NO178360B - Mobiltelefonkontroller - Google Patents

Description

Foreliggende oppfinnelse er generelt relatert til en kontroller for mobiltelefoner, og mer spesielt til en mobiltelefon mikrokontroller, som har en sikret driftstilstand og en ikke-sikret driftstilstand, i samsvar med den innledende delen av de selvstendige patentkrav 1, 3, 4, 5 og 6.

Tidligere har drift i to separate og funksjonelt forskjellige tilstander - med sikret drift for en anvendelse og ikke-sikret drift for annen - blitt oppnådd ved anvendelse av flere mikrokontrollere. Hver mikrokontroller blir da drevet på en helt uavhengig måte, ved anvendelse av separate elektroniske krefter ved drift samtidig som starter ved spenningspåslag. Som et spesielt eksempel er et mobiltelefonsystem som utført i de nordiske land (kjent som Nordisk Mobil Telefon, NMT) og implementert SIS -

(abonnementsidentitetssikring - som videre er definert i SIS Addendum til NMT DOC 900-3, av 1. juli 1988) har krevd tre mikrokontrollere. Den første mikrokontrolleren, hovedsystemets mikrokontroller, har vært ansvarlig for mobiltelefon-systemets prosessutførelse. Den andre mikrokontrolleren, displaymikrokontrolleren, har vært ansvarlig for både display og tastaturfunksjoner og grensesnitt med mobil-telefonbrukeren. Den tredje mikrokontrolleren, SIS mikrokontroller, har vært ansvarlig for sikkerheten til SAK (Subscriber Authentication Key, abonnements identifikasjonsnøkkel, telefonsamtalens autorisasjonsnummer som videre er beskrevet i SIS Addendum til NMT DOC 900-3 og som definert i hvert av de nordiske land) og mellomliggende kalkulasjoner som er nødvendig i anvendelsen av SAK. Selve SAK er et tilfeldig og bruker- spesifikt 120 bits binært ord som, blant mange andre parametre, er programmert inn i radiotelefonenheten når brukeren tar i bruk mobiltelefonutstyret. Det blir brukt ved en mobiltelefonsamtale som skal gjøres for å sikre at mobiltelefonutstyret er autorisert til å gjøre et oppkall. Typisk er SAK ikke anvendt ved mottak av en samtale.

I miniatyriserte bærbare mobiltelefoner (så som MICROTAC bærbar mobiltelefon tilgjengelig fra Motorola, Inc., serienummer F09EFD6930AA) er fysisk plass begrenset og teknikker for å redusere størrelsen av de elektroniske kretsene er nødven-dig for å oppnå den ønskelige plassreduksjonen. Bare økning av prosesserings-kapasiteten til en mikrokontroller og lading av både ikke-sikret og sikret driftstilstand i en mikrokontroller beskytter ikke sikret drift fra uønsket ekstern aksess. Videre, da sikret drift omfatter ikke bare lagring og behandling av SAK, men også kalkulering og mellomresultater fra kalkuleringene, må både lagring og kalkuleringene beskyttes fra tilgang.

Fra EP-patentskrift 0 301 740 er kjent en kontroller for en mobiltelefon som er låst eller ulåst, uavhengig av nærvær eller fravær av et kort i en kortleser i mobiltelefonen. Dette patentskriftet viser ikke en kontroller med en sikker driftsmodus mens kontrolleren beregner en signert respons. Også i EP-patentskrift 0 175 487 er vist en kontroller. Dette angår imidlertid ikke en mobiltelefon, slik at inaktivering av et kommunikasjonsorgan ikke er foreslått.

Det er derfor et formål med foreliggende oppfinnelse å framskaffe en unik bærbar mobiltelefon som har en kontroller som virker i både sikret driftstilstand og ikke-sikret driftstilstand.

Det er et annet formål med foreliggende oppfinnelse å framskaffe en unik bærbar mobiltelefon som har en kontroller som anvender en enkelt mikrokontroller for både sikret og ikke-sikret driftstilstand.

Disse og andre formål er realisert i samsvar med foreliggende oppfinnelse som definert i den karakteriserende delen av de selvstendige patentkrav 1, 3, 4, 5 og 6. Ytterligere trekk går fram av de tilhørende uselvstendige krav.

En portabel mobiltelefon med en mikrokontroller som kan operere i sikret og ikke-sikret driftstilstand og har et sikret lager for en abonnementsautoirsasjonsnøkkel og et sikret kalkuleirngsorgan som ikke kan aksesseres eksternt av kontrolleren. Mikrokontrolleren kommuniserer videre med et ekstern brukergrensesnitt i en ikke-sikret driftstilstand. Når den sikrede driftstilstand blir innkoplet, vil den ikke-sikrete tilstand bli frakoplet.

I det følgende vil oppfinnelsen beskrives nærmere ved hjelp av eksempel og referanse til tegninger, der

fig. 1 viser et blokkdiagram av et mobiltelefonsystem som kan anvende foreliggende oppfinnelse,

fig. 2 viser et blokkdiagram av en kontroller for mobiltelefon fig. 1 som kan anvende foreliggende oppfinnelse, og

fig. 3 er et flytdiagram av en prosess som anvender mobiltelefon i fig. 1 for å realisere foreliggende oppfinnelse.

En bærbar mobiltelefon 100 anordnet for å anvendes i et radiotelefonsystem, så som Nordisk Mobil Telefon (NMT) system, vist i fig. 1. Denne bærebare radiotelefonen 100 omfatter en konvensjonell radiotelefonsender 101 og mottaker 103 for å gi radiokommunikasjon. Radiotelefonsenderen 101 og mottakeren 103 blir styrt ved en kontroller 105 som videre bruker en abonnements-autorisasjonsnøkkel (Subscriber Authentication Key (SAK) for å autorisere mobiltelefonoppkall fra den bærbare radiotelefonen 100 til kabelnettverket via en mobiltelefonsentral (Mobile Telephone eXchange (MTX) 107 og en fast stasjon 109. Brukeren kommuniserer med den bærebare mobiltelefonen 100 via en konvensjonell telefontype matrisetastatur 111 og et alfanumerisk karakterdisplay 113. Brukergenerert akustisk energi blir konvertert til et elektrisk signal ved mikrofon 115, og koplet til sender 101 for modulasjon med en fast frekvens bærebølge og transmisjon fra antenne 117. Radiofrekvenssignaler mottatt på antenna 117 fra den faste stasjonen 109 blir konvertert til et elektrisk signal ved mottaker 103 og koplet til høyttaler 119 for konvertering til akustisk energi for at brukeren skal høre.

Ved nå å referere til fig. 2 kan et mer detaljert blokkdiagram av kontrolleren 105 ses. En delt tilstand mikrokontroller 201, referert til som SIS/Display Controller (SDC), virker i en ikke-sikret tilstand for å kommunisere med, og styre tastaturet 111 og 113, og virker i en sikret tilstand for å bruke SAK. I foretrukket utførelse er SDC en 68HC11E9 mikrokontroller tilgjengelig fra Motorola, Inc. Kontrolleren omfatter en støtte av både Subscriber Identity Security (SIS) og display/tastatur funksjonene ved kommandoavbrudd mellom to forskjellige og funksjonelt distinkte tilstander. Ved oppstart og under standard drift virker SDC 201 i display tilstand til en SIS beregning blir forespurt. Ved mottak av denne forespørselen vil SDC 201 eksistere i ikke-sikret display tilstand og gå inn i sikret SIS tilstand. I foretrukket utførelse blir SIS tilstand forespurt når brukeren ønsker å gjøre en mobil telefon-samtale. Ved brukerens forespørsel om en samtale, vil den bærbare mobiltelefonen 100 konvensjonelt under kontroll av hovedmikrokontroller 203 og styreprogrammet lagret i lageret 205, fortsette en radiosending av forespørselen til den faste stasjonen 109 og MTX 107. MTX 107 og den faste stasjonen 109 genererer et tilfeldig tall og sender det tilfeldige tallet til den bærbare mobiltelefonen 100. (I en foretrukket utførelse er hovedmikrokontrolleren en 68HC11A8, tilgjengelig fra Motorola Inc.) Mottakeren 103 demodulerer transmisjonen og presenterer det tilfeldige tallet til hovedmikrokontroller 203. Hovedmikrokontrolleren presenterer i sin tur et tilfeldig tall til SDC 201 som kalkulerer en signert respons (SRES) fra både det tilfeldige tallet og SAK. SRES blir sendt tilbake til den faste stasjonen 109 og MTX 107 via hovedmikrokontroller 203 og sender 101. Dersom SRES passer den uavhengige beregnede SRES ved MTX, blir et oppkall tillatt, dersom SRES ikke passer blir samtalen avsluttet. Ved avslutning av kalkulasjonen av SRES ved SDC 201 vil SDC 201 gå ut av SIS tilstand og returnere til display tilstand.

I en foretrukket utførelse, for å holde både SRES kalkuleringsalgoritmen og SAK hemmelig, blir både objektkoden og SAK programmert inn i internt EEPROM til SDC 201. All kalkulering blir utført i SDC 201 i en "enkelt brikke" tilstand, der tilgang til lageret blir begrenset til funksjoner på kortet og ethvert mellomresultat blir lagret i intern RAM. Bare informasjon som blir sendt tilbake til den faste stasjonen 109 og MTX 107 blir sendt til hovedmikrokontroller 103 via SIS bussen. (Selv om kretsen opererer i en "enkelt krets" tilstand, er det mulig å lese den interne EEPROM ved å sette kretsen inn i oppstartstilstand. For å forhindre dette blir konfigurasjonsregisterets konvensjonelle NOSEC bit satt, som tvinger den interne EEPROM å bli slettet når en går inn i oppstarttilstand. Da SAK er lagret bl.a. i intern EEPROM, vil dette trekket bedre sikkerheten). SIS tilstand og display tilstand anvender separate busser for å kommunisere med det tilkoplede utstyret. SES bussen 207 kopler mellom SEC 201 og hovedmikrokontroller 203 og er omfattet av to serielinjer: send (SCI txd) og motta (SCI rxd). Display tilstand anvender tre busser: (1) en tre tråds buss 209 som gir en bidireksjonell selvklokkende konfigurasjon som beskrevet i US patentskriftet 4 369 516 for kommunikasjon med hovedmikrokontroller 203, (2) port "C" buss 211, som gir 7 linjer for kommunikasjon med ti siffer LCD punkt matrise display 113; og (3) den kombinerte port "E" og "B" som bus 213 for overvåkning av tastaturet ved rekke og kolonne.

Prosessen som utføres ved SDC 201 er realisert i foreliggende oppfinnelse vist i flytdiagram i fig. 3. Ved å fortsette ved avbruddstabell 301, vil ved oppstart display tilstand utførelsesprosess bli startet ved 303 og display tilstand utførelse (hoved-program) fortsetter å kjøre i ikke-sikret tilstand. Standard kontroll for beskjeder skrevet i displayet 113 eller av detektering og dekoding av tastatur 111 tast trykt blir betjent ved betjeningsdisplay forespørselblokk 307. Kommunikasjon med hovedmikrokontroller 203 via buss 209 kan detekteres ved prosessen i blokk 311 som i det foretrukne utførelsen detekterer trykk av en oppstartsblokk. Retur fra hver av de tre ikke-sikrete prosessene er til displaytilstand utførelse ved 305.

Ved deteksjon av en forespørsel for betjening via SIS bussen 207, vil prosessen forlate displaytilstand og starte SIS utførelse ved 315. I den foretrukne utførelsen blir displayet 113 frosset og tastatur 111 ignorert under SIS utførelse og etterfølgende prosesser. Mottak av ytterligere beskjeder fra SCI rxd busslinja blir forhindret og SCI txd linja blir innkoplet ved 317 og den spesielle forespørselen fra SIS bussen 207 blir dekodet fra blant seks typer av forespørsler 319. Dersom forespørselen er uforståelig eller ulogisk, vil prosessen for ikke-oppgave ved 321 settes igang, og forespørselen blir ignorert. Dersom et tilfeldig tall sendt ved MTX 107 og fast stasjon 109 har blitt mottatt og sendt til hovedmikrokontroller 203 via SIS bussen 207 og returnert via SSCI txd linja av SIS bussen 207 ved 323. Dersom SAK først blir lagret i den bærbare radiotelefonen 100, vil prosessen med aksept, lagring og verifisering av SAK og Sim (leverandørens referansenummer) bli oppnådd ved 325 i samsvar med "Spesifikasjon for NMT SIS tastbehandling for NMT-900", 1. juli 1988. I en foretrukket utførelse blir en andre SAK, vanlig kjent, anvendt for prøve-hensikter. En test tilstand ved 327, kan gås inn i via SIS bussen 207 kommando der den vanlige SAK er anvendt for å teste mobiltelefonsamtaler. Ved oppstart blir en test gjort ved 329 i respons til en SIS buss 207 kommando for å undersøke korrekt drift av SIS systemet og om SAK har blitt lagret i EEPROM i SDC 201. Også en forespørsel via SIS bus 207 for leverandørens referansenummer (Sim) medfører at Sim blir hentet fram fra EEPROM av SDC 201 og sendt til display 113. Ved full-føring av den forespurte av seks oppgaver, vil SCI txd linje-avbrudd bli frakoplet og SCI rxd linja bli innkoplet ved SIS bussen 207 ved 333 og driften returnerer til ikke-sikret displaytilstand ved 335.

Det er beskrevet en kontroller for en bærbar radiotelefon med kapasitet for drift i både sikret og ikke-sikret tilstand. Den ikke-sikrete tilstand og den sikrete tilstand er begge resident i en enkel mikrokontroller som kjører i ikke-sikret drift til en fore-spørsel av for sikret drift blir gitt. Den ikke-sikrete tilstanden blir frakoplet den tidsperioden den sikrete tilstanden er i drift og gjeninnkoplet ved avslutning av den sikrete tilstanddriften. Sikret tilstand kan ikke nås eksternt til mikrokontrolleren. Mens en spesiell utførelse av oppfinnelsen har blitt vist og beskrevet, skal det forstås at oppfinnelsen ikke er begrenset til den spesifikke utførelsen, men at endringer kan gjøres innenfor rekkevidden av de vedlagte krav.

Claims (6)

1. Kontroller for mobiltelefonapparat som kommuniserer med et fast sted, omfattende for oppsetting av en mobiltelefonsamtale

organ for å gi inn en beskjed mottatt fra det faste stedet; organ for å kommunisere med et brukergrensesnitt eksternt av kontrolleren, idet kontrolleren har en sikret driftstilstand og en intern ikke-sikret driftstilstand, karakterisert ved: organ som er anordnet for, i respons til beskjeden, å beregne en signert respons fra en lagret numerisk abonnements-autorisasjonsnøkkel idet den numeriske abonnements-autoirsasjonsnøkkelen og beregningen ikke kan nås eksternt av kontrolleren, og for sending til det faste stedet, organ for å aktivere organet for beregning og for å inaktivere organet for kommunikasjon når organet for beregning er aktivert.

2. Kontroller i samsvar med krav 1, karakterisert ved at organene for aktivering videre omfatter organ for bestemmelse av nødvendigheten av den signerte responsberegning.

3. Mobiltelefon som genererer og sender en signert respons når den oppsetter en mobiltelefonsamtale, den signerte responsen er beregnet fra et tilfeldig tall og en abonnements-autoirsasjonsnøkkel, kontrolleren omfatter organ for kommunikasjon på en ikke-sikker måte med et tastatur eksternt til kontrolleren, idet tastaturtrykk kan detekteres, samt organ for bestemmelse av nødvendigheten av den signerte responsberegningen, karakterisert ved å omfatte: organ i kontrolleren for lagring av numerisk abonnements-autorisasjonsnøkkel og for kalkulering av den signerte responsen fra denne, slik at den numerisk abonnements-autorisasjonsnøkkel og kalkuleringen ikke kan nås eksternt av kontrolleren, idet både abonnements-autorisasjonsnøkkel og beregningen utføres på en sikker måte i kontrolleren, organ for aktivering av organet for lagring og organet for beregning og for å inaktivere organet for kommunikasjon når organet for lagring og organet for beregning er aktivert.

4. Framgangsmåte for generering og sending av en signert respons ved oppsett av en mobiltelefonsamtale i et mobiltelefonapparat, den signerte responsen er beregnet fra et tilfeldig tall og en abonnements-autoirsasjonsnøkkel, kontrolleren kommuniserer på en ikke-sikker måte med et tastatur eksternt til kontrolleren, idet tastaturtrykk kan detekteres, samt bestemmer nødvendigheten av den signerte responsberegningen, karakterisert ved å omfatte følgende trinn: selektivt kommunisere på en ikke-sikret måte med et tastatur eksternt til kontrolleren hvorved tasttrykk kan detekteres, beregne den signerte responsen fra den lagrete abonnements-autoirsasjonsnøkkelen, slik at den numeriske abonnements-autorisasjonsnøkkelen og beregningene ikke kan nås eksternt av kontrolleren, og der både abonnements-autoirsasjonsnøkkelen og beregningen utføres på en sikker måte i mobiltelefonkontrolleren, og aktivere beregningstrinnet og inaktivere kommunikasjonen når det bestemmes at en signert respons er nødvendig.

5. Mikrokontroller for et mobiltelefonapparat, mikrokontrolleren deler internt prosesseringsmodi, omfattende organ for mottak av brukerinformasjon fra et mobiltelefonapparat brukergrensesnitt eksternt av mikrokontrolleren; organ for behandling av mottatt brukerinformasjon i en ikke-sikret prosesseringsmodus, karakterisert vedorgan for detektering av nødvendigheten av en sikker prosesseirngsmodus; organ for inaktivering av mottak av brukerinformasjonen i respons til den detekterte forespørselen, organ for mottak av betjeningsforespørselinformasjon og beregning av en signert respons fra en lagret abonnements-autorisasjonsnøkkel i en sikret prosesseringsmodus internt i mikrokontrolleren mens mottaksorganet er inaktivert, organ for utsending av beregnet signert respons mens mottaksorganet er inaktivert, og organ for reaktivering av det inaktiverte mottaket av brukerinformasjon.

6. Framgangsmåte for deling av prosesseirngsmodi i en mikrokontroller for et mobiltelefonapparat, framgangsmåten omfatter følgende trinn: motta brukerinformasjon fra et mobiltelefonapparat brukergrensesnitt eksternt til mikrokontrolleren; prosessere den mottatte informasjonen i en ikke-sikret prosesseringsmodus; karakterisert veddetektere nødvendigheten av en sikker prosesseirngsmodus, inaktivere mottak av brukerinformasjon i respons til detekteringstrinnet, motta informasjon om betjeningsforespørsel, og beregne en signert respons fra en lagret abonnements-autorisasjonsnøkkel i en sikret prosesseirngsmodus internt i mikrokontrolleren mens mottak er inaktivert, sende den beregnete signerte responsen, og reaktivere det inaktiverte mottaket av brukerinformasjonen.