DE69433771T2

DE69433771T2 - Verfahren und Vorrichtung zur Geheimhaltung und Authentifizierung in einem mobilen drahtlosen Netz

Info

Publication number: DE69433771T2
Application number: DE69433771T
Authority: DE
Inventors: Whitfield Mountain View Diffie; Ashar Fremont Aziz
Original assignee: Sun Microsystems Inc
Current assignee: Sun Microsystems Inc
Priority date: 1993-11-02
Filing date: 1994-07-22
Publication date: 2005-02-03
Anticipated expiration: 2014-07-23
Also published as: EP0651533A3; JPH07193569A; EP0651533B1; EP0651533A2; USRE36946E; US5371794A; DE69433771D1

Description

HINTERGRUND DER ERFINDUNG
1. Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf Verfahren und Einrichtungen zum Bereitstellen von Vertraulichkeit und Authentifizierung in einem drahtlosen Netzwerk. Insbesondere stellt die vorliegende Erfindung ein System bereit, das sowohl Verschlüsselungstechniken mit öffentlichem Schlüssel als auch Verschlüsselungstechniken mit gemeinsamem Schlüssel zur Kommunikation zwischen drahtlosen mobilen Einrichtungen und einer Basisstation verwendet.
2. Technischer Hintergrund
Die Einführung tragbarer Personalcomputer und Arbeitsstationen hat das Netzwerkkonzept derart erweitert, daß mobile Geräte bzw. Einrichtungen einbezogen werden. Diese mobilen Einrichtungen können sowohl zwischen globalen Netzwerken als auch innerhalb lokaler Netzwerke bewegt werden. Ein Anwender einer tragbaren Notebookrecheneinrichtung kann beispielsweise seinen Computer physisch von Palo Alto, Kalifornien, nach Bangkok, Thailand, tragen. Wenn der Computer mit anderen, an ein Netzwerk gekoppelten Computern interagieren und kommunizieren muß, ergeben sich naturgemäß Netzwerksicherheitsprobleme.
Das Europäische Patent Nr. 0 535 863 der American Telephone & Telegraph Company („ATT") beschreibt einen Mechanismus zum Aufbau einer privaten und authentifizierten Kommunikation zwischen Beteiligten, die gemeinsam nur ein relativ ungesichertes Geheimnis haben, wobei derart vorgegangen wird, daß ein Teil, oder mehr, der Nachrichten eines Verteilungssystems öffentlicher Schlüssel mit dem gemeinsamen Geheimnis als Chiffrierschlüssel verschlüsselt wird. In diesem Zusammenhang ähnelt ATT einem Turbosystem, unterscheidet sich aber dadurch, daß die Software nicht nur eine Zufallszahl ist, sondern ein Teil einer Nachricht des Verteilungssystems öffentlicher Schlüssel. Jedoch sind die von ATT beschriebenen Techniken allgemein zur Bereitstellung von Vertraulichkeit und Authentifizierung in einem drahtlosen Netzwerk ungeeignet.
Insbesondere dann, wenn der Computer des Anwenders über eine drahtlose Verbindung zum Beispiel mit einer lokalen Basisstation oder über eine direkte Satellitenverbindung von Bangkok in die Vereinigten Staaten kommuniziert, werden drahtlose Sicherheit, Vertraulichkeit und Authentifizierung wichtig. Das drahtlose Medium schafft neue Möglichkeiten, die das Abhören drahtloser Datenkommunikation gestatten. Jeder, der die entsprechende Ausführung eines drahtlosen Empfängers hat, kann abhören und diese Art des Abhörens ist nahezu nicht nachweisbar. Da das drahtlose Medium außerdem nicht durch die gewöhnlichen physischen Beschränkungen von Mauern und Türen zurückgehalten werden kann, ist ein aktives widerrechtliches Eindringen durch das drahtlose Medium auch einfacher durchzuführen.
IEEE Global Telecommunications Conference, Countdown to the New Millennium, Beller, M.J. et al.: PRIVACY AND AUTHENTICATION ON A PORTABLE COMMUNICATIONS SYSTEM, Phoenix, vol. 3 von 3, 2. Dezember 1991, Seiten 1922–1927, XP000313732 ("IEEE") diskutiert technische Varianten zum Erreichen der Ziele Authentifizierung (Sicherstellen, daß Dienste nicht betrügerisch erhalten werden) und Vertraulichkeit von Informationen zwischen den Standorten der PC-Anwender. Die beschriebenen Techniken beinhalten eine Nachrichtkodierung, um Schutz gegen Abhörer bereitzustellen, und Öffentliche-Schlüssel-Kryptographie, um auch vom Abhören abzuhalten. Zusätzlich beschreibt IEEE Modifizierungen völlig konventioneller Öffentliche-Schlüssel-Ausführungen, einschließlich einer Modulationsquadratwurzel(MSR-modulation squareroot)-Technik für eine minimale Öffentliche-Schlüssel-Lösung. Obwohl verschiedene Protokolle diskutiert werden, gelingt es IEEE nicht, ausreichend Informationen bereitzustellen, um die Ausführung einer der beschriebenen Techniken ohne übermäßiges Experimentieren zu ermöglichen, um Vertraulichkeit und Authentifizierung in einem drahtlosen Netzwerk zu schaffen.
Wie beschrieben wird, stellt die vorliegende Erfindung ein Verfahren und eine Einrichtung zum Verhindern der Möglichkeit eines unautorisierten Zugriffs auf das Netzwerk und ein sicheres Kommunikationsprotokoll bereit, das beides bereitstellt, Vertraulichkeit der drahtlosen Datenkommunikation und auch Authentizität der Kommunikationsbeteiligten.
ZUSAMMENFASSENDE DARSTELLUNG DER ERFINDUNG
Die vorliegende Erfindung stellt ein Verfahren und eine Einrichtung zum Bereitstellen einer sicheren Kommunikationsverbindung zwischen einem mobilen drahtlosen Datenverarbeitungsgerät und einem Basis-(Festknoten)-Datenverarbeitungsgerät bereit, das an das Netzwerk gekoppelt ist. Die Mobilstation sendet ein Hostzertifikat (CERT Mobile) zusammen mit einem zufällig gewählten Abfragewert (CHI) und einer Liste von unterstützten Gemeinsame-Schlüssel-Algorithmen („SKCS") an die Basis. Die Basis prüft das Zertifikat, das durch eine vertrauenswürdige Zertifizierungsstelle (CA) digital signiert ist. Wenn das CERT Mobile nicht gültig ist, dann weist die Basiseinheit den Verbindungsversuch zurück. Die Basis sendet dann ein CERT BASE, eine Zufallszahl (RN1) und eine Kennung für den gewählten SKCS an die Mobilstation. Die Basis speichert den RN1-Wert und hängt den CH1-Wert und den gewählten SKCS an Nachrichten an, die von der Mobilstation zur Basis gesendet werden. Die Basis signiert dann diese Nachricht und sendet sie an die Mobilstation. Die mobile Einheit prüft dann das CERT BASE und wenn das Zertifikat gültig ist, prüft die Mobilstation unter dem öffentlichen Schlüssel der Basis (Pub_BASE) die Signatur der Nachricht. Die Signatur wird geprüft, indem die Nachricht der Basis genommen und an CH1 und die Liste von Gemeinsame-Schlüssel-Algorithmen (SKCS) angehängt wird, die die Mobilstation in der ersten Nachricht bereitstellte. Wenn die Basissignatur nicht gültig ist, dann wird der Kommunikationsversuch abgebrochen. Im Fall, daß die Basissignatur gültig ist, bestimmt die Mobilstation den Wert von RN1 durch Entschlüsseln von E(Pub Mobile, RN1) unter dem privaten Schlüssel der Mobilstation. Die Mobilstation erzeugt dann RN2 und den Sitzungsschlüssel (RN1 O RN2) und verschlüsselt RN2 unter dem Pub_Base. Die Mobilstation sendet den verschlüsselten RN2 und E(Pub_Mobile, RN1) in einer Nachricht an die Basis, die mit dem privaten Schlüssel der Mobilstation signiert ist. Die Basis prüft dann die Signatur der Mobilstation unter Verwendung des Pub_Mobile, das vom CERT Mobile erhalten wurde. Wenn die Signatur der Mobilstation geprüft wurde, entschlüsselt die Basis E(Pub_Base, RN2) unter Verwendung ihres privaten Schlüssels. Die Basis bestimmt dann den Sitzungsschlüssel (RN1 ⨁ RN2). Die Mobilstation und die Basis können dann in eine Datenübertragungsphase eintreten, die verschlüsselte Daten verwendet, die unter Verwendung des Sitzungsschlüssels entschlüsselt werden. Die vorliegende Erfindung stellt weiter ein Verfahren zum Wechseln des Sitzungsschlüssels während einer Sitzung bereit und die Fähigkeit, im Fall großer Netzwerke mehrere Authentifizierungszertifikate (CA) zu verwenden.
KURZBESCHREIBUNG DER ZEICHNUNGEN
1 stellt ein Datenverarbeitungssystem dar, das die Lehre der vorliegenden Erfindung enthält.
2 stellt schematisch den Unterschied zwischen Verbindungssicherheit und Endpunkt-zu-Endpunkt-Sicherheit in einem Mehrnetzwerksystem dar, das die Verwendung mobiler drahtloser Knoten umfaßt.
3 stellt schematisch einen Anwender einer Mobilstation dar, der mit verschiedenen Anwendern kommuniziert, die mit mehreren Netzwerken gekoppelt sind.
4a, 4b und 4c stellen konzeptionell die Abfolge von Schritten dar, die von der Mobilstation und der Basis ausgeführt werden, um eine sichere Verbindung gemäß der Lehre der vorliegenden Erfindung aufzubauen.
5a und 5b stellen ein Flußdiagramm der Schritte dar, die von der Mobilstation und der Basis ausgeführt werden, die konzeptionell in den 4a–4c gezeigt sind.
NOTATION UND NOMENKLATUR
Die detaillierte Beschreibung, die folgt, wird im Wesentlichen in Form symbolischer Darstellungen von Operationen von Datenverarbeitungseinrichtungen präsentiert, die an ein Netzwerk gekoppelt sind. Diese Prozeßbeschreibungen und – Darstellungen sind die Mittel, die von Datenverarbeitungsfachleuten verwendet werden, um den Inhalt ihrer Arbeit anderen Fachleuten am effizientesten mitzuteilen.
Unter einem Algorithmus wird hier und allgemein eine selbst-konsistente Abfolge von Schritten verstanden, die zu einem gewünschten Resultat führt. Diese Schritte sind diejenigen, die physische Manipulationen physikalischer Größen erfordern. Üblicherweise, aber nicht notwendigerweise; können diese Größen die Form elektrischer oder magnetischer Signale annehmen, die geeignet sind, gespeichert, übertragen, kombiniert, verglichen, dargestellt und anderweitig manipuliert zu werden. Es erweist sich zeitweise als zweckmäßig, hauptsächlich aus Gründen der allgemeinen Verwendung, diese Signale als Bits, Werte, Elemente, Symbole, Operationen, Nachrichten, Ausdrücke, Zahlen oder dergleichen zu bezeichnen. Es sollte berücksichtigt werden, daß alle diese ähnlichen Begriffe den zugehörigen physikalischen Größen zuzuordnen sind und lediglich geeignete Kennzeichnungen sind, die für diese Größen verwendet werden.
In der vorliegenden Erfindung sind die Operationen, auf die Bezug genommen wird, Maschinenoperationen. Zu den verwendbaren Maschinen zum Ausführen der Operationen der vorliegenden Erfindung gehören Mehrzweckdigitalcomputer oder andere ähnliche Einrichtungen. In allen Fällen wird dem Leser angeraten, den Unterschied zwischen den Verfahrensoperationen zum Betreiben eines Computers und den Berechnungsverfahren selbst zu beachten. Die vorliegende Erfindung bezieht sich auf Verfahrensschritte zum Betreiben eines Computers, der an eine Reihe von Netzwerken gekoppelt ist, und zur Verarbeitung elektrischer oder anderer physikalischer Signale, um andere gewünschte physikalische Signale zu erzeugen.
Die vorliegende Erfindung bezieht sich auch auf eine Einrichtung zur Ausführung dieser Operationen. Diese Einrichtung kann für die erforderlichen Zwecke besonders konzipiert sein oder kann einen Mehrzweckcomputer umfassen, der gezielt durch ein Computerprogramm, das im Computer gespeichert ist, aktiviert oder neu konfiguriert wird. Die hier präsentierten Verfahrens-/ Verarbeitungsschritte sind nicht schon an sich auf einen bestimmten Computer oder eine andere Einrichtung bezogen. Verschiedene Mehrzweckmaschinen können mit Programmen gemäß der hier vorliegenden Lehre verwendet werden, oder es kann sich als geeigneter erweisen, besondere Einrichtungen zu konzipieren, um die erforderlichen Verfahrensschritte durchzuführen. Die erforderliche Struktur für eine Auswahl dieser Maschinen wird aus der nachfolgenden Beschreibung ersichtlich.
DETAILLIERTE BESCHREIBUNG DER ERFINDUNG
In der folgenden Beschreibung sind zahlreiche spezifische Details, wie Systemkonfigurationen, repräsentative Nachrichten, drahtlose Einrichtungen und Basisstationen etc., dargelegt, um ein vollständiges Verständnis der vorliegenden Erfindung zu ermöglichen. Es wird jedoch für den Fachmann ersichtlich sein, daß die vorliegende Erfindung ohne diese spezifischen Details genutzt werden kann. In anderen Fällen werden bekannte Schaltungen und Strukturen nicht detailliert beschrieben, um die vorliegende Erfindung nicht zu verdecken. Darüber hinaus werden verschiedene Begriffe, wie „kennt", „prüft", „kontrolliert", „findet", „bestimmt", „fragt ab", „authentifiziert" etc. in dieser Spezifikation verwendet, die als Fachbegriffe angesehen werden. Die Verwendung dieser Begriffe, die von einem normalen Leser als Personifizierungen von Computern oder elektronischen Systemen angesehen werden können, bezieht sich zur Vereinfachung auf die Funktionen des Systems, als ob sie menschliche Attribute hätten. Beispielsweise ist ein hier vorliegender Bezug auf ein elektronisches System, das etwas „bestimmt", einfach ein Verfahren zur abgekürzten Beschreibung, daß das elektronische System gemäß der hier vorliegenden Lehre programmiert oder anderweitig modifiziert wurde. Der Leser wird davor gewarnt, die beschriebenen Funktionen nicht mit alltäglichen menschlichen Attributen zu verwechseln. Diese Funktionen sind in jeder Hinsicht Maschinenfunktionen.
Beispielhafte Hardware
1 stellt ein Datenverarbeitungssystem gemäß der Lehre der vorliegenden Erfindung dar. Es wird ein Computer 1 gezeigt, der drei Hauptkomponenten umfaßt. Die erste von diesen ist eine Eingabe-/ Ausgabe-(E/A)-Schaltung 2, die verwendet wird, um Informationen in entsprechend strukturierter Form zu und von anderen Teilen des Computers 1 zu übermitteln. Des Weiteren beinhaltet der Computer 1 eine Zentralverarbeitung (CPU) 3, die mit der E/A-Schaltung 2 und einem Speicher 4 gekoppelt ist. Diese Elemente sind diejenigen, die üblicherweise in den meisten Mehrzweckcomputern vorhanden sind, und tatsächlich soll der Computer 1 eine breite Kategorie von Datenverarbeitungseinrichtungen repräsentieren. In 1 ist auch eine Tastatur 5 gezeigt, um Daten und Befehle in den Computer 1 einzugeben, wie es bekannt ist. Eine Nachrichterzeugungs- und Sende-/ Empfangsschaltung 7 ist über die E/A-Schaltung 2 auch mit dem Computer 1 gekoppelt, um es dem Computer 1 zu ermöglichen, mit anderen Datenverarbeitungseinrichtungen zu kommunizieren. Beispielsweise ist in 1 der Computer 1 eine nomadische Einrichtung, die mit anderen Datenverarbeitungseinrichtungen unter Verwendung eines drahtlosen Senders 8 kommuniziert, wie es gezeigt ist. Es wird jedoch festgestellt, daß der Computer 1 gemäß der hier vorliegenden Lehre auch direkt an ein Netzwerk gekoppelt sein kann. Ein Rasteranzeigemonitor 6 wird mit der E/A-Schaltung 2 gekoppelt gezeigt und wird verwendet, um Bilder darzustellen, die von der CPU 3 gemäß der vorliegenden Erfindung erzeugt wurden. Jede bekannte Art einer Kathodenstrahlröhre (CRT) oder andere Art einer Anzeige kann als Anzeige 6 genutzt werden.
Ziele der Erfindung
Die Designziele des Protokolls der vorliegenden Erfindung, die hier präsentiert werden, und dessen Anordnung im Protokollstapel einer drahtlosen mobilen Einrichtung und einer Ba- sisstation sind von einer Anzahl von Anforderungen gesteuert. Eine Hauptanforderung ist, daß die Anordnung der Sicherheitsfunktion der vorliegenden Erfindung im Protokollstapel eine nahtlose Integration in existierende drahtgebundene Netzwerke ist. Eine sehr große Anzahl von Netzwerkanwendungen arbeitet in der existierenden drahtgebundenen Netzwerkwelt. Die Anwendungen setzten üblicherweise ein gewisses Sicherheitsniveau im Netzwerk voraus. Diese Sicherheit ist, in gewissem Sinn, durch die physische Sicherheit von drahtgebundenen Netzwerken bereitgestellt. Da das drahtlose Medium keinen physischen Schutz hat, macht das Einführen eines drahtlosen Netzwerkes bedauerlicherweise jeden inhärenten Schutz unwirksam, den ein physisches Netzwerk bereitstellt. Um es der existierenden Softwareanwendungsbasis zu gestatten, mindestens so sicher zu funktionieren wie über ein drahtgebundenes Netzwerk, schützt die vorliegende Erfindung die drahtlose Verbindung selbst.
Zwei andere Alternativen, Endpunkt-zu-Endpunkt-Sicherheit in der Anwendungsschicht und Endpunkt-zu-Endpunkt-Sicherheit in der Transportschicht, werden als unzureichend bei der gegebenen Forderung nach nahtloser Integration in die existierenden drahtgebundenen Netzwerke betrachtet. Eine Folge der nahtlosen Integration ist, daß die sehr große Anzahl existierender Knoten in einem drahtgebundenen Netzwerk nicht modifiziert werden sollte. Das Festlegen von entweder anwendungs- oder transportschichtbasierter Endpunkt-zu-Endpunkt-Sicherheit würde die Modifizierung der Softwarebasis des gesamten Festknotennetzwerks erfordern, wenn die mobile, tragbare Recheneinrichtung dasselbe Niveau an Netzwerkzugang benötigen sollte, wie jeder Knoten des drahtgebundenen Netzwerks.
Als Hintergrundinformation ist der Unterschied zwischen Verbindungssicherheit und Endpunkt-zu-Endpunkt-Sicherheit in 2 dargestellt. Ein mobiler Computer 10 steht in drahtloser Kommunikation mit einer Basiseinheit 12. Die Mobilstation 10 und die Basiseinheit 12 umfassen ein Computersystem, wie es in 1 dargestellt ist. Die Basiseinheit 12 ist ein Festknoten eines Netzwerkes 14. Ein Gateway 16 wird bereitgestellt, um die Kommunikation zwischen dem Netzwerk 14 und ei nem zweiten Netzwerk 18 zu ermöglichen, wie es gezeigt ist. Die Festknotendatenverarbeitungseinrichtungen 20 und 24 sind an das Netzwerk 18 gekoppelt. Eine Vorgehensweise zur Sicherheit auf Verbindungsebene erfordert, daß die drahtlose Verbindung zwischen der Mobilstation 10 und der Basis 12 sicher ist. Die existierenden Sicherheitsmechanismen für die Netzwerke 14 und 18 sowie das Gateway 16 müssen nicht durch die Hinzunahme der sicheren drahtlosen Verbindung beeinflußt werden. In einem Endpunkt-zu-Endpunkt-Sicherheitsmechanismus kommuniziert die Mobilstation 10 direkt mit einem Festknoten (beispielsweise Festknoten 20), wobei erforderlich ist, daß die gesamte Software für jeden Fest- und Mobilknoten in den Netzwerken 14 und 18 aufgerüstet wird, um kompatibel zu sein und das gleiche Niveau an Netzwerksicherheit zu erreichen.
In einer Betriebsumgebung, in der es als durchführbar angesehen wird, alle Knoten des Netzwerks aufzurüsten, um mit Endpunkt-zu-Endpunkt-Sicherheitsmechanismen kompatibel zu sein, kann Verbindungssicherheit tatsächlich nicht erforderlich sein. Dies ist in sehr großen Firmennetzwerken oder großen Multiorganisationsnetzwerken, wie dem Internet, eindeutig nicht möglich. Die Vorgehensweise zur Sicherheit auf Verbindungsebene, die in dem in 2 dargestellten Design übernommen worden ist, vermeidet die Notwendigkeit der Aufrüstung der Software im existierenden drahtgebundenen Netzwerk. Die drahtlose Verbindung selbst ist geschützt und somit ist die Sicherheit des gesamten Netzwerks, drahtgebunden und drahtlos, nicht geringer, als die Sicherheit des drahtgebundenen Netzwerks allein.
Es wird klar sein, daß die Vorgehensweise zur Sicherheit auf Verbindungsebene den Endpunkt-zu-Endpunkt-Sicherheitsmechanismus nicht ausschließt. Solche Mechanismen können mit der Sicherheit auf Verbindungsebene koexistieren, indem ein zusätzliches Sicherheitsprotokoll auf dem Verbindungsprotokoll aufsetzend ausgeführt wird. Sicherheit an mehreren Stellen im Protokollstapel wird nicht notwendigerweise als nachteilig angesehen. Die in 2 dargestellte Vorgehensweise erfordert nicht die Bereitstellung einer Endpunkt zu-Endpunkt-Sicherheit zum Zeitpunkt, zu dem die drahtlosen Netzwerke eingesetzt werden, jedoch statt dessen, wenn es wirtschaftlich sinnvoll ist, das gesamte Netzwerk durch den Endpunkt-zu-Endpunkt-Mechanismus zu schützen.
Die Verbindungsschicht umfaßt die Kommunikation zwischen mindestens zwei Maschinen, beispielsweise zwischen der Mobilstation 10, der Basis 12 und dem Festknoten 20. Das Anwenderkonzept auf der Verbindungsschicht ist nicht wirklich zweckmäßig, da üblicherweise mehrere Anwender auf eine einzige Verbindungsschicht gemultiplext werden. Beispielsweise kann ein Anwender eines mobilen Geräts gleichzeitig mit verschiedenen Anwendern über die drahtlose Verbindung kommunizieren. Alle diese „Konversationen" werden auf die gleiche Verbindungsschicht gemultiplext. Die Verbindungsschicht selbst ist nur ein Hop von vielen in einem üblichen sowohl drahtlosen als auch drahtgebundenen Netzwerk. (Diese Situation ist in 3 dargestellt.) Wie in 2 dargestellt, ist eine mobile Einheit 25 in drahtloser Kommunikation mit einer Basis 27, die an ein Netzwerk 30 gekoppelt ist. Die Basis 27 ist einer von vielen Festknoten (beispielsweise Festknoten 32), die an Netzwerk 30 gekoppelt sind. Eine Gateway-Einrichtung 34, die zwischen das Netzwerk 30 und einem Netzwerk 36 angeordnet ist, ermöglicht die Kommunikation zwischen Knoten, die an die entsprechenden Netzwerke gekoppelt sind. Beispielsweise kann ein Festknoten 38, der an das Netzwerk 36 gekoppelt ist, über das Gateway 34 mit dem Festknoten 32 oder über die Basis 27 mit der Mobilstation 25 kommunizieren.
Da Endpunkt-zu-Endpunkt-Mechanismen nicht vorgeschrieben sind, wird dadurch eine Anwenderauthentifizierung ausgeschlossen. was deshalb übrig bleibt, ist eine Knoten-zu-Knoten-(oder Maschine-zu-Maschine)-Authentifizierung, da dies die Einheiten sind, die primär über die drahtlose Verbindung kommunizieren. Maschine-zu-Maschine-Authentifizierung ist konzeptionell zweckmäßig für ein Sicherheitsprotokoll auf der Verbindungsschicht.
Ein weiteres Designziel im System der vorliegenden Erfindung ist, daß die Authentifizierung eine gegenseitige Authen tifizierung beinhaltet. Es ist nämlich wünschenswert, daß beide Endpunkte einer drahtlosen Verbindung (die Mobilstation 25 und die Basis 25) in der Lage sind, einander zu authentifizieren. Nur autorisierte nomadische Recheneinrichtungen werden Zugang zu den Netzwerkressourcen haben. Eine Authentifizierung der Basis 25 ist auch erforderlich, wenn man die Situation von Mitbewerbern berücksichtigt, die im selben Industriepark ansässig sind. Die Basisstationen eines Mitbewerbers sollen nicht in der Lage sein, sich als zum anderen Mitbewerber gehörend zu verkleiden. Eine gegenseitige Authentifizierung dient diesem Ziel und wird durch die vorliegende Erfindung bereitgestellt, wie unten beschrieben.
Ein weiteres Ziel der Erfindung ist, Flexibilität in Bezug darauf zu haben, daß man in der Lage ist, zukünftige Fortschritte in der Gemeinsame-Schlüssel-Kryptographie zu nutzen. Es gibt eine Notwendigkeit, Kompatibilität zwischen allen Versionen eines sicheren drahtlosen Produkts zu gestatten.
Überblick über die vorliegende Erfindung
Die vorliegende Erfindung verwendet beide, sowohl eine Öffentliche-Schlüssel-Technik (Siehe w. Diffie und M. Hellman, „New Directions in Cryptography", IEEE Transactions on Information Theory, IT-22:644–645, 1976) als auch eine Gemeinsame-Schlüssel-Kryptographietechnik, um Vertraulichkeit und Authentifizierung zu erreichen. Die Öffentliche-Schlüssel-Kryptographie wird zum Aufbau des Sitzungsschlüssels und zur Authentifizierung verwendet. Die Gemeinsame-Schlüssel-Kryptographie wird verwendet, um Vertraulichkeitsaspekte des Protokolls der vorliegenden Erfindung bereitzustellen.
Jeder Teilnehmerknoten im Protokoll der vorliegenden Erfindung erzeugt ein Paar aus öffentlichem Schlüssel / privaten Schlüssel. Der private Schlüssel wird von dem Besitzer des Schlüsselpaares sicher verwahrt. Der öffentliche Schlüssel wird über einen sicheren Kanal bei einer vertrauenswürdigen Zertifizierungsstelle (CA) eingereicht. Die CA begutachtet die betreffenden Informationen, um sicherzustellen, daß der öffentliche Schlüssel tatsächlich durch jemanden präsentiert wird, dessen Identität bekannt ist und dem „vertraut" werden kann. Nachdem der öffentliche Schlüssel eingereicht wurde, wird von der einreichenden Person angenommen, daß sie die Befugnis hat, Paßworte im Namen der Maschine zu erhalten, deren öffentlicher Schlüssel zertifiziert wird. Die CA wird dann dieser Person (die im Namen der Maschine handelt) ein Zertifikat ausstellen. Das Zertifikat wird eine Bindung zwischen dem öffentlichen Schlüssel und einer logischen Kennung der Maschine (wie zum Beispiel einen Maschinenname) in Form eines Dokuments enthalten, das unter Verwendung des privaten Schlüssels der CA digital signiert ist.
Nach dem Erhalt eines Zertifikats für jede Maschine sowie einer Sicherheitskopie der privaten Schlüssel sind die Mobilstation und die Basis in der Lage, sich an einem Sicherheitsprotokoll zu beteiligen. Die zwei Beteiligten tauschen Zertifikate aus und beteiligen sich an einem gegenseitigen Abfrage-Antwort-Protokoll. Das Protokoll gestattet die Aushandlung des Gemeinsame-Schlüssel-Algorithmus. Dies gestattet die Weiterentwicklung des Protokolls in der Zukunft, um Gemeinsame-Schlüssel-Kryptosysteme zu verbessern, und gestattet auch die Kompatibilität zwischen US- und Nicht-US-Versionen des Produkts, falls sie zu Exportzwecken unterschiedliche Verschlüsselungsalgorithmen erfordern.
Das Protokoll stellt auch eine gute vorwärts gerichtete Geheimhaltung bereit. Wenn die privaten Komponenten des öffentlich-privaten-Schlüsselpaares von entweder der Basis oder der Mobilstation zu einem zukünftigen Zeitpunkt beeinträchtigt sein sollten, dann wird diese Gefährdung nicht notwendigerweise die drahtlosen Verbindungsdaten beeinträchtigen, die von einer Maschine ausgetauscht wurden, deren privater Schlüssel beeinträchtigt wurde. Dieses Protokoll erfordert die Beeinträchtigung beider, sowohl des privaten Schlüssels der Basis als auch der Mobilstation, um die Kommunikation zwischen der Basis und der Mobilstation zu beeinträchtigen. Dies wird als weniger wahrscheinliches Ereignis angesehen, als die Beeinträchtigung eines der beiden Schlüssel.
Gemäß der Lehre der vorliegenden Erfindung werden keine Annahmen über eine der Schlüssellängen gemacht, die für die Umgebung und den Zeitrahmen verlängert oder gekürzt werden können.
DEFINITIONEN
Zum Zwecke dieser Beschreibung sollen die folgenden Ausdrücke, Aushandlungen und Abkürzungen die folgende Bedeutung haben:

E(X, Y) ist als Verschlüsselung von Y unter Schlüssel X zu lesen
MD(X) ist als Wert einer Nachricht-Digest-Funktion des Inhalts X zu lesen
Öffentlicher Schlüssel der Zertifizierungsstelle = Pub_CA
Privater Schlüssel der Zertifizierungsstelle = Priv_CA
Öffentlicher Schlüssel des mobilen Host = Pub_Mobile
Privater Schlüssel des mobilen Host = Priv_Mobile
Öffentlicher Schlüssel der Basisstation = Pub_Base
Privater Schlüssel der Basisstation = Priv_Base
Zertifikat des mobilen Host = Cert_Mobile
Zertifikat der Basisstation = Cert_Base
Sig(X, Y) ist als Signatur von Y mit Schlüssel X zu lesen, wobei Sig(X, Y) = E(X, MDY))
Signed(X, Y) repräsentiert die resultierende signierte Nachricht {Y, Sig(X, Y)}

Sicherheitsprotokoll der vorliegenden Erfindung
Es wird jetzt auf die 4a–4c und das Flußdiagramm 200 der 5a und 5b Bezug benommen; zur Verbindungsinbetriebnahmezeit sendet eine Mobilstation 100, die die Verbindung zu einem drahtgebundenen Netzwerk anfordert, ihr Hostzertifikat (Cert_Mobile) an eine Basis 105, einen zufällig gewählten 128-Bit-Abfragewert (CH1) und eine Liste unterstützter Gemeinsame-Schlüssel-Algorithmen („SKCS") bei Prozeßblock 202.
Die Liste unterstützter Gemeinsame-Schlüssel-Algorithmen ist vorgesehen, um die Aushandlung der Gemeinsame-Schlüssel-Algorithmen (z.B. FEAL-32, DES, IDEA etc.) mit der Basis 105 zu gestatten. Der Gemeinsame-Schlüssel-Algorithmus wird verwendet, um die nachfolgenden Datenpakete zu verschlüsseln. Die Aushandlung von Gemeinsame-Schlüssel-Algorithmen kann die Kompatibilität zwischen z.B. Inlands- und Auslandsversionen der Vertraulichkeitsmodule gestatten.
Ein Zertifikat enthält die folgenden Informationen:

{Seriennummer, Gültigkeitsperiode, Maschinenname, öffentlicher Schlüssel der Maschine, CA-Name}
Zertifikat = Signed(Priv CA Zertifikatinhalt).

Das Zertifikatformat und die Verschlüsselung wurden gleich dem Zertifikatformat gewählt, das in CCITT X.509 (siehe CCITT Recommendation X.509 (1988), „The Directory – Authentication Framework") und in Privacy Enhanced Mail (PEM) (Siehe S. Kent, „Privacy Enhancement for Internet Electronic Mail" Teil II Certificate-Based Key management", RFC 1422, BBN, Februar 1993; B. Kaliski, „Privacy Enhancement for Internet Electronic Mail: Teil IV: Key Certification and Related Services", RFC 1424, BBN, Februar 1993) definiert ist. Dies gestattet der Mobilstation 100 und der Basisstation 105 dieselbe Zertifikatinfrastruktur wirksam einzusetzen, die von X.500 und PEM gefordert wird.
Eine Nachricht-Digest(MD)-Funktion wird für den Hostzertifikat-(Cert_Mobile)-Inhalt berechnet und durch eine vertrauenswürdige Zertifizierungsstelle (CA) digital signiert. Die „Signierung" wird durch die Verschlüsselung der MD (eine nichtinvertierbare Hash-Funktion im Zertifikatinhalt) unter dem privaten Schlüssel der CA erreicht. Dies authentifiziert den Inhalt des Zertifikats (Cert_Mobile), macht aber den Inhalt nicht privat. Für Einzelheiten zum Thema zertifikatbasiertes Schlüsselmanagement und Zertifikatausstellung wird der Leser auf die RFCs 1422 und 1424 (Siehe S. Kent, „Privacy Enhancement for Internet Electronic Mail" Teil II Certificate-Based Key management", RFC 1422, BBN, Februar 1993; B. Kaliski, „Privacy Enhancement for Internet Electronic Mail: Teil IV: Key Certification and Related Services", RFC 1424, BBN, Februar 1993) und CCITT Standard X.509 verwiesen.
Die erste Nachricht von der Mobilstation 100 an die Basis 105, die die Verbindung mit dem drahtgebundenen Netzwerk anfordert, enthält die Informationen, die unten gezeigt sind:

Nachricht#1.Mobilstation->Basis
{Cert_Mobile, CH1, Liste der SKCSs}

CH1 ist eine zufällig erzeugte 128-Bit-Zahl. Die Liste der Gemeinsame-Schlüssel-Algorithmen beinhaltet beides, eine Algorithmuskennung und eine Schlüsselgröße.
Bei Erhalt dieser Verbindungsanforderungs-Nachricht wird die Basis 105 versuchen, Cert_Mobile in Prozeßblock 204 zu validieren. Dies wird durch eine unabhängige Berechnung des MD aus dem Inhalt von Cert_Mobile und dem Vergleich dessen mit der Entschlüsselung unter dem öffentlichen Schlüssel der CA des „signierten" MD durchgeführt. Wenn diese zwei Werte übereinstimmen, dann ist das Zertifikat gültig, obwohl die Basis 105 zu diesem Zeitpunkt nicht weiß, ob die Mobilstation 100 auch den privaten Schlüssel (Priv_Mobile) besitzt, der mit dem öffentlichen Schlüssel verbunden ist, der im Zertifikat Cert_Mobile präsentiert ist.
Wenn das Zertifikat ungültig ist, weist die Basis 105 den Verbindungsversuch bei Prozeßblock 234 zurück. Wenn das Zertifikat geprüft ist, wird die Basis 105 mit ihrem Zertifikat, einer Zufallszahl RN1, die unter dem öffentlichen Schlüssel der Mobilstation 100 verschlüsselt ist, und dem Gemeinsame-Schlüssel-Kryptosystem (SKCS) bei Prozeßblock 206 antworten, das die Basis 105 aus der von der Mobilstation 100 vorgelegten Liste wählte. Die Basis 105 wird RN1 intern für eine spätere Verwendung speichern. Zum Zwecke der Berechnung der Nachrichtsignatur wird die Basis 105 sowohl den Abfragewert CH1 als auch die Liste von Gemeinsame-Schlüssel-Kryptosystemen an die Nachrichten anfügen, die bei Block 208 ausgesendet werden.
Der SKCS wird aus der Schnittmenge des Satzes von Gemeinsame-Schlüssel-Algorithmen ausgewählt, die in Nachricht #1 durch die Mobilstation 100 vorgeschlagen wurden, und des Satzes, den die Basis 105 unterstützt. Die Basis 105 wählt den SKCS-Algorithmus aus, den sie als den Sichersten aus der Schnittmenge der beiden Sätze erachtet. Die Schlüsselgröße wird immer auf das Minimum dessen, was die Mobilstation 100 vorschlägt und was die Basis 105 für den gewählten Algorithmus unterstützen kann, ausgehandelt.
Es wird weiter auf 3 Bezug genommen; der gewählte SKCS kennzeichnet beide, den gewählten Algorithmus und die zugehörige Schlüsselgröße. Die Signatur, die an die Nachricht angehängt ist, unterscheidet sich von der normalen Signierung einer Nachricht, da sie etwas umfaßt, das nicht Bestandteil des Hauptteiles der Nachricht ist, sondern eher etwas, was implizit im Protokoll ist.
Die Mobilstation 100 validiert zuerst das Zertifikat der Basis 105 (CertBase) unter Verwendung des öffentlichen Schlüssels der CA und des Digitalsignaturprüfungsverfahrens, das oben bei Prozeßblock 210 beschrieben wurde. Wenn das Zertifikat gültig ist, dann wird die Mobilstation 100 unter dem öffentlichen Schlüssel der Basis 105 (Pub_Base) die Signatur der Nachricht in Prozeßblock 210 prüfen.
Die Signatur wird geprüft, indem die Nachricht der Basis genommen und an sie CH1 und die Liste der Gemeinsame-Schlüssel-Algorithmen angehängt wird, die die Mobilstation 100 in der ersten Nachricht gesendet hat. Die Einbeziehung der Liste für den Zweck der Nachrichtprüfung gestattet, daß die Nachricht #1 unsigniert gesendet werden kann. Wenn ein Angreifer die Liste der Gemeinsame-Schlüssel-Algorithmen durch Blockieren der Originalnachricht und Einwerfen seiner eigenen Liste schwächen will, dann wird dies durch die Mobilstation 100 bei Empfang der zweiten Nachricht erkannt. Wenn die Signatur bei Prozeßblock 212 übereinstimmt, dann wird die Basis 105 als authentisch erachtet. Andernfalls wird die Basis 105 als Be trüger erachtet oder die Originalnachricht wird verdächtigt, beeinflußt worden zu sein und die Mobilstation 100 wird den Verbindungsversuch abbrechen.
Bei Prozeßblock 214 wird der Wert RN1 von der Mobilstation durch Entschlüsselung von E(Pub_Mobile, RN1) unter dem privaten Schlüssel der Mobilstation 100 erhalten. Die Mobilstation 100 erzeugt dann eine weitere Zufallszahl RN2 und wird den Wert (RN1 ⨁ RN2) als Sitzungsschlüssel bei Prozeßblock 215 verwenden.
Um die Authentifizierungsphase zu vervollständigen und die zweite Hälfte des Schlüssels RN2 zur Basis 105 zu kommunizieren, wird bei Prozeßblock 218 die Mobilstation 100 unter Pub-Base den Wert RN2 verschlüsseln, der bei Prozeßblock 220 gesendet wird; Mobilstation 100 sendet den verschlüsselten Wert in einer Nachricht, die den original verschlüsselten RN1-Wert enthält, den sie in Nachricht #2 erhalten hat. Die Einbeziehung von E(Pub_Mobile, RN1) in die dritte Nachricht dient dazu, die Mobilstation 100 zu authentifizieren, da die Signatur auf ihr unter Verwendung des privaten Schlüssels der Mobilstation berechnet wurde.
Wie in den 4a–c und 5a–5b gezeigt, prüft die Basis 105 bei Prozeßblock 222 die Signatur der Nachricht unter Verwendung von Pub_Mobile, das von Cert_Mobile in Nachricht #1 erhalten wurde. Wenn die Signatur in Prozeßblock 224 geprüft ist, dann wird die Mobilstation 100 als authentischer Host betrachtet. Andernfalls wird die Mobilstation 100 als Eindringling betrachtet und die Basis 105 wird den Verbindungsversuch in Prozeßblock 230 zurückweisen.
Vor Eintritt in die Datenübertragungsphase wird die Basis 105 bei Prozeßblock 240 E(Pub_Base, RN2) unter Verwendung ihres eigenen privaten Schlüssels verschlüsseln. Sie wird dann auch (RN1 ⨁ RN2) als Sitzungsschlüssel bei Prozeßblock 242 verwenden. Der Grund, weshalb zwei Zufallswerte für den Schlüssel verwendet werden (gegenüber der einfachen Verwendung von RN1 für den Schlüssel), ist, daß dies den Schaden begrenzt, der auftreten kann, wenn der private Schlüssel einer der Mobilstationen beeinträchtigt wird. Dieses Vorgehensweise erfordert die Beeinträchtigung der privaten Schlüssel sowohl der Basis 105 als auch der Mobilstation, damit vorhergehenden Verkehr zwischen dieser Basis 105 und der Mobilstation 100 beeinträchtig ist.
Da beide Hälften des Schlüssels gleich lang und vollständig zufällig sind, sagt die Kenntnis von RN1 oder RN2 einem Angreifer absolut nichts über den Sitzungsschlüssel (RN1 ⨁ RN2). Dies ist deshalb so, weil ein One-Time-Pad bzw. Einmal-Block über jede der RN1 und RN2 unter Verwendung der anderen als Einmal-Schlüssel berechnet wurde.
Wenn der Verbindungsversuch erfolgreich ist, hat eine gegenseitige Authentifizierung stattgefunden und ein Sitzungsschlüssel wurde bei Prozeßblock 224 erhalten.
Wie dargestellt, sind die Nachrichtfelder, die in 3 kreuzschraffiert sind, die Teile, die unter Verwendung von entweder einem privaten Schlüssel (zur digitalen Signatur) oder einem öffentlichen Schlüssel (um die Sitzungsschlüsselkomponenten zu schützen) verschlüsselt sind. Kursivdruck in der FIG. bezeichnet die Tatsache, daß die kursiv gesetzten Felder nur Bestandteil des Signaturblocks und nicht die Nachricht selbst sind. Die Signatur auf Nachricht 2 dient drei verschiedenen Zwecken: i) die Nachricht #2 zu authentisieren ii) als Abfrageantwort zu Nachricht #1 zu dienen und iii) Nachricht #1 zu authentisieren (durch Einbeziehung der Liste der SKCS in sie). Dies hat die Minimierung der Verwendung des Öffentliche-Schlüssel-Kryptosystems zum Ergebnis, wobei das Protokoll derart optimiert wird, daß es auf Plattformen mit begrenzten Rechenressourcen läuft, jedoch stellt das Protokoll der vorliegenden Erfindung immer noch starke Sicherheitsgarantien bereit.
Der berechnungsintensive Teil von Öffentliche-Schlüssel-Kryptosystemen sind üblicherweise die Privater-Schlüssel- Operationen. Öffentliche-Schlüssel-Kryptosysteme, wie RSA (Siehe RSA Data Security, Inc. PKCS #1 – #10, Juni 1991), wählen üblicherweise die Schlüssel so, daß sie den Signaturprüfungsprozeß und den Öffentliche-Schlüssel-Verschlüsselungsprozeß minimieren. Um die Effizienz des Protokolls zu bewerten, wird deshalb die Gesamtzahl der Privater-Schlüssel-Operationen gezählt. Die Mobilstation 100 führt zwei Privater-Schlüssel-Operationen durch, die erste, um RN1 zu entschlüsseln, und die zweite, um Nachricht #3 zu signieren. Die Basis 105 führt auch zwei Privater-Schlüssel-Operationen durch, die erste, um Nachricht #2 zu signieren, und die zweite, um RN2 von Nachricht #3 zu entschlüsseln. Die gesamten berechnungsintensiven (Privater-Schlüssel-) Operationen sind in der vorliegenden Erfindung folglich nur vier.
Bei Einsatz der Lehre der vorliegenden Erfindung besteht der Schlüssel, der im Nachrichtschlüssel ausgetauscht wird, in Wirklichkeit aus zwei unterschiedlichen Schlüsseln, einer für jede Datenübertragungsrichtung. Dies verhindert die Wiederverwendung des Schlüsselstroms für den Fall, daß die Verschlüsselung in einem additiven Strommodus arbeitet. Die Protokollcodierung, die am Ende dieser Beschreibung beschrieben ist, kennzeichnet, wie die zwei Schlüssel für jede Richtung unterschieden werden.
Datenpaket
Ein primäres Problem von Datenpaketen ist, die Entschlüsselbarkeit von Datenpaketen bei Vorhandensein von Paketverlusten weiterhin zu ermöglichen. Datenpakete können infolge von Rauschen oder Reflektionen auf der drahtlosen Verbindung verloren gehen oder ungeordnet eintreffen. Gemäß der vorliegenden Erfindung hängen die Lösungen von der Gemeinsame-Schlüssel-Verschlüsselung und dem Modus, in dem sie arbeitet, ab. Um „in Synchronisation" mit den pseudo-zufälligen Strömen zu verbleiben, wird für additive Stromchiffren auf jeder Seite ein 64-Bit-„Nachricht-ID"-Feld im Klartext am Beginn jedes Pakets gesendet. Dieses „Nachricht-ID"-Feld wird die Gesamtzahl von Bytes enthalten, die vorher gesendet wurden. Dies wird eine richtige Operation mit additiven Stromchiffren bei Vorhandensein von unerfaßten oder beschädigten oder ungeordneten drahtlosen Verbindungspaketen gestatten.
Für DES im CFB-Modus (Cipher-Feedback-Modus bzw. Verschlüsselungsrückführmodus) oder im zählergesteuerten Modus sind die „Nachricht-ID" die letzten 64 Bit des verschlüsselten Texts bzw. Kryptogramms des letzten Pakets. Für DES im OFB-Modus (Output-Feedback-Modus bzw. Ergebnisrückführungsmodus) ist die „Nachricht-ID" einfach der Zählwert der Anzahl der 64-Bit-Blöcke, die gesendet wurden. Die Länge des „Nachricht-ID"-Feldes und seine Bedeutung sind impliziert in der Wahl des Gemeinsame-Schlüssel-Algorithmus und seines Operationsmodus enthalten.
Eine Integritätsüberprüfung der Datenpakete wird durch das Abschließen jedes Pakets mit einem 32-Bit-Prüfsummenfeld erreicht, das Teil der Paketdaten ist, die verschlüsselt werden. Dies wird beides, Integrität und Vertraulichkeit, für die Datenpakete bereitstellen, aber keinen Wiedergabeschutz. Wiedergabeschutz für Datenpakete wird als nicht wichtig erachtet. Es ist wahrscheinlich, daß jeder Wiedergabeversuch durch Protokolle höherer Schichten, wie TCP/TP4 etc., zurückgewiesen wird. Da Wiedergaben in der normalen (gutartigen) Datagrammumgebung möglich sind, kann ein Angreifer nicht darauf hoffen, böswillige Resultate durch Einspeisung von Wiedergaben von Datenpaketen zu erhalten.
Schlüsselwechselprotokoll der vorliegenden Erfindung
Ein Wechsel-Schlüssel-Nachrichtaustausch kann entweder durch die Basis 105 oder durch die Mobilstation 100 initiiert werden. Die Basis 105 initiiert den Schlüsselwechsel wie folgt:
Wenn die Mobilstation 100 den Schlüsselwechsel initiiert, dann ist die Prozedur wie folgt:
Der Wert (New RN2 ⨁ New RN1) wird als neuer Schlüssel verwendet. Die Werte RN1 und RN2 sind immer vom letzten Schlüsselaustausch abgeleitet, welches der initiale Verbindungsaufbau sein kann oder die letzte Schlüsselwechselnachricht, je nachdem, was zuletzt stattfand.
Ganz gleich welche Einheit (Basis oder Mobilstation) den Schlüsselwechsel initiiert, RN1 bezieht sich immer auf den Bestandteil des Schlüssels, der durch die Basis 105 generiert wurde und RN2 bezieht sich immer auf den Bestandteil des Schlüssels, der durch die Mobilstation 100 generiert wurde. Eine Schlüsselwechselnachricht wird dazu dienen, die SKCS neu zu initialisieren.
Jede Seite prüft die Signatur auf den Nachrichten und vergleicht RN1 und RN2 mit ihren intern gespeicherten Werten. Wenn die Signatur nicht geprüft ist oder die RN1/RN2-Werte nicht mit den intern gespeicherten Werten übereinstimmen, wird die Schlüsselwechselnachricht ignoriert. Das wird Schlüsselwechselnachrichten vor einer Wiedergabe schützen, da die Nachrichten empfindlich gegenüber der Historie des Schlüsselwechsels sind. Wenn Schlüsselwechselnachrichten ohne Erfassung wiedergegeben werden könnten, könnte dies zu nicht übereinstimmenden Schlüsseln an den zwei legitimen Endpunkten führen, wodurch ein einfacher Angriff vom Typ Dienstverweigerung gestattet würde. So ein Angriff wird durch die Schlüsselwechselnachrichten der oben beschriebenen Typen ausgeschlossen.
Die vorliegende Erfindung schützt Schlüsselwechselnachrichten davor, ohne Rückgriff auf Folgenummern wiedergegeben zu werden. Es kann mühsam sein, mit Folgenummern in Proto kollausführungen zu arbeiten, da an die Folgernummern bei Abschaltvorgängen und Maschinenneustarts erinnert werden muß.
Arbeit mit mehreren CAs
Die vorliegende Erfindung ist oben anhand einer einzigen netzwerkweiten CA beschrieben. In einem großen Netzwerk kann eine einzige CA nicht alle Netzwerkknoten bedienen. In solchen Fällen wird eine Hierarchie von CAs verwendet. Solche CA-Hierarchien sind in CCITT X.509 und den PEM RFCs detailliert beschrieben. Wenn eine CA-Hierarchie verwendet wird, wird das Protokoll wie folgt modifiziert. Die Nachricht #2 wird nicht nur das Zertifikat der Basisstation 105 enthalten. Statt dessen wird die Nachricht #2 einen Zertifikatpfad senden, der der mobilen Einheit ermöglichen wird, das Zertifikat der Basis zu prüfen. Der Zertifikatpfad wird durch die Basisstation erstellt und beginnt bei der CA, die das Zertifikat der Mobilstation ausstellte. Da die Basisstation mit dem drahtgebundenen Netzwerk verbunden ist, hat sie Zugang zu Netzwerkdatenbanken (Verzeichnisdiensten), die es der Basis ermöglichen, einen solchen Pfad zu erstellen. Die Mobilstation 100 kann nicht so konfiguriert werden, daß sie alle möglichen Zertifikatpfade kennt und so muß sie einfach ihr eigenes Zertifikat senden. Dies gestattet eine einfache Konfiguration einer Mobilstation 100, bei gleichzeitiger Zulässigkeit der Flexibilität, mehrfache CAs in Form einer CA-Hierarchie zu gestatten.
Eine weitere Modifikation, die durch die Einbeziehung mehrfacher CAs notwendig wird, besteht darin, daß von einer Mobilstation 100 nicht erwartet werden kann, daß sie eine aktuelle Kopie der Zertifikatwiderrufliste (CRL) jeder CA im Zertifikatpfad hat. CRLs sind notwendig, um der Möglichkeit Rechnung zu tragen, daß ein privater Schlüssel, der zu einem zertifizierten öffentlichen Schlüssel gehört, beeinträchtigt werden kann. In diesem Fall muß dieses Zertifikat schnell gelistet fhot-listed] oder widerrufen werden. Eine CRL ist solch eine Schnell-Liste, die alle Zertifikate listet, die durch eine CA widerrufen wurden. Die Basis hat auch die Verantwortung dafür, daß die CRL jeder CA im Zertifikatpfad bereitgestellt werden. CRLs sind in RFC 1422 detailliert beschrieben. Die neue Nachricht #2 ist deshalb;

Nachricht #2. Basis 105 -> Mobilstation 100
{Cert_Path, Liste der CTLs, E(Pub_Mobile, RN1), gewählter
SKCS, Sig(Priv_Base, {E(Pub_Mobile, RN1), gewählter SKCS,
CH1, Liste der SKCSs})}

Protokollverschlüsselung
Um eine detaillierte Beschreibung der Verschlüsselung des Protokolls bereitzustellen, spezifizieren wir die Nachrichten in ASN.1 (Siehe „CCITT Recommendation X.208 (1988), „Specification of Abstract Syntax Notation (ASN.1)"). Die Verschlüsselung wird unter Verwendung der DER-Untermenge der ASN.1 BER (CCITT Recommendation X.209 (1988), „Specification of Basic Encoding Rules for ASN.1") ausgeführt, wie in X.509, Abschnitt 8.7 spezifiziert:
Algorithmuskennung, Zertifikat und Zertifikatpfad sind in X.509 spezifiziert. Die Zertifikatwiderrufliste ist in RFC 1422 definiert. Die sigalg-Felder der Nachrichten #2 und #3 kennzeichnen den Signaturalgorithmus, der verwendet wurde, um message2sig bzw. message3sig zu berechnen. Dies beinhaltet die Kennzeichnung sowohl des Hash-Algorithmus als auch den Öffentliche-Schlüssel-Kryptosystems. Dies ist im Sinn von SIGNED ASN.1 MACRO VON X.509, ausgenommen, daß die Signatur nicht über Felder berechnet wird, die vollständig in den Nachrichten selbst enthalten sind.
Ein Satz von Standards von RSADSI Inc., der zusammengefaßt als Public Key Cryptography Standards (PKCS) (siehe RSA Data Security, Inc. PKCS #1 – #10, Juni 1991) bekannt ist, spezifiziert verschiedene digitale Signatur- und Öffentliche-Schlüssel-Algorithmen. Beispiele von diesen beinhalten MD2 mit RSA-Verschlüsselung und das RSA-Öffentliche-Schlüssel-Kryptosystem. Diese können für die zertifikats- und protokollbezogenen digitalen Signaturen und Öffentliche-Schlüssel-Verschlüsselungen eingesetzt werden.
Beweis des vorliegenden Erfindungsprotokolls
Die Sicherheit des Protokolls kann unter Verwendung der von Burrows, Abadi und Needham (Siehe M. Burrows; M. Abadi, R. Needham, „A Logic Authentication", DEC SRC Research Report #39, 22. Feb., 1990) entwickelten Authentifizierungslogik bewiesen werden. Der beschriebene Formalismus hat Grenzen bei der Beschreibung serverloser Protokolle, wie bei der vorliegenden Erfindung. Die Grenze hat mit der Akzeptierung der Gültigkeit eines Öffentliche-Schlüssel-Zertifikats zu tun. Alles, was logisch von einem Zertifikat abgeleitet werden kann, ist, das die CA einmal sagte, „K_a spricht für A". Nichts kann darüber ausgesagt werden, ob die CA immer noch glaubt, daß das Zertifikat gültig ist. In der Praxis wird dies durch eine Zertifikatwiderrufliste und Gültigkeitsperioden auf dem Zertifikat selbst gehandhabt. Dies ist eine Grenze, da der einzige Weg die ehemalige Aussage zu fördern, dem ursprünglichen Formalismus zu vertrauen, die Verwendung der Frischeeigenschaft [freshness property] der Feststellung ist. In einem serverlosen Protokoll kann eine solche Frischegarantie nicht bereitgestellt werden, da der Server zum Zeitpunkt der Kommunikation nicht notwendigerweise verfügbar ist.
Nachdem dieses Problem bekannt ist, wird vom Zertifikat angenommen, das es frisch ist, außer wenn es eine gegenteilige Feststellung gibt. Um das Protokoll zu analysieren, wird zuerst die idealisierte Version des Protokolls abgeleitet. Dafür verzichten wir auf Elemente, die keinen Platz im Formalismus haben. Dies beinhaltet die gesamte Klartextkommunikation; sowie die Aushandlung des Gemeinsame-Schlüssel-Algorithmus. Zuerst wird das gekürzte, konkrete Protokoll bereitgestellt, gefolgt von seiner idealisierten Version. (Die gleiche Notation, wie von Abadi et al. verwendet) A ist die Mobilstation 100 und B ist die Basis 105. CH1 ist N_a.
Konkretes Protokoll:
Idealisiertes Protokoll:
Beweisannahmen:
Beweis:
Von Nachricht #2, den Annahmen b) und c), der Nachrichtbedeutung und den Zuständigkeitsregeln und der Behauptung, daß Cert_B als frisch angenommen wird, erhalten wir,
Durch Anwendung der Nachrichtbedeutungsregel erhalten wir
Von Annahme d) und der einstweiligen Prüfungsregel
Anwendung der Zuständigkeitsregel und Annahme n)
Von Nachricht #1, den Annahmen g) und h), der Nachrichtbedeutung und den Zuständigkeitsregeln und der Behauptung, daß Cert_A als frisch angenommen wird, erhalten wir
Von Nachricht #3, erhalten wir
Durch Anwendung der Nachrichtbedeutungsregel erhalten wir
Durch Anwendung der einstweiligen Prüfungsregel und Annahme i )
Durch Anwendung der Zuständigkeitsregel und Annahme o)
Von Ergebnis –1 und der obigen Schlußfolgerung fassen wir die folgenden zwei Ergebnisse zusammen,
Es folgt, da
von den Annahmen e) und j) und den zwei obigen Ergebnissen erhalten wir
Dies sind die Ziele eines Authentifizierungsprotokolls. Die Logik des Authentifizierungsformalismus beschäftigt sich nicht mit Problemen wie Vorwärtsgeheimhaltung, jedoch ist dies ein zusätzliches Ziel des Protokolls der vorliegenden Erfindung. In der vorliegenden Erfindung wird ebenso die Verwendung synchronisierter Zeitgeber vermieden. Mit der Forderung nach synchronisierten Zeitgebern sind viele Probleme verbunden (Siehe W. Diffie, P.C.V. Oorschot, M. J. Wiener, „Authentication and Authenticated Key Exchanges", in „Designs, Codes and Cryptography", Seiten 107–125, Kluwer Academic Publishers, 1992). Die Verwendung eines Abfrage-Antwort-Mechanismus vermeidet diese Probleme. Annahme i) macht die Tatsache deutlich, daß ein Teil des Sitzungsschlüssels (RN1) zu Authentifizierungszwecken verwendet wird, ein weiteres wünschenswertes Attribut eines Authentifizierungsprotokolls.
Die Annahmen n) und o) sind dahingehend unüblich, daß jede Seite ein Vertrauen an die Autorität der anderen Seite formuliert; eine akzeptable Schlüsselkomponente herzustellen. Dies ist in einem serverlosen Protokoll erforderlich, da eine oder beide Beteiligten für die Erzeugung des Sitzungsschlüssels verantwortlich sind. Dies ist eine Widerspiegelung der nicht genannten Forderung im Protokoll nach der Kompetenz auf beiden Seiten, Schlüssel auszuwählen, die die passenden Eigenschaften von Zufälligkeit und Nichtvorhersagbarkeit haben.
Schlußfolgerung
Folglich sind ein System und Verfahren für Vertraulichkeit und Authentifizierung für drahtlose Netzwerke beschrieben worden. Während die vorliegende Erfindung in Verbindung mit einigen spezifischen Ausführungsformen beschrieben wurde, die in den 1-5b gekennzeichnet sind, wird es für Fachleute ersichtlich sein, daß viele Alternativen, Modifizierungen und Variationen unter Berücksichtigung der vorhergehenden Beschreibung möglich sind.

Claims

Ein Verfahren zum Bereitstellen einer sicheren Kommunikation zwischen einem ersten Datenverarbeitungsgerät (100) und einem zweiten Datenverarbeitungsgerät (105), gekennzeichnet durch die Schritte, (a) daß das erste Datenverarbeitungsgerät (100) eine Nachricht an das zweite Datenverarbeitungsgerät (105) übermittelt, welche enthält: ein Mobil-Zertifikat (Cert_Mobile) mit einem öffentlichen Schlüssel (Pub_Mobile) der Mobilstation, einen ausgewählten Abfragewert (CH1) und eine Liste von unterstützten Gemeinsame-Schlüssel-Algorithmen (SKCS; Shared Key Crypto-System); (b) daß das zweite Datenverarbeitungsgerät (105) die erste Nachricht empfängt und eine erste Signatur einer ersten Zertifizierungsstelle (CA) überprüft wird, wobei das zweite Datenverarbeitungsgerät (105) das empfangene Cert_Mobile validiert, und, sofern das Cert_Mobile gültig ist, das zweite Datenverarbeitungsgerät (105) eine zweite Nachricht an das erste Datenverarbeitungsgerät (100) übermittelt, welche enthält: ein Basis-Zertifikat (Cert_Base) mit einem öffentlichen Schlüssel (Pub_Base) der Basis, eine zweite digitale Signatur, eine Zufallszahl (RN1) und einen Identifizierer einer der SKCS, der aus der Liste der unterstützten Gemeinsame-Schlüssel-Algorithmen ausgewählt ist; (c) daß das erste Datenverarbeitungsgerät (100) die zweite Nachricht empfängt und das Cert_Base validiert, und, sofern das Cert_Base gültig ist, das erste Datenverarbeitungsgerät (100) die zweite Signatur des Cert_Base unter Verwendung des Pub_Base validiert, so daß dann, wenn die zweite Signatur gültig ist, das erste Datenverarbeitungsgerät (100) den Wert von RN1 bestimmt, indem der wert von E(Pub_Mobile, RN1) unter Verwendung eines privaten Schlüssels für das erste Datenverarbeitungsgerät (100) (Priv_Mobile) entschlüsselt wird; (d) daß das erste Datenverarbeitungsgerät (100) einen Wert RN2 und einen ersten Sitzungsschlüssel, der den Wert (RN1 RN2) hat, erzeugt, wobei das erste Datenverarbeitungsgerät (100) den Wert von RN2 unter Verwendung des öffentlichen Schlüssels (Pub_Base) der Basis entschlüsselt und eine dritte Nachricht an das zweite Datenverarbeitungsgerät (105) sendet, die die entschlüsselte RN2 und den Wert E(Pub_Mobile, RN1) zusammen mit einer digitalen Signatur, die dem ersten Datenverarbeitungsgerät (100) entspricht, enthält; (e) daß das zweite Datenverarbeitungsgerät (105) die dritte Nachricht empfängt und die digitale Signatur des ersten Datenverarbeitungsgeräts (100) unter Verwendung des aus dem Cert_Mobile gewonnenen Pub_Mobile verifiziert und, sofern die Signatur des ersten Datenverarbeitungsgeräts (100) verifiziert ist, das zweite Datenverarbeitungsgerät (105) den Wert von E(Pub_Base, RN2) unter Verwendung eines privaten Schlüssels des zweiten Datenverarbeitungsgeräts (105) (Priv_Base) entschlüsselt, wobei das zweite Datenverarbeitungsgerät (105) den ersten Sitzungsschlüssel, der den Wert (RN1 ⨁ RN2) hat, verwendet; (f) daß das erste und das zweite Datenverarbeitungsgerät (100, 105) Daten unter Verwendung verschlüsselter Daten übertragen, welche unter Verwendung des ersten Sitzungsschlüssels entschlüsselt werden.
Das Verfahren nach Anspruch 1, wobei das Cert_Mobile den Ausdruck umfaßt: Signed(Priv_CA, Zertifikatinhalte).
Das Verfahren nach Anspruch 2, wobei die Zertifikatinhalte umfassen: {Seriennummer, Gültigkeitsdauer, Maschinenname, öffentlicher Schlüssel der Maschine, CA-Name}.
Das Verfahren nach Anspruch 3, wobei der MD durch die CA signiert wird, indem der MD unter dem privaten Schlüssel der CA verschlüsselt wird, so daß der Inhalt des Cert_Mobile authentisiert wird.
Das Verfahren nach Anspruch 4, wobei der CH1 eine zufällig erzeugte Zahl umfaßt.
Das Verfahren nach Anspruch 5, wobei der Schritt des Validierens des empfangenen Cert_Mobile des Schrittes (b) die Schritte einschließt, daß: das zweite Datenverarbeitungsgerät (105) unabhängig die MD-Funktion an den Inhalten von Cert_Mobile berechnet; das zweite Datenverarbeitungsgerät (105) die unabhängig berechnete MD-Funktion mit der Entschlüsselung des MD, der von der CA im Schritt (b) nach Anspruch 1 signiert wurde, unter dem öffentlichen Schlüssel der CA vergleicht, so daß dann, wenn der MDI übereinstimmt, das Cert_Mobile gültig ist.
Das Verfahren nach Anspruch 6, wobei der Wert RN1 unter Verwendung des Pub_Mobile des ersten Datenverarbeitungsgeräts (100) verschlüsselt wird.
Das Verfahren nach Anspruch 7, wobei das zweite Datenverarbeitungsgerät (105) den Wert RN1 speichert und den CH1-Wert und den Identifizierer des ausgewählten SKCS in Nachrichten zwischen dem zweiten und dem ersten Datenverarbeitungsgerät einschließt.
Das Verfahren nach Anspruch 8, wobei die zweite Nachricht den Ausdruck umfaßt: {Cert_Base, E(Pub_Mobile, RN1), ausgewählter SKCS, Sig(Priv_Base, {E(Pub_Mobile, RN1), ausgewählter SKCS, CH1, Liste der SKCSs})}.
Das Verfahren nach Anspruch 9, wobei die zweite digitale Signatur im Schritt (b) nach Anspruch 1 verifiziert wird, indem die zweite Nachricht an CH1 und die Liste von SKCSs angehängt wird.
Das Verfahren nach Anspruch 10, wobei der Wert RN2 eine Zufallszahl umfaßt.
Das Verfahren nach Anspruch 11, wobei die dritte Nachricht den Ausdruck umfaßt: {E(Pub_Base, RN2), Sig{Priv_Mobile, {E(Pub_Base, RN2), E(Pub_Mobile, RN1)}}}.
Das Verfahren nach Anspruch 12, wobei der CH1-Wert eine 128-Bit-Zahl umfaßt.
Das Verfahren nach Anspruch 12, ferner einschließend ein Schlüsselwechselverfahren, um einen neuen Schlüssel zu definieren, umfassend die Schritte, daß: (a) das zweite Datenverarbeitungsgerät (105) eine vierte Nachricht sendet, die umfaßt: Signed(Priv_Base, {E(Pub_Mobile New RN1), E(Pub_Mobile RN1)}); (b) das erste Datenverarbeitungsgerät (100) die vierte Nachricht empfängt und eine fünfte Nachricht an das zweite Datenverarbeitungsgerät (105), sendet, welche aufweist: Signed(Priv_Mobile, {E(Pub_Base, New RN2), E(Pub_Base; RN2)}) ; wobei der Wert von RN2 ⨁ RN1 als der neue Schlüssel verwendet wird.
Das Verfahren nach Anspruch 12, ferner einschließend ein Schlüsselwechselverfahren zum Definieren eines neuen Schlüssels, umfassend die Schritte, daß: (a) das erste Datenverarbeitungsgerät (100) eine vierte Nachricht an das zweite Datenverarbeitungsgerät (105) sendet, welche den Ausdruck umfaßt: Signed(Priv_Mobile, {E(Pub_Base, New RN2), E(Pub_Base, RN2)}); (b) das zweite Datenverarbeitungsgerät (105) die vierte Nachricht empfängt und eine fünfte Nachricht an das erste Datenverarbeitungsgerät (100) sendet, die den Ausdruck aufweist: Signed(Priv_Base, {E(Pub_Mobile, New RN1), E(Pub_Mobile; RN1)}); wobei der Wert von RN2 ⨁ RN1 als der neue Schlüssel verwendet wird.
Das Verfahren nach Anspruch 1, ferner einschließend eine Mehrzahl von CAs, und wobei die zweite Nachricht durch den Ausdruck definiert wird: {Cert_Path List of CRLs, E(Pub_Mobile, RN1), ausgewählter SKCS, Sig(Priv_Base, {E(Pub)Mobile, RN1), ausgewählter SKCS, CH1, Liste der SKCSs})} und wobei: CRL eine Zertifikatwiderrufliste für jeden der CAs umfaßt.
Eine Einrichtung zur Verwendung in einem Netzwerk mit einem ersten Datenverarbeitungsgerät (100) in Kommunikation mit einem zweiten Datenverarbeitungsgerät (105), wobei die Einrichtung dem Bereitstellen einer sicheren Datenübertragung zwischen dem ersten Datenverarbeitungsgerät und dem zweiten Datenverarbeitungsgerät (105) dient, wobei die Einrichtung gekennzeichnet ist durch: eine mit dem ersten Datenverarbeitungsgerät gekoppelte erste Nachrichtenerzeugungs- und -sende/empfangs-Schaltung zum Übermitteln einer ersten Nachricht an das zweite Datenverarbeitungsgerät (105), welche einschließt: ein Mobil-Zertifikat (Cert_Mobile) mit einem öffentlichen Schlüssel (Pub_Mobile) der Mobilstation, einen ausgewählten Abfragewert (CH1) und eine Liste von unterstützten Gemeinsame-Schlüssel-Algorithmen (SKCS), eine mit dem zweiten Datenverarbeitungsgerät (105) gekoppelte zweite Nachrichtenerzeugungs- und -sende/empfangs-Schaltung zum Empfangen der ersten Nachricht, wobei das zweite Datenverarbeitungsgerät (105) das empfangene Cert Mobile validiert und dann, wenn das Cert Mobile gültig ist, das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es eine zweite Nachricht an das erste Datenverarbeitungsgerät (100) übermittelt, welche einschließt: ein Basis-Zertifikat (Cert_Base) mit einem öffentlichen Schlüssel (Pub_Basis) der Basis, eine zweite digitale Signatur, eine Zufallszahl (RN1) und einen Identifizierer eines der SKCS, der aus der Liste der unterstützten Gemeinsame-Schlüssel-Algorithmen ausgewählt ist; wobei das erste Datenverarbeitungsgerät (100) so ausgebildet ist, daß es die zweite Nachricht unter Verwendung der ersten Nachrichten- und Sende/Empfangs-Mittel empfängt und das Cert_Base validiert, und wobei dann, wenn das Cert_Base gültig ist, das erste Datenverarbeitungsgerät (100) die zweite Signatur der Nachricht unter Verwendung des Pub_Base validiert, so daß dann, wenn die zweite Signatur gültig ist, das erste Datenverarbeitungsgerät (100) so ausgebildet ist, daß es den Wert von RN1 bestimmt, indem der Wert von E(Pub_Mobile, RN1) unter Verwendung eines privaten Schlüssels des ersten Datenverarbeitungsgeräts (100) (Priv_Mobile) entschlüsselt wird; wobei das erste Datenverarbeitungsgerät (100) so ausgebildet ist, daß es einen Wert RN2 und einen ersten Sitzungsschlüssel erzeugt, der den Wert (RN1 ⨁ RN2) hat, wobei das erste Daterverarbeitungsgerät (100) so ausgebildet ist, daß es den Wert von RN2 unter Verwendung des öffentlichen Schlüssels (Pub_Base) der Basis verschlüsselt und eine dritte Nachricht an das zweite Datenverarbeitungsgerät (105) sendet, die die verschlüsselte RN2 und den Wert E(Pub_Mobile RN1) zusammen mit einer digitalen Signatur, die dem ersten Datenverarbeitungsgerät (100) entspricht, enthält; wobei das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es die dritte Nachricht unter Verwendung der zweiten Nachrichten- und Sende/Empfangs-Mittel empfängt und die digitale Signatur des ersten Datenverarbeitungsgeräts (100) unter Verwendung von Pub_Mobile verifiziert, der aus dem Cert Mobile gewonnen wurde, und wobei dann, wenn die Signatur des ersten Datenverarbeitungsgeräts (100) unter Verwendung eines privaten Schlüssels des zweiten Datenverarbeitungsgeräts (105) (Priv_Base) E(Pub_Base, RN2) ist, das zweite Datenverar beitungsgerät (105) den ersten Sitzungsschlüssel verwendet, der den Wert (RN1 ⨁ RN2) hat; wobei das erste und das zweite Datenverarbeitungsgerät (105) so ausgebildet sind, daß sie Daten unter Verwendung verschlüsselter Daten übertragen, welche unter Verwendung des ersten Sitzungsschlüssels entschlüsselt werden.
Die Einrichtung nach Anspruch 17, wobei das Cert_Mobile den Ausdruck umfaßt: Signed(Priv_CA, Zertifikatinhalte).
Die Einrichtung nach Anspruch 18, wobei die Zertifikatinhalte umfassen: {Seriennummer, Gültigkeitsperiode, Maschinenname, öffentlicher Schlüssel der Maschine, CA-Name}.
Die Einrichtung nach Anspruch 19, wobei das MD von der CA signiert wird, indem das MD unter dem privaten Schlüssel der CA verschlüsselt wird, so daß der Inhalt des Cert Mobile authentisiert wird.
Die Einrichtung nach Anspruch 20, wobei der CH1 eine zufällig erzeugte Zahl umfaßt.
Die Einrichtung nach Anspruch 21, wobei die Validierung des empfangenen Cert Mobile bestimmt wird, indem: das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es unabhängig die MD-Funktion der Inhalte des Cert Mobile berechnet; das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es die unabhängig berechnete MD-Funktion mit der Verschlüsselung des von der CA signierten MD unter dem öffentlichen Schlüssel der CA vergleicht, so daß dann, wenn die MDs übereinstimmen, das Cert Mobile gültig ist.
Die Einrichtung nach Anspruch 22, wobei der RN1-Wert unter Verwendung des Pub_Mobile des ersten Datenverarbeitungsgeräts verschlüsselt wird.
Die Einrichtung nach Anspruch 23, wobei das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es den RN1-Wert speichert und den CH1-Wert und den Identifizierer des ausgewählten SKCS in Nachrichten zwischen dem zweiten und dem ersten Datenverarbeitungsgerät (100) einschließt.
Die Einrichtung nach Anspruch 24, wobei die zweite Nachricht den Ausdruck umfaßt: {Cert Base, E(Pub_Mobile, RN1), ausgewählter SKCS, Sig(Priv_Base, {E(Pub_Mobile, RN1), ausgewählter SKCS, CH1, Liste der SKCSs})}.
Die Einrichtung nach Anspruch 25, wobei die zweite digitale Signatur verifiziert wird, indem die zweite Nachricht an CH1 und die Liste der SKCSs angehängt wird.
Die Einrichtung nach Anspruch 26, wobei der Wert RN2 eine Zufallszahl umfaßt.
Die Einrichtung nach Anspruch 27, wobei die dritte Nachricht den Ausdruck umfaßt: {E(Pub_Base, RN2), Sign{Priv_Mobile, {E(Pub_Base, RN2), E(Pub_Mobile, RN1)}}}.
Die Einrichtung nach Anspruch 28, wobei der CH1-Wert eine 128-Bit-Zahl umfaßt.
Die Einrichtung nach Anspruch 29, wobei ein neuer Schlüssel definiert werden kann: wobei das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es die zweite Nachricht verwendet, und die Sende/Empfangs-Mittel so ausgebildet sind, daß sie eine vierte Nachricht an das erste Datenverarbeitungsgerät (100) senden, welche aufweist: Signed(Priv_Base, {E(Pub_Mobile, New RN1), E(Pub_Mobile, RN1)}); wobei das erste Datenverarbeitungsgerät (100) so ausgebildet ist, daß es die erste Nachricht verwendet, und die Sende/Empfangs-Mittel so ausgebildet sind, daß sie die vierte Nachricht empfangen und eine fünfte Nachricht an das zweite Datenverarbeitungsgerät (105) senden, welche umfaßt Signed(Priv_Mobile, {E(Pub_Base New RN2), E(Pub_Base, RN2)}); wobei der Wert von RN2 ⨁ RN1 als neuer Schlüssel verwendet wird.
Die Einrichtung nach Anspruch 30, wobei ein neuer Schlüssel definiert werden kann: wobei das erste Datenverarbeitungsgerät (100) so ausgebildet ist, daß es die erste Nachricht verwendet, und die-Sende/Empfang-Mittel so ausgebildet sind, daß sie eine vierte Nachricht an das zweite Datenverarbeitungsgerät (105) senden, die den Ausdruck umfaßt: Signed(Priv_Mobile, {E(Pub_Base New_RN2), E(Pub_Base RN2)}); wobei das zweite Datenverarbeitungsgerät (105) so ausgebildet ist, daß es die vierte Nachricht unter Verwendung der zweiten Nachricht empfängt, und die Sende/Empfangs-Mittel so ausgebildet sind, daß sie eine fünfte Nachricht an das erste Datenverarbeitungsgerät (100) senden, die den Ausdruck aufweist: Signed(Priv_Base, {E(Pub_Mobile, New_RN1), E(Pub_Mobile, RN1)}); wobei der Wert von RN2 ⨁ RN1 als neuer Schlüssel verwendet wird.
Die Einrichtung nach Anspruch 17, die ferner eine Mehrzahl von CAs enthält, und wobei die zweite Nachricht durch den Ausdruck definiert ist: {Cert_Path, List of CRLs, E(Pub_Mobile, RN1), ausgewählte SKCS, Sig(Priv_Base, {E(Pub_Mobile, RN1), ausgewählte SKCS, CH1, Liste der SKCSs})} und wobei CRL eine Zertifikatwiderrufliste für jede der CAs umfaßt.