DE69629857T2

DE69629857T2 - Datenkommunikationssystem unter Verwendung öffentlicher Schlüssel

Info

Publication number: DE69629857T2
Application number: DE69629857T
Authority: DE
Inventors: George Meredith Charlotte Dolan; Christopher James Woking Holloway; Jr. Stephen Michael Poughkeepsie Matyas
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1995-02-03
Filing date: 1996-01-17
Publication date: 2004-07-08
Anticipated expiration: 2016-01-18
Also published as: EP0725512A2; JPH08340330A; EP0725512A3; EP0725512B1; JP3193610B2; DE69629857D1; US5604801A

Description

HINTERGRUND DER ERFINDUNG
Die Erfindung betrifft Datenkommunikationssysteme und insbesondere die sichere Verarbeitung von Nachrichten in diesen Systemen unter Verwendung von Verschlüsselungsverfahren für öffentlicher Schlüssel. Anwendung findet die Erfindung insbesondere, aber nicht ausschließlich, bei der Erzeugung digitaler Signaturen.
Verschlüsselungsalgorithmen für öffentliche Schlüssel werden in großem Umfang zur Bestätigung des Ursprungs von Nachrichten in Datenkommunikationssystemen oder zur Gewährleistung ihrer Sicherheit und Unverletzlichkeit eingesetzt. Es gibt verschiedene Arten solcher Algorithmen, unter denen eine Variante als RSA-Algorithmus bekannt ist. Eine allgemeine Einführung in die Verschlüsselung öffentlicher Schlüssel und den RSA-Algorithmus findet sich in: Meyer und Matyas, „Cryptography – A New Dimension in Computer Data Security", S. 32 bis 48, Wiley 1982. Diese Algorithmen weisen gegenüber den herkömmlichen symmetrischen Verschlüsselungsalgorithmen einige besondere Vorteile auf. Insbesondere kann man mittels dieser Algorithmen Schlüssel so veröffentlichen oder bestätigen, dass jeder unabhängige Dritte eine Nachricht ohne Rückgriff auf eine zentrale Einrichtung empfangen und prüfen kann.
Ein Beispiel für die Verwendung von Verschlüsselungsverfahren für öffentliche Schlüssel in der Datenübertragung stellt die Erzeugung digitaler Signaturen dar. Diesen Verfahren liegt die Erzeugung eines öffentlichen digitalen Wertes – der Signatur – zugrunde, der von einer zu sendenden Nachricht und dem signierenden Benutzer abhängt, sodass der empfangende Benutzer sicher sein kann, dass der sendende und kein anderer Benutzer den Signaturwert erzeugen konnte und dass der Benutzer den Signaturwert ausschließlich für diese Nachricht erzeugt hat.
Bei solchen Systemen verfügt die Seite, die eine Nachricht signiert, über einen privaten Schlüssel, für welchen es einen entsprechenden öffentlichen Schlüssel gibt. Der öffentliche Schlüssel ist zugänglich, sodass er durch jedermann zur Entschlüsselung von Daten verwendet werden kann, die der Signierende mittels des privaten Schlüssels verschlüsselt hat; es ist jedoch niemand in der Lage, solche verschlüsselten Daten ohne Zugriff auf den privaten Schlüssel zu erzeugen.
Üblicherweise erzeugt der Signierende aus der Nachricht unter Verwendung eines prioritären Hash-Algorithmus einen Hash-Wert, sodass die Wahrscheinlichkeit extrem gering ist, dass eine andere Nachricht denselben Wert erhält. Das Mittel zur Berechnung dieses Wertes stellt frei zugängliches Wissen dar, es gibt jedoch keine einfache Möglichkeit zur Ermittlung einer anderen Nachricht, die denselben Wert aufweist. Der Signierende verschlüsselt den Wert mittels des privaten Schlüssels und sendet die Nachricht und den verschlüsselten Wert an den Empfänger.
Der Empfänger kann den Wert mittels des öffentlichen Schlüssels entschlüsseln und prüfen, ob die Berechnung anhand dieser Nachricht denselben Wert ergibt. Wenn dies der Fall ist, kann der Empfänger sicher sein, dass es sich bei der Nachricht um die einzige signierte Nachricht handelt, da es keine einfache Möglichkeit zur Berechnung einer anderen Nachricht gibt, die denselben Wert ergibt. Der Empfänger kann also sicher sein, dass der Signierende die Nachricht tatsächlich signiert hat, da niemand den verschlüsselten Wert ohne Zugriff auf den privaten Schlüssel erzeugen kann.
Derartige Verschlüsselungsverfahren für öffentliche Schlüssel sind jedoch rechenintensiv und erfordern zur Verschlüsselung und Entschlüsselung wesentlich größere Rechnerkapazitäten wie beispielsweise Rechenleistung und Speichervolumen als Verfahren mit symmetrischen Schlüsseln.
Bei vielen Anwendungen der Verschlüsselung mit öffentlichen Schlüsseln in der Datenübertragung muss die Verarbeitung der Nachricht unter der Kontrolle einer tragbaren Sicherheitsvorrichtung wie zum Beispiel einer Smartcard, einer PCMCIA-Karte oder eines Laptop-Rechners, die ein Benutzer bei sich trägt und einsetzt, erfolgen. Obwohl Verfahren vorgeschlagen worden sind, mit denen das Signieren von Nachrichten mit wesentlich geringerem Rechenaufwand als das Prüfen erfolgen kann, wie zum Beispiel der in Federal Information Processing Standard (FIPS) 186, 19. Mai 1994 veröffentliche Digital Signature Standard (Standard für digitale Signaturen) des US-Department of Commerce (USA-Wirtschaftsministerium)/National Institute of Standards and Technology (NIST), ist es immer noch so, dass es bei Verwendung der gegenwärtigen Technologie in vielen Fällen weder praktikabel noch wirtschaftlich ist, solche tragbaren Sicherheitsvorrichtungen mit der erforderlichen Rechenleistung oder dem notwendigen Speichervolumen auszustatten, um eine hinreichend leistungsfähige Verarbeitung mit öffentlichen Schlüsseln in einer vertretbaren Zeitspanne durchzuführen.
Es sind verschiedene Verfahren nach dem Stand der Technik vorgeschlagen worden, um einer solchen Sicherheitsvorrichtung mit Hilfe eines leistungsfähigen Server-Rechners die Verarbeitung von öffentlichen Schlüsseln zu ermöglichen, ohne dem Server den geheimen Schlüssel zu offenbaren. Beispiele für diese Verfahren sind zum Beispiel zu finden in: Laih et al., „Two efficient server-aided secret computation protocols based on the addition sequence", Advances in Cryptology – Asiacrypt 91 Proceedings 1993, S. 450 bis 459.
Die WIPO-Veröffentlichung Nr. WO 93/20538 legt ein Verfahren und ein System zur verschlüsselten Datenübertragung offen und beschreibt ein Verfahren zum Laden geheimer Daten wie zum Beispiel eines Anwendungsschlüssels auf eine Smartcard. Hierzu gehören ein öffentlicher Schlüssel und die Lieferung des verschlüsselten Zufallsschlüssels an eine zentrale Verarbeitungsstation. Der verschlüsselte Zufallsschlüssel wird in der zentralen Station auf der Grundlage eines zentralen Schlüssels entschlüsselt, und die Station verschlüsselt Daten mittels des Zufallsschlüssels und sendet diese an die Smartcard. Die Smartcard entschlüsselt die verschlüsselten Daten mittels des Zufallsschlüssels. Der Zufallsschlüssel kann intern erzeugt und in einem lesegeschützten Speicher der Karte gespeichert werden. Die Schritte zum Verschlüsseln des öffentlichen Schlüssels und zum Entschlüsseln des geheimen Schlüssels können mittels des RSA-Algorithmus durchgeführt werden, wenn ein kleiner Verschlüsselungsexponent verwendet wird.
Die US-Patentschrift 5 414 772 legt ein System zur Verbesserung des Algorithmus für digitale Signaturen offen und beschreibt ein aus mindestens zwei Teilen bestehendes System, wobei die beiden Teile mittels einer gemeinsamen Datenübertragungsschnittstelle miteinander verbunden sind, bei welcher eine erste Datenübertragungsvorrichtung A mit einem Datenverarbeitungsmittel, einem Datenübertragungsmittel und/oder einem Zufallszahlen- oder Pseudozufallszahlen-Erzeugungsmittel von der Rechenleistung einer zweiten Datenübertragungsvorrichtung B mit einem Datenverarbeitungsmittel, einem Datenübertragungsmittel und einem Speichermittel abhängt, um den Kehrwert einer ersten Zahl x modulo einer zweiten Zahl n zu berechnen und den erhaltenen modularen Kehrwert in einem Verschlüsselungsprotokoll zur Verschlüsselung, zur Entschlüsselung, zum Schlüsseltausch, zur Identifizierung oder für die digitale Signatur zu verwenden.
Die US-Patentschrift 4 969 188 legt ein Verfahren und eine Vorrichtung zum Schutz geheimer Elemente in einem Netzwerk von Verschlüsselungsvorrichtungen mit offener Schlüsselverwaltung offen. Jede Verschlüsselungsvorrichtung eines Datenübertragungsnetzes besteht aus einem Grundbaustein und einem Sicherheitsmodul in Form einer Kreditkarte. Das Sicherheitsmodul enthält die zum Codieren/Decodieren der Schlüssel der unteren Hierarchieebenen und somit der geheimen Elemente des Netzwerks erforderlichen Funktionsstufen. Die Grundbausteine enthalten keine geheimen Elemente. Die geheimen Elemente sind im Sicherheitsmodul vorzugsweise in einer sicher verschlüsselten Form abgespeichert. Außerdem werden sie durch ein bereitgestelltes Kennwort vor unberechtigter Benutzung geschützt.
Obwohl diese Verfahren das Problem zu lösen versuchen, leiden sie unter mehreren Nachteilen, die mit der Speicherung des geheimen Schlüssels in einem tragbaren und preiswerten Gerät zusammenhängen.
Erstens kann man das Gerät ausforschen und so in den Besitz des geheimen Schlüssels gelangen.
Zweitens kann ein anderer Benutzer den Schlüssel zur Verarbeitung von Nachrichten verwenden, wenn der geheime Schlüssel des Benutzers bekannt geworden ist. In diesem Fall wird ein Mittel zum Sperren des geheimen Schlüssels benötigt, damit der unberechtigte Benutzer diesen nicht mehr benutzen kann. Da die Sicherheitsvorrichtung nicht ständig mit dem System verbunden sind und an jedem beliebigen Ort an das System angeschlossen werden können, ist es in der Praxis sehr schwierig, die geheimen Schlüssel zu sperren oder ihre Verwendung zu verhindern. Üblicherweise hat man hierzu verschiedene Arten von Sperrverzeichnissen verwendet. Das Verwalten, Aktualisieren und Prüfen der Richtigkeit solcher Verzeichnisse ist jedoch insbesondere in weitreichenden Netzwerken mit zahlreichen praktischen Schwierigkeiten verbunden.
Da manche Smartcard-Ausführungen, welche zur Signierung Algorithmen für öffentliche Schlüssel verwenden, das Paar von öffentlichem und privatem Schlüssel des Benutzers nicht erzeugen können, kann es außerdem zu Sicherheitsgefährdungen kommen, wenn der Schlüssel zum ersten Mal in die Sicherheitsvorrichtung geladen wird. Das liegt daran, dass der Algorithmus zur Schlüsselerzeugung ziemlich komplex ist, und zwar noch komplexer als die Verschlüsselungs- und Entschlüsselungsfunktionen. Wenn der geheime Schlüssel in der Karte gespeichert werden soll, kann es daher erforderlich sein, den geheimen Schlüssel außerhalb der Karte zu erzeugen und ihn während eines Initialisierungsprozesses in die Karte einzugeben. Dieser Initialisierungsprozess macht den Schlüssel zwangsläufig in gewissem Maße angreifbar.
Die vorliegende Erfindung befasst sich mit dem Problem, ein Verfahren bereitzustellen, welches Nachrichten unter Verwendung öffentlicher Schlüssel für den berechtigten Benutzer einer tragbaren Sicherheitsvorrichtung wie zum Beispiel einer Smartcard dergestalt zu bearbeiten, dass man zeigen kann, dass die Bearbeitung einer bestimmten Nachricht nur durch den berechtigten Benutzer der Sicherheitsvorrichtung angewiesen wurde, ohne den Algorithmus für öffentliche Schlüssel durch die Sicherheitsvorrichtung ausführen, den privaten Schlüssel in der Sicherheitsvorrichtung speichern und den Prozess zur Schlüsselerzeugung durch die Sicherheitsvorrichtung durchführen zu müssen.
Zur Lösung dieses Problems stellt die Erfindung ein Datenübertragungssystem bereit, in welchem Nachrichten durch die Verschlüsselung öffentlicher Schlüssel mittels eines nur einem oder mehreren Benutzern zugewiesenen privaten Schlüssels und unter der Kontrolle einer dem oder jedem Benutzer verfügbaren Sicherheitsvorrichtung bearbeitet werden, wobei das System Folgendes umfasst: einen Server zum Durchführen der Verarbeitung des öffentlichen Schlüssels mittels des privaten Schlüssels, wobei der Server für den Datenaustausch mit der tragbaren Sicherheitsvorrichtung eingerichtet ist; dadurch gekennzeichnet, dass der Server ein Datenspeichermittel umfasst oder darauf zugreifen kann, in welchem der private Schlüssel für den oder jeden Benutzer ausschließlich in verschlüsselter Form sicher gespeichert wird, wobei der private Schlüssel mittels eines Schlüssel-Chiffrierschlüssels verschlüsselt wird, der Server ein sicheres Verarbeitungsmittel umfasst, um vom Benutzer eine zu verarbeitende Nachricht zu empfangen, den verschlüsselten privaten Schlüssel für den Benutzer abzurufen, den privaten Schlüssel mittels des Schlüssel-Chiffrierschlüssels zu entschlüsseln, für die Nachricht die Verarbeitung des öffentlichen Schlüssels unter Verwendung des entschlüsselten privaten Schlüssels durchzuführen und den Schlüssel-Chiffrierschlüssel und den entschlüsselten privaten Schlüssel nach Verwendung zu löschen, wobei jede Sicherheitsvorrichtung ein Mittel zum Speichern oder Erzeugen des Schlüssel-Chiffrierschlüssels und zum Senden des Schlüssel-Chiffrierschlüssels zum Server und ein Mittel zum Benennen einer zu verarbeitenden Nachricht umfasst, wobei das System so angeordnet ist, dass die Datenübertragung mindestens des Schlüssel-Chiffrierschlüssels zum Server sicher ist und dass der Server den Schlüssel-Chiffrierschlüssel nur zur Verarbeitung der durch den Benutzer benannten Nachricht verwenden kann.
Deshalb wird zur Ausführung des Algorithmus für öffentliche Schlüssel ein sicherer Server bereitgestellt. Der Server kann jedoch lediglich auf eine verschlüsselte Form des privaten Schlüssels zugreifen. Die Verarbeitung des öffentlichen Schlüssels wird durch eine tragbare Sicherheitsvorrichtung kontrolliert, indem dem Server ein Schlüssel bereitgestellt wird, mittels dessen der Server in die Lage versetzt wird, den privaten Schlüssel zu entschlüsseln, diesen zu verwenden und nach Verwendung wieder zu löschen.
Die sichere Datenübertragung des Schlüssel-Chiffrierschlüssels zum Server kann auf mehrere Arten erfolgen. Bei bevorzugten Ausführungsarten wird der Schlüssel-Chiffrierschlüssel mittels eines von einem zweiten Schlüssel-Chiffrierschlüssel abgeleiteten Schlüssels verschlüsselt, der zur Datenübertragung zwischen der Sicherheitsvorrichtung und dem Server in der Sicherheitsvorrichtung gespeichert ist, wobei der Server auf den zweiten Schlüssel-Chiffrierschlüssel zugreifen kann. Auf diese Weise wird die Datenübertragung des Schlüssel-Chiffrierschlüssels zum Server durch Chiffriermittel sicher gemacht. Bei anderen Ausführungsarten können geeignete physische Sicherheitsmaßnahmen des Datenkanals zwischen der Sicherheitsvorrichtung und dem Server genutzt werden.
Ebenso kann man auf mehrere Arten sicherstellen, dass der Server den Schlüssel-Chiffrierschlüssel nur zur Verarbeitung der durch den Benutzer bereitgestellten Nachricht verwenden kann. Bei bevorzugten Ausführungsarten wird der Schlüssel-Chiffrierschlüssel kryptographisch mit einer zu verarbeitenden Nachricht verknüpft und das sichere Verarbeitungsmittel umfasst ein Mittel zur Prüfung der Verknüpfung des Schlüssel-Chiffrierschlüssels mit der Nachricht, wobei das Verarbeitungsmittel so angeordnet ist, dass es den Schlüssel-Chiffrierschlüssel zur Verarbeitung der Nachricht einsetzen kann. Bei anderen Ausführungsarten können ebenfalls physische Sicherheitsmaßnahmen bereitgestellt werden, um die Sicherheit zu gewährleisten.
Bei einer Ausführungsart kann die Sicherheitsvorrichtung den für die Übertragung zum Server vorgesehenen Schlüssel-Chiffrierschlüssel mittels eines von der zu signierenden Nachricht abgeleiteten Schlüssels verschlüsseln und somit den Schlüssel-Chiffrierschlüssel kryptographisch mit der Nachricht verknüpfen. Der Server umfasst ein sicheres Mittel zum Extrahieren des Schlüssels aus der Nachricht und zum Entschlüsseln des Schlüssel-Chiffrierschlüssels. Auf diese Weise können durch die Sicherheitsvorrichtung übertragene Daten nur für die Originalnachricht zur Entschlüsselung des geheimen Schlüssels verwendet werden. Es ist unmöglich, die Übertragung zum Server abzufangen und die Nachricht gegen eine nicht durch den Benutzer genehmigte Nachricht auszutauschen.
Es ist klar, dass es viele andere Möglichkeiten gibt, den Schlüssel-Chiffrierschlüssel kryptographisch mit der Nachricht zu verknüpfen. Zum Beispiel könnte aus einer Kombination der Nachricht und des Schlüssels ein Nachrichten-Echtheitscode abgeleitet werden, der durch den Server überprüft werden kann.
Bei einer Ausführungsart der Erfindung wird der Schlüssel-Chiffrierschlüssel als reversible Funktion eines Kennworts oder einer PIN in der Sicherheitsvorrichtung gespeichert, wobei die Sicherheitsvorrichtung ein Mittel zum Empfangen des Kennworts vom Benutzer umfasst und in der Lage ist, den Schlüssel-Chiffrierschlüssel mittels der reversiblen Funktion wiederherzustellen. Durch diese Anordnung wird sichergestellt, dass die in einer verlorengegangenen oder gestohlenen Sicherheitsvorrichtung gespeicherten Daten nicht zur Erzeugung einer Nachricht ausreichen, mittels welcher der Server den Zugriff auf den geheimen Schlüssel erlangen kann.
Im einfachsten Fall kann der Schlüssel-Chiffrierschlüssel eine Einwegfunktion des privaten Schlüssels sein. In diesem Fall kann der Server den ermittelten Wert des privaten Schlüssels überprüfen, indem er von diesem den Schlüssel-Chiffrierschlüssel ableitet und diesen abgeleiteten Wert mit dem von der Sicherheitsvorrichtung empfangenen Wert vergleicht.
Bei weiteren Ausführungsarten der Erfindung kann der Schlüssel-Chiffrierschlüssel eine umkehrbare Funktion eines in der Sicherheitsvorrichtung gespeicherten Schlüssels und eine Zufallszahl sein, wobei der Servern ein Mittel umfasst, um auf Anforderung die Zufallszahl an die Sicherheitsvorrichtung zu liefern.
Vorzugsweise ist der Server bei solchen Ausführungsarten so eingerichtet, dass der private Schlüssel jedes Mal unter Verwendung einer neuen Zufallszahl wieder verschlüsselt wird, wenn er verwendet wird, und dass er die neue Zufallszahl an die Sicherheitsvorrichtung liefert, wenn diese beim nächsten Mal zur Durchführung der Schlüsselverarbeitung für einen Benutzer benötigt wird.
Durch die Verwendung einer Zufallszahl wird sichergestellt, dass der Prozess bei jeder Transaktion einen neuen Schlüsselwert verwendet, selbst wenn die Nachrichten identisch sind; dadurch wird die Sicherheit weiter verbessert.
Die Erfindung stellt auch eine tragbare Sicherheitsvorrichtung, welche eine Smartcard sein kann, und einen Server zur Verwendung in einem solchen System bereit.
Unter einem anderen Aspekt gesehen stellt die Erfindung auch ein Verfahren zur Verarbeitung von Nachrichten unter Verwendung der Verschlüsselung eines öffentlichen Schlüssels mittels eines nur einem oder mehreren Benutzern zugewiesenen privaten Schlüssels und unter der Kontrolle einer durch den oder jeden Benutzer verfügbaren tragbaren Sicherheitsvorrichtung in einem System bereit, wobei das System Folgendes umfasst: einen Server zum Durchführen der Verarbeitung des öffentlichen Schlüssels mittels des privaten Schlüssels, wobei der Server in dem System für den Datenaustausch mit der tragbaren Sicherheitsvorrichtung eingerichtet ist;
gekennzeichnet durch die folgenden Schritte:

(a) Speichern des privaten Schlüssels für den oder jeden Benutzer im Server oder Ermöglichen des Zugriffs des Servers auf den privaten Schlüssel lediglich in verschlüsselter Form, wobei der private Schlüssel mittels eines Schlüssel-Chiffrierschlüssels verschlüsselt wird;
(b) Speichern oder Erzeugen des Schlüssel-Chiffrierschlüssels in der Sicherheitsvorrichtung und Bereitstellen des Schlüssel-Chiffrierschlüssels für den Server in der Weise, dass die Datenübertragung mindestens des Schlüssel-Chiffrierschlüssels zum Server sicher ist; und, in einer sicheren Umgebung im Server:
(c) Empfangen einer durch den Benutzer benannten zu verarbeitenden Nachricht;
(d) Abrufen des verschlüsselten privaten Schlüssels für den Benutzer;
(e) Prüfen, ob die Nachricht durch den Benutzer benannt worden ist;
(f) Entschlüsseln des privaten Schlüssels mittels des Schlüssel-Chiffrierschlüssels;
(g) Durchführen der Verarbeitung des öffentlichen Schlüssels für die Nachricht mittels des entschlüsselten privaten Schlüssels; und
(h) Löschen des entschlüsselten privaten Schlüssels und des Schlüssel-Chiffrierschlüssels nach der Verwendung.

Im Folgenden werden Ausführungsarten der Erfindung ausschließlich anhand von Beispielen unter Bezug auf die beiliegenden Zeichnungen beschrieben, in welchen:
1 ein Datenübertragungssystem zeigt;
2 die Erzeugung einer digitalen Signatur veranschaulicht;
3 eine schematische Darstellung ist, die eine einfache erste Ausführungsart der Erfindung zeigt;
4a und 4b bei der ersten Ausführungsart in der Smartcard und im Server ablaufende Prozesse veranschaulichen;
5 Verbesserungen des Systems von 3 zeigt;
6a und 6b bei der verbesserten ersten Ausführungsart in der Smartcard und im Server ablaufende Prozesse veranschaulichen;
7 eine schematische Darstellung einer zweiten Ausführungsart der Erfindung zeigt;
8 den bei der zweiten Ausführungsart der Erfindung in der Smartcard ablaufenden Prozess veranschaulicht;
9 den bei der zweiten Ausführungsart im Server ablaufenden Prozess veranschaulicht;
10 eine schematische Darstellung ist, welche die Initialisierungsprozeduren bei der zweiten Ausführungsart zeigt;
11 ein Ablaufdiagramm ist, welches die Initialisierungsprozeduren bei der zweiten Ausführungsart zeigt.
In 1 ist ein Datenübertragungssystem gezeigt, welches ein Datenübertragungsnetz 100 umfasst, das eine herkömmliche Art eines lokalen Netzes (LAN) oder eines Weitverkehrsnetzes (WAN) oder eine Kombination beider sein kann. Mit dem Datenübertragungsnetz 100 ist ein Arbeitsplatzrechner 110 verbunden, in welchem sich ein Smartcard-Leser zum Lesen einer Smartcard 120 befindet. Mit dem Netzwerk 100 sind auch ein Serverrechner 130 sowie ein potenzieller Empfänger einer Nachricht verbunden, der beispielhaft als Groflrechner 140 dargestellt ist. Der Arbeitsplatzrechner 110 kann zum Beispiel ein Kassenplatz in einem Einzelhandelsgeschäft sein. Die Smartcard 120 befindet sich im Besitz des Benutzers 150. Das System ist so beschaffen, dass der Benutzer 150 mittels einer digitalen Signatur eine Nachricht, wie zum Beispiel eine Abbuchungsanweisung an das Bankkonto des Benutzers, bestätigen kann. Die Erzeugung der digitalen Signatur wird im System durch den Server 130 unter der Kontrolle der Smartcard 120 durchgeführt.
Im Folgenden wird die Bezeichnung E_KEY(A) dazu verwendet, die mittels eines Schlüssels KEY verschlüsselte Menge A zu kennzeichnen. Diese Bezeichnung wird sowohl für den Verschlüsselungsalgorithmus des öffentlichen Schlüssels als auch für den symmetrischen Verschlüsselungsalgorithmus verwendet. Das Symbol + stellt eine umkehrbare Kombination wie zum Beispiel eine XOR-Operation oder eine Addition oder Multiplikation mod p dar, wobei p eine nichtgeheime Primzahl ist.
Obwohl bei diesen Ausführungsarten als Server 130 zur Verdeutlichung ein vom Arbeitsplatzrechner 110 getrennter Rechner angenommen wird, kann die Funktion des Servers 130 gleichermaßen durch einen im Arbeitsplatzrechner 130 oder in einem Großrechner 140 laufenden Prozess ausgeführt werden. Obwohl die Ausführungsarten zur Verdeutlichung anhand eines einzelnen Servers 130 beschrieben werden, ist auch vorgesehen, dass andere Ausführungsarten eine Vielzahl solcher Server beinhalten können.
2 veranschaulicht ein einfaches Beispiel für die Erzeugung und Verwendung digitaler Signaturen mittels der der Verschlüsselung eines öffentlichen Schlüssels zugrunde liegenden Prinzipien. Es ist klar, dass diese Art der digitalen Signatur nur eines von vielen Verfahren zur Erzeugung digitaler Signaturen mittels der Verschlüsselung eines öffentlichen Schlüssels ist, von denen jedes gleichermaßen bei anderen Ausführungsarten der Erfindung eingesetzt werden kann.
2 zeigt zwei Benutzer, welche miteinander in Verbindung treten und die Identität des Anderen sicher erkennen wollen. Jeder Benutzer hat ein Paar von Schlüsseln, nämlich einen öffentlichen Schlüssel PK und einen privaten Schlüssel SK. Jeder Benutzer benutzt denselben öffentlichen Schlüssel wie der andere Benutzer. Normalerweise gibt jeder Benutzer seinen privaten Schlüssel nicht preis, jedoch sind die öffentlichen Schlüssel für jeden verfügbar, der mit ihnen in Verbindung treten möchte.
Angenommen, ein Benutzer A möchte eine Nachricht MSG über ein Datenübertragungsnetz an den Benutzer B senden. Aus der Nachricht wird eine digitale Signatur erzeugt, indem zuerst mittels einer leistungsfähigen Hash-Funktion, von der es viele bekannte Arten gibt, ein Hash-Wert der Nachricht erzeugt wird. Ein Beispiel eines zur Berechnung digitaler Signaturen geeigneten leistungsfähigen Hash-Algorithmus wird in der US-Patentschrift A-4,908,861 beschrieben. Die spezielle dazu verwendete Hash-Funktion soll B bekannt sein. Dieser Hash-Wert wird dann mittels des geheimen Schlüssels von A verschlüsselt und so eine digitale Signatur E_SKa(Hash(MSG)) erzeugt. Dann wird die Nachricht zusammen mit der digitalen Signatur zum Benutzer B gesendet. Der Benutzer B kann die Echtheit der Nachricht durch Entschlüsseln der digitalen Signatur mittels des öffentlichen Schlüssels PKa und Vergleichen des erhaltenen Wertes mit dem aus der Nachricht erhaltenen Hash-wert überprüfen.
In der Praxis wird die Integrität der öffentlichen Schlüssel PKa durch einen Dritten bestätigt, dessen Aufgabe darin besteht, die Echtheit von Schlüsseln zu bestätigen. Dadurch soll B garantiert werden, dass PKa der öffentliche Schlüssel ist, der wirklich A und niemandem weiter zugewiesen wurde. Das Bestätigen und Verteilen öffentlicher Schlüssel in dieser Weise ist in der Technik bekannt und wird im Folgenden nicht weiter beschrieben. Eine Erörterung dieser Bestätigungen ist in CCITT Recommendation X.509 Directory Services (1988) zu finden.
3 ist eine schematische Darstellung, welche die Wirkungsweise einer einfachen Ausführungsart der Erfindung zeigt. Eine solche Ausführungsart ist geeignet, wenn der Datenaustausch zwischen der Smartcard und dem Server beispielsweise durch physische oder Verschlüsselungsmittel extra abgesichert wird, sodass die ausgetauschten Schlüssel und Nachrichten geschützt sind. Hierfür sind in der Technik eine Vielzahl von Mitteln bekannt wie zum Beispiel die Verwendung gesicherter Kabelverbindungen oder die Verwendung der Datenverschlüsselung und Berechtigungsprüfung. In einer solchen Hochsicherheitsumgebung übt die Smartcard eine zusätzliche Kontrolle der Verwendung des Servers aus.
Der Server 130 beinhaltet eine sichere Chiffrierumgebung 360, wie sie durch den Verschlüsselungsadapter IBM 4755 bereitgestellt wird, und eine Plattenspeichereinheit 350. Der Verschlüsselungsadapter IBM 4755 speichert Verschlüsselungswerte sicher in der Speichereinheit 350 unter dem Schutz eines Chiffrierschlüssel, nämlich des in der sicheren Chiffrierumgebung 360 gespeicherten lokalen Hauptschlüssels. Der Verschlüsselungsadapter IBM 4755 stellt eine nach außen abgeschlossene und gegen Eindringen geschützte Hardwareumgebung zur Durchführung solcher Verschlüsselungsaufgaben unter der Kontrolle des darin befindlichen Mikrocodes bereit. Dieser Adapter wird genauer beschrieben von Abraham, D. G., Dolan, G. M. und Stevens, J. V. in IBM Systems Journal, Bd. 30, Nr. 2, 1991, S. 206 bis 229.
Die einer Anzahl von Benutzern A, B, C, D ... zugewiesenen geheimen Schlüssel SK sind in verschlüsselter Form in der Speichereinheit 350 sicher gespeichert. Sie werden mittels eines herkömmlichen symmetrischen Verschlüsselungsalgorithmus wie zum Beispiel des bekannten DES-Algorithmus unter Verwendung eines benutzerspezifischen Schlüssels KEY verschlüsselt. Der benutzerspezifische Schlüssel für den Benutzer A mit der Bezeichnung KEYa ist im Speicher 370 der Smartcard 120 zusammen mit einer Information gespeichert, die den – in 3 mit A bezeichneten – Benutzer kennzeichnet, welcher in der Lage ist, den entsprechenden verschlüsselten geheimen Schlüssel wieder aus der Speichereinheit 350 abzurufen.
Der durch die Smartcard 120 durchgeführte Prozess wird in 4a veranschaulicht. Wenn der Benutzer A eine Nachricht MSG und eine zugehörige digitale Signatur versenden möchte, erzeugt die Smartcard 120 in Schritt 480 einen Hash-Wert H der Nachricht MSG und verschlüsselt in Schritt 481 mittels eines herkömmlichen symmetrischen Algorithmus wie beispielsweise des DES-Algorithmus den benutzerspezifischen Schlüssel KEYa, wobei der Hash-Wert H als Schlüssel dient. Dieser verschlüsselte Wert des Schlüssels wird in Schritt 482 zusammen mit der Nachricht und der den Benutzer kennzeichnenden Information über das Netzwerk zum Server 130 gesendet.
Der durch den Server 130 durchgeführte Prozess ist in 4b dargestellt. Der Server 130 erzeugt in Schritt 491 aus der Nachricht wieder den Hash-Wert H und entschlüsselt in Schritt 492 den benutzerspezifischen Schlüssel KEYa. Dieser KEYa wird in der sicheren Umgebung in Schritt 493 zum Entschlüsseln und vorübergehenden Speichern des entschlüsselten Wertes des geheimen Schlüssels des Benutzers SKa verwendet. Anschließend wird dieser entschlüsselte geheime Schlüssel innerhalb der sicheren Umgebung 360 dazu verwendet, in Schritt 494 für die Nachricht die digitale Signatur zu erzeugen, welche dann entweder durch den Server 130 direkt an den gewünschten Empfänger der Nachricht gesendet oder für die spätere Übertragung zur Smartcard 120 zurückgegeben wird. Abschließend werden KEYa, die Nachricht, der Hash-Wert und SKa in Schritt 495 innerhalb der sicheren Umgebung gelöscht.
Da der Server mit der sicheren Chiffrierumgebung 360 ausgestattet ist und daher überwacht werden kann, kann sichergestellt werden, dass der geheime Schlüssel SKa nur zum Signieren der ursprünglichen Nachricht verwendet wurde und dass die Nachricht, ihr Hash-Wert H, SKa und KEYa wirklich gelöscht wurden. Die Eigenschaft, dass eine Zurückweisung nicht möglich ist, ist daher erhalten geblieben. Ferner kann der Server 130 in einer Systemverwaltungsumgebung online betrieben werden. Wenn gewünscht wird, die Fähigkeit des Benutzers 150 zum Erzeugen digitaler Signaturen aufzuheben, erreicht man dies einfach durch Löschen des verschlüsselten Wertes von SKa aus dem Speicher 350. Während diese Fähigkeit aufgehoben werden soll, braucht der Zugriff auf den Inhalt der Smartcard 120 nicht erforderlich zu sein, welche zu diesem Zeitpunkt möglicherweise physisch nicht zur Verfügung steht.
5 ist eine schematische Darstellung, die eine verbesserte Version der ersten Ausführungsart der Erfindung veranschaulicht. Die in 3 gezeigte Wirkungsweise wird mehrerlei Hinsicht modifiziert.
Erstens verfügt der Benutzer 150 über eine PIN (persönliche Kennzahl), durch welche sichergestellt werden soll, dass die Smartcard 120 nur durch den Benutzer 150 benutzt werden kann. Bei dieser Ausführungsart wird das durch die Anordnung des Systems in der Weise erreicht, dass der Schlüssel zur Verschlüsselung des geheimen Schlüssels des Benutzers bei der Speicherung im Server 130 eine Kombination einer in der vorliegenden Ausführungsart mit + bezeichneten und in der 5 durch PKREVa dargestellten XOR-Funktion der in der Karte gespeicherten Daten sowie der in 5 durch PINa dargestellten PIN ist.
Die Gültigkeit der PIN kann durch die Smartcard geprüft werden, indem man in dieser einen Wert speichert, der eine Einwegfunktion – in diesem Fall ein prioritärer Hash-Wert – der PIN ist. Auf diese Weise kann die PIN durch Wiederherstellen des Hash-Wertes der durch den Benutzer eingegebenen PIN und Vergleichen dieses Wertes mit dem in der Karte gespeicherten Wert geprüft werden. Dies wird in 5 durch den Prozess 410 dargestellt.
PKREVa ist eine reversible Funktion der PIN und eine Einwegfunktion – in diesem Fall ein prioritärer Hash-Wert – des geheimen Schlüssels SKa des Benutzers. Diese Einwegfunktion des geheimen Schlüssels des Benutzers wird in 5 mit KOWFa bezeichnet. Die reversible Funktion kann zum Beispiel eine Kombination wie zum Beispiel eine XOR-Operation oder eine Addition oder Multiplikation mod p sein, wobei p eine nichtgeheime Primzahl ist. Auf diese Weise kann die Einwegfunktion des geheimen Schlüssels KOWFa mittels der PINa wiederhergestellt werden. Dabei ist zu beachten, dass der Benutzer bei diesem Ansatz seine PIN unabhängig vom Server ändern kann. Dies kann durch die Smartcard erfolgen, indem PKREVa mit der alten und der neuen PINa verwendet wird, um unter Verwendung der folgenden Beziehung einen neuen Wert von PKREVa zu berechnen: PKREVa(alt) + PINa(alt) + PINa(neu) = PKREVa(neu).
Der in der Smartcard 120 ablaufende Prozess wird in 6a gezeigt. wenn ein Benutzer eine Nachricht MSG signieren möchte, werden die PIN und die Nachricht in die Smartcard eingegeben, welche in Schritt 690 einen Hash-Wert H der Nachricht erzeugt und diesen in Schritt 691 mit den in der Karte gespeicherten Daten KCARa kombiniert, um einen temporären, aber vollständigen Schlüssel-Chiffrierschlüssel zu erzeugen, der nur für eine Nachricht gültig ist. Die Smartcard erzeugt in Schritt 692 auch KOWFa aus PINa und PKREVa und verschlüsselt KOWFa in Schritt 693 unter Verwendung des aus der Nachricht und KCARa abgeleiteten temporären Schlüssel-Chiffrierschlüssels. Man beachte, dass in der Smartcard weder die PIN noch der zur Verschlüsselung des geheimen Schlüssels verwendete Schlüssel gespeichert werden. Deshalb kann der geheime Schlüssel nicht verwendet werden, wenn die in einer verloren gegangenen oder gestohlenen Smartcard gespeicherten Daten bekannt geworden sind.
Die Smartcard 120 erzeugt eine Anforderung 440, die Informationen zur Identifizierung des Benutzers A, den verschlüsselten Wert von KOWFa und die Nachricht enthält. Die Anforderung 440 wird in Schritt 694 über das Netzwerk zum Server 130 übertragen.
Der im Server 130 ablaufende Prozess wird in 6b veranschaulicht. Der Server 130 empfängt die Anforderung entweder sofort oder zu einen späteren Zeitpunkt, erzeugt in Schritt 695 einen Hash-Wert H der Nachricht, erzeugt in Schritt 696 aus dem Hash-wert H der Nachricht und aus KCARa den temporären Schlüssel, der in verschlüsselter Form vom Speicher 350 abgerufen und in Klartext entschlüsselt wurde. Der temporäre Schlüssel wird in Schritt 697 zur Gewinnung von KOWFa und dieser Wert in Schritt 698 wiederum zur Gewinnung des geheimen Schlüssels SKa des Benutzers verwendet.
Die Werte KCARa, KCARb usw. werden vertraulich in der Speichereinheit 350 gespeichert, da sie sonst durch einen Eindringling zur Entschlüsselung von SKa verwendet werden könnte, der die Übertragung 440 abhört.
Außerdem wird die Gültigkeit des gewonnenen Wertes SKa geprüft, indem aus dem gewonnenen geheimen Schlüssel mittels der Einwegfunktion KOWFa erzeugt und dieser Wert mit dem aus der Anforderung 440 gewonnenen Wert von KOWFa verglichen wird.
Der gewonnene Wert SKa wird in Schritt 699 innerhalb der sicheren Chiffrierumgebung in der oben beschriebenen Weise zur Erzeugung der digitalen Signatur verwendet. Die gewonnenen Werte SKa und andere Schlüssel werden wie oben bereits beschrieben in Schritt 700 nach Verwendung aus der sicheren Chiffrierumgebung 360 gelöscht.
Da der Server 130 die sichere Chiffrierumgebung 360 enthält und überwacht wird, kann auch hier wiederum sichergestellt werden, dass nur die ursprüngliche Nachricht signiert wurde und dass der geheime Schlüssel wirklich aus der sicheren Chiffrierumgebung 360 gelöscht wurde. Wenn gewünscht wird, die Fähigkeit des Benutzers 150 zur Erzeugung digitaler Signaturen aufzuheben, kann man dies durch Löschen entweder des verschlüsselten Wertes SKa oder des Wertes KCARa aus dem Speicher 350 erreichen.
7 ist eine schematische Darstellung, die eine zweite Ausführungsart der Erfindung veranschaulicht. Bei dieser Ausführungsart sind in der zum Benutzer A gehörenden Smartcard 120 die beiden Schlüssel-Chiffrierschlüssel KEK1a und KCRRa gespeichert. Der Server 130 speichert KCARa und eine Zufallszahl RNxa aus einer Reihe von Zufallszahlen zusammen mit der verschlüsselten Form des geheimen Schlüssels des Benutzers. Bei dieser Ausführungsart wird zur Verschlüsselung des geheimen Schlüssels des Benutzers ein Schlüssel verwendet, der eine Kombination von KEK1a mit RNxa darstellt und in 7 mit KEK1a + RNxa bezeichnet wird.
Der bei der vorliegenden Ausführungsart der Erfindung durch die Smartcard 120 durchgeführte Prozess ist in 8 dargestellt. Ein Benutzer 150 bereitet wie bereits oben erwähnt eine Nachricht MSG vor, die mittels seines geheimen Schlüssels SKa signiert werden soll. Der Benutzer hat eine als PINa bezeichnete PIN, die über eine (nicht gezeigte) geeignete Schnittstelle (zum Beispiel eine Tastatur) in die Smartcard 120 eingegeben wird. Wie zuvor prüft die Smartcard 120 die Berechtigung des Benutzers 150, indem sie einen Hash-Wert von PINa erzeugt und diesen unter Verwendung des Prozesses 410 mit einem gespeicherten Wertes POWFa vergleicht.
In Schritt 880 sendet die Smartcard eine Nachricht zum Server 130, um anzuzeigen, dass eine Nachricht signiert werden soll. Darauf reagiert der Server 130, indem er an die Smartcard 120 eine aktuelle Zufallszahl RNxa aus einer Reihe von Zufallszahlen sendet.
Die Smartcard 120 erzeugt in Schritt 881 einen Hash-Wert H der Nachricht MSG und berechnet dann in Schritt 882 den Schlüssel H + KCRRa. Der Wert KEK1a + RNxa wird in Schritt 883 in der Smartcard 120 berechnet und in Schritt 884 mittels des Schlüssels H + KCARa verschlüsselt.
Dann sendet die Smartcard 120 in Schritt 885 über das Netzwerk eine Anforderung an den Server 130, welche die Kartenkennung ICARa, den verschlüsselten Wert von KEK1a + RNxa und die Nachricht enthält. Mittels der Kennung ICARa ist der Server in der Lage, die zum Benutzer A gehörenden Schlüssel zu finden. Das Protokoll kann auch das Zurücksenden von RNxa zum Server 130 beinhalten, wodurch eine Konsistenzprüfung möglich wäre.
Der im Server 130 ablaufende Prozess ist in 9 dargestellt. In Schritt 886 gewinnt der Server 130 den Hash-Wert H aus der Nachricht zurück und berechnet in Schritt 887 den Schlüssel H + KCARa. Mittels dieses Schlüssels erzeugt der Server 130 in Schritt 888 KEK1a + RNxa durch Entschlüsselung von E_KCARa+H (KEK1a + RNxa) mittels KCARa + H und ermittelt in Schritt 889 den geheimen Schlüssel SKa des Benutzers durch Entschlüsselung von E_{KEK1a+–RNxa}(SKa) mittels KEK1a + RNxa. Dann wird die Nachricht in Schritt 890 wie oben beschrieben signiert.
Dann berechnet der Server 130 in Schritt 891 KEK1a, indem wieder ein sicher gespeicherter Wert RNxa mit KEK1a + RNxa kombiniert wird. Dann wird in Schritt 892 eine neue Zufallszahl RN(x + 1)a erzeugt, die beim nächsten Aufruf des Algorithmus verwendet wird. In Schritt 893 wird RN(x + 1)a mit KEK1a kombiniert und in Schritt 894 zur erneuten Verschlüsselung des privaten Schlüssels des Benutzers verwendet, welcher dann in Schritt 896 in der Speichereinheit 350 gespeichert wird. Auch RN(x + 1)a wird in der Speichereinheit 350 sicher gespeichert und ersetzt RNxa. Dieser Klartextwert von KEK1a in der sicheren Umgebung 360 wird dann in Schritt 895 zusammen mit den Klartextwerten des privaten Schlüssels des Benutzers SKa, mit KEK1a + RNxa und KEK1a + RN(x + 1)a gelöscht.
Durch diese Anordnung wird verhindert, dass der Berechtigungswert E_KCARa+H (KEK1a + RNxa) zusammen mit der Nachricht MSG zur Erzeugung einer anderen digitalen Signal verwendet wird, indem der Variantenschlüssel KEK1a + RNxa extrahiert wird.
10 ist eine schematische Darstellung, welche die bei der Ausführungsart von 7 verwendeten Initialisierungsprozeduren zeigt.
Der durchgeführte Initialisierungsprozess wird in 11 dargestellt. Der Server 130 erzeugt in Schritt 751 die folgenden Chiffrierschlüssel für den Benutzer A.

1. Einen ersten Schlüssel-Chiffrierschlüssel KEK1a,
2. Einen zweiten Schlüssel-Chiffrierschlüssel KCARa,
3. Ein Paar von Schlüsseln, und zwar einen öffentlichen Schlüssel PKa und einen privaten Schlüssel SKa, zur Verwendung mit dem Algorithmus für den öffentlichen Schlüssel.

Nachdem die Schlüssel erzeugt worden sind, liefert der Server 130 die Schlüssel KEK1a und KCARa in Schritt 752 zur Smartcard. Dann löst der Server 130 die Initialisierung von PKa und SKa im Chiffriersystem aus, indem er für PKa entsprechende Bestätigungen anfordert und den Schlüssel dann dem ganzen Netzwerk zur Verfügung stellt (nicht gezeigt).
Dann erzeugt der Server 130 in Schritt 753 eine Zufallszahl und kombiniert diese in Schritt 754 mit KEK1a, um eine Schlüsselvariante KEK1a + RN1a zu erzeugen. Dann wird SKa in Schritt 755 mittels der Schlüsselvariante verschlüsselt, um die verschlüsselte Menge EKEK1a + RN1a(SKa) zu bilden.
Dann wird in Schritt 756 für den Benutzer A eine PIN mit der Bezeichnung PINa und aus dieser wiederum in Schritt 757 ein Hash-Wert POWFa erzeugt. Die PINa wird in Schritt 758 dem Benutzer A zum Beispiel auf dem Postweg zugestellt, und POWFa wird in Schritt 759 zusammen mit den Kenndaten ICARa des Benutzers in der Smartcard gespeichert.
KCARa, RN1a und E_KAK1a+RN1a (SKa) werden in Schritt 760 im Speicher 350 sicher gespeichert und die Klartextwerte von SKa, KCARa, KEK1a und deren abgeleitete Werte in Schritt 761 aus der sicheren Chiffrierumgebung gelöscht.
Bei Anwendungen in einem System mit mehr als einem Server 130, der in der Lage ist, die Verarbeitung des öffentlichen Schlüssels für den Benutzer 150 durchzuführen, und wenn der SKa an jeden weiteren Serverknoten verteilt werden soll, kann der folgende Prozess durchgeführt werden, wenn der Server 360 über den Schlüssel SKa im Klartext verfügt, wie er zum Zeitpunkt seiner Entstehung vorliegt, und immer dann, wenn der Benutzer eine digital zu signierende Nachricht zum Server sendet. Während der Server über den Wert SKa im Klartext verfügt, erzeugt er einen weiteren RNxa-Wert für den zusätzlichen Serverknoten und legt eine zusätzliche verschlüsselte Kopie von SKa mittels desselben Prozesses in den Schritten 892, 893 und 894 an, wie er zur Erzeugung eines neu verschlüsselten lokalen SKa-Wertes verwendet wird. Dann sendet der Serverknoten den zusätzlichen Wert von RNxa und KCARa unter Vertraulichkeit zusammen mit dem zugehörigen verschlüsselten SKa-Wert zu dem zusätzlichen Knoten. Nach Beendigung dieses Prozesses werden alle zusätzlichen RNxa-Werte und die zugehörigen verschlüsselten SKa-Werte in diesem Server zerstört.
Durch diesen Prozess wird sichergestellt, dass jeder zusätzliche Serverknoten unabhängig mit dem Benutzer zusammenarbeiten kann, wobei die Eigenschaft, dass eine Zurückweisung nicht möglich ist, erhalten bleibt.
Es ist klar, dass es sichere Verfahren zur Verteilung von Chiffrierschlüsseln wie zum Beispiel KEK1a, KCARa und SKa zwischen sicheren Chiffrierservern in einem Netzwerk gibt.

Claims

Datenübertragungssystem, in welchem Nachrichten unter Verwendung der Verschlüsselung eines öffentlichen Schlüssels mit einem ausschließlich einem oder mehreren Benutzern (150) zur Verfügung stehenden privaten Schlüssel (Ska) unter der Kontrolle einer durch den oder jeden Benutzer in der Hand gehaltenen, tragbaren Sicherheitsvorrichtung (120) verarbeitet werden, wobei das System Folgendes umfasst: einen Server (130) zum Durchführen der Verarbeitung des öffentlichen Schlüssels unter Verwendung des privaten Schlüssels; wobei der Server (130) zum Datenaustausch mit der tragbaren Sicherheitsvorrichtung (120) eingerichtet ist; dadurch gekennzeichnet, dass der Server (130) ein Datenspeichermittel umfasst oder Zugriff auf dieses hat, in welchem der dem oder jedem Benutzer zur Verfügung stehende private Schlüssel nur in verschlüsselter Form auf sichere Weise gespeichert ist, wobei der private Schlüssel durch einen Schlüssel-Chiffrierschlüssel (KEYa; KOWFa; KEK1a + RNxa) verschlüsselt wird, der Server ein sicheres Verarbeitungsmittel (360) zum Empfangen einer zu verarbeitenden Nachricht vom Benutzer, zum Abrufen des verschlüsselten privaten Schlüssels für den Benutzer, zum Entschlüsseln des privaten Schlüssels unter Verwendung des Schlüssel-Chiffrierschlüssels, zum Durchführen der Verarbeitung des öffentlichen Schlüssels für die Nachricht unter Verwendung des entschlüsselten privaten Schlüssels und zum Löschen des Schlüssel-Chiffrierschlüssels und des entschlüsselten privaten Schlüssels nach der Benutzung, und dass jede Sicherheitsvorrichtung (120) ein Mittel zum Speichern oder Erzeugen des Schlüssel-Chiffrierschlüssels und zum Bereitstellen des Schlüssel-Chiffrierschlüssels für den Server (130) sowie ein Mittel zum Angeben einer zu verarbeitenden Nachricht umfasst, wobei das System so angeordnet ist, dass zumindest die Übertragung des Schlüssel-Chiffrierschlüssels zum Server sicher ist und der Server den Schlüssel-Chiffrierschlüssel nur zur Verarbeitung der durch den Benutzer angegebenen Nachricht verwenden kann.
System nach Anspruch 1, wobei der Schlüssel-Chiffrierschlüssel für die Übertragung zwischen der Sicherheitsvorrichtung und dem Server unter Verwendung eines Schlüssels verschlüsselt wird, der von einem in der Sicherheitsvorrichtung (120) gespeicherten zweiten Schlüssel-Chiffrierschlüssel abgeleitet wird, wobei der Server (130) ein Datenspeichermittel umfasst oder Zugriff auf dieses hat, in welchem der zweite Schlüssel-Chiffrierschlüssel auf sichere Weise gespeichert wird, wodurch die Übertragung des Schlüssel-Chiffrierschlüssels zum Server sicher ist.
System nach Anspruch 1 oder Anspruch 2, wobei der Schlüssel-Chiffrierschlüssel kryptografisch einer zu verarbeitenden Nachricht zugewiesen wird und das sichere Verarbeitungsmittel ein Mittel zum Prüfen der Zuweisung des Schlüssel-Chiffrierschlüssels zur Nachricht umfasst und so eingerichtet ist, dass das Verarbeitungsmittel den Schlüssel-Chiffrierschlüssel nur zur Verarbeitung dieser Nachricht verwenden kann.
System nach Anspruch 3, wobei die Sicherheitsvorrichtung ein Mittel zum Verschlüsseln des Schlüssel-Chiffrierschlüssels für die Übertragung zum Server unter Verwendung eines von der anzumeldenden Nachricht abgeleiteten Schlüssels und der Server ein sicheres Mittel (360) zum Erzeugen des Schlüssels aus der Nachricht und zum Entschlüsseln des Schlüssel-Chiffrierschlüssels umfasst.
System nach einem der vorangehenden Ansprüche, wobei der Schlüssel-Chiffrierschlüssel als Umkehrfunktion eines Kennworts (PINa) in der Sicherheitsvorrichtung gespeichert wird und das System ein Mittel zum Empfangen des Kennworts vom Benutzer (150) sowie zum Senden an die Sicherheitsvorrichtung und die Sicherheitsvorrichtung ein Mittel zur Wiederherstellung des Schlüssel-Chiffrierschlüssels unter Verwendung der Umkehrfunktion umfasst.
System nach einem der vorangehenden Ansprüche, wobei der Schlüssel-Chiffrierschlüssel (KOWFa) eine Einwegfunktion des privaten Schlüssels ist und der Server ein Mittel zum Prüfen des wiederhergestellten Wertes des privaten Schlüssels durch Ableiten des Schlüssel-Chiffrierschlüssels von dem privaten Schlüssel und Vergleichen des davon abgeleiteten Wertes mit dem von der Sicherheitsvorrichtung empfangenen Wert umfasst.
System nach einem der vorangehenden Ansprüche, wobei der Schlüssel-Chiffrierschlüssel eine reversible Funktion eines in der Sicherheitsvorrichtung gespeicherten Schlüssels (KEK1a) und einer Zufallszahl (RNxa) ist und der Server (130) ein Mittel zum Bereitstellen der Zufallszahl für die Sicherheitsvorrichtung (120) umfasst, wobei der Server (130) so eingerichtet ist, dass er den privaten Schlüssel bei jeder Benutzung mittels einer neuen Zufallszahl neu verschlüsselt und der Sicherheitsvorrichtung die neue Zufallszahl beim nächsten Mal zur Verfügung stellt, wenn sie zur Durchführung der Verarbeitung des öffentlichen Schlüssels für einen Benutzer benötigt wird.
Zur Datenübertragung mit einer tragbaren Sicherheitsvorrichtung eingerichteter Server (130), der ein sicheres Speichermittel (350) umfasst; dadurch gekennzeichnet, dass der dem oder jedem Benutzer zur Verfügung stehende private Schlüssel nur in verschlüsselter Form gespeichert wird, wobei der private Schlüssel durch einen Schlüssel-Chiffrierschlüssel verschlüsselt wird und der Server ein sicheres Mittel (360) zum Abrufen des verschlüsselten privaten Schlüssels für den Benutzer, zum Entschlüsseln des privaten Schlüssel unter Verwendung des Schlüssel-Chiffrierschlüssels, zum Durchführen der Verarbeitung des öffentlichen Schlüssels unter Verwendung des entschlüsselten privaten Schlüssels und zum Löschen des entschlüsselten privaten Schlüssels und des Schlüssel-Chiffrierschlüssels nach Benutzung umfasst und der Server zur Verwendung in einem Datenübertragungssystem nach einem der Ansprüche 1 bis 7 geeignet ist.
Verfahren zur Verarbeitung von Nachrichten unter Verwendung der Verschlüsselung öffentlicher Schlüssel mit einem ausschließlich einem oder mehreren Benutzern (150) zur Verfügung stehenden privaten Schlüssel (Ska) unter der Kontrolle einer durch den oder jeden Benutzer in der Hand gehaltenen, tragbaren Sicherheitsvorrichtung (120) in einem System, welches Folgendes umfasst: einen Server (130) zum Durchführen der Verarbeitung des öffentlichen Schlüssels unter Verwendung des privaten Schlüssels, wobei der Server (130) in dem System für die Datenübertragung mit der tragbaren Sicherheitsvorrichtung (120) eingerichtet ist; gekennzeichnet durch die folgenden Schritte: a) Speichern des privaten Schlüssels für den oder jeden Benutzer ausschließlich in verschlüsselter Form in dem Server oder Verschaffen des Zugriffs des Servers auf den Schlüssel, wobei der private Schlüssel durch einen Schlüssel-Chiffrierschlüssel (KEYa; KOWFa; KEK1a + RNxa) verschlüsselt wird; (b) Speichern oder Erzeugen des Schlüssel-Chiffrierschlüssels in der Sicherheitsvorrichtung und Bereitstellen des Schlüssel-Chiffrierschlüssels für den Server (130) auf solche Weise, dass bei der Übertragung zum Server zumindest der Schlüssel-Chiffrierschlüssel sicher ist; und, in einer sicheren Umgebung im Server (130): (c) Empfangen einer durch den Benutzer angegebenen zu verarbeitenden Nachricht; (d) Abrufen des verschlüsselten privaten Schlüssels für den Benutzer; (e) Prüfen, ob es sich um diejenige Nachricht handelt, die durch den Benutzer angegeben wurde; (f) Entschlüsseln des privaten Schlüssels unter Verwendung des Schlüssel-Chiffrierschlüssels; (g) Durchführen der Verarbeitung des öffentlichen Schlüssels für die Nachricht unter Verwendung des entschlüsselten privaten Schlüssels; und (h) Löschen des entschlüsselten privaten Schlüssels und des Schlüssel-Chiffrierschlüssels nach Benutzung.