DE102018208830A1

DE102018208830A1 - Access control to a resource

Info

Publication number: DE102018208830A1
Application number: DE102018208830.6A
Authority: DE
Inventors: Danny Borke; Thomas Kirchmeier; Bernhard Beyer
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2018-06-05
Filing date: 2018-06-05
Publication date: 2019-12-05

Abstract

Ein System umfasst eine Zugriffssteuerung auf eine digitale Ressource; wobei der Ressource eine Ressourcenidentifikation zugeordnet ist, welche die Ressource identifiziert, und eine Eigentümeridentifikation, welche einen Eigentümer identifiziert. Die Zugriffssteuerung ist dazu eingerichtet, einen Zugriff auf die Ressource durch einen Zugreifenden nach einer Vorgabe des Eigentümers zu steuern wobei die Ressourcenidentifikation unveränderlich und untrennbar mit der Ressource verbunden ist.A system includes access control to a digital resource; wherein the resource is associated with a resource identification that identifies the resource, and an owner identification that identifies an owner. The access controller is configured to control access to the resource by a user accessing the owner, wherein the resource identifier is invariably and inseparably linked to the resource.

Description

Die Erfindung betrifft die Steuerung des Zugriffs auf eine Ressource. Insbesondere betrifft die Erfindung den Schutz der Ressource gegen Missbrauch oder unerlaubte Vervielfältigung.The invention relates to the control of access to a resource. In particular, the invention relates to the protection of the resource against misuse or illicit duplication.

In einem digitalen System stehen unterschiedliche Ressourcen zur Verfügung, auf die durch Personen oder Prozesse zugegriffen werden kann. Beispielsweise kann die Ressource eine Datei umfassen. Der Ressource kann ein Eigentümer zugeordnet sein, der den Zugriff auf die Ressource durch Dritte steuern kann, indem beispielsweise ein Leserecht für die Datei an eine Person, eine Gruppe von Personen oder an jedermann vergeben oder entzogen wird. Fertigt ein Zugreifender eine Kopie der Datei an, so kann er dadurch selbst zum Eigentümer der Kopie werden und die Rechte des ursprünglichen Eigentümers gehen verloren.In a digital system, different resources are available that can be accessed by people or processes. For example, the resource may include a file. The resource may be associated with an owner who can control access to the resource by a third party, for example by granting or revoking a read permission for the file to a person, group of people or anyone. If an attacker makes a copy of the file, he can become the owner of the copy and the rights of the original owner are lost.

Für unterschiedliche Arten on Ressourcen wurden Vorschläge gemacht, eine Zugriffssteuerung durchzusetzen. In vielen Fällen ist die Vergabe von Rechten an einer Ressource jedoch einem Administrator vorbehalten oder der Administrator kann eine Berechtigung des Eigentümers umgehen oder überschreiben. Bekannte Zugriffssteuerungen sind auf vorbestimmte Systeme beschränkt und verwalten üblicherweise nur eine Art von Ressource.For different types of resources, suggestions have been made to enforce access control. However, in many cases, granting rights to a resource is reserved to an administrator, or the administrator can bypass or override an owner's privilege. Known access controls are limited to predetermined systems and usually manage only one type of resource.

Es besteht daher Bedarf für eine möglichst universelle Zugriffssteuerung für digitale Ressourcen, um eine Durchsetzung von Zugriffsrechten zu ermöglichen, die insbesondere durch den Eigentümer einer Ressource vorgegeben werden können. Die vorliegende Erfindung befriedigt diesen Bedarf durch die Gegenstände der unabhängigen Ansprüche. Unteransprüche geben bevorzugte Ausführungsformen wieder.There is therefore a need for the most universal access control possible for digital resources, in order to allow an enforcement of access rights, which can be specified in particular by the owner of a resource. The present invention satisfies this need by the subject-matter of the independent claims. Subclaims give preferred embodiments again.

Anders als bei anderen Systemen kann der Eigentümer alle Vorgaben für die Zugriffssteuerung selbst machen, ein Überschreiben oder Überstimmen einer Vorgabe durch einen Administrator kann ebenso wenig vorgesehen sein wie ein Übertragen einer Berechtigung durch den Administrator an den Eigentümer oder eine andere Person. Handelt es sich um eine kopierbare Ressource wie ein Buch, ein Musik- oder Filmstück, so kann durch das permanente Verbinden der Ressourcenidentifikation mit der Ressource verhindert werden, dass durch das Kopieren eine durch den ursprünglichen Eigentümer erteilte Zugriffsvorgabe ausgehebelt wird. Bei einer nicht kopierbaren Ressource wie einer Kommunikationsverbindung kann ebenfalls verhindert werden, dass die Zugriffsvorgabe umgangen wird.Unlike other systems, the owner may make all the access control preferences himself, overwriting or overriding a policy by an administrator may be as ineligible as transferring authorization by the administrator to the owner or other person. If it is a copiable resource such as a book, a music piece or a movie piece, the permanent linking of the resource identification with the resource can prevent the copying from undoing an access permission given by the original owner. In the case of a non-copyable resource such as a communication connection, it is also possible to prevent the access specification from being bypassed.

Als digitale Ressource können praktisch beliebige Objekte verwendet werden. Beispielsweise kann eine Ressource eine Datei, einen Kommunikationskanal oder eine Funktion betreffen. Das System ist bevorzugt dazu eingerichtet, Ressourcen unabhängig von ihrem Typ oder ihrer Verwendung zu schützen. Der Schutz kann dabei stets den Vorgaben des Eigentümers folgen. Beispielsweise können eine Datei gegen Lesen, ein Dienst gegen Benützen oder eine Adresse gegen das Zusenden von Nachrichten aus unbekannter Quelle geschützt werden. Ein Weitergeben einer Ressource - mit einem damit verbundenen Eigentümerwechsel - können erlaubt oder verboten sein.Virtually any object can be used as a digital resource. For example, a resource may relate to a file, a communication channel, or a function. The system is preferably configured to protect resources regardless of their type or use. The protection can always follow the instructions of the owner. For example, a file against reading, a service against users or an address can be protected against sending messages from unknown sources. Sharing a resource - with an associated change of ownership - may be allowed or prohibited.

Die Ressourcenidentifikation kann mittels kryptographischer Methoden mit der Ressource verbunden sein. Dazu kann beispielsweise eine an sich bekannte public-private-key-Infrastruktur mit einem entsprechenden Verschlüsselungs- oder Signierungsverfahren verwendet werden. Beispielsweise kann die Ressourcenidentifikation zusammen mit einem Hash-Wert der Ressource mittels eines privaten Schlüssels einer Zertifizierungsstelle verschlüsselt werden, sodass mittels des öffentlichen Schlüssels geprüft werden kann, ob die Ressourcenidentifikation korrekt ist oder ob die Ressource nach der Zertifizierung verändert wurde. Bevorzugt wird auch die Eigentümeridentifikation in entsprechender Weise an die Ressource gebunden.The resource identification can be connected to the resource by means of cryptographic methods. For this purpose, for example, a public-private-key infrastructure known per se with a corresponding encryption or signing method can be used. For example, the resource identifier may be encrypted along with a hash value of the resource by means of a private key of a certification authority, so that the public key can be used to check whether the resource identification is correct or whether the resource has been changed after certification. Preferably, the owner identification is also bound to the resource in a corresponding manner.

Die Vorgabe kann eine Zugreifendenidentifikation, welche den Zugreifenden identifiziert, und ein Zugriffsrecht umfassen. Der Zugreifende kann etwa als Person, als Teil einer Gruppe oder als Repräsentant einer Institution identifiziert werden. Für verschiedene Zugreifende können unterschiedliche Zugriffsrechte vermerkt sein. Die Zugriffsrechte können jederzeit durch den Eigentümer verändert werden. Die Zugriffsrechte können beliebig gestaltet werden, beispielsweise können die Art des Zugriffs (etwa Lesen, Kopieren, Verändern, Löschen, Ausführen, Kommunizieren) und eine zeitliche oder nach Häufigkeit bestimmte Beschränkung (nur einmal, nur n mal, beliebig oft, insgesamt nicht länger als eine vorbestimmte Zeitdauer, nur innerhalb eines vorbestimmten Zeitfensters, nicht vor oder nicht nach einem vorbestimmten Termin) angegeben werden. Auch eine Berechtigung in Abhängigkeit eines beliebigen externen Ereignisses kann vorgesehen sein; dazu sollte das Ereignis objektiv und möglichst fälschungssicher nachweisbar sein.The default may include a access identification identifying the accessing user and an access right. The accessing person can be identified, for example, as a person, as part of a group or as a representative of an institution. Different access rights may be noted for different accesses. The access rights can be changed at any time by the owner. The access rights can be arbitrary, for example, the type of access (such as reading, copying, changing, deleting, executing, communicating) and a temporal or frequency restriction (only once, only n times, any number of times, a total of not more than a predetermined period of time, only within a predetermined time window, not before or not after a predetermined date). An authorization depending on any external event can also be provided; that should be Event objectively and be proven as counterfeit-proof.

Zum Zugriff auf die Ressource kann es erforderlich sein, dass sich der Zugreifende authentisiert, beispielsweise durch einen nur ihm bekannten Code, durch ein Zertifikat oder eine Kombination mehrerer Methoden. Zur Authentisierung können beliebige, bekannte Mechanismen verwendet werden. Die Authentisierung kann gegenüber der Ressource oder gegenüber dem System erfolgen. Schlägt die Authentisierung fehl, kann also eine Person nicht nachweisen, dass sie die von ihr angegebene Identität hat, oder hat der Zugreifende keine ausreichenden Rechte für einen Zugriff, so kann der Zugriff verweigert werden. In diesem Fall kann eine Nachricht über die Verweigerung oder auf das Fehlen der angefragten Ressource bereitgestellt werden.To access the resource, it may be necessary for the accessing entity to be authenticated, for example by a code known only to him, by a certificate or a combination of several methods. For authentication, any known mechanisms can be used. Authentication can be against the resource or against the system. If the authentication fails, ie if a person can not prove that they have the identity they have specified, or if the person accessing does not have sufficient rights to access, access can be denied. In this case, a message about the refusal or lack of the requested resource may be provided.

Einer Person kann keine oder eine (1) Personenidentifikation zugeordnet sein, die als Eigentümeridentifikation oder als Zugreifendenidentifikation verwendbar ist. Dadurch kann verhindert werden, dass eine Person unter verschiedenen Identifikationen handelt und möglicherweise eine Zugriffsbeschränkung unterläuft. Beispielsweise kann eine zentrale Stelle zur Vergabe von Personenidentifikationen vorgesehen sein, die sicher stellen kann, dass jedem Menschen weltweit nur eine einzige Identifikation zugeordnet wird. Als Person wird vorliegend eine natürliche Person verstanden; juristische Personen wie eine Institution oder ein Unternehmen handeln stets, indem sie durch eine natürliche Person vertreten werden. Durch Gruppenbildung können mehrere natürliche Personen als Vertreter einer juristischen Person bestimmt sein.A person may be assigned no or one (1) person identification usable as owner identification or as access identification. This can prevent a person from acting under various identifications and possibly undermining an access restriction. For example, a central body for assigning personal identifications can be provided, which can ensure that only one identification is assigned to each person worldwide. As a person, a natural person is understood here; Legal persons such as an institution or a company always act by being represented by a natural person. Through group formation, several natural persons may be designated as representatives of a legal entity.

Eine als Eigentümeridentifikation oder als Zugreifendenidentifikation verwendbare Personenidentifikation ist weiter bevorzugt genau einer Person zugeordnet. Dadurch kann jedes Eigentum und jeder Zugriff genau einer Person zugeordnet werden. Die Berechtigungssteuerung auf die Ressource kann dadurch verbessert durchgesetzt werden. In Kombination mit der Zuordnung nur einer Personenidentifikation an eine Peron kann eine erschöpfende, ein-eindeutige Zuordnung zwischen Personen und Identifikationen erreicht werden.A person identification which can be used as owner identification or as access identification is furthermore preferably assigned to exactly one person. This allows each property and access to be assigned to exactly one person. The authorization control on the resource can be enforced thereby improved. In combination with the assignment of only one person identification to a Peron, an exhaustive, one-to-one association between persons and identifications can be achieved.

Die Zugriffssteuerung kann dazu eingerichtet sein, die Ressource kryptographisch an den Zugreifenden zu binden. Insbesondere bei einer kopierbaren Ressource wie einer speicherbaren Datei kann der Zugreifende eine personalisierte Kopie erhalten, die an ihn gebunden ist. Beispielsweise kann die Datei mit einem öffentlichen Schlüssel des Zugreifenden verschlüsselt sein, sodass die Kopie zum tatsächlichen Verwenden der Ressource entschlüsselt werden muss. Ein Dritter, der in Besitz der Kopie gelangt, kann die Ressource nicht verwenden, außer wenn der Zugreifende die Kopie an ihn überträgt bzw. eine personalisierte Kopie für ihn anfertigt. Sollte eine solche Weitergabe nicht zulässig sein, so kann sie anhand der permanenten Ressourcenidentifikation und der Identifikation des Zugreifenden als Eigentümer der Kopie problemlos nachgewiesen werden.The access control can be configured to cryptographically bind the resource to the accessing party. In particular, for a copyable resource such as a storable file, the accessing person may receive a personalized copy bound to him. For example, the file may be encrypted with a public key of the accessing user, so that the copy must be decrypted to actually use the resource. A third party in possession of the copy can not use the resource unless the accessor transmits the copy to him or makes a personalized copy for him. If such a transfer is not permitted, it can easily be proven based on the permanent resource identification and the identification of the person accessing it as the owner of the copy.

Die Ressourcenidentifikation kann durch den ursprünglichen Eigentümer bestimmbar sein. Beispielsweise kann der ursprüngliche Eigentümer selbst sicherstellen, dass die Ressourcenidentifikation eindeutig ist. Sollte der Eigentümer bestimmen, dass mehrere Ressourcen dieselbe Identifikation erhalten sollen, so steht ihm das frei. Insbesondere kann der Eigentümer eine „sprechende“ Identifikation verwenden, die beispielsweise einen Hinweis auf die Ressource, den Eigentümer oder eine Gruppe von Ressourcen enthält. Der Hinweis kann beispielsweise sprachlicher oder symbolischer Natur sein.The resource identification may be determinable by the original owner. For example, the original owner himself can ensure that the resource identification is unique. Should the owner decide that several resources should receive the same identification, then he is free. In particular, the owner may use a "talking" identifier that includes, for example, an indication of the resource, owner or group of resources. The hint can be linguistic or symbolic, for example.

Der Ressource kann ferner eine Erzeugendenidentifikation zugeordnet sein, die einen ursprünglichen Eigentümer identifiziert. Die Erzeugendenidentifikation kann auch bei Weitergabe der Ressource von Person zu Person erhalten bleiben, sodass beispielsweise ein Urheberrecht des ursprünglichen Eigentümers gesichert werden kann.The resource may also be associated with a creator identification identifying an original owner. The creator identification may also be maintained as the resource is distributed from person to person so that, for example, a copyright of the original owner can be secured.

Außerdem kann der Ressource ferner eine Objektidentifikation einer ursprünglichen Ressource zugeordnet sein, von der die Ressource abgeleitet ist. So kann eine Kopie der Ressource von einem Original unterscheidbar sein.In addition, the resource may also be assigned an object identifier of an original resource from which the resource is derived. Thus, a copy of the resource may be distinguishable from an original.

Ein Verfahren, umfasst Schritte des Empfangens einer Zugriffsanforderung auf eine digitale Ressource; wobei der Ressource eine unveränderliche Ressourcenidentifikation, welche die Ressource identifiziert, untrennbar zugeordnet ist; wobei der Ressource eine Eigentümeridentifikation zugeordnet ist, welche einen Eigentümer identifiziert; und des Steuerns eines Zugriffs auf die Ressource nach einer Vorgabe des Eigentümers.A method, comprising steps of receiving an access request to a digital resource; wherein the resource is inextricably assigned an immutable resource identifier identifying the resource; wherein the resource is associated with an owner identification identifying an owner; and controlling access to the resource as dictated by the owner.

Das Verfahren kann insbesondere in Verbindung mit einem hierin genannten System ausgeführt werden. Dazu kann insbesondere eine Zugriffssteuerung des Systems eine Verarbeitungseinrichtung umfassen, die dazu eingerichtet sein kann, das Verfahren ganz oder teilweise auszuführen. Die Verarbeitungseinrichtung kann einen programmierbaren Mikrocomputer oder Mikrocontroller umfassen und das Verfahren kann in Form eines Computerprogrammprodukts mit Programmcodemitteln vorliegen. Das Computerprogrammprodukt kann auch auf einem computerlesbaren Datenträger abgespeichert sein. Merkmale oder Vorteile des Verfahrens können auf das System übertragen werden und umgekehrt.The method can be carried out in particular in connection with a system mentioned herein. For this purpose, in particular an access control of the system may comprise a processing device which may be configured to execute the method in whole or in part. The processing means may comprise a programmable microcomputer or microcontroller and the method may be in the form of a computer program product with program code means. The computer program product can also be stored on a computer-readable data carrier. Features or advantages of the method can be transferred to the system and vice versa.

Die Zugriffsanforderung kann eine Zugreifendenidentifikation umfassen, die den Zugreifenden identifiziert, wobei die Vorgabe einen Zugriff auf der Basis der Zugreifendenidentifikation beschreibt. Der Zugriff kann ein Kopieren oder Herunterladen umfassen, wobei der heruntergeladenen Ressource kann die Zugreifendenidentifikation als Eigentümeridentifikation zugeordnet werden. The access request may include a access identification identifying the accessing entity, the specification describing access based on the accessing identification. The access may comprise copying or downloading, wherein the downloaded resource may be assigned the access identification as the owner identification.

Die Erfindung wird nun mit Bezug auf die beigefügten Zeichnungen genauer beschrieben, in denen:

1 ein System; und
2 ein Ablaufdiagramm eines Verfahrens illustriert.

The invention will now be described in more detail with reference to the accompanying drawings, in which:

1 a system; and
2 a flowchart of a method illustrated.

1 zeigt ein System 100 zur Steuerung eines Zugriffs auf eine digitale Ressource 105. Die Ressource 105 kann eine beliebige digitale Ressource, also eine im elektronischen Datenverkehr oder bei der elektronischen Speicherung ansprechbare Ressource sein. Beispielhaft dargestellt sind eine erste Ressource in Form einer Datei 105.1, eine zweite Ressource in Form eines Dienstes 105.2 und eine dritte Ressource in Form einer Adresse 105.1. Die Datei 105.1 kann beliebige Inhalte umfassen, beispielsweise einen Text, ein Musikstück, ein Bild oder einen Videodatenstrom. Der Dienst 105.2 kann eine beliebige Funktion umfassen, beispielsweise das Ausdrucken von Daten, das Versenden von Daten, das Abrufen von dynamisch generierten Daten oder das Verarbeiten von bereitgestellten oder abgespeicherten Daten auf eine vorbestimmte Weise. Die Adresse 105.3 kann eine Adresse eines beliebigen Kommunikationsprotokolls sein, beispielsweise E-Mail, FTP oder WhatsApp. 1 shows a system 100 to control access to a digital resource 105 , The resource 105 may be any digital resource, that is, a resource addressable in electronic traffic or electronic storage. Illustrated by way of example are a first resource in the form of a file 105.1 , a second resource in the form of a service 105.2 and a third resource in the form of an address 105.1 , The file 105.1 may include any content, such as text, music, picture or video stream. The service 105.2 may include any function, such as printing data, sending data, retrieving dynamically generated data, or processing provided or stored data in a predetermined manner. The address 105.3 may be an address of any communication protocol, such as E-mail, FTP or WhatsApp.

Eine Zugriffssteuerung 110 steuert, welche Art von Zugriff auf eine Ressource 105 unter welchen Bedingungen zulässig ist. Dazu können Vorgaben 115 bereitstehen, die zulässige oder unzulässige Zugriffe definieren. Im Folgenden wird davon ausgegangen, dass die Ressource zunächst einem Eigentümer 120 zugeordnet ist und ein Zugriff von einem Zugreifenden 125 durchgeführt werden soll.An access control 110 controls what kind of access to a resource 105 under which conditions is admissible. These can be specifications 115 that define allowed or invalid accesses. The following assumes that the resource is initially owned 120 is assigned and an access from a person accessing 125 to be carried out.

Jeder Ressource 105 seien eine Ressourcenidentifikation 130 und eine Eigentümeridentifikation 135 zugeordnet. Zusätzlich können eine optionale Erzeugendenidentifikation 140 und eine weiter optionale Objektidentifikation 145 einer ursprünglichen Ressource 105 vorgesehen sein. Die Identifikationen 130 - 145 können in einer Universellen Ressourcenidentifikation 150 zusammengefasst sein, die hierin auch UQRI genannt wird. Die Identifikationen 130 - 145 sind bevorzugt Zeichenketten, weiter bevorzugt aus einem Standard-Zeichenvorrat wie ASCII oder Unicode, die in einer Ausführungsform miteinander konkateniert werden können. Zwischen einzelnen Teilen der UQRI 150 kann ein vorbestimmtes Sonderzeichen vorgesehen sein, beispielsweise ,$‘, das nicht Bestandteil eines der Identifikatoren 130 - 145 sein sollte. Zur Verwendung des Sonderzeichens auch in einem der Identifikatoren 130 - 145 können die Identifikatoren 130 - 145 vorbestimmte Zeichenketten-Längen aufweisen, es kann eine Escape-Sequenz verwendet werden oder ein Identifikator 130 - 145 kann beidseitig durch ein benutzerdefinierbares Zeichen abgeschlossen sein, das dann nicht Teil des betreffenden Identifikators 130 - 145 sein sollte.Every resource 105 be a resource identifier 130 and an owner identification 135 assigned. In addition, an optional generator identification 140 and a further optional object identification 145 an original resource 105 be provided. The identifications 130 - 145 can be used in a Universal Resource Identification 150 be summarized, which is also called UQRI herein. The identifications 130 - 145 are preferably strings, more preferably from a standard character set such as ASCII or Unicode, which in one embodiment can be concatenated with each other. Between individual parts of the UQRI 150 may be provided a predetermined special character, for example, $ ', not part of one of the identifiers 130 - 145 should be. To use the special character also in one of the identifiers 130 - 145 can the identifiers 130 - 145 have predetermined string lengths, an escape sequence or an identifier may be used 130 - 145 can be completed on both sides by a user-definable character, which is then not part of the relevant identifier 130 - 145 should be.

Die Ressourcenidentifikation 130 ist bevorzugt unveränderlich, bevorzugt untrennbar mit der Ressource 105 verbunden und kann in einer Ausführungsform bei der Erstellung durch den Eigentümer 120 gewählt werden. Bevorzugt ist die Ressourcenidentifikation 130 eindeutig, das heißt, einer Ressourcenidentifikation 130 ist genau eine Ressource 105 zugeordnet. Weiter ist bevorzugt, dass jeder Ressource 105 eines Eigentümers 120 genau eine Ressourcenidentifikation 130 zugeordnet ist, sodass eine ein-eindeutige Zuordnung besteht.The resource identification 130 is preferably immutable, preferably inseparable from the resource 105 connected in one embodiment when created by the owner 120 to get voted. The resource identification is preferred 130 unique, that is, a resource identification 130 is exactly one resource 105 assigned. Next is preferred that each resource 105 of an owner 120 exactly one resource identification 130 is assigned so that a one-to-one association exists.

Die Eigentümeridentifikation 135 ist bevorzugt als Personenidentifikation 155 ausgeführt, die beispielsweise von einer zentralen Stelle verwaltet werden kann um sicher zu stellen, dass jeder Person eine eindeutige Eigentümeridentifikation 135 zugeordnet ist. Die Eigentümeridentifikation 135 kann auch dynamisch generiert werden, beispielsweise auf der Basis eines Namens, einer aktuellen Zeit oder einer Netzwerkadresse eines von dieser Person verwendeten Computers. Ein Namensraum für die Eigentümeridentifikation 135 kann beliebig groß sein.The owner identification 135 is preferred as a person identification 155 which can be managed, for example, from a central location to ensure that each person has a unique owner identification 135 assigned. The owner identification 135 may also be generated dynamically, for example, based on a name, a current time, or a network address of a computer used by that person. A namespace for the owner identification 135 can be any size.

Die Erzeugendenidentifikation 140 kann initial der Eigentümeridentifikation 135 entsprechen und anschließend unveränderlich sein um einen permanenten Hinweis auf den ursprünglichen Eigentümer 135 zu geben. In ähnlicher Weise kann die Objektidentifikation 145 initial auf die Ressourcenidentifikation 130 gesetzt werden und danach unveränderlich sein, um auch bei einem Herunterladen, Kopieren oder Verändern der Ressource 105 beibehalten zu werden.The generative identification 140 can initial the owner identification 135 and then be immutable for a permanent reference to the original owner 135 to give. Similarly, the object identification 145 initially to the resource identification 130 be set and then invariable, even when downloading, copying or modifying the resource 105 to be maintained.

Möchte der Zugreifende 125 auf eine Ressource 105 zugreifen, so kann er eine Zugreifendenidentifikation 160 vorlegen, die insbesondere nach Art der Eigentümeridentifikation 135 als Personenidentifikation 155 realisiert sein kann. Vor dem Zugriff wird geprüft, ob die Vorgabe 115 den beabsichtigten Zugriff erlaubt oder nicht. Ist der Zugriff zulässig, so kann die Ressource 105 dem Zugreifenden überantwortet werden, indem die Eigentümeridentifikation 135 auf die Zugreifendenidentifkation 160 gesetzt wird. Dies ist insbesondere sinnvoll, wenn dem Zugreifenden 125 eine digitale Kopie der Ressource 105 ausgeliefert, ausgehändigt oder sonstwie bereitgestellt wird. Im Fall einer lediglich benutzbaren Ressource 105 wie dem Dienst 105.2 oder der Adresse 105.3 kann die Ressource 105 nach den Vorgaben 115 dem Zugreifenden 125 freigegeben werden.Would like the accessing 125 to a resource 105 he can access the access ID 160 in particular according to the type of owner identification 135 as a person identification 155 can be realized. Before the access is checked, whether the default 115 allowed the intended access or not. If access is allowed, then the resource 105 be transferred to the accessing party by the owner identification 135 on the Access Identification 160 is set. This is particularly useful if the accessing 125 a digital copy of the resource 105 delivered, handed out or otherwise provided. In the case of a merely usable resource 105 like the service 105.2 or the address 105.3 can the resource 105 according to the specifications 115 the accessing person 125 be released.

Die Bindung einer Identifikation 130 - 145 an eine Ressource 105 kann mit üblichen kryptographischen Mitteln erfolgen. Dazu können insbesondere Zertifikate verwendet werden. Ein Zertifikat kann auch dazu verwendet werden, eine Vorgabe 115 an die Ressource 105 zu binden, wenn diese dem Zugreifenden 125 bereitgestellt wird. Im Fall einer Adresse 105.3 kann ein Kontaktieren bzw. Versenden einer Nachricht durch den Zugreifenden 125 an den Eigentümer 120 nur dann erlaubt werden, wenn der Eigentümer 120 eine entsprechende Vorgabe 115 für den Zugreifenden 125 zertifiziert hat. Dabei kann ein Zertifikat einer individuellen Zugreifendenidentifikation 160, einer Gruppe von Zugreifendenidentifikationen 160 oder für Jedermann ausgestellt sein. Eine unerwünschte Kontaktaufnahme kann so durch den Eigentümer 120 unterbunden werden.The binding of an identification 130 - 145 to a resource 105 can be done by conventional cryptographic means. In particular, certificates can be used for this purpose. A certificate can also be used to specify a default 115 to the resource 105 to bind, if this the accessing 125 provided. In the case of an address 105.3 may be a contacting or sending a message by the accessing 125 to the owner 120 only be allowed if the owner 120 a corresponding specification 115 for the accessing 125 has certified. In this case, a certificate of individual access identification 160 , a group of accessibility identifications 160 or be exhibited for everyone. An unwanted contact can be so by the owner 120 be prevented.

2 zeigt ein Ablaufdiagramm eines beispielhaften Verfahrens 200 zum Schutz einer Ressource 105 bei einem Zugriff durch einen Zugreifenden 125. Dabei wird exemplarisch von einer kopierbaren Ressource 105 wie einer Datei 105.1 ausgegangen. 2 shows a flowchart of an exemplary method 200 to protect a resource 105 when accessed by a person accessing 125 , This is exemplified by a copyable resource 105 like a file 105.1 went out.

In einem Schritt 205 stellt der Zugreifende 125 eine Anfrage oder eine Anforderung nach Zugriff auf die Ressource 105 an die Zugriffssteuerung 110. Dabei kann der Zugreifende 125 seine Identität durch Authentisierung nach einer beliebigen Methode (beispielsweise per Zertifikat, Kerberos, Radius, PIN oder Token) nachweisen.In one step 205 represents the accessing 125 a request or request for access to the resource 105 to the access control 110 , Here, the accessing 125 prove its identity by authentication using any method (such as certificate, Kerberos, Radius, PIN or token).

In einem Schritt 210 kann die Zugriffssteuerung 110 eine oder mehrere Vorgaben 115 bestimmen, die der nachgefragten Ressource 105 zugeordnet sind. Eine Vorgabe 115 kann in einem separaten Datenspeicher abgelegt sein oder der Ressource 105 beigefügt sein, etwa als Bestandteil der Datei 105.3.In one step 210 can access control 110 one or more specifications 115 determine the requested resource 105 assigned. A default 115 can be stored in a separate data store or the resource 105 attached as part of the file 105.3 ,

In einem Schritt 215 kann geprüft werden, ob der Zugriff zulässig ist. Dazu kann insbesondere geprüft werden, ob eine Zugreifendenidentifikation 160 von einer der Vorgaben 115 betroffen ist. Die Zugreifendenidentifikation 160 kann aus der oben erwähnten Authentisierung hervorgehen. Ist der Zugriff nicht zulässig, so kann eine negative Antwort oder gar keine Antwort an den Zugreifenden 125 bereitgestellt werden. Eine negative Antwort kann einen Grund der Zurückweisung der Zugriffsanforderung umfassen.In one step 215 it can be checked if access is allowed. This can be checked in particular whether a access identification 160 from one of the specifications 115 is affected. The access identification 160 can emerge from the above mentioned authentication. If the access is not allowed, then a negative answer or no answer at the accessing party 125 to be provided. A negative answer may include a reason for the rejection of the access request.

Andernfalls, wenn der Zugriff zulässig ist, kann in einem Schritt 220 eine Kopie der Ressource 105 angefertigt werden, wobei als Eigentümeridentifikation 135 die Zugreifendenidentifikation 160 eingesetzt werden kann. Auf den ursprünglichen Eigentümer 120 kann in der Erzeugendenidentifikation 140 hingewiesen werden, indem dort die ursprüngliche Eigentümeridentifikation 135 eingesetzt wird. Die Ressourcenidentifikation 130 der Kopie der Ressource 105 kann neu gesetzt werden, optional nach einer Vorgabe des Zugreifenden 125, der ja Eigentümer 120 der Kopie der Ressource 105 ist. Auf die ursprüngliche Ressource 105 kann hingewiesen werden, indem die ursprüngliche Ressourcenidentifikation 130 als Objektidentifikation 145 übernommen wird. Dieser Vorgang kann für eine Kopie einer Kopie einer Ressource 105 ermöglicht oder verhindert sein. Ist der Vorgang nicht zulässig, so kann ein Verweis auf eine Quelle der Kopie der Ressource 105 bereitgestellt werden, sodass der Zugreifende 125 sich mit seiner Zugriffsanforderung an die Quelle wenden kann. Die Quelle kann insbesondere den ursprünglichen Eigentümer 120 umfassen.Otherwise, if access is allowed, can in one step 220 a copy of the resource 105 being made using as owner identification 135 the access identification 160 can be used. On the original owner 120 can in the generator identification 140 be pointed out by giving the original owner identification 135 is used. The resource identification 130 the copy of the resource 105 can be reset, optionally after a specification of the accessing person 125 who is the owner 120 the copy of the resource 105 is. On the original resource 105 can be pointed out by the original resource identification 130 as object identification 145 is taken over. This process may be for a copy of a copy of a resource 105 allowed or prevented. If the operation is not allowed, there may be a reference to a source of the copy of the resource 105 be provided so that the accessing 125 can contact their source with their access request. In particular, the source may be the original owner 120 include.

Bevor die Kopie der Ressource 105 dem Zugreifenden 125 ausgeliefert oder bereitgestellt wird kann der Inhalt der Ressource 105, also ein Nutzdatenteil der Datei 105.3 für den Zugreifenden 125 personalisiert werden. Dazu kann die Datei 105.3 insbesondere so verschlüsselt werden, dass nur der Zugreifende 125 sie entschlüsseln kann.Before the copy of the resource 105 the accessing person 125 the content of the resource can be delivered or provided 105 , that is a payload part of the file 105.3 for the accessing 125 be personalized. This can be done by the file 105.3 in particular, be encrypted so that only the accessing 125 she can decipher.

BezugszeichenlisteLIST OF REFERENCE NUMBERS

100100: Systemsystem
105105: Ressourceresource
105.1105.1: Dateifile
105.2105.2: Dienstservice
105.3105.3: Adresseaddress
110110: Zugriffssteuerungaccess control
115115: Vorgabespecification
120120: Eigentümerowner
125125: Zugreifenderof accessing
130130: Ressourcenidentifikationresource identification
135135: Eigentümeridentifikationowner identification
140140: Erzeugendenidentifikationgenerating identification
145145: Objektidentifikationobject identification
150150: UQRIUQRI
155155: Personenidentifikationpersonal identification
160160: Zugreifendenidentifikation Zugreifendenidentifikation
200200: Verfahrenmethod
205205: Anfrage ZugriffRequest access
210210: Bestimmen VorgabeDetermine default
215215: Zugriff zulässig?Access allowed?
220220: Bereitstellen personalisierte KopieDeploy personalized copy

Claims

A system (100) comprising: - access control (110) to a digital resource (105); - wherein the resource (105) is associated with a resource identification (130) identifying the resource (105); - wherein the resource (105) is associated with an owner identification (135) identifying an owner (120); - wherein the access controller (110) is adapted to control access to the resource (105) by a accessing party (125) according to a default (115) of the owner (120); characterized in that - the resource identification (130) is invariably and inseparably linked to the resource (105).

System (100) after Claim 1 wherein the resource identification (130) is connected to the resource (105) by means of cryptographic methods.

System (100) after Claim 1 or 2 wherein the default (115) includes a access identification (135) identifying the accessing party (125) and an access right.

A system (100) according to any one of the preceding claims, wherein a person is assigned at most one personal identification (155) usable as the owner identification (135) or as the access identification (135).

System (100) according to one of the preceding claims, wherein a person identification (155) which can be used as the owner identification (135) or as the access identification (135) is assigned to exactly one person.

The system (100) of any of the preceding claims, wherein the access controller (110) is configured to cryptographically bind the resource (105) to the accessing party (125).

The system (100) of any one of the preceding claims, wherein the resource identifier (130) is determinable by the original owner (120).

The system (100) of any one of the preceding claims, wherein the resource (105) is further associated with a creator identification (140) identifying an original owner.

System (100) after Claim 8 wherein the resource (105) is further associated with an object identifier (145) of an original resource (105) from which the resource (105) is derived.

Method (200) comprising: - receiving (205) an access request to a digital resource (105); - wherein the resource (105) is inseparably associated with a fixed resource identifier (130) identifying the resource (105); - wherein the resource (105) is associated with an owner identification (135) identifying an owner (120); and - controlling (220) access to the resource (105) according to a default of the owner (120).

Method (200) according to Claim 10 wherein the access request comprises a access identification (135) identifying the accessing party (125), and the policy (15) describes access based on the access identification (135).

Method according to Claim 10 or 11 wherein the access comprises a download and the downloaded resource (105) is assigned the access end identification (135) as the owner identification (135).