CZ2007779A3

CZ2007779A3 - Zpusob zabezpecení autorizovaného zadávání dat a zarízení k jeho provádení

Info

Publication number: CZ2007779A3
Application number: CZ20070779A
Authority: CZ
Inventors: Endrys@Bretislav
Original assignee: Monet+,A.S.
Priority date: 2007-11-08
Filing date: 2007-11-08
Publication date: 2009-05-20
Also published as: EP2218027A2; ATE537509T1; PL2218027T3; WO2009059569A3; WO2009059569A2; US20100299533A1; US8429419B2; CA2701138A1; EP2218027B1

Abstract

Zpusob autorizovaného zadávání dat a zabezpecení autenticity techto dat pri vstupu do kryptografických operací se provádí tak, že aplikace v pocítaci (A), vyžadující autorizované zadávání dat, odešle do modulu STM (C) specifický príkaz, kterým se definuje šablona vstupních dat, urcených pro kryptografické zpracování. Tento specifický príkaz prepne modul STM (C) do režimu bezpecného zadávání dat. Modul STM (C) autonomne rídí zadávání požadovaných datových položek šablony dat, a to zaznamenáváním znaku zadávaných na pripojeném vstupním zarízení (D). Zaznamenané znaky modul STM (C) ve své interní pameti sestavuje do požadovaných datových struktur definovaných šablonou vstupních dat. Takto vytvorená data modul STM (C) odešle prímo do tokenu (E), v nemž se vyvolá požadovaná kryptografická operace, jejíž výsledek modul STM (C) odešle do pocítace (A), nacež modul STM (C) prejde zpet do transparentního režimu. U zarízení podle uvedeného zpusobu, jak vstupní zarízení (D) zadávání dat, tak externí token (E) jsou k pocítaci (A) pripojeny prostrednictvím doplnkového modulu STM (C), který je standardne v transparentním režimu, kdy prenáší data mezi pocítacem (A) a pripojenými perifériemi napr. vstupní zarízení (D) pro zadávání dat a tokenem (E) bez jakéhokoliv vlivu. Specifickým príkazem zaslaným z aplikace v pocítaci (A) je prenositelná šablona dat, definující požadavky na vstupní data kryptografické operace. Modul STM (C) je prepnutelný do režimu bezpecného zadávání dat, kdy modul STM (C) autonomne rídí zadávání dat na vstupním zarízení (D) pro zadávání dat a jejich kryptografické zpracování v tokenu (E).

Description

t* · * *·* · · · · * · Q-ooi-~ ιία

Způsob zabezpečení autorizovaného zadávání dat a zařízení k jeho provádění Oblast techniky

Vynález se týká způsobu zabezpečení autorizovaného zadávání dat a zabezpečení autenticity těchto dat při vstupu do kryptografických operací, které jsou realizovány externími kryptografickými tokeny připojenými kPC a dále se týká zařízení pro provádění tohoto způsobu.

Dosavadní stav techniky Z dosavadního stavu techniky jsou známé způsoby realizace bezpečnostních schémat na standardní počítačové architektuře, které využívají kryptografických metod. Tyto způsoby jsou zpravidla založeny na využití HW bezpečných tokenů (čipových karet, USB bezpečných zařízení). Je tak zajištěna vysoká bezpečnost uložení kryptografických klíčů a jejich autorizované použití (zadání PIN pro zpřístupnění operací s tokenem). Větší problém však působí zajištění autenticity dat vstupujících do operace s tokenem. Aplikace využívající externích kryptografických tokenů k zabezpečeni dat sice mohou zobrazit klientovi správná data určená ke zpracování (např. příkaz k úhradě do banky klienta) ale nedůvěryhodné prostředí počítače nedává záruky, že tato data budou skutečně odeslána do tokenů a tam zpracována v identické podobě. Škodlivé SW vybavení může tato data modifikovat a tak poškodit zájmy klienta (např. modifikací cílového účtu příkazu k úhradě nebo částky).

Podstata wnálezu

Uvedený problém je možno eliminovat tím, že vstupní data (nebo alespoň jejich informačně významná část), vstupující do kryptografické operace, budou s pomocí specielního modulu odeslána přímo ze vstupního zařízení (tzv. typu Human interface Device, tj. typicky klávesnice) do tokenů tak, že řídící systém (typicky počítač) je schopný data nanejvýš zobrazit, nikoliv však modifikovat.

Počítače je tedy výhodně využito jen jako zprostředkovatele pro iniciaci operace, průběžné zobrazování zadávaných dat (během zadávání má uživatel přímou vizuální kontrolu zadávaných dat), přijetí kryptografických výsledků z tokenů a komunikaci mezi subjekty systému. Uvedená metoda realizuje princip „co je zadáno na klávesnici, to bude kryptograficky zpracováno".

Navrhované řešení využívá modul STM (Secure Typing Module), jehož prostřednictvím je jednak připojeno vstupní zařízení pro zadávání dat, tj. typicky klávesnice a jednak externí token ( např. čtečka čipových karet s ěipovou kartou nebo jiný HW externí token). Modul STM komunikuje s PC nativním protokolem každého z připojených zařízení. Obě uvedená zařízení tj. vstupní zařízení pro zadávání dat (klávesnice) i token, mohou být využívána programovým vybavením PC jako samostatné standardní periferie, vliv vřazeného modulu STM se nijak neuplatní, data jím pouze prochází, což představuje tzv. transparentní režim chování modulu STM. V okamžiku, kdy modul STM zachytí z počítače aplikací odeslaný specifický příkaz, definující šablonu dat určených ke kryptografickému zpracování se modul STM přepne do režimu bezpečného typování tzn. bezpečného zadávání dat. Programové vybavení modulu STM (firmware v nemodifikovatelné paměti modulu STM) v tomto režimu autonomně řídí zadávání datových položek definovaných přijatou šablonou na připojeném vstupním zařízení, přičemž může být zajištěno ve spolupráci s aplikací počítače jejich kontrolní zobrazování na standardním monitoru (způsob kontrolního zobrazování zadaných znaků na vstupním zařízení je nevýznamný). Po sestavení všech datových položek, vstupujících do kryptografické operace, modul STM zajistí jejich přímé odesláni na připojený token tj. zadaná data jsou odeslána přímo z modulu STM, a nikoli z počítače. Výsledek kryptografické operace vrátí čekající aplikaci v počítači k dalšímu zpracování definovanému bezpečnostním schématem. Poté se modul STM automaticky vrací do transparentního režimu. Uživatelsky výhodnou variantou uvedeného způsobu provádění je signalizovat vstup do režimu bezpečného typování prostředky modulu STM (např. vizuální signalizace kontrolkou) a deaktivovat signalizaci při ukončení tohoto režimu. Takto je uživateli umožněna snadná kontrola funkčnosti modulu STM,

Pokud token podporuje autentizaci uživatele hodnotou PIN, modul STM výhodně vynutí v režimu bezpečného typování zadání PIN a jeho ověření tokenem před kryptografickým zpracováním dat v tokenu, přičemž hodnota PIN není předána do prostředí počítače.

Bezpečnost systému je zvýšena, pokud modul STM nedovolí, aby podporovanému tokenu byl odeslán příkaz pro ověření PIN přímo z aplikace v počítači a ani nedovolí vyvolání kryptografické operace, kterou standardně využívá modul STM. Touto funkcionalitou modul • * » · · · * * * · *··· * · « ft · « · * * · * · · · · · I · « f · · · · * · * 3·«·· · I * * * • · ·« ·*« M* · · · STM zajistí, že vždy, když je v systému používán, nelze na úrovni aplikace od tokenu získat výsledky kryptografických operací (použitím kryptografických schémat, která jsou používána v režimu bezpečného typování), které by vznikly bez vědomí uživatele tak, že by aplikace simulovala chování modulu STM.

Dalšího posílení bezpečností při provádění uvedeného způsobu je možno dosáhnout kryptografickým zabezpečením integrity šablony vstupních dat. V tomto případě je nutné, aby důvěryhodný subjekt, spravující šablony vstupních dat je opatřil kryptografickou ochranou, přičemž použité klíče k zabezpečení musí být distribuovány na klientských tokenech. Modul STM po přijetí šablony dat krypto graficky ověří její integritu s využitím tokenu, Kladné ověření integrity je signalizováno klientovi prostředky modulu STM, při neúspěšném ověření ukončí modul STM režim bezpečného typování. Výhodnou variantou řešení modulu STM může být jeho realizace jako samostatné HW zařízení s využitím standardních periférií s rozhraním USB (klávesnice, čtečka čipových karet nebo jiný HW token), čímž je umožněno využít existujících periférií počítače. Dalšího zjednodušeni může být dosaženo s využitím klávesnice s integrovanou čtečkou čipových karet.

Podstatou zařízení pro zabezpečení autorizovaného zadávání dat a zabezpečení autenticity těchto dat je, že sestává z počítače, zobrazovacího prostředku, vstupního zařízení pro zadávání dat a externího kryptografického tokenu. Jak vstupní zařízení zadávání dat, tak externí token jsou k počítači připojeny prostřednictvím doplňkového modulu STM, který je standardně v transparentním režimu, kdy přenáší data mezi počítačem a připojenými perifériemi, např. vstupním zařízením pro zadávání dat a tokenem bez jakéhokoliv vlivu, přičemž specifickým příkazem zaslaným z aplikace v počítači je předávaná šablona dat, definující požadavky na vstupní data kryptografické operace a modul STM je přepínatelný do režimu bezpečného zadávání dat, v němž modul STM autonomně řídí zadávání dat na vstupním zařízení pro zadávání dat a jejich kryptografické zpracování v tokenu.

Je výhodné, když vstupním zařízením pro zadávání dat je standardní klávesnice nebo klávesnice s integrovanou čtečkou čipových karet. • * *· * «· · • * *· * «· ·

* · » * · ·· » * * · I * · Výhodně je modul STM opatřen signalizačními prostředky pro signalizaci zahájení a ukončení režimu bezpečného zadávání dat a úspěšnosti krypto grafické verifikaci integrity šablony vstupních dat. Přehled obrázků na výkresech *

Na obr. 1 je znázorněna obecná architektura řešení standardním počítačem v zapojení s prvky pro provádění způsobu autorizovaného zadávání dat.

Na obr. 2 je znázorněno jiné výhodné provedení zapojení počítače s USB prvky pro provádění uvedeného způsobu.

Popis příkladných provedení wnálezu

Na obr. 1 je zobrazena logická architektura, která s využitím standardního počítače A, jeho zobrazovacího prostředku B např. monitoru, vstupního zařízení D zadávání dat např. standardní klávesnice, nebo klávesnice s integrovanou Čtečkou čipových karet, externího kryptografického tokenu E a modulu STM C , tvoří systém pro autorizované zadávání dat a zabezpečení autenticity těchto dat při vstupu do kryptografických operací realizovaných tokenem E, přičemž není významné, zda je modul STM C implementován jako součást klávesnice, tokenu E nebo jako samostatné zařízení. Modul STM C musí být schopen komunikovat s počítačem A nativním protokolem každého z připojených zařízení (klávesnice, token ). Modul STM C obsahuje firmware ve své nemodifikovatelné paměti.

Na obr. 2 je zobrazena výhodná varianta zapojení modulu STM C založená na samostatném HW modulu a standardních periferiích s rozhraním USB, přičemž modul STM C je připojen k počítači A také rozhraním USB. Výhodně mohou být klávesnice D i čtecí zařízení pro token E integrovány v jednom fyzickém zařízení.

Příkladným provedením vynálezu je využívání systému pro bezpečné zadávám např. elektronických platebních příkazů a jeho elektronického podpisu s využitím běžného osobního počítače A vybaveného USB klávesnicí D a USB čtečkou čipových karet, případně využitím USB klávesnice D, která má integrovánu čtečku čipových karet. Modul STM C je výhodné implementovat jako samostatné HW zařízení, které je připojeno k USB rozhraní počítače A a samo disponuje USB rozhraními pro připojení klávesnice D, případně USB tokenu E. Pro standardní operace prováděné na počítači A klávesnicí D a tokenem E se chová modul STM C transparentně, tzn., že tyto operace nijak neovlivni. Spuštěním aplikace, která využívá vlastností modulu STM C se situace změní. V okamžiku spuštění této aplikace se odešle do modulu STM C specifický příkaz, který definuje šablonu dat určených jako vstupní data pro elektronický podpis. Zachycením tohoto příkazu se přepne modul STM C do režimu řízení bezpečného zadávání dat tzv. typování, kdy se začne využívat připojené klávesnice D k zadávání požadovaných dat, zaznamenané znaky se sestavují do struktury definované šablonou a ve spojení s aplikací na počítači A se zajišťuje zobrazování zadaných znaků pro kontrolní účely v okně spuštěné aplikace. Po ukončení zadávání datových položek modul STM C může Drovést autorizaci držitele tokenu E zadáním hodnotv PTN a ieho ověřením na tokenu E. Následně modul STM C odešle data určená k podpisu do tokenu E, přebere výsledek operace a současně s navrácením podpisu aplikaci v počítači A se vrací do transparentního režimu.

Pro posílení bezpečnosti celého řešení je výhodné modul STM C vybavit funkcionalitou, která zabrání počítači A vyvolám bezpečnostně specifických operací nad tokenem E, které realizuje modul STM C autonomně v rámci režimu řízení bezpečného zadávání dat tzv. typování, tj. operace ovčření PIN a požadavek na vytvoření elektronického podpisu podpisového schématu využívaného modulem STM C. Tyto příkazy jsou modulem STM C blokovány, a to tak, že fyzicky nejsou poslány do tokenu E a počítači A je navrácen specifický chybový kód. Šablona dat identifikuje požadované datové položky, vstupující do kryptografické operace, určuje jejich formát. Obsah vybraných položek, však povinně definuje uživatel. Šablona nicméně může být datově inicializována a aplikace v počítači A může obsah šablony vizualizovat v okně aplikace. Takto zobrazená data může uživatel, případně aplikace v počítači, použít k duplicitním kontrolním účelům. Ke kryptografické operaci jsou odeslána data skutečně zadaná uživatelem.

Pokud existuje důvěryhodný subjekt, který definuje obsah šablon a současně také vyhodnocuje kryptografické operace tokenu £ provedené s modulem STM £ nad těmito šablonami, mohou být datové položky šablony opatřeny dalším atributem, který určuje, zdaje inicializovaná položka neměnná — je definována důvěryhodným subjektem nebo je povinně vyžadováno, aby ji zadal uživatel. Modul STM C a aplikace v počítači A se řídí tímto atributem při zadávaní požadovaných položek, modul STM C je zodpovědný za sestavení všech dat ke kryptografické operaci. Součástí vyhodnocení kryptograficky zpracovaných dat tokenem E na straně důvěryhodného subjektu je nejenom kryptografická verifikace dat, ale i ověření, zda struktura přijatých dat odpovídá požadavkům odeslané šablony s porovnáním neměnných položek šablony.

Jinou metodou ochrany integrity šablony je kryptografické zabezpečení. Pokud důvěryhodný subjekt, spravující šablony, je kryptograficky zabezpečí a token drží klíč, jímž je možno integritu ověřit, je možné, aby modul STM C vyhodnotil integritu šablony. Je vhodné, iby modul STM C byl pro tyto potřeby vybaven optickou (například LED dioda), akustickou nebo jinou indikací, kterou se signalizuje úspěšné ověření integrity šablony.

Průmyslová využitelnost

Metoda pro autorizované zadáváni dat vstupujících do kryptografické operace realizované v externím HW tokenu podle vynálezu je průmyslově opakovatelně využitelné řešení a najde využití především v aplikacích typu elektronické bankovnictví (s malým objemem zadávaných dat), kde je nutné zajistit silný princip neodmítnutelnosti odpovědnosti za zadaná data transakce a kde je navíc vhodné zabezpečit hodnotu P1N proti odchycení škodlivým SW vybavením v počítači. K zásadním přínosům uvedeného řešení patří výrazné posílení bezpečnosti, nízké náklady na dosažení tohoto zabezpečení a skutečnost, že řešení nemění zažité ergonomické postupy uživatelů externích tokenů.

Claims

7 • · «·· ·* · (f * Z.001- -T-TA Patentové nároky 1. Způsob zabezpečení autorizovaného zadávání dat a zabezpečení autenticity těchto dat při vstupu do kryptografických operací, které jsou realizovány externími tokeny připojenými k počítači (A), vyznačující se tím, že aplikace v počítači (A), vyžadující autorizované zadávání dat, odešle do modulu STM (C) specifický příkaz, kterým se definuje Šablona vstupních dat, určených pro kryptografické zpracování, tento specifický příkaz přepne modul STM (C) do režimu bezpečného zadávání dat, modul STM (C) autonomně řídí zadávání požadovaných datových položek šablony dat, a to zaznamenáváním znaků zadávaných na připojeném vstupním zařízení (D), přičemž zaznamenané znaky modul STM (C) ve své interní paměti sestavuje do požadovaných datových struktur definovaných šablonou vstupních dat, takto vytvořená data modul STM (C) odešle přímo do tokenu (E) v němž se vyvolá požadovaná kryptografická operace, jejíž výsledek modul STM (C) odešle do počítače (A), načež modul STM (C) přejde zpět do transparentního režimu.
2. Způsob podle nároku 1, vyznačující se tím, že vstup do režimu bezpečného zadávání dat se signalizuje signalizačními prostředky modulu STM (C) a při ukončení tohoto režimu se signalizace deaktivuje.
3. Způsob podle nároku 1, vyznačující se tím, že před odesláním vytvořených dat do tokenu (E) pro provedení kryptografické operace se provede autentizace vlastníka tokenu (E) vynucením zadání hodnoty PIN a jeho ověřením v tokenu (E), pokud token (E) tuto operaci podporuje, přičemž modul STM (C) hodnotu PIN nepředává do nedůvěryhodného prostředí počítače (A).
4. Způsob podle nároku 1 a 3, vyznačující se tím, že modul STM (C) brání ověření PIN v podporovaném tokenu (E) i vyvolání kryptografické operace specifické pro použití modulu STM (C) příkazem odeslaným přímo z aplikace v počítači (A) tak, že se takový příkaz zachytí v modulu STM (C) a nepředá se ke zpracování do tokenu (E) a aplikaci v počítači (A) se vrátí hlášení chybového kódu. • · i I » · · · *· ·· · · « « ·· · · * * 8··«·· · ·** • » · t · · · * M ·♦ *· ·*· ·
5. Způsob podle nároku 1, vyznačující se tím, že pokud má specifický příkaz definující šablonu vstupních dat pro kryptografickou operaci chráněnu integritu kryptografickým zabezpečením, je po odeslání do modulu STM (C) nejprve ověřen na integritu s využitím krypto grafické podpory tokenu (E) a teprve poté je zpracováván, přičemž úspěšné vyhodnocení integrity se klientovi signalizuje prostředky modulu STM (C), při neúspěšném ověření integrity se modul STM (C) vrací do transparentního režimu.
6. Zařízení pro zabezpečení autorizovaného zadávání dat a zabezpečení autenticity těchto dat zahrnuje počítač (A), zobrazovací prostředek (B), vstupní zařízení (D) pro zadávání dat a externí kryptografický token (E), vyznačující se tím, že jak vstupní zařízení (D) zadávání dat, tak externí token (E) jsou k počítači (A) připojeny prostřednictvím modulu STM (C), který je standardně v transparentním režimu, kdy přenáší data mezi počítačem (A) a připojenými perifériemi např. vstupním zařízením (D) pro zadávání dat a tokenem (E) bez jakéhokoliv vlivu, přičemž specifickým příkazem zaslaným z aplikace v počítači (A) je předávána šablona dat, definující požadavky na vstupní data kryptografické operace a modul STM (C) je přepínatelný do režimu bezpečného zadávání dat, kdy modul STM (C) autonomně řídí zadávání dat na vstupním zařízení (D) pro zadávání dat a jejich kryptografické zpracování v tokenu (E).
7. Zařízení podle nároku 6, vyznačující se tím, že vstupním zařízením (D) pro zadávání dat je standardní klávesnice.
8. Zařízení podle nároku 6 a 7, vyznačující se tím, že vstupním zařízením (D) pro zadávání dat je klávesnice s integrovanou čtečkou čipových karet.
9. Zařízení podle nároku 6, vyznačující se tím, že modul STM (C) je opatřen signalizačními prostředky pro signalizaci zahájení a ukončení režimu bezpečného zadávání dat a úspěšnosti kryptografické verifikace integrity šablony vstupních dat.