• 专利附录
  • 专利说明
  • 权利要求
  • 类似技术
  • 同族专利
  • 引用文献
  • 法律状态
  • 优先权
    • 专利摘要:
    DieseErfindung stellt ein flexibles, manipulationssicheres Authentifizierungs-Systemoder eine Personen-Authentifizierungs-Vorrichtung (PAD) bereit,welches Anwendungen bei der Authentifizierung, Autorisierung undAbrechnung unterstützenkann, bereit. Die PAD speichert mindestens einen öffentlichenSchlüssel, welchermit einer Zertifikations-Autorität(CA) assoziiert ist, und empfängteins oder mehrere digitale Zertifikate, welche, basierend auf dengespeicherten öffentlichen CA-Schlüsseln, authentifiziertwerden. Die PAD gibt einen Dienst-Schlüssel aus, welcher in Abhängigkeitder Anwendung verwendet werden kann, um Zugang zu einem überwachtenRaum zu erhalten, um die Erlaubnis zum Inanspruchnehmen einer bestimmtenAktivitätzu erlangen oder um irgendeinen Dienst zu empfangen. Der Betriebder PAD und die Beschaffenheit des Dienst-Schlüssels kann mittels digitalerZertifikate festgestellt werden, welche die PAD während desBetriebs von der PAD empfängt.Unter Verwendung eines gespeicherten privaten PAD-Schlüssels, welchergeheim gehalten wird, kann die PAD eine Vielfalt von sicherheitsbezogenenMaßnahmenausführen,aufweisend die Selbstauthentifizierung gegenüber einem Anwender, das Signierender Dienst-Schlüssel,welche die PAD erzeugt, und das Entschlüsseln des Inhalts auf empfangenendigitalen Zertifikaten.
    公开号:DE102004025084A1
    申请号:DE102004025084
    申请日:2004-05-21
    公开日:2004-12-09
    发明作者:Hsiang-Tsung Kung
    申请人:Industrial Technology Research Institute ITRI；
    IPC主号:G06F21-20
    专利说明:
    [0001] DieseErfindung betrifft im Allgemeinen eine digitale Authentifizierung,insbesondere eine Personen-Authentifizierungs-Vorrichtung,welche digitale Zertifikate verwendet.
    [0002] Unter "Authentifizierung" versteht man imAllgemeinen den Bestimmungsprozess, dass eine Person, egal ob Eroder Sie, auch derjenige (diejenige) ist, für den er oder sie sich ausgibt.Flugreisende, zum Beispiel, authentifizieren sich am Flughafen dementsprechenden Personal mittels Darlegens eines ein Foto enthaltendenDokuments, welches den Namen des Reisenden aufweist, wie beispielsweise einFührerscheinoder ein Reisepass (ein "Zertifikat"), und mittels desGesichts des Reisenden (ein "Credential"), welches mit demFoto in dem Dokument verglichen werden kann. Bei diesem Beispielkontrolliert ein Offizieller einer Fluglinie den Credential in Abhängigkeitvon der Information auf dem Zertifikat und, wenn es übereinstimmt,ist der Reisende authentifiziert und berechtigt, an Bord des Flugzeuges zugehen.
    [0003] DerBegriff der "Authentifizierung" ist eng verwandtmit solchen Begriffen wie "Authorisation" und "Abrechnung" ("accounting"). Eine Person wird üblicherweiseauthentifiziert, bevor sie die Erlaubnis hat, einen Dienst in Anspruchzu nehmen, wohingegen die Abrechnung ausgeführt wird, nachdem der Servicebereitgestellt wurde.
    [0004] EinePublic-Key-Infrastruktur PKI ist eine Sicherheitsarchitektur, welcheentwickelt wurde, um einen erhöhtenGrad an Sicherheit zum elektronischen Austausch von Informationen über einunsicheres Netzwerk bereitzustellen. Eine PKI kann viele unterschiedlicheElemente aufweisen, aber bezieht sich im Allgemeinen auf die Verfahren,Techniken und Vorrichtungen, welche zusammen eine sichere Infrastrukturbereitstellen. PKIs könnenverwendet werden, um den Sender oder den Empfänger von elektronischen Informationenzu authentifizieren und/oder zu authentifizieren, dass der Inhalteines elektronischen Dokuments oder Nachricht nicht absichtlichverändertoder auf andere Weise modifiziert wurde. Eine PKI stellt im AllgemeinenSicherheit unter Verwendung einer mathematischen Technik bereit,welche als Öffentliche-Schlüssel-Kryptografie bezeichnetwird. Öffentliche-Schlüssel-Kryptografie verwendetein Paar von mathematisch verknüpften kryptografischenSchlüsseln,bezeichnet als der "privateSchlüssel" (oder "geheime Schlüssel") und als der "öffentliche Schlüssel". Wenn ein Schlüssel verwendetwird, um eine Information zu verschlüsseln, dann kann nur der diesemSchlüsselentsprechende Schlüsseldiese Information entschlüsseln.Wenn man einen dieser Schlüsselkennt, lässtsich nicht einfach berechnen, welcher der andere entsprechende ist.Da sie ihre Namen angeben, ist beabsichtigt, dass der private Schlüssel eindeutigmit einem Anwender assoziiert ist und daher geheim bleibt. Der öffentlicheSchlüsselkann frei verteilt sein und jedem bekannt sein.
    [0005] Öffentliche-Schlüssel-Verschlüsselungkann verwendet werden, um Informationen vertraulich zu versenden.Ein Versender kann beispielsweise eine Nachricht mit dem öffentlichenSchlüsseldes Empfängersverschlüsseln,welchen der Versender vom Empfängerempfangen hat oder von einem öffentlichenVerzeichnis erhalten hat. Der Empfänger kann dann seinen privatenSchlüsselverwenden, um die Nachricht zu entschlüsseln.
    [0006] "Digitale Zertifikate" und eine "Zertifikations-Autorität" (CA) können verwendetwerden, um die Identitätder Person, welche mit dem öffentlichen/privatenSchlüsselpaarassoziiert ist, zu authentifizieren. Eine CA ist eine vertrauenswürdige Einzelpersonoder Organisation (öffentlichoder privat), welche digitale Zertifikate herausgibt, verwaltet undwiderruft. Obwohl einige Anwendungen, wie beispielsweise, PGP, denAnwendern erlaubt, digitale Zertifikate selbst zu erzeugen, kannein "vertrauenswürdigeres" digitales Zertifikatvon einer echten CA erhalten werden.
    [0007] DieCA kann das öffentliche/privateSchlüsselpaarin dem digitalen Zertifikat erzeugen oder kann den öffentlichenSchlüsseleines Antragstellers (nachdem die CA die Identität des Antragstellers verifizierthat) signieren. Die CA verifiziert die Credentials, welche von demZertifikats-Antragstellerbereitgestellt wurden und signiert digital das digitale Zertifikatmit dem privaten Schlüsselder CA, nachdem die CA die Identität des Antragstellers validierthat.
    [0008] Einedigital signierte Nachricht oder Zertifikat kann mittels Bestimmens,ob die digitale Signatur auf der Nachricht oder dem Zertifikat gültig ist,authentifiziert werden. Der Versender kann, wenn er eine signierteNachricht sendet, seinen öffentlichenSchlüsselebenfalls, einzeln oder in einem digitalen Zertifikat enthalten,senden. Ein signiertes Zertifikat wird auch die Identität der CAzu erkennen geben, welche das digitale Zertifikat ausgegeben hat.Der Antragsteller einer digital signierten Nachricht oder Zertifikatkann den öffentlichenSchlüssel,welcher mit dem Signierer assoziiert ist, ebenso wie andere Informationenin dem digitalen Zertifikat verwenden, um zu ermitteln, ob die Signaturgültigist.
    [0009] Beiherkömmlichenelektronischen Authentifizierungs-Systemen erfordert die Authentifizierung derdigitalen Zertifikate oftmals eine Netzwerkverbindung zwischen einemAuthentifizierungs-Server (wie beispielsweise der Server der CA,welche ein digitales Zertifikat ausgestellt hat) und der Einzelperson, welcheden Wunsch hat, ein Dokument zu authentifizieren (oder dem Knotender Vorrichtung, an welchem die Einzelperson lokalisiert ist). Umein digitales Zertifikat, einen Anwender oder eine Vorrichtung unterVerwendung herkömmlicherAuthentifizierungs-Dienste zu authentifizieren, muss sich eine Persontypischerweise überein Netzwerk an einen Authentifizierungs-Server anschließen, welcherdann die Authentifizierung an dem Netzwerkserver durchführt. Fehlerhaftunterbrochene oder ungesicherte Netzwerk- und Serverzustände, wiebeispielsweise ein Netzwerk oder Server unter denial-of-service-Angriffen,könnenunerwünschtin einer fehlerhaften oder verfehlten Authentifizierung resultieren.
    [0010] Esgibt deshalb gemäß dem Standder Technik einen generellen Bedarf für eine Authentifizierungs-Vorrichtungund ein Verfahren, welches zumindest die oben genannten Mängel desStands der Technik bewältigt.Ein besonderer Bedarf an einer Authentifizierungs-Vorrichtung undeinem Verfahren existiert im Stand der Technik, um die Nachteilebei der Authentifizierung überNetzwerke bei fehlerhaften Netzwerk- und Serverzuständen zu bewältigen.
    [0011] EinAusführungsbeispielgemäß dieserErfindung ist auf eine Personen-Authentifizierungs-Vorrichtung,ein Verfahren und ein System gerichtet, welches eines oder mehrereder Probleme infolge von den Beschränkungen und Nachteilen desStands der Technik umgeht.
    [0012] Umdiese und andere Vorteile zu erhalten, welche gemäß dem Zweckder Erfindung ausführlich beschriebenwerden, wird in der Erfindung eine Personen-Authentifizierungs-Vorrichtung(PAD) bereitgestellt, welche mindestens ein Speichermedium zum Speichernmindestens eines öffentlichenCA Schlüssels,wobei jeder öffentlicheSchlüsselmit einer Zertifikations-Autorität (CA) assoziiertist, aufweist. Die PAD weist auch ein oder mehrere Eingabeeinrichtungenzum Empfang von einem oder mehreren digitalen Zertifikaten auf.Eine Bearbeitungskomponente authentifiziert das eine oder die mehreren empfangenendigitalen Zertifikate unter Verwendung des mindestens einen gespeicherten öffentlichenCA Schlüssel,und erzeugt mindestens einen Dienst-Schlüssel, welcher auf einem odermehreren digitalen Zertifikaten basiert. Eine Ausgabeeinrichtunggibt mindestens einen Dienst-Schlüssel aus.
    [0013] Fernerwird ein Authentifizierungs-Verfahren bereitgestellt. Mindestensein öffentlicherCA Schlüssel,wobei jeder öffentlicheSchlüsselmit einer Zertifikations-Autorität(CA) assoziiert ist, wird auf einer Personen-Authentifizierungs-Vorrichtung (PAD)gespeichert. Ein digitales Zertifikat oder mehrere digitale Zertifikatewerden von der PAD empfangen. Das eine oder die mehreren empfangenendigitalen Zertifikate werden unter Verwendung des mindestens einengespeicherten öffentlichenCA Schlüsselauthentifiziert. Mindestens ein Dienst-Schlüssel wird auf Grundlage deseinen oder der mehreren authentifizierten digitalen Zertifikateerzeugt und mittels des PAD ausgegeben.
    [0014] DieanhängendenFiguren, welche ein Bestandteil dieser Erfindung sind, stellen unterschiedlicheAusführungsbeispieleder Erfindung dar, und mittels der ausführlichen Beschreibung sinddie Prinzipien dieser Erfindung leicht verständlich.
    [0015] Eszeigen:
    [0016] 1 ein Blockdiagramm einerPersonen-Authentifizierungs-Vorrichtung(PAD) gemäß den Prinzipiendieser Erfindung;
    [0017] 2 ein Flussdiagramm, welchesein exemplarisches Verfahren der Authentifizierueg gemäß den Prinzipiendieser Erfindung zeigt; und
    [0018] 3 ein Flussdiagramm, welchesdie Schritte eines exemplarischen Verfahrens zum Verwenden des einenoder der mehreren digitalen Zertifikate, welche bei Schritt 215 der 2 empfangen werden, gemäß den Prinzipiendieser Erfindung darstellt.
    [0019] Bezugwird nun in Detail auf die Ausführungsbeispieledieser Erfindung genommen, Beispiele, welche mit Bezug auf die anhängendenFiguren dargestellt werden. Wenn immer möglich, werden überall inden Figuren gleiche Bezugszeichen verwendet, um sich auf die gleichenoder ähnlichenElemente zu beziehen.
    [0020] Verfahrenund Systeme, welche mit dieser Erfindung konsistent sind, stellenein Authentifizierungs-System bereit, welches ein umfangreichesGebiet von Anwendungen unterstützenkann. Bestimmte Verfahren und Systeme, welche mit dieser Erfindungkonsistent sind, stellen ein Authentifizierungs-System bereit, welches "nicht im Netz" (offline) verwendetwerden kann, d.h., ohne eine Netzwerkverbindung zur Authentifizierungzu benötigen.Diese Erfindung stellt weiter eine Authentifizierungs-Vorrichtungbereit, dessen genauer Betrieb flexibel sein kann und mittels derdigitalen Zertifikate, welche die Authentifizierungs-Vorrichtungwährenddes Betriebs empfängt,bestimmt wird. Diese Erfindung stellt ferner eine Authentifizierungs-Vorrichtungbereit, welches einen Dienst-Schlüssel ausgibt, der in Abhängigkeitvon der Anwendung verwendet werden kann, um einen Zugang zu einemkontrollierten Raum oder zu einer anderen Instanz zu erhalten.
    [0021] 1 ist ein Blockdiagrammeiner Personen-Authentifizierungs-Vorrichtung(PAD), welche konsistent mit den Prinzipien dieser Erfindung ist. Wiegezeigt in 1, weisteine PAD 100, welche konsistent mit dieser Erfindung ist,einen Prozessor 110 und einen Speicher 120 auf,welche beide mittels eines Bus 125 operativ miteinandergekoppelt sind. Der Prozessor 110 kann eine oder mehrereBearbeitungsvorrichtungen repräsentieren,welche konfiguriert sind, um die Software auszuführen und um bestimmte Authentifzierungs-Prozesse,welche konsistent mit den bestimmten Aspekten dieser Erfindung sind,durchzuführen.Der Speicher 120 kann eine oder mehrere Speichervorrichtungen sein,welche sowohl die Daten als auch die Software und den Steuerungscodespeichern, welche mittels des Prozessors und anderer Hardware aufder PAD verwendet und/oder ausgeführt werden. Obwohl ein einziger Speicher 120 gezeigtwird, kann der Speicher 120 eine beliebige Anzahl an Speichernaufweisen. Der Speicher 120 kann zum Beispiel einen odermehrere Speicher aufweisen, welche Softwarekomponenten speichern,die einen oder mehrere Authentifizierungs-Prozesse durchführen, wennsie vom Prozessor 110 ausgeführt werden. Der Speicher 120 kann aucheinen oder mehrere der RAM, ROM, magnetische und optische Speicher,organische Speicher, Audioscheiben und Videoscheiben aufweisen.
    [0022] Wiegezeigt in 1, kann derSpeicher 120 einen privaten PAD Schlüssel (PAD Schlüssel 122) undeinen oder mehrere öffentlicheCA Schlüssel(CA Schlüssel1 124, CA Schlüssel2 126,..., CA SchlüsselN 128) speichern. In bestimmtenAusführungsbeispielenist der PAD Schlüssel 122 derprivate Schlüssel einesPaares von mathematisch ähnlichenkryptografischen Schlüsseln,welche unter Verwendung der öffentlichenSchlüssel-Kryptografieerzeugt werden welche mit PAD 100 assoziiert sind. Jederder CA Schlüssel1–N kannder öffentlicheSchlüsseleines Paares von mathematisch verknüpften kryptografischen Schlüsseln sein,welche unter Verwendung der öffentlichenSchlüssel-Kryptografieerzeugt wurden, und wobei jedes der Paare von Schlüsseln mit einemjeweiligen CA 1–Nassoziiert ist.
    [0023] PAD 100 kannoptional einen privaten PAD Schlüssel(PAD Schlüssel 122j aufweisen.PAD Schlüssel 122 isteindeutig mit einem PAD oder einer Gruppe von PADs unter der gleichenVerwaltung assoziiert. Währendder korrespondierende öffentliche Schlüssel jedembekannt sein kann, ist PAD 122 geheimer, welcher den Anwendernnicht bekannt ist. In bestimmten Ausführungsbeispielen werden Hardware-und Softwaremittel bereitgestellt, um den PAD Schlüssel 122 vorAuslesen von außerhalbder PAD 100 zu schützen.PAD 100 kann zum Beispiel PAD Schlüssel 122 verwenden,um PAD 100 gegenüber einemAnwender zu authentifizieren, um einen Dienst-Schlüssel zusignieren, welchen PAD 100 ausgibt und um den Inhalt einesempfangenen digitalen Zertifikats zu entschlüsseln, welches mit dem entsprechenden öffentlichenSchlüsselvon PAD 100 verschlüsseltist.
    [0024] Inmindestens einem Ausführungsbeispiel sindder PAD Schlüssel 122 und/oderdie CA Schlüssel1–N 124, 126, 128 nichtwieder beschreibbar. In diesem Beispiel werden diese Schlüssel nureinmal in die PAD 100 geschrieben. Der PAD Schlüssel 122 und/oderdie CA Schlüssel1–N können zumBeispiel währenddes Herstellungsprozesses einmal in den Speicher gebrannt werden.In mindestens einem Ausführungsbeispielkönnender PAD Schlüssel 122 und/oderdie CA Schlüssel1–N zwarnicht wieder beschrieben werden, aber sie können von außerhalb der PAD 100 inden Speicher eingelesen werden.
    [0025] Inbestimmten Ausführungsbeispielenkann PAD 100 auch eine PAD Seriennummer 121 aufweisen,welche eine eindeutige Nummer sein kann, welche mit der PAD 100 assoziiertist. Die PAD Seriennummer 121 kann zum Beispiel in demSpeicher 120 gespeichert sein und kann auch während desHerstellungsprozesses einmal in den Speicher eingebrannt werdenoder kann in den Speicher von außerhalb der PAD 100 insolcher Weise eingelesen werden, dass die PAD Seriennummer nur einmalgeschrieben wird. In bestimmten Ausführungsbeispielen kann die PADSeriennummer 121 zum Erzeugen der Dienst-Schlüssel verwendetwerden. In einigen Ausführungsbeispielenkann die PAD Seriennummer 121 mit den Dienst-Schlüsseln assoziiertsein, welche mittels der entsprechenden PAD 100 in solcheiner Art erzeugt wurden, dass es möglich sein kann zu bestimmen,welche PAD 100 den Dienst-Schlüssel erzeugte.
    [0026] DiePAD 100 kann auch optional einen Zufallszahlen-Generator(RNG) 130 (oder einen Pseudo-Zufallszahlen-Gnerator) aufweisen.RNG 130 (oder ein Pseudo-Zufallsnummer-Generator) kann zumBeispiel verwendet werden, um Sitzungs-Schlüssel oder andere Parameter,welche bei dem Authentifizierungs-, Authorisierungs- und Abrechnungs-Prozessesverwendet werden, zu erzeugen. RNG 130 (oder ein Pseudo-Zufallsnummer-Generator) kann zumBeispiel verwendet werden, um in einem Aufforderungs- und Antwortprotokoll(response protcol) Zufalls-(oder Pseudo-Zufalls-)Sitzungs-Schlüssel zuerzeugen. RNG 130 kann überdiesverwendet werden, um Zufalls-(oder Pseudo-Zufalls) Einmal-Schlüssel zuerzeugen. In bestimmten Ausführungsbeispielenkann PAD 100 einen Einmal-Schlüssel zur Erzeugung eines Cookies, welchesein bestimmter Typ des Dienst-Schlüssels ist, verwenden. PAD 100 kannden Einmal-Schlüssel inSpeicher 120 speichern. Nachdem ein Cookie von PAD 100 empfangenwurde, kann ein Anwender den Cookie in Verbindung mit einer zukünftigen Dienst-Anfrageder PAD 100 vorlegen. Basierend auf dem gespeicherten Einmal-Schlüssel, wirdPAD 100 den vorgelegten Cookie validieren. Wenn die Bestätigung desCookies erfolgreich ist, kann PAD 100 den Dienst genehmigen.Wenn der Dienst genehmigt ist, kann PAD 100 den Einmal-Schlüssel, welcherim Speicher 120 gespeichert ist, annullieren, so dass PAD 100 nichtin der Lage sein wird, zukünftigden gleichen Cookie zu validieren, wodurch die Wiedergabe des gleichenCookies verhindert wird.
    [0027] DieserCookie-Mechanismus kann bei einer Vielzahl von verschiedenen Anwendungenhilfreich sein. In einem exemplarischen Ausführungsbeispiel, wie beispielsweiseein Digitales-Rechte-Verwaltungs-System (Digital Rights ManagementSystem) (DRM), kann PAD 100 in eine Cookie-Benutzungs-Informationhinein schreiben, welche zum Beispiel beschreiben kann, wie oftder assoziierte Inhalt verwendet werden kann oder verwendet wordenist. Um eine neue Benutzung des Inhalts zu aktivieren, muss PAD 100 einenCookie empfangen, welcher den Cookie-Validierungs-Prozess passierenkann. Wenn der empfangene Cookie validiert ist und wenn die Benutzungszähler inden empfangenen Cookie eine spezifizierte Grenze nicht übersteigt,kann PAD 100 die Einmal-Verwendung des Inhalts genehmigenund kann den Einmal-Schlüssel,welcher im Speicher 120 gespeichert ist, annullieren. Inbestimmten Ausführungsbeispielenkann PAD 100 einen neuen Cookie erzeugen, welcher zum Beispieleinen neuen Einmal-Schlüsselaufweist. In dem neuen Cookie könnendie Benutzungszählerangehoben werden, um die genehmigte Benutzung wiederzuspiegeln,welche aufgetreten ist, seitdem der Cookie empfangen wurde und derneue Cookie kann dem Anwender übermitteltwerden. Dieser Typ von Cookie basiertem Schema kann auch verwendetwerden, um die Verwendungen von mehreren Teilen des Inhalts simultan zuverfolgen, wobei zum Beispiel jeder Cookie alle jeweiligen Benutzungszähler aufgezeichnethat.
    [0028] PAD 100 kannoptional eine Uhr 132 aufweisen, welche zum Beispiel verwendetwerden kann zur Bestimmung, ob das aktuelle Datum und die aktuelleZeit sich innerhalb der Gültigkeitsperiodeder digitalen Zertifikate befinden oder nicht, und zum Erzeugenvon Zeitstempeln, welche in die Dienst-Schlüssel enthalten sind, die vonPAD 100 erzeugt werden. Eine Zeitstempel auf einem Dienst-Schlüssel kannzum Beispiel helfen, zu bestimmen, ob der Dienst-Schlüssel zualt ist oder ob die Uhr 132 abgewichen ist. Wenn irgendeinerdieser Fällewahr ist, dann kann es ein Dienstanbieter (service provider) vorziehen,den Dienst-Schlüsselnicht anzuerkennen. Außerdemkann eine Uhr 132 zum Beispiel verwendet werden zum Bestimmen,ob ein oder mehrere Rechte auf den digitalen Inhalt in einem DRM-Systemabgelaufen sind oder nicht.
    [0029] PAD 100 kannoptional einen oder mehrere Timer 133 aufweisen, welchezum Beispiel verwendet werden könnenzum Bestimmen, ob der digitale Inhalt in einem DRM-System verwendetoder innerhalb einer genehmigten Benutzungsperiode darauf zugegriffenwird oder nicht. Die Timer 133 können zum Beispiel auch verwendetwerden zum Bestimmen der Zeit, welche vergangen ist, seitdem einTimer zurückgesetztwurde.
    [0030] PAD 100 kannoptional einen oder mehrere Zähler 134 aufweisen,welche zum Beispiel verwendet werden können zum Bestimmen, ob sichder digitale Inhalt in einem DRM-System innerhalb einer erlaubtenBenutzungsanzahl befindet oder nicht. Zähler können zum Beispiel auch verwendetwerden zum Bestimmen, wie oft ein Ereignis aufgetreten ist, seitdemein Zählerzurückgesetztwurde.
    [0031] Inbestimmten Ausführungsbeispielensind eine oder mehrere der Komponenten von PAD 100, oderPAD 100 selbst, manipulationssicher. Eine Komponente odereine Vorrichtung ist fürden Zweck dieser Anmeldung manipulationssicher, wenn die Komponenteoder die Vorrichtung vor unauthorisiertem Zugriff mittels Techniken,welche unauthorisierten Zugriff unmöglich oder schwierig machen,geschützt wird.Techniken, welche eine Komponente oder eine Vorrichtung manipulationssichermachen, können verschiedensein, in Abhängigkeit,ob die Komponente in der Hardware oder in der Software implementiert ist.Eine Hardwarekomponente, zum Beispiel, welche manipulationssicherist, kann unter Verwendung von Materialien, die nicht körperlichgeöffnetoder betreten werden können,konstruiert werden. Die Manipulationssicherheit von elektronischenDaten kann mittels Speicherns der Daten in solch einer Weise erreichtwerden, dass sie ohne Authorisation nicht gelesen, verändert odergelöschtwerden können.In bestimmten Ausführungsbeispielendieser Erfindung wird der PAD Schlüssel 122 mittels solchermanipulationssicheren Techniken geschützt, um zu verhindern, dasser von außerhalbder PAD 100 gelesen werden kann.
    [0032] InAusführungsbeispielengemäß dieserErfindung, weist PAD 100 entweder eine Eingabeeinrichtungauf oder, wie in 1 gezeigt,ist PAD 100 operativ an eine Eingabeeinrichtung, wie beispielsweise,Eingabeeinrichtung 140, gekoppelt. Die Eingabeeinrichtung 140 kannirgendeine Einrichtung sein, welche zum Empfangen von Informationenund zum Umwandeln dieser in digitale Informationen für die Verwendungmittels PAD 100 eingerichtet ist. Die Eirgabeeinrichtung 140 kannzum Beispiel eine Tastatur oder eine Teil-Tastatur (key pad), einKartenleser, eine USB-Vorrichtung, ein Fingerabdruck-Leser oderandere Biometrie- Leser, eine Kamera, ein Scanner, eine CD/DVD Leser,ein Handset oder eine Handheld-Vorrichtung, ein persönlicherdigitaler Assistent (personal digital assistant (PDA)), ein Drahtlos-Schnittstelle,ein Personalcomputer und/oder eine Internetverbindung sein. DieEingabeeinrichtung 140 kann zum Beispiel verwendet werden,um digitale Zertifikatinformationen von einer Chipkarte (Smartcard),einer Magnetstreifenkarte oder einem gedrucktem Dokument zu lesen.Die Eingabeeinrichtung 140 kann zum Beispiel auch verwendetwerden, um Anwender-Identifikations-Informationen, wie beispielsweisePINs, Passwörter,Fingerabdrücke,Netzhautmuster oder andere biometrische Informationen zu empfangen.Die Verbindung 115 kann jeden Typ von Verbindung sein,durch welche die digitalen Daten hindurch gehen können, wiebeispielsweise unter anderem ein Bus oder eine Drahtlos-Verbindung.
    [0033] InAusführungsbeispielengemäß dieserErfindung weist PAD 100 entweder eine Ausgabeeinrichtungauf oder, wie in 1 gezeigt,ist PAD 100 operativ an eine Ausgabeeinrichtung, wie beispielsweisedie Ausgabeeinrichtung 150, gekoppelt. Die Ausgabeeinrichtung 150 kannirgendeine Einrichtung sein, welche eingerichtet ist, einen Dienst-Schlüssel anandere Vorrichtungen, wie beispielsweise, ein Bildschirm, ein Drucker,ein Kartenleser, eine USB-Vorrichtung, ein CD/DVD Schreiber, einTürschloss,ein Handset oder eine Handheld-Vorrichtung,ein persönlicherdigitaler Assistent (PDA), ein Personalcomputer, ein Server und/odereine Internetverbindung auszugeben. Die Ausgabeeinrichtung 150 kannzum Beispiel verwendet werden, um einen Dienst-Schlüssel anein Türschlosszum Öffnender Tür,an einen Drucker zum Ausdrucken eines Dienst-Coupons oder an einenBildschirm zum Angeben einer Dienstnummer auszugeben. Die Ausgabeeinrichtung 150 kannzum Beispiel auch verwendet werden, um einen Dienst-Schlüssel aufeiner tragbaren Speichervorrichtung, wie beispielsweise, eine Chipkarte,eine Magnetstreifenkarte, oder eine andere tragbare Speichervorrichtungzu speichern. In einigen Ausführungsbeispielenkann die Ausgabeeinrichtung 150 eine Einrichtung sein,welche zum drahtlosen Übertragendes Dienst-Schlüsselsan einen Dienst-Schlüssel-Empfänger, wiebeispielsweise ein elektronisches Türschloss, eingerichtet ist.Die Verbindung 117 kann irgendein Typ von Verbindung sein,durch welche die digitalen Daten hindurch gehen können, wiebeispielsweise, unter anderem ein Bus oder eine Drahtlos-Verbindung.
    [0034] Ineinem exemplarischen Ausführungsbeispielkann der Betrieb der augenblicklichen Erfindung konsistent mit denSchritten, welche in dem Flussdiagramm der 2 dargestellt sind, sein. Es sollte jedochso verstanden werden, dass andere alternative Verfahrensschritteangewendet werden könnenund sogar mit dem Verfahren, welches in 2 dargestellt ist, kann der teilweiseAblauf der Ereignisse variieren, ohne vom Schutzumfang dieser Erfindung abzuweichen.Ferner könnenbestimmte Schritte nicht vorhanden sein und zusätzliche Schritte können hinzugefügt sein,ohne von dem Schutzumfang und dem Gedanken der Erfindung, wie erbeansprucht ist, abzuweichen.
    [0035] Wiegezeigt in 2, kann derAuthentifizierungs-Prozess mit dem Wunsch des Anwenders, die PAD 100 zuauthentifizieren, beginnen. Vor der Benutzung der PAD kann ein Anwenderzum Beispiel wünschen,zu ermitteln, dass der Anwender die korrekte physikalische Vorrichtunghat oder zu überprüfen, dassdie PAD 100 mit einem bestimmten privaten Schlüssel assoziiertist (auch bezeichnet als "Besitznachweis"-Test ("proof of possession")). Ein Anwenderkann PAD 100 zum Beispiel mittels Eingabe einer PAD Authentifizierungs-Anfrage(Schritt 205) authentifizieren. Ein PAD Anwender kann,wie in 1 gezeigt, einePAD Authentifizierungs-Anfrage mittels der Eingabeeinrichtung 140 eingeben.
    [0036] DiePAD Authentifizierungs-Anfrage kann zum Beispiel ein Aufforderungs-und Antwortprotokoll enthalten, wobei der Anwender der PAD 100 zum Beispieleinen zufälligausgewähltenWert vorlegt, welcher mit dem dem PAD Schlüssel 122 korrespondierenden öffentlichenSchlüsselverschlüsseltwurde, und PAD 100 auffordert, den Wert zu entschlüsseln. EinePAD mit dem richtigen PAD Schlüssel 122 wirdin der Lage sein, erfolgreich auf die Aufforderung zu reagieren.In diesem Fall ist PAD 100 gegenüber dem Anwender authentifiziert.
    [0037] WennPAD 100 eine übermäßige Anzahlan PAD Authentifzierungs-Anfragenempfängt,kann PAD 100 versuchen zu bestimmen, ob diese Anfrageneinen Angriff darstellen (Schritt 211), was zum Beispielein Versuch sein könnte,den privaten PAD Schlüssel(PAD Schlüssel 122)zu erraten. PAD 100 kann die Vorrichtung funktionsunfähig machen (Schritt 212),wenn es ermittelt, dass es einen Angriff gibt. PAD 100 kannzum Beispiel eine bestimmte Anzahl an PAD Authentifizierungs-Anfragen in einergegebenen Zeitperiode erlauben, bevor alle zukünftigen Verwendungen der Vorrichtunggeblockt werden.
    [0038] WennPAD 100 authentifiziert ist (Schritt 210), können einoder mehrere digitale Zertifikate in die PAD 100 eingebenwerden. Herkömmlichedigitale Zertifikate, wie beispielsweise solche, die mit dem ITU(=International Telecommunication Union)(IETF:= Internet EngeneeringTask Force) Standard X.509 v3, welcher die digitalen Zertifikateverwaltet, konform sind, weisen typischerweise digitale Zertifikat-Informationen, wiebeispielsweise den Namen des Zertifikateigentümers, einen öffentlichen Schlüssel, welchermit dem Zertifikateigentümerassoziiert ist, ein Gültigkeitsdatumdes Zertifikats, den Namen der CA, welche das digitale Zertifikatausgestellt hat, die Aktivitäten,zu denen die Schlüsselverwendet werden könnenund das Verfahren, welches die CA verwendet hat, um das digitaleZertifikat zu signieren (z.B. RSA (= Rivest-Shamir-Adleman Kryptosystem)).
    [0039] Inbestimmten Ausführungsbeispielenkönnendigitale Zertifikate auch andere Informationen zusätzlich zudiesen oder anstelle dieser, welche in herkömmlichen digitalen Zertifikatengefunden werden, aufweisen. Die digitalen Zertifikate können zum BeispielInformationen aufweisen, welche verwendet werden können, umdie Uhr, die Timer oder die Zählervon der PAD zurückzusetzen.In einigen Ausführungsbeispielenkönnendigitale Zertifikate einen Inhalts-Entschlüsselungs-Schlüssel und/oderBeschreibungen von einem Rechte-Inhalt aufweisen, welche die PAD überprüft, bevorder Inhalts-Entschlüsselungs-Schlüssels alsein Dienst-Schlüssel ausgegebenwird. In bestimmten Ausführungsbeispielenkönnendie digitalen Zertifikate andere Digitale-Rechte-Verwaltungs-Informationenaufweisen, welche die Beschränkungenbei einer Inhalts-Ablaufzeit, bei einer Inhalts-Benutzungsperiodeund/oder bei einer Inhalts-Benutzungshäufigkeitbeschreiben oder definieren.
    [0040] DigitaleZertifikate und digitale Zertifikat-Informationen können mittelsder signierenden CA erzeugt worden sein oder die Informationen ineinem digitalen Zertifikat könnenmittels dritter (einschließlichdes Zertifikateigentümers)erzeugt worden sein und wurden von der CA signiert. In vielen Fällen verifiziertdie CA die Credentials, welche von dem Zertifikateigentümer bereitgestelltwurden und nachdem die Identitätdes Zertifikateigentümersvalidiert wurde, signiert die CA digital das digitale Zertifikatmit dem privaten CA Schlüssel.
    [0041] DigitaleZertifikate und digitale Zertifikat-Informationen können aufviele verschiedene Weisen, welche dem Fachmann bekannt sind, inPAD 100 eingeben werden. Die digitalen Zertifikate können zum Beispielauf einem physikalischen Medium, wie beispielsweise auf einem Papier,Karte oder Chip gespeichert werden und die digitalen Zertifikat-Infarmationen, welcheauf einem physikalischen Medium gespeichert sind, können inPAD 100 zum Beispiel mittels Lesen der Informationen vondem physikalischen Medium unter Verwendung einer Eingabeeinrichtung,wie beispielsweise ein Scanner, ein Kartenleser oder andere Eingabeeinrichtungeneingegeben werden. Die Eingabeeinrichtung kann von PAD 100 getrenntsein und zum elektronischen Bereitstellen von Daten, entweder über physikalischeVerbindung oder drahtlos, zur PAD 100 eingerichtet sein.In bestimmten Ausführungsbeispielenkönnendigitale Zertifikate und digitale Zertifikat-Informationen in die PAD 100 zumBeispiel von einer anderen Vorrichtung oder von einem Computer über Internetoder von einer anderen Netzwerkverbindung eingegeben werden. Inanderen Ausführungsbeispielenwerden die digitalen Zertifikat-Informationen in PAD 100 zumBeispiel unter Verwendung einer Tastatur, einer Maus, einer Anwenderschnittstelleoder einer anderen herkömmlichenEingabeeinrichtung eingegeben.
    [0042] Inbestimmten Ausführungsbeispielenwerden alle digitalen Zertifikat-Informationen empfangen oder sindlokal verfügbarund alle Authentifizierungs-Operationen können bei PAD 100 ausgeführt werden,ohne dass Internet oder Netzwerkverbindungen erforderlich sind.
    [0043] Einoder mehrere der digitalen Zertifikate, welche bei Schritt 215 empfangenwerden, können beiSchritt 220 authentifiziert werden. Die Authentifizierungvon digitalen Zertifikaten kann zum Beispiel die Überprüfung, obdas digitale Zertifikat noch gültig ist,enthalten. Wie oben beschrieben, kann ein digitales Zertifikat Informationen,welche die Gültigkeitsperiodeangeben, aufweisen. Wenn dem so ist, kann der Authentifizierungs-Prozessdie Überprüfung des aktuellenDatums und der Zeit (welche zum Beispiel mittels der Uhr 132 erhaltenwerden kann) gegenüber derGültigkeitsperiodedes digitalen Zertifikats enthalten.
    [0044] Zusätzlich können diedigitalen Zertifikate mittels einer erteilenden CA unter Verwendungdes privaten CA Schlüsselsigniert werden. In diesem Beispiel können das eine oder die mehrerendigitalen Zertifikate unter Verwendung des korrespondierenden gespeicherten öffentlichenCA Schlüsselsauthentifiziert werden. Ein anderes exemplarisches Verfahren zumAuthentifizieren und Verwenden von digitalen Zertifikaten, welchesgemäß dieserErfindung ist, wird weiter unten im Detail mit Bezug auf 3 beschrieben.
    [0045] Wenndas eine oder die mehreren digitalen Zertifikate nicht authentifiziertsind (Schritt 275), kann PAD 100 optional eineFehlermeldung an den Anwender zurückschicken und den Betriebunterlassen. Alternativ kann PAD 100 lediglich den Betriebunterlassen, ohne dem Anwender eine Fehlermeldung bereitzustellen.
    [0046] Wenndas ein oder die mehreren digitalen Zertifikate authentifiziertsind (Schritt 275), können dieInformationen, welche in PAD 100 gespeichert sind und mitdem einen oder den mehreren digitalen Zertifikaten assoziiert sind,verwendet werden, um einen Dienst-Schlüssel (Schritt 280)zu erzeugen. Ein oder mehrere Dienst-Schlüssel-Erzeugungs-Programme können zumBeispiel auf PAD 100 gespeichert werden und die Informationenin dem einen oder den mehreren digitalen Zertifikaten können das bestimmteDienst-Schlüssel-Erzeugungs-Programm unddie dazu zuverwendenden Parameter angeben. In einigen Ausführungsbeispielenkann das Dienst-Schlüssel-Erzeugungs-Programmmittels des einen oder der mehreren digitalen Zertifikate der PAD 100 bereitgestelltwerden. In einem anderen Ausführungsbeispielkönnendas eine oder die mehreren digitalen Zertifikate ein oder mehrereDienst-Schlüssel-Erzeugungs-Programeangeben und, woher diese erhalten werden können, wobei jedoch das Dienst-Schlüssel-Erzeugungs-Programmmittels der Eingabeeinrichtung 140 erhalten werden kann.In bestimmten Ausführungsbeispielenkann der Dienst-Schlüsselunter Verwendung des privaten PAD Schlüssels 122 digitalsigniert werden.
    [0047] BeiSchritt 285 kann der Dienst-Schlüssel zum Beispiel unter Verwendungvon Ausgabeeinrichtung 150 der 1 ausgegeben werden. Der ausgegebeneDienst-Schlüsselkann viele Formen annehmen. Der Dienst-Schlüssel kann zum Beispiel einem Druckeroder einer Anzeigevorrichtung zum späteren Gebrauch durch den Anwenderausgegeben werden. In bestimmten Ausführungsbeispielen kann der Dienst-Schlüssel elektronischoder drahtlos einer Schlüsselvorrichtung übertragenwerden, wo er dann permanent oder temporär gespeichert werden kann. Ineinigen Ausführungsbeispielen,wie beispielsweise einem elektronischen Türschlossbeispiel, kann der Dienst-Schlüssel ineinem Signal enthalten sein und drahtlos einem Schlüssel-Empfänger, welchersich in einer Türbefindet, übertragenund zum Aufschließen derTür verwendetwerden.
    [0048] 3 stellt die Schritte einesexemplarischen Verfahrens zum Verwenden von dem einen oder den mehrerendigitalen Zertifikaten dar, welche bei Schritt 215 der 2 empfangen wurden. Wie gezeigtin 3, werden ein odermehrere digitale Zertifikate in PAD 100 eingegeben (Schritt 310).Das eine oder die mehreren digitalen Zertifikate können verschiedenartigeInformationen aufweisen, welche zum Authentifizieren des Anwendersund zum Erzeugen eines Dienst-Schlüssels verwendetwerden.
    [0049] Daseine oder die mehreren digitalen Zertifikate können zum Beispiel Informationenaufweisen, welche den Anwender identifizieren, wie beispielsweiseden Namen des Anwenders, seine Adresse, seine Email-Adresse, seinGeburtsdatum, seine Sozialversicherungsnummer, seine Kreditkartennummer öder andereInformationen, welche den Anwender identifizieren können. Eindigitales Zertifikat, welches die Informationen zur Identifikationdes Anwenders aufweist, wird hierin als "Anwender-Identifikations-Zertifikat" bezeichnet. DieMenge der Anwender identifizierenden Informationen, welche mittelseines digitalen Zertifikats bereitgestellt werden, kann zum Beispielin Abhängigkeitvon den Anforderungen an die Anwendung variieren. Bei einer Eincheck-Anwendungeiner Fluggesellschaft zum Beispiel, kann die Fluggesellschaft verlangen,dass der Anwender seinen Namen, seine Adresse, sein Geburtsdatumoder andere Informationen bereitstellt. Eine Anwendung bezüglich einesHotelschlüsselskann jedoch weniger Informationen erfordern.
    [0050] Einoder mehrere digitale Zertifikate können Anwender-Qualifikations-Informationenbereitstellen, welche derartige Informationen sind, die angeben, dassein Anwender "qualifiziert" oder berechtigtist, Zugang zu bestimmten Diensten zu empfangen. Bei einer Eincheck-Anwendungeiner Fluggesellschaft zum Beispiel, können Anwender-Qualifikations-InformationenInformationen aufweisen, welche angeben, dass ein Anwender jemandist, der regelmäßig fliegt oderein Mitglied eines Clubs einer Fluggesellschaft ist, welcher demFluggast gestattet, eine bestimmte Lounge zu benutzen. Bei einerHotelschlüsselAnwendung zum Beispiel, könnendie Anwender-Qualifikations-Informationen Informationen aufweisen, welcheangeben, dass einem Hotelangestellten, der die Reinigung durchführt, nurwährendden Geschäftszeitenden Zugang zu jedem Raum gewährt ist.
    [0051] Anderedigitale Zertifikate, gemäß dieserErfindung, könnenInformationen zum Ausweiten des Zugangs zu Diensten, welche demAnwender zugänglichsind, bereitstellen. Man stelle sich beispielsweise einen Fluggastvor, der regelmäßig mitder gleichen Fluggesellschaft fliegt, und dem Zugang zu ihren privatenLounges gewährtwird. Wenn die Fluggesellschaften in gegenseitigen Vereinbarungen übereingekommensind, wobei zwei oder mehrere Fluggesellschaften zustimmen, ihrenregelmäßigen Fluggästen denBesuch der jeweils anderen Lounges zu erlauben, dann können dieseregelmäßigen Fluggäste auchZugang zu diesen Gesellschaftsräumen deranderen Fluggesellschaften erhalten. Digitale-Zertifikat-Informationen können PAD 100 bereitgestelltwerden, welche anzeigt, dass der Anwender auch für einen zusätzlichen Satz entsprechender Diensteauthentifiziert ist, wenn ein Anwender für einen bestimmten Satz vonDiensten authentifiziert wurde.
    [0052] Einoder mehrere digitale Zertifikate können Informationen aufweisen,welche sich auf die Erzeugung des Dienst-Schlüsselsbeziehen. Solche Zertifikate werden hierin als "Ticket-Erzeugungs-Zertifikate" bezeichnet und schließen zumBeispiel Informationen ein, welche den Dienstumfang eines Schlüssels, einSchlüssel-Erzeugungs-Programmoder einen Algorithmus und ein Format zur Ausgabe des Schlüssels angeben.
    [0053] 3 beschreibt ein exemplarischesVerfahren zur Verwendung der verschiedenartigen Informationen, welchemittels des einen oder der mehreren digitalen Zertifikate empfangenwerden. Wenn zum Beispiel PAD 100 ermittelt, dass sie einAnwender-Identifikations-Zertifikat empfangen hat (Schritt 315),kann PAD 100 zuerst das digitale Zertifikat authentifizierenund danach die Informationen in dem Anwender-Identifikations-Zertifikatverwenden, um den Anwender zu authentifizieren. (Schritt 320).Ein digitales Zertifikat kann, wie oben beschrieben, mittels Ermittelnsder Zertifikat ausgebenden Autorität und mittels des Ermittelns,ob die digitale Signatur auf dem Zertifikat mit der spezifiziertenausgebenden Autorität,assoziiert ist, was unter Verwendung des öffentlichen CA Schlüssels geschieht,authentifiziert werden. In bestimmten Ausführungsbeispielen dieser Erfindungist der öffentlicheSchlüsselder CA, welche das Anwender-Identifikations-Zertifikat herausgab, einerder CA Schlüsse11– N, welche in PAD 100 gespeichertsind.
    [0054] WennPAD 100 bestimmt, dass das Anwender-Identifikations-Zertifikat authentifiziertist, kann PAD 100 auf Grundlage von den Informationen in demAnwender-Identifikations-Zertifikatund bestimmten Anwender-Credentials, welche vom Anwender empfangenwerden, den Anwender authentifizieren. Anwender-Credentials, welchehierin verwendet werden, bedeuten Informationen, welche eindeutigmit dem Anwender assoziiert sind, wie beispielsweise ein privaterSchlüsseldes Anwenders in einer PKI, biometrische Informationen des Anwenders,Personen-Identifikations-Nummer (PIN), welche nur dem Anwender bekanntist oder andere Informationen, welche unter Verwendung der PIN ermitteltwerden. Die Anwender-Credentialskönnenvom Anwender überdie Eingabeeinrichtung 140 der 1 empfangen werden. Die Anwender-Credentials,wie beispielsweise eine PIN oder ein privater Schlüssel, können zumBeispiel vom Anwender unter Verwendung einer Teil-Tastatur oder einesKartenleser eingegeben werden. Die Anwender-Credentials, wie beispielsweisebiometrische Informationen, könnenmittels eines Biometrie-Lesers, wie beispielsweise ein Fingerabdruck-Leser,Netzhautscanner oder eine Videokamera erhalten werden. Zusätzlich können Anwender-Credentials aus einemoder mehreren anderen Anwender-Credentials,wie beispielsweise der PIN, ermittelt werden.
    [0055] Umden Anwender zu authentifizieren, können die Anwender-Credentials mit denInformationen auf dem Anwender-Identifikations-Zertifikatverglichen werden. Wenn der Anwender in Schritt 320 nichtauthentifiziert wird, kann der Prozess abbrechen und die PAD 100 kannaußerFunktion gesetzt werden. Wenn der Anwender authentifiziert werden kann,läuft derProzess, wie beispielsweise mit Schritt 325 weiter.
    [0056] WennPAD 100 eine übermäßige Anzahlvon Anwender-Authentifzierungs-Anfragenempfängt, kannPAD 100 versuchen zu bestimmen, ob diese Versuche einenAngriff darstellen, wie beispielsweise einen Versuch eines Anwenders,die Anwender-Credentialsvon einigen anderen Anwendern zu erraten. Wenn dem so ist, kannPAD 100 die Vorrichtung außer Funktion setzen. PAD 100 kannzum Beispiel innerhalb einer vorgegebenen Zeitperiode eine bestimmteAnzahl von Anwender-Authentifizierungs-Anfragenerlauben, bevor alle zukünftigenVerwendungen der Vorrichtung blockiert werden. Diese Situation ist ähnlich demSchritt 212.
    [0057] Einoder mehrere der digitalen Zertifikate, welche in PAD 100 eingegebenwerden, könnenein Anwender-Qualifikations-Zertifikatenthalten. Ein Anwender-Qualifikations-Zertifikat, so wie es hierinverwendet wird, ist ein digitales Zertifikat, welches Informationenaufweist, welche einen Dienst, den ein Anwender zu empfangen berechtigtist oder eine Aktivität,zu der der Anwender die Genehmigung hat, diese durchzuführen, identifiziert.
    [0058] Wenndas Anwender-Qualifikations-Zertifikat authentifiziert wird (Schritt 330),könnenein oder mehrere Dienste, zu welchen der Anwender Zugang haben soll,auf Grundlage des Zertifikats identifiziert werden. Das Anwender-Qualifizierungs-Zertifikat kannzum Beispiel, wie oben erwähnt,Informationen aufweisen, welche angeben, dass ein Anwender berechtigtist, hochwertige Dienste zu nutzen, oder bei einer Hotelschlüssel Anwendung,ihm nur der Zugang zu bestimmten Bereichen gewährt ist.
    [0059] Daseine oder die mehreren digitalen Zertifikate können optional ein Ticket-Erzeugungs-Zertifikatenthalten (Schritt 340). Wie oben beschrieben kann einTicket-Erzeugungs-Zertifikatzum Beispiel ein Dienst-Schlüssel-Erzeugungs-Programm oder Informationen,welche ein Dienst-Schlüssel-Erzeugungs-Programmangeben, aufweisen. Informationen, welche ein Dienst-Schlüssel-Erzeugungs-Programmangeben, könnenzum Beispiel Informationen enthalten, welche ein Dienst-Schlüssel-Erzeugungs-Programmidentifizieren, welches auf PAD 100 gespeichert werdenkann oder übereine oder mehrere Eingabeeinrichtungen 140 verfügbar ist.
    [0060] Wenndas Ticket-Erzeugungs-Zertifikat nicht authentifiziert ist (Schritt 345),kann der Prozess stoppen und PAD 100 kann außer Funktiongesetzt werden. Wenn das Ticket-Erzeugungs-Zertifikat authentifiziert ist, wirdein Dienst-Schlüssel-Erzeugungs-Programmidentifiziert und der Prozess läuft weitermit Schritt 280 der 2.
    [0061] 3 zeigt ein Beispiel vonVerfahrensschritten, gemäß dieserErfindung, und zeigt die Verwendung von mehreren digitalen Zertifikaten.Erfindungsgemäß können jedochauch die Digitalen-Zertifikat-Informationen empfangen werden, aufwelche hierin in Form eines digitalen Zertifikats Bezug genommenwird.
    [0062] Daseine oder die mehreren digitalen Zertifikate können optional andere Informationen,wie beispielsweise Informationen, welche sich darauf beziehen, wieeine PAD 100 füreine oder mehrere Verwendungen arbeiten kann, aufweisen. Das eineoder die mehreren digitalen Zertifikate können zum Beispiel "Betriebsinformationen" aufweisen, welchezum Beispiel beschreiben, auf welche Weise ein oder mehrere digitaleZertifikate miteinander gekoppelt sind, Aufforderungs- und Antwortprotokollefür Anwenderund PAD-Authentifizierung,Informationen, welche das Format für den ausgegebenen Dienst-Schlüssel angeben,sichere Protokolle fürDateneingabe und Datenausgabe und andere Verwaltungsprotokolle.
    [0063] DigitaleZertifikate könnenzusätzlichin die PAD 100 eingegeben werden, um die öffentlichen Schlüssel vonzusätzlichenCAs, andere als solche, die in PAD 100 gespeichert sind,bereitzustellen. Diese digitalen Zertifikate können so in Bezug gebracht werden,dass sie irgendeine Anzahl von Vertrauensmodellen, wie es von einemFachmann verstanden wird, ausbilden. Die digitalen Zertifikate können zum Beispiel "Kreuz-Zertifikate" sein, bei welchenein Zertifikat von einer CA erzeugt wird, welche den öffentlichenSchlüsseleiner anderen CA zertifiziert. In bestimmten Ausführungsbeispielenkönnendie digitalen Zertifikate eine Zertifikat-Kette oder "Vertrauenskette" ausbilden, so dassjedes der Zertifikate in der Kette den öffentlichen Schlüssel derCA, welche dieser in der Kette vorausgeht, zertifiziert. AndereVertrauensmodelle, wie beispielsweise hirarchische Modelle oderWurzelmodelle, könnenebenfalls verwendet werden.
    [0064] DieseErfindung kann zum Beispiel in einem Sicherheitssystem angewendetwerden, wie beispielsweise eines, welches in einem Hotel verwendet wird.In diesem Hotelbeispiel könnenviele PADs 100 zur Verwendung als Zugangsschlüssel hergestellt werden,welche von beiden, den Hotelgästenund den Hotelangestellten verwendet werden. Jede einzelne der vielenPADs 100 kann gleich untergebracht und konfiguriert sein,wobei sie im Allgemeinen die gleiche Struktur und die gleichen Komponentenaufweist. Diese vielen PADs 100 können zum Beispiel den gleichenprivaten PAD Schlüssel(PAD Schlüssel 122)aufweisen. Jede der PADs 100 kann jedoch auf Grundlageder empfangenen digitalen Zertifikate programmiert werden, um unterschiedlicheOperationen fürunterschiedliche Sitzungen auszuführen. Bezüglich des Hotelsbeispiels kannein PAD 100 zum Beispiel unter Verwendung eines Anwender-Identifikations-Zertifikatsprogrammiert werden, so dass der Dienst-Schlüssel, welcher die Tür jedesbestimmten Raumes öffnenkann, nur von dem entsprechenden Anwender erzeugt werden kann. Eskann möglich sein,dass jeder Gast oder Angestellter, sich selbst über die PAD 100 authentifizierenmuss, um dafür denDienst-Schlüsselzu erzeugen. Zusätzlichkann ein PAD 100 unter Verwendung der Anwender-Qualifizierungs-Zertifikateprogrammiert werden, um anzugeben, welche Dienste einem Anwenderzum Verwenden erlaubt werden sollten. Bezüglich des Hotelbeispiels können zumBeispiel unter Verwendung der Anwender-Qualifizierungs-Zertifikate nur Gäste der gehobenenKlasse die Dienst-Schlüssel zumberechtigten Zugang zu einem speziellen Badebereich oder zu anderenDiensten, fürwelche der Gast einen Aufpreis entrichten muss, erzeugen. Zertifikatekönnen ebenfallsderart verwendet werden, dass es Angestellten gestattet ist, Dienst-Schlüssel nurfür diese Bereichezu erzeugen, in welchen die Angestellten gebraucht werden.
    [0065] DieseErfindung kann Anwendung in anderen exemplarischen Systemen finden,wie beispielsweise in Computer-Sicherheitssystemen,welche eine Vielzahl von Anwenderterminals aufweist, beschränkt zugänglicheDatenbanken oder Sicherheitssysteme, und einen Computer oder einNetzwerk oder ein Datenbanksystem, welches viele Vorrichtungsknotenaufweist.
    [0066] Ineinem anderen Beispiel könnendie erfindungsgemäßen Prinzipienwerden, um den Zugang zu einem überwachtenBereich, wie beispielsweise ein Büro oder Labor, zu kontrollieren.
    [0067] AndereAusführungsbeispieledieser Erfindung in Bezug auf Spezifikationen und praktischem Nutzender Erfindung, welche hierin offenbart sind, sind dem Fachmann ersichtlich.Deshalb sollen alle diese Spezifikationen und Beispiele, welchenur als exemplarisch betrachtet sind, vom Schutzbereich und Gedankender Erfindung, wie in den anhängendenAnsprüchendefiniert, umfasst sein.
    权利要求:
    Claims (73)
    [1] Personen-Authentifizierungs-Vorrichtung (PAD),welche aufweist: • mindestensein Speichermedium zum Speichern von mindestens einem öffentlichenCA Schlüssel, wobeijeder öffentlicheSchlüsselmit einer Zertifikations-Autorität(CA) assoziiert ist; • einoder mehrere Eingabeeinrichtungen zum Empfangen von einem oder mehrerendigitalen Zertifikaten; • eineBearbeitungskomponente zum Authentifizieren des einen oder der mehrerenempfangenen digitalen Zertifikate unter Verwendung des mindestenseinen gespeicherten öffentlichenCA Schlüsselsund zum Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem einenoder den mehreren authentifizierten digitalen Zertifikaten; und • eine Ausgabeeinrichtungzum Ausgeben von mindestens einem Dienst-Schlüssel.
    [2] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher das eine oder die mehreren digitalen Zertifikatemindestens ein Ticket-Erzeugungs-Zertifikataufweist, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programmanzeigt.
    [3] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch2, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumAuthentifizieren des mindestens einen empfangenen Ticket-Erzeugungs-Zertifikat unterVerwendung mindestens eines gespeicherten öffentlichen CA Schlüssels, aufweist;und zum Erzeugen des mindestens einen Dienst-Schlüssel basierendauf dem mindestens einen authentifizierten Dienst-Schlüssel-Erzeugungs-Programm,falls ein oder mehrere Ticket-Erzeugungs-Zertifikate authentifiziertsind, wobei der mindestens eine Dienst-Schlüssel von einem Anwender verwendetwerden kann, um Zugang zu mindestens einen Dienst zu erlangen.
    [4] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch2, bei welcher das eine oder die mehreren digitalen Zertifikateaufweisen: • einAnwender-Identifikations-Zertifikat, welches Informationen aufweist,die eindeutig mit einem Anwender assoziiert sind; und bei welcherdie Bearbeitungskomponente mindestens eine Komponente zum Authentifizierendes empfangenen Anwender-Indentifikations-Zertifikats unter Verwendungdes mindestens einen gespeicherten öffentlichen CA Schlüssel aufweistund zum Authentifizieren des Anwenders basierend auf dem Anwender-Identifikations-Zertifikat, fallsdas Anwender-Identifikations-Zertifikatauthentifiziert ist.
    [5] Personen-Authentifizierungs-Programm (PAD) gemäß Anspruch4, bei welcher das eine oder die mehreren digitalen Zertifikateaufweisen: • mindestensein Anwender-Qualifikations-Zertifikat, welches mindestens einenDienst und einen oder mehrere Anwender angibt, welche Zugang zumindestens einem Dienst haben; und bei welchem die Bearbeitungskomponentemindestens eine Komponente zum Authentifizieren des mindestens einenempfangenen Anwender-Qualifikations-Zertifikats basierend auf demmindestens einen öffentlichenCA Schlüssel,wenn der Anwender authentifiziert ist, aufweist; und zum Bestimmenmindestens eines Dienstes, so dass der authentifizierte Anwenderbasierend auf dem mindestens einen authentifizierten Anwender-Qualifikations-Zertifikat Zugangzu diesem haben kann, falls das mindestens eine Anwender-Qualifikations-Zertifikatauthentifiziert ist.
    [6] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher der mindestens eine Dienst-Schlüsselmindestens einen Cookie aufweist.
    [7] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch6, bei welcher die Bearbeitungskomponente mindestens eine Komponenteaufweist: • zumErzeugen eines Einmal-Schlüsselsund Speichern dieses in PAD; • zum Erzeugen des mindestenseinen Cookies und zum Senden des erzeugten Cookies zum Anwender basierendauf dem Einmal-Schlüssel; • zum Empfangendes vorher erzeugten mindestens einen Cookies und zum Validierendes empfangenen Cookies unter Verwendung des gespeicherten Einmal-Schlüssels; und • falls derempfangene Cookie erfolgreich validiert wurde, zum Annullieren desEinmal-Schlüssels,welcher in der Cookie-Validierung verwendet wurde, zum Erzeugeneines neuen Einmal-Schlüsselsund zum Speichern dieses in PAD, und basierend auf dem neuen Einmal-Schlüssel, zumErzeugen eines neuen Cookies und zum Senden des neuen Cookie zumAnwender.
    [8] Personen-Authentifizierung-Vorrichtung (PAD) gemäß Anspruch6, bei welcher der Inhalt in dem einen oder den mehreren CookiesBenutzungszähler aufweist,welche angeben, wie oft ein oder mehrere Anwender einen oder mehrereDienste genutzt haben.
    [9] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch5, bei welcher die eine oder die mehreren Eingabeeinrichtungen fernerein oder mehrere Zertifikate empfangen, welche Informationen zumGewährendes Zugangs des Anwenders zu mindestens einem zusätzlichenDienst basierend auf dem mindestens einen Dienst, aufweisen
    [10] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher das mindestens eine Speichermedium mindestens eineKomponente zum Speichern eines privaten PAD Schlüssels aufweist, welcher mitder PAD assoziiert ist.
    [11] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch10, bei welcher die eine oder die mehreren Eingabeeinrichtungenmindestens eine Komponente zum Empfangen einer PAD Authentifizierungs-Anfrageaufweisen, die Bearbeitungskomponente mindestens eine Komponentezum Beantworten der PAD Authentifizierungs-Anfrage unter Verwendung des gespeichertenprivaten PAD Schlüssel, aufweist,und die Ausgabeeinrichtungen mindestens eine Komponente zum Ausgebender Antworten auf die PAD Authentifizierungs-Anfrage aufweisen.
    [12] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch10, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumSignieren des mindestens einen Dienst-Schlüssels unter Verwendung desgespeicherten privaten PAD Schlüsselsaufweist.
    [13] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch10, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumEntschlüsselnder Inhalte auf dem einen oder den mehreren empfangenen digitalenZertifikaten unter Verwendung des gespeicherten privaten PAD Schlüssels, wobeidie Inhalte mit dem korrespondierenden öffentlichen PAD Schlüssel verschlüsselt werden,aufweist.
    [14] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch5, bei welcher das eine oder die mehreren digitalen Zertifikatemindestens ein Ticket-Erzeugungs-Zertifikataufweisen, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programmentsprechend dem mindestens einen Dienst-Schlüssel angibt und wobei die Bearbeitungskomponentemindestens eine Komponente zum Authentifizieren des mindestens einenTicket-Erzeugungs-Zertifikatsunter Verwendung des mindestens einen gespeicherten öffentlichenCA Schlüsselsaufweist und, falls ein oder mehrere Ticket-Erzeugungs-Zertifikateauthentifiziert sind, zum Erzeugen des mindestens einen Dienst-Schlüssels basierend aufdem mindestens einen authentifizierten Dienst-Schlüssel-Erzeugungs-Programm,wobei der mindesten eine Dienst-Schlüssel von einem Anwender verwendetwerden kann, um Zugang zu mindestens einem Dienst zu erhalten.
    [15] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch9, bei welcher die eine oder die mehreren Eingabeeinrichtungen fernereinen oder mehrere Anwender-Credentialsempfangen und die Bearbeitungskomponente mindesten eine Komponentezum Authentifizieren des Anwenders basierend auf dem authentifiziertenAnwender-Identifikations-Zertifikatund dem einen oder den mehreren empfangenen Anwender-Credentialsaufweist.
    [16] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch15, bei welcher der eine oder die mehreren Anwender-Credentialseinen oder mehrere private Schlüsseldes Anwenders aufweisen.
    [17] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch15, bei welcher der eine oder die mehreren Anwender-Credentialseine Personen-Identifikationsnummer (PIN), welche mit dem Anwenderassoziiert ist, oder Informationen, welche von der PIN ermitteltwerden, aufweisen.
    [18] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch15, bei welcher der eine oder die mehreren Anwender-Credentialsbiometrische Informationen, welche mit dem Anwender assoziiert sind,aufweisen.
    [19] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch15, welche ferner Vorrichtungen zum Abschalten der PAD aufweist,falls ein oder mehrere Versuche, den Anwender zu authentifizieren basierendauf dem authentifizierten Anwender-Identifikations-Zertifikat unddem einen oder den mehreren Anwender-Credentials fehlschlagen.
    [20] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher das eine oder die mehreren digitalen Zertifikateein Operationen-Zertifikat aufweisen, welche Informationen zum Überwachender Operationen der PAD füreine aktuelle Sitzung aufweist.
    [21] Personen-Authentifizierungs-Vorrrichtung (PAD) gemäß Anspruch20, bei welcher die Informationen zum Überwachen der Operationen derPAD für eineaktuelle Sitzung eines oder mehrere der folgenden Merkmale aufweisen: • Informationen,welche den Eingang und Ausgang der PAD verwalten; • Aufforderungs-und Antwortprotokolle zur Anwender- und PAD-Authentifizierung; • sichereProtokolle zum Empfangen und Ausgeben von Daten; und • Protokollefür PADVerwaltungszwecke.
    [22] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch20, bei welcher die Informationen zum Überwachen der Operationen derPAD für eineaktuelle Sitzung Informationen aufweisen, welche das Verknüpfen voneinem oder mehreren empfangenen Zertifikaten verwalten und wobeidie Bearbeitungskomponente mindestens eine Komponente zum Verknüpfen voneinem oder mehreren empfangenen Zertifikaten aufweist, basierendauf einem oder mehreren Zertifikaten, welche Informationen zum Gewähren desZugangs des Anwenders zu mindestens einem zusätzlichen Dienst basierend auf demmindestens einen Dienst, aufweisen.
    [23] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher die eine oder die mehreren Eingabeeinrichtungen einoder mehrere Signatur-Verifikations-Zertifikateempfangen, welche eine Signatur-Verifikations-Kette ausbilden, wobeijedes Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kettemit dem privaten Schlüssel einerPerson signiert ist, deren öffentlicherSchlüssel mittelsdes vorangehenden Signatur-Verifikations-Zertifikats zertifiziert ist und wobeidas erste Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kettemittels des mindestens einen gespeicherten öffentlichen CA Schlüssels signiertist und wobei die Bearbeitungskomponente mindestens eine Komponentezum Authentifizieren des einen oder der mehreren empfangenen digitalenZertifikate basierend auf der letzten Signatur-Verifikations-Zertifikatin der Signatur-Verifikations-Kette aufweist.
    [24] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher die PAD manipulationssicher ist.
    [25] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch10, bei welcher die öffentlichenCA Schlüsselund der private PAD Schlüsselin die PAD nur ein einziges Mal geschrieben werden.
    [26] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch10, welche ferner einen Schutzmechanismus aufweist, welcher denprivaten PAD Schlüsselvon dem mindestens einen Speichermedium löscht, wenn es unauthorisierteVersuche zum Lesen oder Modifizieren des privaten PAD Schlüssels gibt.
    [27] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher mindestens eines des einen oder der mehreren EingabeeinrichtungenAusleseeinrichtungen sind, welche eingerichtet sind, mindestenseines des einen oder der mehreren digitalen Zertifikate und Anwender-Credentials voneinem Speichermedium oder Netzwerkschnittstelle zu empfangen.
    [28] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, welche ferner eine Uhr zum Ermitteln des aktuellen Datums undder aktuellen Zeit aufweist.
    [29] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, welche ferner einen oder mehrere Timer zum Ermitteln der Zeit,die vergangen ist, seitdem ein Timer zurückgesetzt wurde, aufweist.
    [30] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, welche ferner einen oder mehrere Zähler zum Ermitteln, wie oftein Ereignis eingetreten ist, seitdem ein Zähler zurückgesetzt wurde, aufweist.
    [31] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher ferner das eine oder die mehreren digitalen ZertifikateInformationen aufweisen, welche die Uhr, die Timer und die Zähler derPAD zurücksetztenkönnen.
    [32] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, bei welcher das eine oder die mehreren digitalen Zertifikateeinen Inhalts-Entschlüsselungs-Schlüssel undeinen Rechte-Inhalt aufweisen, welchen die PAD überprüfen wird, bevor der Inhalts-Entschlüsselungs-Schlüssel alsein Dienst-Schlüsselausgegeben wird.
    [33] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch32, bei welcher der Rechte-Inhalt Beschränkungen bei mindestens einemder folgenden Merkmale aufweist: • Zeitablauf des Inhalts • Benutzungsperiodedes Inhalts • Benutzungshäufigkeitdes Inhalts
    [34] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch28, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumErmitteln, ob das aktuelle Datum und die Zeit innerhalb der Gültigkeitsperiodedes einen oder der mehreren empfangenen digitalen Zertifikaten ist,aufweist
    [35] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch28, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumErzeugen von Zeitstempeln aufweist, welche in Dienst-Schlüsseln, diePAD 100 erzeugt, enthalten sind.
    [36] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch1, welche ferner eine einmal-geschriebene Seriennummer aufweist.
    [37] Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch36, bei welcher die Bearbeitungskomponente mindestens eine Komponente zumErzeugen des mindestens einen Dienst-Schlüssels basierend auf der Seriennummeraufweist.
    [38] Authentifizierungs-Verfahren, welches aufweist: • Speichernmindestens eines öffentlichenCA Schlüsselsauf eine Personen- Authentifizierungs-Vorrichtung(PAD), wobei jeder öffentliche Schlüssel miteiner Zertifikations-Autorität(CA) assoziiert ist; • Empfangeneines oder mehrerer digitaler Zertifikate; • Authentifizieren des einenoder der mehreren empfangenen digitalen Zertifikate unter Verwendungdes mindestens eines gespeicherten öffentlichen CA Schlüssels; • Erzeugenmindestens eines Dienst-Schlüsselsbasierend auf dem einen oder der mehreren authentifzierten digitalenZertifikaten; und • Ausgebenmindestens eines Dienst-Schlüssels.
    [39] Authentifizierungs-Verfahren gemäß Anspruch 38, welches ferneraufweist: • denEmpfang mindestens eines Ticket-Erzeugungs-Zertifikats,welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm angibt.
    [40] Authentifizierungs-Verfahren gemäß Anspruch 39, welches ferneraufweist: • Authentifizierendes mindestens einen empfangenen Ticket-Erzeugungs-Zertifikats unterVerwendung des mindestens einen öffentlichenCA Schlüssels; und • Erzeugenmindestens eines Dienst-Schlüsselsbasierend auf dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programm,falls das mindestens eine Ticket-Erzeugungs-Zertifikat authentifiziertist, wobei der mindestens eine Dienst-Schlüssel von einem Anwender zum Erhalteneines Zugangs zu mindestens einem Dienst verwendet werden kann.
    [41] Authentifizierungs-Vorrichtung gemäß Anspruch38, welches ferner aufweist: • Empfangen eines Anwender-Identifikations-Zertifikats, welchesInformationen aufweist, die eindeutig mit einem Anwender assoziiertsind; • Authentifizierendes empfangenen Anwender-Identifikations-Zertifikatsbasierend auf dem mindestens einen öffentlichen CA Schlüssels; und • Authentifizierendes Anwenders basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat, fallsdas Anwender-Identifikations-Zertifikat authentifiziert ist.
    [42] Authentifizierungs-Verfahren gemäß Anspruch 41, welches weiteraufweist: • Empfangenmindestens eines Anwender-Qualifikations-Zertifikats,welches mindestens einen Dienst und einen oder mehrere Anwenderanzeigt, die Zugang zu dem mindestens einen Dienst haben können; • Authentifizierendes mindestens einen empfangenen Anwender-Qualifikations-Zertifikats basierend aufdem mindestens einen öffentlichenCA Schlüssels;und • Ermittelnmindestens eines Dienstes, zu welchem der authentifizierte AnwenderZugang haben kann basierend auf dem mindestens einen authentifiziertenAnwender-Qualifikations- Zertifikat,falls das mindestens eine Anwender-Qualifikations-Zertifikat authentifiziertist.
    [43] Authentifizierungs-Verfahren gemäß Anspruch 38, bei welchemder mindestens eine Dienst-Schlüsselmindestens einen Cookie aufweist.
    [44] Authentifizierungs-Verfahren gemäß Anspruch 38, welches ferneraufweist: • Erzeugeneines Einmal-Schlüsselsund Speichern dieses auf der PAD; • Erzeugen des mindestens einenCookies und Senden des erzeugten Cookies an den Anwender basierendauf dem Einmal-Schlüssel; • Empfangendes vorher erzeugten mindestens einen Cookies und Validieren desempfangenen Cookies unter Verwendung des gespeicherten Einmal-Schlüssels; und • falls derCookie erfolgreich validiert wurde, Annullieren des Einmal-Schlüssels, welcherbei der Validierung des Cookies verwendet wurde, Erzeugen eines neuenEinmal-Schlüsselsund Speichern dieses auf der PAD und basierend auf dem neuen Einmal-Schlüssel, Erzeugeneines neuen Cookies und Senden des neuen Cookies an den Anwender.
    [45] Authentifizierungs-Verfahren gemäß Anspruch 44, bei welchemder Inhalt in einem oder mehreren Cookies Benutzungszähler aufweist,welche angeben, wie oft ein oder mehrere Anwender einen oder mehrereDienste genutzt haben.
    [46] Authentifizierungs-Verfahren gemäß Anspruch 38, welches einenprivaten PAD Schlüssel, welchermit der PAD assoziiert ist, auf die Personen-Authentifizierungs-Vorrichtung (PAD)speichert.
    [47] Authentifizierungs-Verfahren gemäß Anspruch 46, welches aufweist: • Empfangeneiner PAD Authentifizierungs-Anfrage; • Beantworten der PAD Authentifizierungs-Anfrage unterVerwendung des gespeicherten privaten PAD Schlüssels; und • Ausgebender Antwort zu der PAD Authentifizierungs-Anfrage;
    [48] Authentifizierungs-Verfahren gemäß Anspruch 46, welches dasSignieren des mindestens einen Dienst-Schlüsselsunter Verwendung des gespeicherten privaten PAD Schlüssels aufweist.
    [49] Authentifizierungs-Verfahren gemäß Anspruch 46, welches dasEntschlüsselnder Inhalte des einen oder der mehreren empfangenen digitalen Zertifikateunter Verwendung des gespeicherten privaten PAD Schlüssels aufweist,wobei die Inhalte mit dem korrespondierenden öffentlichen PAD Schlüssel verschlüsselt wurden.
    [50] Authentifizierungs-Verfahren gemäß Anspruch 42, welches aufweist: • Authentifizierendes mindestens einen Ticket-Erzeugungs-Zertifikatsunter Verwendung des mindestens einen öffentlichen CA Schlüssels, fallsder authentifizierte Anwender bestimmt ist, um Zugang zu den Dienstenzu haben. • Erzeugenmindestens eines Dienst-Schlüsselsbasierend auf dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programms,falls das mindestens eine Ticket-Erzeugungs-Zertifikat authentifiziertist, wobei der mindestens eine Dienst-Schlüssel von einem Anwender verwendetwerden kann, um Zugang zu mindestens einem Dienst zu erhalten.
    [51] Authentifizierungs-Verfahren gemäß Anspruch 42, welches dasGewährendes Zugangs des Anwenders zu mindestens einem zusätzlichen Dienstbasierend auf dem mindestens einen Dienst und den empfangenen Digitalen-Zertifikat-Informationenaufweist.
    [52] Authentifizierungs-Verfahren gemäß Anspruch 41, welches aufweist: • Empfangeneiner oder mehrerer empfangener Anwender-Credentials; und • Authentifizierungdes Anwenders basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat und demeinen oder den mehreren Anwender-Credentials.
    [53] Authentifizierungs-Verfahren gemäß Anspruch 52, bei welchemdie Anwender-Credentials einen oder mehrere private Anwender-Schlüssel aufweisen.
    [54] Authentifizierungs-Verfahren gemäß Anspruch 52, bei welchemdie Anwender-Credentials eine Personen-Identifikationsnummer (PIN) aufweisen,welche mit dem Anwender assoziiert ist, oder Informationen, welchevon der PIN ermittelt werden.
    [55] Authentifizierungs-Verfahren gemäß Anspruch 52, bei welchemdie Anwender-Credentials biometrische Informationen, welche mitdem Anwender assoziiert sind, aufweisen.
    [56] Authentifizierungs-Verfahren gemäß Anspruch 52, welches dasAnnullieren der PAD aufweist, falls ein oder mehrere Versuche, denAnwender basierend auf dem authentifizierten Anwender-Identifikations-Zertifikatzu authentifizieren und dem einen oder den mehreren Anwender-Credentialszu authentifizieren, fehlschlagen.
    [57] Authentifizierungs-Verfahren gemäß Anspruch 38, welches dasEmpfangen eines Operationen-Zertifikats, welches Informationen zum Überwachender Operationen der PAD füreine aktuelle Sitzung aufweist, aufweist.
    [58] Authentifizierungs-Verfahren gemäß Anspruch 57, bei welchemdie Informationen zum Überwachender Operationen der PAD füreine aktuelle Sitzung eines oder mehrere der folgenden Merkmale aufweisen: • Informationen,welche die Eingabe und Ausgabe der PAD verwalten; • Aufforderungs-und Antwortprotokolle fürAnwender und PAD-Authentifizierung; • sichere Protokolle zum Empfangenund Ausgeben von Daten; und • Protokolle für PAD-Verwaltungszwecken.
    [59] Authentifizierungs-Verfahren gemäß Anspruch 57, bei welchemdie Informationen zum Überwachender Operationen der PAD füreine aktuelle Sitzung Informationen aufweisen, welche das Verknüpfen voneinem oder mehreren empfangenen Zertifikaten verwalten, und wobeidas Verfahren ferner aufweist: • Verknüpfen eines oder mehrerer empfangenerZertifikate basierend auf einem oder mehreren Zertifikaten, welcheInformationen zum Gewährendes Zugangs des Anwenders zu mindestens einem zusätzlichenDienst basierend auf dem mindestens einen Dienst aufweisen.
    [60] Authentifizierungs-Verfahren gemäß Anspruch 38, welches aufweist: • Empfangeneines oder mehrerer Signatur-Verifikations-Zertifikatezum Ausbilden einer Signatur-Verifikations-Kette, wobei jedes Signatur-Verifikations-Zertifikatin der Signatur-Verifikations-Kette mit dem privaten Schlüssel einerPerson signiert wird, deren öffentlicherSchlüsselvon dem vorhergehenden Signatur-Verifikations-Zertifikat zertifiziertwird und wobei das erste Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kettevon mindestens einem gespeicherten öffentlichen CA Schlüssel signiert wird;und • wobeidie Bearbeitungskomponente mindestens eine Komponente zum Authentifizierendes einen oder mehrerer empfangenen digitalen Zertifikaten basierendauf dem letzten Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Ketteaufweist.
    [61] Authentifizierungs-Verfahren gemäß Anspruch 46, welches aufweist: • Löschen desprivaten PAD-Schlüssels,wenn ein oder mehrere unauthorisierte Versuche zum Lesen oder Modifizierendes privaten PAD-Schlüsselserfasst werden.
    [62] Authentifizierungs-Verfahren gemäß Anspruch 38, bei welchemmindestens eines des einen oder der mehreren digitalen Zertifikatenvon einem Speichermedium oder von einer Netzwerkschnittstelle empfangenwird.
    [63] Authentifizierungs-Verfahren gemäß Anspruch 38, welches fernerdas Ermitteln eines aktuellen Datums und einer aktuellen Zeit aufweist.
    [64] Authentifizierungs-Verfahren gemäß Anspruch 63, welches dasErmitteln, ob das aktuelle Datum und die aktuelle Zeit innerhalbder Gültigkeitsperiodedes einen oder der mehreren empfangenen digitalen Zertifikate sind,aufweist.
    [65] Authentifizierungs-Verfahren gemäß Anspruch 38, bei welchemdie Zeit ermittelt wird, die vergangen ist, seitdem ein vorherigesEreignis eingetreten ist.
    [66] Authentifizierungs-Verfahren gemäß Anspruch 38, bei welchembestimmt wird, wie oft ein Ereignis seit einem vorher eingetretenenEreignis eingetreten ist, bestimmt wird.
    [67] Authentifizierungs-Verfahren gemäß Anspruch 38, welches dasEmpfangen eines oder mehrerer digitaler Zertifikate aufweist, welcheInformationen zum Zurücksetzendes aktuellen Datums und der aktuellen Zeit, Informationen über dievergangene Zeit und Informationen, wie oft ein Ereignis eingetretenist, enthalten.
    [68] Authentifizierungs-Verfahren gemäß Anspruch 67, welches dasZurücksetzender Uhr, der Timer oder der Zählerder PAD, basierend auf den Informationen in dem einen oder den mehrerendigitalen Zertifikaten, aufweist.
    [69] Authentifizierungs-Verfahren gemäß Anspruch 38, welches ferneraufweist: • Empfangeneines oder mehrerer digitaler Zertifikate, welche einen Inhalts-Entschlüsselungs-Schlüssel undeinen Rechte-Inhaltbereitstellen; und • Überprüfen desRechte-Inhalts vor Ausgeben des Inhalts-Entschlüsselungs-Schlüssels alseinen Dienst-Schlüssel.
    [70] Authentifizierungs-Verfahren gemäß Anspruch 69, bei welchemder Rechte-Inhalt Beschränkungenbei mindestens einem der folgenden Merkmale aufweist: • Ablaufzeitdes Inhalts; • Benutzungsperiodedes Inhalts; und • Benutzungshäufigkeitdes Inhalts.
    [71] Authentifizierungs-Verfahren gemäß Anspruch 63, welches fernerdas Erzeugen von Zeitstempeln, basierend auf dem aktuellen Datumund Zeit, aufweist, wobei die Zeitstempel in die Dienst-Schlüssel, welchedie PAD erzeugt, enthalten sind.
    [72] Authentifizierungs-Verfahren gemäß Anspruch 38, welches fernerdas Erzeugen des mindestens einen Dienst- Schlüssels,basierend auf einer einmal-geschriebenen Seriennummer, aufweist.
    [73] Authentifizierungs-Verfahren gemäß Anspruch 72, bei welcherferner die Seriennummer in dem mindestens einen Dienst-Schlüssel enthalten ist.
    类似技术:
    公开号 | 公开日 | 专利标题
    US10685526B2|2020-06-16|Architecture for access management
    US9860245B2|2018-01-02|System and methods for online authentication
    US9979709B2|2018-05-22|Methods for secure restoration of personal identity credentials into electronic devices
    US8583928B2|2013-11-12|Portable security transaction protocol
    US9230375B2|2016-01-05|Physical access control
    US9160732B2|2015-10-13|System and methods for online authentication
    Brainard et al.2006|Fourth-factor authentication: somebody you know
    US10476879B2|2019-11-12|Blockchain authentication via hard/soft token verification
    TWI497336B|2015-08-21|用於資料安全之裝置及電腦程式
    Windley2005|Digital Identity: Unmasking identity management architecture |
    US9397839B2|2016-07-19|Non-hierarchical infrastructure for managing twin-security keys of physical persons or of elements |
    Tardo et al.1992|SPX: Global authentication using public key certificates
    EP1253741B1|2005-08-31|Verfahren und Vorrichtung zur Erzeugung und Verwaltung eines privaten Schlüssels in einem kryptografischen System mit öffentlichem Schlüssel
    US8984601B2|2015-03-17|Enterprise security system
    US7487357B2|2009-02-03|Virtual smart card system and method
    US6851054B2|2005-02-01|Account-Based digital signature | system for authenticating entity access to controlled resource
    US7266695B2|2007-09-04|Data updating method and data updating system
    CN1262905C|2006-07-05|使计算机网络及其中用于控制对网络组件进行访问的个人识别设备安全的方法和系统
    ES2359205T3|2011-05-19|Procedimiento y aparato para el almacenamiento y uso seguros de claves criptográficas.
    US6230272B1|2001-05-08|System and method for protecting a multipurpose data string used for both decrypting data and for authenticating a user
    US7689832B2|2010-03-30|Biometric-based system and method for enabling authentication of electronic messages sent over a network
    Burr et al.2004|Electronic authentication guideline
    Todorov2007|Mechanics of user identification and authentication: Fundamentals of identity management
    US9544297B2|2017-01-10|Method for secured data processing
    US6871278B1|2005-03-22|Secure transactions with passive storage media
    同族专利:
    公开号 | 公开日
    JP2005050308A|2005-02-24|
    US20040250076A1|2004-12-09|
    KR20040101085A|2004-12-02|
    CN100377521C|2008-03-26|
    CN1574740A|2005-02-02|
    DE102004025084B4|2008-02-28|
    JP4668551B2|2011-04-13|
    US7694330B2|2010-04-06|
    引用文献:
    公开号 | 申请日 | 公开日 | 申请人 | 专利标题
    法律状态:
    2004-12-09| OP8| Request for examination as to paragraph 44 patent law|
    2005-03-17| 8180| Miscellaneous part 1|Free format text: IN ANSPRUCH 15 IST DER RüCKBEZUG ZU äNDERN AUF ANSPRUCH 4 |
    2008-08-21| 8364| No opposition during term of opposition|
    优先权:
    申请号 | 申请日 | 专利标题
    [返回顶部]