DE102015112891A1 - Device and method for secure storage, management and provision of authentication information - Google Patents

Device and method for secure storage, management and provision of authentication information Download PDF

Info

Publication number
DE102015112891A1
DE102015112891A1 DE102015112891.8A DE102015112891A DE102015112891A1 DE 102015112891 A1 DE102015112891 A1 DE 102015112891A1 DE 102015112891 A DE102015112891 A DE 102015112891A DE 102015112891 A1 DE102015112891 A1 DE 102015112891A1
Authority
DE
Germany
Prior art keywords
computer
data
authentication
additional
electronic devices
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
DE102015112891.8A
Other languages
German (de)
Inventor
Steffen Norbert
Hendrik Mielke
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Iseconsult
Mielke Engineering&consulting
Original Assignee
Iseconsult
Mielke Engineering&consulting
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Iseconsult, Mielke Engineering&consulting filed Critical Iseconsult
Priority to DE102015112891.8A priority Critical patent/DE102015112891A1/en
Priority to PCT/DE2016/100357 priority patent/WO2017020895A1/en
Priority to DE112016003523.3T priority patent/DE112016003523A5/en
Publication of DE102015112891A1 publication Critical patent/DE102015112891A1/en
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/83—Protecting input, output or interconnection devices input devices, e.g. keyboards, mice or controllers thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications

Abstract

Die vorliegende Erfindung betrifft eine Vorrichtung 1 und ein Verfahren zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsinformationen. Die Vorrichtung 1 umfasst eine Verbindungsanordnung 2 zur Kommunikation mit einem Computer oder anderen elektronischen Geräten, eine Einrichtung zur Verarbeitung und Speicherung von Daten und eine zusätzliche Einrichtung 6 für die lokale Authentifizierung des Benutzers gegenüber der erfindungsgemäßen Vorrichtung 1. Zur Ziel-Authentifizierung werden Klartextinformationen mit Hilfe von Daten auf der Vorrichtung 1 und der zusätzlichen Einrichtung 6 generiert, die bei der Übertragung als Zeichenkette an das angeschlossene elektronische Gerät oder den Computer so übermittelt werden, dass sie den Eingaben eines angeschlossenen Human Interface Device (HID) entsprechen.The present invention relates to a device 1 and a method for secure storage, management, creation and provision of authentication information. The device 1 comprises a connection arrangement 2 for communication with a computer or other electronic devices, a device for processing and storing data, and an additional device 6 for the local authentication of the user with respect to the device 1 according to the invention. For destination authentication, plain text information is used of data generated on the device 1 and the additional device 6, which are transmitted in the transmission as a string to the connected electronic device or the computer so that they correspond to the inputs of a connected Human Interface Device (HID).

Description

Die vorliegende Erfindung betrifft eine Vorrichtung und ein Verfahren zu sicheren Aufbewahrung, Verwaltung und Bereitstellung von Authentifizierungsinformationen, wobei die Vorrichtung aus mindestens einer Hardware-Komponente besteht und eine Einrichtung zur Verarbeitung und Speicherung von Daten sowie eine Verbindungsanordnung zur Kommunikation mit einem Computer oder anderen elektronischen Geräten umfasst. The present invention relates to an apparatus and method for secure storage, management and provision of authentication information, the apparatus consisting of at least one hardware component and means for processing and storing data and a connection arrangement for communicating with a computer or other electronic devices includes.

Die vermehrte Präsenz von Internet und elektronischen Geräten im täglichen Leben führt dazu, dass man eine Vielzahl von Passwörtern, Benutzernamen, Kontonummern und andere vertrauliche Informationen verwalten und im Gedächtnis behalten muss. Hinzu kommt, dass die unterschiedlichen elektronischen Geräte und die verschiedenen Provider meist auch unterschiedliche Anforderungen und Regeln für den Gebrauch von Passwörtern, Benutzernamen etc. haben, wobei aus Sicherheitsgründen grundsätzlich vermieden werden sollte, Passwörter mehrfach oder einfache, einem Muster folgende oder Eselsbrücken aufweisende Passwörter zu verwenden. Darüber hinaus werden die Methoden, fremde Daten abzugreifen, immer subtiler und gefährlicher, so dass ein dringender Bedarf besteht, die eigenen Daten besser und zugleich einfacher zu sichern. The increased presence of the Internet and electronic devices in daily life means that you have to manage and remember a variety of passwords, usernames, account numbers, and other sensitive information. In addition, the different electronic devices and the various providers usually have different requirements and rules for the use of passwords, user names, etc., should be avoided for security reasons, passwords multiple or simple, a pattern following or donkey bridges having passwords use. In addition, the methods of retrieving foreign data are becoming ever more subtle and dangerous, so there is an urgent need to better secure your own data and at the same time make it easier.

Es sind zahlreiche Systeme zum Sichern von Daten oder Konten bekannt, wobei es sich meist um Software Lösungen handelt, die eine Software Installation auf jedem einzelnen Gerät voraussetzen und beispielsweise nicht für BOOT/HD-PW/Harddisk-Verschlüsselungsschutz einsetzbar sind. Reine Hardware Lösungen gibt es relativ wenig und sie haben alle den Nachteil, dass sie nur eine sehr beschränkte Funktionalität und Sicherheit besitzen. There are numerous systems for backing up data or accounts known, which are mostly software solutions that require a software installation on each device and, for example, not for BOOT / HD-PW / hard disk encryption protection can be used. There are relatively few pure hardware solutions and they all have the disadvantage of having very limited functionality and security.

Die US 2013/0314208 A1 beschreibt eine einen biometrischen Sensor umfassende Vorrichtung zur Authentifizierung, wobei eine tragbare Speichereinrichtung zum elektronischen Speichern von vertraulichen Daten als Schlüssel genutzt wird, um diese Daten an eine andere Vorrichtung weiterzugeben. The US 2013/0314208 A1 describes a device for authentication comprising a biometric sensor, wherein a portable storage device for electronically storing confidential data is used as a key to pass this data on to another device.

Aruna. D. Mane et al. beschreiben in „Locker Security System Using RFID And GSM Technology“ Mai 2013; International Journal of Advanced in Engineering & Technology (IJAET); Vol. 6, Issue 2, pp. 973–980; ISSN: 2231-1963 ein Schließfach Sicherheitssystem, wobei RFID und GSM Technologien verwendet werden. Das System ist insbesondere für Banken vorgesehen und verhindert, dass nichtauthentifizierte Personen Zugang zum Schließfach oder Tresor haben. Aruna. D. Mane et al. describe in "Locker Security System Using RFID And GSM Technology" May 2013; International Journal of Advanced Engineering & Technology (IJAET); Vol. 6, Issue 2, pp. 973-980; ISSN: 2231-1963 a locker security system, using RFID and GSM technologies. The system is intended especially for banks and prevents unauthorized persons from having access to the safe or safe.

In der US 2005/0061879 A1 wird ein Zugangsauthentifizierungssystem beschrieben, das eine Vorrichtung zur Datenverarbeitung, ein Speichermedium und ein RFID TAG umfasst. Die eingegebenen Authentifizierungsdaten und die Schlüsseldaten werden auf das RFID TAG übertragen und dann mit einem dort gespeicherten zweiten Datensatz verglichen. Bei Übereinstimmung werden vom System die Zugangsauthentifizierungsdaten generiert. In the US 2005/0061879 A1 An access authentication system is described which includes a data processing device, a storage medium and an RFID tag. The entered authentication data and the key data are transmitted to the RFID tag and then compared with a stored there second record. If they match, the system generates the access authentication information.

Die CN 203166952 U und die CN 2031890939 U beschreiben Eingabevorrichtungen für Passwörter im Zusammenhang mit dem Zugang zum online Banking. The CN 203166952 U and the CN 2031890939 U describe input devices for passwords related to access to online banking.

Die bekannten Systeme haben den Mangel, dass sie zwar einige der vom Benutzer für eine sichere und einfache Authentifizierung gewünschten Eigenschaften und Funktionen aufweisen, wobei ihre Funktionalität im Einzelfall jedoch insgesamt viele Wünsche offen lässt, da die vorhandenen Systeme meist stark spezialisiert sind und es sich oft um Insellösungen handelt, die auf lediglich ein Problem und dessen Lösung gerichtet sind. The known systems have the deficiency that they have some of the user's for a secure and simple authentication desired features and functions, but their functionality in each case leaves a lot to be desired, since the existing systems are usually highly specialized and often are island solutions that are focused on just one problem and its solution.

Somit besteht die Aufgabe der vorliegenden Erfindung darin, eine einzelne Vorrichtung und ein entsprechendes Verfahren zur Verfügung zu stellen, welche möglichst viele bzw. nach Möglichkeit alle der von den Benutzern für eine sichere Authentifizierung gewünschten Eigenschaften beinhalten. Ziel der Erfindung ist somit eine gebündelte und offene Lösung, wobei ein Großteil der Authentifizierungsaufgaben mit einem identischen Sicherheitsstandard und dem gleichen Verfahren erledigt werden. Zu diesen Eigenschaften und Aufgaben gehören insbesondere die Möglichkeit zur Emulation einer Tastatur, die Möglichkeit an verschiedene unterschiedliche Geräte angeschlossen zu werden, die Nutzungsmöglichkeit auch schon vor dem Start des Betriebssystems, der Schutz des Login Passwortes, die Möglichkeit zur Speicherung, Verwaltung und Nutzung von vielen bis nahezu unbegrenzt vielen ID-Datensätzen, die Auswahlmöglichkeit eines Datensatzes über ein Display, Variations- und Kombinationsmöglichkeiten beim Einsatz des Systems, wie z.B. User-ID + Passwort, nur Passwort, mit oder ohne TAB oder CR/LF, die Startmöglichkeit eines Programms oder einer Website vor der Identifizierung und Authentifizierung, unbegrenzte Mehrbenutzermöglichkeit ohne „Teilung“ des persönlichen Passwortes und eine alternative oder zusätzliche automatische Eingabemöglichkeit von TANs. Thus, the object of the present invention is to provide a single device and a corresponding method which contain as many as possible or possibly all of the properties desired by the users for secure authentication. The aim of the invention is thus a bundled and open solution, wherein a majority of the authentication tasks are done with an identical security standard and the same method. In particular, these features and tasks include the ability to emulate a keyboard, the ability to connect to a variety of different devices, the ability to use even before the start of the operating system, the protection of the login password, the ability to save, manage and use of many up to an almost unlimited number of ID data records, the possibility of selecting a data record via a display, variations and combination options when using the system, such as User ID + password, password only, with or without TAB or CR / LF, the ability to launch a program or website prior to identification and authentication, unlimited multi-user capability without "sharing" of the personal password and an alternative or additional automatic TAN entry option.

Gelöst wird die Aufgabe durch eine Vorrichtung und ein Verfahren zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsinformationen, wobei die Vorrichtung eine Verbindungsanordnung zur Kommunikation mit einem Computer oder anderen elektronischen Geräten, eine Einrichtung zur Verarbeitung und Speicherung von Daten und eine zusätzliche Einrichtung für die lokale Authentifizierung des Benutzers gegenüber der erfindungsgemäßen Vorrichtung und die Bereitstellung von Entschlüsselungsinformationen und Zielinformationen für Daten umfasst. Bei der zusätzlichen Einrichtung handelt es sich vorzugsweise um eine separate Einrichtung, wobei die erfindungsgemäße Vorrichtung vorzugsweise nur dann einsatzbereit ist, wenn die zusätzliche separate Einrichtung in Kontakt mit der Vorrichtung ist oder sich in der Nähe der Vorrichtung befindet. Die erfindungsgemäße Vorrichtung ist dafür eingerichtet, Daten als Zeichenkette an das angeschlossene elektronische Gerät oder den Computer zu übermitteln, wobei die Daten so übermittelt werden, dass sie den Eingaben eines angeschlossenen Human Interface Device (HID) entsprechen. Dies kann beispielsweise durch die Emulation einer Tastatur erfolgen. Die separate zusätzliche Einrichtung umfasst vorteilhaft eine NFC-Technologie und die Kommunikation mit der separaten zusätzlichen Einrichtung basiert vorzugsweise auf der RFID-Technologie. Dabei kann die separate zusätzliche Einrichtung ein Smartphone, eine Smartwatch oder ein anderes, eine RFID-Technologie umfassendes Gerät oder auch ein elektronischer Personalausweis sein. The object is achieved by an apparatus and a method for the secure storage, management, creation and provision of authentication information, the apparatus having a connection arrangement for communicating with a computer or other electronic devices, a device for processing and storing data and an additional device for the local authentication of the user to the device according to the invention and the provision of decryption information and destination information for data. The additional device is preferably a separate device, wherein the device according to the invention is preferably only ready for use when the additional separate device is in contact with the device or is in the vicinity of the device. The device according to the invention is adapted to transmit data as a character string to the connected electronic device or the computer, the data being transmitted in such a way that they correspond to the inputs of a connected Human Interface Device (HID). This can be done, for example, by emulating a keyboard. The separate additional device advantageously comprises an NFC technology and the communication with the separate additional device is preferably based on the RFID technology. In this case, the separate additional device may be a smartphone, a smartwatch or another device comprising an RFID technology or else an electronic identity card.

Bei dem Verfahren selber unterscheidet man zwischen der sogenannten Ziel-Authentifizierung, bei dem der Benutzer gegenüber dem Ziel, z.B. einem Computer, einem Betriebssystem oder einer Applikation, den Beweis der Authentizität führt. Dieser Vorgang wird stellvertretend für den Benutzer von der erfindungsgemäßen Vorrichtung durchgeführt. Um sicherzustellen, dass nur der Berechtigte diesen Vorgang auslösen kann, ist eine weitere lokale Authentifizierung vorgeschaltet, mit deren Hilfe der Benutzer seine Authentizität gegenüber der erfindungsgemäßen Vorrichtung nachweist. Dies erfolgt beispielsweise mit Hilfe eines elektronischen Ausweises und/oder der Eingabe einer PIN. Dieser Vorgang kann zusätzlich durch die Prüfung biometrischer Merkmale komplettiert oder ersetzt werden. In the method itself, a distinction is made between the so-called destination authentication, in which the user is confronted with the destination, e.g. a computer, an operating system, or an application that provides evidence of authenticity. This process is carried out representative of the user of the device according to the invention. In order to ensure that only the authorized person can initiate this process, a further local authentication precedes, by means of which the user proves his authenticity with respect to the device according to the invention. This is done for example by means of an electronic card and / or entering a PIN. This process can be supplemented or replaced by testing biometric features.

Die Authentifizierungsdaten umfassen Benutzernamen, Passworte, Transaktionsnummern, Einmalpassworte, Zertifikate und/oder digitale Schlüssel. Die Verbindungsanordnung zur Kommunikation mit einem Computer oder anderen elektronischen Geräten ist dabei vorteilhaft so gestaltet, dass eine Eingabe von Hand auch dann entfallen kann, wenn z.B. der Computer noch kein Betriebssystem geladen hat, wobei die Verbindungsanordnung eine PS/2-Schnittstelle, eine USB-Schnittstelle, eine serielle Schnittstelle, ein Kabel oder eine Bluetooth- oder eine sonstige kabellose Schnittstelle ist. The authentication data includes usernames, passwords, transaction numbers, one-time passwords, certificates, and / or digital keys. The connection arrangement for communication with a computer or other electronic devices is advantageously designed so that an input by hand can be omitted even if e.g. the computer has not yet loaded an operating system, wherein the connection arrangement is a PS / 2 interface, a USB interface, a serial interface, a cable or a Bluetooth or other wireless interface.

Die Einrichtung zur Verarbeitung und Speicherung von Daten ist vorzugsweise ein Mikrocontroller und umfasst bei einer bevorzugten Ausgestaltung ein Tastenfeld sowie mindestens eine Einrichtung zur Statusanzeige, die wiederum vorteilhaft LEDs und/oder ein Textfeld umfasst. Darüber hinaus umfasst die Einrichtung zur Verarbeitung von Daten vorzugsweise einen Zufallsgenerator, wobei es sich vorteilhaft um einen „true random number generator“ handelt. The device for processing and storing data is preferably a microcontroller and in a preferred embodiment comprises a keypad and at least one device for status display, which in turn advantageously comprises LEDs and / or a text field. In addition, the device for processing data preferably comprises a random number generator, which is advantageously a "true random number generator".

Die erfindungsgemäße Vorrichtung umfasst eine Software zur Einrichtung, Generierung und Verschlüsselung von Identitätsnachweisen sowie bei einer weiteren möglichen Ausführungsform eine Einrichtung zur Abfrage von biometrischen Merkmalen. Daneben besitzt die Vorrichtung vorteilhaft ein plattformunabhängiges Einrichtungstool, mit dem der Benutzer eine große Anzahl von Authentifizierungsinformationen verwalten kann. The device according to the invention comprises software for setting up, generating and encrypting identity documents and, in a further possible embodiment, a device for querying biometric features. In addition, the device advantageously has a platform-independent device tool with which the user can manage a large number of authentication information.

Die erfindungsgemäße Vorrichtung ist somit eine Microcomputerlösung, welche Benutzernamen und Passworte aber auch andere Berechtigungsnachweise sicher aufbewahrt und verwaltet. Sichere, also lange und komplexe Passworte, sind kein Problem mehr, denn die erfindungsgemäße Vorrichtung meldet sich beispielsweise als Tastatur am Computer, Tablet oder Smartphone an und übernimmt die Eingabe der Authentifizierungsdaten. The device according to the invention is thus a microcomputer solution which securely stores and manages user names and passwords as well as other credentials. Safe, so long and complex passwords are no longer a problem, because the device according to the invention, for example, logs on as a keyboard on the computer, tablet or smartphone and takes over the input of the authentication data.

Gegenüber den bekannten Password Safe Softwarelösungen, wie zum Beispiel „keepass“, hat die erfindungsgemäße Vorrichtung den Vorteil, dass sie schon funktioniert, bevor ein Betriebssystem gestartet wurde, und somit auch Harddisk-Passworte, Verschlüsselung ganzer Harddisks und Boot- bzw. BIOS-Passworte schützen kann. Außerdem ist die Vorrichtung ein abgeschlossenes System aus Hardware und Software, bei dem kein Trojaner die Verschlüsselung aufbrechen und die Passworte unbemerkt ausspionieren kann. Compared to the well-known password safe software solutions, such as "keepass", the inventive device has the advantage that it works before an operating system was started, and thus hard disk passwords, encryption of whole hard disks and boot or BIOS passwords can protect. In addition, the device is a closed system of hardware and software, in which no Trojan can break the encryption and spy the passwords unnoticed.

Gleichzeitig besitzt die erfindungsgemäße Vorrichtung alle Vorteile der Softwarelösungen, so dass die Passworte mit starken kryptographischen Verfahren geschützt werden können. Da auch das Abtippen entfällt, können problemlos sehr lange und komplexe Passworte verwendet werden. Darüber hinaus kann man für jeden Login ein unterschiedliches Passwort wählen, da keine Notwendigkeit besteht, sich das Passwort zu merken. Weiterhin können Passworte zufällig generiert werden, so dass bei genügender Länge des Passwortes ein Cracken des Passwortes quasi unmöglich ist. At the same time, the device according to the invention has all the advantages of the software solutions, so that the passwords can be protected with strong cryptographic methods. Since there is no need for typing, very long and complex passwords can easily be used. In addition, you can choose a different password for each login because there is no need to remember the password. Furthermore, passwords can be generated randomly, so that with sufficient length of the password cracking of the password is virtually impossible.

Die Vorrichtung umfasst ein Verwaltungsprogramm, welches es auf einfache Art ermöglicht, Identitäts-Datensätze, bestehend aus Programm-Name, URL oder Kurzbeschreibung sowie Benutzernamen und Passwort, anzulegen und zu verändern. Für alle Fälle, in denen der Nutzer aufgefordert wird, ein neues Passwort zu wählen, ist ein einfacher Passwort-Wechsel möglich. Die Identitäts-Datensätze können in einem File sichergestellt werden. Dabei sorgt vorteilhaft eine sichere Verschlüsselung dafür, dass diese nur in dieselbe erfindungsgemäße Vorrichtung eingelesen werden können. Der Benutzer kann die Sicherstellung somit auch ohne Risiko in der Cloud, auf fremden Servern oder seinem Smartphone ablegen. The device comprises a management program which makes it possible in a simple manner to create and modify identity data records consisting of program name, URL or brief description as well as user name and password. For all cases where the user is asked to choose a new password, a simple password change is possible. The identity records can be secured in a file. Secure encryption advantageously ensures that these can only be read into the same device according to the invention. The user can thus store the security without risk in the cloud, on external servers or his smartphone.

Bei der Inbetriebnahme und jedes Mal, wenn die Vorrichtung für eine bestimmte Zeit nicht genutzt wurde, ist die Eingabe einer PIN von wählbarer Länge vorgesehen. Dazu sieht eine vorteilhafte Ausgestaltung der erfindungsgemäßen Vorrichtung vor, dass die Vorrichtung eine Eingabevorrichtung zur Auswahl eines Authentifizierungsdatensatzes und zur sicheren Eingabe von PINs und PUKs umfasst. Schon wenige Ziffern bieten einen guten Schutz, denn durch die abgekapselte HW&SW Lösung ist ein Durchprobieren mehrerer PINs so gut wie ausgeschlossen. Vorteilhaft ist ein kleines integriertes Display vorgesehen, auf dem zu erkennen ist, welcher ID Datensatz ausgewählt wurde. Per Knopfdruck kann dann ein Login Vorgang gestartet werden, bei dem die Authentifizierungsanforderungen ausgewählt werden kann, ob beispielsweise Benutzername und Passwort oder nur Letzteres übermittelt werden. In vielen Fällen kann sogar auf das Starten der Applikation oder der Eingabe einer URL verzichtet werden, weil die erfindungsgemäße Vorrichtung das mit erledigen kann. At start-up and every time the device has not been used for a certain period of time, the input of a PIN of selectable length is provided. For this purpose, an advantageous embodiment of the device according to the invention provides that the device comprises an input device for selecting an authentication data record and for securely entering PINs and PUKs. Just a few digits offer good protection, because with the encapsulated HW & SW solution a trial and error of several PINs is almost impossible. Advantageously, a small integrated display is provided, on which it can be seen which ID record was selected. At the push of a button, a login process can then be started in which the authentication requirements can be selected, for example if user name and password or only the latter are transmitted. In many cases, even starting the application or entering a URL can be dispensed with because the device according to the invention can do it with you.

Eine komfortablere Ausführungsform der vorliegenden Erfindung sieht eine Lösung vor, die auch für größere Unternehmen und/oder an Arbeitsplätzen für mehrere Benutzer geeignet ist. Dabei ist vorgesehen, dass beliebig viele ID Datensätze gespeichert werden können, die dabei auch deutlich länger sein können. Neben dem Tastenfeld für PIN Eingabe und Datensatzauswahl enthält diese Ausgestaltung einen Leser für berührungslose Funkspeicherchips. Die Datensätze können jetzt für jeden Benutzer individuell und sicher verschlüsselt gespeichert werden. Dafür kann beispielsweise eine Karte, ein Schlüsselanhänger, ein kleines Armband oder einfach ein Klebe-Etikett ausgewählt werden. Die Übergabe von User-ID und Passwort wird dadurch ersetzt, dass der Chip kurz in die Nähe (ca. 5 cm) der erfindungsgemäßen Vorrichtung gebracht wird. A more convenient embodiment of the present invention provides a solution that is also suitable for larger companies and / or workplaces for multiple users. It is envisaged that any number of ID records can be stored, which can be much longer. In addition to the keypad for PIN entry and record selection, this embodiment includes a reader for non-contact radio memory chips. The records can now be stored individually and securely encrypted for each user. For example, a card, a key ring, a small bracelet or simply an adhesive label can be selected. The transfer of user ID and password is replaced by the fact that the chip is brought close to the vicinity (about 5 cm) of the device according to the invention.

Für Unternehmen ist die erfindungsgemäße Vorrichtung dazu vorzugsweise als „Familienversion“ vorgesehen, wobei alle Chips, die an einer der Familien-Boxen (Box = erfindungsgemäße Vorrichtung) eingerichtet wurden, auch an allen anderen Boxen innerhalb der Familie benutzt werden können. Als wichtiger zusätzlicher Schutz ist dann vorzugsweise vorgesehen, die Benutzungsmöglichkeit von fremden Chips zu blockieren. For businesses, the device according to the invention is preferably designed as a "family version", wherein all the chips that have been set up on one of the family boxes (box = device according to the invention) can also be used on all other boxes within the family. As an important additional protection is then preferably provided to block the possibility of using foreign chips.

Die oben genannte komfortablere Ausführungsform der vorliegenden Erfindung ist vorteilhaft auch für ein Cloud Identity Management eingerichtet. So können Anbieter von Cloud Dienstleistungen dem Benutzer personalisierte Zugänge zu ihren Dienstleistungen einfach per Chip zusenden. Via Download von QR Codes kann das Verwaltungsprogramm der erfindungsgemäßen Vorrichtung vorhandene Chips programmieren, so dass selbst das Abwarten des Postweges entfallen kann. The above more convenient embodiment of the present invention is also advantageously set up for cloud identity management. Thus, providers of cloud services can easily send the user personalized access to their services by chip. Via download of QR codes, the management program of the device according to the invention can program existing chips, so that even the waiting for the postal route can be dispensed with.

Neben den beiden oben genannten Ausführungsformen der erfindungsgemäßen Vorrichtung kann die Vorrichtung darüber hinaus kundenspezifisch eingerichtet werden, wobei als mögliche Erweiterung die Verwendung biometrischer Merkmale, wie z.B. ein Fingerabdruck, anstatt der oder zusätzlich zur Eingabe einer PIN vorgesehen sein. Denkbar ist auch die Verbindung mit bestehenden oder neu zu schaffenden Schließanlagen, damit derselbe Chip sowohl für physische als auch für IT Zugangskontrolle verwendet werden kann. Umgekehrt kann die erfindungsgemäße Vorrichtung auch so modifiziert werden, dass sie direkt in eine Schließanlage eingebunden werden kann. Ob im Einzelfall eine Integration mit einer bestehenden Lösung – wirtschaftlich vertretbar – möglich ist, muss natürlich geprüft werden und hängt stark von den Einzelheiten der bestehenden Lösung ab. Denkbar ist auch der Einbau in vorhandene USB-oder Bluetooth-Tastaturen oder eine Kombinationslösung mit diesen. In addition to the two above-mentioned embodiments of the device according to the invention, the device can moreover be customized, the possible extension being the use of biometric features, such as e.g. a fingerprint may be provided instead of or in addition to entering a PIN. It is also conceivable to connect with existing or newly created locking systems, so that the same chip can be used for both physical and IT access control. Conversely, the device according to the invention can also be modified so that it can be integrated directly into a locking system. Whether an integration with an existing solution is economically feasible in individual cases, of course, must be checked and depends heavily on the details of the existing solution. It is also conceivable the installation in existing USB or Bluetooth keyboards or a combination solution with these.

Eine vorteilhafte zusätzliche Anwendung der vorliegenden Erfindung ist der Einsatz als TAN-Generator, wobei das Abtippen der TAN entfällt und die TAN stattdessen beispielsweise über ein USB Interface übermittelt wird. Auch in diesem Fall meldet sich der TAN-Generator als Tastatur am Rechner, Tablet oder Smartphone an, wofür üblicherweise keine zusätzliche Software benötigt wird. An advantageous additional application of the present invention is the use as a TAN generator, wherein the tipping of the TAN is omitted and the TAN is transmitted instead, for example via a USB interface. Also in this case, the TAN generator logs on as a keyboard on the computer, tablet or smartphone, for which usually no additional software is needed.

Der vorliegenden Erfindung liegt die Idee zugrunde, eine aus einer oder mehreren Hardware Komponenten und der zugehörigen Software bestehende Vorrichtung bereitzustellen, welche die herkömmliche Entitäten-Authentifizierung deutlich sicherer, einfacher ausführbar und die vielen heute meist notwendigen Identitäten und zugehörigen Berechtigungsnachweise (Credentials) kontrollier- und handhabbar macht. Die zu authentifizierende Entität ist im Normalfall ein Mensch, die Vorrichtung erlaubt aber auch den Schutz anderer Entitäten, wie z.B. Softwareprogramme etc. The present invention is based on the idea of providing a device consisting of one or more hardware components and the associated software, which makes the conventional entity authentication significantly safer, easier to execute and controls the many identities and associated credentials that are required today makes it manageable. The entity to be authenticated is normally a human, but the device also allows the protection of other entities, e.g. Software programs etc.

Die erfindungsgemäße Vorrichtung verbessert herkömmliche Vorrichtungen mit ähnlichem Zweck entscheidend durch die Verwendung des USB HID Interfaces, um an und gegenüber bestehenden Computern und anderen elektronischen Geräten eine Tastatur zu emulieren. Die Kommunikation kann dabei über (USB-)Stecker oder Kabel direkt oder auch über drahtlose Fernverbindungen, wie z.B. „Bluetooth“ erfolgen. So ist es nicht mehr notwendig, Berechtigungsnachweise von Hand einzugeben oder per Software zu kopieren. Im Gegensatz zu herkömmlichen Vorrichtungen mit ähnlichem Zweck ist normalerweise kein oder nur ein minimaler Eingriff in die zu schützenden Systeme notwendig. Die Vorrichtung erlaubt darüber hinaus auch die Verwaltung und einfache Eingabe von Berechtigungsnachweisen, bevor das zu schützende Computersystem ein Betriebssystem geladen hat (pre boot authentication), womit sie sich entscheidend von den herkömmlichen Systemen unterscheidet. The apparatus of the present invention significantly improves upon conventional devices having a similar purpose through the use of the USB HID interface to emulate a keyboard on and over existing computers and other electronic devices. The Communication can take place via (USB) plug or cable directly or via wireless remote connections, such as "Bluetooth". So it is no longer necessary to enter credentials by hand or copy by software. In contrast to conventional devices with a similar purpose, there is usually no or minimal intervention in the systems to be protected. The device also allows the management and easy entry of credentials before the computer system to be protected has loaded an operating system (pre boot authentication), which makes it significantly different from the conventional systems.

Die erfindungsgemäße Vorrichtung speichert, liefert und/oder generiert Berechtigungsnachweise, wie z.B. Passworte, TANs (Transaktionsnummern), Einmalpassworte, private oder symmetrische kryptographische Schlüssel, PINs (personal identification numbers) oder Antworten auf Testfragen. Damit ermöglicht die Vorrichtung, das „Wissen“ (Kenntnis aller Berechtigungsnachweise) durch eine wählbare Kombination von „Besitz“ (z.B. eines RFID PICC‘s), „Eigenschaft“ (z.B. eines biometrischen Merkmals, wie ein Fingerabdruck) und einfacherem „Wissen“ (gleich einer PIN) zu ersetzen. Falls PIN Schutz gewählt wird, ist dieser gegenüber herkömmlichen reinen Software Vorrichtungen mit ähnlichem Zweck weitaus sicherer, da ein potentieller Angreifer keine Software zum Angriff verwenden kann und dadurch sowie durch zusätzliche Maßnahmen, wie Sperrung nach einer bestimmten Anzahl von Fehlversuchen, der Aufwand für einen Angriff (bei gleicher PIN Länge) um Größenordnungen schwieriger ausfällt. Im Endeffekt wird so selbst mit einer 4- oder 6-stelligen PIN ein adäquater Schutz aufgebaut, was bei reinen Softwarelösungen nicht der Fall ist. Deshalb besteht eine zusätzliche Einsatzmöglichkeit der erfindungsgemäßen Vorrichtung im Schutz von herkömmlichen Softwarevorrichtungen mit ähnlichem Zweck („kaskadierender Einsatz“). The device according to the invention stores, delivers and / or generates credentials, e.g. Passwords, TANs (transaction numbers), one-time passwords, private or symmetric cryptographic keys, PINs (personal identification numbers) or answers to test questions. Thus, the device enables the "knowledge" (knowledge of all credentials) through a selectable combination of "possession" (eg of an RFID PICC), "property" (eg of a biometric feature, such as a fingerprint) and simpler "knowledge" ( equal to a PIN). If PIN protection is chosen, then this is much more secure over conventional pure software devices with a similar purpose, because a potential attacker can not use software to attack and thereby, and by additional measures such as blocking after a certain number of failed attempts, the effort for an attack (with the same PIN length) orders orders of magnitude more difficult. In the end, adequate protection is built up even with a 4- or 6-digit PIN, which is not the case with pure software solutions. Therefore, an additional use of the device according to the invention in the protection of conventional software devices with a similar purpose ("cascading use").

Die erfindungsgemäße Vorrichtung arbeitet vorzugsweise mit modernen, anerkannten und von einschlägigen Stellen zertifizierten kryptographischen Methoden, um die Berechtigungsnachweise vor unerlaubtem Kopieren und Verwenden zu schützen. Im Gegensatz zu reinen Software Vorrichtungen mit ähnlichem Zweck sind Angriffe mit dem Ziel, die notwendigen Schlüssel in Erfahrung zu bringen, um Größenordnungen schwieriger und aufwändiger durchzuführen, da ein potentieller Angreifer keinen Zugriff zum Arbeitsspeicher erlangen kann, ohne eine extrem teure und zeitlich und technologisch aufwändige physische Analyse der Vorrichtung. Solche Angriffe sind darüber hinaus von jedermann leicht zu bemerken, was bei herkömmlichen reinen Software Vorrichtungen nicht gegeben ist. The apparatus of the invention preferably employs modern, recognized and pertinent cryptographic methods to protect the credentials from unauthorized copying and use. In contrast to pure software devices with a similar purpose, attacks aiming to discover the keys needed to accomplish orders of magnitude more difficult and expensive because a potential attacker can not gain access to memory, without an extremely expensive and time-consuming and technologically complex physical analysis of the device. In addition, such attacks are easily noticed by anyone, which is not the case with conventional pure software devices.

Die Vorrichtung enthält vorteilhaft für unterschiedliche Anwendungen einen Zufallszahlengenerator, welcher die Anforderungen an die einschlägige Qualität der Zufallszahlen erfüllt und mit dessen Hilfe sich auch zufällige Berechtigungsnachweise erzeugen lassen. Diese Option ist eine vorteilhafte Alternative zur Eingabe von Berechtigungsnachweisen über ein Verwaltungsprogramm. The device advantageously contains a random number generator for different applications, which fulfills the requirements for the pertinent quality of the random numbers and with whose help it is also possible to generate random credentials. This option is an advantageous alternative to entering credentials through a management program.

Die Vorrichtung erlaubt selbst in Ihrer einfachsten Ausführungsform die Speicherung von einer Produkt-Serien-abhängigen Menge von Identifikations-Datensätzen. Über eine eingebaute nummerisches Tastenfeld wird bei Inbetriebnahme eine PIN eingegeben. Diese Eingabe muss nach einer einstellbaren Zeit ohne Benutzung wiederholt werden. Des Weiteren wird über das Tastenfeld ein Identifikations-Datensatz ausgewählt. Soweit die Vorrichtung eine eigene Anzeige enthält, wird eine Kennung des Datensatzes angezeigt. Durch Drücken einer speziellen Taste wird dieser Datensatz, bzw. Teile davon über die USB, HID (Tastatur) Schnittstelle gesendet, nachdem zuvor der Berechtigungsnachweis mit dem kurzfristig erzeugten Schlüssel entschlüsselt wurde. Der Schlüssel wird danach sofort wieder gelöscht (überschrieben). Die Pflege (Einrichten, Löschen und Verändern) der Datensätze über ein mitgeliefertes Computerprogramm und die serielle (USB) Schnittstelle ist jederzeit vom Anwender selbst durchführbar. Ausführungen sind möglich, welche zusätzlich oder anstatt der PIN die Nutzung über weitere Methoden, insbesondere über die Abfrage biometrischer Merkmale, freischalten. The device, even in its simplest embodiment, allows storage of a product-series-dependent set of identification records. A built-in numeric keypad enters a PIN at startup. This input must be repeated after an adjustable time without use. Furthermore, an identification data record is selected via the keypad. As far as the device contains its own display, an identifier of the record is displayed. Pressing a special key will send that record, or parts of it, via the USB, HID (keyboard) interface, after decrypting the credentials with the short-term generated key. The key is immediately deleted (overwritten). The maintenance (setting up, deleting and changing) of the data records via a supplied computer program and the serial (USB) interface can be carried out by the user at any time. Embodiments are possible, which additionally or instead of the PIN unlock the use of other methods, in particular on the query biometric features.

Die Vorrichtung enthält in einer vorteilhaften Ausführungsform zusätzlich zum Tastenfeld eine Anzeige und einen RFID Leser. In diesem Falle werden die ersten Identifikations-Datensätze, deren Anzahl konfigurationsabhängig ist, in der Vorrichtung gespeichert sowie weitere Datensätze auf den RFID-PICCs. Dies dient dazu, systemabhängige Datensätze, wie z.B. solche die Boot-, Harddisk-, oder Harddisk-Verschlüsselungs-Passworte enthalten, von persönlichen Datensätze, wie z.B. solchen, die Benutzer Login Daten enthalten, jeweils unter Kontrolle des jeweiligen Besitzers bzw. Delegierten getrennt verwalten zu können. Auch die systemabhängigen Datensätze sind nur verwendbar, wenn die Entität, identifiziert und über eine wählbare Kombination von PIN und PICC freigegeben ist. Selbst wenn die PICC vollständig kompromittiert würde, würde dies nicht zur Aufdeckung der Berechtigungsnachweise führen, da dazu zwingend der Zugang zur Vorrichtung und ggf. (wenn so gewählt) Kenntnis der PIN notwendig wäre. PICCs können jederzeit unter Verwendung einer Master-PICC gesperrt und entsperrt werden. Ausführungen, welche zusätzlich oder anstatt der PIN die Nutzung über weitere Methoden freischalten, insbesondere die Abfrage biometrischer Merkmale, sind möglich. In an advantageous embodiment, the device includes a display and an RFID reader in addition to the keypad. In this case, the first identification data records, the number of which is configuration-dependent, are stored in the device and further data records are stored on the RFID PICCs. This is to provide system dependent records, such as those containing boot, hard-disk, or hard-disk encryption passwords, of personal records, e.g. those that contain user login data, each under the control of the respective owner or delegate managed separately. The system-dependent data records can only be used if the entity is identified and approved via a selectable combination of PIN and PICC. Even if the PICC were completely compromised, this would not lead to the detection of the credentials, as this would necessarily require access to the device and possibly (if so selected) knowledge of the PIN. PICCs can be locked and unlocked at any time using a master PICC. Versions which additionally or instead of the PIN enable the use of further methods, in particular the query of biometric features, are possible.

Die Vorrichtung in der Ausführung als TAN-Generator funktioniert vergleichbar mit den herkömmlichen (Hardware) Vorrichtungen dieser Art, jedoch mit dem Unterschied, dass keine Keyboard Eingabe an einem Display abgelesen und von Hand eingegeben werden muss, sondern die Übertragung durch USB HID (Tatstatur) erfolgt. Ausführungsformen, welche zusätzlich oder anstatt der PIN die Nutzung weiterer Methoden einbeziehen, insbesondere die Abfrage biometrischer Merkmale, sind auch hier möglich. Darüber hinaus sind selbstverständlich auch Kombinationen mit den zuvor angeführten Ausführungsformen möglich, wobei auch eine oder alle vorgenannten Ausführungsformen in existierende USB HID Geräte oder auch abgesetzte Tastaturen, Bluetooth Tastaturen, Computer-Mäuse oder Joysticks eingebaut bzw. integriert werden können. The device in the design as a TAN generator works similar to the conventional (hardware) devices of this type, but with the difference that no keyboard input on a display must be read and entered by hand, but the transmission by USB HID (keyboard) he follows. Embodiments which additionally or instead of the PIN involve the use of further methods, in particular the query of biometric features, are also possible here. In addition, of course, combinations with the aforementioned embodiments are possible, and also one or all of the aforementioned embodiments can be incorporated or integrated into existing USB HID devices or remote keyboards, Bluetooth keyboards, computer mice or joysticks.

Eine weitere vorteilhafte Ausgestaltung der vorliegenden Erfindung bietet Anbietern von Netzwerkdiensten die Möglichkeit, ihren Nutzern RFID PICCs zu senden, welche einen einfachen, schnellen personalisierten Zugang zu ihren Dienstleistungen ermöglichen. Alternativ kann die Vorrichtung mit Hilfe eines mitgelieferten Programms an einem Computer angezeigte oder eingescannte Kodierungen, wie z.B. QR-Codes, einlesen. Ein Freischaltungs- und Personalisierungsverfahren bei der ersten Anwendung sorgt dafür, dass auf dem Transportweg gestohlene oder insbesondere im Falle von Kodierungen kopierte Cloud-Ident Datensätze nicht verwendet werden können. In diesem Falle enthält der Identitäts-Datensatz auch die Information, um soweit wie möglich Programme und/oder „URLs“ automatisch aufzurufen bzw. einzugeben. A further advantageous embodiment of the present invention offers providers of network services the ability to send their users RFID PICCs, which allow easy, fast personalized access to their services. Alternatively, the device may be encoded or scanned on a computer by means of a supplied program, such as e.g. Read QR codes. An activation and personalization procedure for the first application ensures that cloud identification records stolen on the transport route or, in particular, copied in the case of encodings can not be used. In this case, the identity record also contains the information to automatically invoke and / or enter programs and / or "URLs" as much as possible.

Bei der erfindungsgemäßen Vorrichtung handelt es sich um eine separate Einrichtung, die nach erfolgreicher Authentifizierung des Benutzers verschlüsselte Passwörter des Benutzers entschlüsselt und dann als Klartext beispielsweise über den USB-Port des Computers oder eines anderen elektronischen Gerätes übermittelt. In the device according to the invention is a separate device that decrypts encrypted passwords of the user after successful authentication of the user and then transmitted as plain text, for example via the USB port of the computer or other electronic device.

Im Folgenden werden die erfindungsgemäße Vorrichtung und das Verfahren zusätzlich anhand von Abbildungen und einem Flussdiagramm ausführlich erläutert. In the following, the device according to the invention and the method are additionally explained in detail with reference to figures and a flowchart.

Dabei zeigt 1 eine perspektivische Darstellung eines Beispiels für eine Vorrichtung zusammen mit einem RFID TAG. Die 2 bis 6 beinhalten Flussdiagramme, in denen der Verfahrensablauf systematisch wiedergegeben ist. It shows 1 a perspective view of an example of a device together with an RFID tag. The 2 to 6 include flowcharts in which the process flow is systematically represented.

Die 1 zeigt in einer perspektivischen Darstellung eine vorteilhafte Ausgestaltung einer erfindungsgemäßen Vorrichtung 1 zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsinformationen, wobei die Vorrichtung 1 einen USB-Anschluss 2 als Verbindungsanordnung zur Kommunikation mit einem Computer oder anderen elektronischen Geräten umfasst. Darüber hinaus besitzt die Vorrichtung 1 ein Display 3 zur Statusanzeige, ein Tastenfeld 4 und, eine RFID-Antenne 5 zum Lesen und Schreiben von Funkspeicherchips. Gleichzeitig ist in 1 als zusätzliche Einrichtung 6 ein RFID TAG zu sehen, der für die lokale Authentifizierung des Benutzers an der Vorrichtung 1 und die Bereitstellung von Entschlüsselungsinformationen und Zielinformationen für Daten vorgesehen ist. The 1 shows a perspective view of an advantageous embodiment of a device according to the invention 1 for securely storing, managing, creating and providing authentication information, wherein the device 1 a USB port 2 as a connection arrangement for communication with a computer or other electronic devices. In addition, the device owns 1 a display 3 for status display, a keypad 4 and, an RFID antenna 5 for reading and writing radio memory chips. At the same time is in 1 as an additional facility 6 to see an RFID tag for the local authentication of the user to the device 1 and providing decryption information and destination information for data.

Wie aus den 2 bis 6 zu erkennen ist, wird bei dem erfindungsgemäßen Verfahren zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsanforderungen eine entsprechende Vorrichtung, die eine Verbindungsanordnung 2 zur Kommunikation mit einem Computer oder anderen elektronischen Geräten und eine Einrichtung zur Verarbeitung und Speicherung von Daten umfasst, in einem ersten Schritt mit dem Computer oder den anderen elektronischen Geräten verbunden. Dazu muss in Abhängigkeit vom Betriebssystem auf dem Zielgerät gegebenenfalls vorher ein passender Treiber installiert werden. In einem weiteren Schritt werden dann die Authentifizierungsinformationen ausgewählt. Nach der Auswahl der Authentifizierungsanforderungen wird vorzugsweise eine separate zusätzliche Einrichtung 6 für die lokale Authentifizierung des Benutzers gegenüber der erfindungsgemäßen Vorrichtung und die Bereitstellung von Entschlüsselungs- und Zielinformationen für Daten in Kontakt mit der Vorrichtung 1 oder in die Nähe der Vorrichtung 1 gebracht. Es werden Klartextinformationen mit Hilfe von Daten auf der Vorrichtung 1 und der zusätzlichen Einrichtung 6 generiert, die dann übertragen werden, wobei die Daten als Zeichenkette an das angeschlossene elektronische Gerät oder den Computer so übermittelt werden, dass sie den Eingaben eines angeschlossenen Human Interface Device (HID) entsprechen, womit dann die Ziel-Authentifizierung erfolgt. Like from the 2 to 6 can be seen, in the inventive method for secure storage, management, creation and provision of authentication requirements, a corresponding device, the connection arrangement 2 for communication with a computer or other electronic devices and means for processing and storing data, in a first step connected to the computer or other electronic devices. Depending on the operating system, it may be necessary to install a suitable driver on the target device beforehand. In a further step, the authentication information is then selected. After selecting the authentication requirements, it is preferable to have a separate additional facility 6 for the local authentication of the user to the device according to the invention and the provision of decryption and destination information for data in contact with the device 1 or in the vicinity of the device 1 brought. It will clear text information using data on the device 1 and the additional facility 6 generated, which are transmitted as a string to the connected electronic device or the computer so that they correspond to the inputs of a connected Human Interface Device (HID), which then performs the destination authentication.

Zur 2 ist anzumerken, dass die Startsequenz bei jeder erneuten Aktivierung des Gerätes durchlaufen wird. Sie entscheidet darüber, ob das Gerät fabrikneu ist und zunächst initialisiert werden muss, oder ob es sofort einsatzbereit ist. Wenn die Initialisierung bereits erfolgt ist, erwartet das Gerät eine PIN-Eingabe und einen dazugehörenden PICC. Wird diese Kommunikation nicht angeboten, wird nach einer stetig anwachsenden Zeitverzögerung eine erneute Authentifizierung erwartet. Wird die Kombination aus PIN und PICC akzeptiert, fährt das Programm mit der Hauptroutine fort. Die parallel dargestellte Initialisierungssequenz wird beim ersten Start des Gerätes oder bei explizitem Aufruf durchlaufen. Hier wird ein sogenannter Master-Key erzeugt. Danach wird in eine weitere Routine zur Anlage des Nutzers weitergeleitet. to 2 It should be noted that the start sequence is run through each time the device is reactivated. It decides whether the device is brand new and has to be initialized first, or whether it is immediately ready for use. If the initialization has already taken place, the device expects a PIN entry and an associated PICC. If this communication is not offered, a renewed authentication is expected after a steadily increasing time delay. If the combination of PIN and PICC is accepted, the program continues with the main routine. The initialization sequence shown in parallel is executed when the device is first started or explicitly called. Here, a so-called master key is generated. Thereafter, it is forwarded to another routine for creating the user.

In der 3 ist die Hauptroutine dargestellt. Das Gerät erwartet Eingaben und kann in Abhängigkeit davon in verschiedene Subroutinen bzw. Unterprogramme verzweigen. Dazu wird die Nutzeraktivität in Abhängigkeit von der Zeit überwacht. Dazu sind folgende Möglichkeiten vorgegeben:

  • – Wenn eine gewisse Zeit der Inaktivität verstrichen ist, springt das Programm zurück auf Start und erwartet eine Authentifizierung.
  • – Wenn ein valides Signal über einen PICC empfangen wird, wird der erste Sicherheitsdatensatz bzw. die erste Kombination aus Login-Informationen, Passwort und Übertragungsflags übertragen (C).
  • – Wenn eine Sondertaste (up, down, ok, del) gedrückt wird, wird ein entsprechendes Aktionsprogramm aktiviert (D). Durch eine Nummernauswahl werden weitere Sicherheitskombinationen gewählt und angezeigt.
In the 3 is the main routine shown. The device expects inputs and can branch into various subroutines or subroutines depending on this. For this, the user activity is monitored as a function of time. The following options are given for this:
  • - When a period of inactivity has elapsed, the program returns to startup and awaits authentication.
  • - When a valid signal is received via a PICC, the first security record or the first combination of login information, password and transmission flag is transmitted (C).
  • - If a special key (up, down, ok, del) is pressed, a corresponding action program is activated (D). A number selection selects and displays additional security combinations.

Die in der 4 dargestellten Unterprogramme sind zum einen die Übertragungsroutine für eine ID/Passwortkombination in Abhängigkeit von einem validen PICC (C), zum anderen das Unterprogramm zur Abarbeitung verschiedener Funktionen zur Interpretation von Tasteingaben (D). Letztere Routine verfügt über weitere Verzweigungsmöglichkeiten. Diese ermöglichen zum einen das Bearbeiten der Sicherheitsinformationen direkt am Gerät (F) und zum anderen die Aktivierung der seriellen Schnittstelle zum Eingabegerät (E). The in the 4 The subroutines shown are firstly the transfer routine for an ID / password combination as a function of a valid PICC (C), and secondly the subroutine for processing various functions for interpreting key inputs (D). The latter routine has more branching possibilities. These enable, on the one hand, the processing of the safety information directly on the device (F) and, on the other hand, the activation of the serial interface to the input device (E).

5 zeigt die Unterroutinen zur Bearbeitung der Sicherheitskombinationen auf dem Gerät (F) und die Unterroutine zur Verbindungsherstellung mit dem PC. 5 shows the subroutines for editing the security combinations on the device (F) and the subroutine for connecting to the PC.

In der 6 wird das Unterprogramm zur Erstellung eines neuen bzw. zur Re-Initialisierung eines vorhandenen Benutzer-PICC dargestellt. In the 6 the subroutine for creating a new or re-initializing an existing user PICC is displayed.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

  • US 2013/0314208 A1 [0004] US 2013/0314208 A1 [0004]
  • US 2005/0061879 A1 [0006] US 2005/0061879 A1 [0006]
  • CN 203166952 [0007] CN 203166952 [0007]
  • CN 2031890939 [0007] CN 2031890939 [0007]

Zitierte Nicht-PatentliteraturCited non-patent literature

  • Aruna. D. Mane et al. beschreiben in „Locker Security System Using RFID And GSM Technology“ Mai 2013; International Journal of Advanced in Engineering & Technology (IJAET); Vol. 6, Issue 2, pp. 973–980; ISSN: 2231-1963 [0005] Aruna. D. Mane et al. describe in "Locker Security System Using RFID And GSM Technology" May 2013; International Journal of Advanced Engineering & Technology (IJAET); Vol. 6, Issue 2, pp. 973-980; ISSN: 2231-1963 [0005]

Claims (18)

Vorrichtung (1) zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsinformationen, umfassend – eine Verbindungsanordnung (2) zur Kommunikation mit einem Computer oder anderen elektronischen Geräten, – eine Einrichtung zur Verarbeitung und Speicherung von Daten und – eine zusätzliche Einrichtung (6) für die lokale Authentifizierung des Benutzers an der Vorrichtung (1) und die Bereitstellung von Entschlüsselungsinformationen und Zielinformationen für Daten, dadurch gekennzeichnet, dass die Vorrichtung (1) dafür eingerichtet ist, Daten als Zeichenkette an das angeschlossene elektronische Gerät oder den Computer zu übermitteln, wobei die Daten so übermittelt werden, dass sie den Eingaben eines angeschlossenen Human Interface Device (HID) entsprechen. Contraption ( 1 for secure storage, management, creation and provision of authentication information, comprising - a connection arrangement ( 2 ) for communication with a computer or other electronic equipment, - a device for the processing and storage of data, and - an additional device ( 6 ) for the local authentication of the user to the device ( 1 ) and the provision of decryption information and destination information for data, characterized in that the device ( 1 ) is adapted to transmit data as a string to the connected electronic device or computer, the data being transmitted to correspond to the inputs of a connected Human Interface Device (HID). Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die zusätzliche Einrichtung (6) eine separate Einrichtung ist, wobei die Vorrichtung (1) nur einsatzbereit ist, wenn die separate zusätzliche Einrichtung (6) in Kontakt mit der Vorrichtung (1) ist oder sich in der Nähe der Vorrichtung (1) befindet. Device according to claim 1, characterized in that the additional device ( 6 ) is a separate device, wherein the device ( 1 ) is only operational if the separate additional facility ( 6 ) in contact with the device ( 1 ) or in the vicinity of the device ( 1 ) is located. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die separate zusätzliche Einrichtung (6) eine NFC-Technologie umfasst und die Kommunikation mit der separaten zusätzlichen Einrichtung auf der RFID-Technologie basiert. Device according to claim 1 or 2, characterized in that the separate additional device ( 6 ) comprises an NFC technology and the communication with the separate additional device is based on the RFID technology. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die separate zusätzliche Einrichtung (6) ein Smartphone, eine Smartwatch oder ein anderes, eine RFID-Technologie umfassendes Gerät ist. Device according to one of claims 1 to 3, characterized in that the separate additional device ( 6 ) is a smartphone, a smartwatch or other device comprising an RFID technology. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die separate zusätzliche Einrichtung (6) ein elektronischer Personalausweis ist. Device according to one of claims 1 to 3, characterized in that the separate additional device ( 6 ) is an electronic identity card. Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die Authentifizierungsinformationen Benutzernamen, Passworte, Transaktionsnummern, Einmalpassworte, Zertifikate und/oder digitale Schlüssel umfassen. Device according to one of claims 1 to 5, characterized in that the authentication information user names, passwords, transaction numbers , one-time passwords, certificates and / or digital keys. Vorrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die Verbindungsanordnung (2) zur Kommunikation mit einem Computer oder anderen elektronischen Geräten so gestaltet ist, dass eine Eingabe von Hand auch dann entfallen kann, wenn der Computer oder die anderen elektronischen Geräte noch kein Betriebssystem geladen haben. Device according to one of claims 1 to 6, characterized in that the connection arrangement ( 2 ) is designed for communication with a computer or other electronic devices so that an input by hand can be omitted even if the computer or the other electronic devices have not yet loaded an operating system. Vorrichtung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Verbindungsanordnung (2) zur Kommunikation mit einem Computer oder anderen elektronischen Geräten eine PS/2-Schnittstelle, eine USB-Schnittstelle (2), eine serielle Schnittstelle, ein Kabel, eine Bluetooth-Schnittstelle oder eine sonstige kabellose Schnittstelle ist. Device according to one of claims 1 to 7, characterized in that the connection arrangement ( 2 ) to communicate with a computer or other electronic devices a PS / 2 interface, a USB interface ( 2 ), a serial port, a cable, a Bluetooth interface or any other wireless interface. Vorrichtung nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die Einrichtung zur Verarbeitung und Speicherung von Daten ein Mikrocontroller oder ein Mikroprozessor mit separatem Speicher ist. Device according to one of claims 1 to 8, characterized in that the means for processing and storing data is a microcontroller or a microprocessor with separate memory. Vorrichtung nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass die Vorrichtung eine Eingabevorrichtung (4) zur Auswahl eines Authentifizierungsdatensatzes und zur sicheren Eingabe von PINs und PUKs umfasst. Device according to one of claims 1 to 9, characterized in that the device comprises an input device ( 4 ) for selecting an authentication record and for securely entering PINs and PUKs. Vorrichtung nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass die Eingabevorrichtung ein Tastenfeld (4) umfasst. Device according to one of claims 1 to 10, characterized in that the input device (a key pad 4 ). Vorrichtung nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, dass die Vorrichtung mindestens eine Einrichtung zur Statusanzeige (3) umfasst. Device according to one of claims 1 to 11, characterized in that the device at least one device for status display ( 3 ). Vorrichtung nach Anspruch 12, dadurch gekennzeichnet, dass die mindestens eine Einrichtung zur Statusanzeige (3) LEDs umfasst. Apparatus according to claim 12, characterized in that the at least one device for status display ( 3 ) LEDs. Vorrichtung nach Anspruch 12, dadurch gekennzeichnet, dass die Einrichtung zur Statusanzeige (3) ein Textfeld umfasst. Apparatus according to claim 12, characterized in that the device for status display ( 3 ) comprises a text field. Vorrichtung nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, dass die Einrichtung zur Verarbeitung von Daten einen Zufallsgenerator umfasst. Device according to one of claims 1 to 14, characterized in that the means for processing data comprises a random number generator. Vorrichtung nach einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, dass die Vorrichtung (1) eine Software zur Einrichtung, Generierung und Verschlüsselung von Identitätsnachweisen umfasst. Device according to one of claims 1 to 15, characterized in that the device ( 1 ) includes software for establishing, generating and encrypting credentials. Vorrichtung nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, dass die Vorrichtung (1) eine Einrichtung zur Abfrage von biometrischen Merkmalen umfasst. Device according to one of claims 1 to 16, characterized in that the device ( 1 ) comprises means for interrogating biometric features. Verfahren zur sicheren Aufbewahrung, Verwaltung, Erstellung und Bereitstellung von Authentifizierungsinformationen, wobei – eine Vorrichtung (1), die eine Verbindungsanordnung (2) zur Kommunikation mit einem Computer oder anderen elektronischen Geräten und eine Einrichtung zur Verarbeitung und Speicherung von Daten umfasst, in einem ersten Schritt mit dem Computer oder den anderen elektronischen Geräten verbunden wird, – in einem zweiten Schritt die Authentifizierungsinformationen ausgewählt werden und – in einem weiteren Schritt über eine zusätzliche Einrichtung (6) zur lokalen Authentifizierung der Benutzer gegenüber der Vorrichtung (1) authentifiziert wird, wobei Daten als Zeichenkette an das angeschlossene elektronische Gerät oder den Computer so übermittelt werden, dass sie den Eingaben eines angeschlossenen Human Interface Device (HID) entsprechen. A method for secure storage, management, creation and provision of authentication information, wherein - a device ( 1 ) having a connection arrangement ( 2 ) for communication with a computer or other electronic devices and a device for processing and storing data, in a first step with the Computer or the other electronic devices, - in a second step, the authentication information is selected and - in a further step, an additional device ( 6 ) for the local authentication of the users to the device ( 1 ), whereby data is transmitted as a string to the connected electronic device or computer corresponding to the inputs of a connected Human Interface Device (HID).
DE102015112891.8A 2015-08-05 2015-08-05 Device and method for secure storage, management and provision of authentication information Withdrawn DE102015112891A1 (en)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE102015112891.8A DE102015112891A1 (en) 2015-08-05 2015-08-05 Device and method for secure storage, management and provision of authentication information
PCT/DE2016/100357 WO2017020895A1 (en) 2015-08-05 2016-08-04 Apparatus and method for securely storing, managing, and providing authentication information
DE112016003523.3T DE112016003523A5 (en) 2015-08-05 2016-08-04 Device and method for the secure storage, administration and provision of authentication information

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
DE102015112891.8A DE102015112891A1 (en) 2015-08-05 2015-08-05 Device and method for secure storage, management and provision of authentication information

Publications (1)

Publication Number Publication Date
DE102015112891A1 true DE102015112891A1 (en) 2017-02-09

Family

ID=56802195

Family Applications (2)

Application Number Title Priority Date Filing Date
DE102015112891.8A Withdrawn DE102015112891A1 (en) 2015-08-05 2015-08-05 Device and method for secure storage, management and provision of authentication information
DE112016003523.3T Withdrawn DE112016003523A5 (en) 2015-08-05 2016-08-04 Device and method for the secure storage, administration and provision of authentication information

Family Applications After (1)

Application Number Title Priority Date Filing Date
DE112016003523.3T Withdrawn DE112016003523A5 (en) 2015-08-05 2016-08-04 Device and method for the secure storage, administration and provision of authentication information

Country Status (2)

Country Link
DE (2) DE102015112891A1 (en)
WO (1) WO2017020895A1 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210365595A1 (en) * 2019-02-14 2021-11-25 Hewlett-Packard Development Company, L.P. Locking devices with authentication

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050061879A1 (en) 2003-09-19 2005-03-24 Honda Motor Co., Ltd. RFID tag access authentication system and RFID tag access authentication method
WO2009095263A1 (en) * 2008-01-30 2009-08-06 Advanced Product Design Sdn. Bhd. Method of secure pin entry and operation mode setting in a personal portable device
US20100199334A1 (en) * 2006-04-24 2010-08-05 Cypak Ab Device and method for identification and authentication
US20110212707A1 (en) * 2008-11-04 2011-09-01 Gemalto Sa Remote user authentication using nfc
CN203166952U (en) 2013-04-12 2013-08-28 北京帕斯沃得科技有限公司 Bank IC card type dynamic password security code token device
CN203180939U (en) 2013-03-28 2013-09-04 北京帕斯沃得科技有限公司 Dynamic password input rule calculating and digital certificate token apparatus
US20130314208A1 (en) 2012-05-08 2013-11-28 Arkami, Inc. Systems And Methods For Storing And Accessing Confidential Data

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7272723B1 (en) * 1999-01-15 2007-09-18 Safenet, Inc. USB-compliant personal key with integral input and output devices
US20030087601A1 (en) * 2001-11-05 2003-05-08 Aladdin Knowledge Systems Ltd. Method and system for functionally connecting a personal device to a host computer
JP2006268682A (en) * 2005-03-25 2006-10-05 Fujitsu Ltd Authentication system, control method therefor, information processing system and portable authentication device

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050061879A1 (en) 2003-09-19 2005-03-24 Honda Motor Co., Ltd. RFID tag access authentication system and RFID tag access authentication method
US20100199334A1 (en) * 2006-04-24 2010-08-05 Cypak Ab Device and method for identification and authentication
WO2009095263A1 (en) * 2008-01-30 2009-08-06 Advanced Product Design Sdn. Bhd. Method of secure pin entry and operation mode setting in a personal portable device
US20110212707A1 (en) * 2008-11-04 2011-09-01 Gemalto Sa Remote user authentication using nfc
US20130314208A1 (en) 2012-05-08 2013-11-28 Arkami, Inc. Systems And Methods For Storing And Accessing Confidential Data
CN203180939U (en) 2013-03-28 2013-09-04 北京帕斯沃得科技有限公司 Dynamic password input rule calculating and digital certificate token apparatus
CN203166952U (en) 2013-04-12 2013-08-28 北京帕斯沃得科技有限公司 Bank IC card type dynamic password security code token device

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
Aruna. D. Mane et al. beschreiben in „Locker Security System Using RFID And GSM Technology" Mai 2013; International Journal of Advanced in Engineering & Technology (IJAET); Vol. 6, Issue 2, pp. 973–980; ISSN: 2231-1963
MANE, Aruna D. ; ARIF, Sirkazi Mohd: Locker security system using RFID and GSM technology. In: International Journal of Advances in Engineering & Technology, Vol. 6, 2013, no. 2, S. 973-980 . - ISSN: 2231-1963
MANE, Aruna D. ; ARIF, Sirkazi Mohd: Locker security system using RFID and GSM technology. In: International Journal of Advances in Engineering & Technology, Vol. 6, 2013, no. 2, S. 973-980 . - ISSN: 2231-1963 *

Also Published As

Publication number Publication date
DE112016003523A5 (en) 2021-02-25
WO2017020895A1 (en) 2017-02-09

Similar Documents

Publication Publication Date Title
EP2585963B1 (en) Method for generating a certificate
DE19839847A1 (en) Storage of data objects in the memory of a chip card
EP1231531A1 (en) Method, system and security device for authenticating a user accessing secret data
WO2003013167A1 (en) Device for digitally signing an electronic document
EP3198826B1 (en) Authentication stick
EP3206151B1 (en) Method and system for authenticating a mobile telecommunication terminal on a service computer system and mobile telecommunication terminal
EP3248324B1 (en) Decentralised operating on a produkt using centrally stored ecrypted data
DE102015112891A1 (en) Device and method for secure storage, management and provision of authentication information
EP2350904B1 (en) Method to configure electronic devices
EP2562670B1 (en) Method for performing a write protection operation, computer program product, computer system and chip card
EP2752785B1 (en) Method for personalisation of a secure element (SE) and computer system
EP3407242A1 (en) Personalisation of a semiconductor element
DE102005030305A1 (en) Service e.g. online banking, authentification method for computer, involves reading digital identification data, verifying if permissible link of identification data exists with identification, and supplying data if link exists
EP1362272B1 (en) Method and arrangement for a rights ticket system for increasing security of access control to computer resources
EP3186741B1 (en) Access protection for external data in the non-volatile memory of a token
EP3304846B1 (en) Identification of a person on the basis of a transformed biometric reference feature
DE102017123113A1 (en) Device for storing passwords
EP1288768A2 (en) Smart dongle
EP3451263A1 (en) Security system for implementing an electronic application
EP2230648A1 (en) Single-use code mask for deriving a single-use code
EP3304807B1 (en) Identifying a person on the basis of a transformed biometric reference feature
DE102012106081A1 (en) Method for encrypted and anonymous storing and managing personal data and codes on separate systems, involves authorizing third parties by encrypted and transaction-referred transferred authorization request by user for transactions
DE102013101846B4 (en) access control device
DE102009040615A1 (en) A method of digital rights management in a computer network having a plurality of subscriber computers
EP0910841B1 (en) Information transmission system

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication
R118 Application deemed withdrawn due to claim for domestic priority