HUT77782A - Eljárás és rendszer helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, valamint információbeviteli eszköz a kommunikációs hálózathoz - Google Patents

Description

Eljárás és rendszer helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, valamint információ beviteli eszköz a kommunikációs hálózathoz

A találmány elsősorban olyan eljárásra és rendszerre vonatkozik, amellyel egy helyhez nem kötött felhasználót a kommunikációs hálózatban nagy biztonsággal tudunk azonosítani. Ezen belül a találmány tárgya egyrészt eljárás, másrészt rendszer helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, amelyben több, tartományokká vagy alhálózatokká csoportosított elosztott szekció van kialakítva, és minden egyes felhasználónak azonosítója és jelszava vagy más titkos feljogosító adata van, és az azonosító és a jelszó a felhasználó saját tartományában kerül eltárolásra, és az eljárás során előnyösen időintervallum jelzéssel a felhasználó idegen tartományban végzett adatbevitelét szinkronizáljuk saját otthoni tartományával, továbbá a találmány tárgya hordozható adatbeviteli eszköz, elsősorban aktív memóriakártya a javasolt eljárásban való felhasználásra.

Napjaink távközlési hálózataiban a hálózati felhasználók mobilitása rövid időn belül fontos és népszerű jellemzővé lépett elő, elsősorban a vezeték nélküli vagy cellás hálózatokban. Ez a mobilitás hasznos és előnyös, azonban a megnövekedett felhasználói mobilitás számos lényeges biztonsági vonatkozású kérdést és meggondolást vet fel. Az egyik ilyen lényeges kérdés a felhasználó engedélyezése vagy elfogadása, egy másik lényeges kérdést jelent a mobil felhasználó mozgásainak a nyomon követése és pillanatnyi helyzetének az ismerete.

Mobil környezetekben jelentkező jellemző szituáció, ha egy egyén, például egy felhasználó, vagy valamilyen eszköz, amelyet egy meghatározott saját hazai tartományban regisztráltunk, egy attól eltérő, azaz idegen tartományban jelentkezik be. Vélhetőleg a felhasználónak ezzel az a szándéka, hogy ebben a számára nem hazai tartományban bizonyos szolgálatokat vegyen igénybe. Mivel ez a felhasználó az idegen tartomány számára sem ismert, azonosítania kell magát és megbízhatóságáról vagy elfogadhatóságáról az idegen tartomány felügyeletének is meg kell bizonyosodnia. Jelen leírásunkban ezt a bejelentkezési műveletet a szakterületen szokásos módon azonosításként (autentizálásként) nevezzük. Az egyedüli alany természetesen, amely képes a felhasználó azonosítására és pillanatnyi állapotára vonatkozó információt adni, az a felhasználó saját otthoni tartományának a felügyelete. Ennek a problémának a megoldására számos megoldás ismert a szakirodalomból,

-2* melyek közül néhányat pontosabban is megnevezünk. Az azonosítás önmaga azonban nem képezi találmányunk tárgyát.

A felhasználói mobilitásból természetesen más jellegű, biztonsági vonatkozású kérdések is adódnak. Egyrészt jelentkezik a felhasználó kilétének és mozgásának a bizalmas természetű jellege. Ideális esetben kizárólag a felhasználó otthoni tartományának felügyelete lehet az egyetlen, aki információval rendelkezik a mobil felhasználó tervezett útvonaláról és pillanatnyi állapotáról. Az alábbiakban azt az egy mobil felhasználó azonosságának megállapítására vonatkozó eljárást, amelynek során meghatározzuk, hogy kicsoda az a felhasználó, amely egy kiválasztott tartományban bizonyos szolgáltatásokat próbál elérni, identifikációnak nevezzük.

Ideális esetben magán a felhasználón, valamint a felhasználó hazai tartományának, azaz a hálózat azon alhálózatának vagy részlegének a felelős felügyeletén kívül, amelyben a felhasználó általában működik és dolgozik, senki más nem tudhatja a mobil felhasználó tényleges kilétét és/vagy pillanatnyi helyzetét. A felhasználói mobilitást támogató jelenlegi környezetek ezt a problémát vagy egyáltalán nem veszik figyelembe, vagy megoldásaikat a felhasználó személyes készülékének hardver tulajdonságaira alapozzák.

Általánosságban véve elmondhatjuk, hogy ennek az ismertetett problémának a megszüntetésére vonatkozó ismert megoldások a jelenlegi korszerű mobil vagy cellás architektúrájú rendszerekben vagy nem megfelelőek, vagy túlságosan specifikusak ahhoz, hogy az alább részletezett okok következtében képesek legyenek biztonságos identifikációt mások számára hozzáférhetetlenül, kellő titkossággal megvalósítani.

A jelenleg hozzáférhető egyik megoldást M.Rachnema: „OverView of the GSM System and Protocol Architecture”, IEEE Communications Magaziné, April 1993., Vol. 31, No. 4, 92-101 oldalain ismerhetjük meg. Ebben az úgynevezett GSM rendszerben a mobil felhasználóhoz automatikusan egy ideiglenes identitást rendelnek (TMSI), amint a felhasználó egy idegen tartományban megjelenik. Ezt az ideiglenes identitást azonban csak azután rendelik a felhasználóhoz, miután annak kezdeti azonosítása megtörtént az idegen tartományban, és a tartomány által lefolytatott művelet során a felhasználó tényleges identitása • · ·

-3 (GSM szakkifejezéssel IMSI) kódolatlanul kerül továbbításra és így azt illetéktelen behatoló könnyen felismerheti és saját céljaira felhasználhatja.

Egy másik megoldást ismertet a „Cellular Digital Packet Data (CDPD) System Specification”, Release 1.0, 19. July 1993, CDPD Industry Input Coordinator, Costa Mesa, California, USA, dokumentum, amelyet úgynevezett CDPD, azaz Cellular Digital Packet Data rendszerekben használnak. A CDPD rendszer által végzett művelet jóval biztonságosabbnak tekinthető, mint a fenti GSM rendszerben ismertetett megoldás. A CDPD rendszerben, mielőtt a mobil felhasználó közli kilétét, egy Diffie-Hellman féle protokollt állít be a helyi, azaz idegen tartomány felügyelővel. Ezt a típusú protokollt részletesebben is megismerhetjük W. Difiié és M. Hellman: „ New Directions in Cryptography”, IEEE Transactions on Information Theory”, November 1976, Vol. 22, No. 6. 644-654. oldal, művéből. Ennek eredményeképpen mindkét fél ugyanazt a titkos kulcsot fogja megosztva használni. Ezzel a kulccsal kódolva aztán a mobil felhasználó elküldi identitás információit az idegen tartomány felügyeletéhez.

Jóllehet ez a módszer sokkal biztonságosabb, mint azt a GSM rendszernél tapasztaltuk, még mindig van két fó hiányossága. Először, lehetővé teszi a helyi, azaz a mobil felhasználó számára idegen tartomány felügyeletnek, hogy a mobil felhasználó tényleges kilétét megtudja. A CDPD rendszer kontextusában ez önmagában nem egy nagy probléma. Azonban ideális esetben egy mobil felhasználó valós kilétét még a helyi, a felhasználó számára idegen tartomány felügyeletnek sem kellene megtudnia. Elegendő meghatározni kilétét és a pillanatnyi helyét, ha a felhasználó saját tartomány felügyelete a felhasználót hitelesítette. Másodszor, további probléma jelentkezik az alkalmazott Diffie-Hellman-féle titkosítási kulcs természetéből fakadóan. Ennek a protokollnak az a feladata, hogy valós időben titkos kulcsot hozzon létre. Ez viszont lehetővé teszi egy illetéktelen behatoló számára, hogy úgy lépjen fel, mintha ő lenne a felhasználó saját tartomány felügyelete, és így belépjen a kulcs protokoll létrehozási folyamatába, és így hozzájusson a megosztott kulcshoz. Ha a mobil felhasználó ezek után továbbítja tényleges kilétét úgy, hogy ugyanazzal a kulccsal kódolja az információt, az illetéktelen behatolónak nincs más dolga, mint hogy ezt az információt a kulcs segítségével egyszerűen dekódolja.

···· ····

-4Más javaslatot ismerhetünk meg az „R. Moldva, D. Sámfát, G. Tsudik: „Authentication of Mobile Users”, IEEE Network, Special Issue on Mobile Communication, Spring 1994, kiadvány 25-35. oldalán, valamint M. Beller, L. Chang, Y. Yacobi: „Privacy and Authentication on a Portable Communications System”, IEEE JSAC, Special Issue on Wireless Personal Communications, August 1993, Vol. 11, No. 6., kiadvány 821-829. oldalán. Ennek egyik, a kódoló kulcs elosztásra vonatkozó szempontjára a PCT/EP93/01989 számú szabadalmi leírásban, másik, a jelszó vagy kulcs módosítására vonatkozó szempontjára pedig a PCT/EP93/02540 számú szabadalmi leírásban olvashatunk észrevételeket.

Összefoglalva, lényegében három fó szempont alapján kell a helyhez nem kötött felhasználó identitásával és mozgásának bizalmas jellegével kapcsolatos problémákat rendszereznünk.

A titkos identitás megtartásával összefüggő fó és központi szempont az, hogy elkerüljük, hogy bárki ki tudja figyelni a mobil felhasználó valamint egy meghatározott otthoni tartományban regisztrált felhasználó közötti társalgást, más szavakkal a fó feladat a felhasználói identitás bizalmas jellegének megtartása. A legegyszerűbb, inkább intuitív megoldás az, hogy minden mobil felhasználóhoz vagy eszközhöz egy utazási alias nevet rendelünk, ha az elhagyja az otthoni tartományt. Mint később bemutatjuk, ezt az alias nevet állandósíthatjuk vagy folyamatosan módosíthatjuk. Ennek alapján találmányuk egyik legfontosabb célja olyan eljárás és rendszer létrehozása, amelyik alkalmas arra és lehetővé teszi, hogy ilyen alias neveket használjunk.

A második legfontosabb feladatunk az, hogy az idegen tartományokat „tudatlanságban” tartsuk. Nem feltétlenül szükséges egy idegen tartomány számára, hogy a felhasználó valós kilétét tudja, számára az említett alias név teljesen elegendő. A legtöbb esetben ezt az alias nevet az otthoni tartomány felügyeletnek igazolnia kell. Ennek alapján találmányunk egy további fontos célja, hogy olyan rendszert és eljárást alakítsunk ki, amely lehetővé teszi egy felhasználó identitására vonatkozó információ eljutását a hálózaton keresztül az idegen tartományokhoz. (Akár használunk alias neveket, akár nem, lehetnek valós okai annak, hogy egy idegen tartomány felügyelete miért kívánja tudni az illető felhasználó tényleges kilétét. Ilyen esetben a felhasználó házi, saját tartományának felügyelete a felhasználó

-5identitására vonatkozó információt titkos módon megadhatja, feltételezve természetesen, hogy a két tartomány felügyelete a biztonságos és titkos kommunikációra vonatkozóan már korábban, előre megállapodott. Azonban ilyen esetekben sem természetes, hogy egy idegen tartomány már eleve tudni akarja a felhasználó tényleges kilétét).

Harmadik legfontosabb feladatunk az, hogy megakadályozzuk az identitás nyomon követését. Még abban az esetben is, ha egy mobil felhasználó ilyen említett utazó alias nevet használ, mozgását egy a rendszerben otthonos illetéktelen behatoló nyomon tudja követni. Ez elsősorban olyan esetekben lehetséges, ha az alias név statikus, például egy felhasználó egész utazásának időtartamára előre rögzített, vagy ami még veszélyesebb, hogy a felhasználóhoz permanens módon hozzá van rendelve. Ez utóbbi típusú alias nevet a hosszú időn keresztül érvényes jelszavakhoz hasonlíthatjuk: ha egyszer a jelszót megfejtették, a felhasználó kilétét valamint mozgását hosszú időre megismerték és ez veszélyt jelenthet. Ennek alapján találmányunk további célja, hogy meggátoljuk a nyomon követést olyan rendszer megvalósításával, amelyet alkalmassá teszünk arra, hogy az alias neveket gyakran cserélje az információ áramlás tiltása vagy akadályozása nélkül.

Találmányunk a fent felsorolt kérdésekre kínál megoldást.

A kitűzött feladat megoldása során olyan eljárást valamint rendszert vettünk alapul helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, amelyben több, tartományokká vagy alhálózatokká csoportosított elosztott szekció van kialakítva, és minden egyes felhasználónak azonosítója és jelszava vagy más titkos feljogosító adata van, és az azonosító és a jelszó a felhasználó saját tartományában kerül eltárolásra, és az eljárás során előnyösen időintervallum jelzéssel a felhasználó idegen tartományban végzett adatbevitelét szinkronizáljuk saját otthoni tartományával. Az eljárást a találmány értelmében úgy fejlesztettük tovább, hogy egy titkos függvény előnyösen egyirányú függvény segítségével kódoljuk az azonosítót, a szinkronizáció elvégzését jelző időpontot, és a felhasználó jelszavát vagy más titkos feljogosító adatát, és ezekből kódolt üzenetet képezünk, majd az idegen tartománynak, amelyből a felhasználó kommunikációt kezdeményezett, jelezzük a felhasználó saját tartományát, majd a kódolt üzenetet továbbítjuk a felhasználó saját tartományába, és a felhasználó saját tartományában ebből a kódolt üzenetből megállapítjuk a felhasználó valódi kilétét. Ennek megfelelően a rendszernek újszerű módon egy titkos,

-6előnyösen egyirányú függvény segítségével az azonosítót, a szinkronizáció elvégzését jelző időpontot, és a felhasználó jelszavát vagy más titkos feljogosító adatát kódoló eszköze, ezekből kódolt üzenetet képező eszköze, a kommunikációt kezdeményező felhasználót területén tartalmazó idegen tartomány felé a felhasználó saját tartományát jelző eszköze, a kódolt üzenetet a felhasználó saját tartományába továbbító eszköze, és a felhasználó saját tartományában ebből a kódolt üzenetből a felhasználó valódi kilétét megállapító eszköze van.

A találmány szerinti eljárás egy előnyös foganatosítási módja értelmében a szinkronizáció elvégzését jelző időpontot azonosan működtetett véletlen szám generátorokból vagy titkos számsorozatokból határozzuk meg, amelyeket a felhasználó saját tartományában és legalább a kapcsolat megléte alatt az idegen tartományban helyezzük el.

A találmány szerinti eljárás egy további előnyös foganatosítási módja értelmében a hálózatban tartományokba vagy alhálózatokba csoportosított elosztott munkaállomásokat és/vagy terminálokat használunk, és a kódolást az idegen tartományban hajtjuk végre és a kódolt üzenetet a felhasználó saját tartományába továbbítjuk feldolgozásra.

Ugyancsak előnyös a találmány értelmében, ha az adatokat intelligens hordozható adatbeviteli eszközzel, előnyösen aktív memóriakártyával visszük be, amely beépített számítási képességgel rendelkezik és a kódolást és szükség esetén a véletlen szám képzést a hordozható adatbeviteli eszközben hajtjuk végre és a kódolt üzenetet visszük be idegen tartományba.

Előnyös továbbá, ha az idegen D_y tartományba bevitt adatokat legalább részben közvetlenül a hordozható adatbeviteli eszközből visszük be, előnyösen ahhoz tartozó gépi olvasóval.

Fentieken túlmenően előnyös továbbá, ha sikeres meghatározási lépés esetén a saját D_u tartományból elfogadási üzenetet bocsátunk ki elsősorban az idegen D_y tartomány számára, míg sikertelen meghatározás esetén elutasítási üzenetet állítunk elő és küldünk el.

-ΊΑ találmány szerinti eljárás egy előnyös foganatosítási módja értelmében a titkos függvény SUid=F(Au, T_u, PW_U) egyirányú függvény, és az A_u azonosító alias név vagy a felhasználó másodlagos azonosítója.

Ugyancsak előnyös a találmány értelmében, ha egy vonatkozó a_u időintervallum egy más szinkronizálási időpont jelzés előtt az otthoni D_u tartományban az elkövetkező időintervallumok esetére egy vagy több kódolt üzenetet kiszámítunk és referencia és fordító táblázatban eltárolunk.

Előnyös továbbá, ha a referencia és fordító táblázatot az otthoni D_u tartományban szelektív módon, elsősorban az utazó vagy utazásra készülő felhasználókra vonatkozóan állítjuk össze.

Fentieken túlmenően előnyös, ha minden egyes D_x tartományhoz az egész D_x tartományban érvényes σ_χ időintervallumot választunk, mely megválasztott σ_χ időintervallum egy vagy több óra nagyságrendű.

A javasolt eljárásban való felhasználásra alkalmas hordozható adatbeviteli eszköz, elsősorban aktív memóriakártya minden egyes adatbeviteli eszközre egyedi azonosítót vagy kulcsot, órát vagy más szinkronizáció időpont jelzőeszközt, kódolt üzenetet kiszámító processzort, az adatbeviteli eszközt üzemmód valamint a kódolt üzenetet létrehozó felhasználó azonosító üzemmód között kapcsoló eszközt, valamint az előállított kódolt üzenetet kijelző vagy az idegen tartományba bevivő eszközt tartalmaz.

A találmány szerinti hordozható adatbeviteli eszköz egy előnyös kiviteli alakja értelmében előnyös, ha a kapcsoló eszköz kézi üzemmód kapcsoló az adatbeviteli eszköz felhasználó általi üzemmód váltásához és/vagy az adatbeviteli eszköz előnyösen időfüggő üzemmód átkapcsolását végző automatikus üzemmód kapcsoló.

A találmány szerinti rendszer egy előnyös kiviteli alakja értelmében az idegen D_y tartományban és/vagy az otthoni D_u tartományban az üzenet vezérlést és kezelést saját AS_U azonosító szerver illetve idegen AS_y azonosító szerver végzi.

Előnyös végül, ha a saját D_u tartomány felügyeletének AS_U azonosító szerverében referencia és fordító táblázatokat tároló eszköz van kialakítva.

Találmányunk egyrészt lehetővé teszi, hogy az utazó, mozgó felhasználót saját tartományi felügyelete egyértelműen és gyakorlatilag közvetlenül azonosítsa, másrészt lehetetlenné teszi arra fel nem jogosított fél számára, hogy a mobil felhasználót beazonosítsa vagy annak mozgását nyomon kövesse.

Jóllehet a találmánnyal a bevezetőben kifejtett mindhárom fő kérdésre részletes és a célnak megfelelő megoldást tudunk biztosítani, még továbbra is létezik néhány igen nehezen megkerülhető korlátozás. Az egyik ilyen korlátozás például az, hogy az idegen tartomány felügyeletének ismernie kell mozgó felhasználó saját tartományának az kilétét. Ez az eset a mobil felhasználói környezetek igen nagy számában természetesnek vehető, mert például a „külföldön” keletkező díjakat és költségeket továbbítani kell a felhasználó saját tartományába. Ezen kívül, mint említettük, csupán a mobil felhasználó saját tartományának felügyelete tudja pontosan megadni a felhasználó pillanatnyi helyzetét és állapotát. (Ennek a problémának a megoldására olyan rendszerkömyezetet is ki lehetne alakítani, amelyben az egyes tartomány felügyeletek közötti kommunikációt egy klíring központ segítségével „anonimmé” tesszük. Ilyen esetben előnyösnek tűnik, ha a tartományokhoz is alias neveket rendelünk úgy, hogy egy mobil felhasználó saját tartományára annak alias nevénél fogva hivatkozhat és ebből az alias névből a klíring központ állítaná helyre a szükséges információt.)

Látható továbbá, hogy a találmány szerinti eljárás két, első ránézésre egymással ütköző követelményt próbál kielégíteni: biztonságos azonosítás valamint a kilét titkosságának a megőrzése. Egy alany azonosításához annak előbb egy bizonyos identitást kell szereznie, majd ezt követően felmutatni vagy bizonyítani, hogy ő olyan valamit tud, amelyet kizárólag annak az identitásnak az aktuális birtoklója tudhat. Másrészt, az identitás titkossága megkívánja, hogy ugyanannak az identitásnak titkosnak kellene maradnia. Ez olyan paradox helyzetet idéz elő, amelyet feltétlenül fel kell oldani.

E probléma feloldására alakítottuk azt az újszerű eljárást, amelynek során úgynevezett „dinamikus felhasználói azonosítókkal” rövid idejű utazási alias neveket állítunk elő. Egy saját tartományát elhagyó felhasználó ezt a rövid idejű alias nevet használhatja, amely tényleges kilétét minden vonatkozásban elrejti. Ezen túlmenően ez az eset áll fenn akkor is, ha

-9az idegen tartomány (vagy bármely felhatalmazás nélküli fél) megpróbálja az utazó felhasználójelszavát megismerni.

A találmányt az alábbiakban a csatolt rajz segítségével ismertetjük részletesebben, amelyen a javasolt rendszer példakénti kiviteli alakját tüntettük fel. A rajzon az

1. ábra a találmány szerinti eljárással illetve a találmány szerinti rendszerben használható aktív memóriakártya, ismert nevén smartcard tartalmának vázlata, mindkét üzemmódjában, a

2. ábrán az aktív memóriakártyától a felhasználó saját tartomány felügyeletéhez irányuló információáramlást vázlata látható, a

3. ábra a találmány szerinti eljárás alkalmazását bemutató, két tartományból álló hálózat vázlatos felépítése, a

4. ábrán a felhasználó saját tartomány felügyelete által futtatott folyamatra látunk példát, és az

5. ábrán egy idegen bemeneti munkaállomás vagy terminál által futtatott folyamat példája látható.

Alábbi részletesebb leírásunkban néhány olyan hivatkozási jelet használunk, amelyet célszerűnek tartunk már az elején megmagyarázni:

D_x a tartomány neve,

AS_X a tartomány felügyelete, általában egy azonosító szerver,

U a D_x tartományban honos mobil, utazó felhasználó,

U_x a mozgó U felhasználó valódi neve,

Au a mozgó U felhasználó alias neve vagy azonosítója,

PW_U az U felhasználó jelszava,

SUid dinamikus felhasználó azonosító, σ_χ a D_x tartomány időintervalluma,

T_u időintervallum jelző, például az U felhasználó jelenléti ideje a legközelebbi σ időintervallumra kerekítve.

» /· · ·«

- 10Alaphelyzetben minden egyes mobil U felhasználóhoz állandó azonosítója mellé egy hoszszú idejű, azaz hosszú időn keresztül érvényes AU alias nevet rendelünk. Elvileg az AU alias névnek nem kell szükségszerűen különböznie az U felhasználó U_x valódi azonosítójától, a rendszer biztonsága tudniillik nem függ attól, hogy az AU alias név titkos-e vagy sem. Olyan környezetben, ahol minden egyes U felhasználó rendelkezik aktív memóriakártyával, vagy valamilyen más hasonló eszközzel, az AU alias névnek nem kell többnek lennie, mint az U felhasználó említett eszközének a sorozatszáma vagy bármi más egyedi azonosítója. Ezeknek az AU alias neveknek a listáját az U felhasználó saját AS_X azonosító szervere a jelszavakkal és más felhasználói információval együtt tárolja illetve tartja karban.

Minden egyes D_x tartomány részére megválasztunk egy, a teljes D_x tartományban érvényes σ_χ időintervallumot. Ennek a σ_χ időintervallumnak nem kell nagyon rövidnek lennie, például óra nagyságrendű vagy akár egy nap is lehet.

Ha egy U felhasználó, akinek hazai tartománya a D_x tartomány, egy számára idegen D_y tartományba utazik, először azonosítania kell magát (és igazolni kell jogosultságát). Ezt követően a D_y tartományban létre lehet hozni egy rá vonatkozó ideiglenes rekordot, amellyel lehetővé tesszük számára ebben az idegen D_y tartományban a szükséges hozzáféréseket. Ez más szavakkal azt jelenti, hogy ha az U felhasználó hosszabban kíván időzni a D_y tartományban, akkor előnyösebb lehet egy ideiglenes „otthont” létrehozni neki ahelyett, hogy minden egyes hozzáférés vagy akció alkalmával kapcsolatot kelljen teremteni az U felhasználó saját D_x tartományával. Ez azonban csupán egy lehetőség a több közül. A találmány fő előnye az U felhasználó azonosításában rejlik.

Egy felhasználó jogosultságának ellenőrzésére vonatkozó protokoll részletes leírását a már korábban említett Molva-féle dokumentumban találhatjuk meg, amelyet leírásunkban ilyen szempontból referenciaként tekintünk. A jogosultság vizsgálat folyamatának konkrét megvalósítása találmányunk szempontjából nem bír jelentősséggel. A jogosultság vizsgálat specifikumaitól függetlenül egy U felhasználó azonosító adatait mindenképpen továbbítanunk kell saját D_x tartománya AS_X továbbító szerveréhez. Mivel az U felhasználó nem tud közvetlenül kommunikálni saját D_x tartománya AS_X azonosító szerverével, minden ilyen r »· « *«» ·

- 11 kommunikációnak keresztül kell haladnia az éppen helyi AS_y azonosító szerveren, mely folyamatot vázlatosan a 2. ábrán tüntettünk fel.

A jogosultság vizsgálati protokollt adott esetben egy kétirányú Diffie-Hellman féle kulcsválasztó eljárás is megelőzheti, mint azt a CDPD rendszerekre vonatkozó dokumentum ismerteti. Ebben az esetben a teljes folyamatot érzéketlenné tesszük a passzív illetéktelen behatókkal szemben, mivel az összes üzenetet az új kulcs használatával tudjuk kódolni.

Általánosságban az azonosító adatcsomagnak tartalmaznia kell egy SUid dinamikus felhasználó azonosítót, ez igaz mind arra az esetre, amikor az U felhasználó aktív memóriakártyájától első ízben áramlik információ az idegen D_y tartomány AS_y azonosító szerveréhez, mind pedig arra az esetre, amikor az AS_y azonosító szervertől áramlik az információ az U felhasználó saját D_x tartományának AS_X azonosító szerveréhez. A dinamikus felhasználó azonosítás vagy kódolatlanul csupaszon tartalmazza az SUid dinamikus felhasználó azonosítót, vagy egy másik lehetőség szerint annak valamiképpen kódolt változatát tartalmazza. A protokoll legdöntőbb szempontja a felhasználói azonosítás titkosságára tekintettel az SUid dinamikus felhasználó azonosító matematikai meghatározása, amelyet az alábbi összefüggés szerint végzünk:

SUid=F(A„, T_u, PW_U) ahol

F szigorúan egyirányú függvény. Erre vonatkozó példák: DES módon megtalálhatók az Amerikai Egyesült Államok Nemzeti Szabványügyi Hivatalának „Federal Information Processing Standards” című 1997. évi 46. sz. publikációjában, „References” címszó alatt, vagy akár a PCT/EP93/02540 számú szabadalmi leírásban. DES vagy más kódoláson alapuló függvény esetében fontos tudnunk, hogy nincs szükség más titkosító kulcs használatára az F függvény meghatározásához, mert egyedül az U felhasználó PW_U jelszava is elegendő erre a célra. T_u az aktuális időintervallum, felkerekítve a legközelebbi σ értékre. Ha az U felhasználó nem rendelkezik aktív memóriakártya-szerű eszközzel, úgy neki kell beadnia PW_U jelszavát a nyilvános munkaállomásba vagy más hasonló terminálba, például a számára idegen D_y tartomány AS_y azonosító szerveréhez kapcsolódó adatbeviteli eszközbe. Egy aktív memóriakártyával rendelkező U felhasználó esetében a PW_U jelszó vagy az aktív ««!< ·

- 12memóriakártyában lévő, fixen beégetett kulcs lehet (olyan aktív memóriakártyák esetében, amelyeknek nincs billentyűzetük vagy más adatbeviteli lehetőségük), vagy pedig az aktív memóriakártya kulcsának valamint az U felhasználó jelszavának kombinációjából állhat (adatbeviteli lehetőségekkel ellátott aktív memóriakártyák esetében).

Mint jeleztük, az SUid dinamikus felhasználó azonosító érték érthetetlen az idegen D_y tartomány AS_y azonosító szervere számára. Az egyetlen információ, amelyet ez az AS_y azonosító szerver megkaphat az, hogy a mobil U felhasználó a saját hazai D_x tartományában van regisztrálva. Egy második adatcsomagban az idegen D_y tartomány AS_y azonosító szervere az SUid dinamikus felhasználó azonosítót (más, például jogosultságra vonatkozó információ mellett) továbbítja az U felhasználó saját D_x tartományának AS_X azonosító szerveréhez.

A fó kérdés az, hogy az U felhasználó saját D_x tartományának AS_X azonosító szervere miképpen határozza meg, hogy az SUid dinamikus felhasználó azonosító tényleg megfelel a nála regisztrált U felhasználónak. Ezt egy olyan aktuális táblázat karbantartásával végzi, amely minden egyes felhasználó esetében tartalmazza a hozzátartozó SUid dinamikus felhasználó azonosító értéket. Ezt a fordító vagy referencia táblázatot az AS_X azonosító szervezet σ_χ időintervallumokként újraszámítja illetve frissíti. Mivel a saját D_x tartomány AS_X azonosító szerverében minden egyes U felhasználóra nézve megtalálható az A_u alias név és a PW_U jelszó, az összes szükséges információ rendelkezésére áll, hogy tényleg aktuális táblázatokat állítson össze.

Megjegyezzük, hogy mivel az SUid dinamikus felhasználó azonosítók nem függnek az U felhasználó pillanatnyi helyétől, ezek a táblázatok off-line módon előre is jól kiszámíthatók. Ez különösen abban az esetben valósul meg, ha viszonylag nagyobb σ_χ értéket, például órát vagy egy napot alkalmazunk. Természetesen a mobil U felhasználó tényleges identitásának a megállapítása a teljes szükséges munkának csupán felét teszi ki, hiszen saját hazai D_x tartománya AS_X azonosító szerverének ezt követően az adatcsomagban részére megküldött, a feljogosításra vonatkozó információt is ellenőriznie kell. Ez azonban a találmány szempontjából lényegtelen művelet, hiszen a már említett Molva-féle dokumentumból kellőképpen megismerhető.

· |« · ·- 13 Az alábbiakban a „túlkalkulálás” csökkentésére illetve elkerülésére alkalmas előnyös elrendezést ismertetünk. Olyan környezetben, amelyben csupán kis számú U felhasználó utazik saját D_x tartományainak határain túlra, rossz hatékonyságú, sőt egyenesen veszteséges lehet az összes U felhasználó számára időn alapuló alias táblázatokat előre kiszámítani, karbantartani és azokban keresni. Ilyen esetekben a túlkalkulálás úgy kerülhető el, hogy általánosságban megkívánjuk egy U felhasználótól, hogy saját D_x tartományának AS_X azonosító szerverét előre értesítse tervezett utazásáról. így a D_x tartomány felügyeletének csupán azokat az U felhasználókat kell nyomon követnie, akik éppen úton vannak. Ez nem jelenti azt szükségszerűen azt, hogy ezeknek az U felhasználóknak teljes útitervüket előre meg kell adniuk, hanem csupán egyszerűen regisztrálniuk kell mobilitásuk kezdetét, azaz kimozdulásukat egy idegen D_y tartományba. A jelzés alapján a hazai D_x tartomány felügyeletének AS_X azonosító szervere az utazó U felhasználót olyan speciális listára veszi, amelyet az AS_X azonosító szerver az időn alapuló dinamikus azonosító számításhoz használ fel. Arra sincs feltétlenül szükség, hogy az U felhasználó saját D_x tartományának felügyeletét, azaz annak AS_X azonosító szerverét értesítse utazásának befejezéséről; a hazai felügyelet ezt a következtetést le tudja vonni abból, hogy a visszatért U felhasználó saját tartomány felügyeleténél kíván ismét bejelentkezni.

Az alábbiakban bemutatjuk egy otthoni tartomány felügyelet valamint egy idegen tartomány felügyelet közötti órajel szinkronizáció menetét. Az a feltételezésünk, hogy minden egyes U felhasználó rendelkezik valamilyen, saját D_x tartománya felügyeletének órajelével valamilyen kapcsolatban álló, esetleg lazán szinkronizált órajellel, a legtöbb környezetre igaz. Pontosabban, egy aktív memóriakártyával rendelkező U felhasználó annak belső óráját használja fel a T_u időintervallum nyomon követésére. Egy ilyen eszközzel nem rendelkező U felhasználó részére elegendő egy munkaállomás belső órajele is. Természetesen az is lehetséges, hogy az U felhasználó az időt manuálisan, karóráról vagy falióráról veszi át. Természetesen a σ_χ időintervallum nagyságrendje illetve nagysága fontos tényező. A felsorolt, legtöbb esetben kézenfekvő megoldás ellenére mégis elképzelhető, hogy egyes esetekben az U felhasználó valamilyen oknál fogva nem képes a T_u időintervallum jelző nyomon követésére.

Ennek a szituációnak a lekezelésére a használt protokollt vagy úgy módosíthatjuk, hogy a helyi (azaz az U felhasználó számára idegen) tartomány felügyelet AS_y azonosító szervere a · · · · · a

- 14szolgáltatja a T_u időintervallum jelzőt, vagy pedig az U felhasználó saját D_x tartományának felügyelete annak AS_X azonosító szerverével gondoskodik a T_u időintervallum jelző eljuttatásáról. Bármelyik esetben ezt az információt a priori, tehát mindent megelőzően el kell juttatni az U felhasználóhoz vagy annak eszközéhez egy külön információ csomagban, amely megelőzi a korábban ismertetett első tényleges információ csomagot. Ezt egyébként kódolatlan puszta szöveges üzemmódban is megtehetjük, hiszen a T_x idő nem titkos érték.

Összefoglalva a fent bemutatottakat, az inkognitóban történő utazás szempontjából a legfontosabb tényező az, hogy gyakran kell látszólag összefüggéstelen alias neveket, azaz SUid dinamikus felhasználó azonosítókat cserélgetni. Abban a pillanatban, amint állandó vagy hosszúidejű felhasználó azonosítókat használunk, lehetőséget nyújtunk kilétünk felfedezésére és mozgásunk nyomon követésére. Ideális esetben egy alias név vagy SUid dinamikus felhasználó azonosító csupán egyetlen esetben használható fel, és nem ismételhető. A találmány szerinti eljárásunk ezt a kívánalmat nem éri el teljes mértékben, mivel lehetővé teszi konfigurálható σ_χ időintervallum után egyszer már használt alias nevek újbóli felhasználását. Ennek következtében, ha egy U felhasználó egyetlen σ_χ időintervallumon belül több idegen D_y tartományban utazik, bizonyos mértékű, korlátozott beazonosítási folyamat részesévé válhat.

Ennek elkerülésére találmányunk két alternatív megoldást javasol:

1. Az alias neveket a meglátogatott D_y tartományoktól függővé kell tenni vagy

2. Szoros szinkronizációt kell fenntartani az U felhasználó és saját otthoni D_x tartománya felügyelete között.

Ha egy idegen D_y tartomány nevét bevettük az SUid dinamikus felhasználó azonosító számításába, pontosabban képzésébe, kilétére való következtetés lehetetlenné válik, hiszen egy az egyik számára idegen D_y tartományból egy másik idegen D_y tartományba vándorló U felhasználó (még abban az esetben is, ha ezt igen rövid idő alatt, például egyetlen σ_χ időintervallumon belül teszi is) egymással össze nem függő SUid dinamikus felhasználó azonosítókat fog kapni. Ennek a változatnak a fő hiányosságát abban látjuk, hogy több időt vesz igénybe. Mivel ebben az esetben saját tartomány felügyeletének AS_X azonosító szervere képtelen az U felhasználó mozgását előre megjósolni, az ennek megfelelő fordító

- 15táblázatokat sem tudja előre kiszámítani. így tehát amikor a saját AS_X azonosító szerver megkap egy SUid dinamikus felhasználó azonosítót valamint egy idegen D_y tartomány nevet, képtelen az SUid dinamikus felhasználó azonosító azonnali interpretálására vagy dekódolására, és így nem képes közvetlenül előre kiszámított és eltárolt fordító táblázattal válaszolni. Ehelyett minden egyes regisztrált U felhasználó részére saját D_x tartományának felügyelet e az AS_X azonosító szerveren keresztül kiszámítja a megfelelő SUid dinamikus felhasználó azonosítót az U felhasználó helye szerinti idegen D_y tartomány név felhasználásával, ám ez az otthoni AS_X azonosító szerver számára járulékos terhelésként jelentkezik.

A másik említett lehetőség az, hogy szoros szinkronizált kapcsolatot tartunk fenn az U felhasználó (vagy inkább annak kommunikációs eszköze) és otthoni D_x tartományának felügyelete között. Ez a szinkronizáció idő alapú, titkos számsor alapú, vagy véletlen szám generátorokon alapuló lehet. Ez a változat biztosítja a legmagasabb szintű biztonságot, mivel garantálja, hogy egy alias nevet vagy egy SUid dinamikus felhasználó azonosítót soha nem lehet ismételten felhasználni. Hátránya azonban megegyezik a tartományfúggő alias neveknél leírtakkal, ezen túlmenően minden egyes U felhasználónak megbízható, feltörhetetlen kommunikációs eszközzel kell rendelkeznie. A leírt időn alapuló alias neveket eszközorientált környezetekben, például smartcard-okban, cellás rendszerű telefonokban, vagy hagyományosabb környezetekben használhatjuk, ahol egy utazó U felhasználónak csupán egyetlen, a jogosítottság ellenőrzésére szolgáló jelszava van. Az utóbbi esetben egy U felhasználó elkerülhetetlenül fel kell hogy keresse a nyilvános munkaállomásokat vagy olyan más személytelen végfelhasználói berendezést, amelyen keresztül kapcsolatba léphet a hálózattal. Ennek megvalósítására az alábbiakban mutatunk be majd példát.

Találmányunk egyik különösen előnyös megvalósítási módja az egyre terjedő aktív memóriakártyákkal kapcsolatos. A lehető legegyszerűbb aktív memóriakártya az a fajta kártya, amelynek csupán egy kisméretű kijelzője, és feltételezhetően ki/be kapcsolója van. Felnyithatatlan és feltörhetetlen belsejében órát és a minden egyes kártya számára titkos saját kulcsot tartalmaz. Ez a típusú aktív memóriakártya megtalálható a már korábban említett Molva-féle dokumentumban, míg egy ilyen üzemmódban működtethető kereskedelmi terméket a Security Dynamics Technologies, Inc., Cambridge, Massachusetts, USA: The ACE System Access Control Encryption, Product Information, 1992., dokumentumban leírt SecurelD tokén néven terjesztik. Az 1-5. ábrákon grafikusan mutatjuk be az aktív ···· ····

- 16memóriakártyákkal végzett találmány szerinti eljárási lépéseket. Az 1. ábrán látható 1 aktív memóriakártyának 2 sorozatszáma van, amely általában egyedi szám és megváltoztathatatlanul és eltávolíthatatlanul van az 1 aktív memóriakártyán feltüntetve, továbbá processzora valamint 3 kijelzője van, amely leggyakrabban egy vékony és keskeny folyadékkristályos kijelző, és az 1 aktív memóriakártya elemes táplálású. Mint később bemutatjuk az 1 aktív memóriakártyának két eltérő üzemmódja van, és az időn alapuló dinamikus felhasználó azonosítási módszer támogatására az alábbi tulajdonságokkal rendelkezik:

1. Úgy van beprogramozva, hogy vagy automatikusan átkapcsol, vagy manuálisan átkapcsolható két üzemmód között, nevezetesen egy Jogosultság üzemmód” valamint egy „felhasználó azonosító üzemmód” között. Az első üzemmódban az 1 aktív memóriakártya egy (mint említettünk találmányunk szempontjából irreleváns) feljogosító információt, a második üzemmódban pedig az SUid dinamikus felhasználó azonosítót jelzi ki. Az 1 aktív memóriakártya automatikus átkapcsolása gyakran, például 10 másodpercenként megy végbe. Az automatikusan átkapcsoló 1 aktív memóriakártya különösen előnyös, mivel a jelenleg gyártott és kapható, szokásos aktív memóriakártyákat sem külsőleg, sem belsőleg nem kell átalakítani. Egy alternatív megoldásként elhelyezhető rajta egy üzemmód gomb vagy 4 kapcsoló, amellyel az U felhasználó váltogathat az említett két üzemmód között.

2. Az 1 aktív memóriakártya belső óráját használjuk fel az SUid dinamikus felhasználó azonosító létrehozásához. A felhasználó azonosító üzemmódhoz, bár nem feltétlenül szükséges, elhelyezhető egy külön óra is.

A felhasználó azonosító üzemmódban az 1 aktív memóriakártya egy 6-8 számjegyből álló decimális számot, vagy más jelsorozatot jelez ki időn alapuló dinamikus azonosító felhasználóként, amelyet az 1. ábrán igen egyszerűen XX XX XXX formában jelöltünk be. Ez a felhasználó azonosító 5 előjelet is tartalmazhat, amely jelzi az U felhasználó számára, hogy éppen a felhasználó azonosítót látja a 3 kijelzőn. Az U felhasználónak a látott információt kell saját felhasználó azonosítójaként az idegen D_y tartomány felügyeletének AS_y azonosító szerverébe a terminálon vagy munkaállomáson keresztül beírnia. Mint még említjük, ezt a bevezető lépést automatikusan is végrehajthatjuk. Látnunk kell azonban, hogy a dinamikus felhasználó azonosító a felhasználó kilétére vonatkozó információt kizárólag kó- 17dolt formában tartalmazza, így semmilyen illetéktelen behatoló nem tud abból az U felhasználó tényleges kilétére következtetéseket levonni. Megjegyezzük még, hogy mivel a dinamikus felhasználó azonosító egy adott időintervallum után módosul, a dinamikus felhasználó azonosítók sorozata szemmel láthatóan semmiben nem kapcsolódik egymáshoz és nem jelzi, hogy ugyanarra az U felhasználóra vonatkozik.

A jogosítottság üzemmódban az 1 aktív memóriakártya egy másik 6-8 számjegyből álló decimális számot vagy más jelsorozatot jelez ki 3 kijelzőjén, amelyet mi az 1. ábra jobb felén YYY YYY YY módon tüntettünk fel felhasználó feljogosító adatként. Az U felhasználó ezt a feljogosító adatot adja be „jelszavaként” a terminálba vagy munkaállomásba, amely ezt az információt továbbítja az idegen D_y tartomány AS_y azonosító szerveréhez. (A feljogosítási folyamat önmaga, mint jeleztük, nem képezi találmányunk tárgyát és ezért nem is ismertetjük részletesebben.)

Egy ilyen 1 aktív memóriakártyát a kereskedelmi forgalomban kapható aktív memóriakártyák módosításával is előállíthatunk, így alkalmas erre a már korábban említett SecurID elnevezésű memóriakártya is, amely már eleve tartalmaz órát és processzort. A szakterületen jártas személy számára nem okozhat problémát szükség esetén alkalmas program megírása és annak adaptálása az 1 aktív memóriakártyára. Még az 1 aktív memóriakártya fizikai módosítására sincs szükség abban az esetben, ha a felhasználó azonosító üzemmódról a jogosultság üzemmódra történő automatikus átkapcsolást választjuk.

A 2. ábra az SUID dinamikus felhasználó azonosító és a feljogosító adat 1 aktív memóriakártyából az idegen D_y tartomány AS_y azonosító szerverén keresztül az U felhasználó saját otthoni D_x tartományának AS_X azonosító szerveréhez történő átvitelét vázolja.

Egy lehetséges módszer az, hogy az U felhasználó mindkét kijelzett adatot beírja. Egy másik lehetséges megoldás szerint az 1 aktív memóriakártyát egy az idegen 6 felügyelethez kapcsolódó terminálban olvashatjuk be, erre a célra kis módosítással megfelelnek a pénzintézetekben széles körben elterjedt és használt kártyaolvasó terminálok. (Természetesen a jogosultság ellenőrzéséhez az U felhasználónak szükség esetén mást is meg kell adnia, például jelszót, PIN számot, vagy más olyan információt, amelyet az adott rendszer a jogosultság ellenőrzésére bekér. Mint említettük azonban, a jogosultság ellenőrzése nem része

- 18találmányunknak, csupán jelezzük, hogy bármely ismert és alkalmas módszer felhasználható erre a célra.

Az idegen D_y tartomány 6 felügyelete már „tudja”, hogy mely otthoni D_x tartomány felügyelet AS_X azonosító szerveréhez kell az információt továbbítania. Ez előnyösen úgy valósítható meg, hogy az SUid dinamikus felhasználó azonosító valamely része erre vonatkozó információt tartalmaz. Egy másik lehetséges megoldás szerint az U felhasználótól külön bekérhetjük az erre vonatkozó információt, és ilyenkor az U felhasználó adja meg saját D_x tartománya felügyeletének nevét vagy címét.

Az idegen 6 felügyelet az adatokat a 2. ábrán csupán jelképesen, vezetékként bejelölt 7 kapcsolaton keresztül juttatja el az U felhasználó saját 8 felügyeletéhez. Ez az információ továbbítás természetesen bármilyen módon történhet, a kétvezetékes jelközléstől egészen a rádiós vagy infravörös távközlési hálózatokig. Egy illetéktelen behatoló, aki az adatokhoz az idegen D_y tartomány 6 felügyeleténél vagy a 7 kapcsolatnál jut hozzá, az U felhasználó valós kilétét vagy annak korábbi rendszerhez hozzáférésének helyét nem képes detektálni.

Mivel az SUid dinamikus felhasználó azonosító már kódolt formájú, nincs szükség még biztosabb átvitel céljára további kódolásra, bár ennek lehetősége természetesen adott.

A 3. ábra két 10 és 20 tartományból álló hálózatot mutat be. Mindegyik 10 és 20 tartománynak több, U felhasználók számára hozzáférhető terminálja vagy munkaállomása van. Az első 10 tartománynak 15 busza van, amely összeköti egymással all, 12, 13 terminálokat valamint 14 szervert. Az ábrán ugyancsak vezetékként vagy kábelként bejelölt kapcsolat köti össze a 14 szervert 30 átjáróval (gateway). A 11-13 terminálok vagy munkaállomások némelyike vagy mindegyike számítási műveletek végzésére is alkalmas. Ezen túlmenően a 10 tartomány felügyelete elosztottan is kiképezhető, nem kell feltétlenül egyetlen gépben vagy 14 szerverben kialakítani.

A második 20 tartománynak is 21, 22, 23, 24 terminálja vagy munkaállomása van, amelyek itt nem szerverhez, hanem 25 Tokén Ring típusú hálózathoz kapcsolódnak. A 20 tartományban legalább a 24 terminál számítási képességekkel rendelkezik, és a 20 tartomány számára szerverként tekinthető. A vonalként feltüntetett 26 kapcsolat akár vezeték nélküli infravörös vagy rádiófrekvenciás jelátvitel lehet a 30 átjáróhoz.

• «

- 19Az az utazó U felhasználó, aki hozzá kíván férni a rendszerhez például a 12 terminálon keresztül, és akinek saját D_x tartománya a 20 tartomány a 12 terminálhoz kapcsolódó beviteli eszközön keresztül például billentyűzeten át beírja az ehhez szükséges adatokat, például azonosítót, jelszót és 1 aktív memóriakártyáját behelyezi a 12 terminál kártyaolvasójába. Mivel a 12 terminál az U felhasználó szempontjából egy idegen 10 tartomány részét képezi, a 12 terminál megkérdezi tőle saját otthoni D_x tartományának nevét vagy, amennyiben az tartalmazza, kiolvassa az 1 aktív memóriakártyából. Ezután vagy a 12 terminál vagy egy másik lehetőség szerint az U felhasználó 1 aktív memóriakártyája előállítja az SUid dinamikus felhasználó azonosítót a korábban ismertetett módon. Az U felhasználó szempontjából idegen 10 tartomány 14 szervere megkapja ezt az SUid dinamikus felhasználó azonosítót, de nem tudja korrekt módon lekezelni, így mindenképpen ismernie kell az U felhasználó saját D_x tartományának a nevét, jelen esetben a 20 tartomány nevét annak érdekében, hogy a kódolt adatokat átirányítsa vagy továbbítsa a 20 tartományhoz a 30 átjárón keresztül.

A 30 átjáró - vagy bármely más átjáró vagy jeltovábbító állomás az útvonalon - szintén csak arra alkalmas, hogy megfejtse az U felhasználó helyes saját 20 tartományának a nevét, de nem tudja kiolvasni az U felhasználó SUid kódolt dinamikus felhasználó azonosítóját. A bemutatott esetben a 30 átjáró a kapott kódolt SUID dinamikus felhasználó azonosítót egyszerűen elirányítja az U felhasználó saját 20 tartományának szerver feladatokat betöltő 24 termináljához.

Az U felhasználó saját AS_x azonosító szerverének szerepét betöltő 24 terminál fogadja az SUid dinamikus felhasználó azonosítót a barangoló U felhasználótól, és olyan előre kiszámított, rendszeresen frissített táblázatokat tartalmaz, amelyek a saját felhasználók számára tartalmazzák a dinamikus felhasználó azonosítókat, méghozzá olyanokat, amelyek az adott σ_χ időintervallumban éppen érvényesek. így a 20 tartomány felügyeletét ellátó 24 terminál gyorsan és könnyen ellenőrizni tudja, hogy a kapott SUid dinamikus felhasználó azonosító érvényes-e, továbbá, hogy mely U felhasználóhoz tartozik. Ezt egyébként kissé részletesebben a 4. ábrával kapcsolatosan ismertetjük majd. A 24 terminál ezt követően adott esetben megfelelő üzenetet juttathat vissza a 12 terminálhoz (ahonnan az U felhasználó jelezte a kiválasztott szolgáltatás iránti igényét, és/vagy enélkül továbbléphet a jogosultság vizsgálatára.

-20Mint a 4. ábrán látható a 24 terminál, amint megkapja az SUid dinamikus felhasználó azonosítót, az aktuális σ_χ időintervallumnak megfelelően előre kiszámított TBi-TB_n táblázatok 41 sorozatából kiválasztja a megfelelő 42 alias táblázatot, jelen esetben TB₂ táblázatot, majd azt a megkapott SUid dinamikus felhasználó azonosítót felhasználva átkutatja, és azonosítja az 1 aktív memóriakártya sorozatszámát (vagy más egyéb azonosítóját) vagy a 12 terminált, mindig azt, amely az SUid dinamikus felhasználó azonosítót előállította. Az 1 aktív memóriakártya sorozatszáma egyértelműen azonosítja az U felhasználót. Ha ez az azonosítás megtörtént, adott esetben erre vonatkozó üzenetet állíthat elő és küldhet el.

Végül, az 5. ábrán arra mutatunk példát, hogy az U felhasználó által bevitt információt egy 12 terminál miképpen képes feldolgozni egy az U felhasználó számára idegen, jelen esetben 10 tartományban. Az U felhasználó beírja felhasználó azonosítóját vagy Au alias nevét, PW_U jelszavát, és opcionálisan az aktuális T_u időt, felkerekítve a legközelebbi a_u időintervallumra, az idegen 10 tartomány 12 termináljába. 51 feldolgozó eszköz, amely 52 kódoló fokozatot is tartalmaz, az U felhasználó 11-Í3 bevitt adatait, melyek megfelelnek a PW_U jelszónak, Au alias névnek és T_u időpontnak, kódolja. A bemutatott esetben az ii és i₂ bevitt adatok konkatenált kódját a bevezetőben említett DES módszer szerint kódoljuk az SUid dinamikus felhasználó azonosítót megadó 13 bevitt adat kóddal, és ezt a kódolt információt elküldjük az U felhasználó saját 20 tartományának 24 termináljához. Ott az AS_X azonosító szerver szerepét betöltő 24 terminál dekódolja a vett információból az SUid dinamikus felhasználó azonosítót.

Az alábbiakban a teljes folyamat lépéseit külön-külön is felsoroljuk.

0. lépés:

Először, és előnyösen állandóan, minden egyes saját AS_X azonosító szerver, jelen esetben a 24 terminál kiszámítja a folyamathoz szükséges táblázatokat. Ezt adott gyakorisággal teszi, például naponta egyszer. Ezután kiszámít egy táblázat sorozatot, például a TBi, TB₂, TB_n táblázatok sorozatát, ahol n = a σ_χ időintervallumok naponkénti számával vagy valamilyen másik hosszabb idejű időegységgel. Például, ha a σ_χ időintervallumot órásra választjuk, a 24 terminál naponta 24 táblázatot számol ki.

·♦<- · »»

-21 Minden egyes TBj táblázat annyi sorból áll, ahány U felhasználó van a saját D_x tartományban. Minden sor két oszlopból áll, nevezetesen az U felhasználó nevéből, és az alkalmazott egyirányú F függvény ereményéből, ahol PW„ az U felhasználó jelszava vagy Pin kódja, és Τ,=Τ₀ . ΐσ_χ . Ebben az összefüggésben T_o az abszolút időpont a számítás kezdeti pillanatában, azaz, ha a számítást naponta ismételjük, úgy T_o éjfélre esik.

Ezzel lezárul a művelet első része, azaz a táblázatok kiszámítása. Az eljárás ezt követő második része az azonosítási rész, amelyet a könnyebb megértés érdekében szintén lépésenként mutatunk be.

1. lépés

Egy U felhasználó egy számára idegen D_y tartományba utazik. Ebben az idegen D_y tartományban egy ottani terminálnál vagy munkaállomásnál, például a 3. ábra 10 tartományát 12 termináljánál beírja U_x valódi nevét vagy Au alias nevét, a σ_χ időintervallum értékét, valamint PW_U jelszavát, (vagy Pin kódját). A beadott értékekből a 12 munkaállomás szoftvere és hardvere segítségével kiszámítja az SUID dinamikus felhasználó azonosítót:

SUid = F(Au, Tu, PWu), ahol Tu a 12 terminál helyi ideje, felkerekítve a legközelebbi σ_χ időintervallumra, azaz másodpercekre, percekre vagy órákra, attól függően, hogy a σ_χ időintervallumot milyen egységekben mérjük. Jegyezzük meg, hogy nincs szükség arra, hogy a 12 terminálnak saját órája legyen, ebben az esetben az U felhasználó még a Tu időt is be kell hogy adja, például saját órájáról lenézve azt.

Ezen túlmenően az U felhasználó bizonyos feljogosítási információt is beír a 12 terminálba. Ez, mármint hogy ez a feljogosító információ pontosan miből áll, találmányunk szempontjából irreleváns.

2, lépés

A 12 terminál az SUID dinamikus felhasználó azonosítót a feljogosításra vonatkozó információval együtt elküldi az U felhasználó saját D_x tartománya AS_X azonosító szerveréhez, például a 20 tartomány 24 termináljához. Ez közvetetten is történhet: a 12 terminál az ·« ,

-22• » • »· adatokat előbb elküldheti saját, az U felhasználó számára idegen AS_y azonosító szerveréhez, tehát a 10 tartomány 14 szerveréhez, amely aztán ezeket az adatokat továbbítja az AS_X azonosító szerver szerepét betöltő 24 terminálhoz.

3. lépés

Amint az adatok eljutnak az AS_X azonosító szerver szerepét betöltő 24 terminálhoz, az előbb ellenőrzi saját T_x idejét, majd kiszámítja j=(T_x- Το) / σ_χ értékét, pozitív egész számmal való osztást végezve, majd k = (T_x- T_o) % σ_χ, ahol % a modulus operátor.

4, lépés

Ezt követően a 24 terminál átkutatja TBj táblázatot (amelyet a 0. lépésben számított ki előre), ahol SUid dinamikus felhasználó azonosítót mint a keresett értéket használja fel.

4a. lépés

Ha a keresés sikeres a táblázat bejegyzés az U felhasználóra mutat.

4b.lépés

Ha a keresés eredménytelen, úgy az AS_X azonosító szerver szerver szerepét betöltő 24 terminál (k értékétől függően) vagy átkutatja a TBj.i vagy a TBj+i táblázatot.

5. lépés

Ha az U felhasználó azonosítása sikeres volt, a 24 terminál ellenőrzi azt a jogosultságra vonatkozó információt, amelyet az SUid dinamikus felhasználó azonosítóval együtt kapott, bármilyen, a szakterületen ismert módon, ez találmányunk szempontjából szintén nem játszik szerepet.

6, lépés

Ha az AS_X azonosító szerver szerepét betöltő 24 terminál azt állapítja meg, hogy az SUid dinamikus felhasználó azonosító érvényes U felhasználóhoz tartozik, és az azzal társított

-23 jogosultságra vonatkozó információ is helyes volt, válaszol az idegen D_y tartomány AS_y azonosító szerverének szerepét betöltő 10 tartományi 14 szervernek és jelzi, hogy SUid dinamikus felhasználó azonosítóval társított U felhasználó olyan legitimált felhasználó, aki jogosított a kívánt szolgáltatás igénybevételére.

A fent leírt művelet nyilvánvalóan nem használ egy aktív memóriakártyát. Ha valamilyen intelligens kártyát, például 1 aktív memóriakártyát használunk, az egyedüli változás az 1. lépésben lenne, mivel a kért információnak a 12 terminálba történő beadása helyett az U felhasználó simán kiolvasná az 1 aktív memóriakártyán, annak felhasználó azonosító üzemmódjában kijelzett értéket, és azt vinné be a 12 terminálba. Alternatív megoldásként ezt az értéket kártyaolvasó is beviheti a 12 terminálba. Ez az érték nem más, mint az 1 aktív memóriakártya által már kiszámított SUid dinamikus felhasználó azonosító, és a számítás művelete megegyezne azzal, amelyet a 12 terminál végzett az első lépésben.

Összefoglalva, a 6. lépés végén az idegen tartomány AS_y azonosító szerverének szerepét betöltő 12 terminál megbizonyosodhat arról, hogy a hozzáfordult U felhasználó olyan legitimált felhasználó, ugyanakkor az adott 10 tartomány felügyelete nem tudja felfedni az U felhasználó tényleges kilétét. Az AS_y azonosító szerver ténylegesen is csupán az SUid dinamikus felhasználó azonosítót ismerheti meg, amely semmi más, mint egy rövididejű alias név. Az SUID dinamikus felhasználó azonosító és az U_x valódi felhasználó név közötti kapcsolatot kizárólag az U felhasználó és saját otthoni AS_X azonosító szervere tudja.

Természetesen találmányunk számos változata elképzelhető és megvalósítható, a vezeték nélküli, például rádiófrekvenciás vagy infravörös jelátviteltől kezdve a több felhasználói folyamat multiplexeit jeltovábbításáig. Vezeték nélküli tartományban egyetlen szervert használhatunk mind jelátviteli, mind tartomány felügyeleti szerepben. A szinkronizálást például rádióvezérlésű órákkal vagy más szinkronizáló eszközökkel valósíthatjuk meg. Aktív memóriakártyák alkalmasak arra, hogy az összes szükséges számítási műveletet elvégezzék, így a szükséges terminálok robusztussá tehetők és lebutíthatok. Ezek a változatok azonban még mindig a szabadalmi igénypontok által meghatározott oltalmi körbe esnek.

Claims (14)

1. Szabadalmi igénypontok

   1. Eljárás helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, amelyben több, tartományokká vagy alhálózatokká csoportosított elosztott szekció van kialakítva, és minden egyes felhasználónak azonosítója és jelszava vagy más titkos feljogosító adata van, és az azonosító és a jelszó a felhasználó saját tartományában kerül eltárolásra, és az eljárás során előnyösen időintervallum jelzéssel a felhasználó idegen tartományban végzett adatbevitelét szinkronizáljuk saját otthoni tartományával, azzal jellemezve, hogy egy titkos függvény előnyösen egyirányú függvény segítségével kódoljuk az azonosítót (A„), a szinkronizáció elvégzését jelző időpontot (T_u), és a felhasználó (U) jelszavát (PW_U) vagy más titkos feljogosító adatát, és ezekből kódolt üzenetet (SUid) képezünk, majd az idegen tartománynak (D_y), amelyből a felhasználó (U) kommunikációt kezdeményezett, jelezzük a felhasználó (U) saját tartományát (D_u), majd a kódolt üzenetet (SUid) továbbítjuk a felhasználó (U) saját tartományába (D_u), és a felhasználó (U) saját tartományában (D_u) ebből a kódolt üzenetből (SUid) megállapítjuk a felhasználó (U) valódi kilétét.
2. 2. Az 1. igénypont szerinti eljárás azzal jellemezve, hogy a szinkronizáció elvégzését jelző időpontot (T_u) azonosan működtetett véletlen szám generátorokból vagy titkos számsorozatokból határozzuk meg, amelyeket a felhasználó (U) saját tartományában (D_u) és legalább a kapcsolat megléte alatt az idegen tartományban (D_y) helyezzük el.
3. 3. Az 1. vagy 2. igénypont szerinti eljárás azzal jellemezve, hogy a hálózatban tartományokba (10, 20) vagy alhálózatokba csoportosított elosztott munkaállomásokat és/vagy terminálokat (11-14, 21-24) használunk, és a kódolást az idegen tartományban (Dy) hajtjuk végre és a kódolt üzenetet (SUid) a felhasználó (U) saját tartományába (D_u) továbbítjuk feldolgozásra.
4. 4. Az 1. vagy 2. igénypont szerinti eljárás azzal jellemezve, hogy az adatokat intelligens hordozható adatbeviteli eszközzel, előnyösen aktív memóriakártyával (1) visszük be, amely beépített számítási képességgel rendelkezik és a kódolást és szükség esetén a véletlen szám képzést a hordozható adatbeviteli eszközben hajtjuk végre és a kódolt üzenetet (SUid) visszük be idegen D_y tartományba (20).

   »·· ···

   -255. A 4. igénypont szerinti eljárás azzal jellemezve, hogy az idegen D_y tartományba (20) bevitt adatokat legalább részben közvetlenül a hordozható adatbeviteli eszközből visszük be, előnyösen ahhoz tartozó gépi olvasóval.
5. 6. Az 1-5. igénypontok bármelyike szerinti eljárás azzal jellemezve, hogy sikeres meghatározási lépés esetén a saját D_u tartományból (10) elfogadási üzenetet bocsátunk ki elsősorban az idegen D_y tartomány (20) számára, míg sikertelen meghatározás esetén elutasítási üzenetet állítunk elő és küldünk el.
6. 7. Az 1. vagy 2. igénypont szerinti eljárás azzal jellemezve, hogy a titkos függvény SUid=F(Au, T_u, PW_U) egyirányú függvény, és az A_u azonosító alias név vagy a felhasználó (U) másodlagos azonosítója.
7. 8. Az 1-7. igénypontok bármelyike szerinti eljárás azzal jellemezve, hogy egy vonatkozó o_u időintervallum egy más szinkronizálási időpont jelzés előtt az otthoni D_u tartományban az elkövetkező időintervallumok esetére egy vagy több kódolt üzenetet kiszámítunk és referencia és fordító táblázatban (42) eltárolunk.
8. 9. A 8. igénypont szerinti eljárás azzal jellemezve, hogy a referencia és fordító táblázatot (42) az otthoni D_u tartományban szelektív módon, elsősorban az utazó vagy utazásra készülő felhasználókra (U) vonatkozóan állítjuk össze.
9. 10. Az 1. vagy 2. igénypont szerinti eljárás azzal jellemezve, hogy minden egyes D_x tartományhoz az egész D_x tartományban érvényes σ_χ időintervallumot választunk, mely megválasztott σ_χ időintervallum egy vagy több óra nagyságrendű.
10. 11. Hordozható adatbeviteli eszköz, elsősorban aktív memóriakártya az 1-10. igénypontok bármelyike szerinti eljárásban való felhasználásra, azzal jellemezve, hogy minden egyes adatbeviteli eszközre egyedi azonosítót vagy kulcsot, órát vagy más szinkronizáció időpont jelzőeszközt, kódolt üzenetet (SUid) kiszámító processzort, az adatbeviteli eszközt jogusultság üzemmód valamint a kódolt üzenetet (SUid) létrehozó felhasználó azonosító üzemmód között kapcsoló eszközt, valamint az előállított kódolt üzenetet (SUid) kijelző vagy az idegen D_y tartományba bevivő eszközt tartalmaz.

    -26·»»··«·· « » ·» • · · · » * • · · « · · · ···· · · · · r • · ·· ··· · ··
11. 12. All. igénypont szerinti hordozható adatbeviteli eszköz, azzal jellemezve, hogy a kapcsoló eszköz kézi üzemmód kapcsoló (4) az adatbeviteli eszköz felhasználó általi üzemmód váltásához és/vagy az adatbeviteli eszköz előnyösen időfüggő üzemmód átkapcsolását végző automatikus üzemmód kapcsoló.
12. 13. Rendszer helyhez nem kötött felhasználó azonosítására kommunikációs hálózatban, amelyben több, tartományokká vagy alhálózatokká csoportosított elosztott szekció van kialakítva, és minden egyes felhasználónak azonosítója és jelszava vagy más titkos feljogosító adata van, és az azonosító és a jelszó a felhasználó saját tartományában kerül eltárolásra, és az eljárás során előnyösen időintervallum jelzéssel a felhasználó idegen tartományban végzett adatbevitelét szinkronizáljuk saját otthoni tartományával, azzal jellemezve, hogy egy titkos, előnyösen egyirányú függvény segítségével az azonosítót (A„), a szinkronizáció elvégzését jelző időpontot (T_u), és a felhasználó (U) jelszavát (PW_U) vagy más titkos feljogosító adatát kódoló eszköze, ezekből kódolt üzenetet (SUid) képező eszköze, a kommunikációt kezdeményező felhasználót (U) területén tartalmazó idegen tartomány (D_y) felé a felhasználó (U) saját tartományát (D_u) jelző eszköze, a kódolt üzenetet (SUid) a felhasználó (U) saját tartományába (D_u) továbbító eszköze, és a felhasználó (U) saját tartományában (D_u) ebből a kódolt üzenetből (SUid) a felhasználó (U) valódi kilétét megállapító eszköze van.
13. 14. A 13. igénypont szerinti rendszer azzal jellemezve, hogy az idegen D_y tartományban (10) és/vagy az otthoni D_u tartományban (20) az üzenet vezérlést és kezelést saját AS_U azonosító szerver (24) illetve idegen AS_y azonosító szerver (14) végzi.
14. 15. A 13. igénypont szerinti rendszer azzal jellemezve, hogy a saját D_u tartomány felügyeletének AS_U azonosító szerverében (24) referencia és fordító táblázatokat (42) tároló eszköz (41) van kialakítva.