DE602004006702T2

DE602004006702T2 - Sichere Datenübertragung in einem vernetzten System der Bildverarbeitungsvorrichtungen

Info

Publication number: DE602004006702T2
Application number: DE602004006702T
Authority: DE
Inventors: Robertus C.W.T.M. Van Den Tillaart
Original assignee: Oce Technologies BV
Current assignee: Canon Production Printing Netherlands BV
Priority date: 2003-11-27
Filing date: 2004-11-23
Publication date: 2008-02-07
Anticipated expiration: 2024-11-24
Also published as: CN100566336C; DE602004006702D1; ATE363784T1; US20050154884A1; CN1642171A; EP1536305A1; JP2005192198A; US7536547B2

Description

Die Erfindung betrifft ein Verfahren zum sicheren Übertragen von digitalen Daten, die sich auf ein Dokument beziehen, zwischen einem Scanner, einem Drucker und/oder einem Host-Computer wie etwa einer Workstation eines Benutzers, die durch ein digitales Netzwerk verbunden sind.
Insbesondere bezieht sich die Erfindung auf ein Verfahren, das die folgenden Schritte umfaßt:
an einer sendenden Station:

– Erzeugen einer Dokumentdatei durch eine Datenquelle,
– Eingabe einer sitzungsspezifischen, benutzerdefinierten Zeichenkette durch einen Bearbeiter,
– automatische Erstellung eines Verschlüsselungscodes auf der Grundlage der benutzerdefinierten Zeichenkette,
– Verschlüsseln der Dokumentdatei zur Erzeugung einer verschlüsselten Dokumentdatei unter Verwendung des Verschlüsselungscodes,
– Erstellen einer Übertragungsdatei, die das verschlüsselte Dokument und unverschlüsselte Information in bezug auf die Dokumentdatei enthält,
– Übermitteln der Übertragungsdatei zu einer empfangenden Station;

– Speichern der empfangenen Übertragungsdateien,
– Eingabe derselben benutzerdefinierten Zeichenkette durch einen Bearbeiter,
– automatische Erstellung eines Entschlüsselungscodes auf der Grundlage der benutzerdefinierten Zeichenkette,
– Entschlüsseln der verschlüsselten Dokumentdatei in eine entschlüsselte Dokumentdatei unter Verwendung des Entschlüsselungscodes.

HINTERGRUND DER ERFINDUNG
Heutzutage muß das Erzeugen und Drucken von Dokumenten zahlreichen unterschiedlichen Sicherheitsniveaus genügen. Weiterhin existieren zum Drucken verschiedene Organisationsformen und Konfigurationen, bei denen zwischen der Erzeugung des Dokuments und dem eigentlichen Drucken desselben sowohl ein zeitlicher als auch ein räumlicher Abstand liegen kann. Solche Abstände haben verschiedene Aspekte, z. B.: ein Dokument wird zu hause erstellt, und das Internet wird zur Übertragung in das Büro oder zum Drucken im Büro benutzt; ein Dokument wird zusammenstellt und dann in eine Druckerschlange in einer Mailbox eines gemeinsam genutzten Druckers wie z. B. Ocè 3165^TM eingestellt, etwa durch Speichern auf einer darin enthaltenen Festplatte; die elektronische Version eines gedruckten Dokuments wird nach dem eigentlichen Drucken desselben für eine gewisse Zeitspanne, etwa für vierundzwanzig Stunden, in einer mehr oder weniger frei zugänglichen Zwischenspeichereinrichtung gespeichert gehalten; und verschiedenes mehr.
Der Erfinder hat ein Bedürfnis nach erhöhter Sicherheit erkannt, so daß ein nicht autorisierter Zugriff auf klassifizierte oder in sonstiger Weise sensistive druckbereite Information minimiert werden sollte, während die Benutzerfreundlichkeit so weit wie möglich erhalten bleibt. Auch andere Formen der Übertragung von Daten, insbesondere von Daten, die sich auf ein Dokument beziehen, wie etwa Abtastdateien, die durch Abtasten eines Dokuments erzeugt werden, und Dokumentdateien zur Speicherung in einer Datenbank, müssen sicher sein, damit Abhörer daran gehindert werden, Zugriff auf den Inhalt bestimmter geheimer oder vertraulicher Dokumente zu erhalten.
Insbesondere beschreibt EP Al 0 929 023 einen Ansatz zum sicheren Drucken, bei dem ein Dokument mit einem Sitzungsschlüssel in Übereinstimmung mit einem Massenverschlüsselungsalgorithmus verschlüsselt wird und weiterhin der Sitzungsschlüssel mit dem öffentlichen Schlüssel (PUK) des vorgesehenen Empfängers verschlüsselt wird. Der vollständige Druckauftrag wird dann an eine Dokumentverwaltungseinrichtung übermittelt. Der Empfänger wird eine sogenannte Smart Card, die seinen privaten Schlüssel (PRK) enthält, dazu benutzen, sich für den Drucker zu authentifizieren, und der Drucker erkennt die Identität anhand der Karte und sucht nach Dokumenten, die für den Empfänger bestimmt sind; diese werden dann von der Dokumentverwaltungseinrichtung zu dem sicheren Drucker gesendet, der zunächst mit Hilfe des PRK des Empfängers den Sitzungsschlüssel entschlüsselt und dann den entschlüsselten Sitzungsschlüssel dazu benutzt, das Dokument zu entschlüsseln und zu drucken.
Obgleich dieses bekannte Verfahren ein gewisses Maß an Sicherheit bietet, ist es noch durch spezielle codebrechende Techniken verletzlich. Die übermittel te verschlüsselte Dokumentdatei enthält immer noch Information, die zur Entschlüsselung verwendet werden kann. Insbesondere kann der verschlüsselte Sitzungsschlüssel aus der übertragenen Datei extrahiert werden und, da er relativ kurz ist, durch einen massiven Angriff nach dem Prinzip von Versuch und Irrtum entschlüsselt werden.
Außerdem ist es auf der Ebene eines individuellen Dokuments weniger flexibel. Zum Beispiel muß der Empfänger eine Smart Card besitzen, was den physikalischen Transport derselben voraussetzt, doch andererseits wird der Empfänger dann in der Lage sein, alle Dokumente zu sehen, die für den angenommenen Inhaber der Karte bestimmt sind. Die Fundstelle sorgt nicht für den individuellen Zugriff auf nur ein Dokument. Außerdem muß der Absender vor der Übertragung des Dokuments die Identität des vorgesehenen Empfängers kennen, was nicht immer realisierbar ist.
Weiterhin beschreibt WO 02/41133 ein Druckersystem mit einer Quelle für Druckaufträge, etwa einen Benutzer-PC einschließlich Druckertreiber, einem Spoolingserver und einem Drucker mit einer Abfrageeinrichtung (Polling). Druckaufträge werden an der Quelle verschlüsselt, mit Hilfe eines Verschlüsselungscodes, der auf benutzerspezifischen Daten basiert, und dann an den Spoolingserver übermittelt. Im Spoolingserver wird der Druckauftrag entschlüsselt und gespeichert. Die Abfrageeinrichtung in dem Drucker kann dann den Spoolingserver nach etwaigen Aufträgen fragen, die für den Drucker bestimmt sind. Wenn ein solcher Druckauftrag im Spoolingserver vorhanden ist, verschlüsselt dieser letztere den Druckauftrag wieder mit demselben Schlüssel und sendet den Auftrag an die Abfrageeinrichtung des Druckers, wo ein Benutzer dieselben benutzerspezifischen Daten eingeben muß. Auf der Grundlage dieser Daten erzeugt die Abfrageeinrichtung einen Schlüssel, entschlüsselt den Druckauftrag und leitet ihn an den Drucker weiter.
Gemäß dieser Veröffentlichung wird der Druckauftrag vollständig verschlüsselt, und er wird somit zu einem nicht erkennbaren Datenblock. Er kann daher nur von einem System behandelt werden, das im voraus weiß, worum es sich handelt, wie etwa bei Punkt-zu-Punkt-Übertragungen, oder das ihn entschlüsselt, um mehr Information zu erhalten. Die Zwischenentschlüsselungen verringern jedoch die Sicherheit des Auftrags und sollten deshalb vermieden werden.
Ebenso beschreibt US 2002/0078351 A1 ein System, bei dem eine Datei für eine Punkt-zu-Punkt-Übertragung verschlüsselt wird, mit Hilfe eines Schlüssels, der sowohl auf der Absenderseite als auch auf der Empfängerseite eingegeben wird. Die Datei selbst kann nicht mehr erkannt werden, nachdem sie einmal verschlüsselt worden ist.
Dieses letztere Problem wird zum Teil durch ein Verfahren gelöst, das in US 2002/0184494 A1 beschrieben wird, bei dem eine verschlüsselte Datei mit einer Kennung an eine vorgesehene Zielstation übermittelt wird, sowie auch ein Flag oder Verschlüsselungsschlüssel oder -code, der nur von der Zieleinrichtung erkannt werden wird. Beim Empfang der verschlüsselten Dateien bewertet die Zielstation den Verschlüsselungsschlüssel oder -code, und sie führt auf dieser Grundlage den angemessenen Entschlüsselungsalgorithmus aus. Ein bei dieser Lösung verbleibendes Problem besteht darin, daß die verschlüsselte Datei nur von der Zielstation erkannt werden kann, so daß sie nicht von Servern oder Routern behandelt werden kann.
Weiterhin beschreibt EP 1 045 574 A1 , die als nächstliegender Stand der Technik angesehen wird, eine sichere Fax-Übertragung, bei der ein zu übertragendes Dokument gescannt und mit Hilfe eines von dem Benutzer eingegebenen Codes verschlüsselt wird. Dann wird die verschlüsselte Datei gemäß einem standardmäßigen Faxprotokoll übertragen, zusammen mit einem unverschlüsselten Kopf, der zumindest einen vorgesehenen Empfänger spezifiziert. Bei Empfang an der Zielstation kann das Fax gedruckt oder zumindest an einem Computerbildschirm betrachtet werden, so daß der Kopf gelesen werden kann. Auf der Grundlage der Information in dem Kopf kann das Fax an den Empfänger ausgegeben werden, der den Entschlüsselungscode kennt. Die Information im Kopf ist jedoch nur für menschliche Bearbeiter nutzbar.
KURZDARSTELLUNG DER ERFINDUNG
Folglich ist es unter anderem eine Aufgabe der vorliegenden Erfindung, das Sicherheitsniveau des im Oberbegriff angegebenen Schemas zu verbessern. Außerdem soll die Erfindung einen gut ausbalancierten Ansatz schaffen, der einen Mittelweg zwischen ungehinderten Zugriffs- und Dokumentverwal tungsfunktionen auf der einen Seite und einem hohen Sicherheitsniveau auf der anderen Seite darstellt.
Deshalb ist die Erfindung gemäß einem ihrer Aspekte dadurch gekennzeichnet, daß sie weiterhin umfaßt:
an der sendenden Station:

– Erstellen einer zusätzlichen Datei, die Metadaten enthält, die für die Dokumentdatei relevant sind aber keinerlei Entschlüsselungshilfe enthalten, welche zusätzliche Datei einen ersten Teil und einen zweiten Teil hat,
– Verschlüsseln nur eines der ersten und zweiten Teile der zusätzlichen Datei unter Verwendung des Verschlüsselungscodes, und
– in dem Schritt der Erstellung einer Übertragungsdatei, Einbinden der zusätzlichen Datei in die Übertragungsdatei.

Während bei dem bekannten Stand der Technik bei den verschlüsselten Dateien um Datenblöcke handelt, die sehr wenig Information enthalten, die für das System nutzbar wäre, handelt es sich folglich gemäß der vorliegenden Erfindung um Daten, die anhand der spezifizierenden unverschlüsselten Metadaten, die lesbar bleiben und für die Behandlung benutzt werden können, wesentlich besser erkennbar sind. Beispiele für solche spezifizierenden Angaben können der Name des Eigentümers, der Name des Empfängers, die Kopienanzahl, die Anzahl von Seiten sein.
Solche Information mag tatsächlich vor dem eigentlichen Drucken benutzt werden, etwa zu Abrechnung oder zu Kontrollzwecken, etwa für das Routing in einem Mehrdruckersystem oder gegebenenfalls das Routing zu einer Reproabteilung.
Sie kann auch bei einem sogenannten interaktiven Drucken verwendet werden, wie es z. B. in der Ocè 3165^TM implementiert ist, bei dem Druckdateien niemals sofort bei Empfang an dem Drucker gedruckt werden, sondern vielmehr in einem dem Eigentümer des Druckauftrags zugeordneten logischen Speicherplatz im Speicher des Druckers gespeichert werden und einem lokalen Bearbeiter zur Auswahl angeboten und anschließend gedruckt werden. Ein Benutzer kann sich zu dem Drucker begeben, auf dem lokalen Display eine Liste von Druckaufträgen aufrufen, die er gesendet hat, und einen oder mehrere davon auswählen. Dann, nach Betätigung der PRINT Taste auf der Bedienungstafel, werden die Aufträge gedruckt. Normalerweise werden beim interaktiven Drucken in der angezeigten Liste die Auftragsnamen angegeben.
In der Ausführungsform der vorliegenden Erfindung sollte jedoch der Name des Auftrags vorzugsweise nicht in unverschlüsselter Form im Dateikopf auftreten, da dies einem unerwünschten Dritten eine erste nützliche Menge an Information bieten würde. Als eine Alternative kann deshalb der Name des Auftrags entweder durch den Eigentümer selbst oder durch den Druckertreiber in eine nicht sinntragende Zeichenkette oder einen Datums- und Zeitstempel geändert werden.
In einer weiteren Ausführungsform teilt die sendende Station die Übertragungsdatei in zwei Teile auf und überträgt zunächst nur einen Teil der Übertragungsdatei an die empfangende Station, und die empfangende Station sendet, nachdem ein Bearbeiter diese Übertragungsdatei ausgewählt hat, eine Aufforderung zum Übermitteln des verbleibenden Teils der Übertragungsdatei an die sendende Station.
Zum Beispiel kann die Aufteilung zwischen der Information im Kopf und dem Rest der Datei erfolgen, oder sie kann sich durch die gesamte Datei hindurchziehen, indem ein fester Anteil jedes Bytes, das an den Empfänger gelangen muß, etwa die erste Hälfte jedes Bytes, genommen wird und nur dieser Teil jedes Bytes gesendet wird, während der Rest zurückgehalten wird.
Die Erfindung bezieht sich auch auf ein Verfahren zur sicheren Übertragung von anderen Dateien als Druckdateien, etwa von Abtastdateien, für die Speicherung an, z. B., der Workstation des Benutzers. Weiterhin bezieht sich die Erfindung auf ein System von Datenverarbeitungseinrichtungen, das für eine sichere Übertragung von digitalen Daten, die sich auf ein Dokument beziehen, zwischen diesen Einrichtungen ausgebildet ist.
Weitere vorteilhafte Aspekte der Erfindung sind in den abhängigen Ansprüchen angegeben.
KURZBESCHREIBUNG DER ZEICHNUNG
Diese und weitere Merkmale, Aspekte und Vorteile der Erfindung werden nachstehend im Zusammenhang mit der Darstellung bevorzugter Ausführungsformen der Erfindung näher erörtert, insbesondere unter Bezugnahme auf die beigefügten Zeichnungen, in denen zeigen:
1 ein Diagramm eines Netzwerksystems mit Druckern, Scannern und Workstations;
2 ein Blockdiagramm einer Prozedur gemäß einer Drucker-Ausführungsform der Erfindung;
3 ein Dokumentformat zum Gebrauch bei der Erfindung;
4 ein erstes Bildschirmbild, das an einem vorgesehenen Druckersystem angezeigt wird;
5 ein zweites Bildschirmbild, das an einem vorgesehenen Druckersystem angezeigt wird;
6 ein Blockdiagramm einer Prozedur gemäß einer Scanner-Ausführungsform der Erfindung.
DETAILLIERTE BESCHREIBUNG VON BEVORZUGTEN AUSFÜHRUNGSFORMEN
1 ist ein Diagramm eines Netzwerksystems mit Druckern, Scannern und Workstations. Das System umfaßt mehrere Workstations 1, 2 und 3 für Benutzer, mehrere Scanner 5, 6 und einen oder mehrere Drucker 7, 8. Die Scanner und Drucker haben ihre eigenen Bedienungseinheiten (nicht gesondert gezeigt), die mit Bedienungseinrichtungen 10, wie etwa Tasten 12, 13, 14 und einem Display 11 ausgerüstet sind, möglicherweise in der Form einer externen Bediener-Steuereinheit 6A wie etwa eines PCs. Wenn die Drucker eigentlich mehrfunktionale digitale Kopiermaschinen (7, 8) sind, so können die Scanner dieser Maschinen auch als separate Scaneinrichtungen benutzt werden. All diese Elemente sind durch ein lokales Netzwerk 4 verbunden, an das sie angeschlossen sind.
2 zeigt ein Blockdiagramm einer Prozedur gemäß einer Drucker-Ausführungsform der vorliegenden Erfindung. Eine Quelle 20 für Dokumente kann für irgendeine geeignete erzeugende Tätigkeit stehen, wie etwa Maschineschreiben, Zeichnen, Aufnahme von Bildern, und andere. Das so erzeugte Dokument 22 wird an den Druckertreiber 24 weitergeleitet. Bei diesem handelt es sich allgemein um ein Softwaremodul, das sich an der Quelle für das Dokument befindet, etwa dem Personal Computer oder der Workstation (1, 2, 3) des Urhebers. In der betrachteten Konfiguration ist der Druckertreiber 24 mit einer Verschlüsselungsprozedur 26 verknüpft, die einen Verschlüsselungscode 28 zur Implementierung der eigentlichen Verschlüsselung benutzt. Verschiedene Prozeduren dieser Art sind weithin in Gebrauch, beispielsweise DES, RSA und andere. Der Verschlüsselungscode ist sitzungsspezifisch und basiert auf einer Verschlüsselungskette, die von dem Bearbeiter in den Druckertreiber eingegeben wird, wie nachstehend erläutert werden wird.
Die Quelle, etwa der Personal-Computer des Benutzers, wird im allgemeinen als hinreichend sicher für die Speicherung der verschlüsselten Version des Dokuments angesehen. Es ist zu bemerken, daß dort auch eine unverschlüsselte Version vorhanden sein kann. Der betreffende PC wird in gewisser Weise eher verletzlich sein, wenn er einen offenen Kommunikationsport aufweist. Eine andere Variante kann den verschlüsselten Auftrag plus Ticket auf einem spezialisierten Server haben.
Außer den Druckdaten, die im allgemeinen vollständig verschlüsselt werden, wird ein Dokument gewöhnlich sogenannte Metadaten enthalten, die eine gewisse Beschreibung des Dokuments oder der vorgesehenen Verwendung repräsentieren und in dem enthalten sind, was umgangssprachlich als der Kopf des Dokuments bezeichnet wird. Zum Beispiel enthält der Kopf den Namen des Eigentümers und des vorgesehenen Benutzers (dieser mag auch derselbe sein) in unverschlüsselter Form, doch enthält er keinerlei Information über die eigentliche Verschlüsselungskette, weder verschlüsselt noch im Klartext.
Vorzugsweise ist der eigentliche Verschlüsselungscode, der von dem Verschlüsselungsalgorithmus verwendet wird, eine Funktion der vom Bearbeiter eingegebenen Verschlüsselungskette. Eine elementare Ausführungsform einer solchen Funktion arbeitet mit Verkettung der eingegebenen Verschlüsselungskette mit einer Standard-Zeichenkette, doch sind für diesen Zweck auch komplexere Funktionen realisierbar. Dieses letztere Merkmal impliziert, daß die Eingabe einer Schein-Verschlüsselungskette oder selbst das Fortlassen derselben nichtsdestoweniger sicherstellt, daß keine unverschlüsselten Daten übertragen werden.
Nun können verschiedene Felder in dem Ticket oder Kopf des Auftrags ebenfalls verschlüsselt werden, doch sollten gewisse spezifizierende Felder des Kopfes besser im Klartext verbleiben, etwa solche, die die Anzahl der Kopien bzw. Seiten des Dokuments spezifizieren und die effektiv vor dem eigentlichen Drucken verwendet werden können, etwa zur Abrechnung oder für andere Steuerungszwecke, etwa zum Routing in einem Mehrdruckersystem. Solche Abrechnungsfunktionen können auf einem Zwischenserver ausgeführt werden, der in 2 nicht gezeigt ist. Das oben erwähnte Routing kann das Routing zu einer (möglicherweise) externen Reproabteilung einschließen. Auch der Name des Eigentümers bliebe im Klartext.
Die unverschlüsselten Bestandteile des Kopfes können auch beim sogenannten interaktiven Drucken verwendet werden, wie es z. B. in der Ocè 3165^TM implementiert ist, bei dem Druckdateien niemals sofort bei Empfang an den Drucker gedruckt werden, sondern vielmehr in einem dem Eigentümer des Druckauftrages zugewiesen logischen Speicherplatz im Speicher des Druckers gespeichert werden und einem lokalen Bearbeiter zur Auswahl angeboten und anschließend gedruckt werden. Ein Benutzer kann sich zu dem Drucker begeben, auf dem lokalen Display eine Liste der von ihm gesendeten Druckaufträge aufrufen und einen oder mehrere von ihnen auswählen. Dann werden diese Aufträge nach Betätigung der PRINT Taste auf der Bedienungstafel gedruckt.
Normalerweise werden beim interaktiven Drucken in der angezeigten Liste die Auftragsnamen angegeben. In der vorliegenden Erfindung sollte jedoch der Name des Auftrags vorzugsweise nicht in unverschlüsselter Form im Kopf der Datei enthalten sein, da dies einem unerwünschten Dritten eine erste Menge an nützlicher Information bieten würde. Als eine Alternative kann deshalb der Name des Auftrags entweder durch den Eigentümer selbst oder durch den Druckertreiber in eine nicht sinntragende Zeichenkette oder einen Datums- und Zeitstempel geändert werden.
Gemäß einer ersten Ausführungsform wird der Auftrag mit der obigen Funktion des Verschlüsselungscodes (basierend auf der vom Benutzer eingegebenen Verschlüsselungskette) verschlüsselt (26) und anschließend zu der Mailbox des Druckers übertragen. Im Drucker wird der Name des vorgesehenen Benutzers aus dem Dokument extrahiert, das in die Mailbox 30 des Druckers geladen wurde, etwa für eine Meldung in der persönlichen Mailbox des Adressaten (nicht besonders gezeigt). Für das eigentliche Drucken aktiviert der Benutzer die Mailbox mit einem geeigneten Steuerzeichen 32, um das Dokument auszuwählen, und er gibt auf Anforderung über einen erzwungenen Dialog eine Entschlüsselungskette in ein Entschlüsselungsmodul ein. Wie durch die Linie 29 angegeben wird, ist die Entschlüsselungskette mit der im Verschlüsselungsschritt 26 benutzten Verschlüsselungskette identisch. Das Entschlüsselungsmodul des Druckers verfügt über Information über den Algorithmus zur Erstellung des Verschlüsselungscodes auf der Basis der vom Benutzer eingegebenen Verschlüsselungskette, wie er im Druckertreiber benutzt wird, und erstellt entsprechend einen Entschlüsselungscode.
Die Übermittlung der Entschlüsselungskette kann auf irgendeine geeignete Weise geschehen, etwa dadurch, daß sie vom Eigentümer mitgeführt wird, oder über irgendeine brauchbare Kommunikation außerhalb der Verbindung 27, etwa über die gestrichelte Verbindung 29. Wie gezeigt, ist die Beziehung zwischen der Ver- und Entschlüsselungskette insofern unmittelbar, als kein physikalischer Zwischenträger wie etwa eine Smart Card notwendig ist, was den Vorteil hat, daß Druckdateien mit anderen Personen geteilt werden können, indem ihnen einfach die Ver- und Entschlüsselungskette mitgeteilt wird. Ebensowenig ist ein zeitlicher Puffer wie etwa eine organisatorische Verzögerung zwischen dem Entschlüsseln und dem Drucken vorhanden, abgesehen von der Zeit für die Druckoperation selbst.
Der eigentliche Netzwerktransport der verschlüsselten Datei kann durch Permutation von Datenblöcken geschehen, etwa durch Hashing der Verschlüsselungskette und gegebenenfalls des Datums und der Zeit. Weiterhin können Schein-Datenblöcke in einer pseudo-zufälligen Weise in den Datenstrom eingefügt werden. Die Anfangsgröße für den Pseudo-Zufallsgenerator kann auf der Verschlüsselungskette und/oder dem Datum und der Zeit basieren. Folgliche müßte ein Abhörer zunächst die Datensequenz korrigieren, bevor er sich an die Entschlüsselung macht, was die Datensicherheit beträchtlich erhöht.
Sofort nach der Entschlüsselung wird das Dokument gedruckt (38) und wird somit als Hartkopie 40 verfügbar. Wenn die falsche Entschlüsselungskette eingegeben würde, so würde die Druckprozedur nur "Müll" produzieren, sofern die Datei überhaupt noch druckbar wären, doch wird die Entschlüsselungskette selbst dennoch nicht geprüft. Folglich ist der gesamte Weg von der Erstellung des Dokuments bis zum tatsächlichen Drucken durch Verschlüsselung geschützt, und es bleibt kein längeres Zeitfenster, in dem die Daten der mißbräuchlichen Untersuchung durch einen unerwünschten Dritten ausgesetzt sind. Bei anderen bekannten Organisationsformen könnte eine solche Aussetzung in der Tat mehrere Stunden dauern, doch selbst einige Sekunden könnten bereits die Sicherheit untergraben.
In einer speziellen Ausführungsform kann das Auftragsticket eine verschlüsselte Codesequenz oder "Signatur" enthalten, die mit demselben Verschlüsselungsalgorithmus verschlüsselt ist, so daß sich schneller prüfen läßt, ob die eingegebene Entschlüsselungskette richtig ist. Auf diese Weise braucht nur ein kleiner Teil der Datei entschlüsselt zu werden, um auf dieser Grundlage festzustellen, daß "Müll" produziert wird, statt die Masse des Dokuments zu entschlüsseln. Natürlich wird eine angemessene Diversifizierung der Signatur, etwa zwischen verschiedenen Bestimmungsorten oder Kunden, die Sicherheit verbessern. Die Größe der Signatursequenz kann im Bereich von 0,1 bis 1 Kilobyte liegen und ist somit beträchtlich kleiner als die Druckdatei selbst.
Das obige Ergebnis "läßt sich nicht drucken" könnte auch irgendeine andere Ursache haben als die Eingabe einer falschen Entschlüsselungskette, oder die Entschlüsselungskette könnte aufgrund eines Versehens fehlerhaft sein. Ein bestimmter Schwellenwert der Anzahl von fehlgeschlagenen Versuchen könnte jedoch einen versuchten Mißbrauch anzeigen. Wenn die Anzahl von "Fehlschlägen" einen vordefinierten Schwellenwert übersteigt, wird deshalb das Dokument automatisch aus dem Speicher des Druckers gelöscht. Dieser Schwellenwert kann einstellbar sein, und bestimmte oder alle fehlgeschlagenen Druckversuche können aufgezeichnet und/oder gemeldet werden.
Neben den Vorteilen der Erfindung, die bereits erörtert wurden, können auch die folgenden Vorteile genannt werden. Das Dokument bleibt bis unmittelbar vor dem Drucken verschlüsselt. Selbst wenn die Festplatte des Druckers physikalisch entfernt wird, würde dies deshalb die Sicherheit nicht verletzen. Der Druckauftrag kann zum Drucken auch ohne Risiko an einen anderen Ort als den ursprünglich vorgesehen (um)geleitet werden. Neben den oben erörterten Merkmalen kann die Anwendung von sogenannten "secure sockets" (Sicherheitskapseln) eine weitere Verteidigungslinie gegen Verletzer bilden.
Gemäß einer zweiten Ausführungsform der vorliegenden Erfindung wird über das oben erörterte Sicherheitsmaß hinaus noch ein erhöhter Grad an Sicherheit erreicht, indem die Übertragung der verschlüsselten Druckdaten eines Druckauftrags zumindest zum Teil verzögert wird, bis ein wirklicher Druckbefehl empfangen wird. Mit Vorteil wird statt dessen ein minimales Ticket übertragen, das nur den Benutzernamen und eine gewisse Identifizierung für das Dokument enthält. Erst wenn sich der Benutzer am Drucker meldet und den Auftrag auswählt, werden die eigentlichen Dokumentdaten und der Rest des Tickets abgerufen. Dadurch wird das Zeitintervall, während dem das Dokument außerhalb der gesicherten Umgebung verbleibt, weiter minimiert. Außerdem wird das Dokument nicht dauerhaft am Drucker gespeichert, wenn das eigentliche Drucken aus irgendeinem Grund ausbleibt. Ein geringfügiger Nachteil dieser Vorgehensweise besteht allerdings darin, daß die Übertragung des Dokuments das Drucken nach dem Empfang des Druckbefehls etwas verzögern wird.
Ein Variante der obigen "Just In Time" Prozedur besteht darin, daß nur ein Bruchteil, etwa eine Hälfte des verschlüsselten Dokuments übertragen wird, bevor der eigentliche Druckbefehl empfangen wird. Der Rest verbleibt dann verschlüsselt am Quellensystem. Die Auswahl geschieht in der Weise, daß der so übertragene Teil des Dokuments dem Eindringling keine nützliche Information vermittelt. Der Erfinder sieht einen sehr nützliche Algorithmus zur Auswahl darin, daß ein fester Anteil eines jeden Bytes genommen wird, das an den Empfänger übermittelt werden muß, etwa die Hälfte jedes Bytes, und daß nur dieser Teil jedes Bytes gesendet wird und der Rest zurückgehalten wird. Selbst im Besitz der Verschlüsselungskette kann der am Drucker vorhandene Teil des Dokuments nicht entschlüsselt werden. Dieses Merkmal senkt die Übertragungszeit, wenn das Drucken verlangt wird, gegenüber dem Fall, daß das Dokument ganz zurückgehalten wird, um einen Faktor von etwa zwei. Es ist möglich, andere Bruchteile des codierten Dokuments zurückzuhalten, und jede solche Auswahl stellt einen bestimmten Kompromiß dar. Die Aufteilung kann unter der Steuerung durch einen zusätzlichen Parameter geschehen, der die Aufteilung jedes speziellen Bytes (oder einer anderen Informationseinheit) scheinbar unvorhersagbar macht. In der Praxis kann ein der Verschlüsselungskette zugeordneter Algorithmus eine Bitkette produzieren, von der die Einsen die Übertragung steuern, während die Nullen das Zurückhalten eines Bits oder eines Bruchteils eines Bytes steuern. Ein nebenbei erreichter Vorteil des Zurückhaltens ist der geringere Speicherplatzbedarf am Drucker.
Noch eine weitere Variante beim Versenden des minimalen Tickets besteht darin, daß nur das Vorhandensein eines sicheren Dokuments an der Quelle signalisiert wird. In dem Fall wird jedes Dokument neben einer Verschlüsselungskette einen Identifizierungscode benötigen. Bei Aufruf einer Druckoperation muß am Drucker zunächst die Identifizierung vorgelegt werden. Die Abwesenheit des Dokuments an der Quelle wird vermerkt, um den Dokumentnamen weiter zu schützen, um den Preis, daß eine zusätzliche Interaktion zwischen Drucker und Quelle benötigt wird.
3 illustriert ein Dokumentenformat zum Gebrauch bei der Erfindung, effektiv als eine Bitkette dargestellt. Das Dokument beginnt links mit einem Kopf. Der erste Teil 50 bezieht sich auf die Organisation auf niedriger Ebene, etwa zur Kategorisierung eines Dokuments mit Verschlüsselung, der Dokumentgröße usw. Block 52 spezifiziert organisatorische Aspekte des Dokuments, etwa den Eigentümer und/oder den vorgesehenen Empfänger. Wie oben erörtert wurde, wird diese Information vorzugsweise nicht verschlüsselt. Block 54 gibt den Namen oder eine andere Identifizierung des Dokuments sowie weitere Informationen dieser Art an, die, wie oben erörtert wurde, vorzugsweise verschlüsselt ist. Block 56 enthält Abrechnungs- und Steuerungsinformation, die vorzugsweise nicht verschlüsselt wird, da sie zu einem anderen Zweck als dem eigentlichen Drucken dienen mag. Schließlich enthält der Block 58 die verschlüsselten Daten des eigentlichen Dokuments.
4 und 5 beziehen sich auf die Verschlüsselungsprozedur. 4 zeigt ein erstes Fenster 70 eines Druckertreibers, das auf dem Bildschirm der Workstation des Benutzers angezeigt wird, wobei die meisten Elemente zum Standard in einer "WINDOWS^®" Umgebung gehören. Insbesondere ist ein Sicherheitsfeld 71 gezeigt. Wenn keine Sicherheit gemäß der Erfindung erforderlich ist, kann der Benutzer Druckparameter wählen und auf "OK" klicken. Wenn Sicherheit verlangt wird, muß der Benutzer das Sicherheitsfeld 71 ankreuzen, und das Anzeigebild ändert sich gemäß 5. Hier ist ein zweites Fenster 72 gezeigt, das auf dem Bildschirm der Workstation des Benutzers angezeigt wird, nachdem das Sicherheitsfeld 71 in 4 angekreuzt wurde. Dieses fordert den Benutzer auf, das Feld für die Verschlüsselungskette auszufüllen und dann links ein lokales "OK" zu geben.
Wie weiter in 4 und 5 gezeigt ist, können verschiedene Druckparameter ausgewählt werden, etwa die Auswahl zwischen einseitig und doppelseitig, Heften oder nicht, Hinzufügen von Deckblättern auf dem Dokument, soeie Auswahl der Bildqualität, der Kopienanzahl und verschiedener anderer Parameter. Nun ist es aus Gründen der Übereinstimmung mit dem Stil des Unternehmens, der Wirtschaftlichkeit und verschiedenen anderen Gründen erwünscht, die Druckfunktionalität von Druckertreibern auf der Ebene individueller Benutzer durch zentralisierte Maßnahmen zu lenken. Im Kontext der vorliegenden Erfindung würde die vorgesehene Durchsetzung erzwungene Sicherheit und, z. B. eine minimale Länge der Verschlüsselungskette erfordern, doch Beispiele für andere Anwendungen wären: erzwungenes Duplex, erzwungene Mailbox, erzwungener Gebrauch bestimmter Schriftgrößen (größere Größe für sehbehinderte Personen erlaubt), völlige Außerbetriebsetzung des Druckertreibers, Nichtfreigabe des Druckens von Dateien, expliziter Dateiort für das Drucken in eine Datei, etwa in ein "hot directory", usw. Verschiedene Benutzer können einen größeren Bereich von Funktionalitäten und/oder Leistungsmerkmalen haben.
Eine besonders vorteilhafte Ausführungsform besteht darin, dem IT-Manager eine zentrale Datenbank an die Hand zu geben, die verschiedene Aspekte speichert, die den Druckertreiber für einen betreffenden Benutzer spezifizieren. Dies kann als ein regelbasiertes System implementiert werden, was die Komplexität der Interaktion für den IT-Manager beträchtlich verringert. Nun wird der Druckertreiber für jeden vorgelegten Druckauftrag oder periodisch, etwa jeden Morgen, Verbindung zu der Datenbank aufnehmen, um seine aktuelle Konfiguration zu überprüfen. Wenn sich der Treiber meldet, wird er seine Benutzerschnittstelle und Benutzerfunktionalität entsprechend den aktuellen Spezifikationen anpassen. Wenn der Server nicht erreicht werden kann, werden entweder die aktuellen Einstellungen des Druckertreibers als Voreinstellwerte benutzt, oder alternativ wird das Drucken einstweilen gesperrt. Der Vorteil dieser Ausführungsform ist, daß Berechtigungen in Echtzeit geändert werden können, ebenso wie nach festen Stunden- oder Tageszeitplänen oder bei augenblicklichen Notfällen. Die oben genannte Datenbank kann zentralisiert sein oder alternativ auf jedem Drucker oder an jedem Druckort repliziert werden.
Diese letztere Version kann auch den eigentlichen Drucker betreffen, insofern als dieser das aktuelle Auftragsticket auf Übereinstimmung mit den in der Datenbank definierten Berechtigungen prüft. Dadurch wird eine Strategie des IT-Managers durchgesetzt. Insbesondere wird der Drucker, wenn die Sicherheitsoption erzwungen ist, automatisch jede Druckdatei löschen, die nicht verschlüsselt ist.
Wenn die verschlüsselte Druckdatei am Ort des Druckers zum Drucken ausgewählt wird, so wird der Bearbeiter durch einen erzwungenen Dialog aufgefordert, die Entschlüsselungskette (die mit der Verschlüsselungskette identisch ist) an der Bedienungstafel einzugeben. Danach wendet der Drucker den Entschlüsselungsalgorithmus auf die Datei an, unter Verwendung der eingegebenen Kette, und wenn diese letztere richtig ist, so ist die entschlüsselte Datei brauchbar, und der Drucker kann sie drucken. Wenn jedoch die eingegebene Zeichenkette nicht korrekt ist, so ist die Datei nicht druckbar, und der Drucker wird dies auf dem lokalen Display anzeigen. Der Benutzer kann dann lokal löschen und es erneut versuchen oder das Drucken vollständig abbrechen.
Die gesamte Druckoperation gemäß der vorliegenden Ausführungsform, beginnend am Ort der Quelle oder Workstation, wird nun wie folgt zusammengefaßt:

– Der Benutzer will ein Dokument drucken (es wird angenommen, daß der Inhalt des Dokuments bereitliegt)
– Der Druckertreiber fragt nach Verschlüsselungskette, um das Dokument damit zu verschlüsseln
– Der Treiber verschlüsselt das Dokument und speichert es auf der lokalen Platte der Workstation
– Um anzuzeigen, daß ein sicherer Benutzerauftrag an der betreffenden Workstation wartet, sendet der Druckertreiber ein minimales Ticket an den ausgewählten Drucker, gegebenenfalls auch einen Teil des verschlüsselten Dokuments
– Der Benutzer geht zum Drucker, authentifiziert sich und ruft eine Liste seiner Aufträge auf
– Der Benutzer wählt den sicheren Auftrag aus; nur das durch seine IP-Adresse identifizierte Gerät, das das minimale Ticket empfangen hat, kann den Rest der Auftragsdaten abrufen
– Der Drucker deaktiviert "Operating System Swapping" und ist von nun an nur im (flüchtigen) Speicher aktiv; dies verhindert, daß eine nicht verschlüsselte Version des Dokuments oder ein Schlüssel in einer Swap-Datei auf der Platte erscheint
– Der Drucker holt den Rest der Auftragsdaten
– Der Drucker fordert den Benutzer auf, eine Entschlüsselungskette einzugeben
– Der Drucker entschlüsselt das Dokument in seinem Speicher und druckt das bereitliegende Dokument
– Der Drucker löscht das Dokument aus seinem Speicher und reaktiviert "Operating System Swapping".

In einer anderen Ausführungsform wird die benutzerdefinierte Zeichenkette, die zur Bildung der Verschlüsselungskette dient, nicht als solche durch den Benutzer eingegeben, sondern automatisch aus einem biometrischen Merk mal abgeleitet, etwa einem Netzhautscan oder Fingerabdruckscan des Benutzers. Sowohl die Workstation des Benutzers als auch der Drucker haben eine Einrichtung zur Messung des biometrischen Merkmals, etwa einen Fingerabdruckscanner (in der Zeichnung nicht gezeigt), der die biometrischen Daten mißt und analysiert und daraus eine Datenkette ableitet. Diese letztere dient dann zur Bildung des Verschlüsselungscodes.
Die Aufforderung, daß der Benutzer die Zeichenkette eingeben soll, wird durch eine Aufforderung ersetzt, das relevante biometrische Merkmal scannen zu lassen, etwa den Finger auf den Fingerabdruckscanner zu legen. Alternativ kann die Workstation das biometrische Merkmal des Benutzers (oder die darauf basierende Zeichenkette) im voraus an einen sicheren Platz speichern und für die Verschlüsselung verwenden.
Diese Ausführungsform hat den Vorteil, daß der Benutzer sich keine Zeichenkette zu merken braucht.
Die oben beschriebene sichere Prozedur kann auch vorteilhaft bei anderen auf Dokumente bezogenen Dateiübertragungen, etwa beim Scannen, eingesetzt werden. Allgemein erfolgt das Scannen in einem Netzwerksystem, wie es in 1 gezeigt ist, mit einem Scanner 5, 6 oder einem Scanmodul eines Mehrfunktionsgerätes 7, 8, und Scandaten werden dann über das Netzwerk 4 an eine vorgesehene Workstation 1, 2, 3 eines Benutzers übermittelt. Die Scandaten können auch zunächst in verschlüsselter Form in einem lokalen Datenspeicher abgelegt werden, der zu dem Scanner oder einem Server gehört, und dann von einer Workstation eines Benutzers aus abgerufen werden.
6 zeigt ein Blockdiagramm einer Prozedur gemäß einer Scanner-Ausführungsform der Erfindung. Ein physikalisches Dokument 122 wird auf die Bühne des Scanners oder in einen zugehörigen Dokumenteneinzug gelegt, und gleichzeitig wird an der Benutzerschnittstelle des Scanners eine Verschlüsselungskette 128 eingegeben. Dann scannt im Block 125 der Scanner das Dokument und verschlüsselt die durch den Abtastprozeß erzeugte Dokumentdatei umgehend mit Hilfe eines Verschlüsselungscodes, der auf der Verschlüsselungskette 128 beruht, in gleicher Weise wie oben für den Drucker beschrieben wurde. Das verschlüsselte Dokument wird im Scanner gespei chert (126) und an einen angegebenen Zielort, etwa die Workstation des Bearbeiters, übertragen (130).
Dann kann der vorgesehene Empfänger die Verschlüsselungskette 128 an der Benutzerschnittstelle des Entschlüsselungsmoduls 134 in der Workstation eingeben, und als Reaktion darauf wird die verschlüsselte Dokumentdatei in eine gebrauchsfertige Dokumentdatei 140 entschlüsselt (134).
In einer ersten Ausführungsform der obigen Scanner-Anwendung wird die verschlüsselte Scandatei von dem Scanner automatisch an die Ziel-Workstation übermittelt, die durch den Bediener des Scanners bei der Initialisierung des Scanauftrags spezifiziert wurde. Eine Voraussetzung ist bei dieser Ausführungsform, daß die Workstation in Betrieb ist und auf das Eintreffen der Scandatei wartet. Ein Vorteil besteht darin, daß die verschlüsselte Dokumentdatei sich nur für kurze Zeit im "öffentlichen" Raum befindet, weil sie sofort nachdem sie erzeugt wurde übertragen wird.
In einer zweiten Ausführungsform der Scanner-Anwendung wird die verschlüsselte Scandatei auf einer Festplatte des Scanners gespeichert, und sie wartet dort, bis sie von der Workstation aufgerufen wird. Netz-Anwendungen zur Verbindung einer Workstation mit einem Scanserver, zur Auswahl einer Datei im Speicher des Scanservers und zur Übertragung einer ausgewählten Datei über eine sichere Verbindung an die Zielworkstation sind weithin bekannt. Die übertragende Scandatei kann dann in der oben beschriebenen Weise entschlüsselt werden.
Nun ist die vorliegende Erfindung oben unter Bezugnahme auf bevorzugte Ausführungsformen derselben beschrieben worden. Der Fachmann wird erkennen, daß daran zahlreiche Modifikationen und Abwandlungen vorgenommen werden können, ohne daß der Rahmen der nachstehenden Ansprüche verlassen wird. Folglich sollten die Ausführungsformen nur als illustrativ betrachtet werden, und es sollten keine Beschränkungen daraus abgeleitet werden, sofern sie nicht in den Ansprüchen angegeben sind.

Claims

Verfahren zur sicheren Übertragung von digitalen Daten, die sich auf ein Dokument beziehen, zwischen einem Scanner, einem Drucker und/oder einem Host-Computer wie etwa einer Workstation eines Benutzers, die durch ein digitales Netzwerk verbunden sind, welches Verfahren die folgenden Schritte aufweist: an einer sendenden Station: – Erzeugen einer Dokumentdatei (22, 125) mit Hilfe einer Datenquelle (20), – Eingeben (28, 128) einer sitzungsspezifischen, benutzerdefinierten Zeichenkette durch einen Bearbeiter, – automatische Erstellung (26) eines Verschlüsselungscodes auf der Grundlage der benutzerdefinierten Zeichenkette (28), – Verschlüsseln (26, 125) der Dokumentdatei mit Hilfe des Verschlüsselungscodes, um eine verschlüsselte Dokumentdatei zu erzeugen, – Erstellen einer Übertragungsdatei, die die verschlüsselte Dokumentdatei (58) und unverschlüsselte Information (52, 56) enthält, die sich auf die Dokumentdatei bezieht, – Übertragen der Übertragungsdatei zu einer empfangenden Station: an der empfangenden Station: – Speichern (30, 130) der empfangenen Übertragungsdatei, – Eingeben (32) derselben benutzerdefinierten Zeichenkette (28, 128) durch einen Bearbeiter, – automatische Erstellung eines Entschlüsselungscodes auf der Grundlage dieser benutzerdefinierten Zeichenkette, – Entschlüsseln (34, 134) der verschlüsselten Dokumentdatei in eine entschlüsselte Dokumentdatei (40, 140) unter Verwendung des Entschlüsselungscodes, wobei das Verfahren dadurch gekennzeichnet ist, daß es weiterhin umfaßt: an der sendenden Station: – Erstellen einer zusätzlichen Datei, die für die Dokumentdatei relevante Metadaten, jedoch keinerlei Entschlüsselungshilfe enthält, wobei die zusätzliche Datei einen ersten Teil und einen zweiten Teil hat, Verschlüsseln nur eines der ersten und zweiten Teile der zusätzlichen Datei unter Verwendung des Verschlüsselungscodes, und – in dem Schritt der Erstellung einer Übertragungsdatei, Einbeziehen der zusätzlichen Datei in die Übertragungsdatei.
Verfahren nach Anspruch 1, bei dem der unverschlüsselte Teil der Übertragungsdatei Angaben (56) enthält, die für Abrechnungszwecke geeignet sind.
Verfahren nach Anspruch 1, bei dem der unverschlüsselte Teil der Übertragungsdatei Angaben (56) enthält, die zum Routen der Übertragungsdatei in einem Mehrdruckersystem geeignet sind.
Verfahren nach Anspruch 1, bei dem die sendende Station eine Übertragungsdatei in zwei Teile aufteilt und zunächst nur einen Teil der Übertragungsdatei an die empfangende Station übermittelt, und bei dem die empfangende Station bei Auswahl dieser Übertragungsdatei durch einen Bearbeiter eine Aufforderung zur Übertragung des verbleibenden Teils der Übertragungsdatei an die sendende Station sendet.
Verfahren nach Anspruch 4, bei dem die sendende Station die Übertragungsdatei mit Hilfe eines Aufteilungsalgorithmus aufteilt, der auf der Ebene eines elementaren Datenobjekts wie etwa eines Bit wirkt.
Verfahren nach Anspruch 4, bei dem die sendende Station die übertragenden Dateien scrambelt, etwa durch Blockpermutation.
Verfahren nach Anspruch 4, bei dem die sendende Station die Identität der anfragenden empfangenden Station prüft und den verlangten Teil der Übertragungsdatei nur dann überträgt, wenn die anfordernde Station autorisiert ist.
Verfahren nach Anspruch 1, bei dem die empfangene Station die Entschlüsselung der Übertragungsdatei und eine etwaige Verarbeitung der entschlüsselten Dokumentdatei nur in einem flüchtigen Speicher vornimmt.
Verfahren nach Anspruch 1, bei dem die empfangene Station ein Drucker ist, der eine lokale Benutzerschnittstelle zur Eingabe der Entschlüsselungskette durch einen Bearbeiter aufweist.
Verfahren nach Anspruch 9, bei dem der Drucker den nicht verschlüsselten Teil der Übertragungsdatei extrahiert und darin enthaltene Daten dazu nutzt, die betreffende Dokumentdatei auf seiner lokalen Benutzerschnittstelle zur Auswahl durch einen Bearbeiter für das Drucken zu präsentieren.
Verfahren nach Anspruch 9, bei dem die sendende Station einen Druckertreiber (70) mit einer optionalen Einstellung (71) für sichere Datenübertragung aufweist, welches Verfahren außerdem einschließt, daß etwaige wahlfreie Sicherheitseinstellungen von einer zentralen Stelle in dem Netzwerk aus übersteuert werden, so daß die sichere Datenübertragung zwangsweise ausgewählt wird.
Verfahren nach Anspruch 9, bei dem die sendende Station zunächst nur den nicht verschlüsselten Teil der Übertragungsdatei an den Drucker sendet, die empfangende Station Daten, die in dem nicht verschlüsselten Teil enthalten sind, dazu verwendet, die betreffende Dokumentdatei auf ihrer lokalen Benutzerschnittstelle zur Auswahl durch einen Bediener für die weitere Verarbeitung zu präsentieren, und bei dem die empfangende Station bei Auswahl einer Dokumentdatei durch einen Bediener eine Anforderung zur Übertragung des Rests der Übertragungsdatei an die sendende Station sendet.
Verfahren nach Anspruch 1, bei dem die sendende Station ein Scanner ist, der eine lokale Benutzerschnittstelle aufweist, und bei dem sie vor dem Scanprozeß einen Bearbeiter auffordert, eine Verschlüsselungskette einzugeben.
System mit wenigstens zwei Bildverarbeitungseinrichtungen, etwa einem Scanner (5, 6), einem Drucker (7, 8) oder einem Host-Computer wie etwa ei ner Workstation (1, 2, 3) eines Benutzers, die für eine sichere Übertragung von auf ein Dokument bezogenen digitalen Daten zwischen ihnen ausgebildet sind, welches System aufweist: eine sendende Station mit: – einer Benutzerschnittstelle (10, 1, 2, 3) zur Eingabe einer sitzungsspezifischen, benutzerdefinierten Zeichenkette durch einen Bearbeiter, – einem Schlüsselgenerator zur automatischen Erstellung eines Verschlüsselungscodes auf der Grundlage der benutzerdefinierten Zeichenkette, – einem Verschlüsselungsmodul zur Verschlüsselung einer Dokumentdatei zur Erzeugung einer verschlüsselten Dokumentdatei unter Verwendung des Verschlüsselungscodes, – einem Dateigenerator zur Erzeugung einer Übertragungsdatei, welche die verschlüsselte Dokumentdatei und unverschlüsselte Information enthält, die sich auf die Dokumentdatei bezieht, – einem Sender zur Übermittlung der Übertragungsdatei zu einer empfangenden Station; und eine empfangende Station mit: – einem Empfänger zum Empfang einer Übertragungsdatei von der sendenden Station, – einer Speichereinheit zur Speicherung einer empfangenen Übertragungsdatei, – einer Benutzerschnittstelle für die Angabe einer benutzerdefinierten Zeichenkette durch einen Bearbeiter, – einem zweiten Schlüsselgenerator zur automatischen Erzeugung eines Entschlüsselungscodes auf der Grundlage der benutzerdefinierten Zeichenkette, – einem Entschlüsselungsmodul zum Entschlüsseln der verschlüsselten Dokumentdatei in eine entschlüsselte Dokumentdatei unter Verwendung des Entschlüsselungscodes, dadurch gekennzeichnet, daß die sendende Station weiterhin aufweist: – ein Modul zum Erstellen einer zusätzlichen Datei, die für das Dokument relevante Metadaten jedoch keinerlei Entschlüsselungshilfen enthält, welche zusätzliche Datei einen ersten Teil und einen zweiten Teil aufweist, und daß das Verschlüsselungsmodul auch nur einen der ersten und zweiten Teile der zusätzlichen Datei unter Verwendung des Verschlüsselungscodes verschlüsselt und der Dateigenerator die zusätzliche Datei in der Übertragungsdatei erzeugt.
System nach Anspruch 14, bei dem die sendende Station einen Dateiteiler zum Aufteilen der Übertragungsdatei in zwei Teile aufweist und der Sender zunächst nur einen Teil der Übertragungsdatei an die empfangende Station sendet, wobei die empfangende Station eine Anfrageeinrichtung aufweist, die bei Auswahl einer Übertragungsdatei durch einen Benutzer an der Benutzerschnittstelle der empfangenen Station eine Aufforderung zum Übermitteln des verbleibenden Teils der Übertragungsdatei an die sendende Station sendet.
System nach Anspruch 14, bei dem das Entschlüsselungsmodul und jegliches Modul in der empfangenen Station, das für die Verarbeitung der entschlüsselten Dokumentdatei vorgesehen ist, nur in einem flüchtigen Speicher arbeitet.
System nach einem der Ansprüche 14 bis 16, bei dem die empfangende Station ein Drucker (7, 8) ist.
System nach einem der Ansprüche 14 bis 16, bei dem die empfangende Station ein Mehrdruckersystem ist.
System nach Anspruch 17 oder 18, bei dem die sendende Station einen Druckertreiber aufweist, der dazu programmiert werden kann, keine andere Wahl zu lassen als die sichere Übertragung für die Übermittlung von Druckdaten an die empfangende Station zu wählen.
System nach einem der Ansprüche 14 bis 16, bei dem die sendende Station ein Scanner (5, 6, 7, 8) ist.