ES2837138T3 - Procedimiento y sistema para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio y terminal de telecomunicación móvil - Google Patents
Procedimiento y sistema para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio y terminal de telecomunicación móvil Download PDFInfo
- Publication number
- ES2837138T3 ES2837138T3 ES17201415T ES17201415T ES2837138T3 ES 2837138 T3 ES2837138 T3 ES 2837138T3 ES 17201415 T ES17201415 T ES 17201415T ES 17201415 T ES17201415 T ES 17201415T ES 2837138 T3 ES2837138 T3 ES 2837138T3
- Authority
- ES
- Spain
- Prior art keywords
- computer system
- authentication
- user
- telecommunication terminal
- mobile telecommunication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/44—Program or device authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
- G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Telephonic Communication Services (AREA)
- Mobile Radio Communication Systems (AREA)
- Telephone Function (AREA)
Abstract
Procedimiento para la autentificación de un terminal de telecomunicación móvil (102) en un sistema informático de servicio (104) a través de una red pública (110), donde el terminal de telecomunicación móvil (102) presenta una zona de memoria asegurada (122), en la que está almacenado un primer código de autentificación (124), y donde en el sistema informático de servicio (104) está almacenado un segundo código de autentificación (128), donde el segundo código de autentificación (128) está asociado a un identificador de usuario, con las etapas siguientes: - establecimiento de una conexión de red entre un sistema informático de usuario (106) y un sistema informático de servicio (104) a través de la red pública (110), - autentificación de un usuario respecto al sistema informático de servicio (104) a través del sistema informático de usuario (106) y la conexión de red, en particular con una autentificación de 2 factores, donde un identificador de usuario se envía del sistema informático de usuario (106) al sistema informático de servicio (104) a través de la conexión de red, - envío del segundo código de autentificación (128) asociado al identificador de usuario al sistema informático de usuario (106) a través de la red de conexión, - visualización del segundo código de autentificación (128) en un dispositivo de visualización (154) del sistema informático de usuario (106), - autentificación del usuario (132) respecto al terminal de telecomunicación móvil (102) mediante la detección de información específica al usuario, - detección óptica del segundo código de autentificación (128) por el terminal de telecomunicación móvil (102) del sistema informático de usuario (106), - generación de una clave de autentificación (130) a partir del primer y el segundo código de autentificación (124, 128) por el terminal de telecomunicación móvil (102), - establecimiento de una conexión de telefonía móvil entre el terminal de telecomunicación móvil (102) y el sistema informático de servicio (104) a través de la red pública (110), - autentificación del terminal de telecomunicación móvil (102) respecto al sistema informático de servicio (102) por medio de la clave de autentificación (130) a través de la conexión de telefonía móvil, donde el segundo código de autentificación (128) es la clave de autentificación (130) cifrada con el primer código de autentificación (124) y la generación de la clave de autentificación (130) comprende el descifrado del segundo código de autentificación (128) con el primer código de autentificación (124).
Description
DESCRIPCIÓN
Procedimiento y sistema para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio y terminal de telecomunicación móvil
La presente solicitud de patente es una solicitud divisionaria de la solicitud anterior EP 17150994.6, cuyo contenido de revelación se hace objeto de la presente solicitud divisionaria en todo su alcance.
La invención se refiere a un procedimiento para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio, un terminal de telecomunicación móvil, así como un sistema para la realización de un procedimiento semejante.
Los terminales de telecomunicación móviles se vinculan con frecuencia con una cuenta de un servicio online, a fin de poder acceder al servicio a través del terminal de telecomunicación móvil. En el terminal de telecomunicación móvil está almacenado, por ejemplo, un programa a través del que se puede establecer una conexión con un sistema informático de servicio del servicio online. Por ejemplo, el servicio online puede ser una tienda online u otro proveedor de servicios.
Además, en el terminal de telecomunicación móvil pueden estar almacenadas las identidades electrónicas derivadas del usuario, donde las identidades electrónicas están almacenadas en particular en una zona de memoria asegurada.
Si un terminal de telecomunicación móvil se conecta con un servicio online o se debe almacenar una identidad derivado en el terminal de telecomunicación móvil, se debe garantizar anteriormente que el terminal de telecomunicación móvil se encuentra en la posesión del propietario legítimo de la identidad electrónica original.
Para ello se conoce que el usuario introduzca sus datos de acceso, por ejemplo, nombre de usuario y contraseña, que ha obtenido el usuario durante el registro anterior en el sistema informático de servicio, en un programa del terminal de telecomunicación móvil. El programa envía esta información al sistema informático de servicio. Si los datos de acceso coinciden con los datos de acceso almacenados en el sistema informático de servicio, el terminal de telecomunicación móvil es válido como autentificado.
Alternativamente el usuario puede fotografiar un código de barras con el terminal de telecomunicación móvil, el cual se le muestra al usuario después de un registro con un nombre de usuario y una contraseña o una autentificación de dos factores en un sistema informático de usuario. Con la información contenida en el código de barras se puede autentificar el terminal de telecomunicación móvil respecto al sistema informático de servicio. A continuación se pueden intercambiar eventualmente los datos de autentificación más seguros, válidos de forma más prolongada, que se pueden almacenar en el terminal de telecomunicación móvil.
En lugar de un código de barras también se conoce, por ejemplo, una autentificación por medio de mTAN, en la que se envía un mensaje corto con un código al terminal de telecomunicación móvil del usuario. Este procedimiento debe impedir los así denominados «ataques de hombre en el medio» o al menos los dificultan, en los que durante el proceso de registro se intenta vincular otro terminal de telecomunicación móvil como el del usuario con el sistema informático de servicio.
Pero los nombres de usuario y contraseñas se pueden espiar, adivinar o descubrir mediante prueba. Pero no es posible una autentificación de dos factores, por ejemplo, por medio de un carné personal electrónico, que ofrecería una seguridad más elevada, con un terminal de telecomunicación móvil, dado que los terminales de telecomunicación convencionales no son capaces de leer un carné personal electrónico. Por ejemplo, los terminales de telecomunicación móviles no disponen de las interfaces correspondientes. Si se usa un código de barras, por ejemplo, para la transmisión de los datos de autentificación iniciales, se debe garantizar que terceros no pueden alcanzar un conocimiento de este código de barras.
El documento DE 102011 082 101 A1 describe un procedimiento para la generación de un token (ficha) de software con las etapas siguientes: la puesta a disposición de un elemento seguro, donde en una zona de memoria protegida del elemento seguro está almacenada una clave secreta de un primer par de claves criptográficas asimétricas; establecimiento de una primera conexión asegurada criptográficamente entre un equipo electrónico y un sistema informático de servicio; transmisión de una demanda para la generación del token de software del equipo electrónico al sistema informático de servicio a través de la primera conexión; generación de una contraseña de un solo uso (One Time Password) debido a la recepción de la demanda mediante el sistema informático de servicio; registro de la contraseña de un solo uso como identificador de la primera conexión a través del sistema informático de servicio; transmisión de la contraseña de un solo uso del sistema informático de servicio al aparato electrónico a través de la primera conexión; entrega de la contraseña de un solo uso a través de una interfaz de usuario del equipo electrónico; establecimiento de una segunda conexión asegurada criptográficamente entre un sistema informático de usuario y el sistema informático de servicio; introducción de la contraseña de un solo uso en el sistema informático de usuario; transmisión de la contraseña de un solo uso introducida del sistema informático de usuario al sistema informático de servicio a través de la segunda conexión; examen por parte del sistema informático de servicio de si la contraseña de un solo uso registrada coincide con la contraseña de un solo uso recibida a través de la segunda conexión. Ahora cuando este es el caso: lectura de al menos un atributo almacenado en un token ID; generación del token de software
mediante firma del al menos un atributo y de la clave pública del primer par de claves criptográficas; transmisión del token de software a través de la primera conexión al equipo electrónico y/o transmisión del token de software a través de la segunda conexión al sistema informático de usuario.
El documento US 2013/179692 A1 describe un sistema y un procedimiento para la autentificación de tres factores. Estos comprenden una recepción de una identificación de usuario y de una contraseña, que se le envían del equipo móvil del usuario, una generación de una contraseña de un solo uso (OTP), un cifrado de la OTP y cifrado de la OTP cifrada en un código de barras bidimensional. El código de barras bidimensional de la OTP cifrada se transmiten a un equipo informático del usuario, y una imagen del código de barras bidimensional de la OTP cifrada, que se muestra en el equipo informático del usuario, se detecta utilizando el equipo móvil del usuario. El código de barras bidimensional de la OTP cifrada se decodifica utilizando el equipo móvil del usuario para obtener la OTP cifrada. La OTP cifrada se descifra y muestra con el equipo móvil del usuario. La OTP se dice entonces por el usuario y la voz del usuario y la OTP se reconocen para autentificar el usuario.
El objetivo de la invención es proporcionar un procedimiento para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio, que proporcione una elevada seguridad de la autentificación. El objetivo de la invención es además proporcionar un sistema y un terminal de telecomunicación móvil para un procedimiento semejante.
Los objetivos que sirven de base a la invención se consiguen con las características de las reivindicaciones independientes. En las reivindicaciones dependientes están especificadas formas de realización de la invención.
Las formas de realización de la invención son especialmente ventajosas, dado que se puede obtener una seguridad mejorada en la autentificación del terminal de telecomunicación móvil. Para la elaboración de la clave de autentificación se requieren dos códigos de autentificación, donde el primer código de autentificación ya está almacenado en el terminal de telecomunicación móvil o se ha transmitido anteriormente y solo se transmite el segundo código de autentificación durante el registro. El primer código de autentificación se puede almacenar, por ejemplo, en un entorno seguro en el terminal de telecomunicación móvil, de modo que se puede excluir un espionaje del primer código de autentificación durante el proceso de autentificación.
Para la generación de la clave de autentificación, que se necesita para la autentificación del terminal de telecomunicación móvil, se requiere el conocimiento de ambos códigos de autentificación así como del procedimiento para la generación de la clave de autentificación a partir de los dos códigos de autentificación. Pero dado que durante la autentificación del terminal de telecomunicación móvil solo se transmite el segundo código de autentificación, en el caso de un espionaje o un ataque de hombre en el medio no se establece ninguna conexión entre otro terminal de telecomunicación y el sistema informático de servicio. Para ello se requeriría adicionalmente el conocimiento del primer código de autentificación almacenado en el terminal de telecomunicación móvil del usuario, así como del procedimiento para la generación de la clave de autentificación a partir de los dos códigos de autentificación. El usuario debe estar así en posesión de su terminal de telecomunicación móvil y del segundo código de autentificación.
Además, mediante la visualización y detección óptica del segundo código de autentificación se realiza una primera ruptura de medios que dificulta adicionalmente un espionaje.
Bajo un “sistema informático de servicio” se entiende aquí un sistema informático, que dispone de una interfaz de red para la conexión con la red, de modo que con la ayuda de un navegador de Internet o de otro programa de aplicación se puede acceder a páginas de Internet almacenadas o generadas por el sistema informático de servicio. En particular, el sistema informático de servicio puede ser un servidor de Internet para la puesta a disposición de una aplicación de comercio electrónico o administración electrónica, en particular una tienda online o un servidor administrador.
Bajo un “sistema informático de usuario” se entiende aquí un sistema informático al que tiene acceso el usuario. En este caso se puede tratar, por ejemplo, de un ordenador personal (PC), una tablet PC o un equipo de telefonía móvil, en particular un teléfono inteligente, con un navegador de Internet habitual, como por ejemplo Microsoft Internet Explorer, Safari, Google Chrome, Firefox u otro programa de aplicación para el acceso al sistema informático de servicio. El sistema informático de usuario tiene una interfaz para la conexión con la red, donde la red puede ser una red privada o pública, en particular Internet. Según la forma de realización, esta conexión también se puede establecer a través de una red de telefonía móvil.
Bajo un “terminal de telecomunicación móvil” se entiende aquí un equipo portátil, operado por baterías con una interfaz de telefonía móvil, en particular un teléfono móvil, un teléfono inteligente o un ordenador portátil, como por ejemplo un portátil, notebook o tablet-PC con una interfaz de telefonía móvil. El terminal de telecomunicación móvil puede presentar junto a la interfaz de telefonía móvil una o varias otras interfaces de comunicación para la comunicación inalámbrica, como por ejemplo, una interfaz de Bluetooth y/o una interfaz WLAN.
Bajo un “red pública” se entiende aquí cualquier tipo de red de telecomunicación en la que se puede conectar el sistema informático de usuario, en particular el terminal de telecomunicación móvil, con una interfaz. En particular, este término comprende redes de telecomunicación, que trabajan según un estándar de telefonía móvil, como por ejemplo un estándar GSM, UMTS, CDMA o LTE. Además, son posibles redes de comunicación, como redes de Internet por cable, redes LAN inalámbricas o conexiones a través de Bluetooth u otra interfaz del terminal de
telecomunicación móvil.
A través de una red de comunicación semejante se puede establecer, por ejemplo, una conexión con Internet. Alternativamente, la conexión se puede establecer directamente a través de una red WLAN, una conexión Bluetooth u otra conexión de corto alcance.
Según formas de realización de la invención, el terminal de telecomunicación móvil presenta una zona de memoria asegurada, en la que está almacenado un primer código de autentificación. En el sistema informático de servicio está almacenado un segundo código de autentificación, donde el segundo código de autentificación está asociado a un identificador de usuario. El procedimiento presenta las etapas siguientes:
- establecimiento de una conexión de red entre un sistema informático de usuario y un sistema informático de servicio a través de la red pública,
- autentificación del usuario respecto al sistema informático de servicio a través del sistema informático de usuario y la conexión de red, en particular con una autentificación de 2 factores, donde un identificador de usuario se envía del sistema informático de usuario (106) al sistema informático de servicio (104) a través de la conexión de red, - envío del segundo código de autentificación asignado al identificador de usuario al sistema informático de usuario a través de la conexión de red,
- visualización del segundo código de autentificación en una pantalla del sistema informático de usuario, - autentificación del usuario respecto al terminal de telecomunicación móvil mediante la detección de información específica al usuario,
- detección óptica del segundo código de autentificación por el terminal de telecomunicación móvil del sistema informático de usuario,
- generación de una clave de autentificación a partir del primer y el segundo código de autentificación por el terminal de telecomunicación móvil,
- establecimiento de una conexión de telefonía móvil entre el terminal de telecomunicación móvil y el sistema informático de servicio a través de la red pública,
- autentificación del terminal de telecomunicación móvil respecto al sistema informático de servicio por medio de la clave de autentificación a través de la conexión de telefonía móvil.
Según formas de realización de la invención se realizan anteriormente las etapas siguientes:
- registro del usuario en el sistema informático de servicio,
- almacenamiento de los datos de registro, donde los datos de registro contienen un identificador de usuario, - elaboración de la clave de autentificación, así como del primer y del segundo código de autentificación, - almacenamiento del segundo código de autentificación y de la clave de autentificación o del primer y del segundo código de autentificación en una memoria del sistema informático de servicio, donde el segundo código de autentificación y la clave de autentificación o el primer y el segundo código de autentificación están asociados al identificador de usuario,
- aplicación del primer código de autentificación en una forma ópticamente legible sobre un soporte,
- envío del soporte al usuario,
- almacenamiento de un programa de aplicación sobre el terminal de telecomunicación móvil, donde el programa de aplicación contiene instrucciones de programa, donde las instrucciones de programa están configuradas para la recepción y almacenamiento del primer y del segundo código de autentificación, así como para la generación de la clave de autentificación a partir del primer y el segundo código de autentificación,
- almacenamiento del primer código de autentificación en una zona de memoria asegurada del terminal de telecomunicación móvil.
El envío del primer código de autentificación se realiza de forma física, es decir, por carta, o a través de un soporte físico, que se envía a la dirección del usuario. El primer y el segundo código de autentificación se transmiten así a través de distintas vías de transmisión y en particular en distintos instantes, por lo que se dificulta una interceptación y espionaje de los dos códigos de autentificación. El primer código de autentificación se envía, por ejemplo, directamente después del registro del usuario. El segundo código de autentificación se envía o muestra primero cuando se desea por primera vez un establecimiento de conexión entre un terminal de telecomunicación móvil y el sistema informático de servicio.
Mediante el envío del soporte y el almacenamiento del primer código de autentificación en el terminal de telecomunicación móvil se realiza una segunda ruptura de medios. Así durante la transmisión del primer código de autentificación, como también durante la transmisión del segundo código de autentificación se realiza respectivamente una ruptura de medios, donde la ruptura de medios se realiza respectivamente entre diferentes medios diferentes, a saber, en el caso del primer código de autentificación mediante la visualización sobre el sistema informática de usuario y la detección óptica mediante el terminal de telecomunicación móvil en el caso del segundo código de autentificación mediante el envío del soporte y la detección siguiente mediante el terminal de telecomunicación móvil. Gracias a las diferentes rupturas de medios se eleva adicionalmente la seguridad.
La clave de autentificación se puede almacenar de forma persistente en el sistema informático de servicio. En esta forma de realización, para la autentificación del terminal de telecomunicación móvil respecto al sistema informático de servicio por medio de la clave de autentificación solo se debe llamar la clave de autentificación almacenada en el sistema informático de servicio. Alternativamente, el primer y el segundo código de autentificación se pueden almacenar en el sistema informático de servicio y la clave de autentificación se determina primeramente después de la recepción de una solicitud de autentificación del sistema informático de servicio a partir de los dos códigos de autentificación y solo se almacena temporalmente.
Para garantizar que el soporte con el primer código de autentificación se envíe exclusivamente al usuario, durante el registro se puede realizar una autentificación del usuario respecto al sistema informático de servicio. Esto se puede realizar, por ejemplo, por medio de un token ID asociado al usuario, donde el token ID presenta una memoria electrónica no volátil con una zona de memoria protegida, en la que están almacenados los atributos, donde es posible un acceso a la zona de memoria protegida solo a través de un procesador del token ID, y donde el token ID presenta una interfaz de comunicación para la comunicación con un lector de un sistema informático de usuario. El procedimiento presenta las etapas siguientes:
- envío de una solicitud de registro del usuario del sistema informático de usuario a través de la red al sistema informático de servicio, que está acoplado con el sistema informático proveedor de ID,
- envío de una especificación de atributos del sistema informático de servicio al sistema informático proveedor de ID a través de la red, donde la especificación de atributos especifica aquellos atributos que necesita el sistema informático de servicio para el registro del usuario,
- autentificación del usuario respecto al token ID,
- autentificación del token ID respecto al sistema informático proveedor de ID,
- establecimiento de un canal de transmisión asegurado con un cifrado de extremo a extremo entre el token ID y el sistema informático proveedor de ID a través de la red,
- realización de un acceso de lectura del sistema informático proveedor de ID al token ID para la lectura de los atributos según la especificación de atributos a partir del token ID,
- transmisión de unos atributos almacenados en la zona de memoria del token ID del token ID al sistema informático proveedor de ID a través del canal de transmisión asegurado,
- entrega de los atributos leídos a partir del token ID debido a los accesos de lectura del sistema informático proveedor de ID al sistema informático de servicio.
donde los atributos contienen la dirección a la que se envía el soporte.
Bajo un “token ID” se entiende aquí en particular un equipo electrónico portátil, que presenta al menos una memoria de datos electrónica protegida para el almacenamiento de los atributos y una interfaz de comunicación para la lectura de los atributos. La zona de memoria está protegida para impedir que el atributo almacenado en la zona de memoria se modifique de manera no permitida o sin que se lea la autorización requerida para ella. En otras palabras, a la zona de memoria solo se puede acceder luego cuando se produce una autorización de acceso requerida para ello.
En particular, el token ID puede ser una memoria USB o un documento, en particular un documento de valor o seguridad. Bajo un “documento” se entienden según la invención documentos basados en papel y/o basado en plástico, como por ejemplo documentos de identificación electrónicos, en particular pasaportes, carnés de identidad, visa o carnés de conducir, documentación del vehículo, permisos del vehículo, carnés de empresa, tarjetas sanitarias u otros documentos ID, así como también tarjetas chip, medios de pago, en particular billetes, tarjetas bancarias y tarjetas de crédito, hojas de ruta u otros comprobantes de autorización, en los que está integrada una memoria de datos para el almacenamiento del al menos un atributo.
El token ID puede ser un token de hardware o un token de software, cuando este está unido de forma criptográfica a un token de hardware, es decir, por ejemplo a un así denominado elemento seguro.
En particular se puede generar un token de software unido de forma criptográfica a un elemento seguro.
Bajo un “sistema informático proveedor de ID” se entiende aquí un sistema informático, que está configurado para leer los atributos del token ID de un usuario y escribir una especificación de atributos en el token ID. Preferiblemente, el sistema informático proveedor de ID se hace funcionar en un así denominado centro de confianza, para crear un nivel de seguridad lo más alto posible. Por ejemplo, a partir del documento DE 10 2008 000 067 B4 se conoce un procedimiento para la lectura de atributos a partir de un token ID, en el que un sistema informático proveedor de ID lee a través de una red al menos un valor de atributo a partir del token ID, donde el token ID puede ser, por ejemplo, un documento de identificación. Por los documentos d E 102008 040416 A1, DE 10 2009 001 959 A1, DE 10 2009 027 676, DE 102009 027 681 A1, DE 102009027 682 A1, DE 102009 027 686 A1, DE 102009027 723 A1, DE 10 2009 046 205 A1 y DE 102010028 133 A1 se conocen perfeccionamientos de este procedimiento.
Bajo un “atributo” se entienden aquí en particular datos que se refieren al usuario del token ID o al token ID mismo, en particular los datos de personalización, como por ejemplo datos personales del usuario, una duración de validez o el editor del token ID o una información de pago, como por ejemplo datos de la tarjeta de crédito u otros datos para un sistema de pago electrónico.
Bajo una “especificación de atributos” se entiende aquí una descripción de aquellos atributos que se necesitan, por ejemplo, por un sistema informático de servicio para la prestación de un servicio. Los atributos se pueden identificar a través del nombre de campo de campos de datos, en los que están almacenados los respectivos valores de atributo, y/o a través de una red semántica, es decir, una convención, según se designan los atributos en todo el sistema.
Bajo un “lector” se entiende aquí un equipo electrónico, que posibilita un acceso de lectura y también un acceso de escritura al token ID, en particular un así denominado terminal de tarjeta chip. El lector puede formar un constituyente integral del sistema informático de usuario o estar realizado como componente separado, por ejemplo, como equipo periférico del sistema informático de usuario. En particular, el lector puede ser un así denominado lector de tarjeta chip de clase 1,2 o 3 o un lector de tarjeta chip base, estándar o de confort.
Bajo una “memoria electrónica no volátil” se entiende aquí una memoria para el almacenamiento de datos, en particular de atributos, que también se designa como memoria no volátil (NVM). En particular, en este caso puede ser una EEPROM, por ejemplo, EEPROM Flash, o de forma abreviada Flash.
Bajo una “zona de memoria protegida” se entiende aquí una zona de memoria, a la que se posibilita un acceso, es decir, un acceso de lectura o un acceso de escritura, de un procesador acoplado con la memoria solo luego cuando se cumple una condición requerida para ello. En este caso se puede tratar, por ejemplo, de una condición criptográfica, en particular una autentificación satisfactoria y/o una verificación de autorización satisfactoria.
Bajo un “procesador” se entiende aquí un circuito lógico, que sirve para la ejecución de instrucciones de programa. El circuito lógico puede estar implementado en uno o varios elementos constructivos discretos, en particular en un chip.
Los atributos designan preferiblemente el domicilio o la dirección de notificación del usuario, por lo que se garantiza que el soporte con el primer código de identificación se le envíe exclusivamente al usuario. Este puede abrir después de la recepción del soporte el primer código de barras de identificación en un entorno seguro el sobre con el soporte y detectar el primer código de autentificación con su terminal de telecomunicación móvil y almacenarlo en este. Un espionaje del primer código de autentificación se puede impedir así o al menos dificultarse claramente.
La clave de autentificación se puede generar de distinta manera por medio del código de autentificación. Solo se debe garantizar que se requieran ambos códigos de autentificación para la generación de la clave de autentificación. La generación de la clave de autentificación puede comprender, por ejemplo, la combinación del primer y del segundo código de autentificación.
Alternativamente, el código de autentificación puede ser la clave de autentificación cifrada con el primer código de autentificación y la generación de la clave de autentificación comprende el descifrado del segundo código de autentificación con el primer código de autentificación.
En particular, para la generación de la clave de autentificación se puede requerir la autentificación del usuario respecto al terminal de telecomunicación móvil, en particular respecto al programa de aplicación, donde el descifrado de la clave de autentificación se realiza, por ejemplo, por medio de un código o de una contraseña, que introduce el usuario durante la autentificación respecto al terminal de telecomunicación móvil.
El primer y/o el segundo código de autentificación se detecta preferiblemente con una interfaz óptica del terminal de telecomunicación móvil. Esto garantiza un tratamiento sencillo y evita errores de transmisión. Además, por medio de un código legible ópticamente también se pueden transmitir códigos de autentificación más complicados o más largos, por lo que se puede elevar la seguridad del procedimiento.
El segundo código de autentificación se muestra, por ejemplo, en una pantalla del sistema informático de usuario y se detecta con la interfaz óptica del terminal de telecomunicación móvil. Esto posibilita una introducción cómoda del identificador de usuario. Además, el segundo código de autentificación se puede mostrar así solo de forma temporal y borrarse después de la detección por el terminal de telecomunicación móvil, de modo que se reduce el peligro de un espionaje del segundo código de autentificación.
El segundo código de autentificación está asociado a un terminal de telecomunicación móvil, donde durante el envío de un identificador de usuario del sistema informático de usuario al sistema informático de servicio se envía un identificador de equipo del terminal de telecomunicación móvil al sistema informático de servicio, y donde el segundo código de autentificación asociado al identificador de equipo se envía al sistema informático de usuario. En esta forma de realización solo se puede autentificar un terminal de telecomunicación móvil registrado anteriormente respecto al sistema informático de servicio. Esto reduce el peligro de que el programa de aplicación con el primer código de autentificación almacenado se pueda copiar en un terminal de telecomunicación móvil que no se encuentra en posesión del usuario.
De forma complementaria, el terminal de telecomunicación móvil puede presentar un identificador de equipo y la clave de autentificación en el sistema informático de servicio está asociada al identificador de equipo del terminal de telecomunicación móvil. El identificador de equipo del terminal de telecomunicación móvil se transmite con la clave de autentificación y se realiza una autentificación del terminal de telecomunicación móvil respecto al sistema informático de servicio por medio de la clave de autentificación y del identificador de equipo. Esto garantiza igualmente que solo se pueda autentificar un terminal de telecomunicación móvil registrado anteriormente respecto al sistema informático de servicio.
Una asignación de la clave de autentificación a un identificador de equipo o un envío adicional de un identificador de equipo ofrece, por ejemplo, la ventaja de que se pueden bloquear los equipos individuales para una autentificación y por consiguiente un establecimiento de conexión con el sistema informático de servicio, mientras que con otro terminal de telecomunicación móvil registrado es posible además un uso del servicio.
Un bloqueo de un terminal de telecomunicación móvil se puede realizar, por ejemplo, en tanto que el usuario se autentifica respecto al sistema informático de servicio, en particular por medio de un token ID usado durante el registro del usuario. Después de la autentificación del usuario se puede realizar un bloqueo de un identificador de equipo y/o de una clave de autentificación para una autentificación de un terminal de telecomunicación móvil por el usuario. Gracias a la autentificación del usuario mediante su token ID se garantiza que solo el usuario legítimo pueda provocar un bloqueo de sus terminales de telecomunicación móviles.
En otro aspecto, la invención se refiere a un terminal de telecomunicación móvil para la realización de un procedimiento según la invención. El terminal de telecomunicación móvil tiene una interfaz para una red pública, una interfaz óptica para la detección del primer y del segundo código de autentificación, así como una memoria. La memoria presenta una zona de memoria protegida, en la que está almacenado el código de autentificación. Además, en la memoria está almacenado un programa de aplicación, que está configurado para la detección del primer y del segundo código de autentificación, para la autentificación del usuario, así como para la generación de la clave de autentificación a partir del primer y el segundo código de autentificación.
En otro aspecto, la invención se refiere a un sistema para la realización de un procedimiento según la invención con un terminal de telecomunicación móvil semejante, un sistema informático de usuario, así como un sistema informático de servicio, donde el sistema informático de servicio presenta una interfaz para una red pública, así como una memoria en la que están almacenados un identificador de usuario, datos de registro, un segundo código de autentificación, así como una clave de autentificación de un usuario, donde el sistema informático de servicio está configurado para el envío del segundo código de autentificación al sistema informático de usuario a través de una red pública, así como para la recepción de la clave de autentificación a través de una red móvil del terminal de telecomunicación móvil, así como para la autentificación del terminal de telecomunicación móvil por medio de la clave de autentificación.
Además, se explican formas de realización de la invención en referencia a los dibujos. En estos muestran:
Figura 1 una representación esquemática de un sistema con un terminal de telecomunicación móvil para la realización de un procedimiento para la autentificación del terminal de telecomunicación móvil en un sistema informático de servicio, y
Figura 2 un diagrama de flujo de un procedimiento para un procedimiento para la autentificación del terminal de telecomunicación móvil en un sistema informático de servicio.
En la figura 1 se muestra un sistema 100 para la realización de un procedimiento de autentificación de un terminal de telecomunicación móvil 102 en un sistema informático de servicio 104. El sistema presenta junto al terminal de telecomunicación móvil 102 y el sistema informático de servicio 104 un sistema informático de usuario 106.
El terminal de telecomunicación móvil 102 tiene al menos una interfaz de telefonía móvil 108, que puede estar configurada tanto para la comunicación a través del canal lateral de la red de telefonía móvil, en particular para la recepción de mensajes SMS, como también para la conexión con una red pública 110, en particular Internet. El terminal de telecomunicación móvil 102 puede disponer de una o varias otras interfaces de comunicación inalámbricas, como por ejemplo una interfaz WLAN 112, a través de la que se puede establecer igualmente una sesión de Internet.
El terminal de telecomunicación 102 tiene un sistema operativo 114, como por ejemplo, un sistema operativo iOS, Andoid o Windows, un dispositivo de visualización, es decir, una pantalla 116, así como una interfaz óptica 118, en particular una cámara. El terminal de telecomunicación 102 dispone además de una memoria 120, que presenta una
zona de memoria protegida 122, pudiendo tener un primer código de autentificación, así como de un programa de aplicación 126 que a partir de un primer código de autentificación 124 y un segundo código de autentificación 128 puede generar una clave de autentificación 130 y enviarla para la autentificación del terminal de telecomunicación móvil 102 al sistema informático de servicio 104.
El sistema informático de servicio 104 puede estar configurado para la recepción de un pedido o de una orden para un servicio o un producto, en particular un servicio online. Por ejemplo, un usuario 132 puede abrir online una cuenta en un banco a través de la red 110 o utilizar otro servicio financiero o bancario. El sistema informático de servicio 104 también puede estar configurado como grandes almacenes online, de modo que el usuario 132 puede adquirir online un teléfono móvil o similares. Además, el sistema informático de servicio 104 también puede estar configurado para el envío de contenidos digitales, por ejemplo, para la descarga de datos de música y/o vídeo o como servidor administrador para una administración electrónica.
El sistema informático de servicio 104 tiene para ello una interfaz de red 134 para la conexión con la red 110. Además, el sistema informático de servicio 104 tiene al menos un procesado 135 para la ejecución de instrucciones de programa 136, 138, así como una memoria 140, en la que están almacenados un identificador de usuario, datos de registro, un segundo código de autentificación, así como una clave de autentificación de un usuario. Las instrucciones de programa 136 están configuradas para la autentificación del terminal de telecomunicación móvil 102 con un procedimiento descrito a continuación. Las instrucciones de programa 138 están configuradas para la autentificación de un usuario y para la creación de una cuenta de usuario o para la generación de un identificador de usuario, de un primer y un segundo código de autentificación 124, 128, así como de una clave de autentificación 130.
El sistema informático de usuario 106 puede ser un ordenador personal, un ordenador portátil, como por ejemplo un portátil u ordenador de bolsillo, un asistente digital personal, un equipo de telecomunicación móvil, en particular un teléfono inteligente, o similares. El sistema informático de usuario 106 tiene una interfaz 142 para la red 110, un lector 144 con una interfaz 146 para la comunicación con un token ID 148, que presenta una interfaz 150 correspondiente, un dispositivo de introducción 152, así como un dispositivo de visualización 154.
Alternativamente, el sistema informático de usuario 106 con su interfaz 146 no se puede comunicar directamente con la interfaz 150, sino a través de un lector conectado a la interfaz 146 para el token ID 148. A través del lector, como por ejemplo un así denominado terminal de tarjeta chip de clase 2, también se puede realizar la introducción del PIN.
El token ID 148 tiene una memoria electrónica 156 con zonas de memoria protegidas 158, 160 y 162. La zona de memoria protegida 158 sirve para el almacenamiento de un valor de referencia, que se necesita para la autentificación del usuario 132 respecto al token ID 148. Este valor de referencia es, por ejemplo, un identificador, en particular un así denominado número de identificación personal (PIN), o datos de referencia para una característica biométrica del usuario 132, que se puede usar para la autentificación del usuario respecto al token ID 148.
La zona de memoria protegida 160 sirve para el almacenamiento de una clave privada y la zona de memoria protegida 162 sirve para el almacenamiento de atributos, por ejemplo, del usuario 132, como por ejemplo su nombre, domicilio, fecha de nacimiento, sexo, y/o de atributos que se refieren al token ID mismo, como por ejemplo, la institución que ha elaborado o emitido el token ID, la duración de validez el token ID, un identificador del token ID, como por ejemplo un número de pasaporte o un número de tarjeta de crédito.
La memoria electrónica 156 puede presentar además una zona de memoria 164 para el almacenamiento de un certificado. El certificado contiene una clave pública, que está asociada a la clave privada almacenada en la zona de memoria protegida 160. El certificado se puede haber elaborado según un estándar de infraestructura de clave pública (PKI), por ejemplo según el estándar X.509.
El certificado no debe estar memorizado forzosamente en la memoria electrónica 156 del token ID 148. Alternativa o adicionalmente, el certificado también puede estar almacenado en un servidor de directorios público.
El token ID 148 tiene un procesado 166. El procesador 166 sirve para la ejecución de instrucciones de programa 168, 170 y 172. Las instrucciones de programa 168 sirven para la autentificación de usuario, es decir, para la autentificación del usuario 132 respecto al token ID.
En una forma de realización con PIN, el usuario 132 introduce su PIN para su autentificación, por ejemplo, en el sistema informático de usuario 106. Gracias a la ejecución de las instrucciones de programa 170 se accede entonces a la zona de memoria protegida 158, para comparar el PIN introducido con el valor de referencia allí almacenado del PIN. En el caso de que el PIN introducido coincide con el valor de referencia del PIN, el usuario 132 es válido como autentificado.
Alternativamente se detecta una característica biométrica del usuario 132. Por ejemplo, el token ID 148 tiene para ello un sensor de huella digital o un sensor de huella digital está conectado con el sistema informático de usuario 106. En esta forma de realización, los datos biométricos detectados del usuario 132 se comparan mediante la ejecución de las instrucciones de programa 170 con los datos de referencia biométricos, almacenados en la zona de memoria protegida 158. En el caso de coincidencia suficiente de los datos biométricos detectados del usuario 132 con los datos de referencia biométricos, el usuario 132 es válido como autentificado.
Las instrucciones de programa 170 sirven para la ejecución de las etapas de un protocolo criptográfico referidas al token ID 148 para la autentificación de un sistema informático proveedor de ID 174 respecto al token ID 148. El protocolo criptográfico puede ser un protocolo de desafío - respuesta en base a una clave simétrica o un par de claves asimétricas.
Por ejemplo, mediante el protocolo criptográfico se implementa un procedimiento de control de accesos extendido, según está especificado para documentos de viaje legibles a máquina (machine-readable travel documents - MRTD) de la autoridad aeronáutica internacional (ICAO). Mediante la ejecución satisfactoria del protocolo criptográfico, el sistema informático proveedor de ID 174 se autentifica respecto al token ID y presenta para ello su autorización de lectura para la lectura de los atributos almacenados en la zona de memoria protegida 162. La autentificación también puede ser recíproca, es decir, el token ID 148 se debe autentificar luego respecto al sistema informático proveedor de ID 174 según el mismo u otro protocolo criptográfico.
Las instrucciones de programa 172 sirven para el cifrado de extremo a extremo de los datos transmitidos entre el token ID 148 y el sistema informático proveedor de ID 174, al menos de los atributos leídos por el sistema informático proveedor de ID 174 a partir de la zona de memoria protegida 162. Para el cifrado de extremo a extremo se puede usar una clave simétrica que se acuerda, por ejemplo, con motivo de la ejecución del protocolo criptográfico entre el token ID 148 y el sistema informático proveedor de ID 174.
El sistema informático proveedor de ID 174 tiene una interfaz de red 176 para la comunicación a través de la red 110. El sistema informático proveedor de ID 174 tiene además una memoria 178, en la que está almacenada una clave privada 180 del sistema informático proveedor de ID 174, así como el certificado correspondiente 182. Este certificado también puede ser, por ejemplo, un certificado según un estándar PKI, como por ejemplo X.509.
El sistema informático proveedor de ID 174 tiene además al menos un procesador 184 para la realización de instrucciones de programa 186 y 188. Gracias a la ejecución de las instrucciones de programa 186 se ejecutan las etapas del protocolo criptográfico referentes al sistema informático proveedor de ID 174. En conjunto, es decir, el protocolo criptográfico se implementa mediante la ejecución de las instrucciones de programa 172 por el procesador 166 del token ID 148, así como mediante la ejecución de instrucciones de programa 186 por el procesador 184 del sistema informático proveedor de ID 174.
Las instrucciones de programa 188 sirven para la implementación del cifrado de extremo a extremo en los lados del sistema informático proveedor de ID 174, por ejemplo, en base a la clave simétrica que se ha acordado con motivo de la ejecución del protocolo criptográfico entre el token ID 148 y el sistema informático proveedor de ID 174. En principio se puede utilizar cualquier procedimiento conocido previamente en sí para el acuerdo de la clave simétrica para el cifrado de extremo a extremo, como por ejemplo un intercambio de clave Diffie-Hellman.
El sistema informático proveedor de ID 174 se encuentra preferiblemente en un entorno especialmente protegido, en particular en un así denominado centro de confianza, de modo que el sistema informático proveedor de ID 174 forma en combinación con la necesidad de la autentificación del usuario 132 respecto al token ID 148, el anclaje de confianza para la autenticidad de los atributos leídos a partir del token ID 148.
Un procedimiento para la autentificación de un terminal de telecomunicación móvil 102 respecto al sistema informático de servicio 104 se describe a continuación en referencia a la figura 2.
Para utilizar un servicio del sistema informático de servicio 104, el usuario 132 se debe registrar en primer lugar en el sistema informático de servicio 104, donde en la memoria del sistema informático de servicio 104 se almacenan los datos de registro, así como el segundo código de autentificación 128 y la clave de autentificación 130 del usuario. Los datos de registro pueden contener, por ejemplo, un identificador de usuario así como una contraseña del usuario 132, con los que se puede registrar el usuario 132, por ejemplo, a través de un sistema informático de usuario 106, en el sistema informático de servicio 104.
Durante un registro del usuario se requiere examinar en primer lugar la identidad del usuario. Esto se realiza, por ejemplo, a través de una lectura de atributos a partir del token ID 148 del usuario 132.
Un procedimiento para la lectura de los atributos presenta, por ejemplo, las etapas siguientes:
- envío de una consulta de registro del usuario 132 del sistema informático de usuario 106 a través de la red 110 al sistema informático de servicio 104, que está acoplado con el sistema informático proveedor de ID 174,
- envío de una especificación de atributos del sistema informático de servicio 104 al sistema informático proveedor de ID 174 a través de la red 110, donde la especificación de atributos especifica aquellos atributos que necesita el sistema informático de servicio para el registro del usuario 132,
- autentificación del usuario 132 respecto al token ID 148,
- autentificación del token ID 148 respecto al sistema informático proveedor de ID 174,
- establecimiento de un canal de transmisión asegurado con un cifrado de extremo a extremo entre el token ID 148 y el sistema informático proveedor de ID 174 a través de la red 110,
- realización de un acceso de lectura del sistema informático proveedor de ID 174 al token ID 148 para la lectura de los atributos según la especificación de atributos a partir del token ID 148,
- transmisión de unos atributos almacenados en la zona de memoria del token ID 148 del token ID 148 al sistema informático proveedor de ID 174 a través del canal de transmisión asegurado,
- entrega de los atributos leídos a partir del token ID 148 debido a los accesos de lectura del sistema informático proveedor de ID 174 al sistema informático de servicio 104.
Los atributos contienen, por ejemplo, el nombre y la dirección de notificación del usuario 132.
Después del registro satisfactorio del usuario 132, almacenamiento de los datos de registro y la elaboración de un identificador de usuario se elaboran el primer código de autentificación 124, el segundo código de autentificación 128 y la clave de autentificación 130. El segundo código de autentificación 128, así como la clave de autentificación 130 se almacenan con el identificador de usuario del usuario 132, así como los datos de registro del usuario 132 en la memoria del sistema informático de servicio 104.
El primer código de autentificación 124 se aplica a continuación en una forma ópticamente legible sobre un soporte 190, por ejemplo, sobre una hoja de papel de carta. A continuación, el soporte 190 se envía con una carta a la dirección de notificación del usuario 132 leída por el token ID. Mediante el envío a la dirección de notificación se garantiza que el primer código de autentificación 124 se le envía solo al usuario autorizado 132.
El usuario 132 puede abrir la carta con el soporte 190 a continuación en un entorno seguro, protegido frente a miradas, y almacenar el primer código de autentificación 124 en la zona de memoria protegida de su terminal de telecomunicación móvil 102.
Para ello, el usuario 132 puede cargar un programa de aplicación 126, que se proporciona por ejemplo en el sistema informático de servicio 104, en el terminal de telecomunicación móvil 102. El programa de aplicación 126 se puede llamar a continuación y detectar el primer código de autentificación por medio de la interfaz óptica 118 y almacenarlo en la zona de memoria protegida del terminal de telecomunicación móvil 102.
La autentificación del terminal de telecomunicación móvil 102 respecto al sistema informático de servicio 104 se realiza a continuación con las etapas siguientes:
- en primer lugar se establece una conexión de red entre un sistema informático de usuario 106 y un sistema informático de servicio 104 a través de la red pública 110. El usuario se autentifica a continuación respecto al sistema informático de servicio 104, por ejemplo, en tanto que introduce su identificador de usuario y eventualmente su contraseña en el sistema informático de usuario 106, que lo envía a continuación a través de la conexión de red al sistema informático de servicio 104. Alternativamente también se puede realizar una autentificación de 2 factores del usuario, que posibilita un nivel de seguridad más elevado.
- A continuación se envía el segundo código de autentificación asociado al identificador de proceso del sistema informático de servicio 104 a través de la conexión de red al sistema informático de usuario y se muestra en el dispositivo de visualización 154 del sistema informático de usuario 106.
- Para la detección del segundo código de autentificación 128 con el terminal de telecomunicación móvil 102 se autentifica el usuario 132 respecto al terminal de telecomunicación móvil 102 mediante la detección de información específica al usuario y comienza el programa de aplicación 126. Alternativa o adicionalmente también se puede realizar una autentificación del usuario 132 respecto al programa de aplicación 126.
- A continuación el segundo código de autentificación 128 se detecta ópticamente con la interfaz óptica del terminal de telecomunicación móvil 102 por el dispositivo de visualización 154 del sistema informático de usuario 106.
- Después de la detección del segundo código de autentificación 128, el programa de aplicación 126 genera la clave de autentificación 130 a partir del primer código de autentificación 124 y del segundo código de autentificación 128.
- A continuación se establece una conexión de telefonía móvil entre el terminal de telecomunicación móvil 102 y el sistema informático de servicio 104 a través de la red pública 110 y el terminal de telecomunicación móvil 102 se autentifica respecto al sistema informático de servicio 104 por medio de la clave de autentificación 130 a través de la conexión de telefonía móvil. La autentificación satisfactoria se le muestra al usuario 132 a continuación en el dispositivo de visualización 154 del sistema informático de usuario 106.
Después de la autentificación satisfactoria del terminal de telecomunicación móvil 102, entre el terminal de telecomunicación móvil 102 y el sistema informático de servicio 104 se pueden negociar datos de acceso permanentes, seguros, que contienen, por ejemplo, la clave de autentificación 130, y utilizarse un servicio del sistema informático de
servicio 104 con el terminal de telecomunicación móvil 102.
La generación de la clave de autentificación 130 se puede realizar de distinta manera. Solo se debe garantizar que se seleccione un procedimiento en el que se requiera forzosamente el uso tanto del primer código de autentificación 124, como también del segundo código de autentificación 128. La clave de autentificación 130 se puede generar, por ejemplo, mediante combinación del primer código de autentificación 124 y del segundo código de autentificación 128. Alternativamente el segundo código de autentificación 128 puede ser la clave de autentificación 130 cifrada con el primer código de autentificación 124 y la generación de la clave de autentificación 130 comprende el descifrado del segundo código de autentificación 128 con el primer código de autentificación 124.
En la forma de realización descrita en las figuras 1 y 2 solo se usa un primer y un segundo código de autentificación 124, 128, así como una clave de autentificación 130. El programa de aplicación 126, así como el primer código de autentificación 124 se pueden cargar en distintos terminales de telecomunicación móviles 102, que se pueden autentificar a continuación con el segundo código de autentificación 128 correspondiente, así como la clave de autentificación 130 respecto al sistema informático de servicio 104.
Para aumentar la seguridad del procedimiento también es concebible que para cada terminal de telecomunicación móvil 102 se genere una clave de autentificación separada 130 por el sistema informático de servicio 104. De este modo, por ejemplo, en el caso de una pérdida de una terminal de telecomunicación móvil 102, se puede bloquear este terminal de telecomunicación móvil 102, en tanto que la clave de autentificación 130 correspondiente se bloquea mientras que los otros terminales de telecomunicación móvil 102 se pueden autentificar con su clave de autentificación individual 130 en adelante respecto al sistema informático de servicio.
La clave de autentificación 130 se puede componer en una forma de realización semejante, por ejemplo, de un primer código de autentificación 124 y segundo código de autentificación 128 distinto. Para un nuevo terminal de telecomunicación móvil 102 se elabora una nueva clave de autentificación 130, así como un nuevo código de autentificación 128, que se le muestra al usuario 132 y que puede detectar el usuario 132 con el nuevo terminal de telecomunicación móvil 102.
Opcionalmente, el usuario también puede transmitir durante al registro un identificador de equipo del terminal de telecomunicación móvil 102, que se almacenan en los datos de registro. El programa de aplicación 128 puede leer el identificador de equipo y transmitirlo con la clave de autentificación. Solo cuando coinciden el identificador de equipo y la clave de autentificación 130, se realiza una autentificación del terminal de telecomunicación móvil 102.
Alternativamente, la clave de autentificación 130 también se puede generar utilizando el identificador de equipo, de modo que ya se puede realizar una autentificación unívoca de un terminal de telecomunicación móvil individual 102 mediante la clave de autentificación 130.
Para un bloqueo de una clave de autentificación 130 o un identificador de equipo se requiere preferiblemente que el usuario se autentifique respecto al sistema informático de servicio 104, por ejemplo, de la manera descrita arriba por medio del token ID 148 usado durante el registro y/o con su identificador de usuario.
El procedimiento descrito proporciona una elevada seguridad durante la autentificación de una terminal de telecomunicación móvil 102, dado que se requiere el conocimiento de los dos códigos de autentificación 124, 128, donde los códigos de autentificación 124, 128 le llegan al usuario 132 a través de distintas vías de comunicación o transporte y en distintos instantes. Dado que el primer código de autentificación 124 se puede leer en un entorno asegurado, protegido frente a miradas y almacenarse en el terminal de telecomunicación móvil 102, se impide o al menos se dificulta de forma fiable un espionaje del primer código de autentificación 124. El conocimiento del segundo código de autentificación, que se muestra directamente durante el procedimiento de autentificación o durante el procedimiento de acoplamiento, no es suficiente por sí solo para una autentificación del terminal de telecomunicación móvil 102.
Después del registro satisfactorio del usuario 132 se puede realizar la autentificación de un terminal de telecomunicación móvil 102 con cada sistema informático de usuario 106, que presenta un dispositivo de visualización 154, así como una interfaz 142 para la red pública 110. Solo se requiere que se establezca una conexión de red con el sistema informático de servicio 104 y el segundo código de autentificación 128 se puede visualizar con el dispositivo de visualización.
Lista de referencias
100 Sistema
102 Terminal de telecomunicación
104 Sistema informático de servicio
135 Procesador del sistema informático de servicio
106 Sistema informático de usuario
Interfaz
Red
Interfaz
Sistema operativo
Red
Pantalla
Interfaz
Memoria
Zona de memoria
Primer código de autentificación Programa de aplicación
Segundo código de autentificación Clave de autentificación
Usuario
Interfaz
Instrucciones de programa Instrucciones de programa Memoria
Interfaz
Lector
Interfaz
Token ID
Interfaz
Dispositivo de introducción Dispositivo de visualización Memoria
Zona de memoria
Zona de memoria
Zona de memoria
Zona de memoria
Procesador
Instrucciones de programa Instrucciones de programa Instrucciones de programa Sistema informático proveedor de ID Interfaz
Memoria
Clave
Certificado
Procesador Instrucciones de programa Instrucciones de programa Soporte
Claims (10)
1. Procedimiento para la autentificación de un terminal de telecomunicación móvil (102) en un sistema informático de servicio (104) a través de una red pública (110),
donde el terminal de telecomunicación móvil (102) presenta una zona de memoria asegurada (122), en la que está almacenado un primer código de autentificación (124), y
donde en el sistema informático de servicio (104) está almacenado un segundo código de autentificación (128), donde el segundo código de autentificación (128) está asociado a un identificador de usuario,
con las etapas siguientes:
- establecimiento de una conexión de red entre un sistema informático de usuario (106) y un sistema informático de servicio (104) a través de la red pública (110),
- autentificación de un usuario respecto al sistema informático de servicio (104) a través del sistema informático de usuario (106) y la conexión de red, en particular con una autentificación de 2 factores, donde un identificador de usuario se envía del sistema informático de usuario (106) al sistema informático de servicio (104) a través de la conexión de red,
- envío del segundo código de autentificación (128) asociado al identificador de usuario al sistema informático de usuario (106) a través de la red de conexión,
- visualización del segundo código de autentificación (128) en un dispositivo de visualización (154) del sistema informático de usuario (106),
- autentificación del usuario (132) respecto al terminal de telecomunicación móvil (102) mediante la detección de información específica al usuario,
- detección óptica del segundo código de autentificación (128) por el terminal de telecomunicación móvil (102) del sistema informático de usuario (106),
- generación de una clave de autentificación (130) a partir del primer y el segundo código de autentificación (124, 128) por el terminal de telecomunicación móvil (102),
- establecimiento de una conexión de telefonía móvil entre el terminal de telecomunicación móvil (102) y el sistema informático de servicio (104) a través de la red pública (110),
- autentificación del terminal de telecomunicación móvil (102) respecto al sistema informático de servicio (102) por medio de la clave de autentificación (130) a través de la conexión de telefonía móvil,
donde el segundo código de autentificación (128) es la clave de autentificación (130) cifrada con el primer código de autentificación (124) y la generación de la clave de autentificación (130) comprende el descifrado del segundo código de autentificación (128) con el primer código de autentificación (124).
2. Procedimiento según la reivindicación 1, con las etapas siguientes:
- registro del usuario (132) en el sistema informático de servicio (104),
- almacenamiento de los datos de registro, donde los datos de registro contienen un identificador de usuario, - elaboración de la clave de autentificación (130), así como del primer y del segundo código de autentificación (124, 128),
- almacenamiento del segundo código de autentificación (128) y de la clave de autentificación (130) o del primer y del segundo código de autentificación (124, 128) en una memoria (140) del sistema informático de servicio (104), donde el segundo código de autentificación (128) y la clave de autentificación (130) o el primer y el segundo código de autentificación (124, 128) están asociados al identificador de usuario,
- aplicación del primer código de autentificación (124) en una forma ópticamente legible sobre un soporte (190), - envío del soporte (190) al usuario (132),
- almacenamiento de un programa de aplicación (126) sobre el terminal de telecomunicación móvil (102), donde el programa de aplicación (126) contiene instrucciones de programa, donde las instrucciones de programa están configuradas para la recepción y almacenamiento del primer y del segundo código de autentificación (124, 128), así como para la generación de la clave de autentificación (130) a partir del primer y el segundo código de autentificación (124, 128),
- almacenamiento del primer código de autentificación (124) en una zona de memoria asegurada (122) del terminal de telecomunicación móvil (102).
3. Procedimiento según la reivindicación 2, donde el registro del usuario se realiza por medio de un token ID (148) asociado al usuario, donde el token ID (148) presenta una memoria electrónica no volátil (156) con una zona de memoria protegida (162), en la que están memorizados los atributos, donde un acceso a la zona de memoria protegida (156) solo es posible a través de un procesador (166) del token ID (148), y donde el token ID (148) presenta una interfaz de comunicación (150) para la comunicación con un lector (144) de un sistema informático de usuario (106), donde el procedimiento presenta las etapas siguientes:
- envío de una solicitud de registro del usuario (132) del sistema informático de usuario (106) a través de la red (110) al sistema informático de servicio (104), que está acoplado con el sistema informático proveedor de ID (174),
- envío de una especificación de atributos del sistema informático de servicio (104) al sistema informático proveedor de ID (174) a través de la red (110), donde la especificación de atributos especifica aquellos atributos que necesita el sistema informático de servicio para el registro del usuario (132),
- autentificación del usuario (132) respecto al token ID (148),
- autentificación del token ID (148) respecto al sistema informático proveedor de ID (174),
- establecimiento de un canal de transmisión asegurado con un cifrado de extremo a extremo entre el token ID (148) y el sistema informático proveedor de ID (174) a través de la red (110),
- realización de un acceso de lectura del sistema informático proveedor de ID (174) al token ID (148) para la lectura de los atributos según la especificación de atributos a partir del token ID (148),
- transmisión de unos atributos almacenados en la zona de memoria del token ID (148) del token ID (148) al sistema informático proveedor de ID (174) a través del canal de transmisión asegurado,
- entrega de los atributos leídos a partir del token ID (148) debido a los accesos de lectura del sistema informático proveedor de ID (174) al sistema informático de servicio (104),
donde los atributos contienen la dirección a la que se envía el soporte (190).
4. Procedimiento según cualquiera de las reivindicaciones anteriores, donde la generación de la clave de autentificación (130) comprende la combinación del primer y del segundo código de autentificación (124, 128).
5. Procedimiento según cualquiera de las reivindicaciones anteriores, donde el primer y/o el segundo código de autentificación (124, 128) se detectan con una interfaz óptica (112) del terminal de telecomunicación móvil (102).
6. Procedimiento según cualquiera de las reivindicaciones anteriores, donde el segundo código de autentificación (128) está asociado a un terminal de telecomunicación móvil (102), donde durante el envío de un identificador de usuario del sistema informático de usuario (106) al sistema informático de servicio (104) se envía el identificador de equipo del terminal de telecomunicación móvil (102) al sistema informático de servicio (104), y donde el segundo código de autentificación (128) asociado al identificador de equipo se envía al sistema informático de usuario (106).
7. Procedimiento según cualquiera de las reivindicaciones anteriores, donde el terminal de telecomunicación móvil (102) presenta un identificador de equipo y la clave de autentificación (130) en el sistema informático de servicio (104) está asociada a un identificador de equipo del terminal de telecomunicación móvil (102), donde el identificador de equipo del terminal de telecomunicación móvil (102) se transmite con la clave de autentificación (130) y se realiza una autentificación del terminal de telecomunicación móvil (102) respecto al sistema informático de servicio (104) por medio de la clave de autentificación (130) y del identificador de equipo.
8. Procedimiento según cualquiera de las reivindicaciones anteriores, donde se realiza una autentificación del usuario (132) respecto al sistema informático de servicio (104), en particular por medio de un token ID (148) usado durante el registro del usuario (132), donde después de la autentificación del usuario (132) se realiza un bloqueo de un identificador de equipo y/o de una clave de autentificación (130) para una autentificación de un terminal de telecomunicación móvil (102) por el usuario (132).
9. Terminal de telecomunicación móvil (102) para la realización de un procedimiento según cualquiera de las reivindicaciones anteriores, donde el terminal de telecomunicación móvil (102) presenta una interfaz (108) para una red pública (110), una interfaz óptica (112) para la detección del primer y del segundo código de autentificación (124, 128), así como una memoria (120), donde la memoria (120) presenta una zona de memoria protegida (122) en la que está almacenado el primer código de autentificación (124), donde en la memoria (120) está almacenado un programa de aplicación (126) que está configurado para la detección del primer y del segundo código de autentificación (124, 128), para la autentificación del usuario (132), para la generación de la clave de autentificación (130) a partir del
primer y el segundo código de autentificación (124, 128), así como para el envío de la clave de autentificación (130) al sistema informático de servicio (104) a través de la red (110).
10. Sistema (100) para la realización de un procedimiento según cualquiera de las reivindicaciones 1 a 8, con un terminal de telecomunicación móvil (102) según la reivindicación 9, un sistema informática de usuario (106), así como un sistema informático de servicio (104), donde el sistema informático de servicio (104) presenta una interfaz (134) para una red pública (110), así como una memoria (140) en la que están almacenados un identificador de usuario, datos de registro, un segundo código de autentificación (128), así como una clave de autentificación (130) de un usuario (132), donde el sistema informático de servicio (104) está configurado para enviar el segundo código de autentificación (128) al sistema informático de usuario (106) a través de la red pública (110), así como para la recepción de la clave de autentificación (130) a través de una red móvil del terminal de telecomunicación móvil (102), así como para la autentificación del terminal de telecomunicación móvil (102) por medio de la clave de autentificación recibida (130).
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| DE102016202262.8A DE102016202262A1 (de) | 2016-02-15 | 2016-02-15 | Verfahren und System zur Authentifizierung eines mobilen Telekommunikationsendgeräts an einem Dienst-Computersystem und mobilen Telekommunikationsendgerät |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| ES2837138T3 true ES2837138T3 (es) | 2021-06-29 |
Family
ID=57799560
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| ES17201415T Active ES2837138T3 (es) | 2016-02-15 | 2017-01-11 | Procedimiento y sistema para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio y terminal de telecomunicación móvil |
Country Status (3)
| Country | Link |
|---|---|
| EP (2) | EP3319003B1 (es) |
| DE (1) | DE102016202262A1 (es) |
| ES (1) | ES2837138T3 (es) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE102017218329A1 (de) * | 2017-10-13 | 2019-04-18 | Bayerische Motoren Werke Aktiengesellschaft | Verfahren und System zum Steuern des Zugangs zu einer authentifizierungsbehafteten Funktion |
| CN111414604B (zh) * | 2019-01-08 | 2023-10-03 | 阿里巴巴集团控股有限公司 | 认证方法、设备、系统及存储介质 |
| CN113569210A (zh) * | 2021-07-09 | 2021-10-29 | 远光软件股份有限公司 | 分布式身份认证方法、设备访问方法及装置 |
| CN113612887B (zh) * | 2021-08-30 | 2023-01-10 | 广西爱学生教育科技有限公司 | 一种基于家庭与学校共同管理移动终端的管控系统及方法 |
Family Cites Families (17)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20100024857A1 (en) * | 2003-10-10 | 2010-02-04 | Millennial Medical Equipment, Llc | Crutch |
| DE102006025763A1 (de) * | 2006-05-31 | 2007-12-06 | Siemens Ag | Verfahren zur Identifikation eines Patienten zum späteren Zugriff auf eine elektronische Patientenakte des Patienten mittels einer Kommunikationseinrichtung einer anfragenden Person |
| DE102008000067C5 (de) | 2008-01-16 | 2012-10-25 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| DE102008040416A1 (de) | 2008-07-15 | 2010-01-21 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| DE102009001959A1 (de) | 2009-03-30 | 2010-10-07 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token über eine Mobilfunkverbindung |
| DE102009027682A1 (de) | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Verfahren zur Erzeugung eines Soft-Tokens |
| DE102009027676A1 (de) | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Kommunikationsverfahren, Computerprogrammprodukt, Vorrichtung und Computersystem |
| DE102009027681A1 (de) | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Verfahren und Lesen von Attributen aus einem ID-Token |
| DE102009027686A1 (de) | 2009-07-14 | 2011-01-20 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| DE102009027723A1 (de) | 2009-07-15 | 2011-01-27 | Bundesdruckerei Gmbh | Verfahren zum Lesen von Attributen aus einem ID-Token |
| DE102009046205A1 (de) | 2009-10-30 | 2011-05-12 | Bundesdruckerei Gmbh | Verfahren zur Erzeugung einer Web-Seite |
| DE102010028133A1 (de) | 2010-04-22 | 2011-10-27 | Bundesdruckerei Gmbh | Verfahren zum Lesen eines Attributs aus einem ID-Token |
| US20120323717A1 (en) * | 2011-06-16 | 2012-12-20 | OneID, Inc. | Method and system for determining authentication levels in transactions |
| DE102011082101B4 (de) | 2011-09-02 | 2018-02-22 | Bundesdruckerei Gmbh | Verfahren zur Erzeugung eines Soft-Tokens, Computerprogrammprodukt und Dienst-Computersystem |
| US8862888B2 (en) * | 2012-01-11 | 2014-10-14 | King Saud University | Systems and methods for three-factor authentication |
| DE102014009242A1 (de) * | 2014-06-20 | 2015-12-24 | Wabco Gmbh | Verfahren zum Aufbau und zum Betrieb eines drahtlosen Netzwerks |
| DE102014114432B4 (de) * | 2014-09-08 | 2019-10-02 | Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V. | Verfahren, Vorrichtung und Computerprogramm zum Kontrollieren eines Zugriffsauf einen Service innerhalb eines Netzwerkes |
-
2016
- 2016-02-15 DE DE102016202262.8A patent/DE102016202262A1/de not_active Withdrawn
-
2017
- 2017-01-11 EP EP17201415.1A patent/EP3319003B1/de active Active
- 2017-01-11 ES ES17201415T patent/ES2837138T3/es active Active
- 2017-01-11 EP EP17150994.6A patent/EP3206151B1/de active Active
Also Published As
| Publication number | Publication date |
|---|---|
| EP3206151B1 (de) | 2018-10-03 |
| DE102016202262A1 (de) | 2017-08-17 |
| EP3206151A1 (de) | 2017-08-16 |
| EP3319003A1 (de) | 2018-05-09 |
| EP3319003B1 (de) | 2020-09-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| ES2826599T3 (es) | Procedimiento para la generación de una firma electrónica | |
| ES2753964T3 (es) | Procedimiento para generar un software token, producto de programa informático y sistema informático de servicio | |
| ES2680152T3 (es) | Método y aparato de autenticación conveniente para el usuario usando una aplicación de autenticación móvil | |
| ES2816324T3 (es) | Método que usa un único dispositivo de autenticación para autenticar a un usuario a un proveedor de servicios entre una pluralidad de proveedores de servicios y dispositivo para realizar dicho método | |
| JP5601729B2 (ja) | 移動無線機の移動無線網へのログイン方法 | |
| ES2456815T3 (es) | Procedimientos de autenticación de los usuarios en sistemas de procesamiento de datos | |
| ES2626064T3 (es) | Procedimiento y sistema para autenticar a un usuario que utiliza un dispositivo móvil y por medio de certificados | |
| ES2951585T3 (es) | Autenticación de transacciones usando un identificador de dispositivo móvil | |
| ES2739896T5 (es) | Acceso seguro a datos de un dispositivo | |
| ES2779750T3 (es) | Sistema de firma electrónica para un documento electrónico que utiliza un circuito de autenticación de terceros | |
| US10693648B2 (en) | System and method for dynamic grid authentication | |
| US20160316367A1 (en) | Method and system for secure peer-to-peer mobile communications | |
| US20140093144A1 (en) | More-Secure Hardware Token | |
| ES2837138T3 (es) | Procedimiento y sistema para la autentificación de un terminal de telecomunicación móvil en un sistema informático de servicio y terminal de telecomunicación móvil | |
| US11636478B2 (en) | Method of performing authentication for a transaction and a system thereof | |
| US10147092B2 (en) | System and method for signing and authenticating secure transactions through a communications network | |
| KR100548638B1 (ko) | 스마트카드를 이용한 원 타임 패스워드 생성 및 인증방법그리고 이를 위한 스마트카드 | |
| US20170005800A9 (en) | Reading of an attribute from an id token | |
| ES2773705T3 (es) | Método para proporcionar firmas digitales seguras | |
| ES2758706T3 (es) | Métodos y sistemas para la transmisión segura de información de identificación a través de redes públicas | |
| CN104618307A (zh) | 基于可信计算平台的网银交易认证系统 | |
| WO2022096717A1 (en) | Digital signing of a data structure | |
| ES2923919T3 (es) | Protección de una comunicación P2P | |
| ES2603585T3 (es) | Sistema y procedimiento de transacción segura en línea | |
| ES2826601T3 (es) | Procedimiento para la generación de una firma electrónica |