EP1634425A1 - Method and device for forming and encrypting an encrypted message containing communication configuration data - Google Patents

Method and device for forming and encrypting an encrypted message containing communication configuration data

Info

Publication number
EP1634425A1
EP1634425A1 EP04766057A EP04766057A EP1634425A1 EP 1634425 A1 EP1634425 A1 EP 1634425A1 EP 04766057 A EP04766057 A EP 04766057A EP 04766057 A EP04766057 A EP 04766057A EP 1634425 A1 EP1634425 A1 EP 1634425A1
Authority
EP
European Patent Office
Prior art keywords
communication
communication unit
configuration data
message
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP04766057A
Other languages
German (de)
French (fr)
Inventor
Jorge Cuellar
Hannes Tschofenig
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Solutions and Networks GmbH and Co KG
Original Assignee
Siemens AG
Nokia Siemens Networks GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG, Nokia Siemens Networks GmbH and Co KG filed Critical Siemens AG
Publication of EP1634425A1 publication Critical patent/EP1634425A1/en
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]

Definitions

  • a device for forming an encrypted message which encrypted message communication
  • the TTLS server computer 203 Upon receipt of the RADIUS access request message 207, the TTLS server computer 203 forms and transmits a RADIUS access challenge message 208 with the EAP request / TTLS start parameter to the access point node computer 202.
  • the EAP-based authentication method is designed according to the PANA method as described in [17].
  • the request and the response to receive the communication configuration data is cryptographically protected by the MAC payload, which is implemented by a keyde message digest function.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

A cryptographic key pair is formed (226) using an Internet-based authentication method, in order to transmit (230) communication configuration data from a first communication unit to a second communication unit in a secure cryptographic manner.

Description

VERFAHREN UND EINRICHTUNG ZUM BILDEN UND ENTSCHLÜSSELN EINER VERSCHLÜSSELTEN NACHRICHT MIT KOMMUNIKATIONS-KONFIGURATIONSDATENMETHOD AND DEVICE FOR CREATING AND DECRYLING AN ENCRYPTED MESSAGE WITH COMMUNICATION CONFIGURATION DATA
Beschreibungdescription
Verfahren und Einrichtung zum Bilden einer verschlüsselten Nachricht und Verfahren und Einrichtung zum Entschlüsseln ei- 5 ner verschlüsselten NachrichtMethod and device for forming an encrypted message and method and device for decrypting an encrypted message
Die Erfindung betrifft ein Verfahren und eine Einrichtung zum Bilden einer verschlüsselten Nachricht sowie ein Verfahren und eine Einrichtung zum Entschlüsseln einer verschlüsselten 10 Nachricht.The invention relates to a method and a device for forming an encrypted message and a method and a device for decrypting an encrypted message.
Ein Mobilfunk-Kommunikationsendgerät erhält im Rahmen des Netzzugangs von dem Kommunikationsnetzwerk üblicherweise eine Reihe von Konfigurationsparametern, welche beispielsweise 15 Kommunikationsverbindungs-Parameter enthalten. Der im Rahmen der Bereitstellung der Konfigurationsparameter verwendete Mechanismus ist abhängig von dem jeweiligen Anwendungsszenario.Within the framework of network access, a mobile radio communication terminal usually receives a number of configuration parameters from the communication network, which include, for example, 15 communication connection parameters. The mechanism used in the provision of the configuration parameters depends on the respective application scenario.
Für ein Mobilfunk-Kommunikationsendgerät, das sich in einem 20 lokalen Netzwerk, beispielsweise einem Wireless Local Area Network ( LAN) anmeldet, beispielsweise bei einem so genannten Hotspot als Zugangsknoten zu dem lokalen Netzwerk besteht die Möglichkeit der Bereitstellung von Konfigurationsparametern derzeit oftmals nicht, da weder das Point-to-Point Pro- 25 tokoll (PPP) noch virtuelle private Kommunikationsnetzwerke (Virtual Private Network, VPN) eingesetzt werden. Erfolgt kein Schutz der von dem jeweiligen Mobilfunk- Kommunikationsendgerät verwendeten Konfigurationsdaten, d.h. der Konfigurationsparameter, so besteht für einen Angreifer 30 die Möglichkeit, sowohl dem Mobilfunk-Kommunikationsendgerät als auch dem Kommunikationsnetzwerk Schaden zuzufügen. Eine Beschreibung der existierenden Sicherheitsbedrohungen ist beispielsweise in [1] zu finden. Fig.l zeigt ein Blockdiagramm, welches eine Kommunikationsanordnung 100 darstellt. Die Kommunikationsanordnung 100 weist ein Zugangsnetzwerk 101 sowie eine Netzwerk-Domäne 102 auf, welche miteinander mittels eines Zugangs-Routers 105 (Access Router) gekoppelt sind.For a mobile radio communication terminal that registers in a local network, for example a wireless local area network (LAN), for example in a so-called hotspot as an access node to the local network, there is often currently no possibility of providing configuration parameters, since neither the point-to-point protocol (PPP) and virtual private communication networks (VPN) are still used. If the configuration data used by the respective mobile radio communication terminal is not protected, ie the configuration parameters, an attacker 30 has the possibility of causing damage to both the mobile radio communication terminal and the communication network. A description of the existing security threats can be found, for example, in [1]. FIG. 1 shows a block diagram which represents a communication arrangement 100. The communication arrangement 100 has an access network 101 and a network domain 102, which are coupled to one another by means of an access router 105 (access router).
In dem Zugangsnetzwerk 101 sind ferner mindestens ein Mobilfunk-Kommunikationsendgerät 103 sowie ein Vermittlungsknoten 104 (Link Node) vorgesehen, um eine Mobilfunk- Kommunikationsverbindung zwischen dem Mobilfunk- Kommunikationsendgerät 103 und der Netzwerk-Domäne 102 und darüber mit anderen Kommunikationsendgeräten, bereitzustellen.At least one mobile radio communication terminal 103 and a switching node 104 (link node) are also provided in the access network 101 in order to provide a mobile radio communication link between the mobile radio communication terminal 103 and the network domain 102 and above with other communication terminals.
In Fig.l sind ferner eine Vielzahl von erforderlichen Kommu- nikationsprotokollen dargestellt, die im Rahmen einer Kommunikationsnetzwerk-Zugangsprozedur ausgeführt werden. Mittels der Pfeile bzw. der Doppelpfeile ist jeweils dargestellt, zwischen welchen Entitäten der beteiligten Kommunikationsinstanzen das jeweilige Kommunikationsprotokoll durchgeführt wird.FIG. 1 also shows a large number of required communication protocols which are carried out as part of a communication network access procedure. The arrows or the double arrows indicate in each case between which entities of the communication instances involved the respective communication protocol is carried out.
So wird, dargestellt mittels eines ersten Pfeils 106, zwi- sehen der Kommunikationsnetzwerk-Domäne 102 und dem Zugangs- Router 105 ein Protokoll zum Bereitstellen der Kommunikationsnetzwerk-Domänen-Sicherheit bereitgestellt (1. Network Domain Security in Fig.l).Thus, shown by means of a first arrow 106, a protocol for providing the communication network domain security is provided between the communication network domain 102 and the access router 105 (1st network domain security in FIG. 1).
Ferner ist im Rahmen eines zweiten Kommunikationsprotokolls, dargestellt in Fig.l mittels eines zweiten Pfeils 107, eine sichere IP-Adress-Konfiguration vorgesehen (2. Secure IP- Address-Configuration in Fig.l). Unter Verwendung des Mobilfunk-Kommunikationsendgeräts 103, des Vermittlungsknotens 104 und des Zugangs-Routers 105 erfolgt eine Etablierung einer Authentifikations- und Sicher- heitsbeziehung zwischen einerseits dem Mobilfunk- Kommunikationsendgerät 103 und dem Zugangs-Router 105 und andererseits zwischen dem Zugangs-Router 105 und der Kommunikationsnetzwerk-Domäne 102, in Fig.l symbolisiert durch einen dritten Pfeil 108 und einem vierten Pfeil 109 (3. Authentication and Security Association Establishment in Fig.l) .Furthermore, a secure IP address configuration is provided in the context of a second communication protocol, shown in FIG. 1 by means of a second arrow 107 (2nd Secure IP Address Configuration in FIG. 1). Using the mobile radio communication terminal 103, the switching node 104 and the access router 105, an authentication and security relationship is established between on the one hand the mobile radio communication terminal 103 and the access router 105 and on the other hand between the access router 105 and the Communication network domain 102, symbolized in Fig.l by a third arrow 108 and a fourth arrow 109 (3rd Authentication and Security Association Establishment in Fig.l).
Ferner sind üblicherweise Kommunikationsprotokolle auf der Ebene der Schicht 2 des OSI-Referenzmodells (OSI: Open Sys- tems Interconnection) , d.h. zur Bereitstellung von Sicherheitsmechanismen auf der Ebene der Datensicherungsschicht, vorgesehen, in Fig.l dargestellt mittels eines' fünften Pfeils 110 zwischen dem Mobilfunk-Kommunikationsendgerät 103 und dem Vermittlungsknoten 104 bzw. mittels eines sechsten Pfeils 111 zur Sicherung der Kommunikation auf Datensicherungsschicht- Ebene zwischen dem Vermittlungsknoten 104 und dem Zugangs- Router 105.Furthermore, communication protocols are usually at level 2 of the OSI reference model (OSI: Open Systems Interconnection), i.e. to provide security mechanisms at the level of the data protection layer, provided, shown in Fig.l by means of a 'fifth arrow 110 between the mobile radio communication terminal 103 and the switching node 104 or by means of a sixth arrow 111 to secure communication at the data protection layer level between the Switching node 104 and access router 105.
Ein siebter Pfeil 112 symbolisiert ein weiteres Kommunikati- onsprotokoll zur Bereitstellung von Sicherheitsmechanismen auf Internet Protokoll-Schicht-Ebene zwischen dem Mobilfunk- Kommunikationsendgerät 103 und dem Zugangs-Router 105.A seventh arrow 112 symbolizes a further communication protocol for providing security mechanisms at the Internet protocol layer level between the mobile radio communication terminal 103 and the access router 105.
Von besonderer Bedeutung sind im Folgenden die Kommunikati- onsprotokolle zur sicheren IP-Adress-Konfiguration (symbolisiert mittels des zweiten Pfeils 107) und der Authentifikations- und Sicherheitsbeziehungs-Etablierung (symbolisiert mit- tels des dritten Pfeils 108 bzw. mittels des vierten PfeilsIn the following, the communication protocols for the secure IP address configuration (symbolized by the second arrow 107) and the authentication and security relationship establishment (symbolized with- means of the third arrow 108 or by means of the fourth arrow
109) .109).
Zur Bereitstellung von Konfigurationsparametern im Rahmen von Firmen-Kommunikationsnetzwerken ist es bekannt, diese entweder statisch oder dynamisch zu konfigurieren, beispielsweise gemäß dem Dynamic Host Configuration Protocol for IPv6 (DHCPvβ) , wie in [2] oder in [3] beschrieben.To provide configuration parameters within the framework of company communication networks, it is known to configure them either statically or dynamically, for example in accordance with the Dynamic Host Configuration Protocol for IPv6 (DHCPvβ), as described in [2] or in [3].
In [2] und [3] selbst ist kein kryptographischer Schutz der jeweiligen dort beschriebenen Kommunikationsprotokolle vorgesehen. Das DHCP bietet jedoch die Möglichkeit, die elektronischen Nachrichten des Kommunikationsprotokolls durch einen vorab ausgehandelten kryptographisehen Schlüssel zu sichern. Diese Möglichkeit ist in [4] beschrieben.In [2] and [3] itself there is no cryptographic protection of the respective communication protocols described there. However, the DHCP offers the possibility of securing the electronic messages of the communication protocol by means of a previously negotiated cryptographic key. This possibility is described in [4].
Für den Zugang zu einem Internet-Service-Provider wird derzeit nahezu ausschließlich das Point-to-Point Protocol (PPP) oder eine Variation, bezeichnet als Point-to-Point Protocol over Ethernet (PPPoE) , verwendet, um die erforderlichen Konfigurationsparameter an das Mobilfunk-Kommunikationsendgerät zu übermitteln.For access to an Internet service provider, the Point-to-Point Protocol (PPP) or a variation, referred to as Point-to-Point Protocol over Ethernet (PPPoE), is used almost exclusively in order to adapt the required configuration parameters to the To transmit mobile communication terminal.
Für einen Zugang zu einem virtuellen privaten Netzwerk (Vir- tual Private Network, VPN) ist es bekannt, zwei Protokolle zu verwenden, um die Konfigurationsparameter für das Mobilfunk- Kommunikationsendgerät, d.h. die Konfigurationsdaten kryp- tographisch geschützt zu transportieren, nämlich ein erstes Protokoll ModeConfig bzw. ein zweites Kommunikationsprotokoll DHCP, welche Protokolle in [5], [6], [7] und [8] beschrieben sind. Bei dem Kommunikationsprotokoll ModeConfig wurden in das Au- thentifikations- und Schlüsselaushandlungsprotokoll InternetFor access to a virtual private network (VPN), it is known to use two protocols in order to transport the configuration parameters for the mobile radio communication terminal, ie the configuration data in a cryptographically protected manner, namely a first ModeConfig protocol or a second communication protocol DHCP, which protocols are described in [5], [6], [7] and [8]. With the ModeConfig communication protocol, the authentication and key negotiation protocol were changed to Internet
Key Exchange (IKE) (beschrieben in [9]) bzw. in das InternetKey Exchange (IKE) (described in [9]) or on the Internet
Key Exchange v2 Protokoll (IKEv2) , beschrieben in [10] , in- tegriert.Key Exchange v2 protocol (IKEv2), described in [10], integrated.
Um eine kryptographiseh gesicherte Übertragung von Konfigurationsparametern zwischen dem Kommunikationsnetzwerk und einem Mobilfunk-Kommunikationsendgerät zu ermöglichen, wurden in der Vergangenheit unterschiedliche Verfahren benutzt.In the past, different methods were used to enable cryptographically secure transmission of configuration parameters between the communication network and a mobile radio communication terminal.
Diese Verfahren lassen sich insbesondere in drei Gruppen aufteilen:These processes can be divided into three groups in particular:
1. Erweiterungen zu DHCP:1. Extensions to DHCP:
Um DHCP-Nachrichten im Umfeld der Mobilfunk- Kommunikationsgeräte kryptographisch zu schützen wurden eine Reihe von Erweiterungen zu DHCP vorgeschlagen, wie sie beispielsweise in [11], [12], [13] und [14] beschrieben sind.In order to cryptographically protect DHCP messages in the environment of the mobile radio communication devices, a number of extensions to DHCP have been proposed, as described, for example, in [11], [12], [13] and [14].
Diese Erweiterungen zu DHCP sollen es einem Mobilfunk- Kommunikationsendgerät ermöglichen, sich dynamisch in dem Kommunikationsnetzwerk eine Sicherheitsbeziehung mit dem DHCP-Server-Computer aufzubauen.These extensions to DHCP are intended to enable a mobile radio communication terminal to dynamically establish a security relationship with the DHCP server computer in the communication network.
2. Erweiterungen von Extensible Authentication Protocol (EAP) Verfahren:2. Extensions of Extensible Authentication Protocol (EAP) procedure:
Das Extensible Authentication Protocol ist in [16] beschrieben. In [15] ist eine Erweiterung eines EAP-Verfahrens beschrieben, mit dem es ermöglicht ist, das Internet Key Exchange Protocol v2, wie es in [10] beschrieben ist, wie- derzuverwenden .The Extensible Authentication Protocol is described in [16]. [15] describes an extension of an EAP method which makes it possible to reuse the Internet Key Exchange Protocol v2, as described in [10].
Als ein Nebeneffekt besteht in IKEv2 die Möglichkeit, Konfigurationsparameter kryptographiseh geschützt zu übertragen.As a side effect, IKEv2 offers the possibility to transfer configuration parameters in a cryptographically protected manner.
3. Bootstrapping-Methode:3. Bootstrapping method:
Ferner ist ein Kommunikationsprotokoll-Vorschlag bekannt, mit dem die initiale Netzwerkauthentifikation unter Verwendung von EAP und die Bereitstellung einer Sicherheits- Kommunikationsverbindung mit dem DHCP-Server-Computer ermöglicht wird (vgl. [17]).Furthermore, a communication protocol proposal is known which enables the initial network authentication using EAP and the provision of a security communication connection with the DHCP server computer (cf. [17]).
Der Vorteil dieses Verfahrens liegt in der Trennung zwischen der Netzwerkauthentifikation und der kryptographi- sehen Sicherung der DHCP-Nachrichten.The advantage of this method lies in the separation between network authentication and the cryptographic security of the DHCP messages.
Das DHCP-Kommunikationsprotokoll muss in diesem Fall nicht verändert werden.In this case, the DHCP communication protocol does not have to be changed.
In [18] ist ein Verfahren zur EAP-Authorisation beschrieben.A procedure for EAP authorization is described in [18].
Weitere Erweiterungen zu dem Extensible Authentication Protocol zur kryptographiseh gesicherten Datenübertragung sind in [19], [20] und [21] beschrieben.Further extensions to the Extensible Authentication Protocol for cryptographically secured data transmission are described in [19], [20] and [21].
Der Erfindung liegt das Problem zugrunde, auf einfache Weise Kommunikations-Konfigurationsdaten einem Kommunikationsgerät kryptographisch gesichert bereitzustellen. Das Problem wird durch ein Verfahren und eine Einrichtung zum Bilden einer verschlüsselten Nachricht sowie durch ein Verfahren und eine Einrichtung zum Entschlüsseln einer ver- schlüsselten Nachricht mit den Merkmalen gemäß den unabhängigen Patentansprüchen gelöst.The invention is based on the problem of providing communication configuration data to a communication device in a cryptographically secure manner in a simple manner. The problem is solved by a method and a device for forming an encrypted message and by a method and a device for decrypting an encrypted message with the features according to the independent patent claims.
Bevorzugte Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen. Die im Folgenden beschriebenen Ausges- taltungen der Erfindung betreffen sowohl das Verfahren als auch die Einrichtung zum Bilden einer verschlüsselten Nachricht als auch das Verfahren und die Einrichtung zum Entschlüsseln einer verschlüsselten Nachricht.Preferred developments of the invention result from the dependent claims. The embodiments of the invention described below relate both to the method and the device for forming an encrypted message and to the method and the device for decrypting an encrypted message.
Die im Folgenden beschriebenen Komponenten der Erfindung können in Software, d.h. mittels eines Computerprogramms, in Hardware, d.h. mittels einer speziellen elektrischen Schaltung oder in beliebig hybrider Form, d.h. teilweise in Hardware und teilweise in Software, realisiert sein.The components of the invention described below can be implemented in software, i.e. by means of a computer program, in hardware, i.e. by means of a special electrical circuit or in any hybrid form, i.e. partly in hardware and partly in software.
Bei einem Verfahren zum Bilden einer verschlüsselten Nachricht, wobei die verschlüsselte Nachricht Kommunikations- Konfigurationsdaten enthält, wird unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikati- onsverfahren durchgeführt, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar, aufweisend mindestens zwei kryptographiseh zueinander korrespondierende Schlüssel, gebildet wird. Unter Verwendung mindestens eines kryp- tographischen Schlüssels des mindestens einen kryptographi- schen Schlüsselpaars werden die Kommunikations- Konfigurationsdaten von der ersten Kommunikationseinheit verschlüsselt, womit die verschlüsselte Nachricht gebildet wird.In a method for forming an encrypted message, the encrypted message containing communication configuration data, an internet-based authentication method is carried out using at least one service of a unit of a data link layer between a first communication unit and a second communication unit, whereby the first Communication unit and the second communication unit is formed at least one cryptographic key pair, comprising at least two cryptographically corresponding keys. Using at least one cryptographic key of the at least one cryptographic key pair, the communication Configuration data encrypted by the first communication unit, whereby the encrypted message is formed.
Bei einem Verfahren zum Entschlüsseln einer verschlüsselten Nachricht, welche verschlüsselte Nachricht Kommunikations- Konfigurations-Daten enthält, wird unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikati- onsverfahren durchgeführt, wodurch für die erste Kommunikationseinheit und für die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird. Unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars werden die in der verschlüsselten Nachricht enthaltenen Kommunikations- Konfigurationsdaten von der zweiten Kommunikationseinheit unter Entschlüsselung der verschlüsselten Nachricht ermittelt.In a method for decrypting an encrypted message, which contains encrypted message communication configuration data, an internet-based authentication method is carried out using at least one service of a unit of a data link layer between a first communication unit and a second communication unit first communication unit and at least one cryptographic key pair is formed for the second communication unit. Using at least one cryptographic key of the at least one cryptographic key pair, the communication configuration data contained in the encrypted message are determined by the second communication unit by decrypting the encrypted message.
Eine Einrichtung zum Bilden einer verschlüsselten Nachricht, welche verschlüsselte Nachricht Kommunikations-A device for forming an encrypted message, which encrypted message communication
Konfigurationsdaten enthält, weist eine Schlüsselerzeugungs- Einheit auf, welche eingerichtet ist, unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikati- onsverfahren durchzuführen, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird. Ferner weist die Einrichtung eine Verschlüsselungseinheit auf, wel- ehe eingerichtet ist, unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars die Kommunikations-Konfigurations-Daten zu verschlüsseln, womit die verschlüsselte Nachricht gebildet wird.Contains configuration data, has a key generation unit which is set up to carry out an internet-based authentication method between at least one communication unit and a second communication unit using at least one service of a data link layer, which means for the first communication unit and the second communication unit at least one cryptographic key pair is formed. Furthermore, the device has an encryption unit, which is set up before using at least one cryptographic key of the at least one cryptographic key pair, the communication configuration data to encrypt, which forms the encrypted message.
Eine Einrichtung zum Entschlüsseln einer verschlüsselten Nachricht, wobei die verschlüsselte Nachricht Kommunikations- Konfigurations-Daten enthält, weist eine Schlüsselerzeugungseinheit auf, welche eingerichtet ist, unter Verwendung von mindestens einem Dienst einer Einheit einer SicherungsSchicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikati- onsverfahren durchzuführen, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird. Ferner weist die Einrichtung eine Entschlüsselungseinheit auf, wel- ehe eingerichtet ist, unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars Kommunikations-Konfigurations-Daten von der zweiten Kommunikationseinheit unter Entschlüsselung der verschlüsselten Nachricht, welche die Kommunikations- Konfigurations-Daten enthält, zu entschlüsseln.A device for decrypting an encrypted message, the encrypted message containing communication configuration data, has a key generation unit which is set up using an Internet-based one using a service of a unit of a security layer between a first communication unit and a second communication unit Carrying out authentication processes, whereby at least one cryptographic key pair is formed for the first communication unit and the second communication unit. Furthermore, the device has a decryption unit, which is set up before using at least one cryptographic key of the at least one cryptographic key pair for communication configuration data from the second communication unit with decryption of the encrypted message which contains the communication configuration data decrypt.
Gemäß einer Ausgestaltung der Erfindung basiert das internetbasierte Authentifikationsverfahren auf einem Extensible Authentication Protocol-Verfahren.According to one embodiment of the invention, the internet-based authentication method is based on an extensible authentication protocol method.
Alternativ kann jedes Authentifikationsverfahren verwendet werden, bei dem ein kryptographisches Schlüsselpaar gebildet werden wird und welches unmittelbar die Dienste der Sicherungsschicht ohne Zwischenschaltung einer IP-Schicht in An- spruch genommen wird. Anschaulich bedeutet dies, dass das in- ternet-basierte Authentifikationsverfahren auf Schicht-3- Ebene gemäß dem OSI-Referenzmodell, d.h. auf der Ebene der VermittlungsSchicht realisiert ist. Anders ausgedrückt bedeutet dies, dass erfindungsgemäß standardisierte Konfigurationsprotokolle, wie sie beispielsweise in [5], [6], [7] oder [8] beschrieben sind, verwendet werden, um ein Kommunikationsendgerät, vorzugsweise ein Mobilfunk- Kommunikationsendgerät, zu konfigurieren, d.h. mit Konfigurationsdaten, im Folgenden auch bezeichnet als Kommunikations- Konfigurationsdaten bzw. Kommunikations- Konfigurationsparameter, zu versehen.Alternatively, any authentication method can be used, in which a cryptographic key pair will be formed and which directly uses the services of the data link layer without the interposition of an IP layer. This clearly means that the Internet-based authentication method is implemented at layer 3 level according to the OSI reference model, ie at the level of the network layer. In other words, this means that configuration protocols standardized according to the invention, as described for example in [5], [6], [7] or [8], are used to configure a communication terminal, preferably a mobile radio communication terminal, ie with Configuration data, hereinafter also referred to as communication configuration data or communication configuration parameters.
Dies geschieht in einer Art und Weise, die gemäß dem Stand der Technik nicht vorgesehen ist.This is done in a way that is not provided in the prior art.
Anschaulich werden die standardisierten Konfigurationsproto- kolle kryptographiseh gesichert unter Verwendung kryp- tographischer Schlüssel, die mittels eines vorangegangenen internet-basierten Authentifikationsverfahrens, besonders bevorzugt einem vorangegangenen EAP-basierten Netzwerkauthenti- fikationsverfahren bzw. Netzwerkauthentifikationsmechanismus, gebildet wurden.The standardized configuration protocols are clearly cryptographically secured using cryptographic keys, which were formed by means of a previous internet-based authentication method, particularly preferably a previous EAP-based network authentication method or network authentication mechanism.
Anders ausgedrückt werden standardisierte Konfigurationsprotokolle, beispielsweise DHCP oder ModeConfig geschützt durch im Rahmen einer vorangegangenen Netzwerkzugangsauthentifika- tion gebildeter kryptographischer Schlüssel.In other words, standardized configuration protocols, for example DHCP or ModeConfig, are protected by cryptographic keys formed as part of a previous network access authentication.
Die Kommunikations-Konfigurationsdaten können unter Verwendung von elektronischen Nachrichten gemäß dem internetbasierten Authentifikationsverfahren von der ersten Kommuni- kationseinheit zu der zweiten Kommunikationseinheit übertragen werden. Diese Ausgestaltung der Erfindung weist insbesondere den Vorteil auf, dass schon das zur Authentifikation und zur Schlüsselerzeugung verwendete Kommunikationsprotokoll in den zu verwendenden Nachrichtenformaten auch zur Übertragung der Kommunikations-Konfigurationsdaten von dem Kommunikationsnetzwerk zu dem Kommunikationsendgerät verwendet werden kann, womit die Implementierung des erfindungsgemäßen Verfahrens erheblich vereinfacht wird.The communication configuration data can be transmitted from the first communication unit to the second communication unit using electronic messages in accordance with the internet-based authentication method. This embodiment of the invention has the particular advantage that the communication protocol used for authentication and key generation in the message formats to be used can also be used to transmit the communication configuration data from the communication network to the communication terminal, which considerably simplifies the implementation of the method according to the invention becomes.
Gemäß einer anderen Ausgestaltung der Erfindung ist es vorgesehen, dass die Ko munikations-Konfigurationsdaten unter Verwendung von elektronischen Nachrichten gemäß einem der vorliegenden internet-basierten Authentifikationsverfahren von der ersten Kommunikationseinheit zu der zweiten Kommunikati- onseinheit übertragen werdenAccording to another embodiment of the invention, it is provided that the communication configuration data are transmitted from the first communication unit to the second communication unit using electronic messages in accordance with one of the present internet-based authentication methods
• Protected Extensible Authentication Protocol-Verfahren,Protected Extensible Authentication Protocol procedure,
• Extensible Authentication Protocol Tunneled TLS Authentication Protocol-Verfahren, oder• Extensible Authentication Protocol Tunneled TLS Authentication Protocol procedure, or
• Protocol for Carrying Authentication for Network Access- Verfahren.• Protocol for Carrying Authentication for Network Access procedures.
Anders ausgedrückt bedeutet dies, dass die Übertragung der Kommunikations-Konfigurationsdaten gemäß dem in [20], dem in [21] oder gemäß dem in [17] beschriebenen Verfahren übertra- gen werden kann.In other words, the transmission of the communication configuration data can be transmitted according to the method described in [20], that in [21] or according to the method in [17].
Wird das EAP-basierte Verfahren selbst zur Übertragung der Kommunikations-Konfigurationsdaten verwendet, so kann der Schutz der EAP-Konfigurationsnachrichten über an sich bekann- te Tunneling-Methoden, wie sie beispielsweise in [20], in [21] oder in [17] beschrieben sind, oder durch EAP-interne Schutzmechanismen, beispielsweise gemäß [19] erfolgen. In diesem Zusammenhang ist es ebenfalls möglich, das in [18] be- schriebene Verfahren als Container zu verwenden, um die Kom- munikations-Konfigurationsdaten zu transportieren.If the EAP-based method itself is used to transmit the communication configuration data, the protection of the EAP configuration messages can be carried out using tunneling methods which are known per se, as described, for example, in [20], [21] or [17]. are described, or by EAP-internal protection mechanisms, for example according to [19]. In this context it is also possible that the [18] to use the written methods as containers to transport the communication configuration data.
Vorzugsweise ist die erste Kommunikationseinheit eine Kommu- nikationseinheit eines Kommunikationsnetzwerk-Elements, besonders bevorzugt eine Kommunikationseinheit eines Kommunikationsnetzwerk-Elements in einem Mobilfunk- Kommunikationsnetzwerk, beispielsweise gemäß einem 3GPP- Mobilfunkstandard, beispielsweise einem Kommunikationsnetz- werkelement, welches gemäß UMTS eingerichtet ist, alternativ gemäß einem anderen Mobilfunkstandard, z.B. GSM, eingerichtet ist.The first communication unit is preferably a communication unit of a communication network element, particularly preferably a communication unit of a communication network element in a mobile radio communication network, for example according to a 3GPP mobile radio standard, for example a communication network element which is set up according to UMTS, alternatively according to one other cellular standard, e.g. GSM, is set up.
Gemäß einer anderen Ausgestaltung der Erfindung ist es vorge- sehen, dass die zweite Kommunikationseinheit ein Kommunikationsendgerät ist, besonders bevorzugt ein Mobilfunk- Kommunikationsendgerät, beispielsweise eingerichtet gemäß einem Mobilfunk-Kommunikationsstandard gemäß 3GPP, beispielsweise gemäß dem UMTS-Kommunikationsstandard, alternativ gemäß dem GSM-KommunikationsStandard.According to another embodiment of the invention, it is provided that the second communication unit is a communication terminal, particularly preferably a mobile radio communication terminal, for example set up according to a mobile radio communication standard according to 3GPP, for example according to the UMTS communication standard, alternatively according to the GSM communication standard ,
Insbesondere im Rahmen der Übertragung von Konfigurationsdaten zu einem Mobilfunk-Kommunikationsendgerät über eine Luftschnittstelle eignet sich die oben beschriebene Vorgehenswei- se, da die in diesem Zusammenhang standardisierten Ko munika- tionsprotokollen sehr einfach und kostengünstig verwendet werden können zum sicheren Übertragen der Kommunikations- Konfigurationsparameter aus einer Kommunikationsnetzwerk- Domäne hin zu einem Mobilfunk-Koinmunikationsendgerät .The procedure described above is particularly suitable in the context of the transmission of configuration data to a mobile radio communication terminal via an air interface, since the communication protocols standardized in this context can be used very simply and inexpensively for the secure transmission of the communication configuration parameters from one Communication network domain to a mobile radio communication terminal.
Gemäß einer anderen Ausgestaltung der Erfindung ist es vorgesehen, dass die Kommunikations-Konfigurationsdaten gemäß einem Protokollformat eines Protokolls zum Konfigurieren eines Kommunikationsendgeräts codiert sind, vorzugsweise gemäß einem Protokollformat eines Protokolls zum dynamischen Konfigurieren eines Kommunikationsendgeräts, besonders bevorzugt gemäß einem Protokollformat eines Dynamical Host Configuration Protocols zum dynamischen Konfigurieren eines Kommunikationsendgeräts, wie es beispielsweise in [2] beschrieben ist.According to another embodiment of the invention, it is provided that the communication configuration data according to a protocol format of a protocol for configuring a Communication terminals are encoded, preferably according to a protocol format of a protocol for dynamically configuring a communication terminal, particularly preferably according to a protocol format of a dynamic host configuration protocol for dynamically configuring a communication terminal, as described for example in [2].
Insbesondere bei einem EAP-basierten Authentifikationsverfahren zeichnet sich die Verwendung der im Rahmen des EAP- basierten Authentifikationsverfahrens erzeugte kryptographi- sche Schlüsselmaterial zur kryptographisch gesicherten Übertragung der Kommunikations-Konfigurationsdaten im Rahmen eines DHCP-Kommunikationsprotokolls oder ModeConfig- Kommunikationsprotokolls durch die Einfachheit und damit die kostengünstige Realisierbarkeit aus.Particularly in the case of an EAP-based authentication method, the use of the cryptographic key material generated in the context of the EAP-based authentication method for the cryptographically secure transmission of the communication configuration data in the context of a DHCP communication protocol or ModeConfig communication protocol is characterized by the simplicity and thus the cost-effective feasibility out.
Unter Kommunikations-Konfigurationsdaten sind in diesem Zusammenhang alle Daten oder Parameter zu verstehen, mittels welcher Kommunikations-Eigenschaften des Kommunikationsendge- räts im Rahmen einer Kommunikationssitzung charakterisiert werden .In this context, communication configuration data should be understood to mean all data or parameters by means of which communication properties of the communication terminal are characterized in the context of a communication session.
Beispielsweise sind unter Kommunikations-Konfigurationsdaten eine mittels des Konfigurationsprotokolls, vorzugsweise gemäß dem Dynamical Host Configuration Protocol vorgesehene Daten zum Charakterisieren des Kommunikationsendgeräts, beispielsweise die gemäß dem BOOTP vorgesehenen Informationen, die ein auf den BOOTP-basierenden Server-Computer bereitgestellt werden, insbesondere die IP-Adresse des Kommunikationsendgeräts, eine so genannte Subnetz-Maske, eine IP-Adresse des Default Gateways, eine IP-Adresse des primären DNS-Servers und/oder des sekundären DNS-Servers, eine IP-Adresse des primären WINS-Servers oder einer IP-Adresse des sekundären WINS- Servers, eine Pfadangabe zu der erforderlichen BOOTP-Datei, ein Kommunikationsnetzwerk-Domänen-Suffix des Clients, d.h. des Mobilfunk-Kommunikationsendgeräts, einer IP-Adresse des eines Zeitserver-Computers sowie ein Zeit-Offset von der Coordinated Universal Time (CMT) .For example, communication configuration data includes data provided by means of the configuration protocol, preferably according to the Dynamic Host Configuration Protocol, for characterizing the communication terminal, for example the information provided according to the BOOTP, which is provided by a server computer based on the BOOTP, in particular the IP address. Address of the communication terminal, a so-called subnet mask, an IP address of the default gateway, an IP address of the primary DNS server and / or the secondary DNS server, an IP address of the primary WINS server or an IP Secondary WINS address Servers, a path to the required BOOTP file, a communication network domain suffix of the client, ie the mobile radio communication terminal, an IP address of a time server computer and a time offset from the coordinated universal time (CMT).
Ausführungsbeispiele der Erfindung sind in den Figuren dargestellt und werden im Folgenden näher erläutert.Exemplary embodiments of the invention are shown in the figures and are explained in more detail below.
Es zeigenShow it
Figur 1 eine Kommunikationsanordnung gemäß dem Stand der Technik;Figure 1 shows a communication arrangement according to the prior art;
Figuren 2a bis 2d ein Nachrichtenflussdiagramm, in dem die einzelnen Verfahrensschritte zum Übermitteln von Kom- munikations-Konfigurationsdaten gemäß einem ersten Ausführungsbeispiel der Erfindung dargestellt sind; undFIGS. 2a to 2d show a message flow diagram in which the individual method steps for transmitting communication configuration data are shown according to a first exemplary embodiment of the invention; and
Figur 3a und 3b ein Nachrichtenflussdiagramm, in dem die einzelnen Verfahrensschritte zum Übermitteln von Kommu- nikations-Konfigurationsdaten gemäß einem zweiten Ausführungsbeispiel der Erfindung dargestellt sind.FIGS. 3a and 3b show a message flow diagram, in which the individual method steps for transmitting communication configuration data are shown in accordance with a second exemplary embodiment of the invention.
Fig.2a bis Fig.2d zeigt ein Nachrichtenflussdiagramm 200, in dem der Austausch von elektronischen Nachrichten zwischen Einheiten eines Mobilfunk-KommunikationsSystems, eingerichtet gemäß dem UMTS-KommunikationsStandard, dargestellt ist. Ins- besondere sind in den Fig.2a bis Fig.2d dargestellt ein Mo- bilfunk-Kommunikationsendgerät 201, ein Wireless Local Area Network (WLAN) Zugangsknoten-Rechner 202, ein TTLS-Server- Rechner 203 sowie eine Authorization Authentication and Ac- counting-Einheit 204 (AAA-Einheit) . Die weiteren üblichen Komponenten des Mobilfunk- Kommunikationsnetzwerks gemäß dem UMTS-Standard, insbesondere die Einheiten des Kernnetzwerks sowie die weiteren Mobilfunk- Kommunikationsendgeräte oder Festnetz- Kommunikationsendgeräte, welche in dem Kommunikationssystem zum Bereitstellen einer Kommunikationsverbindung ebenfalls vorgesehen sind, sind aus Gründen der Einfachheit in dem Nachrichtenflussdiagramm 200 von Fig.2a bis Fig.2d nicht dar- gestellt.2a to 2d show a message flow diagram 200, in which the exchange of electronic messages between units of a mobile radio communication system, set up according to the UMTS communication standard, is shown. In particular, FIGS. 2a to 2d show a mobile radio communication terminal 201, a wireless local area network (WLAN) access node computer 202, a TTLS server computer 203 and an authorization authentication and accounting Unit 204 (AAA unit). The other usual components of the mobile radio communication network according to the UMTS standard, in particular the units of the core network and the further mobile radio communication terminals or fixed network communication terminals, which are also provided in the communication system for providing a communication connection, are in the message flow diagram for reasons of simplicity 200 from Fig. 2a to Fig. 2D are not shown.
Das KommunikationsSystem ist hinsichtlich des Nachrichtenflusses eingerichtet wie in [21] beschrieben mit der im Folgenden beschriebenen erfindungsgemäßen Erweiterung.The communication system is set up with regard to the message flow as described in [21] with the extension according to the invention described below.
Zunächst wird somit das in [21] beschriebene Verfahren durchgeführt zum Aufbau eines TLS-Tunnels, wobei eine einseitige Authentifikation des Server-Rechners 204 zu dem Client- Rechner gemäß diesem Ausführungsbeispiel zu dem Mobilfunk- Kommunikationsendgeräts 201 durchgeführt wird. Der Nachrich- tenfluss entspricht im Wesentlichen dem in [21] in Abschnitt 13.2 beschriebenen.First of all, the method described in [21] is thus carried out for establishing a TLS tunnel, with one-sided authentication of the server computer 204 to the client computer according to this exemplary embodiment to the mobile radio communication terminal 201. The message flow essentially corresponds to that described in [21] in section 13.2.
Nach erfolgtem Aufbau des TLS-Tunnels, wie er nachfolgend noch näher erläutert wird, wird eine EAP/MD5-Challenge-After the TLS tunnel has been set up, as will be explained in more detail below, an EAP / MD5 challenge
Authentifikation, d.h. anders ausgedrückt eine einseitige Authentifikation des Client-Rechners, gemäß diesem Ausführungsbeispiel des Mobilfunk-Kommunikationsendgeräts 201, zu dem Server-Rechner 204 durchgeführt.Authentication, i.e. in other words, one-sided authentication of the client computer, according to this exemplary embodiment of the mobile radio communication terminal 201, to the server computer 204.
Wie in [21] beschrieben, beginnt das Verfahren damit, dass der Zugangspunkt-Knotenrechner 202 gemäß [21] eine Extensible Authentification Protocol-Request/Identity-Nachricht 205 bil- det und an das Mobilfunk-Kommunikationsendgerät 201 übermittelt.As described in [21], the method begins with the access point node computer 202 according to [21] forming an extensible authentication protocol request / identity message 205. det and transmitted to the mobile radio communication terminal 201.
In Reaktion darauf bildet und sendet das Mobilfunk- Kommunikationsendgerät 201 eine EAP-Response/Identity-In response to this, the mobile radio communication terminal 201 forms and sends an EAP response / identity
Nachricht 206 an den Zugangspunkt-Knotenrechner 202, welcher auf den Empfang dieser Nachricht 206 hin eine RADIUS Access- Request-Nachricht 207 mit den Nachrichten-Parametern „XXX- Data-Cipher-Suitet" und „EAP-Response passthrough" bildet und an den TTLS-Server-Rechner 203 übermittelt.Message 206 to the access point node computer 202, which upon receipt of this message 206 forms a RADIUS access request message 207 with the message parameters "XXX data cipher suit" and "EAP response passthrough" and to the TTLS server computer 203 transmitted.
Auf dem Empfang der RADIUS Access-Request-Nachricht 207 hin bildet und übermittelt der TTLS-Server-Rechner 203 eine RADIUS Access-Challenge-Nachricht 208 mit dem Parameter EAP- Request/TTLS-Start an den Zugangspunkt-Knotenrechner 202.Upon receipt of the RADIUS access request message 207, the TTLS server computer 203 forms and transmits a RADIUS access challenge message 208 with the EAP request / TTLS start parameter to the access point node computer 202.
Nach Empfang der Nachricht 208 bildet der Zugangspunkt- Knotenrechner 202 eine EAP-Request passthrough-Nachricht 209 und sendet diese zu dem Mobilfunk-Kommunikationsendgerät 201.After receiving the message 208, the access point node computer 202 forms an EAP request pass-through message 209 and sends it to the mobile radio communication terminal 201.
Nach Empfang der Nachricht 209 bildet das Mobilfunk- Kommunikationsendgerät 201 eine EAP-Response/TTLS-Nachricht 210 mit dem Parameter „ClientHello" als Nutzdatenelement und sendet diese Nachricht 210 an den Zugangspunkt-Knotenrechner 202.After receiving the message 209, the mobile radio communication terminal 201 forms an EAP response / TTLS message 210 with the parameter “ClientHello” as the user data element and sends this message 210 to the access point node computer 202.
Der Zugangspunkt-Knotenrechner 202 wiederum bildet auf Empfang der Nachricht 210 hin eine RADIUS Access-Request- Nachricht 211 mit dem Parameter „EAP-Response passthrough" als Nutzdatenelement und sendet diese Nachricht 211 zu dem TTLS-Server-Rechner 203. Nachdem der TTLS-Server-Rechner 203 die RADIUS Access- Request-Nachricht 211 empfangen hat und das Nutzdatenelement EAP-Response passthrough ausgewertet hat, bildet der TTLS- Server-Rechner 203 eine RADIUS Aecess-Challenge-Nachricht 212 und sendet diese an den Zugangspunkt-Knotenrechner 202. In der RADIUS Aecess-Challenge-Nachricht 212 sind als Nutzdatenelemente, d.h. als Nachrichtenparameter enthalten: „EAP- Request-TTLS", „ServerHello", „Certificate", „ServerKeyEx- change" und „ServerHelloDone" .When the message 210 is received, the access point node computer 202 in turn forms a RADIUS access request message 211 with the parameter “EAP response passthrough” as the user data element and sends this message 211 to the TTLS server computer 203. After the TTLS server computer 203 has received the RADIUS access request message 211 and has evaluated the user data element EAP response passthrough, the TTLS server computer 203 forms a RADIUS Aecess challenge message 212 and sends it to the access point Node computer 202. The RADIUS Aecess Challenge message 212 contains as user data elements, ie as message parameters: “EAP-Request-TTLS”, “ServerHello”, “Certificate”, “ServerKeyExchange” and “ServerHelloDone”.
Wie in Fig.2b dargestellt ist, übermittelt der Zugangspunkt- Knotenrechner 202 auf den Empfang der Nachricht 212 hin eine von ihm gebildete EAP-Request passthrough-Naehrieht 213 an das Mobilfunk-Kommunikationsendgerät 201, welches daraufhin gemäß dem in [21] beschriebenen Verfahren eine EAP-As shown in FIG. 2b, the access point node computer 202, upon receipt of the message 212, transmits an EAP request passthrough proximity 213 that it has formed to the mobile radio communication terminal 201, which then sends a one according to the method described in [21] EAP
Response/TTLS-Nachricht 214 mit den Parametern „ClientKeyEx- change", „Change-Cipher-Spec", „Finished" als Nachrichtenparameter und sendet die Nachricht 214 zu dem Zugangspunkt- Knotenrechner 202, welcher auf dem Empfang der Nachricht 214 hin eine RADIUS Access-Request-Nachricht 215 mit dem Nachrichtenparameter „EAP-Response passthrough" bildet und diese an den TTLS-Server-Rechner 203 übermittelt.Response / TTLS message 214 with the parameters “ClientKeyExchange”, “Change-Cipher-Spec”, “Finished” as message parameters and sends the message 214 to the access point node computer 202, which receives a RADIUS upon receipt of the message 214 It forms an access request message 215 with the message parameter “EAP-Response passthrough” and transmits it to the TTLS server computer 203.
Der TTLS-Server-Rechner 203 bildet auf den Empfang der Nach- rieht 215 hin eine RADIUS Aecess-Challenge-Nachricht 216 mit den folgenden Nachrichtenparametern: „EAP-Request/TTLS", „Change-Cipher-Spec", „Finished", und sendet die Nachricht 216 zu dem Zugangspunkt-Knotenrechner 202, welcher auf den Empfang der Nachricht 216 hin eine EAP-Request passthrough-Naehrieht 217 bildet und diese zu dem Mobilfunk- Kommunikationsendgerät 201 übermittelt. Nach Empfang der Nachricht 217 bildet in Reaktion darauf dasUpon receipt of the messages 215, the TTLS server computer 203 forms a RADIUS Aecess Challenge message 216 with the following message parameters: “EAP-Request / TTLS”, “Change-Cipher-Spec”, “Finished”, and sends the message 216 to the access point node computer 202, which upon receipt of the message 216 forms an EAP request passthrough proximity 217 and transmits it to the mobile radio communication terminal 201. Upon receipt of message 217, this forms in response
Mobilfunk-Kommunikationsendgerät 201 eine EAP-Response/TTLS-Mobile radio communication terminal 201 an EAP response / TTLS
Nachricht 218 mit den Parametern „{EAP-Response/Identity}" und „{XXX-Data-Cipher-Suite+}" und sendet die Nachricht 218 zu den Zugangspunktsknotenrechner 202.Message 218 with the parameters "{EAP-Response / Identity}" and "{XXX-Data-Cipher-Suite +}" and sends the message 218 to the access point node computer 202.
Der Zugangspunkt-Knotenrechner 202 wiederum bildet auf Empfang der Nachricht 218 hin eine RADIUS Access-Request- Nachricht 219 mit dem Element „EAP-Response passthrough". Die Nachricht 219 wird von dem Zugangspunkt-Knotenrechner 202 zu dem TTLS-Server-Rechner 203 übertragen, welcher auf dem Empfang der Nachricht 219 hin eine RADIUS Access-Request- Nachricht 220 mit der Angabe „EAP-Response/Identity" als Nutzdatenelement und sendet die Nachricht 220 zu dem AAA- Server-Rechner 204, welcher auf den Empfang der Nachricht 220 mit dem Bilden einer RADIUS Aecess-Challenge-Nachricht 221 reagiert, welche Nachricht als Parameter eine „EAP- Request/MD5-Challenge"-Angabe enthält (vgl. Fig.2c) .When the message 218 is received, the access point node computer 202 in turn forms a RADIUS access request message 219 with the element “EAP-Response passthrough”. The message 219 is transmitted from the access point node computer 202 to the TTLS server computer 203 , which receives a RADIUS access request message 220 with the specification "EAP-Response / Identity" as the user data element upon receipt of the message 219 and sends the message 220 to the AAA server computer 204, which upon receipt of the message 220 reacting by forming a RADIUS Aecess Challenge message 221, which message contains an "EAP Request / MD5 Challenge" specification as a parameter (cf. FIG. 2c).
Die Nachricht 221 wird von dem AAA-Server-Rechner 204 zu dem TTLS-Server-Rechner 203 übertragen, welcher seinerseits auf den Empfang der Nachricht 221 hin eine RADIUS Aecess- Challenge-Nachricht 222 bildet, welche als Nachrichtenelemente eine „EAP-Request/TTLS"-Angabe enthält sowie als weitere Parameter „{EAP-Request/MD5-Challenge} " und „{XXX-Data- Cipher-Suite} " .The message 221 is transmitted from the AAA server computer 204 to the TTLS server computer 203, which in turn forms a RADIUS Aecess Challenge message 222 upon receipt of the message 221 which, as message elements, forms an “EAP request / TTLS "specification contains" {EAP-Request / MD5-Challenge} "and" {XXX-Data-Cipher-Suite} "as further parameters.
Die Nachricht 222 wird von dem TTLS-Server-Rechner 203 zu dem Zugangspunkt-Knotenrechner 202 übertragen, welcher auf den Empfang der Nachricht 222 hin eine EAP-Request passthrough- Naehrieht 223 bildet und zu dem Mobilfunk- Kommunikationsendgerät überträgt. Von dem Mobilfunk-Kommunikationsendgerät 201 wird auf denThe message 222 is transmitted from the TTLS server computer 203 to the access point node computer 202, which upon receipt of the message 222 forms an EAP request pass-through connection 223 and transmits it to the mobile radio communication terminal. From the mobile radio communication terminal 201 to the
Empfang der Nachricht 223 hin eine EAP-Response/TTLS- Nachricht 224 mit der Angabe ,,{EAP-Response/MD5-Challenge}" gebildet und zu dem Zugangspunkt-Knotenrechner 202 übertra- gen, welche auf den Empfang dieser Nachricht hin eine RADIUS Access-Request-Nachricht 225 mit EAP-Response passthrough bildet und zu dem TTLS-Server-Rechner 203 übermittelt.Upon receipt of the message 223, an EAP-Response / TTLS message 224 with the specification "{EAP-Response / MD5-Challenge}" is formed and transmitted to the access point node computer 202, which upon receipt of this message receives a RADIUS Access request message 225 with EAP response passthrough forms and transmitted to the TTLS server computer 203.
Auf den Empfang der Nachricht 225 hin bildet der TTLS-Server- Rechner 203 eine RADIUS Access-Challenge-Nachrieht 226 mit der Angabe EAP-Response/MD5-Challenge und übermittelt die Nachricht 226 an den AAA-Server-Rechner 204.Upon receipt of the message 225, the TTLS server computer 203 forms a RADIUS access challenge message 226 with the indication EAP response / MD5 challenge and transmits the message 226 to the AAA server computer 204.
Der AAA-Server-Rechner 204 bildet auf den Empfang der Nach- rieht 226 hin eine RADIUS Access-Accept-Nachricht 227 und sendet diese zu dem TTLS-Server-Rechner 203, welcher auf dem Empfang der Nachricht 227 hin eine weitere RADIUS Access- Accept-Nachricht 228 mit folgenden Nachrichtenparametern bildet: „XXX-Data-Cipher-Suite", „XXX-Data-Keying-Material", „EAP-Success". Die Nachricht 228 wird von dem TTLS-Server- Rechner 203 zu dem Zugangspunkt-Knotenrechner 202 übertragen, welcher auf den Empfang der Nachricht 228 hin eine EAP- Success passthrough-Naehrieht 229 bildet und an das Mobilfunk-Kommunikationsendgerät 201 übermittelt, womit eine ge- genseitige Authentifikation des Mobilfunk-When the messages 226 are received, the AAA server computer 204 forms a RADIUS access accept message 227 and sends this to the TTLS server computer 203, which receives another RADIUS access message when the message 227 is received. Accept message 228 forms with the following message parameters: "XXX-Data-Cipher-Suite", "XXX-Data-Keying-Material", "EAP-Success". The message 228 is sent from the TTLS server computer 203 to the access point Node computer 202, which forms an EAP success pass-through channel 229 upon receipt of the message 228 and transmits it to the mobile radio communication terminal 201, which means mutual authentication of the mobile radio
Kommunikationsendgerätes und dem AAA-Server-Rechner, d.h. dem Netzwerk, erreicht ist.Communication terminal and the AAA server computer, i.e. the network.
Um Kommunikations-Konfigurationsdaten zu erhalten, übermit- telt das Mobilfunk-Kommunikationsendgerät 201 eine Konfigura- tions-Anfragenachricht gemäß dem DHCP-Protocol als CP(CFG_REQUEST) als Nutzdatenelement innerhalb des in [21] beschriebenen Protokollformats in einer EAP-Response/TTLS- Nachricht 230 und überträgt die Nachricht zu dem Zugangspunkt-Knotenrechner 202, welcher auf dem Empfang der Konfigurationsanfrage hin, wiederum unter Verwendung des in [21] beschriebenen Nachrichtenformats eine RADIUS Access-Request- Nachricht 231 bildet. Als Nachrichtenparameter weist dieIn order to receive communication configuration data, the mobile radio communication terminal 201 transmits a configuration request message in accordance with the DHCP protocol as CP (CFG_REQUEST) as user data element within the protocol format described in [21] in an EAP response / TTLS Message 230 and transmits the message to the access point node computer 202, which upon receipt of the configuration request, again using the message format described in [21], forms a RADIUS access request message 231. As the message parameter, the
Nachricht 231 auf ein EAP-Response/TTLS passthrough mit zusätzlich der Angabe gemäß dem DHCP-Nachrichtenelement CP(CFG_REQUEST) (vgl. Fig.2d).Message 231 on an EAP response / TTLS passthrough with the additional specification according to the DHCP message element CP (CFG_REQUEST) (cf. FIG. 2D).
Die von dem Zugangspunkt-Knotenrechner 202 zu dem TTLS- Server-Rechner übertragene Nachricht 231 bringt den TTLS- Server 203 dazu, die für das Mobilfunk-Kommunikationsendgerät 201 verfügbaren und vorgesehenen Konfigurationsdaten, gemäß diesem Ausführungsbeispiel insbesondere eine oder mehrere dy- namische(n) IP-Adresse (n) und übermittelt diese unter Verwendung der im Rahmen des Authentifikationsverfahrens, wie oben beschrieben, gebildeten Schlüsselmaterials in einer RADIUS Aecess-Challenge-Nachricht 232, welche als Nachrichtenparameter eine EAP-Request/TTLS mit den zusätzlichen Parametern ge- maß dem DHCP-Protocol „CP (CFG_REPLY) " und sendet diese zu dem Zugangspunkt-Knotenrechner 202.The message 231 transmitted from the access point node computer 202 to the TTLS server computer causes the TTLS server 203 to transmit the configuration data available and intended for the mobile radio communication terminal 201, in particular one or more dynamic (s) according to this exemplary embodiment. IP address (es) and transmits them in a RADIUS Aecess Challenge message 232 using the key material formed as part of the authentication process, as described above, which, as message parameters, is an EAP request / TTLS with the additional parameters DHCP protocol "CP (CFG_REPLY)" and sends this to the access point node computer 202.
Der Zugangspunkt-Knotenrechner 202 wiederum ermittelt aus der Nachricht 232 die in den Nutzdaten CP (CFG_REPLY) enthaltenen Konfigurationsdaten, insbesondere die dynamische (n) IP- Adresse (n) , welche für das Mobilfunk-Kommunikationsendgerät vorgesehen ist/sind und sendet die Konfigurationsdaten in Form des DHCP-Nachrichtenelements „CP (CFG_REPLY) ", eingepackt in einer EAP-Response/TTLS-Nachricht 233, an das Mobilfunk- Kommunikationsendgerät 201.The access point node computer 202 in turn determines from the message 232 the configuration data contained in the user data CP (CFG_REPLY), in particular the dynamic (n) IP address (es) which is / are provided for the mobile radio communication terminal and sends the configuration data in Form of the DHCP message element "CP (CFG_REPLY)", packed in an EAP response / TTLS message 233, to the mobile radio communication terminal 201.
Ist die Nachricht 233 erfolgreich zu dem Mobilfunk- Kommunikationsendgerät 201 übertragen worden, so ermittelt dieses die Konfigurationsdaten aus der Nachricht 233 und verwendet diese wie in dem Steuerungsprogramm des Mobilfunk- Kommunikationsendgeräts 201 vorgesehen.If the message 233 has been successfully transmitted to the mobile radio communication terminal 201, it is determined the latter receives the configuration data from the message 233 and uses it as provided in the control program of the mobile radio communication terminal 201.
Anschaulich erfolgt somit die Übertragung der Mobilfunk-The transmission of the mobile communications
Kommunikations-Konfigurationsdaten nach erfolgter Beendigung der Authentifikation gemäß dem in [21] beschriebenen EAP- basierten Authentifikationsverfahren. Zusätzlich zu dem in [21] beschriebenen Verfahren ist eine Einrichtung der Rechner gemäß [7] vorgesehen, um dem Mobilfunk-Kommunikationsendgerät 201 als Client-Rechner die Möglichkeit zu geben, die Kommuni- kations-Konfigurationsdaten mittels der CFG_REQUEST-Nachricht anzufordern und mittels der CFG_REPLY-Nachricht zu erhalten.Communication configuration data after completion of the authentication according to the EAP-based authentication method described in [21]. In addition to the method described in [21], the computers according to [7] are provided in order to give the mobile radio communication terminal 201 as the client computer the possibility of requesting the communication configuration data using the CFG_REQUEST message and using the Receive CFG_REPLY message.
Bis auf die in [7] proprietär beschriebenen Nachrichtenformate entspricht die Nomenklatur und die Einrichtung sowie die Parameter dem üblichen DHCP-Format, wie es beispielsweise in [3] beschrieben ist.Except for the message formats proprietarily described in [7], the nomenclature and the device as well as the parameters correspond to the usual DHCP format, as described for example in [3].
Die Übertragung der Kommunikations-Konfigurationsdaten erfolgt somit kryptographisch gesichert durch den aufgebauten TLS-Tunnel.The communication configuration data is thus transmitted cryptographically secured through the TLS tunnel.
In dem Ausführungsbeispiel ist die Kommunikation zwischen dem TTLS-Server-Rechner 203 und dem Knoten, der die Konfigurationsdaten bereitstellt, beispielsweise einem DHCP-Server oder auch einem LDAP-Server, aus Gründen einer übersichtlicheren Darstellung der Erfindung nicht näher beschrieben.In the exemplary embodiment, the communication between the TTLS server computer 203 and the node which provides the configuration data, for example a DHCP server or an LDAP server, is not described in more detail for reasons of a clearer illustration of the invention.
In einer alternativen Ausführungsform ist es vorgesehen, dass die Kommunikations-Konfigurationsdaten unmittelbar nach Beendigung der gegenseitigen Authentifikation, beispielsweise schon innerhalb der EAP-Success-Nachricht 229 an das Mobilfunk-Kommunikationsendgerät 201 übertragen wird.In an alternative embodiment, it is provided that the communication configuration data, for example, immediately after the mutual authentication has ended is already transmitted to the mobile radio communication terminal 201 within the EAP success message 229.
Ein drittes Ausführüngsbeispiel der Erfindung ist in einem Naehrichtenflussdiagramm 300 in den Fig.3a und Fig.3b dargestellt .A third exemplary embodiment of the invention is shown in a proximity flow diagram 300 in FIGS. 3a and 3b.
Das EAP-basierte Authentifikationsverfahren ist gemäß diesem Ausführungsbeispiel gemäß dem PANA-Verfahren, wie es in [17] beschrieben ist, ausgebildet.According to this exemplary embodiment, the EAP-based authentication method is designed according to the PANA method as described in [17].
Gemäß dem in [17] beschriebenen Protokoll wird von dem PANA- Client-Rechner 301 eine PANA_Discover (0, 0) -Nachricht 303 gebildet und an den PAA-Server-Rechner 302 übermittelt, welcher auf den Empfang der PANA_Discover (0, 0) -Nachricht 303 hin eine Antwortnachricht PANA_start (x, 0) [Cookie] -Nachricht 304 bildet und dem Client-Rechner 301 übermittelt (vgl. Fig.3a).According to the protocol described in [17], the PANA client computer 301 forms a PANA_Discover (0, 0) message 303 and transmits it to the PAA server computer 302 which, upon receipt of the PANA_Discover (0, 0) Message 303 forms a response message PANA_start (x, 0) [cookie] message 304 and transmits it to client computer 301 (cf. FIG. 3a).
Der PANA-Client-Rechner 301 bildet auf den Empfang der Nach- rieht 304 hin eine PANA_start (x, y) [Cookie] -Nachricht 305 und übermittelt diese an den PAA-Server-Rechner 302, welcher auf den Empfang der Nachricht 305 im Rahmen des EAP-basierten Authentifikationsverfahrens reagiert mit einer ersten Authenti- fikationsnachricht 306 PANA_auth (x+1, y) [EAP{Request} ] , welche zu dem Client-Rechner 301 übertragen wird.When the messages 304 are received, the PANA client computer 301 forms a PANA_start (x, y) [cookie] message 305 and transmits this to the PAA server computer 302, which receives the message 305 in the The EAP-based authentication method reacts with a first authentication message 306 PANA_auth (x + 1, y) [EAP {Request}], which is transmitted to the client computer 301.
Der Client-Rechner 301 bildet auf den Empfang der Nachricht 306 hin eine zweite Authentifikationsnachricht 307 PANA_auth(y+l,x+l) [EAP{Response} ] . Die Nachricht 307 wird zu dem PAA-Server-Rechner 302 übertragen.Upon receipt of the message 306, the client computer 301 forms a second authentication message 307 PANA_auth (y + l, x + l) [EAP {Response}]. The message 307 is transmitted to the PAA server computer 302.
Nach Empfang der Nachricht 307 wird von dem PAA-Server- Rechner 302 eine dritte Authentifikationsnachricht 308 PANA_auth (x+2,y+l) [EAP{Request} ] gebildet und zu dem Client- Rechner 301 übermittelt, welcher seinerseits auf den Empfang der Nachricht 308 hin eine vierte AuthentifikationsnachrichtAfter receiving the message 307, the PAA server computer 302 sends a third authentication message 308 PANA_auth (x + 2, y + l) [EAP {Request}] is formed and transmitted to the client computer 301, which in turn receives a fourth authentication message upon receipt of the message 308
309 PANA_auth(y+2,x+2) [EAP{Response} ] bildet und zu dem PAA- Server-Rechner übermittelt, womit die Sicherheitsbeziehung309 PANA_auth (y + 2, x + 2) [EAP {Response}] forms and transmits to the PAA server computer, with which the security relationship
(PANA Security Association) etabliert ist.(PANA Security Association) is established.
Diese Vorgehensweise entspricht der in [17] beschriebenen.This procedure corresponds to that described in [17].
Nachfolgend wird, wie in [17] ebenfalls beschrieben, von dem PAA-Server-Rechner 302 eine PANA-Bestätigungsnachricht 310 PANA_Success (x+3,y+2) [EAP{Success> , Device-Id, Data- Protection, MAC] gebildet und zu dem Client-Rechner 301 übermittelt, welcher vorzugsweise als Mobilfunk- Kommunikationsendgerät eingerichtet ist (vgl. Fig.3b) .Subsequently, as also described in [17], the PAA server computer 302 sends a PANA confirmation message 310 PANA_Success (x + 3, y + 2) [EAP {Success>, Device-Id, Data Protection, MAC] formed and transmitted to the client computer 301, which is preferably set up as a mobile radio communication terminal (see FIG. 3b).
Der Client-Rechner 301 bildet auf den Empfang der NachrichtThe client computer 301 prepares for the receipt of the message
310 hin eine PANA-Success-Bestätigungsnachricht 311 PANA_Success_ack (y+3,x+3) [Device-Id, Data-Protection, CP (CFG_Request) , MAC] und sendet diese zu dem PAA-Server- Rechner 302, welcher seinerseits auf den Empfang der Nachricht 311 hin eine weitere PANA-Nachricht 312 mit den angeforderten Konfigurationsdaten bildet und zu dem Client- Rechner 301 übermittelt als PANA_msg (x+4, y+3) [CP (CFG_Reply) , MAC] .310 a PANA success confirmation message 311 PANA_Success_ack (y + 3, x + 3) [device ID, data protection, CP (CFG_Request), MAC] and sends this to the PAA server computer 302, which in turn opens upon receipt of the message 311, a further PANA message 312 with the requested configuration data is formed and transmitted to the client computer 301 as PANA_msg (x + 4, y + 3) [CP (CFG_Reply), MAC].
Anschaulich entspricht die Ausführungsform dem PANA-Protokoll gemäß [17] mit der Erweiterung, dass die Payloads zum Transport der Adresskonfigurationsnachrichten gemäß dem DHCP, al- ternativ gemäß ModeConfig, erfindungsgemäß erweitert sind. In den Fig.3a und Fig.3b wurden ohne Einschränkung der Allgemeingültigkeit wiederum die Payloads gemäß [7] als Konfigura- tionspayloads verwendet .The embodiment clearly corresponds to the PANA protocol according to [17] with the extension that the payloads for transporting the address configuration messages are expanded according to the invention, alternatively according to ModeConfig. In FIGS. 3a and 3b, the payloads according to [7] were again used as configuration payloads without restricting the general validity.
Die Anfrage und die Antwort zum Erhalt der Kommunikations- Konfigurationsdaten wird durch den MAC-Payload, der durch eine Keyde-Message Digestfunktion realisiert wird, kryp- tographisch geschützt.The request and the response to receive the communication configuration data is cryptographically protected by the MAC payload, which is implemented by a keyde message digest function.
Die benötigten kryptographischen Schlüssel und Sicherheitsparameter, d.h. das kryptographische Schlüsselmaterial bzw. Sicherheitsmaterial werden durch die PANA-Security Association (SA) bereitgestellt, die mittels der EAP-Authentifikation, wie oben beschrieben und in [17] im Detail ausgeführt, er- zeugt wurden. The required cryptographic keys and security parameters, ie the cryptographic key material or security material are provided by the PANA Security Association (SA), which were generated using the EAP authentication as described above and detailed in [17].
In diesem Dokument sind folgende Veröffentlichungen zitiert:The following publications are cited in this document:
[1] N. Prigent et al., DHCPvδ Threads, Internet-Draft, Mai 2001;[1] N. Prigent et al., DHCPvδ Threads, Internet Draft, May 2001;
[2] C. Schäfer, Das DHCP-Handbuch, Ein Leitfaden zur Planung, Einführung und Administration von DHCP, Edison-Wesley- Verlag, ISBN 3-8273-1904-8, Seiten 141-149, 2002;[2] C. Schäfer, Das DHCP-Handbuch, A Guide to Planning, Introduction and Administration of DHCP, Edison-Wesley-Verlag, ISBN 3-8273-1904-8, pages 141-149, 2002;
[3] R, Droms, Dynamic Host Configuration Protocol, Request for Comments : 2131, März 1997;[3] R, Droms, Dynamic Host Configuration Protocol, Request for Comments: 2131, March 1997;
[4] R. Droms et al . , Authentication for DHCP Messages, Request for Comments : 3118, Juni 2001 ;[4] R. Droms et al. , Authentication for DHCP Messages, Request for Comments: 3118, June 2001;
[5] M. Richardson, A Method for Configuration for IPsec Clients Using DHCP, Internet-Draft, Februar 2003;[5] M. Richardson, A Method for Configuration for IPsec Clients Using DHCP, Internet Draft, February 2003;
[6] T. Kivinen, DHCP over IKE, Internet-Draft, April 2003;[6] T. Kivinen, DHCP over IKE, Internet draft, April 2003;
[7] D. Dukes, Configuration Payload, Internet-Draft, Juli 2003;[7] D. Dukes, Configuration Payload, Internet Draft, July 2003;
[8] D. Dukes et al . , The ISAKMP Configuration Method, Inter- net-Draft, September 2001,[8] D. Dukes et al. , The ISAKMP Configuration Method, Internet Draft, September 2001,
[9] D. Harkins et al . , The Internet Key Exchange (IKE), Request for Comments: 2409, November 1998;[9] D. Harkins et al. , The Internet Key Exchange (IKE), Request for Comments: 2409, November 1998;
[10] C. Kaufman, Internet Key Exchange (IKEv2) Protocol, Internet-Draft, April 2003; [11] A. McAuley et al., Dynamic Registration and Configuration Protocol (DRCP) , Internet-Draft, Januar 2001;[10] C. Kaufman, Internet Key Exchange (IKEv2) Protocol, Internet Draft, April 2003; [11] A. McAuley et al., Dynamic Registration and Configuration Protocol (DRCP), Internet Draft, January 2001;
[12] B. Mukherjee et al . , Extensions to DHCT for Roaming U- sers, Internet-Draft, Mai 2001;[12] B. Mukherjee et al. , Extensions to DHCT for Roaming Users, Internet Draft, May 2001;
[13] S. Medvinsky et al . , Kerberos V Authentication Mode for Uninitialized Clients, Internet-Draft, Juli 2000;[13] S. Medvinsky et al. , Kerberos V Authentication Mode for Uninitialized Clients, Internet Draft, July 2000;
[14] V. Gupta, Flexible Authentication for DHCP Messages, Internet-Draft, Februar 2003;[14] V. Gupta, Flexible Authentication for DHCP Messages, Internet Draft, February 2003;
[15] H. Tschofenig et al . , EAP IKEv2 Method, Internet-Draft, Februar 2004;[15] H. Tschofenig et al. , EAP IKEv2 Method, Internet Draft, February 2004;
[16] L. Blunk et al . , Extensible Authentication Protocol (EAP), Internet-Draft, Februar 2004;[16] L. Blunk et al. , Extensible Authentication Protocol (EAP), Internet Draft, February 2004;
[17] D. Forsberg et al . , Protocol for Carrying Authentication for Network Access (PANA), Internet-Draft, Mai 2004;[17] D. Forsberg et al. , Protocol for Carrying Authentication for Network Access (PANA), Internet Draft, May 2004;
[18] M. Grayson et al . , EAP Authorisation, Internet-Draft, März 2003;[18] M. Grayson et al. , EAP Authorization, Internet Draft, March 2003;
[19] T. Hiller et al., A Container Type for the Extensible Authentication Protocol (EAP) , Internet-Draft, Mai 2003;[19] T. Hiller et al., A Container Type for the Extensible Authentication Protocol (EAP), Internet Draft, May 2003;
[20] H. Andersson et al . , Protected EAP Protocol, Internet- Draft, Februar 2002[20] H. Andersson et al. , Protected EAP Protocol, Internet Draft, February 2002
[21] P. Funk, EAP Tunnel TLS Authentication Protocol (EAP- PTLS) , Internet-Draft, April 2004 [21] P. Funk, EAP Tunnel TLS Authentication Protocol (EAP-PTLS), Internet draft, April 2004

Claims

Patentansprüche claims
1. Verfahren zum Bilden einer verschlüsselten Nachricht, welche Kommunikations-Konfigurationsdaten enthält, • bei dem unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikationsverfahren durchgeführt wird, wodurch für die erste Kommunikations- einheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird,1. A method for forming an encrypted message which contains communication configuration data, in which, using at least one service of a unit of a data link layer, an internet-based authentication method is carried out between a first communication unit and a second communication unit, so that for the first communication unit and the second communication unit is formed at least one cryptographic key pair,
• bei dem unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars die Kommunikations-Konfigurationsdaten von der ersten Kommunikationseinheit verschlüsselt werden, womit die verschlüsselte Nachricht gebildet wird.In which, using at least one cryptographic key of the at least one cryptographic key pair, the communication configuration data are encrypted by the first communication unit, thus forming the encrypted message.
2. Verfahren gemäß Anspruch 1, bei dem das internet-basierte Authentifikationsverfahren auf einem Extensible Authentication Protocol-Verfahren basiert.2. The method according to claim 1, wherein the internet-based authentication method is based on an Extensible Authentication Protocol method.
3. Verfahren gemäß Anspruch 1 oder 2, bei dem die Kommunikations-Konfigurationsdaten unter Verwendung von elektronischen Nachrichten gemäß dem internet- basierten Authentifikationsverfahren von der ersten Kommunikationseinheit zu der zweiten Kommunikationseinheit übertragen werden .3. The method according to claim 1 or 2, wherein the communication configuration data is transmitted from the first communication unit to the second communication unit using electronic messages according to the internet-based authentication method.
4. Verfahren gemäß einem der Ansprüche 1 bis 3, bei dem die Kommunikations-Konfigurationsdaten unter Verwendung von elektronischen Nachrichten gemäß einem der folgenden internet-basierten Authentifikationsverfahren von der ersten Kommunikationseinheit zu der zweiten Kommunikationseinheit übertragen werden : • Protected Extensible Authentication Protocol-Verfahren,4. The method according to claim 1, wherein the communication configuration data are transmitted from the first communication unit to the second communication unit using electronic messages in accordance with one of the following internet-based authentication methods: Protected Extensible Authentication Protocol method,
• Extensible Authentication Protocol Tunneled TLS Authentication Protocol-Verfahren, oder • Protocol for Carrying Authentication for Network Access- Verfahren .• Extensible Authentication Protocol Tunneled TLS Authentication Protocol procedure, or • Protocol for Carrying Authentication for Network Access procedures.
5. Verfahren gemäß einem der Ansprüche 1 bis 4, bei dem die erste Kommunikationseinheit eine Kommunikationseinheit eines Kommunikationsnetzwerk-Elements ist.5. The method according to any one of claims 1 to 4, wherein the first communication unit is a communication unit of a communication network element.
6. Verfahren gemäß Anspruch 5, bei dem die erste Kommunikationseinheit eine Kommunikations- einheit eines Kommunikationsnetzwerk-Elements in einem Mobilfunk-Kommunikationsnetzwerks ist.6. The method according to claim 5, wherein the first communication unit is a communication unit of a communication network element in a mobile radio communication network.
7. Verfahren gemäß einem der Ansprüche 1 bis 6, bei dem die zweite Kommunikationseinheit ein Kommunikations- endgerät ist.7. The method according to any one of claims 1 to 6, wherein the second communication unit is a communication terminal.
8. Verfahren gemäß Anspruch 7, bei dem die zweite Kommunikationseinheit ein Mobilfunk- Kommunikationsendgerät ist.8. The method according to claim 7, wherein the second communication unit is a mobile radio communication terminal.
9. Verfahren gemäß einem der Ansprüche 1 bis 8, bei dem die Kommunikations-Konfigurationsdaten gemäß einem Protokollformat eines Protokolls zum Konfigurieren eines Kommunikationsendgeräts codiert sind.9. The method according to any one of claims 1 to 8, wherein the communication configuration data are encoded according to a protocol format of a protocol for configuring a communication terminal.
10. Verfahren gemäß Anspruch 9, bei dem die Kommunikations-Konfigurationsdaten gemäß einem Protokollformat eines Protokolls zum dynamischen Konfigurieren eines Kommunikationsendgeräts codiert sind.10. The method according to claim 9, wherein the communication configuration data are encoded according to a protocol format of a protocol for dynamically configuring a communication terminal.
11. Verfahren gemäß Anspruch 10, bei dem die Kommunikations-Konfigurationsdaten gemäß einem Protokollformat eines Dynamic Host Configuration Protokolls zum dynamischen Konfigurieren eines Kommunikationsendgeräts codiert sind. 11. The method according to claim 10, wherein the communication configuration data are encoded according to a protocol format of a dynamic host configuration protocol for dynamically configuring a communication terminal.
12. Verfahren zum Entschlüsseln einer verschlüsselten Nachricht, welche Kommunikations-Konfigurationsdaten enthält,12. Method for decrypting an encrypted message which contains communication configuration data,
• bei dem unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikationsverfahren durchgeführt wird, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird, • bei dem unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars Kommunikations-Konfigurationsdaten von der zweiten Kommunikationseinheit unter Entschlüsselung der verschlüsselten Nachricht, welche die Kommunikations- Konfigurationsdaten enthält, ermittelt werden.• in which an internet-based authentication method is carried out using at least one service of a unit of a data link layer between a first communication unit and a second communication unit, whereby at least one cryptographic key pair is formed for the first communication unit and the second communication unit, • in which using at least one cryptographic key of the at least one cryptographic key pair of communication configuration data is determined by the second communication unit by decrypting the encrypted message which contains the communication configuration data.
13. Einrichtung zum Bilden einer verschlüsselten Nachricht, wobei die verschlüsselte Nachricht Kommunikations- Konfigurationsdaten enthält, • mit einer Schlüsselerzeugungs-Einheit, welche eingerichtet ist, unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikationseinheit ein internet-basiertes Authentifikationsverfahren durchzuführen, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird,13. Device for forming an encrypted message, the encrypted message containing communication configuration data, • with a key generation unit which is set up using at least one service of a unit of a data link layer between a first communication unit and a second communication unit perform an authentication process based on which at least one cryptographic key pair is formed for the first communication unit and the second communication unit,
• mit einer Verschlüsselungseinheit, welche eingerichtet ist, unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars die Kommunikations-Konfigurationsdaten zu verschlüsseln, womit die verschlüsselte Nachricht gebildet wird.With an encryption unit, which is set up to use at least one cryptographic key of the at least one cryptographic key pair to encrypt the communication configuration data, thus forming the encrypted message.
14. Einrichtung zum Entschlüsseln einer verschlüsselten Nachricht, wobei die verschlüsselte Nachricht Kommunikations- Konfigurationsdaten enthält, • mit einer Schlüsselerzeugungs-Einheit, welche eingerichtet ist, unter Verwendung von mindestens einem Dienst einer Einheit einer Sicherungsschicht zwischen einer ersten Kommunikationseinheit und einer zweiten Kommunikations- einheit ein internet-basiertes Authentifikationsverfahren durchzuführen, wodurch für die erste Kommunikationseinheit und die zweite Kommunikationseinheit mindestens ein kryptographisches Schlüsselpaar gebildet wird,14. Device for decrypting an encrypted message, the encrypted message containing communication configuration data, • With a key generation unit, which is set up to use at least one service of a unit of a data link layer between a first communication unit and a second communication unit to carry out an internet-based authentication method, whereby at least one cryptographic one for the first communication unit and the second communication unit Key pair is formed,
• mit einer Entschlüsselungseinheit, welche eingerichtet ist, unter Verwendung mindestens eines kryptographischen Schlüssels des mindestens einen kryptographischen Schlüsselpaars Kommunikations-Konfigurationsdaten von der zweiten Kommunikationseinheit unter Entschlüsselung der verschlüsselten Nachricht, welche die Kommunikations- Konfigurationsdaten enthält, zu entschlüsseln. With a decryption unit which is set up to decrypt communication configuration data from the second communication unit using at least one cryptographic key of the at least one cryptographic key pair by decrypting the encrypted message which contains the communication configuration data.
EP04766057A 2003-06-18 2004-06-17 Method and device for forming and encrypting an encrypted message containing communication configuration data Withdrawn EP1634425A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE10327610 2003-06-18
PCT/EP2004/051153 WO2005004433A1 (en) 2003-06-18 2004-06-17 Method and device for forming and encrypting an encrypted message containing communication configuration data

Publications (1)

Publication Number Publication Date
EP1634425A1 true EP1634425A1 (en) 2006-03-15

Family

ID=33559730

Family Applications (1)

Application Number Title Priority Date Filing Date
EP04766057A Withdrawn EP1634425A1 (en) 2003-06-18 2004-06-17 Method and device for forming and encrypting an encrypted message containing communication configuration data

Country Status (3)

Country Link
US (1) US20070101132A1 (en)
EP (1) EP1634425A1 (en)
WO (1) WO2005004433A1 (en)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7983418B2 (en) * 2004-04-23 2011-07-19 Telefonaktiebolaget Lm Ericsson (Publ) AAA support for DHCP
US20060002557A1 (en) * 2004-07-01 2006-01-05 Lila Madour Domain name system (DNS) IP address distribution in a telecommunications network using the protocol for carrying authentication for network access (PANA)
KR100651716B1 (en) * 2004-10-11 2006-12-01 한국전자통신연구원 Bootstrapping method in mobile network based on Diameter protocol and system therein
US8539559B2 (en) 2006-11-27 2013-09-17 Futurewei Technologies, Inc. System for using an authorization token to separate authentication and authorization services
US8099597B2 (en) 2007-01-09 2012-01-17 Futurewei Technologies, Inc. Service authorization for distributed authentication and authorization servers
CN101247356B (en) * 2007-02-13 2011-02-16 华为技术有限公司 DHCP message passing method and system
US8285990B2 (en) * 2007-05-14 2012-10-09 Future Wei Technologies, Inc. Method and system for authentication confirmation using extensible authentication protocol
US8341702B2 (en) * 2007-11-01 2012-12-25 Bridgewater Systems Corp. Methods for authenticating and authorizing a mobile device using tunneled extensible authentication protocol
CN101917398A (en) * 2010-06-28 2010-12-15 北京星网锐捷网络技术有限公司 Method and equipment for controlling client access authority
US10225138B2 (en) * 2016-02-16 2019-03-05 Architecture Technology Corporation Scalable and automated network-parameter assignment
CN109792600B (en) * 2016-08-03 2022-06-28 诺基亚通信公司 Service provisioning for home carriers
US11456921B2 (en) * 2019-04-29 2022-09-27 Ncr Corporation Self-contained microservice platform

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5790548A (en) * 1996-04-18 1998-08-04 Bell Atlantic Network Services, Inc. Universal access multimedia data network
US20020174335A1 (en) * 2001-03-30 2002-11-21 Junbiao Zhang IP-based AAA scheme for wireless LAN virtual operators
US20030084287A1 (en) * 2001-10-25 2003-05-01 Wang Huayan A. System and method for upper layer roaming authentication
US7961884B2 (en) * 2002-08-13 2011-06-14 Ipass Inc. Method and system for changing security information in a computer network
US7788705B2 (en) * 2002-08-12 2010-08-31 Mcafee, Inc. Fine grained access control for wireless networks
WO2004110026A1 (en) * 2003-06-05 2004-12-16 Wireless Security Corporation Methods and systems of remote authentication for computer networks

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2005004433A1 *

Also Published As

Publication number Publication date
US20070101132A1 (en) 2007-05-03
WO2005004433A1 (en) 2005-01-13

Similar Documents

Publication Publication Date Title
DE60209858T2 (en) Method and device for access control of a mobile terminal in a communication network
DE60121393T2 (en) Key management method for wireless local area networks
DE102006038592B4 (en) Method and device for providing a wireless mesh network
DE60223951T2 (en) System, apparatus and method for SIM based authentication and encryption when accessing a wireless local area network
DE102006038591B4 (en) Method and device for providing a wireless mesh network
DE60302882T2 (en) SECURITY TRANSFER PROTOCOL FOR A MOBILITY IP NETWORK
DE69925732T2 (en) Mobile phone with built-in security firmware
EP1529374B1 (en) Method and system for gsm authentication during wlan roaming
EP2052517B1 (en) Method and system for providing an access specific key
DE60313445T2 (en) Apparatus and method for authentication with one-time password entry via an insecure network access
DE102006004868B4 (en) Method and server for providing a mobility key
EP1943856B1 (en) Method and server for providing a mobile key
EP1770940A1 (en) Method and apparatus for establishing a communication between a mobile device and a network
DE102006031870B4 (en) Method and system for providing a Mobile IP key
DE102006060040B4 (en) Method and server for providing a protected data connection
US20080137863A1 (en) Method and system for using a key management facility to negotiate a security association via an internet key exchange on behalf of another device
WO2007051793A1 (en) Subscriber-specific enforcement of proxy-mobile-ip (pmip) instead of client-mobile-ip (cmip)
US20070157305A1 (en) Controlling the number of internet protocol security (IPsec) security associations
WO2005004433A1 (en) Method and device for forming and encrypting an encrypted message containing communication configuration data
DE102017210721A1 (en) Method and communication system for the efficient establishment of a secure data connection between a client computer and a server computer
CH694678A5 (en) Method for automatic roaming between heterogeneous wireless local area networks carries out identification and transfer functions without user intervention
Korhonen et al. Diameter mobile IPv6: Support for home agent to diameter server interaction
DE60215978T2 (en) Method and device for access control of a mobile terminal in a communication network
Froihofer A survey of WLAN security with focus on HotSpot and enterprise environments
DE102004008764A1 (en) Wireless local area network radio user device authentication method involves establishing communication of user device with network access point and radio link manager, and attaching user device to core network system

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20051111

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LI LU MC NL PL PT RO SE SI SK TR

DAX Request for extension of the european patent (deleted)
RIN1 Information on inventor provided before grant (corrected)

Inventor name: CUELLAR, JORGE

Inventor name: TSCHOFENIG, HANNES

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: NOKIA SIEMENS NETWORKS GMBH & CO. KG

RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: NOKIA SIEMENS NETWORKS S.P.A.

RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: NOKIA SIEMENS NETWORKS GMBH & CO. KG

17Q First examination report despatched

Effective date: 20080128

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20080610