-
Die Erfindung betrifft ein Verfahren in einem Endgerät zur Anzeige eines sicheren Betriebsmodus, wobei das Endgerät eine Anzeigeeinheit, eine sichere Ausführungsumgebung und eine unsichere Ausführungsumgebung umfasst. Die Erfindung betrifft ferner ein Endgerät mit einem Ausgabemittel zur Ausgabe eines visuellen Signals für einen Anzeigebetriebsmodus, der angibt, ob der Anzeigeinhalt von der sicheren Ausführungsumgebung gesteuert wird.
-
Für vielerlei elektronische Anwendungen ist es essenziell, dass ein Betrachter eines Computer- oder Laptop-Bildschirms oder eines Anzeigeelements eines mobilen Kommunikationsendgeräts, wie z. B. ein Smartphone oder ein Tablet-Computer, oder dergleichen sicher davon ausgehen kann, dass die ihm angezeigte Information nicht manipuliert ist und von einer vertrauenswürdigen Stelle stammt. Dies gilt beispielsweise für Kennungen und Passwörter, z. B. Einmalpasswörter, die dem Betrachter des betreffenden Anzeigeelements einen Zugang zu einem gesicherten Bereich, z. B. einem Konto oder dergleichen, verschaffen, oder für Transaktionsbeträge oder dergleichen, die auf einem Anzeigeelement eines Transaktionsgeräts, z. B. einem Geldautomat, angezeigt werden.
-
Bei der Anzeige einer derartigen Nutzinformationen auf einer Anzeigeeinheit eines Endgeräts besteht jedoch zumeist das Problem, dass die Anzeigeeinheit von einem Treiber bzw. einem Betriebssystem des Endgeräts aktiviert und gesteuert wird und der Datenverkehr einer solchen Betriebssoftware nicht gesondert gesichert ist. Deshalb besteht prinzipiell die Möglichkeit eines so genannten „Man-in-the-Middle”-Angriffs, bei dem sich ein Angreifer zwischen die Anzeigeeinheit und die Betriebssoftware schaltet und dadurch in der Lage ist, eine anzuzeigende Nutzinformation auszulesen und/oder durch eine manipulierte Information zu ersetzen.
-
Bei mobilen Endgeräten, wie z. B. Tablet-PCs oder Smartphones, werden zur Erhöhung der Sicherheit sogenannte Rechenkerne eingesetzt, die über spezielle Befehlsaufbauten im Assembliererkern (Assembler Core) und eine passende Hardwareeinheit eine erweiterte Sicherheitszone, d. h. einen sicheren Bereich, aufbauen können. So ist es z. B. möglich, einen Programmteil in diesem sicheren Bereich ablaufen zu lassen, um Manipulationen zu verhindern. Der sichere Bereich besitzt allerdings selten einen direkten Zugriff auf die Hardwareperipherie und kann somit auch kaum Schutz gegenüber der Anzeigeeinheit oder einem Eingabemittel geben. So ist eine für die Verarbeitung von Graphikinformationen zuständige Recheneinheit, das sog. AGP-Modul (Accelerated Graphics Port), losgelöst vom Assembliererkern und steuert selbstständig die Bildausgabe an. Diese für die Verarbeitung von Graphikinformationen zuständige Recheneinheit verwendet dabei keinen sicheren Ausgabespeicher, sondern einen frei definierbaren Speicherbereich im RAM, den sog. Framebuffer, auf den alle auf dem Endgerät ausführbaren Funktionen zugreifen können.
-
Um eine sichere Ausgabe eines Anzeigeinhalts zu ermöglichen, muss ein Teil der Ausgabe mit dem sicheren Bereich des Assembliererkern verbunden werden. Dann kann z. B. aus dem sicheren Bereich heraus eine zusätzliche Leuchte, z. B. eine LED, angesteuert werden. Die Leuchte wird angesteuert, wenn ein Programmteil mit sicheren Befehlen ausgeführt wird. Die Ein- und Ausgabe von Informationen durch einen Benutzer ist allerdings nicht ausreichend sicher, da für den Benutzer nicht zuverlässig erkennbar ist, ob auch der Framebuffer nur vom sicheren Bereich gefüllt wird.
-
Es ist Aufgabe der vorliegenden Erfindung, ein Verfahren und ein Endgerät anzugeben, das mit hoher Sicherheit einem Benutzer eines Endgeräts anzeigt, ob ein dargestellter Inhalt einer Anzeigeeinheit des Endgeräts vertrauenswürdig ist.
-
Diese Aufgaben werden durch ein Verfahren gemäß den Merkmalen des Patentanspruches 1 und ein Endgerät gemäß den Merkmalen des Patentanspruches 10 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind in den abhängigen Ansprüchen angegeben.
-
Ein erfindungsgemäßes Verfahren wird in einem Endgerät zur Anzeige eines sicheren Betriebsmodus durchgeführt, wobei das Endgerät eine sichere Ausführungsumgebung und eine unsichere Ausführungsumgebung umfasst. Das Verfahren umfasst den Schritt des Ausführens einer Funktion in der sicheren Ausführungsumgebung, den Schritt des Anzeigers eines Anzeigeinhalts auf einer Anzeigeeinheit des Endgeräts, und den Schritt des Signalisieren, dass der angezeigte Anzeigeinhalt von der ausgeführten Funktion der sicheren Ausführungsumgebung gesteuert wird. Die Anzeigeeinheit des Endgeräts umfasst eine segmentierte Hintergrundbeleuchtung. In dem Schritt des Signalisieren wird zumindest ein bestimmtes Segment der segmentierten Hintergrundbeleuchtung selektiv durch die sichere Ausführungsumgebung angesteuert.
-
Ein erfindungsgemäßes Endgerät umfasst eine Anzeigeeinheit, eine sichere Ausführungsumgebung und eine unsichere Ausführungsumgebung sowie Ausgabemittel zur Ausgabe eines visuellen Signals für einen Anzeigebetriebsmodus, der angibt, ob der Anzeigeinhalt von der sicheren Ausführungsumgebung gesteuert wird. Erfindungsgemäß umfasst die Anzeigeeinheit eine segmentierte Hintergrundbeleuchtung und ein bestimmtes Segment der Hintergrundbeleuchtung ist nur durch die sichere Ausführungsumgebung selektiv ansteuerbar.
-
Unter einer selektiven Ansteuerung wird die Ansteuerung eines Segments durch die sichere Ausführungsumgebung unabhängig von der Ansteuerung anderer Segmente der Hintergrundbeleuchtung verstanden. Bei der selektiven Ansteuerung können auch mehrere Segmente gleichzeitig und unabhängig von den übrigen Segmenten der Hintergrundbeleuchtung angesteuert, d. h. aktiviert oder deaktiviert, werden. Während eine Funktion in der unsicheren Ausführungsumgebung nur alle Segmente der Hintergrundbeleuchtung zugleich ansteuern kann, kann durch eine Funktion in der sicheren Ausführungsumgebung ein einzelnes Segment oder eine Mehrzahl an zusammenhängenden oder nicht zusammen hängenden Segmenten gleichzeitig separat ansteuert werden.
-
Durch die Erfindung wird sichergestellt, dass die Ausgabe von Daten gegen Angriffe von Trojanern, Malware und Viren geschützt ist. Es ist möglich, jegliche Art von Daten auszugeben. Beispielsweise können vollständige Überweisungsinformationen, usw. auf der Anzeigeeinheit eines (mobilen) Endgeräts ausgegeben werden.
-
Dem vorgeschlagenen Vorgehen liegt die Überlegung zugrunde, dass Hintergrundbeleuchtungen der meisten heute im Einsatz befindlichen Endgeräte aus mehreren Teilsegmenten (kurz: Segment) aufgebaut sind. Dieser Aufbau liegt darin begründet, dass mit zunehmender Größer der Diagonale der Anzeigeeinheit, d. h. des Displays, eine gleichmäßige Ausleuchtung der Anzeigeeinheit durch ein einziges Segment nicht gewährleistet werden kann. Durch die Mehrzahl an Segmenten kann eine homogene Ausleuchtung vor allem in den Randbereichen der Anzeigeeinheit sichergestellt werden. Die zur Realisierung des erfindungsgemäße Vorgehens notwendige Steuerung der Hintergrundbeleuchtung wird bei solchen Anzeigeeinheiten bereits heute ermöglicht, z. B. um die Hintergrundbeleuchtung selektiv an- oder auszuschalten oder um deren Helligkeit per Software zu regeln. Die Erfindung erweitert ein Endgerät um die Möglichkeit, ein einzelnes oder mehrere Segmente über die sichere Ausführungsumgebung anzusteuern.
-
In dem Schritt des Signalisieren kann gemäß einer Ausgestaltung des vorgeschlagenen Verfahren zumindest ein bestimmtes Segment der segmentierten Hintergrundbeleuchtung aktiviert oder deaktiviert werden. Eine Deaktivierung eines oder mehrerer der bestimmten Segmente erfolgt z. B., wenn die Hintergrundbeleuchtung ansonsten, d. h. global über die Anzeigeeinheit, nicht aktiviert ist oder ein nur schwache Helligkeit hat. Eine Aktivierung eines oder mehrerer der bestimmten Segmente erfolgt z. B., wenn die Hintergrundbeleuchtung global aktiviert ist. Die Ansteuerung des zumindest einen bestimmten Segments kann somit situativ in Abhängigkeit der übrigen, auf der Anzeigeeinheit dargestellten Informationen oder auch einer Umgebungshelligkeit erfolgen.
-
Durch Ansteuern des zumindest einen bestimmten Segments kann gemäß einer weiteren Ausgestaltung selektiv eine Nutzinformation eingeblendet oder ausgeblendet werden.
-
Das Ansteuern des zumindest einen bestimmten Segments kann gemäß einer weiteren Ausgestaltung mit einer durch die sichere Ausführungsumgebung vorgegebenen Frequenz erfolgen. Hierdurch wird das Ausnutzen eines stroboskopischen Effekts ermöglicht, wodurch nur dann, wenn das Segment aktiviert (oder alternativ deaktiviert) ist, die Nutzinformation für den Benutzer erkennbar ist.
-
Beim Ausführen der Funktion in der sicheren Ausführungsumgebung kann gemäß einer weiteren Ausgestaltung der Anzeigeinhalt animiert werden, wobei durch die Ansteuerung des zumindest einen bestimmten Segments durch die Funktion bestimmte Informationen des Anzeigeinhalts, z. B. in Abhängigkeit der vorgegebenen Frequenz, eingeblendet oder ausgeblendet werden. Die Animation des Anzeigeinhalts kann z. B. vom Anbieter der sicheren Funktion bereitgestellt werden. Ebenso kann die Frequenz des Ein- oder Ausblenden des zumindest einen bestimmten Segments auch vom Anbieter der sicheren Funktion bereitgestellt werden. Die Frequenz kann durch die Funktion zur Laufzeit erzeugt werden.
-
Dadurch ist ein unbefugtes, elektronisches Ausspähen der Nutzinformation, z. B. im Rahmen eines „Man in the Middle”-Angriffs nicht, möglich, da auf diesem Wege nur die Anzeigeinhalte ausgespäht werden kann, nicht aber die Ansteuerung des Segments, welche aber notwendig ist, um die Nutzinformation erkennbar zu machen oder als vertrauenswürdig zu kennzeichnen.
-
Die sichere Funktion kann gemäß einer weiteren Ausgestaltung sequentiell Anzeigeinhalte auf der Anzeigeeinheit ausgeben, wobei die Anzeigeinhalte Nutzdaten und weitere Daten umfassen, und wobei die sichere Funktion bei der Ausgabe der Nutzdaten das zumindest eine bestimmte Segment ansteuert. Hierdurch wird die Sicherheit bei einem Angriff erhöht, da die Ansteuerung des oder der Segmente nicht ermittelbar ist, und dadurch kein Bezug dazu besteht, welche Daten ein Benutzer erkennen bzw. nicht erkennen kann.
-
Es kann insbesondere vorgesehen sein, dass für einen Nutzer des Endgeräts nur die Nutzdaten sichtbar sind. Demgegenüber sind die weiteren Daten durch die vorgeschlagene Ansteuerung der Anzeigeeinheit nicht sichtbar bzw. werden durch die Ansteuerung nicht sichtbar gemacht.
-
Die sichere Ausführungsumgebung gibt in einer weiteren Ausgestaltung durch eine zeitliche, visuelle Überlagerung eine nur für den Benutzer des Endgeräts erkennbare Eingabeinformation auf der auch als Eingabemittel ausgebildeten Anzeigeeinheit aus, wobei durch die sichere Ausführungsumgebung überprüft wird, ob in dem durch die sichere Ausführungsumgebung angesteuerten bestimmten Element eine Benutzer-Eingabe erfolgt, welche durch das die sichere Ausführungsumgebung mittels der dargestellten Eingabeinformation in ein Eingabedatum übersetzt wird. Hierdurch wird auch eine sichere Eingabe von Informationen durch einen Benutzer des Endgeräts ermöglicht. Die Anzeigeeinheit, über die die Benutzereingabe erfolgt, ist z. B. ein berührungsempfindliches Display, wie z. B. ein Touchscreen.
-
Als Eingabeinformation können z. B. ein Ziffernblock, ein PIN-Pad oder Auswahldaten ausgegeben werden. Bei der Darstellung eines Ziffernblocks oder eines PIN(Personal Identification Number)-Pads können z. B. die Ziffernpositionen in einer beliebigen Reihenfolge dargestellt werden. Hierdurch wird das Ausspähen der eingegebenen Informationen erschwert.
-
Um einen Benutzer des Endgeräts in die Lage zu versetzen, das Austasten (d. h. das Ein- und Ausblenden von Nutzinformationen durch selektives Ansteuern eines bestimmten Segments) des Anzeigeinhalts auf Echtheit zu überprüfen, kann bei einem erfindungsgemäßen Endgerät die Steuerleitung zwischen der sicheren Ausführungsumgebung und der Anzeigeeinheit eine Lichtschranke umfassen. Diese kann z. B. an einer Gehäuseaußenseite bzw. zur Displayoberfläche hin angebracht werden. Ein Angriff auf ein Endgerät, das ein gutes Display mit hoher Auflösung und starkes Reflektionslicht aufweist, durch einen „simulierten Stroboskopeffekt” kann dadurch erkannt werden.
-
Die Erfindung wird nachfolgend näher anhand eines Ausführungsbeispiels in der Zeichnung erläutert. Es zeigen:
-
1 eine schematische Darstellung eines erfindungsgemäßen Endgeräts, das mit hoher Sicherheit einem Benutzer eines Endgeräts anzeigt, ob ein dargestellter Inhalt einer Anzeigeeinheit des Endgeräts vertrauenswürdig ist, und
-
2 eine schematische Darstellung des Prinzips der Anzeige von vertrauenswürdigem Nutzinhalt.
-
1 zeigt eine schematische Darstellung eines erfindungsgemäßen Endgeräts 10. Das Endgerät 10 umfasst eine Anzeigeeinheit 11, z. B. ein LCD- oder ein OLED- oder ein TFT-Display. Die Anzeigeeinheit 11 kann ein berührungsempfindliches Display (sog. Touchscreen) sein, über das ein Benutzer auch Eingaben machen kann. Das Endgerät kann z. B. ein Tablet-PC, ein Smartphone oder ein anderes, insbesondere mobiles, Kommunikationsendgerät sein. Die Anzeigeeinheit 11 umfasst eine nicht näher dargestellte Hintergrundbeleuchtung, welche aus einer Mehrzahl an Segmenten 12, 12' besteht, um eine gleichmäßige Ausleuchtung der Anzeigeeinheit 11 sicherzustellen. Lediglich aus Gründen einer vereinfachten Darstellung sind neben dem Segment 12 die weiteren Segmente 12' der Hintergrundbeleuchtung nur beispielhaft angedeutet.
-
Neben der Anzeigeeinheit 11 umfasst das Endgerät 10 einen Prozessor 13 mit einer unsicheren Ausführungsumgebung 14 und einer sicheren Ausführungsumgebung 15 gemäß Global Platform-Spezifikation. Bevorzugt werden zwei Betriebssysteme als die sichere und die unsichere Ausführungsumgebung 14, 15 ausgeführt. Zusätzlich wird eine Funktion, die beispielsweise von einer Bank bereitgestellt wird, durch die sichere Ausführungsumgebung ausgeführt.
-
Über eine Steuerleitung 16, die von der unsicheren Ausführungsumgebung 14 aus angesteuert wird, kann die Helligkeit der Anzeigeeinheit 11 gesteuert werden. Ferner kann über die Steuerleitung 16 die Hintergrundbeleuchtung der Anzeigeeinheit 11 als Ganzes aktiviert oder deaktiviert werden.
-
Die von der unsicheren Ausführungsumgebung 14 gesteuerte Steuerleitung 16 ist zudem mit einem UND-Gatter 19 gekoppelt. Der Abzweig der Steuerleitung, der die unsichere Ausführungsumgebung 14 mit dem Gatter 19, verbindet, ist mit dem Bezugszeichen 18 gekennzeichnet. Zusätzlich ist eine weitere Steuerleitung 17 zwischen der sicheren Ausführungsumgebung 15 und dem Gatter 19 vorgesehen. Der Ausgang des Gatters 19 ist mit dem Segment 12 der Anzeigeeinheit 11 verbunden. Hierdurch wird eine in der sicheren Ausführungsumgebung 15 ausgeführte Funktion (nicht dargestellt) in die Lage versetzt, das Segment 12 selektiv zu aktivieren oder zu deaktivieren. Dies kann von der Funktion, z. B. einer Bankanwendung oder einer Anwendung, die ein Kennwort abfragt, zur Signalisierung durch die Funktion verwendet werden, um dem Benutzer des Endgeräts 10 anzuzeigen, dass der auf der Anzeigeeinheit 11 angezeigte Anzeigeinhalt sicher ist.
-
Unter der selektiven Ansteuerung des Segments 12 durch die sichere Ausführungsumgebung 15 bzw. die darin ausgeführte Funktion wird eine Ansteuerung unabhängig von der Ansteuerung anderer Segmente der Hintergrundbeleuchtung oder der Hintergrundbeleuchtung im Ganzen verstanden.
-
In einer weiteren, nicht dargestellten Ausgestaltungsvariante kann in der Steuerleitung 17 eine Lichtschranke angeordnet sein. Diese kann z. B. an einer Gehäuseaußenseite bzw. zur Displayoberfläche hin angebracht sein. Ein Angriff auf das Endgerät 10, wenn dieses ein gutes Display mit hoher Auflösung und starkes Reflektionslicht aufweist, durch einen „simulierten Stroboskopeffekt” kann dadurch erkannt werden.
-
Das selektiv durch die sichere Ausführungsumgebung 15 ansteuerbare Segment 12 kann zudem für eine sichere Ausgabe von Anzeigeinhalten der in der sicheren Ausführungsumgebung 15 ausgeführten Funktion genutzt werden. Dies wird unter Bezugnahme auf 2 näher erläutert.
-
Hierzu kann die Funktion sequentiell Anzeigeinhalte 21 in dem Segment ausgeben. Die Sequenz der dargestellten Anzeigeinhalte ist mit dem Bezugszeichen 20 gekennzeichnet. Die Sequenz läuft in der mit 24 gekennzeichneten Pfeilrichtung von links nach rechts und beginnt bei „Sync” mit der Information „0”, danach „2”, „8”, usw.. Die Sequenz 20 umfasst Nutzdaten 22, welche durch Ansteuerung des Segments 12 auf der Anzeigeeinheit 11 eingeblendet werden, und weitere Daten 23 (z. B. Stördaten oder willkürliche Daten), welche durch entsprechende Ansteuerung des Segments 12 auf der Anzeigeeinheit 11 nicht eingeblendet werden. Es sind somit zeitlich aufeinander folgend nur die schwarz hinterlegten Nutzdaten 22 „8”, „9”, „6” und „2” für den Benutzer sichtbar. Dies bedeutet, immer dann, wenn die Nutzdaten 22 in dem Segment angezeigt werden, wird das Segment 12 durch die Funktion bzw. die sichere Ausführungsumgebung aktiviert. In allen anderen Fällen wird das Segment 12 nicht aktiviert, wodurch die weiteren Daten 23 für den Nutzer nicht erkennbar sind.
-
Die durch die Sequenz 20 erzeugte Animation und die Frequenz des Wechsels der Anzeigeinhalte können in der Funktion bereits festgelegt sein. Ebenso kann eine Erzeugung der Animation und/oder der Frequenz zur Laufzeit erfolgen. Da ein Angreifer das selektive Ansteuern des Segments nicht detektieren kann, hat er keinen Bezug welche Daten der Benutzer erkennen bzw. nicht erkennen kann.
-
Die selektive Ansteuerung des Segments 12 (oder auch mehrerer solcher Segmente) kann auch für eine sichere Eingabe von Daten genutzt werden. Hierzu gibt die sichere Ausführungsumgebung 15 durch eine zeitliche, visuelle Überlagerung eine für den Benutzer des Endgeräts 11 erkennbare Eingabeinformation auf der Anzeigeeinheit 11 aus. Dies können z. B. ein Ziffernblock, ein PIN-Pad oder Auswahldaten sein. Bei der Darstellung eines Ziffernblocks oder eines PIN-Pads können z. B. die Ziffernpositionen in einer beliebigen Reihenfolge dargestellt werden. Durch die sichere Ausführungsumgebung 15 wird überprüft, ob in dem durch die sichere Ausführungsumgebung angesteuerten bestimmten Segment eine Benutzer-Eingabe erfolgt. Schließlich wird die Benutzer-Eingabe durch die sichere Ausführungsumgebung mittels der dargestellten Eingabeinformation in ein Eingabedatum übersetzt. Da auch hier der Angreifer das selektive Ansteuern des Segments nicht detektieren kann, hat er keinen Bezug, welche Daten der Benutzer erkennen und eingegeben hat. Das Ausspähen der eingegebenen Informationen wird dadurch erschwert.
