DE60320322T2

DE60320322T2 - Authentifizierung in einem kommunikationsnetz

Info

Publication number: DE60320322T2
Application number: DE60320322T
Authority: DE
Inventors: Jari Arkko; Pekka OY LM Ericss NIKANDER; Mats NÄSLUND
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2003-12-24
Filing date: 2003-12-24
Publication date: 2009-06-18
Anticipated expiration: 2023-12-25
Also published as: CN1887019B; EP1698197A1; US7551914B2; EP1698197B1; US20070099597A1; ATE392107T1; AU2003304666A1; DE60320322D1; WO2005064973A1; CN1887019A

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft Authentisierung in einem Kommunikations-Netzwerk und im Besonderen, obgleich nicht notwendigerweise, die Authentisierung von drahtlosen Endgeräten, welche in einem besuchten Kommunikations-Netzwerk wandern.
HINTERGRUND DER ERFINDUNG
1 illustriert schematisch die Architektur eines Mobil-Kommunikations-Netzwerks für mobile drahtlose Endgeräte. Das Netzwerk umfasst eine Gruppe von Zugangs-Knoten 4, 6, untereinander verbunden durch ein IP-Netzwerk 12. Ein Teilnehmer/Vertragspartner besitzt Nutzer-Ausrüstung 1 und hat einen Vertrag mit einem Heimat (Ursprung)-Netzwerk 3. Das Heimat-Netzwerk hat ein Heimat-Orts-Register 10, welches eine Datenbank umfasst, die Teilnehmer-Information, solche wie Rechnungsstellungs-Information, Dienst-Nutzungserlaubnis und Teilnehmer-Ort, speichert. Der Teilnehmer kann die Nutzer-Ausrüstung verwenden und zu einem besuchten auswärtigen drahtlosen Netzwerk 2 wandern, wo er wünscht bestimmte Kommunikations-Dienste über einen ersten Zugangs-Knoten 4 z. B. für Sprach-Verbindungen (geleitet durch ein Schaltungs-geschaltetes Netzwerk), Internet-Zugang, Peer-zu-Peer Daten-Verbindungen mit anderen Nutzer-Ausrüstungen, oder andere Daten-Dienste zu nutzen. Bevor dem Teilnehmer erlaubt wird solche Dienste über die Nutzer-Ausrüstung zu nutzen, fordert das besuchte Netzwerk, dass der Teilnehmer authentisiert wird und dieses wird typisch durch das besuchte Netzwerk 2, kontaktierend das Heimat-Netzwerk 3, erreicht. Das besuchte Netzwerk kann einige erste Prüfungen ausführen, um zu verifizieren, dass die Nutzer-Ausrüstung eine gültige Anforderung macht.
Das besuchte Netzwerk 2 wird dem Teilnehmer Zugang zu irgendwelchen Diensten nicht gewähren bevor es weiß, dass für einen solchen Zugang bezahlt werden wird, und das besuchte Netzwerk sendet daher eine Authentisierungs-Anforderung 5 an das Heimat-Netzwerk, um zu bestimmen ob der Teilnehmer ein registrierter Teilnehmer/Vertragspartner des Heimat-Netzwerks ist und ihm daher getraut wird. Nur wenn das Heimat-Netzwerk 3 in der Benachrichtigung 5' bestätigt hat, dass der Teilnehmer in dem Heimat-Netzwerk registriert ist, wird das besuchte Netzwerk Zugang zu den verfügbaren Diensten bereitstellen. Der Authentisierungs-Vorgang kann verlangen, dass mehr als ein Paar von Mitteilungen 5, 5' zwischen dem besuchten Netzwerk und dem Heimat-Netzwerk ausgetauscht werden. Die vollständige Authentisierungs-Prozedur kann ein längerer Vorgang sein, sowohl hinsichtlich des erforderlichen Zeitraums als auch des dem Kommunikations-Netzwerk auferlegten Kommunikations-Overheads. Protokolle für die Verwendung bei der Authentisierung wandernder Teilnehmer schließen MAP, RADIUS und DIAMETER ein.
Nach erfolgreicher Authentisierung können sich Umstände verändern, so dass die Nutzer-Ausrüstung auf das besuchte Netzwerk über einen alternativen Zugangs-Knoten 6 zugreifen muss. Der Zugangs-Knoten, welchen die Nutzer-Ausrüstung verwendet, um sich mit dem besuchten Netzwerk zu verbinden, kann von einer Vielfalt von Faktoren abhängen, einschließend unter Anderen physikalische Nähe, Bandbreiten-Kapazität und vorhandene Betriebs-Last. Dieses kann der Fall sein, zum Beispiel in einem drahtlosen LAN, wo die Zellen-Größen klein sind und die Bewegung der Nutzer-Ausrüstung zwischen Zugangs-Knoten häufig sein kann.
Jedes Mal, wenn die Nutzer-Ausrüstung sich einem neuen Zugangs-Knoten anzuschließen wünscht, muss der Zugangs-Knoten den durch den vorigen Zugangs-Knoten ausgeführten Authentisierungs-Vorgang durch Senden einer Anforderung 7 an das Heimat-Netzwerk 3 und das Abwarten einer Antwort 7' von dem Heimat-Netzwerk wiederholen. Dieser zweite Authentisierungs-Vorgang braucht einen ähnlich langen Zeitraum und verbraucht eine ähnliche Menge an Netzwerk-Ressourcen wie der ursprüngliche Authentisierungs-Vorgang. Es ist unerwünscht, exzessive Mengen von Signalisierungs-Daten über das Netzwerk zu übertragen; die Netzwerk-Betreiber sind mit festen Bandbreiten-Zuordnungen versehen und können den Teilnehmern nur Dienst-bezogene Daten berechnen. Signalisierungs-Daten stellen nicht-verrechenbare Bandbreiten-Nutzung dar und Netzwerk-Betreiber wünschen diese Nutzung zu minimieren. Der zweite Authentisierungs-Vorgang ist geeignet, eine Unterbrechung der dem Nutzer bereitgestellten Dienste zu bewirken. Dieses braucht nicht ein signifikantes Problem zu sein, zum Beispiel, wenn der Teilnehmer auf eine WEB-Seite zugreift, wobei eine kleine Verzögerung in den gelieferten Daten die Qualität des bereitgestellten Dienstes nicht ungünstig beeinflusst. Jedoch, für solche Dienste wie Sprach-Verbindungen oder strömende Multimedia-Sendungen ist eine Unterbrechung für den Dienst unerwünscht.
Es ist daher wünschenswert, einen sicheren Authentisierungs-Mechanismus bereitzustellen, in welchem der Authentisierungs-Zeitraum bei dem Wechseln von Zugangs-Knoten verringert ist. Es ist weiter wünschenswert, einen sicheren Authentisierungs-Mechanismus bereitzustellen, welcher die Notwendigkeit für das Abfragen des Heimat-Netzwerks zur Bestätigung der Identität der Nutzer-Ausrüstung umgeht, wobei die Signalisierungs-Overheads auf dem Heimat-Netzwerk verringert werden.
Ein Konzept, bekannt als „Schnelle Weitergabe" („fast handoff") ist für die Anwendung in Netzwerken, in welchen Nutzer-Ausrüstungen zwischen verschiedenen Zugangs-Knoten häufig umschalten, entwickelt worden, wobei das Konzept ein schnelleres Mittel für das Schalten zwischen alternativen Zugangs-Knoten bereitstellt. Eine volle Authentisierung wird durch Umgehen des Heimat-Netzwerks bereitgestellt. Dieses kann erreicht werden, entweder durch Verwenden einer vorwegnehmenden Überwachung durch das Heimat-Netzwerk, z. B. das Authentisieren einer Nutzer-Ausrüstung für das Verwenden eines neuen Zugangs-Knotens bereits vor dem Umschalten von dem gegenwärtigen Zugangs-Knoten oder über eine Kontext-Übertragung zwischen den zwei Zugangs-Knoten, das Heimat-Netzwerk völlig vermeidend.
Der erste dieser Mechanismen für schnelle Weitergabe leidet unter unerwünscht großen Signalisierungs-Overheads zwischen dem Heimat-Netzwerk und den besuchten Netzwerken, jedes Mal wenn die Nutzer-Ausrüstung Zugangs-Knoten wechselt. Wenn weiter der zweite von diesen Mechanismen für schnelle Weitergabe betrachtet wird, sind eine Anzahl verschiedner Implementationen von schneller Weitergabe vorgeschlagen worden, welche übermäßige Kommunikation mit dem Heimat-Netzwerk 3 vermeiden durch das Verwenden des an die Zugangs-Knoten verteilten selben Typs von Sitzungs-Schlüssel oder Wieder-Authenthisierungs-Schlüssel. Die Schlüssel sind durch beide, das Heimat-Netzwerk und das besuchte Netzwerk während der ursprünglichen Authentisierung untereinander vereinbart worden und die Schlüssel sind an die Zugangs-Knoten des besuchten Netzwerks verteilt. Dieses ermöglicht schnelle Wieder-Anfügung einer Nutzer-Ausrüstung, wenn zwischen Zugangs-Knoten gewechselt wird, setzt das System jedoch unnötigen Sicherheits-Verletzlichkeiten aus, wobei das Wesentlichste ist, dass ein einzelner unsicherer (verletzter) Zugangs-Knoten Zugang zu allen solchen Sitzungs- und Wieder-Authentisierungs-Schlüsseln hat. Ein einzelner unsicherer Zugangs-Knoten kann daher Information an einen böswilligen dritten Teilnehmer liefern, was diesen Teilnehmer befähigen würde die Nutzer-Ausrüstung zu imitieren und auf Dienste des besuchten Netzwerks zuzugreifen, ohne bezahlen zu müssen.
Es ist daher erwünscht, einen Mechanismus für schnelle Weitergabe für das schnelle Wechseln von mobilen Knoten zwischen Zugangs-Knoten in einem Zugangs-Netzwerk bereitzustellen, welcher das Risiko vermeidet, dass ein einzelner Zugangs-Knoten unsicher gemacht werden kann, um einer dritten Partei zu erlauben auf andere Zugangs-Knoten zuzugreifen.
Der Artikel getitelt „On the Security of Wireless Network Access with Enhancements", Lein Harn and Wen-Jung Hsin, Prec. Of the 2003 ACM Workshop an Wireless Sec, Sept. 2003, pp88–95, beschreibt eine Verstärkung für die für die 3G-Netzwerk-Sicherheit verwendete Prozedur für Authentisierung und Schlüssel-Vereinbarung (,Authentication and Key Agreement Procedure'). Im Besonderen ist vorgeschlagen Hash-Ketten zu verwenden, um einem mobilen Nutzer zu erlauben sich wiederholt bei einem Zugangs-Netzwerk zu authentisieren.
ZUSAMMENFASSUNG DER ERFINDUNG
In Übereinstimmung mit einem ersten Aspekt der vorliegenden Erfindung ist ein Verfahren der Authentisierung eines mobilen Knotens für ein Kommunikationssystem bereitgestellt, wobei das Kommunikationssystem eine Vielzahl von Zugangs-Knoten umfasst, zwischen welchen der mobile Knoten sich bewegen kann, das Verfahren gekennzeichnet durch:

(a) Erzeugen einer Zahlen-Kette, umfassend eine Serie von Werten, unter Verwendung einer Ein-Weg-Kodierfunktion in der Weise, dass ein gegebener Wert innerhalb der Kette einfach aus einem nachfolgenden Wert herzuleiten ist, jedoch der nachfolgende Wert nicht einfach aus jenem gegebenen Wert herzuleiten ist;
(b) Senden eines Werts aus der Zahlen-Kette von dem mobilen Knoten an einen Zugangs-Knoten, an welchen sich der mobile Knoten Anschließen möchte, jedes Mal wenn sich der mobile Knoten bei einem Zugangs-Knoten zu authentifizieren wünscht, wobei der gesendete Wert auf bereits an Zugangs-Knoten gesendete Werte in der Kette folgt; und
(c) Verwenden des gesendeten Werts an dem Zugangs-Knoten, um den mobilen Knoten auf der Basis eines Werts der Zahlen-Kette zu authentifizieren, welcher dem gesendeten Wert in der Kette vorangeht,

das Verfahren außerdem umfassend das Informieren, nach jeder erfolgreichen Authentifizierung, eines jeden aus der Vielzahl von Zugangs-Knoten darüber, dass eine Authentifizierung vollendet worden ist.
In Übereinstimmung mit einem zweiten Aspekt der vorliegenden Erfindung ist ein Verfahren bereitgestellt, umfassend:
das Ableiten eines sicheren Authentisierungs-Schlüssels, wenn ein mobiler Knoten sich selbst bei einem Zugangs-Knoten in Übereinstimmung mit einem ersten Aspekt authentisiert, das Verfahren umfassend das Bereitstellen eines ersten Authentisierungs-Schlüssels K_S0 für Verwendung durch den mobilen Knoten und einen ersten Zugangs-Knoten;
das Senden eines Hash des ersten Authentisierungs-Schlüssels hash(K_S0) an einen zweiten Zugangs-Knoten und den mobilen Knoten; und
das Erzeugen eines neuen Authentisierungs-Schlüssels K_S1 in Übereinstimmung mit dem hash hash(K_S0).
In Übereinstimmung mit einem weiteren Aspekt der vorliegenden Erfindung ist ein Zugangs-Knoten eines Kommunikationssystems bereitgestellt, gekennzeichnet durch:
Mittel für das Empfangen einer Benachrichtigung von einem anderen Knoten des Kommunikationssystems, jedes Mal wenn sich ein mobiler Knoten erfolgreich bei dem Kommunikationssystem authentisiert hat;
Mittel für das Empfangen von einem mobilen Knoten eines Werts einer eine Sequenz von n Werten umfassenden ersten Zahlen-Kette, erzeugt unter Verwendung einer Ein-Weg-Kodierfunktion in der Weise, dass ein gegebener Wert innerhalb der Kette einfach aus einem darauf folgenden Wert hergeleitet werden kann, jedoch der darauf folgende Wert nicht einfach aus dem gegebenen Wert herleitbar ist, und der gesendete Wert nachfolgend zu irgendwelchen bereits an Zugangs-Knoten gesendeten Werten ist; und
Mittel für das Authentifizieren des mobilen Knotens auf der Basis dieses Werts und der zuvor empfangenen Benachrichtigungen.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 illustriert schematisch die Architektur eines Kommunikations-Netzwerks;
2 illustriert schematisch die Architektur eines Kommunikations-Netzwerks in Übereinstimmung mit einer Ausführungsform der vorliegenden Erfindung; und
3 ist ein Flussdiagramm, illustrierend das Verfahren bestimmter Ausführungsformen der vorliegenden Erfindung.
DETAILLIERTE BERSCHREIBUNG BESTIMMTER AUSFÜHRUNGSFORMEN
2 illustriert schematisch die Architektur eines Mobil-Kommunikationssystems für mobile drahtlose Endgeräte in Übereinstimmung mit einer ersten Ausführungsform der vorliegenden Erfindung, wobei gleiche Referenznummern gleiche Elemente wie die in 1 gezeigten bezeichnen. Die Zugangs-Knoten 4, 6 sind durch ein Netzwerk verbunden. Das Netzwerk kann ein Mobil-Telekommunikations-Netzwerk, z. B. ein 3G-Netzwerk, WLAN, eine Kombination von 3G- und WLAN-Netzwerken, oder irgendein anderer Typ eines Mobil-Netzwerks sein. Ein Teilnehmer/Vertragsnehmer eines Heimat-Netzwerks 3 besitzt ein mobiles drahtloses Endgerät 1 und möchte auf Dienste, solche wie Sprach-Verbindungen, Internet-Zugang, oder andere Daten-Dienste eines besuchten (auswärtigen) drahtlosen Netzwerks 2, zugreifen. Bevor dem Teilnehmer Zugang zu den Diensten gewährt wird, verlangt das besuchte Netzwerk Authentisierung von dem Heimat-Netzwerk des Teilnehmers. Um den Teilnehmer zu authentisieren sendet das besuchte Netzwerk eine Authentisierungs-Anforderung an das Heimat-Netzwerk, welches die Details des Teilnehmers in der HLR 10 überprüft. Dieser Authentisierungs-Vorgang ist definiert in den MAP, RADIUS und DIAMETER (RFC 3588) – Protokollen und speziell für drahtlose Netzwerke in den 802.1x, 802.111, und EAP (RFC 2298) Protokollen. Nach erfolgreicher Authentifizierung speichert das besuchte Netzwerk die Details des Teilnehmers in seinem Besucher-Orts-Register (,Visitor Location Register') (VLR) 11. Die Nutzer-Ausrüstung kann dann auf den von dem besuchten Netzwerk verfügbaren Dienst über einen ersten Zugangs-Knoten 4 zugreifen.
Ein Authentisierungs-Schlüssel oder Sitzungs-Schlüssel kann unter Verwendung eines existierenden Austausch-Protokolls hergeleitet werden und wird verwendet, um den Verkehr zwischen der Nutzer-Ausrüstung und einem bestimmten Zugangs-Knoten nach anfänglicher Authentifizierung zu verschlüsseln.
Während des Anfangs-Authentisierungs-Vorgangs (z. B. Austausch der Benachrichtigungen 5, 5') wird eine numerische Kette bestimmt, welche verwendet werden wird, um den mobilen Knoten wieder zu authentisieren, wenn dieser in einer späteren Phase die Zugangs-Knoten wechselt. In bestimmten von den Ausführungsformen kann die numerische Kette nur in der Nutzer-Ausrüstung bekannt sein. In anderen Ausführungsformen (welche geeigneter für die Anwendung für existierende Protokolle, solche wie RADIUS und DIAMETER, sein können) ist die numerische Kette beiden, der Nutzer-Ausrüstung und dem Heimat-Netzwerk bekannt. Die Kette ist eine Folge von n Zahlen, aufweisend die Werte H₁, H₂, ..., H_n, in der Weise, dass ein gegebener Wert innerhalb der Kette leicht herleitbar ist aus einem darauf folgenden Wert, jedoch der darauf folgende Wert nicht leicht aus dem gegebenen Wert hergeleitet werden kann. Dieses kann erreicht werden durch Verwendung einer Ein-Weg-Kodierfunktion, zum Beispiel einer hash-Funktion, um eine Kette in welcher H_i–1 = hash(H_i) zu erhalten. Die Funktion hash() ist definiert in einer solchen Weise, dass es sehr schwierig ist die Operation umzukehren, das bedeutet den Wert zu erhalten, auf welchen die Funktion angewendet worden ist. Die verwendete Ein-Weg-hash-Funktion kann zum Beispiel MD5 oder SHA-1 sein. Die Funktion hash() kann öffentlich bekannt sein; deren Ein-Weg-Funktionalität bedeutet, dass diese nicht geheim sein muss. Irgendeine kryptographisch sichere Ein-Weg-Funktion ist geeignet.
Die numerische Kette wird aus einem Startwert H_n erzeugt, welcher der letzte Wert in der Kette ist. Nachfolgende Anwendungen der Ein-Weg-Funktion hash() liefern den vorangehenden Wert in der Kette, zurück bis zum ersten Wert H₁ in der Sequenz. Der Startwert ist zwischen der Nutzer-Ausrüstung und dem Heimat-Netzwerk vereinbart und wird zwischen den beiden Parteien in verschlüsselter Form versandt. Der Startwert kann durch einen Pseudo-Zufallszahlen-Generator erzeugt werden. Alternativ kann der Startwert auf einem Wert basieren, welcher nur der Nutzer-Ausrüstung und dem Heimat-Netzwerk bekannt ist oder durch diese herleitbar ist, z. B. die EAP MSK oder EMSK-Werte, in welchem Fall existierende Authentisierungs-Protokolle nicht angepasst werden müssen, um das Protokoll dieser Ausführungsform zu implementieren. Entsprechend einer alternativen Ausführungsform erzeugt die Nutzer-Ausrüstung den Startwert selbst, ohne dass das Heimat-Netzwerk davon Kenntnis hat und unfähig ist diesen zu erhalten.
Nach Erzeugung des Startwerts sind beide, die Nutzer-Ausrüstung und das Heimat-Netzwerk fähig, den Rest der Sequenz durch aufeinander folgende Anwendungen der Ein-Weg- Kodierfunktion zu erzeugen, um H₁ zu erhalten. Folgend der anfänglichen Authentisierung des Teilnehmers für das besuchte Netzwerk wird der Wert H₁ an die Zugangs-Knoten innerhalb des Zugangs-Netzwerks durch einen ersten von den Zugangs-Knoten, an welchen die Nutzer-Ausrüstung angefügt ist, zusammen mit dem Authentisierungs-Verschlüsselungs-Schlüssel K_R verteilt. Alternativ empfangen die Zugangs-Knoten den Wert von H₁ von einem Steuerungs-Knoten. Der Steuerungs-Knoten wird mit H₁ entweder durch die Nutzer-Ausrüstung oder das Heimat-Netzwerk versorgt und der Steuerungs-Knoten aktualisiert darauf folgend die Zugangs-Knoten.
Betrachtend das Szenario, in welchem die Nutzer-Ausrüstung zu einem neuen Zugangs-Knoten wandert, präsentiert die Nutzer-Ausrüstung einem zweiten Zugangs-Knoten 6 den Authentisierungs-Schlüssel K_R und bestätigt seine Identität durch das Präsentieren des Wertes H₂ aus der numerischen Kette. Der zweite Zugangs-Knoten 6 kennt die Ein-Weg-Kodierfunktion und wendet die Funktion auf den Wert H₂ an, dadurch erhaltend den Wert H₁, da hash(H₂) = H₁. Der zweite Zugangs-Knoten vergleicht den zuvor an die Zugangs-Knoten verteilten Wert von H1 mit dem durch „Hashen" („hashing") des durch die Nutzer-Ausrüstung 2 gelieferten Werts H₂ erhaltenen Wert H₁. Da die einzigen zwei Vorrichtungen mit Kenntnis irgendeines nachfolgenden Wertes in der numerischen Kette die Nutzer-Ausrüstung und das Heimat-Netzwerk sind, wird die Nutzer-Ausrüstung, wenn die beiden Werte H₁ gleich sind, als authentifiziert erachtet. Wenn die beiden verglichenen Werte nicht übereinstimmen, kann der Zugang zu Diensten verweigert werden. Nach erfolgreicher Authentifizierung sendet der zweite Zugangs-Knoten 6 eine Aktualisierungs-Benachrichtigungs-Mitteilung 8 an die anderen Zugangs-Knoten des Zugangs-Netzwerks, so dass diese davon Kenntnis haben, dass die Nutzer-Ausrüstung Zugangs-Knoten gewechselt hat. Die Aktualisierungs-Benachrichtigungs-Mitteilung kann den neuesten H-Wert, geliefert durch die Nutzer-Ausrüstung, umfassen oder alternativ einfach eine Anzeige, dass die Nutzer-Ausrüstung Zugangs-Knoten gewechselt hat, umfassen, in welchem Fall die anderen Zugangs-Knoten in dem Zugangs-Netzwerk den Zähler um Eins inkrementieren.
Wenn die Nutzer-Ausrüstung wünscht, zu einem weiteren Zugangs-Knoten zu wechseln und eine weitere Wieder-Authentisierung erfordert, versorgt die Nutzer-Ausrüstung diesen weiteren Zugangs-Knoten mit dem nächsten H-Wert in der numerischen Kette. Der weitere Zugangs-Knoten bearbeitet dann den offenbarten H-Wert mit der hash()-Funktion und vergleicht das Ergebnis mit dem zuletzt verteilten H-Wert oder, in dem Fall, in welchem nur ein Zähler inkrementiert worden ist, wendet er die hash()-Funktion eine geeignete Anzahl von Malen an und vergleicht das Ergebnis mit dem gespeicherten H-Wert. Es ist erforderlich, das jedes Mal, wenn die Nutzer-Ausrüstung eine Wieder-Authentisierung verlangt, die Nutzer-Ausrüstung einen höheren H-Wert in der Sequenz verwendet, als jene, die bereits verwendet wurden, um sicher zu stellen, dass ein verletzter/unsicherer Zugangs-Knoten seine Kenntnis von K_R bei einem Zugangs-Knoten, welchen die Nutzer-Ausrüstung nicht besucht hat, nicht verwenden kann.
Die Aktualisierungs-Benachrichtigung kann durch einen lokalen Rundruf-Mechanismus an alle Zugangs-Knoten des Zugangs-Netzwerks gesendet werden. Dieser Vorgang und die anfängliche Verteilung von H₁ und K_R muss sicher sein. In einer weiteren Ausführungsform wird die Information betreffend mehrfache Nutzer in Stapeln/Paketen gesendet, z. B. wird die gesamte Nutzer-Information alle 10 Sekunden aktualisiert.
In einer weiteren Ausführungsform wird die Nutzer-Ausrüstung für ein neues Zugangs-Netzwerk über einen Steuerungs-Knoten authentifiziert. Anstelle des Aussendens einer Aktualisierungs-Benachrichtigung an die Zugangs-Knoten speichert der Steuerungs-Knoten den neuen H-Wert. Wenn die Nutzer-Ausrüstung Authentisierung bei einem weiteren Zugangs- Knoten verlangt, fragt der weitere Zugangs-Knoten den Steuerungs-Knoten bezüglich des durch die Nutzer-Ausrüstung gelieferten neuen H-Werts ab. Der Steuerungs-Knoten wendet die Ein-Weg-Kodierfunktion auf den neuen H-Wert für den Vergleich mit dem gespeicherten H-Wert an. Wenn die beiden Werte übereinstimmen, authentisiert der Steuerungs-Knoten die Nutzer-Ausrüstung für den weiteren Zugangs-Knoten. In dieser Ausführungsform müssen die Zugangs-Knoten nicht fähig sein die Ein-Weg-Kodierfunktion zu speichern oder auf die gelieferten H-Werte anzuwenden. Es ist also potentiell sicherer, einen vertrauenswürdigen einzelnen Ort für das Ausführen der Authentifizierung zu haben, als die Werte durch das Kommunikationssystem zu verteilen.
Die numerische Kette von n Werten wird durch n – 1 aufeinander folgende Iterationen der hash-Funktion auf den anfänglichen Startwert erzeugt. Durch das Erlauben einer maximalen Anzahl von n – 1 Anwendungen der Ein-Weg-Kodierfunktion erlaubt das System nur eine endliche Anzahl von Weitergaben zwischen Zugangs-Knoten. Nachdem die maximale Anzahl erlaubter Weitergaben zwischen Zugangs-Knoten erreicht worden ist, ist es notwendig den Vorgang durch Erzeugen einer neuen numerische Kette in der Nutzer-Ausrüstung oder dem Heimat-Netzwerk neu zu starten. Damit wird das System, in dem Fall, dass das System durch eine dritte Partei missbraucht wird, dieser dritten Partei nur erlauben die Zugangs-Knoten eine endliche Anzahl von Malen zu wechseln, bevor die Sicherheit des Systems erneut hergestellt ist. Daher wird der Wert von n niedrig festgelegt, um ein höheres Sicherheits-Niveau einzustellen, welches die häufigere Überprüfung durch das Heimat-Netzwerk verlangt.
Die Schritte der Verfahren der oben beschriebenen Ausführungsform, in welcher der Wert von n bei jedem aufeinander folgenden Authorisierungs-Versuch um Eins inkrementiert wird, werden in dem Flussdiagramm der 3 illustriert.
In einer weiteren Ausführungsform können Werte der numerischen Kette verwendet werden, um zumindest einen Teil, wenn nicht alles, einer neuen IP-Adresse für die Nutzer-Ausrüstung zu erzeugen. Wenn die Nutzer-Ausrüstung sich an einen neuen Zugangs-Knoten anfügt, muss sie den nächsten Wert der numerischen Kette offenbaren. Sie könnte diesen Wert auch verwenden, um den Schnittstellen-Identifikator-Teil einer IP-Adresse in Übereinstimmung mit den Verfahren des British Patent No. 2367986 zu erzeugen.
Entsprechend einer weiteren Ausführungsform der vorliegenden Erfindung offenbart die Nutzer-Ausrüstung jedes Mal, wenn sie sich an einen neuen Zugangs-Knoten anfügen möchte, einen H-Wert weiter entlang in der Sequenz als der Nächste, z. B. wenn die Nutzer-Ausrüstung dem letzten Zugangs-Knoten, dem sie sich angefügt hatte, H₃ offenbart hat, dann kann sie H₅ (oder irgendeinen höheren H-Wert bis hinauf zu H_n) anstelle von H₄ offenbaren. In diesem Fall muss der neue Zugangs-Knoten die hash()-Funktion mehr als ein Mal auf den offenbarten Wert anwenden, um deren Ausgabe mit dem zuletzt verteilten öffentlichen H-Wert zu vergleichen.
Irgendein weiterer Zugangs-Knoten kann nur mit H₁ und einer Anzeige aus früheren Aktualisierungs-Benachrichtigungen, dass die Nutzer-Ausrüstung eine bestimmte Anzahl m von Malen Zugangs-Knoten gewechselt hat, beliefert worden sein. Auf der Basis allein dieser Information weiß der weitere Zugangs-Knoten, dass er die Ein-Weg-Kodierfunktion zumindest m + 1 Mal, bis zu einem Maximum von n – 1 Mal, auf den durch die Authentisierung suchende Nutzer-Ausrüstung gelieferten H-Wert anwenden muss. Wenn keiner der ,hash'-Ergebnis-Werte zu dem durch die Nutzer-Ausrüstung gelieferten H-Wert korrespondiert, muss der Zugangs-Knoten annehmen, dass eine Wieder-Authenthisierung nicht möglich ist.
In Übereinstimmung mit einer weiteren Ausführungsform der vorliegenden Erfindung werden mehrfache numerische Ketten durch die Nutzer-Ausrüstung und das Heimat-Netzwerk erzeugt, so dass die Nutzer-Ausrüstung diese parallel für mehrfache Schnittstellen verwenden kann. Die mehrfachen Ketten werden unter Verwendung verschiedener Startwerte und der gleichen Ein-Weg-Kodierfunktion erzeugt. Alternativ können die mehrfachen Ketten eine verschiedene Ein-Weg-Kodierfunktion implementieren, wobei nachfolgende Kommunikationen eine Anzeige dazu enthalten, welche Kodierfunktion für eine bestimmte Kette implementiert worden ist. Dieses erzeugt einen Mechanismus für schnelles „Mehrfach-Beheimaten" („multi-homing"), wobei nur eine einzelne anfängliche Authentisierung erforderlich ist, auch für einen Knoten mit mehrfachen Schnittstellen. Eine verschiedene numerische Kette muss für jede Schnittstelle verwendet werden, um eine Wiederholungs-Attacke zu vermeiden.
In Übereinstimmung mit einer weiteren Ausführungsform der vorliegenden Erfindung sind die numerischen Ketten an einer Zugangs-Knoten-Schnittstelle durch Modifizieren der Ein-Weg-Kodierfunktion derart an eine bestimmte MAC-Adresse gebunden, dass H_i – 1 = hash(H_i, MAC-Adresse) ist, was es für eine dritte Partei unmöglich macht zu behaupten, dass eine bestimmte numerische Kette für eine andere MAC-Adresse gültig ist. Sogar, wenn eine dritte Partei die MAC-Adresse der Nutzer-Ausrüstung erhält, wird jeder Versuch die Nutzer-Ausrüstung zu imitieren notwendigerweise mit der eigenen MAC-Adresse der dritten Partei gestempelt sein und die Zugangs-Knoten werden fähig sein, diese Dienst-Anforderung als betrügerisch zurückzuweisen.
In Übereinstimmung mit einer weiteren Ausführungsform der vorliegenden Erfindung ist ein Verfahren bereitgestellt für das Herleiten eines sicheren Authentisierungs-Schlüssels für die Verwendung, wenn eine Nutzer-Ausrüstung Zugangs-Knoten wie oben beschrieben wechselt. Es wird anfänglich angenommen, dass die Nutzer-Ausrüstung und der erste Zugangs-Knoten einen gemeinsamen Authentisierungs-Schlüssel K_S0 gemeinsam haben. Verfahren, um dieses zu Erreichen, sind gut bekannt. In einer weiteren Ausführungsform sendet der erste Zugangs-Knoten nach dem Wechseln von dem ersten Zugangs-Knoten zu einem neuen Zugangs-Knoten eine Mitteilung, enthaltend den Wert hash(K_S0) an den neuen Zugangs-Knoten, welcher diese Werte an die Nutzer-Ausrüstung sendet. Die Nutzer-Ausrüstung kann dann durch eigenes ,Hashen' von K_S0 bestätigen, dass diese Mitteilung tatsächlich von dem ersten Zugangs-Knoten ausgegangen ist. Die Nutzer-Ausrüstung und der neue Zugangs-Knoten können dann einen neuen Authentisierungs-Schlüssel unter Verwendung der Gleichung K_S1 = hash(hash(K_S0)) erzeugen. Der neue Zugangs-Knoten kann den originalen Authentisierungs-Schlüssel K_S0 nicht bestimmen, da er die Ein-Weg-Kodierfunktion hash(K_S0) nicht umkehren kann, um K_S0 zu erhalten. Die durch den ersten Knoten gesendete Mitteilung kann auch eine nur einmal verwendete Zahl N_P0 enthalten, in welchem Fall der neue Authentisierungs-Schlüssel durch Verwendung der Gleichung K_S1 = hash(hash(K_S0), N_P0) erzeugt wird.
In einer weiteren Ausführungsform sendet der erste Zugangs-Knoten ein Hash des ersten Authentisierungs-Schlüssels, hash(K_S0), an den neuen Zugangs-Knoten und der mobile Knoten und der neue Zugangs-Knoten tauschen nur einmal verwendete Zahlen N_Ci und N_Ai aus; ein neuer Authentisierungs-Schlüssel wird hergeleitet unter Verwendung der Gleichung K_S1 = hash(hash(K_S0), N_Ci, N_Ai), so dass der erste Zugangs-Knoten den früheren Authentisierungs-Schlüssel nicht erfahren kann, wenn er nicht den Austausch der einmal verwendeten Zahl abfängt, da er die Ein-Weg-Kodierfunktion nicht umkehren kann, um K_S0 zu erhalten. In wieder einer anderen Ausführungsform kann der erste Zugangs-Knoten auch eine nur einmal verwendete Zahl N_P0 senden, zusammen mit dem Wert von hash(K_S0), in welchem Fall der neue Authentisierungs-Schlüssel unter Verwendung der Gleichung K_Si = hash(hash(K_S0) N_P0, N_Ci, N_Ai) erzeugt wird.
Die vorliegende Erfindung stellt ein Verfahren für die Authentisierung eines mobilen Knoten bei einem Zugangs-Knoten eines Zugangs-Netzwerks bereit. Es wird durch mit dem Gebiet vertraute Personen geschätzt werden dass verschiedene Modifikationen der obigen Ausführungsformen gemacht werden können, ohne den Geltungsbereich der vorliegenden Erfindung zu verlassen.

Claims

Ein Verfahren des Authentifizierens eines mobilen Knotens in Bezug zu einem Kommunikationssystem, das Kommunikationssystem umfassend eine Vielzahl von Zugangs-Knoten, zwischen welchen sich der mobile Knoten bewegen kann, das Verfahren gekennzeichnet durch: (a) Erzeugen einer Zahlen-Kette, umfassend eine Serie von Werten, unter Verwendung einer Ein-Weg-Kodierfunktion in der Weise, dass ein gegebener Wert innerhalb der Kette einfach aus einem nachfolgenden Wert herzuleiten ist, jedoch der nachfolgende Wert nicht einfach aus jenem gegebenen Wert herzuleiten ist; (b) Senden eines Werts aus der Zahlen-Kette von dem mobilen Knoten an einen Zugangs-Knoten, an welchen sich der mobile Knoten Anschließen möchte, jedes Mal wenn sich der mobile Knoten bei einem Zugangs-Knoten zu authentifizieren wünscht, wobei der gesendete Wert auf bereits an Zugangs-Knoten gesendete Werte in der Kette folgt; und (c) Verwenden des gesendeten Werts an dem Zugangs-Knoten, um den mobilen Knoten auf der Basis eines Werts der Zahlen-Kette zu authentifizieren, welcher dem gesendeten Wert in der Kette vorangeht, das Verfahren außerdem umfassend das Informieren, nach jeder erfolgreichen Authentifizierung, eines jeden aus der Vielzahl von Zugangs-Knoten darüber, dass eine Authentifizierung vollendet worden ist.
Ein Verfahren nach Anspruch 1, wobei der Vergleich des gesendeten Werts mit einem früheren Wert der Zahlen-Kette das Vergleichen der Ausgabe der Ein-Weg-Kodierfunktion, angewandt zumindest einmal auf den gesendeten Wert, mit einem früheren Wert der Zahlen-Kette umfasst.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei der frühere Wert der Zahlen-Kette der direkt dem gesendeten Wert vorangehende Wert ist.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei der authentifizierende Knoten der Zugangs-Knoten ist, an welchen der mobile Knoten sich anzuschließen wünscht.
Ein Verfahren nach Anspruch 4, wobei der authentifizierende Knoten nach erfolgreicher Authentifizierung des mobilen Knotens eine Aktualisierungs-Benachrichtigung an die Übrigen aus der Vielzahl der Zugangs-Knoten sendet.
Ein Verfahren nach Anspruch 5, wobei die Aktualisierungs-Benachrichtigung durch einen sicheren lokalen Rundruf-Mechanismus herausgegeben wird.
Ein Verfahren nach irgendeinem der Ansprüche 1 bis 3, wobei der authentifizierende Knoten ein Steuerungs-Knoten ist, welcher mit der Vielzahl von Zugangs-Knoten kommuniziert.
Ein Verfahren nach Anspruch 7, wobei der authentifizierende Knoten nach erfolgreicher Authentifizierung des mobilen Knotens eine Aktualisierungs-Benachrichtigung speichert.
Ein Verfahren nach Anspruch 5 oder 8, wobei die Aktualisierungs-Benachrichtigung den durch die mobilen Knoten gesendeten Wert umfasst.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei ein Wert H_i–1 der Zahlen-Kette aus einem Wert H_i der Zahlen-Kette erhalten werden kann durch Verwenden der Ein-Weg-Kodierfunktion, welche so definiert ist, dass H_i–1 = hash(H_i).
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei die Zahlen-Kette durch Bereitstellen eines Startwerts H der Zahlen-Kette erzeugt wird, aus welchem alle darauf folgenden Werte durch sukzessive Anwendung der Ein-Weg-Kodierfunktion herleitbar sind.
Ein Verfahren nach Anspruch 11, wobei der Startwert H_n basiert wird auf einem Wert, welcher nur dem mobilen Knoten und einem Heimat-Netzwerk bekannt ist.
Ein Verfahren nach Anspruch 11, wobei der Startwert H_n basiert wird auf einem Wert, welcher nur dem mobilen Knoten bekannt ist.
Ein Verfahren nach irgendeinem der Ansprüche 11 bis 13, wobei der Startwert H_n basiert wird auf einem EAP MSK oder EMSK-Wert.
Ein Verfahren nach irgendeinem der Ansprüche 11 bis 13, wobei der Startwert H_n basiert wird auf einem zufällig erzeugten Wert.
Ein Verfahren nach irgendeinem der Ansprüche 11 bis 15, wobei der Startwert H_n verschlüsselt ist, so dass die Zugangs-Knoten den Startwert nicht bestimmen können.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei der erste Wert der Zahlen-Kette, erhalten aus sukzessiven Anwendungen der Ein-Weg- Kodierfunktion auf einen Startwert, dem authentifizierenden Knoten entweder durch den mobilen Knoten oder durch ein Heimat-Netzwerk, in welchem der mobile Knoten unter Vertrag ist, bereitgestellt wird.
Ein Verfahren der Authentifizierung eines mobilen Knotens in Bezug zu einem Kommunikationssystem, das Kommunikationssystem umfassend eine Vielzahl von Zugangs-Knoten und eine Vielzahl von Schnittstellen, das Verfahren umfassend das Erzeugen einer Vielzahl von Zahlen-Ketten, jede aus der Vielzahl von Zahlen-Ketten korrespondierend zu einer aus der Vielzahl von Schnittstellen und authentifizierend den mobilen Knoten an einer Vielzahl von Schnittstellen in Übereinstimmung mit dem Verfahren des Anspruchs 1.
Ein Verfahren nach Anspruch 18, wobei der mobile Knoten sich selbst parallel für eine Vielzahl von Schnittstellen authentifiziert.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei ein Wert der Zahlen-Kette verwendet wird, um zumindest einen Teil einer IP-Adresse für den mobilen Knoten zu erzeugen.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei jede Zahlen-Kette an eine bestimmte MAC-Adresse, korrespondierend zu einem bestimmten Zugangs-Knoten, gebunden ist.
Ein Verfahren nach irgendeinem der vorangehenden Ansprüche, wobei das Kommunikationssystem ein Netzwerk für drahtlosen Zugang umfasst und der mobile Knoten ein drahtloses Endgerät ist.
Ein Verfahren des Authentifizierens eines mobilen Knotens, wenn dieser innerhalb eines Kommunikationssystems wandert, das Verfahren umfassend: folgend auf die Übergabe des mobilen Knotens von einem ersten Zugangs-Knoten des Kommunikationssystems an einen zweiten Zugangs-Knoten, das Authentifizieren für den zweiten Zugangs-Knoten unter Verwendung des Verfahrens irgendeines der vorangehenden Ansprüche.
Ein Verfahren nach Anspruch 23, wobei der mobile Knoten zuvor für das Kommunikationssystem durch ein Heimat-Netzwerk des mobilen Knotens authentifiziert worden ist.
Ein Verfahren des Herleitens eines sicheren Authentifizierungs-Schlüssels, wenn ein mobiler Knoten sich selbst für einen Zugangs-Knoten authentifiziert, in Übereinstimmung mit irgendeinem vorangehenden Anspruch, das Verfahren umfassend: Bereitstellen eines ersten Authentifizierungs-Schlüssels K_S0 für Verwendung durch den mobilen Knoten und einen ersten Zugangs-Knoten; Senden eines Hash-Funktionsergebnisses des ersten Authentifizierungs-Schlüssels hash(K_S0) an einen zweiten Zugangs-Knoten und den mobilen Knoten; und Erzeugen eines neuen Authentifizierungs-Schlüssels K_Si in Übereinstimmung mit dem Hash-Funktionsergebnis hash(K_S0).
Ein Verfahren nach Anspruch 25, wobei der neue Authenifizierungs-Schlüssel erzeugt wird durch Verwenden eines Hash-Funktionsergebnisses von hash hash(K_S0) in Übereinstimmung mit der Funktion K_S1 = hash (hash(K_S0))
Ein Verfahren nach Anspruch 25, außerdem umfassend diesen Schritt: Austauschen einer durch den mobilen Knoten gelieferten einmal verwendeten Zahl N_C1 und einer zweiten durch den zweiten Zugangs-Knoten gelieferten einmal verwendeten Zahl N_A1 zwischen dem mobilen Knoten und dem zweiten Zugangs-Knoten, wobei der neue Authentifizierungs-Schlüssel K_S1 in Übereinstimmung mit dem Hash-Funktionsergebnis des ersten Schlüssels K_S0 der Sitzung erzeugt wird und die erste einmal verwendete Zahl N_C1 und die zweite einmal verwendete Zahl N_A1 in Übereinstimmung mit der Funktion K_S1 = hash(hash(K_S0), N_C1, N_A1) erzeugt werden.
Ein Zugangs-Knoten eines Kommunikationssystems, gekennzeichnet durch: Mittel für das Empfangen einer Benachrichtigung von einem anderen Knoten des Kommunikationssystems, jedes Mal wenn ein mobiler Knoten erfolgreich durch das Kommunikationssystem authentifiziert worden ist; Mittel für das Empfangen von einem mobilen Knoten eines ersten Werts einer eine Reihe von n Werten umfassenden Zahlen-Kette, erzeugt unter Verwendung einer Ein-Weg-Kodierfunktion in der Weise, dass ein gegebener Wert innerhalb der Kette einfach aus einem darauf folgenden Wert hergeleitet werden kann, jedoch der darauf folgende Wert nicht einfach aus dem gegebenen Wert herleitbar ist, und der gesendete Wert nachfolgend zu irgendwelchen bereits an Zugangs-Knoten gesendeten Werten ist; und Mittel für das Authentifizieren des mobilen Knotens auf der Basis dieses Werts und der zuvor empfangenen Benachrichtigungen.