-
Die vorliegende Erfindung betrifft das Gebiet der computerimplementierten Verfahren für die Suche auf strukturierten Datensammlungen, insbesondere Datenbank-Inhalten.
-
In der Praxis ist es bekannt, Such-Indizes zu erstellen, um bei einer erhöhten Geschwindigkeit Übereinstimmungen zwischen Anfrageparametern in einer Suchanfrage und gespeicherten Inhalten einer Datenbank festzustellen.
-
In jüngerer Zeit setzt sich aus Gründen des Datenschutzes allerdings die Tendenz durch, Nutzdaten in einer Datenbank nicht mehr als Klartext abzuspeichern, sondern als Geheimtext. Geheimtext ist im Gegensatz zu Klartext nicht direkt verständlich. Auf diese Weise sind also die Datenbankinhalte in der gespeicherten Form - auf Basis einer Verfremdung von einzelnen gespeicherten Nutzdatenelementen - in einer solchen Form abgelegt, dass der tatsächliche Bedeutungsgehalt nicht mehr erkennbar ist. Dieser Ansatz wird auch als Daten-zentrierte Sicherheit (data centric security) bezeichnet.
-
Als Ausgangssituation für die vorliegende Offenbarung wird also angenommen, dass die gespeicherten Nutzdaten in der strukturierten Datensammlung in der Form von Geheimtextwerten vorliegen, auf denen Suchanfragen mit Hilfe von Klartext-Parametern nicht mehr direkt möglich sind.
-
Es hat sich gezeigt, dass die bisher bekannten Verfahren zur Bereitstellung von Suchdiensten mit dieser Ausgangssituation nicht oder nur bei einer sehr langsamen Verarbeitungsgeschwindigkeit umgehen können, da sie insbesondere bei jeder eingehenden Suchanfrage den gesamten Datenbestand elementweise aus den gespeicherten Geheimtextwerten in Klartextwerte übersetzen müssen, was eine hohe Rechenleistung erfordert und dementsprechend zu einem langsamen Antwortverhalten führt.
-
Es ist Aufgabe der vorliegenden Erfindung, ein verbessertes computerimplementiertes Verfahren zur Bereitstellung eines Suchdienstes für Suchanfragen auf strukturierten Datensammlungen aufzuzeigen, das auch eine performante Suche auf Geheimtext-Nutzdaten ermöglicht.
-
Die Erfindung löst diese Aufgabe durch die Merkmale des eigenständigen Anspruchs.
-
Das computerimplementierte Verfahren gemäß der vorliegenden Offenbarung ist dazu vorgesehen und ausgebildet, einen Suchdienst für Suchanfragen auf strukturierten Datensammlungen bereitzustellen, in denen Nutzdaten als Geheimtextwerte gespeichert sind. Aus der Datensammlung werden Datensätze ausgelesen, die jeweils einen Identifikator-Wert und in Kategorien geordnete Nutzdaten umfassen. Die ausgelesenen Nutzdaten mindestens einer Kategorie liegen als Geheimtextwerte vor. Es wird ein Geheimtext-Index gebildet oder eingelesen, wobei in dem Geheimtext-Index eine Zuordnung von Geheimtextwerten zu Identifikator-Werten der Datensätze in der Datenbank enthalten ist. Wenn über die Kommunikations-Schnittstelle eine Suchanfrage erfasst wird, die einen Anfrageparameter als Klartextwert umfasst, werden Geheimtextwerte, die in dem Geheimtext-Index enthalten sind, durch einen Decodierungsvorgang in Klartextwerte transformiert. Auf diesen transformierten Klartextwerten wird dann die Suchanfrage mit dem Anfrageparameter ausgeführt, um die dort zugeordneten Identifikator-Werte zu ermitteln und als Antwort auf die Suchanfrage auszugeben.
-
Die in dem Geheimtext-Index enthaltenen Geheimtextwerte werden gemäß einer bevorzugten Ausführung ausschließlich temporär durch einen Decodierungsvorgang in Klartextwerte transformiert.
-
Somit werden bei der Ausführung des Verfahrens bevorzugt ausschließlich Geheimtextwerte für einen längeren Zeitraum verfügbar gemacht oder gespeichert, nicht jedoch die Klartextwerte. Da der Geheimtext-Index einen deutlich geringeren Umfang hat als die strukturierte Datensammlung selbst, auf die sich sein Inhalt bezieht, kann die Transformation in Klartextwerte viel schneller erfolgen, sodass eine Antwort auf die Suchanfrage besonders zügig zur Verfügung gestellt werden kann. Ferner erfolgt die Transformation des Geheimtext-Index in einem separaten Prozess und bevorzugt entfernt von dem Computersystem, von dem die Suchanfrage stammt. Es ist also nicht erforderlich, in Reaktion auf die Suchanfrage den gesamten Inhalt der strukturierten Datensammlung in Klartext umzuwandeln, und insbesondere nicht auf dem Computersystem, von dem die Suchanfrage stammt. Hierdurch wird die Datensicherheit erhöht.
-
Gleichzeitig können die Sicherheitsanforderungen gemäß dem Konzept der Daten-zentrierten Sicherheit erfüllt werden. Als Klartext-Information liegen nur die „data in use“ Bestandteile vor, die für die Beantwortung einer Suchanfrage relevant sind.
-
Das computerimplementierte Verfahren gemäß der vorliegenden Offenbarung kann mit beliebigen Formen von strukturierten Datensammlungen verwendet werden, insbesondere mit Datenbanken, Tabellen, Arrays oder sonstigen Datenstrukturierungstypen.
-
Der Geheimtext-Index kann auf beliebige Weise gebildet werden. Bevorzugt umfasst das computerimplementierte Verfahren, das für die Bereitstellung eines Suchdienstes vorgesehen ist, auch Verarbeitungsschritte für die Bildung eines Geheimtext-Index auf. Alternativ oder zusätzlich kann die Bildung eines Geheimtext-Index durch ein separates computerimplementiertes Verfahren erfolgen.
-
Die Schritte zur Bildung eines Geheimtext-Index umfassen bevorzugt: Abrufen mehrerer Datensätze aus der Datensammlung, insbesondere aller Datensätze, die Geheimtextwerte beinhalten. Transformieren der Geheimtextwerte zumindest einer Kategorie in den abgerufenen Datensätzen in zugehörige Klartextwerte mittels eines Decodierungsvorgangs. Auffinden einer Menge von Klartext-Indexparametern, wobei die Klartext-Indexparameter einen oder mehrere Anfrageparameter in Klartext-Form umfassen, die jeweils zu einer oder mehreren Übereinstimmungen mit den transformierten Klartextwerten der Datensätze führen. (Rück-)Transformieren der aufgefundenen Klartext-Indexparameter in Geheimtext-Indexparameter durch einen Codierungsvorgang. Bilden des Geheimtext-Index als eine geordnete Datenstruktur, die die Geheimtext-Indexparameter und die Identifikator-Werte derjenigen Datensätze umfasst, bei denen die Übereinstimmungen der Klartext-Indexparameter mit den transformierten Klartextwerten vorliegen.
-
Gemäß einem bevorzugten Aspekt der Offenbarung, werden ein oder mehrere Verfahrensschritte, in denen Klartextwerte erzeugt oder verarbeitet werden, ausschließlich in einem vor Fremdzugriffen geschützten Bereich der Datenverarbeitungseinrichtung durchgeführt, auf welchen das computerimplementierte Verfahren ausgeführt wird. Auf diese Weise sind Fremdzugriffe auf über von außen zugängliche Schnittstellen nur auf Geheimtextwerte möglich, während die Klartextwerte nicht zugreifbar sind oder nur in einem solchen Umfang bereitgestellt werden, wie auch tatsächliche Übereinstimmungen mit einer jeweiligen Suchanfrage vorliegen.
-
Die in dem Geheimtext-Index abgelegten Geheimtextwerte und Geheimtext-Indexparameter können zur weiteren Erhöhung der Datensicherheit auf Basis eines anderen Codierungsverfahrens oder Codierungstyps vorliegen als die Nutzdaten-Geheimtextwerte. Auf diese Weise wird sichergestellt, dass selbst ein Vergleich zwischen den Inhalten der strukturierten Datensammlung und den Inhalten des zugehörigen Geheimtext-Index keinen Rückschluss darüber zulässt, welches Codierungsverfahren, welche Codierungsart oder welche Nutzinhalte vorliegen.
-
Weitere vorteilhafte Ausbildung der Erfindung sind in den Unteransprüchen, der nachfolgenden Beschreibung sowie den beigefügten Zeichnungen angegeben.
-
Die Erfindung ist in den Zeichnungen beispielhaft und schematisch dargestellt. Diese zeigen:
- 1: ein schematisches Verteilungsdiagramm zur Erläuterung der Funktionsweise des Suchdienstes;
- 2 und 3: strukturierte Datensammlungen, bei denen die Nutzdaten einerseits als Geheimtextwerte und andererseits als Klartextwerte vorliegen sowie eine Nutzdaten-Codierung (12) zur Transformation zwischen diesen Repräsentationen der Nutzdaten;
- 4: eine Erläuterung für den Zusammenhang von Endcodierungsvorgang, Decodierungsvorgang, etwaig vorhandenen Schlüsselmaterial sowie Klartextwerten, Geheimtextwerten und decodierten Werten;
- 5: ein schematisches Verteilungsdiagramm zur Erläuterung von Zugriffsbeschränkungen auf einen geschützten Bereich der Datenverarbeitungseinrichtung;
- 6 und 7: zwei Beispiele für ein computerimplementiertes Indexbildungsverfahren;
- 8: eine Darstellung zur Erläuterung eines Zusatzverfahrens für ein computerimplementiertes Suchverfahren.
-
1 erläutert ein computerimplementiertes (Such-) Verfahren gemäß der vorliegenden Offenbarung.
-
In der Mitte der Darstellung ist eine Datenverarbeitungseinrichtung (9) gezeigt. Das computerimplementierte (Such-)Verfahren stellt bei der Ausführung auf der Datenverarbeitungseinrichtung (9) eine Daten-Schnittstelle (3) und eine Kommunikations-Schnittstelle (4) bereit. Ein computerimplementiertes (Indexbildungs-)Verfahren kann etwaig nur eine Daten-Schnittstelle bereitstellen.
-
Über die Daten-Schnittstelle (3) ist das (Such-) und/oder Indexbildungs-Verfahren mit einer strukturierten Datensammlung (1) verbindbar oder verbunden. Die strukturierte Datensammlung (1) kann beispielsweise eine Datenbank, eine Tabelle oder ein Array sein. In der strukturierten Datensammlung (1) ist zumindest ein Teil der Nutzdaten als Geheimtextwerte (X',Y') gespeichert.
-
Über die Kommunikationsschnittstelle (4) werden Suchanfragen (Q) angenommen und zugehörige Antworten (R) ausgegeben. Die Suchanfragen können von extern über die Kommunikations-Schnittstelle (4) übermittelt werden, beispielsweise von einer externen Datenverarbeitungseinrichtung, die hier beispielsweise als ein Klient (8) dargestellt ist. Bevorzugt werden die Antworten (R) an denselben Klienten (8) ausgegeben, von dem eine vorherige Suchanfrage (Q) angenommen worden ist.
-
Die Suchanfragen (Q) können einen beliebigen Inhalt und eine beliebige Struktur haben. Die Suchanfragen können insbesondere einen Anfrageparameter (P) als Klartextwert (X,Y) umfassen. Als Antwort auf eine Suchanfrage (Q) werden bevorzugt Identifikator-Werte (id) und/oder Datensätze (6) aus der Datensammlung (1) ausgegeben, wobei die ausgegebenen Datensätze (6) wahlweise als Klartextwerte (X,Y), als Geheimtextwerte (X'Y') oder in einer Mischform ausgehbar sind. Bevorzugt ist die Ausgabe als Klartextwerte (X,Y) oder die Ausgabe von ermittelten Identifikator-Werten (id).
-
Die Daten-Schnittstelle (3) ist bevorzugt dazu ausgebildet, aus der Datensammlung (1) einen oder mehrere Datensätze (6) auszulesen, wobei die ausgelesenen Datensätze (6) jeweils einen Identifikatorwert (id) und in Kategorien (B,C,D) geordnete Nutzdaten umfassen, und wobei die ausgelesenen Nutzdaten mindestens einer Kategorie (B,C,D) als Geheimtextwerte (X',Y') vorliegen.
-
Wenn eine verteilte Implementierung vorliegt, bei der ein erstes computerimplementiertes Verfahren ausschließlich als Such-Verfahren vorliegt, und ein zweites computerimplementiertes Verfahren ausschließlich als Indexbildungs-Verfahren, kann bei dem Such-Verfahren ggfs. auf die vorgenannte Ausbildung der Daten-Schnittstelle verzichtet werden. Es ist dann zumindest eine Daten-Schnittstelle vorzusehen, über welche ein von dem Index-Bildungsverfahren erzeugter Geheimtext-Index einlesbar ist.
-
Nachfolgend wird zur Vereinfachung der Darstellung davon ausgegangen, dass ein kombiniertes Such- und Indexbildungsverfahren vorliegt. Alle nachfolgend offenbarten Merkmale können wahlweise entweder nur mit einem computerimplementierten Such-Verfahren oder nur mit einem computerimplementierten Indexbildungsverfahren oder mit einem kombinierten Such- und Indexbildungs-Verfahren genutzt werden. Auch eine Unterscheidung von Such-Verfahren und Indexbildungs-Verfahren wird daher im Folgenden verzichtet.
-
Das computerimplementierte Verfahren ist dazu ausgebildet, Geheimtextwerte (X',Y') durch einen Decodierungsvorgang (F2) in Klartextwerte (X,Y) zu transformieren.
-
2 und 3 zeigen in zwei zueinander korrespondierenden Darstellungen die möglichen Inhalte einer strukturierten Datensammlung (1), einerseits als Nutzdaten in Form von Klartextwerten (X,Y) (2) und andererseits als Nutzdaten in Form von Geheimtextwerten (X',Y') (3). Ein Geheimtextwert (X',Y') kann durch eine beliebige Art einer Codierung gebildet sein. Die Codierung kann insbesondere eine Pseudonymisierung oder eine Verschlüsselung (12,13) sein. In den Zeichnungen wird beispielhaft davon ausgegangen, dass eine Verschlüsselung (12,13) vorliegt, die ein Schlüsselmaterial (10,11) nutzt. Eine Pseudonymisierung kann etwaig ohne Schlüsselmaterial durchgeführt werden.
-
4 erläutert die möglichen Transformationen zwischen Klartextwerten (X,Y) und Geheimtextwerten (X',Y'). Jeder Klartextwert (X,Y) ist durch einen Encodierungsvorgang (F1) einen Geheimtextwert (X',Y') transformierbar. Es ist jeweils ein zugehöriger Decodierungsvorgang (F2,F4) für eine Rücktransformation ausführbar.
-
Ein Encodierungsvorgang (F1,F3) und ein zugehöriger Decodierungsvorgang (F2,F4) wirken bevorzugt zueinander als Umkehrfunktionen, so dass durch den Decodierungsvorgang (F2,F4) aus jedem Geheimtextwert (X',Y',X'',Y'') ein decodierter Wert (V) gebildet wird, der mit dem Klartextwert (X,Y) übereinstimmt, aus welchem gemäß dem Encodierungsvorgang (F1,F3) der Geheimtextwert (X',Y',X'',Y'') gebildet wird.
-
Im Rahmen der vorliegenden Offenbarung können mehrere Codierungen vorliegen, die zueinander gleich oder unterschiedlich sind. Es werden insbesondere eine Nutzdaten-Codierung und eine Index-Codierung voneinander abgegrenzt. Die Nutzdaten-Codierung kann einen Encodierungsvorgang (F1) und einen Decodierungsvorgang (F2) umfassen, die ein erstes Paar von zueinander gehörigen Hin- und Rücktransformationen bilden. Die Index-Codierung kann einen weiteren Encodierungsvorgang (F3) und einen weiteren Decodierungsvorgang (F4) umfassen, die ein entsprechendes zweites Paar bilden.
-
Wenn eine Codierung als Verschlüsselung (12,13) vorgesehen ist, umfasst sie mindestens ein Schlüsselmaterial (10,11) für einen Encodierungsvorgang und den zugehörigen Decodierungsvorgang. Wenn die Nutzdaten-Codierung und die Index-Codierung als Verschlüsselung vorliegen, können diese dasselbe oder ein jeweils unterschiedliches Schlüsselmaterial umfassen.
-
Eine besonders bevorzugte Ausbildung sieht vor, dass zumindest eine der Codierungen (12,13) als formaterhaltene Codierung vorgesehen ist, bei der das Datenformat eines Geheimtextwertes (X',Y',X",Y") mit dem Datenformat des zugehörigen Klartextwertes (X,Y) übereinstimmt. So können beispielsweise Klartextwert und zugehöriger Geheimtextwert jeweils als INTEGER oder jeweils als FLOAD oder jeweils als String usw. vorliegen. Alternativ kann eine Formatverfremdende Codierung vorliegen.
-
Gemäß einer besonders bevorzugten Ausführung ist eine Index-Codierung (13) vorgesehen, die ein anderes Codierungsverfahren nutzt als für die Codierung der Nutzdaten in der Datensammlung (1) vorgesehen ist. Hierdurch wird ein besonders hohes Sicherheitsniveau erreicht.
-
Weiterhin bevorzugt ist eine Index-Codierung (13) als Index-Verschlüsselung vorgesehen, wobei insbesondere ein Schlüsselmaterial (13) für die Index-Verschlüsselung gegenüber einem etwaig vorhandenen Schlüsselmaterial (10) einer Nutzdaten-Verschlüsselung (12) unterschiedlich ist. Alternativ kann das gleiche Schlüsselmaterial genutzt sein.
-
Nachfolgend wird unter Bezugnahme auf 1 die Bearbeitung einer Suchanfrage (Q) erläutert. Dabei wird zunächst vorausgesetzt, dass ein Geheimtext-Index (7) vorhanden ist. Weiter unten wird ein Vorgang zur Bildung eines Geheimtext-Index (7) im Detail erläutert.
-
In dem Geheimtext-Index (7) ist eine Zuordnung von Geheimtextwerten (X',Y',X",Y") zu Identifikator-Werten (id) der Datensätze (6) in der Datenbank (1) enthalten. Der Geheimtext-Index (7) gemäß einer ersten Ausbildung ist im oberen Bereich von 1 gezeigt. Er weist einen Geheimtext-Indexparameter (Z',Z") auf. Der Geheimtext-Indexparameter ist ein Oberbegriff für eine Gruppe von Werten. Wie diese gebildet werden, wird weiter unten erläutert.
-
Für die Ausführung einer Suche ist zunächst maßgeblich, dass diese Werte als Geheimtextwerte (X',Y',X'',Y'') vorliegen. Jedem dieser Geheimtextwerte ist eine Menge von Identifikator-Werten (id) der Datensätze (6) in der Datenbank (1) zugeordnet. Diese Identifikator-Werte (id) können in Untergruppen zugeordnet sein. Es kann beispielsweise eine Untergruppe pro Kategorie der Nutzdaten in der geordneten Datenstruktur (1) vorgesehen sein.
-
Wenn über die Kommunikations-Schnittstelle (4) eine Suchanfrage (Q) erfasst wird, die einen Anfrageparameter (P) als Klartextwert (x,y) umfasst, werden die in dem Geheimtext-Index (7) enthaltenen Geheimtextwerte durch einen Decodierungsvorgang (F2,F4) in Klartextwerte (X,Y) transformiert.
-
Dieser Transformationsschritt wird bevorzugt vollständig in einem geschützten Bereich (14) der Datenverarbeitungseinrichtung (9) ausgeführt. Weiterhin bevorzugt erfolgt die Transformation in Klartextwerte (x,y) ausschließlich temporär.
-
In 1 sind die transformierten Klartextwerte (X,Y) deshalb in einem Strichlinien-Kasten dargestellt.
-
Auf diesen transformierten Klartextwerten (X,Y) wird die Suchanfrage (Q) mit dem (Klartext-)Anfrageparameter (P) ausgeführt, um die im Geheimtext-Index (7) zugeordneten Identifikator-Werte (id) zu ermitteln.
-
Der Anfrageparameter (P) kann von beliebiger Art sein. Er kann beispielsweise in einer gängigen Datenbank-Abfragesprache ausgedrückt sein.
-
Ein Beispiel für die Bearbeitung einer Suchanfrage wird nachfolgend unter ergänzender Bezugnahme auf die 2 und 3 beschrieben.
-
Die Anfrage kann beispielsweise lauten:
-
Die Bedeutung der Anfrage kann sein: Finde alle Datensätze in den Kategorien (A) oder (B), in denen der Klartextwert „Daniel“ vorliegt.
-
Betrachtet man die in 2 gezeigte Beispieldatenbank, so würde diese Suchanfrage bei der Durchführung auf Klartextwerten folgende korrekte Ausgabe liefern:
-
Es würde somit eine Übereinstimmung der Suchanfrage (Q) auf den Datensätzen mit den Identifikatorwerten id=L02 bzw. id=L04 vorliegen. Denn der Klartextwert „Daniel“ ist in den Feldern A2 und B4 der in 2 gezeigten Datensammlung 1 enthalten.
-
Da die Datensammlung (1) tatsächlich in einer gemäß 3 illustrierten Form vorliegt, ist das direkte Auffinden von Übereinstimmungen zwischen dem Anfrageparameter (P) in Klartext und den Nutzdaten der Datensammlung (1) nicht möglich.
-
In dem Geheimtext-Index (7) sind jedoch Zuordnungen zu den Identifikator-Werten (id) vorhanden, auf deren Basis die Suchanfrage (Q) direkt ausgeführt werden kann.
-
In dem in 1 oben dargestellten Abschnitt, der die (bevorzugt temporär vorliegenden) transformierten Klartextwerte (X,Y) umfasst, ist in der zweiten Zeile der Eintrag „Daniel“ vorhanden. Somit kann der Anfrageparameter (P) als Klartextwert mit diesem transformierten Klartextwert (X,Y) verglichen werden, um so die zugeordneten Identifikator-Werte (id) zu ermitteln.
-
Die Suchanfrage (Q) könnte alternativ als Anfrageparameter (P) in Klartextform enthalten: „Da?“. Die Bedeutung dieses Anfrageparameters kann sein: Finde Nutzdaten, die mit dem Zeichen „Da“ beginnen. Auch dieser Anfrageparameter (P) kann mit den (bevorzugt temporär) transformierten Klartextwerten (X,Y) verglichen werden, wobei eine Übereinstimmung sowohl mit dem Klartextwert „Daniel“ als auch mit dem Klartextwert „David“ vorliegt. Als zugeordnete Identifikator-Werte (id) würden somit ermittelt:
-
Die ermittelten Identifikatorwerte stimmen also mit den Datensätzen überein, die bei einer hypothetischen Suche mit dem Klartextwert „Da?“ auf der in 2 gezeigten Datensammlung (1) eine Übereinstimmung aufweisen. Dort treten in den Kategorien (A), (B) Nutzdaten, die mit der Zeichenfolge „Da“ beginnen, in den Feldern (A2) und (A5) auf, sowie in der Kategorie (B) im Feld (C4).
-
Eine entsprechende Suchanfrage wäre auf den als Geheimtextwerte (X',Y') gespeicherten Nutzdaten in der tatsächlich vorliegenden Datensammlung (1) gemäß 3 nicht direkt ausführbar.
-
Als Antwort (R) auf die Suchanfrage (Q) können je nach Implementierungsart die ermittelten Identifikator-Werte (id) und/oder die entsprechenden Datensätze (6) aus der Datensammlung (1) ausgegeben werden.
-
Aus dem vorgenannten Beispiel ergibt sich, dass durch das offenbarungsgemäße Verfahren die Geschwindigkeitsvorteile einer Index-basierten Suche zur Verfügung gestellt werden, ohne für die Abarbeitung der Suchanfrage jeweils alle Datensätze (6) einer bestimmten Kategorie (A), (B), (C) in der strukturierten Datensammlung (1) vollständig in Klartextwerte (X,Y) transformieren zu müssen. Vielmehr ist es lediglich erforderlich, die in dem Geheimtext-Index (7) enthaltenen Geheimtextwerte (X',Y') zu transformieren, was einen weit geringeren Rechenaufwand bedeutet, insbesondere wenn eine umfangreiche Datensammlung (1) vorliegt und/oder bestimmte Nutzdatenwerte in einer oder mehreren Kategorien (A), (B), (C) mehrfach vorkommen.
-
Nachfolgend wird unter Bezugnahme auf 6 und 7 ein Vorgang zur Bildung eines Geheimtext-Index (7) erläutert. Dieser Vorgang kann wahlweise von einem Such-Verfahren und/oder einem Indexbildungs-Verfahren gemäß der vorliegenden Offenbarung ausgeführt werden.
-
Mehrere Datensätze (6) und insbesondere alle Datensätze (6) aus der Datensammlung (1), die Geheimtextwerte (X',Y') beinhalten, werden abgerufen.
-
Im unteren Bereich von 6 und 7 ist die aus 3 bekannte Datensammlung abgebildet, wobei das Abrufen für die Kategorien (A) und (B) illustriert ist. Die Geheimtextwerte (X',Y') zumindest einer Kategorie (A), (B), (C) in den abgerufenen Datensätzen (6) werden mittels eines Decodierungsvorgangs (F2) in zugehöriger Klartextwerte (X,Y) transformiert. Dies ist in 6 und 7 dadurch illustriert, dass die Nutzdaten der Kategorien (A), (B) bereits als transformierte Klartextwerte (X,Y) gezeigt sind. Diese Transformation wird erneut bevorzugt in einem geschützten Bereich (14) der Datenverarbeitungsvorrichtung (9) durchgeführt. Weiterhin wird die Transformation in Klartextwerte (X,Y) bevorzugt nur temporär durchgeführt.
-
Es wird eine Menge von Klartext-Indexparametern (Z) aufgefunden, wobei die Klartext-Indexparameter (Z) einen oder mehrere Anfrage-Parameter (P) in Klartext-Form umfassen, die jeweils zu einer oder mehreren Übereinstimmungen mit den transformierten Klartextwerten (X) der Datensätze (6) führen. Das Auffinden der Klartext-Indexparameter (Z) kann auf beliebige Weise erfolgen. Beispielsweise kann ein Klartext-Indexparameter (Z) gebildet werden, in welchem jeweils das erste Wort aus einem Nutzdatenfeld übernommen wird. Alternativ oder zusätzlich kann ein Klartext-Indexparameter (Z) gebildet sein, der eine bestimmte Suchanfrage beinhaltet.
-
In 6 und 7 sind im oberen Abschnitt links Beispiele für einen Klartext-Indexparameter (Z) in einer zusammengefassten Darstellung gezeigt. Die ersten vier Einträge „Peter“, „Daniel“, „Harald“, „Martin“ stehen repräsentativ für das Auffinden von Mehrfachnennung von Nutzdatenwerten. Der fünfte Eintrag betrifft repräsentativ einen Parameter für die Anfrage: Einträge, die mit den Zeichen „Da“ beginnen.
-
Die vorliegende Offenbarung ist nicht auf die genannten Beispiele für das Auffinden einer Menge von Klartext-Indexparametern (Z) beschränkt. Es können beliebige andere Klartext-Indexparameter (Z) nach beliebigen Auffindungsregeln erzeugt werden. Die Auffindungsregeln können dabei für eine oder mehrere Kategorien, (A,B) gleich oder Unterschiedlich sein.
-
Die aufgefundenen Klartext-Indexparameter (Z) werden durch einen Encodierungsvorgang (F1,F3) in Geheimtext-Indexparameter (Z',Z") transformiert. Dieser Vorgang wird als Index-Encodierungsvorgang bezeichnet, der entweder gemäß dem Beispiel von 6 identisch zu dem Nutzdaten-Encodierungsvorgang (F1) sein kann, auf dessen Basis die Geheimtextwerte (X',') in der strukturierten Datensammlung (1) vorliegen. Dies ist in 6 gezeigt. Dabei kann insbesondere ein Index-Verschlüsselungsvorgang vorliegen, der dasselbe Schlüsselmaterial (10) nutzt, dass einer Verschlüsselung der Geheimtextwerte (X',Y') in der strukturierten Datensammlung (1) zu Grunde liegt.
-
Alternativ kann gemäß dem Beispiel in 7 ein Index-Encodierungsvorgang (F3) und insbesondere ein Index-Verschlüsselungsvorgang mit einem anderen Schlüsselmaterial (11) vorliegen, als bei den Geheimtextwerten (X',Y') der strukturierten Datensammlung (1) .
-
Der Geheimtext-Index (7) wird als eine geordnete Datenstruktur gebildet, welche die Geheimtext-Indexparameter (Z',Z") und die Identifikator-Werte (id) derjenigen Datensätze (6) umfasst, bei denen die Übereinstimmungen der Klartext-Indexparameter (Z) mit dem transformierten Klartextwerten (X,Y) vorliegen. Es werden jedoch bevorzugt nicht die Klartext-Parameter (Z) an sich in den Geheimtext-Index (7) aufgenommen. Vielmehr werden bevorzugt die Klartext-Indexparameter (Z) sofort oder möglichst zeitnah nach der Verwendung für die Bildung des Geheimtext-Index (7) gelöscht.
-
Für das Suchverfahren und/oder das Indexbildungsverfahren gilt somit, dass bevorzugt in dem Geheimtext-Index (7) enthaltene Geheimtextwerte (X',Y',X'',Y'') ausschließlich temporär durch ein Decodierungsvorgang (F2,F4) in Klartextwerte (X,Y) transformiert werden. Weiterhin gilt, das ebenso bevorzugt die aufgefundene Menge von Klartext-Indexparametern (Z), auf denen die Bildung des Geheimtext-Index (7) beruht, ausschließlich temporär erzeugt werden.
-
In dem Geheimtext-Index sind als Zuordnung zu einem Geheimtextwert (X',Y',X'',Y'') die Identifikator-Werte (id) derjenigen Datensätze (6) abgelegt, in welchen bei einer hypothetischen Suche in der zu Grunde liegenden Datensammlung (1) auf Klartextwerten (X,Y), die den tatsächlichen Geheimtextwerten (X',Y',X'',Y'') entsprechen, eine Übereinstimmung vorliegen würde. Beispiele für diese Zuordnung sind in den 6 und 7 rechts oben im jeweils gezeigten Geheimtext-Index (7) gezeigt. In dem Beispiel von 6 liegen dabei Werte für einen Geheimtext-Indexparameter (Z') vor, die so etwaig auch als Geheimtextwerte (X',Y') in der strukturierten Datensammlung (1) gemäß 3 vorkommen. Bei dem Beispiel gemäß 7 unterscheiden sich die Werte zu den Geheimtext-Indexparametern (Z") von den Geheimtextwerten (X',Y') in der Datensammlung gemäß 3. Denn die Geheimtext-Indexparameter (Z") sind in dem Beispiel von 7 auf Basis einer Index-Codierung (13) gebildet, die von der Nutzdaten-Codierung (12) unterschiedlich ist und/oder etwaig ein anderes Schlüsselmaterial nutzt.
-
5 erläutert bevorzugte Zugriffsregeln für die computerimplementierten Verfahren gemäß der vorliegenden Offenbarung.
-
Bevorzugt werden zumindest einer, mehrere oder alle der nachfolgend genannten Schritte, die bei der Bildung des Geheimtext-Index (7) vorliegen können, ausschließlich in einem vor Fremdzugriffen geschützten Bereich der Datenverarbeitungseinrichtung (9) durchgeführt:
- • Eine für die Index-Bildung notwendige temporäre Ablage der transformierten Klartextwerte (X);
- • Das Auffinden von Klartext-Indexparametern (Z);
- • Das Ermitteln von Übereinstimmungen zwischen Klartext-Indexparametern (Z) und auf Basis der abgerufenen Datensätze (6) transformierten Klartextwerten (X,Y);
- • Das Transformieren der Klartext-Indexparameter (Z) in Geheimtext-Indexparamter (Z',Z'').
-
In den Beispielen gemäß den beigefügten Figuren sind die Identifikator-Werte (id), die in dem Geheimtext-Index (7) enthalten sind, als Klartextwerte gezeigt. Diese Form der Darstellung dient lediglich der vereinfachten Nachvollziehbarkeit und beschränkt nicht den Gegenstand der Offenbarung. Ein oder mehrere der Identifikator-Werte (id) können bevorzugt ebenfalls als Geheimtextwerte vorliegen und einer entsprechenden Transformation unterliegen. Alternativ ist auch die in den Figuren gezeigte Speicherung als Klartextwerte möglich.
-
Bei der Abarbeitung einer Suchanfrage (Q) unter Nutzung des Geheimtextindex (7) werden die ein oder mehreren transformierten Klartext-Indexwerte (Z) bevorzugt ebenfalls in einem vor Fremdzugriffen geschützten Bereich (14) der Datenverarbeitungseinrichtung (9) gebildet und dabei weiterhin bevorzugt ausschließlich temporär gebildet.
-
Die ein oder mehreren temporär gebildeten Klartextwerte (X,Y) und/oder Klartext-Indexwerte (Z) werden bevorzugt gelöscht:
- • Direkt nach der Transformation in einen Geheimtext-Indexwert (Z',Z") und der Abarbeitung einer Suchanfrage (Q); oder
- • Wenn nach der Abarbeitung einer ersten Suchanfrage (Q) für ein vorbestimmtes Zeitintervall keine weitere Suchanfrage empfangen wird.
-
Ein geschützter Bereich (14) der Datenverarbeitungseinrichtung (9) kann in beliebiger geeigneter Form vorliegen. Er kann insbesondere geschützte Arbeitssegmente eines Prozessors (15) und/oder geschützte Arbeitssegmente eines direkt vom Prozessor (15) angesprochenen Speichers (16) umfassen. Der direkt angesprochene Speicher (16) kann beispielsweise der Cache-Speicher des Prozessors (15) selbst und/oder ein zugeordneter Arbeitsspeicher sein. In einer besonders bevorzugten Ausführung kann ein körperlich separierter Speicher ausschließlich für die Verarbeitung gemäß dem computerimplementierten Verfahren nach dieser Offenbarung reserviert sein.
-
Die ein oder mehreren beschriebenen Encodierungsvorgänge (F1,F3) und/oder die ein oder mehreren Decodierungsvorgänge (F2,F4) können als Bestandteil des computerimplementierten Verfahrens gemäß der vorliegenden Offenbarung ausgeführt sein. In diesem Fall finden diese Vorgänge bevorzugt ausschließlich in dem geschützten Bereich (14) der Datenverarbeitungseinrichtung (9) statt.
-
Alternativ kann das computerimplementierte Verfahren bei Ausführung auf der Datenverarbeitungseinrichtung (9) eine Codierungs-Schnittstelle (5) erzeugen. Über die Codierungs-Schnittstelle (5) kann insbesondere der Nutzdaten-Decodierungsvorgang (F2) auf einem externen Prozess (18) und/oder einem externen Gerät ausführbar sein (vgl. 1). In diesem Fall ist es nicht erforderlich, dass das computerimplementierte Verfahren selbst die Nutzdaten-Codierung (12) und ein etwaig verwendetes Schlüsselmaterial (10) kennt.
-
Der Geheimtext-Index (7) weist insbesondere in der Ausführung gemäß 7, bei der die Index-Codierung (13) von der Nutzdaten-Codierung (12) abweicht, ein hohes Datensicherheitsniveau auf. Es kann daher auch unter strengen Datenschutz-Anforderungen zulässig sein, den Geheimtext-Index (7) als solchen auf einem Permanent-Datenspeicher (17) der Datenverarbeitungseinrichtung (9) oder über eine Schnittstelle persistent zu speichern. Bei der persistenten Speicherung werden bevorzugt ausschließlich die Geheimtextwerte (X'',Y'') abgelegt, aber keine Klartextwerte (X,Y).
-
Die nicht persistent zu speichernden Klartextwerte (X,Y) umfassen insbesondere die durch einen Decodierungsvorgang (F2,F4) aus den Geheimtextwerten (X',Y',X'',Y'') erzeugten Werte sowie die Klartext-Indexparameter (Z).
-
Gemäß einer bevorzugten Ausführungsform der vorliegenden Offenbarung liegen somit alle Klartextwerte (X,Y) ausschließlich in dem geschützten Bereich (14) und weiterhin bevorzugt ausschließlich temporär vor. Soweit als Bestandteil der offenbarten computerimplementierten Verfahren ein Encodierungsvorgang (F1,F3) und/oder ein Decodierungsvorgang (F2,F4) ausgeführt wird, erfolgt dies bevorzugt ebenfalls ausschließlich in dem geschützten Bereich (14). Insofern ein Schlüsselmaterial (10,11) genutzt wird, ist dieses bevorzugt ausschließlich in dem geschützten Bereich (14) abgelegt.
-
Ein äußerer Zugriff und/oder über eine längere Zeitdauer möglicher Zugriff ist andererseits bevorzugt ausschließlich auf die Geheimtextwerte (X',Y',X'',Y'') und die definierten Schnittstellen (3,4,5) möglich.
-
8 erläutert eine zusätzliche Möglichkeit zur Abarbeitung einer Suchanfrage, die für bestimmte Sonderfälle geeignet sein kann.
-
In dem Beispiel von 8 liegt ein Geheimtext-Index (7) vor, der mit den oben beschriebenen Beispielen übereinstimmt.
-
Wenn über die Kommunikations-Schnittstelle (4) eine Suchanfrage (Q) erfasst wird, die einen Anfrageparameter (P) als Klartextwert (X,Y) umfasst, ist es auch möglich, dass dieser Anfrageparameter (P) durch einen Encodierungsvorgang (F1,F3) in einen Anfrageparameter (P') mit einem zugehörigen Geheimtextwert (X',Y',X'',Y'') transformiert wird. Auch mit diesem transformierten Anfrageparameter (P') in Geheimtextform kann direkt eine Suche auf den Geheimtextwerten (X',Y',X'',Y'') in dem Geheimtext-Index (Z',Z") ausgeführt werden, um die dort zugeordneten Identifikator-Werte (id) zu ermitteln. In diesem Fall ist es also nicht erforderlich, die Geheimtextwerte im Geheimtext-Index in Klartextwerte zu transformieren, stattdessen wird der Klartext-Anfrageparameter in einen Geheimtextwert transformiert.
-
Diese alternative Form zur Bearbeitung einer Suchanfrage kann besonders schnell durchgeführt werden und ist insbesondere dann nützlich, wenn bestimmte Anfrageparameter (P) im Klartext (X,Y) immer wieder in der gleichen Form in den Suchanfragen (Q) enthalten sind. Für solche wiederkehrenden Anfrageparameter kann beispielsweise bei der Bildung des Geheimtext-Index gezielt ein entsprechender Klartext-Indexparameter (Z) erzeugt werden.
-
Wenn kein passender Eintrag im Geheimtext-Index (7) vorliegt, kann eine Suchanfrage gemäß der vorgenannten Bearbeitung etwaig nicht zu einem Ergebnis führen, so dass auf die weiter oben beschriebenen Ausführungsarten nachfolgend oder parallel zugegriffen werden muss.
-
Die vorliegende Offenbarung umfasst auch ein SoftwareProdukt, dass Anweisungen enthält, die dazu ausgebildet sind, bei Ausführung auf einer Datenverarbeitungseinrichtung (9), mindestens ein computerimplementiertes Verfahren gemäß der vorliegenden Offenbarung auszuführen. Das Softwareprodukt kann auf ein Such-Verfahren, ein Indexbildungs-Verfahren oder ein kombinierte Such- und Index-Bildungsverfahren ausgerichtet sein und die entsprechend zugeordneten Anweisungen zur Ausführung dieses Verfahrens enthalten.
-
Das Softwareprodukt umfasst bevorzugt weiterhin Anweisungen, um in einem Prozessor (15) und/oder in einem Speicher (16) der Datenverarbeitungseinrichtung (9) ein geschütztes Arbeitssegment (14) anzusprechen oder einzurichten. Der Inhalt des geschützten Arbeitssegments (14) ist weiterhin bevorzugt ausschließlich durch interne Anweisungen des computerimplementierten Verfahrens ansprechbar. Der Speicher (16) kann insbesondere ein direkt vom Prozessor (15) ansprechbarer Speicher und/oder ein flüchtiger Speicher sein.
-
Die vorliegende Offenbarung betrifft auch eine Datenverarbeitungseinrichtung, die einen Prozessor (15) und mindestens einen Speicher (16,17) umfasst, wobei in dem Prozessor (15) Anweisungen ausgeführt werden, die mindestens ein computerimplementiertes Verfahren gemäß der vorliegenden Offenbarung ausführen. Dies kann ein Such-Verfahren, ein Index-Bildungsverfahren oder ein kombiniertes Such- und Index-Bildungsverfahren sein.
-
Bezugszeichenliste
-
- 1
- strukturierte Datensammlung / Datenbank / Tabelle / Array
- 2
- Suchdienst
- 3
- Daten-Schnittstelle
- 4
- Kommunikations-Schnittstelle
- 5
- Verschlüsselungs-Schnittstelle
- 6
- Datensatz
- 7
- Geheimtext-Index
- 8
- Klient
- 9
- Datenverarbeitungseinrichtung
- 10
- Erstes Schlüsselmaterial für Nutzdaten-Verschlüsselung
- 11
- Zweites Schlüsselmaterial für Index-Verschlüsselung
- 12
- Nutzdaten-Codierung
- 13
- Index-Codierung
- 14
- Geschützter Bereich / Geschützte Arbeitssegments von Prozessor und/oder direkt durch Prozessor ansprechbarem Speicher
- 15
- Prozessor
- 16
- Erster Speicher / Datenspeicher (flüchtig) / RAM
- 17
- Zweiter Speicher / Datenspeicher (permanent) / HDD, SDD
- 18
- Externer Prozess
- id
- Identifikator-Wert
- A
- Kategorie
- B,B'
- Kategorie
- C,C'
- Kategorie
- F1
- Encodierungsvorgang gemäß erster Codierung / Nutzdaten-Encodierungsvorgang / Nutzdaten-Verschlüsselungsvorgang / Nutzdaten-Pseudonymisierungsvorgang
- F2
- Decodierungsvorgang gemäß erster Codierung / Nutdaten-Decodierungsvorgang / Nutzdaten-Entschlüsselungsvorgang / Nutzdaten-Entpseudonymisierungsvorgang
- F3
- Encodierungsvorgang gemäß zweiter Codierung / Index-Encodierungsvorang / Index-Verschlüsselungsvorgang / Index-Pseudonymisierungsvorgang
- F4
- Decodierungsvorgang gemäß zweiter Codierung / Index-Decodierungsvorgang / Index-Entschlüsselungsvorgang / Index-Entpseudonymisierungsvorgang
- D
- Kategorie
- P
- Anfrageparameter als Klartextwert
- P'
- transformierter Anfrageparameter als Geheimtextwert
- Q
- Suchanfrage mit Klartextwert
- Q'
- Suchanfrage mit Geheimtextwert
- R
- Antwort auf Suchanfrage
- V
- decodierter Wert / entschlüsselter Klartextwert / entpseudonymisierter Klartextwert
- X
- Klartextwert / Nutzdaten-Klartextwert
- X'
- Geheimtextwert (gemäß erster Codierung) / Nutzdaten-Geheimtextwert
- X''
- Geheimtextwert (gemäß zweiter Codierung) / Index-Geheimtextwert
- Y
- Klartextwert / Nutzdaten-Klartextwert
- Y'
- Geheimtextwert (gemäß erster Codierung) / Nutzdaten-Geheimtextwert
- Y''
- Geheimtextwert (gemäß zweiter Codierung) / Index-Geheimtextwert
- Z
- Klartext-Indexparameter (temporärer Wert)
- Z'
- Geheimtext-Indexparameter (persistent speicherbarer Wert) gemäß erster Codierung
- Z''
- Geheimtext-Indexparameter (persistent speicherbarer Wert) gemäß zweiter Codierung
