DE19718827A1 - Verfahren und Vorrichtung zum Authentisieren von Mobilfunkteilnehmern - Google Patents

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Authentisieren von Mobilfunkteilnehmern eines digitalen Mobilkommunikationssystems gegenüber einer Authentisierungsinstanz sowie zur korrekten Ermittlung des für eine kodierte Sprach- und/oder Datenübertragung notwendigen Verschlüsselungsschlüssels.

Hintergrund der Erfindung ist die zur Zeit untersuchte und in der Entwicklung vorangetriebene Möglichkeit, ein Mobilfunknetz mit einem Schnurlostelefonsystem (HBS: Home Base System) zu koppeln. Zukünftige Mobilfunkendgeräte können dann nicht nur allein im Mobilfunknetz betrieben werden, sondern auch im Heimbereich mit einem Schnurlostelefonsystem als quasi "Super-Schnurlos Telefon". Wichtige Randbedingung dabei ist, daß die im Mobilfunknetz verwendeten Algorithmen zur Authentikation und Sprach-/Datenverschlüsselung auch im Heimbereich - bei dem Schnurlostelefonsystem - angewandt werden können.

In GSM-Mobilkommunikationssystemen werden zur Systemsicherung mehrere Kryptoalgorithmen (A3, A5 und A8) verwendet, durch welche die Authentisierung der Teilnehmer gegenüber dem Netz und die Verschlüsselung der Datenübertragung sichergestellt wird. Dazu wird bei jedem Verbindungsaufbau zwischen dem Netz und einem Teilnehmer ausgehend vom Authentikationszentrum eine Zufallszahl (RAND) über die Funkschnittstelle an die persönliche Komponente (SIM-Karte) des Teilnehmers übertragen, die sowohl in der SIM als auch im Authentikationszentrum unter Anwendung der Kryptoalgorithmen mit einem dort identisch vorhandenen Ki-Schlüssel zu einem Wert SRES verschlüsselt wird. Der in der SIM ermittelte SRES Wert wird an das Authentikationszentrum übertragen und mit dem dort ermittelten SRES Wert verglichen. Nur bei Übereinstimmung der unabhängig voneinander ermittelten Werte erfolgt eine positive Authentikation des Teilnehmers.

Will man nun diese Authentikationsprozedur auf ein Schurlostelefonsystem anwenden, so würde das bedeuten, daß in der Feststation des Schnurlostelefonsystems die notwendigen Kryptoalgorithmen implementiert als auch der geheime Ki- Schlüssel abgelegt werden müßte. Dies wäre allein aus sicherheitstechnischen Aspekten für den Mobilfunknetzbetreiber nicht tragbar und zudem mit einem sehr großen technischen und administrativen Aufwand verbunden.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung zum Authentisieren von Mobilfunkteilnehmern gegenüber einer Authentisierungsinstanz sowie zur korrekten Ermittlung des für eine kodierte Sprach- und/oder Datenübertragung notwendigen Verschlüsselungsschlüssels anzugeben, welches einfach und kostengünstig zu Realisieren ist und gute Sicherheit bietet.

Zur Lösung der gestellten Aufgabe ist ein Verfahren mit den Merkmalen des Patentanspruchs 1 und eine Vorrichtung mit den Merkmalen des Patentanspruchs xx vorgesehen.

Wesentlicher Vorteil der Erfindung ist, daß die Vorrichtung zur Ermittlung der Authentikations- und Kodierungsparameter weder

• - eine Verbindung zum Authentikationszentrum des Mobilfunknetzes (z. B. zur MSC) benötigt, noch
• - eine spezielle Chipkarte enthalten muß, die unterer anderem den im Mobilfunknetz verwendeten Authentikationsalgorithmus (bei GSM: A3/A8) sowie geheime Daten (Ki) des zu authentisierenden Mobilfunkteilnehmers besitzt.

Mit dieser Erfindung kann sowohl auf die Bereitstellung des Authentikationsalgorithmus seitens der Authentisierungsinstanz eines Schnurlostelefonsystems als auch auf abgestimmte Schlüssel (Ki) im Schnurlostelefonsystem und in der SIM verzichtet werden.

Weiterer Vorteil ist, daß das Schnurlostelefonsystem, insbesondere die Feststation (HBS), nur geringen Modifikationen unterworfen werden muß, um die geforderten Funktionen einer Authentisierungsinstanz ausführen zu können.

Dies wird erreicht, indem dem Schnurlostelefonsystem die Fähigkeit hat, sowohl den Authentikationsalgorithmus der verwendeten Chipkarte (SIM: Subscriber Identity Module) ausführen zu können als auch zumindest einen, mit der SIM abgestimmten, geheimen Schlüssel besitzt. Erfüllt das Schnurlostelefonsystem diese beiden Randbedingungen ist es in der Lage, mit einer sich anmeldenden SIM eine Authentikationsprozedur nach dem Challenge/Response Verfahren durchzuführen, die identisch zur jener ist, die in digitalen Mobilfunknetzen, insbesondere GSM, angewandt wird.

Es wird von einem bekannten Schnurlostelefonsystem ausgegangen, welches bevorzugt nach dem digitalen DECT Standard arbeitet.

In einer ersten Ausführungsform ist die Feststation des Schnurlostelefonsystems mit einem Kartenlesegerät ausgestattet, mit welchem herkömmliche Chipkarten (SIM- Karten) gelesen bzw. beschrieben werden können. Weiterhin besitzt die Feststation einen Zufallsgenerator, welcher die im GSM System verwendeten 128-Bit Zufallszahlen erzeugen kann.

Ferner ist in der Feststation ein nichtflüchtiger Speicher vorgesehen, welcher bevorzugt eine Speicherkapazität von einigen Kilobyte aufweist.

Zur Authentikation schickt die Feststation des Schnurlostelefonsystems der SIM-Karte des Teilnehmers einen Zufallswert (RAND), der in bekannter Weise von der SIM-Karte mit einen Responsewert (SRES) beantwortet wird. Gleichzeitig ist durch diesen Vorgang ein Schlüssel (Kc) für eine anschließende Sprachverschlüsselung verhandelt worden, der ebenfalls anhand der Zufallszahl ermittelt wird. Idealerweise nutzt man im Schnurlostelefonsystem als Träger des Algorithmus und des Schlüssels die SIM-Karte des jeweiligen Mobilfunkteilnehmers, der das Schnurlostelefonsystem benutzen möchte.

In einem Initialisierungsvorgang der die SIM-Karte eines Teilnehmers und das Schnurlostelefonsystem miteinander bekannt macht und der auf jeden Fall stattfinden muß, führt der Teilnehmer seine SIM-Karte in das Lesegerät der Feststation des Schnurlostelefonsystems ein. Die SIM-Karte teilt der Feststation des Schnurlostelefonsystems nicht nur ihre Kennung (Kartennummer oder IMSI) mit, was zur Bekanntmachung eigentlich genügen würde, sondern die Feststation führt anschließend zusätzlich eine gewisse, genügend große Anzahl an internen Authentisierungsprozeduren durch. Dabei wird in der Feststation eine Zufallszahl (RAND) erzeugt und an die SIM-Karte übertragen. Auf der SIM-Karte wird nun die darauf implementierte GSM-Prozedur "RUN GSM ALGORITHM" ausgeführt, d. h. die SIM-Karte ermittelt in bekannter Weise aus der Zufallszahl einen verschlüsselten Wert SRES sowie einen Chiffrierungsschlüssel Kc, und übergibt diese Werte an die Feststation. Darauf speichert die Feststation die erhaltenen Ergebnisse zusammen mit der zugehörigen Zufallszahl in einem nichtflüchtigen Speicher ab. Der Vorgang der internen Authentifikation wird wie oben erwähnt mehrmals wiederholt. Die erhaltenen Werte bilden praktisch einen Vorrat, mit dem anschließend über die Funkschnittstelle "reguläre" Authentikationen mit der SIM- Karte durchgeführt werden können.

Eine interne Authentikation ist also der gleiche Vorgang, den jedes Mobilfunkendgerät mit seiner SIM durchführt, wenn über die Funkschnittstelle des GSM-Netzes ein "Authentication Request" übermittelt wird, im einzelnen:

• - Übergabe einer Zufallszahl (RAND) an die SIM
• - Ausführung des GSM-Kommandos "RUN GSM ALGORTHM"
• - Abholen der Antwortdaten der SIM, welche Daten dem SRES und dem Kc entsprechen.

Mit jeder Ausführung dieser drei Schritte erzeugt sich die Feststation ein sogenanntes Authentikationstriplet (RAND, SRES, Kc), welches später eine Authentikation mit der SIM- Karte ermöglicht.

Anhand der in der Feststation des Schurlostelefonsystems gespeicherten Triplets kann nun eine reguläre Authentikation zwischen Feststation und eine Mobilstation durchgeführt werden, welche, angelehnt an die GMS- Authentifikationsprozedur, folgendermaßen abläuft.

Bei jedem Verbindungsaufbau schickt die Feststation über die Funkschnittstelle der SIM-Karte einen Zufallswert (RAND) aus der Menge der zuvor gespeicherten Triplets. Mit diesem Zufallswert errechnet die SIM-Karte einen entsprechenden Antwortwert SRES und einen Schlüssel Kc. Der SRES Wert wird an die Feststation zurückgegeben und mit dem abgespeicherten SRES Wert des zur Zufallszahl gehörigen Triplets verglichen. Stimmen die SRES Werte überein, so ist die Authentikation erfolgreich und es ist sichergestellt, daß der in der SIM- Karte errechnete Chiffrierungsschlüssel Kc mit dem zugehörigen, in der Feststation abgespeicherten Schlüssel Kc übereinstimmt.

In einer weiteren Ausführungsform ist vorgesehen, die Feststation des Schnurlostelefonsystems nicht mit einem Kartenlesegerät auszustatten, sondern die interne Initialisierung über eine drahtgebundene Schnittstelle (z. B. X.25, RS232, o. ä.) oder die vorhandene Funkschnittstelle durchzuführen. Insbesondere bei Übertragung der Initialisierungsdaten über die Funkschnittstelle ist auf Abhörsicherheit zu achten, d. h. die übertragenen Initialisierungsdaten sollten verschlüsselt übertragen werden.

Dies könnte in einfacher Weise dadurch geschehen, daß die Initialisierung, d. h. die Erzeugung weiterer Triplets, während eine regulären Verbindung zwischen Mobilfunkendgerät und Feststation erfolgt, da hierbei die Daten bereits verschlüsselt übertragen werden. Die Initialisierung muß lediglich durch eine entsprechend am Mobilfunkendgerät vorgesehene Taste oder einen entsprechenden Befehl gestartet werden.

Ein wichtiger Punkt ist, daß die Erzeugung der Triplets in einer sicheren, nicht von außen abhörbaren Umgebung abläuft (nämlich direkt über eine kontaktbehaftete SIM/Endgeräte Schnittstelle oder eine verschlüsselte Funkschnittstelle) Weiterhin ist wichtig, daß die Aufbewahrung der Triplets in der Feststation des Schnurlostelefonsystems in einer geschützten, nicht auslesbaren Systemumgebung stattfindet. Nicht zu vergessen ist der Punkt, daß die Güte der Zufahlszahlenerzeugung in der Feststation ein nicht zu vernachlässigendes Sicherheitsrisiko darstellt.

Es ist abhängig von der Zeit, die für die Initialisierung gewährt wird, sowie von der in der Feststation vorgesehenen Speicherkapazität, wie viele Triplets vorab erzeugt werden. Als typischen Wert für die Erzeugung von Triplets durch eine SIM-Karte kann eine Anzahl von 2-3 Triplets/Sekunde angenommen werden. Der Speicherbedarf für ein Triplet beträgt 28 Byte (RAND = 128 Bit, SRES = 32 Bit, Kc = 64 Bit) Beispielhaft sei angeführt, daß mit einer Initialisierungszeit von 1 Minute Triplets für die nächsten 120-180 Authentikationen erzeugt werden können, die eine Speichervolumen von 3-5 kByte erfordern.

Wenn der Vorrat an Triplets verbraucht ist, kann entschieden werden, ob eine neu Initialisierung sofort erforderlich ist, oder ob die HBS nochmals auf bereits verwendete Triplets zugreifen darf. Im letzten Fall sollte die HBS den Benutzer darauf aufmerksam machen, daß Triplets bereits wiederverwendet werden und eine erneute Initialisierung erforderlich ist.

Der Vorrat an Triplets in der HBS soll kartengebunden, daß heißt an die Kartennummer oder IMSI der SIM geknüpft sein. Damit erreicht man, daß auch mehrere SIMs gleichzeitig am der gleichen HBS arbeiten können. Jede der verwendeten SIM muß lediglich der gleichen, oben beschriebenen Initialisierungsprozedur unterworfen werden. Die entsprechenden Triplets werden anhand der auf den SIM-Karten abgelegten individuellen IMSI in einer der IMSI zugeordneten Datenbank abgespeichert und entsprechend ausgewählt.

Durch genügend große Speicherkapazität in der HBS läßt sich ein Tripletvorrat erzeugen, der groß genug ist, daß

• - eine Wiederverwendung der Triplets erst langfristig notwendig wird
• - selbst eine Wiederverwendung von Triplets, in zufälliger Reihenfolge, einen unvorhersehbaren Charakter, d. h. ein genügend großes Sicherheitsniveau, hat.

Die HBS kann zur Abwehr von Betrug und Mißbrauch einen Mechanismus haben, der bei wiederholt fehlerhaft ausgeführter Authentikation die gespeicherten Triplets verwirft und dem angemeldeten Teilnehmer das Recht zur Nutzung der HBS entzieht.

Weitere Einzelheiten und Merkmale der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels anhand der Zeichnungen. Es zeigt:

Fig. 1 Initialisierung der Feststation eines Schnurlostelefonsystems für eine SIM-Karte;

Fig. 2 Authentikation mit einer initialisierten SIM-Karte.

In Fig. 1 ist schematisch die Erzeugung und Speicherung der Authentikationstriplets in der Feststation 1 des Schnurlostelefonsystems dargestellt.

Die Feststation 1 verfügt über eine Vorrichtung 3 zum Lesen und Schreiben von Chipkarten 4, in welche zur Initialisierung eines Teilnehmerverhältnisses die SIM-Karte 4 des Teilnehmers eingeführt wird. Mittels eines Zufallsgenerators wird nun in bekannter Weise eine 128-Bit Zufallszahl (RAND) erzeugt, die an die SIM-Karte übermittelt wird.

Dort wird der darin abgelegte Authentikationsalgorithmus gestartet, d. h. die SIM-Karte ermittelt aus der Zufallszahl (RAND) eine codierte Zahl SRES und einen Chiffrierungsschlüssel Kc, welche beide an eine Auswerteeinrichtung 5 der Feststation 1 übergeben werden. Die übermittelten Werte werden zusammen mit der Zufallszahl in einer Datenbank 6 nichtflüchtig gespeichert. Diese interne Initialisierungsprozedur wird mehrmals wiederholt und die entsprechenden Datensätze 7 in Form von Authentikationstriplets (RAND, SRES, Kc) in der Datenbank 6 abgelegt.

In der Datenbank sind nun Initialisierungstriplets abgelegt, die in folgenden zur regulären Authentifikation zwischen Mobilfunkendgerät und Feststation verwendet werden können.

In Fig. 2 ist dargestellt, welche Funktionen bei der realen Authentifikation in der Feststation ablaufen.

Ein Mobilfunkendgerät 8 will sich bei der Feststation 1 einbuchen. Dabei wird das Mobilfunkgerät mit einer zuvor bei der Feststation 1 initialisierten SIM-Karte personalisiert. Zunächst wird über die Funkschnittstelle ein Verbindungsaufbau zwischen Mobilfunkendgerät 8 und Feststation 1 hergestellt.

Die auf der SIM-Karte enthaltene IMSI wird an die Feststation 1 übermittelt, welche prüft, ob ihr die IMSI bekannt ist bzw. ob die SIM-Karte bereits initialisiert wurde. Ist das nicht der Fall, wird der Zugang zur Feststation verweigert und die Verbindung abgebrochen.

Ist die SIM-Karte bekannt, greift die Feststation 1 auf die Datenbank 6 zu, holt sich das nächst folgende Authentikationstriplet 7 und sendet die im Triplet enthaltene Zufallszahl (RAND) an die SIM-Karte. Die SIM-Karte ermittelt aus der Zufallszahl eine SRES' Antwort und sendet diese zurück an die Feststation 1. Diese vergleicht den SRES' Wert mit dem SRES Wert, der im aktuell ausgewählten Triplet der Feststation enthalten ist. Nur wenn die beiden Werte SRES' und SRES übereinstimmen, erhält das Mobilfunkendgerät mit genau dieser SIM-Karte Zugang zur Feststation und kann über diese kommunizieren.

Stimmen die SRES Werte nicht überein, so verweigert die Feststation den Zugang.

Bezugszeichenliste

1

Feststation (HBS)

2

Zufallsgenerator

3

Kartenlese-/schreibvorrichtung

4

SIM-Karte

5

Auswerteeinrichtung

6

Datenbank

7

Datensatz, (Authentikations-)Triplet

8

Mobilfunkendgerät (MS)

Claims (12)

1. Verfahren zur Authentisierung eines Teilnehmers eines digitalen Mobilkommunikationssystems gegenüber einer Authentisierungsinstanz, gekennzeichnet durch folgende Schritte:

• - Einmalige Initialisierung des Teilnehmers bei der Authentisierungsinstanz durch:
  • a) Erzeugen einer Zufallszahl durch die Authentisierungsinstanz;
  • b) Übermitteln der Zufallszahl an eine teilnehmerspezifische Komponente des Mobilkommunikationsendgerätes des Teilnehmers;
  • c) Abholen der aus der Zufallszahl ermittelten Antwortdaten von der teilnehmerspezifischen Komponente;
  • d) Abspeichern der Zufallszahl mit den zugeordneten Antwortdaten in Form eines Authentikationstriplets in einem nichtflüchtigen Speicher der Authentisierungsinstanz
  • e) Mehrmaliges Wiederholen der Schnitte a)-d);
• - Reguläre Authentikation des Mobilfunkteilnehmers gegenüber der Authentisierungsinstanz über eine gemeinsame Funkschnittstelle anhand der bei der Initialisierung in der Authentisierungsinstanz abgespeicherten Authentikationstriplets.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die reguläre Authentisierung folgende Schritte umfaßt:
Auslesen eines Authentikationstriplets aus dem Speicher der Authentisierungsinstanz;
Übertragen der Zufallszahl des ausgelesenen Authentikationstriplets an die teilnehmerspezifische Komponente des Mobilfunkendgerätes;
Abholen eines aus der Zufallszahl ermittelten Antwortparameters SRES' von der teilnehmerspezifischen Komponente;
Vergleich des Antwortparameters SRES' mit dem entsprechenden im Authentikationstriplet enthaltenen Wert SRES;
Bei Übereinstimmung der Werte SRES' und SRES Zugangserlaubnis für den Mobilfunkteilnehmer zur Kommunikation über ein der Authentisierungsinstanz zugeordnetes, digitales Kommunikationssystem.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß bei einmaliger oder mehrmaliger Nicht-Überinstimmung der Antwortwerte SRES' und SRES dem Mobilfunkteilnehmer der Zugang verweigert wird.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die teilnehmerspezifische Komponente zu deren Initialisierung mit einer entsprechenden Lese-/­ Schreibvorrichtung der Authentisierungsinstanz verbunden ist.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß bei Initialisierung der Austausch von Daten zwischen der teilnehmerspezifischen Komponente und der Authentisierungsinstanz drahtgebunden erfolgt.

6. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß bei Initialisierung der Austausch von Daten zwischen der teilnehmerspezifischen Komponente und der Authentisierungsinstanz drahtlos erfolgt.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß wenn die in der Authentisierungsinstanz gespeicherten Authentikationstriplets verbraucht sind eine neue Initialisierungsprozedur gestartet wird.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß die Authentisierungsinstanz mehrere Teilnehmerdaten und teilnehmerspezifische Authentisierungstriplets verwalten kann.

9. Vorrichtung zur Durchführung des Verfahrens gemäß den vorhergehenden Ansprüchen, gekennzeichnet durch
die Authentisierungsinstanz als fester Bestandteil eines zweiten, digitalen Kommunikationssystems;
eine in der Authentisierungsinstanz integrierte oder mit dieser verbundenen Lese/-Schreibvorrichtung zum Lesen/Schreiben der auf der teilnehmerspezifische Komponente enthaltenen Daten;
einen in der Authentisierungsinstanz vorgesehenen Zufallsgenerator zur Erzeugung einer Zufallszahl; einen in der Authentisierungsinstanz vorgesehenen nichtflüchtigen Speicher.

10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, daß die Authentisierungsinstanz Bestandteil einer Feststation eines digitalen Schnurlostelefonsystems ist.

11. Vorrichtung nach einem der Ansprüche 9 oder 10, dadurch gekennzeichnet, daß das digitale Mobilkommunikationsnetz ein GSM-Mobilkommunikationsnetz ist.

12. Vorrichtung nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß die teilnehmerspezifische Komponente eine SIM-Karte ist.