DE102006060042A1

DE102006060042A1 - Verfahren und Server zum Bereitstellen eines zweckgebundenen Schlüssels

Info

Publication number: DE102006060042A1
Application number: DE102006060042A
Authority: DE
Inventors: Rainer Dr. Falk; Florian Kohlmayer; Dirk Kröselberg
Original assignee: Siemens AG
Current assignee: Nokia Solutions and Networks GmbH and Co KG
Priority date: 2006-12-19
Filing date: 2006-12-19
Publication date: 2008-06-26
Also published as: WO2008074620A2; WO2008074620A3

Abstract

Verfahren zum Bereitstellen eines zweckgebundenen Schlüssels zur Sicherung einer Datenverbindung zwischen einem mobilen Endgerät MS und einem Netzwerkzugangsserver NWZS eines Zugangsnetzwerkes ZNW, wobei nach erfolgreicher Authentisierung des mobilen Endgerätes MS über den Netzwerkzugangsserver NWZS und über mindestens einen Authentisierungs-Proxy-Server eines Authentisierungs-Signalpfades ASP durch einen Authentisierungsserver AS des mobilen Endgerätes MS ein nichtzweckgebundener universal einsetzbarer Schlüssel K generiert wird, aus welchem durch mindestens einen Authentisierungs-Proxy-Server entlang des Authentisierungs-Signalpfades ASP oder durch den Netzwerkzugangsserver NWZS in Abhängigkeit von einer Zeichenkette ZK, welche mindestens ein beschränkendes Bildungskriterium BK aufweist, ein abgeleiteter Schlüssel abgeleitet wird, der den in seinem Verwendungszweck entsprechende Bindungskriterium BK zweckgebundenen Schlüssel bildet.

Description

Die Erfindung betrifft ein Verfahren und einen Server zum Bereitstellen eines zweckgebundenen Schlüssels zur Sicherung einer Datenverbindung zwischen einem mobilen Endgerät und einem Netzwerkzugangsserver eines Zugangsnetzwerkes.
Eine AAA-Infrastruktur (AAA: Authentication, Authorization, Accounting) bildet die technische Plattform zur Authentisierung von mobilen Endgeräten MS beziehungsweise Teilnehmern zur Überprüfung ihrer Zugangsberechtigung, für das Zuweisen von Berechtigungen beziehungsweise Policies.
1 zeigt den Authentisierungsvorgang eines mobilen Endgerätes MS bei einem Authentisierungsserver beziehungsweise AAA-Server in einem Heimatnetz des mobilen Endgerätes MS nach dem Stand der Technik. Zunächst baut das mobile Endgerät MS eine Funkverbindung mit einem Netzwerkzugangsserver NWZS beziehungsweise einem Authentikator auf. Bei dem in 1 dargestellten Beispiel besteht der Authentikator aus einem WLAN-Access Point. Anschließend erfolgt eine Authentisierung der Mobilstation MS mittels eines Authentisierungsverfahrens beispielsweise mittels des EAP-Authentisierungsprotokolls. Die Authentisierung erfolgt zwischen dem mobilen Endgerät MS über den Netzwerk-Zugangsserver NWZS sowie über gegebenenfalls mehrere Authentisierungs-Proxy-Server entlang eines Authentisierungssignalpfades. Nach erfolgreicher Authentisierung überträgt der Authentisierungsserver AS einen Sitzungsschlüssel beziehungsweise einen Master-Session-Key MSK sowie gegebenenfalls mehrere Anwendungsschlüssel AMSK an den Authentikator beziehungsweise Netzwerkzugangsserver NWZS. Optional wird als Policy-Information beispielsweise die Gültigkeitsdauer des übertragenen Schlüssels MSK oder auch eine Bandbreitenbegrenzung übertragen. Der Sitzungsschlüssel beziehungsweise MSK-Schlüssel wird von dem Netzwerkzugangsser ver NWZS in einem Vier-Wege-Handshake-Verfahren 4-WHS übertragen. Aus dem Master-Session-Key MSK wird mittels einer Schlüsselableitungsfunktion KDF ein Schlüssel TEK abgeleitet mit dessen Hilfe die Daten geschützt werden, welche zwischen dem mobilen Endgerät MS und dem Netzwerkzugangsserver NWZS anschließend ausgetauscht werden. Die Authentisierung erfolgt bei dem in 1 dargestellten Beispiel mittels eines EAP-Authentisierungsverfahrens. Weitverbreitete Authentisierungsprotokolle beziehungsweise AAA-Protokolle sind Radius und Diameter. In dem gezeigten Beispiel wird Radius oder Diameter dazu eingesetzt, eine Kommunikationsverbindung zwischen dem Authentikator beziehungsweise dem Netzwerkzugangsserver NWZS und dem Authentisierungsserver AS herzustellen. Über diese Protokolle wird bei der Authentisierung das EAP-Protokoll übertragen. Bei einer erfolgreiche Authentisierung schickt der AAA-Server beziehungsweise der Authentisierungsserver AS im Heimatnetz des mobilen Endgerätes MS den generierten Master-Session-Key MSK und optional weitere benötigte Applikationbeziehungsweise Anwendungssitzungsschlüssel AMSK. Diese Anmeldungsschlüssel AMSK werden nicht aus dem MSK-Schlüssel abgeleitet, sondern aus einem gemäß EAP eingerichteten erweiterten Extended-MSK-Schlüssel (EMSK). Dieser EMSK-Schlüssel wird nicht übertragen. Da der EMSK-Schlüssel kryptographisch separiert von dem MSK-Schlüssel gehalten wird können die aus dem EMSK-Schlüssel abgeleiteten AMSK-Schlüssel nicht von Knoten berechnet werden, die nur über den MSK-Schlüssel verfügen. Insbesondere können nicht Authentisierungs-Proxy-Server oder der Netzwerkszugangsserver NWZS entlang des Authentisierungssignalpfades ASP derartige AMSK-Schlüssel ableiten, selbst wenn sie über den MSK-Schlüssel verfügen. Der Master-Session-Key MSK ist der allgemein verwendbare aus der EAP-Authentisierungsanmeldung resultierende Schlüssel, welcher dem Authentisierungs-Server AS und dem Teilnehmer beziehungsweise mobilen Endgerät MS zur Verfügung gestellt wird der und über den Authentisierungssignalpfad ASP an den Authentikator NWZS übermittelt wird.
Jeder Netzwerkbetreiber eines Zugangsnetzwerkes ZNW erhält somit Zugriff auf MSK-Schlüssel von Teilnehmern, die sich über das Zugangsnetzwerk authentisiert haben. Es besteht daher bei dem in 1 dargestellten herkömmlichen System, die Gefahr, dass ein Betreiber eines Zugangsnetzwerkes ZNW beziehungsweise eines Zwischennetzwerkes, in welchem sich ein Authentisierungs-Proxy-Server entlang des Authentisierungssignalpfades ASP befindet, den im Rahmen der Authentisierung erhaltenen MSK-Schlüssel zu Manipulationszwecken missbraucht, beispielsweise indem der Betreiber Nachrichten abhört oder Abrechnungen manipuliert. Bei herkömmlichen Systemen besteht die einzige Sicherheit gegenüber einem derartigen missbräuchlichen Gebrauch von MSK-Schlüsseln in einem Netzwerkbetreiber durch entsprechenden Abschluss von Rooming-Agreements zwischen dem Netzwerkbetreibers des Heimatnetzwerkes, beispielsweise der Telekom, und weitere Netzwerkbetreiber beziehungsweise Operatoren von Netzwerken. Sobald ein derartiges Rooming-Agreement geschlossen ist und sich Teilnehmer über ein Zugangsnetzwerk ZNW und gegebenenfalls weitere Zwischennetze authentisieren verfügen die Netzwerkbetreiber der Zugangsnetzwerke und der zwischengeschalteten Zwischennetzwerke über den MSK-Schlüssel und sind in der Lage diesen zu Angriffen einzusetzen.
Es ist daher die Aufgabe der vorliegenden Erfindung ein Verfahren und einen Server zum Bereitstellen eines zweckgebundenen Schlüssels zu schaffen, der die Gefahr einer Manipulation durch einen Netzwerkbetreiber eines Zugangsnetzwerkes oder eines Zwischennetzwerkes minimiert.
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit im Patentanspruch 1 angegebenen Merkmalen gelöst.
Die Erfindung schafft ein Verfahren zum Bereitstellen eines zweckgebundenen Schlüssels zur Sicherung einer Datenverbindung zwischen einem mobilen Endgerät MS und einem Netzwerkzugangsserver NWZS eines Zugangsnetzwerkes ZNW, wobei nach erfolgreicher Authentisierung des mobilen Endgerätes MS über den Netzwerkzugangsserver NWZS und über mindestens einen Authentisierungs-Proxy-Server eines Authentisierungs-Signalpfades ASP durch einen Authentisierungsserver AS des mobilen Endgerätes MS ein nicht-zweckgebundener universal einsetzbarer Schlüssel K generiert wird, aus welchem durch mindestens einen Authentisierungs-Proxy-Server entlang des Authentisierungs-Signalpfades ASP oder durch den Netzwerkzugangsserver NWZS in Abhängigkeit von einer Zeichenkette ZK, welche mindestens ein beschränkendes Bindungskriterium BK aufweist, ein abgeleiteter Schlüssel abgeleitet wird, der den in seinem Verwendungszweck entsprechende Bindungskriterium BK zweckgebundenen Schlüssel bildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird als Bindungskriterium BK gebildet durch:
eine Netzwerkzugangstechnologie,
einen Betreibernamen eines Netzwerkbetreibers,
eine Netzwerkidentifizierung,
eine Authentikator-Identifizierung des Netzwerkzugangsservers,
eine Teilnehmeridentität des mobilen Endgeräts MS,
eine Adresse des mobilen Endgeräts MS,
eine Bezeichnung eines eingesetzten Authentisierungsverfahrens oder durch
eine Bezeichnung von während der Authentisierung eingesetzten Credentials eines Teilnehmers und/oder des Authentisierungsservers AS.
Bei den Credentials kann es sich beispielsweise um kryptographische Schlüssel, Passwörter und Zertifikate handeln.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der zweckgebundene Schlüssel durch einen Sitzungsschlüssel (Master-Session-Key) gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein abgeleiteter Schlüssel mittels einer konfigurierba ren Schlüsselableitungsfunktion KDF (Key-Derivation-Function) durch einen Server des Authentisierungssignalpfades ASP aus einem Schlüssel abgeleitet, den der ableitende Server von einen in dem Authentisierungssignalpfad ASP vorliegenden Server empfängt.
Dabei wird der abgeleitete Schlüssel MSK_i wie folgt abgeleitet: MSKi = KDF (MSKi- 1, ZKi)wobei
KDF eine Schlüssel-Ableitungsfunktion (Key-Derivation-Function),
MSK_i der abgeleitete Schlüssel,
MSK_i-1 der von dem in dem Authentisierungssignalpfad ASP davor liegenden Server gelieferte Schlüssel und
ZK_i eine Zeichenkette ist.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens setzt sich die Zeichenkette ZK_i aus mehreren Unterzeichenketten UZK zusammen, die jeweils ein Bindungskriterium BK angeben.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens weist jede Unterzeichenkette UZK jeweils mindestens ein Bindungskriterium BK für einen in dem Authentisierungssignalpfad ASP vorgesehenen Authentisierungs-Proxy-Server auf.
Eine Ausführungsform des erfindungsgemäßen Verfahrens gibt bei jedem Ableitungsschritt durch einen Authentisierungsserver entlang des Authentisierungssignalpfades ASP dieser Authentisierungsserver eine Schlüsseltransformationsbeschreibung KTD (Key-Transformation-Description) des jeweiligen Ableitungsschrittes zusätzlich zu dem abgeleiteten Schlüssel an einen nachfolgenden Authentisierungsserver ab.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens bildet die Schlüsseltransformationsbeschreibung KTD ein Bindungskriterium BK für eine Unterzeichenkette UZK zur Ableitung eines abgeleiteten Schlüssels durch den nachfolgenden Authentisierungsserver des Authentisierungs-Signalpfades ASP.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein Schlüsseltransformationsattribut KTA (Key Transformation Attribute) aus den Schlüsseltransformationsbeschreibungen KTD aller entlang des Authentisierungs-Signalpfades ASP vorgenommenen Ableitungsschritte zusammengesetzt.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Netzwerkzugangsserver NWZS durch einen Authentikator gebildet, welcher den entlang des Authentisierungssignalpfades ASP durch den Netzwerkzugangsserver NWZS zuletzt abgeleiteten Schlüssel als zweckgebundenen Schlüssel an das mobile Endgerät MS überträgt.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens überträgt der Netzwerkzugangsserver NWZS den zuletzt abgeleiteten Schlüssel zusammen mit dem Schlüsseltransformationsattribut KTA an das mobile Endgerät MS.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens führt das mobile Endgerät MS die gleichen Schlüsselableitungen an dem universal einsetzbaren Schlüssel K lokal durch, wie die Authentisierungsserver und der Netzwerkzugangsserver NWZS entlang des Authentisierungssignalpfades ASP.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die vorzunehmenden Schlüsselableitungsschritte in dem mobilen Endgerät MS konfiguriert.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die vorzunehmenden Schlüsselableitungsschritte durch das mobile Endgerät MS anhand eines von dem Netzwerkzugangs server NWZS empfangenen Schlüsseltransformationsattributs KTA ermittelt.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das Authentisierungsverfahren durch einen EAP-Authentisierungsverfahren gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens teilt der Authentisierungsserver AS die vorzunehmenden Schlüsselableitungsschritte den Authentisierungs-Proxy-Servern und dem Netzwerkzugangsserver NWZS entlang des Authentisierungssignalpfades ASP mit.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens sind die vorzunehmenden Schlüsselableitungsschritte der Authentisierungs-Proxy-Server und des Netzwerkzugangsservers NWZS entlang des Authentisierungssignalpfades ASP in den Servern jeweils konfiguriert.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Netzwerkzugangsserver NWZS durch einen Authentikator eines Zugangsnetzwerkes ZNW gebildet, dass durch einen Netzwerkbetreiber betrieben wird.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das Zugangsnetzwerk ZNW durch ein W-LAN-Netz, ein WiMax-Netz oder ein Mesh-Zugangsnetz gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird eine Gültigkeitsdauer des bereitgestellten zweckgebundenen Schlüssels begrenzt.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Authentisierungsserver AS durch einen Authentisierungsserver in einem Heimatnetz des mobilen Endgeräts MS gebildet.
Die Erfindung schafft ferner einen Server zur Ableitung eines zweckgebundenen Schlüssels aus einem Schlüssel mittels einer Schlüsselableitungsfunktion (KDF) in Abhängigkeit von einer Zeichenkette ZK, welche mindestens ein beschränkendes Bindungskriterium BK aufweist.
Bei einer Ausführungsform des erfindungsgemäßen Servers ist der Server ein Authentisierungsserver AS in einem Heimatnetz des mobilen Endgeräts MS, der nach erfolgreicher Authentisierung des mobilen Endgeräts MS einen zweckgebunden Schlüssel aus einem universal einsetzbaren Schlüssel K ableitet.
Bei einer Ausführungsform des erfindungsgemäßen Servers ist der Server ein Authentisierungs-Proxy-Server entlang eines Authentisierungssignalpfades ASP der einen abgeleiteten Schlüssel empfängt und aus diesem abgeleiteten Schlüssel mittels einer Schlüsselableitungsfunktion KDF in Abhängigkeit von einer Zeichenkette ZK, welche mindestens ein beschränkendes Bindekriterium BK aufweist, einen weiteren abgeleiteten Schlüssel ableitet.
Bei einer Ausführungsform des erfindungsgemäßen Servers ist der Server ein Netzwerkzugangsserver NWZS entlang eines Authentisierungssignalpfades ASP, der einen abgeleiteten Schlüssel empfängt und aus diesem abgeleiteten Schlüssel mittels einer Schlüsselableitungsfunktion KDF in Abhängigkeit von einer Zeichenkette ZK, welche mindestens ein beschränkendes Bindekriterium aufweist, einen abgeleiteten Schlüssel ableitet und diesen abgeleiteten Schlüssel einem mobilen Endgerät MS als zweckgebundenen Schlüssel bereitstellt.
Im Weiteren werden bevorzugte Ausführungsformen des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Servers unter Bezugnahme auf die beigefügten Figuren zur Erläuterung erfindungsmäßiger Merkmale beschrieben.
Es zeigen
1 ein Signaldiagramm zur Darstellung eines herkömmlichen Authentisierungsvorganges nach dem Stand der Technik;
2 ein Beispiel für eine Netzwerkverbund zur Erläuterung des erfindungsgemäßen Verfahren;
3 ein Signaldiagramm zur Darstellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens;
4 ein weiteres Signaldiagramm zu Darstellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens;
5 ein Ablaufdiagramm zur Darstellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens.
Bei dem in 2 beispielhaft dargestellten Netzwerkverbund hat ein Teilnehmer beziehungsweise ein mobiles Endgerät MS die Möglichkeit über verschiedene Zugangsnetzwerke ZNW eine Datenverbindung mit einer beliebigen Komponente eines angeschlossenen Netzwerkes aufzubauen. Dabei sind die verschiedenen Zugangsnetzwerke ZNW über Zwischennetzwerke, die jeweils Authentisierungsproxyserver enthalten, an ein Heimatnetz des mobilen Endgeräts MS angeschlossen, in welchem sich ein Authentisierungs- beziehungsweise AAA-Server des mobilen Endgeräts MS befindet. Die Zugangsnetzwerke ZNW können Zugangsnetzwerke unterschiedlicher Technologie sein. Bei den Zugangsnetzwerken ZNW handelt es sich beispielsweise um ein W-LAN-Netz ein WiMAX-Netz oder ein Mesh-Zugangsnetz. Jedes Zugangsnetz hat jeweils mindestens einen Netzwerkzugangsserver NWZS, beispielsweise einen WLAN-Access-Point. Um einen Netzwerkzugang zu erhalten führt das mobile Endgerät MS bei einer Ausführungsform des erfindungsgemäßen Verfahrens den in 3 dargestellten Authentisierungsvorgang durch. Nach Aufbau einer Funkverbindung zwischen dem mobilen Endgerät MS und einem Netzwerkzugangsserver NWZS beziehungsweise einem Authentikator, der beispielsweise durch einen W-LAN-Access-Point gebildet wird, erfolgt ein Authentisierungsvorgang gemäß einem EAP-Protokoll. Nach erfolgreicher Authentisierung sendet der Authentisierungsserver AS eine EAP-Success-Nachricht an den ersten Authentisierungs-Proxy-Server entlang des Authentisierungssignalpfades, wobei die EAP-Success-Nachricht einen universal einsetzbaren, nicht Zweck gebundenen Schlüssel, beispielsweise einen Master-Session-Key MSK enthält. Dieser nicht zweckgebundene universal einsetzbare Schlüssel MSK wird durch den Authentisierungsserver AS nach erfolgreicher Authentisierung des mobilen Endgeräts MS generiert. Sobald der erste Authentisierungs-Proxy-Server entlang des Authentisierungssignalpfades ASP diesen universal einsetzbaren nichtzweckgebundenen Schlüssel empfängt leitet er mittels einer Schlüsselableitungsfunktion KDF aus dem empfangenen Schlüssel einen abgeleiteten Schlüssel in Abhängigkeit von einer Zeichenkette ZK ab, welche mindestens ein beschränkendes Bindungskriterium BK aufweist. Bei den in 3 dargestellten Beispiel besteht die Zeichenkette ZK aus der Bezeichnung „WLAN-Network" welches als beschränkendes Bindekriterium BK, die Netzwerkzugangstechnologie des Zugangsnetzwerkes ZNW angibt, das heißt in diesem Falle die Netzwerkzugangstechnologie W-LAN. Der auf diese Weise abgeleitete Schlüssel MSK1 wird bei dem in 3 dargestellten Beispiel an den Netzwerkzugangsserver NWZS weitergeleitet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens kann der Netzwerkzugangsserver NWZS seinerseits eine weitere Ableitung mittels einer entsprechenden Schlüsselableitungsfunktion KDF vornehmen.
Bei jedem Ableitungsschritt durch einen Authentisierungsserver AS beziehungsweise einen Authentisierungsproxyserver und gegebenenfalls durch den Netzwerkzugangsserver NWZS gibt der jeweils ableitende Authentisierungsserver vorzugsweise eine Schlüsseltransformationsbeschreibung KTD (Key-Transformation-Description) des jeweiligen Ableitungsschrittes zusätzlich zu dem abgeleiteten Schlüssel an seinen unmittelbar nachfolgenden Authentisierungsserver innerhalb des Authentisierungssig nalpfades ASP ab. Bei dem in 3 dargestellten Beispiel wird die Schlüsseltransformationsbeschreibung KTD: „WLAN-Network" zusätzlich von dem Authentisierungsproxyserver an den Netzwerkzugangsserver NWZS übertragen. Der Netzwerkzugangsserver beziehungsweise Authentikator leitete die Schlüsseltransformationsbeschreibung KTD (Key-Transformation-Description) an das mobile Endgerät MS weiter. Die erhaltene Schlüsseltransformationsbeschreibung KTD versetzt das mobile Endgerät MS in die Lage seinerseits die entsprechenden Schlüsselableitungsschritte vorzunehmen und seinerseits den Schlüssel MSK1 abzuleiten. Aus dem MSK-Schlüssel über den sowohl das mobile Endgerät MS als auch der Netzwerkzugangsserver NWZS verfügen kann jeweils ein TEK-Schlüssel zum Schutz der bei der Datenübertragung übertragenen Daten abgeleitet werden.
Bei dem in 3 dargestellten Beispiel besteht das Bindungskriterium BK aus der Netzwerkzugangstechnologie des Zugangsnetzwerkes.
Bei einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens wird das Bindungskriterium BK durch andere Kriterien gebildet, beispielsweise durch einen Betreibernamen des Netzwerkbetreibers, eine Netzwerkidentifizierung, eine Authentikatoridentifizierung des Netzwerkzugangsservers NWZS, eine Teilnehmeridentität des mobilen Endgeräts MS, eine Adresse des mobilen Endgeräts MS, eine Bezeichnung eines eingesetzten Authentisierungsverfahrens oder durch eine Bezeichnung von mehreren während der Authentisierung eingesetzten Credentials eines Teilnehmers und/oder des Authentisierungsservers AS. Bei den Credentials kann es sich um kryptographische Schlüssel, Passwörter oder Zertifikate handeln.
Bei dem erfindungsgemäßen Verfahren wird der Verwendungszweck des übertragenen Schlüsselmaterials entlang des Authentisierungssignalpfades ASP schrittweise eingeschränkt, so dass der abgeleitete Schlüssel entlang des Signalpfades immer stärker zweckgebunden wird. Dadurch wird stufenweise die Missbrauch möglichkeit verringert, so dass ein derartig eingeschränktes Schlüsselmaterial auch an weniger vertrauenswürdige Teilnetze weitergeleitet werden kann. Das Einschränken beziehungsweise das Ableiten mittels einer Schlüsselableitungsfunktion erfolgt auf einem oder mehreren Authentisierungsservern beziehungsweise AAA-Knoten beim Weiterleiten des Schlüssels an den nächsten AAA-Knoten innerhalb des Authentisierungssignalpfades ASP. Der ursprünglich vorhandene Schlüssel wird beim Weiterleiten durch einen abgeleiteten, in seinen möglichen Verwendungszweck schrittweise beschränkten Schlüssel ersetzt. Dabei wird dieser abgeleitete beschränkte Schlüssel wie jeder ursprüngliche Schlüssel eingesetzt, wobei er allerdings nicht mehr für andere Verwendungszwecke gültig ist. Das Einschränken erfolgt anhand administrativ festlegbarer Bindungskriterien BK. Die Anzahl der Schlüsselableitungen und die bei der jeweiligen Schlüsselableitung eingehende Zeichenkette ZK, welche mindestens ein beschränkendes Bindungskriterium BK aufweist, sowie der topologische Ort in der Authentisierungsinfrastruktur, an dem die Schlüsselableitung vorgenommen wird, ist ebenfalls administrativ festlegbar.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das mobile Endgerät MS über die vorgenommenen Schlüsselableitungsschritte informiert, so dass das mobile Endgerät MS in der Lage ist die gleichen Schlüsselableitungsschritte vorzunehmen. Das Binden des Schlüsselmaterials an einen konfigurierbaren Verwendungszweck kann ein- oder mehrstufig erfolgen, wobei es nicht notwendig ist entlang des gesamten Authentisierungssignalpfades ASP eine Schlüsselableitung vorzunehmen.
Bei einer möglichen Ausführungsform werden Schlüsselableitungsschritte nur durch bestimmte konfigurierbare AAA-Knoten entlang des Authentisierungssignalpfades ASP vorgenommen.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der abgeleitete Schlüssel MSK_i wie folgt abgeleitet: MSKi = KDF (MSKi- 1, ZKi)wobei
KDF eine Schlüsselableitungsfunktion (Key-Derivation-Function)
MSK_i der abgeleitete Schlüssel,
MSK_i- ₁ der von dem in dem Authentisierungssignalpfad ASP davor liegenden Server gelieferte Schlüssel und
ZK_i eine Zeichenkette ist.
Eine mögliche Schlüsselableitungsfunktion KDF ist H MACSHA 1.
Die Zeichenkette ZK_i kann dabei aus mehreren Unterzeichenketten UZK zusammengesetzt sein beziehungsweise konkatenisiert sein. Jede dieser Unterzeichenketten UZU kann dabei ihrerseits jeweils ein Bindungskriterium BK angeben. Beispielsweise weist jede Unterzeichenkette UZK jeweils mindestens ein Bindungskriterium BK für einen in dem Authentisierungssignalpfad ASP vorgesehen Authentisierungsproxyserver auf. Bei jedem Ableitungsschritt gibt der Authentisierungsproxyserver entlang des Authentisierungssignalpfades ASP eine Schlüsseltransformationsbeschreibung KTD des jeweiligen Ableitungsschrittes an seinen Nachfolger ab. Diese Schlüsseltransformationsbeschreibung KTD kann beispielsweise bei einer Ausführungsform als Bindungskriterium BK eine Unterzeichenkette UZK zur Ableitung eines abgeleiteten Schlüssels durch den nachfolgenden Authentisierungsserver bilden.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein Schlüsseltransformationsattribut KTA (Key-Transformation-Attribute) aus allen Schlüsseltransformationsbeschreibungen KTD aller entlang des Authentisierungssignalpfades ASP vorgenommenen Ableitungsschritte zusammengesetzt:
KTA = KTD1:KTD2:...KTD_N
Die durch das mobile Endgerät MS vorzunehmenden Schlüsselableitungsschritte werden bei dieser Ausführungsform durch das mobile Endgerät MS anhand des von dem Netzwerkzugangsservers NWZS empfangenen Schlüsseltransformationsattribut KTA ermittelt. Der Netzwerkzugangsserver NWZS wird bei einer Ausführungsform durch einen Authentikator gebildet, welcher den entlang des Authentisierungssignalpfades ASP durch den Netzwerkzugangsserver NWZS zuletzt abgeleiteten Schlüssel als zweckgebundenen Schlüssel zusammen mit dem Schlüsseltransformationsattribut KTA an das mobile Endgerät MS überträgt. Das mobile Endgerät MS führt dann die gleichen Schlüsselableitungen an dem ursprünglichen universal einsetzbaren Schlüssel K-Lokal durch, wie dies durch die Authentisierungsserver und durch den Netzwerkzugangsserver NWZS entlang des Authentisierungssignalpfades ASP geschieht. Dabei werden die vorzunehmenden Schlüsselableitungsschritte bei einer ersten Ausführungsform durch das mobile Endgerät MS aus dem empfangenen Schlüsseltransformationsattribut KTA ermittelt.
Bei einer alternativen Ausführungsform sind die vorzunehmenden Schlüsselableitungsschritte in dem mobilen Endgerät MS bereits fest vorkonfiguriert.
Das Schlüsseltransformationsattribut KTA wird bei einer Ausführungsform von dem Authentikator an das mobile Endgerät MS beziehungsweise den Client als Teil einer EAP-Success-Nachricht oder als Teil einer Nachricht, die eine EAP-Success-Nachricht enthält (beispielsweise 802.11 EAPOL-Nachricht) übertragen.
Das mobile Endgerät MS nimmt die Schlüsselableitungsschritte identisch vor, damit es den gleichen Schlüssel wie der Authentikator erhält. Dabei werden die Schlüsselableitungsschritte in dem mobilen Endgerät MS lokal durchgeführt. Welche Schlüsselableitungsschritte in dem mobilen Endgerät MS erfolgen wird entweder durch eine feste Policy vorgegeben und sind somit dem Client beziehungsweise dem mobilen Endgerät MS bekannt oder die vorgenommenen Schlüsselableitungsschritte sind variabel und das mobile Endgerät MS wird über die vorzunehmenden Schlüsselableitungsschritte informiert.
Bei einer festen Policy kann die Schlüsselableitung für einen bestimmten Anwendungszweck festgelegt werden und ist damit dem mobilen Endgerät MS bekannt. In diesem Falle führt das mobile Endgerät MS immer die gleichen Schlüsselableitungsschritte mit dem vorgegebenen Schlüsselableitungsfunktionen KDF durch. Dabei wird das mobile Endgerät MS mit einer Policy konfiguriert, die dem mobilen Endgerät MS angibt, welche Schlüsselableitungen unter welchen Umständen in der AAA-Infrastruktur vorgenommen werden. Es besteht Flexibilität dahingehend an welchem Ort innerhalb der AAA-Infrastruktur die Schlüsselableitung vorgenommen wird. Allerdings ist bei der festen Policy die Art und die Anzahl der Schlüsselableitungsschritte festgelegt. Die Bindungskriterien beziehungsweise Verwendungszweckangaben, d. h. die Zeichenkette ZK, die in die Schlüsselableitung eingeht, werden bei einer Ausführungsform fest vorgegeben. Bei einer alternativen Ausführungsform werden die Bindungskriterien BK dynamisch mit einem jeweils aktuellen Wert belegt, beispielsweise der SSID eines W-LAN-Zugangspunktes, die von einem Betreiber eines W-LAN-Access-Points freidefinierbar ist.
Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens ist die Policy nicht fest vorgegeben sondern variabel. Dabei können unterschiedliche Schlüsselableitungsschritte innerhalb der AAA-Infrastruktur vorgenommen werden. Das mobile Endgerät MS wird über die vorzunehmenden Schlüsselableitungsschritte informiert, beispielsweise durch eine Key-Transformation-Description KTD.
Bei beiden Varianten besteht die Möglichkeit, dass ein Authentisierungsknoten, d. h. ein AAA-Proxyserver, ein Authentikator oder auch das mobile Endgerät MS prüft, ob die vorgenommenen Schlüsselableitungen mit einer definierten Policy konform sind. Dabei kann ein AAA-Knoten überprüfen und verhindern, dass ihm ein in einer anderen Verwendungszweck gebundener Schlüssel untergeschoben wird. Hierdurch erhalten die Zeichenketten eine Semantik, d. h. sie besitzen eine Bedeutung, die für jeden AAA-Knoten überprüfbar ist.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens kann der Authentisierungsserver beim Senden eines Schlüssels die durchzuführenden Schlüsselableitungsschritte beziehungsweise Schlüsseltransformationen vorgeben und diese zusammen mit dem Schlüssel verschicken. Die Beschreibung der durchzuführenden Transformationen kann beispielsweise mit einem aus dem EMSK abgeleiteten Schlüssel integritätsgeschützt werden. Dies ermöglicht dem Teilnehmer beziehungsweise dem mobilen Endgerät MS zu überprüfen, ob die tatsächlichen Schlüsseltransformationen beziehungsweise vorgenommenen Schlüsselableitungen den von dem Authentisierungsserver AAS vorgegebenen Schlüsseltransformationen entspricht.
Bei einer alternativen Ausführungsform wird die Schlüsseltransformationsbeschreibung beziehungsweise die vorzunehmenden Schlüsselableitungsschritte ungeschützt übertragen, d. h. als eine unverbindliche Empfehlung des Authentisierungsservers AS. Durch welchen Authentisierungsknoten die Schlüsselableitung erfolgt kann durch die Angabe seiner Identität, beispielsweise mittels seiner IP-Adresse oder seines DNS-Namens angegeben werden.
In dem erfindungsgemäßen Verfahren kann ein abgeleiteter Schlüssel nur noch für einen beschränkten Anwendungszweck verwendet werden. Dadurch wird es möglich einem weniger vertrauenswürdigen Teilnetz einen derart abgeleiteten eingeschränkten Schlüssel zur Verfügung zu stellen, so dass die Missbrauchmöglichkeiten weitestgehend eingeschränkt sind. Dies ist insbesondere für weniger vertrauenswürdige Mini-Operator-Netze beziehungsweise einem kleinen W-LAN-Hot-Spot-Operator relevant. Ferner kann das erfindungsgemäße Verfahren insbesondere bei von Privatpersonen oder Einzelpersonen beschriebenen Zugangsnetzen, beispielsweise privaten W-LAN-Hot-Spots, die jeweils über DSL oder WiMAx an ein Operator-Netz angebunden sind, eingesetzt werden. Weiterhin eignet sich das erfindungsgemäße Verfahren insbesondere für Mesh-Zugangsnetzwerke.
Das erfindungsgemäße Verfahren eignet sich insbesondere auch dann wenn eine vorhandene Authentisierungsinfrastruktur für zusätzliche Anwendungen eingesetzt werden soll, beispielsweise im Rahmen von Inter-Working unterschiedlicher Mobilfunksysteme oder dynamisch eingerichteter Rooming-Agreements. Wenn für neue Einsatzzwecke eine eigene Schlüsselableitung entsprechend des erfindungsgemäßen Verfahrens stattfindet, erhalten die für die neuen Anwendungen an die Authentisierungsinfrastruktur angebundenen Teilnetze beziehungsweise Netzwerkkomponenten nur kryptographisch separiertes Schlüsselmaterial. Hierdurch wird mittels des erfindungsgemäßen Verfahrens effektiv verhindert, dass die Sicherheit der bestehenden Netze und Dienste durch die weiteren Anwendungszwecke der Authentisierungsinfrastruktur verringert wird.
4 zeigt ein Signaldiagramm zur Erläuterung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens. Wie man aus 4 erkennen kann erfolgt die zweckgebundene Beschränkung des Schlüssels bei dieser Ausführungsform mehrstufig durch jeden Authentisierungsknoten entlang des Authentisierungssignalpfades ASP.
5 zeigt ein Ablaufdiagramm zur Darstellung eines möglichen Ausführungsform des erfindungsgemäßen Verfahrens. Das in 5 dargestellte Verfahren läuft beispielsweise innerhalb eines Authentisierungsproxyknotens entlang des Authentisierungssignalpfades ASP ab.
Nach dem Startschritt S0 empfängt der Authentisierungsproxyserver entlang des Authentisierungssignalpfades ASP eine EAP-Success-Nachricht im Schritt S1, die von einem im Signalpfad voranliegenden Server stammt.
In einem Schritt S2 prüft der Authentisierungsproxyserver ob ein relevanter Schlüssel, beispielsweise ein MSK-Schlüssel in der Success-Nachricht enthalten ist. Falls dies der Fall ist wird der darin enthaltende MSK-Schlüssel im Schritt S3 ausgelesen.
Im Schritt S4 prüft der Authentisierungsproxyserver anhand der Policy ob eine Transformation beziehungsweise eine Ableitung des ausgewiesenen Schlüssels MSK erforderlich ist.
Im Schritt S5 wird die erforderliche Transformation beziehungsweise die erforderliche Schlüsselableitung bestimmt und anschließend im Schritt S6 des Schlüssels entsprechend transformiert beziehungsweise abgeleitet. Beispielsweise führt ein Authentisierungsproxyserver folgende Schlüsselableitung durch. MSK1 = KDF (MSK0; „WLAN-Network")
Im Schritt S7 wird der Nachricht eine Schlüsseltransformationsbeschreibung KTD hinzugefügt welche die vorgenommene Schlüsseltransformation beschreibt, beispielsweise „WLAN-Network".
Im Schritt S8 prüft der Authentisierungsproxyserver ob er der letzte Server entlang des Authentisierungssignalpfades ASP ist. Falls dies der Fall ist wird im Schritt S9 der im Schritt S6 abgeleitete Schlüssel verwendet. Falls der Authentisierungsproxyserver nicht der letzter Server entlang des Authentisierungssignalpfades ASP ist erfolgt im Schritt S10 eine Ersetzung des empfangenen Schlüssels durch den abgeleiteten Schlüssel. Dieser ersetzte Schlüssel wird in die EAP-Success-Nachricht eingefügt und an den nächsten Authentisierungsserver entlang des Authentisierungssignalpfades ASP im Schritt S11 versendet. Der Vorgang endet im Schritt S12.

Claims

Verfahren zum Bereitstellen eines zweckgebundenen Schlüssels zur Sicherung einer Datenverbindung zwischen einem mobilen Endgerät (MS) und einem Netzwerkzugangsserver (NWZS) eines Zugangsnetzwerkes (ZNW), wobei nach erfolgreicher Authentisierung des mobilen Endgerätes (MS) über den Netzwerkzugangsserver (NWZS) und über mindestens einen Authentisierungs-Proxy-Server eines Authentisierungs-Signalpfades (ASP) durch einen Authentisierungsserver (AS) des mobilen Endgerätes (MS) ein nichtzweckgebundener universal einsetzbarer Schlüssel (K) generiert wird, aus welchem durch mindestens einen Authentisierungs-Proxy-Server entlang des Authentisierungs-Signalpfades (ASP) oder durch den Netzwerkzugangsserver (NWZS) in Abhängigkeit von einer Zeichenkette (ZK), welche mindestens ein beschränkendes Bindungskriterium (BK) aufweist, ein abgeleiteter Schlüssel abgeleitet wird, der den in seinem Verwendungszweck entsprechend dem Bindungskriterium (BK) zweckgebundenen Schlüssel bildet.
Verfahren nach Anspruch 1, wobei das Bindungskriterium (BK) durch eine Netzwerkzugangstechnologie, einen Betreibernamen eines Netzwerkbetreibers, eine Netzwerkidentifizierung, eine Authentikatoridentifizierung des Netzwerkzugangsservers (NWZS), eine Teilnehmeridentität des mobilen Endgerätes (MS), eine Adresse des mobilen Endgerätes (MS), eine Bezeichnung eines eingesetzten Authentisierungsverfahrens oder durch eine Bezeichnung von während der Authentisierung eingesetzten Credentials eines Teilnehmers und/oder des Authentisierungsservers (AS) gebildet wird.
Verfahren nach Anspruch 2, wobei die Credentials kryptographische Schlüssel, Passwörter und Zertifikate aufweisen.
Verfahren nach Anspruch 1, wobei der zweckgebundene Schlüssel durch einen Sitzungsschlüssel (Master Session Key) gebildet wird.
Verfahren nach Anspruch 1, wobei ein abgeleiteter Schlüssel mittels einer konfigurierbaren Schlüsselableitungsfunktion KDF (Key Derivation Function) durch einen Server des Authentisierungs-Signalpfades (ASP) aus einem Schlüssel abgeleitet wird, den der ableitende Server von einem in dem Authentisierungs-Signalpfad (ASP) davor liegenden Server empfängt.
Verfahren nach Anspruch 5, wobei der abgeleitete Schlüssel MSK_i wie folgt abgeleitet wird: MSKi = KDF (MSKi- 1, ZKi),wobei KDF eine Schlüsselableitungsfunktion (Key Derivation Function), MSK_i der abgeleitete Schlüssel, MSK_i- ₁ der von dem in dem Authentisierungs-Signalpfad (ASP) davor liegenden Server gelieferte Schlüssel und ZK_i eine Zeichenkette ist.
Verfahren nach Anspruch 1, wobei sich die Zeichenkette (ZK_i) aus mehreren Unterzeichenketten (UZK) zusammensetzt, die jeweils ein Bindungskriterium (BK) angeben.
Verfahren nach Anspruch 7, wobei jede Unterzeichenkette (UZK) jeweils mindestens ein Bindungskriterium (BK) für einen in dem Authentisierungs-Signalpfad (ASP) vorgesehenen Authentisierungs-Proxy-Server aufweist.
Verfahren nach Anspruch 1, wobei bei jedem Ableitungsschritt durch einen Authentisierungsserver entlang des Authentisierungs-Signalpfades (ASP) dieser Authentisierungsserver eine Schlüsseltransformationsbeschreibung KTD (Key Transformation Description) des jeweiligen Ableitungsschrittes zusätzlich zu dem abgeleiteten Schlüssel an einen nachfolgenden Authentisierungsserver abgibt.
Verfahren nach Anspruch 9, wobei die Schlüsseltransformationsbeschreibung KTD als Bindungskriterium (BK) eine Unterzeichenkette (UZK) zur Ableitung eines abgeleiteten Schlüssels durch den nachfolgenden Authentisierungsserver des Authentisierungs-Signalpfades (ASP) bildet.
Verfahren nach Anspruch 10, wobei ein Schlüsseltransformationsattribut KTA (Key Transformation Attribute) aus den Schlüsseltransformationsbeschreibungen KTD aller entlang des Authentisierungs-Signalpfades (ASP) vorgenommenen Schlüsselableitungsschritte zusammengesetzt wird.
Verfahren nach Anspruch 1, wobei der Netzwerkzugangsserver (NWZS) durch einen Authentikator gebildet wird, welcher den entlang des Authentisierungs-Signalpfades (ASP) durch den Netzwerkzugangsserver (NWZS) zuletzt abgeleiteten Schlüssel als zweckgebundenen Schlüssel an das mobile Endgerät (MS) überträgt.
Verfahren nach Anspruch 12, wobei der Netzwerkzugangsserver (NWZS) den zuletzt abgeleiteten Schlüssel zusammen mit dem Schlüsseltransformationsattribut (KTA) an das mobile Endgerät (MS) überträgt.
Verfahren nach Anspruch 1, wobei das mobile Endgerät (MS) die gleichen Schlüsselableitungen an dem universal einsetzbaren Schlüssel (K) lokal durchführt, wie die Authentisierungsserver und der Netzwerkzugangsserver (NWZS) entlang des Authentisierungssignalpfades (ASP).
Verfahren nach Anspruch 14, wobei vorzunehmende Schlüsselableitungsschritte in dem mobilen Endgerät (MS) konfiguriert werden.
Verfahren nach Anspruch 14, wobei die vorzunehmenden Schlüsselableitungsschritte durch das mobile Endgerät (MS) anhand eines von dem Netzwerkzugangsserver (NWZS) empfangenen Schlüsseltransformationsattributs (KTA) ermittelt werden.
Verfahren nach Anspruch 1, wobei das Authentisierungsverfahren durch ein EAP-Authentisierungsverfahren gebildet wird.
Verfahren nach Anspruch 1, wobei der Authentisierungsserver (AS) die vorzunehmenden Schlüsselableitungsschritte den Authentisierungs-Proxy-Servern und dem Netzwerkzugangsserver (NWZS) entlang des Authentisierungssignalpfades (ASP) mitteilt.
Verfahren nach Anspruch 1, wobei die vorzunehmenden Schlüsselableitungsschritte der Authentisierungs-Proxy-Server und des Netzwerkzugangsservers (NWZS) entlang des Authentisierungs-Signalpfades (ASP) in den Servern jeweils fest konfiguriert sind.
Verfahren nach Anspruch 1, wobei der Netzwerkzugangsserver (NWZS) durch einen Authentikator eines Zugangsnetzwerkes (ZNW) gebildet wird, das durch einen Netzwerkbetreiber betrieben wird.
Verfahren nach Anspruch 20, wobei das Zugangsnetzwerk (ZNW) durch ein WLAN-Netz, ein WiMax-Netz oder durch ein Mesh-Zugangsnetz gebildet wird.
Verfahren nach Anspruch 1, wobei eine Gültigkeitsdauer des bereitgestellten zweckgebundenen Schlüssels begrenzt wird.
Verfahren nach Anspruch 1, wobei der Authentisierungsserver (AS) durch einen Authentisierungsserver in einem Heimatnetz des mobilen Endgerätes (MS) gebildet wird.
Server zur Ableitung eines zweckgebundenen Schlüssels aus einem Schlüssel mittels einer Schlüsselableitungsfunktion (KDF) in Abhängigkeit von einer Zeichenkette (ZK), welche mindestens ein beschränkendes Bindungskriterium (BK) aufweist.
Server nach Anspruch 24, wobei der Server ein Authentisierungsserver in einem Heimatnetz des mobilen Endgerätes (MS) ist, der nach erfolgreicher Authentisierung des mobilen Endgerätes (MS) einen zweckgebundenen Schlüssel aus einem universal einsetzbaren Schlüssel (K) ableitet.
Server nach Anspruch 24, wobei der Server ein Authentisierungs-Proxy-Server entlang eines Authentisierungs-Signalpfades (ASP) ist, der einen abgeleiteten Schlüssel empfängt und aus diesem abgeleiteten Schlüssel mittels einer Schlüsselableitungsfunktion (KDF) in Abhängigkeit von einer Zeichenkette (ZK), welche mindestens ein beschränkendes Bindungskriterium (BK) aufweist, einen weiteren abgeleiteten Schlüssel ableitet.
Server nach Anspruch 24, wobei der Server ein Netzwerkzugangsserver (NWZS) entlang eines Authentisierungs-Signalpfades (ASP) ist, der einen abgeleiteten Schlüssel empfängt und aus diesem abgeleiteten Schlüssel mittels einer Schlüsselableitungsfunktion (KDF) in Abhängigkeit von einer Zeichenkette (ZK), welche mindestens ein beschränkendes Bindungskriterium (BK) aufweist, einen abgeleiteten Schlüssel ableitet und diesen einem mobilen Endgerät (MS) als zweckgebundenen Schlüssel bereitstellt.