NO326854B1 - Fremgangsmate og anordning ved aksesskontroll i et kommunikasjonssystem - Google Patents

Description

Oppfinnelsen vedrører en fremgangsmåte og en anordning for kontroll og konfigurasjon av aksess mellom terminaler som ønsker å kommunisere i et radiokommunikasjonssystem med kort rekkevidde, og spesielt aksesskontroll av Bluetooth-produkter via en aksesskontrollserver slik det er angitt i innledningen i krav 1 henholdsvis krav 6.

Bluetooth er et konsept for radiokommunikasjon med kort rekkevidde som er blitt mottatt med stor oppmerksomhet i det siste, og som på samme tid er blitt utviklet svært hurtig. Fra tidligere å ha vært kjørt i en lukket sammen-slutning med noen få operatører, Ericsson, Nokia og noen andre, er dagens flere hundre operatører involvert i å ut-vikle produkter innenfor dette feltet. Bluetooth vil f.eks. benyttes for å koble ulike typer enheter med hverandre. Eksempler på dette er:

• Datamaskiner med mobiltelefoner

• Mobiltelefoner med skrivere

• Mobiltelefoner med portable handsfree-enheter

• Datamaskiner med kamera, etc.

Teknologien vil også bli benyttet til å frembringe mindre midlertidige nettverk, såkalte ad hoc-nettverk. Mulighetene er i hovedsak uendelige, og det er egentlig kun forestillingsevnen som begrenser hva som kan oppnås ved Bluetooth.

Ett viktig aspekt med dette forhold er sikkerhet. Det er selvfølgelig av stor viktighet å sikre at ulike produkter med Bluetooth i dem ikke kan kommunisere med hverandre på hvilken som helst måte. I Bluetooth-konseptet er dette blitt løst ved at hver Bluetooth-enhet har et unikt identitetsnummer BD-ADDR som er bestemt ifølge standard IEEE 802. Den kan sies å korrespondere til IMSI i GSM. I hver Blue-toothenhet vil det også være støtte for at enheten over-våker på hvilke andre Bluetooth-enheter den er tillatt å kommunisere med.

J.C. Haartsen (The Bluetooth radio system, 2000, IEEE Personal Communications, vol 7, issue 1, side 28-36) beskriver et Bluetooth-radiosystem.

Det beskrives også en Bluetooth-sikkerhetsarkitektur (Thomas Mueller, 1999, Bluetooth Security Architecture Version 1.0, http:// www. bluetooth. com).

J. Haartsen (The universal radio interface for ad-hoc, wireless connectivity, 1998, Ericsson review, no. 3, side 110-117) viser et universal radio grensesnitt for ad-hoc, trådløs forbindelse.

I nær fremtid vil det være mulig å forutsi at det vil være så mange produkter av ulike typer med Bluetooth-kompo-nenter i, at hver enhet må være konfigurert for hvilken måte de skal være i stand til å kommunisere med via Bluetooth. Dette kan både gjelde hjemme og ved en bedrift. Dette resulterer i store administrative problemer som tydelig risikerer å bli ufleksible hvis det på samme tid skal være sikkert.

Foreliggende oppfinnelse har til hensikt å løse dette problemet. Ulike systemer og fremgangsmåter for aksesskontroll i ulike typer kommunikasjonsnettverk har vært beskrevet. Ett eksempel er US Patent Nr 5.999.978 i navnet Angal et al., hvori aksesskontroll i et datanettverk er omtalt. En aksess-server kontrollerer aksessen til terminaler avhengig av informasjon i en aksessdatabase. I EP 935221 av Mitsubishi, er et system vist hvori brukere autentiserer dem selv ved hjelp av biometrikale sensorer, f.eks. lesere for fingeravtrykk, for å være tillatt å kommunisere i et nettverk. I WO 98/20646 er et system beskrevet hvori hver datamaskin i et nettverk har en egen IP-adresse, og at aksessrettigheter til disse datamaskinene er definert i en tabell. Noen andre dokumenter innen dette feltet er WO 98/57510, JP,A, 09-130397, JP,A, 10-232811 og JP,A, 11-024978.

Ingen av disse dokumentene vedrører imidlertid problemene som foreliggende oppfinnelse gjør, heller ikke er det vist noen løsninger som kan anvendes for disse problemene. Aksesskontroll innen nettverk med kort rekkevidde, f.eks. Bluetooth, har mange problemer. For det første er kommunikasjonsteknologien Bluetooth hovedsakelig rettet mot bærbare enheter. Disse er av vekt- og omfangsgrunner ofte små og har begrenset prosesseringskraft, lagringskapasitet og energiforbruk. Følgelig ønsker en ikke å laste disse terminalene med slikt som kan håndteres av stasjonærenhet-er. For det andre har de i systemet, dvs. Bluetooth, inklu-derende enheter, ingen muligheter for sammenhengende kontakt, som f.eks. mobilstasjoner i et mobiltelefonsystem. I et slikt system, f.eks. GSM, er dekningsområdene, cel-lene, overlappende, og de er definert av stasjonære nett-verksenheter, basestasjoner. Det faste nettverket er der hele tiden og all informasjon er på den måten alltid aksessbar, forutsatt at en er autorisert for det. I Bluetooth blir midlertidige, begrensede nettverk frembragt, og det er i et slikt nettverk normalt ingen garanti for hvilken kapa-sitet for kontroll av nettverket som vil eksistere, heller ikke hvilken type informasjon som er aksessbar i nettverket, på den måten en i GSM mer eller mindre alltid har kontakt med en tjenesteleverandør, SP, som frembringer nettverkstjenestene.

Disse er videre noen av problemene som oppfinnelsen skal løse.

Med det formål å løse de ovenfor nevnte problemer ved-rører foreliggende oppfinnelse ifølge ett aspekt en fremgangsmåte for aksesskontroll av direkte kommunikasjon i et radiokommunikasjonssystem med kort rekkevidde, mellom en første enhet med en første identitet i nevnte radiokommunikasjonssystem og en andre enhet med en andre identitet i nevnte første radiokommunikasjonssystem, som er kjennetegnet ved trinnene at: den første enheten overfører, via det nevnte første radiokommunikasjonssystem, informasjon vedrørende dens identitet til den andre enheten, hvortil den første enheten ønsker å kommunisere,

den andre enheten overfører en aksessfore-spørsel til en aksesskontrollserver, via en sikker kommunikasjon på en bærer i et andre kommunikasjonssystem, hvilken aksessforespørsel omfatter informasjon vedrørende nevnte første identitet og nevnte andre identitet,

aksesskontrollserveren sjekker, i et minne, til hvilke enheter nevnte andre enheter har aksessrettigheter for å kommunisere i nevnte første radiokommunikasj onssystem,

aksesskontrollserveren overfører aksessinformasjon til den andre enheten, via nevnte sikre forbindelse i det andre kommunikasjonssystemet, vedrørende de andre enhetenes status for å kommunisere med den første enheten i det første radiokommunikasjonssystemet, og

direkte kommunikasjon blir akseptert og initiert mellom den første enheten og den andre enheten via nevnte første radiokommunikasjonssystem avhengig av nevnte aksessinformasjon.

Oppfinnelsen omfatter således trinnene å overføre den første identiteten til den andre enheten; å sjekke adresseinformasjon i den andre enheten avhengig av nevnte første identitet; og å tillate den første enheten aksess for kommunikasjon med den andre enheten over nevnte system avhengig av nevnte aksessinformasjon. Trinnet med å sjekke aksessinformasjon blir foretrukket forutgått av trinnet med

å overføre nevnte aksessinformasjon fra en aksesskontrollanordning via en sikker tilkobling på en bærer i et andre kommunikasjonssystem til den andre enheten.

I én utførelse er trinnet med å overføre aksessinformasjon forutgått av trinnet med i nevnte aksesskontrollanordning å lagre nevnte aksessinformasjon i et minne. Trinnet med å overføre aksessinformasjon til den andre enheten blir initiert i én utførelse av aksesskontrollanordningen. I en annen utførelse er trinnet med å overføre aksessinformasjon forutgått av trinnet med å overføre en aksessfore-spørsel fra den andre enheten til nevnte aksesskontroll-enheten, med aksessforespørsel omfattende informasjon om nevnte første identitet og nevnte andre identitet.

I en foretrukket utførelse blir nevnte aksesskontrollserver administrert/styrt av en sertifisert autoritet (CA).

Nevnte andre enhet kommuniserer i en utførelse med aksesskontrollserveren via en bærer i et trådløst cellekommunikasjonsnettverk, og i en alternativ utførelse via tråd/kabelbasert kommunikasjonsnettverk. Nevnte radiokommunikasjonssystem kan være Bluetooth.

Ifølge et andre aspekt vedrører oppfinnelsen et aksesskontrollsystem for direkte kommunikasjon mellom enheter i et første radiokommunikasjonssystem med kort rekkevidde, omfattende: en første enhet anordnet med en første kommunikasjonsanordning med en første identitet, i nevnte radiokommunikasjonssystem,

en andre enhet anordnet med en andre

identitet i nevnte første radiokommunikasjonssystem, hvor de første og andre kommunikasjonsanordninger er innrettet til å kommunisere med hverandre direkte i nevnte

radiokommunikasjonssystem,

som er kjennetegnet ved

en aksesskontrollserver omfattende lagrings-anordninger som er innrettet til å lagre aksessinformasjon vedrørende hvilke enheter og nevnte andre enheter som har aksessrettigheter til nevnte første radiokommunikasjonssystem, nevnte aksesskontrollserver omfatter en tredje kommunikasjonsanordning koblet til lagringsanordningen og nevnte andre enhet omfatter en fjerde kommunikasjonsanordning, hvor nevnte tredje og fjerde kommunikasjonsanordninger er innrettet til å kommunisere med hverandre via et sikkert kommunikasjonssystem, hvor nevnte tredje kommunikasjonsanordning er innrettet til å motta en aksessforespørsel fra nevnte fjerde kommunikasjonsanordning, hvilken

aksessforespørsel omfatter nevnte første og andre identitet, og å overføre nevnte aksessinformasjon til nevnte fjerde kommunikasjonsanordning avhengig av aksessforespørselen.

Aksesskontrollsystemet vedrører således en lagringsanordning for lagring av aksessinformasjon vedrørende kommunikasjon mellom nevnte første og andre enhet i nevnte radiokommunikasjonssystem, og en tredje kommunikasjonsanordning, koblet til nevnte lagringsanordning, innrettet for overføring av nevnte aksessinformasjon til den andre en-heten. Nevnte andre enhet omfatter foretrukket videre en fjerde kommunikasjonsanordning, hvor nevnte tredje og fjerde kommunikasjonsanordninger er innrettet for kommunikasjon via en sikker forbindelse på en bærer i et andre kommunikasjonssystem.

I én utførelse er den tredje kommunikasjonsanordningen innrettet til å motta en aksessforespørsel fra nevnte andre enhet, hvilken aksessforespørsel omfatter nevnte første og andre identitet, og å overføre nevnte aksessinformasjon avhengig av aksessforespørselen.

Aksesskontrollsystemet kan omfatte prosessering/ aksjonsanordninger koblet til nevnte lagringsanordning og tredje kommunikasjonsanordning, innrettet til å utlede nevnte aksessinformasjon i nevnte lagringsanordning avhengig av nevnte aksessforespørsel.

Aksesskontrollsystemet kan omfatte prosessering/ aksjonsanordninger koblet til nevnte lagringsanordning og tredje kommunikasjonsanordning, innrettet til å utlede nevnte aksessinformasjon i nevnte lagringsanordning og å initiere overføring av aksessinformasjonen avhengig av forhåndssatte parametre.

Nevnte parametre kan omfatte forhåndssatte tidsintervaller for overføring, eller informasjon om nylig lagret aksessinformasjon, hvorved en overføring utføres f.eks. ved hver ny lagret informasjon vedrørende aksess til den andre enheten.

Nevnte andre kommunikasjonssystem er i én utførelse et trådløst, cellekommunikasjonsnettverk, men kan også omfatte et tråd-/kabelbasert kommunikasjonsnettverk.

Nevnte første radiokommunikasjonssystem kan være Bluetooth.

Foretrukne utførelser av oppfinnelsen er beskrevet detaljert nedenfor, med på samme tid referanse til den vedlagte tegning, hvori: Fig. 1 viser skjematisk Bluetooth-terminaler og en aksess-server i samsvar med én utførelse av foreliggende oppfinnelse.

Ideen med oppfinnelsen er ganske enkelt, via ulike bærere, å konfigurere og frembringe aksess for produkter som kommuniserer ved Bluetooth, slike bærere kan f.eks. være SMS, GPRS, WAP, UMTS, eller http. Som et forslag er teknologien implementert ved en serverløsning hvor en har en BCAC-server (Bluetooth Configuration and Access Control) som kommuniserer med produkter som har Bluetooth-produkter i dem. Det unike trekket er at kommunikasjonen for å sikre aksessrettigheter utføres over en sikker tilkobling, i mot-setning til Bluetooth-grensesnittet i seg selv, som er delt av alle produktene innen kommunikasjonsområdet.

I Fig. 1 er det skjematisk vist et eksempel på en ut-førelse av oppfinnelsen hvor en datamaskin 1 registrerer tilstedeværelse av en mobiltelefon 2 via Bluetooth 3, og som ønsker å kommunisere med den. Mobiltelefonen 2 er konfigurert og er gitt aksesskontroll fra BCAC-serveren 4 via en egnet bærer 5, i dette tilfellet som et forslag SMS. Serveren 4 overfører en melding Aksess Tillatt 6 som til-later at enheten 2, dvs. mobiltelefonen, med Bluetooth-adresse er tillatt å kommunisere med enheten 1, dvs. datamaskinen, som har Bluetooth-adresse y. Aksess Tillatt-meldingen 6 kan være forutgått av en forespørsel 7 fra en-heten 2 til serveren 4, som foretrukket er initiert av mobiltelefonen 2 som har registrert tilstedeværelse av datamaskin 1 og adressen y. Også denne forespørselen 7 blir overført over den sikre forbindelsen via bæreren 5. Teknologien vil være av spesiell interesse hvis BCAC-serveren 4 er under kontroll av en sertifisert autoritet tilsvarende Certification Authorities CA i internett-verdenen.

Oppfinnelsen kan benyttes i mange situasjoner. Ett eksempel vedrører systemadministrasjon. I de fleste tilfeller har bedrifter en systemadministrator/manager som administrerer/styrer IT-systemene i bedriften. Ved hjelp av en BCAC-server koblet til ulike dataprodukter, kan angjel-dende person enkelt administrere utstyr som kommuniserer ved hjelp av Bluetooth-teknologien. Via f.eks. en datamaskin koblet til BCAC-serveren kan administratoren bestem-me hvilke enheter som skal være i stand til å kommunisere med hverandre, f.eks. at mobiltelefoner som tilhører per-soner som er lokalisert på en bestemt etasje skal være i stand til å kommunisere med skriveren i den samme etasjen.

I noen tilfeller vil det være av interesse for bedrifter å tillate besøkende som er på besøk å benytte deres egen interne infrastruktur. En kunde kan f.eks. ønske å skrive ut et dokument fra hans/hennes datamaskin 8, som han/hun har tatt med seg, på skriveren til bedriften 9, eller fra datamaskinen 8 å være i stand til å vise en pre-sentasjon via den fast installerte OH-projektoren til bedriften. Dette må være mulig å utføre på en sikker måte, siden den besøkende kunden kun skal ha aksess til en begrenset mengde utstyr. I tillegg er det ønskelig med maksimal fleksibilitet slik at f.eks. en resepsjonist ikke trenger løpe rundt for å assistere den besøkende kunden. Ifølge foreliggende oppfinnelse er dette oppnådd ved f.eks. at resepsjonisten via hans/hennes datamaskin 10 er koblet til BCACserveren 4, hvorved resepsjonisten sørger for at enhetene 9 som kan være av interesse for den besøkende er konfigurert slik at den besøkende kan benytte dem. Denne konfigurasjonen omfatter overføring av den besøkendes datamaskins 8 Bluetooth-identitet BD-ADDR. BCAC-serveren 4 kan også være lokalisert med en ekstern tjenesteleverandør SP, hvorved kommunikasjonen mellom bedriften og SP utføres via en sikker forbindelse, f.eks. en IPSsec-forbindelse.

I fremtiden kan det således være like naturlig å gi/ fremstille identitetsnummer til ens Bluetooth-produkter som en ønsker å benytte, som en i dag gir/fremstiller registre-ringsnummer til bilen ved parkering på parkeringsplassen for besøkende.

Løsningen som er foreslått i foreliggende oppfinnelse vil være av spesiell interesse hvis Bluetooth blir benyttet i offentlige miljøer, f.eks. en printer som er lokalisert på et offentlig sted i byen, f.eks. ved postkontoret eller lignende. Ved å ha alle kundene fra en SP i en BCAC-server, kan alle ens kunder tilbys automatisk aksess til utstyret som blir styrt av BCAC-serveren. Når mer utstyr installeres i offentlige områder, trenger en ikke konfigurere alle enhetene som skal kommunisere med hvert utstyr, men dette kan utføres sentralt via BCAC-serveren.

Foretrukne utførelser av oppfinnelsen er blitt beskrevet i form av eksempler, men det er for en fagmann tydelig at den foreslåtte løsning kan modifiseres innenfor konseptet ifølge oppfinnelsen. Videre vil fagmannen forstå at den foreslåtte løsning også kan anvendes på andre kom-munikasjonssystemer med kort rekkevidde, f.eks. RTI-systemet (Road Traffic Informatics), som følgelig er dekket av beskyttelsesomfanget til oppfinnelsen, hvor beskyttelsesomfanget kun er begrenset av de vedlagte patentkrav.

Claims (13)

1. Fremgangsmåte for aksesskontroll av direkte kommunikasjon i et radiokommunikasjonssystem (3) med kort rekkevidde, mellom en første enhet (1) med en første identitet (y) i nevnte radiokommunikasjonssystem og en andre enhet (2) med en andre identitet (x) i nevnte første radiokommunikasjonssystem (3) , karakterisert ved trinnene at: den første enheten (1) overfører, via det nevnte første radiokommunikasjonssystem (3), informasjon vedrørende dens identitet (y) til den andre en-heten (2), hvortil den første enheten ønsker å kommunisere, den andre enheten (2) overfører en aksessfore- spørsel (7) til en aksesskontrollserver (4), via en sikker kommunikasjon på en bærer i et andre kommunikasjonssystem (5), hvilken aksessfore-spørsel (7) omfatter informasjon vedrørende nevnte første identitet (y) og nevnte andre identitet (x) , aksesskontrollserveren (4) sjekker, i et minne, til hvilke enheter (1) nevnte andre enheter (2) har aksessrettigheter for å kommunisere i nevnte første radiokommunikasjonssystem (3), aksesskontrollserveren (4) overfører aksessin formasjon (6) til den andre enheten (2), via nevnte sikre forbindelse i det andre kommunikasjonssystemet (5), vedrørende de andre enhetenes (2) status for å kommunisere med den første en-heten (1) i det første radiokommunikasjonssystemet (3), og direkte kommunikasjon blir akseptert og initiert mellom den første enheten (1) og den andre enheten (2) via nevnte første radiokommunikasjonssystem (3) avhengig av nevnte aksessinformasjon (6).

2. Fremgangsmåte i samsvar med krav 1, karakterisert ved at nevnte aksesskontrollserver blir administrert/styrt av en sertifisert autoritet (CA).

3. Fremgangsmåte i samsvar med krav 1, karakterisert ved at nevnte andre enhet kommuniserer med aksesskontrollserveren via en bærer i et trådløst cellekommunikasjonsnettverk.

4. Fremgangsmåte i samsvar med krav 1, karakterisert ved at nevnte andre enhet kommuniserer med aksesskontrollserveren via et tråd/ kabelbasert kommunikasjonsnettverk.

5. Fremgangsmåte i samsvar med krav 1, karakterisert ved at nevnte radiokommunikasjonssystem (3) er Bluetooth.

6. Aksesskontrollsystem for direkte kommunikasjon mellom enheter i et første radiokommunikasjonssystem (3) med kort rekkevidde, omfattende: en første enhet (1) anordnet med en første kommunikasjonsanordning med en første identitet (y), i nevnte radiokommunikasjonssystem (3), en andre enhet (2) anordnet med en andre identitet (x) i nevnte første radiokommunikasjonssystem (3), hvor de første og andre kommunikasjonsanordninger er innrettet til å kommunisere med hverandre direkte i nevnte radiokommunikasjonssystem, karakterisert veden aksesskontrollserver (4) omfattende lag- ringsanordninger som er innrettet til å lagre aksessinformasjon (6) vedrørende hvilke enheter (1) og nevnte andre enheter (2) som har aksessrettigheter til nevnte første radiokommunikasjonssystem (3), nevnte aksesskontrollserver (4) omfatter en tredje kommunikasjonsanordning koblet til lagringsanordningen og nevnte andre enhet omfatter en fjerde kommunikasjonsanordning, hvor nevnte tredje og fjerde kommunikasjonsanordninger er innrettet til å kommunisere med hverandre via et sikkert kommunikasjonssystem (5), hvor nevnte tredje kommunikasjonsanordning er innrettet til å motta en aksessforespørsel (7) fra nevnte fjerde kommunikasjonsanordning, hvilken aksessforespørsel omfatter nevnte første (y) og andre (x) identitet, og å overføre nevnte aksessinformasjon (6) til nevnte fjerde kommuni-kas jonsanordning avhengig av aksessforespørselen.

7. Aksesskontrollsystem i samsvar med krav 6, karakterisert ved å omfatte prosessering/ aksjonsanordninger koblet til nevnte lagringsanordning og tredje kommunikasjonsanordning, innrettet til å utlede nevnte aksessinformasjon i nevnte lagringsanordning avhengig av nevnte aksessforespørsel.

8. Aksesskontrollsystem i samsvar med krav 6, karakterisert ved å omfatte prosessering/ aksjonsanordninger koblet til nevnte lagringsanordning og tredje kommunikasjonsanordning, innrettet til å utlede nevnte aksessinformasjon i nevnte lagringsanordning og å initiere overføring av aksessinformasjonen avhengig av forhåndssatte parametre.

9. Aksesskontrollsystem i samsvar med krav 8, karakterisert ved at nevnte parametre omfatter forhåndssatte tidsintervaller.

10. Aksesskontrollsystem i samsvar med krav 8, karakterisert ved at nevnte parametre omfatter informasjon om ny lagret aksessinformasjon.

11. Aksesskontrollsystem i samsvar med krav 6, karakterisert ved at nevnte andre kommunikasjonssystem er et trådløst cellekommunikasjonsnettverk.

12. Aksesskontrollsystem i samsvar med krav 6, karakterisert ved at nevnte andre kommunikasjonssystem er et tråd/kabelbasert kommunikasjonsnettverk.

13. Aksesskontrollsystem i samsvar med krav 6, karakterisert ved at nevnte første radiokommunikasjonssystem (3) er Bluetooth.