DE102005062042A1

DE102005062042A1 - Datenobjektverarbeitungssystem und Verfahren zur Bearbeitung von elektronischen Datenobjekten

Info

Publication number: DE102005062042A1
Application number: DE200510062042
Authority: DE
Inventors: Veronika Röthel; Gregor Grebe; Volker Röthel
Original assignee: APPLIED SECURITY GmbH
Current assignee: APPLIED SECURITY GmbH
Priority date: 2005-12-22
Filing date: 2005-12-22
Publication date: 2007-06-28
Also published as: WO2007076840A1; DE112006003757A5

Abstract

Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte (1) vor unberechtigtem Zugriff, mit einem Sicherheitsbereich (2) und einem davon getrennten Datenobjektbereich (3), wobei in dem Datenobjektbereich (3) zumindest ein mit einem symmetrischen Schlüssel (4) verschlüsseltes Datenobjekt (1) zugeordnet zu dem symmetrischen Schlüssel (4) abgelegt ist, wobei der symmetrische Schlüssel (4) mit einem öffentlichen Schlüssel (5) verschlüsselt ist und mit einem korrespondierenden privaten Schlüssel (6) zu entschlüsseln ist, wobei der öffentliche Schlüssel (5) und der korrespondierende private Schlüssel (6) einer Nutzergruppe zugeordnet sind, die aus mindestens einem Gruppenmitglied besteht, wobei der private Schlüssel (6) in dem Sicherheitsbereich (2) abgelegt ist und die Berechtigung eines Gruppenmitglieds bezüglich des Datenobjekts (1) mittels einer Berechtigungsvorschrift (13) in dem Sicherheitsbereich (2) festgelegt ist.

Description

Die Erfindung betrifft ein Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte vor unberechtigtem Zugriff, ein Verfahren zur Bearbeitung von elektronischen Datenobjekten mit Schutz der Datenobjekte vor unberechtigtem Zugriff, ein Sicherheitsverfahren zum Schutz elektronischer Datenobjekte vor unberechtigtem Zugriff sowie ein Netzwerk mit zumindest einem Clientrechner.
In einem Unternehmen befinden sich vertrauliche Daten häufig auf Servern, die mehreren oder allen Mitarbeitern oder Gruppen von Mitarbeitern zugänglich sind. Der Schutz von Datenobjekten ist insbesondere entscheidend an computergestützten Arbeitsplätzen, die von mehreren Personen genutzt werden können, und an denen auf die vertraulichen Informationen zugegriffen werden kann.

Bekannt ist der Schutz von Datenobjekten auf Betriebssystem-Ebene, bei dem der Umfang des Datenzugriffs in Abhängigkeit von den Rechten des am Betriebssystem angemeldeten Nutzers festgelegt wird. Der Umfang der Zugriffsrechte bestimmt sich durch eine sogenannte Access-Control-List (ACL), die durch das Betriebssystem jedem Datenobjekt im Dateisystem zugeordnet wird. Die Nutzer bekommen dann unterschiedliche Zugriffsrechte zugeteilt. Ein Verzeichnis kann dann beispielsweise für alle Personen gesperrt werden, die laut der Zugriffstabelle nicht berechtigt sind, Dateien in diesem Verzeichnis zu lesen, weil sie beispielsweise an anderen Projekten arbeiten oder das Unternehmen verlassen haben.

Der betriebssystemseitige Schutz reicht jedoch nicht in jedem Fall aus, da beispielsweise Systemadministratoren vollen Zugriff auf sämtliche zentralen Daten haben und auch Dritten gewähren können.

Eine häufig eingesetzte Technologie zum Schutz der Daten ist die Verschlüsselung. Alle vertraulichen Daten auf zentralen Servern werden regelmäßig verschlüsselt, damit nur berechtigte Personen Zugriff darauf haben. Derartige Schutzeinrichtungen auf der Basis von Verschlüsselungssystemen sind bekannt, beispielsweise aus der EP 0 624 013 B1 , EP 0 660 565 B1 und DE 10 2004 004 101 A1 .

Eine Verschlüsselung setzt aber immer voraus, dass Daten für einen oder mehrere Empfänger verschlüsselt werden, von denen jeder im Besitz eines geheimen Schlüssels ist, der die Entschlüsselung der Daten ermöglicht. Beispielsweise muss bei einem asymmetrischen Verschlüsselungsverfahren bereits beim Verschlüsseln der Empfängerkreis definiert sein, da der öffentliche Schlüssel jedes Empfängers bekannt sein muss.

Problematisch wird es bei den angeführten Verfahren unter anderem dann, wenn sich die Zusammensetzung der Gruppen von berechtigten Personen ändert. Werden die Daten für jede einzelne berechtigte Person verschlüsselt, so müssen, sobald eine Person aus der Gruppe ausscheidet, die Daten dann umgeschlüsselt werden, damit die nun unberechtigte Person nicht länger auf die Daten zugreifen kann. Eine vergleichbare Situation entsteht, wenn eine Person zu der Gruppe hinzukommt. Auch dann müssen die entprechenden Daten umgeschlüsselt werden, um dieser Person den Zugriff auf die Daten zu ermöglichen.

Werden die Daten für eine Gruppe gemeinsam verschlüsselt, die über einen gemeinsamen Schlüssel verfügt, der jeder zu der Gruppe gehörigen Person zur Verfügung gestellt werden muss, so ergibt sich eine vergleichbar aufwendige Lage, sobald eine Person aus der Gruppe ausscheidet. Die Daten müssen nicht nur (zeit-)aufwendig und fehleranfällig umgeschlüsselt werden, sondern es muss außerdem ein neuer Schlüssel für die Gruppe erzeugt werden, mit dem ab sofort alle Daten für die Gruppe verschlüsselt werden. Andernfalls könnte die nun unberechtigte Person mit dem Schlüssel, den sie einfach behält oder sogar kopiert, weiterhin auf die Daten zugreifen.

Es stellt sich damit die Aufgabe, eine sichere und einfache Datenobjektverwaltung zu gewährleisten, ohne dass unberechtigte Personen die Datenobjekte benutzen können, insbesondere auch bei einem Wechsel der Gruppenzusammensetzung.

Die Aufgabe wird gelöst durch ein Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte vor unberechtigtem Zugriff, mit einem Sicherheitsbereich und einem davon getrennten Datenobjektbereich, wobei in dem Datenobjektbereich zumindest ein mit einem symmetrischen Schlüssel verschlüsseltes Datenobjekt zugeordnet zu dem symmetrischen Schlüssel abgelegt ist, wobei der symmetrische Schlüssel mit einem öffentlichen Schlüssel verschlüsselt ist und mit einem korrespondierenden privaten Schlüssel zu entschlüsseln ist, wobei der öffentliche Schlüssel und der korrespondierende private Schlüssel einer Nutzergruppe zugeordnet sind, die aus mindestens einem Gruppenmitglied besteht, wobei der private Schlüssel in dem Sicherheitsbereich abgelegt ist und die Berechtigung eines Gruppenmitglieds bezüglich des Datenobjekts mittels einer Berechtigungsvorschrift in dem Sicherheitsbereich festgelegt ist.

Die Aufgabe wird gelöst durch ein Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte vor unberechtigtem Zugriff, mit einem Sicherheitsbereich und einem davon getrennten Datenobjektbereich, wobei in dem Datenobjektbereich zumindest ein mit einem asymmetrischen öffentlichen Schlüssel verschlüsseltes Datenobjekt abgelegt ist, das mit einem korrespondierenden privaten Schlüssel zu entschlüsseln ist, wobei der öffentliche Schlüssel und der entsprechende private Schlüssel einer Nutzergruppe zugeordnet sind, die aus mindestens einem Gruppenmitglied besteht, wobei der private Schlüssel in dem Sicherheitsbereich abgelegt ist und die Berechtigung eines Gruppenmitglieds bezüglich des Datenobjekts mittels einer Berechtigungsvorschrift in dem Sicherheitsbereich festgelegt ist.

Elektronische Datenobjekte werden in der Regel nicht nur von einer einzelnen Person, sondern von Personengruppen, Teams, Abteilungen etc. verwendet. Eine Verschlüsselung setzt voraus, dass Datenobjekte für einen oder mehrere Empfänger verschlüsselt werden, von denen jeder im Besitz eines geheimen, privaten asymmetrischen Schlüssels ist, der die Entschlüsselung der Daten ermöglicht. Die Zugänglichkeit zu den Datenobjekten wird über den Sicherheitsbereich zentral festgelegt und muss somit bei einem Wechsel der Gruppenzugehörigkeit auch lediglich zentral beispielsweise in einer Liste geändert werden. Dann werden die mit dem symmetrischen Schlüssel verschlüsselten Datenobjekte lediglich an berechtigte Gruppenmitglieder herausgeschickt.

Bei diesem Datenverarbeitungssystem wird der symmetrische Schlüssel, mit dem die Daten verschlüsselt sind, seinerseits mit einem asymmetrischen Verfahren verschlüsselt. Das bedeutet, dass für die Verschlüsselung ein sogenannter öffentlicher Schlüssel verwendet wird, der nicht geheimgehalten werden muss. Die Entschlüsselung erfolgt dann mit einem anderen, dem zu dem öffentlichen Schlüssel passenden privaten Schlüssel, der einer Nutzergruppe zugeordnet ist und geheim bleiben muss, wozu er in dem Sicherheitsbereich gehalten wird, ohne dass Personen darauf Zugriff haben.

Im Stand der Technik mussten beispielsweise sämtliche Datenobjekte auf einem Server umgeschlüsselt werden, wenn die Daten für jede einzelne berechtigte Person verschlüsselt sind und diese Person aus der Gruppe ausscheidet. In der Regel war es in einem solchen Fall nicht möglich sicherzustellen, dass die betreffende Person nicht länger über ihren privaten Schlüssel verfügt, da sie Kopien davon angelegt haben könnte. Die Dateien mussten also bislang sehr zeitaufwendig entschlüsselt und für die neue Gruppenzusammensetzung neu verschlüsselt werden. Diese sämtlichen Nachteile entfallen nun mit dem hier vorliegend vorgeschlagenen Datenverarbeitungssystem.

Zudem muss ein Nutzer seine Arbeitsabläufe in keiner Weise umstellen. Hierdurch wird ein erhöhter Arbeitsaufwand, insbesondere wegen der großen Datenmengen, vermieden. Die Fehleranfälligkeit des Systems wird verringert und die Schnelligkeit erhöht. Ein Verwalter, insbesondere ein Administrator, überwacht auch die Über gangszeit bei personellem Wechsel bis zum Abschlus der Prozesse, für den Fall dass ein Nutzer aus der Gruppe austritt.

Genauso einfach gestaltet sich das Hinzufügen von Personen zu Nutzergruppen. Wird eine Person einer Gruppe hinzugefügt, dann weiß man durch die Berechtigungsvorschrift im Sicherheitsbereich nach dem Abspeichern der neuen Konfiguration, dass diese Person ab sofort Zugriff auf die für diese Gruppe verschlüsselten Dateien haben soll und kann ihr diesen Zugriff auf einfache Weise gewähren.

Eine kostengünstige Variante ist gegeben, wenn der Sicherheitsbereich und der Datenobjektbereich auf einem Server eingerichtet sind.

Eine sehr große Sicherheit liegt vor, wenn der Sicherheitsbereich ein, insbesondere separater, Sicherheitsserver und/oder der Datenobjektbereich ein, insbesondere separater, Datenobjektserver ist.

Eine einfache und zugleich gut kontrollierbar zu ändernde Sicherung liegt vor, wenn die Berechtigungsvorschrift eine Berechtigungsliste ist und insbesondere einem Sicherheitsprogramm zugeordnet ist.

Vorteilhaft ist es, wenn der verschlüsselte symmetrische Schlüssel zusammen mit dem Datenobjekt in dem Datenobjektbereich abgelegt ist. Auf diese Weise kann das verschlüsselte Datenobjekt und der Schlüssel leicht von einem Programm aus zum Nutzer versendet werden, ohne dass komplexere, fehleranfällige Zuordnungsvorgänge vorgenommen werde müssten.

Vorteilhaft ist es, wenn der private Schlüssel zum Entschlüsseln des mit dem öffentlichen Schlüssel verschlüsselten symmetrischen Schlüssels lediglich vorbestimmten Gruppenmitgliedern bzw. vorzugsweise keinem Gruppenmitglied bekannt ist. So kann der Schlüssel beispielsweise einem Mitglied der Geschäftsleitung bekannt gemacht werden, falls dieses Nutzer in einer Nutzergruppe ist, jedoch wird dies zur Gewährleistung der Sicherheit nur die Ausnahme bleiben.

Vorteilhaft ist es, wenn im Falle des Zugangs bzw. Weggangs eines Gruppenmitglieds der Nutzergruppe lediglich ein Gruppenmitglied in der Berechtigungsvorschrift hinzuzufügen bzw. herauszunehmen ist. Dabei ist durch die Erfindung keine Umschlüsselung der Dateien notwendig.

Die Aufgabe wird ebenfalls gelöst durch ein Verfahren zur Bearbeitung von elektronischen Datenobjekten mit Schutz der Datenobjekte vor unberechtigtem Zugriff, wobei auf einem Datenobjektserver Datenobjekte abgelegt werden, die mit einem symmetrischen Schlüssel verschlüsselt werden, wobei der symmetrische Schlüssel mit einem öffentlichen Schlüssel verschlüsselt wird, wobei der öffentliche Schlüssel und der entsprechende private Schlüssel einer Gruppe, bestehend aus mindestens einem Gruppenmitglied, zugeordnet ist, wobei der private Schlüssel in dem Sicherheitsbereich abgelegt wird und das Gruppenmitglied/die Gruppenmitglieder mittels einer Berechtigungsvorschrift auf dem Sicherheitsbereich festgelegt wird/werden, insbesondere zur Verwendung in einem Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 8.

Das erfindungsgemäße Verfahren ermöglicht es, dass durch die Einführung einer zweistufigen Schlüsselhierarchie und eines Sicherheitsbereichs, der die übergeordneten Schlüssel verwaltet und Ver- und Entschlüsselungen vornimmt, ein flexibles und dynamisches System entsteht. In diesem System können Datenobjekte für Nutzergruppen verschlüsselt werden, deren Zusammensetzung sich im laufenden Betrieb dynamisch ändern darf. Dabei werden Änderungen sofort wirksam, ohne dass eine Umschlüsselung von Daten nötig ist. Gerade bei großen Datenmengen ist dies sehr vorteilhaft, da somit keine Umschlüsselung im laufenden Betrieb stattfinden muss. Das System würde durch die Umschlüsselung auch sehr stark belastet, so dass die Performance und damit die Verwendbarkeit in dieser Zeit leidet.

Das vorliegende Verfahren liefert somit eine einfache, sichere und schnelle Lösung, die es erlaubt, Dateien für Nutzergruppen zu verschlüsseln, ohne bei einer Änderung der Gruppenzusammensetzung die Dateien umschlüsseln zu müssen.

Vorteilhaft ist es, wenn zum Öffnen eines mit einem symmetrischen Schlüssel verschlüsselten Datenobjekts auf einem Sicherheitsbereich eine Entschlüsselungsanfrage mittels der Berechtigungsvorschrift daraufhin überprüft wird, ob die Anfrage von einem Gruppenmitglied kommt und dass bei einem positiven Prüfungsergebnis das mit dem symmetrischen Schlüssel verschlüsselte Datenobjekt zusammen mit dem verschlüsselten symmetrischen Schlüssel vom Datenobjektbereich an das Gruppenmitglied übermittelt wird, wobei anschließend der verschlüsselte symmetrische Schlüssel extrahiert und an den Sicherheitsserver geschickt wird, wo der verschlüsselte symmetrische Schlüssel mit dem privaten Schlüssel der Nutzergruppe entschlüsselt wird und an das Gruppenmitglied zurückübersandt wird, woraufhin das Datenobjekt mit dem symmetrischen Schlüssel entschlüsselt wird. Falls der symmetrische Schlüssel vorab mit dem öffentlichen Schlüssel des Anfragers verschlüsselt wurde, wird er vor Entschlüsselung des Datenobjekts vom Anfrager mit seinem privaten Schlüssel entschlüsselt. Es wird vorteilhaft eine zweistufige Schlüsselhierarchie eingeführt, wobei jede einzelne Person ihren persönlichen privaten Schlüssel erhält und die Gruppen jeweils einen privaten Gruppenschlüssel erhalten.

Das Datenobjekt und der symmetrische Schlüssel sind auf jedem Sendeweg geschützt, wenn zum Rückübersenden des symmetrischen Schüssels an den Anfrager der symmetrische Schlüssel mit einem öffentlichen Schlüssel des Anfragers verschlüsselt wird.

Eine einfache und fehlerreduzierte Ver- und Entschlüsselung ist möglich, wenn auf dem Anfragerrechner ein Arbeitsprogramm eingerichtet ist, das die Anfrage des Anfragers im Rahmen eines automatischen, insbesondere im Hintergrund arbeitenden Ablaufs aussendet und/oder die Schlüssel und/oder das zu öffnende Datenobjekt automatisiert empfängt. Kommt eine Person ganz neu zu dem System hinzu, so muss auf ihrem PC lediglich die entsprechende Arbeitssoftware installiert werden und ein privater Benutzerschlüssel generiert werden, wobei der zugehörige öffentliche Schlüssel dem Sicherheitsbereich von dem Administrationsprogramm zur Verfügung gestellt wird. Ab diesem Moment kann der neue Benutzer einer oder mehreren Nutzergruppen zugeordnet werden und die für diese Nutzergruppen verschlüsselten Datenobjekte stehen ihm zur Verfügung.

Vorteilhaft ist es, wenn der Anfrager bei der Entschlüsselunganfrage ein Passwort insbesondere zum Start der Entschlüsselung mit dem privaten Schlüssel des Anfragers eingibt. Hierdurch wird ein zusätzliches Sicherheitsmerkmal eingeführt, das den Nutzer an seinem Arbeitsplatz absichert. Die Person muss im Rahmen der Entschlüsselung somit höchstens ihr Passwort eingeben, falls nicht bereits eine offene Session mit dem Schlüssel besteht, d.h. falls nicht bereits vorher das Passwort eingegeben wurde und der Schlüssel damit noch geöffnet ist.

Vorteilhaft ist es, wenn die Berechtigungsvorschrift von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass Gruppenmitglieder hinzugefügt und/oder herausgenommen werden. Hiermit wird lediglich der Sicherheitsadministrator in die Position versetzt, Änderungen bezüglich der Personenrechte vorzunehmen. Möchte dieser Sicherheitsadministrator nun Änderungen an der bestehenden Konfiguration vornehmen, so definiert er diese Änderungen in dem Administratorprogramm. Sobald er die geänderte Konfiguration speichert, wird sie in dem Sicherheitsbereich, insbesondere auf dem Sicherheitsserver abgelegt. Dieser arbeitet ab sofort mit der neuen Konfiguration, so dass ein Benutzer, der in diesem Moment aus einer Gruppe ausgeschieden ist, ab sofort keinen Zugriff mehr auf Dateien hat, die für die betreffende Gruppe verschlüsselt sind. Eine Umschlüsselung ist nicht nötig, da die Dateien nicht für den Benutzer selbst verschlüsselt sind und der Benutzer zu keiner Zeit Zugriff auf den privaten Schlüssel der Gruppe hatte, für die die Dateien verschlüsselt sind. Damit ist diese Änderung sofort und ohne weiteren Aufwand wirksam.

Weiter vorteilhaft ist es, wenn die Berechtigungsvorschrift und/oder das Sicherheitsprogramm von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass festgelegt wird, welche Datenobjekte verschlüsselt werden und welche Zugriffsrechte die Nutzergruppe hat. Somit können die Konfigurationen von einem Sicherheitsadministrator vorgenommen werden. Diese Person definiert über ein Administratorprogramm, beispielsweise welche Verzeichnisse im Netzwerk verschlüsselt werden müssen und welche Benutzergruppen Zugriff auf diese Verzeichnisse haben sollen. Sie definiert beispielsweise auch, welche Benutzer zu welchen Nutzergruppen gehören. Auch die Schlüssel für die Benutzer und Nutzergruppen können mit diesem Administratorprogramm erzeugt und verwaltet werden.

Weiter vorteilhaft ist es, wenn die Berechtigungsvorschrift und/oder das Sicherheitsprogramm von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass die Schlüssel für die Gruppenmitglieder und die Nutzergruppen abgeändert werden und/oder neue Schlüssel erzeugt werden.

Vorteilhaft ist es, wenn Änderungen der Schlüssel und/oder Gruppenmitglieder und/oder Gruppenrechte durch das Administratorprogramm vorgenommen werden und nach Abspeicherung der Änderungen diese geänderte Konfiguration im Sicherheitsprogramm und/oder in der Berechtigungsvorschrift gespeichert wird.

Weiter vorteilhaft ist es, wenn beim Hinzufügen eines neuen Gruppenmitglieds das Arbeitsprogramm auf dem Gruppenmitgliedsrechner installiert wird, wobei der zugehörige öffentliche und private Schlüssel dem Sicherheitsprogramm und/oder der Berechtigungsvorschrift von dem Administratorprogramm zur Verfügung gestellt wird.

Eine zusätzliche Kontrolle und zentrale Steuerung ist möglich, wenn das Administratorprogramm von einem übergeordneten Supervisorprogramm verwaltet wird, wobei durch das Administratorprogramm jeweils eine Teilmenge einer Nutzergruppe und/oder mehrere Nutzergruppen und/oder vorbestimmte Datenobjekte verwaltet wird/werden. Auf diese Weise wird der Aufwand der Administration des Systems in großen Unternehmen auf mehrere Personen verteilt und Abteilungs- oder Gruppenleiter haben beispielsweise die Möglichkeit, ihre Teams selbst zu verwalten und damit einen schnellen und einfachen Zugriff der Team-Mitglieder auf benötigte Dateien zu ermöglichen, ohne hierfür einen Antrag an den Sicherheitsadministrator stellen zu müssen, der die Änderungen dann erst einpflegen müsste. Hierdurch ist das System in großen Unternehmen noch einfacher zu administrieren. Die hierfür eingesetzten Sicherheitsadministratoren auf mehrere Hierarchieebenen erweitern die Flexibilität des Systems. Es gibt dann einen oder mehrere übergeordnete Sicherheitsadministratoren, die das gesamte System administrieren dürfen und außerdem Berechtigungen an Unteradministratoren vergeben können. Diese Unteradministratoren dürfen beispielsweise ihrerseits nur bestimmte Gruppen oder Personen verwalten und/oder bestimmte Bereiche von Verzeichnissen. Für eine Teilmenge dieser Gruppen, Personen und Verzeichnisse dürfen sie möglicherweise auch weitere Unteradministratoren definieren.

Eine zusätzliche Erweiterbarkeit des Systems ist gegeben, wenn die Datenobjekte Datenbanken und/oder Dateien und/oder Verzeichnisse sind, wobei vorzugsweise eine Schnittstelle zu einer Datenbank eines verwendeten Dokumentenmanagementsystems vorgesehen ist. Es besteht somit die Möglichkeit, mit diesem System nicht nur Dateien, sondern auch Datenbanken zu verschlüsseln. Das System lässt sich in ein bestimmtes Datenbanksystem integrieren, wobei dann statt der Dateien Einträge in der Datenbank verschlüsselt werden. Das Verfahren bleibt dabei das gleiche. Diese Möglichkeit ist insbesondere für datenbankbasierte Dokumentenmanagementsysteme interessant. Mit Hilfe des erfindungsgemäßen Verfahrens lassen sich dann in dem Dokumentenmanagementsystem nicht nur Zugriffsregeln definieren, sondern diese können mit Hilfe der Verschlüsselung auch besonders effizient und sicher umgesetzt werden. Hierfür muss das beschriebene System eine Schnittstelle zu der in dem Dokumentenmanagementsystem verwendeten Datenbank anbieten.

Das System lässt sich auf eine größere und flexiblere Datenbasis stellen, wenn mehrere Sicherheitsserver und/oder mehrere Datenobjektserver eingesetzt werden. Um eine höhere Ausfallsicherheit und eine bessere Performance zu erzielen, lässt sich das System auch mit mehreren Sicherheitsservern betreiben. Die bestehende Last kann dann gleichmäßig auf diese Server verteilt werden, so dass Anfragen schneller bearbeitet werden können und das System auch bei kurz- oder längerfristigem Ausfall eines Servers reibungslos weiter arbeitet.

Die Aufgabe wird ebenfalls gelöst durch ein Sicherheitsverfahren zum Schutz elektronischer Datenobjekte vor unberechtigtem Zugriff, wobei auf dem Sicherheitsserver eine Verschlüsselungsanfrage bzw. Entschlüsselungsanfrage zu überprüfen ist und der symmetrische Schlüssel bei Identifizierung des Anfragers als Gruppenmitglied mit dem privaten Schlüssel der Gruppe zu entschlüsseln ist, insbesondere zur Verwendung in einem Verfahren nach einem der Ansprüche 9 bis 21, insbesondere in einem Datenobjektverarbeitungssystem nach Anspruch 1 bis 8.

Vorteilhaft insbesondere zur schnelleren und effektiv gesicherten Verschlüsselung ist es, wenn der symmetrische Schlüssel mit dem öffentlichen Schlüssel des Anfragers verschlüsselt wird, der den symmetrischen Schlüssel mit seinem privaten Schlüssel öffnen kann. Hierdurch ist der symmetrische Schlüssel auch während der Übertragung auf den Benutzerrechner wirkungsvoll geschützt und kann nicht von einem anderen abgefangen und mißbraucht werden.

Zur Problemlösung führt ebenfalls, wenn ein Arbeitsprogramm auf einem Arbeitsrechner eingerichtet ist, das einen symmetrischen Schlüssel, der mit einem öffentlichem Schlüssel eines Anfragers verschlüsselt ist, mit dem privaten Schlüssel des Anfragers wieder entschlüsselt zur Verwendung in einem Sicherheitsverfahren nach Anspruch 22 oder 23. Das Programm auf dem Benutzerrechner kann den symmetrischen Schlüssel dann mit Hilfe des privaten Schlüssels der entsprechenden Person entschlüsseln. Die Person muss hierfür gegebenfalls ihr Passwort eingeben, falls nicht bereits eine offene Session mit dem Schlüssel besteht, das heißt falls nicht bereits vorher das Passwort eingegeben wurde und der Schlüssel damit noch geöffnet ist. Danach wird die Datei von dem Programm auf dem Benutzerrechner mit Hilfe des nun entschlüsselten symmetrischen Schlüssels entschlüsselt und danach geöffnet wie gewohnt. Die Person muss ihre Arbeitsabläufe in keiner Weise umstellen.

Die Aufgabe wird zudem gelöst durch ein Netzwerk mit zumindest einem Clientrechner, einem Datenobjektserver und einem Sicherheitsserver, wobei auf dem Datenobjektserver mit einem symmetrischen Schlüssel verschlüsselte Datenobjekte abgelegt sind, wobei der symmetrische Schlüssel mit einem asymmetrischen öffentlichen Schlüssel verschlüsselt ist und dem Datenobjekt zugeordnet abgelegt ist, und auf dem Sicherheitsserver eine Berechtigungsvorschrift zur Bestimmung der Mitglieder einer Nutzergruppe abgelegt ist, wobei der Nutzergruppe der öffentliche sowie der korrespondierende private Schlüssel zugeordnet ist und auf dem Sicherheitsserver abgelegt ist, und von dem Clientrechner Anfragen zum Öffnen von Datenobjekten und/oder Ablegen von Datenobjekten an den Sicherheitsserver zu senden sind.

Vorteilhafte Ausführungsformen umfassen ein Netzwerk nach Anspruch 25 zur Verwendung in einem Verfahren nach einem der Ansprüche 9 bis 21, insbesondere zur Verwendung mit einem Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 8.

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus den Ansprüchen und der nachstehenden Beschreibung, in der Ausführungsbeispiele des Gegenstands der Erfindung in Verbindung mit den Zeichnungen näher erläutert sind.
Es zeigen:
1 eine Funktionsweise eines hybriden Verschlüsselungsverfahrens,
2 ein Ablaufschema der Verschlüsselung und
3 ein Ablaufschema der Entschlüsselung.
1 zeigt die Funktionsweise eines hybriden Verschlüsselungsverfahrens. Ein zu verschlüsselndes Datenobjekt 1 wird mittels eines symmetrischen Schlüssels 4 verschlüsselt. Dieser symmetrische Schlüssel 4 muss geheim bleiben. Da es sehr aufwendig ist, den Schlüssel an alle Beteiligten zu verteilen und da diese Vorgehensweise anfällig für sicherheitsrelevante Angriffe ist, wird der Schlüssel an sich auch noch verschlüsselt und mit dem Datenobjekt 1 zusammen in verschlüsselter Form abge legt. Dabei kommt ein asymmetrisches Verfahren der Verschlüsselung des Schlüssels 4 zum Einsatz. Das bedeutet, dass der symmetrische Schlüssel 4 mit einem Schlüssel verschlüsselt wird, der nicht geheim bleiben muss, einem öffentlichen Schlüssel 5. Die Datenobjekte, die dem symmetrischen Schlüssel 4 zugeordnet sind, können dann mit einem privaten (geheimen) Schlüssel 6 entschlüsselt werden. Das Schlüsselpaar aus öffentlichem Schlüssel 5 und privatem Schlüssel 6 ist jeweils einer Gruppe zugeordnet und der private Schlüssel bleibt geheim.
Darüberhinaus erhält jeder Mitarbeiter einen privaten Schlüssel 9, mit dessen Hilfe er die für sich verschlüsselten symmetrischen Schlüssel 4 und damit die dazugehörigen Datenobjekte 1 entschlüsseln kann. Der öffentliche Schlüssel 7 des Mitarbeiters ist im Unternehmen frei zugänglich und kann von allen Kollegen verwendet werden, die damit Dateien verschlüsseln können, die für diesen Mitarbeiter bestimmt sind. Nur der Mitarbeiter selbst kann die symmetrischen Schlüssel dieser Dateien dann mit seinem privaten Schlüssel 9 entschlüsseln. Für alle anderen bleibt das Datenobjekt 1 unlesbar.
2 zeigt ein Ablaufschema einer Verschlüsselung eines Datenobjekts 1. Zur Verschlüsselung von Datenobjekten 1 wird beispielhaft wie im Folgenden beschrieben vorgegangen. Wenn ein Benutzer ein Datenobjekt 1 bearbeitet hat und es nun in einem angeschlossenen Netzwerk in einem Verzeichnis abgelegen möchte, speichert er das Datenobjekt 1 wie gewohnt. Die nun folgenden Aktionen laufen vorzugsweise im Hintergrund ohne Benutzerinteraktion ab, so dass er seine gewohnten Arbeitsabläufe nicht umstellen muss. Zunächst sendet ein Arbeitsprogramm 8 auf dem Benutzerrechner eine Verschlüsselungsanfrage 11 an einen Sicherheitsbereich 2, insbesondere einen Sicherheitsserver, ob Datenobjekte 1 in diesem Verzeichnis laut einer von einem Administratorprogramm vorgegebenen Berechtigungsvorschrift 13 durch das Sicherheitsprogramm verschlüsselt werden müssen. Falls darin eine Verschlüsselung nicht gefordert ist, dann kann das Datenobjekt 1 unverschlüsselt gespeichert werden und der Vorgang ist beendet. Muss das Datenobjekt 1 nach der Vorschrift verschlüsselt werden, dann teilt der Sicherheitsbereich 2 dem Arbeitsprogramm 8 auf dem Benutzerrechner mit, für welche Gruppen das Datenobjekt 1 verschlüsselt werden muss und stellt die öffentlichen Schlüssel 5 dieser Gruppen zur Verfügung. Die Datenobjekte 1 auf dem Datenobjektbereich 3, insbesondere auf dem Datenobjektserver, werden dann zunächst mit einem symmetrischen Schlüssel 4 verschlüsselt und der symmetrische Schlüssel 4 dann mit dem oder den öffentlichen Gruppenschlüssel(n) 5 der Gruppe(n) verschlüsselt, die Zugriff auf die Datenobjekte 1 haben sollen. Die privaten Schlüssel 6 dieser Gruppen befinden sich ausschließlich in dem Sicherheitsbereich 2, insbesondere auf dem Sicherheitsserver, auf den kein Benutzer zugreifen kann. Somit können die Datenobjekte 1 zunächst einmal von niemandem unberechtigt entschlüsselt und gelesen werden.
3 zeigt ein Ablaufschema der Entschlüsselung eines Datenobjekts 1. Grundsätzlich liegt zu Beginn die Anfrage eines Benutzers vor, ein Datenobjekt 1 zu öffnen. Er tut dies wie gewohnt, z.B. aus einem Anwendungsprogramm heraus oder durch Doppelklick auf das entsprechende Datenobjekt. Falls das Datenobjekt 1 nicht verschlüsselt ist, wird es geöffnet wie gewohnt, der Vorgang ist damit beendet.
Im anderen Fall ist das Datenobjekt 1 verschlüsselt. Das Arbeitsprogramm 8 auf dem Benutzerrechner stellt dann eine Anfrage an den Sicherheitsbereich 2, insbesondere den Sicherheitsserver. Auf die Anfrage hin überprüft das Sicherheitsprogramm 10 zunächst die Berechtigungsvorschrift 13 und übermittelt bei Berechtigung das verschlüsselte Datenobjekt 1. Das Arbeitsprogramm 8 auf einem Anfragerecher löst den mit dem öffentlichen Gruppenschlüssel 5 verschlüsselten symmetrischen Schlüssel 4, mit dem das Datenobjekt 1 verschlüsselt wurde, aus dem Zusammenhang mit dem Datenobjekt 1. Der verschlüsselte symmetrische Schlüssel 4 wird anschließend an das Sicherheitsprogramm 10 auf dem Sicherheitsbereich 2 übertragen mit der Bitte um Entschlüsselung. Das Sicherheitsprogramm 10 überprüft anhand der Berechtigungsvorschrift 13, ob die Person aufgrund ihrer Zugehörigkeit zu einer Gruppe berechtigt ist, die Datei zu öffnen. Ist dies nicht der Fall, dann wird eine entsprechende negative Antwort an das Arbeitsprogramm 8 auf dem Benutzerrechner generiert. Hierdurch wird dem Benutzer dann gemeldet, dass er keine Berechtigung hat, das Datenobjekt 1 zu entschlüsseln. Der Fall ist damit abgeschlossen. Ist dies der Fall, dann ist das Verfahren das folgende: Das Sicherheitsprogramm 10 entschlüsselt den symmetrischen Schlüssel 4, mit dem das Datenobjekt 1 verschlüsselt ist, mit dem privaten Schlüssel 6 der entsprechenden Gruppe, auf den nur das Sicherheitsprogramm 10 nicht aber beliebige Benutzer Zugriff haben. Anschließend verschlüsselt das Sicherheitsprogramm 10 den symmetrischen Schlüssel 4 für die Person, die das Datenobjekt 1 angefordert hat mit deren öffentlichem Schlüssel 7 und sendet das Datenobjekt 1 an das Arbeitsprogramm 8 auf dem Benutzerrechner dieser Person. Damit ist der symmetrische Schlüssel 4 auch während der Übertragung auf den Benutzerrechner wirkungsvoll geschützt und kann nicht von einem anderen abgefangen und mißbraucht werden. Das Arbeitsprogramm 8 entschlüsselt anschließend mit dem privaten Schlüssel 9 des Benutzers den symmetrischen Schlüssel 4 und entschlüsselt anschließend das Datenobjekt 1 mit dem symmetrischen Schlüssel 4. Vor Beginn der Anfrage zum Öffnen einer Datei an das Sicherheitsprogramm 10 kann eine Eingabe eines Passworts geschaltet werden, um den Nutzer als zulässigen Benutzer auszuweisen, um Zugriff auf den privaten Schlüssel zu erhalten.

1: elektronisches Datenobjekt
2: Sicherheitsbereich
3: Datenobjektbereich
4: symmetrischer Schlüssel
5: öffentlicher Schlüssel der Gruppe
6: privater Schlüssel der Gruppe
7: öffentlicher Schlüssel des Gruppenmitglieds
8: Arbeitsprogramm
9: privater Schlüssel des Gruppenmitglieds
10: Sicherheitsprogramm
11: Verschlüsselungsanfrage
12: Entschlüsselungsanfrage
13: Berechtigungsvorschrift

Claims

Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte (1) vor unberechtigtem Zugriff, mit einem Sicherheitsbereich (2) und einem davon getrennten Datenobjektbereich (3), wobei in dem Datenobjektbereich (3) zumindest ein mit einem symmetrischen Schlüssel (4) verschlüsseltes Datenobjekt (1) zugeordnet zu dem symmetrischen Schlüssel (4) abgelegt ist, wobei der symmetrische Schlüssel (4) mit einem öffentlichen Schlüssel (5) verschlüsselt ist und mit einem korrespondierenden privaten Schlüssel (6) zu entschlüsseln ist, wobei der öffentliche Schlüssel (5) und der korrespondierende private Schlüssel (6) einer Nutzergruppe zugeordnet sind, die aus mindestens einem Gruppenmitglied besteht, wobei der private Schlüssel (6) in dem Sicherheitsbereich (2) abgelegt ist und die Berechtigung eines Gruppenmitglieds bezüglich des Datenobjekts (1) mittels einer Berechtigungsvorschrift (13) in dem Sicherheitsbereich (2) festgelegt ist.
Datenobjektverarbeitungssystem mit Schutz elektronischer Datenobjekte (1) vor unberechtigtem Zugriff, mit einem Sicherheitsbereich (2) und einem davon getrennten Datenobjektbereich (3), wobei in dem Datenobjektbereich (3) zumindest ein mit einem asymmetrischen öffentlichen Schlüssel (5) verschlüsseltes Datenobjekt (1) abgelegt ist, das mit einem korrespondierenden privaten Schlüssel (6) zu entschlüsseln ist, wobei der öffentliche Schlüssel (5) und der entsprechende private Schlüssel (6) einer Nutzergruppe zugeordnet sind, die aus mindestens einem Gruppenmitglied besteht, wobei der private Schlüssel (6) in dem Sicherheitsbereich (2) abgelegt ist und die Berechtigung eines Gruppenmitglieds bezüglich des Datenobjekts (1) mittels einer Berechtigungsvorschrift (13) in dem Sicherheitsbereich (2) festgelegt ist.
Datenobjektverarbeitungssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Sicherheitsbereich (2) und der Datenobjektbereich (3) auf einem Server eingerichtet sind.
Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass der Sicherheitsbereich (2) ein, insbesondere separater, Sicherheitsserver und/oder der Datenobjektbereich (3) ein, insbesondere separater, Datenobjektserver ist.
Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Berechtigungsvorschrift (13) eine Berechtigungsliste ist und insbesondere einem Sicherheitsprogramm zugeordnet ist.
Datenobjektverarbeitungssystem nach einem der Ansprüche 1, 3 bis 5, dadurch gekennzeichnet, dass der verschlüsselte symmetrische Schlüssel (4) zusammen mit dem Datenobjekt (1) in dem Datenobjektbereich (3) abgelegt ist
Datenobjektverarbeitungssystem nach einem der Ansprüche 1, 3 bis 6, dadurch gekennzeichnet, dass der private Schlüssel (6) zum Entschlüsseln des mit dem öffentlichen Schlüssel (5) verschlüsselten symmetrischen Schlüssels (4) lediglich vorbestimmten Gruppenmitgliedern bzw. vorzugsweise keinem Gruppenmitglied bekannt ist.
Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass im Falle des Zugangs bzw. Weggangs eines Gruppenmitglieds der Nutzergruppe lediglich ein Gruppenmitglied in der Berechtigungsvorschrift (13) hinzuzufügen bzw. herauszunehmen ist.
Verfahren zur Bearbeitung von elektronischen Datenobjekten (1) mit Schutz der Datenobjekte vor unberechtigtem Zugriff, wobei in einem Datenobjektbereich (3) Datenobjekte (1) abgelegt werden, die mit einem symmetrischen Schlüssel (4) verschlüsselt werden, wobei der symmetrische Schlüssel (4) mit einem öffentlichen Schlüssel (5) verschlüsselt wird, wobei der öffentliche Schlüssel (5) und der entsprechende private Schlüssel (6) einer Gruppe, bestehend aus mindestens einem Gruppenmitglied, zugeordnet ist, wobei der private Schlüssel (6) in dem Sicherheitsbereich abgelegt wird und das Gruppenmitglied/die Gruppenmitglieder mittels einer Berechtigungsvorschrift in dem Sicherheitsbereich festgelegt wird/werden insbesondere zur Verwendung in einem Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 8.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass zum Öffnen eines mit einem symmetrischen Schlüssel (4) verschlüsselten Datenobjekts (1) auf dem Sicherheitsbereich (2) eine Entschlüsselungsanfrage mittels der Berechtigungsvorschrift (13) daraufhin überprüft wird, ob die Anfrage von einem Gruppenmitglied kommt und dass bei einem positiven Prüfungsergebnis das mit dem symmetrischen Schlüssel (4) verschlüsselte Datenobjekt zusammen mit dem verschlüsselten symmetrischen Schlüssel (4) vom Datenobjektbereich (3) an das Gruppenmitglied übermittelt wird, wobei anschließend der verschlüsselte symmetrische Schlüssel (4) extrahiert und an den Sicherheitsbereich (2) geschickt wird, wo der verschlüsselte symmetrische Schlüssel (4) mit dem privaten Schlüssel (6) der Nutzergruppe entschlüsselt wird und an das Gruppenmitglied zurückübersandt wird, woraufhin das Datenobjekt (1) mit dem symmetrischen Schlüssel (4) entschlüsselt wird.
Verfahren nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass zum Rückübersenden des symmetrischen Schüssels (4) an den Anfrager der symmetrische Schlüssel (4) mit einem öffentlichen Schlüssel (7) des Anfragers verschlüsselt wird.
Verfahren nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, dass auf dem Anfragerrechner ein Arbeitsprogramm (8) eingerichtet ist, das die Anfrage des Anfragers im Rahmen eines automatischen, insbesondere im Hintergrund arbeitenden Ablaufs aussendet und/oder die Schlüssel und/oder das zu öffnende Datenobjekt (1) automatisiert empfängt.
Verfahren nach einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, dass der Anfrager im Zusammenhang mit der Entschlüsselunganfrage (12) ein Passwort vor dem Start der Entschlüsselung mit dem privaten Schlüssel (9) des Anfragers eingibt.
Verfahren nach einem der Ansprüche 9 bis 13, dadurch gekennzeichnet, dass die Berechtigungsvorschrift (13) von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass Gruppenmitglieder hinzugefügt- und/oder herausgenommen werden.
Verfahren nach einem der Ansprüche 9 bis 14, dadurch gekennzeichnet, dass die Berechtigungsvorschrift (13) und/oder das Sicherheitsprogramm (10) von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass festgelegt wird, welche Datenobjekte (1) verschlüsselt werden und welche Zugriffrechte die Nutzergruppe hat.
Verfahren nach einem der Ansprüche 9 bis 15, dadurch gekennzeichnet, dass die Berechtigungsvorschrift (13) und/oder das Sicherheitsprogramm (10) von einem Sicherheitsadministrator vorzugsweise über ein Administratorprogramm dahingehend abgeändert wird, dass die Schlüssel für die Gruppenmitglieder und die Nutzergruppen abgeändert werden und/oder neue Schlüssel erzeugt werden.
Verfahren nach einem der Ansprüche 9 bis 16, dadurch gekennzeichnet, dass Änderungen der Schlüssel und/oder Gruppenmitglieder und/oder Gruppenrechte im Administratorprogramm vorgenommen werden und nach Abspeicherung der Änderungen diese geänderte Konfiguration im Sicherheitsprogramm (10) und/oder in der Berechtigungsvorschrift (13) gespeichert wird.
Verfahren nach einem der Ansprüche 9 bis 17, dadurch gekennzeichnet, dass beim Hinzufügen eines neuen Benutzers als Gruppenmitglied das Arbeitsprogramm (8) auf dem Gruppenmitgliedsrechner installiert wird, wobei der private und der zugehörige öffentliche Schlüssel der Nutzergruppe und/oder des Gruppenmitglieds dem Sicherheitsprogramm (10) und/oder der Berechtigungsvorschrift von einem Schlüsselprogramm, insbesondere von dem Administratorprogramm zur Verfügung gestellt wird.
Verfahren nach einem der Ansprüche 9 bis 18, dadurch gekennzeichnet, dass das Administratorprogramm von einem übergeordneten Supervisorprogramm verwaltet wird, wobei durch das Administratorprogramm jeweils eine Teilmenge einer Nutzergruppe und/oder mehrere Nutzergruppen und/oder vorbestimmte Datenobjekte (1) verwaltet wird/werden.
Verfahren nach einem der Ansprüche 9 bis 19, dadurch gekennzeichnet, dass die Datenobjekte (1) Datenbanken und/oder Dateien und/oder Verzeichnisse sind, wobei vorzugsweise eine Schnittstelle zu einer Datenbank eines verwendeten Dokumentenmanagementsystems vorgesehen ist.
Verfahren nach einem der Ansprüche 9 bis 20, dadurch gekennzeichnet, dass mehrere Sicherheitsserver und/oder mehrere Datenobjektserver eingesetzt werden.
Sicherheitsverfahren zum Schutz elektronischer Datenobjekte (1) vor unberechtigtem Zugriff, wobei auf dem Sicherheitsserver eine Verschlüsselungsanfrage bzw. Entschlüsselungsanfrage zu überprüfen ist und der symmetrische Schlüssel bei Identifizierung des Anfragers als Gruppenmitglied mit dem privaten Schlüssel der Gruppe zu entschlüsseln ist, insbesondere zur Verwendung in einem Verfahren nach einem der Ansprüche 9 bis 21, insbesondere in einem Datenobjektverarbeitungssystem nach Anspruch 1 bis 8.
Sicherheitsverfahren nach Anspruch 22, dadurch gekennzeichnet, dass der symmetrische Schlüssel (4) mit dem öffentlichen Schlüssel des Anfragers verschlüsselt wird, der den symmetrischen Schlüssel mit seinem privaten Schlüssel öffnen kann.
Arbeitsprogramm auf einem Arbeitsrechner, das einen symmetrischen Schlüssel, der mit einem öffentlichem Schlüssel eines Anfragers verschlüsselt ist, mit dem privaten Schlüssel des Anfragers wieder entschlüsselt zur Verwendung in einem Sicherheitsverfahren nach Anspruch 22 oder 23.
Netzwerk mit zumindest einem Clientrechner, einem Datenobjektserver und einem Sicherheitsserver, wobei auf dem Datenobjektserver mit einem symmetrischen Schlüssel (4) verschlüsselte Datenobjekte (1) abgelegt sind, wobei der symmetrische Schlüssel (4) mit einem asymmetrischen öffentlichen Schlüssel verschlüsselt ist und dem Datenobjekt (1) zugeordnet abgelegt ist, und auf dem Sicherheitsserver eine Berechtigungsvorschrift zur Bestimmung der Mitglieder einer Nutzergruppe abgelegt ist, wobei der Nutzergruppe der öffentliche sowie der korrespondierende private Schlüssel zugeordnet ist und auf dem Sicherheitsserver abgelegt ist, und von dem Clientrechner Anfragen zum Öffnen von Datenobjekten (1) und/oder Ablegen von Datenobjekten (1) an den Sicherheitsserver zu senden sind.
Netzwerk nach Anspruch 25 zur Verwendung in einem Verfahren nach einem der Ansprüche 9 bis 21, insbesondere zur Verwendung mit einem Datenobjektverarbeitungssystem nach einem der Ansprüche 1 bis 8.