JP6096327B2 - ユーザデバイスとサーバとの間の通信を準備する方法およびシステム - Google Patents

ユーザデバイスとサーバとの間の通信を準備する方法およびシステム Download PDF

Info

Publication number
JP6096327B2
JP6096327B2 JP2015560720A JP2015560720A JP6096327B2 JP 6096327 B2 JP6096327 B2 JP 6096327B2 JP 2015560720 A JP2015560720 A JP 2015560720A JP 2015560720 A JP2015560720 A JP 2015560720A JP 6096327 B2 JP6096327 B2 JP 6096327B2
Authority
JP
Japan
Prior art keywords
server
information
user device
key
secure element
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2015560720A
Other languages
English (en)
Other versions
JP2016513899A (ja
Inventor
カラメ、ガッサン
ジラオ、ジョアオ
ドブレ、ダン
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Europe Ltd
Original Assignee
NEC Europe Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Europe Ltd filed Critical NEC Europe Ltd
Publication of JP2016513899A publication Critical patent/JP2016513899A/ja
Application granted granted Critical
Publication of JP6096327B2 publication Critical patent/JP6096327B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

本発明は、ユーザデバイスとサーバとの間の通信を準備する方法に関する。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能である。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。
また、本発明は、ユーザデバイスとサーバとの間の通信を準備するシステムに関する。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、好ましくは請求項１ないし１１のいずれか１項に記載の方法を実行する。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。
本発明は、一般に１つ以上の決定的アルゴリズムを提供するセキュア要素に適用可能であるが、以下ではＳＩＭカードに関して説明する。
最近、会社や企業では、従業員が仕事のために自分のタブレット、ラップトップコンピュータ、あるいはスマートフォン等のデバイスを持ち込むことを許容する傾向がある。その理由は、例えば、会社は各従業員用に会社のラップトップコンピュータを提供する必要がなければコストが削減されるからである。別の理由は、例えば、従業員は自分で自分のデバイスを選択できたほうがよいからである。しかしこれにより、大企業および中小企業のいずれにおいても、「外部」あるいは「外来」のデバイスが大幅に増加することになる。デバイスは依然としてその従業員の所有であるが、企業は、自らのセキュリティポリシーを施行し、危険にさらされたデバイスに関する責任を低減するように注意しなければならない。したがって、企業のセキュリティポリシーを施行する際には、従業員の個人データ、個人ポリシーや、自己のデバイスを変更したりその機能を制限したりすることへの従業員の抵抗を考慮に入れる必要がある。
上記の問題を解決してモバイルデバイスに保存された機密情報の秘密を保護するためには、スマートカード、ＳＩＭカード、ＴＭＰチップ等のセキュア要素（セキュリティ保護された要素）が使用される。これについては、非特許文献１〜７を参照されたい。
上記の非特許文献５では、ＮＦＣ無線インタフェースを用いたユーザ認証のためにＳＩＭカードが使用されている。ＮＦＣインタフェースは、暗号鍵を転送するために使用され、ＳＩＭカードは、ＳＩＭカードにマスタ暗号鍵を保存するために使用される。次の初期セキュリティ設定を実行する必要がある。すなわち、マスタ鍵をＳＩＭカードに保存しなければならない。また、この鍵は、アイデンティティ管理者のデータベースに登録しなければならない。
しかし、一般に、これらのセキュア要素に依拠することにより、企業は、自己の要素に保存されたすべての情報を管理し、それらのセキュリティ鍵にアクセスできる必要がある。これは通常、企業がこれらのセキュア要素を用意することを必要とする。
したがって、欠点の１つとして、複数の現実的な状況においてはこの仮定を満たせないことがある。例えば、企業は、機密情報を保存するためにＳＩＭカードに依拠したい場合には、ＳＩＭカード内に保存されている鍵にアクセスするために、対応するモバイル事業者と協力するか、または、自らＳＩＭカードを用意する必要があるが、これは多大な管理の手間とコストがかかる。
"Bootstrapping Trust in Commodity Computers", B. Parno, J.M. Mc Cune, A. Perrig IEEE S&P 2010 "OSLO: Improving the security of Trusted Computing", Bernhard Kauer Trusted Computing Group http://www.trustedcomputinggroup.org IBM 4758 Basic Services Manual: http://www-03.ibm.com/security/cryptocards/pdfs/IBM_4758_Basic_Services_Manual_Release_2_54.pdf Kalman, G., Noll, J., UniK, K.: SIM as secure key storage in communication networks. In: International Conference on Wireless and Mobile Communications (ICWMC) (2007) Noll, J., Lopez Calvet, J.C., Myksvoll, K.: Admittance services through mobile phone short messages. In: International Multi-Conference on Computing in the Global Information Technology. pp. 77-82. IEEE Computer Society, Washington, DC, USA (2006) Mantoro, T., Milisic, A.: Smart card authentication for Internet applications using NFC enabled phone. In: International Conference on Information and Communication Technology for the Muslim World (ICT4M) (2010)
したがって、本発明の目的は、セキュア要素内に保存された鍵等のセキュア情報の知識なしに、既存のセキュア要素のセキュア機能を利用する方法およびシステムを提供することである。
本発明のもう１つの目的は、ユーザが自分のデバイスを持ち込むことができる状況において、ブートストラップ認証を可能にする方法およびシステムを提供することである。
本発明のもう１つの目的は、認証中に起こり得る攻撃を効果的に検出することが可能な方法およびシステムを提供することである。
本発明のもう１つの目的は、従来の方法およびシステムにおいて容易に実施可能な方法およびシステムを提供することである。
上記の目的は、請求項１の方法および請求項１２のシステムによって達成される。
請求項１において、ユーザデバイスとサーバとの間の通信を準備する方法が提供される。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能である。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。
請求項１によれば、該方法は、
ａ）セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送るステップと、
ｂ）前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行するステップと、
ｃ）前記セキュア要素内に保存された鍵情報を用いずに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成するステップと、
ｄ）前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを前記サーバに保存するステップと、
ｅ）所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るステップと、
ｆ）前記セキュア要素が、前記セキュア要素内に保存された鍵情報を用いずに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するステップと、
ｇ）前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するステップと
を備えたことを特徴とする。
請求項１２において、ユーザデバイスとサーバとの間の通信を準備するシステムが提供される。前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、好ましくは請求項１ないし１１のいずれか１項に記載の方法を実行する。鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能である。
請求項１２によれば、該システムは、
前記サーバが、セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送り、前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを保存し、所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るように動作可能であり、
前記セキュア要素が、前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行し、前記セキュア要素内に保存された鍵情報を用いずに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成し、前記セキュア要素内に保存された鍵情報を用いずに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するように動作可能であり、
前記サーバおよび／または前記ユーザデバイスが、前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するように動作可能である
ことを特徴とする。
本発明によって認識されたこととして、特に、従来のＳＩＭカードのセキュアな機能を、ＳＩＭカード内に保存された鍵の知識なしに、利用することができる。
また、本発明によって認識されたこととして、ユーザデバイス内に保存された鍵へのアクセスを必要とせずに、セキュア要素の一方向認証プロセスを利用して、ユーザデバイスとの相互認証を行うことができる。
また、本発明によって認識されたこととして、企業は、例えば従業員が電子メールを読んだりバーチャルプライベートネットワークにアクセスしたりするために、従業員のユーザデバイスとセキュアに通信を行うことが可能となる。
また、本発明によって認識されたこととして、モバイルデバイスの使用は妨げられず、セキュア要素、特にＳＩＭカードの設計およびプロトコルに影響を及ぼさない。本発明は、例えば基本的なＧＳＭセキュリティ機能を実施するすべてのセキュア要素において適用可能である。
また、本発明によって認識されたこととして、企業は、自らセキュア要素を用意することも、例えばモバイル事業者と協力することも不要である。
また、本発明によって認識されたこととして、例えばＳＩＭカードおよび加入者鍵に依拠した従来の解決法と比較して、セキュリティのレベルは低下しない。
また、本発明によって認識されたこととして、起こり得る不正行為、なりすまし攻撃等を、サーバおよびユーザデバイスの両方により簡易かつ効果的に検出することが可能となる。
さらなる特徴、効果および好ましい実施形態は、後続の従属請求項に記載される。
好ましい実施形態によれば、前記生成されたレスポンス情報が前記サーバに提供され、前記照合が、前記保存された署名付きレスポンスおよびステップｆ）の前記生成されたレスポンス情報を用いて直接に実行され、一致した場合、前記ユーザデバイスは、前記サーバとの通信について認証される。これにより、サーバ側でユーザデバイスの認証手続きを提供する容易な方法が可能となる。サーバは、サーバに保存された署名付きレスポンスと、サーバ情報で問合せされた例えばＳＩＭカードから提供されたレスポンスとを比較する。
また、好ましい実施形態によれば、前記ユーザデバイスおよび前記サーバの両方が、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいて互いに独立にセキュア情報を生成し、これがステップｇ）による照合のために使用される。これにより、生成されたセキュア情報に基づいて通信を用意する容易な方法が可能となる。サーバおよびユーザデバイスの両方がセキュア情報を生成する場合、生成されたセキュア情報を事前に交換することを必要とせずに、セキュア情報を用いてサーバとユーザデバイスとの間で通信を確立することができる。
また、好ましい実施形態によれば、前記セキュア情報がセッション鍵の形態で提供され、該セッション鍵が、前記セキュア要素内に保存された鍵情報を使用せずに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される。これにより、ユーザデバイスとサーバとの間の通信セッションに対するセッション鍵を生成する容易な方法が可能となる。例えば、セッション鍵は、ユーザデバイスがサーバで認証された後に生成することが可能である。
また、好ましい実施形態によれば、前記１つ以上の署名付きレスポンスを生成するため、および／または、前記セッション鍵を計算するためのカウンタ情報がステップｃ）に含められる。これにより、中間者攻撃を容易に検出することが可能となる。例えば、アクティブな攻撃がない場合、カウンタ情報はセッション情報に等しいかまたは相当する。一方、アクティブな攻撃の場合、カウンタ情報はセッション情報からずれる。
また、好ましい実施形態によれば、カウンタ情報が、前記ユーザデバイスおよび／または前記サーバによって確立されたセッションの数に対するカウンタを示す。これにより、カウンタ情報が容易な方法で提供され、中間者攻撃を検出するために、カウンタ情報とセッション情報との間の高速で効率的な比較が可能となる。
また、好ましい実施形態によれば、前記サーバ情報を提供するために暗号学的ハッシュ関数が使用される。これにより、衝突耐性のある一方向性のハッシュ関数によって前記チャレンジを提供することが可能となる。
また、好ましい実施形態によれば、ステップｃ）を実行するための決定的アルゴリズムとしてＧＳＭ−Ａ３アルゴリズムが使用され、および／または、前記セキュア要素内に保存された鍵情報を用いずに前記セッション鍵を生成するための決定的アルゴリズムとしてＧＳＭ−Ａ８アルゴリズムが使用される。これにより、現行のＧＳＭプロトコルにおける容易で効率的な実施が可能となる。
また、好ましい実施形態によれば、チャレンジ送信後にステップｆ）による正しいレスポンスを提供する時間が測定され、該測定された時間に基づいて、ステップｇ）が実行されるか、または、実行されない。例えばＳＩＭカードが正しいレスポンスで応答するのにかかる時間を測定し、この測定時間が所定しきい値を超える場合には、例えば、サーバは、通信を用意するためのさらなるステップ、例えば認証確認、を拒否する。例えば、ユーザデバイスに対する無線での攻撃は、認証段階に成功するためには、往復（ＲＴＴ）の伝搬時間の２倍を必要とする。したがって、好ましくは、無線攻撃に対してこれに対応してしきい値を設定することにより、このような攻撃の検出が向上する。
また、好ましい実施形態によれば、前記カウンタ情報が、所定のサーバ情報の数に対してチェックされる。これにより、中間者攻撃を検出する可能性が増大する。
また、好ましい実施形態によれば、ステップａ）による前記１つ以上のチャレンジが１２８ビット以上のチャレンジである。これにより、一方では、高度の擬似ランダム性が保証され、他方では、特にＧＳＭプロトコルにおける容易な実施が可能となる。
請求項１２のシステムの好ましい実施形態によれば、前記サーバおよび／または前記ユーザデバイスが、セッション鍵に基づいて前記サーバと前記ユーザデバイスとの間の通信セッションを確立するように動作可能であり、該セッション鍵が、前記セキュア要素内に保存された鍵情報を使用せずに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスの１つ、に基づいて計算される。これにより、認証後のユーザデバイスとサーバとの間の通信のためのセッション鍵を確立する容易な方法が可能となる。
本発明を好ましい態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１および請求項１２に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。
モバイル事業者においてユーザデバイスを認証する従来の方法を模式的に示す図である。 本発明の実施形態による方法を模式的に示す図である。
図１は、モバイル事業者においてユーザデバイスを認証する従来の方法を模式的に示している。
図１には、ＳＩＭカードとモバイル事業者ＭＯとの間の基本的な認証が示されている。ＳＩＭカードは、ユーザデバイスＵＤで使用される。図１では、ＳＩＭカード付きのユーザデバイスＵＤと、モバイル事業者ＭＯが、同じ加入者鍵Ｋｉを共有する。ユーザデバイスＵＤあるいはＳＩＭカードを認証するため、第１ステップＳ１で、モバイル事業者ＭＯは、ランダムに選択されたチャレンジＲＡＮＤをユーザデバイスＵＤへ送信する。ユーザデバイスＵＤは、次のステップＳ１２で、加入者鍵ＫｉおよびチャレンジＲＡＮＤを入力としてＧＳＭプロトコルによるＡ３アルゴリズムを実行し、第２ステップＳ２で、署名付きレスポンスＳＲＥＳを出力し、署名付きレスポンスＳＲＥＳをモバイル事業者ＭＯへ返送する。
次に、モバイル事業者ＭＯは、提供されたチャレンジＲＡＮＤおよび加入者鍵Ｋｉを入力として使用して自らＡ３アルゴリズムを再実行することにより、署名付きレスポンスＳＲＥＳの正しさを検証することによって、ユーザデバイスＵＤあるいはＳＩＭカードを認証する。
ユーザデバイスＵＤとモバイル事業者ＭＯとの間の通信セッションのためのセッション鍵Ｋｃを生成するためには、このセッション鍵Ｋｃは、ユーザデバイスＵＤあるいはＳＩＭカードでＧＳＭプロトコルによるＡ８アルゴリズムを使用して生成されることが可能である。例えば第１ステップＳ１で提供されたモバイル事業者からのチャレンジＲＡＮＤが入力されると、ユーザデバイスＵＤあるいはＳＩＭカードは、共有している加入者鍵Ｋｉとともに、Ａ３アルゴリズムの出力すなわち署名付きレスポンスＳＲＥＳを入力する。そして、次のステップＳ２３で、ＳＩＭカードおよびモバイル事業者ＭＯのサーバの両方でＡ８アルゴリズムが実行される。そして、Ａ８アルゴリズムは、共有セッション鍵Ｋｃを出力する。
図２は、本発明の実施形態による方法を模式的に示している。
図２には、本発明による実施形態が示されている。より詳細には、企業Ｅは、与えられたユーザＵのモバイルデバイスＵＤを認証したい。このため、企業は、認証対象のユーザデバイスＵＤが、ＳＩＭカードに結び付けられた鍵を備えていることを確かめる必要がある。これにより、企業Ｅによって識別可能なＳＩＭカードにアクセスしなくても、デバイス間でのそれらの鍵の偽造および／または複製が不可能であることが保証される。
第１ステップＥ１で、設定段階が実行される。設定段階を開始するため、企業は、短い限定された時間、ユーザデバイスＵＤすなわちＳＩＭカードにアクセスする。この時間中、企業Ｅは、セキュアな秘匿性チャネルを用いてユーザデバイスＵＤすなわちＳＩＭカードとインタフェースをとる。例えば、このセキュアな秘匿性チャネルは、企業Ｅによって提供される完全に信頼されたモバイルデバイス内にＳＩＭカードを挿入することによって提供することができる。次に、企業Ｅは、企業Ｅによって擬似ランダムに選択された乱数に対応する署名付きレスポンス値ＳＲＥＳについてＳＩＭカードに問い合わせる。好ましくは、企業Ｅは、鍵付きハッシュ法を適用することにより、１２８ビットのチャレンジＲＡＮＤを選択する（ＲＡＮＤ１＝Ｈ（Ｋｅ || １），...，ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）等）。Ｈ（）は暗号学的ハッシュ関数（すなわち、衝突耐性のある一方向性のハッシュ関数）であり、Ｋｅは秘密鍵を表す。Ｘは、例えば、生成されるレスポンスの数あるいはより一般的なカウンタ情報を示す。企業Ｅは、これらのチャレンジを全部でＮ個生成する（ＲＡＮＤ１，ＲＡＮＤ２，...，ＲＡＮＤＮ）。
次に、第１ステップＴ１で、企業Ｅは、ユーザデバイスＵＤ内のＳＩＭカードのＧＳＭプロトコルによるＡ３アルゴリズムに対してチャレンジＲＡＮＤ１，ＲＡＮＤ２，...，ＲＡＮＤＮのそれぞれを送り、対応する署名付きレスポンスＳＲＥＳ１，ＳＲＥＳ２，...，ＳＲＥＳＮを取得する。次に、企業Ｅは、秘密鍵Ｋｅおよびすべての問合せされた署名付きレスポンスＳＲＥＳ１，ＳＲＥＳ２，...，ＳＲＥＳＮを保存する。すべてのＲＡＮＤチャレンジおよび署名付きレスポンスＳＲＥＳは、秘匿性チャネルを通じて交換される。
設定段階後の第２ステップＥ２で、企業Ｅは、セッションＸにおいて、ユーザデバイスＵＤあるいはユーザデバイス内のＳＩＭカードを次のように認証することができる。企業Ｅは、公式ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）により、秘密鍵Ｋｅを用いてセッションＸに対するチャレンジＲＡＮＤＸを計算する。
次に、企業Ｅは、計算されたチャレンジＲＡＮＤＸの１つを用いて第１ステップＴ１でユーザデバイスＵＤあるいはＳＩＭカードに問合せを行い、レスポンスＲＥＳＰを待機する。ＳＩＭカードは、公式ＲＥＳＰ＝Ｈ（Ｋ || ＲＡＮＤＸ || ＳＲＥＳＸ|| ＣＴＲ）によりレスポンスを計算する。ただし、Ｋは共有鍵であり、ＲＡＮＤＸはセッションＸに対するチャレンジであり、ＳＲＥＳＸはチャレンジＲＡＮＤＸに対するＧＳＭプロトコルによるＡ３アルゴリズムの出力であり、ＣＴＲはモバイルデバイスおよび／または企業Ｅが確立したセッションの数に対するカウンタである。アクティブな攻撃がない場合、ＣＴＲはセッションＸの識別番号に等しい。
次に、企業Ｅは、レスポンスＲＥＳＰが、事前に設定段階Ｅ１中に企業Ｅによって収集されたＳＲＥＳＸと一致するかどうかをチェックし、一致する場合、認証は成功する。こうして、企業Ｅは、正しいＳＩＭカードおよび正しい鍵Ｋにアクセス可能なユーザデバイスＵＤと通信していることが確認される。好ましくは、企業Ｅは、ＳＩＭカードが正しいレスポンスＲＥＳＰで応答するのにかかる時間を測定する。この時間が所定のしきい値を超える場合、企業Ｅは、認証確認を拒否してもよい。モバイル事業者とモバイルデバイスＵＤとの間のすべての通信が、共有鍵Ｋを用いてセキュアチャネル上で実行可能であるのが好ましい。
セッション鍵を確立するため、認証段階Ｅ２と同様の段階Ｅ３が実行される。セッションＸに対するセッション鍵Ｋｃを確立するため、企業Ｅは、ＲＡＮＤＸ＝Ｈ（Ｋｅ || Ｘ）によりセッションＸに対するチャレンジＲＡＮＤＸを計算し、チャレンジＲＡＮＤＸを用いてユーザデバイスＵＤすなわちＳＩＭカードに問合せを行う。ユーザデバイスＵＤおよび企業Ｅは、セッションＣＴＲにおけるセッション鍵として、Ｋｃ＝Ｈ（Ｋ || ＳＲＥＳＸ || ＣＴＲ）によりセッション鍵Ｋｃを別個に計算する。鍵Ｋは、ユーザデバイスＵＤと企業Ｅとの間で共有された鍵である。例えば、共有鍵Ｋは、ユーザが入力したパスワードから導出されることも可能である。したがって、セッション鍵Ｋｃは、ユーザデバイスＵＤが正しいＳＩＭカードにアクセスすることによってのみ導出可能である。企業ＥとモバイルデバイスＵＤとの間のすべての通信が、ユーザデバイスＵＤと企業Ｅとの間の共有鍵Ｋを用いてセキュアチャネル上で実行可能であるのが好ましい。
要約すれば、セッション鍵Ｋｃは、ユーザデバイスＵＤと企業Ｅとの間でただ１つのメッセージを交換することによって、すなわちユーザデバイスＵＤへチャレンジＲＡＮＤＸを送信することによって、効果的に確立することができる。セッション鍵を確立する前に、対話的な認証段階、例えば段階Ｅ２を実行可能であることが好ましい。
以下、図２による方法のセキュリティがＧＳＭセキュリティに帰着し、起こり得るセッション乗っ取りはモバイル事業者ＭＯによって結局検出されることを示す。図２によれば、ａ）ＳＩＭカードにアクセス可能であり、ｂ）適切なユーザパスワードを取得可能であり、ｃ）正しいチャレンジＲＡＮＤでＳＩＭカードに問合せすることが可能である、というユーザデバイスＵＤのみが、認証段階を通過し、企業Ｅとの間でセッション鍵Ｋｃを確立することができる。
・共有鍵Ｋにアクセスできない外部の攻撃者は、企業ＥとユーザデバイスＵＤとの間の通信を傍受することができない。
・いかなる攻撃者もＫｉすなわち加入者鍵を取得できない。というのは、加入者鍵は、ＳＩＭカード内の不正操作できないストレージに保存されており、ＳＩＭカードから取り出せないからである。
・いかなる攻撃者もチャレンジの値を予測できない。また、各チャレンジは１回だけ使用される。チャレンジは擬似ランダムであり、チャレンジ空間は少なくとも１２８ビットである。これにより、いかなる攻撃者も、企業Ｅによって選択されたチャレンジ空間を全数探索することは実現不可能である。
・したがって、チャレンジが送信されるときに正しいＳＩＭカードにアクセスできないいかなる主体も、認証チェックに失敗することになる。
・ＳＩＭカードへのアクセスは、物理アクセスを用いて、または、無線（ＯＴＡ）アクセスにより実現可能である。ＳＩＭカードにＯＴＡアクセスすることは、悪意者にとって、モバイル基地局になりすますために用いられる技術への投資を必要とする。ＯＴＡ攻撃は、基礎となるＧＳＭプロトコルスイートに対する攻撃に帰着する。このような種類の攻撃は通常、企業Ｅによって実行されるタイミング測定によって軽減される。実際、いかなるＯＴＡ攻撃も、認証段階に成功するためには２ＲＴＴの伝搬時間を必要とする。
・また、攻撃者は、共有鍵Ｋを取得するためにモバイルデバイスに侵入する必要があることが指摘される。これは、この攻撃を実行するコストをさらに高価にする。
・たとえ攻撃者がＳＩＭカードへのＯＴＡアクセスができ、ＳＩＭカードにアクセスしたとしても、企業Ｅは結局、確立する次のセッション中に直ちにその攻撃を検出する。これは、ハッシュ計算（認証およびセッション確立段階の両方における）内のローカルカウンタに基づいて実現される。攻撃者が１回の攻撃に成功した場合、モバイルデバイス上のローカルカウンタは、企業Ｅに保存されているカウンタと相違することになる。これにより、企業Ｅによるモバイルデバイスのさらなる認証を効果的に防止する。その場合、企業Ｅは、問題が存在すること、および、モバイルデバイスが危険にさらされているおそれがあることを検出して、続いてＫを変更し、ユーザアカウントを保護する等を行うことができる。
要約すれば、本発明は、自分のデバイスを持ち込むことができる状況において、好ましくはＳＩＭカードを用いて、その加入者鍵を知ることなしに認証をブートストラップ処理するために、特にＧＳＭセキュリティの性質を特に利用する。また、本発明によれば、認証・鍵確立段階に対して起こり得る攻撃を効果的に検出するために、ＳＩＭカードの使用をセキュリティプロトコルおよびタイミング測定と組み合わせることが可能であり、セキュアで効率的なＳＩＭカード秘密取得段階に依拠する。
本発明によれば、ＳＩＭカード内で動作する加入者鍵を知ることなしに、挿入されたＳＩＭカードに基づくモバイルデバイスの認証が可能となる。また、本発明によれば、ＳＩＭカード内に保存された秘密に基づいて非対話的なセッション鍵確立を構築することが可能となる。さらに、本発明は、ＧＳＭセキュリティプロトコル上でなりすまし攻撃および中間者攻撃の効果的な検出が可能な方法およびシステムを提供する。本発明は、モバイルデバイスの使用を妨げず、ＳＩＭカードの設計およびプロトコルに影響を及ぼさず、基本的なＧＳＭセキュリティ機能を実施するすべてのＳＩＭカードで適用可能である。
本発明は、とりわけ、以下の利点を有する。従来の方法およびシステムとは異なり、本発明は、ＳＩＭカード内に保存された加入者鍵の知識を必要とせず、また、例えばモバイル事業者と協力することによって、企業が自らセキュア要素を用意することを必要としない。本発明による別の利点として、ＳＩＭカードやその加入者鍵に基づく従来の解決法と比較して、セキュリティのレベルは低下しない。また、本発明によれば、セキュリティプロトコルを備えた従来のＧＳＭセキュリティを利用することにより、起こり得る不正行為、なりすまし、攻撃等を、企業およびモバイルデバイスの両方により簡易かつ効果的に検出することが保証される。
上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。

Claims (10)

  1. ユーザデバイスとサーバとの間の通信を準備する方法において、前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能であり、
    ａ）セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送るステップと、
    ｂ）前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行するステップと、
    ｃ）前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成するステップと、
    ｄ）前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを前記サーバに保存するステップと、
    ｅ）所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るステップと、
    ｆ）前記セキュア要素が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するステップと、
    ｇ）前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するステップと
    を備え、
    前記ユーザデバイスが、前記ステップｃ）で生成された署名付きレスポンスを用いてセッション鍵の形態でセキュア情報を生成し、前記サーバが、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいてセッション鍵の形態でセキュア情報を生成し、これがステップｇ）による照合のために使用され、
    前記セッション鍵が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される
    ことを特徴とする、ユーザデバイスとサーバとの間の通信を準備する方法。
  2. 前記生成されたレスポンス情報が前記サーバに提供され、前記照合が、前記保存された署名付きレスポンスおよびステップｆ）の前記生成されたレスポンス情報を用いて直接に実行され、一致した場合、前記ユーザデバイスは、前記サーバとの通信について認証されることを特徴とする請求項１に記載の方法。
  3. 前記１つ以上の署名付きレスポンスを生成するため、および／または、セッション鍵を計算するためのカウンタ情報がステップｃ）に含められることを特徴とする請求項１または２に記載の方法。
  4. カウンタ情報が、前記ユーザデバイスおよび／または前記サーバによって確立されたセッションの数に対するカウンタを示すことを特徴とする請求項３に記載の方法。
  5. 前記サーバ情報を提供するために暗号学的ハッシュ関数が使用されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。
  6. ステップｃ）を実行するための決定的アルゴリズムとしてＧＳＭ−Ａ３アルゴリズムが使用され、および／または、前記セキュア要素内に保存された鍵情報を用いずにセッション鍵を生成するための決定的アルゴリズムとしてＧＳＭ−Ａ８アルゴリズムが使用されることを特徴とする請求項１ないし５のいずれか１項に記載の方法。
  7. チャレンジ送信後にステップｆ）による正しいレスポンスを提供する時間が測定され、該測定された時間に基づいて、ステップｇ）が実行されるか、または、実行されないことを特徴とする請求項１ないし６のいずれか１項に記載の方法。
  8. 前記カウンタ情報が、所定のセッションの数に対してチェックされることを特徴とする請求項３に記載の方法。
  9. ステップａ）による前記１つ以上のチャレンジが１２８ビット以上のチャレンジであることを特徴とする請求項１ないし８のいずれか１項に記載の方法。
  10. ユーザデバイスとサーバとの間の通信を準備するシステムにおいて、前記ユーザデバイスは、セキュア要素、好ましくはＳＩＭカード、によって１つ以上の決定的アルゴリズムを実行するように動作可能であるとともに前記サーバから問合せ可能であり、鍵情報、好ましくはモバイル事業者の加入者鍵、が前記セキュア要素に保存可能であり、
    前記サーバが、セキュアチャネルを用いて、区別不可能かつ推測不可能なサーバ情報で前記セキュア要素に対してチャレンジを送り、前記サーバ情報および前記セキュアチャネル経由で前記サーバへ送信された前記１つ以上の署名付きレスポンスを保存し、所定のサーバ情報の１つで前記セキュア要素に対してチャレンジを送るように動作可能であり、
    前記セキュア要素が、前記セキュア要素上で前記サーバ情報に基づいて前記決定的アルゴリズムの１つを実行し、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記決定的アルゴリズムの出力に基づいて１つ以上の署名付きレスポンスを生成し、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記所定のサーバ情報を用いて前記決定的アルゴリズムを実行することにより、レスポンス情報を生成するように動作可能であり、
    前記サーバおよび／または前記ユーザデバイスが、前記保存された署名付きレスポンスおよび前記生成されたレスポンス情報に基づく照合に基づいて、前記ユーザデバイスと前記サーバとの間の通信を準備するように動作可能であり、
    前記ユーザデバイスが、前記生成された署名付きレスポンスを用いてセッション鍵の形態でセキュア情報を生成し、前記サーバが、前記保存された署名付きレスポンスおよび前記レスポンス情報に基づいてセッション鍵の形態でセキュア情報を生成し、これが前記照合のために使用され、
    前記セッション鍵が、前記セキュア要素内に保存された鍵情報を前記サーバが明示的に知ることなしに、前記サーバと前記ユーザデバイスとの間の共有鍵、セッション情報および事前に署名されたレスポンスに基づいて計算される
    ことを特徴とする、ユーザデバイスとサーバとの間の通信を準備するシステム。
JP2015560720A 2013-03-08 2014-03-10 ユーザデバイスとサーバとの間の通信を準備する方法およびシステム Active JP6096327B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP13158289 2013-03-08
EP13158289.2 2013-03-08
PCT/EP2014/054607 WO2014135707A1 (en) 2013-03-08 2014-03-10 Method and system for preparing a communication between a user device and a server

Publications (2)

Publication Number Publication Date
JP2016513899A JP2016513899A (ja) 2016-05-16
JP6096327B2 true JP6096327B2 (ja) 2017-03-15

Family

ID=50424191

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015560720A Active JP6096327B2 (ja) 2013-03-08 2014-03-10 ユーザデバイスとサーバとの間の通信を準備する方法およびシステム

Country Status (3)

Country Link
EP (1) EP2965488B1 (ja)
JP (1) JP6096327B2 (ja)
WO (1) WO2014135707A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2548428B (en) * 2016-08-08 2018-05-16 Quantum Base Ltd Nondeterministic response to a challenge
JP6408536B2 (ja) * 2016-11-17 2018-10-17 Kddi株式会社 通信システム、通信装置、サーバ装置、通信方法、及びコンピュータプログラム
WO2022065016A1 (ja) * 2020-09-22 2022-03-31 渡辺浩志 自動認証ｉｃチップ

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI109864B (fi) * 2000-03-30 2002-10-15 Nokia Corp Tilaajan autentikaatio
US20050149740A1 (en) * 2003-12-31 2005-07-07 Kotzin Michael D. Method and apparatus for device authentication
FR2883115A1 (fr) * 2005-03-11 2006-09-15 France Telecom Procede d'etablissement d'un lien de communication securise
CA2644772A1 (en) * 2006-03-16 2007-09-20 British Telecommunications Public Limited Company Methods, apparatuses and software for authentication of devices temporarily provided with a sim to store a challenge-response
EP2347613B1 (en) * 2008-09-09 2014-05-07 Telefonaktiebolaget L M Ericsson (PUBL) Authentication in a communication network
JP5499358B2 (ja) * 2010-03-24 2014-05-21 独立行政法人産業技術総合研究所 認証処理方法及び装置

Also Published As

Publication number Publication date
JP2016513899A (ja) 2016-05-16
WO2014135707A1 (en) 2014-09-12
EP2965488A1 (en) 2016-01-13
EP2965488B1 (en) 2020-04-29

Similar Documents

Publication Publication Date Title
Chuang et al. An anonymous multi-server authenticated key agreement scheme based on trust computing using smart cards and biometrics
Das A secure and robust temporal credential-based three-factor user authentication scheme for wireless sensor networks
Das et al. A secure and efficient uniqueness-and-anonymity-preserving remote user authentication scheme for connected health care
He et al. A strong user authentication scheme with smart cards for wireless communications
US20170289197A1 (en) Transport layer security token binding and trusted signing
JP2018521417A (ja) 生体特徴に基づく安全性検証方法、クライアント端末、及びサーバ
Petrov et al. Towards the era of wireless keys: How the IoT can change authentication paradigm
US20240305450A1 (en) Authentication system for a multiuser device
JP6096327B2 (ja) ユーザデバイスとサーバとの間の通信を準備する方法およびシステム
Akram et al. A privacy preserving application acquisition protocol
Huang et al. RFID systems integrated OTP security authentication design
US11003744B2 (en) Method and system for securing bank account access
US11799632B1 (en) Optimized authentication system
Binu et al. A mobile based remote user authentication scheme without verifier table for cloud based services
Vorugunti et al. Improving security of lightweight authentication technique for heterogeneous wireless sensor networks
Arfaoui et al. Practical and privacy-preserving TEE migration
Coruh et al. Lightweight offline authentication scheme for secure remote working environment
Wang et al. Secure authentication and authorization scheme for mobile devices
US11856105B1 (en) Secure multi-factor authentication system including identity verification of an authorized user
US11949772B2 (en) Optimized authentication system for a multiuser device
US10530583B2 (en) Method for putting a first device in secure communication with a second device
Ying et al. Privacy Protection for E-Health Systems using Three-Factor User Authentication
TWI625643B (zh) 無線感測網路的匿名認證方法
Kbar et al. Challenge Token-based Authentication–CTA
de Souza et al. Multi-factor authentication in key management systems

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20160819

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20160914

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20161214

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20170118

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20170215

R150 Certificate of patent or registration of utility model

Ref document number: 6096327

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350