FI106605B - Autentikointimenetelmä - Google Patents

Description

1 106605

Autentikointimenetelmä

Keksinnön ala Tämä keksintö liittyy tilaajalaitteen ja verkon väliseen autentikointiin 5 tietoliikennejärjestelmässä. Erityisesti keksintöä voidaan soveltaa matkaviestinjärjestelmän autentikointimenettelyissä.

Keksinnön tausta

Autentikoinnin tarkoituksena on ennen tietoliikenneyhteyden muo-10 dostamista varmistaa tiedonsiirron osapuolten tunnistuksen oikeellisuus. Osapuolten oikeellisuus on tarkistettava tilaajan tietoturvan varmistamiseksi. Lisäksi autentikoinnilla voidaan estää verkon palveluiden käyttäminen toisen tilaajan identiteetillä.

Osapuolten tunnistuksen oikeellisuuden tarkistaminen on erityisen 15 tärkeää matkaviestinjärjestelmissä, joissa tilaaja ja verkko ilmoittavat identiteettinsä toisilleen ennen yhteyden muodostusta. Mikäli annettujen identiteettien oikeellisuutta ei tarkisteta voidaan yhteys muodostaa väärällä identiteetillä yksinkertaisesti antamalla jonkun toisen matkaviestintilaajan tai verkon tunnistetieto. Kiinteän puhelinverkon piirikytketyissä järjestelmissä tilaa-20 jän identiteetin määrittää tilaajajohto, joten väärällä identiteetillä esiintyminen vaatii jonkun toisen tilaajan tilaajajohdon käyttöä. Pakettikytketyissä järjestelmissä tilaajan identiteetti siirretään jokaisessa hänen lähettämässään datapaketissa, joten niissä väärällä identiteetillä esiintymiseen riittää pelkkä väärän identiteettitiedon antaminen. Tilaajan antaman identiteetin oikeelli-25 suus voidaan tarkistaa kaikissa järjestelmissä periaatteessa samanlaisilla autentikointimenettelyillä.

Kuvassa 1 on esitetty erästä matkaviestinverkkoa ja sen autentikointiin liittyviä verkkoelementtejä. Kuvassa on esitetty kaksi matkaviestin-keskusta MSC1, MSC2 (MSC=Mobile services Switching Centre), ja niiden 30 yhteyteen sijoitetut vierailijasijaintirekisterit VLR1, VLR2 (VLR=Visitor Loca-* tion Register) tukiasemaohjaimia BSC (Base Station Controller), tukiasemia BTS (Base Transceiver Station), matkaviestin MS (Mobile Station), kotisijain-tirekisteri HLR (Home Location Register) ja tyypillisesti HLR:n yhteyteen sijoitettu autentikointikeskus AUC (Authentication Centre). Matkaviestinkes- 106605 kukset voivat muodostaa kuvassa katkoviivoilla merkittyjä signalointiyhteyksiä kotisijaintirekisteriin HLR ja autentikointikeskukseen AUC.

Jokaisella matkaviestintilaajalla on kotiverkko HPLMN (Home Public Land Mobile Network), jota operoivan operaattorin kanssa matkaviesti nti-5 laaja on tehnyt sopimuksen, ja johon tilaajan tiedot on talletettu. Kotiverkkonsa HPLMN lisäksi matkaviestintilaaja voi käyttää palveluja myös niissä muissa matkaviestinverkoissa PLMN (Public Land Mobile Network), joiden kanssa hänen operaattorillaan on yhteiskäyttö eli roaming-sopimus. Verkkoa, jonka kanssa matkaviestin on yhteydessä kutsutaan jatkossa vierailluksi ver-10 koksi VPLMN (Visited Public Land Mobile Network), joka voi olla matkaviestimen kotiverkko HPLMN tai joku muu matkaviestinverkko PLMN.

Matkaviestinjärjestelmä on matkaviestinkeskuksen MSC kautta yhteydessä muihin verkkoihin, kuten esim. PSTN (Public Switched Telephone Network) tai ISDN (Integrated Services Digital Network). Matkaviestinkes-15 kukseen MSC on kytketty useita tukiasemaohjaimia BSC. Jokaiseen tukiasemaohjaimeen BSC on kytketty useita tukiasemia BTS. Tukiasemat voivat muodostaa yhteyksiä tilaajalaitteesta ME (Mobile Equipment) ja tilaaja-modulista SIM (Subscriber Identity Module) koostuviin järjestelmän tilaaja-asemiin eli matkaviestimiin MS (Mobile Station) niin kutsutun ilmarajapinnan 20 kanavien kautta.

Tunnetussa GSM-järjestelmässä käytettävää autentikointimenette-lyä on esitetty kuvassa 2. Järjestelmässä autentikoinnin tarkoituksena on varmistaa, että verkon kanssa yhteyttä haluava matkaviestin todella on se, joksi se itseään väittää. Autetikointimenettelyn periaatteena on, että verkko • · 25 kysyy matkaviestimeltä kysymyksen, johon vain annetun identiteetin mukaan oikea matkaviestin tietää oikean vastauksen. Menettely perustuu tilaajakoh-taisen autentikointiavaimen Ki käyttöön. Avain Ki on talletettu tilaajatietojen syöttövaiheessa autentikointikeskukseen AUC ja matkaviestimeen sijoitettavaan tilaajakohtaisen tilaajamoduliin SIM. Avainta ei voi millään menetel-30 mällä saada selville ainakaan tilaajamodulia SIM rikkomatta, vaan se on ai- * noastaan autentikointikeskukseen ja tilaajamoduliin sijoitettujen autentikon-tialgoritmien käytössä.

Autentikointimenetelmä on kaksivaiheinen. Ensimmäisessä vaiheessa (kuvan 2 vaiheet 201-203) autentikointikeskus muodostaa ja ilmoit-35 taa matkaviestimen sillä hetkellä vierailemalle verkolle niin kutsutut autenti- • * · t 3 106605 kointitripletit. Toisessa vaiheessa verkko autentikoi matkaviestintilaajan au-tentikointikeskukselta saamiensa triplettien avulla (vaiheet 204-210).

Autentikointitriplettien muodostus aloitetaan generoimalla satun-, naislukugeneraattorilla satunnaisluku RAND (vaihe 201). Satunnaisluku 5 RAND syötetään vaiheessa 202 yhdessä matkaviestintilaajakohtaiseen au-tentikointiavaimen Ki kanssa algoritmeihin A3 ja A8. Algoritmit A3 ja A8 ovat GSM-operaattoreiden järjestön Moll (Memorandum of Understanding) määrittämiä salaisia algoritmeja, joista eri operaattorit voivat käyttää eri versioita. Perusajatukseltaan algoritmit ovat avaimellisia yksisuuntaisia hajautusfunkti-10 oita H(K,X), joille pätee 1. kun K ja X on annettu, yksikäsitteinen H(K,X) on helppo laskea ja 2. kun X on annettu, mutta avain K tuntematon, on H(K,X) mahdoton tai ainakin hyvin vaikea laskea, 3. kun suuri joukko argumentteja X ja vastaavat hajautusfunktion 15 arvot H(K,X) on annettu, mutta avain K on tuntematon, on mah doton tai ainakin hyvin vaikea laskea avainta K ja 4. kun suuri joukko argumentteja X ja vastaavat hajautusfunktion arvot H(K,X) on annettu, mutta avain K on tuntematon, on mahdoton tai ainakin hyvin vaikea laskea hajautusfunktion arvoa 20 H(K,X’) annetulle syötteelle X’, jos arvoa ei ennestään tunneta.

GSM-järjestelmän (toteutukseltaan salaisten) algoritmien A3 ja A8 lisäksi esimerkkejä tunnetuista avaimellisista yksisuuntaisista hajautusfunkti-oista ovat esimerkiksi SHA (Secure Hash Algorithm) ja MD5 (Message Di-. gest Algorithm 5) -algoritmeista muodostetut HMAC (Hash-Based Message 25 Authentication Code)-algoritmit.

Algoritmeilla A3 ja A8 laskettujen vasteiden SRES (Signed RE-Sponse) ja Ke sekä syöttötietona käytetyn satunnaisluvun RAND muodostama autentikointitripletti (RAND, SRES, Ke) lähetetään sille verkolle VPLMN, jossa matkaviestin sillä hetkellä vierailee. On huomattava, että 30 VPLMN voi olla myös tilaajan kotiverkko HPLMN. Algoritmien A3 ja A8 ominaisuuksien ansiosta tilaajan autentikointiavainta Ki ei voida päätellä edes suuren määrän tunnettuja triplettejä (RAND,SRES,Ke) perusteella. Verkossa tripletit tallennetaan tilaajan vierailijasijaintirekisteriin VLR. Tyypillisesti triplettejä lasketaan ja lähetetään VLR.IIe kerralla useampia, esimerkiksi kym-35 menen kappaletta.

• · • · 106605

Matkaviestimen ja verkon välille muodostettavan yhteyden yhtey-denmuodostusvaiheessa verkko autentikoi matkaviestimen autentikointikes-kukselta saamiensa triplettien avulla. Verkko aloittaa autentikoinnin vaiheessa 204 lähettämällä matkaviestimelle autentikointipyynnön, joka sisältää 5 triplettiin kuuluvan satunnaissyötteen RAND. Matkaviestin vastaanottaa pyynnön ja laskee kohdassa 205 tilaajamoduliin SIM ohjelmoiduilla algoritmeilla A3 ja A8 arvot SRES’ ja Ke käyttäen syötteenä satunnaislukua RAND ja tilaajan tilaajamoduliin SIM ohjelmoitua autentikointiavainta Ki. Algoritmien ominaisuuksien perusteella SRES’=SRES käytännössä ainoastaan mikäli 10 sekä autentikointikeskuksen että tilaajamodulin käyttämät autentikointiavai-met Ki ovat samat.

Matkaviestin lähettää laskemansa algoritmin A3 vasteen SRES’ verkolle, joka vertailee sitä vaiheessa 206 autentikointitripletistä saamaansa vasteeseen SRES. Mikäli SRES=SRES\ verkko hyväksyy matkaviestimen 15 autentikoinnin ja muodostaa sen kanssa yhteyden. Yhteydellä voidaan määritellä käytettävän yhteyden salausta, joka tehdään käyttäen avaimena algoritmin A8 vastetta Ke. Koska avainta Ke ei lähetetä ilmarajapinnan yli, ei aktiivinen salakuuntelija voi ainakaan helposti murtaa yhteyden salausta. Salauksen murtamista vaikeutetaan suorittamalla autentikointi riittävän usein, 20 esimerkiksi jokaisen yhteydenmuodostuksen yhteydessä.

Koska avain Ki on käytännössä mahdoton päätellä matkaviestimen autentikointeja kuuntelemalla, ei passiivinen salakuuntelija voi purkaa yhteyden salausta, eikä matkaviestintilaajaksi ole mahdollista tekeytyä aktiivisesti sanomia muuttamallakaan.

• · 25 Edellä esitetyssä menetelmässä autentikoidaan vain matkaviestin.

Matkaviestinverkon oletetaan siis aina olevan luotettava. Salakuuntelija voi kuitenkin esimerkiksi käyttää omaa, oikean matkaviestinverkon tukiasemien signaalit alleen peittävää ja esimerkiksi kiinteään puhelinverkkoon kytke-määnsä tukiasemaa. Tukiasemalla hän voi syöttää matkaviestimelle autenti-30 kointisyötteen RAND ja saada sen vasteena vastauksen SRES’. Matkavies- * tin ei voi tukiaseman epärehellisyyttä huomata, vaan luulee tehneensä onnistuneen autentikoinnin. Jatkossa tukiasema ohjaa matkaviestimen olemaan käyttämättä salausta, jonka jälkeen sen on helppo kuunnella matkaviestimen puheluliikennettä. Vaihtoehtoisesti salakuuntelija voi käyttää jos- 35 kus aiemmin rehellisin tai epärehellisin keinoin haltuun saamaansa autenti- * > · · 5 106605 kointitriplettiä esiintyäkseen tukiasemana ja avata salauksen tripletissä olevalla avaimella. Triplettejä voivat hankkia esimerkiksi kaikki tilaajan kotiverkon kanssa yhteiskäyttösopimuksen tehneet GSM-verkko-operaattorit, eikä triplettien voimassaoloaikaa tai uudelleenkäyttöä ole mitenkään rajoitettu.

5 Tämän ongelman ratkaisemiseksi on järjestelmiin, joissa vaaditaan myös mahdollisen erillisellä tukiasemalla tehtävän salakuuntelun estämistä, kehitetty myös verkon autentikoivia algoritmeja. Esimerkki tällaisesta algoritmista on TETRA-järjestelmässä käytetty algoritmi, jota on esitetty kuvassa 4. Algoritmissa käytetään matkaviestintilaajan autentikointiavainta Ki. Autenti-10 kointikeskus generoi (vaihe 301) satunnaisluvun RS, ja laskee sen ja auten-tikointiavaimen Ki avulla algoritmeilla TA11 ja TA21 avaimet KS ja KS’ (vaiheet 302 ja 303). Syntyneen tripletin (RS,KS,KS’) se lähettää tukiasemalle BS.

Tukiasema generoi satunnaisluvun RAND1 (vaihe 311), ja lähettää 15 matkaviestimelle satunnaisluvut RAND1 ja RS. Matkaviestin laskee satunnaisluvun RS ja avaimensa Ki perusteella algoritmeilla T11 ja T21 avaimet KS ja KS’ (vaiheet 321 ja 322). Mikäli autentikointikeskus ja matkaviestin käyttävät samaa avainta Ki on niillä kummallakin tässä vaiheessa samat arvot KS ja KS’.

20 Vaiheessa 323 matkaviestin laskee algoritmilla TA12 tilaajamodu- lissaan SIM hallussaan olevien avaimien KS ja satunaisluvun RAND1 avulla muuttujat RES1 ja DCK1. RES1 ja DCK riippuvat siis tilaajakohtaisesta avaimesta Ki ja autentikointikeskuksella ja tukiasemalla generoiduista satun-, naisluvuista RS ja RAND1. Vaiheessa 324 matkaviestin generoi uuden sa- 25 tunnaisluvun RAND2 ja lähettää sen ja laskemansa arvon RES1 tukiasemalle. Vastaavasti tukiasema laskee vastaavat muuttujat XRES1 ja DCK1 algoritmilla TA12 vaiheessa 312. Mikäli XRES1=RES1, voi tukiasema päätellä, että matkaviestimellä on käytössään sama avain Ki kuin autentikointikeskuksella. Tämän perusteella verkko tietää matkaviestimen olevan se, joka 30 se väittääkin olevansa. Koska verkko on näin voinut todeta matkaviestimellä olevan sama avain Ki kuin autentikointikeskuksella ja siitä seuraten sama avain KS kuin verkollakin, voi se nyt luottaa, että kummallakin on myös sama arvo muuttujalle DCK1. Tällöin vaiheessa 313 saadaan matkaviestimen au-tentikoinnin onnistumista kuvaavalle totuusmuuttujalle R1 arvo R1=tosi. Mi-35 käli näin ei ole, on R1 epätosi.

« >•1 6 106605

Matkaviestin autentikoi verkon lähettämänsä syötteen RAND2 avulla. Vaiheessa 314 lasketaan tukiasemalla algoritmilla TA22 syötteiden KS’ ja RAND2 perusteella vasteet RES2 ja DCK2. Vastaavasti matkaviestimellä lasketaan samalla algoritmilla TA22 samojen syötteiden KS’ ja RAND2 5 perusteella vasteet XRES2 ja DCK2. RES2, XRES2 ja DCK2 riippuvat tilaa-jakohtaisesta avaimesta Ki ja autentikointikeskuksella ja matkaviestimellä generoiduista satunnaisluvuista RS ja RAND2. Tukiasema ilmoittaa laskemansa arvon RES2 matkaviestimelle yhdessä totuusarvon R1 kanssa. Mikäli tukiasemalla ja matkaviestimellä on kummallakin käytössään samat avaimet 10 KS’, täytyy olla XRES2=RES2. Mikäli näin on, tietää matkaviestin, että tukiasema on saanut arvon KS’ autentikointikeskukselta AUC ja pitää verkkoa tämän perusteella luotettavana. Lisäksi matkaviestin voi päätellä, että tukiasemalla on hallussaan sama avain DCK2 kuin matkaviestimellä itsellään-kin. Koska tukiasema on lisäksi ilmoittanut, että R1=tosi, niin matkaviestin 15 tietää, että molemmilla on hallussaan myös samat avaimet DCK1. Tällöin matkaviestimen verkolle palauttama verkon autentikoinnin onnistumista kuvaava muuttuja R2 saa arvon tosi. Vastaanotettuaan tiedon R2=tosi myös tukiasema tietää, että kummallakin on nyt hallussaan samat avaimet DCK1 ja DCK2.

20 Lopuksi vaiheissa 327 ja 315 matkaviestin ja verkko laskevat vielä yhteyden salausavaimen DCK muuttujien DCK1 ja DCK2 perusteella. DCK tulee siis riippumaan avaimesta Ki ja satunnaisluvuista RS, RAND1 ja RAND2. Mikäli eri sessioiden välinen avaimien sekoittuminen ei ole mahdol-. lista tietävät sekä matkaviestin että tukiasema edellä esitetyn perusteella, 25 että kummallakin on käytössään sama avain DCK, jolla yhteys voidaan onnistuneesti salata.

Esitetyssä menetelmässä avaimia Ki, KS, KS’, DCK1, DCK2 ja DCK ei milloinkaan siirretä ilmarajapinnan yli, jolloin salakuuntelua ei voi purkaa yhteyden salausta tai tekeytyä matkaviestimeksi mikäli avaimia (Kiitä lu-30 kuunottamatta) vaihdetaan riittävän usein. Matkaviestin voi myös varmistua, että tukiasema on saanut autentikointimuuttujansa RS, KS ja KS’ matkaviestintilaajan autentikointikeskuksesta. Se ei kuitenkaan vai olla varma siitä, ettei verkko käytä jo kerran käytettyjä muuttujia. Jos autentikointikeskus AUC on luottanut tukiasemaan BS kerran ja lähettänyt sille tripletin (RS, KS, KS’), 35 voi BS aina hallussaan olevan tripletin avulla osoittaa AUC:n luottavan sii- • •«f 7 106605 hen. Tämä jättää salakuunteiijalle mahdollisuuden hankkia jollain tavoin tietoonsa yhden autentikointimuuttujien kolmikon (RS,KS,KS’), jota hän voi käyttää useita kertoja.

Tekniikan tason mukaiset menetelmät eivät siis takaa matkaviesti-5 melle, että tukiasema, johon matkaviestin on ottamassa yhteyttä on luotettava. Tämän keksinnön tavoitteena on menetelmä, jolla tämä tekniikan tason ongelma saadaan ratkaistua. Tämä tavoite saavutetaan itsenäisessä patenttivaatimuksessa kuvatulla menetelmällä.

10 Keksinnön lyhyt kuvaus

Keksinnön ajatuksena on suorittaa autentikointi kaksisuuntaisena tilaaja-aseman ja autenkointikeskuksen välisenä salaisia salausavaimia käyttävänä yhteytenä. Tällöin verkko, jonka kanssa tilaaja-asema on yhteydessä ei pysty suorittamaan autentikointia itsenäisesti, ja matkaviestin voi 15 olla aina varma verkon tunnistuksen luotettavuudesta.

Keksinnön menetelmässä tilaaja-asema ja autentikointikeskus generoivat ja lähettävät kumpikin toisilleen satunnaislukusyötteen. Itse generoimansa ja verkon välityksellä toiselta osapuolelta saamansa satunnaislukusyötteen perusteella tilaaja-asema ja autentikointikeskus laskevat ennalta 20 määritellyillä ainakin kahdella funktioilla vasteet. Lisäksi autentikointikeskus voi tarvittaessa varmistaa verkon luotettavuuden erillisellä autentikointime-nettelyllä. Autentikointikeskuksessa laskettu ensimmäisen funktion vaste lähetetään matkaviestimelle. Tilaaja-asema vertailee laskemaansa ensimmäisen funktion vastetta verkolta saamaansa arvoon ja mikäli arvot ovat yhtä 25 suuret pitää verkkoa luotettavana. Tilaaja-asema lähettää laskemansa toisen funktion vasteen verkolle. Tilaaja-asemalla ja autentikointikeskuksessa laskettuja toisia vasteita verrataan toisiinsa jossain sopivaksi katsotussa verkkoelementissä. Tarkistus voidaan tehdä esimerkiksi verkossa, jonka kanssa tilaaja-asema on yhteydessä tai autentikointikeskuksessa. Edullisesti yhtey-30 den liikenne salataan onnistuneen autentikoinnin jälkeen käyttäen tilaaja-asemassa ja autentikointikeskuksessa kolmannella funktiolla lasketulla salausavaimella.

Keksinnön erään suoritusmuodon mukaisesti tilaajan identiteettiä ei koskaan siirretä sellaisenaan siirtoverkon ja mahdollisen ilmarajapinnan yli. 35 Tällöin identiteetti salataan niin, että verkko osaa salatun identiteetin perus- • 8 106605 teella reitittää tilaajaa koskevat sanomat tilaajan kotiverkkoon, jossa identiteetin salaus puretaan.

Kuvioluettelo 5 Keksintöä selitetään tarkemmin viitaten oheisiin piirustuksiin, joissa kuva 1 esittää erään matkaviestinjärjestelmän rakennetta ja autentikointiin osallistuvia verkkoelementtejä, kuva 2 esittää tunnetun GSM-järjestelmän autentikointimenetelmää, 10 kuva 3 esittää tunnetun TETRA-järjestelmän autentikointimenetelmää, kuva 4 esittää keksinnön mukaista autentikointimenetelmää ja kuva 5 esittää tilaajan identiteetin suojaavaa identiteetin siirtomenetelmää.

Keksinnön yksityiskohtainen kuvaus 15 Keksintöä selostetaan seuraavassa käyttäen esimerkkinä matka viestinjärjestelmää. Keksintö ei kuitenkaan ole rajoittunut matkaviestinjärjestelmissä käytettävään autentikointimenettelyyn vaan sitä voidaan käyttää myös kiinteän verkon järjestelmissä.

Keksinnön mukaisen autentikointimenetelmän toimintaa esitellään 20 kuvassa 4. Autentikointi aloitetaan joko tilaajalaitteesta ME ja tilaajamodu-lista SIM koostuvan) matkaviestimen itsensä aktivoimana tai vasteena verkolta saatuun autentikointipyyntöön. Matkaviestin generoi vaiheessa 401 satunnaisluvun RAND1, ja lähettää sen yhdessä identiteettitunnisteensa IM-SI (International Mobile Subscriber Identity) kanssa verkolle VPLMN. Verkon 25 matkaviestinkeskus analysoi vaiheessa 402 matkaviestimen lähettämän identiteettitunnisteen perusteella matkaviestimen autentikointikeskuksen AUC identiteetin, ja välittää matkaviestimen lähettämän sanoman (IMSl, RAND1) autentikointikeskukseen.

Vastaanotettuaan sanoman (IMSl, RAND1) kotisijaintirekisteri HLR .. 30 välittää sanoma autentikointikeskukselle AUC. Autentikointikeskus voi tässä : vaiheessa autentikoimalla jollain tunnetulla tavalla sanoman lähettäneen verkkoelementin tarkistaa, että verkko VPLMN on se, joka se väittää olevan-sakin. AUC etsii tietokannastaan vaiheessa 403 identiteettitunnisteen IMSl avulla matkaviestintilaajan salausavaimen Ki ja generoi vaiheessa 404 sa-35 tunnaisluvun RAND2. Autentikointiavain Ki ja satunnaisluvut RAND1 ja 9 106605 RAND2 syötetään vaiheessa 405 lähtötiedoiksi yksisuuntaisille avaimellisille hajautusfunktioille H1, H2 ja H3, joista saadaan avaimet SRES1=H1(Ki, RAND1, RAND2), SRES2’=H2(Ki, RAND1, RAND2) ja 5 Kc=H3(Ki, RAND1, RAND2).

Algoritmit H1, H2 ja H3 ovat avaimellisia yksisuuntaisia hajautus-funktioita H(K,X1,X2), joille pätee: 1. kun K, X1 ja X2 on annettu, yksikäsitteinen H(K,X1,X2) on helppo laskea, 10 2. kun X1 ja X2 on annettu, mutta avain K tuntematon, on H(K,X1 ,X2) mahdoton tai ainakin hyvin vaikea laskea, 3. kun suuri joukko argumenttipareja X1 ,X2 ja vastaavat hajautus-funktion arvot H(K,X1,X2) on annettu, mutta avain K on tuntematon, on mahdoton tai ainakin hyvin vaikea laskea avainta K ja 15 4. kun suuri joukko argumenttipareja X1,X2 ja vastaavat hajautus- funktion arvot H(K,X1,X2) on annettu, mutta avain K on tuntematon, on mahdoton tai ainakin hyvin vaikea laskea hajautus-funktion arvoa H(K,X1\X2') annetulle parille X1',X2', jos arvoa ei ennestään tunneta.

20 Algoritmit H1, H2 ja H3 voidaan toteuttaa esimerkiksi samankaltai silla menetelmillä kuin GSM-järjestelmän (toteutukseltaan salaiset) algoritmit A3 ja A8. Ne voidaan myös muodostaa tunnetusta avaimellisesta yksisuuntaisesta hajautusfunktioista kuten SHA-HMAC (Secure Hash Algorithm - . Hash-based Message Autentication Code) alustamalla käytettävä hajautus- 25 funktio kussakin tapauksessa H1, H2 ja H3 eri vakiolla.

Autentikointikeskus lähettää verkolle VPLMN generoimansa satunnaisluvun RAND2 ja hajautusfunktioilla saamansa tulokset SRES1, SRES2’ ja Ke. Verkko vastaanottaa sanoman, ja välittää kohdassa 406 matkaviestimelle arvot RAND2 ja. SRES1 sekä tallentaa itselleen myöhempää käyttöä 30 varten arvot SRES2’ ja Ke.

‘ Matkaviestin vastaanottaa arvot RAND2 ja SRES. Lisäksi sillä on . käytössään itse generoimansa satunnaisluku RAND1 ja esimerkiksi tilaaja- moduliin SIM tallennettu salausavain Ki. Nämä tiedot se syöttää kohdassa 407 tilaajamoduliin SIM talletettuun algoritmiin, jossa matkaviestin laskee ar-35 vot SRES1, SRES2 ja Ke yhtälöillä * .

10 106605 SRES1’=H1(Ki, RAND1, RAND2), SRES2=H2(Ki, RAND1, RAND2) ja Kc=H3(Ki, RAND1, RAND2) samoja autentikointikeskuksen vaiheessa 405 käyttämiä hajautus-5 funktioita H1, H2 ja H3 käyttäen.

Matkaviestin vertaa verkolta saamaansa funktion H1 vastetta SRES1 itse laskemaansa arvoon SRES1'. Mikäli arvot ovat samoja, matkaviestin on tunnistanut verkon onnistuneesti. Onnistuneen tunnistamisen jälkeen matkaviestin lähettää laskemansa funktion H2 vasteen SRES2 verkolle 10 ja hyväksyy Kc:n yhteyskohtaiseksi salausavaimeksi. Johtuen hajautusfunk-tion H2 ominaisuuksista SRES1=SRES1’ käytännössä ainoastaan mikäli sekä autentikointikeskus AUC että matkaviestin MS ovat käyttäneet funktion H2 syötteenä samoja arvoja RAND1, RAND2 ja Ki. Näistä RAND1 ja RAND2 on kulkenut siirtoverkon läpi, jolloin aktiivinen salakuuntelua voi ne saada 15 tietoonsa. Autentikointiavain Ki on kuitenkin saatavissa ainoastaan matkaviestimessä ja autentikointikeskuksessa eikä salakuuntelua voi saada sitä käsiinsä. Tästä johtuen on selvää, että mikäli SRES1=SRES1’ on SRES1 välttämättä laskettu matkaviestintilaajan luotettavana pitämässä oman verkon autentikointikeskuksessa.

20 Autentikointikeskus voidaan edelleen velvoittaa huolehtimaan siitä, että se lähettää autentikointitietoja RAND2, SRES1, SRES2’ ja Ke ainoastaan luotettaviksi määritellyille verkoille. Tämä luottamus tulee tarkastetuksi jokaisen autentikointitapahtuman yhteydessä. Näin ollen ehdon SRES1=SREST toteutuminen implikoi matkaviestimelle, että verkko on luo-25 tettava. Vasteena verkon luotettavaksi toteamiselle on matkaviestin valmis aloittamaan yhteyden yhteyskohtaista salausavainta Ke käyttäen.

Vastaavasti tilaajan vierailema verkko VPLMN vastaanottaa matkaviestimeltä hajautusfunktion H2 vasteen SRES2, ja vertaa sitä vaiheessa 409 autentikointikesku.kselta saamaansa arvoon SRES2’. Vaiheen 409 ver-.. 30 taitu voidaan vaihtoehtoisesti tehdä myös esimerkiksi tilaajan kotiverkossa : HPLMN tai autentikointikeskuksessa AUC. Koska matkaviestin saa anne tuilla satunnaisluvuilla RAND1 ja RAND2 funktiolle H2 saman vasteen kuin autentikointikeskus AUC ainoastaan jos kummallakin on käytössään sama tilaajan salausavain Ki, implikoi ehdon SRES2=SRES2’ toteutuminen ver- 11 106605 kolle VLPMN matkaviestimen luotettavuuden. Lisäksi sekä verkko että matkaviestin tietävät, että niillä on käytössään samat salausavaimet Ke.

Hajautusfunktioiden H1, H2 ja H3 ominaisuuksien ansioista verkko VPLMN tai verkon yhteyksiä kuunteleva salakuuntelua eivät kuitenkaan voi 5 saamiensa tietojen RAND1, RAND2, SRES1, SRES2 ja Ke perusteella päätellä tilaajan autentikointiavainta Ki. Näin tilaajan vierailema verkko VLPMN tai salakuuntelua eivät voi oppia antamaan oikeita vasteita SRES1(Ki, RAND1, RAND2), SRES2(Ki, RAND1, RAND2) ja Kc(Ki, RAND1, RAND2) matkaviestimen generoimaan satunnaislukuun RAND1 itsenäisesti. Tämän 10 perusteella ei aktiivinen salakuuntelua voi linjaa kuuntelemalla opetella au-tentikoitumaan väärällä identiteetillä matkaviestimelle hyväksyttävästi.

Erillistä salakuuntelua varten pystyttämäänsä tukiasemaa käyttävä salakuuntelua voi vielä periaatteessa onnistuneen luotettavan verkon ja matkaviestimen välisen autentikoinnin jälkeen tekeytyä tukiasemaksi perittämällä 15 luotettavan tukiaseman signaalin allensa, ja ohjata yhteyden olemaan käyttämättä salausta. Matkaviestin voi estää tämän kieltäytymällä salaamattomista yhteyksistä.

Edellä esitetyssä keksinnönmukaisessa algoritmissa vasteet SRES1 ja SRES2 riippuvat sekä matkaviestimellä generoidusta satunnais-20 syötteestä RAND1 että autentikointikeskuksessa generoidusta satunnais-syötteestä RAND2. Hakemuksen alkuosassa esitetyssä TETRA-järjestelmän algoritmissa autentikointivasteet RES1 ja RES2 riippuvat kumpikin vain toisesta verkossa generoidusta luvusta RAND1 ja matkaviestimellä generoidusta luvusta RAND2, RES1=RES1(RAND1) ja RES2=RES2(RAND2). 25 Tällöin käytettäessä useita rinnakkaisia yhteyksiä voi joissain tapauksissa käydä niin, että eri yhteyksien autentikointisyötteet menevät sekaisin, jolloin autentikointi onnistuu, mutta eri osapuolille saadaan eri salausavaimet DCK. Tällöin viestin vastaanottaja ei osaa purkaa salausta eikä yhteyden tiedonsiirto onnistu. Edellä esitetyssä keksinnönmukaisessa algoritmissa vasteet - .. 30 SRES1 ja SRES2 riippuvat kummastakin yhteyskohtaisesta satunaisluvusta : RAND1 ja RAND2, eli SRES1=SRES1(Ki, RAND1, RAND2) ja SRES2=SRES2(Ki, RAND1, RAND2). Tällöin eri yhteyksien avaimet eivät voi useiden rinnakkaistenkaan yhteyksien tapauksessa mennä sekaisin. Tällä piirteellä ei toki ole merkitystä yhteyden salauksen turvallisuuden kan- 12 106605 naita, mutta piirre on merkityksellinen useita rinnakkaisia yhteyksiä käyttävien protokollien toteutusta suunniteltaessa.

Kuvan 4 autentikointimenettelyllä saadaan varmistettua verkon luotettavuus. Menetelmän ongelmaksi jää kuitenkin se, että tilaajan identiteetti-5 informaatio IMSI on siirrettävä etenkin ilmarajapinnan osalta epäturvallista kanavaa pitkin autentikointikeskukselle salaamattomana. Ongelmaa saadaan helpotettua käyttämällä tekniikan tason mukaista verkon matkaviestimelle antamaa väliaikaista identiteettiä TMSI. Verkossa tai matkaviestimessä tapahtuneen datan menetyksen jälkeen ensimmäisessä yhteydenotossa on 10 kuitenkin tällöin aina käytettävä alkuperäistä tunnusta IMSI.

Identiteetin paljastumisongelma voidaan poistaa käyttämällä identiteetin IMSI salaavaa kuvan 5 mukaista algoritmia. Kuvan 5 algoritmissa matkaviestin generoi aluksi vaiheessa 501 satunnaisluvun RAND3, joka voi olla esimerkiksi sama satunnaisluku RAND1, jota käytetään kuvan 4 mukai-15 sessa autentikointialgoritmissa. Vaiheessa 502 matkaviestin generoi salausavaimen Kd avaimellisella yksisuuntaisella hajautusfunktiolla H4. Funktion syötteenä käytetään satunnaislukua RAND3 ja tilaajamoduliin SIM ohjelmoitua HLR-kohtaista avainta Kh.

Vaiheessa 503 matkaviestin salaa identiteettitietonsa IMSI käyttäen 20 salausalgoritmin E syötteenä avainta Kd ja identiteettitietoaan IMSI ja lähettää salatun identiteettinsä ja satunaisluvun RAND3 verkolle VPLMN. Verkko vastaanottaa sanoman. Voidakseen lähettää tilaajan sanoman oikealle ko-tisijaintirekisterille on verkon voitava analysoida sanoman perusteella tilaajan . kotisijaintirekisterin HLR osoite. Tätä varten on edullista käyttää salausalgo- 25 ritmina E algoritmia, joka jättää tilaajan identiteettitiedon HLR:n spesifioivan osan salaamatta. Tilaajan identiteettitieto IMSI on tyypillisesti muotoa IM-SI=HLR-osoite+tilaajan HLR:n sisällä identifioiva tieto, josta salausalgoritmin tulee siis pitää muuttumattomana osa HLR-osoite ja salata vain tilaajan HLR:n sisällä identifioiva tieto.

30 Analysoituaan vastaanottamastaan sanomasta tilaajan kotisijainti rekisterin osoitteen verkko välittää salatun identiteettitiedon EIMSI ja satunnaisluvun RAND3 sisältävän sanoman kotisijaintirekisterille HLR. Vaiheessa 505 HLR laskee salausavaimen Kd tuntemansa avaimen Kh ja matkaviestimeltä saamansa satunnaisluvun RAND3 avulla. Vaiheessa 506 HLR purkaa * 13 106605 tilaajatiedon IMSI salauksen avaimen Kd ja matkaviestimen lähettämän salatun identiteetin EIMSI avulla.

Koska avain Kh on ainoastaan matkaviestimen ja sen kotisijaintire-kisterin tiedossa ei matkaviestimen ja sen kotisijaintirekisterin välistä siirto-5 tietä kuunteleva salakuuntelua pysty määrittämään tilaajan identiteettiä. Salakuuntelua voi toki päätellä tilaajan kotisijaintirekisterin osoitteen, mutta ei voi päätellä tilaajan tarkempaa identiteettiä tyypillisesti satojatuhansia tilaajia käsittävän kotisijaintirekisterin tilaajien joukosta.

Salausavaimen Kh ei välttämättä tarvitse olla sama kaikille ko-10 tisijaintirekisterin matkaviestintilaajille. Tällöin kotisijaintirekisterin on kuitenkin kyettävä määrittämään käytettävä avain Kd matkaviestimen verkolle lähettämästä sanomasta. Tämä voidaan toteuttaa esimerkiksi jakamalla kotisijaintirekisterin tilaajat joukkoihin, joiden sisällä käytetään samaa avainta ja liittämällä joukon tunniste matkaviestimen verkolle lähettämään sanomaan. 15 Tämä saadaan aikaan esimerkiksi muodostamalla joukot identiteettitiedon IMSI tilaajaosan ensimmäinen numeron perusteella ja siirtämällä identiteetti-tiedon tilaajaosan ensimmäinen numero salaamattomana. Näin menettele-mällä vaikeutetaan avaimen Kh purkamista edelleen, sillä onnistuneen yhden avaimen purkamisen perusteella ei enää voidakaan purkaa kaikkien 20 saman verkon tilaajien identiteetin suojausta. Toisaalta salaamattomana lähetetty identiteettitiedon osa kasvaa, jolloin se tilaajien joukko, johon tilaajan voidaan (osittain) salatun identiteettitiedon perusteella salausta purkamatta päätellä kuuluvan, pienenee.

. Salaus voidaan suorittaa myös tilaajille, joiden kotiverkossa HPLMN

25 on monta kotisijaintirekisteriä HLR myös niin, että salatusta identiteettitun-nisteesta EIMSI voidaan päätellä vain tilaajan kotiverkko. Tällöin tilaajan salatulla identiteetillä identifioidut sanomat reititetään tiettyyn kotiverkon ko-tisijaintirekisteriin HLR, joka on sovitettu purkamaan salauksen.

Vaikka edellä olevissa keksinnön esimerkinomaisissa suoritusmuo-;· 30 doissa onkin tarkasteltu keksintöä sovellettuna matkaviestinjärjestelmään ei * keksintö ole rajoittunut pelkästään matkaviestinverkon autentikointijärjeste- lyihin. Menetelmää voidaan aivan yhtä hyvin käyttää myös kiinteän verkon yhteyksien osapuolien autentikointiin. Keksinnön kannalta on oleellista vain se, että jokaisella tilaajalle on olemassa autentikointikeskus jolla on hallus-35 saan tilaajan käyttämät autentikointiavaimet.

14 106605

Keksinnön menetelmää voidaan tietoliikenneyhteyttä edeltävän autentikoinnin lisäksi käyttää myös esimerkiksi tietullijärjestelmissä, joissa autentikointi ei johda tietoliikenneyhteyteen, vaan laukaisee itsellään maksutapahtuman. Tällöin keksinnön mukaisella menetelmällä voidaan estää ti-5 laajan liikkumisen seuraaminen väärennetyn tietullijärjestelmän tukiaseman avulla.

Erillisen tilaajamodulin SIM käyttäminen ei ole keksinnön kannalta oleellista, vaan autentikointimenetelmässä tarvittavat algoritmit ja tilaajakoh-taiset avaimet voidaan aivan yhtä hyvin tallettaa tilaajalaitteeseen.

m * «

Claims (11)

1. Menetelmä tilaajan ja tietoliikenneverkon autentikoimiseksi tietoliikennejärjestelmässä, johon kuuluu tilaajia, joilla kullakin on oma identiteet-titietonsa (IMSI), tilaajien tilaaja-asemia (MS) ja toisiinsa kytkettyjä verk-5 koelementtejä, joihin kuuluu ainakin yksi autentikointikeskus (AUC), ja joiden kanssa tilaaja-asema voi muodostaa yhteyksiä ja jotka muodostavat ainakin yhden tietoliikenneverkon, jossa menetelmässä generoidaan tilaaja-asemalla ensimmäinen syöte (RAND1) ja siirretään se yhdessä tilaajan identiteettitiedon kanssa tietoliikenneverkkoon, 10 generoidaan tietoliikenneverkossa toinen syöte (RAND2) ja siirre tään se tilaaja-asemalle (MS), tunnettu siitä, että menetelmässä siirretään ensimmäinen syöte (RAND1) yhdessä tilaajan identiteettitiedon kanssa autentikointikeskukseen (AUC), 15 generoidaan toinen syöte (RAND2) autentikointikeskuksessa (AUC), määritetään sekä autentikointikeskuksessa että tilaaja-asemassa tilaajan identiteetin (IMSI) ja ainakin toisen mainituista syötteistä (RAND1, RAND2) perusteella ensimmäinen vaste (SRES1’, SRES1) ja toinen vaste 20 (SRES2’, SRES2), siirretään ensimmäinen vaste autentikointikeskuksesta tilaaja-asemalle, siirretään toinen vaste tilaaja-asemalta tietoliikenneverkkoon, verrataan tilaaja-asemalla toisiinsa tilaaja-asemassa laskettua ja 25 autentikointikeskukselta vastaanotettua ensimmäistä vastetta (SRES1, SRES1’), määritetään tilaaja-aseman tekemä tietoliikenneverkon autentikointi hyväksytyksi mikäli vertaillut ensimmäiset vasteet (SRES1, SRES1’) ovat yhtä suuret, 30 siirretään tilaaja-aseman (MS) ja autentikointikeskuksen (AUC) las kemat toiset vasteet ennalta määritettyyn verkkoelementtiin, verrataan verkkoelementissä autentikointikeskuksessa (AUC) ja tilaaja-asemalla (MS) laskettuja toisia vasteita (SRES2, SRES2’) toisiinsa ja 16 106605 määritetään tietoliikenneverkon tekemä tilaaja-aseman autentikointi hyväksytyksi mikäli vertaillut toiset vasteet (SRES2, SRES2’) ovat yhtä suuret.

2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, 5 että lasketaan lisäksi sekä autentikointikeskuksella että tilaaja-asemalla tilaajan identiteetistä (IMSI) ja ensimmäisestä ja toisesta syötteestä (RAND1, RAND2) riippuva vaste (Ke), jota käytetään tilaaja-aseman ja tietoliikenneverkon välisen liikenteen salausavaimena.

3. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, 10 että vertaillaan toisia vasteita (SRES2, SRES2’) verkkoelementissä, joka kuuluu siihen tietoliikenneverkkoon (PLMN), jonka kanssa tilaaja on yhteydessä.

4. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että vertaillaan toisia vasteita (SRES2, SRES2’) autentikointikeskuksessa 15 (AUC).

5. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että ensimmäisen ja toisen vasteen (SRES1, SRES2) määrittelyssä käytetään sekä ensimmäistä että toista syötettä (RAND1, RAND2).

6. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, 20 että tilaaja-asema on matkaviestinjärjestelmän matkaviestin ja tietoliikenneverkko on matkaviestinverkko.

7. Patenttivaatimuksen 6 mukainen menetelmä, jossa lisäksi ainakin joillekin tilaajille on määritelty kotiverkko (HPLMN), tunnettu siitä, että • « 25 jaetaan identiteettitieto (IMSI) ensimmäiseen ja toiseen osaan siten, että ensimmäinen osa sisältää tiedon tilaajaryhmän identifioimiseen ja toinen osa identifioi tilaajan tilaajaryhmän sisällä, generoidaan tilaaja-asemalla (MS) kolmas satunnaissyöte (RAND3), : 30 salataan toinen osa tilaajan identiteettitunnisteesta käyttäen satun- naissyötettä (RAND3) ja tilaajaryhmäkohtaista avainta (Kh), lähetetään tietoliikenneverkon (VPLMN) verkkoelementille sanoma, joka sisältää ensimmäisen osan ja salatun toisen osan muodostaman osittain salatun identiteettitunnisteen (EIMSI) ja käytetyn satunnaissyötteen 35 (RAND3), it 106605 reititetään sanoma tietoliikenneverkosta (VPLMN) tilaajan kotiverkkoon (HLR/AUC) ja puretaan identiteetin salaus tilaajan kotiverkossa (HLR/AUC).

8. Patenttivaatimuksen 7 mukainen menetelmä, jossa lisäksi tilaa-5 jän identiteettitieto koostuu tilaajan kotiverkon määrittelevästä osasta ja tilaajan kotiverkon sisällä määrittävästä osasta, tunnettu siitä, että tilaa-jaryhmä on yhden kotiverkon tilaajien ryhmä ja identiteettitiedon (IMSI) salattava osa on tilaajan identiteetin tilaajan kotiverkossa määrittelevä identiteettitiedon osa.

9. Patenttivaatimuksen 7 mukainen menetelmä, jossa lisäksi tilaa jan identiteettitieto koostuu yhden kotisijaintirekisterin (HLR) määrittelevästä osasta ja tilaajan kotisijaintirekisterin (HLR) sisällä määrittävästä osasta, tunnettu siitä, että tilaajaryhmä on yhden kotisijaintirekisterin tilaajien ryhmä ja identiteettitiedon salattava osa on tilaajan identiteetin kotisijaintire- 15 kisterin sisällä määrittelevä identiteettitiedon osa.

10. Patenttivaatimuksen 7 mukainen menetelmä, jossa lisäksi tilaajan identiteettitieto koostuu yhden kotisijaintirekisterin (HLR) tilaajaryhmän määrittelevästä osasta ja tilaajan tilaajaryhmän sisällä määrittävästä osasta, tunnettu siitä, että tilaajaryhmä on yhden kotisijaintirekisterin sisällä 20 määritelty tilaajaryhmä ja identiteettitiedon salattava osa on tilaajan identiteetin tilaajaryhmän sisällä määrittelevä identiteettitiedon osa.

11. Patenttivaatimusten 1 tai 7 mukainen menetelmä, tunnettu siitä, että käytetään identiteetin salaamiseen ja autentikointiin samaa tilaaja-aseman generoimaa satunnaislukua (RAND1). ♦ ie 106605