DE102005050352B4

DE102005050352B4 - Zeitangaben-Prüfeinheit, elektronisches Gerät und Verfahren zum Prüfen einer Zeitangabe

Info

Publication number: DE102005050352B4
Application number: DE102005050352A
Authority: DE
Inventors: David Jennings; Eckhard Delfs; Uma Ranjan; Andreas Dr. Siggelkow
Original assignee: Infineon Technologies AG
Current assignee: Intel Deutschland GmbH
Priority date: 2005-10-20
Filing date: 2005-10-20
Publication date: 2008-02-07
Anticipated expiration: 2025-10-21
Also published as: DE102005050352A1; US20070110109A1; CN1971452A; US7891009B2; CN1971452B

Abstract

Zeitangaben-Prüfeinrichtung, mit
• einer Zeitangaben-Bereitstellungseinheit, die eine von einem Benutzer veränderbare erste Zeitangabe bereitstellt,
• einem ersten Speicher zum Speichern der ersten Zeitangabe,
• einer Zeitangabe-Änderungs-Ermittlungseinheit zum Ermitteln einer Prüfeinrichtungs-extern vorgenommenen Änderung der ersten Zeitangabe, womit eine veränderte erste Zeitangabe erzeugt wird,
• einer Zeitangabe-Differenz-Ermittlungseinheit zum Ermitteln der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe,
• einem zweiten Speicher zum Speichern der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder der veränderten ersten Zeitangabe,
• einem dritten Speicher zum Speichern einer vertrauenswürdigen zweiten Zeitangabe, und
• mit einer Prüfeinheit, mit der unter Verwendung der ersten Zeitangabe, der Differenz zwischen der gespeicherten ersten Zeitangabe und einer veränderten ersten Zeitangabe und der zweiten Zeitangabe geprüft wird, ob ein vorgegebenes Kriterium erfüllt ist,
• wobei der erste Speicher derart eingerichtet ist, dass die gespeicherte erste Zeitangabe nicht...

Description

In einem vertrauensbasierten System wird Zugriff auf eine Entität, wie beispielsweise auf digitalen Inhalt, im Folgenden auch bezeichnet als Mediendaten, üblicherweise beschränkt durch vorgegebene Zugriffsrechte. Eine Art einer üblichen Zugriffsvoraussetzung ist das Erfüllt-Sein eines zeitlichen Zugriffskriteriums. Beispielsweise kann ein zeitliches Zugriffskriterium darin gesehen werden, dass auf die Mediendaten nur für eine vorgegebene Zeitdauer oder bis zu einem vorgegebenen Zeitpunkt durch einen Benutzer zugegriffen werden darf beziehungsweise dem Nutzer die Mediendaten dargestellt werden können.
Mobile Kommunikationseinrichtungen, beispielsweise Mobilfunktelefone oder auch andere mobile Endgeräte, weisen üblicherweise einen so genannten Echtzeituhr-Zeitangaben-Schaltkreis auf (Real-Time Clock, RTC). Der RTC-Schaltkreis stellt üblicherweise die Systemzeit mit einer gewissen Genauigkeit bereit. Der RTC-Schaltkreis, auch bezeichnet als RTC-Modul, ist derart eingerichtet, dass kurze Stromversorgungs-Unterbrechungen, anders ausgedrückt Unterbrechungen in der Energieversorgung, toleriert werden können und nicht zu einer Beeinträchtigung der bereitgestellten Zeitangabe führen. Jedoch führen üblicherweise längere Unterbrechungen in der Energieversorgung bei dem RTC-Schaltkreis dazu, dass eine ungenaue interne Zeitangabe erzeugt wird. Dieser Fehler kann mit internen Einrichtungen innerhalb des mobilen Endgeräts derzeit nicht erfasst werden. Ferner ist es möglich, dass der Benutzer die Systemzeit ändert um Zugriff auf Digitale-Rechte-Verwaltungs-Material (DRM, Digital Rights Management) zu erlangen, für das er eigentlich keine Zugriffsrechte mehr besitzt. Für DRM-Anwendungen ist es wünschenswert, dass Spannungs- und Energieversorgungs-Unterbrechungen, beispielsweise Spannungs-Unterbrechungen und böswillige Interaktionen seitens eines Benutzers z.B. mit einem mobilen Endgerät nicht zu unbefugter Nutzung des DRM-Materials führen.
Bei einem Mobilfunkendgerät wäre es möglich, die tatsächliche Zeit zu überprüfen, indem die Systemzeit des Mobilfunkendgeräts synchronisiert wird mit der von dem Mobilfunk-Kommunikationsnetz bereitgestellten Zeitangabe, bei einem GSM-Mobilfunk-Kommunikationsnetz beispielsweise durch Synchronisation mit der GSM-Zeit/Datum-Information. Dieses Leistungsmerkmal ist bei GSM und bei den zugehörigen Mobilfunk-Kommunikationsendgeräten jedoch nur optional und wird nicht in allen Mobilfunk-Kommunikationsnetzen beziehungsweise nicht in allen Mobilfunkzellen angeboten.
Eine andere Möglichkeit, eine verlässliche Zeitangabe beispielsweise für ein DRM bereitzustellen, kann darin gesehen werden, dass ein zweiter Zeitangaben-Bereitstellungs-Schaltkreis in Hardware in dem Endgerät implementiert wird, wobei der zweite Zeitangaben-Bereitstellungs-Schaltkreis derart eingerichtet ist, dass es dem Benutzer des Endgerätes nicht ermöglicht ist, diese Zeitangabe zu ändern. Diese Lösung ist jedoch sehr aufwendig und damit kostenintensiv, da mehrere Hardware-Schaltkreise für die Bereitstellung unterschiedlicher Zeitangaben erforderlich sind. Ferner wird durch diese Lösung das Problem der Unterbrechung der Energieversorgung nicht gelöst.
Aus [1] ist ein Zeitangaben-Bereitstellungs-Schaltkreis bekannt, wobei die Zeitangabe nur von einer vertrauenswürdigen Instanz, dort bezeichnet als vertrauenswürdige Zeit-Autorität, geändert werden kann.
In Druckschrift [2] ist ein elektronisches Gerät beschrieben, das eine Echtzeituhr sowie einen Systemzeitgeber aufweist, der eine Systemzeitinformation erzeugt. In das elektronische Gerät können Instruktionen zur Änderung der Systemzeitinformation eingegeben werden, wobei die möglichen Änderungen auf einen vorgegebenen Bereich eingeschränkt werden. Ferner ist der Wert, auf den die Echtzeituhr zurückgesetzt werden kann, gemäß in einem Speicher gespeicherten Daten eingeschränkt.
In [3] ist eine elektronische Schaltung offenbart, bei der der Vergleich zweier Zahlen mittels Substraktion der beiden Zahlen durchgeführt wird.
In [4] ist ein Verfahren beschrieben, mit dem in einer Kommunikationsvorrichtung eine sichere Uhr bereitgestellt wird. Dabei werden Uhr-Ereignisse aus einer Menge von Benutzer-Uhr-Ereignissen und System-Uhr-Ereignissen, beispielsweise der Empfang eines Zeitsignals, detektiert, eine sichere Uhr-Basis initialisiert und ein Offset bestimmt.
Der Erfindung liegt das Problem zugrunde, auf kostengünstige Weise mit nur einer Zeitangaben-Bereitstellungseinheit, welche eine von einem Benutzer veränderbare Zeitangabe bereitstellt, zu prüfen, ob ein vorgegebenes, beispielsweise zeitliches, Kriterium erfüllt ist.
Das Problem wird durch eine Zeitangaben-Prüfeinrichtung, durch ein elektronisches Gerät sowie durch ein Verfahren zum Prüfen einer Zeitangabe mit den Merkmalen gemäß den unabhängigen Patentansprüchen gelöst.
Beispielhafte Ausgestaltungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Eine Zeitangaben-Prüfeinrichtung weist eine Zeitangaben-Bereitstellungseinheit auf, beispielsweise realisiert mittels eines speziellen elektronischen Schaltkreises, damit beispielsweise realisiert in Hardware, die eine von einem Benutzer veränderbare erste Zeitangabe bereitstellt. Ferner sind ein erster Speicher zum Speichern der ersten Zeitangabe vorgesehen sowie eine Zeitangabe-Änderungs-Ermittlungseinheit zum Ermitteln einer Prüfeinrichtungs-extern vorgenommenen Änderungen der ersten Zeitangabe, womit eine veränderte erste Zeitangabe erzeugt wird. Die Prüfeinrichtungs-extern vorgenommene Änderung kann beispielsweise von einem Benutzer eines elektronischen Geräts, in welcher die Zeitangaben-Prüfeinrichtung implementiert ist als eingebettete Einrichtung (Embedded Application), vorgenommen werden, beispielsweise mittels an dem elektronischen Gerät angebrachter Tasten oder anderer taktiler Eingabeeinheiten, alternativ mittels einer Sprach-Benutzereingabe, welche von einer Spracherkennungseinrichtung in dem elektronischen Gerät erkannt und entsprechend verarbeitet wird. Weiterhin ist eine Zeitangabe-Differenz-Ermittlungseinheit vorgesehen zum Ermitteln der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe. Damit wird beispielsweise ein so genannter Offset zwischen der ersten Zeitangabe und der veränderten ersten Zeitangabe ermittelt. Ein zweiter Speicher zum Speichern der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder der veränderten ersten Zeitangabe ist ebenso vorgesehen wie ein dritter Speicher zum Speichern einer vertrauenswürdigen zweiten Zeitangabe. Die Zeitangaben-Prüfeinrichtung weist ferner eine Prüfeinheit auf, mit der unter Verwendung der ersten Zeitangabe, der Differenz zwischen der gespeicherten ersten Zeitangabe und einer veränderten ersten Zeitangabe, sowie der zweiten Zeitangabe geprüft wird, ob ein vorgegebenes Kriterium erfüllt ist. Der erste Speicher ist derart eingerichtet, dass die gespeicherte erste Zeitangabe nicht von einem Benutzer geändert werden kann und/oder der zweite Speicher ist derart eingerichtet, dass die gespeicherte Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die veränderte erste Zeitangabe nicht von einem Benutzer geändert werden kann.
Weiterhin ist ein elektronisches Gerät mit einer solchen Zeitangaben-Prüfeinrichtung vorgesehen.
Bei einem Verfahren zum Prüfen einer Zeitangabe, welches durchgeführt wird von einer Zeitangaben-Prüfeinrichtung, wird von einer Zeitangaben-Bereitstellungseinheit eine von einem Benutzer veränderbare erste Zeitangabe bereitgestellt. Ferner wird die erste Zeitangabe in einem ersten Speicher gespeichert. Eine Prüfeinrichtungs-extern vorgenommene Änderung der ersten Zeitangabe, womit eine veränderte Zeitangabe erzeugt wird, wird ermittelt. Weiterhin wird die Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe ermittelt. Die Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die veränderte erste Zeitangabe wird in einem zweiten Speicher gespeichert. Ferner wird eine vertrauenswürdige zweite Zeitangabe in einem dritten Speicher gespeichert und unter Verwendung der ersten Zeitangabe, der Differenz zwischen der gespeicherten ersten Zeitangabe und einer veränderten ersten Zeitangabe, sowie der zweiten Zeitangabe wird geprüft, ob ein vorgegebenes Kriterium erfüllt ist. Die in dem ersten Speicher gespeicherte erste Zeitangabe und/oder die in dem zweiten Speicher gespeicherte Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die in dem zweiten Speicher gespeicherte veränderte erste Zeitangabe können nicht von einem Benutzer geändert werden.
Die Zeitangaben-Bereitstellungseinheit kann ein Echtzeituhr-Schaltkreis sein, welcher eingerichtet ist zum Bereitstellen der ersten Zeitangabe als Echtzeituhr-Zeitangabe (Real-Time Clock, RTC).
Ist der erste Speicher derart eingerichtet, dass die gespeicherte erste Zeitangabe von einem Benutzer der Prüfeinrichtung nicht geändert werden kann, ist die gespeicherte erste Zeitangabe, wie sie in dem ersten Speicher gespeichert ist, vor einer unbefugten Veränderung geschützt und lediglich die Differenz, welche in dem zweiten Speicher gespeichert ist, kann durch eine Benutzereingabe zum Ändern der ersten Zeitangabe tatsächlich innerhalb der Zeitangaben-Prüfeinrichtung verändert werden.
Ist der zweite Speicher derart eingerichtet, dass die gespeicherte Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten Zeitangabe und/oder die veränderte erste Zeitangabe nicht von einem Benutzer geändert werden kann, so ist die Differenz beziehungsweise die veränderte erste Zeitangabe vor einem Zugriff durch einen Benutzer bei Änderung der ersten Zeitangabe durch eine entsprechende Benutzereingabe geschützt und die in dem ersten Speicher gespeicherte erste Zeitangabe wird entsprechend angepasst.
Mindestens einer der folgenden Speicher ist gemäß einer Ausgestaltung der Erfindung als nicht-flüchtiger Speicher eingerichtet:

• der erste Speicher, und/oder
• der zweite Speicher, und/oder
• der dritte Speicher.

Der oder die Speicher können somit als Flash-Speicher (beispielsweise als Floating Gate-Speicher oder als Trapping-Schicht-Speicher, beispielsweise als NROM-Speicher (Nitrided Read Only Memory)), als magnetoresistiver Vielfachzugriffsspeicher (Magnetic Random Access Memory, MRAM-Speicher), als ferroelektrischer Vielfachzugriffsspeicher (Ferroelectric Random Access Memory, FeRAM-Speicher), als Conductive Bridging-Vielfachzugriffsspeicher (CB Random Access Memory, CBRAM-Speicher), als organischer Vielfachzugriffsspeicher (Organic Random Access Memory, ORAM-Speicher), als Phase Change-Vielfachzugriffsspeicher (Phase Change Random Access Memory, PCRAM-Speicher) oder als anderer nicht-flüchtiger Speicher eingerichtet sein.
Die vertrauenswürdige zweite Zeitangabe ist gemäß einer Ausgestaltung der Erfindung eine Digitale-Rechte-Verwaltungs-Zeitangabe (Digital Rights Management-Zeitangabe, DRM-Zeitangabe), mit welcher angegeben wird, wie lange und/oder bis zu welchem Zeitpunkt Mediendaten, die beispielsweise im Rahmen des Digital Rights Management bereitgestellt werden und denen beispielsweise die zweite Zeitangabe zugeordnet ist, verwendet werden dürfen.
In einer Ausgestaltung der Erfindung ist die Prüfeinheit derart eingerichtet, dass sie prüft, ob Mediendaten, denen die zweite Zeitangabe zugeordnet ist, dargestellt werden dürfen.
Auf diese Weise wird beispielsweise im Rahmen des DRM mit nur einem Schaltkreis, das heißt mit nur einem Echtzeituhr-Schaltkreis, auf einfache Weise die Sicherstellung der Darstellung von Mediendaten nur im Rahmen des zeitlichen Gültigkeitskriterium gewährleistet, ohne dass eine für einen Angreifer nützliche Misbrauchsmöglichkeit eröffnet wird. Dies erfolgt, wie oben dargelegt, dadurch, dass anschaulich die erste Zeitangabe, eine jeweilige beispielsweise von einem Benutzer vorgenommene Änderung der ersten Zeitangabe sowie die vertrauenswürdige DRM-Zeitangabe verwendet werden, um zu ermitteln, ob die Mediendaten dem Benutzer noch bereitgestellt werden sollen, anders ausgedrückt, ob die Mediendaten noch gültig sind.
Gemäß einer anderen Ausgestaltung der Erfindung ist es vorgesehen, dass die Mediendaten verschlüsselt dem jeweiligen elektronischen Gerät zur Darstellung an einen Benutzer übermittelt werden und es vor der Darstellung der Mediendaten erforderlich ist, diese zu entschlüsseln.
Bei Verwendung eines solchen beispielsweise kryptographischen Sicherheitsmechanismus ist in der Zeitangaben-Prüfeinrichtung gemäß einer Ausgestaltung der Erfindung ein Schlüsselspeicher vorgesehen zum Speichern mindestens eines kryptographischen Schlüssels, welchem die zweite Zeitangabe zugeordnet ist, wobei mittels der zweiten Zeitangabe die Gültigkeit des mindestens einen kryptographischen Schlüssels ermittelbar ist.
Auf diese Weise wird gemäß dieser Ausgestaltung der Erfindung indirekt die Gültigkeit der Mediendaten überprüft, indem die Gültigkeit des zur Entschlüsselung der verschlüsselt vorliegenden Mediendaten zu verwendenden kryptographischen Schlüssels überprüft wird.
Allgemein kann jedoch diese Ausgestaltung der Erfindung auch auf jede Art der Prüfung eines anderen kryptographischen Elements, beispielsweise eines kryptographischen Zertifikats, welches einer zeitlichen Gültigkeitsdauer unterliegt, angewendet werden.
Liegen die Mediendaten verschlüsselt vor, so kann in der Zeitangaben-Prüfeinrichtung eine Entschlüsselungseinheit zum Entschlüsselung der Mediendaten unter Verwendung des mindestens einen kryptographischen Schlüssels vorgesehen sein.
Zur Verschlüsselung beziehungsweise Entschlüsselung können beliebige kryptographische Verfahren eingesetzt werden, beispielsweise symmetrische Verschlüsselungsverfahren oder asymmetrische Verschlüsselungsverfahren, wobei der jeweilige kryptographische Schlüssel derart eingerichtet ist, dass er geeignet ist zur Entschlüsselung der verschlüsselten Mediendaten. Beispielsweise kann zur Verschlüsselung als symmetrisches Verfahren das DES-Verfahren eingesetzt werden und zur asymmetrischen Verschlüsselung das RSA-Verfahren.
Ferner können zusätzliche kryptographische Sicherheitsmechanismen vorgesehen sein, beispielsweise eine digitale Signatur über die verschlüsselten Mediendaten.
In einer Ausgestaltung des elektronischen Geräts kann dieses eine Mediendaten-Darstellungseinrichtung zum Darstellen von Mediendaten aufweisen, wobei die Mediendaten-Darstellungseinrichtung gekoppelt ist mit der Zeitangaben-Prüfeinheit, wobei die Mediendaten-Darstellungseinrichtung derart eingerichtet ist, dass sie die Mediendaten nur darstellt, wenn die Prüfeinheit ermittelt hat, dass das Kriterium erfüllt ist.
Auf diese Weise ist anschaulich sichergestellt, das nur dann, wenn das vorgegebene Kriterium, beispielsweise das vorgegebene zeitliche Kriterium, erfüllt ist, die Mediendaten einem Benutzer des elektronischen Geräts dargestellt werden können, beispielsweise mittels eines Bildschirms und/oder eines Lautsprechers als Mediendaten-Darstellungseinrichtung. Mittels eines Bildschirms werden beispielsweise graphische Mediendaten angezeigt und mittels des Lautsprechers werden Audio-Mediendaten dargestellt.
Das elektronische Gerät ist gemäß einer Ausgestaltung der Erfindung als Kommunikationsgerät eingerichtet, beispielsweise als Mobilfunk-Kommunikationsendgerät. Alternativ kann das elektronische Gerät jede Art von Recheneinheit sein, welche beispielsweise mittels einer entsprechenden Eingabe/Ausgabe-Schnittstelle versehen ist zum Empfangen und Verarbeiten der vertraulichen zweiten Zeitangabe, beispielsweise ein Personal Computer (PC), ein Labtop, ein Notebook, ein Personal Digital Assistant (PDA), etc.
Gemäß einem Aspekt der Erfindung wird somit erreicht, dass selbst bei länger andauerndem Ausfall der Energieversorgung und bei unbefugter Veränderung der Systemzeit durch einen Benutzer mittels der eingebetteten Anwendung mit der sicheren Zeitangaben-Bereitstellungseinheit sichergestellt wird, dass beispielsweise im Rahmen von DRM nur die Daten einem Benutzer dargestellt werden, bei denen das Benutzungs-Zeitintervall noch nicht abgelaufen ist, allgemein bei dem die Nutzung und Darstellung der Mediendaten durch den Benutzer gemäß dem Zugriffskriterium oder gemäß den Zugriffskriterien im Rahmen des DRM zulässig ist. Ferner wird ermöglicht, das der Benutzer die erste Zeitangabe in beliebiger Richtung verändern kann.
Ein anderes Anwendungsgebiet ist, wie oben beschrieben, die Validierung von elektronischen Zertifikaten unter Verwendung der Zeitangaben-Prüfeinrichtung, wodurch es einem Angreifer unmöglich gemacht wird, abgelaufene elektronische Zertifikate zu nutzen.
Gemäß einem Aspekt der Erfindung wird jede von einem Benutzer, allgemein Prüfeinrichtungs-extern, vorgenommene und initiierte Änderung der ersten Zeitangabe in einem sicheren Speicher gespeichert. Ferner wird die tatsächliche RTC-Zeit regelmäßig, beispielsweise zwei Mal am Tag, allgemein in vorgebbaren Zeitintervallen, in einem sicheren Speicher gespeichert.
Wenn ein DRM-Agentenprozess eine Verbindung zu einer DRM-Servereinheit aufbaut und ein Produkt beantragt beziehungsweise erfragt, wird die dem Produkt zugeordnete und beigefügte DRM-Zeit als eine DRM-Offset-Zeitangabe in einem sicheren Speicher gespeichert, beispielsweise als vertrauenswürdige zweite Zeitangabe. Dieser DRM-Offset wird nur dann aktualisiert, wenn der DRM-Agentenprozess eine neue Zeitangabe von der DRM-Servereinheit ermittelt. Mit dieser Information ist es möglich, den Benutzer abzuhalten, DRM-Inhalte, im Folgenden auch bezeichnet als Mediendaten, zu konsumieren, wenn die Erlaubnis hierfür abgelaufen ist. Dies gilt sogar in dem Fall einer Unterbrechung der Energieversorgung für das elektronische Gerät mit der Zeitangaben-Prüfeinrichtung. Somit ist keine zusätzliche Hardware zu dem ohnehin üblicherweise in einem elektronischen Gerät vorgesehenen RTC-Schaltkreis erforderlich.
Diese oben und im Folgenden noch näher erläuterte Softwarebasierte Lösung ist kostengünstig und es werden lediglich einige sichere Speicher zusätzlich in dem elektronischen Gerät beziehungsweise in der Zeitangaben-Prüfeinrichtung benötigt. Weiterhin ist es nicht erforderlich, zwei unterschiedliche Zähler miteinander zu synchronisieren.
Anschaulich werden somit gemäß einem Aspekt der Erfindung alle Änderungen der ersten Zeitangabe mitverfolgt und gespeichert und es werden Referenzpunkte als Zeitangaben in einem sicheren Speicher gespeichert. Auf diese Weise ist es ermöglicht, das erlaubte DRM-Zeitintervall, während dessen die Nutzung von Mediendaten erlaubt ist, zu erkennen. Die Zeitangaben können eine Uhrzeit-Zeitangabe und/oder eine Datum-Zeitangabe enthalten, beispielsweise in Form eines HTTP-Strings gemäß dem HTTP-Protokoll (Hypertext Transfer Protocol) aufgebaut, wie er in dem DRM-Standard der Open Mobile Alliance (OMA) definiert ist.
Allgemein kann jedoch jede Art und jedes Format einer Zeitangabe im Rahmen der Erfindung verwendet werden.
Ausführungsbeispiel der Erfindung sind in den Figuren dargestellt und werden im Folgenden näher erläutert.
Es zeigen
1 ein DRM-Kommunikationssystem gemäß einem Ausführungsbeispiel der Erfindung;
2 ein Blockdiagramm, in dem ein Mobilfunk-Kommunikationsendgerät und eine DRM-Servereinheit gemäß einem Ausführungsbeispiel der Erfindung dargestellt sind;
3 ein Ablaufdiagramm, in dem das Speichern der ersten Zeitangabe in einem ersten Speicher dargestellt ist;
4 ein Ablaufdiagramm, in dem die einzelnen Schritte zum Ermitteln der RTC-Offset-Zeitangabe, welche in dem zweiten Speicher gespeichert wird, dargestellt ist;
5 ein Ablaufdiagramm, in dem das Verarbeiten von einer vertrauenswürdigen zweiten Zeitangabe dargestellt ist;
6 ein Ablaufdiagramm, gemäß dem überprüft wird, ob Mediendaten einem Benutzer dargestellt werden, gemäß einem Ausführungsbeispiel der Erfindung; und
7 ein Blockdiagramm, in dem eine Hardware-Realisierung eines Akkumulators zum Ermitteln der akkumulierten Änderungen der ersten Zeitangabe, beispielsweise durch einen Benutzer, dargestellt ist.
1 zeigt ein Mobilfunk-Kommunikationssystem 100 mit einer Vielzahl von Mobilfunk-Kommunikationsendgeräten 101, 102, 103, 104, welche mittels einer jeweiligen Mobilfunk-Kommunikationsverbindung 105, 106, 107, 108 mit einem Mobilfunk-Zugangsnetzwerk, beispielsweise einem Radio Access Network (RAN) gemäß GSM oder mittels eines UMTS Radio Access Network (UTRAN) gemäß UMTS, mit einem Mobilfunk-Kommunikationsnetzwerk 109 gekoppelt ist. Ferner ist das Mobilfunk-Kommunikationsnetzwerk 109 mit einer Digitale-Rechte-Verwaltungs-Servereinheit 110 gekoppelt (Digital Rights Management-Servereinheit, DRM-Servereinheit).
Das Mobilfunk-Kommunikationsnetzwerk 109 und die Mobilfunk-Kommunikationsendgeräte 101, 102, 103, 104 sowie die zwischen diesen durchgeführte Kommunikation ist gemäß einem beliebigen Mobilfunk-Kommunikationsstandard, beispielsweise GSM, UMTS, CDMA200, FOMA, etc., eingerichtet.
Die DRM-Servereinheit 110 sowie die Kommunikation im Rahmen der Digitalen-Rechte-Verwaltung, das heißt im Rahmen des DRM erfolgt gemäß diesen Ausführungsformen gemäß dem DRM-Standard 1.0 oder gemäß dem DRM-Standard 2.0 der Open Mobile Alliance (OMA). Entsprechend sind auch die im Rahmen der Digitalen-Rechte-Verwaltung vorgesehenen und ausgetauschten Protokollnachrichten gemäß dem jeweiligen verwendeten DRM-Standard eingerichtet.
2 zeigt in einem Blockdiagramm 200 die DRM-Servereinheit 110 und eines der Mobilfunk-Kommunikationsendgeräte 101 im Detail. Aus Gründen der einfacheren Darstellung ist lediglich eine unmittelbare Kommunikationsverbindung zwischen dem Mobilfunk-Kommunikationsendgerät 101 und der DRM-Servereinheit 110 dargestellt.
Das Mobilfunk-Kommunikationsendgerät 101 weist eine Antenne 201 sowie nicht dargestellte übliche Einheiten eines Mobilfunk-Kommunikationsendgeräts auf, wie beispielsweise einen Bildschirm, eine Tastatur, einen Lautsprecher, ein Mikrofon, etc.
Wie in 2 ferner dargestellt ist, weist das Mobilfunk-Kommunikationsendgerät 101, wie auch die anderen Mobilfunk-Kommunikationsendgeräte 102, 103, 104, eine Zeitangaben-Prüfeinrichtung 202 auf.
Die Zeitangaben-Prüfeinrichtung 202 weist einen Real-Time Clock-Schaltkreis (RTC-Schaltkreis) 203 als Zeitangaben-Bereitstellungseinheit auf. Der RTC-Schaltkreis 203 stellt eine von einem Benutzer veränderbare erste Zeitangabe bereit, welche im Folgenden als RTC oder auch als Systemzeit bezeichnet wird. Die RTC kann von einem Benutzer initiiert verändert werden, beispielsweise durch eine entsprechende benutzerseitige Eingabe mittels einer Tastatur oder mittels einer in diesem Fall in dem Mobilfunk-Kommunikationsendgerät 101 vorgesehenen Spracherkennungseinrichtung, welche von einem Benutzer eingesprochene Sprachsignale (Sprachbefehl) erkennt und entsprechend verarbeitet.
Ferner ist ein Eingabe/Ausgabe-Schaltkreis 204 vorgesehen, welcher eine Kommunikationsverbindung zu dem Mobilfunk-Kommunikationsnetzwerk 109 und darüber gegebenenfalls mit der DRM-Servereinheit 110 bereitstellt.
Ferner weist die Zeitangaben-Prüfeinrichtung 202 in dem Mobilfunk-Kommunikationsendgerät 101 mehrere Speicher auf, welche als separate Speicher oder als unterschiedliche Speicherbereiche in einem gemeinsamen Speicher implementiert sein können.
Wie in 2 dargestellt sind gemäß dieser Ausführungsform der Erfindung folgende Speicher vorgesehen:

• Ein erster Speicher 205 zum Speichern eines RTC-Prüfwerts (RTC-check value). Bei erstmaliger Benutzung des Mobilfunk-Kommunikationsendgeräts 101 wird der RTC-Prüfwert auf einen vorgebbaren Initialisierungswert gesetzt, gemäß diesem Ausführungsbeispiel auf den Wert: 0 × FFFF_FFFF. Der RTC-Prüfwert wird in vorgebbaren Zeitabständen, beispielsweise zwei Mal am Tag, aktualisiert durch Speichern des jeweils aktuellen RTC-Werts, wobei anzumerken ist, dass die Anzahl und die Häufigkeit der Aktualisierungen beispielsweise von dem Mobilfunk-Kommunikationsendgeräte-Hersteller vorgebbar ist.
• Ein RTC-Offset-Speicher als zweiter Speicher 206 zum Speichern eines RTC-Offset-Werts, welcher die Differenz des RTC-Prüfwerts und der aufgrund einer Änderung des RTC-Zeitwerts, das heißt der ersten Zeitangabe, gebildeten veränderten ersten Zeitangabe darstellt. Bei erstmaligem Einsatz des Mobilfunk-Kommunikationsendgeräts 101 wird der RTC-Offset-Wert auf einen vorgebbaren Initialisierungswert gesetzt, gemäß diesem Ausführungsbeispiel auf den Wert 0. Der RTC-Offset-Wert wird jedes Mal neu berechnet, wenn ein Benutzer die RTC verändert. In der Fabrik wird der RTC-Offset-Wert von dem Mobilfunk-Kommunikationsendgeräte-Hersteller auf den Wert 0 initialisiert. Ferner wird ein Zurücksetzen des RTC-Offset-Wertes auf den Wert 0 nur vorgenommen, wenn das Mobilfunk-Kommunikationsendgerät nicht mit Energie versorgt wird, beispielsweise somit, wenn die Batterie des Mobilfunk-Kommunikationsendgeräts 101 entfernt wird, und die RTC nicht verfügbar ist. Das erste Mal, wenn die RTC eingestellt wird, wird auch der RTC-Offset-Wert entsprechend eingestellt. Der RTC-Offset-Wert kann ein negativer Wert oder ein positiver Wert sein, abhängig von dem Zustand der RTC, wenn das Mobilfunk-Kommunikationsendgerät 101 das erste Mal mit Energie versorgt wird und hochgefahren wird.
• Ein dritter Speicher 207, im Folgenden auch bezeichnet als DRM-Offset-Speicher, in welchem ein DRM-Offset-Wert, welcher im Folgenden noch näher erläutert wird, gespeichert wird als vertrauenswürdige zweite Zeitangabe. Der DRM-Offset-Wert wird initialisiert bei erstmaligem Benutzen des Mobilfunk-Kommunikationsendgeräts 101 mit einem vorgebbaren Initialisierungswert, gemäß diesem Ausführungsbeispiel der Erfindung mit: 0 × FFFF_FFFF. Nachdem, wie im Folgenden noch näher erläutert wird, ein DRM-Zeitwert von der DRM-Servereinheit 110 zu dem Mobilfunk-Kommunikationsendgerät 101 übertragen wurde, beispielsweise in einer DRM-Zeitwert-Nachricht 208, womit die absolute DRM-Zeit für Mediendaten, beispielsweise für ein oder mehrere Musikstücke oder ein oder mehrere Videofilme, etc. verfügbar ist, wird der DRM-Offset-Wert berechnet gemäß folgender Vorschrift: DRM-Offset-Zeitwert = DRM-Zeitwert – RTC – ROT-Offset-Zeitwert. (1)
• In einem vierten Speicher 208 (im Folgenden auch bezeichnet als Mediendaten-Speicher 208) sind verschlüsselte oder unverschlüsselte Mediendaten gespeichert, welche von der DRM-Servereinheit 110 oder von einem anderen Diensteprovider bereitgestellt werden und an das Mobilfunk-Kommunikationsendgerät 101 übertragen werden.
• Den Mediendaten sind im Rahmen des DRM jeweils zeitliche Gültigkeitsangaben zugeordnet, beispielsweise in Form eines hinsichtlich seiner zeitlichen Gültigkeit begrenzten kryptographischen Schlüssels, wenn die Mediendaten in verschlüsselter Form an das Mobilfunk-Kommunikationsendgerät 101 übertragen werden, wobei der oder die kryptographische(n) Schlüssel, welche(r) zum Entschlüsseln der verschlüsselten Mediendaten (bzw. bei Verwenden einer digitalen Signatur zum Validieren der Mediendaten) verwendet werden kann/können, in einem Schlüsselspeicher 209 gespeichert sind.

In diesem Zusammenhang ist anzumerken, dass der Initialisierungswert 0 × FFFF_FFFF für einen DRM-Agenten im Rahmen des DRM als Ungültig-Markierung (Ungültig-Flag) interpretiert wird.
Ferner ist ein Mikroprozessor 210 vorgesehen, welcher folgende in Form von Computerprogrammen realisierte Einheiten aufweist. Es ist darauf hinzuweisen, dass die Einheiten auch in Form von jeweils separaten elektronischen Schaltungen oder separaten Mikroprozessoren realisiert sein können.
Es ist eine Zeitangabe-Änderungs-Ermittlungseinheit 211 vorgesehen zum Ermitteln einer Prüfeinrichtungs-extern vorgenommenen Änderung der ersten Zeitangabe, womit eine veränderte erste Zeitangabe erzeugt wird. Die Zeitangabe-Änderungs-Ermittlungseinheit 211 kann beispielsweise den Start eines Prozesses erkennen, welcher verwendet wird innerhalb des Mobilfunk-Kommunikationsendgeräts 101 zum Verändern der RTC.
Weiterhin ist eine Zeitangabe-Differenz-Ermittlungseinheit 212 vorgesehen zum Ermitteln der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe.
Weiterhin ist eine Prüfeinheit 213 vorgesehen, mittels der unter Verwendung der ersten Zeitangabe (genauer unter Verwendung des RTC-Prüfwerts), der Differenz zwischen der gespeicherten ersten Zeitangabe (d.h. beispielsweise des RTC-Prüfwerts) und einer veränderten ersten Zeiteingabe, sowie der zweiten Zeitangabe geprüft wird, ob ein vorgegebenes Kriterium erfüllt wird.
Weiterhin ist eine Entschlüsselungseinheit 214 vorgesehen, welche eingerichtet ist zum Entschlüsseln der verschlüsselten Mediendaten unter Verwendung eines hierfür geeigneten Entschlüsselungs-Schlüssels, welcher in dem Schlüsselspeicher 209 gespeichert wird.
Weiterhin weist das Mobilfunk-Kommunikationsendgerät 101 eine nicht dargestellte Abspiel-Einheit auf zum Abspielen beziehungsweise Darstellen der entschlüsselten Mediendaten, wenn die Zeitangaben-Prüfeinrichtung 202 ermittelt hat, dass die Mediendaten gültig sind und dem Benutzer dargestellt werden dürfen.
Der erste Speicher 205, in welchem der RTC-Prüfwert gespeichert wird, ist gemäß dieser Ausführungsform der Erfindung als chip-externer und optional als Mobilfunk-Kommunikationsendgerät-externer Flash-Speicher eingerichtet, der im Rahmen des User Spaces (das heißt des Benutzer-Datenraums) als nur Lese-Speicher eingerichtet ist. Der zweite Speicher 206, in welchem der RTC-Offset-Zeitwert gespeichert ist, ist ebenfalls als chip-externer und optional als Mobilfunk-Kommunikationsendgerät-externer Flash-Speicher eingerichtet, welcher in dem User Space als Read/Write-Speicher (Schreib/Lese-Speicher) eingerichtet ist, auf welchen jedoch nur von dem in dem Mobilfunk-Kommunikationsendgerät 101 ebenfalls implementierten DRM-Agenten zugegriffen werden kann. In entsprechender Weise ist auch der DRM-Offset-Speicher 207, in dem der DRM-Offset-Zeitwert gespeichert ist, eingerichtet.
Für die beschriebenen Ausführungsbeispiele der Erfindung wird ohne Einschränkung der Allgemeingültigkeit angenommen, dass ein sicheres Hochfahren des Mobilfunk-Kommunikationsendgeräts 101 gewährleistet ist und nur signierte, das heißt vertrauenswürdige Software in das Mobilfunk-Kommunikationsendgerät 101 geladen wird und nur eine solche vertrauenswürdige Software verwendet wird zur Aktualisierung von in dem Mobilfunk-Kommunikationsendgerät 101 gespeicherter Software. Ferner wird angenommen, dass das gesamte Kommunikationssystem und die Anwendungs-Software vertrauenswürdig sind oder dass die Anwendungs-Software hinsichtlich der Zugriffsrechte auf das Betriebssystem und die Gerätetreibereinheiten und/oder Middleware-Komponenten beschränkt ist.
In einer alternativen Ausgestaltung der Erfindung kann ferner vorgesehen sein, dass die Daten sowie die Offset-Zeitwerte, welche in den oben beschriebenen Speichern gespeichert sind, in verschlüsselter Form gespeichert werden, womit ein erhöhter Grad an Sicherheit erreicht wird.
Es ist anzumerken, dass jedes Mal, wenn ein Benutzer des Mobilfunk-Kommunikationsendgeräts die RTC verändert, der RTC-Offset-Zeitwert aktualisiert wird und der aktualisierte RTC-Offset-Zeitwert in dem zweiten Speicher 206 gespeichert wird. Zwei Mal am Tag wird der bereitgestellte RTC-Zeitwert in dem ersten Speicher 205 als RTC-Prüfwert gespeichert.
Wenn ein zeitabhängiges DRM-Szenario eingesetzt wird, das heißt wenn zum ersten Mal ein DRM-Agent in dem Mobilfunk-Kommunikationsendgerät 101 eine DRM-Servereinheit 110 kontaktiert, um einen zugehörigen DRM-Zeitwert zu erlangen, so berechnet der DRM-Agent in dem Mobilfunk-Kommunikationsendgerät 101 den DRM-Offset-Wert gemäß der oben beschriebenen Vorschrift (1), nachdem die Kommunikationsverbindung mit der DRM-Servereinheit 110 aufgebaut ist und der DRM-Zeitwert in einer DRM-Nachricht 208 an das Mobilfunk-Kommunikationsendgerät 101 übermittelt wurde.
In einem DRM-Szenario ist eine zuverlässige und damit vertrauenswürdige DRM-Zeitangabe in dem Mobilfunk-Kommunikationsendgerät 101 eine Voraussetzung für den Einsatz in einer zeitabhängigen Nutzung von digitalen Inhalten (Content), das heißt in der Nutzung von Mediendaten. Hierfür kann es vorgesehen sein, dass jeweiligen Mediendaten eine Zeitspanne, das heißt ein Zeitintervall zugeordnet ist, in welcher die Mediendaten als gültig angesehen werden, beispielsweise weniger als drei Monate (grundsätzlich weniger als ein beliebig vorgebbares Zeitintervall) von einem aktuellen Zeitpunkt in die Zukunft gerechnet und weniger als einen Tag in die Vergangenheit gerechnet (grundsätzlich weniger als ein beliebig vorgebbares Zeitintervall). Dieses Zeitintervall sollte garantiert werden. Werden die Mediendaten als gültig angesehen, so ist es in diesem Fall nicht erforderlich, dass eine neue DRM-Zeitangabe von der DRM-Servereinheit 110 ermittelt wird. Die tatsächliche Zukunfts-Zeitdauer und die Vergangenheits-Zeitdauer beziehungsweise deren Grenzen können von dem Mobilfunk-Kommunikationsengeräte-Hersteller definiert und damit vorgegeben werden, beispielsweise unter Berücksichtigung von Vorgaben oder Wünschen des Netzwerkbetreibers.
3 zeigt in einem Ablaufdiagramm 300 ein Verfahren zum Aktualisieren des RTC-Prüfwerts mit dem RTC-Wert, wie es oben beschrieben wurde.
Nach Start des Verfahrens (Schritt 301) wird der RTC-Prüfwert initialisiert mit dem Wert 0 × FFFF_FFFF (Schritt 302) (dieser Schritt wird nur beim erstmaligen Durchführen des Verfahrens durchgeführt) und nachfolgend wird überprüft, ob der RTC-Prüfwert zu aktualisieren ist (Prüfschritt 303). Ist dies der Fall, beispielsweise wenn ein vorgebbarer Zeitpunkt zum Aktualisieren des RTC-Prüfwertes erreicht ist, so wird der aktuelle RTC-Wert, das heißt die RTC-Zeitangabe gelesen (Schritt 304) und der RTC-Prüfwert, welcher zu diesem Zeitpunkt in dem ersten Speicher 205 gespeichert ist, wird aktualisiert, das heißt überschrieben mit dem gelesenen RTC-Wert (Schritt 305). Anschließend wird das Verfahren weitergeführt in Prüfschritt 303, in welchem das Verfahren verbleibt, bis der RTC-Prüfwert jeweils erneut zu aktualisieren ist.
4 zeigt in einem Ablaufdiagramm 400 das Verfahren zum Ändern des RTC-Offset-Werts, wobei nach Starten des Verfahrens (Schritt 401) geprüft wird, ob der RTC-Offset-Wert geändert wurde (Prüfschritt 402). Ist der RTC-Wert beispielsweise von einem Benutzer verändert worden, so wird der RTC-Offset-Zeitwert ermittelt (Schritt 403) und in dem RTC-Offset-Speicher 206 gespeichert (Schritt 404). Dann wird das Verfahren in dem Prüfschritt 402 fortgesetzt, in welchem das Verfahren solange verbleibt, bis der RTC-Wert, beispielsweise von dem Benutzer des Mobilfunk-Kommunikationsendgerät 101, erneut geändert wird.
Im Folgenden wird das Verfahren beschrieben, welches von dem Mobilfunk-Kommunikationsendgerät 101 durchgeführt wird, wenn das Mobilfunk-Kommunikationsendgerät 101 angeschaltet wird (vergleiche Ablaufdiagramm 500 in 5). Während der Zeit, während der das Mobilfunk-Kommunikationsendgerät 101 ausgeschaltet ist, läuft die RTC weiter, d.h. der RTC-Schaltkreis 203 zählt weiter, aber die Werte in den Speichern werden nicht aktualisiert.
Nach Anschalten des Mobilfunk-Kommunikationsendgeräts 101 (Schritt 501) wird der RTC-Wert gelesen (Schritt 502).
Der gelesene RTC-Wert wird verglichen mit dem RTC-Prüfwert, welcher in dem ersten Speicher 205 gespeichert ist, und für den Fall, dass der RTC-Prüfwert nicht größer, beispielsweise kleiner, als die Differenz des RTC-Werts und eines vorgegebenen Zeitraums, beispielsweise drei Monate, ist, wird ein Ungültigkeits-Modus gestartet, aufgrund dessen die im Folgenden beschriebenen Verfahrensschritte durchgeführt werden.
Grund für den Ungültigkeits-Modus ist in diesem Fall, dass aufgrund des in dem Prüfschritt 503 ermittelten Ergebnisses ermittelt wurde, dass das Mobilfunk-Kommunikationsendgerät 501 länger als drei Monate ausgeschaltet war. Für diesen Fall wird der RTC-Prüfwert ungültig gesetzt, anders ausgedrückt auf den Ungültigkeits-Wert, d.h. den Initialisierungswert, zurückgesetzt. Gemäß diesem Ausführungsbeispiel der Erfindung bedeutet dies, dass der RTC-Prüfwert auf den Initialisierungswert 0 × FFFF_FFFF gesetzt wird (Schritt 504), was bedeutet, dass für den Fall, dass mittels des Mobilfunk- Kommunikationsendgeräts 101 und dabei mittels des DRM-Agenten des Mobilfunk-Kommunikationsendgeräts 101 Mediendaten dargestellt werden sollen, es erforderlich ist, dass das Mobilfunk-Kommunikationsendgerät 101 und darin der DRM-Agent des Mobilfunk-Kommunikationsendgeräts 101 von der DRM-Servereinheit 110 einen neuen DRM-Zeitwert beantragt (Schritt 505). Nach Empfangen des neuen Zeitwerts (Schritt 506) von der DRM-Servereinheit 110 wird gemäß der oben beschriebenen Vorschrift (1) der DRM-Offset-Zeitwert ermittelt und in dem DRM-Offset-Speicher 207 gespeichert (Schritt 507).
Anschließend können die Mediendaten wieder genutzt werden, so können beispielsweise die verschlüsselten Mediendaten mittels des in dem Schlüsselspeicher 209 gespeicherten kryptographischen Schlüssels entschlüsselt werden und dem Benutzer dargestellt werden (in 5 symbolisiert mit Block 508).
Ist in dem Prüfschritt 503 ermittelt worden, dass der RTC-Prüfwert größer ist als die Differenz aus dem RTC-Wert und dem vorgegebenen Wert von drei Monaten, so wird in einem nachfolgendem Prüfschritt (Schritt 509) ermittelt, ob der RTC-Prüfwert größer ist als die Summe aus dem RTC-Wert und dem Vergangenheits-Zeitwert, gemäß diesem Ausführungsbeispiel von einem Tag.
Ist in dem Prüfschritt 503 festgestellt worden, dass der RTC-Prüfwert größer ist als die Differenz des RTC-Werts und den drei Monaten, so bedeutet dies anschaulich, dass das Mobilfunk-Kommunikationsendgerät 101 kürzer als drei Monate ausgeschaltet war.
Ist zudem der RTC-Prüfwert kleiner oder gleich dem RTC-Wert plus dem Vergangenheits-Zeitwert, gemäß diesem Ausführungsbeispiel einem Tag, so bedeutet dies, dass auch diese Zulässigkeitsbedingung erfüllt ist und das Mobilfunk- Kommunikationsendgerät 101 wird im Normalbetriebsmodus betrieben, wobei in einem nachfolgenden Schritt der RTC-Prüfwert mit dem RTC-Wert aktualisiert wird (Schritt 510) und nachfolgend ermöglicht ist, die Mediendaten zu nutzen (Block 508).
Ist jedoch der RTC-Prüfwert größer als der RTC-Wert plus dem Vergangenheits-Zeitwert von einem Tag, so bedeutet dies, dass die RTC-Zeit "jünger" ist als der gespeicherte Zeitstempel. Dies ist eigentlich unmöglich, wenn das Mobilfunk-Kommunikationsendgerät lediglich ausgeschaltet war. Somit wird in diesem Fall das Mobilfunk-Kommunikationsendgerät 101 in einem Ungültigkeits-Modus betrieben und der RTC-Prüfwert wird auf einen Ungültigkeits-Wert gesetzt, d.h. auf den Initialisierungswert 0 × FFFF_FFFF (Schritt 511) und für den Fall, dass Mediendaten genutzt werden sollen, ist es erforderlich, dass der DRM-Agent des Mobilfunk-Kommunikationsendgeräts 101 erneut einen neuen DRM-Zeitwert von der DRM-Servereinheit 110 beantragt (Schritt 512). Nach Empfangen des neuen DRM-Zeitwerts (Schritt 513) wird unter Verwendung der Vorschrift (1) der DRM-Offset-Zeitwert ermittelt und in dem DRM-Offset-Speicher 207 gespeichert (Schritt 514).
Für den Fall, dass die Batterie aus dem Mobilfunk-Kommunikationsendgerät 101 entfernt wurde, wird dennoch üblicherweise die RTC weiter aktualisiert, d.h. der RTC-Schaltkreis stellt weiterhin intern die erste Zeitangabe zu Verfügung und zählt somit weiter, wenn die Backup-Batterie ebenfalls leer ist.
Beim Anschalten des Mobilfunk-Kommunikationsendgeräts 101 wird in diesem Fall ebenfalls überprüft, ob der RTC-Prüfwert größer ist als der RTC-Wert minus der drei Monate, in welchem Fall der Normalmodus angenommen wird und der RTC-Prüfwert einfach aktualisiert wird. In diesem Fall wird angenommen, dass das Mobilfunk-Kommunikationsendgerät 101 für eine kürzere Zeitdauer als drei Monate ausgeschaltet war.
Wenn der RTC-Prüfwert jedoch kleiner ist als die Differenz aus dem RTC-Wert und der Zeitangabe von drei Monaten, so wird der oben beschriebene Ungültigkeits-Modus durchgeführt und es ist gegebenenfalls erforderlich, einen neuen DRM-Zeitwert von der DRM-Servereinheit 110 zu beantragen, wie oben in Zusammenhang mit 5 erläutert.
Entsprechendes gilt für den Fall, dass der RTC-Prüfwert größer ist als der RTC-Wert plus einem Tag.
Anders ausgedrückt bedeutet dies, dass eine neue DRM-Zeit nur dann von der DRM-Servereinheit 110 ermittelt werden muss, wenn die oben beschriebenen Zeitwerte aus dem gesetzten Sicherheitsrahmen laufen.
6 zeigt in einem Ablaufdiagramm 600 das Verfahren, welches durchgeführt wird im Rahmen des Darstellens von DRM-Mediendaten.
Nach Starten des Verfahrens (Schritt 601) wird der DRM-Content, d.h. die DRM-Mediendaten, beispielsweise von der DRM-Servereinheit 110 auf das Mobilfunk-Kommunikationsendgerät 101 geladen (Schritt 602).
In dem Mobilfunk-Kommunikationsendgerät 101 werden die geladenen DRM-Mediendaten in dem Mediendaten-Speicher 208 gespeichert (Schritt 603) und es wird überprüft in einer kontinuierlichen Prüfschleife (Prüfschritt 604) ob der gespeicherte DRM-Content dem Benutzer mittels des Mobilfunk-Kommunikationsendgeräts 101 dargestellt werden soll.
Ist dies der Fall, so wird nachfolgend geprüft, ob eine dem DRM-Mediendaten üblicherweise zugeordnete und mit übertragene Lizenz gültig ist (Prüfschritt 605), beispielsweise gemäß den im Folgenden beschriebenen Verfahren.
Ist die Lizenz ungültig, so wird eine Fehlermeldung ausgegeben (Schritt 606) und das Verfahren wird beendet (Schritt 607). Damit werden in diesem Fall die Mediendaten dem Benutzer nicht ausgegeben.
Ist die Lizenz gültig, so werden die DRM-Mediendaten gegebenenfalls entschlüsselt und dem Benutzer des Mobilfunk-Kommunikationsendgeräts 101 ausgegeben (Schritt 608). Nach vollständiger Darstellung der DRM-Mediendaten wird das Verfahren beendet (Schritt 609).
Für die im Folgenden beschriebenen Beispielszenarien wird angenommen, dass der Benutzer des Mobilfunk-Kommunikationsendgeräts 101 befugt ist, Musik-Mediendaten abzuspielen von einem aktuellen Zeitpunkt (RTC = 110) bis eine Woche später, d.h. bis zu der nächsten Woche ausgehend von dem aktuellen Zeitpunkt (in diesem Fall ist die End-RTC = 810).
Der RTC-Prüfwert wurde zu dem RTC-Zeitwert = 100 gespeichert (in diesem Fall wird angenommen, dass die Aktualisierung des RTC-Prüfwerts alle 50 Zählwerte vorgenommen wird) und der Benutzer hat den RTC-Zeitwert verändert derart, dass der RTC-Offset-Zeitwert den Wert 5 aufweist. Dies entspricht beispielsweise einer Veränderung der ersten Zeitangabe von 12:05 auf 13:22, beispielsweise eine Änderung des RTC-Zeitwerts von 105 auf 110.
Ferner wird angenommen, dass die Musik-Mediendaten, der den Musik-Mediendaten zugeordnete Entschlüsselungs-Schlüssel und die DRM-Zeit zu dem Mobilfunk-Kommunikationsendgerät 101 übertragen werden, wobei angenommen wird, dass der DRM-Zeitwert den Wert 112 aufweist.
Es wird nunmehr der DRM-Offset-Zeitwert berechnet gemäß folgender Vorschrift:
DRM-Offset-Zeitwert = DRM-Zeitwert – RTC-Zeitwert – RTC-Offset-Zeitwert = –3.
Ferner wird angenommen, dass es dem Benutzer erlaubt ist, die Musik-Mediendaten abzuspielen solange, bis folgende Bedingung erfüllt ist:
DRM-Zeitwert + DRM-Gültigkeits-Zeitintervall (in diesem Fall 700) = RTC-Zeitwert + RTC-Offset-Zeitwert + DRM-Offset-Zeitwert + DRM-Gültigkeits-Zeitintervall = 812.
Dieser Zeitwert ist größer als der RTC-Zeitwert (RTC = 810).
Es wird nun zur Erläuterung der Ausführungsbeispiele der Erfindung angenommen, dass das Mobilfunk-Kommunikationsendgerät 101 zu dem Zeitpunkt des RTC-Zeitwerts = 670 ausgeschaltet wurde (RTC-Zeitwert = 670).
Wenn das Mobilfunk-Kommunikationsendgerät angeschaltet wird ergeben sich folgende Werte:

• Tatsächliche Zeit = 1010,
• RTC = 1010,
• RTC-Prüfwert = 650 (nur der RTC-Schaltkreis wurde mit Energie versorgt, es wurde keine Schreiboperation auf den Flashspeicher während des Ausgeschaltet-Zustands vorgenommen),
• RTC-Offset-Zeitwert = 5,
• DRM-Offset-Zeitwert = –3,
• DRM-Zeitwert = RTC-Zeitwert + RTC-Offset-Zeitwert + DRM-Offset-Zeitwert = 1012.

Dies bedeutet, dass von der Prüfeinheit 213 ermittelt wurde, dass die Lizenz abgelaufen ist. Dieses rechnerisch ermittelte Ergebnis entspricht dem gewünschten DRM-Ergebnis.
Im Folgenden wird ein zweiter Beispielfall angenommen, bei dem davon ausgegangen wird, dass das Mobilfunk-Kommunikationsendgerät 101 ausgeschaltet wurde und dann die Batterie entfernt wurde, wobei dies zu dem RTC-Zeitwert = 680 durchgeführt wurde.
Nach Anschalten des Mobilfunk-Kommunikationsendgerät 101 ergibt sich folgendes Szenario:

• Tatsächliche Zeit = 1010,
• RTC-Zeitwert = 680,
• RTC-Prüfwert = 650,
• RTC-Offset-Zeitwert = 5,
• DRM-Offset-Zeitwert = –3,
• DRM-Zeitwert = RTC-Zeitwert + RTC-Offset-Zeitwert + DRM-Offset-Zeitwert = 682.

Dies führt dazu, dass die Lizenz von der Prüfeinheit 213 als gültig ermittelt und angenommen wird, und somit die Mediendaten entschlüsselt und dem Benutzer bereitgestellt werden, was an sich nicht den DRM-Anforderungen genügt.
Es ist jedoch darauf hinzuweisen, dass eine solche Manipulation nicht einen nützlichen Angriff zur unbefugten Mehrfachverwendung von Mediendaten ermöglicht. Das Mobilfunk-Kommunikationsendgerät 101 war ausgeschaltet, weshalb es nicht möglich war, den Inhalt, d.h. die Mediendaten, mehrfach zu nutzen, d.h. dargestellt zu bekommen.
In einem dritten Beispielfall wird angenommen, dass das Mobilfunk-Kommunikationsendgerät 101 zu dem RTC-Zeitwert = 670 (tatsächliche Zeit = 670) ausgeschaltet wurde.
Bei Anschalten des Mobilfunk-Kommunikationsendgeräts 101 ergibt sich folgendes Szenario:

• Tatsächliche Zeit = 680,
• RTC-Zeitwert = 680,
• RTC-Prüfwert = 650,
• RTC-Offset-Zeitwert = 5,
• DRM-Offset-Zeitwert = –3,
• DRM-Zeitwert = RTC-Zeitwert + RTC-Offset-Zeitwert + DRM-Offset-Zeitwert = 682.

Dies führt dazu, dass von der Prüfeinheit 213 ermittelt und angenommen wird, dass das Zeitkriterium erfüllt ist und die Mediendaten werden gegebenenfalls entschlüsselt und dem Benutzer mittels des Mobilfunk-Kommunikationsendgeräts 101 dargestellt. Dies ist auch gemäß den DRM-Anforderungen korrekt.
Es ist nicht möglich, zwischen den beiden zuletzt dargestellten Fällen zu unterscheiden, d.h. es ist nicht möglich, gemäß den Ausführungsbeispielen der Erfindung zu unterscheiden, ob nur das Mobilfunk-Kommunikationsendgerät 101 ausgeschaltet war oder ob noch zusätzlich dessen Batterie entfernt wurden.
Ein Angriff durch Entfernen der Batterie ist jedoch nur dann tatsächlich sinnvoll, wenn es möglich ist, dass die Zeit in die Vergangenheit zurückgestellt wird, ohne dass dies von dem Mobilfunk-Kommunikationsendgerät 101 bemerkt wird.
Dies ist allerdings gemäß den Ausführungsformen der Erfindung nicht möglich ohne zusätzlichen Hardwareaufwand, d.h. ohne, dass zusätzlich das Mobilfunk-Kommunikationsendgerät 101 geöffnet wird und/oder Teile des Mobilfunk-Kommunikationsendgeräts 101 entfernt werden.
7 zeigt in einem Blockdiagramm 700 ein Ausführungsbeispiel, bei dem auch der Akkumulator zum Bilden des RTC-Offset-Zeitwerts in Hardware implementiert ist.
Der Schaltkreis 701 weist den RTC-Schaltkreis 203, 702 auf, welcher einen Zeitangaben-Zähl-Schaltkreis 703 aufweist, welcher seinerseits vier Zähler-Schaltkreise enthält, nämlich

• einen Jahres-Zähler-Schaltkreis 704,
• einen Tages-Zähler-Schaltkreis 705,
• einen Stunden-Zähler-Schaltkreis 706 sowie
• einen Minuten-Zähler-Schaltkreis 707,

Ferner ist ein Addierer 708 vorgesehen, welcher mittels eines ersten Eingangs 709 gekoppelt ist mit dem Zähler-Schaltkreis 703 und dessen zweiter Eingang 710 gekoppelt ist mit einem Ausgang eines Registers 711, in welchem der RTC-Offset-Zeitwert gespeichert ist.
Der Ausgang 712 des Addierers 708 ist mit einem Eingang 713 des Registers 711 verbunden. Ein weiterer Ausgang 714 des Registers 711 ist mit einem Ausgang 715 des Schaltkreises 701 gekoppelt. Ein Eingang 716 des Schaltkreises 701 ist mit einem Eingang des Zähler-Schaltkreises 703 gekoppelt. An dem Ausgang 715 des Schaltkreises 701 wird der akkumulierte DRM-Offset-Zeitwert bereitgestellt.
In diesem Dokument sind die folgenden Veröffentlichungen zitiert:

[1] US 2003/0233553A1
[2] EP 1 460 509 A1
[3] Seifart, M.: Digitale Schaltungen. 3., bearb. Aufl., Heidelberg: Hüthig, 1988. ISBN 3-7785-1546-2S. 288-290
[4] US 2005/0181761 A1

100: Kommunikationssystem
101: Mobilfunk-Kommunikationsendgerät
102: Mobilfunk-Kommunikationsendgerät
103: Mobilfunk-Kommunikationsendgerät
104: Mobilfunk-Kommunikationsendgerät
105: Mobilfunk-Kommunikationsverbindung
106: Mobilfunk-Kommunikationsverbindung
107: Mobilfunk-Kommunikationsverbindung
108: Mobilfunk-Kommunikationsverbindung
109: Mobilfunk-Kommunikationsnetzwerk
110: DRM-Servereinheit
200: Blockdiagramm
201: Antenne
202: Zeitangaben-Prüfeinrichtung
203: RTC-Schaltkreis
204: Eingabe/Ausgabeschaltkreis
205: erster Speicher
206: zweiter Speicher
207: DRM-Offset-Speicher
208: Mediendaten-Speicher
209: Schlüsselspeicher
210: Mikroprozessor
212: Zeitangabe-Änderungs-Ermittlungseinheit
211: Zeitangabe-Differenz-Ermittlungseinheit
213: Prüfeinheit
214: Entschlüsselungs-Einheit
300: Ablaufdiagramm
301: Start
302: Initialisiere RTC-Prüfwert
303: Aktualisieren RTC-Prüfwert?
304: Lese RTC-Wert
305: Aktualisiere RTC-Prüfwert mit RTC-Wert
400: Ablaufdiagramm
401: Start
402: RTC-Wert geändert?
403: Ermitteln RTC-Offset-Zeitwert
404: Speichern RTC-Offset-Zeitwert
500: Ablaufdiagramm
501: Anschalten Mobilfunk-Kommunikationsendgerät
502: Lese RTC-Wert
503: RTC-Prüfwert größer RTC-Wert minus drei Monate?
504: Initialisiere RTC-Prüfwert
505: Beantragen neuen DRM-Zeitwert
506: Empfangen neuen DRM-Zeitwert
507: Ermitteln und Speichern DRM-Offset-Zeitwert
508: DRM-Nutzung
509: RTC-Prüfwert größer RTC-Wert plus ein Tag?
510: Aktualisiere RTC-Prüfwert mit RTC-Wert
511: Initialisiere RTC-Prüfwert
512: Beantragen neuen DRM-Zeitwert
513: Empfangen neuen DRM-Zeitwert
514: Ermitteln und Speichern DRM-Offset-Zeitwert
600: Ablaufdiagramm
601: Start
602: Laden DRM-Mediendaten
603: Speichern DRM-Mediendaten
604: Anfrage darstellen DRM-Mediendaten?
605: Linzens gültig?
606: Fehlermeldung
607: Ende
608: Darstellen DRM-Mediendaten
609: Ende
700: Blockdiagramm
701: Schaltkreis
702: RTC-Schaltkreis
703: RTC-Zähler-Schaltkreis
704: Jahres-Zähler-Schaltkreis
705: Tages-Zähler-Schaltkreis
706: Stunden-Zähler-Schaltkreis
707: Minuten-Zähler-Schaltkreis
708: Addierer
709: erster Eingang Addierer
710: zweiter Eingang Addierer
711: Register
712: Ausgang Addierer
713: Eingang Register
714: Ausgang Register
715: Ausgang Schaltkreis
716: Eingang Schaltkreis

Claims

Zeitangaben-Prüfeinrichtung, mit • einer Zeitangaben-Bereitstellungseinheit, die eine von einem Benutzer veränderbare erste Zeitangabe bereitstellt, • einem ersten Speicher zum Speichern der ersten Zeitangabe, • einer Zeitangabe-Änderungs-Ermittlungseinheit zum Ermitteln einer Prüfeinrichtungs-extern vorgenommenen Änderung der ersten Zeitangabe, womit eine veränderte erste Zeitangabe erzeugt wird, • einer Zeitangabe-Differenz-Ermittlungseinheit zum Ermitteln der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe, • einem zweiten Speicher zum Speichern der Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder der veränderten ersten Zeitangabe, • einem dritten Speicher zum Speichern einer vertrauenswürdigen zweiten Zeitangabe, und • mit einer Prüfeinheit, mit der unter Verwendung der ersten Zeitangabe, der Differenz zwischen der gespeicherten ersten Zeitangabe und einer veränderten ersten Zeitangabe und der zweiten Zeitangabe geprüft wird, ob ein vorgegebenes Kriterium erfüllt ist, • wobei der erste Speicher derart eingerichtet ist, dass die gespeicherte erste Zeitangabe nicht von einem Benutzer geändert werden kann und/oder der zweite Speicher derart eingerichtet ist, dass die gespeicherte Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die veränderte erste Zeitangabe nicht von einem Benutzer geändert werden kann.
Zeitangaben-Prüfeinrichtung gemäß Anspruch 1, wobei die Zeitangaben-Bereitstellungseinheit ein Echtzeituhr-Schaltkreis ist, welcher eingerichtet ist zum Bereitstellen der ersten Zeitangabe als Echtzeituhr-Zeitangabe.
Zeitangaben-Prüfeinrichtung gemäß Anspruch 1 oder 2, wobei mindestens einer der folgenden Speicher als nichtflüchtiger Speicher eingerichtet ist: • der erste Speicher, und/oder • der zweite Speicher, und/oder • der dritte Speicher.
Zeitangaben-Prüfeinrichtung gemäß einem der Ansprüche 1 bis 3, wobei die vertrauenswürdige zweite Zeitangabe eine Digitale-Rechte-Verwaltungs-Zeitangabe ist, mit welcher angegeben wird, wie lange und/oder bis zu welchem Zeitpunkt Mediendaten verwendet werden dürfen.
Zeitangaben-Prüfeinrichtung gemäß Anspruch 4, wobei die Prüfeinheit derart eingerichtet ist, dass sie prüft, ob Mediendaten, denen die zweite Zeitangabe zugeordnet sind, dargestellt werden dürfen.
Zeitangaben-Prüfeinrichtung gemäß einem der Ansprüche 1 bis 5, • mit einem Schlüsselspeicher zum Speichern mindestens eines kryptographischen Schlüssels, welchem die zweite Zeitangabe zugeordnet ist, • wobei mittels der zweiten Zeitangabe die Gültigkeit des mindestens einen kryptographischen Schlüssels ermittelbar ist.
Zeitangaben-Prüfeinrichtung gemäß Anspruch 5 und 6, • wobei die Mediendaten verschlüsselt sind, • mit einer Entschlüsselungseinheit zum Entschlüsseln der Mediendaten unter Verwendung des mindestens einen kryptographischen Schlüssels.
Elektronisches Gerät mit einer Zeitangaben-Prüfeinrichtung gemäß einem der Ansprüche 1 bis 7.
Elektronisches Gerät gemäß Anspruch 8, • mit einer Mediendaten-Darstellungseinrichtung zum Darstellen von Mediendaten, • wobei die Mediendaten-Darstellungseinrichtung gekoppelt ist mit der Zeitangaben-Prüfeinrichtung, • wobei die Mediendaten-Darstellungseinrichtung derart eingerichtet ist, dass sie die Mediendaten nur darstellt, wenn die Prüfeinheit ermittelt hat, dass das Kriterium erfüllt ist.
Elektronisches Gerät gemäß Anspruch 8 oder 9, • mit einem Bildschirm zum Anzeigen von graphischen Mediendaten, und/oder • mit einem Lautsprecher Darstellen von Audio-Mediendaten.
Elektronisches Gerät gemäß einem der Ansprüche 8 bis 10, eingerichtet als Kommunikationsgerät.
Verfahren zum Prüfen einer Zeitangabe, durchgeführt von einer Zeitangaben-Prüfeinrichtung, • bei dem von einer Zeitangaben-Bereitstellungseinheit eine von einem Benutzer veränderbare erste Zeitangabe bereitgestellt wird, • bei dem die erste Zeitangabe in einem ersten Speicher gespeichert wird, • bei dem eine Prüfeinrichtungs-extern vorgenommene Änderung der ersten Zeitangabe, womit eine veränderte erste Zeitangabe erzeugt wird, ermittelt wird, • bei dem die Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe ermittelt wird, • bei dem die Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die veränderte erste Zeitangabe in einem zweiten Speicher gespeichert wird, • bei dem eine vertrauenswürdige zweite Zeitangabe in einem dritten Speicher gespeichert wird, und • bei dem unter Verwendung der ersten Zeitangabe, der Differenz zwischen der gespeicherten ersten Zeitangabe und einer veränderten ersten Zeitangabe und der zweiten Zeitangabe geprüft wird, ob ein vorgegebenes Kriterium erfüllt ist, • wobei die in dem ersten Speicher gespeicherte erste Zeitangabe nicht von einem Benutzer geändert werden kann und/oder die in dem zweiten Speicher gespeicherte Differenz zwischen der gespeicherten ersten Zeitangabe und der veränderten ersten Zeitangabe und/oder die in dem zweiten Speicher gespeicherte veränderte erste Zeitangabe nicht von einem Benutzer geändert werden kann.