Einrichtung und Verfahren zur Sicherung und Überwachung von geschützten Daten Setup and method for securing and monitoring protected data
Technisches GebietTechnical field
Die Erfindung betrifft eine Einrichtung zur Sicherung und Überwachung von geschütztenThe invention relates to a device for securing and monitoring protected
Daten in einem flüchtigen und oder nichtflüchtigen Datenspeicher einer Datenverarbeitungseinheit vor unbefugtem Zugriff, wobeiData in a volatile and or non-volatile data memory of a data processing unit against unauthorized access, wherein
(a) Zugangsmittel vorgesehen sind, über die nur mit einem Berechtigungscode auf die geschützten Daten in dem Datenspeicher zugegriffen werden kann,(a) access means are provided via which the protected data in the data memory can only be accessed with an authorization code,
(b) Mittel zum Erfassen der Anzahl der Berechtigungscodeeingaben enthalten sind, (c) Mittel zur Beschrärikung des Zugriffs auf die geschützten Daten vorgesehen sind, wobei eine Beschrärikung erfolgt, wenn die Anzahl der Berechtigungscodeeingäben innerhalb eines bestimmten Zeitintervalls einen diesem Zeitintervall zugeordneten Referenzwert überschreitet,(b) means for detecting the number of authorization code entries are included, (c) means are provided for restricting access to the protected data, a restriction being made if the number of authorization code entries exceeds a reference value assigned to this time interval within a certain time interval,
Ferner betrifft die Erfindung ein Verfahren zur Sicherung und Überwachung von geschützten Daten (12) vor unbefugtem Zugriff mit einer Einrichtung (10) gemäß einem der vorherigen Ansprüche, wobei
(a) die Anzahl der Berechtigungscodeeingaben für den Zugriffe auf die geschützten Daten (12) innerhalb eines bestimmten Zeitintervalls (36) ermittelt wird undThe invention further relates to a method for securing and monitoring protected data (12) against unauthorized access with a device (10) according to one of the preceding claims, wherein (a) the number of authorization code entries for accessing the protected data (12) is determined within a specific time interval (36) and
(b) diese Anzahl der Versuche innerhalb des bestimmten Zeitintervalls (36) mit einem Referenzwert verglichen wird, wobei(b) this number of attempts within the determined time interval (36) is compared with a reference value, whereby
(c) der Zugriff auf die geschützten Daten beschränkt oder verhindert wird, wenn die Anzahl der Eingaben innerhalb des Zeitintervalls größer als der Referenzwert ist.(c) access to the protected data is restricted or prevented if the number of entries within the time interval is greater than the reference value.
Stand der TechnikState of the art
Digitale Daten werden zur Sicherung und zur Verhinderung vor unbefugten Zugriffen nach kryptograpfischen Verfahren geschützt. Unter Kryptographie wird grundsätzlich die Wissenschaft zur Erforschung und Realisierung von Verfahren zur Verschlüsselung bzw. Entschlüsselung von Daten verstanden, bei denen entweder das Verschlüsselungsverfahren oder (bei Anwendung einheitlicherDigital data is protected against unauthorized access according to cryptographic procedures to secure and prevent it. Cryptography is basically understood to be the science of researching and implementing methods for encrypting or decrypting data, in which either the encryption method or (when using more uniform
Verschlüsselungsverfahren) die verwendeten Schlüsselbegriffe geheim gehalten werden. Durch Ändern, Vertauschen oder Hinzufügen von Zeichen nach bestimmten Regeln wird ein Klartext in einen Schlüsseltext verwandelt und umgekehrt. Solche kryptographischen Verfahren sind z.B. bei der Speicherung von Daten und der Datenübertragung anwendbar. Dies ist derzeit das wirksamste Mittel des Datenschutzes, um Informationen, die in falsche Hände gelangt sind, wertlos zu machen. Neben der Vertraulichkeit durch die Verschlüsselung von Klartext kann mit den Methoden der Kryptographie auch die Authentizität einer Nachricht sowie die Integrität einer Datei sichergestellt werden, wobei unter letzterem, der Integrität einer Datei, die Gewissheit zu verstehen ist, eine Datei in unveränderter Form zu empfangen.Encryption method) the keywords used are kept secret. By changing, swapping or adding characters according to certain rules, a plain text is converted into a key text and vice versa. Such cryptographic methods are e.g. applicable for the storage of data and data transmission. This is currently the most effective means of data protection to make information that has fallen into the wrong hands worthless. In addition to confidentiality through the encryption of plain text, the methods of cryptography can also ensure the authenticity of a message and the integrity of a file, whereby the latter, the integrity of a file, means the certainty of receiving a file in an unchanged form.
Angriffe auf kryptographisch geschützte Daten können nur durch extrem häufige Zugriffe auf die geschützten Daten erfolgen. Dabei werden die verschiedensten
kryptografischen Zeichenkombinationen ausprobiert, bis schließlich eine Kombination passt, um auf die Daten zugreifen zu können. Diese Zugriffe zur unerlaubten Entschlüsselung sind, je nach Schlüssellänge (digitaler Code) und verwendetem kryptographischen Algorithmus, sehr zeitaufwendig. Wenn ein Angreifer ausreichend Zeit hat kann er theoretisch einen solchen Code knacken.Attacks on cryptographically protected data can only occur through extremely frequent access to the protected data. The most varied Tried cryptographic character combinations until finally a combination fits to be able to access the data. Depending on the key length (digital code) and the cryptographic algorithm used, these accesses for unauthorized decryption are very time-consuming. If an attacker has enough time, he can theoretically crack such a code.
Es sind Einrichtungen, z.B. Computer, mit solchen kryptographischen Verfahren bekannt, die zur Sicherung von geschützten Daten dienen, so dass Unbefugte nicht auf die Daten zugreifen können. Die kryptographisch geschützten Daten liegen dazu beispielsweise in einem flüchtigen Datenspeicher, beispielsweise einem RAM (=There are facilities, e.g. Computers known with such cryptographic methods that serve to secure protected data so that unauthorized persons cannot access the data. For this purpose, the cryptographically protected data are, for example, in a volatile data memory, for example a RAM (=
Random Access Memory) oder einem nichtflüchtigen Datenspeicher, vor, z. B. Festplatte, CD-ROM und EPROM (= Erasable Programable Read Only Memory). Nur mit einem geeigneten digitalen Code kann auf die Daten zugegriffen werden. Der Code kann beispielsweise auf einem Magnetstreifen oder einem Chip einer "Scheckkarte" gespeichert sein und wird mittels geeigneten Lesegeräts für den Zugriff auf die geschützten Daten ausgewertet. Erst wenn die Codeübe riifung erfolgreich war, d.h. die Daten können nun insbesondere mit dem Schlüsselcode entschlüsselt werden. Dann kann auf die Daten zugegriffen werden. Bei anderen Einrichtungen muss der Schlüsselcode über eine Tastatur eingegeben werden. Probleme können bei solchen Einrichtungen entstehen, indem ein Unbefugter beliebig oft versuchen kann, den Schlüsselcode zu knacken. Mit dem Schlüsselcode hat er schließlich unautorisierten Zugriff auf die geschützten Daten und kann unter Umständen erheblichen Schaden damit anrichten.Random Access Memory) or non-volatile data storage, before, e.g. B. Hard disk, CD-ROM and EPROM (= Erasable Programmable Read Only Memory). The data can only be accessed with a suitable digital code. The code can, for example, be stored on a magnetic stripe or a chip of a "check card" and is evaluated by means of a suitable reader for access to the protected data. Only when the code verification was successful, i.e. the data can now be decrypted in particular with the key code. Then the data can be accessed. For other facilities, the key code must be entered using a keyboard. Problems can arise with such facilities in that an unauthorized person can try to crack the key code as often as required. With the key code, he finally has unauthorized access to the protected data and can possibly cause considerable damage.
Das deutsche Patent DE 198 39 041 C2 beschreibt ein Verfahren zum Identifizieren und Darstellen von Zuständen eines Fehlbedienungszählers. Der Fehlbedienungszähler ist auf einem intelligenten Datenträger installiert. Bei einer definierten Anzahl von Fehlversuchen bei der Eingabe eines Identifikationsmerkmals wird der Zugriff auf den intelligenten Datenträger automatisch gesperrt. Eine Anpassung an den Benutzer bei der Eingabe des Identifikationsmerkmals erfolgt nicht.The German patent DE 198 39 041 C2 describes a method for identifying and displaying states of an incorrect operation counter. The operating error counter is installed on an intelligent data carrier. If a defined number of unsuccessful attempts is made to enter an identification feature, access to the intelligent data carrier is automatically blocked. The user is not adjusted when entering the identification feature.
Aus der europäischen Patentanmeldung EP 1 209 551 A2 ist ein Verfahren bekannt, um den Zugriff auf einem Computer zu kontrollieren. Dabei wird ein Passwort überprüft. Der Zugriff wird nur erlaubt, wenn das Passwort gültig ist. Wird eine bestimmte Anzahl
bei der Eingabe eines falschen Passworts innerhalb eines Zeitintervalls erreicht, so wird der Zugang verhindert. Nachteil bei diesem Verfahren ist, dass sich die Passworteingabe nicht an das Verhalten von Benutzern anpasst. Beispielsweise bei älteren Menschen oder Kindern besteht vermehrt die Gefahr, dass wiederholt falsche Passworte innerhalb eines Zeitintervalls eingegeben werden.A method is known from European patent application EP 1 209 551 A2 to control access to a computer. A password is checked. Access is only permitted if the password is valid. Will a certain number If an incorrect password is entered within a time interval, access is prevented. The disadvantage of this method is that the password entry does not adapt to the behavior of users. For example, in the case of older people or children, there is an increasing risk that repeated wrong passwords will be entered within a time interval.
Bisher gibt ein Anwender eine PIN (= Personal Identification Number) oder ein alphanumerischen Code als Berichtigungscode für den Zugang zu den geschützten Daten oder Funktionen ein. Damit war er autorisiert, auf die geschützten Daten oder Funktionen zugreifen zu können. Bei Mobilfunkendgeräten wird eine PIN zur Identifikation eingegeben. Diese Identifikation wird mit der SIM-Karte abgeglichen. Wenn die PIN korrekt war, wird der Benutzer des Mobilfunkendgeräts in ein Mobilfunknetz eingebucht. In diesem Mobilfunknetz gilt er fortan weitestgehend als autorisiert.So far, a user has entered a PIN (= Personal Identification Number) or an alphanumeric code as a correction code for access to the protected data or functions. This authorized him to access the protected data or functions. A PIN is entered for identification on mobile terminals. This identification is compared with the SIM card. If the PIN was correct, the user of the mobile radio terminal is logged into a mobile radio network. From now on he is considered to be authorized in this mobile network.
Hacker, damit sind solche Personen gemeint, die aus unterschiedlichsten Motiven versuchen an geschützte Daten heranzukommen. Die Hacker handeln zumeist einerseits aus einer kriminellen Energie heraus, z.B. um an einen Bankzugang heranzukommen oder um Werksspionage bzw. Sabotage zu betreiben, andererseits aus einer rein sportlichen Natur heraus.Hackers are people who try to access protected data for a variety of reasons. The hackers mostly act out of a criminal energy, e.g. to access a bank or to carry out factory espionage or sabotage, on the other hand from a purely sporting nature.
Für einen Hacker besteht nun theoretisch die Möglichkeit auch ohne die SIM-Karte auf die geschützten Daten oder Funktionen zuzugreifen. Mit geeigneten Equipment kann er versuchen über andere Kanäle, beispielsweise mit einem weiteren Mobilfunkendgerät und einer bereits autorisierten SIM-Karte auf die geschützten Daten zu zugreifen. Dafür benötigt er nicht notwendigerweise die PIN.Theoretically, hackers can now access the protected data or functions without the SIM card. With suitable equipment, he can try to access the protected data via other channels, for example with another mobile terminal and an already authorized SIM card. He does not necessarily need the PIN for this.
Offenbarung der ErfindungDisclosure of the invention
Aufgäbe der Erfindung ist es daher, eine Einrichtung zu schaffen, die die Nachteile des Standes der Technik vermeidet und verhindert, dass ein Angriff auf die geschützten Daten durch beliebige Versuche erfolgen kann, die sich aber an den Bedürfnissen der Benutzer orientiert.
Erfindungsgemäß wird die Aufgabe dadurch gelöst, dass bei einer Einrichtung zur Sicherung von geschützten Daten der eingangs genannten Art, (d) Mittel vorgesehen sind, mit denen unabhängig von der Eingabe des Berechtigungscodes die Anzahl der Zugriffe auf die geschützten Daten und/oder Funktionen in dem flüchtigen bzw. nichtflüchtigen Datenspeicher innerhalb eines bestimmten Zeitintervalls ermittelt wird.It is therefore the task of the invention to provide a device which avoids the disadvantages of the prior art and prevents an attack on the protected data by any attempts, but which is oriented to the needs of the users. According to the invention, the object is achieved in that, in a device for securing protected data of the type mentioned at the outset, (d) means are provided with which the number of accesses to the protected data and / or functions is independent of the entry of the authorization code volatile or non-volatile data storage is determined within a certain time interval.
Weiterhin wird die Aufgabe durch ein Verfahren der eingangs genannten Art mit einerFurthermore, the task is carried out by a method of the type mentioned at the outset
Einrichtung gelöst, bei demEstablished where
(d) unabhängig von der Eingabe des Berechtigungscodes die Anzahl der Zugriffe auf die geschützten Daten und/oder Funktionen in dem flüchtigen bzw. nichtflüchtigen Datenspeicher innerhalb eines bestimmten Zeitintervalls ermittelt wird.(d) regardless of the entry of the authorization code, the number of accesses to the protected data and / or functions in the volatile or non-volatile data memory is determined within a certain time interval.
Die Erfindung beruht auf dem Prinzip, die Anzahl der Zugriffe auf die geschützten Daten innerhalb eines Zeitintervalls zu überwachen. Es wird bei der vorliegenden Erfindung davon ausgegangen, dass ein berechtigter Benutzer durchaus auch Fehler bei der Eingabe des Berechtigungscodes macht. Durch die vorgeschlagene Maßnahme wird verhindert, dass ein Unberechtigter beliebige Versuche hat, den Berechtigungscode zu ermitteln. Die erfindungsgemäße Einrichtung liefert dem berechtigten Benutzer zudem ein Zeitfenster, in dem er mit einer bestimmten Häufigkeit auf die geschützten Daten zugreifen kann. Dafür ist erforderlich, dass die Zugriffe auf die geschützten Daten in dem Zeitintervall gezählt werden. Dabei kann sich das System geschickt an den Benutzer anpassen. Jemand der üblicherweise z. B. fünf Zugriffe während eines Zugangvorgangs zu den verschlüsselten Daten benötigt, wird auch weiterhin fünf Zugriffe innerhalb eines Zeitintervalls haben, da sich die Einrichtung an den Benutzer anpasst.The invention is based on the principle of monitoring the number of accesses to the protected data within a time interval. It is assumed in the present invention that an authorized user also makes mistakes when entering the authorization code. The proposed measure prevents an unauthorized person from making any attempts to determine the authorization code. The device according to the invention also provides the authorized user with a time window in which he can access the protected data with a certain frequency. This requires that the accesses to the protected data are counted in the time interval. The system can be cleverly adapted to the user. Someone who usually z. B. five accesses during an access process to the encrypted data will continue to have five accesses within a time interval, since the device adapts to the user.
Dies erfolgte, indem ein Referenzwert sich an vorherigen Zeitintervallen orientiert, in denen der Benutzer auf die geschützten Daten zugegriffen hat. Weicht das
Zugriffsverhalten von vorherigen Zeitintervallen ab, so wird der Zugang zu den gesicherten Daten beschränkt bzw. vollständig verhindert.This was done by orienting a reference value at previous time intervals in which the user accessed the protected data. Does that give way Access behavior from previous time intervals, so access to the backed up data is restricted or completely prevented.
Ein vorteilhafter Aspekt der Erfindung ist, dass die Datenverarbeitungseinheit einen Taktgeber für den Arbeitstakt enthält, wobei das Zeitintervall durch eine bestimmteAn advantageous aspect of the invention is that the data processing unit contains a clock generator for the work cycle, the time interval being determined by a specific one
Anzahl von Taktzyklen des Taktgebers vorgebbar ausgebildet ist. Diese Maßnahme kann ein Gerät weitestgehend von externen Zeitgebern unabhängig machen, da die Anzahl der Taktzyklen ein Zeitintervall bestimmen.Number of clock cycles of the clock generator can be predetermined. This measure can make a device largely independent of external timers, since the number of clock cycles determine a time interval.
Als vorteilhafte Ausgestaltung der Erfindung hat sich ferner erwiesen, wenn die Mittel zur Erfassung der Zugriffe auf die geschützten Daten einen Zähler enthalten, welcher die Anzahl der Zugriffe innerhalb des Zeitintervalls zählt. Anhand des Zählerstandes kann überprüft werden, ob noch ein weiterer Zugriff auf die geschützten Daten möglich ist, oder ob jegliche Zugangsmöglichkeit zunächst gesperrt wird.It has also proven to be an advantageous embodiment of the invention if the means for recording the access to the protected data contain a counter which counts the number of accesses within the time interval. The meter reading can be used to check whether further access to the protected data is possible or whether all access options are initially blocked.
Eine bevorzugte Ausbildung der Erfindung ergibt sich dadurch, dass Mittel zum Zurücksetzen des Zählers vorgesehen sind, welche den Zähler bei einem berechtigten Zugriff auf Null setzen. Damit kann der Zähler beispielsweise nach Ablauf einer vordefinierten Zeitspanne zurückgesetzt werden, um die Möglichkeit zu haben, erneut auf die geschützten Daten zugreifen zu können. Vorteilhafterweise sind die Mittel zurA preferred embodiment of the invention results from the fact that means for resetting the counter are provided, which reset the counter to zero when authorized access. This enables the counter to be reset, for example, after a predefined period of time has elapsed, in order to be able to access the protected data again. Advantageously, the means for
Beschränkung der Zugriffe auf die geschützten Daten dynamisch eingestellt. Dadurch kann die Beschränkung ggf. auf bestimmte Benutzerprofile angepasst werden. Bei Personen, bei denen häufiger auf die geschützten Daten zugegriffen wird, wird die Anzahl der erlaubten Zugriffe auf die geschützten Daten innerhalb des Zeitintervalls für die Anzahl der möglichen Zugriffe höher liegen, als bei Personenkreisen, bei denen eine solche hohe Anzahl nicht vorkommt. Es ist daher vorteilhaft, wenn die Mittel zur Beschränkung der Zugriffe auf die geschützten Daten auf einen Anwender einstellbar ausgebildet sind.Restriction of access to the protected data set dynamically. This allows the restriction to be adapted to specific user profiles, if necessary. For people who access the protected data more frequently, the number of permitted accesses to the protected data within the time interval for the number of possible accesses will be higher than for groups of people who do not have such a high number. It is therefore advantageous if the means for restricting access to the protected data are designed to be adjustable to a user.
Eine weitere vorteilhafte Ausgestaltung der Erfindung ergibt sich dadurch, dass derA further advantageous embodiment of the invention results from the fact that the
Datenspeicher auf einer SIM-Karte vorgesehen ist. Damit lässt sich eine solche Einrichtung auch beispielsweise in Mobilfunkendgeräten oder Telematikgeräten in geeigneter Weise verwenden. Dabei sind Mobilfunkendgeräte und Telematikgeräte
vorteilhafterweise als Datenverarbeiti gseinheit ausgebildet. Alternativ dazu ist die Datenverarbeitungseinheit in einer weiteren Ausgestaltung der Erfindung als Computer ausgebildet. Eine bevorzugte Ausbildung der Erfindung ergibt sich durch Alarmmittel, welche bei Überschreiten einer Anzahl von unberechtigten oder Fehlzugriffen ein Alarmsignal erzeugen. Damit kann signalisiert werden, dass unter Umständen einData storage is provided on a SIM card. Such a device can therefore also be used in a suitable manner, for example in mobile radio terminals or telematics devices. Here are mobile terminals and telematics devices advantageously designed as a data processing unit. Alternatively, in a further embodiment of the invention, the data processing unit is designed as a computer. A preferred embodiment of the invention results from alarm means which generate an alarm signal when a number of unauthorized or incorrect accesses are exceeded. This can be used to signal that a
Unbefugter sich an den geschützten Daten zu schaffen macht.Unauthorized persons can tamper with the protected data.
In einer Ausgestaltung des erfindungsgemäßen Verfahrens wird die Anzahl der Zugriffe auf die geschützten Daten innerhalb eines bestimmten Zeitintervalls mit einem Zähler erfasst. Durch diese Maßnahme wird erreicht, dass die Anzahl der Zugriffe festgehalten werden, um bei Überschreiten einer Anzahl in dem Zeitintervall ein Ereignis eintreten zu lassen. Ein solches Ereignis besteht in einer weiteren bevorzugten Ausbildung des erfindungsgemäßen Verfahrens zur Sicherung und Überwachung von geschützten Daten, nämlich, wenn der Zugriff auf die geschützten Daten beschränkt wird. Dies erfolg z.B. bei Überschreitung eines Referenzwertes für die Anzahl der Zugriffe auf die geschütztenIn one embodiment of the method according to the invention, the number of accesses to the protected data is recorded with a counter within a specific time interval. This measure ensures that the number of accesses is recorded so that an event can occur if a number is exceeded in the time interval. Such an event consists in a further preferred embodiment of the method according to the invention for securing and monitoring protected data, namely when access to the protected data is restricted. This happens e.g. if a reference value for the number of accesses to the protected is exceeded
Daten innerhalb eines bestimmten Zeitintervalls.Data within a certain time interval.
Weiterhin kann in einer besonderen Ausgestaltung des erfindungsgemäßen Verfahrens der Zähler zum Zählen der Anzahl der Zugriffe bei einem korrekten Zugriff zurückgesetzt werden. Dadurch ist gewährleistet, dass nach Fehlzugriffen einFurthermore, in a special embodiment of the method according to the invention, the counter for counting the number of accesses can be reset when the access is correct. This ensures that after incorrect access
Berechtigter wieder auf die geschützten Daten zugreifen kann.Authorized persons can access the protected data again.
Unterschiedliche Benutzer haben ein eigenes Benutzerprofil. So kann es sein, dass beispielsweise im Fall von Mobilfunkendgeräten z.B. ältere Personen und ggf. Kinder eine höhere Fehlerquote beim Zugriff auf die geschützten Daten haben. Es ist daher eine vorteilhafte Ausgestaltung, wenn die Anzahl der Zugriffe für die Beschränkung eingestellt und/oder an einen Anwender angepasst werden kann.Different users have their own user profile. It may be that, for example, in the case of mobile terminals, e.g. older people and possibly children have a higher error rate when accessing the protected data. It is therefore an advantageous embodiment if the number of accesses for the restriction can be set and / or adapted to a user.
Eine vorteilhafte Ausbildung des erfindungsgemäßen Verfahrens ergibt sich femer, wenn die Anzahl der . Zugriffe für die Beschrärikung über ein Netzwerk, insbesondereAn advantageous embodiment of the method according to the invention also results if the number of. Accesses for restriction over a network, in particular
Mobilfunknetzwerk, eingestellt und/oder an einen Anwender angepasst wird. Damit muss der Anwender mit seiner Einrichtung nicht notwendigerweise zu einem Service gehen, der ihm die Einrichtung auf seine Bedürfnisse einstellt.
Eine bevorzugte Ausgestaltung des erfindungsgemäßen Verfahrens zur Sicherang von geschützten Daten vor unbefugtem Zugriff ergibt sich fe er dadurch, dass bei Überschreiten eines Wertes für die Anzahl der Zugriffe auf die geschützten Daten ein geeignetes Alarmsignal erzeugt wird. Vorteilhafterweise ist das Alarmsignal für den auf die geschützten Daten Zugreifenden nicht erkennbar. Dadurch kann der Unberechtigte ggf. auf "frischer Tat" gefasst werden.Mobile network, set and / or adapted to a user. This means that the user does not necessarily have to go with his facility to a service that adjusts the facility to his needs. A preferred embodiment of the method according to the invention for securing protected data against unauthorized access results from the fact that a suitable alarm signal is generated when a value for the number of accesses to the protected data is exceeded. The alarm signal is advantageously not recognizable for the person accessing the protected data. As a result, the unauthorized person may be caught "red-handed".
In einer geeigneten Ausgestaltung des erfindungsgemäßen Verfahrens wird bei Überschreiten eines Wertes für die Anzahl der Zugriffe auf die geschützten Daten der weitere Zugriff innerhalb eines Zeitintervalls auf die Daten verweigert. Damit wird Zugang auf die geschützten Daten nur für einen bestimmten Zeitraum gesperrt, so dass es beispielsweise "Hacker-Programme" von Unberechtigten schwer haben, in ein solches System einzubrechen. Sie können nämlich nicht beliebig viele Versuche starten, sondern müssen immer wieder den Zeitraum abwarten, bis sie erneut wieder auf die geschütztenIn a suitable embodiment of the method according to the invention, if a value for the number of accesses to the protected data is exceeded, further access to the data is denied within a time interval. This means that access to the protected data is only blocked for a certain period of time, so that, for example, "hacker programs" by unauthorized persons have a hard time breaking into such a system. You cannot start as many attempts as you like, but have to wait for the time period before you can switch back to the protected ones
Daten zugreifen können.Can access data.
Weitere Vorteile ergeben sich aus dem Gegenstand der Unteransprüche sowie der Zeichnung mit der dazugehörigen Beschreibung.Further advantages result from the subject matter of the subclaims and the drawing with the associated description.
Kurze Beschreibung der ZeichnungBrief description of the drawing
Fig. 1 zeigt in einer Prinzipskizze eine erfindungsgemäße Einrichtung zur Sicherung und Überwachung von geschützten Daten.1 shows a schematic diagram of an inventive device for securing and monitoring protected data.
Bevorzugtes AusführungsbeispielPreferred embodiment
In Fig. 1 wird in einer Prinzipskizze ein bevorzugtes Ausfuhrungsbeispiel einer erfindungsgemäßen Einrichtung 10 zur Sicherung und Überwachung von geschützten Daten 12 dargestellt. Die geschützten Daten 12 befinden sich in einem Datenspeicher 14 der Einrichtung 10 und sind durch gekreuzte Schraffur gekennzeichnet. Die Daten 12
liegen nach einem kryptographischen Verfahren in codierter bzw. verschlüsselter Form vor. Der Datenspeicher 14 ist im vorliegenden Ausführungsbeispiel ein nichtflüchtiger Speicher, der auch auf eine SIM-Karte (= Sübscriber Identification Modul) vorgesehen sein kann.1 shows a schematic diagram of a preferred exemplary embodiment of a device 10 according to the invention for securing and monitoring protected data 12. The protected data 12 are located in a data memory 14 of the device 10 and are identified by crossed hatching. The dates 12 are available in a coded or encrypted form according to a cryptographic process. In the present exemplary embodiment, the data memory 14 is a non-volatile memory, which can also be provided on a SIM card (= subscriber identification module).
Die erfindungsgemäße Einrichtung 10 befindet sich im vorliegenden Ausführungsbeispiel in einer nicht explizit dargestellten Datenverarbeitungseinheit, beispielsweise einem Computer oder einem vergleichbaren prozessorgesteuertes Gerät, wie Mobilfunkendgeräte oder Telematikgeräte mit üblichen standardisierten Schnittstellen 16, die für den Datenzugriff ausgebildet sind.In the present exemplary embodiment, the device 10 according to the invention is located in a data processing unit that is not explicitly shown, for example a computer or a comparable processor-controlled device, such as mobile radio terminals or telematics devices with conventional standardized interfaces 16, which are designed for data access.
Über Zugangsmittel 18, beispielsweise eine Computertastatur, kann ein Berechtigungscode 20 als ein digitaler Schlüssel eingegeben werden, der darum symbolisch als Schlüssel dargestellt ist. Der Berechtigungscode 20 wird an eine Prüfeinheit 22 geleitet. Die Prüfeinheit 22 befindet sich wiederum in einemVia access means 18, for example a computer keyboard, an authorization code 20 can be entered as a digital key, which is therefore symbolically represented as a key. The authorization code 20 is passed to a test unit 22. The test unit 22 is in turn in one
Berechtigungsapparat 23. Eine Dechiffriereinheit 26 decodiert bei korrektem Berechtigungscode 20 die geschützten Daten 12 des Datenspeichers 14 und gibt sie an eine Ausgabeschnittstelle 28. Der Berechtigungscode 26 kann unter Umständen ganz oder teilweise für die Dechiffrierung der geschützten Daten 12 durch die Dec ffriereinheit 26 erforderlich sein.Authorization apparatus 23. If the authorization code 20 is correct, a decryption unit 26 decodes the protected data 12 from the data memory 14 and sends it to an output interface 28. The authorization code 26 may under certain circumstances be required in whole or in part for the decryption unit 26 to decrypt the protected data 12.
An der Ausgabeschnittstelle 28 kann beispielsweise ein nicht dargestellter Monitor, Drucker oder ein anderer Computer bzw. Speicherlaufwerk vorgesehen sein, um die entschlüsselten Daten 12 darzustellen oder zu speichern. Die Daten- bzw. Berechtigungscodeübertragung zwischen den einzelnen Einheiten 18, 22, 26, bzw. Schnittstellen 16, 28 erfolgt über einen Datenbus 30. Die Steuerung der Abläufe in der Einrichtung 10 erfolgen mit Hilfe eines Prozessors 32 (CPU), der mit einem Taktgeber 34 getaktet wird.For example, a monitor, printer or other computer or storage drive (not shown) can be provided on the output interface 28 in order to display or save the decrypted data 12. The data or authorization code transmission between the individual units 18, 22, 26 or interfaces 16, 28 takes place via a data bus 30. The processes in the device 10 are controlled with the aid of a processor 32 (CPU), which has a clock generator 34 is clocked.
Der Taktgeber 34 dient femer dazu, ein Zeitmaß 36 für den Berechtigungsapparat 23 zu definieren. Eine mittels Stellmittel 38 einstellbare Anzahl von Taktzyklen des Taktgebers 34 bildet ein Zeitintervall. Ein Zähler 40 zählt die Versuche der unkorrekten Eingaben für den Berechtigungscode 20, um an die geschützten Daten 12 gelangen zu können.
Wenn innerhalb eines eingestellten Zeitintervalls 36 eine vorgegebene Anzahl von Zugriffen für die Eingabe durch die Prüfeinheit 22 festgestellt wird, werden keine weiteren Zugriffe über diese Schnittstelle 16 auf die geschützten Daten 12 mehr zugelassen. Dieser Referenzwert für die Anzahl der möglichen Zugriffe berechnet sich aus Zeitintervallen 36, vorheriger Eingabeversuche. Beispielsweise, indem die durchschnittliche Anzahl von früheren Berechtigungscodeeingaben pro Zeitintervall 36 festgehalten wird. Durch die Verwendung eines Referenzwertes, der sich aus früheren Eingabeversuchen berechnet, wird eine höhere Flexibilität für den Benutzer erzielt.The clock generator 34 also serves to define a time measure 36 for the authorization apparatus 23. A number of clock cycles of the clock generator 34 that can be set by means of adjusting means 38 forms a time interval. A counter 40 counts the attempts to make incorrect entries for the authorization code 20 in order to be able to access the protected data 12. If a predetermined number of accesses for the input by the test unit 22 are determined within a set time interval 36, no further accesses via this interface 16 to the protected data 12 are permitted. This reference value for the number of possible accesses is calculated from time intervals 36, previous input attempts. For example, by recording the average number of previous authorization code entries per time interval 36. By using a reference value, which is calculated from previous input attempts, greater flexibility for the user is achieved.
Vordergründig wird aber vor allem verhindert, dass insbesondere Computerprogramme von unberechtigten Benutzern verschiedenste Codekombinationen austesten, bis der richtige Berechtigungscode erreicht wird. Durch die Beschränkung der Zugriffe wird ein "Hacken" des Berechtigungscodes 20 nahezu verhindert. Der Zugriff auf die geschützten Daten 12 wird bei Überschreiten der vorgegebenen Anzahl für die Eingabe desAbove all, however, it is primarily prevented that, in particular, computer programs of unauthorized users test a wide variety of code combinations until the correct authorization code is reached. By restricting the access, a "hacking" of the authorization code 20 is almost prevented. Access to the protected data 12 is granted when the predetermined number for entering the
Berechtigungscodes 20 innerhalb des Zeitintervalls 36 für einen bestimmten Zeitraum oder sogar vollständig gesperrt. Dabei kann auch ein Alarmsignal erzeugt werden, um zu signalisieren, dass die Anzahl der Fehlversuche zur Eingäbe des Berechtigungscodes überschritten wurdeAuthorization codes 20 blocked within the time interval 36 for a certain period of time or even completely. An alarm signal can also be generated to signal that the number of failed attempts to enter the authorization code has been exceeded
Lediglich ein "Administrator" kann mit einer geeigneten "Reset-Funktion" 42 den Zähler 40 für die Fehlversuche ggf. zurückstellen. Alternativ wird der Zähler 40 nach Ablauf einer vordefinierten Zeitspanne zurückgestellt. Die Zeitspanne für die Zugangsbeschränkung kann auch dynamisch auf die möglichen Benutzergewohnheiten eingestellt werden.Only an "administrator" can reset the counter 40 for the failed attempts with a suitable "reset function" 42. Alternatively, the counter 40 is reset after a predefined period of time. The time period for the access restriction can also be dynamically adjusted to the possible user habits.
Ein Hacker 100 kann beispielsweise zum Zwecke der Spionage oder Sabotage versuchen, über eine weitere Schnittstelle 102 auf die geschützten Daten 12 zu gelangen und zwar unabhängig von der zuvor beschriebenen Berechtigungscodeemgabe. Um die geschützten Daten 12 zu dechiffrieren muss er jedoch DecMfMeralgorithmus 104 kennen. Um diesen herauszubekommen wird er über Datenbus 106 auf die geschützten Daten 12 zugreifen. Dabei liegt Häufigkeit der Zugriffe pro Zeitintervall 108 wahrscheinlich erheblich höher, als es bei einem berechtigten Anwender der Fall ist. Um die Zugriffe auf die geschützten
Daten zu kontrollieren ist eine Kontrolleinheit 110 vorgesehen. Die Kontrolleinheit 110 enthält einen Zähler 112, der die Anzahl der Zugriffe auf die geschützten Daten 12 zählt. Femer enthält die Kontrolleinheit 110 Stellmittel 114. Mit den Stellmitteln 114 wird über den Taktgeber 34, ein Zeitmaß 116 für die Kontrolleinheit 110 festgelegt. Eine mittels Stellmittel 114 einstellbare Anzahl von Taktzyklen des Taktgebers 34 bildet einFor the purpose of espionage or sabotage, for example, a hacker 100 can attempt to access the protected data 12 via a further interface 102, specifically regardless of the authorization code entry described above. In order to decrypt the protected data 12, however, he must know the DecMfMeral algorithm 104. In order to get this out, he will access the protected data 12 via data bus 106. The frequency of accesses per time interval 108 is likely to be considerably higher than is the case with an authorized user. To access the protected A control unit 110 is provided to control data. The control unit 110 contains a counter 112, which counts the number of accesses to the protected data 12. The control unit 110 also contains actuating means 114. The actuating means 114 are used to set a time measure 116 for the control unit 110 via the clock generator 34. A number of clock cycles of the clock generator 34, which can be set by means of the adjusting means 114, is formed
Zeitintervall 108. Ein Zähler 118 zählt die Anzahl der Zugriffe auf die geschützten Daten 12.Time interval 108. A counter 118 counts the number of accesses to the protected data 12.
Wenn innerhalb eines eingestellten Zeitintervalls 108 eine vorgegebene Anzahl von Zugriffen für die Eingabe durch Prüfeinheit 120 festgestellt wird, werden keine weiterenIf, within a set time interval 108, a predetermined number of accesses for the input by test unit 120 are determined, no further access is made
Zugriffe die geschützten Daten 12 mehr zugelassen. Dieser Referenzwert für die Anzahl der möglichen Zugriffe berechnet sich aus Zeitintervallen 108, vorheriger Zugriffe. Beispielsweise, indem die durchschnittliche Anzahl von früheren Zugriffen auf die geschützten Daten 12 pro Zeitintervall 108 festgehalten wird. Durch die Verwendung eines Referenzwertes, der sich aus früheren Zugriffen pro Zeitintervall berechnet, wird eine höhere Flexibilität für den Benutzer erzielt.Accesses the protected data 12 more allowed. This reference value for the number of possible accesses is calculated from time intervals 108, previous accesses. For example, by recording the average number of previous accesses to the protected data 12 per time interval 108. By using a reference value, which is calculated from previous accesses per time interval, greater flexibility for the user is achieved.
Stellt die Prüfeinheit 120 fest, dass die Anzahl der Zugriffe auf die geschützten Daten erhöht sind, wird ein Alarm 122 ausgelöst. Sind die Zugriffe innerhalb eines Zeitintervalls unterhalb eines Referenzwertes, wird der Zähler 112 zurückgesetzt.If the test unit 120 determines that the number of accesses to the protected data has increased, an alarm 122 is triggered. If the accesses are below a reference value within a time interval, the counter 112 is reset.
Der "Administrator" kann mit der "Reset-Funktion" 42 auch den Zähler 112 für die Zugriffe auf die geschützten Daten 112 zurückstellen. Alternativ wird der Zähler 112 nach Ablauf einer vordefinierten Zeitspanne zurückgestellt.
The "administrator" can also use the "reset function" 42 to reset the counter 112 for accessing the protected data 112. Alternatively, the counter 112 is reset after a predefined period of time has elapsed.