DE102016206602A1

DE102016206602A1 - Verfahren zur Autorisierung des Zugriffs auf anonymisiert gespeicherte Daten

Info

Publication number: DE102016206602A1
Application number: DE102016206602.1A
Authority: DE
Inventors: Eckehard Hermann; Alexandra Hermann; Peter Burgstaller
Original assignee: Individual
Current assignee: Individual
Priority date: 2015-04-24
Filing date: 2016-04-19
Publication date: 2016-10-27
Also published as: AT517151A1; AT517151B1

Abstract

Die Erfindung betrifft ein Verfahren zum anonymisierten Speichern von digitalen Daten, in Form eines Datensatzes (3), wobei der Datensatz (3) durch eine erste Datenverarbeitungsanlage mit einem geheimen Schlüssel signiert wird, um eine digitale Signatur (4) des Datensatzes (3) zu erstellen, die erste Datenverarbeitungsanlage den Datensatz (3) mit dessen digitalen Signatur (4) an eine zweite Datenverarbeitungsanlage überträgt, welche den Datensatz (3) und dessen digitale Signatur (4) an einem beliebigen Speicherort speichert, die zweite Datenverarbeitungsanlage einen Verweis, über welchen die zweite Datenverarbeitungsanlage den Datensatz (3) mit der digitalen Signatur (4) wieder auffinden kann, an die erste Datenverarbeitungsanlage sendet.

Description

Die Erfindung betrifft ein Verfahren zum anonymisierten Speichern von Daten und zum autorisierten Zugriff auf diese Daten.
Daten welche auf einem Server, in der Cloud oder einem privaten Computer abgelegt sind, können über ein Netzwerk, insbesondere das Internet, abgerufen werden. Diese Daten sind anonym, wenn diese von niemand, im Besonderen nicht vom Betreiber des Servers, dem Nutzer des privaten Computers oder anderen Netzwerknutzern dem Besitzer der Daten zuordenbar sind. Der Server muss jedoch in der Lage sein diese Daten bei Bedarf aufzufinden und den rechtmäßigen Besitzer und/oder Nutzer der Daten zu identifizieren und zu autorisieren, ohne seine Anonymität aufzudecken und diesen auf die Daten im Rahmen der Autorisierung Zugriff gewähren zu können, sowie vorteilhaft dem dazu autorisierten Benutzer das Verändern dieser Daten gewähren zu können.
Nach dem Stand der Technik sind asymmetrisches Kryptosysteme bekannt, bei welchen die verschlüsselte Kommunikation über ein Netzwerk ermöglicht wird, bei der die kommunizierenden Nutzer keinen gemeinsamen geheimen Schlüssel besitzen, mit welchem die Nachricht decodiert werden kann. Diese asymmetrischen Kryptosysteme werden für Private-Public-Key-Verschlüsselungsverfahren, Private-Public-Key-Authentifizierung und zum Erstellen und Validieren digitaler Signaturen verwendet.
Ein Private-Public-Key-Verschlüsselungsverfahren ist ein asymmetrisches Verschlüsselungsverfahren, also ein kryptographisches Verfahren, um mit einem öffentlichen Schlüssel einen Klartext in einen Geheimtext umzuwandeln, aus dem der Klartext mit einem geheimen Schlüssel wieder gewonnen werden kann. Das Private-Public-Key-Verschlüsselungsverfahren wird zur sicheren Kommunikation verwendet, wobei der geheime Schlüssel geheim gehalten werden muss und es mit vertretbarem Aufwand nicht möglich sein darf, ihn aus dem öffentlichen Schlüssel zu berechnen. Der öffentliche Schlüssel muss jedem zugänglich sein, der eine verschlüsselte Nachricht an den Besitzer des geheimen Schlüssels senden will. Dabei wird in der Regel sichergestellt sein z.B. über eine Private-Public-Key-Infrastruktur, dass der öffentliche Schlüssel auch wirklich dem Empfänger zugeordnet ist. Der Empfänger muss also bekannt, bzw. dem öffentlichen Schlüssel zuordenbar sein.
Die Private-Public-Key-Authentifizierung ist eine Authentifizierungsmethode, mit welcher ein Benutzer mit Hilfe eines Schlüsselpaars, bestehend aus privatem und öffentlichem Schlüssel, seine Identität nachweisen kann.
Bei der Public-Key-Authentifizierung ist der öffentliche Schlüssel frei zugänglich und kann z.B. auf dem Server hinterlegt werden. Der private Schlüssel wird geheim gehalten und z.B. nur auf dem eigenen Rechner oder einem geheimen externen Speichermedium (z.B. SmartCard), welches er nie verlassen darf, gespeichert. Die Berechnung des privaten Schlüssels aus dem öffentlichen ist mit vertretbarem Aufwand nicht möglich. Zur Authentifizierung wird auf der Nutzer-Seite mit Hilfe des privaten Schlüssels ein Datum verschlüsselt, welche daraufhin auf der Server-Seite mit dem dort hinterlegten öffentlichen Schlüssel des Nutzers entschlüsselt und verifiziert wird. Der öffentliche Schlüssel muss dabei wiederum dem Nutzer eindeutig zuordenbar sein, der Nutzer ist daher über den öffentlichen Schlüssel identifizierbar.
Eine digitale Signatur, auch digitales Signaturverfahren, ist ein asymmetrisches Kryptosystem, bei dem ein Sender mit Hilfe eines geheimen Signaturschlüssels (dem Private Key) zu einer digitalen Nachricht (d. h. zu beliebigen Daten) einen Wert berechnet und diesen mithilfe des privaten Schlüssels und einem geeigneten Signaturalgorithmus verschlüsselt. Das resultierende Datum wird digitale Signatur genannt. Dieses Datum ermöglicht es jedem, mit Hilfe des öffentlichen Verifikationsschlüssels (dem Public Key) die nicht abstreitbare Urheberschaft und Integrität der Signatur und somit des Zustandes der Nachricht zum Zeitpunkt der Signaturerzeugung zu prüfen. Um eine mit einem Signaturschlüssel erstellte Signatur einer Person zuordnen zu können, muss der zugehörige Verifikationsschlüssel, der öffentliche Schlüssel, dieser Person zweifelsfrei zugeordnet sein.
Nachteilig an den bekannten Verfahren ist, dass diese nicht anonymisiert erfolgen, da die öffentlichen Schüssel den Besitzern der Schlüssel zuordenbar sein müssen.
Aufgabe der Erfindung ist es, das anonymisierte Speichern von Daten in einem Netzwerk zu ermöglichen, wobei nur ein autorisierter Zugriff auf diese Daten, z.B. durch den Besitzer der Daten, möglich sein darf und nichtautorisierte Zugriffe auf die Daten erkannt und die Daten davor geschützt werden können, bzw. der Zugriff und die Zugriffsrechte anderer vom Besitzer einstellbar ist, ohne dass die Daten dem Besitzer von anderen zugeordnet werden können.
Erfindungsgemäß wird vorgeschlagen, dass der Besitzer des Datensatzes den Datensatz mit einem privaten Schlüssel signiert, die Identität des Benutzers jedoch nicht mit dem dazugehörigen öffentlichen Schlüssel zusammen z.B. über eine Private-Publik-Key-Infrastruktur bekanntgemacht wird. Nach Erzeugen der digitalen Signatur wird der Datensatz mit der digitalen Signatur des Datensatzes in einem Datenspeicher anonym abgelegt. Alle Zugriffe auf den Datenspeicher können bei dem vorgeschlagenen Verfahren anonym, z.B. mit Hilfe eines Anonymisierungsdienstes, erfolgen. Der Datenspeicher liefert dem Benutzer nach erfolgreichem Ablegen einen Verweis (Link) auf den Datensatz zurück, welcher von diesem für später Zugriffe auf den Datensatz aufzubewahren ist.
In einer ersten Variante der Erfindung bewahrt der Benutzer zudem die digitale Signatur des Datensatzes auf. Um die Daten wieder abrufen zu können, sendet der Benutzer den Link und die digitale Signatur des Datensatzes an den Datenspeicher. Der Datenspeicher vergleicht die digitalen Signatur des Datensatzes, auf welchen der Link verweist und die übermittelte digitale Signatur. Bei Übereinstimmung autorisiert der Datenspeicher den Zugriff und übermittelt den Datensatz an den Benutzer. Dabei ist der vom Datenspeicher gespeicherte Datensatz nur vom Datenspeicher selbst über den Link auffindbar und nicht direkt durch den Besitzer oder andere Nutzer die im Besitz des Links sind. Außerdem kann der Datenspeicher mithilfe des Datensatzes und der digitalen Signatur die wahre Identität des Erzeugers der Signatur nicht ermitteln, da die Verknüpfung der Identität des Besitzers des öffentliches Schlüssels, mit dessen zugehörigem privaten Schlüssels die digitale Signatur erzeugt wurde, nicht öffentlich hergestellt wird.
Vorteilhaft daran ist, dass die Speicherung und der Zugriff der Daten anonym erfolgt, da der Datenspeicher nicht in der Lage ist, Datensätze einem Benutzer zuzuordnen. Selbst die Zuordnung von Datensätzen zueinander, also die Zuordnung welche Datensätze demselben anonymen Besitzer gehören, ist nicht möglich, da die digitale Signatur jedes Datensatzes unterschiedlich ist und aus der digitalen Signatur der private Schlüssel nicht ermittelbar ist. Zudem besteht die Möglichkeit, dass der Benutzer für jeden Datensatz ein eigenes Schlüsselpaar verwendet.
Um den Datensatz mit anderen Benutzern zu teilen, kann der Besitzer den Link auf den Datensatz und die digitale Signatur des Datensatzes an andere Benutzer weitergeben, sodass diese auch Zugriff auf den Datensatz haben.
Um den Zugriff eines weiteren Nutzers vom Zugriff des Besitzers unterscheiden zu können, ist erfindungsgemäß vorgesehen, dass der private Schlüssel Teil eines asymmetrischen Schlüsselpaares ist, wobei mit dem öffentlichen Schlüssel alle mit dem zugehörigen privaten Schlüssel vorgenommenen digitalen Signaturen validierbar sind.
Um weiteren Nutzern nur lesenden Zugriff auf den Datensatz zu gestatten, ist erfindungsgemäß vorgesehen, dass vom Besitzer zusätzlich zum Datensatz und dessen digitaler Signatur auch der öffentliche Schlüssel an den Datenspeicher übermittelt, wobei der öffentliche Schlüssel vom Datenspeicher unter den Link abgelegt wird, oder bei jeder Änderung des Datensatzes vom Besitzer mitgesendet wird. Jedoch wird auch in diesem Fall die Verknüpfung der Identität des Besitzers des öffentlichen Schlüssels, mit dessen zugehörigem privatem Schlüssel die digitale Signatur erzeugt wurde, nicht öffentlich hergestellt und auch nicht dem Datenspeicher bekanntgegeben. Der Datenspeicher übermittelt in weiterer Folge den Datensatz nach wie vor an alle Nutzer, die im Besitz des Links und der zu dem Datensatz beim Datenspeicher hinterlegten digitalen Signatur sind. Eine Änderung des Datensatzes ist in diesem Fall aber nur dann zulässig, wenn hierzu eine neue digitale Signatur erzeugt wird und die neue digitale Signatur des geänderten Datensatzes vom Datenspeicher mit dem im Datenspeicher gespeicherten öffentlichen Schlüssel validierbar ist, oder der öffentliche Schlüssel vom Besitzer mitgesendet wird und sowohl die gespeicherte digitale Signatur also auch die neue digitale Signatur validierbar sind.
Kommt es zu einer Änderung des Datensatzes bestehen prinzipiell zwei Möglichkeiten um den geänderten Datensatz abzuspeichern, nämlich mit der ursprünglichen digitalen Signatur des Datensatzes oder mit der neuen digitalen Signatur des geänderten Datensatzes.
Wird die digitale Signatur eines Datensatzes durch einen Benutzer geändert, ist dieser durch andere Benutzer, welche im Besitz des Links und der ursprünglichen digitalen Signatur sind, nicht mehr aufrufbar. Zugriff kann in diesem Fall nur auf die alte Version des Datensatzes gewährt werden, falls diese z.B. mithilfe eines Versionierungssystems verfügbar gehalten wird.
Natürlich steht es dem Besitzer, oder dem die Änderung vornehmenden Benutzer z.B. mithilfe eines Versionierungssystems frei, den geänderten Datensatz als eigenen Datensatz, also mit einem eigenen Link und digitaler Signatur zu speichern, sodass der ursprüngliche Datensatz und der geänderte Datensatz parallel bestehen.
Wichtig zu beachten ist, dass das gegenständliche Verfahren nur den Datenzugriff, die Autorisierung des Zugriffes auf die Daten, und somit den Informationsfluss von Daten zwischen Nutzern über den Datenspeicher regelt. Verschafft sich jemand unter Umgehung des Datenspeichers Zugriff zum Speicherort des Datensatzes, kennt diese Person sowohl die Datensätze als auch die digitalen Signaturen.
Eine Datensicherheit kann erreicht werden, wenn der Datensatz zusätzlich durch den Besitzer verschlüsselt wird. Um den Datenzugriff durch einen anderen Benutzer zu ermöglichen, müssen diese in weiterer Folge auch im Besitz des Schlüssels sein, welcher dem Datenspeicher nicht bekannt ist.
Eine weitere Möglichkeit ist, dass der Datensatz durch den Datenspeicher beim Ablegen verschlüsselt wird und bei Übermittlung wieder entschlüsselt wird. Die Verschlüsselung kann mit einem beliebigen, vom hier vorgeschlagenen Autorisierungsmechanismus unabhängigen Verschlüsselungsverfahren erfolgen.
Die Erfindung und die beispielhafte erfindungsgemäßen Varianten bzw. Erweiterungen werden an Hand von Zeichnungen veranschaulicht:
1: Zeigt schematisch das erfindungsgemäße Verfahren zum Speichern eines Datensatzes.
2: Zeigt schematisch eine bevorzugte Variante des erfindungsgemäßen Verfahrens zum Zugriff auf einen Datensatz.
3: Zeigt schematisch eine bevorzugte Variante des erfindungsgemäßen Verfahrens zum Ändern eines Datensatzes.
4: Zeigt schematisch das erfindungsgemäße Verfahren zum Speichern eines Datensatzes mit unterschiedlichen Zugriffsrechten.
5: Zeigt schematisch das erfindungsgemäße Verfahren zum Zugriff auf einen Datensatz mit unterschiedlichen Zugriffsrechten.
6: Zeigt schematisch eine erste Variante des erfindungsgemäßen Verfahrens zum Ändern eines Datensatzes mit unterschiedlichen Zugriffsrechten.
7: Zeigt schematisch eine zweite Variante des erfindungsgemäßen Verfahrens zum Ändern eines Datensatzes mit unterschiedlichen Zugriffsrechten.
8: Zeigt schematisch eine dritte Variante des erfindungsgemäßen Verfahrens zum Ändern eines Datensatzes mit unterschiedlichen Zugriffsrechten und einer Versionierung des Datensatzes.
9: Zeigt schematisch den Aufbau eines Systems zur Umsetzung des erfindungsgemäßen Verfahrens.
10: Zeigt schematisch eine zweite bevorzugte Variante des erfindungsgemäßen Verfahrens zum Zugriff auf einen Datensatz.
11: Zeigt schematisch eine vierte bevorzugte Variante des erfindungsgemäßen Verfahrens zum Ändern eines Datensatzes.
In den 1, 2 und 3 wird das Grundprinzip der gegenständlichen Erfindung veranschaulicht. In 1 ist das Verfahren zum anonymen Speichern eines Datensatzes 3 gezeigt.

– Der Besitzer 2 des Datensatzes 3 signiert den Datensatz 3 im ersten Schritt mit seinem privaten Schlüssel und erhält so die digitale Signatur 4 des Datensatzes 3.
– Im zweiten Schritt sendet der Besitzer 2 den Datensatz 3 und die digitale Signatur 4 an den Datenspeicher 1.
– Im dritten Schritt speichert der Datenspeicher 1 den Datensatz 3 und die digitale Signatur 4 an einem Speicherort 1.1.
– Im vierten Schritt wird die Adresse, welche der Datenspeicher 1 benötigt um den Datensatz 3 und dessen digitale Signatur 4 am jeweiligen Speicherort 1.1 aufzufinden, in Form des Links 5 vom Datenspeicher 1 an den Besitzer 2 gesandt.
– Im fünften Schritt speichert der Besitzer 2 den Link 5 und die digitale Signatur 4 an einem von ihm bestimmten lokalen Speicherort 2.1.

In 2 ist das Verfahren zum Aufrufen eines Datensatzes 3 durch den Besitzer 2 gezeigt.

– Im ersten Schritt lädt der Besitzer die digitale Signatur 4 und den Link 5 vom lokalen Speicherort 2.1 und übermittelt diese an den Datenspeicher 1.
– Im zweiten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– Wenn ja sendet der Datenspeicher 1 im dritten Schritt den Datensatz 3 an den Besitzer 2, wenn nein wird der Zugriff verweigert.

In 3 ist das Verfahren zum Ändern eines Datensatzes 3 gezeigt, bei welchem anstelle des bestehenden Datensatzes 3 ein neuer oder geänderter Datensatz 3.1 gespeichert wird.

– Im ersten Schritt erstellt der Besitzer 2 den neuen Datensatz 3.1 und signiert diesen mit seinem privaten Schlüssel um die neue digitale Signatur 4.1 des neuen Datensatzes 3.1 zu erhalten.
– Im zweiten Schritt lädt der Besitzer die digitale Signatur 4 und den Link 5 vom Speicherort 2.1 und übermittelt diese an den Datenspeicher 1 zusammen mit der neuen digitalen Signatur 4.1 und dem neuen Datensatz 3.1.
– Im dritten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht, ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– Wenn ja, ersetzt der Datenspeicher 1 im vierten Schritt den unter dem Link 5 gespeicherten Datensatz 3 und dessen digitale Signatur 4 durch den neuen Datensatz 3.1 und dessen neue digitale Signatur 4.1. Wenn nein, wird das Ersetzen des Datensatzes 3 verweigert.

Bevorzugt muss der Besitzer 2 die von ihm vorzunehmenden beschriebenen Schritte nicht manuell vornehmen, sondern wird dabei von einer Software (Anwendung, Application oder App) unterstützt. Bevorzugt kann insbesondere das Laden und Speichern von Daten vom bzw. am Speicherort 2.1, das Signieren der Datensätze 3 und das Senden und Empfangen von Daten an und vom Datenspeicher 1 durch die Software automatisiert erfolgen. Es ist auch denkbar, dass der Besitzer 2 zur Gänze eine automatisierte Anwendung ist, welche ihre Datensätze 3 nach dem erfindungsgemäßen Verfahren mit Hilfe des Datenspeicher 1 speichern, abrufen und ändern kann.
Die 4, 5 und 6 zeigen das erfindungsgemäße Verfahren, welches um eine beispielhafte Möglichkeit zur Definition von unterschiedlichen Zugriffsrechten erweitert ist, um den kontrollierten Zugriff von mehreren Nutzern zu ermöglichen. Dabei wird zusätzlich zur digitalen Signatur 4 der zum privaten Schlüssel des Besitzers 2 gehörende öffentlicher Schlüssel 6 im Datenspeicher 1 abgelegt. Der öffentliche Schlüssel 6 ist im Sinne eines asymmetrischen Verschlüsselungsverfahrens dazu in der Lage die digitalen Signaturen des privaten Schlüssels zu validieren. Öffentlich bedeutet in diesem Zusammenhang nicht, dass die Identität des Besitzers 2 anhand des öffentliche Schlüssel 6 ermittelt werden kann.
4 zeigt das Verfahren zum anonymen Speichern eines Datensatzes 3 mit dessen digitalen Signatur 4 und dem öffentlichen Schlüssel 6.

– Der Besitzer 2 des Datensatzes 3 signiert den Datensatz 3 im ersten Schritt mit seinem privaten Schlüssel und erhält so die digitale Signatur 4 des Datensatzes 3.
– Im zweiten Schritt wird dem Datensatz 3 der öffentliche Schlüssel 6 des Besitzes 2 hinzugefügt und der Datensatz 3, die digitale Signatur 4 und der öffentliche Schlüssel 6 an den Datenspeicher 1 gesendet.
– Im dritten Schritt speichert der Datenspeicher 1 das Datenpaket aus Datensatz 3, dessen digitaler Signatur 4 und dem öffentlichen Schlüssel 6 an einem Speicherort 1.1.
– Im vierten Schritt wird die Adresse, welche der Datenspeicher 1 benötigt um das Datenpaket am jeweiligen Speicherort 1.1 aufzufinden, in Form des Links 5 vom Datenspeicher 1 an den Besitzer 2 gesandt.
– Im fünften Schritt speichert der Besitzer 2 den Link 5 und die digitale Signatur 4 an einem von ihm bestimmten lokalen Speicherort 2.1.
– Im sechsten Schritt wird der Link 5 und die digitale Signatur 4 je nach Implementierung entweder vom Besitzer 2 oder dem Datenspeicher 1 an einen oder mehrere Benutzer 22 übermittelt.

In 5 ist das Verfahren zum Aufrufen eines Datensatzes 3 durch den Besitzer 2 oder einen weiteren Benutzer 22 gezeigt.

– Im ersten Schritt übermittelt der Besitzer 2 oder der Benutzer 22 die digitale Signatur 4 und den Link 5 an den Datenspeicher 1.
– Im zweiten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– Wenn ja sendet der Datenspeicher 1 im dritten Schritt den Datensatz 3 an den Besitzer 2 oder Benutzer 22, wenn nein wird der Zugriff verweigert.

In 6 ist eine erste Variante des Verfahrens zum Ändern eines Datensatzes 3 gezeigt, bei welchem anstelle des bestehenden Datensatzes 3 ein neuer oder geänderter Datensatz 3.1 gespeichert wird und der Zugriff eines Benutzers 22 auf den geänderten Datensatz 3.1.

– Im ersten Schritt erstellt der Besitzer 2 den neuen Datensatz 3.1 und signiert diesen mit seinem privaten Schlüssel um die neue digitale Signatur 4.1 des neuen Datensatzes 3.1 zu erhalten.
– Im zweiten Schritt lädt der Besitzer den Link 5 und optional die digitale Signatur 4 vom Speicherort 2.1 und übermittelt diese an den Datenspeicher 1 zusammen mit der neue digitalen Signatur 4.1 und dem neuen Datensatz 3.1.
– Im optionalen dritten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– Im vierten Schritt validiert der Datenspeicher 1 die neue digitale Signatur 4.1 des neuen Datensatzes 3.1 mit dem vom Datenspeicher 1 gespeicherten öffentlichen Schlüssel 6. Falls Schritt drei ausgeführt wurde, wird Schritt vier nur dann ausgeführt wenn die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt, sonst wird die Änderung verweigert.
– Wenn die Validierung erfolgreich ist, ersetzt der Datenspeicher 1 im fünften Schritt den unter dem Link 5 gespeicherten Datensatz 3 und dessen digitale Signatur 4 durch den neuen Datensatz 3.1 und dessen neue digitale Signatur 4.1. Wenn nein, wird das Ersetzen des Datensatzes 3 verweigert.
– Im sechsten Schritt übermittelt der Benutzer 22 die ihm bekannte digitale Signatur 4 und den Link 5 an den Datenspeicher 1.
– Im siebten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4.1 übereinstimmt.
– Da die Überprüfung fehl schlägt, wird der Zugriff durch den Benutzer 22 verweigert.

Der Benutzer 22 hat erst wieder Zugriff auf den Datensatz 3.1, wenn er die neue digitale Signatur 4.1 je nach Implementierung vom Besitzer 2 oder dem Datenspeicher 1 erhält. Der Besitzer 2 ersetzt die am Speicherort 2.1 zum Link 5 gespeicherte digitale Signatur 4 durch die neue digitale Signatur 1.
In 7 ist eine zweite Variante des Verfahrens zum Ändern eines Datensatzes 3 gezeigt, bei welchem anstelle des bestehenden Datensatzes 3 ein neuer oder geänderter Datensatz 3.1 gespeichert wird und der Zugriff eines Benutzers 22 auf den geänderten Datensatz 3.1 erfolgt.

– Im ersten Schritt erstellt der Besitzer 2 den neuen Datensatz 3.1 und signiert diesen mit seinem privaten Schlüssel um die neue digitale Signatur 4.1 des neuen Datensatzes 3.1 zu erhalten.
– Im zweiten Schritt lädt der Besitzer den Link 5 und optional die digitale Signatur 4 vom Speicherort 2.1 und übermittelt diese an den Datenspeicher 1 zusammen mit der neue digitalen Signatur 4.1 und dem neuen Datensatz 3.1.
– Im optionalen dritten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– im vierten Schritt validiert der Datenspeicher 1 die neue digitale Signatur 4.1 des neuen Datensatzes 3.1 mit dem vom Datenspeicher 1 gespeicherten öffentlichen Schlüssel 6. Falls Schritt drei ausgeführt wurde, wird Schritt vier nur dann ausgeführt wenn die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt, sonst wird die Änderung verweigert.
– Wenn die Validierung erfolgreich ist, ersetzt der Datenspeicher 1 im fünften Schritt den unter dem Link 5 gespeicherten Datensatz 3 durch den neuen Datensatz 3.1, nicht jedoch dessen digitale Signatur 4.
– Im sechsten Schritt übermittelt der Benutzer 22 die ihm bekannte digitale Signatur 4 und den Link 5 an den Datenspeicher 1.
– Im siebten Schritt ruft der Datenspeicher 1 die unter dem Link 5 gespeicherten Daten auf und vergleicht ob die übermittelte digitale Signatur 4 mit der gespeicherten digitalen Signatur 4 übereinstimmt.
– Da die Überprüfung erfolgreich ist, übermittelt der Datenspeicher 1 den neuen Datensatz 3.1 an den Benutzer 22.

Bei dieser Variante ist die im Datenspeicher 1 gespeicherte digitale Signatur 4 für den neuen Datensatz 3.1 zwar nicht mehr valide, dies hat jedoch keine Auswirkung auf das erfindungsgemäße Zugriffsverfahren, da die Validität der im Datenspeicher 1 gespeicherten Signatur 4 für den im Datenspeicher 1 gespeicherten Datensatz 3, 3.1 nicht gegeben sein muss.
In 8 ist eine alternative Variante des erfindungsgemäßen Verfahrens gezeigt, bei welchem eine Versionierung des Datensatzes erfolgt. Bei dieser Variante wird der ursprünglich Datensatz (3) nicht durch den neuen Datensatz (3.1) ersetzt, sondern beide bzw. beliebig viele Datensätze (3, 3.1) beziehungsweise beliebig viele Versionen des Datensatzes (3) werden unter dem Link (5) vom Datenspeicher (1) gespeichert, wobei jeder Datensatz (3, 3.1) beziehungsweise jede Versionen des Datensatzes (3) eine eigene eindeutige digitale Signatur (4, 4.1) besitzt. Der Besitzer 2 bzw. ein Benutzer 22 erhält in Folge jenen Datensatz (3, 3.1) dessen digitale Signatur (4, 4.1) er mit dem Link (5) an den Datenspeicher (1) übermittelt.
In 9 ist ein beispielhaftes Computersystem zur Umsetzung der Erfindung gezeigt. Der Besitzer 2 beziehungsweise Benutzer 22 verfügen über ein Endgerät 12, welches in der Lage ist eine Verschlüsselung von Daten durchzuführen, also zumindest eine Recheneinheit und einen Speicher aufweist. Das Endgerät 12 ist beispielsweise ein Computer, Laptop oder Mobiltelefon.
Der Datenspeicher 1 verfügt über eine Anwendung, welche von einer Recheneinheit insbesondere der eines Servers 11 ausgeführt wird. Die Endgeräte 12 sind über ein drahtgebundenes oder drahtloses Netzwerk, insbesondere das Internet mit dem Server 11 in Datenverbindung, bzw. können eine solche bei Bedarf herstellen.
Der Server 11 verfügt entweder über einen eigenen Speicher 11.1 zum Beispiel in Form von Festplatten in dem die Daten des Datenspeichers 1 abgelegt werden. Alternativ oder zusätzlich ist der Server 11 über ein Netzwerk in Datenverbindung mit zumindest einem externen Speicher 13, oder kann eine solche Datenverbindung bei Bedarf herstellen. Der externe Speicher 13 kann der Speicher eines weiteren Servers, eines Endgeräts oder auch die Cloud sein.
Beispielsweise kann der externe Speicher 13 auch der Speicher des Endgeräts 12 des Besitzers 2 sein. Vorteilhaft daran ist, dass der Datensatz 3 tatsächlich am Speicherort 2.1 des Besitzers verbleibt, wobei der Zugriff über den Datenspeicher 1 erfolgt. So können Benutzer 22 über den Datenspeicher 1 auf den Datensatz 3 zugreifen, ohne dass sie eine direkte Datenverbindung zum Endgerät 12 des Besitzers 2 haben. Der Besitzer 2 hat so unabhängig vom Datenspeicher 1 Kontrolle über seinen Datensatz 3 und kann beispielsweise die vom Datenspeicher 1 auf seinem Speicherort 2.1 gespeicherten Daten (Datensatz 3, digitale Signatur 4) jederzeit löschen, oder verschieben, sodass sie über den Link 5 nicht mehr auffindbar sind.
In 10 ist ein alternatives Zugriffsverfahren auf den gespeicherten Datensatz 3 gezeigt, bei welchem der private Schlüssel 6 Teil eines asymmetrischen Schlüsselpaars ist, also einen ihm eindeutig zuordenbaren öffentliche Schlüssel 6 aufweist. Übermittelt eine beliebige Datenverarbeitungsanlage, beispielsweise jene des Besitzers 2 oder eines Benutzers 22 einen Verweis (Link 5) und einen öffentlichen Schlüssel 6 an die zweite Datenverarbeitungsanlage, welche den Datenspeicher 1 betreibt, überprüft die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur 4 mit dem übermittelten öffentlichen Schlüssel 6 und die zweite Datenverarbeitungsanlage übermittelt den am Ziel des Verweises gespeicherten Datensatz 3 an die beliebige Datenverarbeitungsanlage, wenn die Überprüfung ergibt, dass der Datensatz 3 mit dem privaten Schlüssel des asymmetrischen Schlüsselpaars signiert wurde. Somit hat jeder Zugriff auf den Datensatz 3, der im Besitz des Verweises (Links 5) ist und den öffentlichen Schlüssel 6 des Schlüsselpaares besitzt.
In 11 ist das Änderungsverfahren zum alternativen Zugriffsverfahren auf den gespeicherten Datensatz 3 gezeigt, bei welchem der private Schlüssel Teil eines asymmetrischen Schlüsselpaars ist, also einen ihm eindeutig zuordenbaren öffentliche Schlüssel aufweist. Die beliebige Datenverarbeitungsanlage (beispielsweise jene des Besitzers 2) übermittelt dabei zusätzlich zum Verweis (Link 5) den öffentlichen Schlüssel 6, einen geänderten Datensatz 3.1 und dessen neue digitale Signatur 4.1 an die zweite Datenverarbeitungsanlage. Die zweite Datenverarbeitungsanlage überprüft die am Ziel des Verweises gespeicherte digitale Signatur 4 und die neue digitale Signatur 4.1 mit dem übermittelten öffentlichen Schlüssel 6 und ersetzt den am Ziel des Verweises gespeicherten Datensatz 3 und dessen gespeicherte digitale Signatur 4 durch den geänderten Datensatz 3.1 und dessen neue digitale Signatur 4.1, wenn die Überprüfung ergibt, dass der Datensatz 3 und der Datensatz 3.1 mit dem privaten Schlüssel des asymmetrischen Schlüsselpaars signiert wurden. Der Zugriff gemäß des alternativen Zugriffsverfahren der 11 ist weiter möglich, da die Überprüfung der neuen digitalen Signatur 4.1 zum geänderten Datensatz 3.1 mit dem öffentlichen Schlüssel 6 auch weiterhin erfolgreich ist. Vorteilhaft ist, dass man mit dem Besitz des öffentlichen Schlüssels 6 Zugriff auf alle Datensätze 3 und geänderten Datensätze 3.1 hat, die mit dem zugehörigen privaten Schlüssel signiert wurden und deren Link 5 man besitzt. Einen gewissen Nachteil hat dieses Verfahren in Bezug auf die Anonymisierung, wenn der öffentliche Schlüssel einer Person zuordenbar ist, jedoch wir das Teilen von Datensätzen 3 mit anderen vereinfacht. Nachteilig ist zudem, dass die Zugriffsberechtigung durch andere Benutzer 22, welche im Besitz des öffentlichen Schlüssels 6 und des Links 5 sind, nicht ohne zusätzliche Maßnahmen wieder verweigert werden kann.
Das in 11 gezeigte Änderungs-Verfahren kann beispielsweise auch mit dem Zugriffsverfahren der 2 kombiniert werden, sodass der Datensatz 3 nur übermittelt wird, wenn der Link 5 und die aktuell zum Datensatz gespeicherte digitale Signatur an den Datenspeicher 1 gesendet werden und eine Änderung des Datensatzes 3 nach dem Verfahren der 11 erfolgt.
Bei einer weiteren Variante der gegenständlichen Erfindung ist es vorgesehen, dass der Datenspeicher 1 den Datensatz 3 und dessen digitale Signatur 4 unter einem Link 5 am Speicherort 1.1 ablegt und jedem den Datensatz 3 übermittelt der den Link 5 an den Datenspeicher 1 übermittelt. Eine Änderung des Datensatzes 3 ist jedoch nur möglich, wenn ein Zugriff durch den Besitzer 2 erfolgt, beispielsweise gemäß 3 die digitale Signatur 4 mitgesendet wird oder wenn gemäß 11 ein neuer Datensatz 3.1, dessen digitale Signatur 4.1 und der öffentliche Schlüssel 6 mitgesendet werden.
Bei einer weiteren Variante ist vorgesehen, dass das Ablegen eines Datensatzes 3 und der Änderungs-Zugriff des Besitzers 2 wie bereits beschrieben erfolgt, jedoch die Übermittlung des Datensatzes 3 an weitere Benutzer 22 durch andere Kriterien erfolgt. Vorteilhaft können dazu unter dem Link 5 zum Datensatz 3 zusätzlich die öffentlichen Schlüssel einer beliebigen Anzahl an Benutzern 22 gespeichert werden. Der Datensatz 3 wird dabei an jeden übermittelt, der den Link 5 und seinen öffentlichen Schlüssel übermittelt, solange dieser öffentliche Schlüssel mit dem Datensatz 3 abgelegt ist. Eine Änderung des Datensatzes 3 ist je nach Implementierung nur dann möglich, wenn gemäß 3 die digitale Signatur 4 mitgesendet wird oder wenn gemäß 11 ein neuer Datensatz 3.1, dessen digitale Signatur 4.1 und der öffentliche Schlüssel 6 mitgesendet werden, wobei die gespeicherte digitale Signatur 4 und die digitale Signatur 4.1 mit dem zum öffentlichen Schlüssel 6 zugehörigen privaten Schlüssel erstellt wurden.

Claims

Verfahren zum anonymisierten Speichern von digitalen Daten, in Form eines Datensatzes (3), dadurch gekennzeichnet, dass der Datensatz (3) durch eine erste Datenverarbeitungsanlage mit einem geheimen Schlüssel signiert wird, um eine digitale Signatur (4) des Datensatzes (3) zu erstellen, die erste Datenverarbeitungsanlage den Datensatz (3) mit dessen digitalen Signatur (4) an eine zweite Datenverarbeitungsanlage überträgt, welche den Datensatz (3) und dessen digitale Signatur (4) an einem beliebigen Speicherort speichert, die zweite Datenverarbeitungsanlage einen Verweis, über welchen die zweite Datenverarbeitungsanlage den Datensatz (3) mit der digitalen Signatur (4) wieder auffinden kann, an die erste Datenverarbeitungsanlage sendet.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass eine beliebige Datenverarbeitungsanlage einen Verweis und eine digitale Signatur (4) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur (4) mit der übermittelten digitalen Signatur (4) vergleicht, und die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) an die beliebige Datenverarbeitungsanlage übermittelt, wenn die beiden digitalen Signaturen (4) ident sind.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass eine beliebige Datenverarbeitungsanlage einen Verweis, eine digitale Signatur (4) und einen geänderten Datensatz (3.1) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur (4) und mit der übermittelten digitalen Signatur (4) vergleicht, die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) durch den geänderten Datensatz (3.1) ersetzt, wenn die beiden digitalen Signaturen (4) ident sind.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die beliebige Datenverarbeitungsanlage zudem die neue digitale Signatur (4.1) des geänderten Datensatzes (3.1) an die zweite Datenverarbeitungsanlage sendet und die zweite Datenverarbeitungsanlage die gespeicherte digitale Signatur (4) durch die neue digitale Signatur (4.1) ersetzt, wenn die beiden digitalen Signaturen (4) ident sind.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der geheime Schlüssel der private Schlüssel eines asymmetrischen Schlüsselpaars ist, die erste Datenverarbeitungsanlage zusätzlich zum Datensatz (3) und dessen digitaler Signatur (4) auch den öffentlichen Schlüssel (6) an die zweite Datenverarbeitungsanlage übermittelt, und die zweite Datenverarbeitungsanlage auch den öffentlichen Schlüssel (6) unter dem Verweis an einem beliebigen Speicherort speichert.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass eine beliebige Datenverarbeitungsanlage den Verweis und die digitale Signatur (4) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur (4) mit der übermittelten digitalen Signatur (4) vergleicht und die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) an die beliebige Datenverarbeitungsanlage übermittelt, wenn die beiden digitalen Signaturen (4) ident sind.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass eine beliebige Datenverarbeitungsanlage einen Verweis, einen geänderten Datensatz (3.1) und die neue digitale Signatur (4.1) des geänderten Datensatzes (3.1) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage mithilfe des am Ziel des Verweises gespeicherten öffentlichen Schlüssels (6) überprüft, ob die neue digitale Signatur (4.1) des geänderten Datensatz (3.1) mit dem privaten Schlüssel erstellt wurde, die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) durch den geänderten Datensatz (3.1) ersetzt, wenn die Überprüfung erfolgreich ist. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die zweite Datenverarbeitungsanlage auch die gespeicherte digitale Signatur (4) durch die neue digitale Signatur (4.1) ersetzt, wenn die Überprüfung erfolgreich ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der geheime Schlüssel der private Schlüssel eines asymmetrischen Schlüsselpaars ist, eine beliebige Datenverarbeitungsanlage einen Verweis und einen öffentlichen Schlüssel (6) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur (4) mit dem übermittelten öffentlichen Schlüssel (6) überprüft und die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) an die beliebige Datenverarbeitungsanlage übermittelt, wenn die Überprüfung ergibt, dass der Datensatz (3) mit dem privaten Schlüssel des asymmetrischen Schlüsselpaars signiert wurde.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass die beliebige Datenverarbeitungsanlage zusätzlich einen geänderten Datensatz (3.1) und dessen neue digitale Signatur (4.1) an die zweite Datenverarbeitungsanlage übermittelt, die zweite Datenverarbeitungsanlage die am Ziel des Verweises gespeicherte digitale Signatur (4) und die neue digitale Signatur (4.1) mit dem übermittelten öffentlichen Schlüssel (6) überprüft und die zweite Datenverarbeitungsanlage den am Ziel des Verweises gespeicherten Datensatz (3) und dessen gespeicherte digitale Signatur (4) durch den geänderten Datensatz (3.1) und dessen neue digitale Signatur (4.1) ersetzt, wenn die Überprüfung ergibt, dass der Datensatz (3) und der Datensatz (3.1) mit dem privaten Schlüssel des asymmetrischen Schlüsselpaars signiert wurden.