocol layer at the data link layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Power Engineering (AREA)
- Mobile Radio Communication Systems (AREA)
- Communication Control (AREA)
- Telephonic Communication Services (AREA)
- Storage Device Security (AREA)
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
- Control Of Vending Devices And Auxiliary Devices For Vending Devices (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Computer And Data Communications (AREA)
- Collating Specific Patterns (AREA)
Abstract
Método para autentificación de un usuario de un terminal (5), incluyendo dicho método la ejecución de al menos una operación de cálculo relativa a un algoritmo de autentificación de un protocolo de autentificación en un dispositivo (15) conectado al terminal (5) caracterizado porque dicho método incluye: - la recepción de al menos un mensaje de inicio de autentificación que incluye información acerca de las versiones de protocolo soportadas por el servidor de autentificación (3), - el examen por parte del dispositivo (15) de la información relativa a las versiones de protocolo transmitidas en el mensaje de inicio de autentificación, - la selección de una de las versiones de protocolo disponibles simultáneamente en el servidor de autentificación (3) y en el dispositivo (15), - la generación de al menos un mensaje de respuesta que comprenda información acerca de la versión de protocolo seleccionada, y - la transmisión de, al menos, dicho mensaje de respuesta al servidor de autentificación (3).
Description
Procedimiento para autentificación de usuario en
un terminal, sistema de autentificación, terminal y dispositivo de
autorización.
La presente invención se refiere a un método
para autentificación del usuario de un terminal, aplicando dicho
terminal un dispositivo de autorización y estando conectado el
dispositivo de autorización al terminal. La invención se refiere
igualmente a un sistema de autentificación que incluye un terminal
con una serie de medios para acoplar un dispositivo de autorización
al menos con fines de autentificación, estando equipado el
dispositivo de autorización con medios para la implementación de un
protocolo de autentificación. La invención se refiere igualmente a
un terminal que cuenta con unos medios de acoplamiento de un
dispositivo de autorización, al menos con fines de autentificación,
estando equipado el dispositivo de autorización con medios para
implementar un protocolo de autentificación. Además, la invención se
refiere a un dispositivo de autorización que se utiliza para la
autentificación del usuario, incluyendo dicho medio de
autentificación medios para implementar un protocolo de
autentificación. La invención se refiere igualmente a un programa de
ordenador que incluye una serie de etapas ejecutables por la máquina
para la autentificación del usuario de un terminal equipado con un
dispositivo de verificación de los derechos de utilización,
aplicándose el dispositivo de verificación de los derechos de
utilización para ejecutar un programa de ordenador que incluye
etapas ejecutables por la máquina para la autentificación del
usuario de un terminal equipado con un dispositivo de verificación
de los derechos de uso, aplicándose el dispositivo de verificación
de los derechos de uso para la ejecución de un protocolo de
autentificación.
En esta descripción, el dispositivo de
autorización se refiere a un dispositivo funcional que cuenta con
medios para verificar los derechos de utilización de una función y/o
dispositivo antes de el dispositivo pueda operarse y/o en relación
con la utilización del dispositivo. Dichos dispositivos de
verificación mencionados en este contexto incluyen las denominadas
tarjetas inteligentes, que normalmente incluyen un procesador, una
memoria y unos medios de conexión. La tarjeta inteligente está
equipada con un software o similar, para el procesamiento de la
información introducida en la tarjeta inteligente y para la
generación de respuestas. Dichas tarjetas inteligentes se utilizan,
por ejemplo, en estaciones móviles, como tarjetas de pago, tarjetas
electrónicas de identificación, etc. Además, existen dispositivos
conocidos para verificar los derechos de utilización, para impedir
el uso de software copiado. Dicho dispositivo de verificación
(denominado "dongle" o "hardlock") se encuentra situado,
por ejemplo, en la conexión de impresora de un ordenador, y está
equipado con un software que incluye un programa de seguridad que
investiga, por ejemplo, si el dispositivo de verificación se
encuentra acoplado a la conexión de impresora, y si fuera necesario,
también examinar la identificación (por ejemplo, un número de
licencia) que se encuentra posiblemente almacenada en el dispositivo
de verificación. Aunque en los párrafos siguientes de esta
descripción, a dichos dispositivos para verificar los derechos de
uso se les llamará en principio tarjetas inteligentes, es evidente
que la invención no está limitada a su uso exclusivo en tarjetas
inteligentes.
Son conocidos los terminales a los que es
posible conectar una tarjeta inteligente que puede utilizarse, por
ejemplo, para la autentificación del usuario. La autentificación
puede ser necesaria, por ejemplo, para impedir a personas no
autorizadas utilizar el terminal o realizar en dicho terminal unas
funciones que no tienen derecho a utilizar otros usuarios distintos
del usuario autorizado del terminal. Las funciones de
autentificación están normalmente configuradas, al menos,
parcialmente en conexión con la tarjeta inteligente, y el terminal
transmite los datos de identificación introducidos por el usuario en
la tarjeta inteligente. Los datos de identificación utilizados son,
por ejemplo, un nombre de usuario y contraseña o un número de
identificación personal (PIN). La tarjeta inteligente está equipada
con un protocolo de autentificación que se ejecuta aplicando, como
parámetros de autentificación, los datos de identificación
transmitidos desde el terminal. Mediante el protocolo, por ejemplo,
se calcula un número de referencia, que se compara con el número de
identidad almacenado en la tarjeta inteligente. De este modo, cuando
dichos números coinciden, se asume que el usuario es la persona que
pretende ser.
Una solución basada en una tarjeta inteligente
también puede utilizarse cuando el usuario se conecta a una red de
datos mediante un terminal. La red de datos dispone de un servidor
de autentificación o similar, en relación con el cual se almacenan
los datos de identificación de los usuarios registrados, como su
nombre, identificación de usuario y contraseña. De este modo, el
servidor de autentificación y la tarjeta inteligente se comunican
mediante el terminal y la red de datos. Igualmente, en este tipo de
solución, puede ser necesario identificar en primer lugar al
usuario que está conectándose cuando se enciende el terminal, tras
lo cual se lleva a cabo una segunda autentificación en el servidor
de autentificación de la red de datos. Esta segunda autentificación
se basa en la utilización de un protocolo de autentificación
predeterminado, así como en algoritmos de autentificación. De este
modo, los códigos de programa necesarios para ejecutar este
protocolo de autentificación se almacenan en el terminal y en la red
de datos. El algoritmo de autentificación se almacena en el servidor
de autentificación, así como en la tarjeta inteligente.
En la red de datos, la autentificación puede
llevarse a cabo, por ejemplo, enviando una solicitud de conexión
desde el terminal a la red de datos, en la cual se transmite la
solicitud de conexión al servidor de autentificación. El servidor de
autentificación plantea una consulta, o similar, mediante un
algoritmo de autentificación predeterminado. Posteriormente, el
servidor de autentificación transmite un mensaje de respuesta de
conexión al terminal, incluyendo dicha consulta en formato normal o
cifrado. Adicionalmente, puede verificarse la autentificación de
este mensaje mediante una firma digital que puede comprobar la
tarjeta inteligente tras recibir el mensaje de respuesta de
conexión. A continuación, la tarjeta inteligente genera un número de
respuesta a partir de los datos de identificación del usuario y la
consulta recibida, mediante un algoritmo de autentificación
predeterminado. El número de respuesta se transmite al servidor de
autentificación, que es capaz de generar un número previsto en
función de los datos de identificación del usuario almacenados en el
servidor de autentificación y la consulta planteada por él. El
servidor de autentificación puede comparar el número de respuesta
recibido con el número de respuesta esperado, y a partir de los
resultados de la comparación, deducir si los datos utilizados para
generar el número de respuesta que se ha recibido concuerdan con los
datos utilizados para la generación del número de respuesta
esperado. Si los datos concuerdan, puede asumirse que el usuario se
ha autentificado correctamente, y el usuario puede comenzar a
utilizar la red de datos. Un método del tipo presentado
anteriormente se utiliza, por ejemplo, en el sistema de
comunicaciones móviles GSM y en el sistema de comunicaciones móviles
UMTS durante la conexión de una estación móvil a la red de
comunicaciones móviles. La tarjeta inteligente utilizada en el
sistema de comunicaciones móviles GSM y en el sistema de
comunicaciones móviles UMTS es la denominada tarjeta SIM (módulo de
identificación de abonado) y la tarjeta USIM (módulo de
identificación de abonado UMTS), respectivamente. Como servidor de
autentificación se utiliza un centro de autentificación AuC. Las
tarjetas SIM contienen un algoritmo de autentificación específico
del operador de la red de comunicaciones móviles.
En el caso de soluciones basadas en tarjeta
inteligente, los datos de usuario y el algoritmo de autentificación
pueden modificarse sustituyendo la tarjeta inteligente por una nueva
tarjeta inteligente equipada con un nuevo algoritmo de
autentificación. Del mismo modo, este nuevo algoritmo de
autentificación deberá instalarse en el servidor de autentificación,
si este no estuviese ya instalado.
La patente US-5537474 describe
un protocolo de autentificación consulta/respuesta en el que las
claves criptográficas y los algoritmos criptográficos para el
cálculo del código de respuesta y las claves de la sesión pueden ser
específicas del operador de origen y estar almacenadas en la tarjeta
inteligente. El protocolo de autentificación soportado por la
tarjeta inteligente es siempre el mismo protocolo de
consulta/respuesta, y sólo hay una "correspondencia" limitada
entre las variantes de origen y local del protocolo de
consulta/respuesta. La tarjeta inteligente siempre utiliza el mismo
interfaz de tarjeta inteligente especificado por el operador de
origen. Siempre se encuentran los mismos mensajes en el protocolo, y
los algoritmos criptográficos siempre tienen las mismas entradas y
salidas, de forma que el operador no puede pasar, por ejemplo, de la
autentificación GSM a la autentificación mutua, o a una
autentificación de clave pública. Además, uno de los mayores
inconvenientes de la patente US-5537474 es el hecho
de que las funciones de la red local incluyen en la forma en que va
a realizarse el intercambio de autentificaciones. Puede llegarse a
la conclusión de que el documento US 5537474 aborda un problema
distinto (emulando el protocolo de autentificación de origen con la
tarjeta inteligente, en función del protocolo visitado) que la
presente invención, cuyo problema es la posibilidad de soportar una
variedad de distintos protocolos de autentificación en la tarjeta
inteligente.
La presente invención viene precedida por varias
especificaciones de tarjeta inteligente de autentificación. Por
ejemplo, tanto la autentificación GSM como la autentificación UMTS
utilizan una tarjeta inteligente para ejecutar algoritmos
criptográficos específicos del protocolo de autentificación. La
norma UMTS especifica un nuevo interfaz de tarjeta inteligente
debido a que el protocolo de autentificación UMTS ha añadido nuevos
parámetros a los mensajes de autentificación, por lo que ya no
funciona el antiguo interfaz de tarjetas inteligentes específico de
GSM. También había tarjetas inteligentes con infraestructura de
clave pública (PKI) que podían utilizarse en conjunción con el
protocolo de autentificación extensible – seguridad de la capa de
transporte (EAP-TLS) para ejecutar un protocolo de
autentificación EAP para la autentificación PKI. Esta realización
también utilizaba algoritmos criptográficos específicos de
EAP-TLS en la tarjeta inteligente, por lo que el
interfaz externo de la tarjeta inteligente era específico para un
determinado protocolo de autentificación (TLS). Es muy probable que
en el momento de presentar la invención, cualquier persona versada
en la materia haya sido capaz de ampliar la práctica común en ese
momento a una tarjeta inteligente EAP-SIM de forma
que los cálculos criptográficos necesarios para
EAP-SIM (por ejemplo, cálculo de los códigos MAC o
cálculo de las claves de sección EAP-SIM) se
realizarían en la tarjeta inteligente mejorando de este modo la
seguridad de la implementación EAP-SIM. Una posible
realización de tarjeta inteligente EAP-SIM
utilizando el conocimiento de la técnica anterior podría conllevar
las dos operaciones siguientes:
Entradas: ninguna
Salidas: IMSI
Entradas: consultas RAND desde el paquete
EAP-Requests/SIM/Challenge, generando el terminal
Nonce_MT, código de verificación MAC_RAND procedente del mensaje
EAPRequest/SIM/Challenge
Salidas: clave obtenida por
EAP-SIM, código de respuesta MAC_SRES en caso de ser
satisfactorio, o indicación de MAC_RAND inválido de no ser
satisfactorio.
De este modo se ampliaría el interfaz de tarjeta
inteligente GSM del mismo modo que se ha ampliado el interfaz en
UMTS. La ventaja de la implementación de esta tarjeta inteligente
sería la misma que con otras tarjetas inteligentes de
autentificación de esta época: los cálculos criptográficos
(algoritmos) estarían completamente contenidos en el entorno más
seguro de la tarjeta inteligente. Como es normal, el protocolo de
autentificación (EAP-SIM) se ejecutaría en el
software del terminal, excepto los cálculos criptográficos, que se
ejecutan en la tarjeta inteligente.
La solicitud de patente internacional WO
00/02406 describe un sistema y un método de autentificación en un
sistema de comunicaciones móviles. Para permitir una autentificación
sencilla y sin problemas de los usuarios de redes IP en un área
geográficamente amplia, el terminal de la red IP utiliza una SIM del
mismo modo que se utiliza en un sistema de comunicaciones móviles
independiente, con lo cual puede determinarse una respuesta a partir
de la consulta planteada como entrada al módulo de identidad. La red
IP incluye también un servidor de seguridad al cual se transmite un
mensaje relativo a un nuevo usuario cuando un abonado se conecta a
la red IP. La información de autentificación de abonado contiene, al
menos, una consulta, y se recupera una respuesta de dicho sistema de
comunicaciones móviles dirigida a la red IP, llevándose a cabo la
autentificación a partir de la información de autentificación
obtenida del sistema de comunicaciones móviles y transmitiendo dicha
consulta al terminal a través de la red IP, generando una respuesta
a la consulta dirigida a través de la red IP al terminal, generando
una respuesta a la consulta en el módulo de identidad al terminal, y
comparando la respuesta con la respuesta recibida del sistema de
comunicaciones
móviles.
móviles.
El documento "Use of GSM SIM Authentication in
IEEE802.11 System", H. Haverinen, J P Edney, enero 2001, describe
una propuesta sobre cómo utilizar la autentificación celular en
sistemas basados en IEEE 802.11. En el documento se propone la
transmisión de la autentificación SIM GSM como un tipo de
autentificación EAP (EAP/GSMSIM). El documento describe la
utilización de ciertas etapas de autentificación y de ciertos
algoritmos fijos.
El documento "Authentication and Key
Generation for Mobile IP Using GSM Authentication and Roaming", H
Haverinen, N Asokan, T Määttänen se refiere a la infraestructura de
autentificación, autorización y contabilización para su utilización
en Internet. El documento describe un sistema de prototipo
implementado que demuestra cómo puede utilizarse la infraestructura
de autentificación GSM y de "roaming" de operador existente
para la autentificación E/S móvil y distribución de claves. La
autentificación GSM se basa en un mecanismo de
consulta-respuesta. El algoritmo de autentificación
que se ejecuta en la SIM puede recibir como consulta un número
aleatorio de 128 bits (RAND). La SIM ejecuta un algoritmo
confidencial específico del operador que toma el RAND y una clave
secreta Ki almacenada en la SIM como entrada, y genera una respuesta
de 32 bits (SRES) y una clave Kc de 64 bits de longitud como salida.
La clave Kc está prevista originalmente para ser utilizada como una
clave de cifrado a través del interfaz aéreo.
Un problema de las soluciones de la técnica
anterior que se acaban de presentar es, entre otras cosas, que el
protocolo de autentificación no puede cambiarse cambiando
simplemente la tarjeta inteligente. Por ejemplo, en los sistemas de
comunicaciones móviles GSM y en los sistemas de comunicaciones
móviles UMTS se utilizan diversos protocolos de autentificación con
lo que un dispositivo de comunicaciones móviles de acuerdo con el
sistema de comunicaciones móviles GSM no se puede actualizar para
utilizar un protocolo de identificación utilizado en el sistema de
comunicaciones móviles UMTS cambiando simplemente la tarjeta
inteligente. De este modo, los cambios en el protocolo de
autentificación exigen también la introducción de cambios al menos
en el software del terminal y, si fuese necesario, en el software
del servidor de autentificación.
El usuario de un dispositivo de comunicaciones
móviles puede desplazarse dentro del alcance de distintas redes de
comunicaciones móviles. De este modo, cuando el usuario está en una
red distinta de su red de origen, la autentificación se lleva a cabo
de tal forma que la red itinerante transmite los mensajes de acuerdo
con el protocolo de autentificación entre el terminal y el centro de
autentificación de la red de origen. De este modo, la
autentificación la lleva a cabo el centro de autentificación de la
red de origen. Por ello, el algoritmo de autentificación puede
configurarse como específico del operador, por ejemplo en sistemas
de comunicaciones móviles GSM y en sistemas de comunicaciones
móviles UMTS, debido a que todos los valores que van a utilizarse en
la autentificación han sido generados en la red de origen. La red
itinerante no necesita conocer el algoritmo debido a que su función
consiste solamente en la comparación de las cifras. Para mantener la
operatividad de los dispositivos de comunicaciones móviles en
diferentes redes de comunicaciones móviles, el protocolo de
autentificación no puede configurarse como específico del operador
cuando se utilizan soluciones de la técnica anterior.
También son conocidas las redes de
comunicaciones en las que es posible acoplar una estación de trabajo
en la llamada red doméstica, por ejemplo mediante una red telefónica
opcional. Algunas de estas redes, denominadas de acceso telefónico,
aplican un protocolo de autentificación extensible (EAP). En dichos
sistemas, la finalidad de la red itinerante es tan sólo transmitir
mensajes de acuerdo con el protocolo EAP entre el terminal y el
centro de autentificación de la red de origen. La red itinerante no
tiene que ser capaz de interpretar mensajes acordes con el
protocolo EAP. Puede introducirse un nuevo protocolo o algoritmo de
autentificación sin cambiar en absoluto la red itinerante. No
obstante, debe cambiarse en el terminal debido a que el software
requerido por el nuevo tipo de protocolo EAP debe actualizarse en el
caso de soluciones de la técnica anterior.
El EAP es una norma definida por la Internet
Engineering Task Force IETF para el protocolo de autentificación
ampliado utilizado en relación con un protocolo punto a punto (PPP),
y su definición más específica se presenta, por ejemplo, en el
documento de la IETF rfc2284.txt. La norma incluye las definiciones
de la estructura de mensajes que va a utilizarse para la
autentificación. El mensaje EAP incluye un campo de cabecera y un
campo de datos. El campo de cabecera define, por ejemplo, el tipo,
la identificación y la longitud del mensaje. Los mensajes se
transmiten en tramas de mensaje del protocolo PPP utilizado en la
capa de enlace de datos.
Uno de los objetivos de la presente invención
consiste en facilitar un método mejorado para la autentificación del
usuario. La invención se basa en la idea de que se facilita una
tarjeta inteligente con un interfaz de protocolos extensibles de
autentificación (EAP IF) a través del cual se llevan a cabo las
funciones de autentificación en la tarjeta inteligente. Para ser más
exactos, el método de acuerdo con la presente invención se
caracteriza básicamente porque el método incluye:
- -
- la recepción de, al menos, un mensaje de inicio de autentificación que incluye información sobre las versiones de protocolo soportadas por un servidor de autentificación,
- -
- el examen por parte del dispositivo (15) de la información relativa a las versiones de protocolo transmitidas en el mensaje de inicio de autentificación,
- -
- la selección de una de las versiones de protocolo disponibles en el servidor de autentificación y en el dispositivo,
- -
- la generación de al menos un mensaje de respuesta que incluya información acerca de la versión de protocolo seleccionada, y
- -
- la transmisión de al menos mensaje de respuesta al servidor de autentificación.
El dispositivo de acuerdo con la presente
invención se caracteriza fundamentalmente porque:
- -
- dichos medios de conexión están adaptados para recibir, al menos, un mensaje de inicio de autentificación que incluye información acerca de las versiones de protocolo soportadas por un servidor de autentificación y para enviar, al menos, un mensaje de respuesta; y
- -
- dichos medios de cálculo están adaptados para:
- -
- examinar la información relativa a las versiones de protocolo transmitidas en el mensaje de inicio de autentificación para encontrar las versiones de protocolo disponibles simultáneamente en el servidor de autentificación y el dispositivo,
- -
- seleccionar una de las versiones de protocolo disponibles simultáneamente en el servidor de autentificación y en el dispositivo,
- -
- generar, al menos, un mensaje de respuesta que incluya información acerca de la versión de protocolo seleccionada; y
- -
- generar, al menos, un mensaje de respuesta para su envío al servidor de autentificación, incluyendo al menos dicho mensaje de respuesta información relativa a la versión de protocolo seleccionada.
El terminal de acuerdo con la presente invención
se caracteriza básicamente porque incluye el dispositivo de acuerdo
con cualquiera de las reivindicaciones 9 a 17.
Adicionalmente, el sistema de autorización de
acuerdo con la presente invención se caracteriza básicamente porque
el dispositivo de autorización incluye un terminal de acuerdo con
cualquiera de las reivindicaciones 18 a 23, y un dispositivo de
acuerdo con cualquiera de las reivindicaciones 9 a 17. El programa
de ordenador de acuerdo con la presente invención se caracteriza
básicamente porque el programa de ordenador incluye un código de
ordenador que, cuando se carga en un dispositivo y se ejecuta, hace
que dicho dispositivo ejecute las etapas de cualquiera de las
reivindicaciones 1 a 8. El medio legible mediante ordenador de
acuerdo con la presente invención se caracteriza fundamentalmente
porque el medio almacena instrucciones que hacen que un dispositivo
ejecute las etapas de cualquiera de las reivindicaciones 1 a 8.
La presente invención muestra notables ventajas
en comparación con las soluciones de la técnica anterior. Cuando se
aplica el método de acuerdo con la invención, el protocolo de
autentificación utilizado para la autentificación del usuario puede
cambiarse sustituyendo la tarjeta inteligente. De este modo no es
necesario actualizar el software en la red itinerante o en el
terminal. Por ello, en redes de comunicaciones móviles, por ejemplo,
el protocolo de autentificación puede ser específico del operador,
dado que el centro de certificación de la red de origen se utiliza
como centro de autentificación. Por ello, puede utilizarse un
protocolo de autentificación diferente en la red itinerante y en la
red de origen del usuario. Dado que no es necesario actualizar el
software, se evita la transmisión de archivos de actualización, que
resultan complicados y difíciles de controlar.
En las siguientes páginas se describirá la
invención en mayor detalle haciendo referencia a los dibujos
adjuntos, en los cuales:
La figura 1 muestra un sistema de
autentificación de acuerdo con una realización preferida de la
invención en un diagrama reducido,
La figura 2 muestra un terminal inalámbrico de
acuerdo con una realización preferida de la invención en un diagrama
de bloques reducido,
La figura 3 muestra una tarjeta inteligente de
acuerdo con una realización preferida de la invención en un diagrama
de bloques reducido,
La figura 4 muestra el método de acuerdo con una
realización preferida de la invención en un diagrama de
señalización, y
Las figuras 5a a 5e muestran algunos mensajes a
utilizar en el sistema de acuerdo con una realización ventajosa de
la invención.
En la siguiente descripción detallada de la
invención se utiliza el sistema de autentificación de una red de
comunicaciones móviles 2 como ejemplo de autentificación 1, pero la
invención no se limita a su utilización exclusiva en relación con
redes de comunicaciones móviles. La red de comunicaciones móviles 2
es, por ejemplo, un sistema de comunicaciones móviles GSM o un
sistema de comunicaciones móviles UMTS, pero es evidente que la
invención puede utilizarse también en otros sistemas de
comunicaciones.
La presente invención puede también aplicarse en
relación con la autentificación UMTS-SIP que aplica
un protocolo que satisface la norma EAP así como en sistemas que
aplican el protocolo de autentificación IEEE 802.1X. Dicho protocolo
también se ha introducido en redes inalámbricas de área local
(WLAN), y se basa en la aplicación de un protocolo que cumple la
norma EAP.
El sistema de autentificación incluye un
servidor de autentificación 3 como un centro de autentificación AuC
para una red de comunicaciones móviles. El sistema de
autentificación también incluye medios de comunicación 4 para
transmitir los datos requeridos en la autentificación entre el
terminal 5 y el servidor de autentificación 3. Los medios de
comunicación incluyen, por ejemplo, estaciones base 6, controladores
de estación base 7, así como uno o más centros de conmutación móvil
8 en una red de comunicaciones móviles 2. El servidor de
autentificación 3 puede ser un servidor independiente conectado a
la red de comunicaciones móviles 2 o puede estar configurado, por
ejemplo en conexión con el centro de conmutación móvil 8.
La figura 2 muestra un terminal 5 que se ajusta
a una realización ventajosa de la invención y que puede utilizarse
en el sistema de autentificación de la figura 1. En esta realización
ventajosa de la invención, el terminal 5 incluye por ejemplo medios
de de comunicación móvil 9 para comunicar con la red de
comunicaciones móviles 2, un interfaz de usuario 10, un bloque de
control 11, medios de memoria 12, 13 y medios de conexión 14 para la
conexión de una tarjeta inteligente 15 al terminal 5. Los medios de
memoria incluyen preferiblemente una memoria de sólo lectura (ROM)
12, así como una memoria de acceso aleatorio (RAM) 13. Los medios de
conexión 14 para la conexión de la tarjeta inteligente 15 pueden
implementarse en la práctica de diversas formas. Una posibilidad
consiste en utilizar una conexión física en la que los medios de
conexión 14 incluyen conectores o similares que se encuentran
acoplados a los correspondientes conectores de la tarjeta
inteligente 15 cuando la tarjeta inteligente 15 se instala en el
terminal 5. Estos medios de conexión pueden también estar basados en
una conexión inalámbrica, en la que los medios de conexión 14 y la
tarjeta inteligente 15 incluyen medios de comunicación inalámbrica
(no mostrados) como medios de comunicación por radio (por ejemplo
Bluetooth^{TM}, WLAN), medios de comunicaciones ópticas (por
ejemplo, infrarrojos), medios de comunicación acústica, y/o medios
de comunicación inductiva.
En el terminal 5, preferiblemente en el software
del bloque de control 11, también se ha implementado una pila de
protocolos para efectuar las necesarias conversiones de protocolo
cuando se transmiten mensajes desde la red de comunicaciones móviles
2 al terminal 5, y desde el terminal 5 a la red de comunicaciones
móviles 2.
La figura 3 muestra una tarjeta inteligente 15
que se ajusta a una realización ventajosa de la invención y que
puede utilizarse, por ejemplo, en conexión con el terminal 5
mostrado en la figura 2. La tarjeta inteligente 15 incluye
preferiblemente, por ejemplo, un procesador 16, medios de memoria
como una memoria de sólo lectura 17 y una memoria de acceso
aleatorio 18, así como medios de conexión 19.
Como memoria de sólo lectura 12, 17 es posible
utilizar, por ejemplo, una ROM programable una sola vez
(OTP-ROM; ROM programable o PROM) o una ROM
programable borrable eléctricamente (EEPROM; FLASH). Igualmente
puede utilizarse la llamada RAM no volátil como memoria de sólo
lectura. Como memoria de acceso aleatorio 13, 18 es preferible
utilizar una memoria dinámica de acceso aleatorio (DRAM) y/o una
memoria de acceso aleatorio estática (SRAM).
Por ejemplo, el algoritmo de autentificación de
usuario que se ejecuta cuando se enciende un terminal, así como el
algoritmo de autentificación del usuario del terminal que se ejecuta
durante su conexión a la red de comunicaciones móviles 2, se
encuentran almacenados en la memoria de sólo lectura 17 de la
tarjeta inteligente. Además la memoria de sólo lectura 17 de la
tarjeta inteligente contiene funciones almacenadas del interfaz del
protocolo de autentificación extensible que se describirán más
adelante en esta descripción. Asimismo, de una forma conocida per
se, la memoria de sólo lectura 17 de la tarjeta inteligente
contiene otros comandos de programa que son necesarios para
controlar las funciones de la tarjeta inteligente.
Igualmente, la memoria de sólo lectura 12 del
terminal contiene comandos de programa almacenados necesarios para
controlar las funciones del terminal 5, comandos de programa
necesarios para la comunicación entre la tarjeta inteligente 15 y el
terminal 5, comandos de programa necesarios en relación con
funciones de comunicaciones móviles, comandos de control del
interfaz de usuario, etc. No obstante, no es necesario almacenar
funciones del protocolo de autentificación en el terminal 5 debido a
que en el sistema de la presente invención estas funciones se
ejecutan en el interfaz del protocolo de autentificación extensible
implementado en la tarjeta inteligente.
En el interfaz del protocolo de autentificación
extensible de esta invención, es posible por ejemplo implementar una
operación mediante la cual se solicita a la tarjeta inteligente la
identificación del usuario, así como una operación mediante la cual
puede introducirse en la tarjeta inteligente un mensaje de solicitud
como una solicitud EAP. De este modo, la función de la tarjeta
inteligente consiste en generar una respuesta (por ejemplo, una
respuesta EAP) a este mensaje. El terminal y la red itinerante
pueden implementarse de tal forma que sea posible llevar a cabo más
de un intercambio de mensajes de solicitud y respuesta antes de
descubrir el resultado de la autentificación. Asimismo, la tarjeta
inteligente contiene preferiblemente una operación mediante la cual
puede facilitarse material clave generado en relación con la
autentificación para ser utilizado por el terminal. Posteriormente,
el material clave puede utilizarse para cifrar la información que va
a transmitirse, por ejemplo a través del canal de radio que en la
actualidad es utilizado por la ley de comunicaciones móviles GSM y
UMTS.
En la etapa en la que se enciende el terminal 5
es posible llevar a cabo la verificación del usuario conocida per
se de forma, por ejemplo, que el terminal 5 muestre en la
pantalla 20 del interfaz de usuario 10 una notificación que solicita
al usuario la introducción de un número personal de identificación
(PIN). Posteriormente, el usuario introduce, por ejemplo mediante el
teclado 21 del interfaz de usuario 10, su contraseña, que es
transmitida por el bloque de control del terminal 11 a la tarjeta
inteligente 15. En la tarjeta inteligente 15, el procesador 16
comprueba la contraseña de una forma conocida per se,
mediante datos de usuario y un algoritmo configurado para
comprobación, que se encuentra almacenado en la memoria de sólo
lectura 17 de la tarjeta inteligente. Si la contraseña se ha
introducido correctamente, podrá encenderse el terminal 5.
Tras el encendido, es posible iniciar la
conexión a la red, si la señal de la estación base 6 de la red de
comunicaciones móviles 2 puede recibirse en el terminal 5. Si es
posible conectarse a la red, se inicia la transmisión de mensajes
(señalización) requerida para la conexión, procedimiento conocido
per se. Durante la conexión se lleva a cabo una actualización
de la ubicación (LA), si es necesario. Adicionalmente, en el proceso
de conexión, se asignan para la señalización un canal de transmisión
y un canal de radio de recepción, para ser utilizados por el
terminal y la estación base durante la comunicación. En relación con
la conexión, el terminal se autentifica, lo que se muestra de forma
reducida en el diagrama de señalización de la figura 4. El servidor
de autentificación 3 de la red de comunicaciones móviles 2 genera
una solicitud de conexión 501, de la cual se muestra un ejemplo
ventajoso en la figura 5ª.
La solicitud de conexión es preferiblemente un
mensaje que cumple el protocolo de autentificación extensible e
incluye determinados registros que contienen valores que pueden
modificarse para generar diferentes mensajes, utilizando
sustancialmente la misma estructura de registro. El mensaje incluye,
preferiblemente, un campo de cabecera y un campo de datos. El campo
de cabecera contiene, entre otras cosas, los siguientes registros de
datos: un registro de código 502 para transmitir información acerca
de si el mensaje es una solicitud, una respuesta, un éxito o un
fracaso; un registro de identificación 503 que se utiliza para
identificar los mensajes, por ejemplo, de tal modo que los mensajes
sucesivos deberían contener diferentes datos de identificación,
salvo cuando se retransmite el mismo mensaje; además, un registro de
longitud 504 indica la longitud del mensaje. Los datos que van a
transmitirse en el campo de datos dependen, por ejemplo, de la
finalidad de la utilización del mensaje. En el sistema de acuerdo
con una realización ventajosa de la presente invención, el campo de
datos contiene un registro de datos tipo 505, que indica el tipo del
mensaje en cuestión. Por ejemplo, en función del número tipo de EAP,
el terminal 15 puede determinar qué tarjeta inteligente 15 o módulo
de programa va a procesar el tipo de EAP (o protocolo de
autentificación) en cuestión. Los restantes registros de datos
contenidos en el mensaje son específicos del tipo, y pueden
contener, por ejemplo, datos que sean específicos del protocolo de
autentificación utilizado, como diversas consultas, respuestas,
firmas digitales o verificaciones, códigos de autentificación de
mensajes, etc.
Con la solicitud de conexión, el servidor de
autentificación 3 solicita al terminal 5 que transmita sus propios
datos de identificación. La transmisión de la solicitud de conexión
se indica mediante la flecha 401 de la figura 4. El medio de
comunicaciones móviles 9 del terminal 5 realiza las operaciones
necesarias para convertir las señales de radiofrecuencia en señales
de banda base, de una forma conocida per se. La solicitud de
conexión se transmite en el terminal 5 a la tarjeta inteligente 15,
en la cual se procesa el mensaje en el interfaz del protocolo de
autentificación extensible. En la práctica, esto significa que el
procesador 16 de la tarjeta inteligente recibe la solicitud de
conexión y ejecuta las necesarias operaciones. El procesador 16 de
la tarjeta inteligente genera una respuesta en la cual el campo de
datos contiene los datos de identificación del usuario del terminal,
preferiblemente un identificador internacional de abonado móvil
(IMSI). Dicho identificador internacional de abonado móvil contiene
un código móvil de país (MCC), un código de red móvil (MNC) y un
número de identificación de abonado móvil (MSIN). En cada tarjeta
inteligente tipo SIM 15, este identificador IMSI es único, con lo
que el abonado móvil puede identificarse en función de estos datos
de identificador.
En un caso que se ajuste a la norma EAP, el
identificador se transmite en un paquete Respuesta/ identidad EAP,
en el que la identidad de la red itinerante es el denominado
identificador de acceso a la red (NAI). En una realización ventajosa
de la invención, el identificador de usuario (por ejemplo, IMSI) se
transmite en formato codificado en este identificador de red. En un
caso general, el identificador de red es una secuencia de caracteres
que identifica al abonado. Puede contener un identificador del
operador, que se encuentra en un formato similar al de una dirección
de correo electrónico: identificador de usuario @ código de país del
operador.
Después de haberse generado el mensaje de
respuesta en la tarjeta inteligente 15, la tarjeta inteligente 15
transmite el mensaje a través de la tarjeta inteligente que conecta
los medios 19 a los medios de conexión del terminal 14. El bloque de
control del terminal 11 lee el mensaje, efectúa las necesarias
conversiones de protocolo y transmite el mensaje al medio de
comunicaciones móviles 9, para su conexión a señales de
radiofrecuencia. El terminal 5 puede ahora transmitir una respuesta
a la solicitud de conexión a la estación base 6 (flecha 402). La
respuesta se recibe en la estación base 6, desde la cual se
transfiere a través del controlador de estación base 7 al centro de
conmutación móvil 8. El centro de conmutación móvil 8 transmite
adicionalmente el mensaje al servidor de autentificación 3.
Posteriormente, el mensaje se examina en el servidor de
autentificación 3.
En la red de comunicaciones móviles, la
respuesta se transmite a la red de origen del respectivo usuario, en
la cual el servidor de autentificación 3 procesa la respuesta
recibida y comprueba los datos de abonado, por ejemplo, basándose en
un registro de localización de abonados HLR. Después de haber
comprobado los datos de usuario del abonado en una base de datos, se
inicia el proceso de autentificación del usuario, a fin de verificar
que el usuario es realmente la persona cuyos datos de abonado se
facilitan en la respuesta. El servidor de autentificación 3 continúa
con el proceso de autentificación generando un mensaje de inicio de
autentificación, cuyo campo de datos contiene la información
transmitida, por ejemplo, en relación con las versiones de protocolo
soportadas por el servidor de autentificación 3 (flecha 403). En la
figura 5b adjunta se muestra una forma ventajosa de este
mensaje.
En el terminal 5, el mensaje se transmite al
interfaz del protocolo de autentificación extensible de la tarjeta
inteligente 15 donde, por ejemplo, se examinan los datos de versión
de protocolo transmitidos en el mensaje. Si uno de los diversos
protocolos disponibles en el servidor de autentificación 3 se
encuentra también disponible en la tarjeta inteligente 15, se
seleccionará unos de estos protocolos en la tarjeta inteligente 15,
para ser utilizado en etapas adicionales del proceso de
autentificación. Adicionalmente, este protocolo puede también
definir el algoritmo de autentificación que va a utilizarse para la
autentificación.
Resulta obvio que la transmisión de mensajes que
se acaba de presentar constituye tan sólo un ejemplo de cómo se
puede aplicar la presente invención. El número de mensajes
procesados por la tarjeta inteligente 15 puede ser diferente del
indicado en este ejemplo. En un caso general, se transmiten varias
solicitudes (por ejemplo, una solicitud EAP) desde la red de
comunicaciones al terminal 5 que son guiadas por el software del
terminal 5 a la tarjeta inteligente 15. La tarjeta inteligente 15
genera respuesta (por ejemplo, una respuesta EAP) que el terminal 5
transmite a la red itinerante y desde allí al servidor de
autentificación 3 de la red de origen. El número de estas
solicitudes y respuestas no es limitado y únicamente deben ser
inteligibles para la tarjeta inteligente 15 y el servidor de
autentificación 3.
En general, los protocolos de autentificación se
basan en la regla de que el dispositivo de autentificación del
dispositivo que va a autentificarse aplica el mismo algoritmo de
autentificación en el cual se utilizan las mismas cifras como
entradas. Por ejemplo, en el sistema de comunicaciones móviles GSM,
cada abonado móvil tiene asignada una clave secreta Ki que se
encuentra almacenada en la tarjeta SIM. Además, esta clave secreta
está almacenada en el registro de localización de abonados del
abonado móvil, con lo que comparando los números de respuesta
generados por el dispositivo de autentificación y el dispositivo que
se va a autentificar es posible autentificar a la otra parte con
elevadas probabilidades. Para reducir al mínimo la posibilidad de un
uso abusivo, todas las cifras introducidas en el algoritmo de
autentificación no se transmiten entre los dispositivos sino que se
encuentran almacenadas en el dispositivo y/o en una base de datos en
la que pueden ser recuperados por el dispositivo. Concretamente,
dicha clave secreta no se transmite en ninguna de las etapas en la
red de comunicaciones móviles. En este método de acuerdo con una
realización ventajosa de la invención, se siguen las siguientes
etapas conocidas per se.
La tarjeta inteligente 15 selecciona un primer
número aleatorio NONCE_MT mediante cualquier método. Además, puede
seleccionarse un período de validez para la clave que va a definirse
en el proceso de autentificación. La información relativa al
protocolo de autentificación seleccionado, dicho primer número
aleatorio NONCE_MT y el período de validez, posiblemente
seleccionado, se transmiten al servidor de autentificación 3 en un
mensaje de conexión aplicando los mecanismos de transmisión del
mensaje presentados anteriormente (flecha 404). En la figura 5c
adjunta se muestra una forma ventajosa de este mensaje.
El servidor de autentificación 3 recupera un
número n (n\geq1) de tripletas GSM. Cada tripleta contiene un
segundo número aleatorio RAND, una respuesta firmada SRES y una
clave de cifrado Kc del registro de ubicación de abonados HLR. El
servidor de autentificación 3 recupera las tripletas GSM del
registro de ubicación de abonados HLR utilizando la red itinerante
GSM y el protocolo de componente de aplicación móvil (MAP), como se
conoce en la técnica anterior. Adicionalmente, utilizando uno o
varios algoritmos de autentificación correspondientes al protocolo
de autentificación seleccionado, el servidor de autentificación 3
calcula una clave de sesión K así como un primer código de
autentificación MAC_RAND. Los parámetros utilizados en este cálculo
son preferiblemente la clave de cifrado n*Kc, los números aleatorios
n*RAND, el identificador internacional de abonado móvil IMSI, y el
primer número aleatorio NONCE_MT. Para la clave, el servidor de
autentificación 3 puede aceptar el período de validez sugerido por
la tarjeta inteligente 15, o puede seleccionar otro período de
validez. En un mensaje de inicio de comprobación dirigido al
terminal 5, el servidor de autentificación 3 transmite uno o más
números aleatorios n*RAND seleccionados por él, el primer código de
autentificación MAC_RAND calculado por él, y otros datos relativos
al período de validez seleccionado para la clave (flecha 405). En la
figura 5d adjunta se muestra una forma ventajosa de este
mensaje.
En el interfaz de protocolo de autentificación
extensible de la tarjeta inteligente 15 del terminal 5 se ejecuta el
mismo algoritmo de autentificación de forma similar utilizando como
parámetros el primer número aleatorio
NONCE_MTE seleccionado por la tarjeta inteligente 15, un número determinado de claves de cifrado n*Kc, los segundos números aleatorios n*RAND seleccionados por el servidor de autentificación 3, así como el identificador internacional de abonado móvil IMSI (bloque 406). El resultado del algoritmo de autentificación se compara con el primer código de autentificación MAC_RAND, calculado en el servidor de autentificación 3 y transmitido a la tarjeta inteligente 15. Si la comparación demuestra que el resultado del cálculo del algoritmo de autentificación es el mismo en la tarjeta inteligente 15 y en el servidor de autentificación 3, puede asumirse en la tarjeta inteligente que el mensaje de inicio de comprobación transmitido por el servidor de autentificación fue realmente transmitido por dicho servidor de autentificación 3 y que los número aleatorios que contiene son fiables. Si la comparación muestra que los números calculados no coinciden, las funciones de autentificación se detienen preferiblemente en la tarjeta inteligente 15 y el terminal 5 no se registra en la red de comunicaciones móviles o en el caso de una autentificación a efectuar en relación con el uso de un servicio se impide la utilización del servicio.
NONCE_MTE seleccionado por la tarjeta inteligente 15, un número determinado de claves de cifrado n*Kc, los segundos números aleatorios n*RAND seleccionados por el servidor de autentificación 3, así como el identificador internacional de abonado móvil IMSI (bloque 406). El resultado del algoritmo de autentificación se compara con el primer código de autentificación MAC_RAND, calculado en el servidor de autentificación 3 y transmitido a la tarjeta inteligente 15. Si la comparación demuestra que el resultado del cálculo del algoritmo de autentificación es el mismo en la tarjeta inteligente 15 y en el servidor de autentificación 3, puede asumirse en la tarjeta inteligente que el mensaje de inicio de comprobación transmitido por el servidor de autentificación fue realmente transmitido por dicho servidor de autentificación 3 y que los número aleatorios que contiene son fiables. Si la comparación muestra que los números calculados no coinciden, las funciones de autentificación se detienen preferiblemente en la tarjeta inteligente 15 y el terminal 5 no se registra en la red de comunicaciones móviles o en el caso de una autentificación a efectuar en relación con el uso de un servicio se impide la utilización del servicio.
En una situación en la que la comparación
muestra que los números aleatorios son fiables, la tarjeta
inteligente 15 genera respuestas firmadas SRES. Esto se lleva a cabo
con un algoritmo que se corresponde con el del servidor de
autentificación 3, utilizando como parámetros las claves de cifrado
n*Kc y los segundos números aleatorios n*RAND seleccionados por el
servidor de autentificación 3. Las respuestas firmadas calculadas
n*SRES, así como preferiblemente el identificador internacional de
abonado móvil IMSI y el primer número aleatorio NONCE_MT pueden
utilizarse entonces para calcular el segundo código de
autentificación MAC_SRES con un algoritmo. Para el mensaje de inicio
de comprobación, la tarjeta inteligente 15 genera una respuesta que
se transmite al servidor de autentificación 3 (flecha 407). En esta
respuesta se transmite el segundo número de autentificación MAC_SRES
calculado en la tarjeta inteligente. Una forma ventajosa de este
mensaje se muestra en la figura 5b adjunta. El servidor de
autentificación 3 puede efectuar un cálculo similar y comparar el
número de autentificación calculado por él con el segundo número de
autentificación MAC_SRES transmitido desde la tarjeta inteligente
15. Si los números de autentificación coinciden, el servidor de
autentificación 3 puede asumir que el usuario es realmente la
persona cuyo identificador internacional de abonado móvil se ha
transmitido desde la tarjeta inteligente 15 del terminal al servidor
de autentificación 3. Al final de un proceso satisfactorio de
autentificación, el servidor de autentificación 3 transmite esta
información al terminal 5 (flecha 408). En este mismo mensaje, el
servidor de autentificación 3 puede también transmitir una clave de
sesión K al terminal 5.
Resulta evidente que el proceso de
autentificación mencionado anteriormente y la estructura y el
contenido de los mensajes transmitidos en relación con él
constituyen tan sólo algunos ejemplos ventajosos del funcionamiento
de acuerdo con un protocolo de autentificación (EAP/SIM). Dentro del
ámbito de la presente invención, también es posible utilizar otras
estructuras de mensaje y datos de autentificación cuyos detalles
pueden ser diferentes de los facilitados en el ejemplo anterior. La
invención tampoco se limita únicamente al protocolo de
autentificación extensible, sino que también pueden aplicarse otros
protocolos de autentificación comunes en relación con la invención.
Lo que es esencial es que la tarjeta inteligente 15 disponga de un
interfaz de protocolo de autentificación en el cual sea posible
procesar los mensajes recibidos relacionados con la autentificación
para generar mensajes relacionados con la autentificación y que se
transmitan al servidor de autentificación 3 para procesar claves
relacionadas con la autentificación (por ejemplo, para recuperarlas
de la memoria de sólo lectura 17 de la tarjeta inteligente y/o del
mensaje recibido), así como para verificar los mensajes
relacionados con la autentificación. De este modo, todas las
funciones sustancialmente relacionadas con la autentificación en el
terminal 5 pueden incluirse en la tarjeta inteligente 15.
El método de acuerdo con la invención pueden
también aplicarse en una situación en la que el terminal 5 está
acoplado, por ejemplo, a la red de datos Internet 22 y en la que se
utiliza una tarjeta SIM para la identificación del usuario. De este
modo, el servidor de autentificación puede estar situado por ejemplo
en el interfaz entre la red de datos Internet 22 y la red de
comunicaciones móviles, pudiendo comunicarse el servidor de
autentificación con el centro de autentificación AuC de la red de
comunicaciones móviles para recuperar los datos de autentificación
necesarios. Se utiliza el protocolo PPP entre el terminal 5 y el
denominado servidor de acceso a la red (NAS). El servidor de acceso
a la red se comunica con el servidor de autentificación utilizando
el protocolo AAA. En las redes de área local inalámbricas, la
situación es similar en lo que respecta a los componentes
esenciales. Entre el terminal y el punto de acceso de la red
inalámbrica de área local, por ejemplo, se utiliza el protocolo
IEEE 802.1X, que se basa en la utilización del protocolo EAP. El
punto de acceso se comunica con el centro de autentificación
utilizando el protocolo AAA.
Mediante el método de la invención puede
cambiarse el protocolo de autentificación, por ejemplo, sustituyendo
la tarjeta inteligente 15. De este modo, puede utilizarse un
protocolo implementado en la nueva tarjeta inteligente 15, así como
en el servidor de autentificación. Por ejemplo, no es necesario
introducir cambios en el software del terminal en relación con el
cambio del protocolo de autentificación.
Como terminal 5, es posible utilizar, por
ejemplo, un terminal inalámbrico como un dispositivo de
comunicaciones inalámbrico, como el Nokia 9210 Communicator o
similar. La invención puede también aplicarse, por ejemplo, para la
autentificación de una estación de trabajo en una red de área local
y para la autentificación de un ordenador que va a acoplarse a la
red de datos Internet 22 mediante una conexión inalámbrica o no.
La invención puede también aplicarse de tal
forma que el interfaz del protocolo de autentificación extensible
del dispositivo 15 para verificar los derechos de uso asigne algunas
de las operaciones de cálculo criptográfico para su ejecución en el
terminal 5. Las operaciones criptográficas incluyen por ejemplo
cifrado, descifrado, funciones de troceo, función de código de
autentificación de mensajes, comprobación de certificados así como
otras operaciones criptográficas relacionadas con la clave pública
como el cálculo del intercambio de claves
Diffie-Hellman, etc. Algunas de estas operaciones
criptográficas requieren una gran capacidad de cálculo que en
algunas aplicaciones puede ser más fácilmente configurada en el
terminal 5 que en el dispositivo 15 para verificar los derechos de
uso. Además, estas operaciones son operaciones criptográficas
básicas que a menudo se implementan en librerías universales y no
requieren necesariamente actualizaciones de software en el terminal
5. De este modo, es posible utilizar diversas identificaciones a
partir de las cuales el dispositivo 15 de verificación de los
derechos de uso puede informar al terminal 15 acerca de la
operación/algoritmo que va a utilizarse en un momento dado y
transmitir los parámetros necesarios al terminal 5 a través del
interfaz de protocolo de autentificación extensible. El terminal 5,
a su vez, transmite respuestas al interfaz de protocolo de
autentificación extensible del dispositivo 15 para verificar los
derechos de uso.
La invención puede también implementarse
mediante software creando uno o más programas informáticos en los
que se definan etapas ejecutables por la máquina para realizar las
diferentes etapas de la presente invención. El programa o programas
informáticos pueden almacenarse en un medio de almacenamiento para
facilitar, por ejemplo, el programa de ordenador a los usuarios para
la instalación del programa de ordenador en el terminal 5 y/o en el
dispositivo 15 para verificar los derechos de utilización.
Es evidente que la presente invención no se
limita solamente a las realizaciones presentadas anteriormente, sino
que puede modificarse dentro del ámbito de las reivindicaciones
adjuntas.
Claims (26)
1. Método para autentificación de un usuario de
un terminal (5), incluyendo dicho método la ejecución de al menos
una operación de cálculo relativa a un algoritmo de autentificación
de un protocolo de autentificación en un dispositivo (15) conectado
al terminal (5) caracterizado porque dicho método
incluye:
- la recepción de al menos un mensaje de inicio
de autentificación que incluye información acerca de las versiones
de protocolo soportadas por el servidor de autentificación (3),
- el examen por parte del dispositivo (15) de la
información relativa a las versiones de protocolo transmitidas en el
mensaje de inicio de autentificación,
- la selección de una de las versiones de
protocolo disponibles simultáneamente en el servidor de
autentificación (3) y en el dispositivo (15),
- la generación de al menos un mensaje de
respuesta que comprenda información acerca de la versión de
protocolo seleccionada, y
- la transmisión de, al menos, dicho mensaje de
respuesta al servidor de autentificación (3).
2. Método de acuerdo con la reivindicación 1 en
el que las operaciones de cálculo relativas al algoritmo de
autentificación se llevan a cabo en dicho dispositivo (15).
3. Método de acuerdo con las reivindicaciones 1
o 2 en el que, al menos, una operación de cálculo perteneciente a
una pluralidad de operaciones de cálculo relativas al algoritmo de
autentificación se lleva a cabo en dicho terminal (5).
4. Método de acuerdo con cualquiera de las
reivindicaciones 1 a 3 que incluye el almacenamiento en el
dispositivo (15) de al menos un algoritmo de autentificación.
5. Método de acuerdo con cualquiera de las
reivindicaciones 1 a 4 que incluye el almacenamiento en el
dispositivo (15) de los datos de identificación (IMSI, Ki) relativos
al usuario.
6. Método de acuerdo con cualquiera de las
reivindicaciones 1 a 5 que incluye la generación en dicho
dispositivo (15) de, al menos, una clave criptográfica (Kc) cuando
se procesa al menos dicho mensaje de inicio de autentificación.
7. Método de acuerdo con la reivindicación 6
que incluye la transmisión al terminal (5) de, al menos, una de
dichas claves criptográficas (Kc) para cifrado de la información
transmitida entre el terminal (5) y una red de comunicaciones
(2).
8. Método de acuerdo con cualquiera de las
reivindicaciones 1 a 7 en el que dicho protocolo de autentificación
es el protocolo de autentificación extensible.
9. Dispositivo (15) para la autentificación de
un usuario de un terminal (5) incluyendo dicho dispositivo (15)
- medios de conexión (19) para conectar el
dispositivo al terminal, y
- medios de cálculo (16) para llevar a cabo, al
menos, una operación de cálculo relativa a un algoritmo de
autentificación,
caracterizado porque
- -
- dichos medios de conexión (19) están adaptados para recibir al menos un mensaje de inicio de autentificación que incluye información relativa a las versiones de protocolo soportadas por un servidor de autentificación (3) y para enviar, al menos, un mensaje de respuesta, y porque
- -
- dichos medios de cálculo (16) están adaptados para
- -
- examinar la información relativa a las versiones de protocolo transmitidas en el mensaje de inicio de autentificación para encontrar las versiones de protocolo disponibles simultáneamente en el servidor de autentificación (3) y en el dispositivo (15),
- -
- seleccionar una de las versiones de protocolo disponible simultáneamente en el servidor de autentificación (3) y en el dispositivo (15),
- -
- generar, al menos, un mensaje de respuesta que incluya información relativa a la versión de protocolo seleccionada, y
- -
- generar, al menos, un mensaje de respuesta para su envío al servidor de autentificación (3), incluyendo, al menos, uno de los mensajes de respuesta información relativa a la versión de protocolo seleccionada.
10. Dispositivo (15) de acuerdo con la
reivindicación 9, en el que dichos medios de cálculo (16) están
configurados para realizar operaciones de cálculo relativas al
algoritmo de autentificación.
11. Dispositivo (15) de acuerdo con la
reivindicación 9, en el que, al menos, una operación de cálculo
perteneciente a una pluralidad de operaciones de cálculo relativas
al algoritmo de autentificación se asigna para su ejecución en dicho
terminal (5).
12. Dispositivo (15) de acuerdo con cualquiera
de las reivindicaciones 9 a 11, que incluye medios (17, 18) para
almacenar, al menos, un algoritmo de autentificación en dicho
dispositivo (15).
13. Dispositivo (15) de acuerdo con cualquiera
de las reivindicaciones 9 a 12 en el que dichos medios de
almacenamiento (17, 18) están configurados para almacenar datos de
identificación relativos al usuario.
14. Dispositivo (15) de acuerdo con cualquiera
de las reivindicaciones 9 a 13, que incluye medios (16, 17, 18) para
generar al menos una clave criptográfica.
15. Dispositivo (15) de acuerdo con la
reivindicación 14, que incluye medios (19) para transmitir a dicho
terminal (5), al menos, una clave criptográfica para cifrar la
información transmitida entre el terminal (5) y una red de
comunicaciones (2).
16. Dispositivo (15) de acuerdo con cualquiera
de las reivindicaciones 9 a 15, que incluye un módulo de
identificación de abonado móvil.
17. Dispositivo (15) de acuerdo con cualquiera
de las reivindicaciones 9 a 16, en el que dicho protocolo de
autentificación es el protocolo de autentificación extensible.
18. Terminal (5) que incluye el dispositivo (15)
de acuerdo con cualquiera de las reivindicaciones 9 a 17.
19. Terminal (5) de acuerdo con la
reivindicación 18, configurado para llevar a cabo, al menos, una
operación de cálculo perteneciente a una pluralidad de operaciones
de cálculo relativas a un algoritmo de autentificación utilizado
para autentificar al usuario de dicho terminal.
20. Terminal (5) de acuerdo con las
reivindicaciones 18 o 19, que incluye medios (14) para la recepción
de una clave criptográfica procedente de dicho dispositivo (15).
21. Terminal (5) de acuerdo con la
reivindicación 20, que incluye medios (11, 12) para cifrar las
comunicaciones entre el terminal y un sistema de comunicaciones
utilizando dicha clave criptográfica.
22. Terminal (5) de acuerdo con cualquiera de
las reivindicaciones 18 a 21, que incluye medios (9) para realizar
funciones de estación móvil.
23. Terminal (5) de acuerdo con cualquiera de
las reivindicaciones 18 a 22, en el que dicho protocolo de
autentificación es el protocolo de autentificación extensible.
24. Sistema de autentificación (1) que incluye
un terminal (5) de acuerdo con cualquiera de las reivindicaciones 18
a 23 y un dispositivo (15) de acuerdo con cualquiera de las
reivindicaciones 9 a 17.
25. Programa de ordenador que incluye un código
informático que al cargarse en un dispositivo (15) y ejecutarse,
hace que dicho dispositivo (15) lleve a cabo las etapas de
cualquiera de las reivindicaciones 1 a 8.
26. Medio de almacenamiento legible por
ordenador que almacena instrucciones que hacen que un dispositivo
(15) lleve a cabo las etapas de cualquiera de las reivindicaciones 1
a 8.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FI20011909A FI114953B (fi) | 2001-09-28 | 2001-09-28 | Menetelmä käyttäjän tunnistamiseksi päätelaitteessa, tunnistusjärjestelmä, päätelaite ja käyttöoikeuksien varmistuslaite |
| FI20011909 | 2001-09-28 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| ES2263811T3 true ES2263811T3 (es) | 2006-12-16 |
Family
ID=8561973
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| ES02762485T Expired - Lifetime ES2263811T3 (es) | 2001-09-28 | 2002-09-27 | Procedimiento para auntentificacion de usuario en un terminal, sistema de autentificacion, terminal y dispositivo de autorizacion. |
Country Status (13)
| Country | Link |
|---|---|
| US (1) | US7848522B2 (es) |
| EP (1) | EP1430640B1 (es) |
| JP (2) | JP4837890B2 (es) |
| KR (3) | KR100978818B1 (es) |
| CN (1) | CN100433616C (es) |
| AT (1) | ATE326092T1 (es) |
| BR (2) | BR0212814A (es) |
| CA (1) | CA2461804C (es) |
| DE (1) | DE60211360T2 (es) |
| ES (1) | ES2263811T3 (es) |
| FI (1) | FI114953B (es) |
| WO (1) | WO2003030445A1 (es) |
| ZA (1) | ZA200401571B (es) |
Families Citing this family (37)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100417109C (zh) | 2003-02-28 | 2008-09-03 | 西门子公司 | 用于在wlan网络中传输数据的方法 |
| US20040225709A1 (en) * | 2003-05-06 | 2004-11-11 | Joseph Kubler | Automatically configuring security system |
| CN1549482B (zh) * | 2003-05-16 | 2010-04-07 | 华为技术有限公司 | 一种实现高速率分组数据业务认证的方法 |
| US8229118B2 (en) * | 2003-11-07 | 2012-07-24 | Qualcomm Incorporated | Method and apparatus for authentication in wireless communications |
| FR2869190B1 (fr) | 2004-04-19 | 2006-07-21 | Alcatel Sa | Procede permettant a l'usager d'un terminal telephonique sans fil d'etablir une connexion d'urgence dans un reseau local; terminal et serveur pour la mise en oeuvre de ce procede |
| GB2415816B (en) * | 2004-06-30 | 2007-12-05 | Nokia Corp | Security device |
| KR20060003296A (ko) * | 2004-07-05 | 2006-01-10 | 삼성전자주식회사 | 이동통신망과 무선랜 사이의 핸드 오프 방법 및 그 시스템 |
| KR100651718B1 (ko) * | 2004-10-18 | 2006-12-01 | 한국전자통신연구원 | Ｕｓｉｍ 카드의 공개키 생성과 갱신 제어 방법 및 장치 |
| US20060174127A1 (en) * | 2004-11-05 | 2006-08-03 | Asawaree Kalavade | Network access server (NAS) discovery and associated automated authentication in heterogenous public hotspot networks |
| JP4786190B2 (ja) * | 2005-02-01 | 2011-10-05 | 株式会社エヌ・ティ・ティ・ドコモ | 認証ベクトル生成装置、加入者認証モジュール、無線通信システム、認証ベクトル生成方法、演算方法及び加入者認証方法 |
| GB0506570D0 (en) * | 2005-03-31 | 2005-05-04 | Vodafone Plc | Facilitating and authenticating transactions |
| FI20050491A0 (fi) * | 2005-05-09 | 2005-05-09 | Nokia Corp | Järjestelmä varmenteiden toimittamiseksi viestintäjärjestelmässä |
| US7657255B2 (en) * | 2005-06-23 | 2010-02-02 | Microsoft Corporation | Provisioning of wireless connectivity for devices using NFC |
| US20070124589A1 (en) * | 2005-11-30 | 2007-05-31 | Sutton Ronald D | Systems and methods for the protection of non-encrypted biometric data |
| US8763081B2 (en) * | 2006-04-03 | 2014-06-24 | Bridgeport Networks, Inc. | Network based authentication |
| DE102006018645B4 (de) * | 2006-04-21 | 2008-07-24 | Nokia Siemens Networks Gmbh & Co.Kg | Verfahren, Vorrichtungen und Computerprogrammprodukt zum Ver- und Entschlüsseln von Mediendaten |
| US20080101273A1 (en) * | 2006-10-27 | 2008-05-01 | Hewlett-Packard Development Company Lp | Wireless device association |
| DE102006060040B4 (de) * | 2006-12-19 | 2009-09-17 | Nokia Siemens Networks Gmbh & Co.Kg | Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung |
| KR101009871B1 (ko) * | 2007-08-09 | 2011-01-19 | 한국과학기술원 | 통신 시스템에서 인증 방법 |
| US8509439B2 (en) * | 2007-12-31 | 2013-08-13 | Intel Corporation | Assigning nonces for security keys |
| US9003197B2 (en) * | 2008-03-27 | 2015-04-07 | General Instrument Corporation | Methods, apparatus and system for authenticating a programmable hardware device and for authenticating commands received in the programmable hardware device from a secure processor |
| US20090320125A1 (en) * | 2008-05-08 | 2009-12-24 | Eastman Chemical Company | Systems, methods, and computer readable media for computer security |
| JP4638928B2 (ja) * | 2008-08-19 | 2011-02-23 | シャープ株式会社 | 認証システム、端末装置、及び、情報処理装置 |
| CA2773128A1 (en) * | 2008-09-04 | 2010-03-11 | T-Data Systems (S) Pte Ltd | Method and apparatus for wireless digital content management |
| ATE529821T1 (de) * | 2009-08-28 | 2011-11-15 | Sagem Orga Gmbh | Chipkarte, elektronisches system, verfahren, das mit der chipkarte umgesetzt wird und computerprogrammprodukt |
| TWI421777B (zh) * | 2010-06-30 | 2014-01-01 | Mstar Semiconductor Inc | 認證處理裝置及其相關行動裝置 |
| KR101116339B1 (ko) * | 2010-09-14 | 2012-03-09 | 주식회사 이맥소프트 | 개인정보 보호를 강화한 전자투표장치 |
| TWI466525B (zh) * | 2011-11-21 | 2014-12-21 | Inst Information Industry | 存取控制系統及其存取控制方法 |
| US9680646B2 (en) | 2015-02-05 | 2017-06-13 | Apple Inc. | Relay service for communication between controllers and accessories |
| CN106341233A (zh) | 2015-07-08 | 2017-01-18 | 阿里巴巴集团控股有限公司 | 客户端登录服务器端的鉴权方法、装置、系统及电子设备 |
| JP5951094B1 (ja) | 2015-09-07 | 2016-07-13 | ヤフー株式会社 | 生成装置、端末装置、生成方法、生成プログラム及び認証処理システム |
| JP6122924B2 (ja) | 2015-09-11 | 2017-04-26 | ヤフー株式会社 | 提供装置、端末装置、提供方法、提供プログラム及び認証処理システム |
| DE102018005201A1 (de) * | 2018-06-29 | 2020-01-02 | Giesecke+Devrient Mobile Security Gmbh | Verfahren zur authentifizierung eines benutzers, teilnehmer-identitäts modul, authentifizierungsserver und authentifizierungssystem |
| US11151576B2 (en) | 2019-04-05 | 2021-10-19 | At&T Intellectual Property I, L.P. | Authorizing transactions using negative pin messages |
| US12021861B2 (en) * | 2021-01-04 | 2024-06-25 | Bank Of America Corporation | Identity verification through multisystem cooperation |
| CN114189365B (zh) * | 2021-11-26 | 2024-05-28 | 特赞（上海）信息科技有限公司 | 基于字段映射的通用多租户业务授权方法和装置 |
| CN115297479A (zh) * | 2022-08-04 | 2022-11-04 | 上海博泰悦臻网络技术服务有限公司 | 一种认证方法及认证系统 |
Family Cites Families (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5537474A (en) | 1994-07-29 | 1996-07-16 | Motorola, Inc. | Method and apparatus for authentication in a communication system |
| EP0723251A3 (en) | 1995-01-20 | 1998-12-30 | Tandem Computers Incorporated | Method and apparatus for user and security device authentication |
| WO1997011565A2 (en) * | 1995-09-21 | 1997-03-27 | Motorola Inc. | Embedded protocol |
| JP3296230B2 (ja) | 1996-01-23 | 2002-06-24 | ケイディーディーアイ株式会社 | 加入者／移動機識別装置 |
| FI102235B (fi) | 1996-01-24 | 1998-10-30 | Nokia Telecommunications Oy | Autentikointiavainten hallinta matkaviestinjärjestelmässä |
| US5910774A (en) | 1996-09-18 | 1999-06-08 | Itron, Inc. | Sensor for count and tamper detection |
| JP3050843B2 (ja) * | 1997-02-28 | 2000-06-12 | 松下電器産業株式会社 | デジタル著作物の著作権保護のための暗号技術利用プロトコルを複数から選択して使用する情報機器 |
| JP4268690B2 (ja) * | 1997-03-26 | 2009-05-27 | ソニー株式会社 | 認証システムおよび方法、並びに認証方法 |
| US6584310B1 (en) * | 1998-05-07 | 2003-06-24 | Lucent Technologies Inc. | Method and apparatus for performing authentication in communication systems |
| FI105966B (fi) * | 1998-07-07 | 2000-10-31 | Nokia Networks Oy | Autentikointi tietoliikenneverkossa |
| US6976165B1 (en) | 1999-09-07 | 2005-12-13 | Emc Corporation | System and method for secure storage, transfer and retrieval of content addressable information |
| EP1094682B1 (en) | 1999-10-22 | 2005-06-08 | Telefonaktiebolaget LM Ericsson (publ) | Mobile phone incorporating security firmware |
| CA2387608C (en) * | 1999-11-03 | 2005-10-18 | Nokia Corporation | Method and apparatus for selecting an identification confirmation information |
| US7257836B1 (en) * | 2000-04-24 | 2007-08-14 | Microsoft Corporation | Security link management in dynamic networks |
| US6721793B1 (en) * | 2000-05-10 | 2004-04-13 | Cisco Technology, Inc. | Intellectual property over non-internet protocol systems and networks |
| FI115098B (fi) * | 2000-12-27 | 2005-02-28 | Nokia Corp | Todentaminen dataviestinnässä |
| US20030093680A1 (en) * | 2001-11-13 | 2003-05-15 | International Business Machines Corporation | Methods, apparatus and computer programs performing a mutual challenge-response authentication protocol using operating system capabilities |
| US7376701B2 (en) * | 2002-04-29 | 2008-05-20 | Cisco Technology, Inc. | System and methodology for control of, and access and response to internet email from a wireless device |
| US20040014422A1 (en) * | 2002-07-19 | 2004-01-22 | Nokia Corporation | Method and system for handovers using service description data |
| US8166499B2 (en) * | 2003-09-18 | 2012-04-24 | General Instrument Corporation | Method, apparatus and set-top device for transmitting content to a receiver |
-
2001
- 2001-09-28 FI FI20011909A patent/FI114953B/fi not_active IP Right Cessation
-
2002
- 2002-09-27 CA CA2461804A patent/CA2461804C/en not_active Expired - Lifetime
- 2002-09-27 KR KR1020087018480A patent/KR100978818B1/ko not_active Expired - Lifetime
- 2002-09-27 ES ES02762485T patent/ES2263811T3/es not_active Expired - Lifetime
- 2002-09-27 BR BR0212814-4A patent/BR0212814A/pt active IP Right Grant
- 2002-09-27 CN CNB028192281A patent/CN100433616C/zh not_active Expired - Lifetime
- 2002-09-27 EP EP02762485A patent/EP1430640B1/en not_active Expired - Lifetime
- 2002-09-27 KR KR1020077016978A patent/KR100952453B1/ko not_active Expired - Lifetime
- 2002-09-27 BR BRPI0212814-4A patent/BRPI0212814B1/pt unknown
- 2002-09-27 US US10/491,116 patent/US7848522B2/en active Active
- 2002-09-27 JP JP2003533513A patent/JP4837890B2/ja not_active Expired - Lifetime
- 2002-09-27 WO PCT/FI2002/000769 patent/WO2003030445A1/en active Application Filing
- 2002-09-27 AT AT02762485T patent/ATE326092T1/de active
- 2002-09-27 KR KR10-2004-7004332A patent/KR20040037113A/ko not_active Ceased
- 2002-09-27 DE DE60211360T patent/DE60211360T2/de not_active Expired - Lifetime
-
2004
- 2004-02-26 ZA ZA200401571A patent/ZA200401571B/en unknown
-
2009
- 2009-12-04 JP JP2009276886A patent/JP5189066B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| WO2003030445A1 (en) | 2003-04-10 |
| FI114953B (fi) | 2005-01-31 |
| KR20070087211A (ko) | 2007-08-27 |
| FI20011909A0 (fi) | 2001-09-28 |
| KR100952453B1 (ko) | 2010-04-13 |
| JP4837890B2 (ja) | 2011-12-14 |
| EP1430640B1 (en) | 2006-05-10 |
| KR100978818B1 (ko) | 2010-08-30 |
| BRPI0212814B1 (pt) | 2019-07-30 |
| CN1561607A (zh) | 2005-01-05 |
| KR20040037113A (ko) | 2004-05-04 |
| JP2010114912A (ja) | 2010-05-20 |
| CN100433616C (zh) | 2008-11-12 |
| CA2461804A1 (en) | 2003-04-10 |
| US7848522B2 (en) | 2010-12-07 |
| ZA200401571B (en) | 2004-08-31 |
| EP1430640A1 (en) | 2004-06-23 |
| US20040236964A1 (en) | 2004-11-25 |
| JP2005505194A (ja) | 2005-02-17 |
| BR0212814A (pt) | 2004-10-05 |
| CA2461804C (en) | 2010-11-23 |
| KR20080078740A (ko) | 2008-08-27 |
| DE60211360T2 (de) | 2006-09-28 |
| ATE326092T1 (de) | 2006-06-15 |
| FI20011909L (fi) | 2003-03-29 |
| JP5189066B2 (ja) | 2013-04-24 |
| DE60211360D1 (de) | 2006-06-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| ES2263811T3 (es) | Procedimiento para auntentificacion de usuario en un terminal, sistema de autentificacion, terminal y dispositivo de autorizacion. | |
| KR101038229B1 (ko) | 통신 시스템에서의 인증 실행 | |
| ES2922726T3 (es) | Procedimiento y aparato de gestión de un perfil de un terminal en un sistema de comunicación inalámbrica | |
| US8869242B2 (en) | Authentication in heterogeneous IP networks | |
| KR100553413B1 (ko) | 키 갱신 방법 및 시스템 | |
| ES2349292T3 (es) | Procedimiento y servidor para proporcionar una clave de movilidad. | |
| EP1686824B1 (en) | Attaching at least one of an algorithm and secret information specification to a field for storing random numbers for usage in an authentication calculation in a SIM card | |
| EP1650915A1 (en) | Method of authenticating a mobile network node for establishing a secure peer-to-peer context between a pair of communicating mobile network nodes | |
| US7984486B2 (en) | Using GAA to derive and distribute proxy mobile node home agent keys | |
| JP2000269959A (ja) | キー更新による認証方法 | |
| US20030236980A1 (en) | Authentication in a communication system | |
| ES2935717T3 (es) | Método para autenticar un usuario y dispositivo, primer y segundo servidores y sistema correspondientes | |
| US9788202B2 (en) | Method of accessing a WLAN access point | |
| CN104982053A (zh) | 用于获得认证无线设备的永久身份的方法和网络节点 | |
| JP2002232962A (ja) | 移動通信認証インターワーキング方式 | |
| CN119790623A (zh) | 双因素认证 |