Secuencia Inicial segura para comunicaciones inalámbricas.

Un procedimiento de autenticación de un terminal móvil (102) heredado para comunicar con una función (108) deaplicación de red,

que comprende:

la generación (402) de una interpelación de autenticación en una función (106) de servidor de secuencia inicial;incluyendo la interpelación de autenticación un primer número aleatorio como un primer parámetro, una clavepública en base al menos en parte al número aleatorio y una firma en base al menos en parte al númeroaleatorio, la clave pública y una clave privada;

el envío (402) de la interpelación de autenticación al terminal móvil (102), en el que el terminal móvil puedeverificar el origen de la interpelación de autenticación en base a un certificado del servidor de secuencia inicialobtenido previamente asociado con la función (106) de servidor de secuencia inicial;

la recepción (408) de una respuesta de autenticación en la función (106) de servidor de secuencia inicial queincluye un segundo número aleatorio y un segundo parámetro calculado con una copia de la clave privadagenerada en el terminal móvil en base al menos en parte al primer número aleatorio y a una clave secretaprecompartida almacenada en un módulo (204) de identificación de abonado en el terminal móvil; y

la generación (410) de una clave mutuamente autenticada en la función (106) de servidor de secuencia inicialen base al menos en parte al primer número aleatorio, al segundo número aleatorio y a la primera claveprivada, caracterizado porque el procedimiento comprende adicionalmente:

la verificación (514) de si la respuesta de autenticación se originó desde el terminal móvil mediante elrecálculo del primer parámetro en la función (106) de servidor de secuencia inicial en base a una segundaclave proporcionada a la función de servidor de secuencia inicial.

Secuencia Inicial segura para comunicaciones inalámbricas Antecedentes Campo La presente invención se refiere, en general, a sistemas y procedimientos para asegurar las comunicaciones inalámbricas. Más específicamente, una característica de la invención proporciona un esquema novedoso de autenticación y conformidad de claves para dispositivos que soportan mecanismos de autenticación de red heredados, para proporcionar claves de seguridad de la aplicación aprovechando la autenticación inalámbrica heredada y los mecanismos de conformidad de claves.

Antecedentes Un tipo de tecnología celular para las comunicaciones inalámbricas se define mediante el protocolo del Sistema Global para Móviles (GSM) , que funciona en redes de telefonía inalámbrica de la segunda generación (2G) . El GSM se extiende además mediante redes más nuevas, tal como el Servicio de Paquetes de Radio General (GPRS) , también conocidas como redes 2.5G, que ofrecen contenido de Internet y servicios de datos basados en paquetes para redes GSM. El GSM y el GPRS se usan para muchos tipos de comunicaciones inalámbricas que incluyen datos de voz, navegación por Internet, e-mail y multimedia. El GSM incorpora varios mecanismos de seguridad para proteger el contenido comunicado a través de tales sistemas. Los proveedores de servicios y asimismo los usuarios confían en estos mecanismos de seguridad para la privacidad de sus comunicaciones y la protección de sus datos y los proveedores de servicios usan estas medidas de seguridad para autenticar a sus abonados con finalidades de facturación. Estos mecanismos de seguridad funcionan típicamente mediante la autenticación de los terminales móviles del usuario en la red y pudiendo cifrar las transmisiones posteriores. Sin embargo, las medidas de seguridad GSM son vulnerables al ataque por terceras partes, debido a la debilidad de los protocolos de seguridad GSM, tal como ataques de estaciones base falsas que surgen de una carencia de autenticación de red, la posibilidad de repetición de los protocolos de seguridad y la debilidad en los algoritmos de cifrado GSM.

Estas debilidades de seguridad se acometieron en el desarrollo de los protocolos de seguridad de las normas de comunicación inalámbrica de la tercera generación (3G) . En particular el protocolo de Autenticación y Conformidad de Claves (AKA) desarrollado para el Sistema Universal de Telecomunicaciones Móviles (UMTS) incluye características tales como un número de secuencia y un Código de Autenticación de Mensajes (MAC) que impiden los ataques de estaciones base falsas a las que es susceptible el GSM. Por ello los abonados de móviles que usan un módulo de identidad de servicio de usuario UMTS (USIM) para autenticación de la red no son vulnerables a los ataques planteados contra usuarios de un módulo de identidad de abonado GSM (SIM) .

Las entidades de normalización 3G están desarrollando también una Arquitectura de Autenticación Genérica (GAA) , por ejemplo, en el documento del proyecto de asociación para la tercera generación 3GPP 33.220 Arquitectura de Autenticación Genérica (GAA) , para una arquitectura de la secuencia inicial genérica. Esta arquitectura descansa en el protocolo AKA 3G para establecer claves entre un equipo de usuario (UE) de un abonado móvil y una nueva entidad de servidor conocida como Función de Servidor de Secuencia Inicial (BSF) . A partir de estas claves se pueden deducir y proporcionar por la BSF claves adicionales a varias Funciones de Aplicación de Red (NAF) , como una forma de establecer las claves de seguridad compartidas entre las NAF y el UE apropiado.

Las técnicas bajo desarrollo descansan en la autenticación 3G y en los procedimientos de conformidad de claves, tal como los soportados en un Módulo de Identidad de Abonado Universal UMTS (USIM) , con sus mejoras de seguridad inherentes comparadas con 2G o sistemas heredados anteriores tal como el GSM. Por ejemplo, la Arquitectura de Autenticación Genérica (GAA) y la Arquitectura de Secuencia Inicial Genérica (GBA) se especifican para las redes 3G y se construyen sobre la infraestructura de seguridad de las redes móviles 3G (es decir, la seguridad basada en USIM) para proporcionar una autenticación mutua segura entre el equipo de usuario móvil y el servidor de red que facilite las aplicaciones y/o servicios de red.

Sin embargo, estas técnicas de autenticación mutua (por ejemplo, GAA y GBA) no están disponibles para sistemas de comunicaciones desarrollados anteriormente (por ejemplo, 2G) , tal como los protocolos de autenticación y conformidad de claves (AKA) de GSM, por ejemplo. Estos protocolos GSM son susceptibles ante ataques por repetición de modo que un atacante puede forzar la reutilización de claves y posiblemente explotar las debilidades en algunos contextos para revelar las claves y con ello debilitar la seguridad. Por ello, se necesita un procedimiento para claves de seguridad para la aplicación de secuencia inicial a partir de la autenticación y conformidad de claves GSM de tal manera que no sea susceptible a ataques por repetición y las claves no se puedan revelar fácilmente.

Por ello, hay una necesidad de establecer técnicas mediante las que se pueda extender la Arquitectura de Autenticación Genérica (GAA) , especificada para redes 3G, para dar soporte a sistemas heredados (por ejemplo, sistemas 2G o anteriores) . Esto permitiría a los abonados con dispositivos GSM u otros, que tengan Módulos de Identidad de Abonado (SIM) , ser provistos con claves para su uso en aplicaciones de redes móviles y/o servicios sin que necesiten la sustitución de sus SIM por las USIM de UMTS. Más aún, tal procedimiento no debería introducir

debilidades en la arquitectura de autenticación genérica debidas a las vulnerabilidades de la autenticación GSM en sí.

Sumario De acuerdo con la invención se proporciona: un procedimiento de autenticación de un terminal móvil heredado tal como se expone en la reivindicación 1; un dispositivo de red para la implementación de una función de servidor de secuencia inicial para autenticar a un terminal móvil, tal como se expone en la reivindicación 9; un procedimiento de autenticación de una función de aplicación de red para comunicar con un terminal móvil heredado tal como se expone en la reivindicación 15; un terminal móvil tal como se expone en la reivindicación 19 y un medio que pueda leer una máquina tal como se expone en la reivindicación 25.

Se proporciona un procedimiento de autenticación mutua para acordar con seguridad las claves de seguridad de la aplicación con terminales móviles que soporten módulos de identidad de abonado heredados (por ejemplo, SIM de GSM y R-UIM de CDMA2000, que no soporten mecanismos AKA de 3G) . Se implementa un intercambio de claves interpelación-respuesta entre la función del servidor de secuencia inicial (BSF) y el terminal móvil (MT) . La BSF recibe unos parámetros de autenticación de la red del Registrador de Localización Local (HLR) que corresponden a este terminal móvil (por ejemplo RAND de GSM, SRES, Kc) y genera una interpelación de autenticación que involucra al RAND y la envía al MT bajo el mecanismo de clave pública autenticada por el servidor. Esta interpelación de autenticación puede incluir parámetros adicionales tal como números aleatorios, información de identidad, marcados de tiempo, números de secuencia y claves públicas de Diffie-Hellman.

El MT recibe la interpelación de autenticación y determina si se ha originado desde la BSF en base a un certificado del servidor de la secuencia inicial. El MT formula una respuesta a la interpelación de autenticación en base a las claves deducidas de la interpelación de autenticación (por ejemplo, un número aleatorio) y a una clave secreta precompartida (por ejemplo, en el SIM de GSM) . Esto es, el SIM en el MT puede deducir claves secretas (por ejemplo SRES y Kc) usadas por la función de servidor de secuencia inicial en base al número aleatorio RAND recibido en la interpelación de autenticación y a la clave secreta precompartida almacenada en el SIM. La respuesta de autenticación puede incluir parámetros adicionales tales como números aleatorios cifrados, una información de identidad, marcas de tiempo, números de secuencia y claves públicas de Diffie-Hellman. La BSF recibe la respuesta de autenticación y determina si se originó desde el MT. El mecanismo de respuesta a la interpelación hace uso de los mecanismos de clave pública para verificar el origen de la interpelación y las claves secretas precompartidas para verificar el origen de la respuesta. Por ejemplo, la BSF puede recalcular independientemente uno o más parámetros en la respuesta de autenticación (por ejemplo usando o en base al RAND, SRES y/o Kc que obtuvo desde el HLR) para... [Seguir leyendo]

1. Un procedimiento de autenticación de un terminal móvil (102) heredado para comunicar con una función (108) de aplicación de red, que comprende:

la generación (402) de una interpelación de autenticación en una función (106) de servidor de secuencia inicial; incluyendo la interpelación de autenticación un primer número aleatorio como un primer parámetro, una clave pública en base al menos en parte al número aleatorio y una firma en base al menos en parte al número aleatorio, la clave pública y una clave privada; el envío (402) de la interpelación de autenticación al terminal móvil (102) , en el que el terminal móvil puede verificar el origen de la interpelación de autenticación en base a un certificado del servidor de secuencia inicial obtenido previamente asociado con la función (106) de servidor de secuencia inicial; la recepción (408) de una respuesta de autenticación en la función (106) de servidor de secuencia inicial que incluye un segundo número aleatorio y un segundo parámetro calculado con una copia de la clave privada generada en el terminal móvil en base al menos en parte al primer número aleatorio y a una clave secreta precompartida almacenada en un módulo (204) de identificación de abonado en el terminal móvil; y la generación (410) de una clave mutuamente autenticada en la función (106) de servidor de secuencia inicial en base al menos en parte al primer número aleatorio, al segundo número aleatorio y a la primera clave privada, caracterizado porque el procedimiento comprende adicionalmente:

la verificación (514) de si la respuesta de autenticación se originó desde el terminal móvil mediante el recálculo del primer parámetro en la función (106) de servidor de secuencia inicial en base a una segunda clave proporcionada a la función de servidor de secuencia inicial.

2. El procedimiento de acuerdo con la reivindicación 1, en el que el módulo (204) de identificación de abonado es uno de entre un Módulo de Identidad de Abonado, SIM, del Sistema Global para Móviles, GSM, o un Módulo de Autenticación de CDMA2000.

3. El procedimiento de acuerdo con la reivindicación 1, que comprende además:

la comparación del parámetro recibido en la respuesta de autenticación con el parámetro recalculado por la función (106) de servidor de secuencia inicial, en el que la respuesta de autenticación se considera que se ha originado desde el terminal móvil (102) si ambos parámetros son el mismo.

4. El procedimiento de acuerdo con la reivindicación 1, que comprende además:

la obtención de la clave privada a partir de un registro (104) de localización local conectado comunicativamente con la función de servidor de secuencia inicial.

5. El procedimiento de acuerdo con la reivindicación 1, en el que la clave privada y la copia de la clave privada se generan en base a los mismos algoritmos seguros y una clave secreta precompartida conocida para el módulo (204) de identificación de abonado en el terminal móvil (102) y una base de datos de red conectada comunicativamente con la función (106) de servidor de secuencia inicial.

6. El procedimiento de acuerdo con la reivindicación 1, en el que la copia de la clave privada proporcionada a la función (106) de servidor de secuencia inicial se genera en base a una copia de la clave secreta precompartida almacenada en el exterior del terminal móvil (102) y al número aleatorio en la interpelación de autenticación.

7. El procedimiento de acuerdo con la reivindicación 1, en el que el primer parámetro de la respuesta de autenticación incluye un código de autenticación del mensaje que se usa por la función (106) de servidor de secuencia inicial para verificar el origen de la respuesta de autenticación.

8. El procedimiento de acuerdo con la reivindicación 1, que comprende además:

el envío de la clave mutuamente autenticada desde la función (106) de servidor de secuencia inicial a una función (108) de aplicación de red solicitante de modo que el terminal móvil (102) y la función de aplicación de red compartan la cuarta clave para comunicaciones seguras entre ellos.

9. Un dispositivo de red para la implementación de una función (102) de servidor de secuencia inicial para autenticar un terminal móvil (102) , que comprende:

medios para la generación de una interpelación de autenticación en una función (106) de servidor de secuencia inicial, incluyendo la interpelación de autenticación un primer número aleatorio, como un primer parámetro, una clave pública en base al menos en parte al número aleatorio, y una firma en base al menos en parte al número aleatorio, la clave pública y una clave privada, medios para el envío de la interpelación de autenticación al terminal móvil (102) , en el que el terminal móvil puede verificar el origen de la interpelación de autenticación en base a un certificado del servidor de secuencia inicial obtenido previamente asociado con la función (106) de servidor de secuencia inicial; medios para la recepción de una respuesta de autenticación en la función (106) de servidor de secuencia inicial

que incluye un segundo número aleatorio y un segundo parámetro calculado con una copia de la clave privada generada en el terminal móvil en base al menos en parte al primer número aleatorio y a una clave secreta precompartida almacenada en un módulo (204) de identificación de abonado en el terminal móvil (102) ; y medios para la generación de una clave mutuamente autenticada en la función (106) de servidor de secuencia inicial en base al menos en parte al primer número aleatorio, al segundo número aleatorio y a la primera clave privada, caracterizado porque el dispositivo de red comprende adicionalmente:

medios para la determinación de si la respuesta de autenticación se originó desde el terminal móvil (102) mediante el recálculo del primer parámetro en la función (106) de servidor de secuencia inicial en base a una segunda clave proporcionada a la función (106) de servidor de secuencia inicial.

10. El dispositivo de red de acuerdo con la reivindicación 9, en el que el módulo (204) de identificación de abonado es uno de entre un Módulo de Identidad de Abonado, SIM, del Sistema Global para Móviles, GSM, o un Módulo de Autenticación de CDMA2000.

11. El dispositivo de red de acuerdo con la reivindicación 9, en el que el medio para la determinación de si la respuesta de autenticación que se originó desde el terminal móvil (102) incluye una copia de la clave privada usada para verificar el primer parámetro de la respuesta de autenticación, en el que la copia de la clave privada se deduce a partir de la clave secreta precompartida y el número aleatorio y otros parámetros transmitidos dentro de la interpelación de autenticación y la respuesta de autenticación.

12. Un dispositivo de red de acuerdo con la reivindicación 9, que comprende:

una interfaz (306) de comunicaciones para comunicar con los terminales móviles (102) inalámbricos; y un circuito (302) de procesamiento acoplado a la interfaz de comunicaciones y configurado para implementar la función (106) de servidor de secuencia inicial para autenticar el terminal móvil mediante:

la generación de la interpelación de autenticación; el envío de la interpelación de autenticación; la recepción de la respuesta de autenticación; la verificación de si la respuesta de autenticación se originó desde el terminal móvil mediante el recálculo del primer parámetro en la función (106) de servidor de secuencia inicial en base a la segunda clave proporcionada a la función de servidor de secuencia inicial; y la generación de la clave mutuamente autenticada.

13. El dispositivo de red de acuerdo con la reivindicación 12, en el que el circuito (302) de procesamiento se configura para implementar la función (106) de servidor de secuencia inicial para autenticar el terminal móvil mediante el cálculo de una clave mutuamente autenticada en la función de servidor de secuencia inicial en base a la copia de la clave privada, que también se calcula en el terminal móvil en base a la clave privada; y el envío de la clave mutuamente autenticada desde la función de servidor de secuencia inicial a una función (108) de aplicación de red solicitante de modo que el terminal móvil (102) y la función de aplicación de red compartan la clave mutuamente autenticada.

14. El dispositivo de red de acuerdo con la reivindicación 12, en el que el circuito (302) de procesamiento se configura adicionalmente para implementar la función (106) de servidor de secuencia inicial para autenticar el terminal móvil mediante la comparación del primer parámetro recibido en la respuesta de autenticación, con el primer parámetro calculado por la función de servidor de secuencia inicial, en el que la respuesta de autenticación se considera que se ha originado desde el terminal móvil (102) si ambos primeros parámetros son el mismo.

15. Un procedimiento de autenticación de una función de aplicación de red para comunicar con un terminal móvil heredado, que comprende; la recepción (404) de una interpelación de autenticación en el terminal móvil, incluyendo la interpelación de autenticación un primer número aleatorio como un primer parámetro, una clave pública en base al menos en parte al número aleatorio y una firma en base al menos en parte al número aleatorio, la clave pública y una clave privada; la generación de una clave mutuamente autenticada en el terminal móvil (102) en base al menos en parte al primer número aleatorio, un segundo número aleatorio y la clave privada; y el envío (512) de una respuesta de autenticación a la función (106) de servidor de secuencia inicial que incluye el segundo número aleatorio y un segundo parámetro calculado con una copia de la clave privada generada en el terminal móvil (102) en base al menos en parte al primer número aleatorio y a una clave secreta precompartida almacenada en un módulo (204) de identificación de abonado en el terminal móvil, caracterizado porque el procedimiento comprende adicionalmente:

la verificación (508) de si la interpelación de autenticación se originó en una función (106) de servidor de secuencia inicial en base a un certificado de servidor de secuencia inicial previamente obtenido asociado con la función de servidor de secuencia inicial.

16. El procedimiento de acuerdo con la reivindicación 15, que comprende adicionalmente; proporcionar la clave privada desde el módulo (204) de identificación de abonado al terminal móvil (102) en

respuesta a la recepción del número aleatorio recibido en la interpelación de autenticación.

17. El procedimiento de acuerdo con la reivindicación 16, en el que la primera clave se genera usando parámetros adicionales transmitidos en la interpelación y respuesta de autenticación.

18. El procedimiento de acuerdo con la reivindicación 15, en el que el módulo (204) de identificación de abonado es uno de entre un Módulo de Identidad de Abonado, SIM, del Sistema Global para Móviles, GSM, o un Módulo de Autenticación de CDMA2000.

19. Un terminal móvil (102) que comprende:

medios para la recepción de una interpelación de autenticación en el terminal móvil (102) , incluyendo la interpelación de autenticación un primer número aleatorio, como un primer parámetro, una clave pública en base al menos en parte al número aleatorio, y una firma en base al menos en parte al número aleatorio, la clave pública y una clave privada, medios para la generación de una clave mutuamente autenticada en el terminal móvil (102) en base al menos en parte al primer número aleatorio, al segundo número aleatorio y a la clave privada; y medios para el envío de una respuesta autenticada a la función (106) de servidor de secuencia inicial que incluye el segundo número aleatorio y un segundo parámetro calculado con una copia de la clave privada generada en el terminal móvil (102) en base a al menos en parte el primer número aleatorio y una clave secreta precompartida almacenada en un módulo de identificación de abonado en el terminal móvil, caracterizado porque el terminal móvil comprende adicionalmente:

medios para la verificación de si la interpelación de autenticación se originó en una función (102) de servidor de secuencia inicial en base a un certificado de servidor de secuencia inicial obtenido previamente asociado con la función de servidor de secuencia inicial.

20. Un terminal móvil (102) de acuerdo con la reivindicación 19, que comprende;

una interfaz (206) de comunicación inalámbrica para comunicar con una función de servidor de secuencia inicial; y un circuito (202) de procesamiento configurado para operar un protocolo de comunicación heredado y autenticar el terminal móvil en un protocolo de interpelación-respuesta con una función de servidor de secuencia inicial mediante:

la recepción de la interpelación de autenticación en el terminal móvil (102) ; la generación de la clave mutuamente autenticada; la verificación de si la interpelación de autenticación se originó en la función de servidor de secuencia inicial; el envío de la respuesta de autenticación a la función (106) de servidor de secuencia inicial.

21. El terminal móvil de acuerdo con la reivindicación 20, que comprende adicionalmente:

un módulo (204) de identificación de abonado acoplado al circuito (202) de procesamiento, el módulo de identificación de abonado para almacenamiento de la clave secreta precompartida y el algoritmo.

22. El terminal móvil de acuerdo con la reivindicación 21, en el que el módulo (204) de identificación de abonado genera la clave privada en base al número aleatorio, la clave secreta precompartida y el algoritmo.

23. El terminal móvil de acuerdo con la reivindicación 21, en el que el módulo (204) de identificación de abonado es un módulo de identidad de abonado, SIM, que cumple con el protocolo del Sistema Global para Móviles, GSM.

24. El terminal móvil de acuerdo con la reivindicación 20, en el que la clave secreta precompartida se emplea también para permitir que el terminal móvil (102) establezca comunicaciones a través de una red inalámbrica heredada.

25. Un medio que pueda leer una máquina que comprende un código de programa que es operativo para hacer que un procesador realice un procedimiento de acuerdo con cualquiera de las reivindicaciones 1 a 8 o 15.