CZ20022659A3

CZ20022659A3 - Způsob ovládání přístupu ke zdroji počítačového systému a počítačový systém k provádění tohoto způsobu

Info

Publication number: CZ20022659A3
Application number: CZ20022659A
Authority: CZ
Inventors: Someren Nicko Van
Original assignee: Ncipher Corporation Limited
Priority date: 2000-02-21
Filing date: 2001-02-20
Publication date: 2003-06-18
Also published as: NO20023964D0; DE60138455D1; PT1257892E; CY1109239T1; WO2001063385A1; NO20023964L; EP1257892B1; CA2400940A1; ES2323524T3; PL356340A1; DK1257892T3; CA2400940C; EP1257892A1; US20050005112A1; HUP0204161A2; ATE429672T1; AU3389201A; US7900239B2; JP2003524252A; GB0003920D0

Description

Oblast techniky

Vynález pojednává o počítačovém systému a zejména, ne však výlučně, o takzvaném bezpečném počítačovém systému.

Dosavadní stav techniky

V mnoha počítačových systémech je nezbytné kontrolovat přístup k určitým zdrojům, jako např. k počítačové paměti, kryptografickým klíčům nebo k jiným citlivým datům. To může být buď z důvodu, že obsahují tajné informace, protože je zdroj vzácný, protože zdroj má určitou vnitřní hodnotu nebo jde o jejich kombinaci. U takových zdrojů může být nutné, aby některé strany měly ke zdrojům volný přístup, zatímco jiné strany by neměly mít přístup povolen.

Existuje velký počet existujících systémů, které byly navrženy pro posílení kontroly pro takové zdroje. Nicméně existují systémy s takovými požadavky, kde jednoduše pouhá kontrola kdo má ke zdroji přístup není postačující. V takových systémech je i zapotřebí kontrolovat to, co je se zdroji prováděno.

Podstata vynálezu

Vynález má za cíl poskytnout zdokonalený způsob zajištění zdroje počítačového systému a i celý zlepšený počítačový systém.

Tento vynález tedy poskytuje způsob ovládání přístupu ke zdroji počítačového systému pomocí operační části kódu opatřené s ní spojeným podpisem, tento způsob zahrnuje kroky poskytnutí kryptografického klíče spojeného se zdrojem, provedeni operace ověření podpisu za pomoci kryptografického klíče, spojeného se • · • · I ·· ··

-2 zdrojem a ovládajícího přístup ke zdroji pomocí kódu v závislosti na výsledku operace ověření podpisu.

Tento vynález také popisuje počítačový systém obsahující prostředky pro ověření podpisu, spojeného s operační částí programového kódu a zdroje opatřeného kryptografíckým klíčem, přičemž prostředky pro ověření jsou vytvořeny pro tento kryptografický klíč pro ověření digitálního podpisu a pro umožnění přístupu kódu ke zdroji v závislosti na ověření.

Vynález poskytuje nový systém pro ovládání, a to na velmi jemné bázi, co vše může být prováděno se zdrojem. V tomto systému jsou akce prováděné počítačovým programem a vynález umožňuje, aby pro různé zdroje bylo určeno, které strany mohou provádět jaké akce.

Přehled obrázků na výkresech

Vynález bude dále popsán na příkladech provedení s ohledem na připojené obrázky, na kterých obr. 1 představuje konvenční bezpečnostní systém, obr. 2 představuje operace zařízení podle obr. 1, obr. 3 představuje další známý počítačový systém, obr. 4 představuje bezpečnostní systém podle vynálezu, obr. 5 ukazuje operace systému z obr. 4, obr. 6 představuje podobné operace jako obr. 5 avšak s určitými modifikacemi systému z obr. 4, obr. 7 představuje podobné operace jako obr. 5 avšak podle druhé modifikace systému z obr. 4, obr. 8 představuje podobné operace jako obr. 5 avšak podle třetí modifikace systému z obr. 4 a obrázek 9 představuje podobný pohled jako obr. 5 provozování čtvrté modifikace systému z obr. 4.

Příklady provedení vynálezu

Na obr. 1 je představen počítačový ( hardwarový) systém 10 pro umožnění přístupu uživatelů k citlivým nebo omezeným zdrojům. Systém sestává z hlavního počítače 12 napojeného na bezpečnostní modul 14, kterým může být např. karta v počítačovém systému 10 nebo samostatná a vzdálená jednotka. Bezpečnostní modul 14 obsahuje zdroje 100, prováděcí stroj 200 a kontrolní přístupovou jednotku 300. Počítačový systém 10 dále může obsahovat, např., střediskový počítač nebo server firem, jako např. bank, ke kterým může být přístup proveden buď interně nebo pomocí on-line přístupu, např. zákazníkem. Prováděcí stroj 200 je zde kód běžící na bezpečnostním modulu 14 a má přístup k zdroji 100 obsahujícímu bezpečnostně citlivé informace, jako např. bankovní data uložená v paměti RAM.

Při používání se v okamžiku, kdy se třetí strana pokouší získat přístup ke zdroji 100 pomocí hlavního počítače 12 se aplikuje počítačový programový kód 22 na prováděcím stroji 200 pro získání přístupu ke zdroji 100. Počítačový programový kód 22, který má být proveden, obsahuje digitální podpis 24 ve formě jedinečného kódu, zakódovaného ať v rámci programového kódu 22 nebo postoupeného spolu s programovým kódem 22. Podpis PODPIS 1 ukazuje, že je specifický pro určitou část jednotlivců nebo skupin jednotlivců, kteří se zde nazývají primární vlastníci. Před tím, než se kód zadá do prováděcího stroje 200, se ověří podpis v přístupové kontrolní jednotce 300 za pomoci kryptografického klíče KLÍČ 1. Pouze pokud je « «

-4ověření kladné, je umožněno zadat počítačový programový kód do prováděcího stroje 200, čímž se umožní této třetí straně získat přístup ke zdroji 100.

Obr. 2 ukazuje operaci systémového softwaru a ukazuje počítačový programový kód 22 a připojený digitální podpis 24 v hlavním počítači 12, a dále zdroj 100, prováděcí stroj 200 přístupovou kontrolní jednotku 300 v bezpečnostním modulu 14. Přístupová kontrolní jednotka 300 zahrnuje přístupové kontrolní zařízení 302, které ovládá přístup ke zdroji 100.

Při používání je programový kód 22, který má být vykonán na prováděcím stroji 200, aplikován na přístupovou kontrolní jednotku 300. Jak bylo již uvedeno, programový kód 22, který má být proveden, je opatřen digitálním podpisem 24 ve formě unikátního kódu, který je zakódován v rámci programu nebo je poskytnut souběžně s ním. Přístupová kontrolní jednotka 300 obsahuje kryptografický klíč 304 (KLÍČ 1), který může být rovněž nazýván primární klíč, a ověřovací jednotka 306 podpisu ve formě komparátoru provozovaného pro kontrolu digitálního podpisu 24 spojeného s programovým kódem 22. Kryptografický klíč 304 je nastaven výrobcem bezpečnostního modulu 14. Ověřovací jednotka 306 podpisu kontroluje digitální podpis 24 za pomoci kryptografického klíče 304 v přístupové kontrolní jednotce 300. Za předpokladu, že je digitální popis 24 správný umožní přístupová kontrolní jednotka 300, aby byl programový kód 22 vložen do prováděcího stroje 200, na kterém může být spuštěn tak, aby získal přístup ke zdroji.

Ověření digitálního podpisu 24 tak spočívá na kryptografickém klíči 304, který je vestavěný do přístupové kontrolní jednotky 300 modulu 14 výrobcem a je tak tedy tímto procesem ověřování kontrolováno vkládání programového kódu 22 do prováděcího stroje 200.

Obr. 3 ukazuje konvenční variantu systému z obr. 2, kde primární vlastník si přeje delegovat přístup ke zdroji na jinou osobu. Programový kód 22 obsahuje delegační certifikát 101, který sestává z dalšího kryptografického klíče 102 (KLÍČ 2) a digitálního podpisu 24 primárního vlastníka doplněného případně o další data. Kód • · ·

-5• · · · · · • ♦ · • · · • · · · • · · · · • · · ·· ♦

rovněž obsahuje nové digitální podpisy 26 (PODPIS 2) další osoby, která zde bude nazývána jako druhý vlastník, kterému primární vlastník prvního digitálního podpisu 24 si přeje delegovat přístup ke zdroji. V tomto systému kryptografický klíč 304 (KLÍČ

1) vestavěný do přístupové kontrolní jednotky 300 používá pro ověření digitálního podpisu 24 primárního vlastníka na certifikátu 101 ověřovací jednotka 306 podpisů, zatímco druhá ověřovací jednotka 308 podpisů kontroluje druhý digitální podpis 26 druhého vlastníka kódu oproti klíči 102 primárního vlastníka na certifikátu 101. Výstupy těchto dvou ověřovacích jednotek podpisů jsou spojeny za pomoci logické „AND“ operační jednotky 310 a pouze pokud je první podpis i druhý podpis ověřen, je druhému vlastníkovi umožněn přístupovou kontrolní jednotkou 300 přístup ke zdroji 100.

Společnou vlastností těchto konvenčních systémů je, že ověření podpisu nebo řetězce delegačního certifikátu definitivně končí s klíčem, který je vestavěn do systému. Záleží tedy na vlastníkovi systému, které klíče budou oprávněny pro jaké operace.

Obr. 4 představuje podobu obr. 1 v přednostní formě hardwarového počítačového systému 50 podle vynálezu. Na obr. 4 obsahuje bezpečnostní modul 14 bezpečnostní subjednotku 30, ve které je umístěn prováděcí stroj 200. Přístupová kontrolní jednotka 300 a zdroj 100 jsou odděleny od prováděcího stroje 200 v rámci bezpečnostního modulu 14 tak, že prováděcí stroj 200 pracuje v rámci bezpečnostní subjednotky 30. Oddělení těchto zařízení může být fyzické za pomoci ovládání elektrických a mechanických spojů mezi zařízeními nebo za pomoci logické separace provádění softwarových složek v rámci počítačového systému. Zdroj 100 také obsahuje kryptografický klíč 102 - KLÍČ 1, který je primárním klíčem a je podobný klíči 304 z obr. 2 a 3. Nicméně se klíč 102 nastavuje vlastníkem zdroje 100 a nikoliv výrobcem bezpečnostního modulu 14. Bude zajisté oceněno, že ačkoliv se zde pojednává o bezpečnostním modulu 14, může být tento i ve formě karty obsažené v hlavním počítači 12 nebo to může být jedna či více oddělených jednotek fyzicky oddělených od hlavního počítače 12.

-6Hlavní počítač 12 může komunikovat s prováděcím strojem 200 pouze přes přístupovou ovládací jednotku 300. Jak je zobrazeno na obr. 4, jakýkoliv kód, kterýje činnosti v rámci bezpečnostní subjednotky 30 nemá možnost přístupu k jakémukoliv zdroji mimo bezpečnostní subjednotku 30, aniž by vyslal žádost přes přístupovou kontrolní jednotku 300.

Jestliže počítačový systém 10 se pokouší vložit programový kód 22 spolu s podpisem 24 do prováděcího stroje 200, projde tento kód nejprve přes přístupovou kontrolní jednotku 300 která zkontroluje, zda je podpis 24, připojený k programovému kódu 22, platný za pomoci klíče 102. V tomto místě nespojí přístupová kontrolní jednotka 300 podpis s jakoukoliv autorizací přístupu ke zdroji W0. Nicméně přístupová kontrolní jednotka 300 zaznamenává identitu tvůrce digitálního podpisu a spojuje ji s programovým kódem 22, který byl vložen. Když je následně prováděcím strojem 200 programový kód 22 v rámci subjednotky 30 proveden, může programový kód 22 vyžadovat přístup ke zdroji 100 a tato žádost je předána do přístupové kontrolní jednotky 300. Identita, která je vůči kódu v čase jeho zadání zaznamenána je potom testována přístupovým kontrolním zařízením 300 za pomocí přístupové kontrolní politiky, čímž se určí, které akce - činnosti, pokud jsou vůbec, mají autorizací digitálního podpisu 24. Pouze těmto činnostem je potom umožněno, aby byly se zdrojem 100 provedeny.

Obr. 5 je podobný jako obr. 2 a představuje činnost systémového modulu v rámci bezpečnostního modulu 14.

U systému z obr. 5 je zdroj 100 spojen s kryptografickým klíčem 102, který může být použit pro ověření digitálního podpisu 24 spojeného s operační částí programového kódu 22. Programový kód 22 spolu s připojeným digitálním podpisem 24 je nejprve vložen do bezpečnostního modulu 14, kde přístupová kontrolní jednotka 300 porovná digitální podpis s klíčem 102, který je spojený se zdrojem 100. Přístupová kontrolní jednotka 300 zahrnuje přístupové kontrolní zařízení 302, které ovládá přístup ke zdroji 100 a ověřovací jednotka 306 podpisů. Pokud je popis správně ověřen, potom je programovému kódu umožněno, aby byl vložen do prováděcího stroje 200, avšak • ·

9 • 9

-7«* · • · · • ♦ · · • · · · · · • « · «· 9

99 * · · * • · · a · · • · · • * · · · · stále ještě nemá přístup ke zdroji 100 a přístupová kontrolní jednotka 300 zaznamená identitu tvůrce podpisu a spojí ji s programovým kódem 22, který byl vložen.

Pokud uživatel vyžaduje přístup ke zdroji 100 aby mohl provádět nějakou konkrétní operaci, je programový kód 22 spuštěn na prováděcím stroji 200 a vyžaduje přístup ke zdroji 100. Tento přístup může být proveden přístupovou kontrolní jednotkou 300 a v této fázi je digitální podpis testován oproti přístupovým kontrolním pravidlům.

Ve své nejjednodušší formě na obr. 5 je podpis 24 ověřován oproti kryptografickému klíči 102 v ověřovací jednotce 306 a pokud je ověřen, je umožněn přístup ke zdroji 100. Tak je zdroj 100 sám kdo určuje, který kód má umožněný přístup ke zdroji , protože klíč 102 je ve zdroji 100 a nikoliv v modulu 14. Toto znamená, že každý uživatel si může nastavit svůj klíč ve svém bloku dat zdroje 100 a tak není přístupná všem, kdo by měl přístup k bezpečnostnímu modulu 14.

Ve variantách vynálezu může být na programový kód aplikováno více než jeden podpis při použití různých kryptografických klíčů, V takovém případě může být přístup ke zdroji udělen, pokud se kterýkoliv z podpisů ověří oproti kterémukoliv z klíčů, uvedených v seznamu ke zdroji. Podpis na programovém kódu může být nahrazen podpisem na kryptografickém hašování programového kódu, podpisem na sadě hašových informací části programového kódu, na hašové informaci nebo informacích částí programového kódu nebo na jakémkoliv jiném způsobu, který umožní ověření podpisu, který má být proveden pouze tehdy, pokud je kód identický s kódem, pod kterým byl podpis původně umístěn, protože podpis je ve vztahu ke kódu jedinečný.

Klíče spojené se zdrojem mohou být nahrazeny kryptografickými hašovými informacemi těch klíčů nebo jiných identifikátorů klíčů, které umožní zařízení jedinečně identifikovat správný klíč se kterým ověří podpis. V těchto případech musí být skutečné podpis ověřující klíče dostupné pro zařízení tak, aby mohl být proveden verifikační proces.

-8• · ♦ * * * · • · • · · »

Digitální podpis v předloženém vynálezu může být ve tvaru digitálního nebo jiného vhodného elektronického podpisu, který může být zařízením ověřen.

Systém podle obr. 5 nijak neomezuje aktivity, které může vlastník podpisu provádět na zdroji 100, jakmile je mu kódem pomocí přístupové kontrolní jednotky 300 umožněn přístup ke zdroji 100. Je to z toho důvodu, že klíč nemá se sebou spojeny jakékoliv omezení. Obr. 6 ukazuje systém ve kterých jsou aktivity omezeny na ty, které jsou s klíčem spojeny. V tomto systému je zdroj 100 spojen s přístupovým kontrolním seznamem 106, obsahujícím sestavu 108 klíčů. Každá sestava 108 ukazuje aktivity, které mohou být provedeny za pomoci zdroje 100, některé klíče které mohou být použity pro autorizaci těchto aktivit a doplňkově také určité tlaky na tyto aktivity, jako např. časový limit, parametrový limit a další. Jako dříve, zdroj 100 je dostupný pro prováděcí stroj 200, avšak tentokrát je raději vázán na přístupový kontrolní séznam než jen na klíče. Programový kód 22 je vložen do prováděcího stroje 200 tak jako před tím spolu s digitálním podpisem 24 pod kódem. Programový kód 22 může být proveden v rámci prováděcího stroje 200 a když se kód snaží provést jakoukoliv operaci na zdroji 100, testuje se přístupový kontrolní seznam 106. Pokud je podpis na kódu uvěřen ověřovací jednotkou 306 podpisů s ohledem na přístupový kontrolní seznam 106, umožní kontrolní přístupová jednotka 300 kódu, který má správný klíč, přístup k operacím uvedeným v tomto seznamu za předpokladu, že přístup spadá mezi jakékoliv „nátlaky“. Jinak není přístup umožněn. Například, jeden přístupový klíč může uživateli umožnit pouze ke četní dat ve zdroji, zatímco jiný mu může umožnit čtení i zápis dat. Další možností je v případech, že zdrojem je paměť, umožnit různým klíčům přístupy k různým částem paměti.

Ve třetí verzi podle vynálezu, představené na obr. 7, je použit mezilehlý přístupový kontrolní seznam, kterým se ovládá delegování přístupů. Programový kód 22 obsahuje delegační certifikáty 400, sestávající z dalšího kryptografického klíče 402 (KLÍČ 3) a podpisu 24 primárního vlastníka. Kód také obsahuje nový podpis 28 (PODPIS 2) druhého vlastníka, kterému si primární vlastník prvního podpisu 24 přeje delegovat pravomoc k přístupu ke zdroji 100. Tak jako u provedení z obr. 6 je použití • · ♦ * * · ♦ · · « • · · · · · « * · · • 9 ·

-9♦ * 44·· zdroje 100 nebo i jednotlivých operací na zdroji spojeno s ověřovacími klíči 108 podpisů , uvedených na kontrolním přístupovém seznamu 106. V tomto seznamu jsou delegační certifikáty vytvořené takovým způsobem, že přístupový kontrolní seznam 402 v delegačním certifikátu 400 je vytvořen podobně jako je forma kontrolního přístupového seznamu 106. Přístupový kontrolní seznam 402 je potom podepsán s pomocí kryptografického klíče digitálního podpisu 24. Zdroj 100 je přístupný pro prováděcí stroj 200 spolu s přístupovým kontrolním seznamem 106, a programový kód 22, jeho podpis 28 a delegační certifikát 400, obsahující podpis 24 je vložen do prováděcího stroje 200. Podpisy na kódu mohou být ověřeny ověřovací jednotkou 308 oproti klíčům v delegačním certifikátu 400 a podpis 24 na delegační listině je ověřen oproti klíči 108 v přístupovém kontrolním seznamu 106 zdroje ph využití ověřovací jednotky 306. Jejich protnutí je průsečík 310 v operacích uvedených v kontrolním přístupovém seznamu 106 vstupů a platných delegačních listin. Přístup je udělen přístupovým kontrolním zařízením 302 kódu pro operace, které spadají do protnutých operací.

Bude zajisté oceněno, že uživatel s oprávněním k jedné části zdroje 100 může odhlásit nebo delegovat část svých práv na třetí stranu. S odkazem opět na obr. 7 ukazuje výstup ověřující jednotky 308 operace, identifikované jako operace 2,3,4, které jsou umožněny kontrolou ověření sekundárního vlastníkova podpisu 28 oproti klíči 402 pro tento podpis v přístupovém kontrolním seznamu 400 kódů. Nicméně výstup z ověřovací jednotky 306 ukazuje pouze operace 1, 2 jako ty, které jsou umožněny ověřením primárního podpisu 24 oproti klíči 108 v přístupovém kontrolním seznamu 106 pro tento podpis. Druhému uživateli je tak umožněno pouze provést operaci 3 na zdroji 100.

V čtvrté variantě tohoto vynálezu, ukázané na obr. 8, může být přístup udělen všem kódům, které jsou autorizovány pod systémem z obr. 6 stejně tak jako výše na obr. 7 popsanou autorizaci kódů. Jsou tak umožněna několikaúrovňové delegace pro operace, které musí být uvedeny v každém přístupovém kontrolním seznamu s klíčem, kterým se ověřuje podpis na následující listině nebo který ověřuje programový kód následující listiny.

• 0 • ♦

- 10• * 0 • »0 ♦ » 0 9 • * 00·· « • 0 0

Jak je zobrazeno na obr. 8, může být toto schéma použito pro umožnění několikanásobné operační části kódu 22a, 22b pro odlišné úrovně přístupu ke shodnému zdroji 100 tím, že mají odlišné opravňovací certifikáty 400a, 400b a podpisy 24a, 24b,28,32.

Kódy 22a, 22b jsou vloženy do odlišných prováděcích strojů 200a, 200b v rámci bezpečnostního modulu 14. Bude zajisté oceněno, že prováděcí stroje 200a, 200b stejně jako individuální zdroje 100, mohou být v rozdílných bezpečnostních subjednotkách v rámci bezpečnostních modulů 14 a nemohou tak jeden s druhým interferovat.

V další modifikaci, ukázané na obr. 9, může být systém z obr. 8 použit pro umožnění přístupu jedné operační části programového kódu 22 do různých přístupových úrovní více než jednoho zdroje 100a, 100b.

Programový kód 22 je podobný programovým kódům 22a . 22b z obr. 8, avšak je opatřen alespoň dvěma delegačními certifikáty 400a, 400b, z nichž každý má kryptografický klíč 402a, 402b a digitální podpis 24, 26. Jsou zde dva digitální podpisy 24, 26 dvou primárních vlastníků, kteří si oba přejí delegovat stejnému uživateli nebo sekundárnímu vlastníku podpisu 28. Tento sekundární vlastník podpisu má uděleny rozdílná práva ke dvěma zdrojům 100a, 100b závisle na delegačních listinách. Přístupová kontrolní jednotka 300 na tomto obrázku může provádět ověřování pro oba primární podpisy 24, 26 a sekundární podpis 28 ve stejném okamžiku, jak je identifikováno přerušovanými čarami. V příkladě na obr. 9 je přístupovým kontrolním seznamem delegačního certifikátu 400 a primárního vlastníka podpisu PODPIS 1 umožněno sekundárnímu vlastníku provést operaci /3/ kde to zdroje 100a, 100b podle svého vlastního přístupového kontrolního seznamu umožňují, zatímco sekundárnímu uživateli je umožněno kontrolním přístupovým seznamem delegačního certifikátu 400b primárního vlastníka podpisu PODPIS provést operace /2,3/ kde to zdroje 100a, 100b umožňují.

-11 Podle dalších modifikací systému, který může být kombinován s předchozími verzemi, kontrolní přístupový seznam, který je buď připojen ke zdrojům nebo použit v delegačních certifikátech, může určovat, že jakýkoliv další delegační certifikát musí obsahovat „vyzývací“ hodnotu. V tomto systému se přístupová kontrolní jednotka 300. vstoupí-li do ní programový kód 22, vrací „vyzývací“ hodnotu , která není s vekou pravděpodobností obvykle uhodnutelná vzhledem k tomu, že číslo je velké a je náhodné. Přístupová kontrolní jednotka 300 udržuje záznamy o všech výzvách, které byly vydány společně s informacemi o tom, jak dlouho byla „vyzývací“ hodnota zvažována pro svou platnost. Pro kód, kterému má být umožněn přístup k operacím umožněným položkou přístupového kontrolního seznamu vyžadující výzvu, musí mít certifikát, který obsahuje v dané době platnou výzvu a musí být správně podepsaná. Ovládáním délky životnosti výzvy může systém kontrolovat délku životnosti certifikátů užívaných kódem. To může být použito pro udělení přechodného přístupového práva operační části kódu.

Rozdíl mezi známými systémy a systémem podle tohoto vynálezu byl zajisté z předchozího dostatečně pochopen. U známých systémů je po autorizaci kódu umožněn jakýkoliv přístup ke kterémukoliv dostupnému zdroji a systém potřebuje bezpečnostní jednotku pro ochranu kódu, zdrojů a testovacích procesů před vnějšími nepřátelskými útoky. Na rozdíl od toho je u systému podle tohoto vynálezu autorizace obsažena ve zdrojovém přístupu a ne v zadání kódu a bezpečnostní subjednotka 180 nejen chrání kód, zdroje a testovací procesy od útoků nepřátelským kódem již zadaným v prováděcím stroji 200. Tato dodatečná ochrana ne nezbytná v důsledku zpoždění autorizace přístupu ke zdroji.

Bude zajisté oceněno, že kód zadaný v bezpečnostní subiednotce 180 může provádět jakoukoliv operaci v rámci subjednotky včetně samotné změny kódu, protože autenticita kódu je zkoumána ještě před vlastním zahájením operace. Bude zajisté oceněno, že tento vynález je efektivnější než systém, u kterého se kód ověřuje při každém přístupu ke zdroji, protože podpis kódu je zapotřebí ověřit pouze jednou.

♦ Φ

I

Φ

-12• φ • · · • φφφφ « φ • * • ♦ φ » · φ * φ φ φ φ φ •φ φφ φ « φ • « φ · * φ

V případě, že ke kódu je před jeho nahráním aplikováno více podpisů, všechny podpisy jsou ověřeny při nahrání kódu identita všech podpisů kódu se zaznamená. Při provedení přístupu ke zdroji může verifikační zařízení umožnit přístup pokud by měl přístup kterýkoliv z podpisů nebo případně kód může indikovat v žádosti identitu, jejíž dokumenty by měly být použity pro autorizaci.

Ve všech systémech představených na obrázcích je požadováno, aby různé zdroje přístupné určitým blokům počítačového programového kódu. Tyto programy mohou být obecné účelové programy, které využívají rozdílné zdroje. Cílem tohoto vynálezu je kontrolovat přístup tak, aby pouze autorizované programy měly přístup ke zdrojům autorizovanou cestou, nebo kryptografické klíče, ke kterým mohou mít přístup pouze vybraní uživatelé.

Záleží na vlastníkovi počítačového systému aby určil, které klíče mají být oprávněny pro které operace. Následně tedy, pokud mají být do počítačového systému přidány další zdroje, musí se kontrolní přístupové jednotce 300 přidat další klíče.

Claims

PATENTOVÉ NÁROKY

1. Způsob ovládání přístupu ke zdroji v počítačovém systému pomocí operační části kódu (22), opatřeného digitálním podpisem (24), vyznačující se tím, že obsahuje kroky, podle kterých se

i) poskytne kryptografický klíč (102), který se spojí se zdrojem (100), ii) za pomoci kryptografického klíče (102) se provede ověřovací operace digitálního podpisu (24), iii) v závislosti na výsledku ověřovací operace se kódem (22) ovládá přístup ke zdroji (100).
2. Způsob podle nároku 1, vyznačující se t í m, že s kód (22) se opatří alespoň dvěma digitálními podpisy (24,28), v kroku ii) se provedou ověřovací operace pro každý z digitálních podpisů (24,28) za pomoci kryptografického klíče (102), spojeného se zdrojem (100) a v kroku iii) se umožní tomuto kódu přístup ke zdroji (100) v závislosti na ověření kteréhokoliv z podpisů (24,28), které mají být ověřeny.
3. Způsob podle nároku 1, vyznačující se tím, že kód (22) se opatří alespoň dvěma digitálními podpisy (24,28), v kroku ii) se provedou ověřovací operace pro každý z digitálních podpisů (24,28) za pomoci kryptografického klíče (102), spojeného se zdrojem (100) a v kroku iii) se umožní tomuto kódu přístup ke zdroji (100) pouze v závislosti na ověření všech podpisů (24,28), které mají být ověřeny.
4. Způsob podle kteréhokoliv z nároků 1 až 3, vyznačující se t i m, že se odděleně od zdroje (100) vytvoří prováděcí stroj (200) pro provedení operace s kódem (22) a v kroku iii) se kód (22) vloží do prováděcího stroje (200) v závislosti na ověřovaném podpisu.
5. Způsob podle kteréhokoliv z nároků 2 až 4, vyznačující se tím, že zdroj (100) obsahuje alespoň dva připojené kryptografické klíče (102), v kroku ii) se «* ·

- 14• * • * fl • ···· ♦ · • · · • * » • »flfl ♦ fl

H” « ·

4 · ··♦· provede ověřovací operace každého digitálního podpisu (24,28) za pomoci každého kryptografického klíče (102), spojeného se zdrojem (100), a v kroku iii) se umožní kódu (22) přístup ke zdroji v odezvě na ověření kteréhokoliv podpisu (24,28), který se ověřuje.
6. Způsob podle kteréhokoliv z nároků 2 až 4, vyznačující se tím, že zdroj (100) obsahuje alespoň dva připojené kryptografické klíče (102), v kroku ii) se provede ověřovací operace každého digitálního podpisu (24,28) za pomoci každého kryptografického klíče (102), spojeného se zdrojem (100), a v kroku iii) se umožní kódu (22) přístup ke zdroji pouze v odezvě na ověření všech podpisů (24,28), které se ověřují.
7. Způsob podle nároku 4, v y z n a č u j i c i se t i m, že se dále provádí kroky, ve kterých iv) se provede další ověřovací operace podpisu (24) za pomoci kryptografického klíče (102) spojeného se zdrojem v odezvě na pokus kódu (22) získat v prováděcím stroji (200) přístup ke zdroji (100), a

v) se kódem (22) v závislosti na výsledku ověřovací operace kontroluje přístup ke zdroji (100).
8. Způsob podle nároku 7, vyznačující se t i m, že se kód (22) opatří alespoň dvěma digitálními podpisy (24,28), v kroku iv) se provede ověřovací operace každého z digitálních podpisů (24,28) za pomoci kryptografického klíče (102), spojeného se zdrojem (100), a v kroku v) se umožní kódu přístup ke zdroji v závislosti na ověření kteréhokoliv z podpisů, které se ověřují.
9. Způsob podle nároku 7, vyznačující se t i m, že se kód (22) opatří alespoň dvěma digitálními podpisy (24,28), v kroku iv) se provede ověřovací operace každého z digitálních podpisů (24,28) za pomoci kryptografického klíče (102), spojeného se zdrojem (100), a v kroku v) se umožní kódu přístup ke zdroji pouze v závislosti na ověření všech podpisů, které se ověřují.

fc fc «· · fc · • fcfc fc fcfcfcfc « ♦ fcfc ♦
10. Způsob podle kteréhokoliv z nároků 7 až 9, vyznačující se tím, že zdroj (100) se opatří alespoň dvěma připojenými kryptografickými klíči (102), v kroku ív) se provede ověřovací operace každého z digitálních podpisů (24,28) za pomoci každého kryptografického klíče (102), spojeného se zdrojem (100), a v kroku v) se umožní kódu přístup ke zdroji v závislosti na ověření kteréhokoliv z podpisů, které se ověřují.
11. Způsob podle kteréhokoliv z nároků 7 až 9, vyznačující se tím, že zdroj (100) se opatří alespoň dvěma připojenými kryptografickými klíči (102), v kroku iv) se provede ověřovací operace každého z digitálních podpisů (24,28) za pomoci každého kryptografického klíče (102), spojeného se zdrojem (100), a v kroku v) se umožní kódu přístup ke zdroji pouze v závislosti na ověření všech podpisů, které se ověřují.
12. Způsob podle kteréhokoliv z nároků 1 až 11, vyznačující se tím, že kryptografický klíč (102) se konfiguruje pro autorizaci předem zvolených aktivit na zdroji (100).
13. Způsob podle kteréhokoliv nároků 1 až 11, vyznačující se tím, že kryptografický klíč (102) se konfiguruje pro autorizaci předem zvolených aktivit na zdroji (100) a následuje ověření jednoho nebo více podpisů klíčem (102), spojeným se zdrojem (100) a přístup ke zdroji (100) se kódu (22) umožní pouze ve vztahu k těmto předem zvoleným aktivitám, spojených s tímto klíčem.
14. Způsob podle kteréhokoliv z nároků 1 až 13, vyznačující se tím, že se kód (22) opatří prvním a druhým podpisem (24,28), s prvním podpisem (24) se spojí kryptografický klíč (402) pro druhý podpis (28), v kroku ii) se provede ověřovací operace prvního podpisu (24) za pomoci kryptografického klíče (108) spojeného se zdrojem (100) a provede se ověřovací operace druhého podpisu (28) za pomoci kryptografického klíče (402) spojeného s prvním podpisem (24), a v kroku iii) se umožní kódu přístup ke zdroji (100) v závislosti na ověření obou podpisů, které se ověřují.

4 4 • · 4

4 44«

4 4 » 4

4 4

- 1644 «4 9

4 ·

4 4

4 »

4444
15. Způsob podle nároku 14, vyznačující se tím, že jeden z kryptografických klíčů (108, 402) se konfiguruje pro autorizaci předem zvolených aktivit na zdroji (100) a následuje ověřovací operace podpisů těmito klíči, přičemž přístup kódu (22) ke zdroji (100) se umožní pouze v rámci těchto předem zvolených aktivit, spojených s jedním z klíčů.
16. Způsob podle nároku 14, vyznačující se tím, že každý z kryptografických klíčů (108, 402) se konfiguruje pro autorizaci předem zvolených aktivit na zdroji (100) a následuje ověřovací operace podpisů těmito klíči, přičemž přístup kódu (22) ke zdroji (100) se umožní pouze v rámci předem zvolených aktivit, které jsou společné pro tyto klíče.
17. Počítačový systém, vyznačující se tím, že obsahuje ověřovací jednotku (300) digitálního podpisu (24) spojeného s operační částí programového kódu (22), a zdroj (100), který je opatřen sním spojeným kryptografickým klíčem (108), kde ověřovací jednotka (300) je vytvořena pro použití kryptografického klíče (108) pro ověření digitálního podpisu (24) a tím pro umožnění přístupu programového kódu (22) ke zdroji (100) podle výsledku ověřovací operace.
18. Počítačový systém podle nároku 17, vyznačující se tím, že obsahuje prováděcí stroj (200) pro zpracování programového kódu (22), kde tento prováděcí stroj (200) je oddělený od zdroje (100) a je k němu připojen přes ověřovací jednotku (300), přičemž ověřovací jednotka (300) je vytvořena pro ověření kódu (22) jak před vložením operačního kódu (22) do prováděcího stroje (200), tak i před tím, něž je kódu (22) umožněn z prováděcího stroje (200) přístup ke zdroji (100).
19. Počítačový systém podle nároku 18, vyznačující se tím, že ověřovací jednotka (300), zdroj (100) a prováděcí stroj (200) jsou obsaženy v bezpečnostním modulu (14).