CN107925664B - 用于安全且高效地访问连接数据的方法 - Google Patents

Abstract

一种用于安全且高效地访问至少一个电信提供商(TK)的连接数据的方法，其中，‑由所述电信提供商收集所述连接数据(VD)，并且由所述电信提供商对其进行加密，‑将加密的连接数据(VDv)由所述电信提供商(TK)传输至安全环境(U)中，‑在所述安全环境(U)中将所述连接数据(VDv)解密，并且作为解密的连接数据(VDe)仅在所述安全环境(U)的易失性存储器(S)中存储第一预定时间段(t1)，以及‑仅作为经由所述安全环境(U)的预定接口(IF)对存储在所述安全环境(U)的所述易失性存储器(S)中的解密的连接数据(VDe)的访问来授权对所述连接数据的访问。

Description

用于安全且高效地访问连接数据的方法

发明领域

本发明涉及用于安全且高效地访问由电信提供商收集的连接数据的方法。

背景技术

电信中的连接数据(也称为流量数据)是在使用由电信公司或电信提供商提供的电信服务(电话、使用互联网)时产生并由其收集、存储、处理、传输和使用的技术信息，例如，连接的电话号码以及呼叫的时间和位置。

在调查刑事犯罪和/或危险预防时，连接数据是政府机构使用的手段。就所谓的数据保留而言，所述数据应在没有任何初始怀疑的情况下进行存储，以便在事后对信息出现怀疑或合法的信息法定权益时这些数据可以任何方式用于澄清目的。

就数据保留而言，期望的是对这样的连接数据的访问仅用于被授权机构(例如某些政府机构)。此外，期望的是，对于被授权机构，这种访问应在非常窄的法定限度内进行。

在现有技术中，已知电信公司或电信提供商存储这样的连接数据，并且在需要的情况下对被授权机构提供访问。为了提高安全性，电信公司可以对连接数据加密，并且电信公司可以在被授权机构访问期间将其解密。然而，这带来的缺点是电信公司是加密密钥的所有者，并且它也是解密密钥的所有者，使得电信公司能够在没有确切理由的情况下在任何时间解密连接数据。而且，对于每个被授权的连接数据访问，必须将所有加密的连接数据解密，以便能够在连接数据中搜索符合某些标准的数据，然而，这导致更高的性能限制。此外，一方面，这样不能确保实际上只对被授权机构提供所请求的数据，另一方面，这样不能确保电信公司的未经授权的雇员无法访问连接数据。

发明目的

因此，本发明的目的是提供如下解决方案：所述解决方案一方面允许安全存储连接数据，另一方面允许对某些连接数据进行高效搜索。而且，本发明的一个目的是有效防止发生未经授权的连接数据访问。

根据本发明的解决方案

该目的通过根据独立权利要求所述的用于安全且高效地访问至少一个电信提供商的连接数据的方法来实现。在从属权利要求中限定了该方法的优选实施例和进一步发展方案。

相应地，提供了一种用于安全且高效地访问至少一个电信提供商的连接数据的方法，其中，

-由所述电信提供商收集所述连接数据，并由电信提供商加密，

-由所述电信提供商将加密的连接数据传输至安全环境中，

-在所述安全环境中，将被传输的加密连接数据解密，并作为解密的连接数据仅在所述安全环境的易失性存储器中存储第一预定时间段，以及

-仅作为经由所述安全环境的预定接口对存储在所述安全环境的所述易失性存储器中的解密连接数据的访问来授权对所述连接数据的访问。

由此，解密的连接数据被永久性地仅存储在安全环境的易失性存储器(例如，RAM)中，由此大幅减少对连接数据的访问时间。而且，如果例如检测到未授权的对安全环境的访问，则可以尤其有效地删除解密的连接数据。因此，解密的连接数据的安全性大幅增加。

有利的是，在安全环境中由密钥自动生成器生成至少一个加密密钥，并且为了加密连接数据，将所述至少一个加密密钥发送给电信提供商。

此外，有利的是，为了对传输的加密连接数据进行解密，在安全环境中由密钥自动生成器生成至少一个解密密钥，其中所述解密密钥仅存储在所述安全环境的易失性存储器内。

由此，确保了只有加密密钥必须离开安全环境。解密密钥仅保留在安全环境中。而且，由于解密密钥也仅存储在易失性存储器中，所以确保了在损害性尝试期间也可以有效地删除解密密钥。

连接数据可以逐块加密，并且可以逐块传输至所述安全环境中。

解密的连接数据可以包括多个数据集，其中每个数据集包括多个数据字段，并且其中将每个数据集存储第一预定时间段。可以给每个数据集分配相应的第一时间段。

可以将数据集的每个数据字段在安全环境的易失性存储器内存储与第一预定时间段无关的第二预定时间段。可以给每个数据字段分配相应的第二时间段。

有利的是，在第一预定时间段期满之后删除每个数据集和/或在第二预定时间段期满之后删除每个数据字段。由此，确保了在授权访问连接数据时，不能再读取已经过期的连接数据或者连接数据的某些细节。

可以在已经收集之后立即对连接数据加密，并将其传输到安全环境中。

此外，有利的是，在生成加密的连接数据之后删除电信提供商处的连接数据。由此，连接数据仅以解密形式存在于安全环境中。

可以将解密的连接数据存储在内存数据库中的安全环境中。

可以在密封基础结构中建立所述安全环境，或者作为密封基础结构来建立所述安全环境。解密密钥和加密密钥可以包括密码密钥。

根据本发明的一个实施例，还可以将加密的连接数据存储在电信提供商处，其中所述电信提供商优选不能访问解密连接数据所需的解密密钥。因此，可以将连接数据“安全地存储”在电信提供商处，而电信提供商不能访问数据。

有利的是，在至少另一个安全环境中复制存储在安全环境中的解密连接数据和解密密钥，其中所述复制程序优选以加密方式执行。

由此，可能有利的是：

-在预定的时间点实施所述复制程序，和/或

-在检测到未授权的对安全环境的访问期间实施所述复制程序，并且在所述复制程序完成之后，在所述安全环境中删除解密的连接数据和解密密钥。

附图说明

结合附图，可以从以下描述中得出本发明的细节和特征以及本发明的具体实施例。

图1显示用于举例说明根据本发明的方法的系统的一个示例；和

图2显示具有用于举例说明复制机理的几个安全环境的示例。

具体实施方式

图1显示一个系统，通过该系统将更详细地说明根据本发明的方法。

在电信提供商TK处产生大量的连接数据VD，所述连接数据VD是在电信提供商TK提供的电信服务过程中产生的，或者是电信提供商TK为了履行其服务而需要的。例如，该连接数据VD可能是所涉及的连接的电话号码、以及呼叫的时间、持续时间和位置。

在数据保留过程中必须存储连接数据VD中的一部分或全部，以便能够在某些时间段内向作为执法机构的授权机构提供对连接数据VD的访问。根据本发明，将连接数据VD存储在安全环境U内。安全环境U可以在相应的电信提供商TK处实现。或者，安全环境U也可以在外部服务提供商处实现，或者可以由后者操作。

优选地，安全环境U是密封基础结构的一部分，或者作为密封基础结构来操作。安全环境U可以包括多个富余的分布式计算机资源，其分别包括多个所谓的可信平台模块(TPM)、用于中断计算机资源电力供应的电路断路器、机电密钥、多个传感器，通过它们可以监视对计算机资源的访问。

根据安全环境U的一个实施例，计算机资源可以包括其中存储密码密钥的存储器件，其中，根据本发明的一个优选实施例，密码密钥仅存储在易失性存储介质中，使得在电力供应中断之后删除所存储的密钥。例如，如果有人获得未授权的计算机资源进入或访问，则删除密钥可能是必要的。在此处，由在安全环境U内操作的密钥自动生成器SA生成和管理连接数据的加密和解密所需的密码密钥。也可以由密钥自动生成器SA生成和管理用于保护安全环境U和电信提供商TK之间的数据或连接的密码密钥。

连接数据也存储在安全环境U中的易失性存储介质内。

安全环境U的计算机资源可以连接至监视机电部件的所谓密封监视装置。如果密封监视装置检测到未经授权的计算机资源访问，则其可中断对受损计算机资源的电力供应，藉此在易失性存储介质中删除密钥和连接数据。由此，确保解密密钥和连接数据两者都不能被从受损的计算机源中提取出来。

对安全环境U的访问仅通过提供预定数量访问功能的接口IF来进行。此外，可以在接口IF中实现授权管理，借助于该授权管理可以控制和监视对连接数据的访问。可以调整接口IF以识别未授权的访问，并且在需要的情况下启动电力供应的中断。

起初，在电信提供商TK处产生的这种连接数据VD以未加密的形式存在。

由电信提供商TK对未加密的连接数据进行加密(加密)。可以在加密单元中进行连接数据的加密。根据本发明，电信提供商TK的加密单元从安全环境的密钥自动生成器SA提供为此所需的加密密钥KV。而且，由安全环境的密钥自动生成器SA生成加密密钥KV。此外，密钥自动生成器SA还生成与连接数据解密所需的加密密钥KV相匹配的解密密钥KE。由此，确保了只有加密密钥KV离开安全环境U。解密密钥KE不必离开安全环境U，原因是连接数据的解密仅在根据本发明的安全环境内进行。

在连接数据VD加密之后，电信提供商TK将加密连接数据VDv传输到安全环境U。还可以通过加密方式保护电信提供商TK和为此提供的安全环境U之间的传输路径，使得在数据传输期间确保更高的安全性，原因是不仅要加密待传输的连接数据VDv，而且还要加密传输路径本身。

另外，可以将加密的连接数据VDv存储在电信提供商TK的存储器中。为此提供的存储器可以配置成易失性存储器和/或非易失性存储器。然而，在电信提供商TK处存储加密的连接数据VDv只是一个可选步骤。

然而，在电信提供商TK处额外存储加密的连接数据VDv的优点在于，在安全环境U和其他富余安全环境出现故障时，可以基于存储在电信提供商TK处的加密的连接数据再次重新生成连接数据，只要在安全环境U中没有丢失读取密钥KE即可。

在将加密的连接数据VDv传输到安全环境U中之后，将其在安全环境U中解密。有利地，在解密单元中执行加密连接数据VDv的解密。密钥自动生成器SA将为此所需的解密密钥KE提供给解密单元。

在解密程序期间，数据仅存在于安全环境U的易失性存储器中。由此，确保了在电力供应中断时(例如由于损害性尝试导致)，在非易失性存储装置上的任何地方都不保留未加密的待解密数据片段。

在安全环境U中将加密的连接数据VDv解密之后，将其以未加密的形式(作为解密的连接数据VDe)仅存储在安全的环境U的易失性存储器中。这带来几个优点：在损害性尝试时，由于引发的电力供应中断，所以解密的连接数据VDe被立即删除，使得攻击者不再能够获得连接数据VDe；可以快得多地执行对解密的连接数据VDe的(授权)访问，原因是省去了解密的时间，并且不需要昂贵的对永久性存储装置(例如硬盘)的读取访问。数据处理装置的主存储器(RAM)可以提供为易失性存储器。由于在数据保留期间可能产生非常大的数据量，因此提供非常大的易失性存储器(例如几个太字节的存储器)是有利的。

有利的是，将解密的连接数据VDe存储在内存数据库中，根据该数据库，数据存储以及数据处理两者都在易失性存储器中执行。使用内存数据库具有可以使用由后者提供的功能的优点。因此，可以对内存数据库中解密的连接数据VDe生成索引，以便进一步加速对解密的连接数据VDe的选择性访问。而且，可以根据某些标准对解密的连接数据VDe分区，使得对于某些查询仅必须访问解密的连接数据VDe的一部分。

根据本发明的一个实施例，每次在电信提供商TK处产生数据时，将加密的连接数据VDv从电信提供商TK传输至安全环境U。由此，确保总是将连接数据的最新状态存储在安全环境U中。或者，可以在固定的时间点或以固定的时间间隔分别将加密的连接数据VDv从电信提供商TK传输至安全环境U中。

根据另一实施例，将连接数据以加密形式从电信提供商TK逐块地传输至安全环境U中。由此，可以将连接数据组合成块，并且随后，可以对这些块加密。或者，可以将已经加密的连接数据组合成块。然后，在安全环境U的解密单元内相应地分解这些块，并将其如上文所述那样解密和存储。

作为执法机构的授权机构P1、P2经由接口IF访问存储在安全环境U的易失性存储器中的解密的连接数据VDe。由此，接口IF检查授权机构是否被允许访问数据以及以何种形式访问数据。

对于授权机构，在访问的时间点，为了只允许在合法的可能性范围内访问存储在安全环境U中的连接数据，为连接数据提供了所谓的有效日期。有效日期可以包括连接数据的最大存储持续时间(例如十周)或固定日期(例如15.12.2015)。

将解密的连接数据VDe本身作为数据集存储在易失性存储器中，其中每个数据集可以包括多个数据字段。给每个数据集分配第一有效日期。在到达第一个有效日期后，从易失性存储器中完全自动删除相应的数据集。由此，确保了甚至授权的机构也不再能够访问这样的“过期”数据。可以周期性执行“过期”数据的自动删除，例如每天12:00时和24:00时。

此外，还给数据集的各个数据字段分配第二有效日期。可以给每个数据字段分配基于第一有效日期确定的绝对有效日期或相对有效日期。在到达第二有效日期后，从易失性存储器中完全自动删除数据集的相应数据字段。由此，确保授权机构仅能够访问尚未过期的数据集的数据字段。

总之，通过这种方式确保了在查询的时间点只能读取合法数据。

根据本发明的方法，仅将未加密形式的连接数据存储在安全环境U的易失性存储器中，并且根据本发明的方法，如上文所述执行加密、数据传输和解密；根据所述方法，除了上述优点外，所述方法还具有以下优点：

-用于查询(检索安全环境U中的连接数据)的响应时间大幅减少。按如下获得没有根据本发明的方法的响应时间：

(所有数据块的传送时间)+(所有数据块的解密)+(在解密数据中的搜索)。

通过将解密的连接数据存储在RAM(易失性存储器)中，省去了解密的时间。

类似地，几乎完全省去了传送时间。

-将来自电信提供商TK的数据块传送到安全环境U中的流量负荷大幅减少。

只有在发生故障时，例如停电期间或有意的电力供应中断期间，必须将全部的数据量从电信提供商TK传送到安全环境U中(只要存储在安全环境U中的数据还未被复制)。通常，将电信提供商TK处新产生的数据块连续传输到存储环境U中。

-在传送结束之后，立即将已经从电信提供商TK传输到安全环境U的每个数据块解密。由此，省去了执行查询期间的解密时间。

-将用于一些查询的解密数据VDe存储在易失性存储器中。因此，在读取期间，在将数据存储在内存数据库中时，用于创建能够以更有效的方式执行查询的结构的额外花费是合理的。通过对数据生成索引，加快了搜索速度。

图2显示用于保护存储在安全环境U中的数据的一个示例。由于根据本发明仅允许未非加密形式的连接数据存储在安全环境U的易失性存储器中，所以出于安全目的，也可以将该连接数据的副本仅存储在易失性存储器中。

为了还确保对于该连接数据的副本相同的安全要求，根据本发明，在一个或多个另外的安全环境Un中复制数据。但是，所述另外的安全环境Un的安全特征至少与安全环境U的安全特征相对应。

进一步的安全环境Un还可以包括接口IF。由此，在安全环境U不可用的情况下(例如在维护工作期间)，可以提供另外的安全环境Un以用于查询。

如果所述一个另外的安全环境Un仅用于数据备份，则不需要接口IF。

可以通过加密保护的通信信道来执行安全环境U和Un之间的数据交换。

在安全环境U或Un出现故障时(例如，如果电力供应已被中断)，可以从其他安全环境中的另一安全环境再次生成数据。或者，也可以从电信提供商TK的加密原始数据VDv再次生成数据，只要电信提供商TK永久性地存储该数据且加密密钥KE没有丢失即可。

附图标记：

IF 接口

KE 解密钥匙

KV 加密密钥

P1,P2 授权人员和有权查询的人员

S 易失性存储器(例如RAM)

SA 密钥自动生成器

t1 第一预定时间段(数据集的存储持续时间)

t2 第二预定时间段(数据字段的存储持续时间)

TK 电信提供商

U 安全环境(密封的基础结构)

Un 另外的安全环境

VD 连接数据(未加密)

VDe 连接数据(解密的)

VDv 连接数据(加密的)

Claims (6)

1.一种用于安全且高效地访问至少一个电信提供商TK的连接数据的方法，其中，

-由所述电信提供商收集所述连接数据VD，并且由所述电信提供商对其进行加密，

-电信提供商在生成加密的连接数据VDv后删除连接数据VD，

-将加密的连接数据VDv由所述电信提供商TK传输至安全环境U中，安全环境U处于密封的基础结构中，

-其中所述安全环境U具有易失性存储器S，密钥自动生成器SA，以及预定接口IF，其中密钥自动生成器SA适于生成和管理连接数据的加密和解密所需的密码密钥，以及由密钥自动生成器SA生成和管理用于保护安全环境U和电信提供商TK之间的数据或连接所需的密码密钥，

-在所述安全环境U中由密钥自动生成器SA生成至少一个加密密钥KV

-将所述至少一个加密密钥KV传输给所述电信提供商TK以用于对所述连接数据VD加密，

-所述密钥自动生成器SA生成至少一个解密密钥KE与所述加密秘钥KV相匹配，为了对传输的加密连接数据VDv进行解密，在所述安全环境U中，所述至少一个解密密钥KE仅存储在所述安全环境U的易失性存储器S中

-在所述安全环境U中将所述连接数据VDv解密，并且作为解密的连接数据VDe仅在所述安全环境U的易失性存储器S中存储第一预定时间段t1，以及

-仅通过所述安全环境U的预定接口IF对存储在所述安全环境U的所述易失性存储器S中的所述解密的连接数据VDe提供访问。

2.根据权利要求1所述的方法，其中逐块加密所述连接数据VD，并且将其逐块传输至所述安全环境U中。

3.根据权利要求1所述的方法，其中解密的连接数据VDe包括多个数据集，其中每个数据集包括多个数据字段，其中将每个数据集存储第一预定时间段t1，其中将所述数据集的每个数据字段在所述安全环境U的所述易失性存储器S内存储小于或等于所述第一预定时间段t1无关的第二预定时间段t2，其中在所述第一预定时间段t1期满之后，删除每个数据集。

4.根据权利要求3所述的方法，其中在所述第二预定时间段t2期满之后删除每个数据集。

5.根据权利要求1所述的方法，其中将解密的连接数据VDe存储在内存数据库中。

6.根据权利要求1所述的方法，其中所述解密密钥KE和所述加密密钥KV包括密码密钥。

Images