DE10054401A1 - Anordnung und Verfahren zur Absicherung der Eingabe von Sicherungsdaten - Google Patents

Abstract

Die Erfindung betrifft eine Anordnung zur Absicherung der Eingabe von Sicherungsdaten, die in Eingabedaten enthalten sind, welche über ein Eingabegerät eingegeben werden. Weiterhin betrifft die Erfindung ein Verfahren zur Absicherung der Eingabe solcher Sicherungsdaten. Die Verwendung der Sicherungsdaten wird unterbunden, wenn ein Eingabemonitor (5) eine Übereinstimmung zwischen Eingabedaten und einem gespeicherten Datenmuster erkennt, wo keine Übereinstimmung erwartet wird.

Description

Die vorliegende Erfindung betrifft eine Anordnung zur Absi­ cherung der Eingabe von Sicherungsdaten, welche in Eingabeda­ ten enthalten sind, die über eine Eingabeeinheit eingespeist werden. Außerdem betrifft die Erfindung ein Verfahren zur Absicherung der Eingabe solcher Sicherungsdaten.

Um bei der Datenverarbeitung und der Datenübertragung erhöh­ ten Sicherheitsbedürfnissen gerecht zu werden, werden seit geraumer Zeit bestimmte Sicherheitsinformationen bzw. -daten verwendet um entweder die Datenübertragung selbst zu sichern oder die zu übertragenden Daten beispielsweise durch Verschlüsseln zu sichern, um auf bestimmte Ressourcen Zugriff zu erhalten oder um die Authentizität der Daten oder des Benutzers entsprechender Einheiten zu dokumentieren. Beispielsweise werden persönliche Identifikationsnummern (PIN) verwendet, um sichere Datenübertragungen, z. B. bei elektronischen Bankgeschäften, mit entsprechender Software zu ermöglichen. Nachfolgend werden unter dem Begriff Sicherungs­ daten im weiteren Sinne alle Informationen verstanden, die erhöhten Geheimhaltungsbedürfnissen unterliegen, der einge­ schränkten Benutzung durch autorisierte Personen vorbehalten sind und beispielsweise den Zugang zu bestimmten anderen Informationen erst ermöglichen. In der Praxis sind Siche­ rungsdaten beispielsweise eine PIN, die den Zugang zu einem kryptographischen Schlüssel freigibt, der auf einem Datenträ­ ger gespeichert ist. Bei anderen, praktisch jedoch kaum vorkommenden Anwendungen könnte der kryptographische Schlüs­ sel aber auch selbst die Sicherungsdaten darstellen.

Aus der US 6,056,193 ist eine Computertastatur bekannt, die einen integrierten Kartenleser enthält, der eine sogenannte Smart Card (intelligente Karte) lesen und die darauf in geeigneter Form abgelegte Sicherheitsinformation verarbeiten kann. Bereits vorhandene Tastaturen lassen sich nicht ohne weiteres mit solchen Kartenlesern nachrüsten. Das erläuterte Sicherungssystem läßt sich jedoch nur bei Matrixtastaturen anwenden und erfordert eine zusätzliche Anzeigeeinheit, um sogenannte "spoofing attacks" zu verhindern. Das System wird zudem nur während der Eingabe der Sicherungsdaten angewendet und überwacht nicht ständig die Dateneingabe.

Die US 4,223,403 beschreibt eine kryptographische Anordnung zur Benutzung mit einem sicheren persönlichen Identifika­ tionssystem. Dabei ist es jedoch erforderlich, Sicherungsda­ ten zur Überprüfung an ein zentrales Rechensystem zu übertra­ gen.

Die jüngsten Entwicklungen haben gezeigt, daß bestehende Sicherheitsanforderungen mit diesen bekannten Lösungen nicht ausreichend erfüllt werden können. Bei bekannten Lösungen ist es immer erforderlich, die von einer beliebigen Entität (d. h. eine Verarbeitungseinheit oder ein softwaregesteuerter Prozeß) abgefragten und benötigten Sicherheitsinformationen in das System einzuspeisen, wobei unsichere Eingabetastaturen oder ähnliche unsichere Eingabeeinheiten, die selbst nicht einer vertrauenswürdigen Umgebung angehören, benutzt werden müssen. Damit besteht die Gefahr, daß die Sicherungsdaten ausgespäht und unberechtigt verarbeitet bzw. gespeichert werden können. Wenn diese Sicherungsdaten jedoch für eine unberechtigte und ungewollte Nutzung zur Verfügung stehen, könnten damit sicherheitsrelevante Prozesse gesteuert werden, ohne daß der Benutzer/Inhaber der Sicherungsdaten davon Kenntnis erlangt. In den Bereichen, in denen die Eingabe von Sicherungsdaten erforderlich ist, besteht bei herkömmlichen Geräten und Verfahren keine Möglichkeit, Spionageaktionen, die direkt auf die Sicherungsdaten gerichtet sind (snooping attacks), auszuschließen oder zumindest rechtzeitig zu bemer­ ken, um geeignete Abwehrmaßnahmen einzuleiten.

Wenn Datenverarbeitungseinheiten sehr hohen Sicherheitsanfor­ derungen genügen sollen, muß die gesamte Datenverarbeitungs­ einheit als vertrauenswürdige Einheit charakterisiert werden, d. h. es ist eine vollständige Kontrolle der Eingabe- und Ausgabegeräte erforderlich. Solche vertrauenswürdigen Systeme, die für allgemeine Datenverarbeitungsaufgaben nutz­ bar bleiben, sind jedoch sehr teuer und lassen sich nicht ohne weiteres mit Standardsoftwareanwendungen betreiben.

Ein weiterer möglicher Angriff auf sicherheitsrelevante Prozesse kann darin bestehen, daß dem Benutzer eines Daten­ verarbeitungssystems von einer Angriffssoftware vorgetäuscht wird, daß eine dem Benutzer bekannte Sicherheitsanwendung die Eingabe von Sicherungsdaten (PIN) erfordert. Der Benutzer wird in einem solchen Fall keinen Verdacht schöpfen und die Sicherungsdaten beispielsweise über eine Tastatur eingeben, um die Anforderung der vorgetäuschten Anwendung zu erfüllen. Die eingegebenen Sicherungsdaten werden dann von der Angriffssoftware mißbräuchlich verwendet, beispielsweise an ein entferntes System übertragen. Die bekannten Anwendungen und Verfahren der Sicherheitstechnik können solche Täuschungsangriffe (spoofing attacks) nicht erkennen, so daß der Benutzer die mißbräuchliche Verwendung der von ihm einge­ gebenen Sicherungsdaten nicht rechtzeitig bemerkt.

Es besteht daher ein zunehmender Bedarf an der Bereitstellung von Anordnungen und Verfahren zur Erhöhung der Sicherheit bei Datenverarbeitungen.

Eine Aufgabe der vorliegenden Erfindung besteht somit darin, eine Anordnung und ein Verfahren bereitzustellen, um zu einem möglichst frühen Zeitpunkt die auf beliebige Weise eingege­ benen geheimen Daten bzw. Sicherungsdaten vor unberechtigtem Zugriff zu schützen. Insbesondere soll gewährleistet werden, daß solche Sicherungsdaten nicht durch Angriffssoftware ausspioniert werden können. Weiterhin soll es die Erfindung ermöglichen, vorgetäuschte Abfragen der Sicherungsdaten so rechtzeitig zu erkennen, daß diese Sicherungsdaten nicht weitergeleitet werden oder unbrauchbar gemacht werden können, bevor Dritte diese Sicherungsdaten für unberechtigte Zugriffe mißbrauchen können.

Diese Aufgaben werden durch eine Anordnung gelöst, die die folgenden Bestandteile umfaßt:

• - eine Datenverarbeitungseinheit, welche Eingabedaten von der Eingabeeinheit empfängt und diese verarbeitet;
• - einen Eingabemonitor, der
• - in einem Lernmodus ein von der Eingabeeinheit geliefertes Datenmuster der Sicherungsdaten abspeichert,
• - in einem Mitlesemodus alle von der Eingabeeinheit kommen­ den Eingabedaten mitliest und mit dem abgespeicherten Datenmuster vergleicht, um Datenmuster zu bestimmen, die dem abgespeicherten Datenmuster entsprechen,
• - eine Sicherheitssteuereinheit, die mit der Datenverarbei­ tungseinheit und mit dem Eingabemonitor verbunden ist, um den Eingabemonitor in verschiedene Betriebsmodi zu setzen;

wobei ein Sicherheitssignal generiert wird, wenn berechtigte Entitäten (Einheiten bzw. Prozesse) die Eingabe von Sicherungsdaten fordern, und wobei ein Sperrsignal generiert wird, wenn im Mitlesemodus in den Eingabedaten das Datenmuster der Sicherungsdaten erkannt wird aber kein Sicherheitssignal anliegt, um die weitere Verwendung der Sicherungsdaten in der Datenverarbeitungseinheit zu unterbinden.

Diese Anordnung bietet den Vorteil, daß Sicherungsdaten in ein Datenverarbeitungssystem eingegeben werden können, wobei lediglich ein kleiner, bei Bedarf eigenständig betreibbarer Bestandteil der Gesamtanordnung als vertrauenswürdiger Anla­ genteil ausgebildet sein muß. Es ist nicht mehr erforderlich, daß das gesamte Datenverarbeitungssystem überprüfbar und nachweisbar vertrauenswürdig ist, um sicherzustellen, daß die geheim zu behandelnden Sicherungsdaten nicht mißbräuchlich Verwendet werden.

Durch die erfindungsgemäße Anordnung können beliebige Systeme mit einem vertrauenswürdigen Bestandteil ausgerüstet werden, der eine sichere Behandlung der Sicherungsdaten gewährlei­ stet. Eine Decodierung der eingegebenen Sicherungsdaten ist nicht erforderlich, da der Eingabemonitor die originären Datenmuster, die von der Eingabeeinheit abgegeben werden, mit dem gespeicherten Datenmuster der Sicherungsdaten vergleicht. Selbst wenn Sicherungsdaten aufgrund einer vorgetäuschten sicheren Anwendung eingegeben werden, ist es möglich, die weitere Verarbeitung, Speicherung oder Verteilung der Siche­ rungsdaten sofort zu stoppen, da ein Sperrsignal generiert wird. Die Überwachung des Ausgabegerätes ist dafür nicht erforderlich. Selbst Angriffe auf Daten, die auf einer sehr hardwarenahen Ebene durchgeführt werden, beispielsweise durch Modifikation eines in der Datenverarbeitungseinheit implemen­ tierten Gerätetreibers des Eingabegerätes, können durch die vorgeschlagene Anordnung erkannt werden, da der Eingabemonitor keinen Gebrauch von solchen Gerätetreibern macht. Dies bedingt auch den weiteren Vorteil, daß die Anordnung weitge­ hend unabhängig von speziellen Eingabegeräten bzw. Datenver­ arbeitungseinheiten ist. Beispielsweise könnte die Anordnung als Hardwarelösung in einen speziellen Schaltkreis integriert werden, der dann ohne oder mit geringfügigen Modifikationen mit verschiedenen Hardwareanordnungen zusammenarbeiten kann. Ebenso ist es möglich, die erfindungsgemäße Anordnung in bereits vorhanden Schaltkreise (beispielsweise in der jewei­ ligen Eingabeeinheit) zu implementieren, so daß keine zusätz­ lichen Bauteile notwendig werden.

Wenn die Weitergabe der Sicherungsdaten an unberechtigte Anwendungen in bestimmten Fällen nicht verhindert werden kann, so ist es durch die Erkennung der Eingabe zumindest möglich, diese Sicherungsdaten endgültig unbrauchbar zu machen, was zwar eine Neugenerierung von Sicherheitsdaten erfordert aber deren Mißbrauch sicher verhindert.

Je nach Ausführungsform wird das Sicherheitssignal von der Datenverarbeitungseinheit oder der Sicherheitssteuereinheit generiert. Einerseits kann die Datenverarbeitungseinheit befähigt sein, zwischen privilegierten oder vertrauenswürdi­ gen Anwendungen, welche Sicherungsdaten erhalten dürfen, und anderen Anwendungen zu unterscheiden. Andererseits kann auch die Sicherheitssteuereinheit selbst über die Genehmigung der Eingabe von Sicherungsdaten entscheiden, wenn beispielsweise in der Sicherheitssteuereinheit Signaturdaten verarbeitet werden sollen und dies durch die Eingabe einer PIN zu gestatten ist.

Bei einer abgewandelten Ausführungsform ist weiterhin eine Schleuseneinheit vorgesehen, die zwischen die Eingabeeinheit und die Datenverarbeitungseinheit geschaltet ist. Diese Schleuseneinheit ist von der Sicherheitssteuereinheit über ein Freigabesignal steuerbar und ist in der Lage, das Daten­ muster der empfangenen Sicherungsdaten zu verändern, bevor diese an die Datenverarbeitungseinheit weitergeleitet werden. Diese Abwandlung stellt sicher, daß ein "Mitlauschen" von Sicherungsdaten innerhalb des Datenverarbeitungssystems unmöglich ist.

Die oben genannten Aufgaben werden auch durch ein Verfahren gelöst, welches die folgenden Schritte umfaßt:

• - Abspeichern des Datenmusters von Sicherungsdaten in einem Eingabemonitor;
• - Vergleichen aller von einer Eingabeeinheit zu einer Daten­ verarbeitungseinheit gesendeten Eingabedaten mit dem gespeicherten Datenmuster im Eingabemonitor, um das Daten­ muster der Sicherungsdaten in den Eingabedaten zu erkennen;
• - Generieren eines Sicherheitssignals, wenn von berechtigten Entitäten die Eingabe von Sicherungsdaten gefordert wird;
• - Generieren eines Sperrsignals, welches die weitere Verwen­ dung der eingegebenen Sicherungsdaten unterbindet, wenn durch den Eingabemonitor das gespeicherte Datenmuster in den Eingabedaten erkannt wird und kein Sicherheitssignal anliegt.

Durch die Anwendung eines solchen Verfahrens können erhöhte Sicherheitsanforderungen erfüllt werden, wobei das genannte Verfahren vorzugsweise unter Nutzung einer o. g. Anordnung ausgeführt wird. Es ist aber auch denkbar, daß dieses Verfah­ ren mit abgewandelten Anordnungen und Systemen ausgeführt wird.

Bei einer abgewandelten Ausführungsform wird nicht nur in den von einer Eingabeeinheit gelieferten Datenmustern nach einem speziellen Datenmuster gesucht, welches einer bestimmten Menge von Sicherungsdaten entspricht. Darüber hinaus wird auch beim Vorliegen des Sicherheitssignals überprüft, ob das Datenmuster der Eingabedaten tatsächlich dem gespeicherten Datenmuster entspricht. Für den Fall, daß eine Identität nicht festgestellt wird, werden die Eingabedaten unbrauchbar gemacht. Diese Situation kann einerseits auftreten, wenn gerade beim ersten Abspeichern (Erlernen) des Datenmusters von Sicherungsdaten eine Manipulation der Sicherungsdaten erfolgte, so daß in dem Eingabemonitor ein falsches Datenmuster abgelegt ist. Wenn dann zu einem späteren Zeitpunkt die Sicherungsdaten erneut eingegeben werden, zeigt die fehlende Identität der Datenmuster an, daß die im Eingabemonitor gespeicherten Datenmuster fehlerhaft sind. Eine Sperrung der eingegebenen Sicherungsdaten verhindert in diesem Fall den Mißbrauch der korrekten Sicherungsdaten durch fremde Anwendungen bzw. Benutzer.

Andererseits kann die oben genannte Situation auch auf eine Fehleingabe des Nutzers während des normalen Betriebs zurückzuführen sein. Natürlich kann dafür eine gesonderte Fehlerbehandlungsroutine vorgesehen sein, die für eine begrenzte Zahl von Versuchen die wiederholte Eingabe von Sicherungsdaten ermöglicht, um unbeabsichtigte Falscheingaben zu korrigieren.

Bei weitergebildeten Ausführungsformen ist es möglich, die im Eingabemonitor zu speichernden Datenmuster beispielsweise bereits bei der anfänglichen Festlegung einer PIN für den Benutzer nachprüfbar zu verifizieren, in dem diese Sicherungsdaten mehrfach abgefragt und eingegeben sowie die zugehörigen Datenmuster miteinander verglichen werden. Dadurch lassen sich Eingabefehler des Benutzers vermeiden.

Ebenso können im Eingabemonitor mehrere Datenmuster von verschiedenen Sicherungsdaten gespeichert werden, wenn z. B. mehrere PIN überwacht werden sollen.

Weitere Vorteile, Einzelheiten und Weiterbildungen ergeben sich aus der nachfolgenden Beschreibung bevorzugter Ausfüh­ rungsformen der Erfindung, unter Bezugnahme auf die Zeich­ nung. Es zeigen:

Fig. 1 ein Blockschaltbild einer ersten Anordnung zur Sicherung von Sicherungsdaten;

Fig. 2 ein Flußdiagramm, welches die wichtigsten Schritte eines Verfahrens zur Sicherung von Sicherungsdaten angibt;

Fig. 3 ein Blockschaltbild einer zweiten Ausführungsform der Anordnung zur Sicherung von Sicherungsdaten.

Fig. 1 zeigt ein Blockschaltbild einer Anordnung zur Siche­ rung von Sicherungsdaten. Die Anordnung besitzt eine Einga­ beeinheit 1, die beispielsweise eine Tastatur eines Perso­ nalcomputers sein kann. Die Eingabeeinheit kann aber auch einem mobilen Datenverarbeitungsgerät (z. B. PDA, Organizer) zugeordnet sein, in ein berührungsempfindliches Display (Touchscreen) integriert sein oder auf andere Weise gestaltet sein.

Über eine Eingabeverbindung 2 ist die Eingabeeinheit in an sich herkömmlicher Weise mit einer Datenverarbeitungseinheit 3 verbunden. Im einfachsten Fall ist die Datenverarbeitungs­ einheit 3 eine Schaltungseinheit, die zur Ansteuerung bzw. zum Betrieb der Eingabeeinheit notwendig ist und die Schnitt­ stelle zu nachgeordneten Schaltungseinheiten bildet. Bei anderen Anwendungsformen kann die Datenverarbeitungseinheit 3 einen Mikrocontroller oder einen Mikroprozessor umfassen. Bei einer nochmals veränderten Ausführungsform kann die Datenver­ arbeitungseinheit auch eine spezielle Überwachungseinheit enthalten, die den Ablauf von unter Sicherheitsaspekten privilegierten Programmen überwacht und ggf. Freigabe- oder Sicherheitssignale generiert. Zumindest ist die Datenverar­ beitungseinheit 3 geeignet, die von der Eingabeeinheit 1 gesendeten Eingabedaten zu empfangen und in geeigneter Weise zu verarbeiten bzw. weiterzuleiten. Im Falle der Verwendung eines Personalcomputers wird die Datenverarbeitungseinheit 3 auch Softwareroutinen umfassen, beispielsweise den Geräte­ treiber für die Eingabeeinheit 1.

Die Anordnung umfaßt weiterhin einen Eingabemonitor 5, der über eine Mitleseverbindung 6 an die Eingabeverbindung 2 angekoppelt ist und alle von der Eingabeeinheit 1 gesendeten Daten (Eingabedaten) ebenfalls empfängt. Der Eingabemonitor 5 besitzt Mittel zum Speichern von Datenmustern sowie Mittel zum Vergleichen der gespeicherten Datenmuster mit über die Mitleseverbindung 6 empfangenen weiteren Datenmustern.

Außerdem ist eine Sicherheitssteuereinheit 8 vorgesehen, die über eine erste Steuerverbindung 9 mit der Datenverarbei­ tungseinheit 3 und über eine zweite Steuerverbindung 10 mit dem Eingabemonitor 5 verbunden ist. Die Sicherheitssteuerein­ heit 8 besitzt mindestens Mittel zum Empfang und zur Verarbeitung von Steuerdaten, die von der Datenverarbeitungsein­ heit 3 bereitgestellt werden, und Mittel zur Generierung eines Modussignals sowie ggf. eines Sicherheitssignals, die an den Eingabemonitor 5 geliefert werden können. Die erste Steuerverbindung 9 kann vorzugsweise verwendet werden, um Anfang und Ende der Eingabe von Sicherungsdaten zu signali­ sieren, wenn die Anordnung im Lernmodus betrieben wird, um das Datenmuster der Sicherheitsdaten im Eingabemonitor zu speichern. Außerdem kann über die erste Steuerverbindung 9 ein "Genehmigungssignal" gesendet werden, wenn Sicherheits­ daten während der Ersteingabe beispielsweise als "gutes Paßwort" eingeschätzt worden sind. Schließlich könnten über diese erste Steuerverbindung 9 das Sicherheitssignal oder andere Steuersignale übertragen werden, die in der Datenverarbeitungseinheit erzeugt werden.

Wie durch eine gestrichelte Linie angedeutet ist, bilden der Eingabemonitor 5 und die Sicherheitssteuereinheit 8 gemeinsam eine vertrauenswürdige Einheit 12, die erhöhten Sicherheits­ anforderungen genügt. Es ist erkennbar, daß nur die der vertrauenswürdigen Einheit 12 angehörenden Elemente einem besonderen Schutz unterzogen werden. Die vertrauenswürdige Einheit 12 kann als eigenständiges Gerät aufgebaut sein oder in bestehende Geräte integriert werden. Da die durchzuführen­ den Funktionen relativ einfach sind (wie sich aus der nach­ folgenden Beschreibung ergeben wird), könnte die vertrauens­ würdige Einheit 12 im wesentlichen aber auch aus einem inte­ grierten Schaltkreis bestehen oder Teil eines solchen sein. Die vertrauenswürdige Einheit 12 wird an den jeweiligen Anwendungsfall angepaßt, wobei in der Regel nur geringfügige Modifikationen erforderlich sind, und beispielsweise auch standardisierte Schnittstellen genutzt werden können.

Die sonstigen Elemente der Gesamtanordnung unterliegen nicht einem erhöhten Sicherheitsbedürfnis, da alle sicherheitsrele­ vanten Entscheidungen durch diese vertrauenswürdige Einheit 12 getroffen werden.

Die Funktionsweise dieser Anordnung zur Sicherung von Siche­ rungsdaten erschließt sich aus der nachfolgenden Beschreibung eines typischen Verfahrensablaufs, unter Bezugnahme auf Fig. 2.

Fig. 2 zeigt ein Flußdiagramm, welches die wesentlichen Schritte eines Verfahrens zur Sicherung von Sicherungsdaten angibt. Das Verfahren startet im Schritt 20. Um die in Fig. 1 dargestellte Anordnung betreiben zu können, muß anfänglich zumindest einmal eine Lernprozedur durchgeführt werden. Wenn im Schritt 21 entschieden wird, daß neue Sicherungsdaten in die Überwachung einbezogen werden sollen, wird im Schritt 22 der Lernmodus gestartet. Dazu sendet die Sicherheitssteuer­ einheit ein entsprechendes Modusauswahlsignal an den Eingabe­ monitor 5, um diesem zu signalisieren, daß neue Daten erwar­ tet werden. Wenn der Eingabemonitor in den Lernmodus versetzt ist, speichert er im Schritt 23 ein Datenmuster, welches er über die Mitleseverbindung 6 von der Eingabeeinheit 1 empfängt. Dem Benutzer der Anordnung wird im Lernmodus ange­ zeigt, daß er die zu sichernden Sicherungsdaten in die Einga­ beeinheit 1 einzugeben hat. Es ist darauf hinzuweisen, daß der Eingabemonitor 5 keine Kenntnis über den Inhalt der Sicherungsdaten haben muß und daher die zumeist von der Eingabeeinheit 1 in codierter Form gesendeten Sicherungsdaten nicht decodiert werden müssen. Auf diese Weise bleibt der Eingabemonitor 5 flexibel und muß nicht an die speziell verwendeten Eingabeeinheiten bei verschiedenen Geräten ange­ paßt werden. Im Lernmodus kann bei einer angepaßten Ausführungsform natürlich eine mehrfache Eingabe der Sicherungsda­ ten zur Verifizierung vorgesehen werden. Sobald das Daten­ muster der Sicherungsdaten gespeichert wurde, kehrt der Eingabemonitor 5 in den normalen Mitlesemodus zurück (Schritt 24). Im Mitlesemodus vergleicht der Eingabemonitor 5 ständig die mitgelesenen Datenmuster, die er von der Eingabeeinheit 1 empfängt, mit dem im Lernmodus gespeicherten Datenmuster. Sofern mehrere Sicherungsdaten (die jeweils aus einzelnen Elementen bestehen können) überwacht werden sollen (beispielsweise bei der Verwendung mehrerer PIN), muß der Vergleich der mitgelesenen Datenmuster mit mehreren gespei­ cherten Datenmustern erfolgen. Die Speicherkapazität und die Verarbeitungsgeschwindigkeit des Eingabemonitors 5 sind an die entsprechenden Anforderungen anzupassen. Da die von der Eingabeeinheit 1 gelieferten Datenmuster aber nicht decodiert werden müssen, kann der notwendige Vergleich mit einfachen Schaltungsmitteln (z. B. unter Verwendung eines Zustandsauto­ maten) und sehr schnell erfolgen. Natürlich ist auch ein Datenvergleich durch Softwareroutinen möglich, wobei die Programmierbarkeit des Eingabemonitors 5 aus Sicherheitsgrün­ den auf ein Minimum reduziert werden sollte.

Unter normalen Betriebsumständen verbleibt die Anordnung nun im Mitlesemodus und führt einen stetigen Vergleich zwischen den Datenmustern durch. Nur wenn im Schritt 26 eine Identität der Datenmuster festgestellt wird, woraus zu schlußfolgern ist, daß Sicherungsdaten in die Eingabeeinheit 1 eingegeben wurden, wird im Schritt 26a ein Erkennungssignal abgegeben, welches das Erkennen des Datenmusters anzeigt. Bei der hier speziell beschriebenen Ausführungsform ist im nachfolgenden Schritt 27 zu prüfen, ob ein Sicherheitssignal anliegt. Das Sicherheitssignal wird von der Sicherheitssteuereinheit 8 bzw. der Datenverarbeitungseinheit 3 nur dann bereitgestellt, wenn tatsächlich eine berechtigte Schaltungseinheit bzw. ein entsprechender Prozeß die Eingabe der Sicherungsdaten ange­ fordert hat. Die Sicherheitssteuereinheit 8 kann in an sich bekannter Weise die Gültigkeit eines von der Datenverarbei­ tungseinheit 3 generierten oder angeforderten Sicherheits­ signals überprüfen. Es ist auch denkbar, daß das Sicherheits­ signal nur dann bereitgestellt wird, wenn der Benutzer der Anordnung eine zusätzliche besondere Bedienungshandlung vornimmt (beispielsweise einen manuellen Schaltvorgang auslöst).

Wenn dieses Sicherheitssignal anliegt, ist die Eingabe der Sicherungsdaten berechtigt, so daß von einem sicheren Betriebszustand ausgegangen werden kann. Sollte das Sicher­ heitssignal jedoch nicht anliegen, muß davon ausgegangen werden, daß die Abfrage der Sicherungsdaten von einem nicht berechtigten Prozeß erfolgte und die Verwendung der Siche­ rungsdaten in diesem nicht berechtigten Prozeß vom Benutzer nicht erwünscht ist. In diesem Fall wird im Schritt 28 ein Sperrsignal generiert, welches der Datenverarbeitungseinheit 3 zugeleitet wird, um dort die weitere Verarbeitung der von der Eingabeeinheit 1 empfangenen Sicherungsdaten zu beenden. Beispielsweise kann die Anwendung, die die Sicherungsdaten unberechtigt abgefragt hat, zwangsweise beendet werden. Ebenso ist es denkbar, eine unter Umständen bestehende Online-Verbindung sofort zu unterbrechen, um die Übertragung der Sicherungsdaten an fremde Rechensysteme zu verhindern. Das Sperrsignal kann bei anderen Anwendungsfällen dazu verwendet werden, eine PIN oder einen ganzen Speicherbereich zu sperren, der im Normalfall durch die Eingabe der Siche­ rungsdaten freigegeben werden würde. In den meisten Fällen wird es auch sinnvoll sein, dem Benutzer eine entsprechende Meldung anzuzeigen, die ihn über den versuchten Mißbrauch der Sicherungsdaten bzw. die erfolgte Eingabe informiert und ggf. eine Bestätigung zur Sperrung der Sicherungsdaten abfragt.

Das Verfahren endet dann im Schritt 29. Damit das Sperrsignal nur in tatsächlich relevanten Fällen generiert wird, muß der Benutzer natürlich darauf achten, daß die Sicherungsdaten unter gewöhnlichen Betriebsumständen nicht in die Eingabeein­ heit 1 eingegeben werden müssen. Wenn solche Sicherungsdaten Paßwörter darstellen, sollten diese Paßwörter so gewählt werden, daß sie eine Zeichenfolge ergeben, die normalerweise nicht in dieser Zusammenstellung in die Eingabeeinheit 1 eingegeben wird. Sicherungsdaten können auch von reservierten Sonderzeichen eingerahmt sein. Diese Forderungen entsprechen jedoch den üblichen Anforderungen, die an Paßwörter gestellt werden.

Bei einer abgewandelten und vereinfachten Ausführungsform spielt die Generierung des Sicherheitssignals keine vorder­ gründige Rolle. Entscheidend für die Ausführung des erfin­ dungsgemäßen Verfahrens ist der Vergleich der Datenmuster im Eingabemonitor und letztlich die Bereitstellung eines Erken­ nungssignals, wenn das Datenmuster von Sicherheitsdaten erkannt wird. Die weitere Verarbeitung dieses Erkennungs­ signals kann variieren. Eine Variante der Reaktion auf das Erkennen der Datenmuster wurde oben in Bezug auf Fig. 2 dargestellt.

Bei einer verbesserten Ausführungsform wird außerdem über­ wacht, ob das von der Datenverarbeitungseinheit oder von der Sicherheitssteuereinheit generierte Sicherheitssignal während der gesamten Dauer der Eingabe der Sicherungsdaten ununter­ brochen gültig war. Dadurch läßt sich auch verhindern, daß Sicherungsdaten teilweise ausgespäht werden.

Fig. 3 zeigt ein Blockschaltbild einer abgewandelten Ausfüh­ rungsform der Anordnung zur Sicherung von Sicherungsdaten. Generell kommen wieder die Elemente zum Einsatz, die bereits in Bezug auf Fig. 1 beschrieben wurden. Bei der oben erläu­ terten Ausführungsform besteht jedoch noch das Problem, daß kein vollständiger Schutz gegen Spionageangriffe besteht, da die Eingabe der Sicherungsdaten (PIN) durch die Datenverar­ beitungseinheit 3 überwacht werden kann. Insoweit ist es bei der oben erläuterten Ausführungsform zumindest möglich, daß eingegebene Sicherungsdaten auch von unberechtigten Anwen­ dungen zur Kenntnis genommen werden, wenn nämlich eine berechtigte Anwendung die Eingabe von Sicherungsdaten anfor­ dert und eine nicht berechtigte Anwendung die eingegebenen Daten mitliest. Das unberechtigte Mitlesen von Sicherungsda­ ten kann mit der Anwendung gemäß Fig. 1 nicht erkannt und verhindert werden.

Bei der weitergebildeten Ausführungsform gemäß Fig. 3 ist zusätzlich eine Schleuseneinheit 30 angeordnet, die von der Eingabeeinheit 1 über die Eingabeverbindung 2 Daten empfängt und über eine Übermittlungsverbindung Daten an die Datenver­ arbeitungseinheit 3 abgeben kann. Die Schleuseneinheit 30 ist außerdem über eine dritte Steuerverbindung 32 mit der Sicher­ heitssteuereinheit 8 verbunden. Generell ist die Schleusen­ einheit 30 in der Lage, die von der Eingabeeinheit 1 empfan­ genen Eingabedaten in vorgegebener Weise zu verändern, bevor diese an die Datenverarbeitungseinheit 3 weitergeleitet werden. Da die Art der Veränderung dieser Daten wesentlich für die erzielbare Datensicherheit ist, wird die Schleusen­ einheit 30 der vertrauenswürdigen Einheit der Gesamtanordnung zugerechnet, auch wenn die Anforderungen hinsichtlich der Sicherheit geringer sind, als die an den Eingabemonitor 5 und die Sicherheitssteuereinheit 8 gestellten Anforderungen. Bei Bedarf kann auch eine vierte Steuerverbindung 33 angeordnet sein, über welche die Datenverarbeitungseinheit 3 unmittelbar auf die Eingabeeinheit 1 einwirken kann. Diese vierte Steuer­ verbindung 33 ist vor allem dann nützlich, wenn die Eingabe­ daten von der Schleuseneinheit 30 verändert oder gar unter­ bunden werden, um Beginn und Ende einer Zeichenübertragung bzw. einer Tastenbetätigung zu erkennen. Die vierte Steuer­ verbindung 33 könnte aber auch dazu dienen, um beispielsweise einen speziellen Eingabemodus zu ermöglichen.

Die Schleuseneinheit 30 kann auf verschiedene Weise die Veränderung der Eingabedaten vornehmen. Beispielsweise kann die Schleuseneinheit 30 beim Empfang von Sicherungsdaten diese Sicherungsdaten durch Falschdaten (z. B. Null-Daten) ersetzen, bevor diese an die Datenverarbeitungseinheit 3 weitergeleitet werden. Auf diese Weise werden der Datenverar­ beitungseinheit 3 während einer gültigen Eingabe von Siche­ rungsdaten nicht die tatsächlichen Sicherungsdaten übermit­ telt, sondern sie erhält lediglich Kenntnis darüber, daß Sicherungsdaten eingegeben wurden. Die Anweisung zum Ersetzen der Sicherungsdaten durch Falschdaten kann die Schleusenein­ heit 30 von der Sicherheitssteuereinheit 8 erhalten, sobald die Datenverarbeitungseinheit 3 der Sicherheitssteuereinheit 8 mitgeteilt hat, daß die Eingabe von Sicherungsdaten erfor­ derlich ist.

Bei dieser Ausgestaltung können natürlich Probleme entstehen, wenn eine Initialisierung/Neueingabe von Sicherungsdaten bzw. PIN notwendig wird, da die Datenverarbeitungseinheit 3 weder vom Inhalt noch von der Länge der Sicherungsdaten Kenntnis hat. Wenn die Sicherungsdaten jedoch mittels eines eindeutigen Austauschs durch Falschdaten ersetzt werden, kann die Datenverarbeitungseinheit 3 zumindest die Länge des jeweiligen Sicherungsdatenblocks überprüfen. Außerdem ist es möglich, daß ein Sicherungsdatenblock mit einer definierten Sequenz beginnt und endet, so daß daraus die Länge des Daten­ blocks abgeleitet werden kann.

Darüber hinaus wird die Datensicherheit weiterhin erhöht, wenn der Eingabemonitor bei der Feststellung des Vorliegens von Sicherungsdaten ein entsprechendes Steuersignal an die Sicherheitssteuereinheit 8 sendet, die ihrerseits die Schleuseneinheit 30 daraufhin veranlaßt, die Sicherungsdaten durch Falschdaten zu ersetzen. Dazu müssen die Eingabedaten in der Schleuseneinheit 30 kurzzeitig gepuffert werden, um deren Sperrung oder Veränderung noch vor der Weitergabe an die Datenverarbeitungseinheit 3 zu ermöglichen.

In einem anderen Betriebsmodus ist es jedoch auch möglich, während der Initialisierung neuer Sicherungsdaten die Schleu­ seneinheit zu veranlassen, die empfangenen Sicherungsdaten unverändert an die Datenverarbeitungseinheit 3 weiterzulei­ ten, um dieser eine inhaltliche Überprüfung dieser Daten zu ermöglichen. Da die Initialisierung neuer Sicherungsdaten nur einmalig erfolgen muß und in einer besonderen Anwendungsumge­ bung ablaufen kann, ist das verbleibende Restrisiko des Mißbrauchs der Sicherungsdaten überschaubar und vertretbar. Sobald die Datenverarbeitungseinheit 3 die neuen Sicherungs­ daten verifiziert hat, wird die Schleuseneinheit 30 in den normalen Betriebszustand zurückversetzt, so daß bei der nach­ folgenden Eingabe gleichartiger Sicherungsdaten diese nicht mehr an die Datenverarbeitungseinheit 3 übermittelt werden.

Bei einer abgewandelten Ausführungsform kann in der erfindungsgemäßen Anordnung eine Verschlüsselungsfunktion implementiert sein, wobei beispielsweise eine Scrambling- Funktion realisiert werden kann.

Bei einer nochmals abgewandelten Ausführungsform könnte die Schleuseneinheit 30 einen Pufferspeicher enthalten. Wenn dann die letzten Daten zwischengespeichert sind, kann die Schleu­ seneinheit empfangene Eingabedaten bei Bedarf vor der Weitergabe an die Datenverarbeitungseinheit sperren, beispielsweise wenn Sicherheitsdaten im Eingabedatenstrom festgestellt worden sind.

Es zeigt sich, daß die dargestellte Anordnung und das erläu­ terte Verfahren weitgehend unabhängig von der Datenverarbei­ tungseinheit und den nachgeordneten Geräten und Schaltungsan­ ordnungen arbeitet. Dadurch ist es möglich, die vertrauens­ würdige Einheit und das durch diese ausgeführte Sicherheits­ verfahren bei unterschiedlichsten Anwendungsumgebungen einzu­ setzen. Da eine Decodierung der Eingabedaten zur Überwachung der Sicherungsdaten nicht erforderlich ist, muß die vertrau­ enswürdige Einheit nicht mit Gerätetreibern zusammenarbeiten und keine Kenntnis von der speziellen Funktionsweise der Eingabeeinheit haben. Es bietet sich beispielsweise an, die erläuterte Anordnung unmittelbar in eine Computertastatur zu integrieren oder als Zusatzeinheit zwischen Tastatur und Computer einzuschalten. Außerdem ist eine Anwendung in Lese­ geräten für intelligente Karten (Smart Card) möglich. Es sind aber auch Anwendungen in allen anderen Datenverarbeitungsein­ heiten denkbar, soweit dort der Schutz von Sicherungsdaten angestrebt wird, beispielsweise in Geräten, mit denen Bank­ transaktionen oder ähnliche sicherheitsrelevante Vorgänge ausgelöst und gesteuert werden.

Bezugszeichenliste

1

Eingabeeinheit

2

Eingabeverbindung

3

Datenverarbeitungseinheit

5

Eingabemonitor

6

Mitleseverbindung

8

Sicherheitssteuereinheit

9

erste Steuerverbindung

10

zweite Steuerverbindung

12

vertrauenswürdige Einheit

30

Schleuseneinheit

31

Übermittlungsverbindung

32

dritte Steuerverbindung

33

vierte Steuerverbindung

Claims (22)

1. Anordnung zur Absicherung der Eingabe von Sicherungsdaten, welche in Eingabedaten enthalten sind, die über eine Eingabeeinheit (1) eingespeist werden, umfassend:
eine Datenverarbeitungseinheit (3), welche Eingabedaten von der Eingabeeinheit (1) empfängt und diese verarbei­ tet;
einen Eingabemonitor (5), der
in einem Lernmodus ein von der Eingabeeinheit gelie­ fertes Datenmuster der Sicherungsdaten abspeichert,
in einem Mitlesemodus alle von der Eingabeeinheit kommenden Eingabedaten mitliest und mit dem abgespei­ cherten Datenmuster vergleicht, um Datenmuster zu bestimmen, die dem abgespeicherten Datenmuster entsprechen,
eine Sicherheitssteuereinheit, die mit der Datenverar­ beitungseinheit und mit dem Eingabemonitor verbunden ist, um den Eingabemonitor in verschiedene Betriebsmodi zu setzen;
wobei die Verwendung der Sicherungsdaten unterbunden wird, wenn der Eingabemonitor (5) eine Übereinstimmung zwischen Eingabedaten und dem gespeicherten Datenmuster erkennt, wo keine Übereinstimmung erwartet wird.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß ein Sicherheitssignal generiert wird, wenn berechtigte Entitä­ ten (Einheiten bzw. Prozesse) die Eingabe von Sicherungs­ daten fordern, und daß ein Sperrsignal generiert wird, wenn im Mitlesemodus in den Eingabedaten das Datenmuster der Sicherungsdaten erkannt wird aber kein Sicherheits­ signal anliegt, um die weitere Verwendung der Sicherungs­ daten in der Datenverarbeitungseinheit zu unterbinden.

3. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß das Sicherheitssignal von der Datenverarbeitungseinheit (3) bereitgestellt wird, wenn berechtigte Entitäten, deren Berechtigung von der Datenverarbeitungseinheit überprüfbar ist, die Eingabe von Sicherungsdaten fordern.

4. Anordnung nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß das Sicherheitssignal von der Sicherheitssteuereinheit (8) bereitgestellt wird.

5. Anordnung nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß die Sicherheitssteuereinheit (8) das Sperrsignal erzeugt, wenn kein Sicherheitssignal bereitge­ stellt ist und der Eingabemonitor (5) das Datenmuster der Sicherungsdaten in den Eingabedaten bestimmt hat.

6. Anordnung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß weiterhin eine Schleuseneinheit (30) zwischen Eingabeeinheit und Datenverarbeitungseinheit eingeschaltet ist, die von der Sicherheitssteuereinheit (8) über ein Freigabesignal steuerbar ist und die das Datenmuster der Eingabedaten verändern kann.

7. Anordnung nach Anspruch 6, dadurch gekennzeichnet, daß die Schleuseneinheit (30) die Eingabedaten unverändert an die Datenverarbeitungseinheit (3) weiterleitet, wenn von der Sicherheitssteuereinheit (8) der Lernmodus eingestellt ist.

8. Anordnung nach einem der Ansprüche 2 bis 7, dadurch gekennzeichnet, daß das Sicherheitssignal von der Sicher­ heitssteuereinheit (8) erzeugt und an den Eingabemonitor (5) geliefert wird.

9. Anordnung nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß der Eingabemonitor (5) und die Sicher­ heitssteuereinheit (8) als vertrauenswürdige Einheit (12) integriert sind, welche über eine Schnittstelle an herkömmliche Datenverarbeitungsanlagen anschließbar ist.

10. Verfahren zur Absicherung der Eingabe von Sicherungsda­ ten, die folgenden Schritte umfassend:

• - Abspeichern (23) des Datenmusters von Sicherungsdaten in einem Eingabemonitor;
• - Vergleichen (25) aller von einer Eingabeeinheit zu einer Datenverarbeitungseinheit gesendeten Eingabedaten mit dem gespeicherten Datenmuster im Eingabemonitor;
• - Abgabe eines Erkennungssignals vom Eingabemonitor an eine Sicherheitssteuereinheit, wenn beim Vergleichen das Datenmuster der Sicherungsdaten in den Eingabedaten erkannt wird.

11. Verfahren nach Anspruch 10, weiterhin die folgenden Schritte umfassend:

• - Generieren eines Sicherheitssignals, wenn berechtigte Entitäten (Einheiten bzw. Prozesse) die Eingabe von Sicherungsdaten fordern;
• - Generieren eines Sperrsignals (28), welches die weitere Verwendung der eingegebenen Sicherungsdaten unterbin­ det, wenn durch den Eingabemonitor das gespeicherte Datenmuster in den Eingabedaten erkannt wird und kein Sicherheitssignal anliegt.

12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß das Sperrsignal auch generiert wird, wenn das Sicher­ heitssignal nicht über den gesamten Zeitraum der Eingabe der Sicherheitsdaten angelegen hat.

13. Verfahren nach Anspruch 11 oder 12, dadurch gekennzeich­ net, daß das generierte Sperrsignal zum Sperren eines bestimmten Speicherbereichs genutzt wird, in welchem besonders zu sichernde Daten gespeichert sind.

14. Verfahren nach einem der Ansprüche 10 bis 13, dadurch gekennzeichnet, daß die beim Vergleichen der Datenmuster als Sicherungsdaten klassifizierten Eingabedaten vor der Einspeisung in die Datenverarbeitungseinheit nach einem vorgegebenen Muster verändert werden.

15. Verfahren nach einem der Ansprüche 11 bis 14, dadurch gekennzeichnet, daß beim Vorliegen des Sicherheitssignals überprüft wird, ob das Datenmuster der Eingabedaten dem gespeicherten Datenmuster entspricht und wenn keine Iden­ tität festgestellt wird, die Eingabedaten oder andere von den erwarteten Eingabedaten abhängige Daten unbrauchbar gemacht werden.

16. Verfahren nach Anspruch 15, dadurch gekennzeichnet, daß im Fall der Nicht-Übereinstimung zwischen dem Daten­ muster der Eingabedaten und dem gespeicherten Datenmuster die Eingabe der Sicherungsdaten für eine vorbestimmte Anzahl wiederholt werden kann, damit unbeabsichtigte Falscheingaben korrigierbar sind.

17. Verfahren nach Anspruch 15 oder 16, dadurch gekennzeich­ net, daß die Eingabedaten durch Falschdaten ersetzt werden, wenn eine Übereinstimmung des Datenmusters der Eingabedaten mit dem abgespeicherten Datenmuster der Sicherungsdaten besteht.

18. Verfahren nach Anspruch 15 oder 16, dadurch gekennzeich­ net, daß die Sicherungsdaten vor der Weiterleitung an die Datenverarbeitungseinheit (3) verschlüsselt werden.

19. Verfahren nach einem der Ansprüche 10 bis 18, dadurch gekennzeichnet, daß während des Abspeicherns des Daten­ musters im Eingabemonitor eine Verifikation durch mehrfa­ che Eingabe der Sicherungsdaten erfolgt.

20. Verfahren nach einem der Ansprüche 10 bis 19, dadurch gekennzeichnet, daß mehrere Datenmuster verschiedener Sicherungsdaten abgespeichert werden.

21. Verfahren nach einem der Ansprüche 11 bis 20, dadurch gekennzeichnet, daß die Eingabedaten vor der Weitergabe an die Datenverarbeitungseinheit (3) in einer Schleusen­ einheit (30) zwischengespeichert werden.

22. Verfahren nach Anspruch 21, dadurch gekennzeichnet, daß die Weitergabe der Eingabedaten von der Schleuseneinheit (30) zur Datenverarbeitungseinheit (3) verhindert wird, wenn das Sperrsignal vorliegt.