CN105432055A - 用于保护电信通信数据的方法 - Google Patents

Abstract

本发明提供一种用于保护电信通信数据的方法，所述电信通信数据在利用至少一个电信服务(10)时由多个参与者(T)在电信服务的电信服务供应商(5)处产生，其中电信服务在受保护的环境(U)中实现，所述电信服务接受电信服务的至少一个第一参与者(T1)的至少一个消息(N)，所述消息确定用于电信服务的至少一个第二参与者(T2)；以及所述电信服务响应于消息(N)的接受发送通知(B)给至少一个第二参与者，其中在接受消息与发送通知之间分别设有预定时间偏差(δt)。此外提供一种用于保护电信通信数据的系统，该系统适合执行按照本发明的方法。

Description

用于保护电信通信数据的方法

技术领域

本发明涉及一种用于保护电信通信数据的系统和方法，所述电信通信数据在利用至少一个电信服务时由电信服务的多个参与者在电信服务的电信服务供应商处产生。

背景技术

在一些国家，例如德意志联邦共和国，在储备数据存储中将可涉及个人或关于个人的数据通过或对于全部位置存储，而当前无需这些数据。这样的储备数据存储的目的应是阻止和追捕犯罪行为的改善的可能性。为此必须将数据在确定的时间间隔上存储，以便数据例如出于惩罚追捕的目的可用。通常储备数据存储由电信服务的提供者或服务商实施。

为了确保电信服务的提供者不具有对其客户的通信数据的无权的访问，以便例如创建个性信息，已知的是，将连接数据在保护的环境中存储并且在存储之前加密。保护的环境也称为密封的基础结构。保护的环境和密封的基础结构阻止不仅是基础结构的运营者还是提供电信服务的典型服务者或者其他第三者都不可以访问这些数据。此外已知的是，将电信数据或连接数据以两种不同的加密秘钥加密，其中两种秘钥中之一在值得信赖的主管当局例如公证人处保存。由此有效地阻止无权访问连接或通信数据，因为对于访问无论如何在值得信赖的主管当局保存的秘钥是必要的。

为了防止在电信服务的参与者之间交换的数据例如电子消息或电子文件免于电信服务商或其他第三者的无权的访问，已知的是，同样加密由参与者接收的数据，从而仅仅这样的参与者访问该数据，对于该参与者确定数据。不仅加密秘钥而且解密秘钥可以存储在前述保护的环境中。因此确保，电信服务商和其他第三者都不访问通信数据以及有用数据。由此有效阻止在通过电脑搜寻案犯的范围中例如通信数据的无权的分析处理，只要例如不存在合法的设置，该合法的设置允许应用在值得信赖的主管当局例如公证人处保存的秘钥。

为了防止在电信服务的参与者之间交换的数据例如电子消息或电子文件免于电信服务商或其他第三者的无权的访问，已知的是，同样加密由参与者接收的数据，从而仅仅这样的参与者访问该数据，对于该参与者确定数据。不仅加密秘钥而且解密秘钥可以存储在前述保护的环境中。因此确保，电信服务商和其他第三者都不访问通信数据以及有用数据。由此有效阻止在通过电脑搜寻案犯的范围中例如通信数据的无权的分析处理，只要例如不存在合法的设置，该合法的设置允许应用在值得信赖的主管当局例如公证人处保存的秘钥。

由现有技术已知的用于保护通信数据和有用数据的方法自然具有如下缺点，即即使电信服务的参与者通过保护的例如加密的通信连接相互交换数据，电信服务商具有如下可能，即根据数据传输导出如下信息，即谁与谁通信。电信服务商自身可以当在参与者与电信服务之间的通信加密实现时获得该信息，因为对于谁与谁通信的信息，不需要在参与者之间交换的数据的内容。

该问题特别是如下情况下出现，即如果电信服务在获得例如电子文件的消息之后参与者中的这样的参与者——对于该参与者确定消息——借助于另一消息表示对于其缺点的消息的存在。因为在参与者与电信服务之间的数据交换自身对于电信服务商总是“可见的”，电信服务商可以由如下事实——即对于确定参与者的消息由参与者保存并且为其确定消息的参与者通过消息的存在表示——获得如下信息，即两个参与者相互通信，即使数据交换自身加密地实现并且如果为其确定消息的参与者不由电信服务要求这些。

因为谁与谁通信的信息属于电信通信数据，该电信通信数据可以考虑用于通过电脑搜寻案犯或者用于创建个人信息，由现有技术已知的用于储备数据存储的方法即使高度安全标准没有受足够保护，以便有效阻止无权分析处理电信通信数据的可能。

发明目的

因此本发明的任务在于，提供一种用于保护电信通信数据的系统和方法，该电信通信数据在利用至少一个电信服务时由多个参与者在电信服务的电信服务供应商处产生，该系统和方法有效和有效率地阻止电信通信数据的无权的访问和滥用。

发明方案

该任务按照本发明通过根据独立权利要求的用于保护电信通信数据的方法和系统解决。本发明有利的设计方案和改进在相应的从属权利要求中提出。

因此提供一种用于保护电信通信数据的方法，所述电信通信数据在利用至少一个电信服务时由多个参与者在电信服务的电信服务供应商处产生，其中，所述电信服务接受电信服务的至少一个第一参与者的至少一个消息，所述消息确定用于电信服务的至少一个第二参与者，并且其中所述电信服务响应于消息的接受发送通知给至少一个第二参与者，其中在接受消息与发送通知之间分别设有时间偏差。

有利的是，电信服务在保护的环境(密封的基础结构)中实现。

通过电信服务在保护的环境或密封的基础结构中实现，确保：电信服务的电信服务商不访问在电信服务中产生的数据。为了也可以由在参与者与电信服务之间的数据传输不导出如下信息，即由该信息可以确定谁与谁通信，在接受消息与发送通知之间设有时间偏差。由此阻止：根据在接受消息与发送通知之间的时间关联可以确定谁与谁通信。根据时间偏差阻止：通知可以配置给接受的消息，从而消息的发送者也不可以配置给通知的接收者。

有利地，在接受消息与发送通知之间的时间偏差根据在电信服务的参与者与电信服务之间每个时间单元的数据传输选择。因此时间偏差或通知的发送可以优选动态地匹配于电信服务的充分利用。

已经证实为特别有利的是，时间偏差在每个时间单元高的数据传输的情况下小于在每个时间单元低的数据传输的情况。

因为在每个时间单元高的数据传输的情况下通常由电信服务接受大量参与者的消息并因此也发送通知给大量参与者，所以可以减小时间偏差，而不会给电信服务商提供如下可能，即根据在接收消息与发送通知之间的时间关联导出谁与谁通信的信息。在每个时间单元低的数据传输的情况下电信服务通常仅仅接受少量参与者的消息并因此也仅仅必须给少量参与者发送相应通知。为了对于该情况也避免在接收消息与发送通知之间的时间关联，相应地增大时间偏差。

在本发明的一个设计方案中，时间偏差随机从时间偏差间隔选择。时间偏差可以对于预定的数量要发送的通知随机从时间偏差间隔选择。备选地时间偏差也可以对于每个要发送的通知随机从时间偏差间隔选择。

这具有的优点在于，借助于计入和出来的数据传输的时间分析有效阻止当前时间偏差的确定，这能对于电信服务商实现，在得知当前时间偏差时建立在接收消息与发送通知之间的时间关联，由此电信服务商可以导入谁与谁通信的信息。间隔限制可以是固定预定的。

但是有利的是，时间偏差间隔的间隔边界根据在参与者与电信服务之间每个时间单元的数据传输选择。因此不仅时间偏差随机从时间偏差间隔选择，而是也将事件偏差间隔匹配于数据传输，从而对于电信服务商或无权的第三者还使得当前时间偏差的确定变得困难。

时间偏差(δt)可以对于分别预定数量的通知或对于每个通知不同地选择。

在本发明的一个有利的设计方案中，每个时间单元的数据传输包括每个时间单元接受的消息的数量。因此阻止：在每个时间单元少量接受的消息——该少量接受的消息例如基于非常多的消息引起高的数据传输——的情况下太小地选择时间偏差，这基于少量接受的消息和发送的通知将能实现在接收消息与发送通知之间的时间关联。

在本发明的一个设计方案中，电信服务可以包括通知服务，该通知服务在至少一个第二参与者上产生通知并且触发时间错开地发送产生的通知，其中时间偏差由通知服务确定。

在本发明的一个设计方案中，如果第二参与者在电信服务登记，那么通知发送给至少一个第二参与者。也可以设定，如果第二参与者没有在电信服务登记，那么通知不发送给该参与者。可以设定，在第二参与者在电信服务登记之后，那么也不给第二参与者发送通知。因此实现了更好的去关联，亦即还可以使得配置通知给接受的消息变得困难。

通知可以包括数据，该数据适合在第二参与者输出听觉和/或视觉信号，该信号表示在电信服务处消息的存在。

通知可以由每个参与者是相同的。在本发明的一个设计方案中，通知可以未经加密地发送。因为通知对于每个参与者是相同的，所以通知也可以未经加密地发送，因为从通知不可以导出个人相关的数据。通知的未经加密的发送再者具有的优点在于，在电信服务侧不必须实施加密，这意味着附加的运算成本。产生并且时间错开地发送通知的电信服务或通知服务可以如此更优越和更节省资源地实现。

在本发明的一个设计方案中，消息可以按照要求通过第二参与者由电信服务传输给第二参与者。因为通知对于消息的接受时间错开地由第一参与者发送给第二参与者，所以也可以基于传输消息给第二参与者的要求通过第二参与者不导出关于如下的信息，即第一参与者与第二参与者通信。

按照本发明的方法再者具有的优点在于，消除在进入的消息与要发送的通知之间的因果关系，这使得导出谁与谁通信的信息变得不可能。

消息从第一参与者到第二参与者的传输(通过电信服务)可以基于端到端加密实现，亦即消息由第一参与者加密并且由第二参与者解密。

消息可以经同体加密。

此外通过本发明提供一种用于保护电信通信数据的系统，所述电信通信数据在利用至少一个电信服务时由多个参与者在电信服务的电信服务供应商处产生，其中电信服务适合将对于第二参与者确定的消息由至少一个第一参与者接受并且响应于消息的接受发送通知给至少一个第二参与者，其中在接受消息与发送通知之间设有预定的时间偏差。

已经证实为有利的是，系统包括保护的环境，在该环境中电信服务是可实现的。

电信服务可以适合，根据在参与者与电信服务之间每个时间单元的数据传输选择在接受消息与发送通知之间的时间偏差。

电信服务可以包括通知服务，该通知服务适合在至少一个第二参与者产生通知并且触发时间错开地发送产生的通知，其中时间偏差由通知服务确定。

此外，按照本发明的系统还可以适合执行按照本发明的方法。

附图说明

本发明的细节和特征以及本发明的具体实施例从结合附图的以下描述产生。其中：

图1示出用于阐明按照本发明用于保护电信通信数据的方法的按照本发明用于保护电信通信数据的系统；

图2示出在在接收消息与发送通知之间的时间流程；以及

图3示出用于按照本发明根据数据传输选择时间偏差的两个变型。

具体实施方式

按照本发明的系统和按照本发明的方法不仅能实现适当的数据保护而且用于数据分析处理例如用于确定目的的足够好的可能。存储的数据特别是电信通信数据的滥用有效避免，其中特别是从数据传输不可以导出谁与谁通信的信息。

图1示出按照本发明用于保护电信通信数据的系统，该电信通信数据在利用电信服务10时由多个参与者T1至Tn产生。

电信服务商5提供电信服务10，电信服务实现在保护的环境U中。通过电信服务10可以提供例如消息盒，对于消息盒允许的参与者可以将用于其他参与者的消息保存到消息盒中。消息可以例如直接在消息盒中产生或者通过通信网保存在消息盒中。消息可以在此是例如电子文件或类似物。

在图1示出的例子中，消息N例如电子文件由第一参与者T1传输给电信服务10并且在那儿例如保存在相应的消息盒中。在获得消息N之后电信服务10在保护的环境U中产生通知B并且将该通知通过通信网发送给第二参与者T2。通过通知B告知第二参与者T2第一参与者T1已经将对于其的消息N保存在电信服务10的消息盒中。

在本发明的设计方案中，电信服务10包括通知服务11，该通知服务负责产生通知给第二参与者T2以及发送通知。

全部在电信服务商5产生的数据亦即通信数据和有用数据在保护的环境U中存储并且如果可能被处理。如开始所述，不仅有用数据而且通信数据可以加密地优选双重加密地在保护的环境U中存储。通过双重加密确保电信服务商5没有获得对有用数据和通信数据的访问。数据的加密或双重加密优选在保护的环境U中实施，其中在保护的环境U中也产生存储和管理为此需要的秘钥。保护的环境U称为密封的基础结构并且阻止不仅基础结构的运行者而且电信服务提供者或电信服务商5在数据的处理期间可以对其进行访问。

为此安全的环境U可以包括在图1中未示出的用于产生需要的加密秘钥的机构。为了避免由电信服务商5在保护的环境U中加密的连接数据或有用数据可以容易地由该电信服务商借助于相应的解密秘钥又解密，有利的是，将经加密的数据借助于另外的加密秘钥再次加密并且将如此双重加密的数据保持在保护的环境U的存储机构中。第二加密秘钥可以移交给值得信赖的主管当局，例如公证人，该公证人可以将该第二加密秘钥朝合法装置输出。

保护的环境U或密封的基础结构可以包括多个冗余和分布的运算资源，该运算资源分布可以分别包括多个所谓的信任平台模型(TPM)、用于中断所有运算资源的供电的功率开关、电子机械锁、多个传感器，借助于多个传感器可以监控运算资源的入口。在本发明的一个设计方案中，运算资源可以具有存储机构，在该存储机构中存有加密秘钥，其中在本发明的一个设计方案中加密秘钥仅仅在易失性存储介质中存储，从而在中断供电之后删除存储的秘钥。加密秘钥的删除可以例如当某人无权谋得对运算资源的访问或进入时是需要的。为了又可以创建秘钥，有利的是，加密秘钥通过同步机构与用于存储加密秘钥的另一存储机构同步。

运算资源可以与所谓的密封监控机构(密封控制)连接，该密封监控机构监控机电构件。如果密封监控机构确定对运算资源的无权进入，那么密封监控机构可以触发全部在运算资源中存储的秘钥的立即同步化并且在同步结束之后中断对折中的运算资源的供电。因此确保：由折中的运算资源不再可以使得创建解密秘钥。

运算资源还可以与所谓的云控制耦合，云控制可以设定为，进行与一个或多个参与者T的数据交换。云控制同样可以与密封监控机构耦合，从而密封监控机构也可以在确定的入侵的情况下通过通信网导入相应措施。

电信服务10的参与者T1至Tn可以是智能电话、平板电脑、常规计算机或诸如此类，其中在图1示出的例子中分别给一个使用者配置参与者。如由图1可见，在参与者T1和T2与电信服务10之间进行数据传输，其中数据由第一参与者T1传输给电信服务10并且数据由电信服务10传输给第二参与者T2，亦即数据由保护的环境U之外到达电信服务10或者电信服务10的数据从保护的环境U到达第二参与者T2。

即使在两个参与者T1、T2与电信服务10之间的数据传输加密地进行，那么电信服务商5获得如下信息，即参与者T1和T2参与(共同的)通信。为了防止电信服务商单独基于数据传输(无需为此知道发送或接收的数据的内容)获得如下信息，即第一参与者T1与第二参与者T2通信，按照本发明设定，通知B由电信服务10或通知服务11产生并且时间错开地发送或传输给第二参与者T2。通过时间错开地发送通知B，实现了：电信服务商5根据数据传输不可以进行在接收的消息N与发送的通知B之间的配置并且因此由通信数据也可以导出如下信息，即第一参与者T1与第二参与者T2通信。通过在消息N的接受与通知B的发送之间设有时间偏差该由保护的环境U之外可进入的通信数据变得“模糊”，从而不仅对于电信服务商5而且对于无权的第三者都不知道谁与谁以及多经常地通信。

在本发明的一个设计方案中通知B也可以被加密或者加密地传输。这特别是当应以确认消息B告知接收者消息N时是有利的，即谁已经将用于其的消息N例如在消息盒中存储或者消息盒中存储的消息涉及什么内容。

然而已经证实为有利的是，借助于通知B仅仅传输如下信息给接收者或第二参与者T2，即用于它的消息在电信服务商5中存储。如果借助于通知B仅仅传输如下信息，即存储消息，那么通知B可以对于电信服务的所有参与者相同，从而可以省去通知B的加密或加密的传输。因此，系统的负载可以在电信服务商侧对于通知的产生和发送极大地降低或最小化。

在本发明的一个设计方案中足够的是，通知B的有用数据仅仅具有一个比特的长度，因为出于第二参与者T2的信号化表示的目的，即将对于其的任意消息在电信服务商处存储，一个比特足够。因此对于通知B传输给电信服务的参与者的数据量可以减小或最小化。

在获得通知B之后，第二参与者T2可以由电信服务商要求对于其缺点的消息N。在第一参与者T1与第二参与者T2之间的通信可以在此基于端对端加密实现，亦即第一参与者加密消息，而第二参与者解密消息N。为了加密消息可以应用同体的加密方法。由此例如电信操作可以在消息上实施操作，而无需解密消息自身。操作的结果那么同样以加密形式存在。

图2示出接收消息和发送通知的时间流程。

在时刻t1电信服务商的电信服务由第一参与者接收消息。在接收消息之后，电信服务或通知服务产生用于该参与者的通知，对于该参与者确定接收的消息，并且发送通知给该参与者，其中在时刻t1消息的接受与通知的发送之间设有预定的时间偏差δt。也就是说，通知在时刻t1+δt发送给第二参与者。

在本发明最简单的情况下不变的时间偏差δt可以用于所有要发送的通知。不变的时间偏差自然具有的缺点在于，该时间偏差如果可能可以根据在参与者与电信服务之间的数据传输的分析缺点，从而在得知时间偏差δt的情况下通知B与接收的消息N的配置又是可能的。为了避免这一点，按照本发明可以设定，设有动态时间偏差，该动态时间偏差在确定数量的通知之后——在最好的情况下在每个通知之后——变化。因此一方面通过数据传输的分析使得时间偏差的确定变得极为困难而另一方面确定的时间偏差可以仅仅考虑用于一些在过去发送的通知，以便可以将通知正确地配置给相应的接收的通知，相对地如此确定的时间偏差对于通知与消息的这样的配置对于将来发送的通知或接收的消息是无价值的，因为当前时间偏差至那时已经改变。

时间偏差δt的这样的动态性例如可以由此实现，其方法是时间偏差δt根据在参与者与电信服务之间每个时间单元的数据传输选择。

在图3中示出根据每个时间单元的数据传输选择时间偏差δt的例子。

在图3中示出的例子中，时间偏差在每个时间单元高的数据传输的情况下小于在每个时间单元低的数据传输的情况，亦即在高的数据传输的情况下可以相比于较低的数据传输的情况选择较小的时间偏差δt，因为高的数据传输通常伴随大量参与者的大量消息，从而已经基于大量应用的通知使得发送的通知对于接收的消息的配置变得困难。

在图3a中示出的例子中，时间偏差δt与数据传输是非线性关系，而在图3b中示出的例子中时间偏差δt与数据传输是线性关系。自然也可以选择在时间偏差δt与数据传输之间的不同于在图3a和图3b中示出的关系。

在本发明的一个设计方案中，每个时间单元的数据传输可以包括每个时间单元多个接受的消息N。

为了实现选择的时间偏差δt的更好的动态性，可以设定，对于通知的发送需要的时间偏差δt随机地从时间偏差间隔选择。在此时间偏差δt可以对于确定数量的要发送的通知从时间偏差间隔选择。备选地，时间偏差δt可以对于每个单个要发送的通知随机从时间偏差间隔选择。因此实现，自身在参与者与电信服务之间的数据传输的全面分析中关于通知与接收的消息的配置的结论是不可能的，因为一方面每个时间偏差经受确定的偶然性并且因为另方面基于对于要发送的通知时间偏差的随机选择发送的通知的顺序不再相应于进入的消息的顺序。

在从时间偏差间隔随机选择时间偏差中的随机成分还可以进一步改善，其方法是时间偏差间隔的间隔边界根据在参与者与电信服务之间每个时间单元的数据传输选择。由此确保，在大的数据传输的情况下随机从时间偏差间隔选择小的时间偏差δt并且在小的数据传输的情况下从时间偏差间隔选择较大的时间偏差δt。

在本发明的一个设计方案中，可以附加地或备选于前述选择时间偏差的措施将产生的通知随机编入通知等待队列中，从而要发送的通知的顺序不再相应于接收的消息的顺序。在应用这样的等待队列中，在该等待队列中随机编入要发送的通知，也可以省去从时间偏差间隔随机选择时间偏差，因为基于随机将通知编入等待队列中在不变的时间偏差的情况下也确保：发送的通知不可以正确的配置给接收的消息。

附图标记：

5电信服务商

10电信服务

11通知服务

δt在数据接收与通知发送之间的时间偏差

B在电信服务与参与者之间的通知

D通知的数据

N在参与者与电信服务之间的消息

T参与者

T1第一参与者

T2第二参与者

U保护的环境

Claims (18)

1.用于保护电信通信数据的方法，所述电信通信数据在利用至少一个电信服务(10)时由多个参与者(T)在电信服务的电信服务供应商(5)处产生，其中

-所述电信服务接受电信服务的至少一个第一参与者(T1)的至少一个消息(N)，所述消息确定用于电信服务的至少一个第二参与者(T2)；以及

-所述电信服务响应于消息(N)的接受发送通知(B)给至少一个第二参与者，其中在接受每个消息与发送相应的通知之间分别设有时间偏差(δt)。

2.根据权利要求1所述的方法，其中，在接受消息(N)与发送通知(B)之间的时间偏差(δt)根据在参与者(T)与电信服务之间每个时间单元的数据传输选择。

3.根据权利要求2所述的方法，其中，时间偏差(δt)在每个时间单元高的数据传输的情况下小于在每个时间单元低的数据传输的情况。

4.根据权利要求2或3所述的方法，其中，时间偏差(δt)随机从时间偏差间隔选择。

5.根据权利要求5所述的方法，其中，时间偏差间隔的间隔边界根据在参与者(T)与电信服务之间每个时间单元的数据传输选择。

6.根据上述权利要求之一所述的方法，其中，时间偏差(δt)对于分别预定数量的通知或对于每个通知不同地选择。

7.根据权利要求2至7之一所述的方法，其中，每个时间单元的数据传输包括每个时间单元接受的消息(N)的数量。

8.根据上述权利要求之一所述的方法，其中，电信服务(10)包括通知服务(11)，该通知服务在至少一个第二参与者(T2)上产生通知(B)并且触发时间错开地发送产生的通知，其中时间偏差(δt)由通知服务确定并且其中电信服务在受保护的环境(U)中实现。

9.根据上述权利要求之一所述的方法，其中，如果第二参与者没有在电信服务(10)登记，那么通知(B)不发送给第二参与者(T2)。

10.根据上述权利要求之一所述的方法，其中，通知(B)包括数据(D)，该数据适合在第二参与者(T2)输出听觉和/或视觉信号，该信号表示消息(N)的存在。

11.根据上述权利要求之一所述的方法，其中，通知(B)对于每个参与者(T)是相同的。

12.根据上述权利要求之一所述的方法，其中，通知(B)未经加密地发送。

13.根据上述权利要求之一所述的方法，其中，消息(N)按照要求通过第二参与者(T2)由电信服务(10)传输给第二参与者。

14.根据上述权利要求之一所述的方法，其中，消息(N)从第一参与者(T1)到第二参与者(T2)的传输基于端到端加密实现，其中消息优选经同体加密。

15.用于保护电信通信数据的系统，所述电信通信数据在利用至少一个电信服务(10)时由多个参与者(T)的在电信服务的电信服务供应商(5)处产生，其中电信服务适合将对于第二参与者(T2)确定的消息(N)由至少一个第一参与者(T1)接受并且响应于消息(N)的接受发送通知(B)给至少一个第二参与者，其中在接受消息与发送通知之间设有预定的时间偏差(δt)。

16.根据权利要求15所述的系统，其中，电信服务适合根据在参与者(T)与电信服务之间每个时间单元的数据传输选择在接受消息(N)与发送通知(B)之间的时间偏差(δt)。

17.根据权利要求15或16所述的系统，其中，电信服务(10)包括通知服务(11)，该通知服务适合在至少一个第二参与者(T2)产生通知(B)并且触发时间错开地发送产生的通知，其中时间偏差(δt)由通知服务确定并且其中该系统包括受保护的环境在该环境中可实现电信服务。

18.根据权利要求15至17之一所述的系统，其中，该系统此外适合执行根据权利要求1至14之一所述的方法。