DE69608609T2 - Datensicherungsschema für Punkt-zu-Punkt Kommunikationssitzungen - Google Patents

Description

HINTERGRUND DER ERFINDUNG
• Die Erfindung betrifft allgemein eine Sicherheitseinrichtung für informationsverarbeitende Systeme und betrifft im besonderen ein System zum Bereitstellen kontrollierten Zugangs zu Informationssignalen in einem Punkt-zu-Punkt- (Point-to-Point-)Kommunikationssystem mit einem gemeinsam genutzten Kommunikationspfad.
• In Punkt-zu-Punkt-Kommunikationssystemen müssen die Übermittlungen gesichert werden, so daß keine andere Partei als die, für die die Übermittlung bestimmt ist, die Übermittlung abfangen oder decodieren kann. Es stehen zahlreiche Schemata zur Verfügung, um den Zugang zu elektronischen Signalen zu kontrollieren, zum Beispiel in der Kabelfernsehumgebung. Andere Anwendungen, die Sicherheitssysteme verlangen, sind Breitbandtelefonsysteme, Breitband-Multimedia-Systeme und Breitband-Video-on-Demand-Systeme.
• Typisch verfügt ein Systemteilnehmer über einen Decoder, der zwischen eine Signalquelle (zum Beispiel eine Kabelfernseheinspeisung oder einen Satellitenfernsehempfänger) und ein Ausgabegerät, z. B. ein Fernsehgerät, einen Videorecorder, einen Personalcomputer oder dergleichen, geschaltet ist. Der Decoder jedes Teilnehmers wird per Fernzugriff vom Systembetreiber für den Empfang bestimmter Dienste, zum Beispiel des Kinofilmkanals "Home Box Office" (HBO) oder spezieller Sportveranstaltungen auf Pay-per-view-Basis (Bezahlung pro Programmbeitrag), freigegeben oder gesperrt. In der Vergangenheit geschah die Verteilung solcher kostenpflichtiger Dienste (d. h. Dienste, für die der Empfänger eine zusätzliche Gebühr entrichten muß) so, daß diese an mehrere Teilnehmer gleichzeitig verteilt wurden. Dies war deshalb erforderlich, weil die existierenden Technologien verlangten, daß zum Beispiel ein bestimmter Film zum Anschauen durch einen autorisierten Zuschauer, der den Film empfangen wollte, zu einer bestimmten Zeit gesendet werden mußte. Also mußte ein Teilnehmer, der einen bestimmten Film sehen wollte, sich zu der festgesetzten Zeit in diesen Film einschalten.
• Heute existieren Technologien, welche die Bereitstellung von Informationsdiensten, wie Kinofilme, spezielle Ereignisse ("Events"), Datendienste oder dergleichen, auf Abruf oder Anforderung möglich machen. In solchen Systemen werden virtuelle Punkt-zu-Punkt-Verbindungen zwischen einer "Kopfstation" oder "zentralen Stelle" und einem individuellen Teilnehmer eingerichtet, um dem Teilnehmer zu ermöglichen, z. B. einen Film oder ein spezielles Ereignis zu jedem beliebigen von dem Teilnehmer gewünschten Zeitpunkt zu sehen. Wie die früheren Verteilsysteme, bei denen individuelle Programme entsprechend einem vordefinierten Zeitplan ausgestrahlt wurden, verlangen auch die neuen Punkt-zu-Punkt- Systeme Sicherheitsvorkehrungen, um "Schnorrer" ("Piraten") daran zu hindern, die Signale abzufangen, und sie sich ohne Entrichtung der erforderlichen Gebühren zu verschaffen. Sicherheitsmaßnahmen sind außerdem notwendig, um zu verhindern, daß die Privatsphäre eines berechtigten Nutzers verletzt wird. Selbst wenn Schutzvorkehrungen getroffen sind, besteht die Gefahr, daß Piraten versuchen, die Sicherheit des Systems zu brechen, und "Schwarz-Boxen" in Umlauf bringen, die den nichtberechtigten Empfang von Programmen und Daten ermöglichen. Für Systembetreiber war es bisher schwierig und kostspielig, das Piraterieproblem zu bekämpfen.
• Es sind bereits verschiedene Systeme entworfen worden, um Piraterie in der Broadcasting-Umgebung zu erschweren, wo mehrere Teilnehmer allesamt dieselben gebührenpflichtigen Dienste zur selben Zeit empfangen. Ein derartiges System ist in dem an Gilhousen et al. erteilten US-Patent Nr. 4 613 901 mit dem Titel "Signal Encryption and Distribution System for Controlling Scrambling and Selective Remote Descrambling of Television Signals" beschrieben. In dem Schema nach Gilhousen et al. kommen verschiedene kryptographische Schlüssel zur Verwendung, um ein verschlüsseltes Fernsehsignal bereitzustellen. Zu den beschriebenen Schlüsseln gehören Kategorieschlüssel, von denen jeder einer anderen Teilmenge von Teilnehmer-Decodern gemeinsam ist. Es ist ferner bekanntgeworden, Programmschlüssel bereitzustellen, wobei jedes Fernsehprogramm einen mit ihm verbundenen spezifischen Schlüssel hat, der notwendig ist, um das betreffende Programmsignal zu entwürfeln oder zu entschlüsseln.
• Das an Esserman et al. erteilte US-Patent 5 115 467 mit dem Titel "Signal Encryption Apparatus for Generating Common and Distinct Keys " befaßt sich ebenfalls mit der Sicherheitsfrage. Das Patent offenbart die Erzeugung mehrerer verschiedenartiger Schlüssel und ihre Verwendung.
• Es sind bereits Verschlüsselungssysteme in Punkt-zu-Punkt- Systemen zum Einsatz gekommen, um Sendesignale gegen unberechtigten Empfang zu sichern. Bei solchen Methoden werden die Daten codiert, derart, daß Parteien ohne den geeigneten "Sitzungs-(Session-)schlüssel" nicht in der Lage sind, die Übermittlung zu entschlüsseln. Wenn ein derartiges Schema in einer Umgebung gemeinsam genutzter Medien (Shared-Media- Environment) verwendet wird, verlangte es bislang die Verbreitung von Sitzungsschlüsseln vor der Etablierung jeder Session oder Sitzung. Sitzungsschlüssel müssen streng vertraulich behandelt werden, weil ihre Kompromittierung für unberechtigte Parteien eine Gelegenheit darstellt, eine Übermittlung zu empfangen, zu deren Empfang sie nicht berechtigt sind.
• Eine weitere Lösung zur sicheren Übertragung von Informationssignalen in Punkt-zu-Punkt-Systemen ist ein "Space- Division"-System. In solchen Systemen werden individuelle Drähte benutzt, um jede Sitzung zu übertragen. Das einzige Signal, das auf der einzelnen Leitung vorhanden ist, ist dasjenige, welches für den Endknoten bestimmt ist, der an diese Leitung angeschlossen ist. Benutzer an anderen Endknoten haben keinen Zugriff zu Übermittlungen, zu deren Empfang sie nicht berechtigt sind.
• Space-Division-Systeme haben den Nachteil, daß ihre Einrichtung und Erhaltung teuer ist. Es muß ein separater verdrahteter oder Kabelpfad von der Kopfstation zu jedem einzelnen Teilnehmer geschaffen werden. Die Kosten für die Installation und Erhaltung solcher individueller Pfade sind prohibitiv.
• Bekannte Verschlüsselungssysteme sind für die Punkt-zu-Punkt- Kommunikation über gemeinsame Medien nicht optimal. Im einzelnen verlangen derartige bekannte Verschlüsselungssysteme die sichere Handhabung der Sitzungsschlüssel. Damit wird den Systembetreibern, die die verschiedenen Kopfstationsstellen, von denen aus die Signalverteilung zu den einzelnen Teilnehmern ihren Ursprung nimmt, bedienen, eine zusätzliche Bürde auferlegt.
• Es wäre vorteilhaft, ein Punkt-zu-Punkt-Sicherheitsschema bereitzustellen, welches die Verwendung "gemeinsamer Schlüssel" für alle Sitzungen innerhalb des Netzwerkes erlaubt. Gemeinsame Schlüssel sind Schlüssel, die quer durch eine Gesamtheit von verschiedenen Teilnehmern verwendet werden. Die gemeinsamen Schlüssel werden periodisch gewechselt, z. B. monatlich, wobei dieselben Schlüssel an verschiedene Teilnehmer verteilt werden. Derartige gemeinsame Schlüssel werden verbreitet, lange bevor irgendeine bestimmte Kommunikationssitzung aufgebaut wird, in der Information von der Kopfstation einem einzelnen Teilnehmer bereitgestellt wird. Die vorteilige Verwendung von gemeinsamen Schlüsseln würde es gestatten, die zum Einrichten einer sicheren Sitzung erforderliche Information mit einem niedrigeren Sicherheitslevel handzuhaben als in der Vergangenheit. Ein vorteilhaftes Resultat wäre, daß eine verwaltende Instanz, so etwa ein Verbindungs-Management- System, in der Lage wäre, Sitzungssicherheit herzustellen, ohne sichere Information handhaben zu müssen. Durch Eliminieren der Forderung, daß die Management-Instanz sichere Information handhaben muß, können die Kosten für die damit verbundene sichere Hardware und Software sowie die aus der Handhabung sicherer Information resultierende Kostenbelastung eingespart werden.
• Die vorliegende Erfindung schafft ein Datensicherheitsschema für ein Punkt-zu-Punkt-Kommunikationssystem, welches die im vorstehenden erwähnten Vorteile aufweist. Im besonderen nimmt die vorliegende Erfindung die Handhabung sicherer Information aus den Händen des Verbindungs-Management-Systems oder einer anderen verwaltenden Instanz, um sie in einen zentralisierten "Verschlüsselungs-Controller" zu legen, der in einem Sicherheitsbunker oder einem anderen sicheren Bereich unterhalten werden kann, um mit den Signal-Schalt- oder -Vermittlungs- und -Verteilkomponenten des Systems je nach Bedarf zu kommunizieren; z. B. für die Systemkonfiguration. Ist das Verbindungs-Management-System erst einmal konfiguriert, ist eine Teilnahme des Verschlüsselungs-Controllers am eigentlichen Aufbau einzelner Sitzungen nicht mehr gefordert.
ZUSAMMENFASSUNG DER ERFINDUNG
• Die Erfindung ist in den unabhängigen Ansprüchen 1, 6 und 13 dargelegt.
• Erfindungsgemäß wird ein Verfahren geschaffen zur sicheren Punkt-zu-Punkt-Kommunikation von Informationen an spezifische Anschlußeinheiten, die an ein gemeinsames Netzwerk gekoppelt sind. Jeder aus einer Mehrzahl von an das Netzwerk gekoppelten Anschlußeinheiten wird ein anderer Sitzungsidentifizierer sicher zugeführt. Information, die einer der Anschlußeinheiten bereitzustellen ist, wird unter dem Sitzungsidentifizierer dieser Anschlußeinheit verschlüsselt. Die verschlüsselte Information wird an bestimmten Plätzen eines Signalmultiplex eingefügt. Der Signalmultiplex wird über einen Teil des Netzwerks, welches die Anschlußeinheit bedient, die die Information empfangen soll, übertragen. Der Anschlußeinheit werden (z. B. via separaten Signalisierungskanal) die bestimmten Plätze der verschlüsselten Information in dem Signalmultiplex mitgeteilt. Der Anschlußeinheit wird außerdem eine Übertragungsfrequenz mitgeteilt, bei der der Signalmultiplex auf dem Netzwerkteil getragen wird. Mit dieser Information kann die Anschlußeinheit auf die Übertragungsfrequenz abstimmen, um den Signalmultiplex zu lokalisieren. Sobald der Signalmultiplex lokalisiert ist, kann die Anschlußeinheit die für sie zum Empfang bestimmte verschlüsselte Information von den bestimmten Plätzen in dem Signalmultiplex zurückgewinnen. Die Anschlußeinheit kann dann die Information unter Verwendung des Sitzungsidentifizierers der Anschlußeinheit entschlüsseln.
• Das Verfahren kann die weiteren Schritte umfassen, einer jeden von der Mehrzahl von Anschlußeinheiten einen gemeinsamen Schlüssel zur Verfügung zu stellen, und die Information unter dem gemeinsamen Schlüssel sowie unter dem Sitzungsidentifizierer der Anschlußeinheit, welche die Information empfangen soll, zu verschlüsseln. Auf diese Weise kann die Anschlußeinheit die Information unter Verwendung ihres Sitzungsidentifizierers und des gemeinsamen Schlüssels entschlüsseln.
• Bei einer bevorzugten Ausführungsform erhält die Anschlußeinheit während des Mitteilungsschrittes Weisung, auf die Übertragungsfrequenz abzustimmen, um die verschlüsselte Information zur Entschlüsselung zu lokalisieren. Die Möglichkeit ist gegeben, daß der Mitteilungsschritt den Sitzungsidentifizierer verwendet, um spezifische Anweisungen an die Anschlußeinheit zu richten. Eine andere Möglichkeit besteht darin, daß die Anschlußeinheit eine eindeutige Adresse umfaßt, die von dem Mitteilungsschritt verwendet wird, um spezifische Anweisungen an die Anschlußeinheit zu richten. Bei einer anderen Anordnung können sowohl der Sitzungsidentifizierer wie auch die Anschlußeinheitenadresse verwendet werden, um spezifische Anweisungen an die Anschlußeinheit zu richten. Die Adresse und/oder der Sitzungsidentifizierer für eine bestimmte Anschlußeinheit können der betreffenden Anschlußeinheit während deren Installation an einem Endanwender-Ort zugeführt und geladen werden.
• Die Erfindung schafft ferner ein gemeinsames Kommunikationsnetzwerk, welches die sichere Punkt-zu-Punkt-Kommunikation von Informationen an spezifische Anschlußeinheiten, welche an das Netzwerk gekoppelt sind, ermöglicht. Eine Mehrzahl von Anschlußeinheiten sind an das Netzwerk gekoppelt, wobei jede einen auf sichere Weise in ihr gespeicherten Sitzungsidentifizierer aufweist. Es sind Mittel vorgesehen zum Verschlüsseln von Information für eine der Anschlußeinheiten unter dem Sitzungsidentifizierer dieser Anschlußeinheit. Einfügemittel fügen die verschlüsselte Information an bestimmten Plätzen in einem Signalmultiplex ein. Ein Sender ist vorgesehen, um den Signalmultiplex über einen Teil des Netzwerkes zu übertragen, welches die Anschlußeinheit bedient, die die Information empfangen soll. Es sind Mittel vorgesehen, um der Anschlußeinheit, welche die Information empfangen soll, die bestimmten Plätze der verschlüsselten Information in dem Signalmultiplex mitzuteilen. Der Anschlußeinheit wird auch eine Übertragungsfrequenz mitgeteilt, bei der der Signalmultiplex auf dem Netzwerkteil getragen wird. Die Anschlußeinheiten können auf ihre Sitzungsidentifizierer und/oder auf eindeutig zu ihnen gehörende Adressen ansprechen, um an sie gerichtete Anweisungen von den Mitteilungsmitteln zu empfangen.
• Die Anschlußeinheit umfaßt eine frequenzagile Abstimmvorrichtung zum Abstimmen auf die Übertragungsfrequenz, um den Signalmultiplex als Antwort auf Anweisungen von den Mitteilungsmitteln zu lokalisieren. Es sind Mittel in der Anschlußeinheit vorgesehen, um die verschlüsselte Information von den bestimmten Plätzen des Signalmultiplex zurückzugewinnen, und um die rückgewonnene verschlüsselte Information unter Verwendung des Sitzungsidentifizierers der Anschlußeinheit zu entschlüsseln.
• Die erfindungsgemäße Einrichtung kann ferner Verschlüsselungs-Steuermittel umfassen, um den Verschlüsselungsmitteln und einer jeden von der Mehrzahl von Anschlußeinheiten einen gemeinsamen Schlüssel bereitzustellen. Die Verschlüsselungsmittel können dann die Information unter dem gemeinsamen Schlüssel wie auch unter dem Sitzungsidentifizierer der Anschlußeinheit, welche die Information empfangen soll, verschlüsseln. Die Anschlußeinheit entschlüsselt dann die Information unter Verwendung ihres Sitzungsidentifizierers und des gemeinsamen Schlüssels.
• Die Verschlüsselungs-Steuermittel können von den Verschlüsselungsmitteln getrennt und sicherer als diese sein. Die Verschlüsselungs-Steuermittel werden einen eindeutigen Einheitenschlüssel für jede der Anschlußeinheiten sicher unterhalten. Die Einheitenschlüssel werden von den Verschlüsselungs-Steuermitteln zur sicheren Übermittlung der Sitzungsidentifizierer zu ihren jeweiligen Anschlußeinheiten verwendet.
• Es kann eine Mehrzahl von Informations-Servern vorgesehen sein. Diese Server geben bestimmte Informationen (z. B. Datendienste, Fernsehprogramme, Kinofilme oder spezielle Events) auf Anforderung aus. Ein Schalter wird in Verbindung mit den Informations-Servern verwendet, um Daten zu geeigneten Verteilknoten zu leiten, und Informationen von den Servern selektiv in den Signalmultiplex zu kombinieren. Bei einer beispielhaften Ausführungsform ist eine Mehrzahl von Schaltern an die Mehrzahl von Informations-Servern gekoppelt, um Informationen von den Servern selektiv in eine Mehrzahl von Multiplexen zu kombinieren. Die verschiedenen Multiplexe werden dann auf verschiedenen Teilen des Netzwerkes übertragen. Beispielsweise können verschiedene Multiplexe zu verschiedenen Nachbarschaften übertragen werden.
• Es ist eine Anschlußeinheit vorgesehen, um spezifisch an sie gerichtete Informationen von einem Dienste-Anbieter über ein gemeinsam genutztes Kommunikationsnetzwerk zu empfangen. Die Anschlußeinheit umfaßt Mittel zum sicheren Empfangen und Speichern eines Sitzungsidentifizierers, der eindeutig zu der Anschlußeinheit gehört. Es sind Mittel vorgesehen, um Frequenz- und Demultiplexing-Anweisungen von einem Verbindungs-Manager zu empfangen. Ein frequenzagiler Empfänger, der auf die Frequenz-Anweisungen anspricht, stimmt auf eine Frequenz ab, bei der ein Signalmultiplex, welcher Information für die Anschlußeinheit enthält, auf dem Netzwerk getragen wird. Ein Demultiplexer, der auf die Demultiplexing- Anweisungen anspricht, gewinnt spezifisch an die Anschlußeinheit gerichtete verschlüsselte Information zurück. Die Anschlußeinheit umfaßt ferner Entschlüsselungsmittel zum Entschlüsseln der verschlüsselten Information unter Verwendung des Sitzungsidentifizierers.
• Die Anschlußeinheit kann Mittel umfassen zum Empfangen und Speichern eines gemeinsamen Schlüssels, unter dem die Information ebenfalls verschlüsselt ist. Die Entschlüsselungsmittel entschlüsseln dann die verschlüsselte Information unter Verwendung des gemeinsamen Schlüssels und des Sitzungsidentifizierers. Der Sitzungsidentifizierer kann unter einem Einheitenschlüssel verschlüsselt sein, der eindeutig zu der Anschlußeinheit gehört.
• Auf ähnliche Weise kann das Punkt-zu-Punkt-Sicherheitsschema auch dazu verwendet werden, Informationen zu sichern, die von der Anschlußeinheit zurück durch das Netzwerk zu einem Informations-Provider fließen. In einem solchen Fall wird die Anschlußeinheit Informationen zurück zum Informations-Anbieter mindestens unter dem eindeutig zu der Anschlußeinheit gehörenden Sitzungsidentifizierer verschlüsselt senden.
KURZBESCHREIBUNG DER FIGUREN
• Fig. 1 ist ein Blockdiagramm eines Verschlüsselungs-Controllers und verschiedener Kopfstations-Komponenten in einer beispielhaften Ausführungsform der vorliegenden Erfindung; und
• Fig. 2 ist ein Blockdiagramm einer Teilnehmer-Anschlußeinheit in einer beispielhaften Ausführungsform der vorliegenden Erfindung.
DETAILBESCHREIBUNG DER ERFINDUNG
• Die folgende Detailbeschreibung der Erfindung betrifft ein Video-on-Demand-System. Selbstverständlich kann das System aber auch auf andere Systeme zur Zuführung interaktiver Dienste Anwendung finden. Derartige Systeme umfassen die Zuführung von Audio-, Text- und/oder grafischen Daten für jeden gewünschten Zweck, einschließlich Geschäftskommunikation, Finanztransaktionen, Kauf von Waren und Dienstleistungen über Computer, Telefon und dergleichen. Die Erfindung ist ferner anwendbar auf Daten, die in einer rücklaufenden Richtung von einer Benutzer-Anschlußeinheit an einen Informations-Provider übertragen werden.
• Bei der beispielhaften Ausführungsform von Fig. 1 gehen Videoprogramme von mehreren Video-Servern 10, 12 aus, welche digitalisierte Video-, Audio- und damit verbundene Daten speichern oder erzeugen. Auf eine Anforderung (z. B. eines Teilnehmers) hin, die über eine Kommunikations- Schnittstelle 28 übermittelt wird, erhält der Verbindungs- Manager 24 die Weisung, die Zuführung des angeforderten Programms zu initiieren. Der Verbindungs-Manager wird einen Server, der das gewünschte Programm speichert, anweisen, die Ausgabe der Programmdaten auf einen Schalter 14 einzuleiten.
• Der Verbindungs-Manager weist den Schalter an, Daten von dem spezifizierten Server zu einem spezifizierten aus einer Mehrzahl von Multiplexern/Verschlüsselern 16, 18 zu leiten.
• Die Multiplexer/Verschlüsseler kombinieren einen Satz von Eingabedatenströmen zu einem zusammengesetzten Multiplex zum Zuführen zu einer selektierten Nachbarschaft. Die Multiplexer/Verschlüsseler verschlüsseln außerdem jede Eingabe (d. h. jede Programm- oder Datenverbindung) in eindeutiger Weise zur Zuführung zu einer einzelnen Teilnehmer-Anschlußeinheit in dieser Nachbarschaft. Die Ausgabe von jedem Multiplexer/Verschlüsseler wird durch einen entsprechenden Modulator 20, 22 auf Hochfrequenz (HF) moduliert und in eine geeignete Frequenz zur Übertragung durch ein entsprechendes Breitbandmedium 34, 36, z. B. ein faseroptisches oder Koaxial- Verteilkabel, umgewandelt. Dasselbe Breitbandmedium, welches Signale zu den verschiedenen Nachbarschaften führt und letztendlich zu einzelnen Teilnehmer-Anschlußeinheiten, trägt auch Signale von den Teilnehmer-Anschlußeinheiten zurück zu der Kommunikationsschnittstelle. Es sind Abgriffe 30, 32 vorgesehen, um Signale zu und von den Teilnehmer- Anschlußeinheiten mit der Kommunikationsschnittstelle 28 zu koppeln.
• Fig. 1 zeigt lediglich zwei Server 10, 12 mit den dazugehörigen Multiplexern/Verschlüsselern 16, 18, Modulatoren 20, 22 und Hreitbandmedien 34, 26; es versteht sich jedoch, daß jede beliebige Anzahl solcher Komponenten in einem Signalverteilsystem in Einklang mit der vorliegenden Erfindung vorgesehen werden kann. Die Anzahl der benötigten Server wird durch die Anzahl der verschiedenen Programme diktiert, mit der eine voraussichtliche Anzahl von Teilnehmer-Anschlußeinheiten zu jedem beliebigen Zeitpunkt voraussichtlich zu bedienen ist. Es versteht sich von selbst, daß bei der Implementierung eines solchen Systems den Kapazitäten der verschiedenen Komponenten, wie Server und Multiplexer, Rechnung zu tragen ist. Wenn zum Beispiel jeder Server 100 verschiedene Verbindungen abwickeln kann und man damit rechnet, 1000 Anschluß-Ports zu benötigen, dann sind mindestens zehn Server an der Kopfstation bereitzustellen.
• Die Verschlüsselung der zu den einzelnen Teilnehmer-Anschlußeinheiten übertragenen Signale wird in der Weise gesteuert, daß sich die Notwendigkeit für den Kopfstationsbetreiber, sichere Information handhaben zu müssen, erübrigt. Bei ihrer Installation wird der Anschlußeinheit ein gemeinsamer Schlüssel gegeben (z. B. ein monatlicher Schlüssel), der universell für das System oder eine Teilmenge desselben gilt und von allen Anschlußeinheiten in dem System oder der Teilmenge festgehalten wird. Herkömmliche Mittel werden verwendet, um diesen Schlüssel derart zu übermitteln und zu speichern, daß die Sicherheit gewährleistet ist. Beispielsweise kann die Zustellung des gemeinsamen Schlüssels an jede einzelne Anschlußeinheit verschlüsselt unter dem Einheitenschlüssel dieser Anschlußeinheit geschehen.
• Der gemeinsame Schlüssel hat seinen Ursprung in dem Verschlüsselungs-Controller 26 und wird der Anschlußeinheit via Kommunikationsschnittstelle 28 übertragen. Der Verschlüsselungs-Controller stellt den gemeinsamen Schlüssel auch den Multiplexern/Verschlüsselern 16, 18 bereit. Der gemeinsame Schlüssel wird von den Multiplexern/Verschlüsselern beim Verschlüsseln der Informationssignale (z. B. Videoprogramme) verwendet, die zu den Teilnehmer-Anschlußeinheiten übertragen werden.
• Neben der Weitergabe eines gemeinsamen Schlüssels an eine neue Anschlußeinheit und dem periodischen Wechsel der gemeinsamen Schlüssel unter allen oder einer Teilmenge der installierten Anschlußeinheiten, weist der Verschlüsselungs- Controller 26 außerdem jeder einzelnen Anschlußeinheit einen eindeutigen Sitzungsidentifizierer zu. Jede installierte Anschlußeinheit wird nur Punkt-zu-Punkt-Übermittlungen erkennen, die unter ihrem eigenen Sitzungsidentifizierer gesendet werden. Wie bei der Verbreitung der gemeinsamen Schlüssel werden auch hier bekannte Methoden eingesetzt, um den Sitzungsidentifizierer für jede Anschlußeinheit in sicherer Weise zuzuführen und zu speichern. Beispielsweise kann jede Anschlußeinheit ihren jeweiligen Sitzungsidentifizierer unter ihrem Einheitenschlüssel und/oder anderen, der Anschlußeinheit bekannten Schlüsseln verschlüsselt empfangen. Auf diese Weise wird eine Kompromittierung der Systemsicherheit durch Abfangen oder heimliches Einfügen eines illegitimen Sitzungsidentifizierers in eine sichere Anschlußeinheit unterbunden.
• Der Verschlüsselungs-Controller führt ferner eine Kopie des eindeutigen Sitzungsidentifizierers für eine bestimmte Anschlußeinheit dem Verbindungs-Manager 24 und alle anderen Instanzen zu, so etwa den Multiplexern/Verschlüsselern 16, 18, welche den Sitzungsidentifizierer benötigen, um Verbindungen zwischen Systemelementen und der Teilnehmer- Anschlußeinheit, die einen bestimmten Dienst empfangen soll, einzurichten.
• Als Antwort auf eine Eingabe von der Teilnehmer-Anschlußeinheit, empfangen via Kommunikationsschnittstelle 28, oder von einem der Server 10, 12 wird der Verbindungs-Manager eine Verbindung von dem geeigneten Server zu der Teilnehmer- Anschlußeinheit einrichten. Zu diesem Zweck wird der Verbindungs-Manager zunächst eine Nachricht an den Schalter 14 senden, um eine Verbindung zwischen dem gewählten Server und einem Multiplexer/Verschlüsseler herzustellen, der die Nachbarschaft bedient, in der die gewählte Teilnehmer-Anschlußeinheit residiert. Dann wird der Verbindungs-Manager eine Nachricht an den Multiplexer/Verschlüsseler senden, welche das erforderliche Ausgabeformat spezifiziert, damit der Teilnehmer-Anschlußeinheit das Signal richtig übermittelt werden kann. Beispielsweise kann der Multiplexer/Verschlüsseler einen Signal-Transcoder umfassen, der ein Videosignal in einem ersten Format (z. B. im Asynchronous Transfer Mode (ATM)-Format) in ein zweites Format (z. B. das Moving Pictures Expert Group (MPEG)-Format) umwandelt, das die jeweilige Teilnehmer-Anschlußeinheit verlangen mag. Dar Verbindungs- Manager sendet außerdem ein Identifizierungssignal an den Multiplexer/Verschlüsseler, welches als eine Komponente des Ausgabe-Multiplex einzubeziehen ist. Dieses Identifizierungssignal ist notwendig für die Teilnehmer-Anschlußeinheit, damit der richtige Dienst innerhalb eines über den Kommunikationspfad übertragenen Multiplex von Diensten herausgefunden werden kann.
• Der Verbindungs-Manager teilt dem Multiplexer/Verschlüsseler den eindeutigen Sitzungsidentifizierer mit, der der Teilnehmer-Anschlußeinheit zugewiesen ist, welche das gerade verarbeitete jeweilige Signal empfangen soll. Es ist anzumerken, daß zu jeder beliebigen Zeit jeder einzelne Multiplexer/Entschlüsseler eine Mehrzahl von verschiedenen Signalen empfangen kann, die alle verarbeitet und an verschiedenen Plätzen innerhalb der zusammengesetzten, gemultiplexten Ausgabe zu dem entsprechenden Modulator gleichzeitig übertragen werden. Also wird der Verbindungs-Manager gegenüber dem Multiplexer/Verschlüsseler auch einen spezifischen Eingang des Multiplexers/Verschlüsselers identifizieren, der das jeweilige Signal von dem Schalter 14 empfängt.
• Zusätzlich dazu, daß er den Multiplexer/Verschlüsseler mit der notwendigen Information versorgt, um ein Signal zur Übertragung zu einer Teilnehmer-Anschlußeinheit richtig zu verarbeiten, wird der Verbindungs-Manager der Teilnehmer-Anschlußeinheit eine Mitteilung zukommen lassen, welche die Frequenz identifiziert, auf der der geeignete zusammengesetzte Multiplex gefunden werden kann, und den Komponenten-Identifizierer, der angibt, welche Komponente des Multiplex diejenige ist, die zum Empfang durch die Teilnehmer-Anschlußeinheit gedacht ist. Diese Information wird der Teilnehmer- Anschlußeinheit über die Kommunikationsschnittstelle 28 übermittelt. Sobald die Teilnehmer-Anschlußeinheit Mitteilung über die richtige Frequenz und Komponenten-ID erhalten wird, wird sie auf diese Frequenz abstimmen, die Komponente des eingehenden Multiplex, worin die Daten für diese Anschlußeinheit übertragen werden, lokalisieren und die Komponente zur Entschlüsselung rückgewinnen. Die Komponenten einer Teilnehmer-Anschlußeinheit, welche diese Funktionen ausüben, sind in Fig. 2 dargestellt.
• Die Teilnehmer-Anschlußeinheit empfängt den von einem der Modulatoren 20, 22 ausgegebenen Multiplex über den entsprechenden Kommunikationspfad 34, 36. Der Multiplex wird in eine frequenzagile Abstimmeinrichtung 42 über einen Anschluß 40 eingegeben. Die Signalisierungsdaten von der Kommunikationsschnittstelle 28 werden einem Datenempfänger 52 über denselben Pfad oder über einen separaten Signalisierungspfad (nicht gezeigt) via Anschluß 50 zugeführt. Beispielsweise können in einer Breitband-Implementierung der Multiplex von Programmsignalen auf einer Frequenz und die Steuer- oder Kontrollinformationen von der Kommunikationsschnittstelle 28 auf einer separaten Frequenz getragen werden. Ebenso könnten Programmsignalmultiplex und Steuerdaten auf einer einzigen Frequenz übertragen werden. Für den Fachmann wird erkennbar sein, daß die diversen Wege, die verschiedenen Daten zu übertragen, jeweils Vor- und Nachteile haben, und daß jede bestimmte Implementierung das Resultat verschiedener technischer Kompromisse sein wird.
• Es wird ferner erkennbar sein, daß, wenn eine bidirektionale Kommunikation zwischen der Teilnehmer-Anschlußeinheit und dem Service-Provider via Kommunikationsschnittstelle 28 vorgesehen ist, ein Datensender (nicht gezeigt) vorgesehen sein wird, um Daten (z. B. vom sicheren Prozessor 46) über den entsprechenden Kommunikationspfad 34, 36 zurück zum Dienste- Anbieter zu übermitteln. Als weitere Möglichkeit kann an die Stelle des Datenempfängers 52 ein Daten-Transceiver treten, der Daten via Anschluß 50 empfangen und senden kann. Bei der letztgenannten Ausführungsform wird der Pfad zwischen dem sicheren Prozessor 46 und dem Daten-Transceiver 52 ein bidirektionaler Pfad sein, so daß Daten vom Prozessor 46 (z. B. verschlüsselt unter dem Sitzungsidentifizierer der Teilnehmer-Anschlußeinheit) via Anschluß 50 an die Kommunikationsschnittstelle 28 des Dienste-Provider ausgegeben werden können.
• Bei einer bevorzugten Ausführungsform wird jeder Teilnehmer- Anschlußeinheit ihre eigene, eindeutige Adresse 54 zum Zeitpunkt ihrer Installation bereitgestellt. Der Datenempfänger 52 benutzt diese Adresse, um die jeweilige Steuerinformation zu identifizieren, die zu dieser Anschlußeinheit gesendet wird. Hat der Datenempfänger an die Anschlußeinheit adressierte Daten erkannt, wird er die Steuerdaten zurückgewinnen. Derartige Daten identifizieren die Frequenz, welche einen Signalmultiplex trägt, der Informationen für die Anschlußeinheit enthält. Sie enthalten außerdem den Multiplex-Komponenten-Identifizierer, der angibt, wo in dem Signalmultiplex die für die Anschlußeinheit bestimmten Daten zu finden sind. Nach Empfang dieser Information wird der Datenempfänger 52 die frequenzagile Abstimmeinrichtung 42 aktivieren, um auf die geeignete Frequenz abzustimmen, so daß der die Informationen für die Anschlußeinheit enthaltende Multiplex erhalten werden kann. Gleichzeitig wird einem Demultiplexer 44 die bestimmte Komponente in dem empfangenen Multiplex mitgeteilt, worin die Informationen für die Teilnehmer-Anschlußeinheit enthalten sind.
• Der Demultiplexer 44 empfängt den Multiplex von der frequenzagilen Abstimmeinrichtung 44 und gibt die Komponente des Multiplex aus, welche die Informationen für die Teilnehmer- Anschlußeinheit trägt. Diese Komponente wird an einen sicheren Prozessor 46 weitergeleitet, der die in der von dem Demultiplexer ausgegebenen Komponente übertragenen Daten entschlüsselt. Der sichere Prozessor 46 benutzt den zuvor gespeicherten Sitzungsidentifizierer 45 und kann auch den zuvor gespeicherten Einheitenschlüssel 47 und/oder den zuvor gespeicherten gemeinsamen Schlüssel 49 benutzen, um die von dem Demultiplexer 44 empfangenen Daten zur Ausgabe auf Leitung 60 zu entschlüsseln.
• Weil der Sitzungs-ID 45 auf sichere Weise in die Teilnehmer- Anschlußeinheit geladen wurde (z. B. verschlüsselt unter dem Einheitenschlüssel), ist es für einen Piraten unmöglich, einen generischen Sitzungs-ID in andere Anschlußeinheiten zu laden, um durch Emulation einer autorisierten Anschlußeinheit Dienste zu stehlen. Das ursprüngliche Laden des Sitzungs-ID in die Teilnehmer-Anschlußeinheit kann via Datenempfänger 52 geschehen. Der Datenempfänger 52 kann auch neue gemeinsame Schlüssel auf periodischer Basis (z. B. monatlich) via Datenempfänger 52 empfangen. Wie im vorstehenden erwähnt, kann der Datenempfänger - wegen Vorsehens der eindeutigen Anschlußeinheitenadresse 54 - nur Information empfangen, die an die jeweilige Teilnehmer-Anschlußeinheit adressiert ist. Der Einheitenschlüssel, der nach erfolgter Herstellung oder ursprünglicher Installation der Teilnehmer-Anschlußeinheit nicht geändert wird, könnte über den Datenempfänger 52 geladen werden. Es ist auch möglich, den Einheitenschlüssel in einem Nur-Lese-Speicher oder via festverdrahtete Vorgehensweise innerhalb des sicheren Prozessors 46 bereitzustellen. Andere bekannte Methoden zur Einrichtung des Einheitenschlüssels können ebenfalls Verwendung finden.
• Das erfindungsgemäße System schafft Sicherheit, indem es die Verteilung sensibler Schlüssel-Information, so etwa von gemeinsamen Schlüsseln, auf eine kleine Zahl von hochgesicherten Vorrichtungen begrenzt. Sensible Informationen werden an Teilnehmer-Anschlußeinheiten auf sichere Weise weitergegeben, zum Beispiel durch Verschlüsselung unter dem Einheitenschlüssel für die betreffende Anschlußeinheit. Geheime Information, wie die Einheitenschlüssel, ist nur dem Verschlüsselungs-Controller 26 bekannt. Weil diese geheime Information notwendig ist, um den einzelnen Teilnehmer- Anschlußeinheiten Dienste-Autorisierungsinformation zuzuführen, kann ein Pirat eine illegale Autorisierung nicht in eine Anschlußeinheit laden.
• Vorteilhaft kann die Dienste-Autorisierungsinformation, die auf dem Sitzungs-ID einer Anschlußeinheit, die eine bestimmte Übermittlung empfangen soll, basiert, an nichtsichere Sitzungs-Management-Instanzen weitergegeben werden, so etwa an den Verbindungs-Manager 24. Durch Verwendung der Sitzungs-ID-Information können diese nichtsicheren Sitzungs- Management-Instanzen Sitzungskonnektivität autonom herstellen, ohne die unmittelbare Beteiligung des Verschlüsselungs-Controllers.
• Es sollte nun erkennbar sein, daß die vorliegende Erfindung eine Berechtigungskontrolle in einem Punkt-zu-Punkt-Kommunikationssystem schafft, die ein gemeinsam genutztes Medium durchquert. Nur die Partei mit der geeigneten Berechtigung für ein Signal kann dieses empfangen. Gemeinsame Schlüssel werden für alle Sitzungen innerhalb des Netzwerks verwendet und können lange vor Einrichtung irgendeiner Punkt-zu-Punkt- Kommunikationssitzung, d. h. der Verteilung eines Videoprogramms oder einer Daten-Session, verbreitet werden. Nichtsichere Schalt- oder Vermittlungseinrichtungen können Zugang haben zu einem eindeutigen Sitzungsidentifizierer für die Anschlußeinheit zum Empfangen eines Programms, ohne die Systemsicherheit zu brechen. Obgleich Programme unter dem Sitzungsidentifizierer verschlüsselt sind, kann der Sitzungsidentifizierer selbst nicht in eine Teilnehmer- Anschlußeinheit geladen werden, ohne Kenntnis eines geheimen Einheitenschlüssels, der in die Teilnehmer-Anschlußeinheit geladen und von einem hochsicheren Verschlüsselungs- Controller unterhalten wird. Abgesehen davon, daß er den Schalt- und Verschlüsselungskomponenten den Sitzungsidentifizierer mitteilt, ist der Verschlüsselungs-Controller an der Verschlüsselung bestimmter Signale, die auf eine bestimmte Teilnehmer-Anschlußeinheit ausgerichtet sind, nicht aktiv beteiligt. Weil der Verschlüsselungs-Controller typisch den Schalt- und Verschlüsselungskomponenten den Sitzungsidentifizierer lange vor einer Sitzung mitteilt, ist er nicht in die Verschlüsselung der Signale involviert, die an die Teilnehmer-Anschlußeinheiten auf Echtzeit-Hasis verteilt werden.
• Es sollte ferner erkennbar sein, daß die in Verbindung mit der Erfindung verwendeten Teilnehmer-Anschlußeinheiten für Punkt-zu-Punkt-Kommunikation ausgelegt sein können, wie hierin beschrieben, oder aber allgemeine Anschlußeinheiten sein können, die zum Empfang von Punkt-zu-Punkt-Übermittlungen wie auch von Broadcast-Übermittlungen befähigt sind. Ist der Empfang von Broadcast-Signalen vorgesehen, können herkömmliche Sicherheitsschemata für sich allein oder in Kombination mit den Lehren der vorliegenden Offenbarung verwendet werden.
• Die Erfindung wurde in Zusammenhang mit einer bestimmten Ausführungsform der Erfindung beschrieben; selbstverständlich sind zahlreiche Adaptionen und Modifikationen hierzu möglich, ohne den Bereich der Erfindung, wie er in den Ansprüchen dargelegt ist, zu verlassen.

Claims (21)

1. Verfahren zur sicheren Punkt-zu-Punkt-Kommunikation von Informationen eines Informationsdienstes von einer Kopfstation zu einer spezifischen Anschlußeinheit, welche an ein gemeinsames Netzwerk gekoppelt ist, umfassend die Schritte:

sicheres Zuführen eines unterschiedlichen Sitzungsidentifizierers zu jeder aus einer Mehrzahl von an das Netzwerk gekoppelten Anschlußeinheiten, einschließlich der spezifischen Anschlußeinheit;

Verschlüsseln der Informationen, welche der spezifischen Anschlußeinheit bereitzustellen sind, unter dem Sitzungsidentifizierer dieser Anschlußeinheit;

Einfügen der verschlüsselten Informationen an bestimmten Plätzen in einem Signalmultiplex;

Übertragen des Signalmultiplex über einen Teil des Netzwerkes, welches die spezifische Anschlußeinheit bedient; und

Bereitstellen eines Identifizierungssignals von der Kopfstation, um der spezifischen Anschlußeinheit die bestimmten Plätze der verschlüsselten Informationen in dem Signalmultiplex und eine Übertragungsfrequenz, bei der der Signalmultiplex auf dem Netzwerkteil getragen wird, mitzuteilen; wobei:

als Antwort auf den Empfang des Identifizierungssignals die spezifische Anschlußeinheit auf die Übertragungsfrequenz abstimmt, um den Signalmultiplex zu lokalisieren, die verschlüsselten Informationen von den bestimmten Plätzen zurückgewinnt und die Informationen unter Verwendung des Sitzungsidentifizierers der Anschlußeinheit entschlüsselt.

2. Verfahren nach Anspruch 1, umfassend die weiteren Schritte:

Bereitstellung eines gemeinsamen Schlüssels an jede aus der Mehrzahl von Anschlußeinheiten und

Verschlüsseln der Informationen unter dem gemeinsamen Schlüssel sowie unter dem Sitzungsidentifizierer der spezifischen Anschlußeinheit;

wodurch die spezifische Anschlußeinheit die Informationen unter Verwendung ihres Sitzungsidentifizierers und des gemeinsamen Schlüssels entschlüsselt.

3. Verfahren nach Anspruch 2, wobei die spezifische Anschlußeinheit während des Mitteilungsschrittes Anweisung erhält, auf die Übertragungsfrequenz abzustimmen, um die verschlüsselten Informationen zu lokalisieren und zu entschlüsseln.

4. Verfahren nach Anspruch 1, wobei der Mitteilungsschritt eine eindeutige Anschlußeinheitenadresse verwendet, um spezifische Anweisungen an die spezifische Anschlußeinheit zu richten.

5. Verfahren nach einem der Ansprüche 1 bis 4, wobei ein anfänglicher Sitzungsidentifizierer jeder der Anschlußeinheiten während der Installation der jeweiligen Anschlußeinheit an einem Endbenutzerort zugeführt wird.

6. Gemeinsames Kommunikationsnetzwerk zur Bereitstellung sicherer Punkt-zu-Punkt-Kommunikation von Informationen eines Informationsdienstes von einer Kopfstation zu einer spezifischen Anschlußeinheit, welche an das Netzwerk gekoppelt ist, umfassend:

eine Mehrzahl von an das Netzwerk gekoppelten Anschlußeinheiten, einschließlich der spezifischen Anschlußeinheit, wobei jede Anschlußeinheit einen auf sichere Weise in ihr gespeicherten eindeutigen Sitzungsidentifizierer aufweist;

einen Verschlüsselungs-Controller, der die eindeutigen Sitzungsidentifizierer auf sichere Weise einer jeden aus der Mehrzahl von Anschlußeinheiten zuweist;

auf den Verschlüsselungs-Controller ansprechende Mittel zum Verschlüsseln der der spezifischen Anschlußeinheit bereitzustellenden Informationen unter dem Sitzungsidentifizierer dieser Anschlußeinheit;

Mittel zum Einfügen der verschlüsselten Informationen an bestimmten Plätzen in einem Signalmultiplex;

Mittel zum Übertragen des Signalmultiplex über einen Teil des Netzwerkes, welches die spezifische Anschlußeinheit bedient; und

mit der Kopfstation verbundene Mittel zur Bereitstellung eines Identifizierungssignals an die spezifische Anschlußeinheit, um der spezifischen Anschlußeinheit die bestimmten Plätze der verschlüsselten Information in dem Signalmultiplex und eine Übertragungsfrequenz, bei der der Signalmultiplex auf dem Netzwerkteil getragen wird, mitzuteilen;

wobei die spezifische Anschlußeinheit umfaßt:

eine frequenzagile Abstimmvorrichtung zum Abstimmen auf die Übertragungsfrequenz, um den Signalmultiplex als Antwort auf das Identifizierüngssignal zu lokalisieren, Mittel zum Rückgewinnen der verschlüsselten Informationen von den bestimmten Plätzen des Signalmultiplex und

Mittel zum Entschlüsseln der rückgewonnenen verschlüsselten Informationen unter Verwendung des Sitzungsidentifizierers der Anschlußeinheit.

7. Einrichtung nach Anspruch 6, wobei:

der Verschlüsselungs-Controller einen gemeinsamen Schlüssel an die Verschlüsselungsmittel und an eine jede aus der Mehrzahl von Anschlußeinheiten bereitstellt und

die Verschlüsselungsmittel die Informationen unter dem gemeinsamen Schlüssel wie auch unter dem Sitzungsidentifizierer der spezifischen Anschlußeinheit verschlüsseln und die spezifische Anschlußeinheit die Informationen unter Verwendung ihres Sitzungsidentifizierers und des gemeinsamen Schlüssels entschlüsselt.

8. Einrichtung nach Anspruch 6 oder 7, wobei die Anschlußeinheiten auf eindeutige Anschlußeinheitenadressen ansprechen, um an sie gerichtete Anweisungen von den Mitteilungsmitteln zu empfangen.

9. Einrichtung nach Anspruch 7, wobei der Verschlüsselungs- Controller von den Verschlüsselungsmitteln getrennt ist und so konfiguriert ist, daß er einen höheren Sicherheitslevel aufweist als die Verschlüsselungsmittel, und für jede der Anschlußeinheiten einen eindeutigen Einheitenschlüssel sicher unterhält, wobei die Einheitenschlüssel von dem Verschlüsselungs-Controller verwendet werden, um die Sitzungsidentifizierer an ihre jeweiligen Anschlußeinheiten sicher zu übermitteln.

10. Einrichtung nach Anspruch 6, ferner umfassend:

einen Verbindunge-Manager zum Initiieren der Punkt-zu- Punkt-Kommunikation der Informationen, wobei der Verbindungs-Manager auf den Verschlüsselungs-Controller anspricht;

eine Mehrzahl von Informations-Servern und einen Schalter zum selektiven Kombinieren von Informationen von den Servern in den Multiplex;

wobei die Informations-Server und der Schalter auf den Verbindungs-Manager ansprechen, um die Punkt-zu-Punkt- Kommunikation der Informationen bereitzustellen.

11. Einrichtung nach Anspruch 10, ferner umfassend:

eine an die Mehrzahl von Informations-Servern gekoppelte Mehrzahl von Schaltern zum selektiven Kombinieren von Informationen von den Servern in eine Mehrzahl von Multiplexen zur Übertragung auf verschiedenen Teilen des Netzwerkes;

wobei die Mehrzahl von Schaltern auf den Verbindungs- Manager ansprechen, um die Punkt-zu-Punkt-Kommunikation der Informationen bereitzustellen.

12. Einrichtung nach Anspruch 6, wobei:

der Sitzungsidentifizierer für jede Anschlußeinheit verschlüsselt unter einem eindeutig zu dieser Anschlußeinheit gehörenden Einheitenschlüssel in die Anschlußeinheit geladen wird;

wobei der Einheitenschlüssel von dem Verschlüsselungs- Controller sicher unterhalten wird in einem Bereich, der von den Verschlüsselungsmitteln getrennt ist; und

der Verschlüsselungs-Controller so gestaltet ist, daß er einen höheren Sicherheitslevel aufweist als die Verschlüsselungsmittel.

13. Anschlußeinheit zum Empfangen spezifisch an sie gerichteter verschlüsselter Informationen eines Informationsdienstes von einem Verbindungs-Manager an einer Kopfstation über ein gemeinsames Kommunikationsnetzwerk, umfassend:

Mittel zum sicheren Empfangen und Speichern eines Sitzungsidentifizierers, der eindeutig zu der Anschlußeinheit gehört;

wobei die verschlüsselten Informationen unter dem Sitzungsidentifizierer verschlüsselt ist;

Mittel zum Empfang von Frequenz- und Demultiplexing- Anweisungen von dem Verbindungs-Manager via das Netzwerk:

einen auf die Frequenz-Anweisungen ansprechenden frequenzagilen Empfänger zum Abstimmen auf eine Frequenz, bei der ein die verschlüsselten Informationen für die Anschlußeinheit enthaltender Signalmultiplex auf dem Netzwerk getragen wird;

einen zum Empfang der verschlüsselten Information von dem frequenzagilen Empfänger gekoppelten Demultiplexer, wobei der Demultiplexer auf die Demultiplexing- Anweisungen anspricht, um die verschlüsselten Informationen zurückzugewinnen; und

zum Empfang der zurückgewonnenen verschlüsselten Information gekoppelte Entschlüsselungsmittel zum Entschlüsseln der zurückgewonnenen verschlüsselten Informationen unter Verwendung des Sitzungsidentifizierers.

14. Anschlußeinheit nach Anspruch 13, ferner umfassend:

Mittel zum Empfangen und Speichern eines gemeinsamen Schlüssels;

wobei die verschlüsselten Informationen unter dem gemeinsamen Schlüssel verschlüsselt ist;

wobei die Entschlüsselungsmittel die verschlüsselten Informationen unter Verwendung des gemeinsamen Schlüssels und des Sitzungsidentifizierers entschlüsseln.

15. Anschlußeinheit nach Anspruch 13 oder 14, wobei der · Sitzungsidentifizierer unter einem Einheitenschlüssel verschlüsselt ist, der eindeutig zu der Anschlußeinheit gehört.

16. Anschlußeinheit nach Anspruch 13, ferner umfassend:

Mittel zum Verschlüsseln von Anforderungsdaten unter dem Sitzungsidentifizierer und

Mittel zum Übertragen der verschlüsselten Anforderungsdaten von der Anschlußeinheit zu der Kopfstation über das Kommunikationsnetzwerk;

wobei die Kopfstation die Zuführung des Signalmultiplex zu der Anschlußeinheit als Antwort auf den Empfang der Anforderungsdaten an der Kopfstation initiiert.

17. Verfahren nach Anspruch 1, wobei die Übertragung der verschlüsselten Informationen in dem Signalmultiplex durch ein Anforderungssignal initiiert wird, welches von der spezifischen Anschlußeinheit zu der Kopfstation übertragen wird.

18. Verfahren nach Anspruch 17, wobei das Anforderungssignal von einem Benutzer, der die Informationen zu empfangen wünscht, über die spezifische Anschlußeinheit initiiert wird.

19. Einrichtung nach Anspruch 6, ferner umfassend:

Mittel zum Übertragen eines Anforderungssignals von der spezifischen Anschlußeinheit zu der Kopfstation über das Netzwerk;

wobei die Übertragung der verschlüsselten Informationen in dem Signalmultiplex zu der spezifischen Anschlußeinheit von einem Anforderungssignal initiiert wird.

20. Einrichtung nach Anspruch 19, wobei das Anforderungssignal von einem Benutzer, der die Informationen zu empfangen wünscht, über die spezifische Anschlußeinheit initiiert wird.

21. Anschlußeinheit nach Anspruch 13, wobei: die Übertragung der verschlüsselten Informationen in dem Signalmultiplex durch Anforderungsdaten initiiert wird, welche von der Anschlußeinheit zu der Kopfstation übertragen werden.