DE102007054649A1

DE102007054649A1 - Electronic object i.e. medical electronic document, authenticity validating method for use in e.g. hospital, involves validating authenticity of object by comparing hash value with another hash value that is produced by filtering of object

Info

Publication number: DE102007054649A1
Application number: DE200710054649
Authority: DE
Inventors: Klaus Abraham-Fuchs; Georg Dr. Heidenreich
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-11-15
Filing date: 2007-11-15
Publication date: 2009-05-28

Abstract

The method involves filtering an essential region in an electronic object (O) by a trusted third party (TTP1) e.g. organization. The filtered region is hashed by the trusted third party, where a hash value (130a) is produced. Authenticity of an electronic object is validated by comparing the hash value with another hash value (130b), which is produced by a new filtering and new hashing of the electronic object by another trusted third party (TTP2). The hash values are stored in a database (120) after the former hash value is encoded with a private key. Independent claims are also included for the following: (1) a computer program product for validating an authenticity of an electronic object (2) a system for validating an authenticity of an electronic object.

Description

Die vorliegende Erfindung liegt auf dem Gebiet der medizinischen Datenverarbeitung und betrifft insbesondere die Validierung einer Authentizität von medizinischen elektronischen Dokumenten.The The present invention is in the field of medical data processing and in particular concerns the validation of an authenticity of medical electronic documents.

Die Erfindung bezieht sich insbesondere auf ein Verfahren, auf ein System und ein Computerprogrammprodukt zum Validieren der Authentizität von medizinischen elektronischen Dokumenten, die im Zuge einer ungerichteten Kommunikation in einem nicht-vertrauenswürdigen unsicheren Datenspeicher abgelegt wurden.The The invention relates in particular to a method, to a system and a computer program product for validating the authenticity of medical electronic documents, in the course of an undirected communication in a non-trusted unsafe data store were stored.

In Krankenhäusern, Kliniken oder sonstigen medizinischen Einrichtungen ist es heute Standard, dass medizinische Berichte oder Verschreibungen in elektronischer Form ausgestellt werden. Verschreibungen werden in diesem Zusammenhang als sogenannte e-Verschreibungen (e-prescriptions) bezeichnet. Es handelt sich hierbei um elektronische Dokumente in strukturierter Form, z. B. als XML-Dokumente, die Informationen über den verschreibenden Arzt, dessen ID, dem Namen des Patienten und eine Bezeichnung für das zu verschreibende Medikament beinhalten. Da der Arzt zum Zeitpunkt der Erstellung der elektronischen Verschreibung den nicht weiss welche Stellen bei der weiteren administrativen Abarbeitung des Verschreibungsvorgangs involviert sein werden, wird die e-Verschreibung in einen zentralen für mehrere Stellen zugänglichen Datenspeicher eingestellt. Mehrere Stellen, wie z. B. Krankenkassen oder verschiedene Abteilungen innerhalb der Krankenkassen müssen dabei im Laufe der Zeit mehrmals auf die elektronische Verschreibung mit den darin enthaltenen Daten zugreifen. Durch Einstellen der e-Verschreibung in den Datenspeicher wird somit die ungerichtete Kommunikation der e-Verschreibung von dem ausstel lenden Arzt an die anderen Stellen die mit der administrativen Abarbeitung der e-Verschreibung betraut sind vermittelt. Datenspeicher, die für ungerichtete Kommunikation verwendet werden, sind in der Regel nicht vertrauenswürdig. Das bedeutet z. B., dass auch unbefugte Personen Zugang zu den eingestellten elektronischen Dokumenten haben könnten. Diese unbefugten Personen könnten z. B. Einträge in den e-Verschreibungen verändern und so versuchen, an verschreibungspflichtige Medikamente heranzukommen. Allerdings geschehen Manipulationen an elektronischen Objekten, wie z. B. der elektronischen Verschreibung nicht immer in „böser" Absicht. Oft werden z. B. verschiedene Abteilungen innerhalb einer Krankenkasse im Zuge der Abarbeitung der Verschreibung auf das elektronische Dokument mehrmals zugegriffen, bei denen die Einträge gelöscht, hinzugefügt und nach der Manipulation wieder in den nicht-vertrauenswürdigen Datenspeicher eingestellt, um das elektronische Dokument weiteren Stellen zur weitergehenden Verarbeitung zugänglich zu machen. Es besteht also das Problem, zwischen "zulässiger" und "nicht-zulässiger" Manipulation des medizinisch-elektronischen Dokumentes zu unterscheiden ohne dass dabei auf die Inhalte selbst eingegangen werden muss, die durch die Manipulation erzeugt wurden. Das Einfügen von Sicherheitsvorkehrungen auf Seiten des nicht-vertrauenswürdigen Datenspeichers sind aber meistens viel zu teuer. Die Kryptografie stellt verschiedene Möglichkeiten bereit, um eine Authentizität des elektronischen Objektes zu prüfen. Eine solche Möglichkeit ist die Verwendung von so genannten Hash-Funktionen. Das sind Funktionen, die auf eineindeutige Art und Weise einem elektronischen Objekt eine Zahl zuordnen. Diese Zahl wird eine Signatur genannt. Wird allerdings das elektronische Objekt verändert, nachdem die Signatur vergeben wurde, kann mit herkömmlichen kryptografischen Systemen die Authentizität nicht mehr validiert werden.In hospitals It is clinics or other medical facilities today Standard that medical reports or prescriptions in electronic Be issued form. Prescriptions are in this context referred to as so-called e-prescriptions. It these are electronic documents in structured form Shape, z. B. as XML documents containing information about the prescribing doctor, whose ID, the name of the patient and a Designation for include the drug to be prescribed. Because the doctor at the time the preparation of the electronic prescription does not know which Jobs in the further administrative processing of the prescription process The e-prescription will be centralized for several Make accessible Datastore set. Several places, such as B. health insurance or Various departments within the health insurance companies have to over time several times with the electronic prescription access the data contained therein. By setting the e-prescription in the data memory is thus the undirected communication of e-prescription from the issuing doctor to the other body entrusted with the administrative processing of the e-prescription are mediated. Data storage for undirected communication are generally untrusted. The means z. B. that even unauthorized persons have access to the set could have electronic documents. These unauthorized persons could z. Eg entries in the e-prescriptions change and so try to get on prescription drugs. However, manipulations of electronic objects, such as Often, for example, electronic prescribing is not "bad" in purpose z. B. various departments within a health insurance in the course the processing of the prescription on the electronic document accessed several times, where the entries are deleted, added and after the manipulation set back into the untrusted data store, to the electronic document further places to the further Processing accessible to do. So there is the problem between "permissible" and "not allowed" manipulation of the medical-electronic To distinguish between documents without thereby affecting the content itself must be received, which were created by the manipulation. The insertion security on the part of the untrusted data store But they are usually too expensive. Cryptography is different options ready for an authenticity of the electronic object. Such a possibility is the use of so-called hash functions. These are functions the one-to-one way an electronic object assign a number. This number is called a signature. Becomes However, the electronic object changed after the signature has been awarded, can with conventional authenticity is no longer validated in cryptographic systems.

Die vorliegende Erfindung hat sich deshalb zur Aufgabe gestellt, einen Weg aufzuzeigen, auf der Grundlage von herkömmlichen Hash-Funktionen zwischen einer zulässigen und nicht-zulässigen Manipulation des elektronischen Objektes unterscheiden zu können. Ferner sollen Modifikationen des elektronischen Dokumentes möglich sein, nachdem das elektronische Dokument signiert wurde, ohne dass die Authentizität des elektronischen Dokumentes hierbei kompromittiert würde.The The present invention has therefore set itself the task of a Way to point out, based on traditional hash functions between a permissible one and not allowed Distinguish manipulation of the electronic object. Further should modifications of the electronic document be possible after the electronic document has been signed without the authenticity of the electronic document would be compromised.

Diese Aufgabe wird durch die beiliegenden Hauptansprüche gelöst.These The object is solved by the enclosed main claims.

Im Folgenden wird die Erfindung anhand der verfahrensgemäßen Lösung beschrieben. Hierbei erwähnte Vorteile, Merkmale oder alternative Ausführungsformen sind ebenso auch auf die anderen beanspruchten Gegenstände zu übertragen insbesondere auf das System und das Computerprogramm und umgekehrt.in the The invention will be described below with reference to the method according to the solution. Mentioned here Advantages, features or alternative embodiments are as well in particular to transfer to the other claimed objects the system and the computer program and vice versa.

Die vorliegende Aufgabe wird insbesondere durch ein Verfahren zum Validieren einer Authentizität eines elektronischen Objekts unter Einbeziehung einer ersten vertrauenswürdigen dritten Partei gelöst. Das Verfahren umfasst dabei folgende Schritte:

– Herausfiltern eines essentiellen Bereichs in dem elektronischen Objekt durch die erste vertrauenswürdige dritte Partei,
– durch Hashen dieses herausgefilterten, essentiellen Bereichs durch die erste vertrauenswürdige dritte Partei wobei ein erster Hash-Wert generiert wird,
– Validieren der Authentizität des elektronischen Objekts durch Vergleichen des ersten Hash-Wertes mit einem zweiten Hash-Wert. Dieser zweite Hash-Wert wird dabei durch ein erneutes Herausfiltern und erneutes Hashen des elektronischen Objekts durch eine zweite vertrauenswürdige dritte Partei generiert.

In particular, the present object is achieved by a method for validating an authenticity of an electronic object involving a first trusted third party. The method comprises the following steps:

Filtering out an essential area in the electronic object by the first trusted third party,
By hashing this filtered-out essential area by the first trusted third party generating a first hash value,
Validating the authenticity of the electronic object by comparing the first hash value with a second hash value. This second hash value is thereby filtered out again and hashing the electronic again Object generated by a second trusted third party.

Im Folgenden soll die Terminologie der in der vorliegenden Erfindung verwendeten Begrifflichkeiten kurz beschrieben werden.in the Following is the terminology of the present invention used terms are briefly described.

Unter Validieren einer Authentizität eines elektronischen Objekts ist der Vorgang zu verstehen, bei dem festgestellt werden soll, ob das elektronische Objekt kompromittiert bzw. seit der Erstellung des elektronischen Objekts manipuliert wurde. Damit soll jede Art von Zugriff auf das Objekt umfasst sein. Umgangssprachlich ausgedrückt, wird überprüft, ob das elektronische Objekt „angefasst" worden ist. Authentizität wird in diesem Zusammenhang auch häufig als Integrität bezeichnet.Under Validating an authenticity An electronic object is to be understood as the process in which to determine if the electronic object is compromised or manipulated since the creation of the electronic object has been. This should include any type of access to the object. Colloquially expressed, will check if the electronic Object has been "touched." Authenticity is in This relationship is also common as integrity designated.

Unter einem „elektronischen Objekt" ist zum Beispiel ein elektronisches Dokument zu verstehen, dass mit einer geeigneten Verarbeitungssoftware erstellt werden ist. Unter elektronischem Objekt sollen aber insbesondere auch strukturierte elektronische Dokumente verstanden werden, z. B. Dokumente, die in XML oder ASN-1 generiert worden sind. Im medizinischen Bereich ist hierbei insbesondere eine sogenannte e-Verschreibung zu nennen. Eine e-Verschreibung wird von einem Arzt mit einer entsprechenden Software auf einem Computer. erstellt. Das Dokument selbst ist z. B. ein XML-Dokument bei dem die verschiedenen Äste mit Attributen versehen sind. Die Attribute haben verschiedene Werte wie z. B. einen Patientennamen oder eine ID bzw. den Namen des Arztes der die e-Verschreibung ausgestellt hat, den Namen des Medikaments das verschreiben wurde und andere Parameter, die für die Abwicklung bzw. Abarbeitung des Verschreibungsvorgangs wichtig sind.Under an "electronic Object "is for example to understand an electronic document that with a suitable Processing software is created. Under electronic However, the object should also be structured electronic documents be understood, for. B. Documents generated in XML or ASN-1 have been. In the medical field is here in particular one to call so-called e-prescription. An e-prescription will by a doctor with appropriate software on a computer. created. The document itself is z. B. an XML document in which the different branches are provided with attributes. The attributes have different values such as For example, a patient name or an ID or the name of the doctor who has issued the e-prescription, the name of the drug that was prescribe and other parameters required for the settlement or Processing the prescription process are important.

Unter einer „vertrauenswürdige dritte Partei" ist allgemein ein Agent z. B. eine Organisation die über eine entsprechende informationstechnische Infrastruktur verfügt, um z. B. eine Datenübertragung durch ungerichtete Kommunikation zwischen verschiedenen Teilnehmern zu vermitteln. Dies geschieht z. B. dadurch, dass die vertrauenswürdige dritte Partei sogenannte öffentliche Schlüssel für die bekannten asymmetrischen Verschlüsselungsverfahren verwaltet und zugänglich macht oder bei der Ausstellung von Zertifikaten d. h. von digitalen Zertifikaten mitwirkt und somit eine Implementieren einer ganzen Reihe von insbesondere kryptographischen Verfahren ermöglicht. Mit den öffentlichen Schlüssel können z. B. in un-vertrauenswürdige Datenspeicher eingstellte und mit privaten Schlüsseln verschlüsselte elektronische Dokumente entschlüsselt werden, indem der öffentlichen Schlüssel von der vertrauenswürdige dritte Partei angefordert wird.Under a trustworthy third Party "is common an agent z. B. an organization which has a corresponding information technology Infrastructure has, to z. B. a data transmission undirected communication between different participants convey. This happens z. B. in that the trusted third Party so-called public key for the known ones asymmetric encryption method managed and accessible or issuing certificates d. H. from digital Certificates participates and thus an implementation of a whole series in particular cryptographic method allows. With the public Keys can z. B. in untrusted Datastore set and encrypted with private keys electronic Decrypted documents be by the public key from the trusted third party is requested.

Unter einem „essentiellen Bereich" eines elektronischen Objektes ist derjenige Teil des elektronischen Objektes zu verstehen, der die wichtigen oder die als wichtig erachteten und sicherheitskritischen Informationen enthält. In einem strukturierten elektronischen Objekt, wie z. B. in einem XML-Dokument, kann der Autor festlegen welche Äste bzw. Unteräste des XML-Dokuments diese wichtigen und kritischen bzw. sicherheitskritischen Positionen enthalten. Daher kann durch Angabe einer Untermenge von Ästen des XML-Dokuments ein essentieller Bereich in diesem XML-Dokument definiert werden. Andere Möglichkeiten sind natürlich auch denkbar. Insbesondere könnte man in einem herkömmlichen mit Textverarbeitungssoftware hergestellten Dokument den essentiellen Bereich durch die verwendeten Formatierungsinformationen in dem Textdokument definieren. Um ein fiktives Beispiel zu nennen könnte man z. B. alles kursiv Gesetzte in einem Textdokument als den essentiellen Bereich in diesem Dokument ansehen. Manipulationen, die im essentiellen Bereich des elektronischen Objektes erfolgten sind als unzulässig anzusehen. Alle anderen Manipulationen die sich nur auf den nicht-essentiellen Bereich erstrecken gelten als zulässig. Der essentielle Bereich ist besonders schutzwürdig und vor nicht-zulässigen Manipulationen zu schützen. Welche Bereiche im elektronischen Dokument als essentiell bestimmt werden, ist dynamisch variabel und vordefinierbar. Als essentiell werden (vom Arzt im Anwendungsfall) die Bereiche gekennzeichnet, auf die nur autorisierte Zugriffe, also zulässige Zugriffe, erfolgen sollen. Der Rest des Dokuments ist auch für alle anderen Zugriffe möglich.Under an "essential Range "of an electronic Object is the part of the electronic object to understand those that are important or considered important and safety-critical Contains information. In a structured electronic object, such. In one XML document, can the author determine which branches or sub-branches of the XML document these important and critical or safety-critical Positions included. Therefore, by specifying a subset of branches of XML document defines an essential area in this XML document become. Other options are natural also conceivable. In particular, could one in a conventional one document produced with word processing software the essential Range through the formatting information used in the Define text document. To name a fictional example one could z. For example, all in italics put in a text document as the essential one See the area in this document. Manipulations in the essential area of the electronic object are to be regarded as inadmissible. All other manipulations are only on the non-essential Range extend are considered admissible. The essential area is particularly worthy of protection and not allowed Protect manipulations. Which areas in the electronic document are determined to be essential is dynamically variable and predefinable. To be essential (by the doctor in the case of application) the areas marked on the only authorized accesses, ie permissible accesses, should take place. The rest of the document is also possible for all other accesses.

Unter Herausfiltern ist die Anwendung eines Filters auf das elektronische Objekt gemeint. Unter Filter ist herbei insbesondere ein Software-Tool zu verstehen, dass aufgrund von Zeichenerkennung in der Lage ist, bestimmte Zeichen von einem zu filternden Dokument zu finden, herauszukopieren und z. B. zur Weiterverarbeitung an ein anderes Softwaremodul zu übergeben. Beispiel für Filter sind z. B. SED, AWK oder spezielle XML-Filter, die besonders für den Einsatz auf XML-Dokumenten gedacht sind. Filter manipulieren bzw. Verändern im Allgemeinen das zu filternde Dokument nicht. Der Filter wird angewandt, damit die Hash-Funktion nur auf den essentiellen Bereich des Dokuments angewendet wird. Nur dieser Bereich soll sich in dem ersten Hash-Wert kodiert werden.Under Filtering out is the application of a filter on the electronic Object meant. Filter is especially a software tool to understand that due to character recognition is able to to retrieve certain characters from a document to be filtered and Z. B. for further processing to another software module to pass. example for Filters are z. B. SED, AWK or special XML filters that special for the Are intended for use on XML documents. Manipulate filters or Change generally not the document to be filtered. The filter will applied so that the hash function only on the essential area the document is applied. Only this area should be in the first hash value are encoded.

Unter Hashen ist die Anwendung einer Hash-Funktion zu verstehen. Unter Hash-Funktion sind hierbei die im kryptographischen Bereich üblichen und bekannten Hash-Funktionen zu verstehen. Das elektronische Objekt kann – wie schon gesagt – z. B. ein XML-Dokument oder eine andere Datei mit darin enthaltenen Informationen sein. Insbesondere lässt sich deshalb das elektronische Objekt auch als sehr große Zeichenkette auffassen. Durch Anwendung der Hash-Funktion auf diese große Zeichenkette wird im Allgemeinen eine sehr große, ganze Zahl in einen vorher definierten Bereich erzeugt. Die große Zeichenkette wird auf diese große Zahl abgebildet. Hash-Funktionen haben im der Kryptographie verschiedene Einsatzbereiche. Die für die vorliegende Erfindung interessierende Eigenschaft der Hash-Funktion besteht darin, dass sie extrem sensibel auf jegliche (auch nur geringste) Modifikationen in der Zeichenkette ist. Es kommt zu sehr großen Abweichungen in dem von der Hash-Funktion produzierten Hash-Werkes, wenn sich das elektronische Objekt, auf das die Hash-Funktion angewandt wurde, auch nur im geringsten Maße abgeändert worden ist. Daher eignet sich die Hash-Funktion sehr gut um festzustellen, ob das elektronische Objekt an irgendeiner Stelle manipuliert wurde. Andere Funktionen mit einer ähnlichen modifikations-sensitiven Eigenschaft könnten im Sinne der Erfindung ebenfalls Verwendung finden.Hashas is the application of a hash function. A hash function is to be understood as meaning the usual hash functions known in the cryptographic field. The electronic object can - as already said - z. Example, an XML document or other file with information contained therein. In particular, therefore, the electronic object can also be considered as a very large string. By application The hash function on this large string will generally produce a very large integer in a predefined range. The large string is mapped to this large number. Hash functions have different uses in cryptography. The hash function property of interest to the present invention is that it is extremely sensitive to any (even the slightest) modifications in the string. There are very large deviations in the hash work produced by the hash function when the electronic object to which the hash function has been applied has been modified to the least extent. Therefore, the hash function works well to determine if the electronic object has been manipulated anywhere. Other functions with a similar modification-sensitive property could also be used within the meaning of the invention.

Der Vorteil des erfindungsgemäßen Verfahrens besteht darin, dass sich die Authentizität des elektronischen Objektes feststellen lässt, also ob das elektronische Objekt vor dem Zeitpunkt der Validierung bereits möglicherweise manipuliert wurde. Dadurch, dass die Hash-Funktion nur auf einen essentiellen Bereich des elektronischen Objekts angewendet wird, bleibt die Authentizität des elektronischen Objektes auch dann gewahrt, wenn das elektronische Objekt in einem Bereich außerhalb des essentiellen Bereichs manipuliert wurde. Eine Modifikation im nicht essentiellen Bereich ist zulässig, erlaubt und authentizitäts-erhaltend.Of the Advantage of the method according to the invention is that the authenticity of the electronic object determine So whether the electronic object before the date of validation already possibly was manipulated. Because the hash function only works on one essential area of the electronic object is applied the authenticity remains of the electronic object even if the electronic Object in an area outside of the essential area was manipulated. A modification in the non-essential area is allowed, allowed and authenticity-preserving.

In einer bevorzugten Ausführungsform der Erfindung ist die erste vertrauenswürdige dritte Partei identisch mit der zweiten vertrauenswürdigen dritten Partei. Durch diese Ausführungsform lässt sich das Verfahren gemäß der Erfindung besonders einfach gestalten. Im Übrigen sind die Anforderungen an die vertrauenswürdigen dritten Parteien – so sie denn verschieden sein sollten – im Sinne der Erfindung gering. Es muss lediglich sichergestellt sein, dass die beiden vertrauenswürdigen dritten Parteien in der Lage sind, dieselben Filter- bzw. Hash-Funktionen implementieren zu können.In a preferred embodiment According to the invention, the first trusted third party is identical with the second trusted third party. By this embodiment let yourself the method according to the invention make it really easy. Furthermore are the requirements of the trusted third parties - so they because different should be - in Meaning of the invention low. It just has to be ensured that the two trusted third parties are able to implement the same filter or hash functions to be able to.

In einer bevorzugten Ausführungsform umfasst das erfindungsgemäße Verfahren einen weiteren Verfahrensschritt:

– Ablegen des ersten Hash-Wertes zusammen mit dem elektronischen Objekt in einen nicht-vertrauenswürdigen Datenspeicher. Dieses Ablegen in den nicht-vertrauenswürdigen Datenspeicher geschieht nachdem der Hash-Wert mit einem privaten Schlüssel verschlüsselt wurde.

In a preferred embodiment, the method according to the invention comprises a further method step:

- Store the first hash value together with the electronic object in an untrusted data store. This is placed in the untrusted data store after the hash value has been encrypted with a private key.

Unter Ablegen ist hierbei das Übertragen und Einstellen oder Ablegen des elektronischen Objekts zusammen mit dem verschlüsselten Hash-Wert (und zwar mit dem verschlüsselten ersten Hash-Wert) in den Datenspeicher zu verstehen. Gemäß einer vorteilhaften Weiterbildung der Erfindung ist die Übertragung über eine sichere Point-2-Point-Netzwerkverbindung zur realisieren.Under Storing is the transfer here and setting or dropping the electronic object together with the encrypted Hash value (with the encrypted first hash value) in the To understand data storage. According to one advantageous development of the invention is the transmission over a secure point-2-point network connection to realize.

Unter einem nicht-vertrauenswürdigen Datenspeicher versteht man einen Datenspeicher, wie z. B. eine Datenbank oder sonstige Systeme, in denen Daten gehalten werden können, die vorzugsweise mit ungerichteter Kommunikation Verwendung finden. Diese Art der Kommunikation ist immer dann anzuwenden, wenn der Absender einer Nachricht des Adressaten vorher nicht kennt. Diese Art der Kommunikation erfolgt indem z. B. das elektronische Objekt von einem Autor, d. h. also eine Instanz, die das elektronische Objekt geschaffen hat in dem nicht-vertrauenswürdigen Datenspeicher eingestellt wird. Von diesem nicht-vertrauenswürdigen Datenspeicher kann dann zu einem späteren Zeitpunkt ein Leseinstanz, die Interesse an dem elektronischen Objekt hat, das elektronische Objekt abrufen, z. B. durch Herunterladen in einer herkömmliche Internetumgebung. Vertrauensunwürdig werden die Datenspeicher deshalb genannt, weil aus Kostengründen keinerlei oder wenig Überwachung der dort abgelegten elektronischen Objekte erfolgt. Manipulationen der elektronischen Objekte durch unbefugte Dritte sind daher in solchen nicht-vertrauenswürdigen Datenspeichern durchaus möglich.Under an untrustworthy one Data storage means a data storage, such. For example, a database or other systems in which data can be kept, the preferably with undirected communication use. This type of communication is always applicable when the Sender of a message of the addressee does not know previously. These Type of communication takes place by z. B. the electronic object of an author, d. H. ie an instance that contains the electronic object has set up in the untrusted data store becomes. Then, this untrusted data store can for a later Time a reading, the interest in the electronic object has to retrieve the electronic object, eg. B. by downloading in a conventional Internet environment. trust Unworthy the data storage are called because of cost reasons no or little supervision the stored there electronic objects. manipulations of electronic objects by unauthorized third parties are therefore in such untrusted Data storage quite possible.

Unter einem privatem Schlüssel ist eine Zahl zu verstehen, die im Zusammenhang mit asymmetrischen Verschlüsselungsverfahren genutzt wird, um Daten verschlüsseln zu können. Die Daten werden dadurch nur solchen autorisierten Instanzen zugänglich gemacht, die im Besitz zu diesem privaten Schlüssel passenden zugehörigen öffentlichen Schlüssels sind.Under a private key is a number related to asymmetric encryption method is used to encrypt data to be able to. The data is thereby made available only to such authorized entities, are the associated public key matching this private key.

Der Vorteil hierbei ist, dass durch Verschlüsselung des ersten Hash-Wertes die Validierung der Authentizität des zugehörigen elektronischen Objektes nur autorisierten Instanzen ermöglicht wird.Of the Advantage here is that by encrypting the first hash value the validation of authenticity of the associated electronic object is only authorized instances.

In einer bevorzugten Ausführungsform der Erfindung wird der erste Hash-Wert als Teil eines Signaturelements in den nicht- vertrauenswürdigen Datenspeicher zusammen mit dem elektronischen Objekt abgelegt.In a preferred embodiment The invention provides the first hash value as part of a signature element in the untrusted data store stored together with the electronic object.

Gemäß einer weiteren Ausführungsform der Erfindung umfasst das Signaturelement auch Filterinformationen, die den verwendeten Filter zum Herausfiltern des essentiellen Bereiches spezifizieren.According to one another embodiment invention, the signature element also comprises filter information, the filter used to filter out the essential area specify.

Gemäß einer weiteren Ausführungsform der Erfindung enthält das Signaturelement auch Hash-Informationen, die die verwendete Hash-Funktion beim Produzieren des ersten Hash-Wertes spezifizieren.According to a further embodiment of the invention, the signature element also contains hash information which the hash function used in the Specify producing the first hash value.

Unter einem Signaturelement ist z. B. ein digitales Zertifikat zu verstehen, das in der Kryptographie u. a. dazu verwendet wird, die für die Validierung einer Authentizität erforderlichen Informationen bereit zu stellen. Das Signaturelement ist hierbei entweder eine eigenständige Datei, die mit dem elektronischen Objekt auf irgendeine Art assoziiert ist, oder das Signaturelement ist direkt in das elektronische Objekt eingebettet. Das Signaturelement im Sinne der Erfindung enthält Filterinformationen. Hierbei handelt es sich um Daten die z. B. den Typ des verwendenden Filters spezifizieren (z. B. XML-Filter). Des weiteren spezifiziert die Filterinformation auch, welche Bereiche des elektronischen Objektes als essentielle Bereiche anzusehen sind. Wenn es sich z. B. um einen XML-Filter handelt, so würde die Filterinformation eine Liste derjenigen Äste des XML-Dokumente beinhalten, die den essentiellen Bereich in dem XML-Dokument definiert. In ähnlicher Weise enthält die Hash-Information Informationen darüber, welche Hash-Funktion zu verwenden ist. Das Signaturelement erlaubt es also der ersten bzw. zweiten vertrauenswürdigen dritten Partei, die für das jeweilige elektronische Objekt passende Filterung und Hashing durchzuführen. Es sind allerdings alternative Ausführungsformen denkbar, in denen der ersten bzw. zweiten vertrauenswürdigen Partei, die Informationen über die Filter bzw. Hash-Funktion zugänglich gemacht werden kann.Under a signature element is z. B. to understand a digital certificate, that in cryptography u. a. is used for the validation of a authenticity necessary information. The signature element This is either a separate file with the electronic Object is associated in some way, or the signature element is embedded directly in the electronic object. The signature element contains within the meaning of the invention Filter information. This is data z. B. specify the type of filter to use (eg XML filter). Of Further, the filter information also specifies which areas of the electronic object are to be regarded as essential areas. If it is z. B. is an XML filter, the would Filter information include a list of those branches of XML documents, which defines the essential area in the XML document. In similar Way contains the hash information information about what hash function too use is. The signature element thus allows the first or second trusted third party for the respective electronic object matching filtering and hashing perform. However, alternative embodiments are conceivable in which the first or second trustworthy party, the information about the Filter or hash function made accessible can be.

Gemäß einer weiteren Ausführungsform der Erfindung geschieht das Produzieren des zweiten Hashwertes beim Validieren der Authentizität des elektronischen Objektes auf Grundlage der Filterinformationen und der Hashinformationen in dem abgelegten Signaturelement.According to one another embodiment the invention happens to produce the second hash value at Validate the authenticity of the electronic object based on the filter information and the hash information in the stored signature element.

In einer weiteren Ausführungsform der Erfindung hat das Verfahren den folgenden zusätzlichen Verfahrensschritt:

– Abrufen des verschlüsselten ersten Hashwertes durch Abrufen des Signaturelementes zusammen mit dem elektronischen Objekt aus dem nicht-vertrauenswürdigen Datenspeicher.

In a further embodiment of the invention, the method has the following additional method step:

Retrieving the encrypted first hash value by retrieving the signature element together with the electronic object from the untrusted data store.

Unter Abrufen ist hierbei jegliche Form des Zugänglichmachens des Signaturelements bzw. des elektronischen Objekts gemeint. Das Abrufen könnte z. B. über eine sichere point-2-point-Verbindung, z. B. https über Internet erfolgen. Für die Funktionsweise der Erfindung ist es an dieser Stelle unerheblich und deshalb wahlweise einstellbar, ob das den ersten Hashwert enthaltene Signaturelement vorher, gleichzeitig oder nach dem Abrufen des elektronischen Objekts erfolgt.Under Retrieving here is any form of making the signature element available or the electronic object. The retrieval could z. B. over a secure point-2-point connection, eg. Eg https via internet respectively. For the operation of the invention is irrelevant at this point and therefore optionally adjustable, whether that contained the first hash value Signature element before, simultaneously or after retrieving the electronic Object takes place.

In seiner weiteren Ausführungsform der Erfindung wird beim Abrufen des verschlüsselten ersten Hashwertes (bzw. des Signaturelements des elektronischen Objekts) auch der zum privaten Schlüssel gehörige öffentliche Schlüssel mit abgerufen, damit der erste Hashwert entschlüsselt werden kann.In its further embodiment the invention is used in retrieving the encrypted first hash value (or the signature element of the electronic object) also belonging to the private key public key with, so that the first hash value can be decrypted.

Hierbei ist es für das erfindungsgemäße Verfahren ebenfalls gleichgültig, für welchen Zeitpunkt der private Schlüssel abgerufen wird. Bei manchen Anwendungsszenarien wäre s das Abrufen des öffentlichen Schlüssels durchauzu einem späteren Zeitpunkt sinnvoll.in this connection is it for the inventive method equally indifferent for which Time of private keys is retrieved. In some application scenarios, this would be s Retrieve the public key at a later date meaningful.

Gemäß einer weiteren Ausführungsform der Erfindung wird der zweite Hashwert beim Validieren des elektronischen Objekts zu einem späteren Zeitpunkt produziert, als der erste Hashwert.According to one another embodiment of the invention, the second hash value in validating the electronic Object at a later time Time produced as the first hash value.

In einer weiteren Ausführungsform der Erfindung erfolgt das Validieren der Authentizität des elektronischen Objektes nachdem der abgerufene verschlüsselte erste Hashwert mit dem ebenfalls abgerufenen öffentlichen Schlüssel entschlüsselt wurde.In a further embodiment The invention validates the authenticity of the electronic Object after the retrieved encrypted first hash value with the also called public key decrypts has been.

In seiner weiteren Ausführungsform der Erfindung wird beim Ablegen des ersten Hashwertes zusammen mit dem elektronischen Objekt in den nicht-vertrauenswürdigen Datenspeicher zusätzlich auch das elektronische Objekt selbst mit verschlüsselt. Das ist aber ledigliche eine Option. Es ist auch möglich, dass das elektronische Objekt im „Klartext" abgelegt wird.In its further embodiment the invention is stored with the first hash value stored together with the electronic object into the untrusted data store in addition also encrypted the electronic object itself. But that is only one an option. It is also possible, that the electronic object is stored in "plain text".

Im Falle der Verschlüsselung des Objekts wird zum Verschlüsseln derselbe private Schlüssel verwendet, mit dem auch der erste Hashwert verschlüsselt wurde. Dies hat den Vorteil, dass der Kreis der Leseinstanzen (Instanzen, die ein Interesse an dem elektronischen Objekt haben) auf autorisierte Instanzen eingeschränkt wird (die im Besitz des zugehörigen öffentlichen Schlüssels sind).in the Case of encryption of the object is to be encrypted using the same private key, with which also the first hash value was encrypted. This has the advantage that the circle of reading instances (instances that have an interest in the electronic object) is restricted to authorized entities (owned by the associated public key are).

Eine weitere Aufgabelösung besteht in einem System zum Validieren einer Authentizität eines elektronischen Objektes in einem Netzwerk unter Einbeziehung einer ersten vertrauenswürdigen dritten Partei. Das System umfasst dabei:

– eine Filtereinheit zum Herausfiltern eines essentiellen Bereiches in dem elektronischen Objekt durch die erste vertrauenswürdige dritte Partei,
– ein Hashmodul zum Hashen dieses herausgefilterten essentiellen Bereichs durch die erste vertrauenswürdige dritte Partei, wobei ein erster Hashwert generiert wird,
– einen Datenspeicher,
– eine Ablegeinstanz zum Ablegen des ersten Hashwertes als Teil eines Signaturelements zusammen mit dem elektronischen Objekt in den Datenspeicher,
– eine Abrufinstanz zum Abrufen des ersten Hashwertes durch Abrufen des Signaturelementes zusammen mit dem elektronischen Objekt aus dem Datenspeicher,
– ein Validierungsmodul zum Validieren der Authentizität des elektronischen Objekts durch Vergleichen des ersten Hashwertes mit einem zweiten Hashwert. Der zweite Hashwert wird dabei auf Grundlage des abgerufenen Signaturelements durch erneutes Herausfiltern und erneutes Hashen, jeweils ausgeführt durch eine zweite vertrauenswürdige dritte Partei, produziert.

Another approach is to validate authenticity of an electronic object in a network involving a first trusted third party. The system includes:

A filter unit for filtering out an essential area in the electronic object by the first trusted third party,
A hash module for hashing this filtered out essential area by the first trusted third party, generating a first hash value,
- a data store,
A deposition instance for storing the first hash value as part of a signature element together with the electronic object in the data memory,
- a polling instance to retrieve the first has hwert by retrieving the signature element together with the electronic object from the data memory,
A validation module for validating the authenticity of the electronic object by comparing the first hash value with a second hash value. The second hash value is produced on the basis of the retrieved signature element by filtering out again and hashing again, in each case carried out by a second trustworthy third party.

Unter „Filtereinheit" und unter Hashmodul" sind als Hardware oder als Software ausgebildete Komponenten, die den jeweiligen zu verwendenden Filter bzw. die zu verwendende Hashfunktion zu implementieren im Stande sind.Under "Filter Unit" and under hash module "are considered hardware or software-trained components that belong to the respective ones implementing filter or hash function to be used are able.

Mit dem Datenspeicher, der im allgemeinen ein vertrauensunwürdiger ist, kann mit der ersten bzw. zweiten vertrauenswürdigen dritten Parteien einerseits und den Ablege- bzw. Abrufinstanz andererseits gemäß einer bevorzugten Ausführungsform der Erfindung gemäß ein ungerichtetes Kommunikationsnetzwerk organisiert werden. Die Ablege- bzw. Abrufinstanzen können jeweils mit dem Datenspeicher untereinander bzw. mit den ersten bzw. zweiten vertrauenswürdigen dritten Parteien kommunizieren. Unter Ablegeinstanz ist in diesem Zusammenhang in erster Linie der Autor des elektronischen Objektes zu verstehen, der im Stande ist, mit der vertrauenswürdigen dritten Partei zu kommunizieren um das Filtern bzw. Hashen des elektronischen Objekts zu veranlassen und der eine entsprechende Verschlüsselung des so gewonnenen ersten Hashwertes durchzuführt um anschließend den verschlüsselten ersten Hashwert als Teil des Signaturelementes zusammen mit dem elektronischen Objekt in den Datenspeicher abzulegen.With the data store, which is generally a trustworthy one, can with the first or second trusted third parties on the one hand on the other hand, according to a preferred embodiment According to the invention, a non-directional Communication network are organized. The deposit or retrieval instances can each with the data store with each other or with the first or second trusted third parties communicate. Under deposition instance is in this Connection primarily the author of the electronic object to be able to understand who is capable with the trusted third Party to communicate to the filtering or hashing of electronic To initiate object and the appropriate encryption of the so obtained first hash value carried out to subsequently the encrypted first hash value as part of the signature element together with the store electronic object in the data memory.

Unter Abrufinstanz ist ein Leser zu verstehen, also eine Instanz, die ein Interesse an dem elektronischen Objekt hat und in der Lage ist, das elektronische Objekt mit dem Signaturelement bzw. dem ersten verschlüsselten Hashwert über das Netzwerk abzurufen.Under Retrieval instance is a reader to understand, so an instance that has an interest in the electronic object and is able to the electronic object with the signature element or the first encrypted Hash value over to retrieve the network.

Das Validierungsmodul kann gemäß der Erfindung ebenfalls als Hardware oder Software ausgebildet sein und ist für die Abrufinstanz zugänglich. Es kann sein, dass das Validierungsmodul Bestandteil der Abrufinstanz ist – dies ist allerdings nicht zwingend notwendig. Es muss lediglich gewährleistet sein, so dass die Abrufinstanz mit dem Validierungsmodul kommunizieren kann, die Abrufinstanz über das Validierungsmodul die Validierung der Authentizität des elektronischen Objektes durchführen kann.The Validation module can according to the invention also be designed as hardware or software and is for the polling instance accessible. It may be that the validation module is part of the polling instance is this However, this is not absolutely necessary. It just has to be ensured so that the polling instance communicate with the validation module can, the polling instance on the Validation module validating the authenticity of the electronic Perform object can.

Gemäß einer weiteren Ausführungsform der Erfindung umfasst die Ablegeinstanz ein Verschlüsselungsmodul mit einem privaten Schlüssel. Dadurch kann die Ablegeinstanz den ersten Hashwert mit dem privaten Schlüssel über das Verschlüsselungsmodul verschlüsseln und anschließend den so verschlüsselten ersten Hashwert als Teil des Signaturelementes zusammen mit dem elektronischen Objekt in den Datenspeicher ablegen.According to one another embodiment According to the invention, the depositor comprises an encryption module with a private key. This allows the depositor to use the first hash value with the private one Key over that Encrypt encryption module and subsequently the so encrypted first hash value as part of the signature element together with the store the electronic object in the data memory.

In einer weiteren Ausführungsform der Erfindung umfasst die Abrufinstanz ein Entschlüsselungsmodul zum Entschlüsseln des verschlüsselten und abgerufenen ersten Hashwertes mit einem öffentlichen Schlüssel.In a further embodiment According to the invention, the polling entity comprises a decoding module to decrypt of the encrypted and retrieved first hash value with a public key.

Gemäß einer weiteren Ausführungsform der Erfindung wird dieser öffentliche Schlüssel von der Abrufinstanz zusammen mit dem Signaturelement, das den verschlüsselten ersten Hashwert als Teil umfasst, und dem elektronischen Objekt abgerufen.According to one another embodiment The invention will be public key from the polling instance together with the signature element that encoded the includes first hash value as part, and the electronic object accessed.

Eine weitere alternativen Aufgabenlösung sieht ein Speichermedium vor, dass zur Speicherung des vorstehenden beschrieben computerimplementierten Verfahrens bestimmt ist und von einem Computer lesbar ist.A sees another alternative task solution a storage medium that described for storing the above computer-implemented method and is determined by a computer is readable.

Weitere vorteilhafte Ausführungsformen ergeben sich aus den Unteransprüchen.Further advantageous embodiments emerge from the dependent claims.

In der folgenden Figurenbeschreibung werden nicht einschränkend zu verstehende Ausführungsbeispiele dargestellt.In The following description of the figures are not restrictive Understanding embodiments shown.

1 eine schematische Übersicht einer Darstellung mit wesentliche Modulen gemäß einer bevorzugten Ausführungsform dner vorliegenden Erfindung und 1 a schematic overview of a representation with essential modules according to a preferred embodiment of the present invention and

2 eine schematische Darstellung mit Hilfe eines Flussdiagramms von wesentlichen Verfahrensschritte gemäß einer Ausführungsform der Erfindung. 2 a schematic representation with the aid of a flowchart of essential process steps according to an embodiment of the invention.

1 zeigt übersichtsartig ein System zum Validieren einer Authentizität eines elektronischen Objekts O in einem Netzwerk unter Einbeziehung einer ersten vertrauenswürdigen dritten Partei TTP1 gemäß einer Ausführungsform der Erfindung. 1 3 is an overview of a system for validating authenticity of an electronic object O in a network involving a first trusted third party TTP1 according to an embodiment of the invention.

Zunächst erfolgt ein grober Überblick über die Komponenten, die in 1 dargestellt sind. 1 zeigt eine Ablegeinstanz 160, in der das elektronische Objekt O generiert oder erzeugt wird. Dieses elektronische Objekt soll mittels ungerichteter Kommunikation an eine Abrufinstanz 170 übermittelt werden. Die Ablegeinstanz 170 wird in diesem Zusammenhang auch als Autor bezeichnet und die Abrufinstanz 160 als Leser. Die ungerichtete Kommunikation des elektronischen Objekts O wird dadurch vermittelt, dass das elektronische Objekt in einem nicht-vertrauenswürdigen Datenspeicher 120 abgelegt wird.First, a rough overview of the components that are in 1 are shown. 1 shows a deposit instance 160 in which the electronic object O is generated or generated. This electronic object is intended to be sent to a polling entity by means of undirected communication 170 be transmitted. The deposition instance 170 is referred to in this context as the author and the polling authority 160 as a reader. The undirected communication of the electronic object O is mediated by the fact that the electronic object in a untrusted data store 120 is filed.

Um der Abrufinstanz 170 allerdings die Möglichkeit zu geben, die Authentizität des elektronischen Objekts O zu überprüfen, wird das elektronische Objekt O von der Ablegeinstanz 160 vor dem Ablegen in den Datenspeicher 120 an eine vertrauenswürdige dritte Partei TTP geschickt. Gemäß einer Ausführungsform der Erfindung handelt es sich bei dem elektronischen Objekt um ein XML-Dokument, das von dem Autor bzw. der Ablegeinstanz 160 mit entsprechender Software erstellt wurde. Es kann sich hierbei z. B. um eine e-Verschreibung eines Medikamentes für einen Patienten handeln. Die einzelnen Attribute wie Patientenname, Name des Medikaments, ID des verschreibenden Arztes usw. sind in bekannter Art und Weise in die baumartige Struktur des XML-Dokuments als verschiedene Äste eingebettet.To the polling instance 170 However, to give the possibility to verify the authenticity of the electronic object O, the electronic object O is the depositor 160 before storing in the data store 120 sent to a trusted third party TTP. According to one embodiment of the invention, the electronic object is an XML document created by the author or depositor 160 was created with appropriate software. It may be here z. B. is an e-prescription of a drug for a patient. The individual attributes such as patient name, name of the drug, ID of the prescribing physician, etc. are embedded in a known manner in the tree-like structure of the XML document as different branches.

Die Ablegeinstanz 160 kann durch vorherige Vereinbarung mit der vertrauenswürdigen dritten Partei TTP festlegen, welche Attribute in dem XML-Dokument als essentielle Attribute anzusehen sind. Auf diese Art und Weise wird ein essentieller Bereich in dem elektronischen Objekt definiert. Die vertrauenswürdige dritte Partei TTP erfasst das elektronische Objekt O, erkennt um welchen Dokumententyp (hier z. B. ein XML-Dokument) es sich handelt und filtert mit einer Filtereinheit 140 die essentiellen Bereiche des elektronischen Objekts O heraus. Diese werden dann anschließend an ein Hashmodul 150 übergeben, in dem eine Hash-Funktion implementiert ist.The deposition instance 160 may determine by prior agreement with the trusted third party TTP which attributes are to be considered as essential attributes in the XML document. In this way, an essential area is defined in the electronic object. The trusted third party TTP detects the electronic object O, detects which type of document (here, for example, an XML document) is involved and filters with a filter unit 140 the essential areas of the electronic object O out. These are then connected to a hash module 150 in which a hash function is implemented.

Der herausgefilterte essentielle Bereich wird als eine Zeichenkette aufgefasst, auf die die Hash-Funktion, die durch das Hash-Modul 150 implementiert ist, angewendet wird, um einen Hash-Wert, im Allgemeinen also eine Zahl, zu produzieren. Ein erste rHash-Wert 130a wird dann zusammen mit einem zweiten Hash-Wert 130b von der Abrufinstanz 170 benutzt, um die Authentizität des elektronischen Objekts O zu überprüfen.The filtered-out essential area is considered to be a string to which the hash function generated by the hash module 150 is implemented to produce a hash value, generally a number. A first rash value 130a is then combined with a second hash value 130b from the polling instance 170 used to verify the authenticity of the electronic object O.

Nach dem Filtern und Hashen durch die Filtereinheit 140 und durch das Hash-Modul 150 durch die vertrauenswürdige dritte Partei TTP1 wird der erste Hash-Wert 130a zusammen mit Filterinformation 110a und Hash-Information 110b an die Ablegeinstanz 160 zurückgesendet. Die Kommunikation zwischen Ablegeinstanz 160 und der vertrauenswürdigen dritten Partei TTP erfolgt dabei vorzugsweise durch sichere Point2Point-Verbindungen, wie sie sich z. B. durch das https-Protokoll über eine Internetverbindung realisieren lassen.After filtering and hashing through the filter unit 140 and through the hash module 150 by the trusted third party TTP1 becomes the first hash value 130a together with filter information 110a and hash information 110b to the depository 160 returned. The communication between depositor 160 and the trusted third party TTP is preferably done by secure Point2Point connections, such as. B. can be realized through the https protocol via an Internet connection.

Die Filterinformationen 110a enthalten Informationen über den Typ des verwendeten Filters und die Hash-Information 110b enthält Informationen über die verwendete Hash-Funktion. Die Informationen in der Filterinformation 110a und Hash-Information 110b beziehen sich auf den Filter des Filtermoduls 140 bzw. auf die Hash-Funktion im Hash-Modul 150, wie er von einer ersten vertrauenswürdigen dritten Partei TTP1 bei der Erstellung des ersten Hash-Wertes 130a verwendet wurde.The filter information 110a contain information about the type of filter used and the hash information 110b contains information about the used hash function. The information in the filter information 110a and hash information 110b refer to the filter of the filter module 140 or the hash function in the hash module 150 as seen by a first trusted third party TTP1 when creating the first hash value 130a has been used.

Die Filterinformation 110a und die Hash-Information 110b zusammen mit dem ersten Hash-Wert 130a werden zusammengefasst zu einem Signaturelement 110. Dies geschieht durch die Ablegeinstanz 160, wobei das Signaturelement 110 mit Hilfe eines Verschlüsselungsmoduls 160a unter Verwendung eines privaten Schlüssels der Ablegeinstanz 160 verschlüsselt und in dieser verschlüsselten Form in das Signaturelement 110 eingebracht. Das elektronische Objekt O wird dann zusammen mit dem Signaturelement 110 bzw. über eine sichere Datenverbindung an den nicht-vertrauenswürdigen Datenspeicher 120 geschickt und dort abgelegt. Die genaue Organisation des nicht-vertrauenswürdigen Datenspeichers 120 ist dabei für die Erfindung nicht weiter von Belang. Im Allgemeinen wird das elektronische Objekt O zusammen mit dem Signaturelement 110 unter einem Identifikator in den Datenspeicher 120 eingestellt, so dass das elektronische Objekt O zusammen mit dem Signaturelement 110 über diesen Identifikator abgerufen werden kann. Zu einem späteren Zeitpunkt wird das elektronische Objekt O zusammen mit dem Signaturelement 110 von einer Abrufinstanz 170 von dem nicht-vertrauenswürdigen Datenspeicher 120 abgerufen. In diesem Zusammenhang wird, wie schon erwähnt, die Abrufinstanz 170 auch als "Leser" bezeichnet. Wenn das elektronische Objekt O z. B. eine e-Verschreibung ist, kann es sich bei der Abrufinstanz z. B. um eine Krankenkasse handeln, die zur Weiterverarbeitung der Verschreibung die Daten aus dem elektronischen Objekt O benötigt.The filter information 110a and the hash information 110b along with the first hash value 130a are combined to form a signature element 110 , This is done by the depositor 160 , wherein the signature element 110 with the help of an encryption module 160a using a private instance of the deposit instance 160 encrypted and in this encrypted form in the signature element 110 brought in. The electronic object O then becomes together with the signature element 110 or via a secure data connection to the untrusted data store 120 sent and filed there. The exact organization of the untrusted data store 120 is not relevant to the invention. In general, the electronic object O becomes together with the signature element 110 under an identifier in the data store 120 set so that the electronic object O together with the signature element 110 can be retrieved via this identifier. At a later time, the electronic object O becomes together with the signature element 110 from a polling instance 170 from the untrusted data store 120 accessed. In this context, as already mentioned, the polling instance 170 also called "reader". If the electronic object O z. B. is an e-prescription, it may be at the polling instance z. B. may be a health insurance, which requires the data from the electronic object O for further processing of the prescription.

Für die Weiterverarbeitung durch die Abrufinstanz 170 ist es oft nötig, das elektronische Objekt selbst durchaus zu manipulieren, z. B. werden Einträge in dem elektronischen Dokument modifiziert, gelöscht oder hinzugefügt. Es ist z. B. möglich, dass zwischen dem Zeitpunkt des Ablegens in den nicht-vertrauenswürdigen Datenspeicher 120 durch die Ablegeinstanz 160, zu dem Zeitpunkt, zu dem die Abrufinstanz 170 das elektronische Objekt O abruft, dieses bereits von einer Manipulationsinstanz 180 manipuliert wurde. Bei dieser Manipulationsinstanz 180 kann es sich z. B. um eine andere Krankenkasse handeln, die ebenfalls Zugriff auf die elektronische Verschreibung, also das elektronische Objekt O haben muss.For further processing by the polling authority 170 Often it is necessary to manipulate the electronic object itself, eg. For example, entries in the electronic document are modified, deleted or added. It is Z. For example, it is possible to do so between the time it is placed in the untrusted data store 120 through the depository 160 at the time the polling instance 170 the electronic object O retrieves this already from a manipulation instance 180 was manipulated. In this manipulation instance 180 can it be z. B. to another health insurance, which must also have access to the electronic prescription, so the electronic object O.

Bei der Manipulationsinstanz 180 kann es sich aber auch durchaus um eine andere Abteilung der Abrufinstanz 170 handeln, da im Allgemeinen für die Verarbeitung einer elektronischen Verschreibung eine Reihe von Abteilungen innerhalb der Abrufinstanz 170 durchlaufen werden. Die Authentizität des elektronischen Objektes O wird aber durch Manipulationen durch die Manipulationsinstanz 180 nicht kompromittiert, solange sich diese Manipulationen nur auf den nicht-essentiellen Bereich des elektronischen Objekts O beziehen. Das liegt daran, dass der erste Hash-Wert 130a nicht auf der Grundlage des gesamten elektronischen Objektes O erzeugt wurde, sondern durch Anwendung der Hash-Funktion des Hash-Moduls auf dem vorher herausgefilterten essentiellen Bereich durch Filtereinheit 140.At the manipulation instance 180 but it can also be quite another department of the polling authority 170 act as generally for the processing of an electronic prescription a number of departments within the retrieval entity 170 to go through. However, the authenticity of the electronic object O becomes due to manipulations by the manipulation instance 180 not compromised, as long as these manipulations relate only to the non-essential area of the electronic object O. That's because the first hash value 130a was generated on the basis of the entire electronic object O, but by applying the hash function of the hash module on the previously filtered-out essential area by filter unit 140 ,

Die Manipulationen im nicht-essentiellen Bereich des elektronischen Objektes O können daher beim späteren Validieren durch die Abrufinstanz 170 nicht nachgewiesen werden. Das elektronische Objekt O gilt damit als nicht kompromittiert. Der Validierungsvorgang selbst ist auf der rechten Seite der 1 schematisch dargestellt.The manipulations in the non-essential area of the electronic object O can therefore be validated later by the polling entity 170 can not be detected. The electronic object O is thus considered not compromised. The validation process itself is on the right side of the 1 shown schematically.

Die Abrufinstanz 170 ruft z. B. auf der Grundlage der vergebenen Identifikatoren das interessierende elektronische Objekt O zusammen mit dem Signaturelement 110 ab. Dieses Abrufen geschieht vorzugsweise auch durch eine sichere Datenverbindung. Gleichzeitig mit dem Abrufen des elektronischen Objektes O und des Signaturelements 110 wird zu einem späteren Zeitpunkt oder gleichzeitig der zu dem privaten Schlüssel passende und von der vertrauenswürdigen dritten Partei TTP1 bereitgehaltene öffentliche Schlüssel abgerufen. Mit diesem öffentlichen Schlüssel wird zunächst der erste Hash-Wert 130a aus dem Signaturelement 110 entschlüsselt. Nun wird das elektronische Objekt O zusammen mit den Filterinformationen 110a und den Hash-Informationen 110b an die vertrauenswürdige dritte Partei TTP geschickt. Dort wird das elektronische Objekt O aufgrund der Filterinformationen 110a erneut durch einen entsprechenden Filter in dem Filtermodul 140 gefiltert, das heißt der essentielle Bereich herausgefiltert und anschließend an das Hash-Modul 150 übergeben und dort auf Grundlage der Hash-Information 110b mit einer entsprechenden Hash-Funktion gehasht und so ein zweiter Hash-Wert 130b generiert.The polling instance 170 calls z. On the basis of the assigned identifiers, the electronic object of interest O together with the signature element 110 from. This retrieval is preferably done by a secure data connection. Simultaneously with retrieving the electronic object O and the signature element 110 is retrieved at a later time or concurrently with the public key appropriate to the private key and held by the trusted third party TTP1. This public key is the first hash value 130a from the signature element 110 decrypted. Now, the electronic object O becomes together with the filter information 110a and the hash information 110b sent to the trusted third party TTP. There, the electronic object O becomes due to the filter information 110a again through a corresponding filter in the filter module 140 Filtered, that is, the essential area filtered out and then to the hash module 150 passed and there based on the hash information 110b hashed with a corresponding hash function and so a second hash value 130b generated.

IN der in 1 skizzierten Ausführungsform der Erfindung ist nur eine Instanz der vertrauenswürdigen dritten Partei TTP dargestellt.IN the in 1 sketched embodiment of the invention, only one instance of the trusted third party TTP is shown.

Andere Ausführungsformen der Erfindung sehen durchaus das Vorhandensein von mehreren vertrauenswürdigen dritten Parteien TTP1/TTP2 vor. Das Produzieren des ersten Hash-Wertes 130, veranlasst durch die Ablegeinstanz 160, kann dabei von einer ersten vertrauenswürdigen dritten Partei TTP1 produziert worden sein, während der zweite Hash-Wert 130b abgerufen durch die Abrufinstanz 170, von einer zweiten vertrauenswürdigen dritten Partei TTP2 produziert wird. Es muss lediglich die Bedingung erfüllt sein, dass die zweite vertrauenswürdige dritte Partei TTP2 in der Lage ist, die in den Filterinformationen 110a und Hash-Informationen 110b jeweils spezifizierten Filter bzw. Hash-Funktionen zu implementieren.Other embodiments of the invention certainly provide for the presence of multiple trusted third parties TTP1 / TTP2. Producing the first hash value 130 , caused by the deposit authority 160 , may have been produced by a first trusted third party TTP1, while the second hash value 130b retrieved by the polling entity 170 , produced by a second trusted third party TTP2. It only needs to be met the condition that the second trusted third party TTP2 is capable of performing the filtering information 110a and hash information 110b each specified filter or hash functions to implement.

Sollte die Abrufinstanz 170 ein Hashing und Filtern durch eine vertrauenswürdige dritte Partei veranlassen, die nicht in der Lage ist, die jeweiligen Filter und Hash-Funktionen zu implementieren, so ist vorgesehen, dass eine Fehlermeldung an die Abrufinstanz 170 zurückgegeben wird. Nachdem die vertrauenswürdige dritte Partei TTP einen zweiten Hash-Wert 130b produziert hat, wird diese auf sicherem Wege an die Abrufinstanz 170 zurückgesendet.Should the polling instance 170 cause a hashing and filtering by a trusted third party that is unable to implement the respective filter and hash functions, it is provided that an error message to the polling entity 170 is returned. After the trusted third party TTP has a second hash value 130b has been produced, it is sent to the polling facility in a secure way 170 returned.

Mit einem Validierungsmodul 190 wird nun durch die Abrufinstanz 170 der erste Hash-Wert 130a mit dem zweiten Hash-Wert 130b verglichen. Im Falle einer Gleichheit der beiden Hash-Werte konnte die Authentizität des elektronischen Objektes O validiert werden. In diesem Fall ist davon auszugehen, dass sämtliche Manipulationen der Manipulationsinstanz 180, die nach dem Produzieren des ersten Hash-Wertes 130a (veranlasst durch die Ablegeinstanz 160) und vor dem Produzieren des zweiten Hash-Wertes 130b (veranlasst durch die Abrufinstanz 170) sich ausschließlich auf den nicht-essentiellen Bereich des elektronischen Objektes bezogen haben. Sollte das Validierungsmodul 190 allerdings eine Ungleichheit der beiden Hash-Werte feststellen, so ist davon auszugehen, dass zu irgendeinem Zeitpunkt zwischen diesen beiden erwähnten Zeitpunkten eine Manipulation des essentiellen Bereiches erfolgte. Die Authentizität des elektronischen Objektes O ist damit kompromittiert. In diesem Fall würde das Validierungsmodul 190 eine Warnmeldung produzieren.With a validation module 190 is now through the polling instance 170 the first hash value 130a with the second hash value 130b compared. In case of equality of the two hash values, the authenticity of the electronic object O could be validated. In this case it can be assumed that all manipulations of the manipulation instance 180 that after producing the first hash value 130a (initiated by the depositor 160 ) and before producing the second hash value 130b (initiated by the polling instance 170 ) have exclusively referred to the non-essential area of the electronic object. Should the validation module 190 However, if there is an inequality of the two hash values, then it can be assumed that at some point in time between these two times mentioned a manipulation of the essential range took place. The authenticity of the electronic object O is thus compromised. In this case, the validation module would 190 to produce a warning message.

In 2 wird eine übliche zeitliche Abfolge von Verfahrensschritten gemäß einer bevorzugten Ausführungsform der Erfindung dargestellt. Das Verfahren beginnt mit Schritt 210, in dem das elektronische Objekt O einer Filteroperation durch ein Filter unterzogen wird und der vorher mit Hilfe der Filterinformationen 110a definierte essentielle Bereich aus dem elektronischen Objekt herausfiltert wird. Das elektronische Objekt O selbst wird während des Filtervorgangs nicht manipuliert. Die herausgefilterten Daten im essentiellen Bereich des elektronischen Objektes O definiert als Zeichenkette in Schritt 220 werden durch Anwenden der Hash-Funktion gehasht und so der erste Hash-Wert 130a produziert.In 2 A typical time sequence of method steps according to a preferred embodiment of the invention is shown. The procedure begins with step 210 in which the electronic object O is subjected to a filter operation through a filter and the previously using the filter information 110a Defined essential area is filtered out of the electronic object. The electronic object O itself is not manipulated during the filtering process. The filtered-out data in the essential area of the electronic object O is defined as a character string in step 220 are hashed by applying the hash function and so the first hash value 130a produced.

Gemäß einer Ausführungsform der Erfindung werden die Schritte 210 und 220 dabei von der vertrauenswürdigen dritten Partei TTP ausgeführt. Dieser erste Hash-Wert 130a wird dann zusammen mit den Filterinformationen 110a und der Hash-Informationen 110b zu einem Signaturelement 110 zusammengefasst und zusammen mit dem elektronischen Objekt O in dem nicht-vertrauenswürdigen Speicher 120 abgelegt. Die Erfindung sieht vor, dass der Schritt 230 des Ablegens durch die Ablegeinstanz 160, z. B. durch den Autor des elektronischen Objektes erfolgt. In Schritt 240 wird das elektronische Objekt zusammen mit dem Signaturelement 110 abgerufen. Dies erfolgt im Allgemeinen durch eine Abrufinstanz 170, z. B. durch den Leser, der die Daten in dem elektronischen Objekt benötigt.According to one embodiment of the invention, the steps become 210 and 220 doing so by the trusted third party TTP. This first hash value 130a will be together then with the filter information 110a and the hash information 110b to a signature element 110 summarized and together with the electronic object O in the untrusted memory 120 stored. The invention provides that the step 230 the deposit by the depositor 160 , z. B. by the author of the electronic object. In step 240 the electronic object becomes together with the signature element 110 accessed. This is generally done by a polling entity 170 , z. By the reader who needs the data in the electronic object.

Anschließend wird in Schritt 250 die Authentizität des elektronischen Objektes O validiert. Hierbei wird durch erneutes Filtern 210 und erneutes Hashen 220 des elektronischen Objektes auf Grundlage der Filterinformation 110 und Hash-Information 110b durch die erste oder die zweite vertrauenswürdige dritte Partei TTP1/TTP2 der zweite Hash-Wert 130b produziert. Diese beiden Hash-Werte 130a und 130b werden dann in Schritt 250 auf Gleichheit geprüft. Sollte Gleichheit gezeigt Werden, so ist ein Indikator dafür, dass die Authentizität des elektronischen Objektes O validiert werden konnte. Etwaige Manipulationen des elektronischen Objektes erfolgten dabei ausschließlich im nichtessentiellen Bereich des elektronischen Objektes. Wird allerdings eine Ungleichheit der beiden Hash-Werte festgestellt, ist das elektronische Objekt als kompromittiert zu betrachten, das heißt die Authentizität des elektronischen Objektes O konnte nicht validiert werden und eine entsprechende Fehlermeldung oder Warnmeldung wird herausgegeben. Dies ist ein Indikator dafür, dass zu einem irgendeinem vorherigen Zeitpunkt nach der Erstellung des ersten Hash-Wertes 130a das elektronische Objekt einer Manipulation im essentiellen Bereich unterzogen worden ist.Subsequently, in step 250 the authenticity of the electronic object O validated. This is done by re-filtering 210 and again hashing 220 of the electronic object based on the filter information 110 and hash information 110b by the first or the second trusted third party TTP1 / TTP2 the second hash value 130b produced. These two hash values 130a and 130b then be in step 250 checked for equality. If equality is shown, then an indicator is that the authenticity of the electronic object O could be validated. Any manipulations of the electronic object took place exclusively in the nonessential area of the electronic object. However, if an inequality of the two hash values is detected, the electronic object is to be regarded as compromised, that is, the authenticity of the electronic object O could not be validated and a corresponding error message or warning message is issued. This is an indicator that at some previous time after the creation of the first hash value 130a the electronic object has been subjected to manipulation in the essential area.

Die Schritte 240 (Abrufen) und 250 (Validieren) werden dabei vorzugsweise von der Abrufinstanz 170 durchgeführt.The steps 240 (Retrieve) and 250 (Validate) are preferably from the polling instance 170 carried out.

Abschließend sei darauf hingewiesen, dass die Beschreibung der Erfindung und die Ausführungsbeispiele grundsätzlich nicht einschränkend in Hinblick auf eine bestimmte physikalische Realisierung der Erfindung zu verstehen sind. Für einen einschlägigen Fachmann ist es insbesondere offensichtlich, dass die Erfindung teilweise oder vollständig in Soft- und/oder Hardware und/oder auf mehrere physikalische Produkte – dabei insbesondere auch Computerprogrammprodukte – verteilt realisiert werden kann.In conclusion, be noted that the description of the invention and the embodiments in principle not restrictive in view of a particular physical implementation of the invention to be understood. For a relevant one It is particularly obvious to a person skilled in the art that the invention partially or completely in soft and / or Hardware and / or on several physical products - there in particular also computer program products - distributed can be realized.

Claims

A method for validating an authenticity of a electronic object involving a first trusted third party Party, the method comprising the following steps: - Filter out an essential area in the electronic object the first trusted third party, - Hashens this filtered-out essential area through the first one trustworthy third party, producing a first hash value, - Validate the authenticity of the electronic object, by comparing the first hash value with a second hash value, the second hash value being replaced by another Filtering out and re-hashing the electronic object a second trusted one third party is produced

The method of claim 1, wherein the first trusted third Party is identical to the second Trusted third party.

The method of claim 2, wherein the method additionally comprises further process step comprises: - Store the first hash value together with the electronic object into an untrusted data memory, after the first hash value has been encrypted with a private key.

The method of claim 3, wherein the first hash value as part of a signature element in the untrusted data store stored together with the electronic object.

The method of claim 4, wherein the signature element Includes filter information filtering out the filter used specify the essential area.

The method of claim 5, wherein the signature element Hash information includes the hash function used to produce the first hash value specified.

The method of any of claims 3 to 6, wherein producing of the second hash value in validating the authenticity of the electronic object based on the filter information and hash information is performed in the stored signature element.

Method according to one of claims 4 to 7, wherein the method a further process step comprises: - Retrieve the encrypted first hash value by retrieving the signature element together with the electronic object from the untrusted data store.

The method of claim 8, further comprising a public key associated with the private key Key is retrieved to decrypt the first hash value.

Method according to one of the preceding claims, wherein the second hash value when validating the electronic object at a later time is produced as the first hash value.

The method of claim 10, wherein the validating the authenticity of the electronic object is performed after the retrieved encrypted first hash value was decrypted with the retrieved public key.

Method according to one of the preceding claims, wherein when storing the first hash value together with the electronic Additionally, the object in an untrusted data store electronic object coded becomes.

A computer program product which directly into one Memory of a computer is loadable, with program code means to all Steps of a method according to at least one of the method claims 1 to 12 to execute, if the program is running in the computer.

A system for validating authenticity of a electronic object in a network involving a first trusted third Party, the system comprising: - A filter unit to filter out an essential area in the electronic object the first trusted third party, - One Hash module to hash this filtered-out essential area by the first trusted third party, producing a first hash value, - One Data storage, - One Deposit instance for storing the first hash value as part of a Signature element together with the electronic object in the data memory; - A polling instance for retrieving the first hash value by retrieving the signature element with the electronic object from the data memory, - Validation module to validate the authenticity of the electronic object, by comparing the first hash value with a second hash value, where the second hash value is based the retrieved signature element by re-filtering and another hash, each executed through a second trusted third party, is produced.

The system of claim 14, wherein the first trusted third Party is identical to the second Trusted third party.

The system of claim 14, wherein the signature element Includes filter information that filters the filter unit used specify the essential area.

The system of claim 14, wherein the signature element Hash information includes the hash module used to produce the first hash value specify.

The system of claim 16, wherein the depositing entity an encryption module with a private key includes, for encrypting of the first hash value before the first hash value as part of the signature element stored together with the electronic object in the data memory becomes.

The system of claim 18, wherein the polling entity a decryption module includes, for decrypting of the encrypted retrieved first hash value with a public key

The system of claim 19, wherein the polling entity additionally the public key along with the signature element that encoded the includes first hash value as part, and the electronic object retrieves.

A system according to any one of the preceding claims, wherein the second hash value when validating the electronic object produced by the validation module at a later date, as the first hash value.

System according to one of the preceding claims 19 to 21, where the validation module validates the electronic Performs object after the first hash value by the polling module of the polling instance decrypts has been.