DE19818998A1 - Verfahren zum Schutz vor Angriffen auf den Authentifizierungsalgorithmus bzw. den Geheimschlüssel einer Chipkarte - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zum Schutz vor Angriffen auf den Authentifizierungsalgorithmus bzw. den Geheimschlüssel einer Chipkarte (SIM) in einem Netzwerk zur Nachrichtenübertragung, vorzugsweise in einem GSM-Netzwerk, bei dem in einer Chipkarte (SIM) ein Algorithmus sowie ein geheimer Schlüssel gespeichert ist, wobei zur Authentifizierung zunächst vom Netzwerk oder einer Netzwerkkomponente eine Zufallszahl an die Chipkarte übertragen wird, in der Chipkarte mittels des Algorithmus, der Zufallszahl und des geheimen Schlüssels ein Antwortsignal erzeugt wird, das an das Netzwerk bzw. die Netzwerkkomponente übermittelt wird, um dort die Authentizität der Karte zu überprüfen. Gemäß der Erfindung ist ein Zähler zur Aufzeichnung der Anzahl der insgesamt mit der Karte durchgeführten Authentifikationsvorgänge vorgesehen. Es wird weiterhin ein oberer Grenzwert für die Anzahl der insgesamt mit der Karte durchzuführenden Authentifikationsvorgänge vorgegeben und bei jeder Authentifikation der Zähler erhöht und mit dem vorgegebenen oberen Grenzwert verglichen.

Description

Die Erfindung betrifft ein Verfahren zum Schutz vor Angriffen auf den Au­ thentifizierungsalgorithmus bzw. den Geheimschlüssel einer Chipkarte (SIM) in einem Netzwerk zur Nachrichtenübertragung, vorzugsweise in ei­ nem GSM-Netzwerk, nach dem Oberbegriff des Anspruchs 1.

Bei GSM-Systemen ist es bekannt, daß sich zum Gebrauch der Chipkarte (Subscriber Identity Module SIM) zunächst der Benutzer mittels einer per­ sönlichen Identifikationsnummer (PIN) als zur Benutzung berechtigt aus­ weisen muß. Um an dieser Stelle Mißbrauch zu vermeiden, ist es für die PIN-Eingabe bekannt, einen Fehlerzähler vorzusehen, der nach Überschrei­ ten einer zulässigen Anzahl von Fehlversuchen den weiteren Gebrauch der Karte unterbindet.

Eine weitere, systemrelevante Sicherheitsmaßnahme besteht in der Authen­ tisierung der Karte gegenüber dem Mobilfunknetz. Zu diesem Zweck ist in der Karte eine von außen nicht zugängliche Geheimnummer und ein eben­ falls von außen nicht zugänglicher, gegebenenfalls geheimer Algorithmus abgelegt. Zur Authentifizierung wird vom Netzwerk bzw. einer Netzwerk­ komponente eine Zufallszahl erzeugt, die der Karte mitgeteilt wird. Die Kar­ te berechnet aus dieser Zufallszahl und dem geheimen Schlüssel mittels des Algorithmus eine Signalantwort, welche dem Netzwerk mitgeteilt wird. Die­ se Antwort wird im Netzwerk analysiert und es wird, bei positivem Ergeb­ nis, Zugang zu den Netzwerkfunktionen erlaubt.

Aus der deutschen Patentschrift DE 43 39 460 C1 ist ein Verfahren zur Au­ thentifizierung eines Systemteils durch ein anderes Systemteil eines Infor­ mationsübertragungssystems nach dem Challenge and Response-Prinzip bekannt. Die dort beschriebene Datenträgeranordnung ist mit einem Werte­ speicher versehen, dem eine Kontrolleinrichtung zugeordnet ist. Weiterhin ist ein nicht flüchtiger, begrenzbarer Fehlerzähler sowie eine Sperrvorrich­ tung vorgesehen. Bei dem Authentifizierungsverfahren ist die tragbare Da­ tenträgeranordnung zunächst gesperrt und wird erst nach Verändern des Fehlerzählerstandes freigegeben. Von dem Endgerät werden daraufhin Zu­ fallsdaten zur tragbaren Datenträgeranordnung übertragen. Diese Daten werden sowohl im Endgerät als auch in der tragbaren Datenträgeranord­ nung durch einen geheimen Algorithmus und geheime Schlüsseldaten zu Authentifikationsparametern verarbeitet. Die im Endgerät erzeugten Au­ thentifikationsparameter werden im weiteren zur tragbaren Datenträgeran­ ordnung übermittelt und mit den dort berechneten Authentifikationspara­ metern verglichen. Bei Übereinstimmung wird der Fehlerzähler rückgesetzt.

Bei dem bekannten Stand der Technik wird also bei jedem Bearbeitungsvor­ gang der Fehlerzähler erhöht und bei erfolgreicher Beendigung des Bearbei­ tungsverfahrens rückgesetzt. Bei Überschreiten eines vorgegebenen Grenz­ wertes für die Anzahl der Fehlversuche werden weitere Authentifizierungs­ versuche nicht zugelassen.

Bei der Authentifizierung im GSM-Netz besteht das Problem, daß die Karte nicht über eine fehlgeschlagene Authentifizierung informiert wird, sondern es wird lediglich im System eine Überprüfung durchgeführt, die entweder zum Abbruch der Verbindung oder zur Zulassung des Teilnehmers zu den Netzdiensten führt.

Auch in einem derartigen Netz besteht die Gefahr, daß durch Angriffe auf den Algorithmus, der zur Authentifizierung verwendet wird, das Netzwerk beispielsweise in einem Computer simuliert werden kann, indem ausge­ wählte "Zufallszahlen" nach dem standardisierten Protokoll an die SIM-Karte übermittelt werden und daraus bei mehrfachen Authentifizierungs­ versuchen der Geheimschlüssel der Chipkarte ermittelt werden kann. Nach Ermittlung des geheimen Schlüssels und bei Bekanntsein des Algorithmus können wesentliche Funktionselemente der Karte simuliert bzw. dupliziert werden.

Es ist deshalb Aufgabe der Erfindung, ein sicheres Verfahren zum Schutz vor Angriffen auf den Authentifizierungsalgorithmus bzw. den Geheimschlüssel einer Chipkarte in einem Nachrichtensystem anzugeben, bei dem eine siche­ re Rückmeldung über die Authentifizierung an die teilnehmende Chipkarte nicht erfolgt.

Diese Aufgabe wird gemäß der Erfindung ausgehend von den Merkmalen des Oberbegriffs des Anspruchs 1 durch die kennzeichnenden Merkmale des Anspruchs 1 gelöst.

Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen An­ sprüchen angegeben.

Gemäß der Erfindung wird vorgeschlagen, die beliebig häufige Wiederho­ lung des Identifizierungsvorgangs dadurch zu unterbinden, daß in der Karte oder im Netzwerk ein Zähler vorgesehen wird, welcher die Anzahl der ins­ gesamt durchgeführten Authentifizierungsversuche festhält. Der aktuelle Zählerstand wird bei jeder Authentifizierung mit einem vorgebbaren oberen Grenzwert verglichen. Durch die Zählung der Anzahl der insgesamt durch­ geführten Authentifikationsversuche wird in vorteilhafter Weise zum einen erreicht, daß die fehlende Rückmeldung des Authentifizierungsergebnisses nicht zwangsläufig in der Nichtanwendbarkeit der Vorgabe einer Obergren­ ze für die maximal zulässige Anzahl der Authentifizierungsversuche endet und zum anderen kann der Zähler, da ein Rücksetzen nicht erlaubt ist, durch ein unzulässiges Rücksetzsignal nicht außer Kraft gesetzt werden.

Gemäß einer vorteilhaften Ausführungsform der Erfindung liegt der vorge­ gebene obere Grenzwert höher als die geschätzte Anzahl der mit der Karte üblicherweise auszuführenden Authentifikationsvorgänge. Zur Auslegung der oberen Grenze ist deshalb jeweils an Hand der Schlüssellänge und der sonstigen Randbedingungen eine Risikoabschätzung durchzuführen, wobei bei vertretbarem Risiko die obere Grenze möglichst über der Anzahl der zu erwartenden regulären Authentifikationen anzusetzen ist, um nicht eine für den Benutzer unangenehme vorzeitige Sperrung der Karte in Kauf zu neh­ men. Die vorgegebene obere Grenze sollte überdies unter der zu erwarten­ den Anzahl der Versuche liegen, die notwendig sind, um den geheimen Schlüssel herauszufinden.

Eine weitere vorteilhafte Ausgestaltung der Erfindung sieht vor, daß der Zähler in der Chipkarte realisiert ist und der Vergleich mit dem oberen Grenzwert in der Chipkarte ausgeführt wird. Damit kann bei einer Simulati­ on des Netzes durch einen Computer zumindest die Simulation der Zähler­ stände vermieden werden.

Für den Fall, daß beispielsweise aufgrund mangelnden Speicherplatzes oder sonstiger Umstände eine Realisierung des Zählers auf der Karte nicht mög­ lich ist, kann die Realisierung auch im Netz erfolgen, wobei vorzugsweise die Zählerdaten vor jeder Authentifizierung verschlüsselt an die Karte über­ tragen werden.

Gemäß einer weiteren vorteilhaften Ausgestaltung der Erfindung werden bei Überschreiten des oberen Grenzwertes einzelne oder alle Funktionen der Chipkarte blockiert, so daß die Funktionsfähigkeit der Karte zumindest stark eingeschränkt wird.

Alternativ oder zusätzlich kann bei Überschreiten des Grenzwertes an das Netzwerk oder eine entsprechende Netzwerkkomponente eine Information übermittelt werden, wodurch im Netzwerk die Funktionen der Karte (SIM) zumindest überwacht werden können. Mit dieser Information können ferner seitens des Netzwerkes bzw. der Netzwerkkomponente einzelne oder alle Funktionen der Karte gesperrt werden.

Es ist ferner vorteilhaft, in allen ATR-Berichten der Karte auf das Überschrei­ ten der oberen Grenze hinzuweisen.

Insbesondere für den Fall, daß die obere Grenze für die zulässige Anzahl an Authentifizierungsverfahren mit hoher Wahrscheinlichkeit kleiner als die zu erwartende reguläre Anzahl von Authentifizierungen ist, ist es vorteilhaft, einen alternativen geheimen Schlüssel in der Karte abzulegen. Bei Erreichen der oberen Grenze kann somit auf einen neuen Geheimschlüssel umgestellt werden, wobei hierbei ebenfalls ein neuer Zähler initiiert wird bzw. der Zähler rückgesetzt wird.

Neben dem Umschalten auf einen weiteren geheimen Schlüssel, kann eben­ falls eine neue IMSI selektiert werden, so daß nach Erreichen des oberen Grenzwertes auf ein neues IMSI/Schlüssel-Paar zugegriffen wird.

Insbesondere für SIM's, die über eine eigene Energieversorgung und damit über eine interne Zeitmessung verfügen können, kann es auch vorteilhaft sein, nach einer längeren Zeitdauer den Zähler zyklisch rückzusetzen.

Es kann weiterhin neben dem oberen Grenzwert ein zweiter Grenzwert vor­ gesehen werden, der unter dem oberen Grenzwert liegt. Damit ist die Mög­ lichkeit gegeben, dem Netzwerk bereits vor Erreichen des oberen Grenzwer­ tes eine Information zukommen zu lassen, die es dem Netzwerkbetreiber erlaubt, beispielsweise dem Benutzer rechtzeitig eine neue Karte auszustel­ len, wenn die Funktionen der im Gebrauch befindlichen aufgrund der Über­ schreitung der zulässigen Anzahl an Authentifikationen in absehbarer Zeit gesperrt werden.

Im folgenden wird die Erfindung beispielhaft anhand eines Ausführungsbei­ spiels gemäß den Fig. 1 und 2 beschrieben.

Fig. 1 zeigt den Ablauf der kryptographischen Funktionen des SIM im GSM-Netz.

Fig. 2 zeigt die für die Erfindung wesentlichen Elemente des SIM.

In Fig. 1 ist der Datenaustausch zwischen der Chipkarte (SIM) und dem Netzwerk über die Luftschnittstelle dargestellt.

Bei der Fig. 1 wird vorausgesetzt, daß der übliche Vorgang der PIN-Veri­ fizierung abgeschlossen ist. Im Anschluß an diese PIN-Verifizierung wird von mobilen Einheit, in der sich die Karte befindet, eine Nachricht an das Netzwerk gesendet, welche die IMSI (international mobile subscriber identity) bzw. TMSI (temporary mobile subscriber identity) enthält. Aus der IMSI bzw. TMSI wird im Netzwerk nach einer vorgegebenen Funktion oder mittels einer Tabelle der geheime Schlüssel K_i ermittelt, der in der Chipkarte (SIM) in einem nicht zugänglichen Speicherbereich abgelegt ist. Der geheime Schlüssel wird für die spätere Verifizierung des Authentifikationsvorganges benötigt.

Vom Netzwerk wird der Authentifizierungsvorgang initialisiert, indem eine Zufallszahl (RAND) berechnet wird, die über die Luftschnittstelle in die Chipkarte (SIM) übertragen wird.

In der Chipkarte wird daraufhin mittels einer Authentisierungsfunktion aus dem geheimen Schlüssel K_i und der Zufallszahl RAND das Authentisie­ rungsergebnis SRES gebildet, das über die Luftschnittstelle an das Netzwerk übertragen wird. Im Netzwerk wird ebenfalls mittels der geheimen Funktion und der Zufallszahl RAND sowie dem geheimen Schlüssel K_i ein Authenti­ sierungsergebnis SRES' gebildet. Im Netzwerk findet weiterhin ein Vergleich der Authentisierungsergebnisse SRES und SRES' statt, wobei bei Gleichheit der Authentifizierungsvorgang erfolgreich abgeschlossen wird, während bei Ungleichheit ein Abbruch der Verbindung vorgenommen wird, da sich die Karte des Teilnehmers nicht authentisiert hat.

In der Chipkarte SIM wird gemäß der Erfindung entweder vor oder nach der Authentisierung der Zählerstand eines Authentifikations-Zählers erhöht. Im Anschluß an die Zählererhöhung wird in der Chipkarte SIM ein Ver­ gleich des aktuellen Zählerstandes mit dem oberen Grenzwert Z_max, welcher die maximal zulässige Anzahl der Authentifizierungsvorgänge angibt, ver­ glichen. Für den Fall, daß Z < Z_max ist, können im Netzwerk alle Dienste in Anspruch genommen werden, für die der Benutzer autorisiert ist. Für den Fall, daß der aktuelle Zählerstand Z den oberen Grenzwert Z_max erreicht oder überschritten hat, kann entweder chipkartenseitig eine Sperrung SP der Chipkarte und damit der Netzwerkfunktionen eingeleitet werden oder es kann alternativ oder zusätzlich eine Nachricht Mess an das Netzwerk übermittelt werden, woraufhin im Netzwerk verschiedene Aktionen einge­ leitet werden können, wie beispielsweise die Übererwachung der SIM-Akti­ vitäten, das Nichtzulassen bestimmter Dienste im Netzwerk, oder die Sperrung der gesamten Dienste, die der Benutzer üblicherweise nach erfolg­ reicher Authentifizierung in Anspruch nehmen kann.

Die Fig. 2 zeigt ein Ausführungsbeispiel einer Chipkarte SIM, die eine Schnittstelle S zum Datenaustausch mit einem Mobilfunktelefon aufweist sowie einen Mikroprozessor µp, der mit einem Zähler Z und einem Speicher M, M_g verbunden ist. Der Zähler Z kann im wesentlichen als Hardwarezäh­ ler ausgebildet sein oder er ist als Softwarezähler programmiert. Der Spei­ cher ist unterteilt in den üblichen Speicherbereich M, in dem Daten ausgele­ sen und eingeschrieben werden können und in den geheimen Speicherbe­ reich M_g, in dem zumindest der geheime Schlüssel K_i sowie der Authentisie­ rungsalgorithmus abgelegt sind. Wenn über die Schnittstelle S die Zufalls­ zahl RAND erhalten wird, initiiert der Mikroprozessor µP zum einen die Erhöhung des Zählers Z sowie den Vergleich des aktuellen Zählerstands mit der oberen Grenze Z_max und zum anderen wird aus dem geheimen Speicher­ bereich M_g der geheime Schlüssel K_i sowie der Algorithmus geladen, um die Authentifizierungs-Berechnung durchzuführen und das Ergebnis SRES zu erhalten.

Claims (12)

1. Verfahren zum Schutz vor Angriffen auf den Authentifizierungsalgo­ rithmus bzw. den Geheimschlüssel (K_i) einer Chipkarte (SIM) in einem Netzwerk zur Nachrichtenübertragung, vorzugsweise in einem GSM-Netz­ werk, bei dem in einer Chipkarte (SIM) ein Algorithmus sowie ein geheimer Schlüssel (K_i) gespeichert ist, wobei zur Authentifizie­ rung

• - zunächst vom Netzwerk oder einer Netzwerkkomponente eine Zu­ fallszahl (RAND) an die Chipkarte übertragen wird,
• - in der Chipkarte mittels des Algorithmus, der Zufallszahl (RAND) und des geheimen Schlüssels (K_i) ein Antwortsignal (SRES) erzeugt wird, das an das Netzwerk bzw. die Netzwerkkomponente übermit­ telt wird, um dort die Authentizität der Karte (SIM) zu überprüfen,
  dadurch gekennzeichnet, daß
• - ein Zähler (Z) zur Aufzeichnung der Anzahl der insgesamt mit der Karte durchgeführten Authentifikationsvorgänge vorgesehen ist,
• - ein oberer Grenzwert (Z_max) für die Anzahl der insgesamt mit der Karte durchzuführenden Authentifikationsvorgänge vorgegeben wird, und
• - bei jeder Authentifikation der Zähler (Z) erhöht und mit dem vorge­ gebenen oberen Grenzwert (Z_max) verglichen wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der obere Grenzwert (Z_max) höher liegt als die geschätzte, mit einer Karte durchgeführte Anzahl an Authentifikationen und niedriger liegt als die zu erwartende Anzahl der für die Ermittlung des geheimen Schlüssels notwendigen Authentifizierungsvorgänge.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Zähler (Z) in der Chipkarte implementiert ist und der Vergleich des aktuellen Zählerstandes mit dem oberen Grenzwert (Z_max) in der Chipkarte durchgeführt wird.

4. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Zähler in einer Netzwerkkomponente implementiert ist und der Vergleich des aktuellen Zählerstandes mit dem oberen Grenzwert (Z_max) in einer Netzwerkkomponente durchgeführt wird.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeich­ net, daß bei Überschreiten des oberen Grenzwertes (Z_max) einzelne oder alle Funktionen der Chipkarte (SIM) blockiert werden.

6. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeich­ net, daß bei Überschreiten des vorgegebenen oberen Grenzwertes (Z_max) an das Netzwerk oder eine Netzwerkkomponente eine Infor­ mation übermittelt wird und das Netzwerk infolge dieser Information die Aktivitäten der Chipkarte (SIM) überwacht.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß das Netz­ werk eine Anfrage initiiert, gemäß der die Funktionen der Chipkarte gelöscht oder eingeschränkt werden.

8. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeich­ net, daß nach Erreichen des oberen Grenzwertes (Z_max) in allen Ans­ wer to Reset-(ATR-)Berichten ein Hinweis erzeugt wird, daß der Zähler seinen Höchststand erreicht hat.

9. Verfahren nach einem der vorhergehenden Ansprüche 1 bis 8, da­ durch gekennzeichnet, daß bei Erreichen des oberen Grenzwertes (Z_max) des Zählers das Netzwerk oder die Chipkarte (SIM) das Um­ schalten auf einen alternativen, in der Chipkarte abgelegten, Geheim­ schlüssel (K_i) initiiert.

10. Verfahren nach einem oder mehreren der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß nach Erreichen des Höchststandes des Zählers (Z) auf ein alternatives IMSI/geheimes Schlüssel-Paar umgestellt wird.

11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeich­ net, daß der Authentifikations-Zähler nach einer vorgegebenen Zeit zurückgesetzt wird.

12. Verfahren nach einem der Ansprüche 1 bis 11, dadurch gekenn­ zeichnet, daß neben dem oberen Grenzwert (Z_max) ein zweiter Grenzwert vorgegeben wird, der unterhalb des oberen Grenzwertes liegt, und bei dessen Erreichen ein Signal an das Netzwerk gesendet wird, in dem auf das nahende Erreichen des oberen Grenzwertes (Z_max) hingewiesen wird.