NO309960B1 - Anordning og fremgangsmÕte for lagring av datainformasjon - Google Patents

Description

Foreliggende oppfinnelse vedrører en anordning og en fremgangsmåte for lagring av datainformasjon, som særlig omfatter dels identifiserende informasjon, såsom personnummer, og dels tilhørende beskrivende informasjon.

Innenfor det tekniske område som omfatter data-maskinbasert informasjonshåndtering, foreligger forskjell-ige ønskemål eller krav om beskyttelse mot inntrenging i den enkeltes personlige integritet ved opprettelse og før-ing av personregistre, dvs. registre som inneholder opp-lysninger om enkeltpersoner. Også innenfor næringsliv, forsvar, bankvesen og på mange andre områder hvor data-maskinbasert informasjonshåndtering benyttes, er det viktig å kunne beskytte lagret datainformasjon mot util-børlig adkomst. Det foreligger spesielt restriksjoner og forbud mot såkalt samkjøring av personregistre, fordi slik samkjøring ofte resulterer i ett eller flere nye personregistre som inneholder følsom informasjon som direkte kan forbindes med enkeltindivider.

Det er imidlertid et stort behov for å kunne sam-kjøre ulike personregistre, uten at den enkeltes personlige integritet blir truet.

Innenfor dette tekniske område eksisterer for-skjellige kryptografiske lagringsmetoder, hvorved den informasjon som skal lagres, først krypteres av sikker-hetsgrunner og deretter lagres på et lagringsmedium. Disse kjente krypteringsmetoder er imidlertid ofte følsom for såkalt sporing, fordi det ved hver innskriving eller oppdatering i en database foregår en forandring som, ved hjelp av såkalte sporingsverktøy, kan koples til motsvar ende ukrypterte originalinformasjon som står i et ett-til-ett-forhold til den krypterte informasjon. Etter flere slike sporinger er det mulig å omforme all kryptert informasjon til klartekst.

For å løse det ovennevnte problem ved den kjente teknikk, har oppfinnelsen som formål å frembringe en anordning i samsvar med krav 1 og å angi en fremgangsmåte i samsvar med krav 7.

Ifølge oppfinnelsen forutsettes følgelig at den informasjon som skal lagres, inneholder dels en original-identitet OID og dels en tilhørende, beskrivende informasjon BI. Som eksempel på original-identitet kan nevnes personnummer, tegningsnummer, dokumentidentitet, bilregi-streringsnummer osv. Den tilhørende beskrivende informasjon omfatter informasjon som ikke utpeker original-identiteten, og derfor ikke kan forbindes direkte med denne. Et utmerkende særtrekk ved oppfinnelsen er at originalidentiteten OID atskilles fullstendig fra den beskrivende informasjonen BI, hvilket gjennomføres ved at original-identiteten OID innledningsvis gjennomgår en første kryptering ved hjelp av en første algoritme ALG1, hvorved det oppnås en såkalt oppdateringsidentitet UID. Oppdateringsidentiteten UID gjennomgår deretter en andre kryptering ved hjelp av en reversibel algoritme ALG2, hvorved det oppnås en såkalt lagringsidentitet LID. Den således frembrakte lagringsidentitet LID lagres sammen med tilhørende beskrivende informasjon BI som en post i et lagringsmedium. Original-identiteten er derved helt atskilt fra den tilhørende beskrivende informasjon, og dersom original-identiteten består av personnummer eller lignende, kan de mottatte poster betraktes som rene opp-gaveposter, i motsetning til personposter.

For at den beskrivende informasjonen BI aldri skal kunne tilbakeføres til original-identiteten OID, er nevnte første algoritme ALG1 fortrinnsvis ikke-reversibel, og gir derfor en unik oppdateringsidentitet for hver original-identitet, samt et stort antall identiteter ved forsøk på dekryptering.

Oppfinnelsen kjennetegnes videre dels ved at originalidentiteten OID krypteres i to separate trinn for opprettelse av lagringsidentiteten LID, og dels ved at det andre krypteringstrinn gjennomføres med en reversibel algoritme ALG2. Disse særtrekk ved oppfinnelsen gjør det mulig å frembringe "flytende" lagringsidentiteter hos postene, med henblikk på å umuliggjøre enhver form for utilbørlig sporing. Ifølge oppfinnelsen er det derfor en forutsetning at lagringsidentitetene LID hos utvalgte, lagrede poster, fortrinnsvis samtlige poster, i lagringsmediet erstattes på visse tidspunkter med nye lagringsidentiteter LID'. Derved blir den informasjon som innhentes ved eventuell sporing, helt ubrukelig straks lagringsidentiteten ifølge oppfinnelsen erstattes av nye. Endringen av lagringsidentitetene LID hos lagrede poster gjennomføres ifølge oppfinnelsen ved at de utvalgte posters lagringsidentiteter LID først dekrypteres ved hjelp av en tredje algoritme ALG3, hvorved motsvarende oppdateringsidentiteter UID gjenskapes. Det innses at denne tredje dekrypteringsalgoritme ALG3 er direkte tilknyttet den reversible algoritme ALG2 som på et tidligere tidspunkt ble anvendt for å skape lagringsidentiteten LID ut fra oppdateringsidentitetene UID. Den reversible algoritme ALG2 endres deretter til en ny reversibel algoritme ALG2', hvoretter de gjenskapte oppdateringsidentiteter UID krypteres ved hjelp av den endrede, nye og reversible algoritme ALG2' til nye lagringsidentiteter LID'.

Tidspunktene for erstatning av lagringsidentitetene med nye kan være helt slumpmessig styrt, kan ha faste tids-intervaller og kan være avhengig av antallet oppdater-inger, osv.

Ifølge en foretrukket versjon av oppfinnelsen forutsettes at de utvalgte poster, når disse tildeles nye lagringsidentiteter, også flyttes til nye fysiske plasser i lagringsmediet. I kombinasjon med flytende lagringsidentiteter vil dette gi en meget stor sikkerhet mot for-søk på utilbørlig sporing.

Oppfinnelsen vil også muliggjøre effektiv gjenvinning av lagret datainformasjon både for operative og strategiske formål, og såkalt horisontal oppdatering av strategisk datainformasjon.

Ved gjenvinning av datainformasjon for operative formål forutsettes at lageret, beskrivende informasjon for en gitt originalidentitet gjenvinnes for lesing, oppdatering, endring, utskrift, osv. Ifølge oppfinnelsen er dette mulig ved at en slik gitt originalidentiet først krypteres til en lagringsidentitet i to trinn ved hjelp av over-nevnte to algoritmer. Alle lagrede poster som inneholder den derved frembrakte lagringsidentitet, kan effektivt lokaliseres, og motsvarende beskrivende informasjon gjenvinnes. Det kreves spesielt ved gjenvinning av slik operativ datainformasjon tilhørende en gitt originalidentitet, at det hverken foretas dekryptering av motsvarende lagringsidentitet eller lagring av den gitt originalidentitet, hvorved enhver uønsket kopling mellom original-identiteten og den tilhørende beskrivende informasjon for-hindres .

For å gjenvinne datainformasjon for strategiske formål kan lagringsidentiteten effektivt anvendes for sammen-stilling av datainformasjon med samme lagringsidentitet. Gjenvinning for strategiske formål atskiller seg fra gjenvinning for operative formål ved at det i det førstnevnte tilfelle ikke ønskes eller behøves oppgave om den originalidentitet som en viss beskrivende informasjon tilhører, men likevel kreves sikkerhet for at all gjenvunnet beskrivende informasjon tilhører samme originalidentitet. Dette er åpenbart meget viktig for det særskilt interessante tilfelle at originalidentiteten motsvarer et visst individ, idet oppfinnelsen gjør det mulig, med henblikk på strategiske formål, å sammenstille beskrivende informasjon vedrørende ulike individer, uten risiko for at individenes identiteter røpes. Det innses at oppfinnelsen muliggjør såkalt horisontal oppdatering av strategiske oppgaver, hvilket eksempelvis innebærer at et gitt individ blir stu-dert under et lengre tidsrom og at nyinnkomne beskrivende oppgaver lagres i ulike tilfeller, slik at de kan koples til tidligere lagrede oppgaver om samme individ, uten risiko for avsløring av individets identitet.

Det understrekes at lagring av en ny beskrivende informasjon tilhørende en viss originalidentitet ikke nød-vendigvis krever opprettelse av ny post inneholdende lagringsidentitet og beskrivende informasjon. Den nye beskrivende informasjon kan i stedet lagres i en eksisterende post hvis lagringsidentitet motsvarer den aktuelle originalidentitet.

Oppfinnelsen er nærmere beskrevet i det etterfølg-ende i tilknytning til de medfølgende tegninger, hvori: Fig. 1 viser et blokkskjema som illustrerer hvordan oppfinnelsen kan komme til utøvelse i et datamaskinsystem. Fig. 2 viser ulike krypteringstrinn ved lagring av en informasjon ifølge oppfinnelsen. Fig. 3 viser krypterings- og dekrypteringstrinn ved endring av lagringsidentiteter ifølge oppfinnelsen.

Det henvises til fig. 1 som illustrerer et datamaskinsystem innbefattende dels et gyldighetskontroll-system BKS som kan være av hvilken som helst kjent type, dels et antall brukerverktøy eller -programmer hvorav ett er betegnet med APPL 1 i fig. 1, dels en databasehåndterer DBM, dels en database 10 som i den viste utførelsesform ifølge oppfinnelsen omfatter et offentlig register 2 0 for lagring av offentlig informasjon, et operativt register 3 0 for lagring av operativ datainformasjon og et strategisk register 40 for lagring av strategisk datainformasjon, dels en maskinvarekomponent 50 og dels en programmodul 60. Oppfinnelsen har i hovedsak kommet til utførelse i maskinvarekomponenten 50 og i programmodulen 60.

Maskinvarekomponenten 50 har en innkapsling som gjør komponenten manipuleringssikker, for at den ikke skal kunne avlyttes med sporingsverktøy eller kompileres. Maskinvarekomponenten 50 fungerer som en egen distribuert prosessor som spesielt har følgende funksjoner: - Opprette reversible og ikke-reversible krypteringsalgoritmer . - Levere tilfeldig fremhentede variabler for krypterings- og dekrypteringsalgoritmer. - Igangsette endring av lagringsidentiteter hos lagrede dataposter, f.eks. ved tilfeldig valgte tidspunkter. - Lagre sist anvendte krypterings- og dekrypteringsalgoritmer. - Lagre oppgaver om gyldige brukere, dersom flere brukere skal ha adgang til en operativ post. - Forbinde en originalidentitet (eksempelvis personnummer) med riktig datapost i en database.

Maskinvarekomponenten 50 kan således omfatte en mikroprosessor, en mikrokodeprogrammert PROM-lagerenhet, nødvendige inn-utenheter, krypterings- og dekrypteringsen-heter samt lagerenheter for lagring av oppgaver vedrørende anvendte algoritmer og vedrørende brukergyldigheter. Maskinvarekomponenten 50 kan være av en konstruksjon som varierer i avhengighet av tilpasning og som, ut fra den foreliggende beskrivelse, lett forstås av en fagkyndig, og er derfor ikke ytterligere beskrevet.

Programmodulen 60 har først og fremst som funksjon å håndtere dialogen mellom maskinvarekomponenten 50 og aktu-elt brukerprogram. Programmodulen 60 håndterer også dialogen mellom maskinvarekomponenten 50 og gyldighetskon-trollsystemet BKS, samt utsortering/fjerning av lagret datainformasjon, hendelseslogg, etc. Programmodulen 60 kan også foreta overflytting av poster fra operative registre til strategiske registre i forbindelse med utsortering av de førstnevnte.

I den etterfølgende beskrivelse av systemet ifølge fig. 1 benyttes de nedenstående betegnelser for beskrivelse av anvendte krypterings- og dekrypteringsalgoritmer. Krypterings- og dekrypteringsalgoritmene kan beskrives generelt som følger:

hvor:

F: betegner en funksjon,

Type: angir funksjonstypen. I dette tilfelle benyttes følgende funksjonstyper: ]?KIR = ikke-reversibel krypteringsalgoritme FKR = reversibel krypteringsalgoritme

<F>DKR = dekrypteringsalgoritme

Slumptall: er én eller flere konstanter og/eller variabler som inngår i funksjonen F.

Inndata: består av den datainformasjon som skal krypteres eller dekrypteres.

Resultat: er en unik funksjonsverdi for en gitt funksjon.

Prosessen for lagring av informasjon i databasen 10 er beskrevet i det etterfølgende under henvisning til fig.

1 og 2 i forening. Det forutsettes at informasjonen som skal lagres, kan oppdeles i dels en identifiserende informasjon og dels en tilhørende beskrivende informasjon. Som eksempel betraktes følgende informasjon for et visst enkeltindivid:

Som et første trinn i prosessen inngår oppdeling i henholdsvis identifiserende og beskrivende informasjon.

Som et andre trinn lagres, som vist i fig. 2, den identifiserende informasjon (PNR, navn, adresse) i det offentlige register 20, hvorved lagringen kan foregå i klartekst, fordi informasjonen er av allment tilgjengelig art.

Som et tredje trinn velges en originalidentitet OID fra den identifiserte informasjon. I dette eksempel velges OID = personnummer PNR. Originalidentiteten OID krypteres med en ikke-reversibel algoritme ALG1, som fremhentes tilfeldig av maskinvarekomponenten 50. Som resultat av denne ikke-reversible kryptering fremkommer en oppdateringsidentitet UID som følger:

Krypteringsalgoritmen ALG1 er slik at det, ved for-søk på dekryptering av oppdateringsidentiteten UID til originalidentiteten OID, mottas et meget stort antall identiteter, hvilket gjør det umulig å kople en viss UID til en motsvarende OID.

Som et fjerde trinn krypteres oppdateringsidentiteten UID med en reversibel algoritme ALG2 som likeledes fremhentes tilfeldig av maskinvarekomponenten 50. Som et resultat av denne reversible kryptering fremkommer en lagringsidentitet LID som følger:

Krypteringsalgoritmen ALG2 er slik at det eksisterer en motsvarende dekrypteringsalgoritme ALG3 hvormed lagringsidentiteten LID kan dekrypteres, for gjenskaping av oppdateringsidentiteten UID.

Som et femte trinn lagres den mottatte lagringsidentiteten LID sammen med den beskrivende informasjonen BI som en oppgavepost P i lagringsmediet, betegnet M i fig. 2. I det foreliggende utførelseseksempel lagres posten P både i den operative databasen 30 og i den strategiske databasen 40.

Alle forandringer i databasene gjennomføres fortrinnsvis i tilfeldig tidsstyrte satser, slik at hver endring i et register normalt medfører samtidig endring/ tillegg av flere poster, for å forhindre sporing. I dette øyemed kan data lagres midlertidig og eventuelt i kryptert form i et bufferlager.

Ifølge ovenstående beskrivelse har en lagret oppgavepost P således følgende generelle utseende:

Fordi originalidentiteten OID krypteres i to trinn hvorav det første er ikke-reversibelt og det andre reversibelt, er det mulig dels å lagre den beskrivende informasjon BI med en lagringsidentitet LID som aldri kan koples til originalidentiteten OID, og dels å skape flytende dvs. med tiden foranderlige, lagringsidentiteter LID, og fremdeles ha mulighet til, ved angivelse av en viss originalidentitet OID, å kunne lokalisere tilhørende og lagret, beskrivende informasjon BI.

Prosessen for opprettelse av flytende lagringsidentiteter er nærmere beskrevet i det etterfølgende under henvisning til fig. 3.

Som tidligere nevnt, er hensikten med at lagringsidentitetene LID endres med tiden, å umuliggjøre eller i hvert fall i stor grad vanskeliggjøre ethvert forsøk på såkalt sporing, dvs. utilbørlige forsøk på, ved oppdatering av et register, å lokalisere hvor en gitt originalinformasjon er lagret i lagringsmediet og i hvilken form.

Tidspunktene for erstatting av lagringsidentitetene LID med nye lagringsidentiteter LID' kan styres tilfeldig av maskinvarekomponenten 50. Disse tidspunkter kan også styres av andre faktorer, såsom antallet endringer/opp-dateringer i databasen, osv.

Ved ethvert slikt tidspunkt dekrypteres lagringsidentitetene LID hos samtlige poster P hvis lagringsidentitet skal endres eller "flyte". Maskinvarekomponenten 50 har en intern lagerenhet hvori det lagres oppgave om den sist anvendte, reversible algoritme ALG2, hvorved det på ethvert tidspunkt er mulig å fremhente i maskinvarekomponenten 50 en motsvarende dekrypteringsalgoritme ALG3, hvormed lagringsidentitetene LID kan dekrypteres, for gjenskaping av motsvarende oppdateringsidentiteter UID.

Således gjelder følgende forbindelse:

Ved hjelp av nye slumptall (Slumptall') fremhenter maskinvarekomponenten 50 deretter en ny og endret, reversibel algoritme ALG2', hvormed de gjenskapte oppdateringsidentiteter UID krypteres reversibelt til nye, endrede lagringsidentiteter LID', for lagring med respektiv beskrivende informasjon hos de utvalgte poster.

Den faktiske endring av lagringsidentitetene i lagringsmediet utføres, som tidligere beskrevet, for generell lagring av informasjon, fortrinnsvis i en sats.

Når postenes P lagringsidentiteter LID skal erstattes på denne måte av de nye lagringsidentiteter (LID'), kan postene P, for ytterligere sikkerhet, flyttes til nye fysiske plasser i lagringsmediet.

Ved en foretrukket utførelsesform ifølge oppfinnelsen utføres en slik endring av lagringsidentitetene, som tidligere omtalt, hver gang en endring/oppdatering av databasenes innhold skal foretas.

Gjenvinning av operativt datainformasjon fra det operative register 3 0 ifølge fig. 1, foregår som følger. Brukeren innmater først aktuell originalidentitet OID, dvs. PNR, til brukerprogrammet APPL 1, sammen med oppgave over ønsket informasjon. APPL 1 lagrer PNR sammen med nevnte oppgave over ønsket informasjon, dvs. oppgave over det register eller den database hvori informasjonen skal søkes, og sender deretter PNR og opplysning om database til databasehåndtereren DBM, for fremhenting av ønsket informasjon. Databasehåndtereren noterer at postene hos den aktuelle database er beskyttet med systemet ifølge oppfinnelsen, og videresender derfor PNR sammen med databasenavn til programmodulen 60 og maskinvarekomponenten 50. Med utgang i angitt databasenavn fremhentes, fra lagrede tabelloppgaver i maskinvarekomponenten 50, korrekte algoritmer ALG1 og ALG2 hvormed PNR omformes gjennom oppdateringsidentiteten UID til lagringsidentiteten LID. Den således fremhentede lagringsidentitet LID sendes til databasehåndtereren DBM som deretter, i den aktuelle database, i dette tilfelle det operative registeret 30, ettersøker beskrivende informasjon BI hvis lagringsidentiteter overensstemmer med den fremhentede lagringsidentitet LID. Databasehåndtereren DBM returnerer den beskrivende informasjon BI til brukerprogrammet APPL 1 som kopler den fremhentede, beskrivende informasjon BI til personnummeret PNR. Det påpekes særlig at personnummeret bare finnes lagret i APPL 1, dvs. i datamaskinens kladde-lager, slik at individenes identitet fremdeles er fullstendig beskyttet.

Gjenvinning av datainformasjon fra den strategiske databasen 4 0 foregår uten bruk av hoen originalidentitet OID. Letingen utføres direkte på den beskrivende informasjonen, og fordi beskrivende informasjon tilhørende samme individ er lagret med samme lagringsidentitet LID, kan all beskrivende informasjon tilhørende et individ helt enkelt sammenstilles uten at individets anonymitet trues.

Ulike krypteringsalgoritmer kan anvendes i det operative register 30 og det strategiske register 40. Den ikke-reversible algoritmen ALG1 kan imidlertid være den samme. Det vil videre innsees at de tabelloppgaver over anvendte algoritmer som er lagret i maskinvarekomponenten 50, kan omfatte atskillig flere registre enn som vist i fig. 1.

Den versjon av oppfinnelsen som er beskrevet i det ovenstående, kan modifiseres på flere måter innenfor opp-finnelsens ramme, slik denne er definert i de etterfølg-ende patentkrav. Begrepet "kryptering" skal også gjennom-gående betraktes som omfattende begrepet "hashing".

Ifølge en særlig interessant modifikasjon av den beskrevne versjon kompletteres hver oppgavepost P i den operative database 3 0 med en brukeridentitet AI som følger:

Det ble derved mulig å kople poster i den operative databasen til enkelte brukere. Ved forsøk på gjenvinning av oppgavene i en post, kontrolleres hvorvidt brukeren har rett til å få adgang til posten. Særlig blir det mulig for ulike brukere å lagre beskrivende informasjon vedrørende ett og samme individ, uten at lagret informasjon kan gjenvinnes av andre enn berettigede brukere. Bytte av brukeridentitet AI i lagrede poster kan foregå uten påvirkning av lagringsidentitet LID eller den beskrivende informasjon BI. Hvis en bruker skal ha rett til å få adgang til poster inneholdende andre brukeridentiteter AI enn sin egen, kan maskinvarekomponenten 50 kompletteres med en tabell inneholdende lagrede oppgaver som styrer slik berettigelse.

Som mulig modifisering av den beskrevne versjon kan nevnes muligheten for bruk av en reversibel algoritme i det første krypteringssteget ALG1, hvilket imidlertid ikke gir samme sikkerhet som med en ikke-reversibel algoritme.

Det skal til sist nevnes at også den beskrivende informasjonen ved behov kan krypteres med en reversibel algoritme, før lagring, med henblikk på øket sikkerhet.

Claims (11)

1. Anordning for lagring av datainf ormas jon som innbefatter en originalidentitet (OID) og en tilhørende beskrivende informasjon (BI), karakterisert ved et første krypteringsorgan (50) som er innrettet for kryptering av originalidentiteten (OID) ved hjelp av en første algoritme (ALG1) til en oppdateringsidentitet (UID), et andre krypteringsorgan (50) som er innrettet for kryptering av oppdateringsidentiteten (UID) ved hjelp av en reversibel algoritme (ALG2) til en lagringsidentitet (LID), som er bestemt for å lagres sammen med tilhørende beskrivende informasjon (BI) som en post (P) i et lagringsmedium (3 0, 40), og et dekrypteringsorgan (50) som er innrettet for å dekryptere lagringsidentitetene (LID) på tidspunkter når slike lagringsidentiteter (LID) hos utvalgte, lagrede poster (P) skal erstattes av nye lagringsidentiteter (LID'), for å gjenskape motsvarende oppdateringsidentiteter (UID), hvor det andre krypteringsorgan (50) er innrettet for å kryptere de gjenskapte oppdateringsidentiteter (UID) på nevnte tidspunkter og ved hjelp av en endret, reversibel algoritme (ALG2'), til nye lagringsidentiteter (LID') som er bestemt for å erstatte de tidligere lagringsidentiteter (LID).

2 . Anordning i samsvar med krav 1, karakterisert ved et organ som er innrettet for tilfeldig fastsetting av de nevnte tidspunkter når de utvalgte posters (P) lagringsidentiteter (LID) skal erstattes av nye lagringsidentiteter (LID').

3 . Anordning i samsvar med et av de foregående krav, karakterisert ved at den nevnte første algoritme (ALG1) for opprettelse av oppdateringsidentiteten (UID) er ikke-reversibel algoritme.

4 . Anordning i samsvar med et av de foregående krav, karakterisert ved at det første og det andre krypteringsorgan samt dekrypteringsorganet er utført som en maskinvarekomponent (50) .

5. Anordning i samsvar med krav 4, karakterisert ved at nevnte maskinvarekomponent (50) omfatter en egen prosessor som er innrettet for å fungere som en distribuert prosessor i en datamaskin.

6. Anordning i samsvar med krav 4 eller 5, karakterisert ved at nevnt maskinvarekomponent (50) er innrettet for opprettelse av variable algoritmer, og innbefatter et organ for lagring av de sist opprettede algoritmer.

7. Fremgangsmåte for lagring av datainformasjon som innbefatter en originalidentitet (OID) og en tilhørende beskrivende informasjon (BI), karakterisert ved prosesstrinn som omfatter kryptering av originalidentiteten (OID) til en oppdateringsidentitet (UID) ved hjelp av en første algoritme (ALG1), kryptering av oppdateringsidentiteten (UID) til en lagringsidentitet (LID) ved hjelp av en reversibel algoritme (ALG2), lagring av lagringsidentiteten (LID) og den beskrivende informasjon (BI) som en post (P) i et lagringsmedium (30,40) , gjennomføring av følgende deltrinn på tidspunkter når slike lagringsidentiteter (LID) hos utvalgte, lagrede poster (P) skal erstattes av nye lagringsidentiteter (LID') : - dekryptering av de utvalgte posters (P) lagringsidentiteter (LID) for gjenskaping av motsvarende oppdateringsidentiteter (UID), - endring av den reversible algoritme (ALG2) og kryptering ved hjelp av den endrede reversible algoritme (ALG2') av de gjenskapte oppdateringsidentiteter (UID) til nye lagringsidentiteter (LID'), og - erstatning av de utvalgte posters (P) lagringsidentiteter (LID) med de nye lagringsidentiteter (LID').

8. Fremgangsmåte i samsvar med krav 7, karakterisert ved at det, som nevnte utvalgte poster (P), velges samtlige lagrede poster (P) i lagringsmediet (30,40) .

9. Fremgangsmåte i samsvar med krav 7 eller 8, karakterisert ved at deltrinnet for erstatning av de utvalgte posters (P) lagringsidentiteter (LID) med de nye lagringsidentiteter (LID') utføres i en sats, for fremkalling av en stort sett samtidig endring i lagringsmediet (30, 40) av de utvalgte posters (P) lagringsidentiteter (LID).

10. Fremgangsmåte i samsvar med et av kravene 7-9, karakterisert ved at deltrinnet for erstatning av de utvalgte posters (P) lagringsidentiteter (LID) med nye lagringsidentiteter (LID') også innbefatter flytting av de utvalgte poster (P) til nye fysiske plasser i lagringsmediet (30,30).

11. Fremgangsmåte i samsvar med et av kravene 7-10, karakterisert ved at den beskrivende informasjonen (BI) likeledes krypteres innen den lagres i den respektive post (P) i lagringsmediet.