BE1024812B1 - Een beveilingingsbenadering voor de opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud in apparaten - Google Patents

Abstract

De huidige uitvinding heeft betrekking op een computer-geïmplementeerde methode voor de veilige opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud, met behulp van een server en een toepassing op een apparaat van een gebruiker, omvattende de stappen van: a) genoemde server die genoemde credentials opslaat, niet in staat de genoemde credentials zelf te ontsleutelen; b) genoemde toepassing die versleutelde credentials op genoemd apparaat opslaat, niet in staat om genoemde credentials te ontsleutelen zonder hulp van een vertrouwende toepassing van derden en/of genoemde gebruiker; c) in staat zijn genoemde credentials over verschillende apparaten van genoemde zelfde gebruiker te distribueren, waarbij zowel genoemde server als interactie van genoemde gebruiker worden gebruikt; d) genoemde gebruiker levert back-upgegevens zonder credentials aan genoemde server om genoemde credentials te herstellen in het geval van verlies van genoemd apparaat; waarbij de methode geen Secure Element vereist, maar is beveiligd met gebruik van cryptografische sleutels en versleutelde opslag. In een tweede aspect voorziet de huidige uitvinding een systeem dat geschikt is voor genoemde computer-geïmplementeerde methode. In een derde aspect voorziet de huidige uitvinding een toepassingsproduct dat geschikt is voor genoemde computer- geïmplementeerde methode.

Description

(30) Voorrangsgegevens :

07/05/2015 EP 15166789.6

04/05/2016 EP PCT/EP2016/060107 (73) Houder(s) :

THANKSYS NV 3500, HASSELT België

SODEXO S.A. naamloze vennoostschap 92130, ISSY LES MOULINEAUX Frankrijk (72) Uitvinder(s) :

DE MEESTER Jan 2600 ANTWERPEN België

DE MULDER Yoni 2640 MORTSEL België (54) EEN BEVEILINGINGSBENADERING VOOR DE OPSLAG VAN CREDENTIALS VOOR OFFLINE GEBRUIK EN TEGEN KOPIËREN BEVEILIGDE KLUISINHOUD IN APPARATEN (57) De huidige uitvinding heeft betrekking op een computer-geïmplementeerde méthode voor de veilige opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud, met behulp van een server en een toepassing op een apparaat van een gebruiker, omvattende de stappen van: a) genoemde server die genoemde credentials opslaat, niet in Staat de genoemde credentials zeit te ontsleutelen; b) genoemde toepassing die versleutelde credentials op genoemd apparaat opslaat, niet in Staat om genoemde credentials te ontsleutelen zonder hulp van een vertrouwende toepassing van derden en/of genoemde gebruiker; c) in Staat zijn genoemde credentials over verschillende apparaten van genoemde zelfde gebruiker te distribueren, waarbij zowel genoemde server als interactie van genoemde gebruiker worden gebruikt; d) genoemde gebruiker levert back-upgegevens zonder credentials aan genoemde server om genoemde credentials te hersteilen in het geval van verlies van genoemd apparaat; waarbij de méthode geen Secure Element vereist, maar is beveiligd met gebruik van cryptografische sleutels en versleutelde opslag. In een tweede aspect voorziet de huidige uitvinding een systeem dat geschikt is voor genoemde computer-geïmplementeerde méthode. In een derde aspect voorziet de huidige uitvinding een toepassingsproduct dat geschikt is voor genoemde computer- geïmplementeerde méthode.

<Apparaat> | [ «Server* beschikt over Pus, Prs _ «Geheugenvaktoepassing» omvat Pus

Enc;p_u&_r prApe, <-i)(UID, Device_Id, PIN, Γα_ρρ, OBID), n·, Püa_pp

Ko » OWF(Deviee_ïd, Γαρρ> r_s)

Kl « OWF(PIN, Device_Id, r_Spp, r.)

EnC(PUApp, PrS, n2)(Rs © ΓΑρβ, ΜΑΟκε(ΓΑρρ)), Γ>2 © OWF(X2, ÎApp}

Out-of-band kanaa! OSIDfxs)

Verificatie link (UID)

Ko = ÖWF(Device_jtd, Γαρ_Ρ, r_s)

Kl = OWF(PÏN, Device_Id, Γαρρ, r_s)

MACKi(rs) «Geheugenvaktoepassing* bewaart (UID, Γ*«., Ts) «Server* bewaart (UID, OBID, Device_Id, Ko, Kj) Fjg. i

BELGISCH UITVINDINGSOCTROOI

FOD Economie, K.M.O., Middenstand & Energie

Dienst voor de Intellectuele Eigendom

Publicatienummer: 1024812 Nummer van indiening: BE2016/5324

Internationale classificatie: H04L 9/32 Datum van verlening: 10/07/2018

De Minister van Economie,

Gelet op het Verdrag van Parijs van 20 maart 1883 tot Bescherming van de industriële Eigendom;

Gelet op de wet van 28 maart 1984 op de uitvindingsoctrooien, artikel 22, voor de voor 22 September 2014 ingediende octrooiaanvragen ;

Gelet op Titel 1 Uitvindingsoctrooien van Boek XI van het Wetboek van economisch recht, artikel XI.24, voor de vanaf 22 September 2014 ingediende octrooiaanvragen ;

Gelet op het koninklijk besluit van 2 december 1986 betreffende het aanvragen, verlenen en in stand houden van uitvindingsoctrooien, artikel 28;

Gelet op de aanvraag voor een uitvindingsoctrooi ontvangen door de Dienst voor de Intellectuele Eigendom op datum van 09/05/2016.

Overwegende dat voor de octrooiaanvragen die binnen het toepassingsgebied van Titel 1, Boek XI, van het Wetboek van economisch recht (hierna WER) vallen, overeenkomstig artikel XI.19, § 4, tweede lid, van het WER, het verleende octrooi beperkt zal zijn tot de octrooiconclusies waarvoor het verslag van nieuwheidsonderzoek werd opgesteld, wanneer de octrooiaanvraag het voorwerp uitmaakt van een verslag van nieuwheidsonderzoek dat een gebrek aan eenheid van uitvinding als bedoeld in paragraaf 1, vermeldt, en wanneer de aanvrager zijn aanvraag niet beperkt en geen afgesplitste aanvraag indient overeenkomstig het verslag van nieuwheidsonderzoek.

Besluit:

Artikel 1. - Er wordt aan

THANKSYS NV, Kempische steenweg 309 bus 1, 3500 HASSELT België;

SODEXO S.A. naamloze vennoostschap, 255 Quai de Ia Bataille de Stalingrad , 92130 ISSY LES MOULINEAUX Frankrijk;

vertegenwoordigd door

BRANTS Johan Philippe Emile, Pauline Van Pottelsberghelaan 24, 9051, GENT;

VAN CAUTEREN Tim, Pauline Van Pottelsberghelaan 24, 9051, GENT;

een Belgisch uitvindingsoctrooi met een looptijd van 20 jaar toegekend, onder voorbehoud van betaling van de jaartaksen zoals bedoeld in artikel XI.48, § 1 van het Wetboek van economisch recht, voor: EEN BEVEILINGINGSBENADERING VOOR DE OPSLAG VAN CREDENTIALS VOOR OFFLINE GEBRUIK EN TEGEN KOPIËREN BEVEILIGDE KLUISINHOUD IN APPARATEN.

UITVINDER(S):

DE MEESTER Jan, Transvaalstraat 25, 2600, ANTWERPEN;

DE MULDER Yoni, Liersesteenweg 80 bus 5, 2640, MORTSEL;

VOORRANG:

07/05/2015 EP 15166789.6;

04/05/2016 EP PCT/EP2016/060107;

AFSPLITSING :

Afgesplitst van basisaanvraag : Indieningsdatum van de basisaanvraag :

Artikel 2. - Dit octrooi wordt verleend zonder voorafgaand onderzoek naar de octrooieerbaarheid van de uitvinding, zonder garantie van de Verdienste van de uitvinding noch van de nauwkeurigheid van de beschrijving ervan en voor risico van de aanvrager(s).

Brussel, 10/07/2018,

Bij bijzondere machtiging:

BE2016/5324

BE2016/5324

Een beveiligingsbenadering voor de opslag van credentials voor offline gebruik en tegen kopieren beveiligde kluisinhoud in apparaten

TECHNISCH GEBIED

De uitvinding heeft betrekking op het technisch gebied voor het beveiligen van credentials en tegen kopiëren beveiligde kluisinhoud in apparaten zoals smartphones of tablets.

ACHTERGROND

Er blijft een behoefte in het vakgebied voor verbeterde beveiliging van een cryptografische sleutel in apparaten, in het bijzonder met betrekking tot betaal- en andere transactiediensten, vooral in het geval van mobiele apparaten. Voor deze laatste is tot op heden de meest voor de hand liggende manier het gebruik van het ingesloten Secure Element (SE), bv. een SIM- of een SD-kaart. Er zijn echter veel Problemen om deze vorm van beveiliging tot stand te brengen in het ecosysteem van mobiele toepassingen (apps), bv. verschillende besturingssystemen, verschillende mobiele providers (serviceproviders) en verschillende hardware-leveranciers. Echter, dit hoge veiligheidsniveau is niet altijd nodig. Een eenvoudige gebruikersnaam en wachtwoord of een ingesloten sleutel is vaak voldoende, maar dit heeft het nadeel dat ofwel de credentials (a) offline moeten worden opgeslagen, waardoor deze relatief gemakkelijk kunnen worden gehackt, of (b) in de cloud moeten worden bewaard, wat altijd onlinetoegang vereist.

In document US2009132813 worden een apparaat en methoden beschreven voor het leveren van schaalbare, dynamische, geïndividualiseerde credential-diensten met gebruik van mobiele telefoons. Het document beschrijft een schema om in een beveiligde omgeving transacties uit te voeren tussen een gebruiker en een andere partij, zoals een handelaar. Het hele schema is gebaseerd op de PKI (Public Key Infrastructure, publieke-sleutel-infrastructuur). Het schema maakt het mogelijk (1) de gebruiker zieh op zijn apparaat te laten verifiëren om credentials te ontgrendelen, (2) de credentials veilig door te geven aan een andere partij, (3) de andere partij aan de gebruiker de machtiging te verlenen op basis van de gepresenteerde credentials. Het concept dat wordt beschreven in US2009132813 is beperkt tot verificatie met credentials, terwijl de uitvinding die wordt beschreven in dit document een veelvoud aan aspecten omvat met betrekking tot veilige opslag van gevoelige

BE2016/5324

BE2016/5324 gegevens, alsook het gebruik van deze gegevens als monétaire waarde in ofwel een reële of virtuele valuta. Bovendien is het concept dat wordt beschreven in US 2009132813 volledig afhankelijk van het gebruik van een PKI, terwijl de uitvinding die wordt beschreven in dit document is gebaseerd op een meer complexe cryptografische oplossing dan louter PKI.

Document Towards User-Friendly Credential Transfer on Open Credential Platforms van Kari Kostiainen et al. dat is gepubliceerd in Lecture Notes in Computer Science 6715 (p. 395-412, 2011, doi:10.1007/978-3-642-21554-4_23) beschrijft een open platform voor credentials dat toelaat dat een serviceprovider credentials kan uitgeven aan een hardwarematige Trusted Execution Environment (TrEE) en deze credentials met gebruik van een Trusted Server kan overbrengen tussen de TrEE's op verschillende mobiele apparaten die tot dezelfde gebruiker behoren. Het concept dat wordt beschreven in het genoemde document van Kari Kostiainen et al. is afhankelijk van specifieke hardware waarnaar wordt verwezen als TrEE en kan niet worden geïmplementeerd zonder de genoemde specifieke hardware, terwijl voor de uitvinding die wordt beschreven in dit document geen speciaal type hardware is vereist. Ten tweede is het concept dat wordt beschreven in het genoemde document van Kari Kostiainen et al. beperkt tot het overbrengen van credentials en laat het niet toe om credentials te herstellen. Dit is in tegenstelling tot de uitvinding die wordt beschreven in dit document, welke toelaat dat credentials naar verschillende apparaten behorend tot dezelfde gebruiker kunnen worden verdeeld en die toelaat dat credentials kunnen worden hersteld, zelfs wanneer de gebruiker geen apparaten meer in zijn bezit heeft. Ten derde is het concept dat wordt beschreven in het genoemde document van Kari Kostiainen et al. beperkt tot werking waarvoor een onlineverbinding met een Trusted Server is vereist, terwijl de huidige uitvinding ook offlinebewerking toelaat. Ten slotte is het concept dat wordt beschreven in genoemd document van Kari Kostiainen et al. beperkt door een trust on first use-benadering (zoals genoemd in de paper), terwijl de gebruiker met uitvoeringsvormen van de huidige uitvinding het softwarehulpprogramma op elk gewenst moment kan installeren, verwijderen en opnieuw installeren die de méthode implementeert die in dit document wordt beschreven.

Document Electronic Safe for Passwords Storage van Kamil Smieszek et al. dat is gepubliceerd in Przeglad Teleinformatyczny, T. 2, Nr. 3-4(38) (p. 3-15, 2014) beschrijft een concept en gerelateerd softwarehulpprogramma (d.w.z. een toepassing) waarmee een gebruiker zijn eigen kluis (genaamd de Electronic Safe for Passwords Storage of in het kort ESPS) kan maken voor het opslaan van gevoelige

BE2016/5324

BE2016/5324 gegevens, waarbij de gevoelige gegevens worden beschermd door het gebruik van een hardwarematige Trusted Platform Module (TPM) en de ondersteunde Root of Trust. De kluis en de Root of Trust kunnen worden opgeslagen op verwisselbaar opslagmedia, zoals een verwisselbaar Flash RAM-station om de ESPS ook beschikbaar te maken op andere apparaten. De toepassing bestaat uit twee componenten: (1) de database waarin de versleutelde gevoelige gegevens worden opgeslagen en (2) de TPM en de ondersteunde Root of Trust waarin alle cryptografische sleutels worden opgeslagen en alle cryptografische bewerkingen worden uitgevoerd. Het concept dat wordt beschreven in genoemd document van Kamil émieszek et al. is beperkt door de afhankelijkheid van specifieke hardware (d.i. TPM), terwijl voor de huidige uitvinding geen specifieke hardware vereist is. De afhankelijkheid van TPM beperkt verder de toepasbaarheid van het concept dat wordt beschreven in het genoemde document van Kamil émieszek et al. omdat TPM niet als zodanig beschikbaar is voor mobiele apparaten. De huidige uitvinding kan daarentegen voor zowel desktop- en laptopcomputers alsook voor mobiele apparaten worden gebruikt. Het concept dat wordt beschreven in het genoemde document van Kamil émieszek et al. is bovendien beperkt tot de veilige opslag van gevoelige gegevens, en meer specifiek van verificatiegegevens. Daarentegen biedt de uitvinding die wordt beschreven in dit document niet alleen een oplossing om gevoelige gegevens veilig offline op een apparaat op te halen, of om gevoelige gegevens op te slaan, te distribueren en terug te zetten op een apparaat met behulp van een Trusted Server, maar biedt ook een oplossing om tegen kopiëren beveiligde kluisinhoud op te slaan en om deze inhoud op een veilige manier peer-to-peer, d.i. offline, tussen apparaten uit te wisselen. Ten slotte is het concept dat wordt beschreven in genoemd document van Kamil Smieszek et al. problematisch als het gaat om het distribueren van genoemd ESPS naar andere apparaten, want elk apparaat heeft zijn eigen TPM die een andere Root of Trust ondersteunt. De huidige uitvinding biedt daarentegen volledige ondersteuning voor distributie over verschillende apparaten.

Document US8959579B2 beschrijft een methode voor het voorzien van veilige Containers of gegevenskluizen voor gegevens van een of meer beheerde toepassingen, wat houdt in dat lees- of schrijfbewerkingen van de beheerde toepassing worden onderschept wanneer de toepassing wordt uitgevoerd op een mobiel apparaat. In sommige uitvoeringsvormen kan aan elke beheerde toepassing een eigen gegevenskluis worden toegewezen en/of een gedeelde gegevenskluis worden toegewezen die toegankelijk is voor ten minste één andere beheerde toepassing. Als de beheerde toepassing wordt uitgevoerd, kunnen oproepen voor toegang tot de gegevens worden onderschept en omgeleid naar de beveiligde

BE2016/5324

BE2016/5324 containers. Gegevens die zijn opgeslagen in een beveiligde container kunnen worden versleuteld volgens een beleid. Andere aspecten hebben betrekking op het verwijderen van gegevens uit een beveiligde container, zoals via selectief wissen van gegevens die zijn gekoppeld aan een beheerde toepassing. Verdere aspecten hebben betrekking op het configureren en aanmaken van beveiligde containers, het ophalen van belangrijke informatie die nodig is voor het versleutelen/ontsleutelen van de gegevens die zijn opgeslagen in de beveiligde containers, en het publiceren van de beheerde toepassingen, beleidsinformatie en sleutelinformatie voor het downloaden naar een mobiel apparaat.

Document W02013040605 beschrijft een computer-geïmplementeerde méthode voor het initiëren van een contactloze betalingstransactie op een mobiel computerapparaat, welke inhoudt:

contactloze betalingstransacties worden geïnitieerd via enkele invoeractivering van het Secure Element en contactloze communicatiesysteem van een mobiel apparaat;

- activering van het Secure Element en het contactloze communicatiesysteem wordt gekoppeld aan de activeringsstatus van het scherm van het mobiele apparaat;

activering van het Secure Element kan verder worden gekoppeld aan de activeringsstatus van een elektronische portefeuille toepassing. Wanneer activering van de elektronische portefeuille is vereist, wordt activering met één klik van de elektronische portefeuille en het Secure Element voorzien.

Document W02005067402 beschrijft een mobiele terminal voor certificering, en een elektronisch transactiesysteem en méthode die hetzelfde gebruiken, waarbij een certificaat wordt gedownload naar een mobiele terminal van een certificeringsinstantie. In een bedrade elektronische transactie wordt de transactiegeschiedenis van een gebruiker geleverd aan de mobiele terminal van een dienstverlenende server of de transactieterminal van een gebruiker, en de mobiele terminal ondertekent digitaal de transactiegeschiedenis door gebruik van een opgeslagen digitaal certificaat en levert de digitaal ondertekende transactiegeschiedenis aan de dienstverlenende server of de transactieterminal zodat de dienstverlenende server dan uiteindelijk de digitaal ondertekende transactiegeschiedenis kan ontvangen. De dienstverlenende server regelt de transactie met de gebruiker volgens de digitaal ondertekende transactiegeschiedenis en levert een dienst aan de gebruiker. Ook wordt in de offlinetransactie het certificaat

BE2016/5324

BE2016/5324 dat is opgeslagen in de mobiele terminal geleverd aan een systeem om daardoor stabiele transacties op basis van het certificaat uit te voeren.

De bovengenoemde documenten lijken geen elegante en lichte toepassing voor de combinatie van veilige lokale opslag van een offline wachtwoord, online transactiebeveiliging met behulp van een symmetrische of asymmetrische sleutel, of een peer-to-peer transactiebeveiliging met behulp van een asymmetrisch sleutelpaar, zonder gebruik van een Secure Element, te beschrijven.

De huidige uitvinding beoogt ten minste enige van de bovengenoemde Problemen op te lossen. De uitvinding beoogt daartoe een oplossing te bieden die ligt tussen het opslaan van de credentials (a) offline of (b) in de cloud. De huidige uitvinding levert niet het hoge beveiligingsniveau dat hardware kan bieden voor high-end toepassingen zoals betalingsmethoden, maartegelijkertijd verhoogt de uitvinding wel het beveiligingsniveau aanzienlijk in vergelijking met het eenvoudigere klassieke model van gebruikersnaam/wachtwoord. De huidige uitvinding kan ook worden geïmplementeerd op een hardwarematig Secure Element en kan daarom van cruciaal belang zijn in een migratieproces van niet-hardwarematige naar hardwarematige beveiliging.

SAMENVATTING VAN DE UITVINDING

In een eerste aspect heeft de uitvinding betrekking op een computergeïmplementeerde méthode voor de veilige opslag van credentials voor offlinegebruik en tegen kopiëren beveiligde kluisinhoud, met behulp van een server en een toepassing op een apparaat van een gebruiker, omvattend de volgende stappen van:

a) genoemde server die genoemde credentials opslaat, niet in Staat de genoemde credentials zelf te ontsleutelen;

b) genoemde toepassing die versleutelde credentials op genoemd apparaat opslaat, niet in Staat om genoemde credentials te ontsleutelen zonder hulp van een vertrouwende toepassing van derden en/of genoemde gebruiker;

c) in Staat zijn genoemde credentials over verschillende apparaten van genoemde zelfde gebruiker te distribueren, waarbij zowel genoemde server als interactie van genoemde gebruiker worden gebruikt;

d) genoemde gebruiker levert back-upgegevens zonder credentials aan genoemde server om genoemde credentials te herstellen in het geval van verlies van genoemd apparaat;

B E2016/5324

BE2016/5324 waarbij de méthode geen Secure Element vereist, maar is beveiligd met behulp van cryptografische sleutels en versleutelde opslag.

In een verder aspect van de huidige uitvinding, omvat dit een Key Unlocking Code (bv. een PIN, wachtwoordzin ...) van de genoemde gebruiker die optioneel genoemde credentials en genoemde tegen kopiëren beveiligde kluisinhoud beschermt, waarbij genoemde server en genoemde applicatie de Key Unlocking Code van genoemde gebruiker niet opslaan.

In een verder aspect slaat genoemde toepassing genoemde credentials of genoemde tegen kopiëren beveiligde kluisinhoud van genoemde gebruiker op genoemd apparaat in een versleutelde vorm op, niet in Staat om genoemde credentials of genoemde tegen kopiëren beveiligde kluisinhoud te ontsleutelen zonder hulp van een vertrouwende toepassing van derden en/of genoemde gebruiker.

In een verder aspect herstelt genoemde server de genoemde credentials op een nieuw apparaat van genoemde zelfde gebruiker, met gebruikmaking van backupgegevens zonder genoemde credentials geleverd door genoemde gebruiker en zonder interactie met een genoemd ander apparaat van genoemde gebruiker.

In een verder aspect is genoemde server niet in Staat genoemde tegen kopiëren beveiligde kluisinhoud over verschillende apparaten van genoemde zelfde gebruiker te distribueren of om genoemde tegen kopiëren beveiligde kluisinhoud op een nieuw apparaat van genoemde zelfde gebruiker te herstellen om kopiëren of klonen te voorkomen.

In een verder aspect wordt genoemde tegen kopiëren beveiligde kluisinhoud overgebracht van genoemd eerste apparaat van genoemde eerste gebruiker naar een tweede apparaat van genoemde eerste gebruiker en/of genoemde tegen kopiëren beveiligde kluisinhoud wordt overgebracht van genoemd eerste apparaat van genoemde eerste gebruiker naar een derde apparaat van een tweede gebruiker zonder verbinding te maken met genoemde server.

In een verder aspect voorziet de huidige uitvinding een systeem dat geschikt is voor een computer-geïmplementeerde méthode voor veilige opslag van credentials voor offline- en/of online gebruik en tegen kopiëren beveiligde kluisinhoud, dat een verwerkingseenheid omvat die is geconfigureerd voor de uitvoering van de méthode zoals hiervoor beschreven.

B E2016/5324

BE2016/5324

In een verder aspect voorziet de huidige uitvinding een toepassingsproduct dat geschikt is voor een computer-geïmplementeerde méthode voor veilige opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud, dat ten minste één computertoegankelijk medium omvat waarop computertoegankelijke programmacode-delen worden opgeslagen, welke instructies omvatten voor de uitvoering van de computer-geïmplementeerde méthode zoals hierboven beschreven.

FIGUREN

Figuur 1 toont een eerste uitvoeringsvorm van de huidige uitvinding. Figuur 2 toont een eerste uitvoeringsvorm van de huidige uitvinding. Figuur 3 toont een eerste uitvoeringsvorm van de huidige uitvinding. Figuur 4 toont een tweede uitvoeringsvorm van de huidige uitvinding. Figuur 5 toont een tweede uitvoeringsvorm van de huidige uitvinding. Figuur 6 toont een tweede uitvoeringsvorm van de huidige uitvinding.

GEDETAILLEERDE BESCHRIJVING VAN DE UITVINDING

Tenzij anders gedefinieerd hebben aile termen die worden bij de beschrijving van de uitvinding, met inbegrip van technische en wetenschappelijke termen, de betekenis zoals algemeen wordt begrepen door een deskundige in het vakgebied waartoe deze uitvinding behoort. Als verdere leidraad zijn termdefinities opgenomen voor een beter begrip van de leer van de huidige uitvinding.

Zoals hierin gebruikt, hebben de volgende termen de volgende betekenis:

Een, het en de zoals hierin gebruikt verwijzen naar zowel enkelvouds- als meervoudsreferenten tenzij de context duidelijk anders aangeeft. Een compartiment verwijst bijvoorbeeld naar één of meer dan één compartiment.

Omvatten, omvattend en omvat en omvat zijn uit zoals hierin gebruikt zijn synoniemen van bevatten, bevattend, bevat' of bestaan uit, bestaand uit, bestaat uit en zijn inclusieve of open termen die de aanwezigheid van wat volgt, bv. component specificeren en de aanwezigheid van bijkomende in het vakgebied bekende of hierin beschreven niet-genoemde componenten, kenmerken, elementen, leden en stappen niet verhinderen of uitsluiten.

BE2016/5324

BE2016/5324

De term credential verwijst naar gegevens die de gebruiker of toepassing kan gebruiken voor de verificatie en beveiliging van transacties met een bepaalde provider. Voorbeelden van credentials zijn PIN, wachtwoorden, symmetrische sleutels, asymmetrische sleutels, tokens, certificaten, handtekeningen en biometrische gegevens. Credentials kunnen online en offline worden gebruikt.

De term kluisinhoud verwijst naar gegevens die waardevol zijn voor de gebruiker voor een bepaalde dienst en die moeten worden beveiligd tegen kopiëren. Voorbeelden van kluisinhoud omvatten maaltijdcheques,. cadeaubonnen, tickets, coupons, licentiesleutels voor een softwarepakket, handtekeningen, certificaten, cryptografische sleutels.

De term apparaat verwijst naar een klein computerapparaat, meestal klein genoeg om in de hand te houden (daarom is het ook algemeen bekend als een handheldcomputer of kortweg handheld) met een beeldscherm met aanraakinvoer en/of een miniatuurtoetsenbord, bv. een smartphone of tabletcomputer. Een apparaat heeft een besturingssysteem (OS) en kan verschillende soorten toepassingssoftware, beter bekend als apps, draaien.

De term apparaat-ID (DID) verwijst naar een identificator van het apparaat. De apparaat-ID kan een hardwarevingerafdruk en/of andere apparaatspecifieke gegevens omvatten.

De term point-of-service (POS) verwijst naar de plaats waar de transactie wordt voltooid. Het is het punt waarop een klant interageert met een handelaar in ruil voor goederen of diensten.

De term geheugenvak verwijst naar een specifiek deel van de versleutelde opslag van een computertoegankelijk medium, bv. het interne geheugen van een apparaat.

In dit document verwijst de term geheugenvaktoepassing naar elke softwaretoepassing die aanwezig is aan de cliëntzijde waarmee de méthode wordt geïmplementeerd die in dit document wordt beschreven. Deze mag daarom niet worden opgevat als beperking van de in dit document beschreven uitvinding tot een of meerdere specifieke uitvoeringsvormen.

De term Secure Element verwijst naar een fraudebestendig platform (meestal een beveiligde microcontroller uit één chip) waarop toepassingen en hun vertrouwelijke en cryptografische gegevens (bv. sleutelbeheer) veilig kunnen worden gehost in

BE2016/5324

BE2016/5324 overeenstemming met de regels en beveiligingsvereisten die zijn opgesteld door een reeks goed ge'identificeerde vertrouwde instanties.

De term server verwijst in dit document naar een server die online netwerkdienst ievert waarmee toepassingen de credentials kunnen opslaan, distribueren en ophalen.

De term sleutel verwijst naar eén stuk informatie (een parameter) die de functionele uitvoer van een cryptografisch algoritme of versleuteling bepaalt. Zonder een sleutel zou het algoritme geen bruikbaar resultaat opleveren. Bij versleuteling specificeert een sleutel de bijzondere transformatie van leesbare tekst naar versleutelde tekst of omgekeerd tijdens ontsleuteling. Sleutels worden ook gebruikt . in andere cryptografische algoritmes, zoals digitale handtekeningschema's en Message Authentication Codes. Om te voorkomen dat een sleutel wordt geraden, moeten sleutels echt willekeurig worden gegenereerd en voldoende entropie (chaos) bevatten. Het probleem van veilige generering van echt willekeurige sleutels is moeilijk en werd op vele manieren aangepakt door verschillende cryptografische Systemen.

De term openbare-sleutelcryptografie, ook bekend als asymmetrische cryptografie, verwijst naar een klasse van cryptografische algoritmes waarvoor twee verschillende sleutels zijn vereist, waarvan één geheim (of privé) en waarvan één openbaar is.

Hoewel verschillend worden de twee delen van dit sleutelpaar mathematisch gekoppeld. De openbare sleutel wordt gebruikt om leesbare tekst te versleutelen of een digitale handtekening te controleren; terwijl de privé-sleutel wordt gebruikt om versleutelde tekst te ontsleutelen of om een digitale handtekening aan te maken. De term asymmetrisch komt voort uit het gebruik van verschillende sleutels om deze tegengestelde functies uit te voeren, die elk de inverse van de andere zijn - in tegenstelling tot conventionele (symmetrische) cryptografie die gebaseerd is op dezelfde sleutel om beide uit te voeren.

De term symmetrische-sleutelcryptografie verwijst naar een klasse van cryptografische algoritmes die dezelfde cryptografische sleutels gebruiken voor zowel versleuteling van leesbare tekst als ontsleuteling van versleutelde tekst. De sleutels kunnen identiek zijn of er kan een eenvoudige transformatie nodig zijn tussen de twee sleutels. De sleutels vertegenwoordigen in de praktijk een gedeeld geheim (bv. een wachtwoord, een wachtwoordzin, een groot getal of een matrix van willekeurig gekozen bytes) tussen twee of meer partijen die kunnen worden gebruikt om een koppeling naar persoonlijke informatie te onderhouden.

BE2016/5324

BE2016/5324

De term digitaal certificaat verwijst naar een elektronisch document dat wordt gegenereerd om eigendom van een openbare sleutel te bewijzen in de context van openbare-sleutelcryptografie.

De term cliëntverificatie verwijst naar de veilige identificatie van een cliënt met betrekking tot een systeem of derde partij, waarbij de identificatie niet is beperkt tot een loutere declaratie van de identiteit van de cliënt door de cliënt, maar daarnaast een manier behelst om te verifiëren of de identificatie bonafide is.

De term out-of-band-verificatie verwijst naar het beginsel in cryptografie om verificatie te laten plaatsvinden met gebruik van een verbinding of kanaal dat gescheiden is van de primaire verbinding of kanaal voor verificatie. Dit betreft het bredere concept van meervoudige verificatie, waarbij een cliënt alleen wordt beschouwd als geverifieerd met betrekking tot een systeem nadat een aantal complementaire bewijsstukken van identiteit zijn geleverd door de dient.

De term leesbare tekst (plaintext) in cryptografie verwijst naar informatie die een verzender wil overbrengen naar een ontvanger. Als synoniem wordt vaak cleartext gebruikt. Plaintext heeft betrekking op de werking van cryptografische algoritmes, gewoonlijk versleutelingsalgoritmes, en is de invoer waarmee de algoritmes werken.

Cleartext, daarentegen, verwijst naar gegevens die niet-versleuteld (I.e. 'in the clear') worden verzonden of opgeslagen.

De term OWF in de informatica verwijst naar een éénwegfunctie, d.i. een functie die gemakkelijk te berekenen is voor elke invoer, maar moeilijk om te keren is vanwege de afbeelding van een willekeurige invoer. Hier moeten gemakkelijk en moeilijk worden opgevat in de zin van computationele complexiteitstheorie, in het bijzonder de théorie van polynomiale tijdproblemen. Niet één-op-één zijn wordt niet als voldoende geacht voor een functie om een éénwegfunctie genoemd te worden.

De term KUC verwijst naar een Key Unlocking Code en wordt door de gebruiker verstrekt tijdens het procès om een sleutel af te leiden. Voorbeelden van een KUC zijn een numerieke code (PIN), een alfanumeriek wachtwoord of wachtwoordzin of een biometrisch aspect, zoals een vingerafdruk.

De term KDF in de informatica verwijst naar een Key Derivation Function, d.i. een éénwegfunctie (OWF) die opzettelijk een bepaalde tijd en optioneel geheugen verbruikt en ook wordt gebruikt om een sterkere cryptografische sleutel te berekenen uit een zwakke cryptografische sleutel zoals een KUC van een gebruiker. Een KDF

BE2016/5324

BE2016/5324 wordt meestal gebruikt als een tegenmaatregel tegen woordenboekaanvallen of brute-krachtaanvallen.

De term MAC in cryptografie verwijst naar een Message Authentication Code die gegevensintegriteit en -authenticiteit biedt op basis van het gebruik van een symmetrische sleutel. Een MAC wordt meestal gebruikt om eigendom van een symmetrische sleutel te bewijzen, of om gegevensintegriteit en -authenticiteit te bieden.

De term nonce in cryptografie verwijst naar een willekeurig getal dat slechts eenmaal in een cryptografische communicatie wordt gebruikt.

De term salt in cryptografie verwijst naar willekeurige gegevens die worden gebruikt als een extra invoer voor een éénwegfunctie waarmee een wachtwoord of een wachtwoordzin wordt gehasht. Dit hangt samen met de termen gesalt en salten doorheen dit document.

De term eenmalige code (OTC) verwijst naar een willekeurig gegenereerde code die slechts eenmaal kan worden gebruikt. Dergelijke codes kunnen bijvoorbeeld worden gebruikt voor gebruikersverificatie.

De term obfuscation in het domein van softwareontwikkeling verwijst naar het opzettelijk maken van obfuscated code, d.i. bron- of machinecode die voor mensen moeilijk te begrijpen is. Programmeurs kunnen met opzet code verduisteren om het doel (security through obscurity) of diens logica te verbergen teneinde manipulatie te voorkomen en reverse engineering te ontmoedigen.

De term gebruikers-ID (UID) wordt gebruikt als een unieke identificator van de gebruiker. In een voorkeursuitvoeringsvorm omvat deze UID een willekeurig gegenereerd nummer en/of het e-mailadres van de gebruiker en/of het telefoonnummer van de gebruiker.

De term opslagserver verwijst naar een online dienst waarbij bepaalde inhoud alleen door de gebruiker op een veilige manier kan worden opgehaald. Een emailserver kan worden beschouwd als een opslagserver, waarbij de genoemde inhoud wordt opgenomen in een e-mail die naar het e-mailadres van de genoemde gebruiker wordt verzonden. Een server die behoort tot een dienst van derden kan ook worden beschouwd als een opslagserver, waarbij de genoemde inhoud alleen beschikbaar is voor genoemde gebruiker na een goede verificatie van de genoemde

B E2016/5324

BE2016/5324 dienst van derden. Een beschermde bestandsserver kan ook worden beschouwd als een opslagserver, waarbij de genoemde inhoud in een opgeslagen bestand wordt opgenomen.

De term geheugenvaktoepassing verwijst naar de toepassing die draait in het apparaat dat de cryptografische dienst beschikbaar stelt aan vertrouwende toepassingen van derden en die gegevens uit het geheugenvak kan ophalen.

De term toepassing van derden verwijst naar een vertrouwende toepassing die gebruik maakt van de geheugenvaktoepassing.

De term protocol-ID (PID) wordt gebruikt als unieke identificator van elk protocol.

Dit voorkomt bewerkte replay-aanvallen waarbij een bericht voor protocol A opnieuw wordt afgespeeld voor protocol B.

De term teller (ctr) is een getal dat alleen kan worden verhoogd, dat wordt gedeeld en gesynchroniseerd tussen de geheugenvaktoepassing en de server en dat wordt gebruikt als een tegenmaatregel tegen replay-aanvallen.

De computer-geïmplementeerde méthode die wordt beschreven in dit document bevat een toepassing op een apparaat van een gebruiker alsook een server. Hierbij is het genoemde apparaat, bv. een smartphone, tablet, desktopcomputer of laptopcomputer, in Staat om credentials en tegen kopiëren beveiligde kluisinhoud op te slaan. Genoemde server helpt genoemde toepassing zichzelf te initialiseren en genoemde credentials op te slaan, terug te zetten, te distribueren, te openen of uit te geven.

In een uitvoeringsvorm waarin de werkwijze die wordt beschreven in dit document in een softwaretoepassing wordt geïmplementeerd, waarnaar in het volgende wordt verwezen als geheugenvaktoepassing, kan de initialisatie van genoemde toepassing de volgende aspecten omvatten. Een eerste aspect is het downloaden van de toepassing op het apparaat van een gebruiker. Een tweede aspect is de daadwerkelijke initialisatie. Tijdens deze initialisatie worden twee symmetrische sleutels KO en Kl geïnitialiseerd en opgeslagen aan de serverzijde. Aan de toepassingszijde:

KO kan op aanvraag (d.w.z. indien nodig) worden berekend door de geheugenvaktoepassing zonder een KUC van genoemde gebruiker, maar met de gebruikers-ID, het apparaat-ID en enige willekeurigheid die is opgeslagen in de geheugenvaktoepassing

BE2016/5324

BE2016/5324

Kl kan op aanvraag (d.w.z. indien nodig) worden berekend door de geheugenvaktoepassing op voorwaarde dat een KUC wordt verstrekt door genoemde gebruiker, en de gebruikers-ID, het apparaat-ID en enige willekeurigheid die is opgeslagen in de geheugenvaktoepassing

Dit betekent dat de sleutels KO en Kl nooit als zodanig in het apparaat worden opgeslagen en dus niet in de geheugenvaktoepassing noch in de toepassing van derden. Hier is het doel van de symmetrische sleutels KO en Kl om veilig credentials of kluisinhoud op te slaan, wat al dan niet een door de gebruiker verstrekte KUC vereist.

In een voorkeursuitvoeringsvorm van de uitvinding moet de gebruiker een opslag-ID (SID, bv. zijn e-mailadres) verstrekken waarmee de gebruiker toegang krijgt tot de opslagserver en een out-of-band-identifier (OBID, bv. zijn mobiele telefoonnummer) tijdens de initialisatie van de geheugenvaktoepassing.

In een voorkeursuitvoeringsvorm van de uitvinding zijn genoemde SID en genoemde OBID van genoemde gebruiker samengebonden, wat betekent dat genoemde zelfde gebruiker genoemde zelfde SID en genoemde zelfde OBID moet gebruiken om een geheugenvaktoepassing op een ander apparaat te initialiseren.

In een voorkeursuitvoeringsvorm van de uitvinding wordt genoemde SID van genoemde gebruiker geverifieerd tijdens initialisatie om te garanderen dat genoemde gebruiker de rechtmatige eigenaar van genoemde SID is. Deze verificatie kan bijvoorbeeld worden gedaan door het verzenden van een activeringsmail met een activeringskoppeling naar het e-mailadres dat door de gebruiker is verstrekt, waarbij verificatie pas wordt gerealiseerd nadat de activeringskoppeling is geopend.

In een voorkeursuitvoeringsvorm van de uitvinding wordt een Out-Of-Band (OOB)kanaal gebruikt voor aanvullende (d.i. twee-factor) verificatie van de gebruiker.

In een voorkeursuitvoeringsvorm van de uitvinding neemt het Out-Of-Band-kanaal de vorm aan van een SMS en de verificatie heeft de vorm van het verzenden van een verificatiecode naar Out-Of-Band-Identifier (OBID), d.i. het mobiele telefoonnummer van genoemde gebruiker. Dit verzekert de server ook dat genoemde gebruiker de rechtmatige eigenaar van genoemd mobiele telefoonnummer is.

In een voorkeursuitvoeringsvorm van de uitvinding wordt een opslagserver gebruikt voor opslag van het deel van de gegevens dat wordt gebruikt voor herstellen of distribueren van credentials nadien.

B E2016/5324

BE2016/5324

In een voorkeursuitvoeringsvorm van de uitvinding kan een toepassing van derden alleen de gevoelige gegevens uit genoemd geheugenvak ophalen via de geheugenvaktçepassing, welke vereist dat KO of Kl worden gereconstrueerd afhankelijk van welke sleutel werd gebruikt om de opgeslagen gevoelige gegevens te beschermen.

In een voorkeursuitvoeringsvorm van de uitvinding wordt genoemde sleutel dynamisch gegenereerd met gebruik van gebruikers-ID, apparaat-ID, enige willekeurigheid en optioneel een KUC-code voor de gebruiker, waarbij de KUC-code voor de gebruiker nooit wordt opgeslagen in genoemd apparaat of op de server.

In een voorkeursuitvoeringsvorm van de uitvinding wordt de apparaat-ID gerandomiseerd door de geheugenvaktoepassing om replay-aanvallen te voorkomen en ook om te voorkomen dat een aanvaller de gerandomiseerde apparaat-ID louter kan raden.

In een voorkeursuitvoeringsvorm van de uitvinding kunnen meer dan twee symmetrische sleutels worden geïnitialiseerd. Sleutels KO en Ki kunnen worden geïnitialiseerd, waarbij KO is zoals hiervoor beschreven, maar waarbij elke Ki met i=l,2,3,... is gekoppeld aan een andere KUCi van genoemde gebruiker. Dit maakt de initialisatie van de geheugenvaktoepassing mogelijk met gebruik van meer dan één door de gebruiker verstrekte KUC (bv. een numerieke PIN en een alfanumerieke wachtwoordzin).

In een voorkeursuitvoeringsvorm van de uitvinding maakt genoemde geheugenvaktoepassing die is geïnitialiseerd met meer dan twee symmetrische sleutels de veilige opslag van credentials en kluisinhoud mogelijk onder de bescherming van verschillende door de gebruiker verstrekte KUC's, waarbij elke KUC een lager of hoger veiligheidsniveau kan bereiken. De keuze van genoemde symmetrische sleutel en genoemde gekoppelde KUC kan afhangen van de gevoeligheid van de opgeslagen gegevens.

In een voorkeursuitvoeringsvorm van de uitvinding levert de server de geheugenvaktoepassing een asymmetrisch sleutelpaar voor de cliënt en het bijbehorende certificaat tijdens de initialisatie waarmee cliëntverificatie tijdens aile toekomstige communicatie met genoemde server kan worden uitgevoerd.

In een meer voorkeurdragende uitvoeringsvorm van de uitvinding is het serienummer van genoemd cliëntcertificaat afhankelijk van de gebruikers-ID en apparaat-ID.

BE2016/5324

BE2016/5324

In een voorkeursuitvoeringsvorm van de uitvinding kan de geheugenvaktoepassing zodra deze is geïnitialiseerd, worden gebruikt door toepassingen van derden om verschillende credentials en kluisinhoud op te slaan.

In een voorkeursuitvoeringsvorm van de uitvinding verstrekt de server bij initialisatie van een geheugenvaktoepassing met implementatie van de in dit document beschreven methode, de gebruiker een eenmalige code om registratie van genoemde gei'nitialiseerde geheugenvaktoepassing ongedaan te maken en een set eenmalige codes waarmee de gebruiker zieh kan laten verifiëren bij het uitvoeren van protocollen via een webportaal.

In een voorkeursuitvoeringsvorm van de uitvinding wordt een opslagserver gebruikt voor opslag van genoemde eenmalige codes.

In de huidige uitvinding is de opslag van credentials bedoeld om te worden gebruikt door toepassingen van derden die een veilige opslag voor hun wachtwoorden, symmetrische sleutels, asymmetrische sleutelparen, tokens, biometrische gegevens, certificaten, enz. nodig hebben. De belangrijkste focus is in dit geval om ervoor te zorgen dat de credentials op een veilige manier worden opgeslagen wanneer toepassingen ze niet nodig hebben. De geheugenvaktoepassing en bijbehorende server slaan slechts een deel van de elementen op die nodig zijn om een credential te reconstrueren. Het andere deel wordt afgehandeld door de toepassing van derden die toegang wil tot de credential. Dit deel wordt ook verondersteld door de gebruiker voor back-up doeleinden te worden opgeslagen. De server en de geheugenvaktoepassing slaan geen van beide dit deel op, zodat ze de opgeslagen credentials niet zelf kunnen ontsleutelen. Dit betekent dat zodra een credential goed is opgeslagen, de geheugenvaktoepassing en de server deze alleen kunnen ophalen met medewerking van de gebruiker, of de toepassing van derden waarvoor de credential werd opgeslagen. Indien de credential onder Kl wordt beschermd, moet de gebruiker bovendien zijn KUC verstrekken om de credential lokaal terug te zetten in de geheugenvaktoepassing.

In een uitvoeringsvorm van de uitvinding is voorzien in protocollen om de registratie van een gei'nitialiseerde geheugenvaktoepassing ongedaan te maken, de SID van de gebruiker te wijzigen, de OBID van de gebruiker te wijzigen, de KUC van de gebruiker te wijzigen, de KUC van de gebruiker te resetten, en een nieuwe lijst met eenmalige verificatiecodes voor gebruikers aan te vragen.

In een uitvoeringsvorm van de uitvinding is voorzien in protocollen om credentials te verwijderen, hetzij algemeen of alleen voor één apparaat, credentials te distribueren/herstellen over verschillende apparaten (met medewerking van de

BE2016/5324

BE2016/5324 gebruiker) en een update aan te vragen betreffende de opgeslagen credentials op een apparaat van de gebruiker.

In een alternatieve uitvoeringsvorm van de uitvinding is voorzien in protocollen die kunnen worden uitgevoerd vanuit een webportaal in plaats van de geheugenvaktoepassing. Deze protocollen ondersteunen het ongedaan maken van de registratie van een gei'nitialiseerde geheugenvaktoepassing, de wijziging van de SID van de gebruiker, de wijziging van de OBID van de gebruiker, en de aanvraag van een nieuwe lijst met eenmalige verificatiecodes voor gebruikers. Bij voorkeur moet de gebruiker een eenmalige verificatiecode verstrekken bij het uitvoeren van protocollen vanuit een webportaal.

In een voorkeursuitvoeringsvorm van de uitvinding vindt reconstructie van credentials aan de serverzijde gezamenlijk plaats door genoemde server en genoemde gebruiker van genoemde toepassing.

In een voorkeursuitvoeringsvorm van de uitvinding vindt reconstructie van credentials aan de toepassingszijde gezamenlijk plaats door genoemde geheugenvaktoepassing en genoemde vertrouwende toepassing van derden.

In een meer voorkeurdragende uitvoeringsvorm van de uitvinding moet genoemde gebruiker bijkomend een KUC-code verstrekken.

In een voorkeursuitvoeringsvorm van de uitvinding wordt een exemplaar van genoemde toepassing gei'nstantieerd met een of meer dienst-specifieke identiteiten die worden gecontroleerd door de diensteigenaar en waarmee kluisinhoud kan worden opgeslagen.

In een voorkeursuitvoeringsvorm van de uitvinding worden genoemde dienstspecifieke identiteiten geïmplementeerd met een dienst-specifieke Public Key Infrastructure (PKI).

In een voorkeursuitvoeringsvorm van de uitvinding kan genoemd exemplaar van toepassing worden gebruikt om veilig kluisinhoud op te slaan.

In een voorkeursuitvoeringsvorm van de uitvinding heeft de geheugenvaktoepassing de vorm van een softwarebibliotheek of -bibliotheken.

In een bijzonder voorkeurdragende uitvoeringsvorm omvatten de gebruikte Softwarebibliotheken bibliotheken die geschikt zijn voor obfuscation-doeleinden.

BE2016/5324

BE2016/5324

In een bijzonder voorkeurdragende uitvoeringsvorm worden de gebruikte Softwarebibliotheken ingesloten in een Software Development Kit (SDK) die een interface biedt die lijkt op die van een hardwarematig Secure Element.

In een bijzonder voorkeurdragende uitvoeringsvorm omvatten de genoemde Softwarebibliotheken bibliotheken die geschikt zijn voor symmetrischesleutelcryptografie-doeleinden.

In een bijzonder voorkeurdragende uitvoeringsvorm omvatten de genoemde Softwarebibliotheken bibliotheken die geschikt zijn voor asymmetrischesleutelcryptografie-doeleinden.

In een voorkeursuitvoeringsvorm van de uitvinding is genoemde softwarebibliotheek beschikbaar in verschillende besturingssystemen.

In een voorkeursuitvoeringsvorm van de uitvinding maakt genoemde softwarebibliotheek gebruik van een Secure Element als genoemd geheugenvak.

In een voorkeursuitvoeringsvorm van de uitvinding maakt de server gebruik van een beveiligingsmodule die cryptografische sleutels opslaat en alle cryptografische bewerkingen afhandelt.

In een voorkeursuitvoeringsvorm van de uitvinding is genoemde beveiligingsmodule ofwel geïmplementeerd in hardware of software.

In een voorkeursuitvoeringsvorm van de uitvinding worden gegevens die vanuit de geheugenvaktoepassing naar de server zijn verzonden, gedassificeerd als metagegevens of vertrouwelijke gegevens, waarbij metagegevens bekend moeten zijn bij genoemde server terwijl vertrouwelijke gegevens alleen bekend hoeven te zijn bij genoemde beveiligingsmodule van genoemde server.

In een voorkeursuitvoeringsvorm van de uitvinding worden de vertrouwelijke gegevens bijkomend specifiek versleuteld voor genoemde beveiligingsmodule van genoemde server met gebruik van asymmetrische-sleutelcryptografie.

In een voorkeursuitvoeringsvorm van de uitvinding worden beveiligingsinbreuken (hacking) in genoemd geheugenvak voorkomen tegen afluisteren, replay-aanvallen, man-in-the-middle-aanvallen, denial-of-service-aanvallen, woordenboekaanvallen of brute-krachtaanvallen, geheugenlezende malware en naar het geheugen schrijvende malware.

In een meer voorkeurdragende uitvoeringsvorm wordt een woordenboekaanval of brute-krachtaanval om genoemde KUC op te halen, voorkomen door het programmeren van een éénwegfunctie met gebruik van een vooral tijd- en optioneel geheugenverbruikend algoritme zoals een KDF.

BE2016/5324

BE2016/5324

In een meer voorkeurdragende uitvoeringsvorm wordt een offline woordenboekaanval of brute-krachtaanval om genoemde KUC op te halen, voorkomen door de KDF exponentieel langzaam te maken afhankelijk van het aantal keren dat een KUC werd ingevoerd binnen een bepaald tijdschuifvenster.

In een meer voorkeurdragende uitvoeringsvorm wordt een online woordenboekaanval of brute-krachtaanval om genoemde KUC op te halen, voorkomen door de server door het vergrendelen van een apparaat waarop de geheugenvaktoepassing is gel'nstalleerd vanaf het moment waarop genoemde server een onjuiste KUC detecteert die een bepaald aantal opeenvolgende keren door de gebruiker is verstrekt.

In een meer voorkeurdragende uitvoeringsvorm wordt malware die probeert in genoemd geheugenvak te lezen, tegengehouden door alle credentials onder KO en Kl te versleutelen, en kennis te vereisen van gebruikers-ID, apparaat-ID, hardwarevingerafdruk, enige willekeurigheid, optionele KUC en het obfuscated algoritme van de éénwegfunctie (KDF).

In een meer voorkeurdragende uitvoeringsvorm wordt malware die probeert in het geheugenvak te schrijven, tegengehouden door genoemde KO of Kl niet op te slaan behalve in de server.

In een voorkeursuitvoeringsvorm, d.i. voor bepaalde vormen van use cases, is de beschermde inhoud niet louter een credential maar kluisinhoud is, d.i. informatie die waarde vertegenwoordigt, omvattende bioscoopkaartjes, maaltijdcheques en andere coupons, bv. in de vorm van een certificaat, en voor dergelijke informatie kan de geheugenvaktoepassing werken als een veiiige kluis die alleen waardevolle informatie vrijgeeft aan andere herkende geheugenvaktoepassingen, nadat ze zieh hebben geïdentificeerd. Dit zorgt ervoor dat genoemde kluisinhoud niet vrijelijk kan worden gekopieerd.

In een voorkeursuitvoeringsvorm kan een dienst-specifieke kluis worden geinitieerd door de geheugenvaktoepassing voor iedere dienst waarvoor kluisinhoud moet worden opgeslagen, waarbij:

Elke diensteigenaar een asymmetrisch hoofdsleutelpaar ontvangt waarmee het zieh identificeert, kluisinhoud genereert en dienst-specifieke exemplaren van geheugenvaktoepassingen identificeert.

De server een uniek asymmetrisch sleutelpaar genereert met een certificaat (uitgegeven door de diensteigenaar met zijn hoofdsleutelpaar) voor elk exemplaar van de geheugenvaktoepassing en voor elke dienst, en deze op

BE2016/5324

BE2016/5324 afstand in het exemplaar van de geregistreerde geheugenvaktoepassing laadt. Met dit sleutelpaar en certificaat kan elke geheugenvaktoepassing zieh identificeren naar andere exemplaren van de geheugenvaktoepassing toe die zijn geactiveerd voor dezelfde dienst, zodat kluisinhoud kan worden overgebracht.

Kluisinhoud bestaat uit metagegevens die aangeven wat de inhoud waard is (bv. 7 EUR aan maaltijdcheques), en een unieke handtekening van de diensteigenaar voor de metagegevens en enige willekeurigheid die de metagegevens werkelijke waarde geeft. De metagegevens zijn vrij toegankelijk aangezien deze leesbaar worden opgeslagen, bv. om prestatieredenen (bv. oplijsten van aile beschikbare maaltijdcheques), terwijl de handtekening (voor de metagegevens) moet worden benaderd via de geheugenvaktoepassing en bijgevolg enkel kan worden onthuld (overgebracht) aan andere herkende dienst-specifieke kluizen in geheugenvakken, zelfs voor dezelfde dienst. Inhoud overbrengen naar andere geheugenvakkluizen kan offline gebeuren.

Kluisinhoud kan ook worden besteed bij points-of-service (POS). Dit kan online worden gedaan (d.i. het POS heeft een verbinding met de back-end van de diensteigenaar en/of de back-end van de geheugenvaktoepassing) of offline (d.i. zonder onlineverbinding met uitzondering van periodiek doorsturen van offline opgeslagen gegevens voor clearing).

In een voorkeursuitvoeringsvorm van de uitvinding wordt genoemde kluisinhoud, zonder interactie van genoemde server, van de ene dienst-specifieke kluis naar een andere geïdentificeerde dienst-specifieke kluis overgebracht, bv. de offlineoverdracht van een maaltijdcheque van het ene apparaat naar het andere apparaat.

In een voorkeursuitvoeringsvorm van de uitvinding bestaan verschillende typen van genoemde kluisinhoud binnen de geheugenvaktoepassing naast elkaar, maar zijn deze van elkaar geïsoleerd.

In een voorkeursuitvoeringsvorm van de uitvinding vereist het ophalen van genoemde kluisinhoud uit het geheugenvak via de geheugenvaktoepassing interactie van de gebruiker, d.i. de gebruiker moet zijn KUC verstrekken.

In een voorkeursuitvoeringsvorm van de uitvinding wordt genoemde kluisinhoud onmiddellijk door de geheugenvaktoepassing verwijderd zodra deze is afgegeven, overgebracht of besteed en kan niet worden teruggezet (d.w.z. genoemde server

B E2016/5324

BE2016/5324 verwijdert de inhoud zodra deze is afgegeven) en wordt veilig opgeslagen in maximaal één van de genoemde dienst-specifieke kluizen om kopiëren te voorkomen.

In een voorkeursuitvoeringsvorm van de uitvinding kan genoemde kluisinhoud worden besteed bij een Point of Service (POS), waarbij genoemd apparaat offline is en genoemde POS ofwel offline of online is.

In een voorkeursuitvoeringsvorm van de uitvinding voorkomt of ondersteunt genoemde dienst-specifieke kluis, indien nodig, dubbele besteding van genoemde kluisinhoud.

In een voorkeursuitvoeringsvorm van de uitvinding worden genoemde computergeïmplementeerde méthode voor het veilig opslaan van genoemde credentials voor offline- en/of online gebruik en genoemde tegen kopiëren beveiligde kluisinhoud, genoemde opslag en genoemde diensten, in het Secure Element van een apparaat geïmplementeerd.

In een voorkeursuitvoeringsvorm van de uitvinding worden genoemde computergeïmplementeerde méthode voor het veilig opslaan van genoemde credentials voor offline- en/of online gebruik en genoemde tegen kopiëren beveiligde kluisinhoud, genoemde opslag en genoemde diensten, in het Secure Element van een smartcard geïmplementeerd.

In een tweede aspect voorziet de uitvinding een systeem dat geschikt is voor een computer-geïmplementeerde méthode voor veilige opslag van credentials voor offline- en/of online gebruik en tegen kopiëren beveiligde kluisinhoud, dat een verwerkingseenheid omvat die is geconfigureerd voor de uitvoering van de méthode zoals hiervoor beschreven.

In een derde aspect voorziet de uitvinding een toepassingsproduct dat geschikt is voor een computer-geïmplementeerde méthode voor veilige opslag van credentials voor offline- en/of online gebruik en tegen kopiëren beveiligde kluisinhoud, dat ten minste één computertoegankelijk medium omvat, waarop computertoegankelijke programmacode-delen worden opgeslagen, welke instructies omvatten voor de uitvoering van de computer-geïmplementeerde méthode zoals hiervoor beschreven.

Zoals beschreven in dit document, fungeert een softwaretoepassing die de méthode implementeert die in dit document wordt beschreven als een beveiligde container met enige extra functionaliteit. In een voorkeursuitvoeringsvorm biedt genoemde toepassing echter niet de interface waarmee de inhoud kan worden voorgesteld en beheerd (bv. maaltijdcheques). In een verder aspect van de huidige uitvinding kan

B E2016/5324

BE2016/5324 een tweede aanvullende toepassing de interfaces met een eerste toepassing bieden om bv. maaltijdcheques te ondersteunen, waarbij de eerste toepassing de méthode implementeert die in dit document wordt beschreven maar vertrouwt op genoemde tweede toepassing om de gebruiker bv. een grafische gebruikersinterface (GUI) te bieden, die bv. maaltijdcheques op een adequate manier voorstelt en een communicatiekanaal biedt naar een point-of-service (POS) of tussen verschillende gebruikers.

Een eerste uitvoeringsvorm van de huidige uitvinding omvat de stappen (1) initialisatie geheugenvak, (2) initialisatie toepassingscredentials en (3) gebruik toepassingscredentials, zoals hierna verder beschreven:

1. Initialisatie geheugenvak (zie fig. 1)

1.1. Toepassing in App Store

Een niet-geïnitialiseerde geheugenvaktoepassing bevat de openbare sleutel Pu_S. Obfuscation wordt gebruikt om deze openbare sleutel binnen de toepassingssoftware op te slaan en deze aan de toepassing te binden, zodat een hacker deze niet gemakkelijk kan vervangen om een rogue-toepassing te bouwen.

De server bevat zowel deze openbare sleutel Pu_S als de bijbehorende persoonlijke sleutel Pr_S.

1.2. Installatie van de toepassing in het apparaat

Tijdens personalisatie van de geheugenvaktoepassing worden een tijdelijk sleutelpaar (openbare sleutel Pu_App, persoonlijke sleutel Pr_App), een willekeurige r_App en een nonce ni gegenereerd. De gebruiker wordt gevraagd zijn profiel in te voeren waaronder een geldige unieke identificatie UID (bv. e-mailadres) en optioneel een geldige out-of-band-identificatie OBID (bv. mobiele telefoonnummer).

De gebruiker wordt gevraagd een PIN te selecteren die als de KUC wordt gebruikt. De UID, Device_ID, PIN, r_App en optioneel OBID worden naar de server verzonden, versleuteld onder openbare sleutel Pu_S, geverifieerd met de persoonlijke sleutel Pr_App en gesalt met nonce ni. Nonce ni en openbare sleutel Pu_App worden leesbaar naar de server verzonden.

BE2016/5324

BE2016/5324

1.3. Ontsleuteling aan serverzijde

De server ontsleutelt de informatie die van de geheugenvaktoepassing wordt ontvangen.

1.4. Generering van de dynamische sleutels

De server genereert een nonce n2 en een willekeurige r_S.

De server genereert sleutels KO en Kl:

KO wordt gegenereerd gebruik makend van een OWF waarbij Device_ID, r_App en r_S worden gebruikt

Kl wordt gegenereerd gebruik makend van een OWF waarbij PIN, Device_ID, r_App en r_S worden gebruikt

Beschermingen worden geïmplementeerd om woordenboekaanvallen en brute-krachtaanvallen te voorkomen, bv. door het implementeren van OWF als een tijdverbruikend algoritme.

1.5. Verzending van r_S door de server

De server bereidt een gegevensreeks voor die r_S XOR'ed bevat (d.i. versleuteld door hettoepassen van een bitsgewijze XOR-operator) met r_App en een MAC berekend voor r_App met gebruik van Kl. De server verzendt deze gegevens die r_S versleuteld onder Pu_App bevatten, geverifieerd met de persoonlijke sleutel Pr_S, gesalt met nonce n2.

1.6. Verzending van nonce n2 door de server

De server kan nonce n2 leesbaar naar de geheugenvaktoepassing verzenden. In het geval dat er echter een out-of-band-kanaal (bv.

SMS) is, kan de server de nonce n2 cryptografisch gewijzigd verzenden met een andere nonce x2, die wordt verzonden via dit out-of-bandkanaal (bv. SMS). Het verzenden van de nonce x2 via een ander kanaal verhoogt de veiligheid, hoewel deze nog steeds kan worden onderschept door het netwerk of een rogue-toepassing. Het heeft echter wel het voordeel dat het ook extra vertrouwen in identificatie met zieh meebrengt omdat de gebruiker een juiste OBID heeft ingevoerd (bv. mobiele telefoonnummer).

1.7. Verificatie van UID

De server voert een procès uit om te verifiëren of de UID authentiek is en aan de gebruiker behoort. In een voorkeursuitvoeringsvorm is de UID een e-mailadres en dit procès neemt de vorm aan van een

BE2016/5324

BE2016/5324 verificatiekoppeling die via e-mail naar het e-mailadres van de gebruiker wordt verzonden.

1.8. Afleiding van dynamische sleutels door de geheugenvaktoepassing

De geheugenvaktoepassing leidt r_S af uit de informatie die van de server wordt ontvangen. De geheugenvaktoepassing leidt de dynamische sleutels af:

KO wordt afgeleid gebruik makend van de OWF waarbij Device_ID, r_App en r_S worden gebruikt

Kl wordt afgeleid gebruik makend van de OWF waarbij PIN, Device_ID, r_App en r_S worden gebruikt

Obfuscation wordt gebruikt in de implementatie van de OWF in de geheugenvaktoepassing.

1.9. Bevestiging

De geheugenvaktoepassing genereert een MAC voor r_S gebruik makend van Kl en verzendt deze naar de server als bewijs dat de de sleutels juist werden afgeleid.

1.10. Opslag en verwijdering door de geheugenvaktoepassing

De geheugenvaktoepassing slaat UID, r_S en r_App op. De geheugenvaktoepassing verwijdert PIN, Pu_App, Pr_App en nonces.

1.11. Opslag door server

Na de contrôle van de verificatiekoppeling en de MAC, slaat de server UID, OBID, Device_ID, KO en Kl op. De server verwijdert r_S, r_App en nonces.

2. Initialisatie toepassingscredentials (zie fig. 2)

2.1. Inleiding

De geheugenvaktoepassing kan worden gebruikt door een toepassing van derden die credentials wil opslaan (wachtwoorden, sleutels, enz.) in een mobiele toepassing voor zowel offline- als online toepassingen. In de meeste gevallen zullen deze credentials worden geïnitialiseerd tijdens de installatie, maar dit is natuurlijk geen must.

Om credentials op te slaan in het geheugenvak, moeten ze beschikbaar zijn aan de serverzijde. Het type credential en de manier waarop deze credentials worden gegenereerd of gekozen, valt buiten het bereik van

BE2016/5324

BE2016/5324 het geheugenvakconcept. Hierna volgen enkele niet-beperkende mogelijkheden:

Een asymmetrisch sleutelpaar dat door een toepassing van derden wordt gegenereerd

Een wachtwoord dat in het apparaat wordt ingevoerd

Een willekeurige symmetrische sleutel die door een toepassing van derden wordt gegenereerd

Een dergelijke credential Cred wordt geidentificeerd door een unieke identificatie CID.

2.2. Opslag

Om de credentials in het geheugenvak op te slaan, is het volgende van toepassing:

De geheugenvaktoepassing genereert een tijdelijk sleutelpaar (openbare sleutel Pu_App, persoonlijke sleutel Pr_App), een willekeurige s_App en een nonce nl.

- De App leidt KO of Kl af uit r_S en r_App, die werden opgeslagen tijdens initialisatie van het geheugenvak voor de bepaalde UID (zie stap 1 en fig. 1). In het geval van Kl, moet de gebruiker een PIN invoeren.

UID, Device_ID, CID, s_App en Cred worden naar de server verzonden, versleuteld onder openbare sleutel Pu_S, geverifieerd met de persoonlijke sleutel Pr_App, en gesalt met nonce nl. Nonce ni en openbare sleutel Pu_App worden leesbaar naar de server verzonden. De versleutelde gegevens bevatten ook een Message Authentication Code die gebruikmaakt van Kl.

De server ontsleutelt de gegevens en genereert een willekeurige s_S.

De server haalt de opgeslagen KO of Kl op met gebruik van Device_ID en UID.

De server genereert een nonce n2 en een willekeurige s_S.

- Credential Cred wordt versleuteld gebruik makend van KO of Kl gesalt met een waarde m afgeleid van s_App en s_S.

De versleutelde Cred samen met zijn identificatie CID en s_S worden versleuteld onder openbare sleutel Pu_App, geverifieerd met de persoonlijke sleutel Pr_S, gesalt met nonce n2 en verzonden naar de geheugenvaktoepassing. Nonce n2 wordt leesbaar naar de geheugenvaktoepassing verzonden.

B E2016/5324

BE2016/5324

De identificatie CID en s_App wordt verzonden naar de opslagserver, bv. in de vorm van een e-mail naar het e-mailadres dat overeenkomt met UID. De gegevens CID en s_App kunnen later worden opgehaald van de opslagserver zodat een volledig herstel of re-initialisatie worden verzekerd.

De geheugenvaktoepassing ontsleutelt de gegevens en slaat de versleutelde credential, samen met de CID en s_S in het geheugenvak op.

De derde vaktoepassing slaat CID en s_App in het toepassingsgeheugen op

De server slaat Device_ID, UID, CID, s_S en de versleutelde credential op onder KO of Kl, gesalt met m.

De server kan de versleutelde credential optioneel pushen naar aile apparaten die zijn geregistreerd onder dezelfde UID (e-mailadres), met gebruik van de bijbehorende KO of Kl.

3. Gebruik toepassingscredentials (zie fig. 3)

3.1. Inleiding

Het geheugenvak is een concept om de credentials op een beter beveiligde manier in de mobiele toepassing op te slaan. Hoe deze credentials worden gebruikt, valt buiten het bereik van deze uitvinding. Het is aan de toepassingsontwikkelaar te beslissen of deze credentials online en/of offline worden gebruikt en of deze met of zonder PIN worden gebruikt. Deze sectie over gebruik van toepassingscredentials rieht zieh daarom alleen op hoe de credential leesbaar kan worden opgehaald.

3.2. Ophalen

Om de credentials die in het geheugenvak zijn opgeslagen, op te halen, is het volgende van toepassing:

Als de credential vereist dat een PIN-invoer in het apparaat wordt gebruikt, wordt de gebruiker gevraagd de PIN in te voeren. De PIN kan niet in het apparaat worden geverifieerd, maar het invoeren van een verkeerde PIN resulteert in een verkeerde credential die wordt opgehaald. Het is aan de toepassing om te zien hoe de gebruiker feedback krijgt.

B E2016/5324

BE2016/5324

De toepassing van derden haalt s_App op met gebruik van de credential-identificatie CID

De geheugenvaktoepassing haalt opgeslagen s_S op met gebruik van CID en de bijbehorende opgeslagen credential, versleuteld onder ofwel KO of Kl, gesalt met m.

De geheugenvaktoepassing haalt de opgeslagen r_App en r_S op met gebruik van UID

De geheugenvaktoepassing leidt KO of Kl af met gebruik van Device_ID, r_App en r_S. In het geval van Kl, moet de gebruiker de PIN hebben ingevoerd.

De geheugenvaktoepassing leidt m af uit s_App en s_S De geheugenvaktoepassing ontsleutelt de opgeslagen credential met gebruik van KO of Kl en sait m.

De credential Cred wordt leesbaar geretourneerd aan de toepassing van derden.

De toepassingsontwikkelaar dient zieh ervan bewust te zijn dat bepaalde voorzorgsmaatregelen dienen in acht te worden genomen bij het definiëren van de credential. Als de credential bijvoorbeeld een structuur heeft, is het gemakkelijker om een brute-krachtaanval uit te voeren.

3.3. PIN opnieuw proberen

Er is geen teller voor opnieuw proberen van PIN geïmplementeerd, maar de sleutelafleidingsfunctie is geprogrammeerd om brutekrachtaanvallen te voorkomen. Bv., telkens als een PIN binnen dezelfde sessie wordt gepresenteerd, zal deze tweemaal zo traag werken; als in dit geval een normale PIN-invoer 1 sec. duurt, zal de 10^e PIN-invoer meer dan 10 minuten duren.

Een tweede uitvoeringsvorm volgens de huidige uitvinding omvat de stappen (1) initialisatie van geheugenvak, (2) initialisatie toepassingscredentials en (3) gebruik toepassingscredentials, zoals hierna verder beschreven:

1. Initialisatie geheugenvak (zie fig. 4)

1.1. Toepassing in App Store

Een niet-geïnitialiseerde geheugenvaktoepassing bevat de openbare sleutel van de server, aangeduid door Pu_S, en de openbare sleutel van de beveiligingsmodule van de server, aangeduid door Pu_SM.

BE2016/5324

BE2016/5324

Obfuscation wordt gebruikt om deze openbare sleutels binnen de toepassingssoftware op te slaan en aan de toepassing te binden, zodat een hacker deze niet gemakkelijk kan vervangen om een roguetoepassing te bouwen.

De server bevat zowel de openbare sleutel Pu_S als de bijbehorende persoonlijke sleutel Pr_S. De beveiligingsmodule van de server bevat zowel de openbare sleutel Pu_SM als de bijbehorende persoonlijke sleutel Pr_SM.

1.2. Installatie van de toepassing in het apparaat

Tijdens personalisatie van de geheugenvaktoepassing worden een tijdelijk sleutelpaar (openbare sleutel Pu_A, persoonlijke sleutel Pr_A), een willekeurige r_A en r_DID, en een nonce nl gegenereerd. De willekeurige r_DID wordt gebruikt door de geheugenvaktoepassing om de apparaat-ID (DID) te randomiseren, wat resulteert in de gerandomiseerde apparaat-ID die wordt aangeduid door DIDr. De gebruiker wordt gevraagd zijn profiel in te voeren waaronder een geldige opslagidentificatie SID (bv. e-mailadres) en optioneel een geldige out-of-band-identificatie OBID (bv. mobiele telefoonnummer).

De gebruiker wordt gevraagd een PIN te selecteren die als de KUC wordt gebruikt, en optioneel aanvullend een wachtwoordzin die wordt gebruikt als een veiligere KUC. De geheugenvaktoepassing extraheert leesbare apparaatinformatie van het apparaat. De protocol-ID (PID) gelijk aan 1, apparaatinformatie, gerandomiseerde device_ID (DIDr),

SID, OBID, r_A, PIN (versleuteld onder openbare sleutel Pu_SM) en optionele wachtwoordzin (versleuteld onder openbare sleutel Pu_SM) worden naar de server verzonden, versleuteld onder openbare sleutel Pu_S, geverifieerd met persoonlijke sleutel Pr_A en gesalt met nonce nl. Nonce nl en openbare sleutel Pu_A worden leesbaar naar de server verzonden.

In het volgende wordt verondersteld dat alleen een PIN, en dus niet een PIN en wachtwoordzin, naar de server worden verzonden.

1.3. Ontsleuteling aan serverzijde

De server ontsleutelt de informatie die van de geheugenvaktoepassing wordt ontvangen en valideert de ontvangen informatie (bv. hij controleert of de PID gelijk is aan 1).

1.4. Validatie van gebruiker en apparaat aan serverzijde

BE2016/5324

BE2016/5324

De server valideert het apparaat dat wordt geïdentificeerd door DIDr en controleert of de gebruiker die wordt geïdentificeerd door het paar (SID, OBID) de toelating heeft om een geheugenvaktoepassing te initialiseren.

1.5. Generering van de gebruikers-ID (UID)

In het geval van een bestaande gebruiker verkrijgt de server de bijbehorende UID. In het geval van een nieuwe gebruiker genereert de server ofwel een willekeurige UID of genereert hij de UID gebruik makend van een OWF waarbij de SID van de gebruiker (bv. emailadres) en de OBID van de gebruiker (bv. mobiele telefoonnummer) worden gebruikt.

1.6. Generering van de dynamische sleutels

De server genereert een willekeurige r_S en genereert sleutels KO en Kl:

KO wordt gegenereerd gebruik makend van een OWF waarbij UID,

DIDr, r_A en r_S worden gebruikt

Kl wordt gegenereerd gebruik makend van een OWF waarbij PIN,

UID, DIDr, r_A en r_S worden gebruikt

Beschermingen worden ge'implementeerd om woordenboekaanvallen en brute-krachtaanvallen te voorkomen, bv. door het implementeren van OWF als een tijd- en optioneel geheugen-verbruikend algoritme (bv. een KDF).

Om aan de geheugenvaktoepassing te bewijzen dat de server in Staat was sleutels KO en Kl juist af te leiden, genereert het een MAC voor r_A waarbij zowel KO als Kl worden gebruikt. Naar deze MAC wordt verwezen als MAC_S.

1.7. Generering van het asymmetrische cliëntsleutelpaar en cliëntcertificaat

De server genereert een asymmetrisch cliëntsleutelpaar en het bijbehorende cliëntcertificaat voor een bepaalde gebruiker en een bepaald apparaat en bündelt het sleutelpaar en certificaat in een containerbestand, dat wordt aangeduid met File_CI. De server wijst ook aan het serienummer van het certificaat de waarde toe die is gegenereerd gebruik makend van een OWF waarbij UID en DIDr worden gebruikt.

BE2016/5324

BE2016/5324

1.8. Verzending van UID, r_S, MAC_S en File_CI door de server

De server genereert een nonce n2 en bereidt een gegevensreeks voor die UID, r_S XOR'ed (d.i. versleuteld door het toepassen van een bitsgewijze XOR-operator) bevat met r_A, MAC_S en File_CI. De server verzendt deze gegevensreeks naar de geheugenvaktoepassing, versleuteld onder Pu_A, geverifieerd met de persoonlijke sleutel Pr_S, gesalt met nonce n2.

1.9. Verzending van nonce n2 door de server

De server kan nonce n2 leesbaar naar de geheugenvaktoepassing verzenden. In het geval dat er een out-of-band-kanaal (bv. SMS) is, kan de server de nonce n2 cryptografisch gewijzigd verzenden met een willekeurige verificatiecode C_Auth, die wordt verzonden via dit outof-band-kanaal (bv. SMS). Het verzenden van C_Auth via een ander kanaal verhoogt de veiligheid, hoewel deze nog steeds kan worden onderschept door het netwerk of een rogue-toepassing. Het heeft echter wel het voordeel dat het ook extra vertrouwen in identificatie met zieh meebrengt omdat de gebruiker een juiste OBID (bv. mobiele telefoonnummer) heeft ingevoerd.

1.10. Verificatie van SID

De server voert een procès uit om te verifiëren of de SID authentiek is en aan de gebruiker behoort. In een voorkeursuitvoeringsvorm is de SID een e-mailadres en dit procès neemt de vorm aan van een verificatiekoppeling die via e-mail naar het e-mailadres van de gebruiker wordt verzonden.

1.11. Ontsleuteling aan toepassingszijde

De geheugenvaktoepassing ontsleutelt de informatie die van de server wordt ontvangen en valideert de ontvangen informatie.

1.12. Generering van de dynamische sleutels door de geheugenvaktoepassing

De geheugenvaktoepassing leidt UID en r_S af uit de informatie die van de server wordt ontvangen. De geheugenvaktoepassing genereert de sleutels KO en Kl:

KO wordt gegenereerd gebruik makend van een OWF waarbij UID,

DIDr, r_A en r_S worden gebruikt

Kl wordt gegenereerd gebruik makend van een OWF waarbij PIN,

UID, DIDr, r_A en r_S worden gebruikt

BE2016/5324

BE2016/5324

Obfuscation wordt gebruikt in de implementatie van de OWF in de geheugenvaktoepassing.

Om aan de server te bewijzen dat de geheugenvaktoepassing in Staat was sleutels KO en Kl juist af te leiden, genereert hij een MAC voor r_S waarbij zowel KO als Kl worden gebruikt. Naar deze MAC wordt verwezen als MAC_A.

1.13. Verzending van MAC_A door de geheugenvaktoepassing

De geheugenvaktoepassing genereert een nonce n3. De PID gelijk aan 1, UID, DIDr en MAC_A worden naar de server verzonden, versleuteld onder Pu_S, geverifieerd met de persoonlijke sleutel Pr_A, gesalt met nonce n3. Nonce n3 en openbare sleutel Pu_A worden leesbaar naar de server verzonden.

1.14. Verificatie van OBID

De server ontsleutelt de informatie die van de geheugenvaktoepassing wordt ontvangen en valideert de ontvangen informatie. De verificatie van MAC_A verzekert niet alleen de server van de juiste afieiding van sleutels KO en Kl door de toepassing, maar verifieert ook de OBID van de gebruiker.

1.15. Opslag en verwijdering door de geheugenvaktoepassing

De geheugenvaktoepassing slaat SID, UID, r_DID, r_A en r_S op, en initialiseert een teller op 0. Vervolgens installeert de geheugenvaktoepassing de File_CI die het cliëntcertificaat bevat. De geheugenvaktoepassing verwijdert OBID, PIN, DIDr, KO, Kl, Pu_A,

Pr_A en nonces.

1.16. Opslag en verwijdering door de server

Na de contrôle van de verificatiekoppeling en de MAC_A, slaat de server UID, DIDr, KO, Kl, apparaatinformatie, SID, OBID op, en initialiseert een teller op 0. De server genereert de sleutels KO en Kl gebruik makend van de beveiligingsmodule. De server verwijdert r_A, r_S en nonces.

1.17. Generering van eenmalige codes door de server

De server genereert een eenmalige code voor het ongedaan maken van de registratie van het apparaat OTDDC en een set eenmalige verificatiecodes OTAC's en verzendt deze eenmalige codes naar de opslagserver die aan de gebruiker is gekoppeld. De server slaat deze eenmalige codes als een gesalte hash op.

B E2016/5324

BE2016/5324

2. Initialisatie toepassingscredentials (zie fig. 5)

2.1. Inleiding

De geheugenvaktoepassing kan worden gebruikt door elke toepassing van derden die credentials wil opslaan (wachtwoorden, sleutels, enz.) in een toepassing, bv. een mobiele toepassing, voor offline- en/of online toepassingen. In de meeste gevallen zullen deze credentials worden geïnitialiseerd tijdens de installatie, maar dit is natuurlijk geen must.

Om credentials op te slaan in het geheugenvak, moeten ze beschikbaar zijn aan de serverzijde. Het type credential en de manier waarop deze credentials worden gegenereerd of gekozen, valt buiten het bereik van het geheugenvakconcept. Hierna volgen enkele niet-beperkende mogelijkheden:

Een asymmetrisch sleutelpaar dat door een toepassing van derden wordt gegenereerd

Een verificatietoken dat wordt gegenereerd door een server van derden

Een wachtwoord dat in het apparaat wordt ingevoerd

Een symmetrische sleutel die door een toepassing van derden wordt gegenereerd

Een dergelijke gegeven credential C wordt geïdentificeerd door de combinatie van de toepassingsidentificatie (AID) en de credentialidentificatie (CID). Het paar (AID, CID) dat uniek de credential identificeert, wordt gegenereerd door de toepassing van derden.

Verder genereert de toepassing van derden een credentialopslagidentificatie (CSID) voor de bepaalde credential C waarin is opgenomen hoe de credential moet worden opgeslagen (d.w.z. al dan niet beschermd door de KUC van de gebruiker) en of de credential specifiek is voor elk apparaat (bv. een verificatietoken) of dezelfde is op aile apparaten van dezelfde gebruiker (bv. het wachtwoord van een gebruiker).

2.2. Opslag

Om de credentials in het geheugenvak op te slaan, is het volgende van toepassing:

BE2016/5324

BE2016/5324

a. De geheugenvaktoepassing genereert een tijdelijk sleutelpaar (openbare sleutel Pu_A, persoonlijke sleutel Pr_A), een willekeurige n_A en een nonce nl.

b. De geheugenvaktoepassing genereert de gerandomiseerde apparaat-ID DIDr uit de apparaat-ID DID (geëxtraheerd uit het apparaat) en de willekeurige r_DID (opgeslagen door de geheugenvaktoepassing).

c. Afhankelijk van de gevraagde bescherming die is geidentificeerd door CSID, leidt de geheugenvaktoepassing KO (niet beschermd door de KUC van de gebruiker) of K1 (beschermd door de KUC van de gebruiker) af uit UID, DIDr, r_A en r_S, die werden opgeslagen tijdens initialisatie van het geheugenvak voor de bepaalde UID (zie stap 1 en fig. 4). In het geval van Kl, moet de gebruiker een PIN invoeren.

d. De geheugenvaktoepassing verhoogt de opgeslagen tellerwaarde met één en haalt de bijgewerkte waarde op.

e. De geheugenvaktoepassing bereidt een gegevensreeks voor die PID gelijk aan 2, teller, UID, DIDr, AID, CID, CSID, n_A en C bevat, waarbij C wordt versleuteld onder de publieke sleutel Pu_SM. De geheugenvaktoepassing verzendt deze gegevensreeks naar de server, versleuteld onder openbare sleutel Pu_S, geverifieerd met de persoonlijke sleutel Pr_A, en gesalt met nonce nl. Nonce ni en openbare sleutel Pu_A worden leesbaar naar de server verzonden.

De versleutelde gegevens bevatten ook een Message Authentication Code (MAC) die gebruikmaakt van ofwel KO of Kl, afhankelijk van welke sleutel is afgeleid tijdens stap c). De geheugenvaktoepassing gebruikt het cliëntcertificaat om cliëntverificatie uit te voeren.

f. De server ontsleutelt de informatie die van de geheugenvaktoepassing wordt ontvangen en valideert de ontvangen informatie (bv. hij controleert of de PID gelijk is aan 2, controleert of de teller hoger is dan de waarde die is opgeslagen,

...). De server werkt de tellerwaarde bij.

g. De server genereert de universele ID van de credential (CUID) gebruik makend van een OWF waarbij UID, AID, CID, en optioneel DIDr als het om een apparaatspecifieke credential gaat, worden gebruikt.

BE2016/5324

BE2016/5324

h. De server genereert een willekeurige n_S en wijst de huidige tijd toe aan de tijdstempel t_Stored, die het tijdstip aangeeft waarop de credential werd opgeslagen (en wordt gebruikt als een versietracker van de credential).

i. De server haalt de opgeslagen KO of Kl op met gebruik van het paar (UID, DIDr), afhankelijk van de gevraagde bescherming die is geïdentificeerd door CSID.

j. De server versleutelt de credential C met gebruik van KO of Kl verkregen tijdens stap i) gesalt met waarde n die is afgeleid van n_A en n_S gebruik makend van een OWF.

k. De server genereert een nonce n2 en bereidt een gegevensreeks voor die CUID, CSID, t_Stored, n_S en de versleutelde credential encC bevat. De server verzendt deze gegevensreeks naar de geheugenvaktoepassing, versleuteld onder persoonlijke sleutel Pu_A, geverifieerd met de persoonlijke sleutel Pr_S, gesalt met nonce n2. Nonce n2 wordt leesbaar naar de geheugenvaktoepassing verzonden.

l. De back-upgegevensreeks die CUID, CSID, t_Stored en n_A bevat, wordt verzonden naar de opslagserver, bv. in de vorm van een email naar het e-mailadres dat overeenkomt met SID. De backupgegevensreeks kan later worden opgehaald van de opslagserver om volledig herstel of re-initialisatie te verzekeren.

m. De geheugenvaktoepassing ontsleutelt de informatie die van de server wordt ontvangen en valideert de ontvangen informatie. De geheugenvaktoepassing slaat CUID, CSID, t_Stored, n_S en de versleutelde credential encC in het geheugenvak op.

n. De toepassing van derden slaat CID, CUID, CSID, t_Stored en n_A in het toepassingsgeheugen van derden op.

O. De server slaat UID, DIDr, AID, CID, CUID, CSID, t_Stored, n_S en de versleutelde credential encC op.

p. In het geval van een credential die hetzelfde is op aile apparaten van dezelfde gebruiker kan de server de versleutelde credential optioneel pushen naar aile apparaten die zijn geregistreerd onder dezelfde UID, met gebruik van de bijbehorende KO of Kl die aan elk apparaat is gekoppeld.

BE2016/5324

BE2016/5324

3. Gebruik toepassingscredentials (zie fig. 6)

3.1. Inleiding

Het geheugenvak is een concept om de credentials op een beter beveiligde manier in de toepassing, bv. een mobiele toepassing, op te slaan. Hoe deze credentials worden gebruikt, valt buiten het bereik van deze uitvinding. Het is aan de toepassingsontwikkelaar te beslissen of deze credentials online en/of offline worden gebruikt en of deze met of zonder de KUC van de gebruiker (d.w.z. PIN) worden gebruikt. Deze sectie over gebruik van toepassingscredentials rieht zieh daarom alleen op hoe de credential offline leesbaar kan worden opgehaald.

3.2. Ophalen

Om credentials op te halen die worden ge'identificeerd met 3-tuple (CUID, CSID, t_Stored), die in het geheugenvak zijn opgeslagen, is het volgende van toepassing:

a. De toepassing van derden haalt CUID, CSID, t_Stored en n_A op met gebruik van de credential-identificatie CID, en verzendt deze gegevens naar de geheugenvaktoepassing.

b. De geheugenvaktoepassing haalt n_S en de bijbehorende versleutelde credential encC op met gebruik van CUID, CSID en t_Stored.

c. De geheugenvaktoepassing genereert de gerandomiseerde apparaat-ID DIDr uit de apparaat-ID DID (geëxtraheerd uit het apparaat) en de willekeurige r_DID (opgeslagen door de geheugenvaktoepassing).

d. Afhankelijk van de gevraagde bescherming die is ge'identificeerd door CSID, leidt de geheugenvaktoepassing KO of Kl af uit UID,

DIDr, r_A en r_S, die werden opgeslagen tijdens initialisatie van het geheugenvak voor de bepaalde UID (zie stap 1 en fig. 4).

e. In het geval van Kl, d.i. als encC wordt beschermd door de PIN van de gebruiker, wordt de gebruiker gevraagd zijn PIN in te voeren.

De PIN kan niet in het apparaat worden geverifieerd maar het invoeren van een verkeerde PIN resulteert in een verkeerde credential die wordt opgehaald. Het is aan de toepassing van derden om te zien hoe de gebruiker feedback krijgt.

f. De geheugenvaktoepassing ontsleutelt de opgeslagen credential encC met gebruik van KO of Kl verkregen tijdens stap d) gesalt

BE2016/5324

BE2016/5324 met een waarde n die is afgeleid van n_A en n_S gebruik makend van een OWF.

g. De ontsleutelde credential C wordt leesbaar geretourneerd aan de toepassing van derden.

De toepassingsontwikkelaar dient zieh ervan bewust te zijn dat bepaalde voorzorgsmaatregelen dienen te worden genomen bij het definiëren van de credential. Als de credential bijvoorbeeld een structuur heeft, is het gemakkelijker om een brute-krachtaanval uit te voeren. Daarom moet de credential zo ongestructureerd mogelijk zijn en er zo willekeurig mogelijk uitzien. Bij voorkeur wordt de credential vooraf door de toepassing van derden gerandomiseerd voordat ze wordt opgeslagen.

3.3. PIN opnieuw proberen

Bij de geheugenvaktoepassing is er geen .teller voor opnieuw proberen van PIN geïmplementeerd, maar de sleutelafleidingsfunctie (KDF) is geprogrammeerd om brute-krachtaanvallen te voorkomen. Bv., afhankelijk van het aantal keren dat een PIN binnen een bepaald tijdschuifvenster wordt gepresenteerd, zal dit exponentieel traag werken; in dit geval, als één PIN-invoer 1 sec. duurt, duurt de i^de PINinvoer binnen het tijdschuifvenster 2^(kl) sec.

Er wordt verondersteld dat de huidige uitvinding niet beperkt is tot eender welke vorm van uitvoering die eerder is beschreven en dat sommige modificaties aan het huidige voorbeeld van fabricage kunnen worden toegevoegd zonder herwaardering van de bijgevoegde conclusies.

De uitvinding wordt verder beschreven door de volgende niet-beperkende voorbeelden die de uitvinding verder illustreren, en niet zijn bedoeld, noch mögen worden geïnterpreteerd, om het bereik van de uitvinding te beperken.

VOORBEELDEN

Voorbeeld 1: offlinewachtwoord

Een zeer eenvoudige use case voor het geheugenvak is de veilige opslag van een offline wachtwoord. De procedure is eenvoudig: de credential neemt de vorm van een wachtwoord aan en wordt versleuteld onder KO. De toepassing

BE2016/5324

BE2016/5324 kan het wachtwoord altijd offline controleren door het vergelijken van de ingevoerde waarde met de versleutelde waarde die wordt geretourneerd door de geheugenvaktoepassing. Indien van toepassing, kan de server de credentials naar andere apparaten distribueren die door de gebruiker zijn geregistreerd.

Voorbeeld 2: onlinetransactiebeveiliging met behulp van een symmetrische sleutel beschermd met een PIN

Een tweede use case is het bieden van onlinetransactiebeveiliging. Een symmetrische sleutel wordt gegenereerd in een toepassing van derden. Deze sleutel wordt onder Kl opgeslagen door de geheugenvaktoepassing. Telkens wanneer een online transactie moet worden geverifieerd, voert de gebruiker de PIN in en kan de sleutel worden opgehaald. Deze sleutel wordt vervolgens gebruikt voor het beveiligen van de transactie (bv. voor het genereren van een MAC). Als de PIN onjuist is ingevoerd, wordt de sleutel onjuist opgehaald en zal de MAC onjuist zijn.

Voorbeeld 3: peer-to-peer-transactiebeveiliging met gebruik van asymmetrisch sleutelpaar

Een andere use case is het beveiligen van peer-to-peer-transacties (P2P) tussen twee apparaten. Tijdens initialisatie van een dergelijke peer-to-peertoepassing wordt een asymmetrisch sleutelpaar Pu, Pr gegenereerd. Pu wordt opgeslagen onder KO, terwijl Pr wordt opgeslagen onder Kl. Een certificaat voor Pu wordt gegenereerd door de server en ook opgeslagen onder KO. Twee apparaten kunnen vervolgens technieken voor asymmetrische sleutelcryptografie gebruiken om peer-to-peer-transacties tussen twee apparaten te beveiligen. Het gebruik van de geheime sleutels vereist een juiste invoer van de PIN door de bijbehorende gebruiker.

Voorbeeld 4: distributie en gebruik van vouchers

Een typische use case van de uitvinding als een geheel is de distributie en overdracht van vouchers, zoals maaltijdcheques, cadeaubonnen en coupons, via de volgende stappen:

Een apparaat waarop de vouchers worden bewaard, begint met de generering en opslag van een asymmetrisch sleutelpaar in het geheugenvak (zie voorbeeld 3)

BE2016/5324

BE2016/5324

Maaltijdcheques nemen de vorm aan van een certificaat dat wordt gegenereerd door de server met een algemene openbare sleutel De toepassing van derden kan de geheugenvaktoepassing gebruiken om de maaltijdcheques op te slaan in de kluis, op een zodanige wijze dat deze kunnen worden geraadpleegd maar niet gemakkelijk kunnen worden gekopieerd door de gebruiker die eigenaar is van het apparaat waarop genoemde toepassing draait

Maaltijdcheques kunnen worden overgebracht van één van genoemde toepassingen naar een andere toepassing in een offline modus en op een veilige manier, waarbij de geheugenvaktoepassing verzekert dat kopiëren onmogelijk wordt gemaakt

Maaltijdcheques kunnen vervolgens op een veilige manier worden besteed, bv. bij een POS van een Winkel van een handelaar of restaurant, zowel online als offline.

BE2016/5324

BE2016/5324

Claims (15)

1. CONCLUSIES

   1. Computer-geïmplementeerde methode voor de veilige opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud, gebruik makend van een server en een toepassing op een apparaat van een gebruiker, omvattend de stappen van:

   e) genoemde server die genoemde credentials opslaat, niet in Staat de genoemde credentials zelf te ontsleutelen;

   f) genoemde toepassing die versleutelde credentials op genoemd apparaat opslaat, niet in staat om genoemde credentials te ontsleutelen zonder hulp van een vertrouwende toepassing van derden en/of genoemde gebruiker;

   g) in staat zijn genoemde credentials over verschillende apparaten van genoemde zelfde gebruiker te distribueren, waarbij zowel genoemde server als interactie van genoemde gebruiker worden gebruikt;

   h) genoemde gebruiker levert back-upgegevens zonder credentials aan genoemde server om genoemde credentials te hersteilen in het geval van verlies van genoemd apparaat;

   waarbij de methode geen Secure Element vereist, maar is beveiligd gebruik makend van cryptografische sleutels en versleutelde opslag.
2. 2. Methode voor de veilige opslag van credentials voor offline gebruik en tegen kopiëren beveiligde kluisinhoud met behulp van een server en een toepassing op een eerste apparaat van een eerste gebruiker volgens conclusie 1, waarbij genoemde tegen kopiëren beveiligde kluisinhoud wordt overgebracht van genoemd eerste apparaat van genoemde eerste gebruiker naar een tweede apparaat van genoemde eerste gebruiker en/of genoemde tegen kopiëren beveiligde kluisinhoud wordt overgebracht van genoemd eerste apparaat van genoemde eerste gebruiker naar een derde apparaat van een tweede gebruiker, met het kenmerk, dat genoemde tegen kopiëren beveiligde kluisinhoud wordt overgebracht zonder verbinding te maken met genoemde server.
3. 3. Methode volgens conclusie 1-2, waarbij reconstructie van credentials aan de serverzijde gezamenlijk plaatsvindt door genoemde server en genoemde gebruiker van genoemde toepassing.

   B E2016/5324

   BE2016/5324
4. 4. Methode volgens conclusie 1-3, waarbij reconstructie van credentials aan de toepassingszijde gezamenlijk plaatsvindt door genoemde toepassing en genoemde vertrouwende toepassing van derden.
5. 5. Methode volgens conclusie 1-4, waarbij genoemde gebruiker aanvullend een Key Unlocking Code moet verstrekken, waarbij genoemde Key Unlocking Code genoemde credentials en genoemde tegen kopiëren beveiligde kluisinhoud beschermt en waarbij genoemde server en genoemde toepassing genoemde Key Unlocking Code van genoemde gebruiker niet opslaan.
6. 6. Methode volgens conclusie 1-5, waarbij een exemplaar van genoemde toepassing wordt gei'nstantieerd met een of meer dienst-specifieke identiteiten, die worden gecontroleerd door de diensteigenaar en die toelaat om kluisinhoud op te slaan.
7. 7. Methode volgens conclusie 1-6, waarbij genoemde dienst-specifieke identiteiten worden geïmplementeerd met een dienst-specifieke Public Key Infrastructure (PKI).
8. 8. Methode volgens conclusie 1-7, waarbij genoemde kluisinhoud van de ene dienstspecifieke kluis naar een andere geïdentificeerde dienst-specifieke kluis wordt overgebracht, zonder interactie van genoemde server (d.w.z. offline).
9. 9. Methode volgens conclusie 1-8, waarbij verschillende types van genoemde kluisinhoud naast elkaar bestaan binnen hetzelfde exemplaar van genoemde toepassing, maar van elkaar zijn geïsoleerd.
10. 10. Methode volgens conclusie 1-9, waarbij genoemde kluisinhoud onmiddellijk door de geheugenvaktoepassing wordt verwijderd zodra deze is afgegeven, overgebracht of besteed en niet kan worden hersteld (d.w.z. genoemde server verwijdert de inhoud zodra deze is afgegeven) en veilig wordt opgeslagen in maximaal één van de genoemde dienst-specifieke kluizen om kopiëren te voorkomen.
11. 11. Methode volgens conclusie 1-10, waarbij genoemde kluisinhoud kan worden besteed bij een Point of Service (POS), waarin genoemd apparaat offline is en genoemd POS ofwel offline of online is.
12. 12. Methode volgens conclusie 1-11, waarbij genoemde dienst-specifieke kluis dubbele besteding van genoemde kluisinhoud ondersteunt of voorkomt.

    B E2016/5324

    BE2016/5324
13. 13. Methode volgens conclusie 1-12, waarbij genoemde methoden, opslag en diensten worden geïmplementeerd in het Secure Element van een apparaat en/of het Secure Element van een smartcard.
14. 14. Systeem dat geschikt is voor een computer-geïmplementeerde methode volgens 5 conclusie 1-13, dat een verwerkingseenheid omvat die is geconfigureerd voor de uitvoering van genoemde computer-geïmplementeerde methode.
15. 15. Toepassingsproduct dat geschikt is voor een computer-geïmplementeerde methode volgens conclusie 1-14, dat ten minste één computertoegankelijk medium omvat, waarop computertoegankelijke programmacodedelen worden

    10 opgeslagen, welke instructies omvatten voor de uitvoering van genoemde computer-geïmplementeerde methode.

    B E2016/5324