WO2020083732A1

WO2020083732A1 - Beglaubigungmodul für sensordaten

Info

Publication number: WO2020083732A1
Application number: PCT/EP2019/078154
Authority: WO
Inventors: Volker Skwarek; Mark HEBBEL; Sebastian ADANK
Original assignee: Basler Ag
Priority date: 2018-10-24
Filing date: 2019-10-17
Publication date: 2020-04-30
Also published as: DE102018126533A1; US20210385408A1; CN112956167A; CN112956167B

Abstract

Beglaubigungsmodul (1) für eine Zeitreihe (2) von Sensordaten (21a-24a, 21a'-24a'), umfassend mindestens eine Datenschnittstelle (11), die mit mindestens einem Sensor (21-24) verbindbar ist, eine Beglaubigungsschnittstelle (12) sowie eine mit der Datenschnittstelle (11) und der Beglaubigungsschnittstelle (12) gekoppelte Beglaubigungslogik (13), die dazu ausgebildet ist, - mindestens einen Datensatz (21a-24a) über die mindestens eine Datenschnittstelle (11) von mindestens einem Sensor (21-24) zu empfangen (110), - aus einem oder mehreren empfangenen Datensätzen (21a-24a) ein oder mehrere Komprimate (21b-24b) zu bilden (120), - eine Beglaubigung (3) zu erstellen (130), die das oder die Komprimate (21b-24b) sowie jeweils einen Verweis (21c-24c) auf den zugehörigen Datensatz (21b-24b), und/oder mindestens einen Teil des zugehörigen Datensatzes (21a-24a), enthält, und - die Beglaubigung (3) über die Beglaubigungsschnittstelle (12) auszugeben (140). Zugehörige Kamera (5, 5') und Computerprogramm.

Description

Beglaubigungsmodul für Sensordaten

-

Die Erfindung betrifft ein Beglaubigungsmodul, mit dem Sensordaten gegen nachträgliche Manipulation und/oder Unterdrückung geschützt werden können, sowie eine Kamera mit diesem Beglaubigungsmodul.

Stand der Technik

Bevor die Speicherung von Sensordaten auf digitalen Medien zum Standard wurde, wurden Sensordaten in analoger Form gespeichert, wie etwa auf Magnetbändern, auf Kurvenschreibem oder auf belichteten Filmen. Der Wechsel zu digitalen Medien bringt eine wesentlich höhere Speicherkapazität bei geringeren Kosten für

Speichermedien und zugleich auch geringerem apparativen Aufwand für die

Aufzeichnung. Auf der anderen Seite ist es hierdurch auch einfacher geworden, die aufgezeichneten Sensordaten, wie etwa Bilder von Überwachungskameras, nachträglich zu manipulieren. Während beispielsweise ein einmal belichteter Film nachträglich nur durch physischen Schnitt veränderbar war, was unweigerlich Bearbeitungsspuren am Film hinterließ, können die meisten digitalen Speichermedien gelöscht und neu beschrieben werden, ohne dass erkennbare physische Spuren hierauf hindeuten .

Aufzeichnungen können also beispielsweise nachträglich verändert, etwa retuschiert, werden. Ebenso kann, wenn eine Aufzeichnung ganz oder teilweise fehlt, nicht schlüssig bewiesen werden, dass sie existiert hat. Aufgabe und Lösung

Es ist daher die Aufgabe der Erfindung, das unbemerkte nachträgliche Bearbeiten, sowie auch das unbemerkte teilweise oder vollständige Unterdrücken, von

Sensordaten zu erschweren.

Diese Aufgabe wird erfindungsgemäß gelöst durch ein Bearbeitungsmodul gemäß Hauptanspruch sowie durch eine Kamera und ein Computerprogramm gemäß Nebenansprüchen. Weitere vorteilhafte Ausgestaltungen ergeben sich aus den darauf rückbezogenen Unteransprüchen.

Offenbarung der Erfindung

Im Rahmen der Erfindung wurde ein Beglaubigungsmodul für eine Zeitreihe von Sensordaten entwickelt. Diese Sensordaten können beliebige physikalisch aufgenommene Messdaten beinhalten, wie beispielsweise stehende oder bewegte Kamerabilder, Temperaturdaten oder Messdaten von Beschleunigungssensoren.

Das Beglaubigungsmodul umfasst mindestens eine Datenschnittstelle, die mit mindestens einem Sensor verbindbar ist. Über diese eine oder mehrere

Datenschnittstellen können dem Beglaubigungsmodul Sensordaten eines oder mehrerer Sensoren zugeführt werden. Es können also insbesondere Kombinationen von mehreren Datenschnittstellen vorgesehen sein, die Daten von unterschiedlichen Sensoren entgegennehmen.

Ist das Beglaubigungsmodul beispielsweise in eine Kamera integriert, die ihrerseits an ein verkabeltes oder drahtloses Netzwerk angeschlossen ist, so kann das

Beglaubigungsmodul Kamerabilder direkt vom Bildsensor dieser Kamera erhalten, beispielsweise über eine interne Schnittstelle dieser Kamera. Das

Beglaubigungsmodul kann gleichzeitig aber auch über weitere Datenschnittstellen, wie beispielsweise Funkschnittstellen, Sensordaten von anderen Sensoren in der Umgebung erhalten. Somit kann das Beglaubigungsmodul beispielsweise in einem Sensometzwerk als Sammelpunkt für die Sensordaten von mehreren Sensoren dienen.

Dabei umfasst der Begriff der Kamera beispielsweise zweidimensionale oder dreidimensionale Einzelkameras, aber auch beispielsweise stereoskopische oder andere Anordnungen von Kameras, deren Bilder zu einem dreidimensionalen

Gesamtbild fusioniert werden. Ebenso kann die Kamera beispielsweise multimodale Daten aus mehreren Kontrastmechanismen fusionieren.

Das Beglaubigungsmodul weist weiterhin eine Beglaubigungsschnittstelle auf, über die es Beglaubigungen ausgibt. Dabei ist die Unterscheidung zwischen der

Datenschnittstelle und der Beglaubigungsschnittstelle nicht dahingehend zu verstehen, dass sich diese Schnittstellen hinsichtlich bestimmter physischer

Merkmale unterscheiden müssen, sondern dient lediglich dem besseren Verständnis der Abläufe im Beglaubigungsmodul. Es ist also auch möglich, dass ein

Beglaubigungsmodul über ein und dieselbe Netzwerkschnittstelle sowohl

Sensordaten von verschiedenen Sensoren empfängt als auch Beglaubigungen ausgibt.

Das Beglaubigungsmodul weist weiterhin eine Beglaubigungslogik auf. Diese Beglaubigungslogik kann in Hardware, Software, Firmware oder einer beliebigen Kombination hieraus implementiert sein. Die Beglaubigungslogik ist dazu

ausgebildet, mindestens einen Datensatz über die mindestens eine Datenschnittstelle von mindestens einem Sensor zu empfangen und aus einem oder mehreren empfangenen Datensätzen ein oder mehrere Komprimate zu bilden.

Unter einem Komprimat wird jede verdichtete Zusammenfassung des Datensatzes verstanden, die a) keinen eindeutigen Rückschluss auf den Datensatz oder Teile desselben zulässt und b) sich ändert, wenn an beliebiger Stelle des Datensatzes eine Veränderung vorgenommen wird. Hierunter fallen insbesondere kryptographische Hashfunktionen, die es in besonderem Maße erschweren, zu einem gegebenen Datensatz und einem gegebenen Hashwert einen manipulierten Datensatz zu erzeugen, der auf den gleichen Hashwert abgebildet wird (sogenannte

Hashkollision). Abwägungen zwischen dem Sicherheitsniveau einerseits und den Hardwarekosten andererseits können jedoch auch in die Verwendung einfacherer Funktionen für die Bildung von Komprimaten münden, wie beispielsweise

Prüfsummen (etwa CRC) oder Zählungen, welche Byte-Werte von 0 bis 255 wie oft im Datensatz Vorkommen.

Die Beglaubigungslogik erstellt eine Beglaubigung, die das oder die Komprimate sowie jeweils einen Verweis auf den zugehörigen Datensatz, und/oder mindestens einen Teil des zugehörigen Datensatzes, enthält. Auf diese Weise wird in der Beglaubigung festgehalten, dass der oder die Datensätze, auf die sich die

Beglaubigung bezieht, zum Zeitpunkt der Beglaubigung einen bestimmten Inhalt hatten, der durch das oder die Komprimate angegeben wird. Die Beglaubigung kann zusätzlich noch Zeitstempel oder andere Angaben enthalten.

Das Beglaubigungsmodul ist dazu ausgebildet, die Beglaubigung über die

Beglaubigungsschnittstelle auszugeben. Dabei kann die Beglaubigung insbesondere nach außerhalb des Geräts, in das das Beglaubigungsmodul eingebaut ist, abgegeben werden. So kann die Beglaubigungsschnittstelle beispielsweise genutzt werden, um Beglaubigungen innerhalb eines Sensometzwerks zu verteilen. Der letztendliche Effekt einer solchen Verteilung ist, dass an vielen Stellen in dem Netzwerk die Information hinterlegt ist, dass zu einem bestimmten Zeitpunkt Datensätze eines bestimmten Inhalts Vorgelegen haben. Wenn die Datensätze zu einem späteren Zeitpunkt etwa für Beweiszwecke benötigt werden, dann kann anhand der im Netzwerk, oder bei einer vertrauenswürdigen Entität, hinterlegten Beglaubigungen geprüft werden, ob die Datensätze zwischenzeitlich verändert wurden. Dabei benötigt die Speicherung der Beglaubigung auf Grund der

Verdichtung in Komprimate jeweils deutlich weniger Speicherplatz als die

Speicherung der ursprünglichen Datensätze. Es können also, beispielsweise in einem Streitfall, die bezüglich eines Sensors gespeicherten Sensordaten mit den bezüglich dieser Sensordaten vorliegenden Beglaubigungen abgeglichen werden. Dies kann auch eine Prüfung einschließen, ob zu jeder bezüglich eines Sensors vorhandenen Beglaubigung der nominell dazugehörige Datensatz tatsächlich existiert. Wenn es eine Beglaubigung für einen konkreten Datensatz gibt, dieser Datensatz aber zugleich nicht auffindbar ist, dann wurde er möglicherweise nachträglich unterdrückt. So kann beispielsweise versucht werden, aus der von einer Überwachungskamera gelieferten Zeitreihe von Bildern diejenigen Bilder zu entfernen, auf denen ein Täter erkennbar ist. Gibt es zu diesen Bildern Beglaubigungen, lässt sich die Existenz der Bilder nicht mehr abstreiten.

Dabei muss die Verteilung von Beglaubigungen auch gar nicht an den Grenzen des Machtbereichs eines einzelnen Betreibers eines Sensometzwerks enden. Vielmehr kann die Beweiskraft noch weiter erhöht werden, indem beispielsweise die

Beglaubigungen über eine Funkschnittstelle als Beglaubigungsschnittstelle ausgesendet werden und andere Beglaubigungsmodule jede auf ihrer

Funkschnittstelle empfangene Beglaubigung zumindest für einen gewissen Zeitraum speichern, unabhängig davon, von wem sie stammt. Wird nun beispielsweise in einem mit einem System von Überwachungskameras ausgestatteten Ladenlokal A eine Straftat begangen und betreibt ein anderes Unternehmen im benachbarten Ladenlokal B ein Kamerasystem vom gleichen Hersteller (bzw. ein hierzu kompatibles), so kann die Polizei zur Beweissicherung das Ladenlokal B aufsuchen und die Herausgabe der im dortigen Kamerasystem gespeicherten Beglaubigungen fordern. Der Betreiber von Ladenlokal A hat also keine Möglichkeit mehr, das Vorliegen bestimmter Aufnahmen in seinem Kamerasystem schlüssig abzustreiten. Wenn er alle Kameras verschwinden lässt und durch neue gleichen Typs ersetzt, dann kann er damit zwar die Bilder selbst vernichten, aber dieser Akt kann ihm an Hand der Beglaubigungen nachgewiesen werden. Die in Ladenlokal B gespeicherten Beglaubigungen sind vor seinem Zugriff sicher. Somit ist die Beglaubigungslogik in einer besonders vorteilhaften Ausgestaltung dazu ausgebildet, Beglaubigungen von anderen Beglaubigungsmodulen zu empfangen und zu speichern, und/oder mit in die eigene Beglaubigung aufzunehmen. Zusätzlich kann die Beglaubigungslogik auch die von ihr selbst erstellten

Beglaubigungen speichern.

Die Ausgabe von Beglaubigungen über die Beglaubigungsschnittstelle ist nicht darauf beschränkt, dass die Beglaubigungen an Sensorgeräte eines Sensometzwerks und/oder an zentrale Server übergeben werden. Die Beglaubigungen können beispielsweise auch in einer öffentlichen Blockchain, wie etwa der Ethereum- Blockchain, gespeichert werden. Die Speicherung dort muss in Kryptowährung bezahlt werden, ist dafür jedoch unveränderlich und unauslöschbar.

Die Verteilung der Beglaubigungen vermindert prinzipiell die Anforderungen an die kryptographische Sicherheit der Funktion, mit der Komprimate gebildet werden. Selbst wenn die hierfür verwendete Funktion ganz einfach ist, kann ein

nachträgliches Fälschen eines Datensatzes immer noch dadurch erkannt werden, dass für ein und denselben Datensatz Beglaubigungen mit unterschiedlichen

Komprimaten im Umlauf sind. In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik zusätzlich dazu ausgebildet, einen Verweis auf mindestens einen in der Zeitreihe früheren Datensatz, und/oder ein Komprimat dieses früheren Datensatzes, mit in die Beglaubigung aufzunehmen_· Auf diese Weise kann eine zeitliche Kette von

Datensätzen einschließlich ihrer Reihenfolge durch die Beglaubigungen

dokumentiert werden. Wenn beispielsweise eine Überwachungskamera eine Schlägerei filmt, so kann die Reihenfolge der Bilder im Nachhinein nicht mehr unbemerkt manipuliert werden, um zu verschleiern, wer angegriffen hat und wer sich verteidigt hat. Sofern ein Hashwert als Komprimat gebildet wird, kann es sich in einer besonders vorteilhaften Ausgestaltung um einen Keyed Hash Message Authentication Code handeln, der unter Verwendung eines geheimen Schlüssels des

Beglaubigungsmoduls berechnet wird. Der Hashwert kann dann eindeutig dem konkreten Beglaubigungsmodul zugeordnet werden, das über den geheimen

Schlüssel verfugt. Das bedeutet, dass der Hashwert nicht mehr reproduziert werden kann, wenn das Beglaubigungsmodul gegen ein anderes mit einem anderen geheimen Schlüssel ausgetauscht wird. Der geheime Schlüssel ist also vorteilhaft für das Beglaubigungsmodul eindeutig. In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik dazu ausgebildet, die Beglaubigung durch steganographische Veränderung eines von einem Sensor empfangenen Datensatzes in dem Datensatz zu hinterlegen. Unter einer steganographischen Veränderung wird in diesem Zusammenhang insbesondere eine Veränderung verstanden, die so klein und/oder unauffällig ist, dass sie die weitere Nutzung und/oder Auswertung des Datensatzes im Rahmen der Zweckbestimmung, mit der er aufgenommen wurde, nicht beeinflusst und/oder beeinträchtigt.

Beispielsweise sind steganographische Veränderungen von Bildern darauf angelegt, beim Betrachten des Bildes mit dem menschlichen Auge nicht sichtbar zu sein und somit die weitere Auswertung des Bildes durch Menschen nicht zu stören. Auf diese Weise kann der Datensatz, etwa das Bild, als Vehikel für den Transport der

Beglaubigung mitgenutzt werden. Es ist nicht notwendig, die Beglaubigung separat zu transportieren, und es ist unmittelbar einsichtig, zu welchem Datensatz die Beglaubigung gehört. Weiterhin kann eine steganographische Ablage der Beglaubigung beispielsweise in einem Bild auch verschleiern, dass das Bild überhaupt durch Beglaubigungen gesichert ist. Mit einem solchen Verschleiern der vorhandenen

Sicherheitsmaßnahmen kann beispielsweise das Ziel verfolgt werden, Angreifer nicht von vornherein von einer Manipulation der Datensätze abzuhalten, sondern eine solche Manipulation im Nachhinein überraschend aufzudecken und den Täter zu stellen.

Analog zum Keyed Hash Message Authentication Code kann auch die

steganographische Veränderung unter Verwendung eines geheimen Schlüssels des Beglaubigungsmoduls berechnet werden. Beispielsweise können aus dem geheimen Schlüssel die Positionen im Datensatz ermittelt werden, an denen die Veränderungen vorgenommen werden. Die Beglaubigung lässt sich also nur bei Kenntnis des geheimen Schlüssels gegen eine neue austauschen. Ohne den geheimen Schlüssel ist es nicht einmal möglich, die Beglaubigung aus dem Datensatz auszulesen, bzw. überhaupt zu erkennen, dass der Datensatz eine Beglaubigung enthält.

Vorteilhaft umfasst das Beglaubigungsmodul ein Trusted Platform Module mit dem geheimen Schlüssel des Beglaubigungsmoduls. Auf diese Weise kann das

Beglaubigungsmodul mit einem weltweit eindeutigen Schlüssel ausgerüstet werden, und es können Bedingungen, unter denen der Schlüssel zum Einsatz kommt, hardwaremäßig durchgesetzt werden. Beispielsweise kann der Schlüssel durch „Versiegeln“ (sealing) im Trusted Platform Module an eine gleich bleibende

Firmwarekonfiguration des Beglaubigungsmoduls gebunden werden.

In einer weiteren besonders vorteilhaften Ausgestaltung umfasst das

Beglaubigungsmodul einen zwischen die Datenschnittstelle und die

Beglaubigungslogik geschalteten Selektor, der empfangene Datensätze nach mindestens einem vorgegebenen Kriterium entweder an die Beglaubigungslogik weiterleitet oder aber diese Weiterleitung unterdrückt. Der Selektor kann beispielsweise darauf eingestellt werden, nur jedes fünfte Bild einer 25 Bilder pro Sekunde aufzeichnenden Kamera an die Beglaubigungslogik durchzureichen. Auf diese Weise kann ein Kompromiss zwischen dem Sicherheitsniveau einerseits und dem Rechen- und Speicheraufwand für die Beglaubigung andererseits eingestellt werden. So wird in dem genannten Beispiel der Aufwand auf ein Fünftel reduziert, während zugleich zwischen zwei mit Beglaubigungen gesicherten Bildern immer ein Zeitfenster von 0,2 Sekunden bleibt, in dem Manipulationen an den Bildern nicht direkt anhand der Beglaubigungen erkannt werden können. Damit die Manipulation aber de facto unerkannt bleibt, müsste sie auch konsistent mit allen durch

Beglaubigungen gesicherten Bildern sein. Ansonsten würde beim Betrachten der

Zeitreihe von Bildern auffallen, dass es plötzliche Veränderungen gibt, die in diesem Tempo durch keinen natürlichen Bewegungsablauf bewirkt werden können.

Es können durchaus auch mehrere Selektoren verwendet werden, um

Beglaubigungen, die an verschiedene andere Geräte gesendet werden sollen, in unterschiedlichen Taktungen zu verschicken. So können beispielsweise mehrere Überwachungskameras und andere Sensoren innerhalb einer Anlage durch ein WLAN miteinander gekoppelt sein, in dem Bandbreite reichlich verfügbar ist und für jedes Bild und jeden anderen Datensatz aus Sensordaten Beglaubigungen verteilt werden können. Wenn die Anlage nun aber keinen schnellen Festnetzanschluss zum Internet hat, sondern nur über eine schmalbandige Verbindung, wie etwa LoRaWAN, Beglaubigungen nach außen geben kann, so können für diesen Zweck

Beglaubigungen in sinnvollen Zeitabständen erstellt werden. Nach dem zuvor Beschriebenen bezieht sich die Erfindung auch auf eine Kamera für die Aufnahme stehender oder bewegter Bilder. Diese Kamera umfasst mindestens einen Bildsensor sowie das zuvor beschriebene Beglaubigungsmodul, dessen

Datenschnittstelle mit dem Bildsensor der Kamera gekoppelt ist. In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik dazu ausgebildet, Komprimate aus Kombinationen von einem oder mehreren empfangenen Datensätzen mit zumindest einem Teil der Firmware der

Beglaubigungslogik, und/oder eines das Beglaubigungsmodul beherbergenden Geräts, zu bilden. Das Komprimat kann dann nur identisch aus dem oder den Datensätzen reproduziert werden, wenn nicht nur der oder die Datensätze selbst unverändert geblieben sind, sondern auch die Firmware.

Unabhängig hiervon kann die Beglaubigungslogik auch beispielsweise

Beglaubigungen der Firmware ohne Ansehung konkreter empfangener Datensätze anfertigen. Auf diese Weise können Manipulationen an der Firmware bereits erkannt werden, bevor diese zur Fälschung oder Unterdrückung von Datensätzen ausgenutzt wird. Beispielsweise könnte die Firmware einer Überwachungskamera durch eine Schadsoftware so manipuliert worden sein, dass sie zu bestimmten Zeiten oder unter bestimmten anderen Bedingungen das Bild nicht mehr aktualisiert oder dass ein Bewegungsmelder deaktiviert wird.

Eine Kamera ist von Haus aus mit vergleichsweise starken Hardwareressourcen und leistungsfähigen Schnittstellen ausgestattet, um die vom Bildsensor gelieferten großen Datenmengen bewältigen zu können. Daher lässt sich dort vorteilhaft

Rechenkapazität für die Beglaubigungen abzweigen. Insbesondere kann in einem Sensometzwerk eine Kamera einen Sammelpunkt für Sensordaten von anderen Sensoren des Netzwerks bilden. Beispielsweise kann das Netzwerk Sensoren enthalten, bei denen aus Kostengründen oder zur Reduzierung des Stromverbrauchs die für die Erstellung von Beglaubigungen nötige Rechenkapazität eingespart wurde, wie etwa Temperatursensoren mit Langzeitbatterien. Die Daten dieser Sensoren können dann auf der Kamera beglaubigt werden. Typische Überwachungsnetzwerke enthalten eine Mehrzahl von Kameras, so dass die Beglaubigung dann immer noch an mehreren redundanten Orten durchgeführt wird. Als Beispiele für Sensometzwerke, in denen die Kamera eingesetzt werden kann, kommen etwa Sensometzwerke in Betrieben in Betracht, in denen zum einen eine optische Überwachung benötigt wird und zum anderen die Einhaltung bestimmter Betriebsparameter beweiskräftig zu dokumentieren ist. Beispielsweise kann mit Temperaturmessungen überwacht werden, ob eine vorgeschriebene Kühlkette eingehalten wird. Mit Sensoren, die jedes Öffnen von Behältern registrieren, sowie Gewichtssensoren an Behältern kann der Dokumentationspflicht hinsichtlich des Verbleibs bestimmter chemischer Substanzen, die etwa als Grundstoffe für die Herstellung von Betäubungsmitteln oder Sprengstoff geeignet sind, genügt werden. Auch die chemische Zusammensetzung von Abwässern oder Fortluft einer

Produktionsanlage kann mit Sensoren überwacht werden. Weiterhin kann

beispielsweise mit RFID-Sensoren der Verbleib diebstahlgefahrdeter Geräte, Materialien oder Datenträger überwacht werden. Ein Sensometzwerk mit der Kamera lässt sich auch beispielsweise auch verwenden, um die Aufzeichnungen sogenannter„Dashcams“ für Fahrzeuge gehaltvoller und zugleich beweiskräftiger zu machen. Neben dem Kamerabild können beispielsweise auch andere Fahrzeugparameter, wie Geschwindigkeit, Gasstellung, Lenkwinkel oder Schaltzustände von Leuchten des Fahrzeugs, registriert und beglaubigt werden, und die Beglaubigungen können beispielsweise über„Car to Car“- oder„Car to

Infrastructure“-Funk verteilt werden. Auf diese Weise können die Aufzeichnungen bei einem Rechtsstreit um die Schuldffage auch dann noch beweiskräftig sein, wenn sie nicht sofort bei der Unfallaufnahme durch die Polizei sichergestellt, sondern erst im Nachhinein von einer Partei freiwillig oder auf Anordnung des Gerichts vorgelegt werden.

Durch die Verteilung der Beglaubigungen in dem Sensometzwerk, sowie, wie zuvor erläutert, möglicherweise auch über die Grenzen dieses Sensometzwerks hinaus, können die Sensordaten letztendlich auch ohne zentrale Instanz gegen Manipulation oder Unterdrückung geschützt werden. Je breiter die Beglaubigungen gestreut werden, desto schwerer wird es, alle Kopien zu entfernen bzw. gegen neue Versionen auszutauschen.

In einer vorteilhaften Ausgestaltung ist das Beglaubigungsmodul auf einem

Bildverarbeitungschip der Kamera, der unmittelbar mit dem Bildsensor der Kamera gekoppelt ist, implementiert. Auf diese Weise können die Beglaubigungen so früh wie möglich in die vom Bildsensor der Kamera gelieferten Datensätze integriert und dabei auch weitestgehend vor dem Zugriff durch andere Systemkomponenten und durch möglicherweise schädliche Software geschützt werden.

Nach dem zuvor Beschriebenen umfasst die Kamera weiterhin einen Speicher, der mit dem Beglaubigungsmodul gekoppelt ist und der dazu ausgebildet ist, von dem Beglaubigungsmodul erstellte und/oder empfangene Beglaubigungen zu speichern. Das Beglaubigungsmodul kann beispielsweise in ein Mobiltelefon oder ein anderes mobiles Endgerät integriert sein und dort beispielsweise Informationen beglaubigen, mit denen der Nutzer seine Identität gegenüber einem Dienstleister für mobiles Bezahlen nachweist. Wenn ein mobiles Endgerät oder ein Computer mit einem Beglaubigungsmodul ausgerüstet ist, kann dieses Beglaubigungsmodul außerdem beispielsweise die Bilddaten einer von dem mobilen Endgerät oder einer Webcam aufgenommenen Videositzung beglaubigen, in der der Nutzer ein Ausweisdokument zur Legitimation präsentiert. Auf diese Weise kann der Nutzer dann online beispielsweise sein Alter nachweisen oder der Ausweispflicht bei der Eröffnung eines Kontos oder der Freischaltung einer SIM-Karte nachkommen.

Weiterhin kann beispielsweise ein Beglaubigungsmodul auf einem Mobiltelefon genutzt werden, um Sensordaten von Wearable Devices zu beglaubigen. Diese Sensordaten können beispielsweise genutzt werden, um ein risikoarmes Verhalten zu kontrollieren, zu dem sich ein Versicherungsnehmer im Gegenzug für vergünstigte Beiträge bei einer Krankenversicherung oder Kfz- Versicherung verpflichtet hat. Durch die Beglaubigung können Manipulationen mit dem Ziel, sich bessere

Bewertungen zu erschleichen, deutlich erschwert werden. Die Sensordaten können aber auch beispielsweise nach einem Unfall als Beweismittel hinsichtlich der gefahrenen Geschwindigkeit oder der Heftigkeit eines Aufpralls herangezogen werden.

Nach dem zuvor Beschriebenen kann das Beglaubigungsmodul als physisches Modul ausgefuhrt sein und sich in einigen Ausgestaltungen zusätzlicher Hardware bedienen, wie beispielsweise einem Trusted Platform Module. Es gibt jedoch auch

Ausgestaltungen, in denen das Beglaubigungsmodul ganz oder teilweise in Software implementiert ist, die beispielsweise in die Firmware einer Überwachungskamera oder eines anderen Sensorgeräts integrierbar ist. Eine derartige Software ist ein eigenständiges Produkt, das insbesondere für die Nachrüstung bestehender

Sensometzwerke relevant ist. Daher bezieht sich die Erfindung auch auf ein

Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Embedded- System, und/oder auf einer Kamera, und/oder auf einem sonstigen Sensorgerät, ausgefuhrt werden, den Computer, das Embedded- System, die Kamera, bzw. das sonstige Sensorgerät, zu dem zuvor beschriebenen Beglaubigungsmodul aufwerten und/oder um ein solches

Beglaubigungsmodul erweitern, bzw. die Kamera zu der zuvor beschriebenen Kamera aufwerten. Ebenso bezieht sich die Erfindung auch auf einen

maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem

Computerprogramm. Spezieller Beschreibungsteil

Nachfolgend wird der Gegenstand der Erfindung anhand von Figuren erläutert, ohne dass der Gegenstand der Erfindung hierdurch beschränkt wird. Es ist gezeigt:

Figur 1: Ausführungsbeispiel des Beglaubigungsmoduls 1;

Figur 2: Beispielhaftes Sensometzwerk mit zwei beglaubigenden Kameras 5 und 5'; Figur 3: Ausführungsbeispiel einer Kamera 5, 5';

Figur 4: Beispielhafter Ablauf der Vorgänge im Beglaubigungsmodul 1.

Figur 1 zeigt schematisch ein Ausführungsbeispiel des Beglaubigungsmoduls 1. Das Beglaubigungsmodul 1 erhält über seine Datenschnittstelle 11 Datensätze 2la-24a von Sensoren 21-24. Zur Unterscheidung sind Datensätze, die zu einem früheren Zeitpunkt in der nach der Zeit t geordneten Zeitreihe 2 aufgenommen wurden, mit Bezugszeichen 21 a'-24a' bezeichnet.

Das Beglaubigungsmodul 1 bildet in seiner Beglaubigungslogik 13 zu den

Datensätzen 2la-24a, 2 la'-24a' jeweils Komprimate 2lb-24b, 2lb'-24b', wobei ein geheimer Schlüssel l4a aus einem Trusted Platform Module 15 des

Beglaubigungsmoduls 1 verwendet werden kann. Die Komprimate 2lb-24b, 2 lb - 24b gehen zusammen mit Verweisen 2lc-24c, 2lc'-24c auf die jeweiligen

Datensätze 2la-24a, 2la'-24a' in die Beglaubigungen 3 ein. Die Beglaubigungen 3 werden in einem Speicher 18 des Beglaubigungsmoduls 1 abgelegt und zugleich über die Beglaubigungsschnittstelle 12 abgegeben, unter anderem an weitere

Beglaubigungsmodule 1'. Umgekehrt werden von den weiteren Beglaubigungsmodu len 1' Beglaubigungen 3' entgegengenommen und in dem Speicher 18 abgelegt.

Diese fremden Beglaubigungen 3' können auch in die vom Beglaubigungsmodul 1 selbst erstellten Beglaubigungen 3 mit eingehen. Die Beglaubigungen 3 können steganographisch in einen oder mehreren der

Datensätze 2la-24a, 2la'-24a' eingebettet werden, wobei auch wieder ein geheimer Schlüssel l4b aus dem Trusted Platform Module 15 des Beglaubigungsmoduls 1 zum Einsatz kommen kann.

Figur 2 zeigt ein beispielhaftes Sensometzwerk mit zwei Kameras 5 und 5', einem Sensor 22 für eine Temperatur T und einem Sensor 23 für eine Beschleunigung a.

Die erste Kamera 5 enthält einen Bildsensor 51 , der in dem Sensometzwerk als Sensor 21 fungiert. Die zweite Kamera 5' enthält ebenfalls einen Bildsensor 51, der in dem Sensometzwerk als Sensor 24 füngiert. Weiterhin enthalten beide Kameras 5, 5' jeweils ein Beglaubigungsmodul 1, 1'.

Die Beglaubigungsmodule 1, 1' sammeln jeweils die Datensätze 2la-24a aller beteiligten Sensoren 21-24 ein und erstellen zugehörige Beglaubigungen 3, 3'. Die Beglaubigungsmodule 1, 1' tauschen diese Beglaubigungen 3, 3' auch untereinander aus. Alle Beglaubigungen 3, 3' sind also in beiden Kameras 5, 5' vorhanden. Wer die Absicht hat, einen der von einem der Sensoren 21-24 erstellten Datensätze 2la-24a unbemerkt nachträglich zu falschen oder dessen Existenz zu verschleiern, müsste hierzu die Beglaubigungen 3, 3' auf beiden Kameras 5, 5' manipulieren. Er müsste nicht nur die entsprechenden Sichemngen überwinden und etwa Zugang zu den geheimen Schlüsseln l4a, l4b im jeweiligen Trusted Platform Module 15 erlangen, sondern überhaupt erst einmal physisch an beide Kameras 5, 5' herankommen. Somit kann bei der Implementierung des Sensometzwerks die Sicherheit noch einmal deutlich erhöht werden, indem mindestens eine der Kameras 5, 5' an einem Ort montiert wird, der physikalisch besonders schwer zu erreichen ist, beispielsweise nur mit einem Hubsteiger oder einem ähnlichen Spezialwerkzeug. Die Beglaubigungen 3, 3' könnten zwar im Prinzip vernichtet werden, indem beide Kameras 5, 5' etwa durch Beschuss aus einem Gewehr zerstört werden, doch wäre dann der Versuch einer Manipulation offensichtlich. Wirklich erfolgreich ist eine Manipulation nur dann, wenn sie von Statten geht, ohne physische Spuren zu hinterlassen_· Figur 3 zeigt eine beispielhafte Kamera 5, 5' in Schemazeichnung. Die Kamera 5, 5' überwacht einen Bereich 6, in dem sich hier beispielhaft ein Gebäude 6a und ein Baum 6c befinden. In der in Figur 3 dargestellten Situation hält sich auch eine Person 6b in dem Bereich 6 auf.

Der Bildsensor 51, der im Sensometzwerk als Sensor 21 fungiert, liefert Bilder als Datensätze 2la , die zunächst einmal aus der Kamera 5, 5' ausgegeben werden, um beispielsweise auf einem Monitor in einer in Figur 3 nicht eingezeichneten

Sicherheitszentrale dargestellt und/oder dort aufgezeichnet zu werden. Zusätzlich werden die Datensätze 2la der Datenschnittstelle 11 eines direkt auf dem

Bildverarbeitungschip 52 der Kamera 5, 5' implementierten Beglaubigungsmoduls 1 zugeführt. Die Beglaubigungslogik 13 des Beglaubigungsmoduls 1 erstellt

Beglaubigungen 3, die über die Beglaubigungsschnittstelle 12 ausgegeben, in einem Speicher 53 der Kamera 5, 5' abgelegt und auch an weitere Beglaubigungsmodule 1' in dem Sensometzwerk übermittelt werden. Umgekehrt nimmt das

Beglaubigungsmodul 1 über seine Beglaubigungsschnittstelle 12 auch

Beglaubigungen 3' von den weiteren Beglaubigungsmodulen 1' ab und hinterlegt sie in dem Speicher 53.

Figur 4 verdeutlicht einen beispielhaften Ablauf der Vorgänge im

Beglaubigungsmodul 1. Die Datensätze 2la-24a werden in Schritt 110 von den Sensoren 21-24 bezogen. In Schritt 120 werden zugehörige Komprimate 2lb-24b erstellt. Gemäß Block 121 kann es sich hierbei um Flashwerte handeln, und gemäß Block 122 können diese Flashwerte unter Verwendung eines geheimen Schlüssels l4a des Beglaubigungsmoduls 1 berechnet werden.

In Schritt 130 werden die Beglaubigungen 3 erstellt. Dabei können gemäß Block 131 zusätzlich noch Datensätze 2la'-24a' einfließen, die in der Zeitreihe 2 weiter zurückliegen, indem entsprechende Komprimate 2lb'-24b' dieser Datensätze 2la'- 24a sowie Verweise 21c'-24c' auf diese Datensätze 2la'-24a' erstellt werden.

Zusätzlich können fremde Beglaubigungen 3' von anderen Beglaubigungsmodulen 1' empfangen und gemäß Block l32a gespeichert werden. Die fremden Beglaubigun gen 3' können aber auch gemäß Block l32b in die von dem Beglaubigungsmodul 1 erstellten eigenen Beglaubigungen 3 mit aufgenommen werden. Dies kann beispielsweise geschehen, indem auch von den fremden Beglaubigungen 3'

Komprimate erstellt werden.

Die Beglaubigungen 3 werden in Schritt 140 über die Beglaubigungsschnittstelle 12 ausgegeben.

Optional können die Beglaubigungen 3 zuvor in Schritt 135 durch steganographische Veränderung der Datensätze 21 a-24a, 21 a'-24a' in diesen Datensätzen 21 a-24a, 21 a - 24a hinterlegt werden, wobei gemäß Block l35a ein geheimer Schlüssel l4b des Beglaubigungsmoduls 1 verwendet werden kann. Es werden dann also die steganographisch veränderten Datensätze 2la-24a, 2la'-24a', die die Beglaubigungen 3 beinhalten, über die Beglaubigungsschnittstelle 12 ausgegeben.

Bezugszeichenliste

1, 1' Beglaubigungsmodule

11 Datenschnittstelle des Beglaubigungsmoduls 1 , 1

12 Beglaubigungsschnittstelle des Beglaubigungsmoduls 1, 1'

13 Beglaubigungslogik des Beglaubigungsmoduls 1, 1'

14a geheimer Schlüssel für Berechnung von Komprimaten 2lb-24b l4b geheimer Schlüssel für Steganographie in Datensätze 2la-24a

15 Trusted Platform Module des Beglaubigungsmoduls 1

18 Speicher des Beglaubigungsmoduls 1

2 Zeitreihe von Sensordaten

21-24 Sensoren

2la-24a aktuelle Datensätze, geliefert von Sensoren 21-24

2lb-24b Komprimate der Datensätze 2la-24a

2lc-24c Verweise auf Datensätze 2la-24a

2la'-24a' zurückliegende Datensätze der Sensoren 21-24 in Zeitreihe 2

2lb'-24b' Komprimate der Datensätze 2la'-24a'

2lc'-24c' Verweise auf Datensätze 2la'-24a'

3, 3' Beglaubigungen

5, 5' Kameras

51 Bildsensor der Kamera 5, 5'

52 Bildverarbeitungschip der Kamera 5, 5'

53 Speicher der Kamera 5, 5'

6 durch Kamera 5, 5' erfasster Bereich

6a Gebäude in Bereich 6

6b Person in Bereich 6

6c Baum in Bereich 6

110 Empfangen von Datensätzen 2la-24a

120 Bilden der Komprimate 2lb-24b 121 Bilden eines Hashwerts als Komprimat 2lb-24b

122 Verwenden eines geheimen Schlüssels l4a für Komprimat 2lb-24b

130 Erstellen von Beglaubigungen 3

131 Einbeziehen zurückliegender Datensätze 2la'-24a'

l32a Speichern fremder Beglaubigungen 3'

l32b Einbeziehen fremder Beglaubigungen 3' in eigene Beglaubigung 3 135 steganographisches Verändern von Datensätzen 2la-24a, 2la'-24a' l35a Verwenden eines geheimen Schlüssels l4b für Steganographie 135 140 Ausgeben der Beglaubigungen 3

a Beschleunigung

t Zeit

T Temperatur

Claims

Patentansprüche

1. Beglaubigungsmodul (1) für eine Zeitreihe (2) von Sensordaten (2la-24a,

21 a'-24a'), umfassend mindestens eine Datenschnittstelle (11), die mit mindestens einem Sensor (21-24) verbindbar ist, eine Beglaubigungsschnittstelle (12) sowie eine mit der Datenschnittstelle (11) und der Beglaubigungsschnittstelle (12) gekoppelte Beglaubigungslogik (13), die dazu ausgebildet ist,

• mindestens einen Datensatz (2la-24a) über die mindestens eine

Datenschnittstelle (11) von mindestens einem Sensor (21-24) zu empfangen (110),

• aus einem oder mehreren empfangenen Datensätzen (2la-24a) ein oder

mehrere Komprimate (2lb-24b) zu bilden (120),

• eine Beglaubigung (3) zu erstellen (130), die das oder die Komprimate (2lb- 24b) sowie jeweils einen Verweis (2lc-24c) auf den zugehörigen Datensatz (2lb-24b), und/oder mindestens einen Teil des zugehörigen Datensatzes (2la- 24a), enthält, und

• die Beglaubigung (3) über die Beglaubigungsschnittstelle (12) auszugeben (140).

2. Beglaubigungsmodul (1) nach Anspruch 1, wobei die Beglaubigungslogik (13) zusätzlich dazu ausgebildet ist, einen Verweis (2lc'-24c') auf mindestens einen in der Zeitreihe (2) früheren Datensatz (2la'-24a'), und/oder ein Komprimat (2lb‘- 24b ) dieses früheren Datensatzes (2la'-24a'), mit in die Beglaubigung aufzunehmen (131).

3. Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 2, wobei die Beglaubigungslogik (13) zusätzlich dazu ausgebildet ist, Beglaubigungen (3 ) von anderen Beglaubigungsmodulen ( ) zu empfangen und zu speichern (l32a), und/oder mit in die eigene Beglaubigung (3) aufzunehmen (l32b).

4. Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 3, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, einen Hashwert als Komprimat (2lb- 24b, 2lb'-24b') zu bilden (121).

5. Beglaubigungsmodul (1) nach Anspruch 4, wobei der Hashwert ein Keyed Hash Message Authentication Code ist, der unter Verwendung eines geheimen Schlüssels (l4a) des Beglaubigungsmoduls (1) berechnet wird (122).

6. Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 5, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, die Beglaubigung (3) durch steganographische Veränderung eines von einem Sensor (21-24) empfangenen Datensatzes (21 a-24a, 21 a'-24a') in dem Datensatz (21 a-24a, 21 a'-24a') zu hinterlegen (135).

7. Beglaubigungsmodul (1) nach Anspruch 6, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, die steganographische Veränderung unter Verwendung eines geheimen Schlüssels (l4b) des Beglaubigungsmoduls (1) zu berechnen (l35a).

8. Beglaubigungsmodul (1) nach Anspruch 5 oder 7, umfassend ein Trusted Platform Module (15) mit dem geheimen Schlüssel (l4a, l4b) des

Beglaubigungsmoduls (1).

9. Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 8, weiterhin umfassend einen zwischen die Datenschnittstelle (11) und die Beglaubigungslogik (13) geschalteten Selektor (16), der empfangene Datensätze (2la-24a) nach mindestens einem vorgegebenen Kriterium entweder an die Beglaubigungslogik (13) weiterleitet oder aber diese Weiterleitung unterdrückt.

10. Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 9, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, Komprimate (2lb-24b) aus

Kombinationen von einem oder mehreren empfangenen Datensätzen (2la-24a) mit zumindest einem Teil der Firmware der Beglaubigungslogik (13), und/oder eines das Beglaubigungsmodul (1) beherbergenden Geräts (5, 5'), zu bilden.

11. Kamera (5, 5') für die Aufnahme stehender oder bewegter Bilder, umfassend mindestens einen Bildsensor (51) sowie ein Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 10, dessen Datenschnittstelle (11) mit dem Bildsensor (51) gekoppelt ist.

12. Kamera (5, 5') nach Anspruch 11, wobei das Beglaubigungsmodul (1) auf einem Bildverarbeitungschip (52) der Kamera (5), der unmittelbar mit dem

Bildsensor (51) der Kamera (5, 5') gekoppelt ist, implementiert ist.

13. Kamera (5, 5') nach einem der Ansprüche 11 bis 12, weiterhin umfassend einen Speicher (53), der mit dem Beglaubigungsmodul (1) gekoppelt ist und der dazu ausgebildet ist, von dem Beglaubigungsmodul (1) erstellte und/oder empfangene Beglaubigungen (3, 3') zu speichern.

14. Computerprogramm, enthaltend maschinenlesbare Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Embedded- System, und/oder auf einer Kamera (5, 5'), und/oder auf einem sonstigen Sensorgerät, ausgeführt werden, den Computer, das Embedded- System, die Kamera (5, 5'), bzw. das sonstige Sensorgerät, zu einem Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 10 aufwerten und/oder um ein solches Beglaubigungsmodul (1) erweitern, bzw. die Kamera (5, 5') zu einer Kamera (5, 5') nach einem der Ansprüche 11 bis 13 aufwerten.