Die vorliegende Erfindung betrifft ein Verfahren und eine Anordnung für den unmanipulierbaren Ressourcenzugang.The present invention relates to a method and an arrangement for unmanipulable resource access.
Die Informationsgesellschaft basiert auf immer größere Vernetzung. Kraftwerke, Banken, Wasserwerke, Behörden, Unternehmen, Privatpersonen u. a. m. sind in der Regel über das Internet miteinander verbunden, so dass sie ohne besonderen Schutz zu jeder Zeit terroristischen Angriffen und anderen Hackerangriffen ausgesetzt sind. Planungen von Cyberarmeen sind keine Utopien mehr. Der Cyberspace wird immer mehr zur Plattform für Kriminelle und Agenten. Der Schutz der Ressourcen wird zur Überlebenssache der demokratischen Informationsgesellschaft.The information society is based on ever greater networking. Power plants, banks, waterworks, authorities, companies, private persons and the like. a. m. They are usually connected to each other via the Internet so that they are exposed to terrorist attacks and other hacker attacks at all times without special protection. Planning cyber armies is no longer utopian. Cyberspace is increasingly becoming a platform for criminals and agents. Protecting resources becomes a matter of survival for the democratic information society.
In SuSE-Linux-Netzwerkadministration-I [SuSE Linux Solution AG; Lernunterlagen-Artikelnr. S-45320; Version: September 2001] ist ein Verfahren zur Konfiguration der Netzwerkrouten beschrieben, wobei die Konfigurationen der Wege, die ein Datenpaket durch des Netzwerk nehmen soll, von einem Administrator mit Hilfe einer Routing-Tabelle festgelegt werden.In SuSE Linux Network Administration-I [SuSE Linux Solution AG; Learning material's article. S-45320; Version: September 2001] describes a method for configuring the network routes, where the configurations of the paths that a data packet should take through the network are set by an administrator using a routing table.
In US 2004/0233925 sind Systeme und Methoden für das zur Verfügung stellen von gesteuerten Zugängen in ein Telekommunikationsnetzwerk offenbart. Verschiedene. Systeme beinhalten eine automatische Trägerschicht und Service-Schicht. Die Trägerschicht ermöglicht einer von mindestens zwei Quellen den Zugang zu einer Teilnehmeranschlussleitung. Die Service-Schicht verbindet eine Zugangsanfrage mit einem von zwei Service-Pools. In einigen Fällen werden ein oder mehrere elektromechanische Cross-Verbinder zur Schalternetz-Signalisierung verwendet.In US 2004/0233925 discloses systems and methods for providing controlled accesses to a telecommunications network. Various. Systems include an automatic carrier layer and service layer. The carrier layer allows one of at least two sources access to a subscriber line. The service layer connects an access request to one of two service pools. In some cases, one or more cross-connect electromechanical switches are used for switch network signaling.
Aus dem Stand der Technik sind zum Schutz von Ressourcen zum Beispiel Switch mit dem Hilfswerkzeug Port Security bekannt. Mit diesem Hilfswerkzeug kann der Administrator explizit einem Port bis zu acht MAC-Adressen zuordnen, so dass der Port nur auf Einheiten mit diesen MAC-Adressen anspricht. Ein wesentlicher Nachteil dieser Lösung liegt darin, dass keine Zuordnung eines Ports zur Kommunikation ausführenden Person möglich ist. Ein weiterer Nachteil besteht darin, dass die MAC-Adresse durch einen Dritten demaskiert werden kann. Weitere Verfahren und Anordnungen, die den erfindungsgemäßen Lösungen entsprechen sind nicht bekannt.Switches with the auxiliary tool Port Security are known from the state of the art for protecting resources, for example. With this utility tool, the administrator can explicitly assign up to eight MAC addresses to a port so that the port responds only to devices with these MAC addresses. A major disadvantage of this solution is that no assignment of a port for communication executive person is possible. Another disadvantage is that the MAC address can be unmasked by a third party. Other methods and arrangements which correspond to the solutions according to the invention are not known.
Die Aufgabe der Erfindung besteht darin, ein Verfahren und eine Anordnung für die unmanipulierbare Festlegung, Aktivierung, Änderung und Ausführung eines Person oder Personen und/oder Einheit oder Einheiten bezogenen Ressourcenzugangs zuschaffen. Ziel der Erfindung ist ein umfassender Schutz von Ressourcen innerhalb von Computernetzen. Die Erfindung kann überall dort eingesetzt werden, wo der Zugang zu den Hardware- und Netzwerkressourcen nur gewissen Personen und/oder Einheiten gewährt oder verwehrt werden soll. So soll der Bankkunde einer Bank nur Zugang auf spezielle Ressourcen der Bank haben, wobei andere Ressourcen jedem zugänglich sein muss. Bei Fernwartung oder Fernbedienung eines Gerätes oder einer Anlage soll nur der mit dem Service oder mit der Bedienung betraute Techniker Zugang zum Gerät oder zur Anlage erlangen. Der Zugang zu gewissen Ressourcen einer lokalen Behörde (z. B. Finanzamt) soll zum einen nur den beim Finanzamt gemeldeten Personen möglich sein. Ein anderer Anwendungsfall existiert zum Beispiel bei virtuellen Videotheken. Spezielle Filme oder Spiele unterliegen dem Jugendschutz. Um Kindern oder Jugendlichen den Zugang zu diesen Daten zu verwehren, muss das Alter der Kommunizierenden überprüfbar sein. Provider müssen eine Möglichkeit zur Realisierung eines so genannten Cyberspace-Hausverbots erhalten, um gewisse Personen den Zugang z. B. zu ihrem Auktionshaus verbieten zu können. Auch in der lokalen Gestaltung von Firmennetzen ist die Erfindung anwendbar. In vielen Fällen muss in einem Unternehmen garantiert werden, dass nur berechtigte Personen und/oder Einheiten Zugang zu den Ressourcen erhalten. Um beim Eintreten von besonderen Ereignissen den Verursacher eines dieser Ereignisse ermitteln zu können, muss eine Möglichkeit zur Ermittlung der Ereignis auslösenden Person Vorhandensein. Jede am Verfahren beteiligte Person muss sicher wissen, dass keine Daten von Personen, die an diesem Verfahren nicht beteiligt sind, manipuliert werden können und dass Manipulationen von Daten durch am Verfahren beteiligte Personen nicht unentdeckt bleiben. Des Weiteren muss jede am Verfahren beteiligte Person wissen, dass die Person sicher dem Ereignis zugeordnet werden kann. Hochsensible Bereiche müssen durch auf mehrere Schultern verteilte Verantwortlichkeiten geschützt werden können. Keine Handlung darf ohne Kontrolle und ohne bewusste Bestätigung der Kontrollergebnisse möglich sein.The object of the invention is to provide a method and an arrangement for the unmanipulable definition, activation, modification and execution of a person or person and / or unit or unit related resource access. The aim of the invention is a comprehensive protection of resources within computer networks. The invention can be used wherever access to the hardware and network resources is to be granted or denied only to certain persons and / or entities. For example, a bank's bank client should only have access to specific resources of the bank, and other resources must be available to everyone. In the case of remote maintenance or remote control of a device or system, only the technician entrusted with the service or the operator should gain access to the device or the system. Access to certain resources of a local authority (eg tax office) should, on the one hand, only be possible for persons registered with the tax office. Another application exists, for example, in virtual video stores. Special films or games are subject to the protection of minors. In order to deny children or adolescents access to these data, the age of the communicants must be verifiable. Providers must be given the opportunity to implement a so-called cyberspace home ban in order to prevent certain persons from gaining access to it. B. to ban their auction house. Also in the local design of corporate networks, the invention is applicable. In many cases, it must be guaranteed in a company that only authorized persons and / or entities have access to the resources. In order to be able to determine the cause of one of these events when special events occur, there must be a possibility of determining the event triggering presence. Every person involved in the process must know for certain that no data can be manipulated by persons who are not involved in this process and that manipulation of data by persons involved in the process does not go undetected. Furthermore, each person involved in the procedure must know that the person can be safely assigned to the event. Highly sensitive areas need to be protected by responsibilities shared across multiple shoulders. No action may be possible without control and without conscious confirmation of the results of the inspection.
Erfindungsgemäß wird die Aufgabe durch wohnort- und/oder alters- und/oder identitäts- und/oder geräte- und/oder datums- und/oder zeitabhängige Freischaltungen oder Sperrungen von Ports gelöst, die entsprechend der in den Ansprüchen dargestellten Lehre vollzogen werden. Im Folgenden wird die Erfindung exemplarisch anhand der in den 1–10 dargestellten Sachverhalte erläutert. 1 zeigt drei erfindungsgemäße Einheiten (Anordnungen) 1.1 (A, I, L), ein Switch 1.7 und zwei PC (1.3F1, 1.3F2). Die PC (1.3F1, 1.3F2) dienen für den Zugang auf frei zur Verfügung stehenden Ressourcen. Die freien PC (1.3F1, 1.3F2) sind über den Switch an das Intranet angeschaltet. Das Intranet steht mit dem Port 1.13I der Einheit 1.1I in Verbindung. Die Einheit 1.1I ist die Ressourcenzugang entscheidende und ausführende Einheit, die anhand ihrer Ressourcenzugangsdatei und anhand von Person oder Einheit kennzeichnenden Daten über den Zugang vom Internet auf das Security Intranet oder auf das Intranet und invers entscheidet. Enthalten die vom Internet kommenden Daten nicht die im Verfahren verankerten, je Person und/oder Einheit kennzeichnenden Daten, so werden diese durch die Einheit 1.1I über den Port 1.13I auf das freie Intranet ausgesandt. Sind in den ankommenden Daten die im Verfahren verankerten, je Person und/oder Einheit kennzeichnende Daten enthalten, so entscheidet die Einheit 1.1I in Abhängigkeit der Daten ihrer Ressourcenzugangsdatei über die Weitergabe am Port 1.17I der am Port 1.12I des Internets empfangenen Daten.According to the invention, the object is achieved by unlocking or blocking of ports which are based on the place of residence and / or age and / or device and / or date and / or time and which are carried out in accordance with the teaching presented in the claims. In the following the invention will be described by way of example with reference to FIGS 1 - 10 explained facts explained. 1 shows three units according to the invention (arrangements) 1.1 (A, I, L), a switch 1.7 and two PCs ( 1.3F1 . 1.3F2 ). The PC ( 1.3F1 . 1.3F2 ) serve for access to freely available resources. The free PC ( 1.3F1 . 1.3F2 ) are connected to the intranet via the switch. The intranet stands with the port 1.13I the unit 1.1i in connection. The unit 1.1i is the resource access critical and executive unit that decides on access from the Internet to the security intranet or intranet and inverse based on its resource access file and person or entity identifying data. If the data coming from the Internet does not contain the data anchored in the procedure, which identifies per person and / or unit, then these are transmitted by the unit 1.1i over the port 1.13I sent to the free intranet. If the incoming data contains the data anchored in the procedure and identifies per person and / or unit, then the unit decides 1.1i depending on the data of its resource access file about the port forwarding 1.17I the at the port 1.12I Internet data received.
Jede Einheit 1.1 enthält beispielhaft die ressourcenzugangsgesteuerten Ports 1.12 bis 1.17. An den Ports 1.15 der Einheit 1.1 (A, L) sind zum Beispiel ein CD-Gerät oder ein Stick oder ein Kartenreader angeschaltet. Externe Massenspeicher 1.5 sind mit den Ports 1.16 der Einheiten 1.1 (A, L) verbunden. Die Einheiten 1.1 (A, L) stehen über das Port 1.14 mit einem Kartengerät in Verbindung, das wiederum mit einer Sicherheitskarte (SID-Karte) 1.6 verschalten ist. Über die Ports 1.17 (A, L) sind die Einheiten 1.1 an das Security Intranet angeschaltet. Am Administrator PC (Admin-PC1) 1.3A, der am Port 1.13A der Einheit 1.1A angeschaltet ist, erstellt der Administrator in Verbindung mit der Ressourcenzugang erstellenden und/oder kontrollierenden und/oder entscheidenden und ausführenden Einheit die Ressourcenzugangsdatei. Der PC2 1.3L ist mit dem Port 1.13L der Ressourcenzugang entscheidenden und/oder ausführenden und/oder kontrollierenden Einheit 1.1L verbunden.Every unit 1.1 exemplifies the resource access controlled ports 1.12 to 1.17 , At the ports 1.15 the unit 1.1 (A, L), for example, a CD device or a stick or a card reader are turned on. External mass storage 1.5 are with the ports 1.16 of the units 1.1 (A, L) connected. The units 1.1 (A, L) are over the port 1.14 connected to a card device, in turn connected to a security card (SID card) 1.6 is interconnected. About the ports 1.17 (A, L) are the units 1.1 connected to the security intranet. On administrator PC (Admin-PC1) 1.3A who is at the port 1.13a the unit 1.1A is turned on, the administrator creates the resource access file in connection with the resource access creating and / or controlling and / or deciding and executing entity. The PC2 1.3L is with the port 1.13L the resource access decisive and / or exporting and / or controlling entity 1.1L connected.
In 2 ist eine Ausführungsvariante der erfindungsgemäßen Anordnung dargestellt. Im Einzelnen ist gezeigt, eine Einheit 1.1 mit drei Modulen E1, E2, E3, den Ports 1.12/1, 1.12/2, 1.13, 1.16, 1.17 und den Wege schaltenden Bauteilen S1 bis S5. Die Ports 1.12/1, 1.12/2, 1.13, 1.16, 1.17 entsprechen den in der Ressourcenzugangsdatei durch ihre Portnummer festgelegten Ports. Die Wege schaltenden Bauteile können vorteilhaft Analogschalter sein. Im Weiteren werden die Wege schaltenden Bauteile nur noch als Schalter bezeichnet. Die Module E1, E2 und E3 sind vorteilhaft als Embedded PC ausgeführt. Das Modul E1 enthält mindestens ein serielles Interface 1.15, zwei Ethernetinterface E1.1, E1.2 und die Interface E12 und E13. Das Modul E2 ist das erfindungsgemäße vorbestimmte Modul. Es beinhaltet mindestens ein Touchscreen 1.11, ein Serielles Interface 1.14, den Port 1.16, die Interface E12, E32, einen biometrischen Sensor BS und die Steuerports ES (1 bis 5). Die Steuerports stellen in Bezug auf das Modul E2 Ausgangsports dar. Das Modul E2 steuert über diese Ports in Abhängigkeit von den Daten der Ressourcenzugangsdatei die Schalter S (1 bis 5) und gewährt oder verwehrt somit dem Zugangfordernden den Zugang zu den Ressourcen, die an den Ports (1.12, 1.13, 1.16, 1.17) angeschaltet sind. Am Interface 1.14 ist das Kartengerät 1.2 angeschaltet. Der biometrische Sensor BS ist vorzugsweise ein Fingerabdrucksensor. Über das separate Interface E12 stellen die Module E1 und E2 ihre Daten dem jeweils anderen Modul zur Verfügung. Analog stellen die Module E2 und E3 über das separate Interface E32 ihre Daten bereit.In 2 an embodiment of the inventive arrangement is shown. In detail is shown a unit 1.1 with three modules E1, E2, E3, the ports 1.12 / 1 . 1.12 / 2 . 1.13 . 1.16 . 1.17 and the path-switching components S1 to S5. The ports 1.12 / 1 . 1.12 / 2 . 1.13 . 1.16 . 1.17 correspond to the ports specified in the resource access file by their port number. The path switching components may advantageously be analog switch. In the following, the path-switching components are only referred to as switches. The modules E1, E2 and E3 are advantageously designed as an embedded PC. The module E1 contains at least one serial interface 1.15 , two Ethernet interface E1.1, E1.2 and the interface E12 and E13. The module E2 is the predetermined module according to the invention. It includes at least one touch screen 1.11 , a serial interface 1.14 , the port 1.16 , the interface E12, E32, a biometric sensor BS and the control ports ES (1 to 5). The control ports represent output ports with respect to the module E2. The module E2 controls the switches S (1 to 5) through these ports depending on the data of the resource access file and thus grants or denies the accessor access to the resources connected to the resources Ports ( 1.12 . 1.13 . 1.16 . 1.17 ) are turned on. At the interface 1.14 is the card device 1.2 turned on. The biometric sensor BS is preferably a fingerprint sensor. Via the separate interface E12, the modules E1 and E2 make their data available to the other module. Analogously, the modules E2 and E3 provide their data via the separate interface E32.
Der Schalter S1 ist auf der einen Seite mit dem Schalter S2 und auf der anderen Seite mit den Ports 1.12/1 und 1.12/2 verbunden. Zur vollständigen Zugangsverwehrung weist der Schalter S1, wie auch die Schalter S3 bis S5, eine Trennstellung auf. Der Schalter S2 steht auf der anderen Seite mit dem Ethernetinterface E1.1 des Moduls E1 und mit dem Ethernetinterface E3.1 des Moduls E3 in Verbindung. Der Schalter S3 verbindet oder trennt die Module E1 und E3.The switch S1 is on one side with the switch S2 and on the other side with the ports 1.12 / 1 and 1.12 / 2 connected. For complete access denial, the switch S1, as well as the switches S3 to S5, a disconnected position. The switch S2 is connected on the other side to the Ethernet interface E1.1 of the module E1 and to the Ethernet interface E3.1 of the module E3. The switch S3 connects or disconnects the modules E1 and E3.
Der Schalter S4 ist auf einer Seite mit dem Interface E3.2 und auf der anderen Seite mit dem Port 1.17 verbunden. Der Schalter S5 koppelt oder entkoppelt das Port 1.13 vom Ethernetinterface E1.2 des Moduls E1.The switch S4 is on one side with the interface E3.2 and on the other side with the port 1.17 connected. The switch S5 couples or decouples the port 1.13 from the Ethernet interface E1.2 of the module E1.
Das Modul E2 ist ein Hochsicherheitsmodul, dessen Software unveränderbar im internen nicht dargestellten Speicher des Moduls E2 gespeichert ist. Neben der Software enthält der interne Speicher des Moduls E2 geheime Zufallsdaten, die im Speicher unmanipulierbar verborgen sind. Die Zufallsdaten sind für einen zufallsbestimmten Zeitbereich und für alle am Verfahren beteiligten Einheiten (1.1 und 1.6) gültig. Das Modul E2 enthält des Weiteren einen nicht dargestellten Zufallsgenerator. Mit dem Zufallsgenerator erzeugt das Modul E2 Zufallsdaten, die für die Ermittlung zufallsbestimmter Steuerungsdaten und/oder Bezugsdaten und/oder Raumdaten herangezogen werden. Die so ermittelten Daten sind zum einen Daten aus denen relative Daten berechnet werden, zum anderen dienen sie bei der Berechnung der relativen Daten als raumabhängige Bezugsdaten. Im Rahmen der Erfindung berechnet sich ein relatives Datum aus der vektoriellen Subtraktion zwischen einem als Vektor interpretierten Datum (Minuend) und einem als Vektor interpretierten Zufallsdatum und/oder einem weiteren, als Translations-Rotationsvektor interpretierten Zufallsdatum.The module E2 is a high-security module whose software is stored immutable in the memory, not shown, of the module E2. In addition to the software, the internal memory of the E2 module contains secret random data that is hidden in memory unmanipulable. The random data is for a random time range and for all units involved in the procedure ( 1.1 and 1.6 ) valid. The module E2 further includes a random generator, not shown. With the random generator, the module E2 generates random data, which are used for the determination of randomly determined control data and / or reference data and / or spatial data. The data thus obtained are on the one hand data from which relative data are calculated, on the other hand they serve as space-dependent reference data in the calculation of the relative data. Within the scope of the invention, a relative date is calculated from the vectorial subtraction between a date (Minuend) interpreted as a vector and a random date interpreted as a vector and / or a further random date interpreted as a translation rotation vector.
Das Modul E2 ist das erfindungsgemäße vorbestimmte Modul. Das Modul E2 dient zur Erstellung der Ressourcenzugangsdatei, der unmanipulierbaren Speicherung der Ressourcenzugangsdaten und des Ressourcenzugangsprotokolls und der Freischaltung oder Sperrung von Ports.The module E2 is the predetermined module according to the invention. The module E2 is used to create the resource access file, the unmanipulable storage of the resource access data and the resource access protocol and the activation or blocking of ports.
Die Kommunikationen zwischen den Modulen erfolgt über die Schnittstellen E12, E13 und E32, wobei die Kommunikation zwischen den Modulen E1 und E3 durch das vorbestimmte Modul E2 gesteuert wird. Ein Zugriff auf die internen Ressourcen des vorbestimmten Moduls E2 ist ausgeschlossen. The communications between the modules are via the interfaces E12, E13 and E32, the communication between the modules E1 and E3 being controlled by the predetermined module E2. Access to the internal resources of the predetermined module E2 is excluded.
3 zeigt exemplarisch eine Ausführungsart eines Ressourcenzugangsdatenteils. Der Administrator kann für jede in 1 dargestellte Einheit 1.1 (A, L, I) eine eigene Ressourcenzugangsdatei erstellen. Er kann aber auch für alle in 1 dargestellte Einheiten 1.1 eine gemeinsame Ressourcenzugangsdatei generieren. Der Ressourcenzugangsdatenteil enthält mindestens ein Mitteilungsdatum (MID), je Einheit 1.1 eine Einheiten-Nummer (GGGGGG), Anschriftdaten (ANA, ANI), je Anschriftdaten Kennungen für den Administrator (A), den Stellvertreter (STA), IT-Sicherheitscontroller (ITC) und für die Zugangserlaubnis (Z). Die Einheiten-Nummer ist eine Zahl zwischen 1 bis 37 und steht mit dem Datenbestandteilswort RBW in der Legende zu 4 in Verbindung. Das Datenbestandteilswort RBW kennzeichnet die Datenbestandteile der im Ressourcenzugangs-Header (RaZu-Header) enthaltenen Anschriftdaten RBAj/RBIj und/oder Gerätenummer GNR (j-3). Die Gerätenummer GNR (j-3) ist 80 Bit lang und entspricht dem weltweit einmaligen Einheit kennzeichnenden Datum. Die Anschriftdaten ANA und ANI stellen die eine Person kennzeichnenden Daten dar. ANA steht für die Anschrift-Adresse und ANI kennzeichnet die Anschrift-Identität. Jedes Datum ist 80 Bit lang. Die 80 Bit der Anschrift-Adresse beinhaltet eine Länderkennung, eine Wohnortkennung und eine Straßenkennung. Die 80 Bit der Anschrift-Identität enthält neben Namensbits das Geburtsdatum und/oder eine Personkennzahl, die das Geburtsdatum einschließt. Mit dem Zugangserlaubnisflag (Z) wird festgelegt, ob der mit ANA und ANI gekennzeichneten Person den Zugang gewährt oder verwehrt wird. Ist das Flag aktiv, d. h. Z ist gleich Eins, so wird der Zugang zu den Ports durch die nachfolgenden Informationen geregelt. Mit den Bytes des Zugangsfensters ZUFE besteht die Möglichkeit den Zugang wochen-, wochentags- und tageszeitabhängig zu ermöglichen. Wird für ZUFE kein Byte angegeben, so ist der Zugang zu jeder Zeit möglich. Auf die Zugangsfenster folgen dann die Portzugangsdaten POD. Wie aus 3 zu erkennen, ist das Portzugangsdatum byteweise definiert. Die beiden höherwertigen Bits dienen zur Kennzeichnung des Portzugangsdatums. Die folgenden zwei Bits zeigen die Portrechte an. Im Rahmen des erfindungsgemäßen Verfahrens existieren in Bezug auf die Ports nur Empfangs- und/oder Senderechte. Die letzten vier Bits geben die Portnummer der Einheit 1.1 wieder. Da auch die obigen zwei Bits eines Zugangsfensterbytes ZUFE als Kennung verwendet wird, können Portzugänge sehr flexibel festgelegt werden. Steht das Portzugangsdatum vor dem Zugangsfensterdatum, so gilt das Zugangsfensterdatum nur für das davor angeordnete Portzugangsdatum. Steht das Zugangsfensterdatum vor alle Portzugangsdaten, so gilt das Zugangsfensterdatum für alle folgenden Portzugangsdaten. 3 exemplifies an embodiment of a resource access data part. The administrator can for each in 1 represented unit 1.1 (A, L, I) create their own resource access file. He can also do it for everyone 1 represented units 1.1 generate a shared resource access file. The resource access data part contains at least one message date (MID), per unit 1.1 a unit number (GGGGGG), address data (ANA, ANI), per address data identifiers for the administrator (A), the deputy (STA), IT security controller (ITC) and for the access permit (Z). The unit number is a number between 1 to 37 and is associated with the data component word RBW in the legend 4 in connection. The data component word RBW indicates the data components of the address data RBAj / RBIj and / or device number GNR (j-3) contained in the resource access header (RaZu header). The device number GNR (j-3) is 80 bits long and corresponds to the globally unique unit identifying date. The address data ANA and ANI represent the data identifying a person. ANA stands for the address address and ANI identifies the address identity. Each date is 80 bits long. The 80-bit address address includes a country code, a residential code, and a street code. The 80 bits of the address identity contains beside name bits the date of birth and / or a personal identification number which includes the date of birth. The access permission flag (Z) determines whether the person marked ANA and ANI is granted or denied access. If the flag is active, ie Z is equal to one, the access to the ports is regulated by the following information. With the bytes of the access window ZUFE it is possible to enable access on a weekly, weekly or daily basis. If no byte is specified for ZUFE, access is possible at any time. The access windows are then followed by the port access data POD. How out 3 To recognize, the port access date is defined byte by byte. The two higher-order bits are used to identify the port access date. The following two bits indicate the port rights. In the context of the method according to the invention, only receive and / or send rights exist with respect to the ports. The last four bits give the port number of the unit 1.1 again. Since the above two bits of an access window byte ZUFE are also used as identifier, port accesses can be set very flexibly. If the port access date is before the access window date, the access window date is only valid for the port access date arranged in front of it. If the access window date precedes all port access data, the access window date applies to all subsequent port access data.
4 zeigt den Aufbau einer Ressourcenzugangsdatei. Im Einzelnen sind dargestellt in (4.1) das relative Datum rRZ einer Zufallszahl RZ, das relative Datum rRSI1 der Datenzugangs-Steuerinformation RSI1, in (4.2) das relative Datum rRZ3 einer zweiten Zufallszahl RZ3, die relativen Daten rRSI2, rRSI3 der Datenzugangs-Steuerinformationen RSI2 und RSI3. In (4.3) sind die relativen Daten rRBA (1–3) der Anschrift-Adressen des Administrators RBA1, des Admin-Stellvertreters RBA2 und des IT-Sicherheitscontrollers RBA3 angeordnet. In (4.4) folgen dann die relativen Daten rRBI (1–3) der Anschrift-Identitäten des Administrators RBI1, des Admin-Stellvertreters RBI2 und des IT-Sicherheitscontrollers RBI3. In (4.5) stehen dann die relativen Daten der weltweit einmaligen Gerätenummern (entspricht den Einheiten (1.1) kennzeichnenden Daten). Wie viel solcher relativen Daten stehen, richtet sich nach Ressourcenzugangsdatei. Beschreibt die Ressourcenzugangsdatei ein lokales Rechnernetz, so sind in (4.5) alle relativen Daten der Ressourcezugang entscheidenden und ausführenden Einheiten (1.1) aufgeführt. Je nach Anzahl der Ressourcezugang entscheidenden und ausführenden Einheiten (1.1) kann die Gesamtbitlänge aller relativen Daten von (4.4) und (4.5) ungleich eines Vielfachen von 1024 Bit sein. Dann werden in (4.6) soviel Zufallszahlen gleicher Länge angehängt, bis die Bitlänge von jeweils 1024 Bit erreicht ist. Die Datenlänge jedes dieser relativen Daten ist wie das zugehörige Minuend 128 Bit lang. Die relativen Daten von (4.1) bis (4.3) werden in Verbindung mit einheitlichen in allen Einheiten (1.1, 1.6) vorhandenen Zufallsbezugsdaten errechnet. Nicht in jedem Anwendungsfall wird ein IT-Sicherheitscontroller existieren. Dann wird an der Stelle von RBA3 eine Zufallszahl mit gleicher Länge integriert. Die relativen Daten von (4.2) bis (4.6) werden auf separate Zufallsbezugsdaten bestimmt, die entweder aus dem einheitlichen Zufallsbezugsdatum in Verbindung mit dem Datum RODki (siehe RSI2 Nr. 5) entnommen oder mit Hilfe des Zufallsgenerators des Moduls E2 generiert werden. Die Aneinanderreihung von (4.1), (4.2) und (4.3) bilden den Ressourcenzugangsteil RaZu1 (4.7). Der Ressourcenzugangsteil RaZu (4.8) enthält die Aneinanderreihung von (4.4), (4.5) und (4.6). In dem Ausführungsbeispiel der 4 sind beide Ressourcenzugangsteile RaZu1 und RaZu jeweils 1024 Bit lang. Über beide Teile wird mindestens ein Hashwert (4.9) ermittelt. In Abhängigkeit von der Steuerinformation RSI2 Nr. 2–4 werden Teildaten des Hashwertes (4.9) in dem Ressourcenzugangsteil (4.8) eingeflochten. Die geflochtenen Daten (4.10) werden wie der Ressourcenzugangsteil (4.7) in Datenblöcke der Datenlänge DATL2 gepackt. Vorzugsweise ist die Datenlänge DATL2 mit 1024 Bit festgesetzt. Aus den ungeflochtenen Datenblock RaZu1 wird in Bezug auf, für alle Einheiten 1.1 und 1.6, einheitliche Zufallsbezugsdaten das relative Datum rRaZu1 errechnet. Die relativen Daten rFRaZu (2–4) der gefochtenen Datenblöcke FRaZu (2–4) werden in Bezug auf separate Zufallsbezugsdaten bestimmt. Die Auswahl und/oder die Generierung der separaten Bezugsdaten erfolgt in Abhängigkeit der Steuerinformation RSI2 Nr. 5–8. Das Bitortdaten RODki besteht aus zwei Byte. Das erste Byte gibt den Byteort innerhalb des für den Zeitbereich gültigen einheitlichen Zufallsbezugsdatums an. Das zweite Byte zeigt den Bitort im ersten Byte des Bitortdatums RODki an. Bei einem 2048 Bit-langen, einheitlichen Zufallsbezugsdatum ist jedes Bit im Zufallsbezugsdatum erreichbar. Ab den so selektierten Bitort des einheitlichen Zufallsbezugdatums werden die notwendigen separaten Zufallsbezugsdaten abgelesen. In Abhängigkeit eines nicht dargestellten Steuerbits im Ressourcensteuerwort RSW legt das Modul E2 zufällig fest, ob die separaten Daten durch RSI2 Nr.5 und/oder durch RSI2 Nr. 6–8 erfolgt. Das relative Datum rRaZu1 wird in Abhängigkeit von Flechtdaten G(R)DA1 byteweise in die relativen Daten rFRaZu (2–4) von (4.11) geflochten. Der so entstandene Datenstrom entspricht dem Ressourcenzugangs-Header (RaZu-Header) (4.12). Der Ressourcenzugangsdatenteil wird in Datenpakete zerlegt. Über jedes Datenpaket wird ein Hashwert errechnet und dem Datenpaket angefügt. Aus allen Hashwerten wird ein Gesamthashwert bestimmt, der mit einer Hashwertkennung am Ende aller Datenpakete angehangen wird. Als Hashwert wird vorzugsweise eine datenlängenbegrenzte Prüfsumme verwendet. Die mit ihren Hashwerten versehenen Datenpakete (4.13) werden in Abhängigkeit RSI3 verschlüsselt. Der Ressourcenzugangs-Header und die verschlüsselten Ressourcenzugangsdaten bilden eine erfindungsgemäße Ausführungsart der Ressourcenzugangsdatei. In der Legende zur 4 sind die Bedeutungen der Datenzugangs-Steuerinformationen RSI (1–3) beschrieben. Das SID-Bitortdatum SODki in RSI1 dient der Generierung von Zufallsflechtdaten, die in den Anschriftdaten und Gerätenummern GNR (j-3) eingeflochten werden. Das Bitortdatum und die Flechtungen dienen zur Generierung unmanipulierbarer geheimer Person und/oder Einheit kennzeichnender Daten. Die im Ressourcezugangsdatenteil (3) angegebenen Anschriftdaten (ANA, ANI) sind eigentlich öffentliche Daten. Damit das Verfahren unmanipulierbar ist, sind die eine Person kennzeichnenden Daten in einer personzugeordneten Einheit beglaubigt implementiert. Der Datenaustausch zwischen der personzugeordneten Einheit (SID-Karte, 1.6) in 1 erfolgt in Form relativer Daten. Die allgemeine Zugangserlaubnis AZE in RSI1 ist identisch mit der in der Legende zur 8 beschriebenen Zugangserlaubnis. Mit den drei höherwertigen Bits von AZE können in Verbindung mit dem Ressourcenzugangsdatenteil allen am Verfahren beteiligten Personen oder nur eine Personenklasse, die z. B. innerhalb eines Landes oder Ortes wohnen bzw. die z. B. das 18. Lebensjahr vollendet haben, den Zugang gestattet werden. Die Abstandsnummer ANUiμ und deren Duplikat dienen der Erkennung von RSI1. 4 shows the structure of a resource access file. In detail are shown in ( 4.1 ) the relative datum rRZ of a random number RZ, the relative datum rRSI1 of the data access control information RSI1, in ( 4.2 ) the relative data rRZ3 of a second random number RZ3, the relative data rRSI2, rRSI3 of the data access control information RSI2 and RSI3. In ( 4.3 ), the relative data rRBA (1-3) of the address addresses of the administrator RBA1, the admin proxy RBA2 and the IT security controller RBA3 are arranged. In ( 4.4 ) then follow the relative data rRBI (1-3) of the address identities of the administrator RBI1, the admin proxy RBI2 and the IT security controller RBI3. In ( 4.5 ) then the relative data of the worldwide unique device numbers (corresponds to the units ( 1.1 ) characterizing data). The amount of such relative data depends on the resource access file. If the resource access file describes a local computer network, then in ( 4.5 ) all relative data of the resource access critical and executive units ( 1.1 ). Depending on the number of resource access, crucial and executing units ( 1.1 ), the total bit length of all relative data from ( 4.4 ) and ( 4.5 ) may not be a multiple of 1024 bits. Then in ( 4.6 ) attached as many random numbers of the same length, until the bit length of 1024 bits is reached. The data length of each of these relative data, like the associated Minuend, is 128 bits long. The relative data of ( 4.1 ) to ( 4.3 ) are combined with uniform in all units ( 1.1 . 1.6 ) existing random reference data calculated. Not every application will have an IT security controller. Then a random number of the same length is integrated at the location of RBA3. The relative data of ( 4.2 ) to ( 4.6 ) are determined on separate random reference data, either taken from the uniform random reference data in conjunction with the date RODki (see RSI2 No. 5) or generated using the random number generator of the module E2. The juxtaposition of ( 4.1 ) 4.2 ) and ( 4.3 ) form the resource access part RaZu1 ( 4.7 ). The resource access part RaZu ( 4.8 ) contains the sequence of ( 4.4 ) 4.5 ) and ( 4.6 ). In the embodiment of 4 Both resource access parts RaZu1 and RaZu are each 1024 bits long. Over both parts at least one hash value ( 4.9 ). Depending on the control information RSI2 No. 2-4, partial data of the hash value ( 4.9 ) in the resource access part ( 4.8 ). The braided data ( 4.10 ) are like the resource access part ( 4.7 ) are packed in data blocks of data length DATL2. Preferably the data length DATL2 is set at 1024 bits. From the unbalanced data block RaZu1 is going to, for all units 1.1 and 1.6 , uniform random reference data calculates the relative date rRaZu1. The relative data rFRaZu (2-4) of the contention data blocks FRaZu (2-4) are determined with respect to separate random reference data. The selection and / or the generation of the separate reference data takes place in dependence of the control information RSI2 No. 5-8. The bit location data RODki consists of two bytes. The first byte indicates the byte location within the uniform random reference datum valid for the time domain. The second byte indicates the bit location in the first byte of the bit location datum RODki. With a 2048 bit long, uniform random reference date, each bit in the random reference datum is reachable. From the so selected bit location of the uniform random reference date, the necessary separate random reference data are read. Depending on a control bit (not shown) in the resource control word RSW, the module E2 randomly determines whether the separate data is provided by RSI2 # 5 and / or by RSI2 # 6-8. The relative datum rRaZu1 is stored byte by byte in the relative data rFRaZu (2-4) of (depending on lichen data G (R) DA1). 4.11 ) braided. The resulting data stream corresponds to the resource access header (RaZu header) ( 4.12 ). The resource access data part is decomposed into data packets. A hash value is calculated via each data packet and added to the data packet. All hash values are used to determine a total hash value, which is appended with a hash value identifier at the end of all data packets. The hash value used is preferably a data-length-limited checksum. The data packets provided with their hash values ( 4.13 ) are encrypted depending on RSI3. The resource access header and the encrypted resource access data constitute an embodiment of the resource access file according to the present invention. In the legend to 4 the meanings of the data access control information RSI (1-3) are described. The SID bit location data SODki in RSI1 is used to generate random braiding data interleaved in the address data and device numbers GNR (j-3). The bitort date and the weaves are used to generate unmanipulable secret person and / or unit characterizing data. The in resource access data part ( 3 ) address data (ANA, ANI) are actually public data. In order for the method to be unmanipulable, the data characterizing a person are authenticated in a person-assigned unit. The data exchange between the person-assigned unit (SID card, 1.6 ) in 1 takes the form of relative data. The general access permission AZE in RSI1 is identical to that in the legend to 8th described access permit. With the three high-order bits of AZE, in connection with the resource access data part all persons involved in the procedure or only one person class, e.g. B. live within a country or place or z. B. have completed the age of 18, access is permitted. The distance number ANUiμ and its duplicate are used to detect RSI1.
Die 5 und 6 zeigen in Verbindung mit der 8 exemplarisch eine zweite Ausführungsvariante des erfindungsgemäßen Verfahrens. Das Wesenmerkmal dieser Lösung ist, dass für die Zugangsberechtigung einer Person mindestens ein Ressourcenzugangsdatum RZDj im Ressourcenzugangs-Header implementiert ist, so dass kein Ressourcenzugangsdatenteil vorhanden ist. Das Ressourcenzugangsdatum RZDj umfasst 16 Byte. Die im Ressourcenzugangsdatum enthaltenen Informationen sind byteorganisiert. Im Mitteilungsbyte kann eine Mitteilung von 256 verschiedenen Mitteilungen jedem Ressourcenzugangsdatum zugeordnet werden. Je Gerät werden die Zugangsrechte entsprechend 5 festgelegt. 6 zeigt in tabellarischer Form ein Beispiel eines solchen Ressourcenzugangsdatums. In 8 ist beispielhaft die Integration zweier Ressourcenzugangsdaten RZD1, RZD2 mit ihren Erweiterungen RZDE1 und RZDE2 in dem Ressourcenzugang-Header dargestellt. In (8.1) und (8.2) sind analog der 4 die relativen Daten rRZ, rRZ3 der Zufallszahlen RZ und RZ3, die relativen Daten rRSI1, rRSI2 der Datenzugang-Steuerinformationen RSI1 und RSI2 angeordnet. Folgend in (8.3) sind die relativen Daten rRB1, rRB2 der Anschrift-Adressen z. B. des Administrators RBA1 und eines Zugangsberechtigten RBA2 und die relativem Daten rRB9, rRB10 der Anschrift-Identitäten des Administrators RBI1 und des Zugangsberechtigten RBI2 aneinander gereiht. In (8.4) sind die relativen Daten rRB25, rRB26 der Ressourcenzugangsdaten RZD1 und RZD2 enthalten. Das relative Datum rRB17 ist der Gerätenummer der Ressourcenzugang entscheidenden und ausführen Einheit zugeordnet. In den relativen Daten rRB33, rRB34 sind die Erweiterungen der Ressourcenzugangsdaten RZDE1 und RZDE2 enthalten. Die Erweiterungen sind nur dann vorhanden, wenn die 16 Byte des Ressourcenzugangsdatums RZD für die Zugangsfestlegungen nicht ausreichen. Analog den Ausführungen zu 4 wird die vorbestimmte Reihenfolge von (8.1) bis (8.6) in zwei Ressourcenzugangsteile RaZu1 und RaZu aufgeteilt. Die Aufteilung erfolgt so, dass der Ressourcenzugangsteil RaZu1 1024 Bit lang ist. Die relativen Datenbestimmungen erfolgen für die im Ressourcenzugangsteil vorhandenen Daten in Bezug auf die in allen Einheiten (1.1, 1.6) gespeicherten einheitlichen Zufallsbezugsdaten und mit den in allen Einheiten gespeicherten Daten. Die relativen Daten im Ressourcenzugangsteil RaZu werden mit und in Bezug auf separate Zufallsbezugsdaten ermittelt. Über die Ressourcenzugangsteile (8.7) und (8.8) wird mindestens ein Hashwert (8.9) errechnet, der byteweise in Abhängigkeit der Datenzugangs-Steuerinformation RSI2 Nr. 2–4 in den Ressourcenzugangsteil (8.8) eingeflochten wird. Die geflochtenen Daten werden in 1024 Bit lange Blöcke (8.10) gepackt. Aus dem Datum (8.7) wird in Bezug auf einheitliche Zufallsbezugsdaten das relative Datum rRaZu1 berechnet. Aus den Datenblöcken FRaZu (2–4) werden in Bezug auf separate Zufallsdaten ihre relativen Daten rFRaZu (2–4) bestimmt. Die vorbestimmte Aneinanderreihung (8.11) werden dann noch verwürfelt, wobei das relative Datum rRaZu1 byteweise in die folgenden relativen Daten von (8.11) eingeflochten werden. Die dazu notwendige Flechtinformation G(R)DA1 entnehmen die Ressourcenzugang erstellende Einheit 1.1 und die Ressourcenzugang entscheidende Einheit 1.1 aus den einheitlichen Zufallsbezugsdaten. Der so verflochtene Datenstrom stellt dann die vollständige Ressourcenzugangsdatei dar. 7 zeigt ein Ausführungsbeispiel eines Ressourcenzugangsprotokolls. Das Protokoll wird erfindungsgemäß im internen Speicher des Moduls E2 der Einheit 1.1 unmanipulierbar gespeichert. In Verbindung mit der personzugeordneten SID-Karte kann der Administrator das Protokoll einsehen.The 5 and 6 show in conjunction with the 8th exemplarily a second embodiment of the method according to the invention. The essential feature of this solution is that for a person's access authorization at least one resource access date RZDj is implemented in the resource access header so that no resource access data part exists. The resource access data RZDj comprises 16 bytes. The information contained in the resource access date is byte organized. In the message byte, a message of 256 different messages can be assigned to each resource access date. Per device, the access rights are corresponding 5 established. 6 shows in tabular form an example of such a resource access date. In 8th By way of example, the integration of two resource access data RZD1, RZD2 with its extensions RZDE1 and RZDE2 is shown in the resource access header. In ( 8.1 ) and ( 8.2 ) are analogous to 4 the relative data rRZ, rRZ3 of the random numbers RZ and RZ3, the relative data rRSI1, rRSI2 of the data access control information RSI1 and RSI2. Following in ( 8.3 ) are the relative data rRB1, rRB2 the address addresses z. The administrator RBA1 and an accessor RBA2, and the relative data rRB9, rRB10 of the address identities of the administrator RBI1 and the accessor RBI2. In ( 8.4 ) include the relative data rRB25, rRB26 of the resource access data RZD1 and RZD2. The relative date rRB17 is assigned to the device number of the resource access critical and execute unit. The relative data rRB33, rRB34 contain the extensions of the resource access data RZDE1 and RZDE2. The extensions are only available if the 16 bytes of the resource access data RZD are not sufficient for the access specifications. Analogous to the comments on 4 the predetermined order of ( 8.1 ) to ( 8.6 ) are divided into two resource access parts RaZu1 and RaZu. The division is made so that the resource access part RaZu1 is 1024 bits long. The relative data determinations are made for the data present in the resource access part in relation to the data in all units ( 1.1 . 1.6 ) stored uniform random reference data and with the data stored in all units. The relative data in the resource access part RaZu is determined with and in relation to separate random reference data. About the resource access parts ( 8.7 ) and ( 8.8 ) at least one hash value ( 8.9 ), which byte by byte depending on the data access control information RSI2 No. 2-4 in the resource access part ( 8.8 ) is braided. The braided data is converted into blocks of 1024 bits ( 8.10 ) packed. From the date ( 8.7 ), the relative data rRaZu1 is calculated with respect to uniform random reference data. From the data blocks FRaZu (2-4), their relative data rFRaZu (2-4) are determined with respect to separate random data. The predetermined sequence ( 8.11 ) are then still scrambled, with the relative date rRaZu1 byte by byte in the following relative data from ( 8.11 ). The braid information G (R) DA1 required for this purpose is taken from the unit producing the resource access 1.1 and the resource access crucial entity 1.1 from the uniform random reference data. The interleaved data stream then represents the complete resource access file. 7 shows an embodiment of a resource access protocol. The protocol according to the invention in the internal memory of the module E2 of the unit 1.1 stored unmanipulatable. The administrator can view the log in connection with the person-assigned SID card.
9 gibt Auskunft über die erfindungsgemäßen Verfahrensschritte zur Erstellung einer Ressourcenzugangsdatei. Der Administrator authentisiert sich mit Hilfe seinen biometrischen Merkmalen in Verbindung mit der ihm zugeordneten SID-Karte 1.6A. Nach der Echtheitsprüfung des Karteninhabers authentifizieren sich die SID-Karte 1.6A und die Einheit 1.1A. Nach erfolgreicher Authentifizierung wählt der Administrator, wie in 9 dargestellt, den Ressourcenzugangserstellungsmodus (Schritt1) aus. Die Auswahl kann dabei über den PC 1.3A oder über den Touchscreen 1.11A erfolgen. Nach der Modusauswahl wird die Auswahl am Touchscreen 1.11A bestätigt. Das Modul E2 der Einheit 1.1A fordert die SID-Karte zur Bereitstellung der Person kennzeichnenden Daten (Anschriftdaten des Administrators) auf. Die Aufforderung wird mit einer Vielzahl anderer Daten über das Interface 1.14A und das Kartengerät 1.2A in Form relativer Daten zur SID-Karte 1.6A gesendet. Die SID-Karte 1.6A generiert das Zufallsdatum SODki, entnimmt Flechtdaten aus dem zur Zeit gültigen einheitlichen Zufallsbezugsdatum, berechnet mit den Flechtdaten und den beglaubigten 80 Bit langen Anschriftdaten (Anschrift-Adresse und Anschrift-Identität des Administrators) die geheimen Anschriftdaten. Diese werden dann in Verbindung mit dem Zufallsdatum SODki in Form relativer Daten an das Modul E2 der Einheit 1.1A gesandt. Die geheimen Anschriftdaten werden entflochten, so dass die beglaubigten Anschriftdaten bekannt sind. Die Anschriftdaten des Administrators werden in den Ressourcenzugangsdatenteil übernommen und mit dem Kennungsflag des Administrators ergänzt. Des Weiteren wird die Gerätenummer der Einheit 1.1A in den Ressourcenzugangsdatenteil aufgenommen. Danach legt der Administrator anhand der öffentlichen Anschriftdaten die Zugangsberechtigten fest. Sind alle am Verfahren beteiligte Personen an allen Ports Zugangsberechtigt, so setzt der Administrator im allgemeinen Zugangserlaubnisbyte AZE das höherwertige Bit und beendet seine Ressourcenzugangsfestlegungen. Besitzt nur eine Person Zugangsrechte, so gibt der Administrator am PC 1.3A die öffentlichen Anschriftdaten ein oder wählt diese aus. Für den Zugangsberechtigten werden die Zugangsrechte ausgewählt und die Zugangsfenster ZUFE je nach Bedarf definiert. Die Eingaben werden in den Ressourcenzugangsdateiteil übernommen. Nach der Kontrolle der eingegebenen Daten bestätigt der Administrator die Gültigkeit der Daten. Das Modul E2 der Einheit 1.1A generiert daraufhin die Ressourcenzugangsdatei. 10 zeigt die erfindungsgemäßen Verfahrenschritte der Bevollmächtigung einer Einheit 1.1L oder 1.1I zur Ausführung der Ressourcenzugangsentscheidungen und des Ressourcenzugangs. Die Übergabe der Ressourcenzugangsentscheidungsvollmacht kann nur in Verbindung mit der personzugeordneten SID-Karte des Administrators 1.6A erfolgen. Nachdem der Administrator sich mit Hilfe seiner SID-Karte authentisiert hat, authentifizieren sich die SID-Karte 1.6A und die Einheit 1.1L. Nach Auswahl vom Lademodus der Ressourcenzugangsdatei fordert die Einheit 1.1L die SID-Karte 1.6A zur Bereitstellung der beglaubigten Anschriftdaten auf. Die Aufforderung wird wiederum in relativer von der Einheit 1.1L zur SID-Karte 1.6A gesandt. Wie vorher sendet die SID-Karte die geforderten Daten in Form relativer Daten zur Einheit 1.1L zurück. Die Einheit 1.1L lädt zum Beispiel über das Interface 1.15L die Ressourcenzugangsdatei in das Modul E1. Das Modul E1 stellt die Ressourcenzugangsdatei am separaten Interface E12 dem Modul E2 zur Verfügung. Das Modul E2 bestimmt aus dem RaZu-Header alle absolute Daten und prüft, ob die Anschriftdaten für den Administrator im RaZu-Header gleich den von der SID-Karte bereitgestellten Anschriftdaten sind. Bei Gleichheit ist der Administrator als berechtigter Bevollmächtigter erkannt. Das Modul E2 der Einheit 1.1L kontrolliert anhand seiner internen weltweit einmaligen Gerätenummer, ob diese auch im RaZu-Header enthalten ist. Ist sie im RaZu-Header enthalten, so liest das Modul E2 alle der Einheit 1.1L betreffenden Daten in den internen Speicher ein und speichert sie unmanipulierbar. Nach dem Laden der Daten geht die Einheit 1.1L in den Vollmachtübergabemodus. Das Modul E2 der Einheit 1.1L fordert den Administrator über den Touchscreen auf, den Vollmachtübergabebutton zu drücken. Nach bewusster Betätigung des Buttons geht die Einheit 1.1L in den Voraktivierungszustand. Das Modul E2 fordert den Administrator und bei Einsatz eines Stellvertreters oder IT-Sicherheitscontroller zur Teilaktivierung auf. Der Administrator aktiviert oder teilaktiviert die Einheit 1.1L. Bei Einsatz eines IT-Sicherheitscontrollers teilaktiviert der IT-Sicherheitscontroller nach Kontrolle aller Einstellungen ebenfalls die Einheit 1.1L. Die Einheit 1.1L prüft anhand der Ressourcenzugangsdaten das Aktivierungsdatum AKT. Ist AKT gleich Null, so geht die Einheit 1.1L in den Ressourcenzugang entscheidenden Modus. Will eine ressourcenzugangsberechtigte Person von der Einheit 1.1L auf die Ressource Massenspeicher 1.5A der Einheit 1.1A Zugang erlangen, so muss die Einheit 1.1L den Zugang am Port 1.17L und die Einheit 1.1A den Zugang am Port 1.17A und am Port 1.16A für die ressourcenzugangsberechtigte Person freigeben. Die Ressourcenzugangsberechtigte authentisiert sich mit ihrer personzugeordneten SID-Karte 1.1L. Die SID-Karte 1.1L und die Einheit 1.1L authentisieren sich gegenseitig. Danach fordert die Einheit 1.1L die SID-Karte zur Bereitstellung der beglaubigten Anschriftdaten auf. Nach Austausch der Anforderung zur Bereitstellung der beglaubigten Anschriftdaten und der geheimen geforderten Anschriftdaten, die in Form relativer Daten erfolgt, prüft die Ressourcenzugangsentscheidungsvollmacht besitzende Einheit 1.1L anhand der ausgetauschten Anschriftdaten und der Anschriftdaten der Ressourcenzugangsdatei die Zugangsrechte. Das Modul E2 der Einheit 1.1L schaltete das Port 1.17L und berechnet für die Kommunikation zwischen der Einheit 1.1L und der Einheit 1.1A neue relative Daten (enthalten die Anschriftdaten des Absenders und des Adressaten), die dann über das Interface E32 für das Modul E3 bereitgestellt werden. Das Modul E3 der Einheit 1.1L sendet dann die Daten über das Port 1.17L, dem Security Intranet und dem Port 1.17A zum Modul E3 der Einheit 1.1A. Das Modul stellt die relativen Daten am Interface E32 dem Modul E2 der Einheit 1.1A zur Verfügung. Das Modul E2 erkennt die Anschriftdaten des Absenders und Adressaten, prüft anhand seiner Ressourcenzugangsdaten die Zugangsberechtigung und die Zugangsrechte, schaltet das jeweilige Port (hier das Port 1.16A) und ermöglicht den Zugang zum Massenspeicher 1.5A. Das Modul E2 protokolliert den Zugang innerhalb seines internen Protokollspeichers. 9 provides information about the inventive method steps for creating a resource access file. The administrator authenticates himself using his biometric features in conjunction with his assigned SID card 1.6A , After validating the cardholder, the SID card will authenticate itself 1.6A and the unit 1.1A , After successful authentication, the administrator selects as in 9 shown, the resource access creation mode (step 1). The selection can be made via the PC 1.3A or over the touch screen 1.11a respectively. After selecting the mode, the selection is made on the touch screen 1.11a approved. The module E2 of the unit 1.1A requests the SID card to provide person-identifying data (administrator's address information). The request comes with a lot of other data via the interface 1.14a and the card device 1.2A in the form of relative data to the SID card 1.6A Posted. The SID card 1.6A generates the random data SODki, extracts braid data from the currently valid uniform random reference date, calculated with the braid data and the certified 80-bit long address data (address and address identity of the administrator) the secret address data. These are then combined with the random data SODki in the form of relative data to the module E2 of the unit 1.1A sent. The secret address data is unbundled so that the certified address data is known. The address data of the administrator are taken over into the resource access data part and supplemented with the flag of the administrator. Furthermore, the device number of the unit 1.1A included in the resource access data part. Thereafter, the administrator sets the access rights on the basis of the public address data. If all persons involved in the procedure are authorized to access all ports, the administrator sets the higher-order bit in the general access authorization byte AZE and terminates its resource access specifications. If only one person has access rights, then the administrator gives the PC 1.3A enter or select the public address data. The access rights are selected for the authorized user and the access windows ZUFE are defined as required. The inputs are transferred to the resource access file part. After checking the entered data, the administrator confirms the validity of the data. The module E2 of the unit 1.1A then generates the resource access file. 10 shows the method steps according to the invention of the authorization of a unit 1.1L or 1.1i to execute the resource access decisions and the resource access. The handover of the resource access decision power can only be used in conjunction with the administrator's person-assigned SID card 1.6A respectively. After the administrator authenticates himself using his SID card, the SID card authenticates itself 1.6A and the unit 1.1L , After selecting the load mode of the resource access file, the unit prompts 1.1L the SID card 1.6A to provide the certified address data. The solicitation will again be relative to the unit 1.1L to the SID card 1.6A sent. As before, the SID card sends the requested data in the form of relative data to the unit 1.1L back. The unit 1.1L loads for example via the interface 1.15L the resource access file in module E1. The module E1 makes the resource access file on the separate interface E12 available to the module E2. The module E2 determines from the RaZu header all absolute data and checks whether the address data for the administrator in the RaZu header are equal to the address data provided by the SID card. If equal, the administrator is recognized as the authorized representative. The module E2 of the unit 1.1L checks whether it is also contained in the RaZu header by means of its internal unique device number. If it is contained in the RaZu header, the module E2 reads all of the unit 1.1L data in the internal memory and stores them unmanipulierbar. After loading the data, the unit goes 1.1L in the proxy transfer mode. The module E2 of the unit 1.1L asks the administrator via the touchscreen to press the proxy transfer button. After conscious operation of the button, the unit goes 1.1L in the pre-activation state. The E2 module prompts the administrator for partial activation when using a substitute or IT security controller. The administrator activates or partially activates the unit 1.1L , When using an IT security controller, the IT security controller also partially activates the unit after checking all settings 1.1L , The unit 1.1L checks the activation date AKT based on the resource access data. If AKT is zero, then the unit goes 1.1L in the resource access mode crucial. Will a resource authorized person from the unit 1.1L to the resource mass storage 1.5A the unit 1.1A Gain access, so must the unit 1.1L the access at the port 1.17L and the unit 1.1A the access at the port 1.17a and at the port 1.16a for the resource-authorized person. The resource access right authenticates itself with its person-assigned SID card 1.1L , The SID card 1.1L and the unit 1.1L authenticate each other. After that, the unit demands 1.1L the SID card to provide the certified address data. After exchanging the request for providing the certified address data and the secret required address data, which takes place in the form of relative data, the resource access decision-making authority checks ownership unit 1.1L the access rights based on the exchanged address data and the address data of the resource access file. The module E2 of the unit 1.1L switched the port 1.17L and calculated for the communication between the unit 1.1L and the unit 1.1A new relative data (containing the address information of the sender and the addressee), which is then provided via the E32 interface for the E3 module. The module E3 of the unit 1.1L then sends the data over the port 1.17L , the security intranet and the port 1.17a to module E3 of the unit 1.1A , The module provides the relative data at interface E32 to module E2 of the unit 1.1A to disposal. The module E2 recognizes the address data of the sender and addressee, checks the access authorization and access rights based on its resource access data, switches the respective port (here the port) 1.16a ) and allows access to the mass storage 1.5A , The module E2 logs the access within its internal log memory.
Der Administrator, sein Stellvertreter und der IT-Sicherheitskontroller sind mit ihren Entscheidungen verantwortlich für den Ressourcenzugang. Damit der Überblick der Verantwortlichen in der Bevollmächtigung und/oder in der Kontrolle nicht verloren geht, werden die Vollmachtsübergaben oder die Kontrollen im jeweiligen SID-Kartenspeicher des Verantwortlichen protokolliert.The administrator, his deputy and the IT security controller are responsible for their resource access decisions. So that the overview of those responsible for the authorization and / or the control is not lost, the authorizations or the controls in the respective SID card memory of the person in charge are logged.
