DE112016002319T5 - Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem - Google Patents

Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem Download PDF

Info

Publication number
DE112016002319T5
DE112016002319T5 DE112016002319.7T DE112016002319T DE112016002319T5 DE 112016002319 T5 DE112016002319 T5 DE 112016002319T5 DE 112016002319 T DE112016002319 T DE 112016002319T DE 112016002319 T5 DE112016002319 T5 DE 112016002319T5
Authority
DE
Germany
Prior art keywords
mobile device
digital certificate
certification request
certification
certificate
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE112016002319.7T
Other languages
English (en)
Inventor
Ding Ma
Jonathan P. Akers
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Motorola Solutions Inc
Original Assignee
Motorola Solutions Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Motorola Solutions Inc filed Critical Motorola Solutions Inc
Publication of DE112016002319T5 publication Critical patent/DE112016002319T5/de
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Health & Medical Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)

Abstract

Ein Verfahren und eine Vorrichtung für eine Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem werden zur Verfügung gestellt. Ein erstes mobiles Gerät baut eine erste drahtlose Verbindung mit einer Infrastruktur und eine zweite drahtlose Verbindung mit einem zweiten mobilen Gerät auf. Das erste mobile Gerät empfängt von dem zweiten mobilen Gerät eine erste Zertifizierungsanfrage, die eine Anfrage nach einem digitalen Zertifikat für das zweite mobile Gerät und nach ersten biometrischen Daten enthält, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind. Das erste mobile Gerät erhält zweite biometrische Daten, die mit einem Nutzer des zweiten mobilen Geräts assoziiert sind, und überführt eine zweite Zertifizierungsanfrage an die Infrastruktur, die die Anfrage nach dem digitalen Zertifikat für das zweite mobile Gerät und die ersten sowie die zweiten biometrischen Daten enthält. Das erste mobile Gerät empfängt dann von der Infrastruktur das digitale Zertifikat für das zweite mobile Gerät und leitet zu dem zweiten mobilen Gerät das digitale Zertifikat weiter.

Description

  • GEBIET DER ERFINDUNG
  • Die vorliegende Erfindung bezieht sich allgemein auf drahtlose Kommunikationssysteme und insbesondere auf ein Verfahren und eine Vorrichtung zur Zertifikatregistrierung in einem drahtlosen Kommunikationssystem.
  • HINTERGRUND DER ERFINDUNG
  • In einem hochgesicherten drahtlosen Kommunikationssystem kann es für Beschäftigte erforderlich sein, wenigstens eine Schicht von Sicherheitstunneln zu nutzen, um auf ihre Unternehmens- oder Firmenanwendungen oder -daten einen Fernzugriff vorzunehmen. Die am meisten verwendete Sicherheitstunneltechnologie ist ein virtuelles privates Netzwerk gemäß Internetprotokollsicherheit ("Internet Protocol Security (IPsec) Virtual Private Network (VPN)"), das typischerweise eine öffentliche Schlüsselinfrastruktur ("public key infrastructure" (PKI)), gemäß zertifikatbasiertem Internetschlüsselaustauschprotokoll ("Internet Key Exchange protocol" (IKE oder IKEv2)), nutzt, um einen sicheren Tunnel aufzubauen.
  • Ein PKI-Schema nutzt ein digitales Zertifikat, um zu verifizieren, dass ein spezieller öffentlicher Schlüssel zu einer gewissen Endeinheit gehört und für eine Zugangssteuerung verwendet werden kann. Das Zertifikat ist ein elektronisches Dokument, welches von einer vertrauenswürdigen Seite herausgegeben wird und das verwendet wird, um die Inhaberschaft an einem öffentlichen Schlüssel zu beweisen. Das Zertifikat enthält Information über den Schlüssel und eine Identität des Schlüsselinhabers, und es enthält weiterhin eine digitale Signatur einer Zertifikatautorität ("Certificate Authority" (CA)), das heißt einer Einheit, die verifiziert hat, dass die Inhalte des Zertifikates korrekt sind. Um ein Zertifikat zu erhalten, muss ein Nutzer, das heißt ein mobiles Gerät eines Nutzers, einen PKI-Registrierungsprozess mit einer PKI-Infrastruktur durchlaufen, der von seiner oder ihrer Organisation aufgesetzt wurde. In den meisten Fällen enthält die PKI-Infrastruktur wenigstens eine CA, die alle Zertifikate herausgibt und deren Lebensdauer steuert, sowie eine Registrierungsautorität ("Registration Authority" (RA)), die die Nutzerauthentifizierung/die Mobilgerätauthentifizierung für die CA durchführt, bevor irgendein Zertifikat für den Nutzer/das mobile Gerät erzeugt werden kann. Die Authentifizierung eines neuen Nutzers/mobilen Geräts als Teil einer Initialzertifikatregistrierung enthält häufig viele manuelle Operationen, da das mobile Gerät keinen Berechtigungsnachweis hat, der das mobile Gerät bezüglich dem Netzwerk der Organisation vor der Initialzertifikatregistrierung authentifizieren kann.
  • Eine typische Lösung für die Initialzertifikatregistrierung enthält die Nutzung eines PCs ("personal computer"), dem von dem Netzwerk der Organisation vertraut wird. Der Nutzer muss eine Zertifikatsignierungsanfragedatei ("certificate signing request" (CSR)) auf dem mobilen Gerät des Nutzers erzeugen und dann die CSR-Datei auf dem PC unter Nutzung einer Leitungsverbindung übertragen, wie zum Beispiel einer USB-Schnittstelle ("universal serial bus"). Der Nutzer verwendet dann den PC, um die CSR an die RA oder die CA zu übermitteln, um ein Zertifikat über das Netzwerk der Organisation zu erhalten. In hochgesicherten Systemen, wie zum Beispiel Regierungs- und Verteidigungsnetzwerken, kann es möglich sein, dass der Nutzer das mobile Gerät des Nutzers einem Systemadministrator geben muss, der die Initialregistrierung ausführt, unter Verwendung eines PCs, der sich in einer überwachten Umgebung befindet.
  • Ein anderer Ansatz zur Initialzertifikatregistrierung enthält die Nutzung eines TPM-Chips ("Trusted Platform Module"). Basierend auf den aktuellen Standards gemäß TPM 2.0 gibt der Hersteller des TPM-Chips ein eindeutiges Root-Key-Paar (gewöhnlich RSA) in jedes TPM während des Herstellungsprozesses. Ein mobiles Gerät mit einem TPM kann bei dem TPM anfordern, Nachrichten zu signieren/zu verschlüsseln, die zu dem Netzwerk während der Initialregistrierung gesendet werden. Jedoch werden die Schlüssel ("keys") außerhalb der Kontrolle der Organisation/des Unternehmens erzeugt, die/das das drahtlose System betreibt, und dieser Ansatz funktioniert nur, wenn die Organisation/das Unternehmen, die/das das drahtlose System betreibt, den Schlüsseln und dem TPM-Hersteller vertraut. Diese Art eines Vertrauens zwischen Organisationen ist im Allgemeinen in hochgesicherten Regierungssystemen und Systemen der öffentlichen Sicherheit nicht erlaubt.
  • KURZE BESCHREIBUNG DER VERSCHIEDENEN ANSICHTEN DER ZEICHUNGEN
  • Die begleitenden Zeichnungen, in denen sich gleiche Bezugszeichen auf identische oder funktional ähnliche Elemente durch die getrennten Ansichten hindurch beziehen, werden zusammen mit der nachfolgenden detaillierten Beschreibung in die Spezifikation eingebaut, und sie bilden einen Teil davon, und sie dienen zur weiteren Veranschaulichung von Ausführungsformen und Konzepten, die die beanspruchte Erfindung enthalten, und sie erläutern verschiedene Prinzipien und Vorteile jener Ausführungsformen.
  • 1 ist ein Blockdiagramm eines Kommunikationssystems, in dem eine Dienstinstanzauswahl in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung implementiert ist.
  • 2 ist ein Blockdiagramm eines mobilen Geräts des Kommunikationssystems nach 1, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung.
  • 3 ist ein Blockdiagramm eines Öffentlichkeitsschlüsselinfrastrukturgerätes ("public key infrastructure" (PKI)) des Kommunikationssystems nach 1 in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung.
  • 4A ist ein Nachrichtenflussdiagramm, das ein Verfahren veranschaulicht, welches durch das Kommunikationssystem nach 1 ausgeführt wird, beim Ausführen einer Initialzertifikatregistrierung eines mobilen Gerätes, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung.
  • 4B ist eine Fortsetzung des Nachrichtenflussdiagramms nach 4A, das ein Verfahren veranschaulicht, welches durch das Kommunikationssystem nach 1 ausgeführt wird, beim Ausführen einer Initialzertifikatregistrierung eines mobilen Gerätes, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung.
  • 4C ist eine Fortsetzung des Nachrichtenflussdiagramms nach 4A und 4B, das ein Verfahren veranschaulicht, welches durch das Kommunikationssystem nach 1 ausgeführt wird, beim Ausführen einer Initialzertifikatregistrierung eines mobilen Gerätes, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung.
  • Fachleute werden erkennen, dass Elemente in den Figuren im Sinne von Einfachheit und Klarheit nicht notwendigerweise maßstabsgetreu dargestellt sind. Zum Beispiel können die Abmessungen und/oder relativen Positionen einiger der Elemente im Vergleich zu anderen Elementen übertrieben sein, um dabei zu helfen, das Verständnis der verschiedenen Ausführungsformen der vorliegenden Erfindung zu verbessern. Ebenfalls sind allgemeine, jedoch gut verstandene Elemente, die nützlich oder erforderlich für eine kommerziell geeignete Ausführungsform sind, häufig nicht dargestellt, um eine weniger behinderte Ansicht dieser verschiedenen Ausführungsformen der vorliegenden Erfindung zu ermöglichen. Es wird weiterhin erkannt werden, dass gewisse Handlungen und/oder Schritte in einer speziellen Reihenfolge ihres Auftretens beschrieben oder dargestellt sind, während Fachleute jedoch verstehen werden, dass eine solche Spezifität mit Bezug auf die Abfolge eigentlich nicht erforderlich ist. Fachleute werden weiterhin erkennen, dass Bezugnahmen auf spezifische Implementierungsausführungsformen, wie zum Beispiel "Schaltung", gleichermaßen durch einen Ersatz mit Softwareanweisungsausführungen erreicht werden können, entweder auf einer Rechenvorrichtung für allgemeine Zwecke (zum Beispiel CPU) oder einer spezialisierten Verarbeitungsvorrichtung (zum Beispiel DSP). Es wird auch verstanden werden, dass die Begriffe und Ausdrücke, die hier verwendet werden, die gewöhnliche technische Bedeutung haben, die solchen Begriffen und Ausdrücken durch Fachleute auf dem technischen Gebiet, wie oben ausgeführt, beigemessen werden, außer dort, wo verschiedene spezifische Bedeutungen auf anderer Weise hier ausgeführt sind.
  • DETAILLIERTE BESCHREIBUNG DER ERFINDUNG
  • Ein Verfahren und eine Vorrichtung, die eine Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem bereitstellen, werden zur Verfügung gestellt. Ein erstes mobiles Gerät baut eine erste drahtlose Verbindung mit einer Infrastruktur auf, und es baut eine zweite drahtlose Verbindung mit einem zweiten mobilen Gerät auf. Das erste mobile Gerät empfängt eine erste Zertifizierungsanfrage von dem zweiten mobilen Gerät über die zweite drahtlose Verbindung, wobei die ersten Zertifizierungsanfrage eine Anfrage nach einem digitalen Zertifikat für das zweite mobile Gerät und nach ersten biometrischen Daten umfasst, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind. Das erste mobile Gerät erhält zweite biometrische Daten, wobei die zweiten biometrischen Daten mit einem Nutzer des zweiten mobilen Geräts assoziiert sind, und überführt eine zweite Zertifizierungsanfrage an die Infrastruktur und über die erste drahtlose Verbindung, wobei die zweite Zertifizierungsanfrage die Anfrage nach dem digitalen Zertifikat für das zweite mobile Gerät, die ersten biometrischen Daten und die zweiten biometrischen Daten umfasst. In Reaktion auf das Überführen der zweiten Zertifizierungsanfrage an die Infrastruktur, empfängt das erste mobile Gerät von der Infrastruktur und über die erste drahtlose Verbindung das digitale Zertifikat für das zweite mobile Gerät und überführt an das zweite mobile Gerät über die zweite drahtlose Verbindung das digitale Zertifikat.
  • Allgemein betrifft eine Ausführungsform der vorliegenden Erfindung ein Verfahren zum Bereitstellen einer Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem. Das Verfahren enthält ein Aufbauen einer ersten drahtlosen Verbindung mit einer Infrastruktur durch ein erstes mobiles Gerät; ein Aufbauen einer zweiten drahtlosen Verbindung mit einem zweiten mobilen Gerät durch das erste mobile Gerät; ein Empfangen einer ersten Zertifizierungsanfrage durch das erste mobile Gerät von dem zweiten mobilen Gerät und über die zweite drahtlose Verbindung, wobei die erste Zertifizierungsanfrage eine Anfrage nach einem digitalen Zertifikat für das zweite mobile Gerät und nach ersten biometrischen Daten umfasst, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind; ein Empfangen zweiter biometrischer Daten, wobei die zweiten biometrischen Daten mit einem Nutzer des zweiten mobilen Geräts assoziiert sind; und ein Überführen einer zweiten Zertifizierungsanfrage an die Infrastruktur und über die erste drahtlose Verbindung, wobei die zweite Zertifizierungsanfrage die Anfrage nach dem digitalen Zertifikat für das zweite mobile Gerät, die ersten biometrischen Daten und die zweiten biometrischen Daten umfasst. Das Verfahren enthält weiterhin in Reaktion auf das Überführen der zweiten Zertifizierungsanfrage an die Infrastruktur ein Empfangen von der Infrastruktur und über die erste drahtlose Verbindung des digitalen Zertifikats für das zweite mobile Gerät; und ein Überführen des digitalen Zertifikats an das zweite mobile Gerät über die zweite drahtlose Verbindung.
  • Eine andere Ausführungsform der vorliegenden Erfindung betrifft ein mobiles Gerät, das geeignet ist, eine Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem zu ermöglichen, wobei das mobile Gerät einen Prozessor und wenigsten ein Speichergerät umfasst. Das wenigstens eine Speichergerät ist konfiguriert, um Anweisungen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor zu folgendem veranlassen: Aufbauen einer ersten drahtlosen Verbindung mit einer Infrastruktur; Aufbauen einer zweiten drahtlosen Verbindung mit einem anderen mobilen Gerät; Empfangen einer ersten Zertifizierungsanfrage von dem anderen mobilen Gerät und über die zweite drahtlose Verbindung, wobei die erste Zertifizierungsanfrage eine Anfrage nach einem digitalen Zertifikat für das andere mobile Gerät und nach ersten biometrischen Daten umfasst, die mit einem Nutzer des mobilen Geräts assoziiert sind; Erhalten zweiter biometrischer Daten, wobei die zweiten biometrischen Daten mit einem Nutzer des anderen mobilen Geräts assoziiert sind; und Überführen einer zweiten Zertifizierungsanfrage an die Infrastruktur und über die erste drahtlose Verbindung, wobei die zweite Zertifizierungsanfrage die Anfrage nach dem digitalen Zertifikat für das andere mobile Gerät, die ersten biometrischen Daten und die zweiten biometrischen Daten umfasst. Das wenigstens eine Speichergerät ist weiterhin konfiguriert, um Anweisungen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor zu folgendem veranlassen: In Reaktion auf das Überführen der zweiten Zertifizierungsanfrage an die Infrastruktur, Empfangen von der Infrastruktur und über die erste drahtlose Verbindung des digitalen Zertifikats für das andere mobile Gerät; und Überführen des digitalen Zertifikats zu dem anderen mobilen Gerät über die zweite drahtlose Verbindung.
  • Noch eine andere Ausführungsform der vorliegenden Erfindung betrifft ein PKI-Gerät ("public key infrastructure", Öffentlichkeitsschlüsselinfrastruktur), das einen Prozessor und wenigstens ein Speichergerät umfasst. Das wenigstens eine Speichergerät ist konfiguriert, um Anweisungen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor veranlassen, folgendes auszuführen: Empfangen einer Zertifizierungsanfrage von einem ersten mobilen Gerät, die eine Anfrage nach einem digitalen Zertifikat für ein zweites mobiles Gerät, nach biometrischen Daten, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind, und nach zweiten biometrischen Daten, die mit einem Nutzer des zweiten mobilen Geräts assoziiert sind, umfasst; Verifizieren einer Identität des Nutzers des ersten mobilen Geräts und einer Identität des Nutzers des zweiten mobilen Gerätes, basierend auf den ersten biometrischen Daten und den zweiten biometrischen Daten; und Ausgeben des digitalen Zertifikats in Reaktion auf das Verifizieren der Identität des Nutzers des ersten mobilen Geräts und der Identität des Nutzers des zweiten mobilen Gerätes.
  • Eine weitere Ausführungsform der vorliegenden Erfindung betrifft ein PKI-Gerät, das einen Prozessor und wenigstens ein Speichergerät umfasst, das konfiguriert ist, um eine Zertifikatrückrufliste ("Certificate Revocation List" (CRL)) und eine Zertifikatauthorisierungsliste ("Certificate Authorization List" (CAL)) zu führen, wobei die CAL eine Liste digitaler Zertifikatseriennummern oder Prüfsummen ("hashes") von digitalen Zertifikatseriennummern umfasst, die mit mobilen Geräten assoziiert sind, die autorisiert sind, an einer gegebenen Ereignisreaktion teilzunehmen.
  • Die vorliegende Erfindung kann mit Bezug auf die 1 bis 4C vollständiger beschrieben werden. 1 ist ein Blockdiagramm eines drahtlosen Kommunikationssystems 100 in Übereinstimmung mit einer Ausführungsform der vorliegenden Erfindung. Das Kommunikationssystem 100 enthält mehrere mobile Geräte 104, 114 (zwei gezeigte) und entsprechende Nutzer 102, 112. In verschiedenen Ausführungsformen der vorliegenden Erfindung können die Nutzer 102 und 112 derselbe oder verschiedene Nutzer sein. Jedes mobile Gerät 104, 114 kann irgendein mobiles Gerät sein, das konfiguriert ist, um ein digitales Zertifikat von einem PKI-Gerät anzufragen. Zum Beispiel kann jedes mobile Gerät 104, 114 ein zellulares Telefon, ein Smartphone, ein persönlicher digitaler Assistent (PDA), ein Laptopcomputer oder ein Personal Computer mit Funkfrequenzfähigkeiten ("radio frequency" (RF)) oder irgendein anderer Typ eines mobilen Geräts mit drahtlosen Weitbereichskommunikationsfähigkeiten, wie zum Beispiel Fähigkeiten für das Weitbereichsnetzwerk ("wide area network" (WAN)) oder das drahtlose Nahbereichsnetzwerk ("wireless local area network" (WLAN)), und/oder drahtlosen Nahbereichskommunikationsfähigkeiten, wie zum Beispiel Bluetooth oder Nahfeldkommunikationsfähigkeiten ("near field communication" (NFC)) sein. In verschiedenen Technologien können die mobilen Geräte 114 und 104 als Mobilstation ("mobile station" (MS)), Nutzerausstattung ("user equipment" (UE)), Nutzerendstelle ("user terminal" (UT)), Teilnehmerstation ("subscriber station" (SS)), Teilnehmereinheit ("subscriber unit" (SU)), Ferneinheit ("remote unit" (RU)), Zugriffsendstelle und so weiter bezeichnet werden.
  • Das Kommunikationssystem 100 enthält weiterhin eine Infrastruktur 120 mit einem Funkzugriffsnetzwerk ("radio access network" (RAN)) 122 in Kommunikation mit einem VPN-Gateway 126 ("Virtual Private Network") und, über das VPN-Gateway, mit mehreren PKI-Geräten 132, 136 (zwei gezeigte), wie einer Registrierungsautorität ("Registration Authority" (RA)) 132 und einer Zertifikatautorität ("Certificate Authority" (CA)) 136, gehostet in einer PKI-Infrastruktur 130. In verschiedenen veranschaulichenden Ausführungsformen können die RA 132 und die CA 136 jeweils auf demselben oder einem anderen Server gehostet werden, wobei der oder die Server einen Speicher, einen Prozessor und eine geeignete drahtgebundene und/oder drahtlose Schnittstelle umfassen, die betriebsfähig gekoppelt ist, um mit einem oder mehreren der mehreren mobilen Geräte 104, 114 über das RAN 122 und das VPN-Gateway 126 zu kommunizieren.
  • Die PKI-Infrastruktur 130 enthält weiterhin eine Zertifikatrückrufliste ("Certificate Revocation List" (CRL)) 140, wie in der Technik bekannt, die eine Liste von Seriennummern digitaler Zertifikate enthält, die zurückgerufen wurden, sowie eine Zertifikatauthorisierungsliste ("Certificate Authorization List" (CAL)) 142, die eine signierte Liste digitaler Zertifikate umfasst, Seriennummern digitaler Zertifikate oder Prüfsummen ("hashes") von Seriennummern, assoziiert mit mobilen Geräten, die autorisiert sind, an einer gegebenen Ereignisantwort teilzunehmen. Die CRL 140 und die CAL 142 können von der CA 136 geführt werden und von der RA 132 verteilt werden, oder sie können durch ein oder mehrere PKI-Geräte geführt werden, die sowohl von der RA 132 als auch der CA 136 getrennt sind und auf diese zugreifen können. Die CRL 140 und die CAL 142 können intermittierend oder periodisch durch die PKI-Infrastruktur an vertrauenswürdige ("trusted") mobile Geräte überführt werden, wie das mobile Gerät 104 und das VPN-Gateway 126.
  • Ein mobiles Gerät 104, 114 kann dann die CRL 140 nutzen, um den Rückrufstatus des digitalen Zertifikats während des Aufbaus eines sicheren Tunnels unter Verwendung des PKI-zertifikatbasierten Internetprotokollsicherheits-Internetschlüsselaustauschprotokolls ("PKI certificate-based Internet Protocol Security (IPsec) Internet Key Exchange protocol (IKE oder IKEv2)") und während anderer Sicherheitsprotokollverhandlungen, wie Transportschichtsicherheit ("Transport Layer Security" (TLS)). Weiterhin kann ein mobiles Gerät 104, 114 die CAL 142 nutzen, um zu bestimmen, welche digitalen Zertifikate/mobilen Geräte autorisiert sind, um an einem gegebenen Sicherheitsverfahren teilzunehmen. Das heißt, dass ein mobiles Gerät nur ein digitales Zertifikat mit einer Seriennummer oder einer Prüfsumme annehmen kann, die in der CAL 142 für ein gegebenes Sicherheitsverfahren enthalten ist. Somit kann die CAL 142 genutzt werden, um einen automatisierten Ad-hoc-missionsspezifischen-Vertrauensaufbau zur Verfügung zu stellen. Zum Beispiel kann am Anfang einer taktischen Mission ein Teamleiter ein vertrauenswürdiges mobiles Gerät haben, wie das mobile Gerät 104, das dabei hilft, eine Initialzertifikatregistrierung für mobile Geräte anderer Teammitglieder zur Verfügung zu stellen, wie hier beschrieben. Nachdem alle mobilen Geräte aller Teammitglieder registriert sind, kann das vertrauenswürdige mobile Gerät eine CAL für diese spezifische Mission erzeugen und die CAL an eine RA senden, wie die RA 132, in der Infrastruktur 120. Die RA kann dann die CAL zum Beispiel durch Nutzung einer PKI-Zertifikat-Management-Protokollbenachrichtigung ("Certificate Management Protocol" (CMP)) an alle mobilen Geräte senden, wie das mobile Gerät 114, die durch andere Teammitglieder betrieben werden, und an andere Ausstattung, die in die Mission eingebunden ist, wie unbemannte Drohnen, wodurch die Fähigkeit der mobilen Geräte und anderer Ausstattung, untereinander an sicheren Kommunikationen während der Mission teilzunehmen, ermöglicht wird. Irgendein anderes mobiles Gerät mit einem gültigen Zertifikat, das nicht von der CAL angezeigt wird, kann an den Kommunikationen für die Mission nicht teilnehmen, selbst wenn sein Zertifikat die traditionelle PKI-Validierung bestehen könnte.
  • Die Infrastruktur 120 enthält weiterhin eine Biometrikdatenbank 150, auf die von den mehreren PKI-Geräten 132, 136 zugegriffen werden kann, wobei die Biometrikdatenbank Teilnehmer- oder Nutzeridentifizierer in Verbindung mit ihren biometrischen Daten speichert. Die Biometrikdatenbank 150 kann durch die oder getrennt von der PKI-Infrastruktur 130 gehostet werden. Wenn ein PKI-Gerät, wie PKI-Gerät 132 und 136, der Biometrikdatenbank 150 biometrische Daten zur Verfügung stellt, so gibt die Biometrikdatenbank an das PKI-Gerät einen Identifizierer eines Teilnehmers oder eines Nutzers zurück, der mit den biometrischen Daten assoziiert ist. Das RAN 122 enthält einen oder mehrere drahtlose Zugangsknoten 124 (ein gezeigter), die drahtlose Kommunikationsdienste für mobile Geräte zur Verfügung stellen, die sich in einem Abdeckungsgebiet des Zugangsknoten befinden, über eine entsprechende Luftschnittstelle, wie die mobilen Geräte 104 und 114 und die Luftschnittstelle 116. Die Luftschnittstelle 116 enthält einen Uplink und einen Downlink, wobei der Uplink und der Downlink jeweils mehrere Verkehrskanäle und mehrere Signalkanäle enthalten. Während die mobilen Geräte 104 und 114 in 1 als von demselben RAN bedient dargestellt sind, können in anderen Ausführungsformen der vorliegenden Erfindung jedes der mobilen Geräte 114 und 104 von anderen RANs als die anderen mobilen Geräte bedient werden, wobei die verschiedenen RANs dieselbe Drahtlostechnologie oder unterschiedliche Drahtlostechnologien implementieren können, oder sie können durch gar kein RAN bedient werden. Zum Beispiel kann eines der mobilen Geräte 104 und 114 ein Schmalbandmobilgerät sein, das durch ein Schmalband-RAN bedient wird, und das andere der mobilen Geräte 104 und 114 kann ein Breitbandmobilgerät sein, das durch ein Breitband-RAN bedient wird.
  • Der drahtlose Zugangsknoten 124 kann irgendein netzwerkbasierender drahtloser Zugangsknoten sein, wie ein Node B, ein entwickelter Node B ("evolved Node B" (eNB)), ein Zugangspunkt ("access point" (AP)) oder eine Basisstation (BS). Das RAN 122 kann auch einen oder mehrere Zugangsnetzwerkcontroller (nicht gezeigt) enthalten, wie einen Funknetzwerkcontroller ("Radio Network Controller" (RNC)) oder einen Basisstationscontroller ("Base Station Controller" (BSC)), gekoppelt mit dem einen oder den mehreren drahtlosen Zugangsknoten; jedoch kann in verschiedenen Ausführungsformen der vorliegenden Erfindung die Funktionalität eines solchen Zugangsnetzwerkcontrollers in dem Zugangsknoten implementiert sein.
  • Ein erstes mobiles Gerät 104 der mehreren mobilen Geräte 104, 114 des Kommunikationssystems 100 wird für Zwecke der vorliegenden Erfindung als ein "vertrauenswürdiges" ("trusted") mobiles Gerät angenommen, das heißt ein mobiles Gerät, das bereits bezüglich der mehreren PKI-Geräte 132, 136 registriert ist und das hiervon mehrere digitale Zertifikate 106, 108, 138 erhalten hat. Zum Beispiel kann in einem Android-Betriebssystem ein vertrauenswürdiges mobiles Gerät, wie das mobile Gerät 104, mehrere private Schlüssel 105, 107 (zwei gezeigte) führen, die unter Verwendung von digitalen Signaturalgorithmen ("digital signature algorithms" (DSAs)) erzeugt wurden, wie "Suite B Elliptic Curve DSAs" (ECDSA), wobei die entsprechenden digitalen Zertifikate, das heißt die digitalen Zertifikate 106, 108, von der PKI-Infrastruktur 130 erhalten werden. Solche digitalen Zertifikate 106, 108 werden als Gerätezertifikate betrachtet, die durch einen privaten Schlüssel 137 der CA 136 signiert werden. Zusätzlich zu den Gerätezertifikaten 106 und 108 erhält das mobile Gerät 104 ein Zertifikat der Zertifikatautorität ("Certificate Authority" (CA)) 138 von der CA 136.
  • Wenn eine sichere Verbindung hergestellt wird, wie ein "Internet Protocol Security (IPsec) Virtual Private Network(VPN)"-Tunnel, mit dem VPN-Gateway 126, präsentiert das mobile Gerät 104 sein Zertifikat 106 dem VPN-Gateway 126 und validiert unter Nutzung des CA-Zertifikats 138 ein Gateway-/Server-Zertifikat 128 (hier auch als VPN-Zertifikat 128 bezeichnet), präsentiert durch das VPN-Gateway 126. Beim Aufbauen der sicheren Verbindung mit dem mobilen Gerät 104 stellt das VPN-Gateway 126 weiterhin das VPN-Zertifikat 128 dem mobilen Gerät 104 zur Verfügung und verifiziert unter Verwendung des CA-Zertifikats 138 das Gerätezertifikat 106 des mobilen Geräts 104. Ähnlich kann das mobile Gerät 104 einen sicheren Tunnel mit einem anderen Gerät aufbauen, wie einem Gerät der PKI-Infrastruktur 130 oder dem mobilen Gerät 114. Das Gerätezertifikat 108, hier auch als Geräte-RA-Zertifikat 108 bezeichnet, und sein assoziierter privater Schlüssel 107 werden von dem mobilen Gerät 104 genutzt, um eine Funktionalität einer Registrierungsautorität (RA) auszuführen.
  • Jedes der digitalen Zertifikate 106, 108 und 138 enthält einen öffentlichen Schlüssel, das heißt 'KPUB_106,' 'KPUB_108' beziehungsweise 'KPUB_138,' und es enthält weiterhin Subjektinformation/Identitätsinformation des Schlüsselbesitzers. Jeder der öffentlichen Schlüssel KPUB_106, KPUB_108 und KPUB_138 hat einen entsprechenden privaten Schlüssel, das heißt KPVT_105, KPVT_107 und KPVT_137, der durch den Schlüsselbesitzer geführt wird. Zum Beispiel umfasst das Gerätezertifikat 106 einen öffentlichen Schlüssel KPUB_106, der dem privaten Schlüssel 105 entspricht, das heißt KPVT_105 des mobilen Gerätes 104, das Geräte-RA-Zertifikat 108 umfasst einen öffentlichen Schlüssel KPUB_108, der dem privaten Schlüssel 107 entspricht, das heißt KPVT_107, genutzt durch das mobile Gerät 104, wenn es als eine RA arbeitet, und das CA-Zertifikat 138 umfasst einen öffentlichen Schlüssel KPUB_128, der einem privaten CA-Schlüssel 137 entspricht, das heißt KPVT_137 von CA 136. Mit anderen Worten sind KPUB_106/KPVT_105 ein öffentlich/privates Schlüsselpaar, das mit dem mobilen Gerät 104 und dem Gerätezertifikat 106 assoziiert ist, KPUB_108/KPVT_107 sind ein öffentlich/privates Schlüsselpaar, das mit dem mobilen Gerät 104 und dem RA-Gerätezertifikat 108 assoziiert ist, und KPUB_138/KPVT_137 sind ein öffentlich/privates Schlüsselpaar, das mit dem CA-Zertifikat 138 und der CA 136 assoziiert ist. Basierend auf dem Vertrauen des CA-Zertifikats 138 durch alle Geräte in dem System ist das vertrauenswürdige mobile Gerät, das heißt das mobile Gerät 104, in der Lage, eine sichere Verbindung oder einen "Tunnel" aufzubauen, zum Beispiel einen IPSec-VPN-Tunnel, mit der Infrastruktur 120 und insbesondere mit dem VPN-Gateway 126 des Kommunikationssystems 100. Und da auch ein RA-Gerätezertifikat 108 durch die CA 136 herausgegeben wird (und durch den privaten Schlüssel 137, das heißt KPVT_137 signiert wird), ist das vertrauenswürdige Gerät 104 in der Lage, einen direkten sicheren Tunnel mit der RA 132 aufzubauen, um die Funktionalität der RA 132 für andere mobile Geräte verfügbar zu machen, wie das mobile Gerät 114.
  • Ein zweites mobiles Gerät 114 von den mehreren mobilen Geräten 104, 114 ist eine Einheit, die noch kein digitales Zertifikat von der PKI-Infrastruktur 130 erhalten hat und dem entsprechend die Fähigkeit fehlt, eine sichere Verbindung oder einen Tunnel mit der Infrastruktur 120 aufzubauen.
  • Die mobilen Geräte 104 und 114 werden "gepaart", um zusammenzuarbeiten, so dass Information, die zu einem der mobilen Geräte 104, 114 gesendet oder davon empfangen wird, auf Information basieren kann, die zu dem anderen mobilen Gerät 114, 104 gesendet oder davon empfangen wurde. Ein "Paaren" der Geräte bedeutet, dass die Geräte sich innerhalb einer Reichweite voneinander befinden und eine Verbindung über eine kurzreichweitige drahtlose Verbindung 110 aufbauen, wie eine Bluetooth-Verbindung, eine Nahfeldkommunikationsverbindung ("near field communication" (NFC)) oder eine WiFi-Verbindung. Die Fähigkeit, eine Gerätezusammenarbeit zwischen den mobilen Geräten 104 und 114 auszuführen, befähigt die mobilen Geräte 114, das mobile Gerät 104 als ein Proxy zum Kommunizieren mit der Infrastruktur 120 zu verwenden.
  • Da Elemente des RAN 122, wie der Zugangsknoten 124 und das Gateway 126, die mehreren PKI-Geräte 132, 136 und die biometrische Datenbank 150 alles Elemente der Infrastruktur 120 sind, können jedes davon als ein Infrastrukturelement des Kommunikationssystems 100 bezeichnet werden. Die Infrastruktur 120 kann irgendein Typ eines Kommunikationsnetzwerks sein, wobei die mobilen Geräte mit den Infrastrukturelementen unter Verwendung irgendeines geeigneten Luftschnittstellenprotokolls und Modulationsschemas kommunizieren. Auch wenn es nicht gezeigt ist, kann die Infrastruktur 120 eine weitere Anzahl von Infrastrukturelementen für eine kommerzielle Ausführungsform umfassen, welche im Allgemeinen, jedoch nicht beschränkt, als Brücken ("bridges"), Schalter ("switches"), Zonencontroller, Router, Authentifizierungszentren bezeichnet werden, oder irgendeinen anderen Typ von Infrastrukturausstattung, die Kommunikationen zwischen Einheiten in einer drahtlosen oder leitungsgebundenen Umgebung ermöglichen. Schließlich sollte bemerkt werden, dass das Kommunikationssystem 100 durch Bezugnahme auf eine begrenzte Anzahl von Geräten zum Zwecke der Veranschaulichung dargestellt ist. Jedoch kann irgendeine geeignete Anzahl von PKI-Geräten, mobilen Geräten und Infrastrukturelementen in einem kommerziellen System implementiert werden, ohne dass die Allgemeinheit der vorliegenden Lehren verloren ginge.
  • Es wird nun auf 2 Bezug genommen, wo ein Blockdiagramm eines mobilen Geräts 200 zur Verfügung gestellt wird, wie der mobilen Geräte 104 und 114, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung. Das mobile Gerät 200 enthält im Allgemeinen einen Prozessor 202, wenigstens ein Speichergerät 204 und eine oder mehrere Eingabe/Ausgabe-Schnittstellen 210 ("input/output" (I/O)) (eine gezeigte), eine oder mehrere drahtlose Schnittstellen 212, 214 (zwei gezeigte) und ein oder mehrere Biometrikdatenaufnahmegeräte 216 (ein gezeigtes). Es sollte durch Fachleute erkannt werden, dass 2 ein mobiles Gerät 200 in einer stark vereinfachten Weise zeigt und dass eine praktische Ausführungsform zusätzliche Komponenten enthalten kann und geeignet konfiguriert sein kann, um Logik zu verarbeiten, um bekannte oder herkömmliche Betriebsmerkmale zu unterstützen, die hier nicht detailliert beschrieben sind.
  • Das mobile Gerät 200 arbeitet unter der Steuerung des Prozessors 202, wie eines oder mehrerer Mikroprozessoren, Mikrocontrollern, digitaler Signalprozessoren (DSPs), Kombinationen davon oder solcher anderer Geräte, die Fachleuten bekannt sind. Der Prozessor 202 betreibt das entsprechende mobile Gerät gemäß Daten und Anweisungen, die in dem wenigstens einen Speichergerät 204 gespeichert sind, wie einem Direktzugriffsspeicher ("random access memory" (RAM)), einem dynamischen Direktzugriffsspeicher ("dynamic random access memory" (DRAM)) und/oder einem Nur-Lesespeicher ("readonly memory" (ROM)) oder Äquivalenten derselben, der Daten und Anweisungen speichert, die von dem entsprechenden Prozessor ausgeführt werden können, so dass das mobile Gerät die hier beschriebenen Funktionen ausführen kann.
  • Die Daten und Instruktionen, die von dem wenigstens einem Speichergerät 204 geführt werden, enthalten Softwareprogramme, die eine geordnete Liste ausführbarer Anweisungen zum Implementieren logischer Funktionen enthält. Zum Beispiel enthält die Software in wenigstens einem Speichergerät 204 ein geeignetes Betriebssystem ("operating system" (O/S)) und Programme. Das Betriebssystem steuert im Wesentlichen die Ausführung anderer Computerprogramme und stellt eine Ablaufplanung, eine Eingabe/Ausgabe-Steuerung, ein Dateien- und Datenmanagement, ein Speichermanagement und eine Kommunikationssteuerung sowie verwandte Dienste zur Verfügung. Die Programme können verschiedene Anwendungen, Add-ons etc. enthalten, die konfiguriert sind, um eine Nutzerfunktionalität mit dem mobilen Gerät 200 zur Verfügung zu stellen. Weiterhin führt das wenigstens eine Speichergerät 204 einen oder mehrere Mobilgerätidentifizierer, wie einen Mobilstationsidentifizierer ("mobile station identifier" (MS ID)), einen Teilnehmereinheitenidentifizierer ("subscriber unit identifier" (SU ID)), eine internationale Mobilteilnehmeridentität ("International Mobile Subscriber Identity"(IMSI)) oder eine temporäre Mobilteilnehmeridentität ("Temporary Mobile Subscriber Identity" (TMSI)), die das mobile Gerät in dem Kommunikationssystem eindeutig identifiziert.
  • Das mobile Gerät 200 enthält eine Verschlüsselungs- und Schlüsselmanagementfunktionalität. Zum Beispiel kann das wenigstens eine Speichergerät 204 ein softwarebasierendes Verschlüsselungs- und Schlüsselmanagementmodul 206 enthalten, das Programme umfasst, zum Beispiel einen Algorithmus, zum Erzeugen eines Schlüsselpaars, das heißt eines privaten Schlüssels (KPVT) und eines entsprechenden öffentlichen Schlüssels (KPUB) des mobilen Gerätes, zum Kompilieren anderer Information, die nötig ist, um eine Zertifizierungsanfrage zu erzeugen, wie eine Zertifikatsignierungsanfrage ("Certificate Signing Request" (CSR)), eine Zertifizierungsantwort und eine Zertifizierungsbestätigung mit Bezug auf ein Erhalten eines digitalen Zertifikats, wie eines Gerätezertifikats 106, wie hier beschrieben, und zum Führen von Schlüsseln, Tokens und digitaler Zertifikate, wie privaten Schlüsseln 105 (KPVT_105) und 107 (KPVT_107), des Gerätezertifikats 106 (und des entsprechenden öffentlichen Schlüssels KPUB_106), des RA-Gerätezertifikats 108 (und des entsprechenden öffentlichen Schlüssels KPUB_108), des CA-Zertifikats 138 (und des entsprechenden öffentlichen Schlüssels KPUB_138), CRL 140 und CAL 142. Jedoch kann in einer anderen Ausführungsform der vorliegenden Erfindung das mobile Gerät 200 zusätzlich oder stattdessen ein Hardware-Sicherheitsmodul ("Hardware Security Module" (HSM)) 208 enthalten. Das HSM 208 ist ein hardwarebasiertes Verschlüsselungs- und Schlüsselmanagementgerät, das hardwarebasierte kryptographische Funktionen zur Verfügung stellen kann, wie kryptographische Funktionen gemäß Suite B, und das einen Betrugsschutz für Schlüssel, Tokens und digitale Zertifikate zur Verfügung stellen kann, wie die privaten Geräteschlüssel 105 und 107, Gerätezertifikate 106 und 108, das CA-Zertifikat 138, die CRL 140 und die CAL 142. Von einem praktischen Standpunkt aus werden, wenn das HSM 208 genutzt wird, die privaten Geräteschlüssel 105 und 106 in dem HSM 208 erzeugt und keiner anderen Komponente des mobilen Gerätes aufgedeckt, aber das Gerätezertifikat 106, das RA-Gerätezertifikat 108, das CA-Zertifikat 138, die CRL 140 und die CAL 142 können auf das wenigstens eine Speichergerät 204 im Sinne einer Effizienz von Krypto-Operationen kopiert werden. Zum Beispiel kann das HSM 208 ein CRYPTR-Mikrochip sein, der von Motorola Solutions, Inc., Schaumburg, Illinois erhältlich ist, wobei der Mikrochip in einem microSD-Slot eines mobilen Gerätes installiert werden kann. Ein CRYPTR-basierter PKI-Betrieb ist sicherer als ein softwarebasierter Schlüsselspeicheransatz, wie ausgeführt durch das Verschlüsselungs- und Schlüsselmanagementmodul 206. Das heißt, dass der CRYPTR private Schlüssel in einem betrugsabweisenden Hardware-Sicherheitsmodul erzeugt und speichert. Für jeden PKI-Betrieb werden Daten an den CRYPTR gesendet, und der CRYPTR besorgt die Signierung und gibt die signierten Daten an die anfragende Anwendung zurück. Somit sind die privaten Schlüssel niemals gegenüber irgendeiner Anwendung offengelegt, die auf dem mobilen Gerät läuft.
  • Die I/O-Schnittstellen 210 können Nutzerschnittstellen enthalten, die es einem Nutzer gestatten, Information in das mobile Gerät 200 einzugeben und von diesem zu empfangen. Zum Beispiel können die Nutzerschnittstellen eine Tastatur, einen Touch-Screen, einen Scroll-Ball, einen Scroll-Bar, Tasten, einen Bar-Code-Scanner und dergleichen umfassen. Weiterhin können die Nutzerschnittstellen ein Anzeigegerät enthalten, wie eine Flüssigkristallanzeige ("liquid crystal display" (LCD)), einen Touchscreen und dergleichen zum Anzeigen einer Systemausgabe. Die I/O-Schnittstellen 212 können zum Beispiel auch einen seriellen Port, einen parallelen Port, eine Kleine-Computer-Systemschnittstelle ("small computer system interface" (SCSI)), eine Infrarotschnittstelle (IR), eine USB-Schnittstelle ("universal serial bus"), einen microSD-Slot und dergleichen zum Kommunizieren mit oder zum Koppeln von anderen externen Geräten.
  • Die eine oder die mehreren drahtlosen Schnittstellen 212, 214 ermöglichen einen Austausch drahtloser Kommunikationen mit anderen mobilen Geräten und/oder mit dem RAN 122. Zum Beispiel können die einen oder die mehreren drahtlosen Schnittstellen 212, 214 eine erste kurzreichweitige drahtlose Schnittstelle 212 für kurzreichweitige Kommunikationen enthalten, wie über die kurzreichweitige drahtlose Verbindung 110. Zum Beispiel kann die kurzreichweitige drahtlose Schnittstelle 212 ein Nahfeldkommunikationsgerät ("near field communication" (NFC)) sein, das einen NFC-Transceiver und eine Antenne enthält, ein Bluetooth-Gerät, das einen Bluetooth-Transceiver und eine Antenne enthält, oder ein WLAN-Gerät ("wireless local area network"), das einen WLAN-Transceiver und eine Antenne enthält. Weiterhin können die eine oder die mehreren drahtlosen Schnittstellen 212, 214 eine zweite längerreichweitige drahtlose Schnittstelle 214 enthalten, wie ein Funktransceiver eines drahtlosen Bereichsnetzwerks ("wireless area network" (WAN)) mit einer entsprechenden Antenne.
  • Das eine oder die mehreren Biometrikdatenaufnahmegeräte 216 sammeln biometrische Daten von einem Nutzer eines mobilen Gerätes, zum Beispiel den Nutzern 102 und 112 der mobilen Geräte 104 und 114, und sie speichern die gesammelten biometrischen Daten in wenigstens einem Speichergerät 204. Zum Beispiel können das eine oder die mehreren Biometrikdatenaufnahmegeräte 216 ein Bildgebungsgerät, wie eine digitale Kamera, enthalten, die der Nutzer verwenden kann, um sein oder ihr Bild aufzunehmen, einen Fingerabdruckscanner, den der Nutzer verwenden kann, um sein oder ihren Fingerabdruck in das mobile Gerät 200 zu scannen, oder ein Mikrofon, das Audiodaten erfasst und entsprechend Stimmmuster eines Nutzers identifiziert. Die gespeicherten biometrischen Daten können dann von dem mobilen Gerät 200 einem anderen Gerät des Kommunikationssystems 100 zur Verfügung gestellt werden, wie einem anderen mobilen Gerät oder den PKI-Geräten 132 und 136, und sie können verwendet werden, um eine Identität des Nutzers, der mit den biometrischen Daten assoziiert ist, zu verifizieren.
  • Die Komponenten (202, 204, 208, 210, 212, 214 und 216) des mobilen Geräts 200 sind kommunikationsfähig mit einer lokalen Schnittstelle 220 gekoppelt. Die lokale Schnittstelle 220 kann beispielsweise, nicht beschränkend, ein oder mehrere Busse oder andere leitungsgebundene oder drahtlose Verbindungen sein, wie in der Technik bekannt. Die lokale Schnittstelle 230 kann zusätzliche Elemente aufweisen, die zum Zwecke der Einfachheit fortgelassen sind, wie Controller, Puffer (Caches), Treiber, Repeater und Empfänger, unter vielen anderen, um Kommunikationen zu ermöglichen. Weiterhin kann die lokale Schnittstelle 220 Adressen-, Steuerungs- und/oder Datenverbindungen enthalten, um geeignete Kommunikationen unter den zuvor genannten Komponenten zu ermöglichen.
  • Es wird nun auf 3 Bezug genommen, wo ein Blockdiagramm eines PKI-Geräts 300 zur Verfügung gestellt wird, wie der PKI-Geräte 132 und 136, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung. Das PKI-Gerät 300 arbeitet unter der Steuerung eines Prozessors 302, wie eines oder mehrerer Mikroprozessoren, Mikrocontroller, digitaler Signalprozessoren, (DSPs), Kombinationen derselben oder solcher anderer Geräte, die Durchschnittsfachleuten bekannt sind. Der Prozessor 302 betreibt das PKI-Gerät gemäß Daten und Anweisungen, die in wenigstens einem Speichergerät 304 gespeichert sind, wie einem Direktzugriffsspeicher ("random access memory" (RAM)), einem dynamischen Direktzugriffsspeicher ("dynamic random access memory" (DRAM)) und/oder einem Nur-Lesespeicher ("read-only memory" (ROM)) oder Äquivalenten derselben, der Daten und Programme speichert, die durch den entsprechenden Prozessor ausgeführt werden, so dass der Server die hier beschriebenen Funktionen ausführen kann.
  • Das PKI-Gerät 300 enthält weiterhin ein oder mehrere Netzwerkschnittstellen 306 für eine Verbindung zu anderen Elementen der Infrastruktur 120, wie ein VPN-Gateway 126 und, über das Gateway, zu anderen Geräten des Kommunikationssystems 100, wie zu den mobilen Geräten 104 und 114. Die eine oder die mehreren Netzwerkschnittstellen 306 können eine drahtlose, eine leitungsgebundene und/oder eine optische Schnittstelle enthalten, die in der Lage ist, Nachrichten zu dem Gateway 126 zu überführen und Nachrichten zu empfangen, wie zum Beispiel Datenpakete.
  • Das PKI-Gerät 300 enthält weiterhin, oder es steht über eine oder mehrere Netzwerkschnittstellen 306 damit in Verbindung, einen Zertifikatspeicher ("Certificate Repository"(CR)) 310, wie den CR 144, der typischerweise mit einer Datenbank implementiert ist, wobei dieser genutzt wird, um eine beständige Speicherung digitaler Zertifikate 312 zur Verfügung zu stellen, wie RA-Zertifikat 134, CA-Zertifikat 138 und digitale Zertifikate, die mit den mobilen Geräten 104, 114 assoziiert sind, wobei die digitalen Zertifikate durch das PKI-Gerät genutzt werden können, um die mobilen Geräte und/oder ihre Nutzer zu validieren und damit sicher zu kommunizieren. Der CR 310 speichert und liefert weiterhin öffentliche und private Schlüssel 314, die mit den PKI-Geräten assoziiert sind, welche den CR nutzen, und den mobilen Geräten, die von dem CR bedient werden, wie einen privaten Schlüssel 133 der RA 132, einen privaten Schlüssel 137 der CA 136, einen privaten Schlüssel 105 und 107 des mobilen Gerätes 104 und ihre entsprechenden öffentlichen Schlüssel. Zusätzlich speichert der CR 310 eine CRL 316, wie CRL 140, und eine CAL 318, wie CAL 142. In verschiedenen Ausführungsformen der vorliegenden Erfindung kann der CR 310 durch die RA 132 oder die CA 136 implementiert sein, er kann zwischen der RA 132 und der CA 136 verteilt sein, oder er kann von einem PKI-Gerät der PKI-Infrastruktur 130 implementiert sein, das sowohl von der RA 132 als auch der CA 136 getrennt, jedoch davon erreichbar ist.
  • Die Komponenten (302, 304, 306, 310) des PKI-Geräts 300 sind kommunikationsfähig mit einer lokalen Schnittstelle 308 gekoppelt. Die lokale Schnittstelle 306 kann zum Beispiel, aber nicht beschränkend, ein oder mehrere Busse oder andere leitungsgebundene oder drahtlose Verbindungen sein, wie in der Technik bekannt. Die lokale Schnittstelle 308 kann zusätzliche Elemente aufweisen, die zum Zwecke der Einfachheit fortgelassen sind, wie Controller, Puffer (Caches), Treiber, Repeater und Empfänger, neben vielen anderen, um Kommunikationen zu ermöglichen. Weiterhin kann die lokale Schnittstelle 308 Adress-, Steuerungs- und/oder Datenverbindungen enthalten, um geeignete Kommunikationen unter den vorgenannten Komponenten zu ermöglichen.
  • Wenn es hier nicht anders spezifiziert ist, wird die hier als von einem mobilen Gerät ausgeführte Funktionalität, wie den mobilen Geräten 104 und 114, und durch ein PKI-Gerät, wie den PKI-Geräten 132 und 136, durch oder in Softwareprogrammen und anweisun-gen implementiert, die in dem jeweiligen einen Speichergerät 204, 304 des mobilen Geräts und des PKI-Geräts gespeichert sind und welche durch den assoziierten Prozessor 202, 302 des Mobilgeräts und des PKI-Geräts ausgeführt werden.
  • Die vorliegenden Lehren sind auf Verfahren zur Initialzertifikatregistrierung für ein sich neu registrierendes mobiles Gerät gerichtet, wie das mobile Gerät 114. Die Initialzertifikatregistrierung, wie hier diskutiert, ist auf einen Prozess gerichtet, der mit einem Erhalt eines digitalen Initialzertifikates für eine Endeinheit gerichtet ist, wie das mobile Gerät 114, von einem PKI-Gerät, wie der RA 132 und der CA 136. Während der Zertifikatregistrierung gemäß dem Stand der Technik sendet eine Endeinheit eine Initialzertifikatsignierungsanfrage ("certificate signing request" (CSR)) zu einem oder mehreren PKI-Geräten, um nach einem Zertifikat von dem oder den PKI-Gerät(en) anzufragen. Da dies jedoch die Initial-CSR ist, wenn das oder die PKI-Gerät(e) noch keine früheren Zertifikate an die Endeinheit herausgegeben haben, hat die Endeinheit typischerweise keine verlässlichen Mittel zum kryptographischen Schützen und Binden der Initial-CSR vor dem Senden der Initial-CSR durch ein Kommunikationssystem. Zum Verhindern eines unautorisierten Zugangs zu der Initial-CSR, was dazu führen kann, dass die CA ein legitimes Zertifikat auf eine beeinträchtige CSR herausgibt, muss die Initial-CSR, die von der Endeinheit gesendet wird, geschützt werden.
  • Entsprechend nutzt in dem Kommunikationssystem 100 ein sich neu registrierendes mobiles Gerät, das heißt das zweite mobile Gerät 140 (hier auch als 'neues mobiles Gerät 114' bezeichnet) die kurzreichweitige drahtlose Verbindung 110, um einen sicheren Kanal (zum Beispiel gesichert durch Schlüssel und/oder durch visuelle Validierung aufgrund der großen Nähe der Nutzer der mobilen Geräte) mit einem bereits registrierten vertrauenswürdigen mobilen Gerät aufzubauen, das heißt dem mobilen Gerät 104 (hier auch als 'vertrauenswürdiges mobiles Gerät 104' bezeichnet), indem ein Paaren staatfindet, zum Beispiel durch Nutzung eines Verschlüsselungs- und Schlüsselhandhabungsmoduls 206 und/oder eines Hardware-Sicherheitsmoduls ("hardware security module" (HSM)) 208. Das neue mobile Gerät 114 erzeugt eine Zertifizierungsanfrage und überführt die Zertifizierungsanfrage zu dem vertrauenswürdigen mobilen Gerät 104 zusammen mit biometrischen Daten, die mit dem Nutzer 112 des neuen mobilen Geräts 114 assoziiert sind. Das vertrauenswürdige mobile Gerät 104 handelt als eine Registrierungsautorität ("registration authority" (RA)) und nutzt seine eigene gesicherte Netzwerkverbindung mit der Infrastruktur 120, um die Initialzertifikatregistrierung in Vertretung des mobilen Geräts 114 mit der RA 132 und/oder der CA 136 auszuführen. Insbesondere validiert das vertrauenswürdige mobile Gerät 104 die Zertifizierungsanfrage, die von dem mobilen Gerät 114 empfangen wird, und setzt eine Nachricht zusammen, die wenigstens einen Teil der empfangenen Zertifizierungsanfrage zusammen mit den biometrischen Daten des Nutzers 112 des neuen mobilen Geräts 114 enthält. Das vertrauenswürdige mobile Gerät 104 signiert die Nachricht unter Verwendung seines eigenen privaten Schlüssels und überführt die signierte Nachricht zu den PKI-Geräten 132, 136 über die gesicherte Netzwerkverbindung des vertrauenswürdigen mobilen Geräts zu der Infrastruktur 120. In Reaktion auf den Empfang der signierten Nachricht verifizieren die PKI-Geräte 132, 136 eine Identität des Nutzers 112 basierend auf den empfangenen biometrischen Daten und geben ein neues Zertifikat für das neue mobile Gerät 114 heraus. Die PKI-Geräte 132, 136 überführen dann das neue Zertifikat zu dem neuen mobilen Gerät 114 über das vertrauenswürdige mobile Gerät 104 und den gesicherten Tunnel zwischen dem vertrauenswürdigen mobilen Gerät und der Infrastruktur 120.
  • In verschiedenen anderen Ausführungsformen der vorliegenden Erfindung kann dieses Zertifikatregistrierungsverfahren durch eine zusätzliche Authentifizierung erweitert werden, zum Beispiel durch Nutzen von Signaturen, die mit Schlüsselpaaren von beiden mobilen Geräten 104 und 114 erzeugt und verifiziert werden. Ein Vorteil dieses Verfahrens besteht darin, dass, wenn mehrere mobile Geräte durch dieses Verfahren vertrauenswürdig werden, es leichter wird, das neue mobile Gerät in entferntem Zustand zu registrieren, wodurch eine kaskadierende Registrierungslösung erzeugt wird, die es gestattet, dass eine große Anzahl mobiler Geräte schnell registriert wird.
  • Es wird nun auf die 4A, 4B und 4C Bezug genommen, wo ein Nachrichtenflussdiagramm 400 zur Verfügung gestellt wird, das ein Verfahren veranschaulicht, welches durch das Kommunikationssystem 100 bei Ausführen einer Initialzertifikatregistrierung eines mobilen Geräts ausgeführt wird, in Übereinstimmung mit einigen Ausführungsformen der vorliegenden Erfindung. Das Nachrichtenflussdiagramm 400 beginnt, wenn ein erstes vertrauenswürdiges mobiles Gerät, das heißt das mobile Gerät 104, eine erste drahtlose Verbindung, das heißt eine sichere Verbindung oder einen "Tunnel" mit der Infrastruktur 120 über eine zweite drahtlose Schnittstelle 214 aufbaut (402) und insbesondere die sichere Verbindung oder den Tunnel mit dem Gateway 126 über die Schnittstelle 116 und über das RAN 122 aufbaut.
  • Bevor, gleichzeitig oder nachdem das mobile Gerät 104 die sichere Verbindung oder den "Tunnel" mit der Infrastruktur 120 aufbaut, "paart" (404) das vertrauenswürdige mobile Gerät mit einem zweiten neuen (das heißt mit dem PKI-Geräten 132 und 136 noch nicht registrierten) mobilen Gerät, das heißt es baut mit dem mobilen Gerät 114 eine zweite drahtlose Verbindung auf, unter Verwendung ihrer jeweiligen kurzreichweitigen drahtlosen Schnittstellen und über die kurzreichweitige drahtlose Verbindung 110. Viele kurzreichweitige drahtlose Technologien sind heutzutage verfügbar, und die meisten davon sind standardisiert und in kleinen kostengünstigen integrierten Schaltungen implementiert oder in vollständigen Einsteckmodulen ("drop-in modules"). Die kurzreichweitige drahtlose Verbindung stellt einen natürlichen Schutz gegen Hacker aufgrund ihrer begrenzten Reichweite zur Verfügung; zum Beispiel kann eine NFC-Paarung zwischen zwei mobilen Geräten nur stattfinden, wenn ein mobiles Gerät das andere mobile Gerät berührt.
  • Wenn sich zum Beispiel die mobilen Geräte 104 und 114 in großer Nähe zueinander befinden, so kann eine Paarung stattfinden, wenn zwei Bluetooth-fähige Geräte zustimmen, miteinander zu kommunizieren und eine sichere Verbindung über die kurzreichweitige drahtlose Verbindung 110 in Übereinstimmung mit dem Bluetooth-Protokoll aufzubauen. In einigen Fällen kann Bluetooth die benötigte Sicherheitsassoziierung zur Verfügung stellen, und in anderen Fällen kann eine höhere Kommunikationsschicht die benötigte Sicherheitsassoziierung zur Verfügung stellen. In einigen Fällen wird ein geteiltes Geheimnis ("shared secret"), gelegentlich auch als Verbindungsschlüssel ("link key") bezeichnet, durch beide mobilen Geräte 104 und 114 verifiziert. Sobald ein Verbindungsschlüssel von beiden Seiten verifiziert ist, wird eine authentifizierte ACL-Verbindung ("Asynchronous Connection-Less" (ACL)) zwischen den mobilen Geräten verschlüsselt werden, um ausgetauschte Daten zu schützen. Es wird durch Fachleute erkannt, dass, sobald eine Sicherheitsassoziierung zwischen den mobilen Geräten existiert, Daten zwischen den mobilen Geräten unter Verwendung der Sicherheitsassoziierung sicher gesendet werden können.
  • In einer anderen Ausführungsform der vorliegenden Erfindung kann das Paaren unter Verwendung von NFC erzeugt werden. Wie in der Technik bekannt, enthält ein NFC-Paaren eine Diffie-Hellman-Verhandlung mit elliptischer Kurve ("Elliptic Curve Diffie-Hellman" (ECDH)) zwischen den mobilen Geräten 104 und 114, um einen geteilten Sitzungsschlüssel zu erzeugen, der von der Verschlüsselungs- und Schlüsselmanagementfunktionalität von jedem mobilen Gerät gespeichert wird, wie zum Beispiel dem Verschlüsselungs- und Schlüsselmanagementmodul 206 oder dem HSM 208. Nach der ECDH-Verhandlung sind die Nachrichten, die zwischen den mobilen Geräten 104 und 114 über die kurzreichweitige Verbindung 110 unter Verwendung von NFC ausgetauscht werden, durch den geteilten Sitzungsschlüssel verschlüsselt.
  • Nach dem Paaren des vertrauenswürdigen mobilen Geräts 104 und des neuen mobilen Geräts 114 überführt (406) das vertrauenswürdige mobile Gerät 104 zu dem mobilen Gerät 114 und über die Verbindung, die über die kurzreichweitige drahtlose Verbindung 110 aufgebaut ist, das RA-Gerätezertifikat 108 und das CA-Zertifikat 138, wobei das RA- und das CA-Zertifikat von dem vertrauenswürdigen mobilen Gerät geführt werden. In Reaktion auf den Empfang des RA-Gerätezertifikats 108 und des CA-Zertifikats 138 erzeugt (408) das neue mobile Gerät 114 ein privates/öffentliches Schlüsselpaar, das heißt einen ersten privaten Schlüssel 'KPVT_114' und einen entsprechenden ersten öffentlichen Schlüssel 'KPUB_114', zum Beispiel ein ECDSA-Schlüsselpaar, und speichert das erzeugte öffentliche/private Schlüsselpaar in seinem Verschlüsselungs- und Schlüsselhandhabungsmodul 206 und/oder dem HSM 208. Im Weiteren überführt (410) das neue mobile Gerät 114 den öffentlichen Schlüssel 'KPUB_114' zu dem vertrauenswürdigen Gerät 104 über ihre jeweiligen kurzreichweitigen Drahtlosschnittstellen 212 und über die kurzreichweitige drahtlose Verbindung 110. In Reaktion auf den Empfang des öffentlichen Schlüssels 'KPUB_114' speichert das vertrauenswürdige mobile Gerät 104 den öffentlichen Schlüssel in seinem Verschlüsselungs- und Schlüsselmanagementmodul 106 und/oder dem HSM 208.
  • Weiterhin, in Reaktion auf den Empfang des RA-Gerätezertifikats 108 und des CA-Zertifikats 138, erhält (412) das neue mobile Gerät 114 erste biometrische Daten und speichert diese in wenigstens einem Speichergerät 204 des mobilen Geräts 114, wobei die ersten biometrischen Daten biometrische Daten sind, die mit dem Nutzer des vertrauenswürdigen mobilen Geräts 104 assoziiert sind. Zum Beispiel kann ein Fingerabdruckscanner des einen oder der mehreren Biometrikdatenaufnahmegeräte 216 des mobilen Geräts 114 einen Fingerabdruck des Nutzers 102 scannen. Im Rahmen eines anderen Beispiels kann der Nutzer 112 des neuen mobilen Geräts 114 ein Bild des Nutzers 102 durch Verwendung einer digitalen Kamera des einen oder der mehreren Biometrikdatenaufnahmegeräte 216 des neuen mobilen Geräts 114 aufnehmen. Das neue mobile Gerät 114 baut dann eine erste Zertifizierungsanfrage zusammen, wobei die Zertifizierungsanfrage nach einem digitalen Zertifikat für das neue mobile Gerät 114 anfragt und Identitätsinformation sowie den öffentlichen Schlüssel (KPUB_114) enthält, die mit dem anfragenden (das heißt Nutzer 112/mobiles Gerät 114) assoziiert sind, sowie die ersten biometrischen Daten (das heißt die biometrischen Daten, die mit dem Nutzer 102 assoziiert sind). Zum Beispiel kann die erste Zertifizierungsanfrage eine modifizierte Version einer PKI-Zertifikatmanage-mentprotokollzertifizierungsanfrage ("Certificate Management Protocol" (CMP)) sein, wie in der "Internet Engineering Task Force (IETF) Request For Comments (RFC)" 4201 beschrieben ist, wobei die CMP-Zertifizierungsanfrage modifiziert ist, indem sie die ersten biometrischen Daten und ein CMP-Erweiterungsfeld enthält. Weiterhin signiert das neue mobile Gerät 114 die erste Zertifizierungsanfrage unter Verwendung ihres privaten Schlüssels, das heißt des ersten privaten Schlüssels KPVT_114 (hier auch als 'popo'-Signatur bezeichnet), um eine signierte erste Zertifizierungsanfrage zu erzeugen, und es überführt (414) die signierte erste Zertifizierungsanfrage an das vertrauenswürdige mobile Gerät 104 über ihre jeweiligen kurzreichweitigen drahtlosen Schnittstellen 212 und die kurzreichweitige drahtlose Verbindung 110. Zum Beispiel können beispielhafte Anweisungen zum Zusammensetzen der signierten ersten Zertifizierungsanfrage den Code enthalten, der in Tabelle 1 aufgelistet ist:
    Figure DE112016002319T5_0002
    Figure DE112016002319T5_0003
    Figure DE112016002319T5_0004
    TABELLE 1
  • In Reaktion auf den Empfang der signierten ersten Zertifizierungsanfrage validiert (416) das vertrauenswürdige mobile Gerät 104 die Signatur des neuen mobilen Geräts 114 (das heißt die 'popo'-Signatur) der ersten Zertifizierungsanfrage durch Verwendung des ersten öffentlichen Schlüssels KPUB_114, wobei der Schlüssel dem privaten Schlüssel KPVT_114 entspricht, der genutzt wurde, um die erste Zertifizierungsanfrage zu signieren. Weiterhin erhält (418) das vertrauenswürdige mobile Gerät 104 zweite biometrische Daten und speichert diese in wenigstens einem Speichergerät 204 des mobilen Geräts 104, wobei die zweiten biometrischen Daten biometrische Daten sind, die mit dem Nutzer 112 des neuen mobilen Geräts 114 assoziiert sind. Zum Beispiel kann ein Fingerabdruckscanner des einen oder der mehreren Biometrikdatensammelgeräte 216 des vertrauenswürdigen mobilen Geräts 104 einen Fingerabdruck des Nutzers 112 scannen, oder der Nutzer 102 kann ein Bild des Nutzers 112 durch Verwendung einer digitalen Kamera des einen oder der mehreren Biometrikdatenaufnahmegeräte 216 des vertrauenswürdigen mobilen Geräts 104 aufnehmen.
  • Wenn das vertrauenswürdige mobile Gerät 104 bestimmt, dass die erste Zertifizierungsanfrage gültig ist, setzt das vertrauenswürdige mobile Gerät eine zweite Zertifizierungsanfrage zusammen, wobei die zweite Zertifizierungsanfrage nach einem digitalen Zertifikat für das neue mobile Gerät 114 anfragt, und die ersten biometrischen Daten enthält (das heißt die biometrischen Daten, die mit dem Nutzer 102 assoziiert sind) sowie die zweiten biometrischen Daten (das heißt die biometrischen Daten, die mit dem Nutzer 112 assoziiert sind). Zum Beispiel kann die zweite Zertifizierungsanfrage auch eine modifizierte CMP-Zertifizierungsanfrage sein, wobei die modifizierte CMP-Zertifizierungsanfrage wenigstens einen Teil (das heißt einiges, das meiste oder alles) der ersten Zertifizierungsanfrage enthält, einschließlich der Identitätsinformation und des öffentlichen Schlüssels (KPUB_114), die mit dem Nutzer 112/dem mobilen Gerät 114 assoziiert sind, und die ersten biometrischen Daten, wobei sie weiterhin die zweiten biometrischen Daten in einem CMP-Erweiterungsfeld der zweiten Zertifizierungsanfrage enthält. Weiterhin signiert das vertrauenswürdige mobile Gerät 104 die zweite Zertifizierungsanfrage unter Verwendung eines zweiten privaten Schlüssels, das heißt des privaten Schlüssels KPVT_107 des öffentlichen/privaten Schlüsselpaars (das heißt KPUB_108/KPVT_107), assoziiert mit dem RA-Gerätezertifikat 108 des vertrauenswürdigen Geräts 104, um eine signierte zweite Zertifizierungsanfrage zu erzeugen. Das vertrauenswürdige mobile Gerät 104 überführt (418, 420) die signierte zweite Zertifizierungsanfrage zu der PKI-Infrastruktur 130 und insbesondere zu der RA 132 über die sichere Verbindung, oder den "Tunnel", die mit dem Gateway 126 aufgebaut ist. Zum Beispiel können beispielhafte Anweisungen, die durch das vertrauenswürdige mobile Gerät zum Validieren der Signatur des neuen mobilen Geräts 114 ausgeführt werden sowie zum Zusammensetzen der signierten zweiten Zertifizierungsanfrage den in Tabelle 2 gelisteten Code enthalten:
    Figure DE112016002319T5_0005
    TABELLE 2
  • In Reaktion auf den Empfang der signierten zweiten Zertifizierungsanfrage validiert (422) die RA 132 die zweite Zertifizierungsanfrage durch Validieren der Signatur des vertrauenswürdigen mobilen Geräts 104 aus der zweiten Zertifizierungsanfrage unter Verwendung eines zweiten öffentlichen Schlüssels, das heißt des öffentlichen Schlüssels KPUB_108 des öffentlichen/privaten Schlüsselpaars, das mit dem RA-Gerätezertifikat 108 des vertrauenswürdigen Geräts 104 assoziiert ist, und durch Validieren unter Verwendung des öffentlichen Schlüssels KPUB_114 der Signatur des neuen mobilen Geräts 114 aus dem wenigstens einen Teil aus der ersten Zertifizierungsanfrage. (Es ist zu bemerken, dass das RA-Gerätezertifikat 108 des vertrauenswürdigen Geräts 104 auch in der CR 306 gespeichert ist, die durch sowohl die RA 132 als auch die CA 136 zugänglich ist.) Weiterhin verifiziert (424) die RA 132 durch Bezugnahme auf die Biometrikdatenbank 150 und basierend auf den ersten und zweiten biometrischen Daten, die in der zweiten Zertifizierungsanfrage enthalten sind, die Identitäten der Nutzer 102 und 112. Zum Beispiel kann die RA 132 bei der Biometrikdatenbank 150 nach einem Teilnehmeridentifizierer anfragen, der mit sowohl den ersten als auch den zweiten biometrischen Daten assoziiert ist, wobei die Anfrage die ersten und die zweiten biometrischen Daten enthält. In Reaktion auf den Empfang der ersten und der zweiten biometrischen Daten gibt die Biometrikdatenbank 150 Teilnehmeridentifizierer, die mit beiden Nutzern 102 und 112 assoziiert sind zurück, und sie kann weiterhin Identifizierer ihrer jeweiligen mobilen Geräte zurückgeben, das heißt der mobilen Geräte 104 und 114.
  • In Reaktion auf das Validieren der Signaturen des vertrauenswürdigen mobilen Geräts 104 und des neuen mobilen Geräts 114 sowie das Verifizieren der Identitäten der Nutzer 102 und 112 leitet die RA 132 an die CA 136 den wenigstens einen Teil der ersten Zertifizierungsanfrage weiter, der in der zweiten Zertifizierungsanfrage enthalten ist. In Reaktion auf den Empfang des wenigstens einen Teils der ersten Zertifizierungsanfrage gibt die CA 136 ein neues digitales Zertifikat für das neue mobile Gerät 114 heraus (428), wobei das neue digitale Zertifikat, wie es zum Beispiel in der Technik bekannt ist, einen Identifizierer des neuen mobilen Geräts 114, eine Seriennummer des Zertifikats, ein oder mehrere Ablaufdaten und den öffentlichen Schlüssel (KPUB_114) des mobile Geräts 114 enthält. Weiterhin enthält das neue digitale Zertifikat eine digitale Signatur, die durch die CA 136 erzeugt wurde, das heißt die CA 136 signiert einen Zertifikatdatenteil des neuen digitalen Zertifikats mit dem privaten Schlüssel 137 (KPVT_137) der CA 136, wobei der private Schlüssel dem öffentlichen Schlüssel KPUB_138 entspricht, der in dem CA-Zertifikat 138 enthalten ist.
  • Entweder die CA 136 oder die RA 132 erzeugt dann eine erste Zertifikatantwort, wie eine CMP-Zertifizierungsantwort, die das neue digitale Zertifikat für das neue mobile Gerät 114 enthält. Zum Beispiel kann die CA 136 die erste Zertifizierungsantwort erzeugen, oder die CA 136 kann ein neues digitales Zertifikat für das neue mobile Gerät 114 an die RA 132 überführen (430), und die RA kann dann die erste Zertifizierungsantwort erzeugen. Die RA 132 signiert die erste Zertifizierungsantwort unter Nutzung eines dritten privaten Schlüssels, das heißt des privaten Schlüssels 133 (KPVT_133) der RA 132, und sie enthält ihr RA-Zertifikat 134 in der Antwort, wobei das RA-Zertifikat den öffentlichen Schlüssel KPUB_134 enthält, der dem privaten Schlüssel 133 entspricht. Die RA 132 überführt (432, 434) die signierte erste Zertifizierungsantwort an das vertrauenswürdige mobile Gerät 104 über das Gateway 126, das RAN 122 und die sichere Verbindung zwischen dem RAN und dem vertrauenswürdigen mobilen Gerät. Zum Beispiel können beispielhafte Anweisungen zum Zusammensetzen der signierten ersten Zertifizierungsantwort den in Tabelle 3 gelisteten Code enthalten:
    Figure DE112016002319T5_0006
    Figure DE112016002319T5_0007
    TABELLE 3
  • In Reaktion auf das Empfangen der signierten ersten Zertifizierungsantwort validiert (436) das vertrauenswürdige mobile Gerät 104 die Signatur der RA 132 aus der ersten Zertifizierungsantwort unter Verwendung eines dritten öffentlichen Schlüssels, das heißt KPUB_134, entsprechend dem dritten privaten Schlüssel (KPVT_133), der verwendet wurde, um die erste Zertifizierungsantwort zu signieren. Das vertrauenswürdige mobile Gerät 104 setzt dann eine zweite Zertifizierungsantwort zusammen, wie eine CMP-Zertifizierungsantwort, die das neue digitale Zertifikat für das neue mobile Gerät 114 enthält, und überführt (438) die zweite Zertifizierungsantwort an das neue mobile Gerät 114 über ihre jeweiligen kurzreichweitigen drahtlosen Schnittstellen 212 und die kurzreichweitige drahtlose Verbindung 110. Zum Beispiel können beispielhafte Anweisungen zum Zusammensetzen der signierten zweiten Zertifizierungsantwort den in Tabelle 4 gelisteten Code enthalten:
    Figure DE112016002319T5_0008
    TABELLE 4
  • In Reaktion auf das Validieren der ersten Zertifizierungsantwort streift das vertrauenswürdige mobile Gerät 104 die Signatur der RA 132 (das heißt KPVT_133) von der ersten Zertifizierungsantwort ab und setzt eine neue Zertifizierungsantwort zusammen, in die das vertrauenswürdige mobile Gerät das neue digitale Zertifikat aufnimmt, und signiert die neue Zertifizierungsantwort mit dem privaten RA-Geräteschlüssel 107 des mobilen Geräts 104, das heißt KPVT_107.
  • In Reaktion auf den Empfang der signierten zweiten Zertifizierungsantwort validiert (440) das neue mobile Gerät 114 die signierte zweite Zertifizierungsantwort unter Verwendung des öffentlichen Schlüssels, der dem privaten Schlüssel entspricht, der genutzt wurde, um die zweite Zertifizierungsantwort zu signieren, das heißt unter Nutzung des öffentlichen Schlüssel KPUB_108 des RA-Gerätezertifikats 108 der KPVT_107 entspricht. Weiterhin authentifiziert (442) das neue mobile Gerät 114 das neue digitale Zertifikat unter Nutzung des öffentlichen Schlüssels des CA-Zertifikats 138, das heißt KPUB_138, der dem privaten Schlüssel KPVT_137 der CA 136 entspricht, der verwendet wurde, um das neue digitale Zertifikat zu signieren. In Reaktion auf ein erfolgreiches Validieren der signierten zweiten Zertifizierungsantwort und das Authentifizieren des neuen digitalen Zertifikats speichert (444) das neue mobile Gerät 114 das neue digitale Zertifikat in seinem Verschlüsselungs- und Schlüsselmanagementmodul 206 und/oder dem HSM 208.
  • An diesem Punkt kann die Zertifikatregistrierung des neuen mobilen Geräts 114 als abgeschlossen betrachtet werden, und das Nachrichtenflussdiagramm 400 kann enden. Jedoch können in einer anderen Ausführungsform der vorliegenden Erfindung das neue mobile Gerät 114 und das vertrauenswürdige mobile Gerät 104 weiterhin ihre Verbindung über die kurzreichweitige Datenverbindung 110 beenden (454), und das neue mobile Gerät kann eine sichere Verbindung, oder einen Tunnel, mit der Infrastruktur 120 unter Verwendung seines neuen digitalen Zertifikats aufbauen, ohne eine Verbindung durch das vertrauenswürdige mobile Gerät 104.
  • In noch anderen Ausführungsformen der vorliegenden Erfindung kann weiterhin in Reaktion auf das Validieren der signierten zweiten Zertifikatantwort und das Authentifizieren des neuen digitalen Zertifikats das neue mobile Gerät 114 auch den Empfang und die Authentifizierung des neuen digitalen Zertifikats durch Überführen (446, 448, 450, 452) einer Zertifizierungsbestätigung bestätigen, wie einer CMP-Zertifikatbestätigung an die PKI-Infrastruktur 130 und eines oder mehrerer PKI-Geräte 132 und 136 über die kurzreichweitige drahtlose Verbindung 110, das vertrauenswürdige mobile Gerät 114 und die sichere Verbindung zwischen dem vertrauenswürdigen mobilen Gerät und dem RAN 122, RAN 122 und Gateway 126.
  • Somit, durch Bereitstellen einer Registrierung für das sich neu registrierende mobile Gerät 114 unter Nutzung einer sicheren Verbindung mit einem bereits registrierten vertrauenswürdigen mobilen Gerät 104 und durch Huckepack auf der sicheren Verbindung, die durch das vertrauenswürdige mobile Gerät mit der PKI-Infrastruktur 130 aufgebaut wurde, stellt das Kommunikationssystem 100 ein verlässliches Mittel zum kryptographischen Schützen und Binden einer Initialzertifizierungsanfrage zur Verfügung, bevor die Initialzertifizierungsanfrage durch das Kommunikationssystem gesendet wird. Indem weiterhin für jedes der mobilen Geräte 104 und 114 geleistet wird, dass biometrische Daten zur Verfügung gestellt werden, die mit einem Nutzer des anderen mobilen Geräts assoziiert sind, stellt das Kommunikationssystem 100 eine Bestätigung der Identitäten des Nutzers 102, 112 von jedem mobilen Gerät 104, 114 zur Verfügung, und es stellt besser sicher, dass ein Hacker nicht in der Lage sein wird, das vertrauenswürdige mobile Gerät 104 zu nutzen, um auf illegale Weise ein digitales Zertifikat zu erhalten.
  • In der vorangehenden Spezifikation sind spezifische Ausführungsformen beschrieben worden. Dem Fachmann auf dem Gebiet ist jedoch klar, dass verschiedene Modifizierungen und Änderungen vorgenommen werden können, ohne von dem Geist der Erfindung abzuweichen, wie in den Ansprüchen unten dargelegt. Dementsprechend sind die Spezifikation und die Abbildungen in einem eher illustrativen als einem restriktiven Sinne zu verstehen und alle solche Modifikationen sollen in dem Geist der vorliegenden Lehren enthalten sein.
  • Die Nutzen, Vorteile, Problemlösungen und jedes denkbare Element, das dazu führt, dass irgendein Nutzen, Vorteil oder irgendeine Lösung eintritt oder ausgeprägter wird, sollen nicht als kritische, erforderliche oder essentielle Merkmale oder Elemente eines beliebigen Anspruchs oder aller Ansprüche ausgelegt werden. Die Erfindung wird ausschließlich durch die angehängten Ansprüche definiert, einschließlich jeder beliebigen Änderung, die während der Rechtshängigkeit der vorliegenden Anmeldung vorgenommen wird, und aller Äquivalente solcher Ansprüche, wie veröffentlicht.
  • Darüber hinaus sollen in diesem Dokument relationale Ausdrücke, wie zum Beispiel, erste und zweite, oben und unten, und dergleichen ausschließlich verwendet werden, um eine Entität oder Aktion von einer anderen Entität oder Aktion zu unterscheiden, ohne notwendigerweise irgend eine tatsächliche solche Beziehung oder Reihenfolge zwischen solchen Entitäten oder Aktionen zu erfordern oder zu implizieren. Die Ausdrücke "umfasst", "umfassend", "hat", "habend", "beinhalten", "beinhaltend", "enthalten", "enthaltend" oder eine beliebige Variation davon sollen eine nicht-exklusive Einbeziehung abdecken, so dass ein Prozess, Verfahren, Artikel oder eine Vorrichtung, die eine Liste von Elementen umfassen, haben, beinhalten, enthalten, nicht nur solche Elemente beinhalten, sondern andere Elemente beinhalten können, die nicht ausdrücklich aufgeführt werden, oder solchen Prozessen, Verfahren, Artikeln oder Vorrichtungen inhärent sind. Ein Element, das fortfährt mit "umfasst... ein", "hat... ein", "beinhaltet... ein", "enthält... ein", schließt nicht, ohne weitere Auflagen, die Existenz zusätzlicher identischer Elemente in dem Prozess, Verfahren, Artikel oder der Vorrichtung aus, die das Element umfassen, haben, beinhalten, enthalten. Die Ausdrücke "eine" und "ein" werden als eins oder mehr definiert, sofern hierin nichts anderes explizit festgelegt ist. Die Ausdrücke "im Wesentlichen", "essentiell", "ungefähr", "etwa" oder eine beliebige andere Version davon wurden als "nahe bei sein" definiert, wie dem Fachmann auf dem Gebiet klar ist, und in einer nicht begrenzenden Ausführungsform wird der Ausdruck definiert, innerhalb von 10 %, in einer anderen Ausführungsform innerhalb von 5 % in einer anderen Ausführungsform innerhalb von 1 % und in einer anderen Ausführungsform innerhalb von 0,5 % zu sein. Der Ausdruck "gekoppelt", wie er hierin verwendet wird, wird als "verbunden" definiert, obwohl nicht notwendigerweise direkt und nicht notwendigerweise mechanisch. Eine Vorrichtung oder Struktur, die in einer bestimmten Art und Weise "konfiguriert" ist, ist mindestens auf diese Art und Weise konfiguriert, kann aber auch auf mindestens eine Art und Weise konfiguriert sein, die nicht aufgeführt ist.
  • Es ist gewünscht, dass einige Ausführungsformen einen oder mehrere generische oder spezialisierte Prozessoren (oder "Verarbeitungsvorrichtungen") umfassen, wie zum Beispiel, Mikroprozessoren, digitale Signalprozessoren, kundenspezifische Prozessoren und freiprogrammierbare Feld-Gate-Arrays (FPGAs) und eindeutige gespeicherte Programmanweisungen (die sowohl Software als auch Firmware umfassen), die den einen oder mehrere Prozessoren steuern, um in Verbindung mit bestimmten Nicht-Prozessor-Schaltungen, einige, die meisten oder alle der Funktionen des Verfahrens und/oder der Vorrichtung, die hierin beschrieben werden, zu implementieren. Alternativ können einige oder alle Funktionen durch eine Zustandsmaschine implementiert werden, die über keine gespeicherten Programmanweisungen verfügt, oder in einer oder mehreren anwendungsspezifischen integrierten Schaltungen (ASICs), in denen jede Funktion oder einige Kombinationen von bestimmten der Funktionen, als kundenspezifische Logik implementiert sind.
  • Selbstverständlich kann eine Kombination der zwei Ansätze verwendet werden. Sowohl die Zustandsmaschine als auch der ASIC werden hier als ein "Verarbeitungsgerät" für Zwecke der obigen Diskussion und der Formulierung der Ansprüche verstanden.
  • Darüber hinaus kann eine Ausführungsform als ein computerlesbares Speichermedium implementiert sein, das über einen darauf gespeicherten computerlesbaren Code zum Programmieren eines Computers (der zum Beispiel einen Prozessor umfasst) verfügt, um ein hierin beschriebenes und beanspruchtes Verfahren durchzuführen. Beispiele solcher computerlesbaren Speichermedien umfassen, ohne darauf beschränkt zu sein: eine Festplatte, eine CD-ROM, eine optische Speichervorrichtung, eine magnetische Speichervorrichtung, einen ROM (Nur-Lese-Speicher), einen PROM (Programmierbarer Lesespeicher), einen EPROM (Löschbarer Programmierbarer Lesespeicher), einen EEPROM (Elektrisch Löschbarer Programmierbarer Lesespeicher) und einen Flash-Speicher. Weiterhin ist zu erwarten, dass ein Fachmann auf dem Gebiet, ungeachtet möglicher erheblicher Anstrengungen und einer großen Designauswahl, die zum Beispiel durch eine zur Verfügung stehende Zeit, der aktuellen Technologie und ökonomische Überlegungen begründet ist, geleitet durch die hierin offenbarten Konzepte und Prinzipien, ohne Weiteres in der Lage ist solche Softwareanweisungen und Programme und ICs mit minimalem Versuchsaufwand zu erzeugen.
  • Die Zusammenfassung der Offenbarung wird zur Verfügung gestellt, um dem Leser zu erlauben, die Natur der technischen Offenbarung schnell zu erkennen. Es wird mit dem Verständnis eingereicht, dass es nicht verwendet wird, um den Geist oder die Bedeutung der Ansprüche zu interpretieren oder zu begrenzen. Zusätzlich ist der vorangehenden ausführlichen Beschreibung zu entnehmen, dass verschiedene Merkmale in verschiedenen Ausführungsformen zusammengruppiert werden, um die Offenbarung zu straffen. Dieses Offenbarungsverfahren soll nicht als ein Reflektieren einer Intention interpretiert werden, dass die beanspruchten Ausführungsformen mehr Merkmale erfordern, als ausdrücklich in jedem Anspruch vorgetragen werden. Vielmehr liegt, wie aus den folgenden Ansprüchen hervorgeht, ein erfinderischer Gegenstand in weniger als allen Merkmalen einer einzelnen offenbarten Ausführungsform vor. Somit werden die folgenden Ansprüche hierdurch in die ausführliche Beschreibung integriert, wobei jeder Anspruch für sich alleine als ein getrennt beanspruchter Gegenstand steht.

Claims (20)

  1. Verfahren zum Bereitstellen einer Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem, wobei das Verfahren umfasst: Aufbauen einer ersten drahtlosen Verbindung mit einer Infrastruktur durch ein erstes mobiles Gerät; Aufbauen einer zweiten drahtlosen Verbindung mit einem zweiten mobilen Gerät durch das erste mobile Gerät; Empfangen einer ersten Zertifizierungsanfrage durch das erste mobile Gerät von dem zweiten mobilen Gerät und über die zweite drahtlose Verbindung, wobei die erste Zertifizierungsanfrage eine Anfrage nach einem digitalen Zertifikat für das zweite mobile Gerät und nach ersten biometrischen Daten umfasst, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind; Erhalten zweiter biometrischer Daten, wobei die zweiten biometrischen Daten mit einem Nutzer des zweiten mobilen Geräts assoziiert sind; Überführen einer zweiten Zertifizierungsanfrage an die Infrastruktur und über die erste drahtlose Verbindung, wobei die zweite Zertifizierungsanfrage die Anfrage nach dem digitalen Zertifikat für das zweite mobile Gerät, die ersten biometrischen Daten und die zweiten biometrischen Daten umfasst; in Reaktion auf das Überführen der zweiten Zertifizierungsanfrage an die Infrastruktur, Empfangen des digitalen Zertifikats für das zweite mobile Gerät von der Infrastruktur und über die erste drahtlose Verbindung; und Überführen des digitalen Zertifikats an das zweite mobile Gerät über die zweite drahtlose Verbindung.
  2. Verfahren nach Anspruch 1, weiterhin umfassend: Überführen eines digitalen Zertifikats, das mit dem ersten mobilen Gerät assoziiert ist, durch das erste mobile Gerät zu dem zweiten mobilen Gerät; in Reaktion auf das Überführen des digitalen Zertifikats, das mit dem ersten mobilen Gerät assoziiert ist, zu dem zweiten mobilen Gerät, Empfangen eines öffentlichen Schlüssels ("public key") von dem zweiten mobilen Gerät; wobei das Empfangen der ersten Zertifizierungsanfrage ein Empfangen der ersten Zertifizierungsanfrage signiert durch einen privaten Schlüssel ("private key") umfasst, der dem öffentlichen Schlüssel entspricht; und wobei das Verfahren weiterhin ein Validieren der ersten Zertifizierungsanfrage basierend auf dem öffentlichen Schlüssel umfasst.
  3. Verfahren nach Anspruch 2, wobei das digitale Zertifikat, das mit dem ersten mobilen Gerät assoziiert ist, ein Registrierungsautoritätszertifikat des ersten mobilen Geräts ist.
  4. Verfahren nach Anspruch 2, wobei der private Schlüssel einen ersten privaten Schlüssel umfasst und wobei das Überführen einer zweiten Zertifizierungsanfrage an die Infrastruktur umfasst: Signieren der zweiten Zertifizierungsanfrage unter Verwendung eines zweiten privaten Schlüssels zum Erzeugen einer signierten zweiten Zertifizierungsanfrage; und Überführen der signierten zweiten Zertifizierungsanfrage an die Infrastruktur.
  5. Verfahren nach Anspruch 4, wobei der zweite private Schlüssel ein privater Schlüssel ist, der mit einem Registrierungsautoritätszertifikat des ersten mobilen Geräts assoziiert ist.
  6. Verfahren nach Anspruch 5, das weiterhin ein Validieren der signierten zweiten Zertifizierungsanfrage basierend auf einem ersten öffentlichen Schlüssel umfasst, der mit dem ersten privaten Schlüssel und einem zweiten öffentlichen Schlüssel, der mit dem zweiten privaten Schlüssel assoziiert ist, assoziiert ist.
  7. Verfahren nach Anspruch 6, weiterhin umfassend: Herausgeben des digitalen Zertifikats für das zweite mobile Gerät in Reaktion auf das Validieren der signierten zweiten Zertifizierungsanfrage.
  8. Verfahren nach Anspruch 4, wobei das Empfangen des digitalen Zertifikats für das zweite mobile Gerät von der Infrastruktur und über die erste drahtlose Verbindung umfasst: Empfangen einer Zertifizierungsantwort von der Infrastruktur und über die erste drahtlose Verbindung, die ein digitales Zertifikat für das zweite mobile Gerät umfasst, wobei die Zertifizierungsantwort durch einen dritten privaten Schlüssel signiert ist.
  9. Verfahren nach Anspruch 1, wobei das Überführen des digitalen Zertifikats umfasst: Überführen einer Zertifizierungsantwort an das zweite mobile Gerät über die zweite drahtlose Verbindung, welche das digitale Zertifikat umfasst, wobei die Zertifizierungsantwort durch einen privaten Schlüssel signiert ist, der mit dem ersten mobilen Gerät assoziiert ist.
  10. Verfahren nach Anspruch 1, weiterhin umfassend: Verifizieren einer Identität des Nutzers des ersten mobilen Geräts und einer Identität des Nutzers des zweiten mobilen Geräts, basierend auf den ersten biometrischen Daten und den zweiten biometrischen Daten; und Herausgeben des digitalen Zertifikats in Reaktion auf das Verifizieren der Identität des Nutzers des ersten mobilen Geräts und der Identität des Nutzers des zweiten mobilen Geräts.
  11. Mobiles Gerät, das in der Lage ist, eine Initialzertifizierungsregistrierung in einem drahtlosen Kommunikationssystem zu ermöglichen, wobei das mobile Gerät umfasst: einen Prozessor; wenigstens ein Speichergerät, das konfiguriert ist, um Instruktionen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor zu folgendem veranlassen: Aufbauen einer ersten drahtlosen Verbindung; Aufbauen einer zweiten drahtlosen Verbindung mit einem anderen mobilen Gerät; Empfangen einer ersten Zertifizierungsanfrage von dem anderen mobilen Gerät und über die zweite drahtlose Verbindung, wobei die erste Zertifizierungsanfrage eine Anfrage nach einem digitalen Zertifikat für das andere mobile Gerät und nach ersten biometrischen Daten umfasst, die mit einem Nutzer des mobilen Geräts assoziiert sind; Erhalten zweiter biometrischer Daten, wobei die zweiten biometrischen Daten mit einem Nutzer des anderen mobilen Geräts assoziiert sind; Überführen einer zweiten Zertifizierungsanfrage an die Infrastruktur und über die erste drahtlose Verbindung, wobei die zweite Zertifizierungsanfrage die Anfrage nach dem digitalen Zertifikat für das andere mobile Gerät, die ersten biometrischen Daten und die zweiten biometrischen Daten umfasst; in Reaktion auf das Überführen der zweiten Zertifizierungsanfrage an die Infrastruktur, Empfangen des digitalen Zertifikats für das andere mobile Gerät von der Infrastruktur und über die erste drahtlose Verbindung; und Überführen des digitalen Zertifikats an das andere mobile Gerät über die zweite drahtlose Verbindung.
  12. Mobiles Gerät nach Anspruch 11, wobei das wenigstens eine Speichergerät konfiguriert ist, um Instruktionen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor zu folgendem veranlassen: Überführen eines digitalen Zertifikats, das mit dem mobilen Gerät assoziiert ist, zu dem anderen mobilen Gerät; in Reaktion auf das Überführen des digitalen Zertifikats, das mit dem mobilen Gerät assoziiert ist, zu dem anderen mobilen Gerät, Empfangen eines öffentlichen Schlüssels ("public key") von dem anderen mobilen Gerät; wobei das Empfangen der ersten Zertifizierungsanfrage ein Empfangen der ersten Zertifizierungsanfrage signiert durch einen privaten Schlüssel ("private key") umfasst, der dem öffentlichen Schlüssel entspricht; und wobei das wenigstens eine Speichergerät konfiguriert ist, um Instruktionen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor veranlassen, die erste Zertifizierungsanfrage basierend auf dem öffentlichen Schlüssel zu validieren.
  13. Mobiles Gerät nach Anspruch 12, wobei das wenigstens eine Speichergerät konfiguriert ist, um ein Registrierungsautoritätszertifikat des mobilen Gerätes zu führen, und wobei das digitale Zertifikat, das mit dem mobilen Gerät assoziiert ist, das Registrierungsautoritätszertifikat ist.
  14. Mobiles Gerät nach Anspruch 12, wobei der private Schlüssel einen ersten privaten Schlüssel umfasst und wobei das wenigstens eine Speichergerät konfiguriert ist, eine zweiten Zertifizierungsanfrage an die Infrastruktur zu überführen, durch: Signieren der ersten Zertifizierungsanfrage unter Verwendung eines zweiten privaten Schlüssels, um eine signierte zweite Zertifizierungsanfrage zu erzeugen; und Überführen der signierten zweiten Zertifizierungsanfrage an die Infrastruktur.
  15. Mobiles Gerät nach Anspruch 14, wobei der zweite private Schlüssel ein privater Schlüssel ist, der mit einem Registrierungsautoritätszertifikat des mobilen Geräts assoziiert ist.
  16. Mobiles Gerät nach Anspruch 14, wobei das wenigstens eine Speichergerät konfiguriert ist, um von der Infrastruktur und über die erste drahtlose Verbindung das digitale Zertifikat für das andere mobile Gerät zu empfangen, durch: Empfangen einer Zertifizierungsantwort von der Infrastruktur und über die erste drahtlose Verbindung, die das digitale Zertifikat für das andere mobile Gerät umfasst, wobei die Zertifizierungsantwort durch einen dritten privaten Schlüssel signiert ist.
  17. Mobiles Gerät nach Anspruch 11, wobei das wenigstens eine Speichergerät konfiguriert ist, um das digitale Zertifikat zu überführen, durch: Überführen einer Zertifizierungsantwort zu dem anderen mobilen Gerät über die zweite drahtlose Verbindung, die das digitale Zertifikat für das andere mobile Gerät umfasst, wobei die Zertifizierungsantwort durch einen privaten Schlüssel signiert ist, der mit einem mobilen Gerät assoziiert ist.
  18. PKI-Gerät ("public key infrastructure", Öffentlichkeitsschlüsselinfrastruktur), umfassend: einen Prozessor; wenigstens ein Speichergerät, das konfiguriert ist, um Instruktionen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor veranlassen zum: Empfangen einer Zertifizierungsanfrage von einem ersten mobilen Gerät, die eine Anfrage nach einem digitalen Zertifikat für ein zweites mobiles Gerät, nach ersten biometrischen Daten, die mit einem Nutzer des ersten mobilen Geräts assoziiert sind, und nach zweiten biometrischen Daten, die mit einem Nutzer des zweiten mobilen Geräts assoziiert sind, umfasst; Verifizieren einer Identität des Nutzers des ersten mobilen Geräts und einer Identität des Nutzers des zweiten mobilen Geräts, basierend auf den ersten biometrischen Daten und den zweiten biometrischen Daten; und Herausgeben des digitalen Zertifikats in Reaktion auf das Verifizieren der Identität des Nutzers des ersten mobilen Geräts und der Identität des Nutzers des zweiten mobilen Geräts.
  19. PKI-Gerät nach Anspruch 18, wobei die Zertifizierungsanfrage durch einen ersten privaten Schlüssel signiert ist, der mit dem zweiten mobilen Gerät assoziiert ist, und einen zweiten privaten Schlüssel, der mit dem ersten mobilen Gerät assoziiert ist, und wobei das wenigstens eine Speichergerät konfiguriert ist, um Instruktionen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor zu folgendem veranlassen: Validieren der Zertifizierungsanfrage basierend auf einem ersten öffentlichen Schlüssel, der mit dem ersten privaten Schlüssel assoziiert ist, und einem zweiten öffentlichen Schlüssel, der mit dem zweiten privaten Schlüssel assoziiert ist; und wobei das wenigstens einen Speichergerät konfiguriert ist, um Anweisungen zu speichern, die, wenn sie durch den Prozessor ausgeführt werden, den Prozessor veranlassen, das digitale Zertifikat herauszugeben, in Reaktion auf das Verifizieren der Identität des Nutzers des ersten mobilen Geräts und der Identität des Nutzers des zweiten mobilen Geräts und Validieren der Zertifizierungsanfrage.
  20. PKI-Gerät, umfassend: einen Prozessor; wenigstens ein Speichergerät, das konfiguriert ist zum Führen von: einer Zertifikatrückrufliste ("Certificate Revocation List" (CRL)); und einer Zertifikatauthorisierungsliste ("Certificate Authorization List" (CAL)), wobei die CAL eine Liste digitaler Zertifikatseriennummern oder Prüfwerte ("hashes") digitaler Zertifikatseriennummern umfasst, die mit mobilen Geräten assoziiert sind, die autorisiert sind, an einer gegebenen Ereignisreaktion teilzunehmen.
DE112016002319.7T 2015-05-22 2016-05-16 Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem Pending DE112016002319T5 (de)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14/719,727 US9882726B2 (en) 2015-05-22 2015-05-22 Method and apparatus for initial certificate enrollment in a wireless communication system
US14/719,727 2015-05-22
PCT/US2016/032664 WO2016191138A1 (en) 2015-05-22 2016-05-16 Method and apparatus for initial certificate enrollment in a wireless communication system

Publications (1)

Publication Number Publication Date
DE112016002319T5 true DE112016002319T5 (de) 2018-03-22

Family

ID=56369168

Family Applications (1)

Application Number Title Priority Date Filing Date
DE112016002319.7T Pending DE112016002319T5 (de) 2015-05-22 2016-05-16 Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem

Country Status (6)

Country Link
US (1) US9882726B2 (de)
AU (1) AU2016266913B2 (de)
CA (1) CA2986223C (de)
DE (1) DE112016002319T5 (de)
GB (1) GB2559229C (de)
WO (1) WO2016191138A1 (de)

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9832019B2 (en) * 2009-11-17 2017-11-28 Unho Choi Authentication in ubiquitous environment
US9652212B2 (en) * 2014-09-24 2017-05-16 Oracle International Corporation Managing change events for devices in an enterprise system
US10530587B2 (en) * 2015-07-07 2020-01-07 Openvpn Technologies, Inc. Web scale authentication
JP6449131B2 (ja) * 2015-10-23 2019-01-09 Kddi株式会社 通信装置、通信方法、およびコンピュータプログラム
US10149166B2 (en) * 2016-01-14 2018-12-04 Blackberry Limited Verifying a certificate
JP6471112B2 (ja) 2016-02-29 2019-02-13 Kddi株式会社 通信システム、端末装置、通信方法、及びプログラム
DE102016205203A1 (de) * 2016-03-30 2017-10-05 Siemens Aktiengesellschaft Datenstruktur zur Verwendung als Positivliste in einem Gerät, Verfahren zur Aktualisierung einer Positivliste und Gerät
US10142323B2 (en) * 2016-04-11 2018-11-27 Huawei Technologies Co., Ltd. Activation of mobile devices in enterprise mobile management
US10219157B1 (en) * 2016-10-05 2019-02-26 Symantec Corporation Secure verified attribute exchange between parties in physical proximity
CN108696868B (zh) * 2017-03-01 2020-06-19 西安西电捷通无线网络通信股份有限公司 用于网络连接的凭证信息的处理方法和装置
US20190014095A1 (en) * 2017-07-06 2019-01-10 At&T Intellectual Property I, L.P. Facilitating provisioning of an out-of-band pseudonym over a secure communication channel
DE102018204367A1 (de) * 2018-03-22 2019-09-26 Siemens Schweiz Ag Verfahren und System zur Autorisierung der Kommunikation eines Netzwerkknotens
US20210256102A1 (en) 2018-04-25 2021-08-19 Ipcom Gmbh & Co. Kg Remote biometric identification
US11115224B1 (en) * 2018-06-05 2021-09-07 Amazon Technologies, Inc. Access control system
CN109120405B (zh) * 2018-10-29 2021-11-09 全球能源互联网研究院有限公司 一种终端安全接入方法、装置及系统
CN109687959B (zh) * 2018-12-29 2021-11-12 上海唯链信息科技有限公司 密钥安全管理系统和方法、介质和计算机程序
US20210321255A1 (en) * 2020-04-10 2021-10-14 Qualcomm Incorporated Method and apparatus for verifying mobile device communications
CN113727297A (zh) * 2020-05-11 2021-11-30 上汽通用汽车有限公司 一种车联安全接入方法和系统
US11778466B2 (en) * 2020-09-21 2023-10-03 Bank Of America Corporation System for secure resource allocation communication with a network
US20230171241A1 (en) * 2021-11-30 2023-06-01 Bmc Software Israel Ltd Security profile management for multi-cloud agent registration with multi-tenant, multi-cell service
WO2023204793A1 (en) * 2022-04-18 2023-10-26 Rakuten Mobile, Inc. System and method for auto-commissioning of network device

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100529550B1 (ko) 2001-10-18 2005-11-22 한국전자통신연구원 공개키 기반 구조 인증시스템에서 생체정보를 이용한인증서 권한 변경 방법
AU2003237094A1 (en) * 2002-04-12 2003-10-27 Karbon Systems, Llc System and method for secure wireless communications using pki
US8522019B2 (en) * 2007-02-23 2013-08-27 Qualcomm Incorporated Method and apparatus to create trust domains based on proximity
JP5329184B2 (ja) * 2008-11-12 2013-10-30 株式会社日立製作所 公開鍵証明書の検証方法及び検証サーバ
US8522035B2 (en) 2011-09-20 2013-08-27 Blackberry Limited Assisted certificate enrollment
US9338159B2 (en) * 2012-03-19 2016-05-10 Nokia Technologies Oy Method and apparatus for sharing wireless network subscription services

Also Published As

Publication number Publication date
GB2559229C (en) 2020-01-22
GB201718262D0 (en) 2017-12-20
CA2986223A1 (en) 2016-12-01
AU2016266913B2 (en) 2019-04-04
GB2559229B (en) 2019-12-18
WO2016191138A1 (en) 2016-12-01
US20160344559A1 (en) 2016-11-24
CA2986223C (en) 2019-12-31
AU2016266913A1 (en) 2017-12-07
US9882726B2 (en) 2018-01-30
GB2559229A (en) 2018-08-01

Similar Documents

Publication Publication Date Title
DE112016002319T5 (de) Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem
DE112017002032T5 (de) Verfahren und Vorrichtung zur Verwendung einer biometrischen Vorlage zum Steuern des Zugangs zu einer Benutzeranmeldeinformation für ein gemeinsam genutztes drahtloses Kommunikationsgerät
DE60029217T2 (de) Verfahren und vorrichtung zum initialisieren von sicheren verbindungen zwischen und nur zwischen zueinandergehörenden schnurlosen einrichtungen
DE60211360T2 (de) Verfahren zum authentisieren eines benutzers in einem endgerät, authentisierungssystem, endgerät und authorisierungseinrichtung
DE60308971T2 (de) Verfahren und Vorrichtung für sichere Datenkommunikationsverbindungen
DE102016226311A1 (de) Authentifizierung eines lokalen gerätes
DE112017000483T5 (de) System, gerät und verfahren für schlüsselbereitstellungsdelegation
DE102018214850A1 (de) Verwaltung einer eingebetteten universellen integrierten Schaltkarten (EUICC)-Bereitstellung mit mehreren Zertifikatsausstellern (CIS)
DE112017006518T5 (de) Ein verfahren mit eingebettetem zertifikat für eine starke authentifizierung und eine einfache verwendung für iot-drahtlossysteme
DE102004045147A1 (de) Einstellungsinformations-Verteilungsvorrichtung, Verfahren, Programm und Medium, Authentifizierungseinstellungs-Transfervorrichtung, Verfahren, Programm und Medium und Einstellungsinformations-Empfangsprogramm
DE112006000618T5 (de) System und Verfahren zur Verteilung von Schlüsseln in einem drahtlosen Netzwerk
DE112017002476T5 (de) System, vorrichtung und verfahren für massiv skalierbares dynamic-multipoint-virtual-private-network unter verwendung von gruppenverschlüsselungsschlüsseln
EP3078177B1 (de) Verfahren zum zugriff auf einen datenspeicher eines cloud-computersystems mit hilfe eines modifizierten domain name systems (dns)
DE112005002651T5 (de) Verfahren und Vorrichtung zur Authentifikation von mobilen Vorrichtungen
DE102009041805A1 (de) SIP-Signalisierung ohne ständige Neu-Authentifizierung
EP2443853A1 (de) Verfahren zum einbuchen eines mobilfunkgeräts in ein mobilfunknetz
DE112018003798T5 (de) Erzeugen und analysieren von netzprofildaten
DE112008002860T5 (de) Verfahren und Vorrichtung für das Bereitstellen einer sicheren Verknüpfung mit einer Benutzeridentität in einem System für digitale Rechteverwaltung
EP3246839A1 (de) Zugangskontrolle mit einem mobilfunkgerät
DE112018000632T5 (de) Verfahren und systeme zum verbinden eines drahtlosen kommunikationsgeräts mit einem verlegbaren drahtlosen kommunikationsnetzwerk
DE102006060040B4 (de) Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung
DE102014204252A1 (de) Sicherheitssystem mit Zugriffskontrolle
DE102017210721A1 (de) Verfahren und Kommunikationssystem zum effizienten Aufbau einer sicheren Datenverbindung zwischen einem Client-Rechner und einem Server-Rechner
DE112013005031B4 (de) Zuordnung von Mobilstationen an geschützte Zugriffspunkte
DE60311328T2 (de) Verfahren und vorrichtung zur netzwerksicherheit

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R082 Change of representative

Representative=s name: SCHUMACHER & WILLSAU PATENTANWALTSGESELLSCHAFT, DE

R079 Amendment of ipc main class

Free format text: PREVIOUS MAIN CLASS: H04L0029060000

Ipc: G06F0021320000