JP4331848B2 - 通信ネットワーク用セキュリティ方法及び安全なデータ転送方法 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、一つ又は複数の遠隔通信ネットワークを経由するデータ転送のセキュリティ技術に関する。
【０００２】
この場合、セキュリティとは、通信したいと思っている関係者を認証する能力、そしてその後必要ならばそれらの関係者の間に安全な通信チャネルをセットアップする能力を意味している。
【０００３】
本発明は、特に、遠隔通信ネットワークの加入者が移動形機器を使って、例えばＧＳＭ（移動体通信のグローバル・システム（Global System for Mobile communications））遠隔通信標準、又は、ＤＣＳ１８００（デジタル・セルラーシステム１８００ＭＨｚ（Digital Cellular System 1800MHz））、ＰＣ１９００（パーソナル通信システム（Personal Communication System））、ＤＥＣＴ（デジタル・欧州コードレス遠隔通信（Digital European Cordless Telecommunications））、もしくはＵＭＴＳ（ユニバーサル移動電話通信システム（Universal Mobile Telecommunication System））のような同等もしくは競合する標準を使用して接続されるアプリケーションに適しているが、それらには限定されない。
【０００４】
【従来の技術】
移動体機器を使うこれらの通信ネットワークは、全ての加入管理及び通信ルーチング機能と、（これらの通信ネットワークの）加入者のために通信ネットワークを介してアクセス可能なサービス・プロバイダ（「サービス・サーバあるいはコンテント・サーバ」）へのアクセス条件の交渉を実行する「移動通信ネットワーク・オペレータ」（以下において、「オペレータ」と記載する）によって管理される。
【０００５】
本発明による方法は、好ましくは、遠隔通信ネットワークの加入者が移動端末を使って、その加入者のネットワークと相互接続された別の遠隔通信ネットワーク上でアクセス可能な通信者（一般にサービス・プロバイダ）と安全な方法で接続したいと考えている場合に適用可能である。
【０００６】
しかし、本発明による（ネットワーク用）セキュリティ方法は、遠隔通信を介してアクセス可能なサービスへの加入権を取得した加入者が、遠く離れた第三者とネットワークを介して、単一ネットワーク又は相互接続された複数のネットワークを含むデータ通信で一つのネットワークから他のネットワークへの転送にプロトコル変更が伴うときに、秘密要素を転送することのない安全な方法で通信したいと考える他のどんな状況においても有利に適用できる。
【０００７】
本発明は、元来、まず加入者が付属する閉じた（ＧＳＭタイプの）ネットワークと、開放した（インターネットタイプの）ネットワークとの間でセットアップされる通信に適用可能であるが、各伝送ネットワークの（開放した、又は閉じた）性質は本発明の一般原理に限った特性ではない。
【０００８】
多くのコンテント・サービスは、それ自身の通信プロトコルを持つ開放した通信ネットワーク（一般にインターネット）を介してアクセス可能である。そのためにＧＳＭ移動端末がこのタイプのサービスにアクセスしようとするとき、ＧＳＭネットワークとインターネット型サービス・プロバイダへのアクセスネットワークとの接点でプロトコル変更が存在する。遠距離通信オペレータの役割はこれらの変更と仲立ちを実行し、管理することである。
【０００９】
【発明が解決しようとする課題】
現時点では、これらの２つのネットワークのそれぞれに特有な認証及び機密保持の方法がある。従って、既知の解決法としては、各データストリームが送信されるときに、最初に一つのネットワーク上で、次いで他方のネットワーク上で利用可能な手続きを端から端へと実行することである。その結果として接点において機密性の損失が通常生じる。特に、上流部と下流部のそれぞれで安全なプロトコルを使用するには、オペレータは、それぞれの認証及び機密保持のプロセスで要求される、秘密要素、キー及び／暗号化アルゴリズム、を所有する必要がある。この責務によって、機密性保持の義務がオペレータに負わされることになり、このことはサービス・プロバイダや、加入者、そしてオペレータ自身にとっても望ましいことではないであろう。
【００１０】
もう１つの既知の解決法としては、秘密を管理するために（通常「信頼の置ける第三者」と呼ばれる）第三者を使うことがあるが、しかしこの解決法も複雑で、従ってコストや管理の複雑さが正当化されない一部の状況では不適切である。
【００１１】
そこで本発明の一つの課題は、従来技術のこれらさまざまな不都合を克服することにある。
【００１２】
より正確には、本発明の第１の課題は通信に使用される連続するネットワークとは独立に実行されてよい認証手続きを提供することにある。このタイプの認証手続きはサービス・プロバイダに加入者を認証させ、かつ好ましくは加入者にもサービス・プロバイダを識別させることが少なくともできなければならない。
【００１３】
本発明のもう一つの課題は、加入者とサービス・プロバイダが安全な方法で、なにもすることなく、そしてできればその加入者が付属するネットワークのオペレータに知られないように、通信できるように、暗号化チャネルを介してデータを転送する方法を提供することにある。
【００１４】
本発明のもう一つの課題は、オペレータがセキュリティ・システムを確定し、かつ、そのオペレータが暗号化チャネルのコンテンツ又は運営上の要素（operating element）を知る必要なしに、そのオペレータが制御するリンク上での認証の質を保証することができるようにする方法を提供することにある。
【００１５】
本発明のさらにもう一つの課題は、加入者とサービス・プロバイダが、ネットワーク上で彼らが交換するメッセージに対する暗号化キーの知識を共有することができるようにする方法を提供することにある。ただし、暗号化キーはどんなときもネットワーク上で送信されることなく、各キーは通信セッションのそれぞれで異なっていると有利である。
【００１６】
本発明のさらなる一つの課題は、ＧＳＭネットワークに固有なセキュリティ資源を最適に使用する方法、すなわち基本的には、ネットワーク加入者の端末、一般的には加入者の無線電話端末と協働する加入者識別モジュール（ＳＩＭカード）、に存在する秘密要素とアルゴリズムを最適に使用する方法、を提供することにある。
【００１７】
本発明のさらなるもう一つの課題は、加入者にパスワードと、暗号化／解読キーを計算する手段を提供することにある。それらはサービス・プロバイダによって独占的に付与され、管理されるので、従って、オペレータ又は第三者に知らされる必要はない。
【００１８】
本発明のさらにもう一つの課題は、通信セキュリティの観点から、さまざまなサービス・プロバイダとの間に、そして加入者によって開始されるどんな取引の間にも、本当の「仕切（compartmentalization）」を提供することにある。
【００１９】
【課題を解決するための手段】
以上の課題及び以下明らかになる他の課題は、本発明によるセキュリティ方法によって解決される。このセキュリティ方法は、まず遠隔通信ネットワークの加入者、次に該加入者が付属する前記遠隔通信ネットワークのオペレータを介してアクセス可能なサービス・プロバイダとの間の通信のセキュリティを保証するための方法であって、
第一に前記オペレータを介して前記加入者が前記サービス・プロバイダへ初期登録を行うプロセスと、第二に前記加入者と前記サービス・プロバイダとの間の各通信セッションが開始されるプロセスとを含むことを特徴とする。
【００２０】
ここで加入者とは明らかにユーザだけではなく、特にそのユーザのネットワーク装置も意味する。同様に、サービス・プロバイダとは、ネットワークに接続されたコンピュータ・サーバを主に意味する。しかしながら、以下に示されるが、一部の情報転送が（例えばメール又はファクスなどによって）ネットワーク外で生じ、従ってそうした情報転送の実行に、他の構成要素、特に人、が含まれる。
【００２１】
本発明によれば、前記初期登録を行うプロセスは、
第一に、前記遠隔通信オペレータから前記サービス・プロバイダに、
前記加入者の付属ネットワークにおける該加入者の識別子（ＤｅｖｉｃｅＩＤ）と、
前記オペレータのネットワークにおける前記サービス・プロバイダの識別子（ＩＤｘ）と、前記加入者の付属ネットワークにおける該加入者の前記識別子（ＤｅｖｉｃｅＩＤ）と、前記加入者を特徴付ける秘密要素（Ｓｅｃ．Ｏｐ．）とから計算される第１の数値を含む前記加入者の認証符号（Ｒ１）とが与えられるステップと、
第二に、前記サービス・プロバイダから前記加入者に、前記サービス・プロバイダによる前記加入者の識別／認証（ｌｏｇｉｎ，ｍｄｐ）に関するデータが与えられるステップとを含む。
【００２２】
さらに本発明によれば、前記各セッションが実行されるプロセスには、前記サービス・プロバイダが加入者の認証を、
第２の数値（Ｒ２）が、前記サービス・プロバイダでの加入者識別子（ｍｄｐ）と前記加入者において生成された多様化データ（Ｄｔａｅ）とから計算されるステップと、
前記第１の数値（Ｒ１）と、前記第２の数値（Ｒ２）と、前記サービス・プロバイダが前記加入者を識別する第３のデータ（Ｌｏｇｉｎ）とから第３の数値（Ｒ３）が計算されるステップと、
前記第３の数値（Ｒ３）と、入力データ、すなわち前記サービス・プロバイダが前記加入者を識別するデータ（Ｌｏｇｉｎ）と、前記加入者において生成された前記多様化データ（Ｄａｔｅ）とから構成された第１のデータフレームが前記サービス・プロバイダに送信されるステップと、
確認として前記サービス・プロバイダが、前記第１のデータフレーム内の前記入力データ（Ｌｏｇｉｎ，ｄａｔｅ）と、既に前記サービス・プロバイダに提供された前記加入者に付随したデータ（Ｒ１，ｍｄｐ）とから、前記第３の数値（Ｒ３）を再計算することによって、前記加入者を認証するステップとを通して、実行することが含まれる。
【００２３】
また、本発明によるセキュリティ方法には、一つの有利な特徴として、
第４の数値が、前記加入者認証符号（Ｒ１）と、前記サービス・プロバイダにおいて生成されたランダム変数（Ｒａｎｄｏｍ）と、多様化データ（Ｄａｔｅ）とから計算されるステップと、
前記第４の数値（Ｒ４）と前記ランダム変数（Ｒａｎｄｏｍ）を含む第２のデータフレームが前記サービス・プロバイダから前記加入者へ送信されるステップと、
前記加入者が確認として、前記第２のデータフレーム中の前記ランダム変数（Ｒａｎｄｏｍ）と前記加入者へ提供されるデータ（Ｒ１，Ｄａｔｅ）から前記第４の数値（Ｒ４）を再計算することによって、前記サービス・プロバイダを認証するステップとを実行することによって、前記加入者が前記サービス・プロバイダを認証することも含まれる。
【００２４】
こうして、以上の特徴全てを考慮した場合、本発明によるセキュリティ方法では、サプライヤとサービス・プロバイダとの相互の認証が可能である。
【００２５】
好ましくは互いに認証が確認されているとき、前記加入者及び前記サービス・プロバイダに共通するセッション・キー（Ｋｓｅｓ）が生成される段階（phase）と、暗号化データが該セッション・キー（Ｋｓｅｓ）を使って送信される段階（phase）もが含まれることが有利である。
【００２６】
この場合、前記セッション・キーが生成される段階には好ましくは、
前記サービス・プロバイダが、前記第２の数値（Ｒ２）とランダム変数（Ｒａｎｄｏｍ２）を含む計算データから、セッション・キー（Ｋｓｅｓ）を計算するステップと、
前記単一のランダム変数（Ｒａｎｄｏｍ２）が前記加入者に送信されるステップと、
前記加入者が、前記計算データ、すなわち前記送信されたランダム変数（Ｒａｎｄｏｍ２）と前記加入者に与えられた前記第２の数値（Ｒ２）とから、前記セッション・キー（Ｋｓｅｓ）を計算するステップとが含まれる。
【００２７】
上記本発明による方法には、その特徴として、
前記サービス・プロバイダが前記加入者を認証するステップと、
前記加入者が前記サービス・プロバイダを認証するステップと、
セッション・キーが暗号化チャネルをセットアップするために計算されるステップと、といった連続するステップあるいは個々のステップが含まれる。
【００２８】
提案された方法の全てあるいは一部は結果的に選択的に実行可能である。
【００２９】
しかしながら、別の変形では、加入者がサービス・プロバイダを認証するステップは、セッション・キーが暗号化チャネルをセットアップするために計算されるステップと組み合わせることができる。この変形によれば、前記セッション・キー（Ｋｓｅｓ）のための前記計算データは、前記サービス・プロバイダと前記加入者の双方に提供されており、前記サービス・プロバイダから前記加入者へ送信される必要の無い前記加入者の認証符号（Ｒ１）も含む。この時点において、もし前記計算されたセッション・キー（Ｋｓｅｓ）が正しく得られたならば、前記加入者によって計算された前記セッション・キー（Ｋｓｅｓ）を使って解読される、前記サービス・プロバイダから受信した前記暗号化データが理解可能であるという事実によって、前記サービス・プロバイダが前記加入者によって効率的に認証される。
【００３０】
それ故に、前記第４の数値Ｒ４に関する計算と情報転送を使用する必要はもはやない。
【００３１】
セッション・キーの計算はそれ自体、個々のステップを備えた場合、又はキーの逆認証（return authentication）と計算を組み合わせた場合のいずれかにおいて、セッション・キーの計算に使用される前記データが多様化データも含むようにしてよい。この多様化データはサービス・プロバイダと加入者の双方に提供され、従ってサービス・プロバイダから加入者に再送信される必要はないことがわかる。
【００３２】
従って、本発明によれば、これらの変形とは無関係に、認証の仕組みに２つのセキュリティ層が組み合わされる。すなわちネットワークレベルにおける識別／認証（ＤｅｖｉｃｅＩＤ，Ｒ１）がアプリケーションレベルにおける識別（ｌｏｇｉｎ，ｍｄｐ）と組み合わされる。それ故に、遠隔通信ネットワークで利用可能な本来備わっているセキュリティが、関係者の認証の間及び／又は暗号化通信をセットアップするときに、アプリケーションで使用される。
【００３３】
相互の認証は、加入者がサービス・プロバイダに登録される時にオペレータが値Ｒ１を配信することに基づいており、サービス・プロバイダは、それが保持するこの値がその認証データベースに保護されていることを保証する責任がある。原則として、加入者は（セキュリティの理由のために）この値Ｒ１を保持しないが、しかし、新たなセッションが開始されるときにいつでもそれを自動的に再計算できる立場にある。２つの交換が、関係者が相互に互いを認証して、安全なチャネルをセットアップするために必要とされる。
【００３４】
暗号化チャネルをセットアップすることのみ、付属するオペレータの責任下で生成される一つの項目の秘密情報を必要とする。この秘密情報は加入者によって保持され、あるいはネットワークに接続された加入者の装置内に制限されるものである。
【００３５】
本発明の一つの有利な特徴として、前記サービス・プロバイダは、登録加入者ごとに、
加入者のその付属ネットワークにおける識別子（ＤｅｖｉｃｅＩｄ）と、
前記サービス・プロバイダでの加入者識別／認証（Ｌｏｇｉｎ，ｍｄｐ）データと、
初期登録時に前記オペレータから受信した前記数値Ｒ１と、
できれば、最新の通信セッションに特有な前記多様化データ（Ｄａｔｅ）と前記第３の数値Ｒ３と前記ランダム変数（ＲａｎｄｏｍとＲａｎｄｏｍ２）と前記セッション・キー（Ｋｓｅｓ）の一部又は全てとを含む項目のデータを蓄積するデータベースを構築している。
【００３６】
本発明のもう一つの有利な特徴として、前記第１の数値（Ｒ１）、前記第２の数値（Ｒ２）、前記第３の数値（Ｒ３）、そして前記第４の数値（Ｒ４）と、前記セッション・キー（Ｋｓｅｓ）の少なくとも一部が、暗号アルゴリズムｆ１、ｆ２、ｆ３、ｆ４とｆｋを使って計算される。
【００３７】
好ましくは、前記暗号アルゴリズムは、
ＭＡＣ方式におけるＤＥＳのような、キーを使用する単一方向的チョッピング関数のアルゴルズムと、
ｍｄ５（登録商標）、ＲＩＰＥＭ、ＳＨＡのような、キーを使用する単一方向的チョッピング関数のアルゴルズムと、
ビット・ミキシングを使用するアルゴリズムと、
を含むグループから選択される。
【００３８】
前記第１の数値（Ｒ１）はＡ３／Ａ８型アルゴリズムｆ１を使って計算されることが有利である。
本発明のもう一つの好ましい特徴として、前記加入者を特徴付ける前記秘密要素（Ｓｅｃ．Ｏｐ．）は、前記加入者の携帯電話のＳＩＭカードに含まれるキーＫｉと、前記加入者の端末において利用可能な任意のキーＫｋｍを含むグループに属する。
【００３９】
同様に、加入者がＧＳＭネットワークに付属するとき、該加入者のその付属ネットワーク内における識別子（ＤｅｖｉｃｅＩＤ）はＩＭＳＩ（International Mobile Subscriber Identity）とＭＳＩＳＤＮ（Mobile Station ISDN number）とを含むグループに属する。
【００４０】
好ましくは、前記サービス・プロバイダによる前記加入者の識別／認証（Ｌｏｇｉｎ，ｍｄｐ）データは、
前記サービス・プロバイダのネットワークにおける加入者識別子（Ｌｏｇｉｎ）と、
前記サービス・プロバイダによって前記加入者に供給される秘密要素（ｍｄｐ）とを含む。
【００４１】
有利には、前記第２の数値（Ｒ２）を計算するために使用される前記多様化データ（Ｄａｔｅ）は、セッションの日付／時刻、前記加入者によって要求される新たなセッション毎に増加する数と、そして前記加入者において生成される乱数とを含むグループに属する。
【００４２】
有利には、サービス・プロバイダは加入者の多様化データ（Ｄａｔｅ）の質を、その多様化データが実際に時間とともに変化することをチェックすることによって、保証することができる。例えば、最後に接続を試みた値（Ｄａｔｅ）を保持して、この値が実際に最新の値（Ｄａｔｅ）と異なっているかどうかをチェックすることによって、この確認を行うことができる。
【００４３】
本発明により提案されたセキュリティの仕組みを劣化させた変形では、上記方法において、前記第１の数値（Ｒ１）が計算されず、そのため該数値が前記ステップの少なくとも一部において知られることがなく、さらにそのとき前記加入者の認証段階が削除されている。この単純化の結果、相互認証が損なわれ、「中間にいる人間（man in the middle）」型攻撃（通信への侵入と呼ばれる）に傷つきやすくなる。しかし、他の識別と認証機能は残っている。
【００４４】
第２の数値Ｒ２の使用も、サービス・プロバイダによって加入者に供給される秘密要素（ｍｄｐ）の値に簡略することによって単純化できる。この場合、この値は（換言すれば発生で変化するという意味で可変的で）もう「動的」ではないが、固定されている。明らかに、暗号機能ｆ２はそのとき使用されない。
【００４５】
【発明の実施の形態】
以下、図面を参照して本発明の好ましい実施態様を詳細に説明する。
【００４６】
図１の構成は、まずオペレータ１２によって管理され、加入者１３を含む、通信ネットワーク１１を備える。より正確にこの構成を説明すると、ネットワーク１１は、ＧＳＭネットワークのような閉じた加入契約型ネットワークであると考えてよい。加入者１３には、移動電話、一般に「ＳＩＭ」カードが組み込まれた携帯電話機が提供され、基地局（ＢＴＳ）を介してネットワーク１１と通信を行う。例えば、同じオペレータ１２が第２の加入者１４が接続されたインターネットの管理も行うことがある。加入者１４は、モデム１９を介して接続されたコンピュータ１８を使って通信を行う。
【００４７】
加入者に要求されると、オペレータ１２はそれ自身多くのユーザを持ちオンライン・サービス・プロバイダ１７を含む第２のネットワーク１６に相互接続１５する。
【００４８】
例えば、ネットワーク１６はＩＰ通信プロトコルを使用する開放したインターネット型ネットワークでよい。オンライン・サービス・プロバイダ１７は、サービスへの加入を済ませてからアクセス可能な、コンテンツ・サービスである。例えば、それは、そこから銀行の顧客が彼らの口座を見ることでき、及び／又は遠く離れた取引を行うことができる、銀行サイトであってよい。これらの運営は、機密であり、そのため、まず互いに関心のある関係者（まず加入顧客、次に銀行）が互いに身元を認証して、いかなる詐欺も防止し、次いで交換情報を暗号化して機密性が損なわれることを防ぐことが、必要とされる。
【００４９】
加入消費者からオンライン・サービス・プロバイダへのそれぞれの接続において、本発明による安全なチャネルデータ転送方法に従ってセットアップされ、実行される、通信セッションが開始される。
【００５０】
本発明によれば、安全なチャネルをセットアップするには、加入者がまずサービス・プロバイダに登録され、そしてオペレータがそのサービス・プロバイダに、通信セッションがその後セットアップされたときに使用される加入者／サービス・プロバイダの識別及び認証に関するデータを送信してしまうことが必要とされる。他方、安全なチャネルはセットアップされ、それは、加入者のネットワークオペレータが、秘密要素が加入者とサービス・プロバイダのみに知られるように解読されず置かれそのオペレータが解読不能な通信それ自体の転送以外は明らかに何もすることなく、使用される。オペレータは単にセキュリティの仕組みを確定する、言い換えれば、本発明の実施を可能にする。オペレータは認証と機密性サービスのための仕組みの質を保証する。他方、サービス・プロバイダは明らかに彼自身のレベルにおいてセキュリティ・システムを継続する責任があり続ける。
【００５１】
図２は、
前記加入者が前記オペレータを介して前記サービス・プロバイダへの初期加入を行う第１のプロセス２０と、
前記加入者と前記サービス・プロバイダとの間の各通信が開始される第２のプロセス３０と、
から成る、本発明による方法を実行するために必要な、連続する２つのプロセスを示している。
【００５２】
以下の基本的なデータ交換が、最初の登録プロセス（又は加入）２０の間に起きる。
【００５３】
第一に、遠距離通信オペレータは加入者に、その加入者が登録したいと考えるサービス・プロバイダの識別子（ＩＤｘ）を送信する（２１）。本発明によるセキュリティの仕組みでは、その識別子ＩＤｘは、オペレータのネットワークを介してアクセス可能なサービス・プロバイダのそれぞれに対して唯一のものである。例えば、サービス・プロバイダがインターネット型ネットワーク上でアクセス可能であるとき、ＩＤｘ識別子はＵＲＬ（Uniform Resource Locator）でよい。
【００５４】
オペレータは、考慮するサービス・プロバイダに２つのデータ項目からなる集合の経路も決める。２つのデータ項目とは、すなわち、
加入者の付属ネットワークにおけるその加入者の識別子（ＤｅｖｉｃｅＩＤ）と、
以下図３を参照して詳細に説明される条件下で有利に計算される前記加入者の認証符号（Ｒ１）と、
である。
【００５５】
認証符号Ｒ１は、オペレータのネットワークにおけるユニークなデータの一集合から計算され、それ故に、議論される特定の加入者と特定のサービス・プロバイダの間の組み合わせに特有であって、この点で、サービス・プロバイダによって保護されるべきである。そのためにこの値Ｒ１は、所定の加入者に対してサービス・プロバイダによって異なる。認証符号Ｒ１はサービス・プロバイダの認証ベースにいつも記憶される。
【００５６】
これに対し、サービス・プロバイダは、そのサービス・プロバイダへの加入者を識別する２つの加入項目のデータを提供する（２３）。それらは、
そのサービス・プロバイダのネットワークにおける加入者識別子（Ｌｏｇｉｎ）と、
例えばパスワードといった形の秘密要素（ｍｄｐ）と、
である。
【００５７】
この段階で交換される全てあるいは一部は、有利には、（例えばファクス、メール又は他のいずれかの手段によって）それぞれの関係者に特有な手続きを使って、オフラインで実行されてよい。けれども、一部の場合には、オンラインで上記データを送信することがより簡単である。
【００５８】
加入者とサービス・プロバイダとの間の各通信セッションが開始される第２のプロセス３０には、いくつかの連続する別個の段階が存在する。
第一に、加入者は彼自身を、数値（Ｒ３）と２つの入力データの集合、すなわちサービス・プロバイダが加入者を識別するデータ（Ｌｏｇｉｎ）と加入者のために生成された多様化データ（Ｄａｔｅ）、を含むデータフレームをサービス・プロバイダへ送信する（３１）ことによって、そのサービス・プロバイダに認証させる。
【００５９】
このフレームは、加入者が、サービス・プロバイダがその加入者を識別して認証する一組の値（Ｌｏｇｉｎ／ｍｄｐ）を、例えばその加入者の遠隔通信端末上のキーパッドを使用して、入力した直後に送られる。Ｌｏｇｉｎ値はサービス・プロバイダに送られた上記フレームに直に含まれる。一方、ｍｄｐ値は送信されないが、それは数値Ｒ３を計算するときに使用される。
【００６０】
数値Ｒ３を計算するための方法は、以下において図３を参照して詳細に説明される。
多様化データは、可変性を保証するどんなデータでもよく、それは以前の繰り返し（iteration）の間に加入者によって供給されたデータの繰り返し使用を防止する。その目的は明らかに、第三者が加入者になりすます「繰り返し攻撃」侵入試行を防止することにある。前記多様化データは有利にはセッションの日付及び／又は時刻で構成されるが、しかし、新たなセッションのそれぞれの間に増加されるいかなる数、あるいは、加入者によって生成されるランダムもしくは擬似ランダム（pseudo-random）な数でもよい。
【００６１】
サービス・プロバイダはステップ３１で送信されたフレームを受信する（３１）と、そのプロバイダは確認のため、前記データフレームの前記入力データ（ｌｏｇｉｎ，ｄａｔｅ）と、そのプロバイダに既に知られておりその加入者に付随する認証データ（Ｒ１，ｍｄｐ）とから計算される前記数値Ｒ３を再計算することによって加入者を認証する（３２）。もしサービス・プロバイダがこの確認再計算の間に加入者から受信した数値Ｒ３に等しい値を得るなら、その加入者は確認され、認証される。
【００６２】
次のステップ３３では、サービス・プロバイダが、一つのランダム変数（Ｒａｎｄｏｍ）を含む多数のデータ（以下参照）からセッション・キー（Ｋｓｅｓ）を生成する。この瞬間、サービス・プロバイダは、単一のランダム変数を加入者に送信する（３４）ことだけに制限し、加入者は最後にこの値を同じセッション・キー（Ｋｓｅｓ）を再計算する（３５）ために使用する。もしこの計算が正しいなら、そのサービス・プロバイダから受信され、その加入者によって再計算された前記セッション・キーを使用して解読される暗号化データが理解可能であるということから、その加入者はそのサービス・プロバイダを認証することができる。
【００６３】
その後、加入者とサービス・プロバイダはセットアップされた暗号チャネル上で安全な方法で通信できる（４０）。
【００６４】
図に示されたこの実施態様は、逆認証（言い換えれば、加入者によるサービス・プロバイダの認証）とセッション・キーの計算が組み合わされたある一つの場合にすぎない。当業者は容易にここに説明された実施態様から他の変形を考えることができるであろう。
【００６５】
図３は、ある加入者を登録して、その後、その加入者とサービス・プロバイダとの間の通信の認証及び暗号化を行う最初のプロセスの間に実行される、数値の計算におけるメインステップを説明するための図である。
【００６６】
第１の数値Ｒ１は、例えばＡ３／Ａ８、ＭＤ５又はＤＥＳ型の暗号化アルゴリズムｆ１を使って、好ましくは「ＩＤｘ」値と、「ＤｅｖｉｃｅＩＤ」値と、秘密要素（ＳｅｃＯｐｅ）といった入力値を使って、計算される。「ＩＤｘ」値はサービス・プロバイダを加入者の付属ネットワークにおいて識別する。例えば、この識別子は、加入者によってアクセス可能なさまざまなサービス・プロバイダに異なって値を使用して参照符を付けるネットワーク・オペレータによって確定される。既に言及したように、各サービス・プロバイダ「ｘ」は、異なった「ＩＤｘ」値によって識別される。「ＤｅｖｉｃｅＩＤ」値は加入者をその加入者の付属ネットワークにおいて識別する。それは、例えば、オペレータにより付与された加入者名あるいは他の加入者識別子から構成される。加入者識別子（ＤｅｖｉｃｅＩＤ）は、その加入者のＩＭＳＩ（International Mobile Subscriber Identity）数又はＭＳＩＳＤＮ（Mobile Station ISDN）数から成るものでもよい。秘密要素（ＳｅｃＯｐｅ）はオペレータのネットワークにおいて加入者を認証する。例えば、この秘密要素は、パスワード、ＰＩＮコード（Personal Identity Code）、又はネットワーク装置内に制限されたキー、でよい。ＧＭＳネットワークの場合では、問題となる秘密要素はＳＩＭカード内に制限されたＫｉキーであることが有利である。しかし、例えば全てのコンテンツ・サーバによるＧＭＳ加入者の認証に使用される特殊キーＫｋｍのような、他のどの秘密要素も、Ｒ１を計算するために使用される入力値として受け入れられる。もし加入者端末がＰＣ（Personal Computer）又は他のタイプのコンピュータであるならば、「ハードウェアキー」も使用できる。
【００６７】
値Ｒ１は公式Ｒ１＝ｆ１（ＤｅｖｉｃｅｌＤ，ＩＤｘ，Ｓｅｃ．Ｏｐｅ）を使って計算される。暗号アルゴリズムＡ３Ａ８は、それがＳＩＭカードに既に存在している限りにおいて、特に適当である。この場合Ｒ１＝ｆ１（ＤｅｖｉｃｅｌＤ、ＩＤｘ、Ｋｉ）で、それはｆ１＝Ａ３Ａ８を使って１２バイトで有利に表現される。それ故に、それは開発を最小限にし、第三者に対して秘密に保たれることができ、付属ネットアークと両立するセキュリティ水準を提供する、という利点がある。例えばＤＥＳアルゴリズムのように、既にＳＩＭカード上に存在している他のいかなるアルゴリズムでも有利である。他の暗号アルゴリズムも考慮できる。
【００６８】
加入者の装置は、それはＧＭＳネットワークの場合ではＧＭＳ端末にそのＳＩＭカード及び適切なブラウザソフトウェアを加えたものであって、明らかにその加入者が自身をネットワーク・オペレータに認証させた後、特定のサービス・プロバイダにアクセスすることを選択するときに、自動的に数値Ｒ１を計算することができる。
【００６９】
第２の数値Ｒ２は、公式Ｒ２＝ｆ２（ｄａｔｅ，ｍｄｐ）を使って計算される。ここで、アルゴリズムｆ２は適切な暗号アルゴリズムのいずれかである。好ましくは、それは単一方向的チョッピング関数（single directional chopping function）を使用してシール（seal）を計算するアルゴリズムである。一般には、ＭＡＣ方式におけるＤＥＳのような、キーを使用するアルゴリズム、又は、ｍｄ５（ＲＳＡ社によって市場に出されている圧縮アルゴリズムの登録商標）、ＲＩＰＥＭあるいはＳＨＡのようなキーの無いアルゴリズムでよい。これらのアルゴリズムは本発明を制限しない。従って、混合ビットを使用するアルゴリズムも使用できるが、しかしこれは暗号的には弱いソリューションである。値（ｄａｔｅ）は上で議論された多様化データである。値ｍｄｐはステップ２３においてサービス・プロバイダによって加入者に送られた秘密要素であるが、しかし、サービス・プロバイダもその認証ベース内にそれを保持している。
【００７０】
この値Ｒ２はサービス・プロバイダへは送信されない。それは数値Ｒ３を計算するために使用される中間変数である。この値Ｒ２は、もし加入者装置端末がメモリ（例えばキャッシュメモリ）を備えているなら、そのメモリに記憶されても都合がよい。本発明によるキュリティ方法は、値Ｒ２の記憶によって決して変更されない。
【００７１】
第３の数値Ｒ３は公式Ｒ３＝ｆ３（Ｒ１，Ｒ２，ｌｏｇｉｎ）を使って計算される。ここで、
− 数値Ｒ１は、既に詳細に説明されたように計算され、かつ加入プロセスの間にサービス・プロバイダに送られた加入者の認証符号である。
− 数値Ｒ２を計算する方法は、既に上記の如く特定される。
− ｌｏｇｉｎ値は、サービス・プロバイダのネットワークにおける加入者識別子で、図２のステップ３１において経路付けされたデータフレーム内で加入者によってサービス・プロバイダに再送信される。
− アルゴリズムｆ３は、ｆ２に対して選択されたアルゴリズムと同一である。
ことが有利である。どんな場合も、ｆ２に関して言及された同じ可能なものから選択されてよい。
【００７２】
セッション・キーＫｓｅｓは、公式Ｋｓｅｓ＝ｆｋ（Ｒ１，Ｒ２，Ｒａｎｄｏｍ）で表現できる。ここで、
− アルゴリズムｆｋは、ｆ２とｆ３に対して選択されたアルゴリズムと同一であることが有利である。どんな場合も、ｆ２に関して言及された同じ可能なものから選択されてよい。
− 数値Ｒ１とＲ２は、既に言及された値と同一である。
− ランダム（Random）又は擬似ランダム（pseudo-random）はサービス・プロバイダによって選ばれる。
【００７３】
本発明によって同じくカバーされる、安全なデータ転送方法を劣化させた実施例において、数値Ｒ１は計算もされず、どのステップにおいても使用されない。その結果、サービス・プロバイダは加入者によってもはや認証されず、それによって通信セキュリティは「中間にいる人間」型侵入の被害を一層受けやすくなる。
【図面の簡単な説明】
【図１】本発明を使用できる一通信ネットワークの略構成図である。
【図２】逆認証がセッション・キーの計算と組み合わされた、本発明によるセキュリティ方法の実施態様における一連の段階を説明するための図である。
【図３】本発明による安全なデータ転送方法の枠組みで使用される数値の計算における主なステップを説明するための図である。
【符号の説明】
１１ 通信ネットワーク
１２ オペレータ
１３，１４ 加入者
１５ 相互接続回線
１６ ネットワーク
１７ サービス・プロバイダ
１８ コンピュータ（ＰＣ）
１９ モデム

Claims (18)

1. まず遠隔通信ネットワークの加入者、次に該加入者が付属する前記遠隔通信ネットワークのオペレータを介してアクセス可能なサービス・プロバイダとの間の通信のセキュリティを保証するための方法であって、
   第一に前記オペレータを介して前記加入者が前記サービス・プロバイダへ初期登録を行うプロセスと、第二に前記加入者と前記サービス・プロバイダとの間の各通信セッションが開始されるプロセスとを含み、
   前記初期登録を行うプロセスは、
   − 第一に、前記遠隔通信オペレータから前記サービス・プロバイダに、
   前記加入者の付属ネットワークにおける該加入者の識別子（ＤｅｖｉｃｅＩＤ）と、
   前記オペレータのネットワークにおける前記サービス・プロバイダの識別子（ＩＤｘ）と、前記加入者の付属ネットワークにおける該加入者の前記識別子（ＤｅｖｉｃｅＩＤ）と、前記加入者を特徴付ける秘密要素（Ｓｅｃ．Ｏｐ．）とから計算される第１の数値を含む前記加入者の認証符号（Ｒ１）と、
   が与えられるステップと、
   − 第二に、前記サービス・プロバイダから前記加入者に、前記サービス・プロバイダによる前記加入者の識別／認証（ｌｏｇｉｎ，ｍｄｐ）に関するデータが与えられるステップとを含み、
   前記各通信セッションが実行されるプロセスでは、前記サービス・プロバイダが加入者の認証を、
   − 第２の数値（Ｒ２）が、前記サービス・プロバイダでの加入者識別子（ｍｄｐ）と前記加入者において生成された多様化データ（Ｄｔａｅ）とから計算されるステップと、
   − 前記第１の数値（Ｒ１）と、前記第２の数値（Ｒ２）と、前記サービス・プロバイダが前記加入者を識別する第３のデータ（Ｌｏｇｉｎ）とから第３の数値（Ｒ３）が計算されるステップと、
   − 前記第３の数値（Ｒ３）と、入力データ、すなわち前記サービス・プロバイダが前記加入者を識別するデータ（Ｌｏｇｉｎ）と、前記加入者において生成された前記多様化データ（Ｄａｔｅ）とから構成された第１のデータフレームが前記サービス・プロバイダに送信されるステップと、
   − 確認として前記サービス・プロバイダが、前記第１のデータフレーム内の前記入力データ（Ｌｏｇｉｎ，ｄａｔｅ）と、既に前記サービス・プロバイダに提供された前記加入者に付随したデータ（Ｒ１，ｍｄｐ）とから、前記第３の数値（Ｒ３）を再計算することによって、前記加入者を認証するステップと、
   を通して実行することを特徴とする通信ネットワーク用セキュリティ方法。
2. 第４の数値が、前記加入者認証符号（Ｒ１）と、前記サービス・プロバイダにおいて生成されたランダム変数（Ｒａｎｄｏｍ）と、多様化データ（Ｄａｔｅ）とから計算されるステップと、
   前記第４の数値（Ｒ４）及び前記ランダム変数（Ｒａｎｄｏｍ）を含む第２のデータフレームが前記サービス・プロバイダから前記加入者へ送信されるステップと、
   前記加入者が確認として、前記第２のデータフレーム中の前記ランダム変数（Ｒａｎｄｏｍ）及び前記加入者へ提供されたデータ（Ｒ１，Ｄａｔｅ）から前記第４の数値（Ｒ４）を再計算することによって、前記サービス・プロバイダを認証するステップとを実行することによって、前記加入者が前記サービス・プロバイダを認証するステップと、
   が含まれることを特徴とする請求項１に記載の通信ネットワーク用セキュリティ方法。
3. 前記加入者及び前記サービス・プロバイダに共通するセッション・キー（Ｋｓｅｓ）が生成される段階と、暗号化データが該セッション・キー（Ｋｓｅｓ）を使って送信される段階もが含まれ、
   前記セッション・キーが生成される段階には好ましくは、
   前記サービス・プロバイダが、前記第２の数値（Ｒ２）とランダム変数（Ｒａｎｄｏｍ２）を含む計算データから、セッション・キー（Ｋｓｅｓ）を計算するステップと、
   前記単一のランダム変数（Ｒａｎｄｏｍ２）が前記加入者に送信されるステップと、
   前記加入者が、前記計算データ、すなわち前記送信されたランダム変数（Ｒａｎｄｏｍ２）と前記加入者に与えられた前記第２の数値（Ｒ２）とから、前記セッション・キー（Ｋｓｅｓ）を計算するステップとが含まれることを特徴とする請求項１又は２に記載の通信ネットワーク用セキュリティ方法。
4. 請求項２及び請求項３に記載された特徴を有する方法であって、請求項２に記載された前記ランダム変数（Ｒａｎｄｏｍ）と請求項３に記載された前記ランダム変数（Ｒａｎｄｏｍ２）は同一であり、
   前記セッション・キー（Ｋｓｅｓ）を生成する段階では前記サービス・プロバイダから前記加入者へのデータ送信は一切無く、前記ランダム変数は既に前記第２のデータフレームによって前記加入者が入手可能であることを特徴とする通信ネットワーク用セキュリティ方法。
5. 前記セッション・キー（Ｋｓｅｓ）のための前記計算データは、前記サービス・プロバイダと前記加入者の双方に提供されており、前記サービス・プロバイダから前記加入者へ送信される必要の無い前記加入者の認証符号（Ｒ１）も含むと共に、
   もし前記計算されたセッション・キー（Ｋｓｅｓ）が正しく得られたならば、前記加入者によって計算された前記セッション・キー（Ｋｓｅｓ）を使って解読される、前記サービス・プロバイダから受信した前記暗号化データが理解可能であるという事実によって、前記サービス・プロバイダが前記加入者によって効率的に認証されることを特徴とする請求項３に記載の通信ネットワーク用セキュリティ方法。
6. 前記セッション・キー（Ｋｓｅｓ）のための前記計算データは、前記サービス・プロバイダと前記加入者の双方に提供されており、前記サービス・プロバイダから前記加入者へ送信される必要の無い多様化データ（Ｄａｔｅ）も含むことを特徴とする請求項１乃至５の何れか１項に記載の通信ネットワーク用セキュリティ方法。
7. 前記サービス・プロバイダは、登録加入者ごとに、
   加入者のその付属ネットワークにおける識別子（ＤｅｖｉｃｅＩｄ）と、
   前記サービス・プロバイダでの加入者識別／認証（Ｌｏｇｉｎ，ｍｄｐ）データと、
   初期登録時に前記オペレータから受信した前記数値Ｒ１と、
   できれば、最新の通信セッションに特有な前記多様化データ（Ｄａｔｅ）と前記第３の数値Ｒ３と前記ランダム変数（ＲａｎｄｏｍとＲａｎｄｏｍ２）と前記セッション・キー（Ｋｓｅｓ）の一部又は全てとを含む項目のデータを蓄積するデータベースを構築していることを特徴とする請求項１乃至６の何れか１項に記載の通信ネットワーク用セキュリティ方法。
8. 前記第１の数値（Ｒ１）、前記第２の数値（Ｒ２）、前記第３の数値（Ｒ３）、そして前記第４の数値（Ｒ４）と、前記セッション・キー（Ｋｓｅｓ）の少なくとも一部が、暗号アルゴリズムｆ１、ｆ２、ｆ３、ｆ４とｆｋを使って計算されることを特徴とする請求項１乃至７の何れか１項に記載の通信ネットワーク用セキュリティ方法。
9. 前記第１の数値（Ｒ１）はＡ３／Ａ８型アルゴリズムｆ１を使って計算されることを特徴とする請求項８に記載の通信ネットワーク用セキュリティ方法。
10. 前記暗号アルゴリズムは、
    ＭＡＣ方式におけるＤＥＳのような、キーを使用する単一方向的チョッピング関数のアルゴルズムと、
    ｍｄ５（登録商標）、ＲＩＰＥＭ、ＳＨＡのような、キーを使用する単一方向的チョッピング関数のアルゴルズムと、
    ビット・ミキシングを使用するアルゴリズムとを含むグループから選択されることを特徴とする請求項８に記載の通信ネットワーク用セキュリティ方法。
11. 前記加入者を特徴付ける前記秘密要素（Ｓｅｃ．Ｏｐ．）は、前記加入者の携帯電話のＳＩＭカードに含まれるキーＫｉと、前記加入者の端末において利用可能な任意のキーＫｋｍを含むグループに属することを特徴とする請求項１乃至１０の何れか１項に記載の通信ネットワーク用セキュリティ方法。
12. 加入者がＧＳＭネットワークに付属するとき、該加入者の付属ネットワーク内における該加入者の識別子（ＤｅｖｉｃｅＩＤ）は有利には、ＩＭＳＩ（International Mobile Subscriber Identity）とＭＳＩＳＤＮ（Mobile Station ISDN number）とを含むグループに属することを特徴とする請求項１乃至１１の何れか１項に記載の通信ネットワーク用セキュリティ方法。
13. 前記サービス・プロバイダによる前記加入者の識別／認証（Ｌｏｇｉｎ，ｍｄｐ）データは、
    前記サービス・プロバイダのネットワークにおける加入者識別子（Ｌｏｇｉｎ）と、
    前記サービス・プロバイダによって前記加入者に供給される秘密要素（ｍｄｐ）とを含むことを特徴とする請求項１乃至１２の何れか１項に記載の通信ネットワーク用セキュリティ方法。
14. 前記第２の数値（Ｒ２）を計算するために使用される前記多様化データ（Ｄａｔｅ）は、セッションの日付／時刻、前記加入者によって要求される新たなセッション毎に増加する数と、そして前記加入者において生成される乱数とを含むグループに属することを特徴とする請求項１乃至１３の何れか１項に記載の通信ネットワーク用セキュリティ方法。
15. 前記加入者の認証符号を形成する前記第１の数値（Ｒ１）は。それぞれのセッションの間に生成され、前記加入者によって保持されないことを特徴とする請求項１乃至１４の何れか１項に記載の通信ネットワーク用セキュリティ方法。
16. 請求項１乃至１５のいずれかに記載された通信ネットワーク用セキュリティ方法において、前記第１の数値（Ｒ１）が計算されず、そのため該数値が前記ステップの少なくとも一部において知られることがなく、さらにそのとき前記加入者の認証段階が削除されているデータ転送方法。
17. 前記加入者の初期加入段階の間に前記サービス・プロバイダと交換される前記データ（ＤｅｖｉｃｅＩＤ、Ｒ１；ｌｏｇｉｎ、ｍｄｐ）の少なくとも一部は、オンライン送信とオフライン送信を含む手段を使って送信されることを特徴とする請求項１乃至１６の何れか１項に記載の通信ネットワーク用セキュリティ方法。
18. 前記第２の数値（Ｒ２）は前記サービス・プロバイダによって前記加入者に供給される前記秘密要素（ｍｄｐ）と単に等しいことを特徴とする請求項１乃至１７の何れか１項に記載の通信ネットワーク用セキュリティ方法。

Images