BR112017015751B1

BR112017015751B1 - SYSTEM, METHOD AND LABEL FOR PRODUCT DATA PROCESSING

Info

Publication number: BR112017015751B1
Application number: BR112017015751-9A
Authority: BR
Inventors: Frank-Michael Kamm; Volker Stöhr
Original assignee: Giesecke+Devrient Mobile Security Gmbh
Priority date: 2015-01-23
Filing date: 2016-01-22
Publication date: 2024-03-19

Abstract

SISTEMA PARA PROCESSAMENTO, EM PARTICULAR, ARMAZENAMENTO E LEITURA DE DADOS DE PRODUTO, MÉTODO E ETIQUETA. A invenção se refere a um sistema para o armazenamento criptografado de dados de produto de um produto que tem uma etiqueta anexada de modo central em um servidor de dados de produto, e para leitura dos dados de produto armazenados de modo central por meio de estações de produção que devem processar o produto. Os dados de produto são criptografados por meio de uma chave de documento que, por sua vez, é criptografada por meio de uma chave pública da etiqueta. A etiqueta contém informações para acessar os dados de produto armazenados de modo central. Quando uma estação de produção acessa dados de produto no servidor de dados de produto, a etiqueta executa a mudança de criptografia da chave de documento a partir do sistema de chave da etiqueta para o sistema de chave da estação de produção de acesso.SYSTEM FOR PROCESSING, IN PARTICULAR, STORAGE AND READING OF PRODUCT, METHOD AND LABEL DATA. The invention relates to a system for encrypted storage of product data of a product having a label attached centrally on a product data server, and for reading the centrally stored product data via data processing stations. production that must process the product. Product data is encrypted using a document key, which is in turn encrypted using a label public key. The label contains information for accessing centrally stored product data. When a production station accesses product data on the product data server, the label performs the document key encryption change from the key system of the label to the key system of the accessing production station.

Description

FIELD OF INVENTION

[0001] A invenção refere-se a um sistema e método para o processamento distribuído de dados armazenados criptografados de modo central.[0001] The invention relates to a system and method for the distributed processing of centrally encrypted stored data.

PREVIOUS TECHNIQUE

[0002] Em logística de produção, produtos são equipados com etiquetas de produto, chamadas de etiquetas de maneira simples, etiquetas sem contato, em particular, por exemplo, etiquetas RFID, nas quais dados de produto sobre o produto são armazenados de modo eletrônico. Por meio de um leitor (sem contato) (por exemplo, leitor RFID), os dados de produto podem ser lidos a partir da etiqueta e, desse modo, as propriedades do presente produto podem ser determinadas, assim como entradas escritas para a etiqueta podem ser realizadas. Em um caso muito simples, (apenas) um ID de produto, desse modo, identidade, pode ser armazenado na etiqueta como dados de produto.[0002] In production logistics, products are equipped with product tags, so-called simple form tags, contactless tags, in particular, for example, RFID tags, in which product data about the product is stored electronically. By means of a (contactless) reader (e.g. RFID reader), product data can be read from the label and in this way the properties of the present product can be determined, just as written entries for the label can be carried out. In a very simple case, (only) one product ID, thus identity, can be stored on the label as product data.

[0003] Especialmente produtos mais complexos são tipicamente processados em uma cadeia de produção em várias estações de produção consecutivas. Nesse caso, dados de produção das etapas de produção precedentes, através dos quais etapas de produção a serem realizadas no produto são influenciadas, podem ser armazenados como dados de produto na etiqueta. Uma estação de produção que recebe o produto lê a etiqueta e como resultado disso constata quais etapas de produção deverão (doravante ainda) ser realizadas no produto. Após a estação de produção ter realizado as etapas de produção que correspondem às especificações na etiqueta, a estação de produção possivelmente realiza entradas escritas nos dados de produto, por exemplo, para comunicar dados relevantes a uma estação subsequente, assim como para as próximas etapas de produção a serem realizadas.[0003] Especially more complex products are typically processed in a production chain over several consecutive production stations. In this case, production data from the preceding production steps, through which production steps to be carried out on the product are influenced, can be stored as product data on the label. A production station that receives the product reads the label and as a result determines which production steps must (hereinafter still) be carried out on the product. After the production station has performed the production steps that correspond to the specifications on the label, the production station possibly makes written entries in the product data, for example, to communicate relevant data to a subsequent station as well as for the next production steps. production to be carried out.

[0004] Dados complexos de produto, em particular, dados de produção, podem exceder a capacidade de armazenamento de uma simples etiqueta sem contato. Uma solução para esse problema permite que apenas informações de acesso (por exemplo, uma URL = Localizador Universal de Recursos) para os dados de produto sejam armazenadas na etiqueta de produto anexada ao produto, e que os próprios dados de produto sejam armazenados em um servidor remoto de dados de produto, "na nuvem", acessíveis através de um trabalho de rede de comunicação. Por meio das informações de acesso, os dados de produto podem ser recuperados a partir do servidor de dados de produto e dados de produto modificados ou novos ser armazenados no servidor de dados de produto.[0004] Complex product data, in particular production data, may exceed the storage capacity of a simple contactless tag. A solution to this problem allows only access information (for example, a URL = Universal Resource Locator) for the product data to be stored on the product tag attached to the product, and for the product data itself to be stored on a server remote product data, "in the cloud", accessible through a communication network. By means of access information, product data can be retrieved from the product data server and modified or new product data can be stored on the product data server.

[0005] Se dados de produto são confidenciais, secretos ou são dignos de proteção por outras razões, os mesmos são frequentemente depositados no servidor de dados de produto de forma criptografada. Em uma cadeia de produção com diversas estações de produção, o armazenamento criptografado dos dados de produto faz com que o problema seja resolvido ao permitir a toda estação de produção acesso aos dados de produção em texto simples (desse modo em forma não criptografada). Em particular, etapas de produção em uma estação de produção frequentemente construídas sobre etapas de produção em estações de produção que precedem. Para esse propósito, cada estação de produção tem que realizar operações de escrita nos dados de produto e fazer com que os dados de produto modificados estejam disponíveis para as estações de produção subsequentes. Quando diversas estações de produção estão acessando os mesmos dados de produto, é ainda mais importante fornecer medidas para verificar a autenticidade dos dados de produto e a confiabilidade de acesso às estações de produção.[0005] If product data is confidential, secret or is worthy of protection for other reasons, it is often deposited on the product data server in encrypted form. In a production chain with several production stations, encrypted storage of product data solves the problem by allowing every production station access to the production data in plain text (thus in unencrypted form). In particular, production steps in one production station often build upon production steps in preceding production stations. For this purpose, each production station has to perform write operations on the product data and make the modified product data available to subsequent production stations. When multiple production stations are accessing the same product data, it is even more important to provide measures to verify the authenticity of the product data and the reliability of access to the production stations.

[0006] O pedido de patente no DE 102013019487.3 descreve um método para armazenar de modo seguro dados em um servidor de nuvem. No mesmo, os dados são armazenados no servidor de nuvem em uma forma criptografada com uma chave de documento. Uma chave de documento é criptografada com uma chave pública de uma instância de segurança diferente do servidor de nuvem e é da mesma forma armazenada na memória da nuvem. A instância de segurança, que também faz com que a chave privada seja pertencente à chave pública, pode descriptografar a chave de documento, enquanto que o servidor de nuvem não pode. A instância de segurança faz com que a chave de documento descriptografada esteja disponível para um usuário autorizado descriptografar dados.[0006] Patent application DE 102013019487.3 describes a method for securely storing data on a cloud server. In the same, the data is stored on the cloud server in an encrypted form with a document key. A document key is encrypted with a public key from a security instance other than the cloud server and is likewise stored in the cloud's memory. The security instance, which also makes the private key belong to the public key, can decrypt the document key, while the cloud server cannot. The security instance makes the decrypted document key available to an authorized user to decrypt data.

[0007] A solução do documento no DE 102013019487.3 também seria aplicável ao acessar dados de produção por uma cadeia de produção na qual diversas empresas estão envolvidas. Para esse fim, cada estação de produção teria que, por um lado, contatar o servidor de nuvem, e por outro lado, chamar a instância de segurança para ter a chave de documento descriptografada, para subsequentemente ser capaz de descriptografar os dados de produto por si mesma. Nesse caso todos os participantes da cadeia de produção teriam que confiar a instância de segurança para além das fronteiras da empresa, e o operador da instância de segurança teria que permitir acesso por estações de produção de fora da empresa.[0007] The solution of document in DE 102013019487.3 would also be applicable when accessing production data through a production chain in which several companies are involved. To this end, each production station would have to, on the one hand, contact the cloud server, and on the other hand, call the security instance to have the document key decrypted, to subsequently be able to decrypt the product data by yourself. In this case, all participants in the production chain would have to trust the security instance beyond the company's borders, and the security instance operator would have to allow access by production stations from outside the company.

SUMMARY OF THE INVENTION

[0008] A invenção se baseia no objetivo de fornecer um sistema e método confiáveis para o processamento distribuído, em particular, armazenamento e leitura, de dados armazenados criptografados de modo central, em que diversas estações de produção exigem acesso aos dados de produto em texto simples.[0008] The invention is based on the objective of providing a reliable system and method for the distributed processing, in particular, storage and reading, of centrally encrypted stored data, in which several production stations require access to text product data simple.

[0009] Esse objetivo é alcançado por um sistema, de acordo com a reivindicação 1, assim como um método, de acordo com a reivindicação 3, e a etiqueta, de acordo com a reivindicação 14. Modalidades vantajosas da invenção são declaradas nas reivindicações dependentes.[0009] This objective is achieved by a system, according to claim 1, as well as a method, according to claim 3, and the label, according to claim 14. Advantageous embodiments of the invention are stated in the dependent claims .

[0010] O sistema, de acordo com a reivindicação 1, é concebido para armazenamento e leitura de dados de produto. O mesmo compreende: - um servidor de dados de produto no qual um arquivo de dados de produto é armazenado ou armazenável de modo central, em que estão compreendidos: - os dados de produto em uma forma criptografada com uma chave de documento, e - as chaves de documento em uma forma criptografada com uma chave pública de um par de chaves assimétricas; - um produto; - uma etiqueta anexada ao produto de modo descentralizado em que informações de acesso são armazenadas ou armazenáveis para o arquivo de dados de produto no servidor de dados de produto; - pelo menos uma estação de produção descentralizada, ou diversas estações de produção, que é ou são concebidas para processar o produto de acordo com os dados de produto.[0010] The system according to claim 1 is designed for storing and reading product data. It comprises: - a product data server on which a product data file is centrally stored or storable, comprising: - the product data in an encrypted form with a document key, and - the document keys in an encrypted form with a public key of an asymmetric key pair; - a product; - a label attached to the product in a decentralized manner in which access information is stored or storable for the product data file on the product data server; - at least one decentralized production station, or several production stations, which is or are designed to process the product in accordance with the product data.

[0011] O sistema é distinguido pelo fato de que: - um par de chaves assimétricas é armazenado na etiqueta, que compreende a chave de etiqueta privada e a chave de etiqueta pública, em que a chave de etiqueta privada é inacessível para a estação de produção; - um par de chaves assimétricas é armazenado na estação de produção que compreende a chave de estação privada e a chave de estação pública; - um dispositivo de criptografia é concebido na etiqueta; e - os dados de produto no arquivo de dados de produto no servidor de dados de produto são criptografados com a chave de etiqueta pública.[0011] The system is distinguished by the fact that: - an asymmetric key pair is stored in the tag, which comprises the private tag key and the public tag key, wherein the private tag key is inaccessible to the station production; - an asymmetric key pair is stored on the production station comprising the private station key and the public station key; - an encryption device is designed on the label; and - the product data in the product data file on the product data server is encrypted with the public label key.

[0012] As etiquetas são compactas e móveis e podem, portanto, ser facilmente anexadas a produtos (que compreendem produtos de intermédio). Ao mesmo tempo, quantidades maiores de dados que estão associados à etiqueta (por exemplo, histórico de produção, dados de processo das etapas de produção, informações sobre etapas de produção prescritas e ainda a serem realizadas) podem ser depositadas na nuvem no servidor de dados de produto. Em particular, para entregar cadeias entre empresas, a utilização de um serviço de nuvem é desse modo habilitado. A provisão de pares de chaves assimétricas próprios na etiqueta e em todas as estações de produção habilita uma armazenagem central dos dados de produto criptografados com a chave de documento, e da chave de documento criptografada com um sistema de chave universal, ou seja, a etiqueta. Devido ao fato de que o sistema de chave da etiqueta é empregado e não o do servidor de dados de produto, o servidor de dados de produto, como um provedor de serviço de nuvem puro, é, além disso, excluído de acesso aos dados de produto em texto simples. Ao mesmo tempo, em interação com o dispositivo de criptografia da etiqueta, a possibilidade é fornecida de realizar na etiqueta uma recriptografia a partir do sistema de chave da etiqueta para o sistema de chave da estação de produção que solicita dados de produto. Pelos princípios de recriptografar, nem o servidor de dados de produto do provedor de nuvem nem usuários autorizados não autorizados (por exemplo, estações de produção ou agressores não autorizados) podem acessar os dados de produto. Apesar da localização da memória externa, os dados de produto, desse modo, permanecem seguros. A recriptografia exige que o usuário autorizado, na forma da estação de produção, esteja realmente no contato com a etiqueta, isto é, o produto (de intermédio) com a etiqueta está, desse modo, fisicamente presente. Em contraste, processamento de dados de produto sem haver um produto e etiqueta presentes é evitado de modo eficiente.[0012] Labels are compact and mobile and can therefore be easily attached to products (which include intermediate products). At the same time, larger amounts of data that are associated with the label (e.g. production history, process data of production steps, information about prescribed and yet to be performed production steps) can be deposited in the cloud on the data server of product. In particular, to deliver chains between companies, the use of a cloud service is thus enabled. The provision of its own asymmetric key pairs on the label and at all production stations enables central storage of the product data encrypted with the document key, and the document key encrypted with a universal key system, i.e. the label . Due to the fact that the label key system is employed and not that of the product data server, the product data server, as a pure cloud service provider, is furthermore excluded from access to the product data product in plain text. At the same time, in interaction with the tag encryption device, the possibility is provided to perform a re-encryption on the tag from the tag key system to the key system of the production station requesting product data. By the principles of re-encryption, neither the cloud provider's product data server nor unauthorized authorized users (e.g., production stations or unauthorized attackers) can access the product data. Despite the location of the external memory, the product data thus remains secure. Re-encryption requires that the authorized user, in the form of the production station, is actually in contact with the tag, i.e. the (intermediate) product with the tag is thereby physically present. In contrast, processing product data without a product and label present is efficiently avoided.

[0013] Desse modo, de acordo com a reivindicação 1, um sistema confiável e um método para o processamento distribuído de dados armazenados de modo criptografado e de modo central é fornecido no qual diversas estações de produção têm possibilidade de acesso para os dados de produto em texto simples.[0013] Thus, according to claim 1, a reliable system and a method for the distributed processing of encrypted and centrally stored data is provided in which multiple production stations have access to product data. in plain text.

[0014] Em comparação com a solução do documento DE N° 102013019487.3, além disso, o desafio é ignorado que um compromisso tem que ser alcançado entre todas as estações de produção envolvidas em uma instância de segurança universalmente aprovada. Portanto, a solução de acordo com a invenção é vantajosamente aplicável precisamente para cadeias de produção que se estendem por diversas unidades organizacionais (por exemplo, diversas empresas).[0014] Compared to the solution of document DE No. 102013019487.3, furthermore, the challenge is ignored that a compromise has to be reached between all production stations involved in a universally approved security instance. Therefore, the solution according to the invention is advantageously applicable precisely to production chains extending over several organizational units (e.g. several companies).

[0015] De maneira eletiva, o dispositivo de criptografia na etiqueta é concebido para:[0015] Electively, the encryption device on the tag is designed to:

[0016] - no caso em que a estação de produção quer armazenar dados de produto, os quais foram criptografados com a chave de documento, no servidor de dados de produto, para fornecer a chave de etiqueta pública para a estação de produção de modo que a estação de produção possa criptografar a chave de documento com a chave de etiqueta pública; e/ou[0016] - in the case where the production station wants to store product data, which has been encrypted with the document key, on the product data server, to provide the public label key to the production station so that the production station can encrypt the document key with the public label key; and/or

[0017] - no caso em que, enquanto emprega as informações de acesso a partir da etiqueta, o arquivo de dados de produto é lido a partir do servidor de produto para a estação de produção, para recriptografar a chave de documento criptografada a partir da chave de etiqueta pública para a chave de estação pública (por exemplo, para primeiro descriptografar com a chave de etiqueta privada e para então novamente criptografar com a chave de estação pública) e para fornecer a presente chave de documento recriptografada para a estação de produção.[0017] - in the case where, while employing the access information from the label, the product data file is read from the product server to the production station, to re-encrypt the document key encrypted from the public label key to the public station key (e.g., to first decrypt with the private label key and then re-encrypt with the public station key) and to provide the present re-encrypted document key to the production station.

[0018] Método para armazenar dados de produto pela estação de produção no servidor de dados de produto compreende as etapas de criação de arquivo complementar de maneira mútua de acordo com a reivindicação 3 e etapas de armazenamento de acordo com a reivindicação 5. Fundamentalmente, a estação de produção criptografa os dados de produto ou com uma chave de documento de geração própria ou alternativamente adquirida, e a chave de documento com a chave pública da etiqueta, e escreve ambos os textos cifrados criados desse modo em um arquivo de dados de produto. O arquivo de dados de produto é depositado no servidor de dados de produto na nuvem. O servidor de dados de produto, por sua vez, envia informações de acesso (por exemplo, URL), que habilita acesso ao arquivo de dados de produto armazenado, para a estação de produção. A estação de produção envia as informações de acesso adicionalmente para a etiqueta, a qual a armazena com si própria (na etiqueta). Portanto, os dados de produto são armazenados na nuvem e o enlace para os dados de produto na etiqueta. O sistema de chave empregado para a criptografia é o da etiqueta.[0018] Method for storing product data by the production station on the product data server comprises mutually complementary file creation steps according to claim 3 and storage steps according to claim 5. Fundamentally, the Production station encrypts the product data either with a self-generated or alternatively acquired document key, and the document key with the public key of the label, and writes both ciphertexts created in this way into a product data file. The product data file is deposited on the cloud product data server. The product data server, in turn, sends access information (e.g. URL), which enables access to the stored product data file, to the production station. The production station additionally sends the access information to the tag, which stores it with itself (on the tag). Therefore, the product data is stored in the cloud and the link to the product data on the label. The key system used for encryption is that of the tag.

[0019] De maneira eletiva o método adicionalmente compreende as etapas: - após a leitura da chave de etiqueta pública a partir da etiqueta para a estação de produção, autenticação mútua entre a etiqueta e a estação de produção; e/ou - após envio das informações de acesso a partir do servidor de dados de produto para a estação de produção, autenticação mútua entre o servidor de dados de produto e a estação de produção.[0019] Electively, the method additionally comprises the steps: - after reading the public tag key from the tag to the production station, mutual authentication between the tag and the production station; and/or - after sending the access information from the product data server to the production station, mutual authentication between the product data server and the production station.

[0020] De maneira eletiva, uma assinatura de estação é gerada - na ocasião de enviar as informações de acesso a partir da estação de produção para a etiqueta - por meio da chave de estação privada, a assinatura de estação com as informações de acesso enviadas para a etiqueta, assim como a assinatura de estação armazenada na etiqueta.[0020] Electively, a station signature is generated - at the time of sending the access information from the production station to the tag - by means of the private station key, the station signature with the sent access information to the tag, as well as the station signature stored in the tag.

[0021] Método para leitura dados de produto pela estação de produção compreende as etapas de acordo com a reivindicação 9. Fundamentalmente, a estação de produção lê as informações de acesso a partir da etiqueta e com as informações de acesso do arquivo de dados de produto a partir do servidor de dados de produto. A estação de produção permite que a chave de documento criptografada no sistema de etiqueta seja recriptografada pela etiqueta para o sistema de chave da estação. A estação de produção pode descriptografar a chave de documento recriptografada por si mesma com sua própria chave privada. Com chave de documento desse modo obtida, a estação de produção pode descriptografar os dados de produto.[0021] Method for reading product data by the production station comprises the steps according to claim 9. Fundamentally, the production station reads the access information from the label and with the access information from the product data file from the product data server. The production station allows the document key encrypted in the label system to be re-encrypted by the label to the station key system. The production station can decrypt the re-encrypted document key itself with its own private key. With document key thus obtained, the production station can decrypt the product data.

[0022] O método de leitura compreende de maneira eletiva adicionalmente as etapas:[0022] The reading method additionally electively comprises the steps:

[0023] - após a leitura das informações de acesso a partir da etiqueta: estabelecer um canal de comunicação seguro entre a etiqueta e a estação de produção, e/ou autenticação mútua entre a etiqueta e a estação de produção; e/ou[0023] - after reading the access information from the tag: establish a secure communication channel between the tag and the production station, and/or mutual authentication between the tag and the production station; and/or

[0024] - após a leitura das informações de acesso a partir da etiqueta: pela estação de produção, autenticar as informações de acesso, em particular, pela verificação de uma assinatura adicionada às informações de acesso e gerada com a chave de estação privada (em particular, daquela estação de produção que armazenou os dados de produto no servidor de produto) por meio da chave de estação pública correspondente.[0024] - after reading the access information from the tag: by the production station, authenticate the access information, in particular, by verifying a signature added to the access information and generated with the private station key (in particular, from that production station that stored the product data on the product server) via the corresponding public station key.

[0025] De maneira eletiva, é realizada, após armazenar e/ou igualmente após leitura de dados de produto, a autenticação da estação de produção perante o servidor de dados de produto, que é efetuada após a autenticação mútua, por meio de um token de autenticação enviado a partir da etiqueta para a estação de produção, e de maneira eletiva, adicionalmente, gerada pela etiqueta.[0025] Electively, after storing and/or also after reading product data, the authentication of the production station to the product data server is carried out, which is carried out after mutual authentication, by means of a token authentication sent from the tag to the production station, and electively additionally generated by the tag.

[0026] De maneira eletiva, pelo menos algumas chaves públicas, de preferência todas as chaves públicas, são verificáveis por meio da etiqueta, em particular, por meio de um certificado armazenado na etiqueta e emitido por um corpo de certificação para a respectiva chave pública. De maneira eletiva, todos os donos (etiqueta ou estação de produção) de um par de chaves também carregam o certificado apropriado emitido pelo corpo de certificação, com o qual a respectiva chave pública é verificável. Desse modo, etiqueta e estações de produção podem verificar as chaves públicas das respectivas outras partes (outra estação de produção ou etiqueta).[0026] Electively, at least some public keys, preferably all public keys, are verifiable through the tag, in particular, through a certificate stored in the tag and issued by a certification body for the respective public key . Electively, all owners (tag or production station) of a key pair also carry the appropriate certificate issued by the certification body, with which the respective public key is verifiable. In this way, tag and production stations can verify the public keys of the respective other parties (another production station or tag).

[0027] Em uma etiqueta de acordo com a invenção, um par de chaves assimétricas é armazenado que compreende a chave de etiqueta privada e a chave de etiqueta pública. A chave de etiqueta privada é inacessível para estação de produção que acessa o servidor de dados de produto por meio da etiqueta.[0027] In a tag according to the invention, an asymmetric key pair is stored that comprises the private tag key and the public tag key. The private label key is inaccessible to the production station that accesses the product data server through the label.

[0028] Um dispositivo de criptografia é fornecido na etiqueta, o qual é concebido para fornecimento da chave de etiqueta pública para criptografar a chave de documento para a estação de produção quando uma estação de produção quer armazenar dados de produto criptografados com a chave de documento no servidor de dados de produto. A estação de produção pode agora criptografar a chave de documento com a chave de etiqueta pública e depositá-las juntas com os dados de produto criptografados em um arquivo de dados de produto no servidor de dados de produto.[0028] An encryption device is provided on the label, which is designed for providing the public label key to encrypt the document key to the production station when a production station wants to store product data encrypted with the document key on the product data server. The production station can now encrypt the document key with the public label key and deposit them together with the encrypted product data in a product data file on the product data server.

[0029] O dispositivo de criptografia é adicionalmente concebido para quando uma estação de produção, enquanto emprega as informações de acesso a partir da etiqueta, quer ler um arquivo de dados de produto a partir do servidor de produto, para recriptografar a chave de documento criptografada a partir da chave de etiqueta pública para a chave de estação pública para a estação de produção e para fornecer a presente chave de documento recriptografada para a estação de produção. A estação de produção pode descriptografar a chave de documento recriptografada com sua própria chave privada.[0029] The encryption device is further designed for when a production station, while employing access information from the tag, wants to read a product data file from the product server, to re-encrypt the encrypted document key from the public label key to the public station key to the production station and to provide the present re-encrypted document key to the production station. The production station can decrypt the re-encrypted document key with its own private key.

BRIEF DESCRIPTION OF THE DRAWINGS

[0030] Doravante, a invenção será explicada mais de perto com base em modalidades exemplificativas e com referência aos desenhos, nos quais são mostrados:[0030] Hereinafter, the invention will be explained more closely based on exemplary embodiments and with reference to the drawings, in which are shown:

[0031] Figura 1 um sistema para a ilustração da invenção;[0031] Figure 1 is a system for illustrating the invention;

[0032] Figura 2 um diagrama de protocolo sobre o armazenamento de dados de produto a partir de uma estação de produção no servidor de dados de produto, de acordo com uma forma básica da modalidade da invenção;[0032] Figure 2 is a protocol diagram for storing product data from a production station on the product data server, in accordance with a basic form of the embodiment of the invention;

[0033] Figura 3 um diagrama de protocolo sobre a leitura de dados de produto a partir de um servidor de dados de produto para uma estação de produção, de acordo com uma forma básica da modalidade da invenção;[0033] Figure 3 is a protocol diagram for reading product data from a product data server to a production station, in accordance with a basic form of the embodiment of the invention;

[0034] Figura 4 um diagrama detalhado de protocolo sobre o armazenamento de dados de produto a partir de uma estação de produção no servidor de dados de produto, de acordo com uma modalidade mais complexa da invenção;[0034] Figure 4 is a detailed protocol diagram for storing product data from a production station on the product data server, according to a more complex embodiment of the invention;

[0035] Figura 5 um diagrama detalhado de protocolo sobre a leitura de dados de produto a partir do servidor de dados de produto para uma estação de produção, de acordo com uma modalidade mais complexa da invenção.[0035] Figure 5 is a detailed protocol diagram for reading product data from the product data server to a production station, according to a more complex embodiment of the invention.

DETAILED DESCRIPTION OF EXAMPLES OF EMBODIMENTS

[0036] A Figura 1 mostra, para a ilustração da invenção, um sistema para a leitura e armazenamento de dados de produto PD.[0036] Figure 1 shows, to illustrate the invention, a system for reading and storing PD product data.

[0037] O sistema compreende um servidor de dados de produto ou servidor de nuvem CS no qual dados de produto são armazenados em um arquivo de dados de produto PDD na nuvem.[0037] The system comprises a product data server or CS cloud server in which product data is stored in a PDD product data file in the cloud.

[0038] O sistema adicionalmente compreende diversas, seguem três como forma de exemplo, estações de produção PS1, PS2, PS3 em que um produto P será processado. Para processamento, o produto P é manuseado de estação para estação, no exemplo da Figura 1 na ordem PS1, PS2, PS3,.... Cada estação de produção PSi executa etapas de processamento no produto P e, ao fazer isso, baseia-se em etapas de trabalho que foram realizadas por estações de produção que precedem PSj, j<i. Cada uma dentre as estações de produção PS1, PS2, PS3, compreendem um sistema de computador. Para os propósitos da invenção, a estação de produção PSi é igualada com o sistema de computador que está compreendida na mesma. Funcionalidades das estações de produção PSi fornecidas para o processamento do produto P não são importantes para a invenção. Que tipo de produto P é não é relevante para a invenção. As estações de produção individuais PSi lêem dados de produto Doc a partir do servidor de dados de produto CS e como resultado disso avalia quais etapas de produção devem ser realizadas. Toda estação de produção PSi registra as etapas de produção realizadas pela mesma através de mudanças nos dados de produto Doc e armazena os dados de produto modificados Doc no servidor de dados de produto CS paras estações de produção subsequentes. Os dados de produto Doc são armazenados em forma criptografada Doc* em um arquivo de dados de produto PDD no servidor de dados de produto CS conforme descrito em detalhe adicionalmente abaixo.[0038] The system additionally comprises several, three as an example, production stations PS1, PS2, PS3 in which a product P will be processed. For processing, product P is handled from station to station, in the example of Figure 1 in the order PS1, PS2, PS3,.... Each production station PSi performs processing steps on product P and in doing so, based on if in work stages that were carried out by production stations preceding PSj, j<i. Each of the PS1, PS2, PS3 production stations comprises a computer system. For the purposes of the invention, the PSi production station is equated with the computer system comprising it. Functionalities of the PSi production stations provided for processing product P are not important for the invention. What kind of product P is is not relevant to the invention. The individual PSi production stations read Doc product data from the CS product data server and as a result evaluate which production steps should be carried out. Every PSi production station records the production steps carried out by it through changes in the Doc product data and stores the modified Doc product data in the CS product data server for subsequent production stations. Doc product data is stored in encrypted Doc* form in a PDD product data file on the CS product data server as further described in detail below.

[0039] Um par de chaves assimétricas que compreende a chave de estação privada e a chave de estação pública KP é respectivamente armazenado nas estações de produção PS1, 2, 3. As estações de produção PSi adicionalmente compreendem dispositivo de criptografias.[0039] An asymmetric key pair comprising the private station key and the public station key KP is respectively stored in the production stations PS1, 2, 3. The production stations PSi additionally comprise encryption devices.

[0040] No produto P, a etiqueta desprovida de contato T é anexada, na qual informações de acesso URL para o arquivo de dados de produto PDD no servidor de dados de produto (servidor de nuvem) CS são armazenadas. Adicionalmente, um par de chaves assimétricas é armazenada na etiqueta T, que compreende a chave de etiqueta privada PrivKeyTag e a chave de etiqueta pública KT = PubKeyTag. A chave de etiqueta privada é inacessível para as estações de produção PSi, i = 1,2,3(,...). Adicionalmente, um dispositivo de criptografia é concebido na etiqueta T.[0040] On product P, the contactless label T is attached, in which URL access information for the PDD product data file on the product data server (cloud server) CS is stored. Additionally, an asymmetric key pair is stored in the tag T, which comprises the private tag key PrivKeyTag and the public tag key KT = PubKeyTag. The private label key is inaccessible for production stations PSi, i = 1,2,3(,...). Additionally, an encryption device is designed in the T tag.

[0041] Os dados de produto Doc no arquivo de dados de produto PDD nos dados de produto servidor (nuvem) CS são criptografados com uma chave de documento KDoc, em D. A chave de documento KDoc por sua vez é criptografada com a chave de etiqueta pública KT e armazenada como uma chave de documento criptografada K*Doc no arquivo de dados de produto PDD.[0041] The Doc product data in the PDD product data file on the CS server (cloud) product data is encrypted with a KDoc document key, in D. The KDoc document key in turn is encrypted with the public label KT and stored as an encrypted document key K*Doc in the PDD product data file.

[0042] A Figura 2 mostra um diagrama de protocolo sobre o armazenamento de dados de produto Doc de uma estação de produção PSi no servidor de dados de produto CS, de acordo com uma forma básica da modalidade da invenção. Primeiro, os dados de produto Doc são fornecidos na estação de produção PSi. Uma chave de documento KDoc ou é gerada pela própria estação de produção PSi ou fornecida de outro modo. A estação de produção PSi criptografa os dados de produto Doc com a chave de documento KDoc no D = enc (KDoc, Doc). Adicionalmente, a estação de produção PSi lê a chave de etiqueta pública KT a partir da etiqueta T. Essa leitura pode ser efetuada antes ou após a criptografia dos dados de produto Doc, a ordem é irrelevante. A estação de produção PSi criptografa a chave de documento KDoc com a chave de etiqueta KT no K*Doc = enc (KT, KDoc). Adicionalmente, a estação de produção PSi gera um arquivo de dados de produto PDD que compreende os dados de produto D criptografada com a chave de documento KDoc, e a chave de documento K*Doc criptografada com a chave de etiqueta pública KT. A estação de produção PSi envia o arquivo de dados de produto PDD para o servidor de dados de produto CS. O arquivo de dados de produto PDD é armazenado no servidor de dados de produto CS. Adicionalmente, informações de acesso (isto é, um enlace) URL para o arquivo de dados de produto armazenado PDD são geradas pelo servidor de dados de produto CS e enviada para a estação de produção PSi. A estação de produção PSi envia as informações de acesso URL para a etiqueta T, que armazena as informações de acesso URL. Portanto, os dados de produto Doc são armazenados de modo criptografado, como D, no servidor de dados de produto CS, e informações de acesso URL para o arquivo de dados de produto PDD (que contém Doc) é armazenada na etiqueta T. As chaves relevantes para, novamente, ler ou descriptografar os dados de produto Doc são armazenadas na etiqueta T.[0042] Figure 2 shows a protocol diagram about storing Doc product data from a PSi production station on the CS product data server, according to a basic form of the embodiment of the invention. First, Doc product data is provided at the PSi production station. A KDoc document key is either generated by the PSi production station itself or provided in another way. The PSi production station encrypts the Doc product data with the KDoc document key at D=enc(KDoc,Doc). Additionally, the PSi production station reads the public label key KT from the T label. This reading can be performed before or after encryption of the Doc product data, the order is irrelevant. The PSi production station encrypts the document key KDoc with the label key KT at K*Doc = enc (KT, KDoc). Additionally, the PSi production station generates a PDD product data file comprising product data D encrypted with the document key KDoc, and the document key K*Doc encrypted with the public label key KT. The PSi production station sends the PDD product data file to the CS product data server. The PDD product data file is stored on the CS product data server. Additionally, access information (i.e., a link) URL to the PDD stored product data file is generated by the CS product data server and sent to the PSi production station. The PSi production station sends the URL access information to the T tag, which stores the URL access information. Therefore, the product data Doc is stored encrypted as D on the product data server CS, and URL access information for the PDD product data file (which contains Doc) is stored on the label T. The keys relevant to, again, reading or decrypting the Doc product data are stored in the T tag.

[0043] A Figura 3 mostra um diagrama de protocolo sobre a leitura de dados de produto Doc a partir de um servidor de dados de produto CS para uma estação de produção PSi, de acordo com uma forma básica da modalidade da invenção.[0043] Figure 3 shows a protocol diagram about reading Doc product data from a CS product data server to a PSi production station, according to a basic form of the embodiment of the invention.

[0044] A estação de produção PSi lê as informações de acesso URL a partir da etiqueta T e lê, enquanto emprega as informações de acesso URL lidas a partir da etiqueta T, o arquivo de dados de produto PDD, que compreende os dados de produto criptografados D = enc(KDoc,Doc) e a chave de documento criptografada K*Doc, a partir do servidor de dados de produto CS. A estação de produção PSi transfere a chave de documento criptografada K*Doc e sua própria chave de estação pública KP para a etiqueta T. A etiqueta T recriptografa a chave de documento K*Doc a partir da chave de etiqueta pública KT para a chave de estação pública KP. Para recriptografar, a etiqueta T descriptografa a chave de documento criptografada K*Doc com sua própria chave de etiqueta privada e novamente criptografa a chave de documento KDoc, obtida em texto simples como resultado disso, com chave de estação pública KP obtida a partir da estação de produção PSi em um texto cifrado K**Doc=enc(KP,KDoc). Por conseguinte, a etiqueta T envia a chave de documento recriptografada K**Doc para a estação de produção PSi. A estação de produção PSi descriptografa a chave de documento recriptografada K**Doc com a própria chave privada da estação de produção PSi. Com a chave de documento KDoc obtida em texto simples como resultado disso, a estação de produção PSi descriptografa os dados de produto D de volta para Doc.[0044] The PSi production station reads the URL access information from the T tag and reads, while employing the URL access information read from the T tag, the PDD product data file, which comprises the product data encrypted D = enc(KDoc,Doc) and the encrypted document key K*Doc, from the CS product data server. The PSi production station transfers the encrypted document key K*Doc and its own public station key KP to tag T. Tag T re-encrypts the document key K*Doc from the public tag key KT to the public station KP. To re-encrypt, label T decrypts the encrypted document key K*Doc with its own private label key and again encrypts the document key KDoc, obtained in plain text as a result, with public station key KP obtained from the station PSi production code into a ciphertext K**Doc=enc(KP,KDoc). Therefore, tag T sends the re-encrypted document key K**Doc to the PSi production station. The PSi production station decrypts the re-encrypted document key K**Doc with the PSi production station's own private key. With the document key KDoc obtained in plain text as a result of this, the production station PSi decrypts the product data D back to Doc.

[0045] A Figura 4 mostra um diagrama detalhado de protocolo sobre o armazenamento de dados de produto Doc a partir de uma estação de produção PS1 no servidor de dados de produto CS, de acordo com uma modalidade mais complexa da invenção. Os dados de produto Doc são fornecidos em um arquivo. Ao contrário da modalidade da Figura 2, etapas de autenticação são fornecidas em várias localizações do fluxo de processo já que são convenientes na implementação prática do método. Mais precisamente, antes de transferir a chave de etiqueta pública KT para a estação de produção PS1, a etiqueta T e a estação de produção PS1 estabelecem um canal de comunicação seguro. Primeiro, a estação de produção PS1 (User1) autentica perante a etiqueta (etiqueta segura) T conforme indicado pelo pseudocódigo de comando “Autenticar”. Por conseguinte, a etiqueta T autentica perante a estação de produção PS1 da mesma forma com “Autenticar”. Dentro do escopo da autenticação, a chave de etiqueta pública KT pode ter sido transferida para a estação de produção PS1. Caso contrário, a chave de etiqueta pública KT = PubKey-Tag será agora transferida para a estação de produção PS1. Adicionalmente, a etiqueta T transfere um certificado Cert-Tag para a estação de produção PS1. A estação de produção verifica a chave de etiqueta pública KT com o certificado Cert-Tag e a chave pública, conhecido da estação de produto PSi, do corpo de certificação (CA, Autoridade de Certificação). Adicionalmente, a estação de produção PS1 gera, com sua própria chave privada PrivKey-User1, a assinatura SD por meio dos dados de produto Doc, de acordo com SD = assinar (PrivKey-User1, Doc). Por conseguinte, a estação de produção PS1 (=User1) gera uma chave de documento KDoc, forma a concatenação a partir dos dados de produto Doc, da assinatura, da própria chave pública KP=PubKey-User1 e de um próprio certificado Cert-User1, e criptografa a concatenação com a chave de documento KDoc em um texto cifrado D = enc(KDoc, Doc/SD/PubKey-User1/Cert-User1). O ponto exato no tempo de geração da chave de documento KDoc não é decisivo e pode mentir, em particular, antes ou depois da geração de assinatura SD. A estação de produção PS1 criptografa a chave de documento KDoc com a chave de etiqueta pública KT=PubKey-Tag em um texto cifrado K*Doc. A seguir, a estação de produção PS1 solicita um token de autenticação a partir da etiqueta T para autenticação perante o servidor de dados de produto CS e é fornecido o token de autenticação pela etiqueta T. Por meio do token de autenticação, a estação de produção PS1 autentica perante o servidor de dados de produto CS. Na mesma sessão de comunicação, a estação de produção PS1 gera um arquivo de dados de produto PDD que compreende os textos cifrados D e K*Doc, desse modo, os dados de produto criptografados Doc e a chave de documento criptografada KDoc e um cabeçalho com informações adicionais sobre o gerenciamento do arquivo de dados de produto PDD, e envia os mesmos para o servidor de dados de produto CS. O arquivo de dados de produto PDD é armazenado no servidor de dados de produto CS. O servidor de dados de produto CS gera informações de acesso URL para o arquivo de dados de produto PDD e envia as mesmas de volta para a estação de produção PS1. A estação de produção PS1 assina as informações de acesso URL e o identificador de etiqueta Tag-ID da etiqueta T com sua própria chave de estação privada na assinatura SU = assinar (PrivKey-User1, URL/Tag-ID) e envia as informações de acesso URL, a assinatura SU, o certificado Cert-User1 e sua própria chave de estação pública KP para a etiqueta T, que armazena os dados enviados URL, SU, KP, Cert-User1 na etiqueta T. Ao invés da assinatura SU, alternativamente a assinatura de etiqueta pode ser armazenada na etiqueta, em particular, a assinatura de etiqueta derivada a partir da assinatura SU, para que as estações de produção subsequentes, que lêem os dados de produto, não tenham que confiar na estação de produto anterior, mas apenas na etiqueta. A etiqueta T agora contém informações de acesso URL para dados de produto criptografados PD no servidor de dados de produto CS, assim como a assinatura SU e uma chave estação de produto pública KP, que habilita uma estação de produção subsequente PSi para verificar se uma estação de produção autorizada tem dados armazenados previamente na etiqueta T e no servidor de dados de produto CS.[0045] Figure 4 shows a detailed protocol diagram for storing Doc product data from a PS1 production station on the CS product data server, according to a more complex embodiment of the invention. Doc product data is provided in a file. Unlike the embodiment of Figure 2, authentication steps are provided at various locations in the process flow as they are convenient in the practical implementation of the method. More precisely, before transferring the KT public tag key to the PS1 production station, the T tag and the PS1 production station establish a secure communication channel. First, the production station PS1 (User1) authenticates to the tag (secure tag) T as indicated by the “Authenticate” command pseudocode. Therefore, the T tag authenticates to the PS1 production station in the same way as “Authenticate”. Within the scope of authentication, the KT public tag key may have been transferred to the production station PS1. Otherwise, the public tag key KT = PubKey-Tag will now be transferred to the PS1 production station. Additionally, the T-tag transfers a Cert-Tag certificate to the PS1 production station. The production station verifies the KT public tag key with the Cert-Tag certificate and the public key, known to the PSi product station, from the certification body (CA, Certification Authority). Additionally, the production station PS1 generates, with its own private key PrivKey-User1, the SD signature via the product data Doc, according to SD = sign(PrivKey-User1, Doc). Therefore, the production station PS1 (=User1) generates a KDoc document key, forms the concatenation from the Doc product data, the signature, the KP=PubKey-User1 public key itself and a Cert-User1 certificate itself. , and encrypts the concatenation with the document key KDoc into a ciphertext D = enc(KDoc, Doc/SD/PubKey-User1/Cert-User1). The exact point in time of KDoc document key generation is not decisive and may lie, in particular, before or after SD signature generation. The production station PS1 encrypts the KDoc document key with the public tag key KT=PubKey-Tag into a K*Doc ciphertext. Next, the production station PS1 requests an authentication token from tag T for authentication to the product data server CS, and the authentication token is provided by tag T. Through the authentication token, the production station PS1 authenticates to the CS product data server. In the same communication session, the production station PS1 generates a PDD product data file comprising the ciphertexts D and K*Doc, thus the encrypted product data Doc and the encrypted document key KDoc and a header with additional information about managing the PDD product data file, and sends it to the CS product data server. The PDD product data file is stored on the CS product data server. The CS product data server generates URL access information for the PDD product data file and sends it back to the production station PS1. Production station PS1 signs the URL access information and Tag-ID tag identifier of the T-tag with its own private station key in signature SU=sign(PrivKey-User1, URL/Tag-ID) and sends the URL access, the SU signature, the Cert-User1 certificate and its own public station key KP to the T tag, which stores the data sent URL, SU, KP, Cert-User1 in the T tag. Instead of the SU signature, alternatively the label signature can be stored on the label, in particular, the label signature derived from the SU signature, so that subsequent production stations, which read the product data, do not have to rely on the previous product station, but just on the label. The T tag now contains URL access information for PD encrypted product data on the CS product data server, as well as the SU signature and a public product station key KP, which enables a subsequent production station PSi to verify that a station authorized production plant has data previously stored on the T-tag and the CS product data server.

[0046] A Figura 5 mostra um diagrama detalhado de protocolo sobre a leitura de dados de produto PD pelo servidor de dados de produto CS para outra estação de produção subsequente PS2 = User2 do que PS1 da Figura 4, de acordo com uma modalidade mais complexa da invenção, depois de uma estação de produção PS1 ter realizado escrita de dados de produto, por exemplo, de acordo com Figura 4. Ao contrário da modalidade da Figura 3, etapas de autenticação são fornecidas em várias localizações do fluxo de processo já que são convenientes na implementação prática do método. Mais precisamente, antes da transferência das informações de acesso URL e da chave de etiqueta pública KT para a estação de produção PS2, a etiqueta T e a estação de produção PS2 estabelecem um canal de comunicação seguro. Primeiro, a estação de produção PS2 (User2) autentica perante a etiqueta (etiqueta segura) T conforme indicado pelo pseudocódigo de comando “Autenticar”. Por conseguinte, a etiqueta T autentica perante a estação de produção PS2, da mesma forma com “Autenticar”. A etiqueta responde com as informações de acesso assinada URL do arquivo de dados de produto PDD no servidor de dados de produto (servidor de nuvem) CS. A estação de produção PS2 verifica a exatidão das informações de acesso URL com a assinatura SU, a chave pública para KP=PubKey1 e o certificado Cert-User1, cuja estação de produção PS2 lê a partir da etiqueta T, e cuja estação de produção PS1 precedente foi anteriormente escrita na etiqueta T. A seguir, a estação de produção PS2 solicita um token de autenticação a partir da etiqueta T para autenticação perante o servidor de dados de produto CS e é fornecido o token de autenticação pela etiqueta T. Por meio do token de autenticação, a estação de produção PS2 autentica perante o servidor de dados de produto CS. Na mesma sessão de comunicação, a estação de produção PS2 envia um comando de leitura de dados "Obter Dados URL" para o servidor de dados de produto CS, com o pedido para enviar os dados depositados no local de memória URL, desse modo o arquivo de dados de produto PDD, para a estação de produção PS2, e downloads, como resultado disso, o arquivo de dados de produto PDD (Header/D/K*Doc) (D = enc(KDoc, Doc/SD/PubKey- User1/Cert-User1)) a partir do servidor de dados de produto CS para a estação de produção PS2. A estação de produção PS2 extrai a chave de documento K*Doc a partir do arquivo de dados de produto PDD criptografado com a chave de etiqueta pública KT e envia o mesmo para a etiqueta T, junto com a chave própria de estação pública KP=PubKey-User2 da estação de produção PS2 e um certificado próprio Cert-User2, criado com a própria chave de estação privada da estação de produção PS2. A etiqueta T verifica a chave de estação pública KP=PubKey-User2 da estação de produção PS2 com o certificado Cert- User2 pelo comando "Verificar". Por conseguinte, a etiqueta T descriptografa a chave de documento criptografada K*Doc com a etiqueta própria chave de etiqueta privada PrivKeyTag (KDoc=dec (PrivKeyTag, K*Doc)) e novamente criptografa a mesma com a chave de estação pública KP=PubKey-User2 da estação de produção PS2 (K**Doc= enc (PubKeyUser2,KDoc)). A etiqueta envia a chave de documento novamente criptografada K**Doc para a estação de produção PS2 (User2). A chave pública KP = PubKeyUser1, o certificado Cert-User1 e assinaturas associadas já foram lidas junto com as informações de acesso URL a partir da etiqueta T ou estão contidas no arquivo de dados de produto PDD. Com sua própria chave de estação privada PrivKey-User2, a estação de produção PS2 (User2) descriptografa a chave de documento novamente criptografada K**Doc na chave de documento KDoc em texto simples, e com isso os dados de produto Doc. Com o certificado anexado Cert- User1 do autor do documento, a estação de produção PS2 verifica a exatidão da chave de estação pública KP = PubKey-User1 do autor do documento. Com a assinatura SD do autor do documento e a chave de estação pública KP=PubKey-User1, a estação de produção PS2 verifica a exatidão do documento dos dados de produto Doc.[0046] Figure 5 shows a detailed protocol diagram about reading PD product data by the CS product data server for another subsequent production station PS2 = User2 than PS1 of Figure 4, according to a more complex embodiment of the invention, after a production station PS1 has performed product data writing, for example, according to Figure 4. Unlike the embodiment of Figure 3, authentication steps are provided at various locations in the process flow as they are convenient in the practical implementation of the method. More precisely, before transferring the URL access information and the public tag key KT to the production station PS2, the tag T and the production station PS2 establish a secure communication channel. First, the production station PS2 (User2) authenticates to the tag (secure tag) T as indicated by the “Authenticate” command pseudocode. Therefore, the T tag authenticates to the PS2 production station, in the same way as “Authenticate”. The tag responds with the signed URL access information of the PDD product data file on the CS product data server (cloud server). The production station PS2 verifies the correctness of the URL access information with the SU signature, the public key for KP=PubKey1, and the Cert-User1 certificate, whose production station PS2 reads from the T tag, and whose production station PS1 above was previously written to the T tag. Next, the production station PS2 requests an authentication token from the T tag for authentication to the CS product data server, and the authentication token is provided by the T tag. authentication token, the PS2 production station authenticates to the CS product data server. In the same communication session, the PS2 production station sends a "Get Data URL" data read command to the CS product data server, with the request to send the data deposited in the URL memory location, thereby the file PDD product data file, to the PS2 production station, and downloads, as a result of this, the PDD product data file (Header/D/K*Doc) (D = enc(KDoc, Doc/SD/PubKey- User1 /Cert-User1)) from the CS product data server to the PS2 production station. The production station PS2 extracts the document key K*Doc from the PDD product data file encrypted with the public label key KT and sends it to the label T, along with the public station's own key KP=PubKey -User2 from the PS2 production station and its own Cert-User2 certificate, created with the PS2 production station's own private station key. Tag T verifies the public station key KP=PubKey-User2 of the production station PS2 with the certificate Cert-User2 by the "Verify" command. Therefore, tag T decrypts the encrypted document key K*Doc with its own private tag key PrivKeyTag (KDoc=dec (PrivKeyTag, K*Doc)) and again encrypts it with the public station key KP=PubKey -User2 of production station PS2 (K**Doc= enc (PubKeyUser2,KDoc)). The label sends the re-encrypted document key K**Doc to the production station PS2 (User2). The public key KP = PubKeyUser1, the Cert-User1 certificate and associated signatures have already been read along with the URL access information from the T tag or are contained in the PDD product data file. With its own private station key PrivKey-User2, the production station PS2 (User2) decrypts the re-encrypted document key K**Doc into the plaintext document key KDoc, and thereby the product data Doc. With the attached certificate Cert- User1 of the document author, the production station PS2 verifies the correctness of the public station key KP = PubKey-User1 of the document author. With the SD signature of the document author and the public station key KP=PubKey-User1, the PS2 production station verifies the document's accuracy of the Doc product data.

[0047] A segunda estação de produção PS2, desse modo, agora tem os dados de produto Doc descriptografados e verificados em texto simples disponíveis, com todas as mudanças a estação de produção PS1 que precede tem realizado nos dados de produto Doc. Nesse contexto, a etiqueta T tem a função de se auto fornecer com uma chave pública KT = PubKey-Tag para o armazenamento criptografado permanente de dados de produto PD no servidor de dados de produto CS. A etiqueta T adicionalmente tem a função de realizar após solicitação de uma estação de produção PSi a recriptografia da chave de etiqueta pública KT = PubKey-Tag para a chave de estação pública KP = PubKey-Useri, i = 1, 2, 3,... para que a estação de produção PSi, i = 1, 2, 3,... que solicita obtenha os dados de produto Doc em texto simples.[0047] The second production station PS2 thus now has the decrypted and verified plain text Doc product data available, with all the changes the preceding PS1 production station has made to the Doc product data. In this context, the T tag has the function of providing itself with a public key KT = PubKey-Tag for the permanent encrypted storage of PD product data on the CS product data server. Tag T additionally has the function of performing, upon request from a PSi production station, the re-encryption of the public tag key KT = PubKey-Tag to the public station key KP = PubKey-Useri, i = 1, 2, 3,. .. so that the requesting production station PSi, i = 1, 2, 3,... obtains the Doc product data in plain text.

[0048] Nas Figuras. 4 e 5 o método foi descrito com duas diferentes, de preferência consecutivas, estações de produção PS1, PS2. O método executa de forma análoga quando uma única estação de produção PSi acessa o arquivo de dados de produto PDD no servidor de dados de produto CS duas vezes seguidas.[0048] In the Figures. 4 and 5 the method was described with two different, preferably consecutive, production stations PS1, PS2. The method performs analogously when a single PSi production station accesses the PDD product data file on the CS product data server twice in succession.

[0049] A ordem das etapas pode ser divergente da ordem descrita. Entretanto, operações de segurança crítica, por exemplo, transferência ou descriptografia de dados sensíveis, pode ser efetuada apenas após a autenticação bem-sucedida.[0049] The order of the steps may differ from the order described. However, critical security operations, for example, transfer or decryption of sensitive data, can be carried out only after successful authentication.

[0050] Uma autenticação da estação de produção PSi (usuário) perante a etiqueta é realizada para que nenhum agressor não autorizado obtenha os dados de produto Doc para manipular os mesmos ou espioná-los. Uma autenticação da etiqueta T perante a estação de produção PS é realizada de modo que uma etiqueta T ainda assim tenha sido manipulada de alguma forma ou uma etiqueta T que tenha sido fornecida por um agressor, não seja adicionalmente empregada. O estabelecimento das etapas de um canal de comunicação seguro e autenticação podem ser mais ou menos separadas entre si, ou ser realizadas em um único método também, por exemplo, em um protocolo para a autenticação com derivação de chave.[0050] An authentication of the PSi production station (user) against the label is carried out so that no unauthorized attacker obtains the Doc product data to manipulate or spy on it. An authentication of the T-tag before the PS production station is carried out so that a T-tag that has been manipulated in some way or a T-tag that has been provided by an attacker is not additionally employed. The establishment of the steps of a secure communication channel and authentication can be more or less separated from each other, or be carried out in a single method as well, for example, in a protocol for authentication with key derivation.

[0051] A autenticação mútua entre etiqueta T e usuário PS pode ser efetuada, por exemplo, por meio de métodos criptográficos assimétricos. Cada um dentre os dois parceiros possui um par de chaves de uma chave privada e uma chave pública, a chave pública é certificada por uma Autoridade de Certificação (CA) aceita de modo geral e é, desse modo, verificável pelo parceiro outro. Cadeia de certificados podem ser também empregados. A autenticação é, então, efetuada por métodos de desafio/respostas.[0051] Mutual authentication between T tag and PS user can be carried out, for example, by means of asymmetric cryptographic methods. Each of the two partners has a key pair of a private key and a public key, the public key is certified by a generally accepted Certificate Authority (CA) and is therefore verifiable by the other partner. Certificate chain can also be employed. Authentication is then performed by challenge/response methods.

[0052] Alternativamente, estruturas de certificação mais complexas podem também ser usadas em cenários que têm diversas empresas: Cada uma dentre as empresas opera sua própria CA para certificação de seus usuários PS, além do que o emissor de etiqueta pode também operar CAs próprios para certificação de suas etiquetas T. Pela certificação cruzada dos CAs, usuários PS de diversas empresas podem, desse modo, trabalhar com etiquetas T que são fornecidas pelo emissor de etiqueta.[0052] Alternatively, more complex certification structures can also be used in scenarios that have several companies: Each company operates its own CA to certify its PS users, in addition to which the label issuer can also operate its own CAs to certification of their T tags. By cross-certifying the CAs, PS users from different companies can thus work with T tags that are provided by the tag issuer.

[0053] A autenticação mútua e o estabelecimento acoplado à mesma de um canal seguro, sobre o qual então adicionalmente mensagens podem ser trocadas arbitrariamente, é um método diferente, no campo de cartões inteligentes (Mensagens Seguras) assim como na Internet (por exemplo, SSL/TLS, IPsec). O canal seguro então garante a autenticidade, a integridade e confidencialidade das mensagens trocadas subsequentemente.[0053] Mutual authentication and the associated establishment thereof of a secure channel, over which then additionally messages can be arbitrarily exchanged, is a different method, in the field of smart cards (Secure Messaging) as well as on the Internet (e.g. SSL/TLS, IPsec). The secure channel then guarantees the authenticity, integrity and confidentiality of subsequently exchanged messages.

[0054] Alternativamente, um canal de comunicação seguro pode ser renunciado aqui quando ao invés disso, a segurança necessária é garantida por meio de modalidade especial das mensagens trocadas. Como isso pode ser implementado é mostrado em outros pedidos de patente depositados ou a ser depositados pelo mesmo requerente. Alternativamente, um canal seguro pode ser estabelecido que assegure apenas a autenticidade e integridade das mensagens trocadas, a confidencialidade poderia ser implementada por meio da modalidade especial das mensagens trocadas.[0054] Alternatively, a secure communication channel may be renounced here when instead the necessary security is guaranteed by means of special modality of the exchanged messages. How this can be implemented is shown in other patent applications filed or to be filed by the same applicant. Alternatively, a secure channel can be established that only ensures the authenticity and integrity of the exchanged messages, confidentiality could be implemented through the special modality of the exchanged messages.

[0055] Nos procedimentos descritos acima, o documento com os dados de produto Doc é assinado para assegurar a autenticidade e integridade antes do armazenamento pelo usuário / estação de produção PSi. Assinatura, chave pública e certificado do usuário são criptografados junto com o documento assinado e são armazenados no servidor de dados de produto / servidor de nuvem CS. Isso tem a consequência de que quando da leitura do conjunto de dados com os dados de produto Doc pelo outro usuário / estação de produção PSi, o conjunto de dados primeiro tem que ser descriptografados antes que a assinatura possa ser verificada. Apenas um usuário autorizado/estação de produção PSi é desse modo capaz para verificar a exatidão do documento e também para averiguar a identidade do autor.[0055] In the procedures described above, the Doc product data document is signed to ensure authenticity and integrity before storage by the PSi user/production station. The user's signature, public key and certificate are encrypted along with the signed document and are stored on the product data server / CS cloud server. This has the consequence that when reading the dataset with the Doc product data by the other PSi user/production station, the dataset first has to be decrypted before the signature can be verified. Only an authorized user/PSi production station is therefore able to verify the accuracy of the document and also to ascertain the identity of the author.

[0056] Em uma variante alternativa, a assinatura poderia ser computada por meio do documento criptografado D. Então, a exatidão do conjunto de dados D armazenado no servidor de dados de produto / servidor de nuvem CS poderia ser verificado sem que tenha que descriptografar o mesmo. A identidade do autor seria então averiguável também por usuários não autorizados. Em uma variante adicional, a assinatura pode ser computada pela etiqueta T. De fato, a exatidão do documento Doc pode então ser verificada, o autor, entretanto, permanece anônimo. Seria assegurado apenas que o autor foi um usuário autorizado.[0056] In an alternative variant, the signature could be computed using the encrypted document D. Then, the correctness of the data set D stored on the product data server / cloud server CS could be verified without having to decrypt the same. The identity of the author would then also be ascertainable by unauthorized users. In a further variant, the signature can be computed by the T tag. In fact, the correctness of the Doc document can then be verified, the author, however, remains anonymous. It would only be ensured that the author was an authorized user.

[0057] Chave diferente (sistemas) ou a mesma chave pode ser empregada para autenticação perante o parceiro de comunicação, para a assinatura dos dados (produto) Doc e para a criptografia dos sistemas de chave de documento KDoc. Se chaves diferentes são empregadas, diversos certificados também têm que estar presentes, feito com que estejam disponíveis para o parceiro e verificado por ele. Alternativamente, uma chave pode ser feita com que esteja disponível de maneira autêntica para um parceiro também pelo fato de que a mesma é transferida por meio do canal de comunicação seguro, após abertura da qual uma autenticação com outra chave aconteceu.[0057] Different key (systems) or the same key can be used for authentication before the communication partner, for signing the data (product) Doc and for encryption of the KDoc document key systems. If different keys are used, different certificates must also be present, made available to the partner and verified by him. Alternatively, a key can be made authentically available to a partner also by the fact that it is transferred via the secure communication channel, after opening which an authentication with another key has taken place.

[0058] A assinatura do enlace URL não é compulsória para a segurança do sistema. Todas as exigências quanto à segurança do documento armazenado D podem também ser alcançadas por outros meios. Com uma URL assinada, entretanto, algumas manipulações podem ser detectadas mais cedo. A exatidão da URL após transferência pode também ser assegurada pelo canal seguro entre usuário e etiqueta. Além da URL, a assinatura deve também proteger a ID de etiqueta e possíveis dados adicionais.[0058] Signing the URL link is not mandatory for system security. All requirements regarding the security of the stored document D can also be achieved by other means. With a signed URL, however, some manipulations can be detected earlier. The accuracy of the URL after transfer can also be ensured by the secure channel between user and tag. In addition to the URL, the signature must also protect the tag ID and possible additional data.

[0059] Se o canal seguro entre usuário / estação de produção PSi e etiqueta T também protege a confidencialidade das mensagens transferidas, a criptografia com a chave pública KP do usuário PSi pode ser renunciada para o caso de uso / caso de leitura por aplicação do documento D após a transmissão da chave de documento KDoc a partir da etiqueta T para o usuário / estação de produção PSi.[0059] If the secure channel between PSi user/production station and T tag also protects the confidentiality of transferred messages, encryption with the PSi user's public key KP can be waived for the use case/read case by application of the document D after transmitting the KDoc document key from tag T to user/production station PSi.

[0060] Tipicamente, a escrita ou leitura de dados armazenados no servidor de dados de produto/provedor de nuvem CS exige uma autenticação do usuário PSi. O método descrito acima assegura a confidencialidade do documento. Também, um invasor não pode inserir documentos de geração própria sem ser notado. Se, entretanto, o provedor de nuvem CS não exigir autenticação, um invasor poderia deletar o documento armazenado ou tornar o mesmo inutilizável de outro modo. Idealmente, a etiqueta T fornece os dados de autenticação (credenciais) que o usuário PSi exige para autenticação com o provedor de nuvem CS. Esses podem ser dados de autenticação estáticos/credenciais (por exemplo, nome e senha) ou dados de autenticação dinâmica melhores (por exemplo, OTP, tokens de uso único, resposta de desafio ...).[0060] Typically, writing or reading data stored on the CS cloud provider/product data server requires PSi user authentication. The method described above ensures the confidentiality of the document. Also, an attacker cannot insert self-generated documents without being noticed. If, however, the CS cloud provider does not require authentication, an attacker could delete the stored document or otherwise render it unusable. Ideally, the T tag provides the authentication data (credentials) that the PSi user requires to authenticate with the CS cloud provider. This can be static authentication data/credentials (e.g. name and password) or better dynamic authentication data (e.g. OTP, one-time tokens, challenge response...).

Claims

1. System for processing, in particular, storing and reading product data (Doc) comprising: - a product data server (CS) on which a product data file (PDD) is stored or storable, on which are comprised: - the product data (Doc) in a form (D) encrypted with a document key (KDoc), and - the document key (KDoc) in a form (K*Doc) encrypted with a public key of a pair of asymmetric keys; - a product (P); - a label (T), attached to the product (P), on which access information (URL) is stored or storable for the product data file (PDD) on the product data server (CS); - at least one production station (PSi, i=1, 2, 3,...) or several production stations (PS1, PS2, PS3,...) that are designed to process the product (P) according with product data (PD); characterized by the fact that - an asymmetric key pair is stored in the tag (T), which comprises a private tag key and a public tag key (KT), wherein the private tag key is inaccessible to the production station (PSi); - an asymmetric key pair is stored on the production station (PSi) comprising a private station key and a public station key (KP); - an encryption device is designed on the label (T); - the document key (KDoc) is encrypted (K*Doc) in the product data file (PDD) on the product data server (CS) with the public label key (KT).

2. System according to claim 1, characterized by the fact that the encryption device on the label (T) is designed to: - after storing product data (D) encrypted with the document key (KDoc) by the production (PSi) on the product data server (CS): provide the public label key (KT) to the production station (PSi) to encrypt the document key (KDoc); - after reading the product data file (PDD) from the product server (CS) to the production station (PSi) while using the access information (URL) from the tag (T): re-encrypt the key encrypted document (K*Doc) from the public label key (KT) to the public station key (KP) and provide this re-encrypted document key (K**Doc) to the production station (PSi).

3. Method, in a system as defined in claim 1 or 2, for creating a product data file for storing product data (Doc) by the production station (PSi) on the product data server (CS), characterized due to the fact that it comprises the steps of: - providing product data (Doc) at the production station (PSi); - by the production station (PSi), generate or provide a document key (KDoc); - via the production station (PSi), encrypt at least the product data (Doc) with the document key (KDoc) into encrypted product data (D); - through the production station (PSi), read the public tag key (KT) from the tag (T); - via the production station (PSi), encrypt the document key (KDoc) with the label key (KT) into an encrypted document key (K*Doc); - via the production station (PSi), generate a product data file (PDD) comprising the encrypted product data (D) and the encrypted document key (K*Doc).

4. Method according to claim 3, characterized by the fact that it further comprises: - after reading the public tag key (KT) from the tag (T) to the production station (PSi), mutual authentication between the label (T) and the production station (PSi).

5. Method, in a system, as defined in claim 1 or 2, for storing a product data file (PDD), in particular, a product data file (PDD) created, according to claim 3 or 4 , on a product data server (CS), characterized by the fact that it comprises the steps of: - via the production station (PSi): sending the product data file (PDD) to the product data server ( CS); - on the product data server (CS): store the product data file (PDD); - via the product data server (CS): generate access information (URL) for the stored product data file (PDD); - via the product data server (CS): send the access information (URL) to the production station (PSi); - via the production station (PSi): send the access information (URL) to the label (T); - on the label (T): store the access information (URL).

6. Method according to claim 5, characterized by the fact that it further comprises: - after sending the access information (URL) from the product data server (CS) to the production station (PSi), authentication between the product data server (CS) and the production station (PSi).

7. Method according to claim 5 or 6, characterized by the fact that after sending the access information (URL) from the production station (PSi) to the tag (T), a station signature (SU ) is generated using the private station key and sent to the tag (T) with the access information (URL), and the station signature (SU) is stored in the tag (T).

8. Method according to claim 7, characterized by the fact that the tag signature is generated on the tag (T), in particular, it is derived from the station signature (SU), and is stored on the tag (T ).

9. Method, in a system, as defined in claim 1 or 2, for reading encrypted product data (D) through the production station (PSi), characterized by the fact that it comprises the steps of: - through the production station production (PSi), read access information (URL) from the tag (T); - via the production station (PSi), while employing the access information (URL) read from the label (T), read the product data file (PDD), which comprises the encrypted product data (D) and the encrypted document key (K*Doc), from the product data server (CS).

10. Method according to claim 9, characterized by the fact that it additionally comprises the steps of: - after reading the access information (URL) from the tag (T): establishing a secure communication channel between the tag (T ) and the production station (PSi), and/or mutual authentication between the tag (T) and the production station (PSi); and/or - after reading the access information (URL) from the tag (T): by the production station (PSi), authenticate the access information (URL), in particular, by verifying an added station signature to the access information (URL) and generated with a private station key via the corresponding public station key (KP) or the tag signature generated with a private tag key via the corresponding public tag key (KT).

11. Method, in a system, as defined in claim 1 or 2, for encrypting product data encrypted (D) by the production station (PSi), in particular, product data (D) read, as defined in claim 9 or 10, characterized by the fact that it comprises the steps: - through the production station (PS), transfer the encrypted document key (K*Doc) and its own public station key (KP) to the tag (T); - through the tag (T), recrypt the document key (K*Doc) from the public tag key (KT) to the public station key (KP) to a recrypted document key (K**Doc); - using the label (T), send the re-encrypted document key (K**Doc) to the production station (PSi); - through the production station (PSi), decrypt the re-encrypted document key (K**Doc) with the production station's own private key (PSi); - via the production station (PSi), decrypt the product data encrypted (D) with the document key (KDoc) to product data (Doc) in plain text.

12. Method, according to claim 4 or 10, characterized by the fact that the authentication of the production station (PSi) before the product data server (CS), which is carried out after mutual authentication, is carried out through of an authentication token, in particular, electively, statically or dynamically, sent from the tag (T) to the production station (PSi) and electively, additionally, generated by the tag (T).

13. Method according to any one of claims 3 to 12, characterized by the fact that at least some public keys (KP, KT), preferably all public keys, are verifiable by means of the tag (T), in particular , through a certificate, stored on the label (T), for the respective public key (KP, KT).

14. Label, attached or attachable to a product (P), designed to enable a production station (PSi) for processing, in particular, storing and reading encrypted product data (D) from a product data server (CS) for the production station (PSi); - wherein on the product data server (CS) a product data file (PDD) is stored or storable, comprising: - product data (Doc) in a form (D) encrypted with a document key (KDoc), and - the document key (KDoc) in a form (K*Doc) encrypted with a public key of an asymmetric key pair; - wherein on the label (T) access information (URL) is stored or storable for the product data file (PDD) on the product data server (CS); characterized by the fact that - an asymmetric key pair is stored in the tag (T), which comprises the private tag key and the public tag key (KT), wherein the private tag key is inaccessible to the production station (PSi); - the document key (KDoc) in the product data file (PDD) on the product data server (CS) is encrypted with the public label key (KT), like an encrypted document key (K*Doc). on the label (T) an encryption device is provided which is designed for: - after storing product data (D), encrypted with the document key (KDoc) by the production station (PSi) on the product data server ( CS): provide the public label key (KT) to the production station (PSi) to encrypt the document key (KDoc); - after reading the product data file (PDD) from the product server (CS) to the production station (PSi) while using the access information (URL) from the tag (T), re-encrypt the encrypted document (K*Doc) from the public label key (KT) to the public station key (KP) and provide this re-encrypted document key (K**Doc) to the production station (PSi).