(57)【特許請求の範囲】
【請求項１】
チャレンジ・レスポンス方式によって、ネットワーク内の機器を相互認証する方法であって、端末装置（Ｍ）、特に移動局をネットワークに対して認証するためにネットワーク（Ｎ）が要求に基づいて認証センタ（ＡＵＣ）に、第１乱数（チャレンジ１）と第１応答（レスポンス１）とからなる少なくとも１つのデータ対を要求し、第１乱数（チャレンジ１）を端末装置（Ｍ）に転送し、内部に記憶した鍵（Ｋｉ）に基づいて端末装置がこの乱数から第１応答（レスポンス１）を算出してネットワーク（Ｎ）に送信し、更に、端末装置が第２乱数（チャレンジ２）をネットワークに送信し、この乱数がネットワークによって、ＡＵＣ内で算出された第２応答（レスポンス２）で答えられることによって、端末装置（Ｍ）に対するネットワーク（Ｎ）の認証が行われるようにしたものにおいて、
端末装置（Ｍ）からネットワーク（Ｎ）に送信される第１応答（レスポンス１）が同時に第２乱数（チャレンジ２）として利用され、端末装置（Ｍ）に対してネットワーク（Ｎ）を認証する目的で端末装置（Ｍ）の第１応答（レスポンス１）を第２乱数（チャレンジ２）として利用するために、より短い長さの第１応答（レスポンス１）がより長い第２乱数（チャレンジ２）の長さになるように充填されると共に、第２応答（レスポンス２）が既に事前に第１乱数及び第１応答と一緒に３データのセット（チャレンジ１／レスポンス１／レスポンス２）の枠内でネットワークからＡＵＣに要求されることを特徴とする方法。
【請求項２】
ネットワーク（Ｎ）が、端末装置（Ｍ）から送信して戻された第１応答（レスポンス１）を第２乱数（チャレンジ２）として解釈することを特徴とする請求項１に記載の方法。
【請求項３】
ネットワーク（Ｎ）から端末装置（Ｍ）への第１乱数（チャレンジ１）及び第１応答（レスポンス２）の伝送が時間的に前後して行われることを特徴とする請求項１又は２に記載の方法。
【請求項４】
ネットワーク（Ｎ）から端末装置（Ｍ）へのデータ対（チャレンジ１／レスポンス２）の伝送が同時に単一のデータセットの態様で行われることを特徴とする請求項１又は２に記載の方法。
【請求項５】
ネットワーク（Ｎ）が認証センタ（ＡＵＣ）にデータセットを３データのセット（チャレンジ１／レスポンス１／レスポンス２）の態様で要求することを特徴とする請求項２、３又は４に記載の方法。
【請求項６】
要求頻度を減らすためにＡＵＣから複数の３データのセットが予備として提供されることを特徴とする請求項５に記載の方法。
【請求項７】
充填が加入者個々に対して事前に定義されたビットにより行われ、第１応答（レスポンス１）の完全な長さに相手局への伝送前に短縮されることを特徴とする請求項１に記載の方法。
【請求項８】
秘密鍵（Ｋｉ）からなる定義されたビットを有する第１応答（レスポンス１）が第２乱数（チャレンジ２）の長さになるように充填されることを特徴とする請求項７に記載の方法。
【請求項９】
第２乱数（チャレンジ２）が短縮前の原第１応答（レスポンス１）に一致することを特徴とする請求項７に記載の方法。
【請求項１０】
ネットワークがＧＳＭネットワークであることを特徴とする請求項１乃至１０のうちの何れかに記載の方法。
【請求項１１】
ネットワークが有線ネットワークであることを特徴とする請求項１乃至１０のうちの何れかに記載の方法。
【発明の詳細な説明】
【０００１】
本発明は、特許請求の範囲の請求項１の前提部分に記載されたチャレンジ・レスポンス方式によってネットワーク内の機器を相互に認証する方法に関するものである。本発明は、特には、ネットワークに対する、主に移動局である端末装置の認証及びその逆の認証である相互認証に関するものである。以下で用語”移動局”が使用されるが、これは限定的に理解されるべきではない。考えられ得るあらゆる端末装置がこれに含まれ、例えば、有線システム内のコンピュータの個々の利用端末等の固定端末装置も含まれる。
【０００２】
認証は、認証されるべき機器が本物かどうかを点検するのに役立つ。
【０００３】
いわゆるチャレンジ・レスポンス方式は先行技術である。この方式では認証する機器（Ｎ＝ネットワーク）から乱数（チャレンジ）が被認証機器（Ｍ＝移動局）に送信され、アルゴリズム（Ａ）と両方の機器に既知の秘密鍵Ｋとを利用して、この乱数が応答（レスポンス）に換算される。ネットワークＮ中で同じ鍵Ｋと同じアルゴリズムＡとによって期待レスポンスが算出される。Ｍから返信されてきたレスポンスとＮで算出されたレスポンスとの一致がＭの真正を証明する。
【０００４】
先行技術によれば、逆の役割分担で上記経過が起きることによって相互認証が達成される。このような双方向認証は、例えば、欧州公開特許公報第ＥＰ−Ａ−０４４７３８０号に記載されている。
【０００５】
従って、公知のチャレンジ・レスポンス方式では固定ネットワークがチャレンジを移動局Ｍに送り、移動局Ｍは演算法で算出されたレスポンスでもって答える。この演算法は移動局に実装されており、秘密鍵Ｋはこの演算法に属している。この鍵Ｋは１回限りのものである。即ち、移動局が“真正である”＝認証されている限り、この移動局のみが自己に期待されるように答えることができる。別の移動局（Ｍ）はこの鍵を模擬することができない。
【０００６】
従来の方法の不都合は、全認証手続が専らＡＵＣ（認証センタ）においてのみ、即ち、事実上演算センタで検証することである。
【０００７】
つまり、セキュリティ上の理由から、ＡとＫを中央局（認証センタ＝ＡＵＣ内）で管理して、認証する（本物かどうかの点検を実行する）局Ｎには認証を目的にチャレンジ／レスポンス対のみを予め（場合によっては幾つかを予備として）伝送することがシステムアーキテクチャ上有利であることが判明していたからである。
【０００８】
つまり、ＡＵＣからネットワークに（いわゆる“デュプレット・リクエスト”の態様のネットワークの要求に答えて）伝送されるチャレンジ／レスポンス対は、大きな範囲で既に“予め”算出されており、認証操作の間に応答（レスポンス）が移動局Ｍからくると、両方の応答が比較される。こうして、一致する場合にはネットワークＮに対する移動局Ｍの認証手続が成功して終了する。
【０００９】
従って、先行技術による公知の方法では、移動局がネットワークに対して認証されるようになっている。そのため、無資格者によってネットワークが模倣され、こうして当該移動局Ｍが模倣されたネットワークに“誘き寄せられて”、その際に“真正の”ネットワークであるかのように移動局Ｍが惑わされる危険がある。この不正事例の場合、Ｍは模倣ネットワークＮに対して認証され、模倣ネットワークの無資格運営者はこの移動局Ｍから非公開データを呼び出すことができる。
【００１０】
例として、従来は片方向認証（ＭがＮに対して認証する）のみを行うＧＳＭネットワークを挙げておく。更に、公知のＴＥＴＲＡ規格では双方向認証が許容されている。
【００１１】
後に使用する用語“チャレンジ１、レスポンス１とチャレンジ２、レスポンス２”をより明確にするためにこの方法を以下に説明する。
【００１２】
チャレンジ１は移動局ＭをネットワークＮに対して認証するのに役立つ。この認証が成功して終了したならば、移動局Ｍは逆の認証を要求して、現在のネットワークＮが実際に有資格ネットワークであるか、また、不正に模倣されたネットワークでないかどうかが今や点検される。つまり、ネットワークＮが移動局Ｍに対して認証されねばならない。その際に、移動局Ｍがチャレンジ２をネットワークに送り、ネットワークはチャレンジ２をＡＵＣに転送し、ＡＵＣでこのチャレンジからレスポンス２が算出され、このレスポンスが再びネットワークＮに送られ、このネットワークがレスポンス２を移動局に転送する。移動局が自分で算出したレスポンス２と得られたレスポンス２との一致を確認したならば、認証はこうして成功して終了する。この認証対がチャレンジ２／レスポンス２と称される。
【００１３】
相互認証の場合、このようなシステムアーキテクチャでは、Ｍから送信されたチャレンジがＮ内でではなく、ＡＵＣ内でのみレスポンスに換算され、場合によってはそのことからデータ転送Ｎ−ＡＵＣ−ＮとＡＵＣ内でのオンライン演算処理のためにかなりの時間的な遅延を生じてしまうことが不利に作用する。
【００１４】
本発明の課題は、ネットワーク内、特に、ＧＳＭネットワーク内の機器を認証する公知の方法を改良して、この方法が本質的に進捗するようにすることである。
【００１５】
提起された課題を解決するために本願方法は、移動局Ｍから送信して戻されたレスポンス１が同時にネットワークＮによってチャレンジ２として利用され、そのことの利点として、ＡＵＣによって同時に上記チャレンジ／レスポンス対でレスポンス２も（チャレンジ２に対する応答として）算出して伝送される特徴を有する。これによって、ＡＵＣにチャレンジ２の到来後にはじめてＮがレスポンス２を用意しなければならない場合に現れるであろうような時間的遅延は取り除かれる。
【００１６】
こうして、ネットワークＮの真正を検知するためには、もはや移動局がチャレンジ２を内部で発生してネットワークに送るのではなく、レスポンス１をチャレンジ２と等化にすることによって、期待されるチャレンジ２に関してＭとＮの相互一致が既に存在している。こうしてネットワークは既に発生したレスポンス２を移動局に送ることができ、移動局はこのレスポンス２を、自分で算出した値と比較し、一致するとネットワークを“真正”と認知する。
【００１７】
つまり、その際に重要な点として、移動局からネットワークに送られるレスポンス１が同時にこの移動局のチャレンジ２として利用され、移動局はネットワークのレスポンス２を待ち受けるためにこのチャレンジをネットワークに送ることはもはやない。つまり、レスポンス２が内部で既に算出されたのであるから、移動局のチャレンジ２をネットワークは既に事前に承知している。こうしてネットワークは既にレスポンス２も算出することができる。
【００１８】
本発明によれば、移動局からネットワークへの認証、そして、それに続いてネットワークから移動局への認証である相互認証が、もはや比較的高い時間的な必要性を有して時間的に離れて前後して行われるのではなく、双方の真正点検は今や互いに関連され時間的に一緒になる。
【００１９】
こうして、本発明によればチャレンジ２は省くことができ、もはや伝送される必要がないので、１点検数（チャレンジ２）の完全データ伝送が回避される。ネットワークからのレスポンス２の別の伝送は、すでに、ネットワークがチャレンジ１を発信すると直ぐにレスポンス２を移動局に送っておくことによって省かれる。これは、何が移動局のチャレンジ２となるのかをネットワークが既に事前に承知していることに基づいており、従って、ネットワークはレスポンス２を移動局に直ちに送ることもできる。つまり、単一のデータ伝送時にネットワークはチャレンジ１／レスポンス２のデータ対を移動局に伝送する。こうして、ＭがＮに対して認証される前に移動局がＮの真正を既に検知することが達成される。
【００２０】
その際、２種類の実施の態様がある。
【００２１】
第１の実施の態様では、ネットワークが移動局にチャレンジ１を伝達する。移動局Ｍはレスポンス１で答える。しかし、既に事前にＡＵＣからネットワークに多数の３つのデータパケット（トリプレット＝チャレンジ１／レスポンス１／レスポンス２）が伝送された後、ネットワークＮは移動局Ｍのレスポンス１も事前に識別している。しかし、レスポンス１の識別に伴ってネットワークにはチャレンジ２も既に知られている。移動局は今やチャレンジ２をネットワークに送るのでなく、ネットワークがＭのレスポンス１に対してレスポンス２で答える。しかし、この識別は“真正な”ネットワークにのみ特有なものでなければならない。不正な模倣ネットワークはこの識別を持たない。こうしてネットワークＮは移動局に対して単一のデータパケット（チャレンジ１／レスポンス２）の伝送によって認証し、第２データパケット（チャレンジ２）の伝送が省かれる。
【００２２】
その際、レスポンス２がレスポンス１の関数であると有利である。即ち、関数関係の識別時にレスポンス１＝チャレンジ２からレスポンス２は算出することができる。先行技術によればレスポンス２はチャレンジ２の関数であった。本発明によれば、チャレンジ２＝レスポンス１がチャレンジ１の関数であるので、チャレンジ２はもはや伝送される必要がない。
【００２３】
結局、レスポンス１とチャレンジ２との等化は、レスポンス２がチャレンジ１の関数でもあることに関わる。
【００２４】
従って、第１の構成では、チャレンジ１とレスポンス２が時間的に前後して移動局Ｍに送られる。
【００２５】
第２の構成では、チャレンジ１とレスポンス２はデータパケットとして一緒に移動局Ｍに送られるようになっている。
【００２６】
これに対して、移動局はレスポンス１で答え、今やネットワークはレスポンス１をレスポンス１の期待値と比較し、移動局はレスポンス２をレスポンス２の内部算出値と比較する。
【００２７】
公知のシステム（例えばＧＳＭネットワーク）では、レスポンスの長さ（３２ビット）が乱数・チャレンジ（１２８ビット）よりも短い。ＮをＭに対して認証するためにレスポンスを同時にチャレンジとして同じアルゴリズムＡで利用できるようにするには、レスポンス１の長さを、アルゴリズムＡによって予測される１２８ビットの長さにすることが不可欠である。
【００２８】
これは、レスポンス１の４重連結（４×３２ビット＝１２８ビット）の、又は、事前に定義された（加入者固有の、又は、加入者に依存しない）１２８ビット・フィルの充填よって達成することができる。
【００２９】
加入者固有ビットの充填に関する提案：
１．相手局に伝送するためにレスポンス１が３２ビットに短縮される前にこのレスポンスの完全な演算結果を取り出し、
２．ＭとＡＵＣとにおいて既知のＫｉからなる定義されたビットで充填することである。
【００３０】
つまり両方の実施態様が先行技術に対して有する利点として、一方でネットワークと移動局との間のデータトラヒックが、そして、他方でネットワークとＡＵＣとの間のデータトラヒックも、簡略化され、従って増大される。先行技術によれば、ネットワークと移動局Ｍとの間で４つのメッセージ、つまり、チャレンジ１、レスポンス１、チャレンジ２、レスポンス２が、往復して送られねばならない。更に、ネットワークはまずチャレンジ２をＡＵＣに伝送しなければならず、ＡＵＣはレスポンス２を算出してネットワークに引き渡さねばならず、これは更なる時間損失に結び付く。
【００３１】
本発明によれば、ネットワークからＡＵＣに対する時間のかかるオンライン応答が回避される。これは、ネットワークと移動局との間で認証するための本来のデータトラヒックの前に、このためにＡＵＣによって必要とされるデータパケットが既に呼び出され、後に使用するためにネットワークに一時貯蔵されることによって行われる。
【００３２】
このようなデータパケット（トリプレット）は、大きな時間的準備段階において（例えば数時間前、又は数日前に）既にネットワークがＡＵＣから呼び出すことも可能である。前記双方の実施の態様に共通する点として、レスポンス１がチャレンジ２として利用され、チャレンジ２の本来の伝送を省くことができる。
【００３３】
好ましい幾つかの実施の形態を図面に基づいて詳しく説明する。図面及びその説明から本発明のその他の特徴が明らかとなる。
【００３４】
図１の実施の形態では、まず、ネットワークＮがデータセットを２パケット（ドゥプレットリクエスト）としてＡＵＣに要求する。この２パケットはチャレンジ１／レスポンス１用データセットを含む。移動局ＭがネットワークＮに対して認証されねばならなくなると、Ｎはまずチャレンジ１のデータセットをＭに送信し、Ｍがレスポンス１で答える。Ｎが両方のデータセットの一致を確認すると、Ｎに対するＭの“真正”が証明されたことになる。その逆に、ＭがＮにチャレンジ２を送信し、これをＮがＡＵＣに転送し、そこでそれから、要求されたレスポンス２が算出され、これをＡＵＣがＮに転送し、これをＮが再びＭに送出することによって、ＭがＮの真正の点検を要求する。Ｍは今や内部で計算したレスポンスとＮから得られたレスポンス２とを比較し、両者が一致するときＮの真正を検証する。
【００３５】
既に冒頭で指摘したように、この多面的データ交換によって一方ではＭとＮとの間で、他方ではＮとＡＵＣとの間でトラヒックが相当に負担となり、それ故に時間的な遅延を伴う。
【００３６】
図２に示す新規な方法の第１の実施の形態はこの点に対処しており、そこではＮがＡＵＣにチャレンジ１／レスポンス１／レスポンス２の態様のいわゆる３つのデータセット（トリプレット）を要求するようになっている。その際、データセット・レスポンス２はデータセット・レスポンス１に関連する関数であり、アルゴリズムによって計算可能である。このようなデータセットはＮとＭとのデータトラヒックの展開よりも時間的にはるかに以前にＡＵＣに要求され、多重データセットの態様でＮに記憶される。これにより、図１の先行技術では不可欠であった、ＮとＡＵＣとの間のオンライン・データトラヒックの必要性が省かれる。
【００３７】
Ｎに対してＭを認証するためにＮがＭにまずチャレンジ１を送信し、それに対してＭがレスポンス１で答える。先行技術におけるＭからＮに送信されるデータセット・チャレンジ２をＮが既に検知した後は、Ｍに対して認証するためにＮがなおデータセット・レスポンス２をＭに送信するだけで間に合う。Ｍは内部でデータセット・レスポンス２を算出して、これをＮから送信されるレスポンス２と比較する。一致する場合、Ｍに対するＮの“真正”が証明されたことになる。
【００３８】
図３に示す本発明の方法の第２の実施の態様では、図２に示す方法とは別に、Ｎは直ちに１回だけデータセット・チャレンジ１／レスポンス２をＭに送る。Ｍがデータセット・レスポンス１を送り戻したなら、Ｎに対するＭの認証も、その逆にＭに対するＮの認証も、成功したことになる。
【図面の簡単な説明】
【図１】先行技術による認証法の略示図である。
【図２】本発明による認証の第１の実施の態様を示す。
【図３】本発明による認証の第２の実施の態様を示す。
【図１】
0004131454.tif 000002
【図２】
0004131454.tif 000003
【図３】
0004131454.tif 000004