DE3783822T2

DE3783822T2 - Voreinstellung einer kryptovariablen in einem "public key"-netz.

Info

Publication number: DE3783822T2
Application number: DE8787105550T
Authority: DE
Inventors: Stephen Michael Matyas
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1986-06-27
Filing date: 1987-04-14
Publication date: 1993-08-19
Anticipated expiration: 2007-04-15
Also published as: EP0254812A2; EP0254812A3; EP0254812B1; JPS638786A; JPH0575115B2; DE3783822D1; US4771461A

Description

Die vorliegende Erfindung betrifft die Voreinstellung einer Kryptovariablen in einem Netzwerk mit öffentlichem Schlüssel (auch als "Public Key"-Netz bezeichnet).
Kryptographische Verfahren sind immer dann erforderlich, wenn Informationen sicher durch eine unbeherrschte, möglicherweise feindliche Umgebung, wie beispielsweise ein Datenfernverarbeitungsnetzwerk, gesendet werden müssen. Für den Einsatz dieser Verfahren müssen die Systemknoten mit kryptographischen Variablen, d. h. kryptographischen Schlüsseln, initialisiert werden. Für Netze mit einer großen Zahl von Datenstationen, die möglicherweise in die Hunderttausende gehen kann, an Standorten mit geringer physischer Sicherheit werden Initialisierungsverfahren benötigt. Typische Beispiele für Netzwerke dieser Art sind moderne Netze für den elektronischen Zahlungsverkehr (EFT-Netzwerke) und für Datenkassen (POS-Netzwerke), wie sie beispielsweise von Einzelhandelsunternehmen und in den USA zum Betreiben von Bankfilialen in mehreren Bundesstaaten verwendet werden.
Normalerweise wird Sicherheitspersonal für die Initialisierung eines Systems mit kryptographischen Schlüsseln eingesetzt. Bei einer Implementierung unter Verwendung eines symmetrischen Algorithmus, wie beispielsweise des Datenverschlüsselungsalgorithmus (DVA), muß die Handhabung geheimer Schlüssel durch vertrauenswürdiges Personal erfolgen. Bei einer Implementierung unter Verwendung eines asymmetrischen Algorithmus, wie beispielsweise des Algorithmus nach Rivest, Shamir und Adleman (RSA), kann das System ebenfalls von vertrauenswürdigem Personal mit geheimen Schlüsseln initialisiert werden, obwohl hier die Möglichkeit besteht, daß lediglich öffentliche Schlüssel verteilt werden müssen. Ein asymmetrischer Algorithmus kann auch als Algorithmus für den öffentlichen Schlüssel (ÖSA) bezeichnet werden. Bei letzterem Ansatz werden der erforderliche geheime Schlüssel und der entsprechende öffentliche Schlüssel intern vom Knoten erzeugt. Der geheime Schlüssel wird gespeichert, wohingegen der öffentliche Schlüssel angezeigt wird, so daß er vom Sicherheitspersonal dem passenden, mit der Datenstation kommunizierenden Knoten zugeteilt werden kann, und daher ist ein Kanal erforderlich, bei dem die Integrität gewährleistet ist, da sonst ein falscher öffentlicher Schlüssel, der einem falschen geheimen Schlüssel entspricht, von dem die Identifikation überprüfenden Knoten akzeptiert werden könnte.
Bei zunehmender Anzahl der Datenstationen in einem Netzwerk könnte man annehmen, daß gewisse Größenvorteile ins Spiel kommen müßten und sich die Gesamtkosten für die Verteilung von Schlüsseln durch Sicherheitspersonal (z. B. Kuriere) verringern. Die gegenwärtigen Projektionen lassen jedoch genau das Gegenteil erkennen, und es wird vermutet, daß die Kosten für die Schlüsselverteilung über Kuriere zumindest proportional zur Anzahl der Datenstationen, wenn nicht gar stärker, steigen werden. Zwar stimmt es, daß sich die Wegstrecken zwischen den von diesen Kurieren bedienten Standorten erheblich reduzieren können, wenn mehr und mehr Knoten innerhalb eines gegebenen geographischen Gebietes untergebracht werden, doch der steigende Arbeitsaufwand bezüglich der Planung und Koordination von Kurierterminen an diesen Standorten würde diesen erwarteten Vorteil zweifellos mehr als nur kompensieren. Ein weiteres nicht unerhebliches Problem würde die Verbindung kleinerer Netzwerke mit größeren Netzwerken beziehungsweise die Verknüpfung mehrerer kleinerer Netzwerke zu einem großen Netzwerk mit sich bringen. Das Problem besteht darin, daß es sich in einem kleinen Netzwerk, das an ein großes Netzwerk angeschlossen wird, sehr wohl bemerkbar machen könnte, daß die Schlüsselverteilung nicht ausschließlich auf das kleine Netzwerk begrenzt ist.
Es könnte sein, daß eine Schlüsselverteilung über das gesamte Netzwerk erforderlich ist.
Ein früher erster Versuch einer Schlüsselverteilung, die kuriergestützte Verteilung geheimer Schlüssel, ist in der Fachwelt weithin bekannt. Einer der ersten Vorschläge für die Durchführung der Schlüsselverteilung mit Hilfe eines öffentlichen Schlüsselalgorithmus (ÖSA) bestand einfach darin, daß von einem Einheitenpaar, das miteinander kommunizieren wollte, öffentliche Schlüssel über einen Kommunikationskanal ausgetauscht wurden. Diesem Verfahren jedoch mangelte es an Integrität, da es einen Widersacher in die Lage versetzte, sich als echter Knoten auszugeben, indem er einfach seinen öffentlichen Schlüssel an einen anderen Teilnehmer im Netz sendete. Ein Widersacher könnte ferner einen wirksamen Angriff gegen zwei Einheiten ausführen, die beabsichtigten, miteinander in Verbindung zu treten, indem er die ausgetauschten öffentlichen Schlüssel abfangen und seinen eigenen öffentlichen Schlüssel an die entsprechenden Einheiten weiterleiten würde. Dies würde es dem Widersacher ermöglichen, sämtliche von einer Einheit zu einer anderen übertragenen Daten abzufangen, zu entschlüsseln, zu lesen und wieder zu verschlüsseln.
Ein anderer Vorschlag zur Verteilung öffentlicher Schlüssel bestand darin, diese bei einem Schlüsselverteilungszentrum (SVZ) anzumelden. Jeder, der mit einer bestimmten Partei kommunizieren wollte, würde sich zunächst mit dem SVZ in Verbindung setzen, um eine Kopie des öffentlichen Schlüssels der betreffenden Partei zu erhalten. Für Integrität würde gesorgt, indem das SVZ eine kurze Nachricht erstellen würde, die den öffentlichen Schlüssel und das Identifikationszeichen (ID) der Einheit oder des Benutzers enthält, dem der Schlüssel gehörte, und diese Nachricht anschließend "kennzeichnen" würde, indem die Nachricht unter Verwendung des geheimen Schlüssels des SVZ entschlüsselt wird. Vorher würde der öffentliche Schlüssel des SVZ an sämtliche Knoten oder Einheiten im System verteilt und könnte anschließend zur Überprüfung der vom SVZ erhaltenen Nachricht, die den öffentlichen Schlüssel und die Kennzeichnung enthält, verwendet werden, indem die empfangene Kennzeichnung mit dem öffentlichen Schlüssel verschlüsselt wird. Dies stellte schließlich einen Weg dar, bei dem die Integrität bei der Verteilung der öffentlichen Schlüssel der einzelnen Benutzer oder Einheiten gegeben war. Das Problem der Integrität der Schüssel während der Eintragung ist jedoch nach wie vor gegeben. Da der Prozeß der Ersteintragung rein darin bestehen könnte, daß der öffentliche Schlüssel dem SVZ in einer Art von Nachricht mitgeteilt wird, die besagt, daß dies mein Schlüssel ist und daß es diesen bitte registrieren möchte, könnte ein Widersacher einen öffentlichen Schlüssel unberechtigterweise im Namen von jemand anderen registrieren lassen.
Racal-Milgo hat ein Verfahren zur Schlüsselverteilung über einen Algorithmus für öffentliche Schlüssel eingeführt. Da er sich der Möglichkeit eines Schwindels bewußt war, implementierte Racal- Milgo ein Verfahren, das diesem Schwindel entgegenwirken sollte und das in einem Telefonanruf bestand, bei dem die Parteien ihre jeweiligen öffentlichen Schlüssel überprüften, indem sie Prüfdaten anhand der öffentlichen Schlüssel berechneten. Kurz, wenn zwei Parteien miteinander kommunizieren wollen, erzeugt jede der beiden ein Schlüsselpaar bestehend aus einem öffentlichen und einem geheimen Schlüssel, und beide tauschen dann ihre öffentlichen Schlüssel über den Kommunikationskanal aus. Beim Empfang des öffentlichen Schlüssels berechnet jede Partei eine vorgegebene Funktion des öffentlichen Schlüssels. Die Parteien setzen sich anschließend telefonisch miteinander in Verbindung und tauschen die errechneten Werte aus, die dann von den Parteien, von denen sie ursprünglich stammen, überprüft werden. Wenn die korrekten Werte mitgeteilt werden, hat jede Partei den richtigen öffentlichen Schlüssel empfangen. Dieses Verfahren wird in einem Artikel mit dem Titel "Public Key Security" von C. R. Abbruscato beschrieben, der 1984 in der Dezemberausgabe von Telecommunications erschienen ist. Die Schwachstelle bei dieser Schutzvorkehrung gegen einen Schwindel besteht darin, daß der Telefonkanal selbst sicher sein muß bzw. die Gesprächspartner einander an der Stimme erkennen müssen.
Die Bell Telephone Laboratories haben ein ähnliches Verfahren beschrieben, das einem möglichen Schwindel entgegenwirkt und das dem Verfahren nach Racal-Milgo zeitlich vorausgeht. Das Verfahren nach Bell umfaßt eine Überprüfung der öffentlichen Schlüssel durch Berechnung und postalische Zustellung der Schlüsselprüfdaten an den Ursprungsknoten anstelle der mündlichen Übermittlung der Informationen über einen Fernsprechkanal. Ansonsten ist das Konzept identisch. Das Verfahren wird in folgendem Artikel von Frank H. Myers beschrieben: "A Data Link Encryption System", NTC Conference Record, National Telecommunications Conference, Washington, D.C., Nov. 27-29, 1979. Wiederum ist es bei diesem Schutz vor einem Schwindel erforderlich, daß das für die postalische Zustellung in Anspruch genommene System die Integrität gewährleistet, ansonsten könnte die Prüfung zum Schutz vor Schwindel abermals durch einen Schwindel überwunden werden.
In einer Abhandlung neueren Datums beschreiben Carl H. Meyer und Stephen M. Matyas ein Verfahren zur Schlüsselinstallation bzw. Schlüsselverteilung. Siehe hierzu "Installation and Distribution of Cryptographic Variables in an EFT/POS Network with a Large Number of Terminals", Proceedings of SECURIOM 86 (1986). Dieser Lösungsweg verlangt die Installation der geheimen Datenstationsschlüssel an einem vertrauenswürdigen Knoten, beispielsweise einem Schlüsselverteilungszentrum (SVZ). Die Datenstationen, auf denen der jeweilige Schlüssel bereits installiert ist, werden an ihre endgültigen Bestimmungsorte gebracht. Der geheime ursprüngliche Datenstationsschlüssel ist während des Transports (anfängliche Schlüsselverteilung) durch eine sichere Hardwarekonstruktion, die als fälschungssicheres Modul definiert ist, geschützt, mit der der höchste Grad an Schlüsselschutz zu erreichen sein scheint. Der Grad der Komplexität und Sicherheit dieses Verfahren bleibt derselbe, unabhängig davon, ob es sich bei dem verwendeten kryptographischen Algorithmus um einen symmetrischen Algorithmus (z. B. den Datenverschlüsselungsalgorithmus (DVA)) oder einen asymmetrischen Algorithmus (z. B. den Algorithmus nach Rivest, Shamir und Adleman (RSA)) handelt.
Bei einem weiteren Lösungsweg dürfen die ursprünglichen, geheimen Datenstationsschlüssel über Postzustellungen für Schlüssel verteilt werden, ähnlich den Verfahren, die bei der Verteilung von Geheimnummern (PINs) zum Einsatz kommen. Zwar ist dieser Lösungsweg für die anfängliche Schlüsselverteilung weniger kostspielig und erfordert keine Initialisierung der Datenstation an einem sicheren Knoten, aber er ist auch weniger sicher, da es einfacher ist, durch Abfangen von Postsendungen Kenntnis von geheimen Daten zu erhalten, als eine durch ein fälschungssicheres Modul abgesicherte Ausführung anzugreifen.
Angesichts des Trends zu Netzwerken mit Hunderttausenden von Datenstationseinheiten stellt der Bedarf an kostengünstigen, praktischen und sicheren Verfahren für die Verteilung von kryptographischen Schlüsseln eine besondere Herausforderung für die Entwickler kryptographischer Systeme dar. Die Notwendigkeit von geheimen kryptographischen Schlüsseln an jedem Systemknoten läßt sich anhand einer der wichtigeren Sicherheitsanforderungen aufzeigen; nämlich der Anforderung, eine unveränderte Übertragung von Nachrichten zwischen Netzknoten sicherzustellen. Wenn diese Anforderung erfüllt ist, wird gesagt, daß eine Integrität der Nachrichten gegeben ist. Um dies zu erreichen, ist die Einführung von kyptographischen Fehlererkennungscodes notwendig. Ein solcher Code muß eine Funktion der Nachricht und zugleich eine geheime Größe darstellen, so daß selbst eine winzige Änderung in der Nachricht zu einer entsprechenden Änderung im Code führt. Zur Erzeugung dieses Codes ist eine geheime Größe erforderlich, damit ausschließlich der Eigentümer eines solchen geheimen Schlüssels eine gültige Größe erzeugen kann. (Das verwendete kryptographische Konzept bezieht sich auf eine Prüfung der Nachricht auf Integrität und auch auf die Sicherstellung der Integrität und Echtheit anderer Entitäten wie beispielsweise Systemknoten, kryptographische Schlüssel und Systembenutzer.) Infolgedessen macht die Anforderung, für eine Nachrichtenintegrität zu sorgen, die Installation geheimer Schlüssel in sämtlichen Systemknoten erforderlich.
Ein anderes Problem, das sich bei großen Netzwerken stellt, ist die Frage, wie für ausreichende Sicherheit, Integrität und Geheimhaltung von Nachrichten in einer Umgebung gesorgt werden kann, in der die Einheiten an den Netzwerkeingangspunkten eine geringe physische Sicherheit aufweisen. Ein gutes Beispiel hierfür ist ein in einem Supermarkt installiertes kostengünstiges POS-Terminal. In einer solchen Umgebung wäre es unklug, einen geheimen Schlüssel in Terminals zu speichern, der für den Fall, daß der Schlüssel gefährdet wäre, die Netzwerksicherheit über die des einzelnen Terminals hinaus aufs Spiel setzen würde. Ferner wäre es vorteilhaft, wenn die Gefährdung eines solchen Schlüssels einen Widersacher nicht in die Lage versetzen würde, zuvor übertragene und abgefangene Daten zu entschlüsseln.
Die voraussichtlichen Kosten und andere Probleme, die mit der kuriergestützten Verteilung von Schlüsseln in Netzwerken mit einer sehr großen Anzahl von Knoten verbunden sind, haben ein verstärktes Interesse daran hervorgerufen, Verfahren zur Schlüsselverteilung zu finden, die besser und weniger teuer als herkömmliche kuriergestützte Verfahren und in gleichem Maße sicher sind.
Für weitere Hintergrundinformationen zu der vorliegenden Erfindung sei der Leser auf die in den US-Patentschriften Nr. 4.200.770 für Hellmann et al, Nr. 4.218.582 für Hellman et al und Nr. 4.405.829 für Rivest et al enthaltenen Erörterungen zu Algorithmen für öffentliche Schlüssel verwiesen. Ebenfalls von Interesse ist die US-Patentschrift Nr. 4.206.315 für Matyas et al, die in Spalte 4, Zeile 62, bis Spalte 6, Zeile 17 die Erzeugung einer Nachricht und Kennzeichnung beschreibt.
In der US-Patentschrift Nr. 4.386.234 für Ehrsam et al wird in Spalte 5, Zeilen 26 bis 42 eine Datenstation mit einer integrierten Sicherheitseinheit beschrieben. Bei dieser Einheit handelt es sich um die kryptographische Einrichtung, die von Meyer und Matyas in Cryptocrraphy: A New Dimension in Computer Data Security, John Wiley & Sons (1982), auf den Seiten 222 bis 226 beschrieben wird. In der US-Patentschrift Nr. 4.238.853 für Ehrsam et al wird in der Fig. 9 und im Text in Spalte 20, Zeilen 49 bis 68 und in Spalte 21, Zeilen 1 bis 9 ein Verfahren zur Erzeugung von Zufallszahlen gezeigt und beschrieben, das von der zentralen Datensicherheitseinheit (d. h. der kryptographischen Einrichtung) als Teil eines Prozesses zur Erzeugung kryptographischer Schlüssel verwendet werden kann. In eben diesem Patent findet sich in Spalte 4 in den Zeilen 54 bis 68 und in Spalte 5 in den Zeilen 1 bis 51 eine Beschreibung der zentralen Datensicherheitseinheit und des Prozesses zur Schlüsselerzeugung.
In den AFIPS Conference Proceedings zur National Computer Conference 1979, New York, 4. bis 7. Juni 1979, in Vol. 48, AFIPS Press, Montvale, USA auf den Seiten 305-311 beschreibt E. H. Michelman ein Verfahren zur Registrierung von öffentlichen Schlüsseln bei einer Systemsteuereinheit, bei dem einer Steuereinheit Schlüsseländerungen zu bestimmten Zeiten mitgeteilt werden, und diese werden bestätigt, bevor die Schlüsseländerungen tatsächlich wirksam werden.
Aufgabe der vorliegenden Erfindung ist es daher, unter Gewährleistung von Sicherheit und Integrität eine große Anzahl von Knoten in einem Datenbearbeitungssystem mit kryptographischen Variablen zu initialisieren, ohne daß hierbei Kuriere für den Transport dieser kryptographischen Variablen benötigt werden.
Die vorliegende Erfindung bietet
ein Verfahren zum Initialisieren von Kryptovariablen in einem Netzwerk mit mehreren Datenstationen unter Verwendung eines öffentlichen Schlüsselalgorithmus, das die folgenden Stufen aufweist:
Errichten eines Schlüsselverteilungszentrums innerhalb des Netzwerks und Erzeugen eines öffentlichen und geheimen Schlüsselpaares für das Schlüsselverteilungszentrum;
Ausstatten jeder Datenstation in dem Netzwerk mit einer Datenstationsidentifikation, die dem Schlüsselverteilungszentrum bekannt ist, und einer kryptographischen Einrichtung, in welcher der öffentliche Schlüssel des Schlüsselverteilungszentrums gespeichert ist;
Erzeugen einer Kryptovariablen an jeder Datenstation unter Verwendung der kryptographischen Einrichtung;
Übertragen einer Eintragungsanforderungsnachricht, welche die Datenstationsidentifikation und die Kryptovariable enthält, an das Schlüsselverteilungszentrum
und Eintragen der Kryptovariablen in das Schlüsselverteilungszentrum und Senden einer Bestätigung des Empfanges der Eintragungsanforderung von dem Schlüsselverteilungszentrum,
wobei dieses Verfahren durch folgendes gekennzeichnet ist:
Benennen eines Datenstationsinitialisierers für das Vorbereiten und Übertragen der Eintragungsanforderungsnachricht für jede Datenstation im Netzwerk und für das Empfangen der Empfangsbestätigung;
Benachrichtigen des Datenstationsinitialisierers von zwei Ablaufzeiten für jede Datenstation, wodurch die Kryptovariable vorübergehend in dem Schlüsselverteilungszentrum eingetragen wird, wenn von dem Schlüsselverteilungszentrum vor dem Ablaufen der ersten Zeit eine Eintragungsanforderung für eine Kryptovariable empfangen wird;
Löschen der vorübergehenden Eintragung der Kryptovariablen für eine Datenstation, falls in Verbindung mit dieser Datenstation vor Ablaufen der zweiten Zeit, mit oder ohne Genehmigung, irgendeine weitere Kommunikation empfangen wird;
Vervollständigen der Eintragung der Kryptovariablen für eine Datenstation bei Ablaufen der zweiten Zeit, wodurch die Eintragung darauffolgend nur mit Genehmigung gelöscht werden kann.
Die Initialisierung einer Datenstation wird von einem hierfür ausersehenen Beauftragten, dem Datenstationsinitialisierer, vorgenommen, während bei der Initialisierung des Netzwerkes zur Annahme eines Benutzers davon ausgegangen wird, daß diese vom Benutzer ausgeführt wird. Bei dem Datenstationsinitialisierer handelt es sich in allen Fällen um eine Person, die die Schritte des Verfahrens zur Datenstationsinitialisierung verantwortungsbewußt ausführt, wobei ein solches Verfahren darin besteht, die Datenstation dazu zu veranlassen, eine oder mehrere Kryptovariablen zu erzeugen und bei einem Schlüsselverteilungszentrum (SVZ) anzumelden und das SVZ umgehend von eventuell aufgetretenen Problemen in Kenntnis zu setzen. In der Regel wird ein Arbeitnehmer des Unternehmens an dem Standort, an dem die Datenstation physisch installiert ist, beispielsweise ein Datenstationsbenutzer, ein Datenstationsbesitzer, eine Führungskraft oder ein Mitglied des Sicherheitspersonals vor Ort die Aufgabe der Datenstationsinitialisierung übernehmen. In Situationen, in denen ein Schlüsselverteilungszentrum Dritter verwendet wird, kann ein dezentral ernannter Vertreter des SVZ mit der Aufgabe der Datenstationsinitialisierung betraut werden. Der Datenstationsinitialisierer ist nicht verantwortlich für den Transport von öffentlichen oder privaten Schlüsseln oder für die Installation geheimer Schlüssel durch direkte Eingabe derselben in eine Verschlüsselungseinheit. Aus diesem Grunde handelt es sich bei dem Datenstationsinitialisierer nicht um einen Kurier, und er führt auch nicht die Funktionen eines Kuriers aus.
Bei einem Ausführungsbeispiel der Erfindung, bei dem ein öffentlicher Schlüsselalgorithmus zum Einsatz kommt, wird jede Datenstation im Netzwerk mit einer kryptographischen Einrichtung (KE) ausgestattet, die aus Software- und Hardwarekomponenten besteht, die die erforderlichen Verschlüsselungsfunktionen zur Unterstützung der Verschlüsselungsoperationen ausführen. Ein Teilsatz dieser Funktionen unterstützt das erfindungsgemäße Verfahren zur Datenstationsinitialisierung. Der kryptographische Gesamtschutz, einschließlich der Sicherheit des Verfahrens zur Datenstationsinitialisierung, beruht auf der Annahme einer Integrität der KE, einschließlich gespeicherter Schlüssel und Programme und zugehöriger unterstützender Software, die durch die Auslegung und durch andere, vom Benutzer eingesetzte physische Sicherheitsmaßnahmen gewährleistet ist. Vor Anwendung des erfindungsgemäßen Verfahrens zur Datenstationsinitialisierung erzeugt das SVZ ein Schlüsselpaar, das aus einem öffentlichen Schlüssel (ÖSsvz) und einem geheimen Schlüssel (GSsvz) besteht. Diese Schlüssel arbeiten mit dem Algorithmus für öffentliche Schlüssel. Es wird davon ausgegangen, daß eine eindeutige, nicht geheime Datenstationsidentifikation (DID) und der öffentliche Schlüssel des Schlüsselverteilungszentrums (ÖSsvz) in der KE der Datenstation installiert wurden. Der ÖSsvz könnte beispielsweise im Rahmen des Fertigungsprozesses der Datenstation in Form eines Mikrocodes installiert werden. Ersatzweise könnte er auch an einem zentralen Ort installiert werden, und die Datenstationen könnten dann mit installiertem ÖSsvz und installierter DID an den endgültigen Zielort versandt werden, oder er könnte von dem Datenstationsinitialisierer installiert werden, d. h. dezentral, nachdem die Datenstation installiert ist.
Für jede zu initialisierende Datenstation wird, wie zuvor bereits erwähnt, vom SVZ ein Datenstationsinitialisierer ernannt, der für die Durchführung des erforderlichen Verfahrens zu Datenstationsinitialisierung an dieser Einheit verantwortlich ist. Jeder Datenstationsinitialisierer erhält eine Reihe von Anweisungen, die einen Überblick über das Verfahren zur Datenstationsinitialisierung geben. Die Sicherheit des Verfahrens stützt sich auf die Annahme, daß der Datenstationsinitialisierer die an ihn ausgehändigten Anweisungen erfüllt und versteht, daß die Nichterfüllung dieser Anweisungen dazu führen kann, daß ein Widersacher erfolgreich einen Schlüssel beim Schlüsselverteilungszentrum eintragen lassen kann. Das SVZ liefert dem Datenstationsinitialisierer ferner zwei Ablaufdaten, zwischen denen für gewöhnlich mehrere Tage liegen und die die Zeitabschnitte begrenzen, innerhalb derer gewisse vorgeschriebene Schritte im Verfahren zur Datenstationsinitialisierung abgeschlossen sein müssen. Die Sicherheit des Verfahrens stützt sich auf die Annahme, daß dem Datenstationsinitialisierer die beiden Ablaufdaten und die Anweisungen für die Datenstationsinitialisierung zu einem Zeitpunkt mitgeteilt werden, der früh genug vor den Ablaufdaten liegt, so daß die Schritte des Verfahrens innerhalb der vorgeschriebenen, hierfür gewährten Frist ausgeführt werden können.
Gemäß dem erfindungsgemäßen Verfahren zur Datenstationsinitialisierung kann eine Kryptovariable vor dem ersten Ablaufdatum vorübergehend beim SVZ unter der vorgesehenen DID eingetragen werden, vorausgesetzt, daß die DID nicht für ungültig erklärt und keine andere ältere Kryptovariable für diese DID eingetragen wurde. In dem speziellen, hierin dargelegten Ausführungsbeispiel handelt es sich bei der Kryptovariablen um einen öffentlichen Schlüssel, und aus diesem Grunde wird dieser Vorgang als "Eintragung eines öffentlichen Schlüssels" bezeichnet.
Wenn unter einer gegebenen DID bereits ein öffentlicher Schlüssel eingetragen wurde, hat ein Versuch, einen anderen öffentlichen Schlüssel unter derselben DID einzutragen, zur Folge, daß die DID für nichtig erklärt wird. Nach dem ersten Ablaufdatum wird der Prozeß der "Eintragung eines öffentlichen Schlüssels" für diese DID beim SVZ deaktiviert.
Vor dem zweiten Ablaufdatum läßt es das SVZ zu, daß eine DID für nichtig erklärt wird, ohne dabei einen "Nachweis" der Identität des Anfordernden zu verlangen. Dieser Prozeß wird als "ID- Nichtigerklärung ohne Identitätsnachweis" bezeichnet. Nach dem zweiten Ablaufdatum wird der Prozeß der "ID-Nichtigerklärung ohne Identitätsnachweis" für diese DID deaktiviert, und der vorübergehende Status der Eintragung gilt als in den Status einer dauerhaften Eintragung übergegangen.
Nach dem zweiten Ablaufdatum läßt das SVZ eine Nichtigerklärung einer DID nur dann zu, wenn die anfordernde Person identifiziert und authentifiziert wurde und ihre Berechtigung zur Nichtigerklärung dieser DID überprüft wurde. Dieser Prozeß wird als "ID-Nichtigerklärung mit Identitätsnachweis" bezeichnet.
Nach dem zweiten Ablaufdatum und auf Anfrage wird das SVZ ein ÖS-Zertifikat für jede DID ausgegeben, vorausgesetzt, daß die DID gültig ist und ein öffentlicher Schlüssel für diese DID eingetragen wurde. Ein ÖS-Zertifikat besteht aus einer DID, einem öffentlichen Schlüssel, einen Zertifikatsverfalldatum, weiteren Daten und einer digitalen Signatur, die unter Verwendung des geheimen Schlüssels des SVZ auf der Basis der vorstehenden Daten erzeugt wird. Ein Verfahren, das sich zur Berechnung einer Signatur empfiehlt, besteht darin, zunächst unter Verwendung einer starken kryptographischen Einwegfunktion einen Zwischenwert oder eine Funktion der Nachricht zu errechnen. Dieser Zwischenwert wird dann mit Hilfe des geheimen Schlüssels GSsvz entschlüsselt und ergibt die Signatur. In der US-Patentschrift Nr. 4.206.315 wird beispielsweise ein Signaturverfahren beschrieben, bei dem die Signatur anhand einer Einwegfunktion der Nachricht und nicht anhand der Nachricht selbst berechnet wird. In der US-Patentschrift Nr. 4.405.829 wird das Verfahren der Verschlüsselung und Entschlüsselung mit Hilfe des sogenannten RSA-Algorithmus für öffentliche Schlüssel beschrieben. Wenn die DID ungültig ist oder kein öffentlicher Schlüssel eingetragen wurde, wird eine entsprechende Antwortnachricht vorbereitet, zu der eine digitale Signatur unter Verwendung des geheimen Schlüssels des SVZ errechnet wird, und die Nachricht und die Signatur werden an die anfordernde Datenstation zurückgeschickt.
Unter normalen Betriebsbedingungen geht das Verfahren zur Datenstationsinitialisierung wie folgt vonstatten. Weit vor dem ersten Ablaufdatum wird ein Schlüsselpaar, bestehend aus einem öffentlichen und einem geheimen Schlüssel, unter Verwendung eines verfügbaren Schlüsselerzeugungsverfahrens an der Datenstation erzeugt. Eine Eintragungsanforderungsnachricht für den öffentlichen Schlüssel, die die DID und den öffentlichen Schlüssel der Datenstation enthält, wird an das SVZ gesendet. Unter normalen Bedingungen wird kein Widersacher störend in den Prozeß eingegriffen haben, und deshalb wird unter der benannten DID noch kein öffentlicher Schlüssel eingetragen sein.
Folglich trägt das SVZ den öffentlichen Schlüssel unter der angegebenen DID ein, erstellt eine entsprechende Antwortnachricht, die die DID und den öffentlichen Schlüssel enthält und auf deren Basis in der zuvor beschriebenen Weise eine digitale Signatur unter Verwendung des geheimen Schlüssels des SVZ errechnet wird, und die Nachricht und die Signatur werden an die anfordernde Datenstation zurückgesendet. Im Anschluß an die Echtheitsprüfung der empfangenen Nachricht, signalisiert die anfordernde Datenstation dem Datenstationsinitialisierer, daß der gewünschte öffentliche Schlüssel vorübergehend unter der angegebenen DID beim SVZ eingetragen wurde. Das Verfahren zur Echtheitsprüfung einer Signatur ähnelt dem Verfahren zur Errechnung einer Signatur. Dieselbe Einweg-Zwischenfunktion der Nachricht, die zur Errechnung der Signatur verwendet wurde, wird erneut aus der Nachricht errechnet. Die Signatur wird dann unter Verwendung des öffentlichen Schlüssels des SVZ (ÖSsvz) verschlüsselt, und die wiederhergestellte Einwegfunktion der Nachricht wird mit der errechneten Einwegfunktion der Nachricht verglichen und auf Gleichheit überprüft. Wenn der Vergleich befriedigend ausfällt, werden die Nachricht und die Signatur akzeptiert; fällt der Vergleich dagegen-unbefriedigend aus, werden die Nachricht und die Signatur abgelehnt.
Das Protokoll erfordert jetzt eine Wartezeit, und der Datenstationsinitialisierer muß nun warten, bis die zweite Ablaufzeit verstrichen ist, damit das SVZ sicherstellen kann, daß der vorübergehend eingetragene öffentliche Schlüssel echt ist, das heißt, daß er von dem berechtigten, eingesetzten Datenstationsinitialisierer herstammt. Nach Ablauf der zweiten Ablaufzeit wird eine vom Datenstationsinitialisierer eingeleitete Nachricht mit der DID an das SVZ gesendet und eine "ID-Überprüfung" für diese DID angefordert. Unter normalen Bedingungen wird kein Widersacher in den Prozeß eingegriffen haben, und daher wird die angegebene DID gültig und der zuvor vorübergehend eingetragene, öffentliche Schlüssel immer noch eingetragen sein, aber aufgrund der Tatsache, daß der zweite Zeitabschnitt verstrichen ist, wird die Eintragung jetzt als dauerhaft angesehen. Deshalb wird vom SVZ eine Nachricht erstellt und an die anfordernde Datenstation zurückgesendet, die den eingetragenen ÖS für diese Datenstation angibt. Zu dieser Nachricht wird unter Verwendung des GSsvz eine digitale Signatur erstellt, die die anfordernde Datenstation in die Lage versetzt, die empfangene Nachricht unter Verwendung des installierten ÖSsvz in der zuvor beschriebenen Weise auf ihre Echtheit zu prüfen. Dies signalisiert einen zufriedenstellenden Abschluß des Verfahrens zur Datenstationsinitialisierung und liefert den erforderlichen Nachweis dafür, daß der gewünschte öffentliche Schlüssel erfolgreich beim SVZ eingetragen wurde.
Wahlweise könnte das SVZ auch ein ÖS-Zertifikat an die anfordernde Datenstation zurücksenden, und dies würde dann für die Datenstation ebenfalls als Nachweis dafür dienen, daß der öffentliche Schlüssel eingetragen wurde.
Sobald eine auf Echtheit geprüfte Antwort vom SVZ eingegangen ist, die besagt, daß ein öffentlicher Schlüssel vorübergehend eingetragen wurde oder daß die DID für nichtig erklärt wurde, könnte es schlimmstenfalls dazu kommen, daß ein Widersacher die Löschung eines echten, vorübergehend eingetragenen, öffentlichen Schlüssels hervorrufen könnte, indem er die DID vor Ablauf der zweiten Ablaufzeit für nichtig erklärt. Folglich ist praktisch gesehen ein "sicherer" Zustand erreicht, und es ist daher ohne jeglichen Sicherheitsverlust möglich, eine Protokollvariation zuzulassen, bei der die vom Datenstationsinitialisierer eingeleitete und an das SVZ gesendete Nachricht mit der Anforderung einer "ID-Überprüfung" im Anschluß an die zweite Ablaufzeit durch eine ähnliche vom Datenstationsbenutzer eingeleitete Nachricht ersetzt werden kann. Diese Protokollvariation hat den Vorteil, daß der Datenstationsinitialisierer das Verfahren zur Datenstationsinitialisierung normalerweise allein mit einem Datenstationsinitialisierungsstatus abschließen kann, und der Wert von T2 schließt das Protokoll nach der zweiten Ablaufzeit ab. Natürlich entspricht die Protokollvariation dem ursprünglichen Protokoll, wenn es sich beim Datenstationsinitialisierer und dem Datenstationsbenutzer um ein und dieselbe Person handelt.
In einem Netzwerk, wo es für das SVZ günstig ist, Nachrichten an die Datenstationen zu senden, wie dies beispielsweise in einem Speicher- und Übermittlungssystem zur Verteilung von elektronischer Post der Fall ist, ist noch eine weitere Variation des Protokolls möglich. Der Schritt im Anschluß an die zweite Ablaufzeit, bei dem eine vom Datenstationsinitialisierer oder vom Datenstationsbenutzer eingeleitete Nachricht mit der Anforderung einer "ID-Überprüfung" an das SVZ gesendet wird, wird durch einen Schritt ersetzt, bei dem das SVZ automatisch eine Antwort an die Datenstation erstellt und sendet, die ursprünglich die Anforderung gestellt hat. Diese Antwort entspricht genau derjenigen, die als Antwort auf eine Anforderung einer "ID-Überprüfung" gesendet worden wäre, mit dem einzigen Unterschied, daß die Antwort hier durch das Erreichen der zweiten Ablaufzeit statt durch den Empfang einer Anforderungsnachricht ausgelöst wird. Sonst ist das Protokoll das gleiche. Wenn an der Datenstation innerhalb einer angemessenen Zeitspanne im Anschluß an die zweite Ablaufzeit keine Antwort empfangen wird, setzt der Datenstationsinitialisierer oder der Datenstationsbenutzer, je nachdem, welches Protokoll verwendet wird, das SVZ von dieser Unstimmigkeit in Kenntnis.
Die vorliegende Erfindung wird beispielhaft unter Bezugnahme auf Ausführungsbeispiele derselben, wie sie in den beiliegenden Zeichnungen dargestellt sind, näher beschrieben, wobei
Fig. 1 ein Blockdiagramm eines EFT/POS-Netzwerks darstellt, das die Ausgangszustände des Schlüsselverteilungszentrums und mehrerer Datenstationen mit einem Datenstationsinitialisierer für jede Datenstation zeigt;
Fig. 2 ein Zeitliniendiagramm darstellt, daß in graphischer Form die Regeln für die Eintragung eines öffentlichen Schlüssels einer Datenstation in dem in Fig. 1 gezeigten System aufzeigt;
Fig. 3 ein Zustandsdiagramm darstellt, das die möglichen Zustände einer Datenstation im Verfahren zur Datenstationsinitialisierung zeigt, und
Fig. 4 ein Zustandsdiagramm darstellt, das die möglichen Zustände des SVZ im Verfahren zur Datenstationsinitialisierung zeigt.
In den Zeichnungen und insbesondere in Fig. 1 ist in Form eines vereinfachten Blockdiagramms ein EFT/POS-Netzwerk mit einem Schlüsselverteilungszentrum (SVZ) 10 und zwei EFT/POS-Datenstationen 12 und 14 gezeigt, von denen es im Netzwerk in der Tat Hunderttausende geben kann. Beim SVZ 10 ist ein Öffentlicher Schlüssel, ÖSsvz, und ein Geheimer Schlüssel, GSsvz, installiert. Der ÖSsvz ist ebenfalls in jeder der Datenstationen 12 und 14 installiert, und jede Datenstation verfügt über eine eigene Nummer für die Datenstationsidentifikation (DID). Die Erzeugung von ÖSsvz und GSsvz beim SVZ und die Installation von ÖSsvz und DID bei der Datenstation entspricht ganz dem gegenwärtigen Stand der Technik. Es ist zwar nicht erforderlich, aber dennoch empfehlenswert, daß die zugeordneten DIDs eine seltene Menge bilden (z. B. durch eine zufällige oder willkürliche Auswahl aus einer sehr großen Menge von möglichen Zahlenwerten). Dies würde Störungen und Unterbrechungen reduzieren, die auf Angriffe von "Hackern" zurückzuführen sind. Dahinter steht der Gedanke, daß selbst wenn die DIDs nicht geheim sind, kein Grund besteht, daß diese leicht zu erraten sein sollten.
Die Datenstationsinitialisierer 16 und 18 werden jeweils der Datenstation 12 beziehungsweise 14 zugeordnet. Jeder Datenstationsinitialisierer 16 und 18 erhält einen Satz von Anweisungen für die Datenstationsinitialisierung 20 beziehungsweise 22. Die Datenstationsinitialisierer erhalten ihre Anweisungen nicht unbedingt am gleichen Tag. Diese Anweisungen können zwei Ablaufzeiten T1 und T2 enthalten; die beiden Ablaufzeiten können den Datenstationsinitialisierern auch einzeln mitgeteilt werden. Normalerweise dürften T1 und T2 unter den einzelnen Datenstationen voneinander abweichen, bei einer Installationsgruppierung könnten sie aber auch identisch sein. Beispielsweise könnte der Datenstationsinitialisierer 16 seine Anweisungen am 1. Januar 1986 erhalten und als Ablaufzeiten für T1 12 Uhr Mitternacht am 15. Januar 1986 und für T2 12 Uhr Mitternacht am 22. Januar 1986 zugewiesen bekommen. Der Datenstationsinitialisierer 18 dagegen könnte seine Anweisungen am 5. Februar 1986 erhalten und als Ablaufzeiten für T1 12 Uhr Mitternacht am 19. Februar 1986 und für T2 12 Uhr Mitternacht am 26. Februar 1986 zugewiesen bekommen. Unter Verwendung der Bezeichnung T0 für das Datum des Empfangs der Installationsanweisungen sind in Fig. 2 die Regeln für die Eintragung eines öffentlichen Schlüssels bezüglich der Ablaufzeiten T1 und T2 dargestellt.
Das Verfahren zur Datenstationsinitialisierung umfaßt eine Reihe von Schritten, die vom ausersehenen Datenstationsinitialisierer auszuführen sind. Bei dem Datenstationsinitialisierer handelt es sich um eine zuverlässige Person, die die Schritte des Verfahrens zur Datenstationsinitialisierung verantwortungsbewußt ausführt. In der Regel wird ein Arbeitnehmer des Unternehmens an dem Standort, an dem die Datenstation physisch installiert ist, beispielsweise ein Datenstationsbenutzer, ein Datenstationsbesitzer, eine Führungskraft oder ein Mitglied des Sicherheitspersonals vor Ort die Aufgabe der Datenstationsinitialisierung übernehmen. Wie bereits erwähnt liefert das SVZ dem ausersehenen Datenstationsinitialisierer zwei Ablaufdaten, T1 und T2. Wie in Fig. 2 veranschaulicht, stellt das erste dieser beiden Daten, T1, einen Stichtag dar, an dem der den öffentlichen Schlüssel betreffende Abschnitt des Verfahrens zur Datenstationsinitialisierung abgeschlossen sein muß, und das zweite dieser beiden Daten, T2, legt den Ablauftag einer Nachfrist fest, während der eine Meldung vom Datenstationsinitialisierer an das SVZ erfolgen muß, wenn er vom SVZ keine als echt identifizierte, positive Mitteilung darüber erhalten hat, daß der angeforderte öffentliche Schlüssel für die angeforderte DID vorübergehend eingetragen wurde oder die angeforderte DID für nichtig erklärt wurde. Wie bereits erwähnt wurde, erhält der Datenstationsinitialisierer T1 und T2 zusammen mit den Initialisierungsanweisungen. T1 und T2 könnten dem Datenstationsinitialisierer aber auch getrennt mitgeteilt werden. Das öffentliche Postsystem oder ein internes, unternehmensweites privates Postsystem könnten zur Verteilung der Anweisungen für die Datenstationsinitialisierung verwendet werden.
Die Anweisungen zur Datenstationsinitialisierung werden nun unter Bezugnahme auf die Zustandsdiagramme beschrieben, die in den Fig. 3 und 4 der Zeichnungen gezeigt sind. Verwiesen sei ferner auf die Fig. 2, die das Zeitliniendiagramm zeigt, das die Ergebnisse des erfindungsgemäßen Initialisierungsverfahren graphisch veranschaulicht.
In Schritt 1 des Initialisierungsverfahrens wird der Datenstationsinitialisierer daran erinnert, daß er oder sie zwei Mitteilungsschreiben vom Schlüsselverteilungszentrum erhalten haben müßte. Jede Mitteilung besagt, daß er/sie als der eingesetzter Datenstationsinitialisierer für die angegebene Datenstation an einem festgelegten Tag eine Reihe von Anweisungen für die Datenstationsinitialisierung erhalten müßte. Die Anweisungen legen fest, was der Datenstationsinitialisierer zu tun hat, falls die bestätigenden Mitteilungen nicht eingegangen sind. Die Anweisungen enthalten ferner bestimmte wesentliche Informationen, bei denen es sich zum Teil um wahlfreie Informationen handeln kann, wie zum Beispiel den Namen des Datenstationsinitialisierers, die Einheiten-ID, das erste und das zweite Ablaufdatum sowie die erste und zweite Ablaufzeit, die der Datenstationsinitialisierer auf Angemessenheit hin überprüfen muß. Wenn das aktuelle Datum und die aktuelle Zeit zwar jenseits des ersten Ablaufdatums und der ersten Ablaufzeit liegen, aber nicht jenseits des zweiten Ablaufdatums und der zweiten Ablaufzeit liegen, beginnt das Verfahren mit Schritt 5 der Anweisungen zur Nichtigerklärung der DID. Im Zustandsdiagramm in Fig. 3 ist dies als ein Übergang von Zustand 1 in Zustand 2 dargestellt. Wenn aktuelles Datum und aktuelle Zeit jenseits des zweiten Ablaufdatums und der zweiten Ablaufzeit liegen, beginnt das Verfahren mit Schritt 6, bei dem zur Nichtigerklärung der DID ein Identitätsnachweis benötigt wird. Im Zustandsdiagramm in Fig. 3 ist dies als Übergang von Zustand 2 in Zustand 3 dargestellt. Diese besonderen Bedingungen werden später noch ausführlicher unter Bezugnahme auf die erwähnten Schritte erörtert. Im Moment wird davon ausgegangen, daß T1 noch nicht abgelaufen ist.
In Schritt 2 veranlaßt der Datenstationsinitialisierer die Erzeugung eines Datenstationsschlüsselpaares bestehend aus einem öffentlichen und einem geheimen Schlüssel unter Verwendung der kryptographischen Einrichtung der Datenstation. Dieser Schritt ist Teil eines Verfahrens, das als "Personalisierung" bezeichnet wird und als Vorbereitung für die Eintragung des öffentlichen Schlüssels dient.
In Schritt 3 läßt der Datenstationsinitialisierer den öffentlichen Schlüssel beim Schlüsselverteilungszentrum eintragen, vorausgesetzt, daß das aktuelle Datum und die aktuelle Zeit vor der ersten Ablaufzeit, T1, liegen, wie dies in Fig. 2 gezeigt ist. Dies wird erreicht, indem eine ÖS-Eintragungsanforderungsnachricht, die die Datenstations-ID (DID), den öffentlichen Schlüssel der Einheit und zeitveränderliche Daten enthält, an das SVZ gesendet werden. Das Wählen einer Rufnummer ist eine Möglichkeit zur Herstellung einer Verbindung zum Schlüsselverteilungszentrum. Die Datenstation sendet dann die vorbereitete ÖS-Eintragungsanforderungsnachricht an das SVZ. Als Antwort auf den Empfang einer ÖS-Eintragungsanforderungsnachricht erstellt das SVZ eine entsprechende Antwortnachricht, die den Zustand des SVZ und das Ergebnis der Verarbeitung der ÖS-Eintragungsanforderungsnachricht, den für die angeforderte DID eingetragenen oder vorübergehend eingetragenen öffentlichen Schlüssel, die angeforderte DID sowie dieselben zeitveränderlichen Daten wiedergibt, die mit der Anforderungsnachricht empfangen wurden. Unter Verwendung des geheimen Schlüssels GSsvz des SVZ und unter Verwendung des zuvor beschriebenen Verfahrens zur Berechnung von Signaturen wird eine digitale Signatur zur Antwortnachricht errechnet, und die Nachricht und die Signatur werden an die anfordernde Datenstation gesendet. Beim Empfang einer Antwortnachricht und einer Signatur vom SVZ prüft die Datenstation die Nachricht und die Signatur unter Verwendung des öffentlichen Schlüssels des SVZ (ÖSsvz) in der zuvor beschriebenen Weise auf Echtheit.
Im Hinblick auf die Maßnahmen, die im Prozeß der Eintragung eines öffentlichen Schlüssels eingeleitet werden, sind mehrere Ergebnisse möglich:
(a) es konnte keine Verbindung zum SVZ hergestellt werden,
(b) es wurde keine Antwort vom SVZ empfangen,
(c) die vom SVZ erhaltene Antwort war ungültig oder reichte nicht aus, um den Zustand des SVZ zu bestimmen,
(d) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand A befindet und keine Maßnahme vom SVZ ergriffen wurde,
(e) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß das SVZ den Übergang von Zustand A nach Zustand B vollzogen hat und daß der angeforderte öffentliche Schlüssel vorübergehend eingetragen wurde,
(f) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand C befindet und daß bereits ein öffentlicher Schlüssel eingetragen ist, der von dem angeforderten öffentlichen Schlüssel abweicht, oder
(g) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand D befindet, d. h.
die DID in der Eintragungsanforderungsnachricht für einen öffentlichen Schlüssel wurde beim SVZ für nichtig erklärt oder war zuvor bereits für nichtig erklärt worden.
Wenn das Ergebnis a, b oder c eintritt, ist der Eintragungsstatus ungewiß. In diesem Fall und auch beim Ergebnis d, welches anzeigt, daß noch keine vorübergehende Eintragung eines öffentlichen Schlüssels stattgefunden hat, kann der Datenstationsinitialisierer einen erneuten Versuch unternehmen. Wenn Ergebnis e eintritt, erfordert es das Verfahren, daß der Datenstationsinitialisierer wartet, bis die zweite Ablaufzeit verstrichen ist und dann überprüft, ob der öffentliche Schlüssel der Datenstation eingetragen wurde (Schritt 4). Dieses Ergebnis wird durch die Zustandsänderung von Zustand 1 nach Zustand 4 in dem Zustandsdiagramm von Fig. 3 und durch die Zustandsänderung von Zustand A nach Zustand B in dem Zustandsdiagramm von Fig. 4 angezeigt. Wenn Ergebnis f eintritt, bedeutet dies für den Datenstationsinitialisierer, daß die zweite Ablaufzeit verstrichen ist und daß unter der in der Anforderungsnachricht für die Eintragung eines öffentlichen Schlüssels angegebenen DID bereits ein möglicherweise abweichender öffentlicher Schlüssel eingetragen wurde. In diesem Fall muß der Datenstationsinitialisierer die DID unter Verwendung eines Verfahrens, das einen Identitätsnachweis erfordert (Schritt 6), für nichtig erklären. Dieses Ergebnis wird durch die Zustandsänderung von Zustand 1 nach Zustand 3 in dem Zustandsdiagramm von Fig. 3 angezeigt. Wenn Ergebnis g eintritt, wurde die DID für nichtig erklärt, und es sind keine weiteren Maßnahmen erforderlich. Dieses Ergebnis wird durch die Zustandsänderung von Zustand 1 nach Zustand 7 im Zustandsdiagramm von Fig. 3 und im Zustandsdiagramm von Fig. 4 entweder durch die Zustandsänderung von Zustand B nach Zustand D oder dadurch, daß der ursprüngliche Zustand D unverändert bleibt, angezeigt.
In Schritt 4 führt der Datenstationsinitialisierer eine Überprüfung durch, um zu bestimmen, ob der öffentliche Schlüssel der Datenstation im Anschluß an den Ablauf der zweiten Ablaufzeit beim Schlüsselverteilungszentrum eingetragen wurde oder, allgemeiner, um den Status des SVZ jederzeit abzufragen. Zur Durchführung dieses Schritts ist es nicht erforderlich, daß sich der Datenstationsinitialisierer an der angegebenen Datenstation befindet, da jede Datenstation mit einer kryptographischen Einrichtung, die ordnungsgemäß initialisiert wurde, hierfür genügt. Zur Durchführung der ID-Überprüfung wird zunächst eine ID-Überprüfungsanforderungsnachricht erstellt, die die DID und zeitveränderliche Daten enthält. Anschließend kann zur Herstellung einer Verbindung zum SVZ eine Telefonnummer gewählt werden. Als Antwort auf eine empfangene ID-Überprüfungsanforderungsnachricht erstellt das SVZ eine entsprechende Antwortnachricht, die den Zustand des SVZ und das Ergebnis der Verarbeitung der ID-Überprüfungsanforderungsnachricht widerspiegelt. Die Antwortnachricht enthält die DID, wahlweise die Ablaufzeiten T1 und T2 für die DID, den Status der Datenstations-ID beim SVZ, den beim SVZ eingetragenen oder vorübergehend eingetragenen öffentlichen Schlüssel und dieselben zeitveränderlichen Daten, die mit der ID-Überprüfungsanforderungsnachricht empfangen wurden. Unter Verwendung des geheimen Schlüssels des SVZ (GSsvz) wird in der zuvor beschriebenen Weise eine digitale Signatur auf der Basis der Antwortnachricht errechnet, und die Nachricht und die Signatur werden an die anfordernde Datenstation gesendet. Wenn die Einheit eine Antwortnachricht und eine Signatur vom SVZ empfängt, prüft sie Nachricht und Signatur unter Verwendung des öffentlichen Schlüssels des SVZ (ÖSsvz) auf ihre Echtheit, und zwar wiederum in der zuvor bereits beschriebenen Weise.
Im Hinblick auf die Maßnahmen, die im Prozeß der ID-Überprüfung eingeleitet werden, sind mehrere Ergebnisse möglich:
(a) es konnte keine Verbindung zum SVZ hergestellt werden,
(b) es wurde keine Antwort vom SVZ empfangen,
(c) die Antwort vom SVZ war ungültig oder reichte nicht aus, um den Zustand des SVZ zu bestimmen,
(d) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand A befindet, d. h.
die erste Ablaufzeit ist noch nicht verstrichen, und es ist noch keine vorübergehende Eintragung eines öffentlichen Schlüssels erfolgt,
(e) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand B befindet und daß ein öffentlicher Schlüssel, dessen Wert angegeben ist, vorübergehend eingetragen wurde,
(f) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand C befindet und daß ein öffentlicher Schlüssel, dessen Wert angegeben ist, eingetragen wurde, oder
(g) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand D befindet, d. h. die DID wurde für nichtig erklärt.
Die ID-Überprüfung kann an jedem beliebigen Punkt innerhalb des Prozesses der Datenstationsinitialisierung zur Bestimmung des Zustands des SVZ verwendet werden, obgleich ihr primärer Zweck darin besteht, den Zustand des SVZ im Anschluß an die vorübergehende Eintragung eines öffentlichen Schlüssels und den Ablauf der zweiten Ablaufzeit zu bestimmen. In diesem Fall sind nur zwei Ergebnisse, f und g, möglich. Das Ergebnis f zeigt an, daß der vorübergehend eingetragene öffentliche Schlüssel jetzt dauerhaft eingetragen wird. Es ist keine Maßnahme erforderlich; das Verfahren zur Datenstationsinitialisierung ist abgeschlossen. Die Ergebnisse a bis g zeigen in den Fig. 3 und 4 keine Zustandsänderungen an.
Im Basisprotokoll sind Variationen möglich. Sobald eine auf Echtheit geprüfte Antwort vom SVZ eingegangen ist, die besagt, daß ein öffentlicher Schlüssel vorübergehend eingetragen wurde oder daß die DID für nichtig erklärt wurde, kann es schlimmstenfalls dazu kommen, daß ein Widersacher die Löschung eines echten, vorübergehend eingetragenen, öffentlichen Schlüssels hervorrufen könnte, indem er die DID vor Ablauf der zweiten Ablaufzeit für nichtig erklärt. Folglich ist es ohne jeglichen Sicherheitsverlust möglich, die vom Datenstationsinitialisierer eingeleitete Nachricht mit der Anforderung einer "ID-Überprüfung" durch eine ähnliche, vom Datenstationsbenutzer eingeleitete Nachricht zu ersetzen. Wahlweise könnte die vom Datenstationsinitialisierer oder dem Datenstationsbenutzer eingeleitete Nachricht auch durch einen Schritt ersetzt werden, in welchem das SVZ beim Erreichen der zweiten Ablaufzeit automatisch eine Antwort an die anfordernde Datenstation vorbereitet und sendet.
Der Datenstationsinitialisierer würde Schritt 5 verwenden, um die DID ohne Identitätsnachweis für nichtig zu erklären. Dieser Schritt wird nur dann ausgeführt, wenn das aktuelle Datum und die aktuelle Zeit vor dem zweiten Ablaufdatum, T2, liegen, wie dies in Fig. 2 gezeigt ist. Wieder ist es nicht erforderlich, daß sich der Datenstationsinitialisierer am Standort der angegebenen Datenstation befindet, da jede Datenstation im Netzwerk mit einer installierten kryptographischen Einrichtung, die ordnungsgemäß initialisiert wurde, hierfür genügt. Zunächst wird eine ID-Nichtigkeitsanforderungsnachricht erstellt, die die DID und zeitveränderliche Daten enthält. Die Herstellung einer Verbindung zum SVZ kann durch Wählen einer Telefonnummer erfolgen. Die Datenstation sendet dann die zuvor erstellte ID-Nichtigkeitsanforderungsnachricht an das SVZ. Als Antwort auf den Empfang einer ID-Nichtigkeitsanforderungsnachricht macht das SVZ die Einheiten-ID ungültig unter der Voraussetzung, daß aktuelles Datum und aktuelle Zeit vor der zweiten Ablaufzeit, T2, liegen. Das SVZ bereitet dann eine entsprechende Antwortnachricht vor, die den Zustand des SVZ und das Ergebnis der Verarbeitung der ID-Nichtigkeitsanforderungsnachricht widerspiegelt und darüber hinaus dieselben zeitveränderlichen Daten enthält, die mit der Anforderungsnachricht empfangen wurden. Zur Antwortnachricht wird unter Verwendung des ÖSsvz in der zuvor beschriebenen Weise eine digitale Signatur errechnet, und die Nachricht wird zusammen mit der Signatur an die anfordernde Datenstation gesendet. Beim Empfang einer Antwortnachricht und einer Signatur vom SVZ prüft die Datenstation die Nachricht und die Signatur unter Verwendung des ÖSsvz in der zuvor beschriebenen Weise auf Echtheit.
Wieder sind mehrere Ergebnisse möglich:
(a) es konnte keine Verbindung zum SVZ hergestellt werden,
(b) es wurde keine Antwort vom SVZ empfangen,
(c) die vom SVZ erhaltene Antwort war ungültig oder reichte nicht aus, um den Zustand des SVZ zu bestimmen,
(d) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ in einem anderen Zustand als dem Zustand D befindet, oder
(e) vom SVZ wurde eine gültige Antwort empfangen, die anzeigt, daß sich das SVZ im Zustand D befindet.
Die Ergebnisse a, b, c oder d zeigen in der Fig. 3 bzw. Fig. 4 keine Zustandsänderung an. Ergebnis (e) ist in Fig. 3 durch die Zustandsänderung von Zustand 2 nach Zustand 7 und in Fig. 4 durch die Zustandsänderung von Zustand A nach Zustand D, von Zustand B nach Zustand D oder dadurch, daß der ursprüngliche Zustand unverändert bleibt, gekennzeichnet.
Ferner ist es möglich, eine gewöhnliche Fernsprechleitung zur Anforderung einer ID-Nichtigkeitserklärung zu benutzen. Der Datenstationsinitialisierer wählt eine der zu diesem Zweck bereitgestellten Rufnummern und fordert, wenn eine Verbindung hergestellt ist, mündlich die Nichtigerklärung der DID an. Der Datenstationsinitialisierer erhält dann eine ID-Nichtigkeitsbestätigungsnummer, wenn die ID-Nichtigkeitsanforderung akzeptiert ist. Der Datenstationsinitialisierer muß jetzt die ID-Nichtigkeitsbestätigungsnummer auf ihre Echtheit prüfen, und dies geschieht, indem die ID-Nichtkeitsbestätigungsnummer und die DID zur Errechnung einer Bezugszahl in eine nicht geheime kryptographische Einwegfunktion eingesetzt werden. Diese Bezugszahl wird auf Übereinstimmung mit einer ID-Nichtigkeitsnummer geprüft, die in- den Anweisungen zur Initialisierung angegeben ist oder dem Datenstationsinitialisierer separat mitgeteilt werden kann; beispielsweise mit der ersten und der zweiten Ablaufzeit T1 und T2. Fällt der Vergleich günstig aus, ist die Nichtigerklärung der Datenstations-ID gelungen. Im folgenden wird ein einfaches und direktes Verfahren zur Implementierung des Konzepts einer ID-Nichtigkeitsnummer beschrieben. Für jede DID wählt das SVZ nach dem Zufallsprinzip eine eindeutige 64-Bit ID-Nichtigkeitsbestätigungsnummer aus. Die 64-Bit ID-Nichtigkeitsnummer wird errechnet, indem die DID unter Verwendung der ID-Nichtigkeitsbestätigungsnummer als einem kryptographischen Schlüssel verschlüsselt wird. Dadurch, daß die ID-Nichtigkeitsbestätigung als kryptographischer Schlüssel verwendet wird, ist es unmöglich, diesen Vorgang umzukehren; d. h. es ist unmöglich, aus der gegebenen DID und der ID-Nichtigkeitsnummer die ID- Nichtigkeitsbestätigungsnummer abzuleiten. Die so erzeugten ID- Nichtigkeitsbestätigungsnummern werden beim SVZ nach DID indexiert gespeichert, wohingegen die ID-Nichtigkeitsnummern an die Datenstationsinitialisierer verteilt werden.
Schritt 6 wird für die ID-Nichtigerklärung verwendet, jedoch mit Identitätsnachweis, um mögliche Unterbrechungen und die Verweigerung von Leistungen auf ein Mindestmaß zu reduzieren. Dieser Schritt muß immer dann ausgeführt werden, wenn das aktuelle Datum und die aktuelle Zeit wie in Fig. 2 gezeigt nach der zweiten Ablaufzeit, T2, liegen. Der Überprüfungsabschnitt von Schritt 6 setzt voraus, daß sich der Datenstationsinitialisierer an einer ordnungsgemäß initialisierten Datenstation mit installierter kryptographischer Einrichtung befindet.
Normalerweise stünden mehrere Optionen für den Nachweis der Identität und für die Nichtigerklärung einer DID zur Verfügung. Die Zeit jedoch ist ausschlaggebend. Ein in betrügerischer Weise eingetragener Schlüssel sollte im System so schnell wie möglich für nichtig erklärt werden. Ein separater Genehmigungskanal zum SVZ bildet das Schlüsselelement, und der Identitätsnachweis könnte auf der Basis eines Passwortes, eines persönlichen Schlüssels, einer Magnetstreifenkarte, der Spracherkennung oder anderer Verfahren erfolgen, die sich beim Stand der Technik für den Nachweis der Identität bewährt haben. Eine andere Möglichkeit erfordert ein persönliches Treffen mit dem Sicherheitspersonal, das berechtigt ist, einen eingetragenen Schlüssel für nichtig zu erklären. Der Identitätsnachweis könnte auf persönlicher Erkennung oder Identifizierung von Dokumenten einschließlich der Originalinitialisierungsanweisungen und Mitteilungsschreiben basieren. Nachdem die ID-Nichtigkeitsanforderung vom SVZ akzeptiert wurde, wird unter Verwendung eines beliebigen, hierfür geeigneten Kommunikationskanals eine ID-Nichtigkeitsbestätigungsnummer an den Datenstationsinitialisierer geliefert. Der Datenstationsinitialisierer prüft die ID-Nichtigkeitsbestätigungsnummer auf ihre Echtheit, wobei er dasselbe Verfahren verwendet, das zuvor unter Schritt 5 für die ID-Nichtigerklärung ohne Identitätsnachweis beschrieben wurde. Der erfolgreiche Abschluß dieses Schrittes spiegelt sich im Zustandsdiagramm von Fig. 3 in der Zustandsänderung von Zustand 3 nach Zustand 7 wider.
Konkreter auf Fig. 3 der graphischen Darstellungen eingegangen, wird dort zuerst das Zustandsdiagramm einer Datenstation in einem Netzwerk zu dem oben in groben Zügen dargestellten Verfahren gezeigt. Beginnend beim "Start" wird der Prozeß der Eintragung eines öffentlichen Schlüssels bei Zustand 1 aufgerufen. Zunächst sei angenommen, daß der Prozeß normal ausgeführt wird; die Datenstation hat vom SVZ eine Nachricht erhalten, daß die Eintragung angenommen wurde, und diese Nachricht wird von der Datenstation authentifiziert. Der Status wechselt nun in den Zustand 4, der anzeigt, daß der angeforderte öffentliche Schlüssel vorübergehend beim SVZ eingetragen wurde.
Zustand 4 umfaßt einen Verzögerungs- oder Wartevorgang, der mit T2 ausläuft und so den Ablauf des Zeitabschnitts signalisiert, innerhalb dessen die DID ohne Nachweis der Identität des Anforderers für nichtig erklärt werden kann. Nach Ablauf von T2 wechselt der Status in den Zustand 5, der den ID-Überprüfungsstatus darstellt. Zwei Bedingungen sind gezeigt, die dazu führen, daß kein Übergang von Zustand 5 in einen anderen Zustand erfolgt. Bei der einen Bedingung handelt es sich um eine Zeitsperre, die angibt, daß vom SVZ auf eine Nachricht mit einer ID- Überprüfungsanforderung keine Antwort empfangen wurde, und die andere Bedingung gibt an, daß zwar vom SVZ eine Antwort auf eine ID-Überprüfungsanforderungsnachricht empfangen wurde, diese jedoch nicht ausreicht, um daraus zu schließen, daß die ID- Überprüfung erfolgreich abgeschlossen wurde. In beiden Fällen kann der Datenstationsinitialisierer eine erneuten Versuch für den ID-Überprüfungsprozeß unternehmen. Wird auf der anderen Seite eine Überprüfungsantwortnachricht vom SVZ empfangen, die besagt, daß der angeforderte öffentliche Schlüssel dauerhaft eingetragen ist und die Antwort von der Datenstation auf Echtheit geprüft wird, wechselt der Status in den Zustand 6, der einen Hinweis darauf liefert, daß die Eintragung desöffentlichen Schlüssels erfolgreich abgeschlossen wurde. Alternativ kann das SVZ auch eine Antwortnachricht an die Datenstation liefern, die besagt, daß die DID für nichtig erklärt wurde, wobei in diesem Fall, wenn die Antwortnachricht authentifiziert ist, der Zustand in den Zustand 7 wechselt und hierdurch angezeigt wird, daß die Eintragung des öffentlichen Schlüssels nicht erfolgreich war und daß die Datenstationsinitialisierung unter Verwendung eines sekundären Verfahrens oder Ersatzverfahrens ausgeführt wird.
Um auf Zustand 1 zurückzukommen, so ist festzustellen, daß dort zwei Bedingungen gegeben sind, unter denen keine Zustandsänderung aus dem Zustand 1 in einen anderen Zustand erfolgt. Bei der ersten dieser Bedingungen handelt es sich um eine Zeitsperre, die darauf hindeutet, daß vom SVZ als Reaktion auf den Prozeß der Eintragung eines öffentlichen Schlüssels keine Antwort empfangen wurde. Die zweite Bedingung deutet darauf hin, daß die empfangene Nachricht nicht ausreicht, um daraus den Schluß zu ziehen, daß die Eintragung des öffentlichen Schlüssels angenommen wurde oder daß die DID für nichtig erklärt wurde. In beiden Fällen kann der Datenstationsinitialisierer einen erneuten Versuch für den Prozeß der Eintragung eines öffentlichen Schlüssels unternehmen. Mehrere Bedingungen können zu einer Zustandsänderung führen. Wenn die Antwortnachricht zur Eintragung eines öffentlichen Schlüssels vom SVZ empfangen wird, die anzeigt, daß die DID für nichtig erklärt wurde, und die Antwort von der Datenstation authentifiziert wird, ändert sich der Zustand in den Zustand 7, woraus abzulesen ist, daß die Eintragung des öffentlichen Schlüssels nicht erfolgreich war und daß die Datenstationsinitialisierung über ein sekundäres Verfahren oder Ersatzverfahren ausgeführt wird. Wenn T1 abläuft, bevor der öffentliche Schlüssel beim SVZ eingetragen ist, geht der Zustand in den Zustand 2 über, bei dem eine ID-Nichtigerklärung ohne Nachweis der Identität erfolgen kann. Ferner besteht die Möglichkeit, vor Ablauf von T1 den Übergang in den Zustand 2 zu vollziehen, wenn der Datenstationsinitialisierer beschließt, die DID für nichtig zu erklären statt mit dem Prozeß zur Eintragung eines öffentlichen Schlüssels fortzufahren.
Bei Zustand 2 sind zwei Bedingungen gegeben, unter denen keine Zustandsänderung aus dem Zustand 2 in einen anderen Zustand erfolgt. Bei der ersten dieser Bedingungen handelt es sich um eine Zeitsperre, die darauf hindeutet, daß vom SVZ als Reaktion auf das Verfahren der ID-Nichtigerklärung keine Antwort empfangen wurde. Die zweite deutet darauf hin, daß zwar vom SVZ eine Antwort empfangen wurde, diese jedoch nicht ausreicht, um daraus den Schluß zu ziehen, daß die ID für nichtig erklärt wurde. In beiden Fällen kann der Datenstationsinitialisierer erneut versuchen, das Verfahren zur ID-Nichtigerklärung durchzuführen. Wenn andererseits eine Antwortnachricht zur ID-Nichtigerklärung vom SVZ empfangen wird, die anzeigt, daß die DID für nichtig erklärt wurde, und die Antwort von der Datenstation authentifiziert wird, ändert sich der Zustand in den Zustand 7. Der Übergang in den Zustand 7 kann auch als Ergebnis einer mündlichen Kommunikation erfolgen, bei der eine ID- Nichtigkeitsbestätigungsnummer vom SVZ empfangen und an der Datenstation authentifiziert wird. Wenn das Verfahren zur ID- Nichtigerklärung bei Ablauf von T2 noch nicht abgeschlossen ist, erfolgt eine Zustandsänderung in den Zustand 3.
Im Zustand 3 kann eine ID nur noch bei Nachweis der Identität für nichtig erklärt werden. Wieder gibt es zwei Bedingungen, unter denen keine Zustandsänderung aus dem Zustand 3 in einen anderen Zustand erfolgt. Bei der ersten dieser Bedingungen handelt es sich um eine Zeitsperre, die darauf hindeutet, daß vom SVZ als Reaktion auf das Verfahren der ID-Nichtigerklärung keine Antwort empfangen wurde. Die zweite deutet darauf hin, daß zwar vom SVZ eine Antwort empfangen wurde, diese jedoch nicht ausreicht, um daraus den Schluß zu ziehen, daß die ID für nichtig erklärt wurde. In beiden Fällen kann der Datenstationsinitialisierer erneut versuchen, das Verfahren zur ID-Nichtigerklärung durchzuführen. Wenn andererseits eine Antwort vom SVZ empfangen wird, die anzeigt, daß die DID für nichtig erklärt wurde, und die Antwort von der Datenstation authentifiziert wird, ändert sich der Zustand in den Zustand 7.
Fig. 4 zeigt das Zustandsdiagramm für das SVZ. Ausgehend vom "Startpunkt" bei Zustand A ist eine Eintragung eines öffentlichen Schlüssels für eine anfordernde Datenstationsidentifikation DID noch nicht eingegangen und angenommen. Solange T1 noch nicht abgelaufen ist, wird das SVZ eine Eintragungsanforderung für einen öffentlichen Schlüssel annehmen, danach jedoch wird eine Eintragungsanforderung nicht mehr angenommen. Wenn vor T1 eine gültige Eintragungsanforderung für einen öffentlichen Schlüssel empfangen wird, erfolgt der Übergang von Zustand A in den Zustand B, wodurch das Annahmeverfahren für den Eintragungsprozeß aufgerufen wird. Dies ist gleichbedeutend mit einer vorübergehenden Eintragung des öffentlichen Schlüssels, bei der der empfangene, an der Datenstation erzeugte, öffentliche Schlüssel beim SVZ zusammen mit der DID in einer Tabelle gespeichert wird. Das SVZ erstellt dann eine Nachricht einschließlich einer Signatur zur Nachricht, die zur Bestätigung der vorübergehenden Eintragung des öffentlichen Schlüssels zurück an die anfordernde Datenstation übertragen wird. Bei Ablauf von T2 erfolgt, wenn die DID nicht zwischenzeitlich für nichtig erklärt wurde, ein Übergang vom Zustand B in den Zustand C, der anzeigt, daß der vorübergehend eingetragene öffentliche Schlüssel jetzt dauerhaft eingetragen wird und der Eintragungsprozeß vollendet ist. In diesem Stadium kann eine Zertifikat für den öffentlichen Schlüssel ausgestellt werden.
Zurückkommend auf Zustand A ist festzuhalten, daß das SVZ nichts unternimmt, wenn es eine Eintragungsanforderung für einen öffentlichen Schlüssel von einer Datenstation empfängt und dabei aber die DID oder ein anderer Parameter in der Anforderung ungültig ist; d. h. es wird keine Bestätigungsnachricht an die Datenstation gesendet. Wenn T1 abläuft und der Eintragungsprozeß für den öffentlichen Schlüssel nicht abgeschlossen ist, erfolgt eine Zustandsänderung in den Zustand D, bei dem die DID für nichtig erklärt wird. Dasselbe Ergebnis tritt von Zustand B aus ein, wenn vor dem Ablauf von T1 eine Eintragungsanforderung für die DID eingeht, jedoch für einen anderen öffentlichen Schlüssel. Mit anderen Worten: es liegen zwei konkurrierende Anforderungen für die Eintragung eines öffentlichen Schlüssels unter Verwendung derselben DID vor, jedoch für unterschiedliche öffentliche Schlüssel. In einem solchen Fall erfolgt eine Zustandsänderung von Zustand B in den Zustand D.
Ein Übergang von Zustand A, B oder C in den Zustand D tritt auch infolge einer ID-Nichtigkeitsanforderung ein. Eine Anforderung für eine ID-Nichtigerklärung ohne Identitätsnachweis hat bei Vorliegen des Zustands A oder B zur Folge, daß ein Übergang in den Zustand D erfolgt. Wenn die Eintragung des öffentlichen Schlüssels abgeschlossen ist und der Status dem Zustand C entspricht, kann die ID nur mit Identitätsnachweis für nichtig erklärt werden.
Bei den erörterten Verfahren erfolgte die Kommunikation mit dem SVZ von einer Datenstation im Netzwerk aus über eine kommerzielle Telefonleitung. Vorzugsweise strenge Kontrollmaßnahmen würden bei der Verbreitung und Verteilung von Rufnummern angewendet werden, die in Verbindung mit dem Verfahren zur Meldung von Problemen zum Einsatz kommen, auch wenn die Rufnummer niemals als geheim eingestuft werden könnten. Dies würde die Zahl der Störungen und Unterbrechungen durch Außenstehende verringern.
Das vorteilhafte Ausführungsbeispiel der vorliegenden Erfindung besteht folglich in einem Verfahren zur Initialisierung von Kryptovariablen in einem EFT/POS-Netzwerk mit einer großen Anzahl von Datenstationen, die möglicherweise in die Hunderttausende gehen können. Das Verfahren trägt dem Umstand Rechnung, daß die EFT/POS-Datenstation klein und preisgünstig sein muß und in einer unsicheren Umgebung installiert wird. In dem Verfahren ist die Datenstation mit einer kryptographischen Einrichtung ausgestattet, die sie dazu verwendet, ein Datenstationsschlüsselpaar zu erzeugen, das aus einem öffentlichen und einem geheimen Schlüssel besteht. Der erzeugte öffentliche Schlüssel wird unter Verzicht auf Integrität durch Übermittlung desselben über einen exponierten Kanal, wie beispielsweise eine kommerzielle Telefonleitung, gesendet. Das SVZ nimmt den öffentlichen Schlüssel der Datenstation an und trägt ihn vorübergehend unter der Datenstations-ID ein, solange dies vor einer ersten Ablaufzeit T1 geschieht, aber nach einer Bezugszeit und unter der Voraussetzung, daß für diese DID nicht zuvor bereits ein öffentlicher Schlüssel vorübergehend eingetragen wurde. Im Anschluß an T2, wird der vorübergehend eingetragene öffentliche Schlüssel dauerhaft eingetragen, vorausgesetzt, daß vor T2 keine Anforderung zur Nichtigerklärung der DID eingegangen ist. Der eingetragene öffentliche Schlüssel wird bei jedem darauffolgenden Informationsaustausch mit der Datenstation verwendet. Infolgedessen kann nur die Datenstation, die den entsprechenden geheimen Schlüssel erzeugt hat, Informationen entschlüsseln, die sie vom SVZ oder irgendeinem anderen Knoten empfängt, der eine Kopie des eingetragenen öffentlichen Schlüssels der Datenstation erhalten hat. Alternativ kann das beschriebene Protokoll dazu verwendet werden, einen geheimen Schlüssel einzutragen, der mit einem symmetrischen Algorithmus verknüpft ist. In diesem Fall wird an der Datenstation ein geheimer Datenstationsschlüssel erzeugt und unter Verzicht auf Integrität, aber unter ÖSsvz verschlüsselt, an das SVZ gesendet, wo er durch Entschlüsselung unter GSsvz wiedergewonnen wird.
Die allgemeine Gefährdung dieses Verfahrens besteht darin, daß ein Widersacher jederzeit von seinem Standort aus mit seiner Datenstation eine erfolgreiche Anmeldung in die Wege leiten kann, unter der Voraussetzung, daß sich die echte Datenstation nie vor T2 anmeldet und das SVZ nicht davon in Kenntnis setzt. In diesem Fall kann die falsche Datenstation auch weiterhin auf unbestimmte Zeit arbeiten. Wenn sich jedoch die echte Datenstation von T1 anmeldet, wird das SVZ entdecken, daß eine zweite Initialisierung versucht wurde, wenn auch nicht festgestellt werden kann, welche Initialisierung falsch und welche echt ist. Tritt ein solcher Fall ein, wird die entsprechende Datenstation aus dem System genommen, und es können weitere Untersuchungen eingeleitet werden. Um die Gefahr zu verringern, daß eine falsche Datenstation eingetragen wird, kann die Zeitspanne für die Eintragung des öffentlichen Schlüssels (T0-T1) so weit verkürzt werden, wie dies praktisch möglich ist, und die Zeitparameter T0, T1 und T2 können geheimgehalten oder geschützt werden.
Aus den vorstehenden Ausführungen wird anerkannt werden, daß die Erfindung ein Verfahren-zur Datenstationsinitialisierung bereitstellt, das es einer fernen Datenstation in einem Netzwerk erlaubt, einen allgemeinen Schlüssel oder eine Kryptovariable mit einem SVZ einzurichten, bei dem im voraus in der fernen Datenstation nur der öffentliche Schlüssel des SVZ installiert ist. Es wird gleichermaßen anerkannt werden, daß die Erfindung ferner ein Verfahren zur Benutzerinitialisierung bereitstellt, das es einem Benutzer an einer fernen Datenstation in einem Netzwerk erlaubt, einen allgemeinen Benutzerschlüssel oder eine Kryptovariable mit einem SVZ einzurichten, bei dem im voraus in der fernen Datenstation nur der öffentliche Schlüssel des SVZ und die Identität des Benutzers (BID) installiert ist. In diesem Fall wird der Schlüssel oder die Kryptovariable, der bzw. die an der Datenstation erzeugt wurde, mit dem Benutzer (BID) anstatt mit der Datenstation (DID) verknüpft, und der Benutzer trägt diesen Schlüssel bzw. diese Kryptovariable unter seiner BID anstatt unter einer DID ein. Wenn ein öffentlicher Schlüsselalgorithmus in Frage kommt, veranlaßt der Benutzer die Datenstation dazu, ein Schlüsselpaar, bestehend aus einem öffentlichen und einem geheimen Schlüssel, zu erzeugen, wobei der öffentliche Schlüssel bei dem SVZ unter einer BID eingetragen wird und der geheime Schlüssel an der Datenstation oder auf einem Medium gespeichert werden kann, das vom Benutzer von Datenstation zu Datenstation mitgeführt werden kann, z. B. bei Verwendung einer Magnetstreifenkarte, einer Speicherkarte, einer programmierbaren, geschützten Karte, einer Diskette oder ähnlichem. Wenn ein symmetrischer Algorithmus in Frage kommt, veranlaßt der Benutzer die Datenstation dazu, einen geheimen Schlüssel zu erzeugen, der beim SVZ unter der BID eingetragen wird. Während der Übermittlung an das SVZ kann der so erzeugte geheime Schlüssel geschützt werden, indem er unter dem öffentlichen Schlüssel des SVZ (ÖSsvz) verschlüsselt wird. Der geheime Schlüssel wird ebenfalls in der Datenstation oder auf einem Medium wie den oben beschriebenen gespeichert. Gewöhnlich trägt jeder Benutzer seine eigene Kryptovariable beim SVZ ein.
Abgesehen von diesen offensichtlichen Unterschieden sind die beiden Verfahren, für die Datenstationsinitialisierung und für die Benutzerinitialisierung, identisch.
Somit wird, wenn die Erfindung auch in Form eines bevorzugten Ausführungsbeispiels beschrieben wurde, der Fachmann es daher zu würdigen wissen, daß die Erfindung mit Änderungen und Abweichungen im Rahmen der beigefügten Ansprüche in die Praxis umgesetzt werden kann.

Claims

1. Verfahren zum Initialisieren von Kryptovariablen in einem Netzwerk mit mehreren Datenstationen unter Verwendung eines öffentlichen Schlüsselalgorithmus, das die folgenden Stufen aufweist:

Errichten eines Schlüsselverteilungszentrums (10) innerhalb des Netzwerks und Erzeugen eines öffentlichen und geheimen Schlüsselpaares für das Schlüsselverteilungszentrum;

Ausstatten jeder Datenstation (14) in dem Netzwerk mit einer Datenstationsidentifikation, die dem Schlüsselverteilungszentrum bekannt ist, und einer kryptographischen Einrichtung, in welcher der öffentliche Schlüssel des Schlüsselverteilungszentrums gespeichert ist;

Erzeugen einer Kryptovariable an jeder Datenstation unter Verwendung der kryptographischen Einrichtung;

Übertragen einer Eintragungsanforderungsnachricht, welche die Datenstationsidentifikation und die Kryptovariable enthält, an das Schlüsselverteilungszentrum

und Eintragen der Kryptovariable in das Schlüsselverteilungszentrum und Senden einer Bestätigung des Empfanges der Eintragungsanforderung von dem Schlüsselverteilungszentrum,

wobei dieses Verfahren durch folgendes gekennzeichnet ist:

Benennen einer Datenstationsinitialisierung (18) zum Vorbereiten und Übertragen der Eintragungsanforderungsnachricht für jede Datenstation im Netzwerk und zum Empfangen der Empfangsbestätigung;

Benachrichtigen der Datenstationsinitialisierung von zwei Ablaufzeiten für jede Datenstation, wodurch die Kryptovariable vorübergehend in dem Schlüsselverteilungszentrum eingetragen wird, wenn von dem Schlüsselverteilungszentrum vor dem Ablaufen der ersten Zeit eine Eintragungsanforderung für eine Kryptovariable empfangen wird;

Löschen der vorübergehenden Eintragung der Kryptovariablen für eine Datenstation, falls in Verbindung mit dieser Datenstation vor Ablaufen der zweiten Zeit, mit oder ohne Genehmigung, irgendeine weitere Kommunikation empfangen wird;

Vervollständigen der Eintragung der Kryptovariablen für eine Datenstation bei Ablaufen der zweiten Zeit, wodurch die Eintragung darauffolgend nur mit Genehmigung gelöscht werden kann.

2. Verfahren nach Anspruch 1, bei welchem der Schritt der Empfangsbestätigung der Eintragungsanforderung das Bestätigen der vorübergehenden Eintragung der Kryptovariable durch Senden einer Nachricht an die anfordernde Datenstation umfaßt, welche die Datenstationsidentifikation, den öffentlichen Schlüssel, das zeitveränderliche Datenecho und eine Kennzeichnung enthält, die einen geheimen Schlüssel von dem Schlüsselverteilungszentrum verwendet.

3. Verfahren nach Anspruch 1 oder 2, das weiters den Schritt zum Vorbereiten und Übertragen einer Identifikationsnichtigkeitsanforderungsnachricht an das Schlüsselverteilungszentrum vor der zweiten Ablaufzeit umfaßt, falls weder eine positive Bestätigung vom Schlüsselverteilungszentrum mit der Aussage, daß der geforderte öffentliche Schlüssel vorübergehend im Schlüsselverteilungszentrum eingetragen wurde, noch eine positive Bestätigung vom Schlüsselverteilungszentrum mit der Aussage, daß die Anforderungsidentifikation vom Schlüsselverteilungszentrum für nichtig erklärt wurde, empfangen wird.

4. Verfahren nach einem der vorgehenden Ansprüche, das weiters die folgenden Schritte umfaßt Anfordern der Lieferung eines Nachweises der Eintragung der Kryptovariablen vom Schlüsselverteilungszentrum für die Identifikation der Datenstation, nachdem die zweite Ablaufzeit vergangen ist, und Liefern des Nachweises der Eintragung, wenn die Identifikation gültig ist und zuvor eine Kryptovariable eingetragen wurde.

5. Verfahren nach Anspruch 4, bei welchem der Schritt zum Liefern des Nachweises der Eintragung durch Senden einer Nachricht bereitgestellt wird, die unter Verwendung des geheimen Schlüssels des Schlüsselverteilungszentrums den für dieses Objekt eingetragenen öffentlichen Schlüssel, die Identifikation und eine Kennzeichnung festlegt.

6. Verfahren nach einem der vorigen Ansprüche, bei welchem der öffentliche Schlüssel des Schlüsselverteilungszentrums an jeder Datenstation in einer zentralen Lage installiert wird, bevor die Datenstation an den Verwendungsort versandt wird.

7. Verfahren nach einem der vorigen Ansprüche, bei weichem der Erzeugungsschritt durch Erzeugen eines öffentlichen Schlüssels und eines geheimen Schlüsselpaares für jedes zugelassene Objekt ausgeführt wird.

8. Verfahren nach einem der Ansprüche 1 bis 6, bei welchem der Erzeugungsschritt durch Erzeugen eines geheimen zugelassenen Schlüssels für das Objekt unter Verwendung eines symmetrischem Algorithmus ausgeführt wird.

9. Verfahren nach einem der vorigen Ansprüche, das weiters das Prüfen der Identifikation der benannten Initialisierung, nachdem die zweite Ablaufzeit vergangen ist, und Anfordern der Nichtigkeitserklärung der Identifikation enthält, falls die angeforderte Kryptovariable nicht mit dem Schlüsselverteilungszentrum eingetragen wurde.