DE10251408A1

DE10251408A1 - Sicherer und vermittelter Zugriff für E-Dienste

Info

Publication number: DE10251408A1
Application number: DE10251408A
Authority: DE
Inventors: Garth F Schmeling; Travis W Loyd
Original assignee: Hewlett Packard Co
Current assignee: Hewlett Packard Development Co LP
Priority date: 2001-11-05
Filing date: 2002-11-05
Publication date: 2003-05-15
Also published as: GB2382011A; US20120089495A1; GB2382011B; US20030088429A1; US8112328B2; GB0225169D0

Abstract

Es wird ein System zum Bereitstellen eines sicheren Zugriffs für einen Benutzer auf netzzugängliche Dienste offenbart. Das System weist einen Client-Softwareagenten auf, um eine Diensteanforderung zu erstellen, die durch einen Benutzer bestimmt wird. Es ist ein Dienste-Softwareagent enthalten, und der Dienste-Softwareagent befindet sich in elektronischer Kommunikation mit dem Client-Softwareagenten, um die Diensteanforderung zu empfangen und auszuführen. Ein Erlaubnisse-Softwareagent weist eine Auflistung von Benutzererlaubnissen für die netzzugänglichen Dienste auf. Der Erlaubnisse-Softwareagent befindet sich in Kommunikation mit dem Dienste-Softwareagenten, und der Dienste-Softwareagent fordert Benutzererlaubnisse von dem Erlaubnisse-Softwareagenten an, um eine Aktivierung der durch den Benutzer ausgewählten netzzugänglichen Dienste freizugeben.

Description

Die vorliegende Erfindung bezieht sich allgemein auf einen sicheren und ungestörten Zugriff auf elektronische Dienste. Spezieller bezieht sich die vorliegende Erfindung auf ein Bereitstellen von elektronischen Diensten mit sicheren Anforderungen, einer sicheren Verifizierung und einer sicheren Fakturierung bezüglich elektronischer Dienste.
In der aufstrebenden Welt des Internet, von virtuellen Privatnetzen (VPNs - virtual private networks) und des Zugriffs auf E-Dienste über ein Netz besteht ein Bedarf an einem sicheren und authentifizierbaren Zugriff auf diese Dienste. In der letzten Zeit wurde es immer üblicher, Peripheriegeräte mit netzzugänglichen Diensten an ein TCP/IP- Netz anzuschließen oder ein einen Dienst leistendes Gerät an das Internet anzuschließen. Ein Beispiel hierfür ist ein über TCP/IP aktivierbarer Kopierer oder Drucker.
In einem großen Unternehmen oder einer großen Arbeitsgruppe gibt es derzeit keine Autorisierungsprüfung, um sicher zu sein, daß Benutzer Zugriffsrechte auf elektronische Dienste haben, die an das Netz angeschlossen sind. Ferner gibt es keine Autorisierungsprüfung, um sicher zu sein, daß Benutzer in bezug auf einen Zugriff auf E-Dienste, beispielsweise Drucker, auch wirklich die sind, die sie zu sein vorgeben.
Es ist ferner wichtig, daß die Anforderungen bezüglich E-Dienst-Transaktionen eine vertrauliche Behandlung oder Geheimhaltung von E-Dienst-Daten bereitstellen. Derzeit stellen E-Dienst-Anforderungen beim Zugreifen auf die angeforderten Dienste keine vertrauliche oder geheime Schnittstelle bereit. Wer E-Dienst-Systeme hintergehen möchte, kann sich ferner als ein echter Benutzer ausgeben und auf die E-Dienste zugreifen.
Sichere Transaktionsanforderungen müssen auch beim Anfordern von E-Diensten verfügbar sein. Viele Netze sichern ihre E-Dienste nicht, und die Transaktionsanforderungen können abgefangen oder sogar modifiziert werden. Hacker können das Internet nutzen, um sich in private Netze einzuschleusen und die E-Dienste auf illegale Weise zu nutzen. Böswillige Personen können ferner die für diese E-Dienste bestimmten Informationen abfangen und nutzen. Dies gilt für Kreditkarteninformationen, sensible Dokumente oder andere Arten von Informationen, die an netzzugängliche Dienste gesendet werden.
Es ist die Aufgabe der vorliegenden Erfindung, ein System und Verfahren zu schaffen, mit denen ein Zugriff auf E- Dienste sicherer wird.
Diese Aufgabe wird durch ein System gemäß Anspruch 1 sowie durch Verfahren gemäß den Ansprüchen 5, 8 oder 10 gelöst.
Die Erfindung liefert ein System für einen sicheren Benutzerzugriff auf netzzugängliche Dienste über ein Netz. Das System weist einen Client-Softwareagenten auf, um eine Diensteanforderung, die durch einen Benutzer definiert wird, zu erstellen. Ein Dienste-Softwareagent ist enthalten, und der Dienste-Softwareagent befindet sich in elektronischer Kommunikation mit dem Client-Softwareagenten, um die Diensteanforderung zu empfangen und auszuführen. Ein Erlaubnisse-Softwareagent weist eine Auflistung von Benutzererlaubnissen für die netzzugänglichen Dienste auf. Der Erlaubnis-Softwareagent befindet sich in Kommunikation mit dem Dienste-Softwareagenten, und der Dienste-Softwareagent fordert von dem Erlaubnisse-Diensteagenten bzw. Erlaubnisse-Softwareagenten Erlaubnisse an, um die durch den Benutzer definierten netzzugänglichen Dienste zu aktivieren.
Die Erfindung schafft ferner ein Verfahren zum Bereitstellen eines sicheren Benutzerzugriffs auf netzzugängliche Dienste über ein Netz. Ein erster Schritt besteht darin, eine Diensteanforderung zu erstellen, wie sie durch einen Benutzer durch einen Client-Softwareagenten definiert ist. Als nächstes kommt ein Empfangen der Diensteanforderung an einem Dienste-Softwareagenten. Ein weiterer Schritt besteht darin, eine Benutzerlaubnisse-Auflistung für netzzugängliche Dienste von einem Erlaubnisse-Softwareagenten wiederzuerlangen. Ein weiterer Schritt besteht darin, die Ausführung der netzzugänglichen Dienste auf der Basis der Benutzererlaubnisse-Auflistung, die von dem Erlaubnisse- Softwareagenten empfangen wird, zu ermöglichen.
Gemäß einem anderen Aspekt der vorliegenden Erfindung ist ein Verfahren zum Bereitstellen einer sicheren Fakturierung von netzzugänglichen Diensten, die einem Benutzer über ein Netz bereitgestellt werden, enthalten. Ein erster Schritt kann darin bestehen, eine Fakturierungsanforderung von einem Dienste-Softwareagenten zu erstellen, nachdem netzzugängliche Dienste über den Dienste-Softwareagenten abgeschlossen wurden. Ein nächster Schritt besteht darin, die Fakturierungsanforderung an einen Erlaubnisse- Softwareagenten zu senden. Ein weiterer Schritt besteht darin, unter Verwendung des Erlaubnisse-Softwareagenten eine Fakturierungsantwort, die die Fakturierungskontonummer des Benutzers umfaßt, zu erstellen. Ein folgender Schritt besteht darin, die Fakturierungsantwort an den Fakturierungssoftwareagenten zu übermitteln.
Bevorzugte Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend Bezug nehmend auf die beiliegenden Zeichnungen näher erläutert. Es zeigen:
Fig. 1 ein Blockdiagramm, das die Beziehung zwischen mehreren Komponenten in dem sicheren E-Dienste- System und -Verfahren zeigt;
Fig. 2A ein Flußdiagramm, das ein Verfahren für einen sicheren Zugriff auf eine Liste von autorisierten Diensten zeigt;
Fig. 2B eine Fortsetzung des Flußdiagramms in Fig. 2A;
Fig. 2C eine Fortsetzung der Flußdiagramme in Fig. 2A-B, die zeigt, daß ein Benutzer einen sicheren Zugriff auf eine Liste von autorisierten Diensten empfangen hat;
Fig. 3A ein Flußdiagramm, das den Beginn einer sicheren Transaktion mit einem ausgewählten Dienst zeigt;
Fig. 3B eine Fortsetzung des Flußdiagramms in Fig. 3A, die zeigt, wann ein Benutzer eine sichere Transaktion mit dem ausgewählten Dienst empfangen hat;
Fig. 4A ein Flußdiagramm, das die Wiedererlangung von autorisierten Diensten eines Benutzers von einem Erlaubnisse-Softwareagenten veranschaulicht;
Fig. 4B eine Fortsetzung des Flußdiagramms in Fig. 4A;
Fig. 4C eine Fortsetzung des Flußdiagramms in Fig. 4A-B, das veranschaulicht, wann die autorisierten Dienste des Benutzers wiedererlangt wurden;
Fig. 5A ein Flußdiagramm, das den Beginn der sicheren Bestätigung und Protokollierung einer Transaktion zeigt;
Fig. 5B eine Fortsetzung des Flußdiagramms in Fig. 5A, die veranschaulicht, daß der Benutzer eine sichere Bestätigung und Protokollierung einer Transaktion empfangen hat;
Fig. 6A ein Flußdiagramm, das den Beginn einer sicheren Fakturierung einer Transaktion veranschaulicht;
Fig. 6B eine Fortsetzung des Flußdiagramms in Fig. 6A;
Fig. 6C eine Fortsetzung der Flußdiagramme in Fig. 6A und 6B; und
Fig. 6D eine Fortsetzung der Fig. 6A-C, die zeigt, daß ein Benutzer eine sichere Fakturierung einer Transaktion empfangen hat.
Man hat erkannt, daß es vorteilhaft wäre, ein System und Verfahren zu entwickeln, die es Benutzern ermöglichen, über ein Netz auf E-Dienste zuzugreifen, die eine Authentifizierung für Benutzer bereitstellen und eine Geheimhaltung bezüglich einer Transaktion und ihrer Daten bereitstellen. Ein solches System kann ferner eine Sicherheit ermöglichen, zu garantieren, daß die Transaktion und die Daten beim Durchgang bzw. Transit nicht modifiziert wurden, und zu garantieren, daß die Transaktion nicht zurückgewiesen werden kann. Ferner kann eine sichere Fakturierung für die Nutzung des Dienstes geliefert werden.
Dieses System und Verfahren liefern einen sicheren, vermittelten Zugriff auf E-Dienste wie beispielsweise Ferndruckdienste, Kommunikationsdienste, Anzeigedienste oder andere Dienste, die durch eine Website bereitgestellt werden. Im einzelnen kann ein Drucker, Kopierer, Plotter, Fernsprachdienst oder Faxserver vorliegen, der an ein Netz in einem großen Bürogebäude eines Unternehmens angeschlossen ist. Beispielsweise können Benutzer von verschiedenen Unternehmen, Organisationen und Unterorganisationen in dem Gebäude das System nutzen, um an einem Hochgeschwindigkeits- Farblaserkopierer/-drucker zu drucken, und anschließend für dieses Drucken eine separate Rechnung zu erhalten. Dies ermöglicht es den Organisationen, die Kosten eines qualitativ hochwertigen Druckens gemeinsam zu tragen, die Kosten jedoch auf mehrere Organisationen aufzuteilen.
Da der Drucker über ein Intranet oder das Internet mehreren Organisationen zur Verfügung steht, liefert er Benutzern die Gelegenheit, zu versuchen, das System zu hintergehen. Sogar bei einem organisationsspezifischen Drucker, der innerhalb einer Organisation genutzt wird, müssen die Kosten dieses Peripheriegeräts auf der Basis der Nutzung oft zwischen mehreren Abteilungen in dem Unternehmen aufgeteilt werden.
Ferner liefern manche Server oder Websites einen Zugriff auf andere Arten von Diensten wie beispielsweise Produktlieferung, Maklertätigkeit oder ähnliche Dienste. Diese Arten von Internet-befähigten Diensten benötigen auch authentifizierte Benutzeranforderungen. Beispielsweise kann ein Benutzer eine Anzahl von Artikeln von einer Büroartikel- Website kaufen und anschließend anfordern, daß die Artikel noch am selben Tag an ihn geliefert werden. Diese Art von angeforderten Diensten sollte unmittelbar authentifiziert werden, und es sollte für den Benutzer nicht möglich sein, dies zurückzuweisen.
Dementsprechend kann die vorliegende Erfindung Benutzer authentifizieren, und das System kann eindeutig feststellen, daß Benutzer die sind, für die sie sich ausgeben. Das System kann ferner die Autorisierung des Benutzers prüfen und feststellen, ob er über eine Autorität verfügt, eine bestimmte Transaktion anzufordern. Durch das vorliegende System können Geheimhaltungsschutzvorrichtungen bereitgestellt werden, so daß die Daten und Zahlungsinformationen vertraulich sind. Ferner liefert das System eine Sicherheit durch mehrere Verschlüsselungsebenen und die Trennung von Authentifizierungsdaten von dem Diensteserver. Dies erhält die Integrität der Daten und ermöglicht es dem System, Modifizierungen der Transaktionsdaten zu erfassen.
Ein weiterer wichtiger Teil einer Diensteanforderungstransaktion besteht darin, festzustellen, ob zwischen dem Dienstanforderer und dem E-Dienstanbieter (oder Eigentümer des Peripheriegeräts) eine verbindliche Vereinbarung getroffen wurde. Das vorliegende System und Verfahren liefert eine Nicht-Zurückweisung der Transaktion, was bedeutet, daß keine Partei später behaupten kann, daß die Transaktion nicht stattfand. Schließlich kann das System eine sichere Fakturierung der Dienstetransaktion bereitstellen.
Unter Bezugnahme auf Fig. 1 wird nun eine Übersicht der Erfindung auf hoher Ebene erörtert. Der Benutzer 20 befindet sich an einer Client-Rechenvorrichtung 10, und der Endbenutzer kann Datendateien, für die er gerne Dienste durchführen lassen würde, oder andere netzzugängliche Dienste, die er gerne anfordern würde, aufweisen. Die Client- Rechenvorrichtung verschafft dem Benutzer einen Zugriff auf das Netz und ermöglicht es dem Benutzer, Dokumentendateien zu erstellen und sie zu speichern. In der Client- Rechenvorrichtung kann ein Browser enthalten sein, um auf einen vernetzten Inhalt von Servern und anderen Vorrichtungen in dem Netz oder Internet zuzugreifen. Der Browser des Client zeigt dem Benutzer einen vernetzten Inhalt an und ermöglicht es ihm, mit demselben zu interagieren. Die Client-Rechenvorrichtung umfaßt ferner einen "Client- Softwareagenten" (CSA - client software agent).
Beispiele elektronischer Dienste oder netzzugänglicher Dienste, die der Benutzer vielleicht an seinen Datendateien durchgeführt haben möchte, umfassen Drucken, Erstellen mehrerer Dokumentenkopien, Publizieren, Binden der Dokumente und Veranlassen, daß die Dokumente an verschiedene Orte geliefert werden. Im Fall eines Faxgeräts kann der Benutzer das Dokument an verschiedene Faxziele faxen. Der Benutzer benutzt einen verfügbaren Dienst oder E-Dienst über das Internet oder Netz, um die Aufgaben, die der Benutzer benötigt, zu erfüllen.
Der Systemadministrator oder IT-Administrator 30 verfügt über eine Kenntnis der E-Dienste, die über das Netz verfügbar sind. Er richtet Erlaubnisse an dem Systemserver 40 ein, wobei er manchen Benutzern einen Zugriff auf Dienste gewährt und anderen Benutzern diesen selben Zugriff verweigert. Der Systemadministrator richtet ferner die Client- Softwareagenten an den Client-Maschinen 10 ein und konfiguriert sie, auf Server an dem Netz hinzuweisen. Der Systemserver erfüllt normale Serverfunktionen, speichert jedoch auch Gruppenerlaubnisse und Zugriffsrechte für Benutzer auf Geräte und Dienste. Auf die Dienste wird vorzugsweise durch den Systemserver zugegriffen bzw. die Dienste werden vorzugsweise durch den Systemserver aktiviert. In dem Systemserver ist eine Benutzerschnittstelle (UI - user interface) vorgesehen, die es dem Administrator ermöglicht, diese Erlaubnisse einzurichten, und der Systemserver enthält einen "Erlaubnisse-Softwareagenten" (PSA - permissions software agent).
Ein Vorteil des Speicherns der Erlaubnisse auf einem Server, der von dem Diensteserver getrennt ist, besteht darin, daß Informationen von beiden Servern verwendet werden müssen, um die Transaktion zu initiieren. Dies erhöht den Sicherheitsgrad für die Dienste. Ein weiterer Vorteil besteht darin, daß der Systemserver die Erlaubnisse speichert, um eine Skalierbarkeit zu liefern und auf dem Diensteserver Platz zu sparen. Auf diese Weise kann eine unbegrenzte Anzahl von Benutzern auf den Diensteserver zugreifen, da die Authentifizierung für jeden Benutzer vor Ort auf der Systemserverebene durchgeführt wird.
Der Diensteserver 60 liefert einen Zugriff auf die E-Dienste und erfüllt auch normale Serverfunktionen. Er umfaßt einen Dienste-Softwareagenten (SSA - services software agent) und einen Protokollierungssoftwareagenten. Der SSA empfängt die Datendateien, die zum Verarbeiten an ihn gesandt werden, und leitet die verarbeiteten Dateien anschließend an das entsprechende Peripheriegerät zur Ausführung der Dienste 50 weiter. Beispielsweise kann eine verarbeitete Datei zur Ausgabe an den Drucker weitergeleitet werden. Die E-Dienste können Softwareanwendungen oder Peripheriegeräte, auf die durch den Diensteserver zugegriffen werden kann, sein, die dem Endbenutzer einen Dienst bereitstellen.
Der Protokollierungssoftwareagent verfolgt die stattfindenden Transaktionen. Jedes Dokument oder jede Datenanforderung, die durch den Diensteserver 60 verarbeitet wird, wird in der Datenbank protokolliert. Die Protokollierungssoftware kann feststellen, ob der Dienst storniert oder beendet wurde, bevor er durchgeführt wurde.
Der Fakturierungsserver 70 liefert einen sicheren Fakturierungsdienst für die Benutzer und den E-Dienst. Er speichert Fakturierungsdaten in einer Datenbank und umfaßt ferner einen Fakturierungssoftwareagenten (BSA - billing software agent). Der Fakturierungsagent kann periodisch elektronische Rechnungen an die Benutzer, Firmen oder Entitäten, die die elektronischen Dienste nutzen, senden. Beispielsweise kann der Fakturierungsagent die Dienste jeden Monat oder zweimal im Monat in Rechnung stellen.
Ein Vorteil dieses Systems besteht darin, daß Benutzer einen Zugriff auf E-Dienste erlangen, daß jedoch die Chance von nicht-autorisierten Dienstanforderungen oder eines illegalen Zugriffes stark verringert ist. Die Erlaubnisse- Autorisierung durch einen unabhängigen Systemserver 40 verringert die Möglichkeit eines Ausschaltens (Spoofing) oder eines betrügerischen Auftretens als ein Benutzer beträchtlich. Das liegt daran, daß die Identität des Benutzers durch einen verschlüsselten Austausch mit dem Systemserver, der vorkonfigurierte Benutzeridentitäten speichert, einem Querverweis unterzogen ist. Ruch wenn ein Hacker sich als ein Benutzer ausgeben möchte, müßte der Hacker nicht nur auf den Diensteserver, sondern auch auf den Systemserver Zugriff erlangen. Sowohl der Systemserver als auch der Diensteserver validieren in dieser Situation die Benutzeridentität.
Ein weiterer Vorteil des vorliegenden Systems besteht darin, daß es Diensttransaktionen und ihre Daten mittels Verschlüsselung geheimhält. Die Möglichkeit eines Diebstahls oder Mißbrauchs der Daten wird durch die Verwendung verschlüsselter Nachrichten stark verringert. Insbesondere ist die Chance eines Diebstahls und einer Modifizierung der Transaktion, während sie gerade übermittelt wird, ausgeschaltet.
Es folgt nun eine ausführlichere Erörterung der Kommunikationen zwischen den einzelnen Softwareagenten. Unter Bezugnahme auf Fig. 2A veranschaulicht ein Flußdiagramm den sicheren Zugriff auf eine Liste von autorisierten Diensten. Um einen sicheren Zugriff auf eine Liste von autorisierten Diensten zu liefern, ruft der Benutzer 100 den Client- Softwareagenten (CSA) auf 108. Der CSA 102 kann durch ein Icon auf dem Desktop, durch Öffnen einer Datei durch einen Netzbrowser aufgerufen werden, oder der Benutzer kann direkt eine Datei anklicken und den CSA auswählen. Um mit dem Diensteserver zu kommunizieren, wurde der CSA mit der IP- Adresse des Diensteservers konfiguriert.
Der CSA empfängt die digitale Signatur des Benutzers 110 und fordert die Zugriffsrechte des Benutzers von dem System an 112. Dann bestimmt der CSA, ob der Benutzer über gültige Zugriffsrechte auf Dienste in dem System verfügt 114. Falls der Benutzer keine Zugriffsrechte hat, wird ein Zugriff auf die Dienste verweigert, und es wird dem Benutzer nicht gestattet, eine Auflistung der Dienste einzusehen 116.
Falls der Benutzer über Zugriffsrechte verfügt, erstellt der CSA eine Nachricht, die eine Liste von autorisierten Diensten für diesen Benutzer von der CSA-Datenbank anfordert 118. Anschließend wird für die Anforderung der Liste von autorisierten Diensten eine Nachrichtenauswahl bzw. ein Nachrichtendigest (MD - message digest) erstellt 120. Eine Nachrichtenauswahl ist im wesentlichen ein Einweg-Hash- Schlüssel, der aus dem Inhalt der Nachricht erstellt wird. Die Nachricht kann nicht aus dem Hash-Schlüssel wiedergewonnen werden, aber die identische Nachricht erzeugt immer genau denselben Hash-Schlüssel. Wenn die "Hash-codierte" Nachricht durch einen Empfänger empfangen wird, kann der Hash-Schlüssel unter Verwendung desselben Hash-Codierung- Algorithmus wiedergewonnen werden. Falls die MD für die empfangene Nachricht dieselbe ist wie eine mit der Nachricht gesandte MD, dann wurde die Nachricht nicht manipuliert.
Der CSA erstellt ferner einen zufälligen 128-Bit- Verschlüsselungssitzungsschlüssel für die Kommunikationssitzung 122. Der CSA verschlüsselt anschließend die Nachricht (die die Liste von Diensten anfordert) unter Verwendung des Sitzungsschlüssels 124 und die MD unter Verwendung des privaten Schlüssels des Benutzers 126. Die Nachricht kann ferner mit der digitalen Signatur des Benutzers signiert werden. Der CSA verschlüsselt den Sitzungsschlüssel mit dem öffentlichen Schlüssel des SSA 128. Die verschlüsselte Nachricht, die MD und der Sitzungsschlüssel werden anschließend an den SSA gesandt 130.
Der SSA 104 entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel 132 und entschlüsselt anschließend die Nachricht mit dem entschlüsselten Sitzungsschlüssel 134. Der Name des Benutzers kann ebenfalls aus der digitalen Signatur extrahiert werden. Die MD wird mit dem öffentlichen Schlüssel des Benutzers entschlüsselt 136. Eine neue MD wird für die Nachricht erstellt 138 und mit der MD, die empfangen wurde, verglichen 140. Falls die MDs nicht übereinstimmen, so wurde die Nachricht geändert 142, und es findet eine Fehlerverarbeitung statt 144.
Falls die MDs übereinstimmen, wird die Liste von autorisierten Diensten des Benutzers von dem Erlaubnisse- Softwareagenten wiedererlangt 146 (wie bei Fig. 4A-C ausführlicher beschrieben wird). Mit der Liste von autorisierten Diensten wird eine Nachricht mit den autorisierten Diensten für diesen Benutzer erstellt. Ferner wird eine MD für die Dienstenachricht erstellt 148. Ein zufälliger 128- Bit-Sitzungsschlüssel wird erstellt 150, und die Dienstenachricht wird mit dem Sitzungsschlüssel verschlüsselt 152. Die MD wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt 154, und der Sitzungsschlüssel wird ferner mit dem öffentlichen Schlüssel des CSA verschlüsselt 156. Die Dienstenachricht wird anschließend an den CSA gesandt 158.
Der CSA entschlüsselt den Sitzungsschlüssel 160 unter Verwendung seines privaten Schlüssels und entschlüsselt anschließend die Dienstenachricht mit dem Sitzungsschlüssel 162. Die MD wird mit dem privaten Schlüssel des Benutzers entschlüsselt 164, und eine neue MD wird berechnet und mit der MD, die empfangen wurde, verglichen 168. Falls die MDs übereinstimmen, wird die Liste von autorisierten Diensten dem Benutzer angezeigt 172, andernfalls findet eine Nachrichtenfehlerverarbeitung statt 170. Der CSA kann ein Schnittstellenfenster erzeugen, das die Liste von Diensten, auf die der Benutzer Zugriff hat, zeigt (z. B. durch ein Browser-Fenster). An diesem Punkt hat der Benutzer einen sicheren Zugriff auf eine Liste von autorisierten Diensten empfangen.
Um eine sichere Transaktion mit dem ausgewählten Dienst bereitzustellen (siehe Fig. 3A), wählt der Benutzer 100 den Dienst, den er zu nutzen wünscht, aus 202. Der Benutzer trifft ferner zusätzliche Verarbeitungsauswahlen 204, die sich auf bestimmte Optionen beziehen, die für den Dienst ausgewählt werden können, beispielsweise mehrere Druckkopien oder Farboptionen usw. Der CSA 102 erstellt eine Nachricht mit der Dienst-ID bzw. Dienstidentifizierung des bzw. der ausgewählten Dienste(s) und ausgewählten Optionen 206 und kann eine Datendatei anhängen. Eine Nachrichtenauswahl (MD) der Dienstauswahlnachricht wird erstellt 208, und ferner wird ein zufälliger 128-Bit-Sitzungsschlüssel erstellt 210. Die Nachricht, die den ausgewählten Dienst und die ausgewählten Optionen enthält, wird mit dem 128-Bit- Sitzungsschlüssel verschlüsselt 212, und die Nachrichtenauswahl wird mit dem privaten Schlüssel des Benutzers verschlüsselt 214. Der zufällige Sitzungsschlüssel wird ferner mit dem öffentlichen Schlüssel des SSA verschlüsselt 216. Als nächstes werden die verschlüsselte Nachricht, die verschlüsselte MD und der verschlüsselte Sitzungsschlüssel an den SSA gesandt 218.
Unter Bezugnahme auf Fig. 3B entschlüsselt der SSA 104 den Sitzungsschlüssel mit dem privaten Verschlüsselungsschlüssel des SSA 220 und entschlüsselt die Nachricht, die die Dienste und Dienstoptionen enthält, mit dem Sitzungsschlüssel 222. Die Dienst-ID und die Benutzerauswahlen, die mit der Nachricht gesendet wurden, werden durch den SSA genutzt 224. Die MD wird anschließend mit dem öffentlichen Schlüssel des Benutzers entschlüsselt 226, und eine neue MD der Nachricht wird berechnet 228. Falls die gesendete MD gleich der neuen berechneten MD ist 230, wird der Prozeß fortgesetzt. Falls die Nachrichtenauswahl, die erstellt wurde, nicht die gleiche ist 232, so wurde die Nachricht geändert, und es beginnt nun eine Fehlerverarbeitung 234.
An diesem Punkt bestimmt der SSA, ob der Benutzer autorisiert ist, den bzw. die angeforderte(n) Dienst(e) zu nutzen 236. Diese Autorisierung wird dadurch durchgeführt, daß eine Erlaubnisanforderung bei dem PSA 106 bestellt wird, und es wird eine Erlaubnisantwort 238 an den SSA zurückgesandt. Die in Fig. 3B gezeigte gestrichelte Linie 4-4 bezieht sich auf Fig. 4A-C, die nachstehend ausführlicher erläutert werden.
Falls der Benutzer autorisiert 240, so führt der SSA den Dienst mit den Auswahlen des Benutzers aus 246. Falls der Benutzer nicht autorisiert ist 242, so beginnt eine Fehlerverarbeitung 244. Wie oben erwähnt wurde, bestehen die Arten von Diensten, die ausgeführt werden können, aus Druckdiensten, Kommunikationsdiensten, Anzeigediensten, Verarbeitungsdiensten oder sogar physischen Diensten, die durch eine Internet-Website initiiert werden. An diesem Punkt hat der Benutzer eine sichere Transaktion mit dem ausgewählten Dienst empfangen. Dieses Verfahren zum Liefern eines sicheren Dienstes ist auch deshalb bedeutend, weil die Auflistung der ausgewählten Dienste verschlüsselt oder geschützt ist. Dies bedeutet, daß andere in dem Netz nicht sehen können, welche Dienste ein Benutzer ausgewählt hat, oder nicht einmal, welche Dienste zur Verfügung stehen. Nachdem der Dienst ausgewählt wurde, ist auch die Autorisierung für den Dienst durch den PSA geschützt.
Fig. 4A veranschaulicht die Wiedererlangung von benutzerautorisierten Diensten von dem Erlaubnis-Diensteagenten (PSA). Ein Dienste-Softwareagent (SSA) erstellt eine Diensteanforderungsnachricht für die autorisierten Dienste für den Benutzer 250. Mit anderen Worten bedeutet dies, daß der SSA von dem PSA genau verifizieren wird, für welche Dienste der Benutzer eine Nutzungsgenehmigung hat. Dieser Schritt liefert eine zusätzliche Sicherheit, falls sich die Autorisierung des Benutzers zwischen dem Zeitpunkt der ursprünglichen Anforderung und der Ausführung des Dienstes geändert hat. Eine Nachrichtenauswahl (MD) der Diensteanforderungsnachricht wird anschließend erzeugt 252, und es wird ein zufälliger 128-Bit-Sitzungsschlüssel erstellt 254. Der SSA verschlüsselt anschließend die Nachricht mit dem 128-Bit-Sitzungsschlüssel 256 und verschlüsselt die Nachrichtenauswahl mit dem privaten Schlüssel des SSA 258. Der Sitzungsschlüssel wird ebenfalls mit dem öffentlichen Schlüssel des PSA verschlüsselt 260.
Diese mehreren Verschlüsselungsschichten sind wichtig, da ein Computerhacker oder Betrüger zumindest zwei Verschlüsselungsebenen aufbrechen müßte, um die Nachricht überhaupt zu lesen. Eine dritte Verschlüsselungsebene schützt die Nachricht vor einer Manipulierung, da auch die MD verschlüsselt ist. Bei diesem Ausführungsbeispiel wird eine relativ starke Verschlüsselung bei dem Verfahren einer Verschlüsselung mit einem öffentlichen/privaten Schlüssel verwendet, und eine relativ starke 128-Bit-Verschlüsselung wird bei der Sitzungs- und Nachrichtenverschlüsselung verwendet.
Die bzw. der verschlüsselte Dienstanforderungsnachricht, MD und Sitzungsschlüssel werden dann an den PSA übertragen 262. Der PSA entschlüsselt den Sitzungsschlüssel mit dem privaten Schlüssel des PSA 264, was ihn befähigt, die Nachricht mit dem entschlüsselten Sitzungsschlüssel zu entschlüsseln 266. Als nächstes entschlüsselt der PSA die MD mit dem öffentlichen Schlüssel des SSA 268, und eine neue MD wird für die Nachricht berechnet 270. Der PSA vergleicht die MDs, um zu bestimmen, ob die Nachricht geändert wurde 272. Falls die Nachricht geändert wurde, 274, so beginnt die Nachricht-Geändert-Fehlerverarbeitung 276, und der Benutzer wird von dieser Änderung informiert.
In Fig. 4B, wenn die MDs übereinstimmen, holt der PSA den Namen des Benutzers von der Autorisierte-Dienste- Anforderung, die empfangen wurde, ein 280. Die autorisierten Dienste für den Benutzer werden anschließend von der Erlaubnisdatenbank des PSA wiedererlangt 282. Es wird eine autorisierte-Dienste-Antwort erstellt 284.
Durch den PSA wird eine MD der Diensteantwort erstellt 286, und es wird ein zufälliger 128-Bit-Sitzungsschlüssel erstellt 288. Das System verschlüsselt anschließend die Nachricht mit dem Sitzungsschlüssel 290, der gerade erst erstellt wurde, und die MD wird mit dem privaten Schlüssel des PSA verschlüsselt 300. Schließlich wird der Sitzungsschlüssel mit dem öffentlichen Schlüssel des SSA verschlüsselt 302. Die bzw. der verschlüsselte Autorisierte-Dienste- Antwort, MD und Sitzungsschlüssel werden anschließend an den SSA gesandt 304. Der SSA entschlüsselt den Sitzungsschlüssel mit dem privaten Schlüssel des SSA 306 und entschlüsselt die Nachricht mit dem Sitzungsschlüssel 308.
Wie in Fig. 4C veranschaulicht ist, entschlüsselt der SSA die MD mit dem öffentlichen Schlüssel des PSA 310 und berechnet eine neue MD der Nachricht 312. Wie schon zuvor geschehen, werden die MDs verglichen 314, und falls die Nachricht geändert wurde 316, findet eine Fehlerverarbeitung statt 318. Falls die MDs dieselben sind, so weiß der SSA, daß er eine nicht-modifizierte Nachricht für die autorisierten Dienste des Benutzers empfangen hat 320. Eine Verwendung der MD schützt auch vor elektronischer Korruption.
Fig. 5A veranschaulicht die sichere Bestätigung und Protokollierung einer Transaktion, die zuvor in dem Dienstesystem stattgefunden hat. Im einzelnen erstellt der SSA eine Zusammenfassung der Dienstetransaktion 330 und speichert eine Kopie der Transaktionszusammenfassung in einer Datenbank an dem SSA 332. Anschließend wird für die Transaktionszusammenfassung eine MD erstellt 334, und es wird ein zufälliger 128-Bit-Sitzungsschlüssel erstellt 336. Die Transaktionszusammenfassung wird mit dem Sitzungsschlüssel verschlüsselt 338, und die MD wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt 340. Schließlich wird der Sitzungsschlüssel mit dem öffentlichen Schlüssel des CSA verschlüsselt 342, und der bzw. die verschlüsselte Zusammenfassung, Nachrichtenauswahl und Sitzungsschlüssel werden an den CSA übermittelt 344.
Nachdem der CSA die verschlüsselte Transaktionszusammenfassung empfangen hat, wie in Fig. 5B, entschlüsselt der CSA den Sitzungsschlüssel mit dem privaten Schlüssel des CSA 346. Ferner wird die Transaktionszusammenfassung mit dem Sitzungsschlüssel entschlüsselt 348, und die MD wird mit dem privaten Schlüssel des Benutzers entschlüsselt 350. Es wird eine neue MD für die Transaktionszusammenfassung berechnet 352 und mit der MD, die empfangen wurde, verglichen 354. Falls die MDs dieselben sind, wird die Transaktionszusammenfassung an den Benutzer gesandt 356. Diese Transaktionszusammenfassungsnachricht ermöglicht es, daß eine Zusammenfassung der Transaktion für den Benutzer angezeigt wird 358. Falls die MDs nicht übereinstimmen, wird eine Fehlerverarbeitung eingeleitet 360, und der Benutzer wird informiert, daß jemand seine Sitzung manipuliert hat. An diesem Punkt hat der Benutzer eine sichere Bestätigung und Protokollierung der Transaktion empfangen.
Fig. 6A veranschaulicht die sichere Fakturierung einer Dienstetransaktion, wie sie durch die vorliegende Erfindung beschrieben wird. Ein Dienste-Softwareagent (SSA) erstellt eine Anfrage, eine Kontonummer für einen Benutzer und den Dienst, den er durch den SSA genutzt hat, wiederzuerlangen 400. Es wird eine MD für die Anfrage erstellt 402, zusammen mit einem zufälligen 128-Bit-Sitzungsschlüssel 404. Die Anfrage wird mit dem Sitzungsschlüssel verschlüsselt 406, und die MD der Anfrage wird mit dem privaten Schlüssel des Benutzers verschlüsselt 408. Anschließend wird der Sitzungsschlüssel mit dem öffentlichen Schlüssel des PSA (Erlaubnisse-Softwareagent) verschlüsselt 410, und die bzw. der verschlüsselte Anfrage, MD und Sitzungsschlüssel werden an den PSA gesandt. Der PSA entschlüsselt den Sitzungsschlüssel 422, entschlüsselt die Anfrage 424 und entschlüsselt die MD mit dem öffentlichen Schlüssel des Benutzers 426. Es wird eine neue Nachrichtenauswahl für die Anfrage erstellt 428, und die Nachrichtenauswahl, die empfangen wurde, wird mit der Nachrichtenauswahl, die soeben erstellt wurde, verglichen 430.
Falls die Nachricht geändert wurde 432, so beginnt eine Fehlerverarbeitung 434. Falls die Nachricht nicht geändert wurde, wird die Verarbeitung fortgesetzt. An diesem Punkt erlangt der PSA die Kontonummer des Benutzers für den Dienst von einer Datenbank an dem PSA wieder 436. Mit der Kontonummer wird eine Antwort erstellt, die den Benutzernamen, den Dienst und die Kontoinformationen umfaßt 438. Nachdem die Antwort erstellt wurde, wird eine MD der Antwort erstellt 440, und ein zufälliger 128-Bit- Sitzungsschlüssel wird erstellt 442. Als nächstes wird die Antwort mit dem Sitzungsschlüssel verschlüsselt 444, die MD wird mit dem öffentlichen Schlüssel des Benutzers verschlüsselt 446, und der Sitzungsschlüssel wird mit dem öffentlichen Schlüssel des CSA verschlüsselt 448. Die verschlüsselte Antwort und ihre Schlüssel werden an den SSA zurückgesandt 450.
Unter Bezugnahme auf Fig. 6C entschlüsselt der SSA den Sitzungsschlüssel mit dem privaten Schlüssel des CSA 452 und entschlüsselt die Antwort mit dem Sitzungsschlüssel 454. Die MD wird ferner mit dem privaten Schlüssel des Benutzers entschlüsselt 456. Der SSA führt daraufhin eine Routine durch, um zu bestimmen, ob die Nachricht manipuliert wurde. Dies umfaßt die Schritte des Berechnens einer neuen MD 458, des Vergleichens der MDs 460 und des Aufrufens einer Fehlerverarbeitung, falls die MD geändert wurde 462. Wenn die Nachrichtenauswahlen übereinstimmen 464, wird die Fakturierung fortgesetzt.
An diesem Punkt erstellt der SSA eine Fakturierungseingabe mit dem Benutzernamen, dem Dienstnamen, der Kontonummer und dem zu fakturierenden Betrag 466. Die Verwendung dieses Schrittes, wenn er mit der Anforderung der Kontonummer von dem PSA kombiniert wird, ist ein wirkungsvoller Schritt, um ein Manipulieren des Fakturierungssystems zu vermeiden. Das liegt daran, daß eine verschlüsselte Nachricht an den PSA gesandt wird, um die Dienstfakturierungskontonummer wiederzuerlangen, und der Benutzer ebenfalls wiederum mit dem SSA verifiziert wird, nachdem diese Kontonummer empfangen wurde. Der Benutzername und die Dienstmenge (oder -kosten) werden in dem SSA gespeichert, während der Name des Benutzers und die Fakturierungskontonummern in dem PSA gespeichert werden können. Um eine gültige Fakturierungskontoeingabe an den Fakturierungsdiensteagenten Fakturierungssoftwareagenten zu senden, müßte die Sicherheit dieser beiden Server durchbrochen werden, und es müßte eine Nachricht durch beide Server gesandt werden, um eine gültige Fakturierungseingabe bereitzustellen. Da der SSA die Fakturierungseingabe übermitteln wird, wird eine MD der Fakturierungseingabe erstellt 468, und ein zufälliger 128-Bit- Sitzungsschlüssel wird erstellt 470.
Unter Bezugnahme auf 6D ist ferner eine zusätzliche Vorbereitung für die Übermittlung der Fakturierungseingabe erforderlich. Die Fakturierungseingabe wird mit dem Sitzungsschlüssel verschlüsselt 472, und die MD wird mit dem privaten Schlüssel des Benutzers verschlüsselt 474. Ferner wird der Sitzungsschlüssel mit dem öffentlichen Schlüssel des BSA verschlüsselt 476. Die bzw. der verschlüsselte Fakturierungseingabe, MD und Sitzungsschlüssel werden an den Fakturierungssoftwareagenten (BSA) übermittelt 478.
Der BSA entschlüsselt daraufhin die Nachricht unter Verwendung der folgenden Schritte: Entschlüsseln des Sitzungsschlüssels mit dem privaten Schlüssel des BSA 480, Entschlüsseln der Fakturierungseingabe mit dem Sitzungsschlüssel 482 und Entschlüsseln der Nachrichtenauswahl mit dem öffentlichen Schlüssel des Benutzers 484. Der BSA erstellt eine neue MD 486 von der Fakturierungseingabenachricht und vergleicht die MDs 488, um zu bestimmen, ob die Fakturierungseingabe geändert wurde 490. Falls die Fakturierungseingabe nicht geändert wurde 492, wird der Fakturierungserfolg dem SSA berichtet 494. An diesem Punkt hat der Benutzer eine sichere Fakturierung der Transaktion empfangen. Es ist auch wichtig, darauf hinzuweisen, daß zusätzlich zu der an den SSA gelieferten erfolgreichen Bestätigung auch eine erfolgreiche Nachricht an den CSA gesandt werden kann, um den Benutzer darüber zu informieren, daß die Fakturierung abgeschlossen ist und daß sein Konto mit dem Dienst belastet worden ist. Endbenutzerprüfungen tragen dazu bei, zu gewährleisten, daß kein falscher Fakturierungsbetrag und keine falschen Benutzer-IDs bzw. Benutzeridentifikationen an den BSA gesandt werden.

Claims

1. System zum Bereitstellen eines sicheren Benutzerzugriffs auf netzzugängliche Dienste (50) über ein Netz, wobei das System folgende Merkmale aufweist:
einen Client-Softwareagenten (10, 102), der eine Diensteanforderung erstellen kann, die durch einen Benutzer (20, 100) definiert ist;
einen Dienste-Softwareagenten (60, 104), der sich in elektronischer Kommunikation mit dem Client- Softwareagenten befindet, wobei der Dienste- Softwareagent in der Lage ist, die Diensteanforderung zu empfangen und deren Ausführung zu ermöglichen; und
einen Erlaubnisse-Softwareagenten (40, 106), der eine Auflistung von Benutzererlaubnissen für die netzzugänglichen Dienste umfaßt, wobei sich der Erlaubnisse- Softwareagent in Kommunikation mit dem Dienste- Softwareagenten befindet und der Dienste-Softwareagent Benutzererlaubnisse von dem Erlaubnisse- Softwareagenten anfordern kann, um eine Aktivierung der durch den Benutzer ausgewählten netzzugänglichen Dienste zu ermöglichen.

2. System gemäß Anspruch 1, bei dem sich der Erlaubnisse- Softwareagent (40, 106) auf einem Systemserver (40) befindet.

3. System gemäß Anspruch 2, bei dem sich der Dienste- Softwareagent (60, 104) auf einem Diensteserver (60) befindet.

4. System gemäß einem der Ansprüche 1 bis 3, das ferner einen Fakturierungssoftwareagenten aufweist, um eine Fakturierungsanforderung von dem Dienste- Softwareagenten (60, 104) zu empfangen, nachdem die netzzugänglichen Dienste (50) über den Dienste- Softwareagenten ausgeführt wurden.

5. Verfahren zum Bereitstellen eines sicheren Benutzerzugriffs auf netzzugängliche Dienste (50) über ein Netz, wobei das Verfahren folgende Schritte aufweist:
Erstellen einer Diensteanforderung, wie sie durch einen Benutzer (20, 100) durch einen Client- Softwareagenten (10, 102) definiert ist;
Empfangen der Diensteanforderung an einem Dienste- Softwareagenten (60, 104);
Wiedererlangen einer Benutzererlaubnisse-Auflistung für die netzzugänglichen Dienste (50) von einem Erlaubnisse-Softwareagenten (40, 106);
Ermöglichen der Ausführung der netzzugänglichen Dienste, wie sie auf der Basis der Benutzererlaubnisse- Auflistung, die von dem Erlaubnisse-Softwareagenten empfangen wird, durch den Dienste-Softwareagenten freigegeben werden.

6. Verfahren gemäß Anspruch 5, das ferner den Schritt des Speicherns einer Kopie einer Transaktionszusammenfassung mit dem Dienste-Softwareagenten (60, 104) auf dem Diensteserver (60) aufweist.

7. Ein Verfahren gemäß Anspruch 6, das ferner den Schritt des Sendens einer Kopie der Transaktionszusammenfassung an den Client-Softwareagenten (10, 102) aufweist.

8. Verfahren zum Bereitstellen einer sicheren Fakturierung von netzzugänglichen Diensten (50), die einem Benutzer (20, 100) über ein Netz bereitgestellt werden, wobei das Verfahren folgende Schritte aufweist:
Erstellen einer Fakturierungsanforderung von einem Dienste-Softwareagenten (60, 104) für netzzugängliche Dienste (50), die über den Dienste-Softwareagenten ausgeführt wurden;
Senden der Fakturierungsanforderung an einen Erlaubnisse-Softwareagenten (40, 106);
Erstellen einer Fakturierungsantwort, die die Fakturierungskontonummer des Benutzers umfaßt, unter Verwendung des Erlaubnisse-Softwareagenten; und
Übermitteln der Fakturierungsantwort an einen Fakturierungssoftwareagenten.

9. Verfahren gemäß Anspruch 8, bei dem der Schritt des Erstellens einer Fakturierungsantwort ferner den Schritt des Anforderns der Fakturierungskontonummer, die dem Benutzer (20, 100) für die empfangenen netzzugänglichen Dienste (50) belastet werden soll, aufweist.

10. Verfahren zum Bereitstellen eines sicheren Zugriffs auf netzzugängliche Dienste (50) durch einen Benutzer (20, 100), das folgende Schritte aufweist:
Erstellen einer Diensteanforderung, wie sie seitens eines Benutzers (20, 100) durch einen Client- Softwareagenten (10, 102) ausgewählt wurde;
Empfangen der Diensteanforderung an einem Dienste- Softwareagenten (60, 104);
Wiedererlangen einer Benutzererlaubnisse-Auflistung für die Dienste von einem Erlaubnisse-Softwareagenten (40, 106); und
Ermöglichen einer Ausführung der Diensteanforderung auf der Basis der Benutzererlaubnisse-Auflistung, die von dem Erlaubnisse-Softwareagenten empfangen wird.