DE10310257A1

DE10310257A1 - Verfahren und Vorrichtung zur Zugangsprüfung eines Benutzers

Info

Publication number: DE10310257A1
Application number: DE10310257A
Authority: DE
Inventors: Klaus Wanner
Original assignee: CIT GmbH
Current assignee: CIT GmbH
Priority date: 2003-03-05
Filing date: 2003-03-05
Publication date: 2004-09-16

Abstract

Die Erfindung betrifft Vorrichtungen und ein Verfahren zur Zugangsprüfung eines Benutzers (9) für einen Anwendungsserver (12) über ein Datennetz (14) und ein Sprachkommunikationsnetz (31), mit den Schritten: Erfassen eines dem Benutzer (9) zugeordneten Benutzeridentifizierers (16) an einer bei einem Datennetz- Endgerät (10) des Benutzers (9) vorgesehenen Anwendungsbedienschnittstelle (11) für den Anwendungsserver (12), Übermitteln des Benutzeridentifizierers (16) an einen Zugangsserver (22) über das Datennetz (14), Aufbauen einer Kommunikationsverbindung (30) zu einem Sprachkommunikations-Endgerät (19) des Benutzers (9) über das Sprachkommunikationsnetz (31), Erfassen eines von dem Benutzer (9) an dem Sprachkommunikations-Endgerät (19) eingegebenen Zugangsidentifizierers (35), Übermitteln des Zugangsidentifizierers (35) an den Zugangsserver (22) über das Sprachkommunikationsnetz (31), und Freigeben des Zugangs zu dem Anwendungssystem für die Anwendungsbedienschnittstelle (11) und/oder Freischaltung eines elektronischen Signaturschlüssels (47) bie dem Anwendungsserver, wenn der von dem Benutzer eingegebene Zugangsidentifizierer (35) mit einem vorbestimmten Wert (39) übereinstimmt.

Description

Die Erfindung betrifft ein Verfahren zur Zugangsprüfung eines Benutzers für einen Anwendungsserver über ein Datennetz und ein Sprachkommunikationsnetz. Die Erfindung betrifft ferner hierfür geeignete Vorrichtungen, nämlich einen Zugangsserver, einen Anwendungsserver und einen Sprachserver.
Über eine Anwendungsbedienschnittstelle an einem Datennetz-Endgerät, beispielsweise einem von einem Personalcomputer ausgeführten Internet-Browser, kann ein Benutzer Zugang zu einem Anwendungsserver erhalten. Das Datennetz-Endgerät und der Anwendungsserver sind beispielsweise über das Internet miteinander verbunden. Der Anwendungsserver stellt beispielsweise Formulare der öffentlichen Verwaltung, in die der Benutzer beispielsweise persönliche Daten eintragen muss, bereit. Anhand dieser persönlichen Daten kann der Anwendungsserver dann Dienste für den Benutzer erbringen, beispielsweise die Zulassung eines Personenkraftwagens oder die Ausstellung eines Ausweises bearbeiten. Ferner kann der Anwendungsserver dem Benutzer vertrauliche Daten bereitstellen, beispielsweise Beschlussvorlagen für politische Gremien oder dergleichen.
Der Zugang des Benutzers über die Anwendungsbedienschnittstelle zu dem Anwendungsserver muss gegen Missbrauch geschützt werden. Eine bekannte Methode ist beispielsweise, dass der Benutzer einen Benutzernamen und ein Kennwort eingibt, um Zugang zu dem Anwendungsserver zu erhalten. Diese Zugangsdaten können jedoch verhältnismäßig leicht ausgespäht werden. Wenn dann eine fremde Person die Zugangsdaten kennt, kann sie Zugang zu dem Anwendungsserver erhalten. Dabei ist es sogar möglich, dass der eigentliche berechtigte Nutzer nichts davon weiß, dass eine fremde Person seine Zugangsdaten kennt.
Bei einer anderen Lösung verwendet man eine sogenannte Signaturkarte, die in ein Lesegerät am Personal Computer eingesteckt wird und eine Signaturkennung des Benutzers enthält. Allerdings ist die technische Infrastruktur für eine Signaturkarte aufwendig: Man benötigt nicht nur die Signaturkarte selbst, auf der beispielsweise ein elektronischer Chip vorhanden ist, sondern zusätzlich auch geeignete, teure Lesegeräte. Ein solches Lesegerät steht dem Benutzer üblicherweise nur an seinem eigenen Computer zur Verfügung, nicht jedoch wenn der Benutzer unterwegs ist.
Weiterhin kennt man Systeme mit sogenannten Transaktionsnummern (TAN), beispielsweise im Zusammenhang mit Online-Banking. Nach jeder Transaktion ist eine solche Transaktionsnummer verbraucht. Allerdings ist die Handhabung der Transaktionsnummern umständlich und kostspielig: die Nummern werden dem Benutzer auf dem Postweg zugestellt. Der Benutzer muss die Nummernliste mit sich führen.
Es ist daher die Aufgabe der Erfindung, eine bequeme und dennoch sichere Zugangsprüfung eines Benutzers für einen Anwendungsserver bereitzustellen.
Diese Aufgabe wird durch ein Verfahren zur Zugangsprüfung eines Benutzers zu einem Anwendungsserver über ein Datennetz und ein Sprachkommunikationsnetz, mit den Schritten:

– Erfassen eines dem Benutzer zugeordneten Benutzeridentifizierers an einer bei einem Datennetz-Endgerät des Benutzers vorgesehenen Anwendungsbedienschnittstelle für den Anwendungsserver,
– Übermitteln des Benutzeridentifizierers an einen Zugangsserver über das Datennetz,
– Aufbauen einer Kommunikationsverbindung zu einem Sprachkommunikations-Endgerät des Benutzers über das Sprachkommunikationsnetz,
– Erfassen eines von dem Benutzer an dem Sprachkommunikations-Endgerät eingegebenen Zugangsidentifizierers,
– Übermitteln des Zugangsidentifizierers an den Zugangsserver über das Sprachkommunikationsnetz, und
– Freigeben des Zugangs zu dem Anwendungssystem für die Anwendungsbedienschnittstelle und/oder Freischaltung eines elektronischen Signaturschlüssels bei dem Anwendungsserver, wenn der von dem Benutzer eingegebene Zugangsidentifizierer oder ein von diesem abgeleiteter Wert mit einem vorbestimmten Wert übereinstimmt,

Zur Lösung dieser Aufgabe sind ferner vorgesehen: ein Zugangsserver, ein Anwendungsserver sowie ein Sprachserver. Die vorgenannten Server können auch als Programm-Module ausgestaltet sein, die Programmcode enthalten, der von einem Prozessor eines Computers ausgeführt werden kann.
Ein Grundgedanke der Erfindung ist, zwei unabhängige Kommunikationskanäle für die Zugangsprüfung des Benutzers zu verwenden. Der vergleichsweise unsichere Kommunikationskanal über das Datennetz, zum Beispiel das Internet, wird für die eigentliche Authentisierung des Benutzers nicht verwendet. Hierfür wird ein Sprachkommunikationsnetz, beispielsweise ein festes und/oder mobiles Telefonnetz, verwendet. Sprachkommunikationsnetze sind gegen Missbrauch vergleichsweise gut geschützt. Der Anwendungsserver beauftragt sozusagen den Zugangsserver mit der Zugangsprüfung des Benutzers. Der Zugangsserver stellt eine Kommunikationsverbindung zum Sprachkommunikations-Endgerät des Benutzers, beispielsweise einem Mobiltelefon, her. Es ist auch möglich, dass der Benutzer mit seinem Sprachkommunikations-Endgerät eine Verbindung zum Zugangsserver aufbaut. Über diese Sprach-Kommunikationsverbindung, auf der Sprache und/oder Daten übermittelt werden können, fragt der Zugangsserver einen Zugangsidentifizierer, beispielsweise eine persönliche Geheimzahl des Benutzers, ab.
Wenn dieser Zugangsidentifizierer mit einem vorbestimmten Wert übereinstimmt, das heißt vom Benutzer korrekt angegeben worden ist, gibt der Zugangsserver den Zugang zu dem Anwendungssystem für die Anwendungsbedienschnittstelle frei, zum Beispiel indem der Zugangsserver dem Anwendungsserver eine Freigabemitteilung zusendet. Der Benutzer kann dann beispielsweise über diese Anwendungsbedienschnittstelle vertrauliche Daten an den Anwendungsserver senden und/oder vertrauliche Daten von diesem erhalten.
Es ist auch möglich, dass der vorbestimmte Wert z.B. ein kryptografisch vorverarbeiteter Wert ist und der Zugangsserver den Zugangsidentifizierer nicht unmittelbar, sondern nach einer kryptografischen Vorverarbeitung, also einen von dem Zugangsidentifizierer abgeleiteten Wert, mit dem vorbestimmten Wert vergleicht. Man spricht in diesem Zusammenhang von einer One-Way-Hash-Funktion.
Vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den abhängigen Ansprüchen sowie aus der Beschreibung.
Vorzugsweise wird der Benutzer an dem Datennetz-Endgerät auf eine bevorstehende Zugangsprüfung über das Sprachkommunikations-Endgerät hingewiesen. Beispielsweise erscheint ein entsprechendes Hinweisfenster an einer grafischen Bedienoberfläche des Computers des Benutzers. Der Anwendungsserver bzw. die Anwendungsbedienschnittstelle gehen dann in eine Art War teposition, bis der Zugangsserver eine erfolgreiche Zugangsprüfung meldet.
Vorzugsweise wird die Quellrufnummer des Zugangsservers an dem Sprachkommunikations-Endgerät und/oder an der Anwendungsbedienschnittstelle angezeigt. Der Benutzer kann dann die beiden angezeigten Quellrufnummern miteinander vergleichen und somit feststellen, dass sich der zur Zugangsprüfung tatsächlich berechtigte Zugangsserver über das Sprachkommunikations-Endgerät bei ihm meldet.
Zweckmäßigerweise wird eine Ende-Kennung bei der Eingabe des Benutzeridentifizierers und/oder des Zugangsidentifizierers erfasst. Eine solche Ende-Kennung ist beispielsweise eine Raute, ein Stern oder dergleichen, die an einem Mobilfunktelefon oder einem sonstigen Endgerät eingegeben werden.
Es ist möglich, das der Benutzer seinen Benutzeridentifizerer explizit eingibt, beispielsweise über eine Tastatur oder dergleichen. Es ist aber auch denkbar, dass der Benutzeridentifizerer auf dem Datennetz-Endgerät des Benutzers gespeichert ist und vom Anwendungsserver abgefragt wird. Eine bevorzugte Variante der Erfindung sieht jedoch vor, dass der Benutzer zu seiner Identifikation die dem Sprachkommunikations-Endgerät zugeordnete Teilnehmernummer angibt, zum Beispiel die Telefonnummer seines Mobilfunktelefons. Der Benutzeridenitifizierer ist beim Anwendungsserver und/oder beim Zugangsserver gespeichert. Somit ist beispielsweise im Falle des Mobilfunkte lefons ein Zugang zu dem Anwendungsserver nur für den Besitzer des Mobilfunktelefones möglich. Der Benutzer würde den Verlust seiner Mobilfunktelefones ohne weiteres bemerken, da ihm dieses physikalisch abhanden kommen würde. Somit kann eine fremde Person keinen Zugang zum Anwendungsserver erhalten, ohne dass dies der berechtigte Benutzer bemerkt.
Eine weitere Variante der Erfindung sieht ein Sperren des Zugangsvorgangs vor, wenn bei einer vorbestimmten Anzahl von Eingaben nicht der korrekte Zugangsidentifizierer angegeben wird. Der Zugangsindentifizierer kann somit nicht durch Ausprobieren herausgefunden werden. Die Sperrung übermittelt der Zugangsserver beispielsweise in Form einer Sperrungsinformation an den Anwendungsserver. Der Anwendungsserver zeigt die erfolgte Sperrung beispielsweise an der Anwendungsbedienschnittstelle an.
Vorzugsweise findet die Kommunikation am Sprachkommumikations-Endgerät in einem Sprachdialog statt. Dieser Sprachdialog kann vom Zugangsserver selbst oder mit Hilfe eines Sprachservers erfolgen, der dem Zugangsserver zugeordnet ist.
Ein weitere Variante der Erfindung verhindert, dass ein böswilliger Angreifer eine böswillige Zugangs-Transaktion während der parallel verlaufenden berechtigten Zugangs-Transaktion vornimmt. Hierfür sind die folgenden Schritte vorgesehen:

– Ausgeben eines Transaktionsidentifizierers an der Anwendungsbedienschnittstelle,
– Erfassen der Eingabe eines Eingabewertes für den Transaktionsidentifizierer an dem Sprachkommunikations-Endgerät,
– Sperren des Zugangsvorgangs, wenn der am Sprachkommunikations-Endgerät eingegebene Eingabewert nicht mit dem Transaktionsidentifizierer übereinstimmt.

Der Transaktionsidentifizerer verfällt nach jeder Transaktion, das heißt ohne einen korrekten Transaktionsidentifizierer ist ein Zugang zum Anwendungsserver nicht möglich. Für die Übermittlung des Transaktionsidentifizierers zur Anwendungsbedienschnittstelle wird eine verschlüsselte Verbindung besonders bevorzugt. Die Sperrung kann nach einer oder mehreren Fehleingaben von Transaktionsidentifizierern erfolgen.
Zweckmäßigerweise werden der Transaktionsidentifizerer und/oder die Quellrufnummer als Grafikdaten zur Ausgabe an der Anwendungsbedienschnittstelle oder zur Ausgabe an dem Sprachkommunikations-Endgerät übermittelt. Grafikdaten sind verhältnismäßig schwer auszuspähen.
Vorteilhafterweise wird der Zugangsvorgang gesperrt, wenn die Kommunikationsverbindung auf dem Sprachkommunikationsnetz um- und/oder weitergeleitet wird. Ein solcher Zustand wird beispielsweise über den D-Kanal bei einem ISDN-Telekommunikationsnetz (ISDN = Integrated Services Digital Network) signalisiert. Somit wird verhindert, dass ein nicht berechtigter Benutzer den Ruf zu seinem Endgerät umleitet. Vorzugsweise sind die Verbindungen auf dem Datennetz verschlüsselt und/oder gesichert.
Eine weitere Variante der Erfindung sieht vor, dass ein nach erfolgreicher Zugangsprüfung freigeschalteter Zugang von der Anwendungsbedienschnittstelle zu dem Anwendungsserver nach einer vorbestimmten Zeitdauer getrennt wird, wenn während dieser Zeitdauer keine Bedienerangaben an der Anwendungsbedienschnittstelle erfasst werden. Nach einer vorbestimmten Phase von Inaktivität des Benutzers wird somit der Zugang zum Anwendungsserver gesperrt.
Zweckmäßigerweise wird eine erfolgreiche Zugangsprüfung dem Benutzer dadurch signalisiert, dass eine Bestätigungsinformation an das Sprachkommunikations-Endgerät gesendet wird. Hierfür eignet sich beispielsweise eine sogenannte Short-Message-Nachricht.
Bezüglich der Infrastruktur sind verschiedene Anordnungen möglich. Beispielsweise kann der Anwendungsserver mit dem Datennetz-Endgerät direkt kommunizieren, das heißt der Zugangsserver ist nach erfolgreich absolvierter Zugangsprüfung am Datenverkehr zwischen Anwendungsserver und Anwendungsbedienschnittstelle unbeteiligt. Es ist aber auch eine andere Variante möglich, bei der der Zugangsserver dem Anwendungsserver sozusagen vorgeschaltet ist. Der Datenverkehr zwischen Anwendungsbedienschnittstelle und Anwendungsserver läuft dann über den Zugangsserver. Es versteht sich, dass auch Mischformen möglich sind, das heißt, dass ein Teil des Datenverkehrs zwischen der Anwendungsbedienschnittstelle und dem Anwendungsserver direkt und ein anderer Teil indirekt über den Zugangsserver abgewickelt wird.
Bei einer Konstellation, bei der der Zugangsserver als ein Authentisierungssystem dem Anwendungsserver vorgeschaltet ist, diesen also vor einem direkten Zugriff von der Anwendungsbedienschnittstelle abschirmt, ist es bevorzugt, dass der Zugangsserver dem Anwendungsserver Zugangsdaten, die man auch als Authentisierungsdaten oder sogenannte "Credentials" bezeichnet, an den Anwendungsserver übermittelt. Dabei ist es beispielsweise möglich, dass der Anwendungsserver auf an sich bekannte Weise mit Benutzername und Kennwort vor unberechtigtem Zugriff geschützt ist. Diese Schnittstelle wird vom Zugangsserver bedient. Der Zugangsserver sendet in seinen Zugangsdaten beispielsweise den Benutzernamen und das Kennwort. Der Zugangsserver jedoch verlangt vom Benutzer eine erfindungsgemäße, vorbeschriebene Authentisierung über das Sprachkommunikations-Endgerät und das Sprachkommunikationsnetz.
Weiterhin ist bevorzugt, dass der Zugangsidentifizierer ausschließlich über das Sprachkommunikationsnetz übertragen wird. Es versteht sich, dass auch eine Variante denkbar ist bei der Zugangsidentifizierter auch über zumindest einen Teil des Datennetzen transportiert wird, beispielsweise auf einer gesicherten und verschlüsselten Verbindung zwischen dem Sprachserver und dem Zugangsserver. Es kann beispielsweise auch eine reservierte Leitung vorgesehen sein.
Bei der Realisierung der Erfindung sind verschiedene Varianten möglich. Die genannten Server können jeweils individuelle Computersysteme sein, die einen oder mehrere Computer enthalten. Es ist aber auch eine Realisierung mit Software möglich, bei der die genannten Server Programm-Module bzw. Software-Module sind, die vorbeschriebenen Funktionen ausführen. Auch Kombinationen von Soft- und Hardware sind möglich.
Nachfolgend wird ein Ausführungsbeispiel der Erfindung anhand der Zeichnung näher erläutert. Die Figur zeigt ein Ausführungsbeispiel einer erfindungsgemäßen Anordnung mit einem Anwendungs- einem Zugangs- und einem Sprachserver, die jeweils erfindungsgemäß ausgestaltet sind, sowie einem Datennetz- und einem Sprachkommunikationsendgerät.
Ein Benutzer 9 möchten an seinem Datennetz-Endgerät 10 über eine Anwendungs-Bedienschnittstelle 11 Zugang zu einem Anwendungsserver 12 erhalten. Das Endgerät 10 ist beispielsweise ein Personalcomputer, die Bedienschnittstelle 11 ein Internet-Browser. Der Anwendungsserver 12 stellt beispielsweise ein sogenanntes personalisiertes Informationsportal zur Verfügung. Der Benutzer 9 erhält vom Anwendungsserver 12 beispielsweise vertraulich, das heißt, nicht öffentliche Daten.
Der Anwendungsserver 12 und das Endgerät 10 sind über eine Daten-Verbindung 13 auf einem Datennetz 14, zum Beispiel dem Internet, miteinander verbunden. Die Verbindung 13 ist vorzugsweise eine gesicherte und/oder verschlüsselte Verbindung.
Der Anwendungsserver 12 bedient die Bedienschnittstelle 11, über die der Benutzer 9 mit den Anwendungsserver 12 kommuniziert. Beispielsweise sendet der Anwendungsserver 11 HTML-Daten oder dergleichen an das Endgerät 10 (HTML = HyperText Markup Language). Hierfür ist ein Schnittstellenmodul 15 vorgesehen, dessen Programmcode von einem nicht dargestellten Prozessor des Anwendungsservers 12 ausgeführt wird. Das Schnittstellenmodul 15 erfasst einen Benutzeridentifizierer 16 des Benutzers 9. Somit bildet das Schnittstellenmodul 15 ein Erfassungsmittel. Der Benutzer 9 gibt den Benutzeridentifizierer 16 beispielsweise in ein Formularfeld 17 an der Bedienschnittstelle 11 ein. Der Benutzeridentifizierer 16 ist beispielsweise der Name des Benutzers 9. Eine bevorzugte Variante der Erfindung sieht jedoch vor, dass der Benutzer 9 als seinen Benutzeridentifizerer 16 die Rufnummer 18 seines Sprachkommunikations-Endgeräts 19 angibt. Das Endgerät 19 ist beispielsweise ein Mobilfunktelefon.
Es ist aber auch möglich, dass der Benutzeridenitifizierer 16 in einem Speicher des Endgeräts 10 abgelegt ist, den das Schnittstellenmodul 15 abfragt. Ferner ist es möglich, dass das Schnittstellenmodul 15 als Benutzeridentifizierer 16 den Namen des Benutzers 9 erhält, und diesen anhand einer internen Zuordnungstabelle der Rufnummer 18 zuordnet.
Nach Erhalt des Benutzeridentifizierers 16 weist das Schnittstellenmodul 15 den Benutzer 9 anhand eines Hinweises 20, beispielsweise in Form eines Hinweistextes, darauf hin, dass er sich nun über sein Endgerät 19 authentisieren muss, das heißt Zugang zu den weiteren vom Anwendungsserver 12 bereitgestellten Diensten verschaffen muss. Das Schnittstellenmodul 15 übermittelt den Benutzeridentifizerer 16 an ein Sendemittel 21, welches den Benutzeridentifizerer 16 an einen Zugangsserver 22 übermittelt. Der Anwendungsserver 12 geht dann in eine Art Wartezustand, in dem er auf eine Authentisierung des Benutzers 9 wartet. Im Hinweis 20 ist beispielsweise eine Rufnummer 24 des Sprachservers 23 enthalten, der im Zusammenwirken mit dem Zugangsserver 22 die Authentifizierung des Benutzers 9 durchführt. Der Sprachserver 23 übermittelt die Rufnummer 24 beispielsweise als sogenannten Calling Line Identifier (CLI) an das Endgerät 19, welches die Rufnummer 24 an einem Display 25 anzeigt. Beide Endgeräte 10 und 19 zeigen somit die Rufnummer 24 an, das heißt der Benutzer 9 kann die Rufnummer vergleichen und feststellen, ob sich das zuständige und berechtigte Zugangs- und Sprachdialogsystem, vorliegend der Sprachserver 23, mit dem Endgerät 19 in Verbindung gesetzt hat.
Zweckmäßigerweise ist die Rufnummer 24 des Sprachservers 23 in einem Telefonbuch des Endgeräts 19 im Zusammenhang mit dem Namen des Sprachservers 23 eingespeichert. Wenn der Sprachserver 23 das Endgerät 19 anruft, wird sein Namen angezeigt.
Der weitere Authentisierungsvorgang verläuft folgendermaßen: ein Empfangsmittel 26 des Zugangsservers 22, beispielsweise eine eine Verbindungsschnittstelle bedienende Software, empfängt den Benutzeridentifizierer 16. Ein Kommunikationsmittel 27, beispielsweise eine Schnittstellensoftware, baut eine Kommunikationsverbindung 28 zu dem Sprachserver 23 auf und übermittelt auf dieser den Benutzeridentifizerer 16, bei dem es sich vorliegend um die Rufnummer 18 des Endgeräts 19 handelt. Die Kommunikationsverbindung 28 wird auf dem Datennetz 14 aufgebaut.
Der Sprachserver 23 empfängt den Benutzeridentifizierer 16 mit Hilfe von Empfangsmitteln 29, die von einem Schnittstellenmodul, einer Schnittstellenkarte oder dergleichen gebildet werden. Anhand des Benutzeridentifizerers 16 baut der Sprachserver 23 eine Rufverbindung 30 zum Endgerät 19 auf einem Sprach-Kommunikationsnetz 31, beispielsweise einem Mobilfunknetz, auf. Hierfür sind Verbindungsmittel 32, beispielsweise eine Funkschnittstelle, vorgesehen. Über die Verbindungsmittel 32 fordert der Sprachserver 23 den Benutzer 9 zur Eingabe eines Zugangsidenifizerers, beispielsweise einer PIN (Personal Identification Number) auf.
Das Endgerät 19, das mit einer Funkschnittstelle 33 die Rufverbindung 30 bedient, gibt die entsprechenden Sprachdaten über einen Lautsprecher 34 aus. Der Benutzer 9 spricht den Zugangsidentifizierer 35 aus. Das Endgerät 19 erfasst die entsprechenden Daten mit einem Mikrofon 36 und übermittelt sie an den Sprachserver 23. Es ist aber auch möglich und zur Vermeidung unerwünschten Mithörens besonders bevorzugt, dass der Benutzer 9 den Zugangsidentifizierer 35 an einer Tastatur (nicht dargestellt) des Endgeräts 19 eingibt.
Der Sprachserver 23 erfasst den Zugangsidentifizierer 35 mit Hilfe von Erfassungsmitteln 37, bei denen es sich beispielsweise um ein Spracherkennungsmodul handelt. Sendemittel 38 des Sprachservers 23, beispielsweise ein Sendemodul, übermitteln den Zugangsidentifizerer 35 an den Zugangsserver 22. Dieser überprüft nun ob der eingegebene Zugangsidentifizierer 35 mit einem vorbestimmten Wert 39 übereinstimmt. Der Wert 39 ist beispielsweise zusammen mit dem Benutzeridentifizerer 16 in einer Zuordnungstabelle 40 abgelegt. Beim Sprachserver 23 empfangen Erfassungsmittel 41 den Zugangsidentifizerer 35. Bei den Erfassungsmitteln 41 handelt es sich beispielsweise um ein Schnittstellenmodul oder dergleichen. Die Erfassungsmittel 41 können beispielsweise ein Bestandteil eines Freigabemoduls 42 sein, das ein Freigabemittel zur Überprüfung des Zugangsidentifizerers 35 bildet. Das Freigabemodul 32 vergleicht die beiden Werte 39 und 35. Bei Übereinstimmung sendet es eine Freigabekennung an den Anwendungsserver 12, der diese mit Empfangsmitteln 44 empfängt. Die Empfangsmittel 44 oder spezielle Freigabemittel 45 signalisieren dem Schnittstellenmodul 15, dass nunmehr der Zugang zum Anwendungsserver 12, das heißt z.B. zu vertraulichen Daten, gewährt wird. Das Schnittstellenmodul 15 verlässt dann den Wartezustand und nimmt weitere Eingaben an der Bedienschnittstelle 11 entgegen.
Wenn für eine vorbestimmte Zeit keine Eingaben an der Bedienschnittstelle 11 erfolgen oder die Verbindung 13 beendet wird, wird der Zugang wieder gesperrt.
Stellt der Zugangsserver 22 fest, dass die Zugangskennung 35 nicht mit dem Wert 39 übereinstimmt, fordert er den Benutzer 9 mit Hilfe des Sprachservers 23 zu einer erneuten Eingabe eines Zugangsidentifizerers auf. Dieser Vorgang wird beispielsweise zwei oder dreimal wiederholt. Erfolgt mehrfach eine Falscheingabe des Zugangsidentifizierers, wird die Zugangsprozedur gesperrt. Eine Wiederfreischaltung kann dann beispielsweise durch einen Systemadministrator oder nach Ablauf einer Sperrzeit automatisch erfolgen. Die Sperrung des Zugangs signalisiert der Zugangsserver 22 dem Anwendungsserver 12. Das Schnittstellenmodul 15 übermittelt einen entsprechenden Hinweis an die Bedienschnittstelle 11, der von dieser ausgegeben wird.
Der Zugang zum Anwendungsserver 12 über die Anwendungsbedienschnitte 11 kann auch dadurch beendet werden, dass der Benutzer 9 sich beim Anwendungsserver 12 ausdrücklich abmeldet, beispielsweise durch Betätigen eines entsprechenden Symbols an der Bedienschnittstelle 11.
Eine weitere Sicherheit wird dadurch erreicht, dass das Schnittstellenmodul 15 eine Transaktionsnummer TAN an die Bedienschnittstelle 11 übermittelt. Die Transaktionsnummer 46 wird beispielsweise in Form einer Grafikdatei übermittelt. Der Benutzer 9 gibt den Wert der TAN 46 am Endgerät 19 ein, wozu er beispielsweise mit Hilfe eines Sprachdialogs aufgefordert wird. Die Eingabe erfolgt beispielsweise an einer Tastatur des Endgeräts 19, wobei der Benutzer 9 den Eingabevorgang durch Drücken einer Sterntaste oder einer sonstigen Taste abbrechen kann oder das Ende der Aktion mit Hilfe der Rautetaste oder einer sonstigen Taste als einer Endekennung bestätigen kann. Die gleiche Vorgehensweise ist im übrigen auch bei der Eingabe des Zugangsidentifizerers 35 möglich.
Jedenfalls wird die TAN 46 vom Endgerät 19 an den Sprachserver 23 und weiter an den Zugangsserver 22 übermittelt. Die TAN 46 wird einmalig und eindeutig pro Authentifizierungsvorgang vergeben. Durch die einmalige Vergabe wird sichergestellt, dass sich kein unberechtigter Nutzer in den Authentisierungsvorgang einklingt. Dabei sind zwei Vorgehensweisen möglich: Der Anwendungsserver 12 überträgt seine TAN 46 an den Zugangsserver 22, welcher die vom Sprachserver 23 und vom Anwendungsserver 12 erhaltenen TAN-Werte vergleicht, oder der Zugangsserver 22 übermittelt seinen TAN-Wert an den Anwendungsserver 12, welcher überprüft, ob der Zugangsserver 22 die korrekte Transaktionsnummer vom Endgerät 19 erhalten hat.
Eine erfolgte Authentisierung kann der Zugangsserver 22 z.B. mit Hilfe einer SMS-Nachricht an das Endgerät 19 signalisieren. In der Nachricht können beispielsweise das Datum und die Uhrzeit der Authentisierung und/oder eine Kennung des Zugangsservers 22 enthalten sein.
Eine Variante der Erfindung sieht vor, dass der Anwendungsserver 12, der Zugangsserver 22 und der Sprachserver 23 eine sogenannte Signaturanwendungskomponente bilden. In dieser Variante ist es dann möglich, dass eine elektronische Signatur mit Hilfe der vorgenannten Komponenten erfolgt. Dabei wird folgendermaßen vorgegangen. Der Anwendungsserver 12 sendet beispielsweise ein elektronisch zu signierendes Dokument an die Anwendungsbedienschnittstelle 11, die das Dokument visualisiert. In der erläuterten Weise fordern dann der Zugangsserver 22 und der Sprachserver 23 den Benutzer 9 zur Eingabe des Zugangsidenifizierers 35 auf. Das Freigeben des Zugangs zu dem Anwendungsserver 12 entspricht dann der Freischaltung eines Signaturschlüssels. Dabei wird z.B. die Freigabekennung 43 an den Anwendungsserver 12 übermittelt oder der Zugangsidentifizierer (PIN) 35. Der Anwendungsserver 12 schaltet dann einen Signaturschlüssel 47 frei, mit dem eine elektronische Signatur erstellt wird. Mit Hilfe einer sogenannten "sicheren Signaturerstellungseinheit" 48, die sozusagen durch die korrekte Eingabe des Zugangsidentifizierers 35 am Sprachkommunikations-Endgerät 19 freigegeben wird, wird nun eine elektronische Signatur an dem an der Bedienschnittstelle 11 visualisierten Dokument angebracht. Bei der Signaturerstellungsein heit 48 handelt es sich beispielsweise um eine oder mehrere Chipkarten und einem oder mehreren diesen zugeordneten Kartenleseeinheiten und/oder um eine kryptografische Koprozessoreinheit, in der der Signaturschlüssel des Benutzers 9, der beim Anwendungsserver 12 registriert ist, hinterlegt ist.
Weitere Varianten der Erfindung sind ohne weiteres möglich:
Beispielsweise können der Anwendungsserver, der Zugangsserver und der Sprachserver durch ein einziges Serversystem gebildet werden. Ferner ist es möglich, dass der Zugangsserver den Sprachserver, beispielsweise in Form eines sogenannten Sprachservermoduls, enthält.
Es versteht sich, dass auch der Benutzer 9 mit seinem Endgerät 19 den Zugangsserver 22 und/oder den Sprachserver 23 anrufen kann. Der Zugangsserver 22 bzw. der Sprachserver 23 können dann anhand der im Zusammenhang mit dem Rufaufbau übermittelten Rufnummer 18 des Endgeräts 19 ermitteln, ob Endgerät 19 zu dem Anruf berechtigt ist.
Die TAN 46 kann am Endgerät 19 beispielsweise in Form einer Tonwahl und/oder einer ISDN-Nachwahl eingegeben werden.

Claims

Verfahren zur Zugangsprüfung eines Benutzers (9) für einen Anwendungsserver (12) über ein Datennetz (14) und ein Sprachkommunikationsnetz (31), mit den Schritten: – Erfassen eines dem Benutzer (9) zugeordneten Benutzeridentifizierers (16) an einer bei einem Datennetz-Endgerät (10) des Benutzers (9) vorgesehenen Anwendungsbedienschnittstelle (11) für den Anwendungsserver (12), – Übermitteln des Benutzeridentifizierers (16) an einen Zugangsserver (22) über das Datennetz (14), – Aufbauen einer Kommunikationsverbindung (30) zu einem Sprachkommunikations-Endgerät (19) des Benutzers (9) über das Sprachkommunikationsnetz (31), – Erfassen eines von dem Benutzer (9) an dem Sprachkommunikations-Endgerät (19) eingegebenen Zugangsidentifizierers (35), – Übermitteln des Zugangsidentifizierers (35) an den Zugangsserver (22) über das Sprachkommunikationsnetz (31), und – Freigeben des Zugangs zu dem Anwendungssystem für die Anwendungsbedienschnittstelle (11) und/oder Freischaltung eines elektronischen Signaturschlüssels (47) bei dem Anwendungsserver, wenn der von dem Benutzer eingegebene Zugangsidentifizierer (35) oder ein von diesem abgeleiteter Wert mit einem vorbestimmten Wert (39) übereinstimmt.
Verfahren nach Anspruch 1, gekennzeichnet durch den Schritt: Übermitteln einer Freigabekennung (43) durch den Zugangsserver (22) an den Anwendungsserver (12).
Verfahren nach Anspruch 1 oder 2, gekennzeichnet durch den Schritt: Hinweisen des Benutzers (9) an dem Datennetz-Endgerät (10) auf eine bevorstehende Zugangsprüfung über das Sprachkommunikations-Endgerät (19).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt: Anzeigen einer Quellrufnummer (24) des Zugangsservers (22) an dem Sprachkommunikations-Endgerät (19) und/oder an der Anwendungsbedienschnittstelle (11).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt: Erfassen einer Ende-Kennung bei der Eingabe des Benutzeridentifizierers (16) und/oder des Zugangsidentifizierers (35).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt: Sperren des Zugangsvorgangs, wenn bei einer vorbestimmten Anzahl von Eingaben nicht der korrekte Zugangsidentifizierer (35) angegeben wird.
Verfahren nach Anspruch 6, gekennzeichnet durch den Schritt: Übermitteln einer Sperrungsinformation von dem Zugangsserver (22) an den Anwendungsserver (12).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt: Ausgeben von Daten und/oder Erfassen von Daten über einen Sprachdialog an dem Sprachkommunikations-Endgerät (19), insbesondere durch einen dem Zugangsserver (22) zugeordneten Sprachserver (23).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch die weiteren Schritte: – Ausgeben eines Transaktionsidentifizierers (46) an der Anwendungsbedienschnittstelle (11), – Erfassen der Eingabe eines Eingabewertes für den Transaktionsidentifizierer (46) an dem Sprachkommunikations-Endgerät (19), – Sperren des Zugangsvorgangs, wenn der am Sprachkommunikations-Endgerät (19) eingegebene Eingabewert nicht mit dem Transaktionsidentifizierer (46) übereinstimmt, wobei an dem am Sprachkommunikations-Endgerät (19) kein Fehlversuch oder eine vorbestimmte Anzahl von Fehlversuchen möglich ist.
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch die Schritte: Übermitteln des Transaktionsidentifizierers (46) und/oder der Quellrufnummer (24) als Grafikdaten zur Ausgabe an der Anwendungsbedienschnittstelle (11) und/oder zur Ausgabe an dem Sprachkommunikations-Endgerät (19).
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch den Schritt: Sperren des Zugangsvorgangs, wenn die Kommunikationsverbindung (30) zu dem Sprachkommunikations-Endgerät (19) als ein um- und/oder weitergeleiteter Ruf aufgebaut wird.
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch: Aufbauen einer gesicherten und/oder verschlüsselten Datennetz-Verbindung zwischen dem Datennetz-Endgerät (10) und dem Zugangsserver (22) und/oder zwischen dem Anwendungsserver (12) und dem Zugangsserver (22) und/oder zwischen dem Zugangsserver (22) und dem Sprachserver (23).
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Anwendungsserver (12) mit dem Datennetz-Endgerät (10) direkt und/oder über den Zugangsserver (22) kommuniziert.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Zugangsserver (22) dem Anwendungsserver (12) vorgeschaltet ist und dem Anwendungsserver (12) Zugangsdaten übermittelt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Zugangsidentifizierer (35) ausschließlich über das Sprachkommunikationsnetz (31) übertragen wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein nach erfolgreicher Zugangsprüfung freigeschalteter Zugang von der Anwendungsbedienschnitt stelle (11) zu dem Anwendungsserver (12) nach einer vorbestimmten Zeitdauer getrennt wird, wenn während dieser Zeitdauer keine Bedienereingaben an der Anwendungsbedienschnittstelle (11) erfasst werden.
Verfahren nach einem der vorhergehenden Ansprüche, gekennzeichnet durch Senden einer Bestätigungsinformation an das Sprachkommunikations-Endgerät (19), insbesondere als Short-Message-Nachricht, wenn der Benutzer (9) zu dem Anwendungsserver (12) Zugang erhalten darf.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass an der Anwendungsbedienschnittstelle (11) vertrauliche Daten, insbesondere bei der Kommunikation mit einer staatlichen Institution, ausgegeben und/oder eingegeben werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass als der Benutzeridentifizierer (16) eine dem Sprachkommunikations-Endgerät (19) zugeordnete Teilnehmernummer verwendet wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Anwendungsserver (12) mit Hilfe des Signaturschlüssels (47) eine elektronische Signatur für ein an der Anwendungsbedienschnittstelle (11) angezeigtes Dokument erstellt.
Zugangsserver (22) zur Zugangsprüfung eines Benutzers (9) für einen Anwendungsserver (12) über ein Datennetz (14) und ein Sprachkommunikationsnetz (31), – mit Empfangsmitteln (26) zum Empfangen eines Benutzeridentifizierers (16) von dem Anwendungsserver (12) über das Datennetz (14), – mit Kommunikationsmitteln (27) zum Aufbauen einer Kommunikationsverbindung (30) zu einem Sprachkommunikations-Endgerät (19) des Benutzers (9) über das Sprachkommunikationsnetz (31) oder über einen vorgeschalteten Sprachserver (23), – mit Erfassungsmitteln (41) zum Erfassen eines von dem Benutzer an dem Sprachkommunikations-Endgerät (19) eingegebenen Zugangsidentifizierers (35), und – mit Freigabemitteln (42) zum Freigeben des Zugangs zu dem Anwendungsserver für eine Anwendungsbedienschnittstelle (11) eines Datennetz-Endgeräts (10) des Benutzers (9) und/oder zur Freischaltung eines elektronischen Signaturschlüssels (47) bei dem Anwendungsserver, wenn der von dem Benutzer (9) eingegebene Zugangsidentifizierer (35) oder ein von diesem abgeleiteter Wert mit einem vorbestimmten Wert (39) übereinstimmt.
Anwendungsserver (12) zur Zusammenwirkung mit einem Zugangsserver (22) zur Zugangsprüfung eines Benutzers (9) für den Anwendungsserver (12) über ein Datennetz (14) und ein Sprachkommunikationsnetz (31), – mit Erfassungsmitteln (15) zum Erfassen eines dem Benutzer zugeordneten Benutzeridentifizierers (16) an einer Anwendungsbedienschnittstelle (11) für den Anwendungsserver (12) an einem Datennetz-Endgerät (10) des Benutzers (9), – mit Sendemitteln (21) zum Übermitteln des Benutzeridentifizierers (16) an den Zugangsserver (22) über das Datennetz (14), – mit Empfangsmitteln (44) zum Empfangen einer Freigabekennung (43) von dem Zugangsserver (22), und – mit Freigabemitteln (45) zum Freigeben des Zugangs zu dem Anwendungssystem für die Anwendungsbedienschnittstelle (11) und/oder zur Freischaltung eines elektronischen Signatur-Schlüssels (47) nach dem Empfang der Freigabekennung (43).
Anwendungsserver (12) nach Anspruch 22, dadurch gekennzeichnet, dass er Signaturerstellungsmittel (48) aufweist.
Sprachserver (23) zur Zusammenwirkung mit einem Zugangsserver (22) zur Zugangsprüfung eines Benutzers (9) für einen Anwendungsserver (12) über ein Datennetz (14) und ein Sprachkommunikationsnetz (31), – mit Empfangsmitteln (29) zum Empfangen eines dem Benutzer zugeordneten Benutzeridentifizierers (16) von dem Zugangsserver (22), – mit Verbindungsmitteln (32) zum Aufbauen einer Kommunikationsverbindung (30) zu einem Sprachkommunikations-Endgerät (19) des Benutzers über das Sprachkommunikationsnetz (31), – mit Erfassungsmitteln (37) zum Erfassen eines von dem Benutzer (9) an dem Sprachkommunikations-Endgerät (19) eingegebenen Zugangsidentifizierers (35), und – mit Sendemitteln (38) zum Senden des Zugangsidentifizierers (35) an den Zugangsserver (22).
Zugangsserver (22) nach Anspruch 21 oder Anwendungsserver (12) nach Anspruch 22 oder 23 oder Sprachserver (23) nach Anspruch 24, dadurch gekennzeichnet, dass sie als Programm-Module ausgestaltet sind, die Programmcode enthalten, der von einem Prozessor eines Computers ausgeführt werden kann.
Speichermedium mit einem Zugangsserver (22) -Modul und/oder einem Anwendungsserver-Modul und/oder einem Sprachserver-Modul nach Anspruch 25.