Source: https://patents.google.com/patent/FI117181B/en
Timestamp: 2019-11-15 11:49:29+00:00
Document Index: 6749846

Matched Legal Cases: ['kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ', 'kko ']

FI117181B - A method and system for identifying the identity of the user - Google Patents
A method and system for identifying the identity of the user Download PDF
FI20030154A0 (en
FI20030154A (en
2003-01-31 Priority to FI20030154A priority Critical patent/FI117181B/en
2003-01-31 Publication of FI20030154A0 publication Critical patent/FI20030154A0/en
2004-08-01 Publication of FI20030154A publication Critical patent/FI20030154A/en
2006-07-14 Publication of FI117181B publication Critical patent/FI117181B/en
117181 117181
MENETELMÄ JA JÄRJESTELMÄ KÄYTTÄJÄN IDENTITEETIN TUNNISTAMISEKSI METHOD AND SYSTEM FOR THE IDENTIFICATION OF THE USER IDENTITY
Esillä oleva keksintö liittyy tietoliikenne-5 järjestelmiin. The present invention relates to communications systems 5. Erityisesti esillä oleva keksintö liittyy uuteen ja edistykselliseen menetelmään ja järjestelmään käyttäjän tunnistamiseksi tietoliikennejärjestelmässä . In particular, the present invention relates to a novel and improved method and system for identifying the user of the communication system.
Käyttäjän tunnistus on olennaisen menettely internet-ympäristön erilaisissa tehtävissä. User identification is an essential procedure for the Internet environment in different positions. Käyttäjän tunnistusta tarvitaan erilaisissa ympäristöissä, esimerkiksi sähköpostin sisäänkirjautumisessa, on-line -15 kaupankäynnissä, on-line -pankkiasioissa jne. On-line -tunnistusmenetelmissä on aina perustavaa laatua oleva ongelma, joka täytyy ratkaista, nimittäin, kuinka varmistua siitä, että henkilö joka tunnistautuu todella on se, joka hän väittää olevansa. User identification is needed in various environments, such as e-mail log, -15 on-line commerce, on-line -pankkiasioissa etc. Online Identification Procedure is always a fundamental problem to be solved, namely, how to ensure that the person who identifies it really is who they claim to be.
20 Useita ratkaisuja on käytetty ratkaisemaan edellä mainittua ongelmaa tunnistustarkoitusta varten. 20 A number of solutions have been used to solve the above-mentioned problem for the purpose of identification. Perusratkaisu on käyttää käyttäjätunnusta ja salasa-naa. The basic solution is to use a user ID and Pwd-naa. Käyttäjätunnus/salasana -yhdistelmä on usein * * · "* ; riittävä tunnistustarkoituksia varten, mutta ei aina. Username / password combination is often · * * "*; sufficient for identification purposes, but not always.
25 Nykyään useat palvelut vaativat käyttäjätunnistuksen, • * *·*·* ja tämän vuoksi henkilöllä voi olla kymmeniä erilaisia ** * : '.· käyttäjätunnus/salasana -pareja tallennettuna jonne- ** * kin, esimerkiksi tietokoneelle tai paperiarkille lipastoon. 25 Today, many services require user authentication, • * * · * · * and, therefore, a person may be dozens of different ** * '· username / password pairs stored jonne- ** * also, for example, a computer or a sheet of paper in a drawer.. Sen vuoksi nämä käyttäjätunnus/salasana -pa- ··· 30 rit voivat joskus päätyä ihmisille, joilla ei ole oi- ··** .···. Therefore, these username / password -pa- ··· 30 rit can sometimes end up with people who do not have legal ** ··. ···. keutta käyttää niitä, esimerkiksi tietokone voi olla e ·] haavoittuva hakkeroinnille tai lipasto on liian ilmei- • · · :·· * nen paikka piilottaa käyttäjätunnus/salasana -parit. keutta use them, for example, the computer can be e ·] vulnerable to hacking or chest of drawers is too obvious • · ·: ·· * of place to hide your username / password pairs.
·...· On olemassa myös muita tunnistusratkaisuja, 35 joita käytetään on-line tunnistusratkaisuissa. · ... · There are also other solutions for identification, 35 which are used for on-line identification solutions. Käyttä- • 4 · jä voi käyttää yhtä tai useampaa staattista tietoa • « 2 il nm (esimerkiksi käyttäjätunnusta ja/tai salasanaa), mutta myös vaihtuvaa tietoa (esimerkiksi vaihtuva PIN-koodi) tarvitaan. • 4 · user and may use one or more static information • «il 2 nm (for example, user ID and / or password) but also variable information (for example, the variable PIN code) is needed. Tällaista ratkaisua käytetään ainakin useissa on-line -pankkiratkaisuissa. Such a solution is used, at least the number of on-line -pankkiratkaisuissa. Näissä ratkai-5 suissa kukin istunto ja/tai transaktio vaatii ennalta määrätyn muuttuvan käytettävän tunnisteen. These provide a solution to 5 endings, each session and / or transaction requires a predetermined identifier to be used to change.
Tämänhetkinen keskustelu tunnistusratkaisuista keskittyy pääasiallisesti Internet-pohjaisiin ratkaisuihin. The current debate focuses on identification solutions primarily Internet-based solutions. Tämä on tietenkin tärkeää, koska tietover-10 kot, esimerkiksi Internet-verkko, ovat aina haavoittuvia vihamielisille hyökkäyksille tai hakkereille. This is of course important, because the roads over-10-kot, for example, the Internet network, are always vulnerable to malicious attacks or hackers.
On kuitenkin olemassa joukko on-line tunnistusratkaisuja, joita käytetään puhelinverkoissa. However, there are a number of on-line identification solutions used in telephone networks. On olemassa useita puhelinpalveluja, joiden kautta voi-15 daan hankkia tai vaihtaa luottamuksellista tietoa, esimerkiksi puhelinpankkipalvelut, erilaiset terveyteen liittyvät palvelut, puhelinoperaattoripalvelut jne. Tällaisissa palveluissa käytetään usein jonkin' laista tunnistusmenetelmää. There are several phone services through which can be 15 to purchase or exchange confidential information, such as telephone banking, various health services, telephone operator services etc. Such services are often used for some 'kind of detection method. Soittava henkilö voidaan 20 tunnistaa esimerkiksi A-numeron (soittavan linjan tunnistus) , asiakkaan tunnistusnumeron, PIN-koodin, käyttäjätunnuksen ja/tai salasanan perusteella jne. Nämä ·:· ratkaisut ovat hyvin samanlaisia niiden ratkaisujen 19*· ; A calling person can be identified, for example 20 A-number (calling line identification), customer identification number, PIN code, username and / or password, etc. on the basis of these · · solutions are very similar in their solutions · 19 *,. kanssa, joita käytetään Internet-pohjaisissa ratkai- # ♦ » ♦*· * _ _ 25 suissa. with the used Internet-based solutions # ♦ »♦ * * · _ _ 25 endings.
• ... Kaikilla edellä mainituilla ratkaisuilla on * * *···* kuitenkin eräitä ongelmakohtia. • ... All the solutions mentioned above is * * * * · · · However, some of the problem areas. Seuraavassa käydään • · · • ·' läpi lyhyesti joitain näistä ongelmakohdista: * * * ·...· Ä-numero (soittavan linjan tunnistus) : A- 30 numero tunnistaa ainoastaan päätelaitteen tai liitty- ·;· män, josta puhelu muodostetaan. The following presents • • · · · 'through briefly some of these problem areas: * * * · ... · A-number (calling line identification): A number of 30 to recognize only the terminal or the related ·, · system from which the call is made. A-numero ei välttämät- ···· ;***j tä tunnista soittajaa. A number does not necessarily ····; *** j s to identify the caller. On aina mahdollista, että joku • t» ,·, vilpillisesti esiintyy jonakin toisena. It is always possible that someone • t », ·, fraudulently impersonating.
* * * ·*!φ· PIN-koodi: PIN-koodia voidaan käyttää yksi- • « *···" 35 nään tai yhdessä esimerkiksi A-numeron kanssa tunnis- « tuksessa. Voi olla vaikeaa, kuten edellä mainittiin, • 91 muistaa PIN-koodeja, jotka liittyvät kuhunkin palve- 117181 3 luun. Jälleen on mahdollista, että joku vilpillisesti esiintyy jonakin toisena. * * * * · Φ · PIN code: The PIN code can be used one- • «* · · ·" 35, alone or in combination with, for example, A-number identification «tuksessa can be difficult, as mentioned above, • 91. remember PIN codes related to each service 117 181 3 bone. Again, it is possible that someone fraudulently impersonating.
Vaihtuva PIN-koodi yhdessä asiakkaan tunnistusnumeron kanssa: Tätä ratkaisua käsiteltiin yllä ly-5 hyesti. Varying PIN code, together with customer identification number: This solution was discussed above ly-5 hyesti. Järjestelmät, jotka perustuvat vaihtuvan PIN-koodin käyttämiseen asiakkaan tunnistusnumeron kanssa, ovat itsessään luotettavia, mutta kalliita pystyttää, käyttää ja ylläpitää. Systems that are based on the use of variable PIN code with the customer identification number, are reliable in themselves, but they are expensive to set up, use and maintain. Tällaisia ratkaisuja käyttävät ainakin puhelinpankit tai palveluntarjoajat, jotka 10 käyttävät nykyaikaista kanta-asiäkäsjärjestelmää. Such solutions are used by banks, or at least a phone service providers, who use the 10 contemporary loyal client system.
Osassa julkisen tahon tai muiden palveluntarjoajien (yksityisten tai kaupallisten) tarjoamia palveluita on tarve toteuttaa merkittävä osa olemassa olevista palveluista puhelinyhteyksien kautta. Some of the public sector or other service providers (private or commercial) services offered is a need to implement a significant part of the existing services via telephone connections. Tällai-15 set palvelut vaativat kuitenkin asiakkaan tai henkilön luotettavaa tunnistamista ennen palvelun tarjoamista. Such-15, however, set services require reliable identification of the client or a person before the provision of the service. Lisäksi osa julkisen tahon tai muiden palveluntarjoajien (yksityisten tai kaupallisten) tarjoamista palveluista, jotka välitetään puhelinyhteyksien kautta, 20 vaativat asiakkaalta tai henkilöltä digitaalisen allekirjoituksen. In addition, some of the services offered by the public sector or other service providers (private or commercial), which are transmitted through telephone lines, 20 require client or person digital signature.
Tämän vuoksi on olemassa nimenomaisesti il-meinen tarve luotettavalle on-line -puhelintunnistus-ratkaisulle, jonka avulla soittava henkilö voidaan ·;*·· 25 tunnistaa ennen palvelun tarjoamista puhelinyhteyden kautta. Therefore, there is a specific IL-obvious need for a reliable on-line -puhelintunnistus-solution, which allows the calling person to ·; * 25 ·· identified before the service is provided via a telephone connection. Ratkaisu pitäisi olla turvallinen ja ennen • · · ;v. The solution should be safe and above • · ·, v. kaikkea helppo käyttää ja ottaa käyttöön ja yleisesti * * \.I saatavilla tarvittaessa. all easy to use and implement and in general * * \ .I available if needed.
• * « · ·»· • * «· ·» ·
♦ « · « • · ♦ ♦ «·« · • ♦
Esillä oleva keksintö esittää menetelmän ja The present invention discloses a method and
9 9 J September 9 J
9 9 *'* järjestelmän ensimmäinen päätelaitteen käyttäjän iden- • · ·.“· ti teet in tunnistamiseksi tietoliikennejärjestelmässä. September 9 * '* first system terminal user identification • · ·. "· Ti doing in the identification of a communication system.
:***: Järjestelmä käsittää ainakin tietoliikenneverkon, y*.' ***: The system comprises at least a communication network, y * '. 35 soittajapäätelaitteen, joka on liitetty tietoliikenne- 9 9 9 verkkoon, palveluntarjoajan, joka on liitetty tieto- • 9 *···* liikenneverkkoon ja sertif ikaattipalveluntarjoajan. 35 caller terminal, which is connected to the telecommunications 9 9 9 to the network, the service provider, which is connected to the data • 9 * · · · * transport network and ikaattipalveluntarjoajan certif.
117181 4 117 181 4
Lisäksi soittajapäätelaite viittaa edullisesti matkaviestimeen. The caller terminal preferably refers to a mobile station.
Menet e1mäs sä muodost et aan puhe1u tietoliikenneverkon kautta soittajapäätelaitteesta 5 palvelutarjoajaan. Proceed e1mäs SA is created, et puhe1u of the caller via the telecommunication network from the terminal 5 of the service provider. Palveluntarjoaja viittaa esimerkiksi pankkiin, poliisiin, postiin, operaattoriin, luottokorttiyhtiöön, vakuutusyhtiöön, puhelinpankkiin, kansaneläkelaitokseen jne. Palveluntarjoaja lähettää soittajapäätelaitteen käyttäjän tunnistuspyynnön toi-10 sen tietoliikenneyhteyden kautta, kun puhelu on muodostettuna soittajapäätelaitteen ja palveluntarjoajan välillä, joka toinen tietoliikenneyhteys on muu kuin muodostettu puheluyhteys palveluntarjoajan ja soittajapäätelaitteen välillä. The service provider refers to, for example, a bank, police, post office, operator, credit card company, insurance company, telephone bank, the Social Insurance Institution etc. The service provider sends the caller terminal user authentication request brought to-10 through the telecommunication connection when the call is established between the caller terminal and the service provider, which second communication connection is other than the established call connection service and between the caller terminal. Käyttäjän tunnistuspyyntö 15 vastaanotetaan, kun puhelu on muodostettuna. The user identification request 15 is received when a call is formed. Pyyntö allekirjoitetaan digitaalisesti ja digitaalisesti allekirjoitettu pyyntö lähetetään toisen tietoliikenneyhteyden kautta. The request is signed digitally and digitally signed request is sent via a second communications link. Tämän jälkeen soittaja autentikoi-daan ja digitaalinen allekirjoitus verifioidaan. Then, the caller-authenticates the digital signature, and be verified. Jos 20 autentikointi ja verifiointi onnistuivat, soittajalle tarjotaan palveluntarjoajan tarjoamia palveluja puhe-luyhteyden kautta. 20 If authentication and verification succeeded, the caller is offered the services offered by the service provider via a speech-luyhteyden. Käyttäjän tunnistamiseen voidaan käyttää erillistä osapuolta toisen lml\ tietoliikenneyhteyden kautta, joka osapuoli on muu ·:··· 25 kuin soittajapäätelaitteen käyttäjä. The user may be identified by a separate party to the second lml \ via a communication link which is the other party ·: ··· 25 as a caller terminal's user.
.·*·. . · * ·. Eräässä sovelluksessa tietoliikenneverkko on « * matkaviestinverkko. In one embodiment, the communication network is «* mobile network. Eräässä sovelluksessa toinen « * tietolii kenneyht eys viittaa st andardoi tuun GSM-verkon *** tiedonlähetyspiirteeseen, jota voidaan käyttää saman- 30 aikaisesti piirikytkentäisen puheyhteyden aikana. In one embodiment, the second «* kenneyht eys our communications technology refers st andardoi tuun GSM network *** tiedonlähetyspiirteeseen, which can be used in the same 30-time circuit-switched voice connection. Toi- * * * *·:·* sissa sovelluksissa yhteydet voivat viitata esimerkik- **♦ si GPRS-verkon, UMTS-verkon, WCDMA-verkon, CDMA-·'. On the other * * * * · · *-specific applications connections can refer esimerkik- ** ♦ si GPRS network, a UMTS network, a WCDMA network, a CDMA · '. : verkon, EDGE-verkon, Bluetooth:in, WLAN-verkon siirto- » M 9 S 9 • * ,*··. : A network, EDGE network of Bluetooth, WLAN transmission »M 9 9 • S *, * ··. kanavaan tai mihin tahansa olemassa olevaan tai tule- • * *·' 35 vaan tiedonsiirtoverkkoon. channel or to any existing or future • * * · '35 but the data transmission network.
·.· : Esillä olevan keksinnön eräässä sovelluksessa * » * käyttäjän tunnistuspyyntö lähetetään 117181 5 soittajapäätelaitteelle ja vielä edullisemmin käyttämällä turvayhdyskäytävää, joka muodostaa rajapinnan soittajapäätelaitteelle. · ·. The present invention, in one embodiment, * »* authentication request is sent 117 181 5 caller terminal, and still more preferably from security gateway which provides an interface between the caller terminal. Pyyntö on edullisesti salattu. The request is preferably encrypted. Soittajapäätelaite vastaanottaa pyynnön ja purkaa 5 pyynnön salauksen, jos salausta on käytetty. The caller terminal receives the request and terminate the 5 request for encryption, if encryption is used. Jotta soittajapäätelaitteen käyttäjän identiteetistä annetaan riittävä osoitus, pyyntö on digitaalisesti allekirjoitettu soittajapäätelaitteella. In order to be given a sufficient indication, the caller terminal user's identity, the request is digitally signed with the caller terminal. Eräässä toisessa sovelluksessa käyttäjän tunnistuspyyntö lähetetään 10 toiselle päätelaitteelle. In another embodiment, the user authentication request is sent 10 to the second terminal.
Digitaalisen allekirjoituksen luomiseksi soittajapäätelaite ja/tai toinen päätelaite sisältää salausavaimen, ja lisäksi digitaalisen allekirjoituksen luomiseksi päätelaitteen käyttäjällä täytyy olla 15 oikea salasana tai PIN-koodi allekirjoituksen luomisen aktivoimiseksi. creating a digital signature to the caller terminal and / or the second terminal includes an encryption key, and further to create a digital signature to the user terminal 15 must be the correct password or PIN code to activate the signature creation. Allekirjoitettu tunnistuspyyntö lähetetään tämän jälkeen joko suoraan palvelutarjoajalle tai vielä edullisemmin turvayhdyskäytävälle. The signed identification request is then sent to the service operator, either directly or, more preferably, to the security gateway. Allekirjoitettu pyyntö voidaan myös salata 20 soittajapäätelaitteella ja/tai toisella päätelaitteel la. The signed request may also be encrypted caller terminal 20 and / or the second päätelaitteel Ia.
Tämän jälkeen digitaalinen allekirjoitus ve- ·.!:* rif ioidaan digitaalisen allekirjoituksen luomisessa * * : käytettyä todennusavainta vastaavan sertifikaatin pe- *5": 25 rusteella, joka sertifikaatti on saatu sertifikaatti- palveluntarjoajalta tai toiselta palveluntarjoajalta. Edullisesti palveluntarjoaja tekee verifioinnin, ja * · .**·. vielä edullisemmin turvayhdyskäytävä. Jos käyttäjä au- tentikoidaan asianmukaisesti, ja verifioinnin tulos on 30 positiivinen, palveluntarjoaja voi tarjota » * « I'! soittaj apäätelaitteen käyttäjälle palveluja olemassa *·;·* olevan puheluyhteyden kautta. Thereafter, the digital signature of the water ·.! * Rif ioidaan digital signature creation * *: the authentication certificate used for the corresponding basic * 5 ". Certificate- 25 basis, a certificate obtained from the service provider or other provider Preferably, the service provider will make verification and * .. · ** · more preferably from security gateway If the user audio properly tentikoidaan, and the verification result is positive 30, the service provider may offer »*« I 'Caller apäätelaitteen user services exists * ·;.! · * to be through a telephone connection.
» * ί/.: Jostain syystä muodostettu puheluyhteys voi :***: katketa sillä aikaa, kun tunnistus- ja validiointipro- *** 35 sessi on vielä kesken. »* Ί / .: For some reason the call connection is formed can: ***: break while the identification and validiointipro- *** 35 process is still ongoing. Sen vuoksi täytyy tarjota me- *[.* nettely validoidun yhteyden uudelleenmuodostamiseksi. Therefore, the need to provide methyl [. * Validated procedure for reestablishing the connection.
• · *···' Jos puheluyhteys katkeaa verifiointimenettelyn aikana, 117181 6 palveluntarjoaja luo haasteen, esimerkiksi salasanan, ja salaa sen käyttämällä soittajapäätelaitteen käyttäjän julkista salausavainta. • · * · · · 'If the call connection is lost during verifiointimenettelyn, 6 117 181 service provider creates a challenge, for example, a password, and encrypts it using the caller terminal user's public encryption key. Salattu haaste lähetetään tämän jälkeen soittajapäätelaitteelle joko suoraan tai 5 vielä edullisemmin käyttämällä turvayhdyskäytävää. The encrypted challenge is then sent to the first terminal either directly or more preferably 5 using the security gateway. Soittajapäätelaite purkaa salatun haasteen salauksen, muodostaa uuden puheluyhteyden palveluntarjoajaan ja välittää palveluntarjoajalle salauksesta puretun haasteen. The caller terminal decrypt the encrypted challenge, constitutes a service provider to a new telephone connection to the service provider and forwards the decrypted challenge. Jos haaste on hyväksyttävä, palveluntarjoaja 10 tarjoaa soittajapäätelaitteen käyttäjälle palvelua uu-delleenmuodostetun puheluyhteyden kautta. If the challenge is acceptable, the service provider 10 provides the user with the caller terminal services uu-delleenmuodostetun call connection.
Esillä oleva keksintö mahdollistaa luotettavan henkilön tai asiakkaan tunnistamisen puheluyhteyden yli. The present invention enables reliable identification of the person or the customer over a telephone connection. Esillä oleva keksintö tarjoaa rat-15 kaisun, jossa useat palvelut voivat käyttää samaa turvaratkaisua autentikointia, valtuutusta, hallinnointia ja pääsynhänintaa varten. The present invention provides a rat-Kaisu 15, wherein the plurality of services may use the same security solution for authentication, authorization, administration and for pääsynhänintaa. Lisäksi ratkaisu on kustannustehokas, turvallinen ja helppo toteuttaa olemassa oleviin järjestelmiin. In addition, the solution is cost-effective, safe and easy to implement in existing systems.
LYHYT KUVALUETTELO SHORT LIST OF ILLUSTRATIONS
Oheiset piirustukset, jotka on sisällytetty •.ΙΓ antamaan lisäymmärrystä keksinnöstä ja muodostamaan ί osan selityksestä, esittävät keksinnön sovelluksia, ja ««* * 25 yhdessä selityksen kanssa auttava selittämään keksin- ... non perusajatuksia. The accompanying drawings, which are incorporated • .ΙΓ provide a further understanding of the invention and form a ί part of the specification, illustrate embodiments of the invention, and «« * * 25 together with the description help to explain the inventive ... non basic ideas. Piirustuksissa: '...· kuva 1 on vuokaavio, joka esittää käyttäjän : **: tunnistusmenetelmää esillä olevan keksinnön mukaises- • · ti, 30 kuva 2 on vuokaavio, joka esittää käyttäjän tunnistusmenetelmää esillä olevan keksinnön mukaises- * • · * 4_ * In the drawings: "... · Figure 1 is a flow chart illustrating a user: **: mukaises- detection method of the present invention • · t, 30 Figure 2 is a flow chart illustrating a user identification method of the present invention mukaises- • · * * * 4 -C
• · · tl I • · · tl I
kuva 3 on vuokaavio, joka esittää uudelleen- β·*β muodostusmenetelmää esillä olevan keksinnön mukaises- ;N 35 ti, :**: kuva 4 on vuokaavio, joka esittää käyttäjän tunnistusmenetelmää esillä olevan keksinnön mukaises-v · ti, • * • · »·· 7 1171-81 kuva 5 on vuokaavio, joka esittää uudelleen-muodostusmenetelmää esillä olevan keksinnön mukaises ti, kuva 6 on vuokaavio, joka esittää käyttäjän 5 tunnistusmenetelmää esillä olevan keksinnön mukaises ti, kuva 7 on vuokaavio, joka esittää käyttäjän tunnistusmenetelmää esillä olevan keksinnön mukaises ti, 10 kuva 8 on vuokaavio, joka esittää käyttäjän tunnistusmenetelmää esillä olevan keksinnön mukaises ti, ja kuva 9 on lohkokaavio eräästä esillä olevan keksinnön mukaisesta järjestelmästä. Figure 3 is a flow diagram showing a re-β · * β-forming method of the present invention mukaises- N 35 t,: **: Figure 4 is a flow diagram illustrating a user identification method of the present invention mukaises-v · t, • * • · "·· 7 1171-81 figure 5 is a flow diagram showing a re-forming method mukaises of the present invention, Ti, figure 6 is a flow chart showing the user 5 detection method mukaises of the present invention, Ti, figure 7 is a flow diagram illustrating a user identification method of the present mukaises invention Tue, 10 figure 8 is a flow chart illustrating a user identification method of the present invention mukaises acetate, and figure 9 is a block diagram of a system according to the present invention.
Seuraavassa viitataan yksityiskohtaisesti esillä olevan keksinnön sovelluksiin, joista esitetään esimerkkejä oheisissa piirustuksissa, 20 Seuraavissa esimerkeissä käyttäjän katsotaan olevan käyttäjä, joka puhuu puhelua. Referring now in detail to the embodiments of the present invention, examples of which are shown in the accompanying drawings, 20 the following examples, it is the user who is on a call. On ilmeistä, että puheluyhteys voi olla muu sovelias looginen kanava tai *4« ...ί yhteys (esimerkiksi pakettikytkentäinen kanava tai yh- • « ·.: : teys) käyttäjäpäätelaitteen ja palveluntarjoajan vä- ***** 25 Iillä. It is evident that the call connection may be other suitable logical channel or 4 * «... ί connection (for example, a packet-switched channel or one •« · .:: connection will) of the user terminal and the service provider between ***** 25 alkyl.
:***: Kuva 1 esittää erään sovelluksen käyttäjän 14« •V. : ***: Figure 1 shows an embodiment of a user 14 «• V. tunnistusmenetelmästä. identification procedure. Puheluyhteys (10) muodostetaan « 1 ,1·, soittajapäätelaitteestä DTE palveluntarjoajan SP pal velunumeroon tietoliikenneverkon NET kautta. Call Connection (10) forming a «1, 1 ·, the caller terminal equipment to the service provider SP pal DTE access numbers communication network NET. Palvelun-, 30 tarjoaja SP viittaa esimerkiksi pankkiin, poliisiin, «44 ·;;; The service 30 provider SP refers to, for example, a bank, police, <44 · ;;; postitoimistoon, operaattoriin, luottokorttiyhtiöön, • 1 '···1 vakuutusyhtiöön, puhelinpankkiin tai kansaneläkelai- • tokseen. post office, operator, credit card company, • 1 '··· 1 insurance company, bank or telephone • Social Insurance institution. Se voi kuitenkin olla mikä tahansa muu yhtiö • 44 · ·"**· tai instituutio, joka tarjoaa palveluja, jotka vaati- #·· 35 vat kiistämätöntä soittajan tunnistusta. Kuvassa 1 9 # *···[ palveluntarjoaja SP käsittää ainakin palveluntarjoajan 1 palvelimen/vaihteen SPS, asiakastietokannan DB ja 117181 8 asiakaspalvelujän SERV. Tietoliikenneverkko NET on edullisesti matkaviestinverkko. Soittajapäätelaite DTE on edullisesti matkaviestin, joka käsittää tilaa-jaidentiteettimoduulin SIM. Tilaajaidentiteettimoduu-5 Iin SIM sijasta voidaan käyttää langatonta identiteet-timoduulia (WIM, Wireless Identity Module), UMTS-tilaajaidentiteettimoduulia (USIM), turvamoduulia tai mitä tahansa muuta varkaudelta suojattua laitetta. Tilaa jaidentiteettimoduuli SIM tai mikä tahansa muu var-10 kaudelta suojattu laite mahdollistaa informaation salauksen ja salauksen purkamisen ja lisäksi digitaalisen allekirjoituksen muodostamisen. Edullisessa sovelluksessa tilaajaidentiteettimoduuli SI It may, however, be any other company • · 44 "** · or institution that provides services, which require # 35 ·· VAT undisputed identification of the caller. Figure 9 # * 1 ··· [provider SP comprises at least one service provider server / exchange SPS, customer database DB and 117 181 8 cUSTOMER SERV. the communication network NET is preferably a mobile communication network. the caller terminal DTE is preferably in place of the mobile station, which comprises a space-identity module SIM. Tilaajaidentiteettimoduu-5 Ii SIM may be used in a wireless identities, identity module (WIM Wireless Identity Module ), a UMTS subscriber identity module (USIM), a security module or any other tamper-proof device. subscriber identity module SIM or any other type var-10 protected periods device allows to extract the information of encryption and decryption, and in addition to the digital signature generation. In a preferred embodiment, the subscriber identity module SI M tai mikä tahansa muu varkaudelta suojattu laite sisältää myös 15 muistin salausavaimelle ja/tai salauksen purkuavaimelle. M, or any other tamper-proof device also includes a memory 15 of the encryption and / or decryption key. Lisäksi edullisessa sovelluksessa salaamiseen ja salauksen purkamiseen käytetään julkisen avaimen salausta (PKI, Public Key Infrastructure). In a further preferred embodiment, the encrypting and decrypting of encryption using public key infrastructure (PKI, Public Key Infrastructure).
Palveluntarjoajan palvelin SPS lähettää soit-20 tajan tunnistuspyynnön (11) turvayhdyskäytävälle GW. The service provider server SPS sends soit 20 of the identification request (11) to the security gateway GW. Kuvassa 1 tietoliikenneverkon NET operaattori omistaa turvayhdyskäytävän GW, ja turvayhdyskäytävä GW tarjoaa ββ*|· erilaisia turvallisuuteen liittyviä toimintoja, esi- ! Figure 1 shows a communication network NET owned by the operator security gateway GW, and the security gateway GW offers ββ * | · a variety of security-related functions, pre-! ·*· merkiksi salausta ja salauksen purkamista. · * · Indicate encryption and decryption. Pyyntö (11) *i# * 25 välitetään turvayhdyskäytävälle GW turvallisen yhtey- ,··*, den kautta (esimerkiksi SSL-yhteyden (SSL, Secured « * ,ΓΙ Sockets Layer)) esimerkiksi HTTP-protokollan (HTTP, The request (11) * 25 * # i is transmitted to a secure connection to the security gateway GW, ·· *, through the (e.g., SSL (SSL secured «* ΓΙ Sockets Layer)), for example, the HTTP protocol (HTTP,
HyperText Transfer Protocol) , WML-kielen (WML, Wire- * · "*··* less Markup Language) tai XML-kielen (XML, Extensible 30 Markup Language) muodossa. HyperText Transfer Protocol), the WML language (WML, Wire · * "* ·· * less Markup Language) or XML (XML, Extensible Markup Language 30) format.
..!·* On tärkeää huomata, että tässä sovelluksessa puheluyhteys pidetään tunnistusvaiheen aikana yllä. ..! · * It is important to note that in this embodiment, the call connection is maintained during the identification phase.
• ]·. •] ·. Turvayhdys käytävä GW tunnistaa palveluntar jo- * * · *11·* ajan SP palveluntarjoajan sertifikaatin avulla, purkaa ·" 35 turvallisen yhteyden ja vastaanottaa soittajan tunnis- ·** tuspyynnön selväkielisenä esimerkiksi XML-muodossa, ·!"·; Turvayhdys corridor GW identify palveluntar iodine * * · * · * 11 at the service provider SP certificate is used, reverse engineer · "35 secure connection and receives the caller identification · ** call for clear text, for example, in XML format, ·! '; WML-muodossa tai lyhytsanoman muodossa. WML form or in the form of a short message. Soittajan tun- 117181 9 nistuspyyntö muunnetaan tämän jälkeen mobiilin päätelaitteen DTE tilaajaidentiteettimoduulin S IM ymmärtämään muotoon ja salataan GSM-järjestelmän (GSM, Global System for Mobile communications) symmetrisellä sa-5 lausmenetelmällä. Caller identification 117 181 9 nistuspyyntö is then converted to the mobile terminal DTE to the subscriber identity module S IM format and is encrypted with the GSM system (GSM, Global System for Mobile communications) symmetrical SA-5 lausmenetelmällä. Salattu viesti lähetetään (12) tämän jälkeen matkaviestimelle DTE. The encrypted message is sent (12) to the mobile DTE.
Matkaviestin DTE ja/tai tilaajaidentiteetti-moduuli SIM purkavat viestin salauksen, ja purettu viesti näytetään soittajalle matkaviestimen DTE näy-10 tolia. The mobile phone DTE and / or the subscriber identity module SIM decrypt the message decryption, and the decrypted message is displayed to the calling DTE to show a mobile station 10 tolia. Tilaajaidentiteettimoduuli SIM voi sisältää selaimen, joka muuntaa viestin SIM Toolkit -komennoiksi ennen viestin näyttämistä näytöllä. The subscriber identity module SIM may comprise a browser that converts the message into SIM Toolkit commands prior to displaying the message on the display. Näytetty viesti allekirjoitetaan tämän jälkeen digitaalisesti soittajan todennusavaimella, ja allekirjoitettu viesti lähe-15 tetään (13) turvayhdyskäytävälle GW. The displayed message is signed then digitally caller authentication key, and the signed message to be transmitted by 15 VED (13), the security gateway GW. Allekirj oitettu viesti muunnetaan edullisesti PKCS#l-standardin (PKCS#1, Public-Key Cryptography Standards #1) muotoon ja salataan ennen lähettämistä. Signed RESTRICTED message is preferably converted into the form of a PKCS # l Standard (PKCS # 1, the Public-Key Cryptography Standards # 1) and encrypted prior to sending. PKCS#l-standardia kuvataan tarkemmin esimerkiksi verkko-osoitteessa 20 http://www.rsasecurity.com/rsalabs/pkcs/. The PKCS # l-standard network described in more detail in, for example, at 20 http://www.rsasecurity.com/rsalabs/pkcs/.
Turvayhdyskäytävä GW purkaa viestin salauksen ja hakee (14) tilaajaan liittyvän sertifikaatin ·:· sertifikaattiviranomaisen CA sertifikaattihakemistosta ···· | The security gateway GW decrypts the message and fetches (14) associated with the subscriber certificate · · Certificate Authority CA certificate directory ···· | ·*. · *. DIR. DIR. Sertifikaattiviranomainen CA ylläpitää yhtä tai »*« · 25 useampaa sertifikaattihakemistoa ja sertifikaatin sul- * a β···β kulistaa CLR, joka sisältää tietoa mitätöidyistä ser- • · ,1*1 tifikaateista. The certificate authority CA maintains one or »*« · 25 more certificate and certificate * a closed β ··· β kulistaa CLR, which contains information about the invalidated servo • ·, 1 * 1 standard since. Sertifikaatti sisältää tunnistustietoa • · · sertifikaatin omistajasta ja ennen kaikkea omistajan *···* julkisen avaimen. The certificate contains the identification information • · · certificate owner and, above all, the owner · · · * * public key. Julkisen avaimen avulla on mahdol- 30 lista verifioida digitaalinen allekirjoitus. The public key it is possible to list 30 to verify a digital signature. Verifi- ..*** ointiprosessi viittaa prosessiin, jonka varmentaja suorittaa joko pian elektronisen allekirjoituksen luo- . Of encrypted .. *** fractionation processes refers to the process by the Certification Authority shall be carried out either as soon as the electronic signature creation. misen jälkeen tai myöhemmin, jotta määritetään, onko * · · *11,* elektroninen allekirjoitus pätevä implisiittisesti tai • * *·;·* 35 eksplisiittisesti viitatun allekir joitusmenettelyn kanssa. After misen or later to determine whether the * · * 11, * the electronic signature is a valid implication or • * * ·, · * 35 explicitly referenced signed with joitusmenettelyn. Verifiointi liittyy erittäin vahvasti termiin ·:··· ' validointidata' . The verification is very closely associated with the term ·: ··· 'validation'. Validointidata viittaa lisätietoon, 117191 10 joka tarvitaan elektronisen allekirjoituksen validoi-miseksi; Validation data refers to additional data, 10 117 191 needed to validate the electronic signature, in order; tämä sisältää esimerkiksi sertifikaatit, mi-tätöimistilatiedon (esimerkiksi sulkulistat) ja luotetut aikaleimat. This includes, for example certificates, the mi-tätöimistilatiedon (such as CRLs) and trusted time-stamps. Lisäksi turvayhdyskäytävä GW luo 5 PKCS#7-viestin ja lähettää (15) viestin palveluntarjoajalle SP edullisesti käyttämällä turvallista yhteyttä. Furthermore, the security gateway GW creates a PKCS # 5; 7 message and sends (15) the message to the service provider SP preferably using a secured connection. PKCS#7:ää kuvataan tarkemmin esimerkiksi verkko-osoitteessa http://www.reaseourity.com/rsalabs/pkcs/. The PKCS # 7 as described in more detail in, for example, the web address http://www.reaseourity.com/rsalabs/pkcs/.
Palveluntarjoaja SP autentikoi soittajan ja 10 verifioi (16) digitaalisen allekirjoituksen ja tarkistaa sertifikaatin sulkulistasta CLR, että sertifikaatti on voimassa. The service provider SP authenticates the caller and verifies 10 (16), the digital signature and checks from the certificate revocation list CLR that the certificate is valid. Jos verifikaatiomenettely oli menestyksellinen, soittajalle voidaan tarjota pyydettyä palvelua. If the verification was successful, the caller can provide the requested service. Lisäksi palveluntarjoaja voi luoda tietueen, 15 j oka sisältää soittajatietoa (17) tietokannasta DB, validointitietoa ja puhelulokitietoa. In addition, the service provider can create a record 15 j thorn containing the caller information (17) from the database DB, validation and call log information. Puhelulokitieto yksinkertaisesti ilmaisee, että puhelu on ollut olemassa indentifikaatiomenettelyn aikana. Call log information simply indicates that the call has been in existence for over indentifikaatiomenettelyn. Asiakaspalvelua SERV käyttää edullisesti tietokonetta, ja siten 20 hän on automaattisesti varustettu (18) edellä maini tulla tietueella ennen puhumista soittajan kanssa. Customer service SERV preferably uses a computer, and therefore 20, is automatically provided (18) the record of said come before speaking with the caller.
Kuva 2 esittää toisen sovelluksen käyttäjän mm*V tunnistusmenetelmästä. Figure 2 shows a second embodiment of a user mm * V identification procedure. Puheluyhteys (20) muodostetaan • ·*· soittajapäätelaitteesta DTE palveluntarjoajan SP pal- • M · 25 velunumeroon tietoliikenneverkon NET kautta. Call Connection (20) forming a • · · * caller terminal DTE to a service provider SP • M · 25 access numbers through a communications network NET. Palvelun- ♦ » .·**. ♦ the service ». · **. tarjoaja SP viittaa esimerkiksi pankkiin, poliisiin, • · •/I postitoimistoon, operaattoriin, luottokorttiyhtiöön, * m vakuutusyhtiöön, puhelinpankkiin tai kansaneläkelai- • · ***** tokseen. provider SP refers to, for example, a bank, police, · • • / I, a post office, operator, credit card company, insurance company * m, telephone bank or the Social Insurance · • ***** institution. Se voi kuitenkin olla mikä tahansa muu yhtiö 30 tai instituutio, joka tarjoaa palveluja, jotka vaati- * ..ΙΓ vat kiistämätöntä soittajan tunnistusta. However, it can be any other 30 company or institution that provides services, which require * ..ΙΓ VAT undeniable caller identification. Kuvassa 2 palveluntarjoaja SP käsittää ainakin palveluntarjoajan ; In Figure 2, the service provider SP comprises at least a service provider; ,·, palvelimen/vaihteen SPS, asiakastietokannan DB ja * m * *// asiakaspalveli j an SERV. , ·, Server / exchange SPS, customer database DB and * m * // j an customer service SERV. Tietoliikenneverkko NET on The communication network NET is
'/ 35 edullisesti matkaviestinverkko. '/ 35 is preferably a mobile communication network. Soittajapäätelaite DTE The caller terminal DTE
on edullisesti matkaviestin, joka käsittää tilaa-*:·*! is preferably a mobile phone comprising of space - *: * ·! jaidentiteettimoduulin SIM. identity module SIM. Tilaa j aidentiteettimoduu- 11 117161 Subscribe to j aidentiteettimoduu- 11 117161
Iin SIM sijasta voidaan käyttää langatonta identiteet-timoduulia (WIM, Wireless Identity Module), UMTS-tilaajaidentiteettimoduulia (USIM), turvamoduulia tai mitä tahansa muuta varkaudelta suojattua laitetta. Ii instead of the SIM, the wireless-identities identity module (WIM Wireless Identity Module), a UMTS subscriber identity module (USIM), a security module or any other tamper-proof device. Ti-5 laajaidentiteettimoduuli SIM tai mikä tahansa muu varkaudelta suojattu laite mahdollistaa informaation salauksen ja salauksen purkamisen ja lisäksi digitaalisen allekirjoituksen muodostamisen. Ti-5 extensive identity module SIM or any other tamper-proof device enables the landing information and the encryption and decryption in addition to the digital signature generation. Edullisessa sovelluksessa tilaajaidentiteettimoduuli SIM tai mikä ta-10 hansa muu varkaudelta suojattu laite sisältää myös muistin salausavaimelle ja/tai salauksen purkuavaimelle. In a preferred embodiment, the subscriber identity module SIM or O-10 Hansa other tamper-proof device also includes a memory, an encryption and / or decryption key. Lisäksi edullisessa sovelluksessa salaamiseen ja salauksen purkamiseen käytetään julkisen avaimen salausta (PKI, Public Key Infrastructure). In a further preferred embodiment, the encrypting and decrypting of encryption using public key infrastructure (PKI, Public Key Infrastructure).
15 Palveluntarjoaja S PS lähettää soittaj an tun- nistuspyynnön {21) turvayhdyskäytävälle GW. 15 S PS Service Provider sends a caller known to an nistuspyynnön {21) to the security gateway GW. Kuvassa 2 tietoliikenneverkon NET operaattori omistaa turvayh-dyskäytävän GW ja turvayhdyskäytävä GW tarjoaa erilaisia turvallisuuteen liittyviä toimintoja, esimerkiksi 20 salausta ja salauksen purkamista. Figure 2 shows the communication network NET owned by the operator turvayh-gateway GW and the security gateway GW offers a variety of security-related functions, for example, 20 encryption and decryption. Pyyntö (21) välitetään turvayhdyskäytävälle GW turvallisen yhteyden kautta (esimerkiksi SSL-yhteyden (SSL, Secured Sockets •j· Layer) ) esimerkiksi HTTP-protokollan (HTTP, HyperText \ Transfer Protocol) , WML-kielen (WML, Wireless Markup • vt · 25 Language) tai XML-kielen (XML, Extensible Markup Lan- * · β...β guage) muodossa. The request (21) is transmitted to the security gateway GW via a secure connection (eg SSL-connection (SSL Secured Sockets • j · Layer)), for example, the HTTP protocol (HTTP, HyperText \ Transfer Protocol), the WML language (WML, Wireless Markup • Acting · 25 language) or XML (XML, Extensible Markup * · β β ... guage) format.
• * .**1 On tärkeää huomata, että puheluyhteys pide- • · t tään tunnistusvaiheen aikana yllä. •. * ** 1 It is important to note that the call connection is maintained • · s during the identification phase.
• · ***** Turvayhdyskäytävä GW tunnistaa palveluntarjo- 30 ajan SP sen sertifikaatin avulla, purkaa turvallisen ,.*** yhteyden ja vastaanottaa soittajan tunnistuspyynnön :***: selväkielisenä esimerkiksi XML-muodossa, WML-muodossa • tai lyhytsanoman muodossa. • ***** · The security gateway GW identifies a service provider at the SP 30 using the certificate, towards a safe, *** the connection and receives the caller identification request. *** plaintext, for example, XML, WML, or • in the form of a short message format. Soittajan tunnistuspyyntö • » * Caller ID on call • »*
**;,* muunnetaan tämän jälkeen mobiilin päätelaitteen DTE **; * is then converted to the mobile terminal DTE
• · *·;·* 35 tilaajaidentiteettimoduulin SIM ymmärtämään muotoon ja salataan GSM-järjestelmän (GSM, Global System for Mo-;··; bile communications) symmetrisellä salausmenetelmällä. • * · ·, · * 35 subscriber identity module SIM format and is encrypted with the GSM system (GSM, Global System for Mo-, ··; bile Communications) with symmetric encryption method.
117181 12 117 181 12
Salattu viestin lähetetään (22) tämän jälkeen matkaviestimelle DTE. The encrypted message is sent (22) to the mobile DTE.
Matkaviestin DTE ja/tai tilaajaidentiteetti-moduuli SIM purkavat viestin salauksen ja purettu 5 viesti näytetään soittajalle matkaviestimen DTE näytöllä. The mobile phone DTE and / or the subscriber identity module SIM decrypt the message and the decrypted message 5 is displayed to the caller on the display of the mobile station DTE. Tilaajaidentiteettimoduuli SIM voi sisältää selaimen, joka muuntaa viestin SIM Toolkit -komennoiksi ennen viestin näyttämistä näytöllä. The subscriber identity module SIM may comprise a browser that converts the message into SIM Toolkit commands prior to displaying the message on the display. Näytetty viesti allekirjoitetaan tämän jälkeen digitaalisesti soitta-10 jän todennusavaimella ja allekirjoitettu viesti lähetetään (23) turvayhdyskäytävälle GW. The displayed message is signed then digitally-10 Make calls with an authentication ice and the signed message is sent (23) to the security gateway GW. Allekirjoitettu viesti muunnetaan edullisesti PKCS#l-standardin (PKCS#1, Public-Key Cryptography Standards #1) muotoon ja salataan ennen lähettämistä. The signed message is preferably converted into the form of a PKCS # l Standard (PKCS # 1, the Public-Key Cryptography Standards # 1) and encrypted prior to sending. PKCS#l-standardia ku-15 vataan tarkemmin esimerkiksi verkko-osoitteessa http://www.rsasecurity.com/rsalabs/pkcs/. The PKCS # l standard Ku-15 described in detail in, for example, the web address http://www.rsasecurity.com/rsalabs/pkcs/.
Turvayhdyskäytävä GW purkaa viestin salauksen ja hakee (24) tilaajaan liittyvän sertifikaatin sertifikaattiviranomaisen CA sertifikaattihakemistosta 20 DIR. The security gateway GW decrypts the message and fetches (24) The certificate of a certificate authority associated with the subscriber CA certificate directory DIR 20. Sertifikaattiviranomainen CA ylläpitää yhtä tai useampaa sertifikaattihakemistoa ja sertifikaatin sulkulistaa CLR, joka sisältää tietoa mitätöidyistä ser-tifikaateista. The certificate authority CA maintains one or more certificate and certificate revocation list CLR that contains information about the invalidated-ser-examination certificate. Sertifikaattiviranomainen CA voi lisäksi': si sisältää tietoa, ketkä käyttäjistä ovat valtuutet- ··*·· 25 tuja yhteen tai useampaan palveluun ja ketkä eivät .·**. The certificate authority CA may also 'si contains information about which users are an authorized ·· * ·· 25 Tuja in one or more of the services and those who are not · **.. ole. no. Sertifikaatti sisältää tunnistustietoa sertif i- * * ;v. The certificate contains the identification information certif i- * v. kaatin omistajasta ja ennen kaikkea omistajan julkisen m » *..* avaimen. cate the owner and, above all, the owner of a public m »* .. * key. Julkisen avaimen avulla on mahdollista veri- • * • « fioida digitaalinen allekirjoitus. The public key it is possible blood • * • «fioida digital signature. Turvayhdyskäytävä 30 GW verifioi digitaalisen allekirjoituksen ja tarkistaa •••2 sertifikaatin sulkulistasta CLR, että sertifikaatti on #·· voimassa. The security gateway 30 GW verifies the digital signature and checks ••• 2 certificate revocation list CLR that the certificate is valid # ··. Jos verifikaatiomenettely oli menestykselli- ! If the verification was successfully! .*· nen, turvayhdys käytävä GW lähettää (25) positiivisen .···. . * · Of, turvayhdys corridor GW sends (25) a positive. ···. verifiointiviestin palveluntarjoajalle SP käyttämällä • · '·* 35 turvallista yhteyttä. verifiointiviestin to the service provider SP using • · '· * 35 secure connection. Palveluntarjoaja SP tämän jäl- ***** keen luo tietueen, joka sisältää soittajatietoa (26) ♦ tietokannasta DB, validointitietoa ja puhelulokitie- 117181 13 toa. The service provider SP in this post-***** keen creates a data record containing the caller information (26) ♦ database DB, validation information and a puhelulokitie- 117 181 13 Toa. Puhelulokitieto yksinkertaisesti ilmaisee, että puhelu oli ollut olemassa identifikaatiomenettelyn aikana. Call log information simply indicates that the call had existed during the identification procedure. Asiakaspalveluja SERV käyttää edullisesti tietokonetta, ja siten hän on automaattisesti varustettu 5 (27) edellä mainitulla tietueella ennen puhumista soittajan kanssa. Customer services SERV preferably uses a computer, and therefore, is automatically provided with five (27) with the aforementioned data record prior to talking to the caller.
Kuva 3 esittää sovelluksen, jossa alun perin muodostettu puheluyhteys vikaantuu ja puheluyhteys muodostetaan uudelleen. Figure 3 shows an embodiment in which the initially formed on the call connection fails and the call connection is re-established.
10 Kun palveluntarjoajan palvelin SPS havaitsee, että puheluyhteyttä ei enää ole olemassa, se luo haasteen. 10 When the service provider's server SPS detects that the call connection no longer exists, it creates a challenge. Haaste on mikä tahansa tieto, joka sisältää esimerkiksi aakkosnumeerisia merkkejä. The challenge is any information, which includes, for example, alphanumeric characters. Tämän jälkeen haaste salataan käyttämällä soittajan julkista avain-15 ta. After this, the challenge is encrypted using the public key of the caller to 15. Julkinen avain saadaan edellisestä PKCS#7- viestistä, tai jos sellaista viestiä ei ole vastaanotettu, julkisesta sertitikaattihakemistosta. The public key is obtained from the previous PKCS # 7 message or if such message has not been received, the public sertitikaattihakemistosta. Tämän jälkeen palveluntarjoajan palvelin SPS lähettää (30) salatun haasteen turvayhdyskäytävän GW kautta soitta-20 japäätelaitteelle DTE, joka on edullisesti matkaviestin (31) . After this, the service provider server SPS sends (30) the encrypted challenge via the security gateway GW Make calls DTE-mode mobile stations 20, which preferably is a mobile station (31).
Kuvassa 3 esitetty esimerkki olettaa, että ··· soittajan identiteetti oli aikaisemmin tunnistettu ja • ·«· : validoitu ja että alkuperäinen puheluyhteys katkesi. Figure 3 shows an example assumes that the caller identity was ··· previously identified, and • · «·: validated and that the original call connection failed.
ι·ι « 25 Sen vuoksi, kun salattu haaste on lähetetty soittajat- * · le, palveluntarjoajan palvelin SPS asettaa validoidun .··· tunnistustiedon pidätettyyn tilaan. · ι ι «25 Therefore, when an encrypted challenge is sent soittajat- * · le, the service provider server SPS validated set. ··· identification information pidätettyyn state.
Matkaviestin DTE ja/tai matkaviestimen sisäl- • m *··.* tämä tilaajaidentiteettimoduuli SIM tai vastaava pur- 30 kaa salatun haasteen salauksen ja muodostaa (32) uuden puheluyhteyden palveluntarjoajaan SP. The mobile phone DTE and / or the mobile station containing ·· • m *. * This subscriber identity module SIM or equivalent 30 discharge Priva a new call connection to the service provider SP and the encrypted challenge of (32). Vaihde SPS ohjaa (33) puhelun asiakaspalvelijalle SERV ja varustaa ; SPS controls the gear (33) of the call and provides the customer servant SERV; asiakaspalvelijan SERV aiemmin validoidulla tunnistus- ·*·.* tiedolla ja soittajalle lähetetyllä haasteella. customer servant SERV previously validated identification · · *. * information and transmitted to the caller by summons. Jos • · *···* 35 soittaja tämän jälkeen antaa oikean haasteen asiakas- palvelijalle, soittajalle voidaan tarjota kyseessä *;··· olevaa palvelua. If • · * · · · * 35 caller then gives the customer the right challenge to the minister, the caller can be offered case *; ··· the service.
117181 14 117 181 14
Kuva 4 esittää erään toisen sovelluksen käyttäjän tunnistusmenetelmästä. Figure 4 shows another embodiment of a user identification procedure. Puhelu (40) muodostetaan soittajapäätelaitteesta DTE palveluntarjoajan SP palvelunumeroon tietoliikenneverkon NET kautta. Call (40) from a caller terminal DTE to a service provider SP in a communication network NET. Palvelun-5 tarjoaja SP viittaa esimerkiksi pankkiin, poliisiin, postitoimistoon, operaattoriin, luottokorttiyhtiöön, vakuutusyhtiöön, puhelinpankkiin tai kansaneläkelaitokseen. The service provider SP-5 refers to, for example, a bank, police, post office, operator, credit card company, insurance company, telephone bank or the Social Insurance Institution. Se voi kuitenkin olla mikä tahansa muu yhtiö tai instituutio, joka tarjoaa palveluja, jotka vaati-10 vat kiistämätöntä soittajan tunnistusta. However, it can be any other company or institution that offers services that require 10-VAT undeniable caller identification. Kuvassa 4 palveluntarjoaja SP käsittää ainakin palveluntarjoajan palvelimen/vaihteen SPS, asiakastietokannan DB ja asiakaspalvelijän SERV. In Figure 4, the service provider SP comprises at least a service provider server / exchange SPS, customer database DB and customer servant SERV. Tietoliikenneverkko NET on edullisesti matkaviestinverkko. The communication network NET is preferably a mobile communication network. Soittajapäätelaite DTE 15 on edullisesti matkaviestin, joka käsittää tilaa- jaidentiteettimoduulin SIM. The caller terminal DTE is preferably a mobile station 15, which comprises a subscriber identity module SIM. Tilaajaidentiteettimoduu-lin SIM sijasta voidaan käyttää langatonta identiteet-timoduulia (WIM, Wireless Identity Module), UMTS-tilaajaidentiteettimoduulia (USIM), turvamoduulia tai 20 mitä tahansa muuta varkaudelta suojattua laitetta. Tilaajaidentiteettimoduu-signal instead of the SIM, the wireless-identities identity module (WIM Wireless Identity Module), a UMTS subscriber identity module (USIM), a security module 20 or any other tamper-proof device. Ti- laajaidentiteettimoduuli SIM tai mikä tahansa muu varkaudelta suojattu laite mahdollistaa informaation sa-lauksen ja salauksen purkamisen ja lisäksi digitaali- • Ml ; The subscriber identity module SIM or any other tamper-proof device enables the landing information and the encryption and decryption in addition to the digital • MI; sen allekirjoituksen muodostamisen. its signature formation.
• 4 * 1 25 Palveluntar joa j an vaihde SPS yhdistää (41) ... puhelun vapaalle asiakaspalvelijalle SERV. • 4 * January 25 Palveluntar Joa j an exchange SPS connects (41) ... a call to the free customer servant SERV. Tämän jäi- ]···* keen asiakaspalveli ja SERV lähettää (42) soitta j an • * · : .* tunnistuspyynnön turvayhdyskäytävälle GW. This glacial] * ··· keen and customer service SERV transmits (42) an Make calls j · • *. * An authentication request to the security gateway GW. Kuvassa 4 * * tietoliikenneverkon NET operaattori omistaa turvayh-30 dyskäytävan GW ja turvayhdyskäytävä GW tarjoaa erilai- **· siä turvallisuuteen liittyviä toimintoja, esimerkiksi Figure 4 * NET communication network owned by the operator turvayh-30 GW gateways and security gateway GW provides various ** · SIA security-related functions, for example,
.***. . ***. salausta ja salauksen purkamista. encryption and decryption. Pyyntö välitetään ··· . The request is transmitted ···. \ turvayhdyskäytävälle GW turvallisen yhteyden kautta * * · : (esimerkiksi SSL-yhteyden (SSL, Secured Sockets 35 Layer) ) esimerkiksi HTTP-protokollan (HTTP, HyperText \ Security gateway GW through a secured connection * * · (for example, SSL (SSL Secured Sockets Layer 35)), for example, the HTTP protocol (HTTP, HyperText
Transfer Protocol), WML-kielen (WML, Wireless Markup « 117181 15 Transfer Protocol), the WML language (WML, Wireless Markup «117 181 15
Language) tai XML-kielen (XML, Extensible Markup Language) muodossa. in the form of Language) or XML (XML, Extensible Markup Language).
On tärkeää huomata, että puheluyhteys pidetään tunnistusvaiheen aikana yllä. It is important to note that the call connection is maintained during the identification phase.
5 Turvayhdyskäytävä GW tunnistaa palveluntarjo ajan SP palveluntarjoajan sertifikaatin avulla, purkaa turvallisen yhteyden ja vastaanottaa soittajan tunnis-tuspyynnön selväkielisenä esimerkiksi XML-muodossa, WML-muodossa tai lyhytsanoman muodossa. 5 The security gateway GW identifies the service provider SP service provider for time certification means towards a secure connection and receives the caller identification, call for the plaintext, for example, XML, WML form or in the form of a short message. Soittajan tun-10 nistuspyyntö muunnetaan tämän jälkeen mobiilin päätelaitteen DTE tilaajaidentiteettimoduulin SIM ymmärtämään muotoon ja salataan GSM-järjestelmän (GSM, Global System for Mobile communications) symmetrisellä salausmenetelmällä. Caller TU-10 nistuspyyntö is then converted to the mobile terminal DTE to the subscriber identity module SIM format and is encrypted with the GSM system (GSM, Global System for Mobile communications) with symmetric encryption method. Salattu viestin lähetetään (43) tä-15 män jälkeen matkaviestimelle DTE. The encrypted message is sent (43) TA-15 system after the mobile phone DTE.
Matkaviestin DTE ja/tai tilaajaidentiteetti-moduuli SIM purkavat viestin salauksen ja purettu viesti näytetään soittajalle matkaviestimen DTE näytöllä. The mobile phone DTE and / or the subscriber identity module SIM decrypt the message and the decrypted message is displayed to the caller on the display of the mobile station DTE. Tilaajaidentiteettimoduuli SIM voi sisältää se-20 laimen, joka muuntaa viestin SIM Toolkit -komennoiksi ennen viestin näyttämistä näytöllä. The subscriber identity module SIM may comprise the dilution-20, which converts the message into SIM Toolkit commands prior to displaying the message on the display. Näytetty viesti allekirjoitetaan tämän jälkeen digitaalisesti soitta-··· jän todennusavaimella ja allekirjoitettu viesti lähe- ttf < : .'· tetään (44) turvayhdyskäytävälle GW. The displayed message is signed then digitally caller ··· ice with an authentication key and the signed message is sent to ttf <. '· VED (44), the security gateway GW. Allekirjoitettu 25 viesti muunnetaan edullisesti PKCS#l-standardin * · (PKCS#1, Public-Key Cryptography Standards #1) muotoon • * ,**; The signed message is preferably converted into 25 PKCS # l * · Standard (PKCS # 1, the Public-Key Cryptography Standards # 1) Form • *, **; ja salataan ennen lähettämistä. and encrypted before sending. PKCS#l-standardia ku- « i · • ·* vataan tarkemmin esimerkiksi verkko-osoitteessa • ·· « · *··.* http: //www. The PKCS # l-described standard "i · · • * described in detail in, for example, the web address ·· •« * · ·· * http: // www.. rsasecurity. rsasecurity. com/rsalabs/pkcs/ . com / rsalabs / PKCS /.
30 Turvayhdyskäytävä GW purkaa viestin salauk- ..*·* sen ja hakee (45) tilaajaan liittyvän sertifikaatin sertifikaattiviranomaisen CA sertifikaattihakemistosta «9« ; 30 The security gateway GW decrypts the message decryption .. * · * it and searching (45) the certificate of a certificate authority associated with the subscriber CA certificate directory «9«; \m DIR. \ M DIR. Sertifikaattiviranomainen CA ylläpitää yhtä tai useampaa sertifikaattihakemistoa ja sertifikaatin sul- • 9 **;·* 35 kulistaa CLR, joka sisältää tietoa mitätöidyistä ser- i : tifikaateista. The certificate authority CA maintains one or more certificate and the certificate closure • 9 **; · * 35 kulistaa CLR, which contains information about the servo annulled the i-examination certificate. Sertifikaattiviranomainen CA voi lisäk- ·· · *;··· si sisältää tietoa, ketkä käyttäjistä ovat valtuutet- 117181 16 tuja yhteen tai useampaan palveluun ja ketkä eivät ole. The certificate authority CA may lisäk- * · ··, ··· si contains information about which users have an authorized 117 181 16 Tuja one or more services and which are not. Termi valtuuttaminen viittaa prosessiin, jossa annetaan jollekin lupa tehdä tai saada jotain. Authorizing the term refers to the process of giving someone permission to do or have something. Sertifikaatti sisältää tunnistustietoa sertifikaatin omis-5 tajasta ja ennen kaikkea omistajan julkisen avaimen. The certificate contains the identification information of the certificate of 5-owned shipper when and, above all, the owner of the public key. Julkisen avaimen avulla on mahdollista verifioida digitaalinen allekirjoitus. The public key it is possible to verify a digital signature. Lisäksi turvayhdyskäytävä GW luo PKCS#7-viestin ja lähettää (46) viestin suoraan asiakaspalvelijalle SERV edullisesti käyttämällä tur-10 vallista yhteyttä. Furthermore, the security gateway GW creates a PKCS # 7 message and sends (46) the message directly to the customer servant SERV preferably using a contact-tur 10 prevails. PKCS#7:ää kuvataan tarkemmin esimerkiksi verkko-osoitteessa http://www.reasecurity.com/rsalabs/pkcs/. The PKCS # 7 as described in more detail in, for example, the web address http://www.reasecurity.com/rsalabs/pkcs/.
Asiakaspalvelija SERV verifioi (47) digitaalisen allekirjoituksen ja tarkistaa sertifikaatin sul-15 kulistasta CLR, että sertifikaatti on voimassa. The customer servant SERV verifies (47) the digital signature and checks from the certificate sul-15 kulistasta CLR that the certificate is valid. Jos verifikaatiomenettely oli menestyksellinen, soittajalle voidaan tarjota pyydettyä palvelua sen jälkeen, kun asiakastietokannasta DB on haettu (48) soittajaan liittyvää tietoa. If the verification was successful, the caller can provide the requested service after the customer database DB is retrieved (48) information related to the caller.
20 Kuten kuvassa 4 on esitetty, verifiointipro- sessi ja soittajan validiointi voivat toisessa sovelluksessa olla kokonaan toteutettu turvayhdyskäytävässä gw. 20, as shown in Figure 4, verifiointipro- process and validation of the caller may in another embodiment be fully implemented as a security gateway GW.
t»»· : Kuva 5 esittää sovelluksen, jossa alun perin « 25 muodostettu puheluyhteys katkeaa ja puheluyhteys muo- • * ... dostetaan uudelleen. t »» ·: Figure 5 shows the application, which originally «25 formed on the call connection is interrupted and the call connection form • * ... dostetaan again.
Kun asiakaspalvelija SERV havaitsee, että pu- • * # ·>β·" heluyhteyttä ei enää ole olemassa, hän luo haasteen. When a customer servant SERV detects that speech • # * ·> β · "heluyhteyttä no longer exist, he creates a challenge.
• · *·..* Haaste on mikä tahansa tieto, joka sisältää esimerkik- 30 si aakkosnumeerisia merkkejä. • · · * .. * Challenge is any information, which includes esimerkik- si 30 alphanumeric characters. Tämän jälkeen haaste sa- lataan käyttämällä soittajan julkista avainta. Then, I upload the same challenge using the public key of the caller. Julki- ;***; The public; ***; nen avain saadaan edellisestä PKCS#7-viestistä, tai .*. key of a previous PKCS # 7 message, or. *. jos sellaista viestiä ei ole vastaanotettu, julkisesta ***,· sertifikaattihakemistosta. if such a message has not been received, the public ***, · certificate directory. Tämän jälkeen salattu haas- • » '*·** 35 te lähetetään (50) turvayhdys käytävän GW kautta soit- tajapäätelaitteelle DTE (51), joka on edullisesti mat-·;**♦ kaviestin. After this, the encrypted challenge • » '* 35 ** · you sending (50) via a passage turvayhdys GW ringing tajapäätelaitteelle DTE (51), which is preferably a mobile ·; ** ♦ Mobile Station.
Kuvassa 5 esitetty esimerkki olettaa, että soittajan identiteetti oli aikaisemmin tunnistettu ja validoitu ja että alkuperäinen puheluyhteys katkesi tämän jälkeen. The example shown in Figure 5 assumes that the caller identity was previously identified and validated and that the original call connection failed after that. Sen vuoksi, kun salattu haaste on lähe-5 tetty soittajalle, asiakaspalvelija SERV asettaa vali-doidun tunnistustiedon pidätettyyn tilaan. Therefore, when the encrypted challenge has been be transmitted by 5 to the caller, the customer servant SERV sets is selected from doidun identification information pidätettyyn state.
Matkaviestin DTE ja/tai matkaviestimen sisältämä tilaajaidentiteettimoduuli SIM tai vastaava purkaa salatun haasteen salauksen ja muodostaa (52) uuden 10 puheluyhteyden suoraan asiakaspalvelijaan SERV. The mobile phone DTE and / or the mobile station contained in the subscriber identity module SIM or equivalent decrypt the encrypted challenge and generating (52) a new call connection 10 directly to the customer servant SERV. Jos soittaja tämän jälkeen antaa oikean haasteen asiakas-palvelijalle, soittajaan liittyvää tietoa haetaan (53) tietokannasta ja soittajalle voidaan tarjota kyseessä olevaa palvelua. If the caller then gives a true challenge to the client-servant, sought information related to the caller (53) from the database, and the caller can provide the service in question.
15 Kuva 6 esittää erään toisen sovelluksen käyt täjän tunnistusmenetelmästä. 15 Figure 6 shows another embodiment of the user in identification procedure. Kuvassa 6 turvayhdyskäytävä GW on palveluntarjoajan SP omaisuutta. In Figure 6, the security gateway GW is property of the service provider SP.
Puhelu (60) muodostetaan soittajapäätelait-teesta DTE palveluntarjoajan SP palvelunumeroon tieto-20 liikenneverkon NET kautta. Call (60) from a caller terminal equipment through the DTE-Teesta service number information service provider SP-20 transport network NET. Palveluntarjoaja SP viittaa esimerkiksi pankkiin, poliisiin, postitoimistoon, operaattoriin, luottokorttiyhtiöön, vakuutusyhtiöön, pu-·;* helinpankkiin tai kansaneläkelaitokseen. The service provider SP refers to, for example, a bank, police, post office, operator, credit card company, insurance company, speech ·; * National telephone bank or institution. Se voi kui- • * * a : .·. It can dry • * * a:. ·. tenkin olla mikä tahansa muu yhtiö tai instituutio, 25 joka tarjoaa palveluja, jotka vaativat kiistämätöntä • Λ of course, be any other company or institution that offers 25 services that require indisputable • Λ
soittajan tunnistusta. identification of the caller. Kuvassa 6 palveluntarjoaja SP In Figure 6, the service provider SP
• a .VI käsittää ainakin palveluntarjoajan palvelimen/vaihteen « ei SPS, turvayhdyskäytävän GW, asiakastietokannan DB ja • · *···* asiakaspalveli jän SERV. • .VI comprises at least a server / exchange «not SPS, the security gateway GW, customer database DB and • · * · · · * The customer is served ice SERV. Tietoliikenneverkko NET on 30 edullisesti matkaviestinverkko. The communication network NET is preferably a mobile communication network 30. Soittajapäätelaite DTE on edullisesti matkaviestin, joka käsittää tilaaja: jaidentiteettimoduulin SIM, langattoman identiteetti- • \m moduulin (WIM, Wireless Identity Module), UMTS- • · · tilaajaidentiteettimoduulin (USIM), turvamoduulin tai **"* 35 minkä tahansa muun varkaudelta suojatun laitteen. Ti- : : laajaidentiteettimoduuli SIM tai mikä tahansa muu var- ·:*·; kaudelta suojattu laite mahdollistaa informaation sa- 117181 18 lauksen ja salauksen purkamisen ja lisäksi digitaalisen allekirjoituksen muodostamisen. The caller terminal DTE is preferably a mobile phone comprising a subscriber: identity module SIM, the mobile identity • \ m module (WIM Wireless Identity Module), a UMTS • · · subscriber identity module (USIM), a security module or ** "* 35 in any other tamper-proof . Ti device: wide identity module SIM or any other VaR · * ·; protected period device provides information to the painting the same 18 117 181 and decrypting the digital signature and further formed.
Soittaja täytyy kuitenkin asianmukaisesti tunnistaa ennen palvelujen tarjoamista soittajalle. The caller, however, must be properly identified before the provision of services to the caller.
5 Sen vuoksi palveluntarjoajan palvelimen SPS yhteydessä oleva turvayhdyskäytävä GW lähettää soittajan tunnis-tuspyynnön turvayhdyskäytävälle GW. 5 Therefore, the service provider server SPS in the context of the security gateway GW sends a caller identification, call for the security gateway GW. Turvayhdyskäytävä GE tarjoaa erilaisia turvallisuuteen liittyviä toimintoja, esimerkiksi salausta ja salauksen purkamista. The security gateway GE offers a variety of security-related functions, such as encryption and decryption. 10 Pyyntö (61) välitetään matkaviestimelle DTE turvallisen yhteyden kautta (esimerkiksi SSL-yhteyden (SSL, Secured Sockets Layer)) esimerkiksi HTTP-protokollan (HTTP, HyperText Transfer Protocol), WML-kielen (WML, Wireless Markup Language) tai XML-kielen (XML, Exten-15 sible Markup Language) muodossa tai minkä tahansa muun viestin muodossa, joka voidaan turvata tai salata. 10 ruling (61) is transmitted to mobile phone DTE through a secured connection (e.g., SSL (SSL Secured Sockets Layer)), for example, the HTTP protocol (HTTP, HyperText Transfer Protocol), the WML language (WML, Wireless Markup Language) or XML (XML Exten-15 Sible Markup Language) format, or any other form of message that can be secured or encrypted. Käytetty salausmenetelmä voi olla symmetrinen tai asymmetrinen. The encryption method used may be symmetric or asymmetric.
On tärkeää huomata, että puheluyhteys pide-20 tään tunnistusvaiheen aikana yllä. It is important to note that the call connection pide-20 during the identification phase.
Matkaviestin DTE ja/tai tilaajaidentiteetti-moduuli SIM purkavat viestin salauksen ja purettu viesti näytetään soittajalle matkaviestimen DTE näy- • töllä. The mobile phone DTE and / or the subscriber identity module SIM decrypt the message and the decrypted message is displayed to the calling mobile station DTE sample • majority. Tilaajaidentiteettimoduuli SIM voi sisältää se-*#* * 25 laimen, joka muuntaa viestin SIM Toolkit -komennoiksi .···. The subscriber identity module SIM may comprise the -. * # * 25 * dilution, which converts the message into SIM Toolkit commands ···. ennen viestin näyttämistä näytöllä. before displaying a message on the screen. Näytetty viesti allekirjoitetaan tämän jälkeen digitaalisesti soitta- * · jän todennusavaimella ja allekirjoitettu viesti lähe- • * *"** tetään (62) takaisin turvayhdyskäytävälle GW. Allekir- 30 joitettu viesti muunnetaan edullisesti PKCS#1- standardin (PKCS#1, Public-Key Cryptography Standards « * « #1) muotoon ja salataan ennen lähettämistä. The displayed message is signed then digitally caller * · an authentication ice and the signed message is transmitted • * * '** VED (62) back to the security gateway GW. 30 interspaced act of signing the message is preferably converted into a standard PKCS # 1 (PKCS # 1, the Public Key Cryptography Standards «*« # 1) format and encrypted before sending.
: [·. : [·. Kuvan 6 toisessa sovelluksessa matkaviestin * * · itse luo PKCS#7-viestin ja lähettää (62) sen turvayh- * T 35 dyskäytävälle GW. The second embodiment, mobile station 6 * * · itself creates a PKCS # 7 message and sends (62) the turvayh- 35 * T gateway GW. Viesti voidaan lisäksi salata ennen ·„/· lähettämistä. Message can also be encrypted before · "/ · posting.
i 117181 19 i 117 181 19
Turvayhdyskäytävä GW purkaa viestin salauksen ja hakee (63) tilaajaan liittyvän sertifikaatin sertifikaattiviranomaisen CA sertifikaattihakemistosta DIR. The security gateway GW decrypts the message and fetches (63) certificate for the certificate authority associated with the subscriber CA certificate directory DIR. Sertifikaattiviranomainen CA ylläpitää yhtä tai useam-5 paa sertifikaattihakemistoa ja sertifikaatin sulkulistaa CLR, joka sisältää tietoa mitätöidyistä tai käyttökelvottomista sertifikaateista. The certificate authority CA maintains one or more 5-paa certificate directories and a certificate revocation list CLR that contains information about revoked or unusable certificates. Sertifikaattiviranomainen CA voi lisäksi sisältää tietoa, ketkä käyttäjistä ovat valtuutettuja yhteen tai useampaan palve-10 luun ja ketkä eivät ole. The certificate authority CA may also contain information about which users are authorized for one or more services-10 bone and which are not. Termi valtuuttaminen viittaa prosessiin, jossa annetaan jollekin lupa tehdä tai saada jotain. Authorizing the term refers to the process of giving someone permission to do or have something. Sertifikaatti sisältää tunnistustietoa sertifikaatin omistajasta ja ennen kaikkea omistajan julkisen avaimen. The certificate contains the identification information of the certificate owner and, above all, the owner of the public key. Julkisen avaimen avulla on mahdol-15 lista verifioida digitaalinen allekirjoitus. The public key it is possible to list 15 to verify a digital signature.
Turvayhdyskäytävä GW verifioi digitaalisen allekirjoituksen ja tarkistaa sertifikaatin sulkulistasta CLR, että sertifikaatti on voimassa. The security gateway GW verifies the digital signature and checks the certificate revocation list CLR that the certificate is valid. Jos verifi-kaatiomenettely oli menestyksellinen, soittajalle voi-20 daan tarjota pyydettyä palvelua. If Verifi-kaatiomenettely was successful, the caller may be 20 to provide the requested service. Lisäksi palveluntarjoajan palvelin SPS voi luoda tietueen, joka sisältää soittajatietoa (64) tietokannasta DB, validointitietoa ··· ja puheluloki tietoa. In addition, the service provider's server SPS may create a record containing the caller information (64) from the database DB, validation ···, and call log information. Puhelulokitieto yksinkertaisesti * * * « : ilmaisee, että puhelu oli ollut olemassa identifikaa- ·*· » 25 tiomenettelyn aikana. Call log information simply * * * «indicates that the call had been in existence for identification analysis · * ·» 25 during the procedure especially. Asiakaspalveluja SERV käyttää • · ... edullisesti tietokonetta, ja siten hän on automaatti- • « • * ,*** sesti varustettu (65) edellä mainitulla tietueella en- t » · :β<·* nen puhumista soittajan kanssa. Customer services SERV uses • · ... preferably a computer, and therefore, is automatically • «• * *** provided with a screw (65) with the aforementioned data record en-T» ·: β <· * of talking to the caller.
• · *···* Kuva 7 esittää erään toisen sovelluksen käyt- 30 täjän tunnistusmenetelmästä. • · * · · · * Figure 7 shows another embodiment of the use of the identification method 30. Kuvassa 7 turvayhdyskäy-„*·“ tävä GW on palveluntarjoajan SP omaisuutta. Figure 7 turvayhdyskäy - "* ·" TO A GW is property of the service provider SP. Lisäksi kuvassa 7 soittajan tunnistetaan toisen osapuolen toi- • *. Furthermore, in Figure 7 the caller is identified by the second party's • *. mesta. place.
• I » • · · ***,* Puhelu (70) muodostetaan soittajapäätelait- • · ***** 35 teestä DTE palveluntarjoajan SP palvelunumeroon tieto- liikenneverkon NET kautta. • I »• · · *** * Call (70) is formed soittajapäätelait- • · 35 ***** tea DTE service provider SP via a data transport service number for .NET. Palveluntarjoaja SP viittaa *:*·· esimerkiksi pankkiin, poliisiin, postitoimistoon, ope- 117181 20 raattoriin, luottokorttiyhtiöön, vakuutusyhtiöön, pu-helinpankkiin tai kansaneläkelaitokseen. The service provider SP refers * * ·· for example a bank, police, post office, teaching 117 181 20 Rats, credit card company, insurance company, telephone bank polyurethane or pension facility. Se voi kuitenkin olla mikä tahansa muu yhtiö tai instituutio, joka tarjoaa palveluja, jotka vaativat kiistämätöntä 5 soittajan tunnistusta. However, it can be any other company or institution that provides services that require an undeniable 5 caller identification. Kuvassa 7 palveluntarjoaja SP käsittää ainakin palveluntarjoajan palvelimen/vaihteen SPS, turvayhdyskäytävän GW, asiakastietokannan DB ja asiakaspalvelijän SERV. In Figure 7, the service provider SP comprises at least a service provider server / exchange SPS, the security gateway GW, customer database DB and customer servant SERV. Tietoliikenneverkko NET on edullisesti matkaviestinverkko. The communication network NET is preferably a mobile communication network. Soittajapäätelaite DTE 10 on edullisesti tavallinen puhelin tai matkaviestin, joka käsittää tilaajaidentiteettimoduulin, langattoman identiteettimoduulin, UMTS-tilaajaidentiteettimoduu-lin, turvamoduulin tai minkä tahansa muun varkaudelta suojatun laitteen. The caller terminal DTE 10 is preferably a standard telephone or a mobile phone comprising a subscriber identity module, a wireless identity module, an UMTS subscriber identity module, a security module or any other tamper-proof device.
15 Soittaja täytyy kuitenkin asianmukaisesti tunnistaa ennen palvelujen tarjoamista soittajalle. 15 However, the caller must be properly identified before the provision of services to the caller. Sen vuoksi palveluntarjoajan palvelimen SPS yhteydessä oleva turvayhdyskäytävä GW lähettää soittajan tunnis-tuspyynnön turvayhdyskäytävälle GW. Therefore, the service provider server SPS in the context of the security gateway GW sends a caller identification, call for the security gateway GW. Turvayhdyskäytävä 20 GE tarjoaa erilaisia turvallisuuteen liittyviä toimintoja, esimerkiksi salausta ja salauksen purkamista. The security gateway 20 GE offers a variety of security-related functions, such as encryption and decryption. Pyyntö (71) välitetään tämän jälkeen toiselle pääte-··· laitteelle DTE2 turvallisen yhteyden kautta {esimer- :kiksi SSL-yhteyden (SSL, Secured Sockets Layer)) esi-25 merkiksi HTTP-protokollan (HTTP, HyperText Transfer • * β···β Protocol), WML-kielen (WML, Wireless Markup Language) ,·*· tai XML-kielen (XML, Extensible Markup Language) muo- * + » • dossa tai minkä tahansa muun viestin muodossa, joka * * voidaan turvata tai salata. The request (71) is then provided to the second terminal device ··· DTE2 through a secured connection {example: example, SSL (SSL Secured Sockets Layer)) of the pre-mark 25 of the HTTP protocol (HTTP, HyperText Transfer • * β · ·· β Protocol), to form the WML language (WML, Wireless Markup language), · · * or XML language (XML Extensible Markup language) * + "• form or any other form of message which can be secured * * or encrypted. Käytetty salausmenetelmä 30 voi olla symmetrinen tai asymmetrinen. The encryption method 30 may be symmetric or asymmetric. Toinen pääte- m ee*j# laite DTE" on edullisesti matkaviestin, joka käsittää tilaajaidentiteettimoduulin, langattoman identiteetti- *** ; moduulin, UMTS-tilaajaidentiteettimoduulin, turvamo- duulin tai minkä tahansa muun varkaudelta suojatun Φ φ **··' 35 laitteen. Toinen päätelaite DTE2 voi kuitenkin viitata mihin tahansa muuhun päätelaitteeseen, esimerkiksi «*··· tietokoneeseen tai PDA-laitteeseen (PDA, Personal Di- 117181 21 gital Assistant), jota voidaan käyttää soittajan identiteetin tunnistamisessa. Toisen päätelaitteen täytyy sen vuoksi käsittää välineet viestien salaamiseksi ja/tai allekirjoittamiseksi. The second terminal j m * ee # DTE device "is preferably a mobile phone comprising a subscriber identity module, a wireless identity ***; module, a UMTS subscriber identity module, at the security module or any other tamper-proof Φ φ ** ··" 35 of the device. However, the second terminal DTE2 may refer to any other terminal, such «* ··· computer or a PDA device (PDA, Personal 117 181 21 di- gital Assistant), which can be used to identify the caller's identity. the second terminal must therefore comprise means for encrypting messages and / or the signature.
5 Toinen matkaviestin DTE2 ja/tai tilaajaiden- titeettimoduuli S IM purkavat viestin salauksen ja purettu viesti näytetään soittajalle toisen matkaviestimen DTE2 näytöllä. 5 The second mobile phone DTE2 and / or the subscriber identity module IM S-unloading encryption message and the decrypted message is displayed to the caller on the screen of the second mobile phone DTE2. Tilaajaidentiteettimoduuli SIM voi sisältää selaimen, joka muuntaa viestin SIM Toolkit -10 komennoiksi ennen viestin näyttämistä näytöllä. The subscriber identity module SIM may comprise a browser that converts the message into SIM Toolkit commands to -10 prior to displaying the message on the display. Näytetty viesti allekirjoitetaan tämän jälkeen digitaalisesti käyttäjän todennusavaimella ja allekirjoitettu viesti lähetetään (72) takaisin turvayhdyskäytävälle GW. The displayed message is signed then digitally user authentication key and the signed message is sent (72) back to the security gateway GW. Allekirjoitettu viesti muunnetaan edullisesti 15 PKCS#l-standardin (PKCS#1, Public-Key Cryptography The signed message is preferably converted to the PKCS # 15 l Standard (PKCS # 1, the Public-Key Cryptography
Standards #1) muotoon ja salataan ennen lähettämistä. Standards # 1) format and encrypted before sending.
Kuvan 7 toisessa sovelluksessa matkaviestin itse luo PKCS#7-viestin ja lähettää (72) sen turvayh-dyskäytävälle GW. 7 The second embodiment of the mobile station itself creates a PKCS # 7 message and sends (72) the turvayh-gateway GW. Viesti voidaan lisäksi salata ennen 20 lähettämistä. Message can also be encrypted before sending 20.
Turvayhdyskäytävä GW purkaa viestin salauksen ja hakee (73) toisen matkapuhelimen DTE2 käyttäjään The security gateway GW decrypts the message and fetches (73) of another mobile phone user DTE2
·;· liittyvän sertifikaatin sertifikaattiviranomaisen CA ·; · Certificate of a certificate authority associated CA
««*# : sertifikaattihakemistosta DIR. «« * #: Certificate directory DIR. Sertifikaattiviranomai- • * · ··« * 25 nen CA ylläpitää yhtä tai useampaa sertifikaattihake- • * mistoa ja sertifikaatin sulkulistaa CLR, joka sisältää • » tietoa mitätöidyistä tai käyttökelvottomista sertifi- • * · : ·* kasteista. Sertifikaattiviranomai- • · * ·· «* 25 of the CA maintains one or more sertifikaattihake- • * software and the certificate revocation list CLR that contains •» revoked or unusable certification • * · · * castes. Sertifikaattiviranomainen CA voi lisäksi *»·** sisältää tietoa, ketkä käyttäj istä ovat valtuutettuja 30 yhteen tai useampaan palveluun ja ketkä eivät ole. The certificate authority CA may also * »** · includes information about which users are authorized oriented 30 to one or more services and which are not.
Termi valtuuttaminen viittaa prosessiin, jossa anne-taan jollekin lupa tehdä tai saada jotain. Authorizing the term refers to the process by anne-someone permission to do or have something. Sertifi- • · · *\ kaatti sisältää tunnistustietoa sertifikaatin omista- • · » • · · *·*.* jasta ja ennen kaikkea omistajan julkisen avaimen. Certification • · · * \ cate contains the identification information of the certificate owner · • »• · · * · *. * Instead, and, above all, the owner of the public key.
* * *···* 3 5 Julkisen avaimen avulla on mahdollista verifioida di- gitaalinen allekirjoitus. * * * * 3 ··· 5 Government key it is possible to verify The digital signature.
• * 117181 22 • * 117 181 22
Turvayhdyskäytävä GW verifioi digitaalisen allekirjoituksen ja tarkistaa sertifikaatin sulkulistasta CLR, että sertifikaatti on voimassa. The security gateway GW verifies the digital signature and checks the certificate revocation list CLR that the certificate is valid. Jos verifi-kaatiomenettely oli menestyksellinen, soittajalle voi-5 daan tarjota pyydettyä palvelua. If Verifi-kaatiomenettely was successful, the caller may be 5 to provide the requested service. Lisäksi palveluntarjoajan palvelin S PS voi luoda tietueen, joka sisältää soittajatietoa (74) tietokannasta DB, validointitietoa ja puhelulokitietoa. In addition, the service provider server S PS may create a data record containing the caller information (74) from a database DB, validation information and a call log information. Puhelulokitieto yksinkertaisesti ilmaisee, että puhelu oli ollut olemassa identifikaa-10 tiomenettelyn aikana. Call log information simply indicates that the call had existed during the procedure especially identifikaa-10. Asiakaspalvelija SERV käyttää edullisesti tietokonetta, ja siten hän on automaattisesti varustettu (75) edellä mainitulla tietueella ennen puhumista soittajan kanssa. The customer servant SERV preferably uses a computer, and therefore, is automatically provided (75) with the aforementioned data record prior to talking to the caller.
Kuten kuvassa 7 esitetään, soittaja verifioi-15 daan toisen henkilön toimesta loogisen kanavan kautta. As shown in Figure 7, the caller-15 verifies be intercepted by another person via the logical channel. Edullisessa sovelluksessa ensimmäinen looginen kanava on olemassa sillä aikaa, kun ensimmäisen päätelaitteen käyttäjän identiteettiä tunnistetaan toisen loogisen kanavan kautta. In a preferred embodiment, the first logical channel, there is the time when the first terminal is identified by the identity of the user via the second logical channel. Sen vuoksi on mahdollista, että todel-20 linen soittaja voi käytännössä olla kuka tahansa, mutta tunnistaminen täytyy saada ennalta määrätyltä osapuolelta. Therefore, it is possible that the lid 20 todel-caller can practically be any, but the identification must have a predetermined party.
*:· Eräässä toisessa kuvan 7 sovelluksessa ensim- • mäinen looginen kanava ensimmäisen päätelaitteen ja I·· * 25 palveluntarjoajan välillä ei ole olemassa sillä aikaa, ,*·*. * · In another embodiment, shown in Figure 7 ensim- • Nordic logical channel of the first terminal and the I * 25 ·· between the service provider does not exist while, * · *. kun ensimmäisen päätelaitteen DTE käyttäjän identitee- • * •I” tin tunnistamismenettelyä tehdään toisen loogisen ka- when the first terminal DTE identity of the user • * • I ", identification is made of tin second logical potassium
navan kautta. through the hub. Eräässä sovelluksessa ensimmäisen pääte-*···* laitteen DTE käyttäjä lähettää palvelupyynnön {70} 30 palveluntarjoajalle SP. In one embodiment, the first terminal * ··· * DTE user device sends a service request {70} 30 the service provider SP. Palvelupyyntö on esimerkiksi * pankkitapahtumapyyntö. The service request is, for example, * bank transaction request. Pyyntöä ei hyväksytä ennen kuin vastaanotetaan toiselta päätelaitteelta DTE2 valtuu- The request will not be accepted prior to receiving the second terminal DTE2 authorization
j *·. j * ·. tus. TUS. Valtuutuksen hankkimiseksi palveluntarjoaja SP to obtain the authorization, the service provider SP
• · · lähettää ensimmäisen päätelaitteen DTE käyttäjän tun- τ' 35 nistuspyynnön toiselle päätelaitteelle DTE2 (71) . • · · send the user of the first terminal DTE known τ 'nistuspyynnön 35 to the second terminal DTE2 (71).
• ·· Käyttäjän tunnistuspyyntö allekirjoitetaan digitaali-·:··: sesti toisella päätelaitteella DTE2 ja/tai tilaa- ·· • User authentication request is signed digital ·: ··: a second terminal DT E2 and / or subscriber
1171 SI 1171 SI
23 jaidentiteettimoduulilla ja allekirjoitettu viesti lähetetään takaisin palveluntarjoajalle SP (72). 23 identity module and the signed message is sent back to the service provider SP (72). Jos digitaalisen allekirjoituksen verifiointiprosessi (73, 74) on hyväksyttävä, ensimmäisen päätelaitteen DTE 5 käyttäjän asettama palvelupyyntö voidaan hyväksyä (75) . If the digital signature verification process (73, 74) is acceptable, the first terminal DTE to set five user service request can be accepted (75).
Tässä sovelluksessa ensimmäinen päätelaite DTE viittaa esimerkiksi tavalliseen puhelimeen, matkaviestimeen, tietokoneeseen tai PDA-laitteeseen (PDA, 10 Personal Digital Assistant). In this embodiment, the first terminal DTE refers to, for example, a standard telephone, a mobile station, a computer, or a PDA device (PDA, Personal Digital Assistant 10). Sen vuoksi edellä mainit tu palvelupyyntö voidaan tehdä puhelulla, sähköpostilla, lyhytsanomalla tai millä tahansa muulla viestijär-jestelmällä. Therefore, mentioned above A service request can be made a phone call, email, short message or any other viestijär-system. Toinen päätelaite DTE2 on edullisesti matkaviestin, joka käsittää tilaajaidentiteettimoduu-15 Iin, langattoman identiteettimoduulin, UMTS- tilaa- jaidentiteettimoduulin, turvamoduulin tai minkä tahansa muun varkaudelta suojatun laitteen. The second terminal DTE2 is preferably a mobile phone comprising tilaajaidentiteettimoduu Ii-15, a wireless identity module, an UMTS subscriber identity module, a security module or any other tamper-proof device. Toinen päätelaite DTE2 voi kuitenkin viitata mihin tahansa muuhun päätelaitteeseen, esimerkiksi tietokoneeseen tai PDA-20 laitteeseen, jota voidaan käyttää soittajan identitee tin tunnistamiseen. However, the second terminal DTE2 may refer to any other terminal, such as a computer or PDA device 20, which can be used to identify the identity of the caller acetate. Toisen päätelaitteen DTE2 täytyy sen vuoksi käsittää välineet viestien salaamiseksi ja/tai allekirjoittamiseksi. The second terminal DTE2 must therefore comprise means for encrypting and / or signing messages.
• ;'· Kuva 8 esittää erään sovelluksen käyttäjän *·· * •; '· Figure 8 shows an embodiment of the user * ·· *
·«·.: 25 tunnistusmenetelmästä. · «· .: 25 identification procedure. Kuvassa 8 turvayhdyskäytävä GW In Figure 8, the security gateway GW
.···, on palveluntarjoajan SP omaisuutta. . · · ·, Is the service provider SP of the property. Lisäksi kuvassa 8 * * ,1*1 soittaja tunnistetaan toisen osapuolen toimesta. Furthermore, in Figure 8 * * 1 * 1 The caller is identified by a second party.
Puhelu (80) muodostetaan tai viesti lähete- • * *···' tään käyttäjäpäätelaitteesta DTE palveluntarjoajalle 30 SP tietoliikenneverkon NET kautta. Call (80) is formed, or the message is sent ··· • * * 'to the user terminal DTE to a service provider SP 30 via a communication network NET. Palvelupyyntö teh- * ..li* dään puhelun tai viestin kautta. The service request is made through ..li * * be a call or message. Tässä sovelluksessa In this application,
ensimmäinen looginen kanava käyttäjäpäätelaitteen DTE the first logical channel of the user terminal DTE
; ; ja palveluntarjoajan SP välillä ei välttämättä ole * * * olemassa sillä aikaa, kun ensimmäisen päätelaitteen ··"* 3 5 DTE käyttäjän identiteetin tunnistusmenettelyä tehdään • »a toisen looginen kanavan kautta. Palveluntarjoaja SP ·;··; viittaa esimerkiksi pankkiin, poliisiin, postitoimis- 24 1171*1 toon, operaattoriin, luottokorttiyhtiöön, vakuutusyhtiöön, puhelinpankkiin tai kansaneläkelaitokseen. Se voi kuitenkin olla mikä tahansa muu yhtiö tai instituutio, joka tarjoaa palveluja, jotka vaativat kiistä-5 mätöntä soittajan tunnistusta. Kuvassa 8 palveluntarjoaja SP käsittää ainakin palveluntarjoajan palveli-men/vaihteen SPS, turvayhdyskäytävän GW, asiakastieto-kannan DB ja asiakaspalvelujän SERV. Tietoliikenneverkko NET on edullisesti matkaviestinverkko. Käyttä-10 jäpäätelaite DTE on esimerkiksi tavallinen puhelin tai vielä edullisemmin matkaviestin, joka käsittää tilaa-jaidentiteettimoduulin, langattoman identiteettimoduu-lin, UMTS- and the service provider SP may not exist * * * while the first terminal ·· "* May 3 DTE identity of the user identification procedure is done •» a second logical channel via the service provider SP ·;. ··; refers for example to a bank, police, postitoimis -.. 24 1171 * 1 toon, operator, credit card company, insurance company, telephone bank or the Social Insurance institution, it may, however, be any other company or institution that provides services requiring deny-5 mätöntä CID Figure 8, the service provider SP comprises at least the servers service men / exchange SPS, the security gateway GW, customer information DB-position and customer service SERV. the communication network NET is preferably a mobile communication network. Uses the DTE-mode mobile stations 10 is, for example, an ordinary telephone or more preferably a mobile phone comprising a space-identity module, the wireless-signal identiteettimoduu, UMTS tilaajaidentiteettimoduulin, turvamoduulin tai minkä tahansa muun varkaudelta suojatun laitteen. the subscriber identity module, a security module or any other tamper-proof device.
15 Käyttäjä täytyy kuitenkin asianmukaisesti tunnistaa ennen palvelujen tarjoamista käyttäjälle. 15 However, the user must be correctly identified before providing services to the user. Sen vuoksi palveluntarjoajan palvelimen SPS yhteydessä oleva turvayhdyskäytävä GW lähettää käyttäjän tunnis-tuspyynnön turvayhdyskäytävälle GW. Therefore, the service provider server SPS in the context of the security gateway GW sends the user identification, call for the security gateway GW. Turvayhdyskäytävä 20 GW tarjoaa erilaisia turvallisuuteen liittyviä toimintoja, esimerkiksi salausta ja salauksen purkamista. The security gateway GW 20 provides a variety of security-related functions, such as encryption and decryption. Pyyntö {81) välitetään tämän jälkeen toiselle pääte-*·· laitteelle DTE2 turvallisen yhteyden kautta (esimer- j ·“· kiksi SSL-yhteyden (SSL, Secured Sockets Layer)) esi- i*i « 25 merkiksi HTTP-protokollan (HTTP, HyperText Transfer • m #···β Protocol), WML-kielen {WML, Wireless Markup Language) * · .."I tai XML-kielen (XML, Extensible Markup Language) muo- • I * \e' dossa tai minkä tahansa muun viestin muodossa, joka • * *··** voidaan turvata tai salata. Toinen päätelaite DTE2 on 30 edullisesti matkaviestin, joka käsittää tilaajaidenti-./·* teettimoduulin, langattoman identiteettimoduulin, • 99 • · UMTS-tilaa jaidentiteettimoduulin, turvamoduulin tai ; minkä tahansa muun varkaudelta suojatun laitteen. Käy- « · * *11/ tetty salausmenetelmä voi olla symmetrinen tai asym- *;** 35 metrinen. The request {81) are then transmitted to another terminal * ·· device DTE2 through a secured connection (examples · j "· example, SSL (SSL Secured Sockets Layer)) pre-i * i« 25 to indicate the HTTP protocol (HTTP , HyperText Transfer • m # ··· β Protocol), WML language {WML, Wireless Markup language) * · .. "I or XML (XML, Extensible Markup language) form • I * \ e 'form or of any other form of message • * * ** ·· can be secured or encrypted. the second terminal DTE2 is preferably a mobile station 30, which comprises tilaajaidenti-./·* capacity of the module, a wireless identity module, • 99 • · UMTS subscriber identity module, a security module or;. any other tamper-proof device used «· * 11 * / been encryption method can be symmetrical or asymmetrical *; ** 35 meters.
Toinen matkaviestin DTE2 ja/tai tilaajaiden-•l“i titeettimoduuli SIM purkavat viestin salauksen ja pu- 25 117181 rettu viesti näytetään käyttäjälle toisen matkaviestimen DTE2 näytöllä. The second mobile phone DTE2 and / or, the subscriber • l "i identity module SIM decrypt the message encryption and compression 117 181 25 inside the box on the message displayed to the user of the second mobile phone DTE2 on the screen. Tilaajaidentiteettimoduuli SIM voi sisältää selaimen, joka muuntaa viestin SIM Toolkit -komennoiksi ennen viestin näyttämistä näytöllä. The subscriber identity module SIM may comprise a browser that converts the message into SIM Toolkit commands prior to displaying the message on the display. Näytet-5 ty viesti allekirjoitetaan tämän jälkeen digitaalisesti käyttäjän todennusavaimella ja allekirjoitettu viesti lähetetään (82) takaisin turvayhdyskäytävälle GW. Aired on 5-ty message is signed then digitally user authentication key and the signed message is sent (82) back to the security gateway GW. Allekirjoitettu viesti muunnetaan edullisesti PKCS#l-standardin (PKCS#1, Public-Key Cryptography 10 Standards #1) muotoon ja salataan ennen lähettämistä. The signed message is preferably converted into the form of a PKCS # l Standard (PKCS # 1, the Public-Key Cryptography Standards # 10 1) and encrypted prior to sending.
Kuvan 8 eräässä toisessa sovelluksessa toinen matkaviestin DTE2 itse luo PKCS#7-viestin ja lähettää (82) sen turvayhdyskäytävälle GW. Figure 8, in another embodiment, the second mobile phone DTE2 itself creates a PKCS # 7 message and sends (82) it to the security gateway GW. Viesti voidaan lisäksi salata ennen lähettämistä. Message can also be encrypted before sending.
15 Kun viesti on allekirj oitettu ja lähetetty palveluntarjoajalle SP, toisen matkaviestimen DTE2 käyttäjä välittää haasteen ensimmäisen päätelaitteen DTE käyttäjälle (83) . 15 When the message is RESTRICTED signature and transmitted to the service provider SP, the user of the second mobile phone DTE2 the challenge to the first terminal DTE to the user (83). Haaste välitetään ensimmäisen päätelaitteen DTE käyttäjälle esimerkiksi puhelulla, 20 lyhytsanomalla, sähköpostilla jne. Jos alkuperäistä yhteyttä (80) ei ole enää olemassa, ensimmäisen päätelaitteen DTE käyttäjä muodostaa uuden puhelun (84) tai ··· lähettää toisen viestin palveluntarjoajalle SP tieto- • t·· : .·. The challenge is transmitted to the first terminal DTE to the user, for example, a phone call, short message 20, email etc. If the original connection (80) no longer exists, the first terminal DTE to the user generates a new call (84) or ··· transmits a second message to the service provider SP information • T · ·. ·. liikenneverkon NET kautta. through the transport network NET. Käyttäjän täytyy välittää ··♦ 4 25 palveluntarjoajalle haaste, joka on saatu toisen mat- • « β...β kaviestimen DTE2 käyttäjältä. The user must convey ·· ♦ April 25 to the service provider the challenge, which is obtained from a second mobile • «β β ... DT E2 station to the user.
Turvayhdyskäytävä GW purkaa viestin salauksen • » ♦ ja hakee (85) toisen matkapuhelimen DTE2 käyttäjään • · The security gateway GW decrypts the message • »♦ and searching (85) of another mobile phone user DTE2 • ·
*···* liittyvän sertifikaatin sertifikaattiviranomaisen CA * · · · Certificate of a certificate authority associated with CA *
30 sertifikaattihakemistosta DIR. 30 certificate directory DIR. Sertifikaattiviranomai- .,*·* nen CA ylläpitää yhtä tai useampaa sertifikaattihake- mistoa ja sertifikaatin sulkulistaa CLR, joka sisältää . Sertifikaattiviranomai-. * · * Of the CA maintains one or more sertifikaattihake- software and the certificate revocation list CLR that contains. tietoa mitätöidyistä tai käyttökelvottomista sertifi- * # * *11/ kaateista. revoked or unusable certified * # * * 11 / kaateista. Sertifikaattiviranomainen CA voi lisäksi • · '*;** 35 sisältää tietoa, ketkä käyttäjistä ovat valtuutettuja yhteen tai useampaan palveluun ja ketkä eivät ole. The certificate authority CA may also • · '*; ** 35 includes information about which users are authorized for one or more services and which are not.
·:·· Termi valtuuttaminen viittaa prosessiin, jossa anne- 117181 26 taan jollekin lupa tehdä tai saada jotain. ·: ·· The term refers to the Authorization process, in which 26 117 181 given to someone permission to do or have something. Sertifikaatti sisältää tunnistustietoa sertifikaatin omistajasta ja ennen kaikkea omistajan julkisen avaimen. The certificate contains the identification information of the certificate owner and, above all, the owner of the public key. Julkisen avaimen avulla on mahdollista verifioida di-5 gitaalinen allekirjoitus. The public key it is possible to verify di-5 gitaalinen signature.
Turvayhdyskäytävä GW verifioi digitaalisen allekirjoituksen ja tarkistaa sertifikaatin sulkulistasta CLR, että sertifikaatti on voimassa. The security gateway GW verifies the digital signature and checks the certificate revocation list CLR that the certificate is valid. Jos verifi-kaatiomenettely oli menestyksellinen, soittajalle voi-10 daan nyt tarjota pyydettyä palvelua. If Verifi-kaatiomenettely was successful, the caller may now be 10, to provide the requested service. Lisäksi palveluntarjoajan palvelin SPS voi luoda tietueen, joka sisältää käyttäjätietoa (86) tietokannasta DB ja validoin-titietoa. In addition, the service provider server SPS may create a data record containing user data (86) from a database DB and validation-dation data. Asiakaspalvelija SERV käyttää edullisesti tietokonetta, ja siten hän on automaattisesti varus-15 tettu (87) edellä mainitulla tietueella ennen puhumista soittajan kanssa. The customer servant SERV preferably uses a computer, and therefore, is automatically been varus-15 (87) with the aforementioned data record prior to talking to the caller.
Tässä sovelluksessa ensimmäinen päätelaite viittaa esimerkiksi tavalliseen puhelimeen, matkaviestimeen, tietokoneeseen tai PDA-laitteeseen (PDA, Per-20 sonal Digital Assistant). In this embodiment, the first terminal refers to, for example, a standard telephone, a mobile station, a computer, or a PDA device (PDA, Per-20 Personal Digital Assistant). Sen vuoksi edellä mainittu palvelupyyntö voidaan tehdä puhelulla, sähköpostilla, lyhytsanomalla tai millä tahansa muulla viestijärjes- ·;· telmällä. Therefore, the above-mentioned service request may be made by voice call, e-mail, short message service, or any other viestijärjes- ·; · method. Toinen päätelaite DTE2 on edullisesti matka- ···· • ·*· viestin, joka käsittää tilaajaidentiteettimoduulin, **« * 25 langattoman identiteettimoduulin, UMTS-tilaaj aidenti- ,··*# teettimoduulin, turvamoduulin tai minkä tahansa muun • · .Γ* varkaudelta suojatun laitteen. The second terminal DTE2 is preferably a mobile ···· • · · * a message comprising the subscriber identity module, ** «* 25 wireless identity module, an UMTS subscriber aidenti-, ·· * # capacity module, a security module or any other • · .Γ * tamper-proof device. Toinen päätelaite DTE2 ·..·* voi kuitenkin viitata mihin tahansa muuhun päätelait- • * *···* teeseen, esimerkiksi tietokoneeseen tai PDA-lait- 30 teeseen, jota voidaan käyttää ensimmäisen päätelait-teen käyttäjän identiteetin tunnistamiseen. The second terminal DTE2 · · .. * may, however, refer to any other terminal • * * * ··· source, such as a computer or PDA devices 30 embodiment, which can be used for the first terminal device tea identify the user's identity. Toisen ··· päätelaitteen DTE2 täytyy sen vuoksi käsittää välineet • viestien salaamiseksi ja/tai allekirjoittamiseksi. ··· of the second terminal DTE2 must therefore comprise means for • encrypting and / or signing messages.
• * · *11/ Kuva 9 esittää erään edullisen esimerkin kek- • · ·;·* 35 sinnön mukaisesta järjestelmästä. • * · * 11/9 shows a preferred example of the inventive • · ·, · * 35 system according to the sinnön. Järjestelmä käsittää ··· ίβββ5 tietoliikenneverkon NET, soitta japäätelaitteen DTE, ·:··· joka on liitetty tietoliikenneverkkoon NET ja palve- 117181 27 luntarjoajan SP, joka on liitetty tietoliikenneverkkoon NET. The system comprises ··· ίβββ5 communication network NET, Make calls DTE mode mobile stations, ·: ··· which is connected to the communication network NET and the service provider's SP 117 181 27, which is connected to the communication network NET. Soittajapäätelaite DTE on edullisesti matkaviestin ja tietoliikenneverkko NET GSM-verkko, GSM-verkko GPRS-piirteellä tai UMTS-verkko. The caller terminal DTE is preferably a mobile station and the communication network NET a GSM network, a GSM-GPRS network or a UMTS feature of the network.
5 Järjestelmä edelleen käsittää palveluntarjo ajan palvelimen/vaihteen SPS ja asiakaspalvelijan SERV. 5 The system further comprises a service provider for the time server / exchange SPS and a customer servant SERV. Asiakaspalvelija SERV tarjoaa soittajalle palvelua. The customer servant SERV provides a service to the caller. Lisäksi järjestelmä käsittää turvayhdyskäytävän GW, jota käytetään tuottamaan erilaisia turvatoiminto-10 ja järjestelmässä, esimerkiksi salausta ja salauksen purkamista. Moreover, the system comprises a security gateway GW that is used to produce a variety of security-feature 10 and the system, for example, encryption and decryption unloading. Järjestelmä käsittää myös sertifikaattiviranomainen CA, jolla on pääsy sekä sertifikaattihake-mistoon että sertifikaattien sulkulistaan CLR. The system also includes certificate authority CA, which has access to, as well as certificate-FRC Headquarters applying for the certificate revocation list CLR.
Palveluntarjoajan palvelimeen/vaihteeseen SPS 15 on järjestetty lähetysvälineet SM soittajan tunnistus-pyynnön lähettämiseksi. The service provider server / SPS gear 15 is arranged in the SM sending means for sending a caller identification request. Palveluntarjoajan palve-lin/vaihde SPS lisäksi käsittää ensimmäiset salausvä-lineet ENl tiedon salaamiseksi, ensimmäiset salauksen purkuvälineet DE1 tiedon salauksen purkamiseksi ja 20 tunnistusvälineet ID soittajan tunnistamiseksi sen In addition to the service provider service-lin / SPS comprises a first gear salausvä-ENL means for encrypting information, first decrypting means DE1 for decrypting information and identifying means 20 for identifying the caller ID of the
jälkeen, kun puhelu on muodostettu ennen palvelujen tarjoamista soittajalle sertifikaattiviranomaisen CA After the call has been established prior to the provision of services to the caller certificate authority CA.
·:· välittämän tiedon perusteella. · on the basis of information passed on: ·. Edellä mainitut lähe- * · · * ϊ tysvälineet SM on lisäksi järjestetty lähettämään ♦ ** * 25 haaste soittajapäätelaitteelle DTE siinä tapauksessa, • * että puheluyhteys soittajapäätelaitteen DTE ja palve- • · .1" luntarjoajan SP välillä katkeaa. Eräässä sovelluksessa * * * edellä mainitut lähetysvälineet SM on järjestetty lä- • · '*·.* hettämään haaste myös toiselle päätelaitteelle DTE2. The above-mentioned transmission * · * ϊ fixing means SM is further arranged to send ♦ ** * 25 challenge to the caller terminal DTE in the event • * that breaks the call connection caller terminal between the DTE and the service • · .1 "provider's SP. In one embodiment, * * * the aforementioned transmitting means is arranged to transmit the SM • · '· *. * emit a challenge also to the second terminal DT E2.
30 Turvayhdyskäytävä GW käsittää lähetysvälineet * ..*·* SM soittajan tunnistuspyynnön lähettämiseksi, tunnis- tusvälineet ID soittajan tunnistamiseksi puhelunmuo- ; 30 The security gateway GW comprises transmission means .. * * * · SM for sending a caller identification request, identification means for identifying the caller, the call ID; dostuksen jälkeen ennen palvelujen tarjoamista soitta- * · · jalle informaation perusteella, jonka tarjoaa sertifi- * * *···* 35 kaattiviranomainen CA, toiset salausvälineet EN2 tie- don salaamiseksi ja toiset salauksen purkuvälineet DE2 *;·** tiedon salauksen purkamiseksi. After the formation prior to the provision of services by calling * · · Jalle on the basis of information provided by a certification * * * · · · * 35 kaattiviranomainen CA, others EN2 encryption means for encrypting the data and others decrypting means DE2 *; ** dismantle · data encryption.
117181 28 117 181 28
Soittajapäätelaite DTE käsittää tilaajaiden-titeettimoduulin SIM, kolmannet salausvälineet SM3 tiedon salaamiseksi ja kolmannet salauksen purkuväli-neet DE3 tiedon salauksen purkamiseksi. The caller terminal DTE comprises a subscriber identity module of-SIM, third encrypting means for encrypting data SM3 and the third decryption intermediate the DE3 for decrypting information. Tilaajaidenti-5 teettimoduulin SIM sijasta voidaan käyttää langatonta identiteettimoduulia (WIM, Wireless Identity Module), UMTS-tilaajaidentiteettimoduulia (USIM), turvamoduulia tai mitä tahansa muuta varkaudelta suojattua laitetta. Tilaajaidenti-5 parity of the module instead of the SIM wireless identity module (WIM Wireless Identity Module) may be used in the UMTS subscriber identity module (USIM), a security module or any other tamper-proof device. Tilaajaidentiteettimoduuli SIM tai mikä tahansa muu 10 varkaudelta suojattu laite mahdollistaa informaation salauksen ja salauksen purkamisen ja lisäksi digitaalisen allekirjoituksen muodostamisen. The subscriber identity module SIM or any other tamper-proof device 10 makes it possible to extract the information of encryption and decryption, and in addition to the digital signature generation.
Edellä mainitut välineet on toteutettu esimerkiksi ohjelmistolla ja/tai laitteistolla tavalla, 15 joka on tunnettu alan ammattimiehelle, ja siten niitä ei kuvata tarkemmin. The above means are implemented for example by software and / or hardware in a way 15 that is known to one skilled in the art, and thus will not be described in detail.
Kuvat 1-9 esittävät erilaisia konfiguraatioita esillä olevan keksinnön mukaisesta järjestelmästä. Images 1-9 show various configurations of the system according to the present invention. Kuvissa 1-9 sertifikaattiviranomainen CA toimii serti-20 fikaattipalveluntarjoajana. Figures 1-9 Certificate Authority CA operates CAC-20 fikaattipalveluntarjoajana. Huomattakoon, että mikä tahansa sovelias osapuoli voi yhtä lailla toimia ser-tifikaattipalveluntarjoajana. It should be noted that any suitable party may equally act ser-tifikaattipalveluntarjoajana. On myös mahdollista, ·;· vaikka sitä ei kuvissa esitetäkään, että palveluntar- : .·. It is also possible, ·; · although it is not shown in pictures shown, that palveluntar-: ·.. joa ja hallinnoi turvayhdyskäytävää ja että palvelun- ·· t 25 tarjoaja tarjoaa itse sertif ikaattipalveluntar joaja- • 1 toiminnot. Joa and manages the security gateway and that the service provider ·· t 25 offers self-certif ikaattipalveluntar joaja- • 1 functions. Lisäksi on mahdollista, että palveluntar- « · .Π joaja toimii myös sertifikaattipalveluntarjoajana, ja • 2 1 * * ·2 siten ei tarvita erillistä luotettavaa kolmatta osa- • · » 2 • 9 117181 29 In addition, it is possible that palveluntar- «· .Π provider will also serves as a certificate service provider, and • 2 1 * * · 2 thus does not require a separate trusted third component • ·» 2 • 117 181 9 29
Esillä oleva keksinnön esittää keksinnön, jossa muodostetaan looginen kanava (esimerkiksi puhe-luyhteys) soittajapäätelaitteen ja palveluntarjoajan välille. The present invention discloses the invention in which the logical channel is formed between (for example speech luyhteys), the caller terminal and the service provider. Ongelmana on se, miten luotettavasti verifi-5 oida soittajan identiteetti. The problem is how to reliably Verifi-5 Oida caller's identity. Sen vuoksi esillä olevan keksinnön mukaisesti soittaja autentikoidaan toisen edullisesti turvallisen loogisen kanavan kautta palveluntarjoajan ja soittajapäätelaitteen välillä ennen palvelujen tarjoamista soittajalle muodostetun puhelu-10 yhteyden kautta. Therefore, according to the present invention the caller is authenticated via a another preferably a secure logical channel between the service provider and the caller terminal prior to the provision of services to the caller via the established call-10 connection. Siirtokanava itsessään on tunnettu alan ammattimiehelle ja viittaa esimerkiksi yhteydettömään pakettidatayhteyteen matkaviestinverkon kautta tai pakettiyhteyteen käyttämällä turvallista ja standardoitua GSM-verkon piirrettä, joka on esitetty esi-15 merkiksi julkaisussa ETSI TS 101 183 V8.8.0 (2001-12). The transmission channel itself is known to those skilled in the art and refers to, for example, a connectionless packet data connection via a mobile communication network or a packet connection using the secure and standardized GSM feature, shown in the pre-mark 15 in ETSI TS 101 183 V8.8.0 (2001-12). Siirtokanava voi kuitenkin viitata myös piirikytkentäiseen yhteyteen. However, the transmission channel may also refer to circuit-switched connection.
Lisäksi esillä oleva keksintö tarjoaa turvallisen ratkaisun käyttäjän tunnistamista, autentikoin-20 tia, validointia ja valtuuttamista varten kahden loogisen kanavan kautta. Further, the present invention provides a secure solution for identification of the user, authenticating the 20-acetate, validation and authorization for the two logical channels.
On ilmeistä alan ammattimiehelle, että tekno- ·;* logian kehittyessä esillä olevan keksinnön perusidea * · * · : ·\ voidaan toteuttaa eri tavoilla. It will be apparent to one skilled in the art that technological ·, the basic idea of ​​the present invention logian advances * * * · · · \ can be implemented in various ways. Keksintöä ia sen so- 9 9 9 25 velluksia ei siten rajata edellä esitettyihin esimerk- • * keihin, vaan ne voivat poiketa patenttivaatimusten • 4 esittämän suojapiirin puitteissa. The invention and its relative cell 9 9 9 25 replications are thus not limited to the above examples • * cages, but they may deviate from the claims • within the scope of the four.
* « < 9 « • 4 • 44 9 m 9 9 ··· 4 • 4* • ··· * 999 9 9 9 9 999 9 9 9 9 9 9 • 99 • 99 9 99m 9 9 • 9 999 9 999 » 9 • 9 94· 9 * 9 * «<9« • • 4 44 9 m 9 4 9 · · · • · · · • * 4 * 999 9 999 9 9 9 9 9 9 9 9 9 • 99 • 99 9 9 9 99m • 9 999 9 999 »9 • September 94 · 9 * 9
1. Menetelmä soittajan autentikoimiseksi tietoliikennejärjestelmässä, tunnettu siitä, että menetelmä käsittää 5 vaiheet: muodostetaan puhelu tietoliikenneverkon (NET) kautta soittajapäätelaitteen (DTE) ja palvelutarjoajan (SP) välille; 1. A method for authenticating the caller communication system, characterized in that the method comprises the five steps of: generating a call via a telecommunication network (NET), the caller terminal equipment (DTE) and the service provider (SP); ja lähetetään soittajapäätelaitteen (DTE) käyttäjän 10 tunnistuspyyntö palveluntarjoajalta (SP) toisen tietoliikenneyhteyden kautta, kun puhelu on muodostettuna soittajapäätelaitteen (DTE) ja palveluntarjoajan (SP) välillä, joka toinen tietoliikenneyhteys on muu kuin muodostettu puheluyhteys palveluntarjoajan (SP) ja 15 soittajapäätelaitteen välillä; and transmitting the caller terminal equipment (DTE) to the user 10 an authentication request of the service provider (SP) via the second communication connection when the call is formed on the caller terminal (DTE) and service provider (SP), which second communication connection is other than the established call connection between the service provider (SP), and 15 of the caller terminal; vastaanotetaan käyttäjän tunnistuspyyntö, kun puhelu on muodostettuna; receiving a user identification request when the call has been formed; allekirjoitetaan pyyntö digitaalisesti; the request is signed digitally; lähetetään digitaalisesti allekirjoitettu pyyntö 20 toisen tietoliikenneyhteyden kautta; sending the signed request via the second communications link 20; autentikoidaan soittaja ja verifioidaan digitaali- . the caller is authenticated and verified digital. nen allekirjoitus; of the signature; ja • · · ··*! and • · · ·· *! tarjotaan soittajalle palveluntarjoajan (SP) tar- : joamia palveluja puheluyhteyden kautta. TAR is provided to the caller service provider (SP): the services offered by the call connection.
2. Patenttivaatimuksen 1 mukainen menetelmä, * · tunnettu siitä, että muodostetaan toinen tieto- Γ·1: liikenneyhteys soittajapäätelaitteeseen (DTE) . 2. A method as claimed in claim 1, * · characterized in that a second information Γ · 1 transport caller terminal equipment (DTE).
• · ·***· 3. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että muodostetaan toinen tieto- . • · · · 3. *** The method according to claim 1, characterized in that a second information. 30 liikenneyhteys toiseen päätelaitteeseen (DTE2) . 30 transport to the second terminal (E2). * * · Hl * * · H
4. Patenttivaatimuksen 1 mukainen menetelmä, • * ' tunnettu siitä, että menetelmä edelleen käsittää • * vaiheet: s]]]: lähetetään käyttäjän tunnistuspyyntö soittajasta 35 palveluntarjoajalta (SP) toiselle päätelaitteelle « · · l.. (DTE2) toisen tietoliikenneyhteyden kautta, joka käyt- • · 2 2 täjän tunnistuspyyntö sisältää myös haasteen; 4. A method as claimed in claim 1, • * 'characterized in that the method further comprises • * the steps of: p]]]: sending a user identification request the caller 35 service provider (SP) to the second terminal «· · l .. (E2) via the second telecommunication connection, which is operating • · February 2 of the identification request includes also a challenge; 117181 vastaanotetaan haasteen sisältämä käyttäjän tun-, nistuspyyntö toisella päätelaitteella (DTE2); 117 181 receiving the challenge contained in the user's known, nistuspyyntö the second terminal (E2); s allekirjoitetaan haasteen sisältämä pyyntö digitaalisesti; s signing the request contained in the challenge to digitally; 5 välitetään soittajalle haaste toisella päätelait teella (DTE2); 5 is transmitted to the caller on the other end challenge your device (E2); välitetään palveluntarjoajalle (SP) haaste, joka on saatu toisen päätelaitteen (DTE2) käyttäjältä; is transmitted to the service provider (SP), a challenge which is obtained by the second terminal (E2) from a user; verrataan toiselta päätelaitteelta (DTE2) saatua 10 digitaalisesti allekirjoitetussa viestissä olevaa haastetta soittajalta saatuun haasteeseen; comparing the second terminal (E2) from 10 digitally signed message in the challenge, the challenge obtained from the caller; ja jos haasteet vastaavat toisiaan, autentikoidaan toisen päätelaitteen (DTE2) käyttäjä ja verifioidaan digitaalinen allekirjoitus; and if the challenges match, authenticates the user and verifying the digital signature of the second terminal (E2); ja 15 tarjotaan soittajalle palveluntarjoajan (SP) tar joamia palveluja puheluyhteyden kautta. 15 is provided to the caller and a service provider (SP), tar, the services offered through the call connection.
5. Patenttivaatimuksen 1, 2, 3 tai 4 mukainen menetelmä, tunnettu siitä, että toinen tietoliikenneyhteys viittaa pakettikytkentäiseen yhteyteen. The method of 1, 2, 3 or 4. 5. claim, characterized in that the second communication link refers to a packet-switched connection.
6. Patenttivaatimuksen 1, 2, 3 tai 4 mukainen menetelmä, tunnettu siitä, että menetelmä edelleen käsittää vaiheen: „11' järjestetään turvayhdyskäytävä (GW) muodostamaan rajapinta soittajapäätelaitteelle (DTE) ja/tai toisel-*:··; 6. The method as claimed in claim 1, 2, 3 or 4, characterized in that the method further comprises the step of: "11" held in the security gateway (GW) of the interface to the first terminal (DTE) and / or no - * ··; 25 le päätelaitteelle (DTE2) . 25 le terminal (E2).
.*·*. . * · *. 7. Patenttivaatimuksen 6 mukainen menetelmä, ··« :v. 7. The method of claim 6 according to ·· «v. tunnettu siitä, että menetelmä edelleen käsittää • · vaiheet: • · • · *** tunnistetaan palveluntarjoaja (SP) turvayhdyskäy- 30 tävän (GW) avulla; characterized in that the method further comprises • · the steps of: • • · · *** identified by the service provider (SP) 30 with turvayhdyskäy- (GW) by means of; • · · lähetetään käyttäjän tunnistuspyyntö turvayhdys-*...· käytävältä (GW) soittajapäätelaitteelle (DTE) toisen tietoliikenneyhteyden kautta; • · · sent to the user authentication request turvayhdys - * ... · corridor (GW) to the first terminal (DTE) via a second communications link; .···. . ···. vastaanotetaan tunnistuspyyntö soitta japäätelait- 35 teella (DTE); receiving an authentication request Make calls japäätelait- 35 device (DTE); ··♦ • ♦ ♦ V * allekirjoitetaan pyyntö digitaalisesti; ·· ♦ • ♦ ♦ V * signing the request digitally; ··· • · 1 · 117181 lähetetään digitaalisesti allekirjoitettu pyyntö turvayhdyskäytavaile (GW) toisen tietoliikenneyhteyden kautta; • · · · · · 1 117 181 will be sent digitally signed request turvayhdyskäytavaile (GW) via a second communications link; noudetaan soittajaan liittyvä sertifikaatti; picked up from the associated caller certificate; 5 autentikoidaan soittaja ja verifioidaan digitaali nen allekirjoitus; 5 authenticating and verifying the caller of the digital signature; ja tarjotaan soittajalle palveluntarjoajan (SP) tarjoama palvelu olemassa olevan puheluyhteyden kautta. and providing the caller the service provided by the service provider (SP) via an existing call connection.
8. Patenttivaatimuksen 7 mukainen menetelmä, 10 tunnettu siitä, että menetelmä edelleen käsittää vaiheet: tunnistetaan palveluntarjoaja (SP) turvayhdyskäy-tävän (GW) avulla; 8. The method of claim 7 according to 10 characterized in that the method further comprises the steps of: identifying the service provider (SP) turvayhdyskäy-method (GW) by means of; lähetetään soittajan tunnistuspyyntö palveluntar-15 joajalta (SP) turvayhdyskäytävälle (GW); is sent to the caller identification request palveluntar-15 joajalta (SP) to the security gateway (GW); lähetetään käyttäjän tunnistuspyyntö turvayhdys-käytävältä (GW) toiselle päätelaitteelle (DTE2) toisen tietoliikenneyhteyden kautta; sending the user identification request turvayhdys-gangway (GW) to the second terminal (E2) via the second communication link; vastaanotetaan tunnistuspyyntö toisella päätelaite 20 teella (DTE2); receiving an authentication request from the terminal 20 in the second device (E2); allekirjoitetaan pyyntö digitaalisesti; the request is signed digitally; lähetetään digitaalisesti allekirjoitettu pyyntö turvayhdyskäytävälle (GW) toisen tietoliikenneyhteyden : kautta; sending the signed request to the security gateway (GW) to the second telecommunication connection through; ···** 25 noudetaan toisen päätelaitteen (DTE2) käyttäjään liittyvä sertifikaatti; ** ··· 25 picked up from the second terminal (E2) associated with the user certificate; ;v. V. autentikoidaan toisen päätelaitteen (DTE2) käyttä- * * jän identiteetti ja verifioidaan digitaalinen allekir-joitus; authenticating the second terminal (E2) * * using ice identity and verifying the digital signature, IMING; ja 30 tarjotaan soittajalle palveluntarjoajan (SP) tar- joama palvelu olemassa olevan puheluyhteyden kautta. and 30 are provided to the caller TAR service provider (SP) joama service through the existing call connection.
·.„* 9. Patenttivaatimuksen 1, 2, 3, 4, 7 tai 8 : mukainen menetelmä, tunnettu siitä, että menetel- 4 44 .·*·[ mä edelleen käsittää vaiheet: • 4 V 35 salataan soittajapäätelaitteelle (DTE) ja/tai toi- • * · V: selle päätelaitteelle (DTE2) lähetetty käyttäjän tun- 944 • 4 • 4 ··· 117181 nistuspyyntö käyttämällä symmetristä tai asymmetristä salausta; · "* 9. claimed in claim 1, 2, 3, 4, 7 or 8., Characterized in that the process April 44 · * · [I further comprising the steps of:. • 4 V 35 is encrypted by the caller terminal (DTE) and / second or • · V * ug of terminal (E2) sent to the user 944 hours • 4 • 4 117 181 ··· nistuspyyntö using symmetric or asymmetric encryption; ja salataan soittajapäätelaitteelta (DTE) ja/tai toiselta päätelaitteelta (DTE2) lähetetty digitaalisesti 5 allekirjoitettu tunnistuspyynto käyttämällä symmetristä tai asymmetristä salausta. and encrypting the caller terminal (DTE) and / or the second terminal (E2) sent a digitally signed 5 tunnistuspyynto using symmetric or asymmetric encryption.
10. Patenttivaatimuksen 7 tai 8 mukainen menetelmä, tunnettu siitä, että menetelmä edelleen käsittää vaiheen: 10 salataan turvayhdyskäytävälle (GW) lähetetty digi taalisesti allekirjoitettu käyttäjän tunnistuspyynto käyttämällä symmetristä tai asymmetristä salausta. 10. A method according to claim 7 or 8, characterized in that the method further comprises the step of: 10 encrypted by the security gateway (GW) sent from the digital subcapsular user tunnistuspyynto signed using symmetric or asymmetric encryption.
11. Patenttivaatimuksen 7 tai 8 mukainen menetelmä, tunnettu siitä, että menetelmä edelleen IS käsittää vaiheet: noudetaan turvayhdyskäytäväliä (GW) soittajapääte-laitteen (DTE) ja/tai toisen päätelaitteen (DTE2) käyttäjään liittyvä sertifikaatti; 11. A method according to claim 7 or 8, characterized in that the method further comprises the steps of IS: retrieving turvayhdyskäytäväliä (GW) of a caller terminal device (DTE) and / or certificate associated with the user of the second terminal (E2); luodaan ja lähetetään varmennusviesti palveluntar-20 joajalle (SP); creating and sending a confirmation provider in palveluntar-20 (SP); ja varmennetaan soittajapäätelaitteen (DTE) ja/tai toisen päätelaitteen (DTE2) käyttäjä varmennusviestin ja varmennus informaation perusteella. and verifying the caller terminal equipment (DTE) and / or the second terminal (E2) and the verification message to the user based on the authentication information.
: 12. Patenttivaatimuksen 7 tai 8 mukainen me- *·« * ·;*·* 25 netelmä, tunnettu siitä, että menetelmä edelleen .*·. : 12. The metal according to claim 7 or 8 * · «· *; * · * 25 method, characterized in that the method further · *.. käsittää vaiheet: noudetaan turvayhdyskäytävällä (GW) varmennus in- • · formaatiota, joka sisältää ainakin soittajapäätelait-*** teen (DTE) ja/tai toisen päätelaitteen (DTE2) käyttä- 30 jään liittyvän sertifikaatin; comprising the steps of: retrieving a security gateway (GW) the verification • · in-formation, comprising at least the caller terminal device - *** I (DTE) and / or the second terminal (E2) using the certificate of the ice 30; *·:·' autentikoidaan soittajapäätelaitteen (DTE) ja/tai ·· · toisen päätelaitteen (DTE2) käyttäjän identiteetti :\J turvayhdyskäytävällä (GW) varmennusinformaation perus- « * .*·*. · *: · 'Authenticating the caller terminal equipment (DTE) and / or ·· · a second terminal (E2) the user's identity: \ J a security gateway (GW) basic security information «* * * ·.. teella; basis; ja 4 * 35 lähetetään positiivinen varmennusviesti palvelun- : tarjoajalle (SP) , jos varmennuksen tulos oli positii- « · * vinen. and 4 * 35 positive confirmation code is sent to the service: service provider (SP), if the result of the verification was positive «* · candidate. 117181 117181
13. Patenttivaatimuksen 1 mukainen menetelmä, , tunnettu siitä, että jos puhelu katkeaa varmen-nusmenettelyn aikana, menetelmä edelleen käsittää vaiheet : 5 luodaan haaste; 13. A method according to claim 1, characterized in that, if a call is dropped during the Verify nusmenettelyn, the method further comprises the steps of: creating a challenge to 5; salataan haaste soittajan julkisen salausavaimen avulla; is encrypted challenge to the caller's public encryption key; lähetetään salattu haaste soittajapäätelaitteelle (DTE); transmitting the encrypted challenge to the first terminal (DTE); 10 puretaan salatun haasteen salaus soittajapääte- laitteessa (DTE); 10 is discharged to the encrypted challenge encryption soittajapääte- device (DTE); muodostetaan uusi puhelu palvelutarjoajaan (SP); forming a new call to the service provider (SP); välitetään palveluntarjoajalle (SP) salauksesta purettu haaste; transmitted decrypted challenge to the service provider (SP); ja jos haaste on hyväksyttävä, 15 tarjotaan soittajalle palveluntarjoajan (SP) tar joama palvelu puheluyhteyden kautta. and if the challenge is acceptable, 15 are provided to the caller service provider (SP) tar joama service via a telephone connection.
14. Patenttivaatimuksen 13 mukainen menetelmä, tunnettu siitä, että menetelmä edelleen käsittää vaiheen: 20 lähetetään salattu haaste soittajapäätelaitteelle (DTE) turvayhdyskäytävän (GW) kautta. 14. A method according to claim 13, characterized in that the method further comprises the step of: sending the encrypted challenge 20 to the first terminal (DTE) via the security gateway (GW).
15. Järjestelmä soittajan autentikoimiseksi tietoliikennejärjestelmässä, joka käsittää: : tietoliikenneverkon (NET) , ··· * ·***· 25 soittajapäätelaitteen (DTE) , joka on liitetty tie- .··*. 15. The system for authentication of the caller communication system comprising: a telecommunication network (NET) * · · · · · 25 *** caller terminal equipment (DTE), which is connected to the road ··. *. toliikenneverkkoon (NET) puheluyhteydellä, :V. communication network (NET) a call connection, V. palveluntarjoajan (SP), joka on liitetty tietolii- • * kenneverkkoon (NET) , * ! a service provider (SP), which is connected to * • a communication network (NET) *! sertifikaattipalveluntarjoajan (CA), 30 tunnettu siitä, että järjestelmä edel- leen käsittää: * · * lähetysvälineet (SM) käyttäjän tunnistuspyynnön lähettämiseksi soittajapäätelaitteelle (DTE) tai toi- .·*** selle päätelaitteelle (DTE2) toisen tietoliikenneyh- * * *1* 35 teyden kautta, joka toinen tietoliikenneyhteys on muu • ft* V ! a certificate service provider (CA), 30 characterized in that the system further comprises: a. * · * transmission means (SM) for sending a user identification request from the caller terminal equipment (DTE) or a second · *** selle terminal (E2) of the second telecommunication * * * 1 * 35 teyden through a second communications link is other ft * • V! kuin muodostettu puheluyhteys palveluntarjoajan (SP) • ** ja soittajapäätelaitteen (DTE) välillä; as the call connection established between the service provider (SP) • ** and the caller terminal equipment (DTE); ja 117181 kolmannet salauksenpurkuvälineet (DE3) salatun tiedon salauksen purkamiseksi soittajapäätelaitteessa (DTE) tai toisessa päätelaitteessa (DTE2); 117 181 and third decrypting means (DE3) for decrypting the encrypted data encryption caller terminal equipment (DTE) or a second terminal (E2); kolmannet salausvälineet (EN3) tiedon salaamiseksi 5 ja digitaalisen allekirjoituksen muodostamiseksi soittajapäätelaitteessa (DTE) tai toisessa päätelaitteessa (DTE2); encrypting the third encrypting means (EN3) 5 and information for generating a digital signature to the caller terminal (DTE) or a second terminal (E2); ja tunnistusvälineet (ID) soittajapäätelaitteen (DTE) käyttäjän identiteetin tunnistamiseksi puhelun muodos-10 tamisen jälkeen toisen tietoliikenneyhteyden kautta, joka toisen tietoliikenneyhteyden on muu kuin muodostettu puhelu palveluntarjoajan (SP) ja soittajapääte-laitteen (DTE) välillä ennen palvelujen tarjoamista soittajalle sertifikaattipalveluntarjoajän (CA) välit-15 tämän tiedon perusteella. and identification means (ID) of the caller terminal equipment (DTE) to identify the user identity of the call PROGRAM OF formed, after 10 via the second telecommunication connection, which second communication connection is other than the established call between the service provider (SP) and the subscriber terminal equipment (DTE) prior to the provision of services to the caller sertifikaattipalveluntarjoajän (CA) slots 15 on the basis of this knowledge.
16. Patenttivaatimuksen 15 mukainen järjestelmä, tunnettu siitä, että järjestelmä edelleen käsittää: palveluntarjoajaan (SP) ja sertifikaattipalvelun-20 tarjoajaan (CA) liitetyn turvayhdyskäytävän (GW). 16. A system according to claim 15, characterized in that the system further comprises: a service provider (SP) and certificate service provider 20 (CA) connected to the security gateway (GW).
17. Patentt ivaatimuksen 16 mukainen j ärj es-telmä, tunnettu siitä, että turvayhdyskäytävää (GW) hallinnoi palveluntarjoaja (SP) . 17. j according to claim 16 ivaatimuksen ARJ es system, characterized in that the security gateway (GW) is managed by a service provider (SP).
: 18. Patenttivaatimuksen 16 mukainen järjes- ·:**; : 18. The arrangement according to claim 16 · **; 25 telmä, tunnettu siitä, että turvayhdyskäytävää (GW) hallinnoi kolmas osapuoli. 25 system, characterized in that the security gateway (GW) is managed by a third party. ··· :v. · · ·: V.
19. Patenttivaatimuksen 15 mukainen järjes- telmä, tunnettu siitä, että mainitut lähetysväli-neet (SM) on järjestetty palveluntarjoajaan (SP). to 15 19. The system of claim, characterized in that said transmission medium, means (SM) are arranged in the service provider (SP).
20. Patenttivaatimuksen 15 tai 16 mukainen * · « järjestelmä, tunnettu siitä, että mainitut lähe-tysvälineet (SM) on järjestetty palveluntarjoajaan (SP) ja turvayhdy s käytävään (GW) . according to claim 20, 15 or 16 * · «system, characterized in that said fixing means to be transmitted by (SM) is arranged in the passage service provider (SP) and the safety share the p (GW).
* * .··*, 21. Patenttivaatimuksen 15 tai 16 mukainen • * 35 järjestelmä, tunnettu siitä, että mainitut lähe- ·." · tysvälineet (SM) on järjestetty palveluntarjoajaan (SP) ja/tai turvayhdyskäytävään (GW) . 1171 m *. * ·· * 21 claimed in claim 15 or 16 • * 35 system, characterized in that said transmission ·. "· Fixing means (SM) are arranged in the service provider (SP) and / or security gateway (GW). 1171 m
22. Patenttivaatimuksen 15 mukainen järjestelmä, tunnettu siitä, että palveluntarjoaja (SP) käsittää: ensimmäiset salausvälineet (ENl) tiedon salaami-5 seksi; 22. A system according to claim 15, characterized in that the service provider (SP) comprises: first encryption means (ENL) the information in the encrypted-five sex; ja ensimmäiset salauksenpurkuvälineet (DE1) salatun tiedon salauksen purkamiseksi. and first decrypting means (DE1) for decrypting the encrypted data.
23. Patenttivaatimuksen 16 mukainen järjestelmä, tunnettu siitä, että turvayhdyskäytävä 10 (GW) käsittää: toiset salausvälineet (EN2) tiedon salaamiseksi; 23. A system according to claim 16, characterized in that the security gateway 10 (GW) comprises: second encrypting means for encrypting (EN2) information; ja toiset salauksenpurkuvälineet (DE2) salatun tiedon salauksen purkamiseksi. and others decrypting means (DE2) for decrypting the encrypted data encryption.
24. Patenttivaatimuksen 19 tai 20 mukainen järjestelmä, tunnettu siitä, että mainitut lähe-tysvälineet (SM) on järjestetty lähettämään haaste soittajapäätelaitteelle (DTE) silloin, jos soittaja-päätelaitteen (DTE) ja palveluntarjoajan (SP) välille 20 muodostettu puhelu katkeaa. 24. A system according to claim 19 or 20, characterized in that said be transmitted by fixing means (SM) is arranged to send a challenge to the caller terminal equipment (DTE), where established between the caller terminal equipment (DTE) and service provider (SP) 20 the call is disconnected.
25. Patenttivaatimuksen 19 tai 20 mukainen järjestelmä, tunnettu siitä, että mainitut lähe- tysvälineet (SM) on järjestetty lähettämään haaste : toiselle päätelaitteelle (DTE2) . 25. A system according to claim 19 or 20, characterized in that said transmitting means (SM) is arranged to send a challenge to the second terminal (E2). ··* · ·;·*· 25 ·· * · ·; · · * 25
26. Jonkin patenttivaatimuksista 15 - 25 mu- .·**. 26. any one of claims 15 -. 25 according · **. kainen järjestelmä, tunnettu siitä, että tieto- :v. Kaine system, characterized in that the data: v. liikenneverkko (NET) on GSM-verkko. transport network (NET) is a GSM network. * « * «
27. Jonkin patenttivaatimuksista 15 - 25 mu- * · kainen järjestelmä, tunnettu siitä, että tieto-30 liikenneverkko (NET) on GSM-verkko, jossa on GPRS- • * * '·!.* ominaisuus. 27. any one of claims 15 to 25 according to the * · Kaine system, characterized in that the data-30 transport network (NET) is a GSM network, a GPRS • * * '* · feature!..
28. Jonkin patenttivaatimuksista 15 - 25 mu-kainen järjestelmä, tunnettu siitä, että tieto-liikenneverkko (NET) on UMTS-, CDMA-, WCDMA-, EDGE-, • ' * *·* 35 Bluetooth- tai WLAN-verkko. 28. any one of claims 15 to 25 mu Kaine system, characterized in that the data transport network (NET) is a UMTS, CDMA, WCDMA, EDGE, • '* * * 35 · Bluetooth or WLAN. # · * «ti . # * · «Ti. 4 • · · • · 117181 4 • · · • · 117181
FI20030154A 2003-01-31 2003-01-31 A method and system for identifying the identity of the user FI117181B (en)
FI20030154A FI117181B (en) 2003-01-31 2003-01-31 A method and system for identifying the identity of the user
FI20030154A0 FI20030154A0 (en) 2003-01-31
FI20030154A FI20030154A (en) 2004-08-01
FI117181B true FI117181B (en) 2006-07-14
US (1) US20060262929A1 (en)
FI (1) FI117181B (en)
WO (1) WO2004068782A1 (en)
2003-01-31 FI FI20030154A patent/FI117181B/en not_active IP Right Cessation
FI20030154A (en) 2004-08-01
FI20030154D0 (en)
FI20030154A0 (en) 2003-01-31
FI117181B1 (en)