WO2008074621A1 - Verfahren und server zum bereitstellen einer geschützten datenverbindung - Google Patents

Verfahren und server zum bereitstellen einer geschützten datenverbindung Download PDF

Info

Publication number
WO2008074621A1
WO2008074621A1 PCT/EP2007/063158 EP2007063158W WO2008074621A1 WO 2008074621 A1 WO2008074621 A1 WO 2008074621A1 EP 2007063158 W EP2007063158 W EP 2007063158W WO 2008074621 A1 WO2008074621 A1 WO 2008074621A1
Authority
WO
WIPO (PCT)
Prior art keywords
server
authentication
network
mobile terminal
network access
Prior art date
Application number
PCT/EP2007/063158
Other languages
English (en)
French (fr)
Inventor
Rainer Falk
Florian Kohlmayer
Original Assignee
Nokia Siemens Networks Gmbh & Co. Kg
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Siemens Networks Gmbh & Co. Kg filed Critical Nokia Siemens Networks Gmbh & Co. Kg
Publication of WO2008074621A1 publication Critical patent/WO2008074621A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud

Definitions

  • the invention relates to a method and an authentication server for providing a protected data connection between a mobile terminal and a network via a network access server of an access network.
  • FIG. 1 shows an authentication process between a mobile terminal (mobile station) and an authentication server (AS), which is, for example, an AAA server in a home network of the mobile terminal.
  • AS authentication server
  • the mobile terminal MS and the authentication server AS mutually authenticate each other by means of an authentication method, which is, for example, an EAP authentication method.
  • the network access server forms an authenticator and is designed, for example, as a WLAN access point.
  • Several authentication proxy servers can be interposed between the network access server NWZS and the authentication server.
  • the authentication server AS transmits an EAP success message containing a session key or an MSK key (master session key) as well as policy information.
  • the authentication server transmits the policy information, which is, for example, a quality of service authorization or a packet filter policy, to the authenticator or to the network access server.
  • the transmitted session key or master session key is transferred from the network access server NWZS to the mobile terminal MS in a four-way handshake procedure. Based on the session key MSK, the data connection between the mobile terminal MS and the network access server is then cryptographically protected.
  • Widely used authentication protocols are radius and diameter. In the example shown in FIG. 1, the radius or diameter protocol is used for the communication between the authenticator or network access server and the authentication server AS in the home network of the mobile terminal MS. These protocols are used to transmit the EAP protocol during authentication.
  • the authentication server AS sends a generated master session key MSK and optionally further required application or application keys AMSK. These are preferably not derived from the master session key MSK, but from the also established by the EAP protocol extended session key or extended master session key EMSK.
  • the extended session key or EMSK is not transmitted since it is kept cryptographically separated from the MSK key. Since the EMSK is separate from the MSK key, the application key AMSK derived from the MSK can not be calculated by nodes that have only the MSK key.
  • the extended session key or Extended EMSK exits the EAP peers ie, the subscriber or supplicant or the mobile terminal MS and the authentication server AS not.
  • the communication in the context of authentication is optionally via one or more intermediate nodes, which are also referred to as an authentication proxy server and forward the authentication messages or AAA messages.
  • no information or data is transmitted protected by the authentication server AS to the mobile terminal MS. It is possible for the mobile terminal MS to first send certain parameters to the authenticator or the network access server NWZS, for example via corresponding radius attributes.
  • the access network sends these parameters, for example via the DHCP data transmission protocol of a mobile station or a mobile terminal MS. These parameters are not against Manipulation protected by the operator of the access network CNS. Since these parameters are not tamper-proof or can be changed, there is no possibility to inform the mobile terminal or the mobile station MS about the security measures required in the respective access network by means of such parameters.
  • a major disadvantage of such a conventional channel binding method is that ordinary EAP methods do not support such channel binding, i. H. the EAP methods or the EAP protocol must be changed to transfer further parameters or further information.
  • the channel binding method according to the prior art is thus not suitable for already existing widespread EAP methods.
  • a modification of the existing EAP methods by means of a channel binding method in order to exchange additional parameters or information between the authentication server AS and the mobile terminal MS represents a considerable reconfiguration effort of the existing computer systems.
  • the invention provides a method for providing a protected data connection between a mobile terminal and a network via a network access server of an access network, wherein after successful authentication of an authentication server at the mobile terminal by means of at least one of the authentication server depending on a trusted network access server selected authentication server credentials a security mechanism is activated to protect the data connection by the mobile terminal.
  • the mobile terminal MS builds a VPN tunnel as a security mechanism SM to a VPN server.
  • the mobile terminal MS activates as a security mechanism SM a configurable data packet filter PF.
  • an authentication server credential C A s selected by the authentication server AS is formed by a certificate Z.
  • the certificate Z is preferably an x509 certificate.
  • the authentication selected by the authentication server AS is Authentication server Credential C A s formed by a secret key K.
  • the mobile terminal MS authenticates to the authentication server AS for mutual authentication by means of at least one subscriber credential C M s.
  • the authentication takes place via an EAP (Extendable Authentication) protocol according to an EAP method.
  • EAP Extendable Authentication
  • the EAP method is formed by an EAP-TLS (Transport Layer Security) method, an EAP-TTLS method or by a PEAP method (Protected EAP).
  • EAP-TLS Transport Layer Security
  • PEAP Protected EAP
  • the authentication server AS is formed by an AAA server in a home network of the mobile terminal MS.
  • the authentication server AS after establishing a radio connection between the mobile terminal MS and the network access server NWZS, the authentication server AS receives network access server parameters from the network access server NWZS.
  • the network access server parameters comprise an IP address of the network access server NWZS, a MAC address of the network access server NWZS and an identity of the network operator of the access network.
  • the network access parameters are transmitted via at least one authentication proxy server from the network access server NWZS to the authentication server AS.
  • the authentication server AS receives authentication proxy server parameters of the authentication proxy server.
  • the authentication proxy server parameters have IP addresses of the authentication proxy servers, MAC addresses of the authentication proxy servers and identities of the operators of the authentication proxy servers.
  • the authentication server AS determines the trustworthiness of the network access server NWZS as a function of the received network access server parameters and the received authentication proxy server parameters.
  • the authentication server AS selects the authentication server credentials C A s from a predetermined group of authentication server credentials and uses them in its authentication at the mobile terminal MS.
  • the authentication server AS expands predetermined authentication server credentials C A s by specifying selectable security mechanisms SM.
  • the access network ZNW is formed by a WLAN, a WiMax or a mesh access network.
  • the network access server NWZS is formed by an authenticator server.
  • the invention furthermore provides an authentication server AS for providing a protected data connection between a mobile terminal and a network via a network access server of an access network, wherein the authentication server determines a trustworthiness of the network access server after receiving network access server parameters from the network access server and depending on the determined Trusted Network Access Server Authentication server credentials used to authenticate the authentication server to the mobile device.
  • the invention further provides a mobile terminal MS, which selects a security mechanism SM for protecting the data connection as a function of the authentication server credentials C AS for establishing a protected data connection to a network via a network access server of an access network, by means of which an authentication server AS at the mobile Authenticated terminal MS.
  • FIG. 1 shows an authentication process between a mobile terminal MS and an authentication server AS according to the prior art
  • FIG. 2 shows an authentication process between a mobile terminal MS and an authentication server AS according to the prior art in detail
  • FIG. 3 shows the structure of a prior art x509 certificate
  • FIG. 4 shows a network connection with a plurality of access networks, which are connected via authentication proxy servers to an authentication server according to the invention
  • Figure 5 is a signal diagram illustrating a possible embodiment of the method according to the invention.
  • FIG. 6 shows a further detailed signal diagram for illustrating a possible embodiment of the method according to the invention.
  • FIG. 7 shows a possible embodiment of a certificate used in a possible embodiment of the method according to the invention.
  • FIG. 8 shows a further embodiment of a certificate used in a possible embodiment of the method according to the invention.
  • FIG. 2 shows an authentication process between a mobile terminal MS and an authentication server AS via a network access server NWZS using an EAP protocol.
  • the EAP method shown in FIG. 2 is an EAP-TLS (Transport Layer Security) method.
  • EAP-TLS Transport Layer Security
  • the identity of the subscriber or of the mobile terminal MS is requested by the network access server and subsequently the identity MyID of the mobile terminal MS is transmitted to the authentication server AS.
  • the actual authentication takes place between the mobile terminal MS and the authentication server AS in a handshake procedure.
  • credentials C in the form of certificates Z are exchanged between the authentication server AS and the mobile terminal MS.
  • the authentication server AS transmits an authentication Server Credential C A s in the form of a TLS server Certificate to the mobile terminal MS and this transmits in its response a subscriber credential C M s in the form of a TLS client certificate.
  • FIG. 3 shows the structure of a conventional prior art x509v3 certificate used in the EAP authentication of FIG.
  • the credentials or certificates exchanged between the mobile terminal MS and the authentication server AS are used to transmit further information or parameters without modifying the EAP method itself, wherein transmitted information is secure against manipulations by the network access operator are.
  • FIG. 4 shows the structure of a network network with multiple access networks ZNW.
  • the access networks ZNW can be access networks of different technologies, for example a mesh network, a WLAN access network or a Wi-Max access network.
  • a subscriber or a mobile terminal MS wants to set up a data connection to any network component via a WLAN hotspot as a network access server and must be authorized to do this by his authentication server AS.
  • the data connection between the mobile terminal MS and the network access server is activated by an activated security mechanism SM for protecting the data connection by the mobile terminal MS.
  • the selection of the security mechanism SM to be used takes place as a function of a determined trustworthiness of the network access server NWZS. This trustworthiness of the network access server NWZS is determined by the authentication server AS.
  • the authentication server AS determines the trustworthiness of the network access server
  • the different access networks ZNW and their Access network server NZWS or authenticators are connected via intermediate networks with the home network of the mobile terminal MS or the subscriber.
  • the intermediate networks contain authentication proxy servers for forwarding the messages.
  • Each of the networks shown in FIG. 4, ie the access networks ZNWA, ZNWB, ZNWC as well as the intermediate networks and the home network can be operated by different network operators or operators.
  • a VPN server is located in the home network AS in addition to the authentication server AS of the terminal MS.
  • FIG. 5 shows a signal diagram to illustrate a possible embodiment of the method according to the invention.
  • NWZS such as the WLAN hotspot shown in Figure 4
  • parameters of the network access server NWZS-P via one or more authentication proxy server in intermediate networks to those in the home network transfer existing authentication server AS.
  • Each authentication server or authentication proxy server adds further information or parameters along the authentication signal path ASP.
  • the authentication server AS thus receives network server parameters NWZS-P and authentication proxy server parameters A-Proxy-P.
  • the network access server parameter NWZS-P is, for example, an IP address of the network access server NWZS, a MAC address of the network access server NWZS or an identity of the network operator of the access network.
  • the authentication proxy server parameters A-Proxy-P can be the IP addresses of the authentication proxy servers along the authentication signal path ASP, the MAC addresses of the respective authentication proxy servers and identities of the authentication server Operate the respective authentication proxy server.
  • the authentication server determines from the received parameters or information about the authentication proxy server and the network access server located in the authentication path ASP. ver AS a trustworthiness of the respective network access server NSWZS.
  • the trustworthiness of the components involved along the authentication signal path ASP is relatively low and the authentication server AS becomes the mobile terminal MS by means of credentials C A s that he transmits during the au- thent Deutschensprotokolls, for example, during the EAP authentication protocol to the mobile terminal MS.
  • the information about the trustworthiness of the network access server is encoded to a certain extent by means of the selected authentication server credentials C A s, without changing the EAP protocol itself.
  • the mobile terminal MS which receives the authentication server credential C AS selected as a function of the determined trustworthiness of the network access server NWZS via the network access server NWZS activates an additional protection mechanism SM on the basis of the received authentication server credentials C A s.
  • Such an additional protection mechanism SM consists, for example, in the structure of a VPN (Virtual Private Network) tunnel to the VPN server shown in FIG.
  • Another possible security mechanism SM is the activation of a configurable data packet filter PF by the mobile terminal MS. If the mobile terminal MS recognizes on the basis of the received authentication server credentials C AS that the trustworthiness of the access network server ZNW is high, the activation of an additional security mechanism SM can be dispensed with.
  • the mobile terminal MS recognizes that the trustworthiness of the network access server NWZS of the access network is classified as relatively low by the authentication server AS, it activates at least one additional protection mechanism SM when exchanging data over the radio link with the access network server.
  • This protection mechanism SM is activated in addition to the cryptographic encryption of the transmitted data.
  • the authentication server credential selected by the authentication server AS is formed by a certificate Z.
  • This certificate Z can be, for example, an x509 certificate, as shown in FIG. 3, the authentication server expanding it with the corresponding information.
  • the authentication server credential selected by the authentication server AS is formed by a secret key K.
  • the authentication between the mobile terminal MS and the authentication server AS takes place mutually, ie the mobile terminal MS authenticates itself with the associated authentication server AS and the authentication server AS authenticates itself with respect to the mobile terminal MS.
  • the mobile terminal MS authenticates itself to the authentication server AS by transmitting at least one subscriber credential C M s.
  • the authentication server AS authenticates itself to the mobile terminal MS by transmitting at least one authentication server credential, for example a certificate Z or a secret key.
  • FIG. 6 shows the authentication process between the mobile terminal MS and the authentication server AS according to a possible embodiment of the method according to the invention in detail.
  • the authentication server credential C A s used is formed by a TLS certificate.
  • the mobile terminal MS optionally activates a security mechanism SM for protecting the data connection to the network access server NWZS.
  • FIG. 7 shows an example of an authentication server credential C A s in the form of a certificate Z, as used in a possible embodiment of the method according to the invention.
  • the TLS certificate shown in FIG. 7 contains, in addition to the version number of the standard used, a serial number of the certificate as well as an algorithm identification of the algorithm used, for example MD5 or MDSHA1. Furthermore, an ID of the one who issued or generated the certificate Z is generated. Furthermore, the certificate Z contains a validity period of the certificate and a subject to which the certificate refers.
  • the certificate Z shown in FIG. 7 has special extensions via which the authentication server AS gives the mobile terminal MS a message about the trustworthiness of the network access server NWZS. In the example illustrated in FIG. 7, the authentication server AS communicates through the transmitted TLS
  • the authentication server AS explicitly specifies that a VPN tunnel is to be established via a specific VPN server (vodafone.com) and, in addition, that a personal firewall or a packet filter with the name "External Untrusted” be activated.
  • the extension codes the policy (client access policy) to be activated by the mobile terminal MS or the client.
  • the mobile terminal MS or the client decodes the policy contained in the extension and then activates in this case several security mechanisms SM, namely the one hand, the construction of a VPN tunnel to the designated server and the Activation of a personal firewall under the configuration name "External Untrusted".
  • FIG. 8 shows another example of a TLS certificate, in which the authentication server AS notifies the mobile terminal MS by means of a certificate extension that the network access server is trustworthy.
  • the mobile terminal MS is instructed not to set up a VPN tunnel and to use a data packet filter PF with the designation "Internal Trusted".
  • the client or the mobile station MS decodes the policy contained in the extensions and communicates directly in the given example without setting up a VPN tunnel.
  • the mobile terminal MS activates its personal firewall under the configuration "Internal Trusted”.
  • the authentication server AS has at least two different certificates in the method according to the invention. It can be a Root, Intermediate, or Leaf certificate.
  • the difference between the various certificates Z may be in an attribute of the certificate Z, in a certified key or in the key used for certification, i. H. the key used to sign the Z certificate.
  • the authentication server AS selects one of the existing certificates Z or generates a correspondingly extended new certificate Z.
  • the authentication server AS selects or generates dynamically for its own authentication at the mobile terminal MS a credential or certificate in which parameters are available, which the authentication server AS would like to transmit to the client MS. These parameters are, for example, policy information or also configuration parameters that apply to the access network used by the mobile terminal MS. Which access network is used is determined by appropriate radius / Diameter attributes, for example, from the Authen- ticator ID.
  • the parameters are transmitted in the method according to the invention in that, in the case of an EAP application, which uses server certificates or server credentials, in particular in the case of EAP-TLS, EAP-TTLS, the authentication server AS has a certificate Z for its authentication used that contains the corresponding information coded. Since the certificate Z or the authentication server credential C A s is transmitted to the mobile station MS or the respectively used certificate Z is known to the mobile terminal MS, the mobile terminal MS can depend on the information contained about the trustworthiness of Access network ZNW activate a corresponding security mechanism SM or completely interrupt the connection.
  • the transmitted certificates Z are protected and since the key certified thereby is used by the authentication server 1 in the framework of the authentication protocol, the information about the trustworthiness transmitted can not be transmitted by the access network or the authenticator or by an intermediate network or an authentication Proxy servers are manipulated.
  • the authentication server AS uses different authentication security parameters or credentials for its authentication depending on the access network used, the technology of the access network used, such as cryptographic keys or certificates Z.
  • This can include different certificates Z, for example leaf certificates. Certificates, intermediate certificates or root certificates.
  • the authentication server credential C A s can be selected by the authentication server AS of a predetermined group, or the amount of existing credentials or dynamic, "on the fly" with matching information expanded advertising the.
  • the authentication server AS has been certified as an intermediate certificate with the appropriate secondary certificate.
  • the required information is entered in the Leaf certificate.
  • the EAP client or the mobile station MS determines information about the EAP authentication. In the simplest case, the information can only represent a flag, for example "VPN yes / no" or "Personal Firewall yes / no".
  • it is possible to provide a more comprehensive policy description for example as a list of attribute value pairs AVP (Attribute Value Pair).
  • VPN Server 1.2.3.4 Personal Firewall: activate
  • the mobile terminal MS transmits client credentials or subscriber credentials C M s.
  • the mobile station MS can inform the authentication server AS of protected information for the transmission of corresponding subscriber credentials C M s.
  • a consistency check takes place in the application intended by the mobile station MS, ie the authentication server AS is informed by the mobile station MS about the purpose for which the mobile station MS performs this EAP authentication.
  • the authentication server AS checks the transmitted information or information as to whether the radius / diameter attributes transmitted by the authenticator match or match them.
  • the mobile station MS can in this way transmit any parameters protected to the authentication server AS or transmit them to it, for example via a current software device. Version level, ie, for example, installed software packages.
  • the authentication server AS can specify whether the mobile terminal MS is allowed full access with this software configuration or software version or only limited network access. Restricted network access, for example, only allows patches to be loaded.
  • both the transmitted subscriber credentials C M s or client certificates and the authentication server credentials C A s or server certificates transmitted by the server encode security parameters that exist between the mobile terminal MS and the authentication server AS are exchanged. Since the authentication server AS usually authenticates first, the information transfer first takes place from the authentication server AS to the mobile station MS and only then from the mobile station MS or the client to the authentication server AS.
  • the method according to the invention allows secure information data transmission from the authentication server AS to the mobile terminal MS and can be used for EAP methods which, for example, use a certificate Z.
  • EAP methods are in particular EAP-TLS. These EAP methods do not need to be modified for information transmission.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät (MS) und einem Netzwerk über einen Netzwerkzugangsserver (NWZS) eines Zugangsnetzwerkes (ZNW), wobei nach erfolgreicher Authentisierung eines Authentisierungsservers (AS) bei dem mobilen Endgerät (MS) mittels mindestens eines von dem Authentisierungsserver (AS) in Abhängigkeit von einer Vertrauenswürdigkeit des Netzwerkzugangsservers (NWZS) selektierten Authentisierungsserver-Credentials (CAS) ein Sicherheitsmechanismus (SM) zum Schutz der Datenverbindung durch das mobile Endgerät (MS) aktiviert wird.

Description

Beschreibung
Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung
Die Erfindung betrifft ein Verfahren und einen Authentisie- rungsserver zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät und einem Netzwerk über einen Netzwerkzugangsserver eines Zugangsnetzwerkes.
Figur 1 zeigt einen Authentisierungsvorgang zwischen einem mobilen Endgerät (Mobile Station) und einem Authentisierungs- server (AS) , bei dem es sich beispielsweise um einen AAA- Server in einem Heimatnetz des mobilen Endgerätes handelt. Nach Aufbau einer Funkverbindung zwischen dem mobilen Endgerät MS und dem Netzwerkzugangsserver authentisieren sich das mobile Endgerät MS und der Authentisierungsserver AS gegenseitig mittels eines Authentisierungsverfahrens, bei dem es sich beispielsweise um ein EAP-Authentisierungsverfahren han- delt. Der Netzwerkzugangsserver bildet einen Authentikator und ist beispielsweise als ein WLAN-Access Point ausgebildet. Zwischen dem Netzwerkzugangsserver NWZS und dem Authentisierungsserver können mehrere Authentisierungs-Proxy-Server zwischengeschaltet sein. Nach erfolgreicher Authentisierung ü- berträgt der Authentisierungsserver AS eine EAP-Success- Nachricht, die einen Sitzungsschlüssel bzw. einen MSK- Schlüssel (Master Session Key) sowie Policy-Informationen enthält. Der Authentisierungsserver überträgt die Policy- Information, bei der es sich beispielsweise um eine Quality of Service-Berechtigung oder eine Paketfilter-Policy handelt, an den Authentikator bzw. an den Netzwerkzugangsserver. Der übertragene Sitzungsschlüssel bzw. Master Session-Key wird von dem Netzwerkzugangsserver NWZS an das mobile Endgerät MS in einem Vier-Wege-Handshake-Verfahren übergeben. Basierend auf dem Sitzungsschlüssel MSK wird anschließend die Datenverbindung zwischen dem mobilen Endgerät MS und dem Netzwerkzugangsserver kryptographisch geschützt. Weit verbreitete Authentisierungsprotokolle sind Radius und Diameter. Bei dem in Figur 1 dargestellten Beispiel wird das Radius- oder das Diameterprotokoll für die Kommunikation zwischen dem Authentikator bzw. Netzwerkzugangsserver und dem Authentisierungsserver AS im Heimatnetz des mobilen Endgeräts MS verwendet. Über diese Protokolle wird bei der Authentisie- rung das EAP-Protokoll übertragen. Nach erfolgreicher Authen- tisierung verschickt der Authentisierungsserver AS einen generierten Master Session Key MSK und optional weitere benö- tigte Anwendungs- bzw. Applikationsschlüssel AMSK. Diese werden vorzugsweise nicht aus dem Master Session Key MSK abgeleitet, sondern aus dem ebenfalls durch das EAP-Protokoll eingerichteten erweiterten Sitzungsschlüssel bzw. Extended Master Session Key EMSK. Der erweiterte Sitzungsschlüssel bzw. EMSK wird nicht übertragen, da er kryptographisch von dem MSK-Schlüssel separiert gehalten wird. Da der EMSK getrennt von dem MSK-Schlüssel ist, können die aus dem MSK abgeleiteten Anwendungsschlüssel AMSK nicht von Knoten berechnet werden, die ausschließlich über den MSK-Schlüssel verfü- gen. Der erweiterte Sitzungsschlüssel bzw. Extended EMSK ver- lässt die EAP-Peers, d. h. den Teilnehmer bzw. Supplicant bzw. das mobile Endgerät MS und den Authentisierungsserver AS nicht. Die Kommunikation im Rahmen der Authentisierung erfolgt optional über einen oder mehrere Zwischenknoten, die auch als Authentisierungs-Proxy-Server bezeichnet werden und die Authentisierungsnachrichten bzw. AAA-Nachrichten weiterleiten .
Bei der in Figur 1 dargestellten herkömmlichen auf dem EAP- Verfahren basierten Authentisierung werden keine Informationen bzw. Daten von dem Authentisierungsserver AS an das mobile Endgerät MS geschützt übertragen. Es ist für das mobile Endgerät MS möglich, bestimmte Parameter erst an den Authentikator bzw. den Netzwerkzugangsserver NWZS zu senden, bei- spielsweise über entsprechende Radius-Attribute. Das Zugangsnetz sendet diese Parameter beispielsweise über das DHCP- Datenübertragungsprotokoll einer Mobilstation bzw. einem mobilen Endgerät MS. Diese Parameter sind jedoch nicht gegen Manipulation durch den Betreiber des Zugangsnetzwerkes ZNS geschützt. Da diese Parameter nicht manipulationssicher sind bzw. verändert werden können, besteht keine Möglichkeit, das mobile Endgerät bzw. die mobile Station MS über die in dem jeweiligen Zugangsnetz erforderlichen Sicherheitsmaßnahmen mittels derartiger Parameter zu informieren.
Bei dem herkömmlichen so genannten Channel Binding werden spezielle EAP-Methoden eingesetzt, um integritätsgeschützt Informationen zwischen dem mobilen Endgerät MS und dem EAP-
Server bzw. dem Authentisierungsserver AS auszutauschen. Darüber hinaus werden Informationen über einen möglicherweise kompromittierten Authentikator bzw. Netzwerkzugangsserver NWZS, insbesondere dessen Identität zwischen dem mobilen End- gerät MS und dem Authentisierungsserver AS ausgetauscht. Es kann damit erkannt werden, dass ein kompromittierter Network Access Server NAS bzw. Netzwerkzugangsserver NWZS der Mobilstation MS falsche Informationen über sich selbst gibt (so genannte "Lying NAS") .
Ein wesentlicher Nachteil eines derartigen herkömmlichen Channel Binding-Verfahrens besteht darin, dass gewöhnliche EAP-Methoden ein derartiges Channel Binding nicht unterstützen, d. h. die EAP-Methoden bzw. das EAP-Protokoll müssen zur Übertragung weiterer Parameter bzw. weiterer Informationen geändert werden. Das Channel Binding-Verfahren nach dem Stand der Technik ist somit nicht geeignet für bereits bestehende weit verbreitete EAP-Methoden. Eine Abwandlung der bestehenden EAP-Methoden mittels eines Channel Binding-Verfahren, um zusätzliche Parameter bzw. Informationen zwischen dem Authentisierungsserver AS und dem mobilen Endgerät MS auszutauschen, stellt einen erheblichen Umkonfigurierungsaufwand der bestehenden Rechnersysteme dar.
Es ist daher die Aufgabe der vorliegenden Erfindung, ein Verfahren und einen Server zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät MS und einem Netzwerk über einen Netzwerkzugangsserver NWZS eines Zugangs- netzwerkes zu schaffen, bei dem ein Datenaustausch zwischen dem mobilen Endgerät MS und dem Authentisierungsserver ohne Veränderung herkömmlicher Authentisierungsverfahren gegen Manipulationen, insbesondere gegen Manipulationen eines Zu- gangsnetzwerkbetreibers, geschützt wird.
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den im Patentanspruch 1 angegebenen Merkmalen gelöst.
Die Erfindung schafft ein Verfahren zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät und einem Netzwerk über einen Netzwerkzugangsserver eines Zugangsnetzwerkes, wobei nach erfolgreicher Authentisierung eines Authentisierungsservers bei dem mobilen Endgerät mittels mindestens eines von dem Authentisierungsserver in Abhängigkeit von einer Vertrauenswürdigkeit des Netzwerkzugangsservers selektierten Authentisierungsserver-Credentials ein Sicherheitsmechanismus zum Schutz der Datenverbindung durch das mobile Endgerät aktiviert wird.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens baut das mobile Endgerät MS als Sicherheitsmechanismus SM einen VPN-Tunnel zu einem VPN-Server auf.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens aktiviert das mobile Endgerät MS als Sicherheitsmechanismus SM ein konfigurierbares Datenpaketfilter PF.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein von dem Authentisierungsserver AS selektiertes Au- thentisierungsserver-Credential CAs durch ein Zertifikat Z gebildet .
Bei dem Zertifikat Z handelt es sich vorzugsweise um ein x509-Zertifikat.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das von dem Authentifizierungsserver AS selektierte Au- thentisierungsserver-Credential CAs durch einen geheimen Schlüssel K gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens authentisiert sich das mobile Endgeräte MS zur gegenseitigen Authentisierung bei dem Authentisierungsserver AS mittels mindestens einem Teilnehmer-Credential CMs •
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die Authentisierung über ein EAP (Extendable Authen- tication) -Protokoll gemäß einer EAP-Methode.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird die EAP-Methode durch eine EAP-TLS (Transport Layer Se- curity) -Methode, eine EAP-TTLS-Methode oder durch eine PEAP- Methode (Protected EAP) gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Authentisierungsserver AS durch einen AAA-Server in einem Heimatnetz des mobilen Endgeräts MS gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens empfängt nach Aufbau einer Funkverbindung zwischen dem mobilen Endgerät MS und dem Netzwerkzugangsserver NWZS der Au- thentisierungsserver AS Netzwerkzugangsserver-Parameter von dem Netzwerkzugangsserver NWZS.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens weisen die Netzwerkzugangsserver-Parameter eine IP-Adresse des Netzwerkzugangsservers NWZS, eine MAC-Adresse des Netzwerkzugangsservers NWZS und eine Identität des Netzwerkbetreibers des Zugangsnetzwerkes auf .
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die Netzwerkzugangsparameter über mindestens einen Au- thentisierungs-Proxy-Server von dem Netzwerkzugangsserver NWZS an den Authentisierungsserver AS übertragen. Bei einer Ausführungsform des erfindungsgemäßen Verfahrens empfängt der Authentisierungsserver AS Authentisierungs- Proxy-Server-Parameter der Authentisierungs-Proxy-Server .
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens weisen die Authentisierungs-Proxy-Server-Parameter IP-Adressen der Authentisierungs-Proxy-Server, MAC-Adressen der Authentisierungs-Proxy-Server und Identitäten der Betreiber der Authentisierungs-Proxy-Server auf .
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens ermittelt der Authentisierungsserver AS die Vertrauenswürdig- keit des Netzwerkzugangsservers NWZS in Abhängigkeit von den empfangenen Netzwerkzugangsserver-Parametern und den empfangenen Authentisierungs-Proxy-Server-Parametern .
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens selektiert der Authentisierungsserver AS die Authentisie- rungsserver-Credentials CAs aus einer vorgegebenen Gruppe von Authentisierungsserver-Credentials und setzt diese bei seiner Authentisierung bei dem mobilen Endgerät MS ein.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens erweitert der Authentisierungsserver AS vorgegebene Authenti- sierungsserver-Credentials CAs durch Angaben zu auswählbaren Sicherheitsmechanismen SM.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das Zugangsnetzwerk ZNW durch ein WLAN-, ein WiMax- oder durch ein Mesh-Zugangsnetz gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Netzwerkzugangsserver NWZS durch einen Authentika- torserver gebildet. Die Erfindung schafft ferner einen Authentisierungsserver AS zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät und einem Netz über einen Netzwerkzugangsserver eines Zugangsnetzwerkes, wobei der Authentisie- rungsserver nach Empfang von Netzwerkzugangsserver-Parametern von dem Netzwerkzugangsserver eine Vertrauenswürdigkeit des Netzwerkzugangsservers ermittelt und in Abhängigkeit von der ermittelten Vertrauenswürdigkeit des Netzwerkzugangsservers Authentisierungsserver-Credentials selektiert, mittels der sich der Authentisierungsserver bei dem mobilen Endgerät au- thentisiert .
Die Erfindung schafft ferner ein mobiles Endgerät MS, das zum Aufbau einer geschützten Datenverbindung zu einem Netzwerk über einen Netzwerkzugangsserver eines Zugangsnetzwerkes einen Sicherheitsmechanismus SM zum Schutz der Datenverbindung in Abhängigkeit von den Authentisierungsserver-Credentials CAS selektiert, mittels der sich ein Authentisierungsserver AS bei dem mobilen Endgerät MS authentisiert .
Im Weiteren werden bevorzugte Ausführungsformen des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Servers unter Bezugnahme auf die beigefügten Figuren zur Erläuterung erfindungswesentlicher Merkmale näher beschrieben.
Es zeigen:
Figur 1 einen Authentisierungsvorgang zwischen einem mobilen Endgerät MS und einem Authentisierungsserver AS nach dem Stand der Technik;
Figur 2 einen Authentisierungsvorgang zwischen einem mobilen Endgerät MS und einem Authentisierungsserver AS nach dem Stand der Technik im Detail;
Figur 3 die Struktur eines x509-Zertifikats nach dem Stand der Technik; Figur 4 ein Netzwerkverbund mit mehreren Zugangsnetzwerken, die über Authentisierungs-Proxy-Server mit einem Au- thentisierungsserver gemäß der Erfindung verbunden sind;
Figur 5 ein Signaldiagramm zur Darstellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens;
Figur 6 ein weiteres detailliertes Signaldiagramm zur Dar- Stellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens;
Figur 7 eine mögliche Ausführungsform eines bei einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens eingesetzten Zertifikats;
Figur 8 eine weitere Ausführungsform eines bei einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens eingesetzten Zertifikats.
Figur 2 zeigt einen Authentisierungsvorgang zwischen einem mobilen Endgerät MS und einem Authentisierungsserver AS über einen Netzwerkzugangsserver NWZS unter Verwendung eines EAP- Protokolls. Bei der in Figur 2 dargestellten EAP-Methode handelt es sich um eine EAP-TLS (Transport Layer Security) - Methode. Nach Aufbau einer Funkverbindung zwischen dem Teilnehmer und dem Authentikator bzw. Netzwerkzugangsserver NWZS wird die Identität des Teilnehmers bzw. des mobilen Endgerätes MS durch den Netzwerkzugangsserver angefragt und anschließend die Identität MyID des mobilen Endgeräts MS an den Authentisierungsserver AS übertragen. Anschließend erfolgt die eigentliche Authentisierung zwischen dem mobilen Endgerät MS und dem Authentisierungsserver AS in einem Handshake- Verfahren. Dabei werden in dem dargestellten Beispiel zwischen dem Authentisierungsserver AS und dem mobilen Endgerät MS gegenseitig Credentials C in Form von Zertifikaten Z ausgetauscht. Der Authentisierungsserver AS überträgt ein Au- thentisierungsserver-Credential CAs in Form eines TLS-Server- Zertifikats an das mobile Endgerät MS und dieses überträgt in seiner Antwort ein Teilnehmer-Credential CMs in Form eines TLS-Client-Zertifikats . Figur 3 zeigt die Struktur eines herkömmlichen x509v3-Zertifikats nach dem Stand der Technik, das im Rahmen der EAP-Authentisierung gemäß Figur 2 verwendet wird.
Bei dem erfindungsgemäßen Verfahren werden die zwischen dem mobilen Endgerät MS und dem Authentisierungsserver AS ausge- tauschten Credentials bzw. Zertifikate dazu benutzt, weitere Informationen bzw. Parameter zu übertragen, ohne die EAP- Methode selbst zu verändern, wobei übertragene Informationen sicher gegenüber Manipulationen des Netzwerkzugangsbetreibers sind.
Figur 4 zeigt den Aufbau eines Netzwerkverbundes mit mehreren Zugangsnetzwerken ZNW. Die Zugangsnetzwerke ZNW können Zugangsnetzwerke verschiedener Technologien sein, beispielsweise ein Mesh-Netzwerk, ein WLAN-Zugangsnetzwerk oder ein Wi- Max-Zugangsnetzwerk. Bei dem in Figur 4 dargestellten Beispiel möchte beispielsweise ein Teilnehmer bzw. ein mobiles Endgerät MS eine Datenverbindung zu einer beliebigen Netzwerkkomponente über einen WLAN-Hotspot als Netzwerkzugangsserver aufbauen und muss sich hierzu bei seinem Authentisie- rungsserver AS dazu autorisieren lassen. Bei dem erfindungsgemäßen Verfahren wird die Datenverbindung zwischen dem mobilen Endgerät MS und dem Netzwerkzugangsserver durch einen aktivierten Sicherheitsmechanismus SM zum Schutz der Datenverbindung durch das mobile Endgerät MS aktiviert. Die Selektion des zu verwendenden Sicherheitsmechanismus SM erfolgt in Abhängigkeit von einer ermittelten Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS. Diese Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS wird durch den Authentisierungsserver AS ermittelt. Dabei ermittelt der Authentisierungsser- ver AS die Vertrauenswürdigkeit des Netzwerkzugangsservers
NWZS in Abhängigkeit von empfangenen Netzwerkzugangsserverpa- rametern und empfangenen Authentisierungs-Proxy-Server- Parametern. Die verschiedenen Zugangsnetzwerke ZNW und deren Zugangsnetzwerkserver NZWS bzw. Authentikatoren sind über Zwischennetze mit dem Heimatnetz des mobilen Endgeräts MS bzw. des Teilnehmers verbunden. In den Zwischennetzen befinden sich Authentisierungs-Proxy-Server zum Weiterleiten der Nachrichten. Jedes der in Figur 4 dargestellten Netzwerke, d. h. die Zugangsnetzwerke ZNWA, ZNWB, ZNWC sowie die Zwischen- Netzwerke und das Heimatnetzwerk können durch unterschiedliche Netzwerkbetreiber bzw. Operatoren betrieben werden. Bei dem in Figur 4 dargestellten Beispiel befinden sich in dem Heimatnetzwerk AS neben dem Authentisierungsserver AS des Endgeräts MS ein VPN-Server.
Figur 5 zeigt ein Signaldiagramm zur Darstellung einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens. Nach Aufbau einer Funkverbindung zwischen dem mobilen Endgerät MS und einem Netzwerkzugangsserver NWZS, wie beispielsweise dem in Figur 4 dargestellten WLAN-Hotspot, werden Parameter des Netzwerkzugangsservers NWZS-P über einen oder mehrere Authentisierungs-Proxy-Server in Zwischennetzen an den in dem Hei- matnetz befindlichen Authentisierungsserver AS übertragen. Dabei fügt jeder Authentisierungsserver bzw. Authentisierungs-Proxy-Server entlang des Authentisierungs-Signalpfades ASP weitere Informationen bzw. Parametern hinzu. Der Authentisierungsserver AS erhält somit Netzwerkserverparameter NWZS-P und Authentisierungs-Proxy-Server-Parametern A-Proxy- P. Bei dem Netzwerkzugangsserverparameter NWZS-P handelt es sich beispielsweise um eine IP-Adresse des Netzwerkzugangsserver NWZS, eine MAC-Adresse des Netzwerkzugangsserver NWZS oder um eine Identität des Netzwerkbetreibers des Zugangs- netzwerkes. Bei den Authentisierungs-Proxy-Server-Parametern A-Proxy-P kann es sich um die IP-Adressen der Authentisierungs-Proxy-Server entlang des Authentisierungs-Signalpfades ASP, um MAC-Adressen der jeweiligen Authentisierungs-Proxy- Server und um Identitäten der Betreiber der jeweiligen Au- thentisierungs-Proxy-Server handeln. Aus den empfangenen Parametern bzw. Informationen über die im Authentisierungs- Signalpfad ASP befindlichen Authentisierungs-Proxy-Server und dem Netzwerkzugangsserver ermittelt der Authentisierungsser- ver AS eine Vertrauenswürdigkeit des jeweiligen Netzwerkzugangsserver NSWZS. Ist beispielsweise der Betreiber eines Zugangsnetzwerkes dem Betreiber des Heimatnetzwerkes relativ unbekannt und/oder sind die Betreiber der Zwischennetzwerke entlang des Authentisierungssignalpfades ebenfalls unbekannt, ist die Vertrauenswürdigkeit der beteiligten Komponenten entlang des Authentisierungssignalpfades ASP relativ gering und der Authentisierungsserver AS wird dies dem mobilen Endgerät MS mittels Credentials CAs mitteilen, die er während des Au- thentisierungsprotokolls, beispielsweise während des EAP- Authentisierungsprotokolls an das mobile Endgerät MS überträgt. Die Information über die Vertrauenswürdigkeit des Netzwerkzugangsservers wird gewissermaßen mittels der selektierten Authentisierungsserver-Credentials CAs eincodiert, ohne das EAP-Protokoll selbst zu verändern. Das mobile Endgerät MS, welches die in Abhängigkeit von der ermittelten Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS selektierten Authentisierungsserver-Credential CAS über den Netzwerkzugangsserver NWZS empfängt aktiviert anhand der empfangenen Authentisierungsserver-Credentials CAs gegebenenfalls einen zusätzlichen Schutzmechanismus SM. Ein derartiger zusätzlicher Schutzmechanismus SM besteht beispielsweise in dem Aufbau eines VPN (Virtual Private Network) -Tunnels zu dem in Figur 4 dargestellten VPN-Server. Ein weiterer möglicher Si- cherheitsmechanismus SM besteht in der Aktivierung eines konfigurierbaren Datenpaketfilters PF durch das mobile Endgerät MS. Erkennt das mobile Endgerät MS anhand der empfangenen Au- thentisierungsserver-Credentials CAS, dass die Vertrauenswürdigkeit des Zugangsnetzwerkservers ZNW hoch ist, kann auf die Aktivierung eines zusätzlichen Sicherheitsmechanismus SM verzichtet werden. Erkennt das mobile Endgerät MS umgekehrt, dass die Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS des Zugangsnetzwerkes von dem Authentisierungsserver AS als relativ gering eingestuft wird, aktiviert es mindestens einen zusätzlichen Schutzmechanismus SM beim Austausch von Daten über die Funkstrecke mit dem Zugangsnetzwerkserver. Dieser Schutzmechanismus SM wird zusätzlich zu der kryptographischen Verschlüsselung der übertragenen Daten aktiviert. Die Über- mittlung der Information über die Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS kann einerseits durch eine explizite Anweisung des Authentisierungsservers AS in Form einer Erweiterung eines bestehenden Authentisierungsserver- Credentials CAs, beispielsweise einer Erweiterung eines x509- Zertifikats erfolgen oder andererseits implizit durch die Verwendung unterschiedlicher Authentisierungsserver- Credentials entsprechend der ermittelten Vertrauenswürdigkeitsstufe des Netzwerkzugangsservers NWZS erfolgen.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das von dem Authentisierungsserver AS selektierte Au- thentisierungsserver-Credential durch ein Zertifikat Z gebildet. Bei diesem Zertifikat Z kann es sich beispielsweise um ein x509-Zertifikat handeln, wie es in Figur 3 dargestellt ist, wobei der Authentisierungsserver dieses mit den entsprechenden Informationen erweitert.
Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens wird das von dem Authentisierungsserver AS selektierte Authentisierungsserver-Credential durch einen geheimen Schlüssel K gebildet.
Die Authentisierung zwischen dem mobilen Endgerät MS und dem Authentisierungsserver AS erfolgt gegenseitig, d. h. das mobile Endgerät MS authentisiert sich bei dem zugehörigen Authentisierungsserver AS und der Authentisierungsserver AS authentisiert sich gegenüber dem mobilen Endgerät MS. Das mobile Endgerät MS authentisiert sich gegenüber dem Authentisie- rungsserver AS durch Übermittlung von mindestens einem Teil- nehmer-Credential CMs • Der Authentisierungsserver AS authentisiert sich gegenüber dem mobilen Endgerät MS durch Übermittlung von mindestens einem Authentisierungsserver- Credential, beispielsweise einem Zertifikat Z oder einem ge- heimen Schlüssel.
Figur 6 zeigt den Authentisierungsvorgang zwischen dem mobilen Endgerät MS und dem Authentisierungsserver AS gemäß einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens im Detail. Bei dem in Figur 6 dargestellten Beispiel wird das eingesetzte Authentisierungsserver-Credential CAs durch ein TLS-Zertifikat gebildet. In Abhängigkeit von dem übertragenen Zertifikat aktiviert das mobile Endgerät MS gegebenenfalls einen Sicherheitsmechanismus SM zum Schutz der Datenverbindung zu dem Netzwerkzugangsserver NWZS.
Figur 7 zeigt ein Beispiel für ein Authentisierungsserver- Credential CAs in Form eines Zertifikats Z, wie es in einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens verwendet wird. Das in Figur 7 dargestellte TLS-Zertifikat enthält neben der Versionsnummer des verwendeten Standards eine Seriennummer des Zertifikats sowie eine Algorithmus- Identifizierung des eingesetzten Algorithmus, beispielsweise MD5 oder MDSHAl. Weiterhin wird eine ID desjenigen generiert, der das Zertifikat Z ausgestellt bzw. generiert hat. Weiterhin enthält das Zertifikat Z eine Gültigkeitsdauer des Zertifikats und ein Thema, auf das sich das Zertifikat bezieht. Neben weiteren Angaben weist das in Figur 7 dargestellte Zertifikat Z spezielle Erweiterungen auf, über welche der Au- thentisierungsserver AS dem mobilen Endgerät MS eine Mitteilung über die Vertrauenswürdigkeit des Netzwerkzugangsservers NWZS gibt. Bei dem in Figur 7 dargestellten Beispiel teilt der Authentisierungsserver AS durch das übertragene TLS-
Zertifikat dem mobilen Endgerät MS mit, dass der Netzwerkzugang nicht vertrauenswürdig ist. Dabei gibt der Authentisierungsserver AS explizit die Anweisung, einen VPN-Tunnel über einen bestimmten VPN-Server (vodafone.com) aufzubauen und zu- sätzlich eine Personal Firewall bzw. einen Paketfilter mit dem Namen "External Untrusted" zu aktivieren. Die Erweiterung codiert die von dem mobilen Endgerät MS bzw. dem Client zu aktivierenden Policy (Client Access Policy) . Das mobile Endgerät MS bzw. der Client decodiert die in der Erweiterung enthaltene Policy und aktiviert anschließend in diesem Falle mehrere Sicherheitsmechanismen SM, nämlich einerseits den Aufbau eines VPN-Tunnels zu dem bezeichneten Server und die Aktivierung einer Personal Firewalls unter der Konfigurationsbezeichnung "External Untrusted".
Figur 8 zeigt ein weiteres Beispiel für ein TLS-Zertifikat, bei dem der Authentisierungsserver AS dem mobilen Endgerät MS mittels einer Zertifikaterweiterung mitteilt, dass der Netzwerkzugangsserver vertrauenswürdig ist. In dem gegebenen Beispiel wird das mobile Endgerät MS angewiesen, keinen VPN- Tunnel aufzubauen und einen Datenpaketfilter PF mit der Be- Zeichnung "Internal Trusted" einzusetzen. Der Client bzw. die Mobilstation MS decodiert die in den Erweiterungen enthaltene Policy und kommuniziert bei dem angegebenen Beispiel direkt ohne Aufbau eines VPN-Tunnels. Weiterhin aktiviert das mobile Endgerät MS seine Personal Firewall unter der Konfiguration "Internal Trusted".
Der Authentisierungsservers AS verfügt bei dem erfindungsgemäßen Verfahren über mindestens zwei unterschiedliche Zertifikate. Dabei kann es sich um ein Root-, Zwischen- oder ein Leaf-Zertifikat handeln. Der Unterschied zwischen den verschiedenen Zertifikaten Z kann in einem Attribut des Zertifikats Z bestehen, in einem zertifizierten Schlüssel oder in dem zum Zertifizieren verwendeten Schlüssel, d. h. desjenigen Schlüssels, der zum Signieren des Zertifikats Z verwendet wird. Abhängig davon, von wem der Authentisierungsserver AS angesprochen wird, d. h. welcher Authentikator bzw. Netzwerkzugangsserver NWZS ihn anspricht, selektiert der Authentisierungsserver AS eines der vorhandenen Zertifikate Z bzw. generiert ein entsprechend erweitertes neues Zertifikat Z.
Der Authentisierungsserver AS wählt bzw. erzeugt dynamisch für seine eigene Authentisierung bei dem mobilen Endgerät MS ein Credential bzw. Zertifikat, in dem Parameter stehen, die der Authentisierungsserver AS an den Client MS übermitteln möchte. Diese Parameter sind beispielsweise Policy Informationen oder auch Konfigurationsparameter, die für das von dem mobilen Endgerät MS verwendete Zugangsnetz gelten. Welches Zugangsnetz eingesetzt wird, ist durch entsprechende Radius- /Diameter-Attribute erkennbar, beispielsweise aus der Authen- tikator-ID.
Die Übertragung der Parameter erfolgt bei dem erfindungsgemä- ßen Verfahren dadurch, dass bei einer EAP-Anmeldung, die Server-Zertifikate bzw. Server-Credentials einsetzt, insbesondere bei EAP-TLS-, EAP-TTLS der Authentisierungsserver AS für seine Authentisierung ein Zertifikat Z verwendet, das die entsprechenden Informationen codiert enthält. Da das Zertifi- kat Z bzw. das Authentisierungsserver-Credential CAs an die Mobilstation MS übertragen wird bzw. das jeweils verwendete Zertifikat Z dem mobilen Endgerät MS bekannt ist, kann das mobile Endgerät MS in Abhängigkeit von der enthaltenen Information über die Vertrauenswürdigkeit des Zugangsnetzwerkes ZNW einen entsprechenden Sicherheitsmechanismus SM aktivieren bzw. die Verbindung vollständig unterbrechen. Da die übertragenen Zertifikate Z geschützt sind und da der dadurch zerti- fizierte Schlüssel von dem Authentisierungsserver 1 in dem Rahmen des Authentisierungsprotokolls verwendet wird, kann die übertragene Information über die Vertrauenswürdigkeit nicht durch das Zugangsnetz bzw. dem Authentikator oder durch ein Zwischennetz bzw. einen Authentisierungs-Proxy-Server manipuliert werden.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens setzt der Authentisierungsserver AS für seine Authentisierung abhängig vom verwendeten Zugangsnetz, der Technologie des eingesetzten Zugangsnetzes unterschiedliche Authentisierungs- sicherheitsparameter bzw. Credentials ein, wie beispielsweise kryptographische Schlüssel oder Zertifikate Z. Dies kann unterschiedliche Zertifikate Z umfassen, beispielsweise Leaf- Zertifikate, Zwischen-Zertifikate oder auch Wurzel- Zertifikate .
Das Authentisierungsserver-Credential CAs kann durch den Authentisierungsserver AS aus einer vorgegebenen Gruppe bzw. Menge vorhandener Credentials ausgewählt werden oder dynamisch "on the fly" mit passenden Informationen erweitert wer- den. Beispielsweise verfügt der Authentisierungsserver AS ü- ber ein Zwischenzertifikat mit dem jeweils passenden Nebenzertifikate zertifiziert werden. Dabei werden die jeweils gewünschten Informationen in dem Leaf-Zertifikat eingetragen. Der EAP-Client bzw. die Mobilstation MS ermittelt anhand der vom Authentisierungsserver AS eingesetzten Authentisierungs- server-Credentials eine Information zu der EAP- Authentisierung . Im einfachsten Fall kann die Information lediglich ein Flag darstellen, beispielsweise "VPN ja/nein" o- der "Personal Firewall ja/nein". Andererseits ist es möglich, eine umfangreichere Policy-Beschreibung, beispielsweise als Liste von Attributwert-Paaren AVP (Attribute Value Pair) zur Verfügung zu stellen.
Ein Beispiel für eine derartig übertragene Information lautet wie folgt:
VPN: yes
VPN Server: 1.2.3.4 Personal Firewall: activate
Personal Firewall Profile: Internet
Entsprechendes gilt, wenn das mobile Endgerät MS seinerseits Client-Credentials bzw. Teilnehmer-Credentials CMs überträgt. Hierbei kann die Mobilstation MS dem Authentisierungsserver AS geschützte Informationen zur Übertragung entsprechender Teilnehmer-Credentials CMs mitteilen. Bei einer möglichen Ausführungsform erfolgt ein Konsistenz-Check bei der von der Mobilstation MS beabsichtigten Anmeldung, d. h. der Authenti- sierungsserver AS wird von der Mobilstation MS darüber informiert, für welchen Zweck die Mobilstation MS diese EAP- Authentisierung vornimmt. Der Authentisierungsserver AS überprüft die übertragenen Informationen bzw. Angaben daraufhin, ob mit dem von dem Authentikator gesendeten Radius-/Diameter- Attributen übereinstimmen bzw. zu diesen passen. Die Mobilstation MS kann auf diese Weise beliebige Parameter geschützt an den Authentisierungsserver AS senden bzw. an diesen übertragen, beispielsweise auch über einen aktuellen Software- Versionsstand, d. h. beispielsweise installierte Software- Packages. Dies ermöglicht dem Authentisierungsserver AS, dem Authentikator bzw. dem Netzwerkzugangsserver NWZS eine entsprechende Policy (Redirect Packet Filter) zu schicken. Hier- durch kann der Authentisierungsserver AS festlegen, ob dem mobilen Endgerät MS mit dieser Softwarekonfiguration bzw. diesem Software-Versionsstand voller Zugriff erlaubt wird o- der nur ein eingeschränkter Netzwerkzugriff. Ein eingeschränkter Netzwerkzugriff erlaubt beispielsweise nur das La- den von Patches.
Bei einer weiteren Ausführungsform codieren sowohl die übertragenen Teilnehmer-Credentials CMs bzw. Client-Zertifikate als auch die von dem Server übertragenen Authentisierungsser- ver-Credentials CAs bzw. Server-Zertifikate Sicherheitsparameter, die zwischen dem mobilen Endgerät MS und dem Authentisierungsserver AS ausgetauscht werden. Da sich der Authentisierungsserver AS üblicherweise zuerst authentisiert, findet die Informationsübertragung zuerst von dem Authentisierungs- Server AS an die Mobilstation MS und erst danach von der Mobilstation MS bzw. dem Client an den Authentisierungsserver AS statt.
Das erfindungsgemäße Verfahren erlaubt die gesicherte Infor- mationsdatenübertragung von dem Authentisierungsserver AS zu dem mobilen Endgerät MS und ist für EAP-Methoden verwendbar, die beispielsweise ein Zertifikat Z einsetzen. Bei diesen EAP-Methoden handelt es sich insbesondere um EAP-TLS. Diese EAP-Methoden müssen zur Informationsübertragung nicht modifi- ziert werden.

Claims

Patentansprüche
1. Verfahren zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät (MS) und einem Netzwerk über einen Netzwerkzugangsserver (NWZS) eines Zugangsnetzwerkes (ZNW), wobei nach erfolgreicher Authentisierung eines Authentisie- rungsservers (AS) bei dem mobilen Endgerät (MS) mittels mindestens eines von dem Authentisierungsserver (AS) in Abhän- gigkeit von einer Vertrauenswürdigkeit des Netzwerkzugangsservers (NWZS) selektierten Authentisierungsserver- Credentials (CAs) ein Sicherheitsmechanismus (SM) zum Schutz der Datenverbindung durch das mobile Endgerät (MS) aktiviert wird.
2. Verfahren nach Anspruch 1, wobei das mobile Endgerät (MS) als Sicherheitsmechanismus (SM) einen VPN (Virtual Private Network) -Tunnel zu einem VPN- Server aufbaut.
3. Verfahren nach Anspruch 1, wobei das mobile Endgerät (MS) als Sicherheitsmechanismus (SM) ein konfigurierbares Datenpaketfilter (PF) aktiviert.
4. Verfahren nach Anspruch 1, wobei ein von dem Authentisierungsserver (AS) selektiertes Authentisierungsserver-Credential (CAs) durch ein Zertifikat (Z) gebildet wird.
5. Verfahren nach Anspruch 4, wobei das Zertifikat (Z) durch ein X509-Zertifikat gebildet wird.
6. Verfahren nach Anspruch 4, wobei das von dem Authentisierungsserver (AS) selektierte Au- thentisierungsserver-Credential (CAS) durch einen geheimen Schlüssel (K) gebildet wird.
7. Verfahren nach Anspruch 1, wobei sich das mobile Endgerät (MS) zur gegenseitigen Authen- tisierung bei dem Authentisierungsserver (AS) mittels mindestens einem Teilnehmer-Credential (CMs) authentisiert .
8. Verfahren nach Anspruch 1 und 7, wobei die Authentisierung über ein EAP (Extendable Authenti- cation) -Protokoll gemäß einer EAP-Methode erfolgt.
9. Verfahren nach Anspruch 8, wobei die EAP-Methode durch eine EAP-TLS (Transport Layer SE- curity) -Methode, eine EAP-TTLS-Methode oder durch eine PEAP- Methode (Protected EAP) gebildet wird.
10. Verfahren nach Anspruch 1, wobei der Authentisierungsserver (AS) durch einen AAA-Server in einem Heimatnetz des mobilen Endgerätes (MS) gebildet wird.
11. Verfahren nach Anspruch 1, wobei nach Aufbau einer Funkverbindung zwischen dem mobilen Endgerät (MS) und dem Netzwerkzugangsserver (NWZS) der Authentisierungsserver (AS) Netzwerkzugangsserver-Parameter von dem Netzwerkzugangsserver (NWZS) empfängt.
12. Verfahren nach Anspruch 11, wobei die Netzwerkzugangsserver-Parameter eine IP-Adresse des Netzwerkzugangsservers (NWZS), eine MAC-Adresse des Netzwerkzugangsservers (NWZS) und eine Identität des Netzwerkbetreibers des Zugangsnetzwerkes (ZNW) aufweisen.
13. Verfahren nach Anspruch 11, wobei die Netzwerkzugangsserver-Parameter über mindestens ei- nen Authentisierungs-Proxy-Server von dem Netzwerkzugangsserver (NWZS) an den Authentisierungsserver (AS) übertragen werden .
14. Verfahren nach Anspruch 13, wobei der Authentisierungsserver (AS) Authentisierungs-Proxy-
Server-Parameter der Authentisierungs-Proxy-Server empfängt.
15. Verfahren nach Anspruch 14, wobei die Authentisierungs-Proxy-Server-Parameter IP-Adressen der Authentisierungs-Proxy-Server, MAC-Adressen der Authentisierungs-Proxy-Server und Identitäten der Betreiber der Authentisierungs-Proxy-Server aufweisen.
16. Verfahren nach Anspruch 11, 14, wobei der Authentisierungsserver (AS) die Vertrauenswürdigkeit des Netzwerkzugangsservers in Abhängigkeit von den emp- fangenen Netzwerkzugangsserver-Parametern und den empfangenen Authentisierungs-Proxy-Server-Parametern ermittelt .
17. Verfahren nach Anspruch 1, wobei der Authentisierungsserver (AS) die Authentisierungs- server-Credentials aus einer vorgegebenen Gruppe von Authen- tisierungsserver-Credentials selektiert und bei seiner Au- thentisierung bei dem mobilen Endgerät MS einsetzt.
18. Verfahren nach Anspruch 1, wobei der Authentisierungsserver (AS) vorgegebene Authenti- sierungsserver-Credentials durch Angaben zu auswählbaren Sicherheitsmechanismen (SM) erweitert.
19. Verfahren nach Anspruch 1, wobei das Zugangsnetzwerk (ZNW) durch ein WLAN-, ein WiMax- oder durch eine Mesh-Zugangsnetzwerk gebildet wird.
20. Verfahren nach Anspruch 1, wobei der Netzwerkzugangsserver durch einen Authentikatorser- ver gebildet wird.
21. Authentisierungsserver (AS) zum Bereitstellen einer geschützten Datenverbindung zwischen einem mobilen Endgerät (MS) und einem Netz über einen Netzwerkzugangsserver (NWZS) eines Zugangsnetzwerkes (ZNW), wobei der Authentisierungsserver (AS) nach Empfang von Netzwerkzugangsserver-Parametern von dem Netzwerkzugangsserver (NWZS) eine Vertrauenswürdigkeit des Netzwerkzugangsservers (NWZS) ermittelt und in Abhängigkeit von der ermittelten Vertrauenswürdigkeit des Netzwerkzugangsservers (NWZS) Authenti- sierungsserver-Credentials (CAS) selektiert, mittels derer sich der Authentisierungsserver (AS) bei dem mobilen Endgerät (MS) authentisiert.
22. Mobiles Endgerät (MS), das zum Aufbau einer geschützten Datenverbindung zu einem Netzwerk über einen Netzwerkzugangsserver (NWZS) eines Zugangsnetzwerkes (ZNW) einen Sicher- heitsmechanismus (SM) zum Schutz der Datenverbindung in Abhängigkeit von Authentisierungsserver-Credentials (CAs) selektiert, mittels derer sich ein Authentisierungsserver (AS) bei dem mobilen Endgerät (MS) authentisiert.
PCT/EP2007/063158 2006-12-19 2007-12-03 Verfahren und server zum bereitstellen einer geschützten datenverbindung WO2008074621A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102006060040A DE102006060040B4 (de) 2006-12-19 2006-12-19 Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung
DE102006060040.1 2006-12-19

Publications (1)

Publication Number Publication Date
WO2008074621A1 true WO2008074621A1 (de) 2008-06-26

Family

ID=39271076

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2007/063158 WO2008074621A1 (de) 2006-12-19 2007-12-03 Verfahren und server zum bereitstellen einer geschützten datenverbindung

Country Status (2)

Country Link
DE (1) DE102006060040B4 (de)
WO (1) WO2008074621A1 (de)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11695799B1 (en) 2021-06-24 2023-07-04 Airgap Networks Inc. System and method for secure user access and agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11711396B1 (en) 2021-06-24 2023-07-25 Airgap Networks Inc. Extended enterprise browser blocking spread of ransomware from alternate browsers in a system providing agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11722519B1 (en) 2021-06-24 2023-08-08 Airgap Networks Inc. System and method for dynamically avoiding double encryption of already encrypted traffic over point-to-point virtual private networks for lateral movement protection from ransomware
US11736520B1 (en) 2021-06-24 2023-08-22 Airgap Networks Inc. Rapid incidence agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11757933B1 (en) 2021-06-24 2023-09-12 Airgap Networks Inc. System and method for agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11757934B1 (en) 2021-06-24 2023-09-12 Airgap Networks Inc. Extended browser monitoring inbound connection requests for agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11916957B1 (en) 2021-06-24 2024-02-27 Airgap Networks Inc. System and method for utilizing DHCP relay to police DHCP address assignment in ransomware protected network
US12057969B1 (en) 2021-06-24 2024-08-06 Airgap Networks, Inc. System and method for load balancing endpoint traffic to multiple security appliances acting as default gateways with point-to-point links between endpoints
US12058171B1 (en) 2021-06-24 2024-08-06 Airgap Networks, Inc. System and method to create disposable jump boxes to securely access private applications
US12074906B1 (en) 2021-06-24 2024-08-27 Airgap Networks Inc. System and method for ransomware early detection using a security appliance as default gateway with point-to-point links between endpoints

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102015214267A1 (de) 2015-07-28 2017-02-02 Siemens Aktiengesellschaft Verfahren und System zum Erzeugen eines sicheren Kommunikationskanals für Endgeräte

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060259759A1 (en) * 2005-05-16 2006-11-16 Fabio Maino Method and apparatus for securely extending a protected network through secure intermediation of AAA information

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI114953B (fi) * 2001-09-28 2005-01-31 Nokia Corp Menetelmä käyttäjän tunnistamiseksi päätelaitteessa, tunnistusjärjestelmä, päätelaite ja käyttöoikeuksien varmistuslaite
GB0221674D0 (en) * 2002-09-18 2002-10-30 Nokia Corp Linked authentication protocols

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060259759A1 (en) * 2005-05-16 2006-11-16 Fabio Maino Method and apparatus for securely extending a protected network through secure intermediation of AAA information

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
ARKKO WORKING GROUP ERICSSON P ERONEN NOKIA J: "Authenticated Service Information for the Extensible Authentication Protocol (EAP); draft-arkko-eap-service-identity-auth-04.txt", IETF STANDARD-WORKING-DRAFT, INTERNET ENGINEERING TASK FORCE, IETF, CH, no. 4, 24 October 2005 (2005-10-24), XP015042022, ISSN: 0000-0004 *
VIRENDRA M ET AL: "SWAN: A Secure Wireless LAN Architecture", COMPUTATIONAL SYSTEMS BIOINFORMATICS CONFERENCE, 2004. CSB 2004. PROCEEDINGS. 2004 IEEE TAMPA, FL, USA 16-18 NOV. 2004, LOS ALAMITOS, CA, USA,IEEE (COMPUT. SOC, US, 16 November 2004 (2004-11-16), pages 216 - 223, XP010753077, ISBN: 0-7695-2260-2 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11695799B1 (en) 2021-06-24 2023-07-04 Airgap Networks Inc. System and method for secure user access and agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11711396B1 (en) 2021-06-24 2023-07-25 Airgap Networks Inc. Extended enterprise browser blocking spread of ransomware from alternate browsers in a system providing agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11722519B1 (en) 2021-06-24 2023-08-08 Airgap Networks Inc. System and method for dynamically avoiding double encryption of already encrypted traffic over point-to-point virtual private networks for lateral movement protection from ransomware
US11736520B1 (en) 2021-06-24 2023-08-22 Airgap Networks Inc. Rapid incidence agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11757933B1 (en) 2021-06-24 2023-09-12 Airgap Networks Inc. System and method for agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11757934B1 (en) 2021-06-24 2023-09-12 Airgap Networks Inc. Extended browser monitoring inbound connection requests for agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11916957B1 (en) 2021-06-24 2024-02-27 Airgap Networks Inc. System and method for utilizing DHCP relay to police DHCP address assignment in ransomware protected network
US12057969B1 (en) 2021-06-24 2024-08-06 Airgap Networks, Inc. System and method for load balancing endpoint traffic to multiple security appliances acting as default gateways with point-to-point links between endpoints
US12058171B1 (en) 2021-06-24 2024-08-06 Airgap Networks, Inc. System and method to create disposable jump boxes to securely access private applications
US12074906B1 (en) 2021-06-24 2024-08-27 Airgap Networks Inc. System and method for ransomware early detection using a security appliance as default gateway with point-to-point links between endpoints

Also Published As

Publication number Publication date
DE102006060040B4 (de) 2009-09-17
DE102006060040A1 (de) 2008-06-26

Similar Documents

Publication Publication Date Title
DE102006060040B4 (de) Verfahren und Server zum Bereitstellen einer geschützten Datenverbindung
EP3125492B1 (de) Verfahren und system zum erzeugen eines sicheren kommunikationskanals für endgeräte
EP2052487B1 (de) Verfahren und anordnung zum bereitstellen eines drahtlosen mesh-netzwerks
DE102014224694B4 (de) Netzwerkgerät und Netzwerksystem
DE102005028663B4 (de) Verfahren und Vorrichtung zum sicheren Kommunizieren einer Komponente eines Fahrzeugs über eine drahtlose Kommunikationsverbindung mit einem externen Kommunikationspartner
DE102006038591B4 (de) Verfahren und Anordnung zum Bereitstellen eines drahtlosen Mesh-Netzwerks
DE112016002319T5 (de) Verfahren und vorrichtung zur initialzertifikatregistrierung in einem drahtlosen kommunikationssystem
DE102004045147A1 (de) Einstellungsinformations-Verteilungsvorrichtung, Verfahren, Programm und Medium, Authentifizierungseinstellungs-Transfervorrichtung, Verfahren, Programm und Medium und Einstellungsinformations-Empfangsprogramm
DE112006000618T5 (de) System und Verfahren zur Verteilung von Schlüsseln in einem drahtlosen Netzwerk
EP1673921B1 (de) Verfahren zur sicherung des datenverkehrs zwischen einem mobilfunknetz und einem ims-netz
EP3759958B1 (de) Verfahren, vorrichtung und computerprogrammprodukt zur überwachung einer verschlüsselten verbindung in einem netzwerk
DE102017212474A1 (de) Verfahren und Kommunikationssystem zur Überprüfung von Verbindungsparametern einer kryptographisch geschützten Kommunikationsverbindung während des Verbindungsaufbaus
EP1468520B1 (de) Verfahren zur datenverkehrssicherung in einer mobilen netzumgebung
DE102014212443A1 (de) Verringerung des Speicherbedarfs für kryptographische Schlüssel
DE102010011656B4 (de) Verfahren und Vorrichtung zum kryptographischen Sichern einer Datenübertragung zwischen Netzwerkknoten
DE102007003492B4 (de) Verfahren und Anordnung zum Bereitstellen eines drahtlosen Mesh-Netzwerks
EP4199550B1 (de) Verfahren zum übermitteln eines nachrichteninhalts in verschlüsselter form zwischen einem ersten kommunikationsteilnehmer und wenigstens einem zweiten kommunikationsteilnehmer, system, telekommunikationsnetz, computerprogramm und computerlesbares medium
EP4179758B1 (de) Authentisierung eines kommunikationspartners an einem gerät
WO2004098218A1 (de) Verfahren zur installation oder deinstallation eines programmcodes in einer teilnehmerstation eines funkkommunikationssystems sowie teilnehmerstation
WO2008074620A2 (de) Verfahren und server zum bereitstellen eines zweckgebundenen schlüssels
WO2010127806A1 (de) Verfahren zur mitbenutzung drahtloser zugangspunkte zu einem kommunikationsnetzwerk
DE102023103260A1 (de) Verfahren zum Aufbauen einer Kommunikationsverbindung zwischen einer Applikationssoftware in einer Applikations-Laufzeitumgebung eines Kraftfahrzeugs zu einem fahrzeugexternen Dienstanbieter sowie zugehöriges Datennetzwerk, Kraftfahrzeug und Applikationssoftware
DE202022101783U1 (de) Intelligentes Managementsystem für die sichere Verbindung mehrerer mobiler Zahlungsanwendungen gegen Sicherheitslücken
DE102022208754A1 (de) Authentifizierungsverfahren
EP1985086B1 (de) Verfahren zur übermittlung von daten in einem kommunikationsnetz

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07847669

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07847669

Country of ref document: EP

Kind code of ref document: A1