Mit
der steigenden Leistungsfähigkeit
derzeit verfügbarer
Netzwerke hat die Menge der übertragenen
Daten zunehmend an Bedeutung verloren. Größere Datenmengen lassen sich
meist relativ problemlos zwischen zwei Einheiten austauschen. Dennoch
kann es bei einigen Anwendungen – insbesondere bei Systemen
mit drahtlosen Netzwerken und mobilen Teilnehmern mit beschränkten Energiereserven – zur Steigerung
der Leistungsfähigkeit
des Gesamtsystems sinnvoll sein, die übertragene Datenmenge zu reduzieren
und zu optimieren.
Gründe dafür liegen
beispielsweise in einer begrenzten Leistungsfähigkeit der Empfänger bei
der Verarbeitung der empfangenen Daten oder in der mangelnden Notwendigkeit
hochgradig detaillierter Informationen. Ersteres ist insbesondere
bei Echtzeitsystemen oder Systemen mit beschränkten Energiereserven der Fall.
Zweiteres kann in vielen Anwendungsfällen Bedeutung besitzen. So
ist es beispielsweise bei der Messung einer Zeitspanne, in der ein
Nutzer eine Dienstleistung in Anspruch genommen hat, nicht notwendig,
jede einzelne Nachricht über
eine noch bestehende Nutzung der Dienstleistung zu übertragen.
Vielmehr ist es ausreichend, die gesamte Nutzungsdauer und eventuell
den Start- und/oder Endzeitpunkt der Nutzung zu übertragen und abzuspeichern.
Ebenso werden bei einem Sensornetzwerk, das in einer bestimmten
Umgebung einen durchschnittlichen Messwert bestimmen soll, nicht
die Werte jedes einzelnen Sensors benötigt. Hierbei wird sinnvoller
Weise zuerst der Durchschnittswert aus den einzelnen Messwerten
bestimmt und erst danach eine Übertragung
dieser Werte an die entsprechende Zieleinheit eingeleitet.
Derartige
und weitere Aggregationsvorgänge
sind in der Technik seit langem bekannt und werden erfolgreich eingesetzt.
Dazu werden mehrere Daten, die mit mehreren Nachrichten übertragen wurden,
an einem oder mehreren Aggregationseinheiten gesammelt und miteinander
zu einer aggregierten Nachricht zusammen gefasst. Für eine Aggregation
stehen – wie
bereits zuvor angedeutet – die verschiedensten
Verfahren zur Verfügung.
So kann eine Addition oder Subtraktion, eine Mittelwertbildung,
eine Varianzbestimmung oder weitere zusammenfassende Verfahren durchgeführt werden.
Erst nach dieser Aggregation werden die Daten in einer aggregierten
Nachricht an die Zieleinheit gesendet.
Bei
der Verwendung von Aggregation sind jedoch im Zusammenhang mit verschiedenen
Anwendungen besondere Sicherheitsmechanismen notwendig, mit denen
die übertragenen
Nachrichten gegenüber
Veränderungen
und unberechtigter Erzeugung durch nicht autorisierte erzeugende
Einheiten geschützt
werden können.
Diese Anwendungen umfassen beispielsweise elektronische Bezahlsysteme oder
eine elektronische Durchführung
von Wahlen.
Derzeit
bekannte Aggregationssysteme verfolgen zum Erreichen dieser Sicherheitsanforderungen
mehrere Ansätze,
denen zumeist ein Einsatz von Signierverfahren gemein ist. Bei einem
Ansatz werden die einzelnen signierten Nachrichten unverändert in
eine neue Nachricht eingeordnet werden. Danach wird für die gesamte
aggregierte Nachricht eine Signatur berechnet und der aggregierten
Nachricht angehängt.
Beim Empfang der aggregierten Nachricht bei der Zieleinheit muss
zunächst
die Signatur der Aggregationseinheit überprüft werden, um die Authentifizierung
der aggregierten Nachricht zu gewährleisten. Danach muss jede
in der aggregierten Nachricht enthaltene Nachricht getrennt überprüft werden.
Bei
einer Reduktion der Datenmenge müssen
bereits bei der Aggregationseinheit die Signaturen der einzelnen
empfangenen Nachrichten überprüft werden.
Danach können
die Daten der einzelnen Nachrichten aggregiert und in eine neue
Nachricht eingebettet werden. Diese Nachricht muss entsprechend
signiert und die Signatur der aggregierten Nachricht angehängt werden.
Beim Empfang bei der Zieleinheit genügt es, die Signatur der aggregierten Nachricht
zu überprüfen. Allerdings
muss hierbei gewährleistet
sein, dass der Aggregationseinheit selbst uneingeschränkt vertraut
werden kann. Diese Garantie kann jedoch nicht immer erbracht werden.
Problematisch
an den aus der Praxis bekannten Ansätzen ist, dass in dem einen
Fall immer alle Nachrichten einschließlich der Signaturen übertragen
oder zumindest an einer Zwischenstelle (hier die Aggregationseinheit)
die Signatur überprüft werden
müssen.
Dies erzeugt eine unnötig
große
Datenmenge, die übertragen
werden muss, oder einen unnötig
großen
Verarbeitungsaufwand bei der Aggregationseinheit. Außerdem wird
die Authentifizierung aufwendiger. Im letzteren Fall muss eine Überprüfung der
Signaturen bei der Aggregationseinheit durchgeführt werden, wodurch die Aggregationseinheit
mit relativ viel Wissen über
die sendenden Einheiten ausgestattet werden muss.
Der
vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren
zum Übermitteln von
Nachrichten der eingangs genannten Art derart auszugestalten und
weiterzubilden, dass eine einfache und sichere Authentifizierung
der einzelnen in einer aggregierten Nachricht enthaltenen Nachrichten und
der aggregierten Nachricht selbst möglich ist.
Erfindungsgemäß wird die
voranstehende Aufgabe durch die Merkmale des Patentanspruches 1
gelöst.
Danach ist das in Rede stehende Verfahren dadurch gekennzeichnet,
dass durch die Aggregationseinheit eine Signatur der aggregierten
Nachricht derart erzeugt wird, dass bei der Zieleinheit die aggregierte
Nachricht und die in der aggregierten Nachricht enthaltenen einzelnen
Nachrichten durch Kenntnis der aggregierten Nachricht und der Signatur
der aggregierten Nachricht verifizierbar ist.
In
erfindungsgemäßer Weise
ist zunächst
erkannt worden, dass eine sichere Authentifizierung der einzelnen
in einer aggregierten Nachricht enthaltenen Nachrichten und der
aggregierten Nachricht selbst lediglich basierend auf der Kenntnis
der aggregierten Nachricht und deren Signatur möglich ist. Dazu werden erfindungsgemäß die bei
einer Aggregationseinheit empfangenen Nachrichten in einen Datenteil
und einen Signaturteil zerlegt. Diese beiden Teile werden getrennt
und vorzugsweise parallel aggregiert. Zur Aggregation der Signatur
kommt eine Signierfunktion zum Einsatz, die eine Signatur derart berechnet,
dass lediglich durch Kenntnis der aggregierten Nachricht und deren
Signatur sämtliche
in der aggregierten Nachricht enthaltenen Nachrichten zusammen mit
deren Absender verifiziert werden können.
Das
erfindungsgemäße Verfahren
lässt sich dabei
besonders universell einsetzen. Es ist weder auf eine bestimmte
Art der Aggregation der Nachrichten, noch auf eine bestimmte Anwendung
beschränkt.
Das Aggregationsverfahren sollte lediglich auf einer mathematischen
Operation basieren. Ebenso kann das erfindungsgemäße Verfahren
mit den verschiedensten Netzwerktechnologien und den unterschiedlichsten
Transportprotokollen verwendet werden. Lediglich beispielhaft jedoch
nicht auf diese beschränkend
sei auf die Verwendung des Ethernets, WLAN (Wireless Local Area
Network) nach IEEE 802.11 oder UMTS verwiesen. Als Protokolle könnte lediglich
beispielhaft das IP-Protokoll eingesetzt werden.
Zusätzlich ist
die Aggregation nicht auf eine Aggregation bestimmter Nachrichten
beschränkt.
So können
sowohl die Nachrichten einer einzelnen erzeugenden Einheit als auch
die Nachrichten mehrerer erzeugender Einheiten aggregiert werden.
Darüber
hinaus können
mehrere über
einen Zeitraum gesammelte Nachrichten aggregiert werden. Dabei ist es
unerheblich, ob diese Nachrichten durch eine einzelne Einheit oder
mehrere Einheiten generiert wurden.
In
besonders vorteilhafter Weise müssen
zu einer Authentifizierung der einzelnen in der aggregierten Nachricht
enthaltenden Nachrichten nicht die einzelnen Nachrichten selbst
vorliegen. Vielmehr ist es ausreichend, die aggregierte Nachricht
und deren Signatur zu kennen. Ist der aggregierten Nachricht eine
korrekte Signatur angehängt,
so kann dadurch nicht nur die aggregierte Nachricht selbst, sondern auch
die Authentifizierung der einzelnen, in der aggregierten Nachricht
enthaltenden Nachrichten verifiziert werden.
Dies
kann dadurch erreicht werden, dass bei der Berechnung der Signatur
der aggregierten Nachricht eine Signierfunktion verwendet wird,
die eine Signatur basierend auf den Signaturen der empfangenen und
in der aggregierten Nachricht zusammengefassten Nachrichten bei
der Berechnung berücksichtigt.
Dadurch ist es möglich,
bei geschickter Wahl der Signierfunktion Informationen über die
Signaturen der einzelnen Nachrichten zu erhalten und nicht durch
die Aggregation zu verlieren. Zusätzlich wird bei der Berechnung
der Signatur der aggregierten Nachricht ein Schlüssel der Aggregationseinheit
verwendet, womit Aggregation selbst authentifiziert werden kann.
Hinsichtlich
einer noch größeren Sicherheit des
Verfahrens kann die Signierfunktion und der eingesetzte Schlüssel der
Aggregationseinheit derart ausgestaltet sein, dass eine korrekte
Signatur der aggregierten Nachricht lediglich durch eine entsprechend
autorisierte Aggregationseinheit mit entsprechendem Aggregationsschlüssel erzeugt
werden kann. Der Schlüssel
der Aggregationseinheit dient dabei als Voraussetzung zur korrekten
Aggregation der Signaturen der einzelnen Nachrichten. Dabei kann
der Schlüssel
der Aggregationseinheit derart ausgestaltet sein, dass die Aggregationseinheit
mit diesem Schlüssel
lediglich in Verbindung mit den Signaturen, die mit den zu aggregierenden
Nachrichten empfangen werden, zur Erzeugung einer korrekten Signatur
in der Lage ist. D. h. die Aggregationseinheit könnte dann von sich aus keine
gültig
signierten Nachrichten erzeugen. Damit lässt sich mit dem erfindungsgemäßen Verfahren
eine zusätzliche
Sicherheit erzeugen.
Je
nach Anwendungsfall des Verfahrens kann es sinnvoll sein, dass jede
erzeugende Einheit eine gesendete Nachricht mit demselben Schlüssel signiert
oder dass durch die erzeugenden Einheiten mindestens zwei voneinander
verschiedene Schlüssel
verwendet werden. Ein einheitlicher Schlüssel könnte beispielsweise dann verwendet
werden, wenn die zu aggregierenden Nachrichten lediglich durch eine
einzelne erzeugende Einheit generiert werden oder wenn eine Zuordnung
einer Nachricht an eine bestimmte erzeugende Einheit nicht notwendig
ist. In diesem Fall kann die Nachricht lediglich einer Gruppe von
erzeugenden Einheiten zugeordnet werden. Eine Signatur, die auf
unterschiedlichen Schlüsseln
der erzeugenden Einheiten beruht, ist insbesondere bei solchen Systemen
notwendig, bei denen besondere Sicherheitsrichtlinien einzuhalten sind.
So muss beispielsweise bei einer elektronischen Durchführung von
Wahlen sichergestellt sein, dass eine Stimme lediglich durch eine
bestimmte Person abgegeben wird. In diesem Fall müsste jedem
Wähler
ein unterschiedlicher und eindeutiger Schlüssel zum Signieren zur Verfügung gestellt
werden. Ebenso ist es bei Sensornetzwerken häufig notwendig, nicht lediglich
die gemessenen Werte zu kennen, sondern auch eine genaue Zuordnung
des Messwerts an einem bestimmten Sensor durchführen zu können. Hier müsste ebenso
jedem Sensor ein unterschiedlicher Schlüssel zum Signieren, vorzugsweise
ein eindeutiger Schlüssel,
bereitgestellt sein.
Zusätzlich ergibt
sich durch den Einsatz von mehreren Schlüsseln eine Erhöhung der
Sicherheit. Gelingt es einem Unberechtigten einen Schlüssel einer
erzeugenden Einheit zu finden, so erhält er lediglich Zugriff auf
die mit diesem Schlüssel
signierten Nachrichten.
Gleichzeitig
sind Anwendungsfälle
denkbar, bei denen einige Einheiten oder Gruppen von Einheiten denselben
Schlüssel
zum Signieren der Nachrichten verwenden, während im Gesamtsystem mehrere
Schlüssel
Verwendung finden. So könnte
bei dem zuvor erwähnten
Sensornetzwerk eine Gruppe von Sensoren einen Durchschnittswert
einer physikalischen Messgröße bestimmen,
während
andere Sensoren einen genauen Messwert erfassen sollen. In diesem
Fall kann der Gruppe von Sensoren ein einheitlicher Schlüssel zum
Signieren der Nachrichten zur Verfügung gestellt werden. Je nach
Anwendungsfall können
somit durch beliebige Auswahl und/oder Kombination der aufgezeigten
und weiteren Möglichkeiten
die verschiedensten Strategien bei der Vergabe der Schlüssel eingesetzt
werden.
In
bevorzugter Weise weist jedoch zumindest die Aggregationseinheit
einen von dem/den Schlüssel/n
der erzeugenden Einheiten abweichenden Schlüssel auf. Dabei kann der Schlüssel der
Aggregationseinheit auf den/die Schlüssel der erzeugenden Einheit/en
abgestimmt sein. Dabei können insbesondere
symmetrische Schlüssel
verwendet werden. Darüber
hinaus ist der Einsatz sämtlicher gegenseitiger
Abstimmungen von Schlüsseln,
die aus der Praxis bekannt sind, denkbar.
Darüber hinaus
sind die verschiedensten aus der Praxis bekannten Verfahren zum
Ablegen der Schlüssel
einsetzbar. So können
die Schlüssel softwaremäßig als
Variable in dem System abgelegt sein oder auf einem gesonderten
Chip gespeichert werden. Dabei kann es vorgesehen sein, dass die Schlüssel änderbar
ausgeführt
sind, oder aber dass die Schlüssel
lediglich durch Austausch eines Bausteins oder durch andere Sicherheitsmechanismen geschützt sind.
Falls
es durch eine Anwendung verlangt ist, könnten die bei der Aggregationseinheit
zur Aggregation empfangenen Nachrichten hinsichtlich ihrer Authentifizierung überprüft werden.
Vorzugsweise findet diese Überprüfung vor
der Aggregation statt und es könnten
lediglich die Nachrichten aggregiert werden, die korrekt authentifiziert
werden konnten. Zur Verifizierung der Nachrichten wird die Signatur der
Nachricht dahingehend überprüft, ob die
Nachricht und die Signatur zusammenpassen können. Dazu werden die aus der
Praxis bekannten Verfahren, die im Zusammenhang mit den Signierverfahren genutzt
werden, eingesetzt.
Für den Fall,
dass eine Authentifizierung einer aggregierten Nachricht durch die
Zieleinheit fehlschlägt,
kann es vorgesehen sein, dass die Zieleinheit die Aggregationseinheit
dazu auffordert, die einzelnen in der aggregierten Nachricht enthaltenen Nachrichten
zu übermitteln.
Dazu ist es notwendig, dass die Aggregationseinheit die entsprechenden Nachrichten,
die durch sie aggregiert werden, für eine gewisse Zeit zwischenspeichert.
Dieser Zeitraum kann je nach Anwendung kürzer oder länger gewählt werden. Die einzelnen in
der aggregierten Nachricht enthaltenen Nachrichten werden danach durch
die Zieleinheit gesondert hinsichtlich der Authentifizierung überprüft. Dazu
müssen
der Zieleinheit die unter Umständen
zur Überprüfung der
Signaturen notwendigen Schlüssel
zur Verfügung
gestellt werden, die bei der Zieleinheit selbst oder an anderer Stelle
innerhalb des Netzwerks abgelegt sein können.
Hinsichtlich
einer weiteren besonders universellen Einsatzmöglichkeit des Verfahrens lassen
sich Aggregationseinheiten kaskadieren. So ist es nicht ausschließlich notwendig,
dass einer Aggregationseinheit die Nachrichten einer erzeugenden
Einheit zugeführt
werden. Vielmehr können
durch eine Aggregationseinheit auch bereits aggregierte Nachrichten
einer oder mehrerer Aggregationseinheiten zusammengefasst werden.
In diesem Fall werden die empfangenen aggregierten Nachrichten wie
zuvor beschrieben behandelt. Durch die besondere Ausgestaltung der
Aggregation der Signaturen wird dies ermöglicht. Insbesondere sind auch
Mischformen möglich,
d. h. die Aggregation von einzelnen durch erzeugende Einheiten generierten
Nachrichten und bereits aggregierten Nachrichten.
Eine
Aggregation von aggregierten Nachrichten kann beispielsweise bei
der elektronischen Durchführung
von Wahlen notwendig sein. So können
die Nachrichten eines einzelnen Wahllokals über mehrere Terminals und/oder über eine
bestimmte Zeitspanne aggregiert werden. Die aggregierten Nachrichten
mehrerer Wahllokale könnten
zu einer aggregierten Nachricht über
alle Wahllokale einer Stadt verknüpft werden. Weitere Aggregationen könnten auf
Wahlkreis- und Landesebene eingesetzt werden.
Durch
dieses Signierverfahren wird für
die Nachricht m eine Signatur C berechnet. Dazu ist der Schlüssel (α, β, Θ) der erzeugenden
Einheit notwendig. Vor der eigentlichen Berechnung wird die Nachricht
m auf die Kurve abgebildet. Der dadurch entstehende Punkt wird mit
M bezeichnet. Zur Erhöhung der
Sicherheit wird der Signierfunktion ein zufälliger Punkt R aufaddiert,
der durch das Produkt einer Zufallszahl k mit dem Generator G berechnet
wird. Damit kann durch: C
= α·M + β·R + Θ·G (1)eine Signatur
erzeugt werden. Dabei bezeichnet der Stern eine Multiplikation einer
ganzen Zahl mit einem Punkt der Kurve. Werden zusätzlich spezielle
(α, β, Θ) gewählt, so
kann die Berechnung weiter vereinfacht werden. In dem hier aufgezeigten
Beispiel sei α =
s3, β =
s2 und Θ =
s, wobei s eine feste, ganze Zahl ist.
Da
nicht jede der Nachrichten zur Anforderung einer bestimmten Nutzungszeit
bei dem AAA-Server 10 bekannt sein muss, fungiert der Access
Router 9 als Aggregationseinheit 2. Der Access Router 9 sammelt
deshalb verschiedene zu unterschiedlichen Zeitpunkten von der mobilen
Station 8 empfangene Nachrichten 5 und aggregiert
nach einer bestimmten Anzahl von Nachrichten, nach einer bestimmten
Zeitdauer oder nach einer entsprechenden Nachricht der mobilen Station 8 über die
Beendigung der Nutzung die bis zu diesem Zeitpunkt angefallenen
Nachrichten. Dazu werden der Datenteil und der Signaturteil der
Nachrichten 5 der mobilen Station 8 getrennt und
parallel aggregiert. Eine Aggregation der Daten stellt in diesem
Fall eine Addition der einzelnen Zeiträume dar.
Bei
der Aggregation der Signaturen C1, C2 und C3 der einzelnen
Nachrichten 11 wird durch eine Signierfunktion aus den
einzelnen durch den Access Router 9 empfangene Nachrichten 5 eine
Signatur der aggregierten Nachricht 12 berechnet. In diesem Fall
werden die Signaturen der einzelnen Nachrichten 11 ebenso
wie die Nachrichten 11 selbst addiert. Da für alle Signaturen
der Nachrichten 11 der gleiche Schlüssel verwendet wurde, ist die
Aggregation der Signaturen besonders einfach. Durch die Art der
Signatur kann die Signatur der aggregierten Nachricht 12 durch C3 =
C1 + C2 – sG (2)berechnet
werden. Dabei ist sG der Schlüssel
der Aggregationseinheit mit den zuvor definierten Bedeutungen von
s und G. Lediglich wenn dieser Schlüssel bekannt ist, kann eine
korrekte Signatur berechnet werden. Durch Einsetzen von Gleichung
(1) für
die beiden Nachrichten M1 und M2 in
Gleichung (2) kann auf einfache Weise der Beweis geführt werden,
dass die Signatur C3 eine korrekte Signatur
für die
Nachricht M3 = M1 +
M2 darstellt. Für die Aggregation von mehr
als zwei Nachrichten, muss der in Formel (2) angegebene Zusammenhang
mehrfach angewandt werden. Man erhält, dass eine (i – 1)-fache
Subtraktion des Schlüssels
sG der Aggregationseinheit notwendig ist, wobei i die Anzahl der
zu aggregierenden Nachrichten 11 bezeichnet.
Bei
Verwendung von unterschiedlichen Schlüsseln werden die Formeln und
der Aufbau der Schlüssel
der Aggregationseinheit komplexer, das Verfahren bleibt prinzipiell
jedoch erhalten. Auf genauere Ausführungen wird deshalb an dieser
Stelle verzichtet.
Es
ist deutlich zu erkennen, dass hier der Schlüssel der Aggregationseinheit
so gewählt
ist, dass durch die Aggregationseinheit eine korrekte Signatur der
aggregierten Nachricht berechnet werden kann. Der Schlüssel ist
für sich
gesehen jedoch im Allgemeinen nicht zur Berechnung einer eigenen
Signatur in der Lage. Es sind immer die Signaturen von zu aggregierenden
Nachrichten notwendig. Dadurch ist sichergestellt, dass die Aggregationseinheit
lediglich die aggregierten Nachrichten weiterleitet und keine eigenen
Nachrichten erzeugt. Damit kann auch eine nicht uneingeschränkt vertrauenswürdige Aggregationseinheit
eine Aggregation durchführen.
Die
aggregierten Daten und die berechnete Signatur der aggregierten
Nachricht werden schließlich
zu einer aggregierten Nachricht 12 zusammengefasst und
an den AAA-Server 10 übermittelt.
Dort wird eine Verifikation der aggregierten Nachricht 12 durchgeführt. Enthält die aggregierte
Nachricht eine korrekte Signatur, so kann gewährleistet werden, dass durch
die besondere Art der Bestimmung der Signatur auch von einer Authentifizierung
der in der aggregierten Nachricht enthaltenden Nachrichten ausgegangen
werden kann.
Abschließend sei
ganz besonders hervorgehoben, dass die zuvor rein willkürlich gewählten Ausführungsbeispiele
lediglich zur Erörterung
der erfindungsgemäßen Lehre
dient, diese jedoch nicht auf das Ausführungsbeispiel einschränkt.