DE60224219T2

DE60224219T2 - Sicheres drucken eines dokuments

Info

Publication number: DE60224219T2
Application number: DE60224219T
Authority: DE
Inventors: Megha Milford SHARMA
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 2001-10-30
Filing date: 2002-10-21
Publication date: 2008-12-11
Anticipated expiration: 2022-10-22
Also published as: DE60224219D1; WO2003038677A1; US20030081247A1; EP1451725A1; EP1451725B1; US6977745B2; EP1451725A4

Description

Die vorliegende Erfindung betrifft die Übertragung und das Anzeigen von Dokumenten, und spezieller ein Verfahren und eine Vorrichtung, die ein Dokument auf eine hochsichere Weise übertragen und drucken.
Ein System zum Begrenzen des Druckens von elektronischen Dokumenten ist in der EP 1 146 684 A beschrieben.
1 zeigt ein Kommunikationssystem 1 aus dem Stand der Technik, das zum sicheren Übertragen von Dokumenten von einem Sender 2 zu einem Empfänger 3 mittels eines Servers 5 verwendet wird. Der Sender 2 ist ein PC, in dem ein Klartextdokument 6 erzeugt wird. Die Übertragung des Inhalts des Dokuments 6 wird mittels eines SSL Verschlüsselungskanals 7 erzielt. Folglich ist es aus dem Stand der Technik als Teil des SSL Übertragungsmechanismus bekannt, dass das Dokument 6 nicht als Klartext übertragen wird, sondern als ein verschlüsseltes Dokument 8 verschlüsselt und übertragen wird.
Ein Server 5 entschlüsselt das verschlüsselte Dokument 8 und speichert das Klartextdokument 6 in einem zugehörigen Speicher 9. Der Server 5 benachrichtigt anschließend einen Empfangscomputer 3, dass das Klartextdokument 6 auf dem Server 5 zum downloaden und/oder ansehen durch den Empfangscomputer 3 zur Verfügung steht. Der Empfangscomputer 3 überträgt ein Empfangspasswort zum Server 5, um einen Zugang auf das Dokument 6 zu erhalten. Der Server 5 hat im Speicher 9 die Passworte für irgendeinen Empfänger gespeichert, und ist folglich im Stande zu verifizieren, ob das empfangene Passwort eines ist, das zum Empfänger gehört, an den der Server 5 die Benachrichtigung geschickt hat. Wenn die Verifikation erfolgreich ist, lädt der Server 5 die Inhalte des Dokuments 6 als verschlüsseltes Dokument 11 mittels eines SSL-Kanals 12 auf dieselbe Weise, wie es oben beschrieben ist, zur initialen Übertragung des Dokumenteninhalts von dem Sender 2 zum Server 5 runter. Beim Empfangen des verschlüsselten Dokuments 11 auf dem Empfangscomputer 3 wird es unter Verwendung herkömmlicher Browsertechnologie so entschlüsselt, dass es auf dem Empfangscomputer 3 als Dokument gespeichert werden und anschließend ausgedruckt werden kann.
Während das System 1 eine gewisse Sicherheit unter Verwendung der SSL-Kanäle (7, 12) zum sicheren Übertragen der Inhalte des Dokuments 6 bereitstellt, weist es immer noch damit verbundene inhärente Sicherheitsrisiken auf. Beispielsweise benötigt das System 1 ein vollständiges Vertrauen, dass der Betrieb des Servers 5 ausreichend ist, um das Dokument 6, das in dem Speicher 9 gespeichert ist, zu schützen. Ein Zugang auf das Dokument 6 kann auf dem Server möglich sein, wodurch die Sicherheit des Dokuments 6 gefährdet ist. Ferner, selbst unter der Annahmen, dass das Dokument 6 durch den Server 5 verschlüsselt und in einer verschlüsselten Form gespeichert werden kann, weist der Server 5 immer noch die Fähigkeit auf, das Dokument in einen Klartext und ein anzeigbares Format zu entschlüsseln. Folglich können die Inhalte des Dokuments 6 immer relativ zum Server 5 zur Verfügung gestellt werden.
Ferner kann ein Empfängerzugang auf das Dokument 6 auf dem Server 5 mittels des Wissens eines Empfängerpassworts erzielt werden. Jeder kann mit dem Passwort einen Zugang auf das Dokument 6 erhalten. Ferner, da viele Passwortsysteme einen Zugang verbieten, wenn eine vorbestimmte Anzahl von nicht erfolgreichen Passworten eingegeben wurden, kann eine dritte Partei einen legitimen Zugang auf ein Dokument von einem bestimmungsgemäßen Empfänger einfach durch Eingeben inkorrekter Passworte in das System verboten werden. Folglich wird ein robusteres und sicheres Dokumentenanzeigesystem benötigt.
Die europäische Patentanmeldung Veröffentlichungsnr. EP 1090185 offenbart ein Zielsicherungsdrucksystem, es offenbart allerdings nicht ein Erhalten, bei der Aufzeichnungseinrichtung, eines zweiten Schlüssels basierend auf einer Kommunikation zwischen der Aufzeichnungseinrichtung und einer zweiten Quelle.
Gemäß einem ersten Aspekt der Erfindung wird ein Verfahren gemäß Anspruch 1 bereitgestellt. Gemäß einem zweiten Aspekt der Erfindung wird ein System gemäß Anspruch 17 bereitgestellt.
Für ein besseres Verständnis der Erfindung und um zu zeigen, wie selbige ausgeführt werden kann, wird im Folgenden beispielhaft eine Referenz auf die begleitenden Zeichnungen gegeben, bei denen:
1 in einer schematischen Form ein herkömmliches elektronisches Dokumentenübertragungssystems zeigt;
2 in einer schematischen Form das erfindungsgemäße sichere elektronische Dokumentenübertragungssystem zeigt;
3 ein Flussdiagram ist, das den Betrieb des sicheren elektronischen Dokumentenübertragungssystems, das in 2 gezeigt ist, zeigt;
4 ein Flussdiagramm ist, das die Erzeugung und die sichere Übertragung von Benutzerschlüsseln für einen Mehrfachbenutzer, Einzeldruckkopf-Ausführungsform der Erfindung zeigt; und
5 ein Flussdiagramm ist, das den Betrieb eines sicheren elektronischen Dokumentenübertragungssystems zeigt, welches das erfindungsgemäße Konzept des Mehrfachbenutzers, Einzeldruckkopfs verwendet.
Detaillierte Beschreibung der bevorzugten Ausführungsformen
Das Folgende beschreibt ein Verfahren zum sicheren Steuern des Druckens eines Klartextdokuments, das von einer ersten Quelle erzeugt wird, das die Schritte des Empfangens an einem Drucker mittels eines ersten Kommunikationskanals eines ersten Schlüssels, der von der ersten Quelle gesendet wird, und erhalten an dem Drucker eines zweiten Schlüssels basierend auf einer Kommunikation zwischen dem Drucker und einer zweiten Quelle enthält. Der Drucker empfängt in der zweiten Quelle mittels eines zweiten Kommunikationskanals eine verschlüsselte Version des Klartextdokuments. Der Drucker verschlüsselt unter Verwendung der ersten und zweiten Schlüssel die verschlüsselte Version des Klartextdokuments, um das Klartextdokument an dem Drucker zu erhalten und druckt anschließend das Klartextdokument. Das Verfahren ist ferner für irgendeine Art von Aufzeichnungsvorrichtungen, wie es in den beigefügten Ansprüchen dargelegt ist, anwendbar.
2 zeigt eine Ausführungsform eines sicheren elektronischen Dokumentübertragungssystems (SETS) 21, das einen Sender-PC 23, einen Server 25, einen Empfangscomputer 27 und einen Drucker 29 enthält. Bezugnehmend auf die 2 und 3 wird der Betrieb des SETS 21 beschrieben. Beim Schritt 301 wird ein Klartextdokument 31 beim Sender-PC 23 unter Verwendung herkömmlicher Software erzeugt. Wenn ein Benutzer wünscht, das Dokument 31 an einen speziellen Empfänger auf eine sichere Weise zu übertragen, wird ein herkömmliches Verschlüsselungsmodul 33 verwendet, um ein verschlüsseltes Dokument 35 zu erzeugen (Schritt 303). Das Verschlüsselungsmodul wendet einen bekannten Verschlüsselungsalgorithmus, wie beispielsweise den Date Encryption Standard (DES), auf das Klartextdokument 31 und einen Sendergeheimschlüssel K_S (der im Speicher 34 in dem Sender-PC 23 gespeichert ist) an, um das verschlüsselte Dokument 35 = DES (Dokument 31, K_S) zu erzeugen (Schritt 303). Das verschlüsselte Dokument 35 wird elektronisch mittels eines sicheren (SSL) oder nicht sicheren Kanals 36 zum Server 25 übertragen, wo es in dem Speicher 37 gespeichert wird (Schritt 305). Das verschlüsselte Dokument 35 kann folglich vom Server 25 nicht entschlüsselt werden, und verbleibt in einer sicheren Form relativ zum Server 25 oder zu irgendjemandem, der Zugang zum Server 25 hat.
Zusätzlich zur Übertragung des verschlüsselten Dokuments 35 wird der Geheimschlüssel K_S mittels einer elektronischen Übertragung oder eines anderen Mechanismus (persönliche Lieferung, Versand) zum Empfänger zum Speichern durch die CPU 39 (des Empfangscomputers 27) im Speicher 41 gesendet (Schritt 307). Ferner, wenn der Server 25 das verschlüsselte Dokument 35 empfängt, benachrichtigt dieser den Empfänger (vorzugsweise direkt elektronisch zum Empfangscomputer 27), dass ein Dokument auf dem Server 25 für den Empfänger zur Verfügung steht (Schritt 309). Der Empfänger antwortet auf die empfangene Nachricht durch Senden eines Passworts und einer Benutzer-ID, die im Speicher 41 gespeichert ist, zum Server 25 mittels eines Modems 43 (Schritt 311). Der Server 25, der Zugang zu allen Empfangspaßwörtern und Benutzer-IDs hat, verifiziert, dass das empfangene Passwort korrekt ist (Schritt 313). Wenn die Verifikation erfolgreich ist, stellt der Server 25 immer noch nicht das verschlüsselte Dokument 35 dem Empfangscomputer 27 zur Verfügung. Vielmehr fordert der Server 25 den Empfangscomputer 27 auf, Authentifizierungsinformationen für den zugehörigen Drucker 29 bereitzustellen, der verwendet wird, um das Klartextdokument 31 zu drucken (Schritt 315).
Der Druckkopf 29 enthält einen ersten Mikroprozessor 45, einen zweiten Mikroprozessor 47, einen RAM 51 und NVM 49. Der ersten Mikroprozessor 45 steuert den Gesamtbetrieb des Druckkopfs 29 basierend auf Betriebsprogrammen, die im NVM 49 gespeichert sind. Der zweite Mikroprozessor 47 ist für das Durchführen der Verschlüsselungsfunktionen reserviert, die mit dem Druckkopf 29, wie es weiter unten diskutiert wird, verbunden sind. Der RAM 51, wird auf eine herkömmliche Weise zum vorübergehenden Speichern von Daten und ausführbarem Code verwendet. Folglich fragt auf den Schritt 315 folgend die CPU 39 von dem Druckkopf 29 die benötigten Authentifizierungsinformationen (Schritt 317) ab. Als Antwort verwendet der Druckkopf 29 seinen Druckkopfschlüssel K_PH (der sicher im NVM 49 gespeichert ist), um eine verschlüsselte Authentifizierungsnachricht, welche einen Druckkopfidentifizierer (Drucker-ID) enthält, dem Server 25 mittels des Empfangscomputers 27 bereitzustellen (Schritt 319). Der Server 25 hat Zugang zu jedem K_PH für jeden Druckkopf und kann folglich die Nachricht vom Druckkopf 29 auf eine herkömmliche Weise authentifizieren.
Sobald die Authentifizierung durchgeführt wurde, kommunizieren der Server 25 und der Druckkopf 29 über den Empfangscomputer 27, um sich auf einen Sitzungsschlüssel S_K unter Verwendung des Diffie-Hellmann-Algorythmus zu einigen (Schritt 321). Der Server 25 verschlüsselt abermals das verschlüsselte Dokument 35 unter Verwendung irgendeines herkömmlichen Verschlüsselungsalgorithmus und S_K, um ein doppelt verschlüsseltes Dokument 53=E(Dokument 35, S_K) herzustellen (Schritt 323). Der Server 25 sendet anschließend das doppelt verschlüsselte Dokument 53 zum Drucker 29 über den Empfangscomputer 27 unter Verwendung eines sicheren (SSL) oder nicht sicheren Kanals 54 (Schritt 325).
Nach dem Empfang des doppelt verschlüsselten Dokuments 350 verwendet der Druckkopf 29 den zweiten Mikroprozessor 47, um eine erste Entschlüsselungsoperation auf dem doppelt verschlüsselten Dokumente 53 unter Verwendung von S_K und dem benötigen Entschlüsselungsalgorithmus durchzuführen, um das verschlüsselte Dokument 35 herzustellen (Schritt 327). Der Druckkopf 29 fordert anschließend K_S von dem Empfangscomputer 27 (Schritt 329) an und führt nach dem Empfang von K_S eine zweite Entschlüsselungsoperation auf dem verschlüsselten Dokument 35 an dem zweiten Mikroprozessor 47 durch, um das Klartextdokument 31 zu erhalten (Schritt 331). Der Druckkopf 29 wird anschließend programmiert, um das Klartextdokument 31 zu drucken (Schritt 333).
Es wird darauf hingewiesen, dass der Druckkopf 29 programmiert werden kann, um lediglich eine einzelne oder eine vorbestimmte Anzahl von Kopien des Klartextdokuments 31 für Prüfkontrollzwecke zu drucken. Nach dem Drucken der kontrollierten Anzahl von Ausdrucken, stellt der erste Mikroprozessor 45 des Druckkopfs sicher, dass das Klartextdokument 31, K_S, und S_K nicht in irgendeinem Speicher des Druckers 29 behalten werden, wodurch irgendeinem weiteren Drucken des Klartextdokuments 31 vorgebeugt wird. Wenn eine weitere gedruckte Kopie des Klartextdokuments 31 benötigt wird, wird eine komplett neue Kommunikation mit dem Server 25 benötigt, und die Schritte 311 bis 333 müssen abermals durchgeführt werden.
Durch Erlauben, das der Drucker 29 die Anzahl der gedruckten Kopien des Klartextdokuments 31 steuert, verhindert das erfindungsgemäße Verfahren, dass der Empfänger den Druckbetrieb steuern muss. Ferner können herkömmliche forensische Techniken während des Druckens des Dokuments 31 verwendet werden, um das Auffinden von betrügerischen Kopien des gedruckten Klartextdokuments 31 zu ermöglichen. Beispielsweise kann ein spezielles Punktmatrixdruckmuster während des Druckens verwendet werden, wobei das Muster mittels eines herkömmlichen Kopierers nicht reproduziert werden kann. Folglich wird eine vollständige Steuerung der erlaubten Verteilung des gedruckten Dokuments 31 erhalten. Ferner kann der Server 25 eine Prüfungsaufzeichnung führen, die zeigt, welcher Empfänger und welcher Drucker 29 beim Drucken eines speziellen Dokuments 31 beteiligt waren.
In einer weiteren Ausführungsform steuert der Server 25 die Anzahl der erlaubten Ausdrucke des Klartextdokuments 31 durch Senden einer Kennzeichnung zusammen mit dem doppelt verschlüsselten Dokument 53, bezüglich der erlaubten Anzahl der gedruckten Kopien, die von dem Drucker 29 erstellt werden können. Der Server 25 würde ferner einen eindeutigen Kennzeichner für jede der gedruckten Kopien enthalten, die in der gedruckten Kopie für Zwecke eines vollständigen Prüfungssystems enthalten sind. Dieses SETS 21 verwendet eine sichere oder legale Umgebung, bei der eine strenge Kontrolle der Anzahl der erlaubten Kopien eines Dokuments benötigt wird. Ferner kann dieses System in einer herkömmlichen Umgebung verwendet werden, um nur das Drucken einer spezifischen Anzahl von Produkten digitalen Inhalts zu erlauben, die ordnungsgemäß bezahlt wurden, und um das Auffinden betrügerisch kopierter Einheiten zu ermöglichen.
Die Erfindung, die oben beschrieben ist, weist viele Vorteile gegenüber den Systemen aus dem Stand der Technik von 1 auf. Sie kann in einer Kauf- und Verkaufsituation verwendet werden, in denen Angebote und Annahmen mittels eines Servers einer dritten Partei durchgeführt werden. Der Server der dritten Partei stellt eine Prüffähigkeit der Transaktionen bereit, während die Natur der Transaktion dem Server der dritten Partei verborgen bleibt. Ferner, da eine „end-to-end" Verschlüsselung angewendet wird, wird ein Schutz gegen eine „Man-In-the-middle" Attacke bereitgestellt. Ferner, selbst wenn ein SSL-Kanal verwendet wird, stellt die „end-to-end" Verschlüsselung ein zusätzliches Sicherheitsniveau bereit.
Ferner verwendet das SETS 21 ein verteiltes Mehrfachschlüsselsystem, das ein sichereres System basierend auf einer Verteilung des Vertrauens bereitstellt. In der oben beschriebenen Ausführungsform werden drei Schlüssel K_S, K_PH und S_K verwendet. Allerdings wird, um das Klartextdokument 31 anzuschauen (zu drucken) eines der folgenden Schlüsselpaare benötigt
K_S, K_PH
K_S, S_K
Der Server 25 und der Empfangscomputer 27 haben keines der obigen Schlüsselpaare auf, und können folglich das Klartextdokument 35 nicht erhalten. Der Server 25 hat lediglich K_PH und S_K auf, während der Empfangscomputer 27 lediglich K_S hat. Der Drucker 29 ist die einzige Einheit, die einen Zugang zu allen drei Schlüsseln aufweist, und muss den Empfangscomputer 27 und den Server 25 abfragen, um zwei dieser Schlüssel K_S und S_K zu erhalten. Folglich besteht die einzige Möglichkeit das Dokument 35 anzusehen darin, es zu drucken. Ferner hält der Druckkopf 29 lediglich die zwei Schlüssel K_S uns S_K zurück, bis der Druckbetrieb abgeschlossen ist, und muss diese Schlüssel für ein zukünftiges Drucken abermals erhalten. Folglich, im Gegensatz zu Systemen aus dem Stand der Technik, damit eine nicht autorisierte Person zu einem Dokument 35 Zugang erhält (oder um einen Empfänger von einem Dokument 35 auszuschließen) müssen sie nicht nur Zugang zu einem Empfangspasswort erlangen, sondern müssen ferner einen physikalischen Zugang zu einem Druckkopf des Empfängers 29 erlangen.
Das oben beschriebene System kann modifiziert werden, wobei ein einzelner Drucker 29 von mehreren Benutzern verwendet wird, und eine strenge Benutzerverwaltung für jeden Benutzer ist erwünscht, genauso wie einen Mechanismus, um einzelne Benutzer auszuschließen, ohne den Drucker 29 für andere Benutzer zu sperren. In diesem Szenarium muss der Drucker 29 einen separaten Schlüssel aufweisen, der darin für jeden Benutzer gespeichert ist. Folglich, wenn der Server 25 den Drucker 29 auffordert, sich selbst zu authentifizieren, wird der Empfänger von dem Drucker 29 nach einer Benutzer-ID und einem Passwort gefragt, so dass der Drucker 29 den Benutzerschlüssel, der mit dem Benutzer verbunden ist, zur Benutzung beim Abschluss der sofortigen Transaktion identifizieren kann.
Ferner erlaubt das Mehrfachbenutzersystem zusätzlichen Benutzern zum Drucker 29 hinzugefügt zu werden. Wenn ein neuer Benutzer hinzugefügt wird, erzeugt der Drucker 29 einen neuen Benutzerschlüssel für den Benutzer, der zum Server 25 zur Verwendung in dem Authentifizierungsverfahren für den Drucker 29 verwendet wird. Die Übertragung des neuen Benutzerschlüssels findet statt, wie es in 4 gezeigt ist. Im Schritt 401 werden dem Drucker 29 die neue Benutzer-ID und das damit verbundene Passwort bereitgestellt. Der Drucker 29 erzeugt den neuen Benutzerschlüssel und speichert ihn im Speicher 29 in Verbindung mit der Benutzer-ID und dem Passwort ab (Schritt 403). Der Drucker 29 verschlüsselt anschließend den neuen Benutzerschlüssel unter Verwendung von K_PH, um einen verschlüsselten neuen Benutzerschlüssel=E(Benutzerschlüssel, K_PH) zu erhalten (Schritt 405). Der verschlüsselte neue Benutzerschlüssel, die ID des Druckers 29, und E(Benutzer-ID, K_PH) werden von dem Drucker 29 mittels des Computers 27 zum Server 25 gesendet (Schritt 407). Der Server schlägt die ID des Druckers 29 nach, um den K_PH für diesen Drucker zu erhalten und entschlüsselt anschließend den verschlüsselten neuen Benutzerschlüssel und E(Benutzerschlüssel, K_PH), um den Benutzerschlüssel und seine damit verbundene Benutzer-ID zu erhalten und im Speicher 37 zu speichern (Schritt 409).
5 zeigt die Verarbeitung eines Klartextdokuments 31 in der Mehrfachbenutzer/Einzeldruckkopfumgebung. Schritt 500 zeigt, dass die Verarbeitung mit der Verfolgung der Schritte 301 bis 317 von 3 beginnt. Als nächstes, um sich selbst zu authentifizieren, muss der Drucker 29 als erstes (über den Computer 27) die Benutzer-ID und das damit verbundene Passwort (Schritt 501) anfordern und vom Empfänger empfangen. Der Drucker 29 sendet anschließend seine Drucker-ID zum Server 25 (Schritt 503). Der Server 25 schlägt den entsprechenden Schlüssel K_PH nach, der mit der Drucker-ID verbunden ist (Schritt 505). Der Server 25 erzeugt anschließend einen initialen Vektor IV, der mit K_PH verschlüsselt, um E(IV, K_PH) zu erhalten, das zum Drucker 29 gesendet wird (Schritt 507). Der Drucker 29 entschlüsselt E(IV, K_PH), um IV zu erhalten (Schritt 509). Der Drucker 29 verschlüsselt anschließend IV unter Verwendung des Benutzerschlüssels, der mit der Benutzer-ID und dem Passwort verbunden ist, das von dem Benutzer (Schritt 511) spezifiziert wird. Das E(IV, Benutzerschlüssel) wird zum Server 25 gesendet (Schritt 513) und der Server 25 entschlüsselt diesen Wert, um IV (Schritt 515) zu erhalten. Wenn IV am Server erhalten wird, wurde die Authentifizierung erfolgreich abgeschlossen (Schritt 517).
Sobald die Authentifizierung erfolgreich ist, erzeugt der Server 25 einen Sitzungsschlüssel S_K und verschlüsselt das verschlüsselte Dokument 35 abermals, um das doppelt verschlüsselte Dokument 53 = E(verschlüsseltes Dokument, S_K) zu erhalten (Schritt 519). Der Server 25 erzeugt ferner einen verschlüsselten Schlüssel = E(S_K, Benutzerschlüssel) (Schritt 521) und sendet das doppelte verschlüsselte Dokument 53 und den verschlüsselten Schlüssel zum Drucker 29 (Schritt 523).
Der Drucker 29 entschlüsselt nach dem Empfang des doppelt verschlüsselten Dokuments und des verschlüsselten Schlüssels den verschlüsselten Schlüssel mit dem Benutzerschlüssel, um S_K zu erhalten, und entschlüsselt anschließend das doppelt verschlüsselte Dokument 53 mit S_K, um das verschlüsselte Dokument 35 zu erhalten (Schritt 525). Zu diesem Zeitpunkt führt der Drucker 29 die Schritte 329 bis 333 von 3 durch, um das Klartextdokument 31 zu erhalten und zu drucken (Schritt 527).
Es wird folglich aus dem oben gesagten deutlich, dass eine genaue Prüfung und Steuerung der Dokumente beibehalten werden kann, wenn mehrere Benutzer auf einen einzelnen Drucker 29 Zugriff haben, da alle Transaktionen beim Server 25 bedingt sind basierend auf einer Benutzer-ID, einem Benutzerpasswort und einem spezifischen Benutzerschlüssel, der mit einem spezifischen Drucker 29 verbunden ist.
Zusätzliche Vorteile und Modifikationen wird der Fachmann einfach erkennen. Folglich ist die Erfindung in deren breiten Aspekten nicht auf die spezifischen Details und repräsentativen Einrichtungen beschränkt, die hierin beschrieben und gezeigt sind.
Folglich können verschiedene Modifikationen durchgeführt werden, ohne sich vom Gegenstand des allgemeinen erfindungsgemäßen Konzepts, wie es in den beigefügten Ansprüchen definiert ist, zu entfernen. Beispielsweise, während der Sitzungsschlüssel S_K in 3 miteinander vereinbart wird, kann er einfach auf dem Server 25 erzeugt werden. Bei diesem Verfahren werden die Schritte 315 bis 327 nicht verfolgt. Vielmehr werden stattdessen die Schritte 503 bis 505 und 519 bis 525 verfolgt.
Ferner kann die vorliegende Erfindung verwendet werden, um das Schreiben/Reproduzieren eines digitalen Inhalts in entsprechenden Produkten zu steuern. Das heißt, anstelle eines Druckers 29 kann die vorliegende Erfindung in einem CD-Brenner oder irgendeiner anderen Aufzeichnungsvorrichtung eingebaut sein, um sicher zu stellen, dass lediglich eine vorbestimmte Anzahl von Wiederherstellungen erlaubt wird. Folglich betrifft der Begriff „Aufzeichnungsvorrichtung", wie er in dieser Anwendung verwendet wird, Drucker, CD-Brenner oder irgendeine bekannte Einrichtung, die Produkte digitalen Inhalts auf einem Aufzeichnungsmedium reproduzieren kann.
Ferner, während der Empfangscomputer 27 in Kopplung mit dem Drucker 29 und dem Server 25 gezeigt ist, könnte er weggelassen werden, so dass der Drucker 29 direkt mit dem Server 25 kommuniziert.
Ferner kann der Drucker 29 programmiert werden, um eine Verifikationsnachricht zurück zum Server 25 zu senden, der verifiziert, dass das Dokument 31 eigentlich gedruckt wurde. Die Verifikationsnachricht kann in einer Form gesendet werden, die dem Server 25 erlaubt, zu verifizieren, dass sie von dem Drucker 29 gekommen ist.
Schließlich kann das SETS 21 in einem lokalen Netz (LAN), einem Fernnetz (WAN) oder unter Verwendung des Internets implementiert werden. Folglich können herkömmliche Kommunikationsmittel verwendet werden, die Telefonmodems, direkte Verbindungsleitungen (d. h. Ti, T3), Kabelmodems und Faseroptiken enthalten.

Claims

Verfahren zur sicheren Steuerung der Aufzeichnung eines unverschlüsselten digitalen Inhalts (31), der durch eine erste Quelle (23) erzeugt wird und an eine Aufzeichnungsvorrichtung (29) mittels einer zweiten Quelle (25) übertragen wird, wobei das Verfahren die Schritte umfasst: Empfangen an der Aufzeichnungsvorrichtung (29) mittels eines ersten Kommunikationskanals, der die zweite Quelle nicht enthält, eines ersten Schlüssels (K_S), der durch die erste Quelle (23) gesendet wird; Erhalten an der Aufzeichnungsvorrichtung (29) eines zweiten Schlüssels (S_K), der auf einer Kommunikation zwischen der Aufzeichnungsvorrichtung (29) und der zweiten Quelle (25) basiert; Empfangen an der Aufzeichnungsvorrichtung von der zweiten Quelle (25) mittels eines zweiten Kommunikationskanals (54) einer verschlüsselten Version des unverschlüsselten digitalen Inhalts; Entschlüsseln an der Aufzeichnungsvorrichtung (29) unter Verwendung des ersten und zweiten Schlüssels (K_S, S_K) der verschlüsselten Version des unverschlüsselten digitalen Inhalts (31), um den unverschlüsselten digitalen Inhalt an der Aufzeichnungsvorrichtung (29) zu erhalten; und Aufzeichnen auf ein Aufzeichnungsmedium mit der Aufzeichnungsvorrichtung (29) des unverschlüsselten digitalen Inhalts (31), der an der Aufzeichnungsvorrichtung (29) mittels Entschlüsselns an der Aufzeichnungsvorrichtung (29) der verschlüsselten Version des unverschlüsselten digitalen Inhaltes (31) erhalten wird.
Verfahren nach Anspruch 1, bei dem die Aufzeichnungsvorrichtung ein Drucker (29) ist und bei dem der Schritt der Aufzeichnung ein Schritt des Druckens ist.
Verfahren nach Anspruch 1 oder 2, bei dem der zweite Kommunikationskanal ein elektronischer Kommunikationskanal ist.
Verfahren nach Anspruch 3, bei dem der zweite Kommunikationskanal ein gesicherter elektronischer Kommunikationskanal ist.
Verfahren nach Anspruch 3, bei dem der zweite Kommunikationskanal ein ungesicherter elektronischer Kommunikationskanal ist.
Verfahren nach einem der vorhergehenden Ansprüche, bei dem die verschlüsselte Version (35) des unverschlüsselten digitalen Inhalts nicht an der zweiten Quelle (25) entschlüsselt werden kann, um den unverschlüsselten digitalen Inhalt zu erhalten.
Verfahren nach Anspruch 6 und Anspruch 2, ferner umfassend den Schritt des Sicherstellens, dass der Drucker (29) nur eine vorbestimmte Anzahl von Kopien des unverschlüsselten digitalen Inhalts drucken kann, der an dem Drucker (29) mittels Entschlüsselns an dem Drucker der verschlüsselten Version des unverschlüsselten digitalen Inhalts erhalten wird.
Verfahren nach Anspruch 7, bei dem die vorbestimmte Anzahl 1 ist.
Verfahren nach Anspruch 8, ferner umfassend ein Speichern in einem Speicher (49) in dem Drucker (29) des ersten und zweiten Schlüssels, der verschlüsselten Version (35) des unverschlüsselten digitalen Inhalts und des unverschlüsselten digitalen Inhalts (31), der an dem Drucker mittels des Entschlüsselns an dem Drucker der verschlüsselten Version des unverschlüsselten digitalen Inhalts erhalten wird, und im Anschluss an das Drucken der vorbestimmten Anzahl der Kopien des unverschlüsselten digitalen Inhalts, der an dem Drucker (29) mittels des Entschlüsselns an dem Drucker (29) der verschlüsselten Version des unverschlüsselten digitalen Inhalts erhalten wird 1) ein Löschen aus dem Speicher (49) des unverschlüsselten digitalen Inhalts, der an dem Drucker (29) mittels des Entschlüsselns an dem Drucker der verschlüsselten Version des unverschlüsselten digitalen Inhalts erhalten wird und 2) ein Löschen aus dem Speicher (49) eines des ersten Schlüssels (K_S), des zweiten Schlüssels (S_K) und der verschlüsselten Version (35) des unverschlüsselten digitalen Inhalts.
Verfahren nach Anspruch 7, ferner umfassend ein elektronisches Erhalten an dem Drucker (29) der vorbestimmten Anzahl von der zweiten Quelle.
Verfahren nach Anspruch 1 oder Anspruch 2, ferner unfassend ein Durchführen einer ersten Verschlüsselungsoperation an dem unverschlüsselten digitalen Inhalt (31), dabei Erzeugen einer verschlüsselten Form (35) des unverschlüsselten digitalen Inhalts und anschließend Durchführen einer zweiten Verschlüsselungsoperation an der verschlüsselten Form, dabei Erzeugen der verschlüsselten Version des unverschlüsselten digitalen Inhalts.
Verfahren nach Anspruch 11, bei dem die erste Verschlüsselungsoperation an der ersten Quelle (23) durchgeführt wird, wobei die verschlüsselte Form elektronisch von der ersten Quelle (23) an die zweite Quelle (25) gesendet wird, wobei die verschlüsselte Form an der zweiten Quelle (25) gespeichert wird, die zweite Quelle nicht die Fähigkeit aufweist, die verschlüsselte Form zu entschlüsseln, und die zweite Quelle (25) die zweite Verschlüsselungsoperation an der verschlüsselten Form durchführt.
Verfahren nach Anspruch 12, bei dem die zweite Quelle ein Server (25) ist und der zweite Schlüssel (S_K) an dem Server (25) erzeugt wird und an den Drucker (29) mittels des zweiten Kommunikationskanals (54) gesendet wird.
Verfahren nach Anspruch 12, bei dem die zweite Quelle (25) und der Drucker (29) kommunizieren, um einen gemeinsamen Schlüssel (S_K) zu verabreden.
Verfahren nach Anspruch 7, bei dem die zweite Quelle (25) einen Prüfsatz der Anzahl der Kopien, die an dem Drucker (29) gedruckt werden, des unverschlüsselten digitalen Inhalts behält, der an dem Drucker (29) mittels des Entschlüsselns an dem Drucker der verschlüsselten Version des unverschlüsselten digitalen Inhalts erhalten wird.
Verfahren nach Anspruch 2, ferner umfassend ein Drucken des unverschlüsselten digitalen Inhalts, der an dem Drucker (29) mittels des Entschlüsselns an dem Drucker (29) der verschlüsselten Version des unverschlüsselten digitalen Inhalts (31) erhalten wird, um forensisches Beweismaterial bezüglich der Authentizität des gedruckten unverschlüsselten digitalen Inhalts zu enthalten.
System zum sicheren Übertragen und Drucken von Dokumenten, umfassend: ein Computersystem (23), das einen unverschlüsselten digitalen Inhalts (31) unter Verwendung eines ersten Schlüssels (K_S) verschlüsselt, dabei ein verschlüsseltes Dokument erzeugt, wobei das Computersystem Mittel zum elektronischen Übertragen des verschlüsselten Dokuments an einen Drucker mittels eines ersten Kommunikationskanals (36) enthält; einen Server (25), der mit dem ersten Kommunikationskanal verbunden ist, um das verschlüsselte Dokument von dem Computersystem (23) zu erhalten, wobei der Server einen Speicher (37) zum Speichern des verschlüsselten Dokuments, einen Prozessor zum erneuten Verschlüsseln des verschlüsselten Dokuments unter Verwendung eines zweiten Schlüssels (S_K), dabei Erzeugen eines doppelt verschlüsselten Dokuments, Mittel zum elektronischen Übertragen des doppelt-verschlüsselten Dokuments mittels eines zweiten Kommunikationskanals enthält; und wobei der Drucker (29) mit dem zweiten Kommunikationskanal verbunden ist, der Drucker Mittel zum Kommunizieren mit dem Server (25) mittels des zweiten Kommunikationskanals, um den zweiten Schlüssel (S_K) zu bestimmen und das doppelt-verschlüsselte Dokument von dem Server (25) zu erhalten, Mittel zum Empfangen des ersten Schlüssels (K_S) von dem Computersystem (23) bei Anfrage mittels eines dritten Kommunikationskanals, der den Server (25) nicht enthält, Mittel zum Entschlüsseln des doppelt-verschlüsselten Dokuments unter Verwendung des ersten und zweiten Schlüssels, um den unverschlüsselten digitalen Inhalt (31) zu erhalten, und Mittel zum Drucken nur einer vorbestimmten Anzahl von Kopien des unverschlüsselten digitalen Inhalts aufweist, der von dem Entschlüsseln des doppelt-verschlüsselten Dokuments durch den Drucker (29) erhalten wird.