DE102014204332A1

DE102014204332A1 - Password generator and method and computer program product for generating passwords

Info

Publication number: DE102014204332A1
Application number: DE102014204332.8A
Authority: DE
Inventors: Uwe Hohenstein; Michael Jäger
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2014-03-10
Filing date: 2014-03-10
Publication date: 2015-09-10

Abstract

Die Erfindung betrifft einen in Hardware oder Software realisierbaren Passwortgenerator, in den ein Masterpasswort und ein Dienstname eines passwortgeschützten Dienstes eingegeben werden und welcher aus dem Masterpasswort und dem Dienstnamen ein dienstspezifisches Passwort erzeugt, wobei aus dem Masterpasswort und eines gegebenen Dienstnamens stets das gleiche dienstspezifische Passwort erzeugt wird, d.h. die Passworterzeugung ist deterministisch und reproduzierbar. Ein wichtiger Vorteil dieser Erfindung ist darin zu sehen, dass sich der Nutzer nur ein Passwort, nämlich das Masterpasswort, merken muss und der Passwortgenerator aus dem Masterpasswort und des Dienstnamens für jeden vom Benutzer genutzten Dienst ein gesondertes dienstspezifisches Passwort erzeugt.The invention relates to a realizable in hardware or software password generator in which a master password and a service name of a password-protected service are entered and which generates a service-specific password from the master password and the service name, from the master password and a given service name always generates the same service-specific password will, ie the password generation is deterministic and reproducible. An important advantage of this invention is the fact that the user only has to remember one password, namely the master password, and the password generator generates a separate service-specific password from the master password and the service name for each service used by the user.

Description

Die Erfindung betrifft einen neuartigen Passwortgenerator sowie ein neues Verfahren und ein Computerprogrammprodukt zur Erzeugung von Passwörtern. The invention relates to a novel password generator and to a new method and a computer program product for generating passwords.

Passwörter sind in Kombination mit einer Benutzerkennung ein häufig verwendetes und im Grundsatz auch sicheres Mittel, um den Zugang zu IT-Systemen und IT-Applikationen zu kontrollieren und zu beschränken. Dies gilt beispielsweise für die Anmeldung eines Benutzers an einem lokalen Computer, an einem Computernetzwerk oder für die Benutzung bestimmter lokaler oder netzbasierter Anwendungen. Benutzer müssen hierfür in einem Vorgang, der im Folgenden als "Authentifizierung" bezeichnet wird, ihre jeweilige persönliche Benutzerkennung und ihr persönliches Passwort eingeben. Passwords, in combination with a user ID, are a commonly used and, in principle, secure means to control and restrict access to IT systems and IT applications. This applies, for example, to a user logging in to a local computer, to a computer network, or to using certain local or network-based applications. Users must enter their respective personal user ID and password in a process, hereafter referred to as "authentication".

Die Anzahl netzbasierter, insbesondere internetbasierter, Anwendungen, die personalisierte Informationen bereitstellen, nimmt seit Jahren zu. Ein durchschnittlicher Benutzer ist gezwungen, eine Fülle von Benutzerkonten und die damit verbundenen Passwörter zu verwalten: Authentifizierungsinformationen für private Computer, Authentifizierungsinformationen für Computer und Systeme am Arbeitsplatz, Authentifizierungsinformationen für meist mehrere eMail-Konten, Authentifizierungsinformationen für Softwareapplikationen wie beispielsweise Datenbankserver, Authentifizierungsinformationen für private Anwendungen wie Online-Banking, Online-Shops usw. The number of network-based, especially Internet-based, applications that provide personalized information has been increasing for years. An average user is forced to manage a plethora of user accounts and associated passwords: private computer authentication information, computer and workstation authentication information, mostly multiple email account authentication information, authentication information for software applications such as database servers, private application authentication information like online banking, online stores etc.

Diese verschiedenen Anwendungen und Systeme werden im Folgenden einheitlich als "Applikationen" oder "Dienste" bezeichnet, die für die Nutzung der jeweiligen Applikation bzw. des jeweiligen Dienstes erforderliche Benutzerkennung bzw. das Benutzerkonto als "dienstspezifische Benutzer-ID" und das zugehörige Passwort als "dienstspezifisches Passwort". These various applications and systems are hereinafter referred to uniformly as "applications" or "services", the required for the use of the respective application or the respective service user ID or the user account as a "service-specific user ID" and the associated password as " service-specific password ".

Ein Benutzer muss sich also für eine Vielzahl von Diensten jeweils die Kombination aus dienstspezifischer Benutzer-ID und dienstspezifischem Passwort merken. Erschwert wird dies dadurch, dass aus verschiedenen Gründen nicht für alle Dienste dieselben Authentifizierungsinformationen umfassend eine stets gleiche Benutzer-ID und ein stets gleiches Passwort verwendet werden können. A user must therefore remember the combination of service-specific user ID and service-specific password for a large number of services. This is made more difficult by the fact that, for various reasons, it is not possible to use the same authentication information for all services, including an always identical user ID and an always identical password.

Erstens kann der Fall auftreten, dass (beispielsweise im Falle über das Internet öffentlich zugänglicher Dienste) die gewünschte Benutzer-ID für diesen Dienst bereits für einen anderen Benutzer vergeben ist und der Benutzer somit gezwungen ist, für diesen Dienst eine von seiner Standard-Benutzer-ID abweichende Benutzer-ID zu wählen. Ähnlich liegt der Fall, wenn die Benutzer-ID beispielsweise von einem Administrator ohne Berücksichtigung der Wünsche des Benutzers festgelegt wird. First, there may be the case that (for example, in the case of Internet-accessible services), the desired user ID for that service is already assigned to another user, and thus the user is forced to choose one of his default user IDs for that service. ID different user ID to choose. Similarly, if the user ID is set, for example, by an administrator without considering the desires of the user.

Zweitens stellen verschiedene Dienste unterschiedliche Anforderungen an die zugelassenen Passwörter. Einige Dienste erlauben nur Passwörter, die vollständig aus Ziffern bestehen, andere Dienste hingegen fordern die Verwendung von Passwörtern, welche Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen gleichermaßen enthalten. Auch hinsichtlich der Länge der akzeptierten Passwörter gibt es große Unterschiede: einige Dienste erlauben Passwörter mit maximal 5 Zeichen, andere fordern Passwörter mit mindestens 8 Zeichen. Second, different services have different requirements for the authorized passwords. Some services only allow passwords that consist entirely of digits, while other services require the use of passwords that contain uppercase and lowercase letters, numbers, and special characters alike. There are also major differences in the length of accepted passwords: some services allow passwords of up to 5 characters, others require passwords of at least 8 characters.

Drittens stellt es ein erhebliches Sicherheitsrisiko dar, dieselben Authentifizierungsinformationen oder auch nur dasselbe Passwort für mehrere Dienste zu verwenden. Third, there is a significant security risk of using the same authentication information or even the same password for multiple services.

Benutzer sehen sich daher mit der Notwendigkeit konfrontiert, für jeden Dienst zumindest ein dienstspezifisches Passwort (und häufig auch eine dienstspezifische Benutzer-ID) zu verwenden – und sich diese zu merken. Users are therefore faced with the need to use at least one service-specific password (and often a service-specific user ID) for each service - and to remember them.

Hinzu tritt, dass viele Dienste ihre Benutzer zwingen, ihr Passwort in festem Turnus (z.B. aller 90 Tage) neu zu vergeben, ansonsten läuft das Passwort ab und dem Benutzer wird der Zugang zum Dienst verwehrt. Dabei ändern sich gelegentlich auch die Regeln, denen die Passwörter zu folgen haben, wobei der Benutzer sich dann möglicherweise mit dem Problem konfrontiert sieht, ein strukturell einfacheres Passwort durch ein strukturell komplizierteres zu ersetzen und dieses dann im Turnus erneuern zu müssen. In addition, many services force their users to re-assign their password in fixed cycles (for example, every 90 days), otherwise the password expires and the user is denied access to the service. Occasionally, the rules that the passwords have to follow change and the user may be faced with the problem of replacing a structurally simpler password with a structurally more complicated one and then having to renew it in turn.

Das ohnehin komplexe Problem der vielen Benutzerkennungen und Passwörter wird daher um eine dienstspezifische zeitliche Dimension erweitert, wodurch sich der Aufwand für den Benutzer weiter erhöht. Letztlich sind die meisten Benutzer nicht mehr in der Lage, ohne umfangreiche Listen (sei es in Papier oder in Form eines sogenannten elektronischen Passwortsafes) mit den Authentifizierungsinformationen der von ihnen genutzten Dienste umzugehen. The already complex problem of many user IDs and passwords is therefore extended by a service-specific time dimension, which further increases the effort for the user. Ultimately, most users are no longer able to handle the authentication information of the services they use without extensive lists (whether in paper or electronic password safe).

Abgesehen davon, dass diese Listen oder Passwortsafes ein hervorragendes Angriffsziel und damit ein beachtliches Sicherheitsrisiko darstellen, scheuen viele Benutzer den damit verbundenen Aufwand und verwenden kurze, strukturell einfache Passwörter ohne Sonderzeichen und/oder dasselbe Passwort bei möglichst vielen Diensten und setzen sich und die von ihnen verwendeten Systeme damit erheblichen Sicherheitsrisiken aus:

• Passwörter, die aus Wörtern der natürlichen Sprache bestehen, sind mittels Wörterbuchangriff innerhalb von Sekunden knackbar;
• Selbst komplexe 8-stellige Passwörter können mit modernen Computern in kurzer Zeit geknackt werden;
• Gelingt der Einbruch in eine Passwortdatenbank, kann mit den erbeuteten Passwörtern häufig auch in andere Dienste der Nutzer eingedrungen werden;
• Hat der Nutzer dabei erweiterte Rechte, kann ein Angreifer Kontrolle über den gesamten Dienst oder das gesamte System erlangen.

Apart from the fact that these lists or password safes represent an excellent target and thus a considerable security risk, many users shy away from the associated effort and use short, structurally simple passwords without special characters and / or the same password in as many services as possible and sit down and those of them used systems thus considerable security risks:

• Passwords consisting of natural language words can be cracked within seconds using dictionary attack;
• Even complex 8-digit passwords can be cracked with modern computers in a short time;
• If the intrusion into a password database succeeds, the captured passwords can often be used to penetrate other services of the user;
• If the user has extended rights, an attacker can gain control over the entire service or the entire system.

Eine Aufgabe der vorliegenden Erfindung besteht daher darin, einem Benutzer die Nutzung komplexer und damit sicherer dienstspezifischer Passwörter zu erleichtern. It is therefore an object of the present invention to make it easier for a user to use complex and therefore more secure service-specific passwords.

Diese Aufgabe wird erfindungsgemäß gelöst durch einen Passwortgenerator, in den ein Masterpasswort und ein Dienstname eines passwortgeschützten Dienstes eingegeben werden und welcher aus dem Masterpasswort und der Dienstname ein dienstspezifisches Passwort erzeugt, wobei aus dem Masterpasswort und einem gegebenen Dienstnamen stets das gleiche dienstspezifische Passwort erzeugt wird, d.h. die Passworterzeugung ist deterministisch und reproduzierbar. This object is achieved according to the invention by a password generator in which a master password and a service name of a password-protected service are entered and which generates a service-specific password from the master password and the service name, whereby the same service-specific password is always generated from the master password and a given service name. ie the password generation is deterministic and reproducible.

Ein wichtiger Vorteil dieser Erfindung ist darin zu sehen, dass sich der Nutzer nur ein Passwort, nämlich das Masterpasswort, merken muss und der Passwortgenerator aus dem Masterpasswort und der Dienstname für jeden vom Benutzer genutzten Dienst ein gesondertes dienstspezifisches Passwort erzeugt. An important advantage of this invention is that the user only has to remember one password, namely the master password, and the password generator generates a separate service-specific password from the master password and the service name for each service used by the user.

Vorteilhafterweise verwendet der Benutzer ein komplexes Masterpasswort mit Groß- und Kleinbuchtstaben, Ziffern und Sonderzeichen in zufälliger Abfolge – er muss sich ja nur dieses eine merken. Aber auch aus einfachen Masterpasswörtern und einfachen Dienstnamen kann der Passwortgenerator beliebig komplexe dienstspezifische Passwörter erzeugen. Advantageously, the user uses a complex master password with uppercase and lowercase letters, numbers and special characters in random order - he has to remember only this one. But even from simple master passwords and simple service names, the password generator can generate arbitrarily complex service-specific passwords.

In einer vorteilhaften Ausgestaltung kann der Benutzer für jeden Dienst gesondert Passwortbedingungen angeben, die dann bei der Erzeugung der dienstspezifischen Passwörter berücksichtig werden. Diese dienstspezifischen Passwortbedingungen werden vorteilhaft im Passwortgenerator gespeichert. In an advantageous embodiment, the user can separately specify password conditions for each service, which are then taken into account when generating the service-specific passwords. These service-specific password conditions are advantageously stored in the password generator.

In einer weiteren vorteilhaften Ausgestaltung wird im Passwortgenerator für jeden Dienst gesondert die Benutzer-ID gespeichert. In a further advantageous embodiment, the user ID is stored separately in the password generator for each service.

Gemäß einer besonders vorteilhaften Ausgestaltung des Passwortgenerators verfügt dieser über Mittel zur Emulation einer Tastatur gegenüber dem Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, und überträgt über diese Mittel für den Dienst sowohl die dienstspezifische Benutzer-ID als auch das dienstspezifische Passwort an das Gerät. Dies ist für den Nutzer gleichermaßen bequemer und sicherer als herkömmliche Methoden: bequemer, da der Passwortgenerator die notwendigen Eingaben erledigt und sicherer, da einerseits ein komplexes Passwort generiert und verwendet wird und andererseits das Abfangen dieses einen Passwortes nicht die anderen genutzten Dienste kompromittiert. According to a particularly advantageous embodiment of the password generator, the latter has means for emulating a keyboard in relation to the device which provides access to the password-protected service, and transmits both the service-specific user ID and the service-specific password to the device via these means for the service. This is more convenient and safer for the user than traditional methods: more convenient because the password generator does the necessary input and safer because on the one hand a complex password is generated and used and on the other hand intercepting this one password does not compromise the other services used.

In einer vorteilhaften Ausführungsform werden die dienstspezifischen Passwörter nicht oder zumindest nicht dauerhaft, sondern höchstens temporär für etwaige Eingabewiederholungen im Fall gestörter Kommunikation zwischen Passwortgenerator und dem Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, gespeichert. Dies hat den Vorteil, dass Angreifern, die den Passwortgenerator stehlen oder einen verlorengegangenen Passwortgenerator finden, kein Angriff auf eine Passwortdatenbank ermöglicht wird, wie dies bei Passwortsafes möglich ist. In an advantageous embodiment, the service-specific passwords are not stored, or at least not permanently, but at most temporarily for any input retries in case of disturbed communication between the password generator and the device which provides access to the password-protected service. This has the advantage that attackers who steal the password generator or find a lost password generator will not be able to attack a password database, as is the case with password safes.

In einer weiteren vorteilhaften Ausgestaltung wird auch das Masterpasswort nicht oder zumindest nicht dauerhaft im Passwortgenerator gespeichert. Dies hat den Vorteil, dass Angreifer bei Verlust des Passwortgenerators nicht das Masterpasswort aus dem Passwortgenerator selbst extrahieren können. In a further advantageous embodiment, the master password is not or at least not permanently stored in the password generator. This has the advantage that, if the password generator is lost, attackers can not extract the master password from the password generator itself.

Weitere vorteilhafte Ausgestaltungen der vorliegenden Erfindung sind in den abhängigen Ansprüchen angegeben. Further advantageous embodiments of the present invention are specified in the dependent claims.

Die Erfindung betrifft ferner ein Verfahren und ein Computerprogrammprodukt zur Erzeugung dienstspezifischer Passwörter. The invention further relates to a method and a computer program product for generating service-specific passwords.

Im Folgenden werden Ausführungsbeispiele der vorliegenden Erfindung detailliert beschrieben. Hereinafter, embodiments of the present invention will be described in detail.

Ein Passwortgenerator gemäß einem ersten Ausführungsbeispiel der vorliegenden Erfindung erzeugt dienstspezifische komplexe Passwörter. Diese Passwörter sind vom Benutzer des Passwortgenerators vorzugsweise je Dienst konfigurierbar hinsichtlich:

• Verwendbarer Zeichenvorrat, d.h. welche Zeichen (z.B. Buchstaben, Ziffern, Sonderzeichen) darf ein Passwort für einen bestimmten Dienst aufweisen;
• Zu verwendender Zeichenvorrat, d.h. welche Zeichen müssen im Passwort für einen bestimmten Dienst enthalten sein und wie oft mindestens/höchstens;
• Mindestlänge eines Passwortes für einen bestimmten Dienst;
• Maximallänge eines Passwortes für einen bestimmten Dienst.

A password generator according to a first embodiment of the present invention generates service-specific complex passwords. These passwords are preferably configurable by the user of the password generator per service in terms of:

• Usable character set, ie which characters (eg letters, numbers, special characters) may have a password for a particular service;
• Character set to use, ie which characters must be included in the password for a particular service and how often at least / at most;
• Minimum length of a password for a particular service;
• Maximum length of a password for a particular service.

Weitere Passwortparameter bzw. Passwortbedingungen können in Ausgestaltungen der Erfindung berücksichtigt werden, beispielsweise Verkettungsbedingungen (welche Zeichen dürfen in einem Passwort für einen bestimmten Dienst nicht hintereinander stehen oder nicht gemeinsam auftreten). Other password parameters or password conditions may be taken into account in embodiments of the invention, for example, chaining conditions (which characters may not be consecutive in a password for a particular service or may not occur together).

Diese dienstspezifischen Passwortparameter bzw. Passwortbedingungen werden vorzugsweise gemeinsam mit weiteren Dienstparametern im Passwortgenerator gespeichert. Weitere Dienstparameter sind beispielsweise:

• Ein vom Benutzer vergebener Dienstname. Dieser Dienstname kennzeichnet den jeweiligen Dienst oder die jeweilige Anwendung in einer für den Benutzer komfortablen Weise, beispielsweise durch Icons und/oder eine prägnante Bezeichnung. Der Dienstname kann beispielsweise die URL des verwendeten Dienstes oder deren prägender Teil sein (z.B. www.NAME.TLD oder nur NAME). Der Dienstname dient der Unterscheidung verschiedener vom Benutzer verwendeter Dienste, deren Authentifizierungsinfomationen der Benutzer mithilfe des Passwortgenerators verwaltet, und wird in die Berechnung des Passwortes einbezogen.
• Eine Langbezeichnung oder Beschreibung zum Dienst, die in die Berechnung des Passwortes einbezogen werden kann.
• Eine dienstspezifische Benutzer-ID, die gemeinsam mit dem dienstspezifischen Passwort die Authentifizierungsinfomationen für den jeweiligen Dienst bildet.

These service-specific password parameters or password conditions are preferably stored together with other service parameters in the password generator. Other service parameters include:

• A service name given by the user. This service name identifies the particular service or application in a user-friendly manner, such as icons and / or a succinct name. The service name may be, for example, the URL of the service being used or its defining part (eg www.NAME.TLD or only NAME). The service name is used to distinguish different services used by the user, whose authentication information the user manages using the password generator, and is included in the calculation of the password.
• A long description or description of the service that can be included in the calculation of the password.
• A service-specific user ID that, together with the service-specific password, forms the authentication information for the respective service.

Nicht für jeden Dienst sind alle der genannten Dienstparameter erforderlich. So kann es beispielsweise Dienste geben, bei denen die Angabe einer dienstspezifischen Benutzer-ID nicht erforderlich ist (zur Authentifizierung genügt die Eingabe eines Passwortes, der Dienst ist nicht benutzerbezogen oder die Benutzer-ID wird anderweitig übermittelt, beispielsweise als Bestandteil einer URL) oder bei denen der Benutzer auf die Eingabe einer Langbezeichnung oder Beschreibung verzichtet. Not every service requires all of the above service parameters. For example, there may be services that do not require the specification of a service-specific user ID (for authentication, entering a password, the service is not user-related, or the user ID is otherwise provided, for example, as part of a URL) or at the user does not enter a long description or description.

Wie oben dargelegt gibt es Dienste, die ihre Benutzer zwingen, ihr Passwort in festem Turnus (z.B. aller 90 Tage) neu zu vergeben. Zur Steigerung des Komforts weist eine Ausgestaltung eines erfindungsgemäßen Passwortgenerators Mittel auf, für jeden Dienst die Angabe eines Gültigkeitszeitraums des dienstspezifischen Passwortes erlauben. Vorzugsweise überwacht der Passwortgenerator diesen Gültigkeitszeitraum und weist den Benutzer rechtzeitig auf den bevorstehenden Ablauf von Passwörtern hin. As stated above, there are services that force their users to re-assign their password in a fixed cycle (e.g., every 90 days). To increase the comfort, an embodiment of a password generator according to the invention comprises means for each service to specify a validity period of the service-specific password. The password generator preferably monitors this validity period and informs the user in good time of the upcoming expiration of passwords.

Je Dienst kann vorteilhaft hinterlegt werden, wie viele Zeichen sich bei Neuvergabe eines Passwortes mindestens ändern müssen, damit der Dienst das geänderte Passwort akzeptiert. Dies gilt unabhängig davon, ob die Passwortänderung aufgrund des Ablaufs der Gültigkeit des alten Passwortes oder aufgrund einer vom Benutzer initiierten Neuvergabe erfolgt. Dabei wird im Passwortgenerator ein Zähler o.ä. geführt, der die Generation des Passwortes repräsentiert und der in die Passwortberechnung mit einbezogen wird. Da die Passwortberechnung deterministisch ist, wird durch die Einbeziehung des Passwortparameters "Generation" in die Passwortberechnung sichergestellt, dass die Passwörter verschiedener Generationen nicht identisch sind. Depending on the service, it can be advantageously stored how many characters must at least change when a password is re-assigned, so that the service accepts the changed password. This applies regardless of whether the password change is due to the expiry of the validity of the old password or due to a re-allocation initiated by the user. In the password generator a counter o.ä. which represents the generation of the password and which is included in the password calculation. Since the password calculation is deterministic, the inclusion of the password parameter "Generation" in the password calculation ensures that the passwords of different generations are not identical.

Alternativ zur Implementierung des Parameters "Generation" im Passwortgenerator kann die Verwaltung der Generation eines Passwortes auch erfolgen, indem der Benutzer den Dienstnamen um eine Ziffer oder Zahl erweitert, welche die Generation des Passwortes angibt (beispielsweise wäre www.NAME.TLD_1 oder NAME1 statt www.NAME.TLD oder NAME zu verwenden). Alternatively to implementing the "Generation" parameter in the password generator, the generation of a password may be managed by the user extending the service name by a digit or number indicating the generation of the password (eg, www.NAME.TLD_1 or NAME1 instead of www To use .NAME.TLD or NAME).

Im Betrieb einer bevorzugten Ausgestaltung des Passwortgenerators gibt ein Benutzer einen Dienstnamen ein. Ein für diesen Dienst spezifisches Passwort wird vom Passwortgenerator aus diesem Dienstnamen und einem Masterpasswort erzeugt. Dabei werden vorzugsweise die Passwortparameter berücksichtigt, soweit vorhanden. In operation of a preferred embodiment of the password generator, a user inputs a service name. A password specific to this service is generated by the password generator from this service name and a master password. In this case, preferably the password parameters are taken into account, if available.

Anschließend kann dem Benutzer das dienstspezifische Passwort angezeigt werden. Der Benutzer verwendet dieses dienstspezifische Passwort dann bei Erst- oder Neuvergabe des Passwortes für den jeweiligen Dienst, auf den er beispielsweise mit einem PC zugreift, zum Setzen des Passwortes (und der in der Regel erforderlichen Wiederholung der Passworteingabe) mittels der üblichen Eingabemittel (z.B. Keypad oder Tastatur). Für die Anmeldevorgänge nach Erst- oder Neuvergabe des dienstspezifischen Passwortes wird der Passwortgenerator benutzt, der aus dem Dienstnamen und dem Masterpasswort stets das gleiche dienstspezifische Passwort erzeugt. Subsequently, the service-specific password can be displayed to the user. The user then uses this service-specific password when initializing or reassigning the password for the respective service, which he accesses, for example, with a PC, for setting the password (and the usually required repetition of the password input) by means of the usual input means (eg keypad or keyboard). The password generator that always generates the same service-specific password from the service name and the master password is used for the logon processes after initial or new assignment of the service-specific password.

Dies kann für beliebig viele Dienstnamen wiederholt werden. Alternativ oder zusätzlich zur Anzeige des Passwortes kann der Passwortgenerator als Drahtloseingabegerät für das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, konfiguriert sein, wobei dann das dienstspezifische Passwort als Folge von (simulierten) Eingabehandlungen an das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, übertragen und dabei in entsprechende Eingabefelder eingetragen wird. Dieses Verfahren kann sowohl bei Vergabe eines Passwortes als auch für gewöhnliche Anmeldevorgänge genutzt werden. This can be repeated for any number of service names. Alternatively, or in addition to the display of the password, the password generator may be configured as a wireless input device for the device providing access to the password protected service, in which case the service specific password is provided as a result of (simulated) input actions to the device providing access to the password protected service , transferred and while in the corresponding input fields are entered. This method can be used both when assigning a password and for ordinary logon procedures.

Vorteilhaft wird dabei die wohlbekannte Bluetooth-Schnittstelle zur Übertragung der (simulierten) Eingaben vom Passwortgenerator an das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, genutzt. Advantageously, the well-known Bluetooth interface for transmitting the (simulated) inputs from the password generator to the device, which provides access to the password-protected service used.

In vorteilhaften Ausgestaltungen kann zudem die vom Benutzer je Dienst eingegebene und im Passwortgenerator gespeicherte Benutzer-ID drahtlos an das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, übertragen, was den Komfort der Authentifizierung erheblich erhöht: der Benutzer muss nur noch den Dienst aufrufen, den Dienstnamen (z.B. aus einer Liste) am Passwortgenerator auswählen, sein Masterpasswort am Passwortgenerator eingeben und das Senden der Authentifizierungsinformationen an das Dienstzugangsgerät veranlassen. Die Schritte "Eingabe des Masterpasswortes" und "Auswahl des Dienstnamens" können natürlich auch in umgekehrter Reihenfolge ausgeführt werden. In advantageous embodiments, moreover, the user ID entered per service and stored in the password generator can be transmitted wirelessly to the device which provides access to the password-protected service, which considerably increases the convenience of authentication: the user only has to call the service, select the service name (eg, from a list) on the password generator, enter its master password on the password generator, and cause the authentication information to be sent to the service access device. The steps "input of the master password" and "selection of the service name" can of course also be carried out in reverse order.

Zur Erzeugung eines komplexen Passwortes aus Zeichenketten (Masterpasswort und Dienstname, ggf. Passwortgeneration) stehen dem Fachmann unzählige Möglichkeiten zur Verfügung. Vorteilhaft ist es dabei, ein deterministisches Verfahren zu wählen, das eindeutig, aber nicht eineindeutig ist. Mit anderen Worten soll eine gegebene Kombination aus Masterpasswort und Dienstname (und ggf. der Parameter "Passwortgeneration") stets das gleiche dienstspezifische Passwort ergeben, vorteilhafterweise sollte es jedoch unmöglich sein, rückwärts aus dem dienstspezifischen Passwort und der Dienstname das Masterpasswort zu ermitteln. To generate a complex password from strings (master password and service name, possibly password generation) are the expert countless options available. It is advantageous to choose a deterministic method that is unique but not ambiguous. In other words, should a given combination of master password and service name (and possibly the parameter "password generation") always give the same service-specific password, but advantageously it should be impossible to backward from the service-specific password and the service name to determine the master password.

Zur Erzeugung eines dienstspezifischen Passwortes können beispielsweise Masterpasswort und Dienstname (und ggf. der Parameter "Passwortgeneration") aneinandergehängt oder beliebig verschachtelt und anschließend mit einer Hashfunktion, z.B. SHA-1, verschlüsselt werden. Der resultierende Hashwert kann anschließend mit BASE64 (ergibt eine Folge von Groß- und Kleinbuchstaben und Ziffern) oder BASE85 (ergibt eine Folge von Groß- und Kleinbuchstaben, Ziffern und bestimmten Sonderzeichen) in ein komplexes Passwort umgewandelt werden. To generate a service-specific password, for example, master password and service name (and possibly the parameter "password generation") can be concatenated or arbitrarily interleaved and then with a hash function, e.g. SHA-1, to be encrypted. The resulting hash value can then be converted to a complex password using BASE64 (resulting in a string of uppercase and lowercase letters and numbers) or BASE85 (resulting in a string of uppercase and lowercase characters, numbers, and certain special characters).

Erfüllt ein erzeugtes Passwort nicht die dienstspezifischen Passwortbedingungen, kann beispielsweise ein Zähler verwendet werden, der bei der Hashwertbildung mit berücksichtigt wird und inkrementiert wird, wenn das resultierende Passwort nicht den Passwortbedingungen entspricht. Wird ein bedingungsgerechtes Passwort aufgefunden, wird der Zählerwert als zusätzlicher dienstspezifischer Passwortparameter gespeichert und bei jeder Berechnung des Passwortes mit einbezogen, so dass die Bedingung "stets das gleiche dienstspezifische Passwort" erfüllt wird. If a generated password does not satisfy the service-specific password conditions, for example, a counter may be used which is taken into account in the hash value formation and is incremented if the resulting password does not correspond to the password conditions. If a conditional password is found, the counter value is stored as an additional service-specific password parameter and included in each password calculation, so that the condition "always the same service-specific password" is met.

Ist ein erzeugtes Passwort zu lang, kann es beispielsweise einfach nach der durch die Passwortbedingungen gegebenen maximalen Anzahl von Zeichen abgeschnitten werden. Ist es zu kurz, kann beispielsweise das vorgenannte Zählfeld mit einer großen Zahl oder einem längeren String vorbelegt werden, um einen längeren Hashwert zu erreichen. If a generated password is too long, for example, it may simply be truncated after the maximum number of characters given by the password conditions. If it is too short, for example, the aforementioned counting field can be pre-assigned with a large number or a longer string in order to achieve a longer hash value.

In einer bevorzugten Ausgestaltung der vorliegenden Erfindung werden die generierten Passwörter nicht im Passwortgenerator gespeichert, sondern bei jeder Verwendung neu berechnet. Das hat den Vorteil, dass ein etwaiger Angreifer bei Verlust oder Diebstahl des Passwortgenerators nicht durch Angriff auf die Datenbank des Passwortgenerators die dienstspezifischen Passwörter erbeuten kann und damit der Verlust des Passwortgenerators kein besonders großes Risiko darstellt. Natürlich kann vorgesehen werden, dass dienstspezifische Passwörter nach ihrer Berechnung für kurze Zeit (z.B. wenige Minuten) gespeichert werden, um ggf. notwendige Eingabewiederholungen bei Störung der drahtlosen Übertragung an das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient, zu ermöglichen. In a preferred embodiment of the present invention, the generated passwords are not stored in the password generator, but recalculated each time they are used. This has the advantage that any attacker in case of loss or theft of the password generator can not seize the service-specific passwords by attacking the database of the password generator and thus the loss of the password generator is not a particularly great risk. Of course, provision may be made for service-specific passwords to be stored after their computation for a short time (e.g., a few minutes) to allow for possibly necessary retransmissions upon failure of the wireless transmission to the device providing access to the password-protected service.

Das Risiko kann weiter verringert werden, indem auch das Masterpasswort nicht (oder nur temporär, z.B. für 15 Minuten) im Passwortgenerator gespeichert wird. Ein etwaiger Angreifer kann dann bei Verlust oder Diebstahl nicht durch Angriff auf den Passwortgenerator das Masterpasswort extrahieren. Der Passwortgenerator selbst und die in ihm gespeicherten Benutzer-IDs können mit einem weiteren Passwort geschützt werden, das vom Masterpasswort verschieden ist. In dieser Ausgestaltung fallen einem etwaigen Angreifer keinerlei brauchbare Passwortdaten in die Hände. The risk can be further reduced by not storing the master password (or only temporarily, for example, for 15 minutes) in the password generator. Any attacker can not extract the master password in case of loss or theft by attacking the password generator. The password generator itself and the user IDs stored in it can be protected with another password different from the master password. In this embodiment, a potential attacker does not fall into any usable password data.

Alle vorstehend beschriebenen Ausgestaltungen und Varianten eines erfindungsgemäßen Passwortgenerators lassen sich als spezielle Hardware, beispielsweise im Format eines herkömmlichen Taschenrechners, implementieren. Als Eingabemittel können dem Passwortgenerator eine eigene Tastatur oder ein Touchscreen dienen, zum Speichern der Benutzer-IDs und sonstiger Daten ein nichtflüchtiger Speicher und zur Datenverarbeitung ein anwendungsspezifischer Prozessor. Dabei können in Ausgestaltungen die Eingabemittel auf wenige Elemente beschränkt werden. Die Einrichtung des Passwortgenerators und die Eingabe aller erforderlichen Daten (z.B. Benutzer-IDs) kann dann vorteilhaft mittels eines PCs vorgenommen werden, mit dem der Passwortgenerator (drahtlos z.B. per Bluetooth oder drahtgebunden z.B. per USB) zwecks Einrichtung und Datenübertragung gekoppelt wird. Als Ausgabemittel für einen Passwortgenerator kann eine gewöhnliche, vorzugsweise mehrzeilige oder graphische Anzeige oder ein Touchscreen dienen. All the above-described embodiments and variants of a password generator according to the invention can be implemented as special hardware, for example in the format of a conventional pocket calculator. As an input means, the password generator can serve its own keyboard or a touchscreen, a non-volatile memory for storing the user IDs and other data, and an application-specific processor for data processing. In this case, in embodiments, the input means can be limited to a few elements. The establishment of the password generator and entry of all required data (e.g., user IDs) can then be advantageously made by means of a personal computer to which the password generator (wirelessly, e.g., via Bluetooth or wired, e.g., via USB) is coupled for setup and data transmission. The output device for a password generator can be an ordinary, preferably multi-line or graphic display or a touchscreen.

Alternativ ist eine Realisierung als Software-Applikation ("App") für Smartphones oder Tablets attraktiv: Smartphones und Tablets sind weitverbreitete Geräte, die über alle notwendigen Schnittstellen (Eingabemittel, Drahtloskommunikationsmittel wie WLAN und Bluetooth, Ausgabemittel) sowie ausreichend Speicher und Prozessorleistung verfügen und per App frei programmierbar sind und sich als Passwortgenerator anbieten. Dabei kann, je nach Benutzerpräferenz, das Gerätepasswort, das zum Aufheben der Bildschirmsperre benötigt wird, an die Stelle des weiteren Passworts treten, welches den Passwortgenerator selbst schützt. Der Benutzer wählt dann einen der von ihm vorkonfigurierten Dienste durch Tippen auf einen Listeneintrag oder ein Icon in der Passwortgenerator-App aus, gibt das Masterpasswort ein und veranlasst die drahtlose Übertragung an das Gerät, welches dem Zugang zum passwortgeschützten Dienst dient (in vielen Fällen ein PC). Auch in diesem Ausführungsbeispiel können die Schritte "Eingabe des Masterpasswortes" und "Auswahl des Dienstnamens" in umgekehrter Reihenfolge ausgeführt werden. Alternatively, a realization as a software application ("app") is attractive for smartphones or tablets: Smartphones and tablets are widespread devices that have all the necessary interfaces (input means, wireless communication means such as WLAN and Bluetooth, output means) as well as sufficient memory and processing power and per App are freely programmable and offer themselves as a password generator. In this case, depending on the user preference, the device password, which is required to cancel the screen lock, take the place of the additional password, which protects the password generator itself. The user then selects one of his preconfigured services by tapping on a list entry or icon in the password generator app, enters the master password, and initiates wireless transmission to the device which provides access to the password-protected service (in many cases PC). Also in this embodiment, the steps of inputting the master password and selecting the service name may be performed in reverse order.

Die Auswahl des Dienstes kann noch weiter vereinfacht werden, indem auf der Login-Seite des Dienstes oder in der Umgebung des Arbeitsplatzes, der eine Authentifizierung erfordert, ein optisch mittels (Smartphone-)Kamera (z.B. QR-Code, Barcode, ...) oder drahtlos (z.B. mittels Bluetooth oder NFC) erfassbarer Code angebracht wird, der das Starten des Passwortgenerators oder der Passwortgenerator-App mit dem jeweiligen Dienst voreingestellt bewirkt und der Benutzer nunmehr nur noch das Masterpasswort eingeben muss. The selection of the service can be further simplified by optically using a (smartphone) camera (eg QR code, barcode, ...) on the login page of the service or in the environment of the workstation requiring authentication. or wirelessly (eg by means of Bluetooth or NFC) detectable code is attached, which causes the start of the password generator or the password generator app with the respective service preset and the user now only has to enter the master password.

Die Implementierung der vorstehend beschriebenen Prozesse oder Verfahrensabläufe kann anhand von Instruktionen erfolgen, die auf computerlesbaren Speichermedien oder in flüchtigen Computerspeichern (im Folgenden zusammenfassend als computerlesbare Speicher bezeichnet) vorliegen. Computerlesbare Speicher sind beispielsweise flüchtige Speicher wie Caches, Puffer oder RAM sowie nichtflüchtige Speicher wie Wechseldatenträger, Festplatten, usw. Implementation of the above-described processes or procedures may be accomplished by instructions that reside on computer-readable storage media or in volatile computer storage (collectively referred to as computer-readable storage). Computer-readable memories are, for example, volatile memories such as caches, buffers or RAM as well as non-volatile memories such as removable data carriers, hard disks, etc.

Die beschriebenen Funktionen oder Schritte können dabei in Form zumindest eines Instruktionssatzes in/auf einem computerlesbaren Speicher vorliegen. Die Funktionen oder Schritte sind dabei nicht an einen bestimmten Instruktionssatz oder an eine bestimmte Form von Instruktionssätzen oder an ein bestimmtes Speichermedium oder an einen bestimmten Prozessor oder an bestimmte Ausführungsschemata gebunden und können durch Software, Firmware, Microcode, Hardware, Prozessoren, integrierte Schaltungen usw. im Alleinbetrieb oder in beliebiger Kombination ausgeführt werden. Dabei können verschiedenste Verarbeitungsstrategien zum Einsatz kommen, beispielsweise serielle Verarbeitung durch einen einzelnen Prozessor oder Multiprocessing oder Multitasking oder Parallelverarbeitung usw. The described functions or steps may be in the form of at least one instruction set in / on a computer-readable memory. The functions or steps are not tied to a particular set of instructions or to a particular form of instruction set or to a particular storage medium or processor, or to particular execution schemes, and may include software, firmware, microcode, hardware, processors, integrated circuits, etc. be carried out alone or in any combination. It can be used a variety of processing strategies, such as serial processing by a single processor or multiprocessing or multitasking or parallel processing, etc.

Die Instruktionen können auf lokalen Speichern abgelegt sein, es ist aber auch möglich, die Instruktionen auf einem entfernten System abzulegen und darauf via Netzwerk zuzugreifen. The instructions may be stored on local storage, but it is also possible to store the instructions on a remote system and access them via network.

Der Begriff "Prozessor", wie hier verwendet, umfasst Verarbeitungseinheiten im weitesten Sinne, also beispielsweise Server, Universalprozessoren, Grafikprozessoren, digitale Signalprozessoren, anwendungsspezifische integrierte Schaltungen (ASICs), programmierbare Logikschaltungen wie FPGAs, diskrete analoge oder digitale Schaltungen und beliebige Kombinationen davon, einschließlich aller anderen dem Fachmann bekannten oder in Zukunft entwickelten Verarbeitungseinheiten. Prozessoren können dabei aus einer oder mehreren Vorrichtungen bestehen. Besteht ein Prozessor aus mehreren Vorrichtungen, können diese zur parallelen oder sequentiellen Verarbeitung von Instruktionen konfiguriert sein. The term "processor" as used herein includes processing units in the broadest sense, such as servers, general purpose processors, graphics processors, digital signal processors, application specific integrated circuits (ASICs), programmable logic circuits such as FPGAs, discrete analog or digital circuits, and any combinations thereof all other processing units known to the person skilled in the art or developed in the future. Processors can consist of one or more devices. If a processor consists of several devices, these can be configured for parallel or sequential processing of instructions.

Die vorstehende Beschreibung stellt nur die bevorzugten Ausführungsbeispiele der Erfindung dar und soll nicht als Definition der Grenzen und des Bereiches der Erfindung dienen. Alle gleichwertigen Änderungen und Modifikationen gehören zum Schutzbereich dieser Erfindung. The foregoing description represents only the preferred embodiments of the invention and is not intended to serve as a definition of the limits and scope of the invention. All equivalent changes and modifications are within the scope of this invention.

Claims

Password generator comprising: - means for entering a master password; - means for entering a service name of a password-protected service; such as - Means for generating a service-specific password from the master password and the service name, wherein from the master password and a given service name always the same service-specific password is generated.

A password generator according to claim 1, further comprising: - means for storing the service name; and, by service name, Means for input and means for storing a service-specific user ID; and / or - means for input and means for storing service-specific password conditions; and / or - means for input and means for storing an expiration date of the service-specific password.

Password generator according to one of claims 1 or 2, additionally comprising means for wireless transmission of the service-specific password to a device which provides access to the password-protected service comprises.

The password generator of claim 3, further comprising means for wirelessly transmitting the service-specific user ID associated with the service name to the device for accessing the password-protected service.

A password generator according to claim 3 or 4, further comprising means for emulating an input device and transmitting the service specific user ID and / or the service specific password as a result of emulated user input to the device providing access to the password protected service.

A password generator according to claim 5, comprising means for emulating a Bluetooth keyboard.

A password generator according to any one of claims 2 to 6, wherein the means for generating the service-specific password from the master password and the service name are arranged to take into account the password conditions when the service-specific password is generated.

Password generator according to one of the preceding claims, which additionally comprises means for displaying the service-specific password.

Password generator according to one of the preceding claims, which has no means for permanently storing service-specific passwords.

Password generator according to one of the preceding claims, which has no means for permanently storing the master password.

Method for generating a service-specific password with the following steps: - entering a master password; - Entering a service name of a password-protected service; such as Automatic generation of the service-specific password from the master password and the service name, whereby the same service-specific password is always generated from the master password and a given service name.

The method of claim 11, further comprising the steps of: - Save the service name; and, by service name, Inputting and storing a service-specific user ID; and or - entering and storing service-specific password conditions; and or - Enter and save an expiration date of the service-specific password.

Method according to one of Claims 11 or 12, in which the service-specific password is transmitted wirelessly to a device which provides access to the password-protected service.

The method of claim 13, wherein additionally the service specific user ID associated with the service name is wirelessly transmitted to the device providing access to the password protected service.

The method of claim 13 or 14, wherein an input device is emulated and the service-specific user ID and / or the service-specific password as a result of emulated user input to the device, which provides access to the password-protected service, transmitted.

The method of claim 15, wherein a Bluetooth keyboard is emulated.

Method according to one of claims 12 to 16, wherein the password conditions are taken into account when generating the service-specific password from the master password and the service name.

Method according to one of claims 11 to 17, wherein the service-specific password is displayed to a user.

Method according to one of Claims 11 to 18, in which no service-specific passwords are stored.

Method according to one of claims 11 to 19, wherein the master password is not stored.

Computer program product, in particular application for smartphones and / or tablet computers, comprising computer-executable instructions which, when loaded in a computer, are designed to carry out a method according to one of Claims 11 to 20.