WO2004054297A1 - Einmalpasswortgenerator für mobiltelephone - Google Patents

Einmalpasswortgenerator für mobiltelephone Download PDF

Info

Publication number
WO2004054297A1
WO2004054297A1 PCT/CH2002/000677 CH0200677W WO2004054297A1 WO 2004054297 A1 WO2004054297 A1 WO 2004054297A1 CH 0200677 W CH0200677 W CH 0200677W WO 2004054297 A1 WO2004054297 A1 WO 2004054297A1
Authority
WO
WIPO (PCT)
Prior art keywords
time password
software
private key
password generator
mobile telephones
Prior art date
Application number
PCT/CH2002/000677
Other languages
English (en)
French (fr)
Inventor
Stephan Gautschi
Original Assignee
Stephan Gautschi
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Stephan Gautschi filed Critical Stephan Gautschi
Priority to PCT/CH2002/000677 priority Critical patent/WO2004054297A1/de
Publication of WO2004054297A1 publication Critical patent/WO2004054297A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices

Definitions

  • Attached is a method (one-time password generator) to operate the so-called 'two-factor authentication' with 'one-time password protection' and licensing for mobile phones and any applications.
  • Typical applications that are often available via the Internet are e.g. Retail banking, brokerage, e-shopping, etc.
  • the authentication systems used here require the use of dedicated hardware and software.
  • the two-factor authentication used consists of a static password combined with a second 'one-time password'. Examples include the bank portals 'CS - Directnet' and 'UBS e-Banking', which use one-time passwords based on strike lists, tokens with display or smart card / reader to protect customer portals.
  • the one-time password generator for mobile phones is a software-based method that can only be used on the predefined mobile phone (s). It thus replaces e.g. the aforementioned dedicated hardware and software solutions using the user's cell phone. The users must therefore be in possession of a mobile phone and cannot change the phone numbers during the entire period of use of the password generator.
  • Another feature is that you can use any number of applications with the same one-time password generator. This is made possible by simply adding another application name (service ID) and serial number in the secret key (private key).
  • the generated passcode is saved as a new serial number on the SIM card under the associated application, and is fed into the algorithm when the next one-time password is generated.
  • the desired service Before generating a one-time password, the desired service must first be selected.
  • the subsequent generation of the one-time password can be protected by a PIN code, in that the algorithm is only carried out after the local PIN of the protected SIM card has been entered. Incidentally, this PIN is usually requested when the mobile phone is switched on.
  • the user selects the desired service (e.g. CS Directnet, UBS E-Banking, etc.) and thus activates the required factors in the private key.
  • the desired service e.g. CS Directnet, UBS E-Banking, etc.
  • the desired service e.g. CS Directnet, UBS E-Banking, etc.
  • he can also edit the local PIN
  • Time of the key generation on the mobile phone for logging / auditing The information can only occupy a certain storage space on the mobile phone before it is automatically deleted in a roll-over process.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Der Einmalpasswortgenerator für Mobiltelephone ist eine softwarebasierte Methode zur Generierung von Einmalpasswörtern auf Mobiltelephonen (GSM, UMTS, etc.). Er benutzt die SIM Karte oder gleichwertige Mikrochipkarten zur Speicherung der geheimen Daten. Dabei werden auf das berechtigte Telephon beschränkte Einmalpassworte durch eine Software generiert, die für beliebig viele Applikationen eindeutig sind. Diese werden durch den geheimen Schlüssel bestehend aus 'Telephonnummer', 'Laufnummer', 'UserID' und 'ServiceID' mittels öffentlichem hash-algorythmus (z.B. MD5) erzeugt. Die Software und der geheime Schlüssel werden auf dem Mobiltelephon gespeichert, dessen Ausführung 'PIN code' geschützt werden kann.

Description

Beschreibung
Einmalpasswortgenerator für Mobiltelephone
1. Einführung
Anbei wird eine Methode (Einmalpasswortgenerator) präsentiert, die sogenannte 'zwei- Faktor- Authentisierung' mit 'Einmalpasswortschutz' und Lizenzierung für Mobiltelephone und beliebige Applikationen zu betreiben.
Typische, häufig via Internet verfügbare Anwendungen sind z.B. Retailbanking, Brokerage, E-shopping, etc.. Die dabei verwendeten Authentisierungssysteme erfordern den Einsatz einer dedizierten Hardware und Software. Dabei besteht die eingesetzte Zweifaktorauthentisierung aus einem statischen Passwort kombiniert mit einem zweiten 'Einmalpasswort'. Als Beispiele seinen hier die Bankportale 'CS - Directnet' und 'UBS e-Banking' erwähnt, die zum Schutz der Kundenportale Einmalpasswörter basierend auf Streichlisten, Token mit Display oder Smartcard/Reader einsetzen.
2. Funktion
Der Einmalpasswortgenerator für Mobiltelephone ist eine softwarebasierte Methode, der ausschliesslich auf dem/den vordefinierten Mobiltelephone angewendet werden kann. Er ersetzt somit die z.B. oben erwähnten, dedizierten Hardware und Softwarelösungen, indem das Mobiltelephon des Anwenders verwendet wird. Die Anwender müssen somit auch zwingend im Besitze eines Mobiltelephon sein, und können die Telephonnummern während der gesamten Benutzungsdauer des Passwortgenerators nicht ändern.
Eine weitere Eigenschaft besteht darin, beliebig viele Applikationen mit dem gleichen Einmalpasswortgenerator benutzen zu können. Dies wird durch einfaches Hinzufügen eines weiteren Applikationsnamens (Service-ID) und Laufnummer in den geheimen Schlüssel (private key) ermöglicht.
Nach jedem Gebrauch des Passwortgenerators wird der erzeugte Passcode als neue Laufnummer auf die SIM card unter der zugehörigen Applikation gespeichert, und bei der Erzeugung des nächsten Einmalpasswortes in den Algorithmus eingespiesen. Beschreibung
Vor dem Generieren eines Einmalpasswortes muss zuerst der gewünschte Service selektiert werden. Die folgende Erzeugung des Einmalpasswortes kann mittels PIN code geschützt erfolgen, indem der Algorythmus erst ausgeführt wird, nachdem der lokalen PIN der geschützten SIM Karte eingegeben wird. Dieser PIN wird übrigens üblicherweise beim Anschalten des Mobil telephons abgefragt.
3. Target devices
Digitale Mobiltelephone mit 'SIM-Karten' basierend auf Technologien wie GSM, GPRS,
UMTS, etc.
4. Definitionen
4.1. private key
Geschützter Key, der sicher auf der SIM card gespeichert wird. Er besteht aus folgenden Faktoren, die bei der Erzeugung eines applikationsspezifischen Einmalpasswortes verwendet werden müssen:
- 'Telephonnummer' im internationalen Format (z.B. +41791234567)
- 'Laufnummer' bestehend aus 12 character (variable Zufallszahl, die pro Passwortgenerierung ändert)
- 'UserlD' bestehend aus 20 character (statischer Benutzername oder Zufallscode)
- 'ServicelD' bestehend aus 20 character (statischer Applikaitons- oder Servicename)
4.2. Erzeugung der Einmalpasswörter
- Applikationsauswahl: Der Benutzer wählt den gewünschten Service aus (z.B. CS Directnet, UBS E-Banking, etc.), und aktiviert somit die benötigten Faktoren im private key. Optional kann er auch den lokalen PIN editieren
- Chiffrieraigorythmus: public MD5 hash oder ähnliche öffentliche Verfahren
- Resultat: Einmalpasswort bestehend aus 8 Charaktern, wird am Display angezeigt
4.3. Logfunktion (optional)
- Zeitpunkt der Schlüssgeneration auf dem Mobiltelephon zwecks Logging / Auditing. Die Informationen können nur einen bestimmten Speicherplatz auf dem Mobiltelephon belegen, bevor sie automatisch in einem roll-over Verfahren gelöscht werden.

Claims

AnsprüchePatentansprüche des Einmalpasswortgenerators für Mobiltelephone
1. Telephonnummer ist Teil des 'private keys'
Die Telephonnummer wird als Teil des 'private keys'benutzt. Dies schafft die Voraussetzung für die Individualisierung der Auth^nisierungssoftware.
2. Telephonnummer wird lokal gelesen
Die Telephonnummer wird von der client Software lokal aus der SIM Karte der
» Mobiltelephone eingelesen, und mit dem in der Software mitgelieferten 'private key' bei der
Benutzung verglichen. Dadurch gelingt die Restriktion der Benutzung auf die berechtigte und lizenzierte SIM Karte, unter Wahrung der Unabhängig vom physischen Mobiltelephon.
3. Support von mehreren Applikationen
Der Einmalpasswortgenerator erlaubt die Benutzung einer beliebige Anzahl unabhängiger Applikationen oder Services, indem der Einmalpasswortschutz vollumfänglich bewahrt bleibt. Es sind also keine sogenannten 'replay-attacks' möglich. Dies wird erreicht, indem der 'private key' pro Applikation/Service dedizierte 'ServicelD's' und 'Laufnummern' enthält. Der Anwender wird somit durch die Wahl der gewünschten Applikation zwei applikationsspezifische Faktoren bei der Generierung des Einmalpasswortes benutzen.
PCT/CH2002/000677 2002-12-09 2002-12-09 Einmalpasswortgenerator für mobiltelephone WO2004054297A1 (de)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/CH2002/000677 WO2004054297A1 (de) 2002-12-09 2002-12-09 Einmalpasswortgenerator für mobiltelephone

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CH2002/000677 WO2004054297A1 (de) 2002-12-09 2002-12-09 Einmalpasswortgenerator für mobiltelephone

Publications (1)

Publication Number Publication Date
WO2004054297A1 true WO2004054297A1 (de) 2004-06-24

Family

ID=32477087

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CH2002/000677 WO2004054297A1 (de) 2002-12-09 2002-12-09 Einmalpasswortgenerator für mobiltelephone

Country Status (1)

Country Link
WO (1) WO2004054297A1 (de)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1862948A1 (de) * 2006-06-01 2007-12-05 Axalto SA IC-Karte mit OTP-Client
NO20170492A1 (no) * 2006-08-31 2009-05-28 Allclear Id Fremgangsmåte, system og anordning for synkronisering mellom tjener og mobil anordning
US7673795B2 (en) 2005-12-06 2010-03-09 Microsoft Corporation Manipulation of unified messaging pins
WO2010119427A2 (en) * 2009-04-16 2010-10-21 Fireid (Proprietary) Limited Method and system for deployment of software applications to mobile computing devices
EP2515567A1 (de) * 2011-04-20 2012-10-24 Vodafone IP Licensing Limited Vorrichtung und Verfahren zur Authentifizierung einer Transaktion zwischen einem Benutzer und einer Entität

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000042794A1 (en) * 1999-01-18 2000-07-20 Keith Benson Apparatus and method relating to authorisation control
EP1176844A2 (de) * 2000-07-25 2002-01-30 Vodafone Limited Telekommunikationssystemen und Verfahren

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000042794A1 (en) * 1999-01-18 2000-07-20 Keith Benson Apparatus and method relating to authorisation control
EP1176844A2 (de) * 2000-07-25 2002-01-30 Vodafone Limited Telekommunikationssystemen und Verfahren

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
PARK CH-S: "ON CERTIFICATE-BASED SECURITY PROTOCOLS FOR WIRELESS MOBILE COMMUNICATION SYSTEMS", IEEE NETWORK, IEEE INC. NEW YORK, US, vol. 11, no. 5, 1 September 1997 (1997-09-01), pages 50 - 55, XP000699941, ISSN: 0890-8044 *

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7673795B2 (en) 2005-12-06 2010-03-09 Microsoft Corporation Manipulation of unified messaging pins
EP1862948A1 (de) * 2006-06-01 2007-12-05 Axalto SA IC-Karte mit OTP-Client
WO2007138469A2 (en) * 2006-06-01 2007-12-06 Axalto S.A. Ic card with otp client
WO2007138469A3 (en) * 2006-06-01 2008-02-07 Axalto Sa Ic card with otp client
NO20170492A1 (no) * 2006-08-31 2009-05-28 Allclear Id Fremgangsmåte, system og anordning for synkronisering mellom tjener og mobil anordning
US8621216B2 (en) 2006-08-31 2013-12-31 Encap As Method, system and device for synchronizing between server and mobile device
WO2010119427A2 (en) * 2009-04-16 2010-10-21 Fireid (Proprietary) Limited Method and system for deployment of software applications to mobile computing devices
WO2010119427A3 (en) * 2009-04-16 2010-12-29 Fireid (Proprietary) Limited Method and system for deployment of software applications to mobile computing devices
EP2515567A1 (de) * 2011-04-20 2012-10-24 Vodafone IP Licensing Limited Vorrichtung und Verfahren zur Authentifizierung einer Transaktion zwischen einem Benutzer und einer Entität
GB2490318A (en) * 2011-04-20 2012-10-31 Vodafone Ip Licensing Ltd Authenticating a transaction using an authentication code calculated from a seed on a SIM
GB2490318B (en) * 2011-04-20 2014-08-06 Vodafone Ip Licensing Ltd Authenticating a transaction using an authentication code derived from a seed on a SIM

Similar Documents

Publication Publication Date Title
DE60128785T2 (de) Aktivieren und Deaktivieren von Softwarefunktionen
AU772545B2 (en) Method and apparatus for secure entry of access codes in a computer environment
CN101320407B (zh) 提供基于图案的用户密码访问的方法和装置
US5425102A (en) Computer security apparatus with password hints
US6986050B2 (en) Computer security method and apparatus
CA2649015C (en) Graphical image authentication and security system
US7210622B2 (en) Enhanced PIN and password protection system and method
US7664960B1 (en) Password enhancing device
US20090144554A1 (en) Two-way authentication with non-disclosing password entry
US20070271465A1 (en) Method of Authentication by Challenge-Response and Picturized-Text Recognition
CN1708160A (zh) 可对用户信息进行加密的移动通讯终端及其方法
JP2008537210A (ja) 安全保証されたデータ通信方法
CN103200011A (zh) 一种密码认证方法及装置
US20030185398A1 (en) Encryption
KR20060027347A (ko) 패스워드를 인증하는 방법 및 장치
CN104112096B (zh) 多点触碰方法与装置
CN101304315B (zh) 基于口令卡提高身份认证安全性的方法
WO2004054297A1 (de) Einmalpasswortgenerator für mobiltelephone
CN104966017A (zh) 一种密码输入保护系统和方法
CN105069361A (zh) 对隐私空间的安全访问方法及系统
WO2011124267A1 (en) Authentication system and method thereof
DE10348729B4 (de) Einrichtung und Verfahren zur Sicherung von geschützten Daten
CN105007267A (zh) 一种隐私保护方法及装置
JP3935712B2 (ja) クライアント装置、ｐｉｎロック解除装置、およびｐｉｎロック解除方法
EP1915718B1 (de) Verfahren zur absicherung der authentisierung eines tragbaren datenträgers gegen ein lesegerät über einen unsicheren kommunikationsweg

Legal Events

Date Code Title Description
AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR IE IT LU MC NL PT SE SK TR

121 Ep: the epo has been informed by wipo that ep was designated in this application
122 Ep: pct application non-entry in european phase