DE60309937T2

DE60309937T2 - System und verfahren zum schutz von daten in einem kommunikationsgerät

Info

Publication number: DE60309937T2
Application number: DE60309937T
Authority: DE
Inventors: P. Neil Waterloo ADAMS; A. Herbert Waterloo LITTLE
Original assignee: Research in Motion Ltd
Current assignee: BlackBerry Ltd
Priority date: 2003-02-28
Filing date: 2003-02-28
Publication date: 2007-10-11
Anticipated expiration: 2023-03-01
Also published as: US8078869B2; BR0318148A; EP1734723A3; SG187265A1; EP1595381A1; DE60309937D1; EP1734723A2; JP2006514475A; WO2004077782A1; US8386778B2; JP4482460B2; HK1083957A1; CA2516568C; CN1745555A; DE60335221D1; ES2357414T3; EP1595381B1; BRPI0318148B1; ATE490511T1; US20120072722A1

Description

Die vorliegende Erfindung bezieht sich auf den Schutz von Daten und insbesondere auf den Schutz von Daten in einem Kommunikationsgerät.
In einer Unternehmensumgebung wird den Mitarbeitern oft der Zugang zu Bürogeräten und -ausrüstung ermöglicht, um mit der Arbeit verbundene Aufgaben erfüllen zu können, wozu typischerweise mindestens ein Personal Computer (PC) gehört und oft auch Drahtlos-Mobil-Kommunikationsgeräte und andere Arten von elektronischen Geräten. Auf diesen Geräten können vertrauliche oder in anderer Weise empfindliche Benutzerinformationen, Mitarbeiterinformationen oder beides gespeichert werden. Obwohl Benutzergeräte wie PCs, die in den Räumlichkeiten des Arbeitgebers verbleiben, durch den Arbeitgeber physisch gesichert sind, ist es für tragbare oder mobile Geräte aufgrund Ihrer Beschaffenheit eher wahrscheinlich, dass sie verlegt oder gestohlen werden, und sie sind daher weniger gesichert. Es ist daher oft erwünscht, empfindliche Informationen auf den Mobilgeräten zu schützen, um Unberechtigte am Zugriff auf solche Informationen auf verloren gegangenen oder gestohlenen Benutzergeräten zu hindern.
Eine verbreitete Sicherheitsmaßnahme für Mobilgeräte, die über Kommunikationsfunktionen verfügen, wie z. B. Drahtlos-Mobil-Kommunikationsgeräte, besteht darin sicherzustellen, dass empfindliche Informationen sicher auf derartige Mobilgeräte übertragen werden. Auch wenn die Informationsübertragung sicher ist, schützen diese Maßnahmen die Informationen lediglich während der Übertragung, aber nicht nachdem die Informationen von einem Mobilgerät empfangen wurden.
Gemäß einem anderen bekannten Sicherheitsschema werden die empfangenen Daten verschlüsselt, wenn oder bevor sie in einem Speicher gespeichert werden. Die Entschlüsselung der verschlüsselten gespeicherten Informationen setzt den Zugang zu einem Verschlüsselungsschlüssel voraus. Die Verschlüsselung mit symmetrischem Schlüssel, bei der ein einzelner Schlüssel sowohl für die Verschlüsselung als auch für die Entschlüsselung verwendet wird, ist allgemein für Mobilgeräte mit eingeschränkten Prozessorressourcen bevorzugt, weil die Abläufe bei der Verschlüsselung mit symmetrischem Schlüssel schneller und weniger prozessorintensiv sind als bei anderen Verschlüsselungsschemas. Der Zugang auf diesen einzelnen Schlüssel muss beispielsweise mithilfe eines Passwortschutzes kontrolliert werden, sodass es einem unberechtigten Benutzer nicht möglich ist, einfach den Schlüssel aus dem Speicher eines verloren gegangenen oder gestohlenen Geräts auszulesen und anschließend den gesamten verschlüsselten Inhalt zu entschlüsseln, der auf dem Mobilgerät gespeichert ist. Allerdings kann das zu Situationen führen, in denen der Schlüssel nicht zugänglich ist, wenn Informationen in einem Mobilgerät empfangen werden.
Ein System zum Schutz von Daten in einem Kommunikationsgerät mit einem ersten Betriebszustand und einem zweiten Betriebszustand umfasst einen Schlüsselspeicher, der zum Speichern einer Vielzahl von Verschlüsselungsschlüsseln konfiguriert ist, einen Speicher, der zum Speichern von Daten konfiguriert ist, und ein Datenschutzsystem, das konfiguriert ist zum Empfangen von Daten, zum Ermitteln, ob das Kommunikationsgerät sich im ersten Betriebszustand oder im zweiten Betriebszustand befindet, zum Verschlüsseln der empfangenen Daten mithilfe eines ersten aus der Vielzahl von Verschlüsselungsschlüsseln, wenn sich das Kommunikationsgerät in dem ersten Betriebszustand befindet, oder mithilfe eines zweiten aus der Vielzahl von Verschlüsselungsschlüsseln, wenn sich das Kommunikationsgerät in dem zweiten Betriebszustand befindet, und zum Speichern der verschlüsselten empfangenen Daten in dem Speicher.
Ein Verfahren zum Schutz von Daten in einem Kommunikationsgerät umfasst die folgenden Schritte: Speichern eines ersten geschützten Verschlüsselungsschlüssels und eines zweiten Verschlüsselungsschlüssels im Kommunikationsgerät, Ermitteln, ob der erste geschützte Verschlüsselungsschlüssel zugänglich ist, Verschlüsseln der empfangenen Daten mithilfe des ersten geschützten Verschlüsselungsschlüssels, wenn der erste geschützte Verschlüsselungsschlüssel zugänglich ist, Verschlüsseln der empfangenen Daten mithilfe des zweiten Verschlüsselungsschlüssels, wenn der erste geschützte Verschlüsselungsschlüssel nicht zugänglich ist, und Speichern der verschlüsselten empfangenen Daten im Speicher im Kommunikationsgerät.
Weitere Merkmale von Systemen und Verfahren zum Schutz von Daten werden in der nachstehenden detaillierten Beschreibung beschrieben oder werden aus dieser ersichtlich.
BESCHREIBUNG DER ZEICHNUNGEN
1 ist ein Blockdiagramm zur Darstellung eines Kommunikationssystems, in dem Mobilgeräte verwendet werden können.
2 ist ein Blockdiagramm eines Mobilgeräts, in dem ein System und ein Verfahren zum Schutz von Daten implementiert sind.
3 ist ein Flussdiagramm zur Veranschaulichung eines Verfahrens zum Aktivieren des Schutzes von Daten.
4 ist ein Flussdiagramm zur Veranschaulichung eines Verfahrens zum Schutz von Daten, die in einem Mobilgerät empfangen wurden.
5A ist ein Blockdiagramm eines Datenformats.
5B ist ein Blockdiagramm eines alternativen Datenformats.
6 ist ein Flussdiagramm zur Darstellung eines Verfahrens zum Zugriff auf geschützte Daten.
7 bis 11 sind Screenshots eines Displays eines Mobilgeräts, in dem ein System und ein Verfahren zum Schutz von Daten implementiert sind.
12 ist ein Blockdiagramm eines Drahtlos-Mobil-Kommunikationsgeräts.
BESCHREIBUNG BEVORZUGTER AUSFÜHRUNGSFORMEN
1 ist ein Blockdiagramm zur Darstellung eines Kommunikationssystems, in dem Mobilgeräte verwendet werden können. Das Kommunikationssystem 10 umfasst ein Wide Area Network (WAN) 12, das mit einem Computersystem 14, einem Drahtlos-Netzwerk-Gateway 16 und einem unternehmenseigenen Local Area Network (LAN) 18 verbunden ist. Das Drahtlos-Netzwerk-Gateway 16 ist auch mit einem Drahtlos-Kommunikationsnetzwerk 20 verbunden, in dem ein Drahtlos-Mobil-Kommunikationsgerät, das Mobilgerät 22, für den Betrieb konfiguriert ist.
Das Computersystem 14 kann ein Desktop- oder ein Laptop-PC sein, der zur Kommunikation mit dem WAN 12 konfiguriert ist, beispielsweise mit dem Internet. PCs wie beispielsweise das Computersystem 14 greifen normalerweise über einen Internet-Diensteanbieter (Internet Service Provider – ISP), einen Anwendungsdiensteanbieter (Application Service Provider – ASP) oder dergleichen auf das Internet zu.
Das unternehmenseigene LAN 18 ist ein Beispiel einer typischen Arbeitsumgebung, in dem mehrere Computer 28 in einem Netzwerk miteinander verbunden sind. Ein solches Netzwerk befindet sich oft hinter einer Sicherheits-Firewall 24. Innerhalb des unternehmenseigenen LANs 30 agiert ein Datenserver 26, der auf einem Computer hinter der Firewall 24 betrieben wird, als primäre Schnittstelle für das Unternehmen zum Austausch von Daten sowohl innerhalb des LANs 18 als auch mit anderen externen Systemen und Geräten über das WAN 12. Der Datenserver 26 kann beispielsweise ein Nachrichtenübermittlungsserver wie ein Microsoft^TM Exchange Server oder ein Lotus Domino^TM Server sein. Diese Server bieten auch weitere Funktionen wie z. B. dynamische Datenbankspeicherung für Daten wie Kalender, Vorhabenlisten, Aufgabenlisten, E-Mails und Dokumentationen. Obwohl im LAN 18 nur ein Datenserver 26 gezeigt wird, wird der Fachmann auf dem Gebiet der Technik erkennen, dass ein LAN mehr als einen Server umfassen kann, einschließlich anderer Servertypen, welche Ressourcen unterstützen, die von den in das Netzwerk eingebundenen Computersystemen 28 gemeinsam verwendet werden.
Der Datenserver 26 stellt Datenkommunikationsfunktionen an die in das Netzwerk eingebundenen und mit dem LAN 18 verbundenen Computersysteme 28 bereit. Ein typisches LAN 18 enthält mehrere Computersysteme 28, von denen jedes einen geeigneten Client für die Kommunikation mit dem Datenserver 26 implementiert. Im obigen Beispiel der elektronischen Nachrichtenübermittlung werden innerhalb des LANs 18 Nachrichten vom Datenserver 26 empfangen, auf die entsprechenden Mailboxen für Benutzerkonten verteilt, die in der empfangenen Nachricht adressiert sind, und dann greift ein Benutzer auf die Nachrichten zu und verwendet dazu einen Nachrichtenübermittlungs-Client, der auf einem Computersystem 28 ausgeführt wird. Der Austausch anderer Datentypen als elektronische Nachrichten wird in gleicher Weise unter Verwendung von Clients ermöglicht, die mit dem Datenserver 26 kompatibel sind. Mehrzweck-Clients wie beispielsweise Lotus Notes können sowohl elektronische Nachrichten als auch andere Typen von Dateien und Daten handhaben.
Das Drahtlos-Gateway 16 stellt eine Schnittstelle zu einem Drahtlos-Netzwerk 20 bereit, über die Daten – einschließlich Daten, die geschützt werden sollen – mit einem Mobilgerät 22 ausgetauscht werden können. Beim Mobilgerät 22 kann es sich beispielsweise um ein Datenkommunikationsgerät, ein Doppelmodus-Kommunikationsgerät wie viele der modernen Mobiltelefone, die sowohl über Daten- als auch über Sprachkommunikationsfunktionalität verfügen, ein Mehrfachmodus-Gerät, das für Sprach-, Daten- und andere Kommunikationstypen geeignet ist, ein Personal Digital Assistant (PDA) mit Drahtlos-Kommunikationsfunktionen oder ein Drahtlos-Modem handeln, das in Verbindung mit einem Laptop- oder Desktop-Computersystem oder einem anderen Gerät arbeitet. Ein exemplarisches Mobilgerät wird im Folgenden detailliert beschrieben.
Vom Drahtlos-Netzwerk-Gateway 16 werden solche Funktionen wie die Adressierung des Mobilgeräts 22, das Kodieren oder anderweitige Transformieren von Nachrichten für die drahtlose Übertragung oder andere notwendige Schnittstellenfunktionen übernommen. Wenn das Drahtlos-Netzwerk-Gateway 16 so konfiguriert ist, dass es mit mehreren Drahtlos-Netzwerken 20 zusammenarbeitet, ermittelt es auch das wahrscheinlichste Netzwerk zur Lokalisierung eines bestimmten Mobilgeräts 22 und übernimmt wenn möglich auch die Nachverfolgung der Mobilgeräte, wenn Benutzer von einem Land in ein anderes Land oder von einem Netzwerk in ein anderes Netzwerk wechseln (das so genannte Roaming). Obwohl in 1 nur ein einzelnes Drahtlos- Netzwerk-Gateway 16 gezeigt wird, kann das Mobilgerät 22 so konfiguriert sein, dass es mit mehreren Gateways kommuniziert, zum Beispiel mit einem Gateway des Unternehmensnetzwerks und mit einem WAP-Gateway.
Jedes Computersystem mit Zugriff auf das WAN 12 kann über das Drahtlos-Netzwerk-Gateway 16 potenziell Daten mit dem Mobilgerät 22 austauschen, sofern das Mobilgerät 22 für eine derartige Kommunikation aktiviert ist. Alternativ können auch private Drahtlos-Netzwerk-Gateways wie drahtlose VPN-Router (Virtual Private Network) implementiert werden, um eine private Schnittstelle zu einem Drahtlos-Netzwerk bereitzustellen. So kann beispielsweise ein im LAN 18 implementiertes Drahtlos-VPN eine private Schnittstelle vom LAN 18 zu einem oder mehreren Mobilgeräten wie dem Gerät 22 über das Drahtlos-Netzwerk 20 bereitstellen, ohne dass dazu das Drahtlos-Netzwerk-Gateway 16 erforderlich ist. Eine solche private Schnittstelle zu einem Mobilgerät 22 über das Drahtlos-Netzwerk-Gateway 16 und/oder das Drahtlos-Netzwerk 20 können auch effektiv auf Entitäten außerhalb des LANs 18 erweitert werden, indem ein Datenweiterleitungs- oder -umleitungssystem bereitgestellt wird, das in Verbindung mit dem Datenserver 26 betrieben wird.
Ein Drahtlos-Netzwerk 20 liefert die Daten an die und von den Kommunikationsgeräten wie dem Mobilgerät 22 normalerweise per Funkübertragung zwischen Basisstationen und Geräten. Das Drahtlos-Netzwerk 20 kann beispielsweise ein datenzentrisches Drahtlos-Netzwerk, ein sprachzentrisches Drahtlos-Netzwerk oder ein Doppelmodus-Netzwerk sein, das sowohl Sprach- als auch Datenkommunikation über dieselbe Infrastruktur unterstützen kann. Zu den kürzlich entwickelten Sprach- und Datennetzwerken zählen das CDMA-Netz (Code Division Multiple Access), das GSM-Netz (Groupe Special Mobile bzw. Global System for Mobile Communications) und das GPRS-Netz (General Packet Radio Service) sowie Netze der dritten Generation (3G) wie EDGE (Enhanced Data rates for Global Evolution) und UMTS (Universal Mobile Telecommunications Systems), die gegenwärtig entwickelt werden. Zu den älteren datenzentrischen Netzwerken zählen unter anderem das Mobitex^TM Radio Network („Mobitex") und das DataTAC^TM Radio Network („DataTAC"), und zu den bekannten sprachzentrischen Datennetzwerken zählen PCS-Netze (Personal Communications Systems) wie die GSM- und TDMA-Systeme (Time Division Multiple Access), die schon seit einigen Jahren in Nordamerika und weltweit verfügbar sind.
Im System 10 kann ein Unternehmen, das der Eigentümer des unternehmenseigenen LANs 18 ist, einem Mitarbeiter ein Mobilgerät 22 zur Verfügung stellen und ihm den Zugriff auf das unternehmenseigene LAN 18 ermöglichen. Damit kann der Zugriff auf Unternehmensdaten erfolgen, die im Mobilgerät 22 gespeichert werden können. Wenn der Benutzer des Mobilgeräts 22 über ein Computersystem 28 Zugriff auf das LAN 18 hat, mit dem das Mobilgerät 22 ebenfalls kommunizieren kann, stehen noch weitere Wege zum Zugriff auf und zum Speichern von Unternehmensdaten auf dem Mobilgerät 22 zur Verfügung. Obwohl derartige Daten zumeist während der Übertragung auf das Mobilgerät 22 durch gesicherte Kommunikationstechniken geschützt sind, schützen diese Techniken die Daten nicht mehr, sobald diese im Mobilgerät 22 empfangen und gespeichert wurden.
Wie oben beschrieben wurde, bietet das Verschlüsseln der Daten, während sie oder bevor sie im Speicher des Mobilgeräts 22 gespeichert werden, ein gewisses Maß an Sicherheit. Um Verzögerungen beim Datenzugriff und die Prozessorbelastung in Folge der Datenentschlüsselung zu reduzieren, wird die Verschlüsselung mit symmetrischem Schlüssel bevorzugt. Allerdings können die Sicherheitsmaßnahmen, die zum Schutz des symmetrischen Schlüssels implementiert werden, dazu führen, dass der Schlüssel unzugänglich ist, wenn Daten empfangen werden. Wenn das Mobilgerät 22 beispielsweise einen Passwortschutz implementiert, kann der zur Datenverschlüsselung verwendete symmetrische Schlüssel erst dann zugänglich sein, wenn das Mobilgerät 22 durch die richtige Eingabe eines Sicherheitspassworts oder einer Passwortgruppe entsperrt wurde. In diesem Beispiel ist der symmetrische Schlüssel nicht zugänglich, wenn das Mobilgerät 22 im gesperrten bzw. blockierten Zustand Daten empfängt und die Daten nicht angeforderte Daten sind, die mit dem Pushing-Verfahren zum Mobilgerät 22 übertragen werden, und die Daten können dann nicht zur Speicherung verschlüsselt werden.
Die Systeme und Verfahren gemäß den Aspekten der vorliegenden Erfindung ermöglichen den Schutz der empfangenen Daten, wenn sich ein Mobilgerät in einem aus einer Vielzahl von Zuständen befindet.
2 ist ein Blockdiagramm eines Mobilgeräts, in dem ein System und ein Verfahren zum Schutz von Daten implementiert sind. Der Fachmann auf dem Gebiet der Technik dürfte erkennen, dass in 2 nur die Komponenten gezeigt werden, die an einem Datenschutzsystem beteiligt sind. Ein Mobilgerät enthält typischerweise zusätzlich zu den in 2 gezeigten Komponenten weitere Komponenten.
Das Mobilgerät 30 umfasst einen Speicher 32, ein Datenschutzsystem 49, einen Prozessor 50, eine Benutzerschnittstelle (User Interface – UI) 52, einen Drahtlos-Sende-Empfänger 54 und eine Schnittstelle bzw. einen Steckverbinder 56. Der Speicher 32 enthält vorzugsweise einen Speicherbereich 34 für Software-Anwendungen, einen Schlüsselspeicher 42 sowie eine Vielzahl von Datenspeichern 36-40 und 44-48.
Beim Speicher 32 handelt es sich um – oder zumindest enthält er – einen beschreibbaren Speicher wie einen RAM, in den andere Gerätekomponenten Daten schreiben können. Der Software-Anwendungsspeicher 34 enthält Software-Anwendungen, die auf dem Mobilgerät 30 installiert wurden, beispielsweise eine Anwendung zur elektronischen Nachrichtenübermittlung, eine Anwendung zur Verwaltung persönlicher Informationen (Personal Information Management – PIM), Spiele sowie andere Anwendungen. Der Anwendungsdatenspeicher 36 speichert Informationen im Zusammenhang mit den Software-Anwendungen auf dem Mobilgerät 30, wozu nicht nur Daten gehören wie zwischengespeicherte Webseiten für eine Browser-Anwendung oder Dateien, die von Software-Anwendungen verwendet werden, sondern auch Konfigurationsdaten für Software-Anwendungen. Elektronische Nachrichten wie empfangene und/oder gesendete E-Mail-Nachrichten sind im Nachrichtenspeicher 38 gespeichert. Daten wie Planungsinformationen, Termine und Erinnerungen sind im Kalenderspeicher 40 gespeichert. Der Aufgabenspeicher 44 wird zum Speichern von Aufgaben verwendet, die sich der Benutzer vorgenommen hat. Vom Benutzer eingegebene Notizen und Memos werden im Memospeicher 46 gespeichert. Der Texteingabespeicher 48 speichert eine Wortliste oder ein Wörterbuch, das beispielsweise das automatische Vorschlagen von Wörtern und die automatische Fehlerkorrektur ermöglicht, wenn Text in das Mobilgerät 30 eingegeben wird. Obwohl diese Speicher hier als getrennte Datenspeicher gezeigt sind, dürfte der Fachmann auf dem Gebiet der Technik erkennen, dass einige oder alle dieser Speicher auch in einem einzigen Datenspeicher im Speicher 32 vereinigt sein können. Es sollte auch erkennbar sein, dass ein Mobilgerät noch weitere, weniger oder andere Datenspeicher als die in 2 gezeigten Datenspeicher enthalten kann.
Der Schlüsselspeicher 42 speichert Verschlüsselungsschlüssel, die zur Unterstützung des Datenschutzes auf dem Mobilgerät 30 verwendet werden, und befindet sich vorzugsweise in einer sicheren Speicherkomponente oder einem gesicherten Teil des Speichers 32, auf die bzw. auf den nur kontrolliert zugegriffen werden kann. Beispielsweise sollte ein Benutzer oder eine Anwendung nicht in der Lage sein, einen Datenschutzschlüssel im Schlüsselspeicher 42 zu löschen oder zu verändern. In einer Ausführungsform ist der Zugriff auf den Schlüsselspeicher 42 auf das Datenschutzsystem 49 eingeschränkt. Das Datenschutzsystem 49 verschlüsselt die empfangenen Daten und entschlüsselt die verschlüsselten Daten, die im Speicher 32 gespeichert sind, wie das weiter unten detailliert beschrieben wird.
Der Prozessor 50 ist mit dem Drahtlos-Sende-Empfänger 54 verbunden und ermöglicht damit dem Mobilgerät 30 die Kommunikation mit einem Drahtlos-Netzwerk. Die Schnittstelle bzw. der Steckverbinder 56 bietet einen alternativen Kommunikationsweg zu einem PC oder einem anderen Gerät, das über eine passende Schnittstelle bzw. einen passenden Steckverbinder verfügt. Bei der Schnittstelle bzw. beim Steckverbinder 56 kann es sich um eine Vielzahl von Datenübertragungskomponenten handeln, beispielsweise um eine optische Datenübertragungsschnittstelle wie z. B. einen Infrarotanschluss (Infrared Data Association – IrDA), um eine andere drahtlose Nahbereichskommunikationsschnittstelle oder um eine kabelgebundene Schnittstelle wie z. B. einen seriellen Anschluss, einen USB-Anschluss (Universal Serial Bus) oder um einen SD-Kartensteckplatz (Secure Digital). Zu den bekannten drahtlosen Nahbereichskommunikationsschnittstellen zählen beispielsweise Bluetooth^TM-Module oder 802.11-Module. Dem Fachmann auf dem Gebiet der Technik wird bekannt sein, dass „Bluetooth" und „802.11" hier für Gruppen von Spezifikationen stehen, die vom Institute of Electrical and Electronics Engineering (IEEE) stammen und im Zusammenhang mit drahtlosen LANs (Wireless LAN – W-LAN) bzw. drahtlosen persönlichen Netzwerken (Wireless Personal Area Network – P-LAN) stehen. Daher kann es sich bei einer über die Schnittstelle bzw. über den Steckverbinder 56 hergestellte Kommunikationsverbindung um eine Drahtlos-Verbindung oder um eine physische kabelgebundene Verbindung handeln.
Die UI 52 enthält solche UI-Komponenten wie eine Tastatur oder ein Tastenfeld, ein Display oder andere Komponenten, mit denen Eingaben vom Benutzer oder Ausgaben an den Benutzer des Mobilgeräts 30 ermöglicht werden. Obwohl in 2 als ein einziger Block dargestellt, sollte der Fachmann auf dem Gebiet der Technik erkennen, dass ein Mobilgerät typischerweise mehr als eine UI enthält, und die UI 52 soll daher stellvertretend für eine oder mehrere Benutzerschnittstellen stehen.
Die Daten in einigen oder in allen der Datenspeicher in einem Mobilgerät können wie hier beschrieben geschützt werden. In den meisten Implementierungen ist es unwahrscheinlich, dass die auf einem Mobilgerät installierte Software-Anwendungen geschützt sind, obwohl die anderen Datenspeicher 36-38 und 44-48 üblicherweise Daten speichern, die ein Benutzer (bei persönlichen Daten) oder ein Unternehmer (bei Unternehmensdaten) schützen möchte.
Im Mobilgerät 30 wird der Zugriff auf den Speicher 32 durch das Datenschutzsystem 49 kontrolliert, das die empfangenen Daten verschlüsselt und die verschlüsselten Daten im Speicher 32 speichert und die gespeicherten Daten für andere Mobilgerätkomponenten entschlüsselt. Alle anderen Komponenten des Mobilgeräts 30 sind mit dem Datenschutzsystem 49 verbunden, und die Speicherlese- und -schreiboperationen durch diese anderen Komponenten werden über das Datenschutzsystem 49 durchgeführt. Die vom Datenschutzsystem 49 empfangenen Daten, also die Daten vom Drahtlos-Sende-Empfänger 54 oder von der UI 52 über den Prozessor 50, von einer durch den Prozessor 50 ausgeführten Software-Anwendung oder von der Schnittstelle bzw. dem Steckverbinder 56, werden mithilfe eines im Schlüsselspeicher 42 gespeicherten Schlüssels verschlüsselt. Wenn eine Anforderung für verschlüsselte Daten durch das Datenschutzsystem 49 von einer Komponente oder einer Software-Anwendung auf dem Mobilgerät 30 empfangen wird, entschlüsselt das Datenschutzsystem 49 in ähnlicher Weise die Daten und übergibt die entschlüsselten Daten an die anfordernde Komponente. Die Implementierung des Datenschutzsystems 49 erfolgt entweder als Software-Modul oder als Dienstprogramm, das aktiviert oder deaktiviert werden kann, wie das weiter unten detailliert beschrieben wird, oder als ein Hardware-Modul, das so konfiguriert ist, dass es den Speicher 32, bestimmte Teile des Speichers 32 oder bestimmte Datenspeicher oder Datentypen verwaltet.
Es sollte erkannt werden, dass die in 2 gezeigte Anordnung nur für veranschaulichende Zwecke vorgesehen ist und dass die Erfindung in keiner Weise auf eine solche Anordnung eingeschränkt ist. Beispielsweise haben in einer alternativen Ausführungsform der Prozessor 50, die Schnittstelle bzw. der Steckverbinder 56 und andere Gerätesysteme Zugriff auf den Speicher 32 und interagieren mit einem Datenschutzsystem, wenn aus dem Speicher 32 abgerufene verschlüsselte Daten entschlüsselt werden sollen und wenn empfangene Daten verschlüsselt werden sollen, bevor sie im Speicher 32 gespeichert werden. In diesem Fall übergeben die Mobilgerätsysteme und -komponenten die Daten bei Bedarf an das Datenschutzsystem zur Verschlüsselung und Entschlüsselung, greifen jedoch direkt auf den Speicher 32 zu. Obwohl die in 2 gezeigte Anordnung eine strengere Kontrolle des Datenschutzes bietet, indem der Zugriff auf den Speicher 32 durch das Datenschutzsystem 49 kontrolliert wird, vereinfacht diese alternative Ausführungsform die Unterstützung nicht-geschützter Datenspeicher, da die nicht-geschützten Daten direkt aus dem Speicher 32 abgerufen werden, ohne dass dabei das Datenschutzsystem einbezogen wird.
Beim Betrieb greift das Datenschutzsystem 49 auf die Verschlüsselungsschlüssel im Schlüsselspeicher 42 zu. Gemäß einem Aspekt der Erfindung sind im Schlüsselspeicher mehrere Verschlüsselungsschlüssel gespeichert. Wie oben beschrieben wird die symmetrische Verschlüsselung im Allgemeinen für die unter dem Gesichtspunkt der Prozessorleistung eingeschränkten Mobilgeräte bevorzugt, sodass der symmetrische Schlüssel, der sowohl für das Verschlüsseln als auch für das Entschlüsseln der geschützten Daten verwendet wird, im Schlüsselspeicher 42 gespeichert wird, wenn der Datenschutz aktiviert wird. Obwohl ein Sicherheitspasswort oder eine Sicherheitspasswortgruppe das Mobilgerät 30 vor unberechtigter Verwendung schützt, werden allgemein weitere Maßnahmen bevorzugt, um die symmetrischen Schlüssel, und damit die verschlüsselten Daten, vor so genannten Hardware-Angriffen zu schützen. So schützt der Passwortschutz beispielsweise nicht den Speicherinhalt, wenn physische Komponenten, die den Speicher 32 bilden, aus dem Mobilgerät 30 entnommen werden, um die darin gespeicherten Daten direkt auszulesen. Der symmetrische Schlüssel wird daher vorzugsweise in einer verschlüsselten Form im Schlüsselspeicher 42 gespeichert. Die Entschlüsselung des symmetrischen Schlüssels erfordert die richtige Eingabe eines Benutzerpassworts.
Sobald er entschlüsselt ist, wird der symmetrische Schlüssel typischerweise im Schlüsselspeicher 42 oder einem anderen Speicherbereich oder in einem Cache-Speicher gespeichert, sodass er nicht jedes Mal entschlüsselt werden muss, wenn er benötigt wird. Allerdings wird der entschlüsselte symmetrische Schlüssel vorzugsweise gelöscht, wenn das Mobilgerät 30 gesperrt wird, was als Reaktion auf einen Benutzerbefehl erfolgen kann oder automatisch nach Ablauf eines bestimmten Sicherheits-Timeouts oder wenn das Mobilgerät 30 beispielsweise in einer Tragetasche oder in einer Gürtelhalterung aufbewahrt wird. Wenn das Mobilgerät 30 das nächste Mal mit einem richtigen Passwort entsperrt wird, wird der verschlüsselte symmetrische Schlüssel erneut entschlüsselt.
Obwohl das oben beschriebene Schlüsselverschlüsselungsschema ein hohes Maß an Schutz für einen symmetrischen Schlüssel und damit für die Daten bietet, die mit dem symmetrischen Schlüssel verschlüsselt werden, ist keine entschlüsselte Version des symmetrischen Schlüssels zugänglich, wenn das Mobilgerät 30 blockiert bzw. gesperrt ist. Damit können keinerlei Daten mithilfe des symmetrischen Schlüssels verschlüsselt werden, die empfangen werden, wenn das Mobilgerät 30 gesperrt ist. Verbleibt der entschlüsselte symmetrische Schlüssel im Speicher, nachdem das Mobilgerät 30 gesperrt wird, sodass die Daten verschlüsselt werden können, wenn das Mobilgerät 30 gesperrt ist, sind die im Speicher 32 gespeicherten Daten Hardware-Angriffen ausgeliefert. Gemäß einem Aspekt der Erfindung werden die im Speicher 32 gespeicherten entschlüsselten Daten gelöscht, wenn das Mobilgerät 30 in den gesperrten bzw. blockierten Zustand übergeht. Alternativ kann der Benutzer jedes Mal zur Eingabe des Passworts aufgefordert werden, wenn Daten empfangen werden. Sofern der Benutzer nicht sofort das Passwort eingibt, müssen die empfangenen Daten jedoch unverschlüsselt gespeichert werden, zumindest bis der Benutzer das Mobilgerät 30 das nächste Mal entsperrt, oder sie werden einfach nicht im Mobilgerät 30 gespeichert. Im letzten Fall gehen die empfangenen Daten im Mobilgerät 30 verloren und müssen erneut zum Gerät übertragen werden.
Gemäß einem Aspekt der Erfindung speichert der Schlüsselspeicher 42 auch ein Paar aus einem öffentlichen Schlüssel und aus einem privaten Schlüssel. Ein öffentlicher Schlüssel ist nicht geheim und wird deshalb unverschlüsselt gespeichert, selbst wenn das Mobilgerät 30 gesperrt ist. Die mit dem öffentlichen Schlüssel verschlüsselten Daten können nur mit dem privaten Schlüssel entschlüsselt werden, der in einer ähnlichen Weise wie ein symmetrischer Schlüssel geschützt werden kann. Damit wird der private Schlüssel verwendet, um die Daten zu verschlüsseln, die empfangen werden, wenn das Mobilgerät 30 gesperrt ist.
Deshalb wird ein erster Verschlüsselungsschlüssel, der symmetrische Schlüssel, verwendet, um die Daten zu verschlüsseln, die empfangen werden, wenn das Mobilgerät 30 sich in einem ersten, nicht blockierten bzw. entsperrten Betriebszustand befindet, und ein zweiter Verschlüsselungsschlüssel, der öffentliche Schlüssel, wird zur Verschlüsselung der Daten verwendet, die empfangen werden, wenn sich das Mobilgerät 30 in einem zweiten, gesperrten bzw. blockierten Betriebszustand befindet. Die Vorteile der Verschlüsselung mit einem symmetrischen Schlüssel werden dabei für alle Daten erzielt, die empfangen werden, wenn das Mobilgerät 30 blockiert bzw. gesperrt ist. Die Entschlüsselung solcher Daten erfolgt im Vergleich zu anderen Verschlüsselungsschemas schneller und ist weniger prozessorintensiv. Andererseits wird das oben genannte Defizit der Verwendung eines geschützten symmetrischen Schlüssels vermieden, indem ein öffentlicher Schlüssel für die Datenverschlüsselung gespeichert wird, wenn das Mobilgerät 30 gesperrt wird. Die mit dem öffentlichen Schlüssel verschlüsselten Daten werden mit dem entsprechenden privaten Schlüssel entschlüsselt. Obwohl die Verschlüsselung mit einem öffentlichen Schlüssel allgemein langsamer ist als die Verschlüsselung mit einem symmetrischen Schlüssel, werden Verzögerungen beim Datenzugriff im Zusammenhang mit der Datenentschlüsselung vorzugsweise reduziert, indem ein Verschlüsselungsschema für öffentliche Schlüssel mit schnellen Entschlüsselungsoperationen ausgewählt wird. Zum Beispiel ermöglicht die ECC-Methode (Elliptic Curve Cryptography) eine erheblich schnellere Entschlüsselung als die RSA-Methoden (Rivest-Shamir-Adleman).
Wie oben kurz beschrieben wurde, kann die Implementierung des Datenschutzsystems 49 als Software-Modul oder als Dienstprogramm erfolgen, das aktiviert wird, wenn Daten geschützt werden sollen. 3 ist ein Flussdiagramm zur Veranschaulichung eines Verfahrens zum Aktivieren des Datenschutzes. In Schritt 60 wird von einem Mobilgerät eine Operation zum Aktivieren des Datenschutzes ausgeführt. Diese Operation wird vorzugsweise durch einen Benutzer des Mobil geräts ausgelöst, indem beispielsweise mithilfe einer Tastatur, eines Tastenfelds, einer Maus, eines Einstellrads oder eines anderen Eingabegeräts ein Befehl eingegeben oder ein Menüelement ausgewählt wird. Es sollte allerdings auch erkannt werden, dass ein Mobilgerät vorzugsweise so konfigurierbar ist, dass ein Benutzer den Datenschutz aktivieren muss. Wenn beispielsweise ein Unternehmer einem Mitarbeiter ein Mobilgerät zur Verfügung stellt, er aber gleichzeitig sicherstellen möchte, dass alle Unternehmensdaten auf dem Mobilgerät geschützt werden, werden ein Software-Modul oder ein Dienstprogramm zur Konfigurationskontrolle sowie Konfigurationskontrollinformationen, die festlegen, dass der Datenschutz aktiviert werden muss, in das Mobilgerät integriert, was entweder erfolgen kann, bevor das Mobilgerät dem Benutzer zur Verfügung gestellt wird, oder wenn das Gerät durch den Benutzer zur erstmaligen Benutzung konfiguriert wird. Das Konfigurationskontrollmodul löst dann automatisch die Operation von Schritt 60 aus oder schränkt einige oder alle anderen Mobilgerätoperationen ein, bis der Datenschutz aktiviert wurde.
Um einen zur Datenverschlüsselung verwendeten symmetrischen Schlüssel und einen zur Datenentschlüsselung verwendeten privaten Schlüssel zu schützen, sollte auch der Passwortschutz aktiviert werden, wenn der Datenschutz aktiviert wird oder davor. In Schritt 62 wird ermittelt, ob der Passwortschutz bereits aktiviert wurde. Wenn der Passwortschutz noch nicht aktiviert wurde, wird der Benutzer in Schritt 64 aufgefordert, den Passwortschutz zu aktivieren und das Passwort festzulegen. Dann werden in Schritt 66 Datenschutzschlüssel erzeugt und in einem Schlüsselspeicher gespeichert, wenn der Passwortschutz bereits aktiviert war oder nachdem der Benutzer den Passwortschutz in Schritt 64 aktiviert hat.
Die in Schritt 66 erzeugten Datenschutzschlüssel schließen einen symmetrischen Schlüssel ein, der einerseits zum Verschlüsseln der Daten verwendet wird, die empfangen werden, wenn sich das Gerät in einem nicht blockierten Zustand befindet, bevor die Daten im Speicher des Mobilgeräts gespeichert werden, und der andererseits auch zum Entschlüsseln dieser verschlüsselten Daten verwendet wird, wenn diese aus dem Speicher abgerufen werden. Wie oben beschrieben wurde, ist dieser symmetrische Schlüssel selbst mithilfe des vom Benutzer eingerichteten Passworts verschlüsselt. In Schritt 66 wird auch ein Paar aus einem öffentlichen Schlüssel und aus einem privaten Schlüssel erzeugt. Der öffentliche Schlüssel wird unverschlüsselt gespeichert, da er nicht geheim gehalten werden muss, und wird zum Verschlüsseln der Daten verwendet, die empfangen werden, wenn sich das Mobilgerät in einem blockierten Zustand befindet. Die mit dem öffentlichen Schlüssel verschlüsselten Daten können nur mit dem privaten Schlüssel entschlüsselt werden, sodass Gefährdungen des öffentlichen Schlüssels kein Sicherheitsrisiko darstellen. Allerdings wird der private Schlüssel wie auch der symmetrische Schlüssel vorzugsweise in verschlüsselter Form im Schlüsselspeicher gespeichert, indem beispielsweise der private Schlüssel mithilfe des Passworts verschlüsselt wird.
Alle Daten, die in einem Mobilgerät empfangen werden, nachdem der Datenschutz aktiviert wurde, werden verschlüsselt, bevor sie im Speicher gespeichert werden. 4 ist ein Flussdiagramm zur Veranschaulichung eines Verfahrens zum Schutz von Daten, die in einem Mobilgerät empfangen wurden.
In Schritt 72 werden die Daten im Mobilgerät empfangen. Bezug nehmend auf 2 ist das Mobilgerät 30 konfiguriert zum Empfangen von Daten über den Drahtlos-Sende-Empfänger 54 oder über die Schnittstelle bzw. den Steckverbinder 56 sowie für Benutzereingaben über die UI 52. Auch Software-Anwendungen erzeugen typischerweise Daten, die im Speicher 32 gespeichert werden müssen. Wenn andere Schnittstellen bereitgestellt werden wie beispielsweise ein Festplattenlaufwerk oder ein Speicherstift-Lesegerät, schließt der Schritt 72 auch Operationen zum Empfangen von Daten von solchen Schnittstellen ein.
Anschließend wird in Schritt 74 der aktuelle Betriebszustand des Mobilgeräts ermittelt. Wenn das Gerät sich im blockierten bzw. gesperrten Zustand befindet, wird der öffentliche Schlüssel abgerufen, und die empfangenen Daten werden in Schritt 78 mit dem öffentlichen Schlüssel verschlüsselt. Wenn das Mobilgerät nicht blockiert bzw. entsperrt ist, dann ist der symmetrische Schlüssel zugänglich. Der entschlüsselte symmetrische Schlüssel wird aus dem Schlüsselspeicher oder aus einem Zwischenspeicher abgerufen, wenn er bereits entschlüsselt wurde, als das Mobilgerät durch Eingabe des richtigen Passworts entsperrt wurde. Ansonsten wird der verschlüsselte symmetrische Schlüssel aus dem Schlüsselspeicher abgerufen, entschlüsselt und dann in Schritt 76 zum Verschlüsseln der empfangenen Daten verwendet.
Gemäß einem weiteren Aspekt der Erfindung wird in Schritt 80 ermittelt, ob die empfangenen Daten im Zusammenhang stehen mit vorhandenen Daten, die bereits im Mobilgerät gespeichert sind. In Schritt 82 werden die verschlüsselten empfangenen Daten im Speicher gespeichert, wenn sie nicht im Zusammenhang stehen mit vorhandenen Daten. Wenn die empfangenen Daten mit vorhandenen Daten im Zusammenhang stehen, werden die verschlüsselten empfangenen Daten in Schritt 84 an die vorhandenen Daten angehängt. Wenn beispielsweise ein Sender der empfangenen Daten oder ein Zwischensystem wie der Datenserver 26 oder das Drahtlos-Netzwerk-Gateway 16 aus 1 so konfiguriert ist, dass die Daten in Blöcken mit einer bestimmten Maximalgröße gesendet werden, dann wird ein großes Datenelement in getrennte Blöcke aufgeteilt, die zum Mobilgerät gesendet werden. In diesem Fall steht jeder empfangene Datenblock, der zu einem bestimmten Datenelement gehört, nachdem bereits ein erster Datenblock für dasselbe Datenelement empfangen wurde, im Zusammenhang mit allen zuvor empfangenen Datenblöcken für das Datenelement.
Der Fachmann auf dem Gebiet der Technik wird erkennen, dass – wenn ein Datenelement in Datenblöcke aufgeteilt ist – jeder Block Informationen enthält, die es einem Empfänger ermöglichen, das Datenelement wieder zusammenzusetzen. Diese Informationen liegen typischerweise in Form einer Sitzungskennung, einer Datenelement-Kennung, eines Dateinamens, einer Folgenummer oder einer anderen Kennung vor, die beim Empfänger verwendet wird, um die anderen Datenblöcke für das Datenelement zu identifizieren. Obwohl jeder Datenblock beim Empfang im Mobilgerät verschlüsselt wird, wird eine Datenelement-Kennung oder eine umgewandelte Form davon, beispielsweise ein Hash der Kennung, vorzugsweise unverschlüsselt im Mobilgerät gespeichert und in Schritt 80 verwendet, um zu ermitteln, ob die empfangenen Daten im Zusammenhang mit bereits vorhandenen Daten stehen.
Wenn ein Datenelement mehrere Datenblöcke einschließt, dann wird jeder Datenblock verschlüsselt und gespeichert, wenn er empfangen wird. Obwohl jeder Daten block einen Teil desselben Datenelements bildet, werden die Datenblöcke getrennt voneinander verschlüsselt, wozu ein Algorithmus und ein Schlüssel verwendet werden, der sich danach richtet, welchen Betriebszustand das Mobilgerät hat, wenn der Datenblock empfangen wird. Deshalb wird ein empfangenes, aus mehreren Datenblöcken bestehendes Datenelement in Form einer Reihe von unabhängig voneinander verschlüsselten Datenblöcken gespeichert. 5A ist ein Blockdiagramm eines Datenformats, das derartige Datenelemente unterstützt.
Das Datenelement 85 enthält einen Datenelement-Verweis 86 sowie die drei Datenelement-Teile 87, 88 und 89. Die Datenelement-Teile 87, 88 und 89 sind vorzugsweise in einer Byte-Matrix gespeichert, die durch den Datenelement-Verweis 86 referenziert wird. Der Datenelement-Verweis 86 enthält eine Datenelement-Kennung, wie zum Beispiel eine E-Mail-Nachrichten-Kennung oder eine Sitzungskennung sowie einen Speicherort der Byte-Matrix oder einen Zeiger zu der Byte-Matrix, in der die Datenelement-Teile 87, 88 und 89 gespeichert sind. Die Datenelement-Kennung unterstützt die Ermittlung in Schritt 80 von 4 und ermöglicht – in Verbindung mit dem Speicherort – das Abrufen der Datenelement-Teile 87, 88 und 89. Jedes Datenelement-Teil 87, 88 und 89 enthält einen Datenblock-Header 87A, 88A oder 89A sowie einen Datenblock 87B, 88B oder 89B. Die Datenblock-Header 87A, 88A oder 89A enthalten eine Länge und eine Schlüsselkennung entsprechend dem jeweiligen Datenblock 87B, 88B und 89B im Datenelement 85. Die Datenblocklänge in einem Datenblock-Header gibt die Länge oder alternativ dazu den Speicherort des einen Endes des entsprechenden Datenblocks oder einen Zeiger zu dem einen Ende des entsprechenden Datenblocks an, sodass jeder Datenblock ordnungsgemäß abgerufen werden kann. Die Schlüsselkennung gibt den Schlüssel, den Chiffrier-Algorithmus oder beides an, der zum Verschlüsseln eines Datenblocks verwendet wurde oder zum Entschlüsseln des Datenblocks benötigt wird. Die Datenblöcke 87B, 88B und 89B repräsentieren die empfangenen Datenblöcke, die ein einzelnes Datenelement bilden und verschlüsselt wurden.
Im in 5A gezeigten Beispiel wurde der Datenblock 1 empfangen, als das Gerät nicht blockiert war, und wurde daher mit dem symmetrischen Schlüssel verschlüsselt, wodurch der verschlüsselte Datenblock 87B erzeugt wurde. Die Länge des verschlüsselten Datenblocks 87B wird ermittelt, und diese Länge und eine „symmetrische" Schlüsselkennung werden dem verschlüsselten Datenblock 87B als Block-Header 87A hinzugefügt. Der Block-Header 87A und der verschlüsselte Datenblock 87B werden dann im Speicher gespeichert.
Ein Datenelement-Verweis wird vorzugsweise erstellt und gespeichert, wenn ein Datenelement oder der erste Datenblock eines aus mehreren Blöcken bestehenden Datenelements in einem Mobilgerät empfangen wird, sodass das Datenelement abgerufen werden kann und die danach empfangenen, im Zusammenhang stehenden Datenblöcke identifiziert und an die entsprechende Byte-Matrix angehängt werden können, die durch den Datenelement-Verweis referenziert wird. Damit wurde der Datenelement-Verweis 86 erstellt, wenn der Datenblock 1 empfangen wurde oder möglicherweise nachdem der Datenblock 1 verschlüsselt und im Mobilgerät gespeichert wurde, und enthält eine Kennung des Datenelements und einen Speicherort, der angibt, wo das Datenelement-Teil 87 gespeichert wurde oder gespeichert wird.
Der zweite Datenblock innerhalb des Datenelements, der Datenblock 2, wurde empfangen, als das Mobilgerät blockiert war, und wurde deshalb mit dem öffentlichen Schlüssel verschlüsselt. Der Block 2-Header 88A wird wie oben beschrieben erzeugt und dem verschlüsselten Datenblock 88B hinzugefügt, und das resultierende Datenelement-Teil 88 einschließlich des Block-Headers 88A und des verschlüsselten Datenblocks 88B werden an das Datenelement-Teil 87 in der Matrix angehängt, die durch den Datenelement-Verweis 86 referenziert wird. Der dritte Datenblock, der Datenblock 3, wurde wie der Datenblock 1 empfangen, als sich das Gerät im nicht blockierten Zustand befand, und wurde mit dem symmetrischen Schlüssel verschlüsselt. Das Datenteil 89, bestehend aus dem Block-Header 89A und dem verschlüsselten Datenblock 89B wird in gleicher Weise an das Datenelement-Teil 88 in der Matrix angehängt, die durch den Datenelement-Verweis 86 referenziert wird.
Auf diese Weise werden die nachfolgenden Datenblöcke eines Datenelements verschlüsselt, es wird ein Block-Header erzeugt und zum verschlüsselten Datenblock hinzugefügt, und der Block-Header und der verschlüsselte Datenblock werden an einen vorherigen verschlüsselten Datenblock angehängt. In einem bekannten Schema zum effektiven Hinzufügen neuer Daten zu einer vorhandenen Byte-Matrix wird eine neue Matrix definiert, der Inhalt einer vorhandenen Matrix wird in die neue Matrix kopiert, und die neuen Daten werden in die neue Matrix geschrieben. Der von der vorhandenen Matrix belegte Speicherplatz wird dann dereferenziert oder anderweitig wieder für die Speicherung anderer Daten freigegeben. Der Kopierprozess bei dieser Methode ist tendenziell langsam und speicherintensiv, da er ausreichend verfügbaren Speicherplatz für zwei Kopien der vorhandenen Datenmatrix benötigt. Das oben beschriebene Anhängeschema ist schneller und benötigt weniger Speicherplatz als diese bekannte Methode.
Wenn auf das Datenelement 85 zugegriffen werden soll, zum Beispiel wenn ein Benutzer das Datenelement zur Anzeige auswählt, wird die Datenmatrix, in der sich die Datenelement-Teile 87, 88 und 89 befinden, anhand des Speicherorts im Datenelement-Verweis 86 lokalisiert. Für jeden verschlüsselten Datenblock 87B, 88B und 89B wird das entsprechende Entschlüsselungsschema und die Länge für den verschlüsselten Datenblock aus der Schlüsselkennung und aus der Länge im entsprechenden Block-Header 87A, 88A und 89A ermittelt. Jeder der verschlüsselten Datenblöcke 87B, 88B und 89B wird aus der Byte-Matrix ausgelesen und entschlüsselt, und die entschlüsselten Datenblöcke werden zu einem einzigen entschlüsselten Datenelement kombiniert, das dem Datenelement entspricht, das zum Mobilgerät übertragen wurde.
Der Fachmann auf dem Gebiet der Technik wird erkennen, dass obwohl in 5A und in der obigen Beschreibung die Datenelement-Teile 87, 88 und 89 zwar so dargestellt sind, dass sie in einer Byte-Matrix gespeichert werden, die Datenelement-Teile nicht unbedingt in zusammenhängenden Speicherpositionen gespeichert sein müssen. Es werden typischerweise Speicherzeiger oder andere Kennungen eingesetzt, um die Blöcke logisch miteinander zu verknüpfen.
5B ist ein Blockdiagramm eines alternativen Datenformats. Das Datenelement 90 repräsentiert die logische Struktur eines Datenelements und enthält einen Datenelement-Header 92 und drei verschlüsselte Datenblöcke 94, 96 und 98. Der Header 92 enthält eine Datenelement-Kennung und solche Informationen wie Länge, Speicherort und Schlüsselkennung für jeden der Datenblöcke 94, 96 und 98 im Datenelement 90. Der Header 92 und die Datenblöcke 94, 96 und 98 sind vorzugs weise logisch miteinander verknüpft, müssen jedoch nicht unbedingt in zusammenhängenden Speicherpositionen gespeichert sein.
Wie im Beispiel, das oben unter Bezug auf 5A beschrieben wurde, wurden die Datenblöcke 1, 2 und 3 empfangen, als das Gerät blockiert, nicht blockiert bzw. blockiert war. Die Datenblöcke 1 und 3 wurden mit dem symmetrischen Schlüssel verschlüsselt, und der Datenblock 2 wurde mit dem öffentlichen Schlüssel verschlüsselt. Der Header 92 wurde vorzugsweise erstellt und gespeichert, als der erste Datenblock 94 empfangen, verschlüsselt und im Mobilgerät gespeichert wurde, sodass der erste Datenblock 94 ordnungsgemäß abgerufen und entschlüsselt werden kann und die nachfolgend empfangenen, im Zusammenhang stehenden Datenblöcke identifiziert werden können. Die Informationen für den zweiten und den dritten verschlüsselten Datenblock 96 und 98 wurden zum Header 92 hinzugefügt, als diese Datenblöcke empfangen wurden. Wenn die Blockierung des Mobilgeräts aufgehoben wird und auf das Datenelement 90 auf dem Mobilgerät zugegriffen wird, wird jeder Block anhand des Speicherorts und der Länge im Header 92 lokalisiert, aus der Schlüsselkennung im Header 92 wird das entsprechende Entschlüsselungsschema ermittelt, und dann wird jeder Datenblock abgerufen, entschlüsselt und kombiniert, um das Datenelement wieder zusammenzusetzen.
Wie oben beschrieben wurde und in 5A und 5B gezeigt wird, kann ein einzelnes Datenelement Datenblöcke enthalten, die im Mobilgerät empfangen wurden, als sich das Mobilgerät in unterschiedlichen Betriebszuständen befand. Es ist auch möglich, das sich das Mobilgerät im selben Betriebszustand befindet, wenn die Datenblöcke für dasselbe Datenelement empfangen werden. Wenn beispielsweise der Datenblock 2 empfangen wurde, als sich das Mobilgerät im nicht blockierten Zustand befand, wäre es auch mit dem symmetrischen Schlüssel verschlüsselt worden. Gemäß einem weiteren Aspekt der Erfindung wird vor der Verschlüsselung des empfangenen Datenblocks ermittelt, ob ein aktueller Betriebszustand des Mobilgeräts derselbe Betriebszustand ist wie der Betriebszustand, in dem sich das Mobilgerät befand, als der vorherige Datenblock oder das vorherige Datenelement empfangen wurde. Wenn der Betriebszustand, und damit der Datenschutzschlüssel, für die empfangenen Daten und einen vorherigen Datenblock oder ein vorheriges Datenelement derselbe ist, werden sowohl der vorherige Datenblock als auch die empfangenen Daten in gleicher Weise verschlüsselt. In diesem Fall wird der vorherige Datenblock vorzugsweise möglichst entschlüsselt, der empfangene Datenblock wird an den entschlüsselten vorherigen Datenblock angehängt, um einen kombinierten Datenblock zu bilden, und der kombinierte Datenblock wird verschlüsselt und im Speicher gespeichert. Da der vorherige Datenblock ein Teil des verschlüsselten kombinierten Datenblocks ist, wird der vom vorherigen Datenblock belegte Speicherplatz entweder mit dem verschlüsselten kombinierten Datenblock überschrieben oder zur Speicherung anderer Daten freigegeben.
Diese Art des Betriebs ist möglich, wenn beispielsweise ein vorheriger Block und die empfangenen Daten empfangen werden, während der symmetrische Schlüssel zugänglich ist. Wenn der vorherige Block und die empfangenen Daten empfangen werden, während das Gerät blockiert ist, und mit dem öffentlichen Schlüssel verschlüsselt werden, ist der private Schlüssel unzugänglich, und der vorherige Block kann nicht entschlüsselt werden. Allerdings ist ein ähnlicher Entschlüsselungs- und Neuverschlüsselungsprozess möglich, wenn der private Schlüssel zugänglich wird, zum Beispiel wenn auf den vorherigen Block und die empfangenen Daten zugegriffen wird, wie das weiter unten detailliert beschrieben wird.
Obwohl diese Entschlüsselung/Neuverschlüsselung das Kombinieren von mehreren Datenblöcken zu einem einzigen verschlüsselten Datenblock ermöglicht, erfordert das oben beschriebene Anhängen der verschlüsselten Datenblöcke weniger Zeit, Speicher und Datenverarbeitung und wird daher im Allgemeinen bevorzugt auf Beschränkungen unterliegenden Mobilgeräten mit begrenzter Leistung, begrenztem Speicher und begrenzten Prozessorressourcen eingesetzt.
6 ist ein Flussdiagramm zur Darstellung eines Verfahrens zum Zugriff auf geschützte Daten. In Schritt 102 ruft ein Datenschutzsystem oder ein Mobilgerätsystem bzw. eine Mobilgerätkomponente (je nach Implementierung des Datenschutzsystems und des Speicherzugriffschemas) verschlüsselte Daten ab.
Das Datenschutzsystem ermittelt dann basierend auf einer Schlüsselkennung, ob die verschlüsselten Daten mit einem symmetrischen oder mit einem öffentlichen Schlüssel verschlüsselt wurden. In Schritt 106 wird zum Entschlüsseln der verschlüsselten Daten ein entsprechender privater Schlüssel verwendet, wenn die verschlüsselten Daten mit einem öffentlichen Schlüssel verschlüsselt wurden. Der symmetrische Schlüssel wird zum Entschlüsseln der verschlüsselten Daten verwendet, wenn die verschlüsselten Daten mit dem symmetrischen Schlüssel verschlüsselt wurden. Die entschlüsselten Daten werden dann auf das Mobilgerätsystem oder auf die Mobilgerätkomponente ausgegeben, von dem bzw. von der die Daten abgerufen bzw. angefordert wurden. Wenn die abgerufenen Daten aus mehreren Datenblöcken bestehen, werden die Schritte 104 bis 110 für jeden einzelnen Datenblock durchgeführt.
Die Entschlüsselungsschritte 106 und 108 gehen davon aus, dass der öffentliche Schlüssel oder der symmetrische Schlüssel zugänglich sind. Solange das Mobilgerät entsperrt bzw. nicht blockiert ist, wenn auf die geschützten Daten zugegriffen wird, sind diese Schlüssel entweder aus dem Speicher verfügbar oder können entschlüsselt werden. Wenn die Schlüssel unzugänglich sind, können die verschlüsselten Daten nicht entschlüsselt werden.
Wie oben beschrieben wurde, ist die Verschlüsselung mit einem öffentlichen Schlüssel typischerweise langsamer als die Verschlüsselung mit einem symmetrischen Schlüssel. Jedes Mal, wenn Daten empfangen werden, während das Gerät blockiert ist, oder ein Datenelement, das solche Daten enthält, verschlüsselt wird, müssen auf dem Mobilgerät die Operationen zur Entschlüsselung mit dem öffentlichen Schlüssel ausgeführt werden. Wenn solche Daten in Schritt 106 entschlüsselt werden, sind die entschlüsselten Daten dann auf dem Mobilgerät verfügbar. Während der Entschlüsselungsoperationen befindet sich das Mobilgerät in einem nicht blockierten bzw. entsperrten Zustand, sodass auch der symmetrische Schlüssel zugänglich ist. Gemäß einem weiteren Aspekt der Erfindung werden entschlüsselte Daten, die zuvor mit dem öffentlichen Schlüssel verschlüsselt wurden, mit dem symmetrischen Schlüssel neu-verschlüsselt. Falls erforderlich wird auch ein Datenelement-Header entsprechend aktualisiert. Alternativ, wenn irgendwelche Datenblöcke eines Datenelements mit dem öffentlichen Schlüssel verschlüsselt wurden, werden die entschlüsselten Datenblöcke verkettet, um einen einzigen kombinierten Datenblock zu bilden, der dann mit dem symmetrischen Schlüssel neu-verschlüsselt wird. Das ursprüngliche Datenelement wird dann im Speicher durch das neu-verschlüsselte Datenelement ersetzt. Auf diese Weise werden weitere Entschlüsselungsoperationen mit dem öffentlichen Schlüssel vermieden, wenn anschließend auf das Datenelement zugegriffen wird.
Es sollte auch erkannt werden, dass stattdessen die Beibehaltung getrennter verschlüsselter Datenblöcke für ein aus mehreren Blöcken bestehendes Datenelement bevorzugt werden kann. Wenn es sich beispielsweise bei dem aus mehreren Blöcken bestehenden Datenelement um eine E-Mail-Nachricht handelt, werden zur Anzeige der Nachricht in einem „Posteingang" oder in einer Nachrichtenliste eventuell nur die Daten aus einem ersten Datenblock benötigt. In diesem Fall erfolgt der Aufbau der Nachrichtenliste viel schneller, wenn nur der erste Datenblock jeder Nachricht und nicht die gesamte Nachricht entschlüsselt werden muss.
Die konkrete Implementierung und Konfiguration eines Systems und eines Verfahrens zum Schutz von Daten richtet sich nach der Art des Geräts, in dem der Datenschutz bereitgestellt wird. Die Wechselwirkung zwischen einem Benutzer und einem Datenschutzsystem kann für unterschiedliche Gerätearten verschiedenartig erfolgen. 7 bis 11 sind Screenshots eines Displays eines Mobilgeräts, in dem ein System und ein Verfahren zum Schutz von Daten implementiert sind und sind als ein veranschaulichendes Beispiel für eine mögliche Implementierung zu verstehen. Die Screenshots in 7 bis 11 repräsentieren Bildschirme, die einem Benutzer auf einem Mobilgerätdisplay in verschiedenen Stadien während der Konfiguration der Sicherheitsfunktionen angezeigt werden. In 7 bis 11 wird der Datenschutz als Inhaltsschutz bezeichnet.
In 7 hat ein Benutzer eine Operation zum Aktivieren des Inhaltsschutzes auf dem Mobilgerät ausgewählt. Wie jedoch im oberen Bereich von 7 zu sehen ist, wurde der Passwortschutz noch nicht aktiviert, und der Benutzer wird aufgefordert, den Passwortschutz zu aktivieren. Wenn der Benutzer den Passwortschutz aktiviert, indem er einen Cursor von „Nein" zu „Ja" bewegt und anschließend „Ja" auswählt, legt der Benutzer anschließend ein Passwort und eine Zeitdauer für das Sicherheits-Timeout fest, die in diesem Beispiel 2 Minuten beträgt (8), und der Passwortschutz ist damit aktiviert. Wenn der Passwortschutz nicht aktiviert wird und auch keine alternative Methode zum Sichern der Datenschutzschlüssel verfügbar ist, kann auch der Inhaltsschutz nicht aktiviert werden. Diese obigen Operationen laufen im Wesentlichen so ab, wie das in den Schritten 60, 62 und 64 von 3 gezeigt wurde.
Sobald der Passwortschutz aktiviert wurde, werden die Schlüssel für den Inhaltsschutz erzeugt. In 8 besteht das Schlüsselpaar für den Inhaltsschutz aus einem Paar aus einem öffentlichen und aus einem privaten Schlüssel. Es werden Pseudozufallsdaten für die Schlüsselerzeugungsoperation aus dem Drücken von Tasten durch den Benutzer auf einer Tastatur oder einem Tastenfeld und aus dem Bewegen eines Einstellrad-Eingabegeräts auf dem Mobilgerät gesammelt. Auf einem PC werden solche Daten typischerweise unter Verwendung von Mausbewegungen gesammelt. Allerdings verfügen die meisten Mobilgeräte über kleinere Displays und über keine Maus, sodass die Tastaturtasten in Verbindung mit dem Einstellrad-Eingabegerät verwendet werden, um stärker zufallsverteilte Daten bereitzustellen, als sie mit der ausschließlichen Verwendung entweder von Eingaben durch Drücken von Tasten oder von Eingaben durch das Einstellrad erzeugt werden könnten. 9 zeigt einen Bildschirm, der einem Benutzer Feedback darüber gibt, wie der Prozess der Sammlung von Pseudozufallsinformationen abläuft. In einer bevorzugten Ausführungsform werden 160 gesammelte Datenbits als der private Schlüssel verwendet, aus dem der öffentliche Schlüssel erzeugt wird. Ein symmetrischer Schlüssel wird in ähnlicher Weise erzeugt, wenn der Inhaltsschutz aktiviert wird, wozu entweder dieselben Pseudozufallsinformationen oder weitere Pseudozufallsinformationen verwendet werden, die in einer ähnlichen Weise gesammelt werden. Vorzugsweise wird die Anzahl der Tastendrücke und der Bewegungen des Einstellrads verringert, indem dieselben Pseudozufallsinformationen für beide Schlüsselerzeugungsoperationen verwendet werden. Wenn ein Datenschutzsystem beispielsweise so konfiguriert ist, dass es einen privaten 160-Bit-Schlüssel und einen symmetrischen 128-Bit-Schlüssel verwendet, werden 160 Bit an Zufallsinformationen gesammelt und als der private Schlüssel verwendet, und 128 der 160 Bit werden als der symmetrische Schlüssel verwendet.
Wenn die Datenschutzschlüssel erzeugt und gespeichert worden sind, ist der Datenschutz aktiviert, und es erscheint ein Bildschirm mit Sicherheitsoptionen, wie er in 10 dargestellt ist. Wenn in dem Mobilgerät andere Sicherheitsfunktionen implementiert sind, ermöglicht der Bildschirm mit Sicherheitsoptionen den Zugriff zum Aktivieren, Deaktivieren oder Konfigurieren dieser Funktionen sowie des Inhaltsschutzes. In 10 wird über den Bildschirm mit Sicherheitsoptionen der Zugriff auf eine Sicherheitsfunktion ermöglicht, mit der das Mobilgerät gesperrt wird, wenn es sich in einer Tragetasche befindet.
Als eine weitere Sicherheitsmaßnahme kann vorzugsweise keine der Konfigurationsvoraussetzungen für den Inhaltsschutz deaktiviert werden, während der Inhaltsschutz aktiviert ist. Zum Beispiel wird durch das Deaktivieren des Passwortschutzes die Sicherheit des privaten Schlüssels und des symmetrischen Schlüssels geopfert. Wenn ein Benutzer versucht, den Passwortschutz zu deaktivieren, während der Inhaltsschutz aktiviert ist, wird die in 11 gezeigte Warnmeldung angezeigt. Der Passwortschutz wird nicht deaktiviert, wenn nicht auch der Inhaltsschutz deaktiviert wird. Einige Arten von Mobilgeräten unterstützen auch Konfigurationskontrollinformationen, um noch stärker zu kontrollieren, welche Funktionen durch einen Benutzer aktiviert und deaktiviert werden können.
Wenn der Inhaltsschutz deaktiviert ist, sind verschiedene Operationen möglich. In einer Ausführungsform werden die gespeicherten verschlüsselten Daten in verschlüsselter Form behalten. Die Datenschutzschlüssel werden entschlüsselt und anschließend mit einem vorgegebenen Passwort neu-verschlüsselt, das dem Datenschutzsystem bekannt oder für dieses zugänglich ist. Obwohl die gespeicherten verschlüsselten Daten behalten werden, erfordert die Entschlüsselung der Datenschutzschlüssel und damit die Entschlüsselung der verschlüsselten Daten, wenn auf diese zugegriffen wird, keine Eingabe eines Benutzerpassworts. In diesem Schema können dieselben Datenschutzschlüssel verwendet werden, wenn der Inhaltsschutz wieder aktiviert wird. In einer alternativen Ausführungsform werden alle gespeicherten verschlüsselten Daten entschlüsselt und im Speicher ersetzt, wenn der Inhaltsschutz deaktiviert wird. Dann sind keinerlei Entschlüsselungsoperationen erforderlich, um später auf die gespeicherten Daten zuzugreifen. Wenn der Inhaltsschutz erneut aktiviert wird, werden neue Datenschutzschlüssel erzeugt oder abgerufen, die gespeicherten Daten können verschlüsselt werden, wo das möglich ist, und die danach empfangenen Daten werden in der oben beschriebenen Art und Weise verschlüsselt.
12 ist ein Blockdiagramm eines Drahtlos-Mobil-Kommunikationsgeräts. Das Mobilgerät 500 ist vorzugsweise ein Zweiwegkommunikationsgerät, das zumindest über Sprach- und Datenkommunikationsfunktionen verfügt. Das Mobilgerät 500 ist vorzugsweise in der Lage, mit anderen Computersystemen im Internet zu kommunizieren. Je nach Funktionalität, die das Mobilgerät 500 bereitstellt, kann es als Daten-Messaging-Gerät, als Zweiweg-Pager, als Mobiltelefon mit Daten-Messaging-Funktionen, als Drahtlos-Internet-Einrichtung oder als Datenkommunikationsgerät (mit oder ohne Telefoniefunktionen) bezeichnet werden. Wie bereits oben erwähnt wurde, werden derartige Geräte hier einfach als Mobilgeräte bezeichnet.
Das Mobilgerät 500 enthält einen Sende-Empfänger 511, einen Mikroprozessor 538, ein Display 522, einen nichtflüchtigen Speicher 524, einen Direktzugriffsspeicher (Random Access Memory – RAM) 526, zusätzliche Eingabe-/Ausgabegeräte (Input/Output – I/O) 528, einen seriellen Anschluss 530, eine Tastatur 532, einen Lautsprecher 534, ein Mikrofon 536, ein Nahbereichs-Kommunikationsuntersystem 540 und andere Geräteuntersysteme 542. Der Sende-Empfänger 511 enthält vorzugsweise Sende- und Empfangsantennen 516, 518, einen Empfänger (Rx) 512, einen Sender (Tx) 514, einen oder mehrere Lokaloszillatoren (LOs) 513 und einen Digitalsignalprozessor (DSP) 520. Innerhalb des nichtflüchtigen Speichers 524 enthält das Mobilgerät 500 eine Vielzahl von Software-Modulen 524A-524N, die durch den Mikroprozessor 538 (und/oder den DSP 520) ausgeführt werden können, wozu ein Sprachkommunikationsmodul 524A, ein Datenkommunikationsmodul 524B und eine Vielzahl von anderen Betriebsmodulen 524N zur Ausführung einer Vielzahl anderer Funktionen gehören.
Das Mobilgerät 500 ist vorzugsweise ein Zweiwegkommunikationsgerät mit Sprach- und Datenkommunikationsfunktionen. Damit kann das Mobilgerät 500 beispielsweise über ein Sprachnetzwerk (wie über eines der analogen oder digitalen Mobilfunknetzwerke) aber auch über ein Datennetzwerk kommunizieren. Die Sprach- und Datennetzwerke sind in 12 durch den Sendemast 519 symbolisiert. Diese Sprach- und Datennetzwerke können getrennte Kommunikationsnetzwerke mit Verwendung getrennter Infrastrukturen wie beispielsweise Basisstationen, Netzwerksteuereinheiten usw. sein, oder sie können in ein einzelnes Drahtlos-Netzwerk integriert sein. Die Bezüge auf das Netzwerk 519 sollten daher so verstanden werden, dass sie sich sowohl auf ein einzelnes Sprach- und Datennetzwerk als auch auf getrennte Netzwerke beziehen.
Das Kommunikationsuntersystem 511 wird zur Kommunikation mit dem Netzwerk 519 verwendet. Der DSP 520 wird zum Senden und Empfangen von Kommunikationssignalen zum und vom Sender 514 und Empfänger 512 verwendet und ebenfalls zum Austausch von Steuerungsinformationen mit dem Sender 514 und dem Empfänger 512. Wenn die Sprachkommunikation und die Datenkommunikation in derselben Frequenz oder in einer Frequenzgruppe mit eng beieinander liegenden Frequenzen erfolgt, kann ein einzelner LO 513 in Verbindung mit dem Sender 514 und dem Empfänger 512 verwendet werden. Alternativ – wenn für die Sprachkommunikation und die Datenkommunikation unterschiedliche Frequenzen genutzt werden oder wenn das Mobilgerät 500 zur Kommunikation in mehreren Netzwerken 519 ausgelegt ist – können mehrere LOs 513 verwendet werden, um die Frequenzen zu erzeugen, die den im Netzwerk 519 verwendeten Frequenzen entsprechen. Obwohl in 12 zwei Antennen 516, 518 gezeigt werden, könnte das Mobilgerät 500 auch mit einer Einzelantennenstruktur verwendet werden. Informationen, wozu sowohl Sprach- als auch Dateninformationen zählen, werden zum und vom Kommunikationsmodul 511 über eine Verbindung zwischen dem DSP 520 und dem Mikroprozessor 538 kommuniziert.
Der genaue Aufbau des Kommunikationsuntersystems 511, beispielsweise in Bezug auf Frequenzband, Komponentenauswahl, Leistungspegel usw., richtet sich nach dem Kommunikationsnetzwerk 519, in dem das Mobilgerät 500 betrieben werden soll. So kann beispielsweise ein Mobilgerät 500, das für den Einsatz auf dem nordamerikanischen Markt vorgesehen ist, ein Kommunikationsuntersystem 511 enthalten, das für den Betrieb mit den mobilen Datenkommunikationsnetzwerken Mobitex oder DataTAC und außerdem für den Betrieb mit einer beliebigen Auswahl von Sprachkommunikationsnetzwerken wie AMPS, TDMA, CDMA, PCS usw. ausgelegt ist, während ein Mobilgerät 500, das für den Einsatz in Europa vorgesehen ist, so konfiguriert sein kann, dass es mit dem GPRS-Datenkommunikationsnetzwerk und dem GSM-Sprachkommunikationsnetzwerk betrieben werden kann. Andere Typen von Daten- und Sprachnetzwerken, sowohl getrennte als auch integrierte, können ebenfalls mit dem Mobilgerät 500 genutzt werden.
Auch die Kommunikationsnetz-Zugriffsanforderungen für das Mobilgerät 500 variieren je nach Art des Netzwerks 519. Zum Beispiel werden Mobilgeräte in den Datennetzwerken Mobitex und DataTAC im Netzwerk mithilfe einer eindeutigen Identifikationsnummer identifiziert, die jedem Gerät zugeordnet ist. In GPRS-Datennetzwerken ist der Netzwerkzugriff dagegen einem Teilnehmer bzw. Benutzer des Mobilgeräts 500 zugeordnet. Ein GPRS-Gerät erfordert typischerweise ein Teilnehmeridentitätsmodul (Subscriber Identity Module – SIM), das erforderlich ist, damit das Mobilgerät 500 in einem GPRS-Netzwerk betrieben werden kann. Lokale oder nicht-netzwerkbasierte Kommunikationsfunktionen (sofern vorhanden) können auch ohne das SIM ausgeführt werden, aber das Mobilgerät 500 kann dann keine Funktionen ausführen, für die die Kommunikation über das Netzwerk 519 erforderlich ist, mit Ausnahme gesetzlich vorgeschriebener Funktionen wie beispielsweise 110-Notrufe.
Nachdem die erforderlichen Prozeduren zur Netzwerkregistrierung oder -aktivierung abgeschlossen wurden, ist das Mobilgerät 500 in der Lage, über das Netzwerk 519 Kommunikationssignale zu senden und zu empfangen, wozu vorzugsweise sowohl Sprach- als auch Datensignale zählen. Die von der Antenne 516 vom Kommunikationsnetzwerk 519 empfangenen Signale werden zum Empfänger 512 geleitet, der für die Signalverstärkung, die Frequenzabwärtsmischung, die Filterung, die Kanalauswahl usw. und für die Analog-Digital-Umwandlung sorgt. Die Analog-Digital-Umwandlung des empfangenen Signals ermöglicht es, komplexere Kommunikationsfunktionen wie zum Beispiel digitale Demodulation und Dekodierung unter Verwendung des DSP 520 durchzuführen. In einer ähnlichen Weise werden die zum Netzwerk 519 zu übertragenden Signale beispielsweise durch den DSP 520 verarbeitet, einschließlich Modulation und Kodierung, und dann dem Sender 514 bereitgestellt, der für die Digital-Analog-Wandlung, die Frequenzaufwärtsmischung, die Filterung, die Verstärkung und die Übertragung zum Kommunikationsnetzwerk 519 über die Antenne 518 sorgt. Obwohl nur ein einzelner Sende-Empfänger 511 sowohl für Sprachkommunikation als auch für Datenkommunikation gezeigt wird, kann das Mobilgerät 500 in alternativen Ausführungsformen mehrere getrennte Sende-Empfänger enthalten, zum Beispiel einen ersten Sende-Empfänger für das Senden und Empfangen von Sprachsignalen und einen zweiten Sende-Empfänger für das Senden und Empfangen von Datensignalen oder einen ersten Sende-Empfänger, der für den Betrieb in einem ersten Frequenzband konfiguriert ist, und einen zweiten Sende-Empfänger, der für den Betrieb in einem zweiten Frequenzband konfiguriert ist.
Zusätzlich zur Verarbeitung der Kommunikationssignale sorgt der DSP 520 auch für die Empfänger- und Sendersteuerung. So können beispielsweise die auf die Kommunikationssignale im Empfänger 512 und im Sender 514 angewendeten Verstärkungsstufen adaptiv durch automatische Verstärkungsregelungsalgorithmen gesteuert werden, die im DSP 520 implementiert sind. Andere Algorithmen zur Steuerung des Sende-Empfängers können ebenfalls im DSP 520 immplementiert sein, um eine noch ausgeklügeltere Steuerung des Sende-Empfängers 511 zu ermöglichen.
Der Mikroprozessor 538 sorgt vorzugsweise für die Verwaltung und Steuerung des Gesamtbetriebs des Mobilgeräts 500. Hier können viele Typen von Mikroprozessoren oder Mikrosteuereinheiten verwendet werden, oder alternativ könnte ein einziger DSP 520 verwendet werden, um die Funktionen des Mikroprozessors 538 auszuführen. Kommunikationsfunktionen der unteren Ebene, wozu mindestens Daten- und Sprachkommunikation gehören, werden durch das DSP 520 im Sende-Empfänger 511 ausgeführt. Kommunikationsanwendungen der oberen Ebene, wozu die Sprachkommunikationsanwendung 524A und die Datenkommunikationsanwendung 524B gehören, sind im nichtflüchtigen Speicher 524 gespeichert, um durch den Mikroprozessor 538 ausgeführt werden zu können. Beispielsweise stellt das Sprachkommunikationsmodul 524A eine Benutzerschnittstelle der oberen Ebene bereit, über die Sprachanrufe zwischen dem Mobilgerät 500 und einer Vielzahl anderer Sprachgeräte über das Netzwerk 519 gesendet und empfangen werden können. In gleicher Weise stellt das Datenkommunikationsmodul 524B eine Benutzerschnittstelle der oberen Ebene bereit, über die Daten wie beispielsweise E-Mail-Nachrichten, Dateien, Organizer-Informationen, SMS-Nachrichten usw. zwischen dem Mobilgerät 500 und einer Vielzahl anderer Datengeräte über das Netzwerk 519 gesendet und empfangen werden können.
Der Mikroprozessor 538 interagiert auch mit anderen Geräteuntersystemen, z. B. mit dem Display 522, dem RAM 526, den zusätzlichen I/O-Geräten 528, dem seriellen Anschluss 530, der Tastatur 532, dem Lautsprecher 534, dem Mikrofon 536, dem Nahbereichs-Kommunikationsuntersystem 540 und den anderen Geräteuntersystemen, die allgemein mit 542 bezeichnet sind. Beispielsweise werden die Module 524A-N durch den Mikroprozessor 538 ausgeführt und können eine Schnittstelle auf der oberen Ebene zwischen einem Benutzer des Mobilgeräts und dem Mobilgerät bereitstellen. Diese Schnittstelle enthält typischerweise eine durch das Display 522 gebildete Grafikkomponente und eine durch die zusätzlichen I/O-Geräte 528, die Tastatur 532, den Lautsprecher 534 oder das Mikrofon 536 gebildete Eingabe-/Ausgabekomponente.
Einige der in 12 gezeigten Untersysteme führen kommunikationsbezogene Funktionen aus, wogegen andere Untersysteme „residente" oder geräteeigene Funktionen ausführen können. Insbesondere einige Untersysteme wie die Tastatur 532 und das Display 522 können sowohl für kommunikationsbezogene Funktionen, wie beispielsweise die Eingabe einer Textnachricht zur Übertragung über ein Datenkommunikationsnetzwerk, als auch für geräteresidente Funktionen wie beispielsweise einen Taschenrechner oder eine Aufgabenloste oder andere PDA-typische Funktionen verwendet werden.
Die vom Mikroprozessor 538 verwendete Betriebssystem-Software ist vorzugsweise in einem Dauerspeicher wie dem nichtflüchtigen Speicher 524 gespeichert. Zusätzlich zum Betriebssystem und zu den Kommunikationsmodulen 524A-N kann der nichtflüchtige Speicher 524 ein Dateisystem zum Speichern von Daten enthalten. Der nichtflüchtige Speicher 524 enthält auch mindestens einen Schlüsselspeicher sowie die oben beschriebenen geschützten Daten. Das Betriebssystem, spezielle Geräteanwendungen oder -module oder Teile davon werden typischerweise temporär in einen flüchtigen Speicher geladen, zum Beispiel in den RAM 526, um schneller ausgeführt werden zu können. Darüber hinaus können auch die empfangenen Kommunikationssignale temporär im RAM 526 gespeichert werden, bevor Sie permanent in ein Dateisystem geschrieben werden, das sich im nichtflüchtigen Speicher 524 befindet. Der nichtflüchtige Speicher 524 kann beispielsweise durch einen Flash-Speicher, durch einen nichtflüchtigen RAM oder durch einen batteriegepufferten RAM implementiert werden.
Ein exemplarisches Anwendungsmodul 524N, das auf das Mobilgerät 500 geladen werden kann, ist eine PIM-Anwendung zur Bereitstellung von PDA-Funktionalität, mit der beispielsweise Kalenderereignisse, Termine und Aufgabenelemente verwaltet werden können. Dieses Modul 524N kann auch mit dem Sprachkommunikationsmodul 524A interagieren, um Telefonanrufe, Sprachnachrichten usw. zu verwalten, und kann auch mit dem Datenkommunikationsmodul 524B interagieren, um die E-Mail-Kommunikation und andere Datenübertragungen zu verwalten. Alternativ kann die gesamte Funktionalität des Sprachkommunikationsmoduls 524A und des Datenkommunikationsmoduls 524B in das PIM-Modul integriert sein.
Der nichtflüchtige Speicher 524 stellt vorzugsweise ein Dateisystem bereit, um das Speichern von PIM-Datenelementen im Gerät zu erleichtern. Die PIM-Anwendung schließt vorzugsweise die Fähigkeit zum Senden und Empfangen von Datenelementen über das Netzwerk 519 ein, was entweder selbstständig oder in Verbindung mit den Sprach- und Datenkommunikationsmodulen 524A, 524B über das Drahtlos-Netzwerk 519 erfolgt. Die PIM-Datenelemente werden über das Drahtlos-Netzwerk 519 vorzugsweise nahtlos mit einem entsprechenden Set von Datenelementen integriert, synchronisiert und aktualisiert, das auf einem Host-Computersystem gespeichert oder diesem zugehörig ist, wodurch ein gespiegeltes System für die zu einem bestimmten Benutzer gehörenden Datenelemente entsteht.
Das Mobilgerät 500 wird manuell mit einem Host-System synchronisiert, indem das Mobilgerät 500 in eine Schnittstellenstation eingesetzt wird, die den seriellen Anschluss 530 des Mobilgeräts 500 mit einem seriellen Anschluss des Host-Systems verbindet. Der serielle Anschluss 530 kann auch verwendet werden, um andere Anwendungsmodule 524N downzuloaden, die auf dem Mobilgerät 500 installiert werden sollen. Dieser drahtgebundene Download-Weg kann des Weiteren dazu verwendet werden, um Verschlüsselungsschlüssel auf das Mobilgerät 500 zu laden, die zur sicheren Kommunikation verwendet werden, was eine sicherere Methode als das Austauschen der Verschlüsselungsinformationen über das Drahtlos-Netzwerk 519 darstellt. Als Alternative zur oben beschriebenen Erzeugung der Daten schutzschlüssel im Gerät könnten die Datenschutzschlüssel auch durch ein anderes System erzeugt und auf diese Weise auf das Mobilgerät 500 übertragen werden.
Die Software-Anwendungsmodule 524N können über das Netzwerk 519, über ein zusätzliches I/O-Untersystem 528, über das Nahbereichs-Kommunikationsuntersystem 540 oder über jedes andere geeignete Untersystem 542 auf das Mobilgerät 500 geladen und durch einen Benutzer im nichtflüchtigen Speicher 524 oder im RAM 526 installiert werden. Eine derartige Flexibilität bei der Anwendungsinstallation erhöht die Funktionalität des Mobilgeräts 500 und kann erweiterte geräteeigene Funktionen, kommunikationsbezogene Funktionen oder beides ermöglichen. Zum Beispiel können durch sichere Kommunikationsanwendungen elektronische kommerzielle Funktionen und andere gleichartige finanzielle Transaktionen auf dem Mobilgerät 500 ermöglicht werden.
Wenn das Mobilgerät 500 in einem Datenkommunikationsmodus arbeitet, wird ein empfangenes Signal, beispielsweise eine Textnachricht oder ein Webseiten-Download, durch den Sende-Empfänger 511 verarbeitet und an den Mikroprozessor 538 bereitgestellt, der das empfangene Signal vorzugsweise weiterverarbeitet, damit es auf dem Display 522 oder alternativ auf einem zusätzlichen I/O-Gerät 528 ausgegeben werden kann. Wenn der Datenschutz aktiviert ist, werden die empfangenen Daten wie oben beschrieben verschlüsselt, bevor sie im Mobilgerät 500 gespeichert werden. Ein Benutzer des Mobilgeräts 500 kann auch Datenelemente wie beispielsweise Kurznachrichten erstellen, wozu die Tastatur 532 verwendet wird, bei der es sich vorzugsweise um eine vollständige alphanumerische Tastatur im QWERTY-Layout handelt, obwohl auch andere Layouts von vollständigen alphanumerischen Tastaturen wie das bekannte DVORAK-Layout verwendet werden können. Die Benutzereingabe in das Mobilgerät 500 wird weiterhin durch die Vielzahl von zusätzlichen I/O-Geräten 528 erweitert, wozu eine Einstellrad-Eingabegerät, ein Touchpad, eine Vielzahl an Schaltern, ein Eingabewippschalter usw. gehören können. Die erstellten Datenelemente, die durch den Benutzer eingegeben wurden, werden dann mithilfe des Sende-Empfängers 511 über das Kommunikationsnetzwerk 519 übertragen und können auch in verschlüsselter Form im Mobilgerät 500 gespeichert werden.
Wenn das Mobilgerät 500 in einem Sprachkommunikationsmodus arbeitet, gleicht der allgemeine Betrieb des Mobilgeräts 500 im Wesentlichen dem Datenmodus, außer dass die empfangenen Signale zum Lautsprecher 534 ausgegeben werden und dass die zur Übertragung vorgesehenen Sprachsignale durch ein Mikrofon 536 erzeugt werden. Alternative Sprach- oder Audio-I/O-Geräte, wie beispielsweise ein Aufzeichnungsuntersystem für Sprachnachrichten, können ebenfalls im Mobilgerät 500 implementiert sein. Das Display 522 kann auch verwendet werden, um die Identität eines Anrufers, die Dauer eines Sprachanrufs oder andere Informationen im Zusammenhang mit Sprachanrufen anzuzeigen. So kann beispielsweise der Mikroprozessor 538 in Verbindung mit dem Sprachkommunikationsmodul 524A und der Betriebssystem-Software die Anrufer-Identifkationsinformationen eines eingehenden Anrufs erkennen und auf dem Display 522 anzeigen. Obwohl die oben beschriebenen Methoden zum Schutz von Daten eventuell nicht notwendigerweise auf Sprachkommunikation angewendet werden können, da Sprachkommunikationssignale typischerweise nicht gespeichert werden, können einige Informationen im Zusammenhang mit Sprachkommunikation, zum Beispiel die Kontaktinformationen, geschützt werden.
Das Mobilgerät 500 enthält auch ein Nahbereichs-Kommunikationsuntersystem 540. Das Untersystem 540 kann beispielsweise ein Infrarotgerät mit den zugehörigen Schaltungen und Komponenten oder ein Bluetooth- oder 802.11-Nahbereichs-Drahtlos-Kommunikationsmodul enthalten, um die Kommunikation mit gleichartigen Systemen und Geräten zu ermöglichen.
Es wird erkennbar sein, dass sich die obige Beschreibung nur auf bevorzugte Ausführungsformen anhand exemplarischer Beispiele bezieht. Der Umfang der Erfindung wird durch die beigefügten Ansprüche definiert.
Ein Gerät, in dem die oben beschriebenen Systeme und Verfahren implementiert sein können, kann auch weniger Komponenten, weitere Komponenten oder andere Komponenten enthalten, als sie in den Zeichnungen gezeigt werden. Obwohl der Datenschutz wohl für Mobilgeräte am relevantesten ist, die aufgrund ihrer Beschaffenheit nur schwer physisch zu sichern sind, können die hier beschriebenen Methoden auch auf PCs angewendet werden sowie auf andere typischerweise stationäre Systeme.
Die Erfindung ist auch in keiner Weise abhängig von irgendwelchen bestimmten Kommunikationsfunktionen. Der hier beschriebene Datenschutz könnte in Zweiweg- oder Einweg-(Nur Empfangs-Kommunikationsgeräten implementiert werden.
Obwohl der Datenschutz oben in erster Linie im Zusammenhang mit Daten beschrieben wurde, die empfangen wurden, nachdem der Datenschutz aktiviert wurde, können vorzugsweise darüber hinaus auch vorhandene Daten, die bereits im Mobilgerät gespeichert wurden, bevor der Datenschutz aktiviert wurde, verschlüsselt werden, wenn der Datenschutz aktiviert wird, sofern das Format der gespeicherten Daten dieses zulässt.

Claims

Ein System zum Schutz von Daten in einem Kommunikationsgerät (30) mit einem ersten Betriebszustand und einem zweiten Betriebszustand, wobei das Kommunikationsgerät (30) zum Empfang von Daten konfiguriert ist und das System umfasst: einen Schlüsselspeicher (42), der zum Speichern einer Vielzahl von Verschlüsselungsschlüsseln konfiguriert ist; einen Speicher (32), der zum Speichern von Daten konfiguriert ist; und ein Datenschutzsystem (49), das konfiguriert ist zum Empfangen von Daten, zum Ermitteln, ob das Kommunikationsgerät (30) sich im ersten Betriebszustand oder im zweiten Betriebszustand befindet, zum Verschlüsseln der empfangenen Daten mithilfe eines ersten aus der Vielzahl von Verschlüsselungsschlüsseln, wenn sich das Kommunikationsgerät in dem ersten Betriebszustand befindet, oder mithilfe eines zweiten aus der Vielzahl von Verschlüsselungsschlüsseln, wenn sich das Kommunikationsgerät in dem zweiten Betriebszustand befindet, und zum Speichern der verschlüsselten empfangenen Daten in dem Speicher (32), wobei der erste aus der Vielzahl der Verschlüsselungsschlüssel geschützt ist.
Das System gemäß Anspruch 1, wobei der erste Verschlüsselungsschlüssel nicht zugänglich, wenn sich das Kommunikationsgerät (30) im zweiten Betriebszustand befindet.
Das System gemäß Anspruch 2, wobei der erste Betriebszustand ein nicht blockierter Zustand ist und der zweite Betriebszustand ein blockierter Zustand ist.
Das System gemäß Anspruch 2, wobei der erste Verschlüsselungsschlüssel ein symmetrischer Schlüssel ist und der zweite Verschlüsselungsschlüssel ein öffentlicher Schlüssel ist.
Das System gemäß Anspruch 1, wobei das Kommunikationsgerät (30) einen Drahtlos-Sende-Empfänger (54) umfasst und wobei das Datenschutzsystem (49) konfiguriert ist zum Empfangen von Daten vom Drahtlos-Sende-Empfänger (54).
Das System gemäß Anspruch 5, wobei die empfangenen Daten vertrauliche Daten umfassen, die von einem Remote-Computernetzwerk (18) über ein Drahtlos-Kommunikationsnetzwerk (20) empfangen werden.
Das System gemäß Anspruch 5, wobei das Kommunikationsgerät (30) des Weiteren einen Steckverbinder (56) umfasst und wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Empfangen von Daten von dem Steckverbinder (56).
Das System gemäß Anspruch 7, wobei der Steckverbinder (56) aus der Gruppe ausgewählt wird, die umfasst: einen seriellen Anschluss, einen Universal Serial Bus-Anschluss, einen Secure Digital-Kartensteckplatz und ein Nahbereichs-Drahtlos-Kommunikationsmodul.
Das System gemäß Anspruch 4, wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Empfangen einer Anforderung für Daten, zum Ermitteln, ob sich das Kommunikationsgerät (30) im ersten Betriebszustand befindet und zum Entschlüsseln der angeforderten Daten, wenn sich das Kommunikationsgerät (30) im ersten Betriebszustand befindet.
Das System gemäß Anspruch 9, wobei die Anforderung verschlüsselte Daten umfasst, die durch das Datenschutzsystem (49) entschlüsselt werden sollen.
Das System gemäß Anspruch 9, wobei die Anforderung die angeforderten Daten identifiziert und das Datenschutzsystem (49) dafür angepasst ist, die angeforderten Daten zu entschlüsseln.
Das System gemäß Anspruch 10, wobei der öffentliche Schlüssel einem privaten Schlüssel zugeordnet ist und wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Ermitteln, ob die verschlüsselten Daten mithilfe des öffentlichen Schlüssels oder mithilfe des symmetrischen Schlüssels verschlüsselt wurden, zum Entschlüsseln der verschlüsselten Daten mithilfe des öffentlichen Schlüssels, wenn die verschlüsselten Daten mithilfe des öffentlichen Schlüssels verschlüsselt wurden, und zum Entschlüsseln der verschlüsselten Daten mithilfe des symmetrischen Schlüssels, wenn die verschlüsselten Daten mithilfe des symmetrischen Schlüssels verschlüsselt wurden.
Das System gemäß Anspruch 12, wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Speichern der entschlüsselten Daten im Kommunikationsgerät (30) und zum Löschen der entschlüsselten Daten, wenn das Kommunikationsgerät in den zweiten Betriebszustand übergeht.
Das System gemäß Anspruch 13, wobei der symmetrische Schlüssel und der private Schlüssel in verschlüsselter Form im Kommunikationsgerät (30) gespeichert sind und wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Entschlüsseln des privaten Schlüssels und zum Speichern des entschlüsselten privaten Schlüssels im Kommunikationsgerät (30), wenn die angeforderten Daten mithilfe des öffentlichen Schlüssels verschlüsselt wurden, zum Entschlüsseln des symmetrischen Schlüssels und zum Speichern des entschlüsselten symmetrischen Schlüssels im Kommunikationsgerät (30), wenn die angeforderten Daten mithilfe des symmetrischen Schlüssels verschlüsselt wurden, und zum Löschen des entschlüsselten privaten Schlüssels und des entschlüsselten symmetrischen Schlüssels, wenn das Kommunikationsgerät (30) in den zweiten Betriebszustand übergeht.
Das System gemäß Anspruch 1, wobei das Datenschutzsystem (49) des Weiteren konfiguriert ist zum Ermitteln, ob die empfangenen Daten im Zusammenhang stehen mit im Speicher (32) gespeicherten vorhandenen Daten, und zum Anhängen der verschlüsselten empfangenen Daten an die vorhandenen im Zusammenhang stehenden Daten im Speicher (32), wenn die empfangenen Daten im Zusammenhang mit den vorhandenen Daten stehen.
Das System gemäß Anspruch 15, wobei die verschlüsselten empfangenen Daten und die vorhandenen Daten Datenblöcke (87B, 88B, 89B) eines Datenelements (85) bilden, bei dem das Datenelement (85) eine Kennung (86) umfasst, die angibt, ob jeder Datenblock mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurde.
Das System gemäß Anspruch 1, wobei das Kommunikationsgerät (30) ein Drahtlos-Mobil-Kommunikationsgerät umfasst, das aus der Gruppe ausgewählt wird, die umfasst: ein Datenkommunikationsgerät, ein Mobiltelefon mit sowohl Daten- als auch Sprachkommunikationsfunktionalität, ein Mehrfachmodusgerät, das für Sprach-, Daten- und andere Kommunikationstypen geeignet ist, ein Messaging-Gerät, ein Personal Digital Assistant mit Drahtlos-Kommunikationsfunktion, ein Drahtlos-Modem, ein Einwegkommunikationsgerät und ein Zweiwegkommunikationsgerät.
Das System gemäß Anspruch 1, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum Ermitteln, ob die empfangenen Daten im Zusammenhang stehen mit im Speicher (32) gespeicherten vorhandenen Daten, und zum Anhängen (84) der verschlüsselten empfangenen Daten an die im Speicher (32) gespeicherten vorhandenen und im Zusammenhang stehenden Daten, wenn die Ermittlung (80) ergeben hat, dass die empfangenen Daten im Zusammenhang mit den vorhandenen Daten stehen.
Das System gemäß Anspruch 18, wobei die empfangenen Daten und die vorhandenen und im Zusammenhang stehenden Daten Datenblöcke eines Datenelements (85) bilden, das Datenelement (85) einem Datenelement-Verweis (86) zugeordnet ist, der eine Datenelement-Kennung und einen Speicherort der vorhandenen in Zusammenhang stehenden Daten im Speicher (32) enthält, und wobei das Datenschutzsystem des Weiteren konfiguriert ist zum: Ermitteln einer Länge der verschlüsselten empfangenen Daten; Erzeugen einer Kennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; Hinzufügen der Länge und der Kennung zu den verschlüsselten empfangenen Daten; und Anhängen der Länge, der Kennung und der verschlüsselten empfangenen Daten an die vorhandenen im Zusammenhang stehenden Daten.
Ein System gemäß Anspruch 1, wobei die empfangenen Daten aus einem Datenelement (85) mit einer Datenelement-Kennung besteht und wobei das Datenschutzsystem des Weiteren konfiguriert ist zum: Erstellen eines Datenelement-Headers (92), wobei der Datenelement-Header (92) besteht aus der Datenelement-Kennung, aus einer Blocklänge der verschlüsselten empfangenen Daten, aus einem Speicherort der verschlüsselten empfangenen Daten im Speicher (32) und aus einer Schlüsselkennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; und Speichern des Datenelement- Headers im Speicher (32), wobei es sich beim ersten Verschlüsselungsschlüssel um einen symmetrischen Schlüssel handelt, der in verschlüsselter Form gespeichert ist, und es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel handelt, der einem privaten Schlüssel zugeordnet ist.
Das System gemäß Anspruch 20, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum Speichern (82) der verschlüsselten empfangenen Daten durch: Ermitteln (80), ob die empfangenen Daten im Zusammenhang stehen mit vorhandenen Daten und mit einem im Speicher (32) gespeicherten vorhandenen Daten-Header; und wenn die Ermittlung für die empfangenen Daten ergeben hat, dass sie im Zusammenhang stehen mit den vorhandenen Daten und mit dem vorhandenen Daten-Header, zum: Ermitteln einer Länge der verschlüsselten empfangenen Daten; Erzeugen einer Kennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; Hinzufügen der ermittelten Länge und der erzeugten Kennung zum Datenelement-Header; und Anhängen (84) der verschlüsselten empfangenen Daten an die vorhandenen im Zusammenhang stehenden Daten.
Das System gemäß Anspruch 1, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum Verschlüsseln (76) der empfangenen Daten durch Verwendung des ersten Verschlüsselungsschlüssels durch: Ermitteln, ob die empfangenen Daten im Zusammenhang stehen mit vorhandenen verschlüsselten Daten, die im Speicher gespeichert sind; Ermitteln, ob die vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurden, wenn die empfangenen Daten im Zusammenhang stehen mit vorhandenen verschlüsselten Daten, die im Speicher gespeichert sind; und wenn die vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurden: Entschlüsseln der vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels; Anhängen der empfangenen Daten an die entschlüsselten vorhandenen Daten, um einen kombinierten Datenblock zu bilden; und Verschlüsseln des kombinierten Datenblocks mithilfe des ersten Verschlüsselungsschlüssels.
Das System gemäß Anspruch 19, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum: Speichern eines ersten Verschlüsselungsschlüssels und eines zweiten Verschlüsselungsschlüssels im Kommunikationsgerät (30); Empfangen einer Anforderung für das Datenelement (85) von einem System im Kommunikationsgerät (30); für jeden Datenblock (87B, 88B, 89B) im Datenelement (85): Ermitteln, ob zum Verschlüsseln des Datenblocks der erste oder der zweite Verschlüsselungsschlüssel verwendet wurde; Entschlüsseln des Datenblocks mithilfe des ersten Verschlüsselungsschlüssels, wenn der Datenblock mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurde; Entschlüsseln des Datenblocks mithilfe des privaten Verschlüsselungsschlüssels, wenn der Datenblock mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurde; und Bereitstellen jedes der entschlüsselten Datenblöcke im Datenelement an das System im Kommunikationsgerät (30), wobei es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel handelt, der einem privaten Schlüssel zugeordnet ist.
Das System gemäß Anspruch 23, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum: für jeden Datenblock im Datenelement (85), das mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurde: Verschlüsseln des entschlüsselten Datenblocks mithilfe des ersten Verschlüsselungsschlüssels, um einen neu-verschlüsselten Datenblock zu erzeugen; und Ersetzen des Datenblocks (87B, 88B, 89B) durch den neu-verschlüsselten Datenblock im Speicher (32).
Das System gemäß Anspruch 23, wobei das Datenschutzsystem des Weiteren konfiguriert ist zum: Verschlüsseln des entschlüsselten Datenelements mithilfe des ersten Verschlüsselungsschlüssels, um ein neu-verschlüsseltes Datenelement zu erzeugen; und Ersetzen des Datenelements (85) im Speicher (32) durch das neu-verschlüsselte Datenelement.
Ein Verfahren zum Schutz von Daten in einem Kommunikationsgerät (30), wobei die Daten vom Kommunikationsgerät (30) empfangen (72) werden, wobei das Verfahren die folgenden Schritte umfasst: Speichern (66) eines ersten Verschlüsselungsschlüssels und eines zweiten Verschlüsselungsschlüssels im Kommunikationsgerät (30), wobei der erste Verschlüsselungsschlüssel geschützt ist; Ermitteln (74), ob der erste Verschlüsselungsschlüssel zugänglich ist; Verschlüsseln (78) der empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels, wenn der erste Verschlüsselungsschlüssel zugänglich ist; Verschlüsseln (76) der empfangenen Daten mithilfe des zweiten Verschlüsselungsschlüssels, wenn der erste Verschlüsselungsschlüssel nicht zugänglich ist; und Speichern (82) der verschlüsselten empfangenen Daten im Speicher (32) im Kommunikationsgerät (30).
Das Verfahren gemäß Anspruch 26, wobei das Kommunikationsgerät (30) einen blockierter Betriebszustand hat, in dem der erste Verschlüsselungsschlüssel nicht zugänglich ist, und einen nicht blockierten Betriebszustand hat, in dem der erste Verschlüsselungsschlüssel zugänglich ist, und wobei der Schritt des Ermittelns (74) den Schritt des Ermittelns umfasst, ob sich das Kommunikationsgerät (30) im blockierten Betriebszustand oder im nicht blockierten Betriebszustand befindet.
Das Verfahren gemäß Anspruch 27, des Weiteren umfassend den Schritt des Speicherns des privaten Schlüssels im Kommunikationsgerät (30), wobei es sich beim ersten Verschlüsselungsschlüssel um einen symmetrischen Schlüssel handelt, der in verschlüsselter Form gespeichert ist, und es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel handelt, der einem privaten Schlüssel zugeordnet ist.
Das Verfahren gemäß Anspruch 26, wobei das Kommunikationsgerät (30) ein Drahtlos-Mobil-Kommunikationsgerät ist und wobei der Schritt des Empfangens den Schritt des Empfangens von vertraulichen Daten von einem Remote-Computernetzwerk (18) über ein Drahtlos-Kommunikationsnetzwerk (20) umfasst.
Das Verfahren gemäß Anspruch 28, des Weiteren umfassend die folgenden Schritte: Empfangen einer Anforderung für Daten von einem System im Kommunikationsgerät (30); Ermitteln (104), ob die angeforderten Daten mithilfe des symmetrischen Schlüssels oder des öffentlichen Schlüssels verschlüsselt wurden; Entschlüsseln (108) der angeforderten Daten mithilfe des symmetrischen Schlüssels, wenn die angeforderten Daten mithilfe des symmetrischen Schlüssels verschlüsselt wurden; und Entschlüsseln (106) der angeforderten Daten mithilfe des privaten Schlüssels, wenn die angeforderten Daten mithilfe des privaten Schlüssels verschlüsselt wurden.
Das Verfahren gemäß Anspruch 30, wobei die Anforderung verschlüsselte Daten umfasst, die entschlüsselt werden sollen.
Das Verfahren gemäß Anspruch 30, wobei die Anforderung die angeforderten Daten identifiziert und wobei das Verfahren des Weiteren den Schritt des Abrufens (102) der angeforderten Daten umfasst.
Das Verfahren gemäß Anspruch 30, des Weiteren umfassend die folgenden Schritte: Speichern der entschlüsselten Daten im Kommunikationsgerät; und Löschen der entschlüsselten Daten, wenn das Kommunikationsgerät (30) in den blockierten Betriebszustand übergeht.
Das Verfahren gemäß Anspruch 33, wobei: der Schritt des Speicherns des ersten Verschlüsselungsschlüssels und des zweiten Verschlüsselungsschlüssels im Kommunikationsgerät (30) die Schritte des Verschlüsselns des symmetrischen Schlüssels und des Speicherns des verschlüsselten symmetrischen Schlüssels im Kommunikationsgerät (30) umfasst; der Schritt des Speicherns des privaten Schlüssels im Kommunikationsgerät (30) die Schritte des Verschlüsselns des privaten Schlüssels und des Speicherns des verschlüsselten privaten Schlüssels im Kommunikationsgerät (30) umfasst; der Schritt des Entschlüsselns (108) der angeforderten Daten mithilfe des symmetrischen Schlüssels den Schritt des Entschlüsselns des verschlüsselten symmetrischen Schlüssels umfasst; der Schritt des Entschlüsselns (106) der angeforderten Daten mithilfe des privaten Schlüssels den Schritt des Entschlüsselns des verschlüsselten privaten Schlüssels umfasst.
Das Verfahren gemäß Anspruch 34, wobei der Schritt des Entschlüsselns (108) der angeforderten Daten mithilfe des symmetrischen Schlüssels den Schritt des Speicherns des entschlüsselten symmetrischen Schlüssels im Kommunikationsgerät umfasst und der Schritt des Entschlüsselns (106) der angeforderten Daten mithilfe des privaten Schlüssels den Schritt des Speicherns des entschlüsselten privaten Schlüssels im Kommunikationsgerät (30) umfasst.
Das Verfahren gemäß Anspruch 35, wobei: der Schritt des Entschlüsselns (108) der angeforderten Daten mithilfe des symmetrischen Schlüssels den Schritt des Ermittelns, ob der entschlüsselte symmetrische Schlüssel im Kommunikationsgerät (30) gespeichert ist, und den Schritt des Abrufens des entschlüsselten symmetrischen Schlüssels, wenn der entschlüsselte symmetrische Schlüssel im Kommunikationsgerät (30) gespeichert ist, umfasst; und der Schritt des Entschlüsselns (106) der angeforderten Daten mithilfe des privaten Schlüssels den Schritt des Ermittelns, ob der entschlüsselte private Schlüssel im Kommunikationsgerät gespeichert ist, und den Schritt des Abrufens des entschlüsselten privaten Schlüssels, wenn der entschlüsselte private Schlüssel im Kommunikationsgerät (30) gespeichert ist, umfasst.
Das Verfahren gemäß Anspruch 35, des Weiteren umfassend den Schritt des Löschens des entschlüsselten symmetrischen Schlüssels und des entschlüsselten privaten Schlüssels, wenn das Kommunikationsgerät (30) in den blockierten Betriebszustand übergeht.
Das Verfahren gemäß Anspruch 26, des Weiteren umfassend die folgenden Schritte: Erstellen eines Datenelement-Verweises (86), bestehend aus einer Datenelement-Kennung und einem Speicherort der verschlüsselten empfangenen Daten im Speicher (32); und Speichern des Datenelement- Verweises (86) im Speicher (32), wobei die empfangenen Daten aus einem Datenelement (85) mit einer Datenelement-Kennung bestehen.
Das Verfahren gemäß Anspruch 26, wobei der Schritt des Speicherns (82) der verschlüsselten empfangenen Daten die folgenden Schritte umfasst: Ermitteln, ob die empfangenen Daten im Zusammenhang stehen mit vorhandenen Daten, die im Speicher (32) gespeichert sind, und Anhängen (84) der verschlüsselten empfangenen Daten an die vorhandenen Daten im Speicher (32), wenn die Ermittlung (80) für die empfangenen Daten ergeben hat, dass sie im Zusammenhang mit den vorhandenen Daten stehen.
Das Verfahren gemäß Anspruch 39, wobei die empfangenen Daten und die vorhandenen im Zusammenhang stehenden Daten Datenblöcke eines Datenelements (85) bilden, das Datenelement (85) einem Datenelement-Verweis (86) zugeordnet ist, der eine Datenelement-Kennung und einen Speicherort der vorhandenen im Zusammenhang stehenden Daten im Speicher (32) umfasst, und der Schritt des Anhängens (84) der verschlüsselten empfangenen Daten die folgenden Schritte umfasst: Ermitteln einer Länge der verschlüsselten empfangenen Daten; Erzeugen einer Kennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; Hinzufügen der Länge und der Kennung zu den verschlüsselten empfangenen Daten; und Anhängen der Länge, der Kennung und der verschlüsselten empfangenen Daten an die vorhandenen im Zusammenhang stehenden Daten.
Das Verfahren gemäß Anspruch 26, wobei die empfangenen Daten aus einem Datenelement (85) mit einer Datenelement-Kennung bestehen, des Weiteren umfassend die folgenden Schritte: Erstellen eines Datenelement- Headers (92), wobei der Datenelement-Header (92) besteht aus der Datenelement-Kennung, aus einer Blocklänge der verschlüsselten empfangenen Daten, aus einem Speicherort der verschlüsselten empfangenen Daten im Speicher (32) und aus einer Schlüsselkennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; und Speichern des Datenelement-Headers im Speicher (32), wobei es sich beim ersten Verschlüsselungsschlüssel um einen symmetrischen Schlüssel handelt, der in verschlüsselter Form gespeichert ist, und es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel handelt, der einem privaten Schlüssel zugeordnet ist.
Das Verfahren gemäß Anspruch 41, wobei der Schritt des Speicherns (82) der verschlüsselten empfangenen Daten die folgenden Schritte umfasst: Ermitteln (80), ob die empfangenen Daten im Zusammenhang stehen mit im Speicher (32) gespeicherten vorhandenen Daten und mit einem im Speicher (32) gespeicherten vorhandenen Daten-Header; und wenn die Ermittlung für die empfangenen Daten ergeben hat, dass sie im Zusammenhang stehen mit den vorhandenen Daten und mit dem vorhandenen Daten-Header: Ermitteln einer Länge der verschlüsselten empfangenen Daten; Erzeugen einer Kennung, die angibt, ob die verschlüsselten empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels oder mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurden; Hinzufügen der ermittelten Länge und der erzeugten Kennung zum Datenelement-Header; und Anhängen (84) der verschlüsselten empfangenen Daten an die vorhandenen im Zusammenhang stehenden Daten.
Das Verfahren gemäß Anspruch 26, wobei der Schritt des Verschlüsselns (76) der empfangenen Daten mithilfe des ersten Verschlüsselungsschlüssels die folgenden Schritte umfasst: Ermitteln, ob die empfangenen Daten im Zusammenhang stehen mit vorhandenen Daten, die im Speicher gespeichert sind; Ermitteln, ob die vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurden, wenn die empfangenen Daten im Zusammenhang stehen mit vorhandenen verschlüsselten Daten, die im Speicher gespeichert sind; und wenn die vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurden: Entschlüsseln der vorhandenen verschlüsselten Daten mithilfe des ersten Verschlüsselungsschlüssels; Anhängen der empfangenen Daten an die entschlüsselten vorhandenen Daten, um einen kombinierten Datenblock zu bilden; und Verschlüsseln des kombinierten Datenblocks mithilfe des ersten Verschlüsselungsschlüssels.
Das Verfahren gemäß Anspruch 40, des Weiteren umfassend die folgenden Schritte: Speichern eines ersten Verschlüsselungsschlüssels und eines zweiten Verschlüsselungsschlüssels im Kommunikationsgerät (30); Empfangen einer Anforderung für das Datenelement (85) von einem System im Kommunikationsgerät (30); für jeden Datenblock (87B, 88B, 89B) im Datenelement (85): Ermitteln, ob zum Verschlüsseln des Datenblocks der erste oder der zweite Verschlüsselungsschlüssel verwendet wurde; Entschlüsseln des Datenblocks mithilfe des ersten Verschlüsselungsschlüssels, wenn der Datenblock mithilfe des ersten Verschlüsselungsschlüssels verschlüsselt wurde; Entschlüsseln des Datenblocks mithilfe des privaten Verschlüsselungsschlüssels, wenn der Datenblock mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurde; und Bereitstellen jedes der entschlüsselten Datenblöcke im Datenelement an das System im Kommunikationsgerät (30), wobei es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel handelt, der einem privaten Schlüssel zugeordnet ist.
Das Verfahren gemäß Anspruch 44, umfassend die folgenden Schritte: für jeden Datenblock im Datenelement (85), das mithilfe des zweiten Verschlüsselungsschlüssels verschlüsselt wurde: Verschlüsseln des entschlüsselten Datenblocks mithilfe des ersten Verschlüsselungsschlüssels, um einen neu-verschlüsselten Datenblock zu erzeugen; und Ersetzen des Datenblocks (87B, 88B, 89B) durch den neu-verschlüsselten Datenblock im Speicher (32).
Das Verfahren gemäß Anspruch 44, umfassend die folgenden Schritte: Verschlüsseln des entschlüsselten Datenelements mithilfe des ersten Verschlüsselungsschlüssels, um ein neu-verschlüsseltes Datenelement zu erzeugen; und Ersetzen des Datenelements (85) im Speicher (32) durch das neu-verschlüsselte Datenelement.
Das Verfahren gemäß Anspruch 26, umfassend die folgenden Schritte: Aktivieren (60) des Datenschutzes im Kommunikationsgerät (30); Ermitteln (62), ob im Kommunikationsgerät (30) ein gesperrter Betriebszustand aktiviert ist, in dem der erste Verschlüsselungsschlüssel nicht zugänglich ist; Auffordern (64) eines Benutzers des Kommunikationsgeräts zum Aktivieren des gesperrten Betriebszustands, wenn der gesperrte Betriebszustand noch nicht auf dem Kommunikationsgerät (30) aktiviert ist; und Erzeugen (66) des ersten Verschlüsselungsschlüssels, des zweiten Verschlüsselungsschlüssels und eines dritten Verschlüsselungsschlüssels, wenn der gesperrte Betriebszustand im Kommunikationsgerät (30) aktiviert ist.
Das Verfahren gemäß Anspruch 47, wobei es sich beim zweiten Verschlüsselungsschlüssel um einen öffentlichen Schlüssel und beim dritten Verschlüsselungsschlüssel um einen privaten Schlüssel handelt, der dem öffentlichen Schlüssel zugeordnet ist.
Das Verfahren gemäß Anspruch 48, wobei der Schritt des Erzeugens (66) den Schritt des Sammelns von Pseudozufallsinformationen aus den Benutzereingaben in das Kommunikationsgerät (30) umfasst.