NO313480B1 - Fremgangsmåte for å åpne hele eller deler av et smartkort - Google Patents

Description

Oppfinnelsens område

Den foreliggende oppfinnelse vedrører smartkort og kommunikasjonsnett, nærmere bestemt et mobil telefonsystem som bruker en engangsaktiveringskode for å aktivere i det minste en del av et smartkort, for eksempel en PKI- (Public Key Infrastrueture) funksjon i et SIM- (Subscriber Identity Module) kort.

Oppfinnelsens bakgrunn

PKI-funksjoner integrert i et smartkort, for eksempel et SIM-kort plassert i en GSM-telefon er normalt beskyttet av en egen PIN-kode og en PDK-kode (ikke den samme som for GSM-delen) . PIN-koden er normalt en relativ kort personlig kode som må tastes inn for å aktivere kortet for bruk. PUK-koden er normalt et mye lengre nummer som må tastes inn etter tre ukorrekte inntastinger av PIN-koden. Dette forhind-rer uautorisert tilgang til smartkortet.

Av sikkerhetshensyn må PUK-koden være betydelig lenger enn PIN-koden. Dette fremstår imidlertid som et problem for brukeren fordi koden er vanskelig å huske. For de fleste brukere er det nødvendig å ta vare på PUK-koden for eksempel på et stykke papir, og når PUK-koden en sjelden gang trengs, vil den sannsynligvis være borte. Pga. dette må mo-biltelefonoperatører (eller andre type kortutstedere) ofte bytte ut brukernes smartkort/SIM-kort. Pga. sikkerhetshensyn er det ikke egnet å printe en PUK-kode to ganger. Dette vil føre til ekstra kostnad og arbeid for å fornye abonne-mentet med en ny PUK-kode så vel som et smartkort.

PUK-koden er en fast kode, noe som krever lagring av koden lokalt i smartkortet. Et ytterligere problem pga. det fak-tum at PUK-koden er en fast kode, er at smartkortet er bun-det opp til en bruker i løpet av dets livsløp, og det er ingen mulighet for å endre brukeren av et bestemt abonne-ment. Dette fører til produksjon og distribusjon av flere smartkort enn nødvendig.

WO/98/33343 beskriver en identifikasjonsmetode der sikker-heten baseres på bruk av to uavhengige overføringssystemer. Dokumentet beskriver imidlertid ingen løsning på problemene tilknyttet faste PUK-koder for PKI-funksjonen i et smartkort .

Oppsummering av oppfinnelsen

Det er et formål med den foreliggende oppfinnelse å til-veiebringe en fremgangsmåte som eliminerer ulempene som er beskrevet ovenfor. Trekkene som er definert i de vedlagte krav karakteriserer denne fremgangsmåten.

Nærmere bestemt, i henhold til den foreliggende oppfinnelse, genereres en aktiveringskode som erstatter PUK-koden sentralt, og vil bli sendt fortrinnsvis med rekommandert post til brukeren av smartkortet, som kan være et SIM-kort i en mobiltelefon. Verifiseringen av kodeaktiveringen gjen-nomføres ganske enkelt ved å sammenligne (for eksempel i en server hos en teleoperatør) aktiveringskoden inntastet av bruker med den som ble sendt pr. post, som også er lagret i telefonoperatørens aktiveringsserver. Aktiveringskoden er en engangskode, og erstatter alle funksjonene PUK-koden for PKI-delen har. I tillegg kan den bli benyttet til å aktivere lagrede, men for brukeren skjulte, funksjonaliteter i smartkortet, for eksempel PKI-funksjoner.

Kort beskrivelse av tegningen

Figur 1 er en oversikt over komponentene og dataflyten i en utførelse av den foreliggende oppfinnelse.

Detaljert beskrivelse

Den foreliggende oppfinnelse vil nå bli beskrevet i forbindelse med en eksempelutførelse som henviser til den ovenfor nevnte figuren. Den foreliggende oppfinnelse er imidlertid ikke begrenset til denne bestemte utførelse, men kan benyttes på andre områder med forskjellige substitusjoner uten at man fjerner seg fra oppfinnelsens rekkevidde slik den er definert i de vedlagte krav.

Eksempelutførelsen er basert på et mobiltelefonnett hvor de faste PUK-koder er erstattet med engangsaktiveringskoder. I tillegg til å erstatte de tradisjonelle funksjoner som PUK-koden har, kan aktiveringskoden også benyttes for å aktivere PKI-abonnentenes SIM-kort.

For å kunne benytte PKI-funksjoner, må en bruker på forhånd være registrert og registreringsdata må være verifisert hos en RA (Registration Authority). Alle relevante registreringsdata må være tilgjengelig for serveren som genererer aktiveringskodene, typisk en server plassert hos en tele-fonoperatør .

Etter vellykket registrering, kan brukeren så gis en engangsaktiveringskode som genereres i serveren. Denne koden vil bli benyttet for å autentisere brukeren mot serveren etter registreringen og for å initiere nøkkelgenererings-prosessen i smartkortet. Engangsaktiveringskoden vil bli tilveiebrakt brukeren i en forseglet konvolutt som sendes med vanlig post, for eksempel som et rekommandert brev til brukerens hj emmeadresse.

Før brukeren kan taste inn aktiveringskoden må imidlertid en "SIM PKI meny" aktiveres. Derfor overfører PKI-serveren en - for brukerens SIM-kort unik - kode til brukernes telefon for å aktivere "SIM PKI menyen" . Denne unike koden må ikke forveksles med den faktiske aktiveringskoden beskrevet ovenfor. Denne "SIM PKI menyen", har frem til dette tidspunkt vært usynlig i SIM-kortet og ikke tilgjengelig for brukeren. Akt iver ingsmodulen i PKI-serveren vil også hente inn noen unike parametere fra kortproduksjonssystemet, som også er lagret i det bestemte SIM-kort, for å bli benyttet som kode for å aktivere PKI-menyen i SIM-kortet.

Når "SIM PKI menyen" er aktivert, taster brukeren inn aktiveringskoden i hans/hennes handsett for å ta del i tjenes-ten. Aktiveringskoden sendes med SMS til PKI-serveren. Brukeren har tre forsøk på å taste inn koden korrekt.

Aktiveringsmodulen verifiserer at den inntastede aktiveringskode tilsvarer den som tidligere ble sendt. Aktive-ringsmodulen sender så en "Generer PKI-nøkler aktiveringskommando" tilbake til SIM-kortet, og nøkkelgenereringsapp-likasjonen i SIM-kortet vil generere et nøkkelpar som be-står av en privat nøkkel og en offentlig nøkkel.

Den offentlige nøkkel transmitteres med SMS til aktive-ringsmodulen, og SMS-meldingen krypteres fortrinnsvis i henhold til GSM 03.48 for beskyttelse av sensitiv informa-sjon.

Brukeren blir så spurt om å velge en PIN_SIGNKEY, som er en personlig selvvalgt signeringsnøkkel som benyttes for eksempel for transaksjonssignering og autentisering.

Hvis verifiseringen er vellykket, kobler akt iveringsporta-len seg til CA for å utstede et gyldig sertifikat med den offentlige nøkkel knyttet til brukeren. Dette sertifikatet blir på samme tid sendt til en sertifiseringskatalog.

En bekreftelse på vellykket sertifisering sendes tilbake til brukeren og PKI-menyen vil bli deaktivert i SIM-kortet. PKI-funksjonene i SIM-kortet er nå aktivert.

Den foreliggende oppfinnelse erstatter PUK-koden for PKI-delen (som ikke må forveksles med den for GSM-delen) , som vanligvis, av sikkerhetshensyn, er lagret i to separate de-ler, med en engangsaktiveringskode noe som følgelig krever mindre minneplass og administrasjon.

I tillegg introduserer den foreliggende oppfinnelse en høy-ere grad av sikkerhet idet ingen PUK-kode er lagret verken sentralt hos operatøren eller i terminalen eller på et stykke papir for at brukeren skal huske den.

Den foreliggende oppfinnelse aktiverer generering av nøkler i forbindelse med bruk av PKI, for dermed å gi brukeren mulighet til selv å velge signerings-PIN-koden for autentisering og transaksjons signering.

En ytterligere fordel ved den foreliggende oppfinnelse er at SIM-kortene kan gjenbrukes av brukeren eller av en ny bruker etter PKI-sertifikatets fornyelsesdato (etter om-trent 2-3 år) siden nye PKI-data vil bli generert i smartkortet for hver nye akt iver ing skode.

Claims (9)

1. Fremgangsmåte for å aktivere i det minste en del av et smartkort, nevnte smartkort er tilknyttet en terminal, nevnte terminal er koblet til et kommunikasjonsnett til hvilket en server også er tilkoblet, nevnte smartkort er tilgjengelig for en bruker av nevnte terminal, karakterisert ved de følgende trinn: å generere en aktiveringskode i nevnte server, å sende nevnte aktiveringskode til nevnte bruker, å tilpasse nevnte terminal og forespørre nevnte bru ker om hans/hennes nevnte aktiveringskode, som respons på nevnte brukers inntasting av nevnte aktiveringskode i nevnte terminal, å transmittere nevnte inntasting til nevnte server gjennom nevnte kommunikasjonsnett, som respons på mottak av nevnte inntasting, sammen ligne nevnte inntasting med nevnte aktiveringskode, hvis nevnte inntasting og nevnte aktiveringskode er sammenfallende, å transmittere en aktiveringskommando til nevnte terminal gjennom nevnte kommunikasjonsnett, ved mottak av nevnte aktiveringskode, å aktivere nevnte i det minste en del av nevnte smartkort.

2. Fremgangsmåte som angitt i krav 1, karakterisert ved at nevnte del av nevnte smartkort er PKI-funksjoner og nevnte server er en PKI-server.

3. Fremgangsmåte som angitt i krav 2, karakterisert ved at trinnet med å aktivere videre omfatter følgende trinn: å generere et nøkkelpar som inkluderer en privat nøk- kel og en offentlig nøkkel, å forespørre nevnte bruker om å velge og å taste inn en signerings- og autentiserings-PIN-kode i nevnte terminal, å transmittere nevnte offentlige nøkkel til nevnte PKI -server gjennom nevnte kommunikasjonsnett, fra nevnte PKI-server, forespørre et sertifikat for nevnte bruker fra en CA.

4. Fremgangsmåte som angitt i krav 2 eller 3, karakterisert ved at nevnte PKI-funksjoner er lagret i nevnte smartkort, men ligger skjult for brukeren frem til de aktiveres.

5. Fremgangsmåte som angitt i et de foregående krav, karakterisert ved at trinnet med å tilpasse inkluderer å transmittere en menyaktiveringskode til nevnte terminal fra nevnte server som gir nevnte terminal en meny for nevnte forespørsel til nevnte bruker for inntasting av nevnte aktiveringskode.

6. Fremgangsmåte som angitt i et de foregående krav, karakterisert ved at nevnte kommunikasjonsnett er et GSM-nett, nevnte terminal er en GSM-telefon og nevnte smartkort er et SIM-kort.

7. Fremgangsmåte som angitt i krav 6, karakterisert ved at nevnte transmitte-ring av nevnte inntasting fra nevnte terminal til nevnte server gjennomføres via en SMS.

8. Fremgangsmåte som angitt i krav 6 eller 7, karakterisert ved at nevnte aktiveringskode fullstendig erstatter PUK-koden som benyttes for PKI.

9. Fremgangsmåte som angitt i ett av de foregående krav, karakterisert ved at nevnte aktiveringskode sendes til brukeren via rekommandert post.