DE4034444A1

DE4034444A1 - Datenschuetzender arbeitsplatzrechner

Info

Publication number: DE4034444A1
Application number: DE19904034444
Authority: DE
Inventors: Thomas Dipl Ing Winkler; Robert Hammelrath; Hartwig Dr Ing Kreutz
Original assignee: ANT Nachrichtentechnik GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1990-10-30
Filing date: 1990-10-30
Publication date: 1992-05-14
Also published as: DE4034444C2

Description

Die Erfindung bezieht sich auf einen datenschützenden Arbeitsplatzrechner gemäß Oberbegriff des Anspruches 1. Solche Rechner sind bekannt, beispielsweise durch die deutsche Offenlegungsschrift 34 32 721, welche auf einen daten- bzw. programmschützenden Standard-Mikroprozessor mit einer internen Dechiffrierschaltung zur Entschlüsselung und Bearbeitung von Daten, die von einem externen Programm- und Arbeitsspeicher verschlüsselt angeboten werden, gerichtet ist. Um die Entschlüsselung eines mit hohem Aufwand erarbeiteten Programms zuverlässig zu verhindern, wird dort vorgeschlagen, daß die interne Dechiffrierschaltung in Abhängigkeit eines Befehlsabrufssignales und gegebenenfalls weiterer befehlsergänzender Signale sowie Programmdaten und Verarbeitungsdaten, die verschlüsselt angebotenen Daten selektiv erkennt, entschlüsselt und bearbeitet.

In der europäischen Patentanmeldung 97 621 wird ein Verfahren zur Verschleierung digitaler Information und eine Vorrichtung zur Durchführung dieses Verfahrens beschrieben, wobei ein Datenverwirbelungsmittel vorgesehen ist, welches die Datenleitungen eines Systembusses zwischen einem Mikroprozessor und seinem Speichermittel vertauscht.

In beiden Fällen kann ein unerlaubter Zugriff auf zu schützende Daten und Programme nicht ganz ausgeschlossen werden, vor allen Dingen dann, wenn unautorisierter Zugriff zum Mikroprozessor ausgeübt wird oder wenn mehrere Prozessorsysteme miteinander vernetzt sind.

Das Einsatzgebiet der vorliegenden Erfindung sind vorwiegend Arbeitsplatz-Rechnersysteme zur Verarbeitung von sicherheitskritischen Daten und insbesondere solche Arbeitsplatzrechnersysteme, die vernetzt sind.

Der vorliegenden Erfindung lag die Aufgabe zugrunde, einen Arbeitsplatz-Rechner der eingangs genannten Art anzugeben, der bei der Verarbeitung von sicherheitskritischen Daten sicherstellt, daß dieselben nicht unverschlüsselt auf den lokalen Massenspeicher geschrieben werden können. Insbesondere soll auch bei vernetzten Arbeitsplatzrechnern verhindert werden, daß die sicherheitsrelevanten Daten unverschlüsselt auf das Netzwerk gesendet werden können. Dabei soll die Lösung ohne größeren Eingriff in den Arbeitsplatzrechner und ohne größeren Zusatzaufwand erfolgen.

Die Lösung erfolgt mit den gekennzeichneten Merkmalen des Anspruches 1. Der Anspruch 2 bietet die Lösung für den vernetzten Arbeitsplatzrechner. Vorteilhafte Ausgestaltungen ergeben sich durch die Unteransprüche.

Die Vorteile der Erfindung liegen darin, daß Senden oder Schreiben von Klardaten in die lokalen Massenspeicher bzw. bei vernetzten Arbeitsplatz-Rechnersystemen in die Netzwerke ausgeschlossen wird. Dies wird selbst dann garantiert, wenn illegale Software, z. B. Viren oder ähnliche, in den Arbeitsplatzrechner eingeschleust worden sein sollte.

Die erfindungsgemäße Lösung garantiert diese Funktionen, wobei die Hardware des Arbeitsplatzrechnersystems nicht modifiziert werden muß, sondern lediglich durch eine Zusatzkarte zu erweitern ist. Dabei können Standard-Karten zur Vernetzung, z. B. LAN-Karten (Local Area Network) mit NetBIOk-Schnittstelle (BIOS = Basic Input Output System), bzw. Standard-Massenspeicher-Controller verwendet werden. Als Prozessortypen kommen beispielsweise alle Prozessoren der INTEL-Familie 80 · 86 in Frage.

Durch die erfindungsgemäße Lösung wird sichergestellt, daß die Hardware-Ports der Netzwerk-Karte bzw. der Massenspeicher-Controller nur von der offiziellen Netzwerk-Treibersoftware mit vorgeschalteter Sicherheits-Software angesprochen werden können. Weiterhin wird verhindert, daß diese Software manipuliert oder ausgeschaltet werden kann. Andere Software kann nicht auf diese Hardware-Ports, insbesondere schreibend zugreifen. Schon bei einem Versuch, dieses zu tun, wird der Arbeitsplatz-Rechner blockiert und steht erst nach dem nächsten Booten wieder bereit.

Die erfindungsgemäße Lösung setzt sich aus den folgenden drei Punkten zusammen:

1. Das Erkennen, welche Software eine sicherheitsrelevante Operation ausführen will. Damit kann entschieden werden, ob die Operation ausgeführt werden darf oder abgebrochen werden muß.

2. Die Überwachung der sicherheitsrelevanten Hardware-Ports der Netzwerkkarte und des Massenspeicher-Controllers. Bei Verletzung der Sicherheit wird der Arbeitsplatzrechner sofort angehalten.

3. Kryptologische Bearbeitung der Daten, die auf das Netzwerk gesendet bzw. auf den Massenspeicher geschrieben werden sollen.

Zur detaillierten Erläuterung dieser einzelnen Punkte wird auf die Figur Bezug genommen.

Auf der rechten Seite ist als dicker schwarzer Balken der Systembus des Arbeitsplatzrechners APR erkennbar; an diesem Systembus sind folgende Elemente des Arbeitsplatzrechners angeschlossen:
Die Ein-Ausgabe EA-Schnittstelle zur Peripherie P,
die Prozessoreinheit CPU,
der Massenspeicher MS, enthaltend beispielsweise Hard Disk- und Flopy Disk,
ein Hard-Speicher RAM und
die Verbindungseinheit LAN zum Netzwerk.

Links von diesem Systembus ist eine punktierte Schnittstelle gezeichnet. Links von dieser Schnittstelle liegt der Bereich des erfindungsgemäßen Sicherheitsrechners, beispielsweise vorteilhafterweise als Zusatzkarte eingesetzt. Der Sicherheitsrechner besteht aus einem Sicherheitsrechner-Systembus, links als grauer Balken gezeichnet. Am Systembus sind die einzelnen Systemteile angeschlossen:
Die zentrale Prozessoreinheit CPU′, ein Arbeitsspeicher HS′ ferner noch die folgenden Hardware-Einheiten:
eine Adreßüberwachungseinheit Aü1,
eine Rechnerbuskopplungseinheit BK zur Kopplung der beiden Systembusse von Sicherheitsrechner und Arbeitsrechner. Ferner ist eine Adreßüberwachungseinheit Aü2 vorgesehen, welche mit dem Systembus des Arbeitsplatzrechners verbunden ist und diesen auf Zugriffe, auf unzulässige Adressen bzw. sicherheitsrelevante Hardware-Ports überwacht und im Falle des Erkennens den Arbeitsplatzrechner zu einem Nothalt zwingt sowie den Sicherheitsrechner alarmiert.

Ferner ist eine Busarbitereinheit BA vorgesehen, welche von der Adreßüberwachungseinheit Aü1 bei Zugriffswunsch auf bestimmte Adressen den Systembus des Arbeitsplatzrechners beantragt und im Falle der Zuteilung die Rechnerbuskopplungseinheit durchschaltet.

Es folgen nun weitere detailliertere Bemerkungen zu den obengenannten drei Punkten der erfindungsgemäßen Lösung.

Zu 1.: Das Erkennen, ob der Zugriff auf sicherheitsrelevante Hardware-Ports von autorisierter oder nichtautorisierter Software initiiert wird oder wurde, wird ermöglicht, indem auf der genannten Zusatzkarte das eigenständige Rechnersystem des Sicherheitsrechners implementiert wird. Es gilt dabei als selbstverständlich, daß das System des Sicherheitsrechners zum Rechnersystem des Arbeitsplatzrechners kompatibel ist.

Auf das eigenständige Rechnersystem des Sicherheitsrechners werden die Treiberprogramme für die Netzwerkkarte oder Netzwerkkoppeleinrichtung LAN und die Massenspeicher MS geladen; diese Treiberprogramme sind beispielsweise Standard-Treiberprogramme, welche üblicherweise auf dem Arbeitsplatzrechner benutzt werden. Nur der Software des Sicherheitsrechners auf der Zusatzkarte steht nun das Recht zu, die sicherheitsrelevanten Hardware-Ports über das Bussystem des Arbeitsplatzrechners anzusteuern.

Der Adreßraum des Sicherheitsrechner-Systems auf der Zusatzkarte ist vollständig vom Adreßraum des Arbeitsplatzrechners getrennt. Vom Arbeitsplatzrechner aus kann auf diesen Adreßraum nicht zugegriffen werden, und damit kann die dort installierte Software auch nicht manipuliert werden. Die Treibersoftware für die Netzwerkkarte LAN, die Software zur Ansteuerung des Massenspeichercontrollers MS und die übrige Systemsoftware des Sicherheitsrechners werden auf der Zusatzkarte in nicht änderbare Speicher abgelegt oder über eine spezielle Schnittstelle zum Hauptrechner in einem fälschungssicheren, beispielsweise durch einen Message-Authentifikations-Code (MAC) geschützten Datenpaket auf die Zusatzkarte geladen. Nicht änderbare Speicher sind zum Beispiel ein EPROM, in dem ein sogenanntes Urladeprogramm oder Bootprogramm abgespeichert ist, oder sogenannte tamperresistente Speicher, in denen beispielsweise interne und externe (also für den Interarbeitsplatzrechnersystemverkehr bestimmte) Verschlüsselprogramme abgelegt sind.

Damit die Standardtreibersoftware direkt d. h. ohne Umsetzung eingesetzt werden kann, muß das Rechnersystem des Sicherheitsrechners eine zum Rechnersystem des Arbeitsplatzrechners kompatible Hardware bereitstellen. Die Schnittstelle der Standardtreibersoftware für die Netzwerkkarte und den Massenspeichercontroller wird auf dem Hauptrechner durch eine Softwareschnittstelle ersetzt, welche die Aufträge und Daten an den Sicherheitsrechner weiterleitet (Umleitungssoftware). Im Sicherheitsrechnersystem werden diese Daten entgegengenommen und die Standardtreiber bedient, als würden diese direkt auf dem Hauptrechner laufen. Mit den Ergebnissen der Operationen wird ebenso verfahren.

Für die Standardtreibersoftware ist die Ausführung im Sicherheitsrechner kompatibel zur Ausführung auf dem Hauptrechner. Erfolgt ein Zugriff auf die sicherheitsrelevanten Speicheradressen, welche am Systembus des Hauptrechners liegen, so wird im Sicherheitsrechnersystem der Speicherzugriff verzögert und der Systembus des Hauptrechners mit der schon weiter oben angeführten Hardware beantragt, welche die Adreßüberwachungseinheit Aü1, den Busarbiter BA und die Rechnerbuskoppeleinheit BK umfaßt. Die Beantragung des Busses des Arbeitsplatzrechners APR, seine Zuteilung und Zuschaltung sowie die hinterherige Abtrennung erfolgen mit einer Reihe von Signalen, welche im Dialog gesendet werden:
Sendesignale des Busarbiters BA: MASTER, welches den Zugriffswunsch zum APR-Systembus ausdrückt.
DRQ ein DMA-Requestsignal ("direkter Speicherzugriff").
Empfangssignale des Busarbiters: DACK, ein DMA-Acknowledge-Signal ("direkter Speicherzugriff".
I/OCHRDY ein Input/Output-Check-Ready-Signal.

Vom Busarbiter wird an den Systembus des Sicherheitsrechners für die Zeit der Arbitrierung ein I/O-Waitsignal, ein Wartesignal abgegeben.

Wenn der Bus zugeteilt ist, gliedert sich das Sicherheitsrechnersystem den Adreßraum der sicherheitsrelevanten Hardware-Ports in den eigenen Adreßraum ein. Dann wird auf die Hardware-Ports zugegriffen und nach Abschluß der Zugriffsoperation der Rechnerbus des Hauptrechners APR wieder freigegeben, indem die Rechnerbuskopplung BK wieder aufgetrennt wird.

Zu 2.: Die sicherheitsrelevanten Hardware-Ports werden mit Hilfe der oben angeführten Hardware auf der Zusatzkarte überwacht. Diese Überwachungseinheit ist zweigeteilt; einmal wird der Adreßraum des lokalen Rechnerbusses des Sicherheitsrechners mittels der Adreßüberwachung Aü1 und zum anderen der Adreßraum des Hauptrechners über dessen Systembus mittels der Adreßüberwachungseinheit Aü2 überwacht.

Durch die Adreßüberwachungseinheit Aü1 wird erkannt, wenn der lokale Sicherheitsrechner auf die sicherheitsrelevanten Hardware-Ports zugreifen will. Für eine solche Zugriffsoperation wird wie oben geschildert der Systembus des Hauptrechners APR beantragt. Nach der Buszuteilung (Busarbitrierung) wird für die Zeitdauer der Speicherzugriffe die Nothaltfunktion auf der Adreßüberwachungseinheit Aü2 deaktiviert bzw. passiviert. Nach Beendigung der Speicherzugriffe wird die genannte Nothaltfunktion reaktiviert und der Bus des Arbeitsplatzrechners APR wieder freigegeben.

Der zweite Teil der Adreßüberwachungseinheit Aü2 überwacht die sicherheitsrelevanten Hardware-Ports auf dem Systembus des Arbeitsplatzrechners. Wird vom Hauptrechner aus auf die sicherheitsrelevanten Hardware-Ports zugegriffen, so löst diese Hardware-Adreßüberwachungseinheit Aü2 einen Nothalt des Hauptrechners aus, d. h. der Prozessor des Hauptrechners APR wird blockiert. Eine Software, welche im Hauptrechner ausgeführt wird, kann damit niemals die sicherheitskritischen Operationen durchführen, selbst dann nicht, wenn ein Duplikat der Treibersoftware im Hauptrechner installiert ist oder wird. Wie weiter oben geschildert, ist die Nothaltfunktion der Adreßüberwachung nur bei einem Zugriff zu den sicherheitsrelevanten Hardware-Ports des Arbeitsplatzrechners von der Seite des Sicherheitsrechners aus deaktiviert.

Zu 3.: Bevor die Aufträge und Daten von der Umleitungs-Software im Arbeitsplatzrechner an den Sicherheitsrechner weitergeleitet werden, d. h. an seine Treiberschnittstellen weitergegeben werden, werden die Nutzdaten kryptologisch bearbeitet und dem Adreßraum des Hauptrechners entzogen. Nutzdaten gehen somit niemals im Klartext auf den Systembus des Hauptrechners, in seinen Massenspeicher MS oder über die Netzwerkkoppeleinheit LAN in die vernetzten Rechensysteme. Da die Software, die auf dem Rechnersystem des Sicherheitsrechners abläuft, nicht manipuliert werden kann und die Abarbeitungsreihenfolge nicht beeinflußbar ist, kann die kryptologische Bearbeitung der Nutzdaten nicht ausgeschaltet werden.

Claims

1. Datenschützender Arbeitsplatzrechner mit Arbeitsspeicher, Massenspeicher, Prozessor, Peripherie und diese Systemteile miteinander verbindendem Systembus, wobei im Massenspeicher Daten verschlüsselt abgelegt sind, dadurch gekennzeichnet,
daß ein mit dem Arbeitsplatzrechner (APR) kompatibler Sicherheitsrechner mit einem weiteren Prozessor (CPU′), einem weiteren Arbeitsspeicher (HS′) und einem weiteren diese miteinander verbindenden Systembus vorgesehen ist,
daß eine Buskoppeleinheit (BS) vorgesehen ist, mittels der die beiden Systembusse koppelbar bzw. zusammenschaltbar sind,
daß Aufträge an den Massenspeicher (MS) unter der alleinigen Regie des Sicherheitsrechners bearbeitet werden,
daß die kryptologische Bearbeitung dieser Aufträge ausschließlich durch den Sicherheitsrechner erfolgt und
daß eine Adressüberwachungseinheit (Adressüberwachung 2) vorgesehen ist, mittels der der Systembus des Arbeitsplatzrechners (APR) auf Zugriff auf unzulässige Adressen bzw. auf die sicherheitsrelevanten Hardware-Ports des Massenspeichers überwacht wird und
daß ein Nothalt des Arbeitsplatzrechners durchgeführt wird, wenn von ihm ein solcher Zugriff erfolgen soll.

2. Arbeitsplatzrechner mit Netzwerkeinrichtung zur Verbindung mit einem oder mehreren weiteren Arbeitsplatzrechnern nach Anspruch 1, dadurch gekennzeichnet,
daß Aufträge an die Netzwerkeinrichtung (LAN) unter der alleinigen Regie des Sicherheitsrechners bearbeitet werden und
daß die kryptologische Bearbeitung dieser Aufträge ausschließlich durch den Sicherheitsrechner erfolgt.

3. Arbeitsplatzrechner nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß im Arbeitsspeicher (HS) des Arbeitsplatzrechners (APR) anstelle der Treiber-Software für Netzwerkeinrichtung und Massenspeicher eine Umleitungs-Software (USW) eingespeichert ist, welche die Aufträge und Daten an den Sicherheitsrechner weiterleitet.

4. Arbeitsplatzrechner nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Treiber-Software für die Auftragsbearbeitung für Netzwerkeinrichtung (LAN) und Massenspeicher (MS) die Standard-Treiber-Software ist.

5. Arbeitsplatzrechner nach Anspruch 4, dadurch gekennzeichnet, daß die Treiber-Software für die Auftragsbearbeitung für Netzwerkeinrichtung (LAN) und Massenspeicher (MS) in einem nicht änderbaren Speicherteil (Tr) des Arbeitsspeichers (HS′) des Sicherheitsrechners abgelegt ist.

6. Arbeitsplatzrechner nach Anspruch 4, dadurch gekennzeichnet, daß die Treiber-Software für die Auftragsbearbeitung für Netzwerkeinrichtung (LAN) und Massenspeicher (MS) im Massenspeicher des Arbeitsplatzrechners abgelegt ist und über die Buskoppeleinheit (BS) in einem fälschungssicheren Datenpaket in den Arbeitsspeicher des Sicherheitsrechners ladbar ist.

7. Arbeitsplatzrechner nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß eine weitere Adressüberwachungseinheit (Adressüberwachung 1) vorgesehen ist, mittels der der Systembus des Sicherheitsrechners auf Zugriff auf die sicherheitsrelevanten Hardware-Ports überwacht wird.

8. Arbeitsplatzrechner nach Anspruch 7, dadurch gekennzeichnet,
daß beim Wunsch des Sicherheitsrechners auf Zugriff auf die sicherheitsrelevanten Hardware-Ports der Systembus des Arbeitsplatzrechners (APR) durch den Sicherheitsrechner beantragt wird,
daß nach der Busarbitrierung für die Zeitdauer der Speicherzugriffe die Nothaltfunktion deaktiviert und nach Beendigung derselben wieder aktiviert wird und der Bus des Arbeitsplatzrechners wieder freigegeben wird.