DE19848501C2

DE19848501C2 - Verfahren zur Identitätsprüfung

Info

Publication number: DE19848501C2
Application number: DE19848501A
Authority: DE
Inventors: Winfried Schoettler
Original assignee: SFR GES fur DATENVERARBEITUNG
Current assignee: SFR GES fur DATENVERARBEITUNG
Priority date: 1998-10-21
Filing date: 1998-10-21
Publication date: 2001-03-22
Anticipated expiration: 2018-10-22
Also published as: DE19848501A1

Description

Die meisten Betriebssysteme und viele Programme verlangen, daß der Benutzer sich identi fiziert. In der Regel geschieht dies durch Eingabe eines Paßworts (Eingabe von Text). Aus Sicherheitsgründen sollen diese Paßwörter möglichst nicht assoziativ gebildet werden (NICHT der Vorname der Kinder, NICHT der Hochzeitstag, etc.). Aus dem gleichen Grund ist eine Änderung der Paßwörter in regelmäßigen Abständen erwünscht.

Die meisten Computerbenutzer müssen daher mit einer größeren Zahl schlecht memorierba rer, ständig wechselnder Paßwörter leben. Die Folge sind gravierende Sicherheitslücken, da einzelne Anwender entweder die oben skizzierten Regeln außer acht lassen oder sich ihre Paßwörter mehr oder weniger öffentlich zugänglich notieren.

Ein weiterer Nachteil text- oder ziffernbasierter Paßwörter ist die Möglichkeit, daß Dritte durch aufmerksames Beobachten der Eingabe das Paßwort "lesen" können.

Der letztgenannte Nachteil besteht auch dann, wenn statt eines "normalen" Alphabets ein Satz von Symbolen zur Bildung des Paßwortes herangezogen wird, wie in der DE 196 20 346 A1.

Zur einfachen und kostengünstigen Beseitigung der skizzierten Nachteile ist eine Anordnung bekannt geworden (vgl. EP 0 677 801 A1), bei der Bilder zur Eingabe eines Paßwortes verwendet werden. Menschen fällt es wesentlich leichter, sich an Bilder (Bildteile) als an Text zu erinnern. Zudem sind die Assoziationen zu Bildern wesentlich vielfältiger und indi vidueller als dies bei Texten der Fall ist. Die Eingabe des Paßworts erfolgt dort dadurch, daß innerhalb der Bilddarstellung bei der Ersteingabe eine Region ausgewählt und bei den Folgeeingaben überprüft wird, ob die Neueingabe innerhalb einer bestimmten Toleranz liegt.

Nachteilig bei diesem Verfahren ist es, daß die Regionen regelmäßig z. B. quadratisch und somit von festgelegter Form sind und im schlechtesten Fall auch noch nach Art eines Ra sters angeordnet sind. Die Erinnerbarkeit derartiger Regionen ist schlecht, da sie in keinem Zusammenhang mit dem Bild, auf dem sie sich befinden, stehen.

Außerdem ist nachteilig, daß durch die Abspeicherung von Geometriedaten (Koordinaten, Vektoren) keine Anbindung an herkömmliche z. B. Kryptographieverfahren möglich ist.

Aufgabe der vorliegenden Erfindung ist es daher, unter Vermeidung der aus dem Stand der Technik bekannten Nachteile ein Verfahren zu schaffen, mit dem einfach und kostengünstig eine wirksame und sichere Identitätsprüfung mit Anbindung an Kryptographieverfahren er möglicht wird.

Diese Aufgabe wird mit einem Verfahren zur Identitätsprüfung gelöst, das die folgenden Schritte umfaßt:

Verfahren, umfassend die folgenden Schritte

1. 1.1. erstes Anzeigen eines sichtbar oder unsichtbar in verschiedene regelmäßige Re gionen (Gitter) gegliederten Bildes;
2. 1.2. durch einen Benutzer bei einer Ersteingabe erfolgende Auswahl mindestens einer Region durch Auswahl eines in der jeweiligen Region gelegenen Punktes;
3. 1.3. Verschieben jeder ausgewählten, mindestens einen Region so, daß der von dem Benutzter bei der Ersteingabe ausgewählte Punkt in der Mitte der ausgewählten Region liegt und Speichern der Offsets der Verschiebungen;
4. 1.4. Zuordnen eines alphanumerischen od. dgl. Zeichens zu jeder von einem Benut zer bei der Ersteingabe ausgewählten mindestens einen Region;
5. 1.5. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein symmetrisches Kryptographieverfahren mit Speicherung des Ver schlüsselungsergebnisses;
6. 1.6. Anzeigen des unsichtbar in verschiedene Regionen gegliederten Bildes;
7. 1.7. nacheinander für alle der mindestens einen Region:
- 1. 1.7.1. Verschieben des Gitters entsprechend des gespeicherten Offsets der ersten Verschiebung der Ersteingabe;
- 2. 1.7.2. durch den Benutzer bei der Folgeeingabe erfolgende Auswahl der ersten Region durch Auswahl eines in dieser gelegenen Punktes;
- 3. 1.7.3. Zuordnen eines alphanumerischen od. dgl. Zeichens zu der von dem Be nutzer bei der Folgeeingabe ausgewählten Region;
- 4. 1.7.4. Durchlaufen der Schritte 1.7.1 bis 1.7.3 für alle bei der Ersteingabe aus gewählten Regionen;
8. 1.8. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein symmetrisches Kryptographieverfahren;
9. 1.9. Vergleichen der beiden Verschlüsselungsergebnisse; und Feststellen der Identität des Benutzers, falls die Verschlüsselungsergebnisse übereinstimmen.

Die Eingabe des Paßworts erfolgt also durch die Auswahl (z. B. durch Anklicken mit dem Mauszeiger) einzelner Symbole oder Regionen eines Bildes. Diese Vorgehensweise hat ne ben der bereits skizzierten leichteren Erinnerbarkeit der Paßwörter weitere Vorteile:

- Das Verfahren kann auch in Systemen ohne Tastatur ("Touchscreen", Kiosksysteme) eingesetzt werden.
- Im Vergleich zu anderen Identifizierungssystemen, wie z. B. biometrischen Verfahren, ist in der Regel keine zusätzliche Hardware erforderlich, da heute praktisch alle Rech nersysteme mit einer Maus, einem Joystick, einem Trackball oder einem vergleichbarem Eingabegerät ausgestattet sind.
- Im Gegensatz zu biometrischen Verfahren besteht kein direkter Zusammenhang zwischen den Merkmalen der Identifizierung und der sich identifizierenden Person, d. h. dasselbe Paßwort kann sogar von mehreren Personen benutzt werden.

Eine Alternative bietet der nebengeordnete Anspruch 2, nach dem ein Verfahren zur Identi tätsprüfung die folgenden Schritte umfaßt:

1. 1.1. erstes Anzeigen eines sichtbar in verschiedene unregelmäßige Regionen geglie derten Bildes;
2. 1.2. durch einen Benutzer bei einer Ersteingabe erfolgende Auswahl mindestens einer Region durch Auswahl eines in der jeweiligen Region gelegenen Punktes;
3. 1.3. Zuordnen eines alphanumerischen od. dgl. Zeichens zu jeder von einem Benut zer bei der Ersteingabe ausgewählten mindestens einen Region;
4. 1.4. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein symmetrisches Kryptographieverfahren mit Speicherung des Ver schlüsselungsergebnisses;
5. 1.5. Anzeigen des unsichtbar in verschiedene Regionen gegliederten Bildes;
6. 1.6. nacheinander für alle der mindestens einen Region:
- 1. 1.6.1. durch den Benutzer bei der Folgeeingabe erfolgende Auswahl der ersten Region durch Auswahl eines in dieser gelegenen Punktes;
- 2. 1.6.2. Zuordnen eines alphanumerischen od. dgl. Zeichens zu der von dem Be nutzer bei der Folgeeingabe ausgewählten Region;
- 3. 1.6.3. Durchlaufen der Schritte 2.6.1 bis 2.6.2 für alle bei der Ersteingabe aus gewählten Regionen;
7. 1.7. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein Kryptographieverfahren;
8. 1.8. Vergleichen der beiden Verschlüsselungsergebnisse; und Feststellen der Identität des Benutzers, falls die Verschlüsselungsergebnisse übereinstimmen.

Auch mit dieser Variante werden erhebliche Vorteile gegenüber dem Stand der Technik er zielt, da der Benutzer selber gültige Regionen, insbesondere unregelmäßige, bei der Erstein gabe festlegen kann. Hierdurch wird die Möglichkeit von Zufallstreffern minimiert.

Vorteilhafte Ausgestaltungen der Verfahren sind Gegenstand der Unteransprüche.

So ist es bevorzugt, wenn bei der Ersteingabe und bei der Folgeeingabe jeweils mehrere Regionen ausgewählt und verarbeitet werden. Hierdurch verringert sich die Wahrscheinlich keit für Zufallstreffer bei Manipulationsversuchen weiter.

Besonders vorteilhaft ist es, wenn die Zeichen der Regionen bei der Ersteingabe und den weiteren Verfahrensschritten nach Wahl des Benutzers aus verschiedenen Alphabeten ent stammen. Dies können insbesondere zwei Alphabete, und hier wiederum insbesondere ein Großbuchstaben- und ein Kleinbuchstabenalphabet sein.

Weiter ist es vorteilhaft, wenn mehrere Bilder zur Auswahl stehen. Hierdurch wird wieder um die Gefahr von Zufallstreffern verringert.

Besonders vorteilhaft kann es sein, wenn ein Bild nach Auswahl durch einen ersten Benutzer für weitere Benutzer nicht mehr zur Auswahl steht. Für den ersten Benutzer muß dann eine erste z. B. herkömmliche Identitätsprüfung stattfinden, um ihm sein "persönliches" Bild zur Eingabe des Paßwortes anzuzeigen.

Schließlich ist es bevorzugt, wenn die Gliederung des Bildes in regelmäßige bzw. unregel mäßige Regionen vom Benutzer vor der Ersteingabe vorgenommen wird. Auch hierdurch wird eine erhöhte Komplexität der Vorlage mit verringerter Wahrscheinlichkeit für Zufalls treffer erzeugt.

In der Folge wird beispielhaft anhand eines Verfahrens zur Überprüfung der Zugangsbe rechtigung zu einem PC eine bevorzugte Ausführungsform erläutert:

Eine Anlage zur Überprüfung der Identität bzw. Zugangsberechtigung weist z. B. einen übli chen PC, einen Bildschirm zur Anzeige der Bilder und ein Eingabegerät wie z. B. eine Maus auf.

Bei der Definition eines Paßwortes (Ersteingabe) wählt der Benutzer zunächst aus vorzugs weise zahlreichen angezeigten Bildern eines aus. Der Inhalt des Bildes ist beliebig, sollte nach Möglichkeit aber eine Vielzahl von Details wie markante Punkte, Symbole, farbige Flächen od. dgl. aufweisen. Das gleiche Bild erhält er später angezeigt, wenn er sich identi fizieren soll.

Anschließend wählt der Benutzer mit der Maus oder einem anderem Eingabegerät einzelne Details des Bildes aus. Das Paßwort wird nun aus den gewählten Details und der Reihenfol ge ihrer Auswahl gebildet.

Die gewählten Details und ihre Reihenfolge können leicht erinnert werden. Zusätzlich hilft das Bild dem Gedächtnis, individuelle Assoziationsketten zu bilden. Darüber hinaus können auch einfache Merksätze die Erinnerung unterstützen: "Hund, Katze, Maus", "Das BOOT fährt auf dem FLUSS an dem MANN vorbei, der vor dem HAUS steht".

Zur Identifizierung wählt der Benutzer später aus dem vorgegebenen Bild die gleichen Sym bole in der gleichen Reihenfolge.

Die eigentliche Umsetzung der Bildauswahl zu einem Paßwort erfolgt intern und vom Be nutzer unbemerkt. Bei der Definition eines Paßwortes wird das gewählte Bild zunächst (für den Benutzer nicht zwingend sichtbar) in einzelne Flächen unterteilt. Die Gesamtzahl der Flächen steht für den maximalen Zeichenvorrat (das "Alphabet") des Paßworts; jede Fläche entspricht einem einzelnen Zeichen aus diesem Vorrat.

Die vom Benutzer zur Definition seines Paßwortes ausgewählten beliebigen Punkte des Bil des werden anschließend dem entsprechenden Zeichen zugeordnet und anschließend in das Paßwort übernommen. Die oben erwähnte Auswahl der vier Details [BOOT] [FLUSS] [MANN] [HAUS] könnte so z. B. zu dem Vierzeichen-Paßwort "HZPÜ" führen.

Dem Benutzer kann dabei die Möglichkeit eingeräumt werden, z. B. durch Anklicken der Bildregionen mit der rechten oder linken Maustaste, Einfluß auf die Zeichen des Paßworts zu nehmen, z. B. die Groß- und Kleinschreibung beeinflussen. So könnte z. B. die Auswahl der Details [BOOT/rechte Maustaste] [FLUSS/rechte Maustaste] [MANN/rechte Maustaste] [HAUS/rechte Maustaste] wie oben zu dem Paßwort "HZPÜ", die Auswahl der Details [BOOT/rechte Maustaste] [FLUSS/linke Maustaste] [MANN/rechte Maustaste] [HAUS/linke Maustaste] jedoch zu dem Paßwort "HzPü" führen.

In jedem Falle identifiziert sich der Benutzer später dadurch, daß er die gleichen Punk te/Details/Regionen in der gleichen Reihenfolge und mit den gleichen zusätzlichen Aktionen (recht/linke Maustaste) auswählt, wodurch intern das gleiche Paßwort gebildet wird.

Für die Aufteilung der Graphik in Flächen sind zwei Verfahren möglich:

Regelmäßige Aufteilung

Die Gesamtfläche wird in regelmäßige Zellen aufgeteilt (z. B. in Rechtecke oder Sechsecke). Bei der Definition des Paßworts wird dieses Gitter für jede separate Eingabe so verschoben, daß der gewählte Punkt der Grafik genau in der Mitte einer Zelle liegt. Hierdurch wird die notwendige "Unschärfe" einer späteren Eingabe kompensiert. Niemand kann immer exakt den gleichen Punkt einer Grafik anwählen. Die Größe der Gitterzellen entspricht daher dem Bereich, innerhalb dessen eine Eingabe gültig bleibt. Eine Verschiebung des gesamten Git ters ist notwendig, um Abweichungen in jeder Richtung zu erlauben.

Neben der Graphik müssen die Größe der Zellen und die Offsets der einzelnen Gitterver schiebungen gespeichert werden, um später aus der Benutzereingabe das korrekte Paßwort bilden zu können. Die Sicherheit des Paßwortes ist von der Größe der einzelnen Zellen ab hängig, da durch sie implizit die Gesamtzahl der Zellen festgelegt wird (Umfang des Alpha bets).

Die regelmäßige Aufteilung der Graphik ist in der Fig. 1 schematisch dargestellt.

Unregelmäßige Aufteilung

Die unregelmäßige Aufteilung einer Graphik kann auf die Besonderheiten des dargestellten Inhalts eingehen (markante Punkte, einzelne Symbole, auffällige Flächen). Die Aufteilung der Maske erfolgt in diesem Fall entweder manuell oder durch entsprechend "intelligente" Programme. Im Gegensatz zum ersten Verfahren entfällt das Merkmal einer nicht spezifi schen "Unschärfe". Zwischen dem Benutzer und dem Hersteller der Maske müssen daher Vereinbarungen getroffen werden, wie einzelne Symbole ausgewertet werden (z. B. "Kante oder Fläche").

Neben der Grafik muß die komplette Maske (das Alphabet) gespeichert werden. Auch hier ist die Sicherheit des Paßwortes vom Umfang des Alphabets (gleich Gesamtzahl der Flächen innerhalb der Maske) abhängig.

Die unregelmäßige Aufteilung der Graphik ist in der Fig. 2 schematisch dargestellt.

Bei der technischen Realisierung des Verfahrens ist es wichtig zu beachten, daß nicht alle Verfahrensschritte hardwaremäßig innerhalb eines Gerätes oder am selben Ort durchgeführt werden müssen. So ist es insbesondere möglich, das Abspeichern des Zeichens, das Ver gleichen des Zeichens der ausgewählten Region mit dem abgespeicherten Zeichen und das Feststellen der Identität des Benutzers, falls das Zeichen der ausgewählten Region mit dem abgespeicherten Zeichen übereinstimmt, auszulagern. Insbesondere kann dies auf herkömm lichen Geräten erfolgen.

Claims

1. Verfahren zur Identitätsprüfung, umfassend die folgenden Schritte

2. Verfahren zur Identitätsprüfung, umfassend die folgenden Schritte

1. 2.1. erstes Anzeigen eines sichtbar in verschiedene unregelmäßige Regionen geglie derten Bildes;
2. 2.2. durch einen Benutzer bei einer Ersteingabe erfolgende Auswahl mindestens einer Region durch Auswahl eines in der jeweiligen Region gelegenen Punktes;
3. 2.3. Zuordnen eines alphanumerischen od. dgl. Zeichens zu jeder von einem Benut zer bei der Ersteingabe ausgewählten mindestens einen Region;
4. 2.4. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein symmetrisches Kryptographieverfahren mit Speicherung des Ver schlüsselungsergebnisses;
5. 2.5. Anzeigen des unsichtbar in verschiedene Regionen gegliederten Bildes;
6. 2.6. nacheinander für alle der mindestens einen Region:
- 1. 2.6.1. durch den Benutzer bei der Folgeeingabe erfolgende Auswahl der ersten Region durch Auswahl eines in dieser gelegenen Punktes;
- 2. 2.6.2. Zuordnen eines alphanumerischen od. dgl. Zeichens zu der von dem Be nutzer bei der Folgeeingabe ausgewählten Region;
- 3. 2.6.3. Durchlaufen der Schritte 2.6.1 bis 2.6.2 für alle bei der Ersteingabe aus gewählten Regionen;
7. 2.7. Übergabe des mindestens einen Zeichens als Schlüssel zur Weiterverarbeitung durch ein Kryptographieverfahren;
8. 2.8. Vergleichen der beiden Verschlüsselungsergebnisse; und Feststellen der Identität des Benutzers, falls die Verschlüsselungsergebnisse übereinstimmen.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß bei der Ersteingabe und bei der Folgeeingabe jeweils mehrere Regionen ausgewählt und verarbeitet wer den.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Zeichen der Regionen bei der Ersteingabe und den weiteren Verfahrensschritten nach Wahl des Benutzers aus verschiedenen Alphabeten entstammen.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß die Alphabete ein Groß buchstaben- und ein Kleinbuchstabenalphabet umfassen.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß mehrere Bilder zur Auswahl stehen.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß ein Bild nach Auswahl durch einen ersten Benutzer für weitere Benutzer nicht mehr zur Auswahl steht.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Gliederung des Bildes in regelmäßige bzw. unregelmäßige Regionen vom Benutzer vor der Ersteingabe vorgenommen wird.