WO2011082771A1 - Verfahren zur anonymisierung von verbindungsdaten in ip-paketen - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Anonymisierung von Verbindungsdaten bei paketbasierten Kommunikat ions Verbindungen in Netzwerken aller Art und kann zur Anonymisierung von jeglichen Verbindungsdaten benutzt werden, wie z.B. IP Paketdaten, aggregierte Paketdaten, Telefonverbindungen, WebService Nutzung, WebServer Zugriffe, Email, Chatprotokolle, Kurz- Nachrichten. Bevor diese oder daraus abgeleitete Daten verfügbar gemacht werden, müssen Merkmale in den Datenpaketen anonymisiert werden, welche es möglich machen, eine Person eindeutig den Daten zuzuordnen. In diesem Zusammenhang darf die Verwertbarkeit der Daten für den vorgesehenen Zweck nicht oder nur unerheblich beeinträchtigt werden. Bei IP- und Verbindungs - Daten ist es bei der Ersetzung von identifizierenden Merkmalen mit einem Pseudonym möglich, durch die Aufstellung eines Relationen- Profils und mit nur einem relativ geringen Vorwissen über die Kommunikationspartner, die Anonymisierung zu umgehen oder aufzuheben.

Description

VERFAHREN ZUR ANONYMISIERUNG VON VERBINDUNGSDATEN IN IP- PAKETEN

Die Erfindung betrifft ein Verfahren zur Anonymisierung von Verbindungsdaten insbesondere bei paketbasierten

Kommunikationsverbindungen in Netzwerken aller Art gemäß den

Merkmalen des Anspruchs 1 sowie eine Vorrichtung zur Durchführung des Verfahrens gemäß den Merkmalen des Anspruchs 6.

Das beschriebene Verfahren kann zur Anonymisierung von jeglichen Verbindungsdaten benutzt werden, darunter fallen unter anderem: IP Paketdaten, aggregierte Paketdaten (z.B. Paketströme) ,

Telefonverbindungen, WebService Nutzung, WebServer Zugriffe, Email, Chatprotokolle, Kurz -Nachrichten .

Die Merkmale der Unteransprüche betreffen vorteilhafte

Weiterbildungen des erfindungsgemäßen Verfahrens bzw. der

erfindungsgemäßen Vorrichtung zur Durchführung des Verfahrens.

Bei der Speicherung und der Weitergabe von Internet Protokoll (IP) Paketdaten oder Verbindungsdaten muss in sehr vielen

Anwendungsfällen die Privatsphäre der Kommunikationsteilnehmer gewahrt werden .

Bevor diese oder daraus abgeleitete Daten verfügbar gemacht werden, müssen daher solche Merkmale in den Datenpaketen

anonymisiert werden, welche es möglich machen, eine Person eindeutig den Daten zuzuordnen. In diesem Zusammenhang darf allerdings die Verwertbarkeit der Daten für den vorgesehenen Zweck nicht oder nur unerheblich beeinträchtigt werden. Diese Problematik auszubalancieren ist bei Verbindungsdaten und IP Paketdaten deutlich schwieriger als bei personenbezogenen Zensusdaten. Bei Zensusdaten (Daten aus einer Umfrage, die ermittelt, wie viele Menschen in einem Land leben, wie sie wohnen und arbeiten; umgangssprachlich „Volkszählung" genannt) wird die Erhebung über eine Person erstellt, ohne diese mit anderen Personen und/oder Daten in Verbindung zu setzen. Somit ist es bei Zensusdaten daher ausreichend, die eine Person identifizierenden Merkmale durch ein Pseudonym zu ersetzen oder wegzulassen.

Bei IP Paketdaten und Verbindungsdaten dagegen steht eine Person mit und/oder über mehreren Personen oder Kommunikationspartnern in Verbindung.

Bei IP- und Verbindungs-Daten ist es auch bei der Ersetzung von identifizierenden Merkmalen (wie IP Adressen, Telefonnummern) mit einem Pseudonym möglich, durch die Aufstellung eines Relationen- Profils und mit nur einem relativ geringen Vorwissen über die Kommunikationspartner, die Anonymisierung zu umgehen bzw.

aufzuheben .

Mit einem vollständigen Relationenprofil bezeichnen wir hier die gesammelte Menge aller Kontakte (Menschen, Server/Endgeräte, Dienste) , mit denen ein Kommunikationspartner (eine natürliche Person oder ein Server/Endgerät ) in einem gewählten Zeitraum in Verbindung stand und für welche die jeweilige Verbindungsdauer oder zusätzliche Daten erfasst worden sind. Auch ein unvollständiges Relationenprofil, kann bereits wie ein Fingerabdruck wirken, an dem eine Person wiedererkannt wird. So ist es insbesondere durch Analyse von Paket- und Verbindungs- daten möglich, automatisierte Kommunikationspartner (z.B.

Webserver) anhand ihres Kommunikationsmusters zu identifizieren (über Paketlängen, Anzahl von Verbindungen, Timing) , selbst wenn die eigentliche IP Adresse ersetzt wurde und keine Paketinhalte (der sog. payload) gespeichert wurden.

Diese Re- Identifikation von automatisierten Kommunikations- partnern kann dann dazu benutzt werden, ein Profil von realen Personen aufzustellen und fortzuschreiben, insbesondere also auch zu verbessern bzw. zu verfeinern.

Ist zum Beispiel bekannt, dass eine Person bestimmte Webseiten oder automatisierte Webservices benutzt, so kann dieses

Relationen- Profil genutzt werden, um eine Re- Identifikation in den Originaldaten möglich zu machen.

Stand der Technik und dessen Nachteile

Bisher wird die Anonymisierung von IP Paketdaten so vorgenommen, dass der Paketinhalt (payload) entfernt wird, da dort

identifizierende Merkmale (wie e-mail- Adresse, SIP-ID oder URL) enthalten sein können.

Zudem werden die Quell- und Zieladressen (und eventuell Ports) entweder a) gelöscht, d.h. auf 0 gesetzt b) durch Pseudonyme Adressen in aufsteigender Reihenfolge

(1.1.1.1, 1.1.1.2, 1.1.1.3, ...) ersetzt c) durch eine präfix-erhaltende Funktion, welche neue Adress- Pseudonyme berechnet, ersetzt oder d) durch jeweils einen Hash-Funktionswert für Quell- und

Zieladresse ersetzt.

5 Die Hash-Funktionswerte für die Quell- und Zieladresse werden mit Hilfe einer mathematischen Funktion bzw. eines in Schritten bearbeitbaren Algorithmus berechnet. Eine Hash-Funktion zeichnet sich dadurch aus, dass der Wertebereich der Eingangswerte größer oder gleich dem Bereich der möglichen Ausgangswerte der Funktion 10 ist. Dadurch ist diese Abbildung von Eingangs- zu Ausgangswerten im Allgemeinen nicht umkehrbar (bijektiv) .

Aus dem Stand der Technik ist die europäische Patentanmeldung EP1956512A1 bekannt. Hier wird die Anonymisierung

personenbezogener Datensätze, insbesondere sensibler Daten wie 15 etwa Verschreibungsdaten im Apothekenbereich, beschrieben. Dies wird durch Erzeugen einer Zufallsreihenfolge der Vielzahl

personenbezogener Datensätze und durch Einwegcodierung jedes der personenbezogenen Datensätze gelöst. Die Einwegverschlüsselung kann hier durch eine Hash-Funktion erfolgen.

>0 Aus der US-Anmeldung US2002/0073138A1 ist ein weiteres Verfahren zur Anonymisierung von elektronischen Datensätzen, die

personenbezogene Informationen wie Namen, Wohnort usw. enthalten, und deren Verlinkung bekannt. Die Anwendung einer Einweg- Hashfunktion auf Teile der Datenfelder wird hier ebenfalls zur

!5 Anonymisierung verwendet. Des Weiteren ist aus der US-Patentanmeldung US2009/0182873A1 eine Anonymisierung von Übertragungsdaten in einem Computernetzwerk bekannt, z.B. um die Netzwerkbelastung zu überwachen ohne den Datenschutz von Kunden zu verletzen. Hierfür wird ein

anonymisierter Identifizierer erzeugt, insbesondere durch

Anwendung einer Einweg-Hashfunktion auf den Benutzernamen oder die IP-Adresse bzw. Telefonnummer und einen Sicherheitsschlüssel.

Zur Variante a)

Werden die Quell und Zieladressen entfernt oder auf null gesetzt, so gehen wichtige Information verloren, die in einer späteren Auswertung nötig sein könnten. Während die Sicherheit der

Anonymität der Daten dann sehr hoch ist, ist die Verwertbarkeit der Daten stark eingeschränkt .

Zu den Varianten b) und c)

Bei dem einfachsten auf Mapping basierenden Verfahren erhält jede IP-Adresse ein bestimmtes Pseudonym, je nachdem, wann diese IP Adresse zum ersten Mal auftritt. Bei diesem Verfahren wird zum Beispiel die erste IP Adresse X, die beobachtet wird, auf die Adresse 1.1.1.1 abgebildet, wie auch die Adressen aller anderen Pakete von oder zu X. Die nächste von X verschiedene Adresse Y wird dann auf 1.1.1.2 abgebildet, u.s.w. Ein Nachteil dieses Verfahrens ist, dass bei Messdaten von mehreren Observations- punkten das Mapping inkonsistent ist.

Zur Variante d)

Bei Hash- basierten Verfahren wird eine konsistente

Anonymisierung bei Messungen an mehreren Observationspunkten vorgenommen. Dazu wird eine Funktion auf die IP Adresse (32bit bei IPv4 oder 128bit bei IPv6) angewendet und dann die IP Adresse durch den Funktionswert ersetzt. Dabei entspricht die Länge des Funktionswertes der Länge der IP Adresse. Damit eine

Rücktransformation zum Originalwert der Adresse erschwert wird, kommt zusätzlich als Input ein einmalig gewähltes zufälliges Bitmuster, ein sogenanntes „Salt", zur Anwendung. Die Hash- Funktion wird über das „Salt" und die IP Adresse zusammen

berechnet, dadurch wird die Rücktransformation ohne die Kenntnis des „Salt" deutlich erschwert, und auch eine erschöpfende

Berechnung aller Hash-Funktionswerte (sog. Rainbow-Tabellen) wird unterbunden .

Der Nachteil von allen oben beschrieben Verfahren (b - d) ist, dass jeder Adresse genau ein Pseudonym zugeordnet wird. Dadurch bleibt das Relationenprofil zu anderen Kommunikationspartnern implizit in den Daten erhalten, womit eine Re-Identifikation immer noch möglich ist.

Wesen der Erfindung

Das erfindungsgemäße Verfahren ist für die Anonymisierung von IP Paketdaten entwickelt wurden, kann aber ebenso auch für die

Anonymisierung von jeglichen anderen Verbindungsdaten mit

mehreren Kommunikationsteilnehmern angewendet werden.

Der Erfindung liegt somit insbesondere die Aufgabe zugrunde, ein einfaches und leistungsfähiges Verfahren bereitzustellen, das es gestattet, die Verbindungsdaten von paketbasierten Verbindungen zu anonymisieren. Das erfindungsgemäße Verfahren wird anhand zweier Beispiele, die als bevorzugte Ausführungsformen der Erfindung anzusehen sind, und insbesondere keine Beschränkung des allgemeinen

Erfindungsgedankens darstellen, erläutert: - der Anonymisierung von Internet Protokoll- (IP-) Daten

(s. a. Fig. 1) und der Anonymisierung von Telefon-Verbindungsdaten

(s. a. Fig. 2)

Damit die Erstellung eines Relationenprofils bei IP- Paketdaten und Verbindungsdaten verhindert ist, wird ein Pseudonym erstellt, welches über mehrere Felder der zu anonymisierenden Daten

berechnet wird.

Eine vorteilhafte Variante des erfindungsgemäßen Verfahrens ist die zusätzliche Verwendung einer pseudo- Zufallszeichenfolge (ein sog. „Salt") als weiteren Eingangswert der Anonymisierungs- Berechnung.

In Fig. 1 werden Daten aus einer IP- Paketquelle erhalten (z.B. Live Mitschnitt von einer Netzwerkkarte oder aus einer

gespeicherten Datei) , diese werden mit dem Verfahren anonymisiert und dann anonymisiert gespeichert oder für die weitere

statistische Analysen benutzt.

Im Beispiel zu Fig. 1 benutzt das Verfahren zur Anonymisierung die beiden Felder Quell- IP-Adresse und Ziel- IP-Adresse. Der Hash-Funktionswert soll vorzugsweise eine Länge besitzen, die der Gesamtlänge beider Adressen entspricht (also bei IPv4 64 bit - bei IPv6 256 bit) .

Der Hash-Funktionswert wird auf beide Adressen in dem

anonymisierten Datensatz aufgeteilt, dergestalt, dass die anfängliche Zeichenfolge des Hash- Funktionswertes der

anonymisierten Quell- IP- Adresse zugewiesen wird und dass die endständige Zeichenfolge der Hash-Funktion der anonymisierten Ziel- IP- Adresse zugeordnet wird.

Bei Verwendung von Hash- Funktionen mit kürzerem Ausgabewert kann man auch als eine weitere Realisierungsform des erfindungsgemäßen Verfahrens mehrere Hash- Funktionswerte hintereinander berechnen und verbinden.

Die verwendeten Hash-Funktionen sollten vorzugsweise

irreversibel, d.h. unumkehrbar sein. Dies ist notwendig, damit eine vorgenommene Anonymisierung nicht durch einen „Angreifer" wieder rückgängig gemacht werden kann. Eine geeignete Hash- Funktion ist auch dann nicht (oder nur mit unvertretbarem Aufwand an Zeit und Rechenleistung) umkehrbar, wenn der verwendete

Algorithmus öffentlich gemacht wurde.

Bevor der Hash-Funktionswert berechnet wird, ist es für viele Anwendungen und insbesondere auch für die Erstellung von

Kommunikations- Statistiken sinnvoll, vor der Berechnung die beiden IP-Adressen zu sortieren.

Die Sortierung der beiden IP-Adressen und die eventuelle

Umsortierung des Ausgabewertes der Hash-Funktion hat das Ziel, die Verbindungsdaten einer einzelnen IP- zu- IP-Verbindung

unabhängig von der Richtung der Datenübertragung konsistent zu anonymisieren.

Dadurch lassen sich nach der Anonymisierung Datensätze für die Hin-Richtung einer Verbindung mit Datensätzen der Rück-Richtung korrelieren.

Dieser sortierte Wert von Quell-und-Zie.adresse kann dann, wie bereits erwähnt, in einer bevorzugten Form des Verfahrens mit einer Pseudo- Zufallszeichenfolge, einem „Salt" verknüpft werden, wobei über diesen Gesamt -Wert der Hash-Funktionswert berechnet wird .

Im darauf folgenden Schritt wird der Hash-Funktionswert in dem anonymisierten Paket an Stelle der beiden IP-Adressen eingesetzt. Hat keine Umsortierung vor der Berechnung stattgefunden, so wird der Hashwert anstelle der Quell- und Zieladresse in dem

anonymisierten Paket eingesetzt. Hat vor der Berechnung eine Umsortierung der IP-Adressen stattgefunden, wird die hintere Hälfte des Hash- Funktionswertes als anonymisierte Quell-IP- Adresse eingesetzt und. die vordere Hälfte des Hash- Funktionswertes als anonymisierte Ziel-IP-Adresse eingesetzt.

In Fig. 2 ist das Verfahren anhand von Telefon-Verbindungsdaten und einer Beispieltabelle verdeutlicht.

Die nicht anonymisierten Verbindungsdaten enthalten die

originalen Telefonnummern, anhand derer eine Person oder ein Haushalt eindeutig identifiziert werden kann. In Zeile 1 wird der Hash-Funktionswert über 030-12345 und 049-56789 berechnet. Da 030-12345 kleiner ist als 049-56789, findet keine Umsortierung statt. Der Hash-Funktionswert ist in diesem Fall 1781124222. Dieser wird auf beide Adressen in dem anonymisierten Datensatz aufgeteilt, dergestalt, dass die anfängliche Zeichenfolge des Hash-Funktionswertes der anonymisierten Anrufer- ID zugewiesen 5 wird und dass die endständige Zeichenfolge der Hash-Funktion der anonymisierten Angerufenen- ID zugeordnet wird.

In Zeile 2 erhält die Quell-Adresse 030-12345 ein anderes

Pseudonym, da es sich in Kombination mit dem Ziel 055-555555 um 10 eine andere Verbindung handelt. Zeile 3 ist die Umkehrung von

Zeile 1. Durch den verwendeten Algorithmus ergeben sich dieselben Pseudonyme wie in Zeile 1, nur in umgekehrter Reihenfolge. Die Zeilen 2 und 4 zeigen die gleiche Verbindung, es werden daher die gleichen Pseudonyme als Ergebnis der Anonymisierung berechnet.

L5 Das erfindungsgemäße Verfahren kann in einer weiteren bevorzugten Realisierungsform des erfindungsgemäßen Verfahrens so angewendet werden, dass die Hash-Funktion über zusätzliche Eingabe-Felder wie z.B. Paketlänge, Verbindungsdauer, oder Portnummern berechnet wird, je nach Verwendungszweck der Ergebnis-Daten.

!0 Der Fachmann erkennt, dass die Realisierung des erfindungsgemäßen Verfahrens in einer bevorzugten Ausführungsform als

computerimplementiertes Programmprodukt erfolgen kann.

Eine Vorrichtung zur Durchführung des erfindungsgemäßen

Verfahrens umfasst somit insbesondere

5

- Mittel zur Extraktion der ursprünglichen Verbindungsdaten

(wie z. B. IP- Adressen, Telefon- Nummern, etc.) - optional in einer bevorzugten Ausführungsform, Mittel zur Sortierung der ursprünglichen Verbindungsdaten

- optional in einer anderen bevorzugten Ausführungsform, Mittel zur Ergänzung der ursprünglichen Verbindungsdaten um eine

Pseudo- Zufallszeichenfolge ("Salt")

- Mittel zur Bildung eines Hash-Funktionswertes aus den

Verbindungsdaten, optional in einer anderen bevorzugten

Ausführungsform, auch aus den sortierten und/ oder um eine Pseudo- Zufallsfolge erweiterten Verbindungsdaten

- Mittel zur Umordnung des bzw. Zuweisung von Teilen des Hash- Funktionswertes zu anonymisierten Verbindungsdaten (s. a. Fig. 1 bzw. Fig. 2)

Ein Vorteil des erfindungsgemäßen Verfahrens ist, dass die Erstellung eines Relationenprofils aus den zugänglichen

Verbindungsdaten unmöglich gemacht wird und somit die Sicherheit der Anonymisierung höher ist im Vergleich zu bekannten Verfahren im Stand der Technik.

Durch das erfindungsgemäße Entfernen des Relationenprofils gehen Informationen verloren, trotzdem können die Daten zur Erhebung einer Vielzahl von Verbindungsstatistiken benutzt werden.

Claims

Patentansprüche :

1. Verfahren zur Anonymisierung von Verbindungsdaten,

dadurch gekennzeichnet, dass

5

über einen Verbund von Quell- und Zieladresse ein Hash- Funktionswert berechnet wird, wobei der berechnete Hash-Funktionswert auf beide Adressen

10 aufgeteilt wird, indem dessen anfängliche Zeichenfolge einem

ersten anonymisierten Quell- Verbindungsdatum zugeordnet und dessen endständige Zeichenfolge einem zweiten anonymisierten Ziel- Verbindungsdatum zugeordnet wird.

15

2. Verfahren zur Anonymisierung von Verbindungsdaten nach

Anspruch 1, dadurch gekennzeichnet, dass zur Sicherstellung einer konsistenten Anonymisierung von Verbindungen unabhängig von der

20 Datenrichtung die Quell- und Zieladresse vor der Bildung eines Hash-Funktionswertes sortiert werden.

3. Verfahren zur Anonymisierung von Verbindungsdaten nach

25 Anspruch 1 oder 2, dadurch gekennzeichnet, dass mehrere Hash- Funktionswerte gebildet werden.

4. Verfahren zur Anonymisierung von Verbindungsdaten nach

$0 Anspruch 1 bis 3, dadurch gekennzeichnet dass unter Verwendung weiterer Eingabefelder aus den Verbindungs- oder Paketdaten Hash- Funktionswerte gebildet werden.

5. Verfahren zur Anonymisierung von Verbindungsdaten nach

Anspruch 1 bis 4, dadurch gekennzeichnet, dass der Hash- Funktionswert unter Einbeziehung eines Pseudo- Zufallswertes ("Salt") gebildet wird.

6. Vorrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 5, umfassend

- Mittel zur Extraktion ursprünglicher Verbindungsdaten

- Mittel zur Bildung wenigstens eines Hash-Funktionswertes aus sortierten Verbindungsdaten,

- Mittel zur Umordnung des bzw. Zuweisung von Teilen des

wenigstens einen Hash-Funktionswertes zu anonymisierten

Verbindungsdaten .

7. Vorrichtung zur Durchführung des Verfahrens nach Anspruch 6 , ferner umfassend Mittel zur Sortierung der ursprünglichen

Verbindungsdaten .

8. Vorrichtung zur Durchführung des Verfahrens nach Anspruch 6 oder 7, ferner umfassend Mittel zur Ergänzung der ursprünglichen Verbindungsdaten um eine Pseudo- Zufallszeichenfolge ("Salt").

9. Vorrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 6 bis 8, ferner umfassend

Mittel zur Erzeugung eines Hash-Funktionswertes unter Verwendung weiterer Eingabefelder aus den Verbindungs- oder Paketdaten.

10. Computerprogramm und/oder Cömputerprogrammprodukt mit einem Programmcode wenn das Computerprogramm und/oder

Computerprogrammprodukt zum Durchführen'^' eines Verfahrens gemäß einem der Ansprüche 1 bis 5 auf einer programmgesteuerten

Einrichtung ausgeführt wird.