JP4636423B2

JP4636423B2 - 移動網内の認証

Info

Publication number: JP4636423B2
Application number: JP2000601874A
Authority: JP
Inventors: ジロー，ジャン−リュック; ブレ，ナタリー
Original assignee: Gemalto SA
Current assignee: Thales DIS France SA
Priority date: 1999-02-22
Filing date: 2000-02-15
Publication date: 2011-02-23
Anticipated expiration: 2020-02-15
Also published as: ES2344098T3; DE60044185D1; JP2004500736A; EP1157575B1; US8280053B1; CN1205833C; FR2790177A1; FR2790177B1; CN1341338A; AU2677600A; EP1157575A1; ATE464757T1; BR0008436A; WO2000051386A1

Description

【０００１】
本発明は、デジタルセルラー移動網内での、移動無線電話端末と、しばしば固定網と呼ばれるルーティングサブシステムとの間での認証方法に関するものである。更に詳細に言うと、本発明は、端末から取り外し可能なＳＩＭチップカード（加入者識別モジュールＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｆｙＭｏｄｕｌｅ）と呼ばれる、カードもしくはマイクロプロセッサ・モジュールと、移動網の認証センタとの間の無線インターフェースを介した認証を改善することに関するものである。
【０００２】
ＧＳＭ型デジタルセルラー移動網ＲＲについては、後ほど一例として言及することにするが、それは主に、複数の移動無線電話端末ＭＳといわゆる固定網から構成され、図１に概略が示されているように、特に信号、制御、データおよび音声などのメッセージが流れている。
【０００３】
図１に示されたネットワークＲＲでは、ある時点において、ある位置特定区域内に位置する移動端末ＭＳのＳＩＭカードに向けてのデータが主要なエンティティを介して通過するのが、特にはっきりと描かれている。これらのエンティティは、交換電話網ＲＴＣの自動ルーティング電話交換機ＣＡＡの少なくとも一台に接続された移動サービス交換機ＭＳＣであって、ビジター移動端末向けの通信を管理し、該ビジター移動端末のうちの一つの端末ＭＳは、任意の時点において交換機ＭＳＣにより接続されたそれぞれの位置特定区域内に存在する。ビジター・ロケーション・レジスタＶＬＲは、交換機ＭＳＣに接続され、位置特定区域内に位置する移動端末、実際は移動端末内のＳＩＭカードの加入者の識別番号やプロフィールなどの特性を保存している。交換機ＭＳＣに接続された基地局制御装置ＢＳＣが管理するのは、特に、移動端末へのチャネルの割当て、基地局の出力、及び移動端末のセルラー間の転送である。制御装置ＢＳＣに接続された基地局ＢＴＳは、任意の時点に端末ＭＳが位置する無線通信セルをカバーする。
【０００４】
移動網ＲＲには、ホーム・ロケーション・レジスタＨＬＲが更に含まれ、該レジスタは、認証センタＡＵＣと協働し、かつ移動網ＲＲの信号ネットワークを介して移動サービス交換機に接続されている。
【０００５】
レジスタＨＬＲは基本的に、レジスタＶＬＲと同様、データ・ベースであって、その中に保存されているのは、各端末ＭＳについての、端末のＳＩＭカードの、即ち、ＳＩＭカードの所持人である加入者の移動加入者識別番号ＩＭＳＩ（ＩｎｔｅｒｎａｔｉｏｎａｌＭｏｂｉｌｅＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙ）、名簿番号、加入者の加入プロフィール、そして移動端末を接続しかつ位置特定区域間の転送に際して更新されるレジスタＶＬＲの番号である。
【０００６】
認証センタＡＵＣは加入者の認証を確実に行い、データの機密保持に貢献するが、該データは、端末ＭＳと、その端末が任意の時点で接続される基地局ＢＴＳとの間の無線インターフェースＩＲを通過する。それによって管理されるのが、認証アルゴリズムＡ３と暗号鍵確定アルゴリズムＡ８であり、時折、ＧＳＭ規格により単一のアルゴリズムＡ３８に接続されることもあるが、これらのアルゴリズムは、端末との一切の通信に先立ち、あるいは端末を作動させる際に、またはセルラー間での転送の際に、移動端末ＭＳのＳＩＭカード内で冗長性を有する。特に、認証センタＡＵＣは、加入者のみに割当られた認証鍵Ｋｉを記憶しており、加入者が加入を申込んだ際にホーム・ロケーション・レジスタＨＬＲに記憶された加入者の識別番号ＩＭＳＩと対応している。
【０００７】
とりわけ、加入者を認識できるようにする為には、移動無線電話端末ＭＳを認証することが非常に重要となる。最大限の柔軟性を確保する為、認証センタが認証するのは、移動端末ＭＳそれ自体ではなく、その中に収められたチップＳＩＭカードである。このカードは加入者に割り当てられた鍵Ｋｉを保存しており、認証アルゴリズムＡ３を用いて、そのカードが鍵を知っていることを、鍵を明かすことなく証明する。固定網は、乱数ＲＡＮＤ（ｃｈａｌｌｅｎｇｅ）をカードに送り、暗号計算の為に認証アルゴリズムに乱数と鍵を入力すること、そして、その結果をＧＳＭ規格用の署名済応答ＳＲＥＳ（ＳｉｇｎｅｄＲＥＳｐｏｎｓｅ）の形で固定網に返送することを、そのカードに要求する。「攻撃者」即ち、ＳＩＭカードの所有者の口座から引き落とされる無線電話通信を確立したいと願う悪意の第三者にとって、その乱数の値を予測することは非常に難しい。鍵を知らない攻撃者は応答を捏造することが出来ない。乱数の値が大きいと、攻撃者は、辞書内の乱数−署名済応答の対の値を全てメモリに保存することができなくなる。移動網内での認証手続きは、一つの鍵を保存するＳＩＭカードを、このようにして認証する。
【０００８】
認証手続きは、簡潔には以下の過程を含む。
−予め、認証センタＡＵＣは複数の乱数ＲＡＮＤを選択し、一方では選択された乱数ＲＡＮＤと、認証アルゴリズムＡ３に適用され加入者に割り当てられた鍵Ｋｉとにそれぞれ応じた複数の署名応答を確定し、他方では選択された数ＲＡＮＤと鍵確定アルゴリズムＡ８に適用される鍵Ｋｉとにそれぞれ応じた複数の暗号鍵を確定して、〔乱数，署名応答，暗号鍵〕の三要素をロケーション・レジスタＨＬＲに与えるが、それは、移動無線電話サービスへの加入申込があるとすぐ行われ、その後、レジスタＨＬＲが三要素の蓄えを使い果たす度に、加入者のＳＩＭカードの識別番号ＩＭＳＩと照合して行われる。
−ＳＩＭカードが一時的に接続されるビジター・ロケーション・レジスタＶＬＲがカードの認証を要求する度に、レジスタＨＬＲが少なくとも一組の三要素を選択してレジスタＶＬＲに供給し、それによって、選択された三要素の乱数を、固定網と移動端末ＭＳを介してＳＩＭカードに伝送する。
−ＳＩＭカードは、伝送された乱数と鍵Ｋｉとを、署名済応答ＳＲＥＳを生成する認証アルゴリズムＡ３に適用して暗号計算を行い、それをレジスタＶＬＲに返送する。
−レジスタＶＬＲは、署名済応答ＳＲＥＳを、選択された三要素に保存されたものと比較し、応答が等しければ、カードは認証されることになる。
【０００９】
この認証手続きにより固定網でカードを認証できるとしても、この手続きでは逆にＳＩＭカードで固定網を認証することはできない。相互認証は一切想定されていない。
【００１０】
この欠点に加えて、もう一つ困ったことは、ＳＩＭカードに送る数は、どのような数でも無限に選べるということである。
【００１１】
これらの二つの欠点により、ＳＩＭカードは、電気的な攻撃のようなサイドチャネルによる攻撃や、又は例えば暗号解析の類の論理的手段による攻撃に弱くなっている。
【００１２】
暗号の分野では、暗号計算に用いられる鍵の値を取り込む様々なタイプの攻撃が知られている。
【００１３】
それらの攻撃手段のうち第一のもので、しかも最も単純なものは、乱数と、この数で行われる認証アルゴリズムの結果を取り込むこと、および取り込んだ結果が得られるまで、考え得る全ての鍵と乱数とを入力しつづけることである。ＧＳＭネットワーク内で認証を行う場合、このような攻撃は力づくの攻撃と呼ばれ、鍵を得るために平均して２¹²⁷、即ち１に０が３８個後続する数の暗号化が必要となる。この攻撃ではカードは用いられないが、計算はマイクロ・コンピュータで行うことができ、余りにも膨大な時間がかかることになる。毎秒１００００回の計算を行う計算機では、この攻撃には５×１０²⁶年かかることになる。
【００１４】
第二のタイプの攻撃では、暗号化アルゴリズムの設計の欠陥を利用する。これらの攻撃を行う為には、選択されたメッセージをアルゴリズムに入力して応答を分析することがしばしば必要となる。ＧＳＭ規格による暗号鍵の認証・確定アルゴリズムＡ３Ａ８として用いられる、ＣＯＭＰ１２８と呼ばれるアルゴリズムに対するこのような攻撃が報告されている。これには、平均して１６００００個の乱数を選択し、それに対応する結果を取り込むことが必要である。実際のＧＳＭのコンテキストでは、この攻撃はいかなる乱数であっても、暗号計算を行うＳＩＭカードを一枚取り込むだけで十分実行可能であり、しかも、攻撃は攻撃者が望むだけの回数行われる。
【００１５】
最後に、第三の攻撃形態においては、「サイドチャネル」（ｓｉｄｅｃｈａｎｎｅｌｓ）が用いられる。これらのサイドチャネルは、秘密データに関する情報を伝えるものであり、一般的には暗号化関数を実行する物理量のことである。サイドチャネルの典型的な例は、チップカードのエネルギ消費である。このチャネルを利用する攻撃はＤＰＡ解析（電力差分解析ＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓ）であり、実際には、知られてはいるが選択される必要のない乱数を用いて暗号化アルゴリズムを数千回実行することが必要となる。この攻撃は、攻撃者がＳＩＭカードを入手すればすぐに、完全に実行可能なものである。
【００１６】
本発明は、上記に論じられた認証手続きの欠点について改善することを目的とするものであり、特に後の二つのタイプの攻撃を非常に難しくするものであって、しかも、移動網のハードウェアを変更することなく、認証に本質的に関連するソフトウェアを幾分修正するだけで行うものである。
【００１７】
この目的の為、遠隔通信ネットワーク内の第一のエンティティと第二のエンティティとの間の認証方法に含まれる過程は、まず、第一及び第二のエンティティにそれぞれ記憶された第一の鍵と、第二のエンティティによって生成され第二のエンティティにより第一のエンティティに伝送された乱数とを、第一及び第二のエンティティの中に記憶された同一の第一のアルゴリズムにそれぞれ適用する過程と、次に、第一のエンティティに記憶された第一のアルゴリズムにより生成され、第二のエンティティに伝送された応答と、第二のエンティティに記憶された第一のアルゴリズムにより生成され応答結果とを、第二のエンティティにおいて比較する過程であり、該認証方法を特徴づける事前の過程とは、第一及び第二のエンティティにそれぞれ記憶された第二の鍵と、第二のエンティティによってそれぞれ生成され第二のエンティティにより第一のエンティティに伝送された乱数とを、第二のエンティティ及び第一のエンティティに記憶された第二のアルゴリズムに適用する過程と、次に、第二のエンティティ内の第二のアルゴリズムにより生成され乱数と共に第一のエンティティに伝送された署名と、第一のエンティティ内の第二のアルゴリズムで生成された署名結果とを、第一のエンティティにおいて比較する過程であり、第一の鍵と乱数は、伝送された署名と署名結果が同一である場合のみ第一のエンティティ内の第一のアルゴリズムに適用される。
【００１８】
望ましい実施例において、第一と第二のエンティティはそれぞれ移動網内の無線電話端末と固定網である。署名と署名結果を第二のアルゴリズムに適用して比較する過程は、端末により固定網を認証した後で、応答と応答結果を第一のアルゴリズムに適用して比較する過程を含む固定網による端末の認証を行う。従って、本発明の方法は認証をもう一つ付け加えて、それを端末の認証と組み合わせるものだが、その実行は固定網が端末により認証される場合のみ許可され、それにより、前述した攻撃のうちの後の二つから端末を守ることが可能となる。
【００１９】
乱数を用いるのは、まず、端末内でネットワークの認証をする為であって、端末を認証する為ではない。次に乱数を用いるのは、ネットワークによって端末を認証する為である。この第二の認証の為に望ましいのは、生成された乱数と共に署名を第二のエンティティ内の第一のアルゴリズムに適用し、伝送された署名を乱数と共に第一のエンティティ内の第一のアルゴリズムに適用することである。乱数と署名とはそれぞれＱビットと（Ｐ−Ｑ）ビットの値を取るが、ここでＰは整数の定数である。
【００２０】
本発明によれば、前述の攻撃は非常に困難になり、更に事実上不可能になる。有効な乱数を取り込み、十分な数の乱数を集めて、攻撃を敢行できるようにする為には、攻撃者はネットワーク上で起動したＳＩＭカードを監視しなければならない。
【００２１】
これは容易ならざることである。攻撃者は、移動網内での認証の頻度を支配することはできない。ＧＳＭネットワーク内でのＳＩＭカードの認証の数は可変であり、ネットワークによって異なることを知っていれば、それがどの位の時間を必要とするかは、無視できることではない。
【００２２】
本発明の第一の利点は、二つの認証が連続することであり、それにより、カードを起動して、ネットワークが認識するまで、そのカードについて取り込むべき乱数を有効化することが不可能になる。現状技術においては、販売者が自分の在庫にあるカードを侵入し、カードを起動する際、つまり販売する際に、未使用のクローンを製造することができるが、このことにより、かかる販売時の攻撃を防止することができる。
【００２３】
本発明により、暗号解析による攻撃の大部分、特に乱数を選んで行う攻撃が不可能になる。事実、カードが暗号計算を実行する為には、証明付きの乱数しか使うことができず、そのような乱数には多分、攻撃者が必要とするようなフォーマットがない。
【００２４】
本発明により、サイドチャネルを用いる攻撃は特に実現困難になり、というのも有効な乱数を取り込む為には大がかりなハードウェアと膨大な時間が必要となるからである。時間的にも費用の点でも、攻撃は遙に割に合わないものになり、多くのハッカーの意欲を削ぐにふさわしい。
【００２５】
従って、本発明により、移動網内の認証のセキュリティは相当改善される。ＳＩＭカード、つまり第一のエンティティのソフトウェアの変更、及び第二のエンティティに含まれるホーム・ロケーション・レジスタと認証センタのソフトウェアの変更のみが必要となり、ネットワークの基盤設備には何らの影響も及ぼさない。これらの変更は、固定網を混乱させずに徐々に行うことが可能である。
【００２６】
本方法には、以下の過程、つまり伝送された署名と署名結果が端末などの第一のエンティティの中で異なる度に、そして、その変数が好ましくはプログラム可能な所定の数よりも小さい限り、変数をインクリメントし、かつエンティティ間の接続を絶つ過程と、その変数が所定の数以上になるとすぐ、固定手段のような第二のエンティティへの、第一のエンティティによる一切のアクセスの確立を拒否する過程とを有する。一切のアクセスの確立を拒否する過程は、第一のエンティティを内部でのみ使用することを許可したり、あるいは第一のエンティティを一切使用禁止にすることと同時に行うこともできる。
【００２７】
特に、移動網の枠内では、固定網内における端末の識別番号の認証と登録の手段は、端末内の第二の鍵を適用する過程の前に、一つの乱数と、一つの署名とその乱数に対応する一つの応答結果とを含む複数の三要素を確定する。認証前に、つまり適用の過程に先立って、一つの暗号鍵は、認証センタを含む固定網内の乱数と、署名と、第一及び第二の鍵の少なくとも一つとに応じて確定される。認証に引き続き、比較された応答と応答結果とが同じ場合にのみ、乱数と、署名と、端末内の第一と第二の鍵の少なくとも一つに応じた暗号鍵を確定する過程が設けられている。
【００２８】
第一と第二のエンティティ間で交換されるデータのセキュリティを更に増強する他の変形例によると、第二のエンティティ内の第二の鍵は第二の秘密鍵であり、第一のエンティティ内の第二の鍵は、第二の秘密鍵とは異なる公開鍵である。同様に、第一のエンティティ内の第一の鍵は第一の秘密鍵であり、第二のエンティティ内の第一の鍵は第一の秘密鍵とは異なる公開鍵である。
【００２９】
本発明はまた、移動無線電話端末のような第一のエンティティにおける、加入者の識別番号カードのような識別番号モジュールに関するものでもあり、少なくとも第二のアルゴリズムと少なくとも第二の鍵とを記憶する手段と、少なくとも第二のアルゴリズムに適用して、本発明により署名と署名結果を比較する過程を実行する為の手段とを含んでいることを特徴とする。
【００３０】
本発明の他の特徴と利点は、添付図面を参照しつつ、本発明の望ましい実施例の幾つかに関する以下の説明を読むことで明らかになっていく。
−図１は、デジタルセルラー移動網の概略的ブロック図である。
−図２は、本発明の認証方法の過程を示すものである。
【００３１】
本発明の方法は、以下、ＧＳＭ型の移動網ＲＲの枠内で説明されていくが、それは図１との関連で既に紹介されたものであり、基本的に認証センタＡＵＣ並びに移動端末ＳＩＭカード内部のソフトウェアの変更及び増補のみ受けるものである。
【００３２】
以下の説明においては、固定網は、無線インターフェースＩＲからの、対象となる移動無線電話端末ＭＳに接続されたエンティティの鎖とみなされており、基地局ＢＴＳ、基地局制御装置ＢＴＳ、ビジター・ロケーション・レジスタＶＬＲ付きの交換機ＭＳＣ、ＨＬＲ−ＡＵＣの対が含まれる。
【００３３】
既に述べたように、一人の加入者の移動無線電話端末ＭＳには、取り外し可能なマイクロプロセッサ付きモジュールが一つ含まれており、該モジュールは、端末内のマイクロプロセッサ付きデジタル回路のバスに接続されたチップＳＩＭカードと呼ばれ、バスは、キーボード、ディスプレイ、移動端末の周辺機器の差込み口に通じている。図１に示されているように、チップＳＩＭカードには主に、マイクロプロセッサと、カードのオペレーティング・システム及び特定のアプリケーション・アルゴリズムを含むＲＯＭメモリと、識別番号ＩＭＳＩ、加入のプロフィール、氏名で呼び出されるものの番号のリスト、鍵や機密コードなどのセキュリティデータ等の、加入者と結びつく特性を全て保存した不揮発性メモリＥＥＰＲＯＭと、端末のデジタル回路から受信し、そしてその回路に向けて伝送するデータを処理するのに役立つＲＡＭメモリとが内蔵されている。特に、暗号鍵の認証と確定のアルゴリズム、鍵とこれらのアルゴリズムに関連するその他のパラメータは、ＲＯＭメモリとＥＥＰＲＯＭメモリ内で管理され書き込まれる。
【００３４】
図２を参照すると、本発明の認証方法は、無線電話端末ＭＳのＳＩＭカードと、移動網ＲＲに含まれ、かつ無線電話端末ＭＳに一時的に接続されるサブ・ネットワークＢＴＳ、ＢＳＣ、ＭＳＣ、ＶＬＲとの通信の後に続くものであり、暗号鍵の確定には先行するものである。
【００３５】
図２に示された方法には基本的にＥ０からＥ１４までの過程が含まれる。図２においては、点線で囲まれたブロックがＥ０、Ｅ２、Ｅ９’、Ｅ９０、Ｅ２０、Ｅ１１及びＥ１１０の過程に関し、該過程の実行は、基本的に固定網内部で、一切の認証要求とは独立して、かつ少なくとも図示された実施例での過程Ｅ３で、対象となる認証要求に先行して行われる。
【００３６】
まず、過程Ｅ０では、移動端末は、ＳＩＭカードのＲＯＭ及びＥＥＰＲＯＭメモリの中に、そのカードの識別番号ＩＭＳＩ、つまりＳＩＭカードを所持する加入者の識別番号と、場合によっては接続交換機ＭＳＣによって割り当てられたカードの一時的識別番号ＴＭＳＩと、端末をネットワークによって認証する為の第一の認証アルゴリズムＡＡを伴う第一の認証鍵Ｋｉと、暗号鍵確定アルゴリズムＡＣと、暗号化／復号化アルゴリズムと、本発明においてはネットワークをＳＩＭカードによって認証する為の第二の認証アルゴリズムＡＪを伴う第二の鍵Ｋｊと、最初は０に等しい整数の変数ｍと、その変数の上限の整数Ｍとを、記憶しているものとする。整数ｍとＭを除いた、これらの初期データとアルゴリズムとはまた固定網内の最初の過程Ｅ０でも記憶される。各加入者用の鍵Ｋｉ及びＫｊは、加入者の識別番号ＩＭＳＩと対応して、認証センタＡＵＣに記憶され、一時的識別番号は、移動端末ＭＳがつながっている移動サービス交換機ＭＳＣに接続されたビジター・ロケーション・レジスタＶＬＲのみにより割り当てられる。二つの認証アルゴリズムＡＡ及びＡＪと暗号鍵確定アルゴリズムＡＣは、認証センタＡＵＣに記憶され、暗号化／復号化アルゴリズムは基地局ＢＴＳにインストールされている。後に述べるように、認証センタＡＵＣは三要素［（ＮＡ，ＳＧ），ＲＳＲＥＳ，Ｋｃ］をホーム・ロケーション・レジスタＨＬＲに供給する。
【００３７】
端末が移動サービスへアクセスを要求する際、例えば移動端末ＭＳを作動させた後、または端末の位置特定の更新の為、または遠隔通信に先立って、またはレジスタＶＬＲの要求によりＳＩＭカードの認証を行う為に定期的に、端末ＭＳは接続サブネットワークと信号を交換し、それにより、一つの通信チャネルを端末ＭＳの専用にし、端末ＭＳにより端末の識別番号をサブネットワークに宣言するが、該宣言は、端末のＳＩＭカードの識別番号ＩＭＳＩを、あるいは確立された最後の通信に関する位置特定区域の識別番号ＬＡＩと共に一時的識別番号ＴＭＳＩを、ビジター・ロケーション・レジスタＶＬＲに伝送して行われる。一つのチャネルを端末ＭＳ専用にする為のこれらのやりとりは、図２に過程Ｅ１によって簡略化されて図示されている。
【００３８】
次の過程Ｅ２からＥ８はＳＩＭカードによるネットワークの認証に関するものであり、その認証は本発明によって付加されたものであり、基本的に一部は認証センタＡＵＣとレジスタＨＬＲ及びＶＬＲに設定され、一部はＳＩＭカードのＲＯＭ及びＥＥＰＲＯＭメモリに設定されている。
【００３９】
センタＡＵＣでは、前もって、擬似乱数生成器がＱビットの乱数ＮＡを複数供給している。過程Ｅ２では、鍵Ｋｉとは異なり、かつセンタＡＵＣに記憶されている鍵Ｋｊと、Ｑビットの各乱数ＮＡとをセンタＡＵＣ内のネットワーク認証アルゴリズムＡＪの入力に適用する。変形例においては、鍵Ｋｊ及びＫｉは同一であってもよい。例えばアルゴリズムＡＪはＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）タイプのものであり、（Ｐ−Ｑ）ビットの乱数の署名ＳＧを生成する。乱数ＮＡとそれに対応する署名ＳＧは、ＳＩＭカードの識別番号ＩＭＳＩと関連させてレジスタＨＬＲに書き込まれ、レジスタＨＬＲによって選択された少なくとも一つの対［ＮＡ，ＳＧ］を、過程Ｅ２０で、端末が接続されるレジスタＶＬＲに伝送する。
【００４０】
ビジター・ロケーション・レジスタＶＬＲが、本発明に従ってＳＩＭカードにより固定網の認証を行うことを決定する際、選択された対［ＮＡ，ＳＧ］は過程Ｅ３での認証要求のメッセージに順次導入され、それらのメッセージは、交換機ＭＳＣ、制御装置ＢＳＣ、そして最後に基地局ＢＴＳによって、無線インターフェースＩＲを介して移動端末ＭＳに向けてそれぞれ伝送される。Ｐ＞Ｑの整数Ｐは、移動網ＲＲ内で、現行の規格に従って認証メッセージの長さを、この場合は乱数ＲＡＮＤを含むメッセージの長さを変えないように、選択される。整数Ｐは、典型的には１２８に等しく、それは即ち１６バイトに等しい対［ＮＡ，ＳＧ］の大きさである。乱数ＮＡの中のビット数を示す整数Ｑは、Ｐ／２より大きくても小さくてもよい。但し、整数Ｐ及びＱは、Ｐ／２＝Ｑという等式を満たすことができる。
【００４１】
移動端末ＭＳのＳＩＭカードには、接続基地局ＢＴＳによって伝送された認証要求メッセージの応答として、過程Ｅ４でＳＩＭカードのＲＡＭメモリに乱数ＮＡと署名ＳＧが書き込まれる。後に続く過程Ｅ５では、直ちに、乱数ＮＡと鍵Ｋｊとを、ＳＩＭカードのＲＯＭメモリとＥＥＰＲＯＭメモリに保存されたアルゴリズムＡＪに適用するが、これは、認証センタＡＵＣにおける過程Ｅ２でのアルゴリズムＡＪのランと同様である。アルゴリズムＡＪによって生成された結果ＲＳＧを、認証センタＡＵＣによって伝送されかつ過程Ｅ６で読み込まれる署名ＳＧと比較する。
【００４２】
過程Ｅ６でＲＳＧがＳＧと異なっている場合には、過程Ｅ７で、変数ｍを、典型的には約１０に等しい所定の整数Ｍと比較する。ｍ＜Ｍである限り、変数ｍはカウンタで一単位インクリメントされ、かつＳＩＭカードは、後に続く過程Ｅ９、即ち認証要求のメッセージに答えて、ＳＧがＲＳＧと異なる度に、署名応答ＳＲＥＳを生成する過程を行わず、その結果、過程Ｅ７１とＥ７２で示されるように、専用信号チャネルは開放され、端末によって要求された移動サービスへのアクセスが、無線資源を開放して確立されることがないようにする。カウンタはＳＩＭカードに内蔵されており、整数Ｍは、ＳＩＭカードを供給するオペレータが整数Ｍを選ぶことができるように、プログラム可能である。
【００４３】
過程Ｅ７で、変数ｍが上限Ｍに達する場合は、移動サービスへのアクセスは、前述したように、当然確立されないが、過程Ｅ７３で示されるように、一切の新しい認証もまた、システマティックに拒否される。これはつまり、ネットワークがＳＩＭカードに割り当てた加入者のアカウントを不正に使用する為に、おそらく、悪意の第三者がＳＩＭカードに「攻撃」を行っている最中だということである。このような場合、本発明の推奨する変形例が二つある。
【００４４】
第一の変形例によると、ＳＩＭカードは、端末での内部のローカル制御の為にのみ無線電話端末ＭＳを使うことを、加入者に許可する。例えばローカル制御は、呼出番号のリストを、キーボードや端末の音声認識手段を通して調べることに役立つものであるが、その際に、いかなる電話通信の確立も許可しない。
【００４５】
第二の変形例によると、ＳＩＭカードは、キーボード及び／または音声認識手段を介した加入者の一切の行為を制止し、端末をサービスに、つまりＳＩＭカードは「サイレント」になる。ＳＩＭカードはもはやいかなる制御も受け付けず、端末ＭＳは使用不可能になる。
【００４６】
過程Ｅ６に戻ると、結果ＲＳＧが署名ＳＧに等しい場合には、受信した乱数ＮＡ及び署名ＳＧと認証鍵Ｋｉは、過程Ｅ８で読み取られ、過程Ｅ９で既知の認証アルゴリズムＡＡに適用される。この段階では、認証は、既に知られたＳＩＭカードの内部におけるのとほぼ同様に行われる。アルゴリズムＡＡは、接続基地局ＢＴＳに伝送されたメッセージに含まれた署名済応答ＳＲＥＳ（ＳｉｇｎｅｄＲＥＳｐｏｎｓｅ）を供給し、該接続基地局は署名済応答を、基地局ＢＴＳ、制御装置ＢＣＳ、及び交換機ＭＳＣを介して、レジスタＶＬＲに再伝送する。
【００４７】
従って、認証要求Ｅ３の前に、かつＳＩＭカード内での過程Ｅ３からＥ９が実行される前に、予め、レジスタＶＬＲ及びＨＬＲは加入者についての乱数ＮＡと署名ＳＧを記憶しており、認証センタＡＵＣは、過程Ｅ２０の後、そして前記乱数ＮＡのそれぞれにつき、乱数ＮＡと、それに対応する署名ＳＧと、第一の鍵Ｋｉとを、アルゴリズムＡＡに適用することを過程Ｅ９’で行う。アルゴリズムＡＡは、各対（ＮＡ，ＳＧ）につき、署名済応答結果ＲＳＲＥＳを生成する。過程Ｅ２０と同時に、結果ＲＳＲＥＳを過程Ｅ９０でレジスタＨＬＲに書き込み、レジスタの選んだ対（ＮＡ，ＳＧ）を、それに対応する結果ＲＳＲＥＳと共に、それらを記憶したレジスタＶＬＲに伝送する。
【００４８】
過程Ｅ９の後、移動端末ＭＳが伝送した署名済応答ＳＲＥＳを受信して、レジスタＶＬＲは過程Ｅ９１で署名済応答結果ＲＳＲＥＳを読み込み、過程Ｅ１０で受信した応答ＳＲＥＳと比較する。これらの二つの変数が同一でない場合、レジスタＶＬＲは接続交換機ＭＳＣに命じて過程Ｅ１０１で端末と固定網との間の接続を絶ち、端末が移動サービスへのアクセス要求を続けることを妨げる。
【００４９】
逆の場合には、本発明に従ってＳＩＭカードでネットワークＲＲの認証（過程Ｅ５）をした後に、認証センタＡＵＣは、過程Ｅ１０で、ＳＩＭカードの認証を有効化し、移動端末ＭＳとサブネットワークＢＴＳ−ＢＳＣ−ＭＳＣとの間で後で交換されるメッセージの暗号化及び復号化を許可する。
【００５０】
過程Ｅ２０及びＥ９０に付随する過程１１０でレジスタＶＬＲに記憶される暗号鍵Ｋｃを生成する為に、認証センタＡＵＣは、予め、前記複数の乱数ＮＣに対応する対（ＮＡ，ＳＧ）と鍵とを、過程Ｅ１１で暗号鍵確定アルゴリズムＡＣに適用した。従って、複数の三要素［（ＮＡ，ＳＧ），ＲＳＲＥＳ，Ｋｃ］は予めホーム・ロケーション・レジスタＨＲＬに記憶され、それらから少なくとも一つを選んで、ＳＩＭカードの識別番号ＩＭＳＩ／ＴＭＳＩと関連したレジスタＶＬＲに書き込む。
【００５１】
過程E１０に続いて、交換機ＭＳＣは、暗号化モードに移行することを決定して、移動端末ＭＳに向けて、鍵Ｋｃ付き暗号化許可メッセージを、エンティティＢＳＣ及びＢＴＳを中継して送信するが、ここで、鍵Ｋｃは基地局ＢＴＳにより取り出されるものである。
【００５２】
更に、認証過程Ｅ９の実行に続いて、ＳＩＭカードは、過程Ｅ１２で、乱数ＮＡと、ＳＧと、認証鍵Ｋｉとをも読み取り、暗号化アルゴリズムＡｃに適用して、過程Ｅ１３で暗号鍵Ｋｃを確定する。
【００５３】
最後に、過程Ｅ１４及び過程Ｅ１４’で、端末ＭＳと、接続サブネットワーク、特に、ＳＩＭカードに保存されたものと同一の暗号化／復号化アルゴリズムを保存かつ確定された鍵Ｋｃを記憶した接続基地局ＢＴＳとは、鍵Ｋｃを用いて、暗号化され復号化されたメッセージの交換を行うことができる。
【００５４】
変形例においては、第二の鍵Ｋｊ、あるいは、第一及び第二の鍵Ｋｉ及びＫｊが、読み取られ、過程Ｅ１３とＥ１１では、第一の鍵Ｋｉの代わりに、アルゴリズムＡＣにそれぞれ適用される。
【００５５】
ほかの変形例によると、認証センタＡＵＣでＳＩＭカードに割り当てられた鍵Ｋｊは、プライベート秘密鍵Ｋｊｓであり、ＳＩＭカードに保存された鍵Ｋｊは、鍵Ｋｊとは異なる公開鍵であって、秘密鍵Ｋｊｓと複合的なつながりをもっている。従って、ＳＩＭカードも、悪意をもつ全ての人物も秘密鍵Ｋｊｓを十分に認識していないが、ネットワーク認証アルゴリズムＡＪは非対称的であり、過程Ｅ６で、結果ＲＳＧと比較することにより署名ＳＧを検証することができる。
【００５６】
同様に、ＳＩＭカードの中の鍵Ｋｉは秘密鍵Ｋｉｓで置き換えられ、認証センタＡＵＣ内の鍵Ｋｉは公開鍵であって、そして、カード認証アルゴリズムＡＡは非対称である。
【００５７】
本発明は、移動網の移動無線電話端末と固定網との間の移動網を参照しつつ、望ましい実施例に従って説明したが、本発明の認証方法は、互いに認証する必要のある二つのエンティティなら、どのようなものに関しても、遠隔通信ネットワーク内での活用が可能であり、各エンティティは、接続された所定のエンティティのグループとすることもできる。
【図面の簡単な説明】
【図１】図１は、デジタルセルラー移動網の概略的ブロック図である。
【図２】図２は、本発明の認証方法の過程を示すものである。

Claims

遠隔通信ネットワーク（ＲＲ）内の第一のエンティティ（ＭＳ）と第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）との間の認証方法であって、第一及び第二のエンティティにそれぞれ記憶された第一の鍵（Ｋｉ）と、第二のエンティティによって生成され第二のエンティティにより第一のエンティティに伝送された乱数（ＮＡ）とを、第一及び第二のエンティティの中に記憶された同一の第一のアルゴリズム（ＡＡ）にそれぞれ適用する過程（Ｅ９，Ｅ９’）と、第一のエンティティに記憶された第一のアルゴリズムにより生成され、第二のエンティティに伝送された応答（ＳＲＥＳ）と、第二のエンティティに記憶された第一のアルゴリズムにより生成された応答結果（ＲＳＲＥＳ）とを、第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）において比較する過程（Ｅ１０）とを有し、該過程は、
第一及び第二のエンティティにそれぞれ記憶された第二の鍵（Ｋｊ）と、第二のエンティティによってそれぞれ生成され第二のエンティティにより第一のエンティティに伝送された乱数（ＮＡ）とを、第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）及び第一のエンティティ（ＭＳ）に記憶された第二のアルゴリズム（ＡＪ）に適用する過程（Ｅ２，Ｅ５）と、第二のエンティティ内の第二のアルゴリズムにより生成され、乱数（ＮＡ）と共に第一のエンティティに伝送された署名（ＳＧ）と、第一のエンティティ内の第二のアルゴリズムで生成された署名結果（ＲＳＧ）とを、第一のエンティティ（ＭＳ）において比較する過程とからなり、第一の鍵（Ｋｉ）と乱数（ＮＡ）は、伝送された署名（ＳＧ）と署名結果（ＲＳＧ）が同一である場合のみ第一のエンティティ（ＭＳ）内の第一のアルゴリズム（ＡＡ）に適用されるという事前の過程を特徴とする認証方法。
生成された乱数（ＮＡ）と共に署名（ＳＧ）を、第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）内の第一のアルゴリズム（ＡＡ）に適用し（Ｅ９’）、伝送された署名もまた乱数と共に、第一のエンティティ（ＭＳ）内の第一のアルゴリズム（ＡＡ）に適用する（Ｅ９）ことを特徴とする、請求項１に記載の方法。
乱数（ＮＡ）と署名（ＳＧ）は、それぞれＱビットと（Ｐ−Ｑ）ビットの値を取り、Ｐは整数の定数であることを特徴とする、請求項１または２に記載の方法。
伝送された署名（ＳＧ）と署名結果（ＲＳＧ）が第一のエンティティ（ＭＳ）の中で異なる度に、そして、変数（ｍ）が好ましくはプログラム可能な所定の数（Ｍ）よりも小さい限り、変数をインクリメントし（Ｅ７１）、かつエンティティ間の接続を絶ち（Ｅ７２）、変数（ｍ）が所定の数（Ｍ）以上になると、第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）への第一のエンティティによる一切のアクセスの確立を拒否する（Ｅ７３）過程を含むことを特徴とする、請求項１から３のいずれか一つに記載の方法。
一切のアクセスの確立を拒否する過程（Ｅ７３）が、第一のエンティティ（ＭＳ）の使用を内部でのみ許可するのと同時に行われることを特徴とする、請求項４に記載の方法。
一切のアクセスの確立を拒絶するという過程（Ｅ７３）が、第一のエンティティ（ＭＳ）の使用を一切禁止するのと同時に行われることを特徴とする、請求項５に記載の方法。
第一及び第二のエンティティはそれぞれ、移動網（ＲＲ）内の無線電話端末（ＭＳ）と固定網（ＶＬＲ，ＨＬＲ，ＡＵＣ）であることを特徴とする、請求項１から６のいずれか一つに記載の方法。
固定網内の端末（ＶＬＲ，ＨＬＲ，ＡＵＣ）の識別番号の認証及び登録手段が、端末（ＭＳ）内の第二の鍵（Kｊ）を適用する過程（Ｅ５）の前に、乱数（ＮＡ）と、署名（ＳＧ）と、その乱数に応じた応答結果（ＲＳＲＥＳ）とをそれぞれ含む複数の三要素を確定することを特徴とする、請求項７に記載の方法。
適用過程（Ｅ２，Ｅ５，Ｅ９，Ｅ９’）の前に、固定網（ＶＬＲ，ＨＬＲ，ＡＵＣ）内の、乱数（ＮＡ）と、署名（ＳＧ）と、第一及び第二の鍵（Ｋｉ，Ｋｊ）の少なくとも一つに応じて暗号化鍵（Ｋｃ）を確定する（Ｅ１１）過程を含むことを特徴とする、請求項７または８に記載の方法。
比較された応答（ＳＲＥＳ）と応答結果（ＲＳＲＥＳ）が同一である場合にのみ、端末（ＭＳ）内の、乱数（ＮＡ）と署名（ＳＧ）と第一及び第二の鍵（Ｋｉ，Ｋｊ）の少なくとも一つに応じて暗号化鍵（Ｋｃ）を確定する（Ｅ１３）過程を含むことを特徴とする、請求項７から９のいずれか一つに記載の方法。
第二のエンティティ（ＶＬＲ，ＨＬＲ，ＡＵＣ）内の第二の鍵は第二の秘密鍵（Ｋｊｓ）であり、第一のエンティティ（ＭＳ）内の第二の鍵は第二の秘密鍵とは異なる公開鍵（Ｋｊ）であることを特徴とする、請求項１から１０のいずれか一つに記載の方法。
第一のエンティティ（ＭＳ）内の第一の鍵は第一の秘密鍵（Ｋｉｓ）であり、第二のエンティティ（ＶＬＲ，ＨＣＲ，ＡＵＣ）内の第一の鍵は第一の秘密鍵とは異なる公開鍵（Ｋｉ）であることを特徴とする、請求項１から１１のいずれか一つに記載の方法。
請求項１から１１のいずれか一つによって、少なくとも第二のアルゴリズム（ＡＪ）と少なくとも第二の鍵（Ｋｊ）を記憶する為の手段（ＲＯＭ，ＥＥＰＲＯＭ）と、少なくとも署名（ＳＧ）と署名結果（ＲＳＧ）を、第二のアルゴリズム（ＡＡ）に適用し（Ｅ５）比較する（Ｅ６）過程を少なくとも実行する為の手段（ＲＯＭ，ＥＥＰＲＯＭ，ＲＡＭ）とを含むことを特徴とする第一のエンティティ（ＭＳ）内の識別番号モジュール（ＳＩＭ）。