DE69534012T2

DE69534012T2 - Authentifizierungsverfahren für mobile Kommunikation

Info

Publication number: DE69534012T2
Application number: DE69534012T
Authority: DE
Inventors: Masayoshi Kounosu-shi Ohashi; Yoshio Ohmiya-shi Takeuchi; Toshinori Itabashi-ku Suzuki; Akira Toshima-ku Yamaguchi; Seiichiro Toshima-ku Sakai; Toshio Sayama-shi Mizuno
Original assignee: Kokusai Denshin Denwa KK
Current assignee: KDDI Corp
Priority date: 1994-03-17
Filing date: 1995-03-11
Publication date: 2006-05-04
Anticipated expiration: 2015-03-12
Also published as: DE69534012D1; EP0673178B1; EP0673178A2; US5596641A; EP0673178A3

Description

Die Erfindung bezieht sich auf ein Authentifizierungsverfahren für mobile Kommunikationen (Mobilfunkkommunikationen). Insbesondere bezieht sich die Erfindung auf ein Authentifizierungsverfahren, das in Mobilfunkkommunikationsnetzen mit verschiedenen Algorithmen benutzt werden kann, um zu identifizieren, daß ein Mobilfunkteilnehmer, der aus einem Heim-Netz in ein anderes Netz eintritt oder wechselt, in seinem Heim-Netz ein berechtigter Teilnehmer ist.
BESCHREIBUNG DES RELEVANTEN STANDES DER TECHNIK
Da bei den Mobilfunkkommunikationen die Mobilfunkteilnehmer mit einem Mobilfunkkommunikationsnetz über Funkschnittstellen verbunden sind, ist es für das Mobilfunknetz schwierig zu bestätigen, daß der angeschlossene Mobilfunkteilnehmer mit Sicherheit ein erwünschter ist. Daher muß das Mobilfunknetz den angeschlossenen Mobilfunkteilnehmer authentifizieren.
Da eine Kommunikation per Funk leicht von jedermann abgehört werden kann, muß die Authentifizierung hinreichend geschützt sein, so daß nur die berechtigten Teilnehmer richtig authentifiziert werden.
Bei derzeitigen digitalen Mobilfunkkommunikationen ist daher ein Abfrage-Antwort-Authentifizierungsverfahren (AA-Authentifizierungsverfahren) weit verbreitet, das auf einer Geheimschlüssel-Kryptographie beruht.
Anhand von 1, die das Prinzip der AA-Authentifizierung darstellt, wird nachstehend das AA-Authentifizierungsverfahren beschrieben. Bei dem AA-Authentifizierungsverfahren haben ein Mobilfunkkommunikationsnetz und eine Mobilfunkstation, die zu dem Netz gehört, die gleiche Geheimschlüssel-Verschlüsselungsfunktion f. Die Funktion f hat zwei Variablen: einen Geheimschlüssel ki und eine Zufallszahl RND (RND = random number). Da der Geheimschlüssel ki als Parameter behandelt werden kann, wird diese Verschlüsselungsfunktion mit f_ki(RND) und ihr Ergebnis mit SRES abgekürzt.
Das Mobilfunknetz besitzt die Geheimschlüssel {ki} aller rechtmäßigen Mobilfunkstationen (Teilnehmer), die zu diesem Netz gehören (S101). Die berechtigten Mobilfunkstationen besitzen ebenfalls die jeweiligen Geheimschlüssel {ki}, die unterschiedlich sind (S102). Diese Geheimschlüssel {ki} sind physisch vor illegalem Auslesen geschützt. Zu Beginn der AA-Authentifizierung sendet die Mobilfunkstation (was nicht dargestellt ist) ihre Identifikationsnummer an das Mobilfunknetz. Das Mobilfunknetz sucht dann nach einem Geheimschlüssel ki, der dieser angeschlossenen Mobilfunkstation entspricht, durch Abfragen ihrer Datenbasis, und wenn sie den Geheimschlüssel ki gefunden hat, erzeugt sie wenigstens eine Zufallszahl RND (S103). Die erzeugte RND (Abfrage) wird an die Mobilfunkstation gesendet. Die Mobilfunkstation berechnet daraufhin f_ki(RND) mittels der empfangenen RND und ihres Geheimschlüssels ki (S104) und sendet dann das Ergebnis der Berechnung SRES (die Ant wort) an das Mobilfunknetz. Da das Mobilfunknetz den gleichen Geheimschlüssel ki und die gleiche Verschlüsselungsfunktion f hat, kann die gleiche Berechnung von f_ki(RND) mittels der gesendeten RND ausgeführt werden. Das Ergebnis dieser Berechnung wird mit dem Ergebnis SRES aus der Mobilfunkstation verglichen (S105). Wenn das Ergebnis von f_ki(RND) gleich SRES ist, ist die Authentifizierung positiv, andernfalls negativ.
Wie schon erwähnt, erscheint bei dem AA-Authentifizierungsverfahren der Geheimschlüssel ki der Mobilfunkstation nicht an der Funkschnittstelle. Es werden nur die RND und die SRES zwischen der Mobilfunkstation und dem Netz über diese Funkschnittstelle übertraten. Mithin ist der Geheimschlüssel ki sicher vor einem Abhören geschützt.
Da ferner die RND durch das Netz willkürlich (nach einem Zufallsverfahren) gewählt wird und sich die richtige SRES in Abhängigkeit von der gewählten RND ändert, ist es ziemlich schwierig, eine illegale Mobilfunkstation als berechtigte Mobilfunkstation zu Authentifizieren, selbst wenn sie die zuvor durch Abhören des Netzes ermittelte SRES sendet. Das AA-Authentifizierungsverfahren ist daher ein sehr gutes Verfahren zur Gewährleistung der Sicherheit eines Mobilfunkkommunikationssystems. Bei den nachstehend beschriebenen Authentifizierungsverfahren wird ebenfalls ein derartiges AA-Authentifizierungsverfahren angewandt, jedoch mit Abwandlungen.
Wenn eine Mobilstation aus ihrem Heim-Netz ein anderes Netz aufsucht, wird dies "Bereichswechsel" genannt. Das aufgesuchte Netzwerk, in das die Mobilfunkstation eintritt, wird "aufgesuchtes Netz" genannt. Vor einer Kom munikation mit der eintretenden Mobilfunkstation muß das aufgesuchte Netz die den Bereich wechselnde beziehungsweise aufsuchende Mobilfunkstation Authentifizieren, das heißt prüfen, ob es sich um einen berechtigten Mobilfunkteilnehmer handelt, der in seinem Heim-Netz registriert ist.
Da das aufgesuchte Netz weder den Geheimschlüssel der den Bereich wechselnden Mobilfunkstation kennt noch immer die gleiche Verschlüsselungsfunktion wie die des Heim-Netzes benutzt, ist ein bestimmtes Verfahren erforderlich, um zu authentifizieren (zu prüfen), ob die den Bereich wechselnde Mobilfunkstation zu den Mobilfunkstationen in ihrem Heim-Netz gehört, und zwar wie folgt

(1) Wenn das aufgesuchte Netz die gleiche Verschlüsselungsfunktion f wie das Heim-Netz benutzt, gibt es zwei Verfahren:
(a) das Aussenden eines Geheimschlüssels ki der aus dem Heim-Netz in das aufgesuchte Netz wechselnden Mobilfunkstation und
(b) das Erzeugen wenigstens eines Abfrage-Antwort-Paares {RND, SRES}, das zur Authentifizierung im Heim-Netz, das einen Geheimschlüssel ki der den Bereich wechselnden Mobilfunkstation benutzt, erforderlich ist, und das Aussenden des erzeugten Paares {RND, SRES} an das aufgesuchte Netz. 2a veranschaulicht das Verfahren (a), bei dem das Heim-Netz den Geheimschlüssel ki der den Bereich wechselnden Mobilfunkstation an das aufge suchte Netz sendet. Bei diesem Verfahren haben die Mobilfunkstation und das Heim-Netz die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel ki (S201, S203), und das aufgesuchte Netz hat die gleiche Verschlüsselungsfunktion (S202). Wenn die Mobilfunkstation mit ihrer Identifikationsnummer den Wechsel in das aufgesuchte Netz fordert, sendet das aufgesuchte Netz diese Identifikationsnummer an das Heim-Netz der Mobilfunkstation. Das Heim-Netz sucht dann nach einem der den Bereich wechselnden Mobilfunkstation entsprechenden Geheimschlüssel ki durch Abfragen ihrer Datenbasis (S204). Der gefundene Geheimschlüssel ki wird an das aufgesuchte Netz gesendet (S205). Danach werden die üblichen AA-Authentifizierungsprozesse, die bereits beschrieben wurden, zwischen der Mobilfunkstation und dem aufgesuchten Netz mittels dieses gesendeten Geheimschlüssels ki ausgeführt. Dieses Verfahren (a) ist einfach. Da jedoch der für die Sicherheit wichtige Geheimschlüssel ki ans aufgesuchte Netz übertragen wird, kann keine hohe Sicherheit erwartet werden. 2b veranschaulicht das Verfahren (b), bei dem das Heim-Netz mittels des Geheimschlüssels ki der den Bereich wechselnden Mobilfunkstation eine Gruppe von AA-Paaren erzeugt, die zur Authentifizierung erforderlich sind, und sendet sie ans aufgesuchte Netz. In diesem Fall haben nur die Mobilfunkstation und das Heim-Netz die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel ki (S211, S212). Wenn die Mobilfunkstation mittels ihrer Identifizierungsnummer den Bereichswechsel in das aufgesuchte Netz anfordert, sendet das aufgesuchte Netz diese Identifizierungsnummer an deren Heim-Netz. Das Heim-Netz sucht dann nach einem Geheimschlüssel ki, der der den Bereich wechselnden Mobilfunkstation entspricht, durch Abfragen ihrer Datenbasis (S213) und erzeugt, wenn sie eine gefunden hat, wenigstens eine Gruppe aus Zufallszahlen {RND₁, ..., RND_n} (S214). Das Heim-Netz berechnet dann f_ki(RND_j) mittels der erzeugten RND_j (j = 1, ..., n) und des gefundenen Geheimschlüssels ki (S215) und sendet eine Gruppe von AA-Paaren, nämlich die erzeugten Zufallszahlen {RND₁ ..., RND_n} und die Ergebnisse der Berechnung {SRES₁, ..., SRES_n} an das aufgesuchte Netz (S216). Danach werden die üblichen, bereits beschriebenen AA-Authentifizierungsverfahren zwischen der Mobilfunkstation und dem aufgesuchten Netz ausgeführt. Da bei diesem Verfahren (b) eine Gruppe von AA-Paaren ans aufgesuchte Netz übertragen werden muß, ist die zu übertragende Datenmenge größer. Dagegen erscheint der aus Sicherheitsgründen wichtige Geheimschlüssel ki nicht auf dem Link zwischen den Netzen, so daß die zu erwartende hohe Sicherheit gewährleistet ist. Generell erhält das aufgesuchte Netz eine Vielzahl angeforderter AA-Paare aus dem Heim-Netz bei dem ersten Bereichswechsel der Mobilfunkstation, und dann wird bei jeder Authentifizierung dieser Mobilfunkstation ein Paar der empfangenen und im aufgesuchten Netz gespeicherten AA-Paare benutzt, ohne ein neues AA-Paar aus dem Heim-Netz anzufordern. Nachdem alle gespeicherten AA-Paare, die dieser Mobilfunkstation entsprechen, zur Authentifizierung benutzt worden sind, fordert und erhält das aufge suchte Netz eine neue Gruppe aus AA-Paaren aus dem Heim-Netz.
(2) Wenn das aufgesuchte Netz nicht die gleiche Verschlüsselungsfunktion f wie das Heim-Netz hat, kann das erwähnte Verfahren (a) nicht angewandt werden, so daß das Verfahren (b) benutzt werden muß. Bei dem genormten europäischen digitalen Mobilfunkkommunikationssystem, dem GSM (Global System for Mobile communication) wird dieses Verfahren (b) angewandt. Bei dem Verfahren (b), bei dem wenigstens ein AA-Paar aus dem Heim-Netz ins aufgesuchte Netz übertragen wird, müssen die Netze nicht die gleiche Verschlüsselungsfunktion f aufweisen. Dagegen kann das aufgesuchte Netz bei diesem Verfahren nicht die ursprünglichen Zufallszahlen zur Authentifizierung benutzen. Außerdem müssen bei diesem Verfahren die jeweiligen Bitlängen der Zufallszahl und des Rechenergebnisses für die Authentifizierung im aufgesuchten Netz und im Heim-Netz gleich lang sein. Im allgemeinen werden bei Netzen mit verschiedenen Verschlüsselungsfunktionen Zufallszahlen und Rechenergebnisse mit unterschiedlicher Bitlänge zur Authentifizierung benutzt. Daher kann in einem bestimmten Fall, wenn die Übertragung der Zufallszahl und des Rechenergebnisses mit variabler Bitlänge nicht durch ein Authentifizierungsprotokoll gestützt ist, keine ausreichende Informationsmenge über die Funkschnittstellen übertragen werden, selbst wenn das erwähnte Verfahren (b) angewandt wird. In diesem Fall kann keine gute AA-Authentifizierung erwartet werden.

Es gibt die folgenden vier Fälle der Übertragung der Zufallszahl und des Rechenergebnisses mit unterschiedlicher Bitlänge:

(A) Die Bitlänge der Zufallszahl im aufgesuchten Netz ist größer als die im Heim-Netz. Da in diesem Fall das aufgesuchte Netz die Zufallszahl aus dem Heim-Netz über die Funkschnittstelle vollständig an die den Bereich wechselnde Mobilfunkstation übertragen kann, tritt kein Problem auf.
(B) Die Bitlänge der Zufallszahl im aufgesuchten Netz ist kleiner als die im Heim-Netz. In diesem Fall kann das aufgesuchte Netz nicht alle Bits der Zufallszahl aus dem Heim-Netz an die den Bereich wechselnde Mobilfunkstation übertragen. Die Mobilfunkstation empfängt daher eine unvollständige Zufallszahl mit der Folge, daß die Verschlüsselungsfunktion falsch berechnet wird. In diesem Fall kann daher keine richtige Authentifizierung bei einem Bereichswechsel erwartet werden.
(C) Die Bitlänge des Rechenergebnisses im aufgesuchten Netz ist größer als die im Heim-Netz. Da in diesem Fall das aufgesuchte Netz das Rechenergebnis vollständig über die Funkschnittstelle aus dem Heim-Netz an die den Bereich wechselnde Mobilfunkstation übertragen kann, tritt kein Problem auf.
(D) Die Bitlänge des Rechenergebnisses im aufgesuchten Netz ist kürzer als die in dem Heim-Netz. In diesem Fall kann das aufgesuchte Netz nicht alle Bits des Rechenergebnisses aus dem Heim-Netz zu der den Bereich wechselnden Mobilfunkstation übertragen. Da jedoch das aufgesuchte Netz wenigstens einen Teil des Rechenergebnisses aus der Mobilfunkstation zusätzlich zu dem Rechenergebnis aus dem Heim-Netz ermitteln kann, kann die Authentifizierung im wesentlichen durchgeführt werden, obwohl die Sicherheit etwas geringer ist.

Wie schon erwähnt wurde, ist es bei dem herkömmlichen Authentifizierungsverfahren schwierig, den Bereichswechsel im Falle (B) durchzuführen. Da der Bereichswechsel zwischen den Netzen gegenseitig angefordert wird, tritt das erwähnte Problem von (B) sicher bei einem Bereichswechsel zwischen Netzen auf, bei denen Zufallszahlen verschiedener Bitlänge benutzt werden.
Die WO 93 17 529 A offenbart ein Mobilfunkkommunikations-Authentifizierungsverfahren nach dem Oberbegriff des Anspruchs 1 vorliegender Erfindung. Bei diesem bekannten Verfahren werden zwischen der Mobilfunkstation (einem drahtlosen Telefon (DT)) und einem Mobilfunkkommunikationssystem, das das aufgesuchte Netz und das Heim-Netz aufweist (das globale System für mobile Kommunikationen (GSM)), für die Mobilfunkstation spezifische Authentifizierungsdaten (die DT-spezifischen Authentifizierungsdaten), durch genormte (GSM-) Nachrichten- und Informationselemente ohne Änderung des Formats der Informationselemente oder des Nachrichtenformats übertragen. Die Authentifizierungsdaten (DT-Daten) sind kürzer als die Informationselemente (GSM-Daten). Der nicht besetzte Platz der Informationselemente wird mit lauter Nullen in Verbindung mit Authentifizierungsdaten (DT-Daten) gefüllt. Diese Nullen können die Sicherheit gegen eine unerwünschte Entschlüsselung der übertragenen Daten verringern.
Die EP-A-0 584 725 offenbart ein weiteres Authentifizierungsverfahren, das dem im Oberbegriff des Anspruchs 1 vorliegender Erfindung angegebenen Verfahren ähnlich ist. Bei diesem Verfahren wird ein unverschlüsselter Geheimschlüssel zwischen den Netzen übertragen. Mithin wird der Geheimschlüssel diesen Netzen und dem Teilnehmer bekannt.
Der Erfindung liegt daher die Aufgabe zugrunde, ein Authentifizierungsverfahren für mobile Kommunikation anzugeben, durch das die zu übertragende Informationsmenge verringert werden kann, aber dennoch die Sicherheit der Kommunikationen erhalten bleibt und der Bereichswechsel zwischen Netzen mit verschiedener Bitlänge der Zufallszahlen, die zur gegenseitigen Authentifizierung benutzt werden, durchgeführt werden kann.
Vorliegende Erfindung besteht daher in einem Verfahren zum Authentifizieren einer Mobilfunkstation, die aus einem Heim-Netz der Mobilfunkstation in ein anderes Netz wechselt, wie es in Anspruch 1 angegeben ist.
In dem Fall, daß die Bitlänge der Zufallszahlen, die in dem aufgesuchten Netz benutzt werden, kleiner als die der im Heim-Netz benutzten ist, sendet das aufgesuchte Netz eine Zufallszahl mit geringerer Bitlänge an die Mobilfunkstation. Die Mobilfunkstation verlängert die empfangene Zufallszahl mittels einer darin vorgesehenen Verlängerungsfunktion, um eine Zufallszahl mit der gleichen Bitlänge wie die der im Heim-Netz benutzten Zufallszahl zu bilden. Die Mobilfunkstation berechnet dann die gleiche Verschlüsselungsfunktion mit dem gleichen Geheimschlüssel wie dem, der in dem Heim-Netz vorgesehen ist, in Übereinstimmung mit der verlängerten Zufallszahl und sendet das Rechenergebnis an das Heim-Netz, um es mit dem Rechenergebnis aus dem Heim-Netz zu vergleichen.
Daher kann durch vorliegende Erfindung ein Authentifizierungsverfahren für eine Mobilfunkkommunikation geschaffen werden, bei dem ein Wechsel zwischen Netzen mit verschiedenen Bitlängen der Zufallszahlen möglich ist, die zur gegenseitigen Authentifizierung benutzt werden.
Die Verlängerungsfunktion kann ein Blockverschlüsselungssystem sein, das im CBC-Modus arbeitet.
Weitere Ziele und Vorteile der vorliegenden Erfindung ergeben sich aus der nachstehenden Beschreibung bevorzugter Ausführungsbeispiele der Erfindung, die in den beiliegenden Zeichnungen dargestellt sind.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 stellt ein Ablaufdiagramm des Betriebs eines herkömmlichen AA-Authentifizierungsverfahrens dar, das bereits beschrieben wurde;
2a und 2b stellen Ablaufdiagramme des Betriebs eines weiteren herkömmlichen AA-Authentifizierungsverfahrens dar, das bereits beschrieben wurde;
3 stellt schematisch den Aufbau eines bevorzugten Ausführungsbeispiels eines erfindungsgemäßen Mobilfunkkommunikationssystems dar;
4 stellt schematisch den Aufbau einer Mobilfunkstation dar, die in 3 dargestellt ist;
5 besteht aus drei getrennt dargestellten 5A, 5B und 5C und stellt ein Ablaufdiagramm des Betriebs einer im Stapelbetrieb arbeitenden Authentifizierungsvorstufe gemäß dem Ausführungsbeispiel nach 3 dar;
6 stellt ein Ablaufdiagramm des Betriebs einer Hauptauthentifizierungsstufe gemäß dem Ausführungsbeispiel nach 3 dar;
7 besteht aus den 7A, 7B und 7C und stellt ein Ablaufdiagramm des Betriebs eines weiteren Ausführungsbeispiels der Erfindung dar;
Die 8a, 8b und 8c stellen Beispiele von Verlängerungsfunktionen dar, die bei dem Ausführungsbeispiel nach 2 benutzt werden;
9 besteht aus den 9A, 9B und 9C und stellt ein Ablaufdiagramm des Betriebs eines weiteren Ausführungsbeispiels der Erfindung dar;
10 besteht aus den 10A, 10B, 10C und 10D und stellt ein Ablaufdiagramm des Betriebs einer im Stapelbetrieb arbeiteten Authentifizierungsvorstufe eines weiteren Ausführungsbeispiels der Erfindung dar;
11 besteht aus den 11A und 11B und stellt ein Ablaufdiagramm des Betriebs einer Hauptauthentifizie rungsstufe des Ausführungsbeispiels nach 10 dar; und
12 besteht aus den 12A, 12B und 12C und stellt ein Ablaufdiagramm des Betriebs eines weiteren Ausführungsbeispiels der Erfindung dar.
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE
In 3, die schematisch den Aufbau eines Mobilfunkkommunikationssystems als bevorzugtes Ausführungsbeispiel der vorliegenden Erfindung darstellt, ist mit der Bezugszahl 30 ein Heim-Netz und mit der Bezugszahl 31 ein aufgesuchtes Netz bezeichnet. Im Heim-Netz 30 gibt es Schaltstationen 32, eine Basisstation 33, die über eine Drahtleitung mit der Schaltstation 32 verbunden ist, und eine Datenbasis 34, die mit der Schaltstation 32 verbunden ist. Wenn sich in diesem Heim-Netz 30 eine Mobilfunkstation 35 befindet, wie es durch die gestrichelte Linie angedeutet ist, kann sie über eine Funkverbindung mit der Basisstation 33 verbunden werden. In dem aufgesuchten Netz 31 befinden sich Schaltstationen 36, eine Basisstation 37, die mit der Schaltstation 36 durch eine Drahtleitung verbunden ist, und eine Datenbasis 38, die mit der Schaltstation 36 verbunden ist. Die in das Netz 31 wechselnde Mobilfunkstation 35 ist jetzt über eine Funkverbindung mit der Basisstation 37 verbunden.
4 stellt schematisch ein Beispiel des Aufbaus der Mobilfunkstation 35 dar, die in 3 dargestellt ist. Die Mobilfunkstation 35 hat eine Antenne 40, die mit einer HF-Einheit 31 einer Basisband-Verarbeitungseinheit 32 und einer Sprachverschlüsselungs- und -dekodiereinheit 43 in Reihe geschaltet ist. Die Sprachver schlüsselungs- und -dekodiereinheit 43 ist ferner mit einem Lautsprecher 44 und einem Mikrofon 45 verbunden. Mit der HF-Einheit 41, der Basisband-Verarbeitungseinheit 42 und der Sprachverschlüsselungs- und -dekodiereinheit 43 ist eine Steuereinheit 46 verbunden, die den Betrieb dieser Einheiten steuert. Mit der Steuereinheit 46 ist ferner eine Ein-/Ausgabe-Schnittstelle 47 zur Aufnahme einer Chip-Karte 48 verbunden.
5 veranschaulicht den Betrieb einer erfindungsgemäßen, im Stapelbetrieb arbeitenden Authentifizierungsvorstufe.
Bei dieser Stufe ist angenommen, daß die Kommunikationsverbindung zwischen der Mobilfunkstation 35 und der Basisstation 37 des aufgesuchten Netzes 31 eine gesicherte Kommunikationsverbindung ist, die vor einem Mißbrauch geschützt ist, zum Beispiel wie eine spezielle Draht-Kommunikationsleitung oder eine normale Funk-Kommunikationsleitung, die eine verschlüsselte Nachricht benutzt. Die Mobilfunkstation 35 und das Heim-Netz 30 haben die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel ki, die dieser Mobilfunkstation zugeordnet sind (S501, S502).
Wenn die Mobilfunkstation 35 eine Vor-Authentifizierung (vorläufige Authentifizierung) durch das aufgesuchte Netz 31 mit ihrer Identifikationsnummer fordert, informiert das aufgesuchte Netz 31 deren Heimnetz 30 darüber mit ihrer Identifikationsnummer. Das Heim-Netz 30 sucht dann nach einem Geheimschlüssel ki, der der den Bereich wechselnden Mobilfunkstation 35 entspricht, durch Abfrage seiner Datenbasis 34 (S502), und wenn es einen gefunden hat, erzeugt es eine Gruppe von Zufallszahlen {RNDa₁, ..., RNDa_n} (S504). Das Heim-Netz 30 berechnet dann f_ki(RNDa_j) mittels der erzeugten RNDa_j (j = 1, ..., n) und des gefundenen Geheimschlüssels ki (S505) und sendet eine Gruppe von AA-Paaren, nämlich die erzeugten Zufallszahlen {RNDa₁, ..., RNDa_n} aus 62 Bits und die Ergebnisse der Berechnung {SRESa₁, ..., SRESa_n} aus 32 Bits an das aufgesuchte Netz 31.
Das aufgesuchte Netz 31, das eine Gruppe aus den AA-Paaren empfangen hat, erzeugt eine Gruppe aus Zufallszahlen {RNDb₁, ..., RNDb_m} (S506). Das aufgesuchte Netz verknüpft dann diese berechneten Zufallszahlen {RNDb₁, ..., RNDb_m} mit den empfangenen Zufallszahlen {RNDa₁, ..., RNDa_n} und sendet die verknüpften Zufallszahlen parallel oder seriell (in dem Beispiel nach 5 parallel) an die Mobilfunkstation 35, wobei es die Reihenfolge der gesendeten Nummern nach einem Zufallsverfahren umordnet. Das zuvor erwähnte n ist eine ganze Zahl und größer als 1 und m eine ganze Zahl, die sehr viel größer als n ist (m >> n). Beispielsweise kann m = 100 und n = 10 sein, jedoch ohne darauf beschränkt zu sein.
Die Mobilfunkstation 35 berechnet SRESa_j = f_ki(RNDa_j) (j = 1, ..., n) und SRESb_j = f_ki(RNDb_j) (j = 1, ..., m) mittels der empfangenen (n + m) Zufallszahlen, der Verschlüsselungsfunktion f und ihres Geheimschlüssels ki (S507) und sendet dann die in eine Zufallsreihenfolge umgeordneten Ergebnisse der Berechnung {SRESa₁, ..., SRESa_n, SRESb₁, ..., SRESb_m} an das aufgesuchte Netz 31 zurück. Das aufgesuchte Netz 32 nimmt die Reihenfolge der empfangenen Rechenergebnisse wieder in Übereinstimmung mit ihrer Sendereihenfolge auf und erhält mithin richtig geordnete Rechenergebnisse {SRESa₁, ..., SRESa_n und {SRESb_i, ..., SRESb_m}. Das aufgesuchte Netz 31 vergleicht dann das durch die Mobilfunkstation 35 berechnete und von ihr empfangene Ergebnis {SRESa₁, ..., SRESa_n} mit dem von dem Heim-Netz 30 berechneten und von ihr empfangenen Ergebnis {SRESa_i, ..., SRESa_n}, um zu prüfen, ob sie übereinstimmen (S508). Wenn sie alle übereinstimmen, wird die Mobilfunkstation 35 als rechtmäßiger Mobilfunkteilnehmer anerkannt, wonach die Zufallszahlen {RNDb₁, ..., RNDb_m} und die Rechenergebnisse {SRESb₁, ..., SRESb_m} aus der Mobilfunkstation 35 in dem aufgesuchten Netz 31 gespeichert werden, so daß sie bei der Hauptauthentifizierung als AA-Paare benutzt werden (S509). Bei mangelnder Übereinstimmung eines oder mehrerer Ergebnisse wird entschieden, daß die im Stapelbetrieb ausgeführte vorläufige Authentifizierung fehlgeschlagen ist, woraufhin die Ergebnisse {SRESb₁, ..., SRESb_m} fallengelassen werden.
Da die Sendereihenfolge der Zufallszahlen aus dem aufgesuchten Netz 31 geändert worden ist, kann die Mobilfunkstation 35 nicht erkennen, welche der Zufallszahlen {RNDa₁, ..., RNDa_m, RNDb₁, ..., RNDb_m} der gerade empfangenen Zufallszahl entspricht. Wenn daher alle Rechenergebnisse bezüglich {RNDa₁, ..., RNDa_n}, wie zuvor erwähnt, übereinstimmen, wird nicht nur die Mobilfunkstation 35, sondern auch die Gruppe aus AA-Paaren {RNDb₁, ..., RNDb_m} und {SRESb₁, ..., SRESb_m} als rechtmäßig anerkannt.
Nachdem die erwähnte im Stapelbetrieb ausgeführte vorläufige Authentifizierung der Mobilfunkstation 35 erfolgreich ausgeführt worden ist, kann das aufgesuchte Netz 31 mit der Hauptauthentifizierung gemäß 6 jederzeit beginnen, wenn die Mobilfunkstation 35 den Bereichswechsel über die Funk-Schnittstelle fordert.
Wenn die Mobilfunkstation 35 einen Bereichswechsel mit ihrer Identifikationsnummer fordert, sendet das aufge suchte Netz 31 eine der Zufallszahlen RNDb_j aus 64 Bits an die Mobilfunkstation 35, da die Ergebnisse der vorläufigen Authentifizierung (AA-Paare) {RNDb₁, ..., RNDb_m} und {SRESb₁, ..., SRESb_m} bereits in dem aufgesuchten Netz 31 gespeichert sind (S601). Die Mobilfunkstation 35 berechnet daraufhin SRESb_j = f_ki(RNDb_j) mittels der empfangenen RNDb_j, ihrer Verschlüsselungsfunktion f und ihrem Geheimschlüssel ki (S602) und sendet das berechnete Ergebnis SRESb_j aus 32 Bits an das aufgesuchte Netz 31 zurück. Das Ergebnis dieser Berechnung SRESb_j wird mit dem entsprechenden Ergebnis SRESb_j verglichen, das in der vorläufigen Authentifizierungsstufe in dem aufgesuchten Netz gespeichert worden ist. Wenn sie übereinstimmen, war die Hauptidentifizierung positiv, andernfalls negativ.
Es sei darauf hingewiesen, daß bei jeder Hauptauthentifizierung dieser Mobilfunkstation 35 ein Paar der in dem aufgesuchten Netz 31 bei der im Stapelbetrieb ausgeführten vorläufigen Authentifizierung gespeicherten AA-Paare benutzt wird. Bei einem Bereichswechsel durch diese Mobilfunkstation 35, nachdem alle gespeicherten AA-Paare dieser Station 35 benutzt worden sind, ist eine neue vorläufige Authentifizierung erforderlich.
In der Hauptauthentifizierungsstufe werden die schon einmal an die Mobilfunkstation gesendeten Zufallszahlen {RNDb₁, ..., RNDb_m} erneut benutzt. Wenn diese Zahlen daher während der vorläufigen Authentifizierungsstufe heimlich abgehört wurden, kann der Abhörer bei der Hauptidentifizierung als solcher unerkannt und als berechtigter Teilnehmer behandelt werden. Daher sollte die Kommunikationsverbindung zwischen der Mobilfunkstation und dem aufgesuchten Netz während der vorläufigen Authentifizierung gegen ein mißbräuchliches Abhören gesichert sein.
Zur Vereinfachung der Beschreibung ist angenommen worden, daß die Mobilfunkstation selbst die Verschlüsselungsfunktion und den Geheimschlüssel aufweist. In vielen Mobilfunk-Kommunikationssystemen können jedoch Chip-Karten, in denen diese Verschlüsselungsfunktionen und zugehörigen Geheimschlüssel gespeichert sind, vorgesehen sein. In diesen Fällen können die Chip-Karten während der vorläufigen Authentifizierung dadurch mit dem aufgesuchten Netz verbunden werden, daß sie in vorgeschriebene Drahtleitungs-Terminals im aufgesuchten Netz eingeführt werden, statt sie über die Funk-Schnittstelle anzuschließen, so daß die Kommunikationsverbindung zwischen der Mobilfunkstation und dem aufgesuchten Netz abhörsicher ist.
Wie sich aus vorstehender Beschreibung ergibt, kann das aufgesuchte Netz – bei diesem Ausführungsbeispiel – eine gewünschte Anzahl von AA-Paaren aus den von ihm selbst erzeugten Zufallszahlen und den von der Mobilfunkstation berechneten Rechenergebnissen gemäß obigen Zufallszahlen gewinnen, ohne eine große Anzahl der AA-Paare aus dem Heim-Netz zu empfangen. Da die Anzahl n der aus dem Heim-Netz gesendeten und für die vorläufige Authentifizierung benutzten Zufallszahlen sehr viel kleiner als die Anzahl m der in dem aufgesuchten Netz erzeugten Zufallszahlen ist (m >> n), kann die zwischen den Netzen zu übertragende Informationsmenge erheblich verringert werden. Ferner ist dieses Verfahren auch in dem Fall effektiv, daß das aufgesuchte Netz nicht in der Lage sein sollte, die Verschlüsselungsfunktion f zu berechnen.
7 veranschaulicht den Betriebsablauf eines weiteren Ausführungsbeispiels der vorliegenden Erfindung. Der Aufbau des Mobilfunk-Kommunikationssystems und der Mobilfunkstation sind die gleichen wie die in den 3 und 4 dargestellten.
Dieses Ausführungsbeispiel betrifft ein Mobilfunk-Kommunikationssystem mit einem Authentifizierungsprotokoll, bei dem das aufgesuchte Netz Zufallszahlen erzeugen darf. Bei diesem Ausführungsbeispiel haben die Mobilfunkstation 35 und das Heim-Netz 30 die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel ki, die dieser Mobilfunkstation zugeordnet sind (S701, S703). Die Bitlänge der Zufallszahlen, die im Heim-Netz 30 und in der Mobilfunkstation 35 benutzt werden, beträgt 128 Bits, und die Bitlänge der darin benutzten Rechenergebnisse beträgt 32 Bits (S701, S703). Das aufgesuchte Netz 31 hat dagegen eine von f abweichende Verschlüsselungsfunktion. Die Bitlänge der Zufallszahlen, die in diesem aufgesuchten Netz 31 benutzt werden, beträgt 64 Bits und die Bitlänge seines Rechenergebnisses beispielsweise 32 Bits (S702). Ferner sind die Mobilfunkstation 35 und das aufgesuchte Netz 31 mit Verlängerungsfunktionen E( ) zur Verlängerung der Bitlänge von 64 Bits auf 128 Bits versehen.
Wenn die Mobilfunkstation 35 einen Wechsel in das aufgesuchte Netz 31 mit ihrer Identifikationsnummer fordert, informiert das aufgesuchte Netz 31 das Heim-Netz 30 davon mit ihrer Identifikationsnummer. Das Heim-Netz 30 sucht dann nach einem Geheimschlüssel ki, der der den Bereich wechselnden Mobilfunkstation 35 entspricht, durch Abfragen seiner Datenbasis 34 (S704). Nachdem es den Geheimschlüssel ki gefunden hat, erzeugt das aufgesuchte Netz 31 eine Gruppe aus Zufallszahlen {RND₁, ..., RND_n} aus 64 Bits (S705) und erzeugt verlängerte Zufallszahlen {RND'₁, ..., RND'_n} aus 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf die 64-Bit-Zufallszahlen {RND₁, ..., RND_n} (S706). Die verlängerten Zufallszahlen {RND'₁, ..., RND'_n} werden dann ans Heim-Netz 30 gesendet. Das Heim-Netz 30 berechnet mithin f_ki(RND'_j) mittels der empfangenen RND'_j (j = 1, ..., n) und des empfangenen Geheimschlüssels ki (S707). Die Ergebnisse der Berechnung {SRES₁, ..., SRES_n} aus 32 Bits werden zurückgesendet und in dem aufgesuchten Netz 31 als Gruppe aus den Zufallszahlen, ihren verlängerten Zufallszahlen und ihren berechneten Ergebnissen {RND_j, RND'_j, SRES_j} (j = 1, ..., n) gespeichert.
Bei der Authentifizierung der Mobilfunkstation extrahiert das aufgesuchte Netz 31 eine unbenutzte Gruppe aus Zufallszahlen, seiner verlängerten Zufallszahl und seinem berechneten Ergebnis {RND_j, RND'_j, SRES_j} aus diesen gespeicherten Gruppen. Dann wird die Zufallszahl RND_j in dieser extrahierten Gruppe über die Funk-Schnittstelle zur Mobilfunkstation 35 gesendet. Die Mobilfunkstation 35 erzeugt verlängerte Zufallszahlen RND'_j mit 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf RND_j (S708) und berechnet dann SRES_j = f_ki(RND'_j) mittels der verlängerten Zufallszahl RND'_j und ihres Geheimschlüssels ki (S709). Das Ergebnis der Berechnung SRES_j aus 32 Bits wird ins aufgesuchte Netz 31 zurückgesendet. Dann vergleicht das aufgesuchte Netz 31 das von der Mobilfunkstation 35 berechnete und empfangene Ergebnis SRES_j mit dem darin gespeicherten Ergebnis SRES_j, um zu prüfen, ob sie übereinstimmen (S710). Wenn sie übereinstimmen, ist die Authentifizierung positiv, andernfalls negativ.
Es gibt viele Verlängerungsfunktionen. Die 8a, 8b und 8c stellen einfache Beispiele dieser Verlängerungsfunktionen dar. Die einfachste Verlängerungsfunktion ist in 8a oder 8b dargestellt, wobei eine Eingangsgröße aus 64 Bits in die die niedrigeren Stellen aufweisende (rechte) oder die die höheren Stellen aufweisende (linke) Hälfte einer Ausgangsgröße aus 128 Bits eingefügt und die andere Hälfte der Ausgangsgröße mit "0" oder einer festen Zahl gefüllt wird. Da jedoch an der empfangenen Ausgangsgröße leicht herausgefunden werden kann, daß eine Verlängerungsfunktion zur Bildung einer Ausgangsgröße mit so vielen Bits benutzt worden ist, ist die Benutzung dieser Verlängerungsfunktionen unerwünscht.
Bei einer Verlängerungsfunktion muß sichergestellt sein, daß

(1) anhand der Ausgangsgröße von 128 Bits die Eingangsgröße von 64 Bits nicht einfach angenommen werden kann und
(2) die verlängerte 128-Bit-Ausgangsgröße oder die ursprüngliche 128-Bit-Ausgangsgröße nicht leicht aus der empfangenen Ausgangsgröße angenommen werden kann.

Ein im CBC-Modus arbeitendes Block-Verschlüsselungssystem, das in 8c dargestellt ist, ist ein mögliches Beispiel einer Verlängerungsfunktion, daß die beiden erwähnten Bedingungen (1) und (2) erfüllt. In der Figur bezeichnet die Bezugszahl 80 eine Exklusiv-ODER-Schaltung und 81 eine Block-Verschlüsselungsschaltung zur Verschlüsselung einer 64-Bit-Eingangsgröße, nämlich zur Berechnung einer Funktion F( ) in Bezug auf ihre Eingangsgröße aus 64 Bits. Bezeichnet man die Eingangsgröße dieses Systems mit M₁ aus 64 Bits, dann kann die Ausgangsgröße der Schaltung 81 mit C₁ = F(M₁) bezeichnet werden. Wenn diese Ausgangsgröße zurückgeführt und der Exklusiv-ODER-Schaltung 80 zugeführt wird, dann ist die nächste Ausgangsgröße C₂ = F{F(M₁) ⊕ M₁}. Eine auf 128 Bits verlängerte Ausgangsgröße wird dadurch gebildet, daß die Ausgangsgrößen C₁ und C₂ mit jeweils 64 Bits zu der höherstelligen Hälfte der Bits und der niedrigerstelligen Hälfte der Bits der 128-Bit-Ausgangsgröße verknüpft werden.
Obwohl bei diesem Ausführungsbeispiel Zufallszahlen mit 64 Bits zwischen der Mobilfunkstation und dem aufgesuchten Netz über die Funk-Schnittstelle übertragen werden, kann die Mobilfunkstation die Authentifizierung mit Zufallszahlen aus 128 Bits durchführen, wobei die Authentifizierung die gleiche wie die im Heim-Netz ist.
9 veranschaulicht den Ablauf des Betriebs eines weiteren Ausführungsbeispiels der vorliegenden Erfindung. Der Aufbau eines Mobilfunk-Kommunikationssystems und der Aufbau einer Mobilfunkstation sind die gleichen wie die in den 3 und 4 dargestellten.
Dieses Ausführungsbeispiel betrifft ein Mobilfunk-Kommunikationssystem mit einem Authentifizierungsprotokoll, bei dem das Heim-Netz Zufallszahlen aus 64 Bits bilden darf. Auch bei diesem Ausführungsbeispiel haben die Mobilfunkstation 35 und das Heim-Netz 30 die gleiche Verschlüsselungsfunktion F und den gleichen Geheimschlüssel ki, die dieser Mobilfunkstation zugeordnet sind (S901, S903). Die Bitlänge der im Heim-Netz 30 und in der Mobilfunkstation 35 benutzten Zufallszahlen beträgt 128 Bits, und die Bitlänge der darin benutzten Rechenergebnisse beträgt 32 Bits (S901, S903). Das aufgesuchte Netz 31 hat dagegen eine von f abweichende Verschlüsselungsfunktion. Die Bitlänge der in dem aufgesuchten Netz 31 benutzten Zufallszahlen beträgt 64 Bits und die Bitlänge seines Rechenergebnisses beispielsweise 32 Bits (S902). Ferner sind die Mobilfunkstation 35 und das Heim-Netz 30 mit Verlängerungsfunktionen E( ) zur Verlängerung der Bitlänge von 64 Bits auf 128 Bits versehen.
Wenn die Mobilfunkstation 35 einen Wechsel in das aufgesuchte Netz 31 mit ihrer Identifikationsnummer verlangt, sendet das aufgesuchte Netz 31 dies mit ihrer Identifikationsnummer an ihr Heim-Netz 30. Das Heim-Netz 30 sucht dann nach einem der Mobilfunkstation 35 entsprechenden Geheimschlüssel ki durch Abfragen seiner Datenbasis 34 (S904). Nachdem es den Geheimschlüssel ki gefunden hat, erzeugt das Heim-Netz 30 eine Gruppe aus Zufallszahlen {RND₁, ..., RND_n} aus 64 Bits (S905) und verlängerte Zufallszahlen {RND'₁, ..., RND'_n} aus 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf die 64-Bit-Zufallszahlen {RND₁, ..., RND_n} (S906). Als nächstes berechnet das Heim-Netz 30 f_ki(RND'_j) unter Verwendung der berechneten RND'_j (j = 1, ..., n) und des gefundenen Geheimschlüssels ki (S907). Die erzeugten Zufallszahlen {RND₁, ..., RND_n} aus 64 Bits und die Ergebnisse der Berechnung {SRES₁, ..., SRES_n} aus 32 Bits werden als AA-Paare aus {RND_j, SRES_j} (j = 1, ..., n) an das aufgesuchte Netz 31 gesendet und darin gespeichert.
Bei der Authentifizierung der Mobilfunkstation extrahiert das aufgesuchte Netz 31 ein unbenutztes AA-Paar aus der Zufallszahl und dem berechneten Ergebnis {RND_j, SRES_j} aus diesen gespeicherten AA-Paaren. Dann wird die Zufallszahl RND_j aus diesem extrahierten Paar über die Funk-Schnittstelle an die Mobilfunkstation 35 gesendet. Die Mobilfunkstation erzeugt verlängerte Zufallszahlen RND'_j aus 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf RND_j (S908) und berechnet dann SRES_j = f_ki(RND'_j) unter Verwendung der verlängerten RND'_j und ihres Geheimschlüssels ki (S909). Das Ergebnis der Berechnung SRES_j aus 32 Bits wird an das aufgesuchte Netz 31 zurückgesendet. Dann vergleicht das aufgesuchte Netz 31 das Ergebnis SRES_j, das von der Mobilfunkstation 35 berechnet und aus dieser empfangen wurde, mit dem darin gespeicherten Ergebnis SRES_j daraufhin, ob sie übereinstimmen (S910). Wenn sie übereinstimmen, ist die Authentifizierung positiv, andernfalls negativ.
Dieses Ausführungsbeispiel unterscheidet sich von dem Ausführungsbeispiel nach 7 darin, daß das Heim-Netz, nicht das aufgesuchte Netz, eine Verlängerungsfunktion aufweist, die zur Verlängerung der Zufallszahlen benutzt wird, und daß die Zufallszahl aus 64 Bits aus dem Heim-Netz an das aufgesuchte Netz gesendet wird.
Die 10 und 11 veranschaulichen den Ablauf des Betriebs eines weiteren Ausführungsbeispiels der vorliegenden Erfindung. Der Aufbau des Mobilfunk-Kommunikationssystems und der Aufbau einer Mobilfunkstation sind die gleichen wie die in den 3 und 4 dargestellten.
Dieses Ausführungsbeispiel betrifft ein Mobilfunk-Kommunikationssystem mit einem Authentifizierungsprotokoll, bei dem das aufgesuchte Netz 31 keine Zufallszahlen erzeugen darf.
Bei diesem Ausführungsbeispiel besteht das Authentifizierungsverfahren aus zwei Stufen: einer im Stapelbetrieb arbeitenden vorläufigen Authentifizierungsstufe und einer Hauptauthentifizierungsstufe. Bei diesem Ausführungsverfahren ist ferner eine Chip-Karte 48 mit einer Sicherheits-Verschlüsselungsfunktion und einem Geheimschlüssel sowie die Ausführung der vorläufigen Authentifizierungsoperation und der größte Teil der Hauptauthentifizierungsoperation vorgesehen. Die Mobilfunkstation 35 sorgt mithin teilweise für eine andere Funkkommunikationsoperation als die von der Chip-Karte ausgeführte. Es ist ferner angenommen, daß die Chip-Karte 48 bei diesem Ausführungsbeispiel eine eigene Identifikationsnummer aufweist. Bei einem anderen Ausführungsbeispiel kann entweder nur die Mobilfunkstation eine eigene Identifikationsnummer haben, oder es kann sowohl die Mobilfunkstation als auch die Chip-Karte jeweils eine eigene Identifikationsnummer haben.
10 veranschaulicht den Betriebsablauf der im Stapelbetrieb arbeitenden vorläufigen Authentifizierungsstufe bei diesem Ausführungsbeispiel.
In dieser Stufe ist angenommen, daß die Kommunikationsverbindung zwischen der Chip-Karte 48 und dem aufgesuchten Netz 31 eine gegen Abhören gesicherte Kommunikationsverbindung ist, z.B. eine spezielle Drahtleitungs-Kommunikationsverbindung oder eine normale Funk-Kommunikationsverbindung, bei der eine verschlüsselte Nachricht benutzt wird. Die Chip-Karte 48 und das Heim-Netz 30 haben die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel ki, die dieser Chip-Karte zugeordnet sind (S1001, S1003). Die Bitlänge der im Heim-Netz und in der Chip-Karte 48 benutzten Zufallszahlen beträgt 128 Bits, und die Bitlänge der Re chenergebnisse, die darin benutzt werden, beträgt 32 Bits (S1001, S1003, S1101 nach 11). Das aufgesuchte Netz 31 hat dagegen eine Verschlüsselungsfunktion, die von f abweicht. Die Bitlänge der im aufgesuchten Netz 31 benutzten Zufallszahlen beträgt 64 Bits, und die Bitlänge seines Rechenergebnisses beträgt beispielsweise 32 Bits (S1002, S1102 nach 11). Ferner sind die Mobilfunkstation 35 und das aufgesuchte Netz 31 mit Verlängerungsfunktionen E( ) zur Verlängerung der Bitlänge von 64 Bits auf 128 Bits versehen.
Wenn die Chip-Karte 48 eine vorläufige Authentifizierung durch das aufgesuchte Netz 31 mit ihrer Identifikationsnummer verlangt, sendet dieses aufgesuchte Netz 31 dies zusammen mit ihrer Identifikationsnummer an das Heim-Netz 30. Das Heim-Netz 30 sucht dann nach einem Geheimschlüssel ki, der dieser Chip-Karte entspricht, durch Abfragen seiner Datenbasis 34 (S1004), und nachdem es ihn gefunden hat, erzeugt es eine Gruppe aus Zufallszahlen {RNDa₁, ..., RNDa_n} (S1005) aus 128 Bits. Das Heim-Netz 30 berechnet dann f_ki(RNDa_j) mit der erzeugten RNDa_j (j = 1, ..., n) und dem gefundenen Geheimschlüssel ki (S1006) und sendet eine Gruppe aus AA-Paaren, nämlich die erzeugten Zufallszahlen {RNDa₁, ..., RNDa_n} aus 128 Bits und das Ergebnis der Berechnung {SRESa₁, ..., SRESa_n} aus 32 Bits, an das aufgesuchte Netz 31 zurück.
Das aufgesuchte Netz 31, das eine Gruppe aus AA-Paaren empfangen hat, erzeugt eine Gruppe aus weiteren Zufallszahlen {RNDb₁, ..., RNDb_m} aus 64 Bits (S1007) und erzeugt verlängerte Zufallszahlen {RNDb'₁, ..., RNDb'_m} aus 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf die 64-Bit-Zufallszahlen {RNDb₁, ..., RNDb_m} (S1008). Das aufgesuchte Netz verknüpft dann diese ver längerten Zufallszahlen {RNDb'₁, ..., RNDb'_m} mit den empfangenen Zufallszahlen {RNDa₁, ..., RNDa_n} und sendet diese verknüpften Zufallszahlen aus 128 Bits parallel oder seriell (in dem Beispiel nach 10 parallel) an die Chip-Karte 48 durch Umordnung der Reihenfolge der gesendeten Zahlen nach einem Zufallsverfahren. Das zuvor erwähnte n ist eine ganze Zahl, die größer als 1 ist, und m ist eine ganze Zahl, die sehr viel größer als n ist (m >> n). Beispielsweise können m und n so gewählt sein, daß m = 100 und n = 10 ist, ohne darauf beschränkt zu sein.
Die Chip-Karte 48 berechnet SRESa₁ = f_ki(RNDa_j) (j = 1, ..., n) und SRESb₁ = f_ki(RNDb'_j) (j = 1, ..., m) unter Verwendung der empfangenen (n + m) Zufallszahlen, der Verschlüsselungsfunktion f und ihres Geheimschlüssels ki (S1009) und sendet dann die Rechenergebnisse {SRESa₁, ..., SRESa_n, SRESb₁, ..., SRESb_m}, die in zufälliger Reihenfolge umgeordnet sind, an das aufgesuchte Netz 31 zurück. Das aufgesuchte Netz 31 stellt die Reihenfolge der empfangenen Rechenergebnisse wieder in ihrer Sendereihenfolge her und erhält mithin in die richtige Reihenfolge gebrachte Rechenergebnisse {SRESa₁, ..., SRESa_n} und {SRESb₁, ..., SRESb_m}. Das aufgesuchte Netz 31 vergleicht dann das von der Chip-Karte 48 erhaltene Rechenergebnis {SRESa₁, ..., SRESa_n} mit dem von dem Heim-Netz 30 berechneten und aus diesem empfangenen Ergebnis {SRESa₁, ..., SRESa_n} daraufhin, ob sie übereinstimmen (S1010). Wenn alle übereinstimmen, wird die Chip-Karte 48 als rechtmäßiger Teilnehmer anerkannt, woraufhin die Zufallszahlen {RNDb₁, ..., RNDb_m} und die Rechenergebnisse {SRESb₁, ..., SRESb_m} und die Rechenergebnisse {SRESb₁, ..., SRESb_m} aus der Chip-Karte 48 in dem aufgesuchten Netz 31 gespeichert werden, um sie bei der Hauptauthentifizierung als AA- Paare zu benutzen (S1011). Wenn keine Ergebnisse übereinstimmen, wird entschieden, daß die im Stapelbetrieb arbeitende vorläufige Authentifizierung fehlgeschlagen ist (negativ ist), woraufhin die Ergebnisse {SRESb₁, ..., SRESb_m} fallengelassen werden.
Da die Reihenfolge der von dem aufgesuchten Netz 31 gesendeten Zufallszahlen umgeordnet worden ist, kann die Chip-Karte 48 nicht feststellen, welche der Zufallszahlen {RNDa₁, ..., RNDa_n, RNDb₁, ..., RNDb_m} der gerade empfangenen Zufallszahl entspricht. Wenn daher die Rechenergebnisse bezüglich der Zufallszahlen {RNDa₁, ..., RNDa_n} in der erwähnten Weise übereinstimmen, wird nicht nur die Chip-Karte 48, sondern auch eine Gruppe aus den AA-Paaren {RNDb₁, ..., RNDb_m} und {SRESb₁, ..., SRESb_m} als rechtmäßig anerkannt.
Nach erfolgreicher (positiver) vorläufiger, im Stapelbetrieb durchgeführter Identifizierung der Chip-Karte 48 kann das aufgesuchte Netz 31 jederzeit mit der in 11 dargestellten Hauptauthentifizierung beginnen, wenn diese Chip-Karte 48 den Bereichswechsel über die Mobilfunkstation 35 und die Funk-Schnittstelle verlangt.
Wenn die Chip-Karte 48 den Bereichswechsel mittels ihrer Identifikationsnummer über die Mobilfunkstation 35 verlangt, sendet das Netz 31 eine der Zufallszahlen RNDb_j aus 64 Bits an die Mobilfunkstation 35, da die Ergebnisse der vorläufigen Authentifizierung (AA-Paare) {RNDb₁, ..., RNDb_m} und {SRESb₁, ..., SRESb_m} bereits in dem aufgesuchten Netz 31 gespeichert sind (S1103). Die Mobilfunkstation 35 erzeugt eine verlängerte Zufallszahl RNDb'_j aus 128 Bits durch Anwendung der Verlängerungsfunktion E( ) auf die empfangene 64-Bit- Zufallszahl RNDb_j (S1104) und sendet dann diese verlängerte Zufallszahl RNDb'_j an die Chip-Karte 48. Die Chip-Karte berechnet SRESb_j = f_ki(RNDb'_j) unter Verwendung der empfangenen Zufallszahl RNDb'_j, ihrer Verschlüsselungsfunktion f und ihres Geheimschlüssels ki (S1105) und sendet das Rechenergebnis SRESb_j aus 32 Bits über die Mobilfunkstation 35 an das aufgesuchte Netz 31 zurück. Das Ergebnis dieser Berechnung SRESb_j wird mit dem entsprechenden Ergebnis SRESb_j verglichen, das in der vorläufigen Authentifizierungsstufe in dem aufgesuchten Netz gespeichert wurde. Wenn sie übereinstimmen, ist die Hauptauthentifizierung positiv, andernfalls negativ.
Aus vorstehender Beschreibung ergibt sich, daß gemäß vorliegender Erfindung ein Bereichswechsel zwischen Netzen, die unterschiedliche Verschlüsselungsfunktionen zur Authentifizierung haben und Zufallszahlen mit verschiedenen Bitlängen benutzen, durchgeführt werden kann. In naher Zukunft werden viele Chip-Karten, die einen Teil der Authentifizierungsoperation übernehmen können, für einen Bereichswechsel in ihre aufgesuchten Netze benutzt. Wenn dann alle Mobilfunkstationen, die zu den aufgesuchten Netzen gehören, eine entsprechende Funktion zur Verlängerung der Zufallszahlen haben, können die Chip-Karten den Bereichswechsel in irgendeines ihrer gesuchten Netze unter Verwendung von Zufallszahlen mit geringerer Bitlänge als die in den Chip-Karten leicht durchführen.
12 veranschaulicht den Betriebsablauf eines anderen Ausführungsbeispiels der vorliegenden Erfindung. Der Aufbau des Mobilfunk-Kommunikationssystems und einer Mobilfunkstation sind der gleiche wie die in den 3 und 4 dargestellten.
Dieses Ausführungsbeispiel betrifft eine Mobilfunk-Kommunikation mit einem Authentifizierungsprotokoll, bei dem das aufgesuchte Netz 31 die Mobilfunkstation 35 und die Chip-Karte 48 separat behandelt und die Funk-Schnittstelle zwischen dem aufgesuchten Netz 31 und der Mobilfunkstation 35 nur Zufallszahlen aus beispielsweise 64 Bits übertragen darf.
Bei diesem Ausführungsbeispiel besteht das Authentifizierungsverfahren aus zwei Stufen: einer Authentifizierung der Mobilfunkstation (Mobilfunkstationauthentifizierung) und einer Authentifizierung der Chip-Karte (Teilnehmerauthentifizierung). Ferner gehört bei diesem Ausführungsbeispiel die Mobilfunkstation zu dem aufgesuchten Netz, so daß sie nach dem Authentifizierungsverfahren dieses Netzes authentifiziert wird. Dabei haben die Mobilfunkstation i (35) und das aufgesuchte Netz 31 (das für diese Mobilfunkstation ein Heim-Netz ist) die gleiche Verschlüsselungsfunktion g und den gleichen Geheimschlüssel ki, die dieser Mobilfunkstation zugeordnet sind (S1202, S1203). Wenn eine Zufallszahl aus 64 Bits aus dem aufgesuchten Netz 31 empfangen wird, führt die Mobilfunkstation eine Verschlüsselungsrechnung aus und sendet dann das Verschlüsselungsergebnis TRES' an das aufgesuchte Netz. Dagegen wird die Chip-Karte nach dem Authentifizierungsverfahren des Heim-Netzes 30 authentifiziert. Dabei haben die Chip-Karte m (48) und das Heim-Netz 30 die gleiche Verschlüsselungsfunktion f und den gleichen Geheimschlüssel km, die dieser Chip-Karte zugeordnet sind (S1201, S1204). Wenn eine Zufallszahl aus 128 Bits aus dem Heim-Netz 30 empfangen wird, führt die Chip-Karte eine Verschlüsselungsrechnung aus und sendet dann das Verschlüsselungsergebnis SRES' an das aufgesuchte Netz.
Wenn die Chip-Karte 48 einen Bereichswechsel in das aufgesuchte Netz 31 mit ihrer Identifikationsnummer über die Mobilfunkstation 35 fordert, sendet dieses aufgesuchte Netz 31 dies mit ihrer Identifikationsnummer an ihr Heim-Netz 30. Das Heim-Netz 30 sucht dann nach einem Geheimschlüssel km, der dieser Chip-Karte entspricht, durch Abfragen seiner Datenbasis 34 (S1205), und wenn es diese gefunden hat, erzeugt es eine Zufallszahl RND (S1206) aus 128 Bits. Das Heim-Netz 30 berechnet dann SRES = f_km(RND) unter Verwendung der erzeugten RND und des gefundenen Geheimschlüssels km (S1207) und sendet ein AA-Paar, nämlich die erzeugte Zufallszahl RND aus 128 Bits und das Ergebnis der Berechnung SRES aus 32 Bits, an das aufgesuchte Netz 31 zurück.
Wenn die Mobilfunkstation Zugang zum aufgesuchten Netz 31 mit ihrer Identifikationsnummer fordert, sucht das aufgesuchte Netz 31 nach einem Geheimschlüssel ki, der der Mobilfunkstation entspricht, durch Abfragen seiner Datenbasis 38 (S1208). Nach Empfang des AA-Paares (RND, SRES) aus dem Heim-Netz 30 teilt das aufgesuchte Netz diese empfangene Geheimzahl RND aus 128 Bits in zwei Zufallszahlen R1 und R2 aus jeweils 64 Bits auf (S1209) .
Die abgeteilte Geheimzahl R1 aus 64 Bits wird als Zufallszahl für die Mobilfunkauthentifizierung an die Mobilfunkstation 35 gesendet. Die Mobilfunkstation speichert die empfangene Geheimzahl R1 und berechnet daraus TRES' = g_ki(R1) unter Verwendung der empfangenen Zufallszahl R1, der Verschlüsselungsfunktion g und ihres Geheimschlüssels ki (S1210). Das berechnete Ergebnis TRES' aus 32 Bits wird an das aufgesuchte Netz 31 zurückgesendet.
Das aufgesuchte Netz 31 berechnet g_ki(R1) unter Verwendung der abgeteilten Zufallszahl R1, der Verschlüsselungsfunktion g und des aufgefundenen Geheimschlüssels ki und bestätigt, daß sein Ergebnis g_ki(R1) gleich dem Ergebnis TRES' ist, das durch die Mobilfunkstation 35 berechnet und aus dieser empfangen wurde (S1211). Dann sendet das aufgesuchte Netz 31 die andere abgeteilte Zufallszahl R2 aus 64 Bits an die Mobilfunkstation 35. Die Mobilfunkstation 35 verknüpft diese Zufallszahl R2 mit der gespeicherten Zufallszahl R1, um die Zufallszahl RND aus 128 Bits zu erzeugen, und sendet sie an die Chip-Karte als Zufallszahl zur Teilnehmerauthentifizierung. Die Chip-Karte berechnet SRES' = fk_m(RND) unter Verwendung der empfangenen Zufallszahl RND, der Verschlüsselungsfunktion f und ihres Geheimschlüssels km (S1212). Das berechnete Ergebnis SRES' aus 32 Bits wird dann an das aufgesuchte Netz 31 zurückgesendet.
Das aufgesuchte Netz 31 bestätigt, daß das gespeicherte Ergebnis SRES gleich dem Ergebnis SRES' ist, das von der Chip-Karte berechnet und aus dieser empfangen wurde (S1213).
Wie sich aus vorstehender Beschreibung ergibt, werden bei diesem Ausführungsbeispiel eine Vielzahl von Authentifizierungen im aufgesuchten Netz unter Verwendung der abgeteilten Zufallszahlen ausgeführt, die so abgeteilt wurden, daß ihre Bitlänge zur Verwendung in diesem aufgesuchten Netz geeignet ist. Die Mobilfunkstation kann die Zufallszahl mit einer größeren Bitlänge als solche in dem Heim-Netz durch Verknüpfung einer Vielzahl der abgeteilten Zufallszahlen benutzen. Statt die Zufallszahlen zweimal zu erzeugen, wird bei diesem Ausführungsbeispiel eine längere Zufallszahl in eine Viel zahl von Zufallszahlen mit geringerer Bitlänge aufgeteilt.
Obwohl bei diesem Ausführungsbeispiel die Authentifizierung zweimal durchgeführt wird, ist auch eine drei- oder mehrmalige Authentifizierung mit ähnlichen Vorteilen möglich.
Es können sehr viele unterschiedliche Ausführungen der vorliegenden Erfindung ausgebildet werden, ohne den Schutzumfang der vorliegenden Erfindung zu verlassen. Es versteht sich jedoch, daß vorliegende Erfindung nicht auf die hier beschriebenen speziellen Ausführungsbeispiele beschränkt ist, sondern nur darauf, was in den Ansprüchen definiert ist.

Claims

Authentifizierungsverfahren für mobile Kommunikation zum Authentifizieren einer Mobilfunkstation (35), die bei einem Bereichswechsel in ein anderes Netz (31) als ein Heim-Netz (30) der Mobilfunkstation wechselt, wobei die Mobilfunkstation und das Heim-Netz (30) den gleichen Geheimschlüssel (ki) haben und die gleiche Verschlüsselungsfunktion (f) benutzen und das Verfahren die folgenden Schritte aufweist: das Erzeugen von Zufallszahlen im Heim-Netz (30), das Berechnen der Verschlüsselungsfunktion (f) im Heim-Netz unter Verwendung des Geheimschlüssels (ki) und der Zufallszahlen, das Senden der Berechnungsergebnisse und der Zufallszahlen aus dem Heim-Netz (30) in das aufgesuchte Netz (31), das Senden einer der Zufallszahlen aus dem aufgesuchten Netz (31) an die Mobilfunkstation (35), das Berechnen der Verschlüsselungsfunktion (f) in der Mobilfunkstation (35) unter Verwendung des Geheimschlüssels (ki) und der Zufallszahl, das Senden des Berechnungsergebnisses aus der Mobilfunkstation (35) an das aufgesuchte Netz (31) und das Bestätigen der Übereinstimmung des aus der Mobilfunkstation (35) gesendeten Berechnungsergebnisses mit dem aus dem Heim-Netz (30) gesendeten Berechnungsergebnis durch das aufgesuchte Netz (31), dadurch gekennzeichnet, daß in dem aufgesuchten Netz (31) eine Bitlänge der Zufallszahlen benutzt wird, die kürzer als die in dem Heim-Netz (30) benutzte ist, wobei der Schritt des Erzeugens der Zufallszahlen in dem Heim-Netz (30) das Erzeugen der Zufallszahlen (RND₁, ..., RND_n) mit der kürzeren Bitlänge, die in dem aufgesuchten Netz (31) benutzt wird, umfaßt und das Verfahren die folgenden Schritte umfaßt: das Verlängern der erzeugten Zufallszahlen (RND₁', ..., RND_n') im Heim-Netz (30) in Zufallszahlen (RND₁, ..., RND_n) mit der Bitlänge, die in dem Heim-Netz (30) benutzt wird, mittels einer Verlängerungsfunktion; in dem Schritt des Berechnens der Verschlüsselungsfunktion (f) in dem Heim-Netz (30) das Berechnen der Verschlüsselungsfunktion (f) mittels des Geheimschlüssels (ki) und der verlängerten Zufallszahlen (RND₁', ..., RND_n'); das Senden der Berechnungsergebnisse (SRES₁ = f_ki(RND₁'), ..., (SRES_n = f_ki(RND_n')) und der Zufallszahlen vor der Verlängerung (RND₁, ..., RND_n) aus dem Heim-Netz (30) in das aufgesuchte Netz (31); das Senden einer der Zufallszahlen vor der Verlängerung (RND_j, j = 1, ..., n) aus dem aufgesuchten Netz (31) zur Mobilfunkstation (35); das Verlängern der Zufallszahl (RND_j) in die Zufallszahl (RND_j') mit der in dem Heim-Netz (30) benutzten Bitlänge in der Mobilfunkstation (35) mittels der Verlängerungsfunktion; das Berechnen der Verschlüsselungsfunktion (f) unter Verwendung des Geheimschlüssels (ki) und der verlängerten Zufallszahl (RND_j') in der Mobilfunkstation (35); das Senden des Berechnungsergebnisses (SRES_j = f_ki(RND_j')) aus der Mobilfunkstation (35) in das aufgesuchte Netz (31); und das Bestätigen der Übereinstimmung des aus der Mobilfunkstation (35) gesendeten Berechnungsergebnisses (SRES_j = f_ki(RND_j')) mit dem aus dem Heim-Netz (30) gesendeten Berechnungsergebnis (SRES_j = f_ki(RND_j')) in dem aufgesuchten Netz (31).
Verfahren nach Anspruch 1, beim die Verlängerungsfunktion eine Verlängerungsfunktion eines Blockverschlüsselungssystems ist.
Verfahren nach Anspruch 2, bei dem das Blockverschlüsselungssystem im CBC-Modus arbeitet.