-
Die
Erfindung betrifft ein Verfahren zum sicheren Übertragen von digitalen Daten,
die sich auf ein Dokument beziehen, zwischen einem Scanner, einem
Drucker und/oder einem Host-Computer wie etwa einer Workstation
eines Benutzers, die durch ein digitales Netzwerk verbunden sind.
-
Insbesondere
bezieht sich die Erfindung auf ein Verfahren, das die folgenden
Schritte umfaßt:
an
einer sendenden Station:
- – Erzeugen einer Dokumentdatei
durch eine Datenquelle,
- – Eingabe
einer sitzungsspezifischen, benutzerdefinierten Zeichenkette durch
einen Bearbeiter,
- – automatische
Erstellung eines Verschlüsselungscodes
auf der Grundlage der benutzerdefinierten Zeichenkette,
- – Verschlüsseln der
Dokumentdatei zur Erzeugung einer verschlüsselten Dokumentdatei unter Verwendung
des Verschlüsselungscodes,
- – Erstellen
einer Übertragungsdatei,
die das verschlüsselte
Dokument und unverschlüsselte
Information in bezug auf die Dokumentdatei enthält,
- – Übermitteln
der Übertragungsdatei
zu einer empfangenden Station;
an der empfangenden Station: - – Speichern
der empfangenen Übertragungsdateien,
- – Eingabe
derselben benutzerdefinierten Zeichenkette durch einen Bearbeiter,
- – automatische
Erstellung eines Entschlüsselungscodes
auf der Grundlage der benutzerdefinierten Zeichenkette,
- – Entschlüsseln der
verschlüsselten
Dokumentdatei in eine entschlüsselte
Dokumentdatei unter Verwendung des Entschlüsselungscodes.
-
HINTERGRUND DER ERFINDUNG
-
Heutzutage
muß das
Erzeugen und Drucken von Dokumenten zahlreichen unterschiedlichen
Sicherheitsniveaus genügen.
Weiterhin existieren zum Drucken verschiedene Organisationsformen
und Konfigurationen, bei denen zwischen der Erzeugung des Dokuments
und dem eigentlichen Drucken desselben sowohl ein zeitlicher als
auch ein räumlicher Abstand
liegen kann. Solche Abstände
haben verschiedene Aspekte, z. B.: ein Dokument wird zu hause erstellt,
und das Internet wird zur Übertragung
in das Büro
oder zum Drucken im Büro
benutzt; ein Dokument wird zusammenstellt und dann in eine Druckerschlange
in einer Mailbox eines gemeinsam genutzten Druckers wie z. B. Ocè 3165TM eingestellt, etwa durch Speichern auf
einer darin enthaltenen Festplatte; die elektronische Version eines
gedruckten Dokuments wird nach dem eigentlichen Drucken desselben
für eine
gewisse Zeitspanne, etwa für
vierundzwanzig Stunden, in einer mehr oder weniger frei zugänglichen
Zwischenspeichereinrichtung gespeichert gehalten; und verschiedenes
mehr.
-
Der
Erfinder hat ein Bedürfnis
nach erhöhter Sicherheit
erkannt, so daß ein
nicht autorisierter Zugriff auf klassifizierte oder in sonstiger
Weise sensistive druckbereite Information minimiert werden sollte, während die
Benutzerfreundlichkeit so weit wie möglich erhalten bleibt. Auch
andere Formen der Übertragung
von Daten, insbesondere von Daten, die sich auf ein Dokument beziehen,
wie etwa Abtastdateien, die durch Abtasten eines Dokuments erzeugt
werden, und Dokumentdateien zur Speicherung in einer Datenbank,
müssen
sicher sein, damit Abhörer
daran gehindert werden, Zugriff auf den Inhalt bestimmter geheimer
oder vertraulicher Dokumente zu erhalten.
-
Insbesondere
beschreibt
EP Al 0 929 023 einen
Ansatz zum sicheren Drucken, bei dem ein Dokument mit einem Sitzungsschlüssel in Übereinstimmung
mit einem Massenverschlüsselungsalgorithmus
verschlüsselt
wird und weiterhin der Sitzungsschlüssel mit dem öffentlichen
Schlüssel
(PUK) des vorgesehenen Empfängers
verschlüsselt
wird. Der vollständige
Druckauftrag wird dann an eine Dokumentverwaltungseinrichtung übermittelt.
Der Empfänger
wird eine sogenannte Smart Card, die seinen privaten Schlüssel (PRK)
enthält,
dazu benutzen, sich für
den Drucker zu authentifizieren, und der Drucker erkennt die Identität anhand
der Karte und sucht nach Dokumenten, die für den Empfänger bestimmt sind; diese werden
dann von der Dokumentverwaltungseinrichtung zu dem sicheren Drucker
gesendet, der zunächst
mit Hilfe des PRK des Empfängers
den Sitzungsschlüssel
entschlüsselt
und dann den entschlüsselten
Sitzungsschlüssel
dazu benutzt, das Dokument zu entschlüsseln und zu drucken.
-
Obgleich
dieses bekannte Verfahren ein gewisses Maß an Sicherheit bietet, ist
es noch durch spezielle codebrechende Techniken verletzlich. Die übermittel te
verschlüsselte
Dokumentdatei enthält immer
noch Information, die zur Entschlüsselung verwendet werden kann.
Insbesondere kann der verschlüsselte
Sitzungsschlüssel
aus der übertragenen Datei
extrahiert werden und, da er relativ kurz ist, durch einen massiven
Angriff nach dem Prinzip von Versuch und Irrtum entschlüsselt werden.
-
Außerdem ist
es auf der Ebene eines individuellen Dokuments weniger flexibel.
Zum Beispiel muß der
Empfänger
eine Smart Card besitzen, was den physikalischen Transport derselben
voraussetzt, doch andererseits wird der Empfänger dann in der Lage sein,
alle Dokumente zu sehen, die für
den angenommenen Inhaber der Karte bestimmt sind. Die Fundstelle
sorgt nicht für
den individuellen Zugriff auf nur ein Dokument. Außerdem muß der Absender
vor der Übertragung
des Dokuments die Identität
des vorgesehenen Empfängers
kennen, was nicht immer realisierbar ist.
-
Weiterhin
beschreibt
WO 02/41133 ein
Druckersystem mit einer Quelle für
Druckaufträge,
etwa einen Benutzer-PC einschließlich Druckertreiber, einem
Spoolingserver und einem Drucker mit einer Abfrageeinrichtung (Polling).
Druckaufträge
werden an der Quelle verschlüsselt,
mit Hilfe eines Verschlüsselungscodes,
der auf benutzerspezifischen Daten basiert, und dann an den Spoolingserver übermittelt.
Im Spoolingserver wird der Druckauftrag entschlüsselt und gespeichert. Die
Abfrageeinrichtung in dem Drucker kann dann den Spoolingserver nach
etwaigen Aufträgen
fragen, die für
den Drucker bestimmt sind. Wenn ein solcher Druckauftrag im Spoolingserver vorhanden
ist, verschlüsselt
dieser letztere den Druckauftrag wieder mit demselben Schlüssel und sendet
den Auftrag an die Abfrageeinrichtung des Druckers, wo ein Benutzer
dieselben benutzerspezifischen Daten eingeben muß. Auf der Grundlage dieser
Daten erzeugt die Abfrageeinrichtung einen Schlüssel, entschlüsselt den
Druckauftrag und leitet ihn an den Drucker weiter.
-
Gemäß dieser
Veröffentlichung
wird der Druckauftrag vollständig
verschlüsselt,
und er wird somit zu einem nicht erkennbaren Datenblock. Er kann
daher nur von einem System behandelt werden, das im voraus weiß, worum
es sich handelt, wie etwa bei Punkt-zu-Punkt-Übertragungen, oder das ihn
entschlüsselt,
um mehr Information zu erhalten. Die Zwischenentschlüsselungen
verringern jedoch die Sicherheit des Auftrags und sollten deshalb
vermieden werden.
-
Ebenso
beschreibt
US 2002/0078351
A1 ein System, bei dem eine Datei für eine Punkt-zu-Punkt-Übertragung
verschlüsselt
wird, mit Hilfe eines Schlüssels,
der sowohl auf der Absenderseite als auch auf der Empfängerseite
eingegeben wird. Die Datei selbst kann nicht mehr erkannt werden,
nachdem sie einmal verschlüsselt
worden ist.
-
Dieses
letztere Problem wird zum Teil durch ein Verfahren gelöst, das
in
US 2002/0184494
A1 beschrieben wird, bei dem eine verschlüsselte Datei
mit einer Kennung an eine vorgesehene Zielstation übermittelt
wird, sowie auch ein Flag oder Verschlüsselungsschlüssel oder
-code, der nur von der Zieleinrichtung erkannt werden wird. Beim
Empfang der verschlüsselten
Dateien bewertet die Zielstation den Verschlüsselungsschlüssel oder
-code, und sie führt auf
dieser Grundlage den angemessenen Entschlüsselungsalgorithmus aus. Ein
bei dieser Lösung
verbleibendes Problem besteht darin, daß die verschlüsselte Datei
nur von der Zielstation erkannt werden kann, so daß sie nicht
von Servern oder Routern behandelt werden kann.
-
Weiterhin
beschreibt
EP 1 045
574 A1 , die als nächstliegender
Stand der Technik angesehen wird, eine sichere Fax-Übertragung,
bei der ein zu übertragendes
Dokument gescannt und mit Hilfe eines von dem Benutzer eingegebenen
Codes verschlüsselt
wird. Dann wird die verschlüsselte
Datei gemäß einem
standardmäßigen Faxprotokoll übertragen,
zusammen mit einem unverschlüsselten Kopf,
der zumindest einen vorgesehenen Empfänger spezifiziert. Bei Empfang
an der Zielstation kann das Fax gedruckt oder zumindest an einem
Computerbildschirm betrachtet werden, so daß der Kopf gelesen werden kann.
Auf der Grundlage der Information in dem Kopf kann das Fax an den
Empfänger
ausgegeben werden, der den Entschlüsselungscode kennt. Die Information
im Kopf ist jedoch nur für
menschliche Bearbeiter nutzbar.
-
KURZDARSTELLUNG DER ERFINDUNG
-
Folglich
ist es unter anderem eine Aufgabe der vorliegenden Erfindung, das
Sicherheitsniveau des im Oberbegriff angegebenen Schemas zu verbessern.
Außerdem
soll die Erfindung einen gut ausbalancierten Ansatz schaffen, der
einen Mittelweg zwischen ungehinderten Zugriffs- und Dokumentverwal tungsfunktionen
auf der einen Seite und einem hohen Sicherheitsniveau auf der anderen
Seite darstellt.
-
Deshalb
ist die Erfindung gemäß einem
ihrer Aspekte dadurch gekennzeichnet, daß sie weiterhin umfaßt:
an
der sendenden Station:
- – Erstellen einer zusätzlichen
Datei, die Metadaten enthält,
die für
die Dokumentdatei relevant sind aber keinerlei Entschlüsselungshilfe
enthalten, welche zusätzliche
Datei einen ersten Teil und einen zweiten Teil hat,
- – Verschlüsseln nur
eines der ersten und zweiten Teile der zusätzlichen Datei unter Verwendung des
Verschlüsselungscodes,
und
- – in
dem Schritt der Erstellung einer Übertragungsdatei, Einbinden
der zusätzlichen
Datei in die Übertragungsdatei.
-
Während bei
dem bekannten Stand der Technik bei den verschlüsselten Dateien um Datenblöcke handelt,
die sehr wenig Information enthalten, die für das System nutzbar wäre, handelt
es sich folglich gemäß der vorliegenden
Erfindung um Daten, die anhand der spezifizierenden unverschlüsselten
Metadaten, die lesbar bleiben und für die Behandlung benutzt werden
können,
wesentlich besser erkennbar sind. Beispiele für solche spezifizierenden Angaben
können
der Name des Eigentümers,
der Name des Empfängers,
die Kopienanzahl, die Anzahl von Seiten sein.
-
Solche
Information mag tatsächlich
vor dem eigentlichen Drucken benutzt werden, etwa zu Abrechnung
oder zu Kontrollzwecken, etwa für
das Routing in einem Mehrdruckersystem oder gegebenenfalls das Routing
zu einer Reproabteilung.
-
Sie
kann auch bei einem sogenannten interaktiven Drucken verwendet werden,
wie es z. B. in der Ocè 3165TM implementiert ist, bei dem Druckdateien
niemals sofort bei Empfang an dem Drucker gedruckt werden, sondern
vielmehr in einem dem Eigentümer
des Druckauftrags zugeordneten logischen Speicherplatz im Speicher
des Druckers gespeichert werden und einem lokalen Bearbeiter zur
Auswahl angeboten und anschließend
gedruckt werden. Ein Benutzer kann sich zu dem Drucker begeben,
auf dem lokalen Display eine Liste von Druckaufträgen aufrufen,
die er gesendet hat, und einen oder mehrere davon auswählen. Dann,
nach Betätigung
der PRINT Taste auf der Bedienungstafel, werden die Aufträge gedruckt.
Normalerweise werden beim interaktiven Drucken in der angezeigten
Liste die Auftragsnamen angegeben.
-
In
der Ausführungsform
der vorliegenden Erfindung sollte jedoch der Name des Auftrags vorzugsweise
nicht in unverschlüsselter
Form im Dateikopf auftreten, da dies einem unerwünschten Dritten eine erste
nützliche
Menge an Information bieten würde.
Als eine Alternative kann deshalb der Name des Auftrags entweder
durch den Eigentümer
selbst oder durch den Druckertreiber in eine nicht sinntragende
Zeichenkette oder einen Datums- und Zeitstempel geändert werden.
-
In
einer weiteren Ausführungsform
teilt die sendende Station die Übertragungsdatei
in zwei Teile auf und überträgt zunächst nur
einen Teil der Übertragungsdatei
an die empfangende Station, und die empfangende Station sendet,
nachdem ein Bearbeiter diese Übertragungsdatei
ausgewählt
hat, eine Aufforderung zum Übermitteln
des verbleibenden Teils der Übertragungsdatei
an die sendende Station.
-
Zum
Beispiel kann die Aufteilung zwischen der Information im Kopf und
dem Rest der Datei erfolgen, oder sie kann sich durch die gesamte
Datei hindurchziehen, indem ein fester Anteil jedes Bytes, das an
den Empfänger
gelangen muß,
etwa die erste Hälfte
jedes Bytes, genommen wird und nur dieser Teil jedes Bytes gesendet
wird, während
der Rest zurückgehalten
wird.
-
Die
Erfindung bezieht sich auch auf ein Verfahren zur sicheren Übertragung
von anderen Dateien als Druckdateien, etwa von Abtastdateien, für die Speicherung
an, z. B., der Workstation des Benutzers. Weiterhin bezieht sich
die Erfindung auf ein System von Datenverarbeitungseinrichtungen,
das für
eine sichere Übertragung
von digitalen Daten, die sich auf ein Dokument beziehen, zwischen
diesen Einrichtungen ausgebildet ist.
-
Weitere
vorteilhafte Aspekte der Erfindung sind in den abhängigen Ansprüchen angegeben.
-
KURZBESCHREIBUNG DER ZEICHNUNG
-
Diese
und weitere Merkmale, Aspekte und Vorteile der Erfindung werden
nachstehend im Zusammenhang mit der Darstellung bevorzugter Ausführungsformen
der Erfindung näher
erörtert,
insbesondere unter Bezugnahme auf die beigefügten Zeichnungen, in denen
zeigen:
-
1 ein
Diagramm eines Netzwerksystems mit Druckern, Scannern und Workstations;
-
2 ein
Blockdiagramm einer Prozedur gemäß einer
Drucker-Ausführungsform
der Erfindung;
-
3 ein
Dokumentformat zum Gebrauch bei der Erfindung;
-
4 ein
erstes Bildschirmbild, das an einem vorgesehenen Druckersystem angezeigt
wird;
-
5 ein
zweites Bildschirmbild, das an einem vorgesehenen Druckersystem
angezeigt wird;
-
6 ein
Blockdiagramm einer Prozedur gemäß einer
Scanner-Ausführungsform
der Erfindung.
-
DETAILLIERTE BESCHREIBUNG
VON BEVORZUGTEN AUSFÜHRUNGSFORMEN
-
1 ist
ein Diagramm eines Netzwerksystems mit Druckern, Scannern und Workstations.
Das System umfaßt
mehrere Workstations 1, 2 und 3 für Benutzer,
mehrere Scanner 5, 6 und einen oder mehrere Drucker 7, 8.
Die Scanner und Drucker haben ihre eigenen Bedienungseinheiten (nicht
gesondert gezeigt), die mit Bedienungseinrichtungen 10,
wie etwa Tasten 12, 13, 14 und einem
Display 11 ausgerüstet
sind, möglicherweise
in der Form einer externen Bediener-Steuereinheit 6A wie
etwa eines PCs. Wenn die Drucker eigentlich mehrfunktionale digitale Kopiermaschinen
(7, 8) sind, so können die Scanner dieser Maschinen
auch als separate Scaneinrichtungen benutzt werden. All diese Elemente
sind durch ein lokales Netzwerk 4 verbunden, an das sie
angeschlossen sind.
-
2 zeigt
ein Blockdiagramm einer Prozedur gemäß einer Drucker-Ausführungsform
der vorliegenden Erfindung. Eine Quelle 20 für Dokumente kann
für irgendeine
geeignete erzeugende Tätigkeit stehen,
wie etwa Maschineschreiben, Zeichnen, Aufnahme von Bildern, und
andere. Das so erzeugte Dokument 22 wird an den Druckertreiber 24 weitergeleitet.
Bei diesem handelt es sich allgemein um ein Softwaremodul, das sich
an der Quelle für
das Dokument befindet, etwa dem Personal Computer oder der Workstation
(1, 2, 3) des Urhebers. In der betrachteten
Konfiguration ist der Druckertreiber 24 mit einer Verschlüsselungsprozedur 26 verknüpft, die
einen Verschlüsselungscode 28 zur
Implementierung der eigentlichen Verschlüsselung benutzt. Verschiedene Prozeduren
dieser Art sind weithin in Gebrauch, beispielsweise DES, RSA und
andere. Der Verschlüsselungscode
ist sitzungsspezifisch und basiert auf einer Verschlüsselungskette,
die von dem Bearbeiter in den Druckertreiber eingegeben wird, wie
nachstehend erläutert
werden wird.
-
Die
Quelle, etwa der Personal-Computer des Benutzers, wird im allgemeinen
als hinreichend sicher für
die Speicherung der verschlüsselten
Version des Dokuments angesehen. Es ist zu bemerken, daß dort auch
eine unverschlüsselte
Version vorhanden sein kann. Der betreffende PC wird in gewisser
Weise eher verletzlich sein, wenn er einen offenen Kommunikationsport
aufweist. Eine andere Variante kann den verschlüsselten Auftrag plus Ticket
auf einem spezialisierten Server haben.
-
Außer den
Druckdaten, die im allgemeinen vollständig verschlüsselt werden,
wird ein Dokument gewöhnlich
sogenannte Metadaten enthalten, die eine gewisse Beschreibung des
Dokuments oder der vorgesehenen Verwendung repräsentieren und in dem enthalten
sind, was umgangssprachlich als der Kopf des Dokuments bezeichnet
wird. Zum Beispiel enthält
der Kopf den Namen des Eigentümers
und des vorgesehenen Benutzers (dieser mag auch derselbe sein) in
unverschlüsselter
Form, doch enthält
er keinerlei Information über
die eigentliche Verschlüsselungskette,
weder verschlüsselt
noch im Klartext.
-
Vorzugsweise
ist der eigentliche Verschlüsselungscode,
der von dem Verschlüsselungsalgorithmus
verwendet wird, eine Funktion der vom Bearbeiter eingegebenen Verschlüsselungskette.
Eine elementare Ausführungsform
einer solchen Funktion arbeitet mit Verkettung der eingegebenen
Verschlüsselungskette
mit einer Standard-Zeichenkette, doch sind für diesen Zweck auch komplexere
Funktionen realisierbar. Dieses letztere Merkmal impliziert, daß die Eingabe
einer Schein-Verschlüsselungskette oder
selbst das Fortlassen derselben nichtsdestoweniger sicherstellt,
daß keine
unverschlüsselten
Daten übertragen
werden.
-
Nun
können
verschiedene Felder in dem Ticket oder Kopf des Auftrags ebenfalls
verschlüsselt werden,
doch sollten gewisse spezifizierende Felder des Kopfes besser im
Klartext verbleiben, etwa solche, die die Anzahl der Kopien bzw.
Seiten des Dokuments spezifizieren und die effektiv vor dem eigentlichen
Drucken verwendet werden können,
etwa zur Abrechnung oder für
andere Steuerungszwecke, etwa zum Routing in einem Mehrdruckersystem.
Solche Abrechnungsfunktionen können
auf einem Zwischenserver ausgeführt
werden, der in 2 nicht gezeigt ist. Das oben
erwähnte
Routing kann das Routing zu einer (möglicherweise) externen Reproabteilung
einschließen.
Auch der Name des Eigentümers
bliebe im Klartext.
-
Die
unverschlüsselten
Bestandteile des Kopfes können
auch beim sogenannten interaktiven Drucken verwendet werden, wie
es z. B. in der Ocè 3165TM implementiert ist, bei dem Druckdateien
niemals sofort bei Empfang an den Drucker gedruckt werden, sondern
vielmehr in einem dem Eigentümer des
Druckauftrages zugewiesen logischen Speicherplatz im Speicher des
Druckers gespeichert werden und einem lokalen Bearbeiter zur Auswahl
angeboten und anschließend
gedruckt werden. Ein Benutzer kann sich zu dem Drucker begeben,
auf dem lokalen Display eine Liste der von ihm gesendeten Druckaufträge aufrufen
und einen oder mehrere von ihnen auswählen. Dann werden diese Aufträge nach
Betätigung
der PRINT Taste auf der Bedienungstafel gedruckt.
-
Normalerweise
werden beim interaktiven Drucken in der angezeigten Liste die Auftragsnamen angegeben.
In der vorliegenden Erfindung sollte jedoch der Name des Auftrags
vorzugsweise nicht in unverschlüsselter
Form im Kopf der Datei enthalten sein, da dies einem unerwünschten
Dritten eine erste Menge an nützlicher
Information bieten würde.
Als eine Alternative kann deshalb der Name des Auftrags entweder
durch den Eigentümer
selbst oder durch den Druckertreiber in eine nicht sinntragende
Zeichenkette oder einen Datums- und
Zeitstempel geändert
werden.
-
Gemäß einer
ersten Ausführungsform
wird der Auftrag mit der obigen Funktion des Verschlüsselungscodes
(basierend auf der vom Benutzer eingegebenen Verschlüsselungskette)
verschlüsselt
(26) und anschließend
zu der Mailbox des Druckers übertragen.
Im Drucker wird der Name des vorgesehenen Benutzers aus dem Dokument
extrahiert, das in die Mailbox 30 des Druckers geladen
wurde, etwa für eine
Meldung in der persönlichen
Mailbox des Adressaten (nicht besonders gezeigt). Für das eigentliche Drucken
aktiviert der Benutzer die Mailbox mit einem geeigneten Steuerzeichen 32,
um das Dokument auszuwählen,
und er gibt auf Anforderung über
einen erzwungenen Dialog eine Entschlüsselungskette in ein Entschlüsselungsmodul
ein. Wie durch die Linie 29 angegeben wird, ist die Entschlüsselungskette
mit der im Verschlüsselungsschritt 26 benutzten
Verschlüsselungskette
identisch. Das Entschlüsselungsmodul
des Druckers verfügt über Information über den
Algorithmus zur Erstellung des Verschlüsselungscodes auf der Basis
der vom Benutzer eingegebenen Verschlüsselungskette, wie er im Druckertreiber
benutzt wird, und erstellt entsprechend einen Entschlüsselungscode.
-
Die Übermittlung
der Entschlüsselungskette kann
auf irgendeine geeignete Weise geschehen, etwa dadurch, daß sie vom
Eigentümer
mitgeführt wird,
oder über
irgendeine brauchbare Kommunikation außerhalb der Verbindung 27,
etwa über
die gestrichelte Verbindung 29. Wie gezeigt, ist die Beziehung
zwischen der Ver- und Entschlüsselungskette insofern
unmittelbar, als kein physikalischer Zwischenträger wie etwa eine Smart Card
notwendig ist, was den Vorteil hat, daß Druckdateien mit anderen Personen
geteilt werden können,
indem ihnen einfach die Ver- und Entschlüsselungskette mitgeteilt wird.
Ebensowenig ist ein zeitlicher Puffer wie etwa eine organisatorische
Verzögerung
zwischen dem Entschlüsseln
und dem Drucken vorhanden, abgesehen von der Zeit für die Druckoperation
selbst.
-
Der
eigentliche Netzwerktransport der verschlüsselten Datei kann durch Permutation
von Datenblöcken
geschehen, etwa durch Hashing der Verschlüsselungskette und gegebenenfalls
des Datums und der Zeit. Weiterhin können Schein-Datenblöcke in einer
pseudo-zufälligen
Weise in den Datenstrom eingefügt
werden. Die Anfangsgröße für den Pseudo-Zufallsgenerator
kann auf der Verschlüsselungskette
und/oder dem Datum und der Zeit basieren. Folgliche müßte ein
Abhörer
zunächst
die Datensequenz korrigieren, bevor er sich an die Entschlüsselung
macht, was die Datensicherheit beträchtlich erhöht.
-
Sofort
nach der Entschlüsselung
wird das Dokument gedruckt (38) und wird somit als Hartkopie 40 verfügbar. Wenn
die falsche Entschlüsselungskette
eingegeben würde,
so würde
die Druckprozedur nur "Müll" produzieren, sofern
die Datei überhaupt noch
druckbar wären,
doch wird die Entschlüsselungskette
selbst dennoch nicht geprüft.
Folglich ist der gesamte Weg von der Erstellung des Dokuments bis
zum tatsächlichen
Drucken durch Verschlüsselung
geschützt,
und es bleibt kein längeres
Zeitfenster, in dem die Daten der mißbräuchlichen Untersuchung durch
einen unerwünschten
Dritten ausgesetzt sind. Bei anderen bekannten Organisationsformen
könnte
eine solche Aussetzung in der Tat mehrere Stunden dauern, doch selbst
einige Sekunden könnten
bereits die Sicherheit untergraben.
-
In
einer speziellen Ausführungsform
kann das Auftragsticket eine verschlüsselte Codesequenz oder "Signatur" enthalten, die mit
demselben Verschlüsselungsalgorithmus
verschlüsselt
ist, so daß sich
schneller prüfen
läßt, ob die
eingegebene Entschlüsselungskette
richtig ist. Auf diese Weise braucht nur ein kleiner Teil der Datei
entschlüsselt
zu werden, um auf dieser Grundlage festzustellen, daß "Müll" produziert wird, statt die Masse des
Dokuments zu entschlüsseln.
Natürlich
wird eine angemessene Diversifizierung der Signatur, etwa zwischen
verschiedenen Bestimmungsorten oder Kunden, die Sicherheit verbessern.
Die Größe der Signatursequenz
kann im Bereich von 0,1 bis 1 Kilobyte liegen und ist somit beträchtlich
kleiner als die Druckdatei selbst.
-
Das
obige Ergebnis "läßt sich
nicht drucken" könnte auch
irgendeine andere Ursache haben als die Eingabe einer falschen Entschlüsselungskette, oder
die Entschlüsselungskette
könnte
aufgrund eines Versehens fehlerhaft sein. Ein bestimmter Schwellenwert
der Anzahl von fehlgeschlagenen Versuchen könnte jedoch einen versuchten
Mißbrauch
anzeigen. Wenn die Anzahl von "Fehlschlägen" einen vordefinierten
Schwellenwert übersteigt, wird
deshalb das Dokument automatisch aus dem Speicher des Druckers gelöscht. Dieser Schwellenwert
kann einstellbar sein, und bestimmte oder alle fehlgeschlagenen
Druckversuche können
aufgezeichnet und/oder gemeldet werden.
-
Neben
den Vorteilen der Erfindung, die bereits erörtert wurden, können auch
die folgenden Vorteile genannt werden. Das Dokument bleibt bis unmittelbar
vor dem Drucken verschlüsselt.
Selbst wenn die Festplatte des Druckers physikalisch entfernt wird,
würde dies
deshalb die Sicherheit nicht verletzen. Der Druckauftrag kann zum
Drucken auch ohne Risiko an einen anderen Ort als den ursprünglich vorgesehen
(um)geleitet werden. Neben den oben erörterten Merkmalen kann die
Anwendung von sogenannten "secure
sockets" (Sicherheitskapseln)
eine weitere Verteidigungslinie gegen Verletzer bilden.
-
Gemäß einer
zweiten Ausführungsform
der vorliegenden Erfindung wird über
das oben erörterte Sicherheitsmaß hinaus
noch ein erhöhter
Grad an Sicherheit erreicht, indem die Übertragung der verschlüsselten
Druckdaten eines Druckauftrags zumindest zum Teil verzögert wird,
bis ein wirklicher Druckbefehl empfangen wird. Mit Vorteil wird
statt dessen ein minimales Ticket übertragen, das nur den Benutzernamen
und eine gewisse Identifizierung für das Dokument enthält. Erst
wenn sich der Benutzer am Drucker meldet und den Auftrag auswählt, werden die
eigentlichen Dokumentdaten und der Rest des Tickets abgerufen. Dadurch
wird das Zeitintervall, während
dem das Dokument außerhalb
der gesicherten Umgebung verbleibt, weiter minimiert. Außerdem wird
das Dokument nicht dauerhaft am Drucker gespeichert, wenn das eigentliche
Drucken aus irgendeinem Grund ausbleibt. Ein geringfügiger Nachteil
dieser Vorgehensweise besteht allerdings darin, daß die Übertragung
des Dokuments das Drucken nach dem Empfang des Druckbefehls etwas
verzögern
wird.
-
Ein
Variante der obigen "Just
In Time" Prozedur
besteht darin, daß nur
ein Bruchteil, etwa eine Hälfte
des verschlüsselten
Dokuments übertragen wird,
bevor der eigentliche Druckbefehl empfangen wird. Der Rest verbleibt
dann verschlüsselt
am Quellensystem. Die Auswahl geschieht in der Weise, daß der so übertragene
Teil des Dokuments dem Eindringling keine nützliche Information vermittelt.
Der Erfinder sieht einen sehr nützliche
Algorithmus zur Auswahl darin, daß ein fester Anteil eines jeden Bytes
genommen wird, das an den Empfänger übermittelt
werden muß,
etwa die Hälfte
jedes Bytes, und daß nur
dieser Teil jedes Bytes gesendet wird und der Rest zurückgehalten wird.
Selbst im Besitz der Verschlüsselungskette
kann der am Drucker vorhandene Teil des Dokuments nicht entschlüsselt werden. Dieses
Merkmal senkt die Übertragungszeit,
wenn das Drucken verlangt wird, gegenüber dem Fall, daß das Dokument
ganz zurückgehalten
wird, um einen Faktor von etwa zwei. Es ist möglich, andere Bruchteile des
codierten Dokuments zurückzuhalten,
und jede solche Auswahl stellt einen bestimmten Kompromiß dar. Die
Aufteilung kann unter der Steuerung durch einen zusätzlichen
Parameter geschehen, der die Aufteilung jedes speziellen Bytes (oder
einer anderen Informationseinheit) scheinbar unvorhersagbar macht.
In der Praxis kann ein der Verschlüsselungskette zugeordneter
Algorithmus eine Bitkette produzieren, von der die Einsen die Übertragung steuern,
während
die Nullen das Zurückhalten
eines Bits oder eines Bruchteils eines Bytes steuern. Ein nebenbei
erreichter Vorteil des Zurückhaltens
ist der geringere Speicherplatzbedarf am Drucker.
-
Noch
eine weitere Variante beim Versenden des minimalen Tickets besteht
darin, daß nur
das Vorhandensein eines sicheren Dokuments an der Quelle signalisiert
wird. In dem Fall wird jedes Dokument neben einer Verschlüsselungskette
einen Identifizierungscode benötigen.
Bei Aufruf einer Druckoperation muß am Drucker zunächst die
Identifizierung vorgelegt werden. Die Abwesenheit des Dokuments
an der Quelle wird vermerkt, um den Dokumentnamen weiter zu schützen, um
den Preis, daß eine
zusätzliche
Interaktion zwischen Drucker und Quelle benötigt wird.
-
3 illustriert
ein Dokumentenformat zum Gebrauch bei der Erfindung, effektiv als
eine Bitkette dargestellt. Das Dokument beginnt links mit einem Kopf.
Der erste Teil 50 bezieht sich auf die Organisation auf
niedriger Ebene, etwa zur Kategorisierung eines Dokuments mit Verschlüsselung,
der Dokumentgröße usw.
Block 52 spezifiziert organisatorische Aspekte des Dokuments,
etwa den Eigentümer und/oder
den vorgesehenen Empfänger.
Wie oben erörtert
wurde, wird diese Information vorzugsweise nicht verschlüsselt. Block 54 gibt
den Namen oder eine andere Identifizierung des Dokuments sowie weitere
Informationen dieser Art an, die, wie oben erörtert wurde, vorzugsweise verschlüsselt ist.
Block 56 enthält
Abrechnungs- und Steuerungsinformation, die vorzugsweise nicht verschlüsselt wird,
da sie zu einem anderen Zweck als dem eigentlichen Drucken dienen
mag. Schließlich
enthält
der Block 58 die verschlüsselten Daten des eigentlichen
Dokuments.
-
4 und 5 beziehen
sich auf die Verschlüsselungsprozedur. 4 zeigt
ein erstes Fenster 70 eines Druckertreibers, das auf dem
Bildschirm der Workstation des Benutzers angezeigt wird, wobei die
meisten Elemente zum Standard in einer "WINDOWS®" Umgebung gehören. Insbesondere
ist ein Sicherheitsfeld 71 gezeigt. Wenn keine Sicherheit gemäß der Erfindung
erforderlich ist, kann der Benutzer Druckparameter wählen und
auf "OK" klicken. Wenn Sicherheit
verlangt wird, muß der
Benutzer das Sicherheitsfeld 71 ankreuzen, und das Anzeigebild ändert sich
gemäß 5.
Hier ist ein zweites Fenster 72 gezeigt, das auf dem Bildschirm
der Workstation des Benutzers angezeigt wird, nachdem das Sicherheitsfeld 71 in 4 angekreuzt
wurde. Dieses fordert den Benutzer auf, das Feld für die Verschlüsselungskette
auszufüllen
und dann links ein lokales "OK" zu geben.
-
Wie
weiter in 4 und 5 gezeigt
ist, können
verschiedene Druckparameter ausgewählt werden, etwa die Auswahl
zwischen einseitig und doppelseitig, Heften oder nicht, Hinzufügen von Deckblättern auf
dem Dokument, soeie Auswahl der Bildqualität, der Kopienanzahl und verschiedener
anderer Parameter. Nun ist es aus Gründen der Übereinstimmung mit dem Stil
des Unternehmens, der Wirtschaftlichkeit und verschiedenen anderen
Gründen
erwünscht,
die Druckfunktionalität
von Druckertreibern auf der Ebene individueller Benutzer durch zentralisierte
Maßnahmen
zu lenken. Im Kontext der vorliegenden Erfindung würde die
vorgesehene Durchsetzung erzwungene Sicherheit und, z. B. eine minimale
Länge der
Verschlüsselungskette
erfordern, doch Beispiele für
andere Anwendungen wären:
erzwungenes Duplex, erzwungene Mailbox, erzwungener Gebrauch bestimmter
Schriftgrößen (größere Größe für sehbehinderte
Personen erlaubt), völlige
Außerbetriebsetzung
des Druckertreibers, Nichtfreigabe des Druckens von Dateien, expliziter
Dateiort für
das Drucken in eine Datei, etwa in ein "hot directory", usw. Verschiedene Benutzer können einen größeren Bereich
von Funktionalitäten
und/oder Leistungsmerkmalen haben.
-
Eine
besonders vorteilhafte Ausführungsform
besteht darin, dem IT-Manager eine zentrale Datenbank an die Hand
zu geben, die verschiedene Aspekte speichert, die den Druckertreiber
für einen betreffenden
Benutzer spezifizieren. Dies kann als ein regelbasiertes System
implementiert werden, was die Komplexität der Interaktion für den IT-Manager
beträchtlich
verringert. Nun wird der Druckertreiber für jeden vorgelegten Druckauftrag
oder periodisch, etwa jeden Morgen, Verbindung zu der Datenbank
aufnehmen, um seine aktuelle Konfiguration zu überprüfen. Wenn sich der Treiber
meldet, wird er seine Benutzerschnittstelle und Benutzerfunktionalität entsprechend
den aktuellen Spezifikationen anpassen. Wenn der Server nicht erreicht
werden kann, werden entweder die aktuellen Einstellungen des Druckertreibers
als Voreinstellwerte benutzt, oder alternativ wird das Drucken einstweilen
gesperrt. Der Vorteil dieser Ausführungsform ist, daß Berechtigungen
in Echtzeit geändert
werden können,
ebenso wie nach festen Stunden- oder Tageszeitplänen oder bei augenblicklichen
Notfällen.
Die oben genannte Datenbank kann zentralisiert sein oder alternativ
auf jedem Drucker oder an jedem Druckort repliziert werden.
-
Diese
letztere Version kann auch den eigentlichen Drucker betreffen, insofern
als dieser das aktuelle Auftragsticket auf Übereinstimmung mit den in der
Datenbank definierten Berechtigungen prüft. Dadurch wird eine Strategie
des IT-Managers durchgesetzt. Insbesondere wird der Drucker, wenn
die Sicherheitsoption erzwungen ist, automatisch jede Druckdatei
löschen,
die nicht verschlüsselt
ist.
-
Wenn
die verschlüsselte
Druckdatei am Ort des Druckers zum Drucken ausgewählt wird,
so wird der Bearbeiter durch einen erzwungenen Dialog aufgefordert,
die Entschlüsselungskette
(die mit der Verschlüsselungskette
identisch ist) an der Bedienungstafel einzugeben. Danach wendet
der Drucker den Entschlüsselungsalgorithmus
auf die Datei an, unter Verwendung der eingegebenen Kette, und wenn
diese letztere richtig ist, so ist die entschlüsselte Datei brauchbar, und
der Drucker kann sie drucken. Wenn jedoch die eingegebene Zeichenkette
nicht korrekt ist, so ist die Datei nicht druckbar, und der Drucker wird
dies auf dem lokalen Display anzeigen. Der Benutzer kann dann lokal
löschen
und es erneut versuchen oder das Drucken vollständig abbrechen.
-
Die
gesamte Druckoperation gemäß der vorliegenden
Ausführungsform,
beginnend am Ort der Quelle oder Workstation, wird nun wie folgt
zusammengefaßt:
- – Der
Benutzer will ein Dokument drucken (es wird angenommen, daß der Inhalt
des Dokuments bereitliegt)
- – Der
Druckertreiber fragt nach Verschlüsselungskette, um das Dokument
damit zu verschlüsseln
- – Der
Treiber verschlüsselt
das Dokument und speichert es auf der lokalen Platte der Workstation
- – Um
anzuzeigen, daß ein
sicherer Benutzerauftrag an der betreffenden Workstation wartet,
sendet der Druckertreiber ein minimales Ticket an den ausgewählten Drucker,
gegebenenfalls auch einen Teil des verschlüsselten Dokuments
- – Der
Benutzer geht zum Drucker, authentifiziert sich und ruft eine Liste
seiner Aufträge
auf
- – Der
Benutzer wählt
den sicheren Auftrag aus; nur das durch seine IP-Adresse identifizierte Gerät, das das
minimale Ticket empfangen hat, kann den Rest der Auftragsdaten abrufen
- – Der
Drucker deaktiviert "Operating
System Swapping" und
ist von nun an nur im (flüchtigen) Speicher
aktiv; dies verhindert, daß eine
nicht verschlüsselte
Version des Dokuments oder ein Schlüssel in einer Swap-Datei auf der Platte
erscheint
- – Der
Drucker holt den Rest der Auftragsdaten
- – Der
Drucker fordert den Benutzer auf, eine Entschlüsselungskette einzugeben
- – Der
Drucker entschlüsselt
das Dokument in seinem Speicher und druckt das bereitliegende Dokument
- – Der
Drucker löscht
das Dokument aus seinem Speicher und reaktiviert "Operating System Swapping".
-
In
einer anderen Ausführungsform
wird die benutzerdefinierte Zeichenkette, die zur Bildung der Verschlüsselungskette
dient, nicht als solche durch den Benutzer eingegeben, sondern automatisch
aus einem biometrischen Merk mal abgeleitet, etwa einem Netzhautscan
oder Fingerabdruckscan des Benutzers. Sowohl die Workstation des
Benutzers als auch der Drucker haben eine Einrichtung zur Messung
des biometrischen Merkmals, etwa einen Fingerabdruckscanner (in
der Zeichnung nicht gezeigt), der die biometrischen Daten mißt und analysiert
und daraus eine Datenkette ableitet. Diese letztere dient dann zur
Bildung des Verschlüsselungscodes.
-
Die
Aufforderung, daß der
Benutzer die Zeichenkette eingeben soll, wird durch eine Aufforderung
ersetzt, das relevante biometrische Merkmal scannen zu lassen, etwa
den Finger auf den Fingerabdruckscanner zu legen. Alternativ kann
die Workstation das biometrische Merkmal des Benutzers (oder die
darauf basierende Zeichenkette) im voraus an einen sicheren Platz
speichern und für
die Verschlüsselung
verwenden.
-
Diese
Ausführungsform
hat den Vorteil, daß der
Benutzer sich keine Zeichenkette zu merken braucht.
-
Die
oben beschriebene sichere Prozedur kann auch vorteilhaft bei anderen
auf Dokumente bezogenen Dateiübertragungen,
etwa beim Scannen, eingesetzt werden. Allgemein erfolgt das Scannen
in einem Netzwerksystem, wie es in 1 gezeigt
ist, mit einem Scanner 5, 6 oder einem Scanmodul
eines Mehrfunktionsgerätes 7, 8,
und Scandaten werden dann über
das Netzwerk 4 an eine vorgesehene Workstation 1, 2, 3 eines
Benutzers übermittelt.
Die Scandaten können
auch zunächst
in verschlüsselter Form
in einem lokalen Datenspeicher abgelegt werden, der zu dem Scanner
oder einem Server gehört, und
dann von einer Workstation eines Benutzers aus abgerufen werden.
-
6 zeigt
ein Blockdiagramm einer Prozedur gemäß einer Scanner-Ausführungsform
der Erfindung. Ein physikalisches Dokument 122 wird auf die
Bühne des
Scanners oder in einen zugehörigen Dokumenteneinzug
gelegt, und gleichzeitig wird an der Benutzerschnittstelle des Scanners
eine Verschlüsselungskette 128 eingegeben.
Dann scannt im Block 125 der Scanner das Dokument und verschlüsselt die
durch den Abtastprozeß erzeugte
Dokumentdatei umgehend mit Hilfe eines Verschlüsselungscodes, der auf der
Verschlüsselungskette 128 beruht, in
gleicher Weise wie oben für
den Drucker beschrieben wurde. Das verschlüsselte Dokument wird im Scanner
gespei chert (126) und an einen angegebenen Zielort, etwa
die Workstation des Bearbeiters, übertragen (130).
-
Dann
kann der vorgesehene Empfänger
die Verschlüsselungskette 128 an
der Benutzerschnittstelle des Entschlüsselungsmoduls 134 in
der Workstation eingeben, und als Reaktion darauf wird die verschlüsselte Dokumentdatei
in eine gebrauchsfertige Dokumentdatei 140 entschlüsselt (134).
-
In
einer ersten Ausführungsform
der obigen Scanner-Anwendung wird die verschlüsselte Scandatei von dem Scanner
automatisch an die Ziel-Workstation übermittelt, die durch den Bediener des
Scanners bei der Initialisierung des Scanauftrags spezifiziert wurde.
Eine Voraussetzung ist bei dieser Ausführungsform, daß die Workstation
in Betrieb ist und auf das Eintreffen der Scandatei wartet. Ein
Vorteil besteht darin, daß die
verschlüsselte
Dokumentdatei sich nur für
kurze Zeit im "öffentlichen" Raum befindet, weil
sie sofort nachdem sie erzeugt wurde übertragen wird.
-
In
einer zweiten Ausführungsform
der Scanner-Anwendung wird die verschlüsselte Scandatei auf einer
Festplatte des Scanners gespeichert, und sie wartet dort, bis sie
von der Workstation aufgerufen wird. Netz-Anwendungen zur Verbindung
einer Workstation mit einem Scanserver, zur Auswahl einer Datei
im Speicher des Scanservers und zur Übertragung einer ausgewählten Datei über eine
sichere Verbindung an die Zielworkstation sind weithin bekannt.
Die übertragende
Scandatei kann dann in der oben beschriebenen Weise entschlüsselt werden.
-
Nun
ist die vorliegende Erfindung oben unter Bezugnahme auf bevorzugte
Ausführungsformen derselben
beschrieben worden. Der Fachmann wird erkennen, daß daran
zahlreiche Modifikationen und Abwandlungen vorgenommen werden können, ohne daß der Rahmen
der nachstehenden Ansprüche
verlassen wird. Folglich sollten die Ausführungsformen nur als illustrativ
betrachtet werden, und es sollten keine Beschränkungen daraus abgeleitet werden, sofern
sie nicht in den Ansprüchen
angegeben sind.