NL9301633A

NL9301633A - Methode voor de identificatie van gebruikers van telematicaservers.

Info

Publication number: NL9301633A
Application number: NL9301633A
Authority: NL
Original assignee: Nederland Ptt
Priority date: 1993-09-21
Filing date: 1993-09-21
Publication date: 1995-04-18
Also published as: EP0645688A1

Description

KONINKLIJKE PTT NEDERLAND N.V.

GRONINGEN

Methode voor de identificatie van gebruikers van telematicaservers

A. ACHTERGROND VAN DE UITVINDING

De uitvinding heeft betrekking op een methode voor de identificatie van gebruikers die via een terminal en een telecommunicatiesysteem van een telematicaserver gebruik wensen te maken. Tevens heeft de uitvinding betrekking op een telecommunicatiesysteem en een identificatieserver, geschikt en bedoeld voor het uitvoeren van een dergelijke methode.

Indien thans een gebruiker —via een telecommunicatiesysteem— gebruik wenst te maken van een telematicadienst, bijvoorbeeld een electronische database voor het opvragen van gegevens of een electronic mail service, vindt daarbij steeds, nadat de gebruiker verbinding met die service heeft gemaakt, als eerste een identificatie- en (in veel gevallen) verificatieprocedure (ook wel authenticatieprocedure genoemd) plaats. Deze bestaat eruit dat de gebruiker zich, door het op zijn terminal intoetsen van zijn gebruikersidentifier, aan de service (dat wil zeggen aan de server via welke de service wordt geboden) bekend maakt, in veel gevallen gevolgd door het aanvullend intoetsen van een verifier (password) die bijvoorbeeld aan de zijde van de telematicaserver wordt vergeleken met een daar opgeslagen verifier, of die aan zowel gebruikerszijde als aan server-zijde wordt vercijferd met gelijke of complementaire vercijferalgoritmen, waarna beide uitkomsten met elkaar worden vergeleken. Een bezwaar van deze situatie —die zich in toenemende mate doet gevoelen naarmate het aantal services/servers toeneemt— is dat elke server zijn eigen identificatieprocedure kent, inclusief identifiers, passwords, etc. Dit probleem wordt algemeen onderkend.

B. SAMENVATTING VAN DE UITVINDING

Aanvraagster is tot het inzicht gekomen dat de eigenlijke services en de daaraan voorafgaande identificatie gescheiden kunnen worden en dat de identificatie als het ware kan worden beschouwd als een aparte service voor de service-aanbieders (en hun gebruikers). Bij het aankiezen van een service wordt, volgens de onderhavige uitvinding, gebruik gemaakt van twee services, eerst de identificatie-service en daarna de eigenlijke gevraagde telematicaservice. Een en ander kan op betrekkelijk eenvoudige wijze worden bestuurd door het telecommunicatiesysteem dat voor de verbinding tussen de gebruiker en de telematicaserver dient. Overigens kan die besturing ook, onafhankelijk van het telecommunicatiesysteem, door de telematicaserver zelf plaatsvinden.

De uitvinding omvat aldus een methode voor de identificatie van gebruikers die via een terminal en een telecommunicatiesysteem van een telematicaserver gebruik wensen te maken, waarbij volgens de uitvinding de volgende stappen worden uitgevoerd: stap 1: de gebruiker activeert een directe of indirecte verbinding door het telecommunicatiesysteem tussen zijn terminal en een identificatieserver; stap 2: een terminal-identifier (TID), behorend tot die terminal, wordt overgedragen aan de identificatieserver; stap 3: de identificatieserver verzoekt de gebruiker zijn gebruikers-identifier (UID) in te geven; stap 4: de gebruiker zendt zijn gebruikers-identifier en de identificatie-server vergelijkt deze met tevoren in de identi-ficatieserver opgeslagen gebruikers-identifiers en zendt, bij overeenkomst tussen een van die opgeslagen gebruikers-identifiers en de ontvangen identifier, deze identifier, of een afbeelding daarvan (UID'), naar een door de gebruiker gekozen telematicaserver.

Door de methode volgens de uitvinding wordt bewerkstelligd dat gebruik kan worden gemaakt van één identificatieserver die voor verschillende telematicaservers de identificatie van gebruikers kan verzorgen. Doorgaans zal tevens een verificatiestap nodig zijn, die eveneens door de identificatieserver kan worden uitgevoerd. Het resultaat van de gebruikers-identificatie wordt aangeboden aan de door de gebruiker gewenste telematicaserver in de vorm van een (geverifieerde) gebruikers-identifier in een door de telematicaserver gewenste vorm. Hierna kan de telematicaserver de verbinding met de gebruikersterminal verder voortzetten en kan de identificatieserver andere gebruikers en telematicaservers bedienen.

De gewenste telematicaserver kan in stap 1 worden gekozen dan wel in een latere stap. In stap 2 wordt de terminalidentifier hetzij rechtstreeks naar zowel de identificatieserver als de teleraaticaserver gezonden, hetzij eerst naar de telematicaserver, die deze identifier op zijn beurt naar de identificatieserver zendt. De terrainalidentifier kan door de terminal zelf worden gezonden dan wel door een terminalserver. Die terminalserver kan apart van het telecommunicatiesysteem staan (bijvoorbeeld een lokaal netwerk) en de verbinding vormen tussen de terminal en het telecommunicatiesysteem, dan wel onderdeel van het telecommunicatiesysteem zijn, waardoor de terminalidentifier in feite vanuit het telecommunicatiesysteem zelf wordt uitgezonden. In stap 4 kan een —op zich bekende— verificatie-stap worden tussengevoegd, waarbij de identiteit van de gebruiker wordt geverifieerd door het uitwisselen van een verifier.

De uitvinding omvat, behalve de bovenstaande methode, tevens een telematicasysteem, omvattende een telecommunicatiesysteem en één of meer daarop aangesloten terminals en telematicaservers, volgens de uitvinding voorzien van een op dat telecommunicatiesysteem aangesloten dan wel een door dat telecommunicatiesysteem omvatte identificatieserver, geschikt en bedoeld voor het identificeren van gebruikers die door middel van een terminal een verbinding activeren tussen die terminal en een telematicaserver, waarbij een gebruiker een directe of indirecte verbinding activeert tussen die terminal en de identificatieserver en de terminal of een terminalserver een terminal-identifier (TID) naar de identificatieserver overdraagt, waarbij voorts de gebruiker zijn gebruikers-identifier (UID) naar de identi-ficatieserver zendt, welke deze vergelijkt met tevoren in de identifi-catieserver opgeslagen gebruikers-identifiers en, bij overeenkomst tussen een van die opgeslagen gebruikers-identifiers en de ontvangen identifier, deze identifier, of een afbeelding daarvan (UID'), naar een door de gebruiker gekozen telematicaserver zendt. Tevens omvat de uitvinding een identificatieserver die bij uitstek deel kan uitmaken van het telematicasysteem volgens de uitvinding.

C. REFERENTIES Geen.

D. UITVOERINGSVOORBEELDEN

Figuur 1 toont schematisch een eerste uitvoeringsvoorbeeld van een telematicasysteem volgens de uitvinding waarin de voorgestelde methode kan worden uitgevoerd. Figuur 2 toont een iets afwijkend uitvoeringsvoorbeeld.

Figuur 1 toont een telecommunicatiesysteem waarop een terminal is aangesloten, een identificatieserver en een telematicaserver, bijvoorbeeld een computersysteem voor het online opvragen van gegevens. Een gebruiker kan via de terminal —bijvoorbeeld een FC met modem en communicatiesoftware— een telecommunicatieverbinding activeren met de gewenste telematicaserver. Gelijkertijd —of direct daarna— kan een verbinding worden geactiveerd met de identificatieserver. Via de eerste verbinding wordt een terminalidentifier TID naar de gekozen telematicaserver gezonden (1); via de laatste verbinding wordt dezelfde terminalidentifier TID naar de identificatieserver gezonden, alsmede een code TMS die de gekozen telematicaserver aanduidt (2). Vervolgens voert deze identificatieserver een identificatieprotocol uit dat erin bestaat dat de identificatieserver de gebruiker om zijn gebruikersidentifier UID vraagt (3), de gebruiker deze zendt (4), en deze door de identificatieserver wordt opgezocht in een register met gebruikersidentifiers. Tevens wordt een daarbij behorende gebruikersverifier opgezocht, alsmede voor de verschillende telematicaservers geldende gebruikers-codes UID' (één gebruiker kan bij verschillende telematicaservers bekend zijn onder verschillende gebruikerscodes). De gebruiker wordt vervolgens om zijn verifier (password) gevraagd (5), de gebruiker zendt deze (6) en die verifier wordt vergeleken met de verifier uit het register. Bij overeenstemming wordt aan de hand van de gekozen telematicaserver TMS een verbinding geactiveerd met die telematicaserver en wordt de terminalidentifier TID en de gebruikerscode (uit het register van de identificatieserver) aan de telematicaserver gezonden (7). Een betere methode voor verificatie is bijvoorbeeld de 'challenge signed response' methode. Daarbij zendt de gebruiker aan de identificatieserver zijn verifier, waarna de identificatieserver een willekeurige codereeks naar de gebruiker zendt, die die reeks vercijfert met een geheime sleutel (bijvoorbeeld opgeslagen in een smart card) en het vercijferresultaat naar de identificatieserver zendt. De identificatieserver ontcijfert die vercijferde reeks met behulp van een sleutel die is gerelateerd aan de ontvangen verifier. Aldus kan de gebruiker zijn identiteit bewijzen. Vervolgens worden verbindingen tussen de terminal en de identificatieserver en tussen de identificatieserver en de teleraaticaserver verbroken en kan de gebruiker, via de verbinding tussen zijn terminal en de gekozen telematica-server berichten uitwisselen, waarbij een verdere identifica-tie/verificatieprocedure niet meer nodig is. Na het ontvangen van de gebruikerscode UID' heeft de telematicaserver tevens reeds opgeslagen verdere gebruikersgegevens kunnen vinden, bijvoorbeeld betreffende de kostenverrekening van het gebruik van de service.

Het in figuur 2 schematisch getoonde uitvoeringsvoorbeeld wijkt in zoverre van het bovenstaande uitvoeringsvoorbeeld af dat de telematicaserver na het van de terminal ontvangen van de terroinalidentifier TID (1), een verbinding activeert met de identificatieserver en daarover de terminalidentifier zendt (2).

Daarop activeert de identificatieserver een verbinding met de terminal en vraagt om de gebruikersidentifier UID van de gebruiker (3). Het verificatieprotocol verloopt als hierboven aangeduid (4,5,6). Bij positief resultaat wordt de voor de gekozen telematicaserver geldige gebruikerscode UID' van de gebruiker naar de telematicaserver gezonden die daarna de verbinding met de identificatieserver verbreekt. Tevens wordt de verbinding tussen de identificatieserver en de terminal verbroken en worden verdere berichten tussen de terminal en de telematicaserver uitgewisseld. Bij deze laatste optie wordt de TID dus niet rechtstreeks naar de identificatieserver gezonden zoals bij de eerste optie, maar via de telematicaserver. Na ontvangst van de TID, activeert de identificatieserver een verbinding met de terminal wiens TID werd ontvangen.

De identificatieserver dient dus voor het uitvoeren van een identificatie- en verificatieprotocol (inlogprotocol) voor een willekeurige andere telematicaserver. Het voordeel is dat gebruikers steeds te maken hebben met eenzelfde identificatieserver en steeds, bij wisselende telematicaservers, op dezelfde wijze en onder gebruikmaking van steeds dezelfde identifier en verifier, kunnen inloggen. Deze methode is bij uitstek toepasbaar in een ISDN-systeem, waarin één terminal gelijkertijd twee verbindingen kan activeren, i.c. met de identificatieserver en de telematicaserver. ISDN is echter geen voorwaarde, daar de verbindingen niet persé gelijkertijd actief moeten zijn, maar ook wel na elkaar mogen worden geactiveerd.

Claims

1. Methode voor de identificatie van gebruikers die via een terminal en een telecommunicatiesysteem van een telematicaserver gebruik wensen te maken, GEKENMERKT DOOR stap 1: de gebruiker activeert een directe of indirecte verbinding door het telecommunicatiesysteem tussen zijn terminal en een identificatieserver; stap 2: een terminal-identifier (TID), behorend tot die terminal, wordt overgedragen aan de identificatieserver; stap 3: de identificatieserver verzoekt de gebruiker zijn gebruikers-identifier (UID) in te geven; stap 4: de gebruiker zendt zijn gebruikers-identifier en de identifi-catieserver vergelijkt deze met tevoren in de identificatieserver opgeslagen gebruikers-identifiers en zendt, bij overeenkomst tussen een van die opgeslagen gebruikers-identifiers en de ontvangen identifier, deze identifier, of een afbeelding daarvan (UID1), naar een door de gebruiker gekozen telematicaserver.

2. Methode volgens conclusie 1, MET HET KENMERK, DAT in stap 1 de gebruiker een verbinding met de identificatieserver activeert en in stap 2 de terminal-identifier rechtstreeks aan de identificatieserver wordt overgedragen.

3. Methode volgens conclusie 1, MET HET KENMERK, DAT in stap 1 de gebruiker een verbinding met de gewenste telematicaservice activeert en in stap 2 de terminal-identifier eerst aan de telematicaserver wordt overgedragen, waarna de telematicaserver een verbinding activeert naar de identificatieserver en die terminal-identifier naar de identificatieserver doorzendt.

4. Methode volgens conclusie 1, MET HET KENMERK, DAT in stap 2 de terminal-identifier wordt overgedragen door de terminal zelf.

5. Methode volgens conclusie 1, MET HET KENMERK, DAT in stap 2 de terminal-identifier wordt overgedragen door een terminalserver, waarop de terminal is aangesloten, welke terminalserver al dan niet deel uitmaakt van het telecommunicatiesysteem.

6. Methode volgens conclusie 1, MET HET KENMERK, DAT in stap 4 een verificatiestap wordt tussengevoegd waarin de identificatieserver, alvorens de gebruikers-identifier of afbeelding daarvan naar de de telematicaserver te zenden, de gebruiker verzoekt een gebruikers- verifier (UVF) te zenden, waarna de identificatieserver de ontvangen verifier onderzoekt en alleen bij positief resultaat de gebruikers-identifier of afbeelding daarvan naar de de teleraaticaserver zendt.

7. Telematicatiesysteem, omvattende een telecommunicatiesysteem en één of meer daarop aangesloten terminals en telematicaservers, GEKENMERKT DOOR een op dat telecommunicatiesysteem aangesloten dan wel een door dat telecommunicatiesysteem omvatte identificatieserver, geschikt en bedoeld voor het identificeren van gebruikers die door middel van een terminal een verbinding activeren tussen die terminal en een telemati-caserver, waarbij een gebruiker een directe of indirecte verbinding activeert tussen die terminal en de identificatieserver en de terminal of een terrainalserver een terminal-identifier (TID) naar de identifi-catieserver overdraagt, waarbij voorts de gebruiker zijn gebruikers-identifier (UID) naar de identificatieserver zendt, welke deze vergelijkt met tevoren in de identificatieserver opgeslagen gebruikers-identifiers en, bij overeenkomst tussen een van die opgeslagen gebrui-kers-identifiers en de ontvangen identifier, deze identifier, of een afbeelding daarvan (UID1), naar een door de gebruiker gekozen telema-ticaserver zendt.

8. Identificatieserver voor het identificeren van gebruikers van één of meer telematicaservers die door middel van een op een telecommunicatiesysteem aangesloten terminal verbinding met een dergelijke tele-maticaserver kunnen maken, waarbij de terminal via het telecommunicatiesysteem een directe of indirecte verbinding met de identificatieserver maakt en een terminal-identifier (TID) zendt, waarna de gebruiker een gebruikers-identifier (UID) zendt en de identificatieserver deze vergelijkt met tevoren in de identificatieserver opgeslagen gebruikers-identif iers en, bij overeenkomst tussen een van die opgeslagen gebruikers-identifiers en de ontvangen gebruikers-identifier, deze identifier, of een afbeelding daarvan (UID1), naar een door de gebruiker te kiezen of reeds gekozen telematicaserver zendt.