EXPANSIÓN DE PROTOCOLO DE UN MENSAJE DE SEÑALIZACIÓN
CAMPO DE LA INVENCIÓN La invención se refiere a un procedimiento y a un dispositivo para reconocer una modificación en un mensaje transmitido desde una unidad de red a una terminal de comunicaciones . ANTECEDENTES DE LA INVENCIÓN En una red de comunicaciones, en especial un sistema radio móvil de la segunda y la tercera generación como una red GSM y una red UMTS las unidades de red (Unidad de conmutación = Mobile Service Switching Center [MSC] o
Unidad de apoyo de servicio GPRS = Serving GPRS Support
Node [SGSN] ) intercambian mensajes de señalización con la terminal de comunicación. Por Ala-Laurila, J., y otros: Wireless LAN access net or architecture for mobile operators : IEEE Communications Magazine, volumen 39, lia. edición, noviembre 2001, página 82-89 se conoce una nueva arquitectura LAN inalámbrica para la combinación de la tecnología de red de acceso, las funciones de administración de usuario basadas en SIM y la infraestructura de registro de un usuario en una central externa (roaming) del operador de red. En los sistemas descritos se autentifica y autoriza el acceso a WLAN a través de una tarjeta GSM-SIM. Postel, J. : RFC 768: User Datagram Protocol: Internet Engineering Task Forcé (IETF) , 28 de agosto de 1980 (en internet: URL: http: //www. ietf. org/rfc/rfc768. txt) describe un protocolo de datagrama de usuario (UDP = Protocolo de Datagrama de usuario) para una comunicación por computadora en paquetes en una red de computadora. El protocolo UDP se basa en el protocolo de internet (IP) y propone un procedimiento para aplicaciones para enviar mensajes a otros programas con mecanismos de protocolo mínimos . En el documento D3 (2004/0037320 Al) se describen técnicas para la transmisión de paquetes desde una unidad de transmisión a través de un sistema de comunicación inalámbrico a una unidad receptora. Aquí se reciben las tramas de datos, que están contenidas en un paquete. Se generan uno o más encabezados para el paquete para uno o varios protocolos en un campo de protocolo. Como protocolo pueden utilizarse RTP, UDP, IP, PPP, RLP y variantes. Por el documento D4 (WO 03/036908 Al) se conoce un procedimiento para transmitir un mensaje a una pluralidad de terminales en una red por medio del uso de un servicio de llamada grupal (Multicast Service) . Aquí se codifica el mensaje grupal y se transmite simultáneamente a varias terminales.
Ya que las interfaces de radio entre una estación base y una terminal de comunicación o terminal de radio móvil ofrece básicamente muchas posibilidades para el agresor, puede posicionarse un agresor con una llamada "estación base falsa" entre la terminal de comunicación y la verdadera estación base. La falsa estación base se comporta frente a la terminal de comunicación como una estación base, y frente a la estación base verdadera como una terminal de comunicaciones. Por medio de la falsificación de los mensajes gue se intercambian entre la terminal de comunicación y las unidades de red, la unidad base falsa puede procurar que una charla a través de un aparato móvil se codifique con un procedimiento criptográfico más débil y así pueda espiarse más fácilmente. Un procedimiento para protegerse de falsificación de mensajes se realiza en una red UMTS de acuerdo con 3GPP
TS 33.102, Universal Mobile Telecommunications System
(UMTS); 3G security; Security architecture, versión 5.3.0 (2003-10-03), capítulo 6.3. Cuando la terminal de radio móvil se anuncia por primera vez en una red de comunicación, se realiza un procedimiento de autentificación, en el cual una terminal de radio móvil se autentifica frente a la red de comunicación y entre la terminal de radio móvil y la red de comunicación se acuerda una clave temporal IK. Así en la red de comunicación o en la red de radio móvil en una unidad de red especial del centro de autentificación = Authentication Center (AuC) , a partir de la clave secreta Ki del suscriptor y un número aleatorio RAND con la ayuda de una función f2K (RAND; Ki) se calcula una respuesta firmada (signed response) (SRES) y con la ayuda de otra función f4K (RAND, Ki) se calcula una clave secreta temporal IK. RAND, SRES e IK se transmiten entonces a la unidad conmutadora MSC o a la unidad de soporte de servicio GPRS SGSN, con la cual está conectada en ese momento la terminal de radio móvil. MSC o SGSN transmite finalmente con un mensaje de "solicitud de autentificación" (Authentication Request) el número aleatorio RAND al terminal de radio móvil. En la terminal de radio móvil con el RAND y con la clave secreta Ki con la ayuda de las funciones f2K (RAND, Ki) y f4K (RAND; Ki) se calcula la respuesta firmada (signed response) (SRES) y la clave secreta temporal IK. A continuación la terminal de radio móvil transmite el valor SRES con un mensaje de respuesta de autentificacíón (Authentication Response) a la red de comunicación. La MSC o SGSN compara ese valor con el valor calculado por el centro de autentificación AuC. Cuando ambos coinciden, se considera que la terminal de radio móvil ha sido autentificado exitosamente. Simultáneamente la terminal de radio móvil y la red de comunicación con este procedimiento han generado una clave secreta temporal IK. Para todos los mensajes de señalización, que se intercambian de acuerdo con el procedimiento de autentificación entre la terminal de radio móvil y la red de comunicación, el transmisor del mensaje con la ayuda de la clave secreta IK calcula un valor de prueba Hash (mensaje, IK) . El valor de prueba Hash (mensaje, IK) se calcula con la ayuda de la clave temporal IK, porque la clave secreta Ki nunca debe salir del centro de autentificación (Authentication Center) . Después se transmite el valor de prueba con el mensaje y es verificado con la terminal de radio móvil. Cunado el mensaje haya sido modificado por medio de una estación base falsa, la terminal de radio móvil por lo regular reconocerá que el valor de prueba ya no coincide, ya que la estación base falsa no conoce la clave secreta IK y por lo tanto no puede calcular el valor de prueba para el mensaje modificado. Para una red UMTS se realiza el procedimiento desde el principio esto quiere decir desde la primera versión del protocolo. La terminal de radio móvil sabe entonces que los mensajes deben contener un valor de prueba. Por lo tanto no es necesaria una diferenciación de si la terminal de radio móvil se encuentra en una "red antigua" (el mensaje no contiene valor de prueba) o una "nueva red" (el mensaje debe contener el valor de prueba) . Para el sistema GSM se hizo una propuesta similar: para esto como nuevo elemento del mensaje debe agregarse un valor de prueba al mensaje de solicitud de autenticación (Authentication Request) . Un estación base falsa (fraudulenta) puede de cualquier forma falsificar el mensaje (con fines por ejemplo de espionaje) de tal forma que se elimina el valor de prueba y transmite el mensaje al terminal de radio móvil en el antiguo formato. El problema, como lo muestra el aparato de raido móvil, de que se encuentre en una nueva red, no se resuelve con esa propuesta. Otra propuesta (3 GPP TSG SA WG3 Secutity, Cipher key separation for A/Gb security enhancements, Datos S3-030463, 15-18 de julio de 2003, San Francisco, EE.UU. Orden del día de la agenda 7.5, Fuente: Vodafone) para el sistema GSM se basa en que la estación base falsa no puede modificar el mensaje de la solicitud de autenticación (Authentication request) , porque entonces la terminal de radio móvil calcularía el valor SRES falso y no se realizaría un procedimiento de autenticación. De acuerdo con esta propuesta en los primeros 32 bits del parámetro RAND se introduce una secuencia de bits fija especial, que muestra al terminal de radio móvil gue en los siguientes n bits del parámetro RAND se transmite una información determinada. (En la contribución a la estandarización S3-03-0463 se propone concretamente codificar en los siguientes 8 bits que algoritmos Cipher GSM están permitidos en la red y cuales no. De esta manera debe evitarse que la estación base falsa en la interfaz de radio pueda modificar los mensajes que van hacia la terminal de radio móvil de tal forma que se selecciona un algoritmo Cipher criptográficamente más débil) . La secuencia de bits especiales se requiere porque esa ampliación del protocolo no tiene soporte desde el principio en todas las redes. Entre mayor sea la secuencia de bits especial, menor será la posibilidad de que una red de comunicación que no soporta aun la ampliación del protocolo, durante una selección del parámetro RAND selecciona de manera aleatoria la secuencia de bits especial y la terminal de radio móvil entonces interpreta erróneamente los siguientes bits en el parámetro RAND como información. Para 32 bits esa posibilidad consiste por ejemplo de 1:232 * l:4xl09. Generalmente deben cumplirse los siguientes requisitos para resolver el problema: i) En nuevas redes (redes UMTS, etc.), que soportan la ampliación de protocolo, una terminal de comunicación o una terminal de radio móvil, que soporta igualmente la ampliación del protocolo debe notar una falsificación en el mensaje de solicitud de autenticación (Authentication Request) . ii) La terminal de comunicación o la terminal de radio móvil debe funcionar en las redes antiguas (redes
GSM, etc.), que aún no soportan la ampliación del protocolo. Naturalmente la terminal de comunicación o la terminal de radio móvil no puede reconocer las falsificaciones en los mensajes. iii) La terminal de comunicación o la terminal de radio móvil debe poder reconocer si se encuentra en una red antigua o nueva, en especial también cuando una estación base falsa trata de hacerse pasar como una "red antigua". El concepto "ampliación posterior del protocolo" también debe entenderse que en una versión "n" del protocolo de señalización la ventaja aun no está protegida contra falsificaciones, mientras que a partir de la versión "n+1" el protocolo está protegido. La nueva versión "n+1" debe ser compatible con una versión previa "n" . Una falsificación posible por parte de una estación base falsa puede por ejemplo ser que los elementos de mensajes simplemente se omiten. La terminal de radio móvil entonces asume que se encuentra en una red con una versión de protocolo "n".
Un problema en el método propuesto en S3-030463 (3 GPP TSG SA WG3 Secutity, Cipher key separation for A/Gb security enhancements, 15-18 de julio de 2003, San Francisco, EE.UU. Orden del día de la agenda 7.5, Fuente: Vodafone) consiste en que la información que se va a proteger se introduce en los parámetros RAND, esto significa que entre mayor información entre en el transcurso del tiempo, menos bit pueden seleccionarse de forma realmente aleatoria por la red de comunicación. También por tendencia se debilita la función de autenticación f2K (RAND, Ki) . Además por medio de la longitud del parámetro RAND (16 bytes en la red GSM y UMTS) se provee un límite superior para la cantidad de información, que puede ser protegida de esa forma. SUMARIO DE LA INVENCIÓN Por lo tanto la tarea de la invención es la de proponer la posibilidad un reconocimiento eficiente y sencillo de una modificación de un mensaje de señalización. La tarea se resuelve de acuerdo con la invención por medio de las características de las reivindicaciones independientes. Otras modalidades de la invención se dan en las reivindicaciones secundarias . Un núcleo de la invención se considera que para reconocer una modificación en un mensaje de señalización enviado desde la unidad de red a una terminal de comunicaciones, se da una secuencia de bits conocida por la unidad de red y la terminal de comunicación, en una mensaje de señalización transmitido (Authentication request) , de tal forma que en un mensaje de señalización (Authentication request; otro mensaje) está contenido un valor de prueba. El mensaje de señalización que contiene el valor de prueba puede ser aquí un mensaje de solicitud de autenticación u otro mensaje o mensaje de señalización subsecuente. Después de recibir ese mensaje el valor de prueba recibido por la terminal de comunicación se compara con un valor de prueba calculado por la terminal de comunicación. La terminal de comunicación, que por ejemplo es una terminal de radio móvil, una computadora móvil, un organizador móvil, etc., define así que un mensaje de señalización (Authentication request; otro mensaje) no ha sido modificado, en caso de que se haya recibido la secuencia de bits en un mensaje de señalización (Authentication request) y la comparación entre arabos valores de prueba produce un resultado positivo. La secuencia de bits especial aun en el caso de una transmisión se protege de manera adecuada de tal forma que las modificaciones realizadas por una estación base falsa son notadas por la terminal de comunicación o por la unidad de red. De manera ideal la secuencia de bits especial se encuentra contenida en el parámetro RA D. Por medio de la secuencia de bits especial en el parámetro RAND la terminal de comunicaciones puede reconocer con elevada certeza si la red de comunicación apoya la amplificación del protocolo del mensaje de señalización. Cuando la estación base falsa modifica el parámetro RAND, para simular ante la terminal de comunicación que es una red "antigua", esto es notado por la unidad de red, en especial por la unidad de conmutación MSC o por una unidad de apoyo de servicio GPRS SGSN, porque el procedimiento de autenticación así lo indica. Otra ventaja consiste en que a través del uso de un valor de prueba propio la cantidad de información que puede ser protegida ya no está limitada desde el principio. Cuando se agregan nuevos elementos de mensajes al mensaje de señalización, pueden estas considerarse automáticamente al calcular el valor de prueba. Nuevos elementos de mensajes pueden también agregarse en versiones de protocolo posteriores. Además la función de autenticación f2K (RAND, Ki) se debilita menos, pirque solo se introduce la secuencia de bits en el mensaje de señalización en el parámetro RAND, pero no los otros elementos del mensaje que se van a proteger. La posibilidad de variación en el parámetro RAND permanece así más grande. Optativamente también pueden protegerse los siguientes mensajes de señalización por medio de un valor de prueba. Esto conduce a una protección más eficiente contra algún agresor con "estaciones base falsas". BREVE DESCRIPCIÓN DE LAS FIGURAS La invención se explicará detalladamente con la ayuda de un ejemplo de realización representado en las figuras . La figura 1 muestra una arquitectura de red con una "estación base falsa"; La figura 2 muestra una arquitectura de red simplificada para realizar el procedimiento de acuerdo con la invención; La figura 3 muestra una representación de una terminal de comunicación para recibir un mensaje de señalización desde una unidad de red; La figura 4 muestra una representación simplificada de una unidad de red de acuerdo con la invención .
DESCRIPCIÓN DE LA INVENCIÓN La figura 1 muestra una arquitectura de red de una red de radio móvil con una "estación base falsa" f-BSS, que está colocada entre una terminal de comunicación o terminal de radio móvil MS y una estación base BSS . La estación base falsa se comporta frente a la terminal móvil MS como una estación base BSS, frente a la estación base real BSS como una terminal de radio móvil MS . Por medio de la falsificación de los mensajes, que se intercambian entre la terminal de radio móvil MS y la unidad de red MSC/SGSN, la unidad base falsa f-BSS puede cuidar que por ejemplo una conferencia de radio móvil se codifique con un procedimiento critográficamente más débil y con esto pueda ser espiada más fácilmente. Una unidad de red MSC/SGSN puede ser aquí una unidad de conmutación MSC o una unidad de apoyo al servicio GPRS SGSN. La ' figura 2 muestra una representación sencilla para realizar el procedimiento de acuerdo con la invención. Como ya se describió, en la red de comunicación, aquí una red de radio móvil, se calcula en una unidad de red especial, el centro de autenticación AuC, del cual una lave secreta Ki del suscriptor un número aleatorio RAND con la ayuda de una función f2K (RAND; LKi) una "respuesta firmada" (SRES) y con ayuda de otra función f4K (RAND, Ki) se calcula una clave secreta temporal IK. RAND, SRES e IK entonces independientemente de la red de radio móvil utilizada (red GSM, red IMYS, etc.) se envían a la unidad de red MSC/SGSN (unidad de conmutación MSC o la unidad de apoyo al servicio GPRS SGSN) , con la cual la está conectado en ese momento la terminal de radio móvil MS . La unidad de conmutación MSC o la unidad de apoyo al servicio GPRS SGSN transmite exclusivamente con una mensaje de señalización/solicitud de autenticación" (Authentication Request) el parámetro del número aleatorio RAND, un mensaje de prueba producido por la unidad de red MSC/SGSN y otros parámetros al terminal de radio móvil MS . El parámetro RAND contiene una secuencia de bits especial, que es conocido tanto por la terminal de radio móvil como también por la unidad de radio MSC/SGSN y que está protegido contra las modificaciones por ejemplo de una "estación base falsa" . La protección consiste en que la terminal de comunicación MS cuando un agresor modifica la secuencia de bits con una "estación base falsa" se calculan valores diferentes a los valores calculados en la unidad de red MSC/SGSN (valor de prueba, SRES, etc.) y esto por ejemplo puede detectarse en la respuesta de autentificación de las unidades de red MSC/SGSN. El centro de autenticación AuC de cando menos dos secuencias de bits, que son conocidas tanto por la unidad de red MSC/SGSN como por la terminal de comunicación MS, podría seleccionar y utilizar una secuencia de bits para la transmisión entre la unidad de red MSC/SGSN y la terminal de comunicación MS . Los parámetros RAND con secuencia de bits especiales deben ser producidos en general por el centro de autentificación AuC solo cuando se sabe que la red de comunicación en la que se encuentra la terminal de comunicación MS o la terminal de radio móvil MS, que apoya la amplificación del protocolo, esto es cuando la unidad de red MSC/SGSN puede calcular el valor de red y con este transmitir el mensaje de solicitud de autentificación. Como se propone en en S3-030463 (3 GPP TSG SA G3 Secutity, Cipher key separation for A/Gb security enhancements, 15-18 de julio de 2003, San Francisco, EE.UU. Orden del día de la agenda 7.5, Fuente: Vodafone) , puede esto resolverse para el caso del roaming esto es cuando un usuario se registra en una red de comunicación que no es la local que le corresponde, porque el centro de autenticación Auc compara la identidad de la red de radio móvil (o la unidad de conmutación MSC o la unidad de apoyo al servicio GPRS SGSN) a la cual deben enviarse los parámetros RAMD, SRES e IK, con uan lista en la que se indica que redes de comunicación apoyan la ampliación del protocolo. El valor de prueba "Hash" f (mensaje, IK) es determinado por la unidad de red MSC/SGCN del contenido del mensaje de señalización y de la clave IK. En la terminal de radio móvil MS con el parámetro RAND y las claves secretas Ki con la ayuda de las funciones f2K (RAND, Ki) y f4K (RAND, Ki) se calcula la "respuesta firmada" (SRES) y la clave secreta temporal IK. Por medio de la secuencia de bits especial en el parámetro RAND del mensaje de señalización "solicitud de autentificación" (Authentication Request) se muestra en la terminal de radio móvil MS, que en el mensaje de señalización debe estar contenido un valor de prueba "Hash" f (mensaje, 1K) . Obviamente la secuencia de datos especial también podría estar contenida en otros parámetro, cuando se asegure que la terminal de radio móvil MS o la unidad de red MSC/SGSN ha reconocido una modificación a ese parámetro por parte de una estación base falda. A continuación la terminal de comunicación MS o la terminal de radio móvil MS calcula un valor de prueba propio "Hash" f (Mensaje,
IK) , que se calcula del contenido del mensaje y de la clave secreta temporal IK y compara el valor de prueba calculado con el valor de prueba contenido en el mensaje de señalización. Cuando el valor de prueba falta, aunque el parámetro RAND contiene la secuencia de bits especial, o cuando el valor de prueba enviado no coincida con aquel que ha calculado la terminal de radio móvil MS (igualdad entre ambos valores de prueba), entonces se supone que el mensaje fue falsificado en el camino entre la unidad de red
MSC/SGSN al terminal de radio móvil MS . Al transmitir el mensaje de señalización de la unidad de red
MSC/SGSN a la terminal de comunicación MS pueden participar varias redes de comunicación, como por ejemplo en el caso de una transmisión interna en una red de comunicación. Después de esto la terminal de radio móvil
MS para terminar la autentificación del mensaje de señalización "respuesta de autentificación" con la cual el parámetro SRES calculado por la terminal de radio móvil MS a la unidad de red MSC/SGSN. La figura 3 muestr auna representación de la termina de comunicación MS para recibir un mensaje de señalización desde una unidad de red MSC/SGSN. La terminal de comunicación MS para la comunicación óvol, en especial para la comunicación móvil con una red móvil, posee una unidad receptora E y una undiad transmisora S. Una unidad de procesamiento V con la ayuda de una secuencia de bits especial en el mensaje de señalización, en especial en el parámetro RAND, puede reconocer que en el mensaje de señalización debe estar contenido un valor de prueba "Hash" f (Mensaje, IK) . A continuación la terminal de comunicación MS o la terminal de radio móvil MS calcula un valor de prueba propio "Hash" f (Mensaje, ILK) ) , que se calcula del contenido del mensaje y de la clave secreta temporal IK y se compara con el valor de prueba calculado con el valor de prueba contenido en el mensaje de señalización. La terminal de comunicación MS considera que el mensaje de señalización como no modificada solo cuando con la comparación entre ambos valores de prueba se obtiene un resultado positivo. Aquí se considera como resultado positivo el que ambos valores de prueba sean idénticos . En una variante de la invención se señaliza con una secuencia de bits especial, que en una red de comunicación que en ese momento se encuentra en una red de comunicación, deben estar contenidos también los valores de prueba en todos los siguientes mensajes que se transmiten desde la red de comunicación o de la unidad de red MSC/SGSN a la terminal de comunicación MS . La figura 4 muestra una representación simplificada de una unidad de red MSC/SGSN de acuerdo con la invención. La unidad de red MSC/SGSN para la comunicación móvil, en especial para la comunicación móvil con una red móvil, presenta una unidad de receptora EE y una unidad transmisora SE. Un trabajo de procesamiento VE contiene de acuerdo con la figura 2, parámetro de un centro de autentificación Auc y determina un valor de prueba "Hash" f (mensaje, IK) , que transmite en un mensaje de señalización al (VE) junto con otros parámetros a una terminal de comunicación asociada.