DE69716548T2 - Verfahren und Anordnung zur Übertragung von elektrischen Datensignalen - Google Patents

Description

• Die Erfindung bezieht sich auf Verfahren und Vorrichtungen zum senden elektronischer Datensignale. Die Erfindung betrifft das Senden solcher Signale über ein offenes Kommunikationsnetzwerk mit einer oder mehreren Serverstationen und einer Mehrzahl von Kundenstationen. Das Internet ist ein solches Netzwerk, welches in der Praxis Tausende von Serverstationen und Millionen von Kundenstationen aufweist, welche das weltweite öffentliche Telekommunikationsnetzwerk benutzen, um miteinander zu kommunizieren. Jedoch ist die Erfindung nicht auf das Internet beschränkt und findet auch Anwendung bei begrenzteren offenen Netzwerken, wie vielen Formen von bürointernen Netzwerken.
• Im Falle des Internet ist das weltweite Web (häufig mit WWW abgekürzt oder umgangssprachlicher als "das Web" bezeichnet), das sehr weitgehend benutzte System zur Verfügungsstellung von Daten. Im "Web" kann eine Serverstation oder "Site" eine Reihe von Schirmbildern oder Seiten mit Information zur Verfügung stellen, welche der Kunde durch Senden entsprechender Aufrufsignale über das Internet nach und nach aufruft. Eine oder mehrere Seiten können ein Format solcher Form haben, bei welcher der Benutzer aufgefordert wird, Daten in Kästchen auf der Seite einzugeben. Diese Form wird dann zur Server-Site geschickt. Das Web hat ein Standardprotokoll für Informationsübertragungen, das als Hypertexttransferprotokoll (HTTP) bekannt ist, und Anforderungssignale von einem Kunden sowie Datensignale von einem Server stehen in einem Format, das als Hypertext-Markup- Language (HTML) bekannt ist.
• Die Verwendung des Webs nimmt rapide zu, und es gibt viele mehrseitige Anwendungen, bei welchen spezielle Daten, die von einem Teilnehmer auf einer Formatseite geliefert werden, erforderlich sind, ehe eine neue Seite gesendet werden kann. Ein Beispiel ist eine finanzielle Transaktion, bei welcher ein Passwort, eine PIN-Nummer, oder eine Benutzeridentifikationsnummer (ID-Nummer) an eine Serverstation geschickt werden muss, ehe Daten empfindlicher Art zum Teilnehmer geschickt werden. HTTP erfordert, dass jede Anfrage nach einer Seite separat behandelt wird und dass jede solche Anfrage in der Form einer Universal-Resource-Locator(URL)-Datenkette(String) vorliegen muss. Eine URL-Datenkette kann somit sensible Daten enthalten. Das Problem des Schutzes von Daten, die von einem Benutzer geliefert werden, ist bekannt, und es werden bereits Verschlüsselungstechniken für den Datenstrom zwischen Kunde und Server bei WWW-Anwendungen benutzt. Jedoch schützt diese Verschlüsselung die Daten nicht, wenn sie sich an der Kunden- oder Teilnehmerstation befinden. Die URL-Datenkette wird häufig an der Benutzerstation offen gezeigt, und selbst wenn das nicht der Fall ist, haben die Browser (die für Kommunikation im Web benutzte Software) üblicherweise eine "Anschau"-Option, oder es kann auf anderen Wegen auf die Daten zugegriffen werden. Auf diese Weise werden Autorisierungsdaten einer Art, welche Zugriff zu sensibler und vermutlich geschützter Information, die in der Serverstation gehalten werden, dargestellt oder sind an der Teilnehmerstation ohne Beschränkung zugänglich.
• Shieh S-P et al beschreiben in ihrem Aufsatz "An authentication and key distribution system for open network systems" im Operating Systems Review (SIGOPS), Band 30, Nr. 2 vom 1. April 1996, Seiten 32 bis 41, XP000585087 ein sicheres Authentifikationsprotokoll, bei welchem ein Teilnehmer eine einmal benutzbare zufällige Nummer (Nonce) erzeugt und diese Nummer zusammen mit der Teilnehmeridentität verschlüsselt, um sie an einen Server zu senden. Dieser Server erzeugt eine andere Nonce und verschlüsselt die neue Nonce zusammen mit der Serveridentität und der vom Sender erhaltenen Nachricht.
• Prabhu M. M. et al beschreiben in "Security in computer networks and distributed systems" Computer Communications, Band 19, Nr. 5, 1. Mai 1996, Seiten 379 bis 388, XP000593526 ein Protokoll zur Einrichtung eines zwischen zwei Zentralen (principals) aufgeteilten Schlüssels unter Verwendung eines Authentikations-Servers. Bei diesem Protokoll liefert ein Teilnehmer an den Authentikations-Server ein Ticket mit einem Zeitstempel und einem Ortstempel.
• Eine Aufgabe der Erfindung besteht darin, solche Autorisierungsdaten für nicht legitime Benutzung ungültig zu machen.
• Gemäß einem ersten Gesichtspunkt der Erfindung ist ein Verfahren vorgesehen zur Übertragung elektronischer Datensignale über ein offenes Kommunikationsnetzwerk von einer Serverstation zu einer Teilnehmerstation bei Empfang eines Anforderungssignals von der Teilnehmerstation für solche Daten, wobei das Verfahren die folgenden Schritte aufweist:
• (a) Prüfen, ob das an der Serverstation erhaltene Anforderungssignal einen verschlüsselten Validisierungsstempel mit Autorisierungsdaten, einem Zeitstempel und einem Ortstempel enthält;
• (b) Liefern eines Akzeptier-Signals, wenn der verschlüsselte Validisierungsstempel gültig ist; und
• (c) Senden der angeforderten Datensignale nur dann, wenn ein Akzeptier-Signal vorliegt,
• mit dem kennzeichnenden Schritt
• (a-1) Inkorporieren des verschlüsselten Validisierungsstempels in einem universellen Ressourcenlokator, der einem Benutzer an der Kundenstation dargeboten wird, so dass beim Auswählen des universellen Ressourcenlokators der verschlüsselte Validisierungsstempel automatisch an die Serverstation als Teil des Anforderungssignals gesendet wird.
• Gemäß einem zweiten Gesichtspunkt der Erfindung ist eine Vorrichtung vorgesehen zur Übertragung elektronischer Datensignale über ein offenes Kommunikationsnetzwerk von einer Serverstation zu einer Kunden- oder Teilnehmerstation bei Empfang eines Anforderungssignals von der Teilnehmerstation für solche Daten, und diese Vorrichtung enthält Mittel zum Prüfen, ob das bei der Serverstation empfangene Anforderungssignal einen verschlüsselten Validisierungsstempel mit Autorisierungsdaten, einem Zeitstempel und einem Ortstempel enthält, ferner eine Validisierungsseinheit zur Lieferung eines Akzeptier-Signals, wenn der Validisierungsstempel gültig ist, und eine Übertragungseinheit zum Senden der angeforderten Datensignale nur dann, wenn ein Akzeptier-Signal von der Validisierungseinheit geliefert wird; und die Vorrichtung ist gekennzeichnet durch eine an der Server-Station vorgesehene Einrichtung zum Einbetten des verschlüsselten Validisierungsstempels in einen universellen Ressourcenlokator, der zur Teilnehmerstation gesendet wird, so dass beim Auswählen des universellen Ressourcenlokators der verschlüsselte Validisierungsstempel automatisch an die Serverstation als Teil des angeforderten Signals gesendet wird.
• Ein "Stempel" bedeutet in diesem Kontext ein elektronisches Datensignal, welches die relevante Information in einem geeigneten Format, beispielsweise HTML, enthält.
• Geeignete Kriterien zur Bestimmung, ob der Zeitstempel gültig ist, könnten sein, dass das Zeitintervall zwischen einem früheren Antwortsignal vom Server zum Teilnehmer bei derselben Transaktion (und in welche der Zeitstempel eingebettet ist) und dem Empfang des Zeitstempels von der Teilnehmerstation am Server kleiner als ein vorbestimmter Wert ist, beispielsweise 15 Minuten. Gleichermaßen ist der Ortstempel nur dann gültig, wenn die mit dem Anforderungssignal gelieferte Anruferidentifikation einem Ortstempel entspricht, der von einem Teilnehmeridentifikationssignal abgeleitet ist, welches früher an den Server gesendet worden ist und in dem Anforderungssignal eingebettet ist.
• Zum besseren Verständnis der Erfindung sei nun auf die beiliegenden Zeichnungen Bezug genommen. Es zeigen:
• Fig. 1 ein Flussdiagramm eines typischen Seitenautorisierungs-verfahrens, das an einer Web-Site stattfindet, in abgewandelter Form zur Einleitung einer Validisierungsprozedur gemäß der Erfindung,
• Fig. 2 den letzten Schritt von Fig. 1 in größerem Detail, und
• Fig. 3 zeigt ein Flussdiagramm einer Aktion, die vom Server bei Empfang eines kundenseitigen Anforderungssignals nach sensiblen Daten vorgenommen wird.
• Das Flussdiagramm nach Fig. 1 zeigt eine Reihe logischer Schritte, die bei einer Web-Anwendung an einer Serverstation auftreten. In Schritt 1 wird eine Benutzeranforderung nach einem Einlogg-Schirmbild erhalten und verarbeitet. Das Einlogg- Schirmbild kann typischerweise eine Formseite mit dem sogenannten "forms and field"-Merkmal sein. Diese Seite sowie die nachfolgenden Seiten werden in HTML zum Benutzer übertragen. Die Information, welche erforderlich ist, um die Formseite zu vervollständigen, einschließlich Daten wie eines Benutzer-ID und eines Passwortes, werden vom Benutzer auf seinem Bildschirm eingegeben, und wenn die Formseite ausgefüllt ist, wird sie zum Server zurückgesendet, und die Information wird dort erfasst. Dieser Erfassungsschritt ist als Schritt 2 in Fig. 1 gezeigt.
• Im Schritt 3 prüft der Server die Gültigkeit des vom Benutzer gelieferten Passworts, und wenn dieses richtig ist, autorisiert er in Schritt 4, dargestellt als Autorisierung des Benutzers, die Vorbereitung der nächsten Seite, die typischerweise eine Link-Seite ist. Die Link-Seite wird erzeugt durch Aufbauen einer HTML-Datei, um diese an den Benutzer zu senden. Dieser Vorgang, Schritt S, ist der letzte Schritt in Fig. 1. Außer der Codierung der Information, die für die Darstellung der Link- Seite beim Benutzer erforderlich ist, wird weitere Information geliefert, die aus der momentanen Zeit (Kasten 6) und der Anrufadresse des Benutzers (Kasten 7), die nun beim Server verfügbar ist, nachdem sie vom Benutzer bereits dorthin gesendet worden ist, besteht. Die Art, wie der Schritt 5 abläuft, ist im Detail in Fig. 2 veranschaulicht.
• Gemäß Fig. 2 leitet ein Signal vom Schritt "Autorisierung des Benutzers" (in Fig. 1 als Schritt 4 gezeigt) den Betrieb nach Fig. 2 ein. Zuerst wird ein Standard-HTML-Seitenkopf erzeugt (Kasten 8), und dann wird die erforderliche Datenkette für die Link-Seite aufgebaut (Kasten 9). Diese Datenkette enthält als Minimum ID und Passwort des Benutzers. Hierzu wird die momentane Zeit beim Server aus Kasten 6 und die Benutzeridentifikation in Form der Internetadresse des Benutzers aus Kasten 7 hinzugefügt. Die ganze Datenkette wird dann unter Verwendung einer geeigneten Verschlüsselungs-Technik oder -Algorithmus, beispielsweise RSA oder DES, verschlüsselt, wie Kasten 10 zeigt.
• Die verschlüsselte Datenkette wird im Kasten 11 benutzt zum Aufbau eines Service-URL zur Übertragung an den Benutzer. Der Service-URL umfasst die Serviceadresse des Kunden, einen Separator (in HTML ist dies das Symbol "?") und die verschlüsselte Datenkette vom Kasten 10. Der URL wird wie im Kasten 12 gezeigt an den Kunden geschickt für die Interpretation durch dessen Browser und anschließende Darstellung an seiner Station. Der letzte Teil der Übertragung ist eine Standard-Seitenendbearbeitung in HTML-Form (Kasten 13).
• Ein Beispiel einer HTML-Datei, welche den letzten Posten in Fig. 1 darstellt und so aufgebaut ist, wie es im Detail in Fig. 2 erläutert ist, ist in der nachstehenden Tabelle 1 angeführt. Die folgende Zeile aus Tabelle 1 gibt die relevanten Daten wieder, in welche ein Zeitstempel und ein Ortstempel eingebettet werden. Der Abschnitt in Fettdruck trägt die verschlüsselten Stempel:
• < A HREF="webfin04.exe?1+bgfbadXbje/ll.bje/llXihe'fn4ah"> Account Statements/< /A> .
• Die Link-Seite kann eine beliebige Anzahl verschlüsselter Datenketten haben, und in der Praxis sind es typischerweise mehr als eine. Dies bietet dem Benutzer ein Menü von Optionen zur Auswahl. Mehrere solche Datenketten sind in Tabelle 1 angeführt. Tabelle 1 Typische HTML-Datei mit verschlüsselten Daten
• Bei Empfang des in Tabelle 1 angeführten Datensignals bei der Kundenstation hat der Benutzer die Gelegenheit, vom Server Information anzufordern, die häufig sensibler Natur ist, wie bei dem Beispiel nach Fig. 1, mit einer Menüauswahl aus verschiedenen sensiblen Posten. In dem in Tabelle 1 gezeigten Beispiel kann der Kunde einen Kontoauszug anfordern und/oder einen Geldtransfer durchführen. Sendet der Kunde an die Serverstation ein Anforderungssignal nach Information oder einer Aktion, je nachdem, dann ist das Signalmuster der Tabelle 1 so, dass die im Kasten 10 der Fig. 2 verschlüsselte Datenkette keinen erkennbaren Begrenzer (delimiter) hat und daher automatisch vom Kunden als Teil seines Anforderungssignals an den Server zurückgeschickt wird.
• Was nun beim Server passiert, zeigt Fig. 3. Das Anforderungssignal wird als Datenkette in Schritt 14 empfangen. Die empfangene Datenkette wird in Schritt 15 entschlüsselt. Im Kasten 16 wird die entschlüsselte Datenkette analysiert, um den Ortsstempel und den Zeitstempel zu extrahieren. Diese beiden Stempel waren zuvor an der Serverstation durch Einsetzen im Kasten 9 erzeugt worden. Die Anrufer-TP-Adresse, die im Anforderungssignal enthalten ist, welches gerade als Teil des HTML-Protokolls empfangen worden ist (und im Kasten 17 festgehalten wird) wird in Kasten 18 geprüft. Dieser Prüfvorgang besteht aus einem Vergleich der Adresse des Anrufers mit dem Ortsstempel, der im Kasten 16 extrahiert worden war. Wenn die beiden Adressen identisch sind, dann wird die Anruferadresse validiert, und in diesem Fall wird ein Akzeptier-Signal an den Kasten 19 geliefert. Ist die Adresse des Anrufers ungültig, dann wird an die Box 20 eine "Ungültig" Nachricht gegeben.
• Gleichermaßen wird der Zeitstempel, welcher in der in Schritt 9 aufgebauten Datenkette enthalten ist, aus der empfangenen und entschlüsselten Datenkette im Schritt 16 extrahiert und zum Kasten 21 gesandt. Hier wird er gegenüber einem an der Serverstation im Kasten 22 verfügbaren Realzeitsignal geprüft und von dort zum Kasten 21 gesandt. Ist der Unterschied zwischen den Zeiten kleiner als ein vorbestimmter Wert (beispielsweise 15 Minuten), dann wird an den Kasten 19 ein Akzeptier-Signal geliefert. Andernfalls wird ein "Ungültig"-Signal an den Kasten 20 geschickt.
• Wenn zwei Akzeptier-Signale an den Kasten 19 geschickt werden, dann wird die angeforderte Serviceseite gesendet. Die neue Seite kann natürlich so gehandhabt werden, wie es in den Fig. 1 und 2 dargelegt ist. Erhält der Kasten 20 zwei "Ungültig"- Signale, dann wird an die Anruferstation eine entsprechende Zurückweisungsnachricht gesandt.
• Die Verwendung eines Zeitstempels wie oben beschrieben erlaubt die Verwendung einer Art von "Zeitablauf"-Schutz, um zu verhindern, dass ein Benutzer seine Station eingeloggt lässt und daher seine Webseite in seiner Abwesenheit für andere zugänglich ist. Die Verwendung eines Ortsstempels gibt einen Schutz dagegen, dass irgendein anderer die dargestellten oder gespeicherten Daten, die an der Station des legitimen Kunden verfügbar sind, von einer anderen Station aus benutzt.
• Es versteht sich, dass das hier beschriebene Datenschutzverfahren und die Vorrichtung auch mit jeder anderen Form von Datenschutz benutzt werden kann.

Claims (5)

1. Verfahren zur Übermittlung elektronischer Datensignale über ein offenes Kommunikationsnetzwerk von einer Serverstation an eine Teilnehmerstation nach Empfang eines Anforderungssignals von der Teilnehmerstation für derartige Daten, mit den folgenden Schritten:

a) Prüfen, ob das an der Serverstation empfangene Anforderungssignal einen verschlüsselten Gültigkeitsstempel mit Autorisierungsdaten, einen Zeitstempel und einen Ortsstempel enthält,

b) Lieferung eines Akzeptier-Signals, wenn der verschlüsselte Gültigkeitsstempel gültig ist und

c) Senden der angeforderten Datensignale nur, falls ein Akzeptier-Signal vorliegt,

gekennzeichnet durch den Schritt

a-1) Inkorporieren des verschlüsselten Gültigkeitsstempels in einen universalen Ressourcenlokator zur Darbietung an einen Benutzer an der Kundenstation, so dass beim Auswählen des universalen Ressourcenlokators der verschlüsselte Gültigkeitsstempel automatisch als Teil des Anforderungssignals an die Serverstation gesandt wird.

2. Verfahren nach Anspruch 1, bei welchem der Überprüfungsschritt den Sicherstellungsschritt erhält, ob der Zeitstempel früher als eine voreingestellte Zeit, ehe der Prüfungsschritt ausgeführt wird, ist.

3. Verfahren nach Anspruch 1 oder 2, bei welchem der Überprüfungsschritt den Schritt enthält: Sicherstellung, ob die das Anforderungssignal begleitende Adresse des Anrufers mit dem in dem Anforderungssignal enthaltenen Ortsstempel übereinstimmt.

4. Verfahren nach einem der vorstehenden Ansprüche, bei welchem die Autorisierungsdaten die Benutzeridentität und ein Passwort enthalten.

5. Vorrichtung zur Übermittlung elektronischer Datensignale über ein offenes Kommunikationsnetzwerk von einer Serverstation zu einer Teilnehmerstation bei Empfang eines Anforderungssignals von der Teilnehmerstation für solche Daten, mit

- einer Einrichtung zur Überprüfung, ob das an der Serverstation erhaltene Anforderungssignal einen verschlüsselten Gültigkeitsstempel enthält, welcher Autorisierungsdaten, einen Zeitstempel und einen Ortsstempel enthält,

- einer Validisierungseinrichtung zur Lieferung eines Akzeptier-Signals, wenn der Gültigkeitsstempel gültig ist,

- und einer Übertragungseinrichtung zum Senden der angeforderten Datensignale nur dann, wenn ein Akzeptiersignal von der Validisierungseinrichtung geliefert wird,

gekennzeichnet durch

eine an der Serverstation vorgesehene Einrichtung zum Einbetten des verschlüsselten Validisierungsstempels in einen universalen Ressourcenlokator, welcher an die Teilnehmerstation gesendet wird, so dass bei der Auswahl des universalen Ressourcenlokators der verschlüsselte Validisierungsstempel automatisch als Teil des Anforderungssignals an die Serverstation gesendet wird.