ES2242395T3 - Metodo de autentificacion de una tarjeta de chip en una red de mensajeria. - Google Patents

Abstract

Método de autentificación de una tarjeta chip (SIM) en una red de mensajería, de manera preferente una red GSM, en la que un algoritmo y una clave secreta son almacenados en dicha tarjeta chip (SIM), en la que para llevar a cabo su autentificación: - la red o un componente de red transfiere primero un número aleatorio (RAND) a la tarjeta chip, - una señal de respuesta (SRES) es generada a partir del mismo en la tarjeta chip por medio de un algoritmo y la clave secreta (Ki) y es transmitida a la red o componente de red, caracterizado porque - para llevar a cabo la formación de un parámetro de autentificación, la clave secreta (Ki) y el número aleatorio (RAND) son divididos como mínimo en dos partes (K1, K2; RAND1, RAND2) dentro de la tarjeta chip, - exactamente una de las partes (RAND1, RAND2) del número aleatorio transferido (RAND) es encriptada con la ayuda de una o más partes (K1, K2) de la clave secreta (Ki) por medio de un algoritmo preferentemente simétrico de una o más etapas, y -una de las otras partes del número aleatorio transferido (RAND) y una y/o más partes de la clave secreta (Ki) son utilizadas para calcular una clave de codificación de canal (Kc) por medio de un algoritmo de una o múltiples etapas, siendo utilizada como mínimo una parte del resultado del cálculo como clave de codificación de canal (Kc).

Description

Método de autentificación de una tarjeta de chip en una red de mensajería.

La presente invención se refiere a un método para la autentificación de una tarjeta chip en una red de mensajería, de manera preferente una red "GSM" ("red global de comunicaciones móviles"), de acuerdo con el preámbulo de la reivindicación 1.

En los sistemas GSM es sabido que para la utilización de la tarjeta chip (módulo de identificación del abonado, SIM) el usuario de forma usual debe identificarse primero como un usuario autorizado mediante un número de identificación personal (PIN). A efectos de evitar abusos en este sentido, es de práctica común la utilización de un contador de errores para la introducción del PIN para evitar la utilización de dicha tarjeta después que se ha excedido la cantidad permitida de intentos fallidos.

Una medida de seguridad adicional relacionada con este sistema es la autentificación de la tarjeta con respecto a la red móvil. Una clave secreta inaccesible desde el exterior y un algoritmo también inaccesible desde el exterior están almacenados en dicha tarjeta. Para la autentificación, la red o un componente de la red genera un número aleatorio y la transfiere a la tarjeta. Entonces, la tarjeta calcula a partir del número aleatorio y la clave secreta, por medio de un algoritmo presente en dicha tarjeta, una respuesta que es transferida a la red. Dicha respuesta es analizada en la red y, si el resultado es positivo, se permite el acceso a las funciones de la red. El procedimiento correspondiente es descrito en las especificaciones de GSM relacionadas.

Una red protegida como ha sido descrito anteriormente en el presente documento implica el riesgo de que ataques al algoritmo que es utilizado para la autentificación permitan que la red sea simulada en un ordenador, por ejemplo, mediante la transmisión de "números aleatorios" seleccionados a la tarjeta SIM de acuerdo con el protocolo de estandarización y determinado el código secreto de la tarjeta chip a partir del mismo, después de numeroso intentos de autentificación. Si el algoritmo de la tarjeta es además conocido, los elementos funcionales esenciales de la tarjeta pueden ser simulados o duplicados después de la identificación de la clave secreta.

El documento EP 0840 480 A2 da a conocer un sistema de autentificación que incluye la generación de un número aleatorio que es dividido en dos partes, siendo transformada la primera parte del número aleatorio, para cuya realización la segunda parte de dicho número aleatorio es utilizada como clave. Este sistema no puede ser aplicado en sistemas de mensajería comunes, en particular en sistemas GSM, dado que los números aleatorios son transferidos como una unidad y las claves son independientes de dichos números aleatorios en dichos sistemas.

Por lo tanto el objetivo de la presente invención es dar a conocer un método fiable para la autentificación de una tarjeta chip en un sistema de mensajería en el que no exista conocimiento del resultado de dicha autentificación por la tarjeta chip subscriptora, como es habitual en las redes GSM por ejemplo.

Dicho objetivo es llevado a cabo de acuerdo con la presente invención a partir de las características del preámbulo de la reivindicación 1 por las características especiales de dicha reivindicación 1.

En las reivindicaciones dependientes se dan a conocer realizaciones ventajosas de la presente invención.

La presente invención da a conocer la formación del mensaje de autentificación mediante la formación, como mínimo, de dos partes de la clave secreta y del número aleatorio transferido por la red dentro de la tarjeta chip, estando encriptadas o cifradas exactamente una de las partes del número aleatorio transferido y como mínimo una parte de la clave secreta, por medio de un algoritmo de cálculo preferentemente simétrico como mínimo de un paso. Para emitir un mensaje de autentificación, una parte que puede ser seleccionada del resultado calculado de acuerdo con dicho algoritmo de autentificación es transferida a la red.

La clave de codificación de canal es generada del mismo modo, es decir, se establece también en este caso que, si la clave y el número aleatorio son divididos en dos partes por ejemplo, la primera o la segunda parte del número aleatorio transferido está ligada con la primera y/o segunda partes de la clave secreta con un algoritmo de un paso o de pasos múltiples a efectos de obtener una clave de codificación de canal. Diferentes partes del número aleatorio obtenido a partir de la red son utilizadas para la formación del mensaje de autentificación y de la clave de codificación de canal en cada caso.

Una realización adicional y ventajosa de la presente invención da a conocer que la clave secreta almacenada en la tarjeta y el número aleatorio enviado por la red a la tarjeta son divididos en partes de longitud equivalente. Este hecho permite que sea utilizado el mismo algoritmo de cálculo en los dos casos. El número aleatorio o clave secreta pueden ser divididos simplemente haciendo una división "en el centro" o creando zonas de superposición parcial. También puede llevarse a cabo una división por la cual la suma de las partes individuales es menor que la longitud de bits del número aleatorio o la clave secreta. De acuerdo con una variante adicional, una determinada cantidad de bits del número aleatorio o la clave secreta pueden ser combinados en una parte de clave o número aleatorio de acuerdo con un patrón predeterminado o pseudoaleatorio.

Como otra realización ventajosa de la presente invención, pueden utilizarse algoritmos DES ("norma de cifrado de datos") como algoritmos de cálculo para la autentificación y codificación de canal.

Otra variante ventajosa de la presente invención da a conocer la utilización de un algoritmo IDEA ("algoritmo de cifrado de datos internacional") de un paso para el cálculo de los parámetros de autentificación y claves de codificación de canal.

De forma alternativa, pueden calcularse los parámetros de autentificación y claves de codificación de canal utilizando algoritmos de compresión, de manera preferente algoritmos de compresión criptográfica cuyos valores de salida tienen una longitud menor que los parámetros de entrada.

A efectos de aumentar la seguridad resulta ventajosa la utilización de como mínimo un algoritmo de cálculo de dos pasos, probando ser especialmente seguro un algoritmo DES triple. Con dicho algoritmo primero se encripta o codifica una primera parte de la clave y una parte del número aleatorio, luego se lleva a cabo el desencriptado o descifrado del resultado con la segunda parte de la clave, y finalmente se ejecuta un cálculo adicional con la primera parte de la clave nuevamente. Para el último paso de encriptado con la primera parte de la clave resulta posible de forma ventajosa la utilización de una nueva tercera clave, en particular si la clave es dividida en tres partes de clave.

Una realización adicional y ventajosa de la presente invención resulta si la selección de la primera o segunda parte del número aleatorio es llevada a cabo de forma alternante para la autentificación y cálculo de la codificación de canal, dicha alternancia siendo ejecutada de forma aleatoria o pseudoaleatoria y dicha selección siendo realizada del mismo modo en la tarjeta y la red.

La presente invención será descrita con mayor detalle a continuación haciendo referencia a las figuras 1 a 3.

La figura 1 muestra la secuencia de las funciones criptográficas del SIM en la red GSM.

La figura 2 muestra un diagrama de bloques de encriptado DES triple.

La figura 3 muestra ejemplos de división de la clave secreta y del número aleatorio.

La secuencia mostrada en la figura 1 supone que el proceso precedente y habitual de verificación de PIN ha sido completado. De manera subsiguiente, la unidad móvil en la que la tarjeta SIM está localizada envía a la red un mensaje que contiene información IMSI ("identidad de abonado móvil internacional") o información TMSI ("identidad de abonado móvil temporal"). La clave secreta -K_{i}- es determinada por la IMSI o TMSI en la red de acuerdo con una función determinada o por medio de una tabla. La misma clave también es almacenada en la tarjeta chip -SIM- en un espacio de memoria inaccesible. La clave secreta es requerida para la verificación posterior del proceso de autentificación.

Entonces la red inicia el proceso de autentificación calculando un número aleatorio -RAND- y transfiriéndolo a través de la interfaz aérea al -SIM- de la tarjeta chip.

El parámetro de autentificación -SRES- es formado entonces en la tarjeta chip por medio de un algoritmo de autentificación a partir de la clave secreta -K_{i}- y el número aleatorio -RAND-, siendo dicho parámetro transferido a la vez a través de la interfaz aérea a la red. De acuerdo con la presente invención, como mínimo dos números aleatorios -RAND_{1}- y -RAND_{2}- son derivados a partir del número aleatorio -RAND-. Los números aleatorios -RAND_{1}- y -RAND_{2}- pueden ser obtenidos mediante división o selección a partir del número aleatorio -RAND- o mediante un algoritmo de cálculo.

La autentificación es llevada a cabo con un algoritmo de dos pasos en el ejemplo de acuerdo con la figura 1. Primero, como se indica en la figura 1, la primera parte -RAND_{1}- del número aleatorio es encriptada con la primera parte -K_{1}- de la clave -K_{i}- dividida del mismo modo en dos partes. El resultado de dicha primera etapa es encriptado de manera subsiguiente en una segunda etapa con la segunda parte -K_{2}- de la clave. Para el cálculo con el algoritmo de autentificación resulta posible por supuesto utilizar la segunda parte -RAND_{2}- del número aleatorio en primer lugar y cambiar el orden de utilización de las partes de clave primera -K_{1}- y segunda -K_{2}-.

Mientras tanto, el parámetro de autentificación -SRES'- es formado en la red del mismo modo que en la tarjeta por medio del algoritmo de autentificación y el número aleatorio -RAND(RAND_{1}, RAND_{2})- y la clave secreta -K_{i}(K_{1}, K_{2})-. Entonces el parámetro -SRES'- es comparado en la red con el parámetro de autentificación -SRES- obtenido a partir de la tarjeta. Si los parámetros de autentificación -SRES- y -SRES'- coinciden, el proceso de autentificación es completado de forma satisfactoria. Si los parámetros de autentificación no coinciden, la tarjeta del abonado es considerada como no autentificada. Debe indicarse que también pueden formarse -SRES- o -SRES'- utilizando sólo partes del resultado obtenido a partir del proceso de encriptado.

Del mismo modo que son generados los parámetros de autentificación, la clave -K_{c}- para la codificación de canal para los datos y transmisión de voz es generada en la tarjeta y la red. El parámetro de entrada utilizado en este momento es la parte del número aleatorio -RAND- no utilizado en la autentificación.

La figura 2 muestra un ejemplo ventajoso mediante el cual el cálculo con el algoritmo de autentificación y/o codificación de canal es ejecutado por un algoritmo DES triple. De acuerdo con dicho algoritmo, la parte -RAND_{1}- o -RAND_{2}- del número aleatorio es encriptada en primer lugar con la primera parte de la clave -K_{1}-. En el siguiente paso se lleva a cabo la operación de desencriptado con -K_{2}-. Entonces, el resultado es encriptado con -K_{1}- nuevamente o, si el número/clave aleatorio es dividido en una serie de partes, con una tercera parte de dicha clave. La codificación de canal es llevada cabo del mismo modo. Los algoritmos correspondientes son utilizados en la red en cada caso.

Sin restringir la universalidad, la descripción de los ejemplos de acuerdo con las figuras 1 y 2 ha supuesto la utilización de un algoritmo de encriptado simétrico de dos o tres etapas. La idea inventiva, que consiste en la división del número aleatorio y la clave secreta, también puede ser ejecutada con otros algoritmos de cálculo o encriptado comunes. A modo de ejemplo, se hace mención no sólo a los algoritmos DES -A3; A8-, sino también a algoritmos IDEA. Los algoritmos mencionados también pueden ser ejecutados en una etapa, en la cual distintas partes de la clave y/o número aleatorio son generadas de forma preferente para la autentificación y generación de la clave de codificación de canal -K_{c}-.

Las figuras 3a a 3e muestran ejemplos de modos de división de la clave secreta -K_{i}- o del número aleatorio -RAND-.

La figura 3a muestra la clave -K_{i}- o el número aleatorio -RAND- con una longitud de 128 bits.

La figura 3b muestra una división en dos partes iguales -K_{1}- y -K_{2}- (-RAND_{1}- y -RAND_{2}-), en la que dicha división ha sido realizada en el medio. La parte 1 contiene los bits 1 a 64, la parte 2 contiene los bits 65 a 128. La figura 3c muestra una división con superposición, y la figura 3d muestra una división mediante la cual los bits impares son asignados a la parte 1 y los bits pares a la parte 2. La figura 3e muestra finalmente una división mediante la cual la suma de las posiciones de los bits de las partes 1 y 2 es menor que las posiciones de los bits de la clave o del número aleatorio iniciales.

Claims (9)

1. Método de autentificación de una tarjeta chip (SIM) en una red de mensajería, de manera preferente una red GSM, en la que un algoritmo y una clave secreta son almacenados en dicha tarjeta chip (SIM), en la que para llevar a cabo su autentificación:

- la red o un componente de red transfiere primero un número aleatorio (RAND) a la tarjeta chip,

- una señal de respuesta (SRES) es generada a partir del mismo en la tarjeta chip por medio de un algoritmo y la clave secreta (K_{i}) y es transmitida a la red o componente de red,

caracterizado porque

- para llevar a cabo la formación de un parámetro de autentificación, la clave secreta (K_{i}) y el número aleatorio (RAND) son divididos como mínimo en dos partes (K_{1}, K_{2}; RAND_{1}, RAND_{2}) dentro de la tarjeta chip,

- exactamente una de las partes (RAND_{1}, RAND_{2}) del número aleatorio transferido (RAND) es encriptada con la ayuda de una o más partes (K_{1}, K_{2}) de la clave secreta (K_{i}) por medio de un algoritmo preferentemente simétrico de una o más etapas, y

- una de las otras partes del número aleatorio transferido (RAND) y una y/o más partes de la clave secreta (K_{i}) son utilizadas para calcular una clave de codificación de canal (K_{c}) por medio de un algoritmo de una o múltiples etapas, siendo utilizada como mínimo una parte del resultado del cálculo como clave de codificación de canal (K_{c}).

2. Método, según la reivindicación 1, caracterizado porque la clave secreta (K_{i}) y/o el número aleatorio (RAND) son divididos en dos partes.

3. Método, según las reivindicaciones 1 y 2, caracterizado porque la clave (K_{i}) y el número aleatorio (RAND) son divididos en dos partes de igual longitud (K_{1}, K_{2}/ RAND_{1}, RAND_{2}).

4. Método, según cualquiera de las reivindicaciones 1 a 3, caracterizado porque los algoritmos DES son utilizados para calcular los parámetros de autentificación (SRES, SRES') y/o la clave de codificación de canal (K_{c}).

5. Método, según cualquiera de las reivindicaciones 1 a 3, caracterizado porque un algoritmo IDEA, preferentemente de una etapa, es utilizado para calcular los parámetros de autentificación (SRES, SRES') y/o la clave de codificación de canal (K_{c}).

6. Método, según cualquiera de las reivindicaciones 1 a 3, caracterizado porque un algoritmo de compresión cuyo valor de salida tiene una longitud menor que el parámetro de entrada es utilizado para calcular los parámetros de autentificación (SRES, SRES') y/o la clave de codificación de canal (K_{c}).

7. Método, según cualquiera de las reivindicaciones 1 a 6, caracterizado porque el proceso de cálculo es realizado con un algoritmo de como mínimo de dos etapas.

8. Método, según cualquiera de las reivindicaciones 1 a 7, caracterizado porque es utilizado un algoritmo DES triple como algoritmo de encriptado, mediante el cual primero se encripta con la primera parte (K_{1}) de la clave (K_{i}), luego desencripta con la segunda parte (K_{2}) de dicha clave (K_{i}) y posteriormente encripta nuevamente con la primera parte (K_{1}) o una tercera parte de la clave (K_{i}).

9. Método, según cualquiera de las reivindicaciones 1 a 8, caracterizado porque una selección de la primera o segunda partes del número aleatorio (RAND) es llevada a cabo del mismo modo en la tarjeta y en la red con una alternancia aleatoria o pseudoaleatoria.