DE102018126533A1

DE102018126533A1 - Beglaubigungsmodul für Sensordaten

Info

Publication number: DE102018126533A1
Application number: DE102018126533.6A
Authority: DE
Inventors: Volker Skwarek; Mark Hebbel; Sebastian Adank
Original assignee: Hochschule fur Angewandte Wss Hamburg; Basler AG; Hochschule fuer Angewandte Wissenschaften Hamburg
Current assignee: TRUSTNXT GMBH, DE
Priority date: 2018-10-24
Filing date: 2018-10-24
Publication date: 2020-04-30
Also published as: CN112956167B; WO2020083732A1; US12470667B2; CN112956167A; US20210385408A1

Abstract

Beglaubigungsmodul (1) für eine Zeitreihe (2) von Sensordaten (21a-24a, 21a'-24a'), umfassend mindestens eine Datenschnittstelle (11), die mit mindestens einem Sensor (21-24) verbindbar ist, eine Beglaubigungsschnittstelle (12) sowie eine mit der Datenschnittstelle (11) und der Beglaubigungsschnittstelle (12) gekoppelte Beglaubigungslogik (13), die dazu ausgebildet ist,
• mindestens einen Datensatz (21a-24a) über die mindestens eine Datenschnittstelle (11) von mindestens einem Sensor (21-24) zu empfangen (110),
• aus einem oder mehreren empfangenen Datensätzen (21a-24a) ein oder mehrere Komprimate (21b-24b) zu bilden (120),
• eine Beglaubigung (3) zu erstellen (130), die das oder die Komprimate (21b-24b) sowie jeweils einen Verweis (21c-24c) auf den zugehörigen Datensatz (21b-24b), und/oder mindestens einen Teil des zugehörigen Datensatzes (21a-24a), enthält, und
• die Beglaubigung (3) über die Beglaubigungsschnittstelle (12) auszugeben (140).
Zugehörige Kamera (5, 5') und Computerprogramm.

Description

Die Erfindung betrifft ein Beglaubigungsmodul, mit dem Sensordaten gegen nachträgliche Manipulation und/oder Unterdrückung geschützt werden können, sowie eine Kamera mit diesem Beglaubigungsmodul.
Stand der Technik
Bevor die Speicherung von Sensordaten auf digitalen Medien zum Standard wurde, wurden Sensordaten in analoger Form gespeichert, wie etwa auf Magnetbändern, auf Kurvenschreibern oder auf belichteten Filmen. Der Wechsel zu digitalen Medien bringt eine wesentlich höhere Speicherkapazität bei geringeren Kosten für Speichermedien und zugleich auch geringerem apparativen Aufwand für die Aufzeichnung.
Auf der anderen Seite ist es hierdurch auch einfacher geworden, die aufgezeichneten Sensordaten, wie etwa Bilder von Überwachungskameras, nachträglich zu manipulieren. Während beispielsweise ein einmal belichteter Film nachträglich nur durch physischen Schnitt veränderbar war, was unweigerlich Bearbeitungsspuren am Film hinterließ, können die meisten digitalen Speichermedien gelöscht und neu beschrieben werden, ohne dass erkennbare physische Spuren hierauf hindeuten. Aufzeichnungen können also beispielsweise nachträglich verändert, etwa retuschiert, werden. Ebenso kann, wenn eine Aufzeichnung ganz oder teilweise fehlt, nicht schlüssig bewiesen werden, dass sie existiert hat.
Aufgabe und Lösung
Es ist daher die Aufgabe der Erfindung, das unbemerkte nachträgliche Bearbeiten, sowie auch das unbemerkte teilweise oder vollständige Unterdrücken, von Sensordaten zu erschweren.
Diese Aufgabe wird erfindungsgemäß gelöst durch ein Bearbeitungsmodul gemäß Hauptanspruch sowie durch eine Kamera und ein Computerprogramm gemäß Nebenansprüchen. Weitere vorteilhafte Ausgestaltungen ergeben sich aus den darauf rückbezogenen Unteransprüchen.
Offenbarung der Erfindung
Im Rahmen der Erfindung wurde ein Beglaubigungsmodul für eine Zeitreihe von Sensordaten entwickelt. Diese Sensordaten können beliebige physikalisch aufgenommene Messdaten beinhalten, wie beispielsweise stehende oder bewegte Kamerabilder, Temperaturdaten oder Messdaten von Beschleunigungssensoren.
Das Beglaubigungsmodul umfasst mindestens eine Datenschnittstelle, die mit mindestens einem Sensor verbindbar ist. Über diese eine oder mehrere Datenschnittstellen können dem Beglaubigungsmodul Sensordaten eines oder mehrerer Sensoren zugeführt werden. Es können also insbesondere Kombinationen von mehreren Datenschnittstellen vorgesehen sein, die Daten von unterschiedlichen Sensoren entgegennehmen.
Ist das Beglaubigungsmodul beispielsweise in eine Kamera integriert, die ihrerseits an ein verkabeltes oder drahtloses Netzwerk angeschlossen ist, so kann das Beglaubigungsmodul Kamerabilder direkt vom Bildsensor dieser Kamera erhalten, beispielsweise über eine interne Schnittstelle dieser Kamera. Das Beglaubigungsmodul kann gleichzeitig aber auch über weitere Datenschnittstellen, wie beispielsweise Funkschnittstellen, Sensordaten von anderen Sensoren in der Umgebung erhalten. Somit kann das Beglaubigungsmodul beispielsweise in einem Sensornetzwerk als Sammelpunkt für die Sensordaten von mehreren Sensoren dienen.
Dabei umfasst der Begriff der Kamera beispielsweise zweidimensionale oder dreidimensionale Einzelkameras, aber auch beispielsweise stereoskopische oder andere Anordnungen von Kameras, deren Bilder zu einem dreidimensionalen Gesamtbild fusioniert werden. Ebenso kann die Kamera beispielsweise multimodale Daten aus mehreren Kontrastmechanismen fusionieren.
Das Beglaubigungsmodul weist weiterhin eine Beglaubigungsschnittstelle auf, über die es Beglaubigungen ausgibt. Dabei ist die Unterscheidung zwischen der Datenschnittstelle und der Beglaubigungsschnittstelle nicht dahingehend zu verstehen, dass sich diese Schnittstellen hinsichtlich bestimmter physischer Merkmale unterscheiden müssen, sondern dient lediglich dem besseren Verständnis der Abläufe im Beglaubigungsmodul. Es ist also auch möglich, dass ein Beglaubigungsmodul über ein und dieselbe Netzwerkschnittstelle sowohl Sensordaten von verschiedenen Sensoren empfängt als auch Beglaubigungen ausgibt.
Das Beglaubigungsmodul weist weiterhin eine Beglaubigungslogik auf. Diese Beglaubigungslogik kann in Hardware, Software, Firmware oder einer beliebigen Kombination hieraus implementiert sein. Die Beglaubigungslogik ist dazu ausgebildet, mindestens einen Datensatz über die mindestens eine Datenschnittstelle von mindestens einem Sensor zu empfangen und aus einem oder mehreren empfangenen Datensätzen ein oder mehrere Komprimate zu bilden.
Unter einem Komprimat wird jede verdichtete Zusammenfassung des Datensatzes verstanden, die a) keinen eindeutigen Rückschluss auf den Datensatz oder Teile desselben zulässt und b) sich ändert, wenn an beliebiger Stelle des Datensatzes eine Veränderung vorgenommen wird. Hierunter fallen insbesondere kryptographische Hashfunktionen, die es in besonderem Maße erschweren, zu einem gegebenen Datensatz und einem gegebenen Hashwert einen manipulierten Datensatz zu erzeugen, der auf den gleichen Hashwert abgebildet wird (sogenannte Hashkollision). Abwägungen zwischen dem Sicherheitsniveau einerseits und den Hardwarekosten andererseits können jedoch auch in die Verwendung einfacherer Funktionen für die Bildung von Komprimaten münden, wie beispielsweise Prüfsummen (etwa CRC) oder Zählungen, welche Byte-Werte von 0 bis 255 wie oft im Datensatz vorkommen.
Die Beglaubigungslogik erstellt eine Beglaubigung, die das oder die Komprimate sowie jeweils einen Verweis auf den zugehörigen Datensatz, und/oder mindestens einen Teil des zugehörigen Datensatzes, enthält. Auf diese Weise wird in der Beglaubigung festgehalten, dass der oder die Datensätze, auf die sich die Beglaubigung bezieht, zum Zeitpunkt der Beglaubigung einen bestimmten Inhalt hatten, der durch das oder die Komprimate angegeben wird. Die Beglaubigung kann zusätzlich noch Zeitstempel oder andere Angaben enthalten.
Das Beglaubigungsmodul ist dazu ausgebildet, die Beglaubigung über die Beglaubigungsschnittstelle auszugeben. Dabei kann die Beglaubigung insbesondere nach außerhalb des Geräts, in das das Beglaubigungsmodul eingebaut ist, abgegeben werden. So kann die Beglaubigungsschnittstelle beispielsweise genutzt werden, um Beglaubigungen innerhalb eines Sensornetzwerks zu verteilen.
Der letztendliche Effekt einer solchen Verteilung ist, dass an vielen Stellen in dem Netzwerk die Information hinterlegt ist, dass zu einem bestimmten Zeitpunkt Datensätze eines bestimmten Inhalts vorgelegen haben. Wenn die Datensätze zu einem späteren Zeitpunkt etwa für Beweiszwecke benötigt werden, dann kann anhand der im Netzwerk, oder bei einer vertrauenswürdigen Entität, hinterlegten Beglaubigungen geprüft werden, ob die Datensätze zwischenzeitlich verändert wurden. Dabei benötigt die Speicherung der Beglaubigung auf Grund der Verdichtung in Komprimate jeweils deutlich weniger Speicherplatz als die Speicherung der ursprünglichen Datensätze.
Es können also, beispielsweise in einem Streitfall, die bezüglich eines Sensors gespeicherten Sensordaten mit den bezüglich dieser Sensordaten vorliegenden Beglaubigungen abgeglichen werden. Dies kann auch eine Prüfung einschließen, ob zu jeder bezüglich eines Sensors vorhandenen Beglaubigung der nominell dazugehörige Datensatz tatsächlich existiert. Wenn es eine Beglaubigung für einen konkreten Datensatz gibt, dieser Datensatz aber zugleich nicht auffindbar ist, dann wurde er möglicherweise nachträglich unterdrückt. So kann beispielsweise versucht werden, aus der von einer Überwachungskamera gelieferten Zeitreihe von Bildern diejenigen Bilder zu entfernen, auf denen ein Täter erkennbar ist. Gibt es zu diesen Bildern Beglaubigungen, lässt sich die Existenz der Bilder nicht mehr abstreiten.
Dabei muss die Verteilung von Beglaubigungen auch gar nicht an den Grenzen des Machtbereichs eines einzelnen Betreibers eines Sensornetzwerks enden. Vielmehr kann die Beweiskraft noch weiter erhöht werden, indem beispielsweise die Beglaubigungen über eine Funkschnittstelle als Beglaubigungsschnittstelle ausgesendet werden und andere Beglaubigungsmodule jede auf ihrer Funkschnittstelle empfangene Beglaubigung zumindest für einen gewissen Zeitraum speichern, unabhängig davon, von wem sie stammt. Wird nun beispielsweise in einem mit einem System von Überwachungskameras ausgestatteten Ladenlokal A eine Straftat begangen und betreibt ein anderes Unternehmen im benachbarten Ladenlokal B ein Kamerasystem vom gleichen Hersteller (bzw. ein hierzu kompatibles), so kann die Polizei zur Beweissicherung das Ladenlokal B aufsuchen und die Herausgabe der im dortigen Kamerasystem gespeicherten Beglaubigungen fordern. Der Betreiber von Ladenlokal A hat also keine Möglichkeit mehr, das Vorliegen bestimmter Aufnahmen in seinem Kamerasystem schlüssig abzustreiten. Wenn er alle Kameras verschwinden lässt und durch neue gleichen Typs ersetzt, dann kann er damit zwar die Bilder selbst vernichten, aber dieser Akt kann ihm an Hand der Beglaubigungen nachgewiesen werden. Die in Ladenlokal B gespeicherten Beglaubigungen sind vor seinem Zugriff sicher.
Somit ist die Beglaubigungslogik in einer besonders vorteilhaften Ausgestaltung dazu ausgebildet, Beglaubigungen von anderen Beglaubigungsmodulen zu empfangen und zu speichern, und/oder mit in die eigene Beglaubigung aufzunehmen. Zusätzlich kann die Beglaubigungslogik auch die von ihr selbst erstellten Beglaubigungen speichern.
Die Ausgabe von Beglaubigungen über die Beglaubigungsschnittstelle ist nicht darauf beschränkt, dass die Beglaubigungen an Sensorgeräte eines Sensornetzwerks und/oder an zentrale Server übergeben werden. Die Beglaubigungen können beispielsweise auch in einer öffentlichen Blockchain, wie etwa der Ethereum-Blockchain, gespeichert werden. Die Speicherung dort muss in Kryptowährung bezahlt werden, ist dafür jedoch unveränderlich und unauslöschbar.
Die Verteilung der Beglaubigungen vermindert prinzipiell die Anforderungen an die kryptographische Sicherheit der Funktion, mit der Komprimate gebildet werden. Selbst wenn die hierfür verwendete Funktion ganz einfach ist, kann ein nachträgliches Fälschen eines Datensatzes immer noch dadurch erkannt werden, dass für ein und denselben Datensatz Beglaubigungen mit unterschiedlichen Komprimaten im Umlauf sind.
In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik zusätzlich dazu ausgebildet, einen Verweis auf mindestens einen in der Zeitreihe früheren Datensatz, und/oder ein Komprimat dieses früheren Datensatzes, mit in die Beglaubigung aufzunehmen. Auf diese Weise kann eine zeitliche Kette von Datensätzen einschließlich ihrer Reihenfolge durch die Beglaubigungen dokumentiert werden. Wenn beispielsweise eine Überwachungskamera eine Schlägerei filmt, so kann die Reihenfolge der Bilder im Nachhinein nicht mehr unbemerkt manipuliert werden, um zu verschleiern, wer angegriffen hat und wer sich verteidigt hat.
Sofern ein Hashwert als Komprimat gebildet wird, kann es sich in einer besonders vorteilhaften Ausgestaltung um einen Keyed Hash Message Authentication Code handeln, der unter Verwendung eines geheimen Schlüssels des Beglaubigungsmoduls berechnet wird. Der Hashwert kann dann eindeutig dem konkreten Beglaubigungsmodul zugeordnet werden, das über den geheimen Schlüssel verfügt. Das bedeutet, dass der Hashwert nicht mehr reproduziert werden kann, wenn das Beglaubigungsmodul gegen ein anderes mit einem anderen geheimen Schlüssel ausgetauscht wird. Der geheime Schlüssel ist also vorteilhaft für das Beglaubigungsmodul eindeutig.
In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik dazu ausgebildet, die Beglaubigung durch steganographische Veränderung eines von einem Sensor empfangenen Datensatzes in dem Datensatz zu hinterlegen. Unter einer steganographischen Veränderung wird in diesem Zusammenhang insbesondere eine Veränderung verstanden, die so klein und/oder unauffällig ist, dass sie die weitere Nutzung und/oder Auswertung des Datensatzes im Rahmen der Zweckbestimmung, mit der er aufgenommen wurde, nicht beeinflusst und/oder beeinträchtigt. Beispielsweise sind steganographische Veränderungen von Bildern darauf angelegt, beim Betrachten des Bildes mit dem menschlichen Auge nicht sichtbar zu sein und somit die weitere Auswertung des Bildes durch Menschen nicht zu stören. Auf diese Weise kann der Datensatz, etwa das Bild, als Vehikel für den Transport der Beglaubigung mitgenutzt werden. Es ist nicht notwendig, die Beglaubigung separat zu transportieren, und es ist unmittelbar einsichtig, zu welchem Datensatz die Beglaubigung gehört.
Weiterhin kann eine steganographische Ablage der Beglaubigung beispielsweise in einem Bild auch verschleiern, dass das Bild überhaupt durch Beglaubigungen gesichert ist. Mit einem solchen Verschleiern der vorhandenen Sicherheitsmaßnahmen kann beispielsweise das Ziel verfolgt werden, Angreifer nicht von vornherein von einer Manipulation der Datensätze abzuhalten, sondern eine solche Manipulation im Nachhinein überraschend aufzudecken und den Täter zu stellen.
Analog zum Keyed Hash Message Authentication Code kann auch die steganographische Veränderung unter Verwendung eines geheimen Schlüssels des Beglaubigungsmoduls berechnet werden. Beispielsweise können aus dem geheimen Schlüssel die Positionen im Datensatz ermittelt werden, an denen die Veränderungen vorgenommen werden. Die Beglaubigung lässt sich also nur bei Kenntnis des geheimen Schlüssels gegen eine neue austauschen. Ohne den geheimen Schlüssel ist es nicht einmal möglich, die Beglaubigung aus dem Datensatz auszulesen, bzw. überhaupt zu erkennen, dass der Datensatz eine Beglaubigung enthält.
Vorteilhaft umfasst das Beglaubigungsmodul ein Trusted Platform Module mit dem geheimen Schlüssel des Beglaubigungsmoduls. Auf diese Weise kann das Beglaubigungsmodul mit einem weltweit eindeutigen Schlüssel ausgerüstet werden, und es können Bedingungen, unter denen der Schlüssel zum Einsatz kommt, hardwaremäßig durchgesetzt werden. Beispielsweise kann der Schlüssel durch „Versiegeln“ (sealing) im Trusted Platform Module an eine gleich bleibende Firmwarekonfiguration des Beglaubigungsmoduls gebunden werden.
In einer weiteren besonders vorteilhaften Ausgestaltung umfasst das Beglaubigungsmodul einen zwischen die Datenschnittstelle und die Beglaubigungslogik geschalteten Selektor, der empfangene Datensätze nach mindestens einem vorgegebenen Kriterium entweder an die Beglaubigungslogik weiterleitet oder aber diese Weiterleitung unterdrückt. Der Selektor kann beispielsweise darauf eingestellt werden, nur jedes fünfte Bild einer 25 Bilder pro Sekunde aufzeichnenden Kamera an die Beglaubigungslogik durchzureichen. Auf diese Weise kann ein Kompromiss zwischen dem Sicherheitsniveau einerseits und dem Rechen- und Speicheraufwand für die Beglaubigung andererseits eingestellt werden. So wird in dem genannten Beispiel der Aufwand auf ein Fünftel reduziert, während zugleich zwischen zwei mit Beglaubigungen gesicherten Bildern immer ein Zeitfenster von 0,2 Sekunden bleibt, in dem Manipulationen an den Bildern nicht direkt anhand der Beglaubigungen erkannt werden können. Damit die Manipulation aber de facto unerkannt bleibt, müsste sie auch konsistent mit allen durch Beglaubigungen gesicherten Bildern sein. Ansonsten würde beim Betrachten der Zeitreihe von Bildern auffallen, dass es plötzliche Veränderungen gibt, die in diesem Tempo durch keinen natürlichen Bewegungsablauf bewirkt werden können.
Es können durchaus auch mehrere Selektoren verwendet werden, um Beglaubigungen, die an verschiedene andere Geräte gesendet werden sollen, in unterschiedlichen Taktungen zu verschicken. So können beispielsweise mehrere Überwachungskameras und andere Sensoren innerhalb einer Anlage durch ein WLAN miteinander gekoppelt sein, in dem Bandbreite reichlich verfügbar ist und für jedes Bild und jeden anderen Datensatz aus Sensordaten Beglaubigungen verteilt werden können. Wenn die Anlage nun aber keinen schnellen Festnetzanschluss zum Internet hat, sondern nur über eine schmalbandige Verbindung, wie etwa LoRaWAN, Beglaubigungen nach außen geben kann, so können für diesen Zweck Beglaubigungen in sinnvollen Zeitabständen erstellt werden.
Nach dem zuvor Beschriebenen bezieht sich die Erfindung auch auf eine Kamera für die Aufnahme stehender oder bewegter Bilder. Diese Kamera umfasst mindestens einen Bildsensor sowie das zuvor beschriebene Beglaubigungsmodul, dessen Datenschnittstelle mit dem Bildsensor der Kamera gekoppelt ist.
In einer weiteren besonders vorteilhaften Ausgestaltung ist die Beglaubigungslogik dazu ausgebildet, Komprimate aus Kombinationen von einem oder mehreren empfangenen Datensätzen mit zumindest einem Teil der Firmware der Beglaubigungslogik, und/oder eines das Beglaubigungsmodul beherbergenden Geräts, zu bilden. Das Komprimat kann dann nur identisch aus dem oder den Datensätzen reproduziert werden, wenn nicht nur der oder die Datensätze selbst unverändert geblieben sind, sondern auch die Firmware.
Unabhängig hiervon kann die Beglaubigungslogik auch beispielsweise Beglaubigungen der Firmware ohne Ansehung konkreter empfangener Datensätze anfertigen. Auf diese Weise können Manipulationen an der Firmware bereits erkannt werden, bevor diese zur Fälschung oder Unterdrückung von Datensätzen ausgenutzt wird. Beispielsweise könnte die Firmware einer Überwachungskamera durch eine Schadsoftware so manipuliert worden sein, dass sie zu bestimmten Zeiten oder unter bestimmten anderen Bedingungen das Bild nicht mehr aktualisiert oder dass ein Bewegungsmelder deaktiviert wird.
Eine Kamera ist von Haus aus mit vergleichsweise starken Hardwareressourcen und leistungsfähigen Schnittstellen ausgestattet, um die vom Bildsensor gelieferten großen Datenmengen bewältigen zu können. Daher lässt sich dort vorteilhaft Rechenkapazität für die Beglaubigungen abzweigen. Insbesondere kann in einem Sensornetzwerk eine Kamera einen Sammelpunkt für Sensordaten von anderen Sensoren des Netzwerks bilden. Beispielsweise kann das Netzwerk Sensoren enthalten, bei denen aus Kostengründen oder zur Reduzierung des Stromverbrauchs die für die Erstellung von Beglaubigungen nötige Rechenkapazität eingespart wurde, wie etwa Temperatursensoren mit Langzeitbatterien. Die Daten dieser Sensoren können dann auf der Kamera beglaubigt werden. Typische Überwachungsnetzwerke enthalten eine Mehrzahl von Kameras, so dass die Beglaubigung dann immer noch an mehreren redundanten Orten durchgeführt wird.
Als Beispiele für Sensornetzwerke, in denen die Kamera eingesetzt werden kann, kommen etwa Sensornetzwerke in Betrieben in Betracht, in denen zum einen eine optische Überwachung benötigt wird und zum anderen die Einhaltung bestimmter Betriebsparameter beweiskräftig zu dokumentieren ist. Beispielsweise kann mit Temperaturmessungen überwacht werden, ob eine vorgeschriebene Kühlkette eingehalten wird. Mit Sensoren, die jedes Öffnen von Behältern registrieren, sowie Gewichtssensoren an Behältern kann der Dokumentationspflicht hinsichtlich des Verbleibs bestimmter chemischer Substanzen, die etwa als Grundstoffe für die Herstellung von Betäubungsmitteln oder Sprengstoff geeignet sind, genügt werden. Auch die chemische Zusammensetzung von Abwässern oder Fortluft einer Produktionsanlage kann mit Sensoren überwacht werden. Weiterhin kann beispielsweise mit RFID-Sensoren der Verbleib diebstahlgefährdeter Geräte, Materialien oder Datenträger überwacht werden.
Ein Sensornetzwerk mit der Kamera lässt sich auch beispielsweise auch verwenden, um die Aufzeichnungen sogenannter „Dashcams“ für Fahrzeuge gehaltvoller und zugleich beweiskräftiger zu machen. Neben dem Kamerabild können beispielsweise auch andere Fahrzeugparameter, wie Geschwindigkeit, Gasstellung, Lenkwinkel oder Schaltzustände von Leuchten des Fahrzeugs, registriert und beglaubigt werden, und die Beglaubigungen können beispielsweise über „Car to Car“- oder „Car to Infrastructure“-Funk verteilt werden. Auf diese Weise können die Aufzeichnungen bei einem Rechtsstreit um die Schuldfrage auch dann noch beweiskräftig sein, wenn sie nicht sofort bei der Unfallaufnahme durch die Polizei sichergestellt, sondern erst im Nachhinein von einer Partei freiwillig oder auf Anordnung des Gerichts vorgelegt werden.
Durch die Verteilung der Beglaubigungen in dem Sensornetzwerk, sowie, wie zuvor erläutert, möglicherweise auch über die Grenzen dieses Sensornetzwerks hinaus, können die Sensordaten letztendlich auch ohne zentrale Instanz gegen Manipulation oder Unterdrückung geschützt werden. Je breiter die Beglaubigungen gestreut werden, desto schwerer wird es, alle Kopien zu entfernen bzw. gegen neue Versionen auszutauschen.
In einer vorteilhaften Ausgestaltung ist das Beglaubigungsmodul auf einem Bildverarbeitungschip der Kamera, der unmittelbar mit dem Bildsensor der Kamera gekoppelt ist, implementiert. Auf diese Weise können die Beglaubigungen so früh wie möglich in die vom Bildsensor der Kamera gelieferten Datensätze integriert und dabei auch weitestgehend vor dem Zugriff durch andere Systemkomponenten und durch möglicherweise schädliche Software geschützt werden.
Nach dem zuvor Beschriebenen umfasst die Kamera weiterhin einen Speicher, der mit dem Beglaubigungsmodul gekoppelt ist und der dazu ausgebildet ist, von dem Beglaubigungsmodul erstellte und/oder empfangene Beglaubigungen zu speichern.
Das Beglaubigungsmodul kann beispielsweise in ein Mobiltelefon oder ein anderes mobiles Endgerät integriert sein und dort beispielsweise Informationen beglaubigen, mit denen der Nutzer seine Identität gegenüber einem Dienstleister für mobiles Bezahlen nachweist. Wenn ein mobiles Endgerät oder ein Computer mit einem Beglaubigungsmodul ausgerüstet ist, kann dieses Beglaubigungsmodul außerdem beispielsweise die Bilddaten einer von dem mobilen Endgerät oder einer Webcam aufgenommenen Videositzung beglaubigen, in der der Nutzer ein Ausweisdokument zur Legitimation präsentiert. Auf diese Weise kann der Nutzer dann online beispielsweise sein Alter nachweisen oder der Ausweispflicht bei der Eröffnung eines Kontos oder der Freischaltung einer SIM-Karte nachkommen.
Weiterhin kann beispielsweise ein Beglaubigungsmodul auf einem Mobiltelefon genutzt werden, um Sensordaten von Wearable Devices zu beglaubigen. Diese Sensordaten können beispielsweise genutzt werden, um ein risikoarmes Verhalten zu kontrollieren, zu dem sich ein Versicherungsnehmer im Gegenzug für vergünstigte Beiträge bei einer Krankenversicherung oder Kfz-Versicherung verpflichtet hat.
Durch die Beglaubigung können Manipulationen mit dem Ziel, sich bessere Bewertungen zu erschleichen, deutlich erschwert werden. Die Sensordaten können aber auch beispielsweise nach einem Unfall als Beweismittel hinsichtlich der gefahrenen Geschwindigkeit oder der Heftigkeit eines Aufpralls herangezogen werden.
Nach dem zuvor Beschriebenen kann das Beglaubigungsmodul als physisches Modul ausgeführt sein und sich in einigen Ausgestaltungen zusätzlicher Hardware bedienen, wie beispielsweise einem Trusted Platform Module. Es gibt jedoch auch Ausgestaltungen, in denen das Beglaubigungsmodul ganz oder teilweise in Software implementiert ist, die beispielsweise in die Firmware einer Überwachungskamera oder eines anderen Sensorgeräts integrierbar ist. Eine derartige Software ist ein eigenständiges Produkt, das insbesondere für die Nachrüstung bestehender Sensornetzwerke relevant ist. Daher bezieht sich die Erfindung auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Embedded-System, und/oder auf einer Kamera, und/oder auf einem sonstigen Sensorgerät, ausgeführt werden, den Computer, das Embedded-System, die Kamera, bzw. das sonstige Sensorgerät, zu dem zuvor beschriebenen Beglaubigungsmodul aufwerten und/oder um ein solches Beglaubigungsmodul erweitern, bzw. die Kamera zu der zuvor beschriebenen Kamera aufwerten. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger oder ein Downloadprodukt mit dem Computerprogramm.
Figurenliste
Nachfolgend wird der Gegenstand der Erfindung anhand von Figuren erläutert, ohne dass der Gegenstand der Erfindung hierdurch beschränkt wird. Es ist gezeigt:

1: Ausführungsbeispiel des Beglaubigungsmoduls 1;
2: Beispielhaftes Sensornetzwerk mit zwei beglaubigenden Kameras 5 und 5';
3: Ausführungsbeispiel einer Kamera 5, 5';
4: Beispielhafter Ablauf der Vorgänge im Beglaubigungsmodul 1.

1 zeigt schematisch ein Ausführungsbeispiel des Beglaubigungsmoduls 1. Das Beglaubigungsmodul 1 erhält über seine Datenschnittstelle 11 Datensätze 21a-24a von Sensoren 21-24. Zur Unterscheidung sind Datensätze, die zu einem früheren Zeitpunkt in der nach der Zeit t geordneten Zeitreihe 2 aufgenommen wurden, mit Bezugszeichen 21a'-24a' bezeichnet.
Das Beglaubigungsmodul 1 bildet in seiner Beglaubigungslogik 13 zu den Datensätzen 21a-24a, 21a'-24a' jeweils Komprimate 21b-24b, 21b'-24b', wobei ein geheimer Schlüssel 14a aus einem Trusted Platform Module 15 des Beglaubigungsmoduls 1 verwendet werden kann. Die Komprimate 21b-24b, 21b'-24b' gehen zusammen mit Verweisen 21c-24c, 21c'-24c' auf die jeweiligen Datensätze 21a-24a, 21a'-24a' in die Beglaubigungen 3 ein. Die Beglaubigungen 3 werden in einem Speicher 18 des Beglaubigungsmoduls 1 abgelegt und zugleich über die Beglaubigungsschnittstelle 12 abgegeben, unter anderem an weitere Beglaubigungsmodule 1'. Umgekehrt werden von den weiteren Beglaubigungsmodulen 1' Beglaubigungen 3' entgegengenommen und in dem Speicher 18 abgelegt. Diese fremden Beglaubigungen 3' können auch in die vom Beglaubigungsmodul 1 selbst erstellten Beglaubigungen 3 mit eingehen.
Die Beglaubigungen 3 können steganographisch in einen oder mehreren der Datensätze 21a-24a, 21a'-24a' eingebettet werden, wobei auch wieder ein geheimer Schlüssel 14b aus dem Trusted Platform Module 15 des Beglaubigungsmoduls 1 zum Einsatz kommen kann.
2 zeigt ein beispielhaftes Sensornetzwerk mit zwei Kameras 5 und 5', einem Sensor 22 für eine Temperatur T und einem Sensor 23 für eine Beschleunigung a. Die erste Kamera 5 enthält einen Bildsensor 51, der in dem Sensornetzwerk als Sensor 21 fungiert. Die zweite Kamera 5' enthält ebenfalls einen Bildsensor 51, der in dem Sensornetzwerk als Sensor 24 fungiert. Weiterhin enthalten beide Kameras 5, 5' jeweils ein Beglaubigungsmodul 1, 1'.
Die Beglaubigungsmodule 1, 1' sammeln jeweils die Datensätze 21a-24a aller beteiligten Sensoren 21-24 ein und erstellen zugehörige Beglaubigungen 3, 3'. Die Beglaubigungsmodule 1, 1' tauschen diese Beglaubigungen 3, 3' auch untereinander aus. Alle Beglaubigungen 3, 3' sind also in beiden Kameras 5, 5' vorhanden. Wer die Absicht hat, einen der von einem der Sensoren 21-24 erstellten Datensätze 21a-24a unbemerkt nachträglich zu fälschen oder dessen Existenz zu verschleiern, müsste hierzu die Beglaubigungen 3, 3' auf beiden Kameras 5, 5' manipulieren. Er müsste nicht nur die entsprechenden Sicherungen überwinden und etwa Zugang zu den geheimen Schlüsseln 14a, 14b im jeweiligen Trusted Platform Module 15 erlangen, sondern überhaupt erst einmal physisch an beide Kameras 5, 5' herankommen. Somit kann bei der Implementierung des Sensornetzwerks die Sicherheit noch einmal deutlich erhöht werden, indem mindestens eine der Kameras 5, 5' an einem Ort montiert wird, der physikalisch besonders schwer zu erreichen ist, beispielsweise nur mit einem Hubsteiger oder einem ähnlichen Spezialwerkzeug. Die Beglaubigungen 3, 3' könnten zwar im Prinzip vernichtet werden, indem beide Kameras 5, 5' etwa durch Beschuss aus einem Gewehr zerstört werden, doch wäre dann der Versuch einer Manipulation offensichtlich. Wirklich erfolgreich ist eine Manipulation nur dann, wenn sie von Statten geht, ohne physische Spuren zu hinterlassen.
3 zeigt eine beispielhafte Kamera 5, 5' in Schemazeichnung. Die Kamera 5, 5' überwacht einen Bereich 6, in dem sich hier beispielhaft ein Gebäude 6a und ein Baum 6c befinden. In der in 3 dargestellten Situation hält sich auch eine Person 6b in dem Bereich 6 auf.
Der Bildsensor 51, der im Sensornetzwerk als Sensor 21 fungiert, liefert Bilder als Datensätze 21a , die zunächst einmal aus der Kamera 5, 5' ausgegeben werden, um beispielsweise auf einem Monitor in einer in 3 nicht eingezeichneten Sicherheitszentrale dargestellt und/oder dort aufgezeichnet zu werden. Zusätzlich werden die Datensätze 21a der Datenschnittstelle 11 eines direkt auf dem Bildverarbeitungschip 52 der Kamera 5, 5' implementierten Beglaubigungsmoduls 1 zugeführt. Die Beglaubigungslogik 13 des Beglaubigungsmoduls 1 erstellt Beglaubigungen 3, die über die Beglaubigungsschnittstelle 12 ausgegeben, in einem Speicher 53 der Kamera 5, 5' abgelegt und auch an weitere Beglaubigungsmodule 1' in dem Sensornetzwerk übermittelt werden. Umgekehrt nimmt das Beglaubigungsmodul 1 über seine Beglaubigungsschnittstelle 12 auch Beglaubigungen 3' von den weiteren Beglaubigungsmodulen 1' ab und hinterlegt sie in dem Speicher 53.
4 verdeutlicht einen beispielhaften Ablauf der Vorgänge im Beglaubigungsmodul 1. Die Datensätze 21a-24a werden in Schritt 110 von den Sensoren 21-24 bezogen. In Schritt 120 werden zugehörige Komprimate 21b-24b erstellt. Gemäß Block 121 kann es sich hierbei um Hashwerte handeln, und gemäß Block 122 können diese Hashwerte unter Verwendung eines geheimen Schlüssels 14a des Beglaubigungsmoduls 1 berechnet werden.
In Schritt 130 werden die Beglaubigungen 3 erstellt. Dabei können gemäß Block 131 zusätzlich noch Datensätze 21a'-24a' einfließen, die in der Zeitreihe 2 weiter zurückliegen, indem entsprechende Komprimate 21b'-24b' dieser Datensätze 21a'-24a' sowie Verweise 21c'-24c' auf diese Datensätze 21a'-24a' erstellt werden.
Zusätzlich können fremde Beglaubigungen 3' von anderen Beglaubigungsmodulen 1' empfangen und gemäß Block 132a gespeichert werden. Die fremden Beglaubigungen 3' können aber auch gemäß Block 132b in die von dem Beglaubigungsmodul 1 erstellten eigenen Beglaubigungen 3 mit aufgenommen werden. Dies kann beispielsweise geschehen, indem auch von den fremden Beglaubigungen 3' Komprimate erstellt werden.
Die Beglaubigungen 3 werden in Schritt 140 über die Beglaubigungsschnittstelle 12 ausgegeben.
Optional können die Beglaubigungen 3 zuvor in Schritt 135 durch steganographische Veränderung der Datensätze 21a-24a, 21a'-24a' in diesen Datensätzen 21a-24a, 21a'-24a' hinterlegt werden, wobei gemäß Block 135a ein geheimer Schlüssel 14b des Beglaubigungsmoduls 1 verwendet werden kann. Es werden dann also die steganographisch veränderten Datensätze 21a-24a, 21a'-24a', die die Beglaubigungen 3 beinhalten, über die Beglaubigungsschnittstelle 12 ausgegeben.
Bezugszeichenliste

1, 1': Beglaubigungsmodule
11: Datenschnittstelle des Beglaubigungsmoduls 1, 1'
12: Beglaubigungsschnittstelle des Beglaubigungsmoduls 1, 1'
13: Beglaubigungslogik des Beglaubigungsmoduls 1, 1'
14a: geheimer Schlüssel für Berechnung von Komprimaten 21b-24b
14b: geheimer Schlüssel für Steganographie in Datensätze 21a-24a
15: Trusted Platform Module des Beglaubigungsmoduls 1
18: Speicher des Beglaubigungsmoduls 1
2: Zeitreihe von Sensordaten
21-24: Sensoren
21a-24a: aktuelle Datensätze, geliefert von Sensoren 21-24
21b-24b: Komprimate der Datensätze 21a-24a
21c-24c: Verweise auf Datensätze 21a-24a
21a'-24a': zurückliegende Datensätze der Sensoren 21-24 in Zeitreihe 2
21b'-24b': Komprimate der Datensätze 21a'-24a'
21c'-24c': Verweise auf Datensätze 21a'-24a'
3, 3': Beglaubigungen
5, 5': Kameras
51: Bildsensor der Kamera 5, 5'
52: Bildverarbeitungschip der Kamera 5, 5'
53: Speicher der Kamera 5, 5'
6: durch Kamera 5, 5' erfasster Bereich
6a: Gebäude in Bereich 6
6b: Person in Bereich 6
6c: Baum in Bereich 6
110: Empfangen von Datensätzen 21a-24a
120: Bilden der Komprimate 21b-24b
121: Bilden eines Hashwerts als Komprimat 21b-24b
122: Verwenden eines geheimen Schlüssels 14a für Komprimat 21b-24b
130: Erstellen von Beglaubigungen 3
131: Einbeziehen zurückliegender Datensätze 21a'-24a'
132a: Speichern fremder Beglaubigungen 3'
132b: Einbeziehen fremder Beglaubigungen 3' in eigene Beglaubigung 3
135: steganographisches Verändern von Datensätzen 21a-24a, 21a'-24a'
135a: Verwenden eines geheimen Schlüssels 14b für Steganographie 135
140: Ausgeben der Beglaubigungen 3
a: Beschleunigung
t: Zeit
T: Temperatur

Claims

Beglaubigungsmodul (1) für eine Zeitreihe (2) von Sensordaten (21a-24a, 21a'-24a'), umfassend mindestens eine Datenschnittstelle (11), die mit mindestens einem Sensor (21-24) verbindbar ist, eine Beglaubigungsschnittstelle (12) sowie eine mit der Datenschnittstelle (11) und der Beglaubigungsschnittstelle (12) gekoppelte Beglaubigungslogik (13), die dazu ausgebildet ist, • mindestens einen Datensatz (21a-24a) über die mindestens eine Datenschnittstelle (11) von mindestens einem Sensor (21-24) zu empfangen (110), • aus einem oder mehreren empfangenen Datensätzen (21a-24a) ein oder mehrere Komprimate (21b-24b) zu bilden (120), • eine Beglaubigung (3) zu erstellen (130), die das oder die Komprimate (21b-24b) sowie jeweils einen Verweis (21c-24c) auf den zugehörigen Datensatz (21b-24b), und/oder mindestens einen Teil des zugehörigen Datensatzes (21a-24a), enthält, und • die Beglaubigung (3) über die Beglaubigungsschnittstelle (12) auszugeben (140).
Beglaubigungsmodul (1) nach Anspruch 1, wobei die Beglaubigungslogik (13) zusätzlich dazu ausgebildet ist, einen Verweis (21c'-24c') auf mindestens einen in der Zeitreihe (2) früheren Datensatz (21a'-24a'), und/oder ein Komprimat (21b'-24b') dieses früheren Datensatzes (21a'-24a'), mit in die Beglaubigung aufzunehmen (131).
Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 2, wobei die Beglaubigungslogik (13) zusätzlich dazu ausgebildet ist, Beglaubigungen (3') von anderen Beglaubigungsmodulen (1') zu empfangen und zu speichern (132a), und/oder mit in die eigene Beglaubigung (3) aufzunehmen (132b).
Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 3, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, einen Hashwert als Komprimat (21b-24b, 21b'-24b') zu bilden (121).
Beglaubigungsmodul (1) nach Anspruch 4, wobei der Hashwert ein Keyed Hash Message Authentication Code ist, der unter Verwendung eines geheimen Schlüssels (14a) des Beglaubigungsmoduls (1) berechnet wird (122).
Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 5, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, die Beglaubigung (3) durch steganographische Veränderung eines von einem Sensor (21-24) empfangenen Datensatzes (21a-24a, 21a'-24a') in dem Datensatz (21a-24a, 21a'-24a') zu hinterlegen (135).
Beglaubigungsmodul (1) nach Anspruch 6, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, die steganographische Veränderung unter Verwendung eines geheimen Schlüssels (14b) des Beglaubigungsmoduls (1) zu berechnen (135a).
Beglaubigungsmodul (1) nach Anspruch 5 oder 7, umfassend ein Trusted Platform Module (15) mit dem geheimen Schlüssel (14a, 14b) des Beglaubigungsmoduls (1).
Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 8, weiterhin umfassend einen zwischen die Datenschnittstelle (11) und die Beglaubigungslogik (13) geschalteten Selektor (16), der empfangene Datensätze (21a-24a) nach mindestens einem vorgegebenen Kriterium entweder an die Beglaubigungslogik (13) weiterleitet oder aber diese Weiterleitung unterdrückt.
Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 9, wobei die Beglaubigungslogik (13) dazu ausgebildet ist, Komprimate (21b-24b) aus Kombinationen von einem oder mehreren empfangenen Datensätzen (21a-24a) mit zumindest einem Teil der Firmware der Beglaubigungslogik (13), und/oder eines das Beglaubigungsmodul (1) beherbergenden Geräts (5, 5'), zu bilden.
Kamera (5, 5') für die Aufnahme stehender oder bewegter Bilder, umfassend mindestens einen Bildsensor (51) sowie ein Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 10, dessen Datenschnittstelle (11) mit dem Bildsensor (51) gekoppelt ist.
Kamera (5, 5') nach Anspruch 11, wobei das Beglaubigungsmodul (1) auf einem Bildverarbeitungschip (52) der Kamera (5), der unmittelbar mit dem Bildsensor (51) der Kamera (5, 5') gekoppelt ist, implementiert ist.
Kamera (5, 5') nach einem der Ansprüche 11 bis 12, weiterhin umfassend einen Speicher (53), der mit dem Beglaubigungsmodul (1) gekoppelt ist und der dazu ausgebildet ist, von dem Beglaubigungsmodul (1) erstellte und/oder empfangene Beglaubigungen (3, 3') zu speichern.
Computerprogramm, enthaltend maschinenlesbare Anweisungen, die, wenn sie auf einem Computer, und/oder auf einem Embedded-System, und/oder auf einer Kamera (5, 5'), und/oder auf einem sonstigen Sensorgerät, ausgeführt werden, den Computer, das Embedded-System, die Kamera (5, 5'), bzw. das sonstige Sensorgerät, zu einem Beglaubigungsmodul (1) nach einem der Ansprüche 1 bis 10 aufwerten und/oder um ein solches Beglaubigungsmodul (1) erweitern, bzw. die Kamera (5, 5') zu einer Kamera (5, 5') nach einem der Ansprüche 11 bis 13 aufwerten.