JP4559689B2 - 加入者の認証 - Google Patents

Description

【０００１】
【技術分野】
本発明は、移動通信システムの加入者認証に使用されるアルゴリズムに係り、より詳細には、加入者認証に使用される認証応答に係る。
【０００２】
【背景技術】
移動通信システムとは、一般に、ユーザがシステムのサービスエリア内をローミングするときにワイヤレス通信を行うことのできるテレコミュニケーションシステムを指す。公衆地上移動ネットワークＰＬＭＮは、移動通信システムの典型的な例である。
【０００３】
移動通信システムでは、移動ステーション及び実際のネットワークが、通常、無線経路を経て通信する。無線経路は、物理的にオープンであり、これはセキュリティの危険性を招き、それ故、ユーザ及びオペレータの両方は、侵入が意図されないものであるかどうかに関わらず、第三者による侵入に対して保護されねばならない。例えば、ネットワークへの不法アクセスは、移動ステーションがネットワークに登録されるときにネットワークが移動ステーションを認証するようにして防止される。盗聴の危険性は、暗号を使用することにより減少される。
【０００４】
認証とは、ある当事者が、合意された手順に従って他の当事者を認証する手順である。例えば、パンヨーロピアン移動通信システムＧＳＭ（移動通信用のグローバルシステム）では、認証に使用されるアルゴリズム及び加入者のキーＫｉが認証のために加入者認識モジュールＳＩＭ及び認証センターの両方に記憶される。ＧＳＭシステムでは、認証に使用される認証応答ＳＲＥＳが、アルゴリズムＡ３を使用して計算され、そして情報の暗号化に使用されるキーＫｓが、アルゴリズムＡ８と共に無線経路を経て送信される。典型的に、これらアルゴリズムは、認証応答ＳＲＥＳ及び暗号キーＫｃの両方が認証中に計算されるように結合される。アルゴリズムＡ３及びＡ８は、オペレータ特有のもので、所有権があり、そして通常は機密である。認証センターにおけるランダム番号発生器は、チャレンジＲＡＮＤを発生し、これは、認証中に無線経路を経て移動ステーションへ送信される。このチャレンジＲＡＮＤ及び加入者キーＫｉは、認証センター及び移動ステーションの両方において認証応答ＳＲＥＳ及び暗号キーＫｃを計算するのに使用される。認証中に、移動ステーションは、それが計算した認証応答ＳＲＥＳをネットワークへ返送し、そこで、認証センターが計算した認証応答と比較される。それらの応答が同一である場合には、移動ステーションが認証に合格し、その後、無線経路に送信されるべき情報が、通常、暗号キーＫｃで暗号化される。
【０００５】
上記の認証手順に関連した問題は、オペレータ特有のカスタマイザーションを行えないことである。例えば、種々のオペレータにアルゴリズムを露呈すると、同時に、オペレータに、別のオペレータの認証システムを妨害する機会を与えることになる。従って、システムのセキュリティを保証することができない。
【０００６】
【発明の開示】
本発明の目的は、上記問題を解消する方法、及びこの方法を実施する装置を提供することである。本発明のこの目的は、独立請求項に記載したことを特徴とする方法、システム、認証センター及び加入者認識モジュールにより達成される。本発明の好ましい実施形態は、従属請求項に記載する。
【０００７】
本発明は、オペレータに対してパラメータが定義され、そして加入者キーＫｉ及びオペレータパラメータから一方向ファンクションでシークレット情報が計算されるという考え方に基づく。シークレット情報及びチャレンジ（公開情報）は少なくとも認証応答を一方向ファンクションで計算するのに使用されるが、もし必要であれば、同時に暗号キーＫｃも計算できる。「キー」とは、暗号情報即ちシークレットに対する一般的な用語である。本発明の効果は、認証についてオペレータ特有のカスタマイゼーションを可能にすることである。更に別の効果は、本発明のセキュリティが、シークレットアルゴリズムをベースとせず、シークレットキーをベースとし、従って、アルゴリズムをオペレータに露呈できることである。
【０００８】
本発明の好ましい実施形態では、加入者キー及びオペレータパラメータから計算されたシークレット（１つ又は複数）が加入者認識モジュールに記憶される。この実施形態の効果は、認証応答の計算が加入者認識モジュールにおいて容易に実施できることである。予め計算された情報が使用されるときには認証も迅速に行われる。この実施形態の更に別の効果は、認識モジュールに含まれた情報をデコードすることができても、オペレータパラメータを導出できないことである。
【０００９】
【発明を実施するための最良の形態】
以下、添付図面を参照して、本発明の好ましい実施形態を詳細に説明する。
本発明は、加入者が認証されるいかなるテレコミュニケーションシステムにも適用できる。これらシステムは、ＧＳＭシステム、その次世代の、ＧＳＭ２＋として知られているシステム及び同様のシステム、例えば、ＰＣＳ（パーソナルコミュニケーションシステム）及びＤＣＳ１８００（１８００ＭＨｚ用のデジタルセルラーシステム）を含む。又、本発明は、第３世代の移動通信システム、例えば、ＵＭＴＳ（ユニバーサル移動テレコミュニケーションシステム）及びＩＳ−４１（暫定規格）にも適用できる。以下、本発明は、ＧＳＭシステムを一例として使用して説明するが、この特定のシステムに限定されるものではない。
【００１０】
図１は、ＧＳＭシステムのネットワークアーキテクチャーを一般的なレベルで示している。というのは、このシステムの詳細な構造は、本発明に関与しないからである。
ＧＳＭシステム１に基づくネットワークＧＳＭの構造は、２つの部分、即ちベースステーションサブシステムＢＳＳと、ネットワークサブシステムＮＳＳとで構成される。ＢＳＳと移動ステーションＭＳは、無線接続を経て通信する。ベースステーションサブシステムは、ネットワークサブシステムＮＳＳの移動交換センターＭＳＣに接続される。移動交換センターの機能は、少なくとも１つの移動ステーションＭＳを含むコールを切り換えることである。幾つかの移動交換センターが、他のテレコミュニケーションネットワーク、例えばＰＳＴＮ（公衆交換電話ネットワーク）に接続され、これらネットワークへの及びこれらネットワークからのコールを切り換えるための交換機能を含む。これらの移動交換センターは、ゲートウェイセンターとも称される。
【００１１】
ネットワークサブシステムＮＳＳは、２つの形式のデータベースを含む。ネットワークの全加入者に関する加入者情報は、ホーム位置レジスタＨＬＲに永久的又は半永久的に記憶され、加入者情報は、加入者識別子ＩＭＳＩに接続される。他の形式のレジスタは、ビジター位置レジスタＶＬＲである。移動ステーションＭＳがアクティブである（ネットワークに登録されてコールを発信又は受信できる）ときには、ホーム位置レジスタＨＬＲに含まれた移動ステーションＭＳに関する加入者情報の大部分が、その移動ステーションＭＳが位置するエリアの移動交換センターＭＳＣのビジター位置レジスタへロード（コピー）される。実際に、移動交換センターＭＳＣ及びビジター位置レジスタＶＬＲは、移動管理、制御及びシグナリングに関して中心的ネットワーク要素である。
【００１２】
ネットワークサブシステムは、認証センターＡｕＣも備えている。認証センターＡｕＣは、通常、加入者のホーム位置レジスタＨＬＲの一部分である。認証センターＡｕＣは、チャレンジ、即ちランダム番号パラメータＲＡＮＤを発生するためのランダム番号発生器（図示せず）を備えている。又、認証センターは、加入者に関する認証情報及び認証アルゴリズムを記憶するためのメモリも有する。本発明の第１及び第２の好ましい実施形態に基づいて記憶されるべき加入者認証情報は、加入者キーＫｉ及びオペレータパラメータＴを含む。オペレータが２つ以上のパラメータを有する場合には、認証センターは、例えば、オペレータパラメータ又はオペレータパラメータを識別する識別子を加入者情報に記憶することにより、加入者キーＫｉを正しいオペレータのパラメータに結合することができる。認証センターは、図２、３及び４に示した認証アルゴリズムの１つを使用して、加入者キー、オペレータパラメータ及びランダム番号から認証応答ＳＲＥＳ及び暗号キーを計算し、そして「認証トリプレット」、即ちランダム番号ＲＡＮＤ、認証応答ＳＲＥＳ及び暗号キーＫｃより成るエンティティを形成するのが好ましい。オペレータパラメータは、オペレータの識別子及びオペレータのシークレットより成る２進パラメータであるのが好ましい。オペレータパラメータは、シークレットである必要はない。オペレータパラメータＴは、図２を参照して詳細に説明する。
【００１３】
本明細書において、「移動ステーション」ＭＳとは、一般に、移動加入者及び実際のターミナルにより形成されたエンティティを指す。ターミナルとは、移動通信システムにおいて通信することのできる任意の装置或いは多数の装置の組み合わせであり、例えば、移動接続を与えるためにノキア社により製造されたカード電話が設けられたマルチメディアコンピュータである。加入者は、ターミナルに取り外し可能に接続された加入者認識モジュールＳＩＭから識別される。ＳＩＭは、移動ステーションに挿入されるスマートカードであり、加入者の識別に関連した情報、例えば、国際移動加入者認識ＩＭＳＩ、及び加入者を認識する手段を含む。換言すれば、ＳＩＭは、認証に必要なアルゴリズム及びシークレットを含む。典型的に、ＳＩＭは、位置エリアの一時的移動加入者認識ＴＭＳＩも含み、これにより、ＩＭＳＩが無線経路を経て送信されるのを回避できる。
【００１４】
本発明による機能を実施するテレコミュニケーションシステム、認証センター及び移動ステーションは、認証に必要とされる公知の装置に加えて、認証にオペレータパラメータを考慮するための手段を含む。既存のネットワークノードは、本発明による機能に使用できるプロセッサ及びメモリを備えている。本発明を実施するのに必要な全ての変更は、追加又は更新されたソフトウェアルーチン及び／又はアプリケーション回路（ＡＳＩＣ）によって実行することができる。移動ステーション及び／又は認証センターは、付加的なメモリも必要とする。
【００１５】
図２は、本発明の第１実施形態に使用されるアルゴリズムＡ３／Ａ８を示し、ここでは、ＧＳＭシステムにおいて通常そうであるように、２つの異なるアルゴリズムが結合される。本発明のアルゴリズムとしては、各加入者に対して少なくとも１つのオペレータパラメータＴ及び個別のキーＫｉを定義することが必要である。加入者特有のキーＫｉは、公知技術に基づいて定義され、そしてその長さは、ＧＳＭ規格により１２８ビットである。本発明の第１の好ましい実施形態では、アルゴリズムは、当業者に良く知られた２つの異なる暗号ファンクション、即ち国際的に標準化されたハッシュ関数ＲＩＰＥＭＤ−１２８、及びＤＥＳ規格（データ暗号規格）に基づく暗号アルゴリズムより成る。これは、これらファンクションの最良の特性を結合できるようにする。従って、本発明の第１の好ましい実施形態に使用されるアルゴリズムは、メッセージ認証コードＭＡＣの１つである。ハッシュアルゴリズムは、本来的に非可逆でありそして数値的に効率の良いものである。一方、暗号アルゴリズムは、スマートカードに良く適しており、そのほとんどがＤＥＳアルゴリズムをサポートする。暗号アルゴリズムは、シークレット入力が暗号アルゴリズムのキーとして使用されるときに一方向ファンクションである。広く利用されそしてテストされた一方向ファンクションを使用することにより、ネットワークに設定されたセキュリティ要求を満足するよう確保することができる。オープンであることは、アルゴリズムが意図的なトラップドア又は他の弱点を含まないよう確保することができる。アルゴリズムを完全に解読すること、即ちアルゴリズムを分析してオペレータパラメータ及び加入者キーを見出すことは、対応する国際規格の解読が必要になるために、ほとんどあり得ない。
【００１６】
第１の好ましい実施形態では、オペレータパラメータＴは、オペレータのコードＣＣ及びオペレータのシークレットＣＳより成る３８４ビットパラメータである。換言すれば、Ｔは、ＣＣ｜｜ＣＳである。以下の説明は、オペレータパラメータを定義する一例に過ぎないことを強調しておく。本発明は、オペレータパラメータを定義する方法を何ら限定するものではない。
【００１７】
オペレータコードＣＣは、本発明の第１の好ましい実施形態では、１２８ビットのハッシュコードであり、これは、例えば、次のテキストから、ハッシュ関数ＲＩＰＥＭＤ−１２８により、２７個のＸを、例えば、オペレータの名前及び空きスペースに置き換え、その後、テキストをＡＳＣＩＩでコード化したときに得られる。即ち、ＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸＸに対してＮＯＫＩＡ ＮＥＴＷＯＲＫ ＧＳＭ Ａ３Ａ８。従って、異なるオペレータは、異なるパラメータを有する。又、オペレータが、自分の名前の終りに異なる文字又は数字を追加する場合には、同じオペレータが多数のパラメータを有してもよい。１つのＸであっても、異なる値が、異なるオペレータコードＣＣを生じさせる。
【００１８】
オペレータシークレットＣＳは、本発明の第１の好ましい実施形態では、２５６ビットより成るストリングである。オペレータは、このストリングを自由に選択することができる。しかしながら、オペレータシークレットに対する独特の値を、それが予想できないように発生することを推奨する。これは、オペレータの値が互いに著しく相違するよう確保することができる。又、オペレータパラメータがシークレットであることが意図されない場合には、オペレータパラメータの値は、一連のゼロであってもよい。１人のオペレータは、多数の異なるシークレットＣＳ、従って、異なるオペレータパラメータを有してもよい。
【００１９】
本発明の第１の好ましい実施形態による認証アルゴリズムでは、ＧＳＭ規格に基づき長さが１２８ビットであるランダム番号が、ステップ２０１において、チャレンジＲＡＮＤに発生される。ステップ２０２において加入者キーＫｉが検索され、そしてステップ２０３においてオペレータパラメータＴが検索される。又、サブ値は、部分キーとも称される。ステップ２０３及び２０４では、拡張キーとしてサブ値ＫＥ１及びＫＥ２を計算する。各サブ値は１２８ビットより成る。サブ値は、オペレータパラメータＴ及び加入者キーＫｉから独立して計算される。サブ値を計算するために、オペレータパラメータＴ及び加入者キーＫｉがマスキングされ、そしてそのマスキングの後に、ハッシュ関数ＲＩＰＥＭＤ−１２８を１ラウンドで使用してそれらからサブ値が計算される。計算においては、標準的な初期値が使用され、詰め物や長さの追加は行われない。というのは、入力が標準的な長さだからである。サブ値ＫＥ１は、６４オクテット００１１０１１０より成るストリングであるマスクＩＰＡＤを使用して計算される。サブ値ＫＥ２は、６４オクテット０１０１１１００より成るストリングであるマスクＯＰＡＤを使用して計算される。サブ値ＫＥ１及びＫＥ２が計算された後に、ステップ２０６において、ＤＥＳアルゴリズムがラウンドファンクションとして働く場合に３ラウンドのフェイステル(Feistel)ネットワークＦを使用して、サブ値ＫＥ１及びチャレンジＲＡＮＤから１２８ビットの中間出力が計算される。この計算は以下で詳細に説明する。ステップ２０７では、ＤＥＳアルゴリズムがラウンドファンクションとして働く場合に３ラウンドのフェイステルネットワークＦを使用して、サブ値ＫＥ２及び上記中間結果から１２８ビットの出力が計算される。ステップ２０８では、この出力から最も左の３２ビットが抽出されて、認証応答ＳＲＥＳを形成し、そして次の６４ビットを使用して、暗号キーＫｃを形成する。
【００２０】
上記の計算は、ＨＭＡＣ規格（メッセージ認証に対するキー式ハッシュ）に基づく次の式により表わすことができる。
【数１】

但し、本発明の新規な所有権のあるハッシュ関数Ｈは、以下に述べるキースケジューリングオペレーションにより、標準化されたＲＩＰＥＭＤ−１２８と３ラウンドのフェイステルネットワークとを結合することにより得られる。キースケジューリングとは、アルゴリズムがキーパラメータを使用する仕方を指す。ほとんどの場合に、２つ以上の部分キーが導出され、これらがアルゴリズム計算の種々の段階で使用される。
【００２１】
３ラウンドのフェイステルネットワークＦは、本発明の第１の好ましい実施形態では、１２８ビットのキーＫＥｊ及び１２８ビットのデータ入力ＤＩｊである２つの入力を受け取る。１２８ビットの出力ＤＯｊ（ＤＯｊ＝Ｆ（ＫＥｊ；ＤＩｊ））が２つの段階で計算される。
第１の段階では、キースケジューリングを実行する。本発明の第１の好ましい実施形態では、３つの６４ビットＤＥＳキーがキーＫＥｊから新たな方法で導出される。先ず、キーＫＥｊが１６オクテットＫＥｊ［０］．．ＫＥｊ［１５］に分割される。これらのオクテットは、次のように３２オクテットＭｊ［０］．．Ｍｊ［３１］に変換される。
Ｍｊ［ｋ］＝ＫＥｊ［ｋ］、 ｋ＝０、・・１５
Ｍｊ［ｋ］＝ＫＥｊ［(ｋ−１０)ｍｏｄ８］ ｋ＝１６、・・２３
Ｍｊ［ｋ］＝ＫＥｊ［((ｋ−２０)ｍｏｄ８)＋８］ ｋ＝２４、・・３１
【００２２】
従って、キーＫＥｊの各オクテットは、アレーＭｊにおいて次の順序で２回生じる。
０ １ ２ ３ ４ ５ ６ ７
８ ９ １０ １１ １２ １３ １４ １５
６ ７ ０ １ ２ ３ ４ ５
１２ １３ １４ １５ ８ ９ １０ １１
【００２３】
最初の６４ビットＤＥＳキーＫｊ１は、第１行において各オクテットの半分を交換し、そしてその交換で得られたオクテットと第２行のオクテットとに対してＸＯＲ演算を実行することにより得られる。第２ラウンドのキーは、第２及び第３行のオクテットに同じ手順を繰り返すことにより得られる。対応的に、第３のキーは、第３及び第４行のオクテットにこの手順を繰り返すことにより得られる。アレーＭｊ［０、１、・・３１］からのＤＥＳキーＫｊ１、Ｋｊ２及びＫｊ３の導出は、次のように表わすことができる。
【数２】

但し、「ｓｗａｐ」は、オクテットＢ＝Ｂ［０、・・７］の半分を次のように交換する。
ｓｗａｐ Ｂ＝Ｂ［４、５、６、７、０、１、２、３］
【００２４】
第２段階では、データ入力ＤＩｊ［０、・・１２７］は、２つの部分、即ち左部分ＤＩｊＬ＝ＤＩｊ［０、・・６３］及び右部分ＤＩｊＲ＝ＤＩｊ［６４、・・１２７］に分割される。１２８ビットの出力は、２つの部分、即ち左出力部分ＤＯｊＬ＝［０、・・６３］及び右出力部分ＤＯｊＲ＝Ｄｏｊ［６４、・・１２７］において次のように発生される。
【数３】

【００２５】
図２のステップ２０６では、ランダム番号で形成されたチャレンジがデータ入力として使用され、そして図２のステップ２０７では、中間出力ＤＯ１が使用される。ステップ２０６及び２０７は、次の式で表わすことができる。
ＤＩ２＝ＤＯ１＝Ｆ（ＫＥ１；ＲＡＮＤ） （ステップ２０６）
ＤＯ２＝Ｆ（ＫＥ２；ＤＩ２）＝Ｆ（ＫＥ２；Ｆ（ＫＥ１；ＲＡＮＤ））
（ステップ２０７）
【００２６】
本発明の第１の好ましい実施形態によるアルゴリズムは、予め計算されるモード及び直接的モードの２つのやり方で使用することができる。予め計算されるモードでは、部分キーＫＥ１及びＫＥ２が前もって計算されて（即ち、ステップ２０２ないし２０５が実行され）そして記憶される。予め計算されるモードでは、ステップ２０６ないし２０８が認証中にチャレンジ発生に加えて実行される。ＤＥＳラウンドを伴う上述したフェイステルネットワークＦがステップ２０６ないし２０８に使用されるときには、予め計算されるモードにおいて実際の認証中に実行されるべきアルゴリズムが、１２８ビットＤＥＳアルゴリズムＤＥＡＬと同じである。
【００２７】
図３は、移動ステーションがネットワークに登録されるときに本発明の第１の好ましい実施形態に基づく認証を示す。本発明の第１の好ましい実施形態は、図２を参照して述べたアルゴリズムを認証センターＡｕＣに使用すると共に、加入者認識モジュールＳＩＭに予め計算されるモードで使用する。これは、全アルゴリズムに加えて、加入者キーＫｉ及びオペレータパラメータＴが認証センターに記憶される一方、加入者認識モジュールＳＩＭには、アルゴリズムの一部分と、拡張キーの部分キーＫＥ１及びＫＥ２しか記憶されないことを意味する。部分キーは、加入者キーＫｉと同様に処理されそして機密保持される。図３の例では、明瞭化のために、移動交換センター及びビジター位置レジスタが同じユニットＭＳＣ／ＶＬＲに一体化されると仮定する。
【００２８】
認証の始めに、移動ステーションＭＳは、メッセージ３−１において、ＳＩＭ及び加入者が移動交換センターＭＳＣ／ＶＬＲに識別されるときの基礎となる識別データを送信する。通常、この識別情報はＩＭＳＩ又はＴＭＳＩである。移動交換センターＭＳＣ／ＶＬＲは、メッセージ３−２において、認証センターＡｕＣに認証要求を送信する。メッセージ３−２は、加入者認識ＩＭＳＩを含む。ビジター位置レジスタは、ＴＭＳＩをＩＭＳＩに切り換えることができる。ステップ３−３では、認証センターＡｕＣが、加入者特有の認証キーＫｉ及びオペレータパラメータＴを、認証要求に含まれた加入者認識ＩＭＳＩに基づいて選択する。認証センターＡｕＣは、図２を参照して述べたように、オペレータパラメータＴ及び加入者キーＫｉから部分キーＫＥ１及びＫＥ２を計算する。更に、ランダム番号発生器は、例えば、５つのランダム番号パラメータＲＡＮＤをチャレンジとして発生する。図２を参照して述べたように、各チャレンジ及び部分キーＫＥ１及びＫＥ２からチェックパラメータＳＲＥＳ及び暗号キーＫｃが形成される。換言すれば、一度に２つ以上の認証トリプレットが計算されるときには、第１のトリプレットで部分キーＫＥ１及びＫＥ２のみを計算しそしてそれらの部分キーを次のトリプレット計算のためにメモリに一時的に記憶すれば充分である。認証センターＡｕＣは、このように計算された５つの認証トリプレットＲＡＮＤ、ＳＲＥＳ、Ｋｃ等をメッセージ３−４においてビジター位置レジスタＭＳＣ／ＶＬＲへ送信し、そこで、ステップ３−５において記憶される。
【００２９】
ビジター位置レジスタＭＳＣ／ＶＬＲは、加入者のＲＡＮＤ／ＳＲＥＳ／ＫｃテーブルからパラメータとしてＲＡＮＤ値を選択し、そしてそれをメッセージ３−６において移動ステーションＭＳへ送信すると共に、更に、加入者認識モジュールＳＩＭへ送信する。本発明の第１の好ましい実施形態では、ＳＩＭは、加入者キーＫｉ及びオペレータパラメータＴから計算された部分キーＫＥ１及びＫＥ２を含む。又、ＳＩＭは、図２に示した認証アルゴリズムＡ３のステップ２０６ないし２０８も含む。ステップ３−７では、ＳＩＭは、受信したＲＡＮＤパラメータ及びキーＫＥ１及びＫＥ２により、上述したＤＥＳラウンドを伴うフェイステルネットワークＦを用いて、ＳＲＥＳパラメータ及び暗号キーＫｃを計算する。移動ステーションは、このＳＲＥＳパラメータをビジター位置レジスタＭＳＣ／ＶＬＲへ返送する。ステップ３−９では、ビジター位置レジスタＭＳＣ／ＶＬＲは、移動ステーションにより送信されたＳＲＥＳ値を記憶されたＳＲＥＳ値と比較し、そして認証が成功であったかどうかメッセージ３−１０において移動ステーションＭＳに通知する。移動ステーションにより送信されたＳＲＥＳ値が、記憶されたＳＲＥＳ値と同じである場合には、認証が成功であり、暗号キーＫｃでの暗号化を無線経路においてスタートすることができる。
【００３０】
ビジター位置レジスタＶＬＲが次の加入者を認証すべきであるときには、加入者のＲＡＮＤ／ＳＲＥＳ／ＫｃテーブルからパラメータＲＡＮＤの次の値を選択し、そしてそれを移動ステーションに送信すると共に、更に、加入者認識モジュールＳＩＭに送信する。
本発明の第１の好ましい実施形態では、加入者認識モジュールＳＩＭに本発明のアルゴリズムの予め計算されるモードを使用し、そして認証センターにアルゴリズムの直接形態を使用することで、両一方向ファンクションの最良の特徴を結合できると共に、最適な性能及びセキュリティをカスタマイズされた仕方で保証できるという効果が与えられる。ＲＩＰＥＭＤ−１２８は、非常に効率的な一方向ファンクションであるが、加入者認識モジュールＳＩＭにより使用される８ビットプロセッサは、それを正当に取り扱わない。ＤＥＳは、ＲＩＰＥＭＤ−１２８ほど効率的でないが、それが最良であると知られており、そして加入者認識モジュールＳＩＭにおいて安全且つ効率的に実施することができる。
【００３１】
認証センターＡｕＣは、ネットワークにオペレータパラメータＴを使用するたびに、加入者認識モジュールＳＩＭに含まれた部分キーＫＥ１及びＫＥ２が当該オペレータパラメータを使用して実際に導出されたものであることもチェックする。通常、１人のオペレータは、多数の加入者認識モジュールＳＩＭ手順を使用し、加入者キーＫｉそれ自体も形成する。又、オペレータは、部分キーＫＥ１及びＫＥ２を形成するためのオペレータパラメータもそれらに与える。オペレータは、例えば、プロデューサ特有のシークレット部分ＣＳを使用し及び／又はオペレータコードＣＣにおいてオペレータの名前を交換することにより、各プロデューサに異なるオペレータパラメータを与えることができる。又、オペレータは、加入者キーＫｉ及びそれに関連した部分キーＫＥ１及びＫＥ２をそれ自身で形成して、それらを加入者認識モジュールＳＩＭのプロデューサに与え、その認識モジュールに記憶することができる。
【００３２】
上述した一方向ファンクション、マスク及びキースケジューリングは、本発明をいかに実施できるか説明するものに過ぎず、本発明をそれらに何ら限定するものではない。上述したマスク及びキースケジューリングは、一例に過ぎず、必要でもない。又、公開ファンクションである必要のない他の一方向ファンクションを使用することもできる。更に、同じ一方向ファンクションを各段階に使用することができる。一方、同じファンクションが計算に２回使用されないように、異なるファンクションを各段階に使用することもできる。更に、例えば、第１ファンクションを１回使用し、そして第２ファンクションを３回使用することができる。
【００３３】
本発明の他の好ましい実施形態では、予め計算されるモードを、認証センターＡｕＣにも使用することができる。この場合、加入者に対して認証センターＡｕＣに部分キーＫＥ１及びＫＥ２を記憶しなければならない。一方、加入者認識モジュールＳＩＭに直接的形態を使用することができ、この場合は、全アルゴリズム、加入者キーＫｉ及びオペレータパラメータＴが加入者認識モジュールに記憶されるが、部分キーＫＥ１及びＫＥ２は記憶されない。
【００３４】
図４は、本発明の第２の好ましい実施形態を示す。ここでは、本発明によるアルゴリズムは、出力及び入力の長さについてのコメントやファンクションを詳細に説明せずに、最も簡単に説明する。加入者キーＫｉ及びオペレータパラメータＴは、本発明の第２の好ましい実施形態においても定義される。
本発明の第２の好ましい実施形態によるアルゴリズムは、ステップ４０１において、チャレンジＲＡＮＤの発生で開始される。ステップ４０２において加入者キーＫｉが検索され、そしてステップ４０３においてオペレータパラメータＴが検索される。その後、ステップ４０４において、加入者キーＫｉ及びオペレータパラメータＴから一方向ファンクションでキーＫＥが計算される。ステップ４０５では、キーＫＥ及びチャレンジＲＡＮＤから一方向ファンクションで出力が計算され、そしてステップ４０６では、この出力から認証応答ＳＲＥＳが抽出される。
【００３５】
本発明の第２の好ましい実施形態による計算は、次の式で表わされる。
Ｈ２（Ｈ１(Ｋｉ｜｜Ｔ)｜｜ＲＡＮＤ）
本発明の第２の好ましい実施形態では、同じ一方向ファンクション、例えば、ＲＩＰＥＭＤ−１２８ファンクションを使用することができる。ステップ４０４では、２つの異なる一方向ファンクション、例えば、ＲＩＰＥＭＤ−１２８ファンクションを使用することもでき、そしてステップ４０５では、図２を参照して述べたように、ＤＥＳがラウンドファンクションとして働くような６ラウンドのフェイステルネットワークを使用することができる。
【００３６】
又、第２の好ましい実施形態も、予め計算されるモード及び直接的なモードで適用することができる。予め計算されるモードでは、キーＫＥが前もって計算されて、例えば、加入者認識モジュールＳＩＭに記憶される。
図２、３及び４に示されたステップは、絶対的な時間的順序ではなく、幾つかのステップは、同時に実行することもできるし、又は図示されたものとは異なる順序で実行することもできる。更に、ステップとステップとの間に他の幾つかの機能を配置することもできる。一方、幾つかの機能を省略することもできる。重要なことは、オペレータパラメータが認証における入力としても使用されることである。図３を参照して上述したシグナリングメッセージは、参考に過ぎず、同じ情報を送信するための多数の個別メッセージを含んでもよい。又、メッセージは、他の種類の情報を含んでもよい。オペレータ及びシステムに基づき、種々の機能が振り分けられた他のネットワーク要素が、データ送信及びシグナリングの一部分を行うこともできる。更に、加入者認識モジュールは、チャレンジを発生しそしてそれを認証に関連して認証センターに送信するように構成されることも考えられる。
【００３７】
本発明は、移動通信システムに関連して説明したが、本発明の認証アルゴリズムは、加入者が認識モジュールにより認証される固定ネットワークにも適用することができる。
前記説明及び添付図面は、本発明を単に例示するものに過ぎず、当業者であれば、特許請求の範囲に記載した本発明の精神及び範囲から逸脱せずに、本発明を上記とは異なる形態で実施できることが明らかであろう。
【図面の簡単な説明】
【図１】 ＧＳＭシステムのネットワークアーキテクチャーを示す図である。
【図２】 本発明の第１の好ましい実施形態に基づく認証アルゴリズムのフローチャートである。
【図３】 本発明の第１の好ましい実施形態に基づくシグナリングを示す図である。
【図４】 本発明の第２の好ましい実施形態に基づく認証アルゴリズムのフローチャートである。

Claims (20)

1. テレコミュニケーションシステムにおいて加入者認証を構成する方法であって、加入者に対するキーを定義し、そして認証に使用されるべきチャレンジを発生すること(401)を含む方法において、
   認証センターによって、
   加入者のオペレータに対するパラメータを定義し、
   上記キー及びパラメータから第１の一方向ファンクションで第１シークレットを計算し(404)、
   上記チャレンジ及び第１シークレットから第２の一方向ファンクションで出力を計算し(405)、
   上記出力から認証応答を抽出し(406)、そして
   上記認証応答で加入者を認証すること、を備えたことを特徴とする方法。
2. 上記第１シークレットを加入者認識モジュールに記憶し、そして
   認証中に上記加入者認識モジュールにおいて第１シークレット及びチャレンジから出力を上記第２の一方向ファンクションで計算すること(405)、
   を更に備えた請求項１に記載の方法。
3. 上記第１の一方向ファンクションは、ハッシュ関数であり、そして上記第２の一方向ファンクションは、暗号化アルゴリズムである請求項１又は２に記載の方法。
4. テレコミュニケーションシステムにおいて加入者認証を構成する方法であって、加入者に対するキーを定義し、そして認証に使用されるべきチャレンジを発生すること(201)を含む方法において、
   認証センターによって、
   加入者のオペレータに対するパラメータを定義し、
   上記キー及びパラメータから第１の一方向ファンクションで第１シークレットを計算し(204)、
   上記キー及びパラメータから第２の一方向ファンクションで第２シークレットを計算し(205)、
   上記チャレンジ及び第１シークレットから第３の一方向ファンクションで中間出力を計算し(206)、
   上記中間出力及び第２シークレットから第４の一方向ファンクションで出力を計算し(207)、
   上記出力から認証応答を抽出し(208)、そして
   上記認証応答で加入者を認証すること、
   を備えたことを特徴とする方法。
5. 認証センターによって、
   上記第１シークレットを計算する前に上記キー及びパラメータを第１マスクでマスキングし、
   上記マスキングされたキー及びパラメータから上記第１シークレットを計算し(204)、
   上記第２シークレットを計算する前に上記キー及びパラメータを第２マスクでマスキングし、そして
   上記マスキングされたキー及びパラメータから上記第２シークレットを計算すること(205)、
   を更に備えた請求項４に記載の方法。
6. 上記第１及び第２のシークレットを加入者認識モジュールに記憶し、そして
   認証中に加入者認識モジュールにおいて第１シークレット及びチャレンジから中間出力を上記第３の一方向ファンクションで計算すると共に、その中間出力及び第２シークレットから出力を上記第４の一方向ファンクションで計算すること、
   を更に備えた請求項４又は５に記載の方法。
7. 上記第１及び第２の一方向ファンクションは、ハッシュ関数であり、そして上記第３及び第４の一方向ファンクションは、暗号化アルゴリズムである請求項４、５又は６に記載の方法。
8. 上記ハッシュ関数は、ＲＩＰＥＭＤ−１２８関数であり、そして上記暗号化アルゴリズムは、ＤＥＳ暗号化アルゴリズムを使用する請求項３又は７に記載の方法。
9. 上記加入者のオペレータのパラメータは、オペレータコード及びオペレータシークレットを含む請求項４ないし８のいずれかに記載の方法。
10. 上記出力から暗号キーも抽出することを更に備えた請求項４ないし９のいずれかに記載の方法。
11. 加入者の認証に参加するように構成された加入者認識モジュール(SIM)と、少なくとも加入者キーを含む加入者に関する認証情報を記憶するように構成された認証センター(AuC)とを備えたテレコミュニケーションシステム(GSM)であって、認証のパラメータとしてチャレンジを使用し、そして加入者認識モジュールにより計算された認証応答を、認証センターにより計算された認証応答と比較することにより加入者を認証するように構成されたシステムにおいて、
    少なくとも１つのオペレータパラメータ(T)が加入者のオペレータに対して定義され、
    上記認証センター(AuC)は、上記オペレータパラメータを記憶し、上記加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、その第１シークレット及び上記チャレンジから第２の一方向ファンクションで出力を計算し、そしてその出力から認証応答を抽出するように構成され、
    上記加入者認識モジュール(SIM)は、上記第１シークレットを含み、そしてその第１シークレット及び上記チャレンジから第２の一方向ファンクションで出力を計算し、そしてその出力から認証応答を抽出するように構成されたことを特徴とするテレコミュニケーションシステム。
12. 加入者の認証に参加するように構成された加入者認識モジュール(SIM)と、少なくとも加入者キーを含む加入者に関する認証情報を記憶するように構成された認証センター(AuC)とを備えたテレコミュニケーションシステム(GSM)であって、認証のパラメータとしてチャレンジを使用し、そして加入者認識モジュールにより計算された認証応答を、認証センターにより計算された認証応答と比較することにより加入者を認証するように構成されたシステムにおいて、
    少なくとも１つのオペレータパラメータ(T)が加入者のオペレータに対して定義され、
    上記認証センター(AuC)は、上記オペレータパラメータを記憶し、上記加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、上記加入者キー及びオペレータパラメータから第２の一方向ファンクションで第２シークレットを計算し、上記第１シークレット及び上記チャレンジから第３の一方向ファンクションで中間出力を計算し、上記第２シークレット及びその中間出力から第４の一方向ファンクションで出力を計算し、そしてその出力から認証応答を抽出するように構成され、
    上記加入者認識モジュール(SIM)は、第１及び第２シークレットを含み、そして第３の一方向ファンクションで中間出力を計算し、上記第２シークレット及びその中間出力から第４の一方向ファンクションで出力を計算し、そしてその出力から認証応答を抽出するように構成されたことを特徴とするテレコミュニケーションシステム。
13. 少なくとも１つの加入者を含むテレコミュニケーションシステムにおける認証装置(AuC)であって、認証のパラメータとしてチャレンジが使用され、少なくとも加入者キーを含む加入者に関する認証情報を記憶するように構成された認証装置において、
    加入者のオペレータに対して定義されたオペレータパラメータを記憶し、加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、この第１シークレット及びチャレンジから第２の一方向ファンクションで出力を計算し、そしてこの出力から認証に使用されるべき認証応答を抽出するように構成されたことを特徴とする認証装置(AuC)。
14. 加入者キーが認証情報として定義されるところの少なくとも１つの加入者を含み、そして認証のパラメータとしてチャレンジが使用されるテレコミュニケーションシステムの認証装置(AuC)において、
    上記加入者キーと、加入者のオペレータに対して定義されたオペレータパラメータから第１の一方向ファンクションで計算された第１シークレットを記憶し、この第１シークレット及び上記チャレンジから第２の一方向ファンクションで出力を計算し、そしてこの出力から認証に使用されるべき認証応答を抽出するように構成されたことを特徴とする認証装置(AuC)。
15. 少なくとも１つの加入者を含むテレコミュニケーションシステムにおける認証装置(AuC)であって、認証のパラメータとしてチャレンジが使用され、少なくとも加入者キーを含む加入者に関する認証情報を記憶するように構成された認証装置において、 加入者のオペレータに対して定義されたオペレータパラメータを記憶し、加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、加入者キー及びオペレータパラメータから第２の一方向ファンクションで第２シークレットを計算し、上記第１シークレット及びチャレンジから第３の一方向ファンクションで中間出力を計算し、上記第２シークレット及びこの中間出力から第４の一方向ファンクションで出力を計算し、そしてこの出力から認証応答を抽出するよう構成されたことを特徴とする認証装置(AuC)。
16. 加入者キーが認証情報として定義されるところの少なくとも１つの加入者を含み、そして認証のパラメータとしてチャレンジが使用されるテレコミュニケーションシステムの認証装置(AuC)において、
    上記加入者キーと、加入者のオペレータに対して定義されたオペレータパラメータから第１の一方向ファンクションで計算された第１シークレットと、上記加入者キー及びオペレータパラメータから第２の一方向ファンクションで計算された第２シークレットとを記憶し、上記第１シークレット及びチャレンジから第３の一方向ファンクションで中間出力を計算し、上記第２シークレット及びこの中間出力から第４の一方向ファンクションで出力を計算し、そしてこの出力から認証応答を抽出するよう構成されたことを特徴とする認証装置(AuC)。
17. 認証のパラメータとしてチャレンジが使用されるテレコミュニケーションシステムにおいて加入者により使用されるターミナルに接続することのできる加入者認識モジュール(SIM)であって、加入者キーを含む加入者認識モジュールにおいて、
    加入者のオペレータに対して定義されたオペレータパラメータも含み、そして 上記加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、この第１シークレット及び上記チャレンジから第２の一方向ファンクションで出力を計算し、そしてこの出力から認証に使用されるべき認証応答を抽出するように構成されたことを特徴とする加入者認識モジュール(SIM)。
18. 認証に加入者キーを使用しそしてパラメータとしてチャレンジを使用するテレコミュニケーションシステムにおいて加入者により使用されるターミナルに接続することのできる加入者認識モジュール(SIM)において、
    上記加入者キーと、加入者のオペレータに対して定義されたオペレータパラメータから第１の一方向ファンクションで計算された第１シークレットを含み、そして
    上記第１シークレット及びチャレンジから第２の一方向ファンクションで出力を計算し、そしてこの出力から認証に使用されるべき認証応答を抽出するように構成されたことを特徴とする加入者認識モジュール(SIM)。
19. 認証のパラメータとしてチャレンジが使用されるテレコミュニケーションシステムにおいて加入者により使用されるターミナルに接続することのできる加入者認識モジュール(SIM)であって、加入者キーを含む加入者認識モジュールにおいて、
    加入者のオペレータに対して定義されたオペレータパラメータも含み、そして
    上記加入者キー及びオペレータパラメータから第１の一方向ファンクションで第１シークレットを計算し、上記加入者キー及びオペレータパラメータから第２の一方向ファンクションで第２シークレットを計算し、上記第１シークレット及びチャレンジから第３の一方向ファンクションで中間出力を計算し、上記第２シークレット及びこの中間出力から第４の一方向ファンクションで出力を計算し、そしてこの出力から認証に使用されるべき認証応答を抽出するよう構成されたことを特徴とする加入者認識モジュール(SIM)。
20. 認証に加入者キーを使用しそしてパラメータとしてチャレンジを使用するテレコミュニケーションシステムにおいて加入者により使用されるターミナルに接続することのできる加入者認識モジュール(SIM)において、
    上記加入者キーと、加入者のオペレータに対して定義されたオペレータパラメータから第１の一方向ファンクションで計算された第１シークレットと、上記加入者キー及びオペレータパラメータから第２の一方向ファンクションで計算された第２シークレットとを含み、そして
    上記加入者のチャレンジ及び第１シークレットから第３の一方向ファンクションで中間出力を計算し、この中間出力及び上記第２シークレットから第４の一方向ファンクションで出力を計算し、そしてこの出力から認証応答を抽出するよう構成されたことを特徴とする加入者認識モジュール(SIM)。

Images