DE102004036375A1

DE102004036375A1 - Verfahren zum Deaktivieren eines Computers

Info

Publication number: DE102004036375A1
Application number: DE200410036375
Authority: DE
Inventors: Werner Schneider
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2004-07-27
Filing date: 2004-07-27
Publication date: 2006-03-23
Also published as: WO2006010461A1

Abstract

Verfahren zum Deaktivieren eines in Betrieb befindlichen Computers, der durch eine Schnittstelleneinrichtung mit einem mobilen, informationstragenden und -verarbeitenden Gerät, das sich in einem Erfassungsbereich der Schnittstelleneinrichtung befindet, in einer Kommunikationsverbindung steht, um leitungsungebunden Daten zu übertragen, wobei auf einem Informationsträger des mobilen, informationstragenden und -verarbeitenden Gerätes Daten bereitgehalten werden, um einen Nutzer gegenüber dem mobilen, informationstragenden und -verarbeitenden Gerät und gegenüber dem Computer zu authentifizieren, wobei durch eine Überwachungseinrichtung im Computer das Bestehen der Kommunikationsverbindung überwacht wird und das Betriebssystem des Computers den Computer deaktiviert, wenn die Kommunikationsverbindung abbricht.

Description

Technisches Gebiet
Die Erfindung betrifft ein Verfahren zum Deaktivieren eines Computers, der mit einem mobilen informationsverarbeitenden Gerät, das sich in einem Erfassungsbereich der Schnittstelleneinrichtung befindet, mittels einer Schnittstelleneinrichtung in einer Kommunikationsverbindung steht, um leitungsungebunden Daten zu übertragen, wobei auf einem Informationsträger des mobilen, informationstragenden und -verarbeitenden Gerätes Daten bereit gehalten werden, um einen Nutzer gegenüber dem mobilen, informationstragenden und -verarbeitenden Gerät und gegenüber dem Computer zu authentifizieren.

Um auszuschließen, dass Ressourcen in einem Computer von Unbefugten benutzt werden, ist es erforderlich, dass sich ein Nutzer gegenüber dem System durch einen Zugangscode authentifiziert. Beim Hochfahren des Systems wird der Benutzer vom Boot-Programm aufgefordert ein sogenanntes BIOS-Passwort einzugeben. Stimmt dieses mit dem vom Boot-Programm erwarteten BIOS-Passwort überein, dann lädt das Boot-Programm das auf dem Computer installierte Betriebssystem. Der Zugang zum Betriebssystem erfordert dann einen weitern Zugangscode; das Betriebssystem fordert den Benutzer erneut zur Eingabe einer Benutzerkennung bzw. eines weiteren persönlichen Passwortes auf. Wenn auf dem Computer ein Programm für eine Bildschirmsperre (Screen Saver) aktiviert ist, muss das persönliche Passwort auch nach einer längeren Nutzungsunterbrechung eingegeben werden, um die Bildschirmsperre zu lösen, wodurch der Zugangsschutz auch während des Betriebs gewährleistet ist.

Zum Logout an einem gesperrten Bildschirm ist es ebenfalls notwendig, erst den Bildschirm mit Hilfe des persönlichen Passworts zu entsperren.

Die Verwendung eines Zugangscodes ist auch von anderen mobilen, informationstragenden und -verarbeitenden Geräten, wie beispielsweise Mobiltelefone oder PDAs (Personal Digital Assistants) bekannt. Auch hier muss bei der Inbetriebnahme ein Zugangscode eingegeben werden und dient dazu, eine missbräuchliche Nutzung auszuschließen. Moderne Ausführungen dieser kleinformatigen Geräte, insbesondere Mobiltelefone, besitzen heutzutage häufig eine Schnittstellenvorrichtung zur drahtlosen Datenübertragung mit anderen mobilen oder fest installierten Geräten. Eine international standardisierte Schnittstelleneinrichtung im Kurzstreckendatenfunk ist Bluetooth. Bluetooth überträgt Daten per Funk im ISM-Band (Industrial Scientific Medical Band).

Vor diesem Hintergrund wird von vielen Nutzern, die sich beispielsweise bereits gegenüber ihrem Mobiltelefon authentifiziert haben, es als umständlich empfunden, wenn sie von ihrem Computer erneut zur Eingabe eines Passwortes aufgefordert werden. Die Eingabe eines persönlichen Passwortes ist immer dann erforderlich, wenn die Nutzungsdauer über längere Zeit unterbrochen wurde und die Bildschirmsperre aktiv ist. Das Aufheben der Bildschirmsperre ist auch dann erforderlich, wenn der Nutzer seine Sitzung am Rechner einfach beenden möchte. Selbst in diesem Fall, wo er nur den Computer nur noch deaktivieren will, ist eine umständliche manuelle Eingabe des persönlichen Passwortes erforderlich. Nur so gelangt er auf die Ebene des Betriebssystems und damit auf die Ebene der heute üblichen grafischen Benutzeroberfläche, wo er weitere Schaltflächen bedienen muss um den Computer herunter zu fahren.

Darstellung der Erfindung

Der vorliegenden Erfindung liegt die Aufgabe zu Grunde, ein Verfahren zu schaffen, so dass das Deaktivieren eines Computers einfacher möglich ist.

Diese Aufgabe wird durch die Merkmale des Patentanspruchs 1 gelöst. Vorteilhafte Ausgestaltungen, Aspekte und Einzelheiten der Erfindung ergeben sich aus den abhängigen Ansprüchen, der Beschreibung und der beigefügten Zeichnung.

Die Erfindung schlägt vor, einen in Betrieb befindlichen Computer dadurch zu deaktivieren, indem man eine leitungsungebundene Kommunikationsverbindung, die zwischen dem Computer und einem mobilen, informationstragenden und -verarbeitenden Gerät besteht, unterbricht.

Eine bevorzugte Ausgestaltung der Erfindung sieht vor, dass der Computer, der über eine Bluetooth Schnittstelle mit einem Mobiltelefon in Verbindung steht, einfach dadurch deaktiviert wird, indem das Mobiltelefon aus dem Erfassungsbereich der Funkschnittstelle gebracht wird. Die Funkreichweite wird durch die Leistungsklasse der beteiligten Geräte vorgegeben. Eine Überwachungseinrichtung im Computer überwacht die Funkverbindung. Sobald die Qualität der Funkverbindung unter einen vorgegebenen Schwellwert fällt, wird dieser Übertragungszustand von der Schnittstelleneinrichtung an Betriebseinrichtungen des Computers, z.B. an das Betriebssystem gemeldet.

Bluetooth ist eine Standardschnittstelle und bei Computern wie auch bei Mobiltelefonen zwischenzeitlich weit verbreitet. Die Funkübertragung arbeitet auf lizenzfreien Frequenzen im Bereich von 2,4 GHz.

Durch diesen Funkstandard lässt sich der Verbindungsaufbau und die Unterbrechung der Kommunikationsverbindung ziemlich genau in einem bestimmten geometrischen Abstand zwischen den Geräten eingrenzen. Auch dann, wenn in einem Büroraum mehrere Geräte über Bluetooth kommunizieren, kommt es nicht zu gegen seitigen Störungen, einerseits weil die Funkreichweiten eng begrenzbar sind, andererseits weil sich die in Kommunikation tretenden bluetoothfähigen Geräte gegenseitig identifizieren.

Das Deaktivieren des Computers kann nun je nach Einstellungen von Boot-Software und Betriebssystemen auf unterschiedliche Art und Weise erfolgen.

In einer bevorzugten Ausführungsvariante der Erfindung wird das Betriebssystem veranlasst, die Bildschirmsperre zu aktivieren wodurch der Zugang zum Computer für Unbefugte gesperrt ist. In weiterer Folge wird der Computer in einen Betriebsmodus mit reduzierter Energieaufnahme gebracht, nicht aber von seiner Energiequelle getrennt.

Eine andere bevorzugte Variante der Erfindung sieht vor, die Aktivitäten des Computers in vollem Umfang herunterzufahren und die Energieversorgung auszuschalten.

Es kann in beiden Varianten vorteilhaft sein, den Nutzer vor dem Vorgang des Deaktivierens zur Eingabe einer Bestätigungsinformation aufzufordern. Diese Bestätigungsinformation ist einfacher als die Eingabe eines persönlichen Passwortes und kann aus einem einfachen Tastendruck bestehen. Die Aufforderung kann akustisch oder visuell durch ein Pop-Up-Fenster auf der graphischen Benutzeroberfläche erfolgen. Auf diese Weise wird ein unbeabsichtigtes Herunterfahren bzw. Abschalten des Systems verhindert.

Günstig ist, wenn der Erfassungsbereich der Funkschnittstelle durch Begrenzung der entsprechenden Leistungsklasse auf etwa 10 m, insbesondere auf etwa 10 cm festgelegt wird. Auf diese Weise löst ein Nutzer, der im Begriff ist mit seinem Mobiltelefon den Arbeitsplatz zu verlassen, das Deaktivieren unmittelbar aus, wenn er das Mobiltelefon aus dem Nahbereich des Computers entfernt. Die Funkreichweite der Bluetooth-Übertragungsstrecke wird, wie oben bereits erwähnt, auf ein fache Weise durch die maximal eingesetzte Sendeleistung, d.h. die entsprechende Leistungsklasse begrenzt.

Unter dem Gesichtspunkt der Sicherheit ist es vorteilhaft, wenn die Überwachung der Kommunikationsverbindung zusätzlich in periodischen Zeitintervallen durchgeführt wird. Unbefugte haben dadurch kaum eine Möglichkeit auf die Ressourcen im Computer zuzugreifen.

In besonders gelagerten Fällen kann es vorteilhaft sein, wenn in diesen Zeitintervallen auch der auf der erfindungsgemäß modifizierten SIM-Karte des Mobiltelefons zusätzlich abgelegte Zugangscode zum Computer übermittelt und vom Betriebssystem des Computers ausgewertet wird. Auf diese Weise wird nicht nur das Bestehen der Kommunikationsverbindung überwacht, sondern gleichzeitig der Nutzer an Hand seiner persönlichen Daten, die in seinem Mobiltelefon bereitliegen, identifiziert. Die Übermittlung dieser Authentifizierungsdaten erfolgt bevorzugt durch ein verschlüsseltes Übertragungsverfahren, wodurch ein Abhören und gegebenenfalls eine Manipulation des Datenstroms im Funkfeld verhindert wird.

Weitere Ausführungsformen ergeben sich für in der Sache erfahrene Personen aus den Ansprüchen.

Kurzbeschreibung der Zeichnung
Zur weiteren Erläuterung der Erfindung wird auf die Zeichnungen Bezug genommen, in denen an Hand eines Ausführungsbeispiels weitere vorteilhafte Ausgestaltungen und Einzelheiten der Erfindung zu entnehmen sind. Es zeigen:
1 eine schematische Darstellung eines Ausführungsbeispiels der Erfindung, bei dem Daten zur Authentifizierung eines Nutzers gegenüber einem Computer in einer modifizierten SIM-Karte eines Mobiltelefons gespeichert sind und über eine leitungsungebundene Übertragungsstrecke an den Computer übermittelt werden;
2 ein Blockschaltbild der erfindungsgemäß modifizierten SIM-Karte des Mobiltelefons, mit einem ersten Speicherbereich, in welchem Daten zur Authentifizierung des Nutzers gegenüber dem Mobiltelefon enthalten sind und mit einem zweiten Speicherbereich, in welchem Daten zur Authentifizierung des Nutzers gegenüber dem Computer gespeichert sind.
Ausführung der Erfindung
In 1 ist ein Computer 1 mit üblichen Bedieneinrichtungen wie Tastatur 9, Bildschirm 3, und einer Zeigevorrichtung, ausgeführt als Trackball 11, zu sehen. Der Computer 1 verfügt über eine Bluetooth-Schnittstelle, welche als Adapter 2 am USB-Port 8 steckbar angebracht ist. Die Bluetooth Adresse des Computers 1 ist am Handy 4 als bekanntes Bluetooth- Gerät konfiguriert. Wird ein Mobiltelefon 4 in den Erfassungsbereich der Bluetooth Schnittstelle gebracht, so erfolgt der Aufbau der leitungsungebundenen Kommunikationsverbindung in drei Stufen des gegenseitigen Kennenlernens. In der ersten Stufe, erfolgt eine Suche nach einem kommunikationsbereiten Gerät (Inquiry). Während der zweiten Stufe werden sicherheitsrelevante Verbindungsparameter ausgehandelt (Pairing). Im Anschluss daran werden die gemeinsam genutzten Bluetooth-Profile ausgehandelt. Auf diese Weise entsteht eine drahtlose Kommunikationsverbindung zwischen Computer und Mobiltelefon, welche von einer Überwachungseinrichtung im Computer überwacht wird und gemäß der Erfindung Voraussetzung für den Betrieb des Computers 1 ist. Der Erfassungsbereich von etwa 10 cm ist durch die Bluetooth-Übertragungsstrecke festgelegt.
Das Mobiltelefon 4 besitzt ein Identifikations-Modul, die SIM-Karte 5 (Subscriber Identity Modul). Auf der SIM-Karte sind – wie bislang auch – die nutzerspezifischen Daten gespeichert, durch die sich der Nutzer gegenüber dem Mobilfunknetz als berechtigt ausweist und durch die er auch vergebührt wird. Auf der SIM-Karte 5 ist auch ein kryptographischer Algorithmus zur Authentisierung und Nutzdatenverschlüsselung implementiert.
Gemäß der Erfindung ist die SIM-Karte 5 nun so ausgebildet, dass sie auch als Informationsträger für den Zugangscode gegenüber einem Computer verwendet wird. Das heißt, im Speicher 10 (2) der SIM-Karte 5 sind neben den oben genannten Zugangsinformationen für das Mobilfunksnetz auch jene Daten enthalten, durch die sich der Nutzer gegenüber dem Computer identifiziert. Während des Betriebs des Computers wird das Vorhandensein des Mobiltelefons 4 und gegebenenfalls die darauf vorhandenen Authentifizierungsdaten geprüft. Wird das Mobiltelefon 4 aus dem Erfassungsbereich der Bluetooth-Funkschnittstelle entfernt, das heißt die Entfernung von etwa 10 cm zwischen Computer 1 und Mobiltelefon 4 überschritten, so sind die Voraussetzungen für den Betrieb des Computers nicht mehr gegeben. Der Computer 1 wird dann deaktiviert. Praktisch bedeutet dies, ein Nutzer beendet seine Sitzung am Rechner, indem er sich einfach mit seinem Mobiltelefon 4 aus dem Erfassungsbereich E der Schnittstelleneinrichtung entfernt. Der Computer 1 wird ohne weiteres Zutun heruntergefahren, beziehungsweise ausgeschaltet. Auch dann, wenn sein Bildschirm auf Grund einer längeren Nutzungsunterbrechung durch einen Bildschirmschoner gesperrt ist, kann – Dank der Erfindung – auf diese einfache Weise der Computer unmittelbar deaktiviert werden.
Nach vollzogener Deaktivierung befindet sich der Computer – je nach Justage des Betriebsprogramms bzw. des Boot-Programms – in einem Zustand mit reduzierter Energieaufnahme (Sleep-Modus) oder ist vollständig von der Energieversorgung getrennt.
Am Computer kann auch, je nach Einstellungen am Computer, anstatt einer vollständigen Deaktivierung lediglich der Bildschirm deaktiviert werden.
Selbstverständlich kann die Bluetooth-Schnittstelle auch direkt in den Computer integriert sein.
Die Kommunikationsverbindung kann selbstverständlich auch auf andere Art und Weise, wie beispielsweise durch die Übertragung von optischen Signalen hergestellt sein.
Der im Ausführungsbeispiel verwendete Computer kann ein handelsüblicher stationärer PC oder Laptop oder ein Terminal eines Datenverarbeitungssystem sein. Der Grundgedanke der Erfindung ist damit auch zu Deaktivierung anderer Kontrollsysteme anwendbar.

Claims

Verfahren zum Deaktivieren eines in Betrieb befindlichen Computers, der durch eine Schnittstelleneinrichtung mit einem mobilen, informationstragenden und – verarbeitenden Gerät, das sich in einem Erfassungsbereich der Schnittstelleneinrichtung befindet, in einer Kommunikationsverbindung steht, um leitungsungebunden Daten zu übertragen, wobei auf einem Informationsträger des mobilen, informationstragenden und -verarbeitenden Gerätes Daten bereit gehalten werden, um einen Nutzer gegenüber dem mobilen, informationstragenden und -verarbeitenden Gerät und gegenüber dem Computer zu authentifizieren, dadurch gekennzeichnet, dass durch eine Überwachungseinrichtung im Computer das Bestehen der Kommunikationsverbindung überwacht wird und das Betriebssystem des Computers den Computer deaktiviert, wenn die Kommunikationsverbindung abbricht.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass als mobiles, informationstragendes und -verarbeitendes Gerät ein Mobiltelefon verwendet wird und die Kommunikationsverbindung über eine Funkverbindung, insbesondere eine Bluetooth-Funkverbindung gebildet wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die leitungsungebundene Datenübertragung durch optoelektronische Signale erfolgt.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass als Funkschnittstelle ein an einem USB-Port oder einem anderen, ähnlichen Zwecken dienenden Port des Computers steckbar aufgenommener Adapter einer Bluetooth-Schnittstelle verwendet wird.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass das Betriebsystem beim Deaktivieren des Computers eine Bildschirmsperre durchführt.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass das Betriebsystem beim Deaktivieren des Computers die Energieaufnahme reduziert.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass das Betriebsystem beim Deaktivieren ein Herunterfahren des Computers durchführt und die Energiezufuhr zum Computer unterbricht.
Verfahren nach Anspruch 5, 6 oder 7, dadurch gekennzeichnet, dass vor dem Deaktivieren der Nutzer zur Eingabe einer Bestätigung aufgefordert wird.
Verfahren nach einem der Ansprüche 2 oder 4, dadurch gekennzeichnet, dass die Power Class (Reichweite) der Bluetooth-Schnittstelle auf Class 2 (Reichweite etwa 10 Meter), besonders bevorzugt Class 3 (Reichweite etwa 10 cm) begrenzt wird.
Verfahren nach einem der Ansprüche 2 bis 9, dadurch gekennzeichnet, dass die Überwachung der Kommunikationsverbindung in periodischen Zeitintervallen durchgeführt wird.
Verfahren nach Anspruch 10, dadurch gekennzeichnet, dass bei einer bestehenden Kommunikationsverbindung in den Zeitintervallen die Daten zur Authentifizierung des Nutzers gegenüber dem Computer vom mobilen, informationstragenden und -verarbeitenden Gerät an den Computer übermittelt und vom Betriebssystem des Computers ausgewertet werden.
Verfahren nach Anspruch 10 oder 11, dadurch gekennzeichnet, dass die Übermittlung der Daten zur Authenti fizierung eines Nutzers gegenüber dem Computer verschlüsselt erfolgt.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass beim Deaktivieren der Computer in einen Sleep-Modus geschaltet wird.