-
TECHNISCHES GEBIET
-
Die vorliegende Offenbarung betrifft im Allgemeinen die Informationssicherheit und insbesondere ein Verwenden von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT, Internet of Things) durch Verwendung von Identitätsnachweisen von einer oder mehreren benachbarten loT-Einheiten zum Erstellen eines Zweitfaktor-Berechtigungsnachweises.
-
HINTERGRUND
-
Bei Informationssicherheit, manchmal auch als Infosec abgekürzt, handelt es sich um die Praxis des Schützens von Informationen durch Abmildern von Informationsrisiken. Zum Beispiel versucht die Informationssicherheit, die Teil der Verwaltung von Informationsrisiken ist, die Wahrscheinlichkeit eines unbefugten/zweckwidrigen Zugriffs auf Daten oder die unrechtmäßige Verwendung, Offenlegung, Beeinträchtigung, Löschung, Verfälschung, Abänderung, Einsichtnahme, Aufzeichnung oder Entwertung von Informationen zu verhindern oder zumindest zu verringern. Sie umfasst auch Maßnahmen, die darauf abzielen, die ungünstigen Auswirkungen derartiger Vorfälle zu verringern.
-
Eine Technik zum Bereitstellen von Informationssicherheit besteht in der Mehrfaktorauthentifizierung, wobei es sich um ein elektronisches Authentifizierungsverfahren handelt, bei dem zum Beispiel ein Computerbenutzer erst dann Zugriff auf eine Website oder eine Anwendung erhalten kann, nachdem er einem Authentifizierungsmechanismus zwei oder mehr Nachweise (oder Faktoren) erfolgreich vorgelegt hat: Wissen (etwas, das der Benutzer und nur der Benutzer weiß), Besitz (etwas, das der Benutzer und nur der Benutzer besitzt) und Inhärenz (etwas, das der Benutzer und nur der Benutzer ist). Sie schützt den Benutzer davor, dass eine unbekannte Person versucht, auf seine Daten zuzugreifen, wie zum Beispiel auf persönliche Identifizierungsdaten oder Finanzanlagen.
-
Die Zwei-Faktor-Authentifizierung (auch bekannt als 2FA) ist eine Art oder Untergruppe der Mehrfaktorauthentifizierung. Es ist ein Verfahren zum Bestätigen der angegebenen Identitäten von Benutzern durch Verwendung einer Kombination von zwei verschiedenen Faktoren: 1) etwas, das sie wissen, 2) etwas, das sie besitzen, oder 3) etwas, das sie sind. Eine Authentifizierungsanwendung eines Drittanbieters (TPA, third-party authenticator) kann eine Zwei-Faktor-Authentifizierung ermöglichen, und zwar in der Regel durch Anzeigen eines zufällig erstellten und ständig aktualisierten Codes, den der Benutzer verwenden kann.
-
Während die Mehrfaktorauthentifizierung zum Schützen von Informationen verwendet wird, um einen Zugriff auf eine Website oder Anwendung nur einem authentifizierten Computerbenutzer zu gewähren, gibt es bislang keine größeren Entwicklungen beim Schützen von Informationen, die auf Einheiten des Internets der Dinge (loT) gespeichert sind.
-
KURZDARSTELLUNG
-
In einer Ausführungsform der vorliegenden Offenbarung weist ein auf einem Computer ausgeführtes Verfahren zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT) ein Erhalten von Identitätsnachweisen durch die loT-Einheit während eines Zeitraums von einer oder mehreren anderen loT-Einheiten zum Erstellen eines Zweitfaktor-Berechtigungsnachweises auf. Das Verfahren weist darüber hinaus ein Bereitstellen einer Anfrage an ein Authentifizierungssystem zum Nachweisen einer Identität der loT-Einheit auf. Das Verfahren weist zusätzlich ein Bereitstellen eines Erstfaktor-Berechtigungsnachweises für das Authentifizierungssystem auf. Des Weiteren weist das Verfahren ein Empfangen einer Aufforderung von dem Authentifizierungssystem auf, den Zweitfaktor-Berechtigungsnachweis bereitzustellen. Zusätzlich weist das Verfahren ein Rückmelden des Zweitfaktor-Berechtigungsnachweises auf, der auf der Grundlage der festgestellten Berechtigungsnachweise erstellt wurde, die von der einen oder den mehreren anderen IoT-Einheiten erhalten wurden. Zusätzlich weist das Verfahren ein Empfangen eines Hinweises von dem Authentifizierungssystem auf, dass die loT-Einheit die Identität der loT-Einheit als Reaktion darauf nachgewiesen hat, dass der Zweitfaktor-Berechtigungsnachweis eine Mindestanzahl von erforderlichen Identitätsnachweisen enthält.
-
Andere Formen der Ausführungsform des vorstehend beschriebenen, auf einem Computer ausgeführten Verfahrens bestehen aus einem System und in einem Computerprogrammprodukt.
-
Das Vorstehende hat die Eigenschaften und technischen Vorteile einer oder mehrerer Ausführungsformen der vorliegenden Offenbarung eher allgemein umrissen, damit die folgende ausführliche Beschreibung der vorliegenden Offenbarung besser verstanden werden kann. Zusätzliche Eigenschaften und Vorteile der vorliegenden Offenbarung werden nachfolgend beschrieben und können den Gegenstand der Ansprüche der vorliegenden Offenbarung bilden.
-
KURZBESCHREIBUNG DER ZEICHNUNGEN
-
Man erhält ein besseres Verständnis der vorliegenden Offenbarung, wenn man die folgende ausführliche Beschreibung in Verbindung mit den folgenden Zeichnungen betrachtet, in denen:
- 1 eine Umgebung des Internets der Dinge (loT) zum praktischen Umsetzen der Grundsätze der vorliegenden Offenbarung gemäß einer Ausführungsform der vorliegenden Offenbarung veranschaulicht;
- 2 eine Ausführungsform der vorliegenden Offenbarung einer Hardware-Konfiguration der loT-Einheit veranschaulicht;
- 3 eine Ausführungsform der vorliegenden Offenbarung der Hardwarekonfiguration des Authentifizierungssystems veranschaulicht, die stellvertretend für eine Hardwareumgebung zum praktischen Umsetzen der vorliegenden Offenbarung steht;
- 4 ein Ablaufplan eines Verfahrens zum Ermitteln der Anforderungen für ein Erstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit beim Authentifizieren der loT-Einheit während der Einrichtungsphase gemäß einer Ausführungsform der vorliegenden Offenbarung ist; und
- 5 ein Ablaufplan eines Verfahrens einer Ausführungsphase beim Authentifizieren der loT-Einheit durch Bereitstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit für das Authentifizierungssystem unter Verwendung der Identitätsnachweise einer Mindestanzahl von erforderlichen benachbarten loT-Einheiten gemäß einer Ausführungsform der vorliegenden Offenbarung ist.
-
AUSFÜHRLICHE BESCHREIBUNG
-
Wie im Abschnitt „Hintergrund“ dargelegt, handelt es sich bei Informationssicherheit, manchmal auch als Infosec abgekürzt, um die Praxis des Schützens von Informationen durch Abmildern von Informationsrisiken. Zum Beispiel versucht die Informationssicherheit, die Teil der Verwaltung von Informationsrisiken ist, die Wahrscheinlichkeit eines unbefugten/zweckwidrigen Zugriffs auf Daten oder die unrechtmäßige Verwendung, Offenlegung, Beeinträchtigung, Löschung, Verfälschung, Abänderung, Einsichtnahme, Aufzeichnung oder Entwertung von Informationen zu verhindern oder zumindest zu verringern. Sie umfasst auch Maßnahmen, die darauf abzielen, die ungünstigen Auswirkungen derartiger Vorfälle zu verringern.
-
Eine Technik zum Bereitstellen von Informationssicherheit besteht in der Mehrfaktorauthentifizierung, wobei es sich um ein elektronisches Authentifizierungsverfahren handelt, bei dem zum Beispiel ein Computerbenutzer erst dann Zugriff auf eine Website oder eine Anwendung erhalten kann, nachdem er einem Authentifizierungsmechanismus zwei oder mehr Nachweise (oder Faktoren) erfolgreich vorgelegt hat: Wissen (etwas, das der Benutzer und nur der Benutzer weiß), Besitz (etwas, das der Benutzer und nur der Benutzer besitzt) und Inhärenz (etwas, das der Benutzer und nur der Benutzer ist). Sie schützt den Benutzer davor, dass eine unbekannte Person versucht, auf seine Daten zuzugreifen, wie zum Beispiel auf persönliche Identifizierungsdaten oder Finanzanlagen.
-
Die Zwei-Faktor-Authentifizierung (auch bekannt als 2FA) ist eine Art oder Untergruppe der Mehrfaktorauthentifizierung. Es ist ein Verfahren zum Bestätigen der angegebenen Identitäten von Benutzern durch Verwendung einer Kombination von zwei verschiedenen Faktoren: 1) etwas, das sie wissen, 2) etwas, das sie besitzen, oder 3) etwas, das sie sind. Eine Authentifizierungsanwendung eines Drittanbieters (TPA, third-party authenticator) kann eine Zwei-Faktor-Authentifizierung ermöglichen, und zwar in der Regel durch Anzeigen eines zufällig erstellten und ständig aktualisierten Codes, den der Benutzer verwenden kann.
-
Während die Mehrfaktorauthentifizierung zum Schützen von Informationen verwendet wird, um einen Zugriff auf eine Website oder Anwendung nur einem authentifizierten Computerbenutzer zu gewähren, gibt es bislang keine größeren Entwicklungen beim Schützen von Informationen, die auf Einheiten des Internets der Dinge (loT) gespeichert sind.
-
Bei einer loT-Einheit handelt es sich um eine Hardware mit einem Sensor, die Daten über das Internet von einem Ort an einen anderen übermittelt. Zu Arten von IoT-Einheiten gehören drahtlose Sensoren, Software, Aktuatoren und Computereinheiten. Zum Beispiel können loT-Einheiten in folgenden Bereichen eingesetzt werden: verbundene Vorrichtungen, intelligente Sicherheitssysteme für das eigene Haus, autonome landwirtschaftliche Geräte, tragbare Gesundheitsüberwachungsgeräte, intelligente Fabrikanlagen, drahtlose Bestandsverfolgungssysteme, drahtloses Ultrahochgeschwindigkeits-Internet, biometrische Cybersicherheitsscanner und Verfolgung von Transportbehältern und Logistik.
-
Um die Identität einer loT-Einheit zu authentifizieren oder nachzuweisen, verwendet die loT-Einheit üblicherweise einfach den herkömmlichen Benutzernamen und das Kennwort, wobei es sich um einen einzelnen Faktor handelt, was nicht das Sicherheitsniveau einer Mehrfaktorauthentifizierung bereitstellt.
-
Allerdings gibt es in jüngster Zeit einige Entwicklungen bei der Nutzung von Mehrfaktorauthentifizierung, um ein höheres Maß an Sicherheit für die auf einer loT-Einheit gespeicherten Daten bereitzustellen. Zum Beispiel speichert die loT-Einheit einen geheimen Schlüssel zum Erstellen eines zeitbasierten Kennworts. Eine authentifizierte Erkennungseinheit kann ebenfalls über denselben geheimen Schlüssel verfügen. Die IoT-Einheit stellt die gesicherte Verbindung mit der Erkennungseinheit über das drahtlose Netzwerk her. Dann verwendet die loT-Einheit den geheimen Schlüssel und eine aktuelle Zugriffszeit, um das zeitbasierte Kennwort zu erstellen, und empfängt ein zweites zeitbasiertes Kennwort von der Erkennungseinheit über die gesicherte Verbindung. Wenn beide zeitbasierten Kennwörter übereinstimmen, ist die Erkennungseinheit authentifiziert.
-
Bei diesem Ansatz handelt es sich um einen ähnlichen Ansatz wie den, der bei RSA-Schlüsselanhängern zum Bereitstellen eines zweiten Faktors verwendet wird. Unglücklicherweise ist ein derartiger Ansatz anfällig für unbefugte Manipulationen der Zeitquelle innerhalb der loT-Einheit.
-
Derzeit gibt es keine Möglichkeit zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT) auf eine sicherere Weise als bei früheren Versuchen.
-
Die Ausführungsformen der vorliegenden Offenbarung stellen ein Mittel zum Authentifizieren einer loT-Einheit unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise als bei früheren Versuchen bereit.
-
In einigen Ausführungsformen der vorliegenden Offenbarung weist die vorliegende Offenbarung ein auf einem Computer ausgeführtes Verfahren, ein System und ein Computerprogrammprodukt zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT) auf. In einer Ausführungsform der vorliegenden Offenbarung erhält die zu authentifizierende loT-Einheit die Identitätsnachweise einer oder mehrerer benachbarter loT-Einheiten. Derartige Identitätsnachweise können genutzt werden, um während eines Prozesses der Mehrfaktorauthentifizierung einen Zweitfaktor-Berechtigungsnachweis zu erstellen. In einer Ausführungsform koppelt das Authentifizierungssystem während eines Vertrauenszustands wie zum Beispiel beim Installieren der loT-Einheit und deren benachbarter loT-Einheiten die loT-Einheit mit vorgegebenen benachbarten loT-Einheiten, um mit diesen in ständigem Datenaustausch zu stehen. Das Authentifizierungssystem kann erfordern, dass der von der loT-Einheit erstellte, Zweitfaktor-Berechtigungsnachweis auf den Identitätsnachweisen beruht, die von mindestens einer Mindestanzahl dieser benachbarten loT-Einheiten oder von vorgegebenen loT-Einheiten aus diesen benachbarten loT-Einheiten bezogen wurden. In einer Ausführungsform erhält die loT-Einheit derartige Identitätsnachweise während eines „Nachbarbeobachtungszeitraums“, der einer angegebenen Zeitspanne entspricht, die regelmäßig, wie zum Beispiel in vorgegebenen Zeitabständen, auftreten kann. Nach einem Bereitstellen einer Anfrage an das Authentifizierungssystem zum Nachweisen der Identität der loT-Einheit stellt die loT-Einheit dem Authentifizierungssystem einen Erstfaktor-Berechtigungsnachweis bereit, wie zum Beispiel einen Benutzernamen und ein Kennwort, die innerhalb der loT-Einheit eingebettet sein können. Nachdem das Authentifizierungssystem die Richtigkeit des Erstfaktor-Berechtigungsnachweises bestätigt hat, wie zum Beispiel über eine Nachschlagetabelle, in der die der loT-Einheit zugehörigen Benutzernamen und Kennwörter aufgeführt sind, fordert es die loT-Einheit auf, den Zweitfaktor-Berechtigungsnachweis bereitzustellen. Nach einem Empfangen der Aufforderung des Authentifizierungssystems zum Bereitstellen des Zweitfaktor-Berechtigungsnachweises meldet die loT-Einheit den Zweitfaktor-Berechtigungsnachweis an das Authentifizierungssystem zurück, der auf der Grundlage der von der/den benachbarten IoT-Einheit(en) erhaltenen Identitätsnachweise erstellt wurde. Nachdem festgestellt wurde, dass der empfangene, Zweitfaktor-Berechtigungsnachweis die Identitätsnachweise vorgegebener benachbarter loT-Einheiten oder einer Mindestanzahl von vorgegebenen benachbarten loT-Einheiten umfasst, genehmigt das Authentifizierungssystem die Authentifizierung. Die loT-Einheit empfängt dann von dem Authentifizierungssystem einen Hinweis, dass die IoT-Einheit ihre Identität nachgewiesen hat. Auf diese Weise wird die IoT-Einheit unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise authentifiziert als bei früheren Versuchen.
-
In der folgenden Beschreibung werden zahlreiche spezifische Details dargelegt, um ein vollständiges Verständnis der vorliegenden Offenbarung bereitzustellen. Allerdings ist es für den Fachmann ersichtlich, dass die vorliegende Offenbarung auch ohne derartige konkrete Einzelheiten praktisch umgesetzt werden kann. In anderen Fällen werden allgemein bekannte Schaltkreise in Form von Blockschaltbildern gezeigt, um die vorliegende Offenbarung durch unnötige Details nicht unklar zu machen. Zum größten Teil wurden Details, welche den zeitlichen Ablauf und dergleichen betrachten, insofern weggelassen, als derartige Details nicht notwendig sind, um ein vollständiges Verständnis der vorliegenden Offenbarung zu erhalten, und als ein Fachmann Kenntnis von diesen hat.
-
Unter detaillierter Bezugnahme auf die Figuren im Einzelnen veranschaulicht 1 eine Umgebung 100 des Internets der Dinge (loT) zum praktischen Umsetzen der Grundsätze der vorliegenden Offenbarung gemäß einer Ausführungsform der vorliegenden Offenbarung. Die loT-Umgebung 100 umfasst ein Authentifizierungssystem 101, das über ein Netzwerk 103 mit loT-Einheiten 102A bis 102D (in 1 als „IoT-Einheit A“, „IoT-Einheit B“, „IoT-Einheit C“ bzw. „IoT-Einheit D“ bezeichnet) verbunden ist. Die loT-Einheiten 102 können zusammen oder einzeln als loT-Einheiten 102 bzw. loT-Einheit 102 bezeichnet sein.
-
Das Authentifizierungssystem 101 ist konfiguriert zum Authentifizieren oder Nachweisen der Identität der loT-Einheit 102 ohne menschliche Interaktion. In einer Ausführungsform erfordert das Authentifizierungssystem 101 eine Mehrfaktorauthentifizierung, die über einen einfachen Benutzernamen und ein Kennwort hinausgeht, um die Identität einer loT-Einheit 102 zu authentifizieren oder nachzuweisen. Zu Beispielen für Authentifizierungssysteme, die abgeändert werden können, um loT-Einheiten 102, wie hierin erörtert, ohne menschliche Interaktion zu authentifizieren, gehören HID DigitalPersona® und Duo Security von Cisco®. Eine Beschreibung der Hardware-Konfiguration des Authentifizierungssystems 101 wird weiter unten in Verbindung mit 3 bereitgestellt.
-
In einer Ausführungsform ist das Authentifizierungssystem 101 mit einer Datenbank 104 zum Speichern von Identitätsnachweisen von registrierten loT-Einheiten 102 verbunden, wie weiter unten erörtert.
-
In einer Ausführungsform handelt es sich bei der loT-Einheit 102 um eine Hardware mit einem Sensor, die Daten über das Internet von einem Ort an einen anderen übermittelt. Zu Arten der loT-Einheiten 102 gehören drahtlose Sensoren, Software, Aktuatoren und Computereinheiten. Zum Beispiel können loT-Einheiten 102 in folgenden Bereichen eingesetzt werden: verbundene Vorrichtungen, intelligente Sicherheitssysteme für das eigene Haus, autonome landwirtschaftliche Geräte, tragbare Gesundheitsüberwachungsgeräte, intelligente Fabrikanlagen, drahtlose Bestandsverfolgungssysteme, drahtloses Ultrahochgeschwindigkeits-Internet, biometrische Cybersicherheitsscanner und Verfolgung von Transportbehältern und Logistik.
-
Eine Beschreibung der Hardware-Konfiguration einer beispielhaften loT-Einheit 102 wird nachfolgend in Verbindung mit 2 bereitgestellt.
-
2 veranschaulicht eine Ausführungsform der vorliegenden Offenbarung der Hardwarekonfiguration der loT-Einheit 102 (1), die stellvertretend für eine Hardwareumgebung zum praktischen Umsetzen der vorliegenden Offenbarung steht.
-
Unter Bezugnahme auf 2 umfasst die loT-Einheit 102 einen Prozessor 201 und eine Datenspeichereinheit 202 (z.B. eine magnetische Speichereinheit, eine optische Speichereinheit, eine Flash-Speichereinheit), die in der Lage ist, ein Softwareprogramm oder eine Anwendung 203 wie zum Beispiel eine leichtgewichtige Anwendung per Hosting zur Verfügung zu stellen und auszuführen und mit anderen loT-Einheiten 102 und dem Authentifizierungssystem 101 über das Netzwerk 103 Daten auszutauschen, wie in 1 gezeigt. Der hierin verwendete Begriff „leichtgewichtige Anwendung“ bezieht sich auf ein Computerprogramm, das für einen geringen Speicherbedarf und eine niedrige CPU-Nutzung ausgelegt ist, wodurch dessen Nutzung von Systemressourcen insgesamt gering ist. In einer Ausführungsform werden die Programmanweisungen der Anwendung 203, einschließlich ihrer hierin erörterten Komponenten, durch den Prozessor 201 ausgeführt.
-
In einer Ausführungsform kann die Anwendung 203 verschiedene Komponenten umfassen, wie zum Beispiel ein Empfangsprogramm 204, ein Sendeprogramm 205, eine Aufzeichnungseinheit 206 und eine Erfassungs-/Auslösungskomponente 207. Im Allgemeinen dient das Empfangsprogramm 204 dazu, Daten oder andere Eingaben über das Netzwerk 103 (1) zu empfangen, während das Sendeprogramm 205 dazu dient, Daten oder andere Ausgaben über das Netzwerk 103 zu senden. Die Aufzeichnungseinheit 206 dient zum Protokollieren von Daten. Die Erfassungs-/Auslösungskomponente 207 übernimmt die Erfassungs- und Auslösungsfunktionen, die loT-Einheiten herkömmlicherweise zugehörig sind. Im Allgemeinen kann die Erfassungs-/ Auslösungskomponente 207 zum Erfassen oder Messen von Umgebungsparametern wie zum Beispiel der Temperatur, der Helligkeit, von Tönen usw. dienen, wie es im Zusammenhang mit der Einheit angebracht sein kann.
-
In einer Ausführungsform umfasst die Speichereinheit 202 darüber hinaus die Speicherung des Benutzernamens und des Kennworts 208, was als der Erstfaktor-Berechtigungsnachweis verwendet wird, der dem Authentifizierungssystem 101 in Verbindung mit der hierin erörterten Technik der Mehrfaktorauthentifizierung bereitgestellt wird.
-
Zurück zu 1, kann es sich bei dem Netzwerk 103 zum Beispiel um ein lokales Netzwerk, ein Weitverkehrsnetz, ein drahtloses Weitverkehrsnetzwerk, ein leitungsvermitteltes Telefonnetzwerk, ein GSM-Netzwerk (Global System for Mobile Communications), ein WAP-Netzwerk (Wireless Application Protocol), ein WiFi-Netzwerk, ein Netzwerk nach der Norm IEEE 802.11, verschiedene Kombinationen davon usw. handeln. Es können auch andere Netzwerke, deren Beschreibungen hier der Kürze halber weggelassen sind, in Verbindung mit dem System 100 aus 1 verwendet werden, ohne von dem Umfang der vorliegenden Erfindung abzuweichen.
-
Die Umgebung 100 ist vom Umfang her nicht auf irgendeine bestimmte Netzwerkarchitektur beschränkt. Die Umgebung 100 kann eine beliebige Anzahl von Authentifizierungssystemen 101, loT-Einheiten 102 und Netzwerken 103 umfassen.
-
Unter Bezugnahme auf 3 veranschaulicht 3 eine Ausführungsform der vorliegenden Offenbarung der Hardwarekonfiguration des Authentifizierungssystems 101 (1), die stellvertretend für eine Hardwareumgebung zum praktischen Umsetzen der vorliegenden Offenbarung steht.
-
Das Authentifizierungssystem 101 verfügt über einen Prozessor 301, der über einen Systembus 302 mit verschiedenen anderen Komponenten verbunden ist. Ein Betriebssystem 303 läuft auf dem Prozessor 301 und stellt eine Steuerung bereit und koordiniert die Funktionen der verschiedenen Komponenten der 3. Eine Anwendung 304 gemäß den Grundsätzen der vorliegenden Offenbarung läuft in Verbindung mit dem Betriebssystem 303 und stellt Aufrufe an das Betriebssystem 303 bereit, wobei die Aufrufe die verschiedenen Funktionen oder Dienste umsetzen, die von der Anwendung 304 durchgeführt werden sollen. Die Anwendung 304 kann zum Beispiel ein Programm zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer loT-Einheit 102 ( 1) umfassen, wie weiter unten in Verbindung mit den 4 bis 5 erörtert.
-
Unter erneuter Bezugnahme auf 3 ist ein Nur-Lese-Speicher („ROM“) 305 mit dem Systembus 302 verbunden und beinhaltet ein Basic Input/Output System („BIOS“), das bestimmte Grundfunktionen des Authentifizierungssystems 101 steuert. Ein Direktzugriffsspeicher („RAM“) 306 und ein Plattenadapter 307 sind auch mit dem Systembus 302 verbunden. Es sei angemerkt, dass Software-Komponenten, darunter das Betriebssystem 303 und die Anwendung 304, zur Ausführung in den RAM 306 geladen werden können, bei dem es sich um den Hauptspeicher des Authentifizierungssystems 101 handeln kann. Bei dem Plattenadapter 307 kann es sich um einen IDE-Adapter (Integrated Drive Electronics) handeln, der mit der Platteneinheit 308 wie zum Beispiel einem Plattenlaufwerk Daten austauscht. Es sei angemerkt, dass sich das Programm zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer loT-Einheit 102, wie weiter unten in Verbindung mit den 4 bis 5 erörtert, in der Platteneinheit 308 oder in der Anwendung 304 befinden kann.
-
Das Authentifizierungssystem 101 kann darüber hinaus einen Datenübertragungsadapter 309 umfassen, der mit dem Bus 302 verbunden ist. Der Datenübertragungsadapter 309 verbindet den Bus 302 mit einem externen Netzwerk (z.B. dem Netzwerk 103 der 1), um Daten mit anderen Einheiten wie zum Beispiel den IoT-Einheiten 102 auszutauschen.
-
Bei der vorliegenden Erfindung kann es sich um ein System, ein Verfahren und/oder ein Computerprogrammprodukt auf jeder möglichen technischen Detailstufe der Integration handeln. Das Computerprogrammprodukt kann ein durch einen Computer lesbares Speichermedium (oder -medien) mit durch einen Computer lesbaren Programmanweisungen darauf umfassen, um einen Prozessor dazu zu veranlassen, Aspekte der vorliegenden Erfindung auszuführen.
-
Bei dem durch einen Computer lesbaren Speichermedium kann es sich um eine physische Einheit handeln, die Anweisungen zur Verwendung durch ein System zur Ausführung von Anweisungen behalten und speichern kann. Bei dem durch einen Computer lesbaren Speichermedium kann es sich zum Beispiel um eine elektronische Speichereinheit, eine magnetische Speichereinheit, eine optische Speichereinheit, eine elektromagnetische Speichereinheit, eine Halbleiterspeichereinheit oder jede geeignete Kombination daraus handeln, ohne auf diese beschränkt zu sein. Zu einer nicht erschöpfenden Liste spezifischerer Beispiele des durch einen Computer lesbaren Speichermediums gehören die Folgenden: eine auswechselbare Computerdiskette, eine Festplatte, ein Direktzugriffsspeicher (RAM), ein Nur-Lese-Speicher (ROM), ein löschbarer programmierbarer Nur-Lese-Speicher (EPROM bzw. Flash-Speicher), ein statischer Direktzugriffsspeicher (SRAM), ein auswechselbarer Kompaktspeicherplatte-Nur-Lese-Speicher (CD-ROM), eine DVD (digital versatile disc), ein Speicher-Stick, eine Diskette, eine mechanisch kodierte Einheit wie zum Beispiel Lochkarten oder erhabene Strukturen in einer Rille, auf denen Anweisungen gespeichert sind, und jede geeignete Kombination daraus. Ein durch einen Computer lesbares Speichermedium soll in der Verwendung hierin nicht als flüchtige Signale an sich aufgefasst werden, wie zum Beispiel Funkwellen oder andere sich frei ausbreitende elektromagnetische Wellen, elektromagnetische Wellen, die sich durch einen Wellenleiter oder ein anderes Übertragungsmedium ausbreiten (z.B. Lichtwellenleiterkabel durchlaufende Lichtimpulse) oder durch einen Draht übertragene elektrische Signale.
-
Hierin beschriebene, durch einen Computer lesbare Programmanweisungen können von einem durch einen Computer lesbaren Speichermedium auf jeweilige Datenverarbeitungs-/Verarbeitungseinheiten oder über ein Netzwerk wie zum Beispiel das Internet, ein lokales Netzwerk, ein Weitverkehrsnetzwerk und/oder ein drahtloses Netzwerk auf einen externen Computer oder eine externe Speichereinheit heruntergeladen werden. Das Netzwerk kann Kupferübertragungskabel, Lichtwellenübertragungsleiter, drahtlose Übertragung, Leitwegrechner, Firewalls, Vermittlungseinheiten, Gateway-Computer und/oder Edge-Server umfassen. Eine Netzwerkadapterkarte oder Netzwerkschnittstelle in jeder Datenverarbeitungs-/Verarbeitungseinheit empfängt durch einen Computer lesbare Programmanweisungen aus dem Netzwerk und leitet die durch einen Computer lesbaren Programmanweisungen zur Speicherung in einem durch einen Computer lesbaren Speichermedium innerhalb der entsprechenden Datenverarbeitungs-/Verarbeitungseinheit weiter.
-
Bei durch einen Computer lesbaren Programmanweisungen zum Ausführen von Arbeitsschritten der vorliegenden Erfindung kann es sich um Assembler-Anweisungen, ISA-Anweisungen (Instruction-Set-Architecture), Maschinenanweisungen, maschinenabhängige Anweisungen, Mikrocode, Firmware-Anweisungen, zustandssetzende Daten, Konfigurationsdaten für integrierte Schaltungen oder entweder Quellcode oder Objektcode handeln, die in einer beliebigen Kombination aus einer oder mehreren Programmiersprachen geschrieben werden, darunter objektorientierte Programmiersprachen wie Smalltalk, C++ o.ä. sowie prozedurale Programmiersprachen wie die Programmiersprache „C“ oder ähnliche Programmiersprachen. Die durch einen Computer lesbaren Programmanweisungen können vollständig auf dem Computer des Benutzers, teilweise auf dem Computer des Benutzers, als eigenständiges Software-Paket, teilweise auf dem Computer des Benutzers und teilweise auf einem fernen Computer oder vollständig auf dem fernen Computer oder Server ausgeführt werden. In letzterem Fall kann der entfernt angeordnete Computer mit dem Computer des Benutzers durch eine beliebige Art Netzwerk verbunden sein, darunter ein lokales Netzwerk (LAN) oder ein Weitverkehrsnetzwerk (WAN), oder die Verbindung kann mit einem externen Computer hergestellt werden (zum Beispiel über das Internet unter Verwendung eines Internet-Dienstanbieters). In einigen Ausführungsformen können elektronische Schaltungen, darunter zum Beispiel programmierbare Logikschaltungen, vor Ort programmierbare Gatter-Anordnungen (FPGA, field programmable gate arrays) oder programmierbare Logikanordnungen (PLA, programmable logic arrays) die durch einen Computer lesbaren Programmanweisungen ausführen, indem sie Zustandsinformationen der durch einen Computer lesbaren Programmanweisungen nutzen, um die elektronischen Schaltungen zu personalisieren, um Aspekte der vorliegenden Erfindung durchzuführen.
-
Aspekte der vorliegenden Erfindung sind hierin unter Bezugnahme auf Ablaufpläne und/oder Blockschaltbilder bzw. Schaubilder von Verfahren, Vorrichtungen (Systemen) und Computerprogrammprodukten gemäß Ausführungsformen der Erfindung beschrieben. Es wird darauf hingewiesen, dass jeder Block der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder sowie Kombinationen von Blöcken in den Ablaufplänen und/oder den Blockschaltbildern bzw. Schaubildern mittels durch einen Computer lesbarer Programmanweisungen ausgeführt werden können.
-
Diese durch einen Computer lesbaren Programmanweisungen können einem Prozessor eines Computers oder einer anderen programmierbaren Datenverarbeitungsvorrichtung bereitgestellt werden, um eine Maschine zu erzeugen, so dass die über den Prozessor des Computers bzw. der anderen programmierbaren Datenverarbeitungsvorrichtung ausgeführten Anweisungen ein Mittel zur Umsetzung der in dem Block bzw. den Blöcken der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder festgelegten Funktionen/Schritte erzeugen. Diese durch einen Computer lesbaren Programmanweisungen können auch auf einem durch einen Computer lesbaren Speichermedium gespeichert sein, das einen Computer, eine programmierbare Datenverarbeitungsvorrichtung und/oder andere Einheiten so steuern kann, dass sie auf eine bestimmte Art funktionieren, so dass das durch einen Computer lesbare Speichermedium, auf dem Anweisungen gespeichert sind, ein Herstellungsprodukt umfasst, darunter Anweisungen, welche Aspekte der/des in dem Block bzw. den Blöcken des Ablaufplans und/oder der Blockschaltbilder bzw. Schaubilder festgelegten Funktion/Schritts umsetzen.
-
Die durch einen Computer lesbaren Programmanweisungen können auch auf einen Computer, eine andere programmierbare Datenverarbeitungsvorrichtung oder eine andere Einheit geladen werden, um das Ausführen einer Reihe von Prozessschritten auf dem Computer bzw. der anderen programmierbaren Vorrichtung oder anderen Einheit zu verursachen, um einen auf einem Computer ausgeführten Prozess zu erzeugen, so dass die auf dem Computer, einer anderen programmierbaren Vorrichtung oder einer anderen Einheit ausgeführten Anweisungen die in dem Block bzw. den Blöcken der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder festgelegten Funktionen/Schritte umsetzen.
-
Die Ablaufpläne und die Blockschaltbilder bzw. Schaubilder in den Figuren veranschaulichen die Architektur, die Funktionalität und den Betrieb möglicher Ausführungen von Systemen, Verfahren und Computerprogrammprodukten gemäß verschiedenen Ausführungsformen der vorliegenden Erfindung. In diesem Zusammenhang kann jeder Block in den Ablaufplänen oder Blockschaltbildern bzw. Schaubildern ein Modul, ein Segment oder einen Teil von Anweisungen darstellen, die eine oder mehrere ausführbare Anweisungen zur Ausführung der festgelegten logischen Funktion(en) umfassen. In einigen alternativen Ausführungen können die in dem Block angegebenen Funktionen in einer anderen Reihenfolge als in den Figuren gezeigt stattfinden. Zum Beispiel können zwei nacheinander gezeigte Blöcke in Wirklichkeit in einem Schritt erreicht werden, gleichzeitig, im Wesentlichen gleichzeitig, teilweise oder vollständig zeitlich überlappend ausgeführt werden, oder die Blöcke können manchmal je nach entsprechender Funktionalität in umgekehrter Reihenfolge ausgeführt werden. Es ist darüber hinaus anzumerken, dass jeder Block der Blockschaltbilder bzw. Schaubilder und/oder der Ablaufpläne sowie Kombinationen aus Blöcken in den Blockschaltbildern bzw. Schaubildern und/oder den Ablaufplänen durch spezielle auf Hardware beruhende Systeme umgesetzt werden können, welche die festgelegten Funktionen oder Schritte durchführen, oder Kombinationen aus Spezial-Hardware und Computeranweisungen ausführen.
-
Um die Identität einer loT-Einheit zu authentifizieren oder nachzuweisen, verwendet die loT-Einheit, wie vorstehend erwähnt, üblicherweise einfach den herkömmlichen Benutzernamen und das Kennwort, wobei es sich um einen einzelnen Faktor handelt, was nicht das Sicherheitsniveau einer Mehrfaktorauthentifizierung bereitstellt. Allerdings gibt es in jüngster Zeit einige Entwicklungen bei der Nutzung von Mehrfaktorauthentifizierung, um ein höheres Maß an Sicherheit für die auf einer loT-Einheit gespeicherten Daten bereitzustellen. Zum Beispiel speichert die loT-Einheit einen geheimen Schlüssel zum Erstellen eines zeitbasierten Kennworts. Eine authentifizierte Erkennungseinheit kann ebenfalls über denselben geheimen Schlüssel verfügen. Die IoT-Einheit stellt die gesicherte Verbindung mit der Erkennungseinheit über das drahtlose Netzwerk her. Dann verwendet die loT-Einheit den geheimen Schlüssel und eine aktuelle Zugriffszeit, um das zeitbasierte Kennwort zu erstellen, und empfängt ein zweites zeitbasiertes Kennwort von der Erkennungseinheit über die gesicherte Verbindung. Wenn beide zeitbasierten Kennwörter übereinstimmen, ist die Erkennungseinheit authentifiziert. Bei diesem Ansatz handelt es sich um einen ähnlichen Ansatz wie den, der bei RSA-Schlüsselanhängern zum Bereitstellen eines zweiten Faktors verwendet wird. Unglücklicherweise ist ein derartiger Ansatz anfällig für unbefugte Manipulationen der Zeitquelle innerhalb der loT-Einheit. Derzeit gibt es keine Möglichkeit zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT) auf eine sicherere Weise als bei früheren Versuchen.
-
Die Ausführungsformen der vorliegenden Offenbarung stellen ein Mittel zum Authentifizieren einer loT-Einheit 102 (1 und 2) unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise als bei früheren Versuchen unter Verwendung von Interaktionen mit benachbarten loT-Einheiten 102, wie nachstehend im Zusammenhang mit den 4 bis 5 erörtert, bereit. 4 ist ein Ablaufplan einer Einrichtungsphase beim Ermitteln der Anforderungen für ein Erstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit 102 beim Authentifizieren der loT-Einheit 102. 5 ist ein Ablaufplan einer Ausführungsphase beim Authentifizieren der loT-Einheit 102 durch Bereitstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit 102 unter Verwendung der Identitätsnachweise benachbarter loT-Einheiten 102.
-
4 ist ein Ablaufplan eines Verfahrens 400 zum Ermitteln der Anforderungen für ein Erstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit 102 beim Authentifizieren der loT-Einheit 102 während der Einrichtungsphase gemäß einer Ausführungsform der vorliegenden Offenbarung.
-
Während die folgende Beschreibung beschreibt, dass das Authentifizierungssystem 101 eine Zwei-Faktor-Authentifizierung nutzt, um die loT-Einheit 102 zu authentifizieren, kann das Authentifizierungssystem 101 auch mehrere andere Authentifizierungsfaktoren nutzen, um die loT-Einheit 102 zu authentifizieren, wie zum Beispiel eine Drei-Faktor-Authentifizierung. Ein Fachmann ist in der Lage, die Grundsätze der vorliegenden Offenbarung auf derartige Umsetzungen anzuwenden. Darüber hinaus würden Ausführungsformen, in denen die Grundsätze der vorliegenden Offenbarung auf derartige Umsetzungen angewendet werden, in den Umfang der vorliegenden Offenbarung fallen.
-
Unter Bezugnahme auf 4, in Verbindung mit den 1 bis 3, legt das Authentifizierungssystem 101 die Mindestanzahl von erforderlichen benachbarten IoT-Einheiten 102 fest, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind, oder es legt die Mindestanzahl von erforderlichen Sammlungen sowie die Mindestanzahl von loT-Einheiten aus der Mindestanzahl von erforderlichen Sammlungen fest, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind. Der Begriff „Nachbar“ oder „benachbarte“ IoT-Einheit 102 (z.B. die IoT-Einheit 102B, die IoT-Einheit 102C, die loT-Einheit 102D) einer loT-Einheit 102 (z.B. der loT-Einheit 102A) bezieht sich hierin auf diejenigen loT-Einheiten 102 (z.B. die loT-Einheit 102B), die mit der loT-Einheit 102 (z.B. der IoT-Einheit 102A) während des Vertrauenszustands gekoppelt worden sind (nachfolgend erörtert). Des Weiteren befinden sich derartige „benachbarte“ loT-Einheiten 102 in ausreichender Nähe, um mit einer loT-Einheit 102, deren Identität authentifiziert werden soll, Daten auszutauschen, wie zum Beispiel über das Netzwerk 103. Derartige Datenaustauschvorgänge beinhalten eine Anfrage einer loT-Einheit 102 (z.B. der loT-Einheit 102A), deren Identität authentifiziert werden soll, um einen Identitätsnachweis von der benachbarten loT-Einheit 102 (z.B. der loT-Einheit 102B, der loT-Einheit 102C, der loT-Einheit 102D) zu erhalten. Der hierin verwendete Begriff „Identitätsnachweis“ bezieht sich auf einen Sicherheitsschlüssel, eine digitale Signatur oder eine Eigenschaft der IoT-Einheit 102 wie zum Beispiel Sensoreigenschaften (z.B., elektrochemische Sensoren, Gyroskop-, Druck-, Lichtsensoren, GPS (Global Positioning System), Druck, RFID (Radio Frequency Identification) usw.), Signalstärkeeigenschaften (z.B. -60 dBm, -75 dBm usw.), Signalmodulationseigenschaften (z.B. 2,4 GHz Wi-Fi, 5 GHz Wi-Fi, Ethernet) und Signalcodierungseigenschaften (z.B. ASCII, HEX usw.), ohne darauf beschränkt zu sein.
-
In einer Ausführungsform müssen die benachbarten loT-Einheiten 102 bei dem Authentifizierungssystem 101 registriert werden, wie zum Beispiel während des Vertrauenszustands, was beinhaltet, dass dem Authentifizierungssystem 101 derartige Identitätsnachweise bereitgestellt werden. In einer Ausführungsform können derartige Identitätsnachweise dem Authentifizierungssystem 101 in regelmäßigen Abständen bereitgestellt werden, wie zum Beispiel während des Nachbarbeobachtungszeitraums (nachfolgend erörtert), wenn die loT-Einheit 102 die Identitätsnachweise ihrer benachbarten loT-Einheiten 102 erhält.
-
In einer Ausführungsform sind diese Berechtigungsnachweise in einer Tabelle gespeichert, die sich in einer Speichereinheit (z.B. dem Speicher 305, dem Plattenlaufwerk 308) befinden kann. Derartige Berechtigungsnachweise können der jeweiligen loT-Einheit 102 in der Tabelle zugehörig sein, wie zum Beispiel durch eine Kennung der loT-Einheit 102 (z.B. eine Objektkennung wie zum Beispiel ein Barcode, eine Datenübertragungskennung wie zum Beispiel eine Internetprotokoll- (IP-) Adresse und eine Anwendungskennung wie zum Beispiel ein einheitlicher Bezeichner für Ressourcen (URI, Uniform Resource Identifier) und ein einheitlicher Ressourcenzeiger (URL, Uniform Resource Locator)). In einer alternativen Ausführungsform können derartige Identitätsnachweise und zugehörige Kennungen von IoT-Einheiten in einer Datenbank gespeichert sein, wie zum Beispiel in der mit dem Authentifizierungssystem 101 verbundenen Datenbank 104.
-
Wie bereits oben erörtert, legt das Authentifizierungssystem 101 die Mindestanzahl von erforderlichen benachbarten loT-Einheiten 102 fest, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind. Zum Beispiel kann das Authentifizierungssystem 101 verlangen, dass die zu authentifizierende loT-Einheit 102 die Identitätsnachweise von mindestens drei benachbarten loT-Einheiten (z.B. der loT-Einheit 102B, der loT-Einheit 102C und der loT-Einheit 102D) verwenden muss, um den Zweitfaktor-Berechtigungsnachweis im Rahmen der Technik zur Zwei-Faktor-Authentifizierung gemäß der vorliegenden Offenbarung zu erstellen.
-
Des Weiteren legt das Authentifizierungssystem 101, wie bereits oben erörtert, die Mindestanzahl von erforderlichen Sammlungen fest, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind. Der hierin verwendete Begriff „Sammlung“ bezieht sich auf einen Satz von benachbarten loT-Einheiten 102. Zum Beispiel kann eine Sammlung („A“) dem Satz {A, B, C, D und E} entsprechen, wobei es sich bei A, B, C, D und E jeweils um einzelne benachbarte loT-Einheiten 102 handelt. Das Authentifizierungssystem 101 kann die Mindestanzahl derartiger Sammlungen festlegen, die beim Erstellen des Zweitfaktor-Berechtigungsnachweises von der loT-Einheit 102, deren Identität authentifiziert werden soll, zu verwenden sind. Des Weiteren kann das Authentifizierungssystem 101 darüber hinaus die Mindestanzahl von benachbarten loT-Einheiten aus der Mindestanzahl von Sammlungen festlegen, die beim Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind. Zum Beispiel kann das Authentifizierungssystem 101 eine Mindestanzahl von drei benachbarten loT-Einheiten aus der Mindestanzahl von Sammlungen festlegen, um den Zweitfaktor-Berechtigungsnachweis in der Zwei-Faktor-Authentifizierungstechnik der vorliegenden Offenbarung zu erstellen.
-
In Schritt 402 legt das Authentifizierungssystem 101 die Identität der erforderlichen benachbarten loT-Einheiten 102 fest, die der Mindestanzahl von erforderlichen loT-Einheiten 102 entsprechen, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind, oder es legt die Identität der erforderlichen loT-Einheiten 102 innerhalb der erforderlichen Mindestanzahl von Sammlungen fest, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises zu verwenden sind.
-
Zum Beispiel kann das Authentifizierungssystem 101 verlangen, dass die zu authentifizierende loT-Einheit 102 (z.B. die loT-Einheit 102A) die Identitätsnachweise der loT-Einheit 102B, der loT-Einheit 102C und der loT-Einheit 102D verwendet, um den Zweitfaktor-Berechtigungsnachweis zu erstellen, welcher der erforderlichen Mindestanzahl von drei benachbarten loT-Einheiten 102 entspricht, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises verwendet werden müssen. Der hierin verwendete Begriff „Erstellen“ des Zweitfaktor-Berechtigungsnachweises bezieht sich auf ein Erzeugen eines Berechtigungsnachweises, der die erforderlichen Identitätsnachweise der benachbarten IoT-Einheiten 102 umfasst. Das „Erstellen“ kann durchgeführt werden, indem einer Kennung (z.B. eine Objektkennung wie zum Beispiel ein Barcode, eine Datenübertragungskennung wie zum Beispiel eine Internetprotokoll- (IP-) Adresse und eine Anwendungskennung wie zum Beispiel ein einheitlicher Bezeichner für Ressourcen (URI) und ein einheitlicher Ressourcenzeiger (URL)) der benachbarten loT-Einheit 102 deren Identitätsberechtigung angehängt wird. Infolgedessen kann der Zweitfaktor-Berechtigungsnachweis eine Reihe von Kennungen (Kennungen der benachbarten loT-Einheiten 102) umfassen, an die deren zugehöriger Berechtigungsnachweis angehängt ist.
-
In einer Ausführungsform sind derartige Anforderungen in einer Tabelle gespeichert (die in einem Speichermedium (z.B. dem Speicher 305, dem Plattenlaufwerk 308) oder in einer Datenbank 104 gespeichert sein kann), die der zu authentifizierenden IoT-Einheit 102 (z.B. der loT-Einheit 102A) zugehörig ist. Auf diese Weise kann das Authentifizierungssystem 101 feststellen, ob der Zweitfaktor-Berechtigungsnachweis, der von der zu authentifizierenden loT-Einheit 102 empfangen wird, korrekt ist, da das Authentifizierungssystem 101 Zugriff auf die Identitätsnachweise sämtlicher der benachbarten loT-Einheiten 102 hat und in der Lage ist, den Zweitfaktor-Berechtigungsnachweis unter Verwendung der Identitätsnachweise derjenigen benachbarten loT-Einheiten 102 zu erstellen, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises verwendet werden müssen. Des Weiteren können, wie bereits oben erörtert, derartige Identitätsnachweise ständig aktualisiert werden, wie zum Beispiel während des Nachbarbeobachtungszeitraums (weiter unten erörtert), so dass die Identitätsnachweise aktuell sind.
-
In einem anderen Beispiel kann das Authentifizierungssystem 101 verlangen, dass die zu authentifizierende loT-Einheit 102 (z.B. die loT-Einheit 102A) die erforderliche Mindestanzahl von Sammlungen (z.B. drei Sammlungen) verwendet, die aus den definierten benachbarten loT-Einheiten 102 besteht. Beispielsweise kann das Authentifizierungssystem 101 die Sammlung „R“ so definieren, dass sie den Satz {A, B, C, D und E} umfasst, die Sammlung „S“ so definieren, dass sie den Satz {A, B, E und F} umfasst und die Sammlung „T“ so definieren, dass sie den Satz {A, E, I, O und U} umfasst, wobei jeder Buchstabe einer bestimmten benachbarten loT-Einheit 102 entspricht. Die Authentifizierungsanforderung könnte darin bestehen, dass mindestens 3 benachbarte loT-Einheiten 102 verwendet werden müssen, um den Zweitfaktor-Berechtigungsnachweis zu erstellen, darunter alle benachbarten loT-Einheiten 102, die innerhalb jeder der Sammlungen aufgeführt sind. Infolgedessen müssen die loT-Einheiten A und E verwendet werden, und die dritte IoT-Einheit 102 wird aus dem Satz {B, C, D, F, I, O und U} ausgewählt.
-
Infolgedessen informiert das Authentifizierungssystem 101 in Schritt 402 die zu authentifizierende loT-Einheit 102 über die besonderen Anforderungen im Zusammenhang mit dem Erstellen des Zweitfaktor-Berechtigungsnachweises. Folglich weiß die loT-Einheit 102, von welchen benachbarten loT-Einheiten 102 sie ihre Identitätsnachweise erhalten sollte, um den Zweitfaktor-Berechtigungsnachweis zu erstellen. Derartige Identitätsnachweise von den erforderlichen benachbarten loT-Einheiten 102 können während des Nachbarbeobachtungszeitraums erhalten werden.
-
In Schritt 403 legt das Authentifizierungssystem 101 den „Nachbarbeobachtungszeitraum“ fest, innerhalb dessen die zu authentifizierende loT-Einheit 102 die Identitätsnachweise von den erforderlichen benachbarten loT-Einheiten erhält, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises verwendet werden. In einer Ausführungsform umfasst der Nachbarbeobachtungszeitraum eine Zeitspanne. In einer Ausführungsform ist der Nachbarbeobachtungszeitraum so definiert, dass er regelmäßig wie zum Beispiel in vorgegebenen Zeitabständen stattfindet.
-
Während dieses Zeitraums sammelt die zu authentifizierende loT-Einheit 102 die Identitätsnachweise ihrer benachbarten loT-Einheiten 102, wie zum Beispiel die von dem Authentifizierungssystem 101 geforderten Identitätsnachweise ihrer benachbarten IoT-Einheiten 102.
-
Des Weiteren übermitteln in einer Ausführungsform diese benachbarten IoT-Einheiten 102 während dieses Zeitraums ihre Identitätsnachweise an das Authentifizierungssystem 101, so dass das Authentifizierungssystem 101 in der Lage ist, den Zweitfaktor-Berechtigungsnachweis zu bestimmen, der von der zu authentifizierenden IoT-Einheit 102 empfangen werden soll. Wie oben erörtert, können derartige Identitätsnachweise in einer Tabelle gespeichert sein (die sich in einer Speichereinheit (z.B. dem Speicher 305, dem Plattenlaufwerk 308) oder in der Datenbank 104 befinden kann).
-
In Schritt 404 stellt das Authentifizierungssystem 101 einen Vertrauenszustand her, in dem die zu authentifizierende loT-Einheit 102 (z.B. die loT-Einheit 102A) mit benachbarten loT-Einheiten gekoppelt ist, wobei die Identitätsnachweise mindestens einer Teilmenge dieser benachbarten loT-Einheiten verwendet werden, um den Zweitfaktor-Berechtigungsnachweis zu erstellen. In einer Ausführungsform sollen derartige loT-Einheiten 102, sobald sie gekoppelt sind, in ständigem Datenaustausch bleiben. In einer Ausführungsform werden derartige loT-Einheiten 102 während des Vertrauenszustands installiert.
-
In einer Ausführungsform können dem Authentifizierungssystem 101 während des Vertrauenszustands der Benutzername und das Kennwort 208, welche die loT-Einheit 102 als den Erstfaktor-Berechtigungsnachweisverwendet, bereitgestellt werden, um die Richtigkeit des Erstfaktor-Berechtigungsnachweises zu überprüfen, wenn die loT-Einheit 102 den Erstfaktor-Berechtigungsnachweis dem Authentifizierungssystem 101 bereitstellt. In einer Ausführungsform sind ein derartiger Benutzername und ein derartiges Kennwort in einer Tabelle (die sich in einer Speichereinheit (z.B. dem Speicher 305, dem Festplattenlaufwerk 308) oder in der Datenbank 104 befinden kann) zusammen mit einer Kennung der zugehörigen loT-Einheit 102 (z.B. einer Objektkennung wie zum Beispiel einem Barcode, einer Datenübertragungskennung wie zum Beispiel einer Internetprotokoll- (IP-) Adresse und einer Anwendungskennung wie zum Beispiel einem einheitlichen Bezeichner für Ressourcen (URI) und einem einheitlichen Ressourcenzeiger (URL)) gespeichert. Durch Zuweisen des Benutzernamens und des Kennworts zu der entsprechenden loT-Einheit 102 kann das Authentifizierungssystem 101 den Benutzernamen und das Kennwort, die der IoT-Einheit 102 zugehörig sind, feststellen, indem es auf der Grundlage der Kennung der IoT-Einheit 102 ein Nachschlagen in der Tabelle durchführt.
-
Nach Abschluss der Einrichtungsphase wird die Ausführungsphase beim Authentifizieren der loT-Einheit 102 (z.B. der loT-Einheit 102A) durch Bereitstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit 102 für das Authentifizierungssystem 101 unter Verwendung der erforderlichen Identitätsnachweise der benachbarten loT-Einheiten 102 nachstehend in Verbindung mit 5 erörtert.
-
5 ist ein Ablaufplan eines Verfahrens 500 einer Ausführungsphase beim Authentifizieren der loT-Einheit 102 (z.B. der loT-Einheit 102A) durch Bereitstellen eines Zweitfaktor-Berechtigungsnachweises durch die loT-Einheit 102 für das Authentifizierungssystem 101 unter Verwendung der Identitätsnachweise der Mindestanzahl von erforderlichen benachbarten loT-Einheiten 102 gemäß einer Ausführungsform der vorliegenden Offenbarung.
-
Unter Bezugnahme auf 5 in Verbindung mit den 1 bis 4 erhält die zu authentifizierende loT-Einheit 102 in Schritt 501 die Identitätsnachweise von den erforderlichen benachbarten loT-Einheiten 102 während des Nachbarbeobachtungszeitraums, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises, wie bereits oben erörtert, verwendet werden.
-
In Schritt 502 stellt die loT-Einheit 102 dem Authentifizierungssystem 101 eine Anfrage zum Nachweisen einer Identität der loT-Einheit 102 bereit. In einer Ausführungsform wird die Anfrage dem Authentifizierungssystem 101 regelmäßig bereitgestellt. In einer Ausführungsform wird die Anforderung dem Authentifizierungssystem 101 als Reaktion auf ein Auslöseereignis bereitgestellt (z.B. ein Ereignis, das von der Registrierungsdatenbank erzeugt wird, wenn ein Element hinzugefügt, aktualisiert oder gelöscht wird).
-
In Schritt 503 stellt die loT-Einheit 102 dem Authentifizierungssystem 101 einen Erstfaktor-Berechtigungsnachweis (z.B. einen Benutzernamen oder ein Kennwort) bereit. In einer Ausführungsform sind der Benutzername und das Kennwort 208 in die loT-Einheit 102 eingebettet, wie zum Beispiel innerhalb der Speichereinheit 202 gespeichert.
-
In einer Ausführungsform fordert das Authentifizierungssystem 101 nach Bestätigung der Richtigkeit des Erstfaktor-Berechtigungsnachweises wie zum Beispiel durch Nachschlagen in einer Tabelle, in der die den loT-Einheiten 102 zugehörigen Benutzernamen und Kennwörter aufgelistet sind, die loT-Einheit 102 auf, den Zweitfaktor-Berechtigungsnachweis bereitzustellen.
-
In Schritt 504 empfängt die loT-Einheit 102 eine Aufforderung von dem Authentifizierungssystem 101, einen Zweitfaktor-Berechtigungsnachweis bereitzustellen.
-
In Schritt 505 meldet die loT-Einheit 102 den Zweitfaktor-Berechtigungsnachweis an das Authentifizierungssystem 101 zurück, der auf der Grundlage der von den erforderlichen benachbarten loT-Einheiten 102 erhaltenen Identitätsnachweise erstellt wurde. Zum Beispiel kann das Authentifizierungssystem 101 verlangen, dass die zu authentifizierende loT-Einheit 102 (z.B. die loT-Einheit 102A) die Identitätsnachweise der loT-Einheit 102B, der loT-Einheit 102C und der loT-Einheit 102D verwendet, um den Zweitfaktor-Berechtigungsnachweis zu erstellen, welcher der erforderlichen Mindestanzahl von drei benachbarten loT-Einheiten 102 entspricht, die zum Erstellen des Zweitfaktor-Berechtigungsnachweises verwendet werden müssen. Infolgedessen umfasst der Zweitfaktor-Berechtigungsnachweis die Identitätsnachweise der loT-Einheit 102B, der IoT-Einheit 102C und der loT-Einheit 102D, die dem Authentifizierungssystem 101 bereitgestellt werden.
-
In einem anderen Beispiel kann das Authentifizierungssystem 101, wie bereits oben erörtert, verlangen, dass die zu authentifizierende loT-Einheit 102 (z.B. die loT-Einheit 102A) die erforderliche Mindestanzahl von Sammlungen (z.B. drei Sammlungen) verwendet, die aus den definierten benachbarten loT-Einheiten 102 besteht. Beispielsweise kann das Authentifizierungssystem 101 die Sammlung „R“ so definieren, dass sie den Satz {A, B, C, D und E} umfasst, die Sammlung „S“ so definieren, dass sie den Satz {A, B, E und F} umfasst und die Sammlung „T“ so definieren, dass sie den Satz {A, E, I, O und U} umfasst, wobei jeder Buchstabe einer bestimmten loT-Einheit 102 entspricht. Die Authentifizierungsanforderung könnte darin bestehen, dass mindestens 3 benachbarte loT-Einheiten 102 verwendet werden müssen, um den Zweitfaktor-Berechtigungsnachweis zu erstellen, darunter alle benachbarten loT-Einheiten 102, die innerhalb jeder der Sammlungen aufgeführt sind. Infolgedessen müssen die loT-Einheiten A und E verwendet werden, und die dritte IoT-Einheit 102 wird aus dem Satz {B, C, D, F, I, O und U} ausgewählt. Infolgedessen erwirbt die loT-Einheit 102 die Identitätsnachweise der loT-Einheiten A und B sowie einer aus den IoT-Einheiten C, D, E, F, I, O und U ausgewählten Einheit. Der Zweitfaktor-Berechtigungsnachweis wird dann mit derartigen Identitätsnachweisen erstellt, die dem Authentifizierungssystem 101 bereitgestellt werden.
-
Wie bereits oben erörtert, bezieht sich der hierin verwendete Begriff „Erstellen“ des Zweitfaktor-Berechtigungsnachweises auf ein Erzeugen eines Berechtigungsnachweises, der die erforderlichen Identitätsnachweise der benachbarten loT-Einheiten 102 umfasst. Das „Erstellen“ kann durchgeführt werden, indem einer Kennung (z.B. eine Objektkennung wie zum Beispiel ein Barcode, eine Datenübertragungskennung wie zum Beispiel eine Internetprotokoll- (IP-) Adresse und eine Anwendungskennung wie zum Beispiel ein einheitlicher Bezeichner für Ressourcen (URI) und ein einheitlicher Ressourcenzeiger (URL)) der benachbarten loT-Einheit 102 deren Identitätsberechtigung angehängt wird. Infolgedessen kann der Zweitfaktor-Berechtigungsnachweis eine Reihe von Kennungen (Kennungen der benachbarten loT-Einheiten 102) umfassen, an die deren zugehöriger Berechtigungsnachweis angehängt ist.
-
In Schritt 506 empfängt das Authentifizierungssystem 101 den Zweitfaktor-Berechtigungsnachweis von der loT-Einheit 102.
-
In Schritt 507 wird durch das Authentifizierungssystem 101 ermittelt, ob der empfangene Zweitfaktor-Berechtigungsnachweis die Mindestanzahl von erforderlichen Identitätsnachweisen enthält.
-
Wenn das Authentifizierungssystem 101 zum Beispiel von der zu authentifizierenden loT-Einheit 102 (z.B. der loT-Einheit 102A) verlangt, dass sie mindestens die Identitätsnachweise der loT-Einheit 102B, der loT-Einheit 102C und der loT-Einheit 102D verwendet, um den Zweitfaktor-Berechtigungsnachweis zu erstellen, genehmigt das Authentifizierungssystem 101 die Authentifizierung, solange diese Identitätsnachweise in dem Zweitfaktor-Berechtigungsnachweis enthalten sind; andernfalls genehmigt das Authentifizierungssystem 101 die Authentifizierung nicht.
-
Wie bereits oben erörtert, verlangt das Authentifizierungssystem 101 von der zu authentifizierenden loT-Einheit 102 (z.B., der loT-Einheit 102A), die Identitätsnachweise für mindestens drei benachbarte loT-Einheiten 102 zu sammeln, die Mitglieder jeder der Sammlungen R, S und T sind (Sammlung „R“ umfasst den Satz {A, B, C, D und E}, Sammlung „S“ umfasst den Satz {A, B, E und F} und Sammlung „T“ umfasst den Satz {A, E, I, O und U}), darunter alle benachbarten loT-Einheiten 102, die innerhalb jeder der Sammlungen aufgeführt sind. Infolgedessen müssen die loT-Einheiten A und E verwendet werden, und die dritte loT-Einheit 102 wird aus dem Satz {B, C, D, F, I, O und U} ausgewählt. Solange der Zweitfaktor-Berechtigungsnachweis die Identitätsnachweise der loT-Einheiten A und E sowie den Identitätsnachweis einer loT-Einheit 102 umfasst, die aus den loT-Einheiten C, D, E, F, I, O und U ausgewählt wurde, genehmigt das Authentifizierungssystem 101 die Authentifizierung; andernfalls genehmigt das Authentifizierungssystem 101 die Authentifizierung nicht.
-
Wenn der empfangene, Zweitfaktor-Berechtigungsnachweis die Mindestanzahl von erforderlichen Identitätsnachweisen enthält, genehmigt das Authentifizierungssystem 101 in Schritt 508 die Authentifizierung und gibt eine Meldung an die loT-Einheit 102 aus, dass die Authentifizierung der IoT-Einheit 102 genehmigt wurde. Auf diese Weise wird die loT-Einheit 102 unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise authentifiziert als bei früheren Versuchen. In einer Ausführungsform stellt das Authentifizierungssystem 101 als Ergebnis der Authentifizierung eine sichere Verbindung der loT-Einheit 102 innerhalb der loT-Umgebung 100 her, wie zum Beispiel zwischen sich selbst und einer anderen loT-Einheit 102.
-
In Schritt 509 empfängt die loT-Einheit 102 von dem Authentifizierungssystem 101 einen Hinweis, dass die loT-Einheit 102 ihre Identität nachgewiesen hat. In einer Ausführungsform kann ein derartiger Hinweis in Form einer Benachrichtigung oder einer Meldung erfolgen. Wie bereits oben erörtert, verfügt die loT-Einheit 102 infolge ihrer Authentifizierung über eine sichere Verbindung innerhalb der loT-Umgebung 100, wie zum Beispiel zwischen sich selbst und einer anderen loT-Einheit 102. Folglich dürfen die in der loT-Einheit 102 gespeicherten Daten sicher an eine andere Einheit innerhalb des gesicherten Systems übermittelt werden, wie zum Beispiel an eine andere loT-Einheit 102. Das heißt, wenn ein derartiger Hinweis empfangen wird, dürfen die in der loT-Einheit 102 gespeicherten Daten für eine andere Einheit wie zum Beispiel eine andere IoT-Einheit 102 innerhalb der gesicherten loT-Umgebung 100 zugänglich werden.
-
Wenn der Zweitfaktor-Berechtigungsnachweis allerdings nicht die Mindestanzahl von erforderlichen Identitätsnachweisen enthält, genehmigt das Authentifizierungssystem 101 in Schritt 510 die Authentifizierung nicht und gibt eine Meldung an die loT-Einheit 102 aus, dass die Authentifizierung der loT-Einheit 102 nicht genehmigt wurde.
-
In Schritt 511 empfängt die loT-Einheit 102 von dem Authentifizierungssystem 101 einen Hinweis, dass die loT-Einheit 102 ihre Identität nicht nachgewiesen hat. In einer Ausführungsform kann ein derartiger Hinweis in Form einer Benachrichtigung oder einer Meldung erfolgen. In einer Ausführungsform dürfen die in der loT-Einheit 102 gespeicherten Daten nach dem Empfangen eines derartigen Hinweises möglicherweise nicht an eine andere Einheit wie zum Beispiel eine andere loT-Einheit 102 übermittelt werden. Das heißt, wenn ein derartiger Hinweis empfangen wird, dürfen die in der loT-Einheit 102 gespeicherten Daten für eine andere Einheit wie zum Beispiel eine andere IoT-Einheit 102 nicht zugänglich werden.
-
Als Folge der vorangegangenen Ausführungen stellen Ausführungsformen der vorliegenden Offenbarung ein Mittel zum Verbessern der Technologie oder des technischen Bereichs der Informationssicherheit durch Authentifizierung einer loT-Einheit unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise als frühere Versuche bereit.
-
Des Weiteren verbessert die vorliegende Offenbarung die Technologie oder das technische Gebiet der Informationssicherheit. Wie bereits oben erörtert, handelt es sich bei Informationssicherheit, manchmal auch als Infosec abgekürzt, um die Praxis des Schützens von Informationen durch Abmildern von Informationsrisiken. Zum Beispiel versucht die Informationssicherheit, die Teil der Verwaltung von Informationsrisiken ist, die Wahrscheinlichkeit eines unbefugten/zweckwidrigen Zugriffs auf Daten oder die unrechtmäßige Verwendung, Offenlegung, Beeinträchtigung, Löschung, Verfälschung, Abänderung, Einsichtnahme, Aufzeichnung oder Entwertung von Informationen zu verhindern oder zumindest zu verringern. Sie umfasst auch Maßnahmen, die darauf abzielen, die ungünstigen Auswirkungen derartiger Vorfälle zu verringern. Eine Technik zum Bereitstellen von Informationssicherheit besteht in der Mehrfaktorauthentifizierung, wobei es sich um ein elektronisches Authentifizierungsverfahren handelt, bei dem ein Computerbenutzer nur dann Zugriff auf eine Website oder eine Anwendung erhält, wenn er einem Authentifizierungsmechanismus zwei oder mehr Nachweise (oder Faktoren) erfolgreich vorlegen kann: Wissen (etwas, das der Benutzer und nur der Benutzer weiß), Besitz (etwas, das der Benutzer und nur der Benutzer besitzt) und Inhärenz (etwas, das der Benutzer und nur der Benutzer ist). Sie schützt den Benutzer davor, dass eine unbekannte Person versucht, auf seine Daten zuzugreifen, wie zum Beispiel auf persönliche Identifizierungsdaten oder Finanzanlagen. Während die Mehrfaktorauthentifizierung zum Schützen von Informationen verwendet wird, um einen Zugriff auf eine Website oder Anwendung nur einem authentifizierten Computerbenutzer zu gewähren, gibt es bislang keine größeren Entwicklungen beim Schützen von Informationen, die auf Einheiten des Internets der Dinge (loT) gespeichert sind. Um die Identität einer loT-Einheit zu authentifizieren oder nachzuweisen, verwendet die IoT-Einheit üblicherweise einfach den herkömmlichen Benutzernamen und das Kennwort, wobei es sich um einen einzelnen Faktor handelt, was nicht das Sicherheitsniveau einer Mehrfaktorauthentifizierung bereitstellt. Allerdings gibt es in jüngster Zeit einige Entwicklungen bei der Nutzung von Mehrfaktorauthentifizierung, um ein höheres Maß an Sicherheit für die auf einer loT-Einheit gespeicherten Daten bereitzustellen. Zum Beispiel speichert die loT-Einheit einen geheimen Schlüssel zum Erstellen eines zeitbasierten Kennworts. Eine authentifizierte Erkennungseinheit kann ebenfalls über denselben geheimen Schlüssel verfügen. Die IoT-Einheit stellt die gesicherte Verbindung mit der Erkennungseinheit über das drahtlose Netzwerk her. Dann verwendet die loT-Einheit den geheimen Schlüssel und eine aktuelle Zugriffszeit, um das zeitbasierte Kennwort zu erstellen, und empfängt ein zweites zeitbasiertes Kennwort von der Erkennungseinheit über die gesicherte Verbindung. Wenn beide zeitbasierten Kennwörter übereinstimmen, ist die Erkennungseinheit authentifiziert. Bei diesem Ansatz handelt es sich um einen ähnlichen Ansatz wie den, der bei RSA-Schlüsselanhängern zum Bereitstellen eines zweiten Faktors verwendet wird. Unglücklicherweise ist ein derartiger Ansatz anfällig für unbefugte Manipulationen der Zeitquelle innerhalb der loT-Einheit. Derzeit gibt es keine Möglichkeit zur Nutzung von Mehrfaktorauthentifizierung zum Authentifizieren einer Einheit des Internets der Dinge (loT) auf eine sicherere Weise als bei früheren Versuchen.
-
Ausführungsformen der vorliegenden Offenbarung verbessern eine derartige Technologie, indem sie die Identitätsnachweise einer oder mehrerer benachbarter IoT-Einheiten von der zu authentifizierenden loT-Einheit erhalten. In einer Ausführungsform der vorliegenden Offenbarung erhält die zu authentifizierende loT-Einheit die Identitätsnachweise einer oder mehrerer benachbarter loT-Einheiten. Derartige Identitätsnachweise können genutzt werden, um während eines Prozesses der Mehrfaktorauthentifizierung einen Zweitfaktor-Berechtigungsnachweis zu erstellen. In einer Ausführungsform koppelt das Authentifizierungssystem während eines Vertrauenszustands wie zum Beispiel beim Installieren der loT-Einheit und deren benachbarter loT-Einheiten die loT-Einheit mit vorgegebenen benachbarten loT-Einheiten, um mit diesen in ständigem Datenaustausch zu stehen. Das Authentifizierungssystem kann erfordern, dass der von der loT-Einheit erstellte, Zweitfaktor-Berechtigungsnachweis auf den Identitätsnachweisen beruht, die von mindestens einer Mindestanzahl dieser benachbarten loT-Einheiten oder von vorgegebenen loT-Einheiten aus diesen benachbarten loT-Einheiten bezogen wurden. In einer Ausführungsform erhält die loT-Einheit derartige Identitätsnachweise während eines „Nachbarbeobachtungszeitraums“, der einer angegebenen Zeitspanne entspricht, die regelmäßig, wie zum Beispiel in vorgegebenen Zeitabständen, auftreten kann. Nach einem Bereitstellen einer Anfrage an das Authentifizierungssystem zum Nachweisen der Identität der loT-Einheit stellt die loT-Einheit dem Authentifizierungssystem einen Erstfaktor-Berechtigungsnachweis bereit, wie zum Beispiel einen Benutzernamen und ein Kennwort, die innerhalb der loT-Einheit eingebettet sein können. Nachdem das Authentifizierungssystem die Richtigkeit des Erstfaktor-Berechtigungsnachweises bestätigt hat, wie zum Beispiel über eine Nachschlagetabelle, in der die der IoT-Einheit zugehörigen Benutzernamen und Kennwörter aufgeführt sind, fordert es die IoT[-Einheit] auf, den Zweitfaktor-Berechtigungsnachweis bereitzustellen. Nach einem Empfangen der Aufforderung des Authentifizierungssystems zum Bereitstellen des Zweitfaktor-Berechtigungsnachweises meldet die loT-Einheit den Zweitfaktor-Berechtigungsnachweis an das Authentifizierungssystem zurück, der auf der Grundlage der von der/den benachbarten IoT-Einheit(en) erhaltenen Identitätsnachweise erstellt wurde. Nachdem festgestellt wurde, dass der empfangene, Zweitfaktor-Berechtigungsnachweis die Identitätsnachweise vorgegebener benachbarter loT-Einheiten oder einer Mindestanzahl von vorgegebenen benachbarten loT-Einheiten umfasst, genehmigt das Authentifizierungssystem die Authentifizierung. Die loT-Einheit empfängt dann von dem Authentifizierungssystem einen Hinweis, dass die IoT-Einheit ihre Identität nachgewiesen hat. Auf diese Weise wird die IoT-Einheit unter Nutzung von Mehrfaktorauthentifizierung auf eine sicherere Weise authentifiziert als bei früheren Versuchen. Des Weiteren ergibt sich auf diese Weise eine Verbesserung im technischen Bereich der Informationssicherheit.
-
Die technische Lösung, die in der vorliegenden Offenbarung bereitgestellt wird, kann weder vom menschlichen Verstand noch von einem Menschen mit Stift und Papier durchgeführt werden. Das heißt, dass die in der vorliegenden Offenbarung bereitgestellte technische Lösung ohne die Verwendung eines Computers weder vom menschlichen Verstand noch von einem Menschen, der Stift und Papier benutzt, in einem vernünftigen Zeitrahmen und mit einer vernünftigen Erwartung an die Genauigkeit erreicht werden könnte.
-
Die Beschreibungen der verschiedenen Ausführungsformen der vorliegenden Offenbarung wurden zum Zwecke der Veranschaulichung aufgeführt, sollen jedoch nicht gesamthaft stehen für bzw. begrenzt sein auf die offenbarten Ausführungsformen. Für Fachleute werden viele Abänderungen und Abwandlungen ersichtlich sein, ohne von dem Umfang und Sinngehalt der beschriebenen Ausführungsformen abzuweichen. Die hierin verwendete Terminologie wurde gewählt, um die Grundgedanken der Ausführungsformen, die praktische Anwendung oder technische Verbesserung gegenüber auf dem Markt vorgefundenen Technologien bestmöglich zu erläutern oder um es anderen Fachleuten zu ermöglichen, die hierin dargelegten Ausführungsformen zu verstehen.
