-
Die
Erfindung betrifft allgemein das Gebiet der Authentisierung und
insbesondere das Gebiet der Authentisierung eines Benutzers eines
nicht unbedingt vertrauenswürdigen
Endgeräts.
-
Im
Zuge des stetigen Wachstums von Telekommunikations- und Zahlungsverkehrsnetzen
sowie der zunehmenden Menge von zugriffsbeschränkten Inhalten, die über solche
Netze verfügbar
sind, spielt die Frage der sicheren und gleichzeitig bequemen Benutzerauthentisierung
eine immer größere Rolle.
-
Bei
Telekommunikations- und Zahlungsverkehrnetzen ist eine Zwei-Faktor-Authentisierung bekannt,
bei der sich der Benutzer durch den Besitz eines personalisierten
Authentisierungstokens – z.B. einer
Chipkarte oder eines SIM-Moduls – und durch Kenntnis eines
Geheimnisses – z.B.
einer Geheimzahl – als
berechtigt ausweisen muss. Zur Authentisierung führt der Benutzer das Authentisierungstoken
in ein Endgerät – z.B. ein
Telefon oder ein Zahlungsverkehrsterminal – ein und gibt ferner seine
Geheimzahl über
eine Tastatur des Endgeräts
ein. Die eigentliche Authentisierung erfolgt dann durch das Authentisierungstoken
oder durch einen entfernt befindlichen Authentisierungsserver.
-
Bei
diesem bekannten Authentisierungsverfahren besteht jedoch das Problem,
dass das Endgerät
vertrauenswürdig
sind muss, weil das Geheimnis des Benutzers in das Endgerät eingegeben
wird. Ein manipuliertes Endgerät
könnte
dieses Geheimnis – z.B.
die über
eine Tastatur des Endgeräts
eingegebene Geheimzahl – speichern
und einem unbefugten Dritten zugänglich
machen. Dieses Risiko beeinträchtigt – unabhängig davon,
ob es sich in der Praxis tatsächlich
verwirklicht – die
Akzeptanz von Authorisierungs systemen, bei denen der Benutzer ein
Geheimnis in ein von einem Dritten bereitgestelltes Endgerät eingeben
muss.
-
Vielen
Benutzern fällt
es schwer, sich längere
und damit sicherere Kennwörter
oder Geheimzahlen zu merken. Es sind daher biometrische Authentisierungssysteme
vorgeschlagen worden, bei denen statt eines Geheimnisses ein biometrisches
Merkmal des Benutzers – z.B.
ein Fingerabdruck oder eine Aufnahme des Gesichts oder Auges des
Benutzers – verwendet
wird. Auch hier besteht jedoch das Problem, dass dem Endgerät, über das
die biometrische Prüfung
durchgeführt
wird, vertraut werden muss. Psychologische Aspekte spielen dabei
eine noch größere Rolle
als bei der Eingabe von Geheimnissen, weil viele Benutzer die Überprüfung eines
biometrischen Merkmals als Eingriff in ihre persönliche Sphäre empfinden und daher besonders
sensibel auf bestehende oder vermutete Risiken einer unbefugten Ausspähung der
biometrischen Daten reagieren.
-
US 6,636,620 B1 offenbart
ein Authentisierungssystem mit Endgeräten und einem Server. Jedes
Endgerät
weist einen Fingerabdruck-Sensor und eine Leseeinrichtung für Chipkarten
auf. Das Endgerät
ermittelt Merkmale aus einem Fingerabdruck eines Benutzers und vergleicht
diese mit Referenzdaten, die auf einer eingesteckten Chipkarte gespeichert
sind.
-
US 6,636,973 B1 offenbart
ein Computernetz mit einem Server und mindestens einem Client. Der Client
ist als gewöhnlicher
persönlicher
Computer ausgestaltet, der mit einem Fingerabdruck-Sensor verbunden
ist. Der Client führt
ein Programmpaket für die
biometrische Authentisierung aus.
-
WO
02/091142 A2 offenbart ein Challenge-Response-Verfahren zur Fingerabdruck-Authentisierung.
Ein Client erhält
eine Folge von Fragen von einem Server über ein möglicherweise unsicheres Netz.
Wenn der Client die Fragen zutreffend beantwortet, kann der Server
darauf schließen,
dass dem Client der korrekte Fingerabdruck vorliegt.
-
Die
Systeme, die in den drei gerade genannten Dokumenten beschrieben
sind, weisen das gemeinsame Merkmal auf, dass die ermittelten biometrischen
Daten ungeschützt
in den jeweiligen Endgeräten
vorliegen und verarbeitet werden. Ein manipuliertes Endgerät könnte daher
die biometrischen Daten unbefugt speichern und/oder manipulieren.
Dieses Problem behindert insbesondere die flächendeckende Verbreitung kostengünstiger
Endgeräte,
weil solche Geräte – z.B. im
Vergleich zu besonders geschützten
Geldautomaten – leichter
manipulierbar sind.
-
Die
Erfindung hat daher die Aufgabe, eine Technik zur Authentisierung
eines Benutzers eines Endgeräts
bereitzustellen, die auch dann hohe Sicherheit gegen Ausspähung und/oder
Manipulation bietet, wenn dem Endgerät nicht unbedingt vertraut werden
kann. In bevorzugten Ausgestaltungen soll die Erfindung für den Benutzer
besonders bequem zu verwenden sein.
-
Erfindungsgemäß wird diese
Aufgabe ganz oder zum Teil gelöst
durch ein Verfahren mit den Merkmalen von Anspruch 1, ein Authentisierungsmodul
gemäß Anspruch
18 und ein Endgerät
gemäß Anspruch
19. Die abhängigen
Ansprüche
definieren bevorzugte Ausgestaltungen der Erfindung.
-
Die
Erfindung geht von der Grundidee aus, ein beim Benutzer befindliches
Authentisierungsmodul und einen nicht-lokalen Authentisierungsserver einzusetzen,
wobei das Authentisierungsmodul Authentisierungsdaten bestimmt und
diese dann auf eine gegen Ausspähung
und/ oder Verfälschung durch
das Endgerät
gesicherte Weise an den Authentisierungsserver sendet.
-
Auch
wenn das Authentisierungsmodul räumlich
beim Benutzer angeordnet ist, wird es somit in logischer Hinsicht
zu einem Teil des Authentisierungsservers. Eine unbefugte Verwendung
der Authentisierungsdaten durch das Endgerät wird damit zuverlässig vermieden.
Dies erhöht
die Sicherheit des Authentisierungsvorgangs auch bei einem nicht vertrauenswürdigen Endgerät und steigert
die Benutzerakzeptanz.
-
Da
durch die erfindungsgemäße Technik eine
hohe Sicherheit für
den Benutzer bereitgestellt wird, kann sich der Benutzer bedenkenlos
an beliebigen Endgeräten
anmelden. Die Erfindung ist daher auch zur Verwendung mit Endgeräten geeignet,
die sich in öffentlichen
oder zumindest einem größeren Personenkreis
zugänglichen
Räumen
befinden. Beispielsweise kann die Erfindung bei öffentlichen oder innerhalb
eines Firmengebäudes
allgemein zugänglichen
Telefonen verwendet werden. Es ist dann nicht erforderlich, dass
jeder Benutzer über
ein eigenes Endgerät
verfügt.
-
In
bevorzugten Ausgestaltungen findet zumindest zum Teil eine biometrische
Authentisierung statt, bei der mindestens ein biometrisches Merkmal des
Benutzers in die Authentisierungsdaten eingeht und von dem Authentisierungsserver überprüft wird. Das
mindestens eine biometrische Merkmal kann beispielsweise aus einem
Fingerabdruck des Benutzers oder aus einer Aufnahme des Gesichts
oder eines Auges des Benutzers oder aus einer dynamischen Analyse
eines vom Benutzer geleisteten Schriftzuges oder aus einer Stimmanalyse
gewonnen werden. Die Eingabeeinheit des Authentisierungsmoduls weist
in solchen Ausgestaltungen einen entsprechenden biometrischen Sensor,
beispielsweise einen Fingerabdruck-Sensor oder eine Kamera oder
eine Schreibfläche
oder ein Mikrofon, auf.
-
Zusätzlich zu
der biometrischen Authentisierung oder statt dieser kann in manchen
Ausgestaltungen die Eingabe eines Geheimnisses des Benutzers, z.B.
einer Gemeinzahl, gefordert werden. Die Eingabeeinheit des Authentisierungsmoduls
weist dann z.B. eine Tastatur auf.
-
Insbesondere
eine biometrische Authentisierung kann in manchen Ausgestaltungen
ohne zusätzliches
Authentisierungstoken ausgeführt
werden. Dies ist für
den Benutzer besonders bequem und auch für den Anbieter vorteilhaft,
weil die Beschaffung, Lagerung, Personalisierung, Distribution und Aktivierung
von Authentisierungstoken Kosten verursacht und nicht immer fehlerfrei
abläuft.
-
Die
Authentisierung des Benutzers umfasst eine zuverlässige Feststellung
der Benutzeridentität. Beispielsweise
kann der Benutzer Identitätsdaten wie
z.B. einen Benutzernamen oder eine Benutzernummer am Authentisierungsmodul
oder am Endgerät
eingeben oder solche Identitätsdaten
auf einem maschinenlesbaren Datenträger dem Endgerät oder dem
Authentisierungsmodul zugänglich
machen. In der Regel wird die vom Benutzer angegebene Identität nicht
als geheim angesehen, so dass in manchen Ausgestaltungen vorgesehen
sein kann, dass das Endgerät
die Identitätsdaten
ermittelt und unverschlüsselt
an den Authentisierungsserver sendet. Wenn das Authentisierungsmodul
als eigenständiges Gerät ausgestaltet
ist, das der Benutzer mit sich führt,
können
die Identitätsinformationen
für diesen Benutzer
auch fest im Authentisierungsmodul gespeichert sein.
-
Für den Benutzer
besonders praktisch sind Ausführungsformen,
bei denen die Identität
des Benutzers aus den biometrischen Merkmalsdaten, beispielsweise
der Fingerabdruck-Information, abgeleitet wird. Hierbei können in
manchen Ausgestaltungen Informationen über das vom Benutzer verwen dete
Endgerät
herangezogen werden; so kann z.B. bei Telefonen, die sich innerhalb
einer Firmenabteilung befinden, die Identität von Mitarbeitern dieser Abteilung
automatisch aus deren Fingerabdrücken
festgestellt werden, während
von anderen Firmenangehörigen
die Eingabe einer Identifikationsnummer am Endgerät angefordert
wird.
-
Die
sichere Identitätsfeststellung,
die durch den erfindungsgemäßen Authentisierungsvorgang erzielt
wird, erlaubt beispielsweise kundenspezifische Serviceangebote,
eine eindeutige Rechnungsstellung und die Absicherung von Zahlungsvorgängen.
-
Um
die Sicherheit der erfindungsgemäßen Authentisierung
zu gewährleisten,
muss eine hinreichende funktionale Trennung zwischen dem Endgerät und dem
Authentisierungsmodul bestehen. Dies schließt jedoch nicht aus, dass in
manchen Ausführungsformen
das Endgerät
und das Authentisierungsmodul mechanisch fest miteinander verbunden sind.
In anderen Ausgestaltungen können
dagegen das Endgerät
und das Authentisierungsmodul zwei voneinander getrennte Geräte sein,
die drahtlos oder über
eine Leitung miteinander in Verbindung stehen. Insbesondere kann
in solchen Ausgestaltungen der Benutzer ein eigenes Authentisierungsmodul
besitzen, das er, wenn ein Authentisierungsvorgang auszuführen ist, über eine
Leitung oder eine Funkschnittstelle – z.B. eine Bluetooth®-Verbindung – an ein
beliebiges Endgerät
ankoppelt.
-
In
bevorzugten Ausgestaltungen nutzt das Authentisierungsmodul zur
Datenübertragung
an den Authentisierungsserver zumindest einige Einrichtungen des
Endgeräts.
So kann beispielsweise das Authentisierungsmodul die bereits verschlüsselten
und somit für
das Endgerät
unlesbaren Authentisierungsdaten über eine geeignete Schnittstelle
an das Endgerät übergeben, und
das Endgerät
kann diese Daten auf an sich bekannte Weise an den Authentisierungsserver
weiterleiten. In logischer Hinsicht wird dadurch ein unmittelbarer
Datenübertragungskanal zwischen
dem Authentisierungsmodul und dem Authentisierungsserver gebildet,
während
in physischer Hinsicht und auf den hardwarenahen Protokollebenen
dieser Datenübertragungskanal über das
Endgerät
verläuft.
-
Zum
Schutz der Authentisierungsdaten gegen eine Ausspähung und/
oder Verfälschung
kann mindestens eine Verschlüsselung
nach einem symmetrischen und/oder einem asymmetrischen Verfahren
erfolgen. In manchen Ausgestaltungen werden mehrere Verschlüsselungsverfahren
kombiniert, um eine Authentisierung über einen zusätzlichen
Vermittlungsserver durchzuführen.
-
Die
Authentisierung kann in manchen Ausgestaltungen den Zugang zu einem
Netz und/ oder den Zugriff auf Inhalte betreffen. Im hier verwendeten Sinne
kann das Netz beispielsweise ein Zahlungsverkehrsnetz oder ein Kommunikationsnetz – z.B. ein Festnetz,
ein Mobilfunknetz oder ein WLAN-Netz – sein; das Endgerät ist dann
vorzugsweise ein für
das entsprechende Netz vorgesehenes Terminal. Die Inhalte können kundenspezifisch
oder allgemein sein und z.B. vertrauliche Daten, urheberrechtlich
geschützte
Medieninhalte oder persönliche
Nachrichten umfassen.
-
Das
Authentisierungsmodul und das Endgerät weisen in bevorzugten Weiterbildungen
Merkmale auf, die den oben erwähnten
und/ oder den in den abhängigen
Verfahrensansprüchen
genannten Merkmalen entsprechen.
-
Weitere
Merkmale, Aufgaben und Vorteile der Erfindung ergeben sich aus der
folgenden Beschreibung mehrerer Ausführungsbeispiele und Ausfüh rungsalternativen.
Es wird auf die schematischen Zeichnungen verwiesen, in denen zeigen:
-
1 ein
Blockdiagramm eines Ausführungsbeispiels
der Erfindung,
-
2 einen
beispielhaften Ablauf in dem System gemäß 1, und
-
3 ein
Blockdiagramm eines weiteren Ausführungsbeispiels der Erfindung.
-
In
dem in 1 gezeigten Ausführungsbeispiel sind zwei Telefonstationen 10, 12 an
ein Kommunikationsnetz 14 angeschlossen. Die Telefonstationen 10, 12 weisen
je ein Endgerät 16, 18 und
ein damit in Verbindung stehendes Authentisierungsmodul 20, 22 auf.
Bei der ersten Telefonstation 10 ist das Authentisierungsmodul 20 mechanisch
in das Endgerät 16 integriert.
Bei der zweiten Telefonstation 12 sind das Endgerät 18 und
das Authentisierungsmodul 22 dagegen als getrennte Geräte ausgestaltet, die über eine
Funkverbindung kurzer Reichweite – z.B. eine Bluetooth-Verbindung – Daten
auszutauschen vermögen.
-
Die
Authentisierungsmodule 20, 22 sind dazu eingerichtet,
Authentisierungsdaten 24, 26 zu ermitteln, und
zwar in Abhängigkeit
von Signalen, die von je einer Eingabeeinheit der Authentisierungsmodule 20, 22 ansprechend
auf eine Aktion eines Benutzers erzeugt werden. Im vorliegend gezeigten
Ausführungsbeispiel
sind die Eingabeeinheiten der Authentisierungsmodule 20, 22 je
ein Fingerabdruck-Sensor, der in 1 durch
je eine gebogene Linie angedeutet ist. Wenn der Benutzer als Benutzeraktion
einen Finger auf den Fingerabdruck-Sensor legt, erzeugt letzterer
Signale, die z.B. das Rillenmuster der Fingerkuppe wiedergeben.
In Ausführungsalternativen
sind andere biometrische Sensoren als Eingabeeinheiten der Authentisierungsmodule 20, 22 vorgesehen.
Statt eines biometrischen Sensors oder zusätzlich dazu können die
Eingabeeinheiten in manchen Ausgestaltungen auch eine Tastatur oder
ein sonstiges Mittel zur Eingabe eines Geheimnisses des Benutzers
aufweisen.
-
Ein
Authentisierungsserver 28 vermag Daten über das Kommunikationsnetz 14 auszutauschen. Der
Authentisierungsserver 28 steuert den Zugang der Endgeräte 16, 18 zu
dem Kommunikationsnetz 14 oder zu anderen Netzen und/oder
zu Inhalten, die in diesen Netzen verfügbar sind. Hierzu verifiziert
der Authentisierungsserver 28 die übermittelten Authentisierungsdaten 24, 26 auf
an sich bekannte Weise durch einen Vergleich mit mindestens einem
Referenzmuster der biometrischen Merkmale des Benutzers, das der
Benutzer vorab – z.B.
im Zuge eines Anmeldungsvorgangs – bei einem Netzanbieter oder einer
Zertifizierungsstelle hinterlegt hat.
-
Die Übertragung
der Authentisierungsdaten 24, 26 von dem Authentisierungsmodul 20, 22 zum Authentisierungsserver 28 erfolgt
in physischer Hinsicht sowie auf den hardwarenahen Protokollebenen über die
Endgeräte 16, 18 sowie
das Kommunikationsnetz 14. Dabei werden die Authentisierungsdaten 24, 26 jedoch
auf geeignete Weise – z.B.
durch eine Verschlüsselung – gegen
eine Ausspähung
und/oder Verfälschung
durch die nicht unbedingt vertrauenswürdigen Endgeräte 16,18 gesichert.
-
In
logischer Hinsicht kann daher von einer direkten und unmittelbaren Übertragung
der Authentisierungsdaten 24, 26 von den Authentisierungsmodulen 20, 22 zu
dem Authentisierungsserver 28 gesprochen werden; dies ist
in 1 durch gestrichelte Pfeile veranschaulicht. Mit
anderen Worten können die
Authentisierungsmodule 20, 22, auch wenn sie sich
physisch in der Nähe
der Endgeräte 16, 18 befinden
oder sogar in diese integriert sind, logisch als Teile des Authentisierungsservers 28 – gleichsam
als "vorgelagerte
Sicherheitsagenten" – angesehen
werden.
-
Um
die gesicherte Übertragung
der Authentisierungsdaten 24, 26 bei gleichzeitigem
Schutz vor Hardware-Manipulationen zu erreichen, ist bei den Authentisierungsmodulen 20, 22 im
vorliegenden Ausführungsbeispiel
vorgesehen, die Eingabeeinheit hardwaretechnisch mit Mitteln zum
Aufbauen eines virtuellen privaten Netzes (VPN) zu integrieren.
Beispielsweise kann die hier als Fingerabdruck-Sensor ausgestaltete
Eingabeeinheit – oder
eine dem Sensor zugeordnete Auswerteelektronik – mit einer VPN-Baugruppe auf
einem einzigen Halbleiterchip oder in einem einzigen, gekapselten
Halbleitermodul integriert sein.
-
2 zeigt
einen beispielhaften Ablauf eines Authentisierungsvorgangs in dem
in 1 dargestellten System. Zur einfacheren Darstellung
wird angenommen, dass sich der Benutzer bei der Authentisierung
der ersten Telefonstation 10 bedient. Es versteht sich,
dass der Authentisierungsablauf gemäß 2 ebenso
mittels der zweiten Telefonstation 12 oder anderen geeigneten
Vorrichtungen – nicht
notwendigerweise Telefonen – durchgeführt werden kann.
-
Zu
Beginn des Authentisierungsvorgangs werden in Schritt 30 biometrische
Merkmale eingelesen, indem der Benutzer z.B. seinen Finger auf den Fingerabdruck-Sensor
des Authentisierungsmoduls 20 legt. Das Authentisierungsmodul 20 bestimmt
daraufhin in Schritt 32 die Authentisierungsdaten 24. Diese
Authentisierungsdaten 24 geben im vorliegenden Ausführungsbeispiel
nicht nur die eingelesenen biometrischen Merkmale an, sondern enthalten
auch eine eindeutige Kennung des Endgeräts 16. Diese Kennung
kann z.B. eine IMEI-Nummer (IMEI = International Mobile Equipment
Identity) sein, die das Endgerät 16 dem
Authentisierungsmodul 20 übermittelt.
-
Das
Authentisierungsmodul 20 baut nun in Schritt 34 einen
gesicherten Datenübertragungskanal 36 zu
dem Authentisierungsserver 28 auf. Der Datenübertragungskanal 36 nutzt
die Hardware – z.B.
Sender, Empfänger,
digitale Signalprozessoren – und
manche Softwaremodule des Endgeräts 16. Jedoch
ist der Datenübertragungskanal 36 durch
geeignete Maßnahmen
gegen eine Ausspähung und/oder
Verfälschung
der darauf übertragenen
Informationen durch das Endgerät 16 geschützt. Solche
Maßnahmen
sind aus dem Gebiet der virtuellen privaten Netze an sich bekannt;
beispielsweise kann ein SSL-Protokoll (SSL = Secure Socket Layer)
eingesetzt werden.
-
Die
Reihenfolge der Schritte 30, 32 und 34 ist in 2 lediglich
beispielhaft gezeigt. Es versteht sich, dass in Ausführungsalternativen
der gesicherte Datenübertragungskanal 36 schon
zu Beginn des Authentisierungsvorgangs oder parallel zu den Schritten
des Einlesens der biometrischen Merkmale und des Bestimmens der
Authentisierungsdaten aufgebaut werden kann.
-
In
Schritt 38 sendet das Authentisierungsmodul 20 die
Authentisierungsdaten 24 über den gesicherten Datenübertragungskanal 36 an
den Authentisierungsserver 28. Diese Datenübermittlung
kann durch das Endgerät 16 weder
abgehört
noch manipuliert werden.
-
Der
Authentisierungsserver 28 führt in Schritt 40 die
eigentliche Authentisierung durch. Hierbei vergleicht der Authentisierungsserver 28 auf
an sich bekannte Weise die in den Authentisierungsdaten 24 enthaltenen
biometrischen Merkmale mit mindestens einem vorgegebenen Referenzmuster 42.
In unterschiedlichen Ausgestaltungen kann die Identität des Benutzers
in den Authentisierungsdaten 24 angegeben sein oder zusammen
mit den Authentisierungsdaten 24 an den Authentisierungsserver 28 gesendet werden
oder vom Authentisierungsserver 28 aus den biometrischen
Merkmalen – gegebenenfalls
unter zusätzlicher
Verwendung einer in den Authentisierungsdaten 24 enthaltenen
Gerätekennung – ermittelt
werden.
-
Nach
Abschluss der Authentisierung wird in einem optionalen Schritt 44 das
Ergebnis in Form von Ergebnisdaten 46 an das Authentisierungsmodul 20 zurückgemeldet.
Die Ergebnisdaten 46 enthalten in manchen Ausgestaltungen
lediglich die Information, ob die Authentisierung erfolgreich war
oder nicht, während
in anderen Ausführungsformen
bei einer erfolgreichen Authentisierung bereits eine Transaktionsbestätigung und/
oder angeforderte Inhalte in den Ergebnisdaten 46 enthalten
sein kann/können.
-
In
dem Ausführungsbeispiel
gemäß 2 werden
die Ergebnisdaten 46 über
den gesicherten Datenübertragungskanal 36 gesendet
und allenfalls vom Authentisierungsmodul 20 zum Endgerät 16 weitergeleitet.
Es sind jedoch auch Ausführungsvarianten
vorgesehen, bei denen der Authentisierungsserver 28 die
Ergebnisdaten 46 außerhalb
des gesicherten Datenübertragungskanals 36 zum
Authentisierungsmodul 20 oder unmittelbar zum Endgerät 16 überträgt.
-
Falls
die Authentisierung in Schritt 40 erfolgreich war und der
vom Benutzer gewünschte
Vorgang durch die Rückmeldung
der Ergebnisdaten 46 noch nicht abgeschlossen ist, gibt
der Authentisierungsserver 28 in Schritt 48 den
Netzzugang und/oder den Zugriff auf die angeforderten Inhalte für das Endgerät 16 frei.
Diese Freigabe wird im Authentisierungsserver 28 oder an
einer anderen Stelle des Netzes, auf das zugegriffen werden soll,
unter Angabe der Gerätekennung,
also des eindeutigen Bezeichners des Endgeräts 16, gespeichert.
Der Benutzer kann nun über
das Endgerät 16 den
gewünschten Vorgang
ausführen.
In dem hier beschriebenen Ausführungsbeispiel
ist dies ein Kommunikationsvorgang, z.B. ein Telefonat, während dessen
Dauer die Authentisierung gültig
ist. Für
einen neuen Kommunikationsaufbau müsste sich der Anmelder erneut
authentisieren.
-
In
vorteilhaften Ausgestaltungen, die sich insbesondere für Kommunikationsdienste
eignen, erfordert jede aktive Netznutzung, also sowohl das Senden
als auch das Empfangen von Sprache und/oder Daten, eine biometrische
Authentisierung. Ein erster Benutzer bleibt so lange an einem Endgerät 16, 18 angemeldet,
bis sich entweder ein zweiter Benutzer an diesem Endgerät 16, 18 anmeldet
oder sich der erste Benutzer an einem anderen Endgerät 16, 18 anmeldet
oder sich der erste Benutzer aktiv abmeldet. Jeder Benutzer muss
sich authentisieren und damit auch identifizieren, bevor der Empfang
von Sprache und/oder Daten möglich
ist. Eingehende Anrufe, die nicht entgegengenommen werden, werden zu
einer Mailbox umgeleitet.
-
Auch
für den
Zugang zu der Mailbox eines Benutzers ist in diesen Ausgestaltungen
eine Authentisierung erforderlich. Wenn z.B. an einem Endgerät 16, 18 der
Eingang einer Sprach- und/ oder Datennachricht für einen ersten Benutzer angezeigt wird,
können
diese Informationen von einem zweiten Benutzer, der sich an diesem
Endgerät 16, 18 anmeldet,
nicht entgegengenommen werden. Der erste Benutzer kann dagegen unmittelbar
auf die Mailbox zugreifen, wenn er sich an einem beliebigen – gegebenenfalls
auch einem anderen als dem ursprünglichen – Endgerät wieder
anmeldet.
-
3 zeigt
eine Ausführungsalternative,
bei der eine als Mobiltelefon ausgestaltete Telefonstation 50 über Funk
mit dem Kommunikationsnetz 14 in Verbindung steht. Ebenso
wie bei den bereits beschriebenen Ausführungs beispielen weist die
Telefonstation 50 ein Endgerät 52 und ein Authentisierungsmodul 54 auf.
Bei der Netzstruktur gemäß 3 sind
mehrere Authentisierungsserver 56, 58, 60 vorgesehen,
die z.B. unterschiedlichen Dienstanbietern oder unterschiedlichen
Ländergruppen
zugeordnet sein können.
Ein Vermittlungsserver 62 sorgt für die Datenkommunikation zwischen
dem Kommunikationsnetz 14 und den Authentisierungsservern 56, 58, 60.
-
Bei
dem in 3 gezeigten Ausführungsbeispiel verschlüsselt das
Authentisierungsmodul 54 die zu übertragenden Authentisierungsdaten
durch ein als sicher geltendes, symmetrisches Verschlüsselungsverfahren.
Während
die biometrischen Merkmale eingelesen werden, baut das Authentisierungsmodul 54 – genauer
gesagt, dessen VPN-Einheit – einen
sicheren Datenübertragungskanal
("Tunnel") zu dem Vermittlungsserver 62 auf.
Dieser Datenübertragungskanal
wird mittels einer asymmetrischen Verschlüsselung abgesichert, wobei
im öffentlichen Schlüssel die
eindeutige Zuordnung zu einem Dienstanbieter hinterlegt ist.
-
Der
Vermittlungsserver 62 entschlüsselt die asymmetrisch verschlüsselten
Authentisierungsdaten und leitet die dann immer noch symmetrisch
verschlüsselten
Daten an den Authentisierungsserver 56, 58, 60 des
jeweiligen Dienstanbieters weiter. Dort werden die Daten durch das
symmetrische Verfahren entschlüsselt,
und der Netzzugang wird bei einer erfolgreichen Authentisierung
gestattet bzw. bei einem Fehlschlag der Authentisierung abgelehnt.
-
Zusammenfassend
sind also bei dem Ausführungsbeispiel
gemäß 3 die
Authentisierungsdaten während
ihres gesamten Weges vom Authentisierungsmodul 54 zum zugeordneten
Authentisierungsserver 56, 58, 60 symmetrisch
verschlüsselt, und
zusätzlich
erfolgt eine asymmetrische Verschlüsselung bei der über das
Endgerät 52 und
das Kommunikationsnetz 14 verlaufenden Datenübermittlung vom
Authentisierungsmodul 54 zum Vermittlungsserver 62.
-
Die
hier beschriebenen Ausführungsbeispiele
der Erfindung sollen als Erläuterung
und nicht als Einschränkung
des Erfindungsbereichs verstanden werden. Weitere Abwandlungen sind
möglich
und für den
Fachmann offensichtlich; beispielsweise können durch Kombination der
einzelnen Merkmale der hier beschriebenen Ausführungsbeispiele weitere erfindungsgemäße Ausführungsformen
erhalten werden.