ES2263479T3

ES2263479T3 - Metodo y mecanismo para transmitir de manera segura valores de desafio distribuidos (rand) para el uso en la autenticacion de estaciones moviles.

Info

Publication number: ES2263479T3
Application number: ES00945266T
Authority: ES
Inventors: Gregory G. Rose
Original assignee: Qualcomm Inc
Current assignee: Qualcomm Inc
Priority date: 1999-07-09
Filing date: 2000-07-07
Publication date: 2006-12-16
Anticipated expiration: 2020-07-07
Also published as: DK1197035T3; BR0012231A; HK1045420A1; AU5923800A; US7773553B2; EP1197035B1; US6529487B1; DE60027006T2; ATE322113T1; DE60027006D1; PT1197035E; CN1360773A; KR20020026529A; EP1197035A1; JP2003504959A; WO2001005091A1; US20030142644A1

Abstract

Un método para actualizar un número binario, dicho número binario actualizado para ser usado en procedimientos de autenticación de un sistema de teléfono celular, comprendiendo los pasos de: (A) Aplicar un primer algoritmo a una pluralidad de bits de mayor significación de un primer número binario para obtener un segundo número binario; (B) Operar en una pluralidad de bits de menos significado de dicho primer número binario con un segundo algoritmo para obtener un tercer número binario; y (C) Aplicar un cifrado en bloque a la concatenación de dicho segundo y tercer números binarios para obtener dicho número binario actualizado; en donde el paso (C) además comprende los pasos de: (1) Aplicar el cifrado en bloque a dicha concatenación para obtener un número binario encriptado; (2) Determinar si los bits de mayor significación de dicho número binario encriptado tienen un valor con todos-ceros; y (3) Reemplazar, en respuesta a dicho valor con todos-ceros, dichos bits de mayor significación de dicho número binario encriptado con los bits de mayor significación de dicha concatenación para obtener dicho número binario actualizado.

Description

Método y mecanismo para transmitir de manera segura valores de desafío distribuidos (RAND) para el uso en la autenticación de estaciones móviles.

Antecedentes I. Campo de la invención

La invención actual se relaciona con la tecnología del teléfono digital en general, y en particular con la autenticación de estaciones móviles en el sistema del teléfono celular.

II. Descripción

El campo de las comunicaciones inalámbricas tiene muchas aplicaciones incluyendo, por ejemplo, los teléfonos inalámbricos, paginación (paging), aros locales inalámbricos (wireless local loops), y sistemas de comunicaciones de satélite. Una aplicación particularmente importante es el sistema del teléfono celular para los subscriptores móviles. (Como será usado aquí dentro, el término "sistema celular " incluye ambas frecuencias celular y PCS.). Varias interfaces sobre-el-aire se han desarrollado para dichos sistemas de teléfonos celulares, por ejemplo, el acceso múltiple de división de frecuencia (FDMA), acceso múltiple de división de tiempo (TDMA), y acceso múltiple de división del código (CD MA). En estas conexiones, se han establecido varios estándares domésticos e internacionales incluyendo, por ejemplo, Servicio del Teléfono Móvil Avanzado (AMPS), Sistema Global para Móvil (GSM), y el estándar 95 Provisional (IS-95). En particular, IS-95 y sus derivados, IS-95A, ANSI J-STD-008, etc., (colectivamente referido aquí dentro como IS-95), se promulga por la Asociación de Industria de Telecomunicación (TIA) y otros cuerpos de estándares bien conocidos.

Los sistemas de teléfonos celulares configurados de acuerdo con el estándar IS-95 emplean técnicas de procesamiento de señal CDMA. Un sistema de teléfonos celulares ejemplar configurado substancialmente de acuerdo con el estándar SI-95 se describe en la Patente de EE.UU. No. 5, 103,459 que es asignada al apoderado de la invención actual. La patente mencionada anteriormente ilustra el procesamiento de señal transmitida, o de enlace-delantero, en una estación base de CDMA. El procesamiento ejemplar de la señal recibida, o de enlace-reverso, en una estación base de CDMA se describe en la Patente de EE.UU. Apl. Serial No. 08/987,172, archivada el 9 de diciembre de 1997, titulada DEMODULATOR MULTICANAL (MULTICHANNEL DEMODULATOR) que se asigna al apoderado de la invención actual.

En sistemas de teléfonos celulares generalmente, las unidades de subscriptor móviles, o las estaciones móviles, deben autenticarse por una estación base. La autenticación es el proceso por que se intercambia la información entre una estación móvil y una estación base con el propósito de confirmar la identidad de la estación móvil. Los estándares de celulares publicados por la TIA proveen dos métodos para autenticar estaciones móviles, el método de "desafío único" (unique challenge), y el método de "desafío de difusión" (broadcast challenge). Los estándares TIA que utilizan los métodos de autenticación anteriores incluyen, por ejemplo, IS-91 (un estándar AMPS), IS-54 (un estándar de TDMA) IS-136 (un estándar de TDMA que define los canales de control digitales) y IS-95.

El método único de desafío es bien conocido en aquellos expertos en la técnica. En sistemas que utilizan este método la infraestructura celular (la estación base y/o controlador de la estación base) envía un valor de desafío a una estación móvil, y la estación móvil envía una respuesta que es calculada del desafío, del identificador de la estación móvil y datos secretos sólo conocidos por la estación base y la estación móvil (asumiendo que la estación móvil es una estación móvil legítima). Si la respuesta es correcta, la infraestructura celular proporciona el acceso a servicios como las conexiones telefónicas. Este único método de desafío tiene sin embargo la desventaja de que el tiempo requerido para completar el proceso respuesta-desafío en la conformación de la llamada puede ser relativamente largo y excesivamente atrasado. Por esta razón, el método de desafío de difusión ha sido incluido en los estándares de celulares TIA como un medio de suministro de autenticación rápida de las reivindicaciones para acceder a los servicios de celulares.

Bajo el método de desafío de difusión de autenticación, un valor de desafío (referido en general como "RAND") es difundido en un canal de control de celular a las estaciones móviles. Las estaciones móviles almacenan este valor de desafío cuando lo reciben y como consecuencia lo usan, junto con otra información almacenada, cuando ellas solicitan acceso a los servicios de celulares de la estación base.

Los procedimientos de autenticación son usados por sistemas de teléfonos celulares en varias situaciones. Por ejemplo, las estaciones base a menudo requieren autenticación de registro, de comienzo y terminación de la estación móviles. El registro es el proceso por el que una estación móvil identifica su localización y envía ciertos parámetros a una estación base. Los procedimientos del comienzo se instituyen cuando un usuario dirige la estación móvil para comenzar una llamada. Los procedimientos de la terminación se instituyen cuando otra parte efectúa una llamada a una estación móvil, y la estación móvil responde a un mensaje de página para aceptar la llamada.

En los sistemas de CDMA configurados con IS-95, una estación móvil será autenticada solo cuando la estación base determina que ambos, él y la estación móvil, poseen conjuntos idénticos de datos secretos compartidos (SSD) y un idéntico valor de desafío aleatorio (RCV). SSD es una cantidad de 128-bits que se da a conocer a la estación base y a una estación móvil, y se guarda por la estación móvil en su memoria semi-permanente. Los primeros 64 bits de SSD contienen el valor numérico SSD_A y los restante 64 bits contienen el valor numérico SSD_B. SSD_A se usa en el proceso de autenticación, mientras SSD_B se usa en el proceso de privacidad de la voz y de encriptación del mensaje. El RCV es un número de 32-bits que corresponde al valor de desafío usado en el método de desafío de difusión de autenticación referido anteriormente, y se discutirá en más detalle debajo. Los 8 bits de mayor significación del RCV a veces están referidos como RANDC, mientras los 24 bits de menor significado del RCV a veces están referidos como RANDL.

En el contexto de un comienzo de la estación móvil en un sistema de teléfonos celulares de CDMA configurado con IS-95, una típica autenticación de la estación móvil sería como sigue. Un usuario dirige la estación móvil para efectuar una llamada telefónica. La estación móvil determina si el valor guardado del elemento de información de autenticación (AUTH) se pone a "01", indicando que el modo de autenticación estándar debe ser usado. Si es puesto a "01", la estación móvil calcula el valor del elemento de información de la firma de autenticación (AUTH_SIGNATURE) de acuerdo con ciertos algoritmos de autenticación descritos en "Algoritmos Criptográficos Comunes" (Common Cryptographic Algoritms) una publicación disponible a través de la Asociación de Industria de Telecomunicaciones pero sujeto a distribución restringida. Los parámetros de entrada de AUTH_SIGNATURE y los valores proporcionados por la estación móvil para la autenticación del comienzo serían como sigue:

RAND_CHALLENGE	ESN	AUTH_DATA	SSD_AUTH	SAVE_ REGISTERS
RANDs	ESNp	DIGITS	SSD_A	TRUE

donde RANDs = Memoria de desafío de almacenamiento aleatorio, el valor guardado de la memoria de desafío aleatoria de 32-bits (RAND); ESNp = número de serie electrónico, un valor de 32-bits que identifica únicamente la estación móvil almacenada en la memoria permanente de la estación móvil; y DIGITS = los últimos seis dígitos codificados del campo CHARi en el mensaje de comienzo de la estación móvil.

Una vez que la estación móvil calcula AUTH_SIGNATURE, el campo AUTHR del mensaje de comienzo de la estación móvil es asignado al valor de AUTH_SIGNATURE, el campo RANDC es asignado a los ocho bits de mayor significación de RAND y el mensaje de comienzo es transmitido a la estación base. La estación base calcula el valor de AUTHR de la misma manera que la estación móvil, usando su valor almacenado internamente de SSD_A, compara este valor calculado con el valor de AUTHR recibido de la estación móvil, y compara el valor recibido de RANDC con los ocho bits de mayor significación de su valor almacenado internamente RAND. Si las comparaciones ejecutadas en la estación base tienen éxito, la estación base iniciará los procedimientos usados para asignar la estación móvil a varios canales de tráfico. Si alguna de las comparaciones falla, la estación base puede negar servicio, puede comenzar el procedimiento único del desafío-respuesta o puede comenzar el procedimiento de actualización de SSD.

En sistemas de teléfonos celulares típicos el espectro de frecuencia disponible es dividido en un número de canales, cada uno de los cuales se usan para propósitos diferentes. En sistemas de CDMA configurados con IS-95, uno de esos canales es el Canal de Paginación. El Canal de Paginación es una señal propagada del espectro (spread spectrum signal) codificada, interpolada, dispersada y modulada que las estaciones base usan para transmitir información aérea del sistema y mensajes específicos de la estación móvil a estaciones móviles que no han sido asignadas a un Canal de Tráfico. Uno de los mensajes transmitidos en el Canal de Paginación y monitoreado por las estaciones móviles es el Mensaje de Parámetros de Acceso. El Mensaje de Parámetros de Acceso es un mensaje de longitud variable que tiene veintisiete campos, incluyendo el Modo de Autenticación (AUTH) y campos RAND. El campo AUTH es un campo de 2-bits a cuyo valor se le asigna "01" por una estación base si las estaciones móviles son para incluir los datos de autenticación estándares en los mensajes de Canal de Acceso enviados a esa estación base. Si las estaciones móviles no deben incluir los datos de autenticación estándares en los mensajes de Canal de Acceso, la estación base asignará el valor del campo AUTH a "00". El campo RAND es un campo de 0-bits o 32-bits cuyo valor se asigna al RCV de 32-bits que las estaciones móviles van a usar en los procedimientos de autenticación cuando al campo AUTH se le ha asignado "01". Las estaciones de base asignan el valor de RAND en el Mensaje de Parámetros de Acceso CDMA igual a la concatenación de RAND1_A y RAND1_B de 16-bits sobre palabras de información periódicamente agregadas a los Mensajes Aéreos de Parámetros de Sistema transmitidos por las estaciones de base a las estaciones móviles en el Canal de Control Desplazado análogo.

En sistemas de CDMA, el RCV se pretende que sea un número del 32-bits aleatorio que no se repita durante aproximadamente 8000 años. Los 8000 años en la propiedad de repetición es un rasgo de seguridad importante, haciendo esencialmente imposible para un atacante predecir que el RCV estará en cualquier punto en el futuro. Por un número de razones, se ha encontrado que es ventajoso modificar frecuentemente el RCV usado en el proceso de autenticación, potencialmente cada minuto. Cambiar el RCV cada minuto, sin embargo, introduce el problema que valores duplicados del RCV comenzarán: apareciendo aproximadamente cada 2^{16} minutos (alrededor de 45 días) si el RCV se genera verdaderamente de manera aleatoria. También se ha encontrado que hay ciertas ventajas para por: sincronizar el RCV a través del sistema de celulares. Sin embargo, comunicar el RCV a lo largo de la red de sistemas de celulares, qué se requeriría si el RCV sincronizado fuera verdaderamente aleatorio, sería difícil y caro.

Una combinación de contadores basados en registros de cambio de retroalimentación linear de longitud máxima (LFSRs) en las estaciones base puede usarse para generar el RCV de 32-bits. La combinación de contadores basados LFRS de máxima longitud no generará un RCV repetido durante aproximadamente 2^{32}-2^{24} minutos (aproximadamente 8000 años), y nunca generará un RCV con un octeto principal de ceros. Teniendo un octeto principal de no ceros es importante porque los ocho bits de mayor significación de RANDs son utilizados en un número de operaciones de autenticación. Sincronizar el RCV a través de los sistemas celulares es simple y barato con un contador basado en LFSR. Cualquier estación base en el sistema puede calcular el RCV apropiado para cualquier tiempo en particular dada una posición inicial, el número de minutos que han pasado desde esa posición inicial y una referencia de tiempo global. Como se discute con más detalles en la Patente de EE.UU. No. 6, 285,873, usar el tiempo de un sistema GPS como la referencia de tiempo global es preferible.

Hay sin embargo inconvenientes en el uso de un contador basado en LFSR para generar el RCV. Específicamente, usar un contador basado en LFSR resulta en la pérdida de imprevisibilidad de RCV. Observando sólo una hora o mas o menos del RCVs generado por una estación base con un contador basado en LFSR y transmitido a las estaciones móviles en el Mensaje de Parámetros de Acceso, un atacante puede poder derivar y entender la fórmula usada por el contador basado en LFSR. Habiendo derivado la fórmula, el atacante podría entonces predecir el RCV para cualquier tiempo dado en el futuro.

Varios ejemplos de comunicaciones seguras son revelados en US 5 825 889 A, US 5 673 319 A, y US 5 450 395 A. El primero involucra un método para cifrar el tráfico entre los teléfonos celulares vía un satélite usando un algoritmo de cifrado doble. El segundo usa un método de cifrado que encripta una cadena que está en texto plano, donde el mensaje en texto plano es encriptado dos veces con llaves diferentes, una vez para generar un código de autenticación de mensaje y de nuevo para generar una cadena cifrada, donde las dos encriptaciones se combinan para crear el texto cifrado. Finalmente, un sistema mejorado para la comunicación multi-usuario se proporciona en un sistema de CDMA usando los generadores de ruido seudo aleatorios, códigos de longitud máxima que se subdividen en tiempo entre los usuarios, y satélites de GPS que mantienen una referencia de tiempo para todos los usuarios.

Sin embargo, hay una necesidad de un método seguro para generar y comunicar el RCV a estaciones móviles que no pierden la imprevisibilidad de un número verdaderamente aleatorio pero que pueda simple y económicamente ser sincronizado a través de sistemas de teléfonos celulares.

Sumario

La invención actual se dirige a un método y mecanismo para generar y comunicar valores de desafío aleatorios (RCV) a estaciones móviles que no pierden la imprevisibilidad de un número verdaderamente aleatorio pero que puede ser simple y económicamente sincronizado a través de sistemas celulares. La invención comprende un método según la reivindicación 1 y un mecanismo según las reivindicaciones independientes 11, 12 o 14 para actualizar un número binario a ser usado en procedimientos de autenticación de sistemas de teléfonos celulares, que aplican un primer algoritmo a una pluralidad de bits más significantes de un primer número binario para obtener un segundo número binario; opera en una pluralidad de bits de menos significado del primer número binario con un segundo algoritmo para obtener un tercer número binario, y aplica un cifrado en bloque a la concatenación del segundo y tercer números para obtener el número binario actualizado. Cuando los bits de mayor significación del número binario actualizado comprenden un número con todos ceros, son reemplazados con los bits de mayor significación de la concatenación del segundo y tercer números. En una realización particular de la invención, el cifrado en bloque comprende una versión modificada de la función de encriptación de cifrado en bloque SKIPJACK.

Breve descripción de los dibujos

Los rasgos, objetos y ventajas de la invención actual se verán más claros de la descripción detallada publicada debajo cuando se toma junto con los dibujos, los cuales los caracteres de referencia identifican correspondientemente a lo largo y de donde:

La fig. 1 es un diagrama de un sistema de teléfonos celulares.

La fig. 2 es un diagrama de bloque de un registro de cambio de Galois.

La fig. 3 es un diagrama de bloque de dos registros de cambio de Galois.

La fig. 4 muestra el camino de cómputo del cifrado en bloque SKIPJACK.

La fig. 5 muestra la tabla-F para el cifrado en bloque SKIPJACK.

Descripción detallada

De acuerdo con la invención actual, el problema de generar y transmitir un RCV a una estación móvil que no pierde la imprevisibilidad de un número verdaderamente aleatorio, pero que puede simple y económicamente ser sincronizado a través de sistemas de teléfonos celulares, se resuelve a través del uso de LFSRs y una función de encriptación de cifrado en bloque. Específicamente, una función de encriptación de cifrado en bloque, cuya llave se guarda relativamente confidencial en las estaciones base de teléfonos celulares, se usa para encriptar el RCV generado por un contador basado en LFSR, una combinación de contadores basados en LFSR o incluso un simple contador antes de que el RCV se transmita a una estación móvil. Debido a que las funciones de encriptación de cifrado en bloque son funciones uno-a-uno, para cada entrada distinta la salida de la función de encriptación de cifrado en bloque será también distinta, conservando así la propiedad de 8000 años antes de una repetición del RCVs generado con un contador basado en LFSR. Es más, sin acceso a la llave de encriptación del cifrado en bloque, un atacante será incapaz de predecir el RCV en cualquier momento particular mientras la habilidad de sincronizar simple y económicamente el RCV a través de sistemas de teléfonos celulares se mantiene. Cualquier función de encriptación de cifrado en bloque que operará en un bloque de 32-bits y es razonablemente segura puede usarse. En una realización preferida de la invención una ver-
sión modificada del cifrado en bloque SKIPJACK se utiliza como la función de encriptación de cifrado en bloque.

En algunas aplicaciones de teléfonos celulares es inaceptable para el primer byte de un elemento de información tener un valor de cero. El uso de una función de encriptación de cifrado en bloque para encriptar el RCV generado por una estación base con un contador simple o basado en LFSR producirá sin embargo el RCV encriptado teniendo un primer byte con un valor de cero con una probabilidad de aproximadamente 2^{-8} porque la salida de la función de encriptación aparecerá verdaderamente aleatoria. Por consiguiente, en otra realización de la invención actual el primer byte de la salida del RCV encriptada se reemplaza con el primer byte de la entrada del RCV no encriptada cada vez que el primer byte de la salida tenga un valor de cero. Esto elimina el problema de tener un RCV encriptado cuyo primero byte tiene un valor de cero. Así, aunque reemplazar el primer byte de la salida del RCV encriptada con el primer byte de la entrada del RCV no encriptada necesariamente significará que la salida del RCV encriptada duplicará otra salida del RCV encriptada en tiempo en algún punto, lo hará de una manera impredecible.

Como se entenderá por aquellos que tiene ordinaria experiencia en la técnica, varios métodos y mecanismos para generar y transmitir números para ser usados en las características de la realización de la autenticación de la estación móvil de la invención actual pueden residir en cualquiera de los varios sistemas de teléfonos celulares. Tales sistemas celulares incluyen, sólo como ejemplo, AMPS (análogo), (TDMA norteamericano), GSM (TDMA mundial), y IS-IS-95 (CDMA norteamericano). En una realización preferida, el sistema celular es un sistema de teléfono celular CDMA con espectro expandido.

Refiriéndose ahora a la Figura 1, se muestra un diagrama de bloque de un sistema de teléfono celular CDMA típico. Tales sistemas generalmente incluyen una pluralidad de unidades de subscriptor móvil 10, una pluralidad de estaciones base 12, un controlador de estación base (BSC) 14, y un centro de alternación móvil (MSC) 16. El MSC 16 está configurado para interactuar con una red de teléfono de intercambio público convencional (PSTN) 18. El MSC 16 también está configurado para interactuar con el BSC 14. El BSC 14 está acoplado a cada estación base 12. Las estaciones base 12 también pueden ser conocido como subsistemas receptores transmisores de estación base (BTSs) 12. Alternativamente, "estación base" puede referirse colectivamente a un BSC 14 y uno o más BTSs 12, en donde BTSs 12 también puede ser referido como "sitios celulares" 12. (Alternativamente, los sectores de un BTS 12 dado pueden ser referidos como sitios celulares.) Las unidades de subscriptor móvil 10 son típicamente teléfonos celulares 10, y el sistema de teléfono celular es, por ejemplo, un sistema CDMA de espectro expandido configurado para el uso de acuerdo con el estándar IS-95.

Durante el funcionamiento típico del sistema de teléfono celular, las estaciones base 12 reciben conjuntos de señales de enlace reverso de los conjuntos de unidades móviles 10. Las unidades móviles 10 están transmitiendo llamadas telefónicas u otras comunicaciones. Cada señal de enlace reverso recibida por una estación base 12 dada es procesada dentro de esa estación base 12. Los datos resultantes se remiten al BSC 14. El BSC 14 proporciona asignación de recursos de llamada y funcionalidad de dirección de movilidad, incluyendo la instrumentación de traspasos de responsabilidad suaves entre estaciones base 12. El BSC 14 también enruta los datos recibidos al MSC 16, que proporciona servicios de enrutamiento adicionales para la interactuar con el PSTN 18. Similarmente, el PSTN 18 interactúa con el MSC 16 y el MSC 16 interactúa con el BSC 14, qué a su vez controla los conjuntos de estaciones base 12 de señales de enlace reverso a conjuntos de unidades móviles 10. En el sistema CDMA de la Figura 1, cada estación base 12 incluye al menos un sector (no mostrado), cada sector comprende una antena dirigida en una dirección particular radialmente fuera de la estación base 12. Preferentemente, cada estación base 12 incluye tres sectores en donde el eje de cada antena del sector difiere por aproximadamente 120 grados.

Ventajosamente, LFSRs o simulaciones de software pueden ser usados por las estaciones base 12 para generar los RCVs que se transmiten eventualmente a las estaciones móviles para el uso en los procedimientos de autenticación de las estaciones móviles. En sistemas CDMA configurados con IS-95, los RCVs se transmiten a las estaciones móviles en el campo RAND del Mensaje de Parámetros de Acceso. En una realización preferida de la invención actual, los LFSRs son los registros de cambio de longitud máxima; y más específicamente, registros de cambio Galois. Sin embargo, otras implementaciones de registros de cambio de longitud máxima puede utilizarse. Como pretende ser conocido en la técnica, los registros de cambio de máximo-longitud son LFSRs que se han configurado para asegurar que sus polinomios característicos son irreducibles y primitivos, así produciendo una sucesión que tiene un período (P) = 2^{r}-1, donde r es el número de posiciones de bits en el LFSR.

Refiriéndose ahora a la Figura 2, se muestra un registro de cambio Galois de 8-bits 20 que tiene una llave de retroalimentación después de las posiciones de los bits 0,4 y 5. Como se entiende por aquellos expertos en el arte, un registro de cambio Galois alterna cada bit de registro una posición a la izquierda con cada pulsación del reloj, y ciertos bits de registro son lógicamente combinados en una relación de OR exclusivo (XOR) con un bit de retroalimentación. Por ejemplo, en cada alternación a la izquierda, la posición del bit 1 recibe el resultado XOR del bit 7 y el bit 0. Similarmente, la posición del bit 5 recibe el resultado XOR del bit 7 y el bit 5.

Refiriéndose ahora a la Figura 3, se muestra un método preferido para generar el número a ser usado en la invención actual. El método se apoya en el primer y segundo registros de cambio Galois 30, 32. Una simple señal de reloj actualizada 34 causa una actualización de los dos registros de cambio Galois 30, 32. El primer registro 30 es un registro de cambio Galois de 8-bits 30 usado para crear los ocho bits de mayor significación del RCV. El segundo registro de cambio 32 es un registro de cambio Galois de 24-bits 32 usado para crear los bits restantes del RCV de 32-bits. El primer y segundo registros de cambio 30, 32 son ambos acoplados a la señal de reloj 34, pero están por otra parte desconectados.

Refiriéndose todavía a la Figura 3, el primer y segundo registros de cambio 30, 32 cada uno tiene llaves de retroalimentación, o conexiones eléctricas, aplicadas a posiciones de bits particulares. Como se entendería por los expertos en la técnica cualquiera de los polinomios primitivos de orden ocho y veinticuatro pueden usarse para determinar, respectivamente, las llaves de retroalimentación del primer y el segundo registros de cambio 30, 32. Como se muestra en la Figura 3, el primer y el segundo registros de cambio tienen los siguientes polinomios primitivos x^{8}+x^{6}+x^{5}+x+1 y x^{24}+x^{4}+x^{3}+x+1, respectivamente. Proveído cada registro de cambio 30, 32 se inicializan a un valor de no-ceros, las secuencias que cada registro de cambio 30, 32 generan siempre será de no-ceros. Así, los ocho bits de mayor significación (i.e., cada número generado por el registro de alternación 30) de cada número en la secuencia serán no-ceros. Esta configuración del primer y segundo registros de cambio 30, 32 sin embargo no produce la secuencia de salida de 32-bits teniendo el P máximo de 2^{32} - 1 que sería posible con un simple LFSR de longitud máxima con posiciones de 32 bits porque el primer y segundo registros de cambio 30, 32 producen longitudes de secuencia que no son relativamente primeras. El primer registro de cambio 30 produce una secuencia con un P de 2^{8}-1=255=3*5*17, mientras el segundo registro de cambio 32 produce una sucesión con un P de 2^{24} - 1=16777215=3*3*5*7*13*17*241. Así, el P de la secuencia generada por primer y el segundo registros de cambio 30, 32 es 65793, sólo ligeramente mayor que el P de un simple LFSR de longitud máxima de 16-bits. Sin embargo, debido a que la sucesión producida por un LFSR de longitud máxima no tiene valores todos-ceros, y la condición de no tener ningún valor de todos-ceros es importante solo con respecto a los ocho bits de mayor significación del RCV, el P de la sucesión generada por el primer y el segundo registros de cambio 30, 32 puede ser extendido insertando un valor de todos-ceros en cualquier punto de la secuencia generada por el registro de cambio 24-bits 32. En tal proceder, el P de segundo registro de cambio 32 es aumentado de 16777215 a 16777216, que es una potencia de 2 y relativamente primero al P de primer registro de cambio 30 (255). Consecuentemente, con todos los valores de todos-ceros colocados en algún punto de la secuencia generada por el segundo registro de cambio 32, el P de la secuencia generada de 32-bits por el primer y el segundo registros de cambio 30, 32 se convierte en la secuencia de longitud máxima dónde los ocho bits de mayor significación tiene que ser no-ceros, o 2^{32} - 2^{24} en longitud.

Habiendo generado el número a ser operado como se describe anteriormente, una función de encriptación de cifrado en bloque (un "cifrado en bloque") es aplicado al número. Un cifrado en bloque es una función E que mapea bloques de texto plano de n-bits P a bloques de texto cifrado de n-bits C dónde n es la longitud del bloque. Puede verse como un simple cifrado de sustitución con el tamaño del carácter grande. El cifrado en bloque es parametrizado por una llave K de k-bits, tomando los valores de un subconjunto Q (típicamente referido como el espacio de llaves) del conjunto de todos los vectores V_{k} de k-bits. Para un P de n-bits, un C de n-bits y una llave K fija, el cifrado en bloque es una biyección, que define una permutación en vectores de n-bits. Cada llave potencialmente define una biyección diferente. Es generalmente asumido que la llave es escogida aleatoriamente. En otras palabras, un cifrado en bloque de n-bits es una función E: V_{n} x Q \rightarrow V_{n}, tal que para cada llave K c Q, E(P, K) es un mapeo invertible (la función de encriptación para K) de V_{n} a V_{n}, escrito E_{k}(P). El mapeo inverso es la función de desciframiento, denotada por D_{k} (C) o E_{k}^{-1}.C=E_{k}(P), el texto cifrado que resulta de encriptar el texto plano P con la llave K.

Hay un número de cifrados en bloque conocidos diseñados para operar en bloques de datos que tienen 64 (o más) bits. El más conocido de estos cifrados en bloque es el Estándar de Encriptación de Datos (DES) definido por el estándar americano FIPS 46-2. El Codebook Encryptor/Decryptor Algorithm (SKIPJACK) es otro cifrado en bloque de llave simétrica diseñado para operar en un bloque de tamaño 64 bits y está definido por estándar americano FIPS 185. FIPS 185 puede recuperarse en:

http://www.itl.nist.gov/fipspubs/fip185.htm/ y la especificación para SKIPJACK puede verse en:

http://csrc.nist.gov/encryption/skipjack-1.pdf/ y

http://csrc.nist.gov/encryption/skipjack-2.pdf/, los cuales están totalmente incorporados aquí dentro por referencia. El cifrado en bloque SKIPJACK, como el DES, es un cifrado Feistel que procesa bloques de texto plano de n=64 bits, produciendo bloques de texto cifrado de 64-bits. El tamaño eficaz de la llave secreta K es 80 bits, y las 2^{80} llaves implementan (a lo sumo) 2^{80} de los 2^{64}! posibles biyecciones en los bloques de texto plano de 64-bits.

SKIPJACK puede sin embargo modificarse para operar en bloques de 32-bits utilizando la misma permutación dependiente-de-llave G y la F-tabla como el cifrado en bloque completo SKIPJACK, y la estructura Feistel del cifrado en bloque DES en lugar de la cuarta estructura componente del cifrado en bloque SKIPJACK no modificado. El camino del cálculo del SKIPJACK modificado se muestra en la Figura 4. Primero, el bloque de entrada de 32-bits 401 es dividido en dos mitades iguales L_{0} 402 y R_{0} 403, cada una de 16-bits. Habiendo dividido el bloque de entrada de 32-bits en las mitades, la encriptación ahora procede en 24 ciclos. En el primer o 0 ciclo 404, la permutación dependiente-de-llave G 405 es aplicada a R_{0} 403, la salida la cual es luego combinada con el número circular (en este caso 0) y L_{0} 402 en una operación XOR 406. Las dos mitades entonces se intercambian 407, completando el primer ciclo, y la misma operación es repetida otros 23 ciclos. Siguiendo el 24 y ronda final, las mitades se intercambian de nuevo 408. La salida 409 es el RCV usado en los procedimientos de autenticación referidos anteriormente, a menos que los bits de mayor significación de la salida 409 comprendan un valor de todos-ceros. En este caso, en una realización preferida de la invención, los bits de mayor significación de la entrada 401 se sustituyen por los bits de mayor significación de la salida 409 antes de que la salida 409 sea usada como el RCV.

La permutación dependiente-de-llave G 405 es una estructura de Feistel de cuatro-ciclos que permuta valores de 16-bits (i.e., palabras) en V_{16}, el conjunto de todos los valores de 16-bits. La función cíclica es una tabla de substitución-de-bytes fija (i.e., una permutación en V_{8}, el conjunto de todos los valores de 8-bits) nombrada la tabla-F (F-table) y representada en la Figura 5 como 501. Cada entrada en la tabla está dada en notación hexadecimal. El orden alto 4 bits del índice de la entrada la fila 502 y el orden bajo 4 bits del índice de la entrada la columna 503. Por ejemplo, una entrada de 7a permutaría a d6 504. Cada ciclo de G 405 también incorpora un byte de llave K. Las funciones por-ciclos de G 405 pueden caracterizarse como:

G_{k}\cdot (w = g_{1}\left\Arrowvert g_{2}) = g_{5} \right\Arrowvert g_{6},

Donde g_{i} = F (g_{i-1} \oplus CV_{4k+i-3}) \oplus g_{i-2}, k es el número del paso, F es la tabla-F de SKIPJACK 501, y CV_{4k+i-3} es el (4k+i - 3)-ésimo byte en el programa de la llave K. Así,

g_{3} = F(g_{2} \oplus CV_{4k}) \oplus g_{1}

g_{4} = F(g_{3} \oplus CV_{4k+1}) \oplus g_{2}

g_{5} = F(g_{4} \oplus CV_{4k+2}) \oplus g_{3}

g_{6} = F(g_{5} \oplus CV_{4k+2}) \oplus g_{4}.

El programa de la llave K es de tamaño 10 bytes (es decir, 80 bits), etiquetado del 0 al 9, y es usado en su orden natural. Los subíndices del programa notados anteriormente serán por consiguiente interpretados mod-10.

Una versión del seudo-código del proceso de encriptación de cifrado en bloque SKIPJACK modificado se muestra en la Tabla 1 debajo:

TABLA 1

1

2

3

La generación de un RCV como se describe anteriormente puede ser implementada con cualquier código fuente convencional, incluyendo, por ejemplo, código del lenguaje C, código del lenguaje C++, como se entenderá por aquellos expertos en la técnica. Los sitios celulares típicamente incluyen circuitos integrados que son ventajosamente Circuitos Integrados Específicos de Aplicación (ASIC), con software ejecutando microprocesadores. Por consiguiente puede apreciarse que la invención es lo suficientemente simple para ser realizada en cualquier parte en la infraestructura de un sistema celular. En una realización específica, la invención puede ser implementada en los sitios celulares (no mostrado) del sistema celular CDMA de la Figura 1, por eso eliminando la necesidad de crear nuevos RCVs centralmente y distribuirlos a sitios celulares a lo largo del sistema para la transmisión.

Como los expertos en la técnica podrán apreciar fácilmente, cualquier forma similar de generador de ruido seudo aleatorio puede sustituirse por los registros de cambio de longitud máxima en las realizaciones descritas aquí dentro. Más allá, mientras las realizaciones descritas aquí dentro pertenecen a sistemas de teléfonos celulares, incluyendo sistemas de CDMA en los cuales los ocho bits de mayor significación del RCV, RANDC, están forzados para ser no-ceros, debería entenderse que RANDC no necesita ser no-cero a menos que el sistema particular lo especifique. Consecuentemente, dependiendo de las restricciones del sistema cualquiera RANDC o RANDL, o ambos, podrían tener un valor de todos-ceros insertado para extender el período de cualquiera o ambas sucesiones. Además, el valor de desafío de difusión del sistema celular de las realizaciones descritas aquí dentro podría ser igualmente bien cualquier número binario que requiera actualizaciones periódicas tal que la correlación entre las actualizaciones sucesivas se minimiza y el número de actualizaciones antes de que ocurra un valor repetido se maximiza.

Realizaciones preferidas de la invención actual han sido así mostradas y descritas. Será aparente para los expertos en la técnica, que numerosas alteraciones pueden hacerse a las realizaciones reveladas aquí sin retirarse del alcance de la invención. Por consiguiente, la invención actual no estará limitada excepto de acuerdo con las siguientes reivindicaciones.

Claims

1. Un método para actualizar un número binario, dicho número binario actualizado para ser usado en procedimientos de autenticación de un sistema de teléfono celular, comprendiendo los pasos de:

(A): Aplicar un primer algoritmo a una pluralidad de bits de mayor significación de un primer número binario para obtener un segundo número binario;

(B): Operar en una pluralidad de bits de menos significado de dicho primer número binario con un segundo algoritmo para obtener un tercer número binario; y

(C): Aplicar un cifrado en bloque a la concatenación de dicho segundo y tercer números binarios para obtener dicho número binario actualizado; en donde el paso (C) además comprende los pasos de:

(1): Aplicar el cifrado en bloque a dicha concatenación para obtener un número binario encriptado;

(2): Determinar si los bits de mayor significación de dicho número binario encriptado tienen un valor con todos-ceros; y

(3): Reemplazar, en respuesta a dicho valor con todos-ceros, dichos bits de mayor significación de dicho número binario encriptado con los bits de mayor significación de dicha concatenación para obtener dicho número binario actualizado.

2. El método de la reivindicación 1 en donde el paso (A) comprende aplicar un primer algoritmo de registro de cambio de longitud máxima (20,30).

3. El método de la reivindicación 1 en donde el paso (A) comprende aplicar un primer algoritmo de generación de ruido seudo aleatoria.

4. El método de cualquier reivindicación precedente en donde el paso (B) comprende operar en dicha pluralidad de bits de menos significado con un segundo algoritmo de registro de cambio de longitud máxima (32).

5. El método de cualquiera de las reivindicaciones 1 a 3 en donde el paso (B) comprende operar en dicha pluralidad de bits de menos significado con un segundo algoritmo de generación de ruido seudo aleatoria.

6. El método de cualquiera de las reivindicaciones 1 a 3 en donde el paso (B) comprende operar en dicha pluralidad de bits de menos significado con un segundo algoritmo que inserta un valor de todos-ceros para dicha pluralidad de bits de menos significado una vez durante el periodo de tiempo necesario por la secuencia de actualizaciones para producir un valor repetido para dicha pluralidad de bits de menos significado.

7. El método de cualquier reivindicación precedente en donde la salida de dicho primer algoritmo nunca es un valor de todos-ceros.

8. El método de cualquier reivindicación precedente en donde dichos bits de mayor significación de dicho primer número binario comprenden los primeros 8 bits de dicho primer número binario.

9. El método de cualquier reivindicación precedente en donde dicho número binario actualizado es un número binario de 32-bits.

10. El método de cualquier reivindicación precedente en donde dicho cifrado en bloque comprende un cifrado en bloque SKIPJACK modificado (401-409 - Figura 4; 501 - Figura 5).

11. Una estación base celular, comprendiendo:

: Un circuito integrado capaz de ejecutar software; y

: un conjunto de instrucciones de software que, cuando es ejecutado por dicho circuito integrado, causa que dicho circuito integrado ejecute el método de cualquiera de las reivindicaciones 1 a 10.

12. Un sistema celular, comprendiendo:

: Una pluralidad de estaciones base celulares (12) configurada para la comunicación inalámbrica con una pluralidad de unidades de subscriptores móviles (10);

en donde cada una de dicha pluralidad de estaciones base celulares (12) se encuentran de acuerdo con la reivindicación 11; y

en donde dicho número binario actualizado sirve para autentificar cualquiera de dicha pluralidad de unidades de subscriptores móviles (10) solicitando comunicación con cualquiera de dicha pluralidad de estaciones base celulares (12).

13. El sistema celular de la reivindicación 12 en donde una señal de referencia de tiempo de sistema-amplio transporta a cada una de dicha pluralidad de estaciones base (12) una medida del tiempo de GPS.

14. Una estación base celular comprendiendo:

: Medios para aplicar un primer algoritmo a una pluralidad de bits de mayor significación de un primer número binario para obtener un segundo número binario;

: medios para operar en una pluralidad de bits de menos significado de dicho primer número binario con un segundo algoritmo para obtener un tercer número binario, y

: medios para aplicar un cifrado en bloque a la concatenación de dicho segundo y tercero números binarios para obtener un cuarto número binario;

en donde la estación base además comprende medios para reemplazar los bits de mayor significación de dicho cuarto número binario con los bits de mayor significación de dicha concatenación cuando dichos bits de mayor significación de dicho cuarto número binario tienen un valor de todos-ceros.

15. La estación base celular de la reivindicación 14 en donde dicho primer algoritmo comprende un primer registro de cambio de longitud máxima simulado (20, 30).

16. La estación base celular de la reivindicación 14 en donde dicho primer algoritmo comprende un primer algoritmo de generación de ruido seudo aleatoria.

17. La estación base celular de cualquiera de las reivindicaciones 14 a 16 en donde dicho segundo algoritmo comprende un segundo algoritmo de registro de cambio de longitud máxima simulado (32).

18. La estación base celular de cualquiera de las reivindicaciones 14 a 16 en donde dicho segundo algoritmo comprende un segundo algoritmo de generación de ruido seudo aleatoria.

19. La estación base celular de cualquiera de las reivindicaciones 14 a 16 en donde dicho segundo algoritmo inserta un valor de todos-ceros para dicha pluralidad de bits de menos significado una vez durante el periodo de tiempo necesario por la secuencia de actualizaciones para producir un valor repetido para dicha pluralidad de bits de menos significado.

20. La estación base celular de cualquiera de las reivindicaciones 14 a 19 en donde la salida de dicho primer algoritmo nunca es un valor de todos-ceros.

21. La estación base celular de cualquiera de las reivindicaciones 14 a 20 en donde dichos bits de mayor significación de dicho primer número binario comprende los primeros 8 bits de dicho primer número binario.

22. La estación base celular de cualquiera de las reivindicaciones 14 a 21 en donde dicho cuarto número binario es un número binario de 32-bits.

23. La estación base celular de cualquiera de las reivindicaciones 14 a 22 en donde dicho cifrado en bloque comprende un cifrado en bloque SKIPJACK modificado (401-409 - Figura 4; 501 - Figura 5).