NL1016964C2

NL1016964C2 - Methode voor authenticatie bij internet toepassingen.

Info

Publication number: NL1016964C2
Application number: NL1016964A
Authority: NL
Inventors: Joost Bon
Original assignee: Koninkl Kpn Nv
Priority date: 2000-12-22
Filing date: 2000-12-22
Publication date: 2002-06-25

Description

Methode voor authenticatie bij internet toepassingen ACHTERGROND

De uitvinding heeft betrekking op een methode voor 5 authenticatie bij het uitvoeren van transacties via een IP netwerk waarop enerzijds via een draadgebonden of draadloos telecommunicatienetwerk door gebruikers te bedienen gebruikersterminals zijn aangesloten en waarop anderzijds applicatieservers zijn aangesloten die via het IP netwerk 10 en het telecommunicatienetwerk diensten aan de gebruikers kunnen leveren.

Een dergelijke methode is van algemene bekendheid.

DE UITVINDING

15 De uitvinding berust op het inzicht dat het "A-nummer", aansluitnummer of "Calling Line Identifier" (hierna CLI) gebruikersterminal -of node, poort of kanaal via welke de terminal met het telecommunicatienetwerk verbonden is-toegekende CLI een goede rol kan spelen als (additioneel) 20 beveiligings-element bij "internet-transacties". Internet-transacties kunnen bijvoorbeeld bestaan in het kopen of verkopen van producten of diensten of in het via het internet bekijken of wijzigen van gegevens of instellingen bijvoorbeeld van de bank, de telecom-operator, het 25 energiebedrijf etc. etc. In al die gevallen is een goede beveiliging van groot belang. De uitvinding voorziet in een methode resp. middelen voor het detecteren en eventueel registreren van de CLI binnen het IP-domein.

De methode volgens de uitvinding omvat de volgende stappen: 30 a. bij het via een gebruikersterminal opzetten van een verbinding met het IP netwerk wordt aan de gebruikersterminal een IP adres toegekend; b. het toegekende IP adres en de "Calling Line Identifier" (CLI) van de gebruikersterminal worden aan elkaar 35 gerelateerd opgeslagen in een CLI/IP server; c. een applicatieserver leest tijdens een applicatiesessie met de gebruikersterminal in de CLI/IP server de CLI uit 101 63 6 4·* -2- bij het IP adres van de gebruikersterminal.

Kern van de uitvinding is dus de genoemde CLI/IP server, waarin een conversietabel wordt opgeslagen van CLIs met daarbij behorende IP adressen. Op deze wijze kan -hoewel IP 5 adressen in de regel dynamisch worden toegekend waardoor ze per applicatiesessie verschillende zijn- bij elke sessie een verwijzing naar de CLI van de gebruiker worden verkregen. De applicatieserver kan op die wijze tijdens een applicatiesessie de uit de CLI/IP server uitgelezen CLI 10 gebruiken voor gebruikersauthenticatie. Als de applicatieserver bijvoorbeeld door een telecom operator wordt gebruik om klanten in de gelegenheid te stellen hun telecom-instellingen -nauw gerelateerd aan de CLI van de gebruiker- te wijzigen, kan op de beschreven wijze de CLI 15 van de gebruiker eenvoudig worden gecontroleerd als deel van de authenticatie.

Teneinde de voorgestelde methode nog breder toepasbaar te maken, kan de CLI van een gebruiker op een veilige manier worden opgeslagen in een TTP server. Nadien kan de in de 20 TTP server geregistreerde CLI weer worden gebruikt als onderdeel van de authenticatieprocedure bij sessies met applicatieservers. Meer in detail: d. tijdens een initiële aanmeldsessie voert de gebruiker een gebruikersnaam in en wordt de CLI van de 25 gebruikersterminal uit de CLI/IP server uitgelezen en gerelateerd aan de door de gebruiker ingevoerde gebruikersnaam in een Trusted Third Party (TTP) server (6) geregistreerd; e. tijdens een applicatiesessie, na de initiële 30 aanmeldsessie, tussen de gebruiker en de applicatieserver vraagt de applicatieserver bij de TTP server de CLI op die gerelateerd is aan een door de gebruiker bij de applicatieserver ingevoerde gebruikersnaam.

35 IMPLEMENTATIE

Figuur 1 toont een implementatievoorbeeld van een systeem dat geschikt is voor het uitvoeren van de methode volgens -3- de uitvinding. Het in figuur 1 getoonde transactiesysteem omvat een draadgebonden (of draadloos) telecommunicatienetwerk 1 met daarop -via een node met een bepaald aansluitnummer of "Calling Line Identifier"- aangesloten 5 gebruikersterminals 2, alsmede een -via een "internet service provider" (ISP) 3 met het telecommunicatienetwerk 1 verbonden IP netwerk 4 waarop applicatieservers 5 zijn aangesloten die via het IP netwerk 4 en het telecommunicatienetwerk 1 een applicatiesessie met de 10 gebruikers kunnen aangaan. Voorts omvat het telecommunicatienetwerk 1 middelen voor het aan elke gebruikersterminal (of netwerknode) toekennen van een "Calling Line Identifier" (CLI). Het IP netwerk omvat middelen voor het aan de gebruikersterminal 2 toekennen van 15 een IP adres.

De ISP fungeert in de getoonde architectuur tevens als CLI/IP server, die middelen omvat voor het aan elkaar gerelateerd opslaan van het aan een gebruikersterminal 2 toegekende IP adres en de "Calling Line Identifier" (CLI) 20 van de gebruikersterminal. De CLI/IP server 3 omvat voorts middelen voor het van een applicatieserver 5 ontvangen van een IP adres en het uitlezen en aan de applicatieserver 5 toezenden van de CLI die behoort bij dat ontvangen IP adres. De applicatieserver 5 omvat middelen voor 25 gebruikersauthenticatie op basis van de uit de CLI/IP server 3 uitgelezen CLI.

Het in figuur 1 getoonde transactiesysteem omvat verder een Trusted Third Party (TTP) server 6. De CLI/IP server 3 omvat middelen voor het tijdens een initiële aanmeldsessie 30 uitlezen van de CLI van de gebruikersterminal 2 en het opslaan van die CLI in de Trusted Third Party (TTP) server, gerelateerd aan een door de gebruiker ingevoerde gebruikersnaam. Tijdens de aanmeldsessie wordt dus de CLI van de gebruiker gedetecteerd -via de CLI/IP server 3- die 35 naderhand door de applicatieserver 5 kan worden "opgehaald". De applicatieserver 5 omvat middelen voor het tijdens een applicatiesessie, nadat de aanmeldsessie heeft -4- plaatsgevonden, maken van verbinding met de TTP server 6 en het opvragen van de daarin tijdens de aanmeldsessie opgeslagen CLI, gerelateerd aan de gebruikersnaam. Tijdens zo'n applicatiesessie gaat het erom, vast te stellen of de 5 gebruiker inderdaad vanuit de terminal werkt met een CLI die overeenkomt met zijn gebruikersnaam. Daartoe heeft de applicatieserver 5 middelen voor het vergelijken van de door de CLI/IP server uitgelezen CLI (de werkelijke CLI) met de uit de TPP server uitgelezen CLI (de CLI die met de 10 gebruikersnaam overeenkomt).

Tenslotte een voorbeeld:

Een abonnee bij een telecom operator wenst zijn tarief-instellingen te wijzigen (bijvoorbeeld een duurder abonnement bij lagere gesprekskosten). Het abonnement is 15 geldig voor het telefoonnummer van de abonnee. Het is dan ook logisch dat -uit beveiligingsoogpunt- de abonnee alleen zijn instellingen kan wijzigen indien hij gebruikmaakt van de betreffende telefoonaansluiting. Met andere woorden moet de CLI overeenkomen met het telefoonnummer waarop het 20 abonnement betrekking op heeft. De abonnee maakt gebruik van een gebruikersnaam (en password) bij het bedienen van de instel-software op de applicatieserver 5.

Bij het voor de eerste keer aanmelden -invoeren gebruikersnaam plus password- maakt de applicatieserver 25 contact met de.CLI/IP server 3 en verzoekt de waarde van de CLI naar de applicatieserver te zenden die hoort bij het IP adres van de terminal 2 dat -conform het internet protocol-bij de applicatieserver 5 bekend is. De CLI/IP server 3 zendt daarop de gevraagde CLI. De applicatieserver 5 zendt 30 vervolgens de door de gebruiker ingevoerde gebruikersnaam en de inmiddels van de CLI/IP server ontvangen CLI-waarde naar de TTP server 6, die beide waarden gerelateerd aan elkaar opslaat in zijn database.

Bij volgende sessies waarin de gebruiker zijn instellingen 35 wil wijzigen maakt de gebruiker contact met de applicatieserver 5 en voert vervolgens zijn gebruikersnaam en password in. De applicatieserver 5 maakt daarop : 0 * Ou ö 4 * -5- verbinding met de TTP server 6 en zendt er de gebruikersnaam van de gebruiker naartoe. De TTP server onderzoekt in zijn database welke CLI daarin bij de gebruikersnaam is geregistreerd en zendt die CLI-waarde 5 naar de applicatieserver. Intussen heeft de applicatieserver -evenenals bij de eerste (aanmeld)sessie-de CLI/IP server gevraagd om toezending van de CLI van de terminal gevraagd (immers als de terminal nu via een andere node 3 met het netwerk 1 verbonden is, heeft de CLI een 10 andere waarde). De applicatieserver vergelijkt nu de in de TTP geregistreerde CLI waarde met de actuele CLI van de terminal 2 (node 3). Bij overeenstemming van beide is de gebruiker uit hoofde van de CLI geauthenticeerd tot het wijzigen van de instellingen van het telefoonabonnement dat 15 gerelateerd is aan die CLI.

,·> r'. · \.· ·««*/ --· •••Jij

Claims

1. Methode voor authenticatie bij het uitvoeren van transacties via een IP netwerk (4) waarop enerzijds via een draadgebonden of draadloos telecommunicatienetwerk (1) door 5 gebruikers te bedienen gebruikersterminals (2) zijn aangesloten en waarop anderzijds applicatieservers (5) zijn aangesloten die via het IP netwerk en het telecommunicatienetwerk diensten aan de gebruikers kunnen leveren gekenmerkt door de volgende stappen: 10 a. bij het via een gebruikersterminal opzetten van een verbinding met het IP netwerk wordt aan de gebruikersterminal een IP adres toegekend; b. het toegekende IP adres en het aanlsluitnummer of "Calling Line Identifier" (CLI) van de gebruikersterminal 15 worden aan elkaar gerelateerd opgeslagen in een CLI/IP server (3) ; c. de applicatieserver leest tijdens een applicatiesessie met de gebruikersterminal in de CLI/IP server de CLI uit bij het IP adres van de gebruikersterminal.

2. Methode volgens conclusie 1, met het kenmerk dat de applicatieserver tijdens de applicatiesessie de uit de CLI/IP server uitgelezen CLI gebruikt voor gebruikers-authenticatie.

3. Methode volgens conclusie 1, gekenmerkt door de volgende 25 stappen: a. tijdens een initiële aanmeldsessie voert de gebruiker een gebruikersnaam in en wordt de CLI van de gebruikersterminal uit de CLI/IP server uitgelezen en gerelateerd aan de door de gebruiker ingevoerde 30 gebruikersnaam in een Trusted Third Party (TTP) server (6) geregistreerd; b. tijdens een applicatiesessie, na de initiële aanmeldsessie, tussen de gebruiker en de applicatieserver vraagt de applicatieserver bij de TTP server de CLI op die 35 gerelateerd is aan een door de gebruiker bij de applicatieserver ingevoerde gebruikersnaam.

4. Transactiesysteem, omvattende een draadgebonden of -7- draadloos telecommunicatienetwerk (1) met gebruikersterminals (2) en een met het telecommunicatienetwerk verbonden IP netwerk (4) waarop applicatieservers (5) zijn aangesloten die via het IP 5 netwerk en het telecommunicatienetwerk een applicatiesessie met de gebruikers kunnen aangaan, voorts middelen omvattende voor het aan de gebruikersterminal toekennen van een IP adres, gekenmerkt door een CLI/IP server (3) die middelen omvat voor het aan elkaar gerelateerd registreren 10 van het aan de gebruikersterminal toegekende IP adres en het aansluitnummer of "Calling Line Identifier" (CLI) van de gebruikersterminal, welke CLI/IP server voorts middelen omvat voor het van de applicatieserver ontvangen van een IP adres en het uitlezen en aan de applicatieserver toezenden 15 van de CLI die behoort bij dat IP adres.

5. Transactiesysteem volgens conclusie 4, met het kenmerk dat de applicatieserver middelen voor gebruikers-authenticatie omvat op basis van de uit de CLI/IP server uitgelezen CLI.

6. Transactiesysteem volgens conclusie 4, gekenmerkt door een Trusted Third Party (TTP) server (6), waarbij de CLI/IP server middelen omvat voor het tijdens een initiële aanmeldsessie uitlezen van de CLI van de gebruikersterminal en de TTP server middelen omvat voor het registreren van de 25 tijdens die sessie van de CLI/IP server ontvangen CLI, gerelateerd aan een door de gebruiker ingevoerde gebruikersnaam, en dat de applicatieserver middelen omvat voor het tijdens een applicatiesessie, na de initiële aanmeldsessie, maken 30 van verbinding met de TTP server en het opvragen van de daarin tijdens de aanmeldsessie opgeslagen CLI, gerelateerd aan de gebruikersnaam, alsmede middelen voor authenticatie op basis van de door de CLI/IP server uitgelezen CLI enerzijds en de uit de TPP server uitgelezen CLI 35 anderzijds. ‘\