-
Die Erfindung betrifft ein Verfahren zur Anonymissierung von Verbindungsdaten insbesondere bei paketbasierten Kommunikationsverbindungen in Netzwerken aller Art gemäß den Merkmalen des Anspruchs 1 sowie eine Vorrichtung zur Durchführung des Verfahrens gemäß den Merkmalen des Anspruchs 6.
-
Das beschriebene Verfahren kann zur Anonymisierung von jeglichen Verbindungsdaten benutzt werden, darunter fallen unter anderem: IP Paketdaten, aggregierte Paketdaten (z. B. Paketströme), Telefonverbindungen, WebService Nutzung, WebServer Zugriffe, Email, Chatprotokolle, Kurz-Nachrichten.
-
Die Merkmale der Unteransprüche betreffen vorteilhafte Weiterbildungen des erfindungsgemäßen Verfahrens bzw. der erfindungsgemäßen Vorrichtung zur Durchführung des Verfahrens.
-
Bei der Speicherung und der Weitergabe von Internet Protokoll (IP) Paketdaten oder Verbindungsdaten muss in sehr vielen Anwendungsfällen die Privatsphäre der Kommunikationsteilnehmer gewahrt werden.
-
Bevor diese oder daraus abgeleitete Daten verfügbar gemacht werden, müssen daher solche Merkmale in den Datenpaketen anonymisiert werden, welche es möglich machen, eine Person eindeutig den Daten zuzuordnen. In diesem Zusammenhang darf allerdings die Verwertbarkeit der Daten für den vorgesehenen Zweck nicht oder nur unerheblich beeinträchtigt werden.
-
Diese Problematik auszubalancieren ist bei Verbindungsdaten und IP Paketdaten deutlich schwieriger als bei personenbezogenen Zensusdaten.
-
Bei Zensusdaten (Daten aus einer Umfrage, die ermittelt, wie viele Menschen in einem Land leben, wie sie wohnen und arbeiten umgangssprachlich „Volkszählung” genannt) wird die Erhebung über eine Person erstellt, ohne diese mit anderen Personen und/oder Daten in Verbindung zu setzen. Somit ist es bei Zensusdaten daher ausreichend, die eine Person identifizierenden Merkmale durch ein Pseudonym zu ersetzen oder wegzulassen.
-
Bei IP Paketdaten und Verbindungsdaten dagegen steht eine Person mit und/oder über mehreren Personen oder Kommunikationspartnern in Verbindung.
-
Bei IP- und Verbindungs-Daten ist es auch bei der Ersetzung von identifizierenden Merkmalen (wie IP Adressen, Telefonnummern) mit einem Pseudonym möglich, durch die Aufstellung eines Relationen-Profils und mit nur einem relativ geringen Vorwissen über die Kommunikationspartner, die Anonymisierung zu umgehen bzw. aufzuheben.
-
Mit einem vollständigen Relationenprofil bezeichnen wir hier die gesammelte Menge aller Kontakte (Menschen, Server/Endgeräte, Dienste), mit denen ein Kommunikationspartner (eine natürliche Person oder ein Server/Endgerät) in einem gewählten Zeitraum in Verbindung stand und für welche die jeweilige Verbindungsdauer oder zusätzliche Daten erfasst worden sind. Auch ein unvollständiges Relationenprofil, kann bereits wie ein Fingerabdruck wirken, an dem eine Person wiedererkannt wird.
-
So ist es insbesondere durch Analyse von Paket- und Verbindungsdaten möglich, automatisierte Kommunikationspartner (z. B. Webserver) anhand ihres Kommunikationsmusters zu identifizieren (über Paketlängen, Anzahl von Verbindungen, Timing), selbst wenn die eigentliche IP Adresse ersetzt wurde und keine Paketinhalte (der sog. payload) gespeichert wurden.
-
Diese Re-Identifikation von automatisierten Kommunikationspartnern kann dann dazu benutzt werden, ein Profil von realen Personen aufzustellen und fortzuschreiben, insbesondere also auch zu verbessern bzw. zu verfeinern.
-
Ist zum Beispiel bekannt, dass eine Person bestimmte Webseiten oder automatisierte Webservices benutzt, so kann dieses Relationen-Profil genutzt werden, um eine Re-Identifikation in den Originaldaten möglich zu machen.
-
Stand der Technik und dessen Nachteile
-
Bisher wird die Anonymisierung von IP Paketdaten so vorgenommen, dass der Paketinhalt (payload) entfernt wird, da dort identifizierende Merkmale (wie e-mail-Adresse, SIP-ID oder URL) enthalten sein können.
-
Zudem werden die Quell- und Zieladressen (und eventuell Ports) entweder
- a) gelöscht, d. h. auf 0 gesetzt
- b) durch pseudonyme Adressen in aufsteigender Reihenfolge (1.1.1.1, 1.1.1.2, 1.1.1.3, ...) ersetzt
- c) durch eine präfix-erhaltende Funktion, welche neue Adress-Pseudonyme berechnet, ersetzt oder
- d) durch jeweils einen Hash-Funktionswert für Quell- und Zieladresse ersetzt.
-
Die Hash-Funktionswerte für die Quell- und Zieladresse werden mit Hilfe einer mathematischen Funktion bzw. eines in Schritten bearbeitbaren Algorithmus berechnet. Eine Hash-Funktion zeichnet sich dadurch aus, dass der Wertebereich der Eingangswerte größer oder gleich dem Bereich der möglichen Ausgangswerte der Funktion ist. Dadurch ist diese Abbildung von Eingangs- zu Ausgangswerten im Allgemeinen nicht umkehrbar (bijektiv).
-
Aus dem Stand der Technik ist die europäische Patentanmeldung
EP1956512A1 bekannt. Hier wird die Anonymisierung personenbezogener Datensätze, insbesondere sensibler Daten wie etwa Verschreibungsdaten im Apothekenbereich, beschrieben. Dies wird durch Erzeugen einer Zufallsreihenfolge der Vielzahl personenbezogener Datensätze und durch Einwegcodierung jedes der personenbezogenen Datensätze gelöst. Die Einwegverschlüsselung kann hier durch eine Hash-Funktion erfolgen.
-
Aus der US-Anmeldung US2002/0073138A1 ist ein weiteres Verfahren zur Anonymisierung von elektronischen Datensätzen, die personenbezogene Informationen wie Namen, Wohnort usw. enthalten, und deren Verlinkung bekannt. Die Anwendung einer Einweg-Hashfunktion auf Teile der Datenfelder wird hier ebenfalls zur Anonymisierung verwendet.
-
Des Weiteren ist aus der US-Patentanmeldung US2009/0182873A1 eine Anonymisierung von Übertragungsdaten in einem Computernetzwerk bekannt, z. B. um die Netzwerkbelastung zu überwachen ohne den Datenschutz von Kunden zu verletzen. Hierfür wird ein anonymisierter Identifizierer erzeugt, insbesondere durch Anwendung einer Einweg-Hashfunktion auf den Benutzernamen oder die IP-Adresse bzw. Telefonnummer und einen Sicherheitsschlüssel.
-
Zur Variante a)
-
Werden die Quell und Zieladressen entfernt oder auf null gesetzt, so gehen wichtige Information verloren, die in einer späteren Auswertung nötig sein könnten. Während die Sicherheit der Anonymität der Daten dann sehr hoch ist, ist die Verwertbarkeit der Daten stark eingeschränkt.
-
Zu den Varianten b) und c)
-
Bei dem einfachsten auf Mapping basierenden Verfahren erhält jede IP-Adresse ein bestimmtes Pseudonym, je nachdem, wann diese IP Adresse zum ersten Mal auftritt. Bei diesem Verfahren wird zum Beispiel die erste IP Adresse X, die beobachtet wird, auf die Adresse 1.1.1.1 abgebildet, wie auch die Adressen aller anderen Pakete von oder zu X. Die nächste von X verschiedene Adresse Y wird dann auf 1.1.1.2 abgebildet, u. s. w. Ein Nachteil dieses Verfahrens ist, dass bei Messdaten von mehreren Observationspunkten das Mapping inkonsistent ist.
-
Zur Variante d)
-
Bei Hash- basierten Verfahren wird eine konsistente Anonymisierung bei Messungen an mehreren Observationspunkten vorgenommen. Dazu wird eine Funktion auf die IP Adresse (32 bit bei IPv4 oder 128 bit bei IPv6) angewendet und dann die IP Adresse durch den Funktionswert ersetzt. Dabei entspricht die Länge des Funktionswertes der Länge der IP Adresse. Damit eine Rücktransformation zum Originalwert der Adresse erschwert wird, kommt zusätzlich als Input ein einmalig gewähltes zufälliges Bitmuster, ein sogenanntes „Salt”, zur Anwendung. Die Hash-Funktion wird über das „Salt” und die IP Adresse zusammen berechnet, dadurch wird die Rücktransformation ohne die Kenntnis des „Salt” deutlich erschwert, und auch eine erschöpfende Berechnung aller Hash-Funktionswerte (sog. Rainbow-Tabellen) wird unterbunden.
-
Der Nachteil von allen oben beschrieben Verfahren (b–d) ist, dass jeder Adresse genau ein Pseudonym zugeordnet wird. Dadurch bleibt das Relationenprofil zu anderen Kommunikationspartnern implizit in den Daten erhalten, womit eine Re-Identifikation immer noch möglich ist.
-
Wesen der Erfindung
-
Das erfindungsgemäße Verfahren ist für die Anonymisierung von IP Paketdaten entwickelt wurden, kann aber ebenso auch für die Anonymisierung von jeglichen anderen Verbindungsdaten mit mehreren Kommunikationsteilnehmern angewendet werden.
-
Der Erfindung liegt somit insbesondere die Aufgabe zugrunde, ein einfaches und leistungsfähiges Verfahren bereitzustellen, das es gestattet, die Verbindungsdaten von paketbasierten Verbindungen zu anonymisieren.
-
Das erfindungsgemäße Verfahren wird anhand zweier Beispiele, die als bevorzugte Ausführungsformen der Erfindung anzusehen sind, und insbesondere keine Beschränkung des allgemeinen Erfindungsgedankens darstellen, erläutert:
- – der Anonymisierung von Internet Protokoll-(IP-)Daten (s. a. 1)
und
der Anonymisierung von Telefon-Verbindungsdaten (s. a. 2)
-
Damit die Erstellung eines Relationenprofils bei IP-Paketdaten und Verbindungsdaten verhindert ist, wird ein Pseudonym erstellt, welches über mehrere Felder der zu anonymisierenden Daten berechnet wird.
-
Eine vorteilhafte Variante des erfindungsgemäßen Verfahrens ist die zusätzliche Verwendung einer pseudo-Zufallszeichenfolge (ein sog. „Salt”) als weiteren Eingangswert der Anonymisierungs-Berechnung.
-
In 1 werden Daten aus einer IP-Paketquelle erhalten (z. B. Live Mitschnitt von einer Netzwerkkarte oder aus einer gespeicherten Datei), diese werden mit dem Verfahren anonymisiert und dann anonymisiert gespeichert oder für die weitere statistische Analysen benutzt.
-
Im Beispiel zu 1 benutzt das Verfahren zur Anonymisierung die beiden Felder Quell-IP-Adresse und Ziel-IP-Adresse. Der Hash-Funktionswert soll vorzugsweise eine Länge besitzen, die der Gesamtlänge beider Adressen entspricht (also bei IPv4 64 bit–bei IPv6 256 bit).
-
Der Hash-Funktionswert wird auf beide Adressen in dem anonymisierten Datensatz aufgeteilt, dergestalt, dass die anfängliche Zeichenfolge des Hash-Funktionswertes der anonymisierten Quell-IP-Adresse zugewiesen wird und dass die endständige Zeichenfolge der Hash-Funktion der anonymisierten Ziel-IP-Adresse zugeordnet wird.
-
Bei Verwendung von Hash-Funktionen mit kürzerem Ausgabewert kann man auch als eine weitere Realisierungsform des erfindungsgemäßen Verfahrens mehrere Hash-Funktionswerte hintereinander berechnen und verbinden.
-
Die verwendeten Hash-Funktionen sollten vorzugsweise irreversibel, d. h. unumkehrbar sein. Dies ist notwendig, damit eine vorgenommene Anonymisierung nicht durch einen „Angreifer” wieder rückgängig gemacht werden kann. Eine geeignete Hash-Funktion ist auch dann nicht (oder nur mit unvertretbarem Aufwand an Zeit und Rechenleistung) umkehrbar, wenn der verwendete Algorithmus öffentlich gemacht wurde.
-
Bevor der Hash-Funktionswert berechnet wird, ist es für viele Anwendungen und insbesondere auch für die Erstellung von Kommunikations-Statistiken sinnvoll, vor der Berechnung die beiden IP-Adressen zu sortieren.
-
Die Sortierung der beiden IP-Adressen und die eventuelle Umsortierung des Ausgabewertes der Hash-Funktion hat das Ziel, die Verbindungsdaten einer einzelnen IP-zu-IP-Verbindung unabhängig von der Richtung der Datenübertragung konsistent zu anonymisieren.
-
Dadurch lassen sich nach der Anonymisierung Datensätze für die Hin-Richtung einer Verbindung mit Datensätzen der Rück-Richtung korrelieren.
-
Dieser sortierte Wert von Quell-und-Zieladresse kann dann, wie bereits erwähnt, in einer bevorzugten Form des Verfahrens mit einer Pseudo-Zufallszeichenfolge, einem „Salt” verknüpft werden, wobei über diesen Gesamt-Wert der Hash-Funktionswert berechnet wird.
-
Im darauf folgenden Schritt wird der Hash-Funktionswert in dem anonymisierten Paket an Stelle der beiden IP-Adressen eingesetzt. Hat keine Umsortierung vor der Berechnung stattgefunden, so wird der Hashwert anstelle der Quell- und Zieladresse in dem anonymisierten Paket eingesetzt. Hat vor der Berechnung eine Umsortierung der IP-Adressen stattgefunden, wird die hintere Hälfte des Hash-Funktionswertes als anonymisierte Quell-IP-Adresse eingesetzt und die vordere Hälfte des Hash-Funktionswertes als anonymisierte Ziel-IP-Adresse eingesetzt.
-
In 2 ist das Verfahren anhand von Telefon-Verbindungsdaten und einer Beispieltabelle verdeutlicht.
-
Die nicht anonymisierten Verbindungsdaten enthalten die originalen Telefonnummern, anhand derer eine Person oder ein Haushalt eindeutig identifiziert werden kann. In Zeile 1 wird der Hash-Funktionswert über 030-12345 und 049-56789 berechnet. Da 030-12345 kleiner ist als 049-56789, findet keine Umsortierung statt. Der Hash-Funktionswert ist in diesem Fall 1781124222.
-
Dieser wird auf beide Adressen in dem anonymisierten Datensatz aufgeteilt, dergestalt, dass die anfängliche Zeichenfolge des Hash-Funktionswertes der anonymisierten Anrufer-ID zugewiesen wird und dass die endständige Zeichenfolge der Hash-Funktion der anonymisierten Angerufenen-ID zugeordnet wird.
-
In Zeile 2 erhält die Quell-Adresse 030-12345 ein anderes Pseudonym, da es sich in Kombination mit dem Ziel 055-555555 um eine andere Verbindung handelt. Zeile 3 ist die Umkehrung von Zeile 1. Durch den verwendeten Algorithmus ergeben sich dieselben Pseudonyme wie in Zeile 1, nur in umgekehrter Reihenfolge. Die Zeilen 2 und 4 zeigen die gleiche Verbindung, es werden daher die gleichen Pseudonyme als Ergebnis der Anonymisierung berechnet.
-
Das erfindungsgemäße Verfahren kann in einer weiteren bevorzugten Realisierungsform des erfindungsgemäßen Verfahrens so angewendet werden, dass die Hash-Funktion über zusätzliche Eingabe-Felder wie z. B. Paketlänge, Verbindungsdauer, oder Portnummern berechnet wird, je nach Verwendungszweck der Ergebnis-Daten.
-
Der Fachmann erkennt, dass die Realisierung des erfindungsgemäßen Verfahrens in einer bevorzugten Ausführungsform als computerimplementiertes Programmprodukt erfolgen kann.
-
Eine Vorrichtung zur Durchführung des erfindungsgemäßen Verfahrens umfasst somit insbesondere
- – Mittel zur Extraktion der ursprünglichen Verbindungsdaten (wie z. B. IP-Adressen, Telefon-Nummern, etc.)
- – optional in einer bevorzugten Ausführungsform, Mittel zur Sortierung der ursprünglichen Verbindungsdaten
- – optional in einer anderen bevorzugten Ausführungsform, Mittel zur Ergänzung der ursprünglichen Verbindungsdaten um eine Pseudo-Zufallszeichenfolge (”Salt”)
- – Mittel zur Bildung eines Hash-Funktionswertes aus den Verbindungsdaten, optional in einer anderen bevorzugten Ausführungsform, auch aus den sortierten und/oder um eine Pseudo-Zufallsfolge erweiterten Verbindungsdaten
- – Mittel zur Umordnung des bzw. Zuweisung von Teilen des Hash-Funktionswertes zu anonymisierten Verbindungsdaten
(s. a. 1 bzw. 2)
-
Ein Vorteil des erfindungsgemäßen Verfahrens ist, dass die Erstellung eines Relationenprofils aus den zugänglichen Verbindungsdaten unmöglich gemacht wird und somit die Sicherheit der Anonymisierung höher ist im Vergleich zu bekannten Verfahren im Stand der Technik.
-
Durch das erfindungsgemäße Entfernen des Relationenprofils gehen Informationen verloren, trotzdem können die Daten zur Erhebung einer Vielzahl von Verbindungsstatistiken benutzt werden.
