ES2241275T3 - Metodo, disposicion y aparato para autentificacion. - Google Patents
Metodo, disposicion y aparato para autentificacion.Info
- Publication number
- ES2241275T3 ES2241275T3 ES99915716T ES99915716T ES2241275T3 ES 2241275 T3 ES2241275 T3 ES 2241275T3 ES 99915716 T ES99915716 T ES 99915716T ES 99915716 T ES99915716 T ES 99915716T ES 2241275 T3 ES2241275 T3 ES 2241275T3
- Authority
- ES
- Spain
- Prior art keywords
- authentication
- data
- network
- server
- user interface
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Power Engineering (AREA)
- Telephonic Communication Services (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
Un método de autentificación de comunicaciones en redes de telecomunicaciones, caracterizado por que el método comprende: almacenar datos de autentificación recibidos desde la primera red de telecomunicaciones (4) en un servidor de autentificación (10); almacenar datos de identificación de interfaz de usuario recibidos desde la primera red de telecomunicaciones (4) en el servidor de autentificación (10) de tal manera que queden ligados con los datos de autentificación asociados; transmitir datos de identificación recibidos desde la primera red de telecomunicaciones (4) de un interfaz de usuario comunicante al servidor de autentificación (10), comunicándose dicho interfaz de usuario con una aplicación (9), (9¿) implementada en una red (8) de datos en paquetes, comprendiendo el interfaz de usuario un dispositivo procesador de datos y estando conectado a una red de telecomunicaciones conmutada por circuitos que tiene una conexión operativa con la red (8) de datos en paquetes; recibir los datosde identificación en el servidor de autentificación (10); recuperar tales datos de autentificación de entre los datos de autentificación almacenados que están ligados a los datos de identificación recibidos; y transmitir al menos parte de los datos de autentificación recuperados desde el servidor de autentificación (10) como respuesta a los datos de identificación recibidos.
Description
Método, disposición y aparato para
autentificación.
La presente invención se refiere a métodos para
autentificación en redes de telecomunicación. La invención se
refiere además a una disposición para ejecutar operaciones de
autentificación en redes de telecomunicación y a un aparato para uso
en autentificación.
Existen diversos tipos de aplicaciones y/o
procesos y/o servicios de comunicación que se implementan a través
de una red de telecomunicación (o de varias redes) y que requieren
al menos alguna clase de autentificación. La autentificación puede
solicitarse, por ejemplo, cuando un usuario está accediendo a una
aplicación específica a través de una red de telecomunicación con el
fin de garantizar el derecho del usuario al acceso. Además, cuando
un usuario ya está usando una aplicación a través de una red de
telecomunicación, puede surgir la necesidad de verificar el derecho
del usuario a usar la aplicación y/o el derecho del usuario a
realizar algunos procesos adicionales, tales como operaciones de
reconfiguración o reprogramación o actualización, durante el uso, o
a recibir un acuse de recibo del usuario para permitir que la
aplicación ejecute algunos procesos adicionales, tales como
recuperar o transferir información desde la aplicación o una base de
datos/registro asociado, o para configurar la aplicación o la
información contenida en una base de datos de aplicaciones.
Ejemplos de aplicaciones que podrían requerir una
autentificación incluyen diversos servicios y/o bases de datos
comerciales y no comerciales o registros obtenidos a través de redes
de comunicaciones conmutadas de paquetes, tales como Internet,
Intranet o Redes de Área Local (LAN). Los ejemplos incluyen también
aplicaciones tales como servicios de pago y servicios bancarios a
los que se accede a través de redes de comunicaciones conmutadas de
paquetes. Los ejemplos de las aplicaciones también incluyen procesos
tales como acceso a recursos, programación o reprogramación remota,
o reconfiguración, actualización o mantenimiento de software y/o
bases de datos a través de una red de comunicaciones, así como la
transmisión de archivos y registros confidenciales, etc., procesos
ejecutados a través de una red de comunicaciones. Como ya se ha
señalado, incluso algunos de los servicios gratuitos obtenidos a
través de redes de comunicaciones puede requerir una
autentificación.
La cantidad de aplicaciones que requieren al
menos cierto grado de autentificación del usuario y/o terminal que
están intentando acceder a la aplicación o de un usuario y/o
terminal que ya las están utilizando, pero que necesitan
autentificarse o comprobarse durante el uso de la aplicación o que
necesitan acusar recibido de algo durante el uso de la aplicación,
se ha incrementado en gran medida durante los pasados años.
Asimismo, se espera que aumente aún más en el futuro la necesidad de
una autentificación segura y fiable.
Los sistemas de comunicaciones de datos actuales
pueden usar claves especiales o firmas electrónicas (firmas
eléctricamente implementadas) para la autentificación del uso de los
mismos. En éstos, las claves se usan en procesos de autenticidad de
la comunicación junto con diversas técnicas y/o algoritmos
criptográficos entre equipos de comunicación de datos de dos
dispositivos de procesamiento de datos o dispositivos de ordenador
y/o servidores y/o nodos comunicantes, etc.
Según un escenario se propone un desafío
aleatorio a unas funciones de encriptación de los dos dispositivos
de ordenador. Ambos ordenadores tienen un secreto, es decir, una
clave de encriptación, que también se entrega a las funciones de
encriptación/desencriptación de ambos ordenadores. Más tarde, se
comparan los resultados de los cálculos de las dos funciones de
encriptación, y si el resultado de la comparación es positivo, se
considera en vigor la autenticidad, y si la comparación arroja un
resultado negativo entonces se considera fallida la prueba de
autenticidad.
En la mayoría de casos las claves son claves
públicas o privadas. En un método de clave pública un usuario puede
ser identificado por medio de una clave (por ejemplo, una
contraseña). El usuario y la aplicación pueden usar la clave pública
para encriptar datos. En un método de clave privada la clave sólo es
conocida normalmente por el usuario. El usuario puede así
identificarse únicamente en el caso de que la clave sea compartida
entre el usuario y la aplicación (el llamado secreto compartido).
Por tanto, en la mayor parte de los casos, la clave privada puede
usarse únicamente para desencriptar datos encriptados, mientras que
la clave de secreto compartido puede usarse tanto para las
operaciones de encriptación como de desencriptación.
Además, las claves pueden ser simétricas o
asimétricas con relación al tiempo. Sin embargo, el uso de claves
asimétricas durante una conexión puede hacer muy pesado el
funcionamiento de la disposición de autentificación. Por tanto, un
clave asimétrica (o claves asimétricas) se usa únicamente cuando se
establece una conexión, y una clave simétrica (o claves simétricas)
se usa entonces para la conexión misma.
La firma electrónica o digital es un bloque de
datos que se ha creado usando alguna clave secreta. Puede usarse una
clave pública para verificar que la firma se generó realmente usando
una clave secreta correspondiente. El algoritmo usado para generar
la firma debe ser tal que sea imposible crear o adivinar una firma
de esta clase que pudiera verificarse como firma válida sin el
conocimiento de la clave secreta real.
Para tener una mejor compresión de los
antecedentes, algunos de los términos de la técnica se explican con
más detalle junto con una breve descripción de algunos de los
inconvenientes de los mismos:
- -
- Una identidad de usuario (ID). Cada unos de los usuarios tiene una identidad de usuario (ID), que también en ocasiones se denomina nombre de usuario. El usuario crea normalmente por sí mismo la ID, y ésta puede, por ejemplo, formarse con las iniciales, el primer nombre y/o el apellido del usuario, su apodo o análogamente. Por tanto, las IDs de usuario no proporcionan ninguna seguridad adecuada y fiable frente al uso no autorizado o ilegal de las mismas. Una ID puede ser empleada por cualquiera en vez de por el propietario real de la misma.
- -
- Una contraseña. Actualmente, el uso de una contraseña o varias contraseñas junto con la ID de usuario es el método más a menudo usado para la autentificación. La contraseña se da a la aplicación remota a través de un interfaz de usuario, por ejemplo, mediante un terminal de ordenador conectado a una red de comunicaciones. Sin embargo, esta solución no tiene en cuenta la vulnerabilidad de la red, dado que la contraseña queda expuesta a cualquiera que tenga acceso a la red (y que esté versado lo suficiente como para leer las contraseñas del mensaje).
- -
- Un secreto. El secreto puede describirse como una contraseña o una firma o una clave de encriptación electrónica que se almacena y se usa, por ejemplo por un interfaz de usuario. Incluso aunque el secreto no se revele a la red, puede acabar en "manos equivocadas" y podría usarse por cualquier otra parte distinta de aquellas que originalmente estaban destinadas a ser los usuarios del secreto.
- -
- Un software de autentificación en un interfaz de usuario. Este es un enfoque más sofisticado para la autentificación. Se le da un código de contraseña a un programa en el interfaz de usuario, que entonces autentifica automáticamente de una manera criptográfica el acceso a la aplicación solicitada. Incluso aunque esto proporciona una disposición más segura que las soluciones anteriores, aún deja la posibilidad de capturar las contraseñas secretas del interfaz de usuario. Asimismo es posible modificar el software sin aviso al usuario real.
En lo anterior ya se mencionan algunas partes que
pueden estar implicadas al implementar los actuales sistemas de
autentificación. Asimismo, éstas se explican brevemente a
continuación:
- -
- Un usuario es normalmente un ser humano, es decir, una persona real que usa diversas aplicaciones o servicios a través de una red de telecomunicaciones o de diversas redes conectadas entre sí. El usuario puede identificarse por medio de una ID de usuario junto con una clave (una contraseña o un secreto) que únicamente es conocida por él (método de clave pública), o por medio de una clave que es compartida entre el usuario y la aplicación (método de clave secreta compartida).
- -
- Una aplicación es una parte que quiere garantizar la autenticidad del usuario. La aplicación también puede denominarse servicio. Desde el punto de vista de la aplicación la cuestión de la autentificación puede dividirse en cuatro categorías diferentes (cuestiones):
- 1)
- ¿está el usuario en este momento en el otro extremo? (la llamada autentificación de entidad paritaria),
- 2)
- ¿se reciben los mensajes y comunicaciones adicionales desde el mismo usuario? (integridad del flujo de mensajes),
- 3)
- ¿se originan un mensaje y unas comunicaciones específicos en un cierto usuario? (autentificación del origen de datos), y
- 4)
- ¿son tales el mensaje y la comunicación que incluso un tercero puede creer que se han originado en un cierto usuario? (no repudio).
- -
- Un interfaz de usuario es un dispositivo o una disposición que permite que el usuario acceda a la aplicación. En la mayor parte de los casos éste también puede denominarse terminal, y puede consistir en un ordenador (por ejemplo, un Ordenador Personal, PC), una estación de trabajo, un terminal telefónico, una estación móvil, tal como un teléfono móvil o una radio o un busca o una combinación de un teléfono móvil y un dispositivo de procesamiento de datos, un cajero automático y/o una máquina bancaria, etc. El interfaz de usuario proporciona capacidades de entrada/salida.
- -
- Un servidor de clave es un servidor que contiene todas las claves y firmas de usuarios diferentes de una red de comunicaciones. En los sistemas presentes el servidor de clave está situado en la red Internet sin conexiones global y abierta, y por tanto es accesible por todos aquellos usuarios que tienen acceso a Internet. Los actuales servidores de clave están dispuestos para responder a consultas de clave enviadas por los usuarios de Internet. Usualmente el procedimiento es tal que el usuario de Internet da el nombre (o ID) de la otra parte, y después el servidor de clave recupera una clave de su base de datos y envía esta clave como respuesta al usuario. La información contenida por un servidor de clave individual puede actualizarse por cualquiera que sea capaz de usar Internet o únicamente por el propietario del servidor, en caso de que el acceso al servidor de clave esté limitado a éste.
La publicación norteamericana US 5.297.189
muestra, señalada como una técnica anterior, una solución referida a
un método de acceso de usuario a datos de suscripción de un servicio
telefónico inalámbrico empleado en una red de telecomunicación. La
presente solución es una solución entre dos redes cerradas y puede
usarse en el ambiente de red telefónica conmutada pública
convencional, es decir, entre una red conmutada por circuitos y una
red móvil. La solución presentada no es aplicable en un ambiente que
tenga una red cerrada en comunicación con una red abierta, por
ejemplo, una red conmutada por circuitos en comunicación con
Internet.
Un problema con los sistemas actuales es que el
sistema de comunicaciones empleado y sus usuarios tienen que confiar
en que el usuario dio inicialmente una identidad de usuario correcta
(ID) al sistema, por ejemplo a un servidor de clave. Además, la
información almacenada en la base de datos de un servidor de clave
de Internet puede cambiarse por una tercera parte, y así estas bases
de datos abiertas no se mantienen seguras, por ejemplo, frente a
piratas informáticos.
Para mejorar la seguridad, se introdujeron
servidores de clave certificada y se emplearon en vez de los
servidores de clave sin certificar convencionales. El servidor de
clave certificada no aceptará la clave del usuario a través de la
red de comunicaciones conmutada por paquetes, sino que el usuario
deberá dar la clave al administrador del servidor de clave
certificada mediante un "método de común acuerdo". Sin embargo,
esto hace que el uso de los mismos sea más complicado y muchos
usuarios se sienten incómodos y, por tanto, no quieren usarlos.
Por tanto, los actuales servidores de clave se
emplean de tal manera que el usuario descarga mediante un ftp
(protocolo de transferencia de archivo) una clave. El sistema (por
ejemplo, la aplicación empleada) ha de fiarse, además de ser
correcta la ID de usuario dada, de que tampoco nadie ha cambiado la
clave original.
Tampoco se puede confiar en las firmas
electrónicas dado que no existe certeza absoluta de la corrección de
las claves electrónicas asignadas en un servidor de clave. Los
usuarios/sistemas tienen que fiarse de que el usuario dio una
identidad de usuario correcta. Las firmas electrónicas también son
vulnerables a los piratas informáticos o intrusos similares. Por
ejemplo, en el ambiente de Internet éstas pueden configurarse
fácilmente para cada uno de los usuarios y cualquiera puede cambiar
las claves públicas si quiere hacerlo.
Otro problema de las firmas/claves electrónicas
es que requieren programas de autentificación complejos. Y aún no
existe una certeza absoluta de la corrección u origen de las claves
o firmas. En el caso de que se haga el acceso a la aplicación tan
seguro como sea posible por la técnica anterior, la aplicación
fácilmente se convierte en extremadamente compleja respecto de su
arquitectura, y también se hace complicado y más lento el acceso y
el uso de ella.
En el caso de que aumente el nivel de seguridad,
la cantidad de hardware y software necesario también aumenta, lo
cual conduce a una necesidad aumentada de mantenimiento y
actualización de los mismos, y por tanto el coste total de la
autentificación puede llegar a ser esencialmente alto. Además, se
cree que una condición denominada "absolutamente seguro" no
existe incluso en las actuales redes de comunicaciones abiertas,
dado que el desarrollo técnico hace posible, por ejemplo, que los
piratas informáticos solucionen incluso las más complicadas de las
actuales disposiciones de seguridad.
Un problema humano yace en el hecho de que las
claves o las firmas pueden hacerse bastante complicadas y/o
demasiado largas, o que pueden ser demasiadas para que un usuario
las maneje y las recuerde todas ellas correctamente. Típicamente,
una clave que se considera segura con el método de clave secreta
tiene 128 o más bits, y en el método de clave pública/privada se
considera que una clave segura tiene 1024 o más bits. Para la
mayoría de la gente es imposible recordar esta clase de claves.
Además de la posibilidad de capturar la clave o
firma o contraseña electrónica durante su transmisión por una red de
comunicaciones conmutada por paquetes abierta, según se expuso
anteriormente, las actuales soluciones tampoco prestan atención
suficiente a la vulnerabilidad de los interfaces de usuario. Los
dispositivos de terminal empleados para conformar los interfaces se
han desarrollado para que estén llenos de tecnología y software
complejos de tal modo que la mayoría de los usuarios ya no son
capaces de controlar totalmente los terminales, o incluso de
entender su funcionamiento. Además, ocurre a menudo que muchos
usuarios comparten el mismo dispositivo de terminal (por ejemplo, el
terminal es un PC usado en común) y/o que cierto personal externo de
mantenimiento tiene acceso a los ordenadores de una organización
cerrada de por sí.
Los terminales de ordenador contienen estado y
programas almacenados en sus medios de memoria, que se pueden
modificar. En los modernos ordenadores es posible modificar su
software incluso sin que el usuario lo advierta, e incluso a través
de las vías de comunicación sin acceso físico al dispositivo mismo.
Para dar un ejemplo de los riesgos, es posible modificar un programa
en un terminal de ordenador de tal modo que modifique los datos que
el usuario envía, por ejemplo a un banco, de tal manera que el
ordenador modifica todas las transferencias bancarias de un cierto
día a otra cuenta distinta de la designada por el usuario. Esta
modificación y reprogramación sin previo aviso puede causar serios e
importantes daños cuando se emplea contra usuarios individuales
ordinarios, y específicamente cuando se emplea contra organizaciones
tales como compañías o la administración pública. Todo esto
significa que no se puede confiar en los dispositivos de terminal
ordinarios ni en las vías de comunicación ordinarias.
Por tanto, es un objeto de la presente invención
superar las desventajas de las soluciones de la técnica anterior y
proporcionar un nuevo tipo de solución para autentificación.
Un objeto es proporcionar un método y una
disposición por medio de los cuales un interfaz de usuario que
acceda a una aplicación pueda autentificarse de una manera más
segura que la que ha sido posible con la técnica anterior. Un objeto
adicional es proporcionar una autentificación más segura cuando
surge una necesidad de autentificación durante el uso de una
aplicación a la ya se ha accedido.
Un objeto es proporcionar una solución en la que
la aplicación puede estar cierta de que la identidad de usuario y
los datos de autentificación, tales como una clave o una firma, son
correctos.
Un objeto de la presente invención es
proporcionar una solución en la que un número de suscripción
telefónica, un módulo de identificación de una estación móvil o una
identidad de equipo móvil o una identidad proporcionada por una
tarjeta inteligente o medios similares pueda usarse en la
autentificación.
Un objeto es proporcionar una solución por medio
de la cual los procesos de encriptación de datos entre las partes
comunicantes pueda realizarse de una manera novedosa y mejorada.
Los objetos se obtienen por un método de
autentificación de comunicaciones en redes de telecomunicaciones, en
el que el método comprende almacenar datos de autentificación en un
servidor de autentificación, almacenar datos de identificación de
interfaz de usuario en el servidor de autentificación de tal manera
que queden ligados con los datos de autentificación asociados,
transmitir datos de autentificación de un interfaz de usuario
comunicante al servidor de autentificación, recibir los datos de
identificación en el servidor de autentificación, recuperar tales
datos de autentificación de entre los datos de autentificación
almacenados que están ligados a los datos de identificación
recibidos, y transmitir al menos parte de los datos de
autentificación recuperados del servidor de autentificación como
respuesta a los datos de identificación recibidos.
Según una alternativa el método para autentificar
comunicaciones en redes de telecomunicaciones comprende almacenar
datos de autentificación en un servidor de autentificación,
almacenar datos de identificación de interfaz de usuario en el
servidor de autentificación de tal modo que queden ligados a los
datos de autentificación asociados, transmitir datos de
autentificación de un interfaz de usuario comunicante al servidor de
autentificación, recibir los datos de autentificación en el
servidor de autentificación, recuperar tales datos de identificación
de interfaz de usuario de entre los datos de identificación de
usuario almacenados que están ligados a los datos de autentificación
recibidos, y transmitir al menos una parte de los datos de
identificación de interfaz de usuario recuperados del servidor de
autentificación en respuesta a los datos de autentificación
recibidos.
Además, la invención proporciona una disposición
para uso en redes de telecomunicaciones. La disposición comprende un
interfaz de usuario conectado a una primera red de
telecomunicaciones, teniendo dicho interfaz de usuario una
identificación, una aplicación accesible a través de una segunda red
de telecomunicaciones, un servidor de acceso que permite al interfaz
de usuario acceder a la segunda red de telecomunicaciones a través
de la primera red de telecomunicaciones, y un servidor de
autentificación, en donde el servidor de autentificación comprende
un registro o una base de datos en el cual la identificación del
interfaz de usuario y unos datos de autentificación correspondientes
están almacenados de una manera recuperable y de una forma tal que
están ligados entre sí.
Asimismo, se proporciona un servidor de
autentificación para uso en redes de telecomunicaciones. El servidor
de autentificación comprende una base de datos o registro para
almacenar datos de identificación de interfaz de usuario para un
terminal de interfaz de usuario conectado a una red de
telecomunicaciones y datos de autentificación para una pluralidad de
terminales de interfaz de usuario de tal manera que la
identificación del interfaz de usuario esté ligada a unos datos de
autentificación asociados para dicha terminal de interfaz de
usuario.
Se obtienen varias ventajas por medio de la
presente invención, dado que la solución proporciona una manera
sencilla, fiable y controlable de autentificación. La solución
aumenta el nivel de seguridad de una red conmutada por paquetes a un
nivel que se corresponde sustancialmente al menos con el nivel de
seguridad de una red telefónica conmutada pública (PSTN). El aparato
que proporciona la autentificación está bajo vigilancia de una parte
de confianza, tal como un operador de red (por ejemplo, un operador
de red telefónica pública) o una parte similar que en general puede
considerarse como tal parte de confianza que puede garantizar de
manera suficiente la autenticidad de los interfaces de usuario
conectados a las redes de operador. El propietario del servidor que
proporciona la aplicación no necesita conocer la personalidad del
usuario, pero el proveedor de la aplicación puede basarse en el
hecho de que el operador tiene confianza en el usuario y, por tanto,
está preparado para autentificar el uso. La invención proporciona
posibilidades mejoradas para el trabajo remoto, dado que los
procesos de autentificación se hacen más fiables mientras que
disminuye la carga de tiempo de funcionamiento provocada por los
procesos de autentificación en el sistema y los procesos de
autentificación así como los procesos de provisión de clave de
encriptación se hacen más sencillos de ejecutar y más transparentes
para el usuario, y al mismo tiempo se puede proporcionar aún una
buena seguridad para la conexión.
A continuación se describirán la presente
invención y los otros objetos y ventajas de la misma de una manera
ejemplificadora con referencia a los dibujos anexos, en los que
caracteres de referencia similares en todas las diversas figuras
hacen referencia a características similares.
La figura 1 es una presentación esquemática de
una disposición de red que incluye un servidor que funciona según
los principios de la presente invención;
La figura 2 es una presentación esquemática de
una tabla implementada dentro del servidor de la figura 1;
Las figuras 3 y 4 representan flujogramas del
funcionamiento de dos realizaciones de la presente invención; y
Las figuras 5 y 6 ilustran flujos de señal entre
diversas partes en dos situaciones de señalización diferentes.
La figura 1 es una presentación esquemática de
una disposición que comprende una PSTN (Red Telefónica Conmutada
Publica) a la cual se conecta un usuario mediante su interfaz o
terminal de usuario 1. Una PSTN es una disposición de red telefónica
conmutada bien conocida que se usa comúnmente para tráfico de voz y
datos de una manera en sí conocida por el experto y, por tanto, no
se explica aquí con más detalle. Es suficiente apuntar que una PSTN
contiene usualmente diversas centralitas (centralitas subsidiarias
locales, centralitas subsidiarias privadas, centralitas centrales,
centralitas pasarela, etc.) y conexiones (tales como líneas
principales) entre ellas y conexiones o enlaces con otras redes e
interfaces para conectar los terminales de usuario a la PSTN.
Se apunta que la invención no pretende quedar
limitada a su uso en aquellos casos en los que los interfaces o
terminales de usuario están conectados a una PSTN y, por tanto,
funcionan a través de la red PSTN, sino que también podrían usarse
otros tipos de redes de telecomunicaciones capaces de proporcionar
comunicaciones entre al menos dos partes, tales como diversos tipos
de PLMNs (Redes Móviles Terrestres Públicas). En este contexto se
hace notar que dos sistemas PLMN usados comúnmente están basados
respectivamente en CDMA (Acceso Múltiple por División de Códigos) y
TDMA (Acceso Múltiple por División de Tiempo). Por ejemplo, el
estándar IS-95 usado en EE.UU. está basado en CDMA,
mientras que el estándar ampliamente usado GSM (Sistema Global de
Comunicación Móvil) está basado en TDMA. Se espera que las futuras
PLMNs estén basadas en soluciones de banda ancha del tipo anterior,
tales como W-CDMA o W-TDMA.
En el ejemplo de la figura 1, el terminal de
usuario 1 consta de un dispositivo de procesamiento de datos y, más
precisamente, de un Ordenador Personal (PC). Un PC comprende
normalmente una Unidad de Procesador Central (CPU), una memoria
(ROM, RAM), un teclado, una pantalla y unos medios necesarios de
interfaz para conectar e intercomunicar el dispositivo de
procesamiento de datos con el aparato de centralita PSTN, tal como
una centralita subsidiaria 3 de la figura 1, mediante una conexión
operativa 2. Estos medios de interfaz pueden comprender, por
ejemplo, una tarjeta de red, unos puertos y acoplamientos de
conexión adecuados, un módem, en el caso de que se emplee una
conexión por módem, o puede disponerse el interfaz por medio de una
conexión ISDN (Red Digital de Servicios Integrados) o por una xDSL
(cualquier Línea de Abonado Digital) que incluye una ADSL (Línea de
Abonado Digital Asimétrica), o por una IDSL (Línea de Abonado ISDN),
o por una conexión ATM (Modo de Transferencia Asíncrona) para un
acceso de alta velocidad, o por cualquier otra solución
correspondiente para acceder a redes de datos.
Un Servidor de Acceso a Red (NAS) 5 está
conectado operativamente por una conexión 4 a la centralita PSTN 3.
En algunos casos el Servidor de Acceso también puede implementarse
para que forme parte del aparato de centralita de red. En el caso de
que la red a la que se va a acceder sea una red global de datos en
paquetes que emplea una suite TCT/IP y que se denomina Internet, el
Servidor de Acceso (AS) se denomina a menudo correspondientemente
Servidor de Acceso a Internet (IAS).
El Servidor de Acceso a Red (NAS) está dispuesto
para identificar el número de teléfono con el cual el abonado
telefónico que llama (es decir, la línea de abonado empleada por el
PC 1) intenta establecer una conexión. En el caso de que el número
de destino sea un número de Internet, tal como un número de una
pasarela 9 de red de oficina o un número de un Proveedor de Servicio
de Internet (ISP) 9' más allá de la Internet 8, la llamada no se
encaminará adicionalmente hacia la Red Telefónica Conmutada Pública
(PSTN) como una llamada ordinaria conmutada por circuitos, sino que
terminará en el NAS 5 y los datos serán encaminados entonces a
través de una red de datos hacia la Internet 8, normalmente en forma
de paquetes de datos como una llamada conmutada por paquetes. En
otras palabras, el NAS 5 está dispuesto para convertir la señal de
red conmutada por circuitos proveniente del terminal 1 en paquetes
de datos que entonces se pueden enviar a través de una red conmutada
por paquetes y para transmitir estos datos en paquetes a la Internet
8. Sin embargo, también se conocen otros tipos de Nodos de Acceso
(ANs) distintos del NAS anteriormente descrito, y éstos se pueden
emplear en vez de un NAS para proporcionar el acceso desde el
terminal 1 a la Internet 8.
En la figura 1, se ilustran las aplicaciones a
las que se va a acceder como una pasarela de red de oficina 9 o ISPs
9'. En el caso de que la aplicación usada sea la pasarela 9, el
usuario del PC 1 puede verse como trabajando remotamente, por
ejemplo en el hogar, y como un usuario que accede a la pasarela de
red de oficina 9 a través de una conexión TCP/IP de Internet. Sin
embargo, debe apuntarse que la aplicación que requiere
autentificación puede ser cualquier otro tipo de aplicación
accesible a través de una red de datos en paquetes distinta de las
ilustradas, tal como un servicio o aplicación proporcionado por
alguna otra parte distinta de los proveedores de Servicio de
Internet (ISPs) 9'.
La disposición comprende además un nodo de
autentificación o servidor de autentificación, que en este ejemplo
se denomina Servidor de Clave de Dominio (DKS) y que se designa con
10. El servidor de autentificación es implementado en el interfaz o
punto de conexión entre la red conmutada y la red de datos en
paquetes. Por tanto, según se muestra en la figura 1, el servidor de
autentificación 10 está situado en estrecha relación con la PSTN 4,
preferiblemente de tal modo que tenga una conexión directa con el
Punto de Acceso, es decir, el NAS 5 entre la PSTN 4 y la Internet
8.
Un servidor de autentificación contiene un
registro o una base de datos que incluye todas las claves y/o
firmas, es decir, datos de autentificación, que se necesitan en
aplicaciones que requieren una autentificación. Para proporcionar la
autentificación, las aplicaciones están dispuestas para usar un
servicio de autentificación proporcionado por el servidor de
autentificación 10. El servidor de autentificación 10 está
dispuesto para ligar o combinar los datos de autentificación con un
identificador del interfaz de usuario en el cual se origina la
comunicación o llamada. Este identificador puede ser, por ejemplo,
un número de abonado telefónico (por ejemplo, E.164), un código IMEI
(Identidad Internacional de Equipo Móvil) o un código SIM (Módulo
de Identidad de Abonado), una tarjeta inteligente o una
identificación de dispositivo similar que designe el origen de una
llamada entrante. Estos identificadores también se almacenan dentro
del servidor de identificación, según se explicará con mayor detalle
con referencia a la figura 2.
Una característica importante del servidor de
autentificación es que es implementado, activado, gestionado,
mantenido y controlado por una parte de confianza, tal como un
operador de red telefónica de la PSTN, o una organización
gubernamental o una compañía que proporciona servicios de seguridad
de red, o servicios de red en general. Diversas organizaciones,
tales como compañías, universidades, asociaciones, etc., también
pueden tener un servidor de claves de su propiedad. Preferiblemente,
el servidor está dispuesto físicamente dentro o muy cerca del
Servidor de Acceso, y de tal manera que ningún extraño pueda tener
acceso al mismo a fin de que se pueda confiar en
él.
él.
La figura 2 muestra un ejemplo de una tabla
implementada dentro del servidor de autentificación. La tabla 20 se
usa como un registro para almacenar los datos/información necesarios
para los procesos de autentificación. En el ejemplo, la primera
columna es un campo de datos de identificación o un campo 22 de
identificación de dispositivo, el cual incluye un identificador tal
como un número telefónico E.164, un SIM (Módulo de Identificación
de Abonado) o una IMEI (Identidad Internacional de Equipo Móvil), o
una identidad de tarjeta inteligente. Por motivos de claridad, el
campo ejemplificador 22 de la figura 2 muestra únicamente números
telefónicos.
Según lo anterior, el número E.164 es únicamente
un ejemplo de las diferentes direcciones de número, siendo
estandarizado el E.164 por la ITU-T (Unión
Internacional de Telecomunicaciones). Otros números telefónicos
correspondientes también pueden, naturalmente, usarse como
identificación de interfaz de usuario. El SIM, a su vez, es
usualmente una tarjeta o chip montado dentro de una estación móvil,
pero también pueden usarse módulos de identificación
correspondientes en otros terminales. La IMEI es una identificación
única de una estación móvil.
Algunos otros identificadores, tales como
soluciones basadas en cuentas de usuario final también pueden usarse
para fines identificativos. Además, el tipo del terminal también
puede usarse para fines identificativos. Para dar un ejemplo de
esto último, los terminales podrían dividirse, por ejemplo, en
terminales "ficticios" e "inteligentes" según los
principios operativos de los mismos. Un terminal "ficticio"
puede identificarse de acuerdo con el punto de interfaz (usualmente
un punto de conexión de línea fija). Un terminal "inteligente"
está provisto de un SIM, una IMEI, una tarjeta inteligente o
similar, y la identificación está basada en este dispositivo en vez
del punto de interfaz.
La segunda columna de la tabla 20 forma un campo
de tipo de clave 24. El tipo de clave puede ser, por ejemplo, una
clave pública, un clave privada, una firma, una clave simétrica o
una clave asimétrica.
La tercera columna de la tabla 20 forma un campo
26 para el nombre del algoritmo criptográfico usado. El algoritmo
usado puede ser, por ejemplo, un algoritmo basado en un DES
(Estándar de Encriptación de Datos), o un RSA (Algoritmo Rivest,
Shamir, Adleman) o un IDEA (Algoritmo de Encriptación de Datos
Internacional), o cualquier otro algoritmo adecuado para las
operaciones criptográficas posiblemente requerido en los procesos de
autentificación.
La cuarta columna de la tabla 20 forma un campo
28 de datos de autentificación indicativo de la clave/firma usada.
Según se puede ver, las claves/firmas del campo 28 de datos de
autentificación están ligadas a los identificadores respectivos en
el campo 22 de datos de identificación y en otros posibles campos.
Se ha de observar que un usuario/identificador puede tener más de
una clave y/o firma, que entonces se usan según los requisitos de
las aplicaciones empleadas.
Según una estructura de tabla alternativa, el
campo 22 de datos de identificación podría dividirse en campos
separados de tal modo que el número telefónico, el SIM, la IMEI, la
tarjeta inteligente, etc. estén incluidos cada uno de ellos en un
campo de datos de identificación independiente de su propiedad. Los
datos de los campos anteriormente separados podrían usarse durante
el proceso de autentificación incluso de tal manera que los campos
separados se comparen entre sí durante la autentificación.
En funcionamiento, un servidor de autentificación
se usa para almacenar datos o información de autentificación
apropiados o datos de identificación de dispositivo de tal manera
que los datos respectivos se combinan de una manera predeterminada.
En el servidor de autentificación 10, los datos de autentificación
almacenados pueden usarse para autentificar el dispositivo llamador
por medio de los datos de identificación de dispositivo o
identificador (por ejemplo, verificando el número telefónico
llamador, o el SIM o la IMEI del dispositivo llamador con los datos
de autentificación). Alternativamente, los datos de identificación
del dispositivo llamador pueden ser usados por los datos de
autentificación (por ejemplo, verificando la clave o la firma con el
identificador) con fines de autentificación. En otras palabras, la
ligadura de la identidad del dispositivo llamador, es decir, la
identificación del interfaz de usuario, y los datos de
autentificación puede ejecutarse de ambas maneras y, por tanto, se
puede realizar la prueba de autenticidad mediante los datos de
identificación de dispositivo (autenticidad de los datos de
autentificación) o mediante los datos de autentificación
(autenticidad de la identificación de dispositivo).
Más precisamente, y con referencia al flujograma
de la figura 3, las claves/firmas y los identificadores de
dispositivo requeridos están contenidos en la base de datos o
registro del servidor de autentificación y se recuperan desde el
mismo. La disposición puede ser tal que el servidor de
autentificación y el NAS tengan claves propias que los
autentifiquen frente al otro aparato de red.
Más precisamente, después de que ha surgido una
necesidad de autentificación en el paso 100, la aplicación, tal que
9 o 9' de la figura 1, pregunta al NAS en el paso 102 por el número
telefónico u otro identificador del terminal llamador usando, por
ejemplo, el número IP (Protocolo Internet) del cliente. Asimismo, el
identificador puede ser consultado desde alguna otra parte de
confianza que tiene el identificador de terminal llamador. Sin
embargo, la primera solución se prefiere especialmente en aquellos
casos en los que se usan IPs dinámicos.
En el paso 104 el NAS envía entonces el número de
teléfono solicitado u otro identificador a la aplicación, la cual lo
retransmite al servidor de autentificación (DKS 10) en el paso 106.
Asimismo, es posible disponer esta etapa de tal manera que el número
se envíe directamente desde el NAS al servidor de autentificación.
Los datos de identificador enviados pueden encriptarse
preferiblemente con una clave pública del servidor de
autentificación.
En el servidor de autentificación los datos de
autentificación se reciben entonces en el paso 108 y se ligan con
los datos de autentificación. En el caso de que se encuentren y se
recuperen datos de autentificación de la tabla del servidor de
autentificación en el paso 108, éstos son devueltos en el paso 110
como respuesta a la aplicación 9, 9'. En esta etapa los datos de
autentificación pueden encriptarse preferiblemente con una clave
pública de la aplicación.
Después que la aplicación 9, 9' ha recibido los
datos de autentificación, y ha encontrado que son adecuados y
correctos (paso 112), éstos pueden usarse en los procesos de la
aplicación en el paso 114. De este modo, en el caso de que los datos
de autentificación consistan en una clave o similar, la aplicación
9, 9' usa esta clave para las posibles operaciones de encriptación.
En el caso de que los datos de autentificación sean una firma
electrónica, la aplicación 9, 9' puede compararla, por ejemplo, con
la firma recibida del usuario con el fin de obtener una confirmación
de que el usuario es quien dice ser, y proceder en consecuencia
dependiendo de si el usuario es confirmado o no. Por ejemplo, en el
caso de que las firmas recibidas desde el servidor de
autentificación y desde el usuario coincidan una con otra, se
permite que continúen los procesos. En el caso de que las firmas no
coincidan, es decir que son diferentes, la aplicación 9, 9' no
permite ejecutar ningún proceso adicional y puede incluso
desconectar inmediatamente la conexión. Un ejemplo de una aplicación
en la que se puede usar la firma es en el comercio electrónico
(Comercio E) en el que la firma puede usarse como verificación de
las órdenes de modo que el vendedor pueda tener garantías de que el
usuario es una persona real y que está autorizada a usar la
suscripción para ordenar los productos y/o servicios.
Según una realización ilustrada por el flujograma
de la figura 4, un cliente envía en el paso 120 su número telefónico
a la aplicación, después de lo cual la aplicación, tal como la
pasarela de oficina 9 de la figura 1, pregunta en el paso 122 al
NAS para confirmar que este número telefónico es el correcto. En el
caso de que el NAS confirme en el paso 124 el número telefónico (es
decir, la identificación de dispositivo), la aplicación 9, 9' envía
este número telefónico al servidor de autentificación en el paso
126. En el caso de que el número no sea confirmado, pueden
desconectarse las conexiones, o pueden seguir algunos otros
procesos, tal como un reintento. La transmisión al servidor de
autentificación 10 puede encriptarse en esta etapa usando la clave
pública de la aplicación 9 o la clave pública del servidor de
autentificación. La encriptación también puede ejecutarse usando la
clave pública del usuario contenida en el registro del servidor de
autentificación.
Después de que el servidor de autentificación ha
recibido el identificador de dispositivo en el paso 128, el servidor
de autentificación recupera una clave/firma correspondiente y
devuelve ésta como respuesta a la aplicación en el paso 130. Según
se describió anteriormente, esta transmisión pueden encriptarse en
el paso 132 usando la clave pública del servidor de autentificación
o del servidor de aplicación del usuario. Las posibles operaciones
de encriptación/desencriptación y de firma pueden ejecutarse, por
ejemplo, en el Punto de Acceso a Internet (es decir, el NAS 5 de la
figura 1) o incluso en el cliente, es decir, el interfaz de usuario,
o, naturalmente, en la aplicación misma
9, 9'.
9, 9'.
En el caso de que se ejecute la desencriptación
en el Servidor de Acceso 5 de la figura 1, el Servidor de Acceso
pregunta por la clave pública del usuario al servidor de
autentificación 10. En el caso de que se ejecute la desencriptación
en el PC1, el PC pregunta por la clave privada. De este modo, la
clave privada se da únicamente a las partes de confianza. A su vez,
la clave pública puede darse a cualquiera que pregunte por ella. La
clave pública puede usarse únicamente para encriptar, mientras que
la clave privada puede usarse tanto para encriptar como para
desencriptar datos. La aplicación 9, 9' entrega su clave pública o
una clave de sesión simétrica de una sola vez o única.
Para aumentar el nivel de seguridad, es posible
usar diversas técnicas de tunelación en la comunicación entre el
servidor de aplicación y el NAS y los servidores de autentificación
empleando protocolos de tunelación en sí conocidos, tales como L2TP
(Protocolo de Tunelación de Capa 2) o IPSEC (Protocolo de Seguridad
IP). Los paquetes de datos transmitidos también pueden encapsularse
durante su transmisión. Una posibilidad es usar el protocolo Ipv6
que permite la encriptación de cabeceras. El protocolo Ipv6 es una
nueva versión del bien conocido IP (Protocolo Internet).
Se ha de indicar que aunque las figuras 3 y 4
muestran una situación en que los datos de identificación de
interfaz de usuario son transmitidos al servidor de autentificación
con el fin de recibir los datos de autentificación correspondientes,
la información enviada también pueden ser unos datos de
autentificación que la aplicación 9, 9' ha recibido desde el
Servidor de Acceso o desde el interfaz de usuario.
Después de enviar estos datos de autentificación
al servidor de autentificación, éste recibe una identificación de
dispositivo, en el caso de que se anunciaran correctamente los
datos de autentificación. Esta identificación de dispositivo
recibida ha de coincidir con los datos del identificador de
dispositivo recibidos posiblemente desde el Servidor de Acceso o
desde el interfaz de usuario durante las comunicaciones originales
con el interfaz de usuario.
Las figuras 5 y 6 muestran flujogramas
ejemplificadores de una posible señalización entre diversas partes.
Los mensajes que no están encriptados se han señalados por una línea
de trazos y los mensajes encriptados se han señalado con una línea
continua.
En la figura 5, se establece una conexión y se
transmite como identificador un número telefónico desde una
centralita telefónica al NAS mediante un mensaje 50. El interfaz de
usuario realiza después una conexión mediante un mensaje 51 con la
aplicación 9, 9' por primera vez. El mensaje 51 puede incluir el
número telefónico o un identificador de dispositivo similar. Los
mensajes 50 y 51 no están encriptados.
La aplicación 9, 9' pregunta por el número de
abonado del dispositivo llamador o por un identificador de
dispositivo similar mediante un mensaje 52. Esta conexión puede
encriptarse, por ejemplo, mediante la clave pública del NAS. A
continuación, el NAS responde a la consulta con un mensaje 53. Este
mensaje puede encriptarse, por ejemplo, mediante la clave pública de
la aplicación. La aplicación 9, 9' pregunta entonces por la clave
del usuario al servidor de autentificación DKS mediante un mensaje
54. Este mensaje se puede encriptar con la clave pública del DKS. El
DKS responde a la consulta con un mensaje 55, que puede encriptarse
usando la clave pública de la aplicación.
En esta realización incluso el NAS pregunta por
la clave del usuario al DKS mediante un mensaje 56. Este mensaje
puede encriptarse con la clave pública del DKS. El DKS responde a la
consulta con un mensaje 57, que puede encriptarse mediante la clave
pública del NAS.
En caso de se autentifique con éxito al usuario,
se establece una comunicación entre el interfaz de usuario y la
aplicación 9, 9'. Según se puede ver, los mensajes 59 entre el
interfaz de usuario y el NAS no están encriptados y los mensajes 58
entre el NAS y la aplicación 9, 9' están, a su vez, encriptados. El
NAS está dispuesto para realizar las operaciones de encriptación y
desencriptación necesarias, por ejemplo, mediante clave recuperadas
o mediante una clave de sesión que ha sido acordada por las
partes.
En la figura 6, se establece una conexión y se
transmite como identificador un número telefónico o similar al NAS
mediante un mensaje 60. A continuación, el interfaz de usuario
establece una conexión mediante un mensaje 61 con la aplicación 9,
9' por primera vez. Al igual que antes, el mensaje 61 puede incluir
el número telefónico o un identificador de dispositivo similar. Los
mensajes 60 y 61 no están encriptados.
La aplicación 9, 9' pregunta por el número de
abonado del dispositivo llamador o por un identificador similar
mediante un mensaje 62. Esta conexión puede encriptarse, por
ejemplo, mediante la clave pública del NAS. A continuación, el NAS
responde a la consulta con un mensaje 63. Este mensaje puede
encriptarse, por ejemplo, mediante la clave pública de la
aplicación. La aplicación 9, 9' pregunta entonces por la clave del
usuario al servidor de autentificación DKS mediante un mensaje 64.
Este mensaje se puede encriptar con la clave pública del DKS. El DKS
responde a la consulta con un mensaje 65, que puede encriptarse
usando la clave pública de la aplicación 9, 9'.
En esta realización el interfaz de usuario
pregunta por el número de interfaz de usuario al NAS mediante un
mensaje 66. Este mensaje puede encriptarse con la clave pública del
NAS, en caso de que el interfaz de usuario sea conocedor de esta
clave. El NAS responde a la consulta con un mensaje 67. Si es
necesario éste puede encriptarse mediante una clave de una sola vez,
en caso de que el interfaz de usuario la proporcione junto con el
mensaje de consulta 66.
Después de esto, el interfaz de usuario pregunta
por la clave de usuario al DKS con un mensaje 68. Éste puede
encriptarse con la clave pública del DKS, en el caso de que el
interfaz de usuario sea conocedor de ésta. Después de esto el DKS
responde a la consulta con un mensaje 69. Este mensaje puede
encriptarse, en caso de que el interfaz de usuario proporcione una
clave de una sola vez en el mensaje 68.
Finalmente, se establece una comunicación entre
el interfaz de usuario y la aplicación 9, 9'. Según se puede ver,
toda la mensajería 70 entre el interfaz de usuario y la aplicación
9, 9' está encriptada. El interfaz de usuario ahora es capaz de
realizar las operaciones de encriptación y desencriptación
requeridas, por ejemplo, mediante las claves recuperadas o mediante
una clave e sección que ha sido acordada entre las partes.
De este modo, la invención proporciona aparatos y
métodos mediante los cuales puede lograrse una mejora significativa
en la seguridad de las conexiones. La seguridad de los procesos de
autentificación resulta mejorada ya que el servidor de
autentificación proporciona una certeza mejorada del propietario de
la clave (los datos de identidad) y de la corrección de los datos de
autentificación, tales como una clave o firma electrónica. La
invención permite el establecimiento de un enlace fiable en el que
una parte de la conexión se realiza, por ejemplo, en una red
conmutada y una parte en una red de paquetes tunelada. La invención
proporciona buenas posibilidades, por ejemplo, para trabajo remoto,
educación remota o mantenimiento remoto de registros de pacientes,
actualización remota de bases de datos, etc., ya que permite que el
usuario emplee una clave asimétrica al establecer la conexión y que
a continuación envíe una clave simétrica de una sola vez para la
conexión misma en el caso de que el uso de las claves asimétricas
haga que el funcionamiento del proceso sea demasiado pesado de
desarrollar.
Debe observarse que los ejemplos anteriores de
las realizaciones de la invención no pretenden restringir el alcance
de la invención a las formas específicas presentadas anteriormente,
sino que la presente invención trata más bien de cubrir todas las
modificaciones, similitudes y alternativas que estén incluidas
dentro del alcance de la presente invención, según se define en las
reivindicaciones anexas.
Claims (22)
1. Un método de autentificación de comunicaciones
en redes de telecomunicaciones, caracterizado por que el
método comprende:
almacenar datos de autentificación recibidos
desde la primera red de telecomunicaciones (4) en un servidor de
autentificación (10);
almacenar datos de identificación de interfaz de
usuario recibidos desde la primera red de telecomunicaciones (4) en
el servidor de autentificación (10) de tal manera que queden
ligados con los datos de autentificación asociados;
transmitir datos de identificación recibidos
desde la primera red de telecomunicaciones (4) de un interfaz de
usuario comunicante al servidor de autentificación (10),
comunicándose dicho interfaz de usuario con una aplicación (9), (9')
implementada en una red (8) de datos en paquetes, comprendiendo el
interfaz de usuario un dispositivo procesador de datos y estando
conectado a una red de telecomunicaciones conmutada por circuitos
que tiene una conexión operativa con la red (8) de datos en
paquetes;
recibir los datos de identificación en el
servidor de autentificación (10);
recuperar tales datos de autentificación de entre
los datos de autentificación almacenados que están ligados a los
datos de identificación recibidos; y
transmitir al menos parte de los datos de
autentificación recuperados desde el servidor de autentificación
(10) como respuesta a los datos de identificación recibidos.
2. Un método de autentificación de comunicaciones
en redes de telecomunicaciones, caracterizado por que el
método comprende:
almacenar datos de autentificación recibidos
desde la primera red de telecomunicaciones (4) en un servidor de
autentificación (10);
almacenar datos de identificación de interfaz de
usuario recibidos desde la primera red de telecomunicaciones (4) en
el servidor de autentificación (10) de tal manera que queden
ligados con los datos de autentificación asociados;
transmitir datos de identificación recibidos
desde la primera red de telecomunicaciones (4) para un interfaz de
usuario comunicante al servidor de autentificación (10);
recibir los datos de autentificación en el
servidor de autentificación (10), comunicándose dicho interfaz de
usuario con una aplicación (9), (9') implementada en una red (8) de
datos en paquetes, comprendiendo el interfaz de usuario un
dispositivo procesador de datos y estando conectado a una red de
telecomunicaciones conmutada por circuitos que tiene una conexión
operativa con la red (8) de datos en paquetes;
recuperar tales datos de autentificación de
interfaz de usuario de entre los datos de identificación de interfaz
de usuario almacenados que están ligados a los datos de
autentificación recibidos; y
transmitir al menos parte de los datos de
identificación de interfaz de usuario recuperados desde el servidor
de autentificación (10) como respuesta a los datos de
autentificación recibidos.
3. Un método según cualquiera de las
reivindicaciones 1 y 2, caracterizado porque los datos de
autentificación consisten en una clave o firma electrónica y los
datos de identificación del interfaz de usuario son un número de
abonado de telecomunicaciones, un Módulo de Identidad de Abonado
SIM, una Identidad Internacional de Equipo Móvil IMEI, una identidad
de tarjeta inteligente o una combinación de al menos dos de dichos
identificadores.
4. Un método según cualquiera de las
reivindicaciones 1 a 3, caracterizado porque las
comunicaciones entre el servidor de autentificación (10) y un
aparato de red que solicita autentificación son encriptadas usando
claves públicas o claves privadas de una aplicación (9), (9') o del
servidor de autentificación (10).
5. Un método según cualquiera de las
reivindicaciones 1 a 4, caracterizado porque se emplea
tunelación para las comunicaciones entre el servidor de
autentificación (10) y un aparato de red que solicita
autentificación.
6. Un método según cualquiera de las
reivindicaciones 1 a 5, caracterizado porque se usa una clave
recibida desde el servidor de autentificación (10) cuando se
encriptan las comunicaciones.
7. Un método según cualquiera de las
reivindicaciones 1 a 6, caracterizado porque una solicitud
para recibir los datos de autentificación o los datos de
identificación de interfaz de usuario desde el servidor de
autentificación (10) como respuesta a los datos transmitidos al
servidor de autentificación es enviada por uno de los
siguientes:
una aplicación (9), (9') con la que el interfaz
de usuario se está comunicando actualmente, o
un servidor de acceso que proporciona acceso al
interfaz de usuario desde una red de telecomunicaciones a otra red
de telecomunicaciones, o
el interfaz de usuario.
8. Un método según cualquiera de las
reivindicaciones 1 a 7, caracterizado porque el servidor de
autentificación (10) proporciona el funcionamiento y la gestión de
partes de confianza.
9. Una disposición para uso en redes de
telecomunicaciones, caracterizada porque la disposición
comprende
un interfaz de usuario conectado a una primera
red de telecomunicaciones (4), teniendo dicho interfaz de usuario su
propia identificación,
una aplicación (9), (9') accesible a través de
una red (8) de datos en paquetes,
un servidor de acceso que permite que el interfaz
de usuario acceda a la red (8) de datos en paquetes a través de la
primera red de telecomunicaciones (4), y
un servidor de autentificación, en donde el
servidor de autentificación (10) comprende un registro o base de
datos en los que la identificación del interfaz de usuario y unos
datos de autentificación correspondientes están almacenados de
manera recuperable y de tal modo que están ligados unos con otros,
en donde
la primera red de telecomunicaciones (4) es una
red telefónica conmutada por circuitos,
y el interfaz de usuario comprende un dispositivo
de procesamiento de datos,
y la red (8) de datos en paquetes está conectada
operativamente a dicha primera red,
y en donde el servidor de autentificación (10)
está dispuesto para que tenga una conexión directa con el servidor
de acceso entre dicha primera red (4) y dicha red (8) de datos en
paquetes.
10. Una disposición según la reivindicación 9,
caracterizada porque el servidor de autentificación (10)
contiene una tabla con un campo para los datos de autentificación y
un campo para los datos de identificación.
11. Una disposición según la reivindicación 10,
caracterizada porque el campo para los datos de
autentificación tiene la forma de una clave o firma electrónica.
12. Una disposición según la reivindicación 10,
caracterizada porque el campo para los datos de
identificación tiene la forma de un número telefónico de abonado o
un Módulo de Identificación de Abonado SIM o una Identidad
Internacional de Equipo Móvil IMEI o una identidad de tarjeta
inteligente.
13. Una disposición según cualquiera de las
reivindicaciones 9 a 12, caracterizada porque la aplicación
(9), (9') es una pasarela hacia una red de área local, tal como una
red de oficina.
14. Una disposición según cualquiera de las
reivindicaciones 9 a 13, caracterizada porque se accede a la
red (8) de datos en paquetes a través de un Servidor de Acceso (5)
dispuesto para finalizar una llamada conmutada por circuitos y para
convertir comunicaciones en datos en paquetes a fin de permitir
comunicaciones en una red (8) de datos en paquetes.
15. Una disposición según cualquiera de las
reivindicaciones 9 a 14, caracterizada porque el servidor de
autentificación (10) está implementado en un punto de acceso entre
la primera red de telecomunicaciones (4) y la red (8) de datos en
paquetes.
16. Una disposición según cualquiera de las
reivindicaciones 9 a 15, caracterizada porque al menos una
parte de las comunicaciones entre el servidor de autentificación
(10) y otras partes de las comunicaciones están encriptadas y/o
tuneladas.
17. Una disposición según cualquiera de las
reivindicaciones 9 a 16, caracterizada porque el servidor de
autentificación (10) proporciona el funcionamiento y la gestión de
partes de confianza.
18. Un servidor de autentificación para uso en
redes de telecomunicaciones, caracterizado porque el servidor
de autentificación (10) comprende una base de datos o registro para
almacenar datos de identificación de interfaz de usuario para un
terminal de interfaz de usuario conectado a una red de
telecomunicaciones y datos de autentificación para una pluralidad de
terminales (1) de interfaz de usuario de tal manera que la
identificación del interfaz de usuario esté ligada a unos datos de
autentificación asociados para dicho terminal (1) de interfaz de
usuario, en donde el servidor está implementado para tener una
conexión directa a un servidor de acceso de una red telefónica
conmutada por circuitos a la cual está conectado el terminal de
interfaz de usuario, comprendiendo el terminal de interfaz de
usuario un dispositivo procesador de datos, y en donde una red (8)
de datos en paquetes está conectada operativamente a dicha red
telefónica conmutada por circuitos a través de dicho servidor de
acceso, y en donde se proporciona una aplicación (9), (9') a través
de dicha red (8) de datos en paquetes.
19. Un servidor de autentificación según la
reivindicación 18, caracterizado porque el servidor de
autentificación (10) contiene una tabla que tiene un campo para los
datos de autentificación con la forma de una clave o firma
electrónica y un campo para los datos de identificación con la
forma de un número telefónico de abonado o un Módulo de
Identificación de Abonado SIM o una Identidad Internacional de
Equipo Móvil IMEI o una identidad de tarjeta inteligente.
20. Un servidor de autentificación según la
reivindicación 18 o 19, caracterizado porque el servidor de
autentificación (10) está implementado en un punto de acceso entre
la red telefónica conmutada por circuitos y la red (8) de datos en
paquetes.
21. Un servidor de autentificación según
cualquiera de las reivindicaciones 18 a 20, caracterizado
porque al menos parte de las comunicaciones entre el servidor de
autentificación (10) y otras partes de las comunicaciones están
dispuestas de modo que sean encriptadas y/o tuneladas.
22. Un servidor de autentificación según
cualquiera de las reivindicaciones 18 a 21, caracterizado
porque el servidor de autentificación (10) proporciona el
funcionamiento y la gestión de partes de confianza.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FI980952 | 1998-04-29 | ||
| FI980952A FI109254B (fi) | 1998-04-29 | 1998-04-29 | Menetelmä, järjestelmä ja laite todentamiseen |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| ES2241275T3 true ES2241275T3 (es) | 2005-10-16 |
Family
ID=8551619
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| ES99915716T Expired - Lifetime ES2241275T3 (es) | 1998-04-29 | 1999-03-29 | Metodo, disposicion y aparato para autentificacion. |
Country Status (7)
| Country | Link |
|---|---|
| EP (1) | EP1075748B1 (es) |
| CN (1) | CN1298589A (es) |
| AU (1) | AU3418399A (es) |
| DE (1) | DE69925482T2 (es) |
| ES (1) | ES2241275T3 (es) |
| FI (1) | FI109254B (es) |
| WO (1) | WO1999056434A1 (es) |
Families Citing this family (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1260077B1 (de) | 2000-02-29 | 2005-04-13 | Swisscom Mobile AG | Verfahren zur transaktionsbestaetigung, authentifizierungsserver und wap-server |
| EP1187415A1 (de) * | 2000-09-05 | 2002-03-13 | Siemens Aktiengesellschaft | Verfahren zur Identifikation von Internet-Nutzern |
| JP2002082911A (ja) * | 2000-09-11 | 2002-03-22 | Nec Corp | 認証システム |
| CN100428751C (zh) * | 2000-12-25 | 2008-10-22 | 松下电器产业株式会社 | 安全通信包处理装置及其方法 |
| DE10114156A1 (de) * | 2001-03-22 | 2002-10-24 | Deutsche Telekom Ag | Verfahren zur Bereitstellung eines authentischen elektronischen Zertifikats |
| US20020162029A1 (en) * | 2001-04-25 | 2002-10-31 | Allen Keith Joseph | Method and system for broadband network access |
| US7568221B2 (en) | 2001-07-27 | 2009-07-28 | Sony Corporation | Information processing system, information processing apparatus and method |
| JP3895146B2 (ja) * | 2001-10-22 | 2007-03-22 | 富士通株式会社 | サービス制御ネットワーク、サーバ装置、ネットワーク装置、サービス情報配布方法、及びサービス情報配布プログラム |
| CN1268093C (zh) * | 2002-03-08 | 2006-08-02 | 华为技术有限公司 | 无线局域网加密密钥的分发方法 |
| CN1277366C (zh) * | 2002-10-31 | 2006-09-27 | 华为技术有限公司 | 一种信息提供端数据保护的方法 |
| FR2850224B1 (fr) * | 2003-01-22 | 2005-06-03 | France Telecom | Procede et systeme d'enregistrement de parametres d'authentification d'un utilisateur et supports d'enregistrement d'informations pour mettre en oeuvre ce procede |
| DE10347431B4 (de) * | 2003-10-13 | 2012-03-22 | Siemens Ag | Fernwartungssystem unter Zugriff auf autorisierungsbedürftige Daten |
| CN2676536Y (zh) * | 2004-02-25 | 2005-02-02 | 严华 | 便携式节目预报器 |
| FR2872365B1 (fr) * | 2004-06-23 | 2006-10-13 | Oneaccess Sa | Procede et dispositif de localisation physique d'un abonne raccorde a un reseau fixe de telecommunication |
| CN102264061B (zh) * | 2011-04-11 | 2015-07-22 | 宇龙计算机通信科技(深圳)有限公司 | 无卡移动终端的鉴权及通信方法、服务器及无卡移动终端 |
| CN106559385B (zh) * | 2015-09-25 | 2019-10-18 | 阿里巴巴集团控股有限公司 | 一种数据鉴权方法和装置 |
| CN113632437B (zh) * | 2019-03-29 | 2023-05-30 | Abb瑞士股份有限公司 | 工业物联网中的安全远程连接 |
| US11877218B1 (en) | 2021-07-13 | 2024-01-16 | T-Mobile Usa, Inc. | Multi-factor authentication using biometric and subscriber data systems and methods |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4958368A (en) * | 1988-10-31 | 1990-09-18 | Gte Mobilnet Incorporated | Customer activation system |
| FR2662880B1 (fr) * | 1990-05-30 | 1993-05-07 | Cit Alcatel | Procede d'acces d'un usager aux donnees d'un abonnement a un service de telephonie sans fil. |
| US5864683A (en) * | 1994-10-12 | 1999-01-26 | Secure Computing Corporartion | System for providing secure internetwork by connecting type enforcing secure computers to external network for limiting access to data based on user and process access rights |
| US5659596A (en) * | 1995-04-12 | 1997-08-19 | International Business Machines Corporation | System for location of communication end users |
-
1998
- 1998-04-29 FI FI980952A patent/FI109254B/fi not_active IP Right Cessation
-
1999
- 1999-03-29 WO PCT/EP1999/002140 patent/WO1999056434A1/en active IP Right Grant
- 1999-03-29 CN CN99805613A patent/CN1298589A/zh active Pending
- 1999-03-29 EP EP99915716A patent/EP1075748B1/en not_active Expired - Lifetime
- 1999-03-29 AU AU34183/99A patent/AU3418399A/en not_active Abandoned
- 1999-03-29 ES ES99915716T patent/ES2241275T3/es not_active Expired - Lifetime
- 1999-03-29 DE DE69925482T patent/DE69925482T2/de not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| FI980952A (fi) | 1999-10-30 |
| FI109254B (fi) | 2002-06-14 |
| DE69925482T2 (de) | 2006-02-02 |
| FI980952A0 (fi) | 1998-04-29 |
| WO1999056434A1 (en) | 1999-11-04 |
| AU3418399A (en) | 1999-11-16 |
| DE69925482D1 (de) | 2005-06-30 |
| CN1298589A (zh) | 2001-06-06 |
| EP1075748A1 (en) | 2001-02-14 |
| EP1075748B1 (en) | 2005-05-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| ES2241275T3 (es) | Metodo, disposicion y aparato para autentificacion. | |
| US9893892B2 (en) | Authenticated remote pin unblock | |
| US8904178B2 (en) | System and method for secure remote access | |
| ES2744841T3 (es) | Método y aparato para la mediación de comunicaciones | |
| ES2564128T3 (es) | Un sistema implementado por ordenador para proporcionar a los usuarios acceso seguro a servidores de aplicaciones | |
| US7519986B2 (en) | Method and apparatus for network security using a router based authentication system | |
| US8856891B2 (en) | Proxy authentication network | |
| US8059818B2 (en) | Accessing protected data on network storage from multiple devices | |
| US7448081B2 (en) | Method and system for securely scanning network traffic | |
| EP1551149B9 (en) | Universal secure messaging for remote security tokens | |
| US7058180B2 (en) | Single sign-on process | |
| ES2390338T3 (es) | Autenticación de credenciales para usuarios móviles | |
| ES2596308T3 (es) | Método y disposición para autenticación segura | |
| RU2451398C2 (ru) | Способы аутентификации, шифрования и декодирования идентификатора клиентского терминала и устройства для их реализации | |
| CN104618108B (zh) | 安全通信系统 | |
| Avolio et al. | A network perimeter with secure external access | |
| US20080244716A1 (en) | Telecommunication system, telecommunication method, terminal thereof, and remote access server thereof | |
| CN106878245A (zh) | 图形码信息提供、获取方法、装置及终端 | |
| CN114584386B (zh) | 全局多级加密网络通信方法 | |
| JP2005522937A (ja) | コンピュータ・ネットワークでセキュリティ情報を変更する方法とシステム | |
| JP2001306519A (ja) | 認証接続システム及び方法 | |
| Chikomo et al. | Security of mobile banking | |
| JPH11203248A (ja) | 認証装置、および、そのプログラムを記録した記録媒体 | |
| Urien | Personal HSM, Privacy for Subscribers in 5G/6G Networks | |
| JP4608245B2 (ja) | 匿名通信方法 |