DE102004025084B4

DE102004025084B4 - Personen-Authentifizierungs-Vorrichtung und Personen-Authentifizierungs-System und Personen-Authentifizierungs-Verfahren

Info

Publication number: DE102004025084B4
Application number: DE102004025084A
Authority: DE
Inventors: Hsiang-Tsung Kung
Original assignee: Industrial Technology Research Institute ITRI
Current assignee: Industrial Technology Research Institute ITRI
Priority date: 2003-05-23
Filing date: 2004-05-21
Publication date: 2008-02-28
Anticipated expiration: 2024-05-22
Also published as: US20040250076A1; KR20040101085A; DE102004025084A1; JP2005050308A; JP4668551B2; US7694330B2; CN100377521C; CN1574740A

Abstract

Personen-Authentifizierungs-Vorrichtung (PAD), welche aufweist:
• mindestens ein Speichermedium zum Speichern von mindestens einem öffentlichen CA Schlüssel, wobei jeder öffentliche Schlüssel mit einer Zertifikations-Autorität (CA) assoziiert ist;
• ein oder mehrere Eingabemittel zum Empfangen von einem oder mehreren digitalen Zertifikaten, bei welcher das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweist, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm oder eine Information, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm anzeigt, aufweist;
• eine Bearbeitungskomponente zum Authentifizieren des einen oder der mehreren empfangenen digitalen Zertifikate unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssels und zum Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem einen oder den mehreren authentifizierten digitalen Zertifikaten; und
• ein Ausgabemittel zum Ausgeben des mindestens einen Dienst-Schlüssels.

Description

Diese Anmeldung beansprucht den Vorteil der U.S. Provisional Patent Anwendung Nr. 60/473,365 , welche am 23.Mai 2003 eingereicht wurde und der U.S. Patent Anwendung Nr. 10/609,586 , welche am 01.Juli 2003 eingereicht wurde, beide mit dem Titel "Personal Authentication Device and System and Method Thereof", welche beide durch Bezugnahme hierin inkorporiert sind.
Diese Erfindung betrifft im Allgemeinen eine digitale Authentifizierung, insbesondere eine Personen-Authentifizierungs-Vorrichtung, welche digitale Zertifikate verwendet.
Unter "Authentifizierung" versteht man im Allgemeinen den Bestimmungsprozess, dass eine Person, egal ob Er oder Sie, auch derjenige (diejenige) ist, für den er oder sie sich ausgibt. Flugreisende, zum Beispiel, authentifizieren sich am Flughafen dem entsprechenden Personal mittels Darlegens eines ein Foto enthaltenden Dokuments, welches den Namen des Reisenden aufweist, wie beispielsweise ein Führerschein oder ein Reisepass (ein "Zertifikat"), und mittels des Gesichts des Reisenden (ein "Credential"), welches mit dem Foto in dem Dokument verglichen werden kann. Bei diesem Beispiel kontrolliert ein Offizieller einer Fluglinie den Credential in Abhängigkeit von der Information auf dem Zertifikat und, wenn es übereinstimmt, ist der Reisende authentifiziert und berechtigt, an Bord des Flugzeuges zu gehen.
Der Begriff der "Authentifizierung" ist eng verwandt mit solchen Begriffen wie "Authorisation" und "Abrechnung" ("accounting"). Eine Person wird üblicherweise authentifiziert, bevor sie die Erlaubnis hat, einen Dienst in Anspruch zu nehmen, wohingegen die Abrechnung ausgeführt wird, nachdem der Service bereitgestellt wurde.
Eine Public-Key-Infrastruktur PKI ist eine Sicherheitsarchitektur, welche entwickelt wurde, um einen erhöhten Grad an Sicherheit zum elektronischen Austausch von Informationen über ein unsicheres Netzwerk bereitzustellen. Eine PKI kann viele unterschiedliche Elemente aufweisen, aber bezieht sich im Allgemeinen auf die Verfahren, Techniken und Vorrichtungen, welche zusammen eine sichere Infrastruktur bereitstellen. PKIs können verwendet werden, um den Sender oder den Empfänger von elektronischen Informationen zu authentifizieren und/oder zu authentifizieren, dass der Inhalt eines elektronischen Dokuments oder Nachricht nicht absichtlich verändert oder auf andere Weise modifiziert wurde. Eine PKI stellt im Allgemeinen Sicherheit unter Verwendung einer mathematischen Technik bereit, welche als Öffentliche-Schlüssel-Kryptografie bezeichnet wird. Öffentliche-Schlüssel-Kryptografie verwendet ein Paar von mathematisch verknüpften kryptografischen Schlüsseln, bezeichnet als der "private Schlüssel" (oder "geheime Schlüssel") und als der "öffentliche Schlüssel". Wenn ein Schlüssel verwendet wird, um eine Information zu verschlüsseln, dann kann nur der diesem Schlüssel entsprechende Schlüssel diese Information entschlüsseln. Wenn man einen dieser Schlüssel kennt, lässt sich nicht einfach berechnen, welcher der andere entsprechende ist. Da sie ihre Namen angeben, ist beabsichtigt, dass der private Schlüssel eindeutig mit einem Anwender assoziiert ist und daher geheim bleibt. Der öffentliche Schlüssel kann frei verteilt sein und jedem bekannt sein.
Öffentliche-Schlüssel-Verschlüsselung kann verwendet werden, um Informationen vertraulich zu versenden. Ein Versender kann beispielsweise eine Nachricht mit dem öffentlichen Schlüssel des Empfängers verschlüsseln, welchen der Versender vom Empfänger empfangen hat oder von einem öffentlichen Verzeichnis erhalten hat. Der Empfänger kann dann seinen privaten Schlüssel verwenden, um die Nachricht zu entschlüsseln.
"Digitale Zertifikate" und eine "Zertifikations-Autorität" (CA) können verwendet werden, um die Identität der Person, welche mit dem öffentlichen/privaten Schlüsselpaar assoziiert ist, zu authentifizieren. Eine CA ist eine vertrauenswürdige Einzelperson oder Organisation (öffentlich oder privat), welche digitale Zertifikate herausgibt, verwaltet und widerruft. Obwohl einige Anwendungen, wie beispielsweise, PGP, den Anwendern erlaubt, digitale Zertifikate selbst zu erzeugen, kann ein "vertrauenswürdigeres" digitales Zertifikat von einer echten CA erhalten werden.
Die CA kann das öffentliche/private Schlüsselpaar in dem digitalen Zertifikat erzeugen oder kann den öffentlichen Schlüssel eines Antragstellers (nachdem die CA die Identität des Antragstellers verifiziert hat) signieren. Die CA verifiziert die Credentials, welche von dem Zertifikats-Antragsteller bereitgestellt wurden und signiert digital das digitale Zertifikat mit dem privaten Schlüssel der CA, nachdem die CA die Identität des Antragstellers validiert hat.
Eine digital signierte Nachricht oder Zertifikat kann mittels Bestimmens, ob die digitale Signatur auf der Nachricht oder dem Zertifikat gültig ist, authentifiziert werden. Der Versender kann, wenn er eine signierte Nachricht sendet, seinen öffentlichen Schlüssel ebenfalls, einzeln oder in einem digitalen Zertifikat enthalten, senden. Ein signiertes Zertifikat wird auch die Identität der CA zu erkennen geben, welche das digitale Zertifikat ausgegeben hat. Der Antragsteller einer digital signierten Nachricht oder Zertifikat kann den öffentlichen Schlüssel, welcher mit dem Signierer assoziiert ist, ebenso wie andere Informationen in dem digitalen Zertifikat verwenden, um zu ermitteln, ob die Signatur gültig ist.
Bei herkömmlichen elektronischen Authentifizierungs-Systemen erfordert die Authentifizierung der digitalen Zertifikate oftmals eine Netzwerkverbindung zwischen einem Authentifizierungs-Server (wie beispielsweise der Server der CA, welche ein digitales Zertifikat ausgestellt hat) und der Einzelperson, welche den Wunsch hat, ein Dokument zu authentifizieren (oder dem Knoten der Vorrichtung, an welchem die Einzelperson lokalisiert ist).
In der US 2002/00 26 578 A1 wird eine Vorrichtung und ein Verfahren zur sicheren Verwendung von digitalen Zertifikaten und den zugehörigen Schlüsseln mittels eines Sicherheits-Tokens offenbart. Dabei wird einmalig ein Stammzertifikat einer CA importiert und der in dem Zertifikat gespeicherte öffentliche Schlüssel der CA wird extrahiert und gespeichert. Anschließend können Benutzerzertifikate importiert werden, deren Echtheit mit dem gespeicherten öffentlichen Schlüssel der CA überprüft werden. Kann die Echtheit der Benutzerzertifikate bestätigt werden, wird der in dem Benutzerzertifikat enthaltene öffentliche Schlüssel extrahiert und ebenfalls in dem Sicherheits-Token gespeichert. Die einzelnen gespeicherten öffentlichen Schlüssel können bei Bedarf ausgegeben werden.
Um ein digitales Zertifikat, einen Anwender oder eine Vorrichtung unter Verwendung herkömmlicher Authentifizierungs-Dienste zu authentifizieren, muss sich eine Person typischerweise über ein Netzwerk an einen Authentifizierungs-Server anschließen, welcher dann die Authentifizierung an dem Netzwerkserver durchführt. Fehlerhaft unterbrochene oder ungesicherte Netzwerk- und Serverzustände, wie beispielsweise ein Netzwerk oder Server unter denial-of-service-Angriffen, können unerwünscht in einer fehlerhaften oder verfehlten Authentifizierung resultieren.
Es gibt deshalb gemäß dem Stand der Technik einen generellen Bedarf für eine Authentifizierungs-Vorrichtung und ein Verfahren, welches zumindest die oben genannten Mängel des Stands der Technik bewältigt. Ein besonderer Bedarf an einer Authentifizierungs-Vorrichtung und einem Verfahren existiert im Stand der Technik, um die Nachteile bei der Authentifizierung über Netzwerke bei fehlerhaften Netzwerk- und Serverzuständen zu bewältigen.
Ein Ausführungsbeispiel gemäß dieser Erfindung ist auf eine Personen-Authentifizierungs-Vorrichtung, ein Verfahren und ein System gerichtet, welches eines oder mehrere der Probleme infolge von den Beschränkungen und Nachteilen des Stands der Technik umgeht.
Um diese und andere Vorteile zu erhalten, welche gemäß dem Zweck der Erfindung ausführlich beschrieben werden, wird in der Erfindung eine Personen-Authentifizierungs-Vorrichtung (PAD) bereitgestellt, welche mindestens ein Speichermedium zum Speichern mindestens eines öffentlichen CA Schlüssels, wobei jeder öffentliche Schlüssel mit einer Zertifikations-Autorität (CA) assoziiert ist, aufweist. Die PAD weist auch ein oder mehrere Eingabeeinrichtungen zum Empfang von einem oder mehreren digitalen Zertifikaten auf, bei welchen das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweist, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm oder Informationen, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm anzeigen, aufweisen. Eine Bearbeitungskomponente authentifiziert das eine oder die mehreren empfangenen digitalen Zertifikate unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssel, und erzeugt mindestens einen Dienst-Schlüssel, welcher auf einem oder mehreren digitalen Zertifikaten basiert. Eine Ausgabeeinrichtung gibt den mindestens einen Dienst-Schlüssel aus.
Ferner wird ein Authentifizierungs-Verfahren bereitgestellt. Mindestens ein öffentlicher CA Schlüssel, wobei jeder öffentliche Schlüssel mit einer Zertifikations-Autorität (CA) assoziiert ist, wird auf einer Personen-Authentifizierungs-Vorrichtung (PAD) gespeichert. Ein digitales Zertifikat oder mehrere digitale Zertifikate, bei welchen das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweisen, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm oder eine Information, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm anzeigt, aufweist, werden von der PAD empfangen. Das eine oder die mehreren empfangenen digitalen Zertifikate werden unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssel authentifiziert. Mindestens ein Dienst-Schlüssel wird auf Grundlage des einen oder der mehreren authentifizierten digitalen Zertifikate erzeugt und mittels des PAD ausgegeben.
Die anhängenden Figuren, welche ein Bestandteil dieser Erfindung sind, stellen unterschiedliche Ausführungsbeispiele der Erfindung dar, und mittels der ausführlichen Beschreibung sind die Prinzipien dieser Erfindung leicht verständlich.
Es zeigen:
1 ein Blockdiagramm einer Personen-Authentifierungs-Vorrichtung (PAD) gemäß den Prinzipien dieser Erfindung;
2 ein Flussdiagramm, welches ein exemplarisches Verfahren der Authentifizierung gemäß den Prinzipien dieser Erfindung zeigt; und
3 ein Flussdiagramm, welches die Schritte eines exemplarischen Verfahrens zum Verwenden des einen oder der mehreren digitalen Zertifikate, welche bei Schritt 215 der 2 empfangen werden, gemäß den Prinzipien dieser Erfindung darstellt.
Bezug wird nun in Detail auf die Ausführungsbeispiele dieser Erfindung genommen, Beispiele, welche mit Bezug auf die anhängenden Figuren dargestellt werden. Wenn immer möglich, werden überall in den Figuren gleiche Bezugszeichen verwendet, um sich auf die gleichen oder ähnlichen Elemente zu beziehen.
Verfahren und Systeme, welche mit dieser Erfindung konsistent sind, stellen ein Authentifizierungs-System bereit, welches ein umfangreiches Gebiet von Anwendungen unterstützen kann. Bestimmte Verfahren und Systeme, welche mit dieser Erfindung konsistent sind, stellen ein Authentifizierungs-System bereit, welches "nicht im Netz" (offline) verwendet werden kann, d.h., ohne eine Netzwerkverbindung zur Authentifizierung zu benötigen. Diese Erfindung stellt weiter eine Authentifizierungs-Vorrichtung bereit, dessen genauer Betrieb flexibel sein kann und mittels der digitalen Zertifikate, welche die Authentifizierungs-Vorrichtung während des Betriebs empfängt, bestimmt wird. Diese Erfindung stellt ferner eine Authentifizierungs-Vorrichtung bereit, welches einen Dienst-Schlüssel ausgibt, der in Abhängigkeit von der Anwendung verwendet werden kann, um einen Zugang zu einem kontrollierten Raum oder zu einer anderen Instanz zu erhalten.
1 ist ein Blockdiagramm einer Personen-Authentifizierungs-Vorrichtung (PAD), welche konsistent mit den Prinzipien dieser Erfindung ist. Wie gezeigt in 1, weist eine PAD 100, welche konsistent mit dieser Erfindung ist, einen Prozessor 110 und einen Speicher 120 auf, welche beide mittels eines Bus 125 operativ miteinander gekoppelt sind. Der Prozessor 110 kann eine oder mehrere Bearbeitungsvorrichtungen repräsentieren, welche konfiguriert sind, um die Software auszuführen und um bestimmte Authentifizierungs-Prozesse, welche konsistent mit den bestimmten Aspekten dieser Erfindung sind, durchzuführen. Der Speicher 120 kann eine oder mehrere Speichervorrichtungen sein, welche sowohl die Daten als auch die Software und den Steuerungscode speichern, welche mittels des Prozessors und anderer Hardware auf der PAD verwendet und/oder ausgeführt werden. Obwohl ein einziger Speicher 120 gezeigt wird, kann der Speicher 120 eine beliebige Anzahl an Speichern aufweisen. Der Speicher 120 kann zum Beispiel einen oder mehrere Speicher aufweisen, welche Softwarekomponenten speichern, die einen oder mehrere Authentifizierungs-Prozesse durchführen, wenn sie vom Prozessor 110 ausgeführt werden. Der Speicher 120 kann auch einen oder mehrere der RAM, ROM, magnetische und optische Speicher, organische Speicher, Audioscheiben und Videoscheiben aufweisen.
Wie gezeigt in 1, kann der Speicher 120 einen privaten PAD Schlüssel (PAD Schlüssel 122) und einen oder mehrere öffentliche CA Schlüssel (CA Schlüssel₁ 124, CA Schlüssel₂ 126, ..., CA Schlüssel_N 128) speichern. In bestimmten Ausführungsbeispielen ist der PAD Schlüssel 122 der private Schlüssel eines Paares von mathematisch ähnlichen kryptografischen Schlüsseln, welche unter Verwendung der öffentlichen Schlüssel-Kryptografie erzeugt werden welche mit PAD 100 assoziiert sind. Jeder der CA Schlüssel_1-N kann der öffentliche Schlüssel eines Paares von mathematisch verknüpften kryptografischen Schlüsseln sein, welche unter Verwendung der öffentlichen Schlüssel-Kryptografie erzeugt wurden, und wobei jedes der Paare von Schlüsseln mit einem jeweiligen CA 1-N assoziiert ist.
PAD 100 kann optional einen privaten PAD Schlüssel (PAD Schlüssel 122) aufweisen. PAD Schlüssel 122 ist eindeutig mit einem PAD oder einer Gruppe von PADs unter der gleichen Verwaltung assoziiert. Während der korrespondierende öffentliche Schlüssel jedem bekannt sein kann, ist PAD 122 geheimer, welcher den Anwendern nicht bekannt ist. In bestimmten Ausführungsbeispielen werden Hardware- und Softwaremittel bereitgestellt, um den PAD Schlüssel 122 vor Auslesen von außerhalb der PAD 100 zu schützen. PAD 100 kann zum Beispiel PAD Schlüssel 122 verwenden, um PAD 100 gegenüber einem Anwender zu authentifizieren, um einen Dienst-Schlüssel zu signieren, welchen PAD 100 ausgibt und um den Inhalt eines empfangenen digitalen Zertifikats zu entschlüsseln, welches mit dem entsprechenden öffentlichen Schlüssel von PAD 100 verschlüsselt ist.
In mindestens einem Ausführungsbeispiel sind der PAD Schlüssel 122 und/oder die CA Schlüssel_1-N 124, 126, 128 nicht wieder beschreibbar. In diesem Beispiel werden diese Schlüssel nur einmal in die PAD 100 geschrieben. Der PAD Schlüssel 122 und/oder die CA Schlüssel_1-N können zum Beispiel während des Herstellungsprozesses einmal in den Speicher gebrannt werden. In mindestens einem Ausführungsbeispiel können der PAD Schlüssel 122 und/oder die CA Schlüssel_1-N zwar nicht wieder beschrieben werden, aber sie können von außerhalb der PAD 100 in den Speicher eingelesen werden.
In bestimmten Ausführungsbeispielen kann PAD 100 auch eine PAD Seriennummer 121 aufweisen, welche eine eindeutige Nummer sein kann, welche mit der PAD 100 assoziiert ist. Die PAD Seriennummer 121 kann zum Beispiel in dem Speicher 120 gespeichert sein und kann auch während des Herstellungsprozesses einmal in den Speicher eingebrannt werden oder kann in den Speicher von außerhalb der PAD 100 in solcher Weise eingelesen werden, dass die PAD Seriennummer nur einmal geschrieben wird. In bestimmten Ausführungsbeispielen kann die PAD Seriennummer 121 zum Erzeugen der Dienst-Schlüssel verwendet werden. In einigen Ausführungsbeispielen kann die PAD Seriennummer 121 mit den Dienst-Schlüsseln assoziiert sein, welche mittels der entsprechenden PAD 100 in solch einer Art erzeugt wurden, dass es möglich sein kann zu bestimmen, welche PAD 100 den Dienst-Schlüssel erzeugte.
Die PAD 100 kann auch optional einen Zufallszahlen-Generator (RNG) 130 (oder einen Pseudo-Zufallszahlen-Gnerator) aufweisen. RNG 130 (oder ein Pseudo-Zufallsnummer-Generator) kann zum Beispiel verwendet werden, um Sitzungs-Schlüssel oder andere Parameter, welche bei dem Authentifizierungs-, Authorisierungs- und Abrechnungs-Prozesses verwendet werden, zu erzeugen. RNG 130 (oder ein Pseudo-Zufallsnummer-Generator) kann zum Beispiel verwendet werden, um in einem Aufforderungs- und Antwortprotokoll (response protcol) Zufalls-(oder Pseudo-Zufalls-)Sitzungs-Schlüssel zu erzeugen. RNG 130 kann überdies verwendet werden, um Zufalls-(oder Pseudo-Zufalls)Einmal-Schlüssel zu erzeugen. In bestimmten Ausführungsbeispielen kann PAD 100 einen Einmal-Schlüssel zur Erzeugung eines Cookies, welches ein bestimmter Typ des Dienst-Schlüssels ist, verwenden. PAD 100 kann den Einmal-Schlüssel in Speicher 120 speichern. Nachdem ein Cookie von PAD 100 empfangen wurde, kann ein Anwender den Cookie in Verbindung mit einer zukünftigen Dienst-Anfrage der PAD 100 vorlegen. Basierend auf dem gespeicherten Einmal-Schlüssel, wird PAD 100 den vorgelegten Cookie validieren. Wenn die Bestätigung des Cookies erfolgreich ist, kann PAD 100 den Dienst genehmigen. Wenn der Dienst genehmigt ist, kann PAD 100 den Einmal-Schlüssel, welcher im Speicher 120 gespeichert ist, annullieren, so dass PAD 100 nicht in der Lage sein wird, zukünftig den gleichen Cookie zu validieren, wodurch die Wiedergabe des gleichen Cookies verhindert wird.
Dieser Cookie-Mechanismus kann bei einer Vielzahl von verschiedenen Anwendungen hilfreich sein. In einem exemplarischen Ausführungsbeispiel, wie beispielsweise ein Digitales-Rechte-Verwaltungs-System (Digital Rights Management System) (DRM), kann PAD 100 in eine Cookie-Benutzungs-Information hinein schreiben, welche zum Beispiel beschreiben kann, wie oft der assoziierte Inhalt verwendet werden kann oder verwendet worden ist. Um eine neue Benutzung des Inhalts zu aktivieren, muss PAD 100 einen Cookie empfangen, welcher den Cookie-Validierungs-Prozess passieren kann. Wenn der empfangene Cookie validiert ist und wenn die Benutzungszähler in den empfangenen Cookie eine spezifizierte Grenze nicht übersteigt, kann PAD 100 die Einmal-Verwendung des Inhalts genehmigen und kann den Einmal-Schlüssel, welcher im Speicher 120 gespeichert ist, annullieren. In bestimmten Ausführungsbeispielen kann PAD 100 einen neuen Cookie erzeugen, welcher zum Beispiel einen neuen Einmal-Schlüssel aufweist. In dem neuen Cookie können die Benutzungszähler angehoben werden, um die genehmigte Benutzung wiederzuspiegeln, welche aufgetreten ist, seitdem der Cookie empfangen wurde und der neue Cookie kann dem Anwender übermittelt werden. Dieser Typ von Cookie basiertem Schema kann auch verwendet werden, um die Verwendungen von mehreren Teilen des Inhalts simultan zu verfolgen, wobei zum Beispiel jeder Cookie alle jeweiligen Benutzungszähler aufgezeichnet hat.
PAD 100 kann optional eine Uhr 132 aufweisen, welche zum Beispiel verwendet werden kann zur Bestimmung, ob das aktuelle Datum und die aktuelle Zeit sich innerhalb der Gültigkeitsperiode der digitalen Zertifikate befinden oder nicht, und zum Erzeugen von Zeitstempeln, welche in die Dienst-Schlüssel enthalten sind, die von PAD 100 erzeugt werden. Eine Zeitstempel auf einem Dienst-Schlüssel kann zum Beispiel helfen, zu bestimmen, ob der Dienst-Schlüssel zu alt ist oder ob die Uhr 132 abgewichen ist. Wenn irgendeiner dieser Fälle wahr ist, dann kann es ein Dienstanbieter (service provider) vorziehen, den Dienst-Schlüssel nicht anzuerkennen. Außerdem kann eine Uhr 132 zum Beispiel verwendet werden zum Bestimmen, ob ein oder mehrere Rechte auf den digitalen Inhalt in einem DRM-System abgelaufen sind oder nicht.
PAD 100 kann optional einen oder mehrere Timer 133 aufweisen, welche zum Beispiel verwendet werden können zum Bestimmen, ob der digitale Inhalt in einem DRM-System verwendet oder innerhalb einer genehmigten Benutzungsperiode darauf zugegriffen wird oder nicht. Die Timer 133 können zum Beispiel auch verwendet werden zum Bestimmen der Zeit, welche vergangen ist, seitdem ein Timer zurückgesetzt wurde.
PAD 100 kann optional einen oder mehrere Zähler 134 aufweisen, welche zum Beispiel verwendet werden können zum Bestimmen, ob sich der digitale Inhalt in einem DRM-System innerhalb einer erlaubten Benutzungsanzahl befindet oder nicht. Zähler können zum Beispiel auch verwendet werden zum Bestimmen, wie oft ein Ereignis aufgetreten ist, seitdem ein Zähler zurückgesetzt wurde.
In bestimmten Ausführungsbeispielen sind eine oder mehrere der Komponenten von PAD 100, oder PAD 100 selbst, manipulationssicher. Eine Komponente oder eine Vorrichtung ist für den Zweck dieser Anmeldung manipulationssicher, wenn die Komponente oder die Vorrichtung vor unauthorisiertem Zugriff mittels Techniken, welche unauthorisierten Zugriff unmöglich oder schwierig machen, geschützt wird. Techniken, welche eine Komponente oder eine Vorrichtung manipulationssicher machen, können verschieden sein, in Abhängigkeit, ob die Komponente in der Hardware oder in der Software implementiert ist. Eine Hardwarekomponente, zum Beispiel, welche manipulationssicher ist, kann unter Verwendung von Materialien, die nicht körperlich geöffnet oder betreten werden können, konstruiert werden. Die Manipulationssicherheit von elektronischen Daten kann mittels Speicherns der Daten in solch einer Weise erreicht werden, dass sie ohne Authorisation nicht gelesen, verändert oder gelöscht werden können. In bestimmten Ausführungsbeispielen dieser Erfindung wird der PAD Schlüssel 122 mittels solcher manipulationssicheren Techniken geschützt, um zu verhindern, dass er von außerhalb der PAD 100 gelesen werden kann.
In Ausführungsbeispielen gemäß dieser Erfindung, weist PAD 100 entweder eine Eingabeeinrichtung auf oder, wie in 1 gezeigt, ist PAD 100 operativ an eine Eingabeeinrichtung, wie beispielsweise, Eingabeeinrichtung 140, gekoppelt. Die Eingabeeinrichtung 140 kann irgendeine Einrichtung sein, welche zum Empfangen von Informationen und zum Umwandeln dieser in digitale Informationen für die Verwendung mittels PAD 100 eingerichtet ist. Die Eingabeeinrichtung 140 kann zum Beispiel eine Tastatur oder eine Teil-Tastatur (key pad), ein Kartenleser, eine USB-Vorrichtung, ein Fingerabdruck-Leser oder andere Biometrie-Leser, eine Kamera, ein Scanner, eine CD/DVD Leser, ein Handset oder eine Handheld-Vorrichtung, ein persönlicher digitaler Assistent (personal digital assistant (PDA)), ein Drahtlos-Schnittstelle, ein Personalcomputer und/oder eine Internetverbindung sein. Die Eingabeeinrichtung 140 kann zum Beispiel verwendet werden, um digitale Zertifikatinformationen von einer Chipkarte (Smartcard), einer Magnetstreifenkarte oder einem gedrucktem Dokument zu lesen. Die Eingabeeinrichtung 140 kann zum Beispiel auch verwendet werden, um Anwender-Identifikations-Informationen, wie beispielsweise PINs, Passwörter, Fingerabdrücke, Netzhautmuster oder andere biometrische Informationen zu empfangen. Die Verbindung 115 kann jeden Typ von Verbindung sein, durch welche die digitalen Daten hindurch gehen können, wie beispielsweise unter anderem ein Bus oder eine Drahtlos-Verbindung.
In Ausführungsbeispielen gemäß dieser Erfindung weist PAD 100 entweder eine Ausgabeeinrichtung auf oder, wie in 1 gezeigt, ist PAD 100 operativ an eine Ausgabeeinrichtung, wie beispielsweise die Ausgabeeinrichtung 150, gekoppelt. Die Ausgabeeinrichtung 150 kann irgendeine Einrichtung sein, welche eingerichtet ist, einen Dienst-Schlüssel an andere Vorrichtungen, wie beispielsweise, ein Bildschirm, ein Drucker, ein Kartenleser, eine USB-Vorrichtung, ein CD/DVD Schreiber, ein Türschloss, ein Handset oder eine Handheld-Vorrichtung, ein persönlicher digitaler Assistent (PDA), ein Personalcomputer, ein Server und/oder eine Internetverbindung auszugeben. Die Ausgabeeinrichtung 150 kann zum Beispiel verwendet werden, um einen Dienst-Schlüssel an ein Türschloss zum Öffnen der Tür, an einen Drucker zum Ausdrucken eines Dienst-Coupons oder an einen Bildschirm zum Angeben einer Dienstnummer auszugeben. Die Ausgabeeinrichtung 150 kann zum Beispiel auch verwendet werden, um einen Dienst-Schlüssel auf einer tragbaren Speichervorrichtung, wie beispielsweise, eine Chipkarte, eine Magnetstreifenkarte, oder eine andere tragbare Speichervorrichtung zu speichern. In einigen Ausführungsbeispielen kann die Ausgabeeinrichtung 150 eine Einrichtung sein, welche zum drahtlosen Übertragen des Dienst-Schlüssels an einen Dienst-Schlüssel-Empfänger, wie beispielsweise ein elektronisches Türschloss, eingerichtet ist. Die Verbindung 117 kann irgendein Typ von Verbindung sein, durch welche die digitalen Daten hindurch gehen können, wie beispielsweise, unter anderem ein Bus oder eine Drahtlos-Verbindung.
In einem exemplarischen Ausführungsbeispiel kann der Betrieb der augenblicklichen Erfindung konsistent mit den Schritten, welche in dem Flussdiagramm der 2 dargestellt sind, sein. Es sollte jedoch so verstanden werden, dass andere alternative Verfahrensschritte angewendet werden können und sogar mit dem Verfahren, welches in 2 dargestellt ist, kann der teilweise Ablauf der Ereignisse variieren, ohne vom Schutzumfang dieser Erfindung abzuweichen. Ferner können bestimmte Schritte nicht vorhanden sein und zusätzliche Schritte können hinzugefügt sein, ohne von dem Schutzumfang und dem Gedanken der Erfindung, wie er beansprucht ist, abzuweichen.
Wie gezeigt in 2, kann der Authentifizierungs-Prozess mit dem Wunsch des Anwenders, die PAD 100 zu authentifizieren, beginnen. Vor der Benutzung der PAD kann ein Anwender zum Beispiel wünschen, zu ermitteln, dass der Anwender die korrekte physikalische Vorrichtung hat oder zu überprüfen, dass die PAD 100 mit einem bestimmten privaten Schlüssel assoziiert ist (auch bezeichnet als "Besitznachweis"-Test ("proof of possession")). Ein Anwender kann PAD 100 zum Beispiel mittels Eingabe einer PAD Authentifizierungs-Anfrage (Schritt 205) authentifizieren. Ein PAD Anwender kann, wie in 1 gezeigt, eine PAD Authentifizierungs-Anfrage mittels der Eingabeeinrichtung 140 eingeben.
Die PAD Authentifizierungs-Anfrage kann zum Beispiel ein Aufforderungs- und Antwortprotokoll enthalten, wobei der Anwender der PAD 100 zum Beispiel einen zufällig ausgewählten Wert vorlegt, welcher mit dem dem PAD Schlüssel 122 korrespondierenden öffentlichen Schlüssel verschlüsselt wurde, und PAD 100 auffordert, den Wert zu entschlüsseln. Eine PAD mit dem richtigen PAD Schlüssel 122 wird in der Lage sein, erfolgreich auf die Aufforderung zu reagieren. In diesem Fall ist PAD 100 gegenüber dem Anwender authentifiziert.
Wenn PAD 100 eine übermäßige Anzahl an PAD Authentifizierungs-Anfragen empfängt, kann PAD 100 versuchen zu bestimmen, ob diese Anfragen einen Angriff darstellen (Schritt 211), was zum Beispiel ein Versuch sein könnte, den privaten PAD Schlüssel (PAD Schlüssel 122) zu erraten. PAD 100 kann die Vorrichtung funktionsunfähig machen (Schritt 212), wenn es ermittelt, dass es einen Angriff gibt. PAD 100 kann zum Beispiel eine bestimmte Anzahl an PAD Authentifizierungs-Anfragen in einer gegebenen Zeitperiode erlauben, bevor alle zukünftigen Verwendungen der Vorrichtung geblockt werden.
Wenn PAD 100 authentifiziert ist (Schritt 210), können ein oder mehrere digitale Zertifikate in die PAD 100 eingeben werden. Herkömmliche digitale Zertifikate, wie beispielsweise solche, die mit dem ITU (= International Telecommunication Union)(IETF: = Internet Engeneering Task Force) Standard X.509 v3, welcher die digitalen Zertifikate verwaltet, konform sind, weisen typischerweise digitale Zertifikat-Informationen, wie beispielsweise den Namen des Zertifikateigentümers, einen öffentlichen Schlüssel, welcher mit dem Zertifikateigentümer assoziiert ist, ein Gültigkeitsdatum des Zertifikats, den Namen der CA, welche das digitale Zertifikat ausgestellt hat, die Aktivitäten, zu denen die Schlüssel verwendet werden können und das Verfahren, welches die CA verwendet hat, um das digitale Zertifikat zu signieren (z.B. RSA (= Rivest-Shamir-Adleman Kryptosystem)).
In bestimmten Ausführungsbeispielen können digitale Zertifikate auch andere Informationen zusätzlich zu diesen oder anstelle dieser, welche in herkömmlichen digitalen Zertifikaten gefunden werden, aufweisen. Die digitalen Zertifikate können zum Beispiel Informationen aufweisen, welche verwendet werden können, um die Uhr, die Timer oder die Zähler von der PAD zurückzusetzen. In einigen Ausführungsbeispielen können digitale Zertifikate einen Inhalts-Entschlüsselungs-Schlüssel und/oder Beschreibungen von einem Rechte-Inhalt aufweisen, welche die PAD überprüft, bevor der Inhalts-Entschlüsselungs-Schlüssels als ein Dienst-Schlüssel ausgegeben wird. In bestimmten Ausführungsbeispielen können die digitalen Zertifikate andere Digitale-Rechte-Verwaltungs-Informationen aufweisen, welche die Beschränkungen bei einer Inhalts-Ablaufzeit, bei einer Inhalts-Benutzungsperiode und/oder bei einer Inhalts-Benutzungshäufigkeit beschreiben oder definieren.
Digitale Zertifikate und digitale Zertifikat-Informationen können mittels der signierenden CA erzeugt worden sein oder die Informationen in einem digitalen Zertifikat können mittels dritter (einschließlich des Zertifikateigentümers) erzeugt worden sein und wurden von der CA signiert. In vielen Fällen verifiziert die CA die Credentials, welche von dem Zertifikateigentümer bereitgestellt wurden und nachdem die Identität des Zertifikateigentümers validiert wurde, signiert die CA digital das digitale Zertifikat mit dem privaten CA Schlüssel.
Digitale Zertifikate und digitale Zertifikat-Informationen können auf viele verschiedene Weisen, welche dem Fachmann bekannt sind, in PAD 100 eingeben werden. Die digitalen Zertifikate können zum Beispiel auf einem physikalischen Medium, wie beispielsweise auf einem Papier, Karte oder Chip gespeichert werden und die digitalen Zertifikat-Informationen, welche auf einem physikalischen Medium gespeichert sind, können in PAD 100 zum Beispiel mittels Lesen der Informationen von dem physikalischen Medium unter Verwendung einer Eingabeeinrichtung, wie beispielsweise ein Scanner, ein Kartenleser oder andere Eingabeeinrichtungen eingegeben werden. Die Eingabeeinrichtung kann von PAD 100 getrennt sein und zum elektronischen Bereitstellen von Daten, entweder über physikalische Verbindung oder drahtlos, zur PAD 100 eingerichtet sein. In bestimmten Ausführungsbeispielen können digitale Zertifikate und digitale Zertifikat-Informationen in die PAD 100 zum Beispiel von einer anderen Vorrichtung oder von einem Computer über Internet oder von einer anderen Netzwerkverbindung eingegeben werden. In anderen Ausführungsbeispielen werden die digitalen Zertifikat-Informationen in PAD 100 zum Beispiel unter Verwendung einer Tastatur, einer Maus, einer Anwenderschnittstelle oder einer anderen herkömmlichen Eingabeeinrichtung eingegeben.
In bestimmten Ausführungsbeispielen werden alle digitalen Zertifikat-Informationen empfangen oder sind lokal verfügbar und alle Authentifizierungs-Operationen können bei PAD 100 ausgeführt werden, ohne dass Internet oder Netzwerkverbindungen erforderlich sind.
Ein oder mehrere der digitalen Zertifikate, welche bei Schritt 215 empfangen werden, können bei Schritt 220 authentifiziert werden. Die Authentifizierung von digitalen Zertifikaten kann zum Beispiel die Überprüfung, ob das digitale Zertifikat noch gültig ist, enthalten. Wie oben beschrieben, kann ein digitales Zertifikat Informationen, welche die Gültigkeitsperiode angeben, aufweisen. Wenn dem so ist, kann der Authentifizierungs-Prozess die Überprüfung des aktuellen Datums und der Zeit (welche zum Beispiel mittels der Uhr 132 erhalten werden kann) gegenüber der Gültigkeitsperiode des digitalen Zertifikats enthalten.
Zusätzlich können die digitalen Zertifikate mittels einer erteilenden CA unter Verwendung des privaten CA Schlüssel signiert werden. In diesem Beispiel können das eine oder die mehreren digitalen Zertifikate unter Verwendung des korrespondierenden gespeicherten öffentlichen CA Schlüssels authentifiziert werden. Ein anderes exemplarisches Verfahren zum Authentifizieren und Verwenden von digitalen Zertifikaten, welches gemäß dieser Erfindung ist, wird weiter unten im Detail mit Bezug auf 3 beschrieben.
Wenn das eine oder die mehreren digitalen Zertifikate nicht authentifiziert sind (Schritt 275), kann PAD 100 optional eine Fehlermeldung an den Anwender zurückschicken und den Betrieb unterlassen. Alternativ kann PAD 100 lediglich den Betrieb unterlassen, ohne dem Anwender eine Fehlermeldung bereitzustellen.
Wenn das ein oder die mehreren digitalen Zertifikate authentifiziert sind (Schritt 275), können die Informationen, welche in PAD 100 gespeichert sind und mit dem einen oder den mehreren digitalen Zertifikaten assoziiert sind, verwendet werden, um einen Dienst-Schlüssel (Schritt 280) zu erzeugen. Ein oder mehrere Dienst-Schlüssel-Erzeugungs-Programme können zum Beispiel auf PAD 100 gespeichert werden und die Informationen in dem einen oder den mehreren digitalen Zertifikaten können das bestimmte Dienst-Schlüssel-Erzeugungs-Programm und die dazu zuverwendenden Parameter angeben. In einigen Ausführungsbeispielen kann das Dienst-Schlüssel-Erzeugungs-Programm mittels des einen oder der mehreren digitalen Zertifikate der PAD 100 bereitgestellt werden. In einem anderen Ausführungsbeispiel können das eine oder die mehreren digitalen Zertifikate ein oder mehrere Dienst-Schlüssel-Erzeugungs-Programme angeben und, woher diese erhalten werden können, wobei jedoch das Dienst-Schlüssel-Erzeugungs-Programm mittels der Eingabeeinrichtung 140 erhalten werden kann. In bestimmten Ausführungsbeispielen kann der Dienst-Schlüssel unter Verwendung des privaten PAD Schlüssels 122 digital signiert werden.
Bei Schritt 285 kann der Dienst-Schlüssel zum Beispiel unter Verwendung von Ausgabeeinrichtung 150 der 1 ausgegeben werden. Der ausgegebene Dienst-Schlüssel kann viele Formen annehmen. Der Dienst-Schlüssel kann zum Beispiel einem Drucker oder einer Anzeigevorrichtung zum späteren Gebrauch durch den Anwender ausgegeben werden. In bestimmten Ausführungsbeispielen kann der Dienst-Schlüssel elektronisch oder drahtlos einer Schlüsselvorrichtung übertragen werden, wo er dann permanent oder temporär gespeichert werden kann. In einigen Ausführungsbeispielen, wie beispielsweise einem elektronischen Türschlossbeispiel, kann der Dienst-Schlüssel in einem Signal enthalten sein und drahtlos einem Schlüssel-Empfänger, welcher sich in einer Tür befindet, übertragen und zum Aufschließen der Tür verwendet werden.
3 stellt die Schritte eines exemplarischen Verfahrens zum Verwenden von dem einen oder den mehreren digitalen Zertifikaten dar, welche bei Schritt 215 der 2 empfangen wurden. Wie gezeigt in 3, werden ein oder mehrere digitale Zertifikate in PAD 100 eingegeben (Schritt 310). Das eine oder die mehreren digitalen Zertifikate können verschiedenartige Informationen aufweisen, welche zum Authentifizieren des Anwenders und zum Erzeugen eines Dienst-Schlüssels verwendet werden.
Das eine oder die mehreren digitalen Zertifikate können zum Beispiel Informationen aufweisen, welche den Anwender identifizieren, wie beispielsweise den Namen des Anwenders, seine Adresse, seine Email-Adresse, sein Geburtsdatum, seine Sozialversicherungsnummer, seine Kreditkartennummer oder andere Informationen, welche den Anwender identifizieren können. Ein digitales Zertifikat, welches die Informationen zur Identifikation des Anwenders aufweist, wird hierin als "Anwender-Identifikations-Zertifikat" bezeichnet. Die Menge der Anwender identifizierenden Informationen, welche mittels eines digitalen Zertifikats bereitgestellt werden, kann zum Beispiel in Abhängigkeit von den Anforderungen an die Anwendung variieren. Bei einer Eincheck-Anwendung einer Fluggesellschaft zum Beispiel, kann die Fluggesellschaft verlangen, dass der Anwender seinen Namen, seine Adresse, sein Geburtsdatum oder andere Informationen bereitstellt. Eine Anwendung bezüglich eines Hotelschlüssels kann jedoch weniger Informationen erfordern.
Ein oder mehrere digitale Zertifikate können Anwender-Qualifikations-Informationen bereitstellen, welche derartige Informationen sind, die angeben, dass ein Anwender "qualifiziert" oder berechtigt ist, Zugang zu bestimmten Diensten zu empfangen. Bei einer Eincheck-Anwendung einer Fluggesellschaft zum Beispiel, können Anwender-Qualifikations-Informationen Informationen aufweisen, welche angeben, dass ein Anwender jemand ist, der regelmäßig fliegt oder ein Mitglied eines Clubs einer Fluggesellschaft ist, welcher dem Fluggast gestattet, eine bestimmte Lounge zu benutzen. Bei einer Hotelschlüssel Anwendung zum Beispiel, können die Anwender-Qualifikations-Informationen Informationen aufweisen, welche angeben, dass einem Hotelangestellten, der die Reinigung durchführt, nur während den Geschäftszeiten den Zugang zu jedem Raum gewährt ist.
Andere digitale Zertifikate, gemäß dieser Erfindung, können Informationen zum Ausweiten des Zugangs zu Diensten, welche dem Anwender zugänglich sind, bereitstellen. Man stelle sich beispielsweise einen Fluggast vor, der regelmäßig mit der gleichen Fluggesellschaft fliegt, und dem Zugang zu ihren privaten Lounges gewährt wird. Wenn die Fluggesellschaften in gegenseitigen Vereinbarungen übereingekommen sind, wobei zwei oder mehrere Fluggesellschaften zustimmen, ihren regelmäßigen Fluggästen den Besuch der jeweils anderen Lounges zu erlauben, dann können diese regelmäßigen Fluggäste auch Zugang zu diesen Gesellschaftsräumen der anderen Fluggesellschaften erhalten. Digitale-Zertifikat-Informationen können PAD 100 bereitgestellt werden, welche anzeigt, dass der Anwender auch für einen zusätzlichen Satz entsprechender Dienste authentifiziert ist, wenn ein Anwender für einen bestimmten Satz von Diensten authentifiziert wurde.
Ein oder mehrere digitale Zertifikate können Informationen aufweisen, welche sich auf die Erzeugung des Dienst-Schlüssels beziehen. Solche Zertifikate werden hierin als "Ticket-Erzeugungs-Zertifikate" bezeichnet und schließen zum Beispiel Informationen ein, welche den Dienstumfang eines Schlüssels, ein Schlüssel-Erzeugungs-Programm oder einen Algorithmus und ein Format zur Ausgabe des Schlüssels angeben.
3 beschreibt ein exemplarisches Verfahren zur Verwendung der verschiedenartigen Informationen, welche mittels des einen oder der mehreren digitalen Zertifikate empfangen werden. Wenn zum Beispiel PAD 100 ermittelt, dass sie ein Anwender-Identifikations-Zertifikat empfangen hat (Schritt 315), kann PAD 100 zuerst das digitale Zertifikat authentifizieren und danach die Informationen in dem Anwender-Identifikations-Zertifikat verwenden, um den Anwender zu authentifizieren. (Schritt 320). Ein digitales Zertifikat kann, wie oben beschrieben, mittels Ermittelns der Zertifikat ausgebenden Autorität und mittels des Ermittelns, ob die digitale Signatur auf dem Zertifikat mit der spezifizierten ausgebenden Autorität, assoziiert ist, was unter Verwendung des öffentlichen CA Schlüssels geschieht, authentifiziert werden. In bestimmten Ausführungsbeispielen dieser Erfindung ist der öffentliche Schlüssel der CA, welche das Anwender-Identifikations-Zertifikat herausgab, einer der CA Schlüssel_1-N, welche in PAD 100 gespeichert sind.
Wenn PAD 100 bestimmt, dass das Anwender-Identifikations-Zertifikat authentifiziert ist, kann PAD 100 auf Grundlage von den Informationen in dem Anwender-Identifikations-Zertifikat und bestimmten Anwender-Credentials, welche vom Anwender empfangen werden, den Anwender authentifizieren. Anwender-Credentials, welche hierin verwendet werden, bedeuten Informationen, welche eindeutig mit dem Anwender assoziiert sind, wie beispielsweise ein privater Schlüssel des Anwenders in einer PKI, biometrische Informationen des Anwenders, Personen-Identifikations-Nummer (PIN), welche nur dem Anwender bekannt ist oder andere Informationen, welche unter Verwendung der PIN ermittelt werden. Die Anwender-Credentials können vom Anwender über die Eingabeeinrichtung 140 der 1 empfangen werden. Die Anwender-Credentials, wie beispielsweise eine PIN oder ein privater Schlüssel, können zum Beispiel vom Anwender unter Verwendung einer Teil-Tastatur oder eines Kartenleser eingegeben werden. Die Anwender-Credentials, wie beispielsweise biometrische Informationen, können mittels eines Biometrie-Lesers, wie beispielsweise ein Fingerabdruck-Leser, Netzhautscanner oder eine Videokamera erhalten werden. Zusätzlich können Anwender-Credentials aus einem oder mehreren anderen Anwender-Credentials, wie beispielsweise der PIN, ermittelt werden.
Um den Anwender zu authentifizieren, können die Anwender-Credentials mit den Informationen auf dem Anwender-Identifikations-Zertifikat verglichen werden. Wenn der Anwender in Schritt 320 nicht authentifiziert wird, kann der Prozess abbrechen und die PAD 100 kann außer Funktion gesetzt werden. Wenn der Anwender authentifiziert werden kann, läuft der Prozess, wie beispielsweise mit Schritt 325 weiter.
Wenn PAD 100 eine übermäßige Anzahl von Anwender-Authentifizierungs-Anfragen empfängt, kann PAD 100 versuchen zu bestimmen, ob diese Versuche einen Angriff darstellen, wie beispielsweise einen Versuch eines Anwenders, die Anwender-Credentials von einigen anderen Anwendern zu erraten. Wenn dem so ist, kann PAD 100 die Vorrichtung außer Funktion setzen. PAD 100 kann zum Beispiel innerhalb einer vorgegebenen Zeitperiode eine bestimmte Anzahl von Anwender-Authentifizierungs-Anfragen erlauben, bevor alle zukünftigen Verwendungen der Vorrichtung blockiert werden. Diese Situation ist ähnlich dem Schritt 212.
Ein oder mehrere der digitalen Zertifikate, welche in PAD 100 eingegeben werden, können ein Anwender-Qualifikations-Zertifikat enthalten. Ein Anwender-Qualifikations-Zertifikat, so wie es hierin verwendet wird, ist ein digitales Zertifikat, welches Informationen aufweist, welche einen Dienst, den ein Anwender zu empfangen berechtigt ist oder eine Aktivität, zu der der Anwender die Genehmigung hat, diese durchzuführen, identifiziert.
Wenn das Anwender-Qualifikations-Zertifikat authentifiziert wird (Schritt 330), können ein oder mehrere Dienste, zu welchen der Anwender Zugang haben soll, auf Grundlage des Zertifikats identifiziert werden. Das Anwender-Qualifizierungs-Zertifikat kann zum Beispiel, wie oben erwähnt, Informationen aufweisen, welche angeben, dass ein Anwender berechtigt ist, hochwertige Dienste zu nutzen, oder bei einer Hotelschlüssel Anwendung, ihm nur der Zugang zu bestimmten Bereichen gewährt ist.
Das eine oder die mehreren digitalen Zertifikate können optional ein Ticket-Erzeugungs-Zertifikat enthalten (Schritt 340). Wie oben beschrieben kann ein Ticket-Erzeugungs-Zertifikat zum Beispiel ein Dienst-Schlüssel-Erzeugungs-Programm oder Informationen, welche ein Dienst-Schlüssel-Erzeugungs-Programm angeben, aufweisen. Informationen, welche ein Dienst-Schlüssel-Erzeugungs-Programm angeben, können zum Beispiel Informationen enthalten, welche ein Dienst-Schlüssel-Erzeugungs-Programm identifizieren, welches auf PAD 100 gespeichert werden kann oder über eine oder mehrere Eingabeeinrichtungen 140 verfügbar ist.
Wenn das Ticket-Erzeugungs-Zertifikat nicht authentifiziert ist (Schritt 345), kann der Prozess stoppen und PAD 100 kann außer Funktion gesetzt werden. Wenn das Ticket-Erzeugungs-Zertifikat authentifiziert ist, wird ein Dienst-Schlüssel-Erzeugungs-Programm identifiziert und der Prozess läuft weiter mit Schritt 280 der 2.
3 zeigt ein Beispiel von Verfahrensschritten, gemäß dieser Erfindung, und zeigt die Verwendung von mehreren digitalen Zertifikaten. Erfindungsgemäß können jedoch auch die Digitalen-Zertifikat-Informationen empfangen werden, auf welche hierin in Form eines digitalen Zertifikats Bezug genommen wird.
Das eine oder die mehreren digitalen Zertifikate können optional andere Informationen, wie beispielsweise Informationen, welche sich darauf beziehen, wie eine PAD 100 für eine oder mehrere Verwendungen arbeiten kann, aufweisen. Das eine oder die mehreren digitalen Zertifikate können zum Beispiel "Betriebsinformationen" aufweisen, welche zum Beispiel beschreiben, auf welche Weise ein oder mehrere digitale Zertifikate miteinander gekoppelt sind, Aufforderungs- und Antwortprotokolle für Anwender und PAD-Authentifizierung, Informationen, welche das Format für den ausgegebenen Dienst-Schlüssel angeben, sichere Protokolle für Dateneingabe und Datenausgabe und andere Verwaltungsprotokolle.
Digitale Zertifikate können zusätzlich in die PAD 100 eingegeben werden, um die öffentlichen Schlüssel von zusätzlichen CAs, andere als solche, die in PAD 100 gespeichert sind, bereitzustellen. Diese digitalen Zertifikate können so in Bezug gebracht werden, dass sie irgendeine Anzahl von Vertrauensmodellen, wie es von einem Fachmann verstanden wird, ausbilden. Die digitalen Zertifikate können zum Beispiel "Kreuz-Zertifikate" sein, bei welchen ein Zertifikat von einer CA erzeugt wird, welche den öffentlichen Schlüssel einer anderen CA zertifiziert. In bestimmten Ausführungsbeispielen können die digitalen Zertifikate eine Zertifikat-Kette oder "Vertrauenskette" ausbilden, so dass jedes der Zertifikate in der Kette den öffentlichen Schlüssel der CA, welche dieser in der Kette vorausgeht, zertifiziert. Andere Vertrauensmodelle, wie beispielsweise hirarchische Modelle oder Wurzelmodelle, können ebenfalls verwendet werden.
Diese Erfindung kann zum Beispiel in einem Sicherheitssystem angewendet werden, wie beispielsweise eines, welches in einem Hotel verwendet wird. In diesem Hotelbeispiel können viele PADs 100 zur Verwendung als Zugangsschlüssel hergestellt werden, welche von beiden, den Hotelgästen und den Hotelangestellten verwendet werden. Jede einzelne der vielen PADs 100 kann gleich untergebracht und konfiguriert sein, wobei sie im Allgemeinen die gleiche Struktur und die gleichen Komponenten aufweist. Diese vielen PADs 100 können zum Beispiel den gleichen privaten PAD Schlüssel (PAD Schlüssel 122) aufweisen. Jede der PADs 100 kann jedoch auf Grundlage der empfangenen digitalen Zertifikate programmiert werden, um unterschiedliche Operationen für unterschiedliche Sitzungen auszuführen. Bezüglich des Hotelsbeispiels kann ein PAD 100 zum Beispiel unter Verwendung eines Anwender-Identifikations-Zertifikats programmiert werden, so dass der Dienst-Schlüssel, welcher die Tür jedes bestimmten Raumes öffnen kann, nur von dem entsprechenden Anwender erzeugt werden kann. Es kann möglich sein, dass jeder Gast oder Angestellter, sich selbst über die PAD 100 authentifizieren muss, um dafür den Dienst-Schlüssel zu erzeugen. Zusätzlich kann ein PAD 100 unter Verwendung der Anwender-Qualifizierungs-Zertifikate programmiert werden, um anzugeben, welche Dienste einem Anwender zum Verwenden erlaubt werden sollten. Bezüglich des Hotelbeispiels können zum Beispiel unter Verwendung der Anwender-Qualifizierungs-Zertifikate nur Gäste der gehobenen Klasse die Dienst-Schlüssel zum berechtigten Zugang zu einem speziellen Badebereich oder zu anderen Diensten, für welche der Gast einen Aufpreis entrichten muss, erzeugen. Zertifikate können ebenfalls derart verwendet werden, dass es Angestellten gestattet ist, Dienst-Schlüssel nur für diese Bereiche zu erzeugen, in welchen die Angestellten gebraucht werden.
Diese Erfindung kann Anwendung in anderen exemplarischen Systemen finden, wie beispielsweise in Computer-Sicherheitssystemen, welche eine Vielzahl von Anwenderterminals aufweist, beschränkt zugängliche Datenbanken oder Sicherheitssysteme, und einen Computer oder ein Netzwerk oder ein Datenbanksystem, welches viele Vorrichtungsknoten aufweist.
In einem anderen Beispiel können die erfindungsgemäßen Prinzipien werden, um den Zugang zu einem überwachten Bereich, wie beispielsweise ein Büro oder Labor, zu kontrollieren.
Andere Ausführungsbeispiele dieser Erfindung in Bezug auf Spezifikationen und praktischem Nutzen der Erfindung, welche hierin offenbart sind, sind dem Fachmann ersichtlich. Deshalb sollen alle diese Spezifikationen und Beispiele, welche nur als exemplarisch betrachtet sind, vom Schutzbereich und Gedanken der Erfindung, wie in den anhängenden Ansprüchen definiert, umfasst sein.

Claims

Personen-Authentifizierungs-Vorrichtung (PAD), welche aufweist: • mindestens ein Speichermedium zum Speichern von mindestens einem öffentlichen CA Schlüssel, wobei jeder öffentliche Schlüssel mit einer Zertifikations-Autorität (CA) assoziiert ist; • ein oder mehrere Eingabemittel zum Empfangen von einem oder mehreren digitalen Zertifikaten, bei welcher das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweist, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm oder eine Information, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm anzeigt, aufweist; • eine Bearbeitungskomponente zum Authentifizieren des einen oder der mehreren empfangenen digitalen Zertifikate unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssels und zum Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem einen oder den mehreren authentifizierten digitalen Zertifikaten; und • ein Ausgabemittel zum Ausgeben des mindestens einen Dienst-Schlüssels.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des mindestens einen empfangenen Ticket-Erzeugungs-Zertifikat unter Verwendung mindestens eines gespeicherten öffentlichen CA Schlüssels, aufweist; und zum Erzeugen des mindestens einen Dienst-Schlüssel basierend auf dem mindestens einen authentifizierten Dienst-Schlüssel-Erzeugungs-Programm, falls ein oder mehrere Ticket-Erzeugungs-Zertifikate authentifiziert sind, wobei der mindestens eine Dienst-Schlüssel von einem Anwender verwendet werden kann, um Zugang zu mindestens einen Dienst zu erlangen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher das eine oder die mehreren digitalen Zertifikate aufweisen: • ein Anwender-Identifikations-Zertifikat, welches Informationen aufweist, die eindeutig mit einem Anwender assoziiert sind; und bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des empfangenen Anwender-Indentifikations-Zertifikats unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssel aufweist und zum Authentifizieren des Anwenders basierend auf dem Anwender-Identifikations-Zertifikat, falls das Anwender-Identifikations-Zertifikat authentifiziert ist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1 oder 3, bei welcher das eine oder die mehreren digitalen Zertifikate aufweisen: • mindestens ein Anwender-Qualifikations-Zertifikat, welches mindestens einen Dienst und einen oder mehrere Anwender angibt, welche Zugang zu mindestens einem Dienst haben; und bei welchem die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des mindestens einen empfangenen Anwender-Qualifikations-Zertifikats basierend auf dem mindestens einen öffentlichen CA Schlüssel, wenn der Anwender authentifiziert ist, aufweist; und zum Bestimmen mindestens eines Dienstes, so dass der authentifizierte Anwender basierend auf dem mindestens einen authentifizierten Anwender-Qualifikations-Zertifikat Zugang zu diesem haben kann, falls das mindestens eine Anwender-Qualifikations-Zertifikat authentifiziert ist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher der mindestens eine Dienst-Schlüssel mindestens einen Cookie aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 5, bei welcher die Bearbeitungskomponente mindestens eine Komponente aufweist: • zum Erzeugen eines Einmal-Schlüssels und Speichern dieses in PAD; • zum Erzeugen des mindestens einen Cookies und zum Senden des erzeugten Cookies zum Anwender basierend auf dem Einmal-Schlüssel; • zum Empfangen des vorher erzeugten mindestens einen Cookies und zum Validieren des empfangenen Cookies unter Verwendung des gespeicherten Einmal-Schlüssels; und • falls der empfangene Cookie erfolgreich validiert wurde, zum Annullieren des Einmal-Schlüssels, welcher in der Cookie-Validierung verwendet wurde, zum Erzeugen eines neuen Einmal-Schlüssels und zum Speichern dieses in PAD, und basierend auf dem neuen Einmal-Schlüssel, zum Erzeugen eines neuen Cookies und zum Senden des neuen Cookie zum Anwender.
Personen-Authentifizierung-Vorrichtung (PAD) gemäß Anspruch 5, bei welcher der Inhalt in dem einen oder den mehreren Cookies Benutzungszähler aufweist, welche angeben, wie oft ein oder mehrere Anwender einen oder mehrere Dienste genutzt haben.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 4, bei welcher die eine oder die mehreren Eingabemittel ferner ein oder mehrere Zertifikate empfangen, welche Informationen zum Gewähren des Zugangs des Anwenders zu mindestens einem zusätzlichen Dienst basierend auf dem mindestens einen Dienst, aufweisen
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher das mindestens eine Speichermedium mindestens eine Komponente zum Speichern eines privaten PAD Schlüssels aufweist, welcher mit der PAD assoziiert ist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 9, bei welcher die eine oder die mehreren Eingabemittel mindestens eine Komponente zum Empfangen einer PAD Authentifizierungs-Anfrage aufweisen, die Bearbeitungskomponente mindestens eine Komponente zum Beantworten der PAD Authentifizierungs-Anfrage unter Verwendung des gespeicherten privaten PAD Schlüssel, aufweist, und das Ausgabemittel mindestens eine Komponente zum Ausgeben der Antworten auf die PAD Authentifizierungs-Anfrage aufweisen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 9, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Signieren des mindestens einen Dienst-Schlüssels unter Verwendung des gespeicherten privaten PAD Schlüssels aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 9, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Entschlüsseln der Inhalte auf dem einen oder den mehreren empfangenen digitalen Zertifikaten unter Verwendung des gespeicherten privaten PAD Schlüssels, wobei die Inhalte mit dem korrespondierenden öffentlichen PAD Schlüssel verschlüsselt werden, aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 4, bei welcher das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweisen, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm entsprechend dem mindestens einen Dienst-Schlüssel angibt und wobei die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des mindestens einen Ticket-Erzeugungs-Zertifikats unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssels aufweist und, falls ein oder mehrere Ticket-Erzeugungs-Zertifikate authentifiziert sind, zum Erzeugen des mindestens einen Dienst-Schlüssels basierend auf dem mindestens einen authentifizierten Dienst-Schlüssel-Erzeugungs-Programm, wobei der mindesten eine Dienst-Schlüssel von einem Anwender verwendet werden kann, um Zugang zu mindestens einem Dienst zu erhalten.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 3, bei welcher die eine oder die mehreren Eingabemittel ferner einen oder mehrere Anwender-Credentials empfangen und die Bearbeitungskomponente mindesten eine Komponente zum Authentifizieren des Anwenders basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat und dem einen oder den mehreren empfangenen Anwender-Credentials aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 14, bei welcher der eine oder die mehreren Anwender-Credentials einen oder mehrere private Schlüssel des Anwenders aufweisen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 14, bei welcher der eine oder die mehreren Anwender-Credentials eine Personen-Identifikationsnummer (PIN), welche mit dem Anwender assoziiert ist, oder Informationen, welche von der PIN ermittelt werden, aufweisen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 14, bei welcher der eine oder die mehreren Anwender-Credentials biometrische Informationen, welche mit dem Anwender assoziiert sind, aufweisen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 14, welche ferner Vorrichtungen zum Abschalten der PAD aufweist, falls ein oder mehrere Versuche, den Anwender zu authentifizieren basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat und dem einen oder den mehreren Anwender-Credentials fehlschlagen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher das eine oder die mehreren digitalen Zertifikate ein Operationen-Zertifikat aufweisen, welche Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung aufweist.
Personen-Authentifizierungs-Vorrrichtung (PAD) gemäß Anspruch 19, bei welcher die Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung eines oder mehrere der folgenden Merkmale aufweisen: • Informationen, welche den Eingang und Ausgang der PAD verwalten; • Aufforderungs- und Antwortprotokolle zur Anwender- und PAD-Authentifizierung; • sichere Protokolle zum Empfangen und Ausgeben von Daten; und • Protokolle für PAD Verwaltungszwecke.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 19, bei welcher die Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung Informationen aufweisen, welche das Verknüpfen von einem oder mehreren empfangenen Zertifikaten verwalten und wobei die Bearbeitungskomponente mindestens eine Komponente zum Verknüpfen von einem oder mehreren empfangenen Zertifikaten aufweist, basierend auf einem oder mehreren Zertifikaten, welche Informationen zum Gewähren des Zugangs des Anwenders zu mindestens einem zusätzlichen Dienst basierend auf dem mindestens einen Dienst, aufweisen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher die eine oder die mehreren Eingabemittel ein oder mehrere Signatur-Verifikations-Zertifikate empfangen, welche eine Signatur-Verifikations-Kette ausbilden, wobei jedes Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette mit dem privaten Schlüssel einer Person signiert ist, deren öffentlicher Schlüssel mittels des vorangehenden Signatur-Verifikations-Zertifikats zertifiziert ist und wobei das erste Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette mittels des mindestens einen gespeicherten öffentlichen CA Schlüssels signiert ist und wobei die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des einen oder der mehreren empfangenen digitalen Zertifikate basierend auf der letzten Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher die PAD manipulationssicher ist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 9, bei welcher die öffentlichen CA Schlüssel und der private PAD Schlüssel in die PAD nur ein einziges Mal geschrieben werden.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 9, welche ferner einen Schutzmechanismus aufweist, welcher den privaten PAD Schlüssel von dem mindestens einen Speichermedium löscht, wenn es unauthorisierte Versuche zum Lesen oder Modifizieren des privaten PAD Schlüssels gibt.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher mindestens eines des einen oder der mehreren Eingabemittel Ausleseeinrichtungen sind, welche eingerichtet sind, mindestens eines des einen oder der mehreren digitalen Zertifikate und Anwender-Credentials von einem Speichermedium oder Netzwerkschnittstelle zu empfangen.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, welche ferner eine Uhr zum Ermitteln des aktuellen Datums und der aktuellen Zeit aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, welche ferner einen oder mehrere Timer zum Ermitteln der Zeit, die vergangen ist, seitdem ein Timer zurückgesetzt wurde, aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, welche ferner einen oder mehrere Zähler zum Ermitteln, wie oft ein Ereignis eingetreten ist, seitdem ein Zähler zurückgesetzt wurde, aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher ferner das eine oder die mehreren digitalen Zertifikate Informationen aufweisen, welche die Uhr, die Timer und die Zähler der PAD zurücksetzten können.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, bei welcher das eine oder die mehreren digitalen Zertifikate einen Inhalts-Entschlüsselungs-Schlüssel und einen Rechte-Inhalt aufweisen, welchen die PAD überprüfen wird, bevor der Inhalts-Entschlüsselungs-Schlüssel als ein Dienst-Schlüssel ausgegeben wird.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 31, bei welcher der Rechte-Inhalt Beschränkungen bei mindestens einem der folgenden Merkmale aufweist: • Zeitablauf des Inhalts • Benutzungsperiode des Inhalts • Benutzungshäufigkeit des Inhalts
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 27, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Ermitteln, ob das aktuelle Datum und die Zeit innerhalb der Gültigkeitsperiode des einen oder der mehreren empfangenen digitalen Zertifikaten ist, aufweist
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 27, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Erzeugen von Zeitstempeln aufweist, welche in Dienst-Schlüsseln, die PAD 100 erzeugt, enthalten sind.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, welche ferner eine einmal-geschriebene Seriennummer aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 35, bei welcher die Bearbeitungskomponente mindestens eine Komponente zum Erzeugen des mindestens einen Dienst-Schlüssels basierend auf der Seriennummer aufweist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, wobei das mindestens eine Ticket-Erzeugungs-Zertifikat ferner einen Dienstumfang des mindestens einen Dienst-Schlüssels anzeigt.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, wobei das mindestens eine Ticket-Erzeugungs-Zertifikat ferner ein Format zum Ausgeben des mindestens einen Dienst-Schlüssels anzeigt.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, wobei die Information, die das mindestens eine Dienst-Schlüssel-Erzeugungs-Programm anzeigt, eine Information von der mindestens einem Dienst-Schlüssel-Erzeugungs-Programm aufweist, die auf dem PAD gespeichert ist.
Personen-Authentifizierungs-Vorrichtung (PAD) gemäß Anspruch 1, wobei die Information, die das mindestens eine Dienst-Schlüssel-Erzeugungs-Programm anzeigt, eine Informationen von dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programm aufweist, die über das eine oder die mehreren Eingabemittel verfügbar ist.
Authentifizierungs-Verfahren, welches aufweist: • Speichern mindestens eines öffentlichen CA Schlüssels auf eine Personen-Authentifizierungs-Vorrichtung (PAD), wobei jeder öffentliche Schlüssel mit einer Zertikations-Autorität (CA) assoziiert ist; • Empfangen eines oder mehrerer digitaler Zertifikate, bei welchen das eine oder die mehreren digitalen Zertifikate mindestens ein Ticket-Erzeugungs-Zertifikat aufweisen, welches mindestens ein Dienst-Schlüssel-Erzeugungs-Programm oder eine Information, welche mindestens ein Dienst-Schlüssel-Erzeugungs-Programm anzeigt, aufweist; • Authentifizieren des einen oder der mehreren empfangenen digitalen Zertifikate unter Verwendung des mindestens einen gespeicherten öffentlichen CA Schlüssels; • Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem einen oder den mehreren authentifizierten digitalen Zertifikaten; und • Ausgeben von mindestens dem Dienst-Schlüssel.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner aufweist: • Authentifizieren des mindestens einen empfangenen Ticket-Erzeugungs-Zertifikats unter Verwendung des mindestens einen öffentlichen CA Schlüssels; und • Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programm, falls das mindestens eine Ticket-Erzeugungs-Zertifikat authentifiziert ist, wobei der mindestens eine Dienst-Schlüssel von einem Anwender zum Erhalten eines Zugangs zu mindestens einem Dienst verwendet werden kann.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner aufweist: • Empfangen eines Anwender-Identifikations-Zertifikats, welches Informationen aufweist, die eindeutig mit einem Anwender assoziiert sind; • Authentifizieren des empfangenen Anwender-Identifikations-Zertifikats basierend auf dem mindestens einen öffentlichen CA Schlüssels; und • Authentifizieren des Anwenders basierend auf dem authentifizierten Anwender-Identifikations- Zertifikat, falls das Anwender-Identifikations-Zertifikat authentifiziert ist.
Authentifizierungs-Verfahren gemäß Anspruch 41 oder 43, welches weiter aufweist: • Empfangen mindestens eines Anwender-Qualifikations-Zertifikats, welches mindestens einen Dienst und einen oder mehrere Anwender anzeigt, die Zugang zu dem mindestens einen Dienst haben können; • Authentifizieren des mindestens einen empfangenen Anwender-Qualifikations-Zertifikats basierend auf dem mindestens einen öffentlichen CA Schlüssels; und • Ermitteln mindestens eines Dienstes, zu welchem der authentifizierte Anwender Zugang haben kann basierend auf dem mindestens einen authentifizierten Anwender-Qualifikations-Zertifikat, falls das mindestens eine Anwender-Qualifikations-Zertifikat authentifiziert ist.
Authentifizierungs-Verfahren gemäß Anspruch 41, bei welchem der mindestens eine Dienst-Schlüssel mindestens einen Cookie aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner aufweist: • Erzeugen eines Einmal-Schlüssels und Speichern dieses auf der PAD; • Erzeugen des mindestens einen Cookies und Senden des erzeugten Cookies an den Anwender basierend auf dem Einmal-Schlüssel; • Empfangen des vorher erzeugten mindestens einen Cookies und Validieren des empfangenen Cookies unter Verwendung des gespeicherten Einmal-Schlüssels; und • falls der Cookie erfolgreich validiert wurde, Annullieren des Einmal-Schlüssels, welcher bei der Validierung des Cookies verwendet wurde, Erzeugen eines neuen Einmal-Schlüssels und Speichern dieses auf der PAD und basierend auf dem neuen Einmal-Schlüssel, Erzeugen eines neuen Cookies und Senden des neuen Cookies an den Anwender.
Authentifizierungs-Verfahren gemäß Anspruch 46, bei welchem der Inhalt in einem oder mehreren Cookies Benutzungszähler aufweist, welche angeben, wie oft ein oder mehrere Anwender einen oder mehrere Dienste genutzt haben.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches einen privaten PAD Schlüssel, welcher mit der PAD assoziiert ist, auf die Personen-Authentifizierungs-Vorrichtung (PAD) speichert.
Authentifizierungs-Verfahren gemäß Anspruch 48, welches aufweist: • Empfangen einer PAD Authentifizierungs-Anfrage; • Beantworten der PAD Autentifizierungs-Anfrage unter Verwendung des gespeicherten privaten PAD Schlüssels; und • Ausgeben der Antwort zu der PAD Authentifizierungs-Anfrage.
Authentifizierungs-Verfahren gemäß Anspruch 48, welches das Signieren des mindestens einen Dienst-Schlüssels unter Verwendung des gespeicherten privaten PAD Schlüssels aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 48, welches das Entschlüsseln der Inhalte des einen oder der mehreren empfangenen digitalen Zertifikate unter Verwendung des gespeicherten privaten PAD Schlüssels aufweist, wobei die Inhalte mit dem korrespondierenden öffentlichen PAD Schlüssel verschlüsselt wurden.
Authentifizierungs-Verfahren gemäß Anspruch 44, welches aufweist: • Authentifizieren des mindestens einen Ticket-Erzeugungs-Zertifikats unter Verwendung des mindestens einen öffentlichen CA Schlüssels, falls der authentifizierte Anwender bestimmt ist, um Zugang zu den Diensten zu haben. • Erzeugen mindestens eines Dienst-Schlüssels basierend auf dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programms, falls das mindestens eine Ticket-Erzeugungs-Zertifikat authentifiziert ist, wobei der mindestens eine Dienst-Schlüssel von einem Anwender verwendet werden kann, um Zugang zu mindestens einem Dienst zu erhalten.
Authentifizierungs-Verfahren gemäß Anspruch 44, welches das Gewähren des Zugangs des Anwenders zu mindestens einem zusätzlichen Dienst basierend auf dem mindestens einen Dienst und den empfangenen Digitalen-Zertifikat-Informationen aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 43, welches aufweist: • Empfangen einer oder mehrerer empfangener Anwender-Credentials; und • Authentifizierung des Anwenders basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat und dem einen oder den mehreren Anwender-Credentials.
Authentifizierungs-Verfahren gemäß Anspruch 54, bei welchem die Anwender-Credentials einen oder mehrere private Anwender-Schlüssel aufweisen.
Authentifizierungs-Verfahren gemäß Anspruch 54, bei welchem die Anwender-Credentials eine Personen-Identifikationsnummer (PIN) aufweisen, welche mit dem Anwender assoziiert ist, oder Informationen, welche von der PIN ermittelt werden.
Authentifizierungs-Verfahren gemäß Anspruch 54, bei welchem die Anwender-Credentials biometrische Informationen, welche mit dem Anwender assoziiert sind, aufweisen.
Authentifizierungs-Verfahren gemäß Anspruch 54, welches das Annullieren der PAD aufweist, falls ein oder mehrere Versuche, den Anwender basierend auf dem authentifizierten Anwender-Identifikations-Zertifikat zu authentifizieren und dem einen oder den mehreren Anwender-Credentials zu authentifizieren, fehlschlagen.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches das Empfangen eines Operationen-Zertifikats, welches Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung aufweist, aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 59, bei welchem die Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung eines oder mehrere der folgenden Merkmale aufweisen: • Informationen, welche die Eingabe und Ausgabe der PAD verwalten; • Aufforderungs- und Antwortprotokolle für Anwender und PAD-Authentifizierung; • sichere Protokolle zum Empfangen und Ausgeben von Daten; und • Protokolle für PAD-Verwaltungszwecken.
Authentifizierungs-Verfahren gemäß Anspruch 59, bei welchem die Informationen zum Überwachen der Operationen der PAD für eine aktuelle Sitzung Informationen aufweisen, welche das Verknüpfen von einem oder mehreren empfangenen Zertifikaten verwalten, und wobei das Verfahren ferner aufweist: • Verknüpfen eines oder mehrerer empfangener Zertifikate basierend auf einem oder mehreren Zertifikaten, welche Informationen zum Gewähren des Zugangs des Anwenders zu mindestens einem zusätzlichen Dienst basierend auf dem mindestens einen Dienst aufweisen.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches aufweist: • Empfangen eines oder mehrerer Signatur-Verifikations-Zertifikate zum Ausbilden einer Signatur-Verifikations-Kette, wobei jedes Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette mit dem privaten Schlüssel einer Person signiert wird, deren öffentlicher Schlüssel von dem vorhergehenden Signatur-Verifikations-Zertifikat zertifiziert wird und wobei das erste Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette von mindestens einem gespeicherten öffentlichen CA Schlüssel signiert wird; und • wobei die Bearbeitungskomponente mindestens eine Komponente zum Authentifizieren des einen oder mehrerer empfangenen digitalen Zertifikaten basierend auf dem letzten Signatur-Verifikations-Zertifikat in der Signatur-Verifikations-Kette aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 48, welches aufweist: • Löschen des privaten PAD-Schlüssels, wenn ein oder mehrere unauthorisierte Versuche zum Lesen oder Modifizieren des privaten PAD-Schlüssels erfasst werden.
Authentifizierungs-Verfahren gemäß Anspruch 41, bei welchem mindestens eines des einen oder der mehreren digitalen Zertifikaten von einem Speichermedium oder von einer Netzwerkschnittstelle empfangen wird.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner das Ermitteln eines aktuellen Datums und einer aktuellen Zeit aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 65, welches das Ermitteln, ob das aktuelle Datum und die aktuelle Zeit innerhalb der Gültigkeitsperiode des einen oder der mehreren empfangenen digitalen Zertifikate sind, aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 41, bei welchem die Zeit ermittelt wird, die vergangen ist, seitdem ein vorheriges Ereignis eingetreten ist.
Authentifizierungs-Verfahren gemäß Anspruch 41, bei welchem bestimmt wird, wie oft ein Ereignis seit einem vorher eingetretenen Ereignis eingetreten ist, bestimmt wird.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches das Empfangen eines oder mehrerer digitaler Zertifikate aufweist, welche Informationen zum Zurücksetzen des aktuellen Datums und der aktuellen Zeit, Informationen über die vergangene Zeit und Informationen, wie oft ein Ereignis eingetreten ist, enthalten.
Authentifizierungs-Verfahren gemäß Anspruch 69, welches das Zurücksetzen der Uhr, der Timer oder der Zähler der PAD, basierend auf den Informationen in dem einen oder den mehreren digitalen Zertifikaten, aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner aufweist: • Empfangen eines oder mehrerer digitaler Zertifikate, welche einen Inhalts-Entschlüsselungs-Schlüssel und einen Rechte-Inhalt bereitstellen; und • Überprüfen des Rechte-Inhalts vor Ausgeben des Inhalts-Entschlüsselungs-Schlüssels als einen Dienst-Schlüssel.
Authentifizierungs-Verfahren gemäß Anspruch 71, bei welchem der Rechte-Inhalt Beschränkungen bei mindestens einem der folgenden Merkmale aufweist: • Ablaufzeit des Inhalts; • Benutzungsperiode des Inhalts; und • Benutzungshäufigkeit des Inhalts.
Authentifizierungs-Verfahren gemäß Anspruch 65, welches ferner das Erzeugen von Zeitstempeln, basierend auf dem aktuellen Datum und Zeit, aufweist, wobei die Zeitstempel in die Dienst-Schlüssel, welche die PAD erzeugt, enthalten sind.
Authentifizierungs-Verfahren gemäß Anspruch 41, welches ferner das Erzeugen des mindestens einen Dienst-Schlüssels, basierend auf einer einmal-geschriebenen Seriennummer, aufweist.
Authentifizierungs-Verfahren gemäß Anspruch 74, bei welcher ferner die Seriennummer in dem mindestens einen Dienst-Schlüssel enthalten ist.
Authentifizierungs-Verfahren gemäß Anspruch 41, wobei das mindestens eine Ticket-Erzeugungs-Zertifikat ferner einen Dienstumfang des mindestens einen Dienst-Schlüssels anzeigt.
Authentifizierungs-Verfahren gemäß Anspruch 41, wobei das mindestens eine Ticket-Erzeugungs-Zertifikat ferner ein Format zum Ausgeben des mindestens einen Dienst-Schlüssels anzeigt.
Authentifizierungs-Verfahren gemäß Anspruch 41, wobei die Information, die das mindestens eine Dienst- Schlüssel-Erzeugungs-Programm anzeigt, eine Information von der mindestens einem Dienst-Schlüssel-Erzeugungs-Programm aufweist, die auf dem PAD gespeichert ist.
Authentifizierungs-Verfahren gemäß Anspruch 41, wobei die Information, die das mindestens eine Dienst-Schlüssel-Erzeugungs-Programm anzeigt, eine Informationen von dem mindestens einen Dienst-Schlüssel-Erzeugungs-Programm aufweist, die über das eine oder die mehreren Eingabemittel verfügbar ist.