BRPI0212814B1

BRPI0212814B1 - Método para autenticar o usuário de um terminal, sistema de autenticação, dispositivo de verificação dos direitos de uso, e, terminal

Info

Publication number: BRPI0212814B1
Application number: BRPI0212814-4A
Authority: BR
Inventors: Henry Haverinen
Original assignee: Nokia Technologies Oy
Priority date: 2001-09-28
Filing date: 2002-09-27
Publication date: 2019-07-30
Also published as: DE60211360D1; FI114953B; JP5189066B2; EP1430640B1; JP2010114912A; FI20011909L; CA2461804A1; KR20080078740A; JP4837890B2; FI20011909A0; US7848522B2; KR20070087211A; DE60211360T2; BR0212814A; CA2461804C; CN1561607A; ES2263811T3; JP2005505194A; CN100433616C; KR20040037113A

Abstract

"método e sistema de autenticação do usuário do terminal, terminal, dispositivo de autorização para ser usado para identificação do usuário, programa de computador, e, dispositivo de armazenagem". a invenção relaciona a um método para autenticar o usuário do terminal (5), no qual o dispositivo (15) de verificação dos direitos de uso é aplicado para rodar o protocolo de autenticação. o dispositivo (15) de verificação dos direitos de uso é conectado ao terminal (5). no dispositivo (15) de verificação dos direitos de uso uma interface do protocolo de autenticação extensível é aplicada, através da qual ao menos algumas das funções de autenticação são executadas.

Description

A invenção se refere a um método para autenticar o usuário de um terminal, o terminal aplicando um dispositivo de autorização, e o dispositivo de autorização sendo conectado ao terminal. A invenção também se refere a um sistema de autenticação que compreende um terminal com dispositivos para acoplar um dispositivo de autorização pelo menos para autenticar, o dispositivo de autorização sendo equipado com dispositivos para implementar o protocolo de autenticação. A invenção também se refere a um terminal com dispositivos para acoplar um dispositivo de autorização, pelo menos para autenticar, e o dispositivo de autorização sendo equipado com dispositivos para acoplar um dispositivo de autorização, pelo menos para autenticar, e o dispositivo de autorização, sendo equipado com dispositivos para implementar o protocolo de autenticação. Consequentemente, a invenção se refere a um dispositivo de autorização a ser usado para a autenticação do usuário, o dispositivo de autorização compreendendo os dispositivos para implementar o protocolo de autenticação. A invenção também se refere a um programa de computador compreendendo os passos executáveis de máquina para autenticar o usuário do terminal equipado com um dispositivo para verificar os direitos de uso, o dispositivo para verificar os direitos de uso sendo aplicado para processar o protocolo de autenticação, e um dispositivo de armazenagem para armazenar o programa de computador compreendendo os passos executáveis de máquina para autenticar o usuário do terminal equipado com um dispositivo para verificar os direitos de uso, o dispositivo de verificação dos direitos de uso sendo aplicado para processar o protocolo de autenticação.

Descrição da Técnica Anterior

Nesta descrição, o dispositivo de autorização se refere a um dispositivo funcional que possui dispositivos para verificar os direitos para usar uma função e/ou um dispositivo, antes do dispositivo ser operado e/ou em conexão com o uso do dispositivo. Tais dispositivos de verificação, a serem mencionados neste contexto, incluem o então

Petição 870160038433, de 22/07/2016, pág. 12/18

2/18

denominado de cartão inteligente, que tipicamente compreende o processador, a memória e os dispositivos de conexão. O cartão inteligente é fornecido com o programa ou similar para processar as entradas que foram entradas no cartão inteligente e para gerar as respostas. Tais cartões inteligentes são usados, por exemplo, nas estações móveis, como cartões pagos, 5 como cartões de identificação eletrônicos, e etc. Em adição, existem dispositivos conhecidos para verificar os direitos de uso, para impedir o uso do software copiado. Tal dispositivo de verificação (denominado de “dongle”(dispositivo de proteção de cópia) ou “hardlock” (proteção do programa baseado em hardware)) é colocado, por exemplo, na conexão da impressora do computador, onde o programa inclui um programa de segurança que

investiga, por exemplo, se o dispositivo de verificação é acoplado na conexão da impressora e, se necessário, este também examina a identificação (por exemplo, o número da licença) possivelmente armazenada no dispositivo de verificação. Mesmo, abaixo nesta descrição, tais dispositivos para verificar os direitos de uso serão primeiramente denominados de cartão inteligente, e é óbvio que a invenção não é limitada para ser usada apenas nos cartões 15 inteligentes.

Os terminais são conhecidos, aos quais é possível conectar um cartão inteligente para ser usado, por exemplo, para autenticação do usuário. A autenticação pode ser necessária, por exemplo, para impedir as pessoas não autorizadas de usar o terminal ou executar tais funções no terminal, e que outras pessoas diferentes do usuário autorizado do

terminal não tenham direito ao uso. As funções de autenticação são normalmente dispostas ao menos parcialmente em conexão com o cartão inteligente, onde os terminais transmitem os dados de identificação entrados pelo usuário para o cartão inteligente. Os dados de identificação usados, são, por exemplo, o nome do usuário e a senha ou o número de identidade pessoal (PIN, Personal Identity Number). O cartão inteligente é fornecido com 25 um protocolo de autenticação que é rodado pela aplicação, como parâmetros de autenticação, os dados de identificação transmitidos do terminal. Por meio do protocolo, por exemplo, um número de referência é computado, que é comparado com o número de identidade armazenado no cartão inteligente. Assim, quando estes números se associam, é assumido que o usuário é a pessoa que reivindica ser.

A solução baseada no cartão inteligente pode também ser usada quando o

3/18

usuário for logado na rede de dados com o terminal. A rede de dados é fornecida com um servidor de autenticação ou similar, em conexão com os quais são armazenados os dados de identificação dos usuários registrados, tal como o seu nome, a identificação do usuário e a senha. Assim, o servidor de autenticação e o cartão inteligente comunicam por meio do terminal e da rede de dados. Também em tal solução, pode ser necessário identificar o usuário primeiro em conexão com a sintonização do terminal, após o qual a segunda autenticação é autenticada no servidor de autenticação da rede de dados.

Esta segunda autenticação é baseada no uso de um protocolo de autenticação predeterminado como também dos algoritmos de autenticação. Assim, os códigos de

programa necessários para rodar este protocolo de autenticação são armazenados no terminal e na rede de dados. O algoritmo de autenticação é armazenado no servidor de autenticação como também no cartão inteligente.

Na rede de dados, a autenticação pode ser executada, por exemplo, ao enviar um pedido de log-in do terminal para a rede de dados, no qual o pedido de log-in é transmitido ao servidor de autenticação. O servidor de autenticação forma um desafio, ou similar, por meio de um algoritmo de autenticação predeterminado. Depois disto, o servidor de autenticação transmite uma mensagem de resposta log-in para o terminal, no qual o desafio ou é incluído como tal ou em forma codificada. Mais adiante, a autenticação desta mensagem pode ser verificada pela assinatura digital, a qual o cartão inteligente pode

conferir depois de receber a mensagem de resposta de log-in. A seguir, o cartão inteligente produz um número de resposta com base nos dados de identificação do usuário e do desafio recebido, por meio de um algoritmo de autenticação predeterminado. O número de resposta é transmitido ao servidor de autenticação que é capaz de formar um número esperado com base nos dados de identificação do usuário armazenados no servidor de autenticação e do desafio formado por este. O servidor de autenticação pode comparar o número de resposta recebido e o número de resposta esperado e, dos resultados da comparação, deduzir se os dados usados na formação do número de resposta recebido se associam com os dados usados na formação do número de resposta esperado. Se os dados se associam, pode então ser assumido que o usuário foi autenticado corretamente e o usuário pode começar a usar a rede de dados. Um método do tipo apresentado acima é usado, por exemplo, no sistema de

4/18

comunicação móvel GSM e no sistema de comunicação móvel UMTS durante o login de uma estação móvel na rede de comunicação móvel. O cartão inteligente usado no sistema de comunicação móvel GSM e no sistema de comunicação móvel UMTS é o denominado, respectivamente, de cartão SIM (módulo de identidade do assinante) e de cartão USIM (módulo de identidade do assinante UMTS). Como o servidor de autenticação, um centro de autenticação AuC é usado. Os cartões SIM contêm um algoritmo de autenticação específico do operador da rede de comunicação móvel.

Nas soluções baseadas no cartão-inteligente, os dados do usuário e o algoritmo de autenticação podem ser mudados ao substituir o cartão inteligente com um

cartão inteligente novo provido com um algoritmo de autenticação novo. De uma maneira correspondente, este algoritmo de autenticação novo deve ser instalado no servidor de autenticação, se já não estiver instalado.

Um problema nas soluções acima apresentadas da técnica anterior é, inter alia, onde o protocolo de autenticação não pode ser alterado simplesmente ao mudar o 15 cartão inteligente. Por exemplo, diferentes protocolos de autenticação são usados nos sistemas de comunicação móveis GSM e nos sistemas de comunicação móveis UMTS, onde o dispositivo de comunicação móvel que obedece ao sistema de comunicação móvel GSM não pode ser atualizado para usar o protocolo de identificação usado no sistema de comunicação móvel UMTS simplesmente ao mudar o cartão inteligente. Assim, as

mudanças no protocolo de autenticação também requerem mudanças pelo menos no software do terminal e, se necessário, no software do servidor de autenticação.

O usuário de um dispositivo de comunicação móvel pode mover dentro das diferentes gamas de redes de comunicação móveis. Assim, quando o usuário está em outra rede que a sua rede residente, a autenticação é executada de modo que a rede em mobilidade 25 transmite as mensagens de acordo com o protocolo de autenticação entre o terminal e o centro de autenticação da rede residente. A autenticação é então executada pelo centro de autenticação da rede residente. Assim, o algoritmo de autenticação pode ser estabelecido para ser específico-operador, por exemplo, nos sistemas de comunicação móveis GSM e nos sistemas de comunicação móveis UMTS, porque todos os valores a serem usados na autenticação são formados na rede residente. A rede em mobilidade não necessita conhecer

dos dispositivos de comunicação móveis nas diferentes redes de comunicação móveis, o protocolo de autenticação não pode ser estabelecido para ser específíco-operador ao usar as soluções da técnica anterior.

As redes de comunicação são também conhecidas, nas quais é possível acoplar um posto de trabalho na denominada rede residente, por exemplo, por meio de uma rede de telefonia opcional. Algumas destas redes denominadas de discagem (dial-up) aplicam o protocolo de autenticação extensível (EAP - Extendable Authentication

Protocol). Em tais sistemas, o propósito da rede em mobilidade é apenas transmitir as

mensagens que obedecem ao protocolo EAP entre o terminal e o centro de autenticação da rede residente. A rede em mobilidade não necessita ser capaz de interpretar as mensagens que obedecem ao protocolo EAP. Um protocolo de autenticação novo ou algoritmo pode ser introduzido sem mudar em nada a rede em mobilidade. Porém, o terminal deve ser mudado, porque o software requerido pelo novo tipo de protocolo EAP deve ser atualizado nas soluções da técnica anterior.

O EAP é um padrão definido pela Força Tarefa da Engenharia Internet IETF para o protocolo de autenticação estendido, a ser usado com relação ao protocolo ponto-aponto (PPP - Point-to-Point Protocol), e a sua definição mais específica é apresentada, por exemplo, no documento IETF rfc2284.txt. O padrão inclui as definições para a estrutura das

mensagens a ser usada para autenticação. A mensagem EAP inclui um campo de cabeçalho e um campo de dados. Por exemplo, o campo do cabeçalho define o tipo, a identificação e o comprimento da mensagem. As mensagens são transmitidas nos quadros de mensagem do protocolo PPP usado na camada de enlace de dados.

Resumo da Invenção

E um objetivo da presente invenção prover um método aperfeiçoado para a autenticação do usuário. A invenção é baseada na idéia de que o cartão inteligente é proporcionado com uma interface de protocolo de autenticação extensível (EAP IF Extendable Authentication Protocol Interface), através da qual as funções de autenticação são executadas no cartão inteligente. Para ser mais exato, o método de acordo com a presente invenção é caracterizado pelo fato de que o dispositivo de autorização aplica uma

6/18

interface de protocolo de autenticação extensível, por meio da qual pelo menos algumas das funções de autenticação são implementadas. O sistema de acordo com a presente invenção é caracterizado pelo fato de que o dispositivo de autorização é proporcionado com uma interface de protocolo de autenticação extensível como também com dispositivos para implementar ao menos algumas das funções de autenticação através da interface de protocolo de autenticação extensível. O terminal de acordo com a presente invenção é caracterizado pelo fato de que o dispositivo de autorização é proporcionado com uma interface de protocolo de autenticação extensível como também com dispositivos para implementar ao menos algumas das funções de autenticação através da interface de

protocolo de autenticação extensível. Além disso, o dispositivo de autorização de acordo com a presente invenção é caracterizado pelo fato de que o dispositivo de autorização é proporcionado com uma interface de protocolo de autenticação extensível como também com dispositivos para implementar ao menos algumas das funções de autenticação através da interface de protocolo de autenticação extensível. O programa de computação de acordo 15 com a presente invenção é caracterizado pelo fato de que o programa de computação inclui os passos executáveis de máquina para aplicar a interface de protocolo de autenticação extensível no dispositivo de verificação dos direitos de uso, inclui também os passos executáveis de máquina para processar ao menos algumas das funções de autenticação através da interface de protocolo de autenticação extensível. O dispositivo de

armazenamento de acordo com a presente invenção é caracterizado pelo fato de que o programa de computação inclui os passos executáveis de máquina para aplicar a interface de protocolo de autenticação extensível no dispositivo de verificação dos direitos de uso, inclui os passos executáveis de máquina para processar ao menos algumas das funções de autenticação através da interface de protocolo de autenticação extensível. A interface de protocolo de autenticação a ser usada com relação à presente invenção é extensível no sentido de que qualquer protocolo de autenticação pode ser implementado usando a interface sem mudar a interface ou o software do terminal ou o dispositivo de qualquer forma.

A presente invenção apresenta vantagens notáveis comparadas às soluções da técnica anterior. Ao aplicar o método de acordo com a invenção, o protocolo de • · • ·

7/18

autenticação a ser usado para autenticação do usuário pode ser mudado ao mudar o cartão inteligente. Assim, não há nenhuma necessidade para atualizar o software na rede em mobilidade ou no terminal. Deste modo, por exemplo, nas redes de comunicação móveis, o protocolo de autenticação pode ser específico-operador, porque o centro de autenticação da rede residente é usado como o centro de autenticação. Assim, um protocolo de autenticação diferente pode ser usado na rede em mobilidade do que na rede residente do usuário. Como não há nenhuma necessidade para atualizar o software, a transmissão dos arquivos de atualização é evitada, o que é complicado e difícil de controlar.

Breve Descrição das Figuras

A seguir, a invenção será descrita em maiores detalhes com referência aos desenhos apensos, nos quais:

Figura 1 - apresenta o sistema de autenticação de acordo com a incorporação preferida da invenção em um gráfico reduzido,

Figura 2 - apresenta um terminal sem fio de acordo com a incorporação preferida da invenção em um diagrama em blocos reduzido;

Figura 3 - apresenta um cartão inteligente de acordo com a incorporação preferida da invenção em um diagrama em blocos reduzido;

Figura 4 - apresenta um método de acordo com uma incorporação preferida da invenção em um gráfico de sinalização, e •²⁰

Figuras 5a a 5e - apresenta algumas mensagens a serem usadas no sistema de acordo com uma incorporação vantajosa da invenção.

Descrição Detalhada da Invenção

A seguir na descrição detalhada da invenção, o sistema de autenticação da rede de comunicação móvel 2 é usado como um exemplo do sistema de autenticação 1, mas a invenção não é limitada para ser usada somente com relação às redes de comunicação móveis. A rede de comunicação móvel 2 é, por exemplo, um sistema de comunicação móvel

GSM ou um sistema de comunicação móvel UMTS, mas é óbvio que a invenção também pode ser usada em outros sistemas de comunicação.

A presente invenção também pode ser aplicada com relação a autenticação

UMTS-SIP, que aplica um protocolo que obedece ao padrão EAP, como também nos

8/18 sistemas que aplicam o protocolo de autenticação IEEE 802. IX. O dito protocolo também está sendo introduzido nas redes de área locais sem fios (WLAN - Wireless Local Area

Network), e é baseado na aplicação do protocolo que obedece ao padrão EAP.

O sistema de autenticação inclui um servidor de autenticação 3, tal como o centro de autenticação AuC para a rede de comunicação móvel. O sistema de autenticação também inclui o dispositivo de comunicação 4 para transmitir os dados requeridos na autenticação entre o terminal 5 e o servidor de autenticação 3. Os dispositivos de comunicação incluem, por exemplo, a estação base 6, os controladores da estação base 7 como também um ou mais centros 8 de comutação móveis na rede de comunicação móvel 2.

O servidor de autenticação 3 pode ser um servidor separado conectado à rede de comunicação móvel 2, ou pode ser disposto, por exemplo, com relação ao centro 8 de comutação móvel.

A Figura 2 apresenta um terminal 5 que obedece a uma incorporação vantajosa da invenção e o qual pode ser usado no sistema de autenticação da Figura 1. Nesta 15 incorporação vantajosa da invenção, o terminal 5 inclui, por exemplo, o dispositivo de comunicação móvel 9 para comunicar com a rede de comunicação móvel 2, a interface do usuário 10, o bloco de controle 11, os dispositivos de memória 12, 13, como também os dispositivos de conexão 14 para conectar o cartão 15 inteligente ao terminal 5. O dispositivo de memória preferivelmente inclui uma memória de apenas leitura (ROM - Read Only

Memory) 12 como também uma memória de acesso randômico (RAM - Random Access

Memory) 13. Os dispositivos de conexão 14 para conectar o cartão 15 inteligente podem ser, na prática, implementados de várias formas. Uma possibilidade é usar uma conexão física, onde os dispositivos de conexão 14 incluem conectores ou similares que são acoplados aos conectores correspondentes no cartão 15 inteligente, quando o cartão 15 25 inteligente é instalado no terminal 5. Estes dispositivos de conexão também podem ser baseados em uma conexão sem fios, onde os dispositivos de conexão 14 e o cartão 15 inteligente incluem os dispositivos de comunicação sem fio (não apresentado), tal como os dispositivos de comunicação de rádio (por exemplo Bluetooth™, WLAN), os dispositivos de comunicação óptica (por exemplo, infra-vermelho), os dispositivos de comunicação acústica, e/ou os dispositivos de comunicação indutivos.

9/18

No terminal 5, preferivelmente no software do bloco de controle 11, é também implementado uma pilha de protocolos para fazer as conversões de protocolo necessárias quando as mensagens estiverem sendo transmitidas da rede de comunicação móvel 2 para o terminal 5 e do terminal 5 para a rede de comunicação móvel 2.

A Figura 3 apresenta um cartão 15 inteligente que obedece a uma incorporação vantajosa da invenção e o qual pode ser usado, por exemplo, com relação ao terminal 5 apresentado na Figura 2. O cartão 15 inteligente inclui preferivelmente, por exemplo, o processador 16, o dispositivo de memória, tal como uma memória 17 de apenas leitura e a memória 18 de acesso randômico, como também os dispositivos de conexão 19.

Como a memória 12, 17 de apenas leitura, é possível usar, por exemplo, a

ROM programável uma vez (OTP-ROM; ROM programável ou PROM) ou a ROM programável e eletricamente apagável (EEPROM; Flash). Também, a denominada de RAM não-volátil pode ser usada como a memória de apenas leitura. Como a memória 13, 18, de acesso randômico é preferível usar uma memória de acesso randômico dinâmico (DRAM) e/ou uma memória de acesso randômico estático (SRAM).

Por exemplo, o algoritmo de autenticação do usuário a ser rodado quando o terminal é ativado, como também o algoritmo de autenticação do usuário do terminal a ser rodado durante o seu login na rede de comunicação móvel 2, é armazenado na memória 17 de apenas leitura do cartão inteligente. Além disso, a memória 17 de apenas leitura do

cartão inteligente contém as funções armazenadas da interface do protocolo de autenticação extensível que serão descritas abaixo nesta descrição. Além disso, de certo modo conhecido para tal, a memória 17 de apenas leitura do cartão inteligente contém outros comandos de programa que são necessários para controlar as funções do cartão inteligente.

De uma maneira correspondente, a memória 12 de apenas leitura do terminal contém os comandos do programa armazenados requeridos para controlar as funções do terminal 5, os comandos do programa requeridos para a comunicação entre o cartão 15 inteligente e o terminal 5, os comandos de programa requeridos com relação às funções de comunicação móveis, os comandos de controle da interface do usuário, etc. Porém, não é necessário armazenar as funções do protocolo de autenticação dentro do terminal 5, porque no sistema da presente invenção, estas funções são executadas na interface do protocolo de

10/18 autenticação extensível implementada no cartão inteligente.

Na interface do protocolo de autenticação extensível apresentada nesta invenção, é possível, por exemplo, implementar uma operação na qual o cartão inteligente é solicitado para identificar o usuário, como também uma operação pela qual em uma mensagem de pedido, tal como um pedido EAP, pode ser entrada no cartão inteligente.

Assim, a função do cartão inteligente é formar uma resposta (por exemplo, uma resposta

EAP) para esta mensagem. O terminal e a rede em mobilidade podem ser implementados de modo que seja possível executar mais de uma troca de pedido e, as mensagens de resposta antes do resultado de autenticação ser encontrado. Além disso, o cartão inteligente contém

preferivelmente uma operação pela qual o material chave formado com relação à autenticação pode ser provido para uso pelo terminal. Depois disto, o material chave pode ser usado para codificar a informação a ser transmitida, por exemplo, pelo canal de rádio, o qual é atualmente usado, por exemplo, nas redes de comunicação móveis GSM e UMTS.

Na fase quando o terminal 5 é ativado, é possível executar a verificação do usuário, conhecido como tal, por exemplo, de forma que o terminal 5 visualize, no visor 20 da interface do usuário 10, uma notificação onde o usuário é pedido para entrar com um número de identidade pessoal (PIN). Depois disto, o usuário entra, por exemplo, através do teclado 21 da interface do usuário 10, com a sua senha que é transmitida pelo bloco de controle do terminal 11 para o cartão 15 inteligente. No cartão 15 inteligente, o processador

verifica a senha, de certo modo conhecido, por meio dos dados do usuário e de um algoritmo disposto para a verificação, que foram armazenados na memória 17 de apenas leitura do cartão inteligente. Se a senha foi entrada corretamente, o terminal 5 pode ser ativado.

Depois da ativação, é possível começar o login na rede, se o sinal da estação base 6 na rede de comunicação móvel 2 puder ser recebido no terminal 5. Se for possível se logar na rede, a transmissão das mensagens (sinalização) exigidas para login é iniciada, a qual é conhecida para tal. Durante o login, a atualização de localização (LA) é executada, se necessário. Além disso, no processo de login, o canal de transmissão e o canal de rádio receptor são alocados para sinalização, a serem usados pelo terminal e a estação base na comunicação. Com relação ao login, o terminal é autenticado, o qual é apresentado de uma

11/18 maneira reduzida no quadro de sinalização da Figura 4. O servidor de autenticação 3 da rede de comunicação móvel 2 gera um pedido de login 501, do qual um exemplo vantajoso é apresentado na Figura 5a.

O pedido de login é preferivelmente uma mensagem que obedece ao protocolo de autenticação extensível e inclui certos registros que contêm valores que podem ser mudados para formar várias mensagens diferentes, ao usar substancialmente a mesma estrutura de registro. A mensagem inclui preferivelmente o campo do cabeçalho e o campo de dados. O campo do cabeçalho contém, inter alia, e os registros de dados a seguir: o registro de código 502 para transmitir a informação sobre se a mensagem é um pedido, uma

resposta, um sucesso ou um fracasso; o registro de identificação 503 que é usado para identificar as mensagens, por exemplo, de modo que as mensagens sucessivas deveríam conter diferentes dados de identificação, exceto quando a mesma mensagem for retransmitida; além disso, o registro de comprimento 504 indica o comprimento da mensagem. Os dados a serem transmitidos no campo de dados dependem, por exemplo, do propósito de uso da mensagem. No sistema de acordo com uma incorporação vantajosa da presente invenção, o campo de dados contém o registro do tipo de dados 505 que indica o tipo da mensagem em questão. Por exemplo, com base no número do tipo ΕΑΡ, o terminal pode determinar que o cartão 15 inteligente 15 ou módulo de programa processará o tipo EAP (ou protocolo de autenticação) em questão. Os outros registros de dados contidos na

mensagem são tipo-específicos e podem conter, por exemplo, os dados que são específicos do protocolo de autenticação usado, tal como vários desafios, respostas, assinaturas digitais ou verificações, os códigos de autenticação da mensagem, etc.

Com o pedido de login, o servidor de autenticação 3 solicita ao terminal 5 para transmitir os seus próprios dados de identificação. A transmissão do pedido de login é 25 indicada através de seta 401 na Figura 4. O dispositivo de comunicação móvel 9 do terminal executa as operações necessárias para converter os sinais de rádio-ffeqüência para os sinais de banda base de certo modo conhecido para tal. O pedido de login é transmitido no terminal 5 para o cartão 15 inteligente, no qual a mensagem é processada na interface do protocolo de autenticação extensível. Na prática, isto significa que o processador 16 do 30 cartão inteligente recebe que o pedido de login e roda as operações necessárias. O

12/18 • · ···· processador 16 do cartão inteligente gera uma resposta, na qual o campo de dados contém os dados de identificação do usuário do terminal, preferivelmente o identificador do assinante móvel internacional (IMSI - Intemational Mobile Subscriber Identifier). Este identificador do assinante móvel internacional contém o código do país móvel (MCC Mobile Çountry Çode), o código da rede móvel (MNC - Mobile Network Çode) como também o número de identificação do assinante móvel (MSIN - Mobile Subscriber

Identifícation Number). Em cada cartão 15 inteligente do tipo-SIM, este identificador IMSI é único, onde o assinante móvel pode ser identificado com base nestes dados do identificador.

No caso que obedece ao padrão ΕΑΡ, o identificador é transmitido em um pacote EAP de identidade/resposta, no qual a identidade da rede em mobilidade é denominada de identificador de acesso de rede (NAI - Network Access Identifier). Em uma incorporação vantajosa da invenção, o identificador do usuário (por exemplo, IMSI) é transmitido no formato codificado neste identificador de rede. Em um caso geral, o 15 identificador de rede é uma seqüência de caráter que identifica o assinante. Este pode conter o identificador do operador, onde este está em uma forma que se assemelha a um endereço de e-mail: usuário identificador@operator.codigopais.

Depois que a mensagem de resposta foi formada no cartão 15 inteligente, o cartão 15 inteligente transmite esta mensagem através do dispositivo de conexão 19 do

cartão inteligente para o dispositivo de conexão 14 do terminal. O bloco de controle 11 do terminal 11 lê a mensagem, faz as conversões do protocolo necessárias, e transmite a mensagem ao dispositivo de comunicação móvel 9, a ser convertido nos sinais de rádiofreqüência. O terminal 5 pode agora transmitir um pedido de login para a estação base 6 (seta 402). O pedido de login é recebido na estação base 6, da qual é transferido pelo 25 controlador da estação base 7 para o centro 8 de comutação móvel. O centro 8 de comutação móvel transmite a mensagem para o servidor de autenticação 3. Depois disto, a mensagem é examinada no servidor de autenticação 3.

Na rede de comunicação móvel, a resposta é transmitida à rede residente do usuário respectivo, na qual o servidor de autenticação 3 processa a resposta recebida e confere os dados do assinante, por exemplo, do registro de localização residente HLR. Após

13/18 os dados do assinante do usuário terem sido verificados do banco de dados, o processo de autenticação do usuário é iniciado, para verificar se o usuário é realmente a pessoa cujos os dados do assinante são determinados na resposta. O servidor de autenticação 3 continua o processo de autenticação ao formar uma mensagem de início de autenticação cujo campo de dados contém a informação transmitida, por exemplo, sobre as versões do protocolo suportadas pelo servidor de autenticação 3 (seta 403). Uma forma vantajosa desta mensagem é apresentada na Figura 5b apensa.

No terminal 5, a mensagem é transmitida à interface do protocolo de autenticação extensível do cartão 15 inteligente onde, por exemplo, os dados da versão do protocolo transmitidos na mensagem são examinados. Se um ou vários protocolos disponíveis no servidor de autenticação 3 é também disponível no cartão 15 inteligente, um destes protocolos é selecionado no cartão 15 inteligente para ser usado nos passos adicionais do processo de autenticação. Além disso, este protocolo também pode definir o algoritmo de autenticação a ser usado para a autenticação.

E óbvio que a transmissão acima apresentada das mensagens é apenas um exemplo de como a presente invenção pode ser aplicada. O número de mensagens processado pelo cartão 15 inteligente pode ser diferente daquele determinado no exemplo apresentado. Em um caso geral, vários pedidos (por exemplo, um pedido EAP) são transmitidos da rede de comunicação para o terminal 5 e guiados pelo software do terminal 5 para o cartão 15 inteligente. O cartão 15 inteligente gera as respostas (por exemplo, uma resposta EAP), as quais o terminal 5 transmite à rede em mobilidade e para o servidor de autenticação 3 da rede residente. O número destes pedidos e respostas não é limitado, e eles apenas necessitam ser inteligível ao cartão 15 inteligente e ao servidor de autenticação 3.

Em geral, os protocolos de autenticação são baseados na regra de que o dispositivo de autenticação e o dispositivo a ser autenticado aplicam o mesmo algoritmo de autenticação, no qual as mesmas figuras são usadas como entradas. Por exemplo, no sistema de comunicação móvel GSM, cada assinante móvel é alocado a uma chave secreta Ki, que é armazenada no cartão SIM. Além disso, esta chave secreta é armazenada no registro de localização residente do assinante móvel. O algoritmo de autenticação computa o número de resposta, onde ao comparar os números de resposta formados pelo dispositivo de

14/18

autenticação e o dispositivo ser autenticado, é possível autenticar a outra parte com uma probabilidade alta. Para reduzir a possibilidade de abuso ao mínimo, todas as figuras a serem entradas no algoritmo de autenticação não são transmitidas entre os dispositivos, mas elas são armazenadas no dispositivo e/ou no banco de dados, onde elas podem ser 5 recuperadas pelo dispositivo. Em particular, a chave secreta não é transmitida em nenhuma fase na rede de comunicação móvel. Neste método de acordo com uma incorporação vantajosa da invenção, os passos a seguir são tomados.

O cartão 15 inteligente seleciona um primeiro número randômico

NONCE_MT através de qualquer método. Além disso, um período de validade pode ser

selecionado para a chave a ser definida no processo de autenticação. A informação sobre o protocolo de autenticação selecionado, o primeiro número randômico NONCE_MT como também o período de validade que foram selecionados possivelmente são transmitidos em uma resposta de login para o servidor de autenticação 3 ao aplicar os mecanismos de transmissão de mensagem acima apresentados (seta 404). Uma forma vantajosa desta 15 mensagem é apresentada na Figura 5c apensa.

O servidor de autenticação 3 recupera o numeram n (n>l) dos tripletos GSM, cada tripleto inclui um segundo número randômico RAND, uma resposta assinada SRES e uma chave de codificação Kc do registro de localização residente HLR. O servidor de autenticação 3 recupera os tripletos GSM do registro de localização residente HLR usando o

a rede em mobilidade GSM e o protocolo Parte de Aplicação Móvel (MAP - Mobile Application Part), como conhecido na técnica anterior. Além disso, ao usar um ou vários algoritmos de autenticação que correspondem ao protocolo de autenticação selecionado, o servidor de autenticação 3 computa uma chave de sessão K como também o primeiro código de autenticação MAC_RAND. Os parâmetros usados nesta computação são preferivelmente 25 a chave de codificação n*Kc, o número randômico n*RAND, o identificador do assinante móvel internacional IMSI, e o primeiro número randômico NONCE MT. Para a chave, o servidor de autenticação 3 pode aceitar o período de validade sugerido pelo cartão 15 inteligente, ou pode selecionar outro período de validade. Em uma mensagem de inicio de verificação para o terminal 5, o servidor de autenticação 3 transmite um ou mais números randômicos n*RAND selecionados por este, o primeiro código de autenticação

15/18

MAC_RAND computado por este, como também os dados sobre o período de validade selecionado para a chave (seta 405). Uma forma vantajosa desta mensagem é apresentada na Figura 5d apensa.

Na interface do protocolo de autenticação extensível do cartão 15 inteligente do terminal 5, o mesmo algoritmo de autenticação é rodado de uma maneira correspondente, ao usar como os parâmetros, o primeiro número randômico NONCE ME selecionado pelo cartão 15 inteligente, um determinado número de chaves de codificação n*Kc, o segundo número randômico n*RAND selecionado pelo servidor de autenticação 3, como também o identificador do assinante móvel internacional IMSI (bloco 406). O resultado do algoritmo

de autenticação é comparado com o primeiro código de autenticação MACRAND computado no servidor de autenticação 3 e transmitido para o cartão 15 inteligente. Se a comparação apresenta que o resultado da computação do algoritmo de autenticação é o mesmo no cartão 15 inteligente e no servidor de autenticação 3, pode ser assumido no cartão inteligente que a mensagem de inicio de verificação transmitida pelo servidor de autenticação foi realmente transmitida através do servidor de autenticação 3 e que os números randômicos neste são confiáveis. Se a comparação apresenta que os números computados não se associam, as funções de autenticação são preferivelmente paradas no cartão 15 inteligente e o terminal 5 não é registrado na rede de comunicação móvel, ou no caso de uma autenticação ser feita com relação ao uso de um serviço, o uso do serviço é

impedido.

Em uma situação na qual a comparação apresenta que os números randômicos são confiáveis, o cartão inteligente 15 forma as respostas assinadas SRES. Isto é executado com um algoritmo, que corresponde ao servidor de autenticação 3, ao usar, como parâmetros, as chaves de codificação n*Kc e o segundo número randômico n*RAND selecionado pelo servidor de autenticação 3. As respostas assinadas computadas n*SRES como também preferivelmente o identificador do assinante móvel internacional IMSI e o primeiro número randômico NONCE_MT pode ser usado então para computar o segundo código de autenticação MAC_SRES com um algoritmo. Para a mensagem de inicio de verificação, o cartão inteligente 15 forma uma resposta que é transmitida ao servidor de 30 autenticação 3 (seta 407). Nesta resposta, o segundo número de autenticação MAC_SRES

16/18

apresentada na Figura 5b apensa. O servidor de autenticação 3 pode fazer uma computação correspondente e pode comparar o número de autenticação computado por este com o segundo número de autenticação MAC SRES transmitido do cartão 15 inteligente. Se os 5 números de autenticação se associam, o servidor de autenticação 15 pode assumir que o usuário é realmente a pessoa cujo identificador do assinante móvel internacional foi transmitido do cartão 15 inteligente do terminal para o servidor de autenticação 3. No término do processo de autenticação bem sucedido, o servidor de autenticação 3 transmite a informação sobre isto para o terminal 5 (seta 408). Nesta mesma mensagem, o servidor de

autenticação 3 também pode transmitir uma chave de sessão K para o terminal 5.

E óbvio que o processo de autenticação acima apresentado, a estrutura e o conteúdo das mensagens transmitidos em conexão com este são apenas alguns dos exemplos vantajoso de operação de acordo com o protocolo de autenticação (EAP/SIM). Dentro da extensão da presente invenção, é também possível usar outras estruturas de mensagem e dados de autenticação, onde os detalhes podem ser diferentes destes determinados no exemplo acima. Nem é a invenção limitada somente ao protocolo de autenticação extensível, mas também pode ser aplicada a outros protocolos de autenticação comuns com relação à invenção. O que é essencial é que o cartão 15 inteligente é proporcionado com uma interface do protocolo de autenticação, na qual é possível processar as mensagens recebidas relacionadas à autenticação, para formar as mensagens que são relacionadas à autenticação e que serão transmitidas ao servidor de autenticação 3, para processar as chaves relacionadas à autenticação (por exemplo, para recuperar da memória 17 de apenas leitura do cartão inteligente e/ou da mensagem recebida), como também verificar as mensagens relacionadas à autenticação. Assim, todas as funções, as quais são relacionadas substancialmente à autenticação, o terminal 5 pode ser colocado no cartão 15 inteligente.

O método de acordo com a invenção também pode ser aplicado em uma situação, na qual o terminal 5 é acoplado, por exemplo, à rede de dados Internet 22 e o cartão SIM é usado para a identificação do usuário. Assim, o servidor de autenticação pode ser colocado, por exemplo, na interface entre a rede de dados Internet 22 e a rede de comunicação móvel, onde o servidor de autenticação pode comunicar com o centro de

17/18

autenticação AuC da rede de comunicação móvel para recuperar os dados de autenticação necessários. O protocolo PPP é usado entre o terminal 5 e o denominado servidor de acesso de rede (NAS - Network Access Server). O servidor de acesso de rede comunica com o servidor de autenticação usando o protocolo AAA. Nas redes de área locais sem fios, a situação é semelhante para as partes essenciais. Entre o terminal e o ponto de acesso da rede de área local sem fio, por exemplo, o protocolo IEEE 802. IX que é usado é baseado no uso do protocolo ΕΑΡ. O ponto de acesso comunica com o centro de autenticação usando o protocolo AAA.

Através do método da invenção, o protocolo de autenticação pode ser

alterado, por exemplo, mudando o cartão 15 inteligente. Assim, tal protocolo que pode ser usado é implementado no cartão 15 inteligente novo como também no servidor de autenticação. Por exemplo, nenhuma mudança necessita ser feita no software do terminal em conexão com a troca do protocolo de autenticação.

Como o terminal 5, é possível usar, por exemplo, um terminal sem fio, tal como um dispositivo de comunicação sem fio, tal como o Comunicador Nokia 9210, ou similar. A invenção também pode ser aplicada, por exemplo, na autenticação de uma estação-trabalho em uma rede de área local, e na autenticação de um computador ou ser acoplada à rede de dados Internet 22 por uma conexão fixa ou sem fios.

A invenção também pode ser aplicada de tal modo, que a interface do

protocolo de autenticação extensível do dispositivo 15 de verificação dos direitos de uso aloca algumas das operações computacionais criptográficas a serem executadas no terminal

5. As operações criptográficas incluem, por exemplo, as funções de codificação, decodificação, hash, as funções de código de mensagem autenticação, a verificação dos certificados, como também outras operações criptográficas relacionadas à chave pública, 25 como a computação da troca de chave Diffie-Hellman, etc. Algumas destas operações criptográficas requerem uma capacidade de computação grande que pode, em algumas aplicações, serem dispostas mais facilmente no terminal 5 do que no dispositivo 15 de verificação dos direitos de uso. Além disso, tais operações são operações de criptográficas básicas que são implementadas freqüentemente nas bibliotecas universais e não necessariamente requerem atualizações de software no terminal 5. E então possível usar

18/18

várias identificações com base nas quais o dispositivo 15 de verificação dos direitos de uso pode informar o terminal 5 sobre a operação/algoritmo a ser usado de cada vez e transmitir os parâmetros necessários pela interface do protocolo de autenticação extensível para o terminal 5. O terminal 5, em troca, transmite as respostas através da interface do protocolo 5 de autenticação extensível para o dispositivo 15 de verificação dos direitos de uso.

A invenção também pode ser implementada em software ao criar um ou mais programas de computação, no qual os passos executáveis de máquina são definidos para executar os diferentes passos da presente invenção. O programa(s) de computador pode ser armazenado em um dispositivo de armazenamento para, por exemplo, entregar o

programa(s) de computador para os usuários para a instalação do programa(s) de computador no terminal 5 e/ou no dispositivo 15 de verificação dos direitos de uso.

E óbvio que a presente invenção não é apenas limitada às incorporações acima apresentadas, mas pode ser modificada dentro do escopo das reivindicações apensas.

Claims

1. Método para autenticar o usuário do terminal (5), no qual o dispositivo (15) de verificação dos direitos de uso é aplicado para rodar o protocolo de autenticação, e no qual o dispositivo (15) de verificação dos direitos de uso é conectado ao terminal (5), o método é CARACTERIZADO pelo fato de que a interface do protocolo de autenticação extensível ser aplicada pelo dispositivo (15) para verificação dos direitos de uso e o método para autenticação do usuário compreender:

- receber ao menos uma mensagem de início de autenticação contendo informação sobre as versões do protocolo suportados (403) pelo servidor de autenticação (3),

-examinar através do dispositivo (15) as informações sobre as versões dos protocolos transmitidos na mensagem de início de autenticação,

-selecionar uma das versões dos protocolos disponíveis tanto no servidor de autenticação (3) e no dispositivo (15),

-formar ao menos uma mensagem de resposta (407) incluindo informação sobre a versão do protocolo selecionado, e

-transmitir a dita pelo menos uma mensagem de resposta (407) ao servidor de autenticação (3).

2. Método de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que ao menos um algoritmo de autenticação ser usado para autenticação de acordo com o protocolo de autenticação é armazenado no dispositivo (15) de verificação dos direitos de uso.

3. Método de acordo com a reivindicação 2, é CARACTERIZADO pelo fato de que os dados de identificação (IMSI, Ki) para identificar o usuário são armazenados no dispositivo (15) de verificação dos direitos de uso, onde na etapa de formação de ao menos uma mensagem de resposta (406), ao menos um

Petição 870190014554, de 12/02/2019, pág. 7/12

2 / 5 algoritmo de autenticação e os dados de identificação (IMSI, Ki) armazenados no dispositivo (15) de verificação dos direitos de uso são usados para autenticação do usuário.

4. Método de acordo com qualquer uma das reivindicações 1 a 3, onde a informação é transmitida entre o terminal (5) e ao menos uma rede de comunicação (2), o método é CARACTERIZADO pelo fato de que na etapa da formação de ao menos uma mensagem de resposta (406), ao menos uma chave criptográfica (Kc) é formada na interface do protocolo de autenticação extensível, e ao menos uma chave criptográfica (Kc) é transmitida do dispositivo (15) de verificação dos direitos de uso para o terminal (5).

5. Método de acordo com a reivindicação 4, é CARACTERIZADO pelo fato de que ao menos uma chave criptográfica (kc) é para ser usada para codificação da informação a ser transmitida entre o terminal (5) e a rede de comunicação (2).

6. Sistema de autenticação (1) compreendendo um terminal (5) com o dispositivo (14) conectado ao dispositivo (15) de verificação dos direitos de uso para ao menos autenticar, o dispositivo (15) de verificação dos direitos de uso sendo equipado com os dispositivos (16,17) para rodar o protocolo de autenticação, o sistema é CARACTERIZADO pelo fato de que o dispositivo (15) de verificação dos direitos de uso é equipado com uma interface de protocolo de autenticação extensível e compreende:

- meios de conexão (19) para conectar o dispositivo ao terminal (5) e adaptado para receber ao menos uma mensagem de início de autenticação contendo informação sobre as versões de protocolo suportadas através de um servidor de autenticação (3) e para encaminhar ao menos uma mensagem de resposta;

Petição 870190014554, de 12/02/2019, pág. 8/12

3 / 5

- meios computacionais (16) adaptados para:

- examinar as informações sobre as versões de protocolo transmitidas na mensagem de início de autenticação para descobrir as versões de protocolo disponíveis tanto no servidor de autenticação (3) e no dispositivo (15),

- selecionar uma das versões de protocolo disponíveis tanto no servidor de autenticação (3) e no dispositivo (15),

- formar ao menos uma mensagem de resposta incluindo informações sobre a versão de protocolo selecionada, e

- formar ao menos uma mensagem de reposta para enviar ao servidor de autenticação (3), ao menos uma mensagem de resposta incluindo informações sobre a versão de protocolo selecionada.

7. Sistema de acordo com a reivindicação 6, é CARACTERIZADO pelo fato de que os dados de identificação (IMSI, Ki) para identificar o usuário são armazenados no dispositivo (15) de verificação dos direitos de uso, que os meios computacionais (16) compreende meios para usar ao menos um algoritmo de autenticação e os dados de identificação (IMSI, Ki) armazenados no dispositivo (15) de verificação dos direitos de uso para a autenticação do usuário.

8. Sistema de acordo com as reivindicações 6 a 7, compreende os dispositivos (3,6,7) para transmitir a informação entre o terminal (5) e ao menos uma rede de comunicação (2), o sistema é CARACTERIZADO pelo fato de que a interface do protocolo de autenticação extensível compreende os meios computacionais (16) para formar ao menos uma chave criptográfica (Kc), e ao menos uma chave criptográfica (kc) é disposta para ser transmitida do dispositivo (15) de verificação dos direitos de uso para o terminal (5).

Petição 870190014554, de 12/02/2019, pág. 9/12

4 / 5

9. Sistema de acordo com a reivindicação 8, é CARACTERIZADO pelo fato de que este compreende os dispositivos (9, 11) para usar ao menos uma chave criptográfica (Kc) para codificação da informação a ser transmitida entre o terminal (5) e a rede de comunicação (2).

10. Dispositivo (15) de verificação dos direitos de uso sendo usado para a identificação do usuário, o dispositivo de autorização compreendendo meios (16, 17) para rodar o protocolo de autenticação CARACTERIZADO pelo fato de o dispositivo (15) de verificação dos direitos de uso é equipado com uma interface de protocolo de autenticação extensível e compreende:

- meios de conexão (19) para conectar o dispositivo ao terminal (5) e adaptado para receber ao menos uma mensagem de início de autenticação contendo informação sobre as versões de protocolo suportadas através de um servidor de autenticação (3) e para enviar ao menos uma mensagem de resposta;

- meios computacionais (16) adaptados para:

11. Dispositivo de acordo com a reivindicação 10, CARACTERIZADO pelo fato de que é um cartão de identificação do assinante móvel (SIM, USIM).

Petição 870190014554, de 12/02/2019, pág. 10/12

5 / 5

12. Terminal (5) CARACTERIZADO pelo fato de que compreende o dispositivo (15) tal como descrito nas reivindicações 10 e 11.