DE60203277T2

DE60203277T2 - Verfahren und system zur authentifizierung eines personal security device gegenüber mindestens einem fernrechnersystem

Info

Publication number: DE60203277T2
Application number: DE60203277T
Authority: DE
Inventors: Louis Yves AUDEBERT; Olivier Ottawa CLEMOT
Original assignee: ActivCard Ireland Ltd
Current assignee: ActivCard Ireland Ltd
Priority date: 2001-04-30
Filing date: 2002-04-09
Publication date: 2006-03-30
Anticipated expiration: 2022-04-10
Also published as: EP1384370A1; DE60203277D1; US7316030B2; WO2002089444A1; US20040143762A1; ATE291319T1; EP1384370B1

Description

1. GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft ein Verfahren und ein System zum Authentifizieren einer persönlichen Sicherheitsvorrichtung (Personal Security Device – PSD) gegenüber mindestens einem Ferncomputersystem (1050). Insbesondere betrifft die Erfindung ein Verfahren und ein System zum Authentifizieren einer persönlichen Sicherheitsvorrichtung (PSD) gegenüber einer Vielzahl von Ferncomputersystemen.
2. ALLGEMEINER STAND DER TECHNIK
Eines der einfachsten und am häufigsten verwendeten Authentifizierungsverfahren, das eingesetzt wird, ist das statische Kennwort, wodurch ein Clientrechner von einem Endbenutzer ein vorgegebenes Kennwort abfragt. Sobald der Endbenutzer das richtige Kennwort liefert, wird ihm Zugriff auf geschützte Funktionen oder Daten gewährt, die in einem oder mehreren Ferncomputersystemen verfügbar sind. Eine beträchtliche Einschränkung des derzeitigen Stands der Technik besteht darin, dass örtlich begrenzte Authentifizierungsvorgänge potenziell anfällig für Gefährdungen durch unberechtigte Programme sind, die auf dem lokalen Client laufen, oder durch andere unerlaubte Mittel, die den Authentifizierungsvorgang des Kennworts überwachen sollen. Bei einem Authentifizierungsvorgang über einen einzigen Punkt sind alle Orte, die die gleichen Sicherheitscodes nutzen, im Allgemeinen ebenfalls gefährdet, sobald eine Eintrittsstelle zu einem Netzwerk gefährdet ist.
Bei einem Sicherheitsverfahren, das häufig verwendet wird, um Schwierigkeiten durch die Authentifizierung über einen einzigen Punkt zu bewältigen, wird mit getrennten statischen Kennwörtern für jede vorgegebene geschützte Ressource gearbeitet. Obwohl dieses Verfahren eine Verbesserung gegenüber einem einzelnen, mehrfach verwendbaren Kennwort darstellt, ist dieses Verfahren immer noch anfällig für eine unerlaubte Kennwortüberwachung, muss sich ein Endbenutzer mehrere Kennwörter merken und blockiert Netzwerkressourcen, indem der gesamte Authentifizierungsvorgang jedes Mal wiederholt wird, wenn Zugriff auf eine andere geschützte Ressource verlangt wird.
Aus praktischer Erwägung führt die Notwendigkeit, dass sich ein Endbenutzer mehrere verschiedene Kennwörter merken muss, üblicherweise auch dazu, dass das gleiche Kennwort für alle geschützten Ressourcen verwendet wird, wodurch der ganze Zweck verfehlt wird, mehrere Authentifizierungen mit statischen Kennwörtern durchzuführen.
Bei einem ausgereifteren Ansatz als den zuvor beschriebenen Verfahren werden persönliche Sicherheitsvorrichtungen (PSD) wie Chipkarten verwendet, wodurch die Speicherung mehrerer Berechtigungsnachweise, Kennwörter, Zertifikate, privater Schlüssel usw. möglich ist. Durch die Verwendung von Chipkarten ist die Möglichkeit wesentlich verringert, Kennwörter zu beeinträchtigen. Jedoch sind PSDs immer noch etwas anfällig gegenüber der unerlaubten Überwachung während Vorgängen mit dem lokalen Client. Eine zusätzliche Beschränkung dieses Verfahrens wird deutlich beim Versuch, mehrere Authentifizierungsvorgänge mit einer einzelnen PSD über eine Netzwerkverbindung durchzuführen. Da die PSD ein langsames serielles Gerät ist, kann zu einem Zeitpunkt nur ein Vorgang stattfinden. Zusätzlich werden Konkurrenzsituationen in Netzwerken sowie die Arbeitsgeschwindigkeit der Prozessoren besonders problematisch, wenn Verbindungen geringer Bandbreite (z.B. Wählverbindungen) zwischen einem Client und einem Ferncomputersystem während der Authentifizierung mit der PSD hergestellt werden.
In der US-Patentschrift 5,778,071 ist eine tragbare Sicherheitsvorrichtung zum Aufbau einer sicheren Übertragungsverbindung zwischen einem Ferncomputersystem und einer Rechenanlage offenbart, die mit der Vorrichtung verbunden werden kann. Bei dieser Anlage umfasst die tragbare Sicherheitsvorrichtung Authentifizierungsmittel, Verschlüsselungs- und Entschlüsselungsmittel und dient zur Vermittlung der Kommunikation zwischen der lokalen Rechenanlage und dem Ferncomputersystem insoweit, als dass sie abgehende Daten verschlüsselt, die von dieser Rechenanlage über ein Netzwerk an das Ferncomputersystem übertragen werden sollen, und ankommende Daten entschlüsselt, die sie von dem Ferncomputersystem empfangen hat. Die tragbare Vorrichtung benötigt daher eine doppelte Übertragungsschnittstelle: eine Netzschnittstelle zum Netzwerk und einen Übertragungsanschluss zum Computersystem.
3. KURZDARSTELLUNG DER ERFINDUNG
Es ist eine Aufgabe der vorliegenden Erfindung, ein sichereres Verfahren zum Authentifizieren einer PSD gegenüber mindestens einem Ferncomputersystem bereitzustellen.
Diese Aufgabe wird mit einem Verfahren nach Anspruch 1 oder einem System nach Anspruch 15 gelöst.
Bei diesem Verfahren erfolgt die Verarbeitung sensibler Daten nur innerhalb des Ferncomputersystems/der Ferncomputersysteme, d.h. in (einem) sehr sicheren und geschützten Bereich(en), wodurch die Möglichkeit des unberechtigten Zugriffs oder des Abfangens stark verringert ist.
Es ist eine weitere Aufgabe der vorliegenden Erfindung, mehrere Authentifizierungsvorgänge zwischen einer einzelnen PSD und einer Vielzahl von Ferncomputersystemen zu erleichtern.
Gemäß einer ersten Ausführungsform kann diese weitere Aufgabe der Erfindung mit einem Verfahren zum Authentifizieren der mindestens einen PSD gegenüber mindestens einem nachfolgenden Ferncomputersystem erreicht werden, die in funktioneller Hinsicht mit dem mindestens einen ersten Ferncomputersystem durch ein zweites Netzwerk verbunden ist, wobei das Verfahren zusätzlich zu den zuvor genannten Schritten weiterhin die folgenden Schritte umfasst:

– aa) Erzeugen oder Abrufen einer zweiten Authentifizierungsherausforderung in dem mindestens einen nachfolgenden Ferncomputersystem,
– ab) Übertragen der zweiten Authentifizierungsherausforderung von dem mindestens einen nachfolgenden Ferncomputersystem zu dem mindestens einen ersten Ferncomputersystem über das zweite Netzwerk,
– ac) Umwandeln der zweiten Authentifizierungsherausforderung in eine PSD-formatierte Nachricht,
– ad) Übertragen der zweiten Authentifizierungsherausforderung von dem mindestens einen ersten Ferncomputersystem zu der mindestens einen PSD durch den mindestens einen Kommunikationskanal,
– ae) Herausfordern der mindestens einen PSD mit der zweiten Authentifizierungsherausforderung und dadurch Erzeugen einer zweiten Authentifizierungsantwort,
– af) Übertragen der zweiten Authentifizierungsantwort von der mindestens einen PSD zu dem mindestens einen ersten Ferncomputersystem durch den mindestens einen Kommunikationskanal,
– ag) Übertragen der zweiten Authentifizierungsantwort von dem mindestens einen ersten Ferncomputersystem zu dem mindestens einen nachfolgenden Ferncomputersystem über das zweite Netzwerk, und
– ah) Authentifizieren der zweiten Authentifizierungsantwort in dem mindestens einen nachfolgenden Ferncomputersystem.

Gemäß einer zweiten Ausführungsform kann die weitere Aufgabe der Erfindung mit einem Verfahren zum Authentifizieren der mindestens einen PSD gegenüber mindestens einem nachfolgenden Ferncomputersystem erreicht werden, die in funktioneller Hinsicht mit dem mindestens einen ersten Ferncomputersystem durch ein zweites Netzwerk verbunden ist, wobei das Verfahren zusätzlich zu den zuvor genannten Schritten weiterhin die folgenden Schritte umfasst:

– ba) Senden eines Befehls zum Übertragen von Berechtigungsnachweisen an die mindestens eine PSD,
– bb) Übertragen der Berechtigungsnachweise von der mindestens einen PSD an das mindestens eine erste Ferncomputersystem durch den mindestens einen Kommunikationskanal,
– bc) Speichern der Berechtigungsnachweise in dem mindestens einen ersten Ferncomputersystem,
– bd) Erzeugen oder Abrufen einer zweiten Authentifizierungsherausforderung in dem mindestens einen nachfolgenden Ferncomputersystem,
– be) Übertragen der zweiten Authentifizierungsherausforderung von dem mindestens einen nachfolgenden Ferncomputersystem zu dem mindestens einen ersten Ferncomputersystem über das zweite Netzwerk,
– bf) Herausfordern der gespeicherten Berechtigungsnachweise mit der zweiten Authentifizierungsherausforderung und dadurch Erzeugen einer zweiten Authentifizierungsantwort,
– bg) Übertragen der zweiten Authentifizierungsantwort von dem mindestens einen ersten Ferncomputersystem zu dem mindestens einen nachfolgenden Ferncomputersystem über das zweite Netzwerk, und
– bh) Authentifizieren der zweiten Authentifizierungsantwort in dem mindestens einen nachfolgenden Ferncomputersystem.

Bei der ersten und zweiten Ausführungsform führt das erste Ferncomputersystem, das den Kommunikationskanal mit der PSD herstellt und aufrechterhält, eine Anfangsauthentifizierung durch und dient dann als ein sicherer Hub und Authentifizierungsproxy des Clients für nachfolgende Ferncomputersysteme, die die Authentifizierung des Clients fordern.
In einer Multitasking-Betriebssystemumgebung erfolgen mehrere Authentifizierungen als Hintergrundvorgänge, die für den Endbenutzer offenkundig sind. Das Ferncomputersystem, das als ein sicherer Hub dient, kann mehrere Kommunikationskanäle mit anderen Clients bilden, die an ein Netzwerk angeschlossen sind. Die Authentifizierungsvorgänge erfolgen schneller und nahtloser, da Ferncomputersysteme im Allgemeinen mit einer höheren Netzwerkbandbreite und Verarbeitungsleistung ausgestattet sind als lokale Clients.
Durch das Verlegen des Authentifizierungsvorgangs auf ein Ferncomputersystem, das als ein sicherer Hub dient, wird ein einfacheres Mittel zum Ausführen einer Ende-zu-Ende-Authentifizierung und zum Pflegen eines Logbuchs von Vorgängen authentifizierter Endbenutzer und von Vorgängen mit nachfolgenden Ferncomputersystemen bereitgestellt, da alle Authentifizierungsvorgänge durch das Ferncomputersystem, das als ein sicherer Hub dient, geleitet werden.
Bei der ersten Ausführungsform der Erfindung führt das Ferncomputersystem, das als ein sicherer Hub dient, die Anfangsauthentifizierung des Clients durch und leitet dann nachfolgende Authentifizierungsherausforderungen durch den Kommunikationskanal zur PSD zur Verarbeitung innerhalb der PSD, leitet dann die durch die PSD erzeugte Authentifizierungsantwort über ein Netzwerk zurück durch den Kommunikationskanal und zu dem herausfordernden Ferncomputersystem.
Bei der zweiten Ausführungsform der Erfindung führt das Ferncomputersystem, das als ein sicherer Hub dient, die Anfangsauthentifizierung des Clients durch und kopiert dann, wenn nicht bereits vorhanden, die Authentifizierungs-Berechtigungsnachweise der PSD durch den Kommunikationskanal an einen sicheren Speicherort innerhalb des sicheren Hubs. Der sichere Hub, der die übertragenen PSD-Berechtigungsnachweise und entsprechenden Algorithmen verwendet, authentifiziert den Client gegenüber nachfolgenden Ferncomputersystemen durch Emulieren der PSD.
Bei beiden Ausführungsformen können bei der Übertragung zwischen lokalen Clients und Ferncomputersystemen über ein oder mehrere Netzwerke sichere Kommunikationsprotokolle wie TCP/IP mit Secure Socket Layer (SSL) Verschlüsselung, IPSec usw. verwendet werden, wodurch die Wahrscheinlichkeit unberechtigten Zugriffs oder Abfangens weiter verringert wird. Bei nicht geschützten Vorgängen mit der PSD ist die sichere Übertragung freigestellt.
Zusätzliche Verbesserungen der Sicherheit können durch Aufbau eines sicheren Kommunikationskanals zwischen der PSD und dem Ferncomputersystem, das als ein sicherer Hub dient, erleichtert werden, d.h. einem Kommunikationskanal, der kryptographische Ende-zu-Ende-Mittel umfasst (siehe Abschnitt 5.1.2).
Derartige kryptographische Mittel können durch softwaregestützte Sicherheitsabläufe oder durch ein Hardware-Sicherheitsmodul (HSM) ausgeführt sein, das in funktioneller Hinsicht mit dem Ferncomputersystem, das als ein sicherer Hub dient, verbunden ist.
Es ist eine weitere Aufgabe der Erfindung, ein System zum Ausführen des zuvor erwähnten Verfahrens bereitzustellen.
4. KURZBESCHREIBUNG DER ZEICHNUNGEN
1 ist ein verallgemeinertes Blockdiagramm des Systems zum Ausführen eines einfachen Kommunikationskanals,
2 ist ein ausführliches Blockdiagramm, das das Erstellen eines einfachen Kommunikationskanals zeigt,
3 ist ein ausführliches Blockdiagramm, das das Herstellen eines einfachen Kommunikationskanals zeigt,
4A ist ein verallgemeinertes Blockdiagramm des Systems zum Ausführen eines sicheren Kommunikationskanals, das softwaregestützte Sicherheitsabläufe umfasst,
4B ist ein verallgemeinertes Blockdiagramm des Systems zum Ausführen eines sicheren Kommunikationskanals, das HSM-gestützte Sicherheitsabläufe umfasst,
5 ist ein ausführliches Blockdiagramm, das das Erstellen eines sicheren Kommunikationskanals zeigt,
6 ist ein ausführliches Blockdiagramm, das das Herstellen eines sicheren Kommunikationskanals zeigt,
7 ist ein allgemeines Blockdiagramm des Systems zum Ausführen der Authentifizierung einer PSD gegenüber mindestens einem Ferncomputersystem,
8 ist ein ausführliches Blockdiagramm, das die Anfangsauthentifizierungsherausforderung veranschaulicht (erste Ausführungsform der Erfindung),
9 ist ein ausführliches Blockdiagramm, das die Anfangsauthentifizierungsantwort veranschaulicht (erste Ausführungsform der Erfindung),
10 ist ein ausführliches Blockdiagramm, das die Fernauthentifizierungsherausforderung veranschaulicht (erste Ausführungsform der Erfindung),
11 ist ein ausführliches Blockdiagramm, das die Fernauthentifizierungsantwort veranschaulicht (erste Ausführungsform der Erfindung),
12 ist ein ausführliches Blockdiagramm, das die Übertragung der Authentifizierungs-Berechtigungsnachweise veranschaulicht (zweite Ausführungsform der Erfindung),
13 ist ein ausführliches Blockdiagramm, das die Fernauthentifizierungsherausforderung veranschaulicht (zweite Ausführungsform der Erfindung),
14 ist ein ausführliches Blockdiagramm, das die Fernauthentifizierungsantwort veranschaulicht (zweite Ausführungsform der Erfindung).
5. AUSFÜHRLICHE BESCHREIBUNG DER ERFINDUNG
In einem ersten Teil (Abschnitt 5.1) wird in der vorliegenden „Ausführlichen Beschreibung der Erfindung" offenbart, wie ein einfacher Kommunikationskanal und ein sicherer Kommunikationskanal zwischen einer PSD und einem Ferncomputersystem im Allgemeinen herzustellen ist.
In einem zweiten Teil (Abschnitt 5.2) wird in der vorliegenden „Ausführlichen Beschreibung der Erfindung" offenbart, wie die Sicherheit eines Authentifizierungsvorgangs einer PSD gegenüber einem Ferncomputersystem mithilfe des sicheren Kommunikationskanals verbessert werden kann, und wie das Ferncomputersystem als ein sicherer Hub zur Authentifizierung der PSD gegenüber einer Vielzahl nachfolgender Ferncomputersysteme verwendet werden kann.
Der zweite Teil der „Ausführlichen Beschreibung" stützt sich auf die Verwendung eines sicheren Kommunikationskanals, jedoch ist die vorliegende Erfindung nicht auf eine derartige Verwendung beschränkt.
Die Verwendung eines einfachen Kommunikationskanals, d.h. eines Kommunikationskanals, der keine kryptographischen Ende-zu-Ende-Mechanismen umfasst, fällt in den Schutzbereich der vorliegenden Erfindung.
Es ist auch festzuhalten, dass die folgende Beschreibung der Erfindung auf einer PSD beruht, die APDU-(Anwendungsprotokoll-Dateneinheit)formatierte Nachrichten empfängt und sendet.
Das APDU-Übertragungsformat, das an sich im Fachgebiet bekannt ist, ist ein Übertragungsformat einer unteren Ebene, durch das eine PSD mit Anwendungen höherer Ebenen Daten austauschen kann, die sich in Vorrichtungen befinden, mit denen die PSD verbunden werden soll.
Es muss eindeutig sein, dass die vorliegende Erfindung nicht auf die Verwendung eines APDU-Übertragungsformats beschränkt ist und dass jedes andere Übertragungsformat einer niedrigen Ebene in den Schutzbereich der vorliegenden Erfindung fällt, das von der PSD verarbeitet werden kann.
In den zugehörigen Ansprüchen ist eine Nachricht, die ein derartiges Format aufweist, durch den allgemeinen Ausdruck „PSD-formatierte Nachricht" bezeichnet.
5.1 Aufbau eines Kommunikationskanals
5.1.1 Einfacher Kommunikationskanal
Mit Bezug auf 1 ist ein verallgemeinertes Blockdiagramm der Systemarchitektur eines Clients 10 und eines Ferncomputersystems 50 gezeigt. Die unterschiedlichen Schichten, die gezeigt sind, beruhen auf dem Modell für die Kommunikation der offenen Systeme (OSI). Der Einfachheit halber sind einige Schichten, die sowohl dem Client als auch dem Ferncomputersystem gemeinsam sind, nicht gezeigt und sind als vorhanden und in benachbarte Schichten eingebunden anzunehmen. Die Schichten, die sowohl einem Client als auch einem Ferncomputersystem gemeinsam sind, umfassen:

– eine Anwendungsschicht 90, die im Allgemeinen Softwareanwendungen höherer Ebene (z.B. Textverarbeitung) und eine Benutzeroberfläche wie eine grafische Benutzeroberfläche (GUI) umfasst,
– eine Anwendungsschnittstellenschicht (API) 100 zum Verarbeiten und Bearbeiten von Daten, die entweder von Anwendungen höherer oder unterer Ebenen verwendet werden,
– eine Kommunikationsschicht 105, die Kommunikationsprogramme einschließlich sicherer Kommunikationsfähigkeiten umfasst, durch die ein Client in der Lage ist, mit einem Ferncomputersystem Daten auszutauschen, um Informationen gemäß einem vereinbarten Protokoll und umgekehrt auszutauschen,
– eine Betriebssystemschicht 110 oder eine entsprechende Laufzeitumgebung, die die Zuordnung und Verwendung von Hardwareressourcen wie Speicher, CPU-Zeit, verfügbarer Speicherplatz, Zuweisung von Eingabe-Ausgabeanschlüssen, Peripheriegeräteverwaltung steuert,
– eine Hardwaretreiberschicht 120, durch die das Betriebssystem Daten mit physikalischen Geräten austauschen kann, die an den Eingabe-Ausgabe-Bus des Clients oder dem Ferncomputersystem angeschlossen sind, und sie steuern kann
– und eine Schicht 130 physikalischer Geräte, in der Netzwerkkarten (NIC) 140 die physikalische Verbindung zu einem Fernmeldenetz 45 bereitstellen. Es können auch weitere Geräte 80 in dieser Schicht angeschlossen sein.

5.1.1.1 Besondere Merkmale des Clients
Ein Spezialprogramm, das in der API-Schicht 100 des Clients enthalten ist und als Pipe Client 15 bezeichnet wird, und die Kommunikationsprogramme, die innerhalb der Kommunikationsschicht 105 enthalten sind, beeinflussen sich gegenseitig. Der Pipe Client 15 dient dazu, eingekapselte APDU-Anfragen zum Verarbeiten durch eine lokal angeschlossene PSD 40 von ankommenden Nachrichtenpaketen zu trennen, die über ein Netzwerk 45 empfangen werden. Wahlweise werden nach außen gerichtete APDU-Antworten, die durch eine lokal angeschlossene PSD 40 erzeugt werden, von dem Pipe Client zum Einkapseln in ein vereinbartes Kommunikationsprotokoll durch die Kommunikationsprogramme, die in der Kommunikationsschicht 105 enthalten sind, verarbeitet.
Ein Softwaretreiber, der in der Kommunikationsschicht 105 des Clients enthalten ist und als PSD-Softwareschnittstelle 20 bezeichnet wird, leitet ankommende APDUs, die vom Pipe Client 15 übertragen wurden, in den Eingabe-Ausgabe-Geräteanschluss, der die PSD-Geräteschnittstelle 25 mit der lokal angeschlossenen PSD 40 verbindet. Abgehende APDUs, die durch die PSD erzeugt werden, werden durch die PSD-Geräteschnittstelle 25 durch den Eingabe-Ausgabe-Geräteanschluss zur PSD-Softwareschnittstelle 20 übertragen und anschließend zum Pipe Client 15 übertragen.
5.1.1.2 Besondere Merkmale des Ferncomputersystems
Ein erstes Spezialprogamm, das in der API-Schicht 100 des Ferncomputersystems 50 enthalten ist und als eine APDU-Schnittstelle 55 bezeichnet wird, übersetzt Übertragungsformate höherer Ebene in das APDU-Übertragungsformat der unteren Ebene, das erforderlich ist, um mit einer PSD 40 Daten auszutauschen. Wahlweise übersetzt die APDU-Schnittstelle 55 ankommende APDU-Antworten, die sie von einer PSD 40 empfängt, in Übertragungsformate höherer Ebene, die von Programmen in der API-Schicht 100 und der Anwendungsschicht 90 des Ferncomputersystems verwendet werden.
Ein zweites Spezialprogramm, das in der API-Schicht 100 des Ferncomputersystems 50 enthalten ist und als ein Pipe Server 70 bezeichnet wird, und die Kommunikationsprogramme, die innerhalb der Kommunikationsschicht 105 enthalten sind, beeinflussen sieh gegenseitig. Der Pipe Server 70 dient dazu, eingekapselte APDU-Anfragen zum Verarbeiten durch die APDU-Schnittstelle 55 von ankommenden Nachrichtenpaketen zu trennen, die von einem Netzwerk 45 empfangen werden. Wahlweise werden nach außen gerichtete APDU-Anfragen, die von der APDU-Schnittstelle 55 übersetzt wurden, von dem Pipe Server zum Einkapseln in ein vereinbartes Kommunikationsprotokoll durch die Kommunikationsprogramme, die in der Kommunikationsschicht 105 enthalten sind, verarbeitet.
5.1.1.3 Weitere Merkmale
Die Verbindung 30 zwischen der PSD 40 und der PSD-Hardwareschnittstelle 25 umfasst, ist jedoch nicht beschränkt auf, herkömmliche elektrische oder Glasfaserverbindungen oder drahtlose Mittel einschließlich optischer, funktechnischer, akustischer, magnetischer oder elektromechanischer Mittel. Ebenso können die Verbindung 75 zwischen dem Client 10 und dem Netzwerk 45 und die Verbindung 75 zwischen dem Ferncomputersystem 50 und dem Netzwerk 45 dementsprechend ausgeführt sein.
Das Netzwerk, das ganz allgemein unter 45 gezeigt ist, umfasst sowohl öffentliche als auch private Fernmeldenetze, die durch herkömmliche elektrische, optische, elektroakustische (DTMF) oder durch andere drahtlose Mittel verbunden sind. Jedes gemeinsam vereinbarte Kommunikationsprotokoll, das APDU-Befehle einkapseln kann, kann verwendet werden, um einen einfachen Kommunikationskanal herzustellen, einschließlich offener oder sicherer Kommunikationsprotokolle.
Mit Bezug auf 2 ist das Erstellen eines einfachen Kommunikationskanals zwischen dem Ferncomputersystem 50 und der PSD 40 gezeigt, die an einen Client 10 angeschlossen ist. Bei dieser Darstellung sendet das Ferncomputersystem 50 eine Anfrage an die PSD 40 bezüglich der ungeschützten, eingebetteten Information 35, zum Beispiel einer Identifikationsnummer. Die PSD 40 ist mithilfe der PSD-Schnittstelle 25 mit dem lokalen Client 10 verbunden 30. Die PSD-Schnittstelle 25 tauscht über den Geräteanschluss 5 Daten mit dem Client 10 aus.
Um einen einfachen Kommunikationskanal zwischen dem Ferncomputersystem 50 und der PSD 40 zu erstellen, erzeugt das Ferncomputersystem 50 über die API-Programme 100 eine Anfrage 200, die durch die APDU-Schnittstelle 55 in das APDU-Format 220 übersetzt und zum Einkapseln der Nachricht an den Pipe Server 70 gesendet wird. Die eingekapselten APDUs werden dann zum Einfügen in die abgehenden Nachrichtenpakete 230 an die Kommunikationsprogramme 105S gesendet 210.
Die Nachrichtenpakete 230, die die eingekapselten APDUs enthalten, werden über eine Netzwerkkarte (E/A) 130S über das Netzwerk 45 übertragen 75. Der Client 10 empfängt die Nachrichtenpakete 240, die die eingekapselten APDUs enthalten, die über eine Netzwerkkarte (E/A) 130C vom Netzwerk 45 empfangen werden, die auf dem lokalen Client eingebaut ist. Die ankommenden Nachrichten werden von den clientseitigen Kommunikationsprogrammen 105C verarbeitet und zum Extrahieren der APDUs in den Pipe Client 15 geleitet 250. Die extrahierten APDUs werden durch den Geräteanschluss 5 gesendet 260, in die PSD-Schnittstelle 25 geleitet 270 und über die Verbindung 30 an die PSD 40 zum Verarbeiten innerhalb des PSD-Bereichs 35 gesendet.
Wahlweise Anfragen zur Bildung eines einfachen Kommunikationskanals 75 zwischen einem Ferncomputersystem 50 und einer PSD 40 können dadurch ausgelöst werden, dass der Client 10 Zugriff auf Informationen verlangt, die auf einem oder mehreren vernetzten lokalen Clients enthalten sind, durch Verbindung einer PSD 40 mit der PSD-Schnittstelle 25, die eine Anfrage zur Bildung eines einfachen Kommunikationskanals 75 auslöst oder dadurch, dass ein weiteres Ferncomputersystem Zugriff auf die PSD 40 verlangt.
Mit Bezug auf 3 ist eine Antwort der PSD gezeigt, wodurch der einfache Kommunikationskanal zwischen der PSD 40 und dem Ferncomputersystem 50 hergestellt wird. Bei dieser Darstellung wird die zuvor empfangene Anfrage innerhalb des PSD-Bereichs 35 verarbeitet, der eine Antwortnachricht erzeugt. Die Antwort der PSD wird im APDU-Format von der PSD 40 durch die Verbindung 30 und in die PSD-Schnittstelle 25 gesendet. Die Antwort der PSD wird dann durch den Geräteanschluss 5 geleitet 370 und zum Verarbeiten und zum Einkapseln an den Pipe Client 15 gesendet 360. Die entstehenden Nachrichtenpakete werden dann zum Einfügen in die abgehenden Nachrichtenpakete 340 an die clientseitigen Kommunikationsprogramme 105C gesendet 350. Die Nachrichtenpakete 340, die die eingekapselten APDUs enthalten, werden über die Netzwerkkarte (E/A) 130C über das Netzwerk 45 übertragen 75.
Das Ferncomputersystem 50 empfängt die Nachrichtenpakete 330, die die eingekapselten APDUs enthalten, die von dem Netzwerk 45 über die Netzwerkkarte (E/A) 130S empfangen werden, die auf dem Ferncomputersystem eingebaut ist. Die ankommenden Nachrichten werden von den serverseitigen Kommunikationsprogrammen 105S verarbeitet und zum Extrahieren der APDUs in den Pipe Server 70 geleitet 310. Die extrahierten APDUs werden zum Verarbeiten und Übersetzen in ein Format höherer Ebene an die APDU-Schnittstelle 55 gesendet 320 und zum Verarbeiten und auf Wunsch für weitere Vorgänge mit der PSD 40 an die Programme 100 der API-Ebene gesendet 300.
5.1.2 Sicherer Kommunikationskanal
Mit Bezug auf 4A ist ein verallgemeinertes Blockdiagramm einer Ausführung eines sicheren Kommunikationskanals des Systems gezeigt. Das allgemeine Blockdiagramm des Systems umfasst ein zusätzliches softwaregestütztes Ver- und Entschlüsselungsmodul 470, das auf dem Ferncomputersystem eingebaut ist, das in 1 nicht gezeigt ist.
4B zeigt eine Wahlmöglichkeit zur Verwendung von softwaregestützten Sicherheitsabläufen. Bei dieser Wahlmöglichkeit wird ein Hardware-Sicherheitsmodul (HSM) 440 eingesetzt, um kryptographische Aufgaben zu erfüllen. Um auf das HSM zuzugreifen, ist in der API-Schicht 100 ein Softwaretreiber enthalten, der als eine HSM-S/W-Schnittstelle 475 bezeichnet wird. Der HSM-Softwaretreiber tauscht Daten mit einer Schnittstelle für physikalische Geräte aus, die in der Schicht 130 physikalischer Geräte enthalten ist. Die Schnittstelle für physikalische Geräte ist auf dem Eingangs-Ausgangs-Bus des Ferncomputersystems eingebaut und wird als eine HSM-H/W-Schnittstelle 485 bezeichnet. Das HSM-Modul 440 ist mit der HSM-H/W-Schnittstelle auf eine Art verbunden 430, die der zuvor beschriebenen Verbindung der PSD mit der PSD-Schnittstelle entspricht. Die Nutzung von HSM-Verfahren bietet Ende-zu-Ende-Sicherheit, durch die die Möglichkeit der unberechtigten Weitergabe kryptographischer oder sensibler Informationen weiter verringert wird.
Beide Sicherheitsabläufe zur APDU-Übertragung, die in den 4A und 4B gezeigt sind, werden verwendet, um kryptographische Schlüssel zu erzeugen, die notwendig sind, um den Zugriff auf geschützte Funktionen und Daten zu ermöglichen, die sich in dem sicheren Bereich einer PSD befinden, um abgehende APDUs zu verschlüsseln und ankommende verschlüsselte APDUs zu entschlüsseln. Zu den Sicherheitsabläufen, die bei der Bildung eines sicheren Kanals verwendet werden, können synchrone, asynchrone oder jede Verbindung kryptographischer Verfahren zählen.
Sichere Kommunikationsprotokolle, die zur Übertragung über ein Netzwerk verwendet werden, werden durch die Kommunikationsprogramme ausgeführt, die in den Kommunikationsschichten 105 enthalten sind. Bei der Kryptographie, die zur Herstellung einer sicheren Datenübertragung verwendet wird, können die Sicherheitsabläufe eingesetzt werden, die für die APDU-Übertragung beschrieben sind, können besondere Abläufe oder jede Verbindung davon verwendet werden.
Mit Bezug auf 5 ist die Erstellung eines sicheren Kanals zwischen dem Ferncomputersystem und der PSD 40 gezeigt, die an den Client 10 angeschlossen ist. Bei dieser Darstellung sendet das Ferncomputersystem 50 eine sichere Anfrage an die PSD 40 bezüglich der geschützten, eingebetteten Information 35, zum Beispiel einem Authentifizierungskennwort. Die PSD 40 ist über die PSD-Schnittstelle 25 mit dem lokalen Client 10 verbunden 30. Die PSD-Schnittstelle 25 tauscht über den Geräteanschluss 5 Daten mit dem Client 10 aus.
Um einen sicheren Kommunikationskanal zwischen dem Ferncomputersystem 50 und der PSD 40 zu erstellen, wird eine Anfrage 500 in dem Ferncomputersystem 50 erzeugt, um über die API-Programme 100 auf die PSD 40 zuzugreifen, die durch die APDU-Schnittstelle 55 in das APDU-Format übersetzt wird. Die APDUs werden dann zum Verschlüsseln mithilfe eines vorher festgelegten kryptographischen Verfahrens an ein Sicherheitsmodul 525 gesendet 520. Die geeigneten kryptographischen Parameter können mithilfe einer Nachschlagetabelle oder Datenbank bestimmt werden, wodurch Querverweise zwischen den einzigartigen internen Kenndaten der PSD und einem oder mehreren Codes erstellt werden, der oder die notwendig für die Ausführung des gewählten kryptographischen Verfahrens sind.
Die verschlüsselten APDUs werden dann zum Einkapseln der Nachricht an den Pipe Server 70 geleitet 510. Die eingekapselten APDUs werden dann zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in die abgehenden Nachrichtenpakete 535 an die Kommunikationsprogramme 105 gesendet 530. Die sicheren Nachrichtenpakete 535, die die verschlüsselten und eingekapselten APDUs enthalten, werden über eine Netzwerkkarte (E/A) 1305 über das Netzwerk 45 übertragen 75.
Der Client 10 empfängt die Nachrichtenpakete 540, die die verschlüsselten und eingekapselten APDUs enthalten, die über eine Netzwerkkarte (E/A) 130C vom Netzwerk 45 empfangen werden, die auf dem lokalen Client 10 eingebaut ist.
Die ankommenden verschlüsselten Nachrichtenpakete werden von den clientseitigen Kommunikationsprogrammen 105C mithilfe der vorher festgelegten kryptographischen Verfahren entschlüsselt und verarbeitet, die in dem sicheren Kommunikationsprotokoll verwendet werden. Die unverschlüsselten Nachrichtenpakete, die immer noch die verschlüsselten APDUs enthalten, werden zum Extrahieren der APDUs in den Kommunikationskanal 15 des Clients geleitet 550. Die extrahierten APDUs werden durch den Geräteanschluss 5 gesendet 560, in die PSD-Schnittstelle 25 geleitet 570 und über die Verbindung 30 an die PSD 40 zum Entschlüsseln und Verarbeiten innerhalb des sicheren Bereichs 35 der PSD 40 gesendet. Mithilfe eines vorher festgelegten kryptographischen Verfahrens werden ankommende sichere APDUs entschlüsselt und Anfragen verarbeitet.
Mit Bezug auf 6 ist eine sichere Antwort der PSD gezeigt, wodurch der sichere Kommunikationskanal zwischen der PSD 40 und dem Ferncomputersystem 50 hergestellt wird. Bei dieser Darstellung wird die zuvor empfangene sichere Anfrage innerhalb des sicheren Bereichs 35 der PSD 40 verarbeitet, wodurch die PSD mithilfe eines vorher festgelegten kryptographischen Verfahrens eine sichere Antwortnachricht erzeugt.
Die sichere Antwort der PSD wird im APDU-Format von der PSD 40 durch die Verbindung 30 und in die PSD-Schnittstelle 25 gesendet. Die sichere Antwort der PSD wird dann durch den Geräteanschluss 5 geleitet 670 und zum Verarbeiten und zum Einkapseln an den Pipe Client 15 gesendet 660. Die entstehenden Nachrichtenpakete werden dann zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in die abgehenden Nachrichtenpakete 640 an die clientseitigen Kommunikationsprogramme 105 gesendet 650. Die Nachrichtenpakete 640, die die eingekapselten APDUs enthalten, werden über die Netzwerkkarte (E/A) 130C über das Netzwerk 45 übertragen 75.
Das Ferncomputersystem 50 empfängt die Nachrichtenpakete 635, die die eingekapselten APDUs enthalten, von dem Netzwerk 45 über die Netzwerkkarte (E/A) 130S, die auf dem Ferncomputersystem eingebaut ist. Die ankommenden Nachrichten werden von den serverseitigen Kommunikationsprogrammen 105 mithilfe des vorher festgelegten kryptographischen Verfahrens verarbeitet und entschlüsselt, das in dem sicheren Kommunikationsprotokoll verwendet wird, und zum sicheren Extrahieren der APDUs in den Pipe Server 70 geleitet 610. Die extrahierten sicheren APDUs werden zum Entschlüsseln der sicheren APDUs mithilfe des vorher festgelegten kryptographischen Verfahrens an das Sicherheitsmodul 525 gesendet 630. Die entschlüsselten APDUs werden dann zum Verarbeiten und Übersetzen in ein Format höherer Ebene an die APDU-Schnittstelle 55 geleitet 620 und auf Wunsch zum Verarbeiten und für weitere Vorgänge mit der PSD 40 an die API-Programme 100 gesendet 600.
Durch diesen Schritt wird der sichere „Kanal" für den Datenaustausch mit der PSD hergestellt. Der sichere Kanal wird aufrechterhalten, bis das Ferncomputersystem dem Client anzeigt, den Geräteanschluss 5 zu schließen.
Es soll keine Beschränkung in der Anzahl der PSDs und Clients gelten, die die Kommunikationskanäle 75 mit einem oder mehreren Ferncomputersystemen) 50 bilden, noch soll eine Beschränkung in der Anzahl der Ferncomputersysteme 50 aus den Zeichnungen abgeleitet werden, die für die Bildung der Kommunikationskanäle 75 verfügbar sind. Schließlich soll keine Beschränkung hinsichtlich des auslösenden Ereignisses für den Aufbau eines Kommunikationskanals gelten.
5.2 Authentifizierungsverfahren und -system mithilfe eines Kommunikationskanals
Wie bereits zuvor erwähnt, beruht die Beschreibung des Authentifizierungsverfahrens und -systems auf dem Einsatz eines sicheren Kommunikationskanals, jedoch ist die vorliegende Erfindung nicht auf einen derartigen Einsatz beschränkt.
Der Einsatz eines einfachen Kommunikationskanals fällt in den Schutzbereich der vorliegenden Erfindung.
Die Schritte bei der Ausführung einer Authentifizierung durch einen sicheren Kommunikationskanal sind in den 7 bis 14 gezeigt. 7 ist ein verallgemeinertes Blockdiagramm des Systems. Die 8 bis 11 veranschaulichen eine erste Ausführungsform der Erfindung, bei der die Antworten auf die Authentifizierungsherausforderungen innerhalb des sicheren Bereichs einer persönlichen Sicherheitsvorrichtung erzeugt werden. Die 12 bis 14 veranschaulichen eine zweite Ausführungsform der Erfindung, bei der ein Ferncomputersystem, das als sicherer Hub dient, die passende Antwort auf die Authentifizierungsherausforderungen liefert, anstatt die Herausforderungen zur Verarbeitung durch den Kommunikationskanal in die PSD zu leiten. Die Zeichen, die mit einem Strich versehen sind (z.B. C') zeigen ein Doppel eines ursprünglichen Authentifizierungs-Berechtigungsnachweises an. Andere Zeichnungsangaben, die gezeigt, jedoch nicht beschrieben sind, beziehen sich auf Angaben, die im vorigen Abschnitt 5.1 beschrieben sind.
Mit Bezug auf 7 ist ein verallgemeinertes Blockdiagramm des Systems der Erfindung dargestellt, in dem eine persönliche Sicherheitsvorrichtung 1040 mit einem Client 1010 verbunden ist, der wiederum selbst mithilfe eines sicheren Kommunikationskanals 1075, wie im vorigen Abschnitt 5.1.2 beschrieben, über ein Netzwerk 1045 mit einem Ferncomputersystem 1050 verbunden ist. Das Ferncomputersystem 1050 arbeitet nach der Anfangsauthentifizierung, wie im Folgenden beschrieben, als ein sicherer Hub, um Authentifizierungsanfragen zu bearbeiten, die von nachfolgenden Ferncomputersystemen erfolgen und über ein Netzwerk 1045 oder 1045A gesendet werden.
Das nachfolgende Ferncomputersystem 1150 ist ein Beispiel für ein System, das eine Authentifizierung verlangt, wenn eine Anfrage nach geschützten Funktionen oder Daten von dem Clientrechner 1010 über die Netzwerke 1045 und 1045A gesendet wird. Der sichere Kommunikationskanal 1075 findet Anwendung bei Authentifizierungsvorgängen, schränkt jedoch nicht sichere Vorgänge, die über beide Netzwerke 1045 oder 1045A stattfinden, nicht ein noch steuert er sie.
Die Netzwerke 1045 und 1045A können wie in einer virtuellen privaten Netzwerkanordnung ein gemeinsames Netzwerk sein oder getrennte Netzwerke wie im privaten Intranet und dem öffentlichen Internet. Die Netzwerke 1045 und 1045A sind lediglich zur Veranschaulichung getrennt dargestellt. Es soll keine Beschränkung in der Anzahl der PSDs und Clients gelten, die die Kommunikationskanäle 1075 mit einem oder mehreren sicheren Hubs 1050 bilden; noch soll eine Beschränkung der Anzahl der nachfolgenden Ferncomputersysteme 1150 aus der Zeichnung abgeleitet werden, die für die Authentifizierung zur Verfügung stehen. Vorgänge ohne Authentifizierung sind nicht auf den sicheren Hub beschränkt.
Der grundlegende Vorgang des sicheren Hubs kann ausgelöst werden, wenn ein Endbenutzer an einem Client Zugriff auf geschützte Funktionen oder Daten verlangt, die ein oder mehrere Ferncomputersysteme enthalten, die durch ein Netzwerk verbunden sind. Ein verfügbares Ferncomputersystem, in dem ein sicherer Kommunikationskanal hergestellt wurde, wie im vorigen Abschnitt 5.1.2 beschrieben, authentifiziert den Endbenutzer und den Client mithilfe der Sicherheitsabläufe, die in dem sicheren Bereich der PSD enthalten sind. Wahlweise kann ein äußeres Ereignis wie die Notwendigkeit, Informationen innerhalb einer PSD auf den neuesten Stand zu bringen, dazu führen, dass ein nachfolgendes Ferncomputersystem den Authentifizierungsvorgang auslöst.
Sobald eine Anfangsauthentifizierung des Clients durch das verfügbare Ferncomputersystem ausgeführt ist, werden nachfolgende Authentifizierungsherausforderungen, die über ein Netzwerk 1045 oder 1045A übertragen werden und durch nachfolgende Ferncomputersysteme erfolgen, zu dem Ferncomputersystem 1050 geleitet, das als ein sicherer Hub dient, und werden in Abhängigkeit von der Art der verwendeten Ausführungsform der Erfindung entweder durch den entsprechenden Kommunikationskanal 1075 zur PSD 1040 geleitet oder werden unmittelbar durch das Ferncomputersystem 1050 authentifiziert.
5.2.1 Erste Ausführungsform der Erfindung
Um einen sicheren Hub herzustellen, sorgt mit Bezug auf 8 ein Client 1010 dafür, dass eine Authentifizierungsherausforderung in einem Ferncomputersystem 1050 erzeugt wird, indem er Zugriff auf geschützte Funktionen oder Daten über ein Netzwerk 1045 verlangt. Wenn es die Anfrage von dem Client 1010 empfängt, erzeugt das Ferncomputersystem 1050 eine Authentifizierungsherausforderung 1205 innerhalb eines sicheren Bereichs, der als Authentifizierungsprogramm 1065 bezeichnet wird. Die Authentifizierungsherausforderung wird durch ein Programm 1100 auf API-Ebene verarbeitet und zum Übersetzen in ein APDU-Format an eine APDU-Schnittstelle 1055 geleitet 1200. Die APDUs werden dann zum Verschlüsseln an ein Sicherheitsmodul 1225 gesendet 1220. Die verschlüsselten APDUs werden dann zum Einkapseln in die abgehende Übertragung an den Pipe Server 1070 geleitet 1230 und zur Übertragung über den Kommunikationskanal 1075 durch das Netzwerk 1045 in die Netzschnittstelle 1130C des Clients 10 an die Kommunikationsprogramme 1105S gesendet 1210. Die ankommenden Nachrichten werden dann zur Verarbeitung an die Kommunikationsprogramme 1105C geleitet 1240.
Nach der Verarbeitung werden die Nachrichten zur Trennung der eingekapselten APDUs an einen Pipe Client 1015 gesendet 1250. Die APDUs werden dann durch einen Geräteanschluss 1005, der einer PSD-Schnittstelle 1025 zugewiesen ist, gesendet 1260. Die PSD-Schnittstelle 1025 leitet die ankommenden APDUs über die Verbindung 1030 in die PSD 1040, wo sie anschließend in ihrem sicheren Bereich 1035 entschlüsselt und verarbeitet werden.
Mit Bezug auf 9 wird eine Authentifizierungsantwortnachricht mithilfe eines vorher festgelegten kryptographischen Verfahrens erzeugt, sobald die PSD 1040 die Authentifizierungsherausforderung in dem sicheren Bereich 1035 der PSD verarbeitet hat.
Die Authentifizierungsantwort wird im APDU-Format von der PSD 1040 durch die Verbindung 1030 und in die PSD-Schnittstelle 1025 gesendet. Die sichere Antwort der PSD wird dann durch den Geräteanschluss 1005 geleitet 1370 und zum Verarbeiten und zum Einkapseln an den Pipe Client 1015 gesendet 1360. Die entstehenden Nachrichtenpakete werden dann zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in die abgehenden Nachrichtenpakete 1340 an die clientseitigen Kommunikationsprogramme 1105C gesendet 1350. Die Nachrichtenpakete 1340, die die eingekapselten APDUs enthalten, werden über eine Netzwerkkarte (E/A) 1130C über das Netzwerk 1045 übertragen 1075.
Das Ferncomputersystem 1050 empfängt die Nachrichtenpakete 1335, die die eingekapselten APDUs enthalten, von dem Netzwerk 1045 über eine Netzwerkkarte (E/A) 1130S, die auf dem Ferncomputersystem eingebaut ist. Die ankommenden Nachrichten werden von den serverseitigen Kommunikationsprogrammen 1105S verarbeitet und mithilfe des vorher festgelegten kryptographischen Verfahrens entschlüsselt, das bei dem sicheren Kommunikationsprotokoll verwendet wird, und zum sicheren Extrahieren der APDUs in den Pipe Server 1070 geleitet 1310. Die extrahierten sicheren APDUs werden zum Entschlüsseln der sicheren APDUs mithilfe des vorher festgelegten kryptographischen Verfahrens zum Sicherheitsmodul 1325 gesendet 1330. Die entschlüsselten APDUs werden dann zum Verarbeiten und zum Übersetzen in ein Format höherer Ebene an die APDU-Schnittstelle 1055 geleitet und zum Verarbeiten an die Programme 1100 der API-Ebene gesendet 1300. Ist die Authentifizierung erfolgreich, erlaubt das Ferncomputersystem 1050 den Zugriff auf geschützte Funktionen oder Daten und richtet sich selbst als einen sicheren Hub ein. Ist die Authentifizierung nicht erfolgreich, kann der Endbenutzer nicht auf geschützte Funktionen oder Daten zugreifen.
Mit Bezug auf 10 kann die Fernauthentifizierung nachfolgender Ferncomputersysteme ausgeführt werden, sobald der sichere Hub eingerichtet ist, wie zuvor beschrieben. Die Fernauthentifizierung kann entweder durch eine Anforderung des Clients nach Zugriff auf geschützte Funktionen oder Daten ausgelöst werden oder durch andere Ferncomputersysteme, um Vorgänge innerhalb des sicheren Bereichs einer PSD auszuführen.
Um eine Fernauthentifizierung durchzuführen, wird eine Herausforderung 1085 von einem nachfolgenden Ferncomputersystem 1150 abgegeben. Die Herausforderung wird über ein Netzwerk 1045 in den sicheren Hub 1050 geleitet. Die ankommende Herausforderung von den serverseitigen Kommunikationsprogrammen 1105S wird in dem sicheren Hub 1050 verarbeitet und mithilfe des vorher festgelegten kryptographischen Verfahrens entschlüsselt, das bei dem sicheren Kommunikationsprotokoll verwendet wird, und an ein Programm 1100 auf API-Ebene geleitet 1085, wo sie verarbeitet wird, und zum Übersetzen in ein APDU-Format an eine APDU-Schnittstelle 1055 geleitet 1400. Die APDUs werden dann zum Verschlüsseln an ein Sicherheitsmodul 1425 gesendet 1420. Die verschlüsselten APDUs werden dann zum Einkapseln in die abgehende Übertragung an den Pipe Server 1070 geleitet 1430 und zur Übertragung über den Kommunikationskanal 1075 durch das Netzwerk 1045 in die Netzschnittstelle 1130C des Clients 1010 an die Kommunikationsprogramme 1105S gesendet 1410.
Die ankommenden Nachrichten werden dann zur Verarbeitung an die Kommunikationsprogramme 1105C geleitet 1440. Nach der Verarbeitung werden die Nachrichten zur Trennung der eingekapselten APDUs an einen Pipe Client 1015 gesendet 1450. Die APDUs werden dann durch einen Geräteanschluss 1005, der einer PSD-Schnittstelle 1025 zugewiesen ist, gesendet 1460. Die PSD-Schnittstelle 1025 leitet die ankommenden APDUs über die Verbindung 1030 in die PSD 1040, wo sie anschließend in ihrem sicheren Bereich 1035 entschlüsselt und verarbeitet werden.
Mit Bezug auf 11 wird eine Authentifizierungsantwortnachricht mithilfe eines vorher festgelegten kryptographischen Verfahrens erzeugt, sobald die PSD 1040 die Authentifizierungsherausforderung in ihrem sicheren Bereich 1035 verarbeitet hat. Die Authentifizierungsantwort wird im APDU-Format von der PSD 1040 durch die Verbindung 1030 und in die PSD-Schnittstelle 1025 gesendet. Die sichere Antwort der PSD wird dann durch den Geräteanschluss 1005 geleitet 1570 und zum Verarbeiten und zum Einkapseln an den Pipe Client 1015 gesendet 1560. Die entstehenden Nachrichtenpakete werden dann zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in die abgehenden Nachrichtenpakete 1540 an die clientseitigen Kommunikationspregramme 1105C gesendet 1550. Die Nachrichtenpakete 1540, die die eingekapselten APDUs enthalten, werden über die Netzwerkkarte (E/A) 1130C über das Netzwerk 1045 übertragen 1075.
Der sichere Hub 1050 empfängt die Nachrichtenpakete 1535, die die eingekapselten APDUs enthalten, von dem Netzwerk 1045 über die Netzwerkkarte (E/A) 1130S. Die ankommenden Nachrichten werden von den serverseitigen Kommunikationsprogrammen 1105S verarbeitet und mithilfe des vorher festgelegten kryptographischen Verfahrens entschlüsselt, das bei dem sicheren Kommunikationsprotokoll verwendet wird, und zum sicheren Extrahieren der APDUs in den Pipe Server 1070 geleitet 1510. Die extrahierten sicheren APDUs werden zum Entschlüsseln der sicheren APDUs mithilfe des vorher festgelegten kryptographischen Verfahrens zum Sicherheitsmodul 1525 gesendet 1530. Die entschlüsselten APDUs werden dann zum Verarbeiten und zum Übersetzen in ein Format höherer Ebene an die APDU-Schnittstelle 1055 geleitet 1520 und zum Verarbeiten an die Programme 1100 der API-Ebene gesendet 1500. Das Authentifizierungsmodul 1065 innerhalb des sicheren Hubs 1050 bleibt während der Übertragung der Authentifizierungsinformationen inaktiv. Die Authentifizierungsantwortnachricht wird dann in die Kommunikationsprogramme 11055 geleitet 1085, wo die Antwort über das Netzwerk 1045 gemäß einem vorher festgelegten sicheren Kommunikationsprotokoll an das herausfordernde nachfolgende Ferncomputersystem 1150 gesendet wird.
Die ankommende Antwortnachricht wird entschlüsselt und an ein Authentifizierungsmodul 1095 gesendet. Ist die Authentifizierung erfolgreich, erlaubt das nachfolgende Ferncomputersystem 1150 den Zugriff auf geschützte Funktionen oder Daten. Ist die Authentifizierung nicht erfolgreich, kann der Endbenutzer nicht auf geschützte Funktionen oder Daten zugreifen.
5.2.2 Zweite Ausführungsform der Erfindung
Mit Bezug auf 12 ist eine wahlweise Ausführungsform der vorliegenden Erfindung dargestellt, bei der das Ferncomputersystem 1050 Kopien der PSD-Berechtigungsnachweise C 1035 überträgt, wenn sie auf dem Ferncomputersystem 1050 nicht bereits vorhanden sind. Um eine Übertragung von Berechtigungsnachweisen durchzuführen, wird von dem Ferncomputersystem 1050 ein Anfangsauthentifizierungsvorgang ausgeführt, wie zuvor beschrieben. Nach der Authentifizierung, werden zusätzliche Befehle von dem Ferncomputersystem 1050 gesendet, um die festgelegten Berechtigungsnachweise zu übertragen.
Die Berechtigungsnachweise werden mithilfe eines vorher festgelegten kryptographischen Verfahrens erzeugt und im APDU-Format von der PSD 1040 durch die Verbindung 1030 und in die PSD-Schnittstelle 1025 gesendet. Die sichere Antwort der PSD wird dann durch den Geräteanschluss 1005 geleitet 1670 und zum Verarbeiten und zum Einkapseln an den Pipe Client 1015 gesendet 1660. Die entstehenden Nachrichtenpakete werden dann zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in die abgehenden Nachrichtenpakete 1640 an die clientseitigen Kommunikationsprogramme 1105C gesendet 1650. Die Nachrichtenpakete 640, die die eingekapselten APDUs enthalten, werden über eine Netzwerkkarte (E/A) 1130C über das Netzwerk 1045 übertragen 1075.
Das Ferncomputersystem 1050 empfängt die Nachrichtenpakete 1635, die die eingekapselten APDUs enthalten, von dem Netzwerk 1045 über die Netzwerkkarte (E/A) 1130S, die auf dem Ferncomputersystem eingebaut ist.
Die ankommenden Nachrichten werden von den serverseitigen Kommunikationsprogrammen 1105S verarbeitet und mithilfe des vorher festgelegten kryptographischen Verfahrens entschlüsselt, das bei dem sicheren Kommunikationsprotokoll verwendet wird, und zum sicheren Extrahieren der APDUs in den Pipe Server 1070 geleitet 1610. Die extrahierten sicheren APDUs werden zum Entschlüsseln der sicheren APDUs mithilfe des vorher festgelegten kryptographischen Verfahrens zum Sicherheitsmodul 1625 gesendet 1630. Die entschlüsselten APDUs werden dann zum Verarbeiten und zum Übersetzen in ein Format höherer Ebene an die APDU-Schnittstelle 1055 geleitet 1620 und zum Verarbeiten an die Programme 1100 der API-Ebene gesendet 1600 und anschließend zur sicheren Speicherung und weiteren Verwendung an das Authentifizierungsmodul 1065 gesendet 1605. Die übertragene Authentifizierungsinformation ist in 12 als C' gezeigt.
In 13 wird eine Authentifizierungsherausforderung 1085 von einem nachfolgenden Ferncomputersystem 1150 über ein Netzwerk 1045 gesendet. Das Ferncomputersystem 1050, das als ein sicherer Hub dient, empfängt die ankommende Herausforderung 1085 von dem Netzwerk 1045 über die Netzwerkkarte 1130S, die auf dem Ferncomputersystem 1050 eingebaut ist. Die ankommenden Herausforderungen 1085 werden von den serverseitigen Kommunikationsprogammen 1105S verarbeitet und mithilfe des vorher festgelegten kryptogaphischen Verfahrens entschlüsselt, das bei dem sicheren Kommunikationsprotokoll verwendet wird, und zum Verarbeiten an die Programme 1100 der API-Ebene geleitet. Die verarbeitete Herausforderung wird dann zur Authentifizierung an das Authentifizierungsmodul 1065 gesendet 1705, unter Verwendung der übertragenen Berechtigungsnachweise C' 1035' der PSD. Der Kommunikationskanal 1075 kann während dieses Vorgangs bestehen bleiben, damit andere Vorgänge stattfinden können.
Mit Bezug auf 14 erzeugt der sichere Hub 1050 eine Authentifizierungsantwort in dem Authentifizierungsmodul 1065, die zum Verarbeiten an die Programme 1100 der API-Ebene gesendet 1805 wird und anschließend zum Verarbeiten, Verschlüsseln mithilfe eines vorher festgelegten sicheren Kommunikationsprotokolls und zum Einfügen in abgehende Nachrichtenpakete an die serverseitigen Kommunikationsprogramme 1105S geleitet 1810 wird. Die Nachrichtenpakete werden über das Netzwerk 1045 an das herausfordernde nachfolgende Ferncomputersystem 1150 geleitet. Die ankommenden Nachrichten werden dann entschlüsselt und die Authentifizierungsantwort durch ein internes Authentifizierungsmodul 1095 verarbeitet. Ist die Authentifizierung erfolgeich, erlaubt das nachfolgende Ferncomputersystem 1150 den Zugriff auf geschützte Funktionen oder Daten. Ist die Authentifizierung nicht erfolgeich, kann der Endbenutzer nicht auf geschützte Funktionen oder Daten zugreifen.
Die vorstehend beschriebenen Ausführungsformen der Erfindung dienen der Veranschaulichung und Beschreibung. Sie sollen die Erfindung nicht auf genau die Formen beschränken, die beschrieben sind. Insbesondere ist beabsichtigt, dass die funktionelle Ausführung der Erfindung, die hier beschrieben ist, gleichwertig in Hardware-, Software-, Firmware- und/oder weiteren verfügbaren Funktionsbausteinen oder Baueinheiten ausgeführt sein kann. Weitere Abwandlungen und Ausführungsformen sind angesichts der vorgenannten Lehren möglich, und der Schutzumfang der Erfindung soll nicht durch diese „Ausführliche Beschreibung" beschränkt werden, sondern vielmehr durch die nachfolgenden Ansprüche.

Claims

Verfahren zum Authentifizieren von mindestens einer persönlichen Sicherheitsvorrichtung PSD (1040) gegenüber mindestens einem ersten Ferncomputersystem (1050) über ein erstes Netzwerk (1045) mittels mindestens einem Client (1010) als Hostrechner für die mindestens eine PSD (1040), wobei das Verfahren die folgenden Schritte umfasst: – a) Herstellen von mindestens einem Kommunikationskanal (1075) zum Übertragen von PSD-formatierten Nachrichten über das erste Netzwerk (1045) zwischen der mindestens einen PSD (1040) und dem mindestens einen ersten Ferncomputersystem (1050), – b) Erzeugen oder Abrufen einer ersten Authentifizierungsherausforderung (1205) als mindestens eine erste PSD-formatierte Nachricht (1220) in dem mindestens einen ersten Ferncomputersystem (1050), – c) Übertragen der ersten Authentifizierungsherausforderung (1205) von dem mindestens einen ersten Ferncomputersystem (1050) zu der mindestens einen PSD (1040) durch den mindestens einen Kommunikationskanal (1075), – d) Herausfordern der mindestens einen PSD (1040) mit der ersten Authentifizierungsherausforderung und dadurch Erzeugen einer ersten Authentifizierungsantwort als mindestens eine zweite PSD-formatierte Nachricht (1370), – e) Übertragen der ersten Authentifizierungsantwort von der mindestens einen PSD (1040) zu dem mindestens einen ersten Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075), und – f) Authentifizieren der ersten Authentifizierungsantwort (1305) in dem mindestens einen ersten Ferncomputersystem (1050), wobei das mindestens eine erste Ferncomputersystem die mindestens eine erste PSD-formatierte Nachricht in mindestens ein erstes Nachrichtendatenpaket gemäß einem Übertragungsprotokoll des ersten Netzwerks vor dem Übertragen an den mindestens einen ersten Client über das erste Netzwerk einkapselt und wobei der mindestens eine erste Client sie aus dem mindestens einen Nachrichtendatenpaket vor dem Übertragen an die PSD extrahiert, und wobei die mindestens eine zweite PSD-formatierte Nachricht im PSD-Format von der mindestens einen PSD (1040) an den mindestens einen ersten Client übertragen ist, von dem mindestens einen ersten Client in mindestens ein zweites Nachrichtendatenpaket gemäß einem Übertragungsprotokoll des ersten Netzwerks vor dem Übertragen über das Netzwerk an den mindestens einen ersten Fernrechner eingekapselt ist, und aus dem mindestens einen zweiten Nachrichtendatenpaket von dem mindestens einen ersten Fernrechner extrahiert ist.
Verfahren nach Anspruch 1, das weiterhin die folgenden Schritte umfasst: – b1) Verschlüsseln der ersten Authentifizierungsabfrage (1205) in dem mindestens einen ersten Ferncomputersystem (1050) nach dem Schritt b) und vor dem Schritt c), – c1) Entschlüsseln der ersten Authentifizierungsabfrage in der mindestens einen PSD (1040) nach dem Schritt c) und vor dem Schritt d), – d1) Verschlüsseln der ersten Authentifizierungsantwort in der mindestens einen PSD (1040) nach dem Schritt d) und vor dem Schritt e), und – e1) Entschlüsseln der ersten Authentifizierungsantwort in dem mindestens einen ersten Ferncomputersystem (1050) nach dem Schritt e) and vor dem Schritt f).
Verfahren nach Anspruch 1 oder 2 zum Authentifizieren der mindestens einen PSD (1040) gegenüber mindestens einem nachfolgenden Ferncomputersystem (1150), die in funktioneller Hinsicht mit dem mindestens einen ersten Ferncomputersystem (1050) durch ein zweites Netzwerk verbunden ist, wobei das Verfahren weiterhin die folgenden Schritte umfasst: – aa) Erzeugen oder Abrufen einer zweiten Authentifizierungsabfrage (1085) in dem mindestens einen nachfolgenden Ferncomputersystem (1150), – ab) Übertragen der zweiten Authentifizierungsabfrage (1085) von dem mindestens einen nachfolgenden Ferncomputersystem (1150) zu dem mindestens einen ersten Ferncomputersystem (1050) über das zweite Netzwerk, – ac) Umwandeln der zweiten Authentifizierungsabfrage (1085) in eine PSD-formatierte Nachricht, – ad) Übertragen der zweiten Authentifizierungsabfrage (1085) von dem mindestens einen ersten Ferncomputersystem (1050) zu der mindestens einen PSD (1040) durch den mindestens einen Kommunikationskanal (1075), – ae) Abfragen der mindestens einen PSD (1040) mit der zweiten Authentifizierungsabfrage und dadurch Erzeugen einer zweiten Authentifizierungsantwort, – af) Übertragen der zweiten Authentifizierungsantwort von der mindestens einen PSD (1040) zu dem mindestens einen ersten Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075), – ag) Übertragen der zweiten Authentifizierungsantwort von dem mindestens einen ersten Ferncomputersystem (1050) zu dem mindestens einen nachfolgenden Ferncomputersystem (1150) über das zweite Netzwerk, und – ah) Authentifizieren der zweiten Authentifizierungsantwort in dem mindestens einen nachfolgenden Ferncomputersystem (1150).
Verfahren nach Anspruch 3, das weiterhin die folgenden Schritte umfasst: – ac1) Verschlüsseln der zweiten Authentifizierungsabfrage (1085) in dem mindestens einen ersten Ferncomputersystem (1050) nach dem Schritt ac) und vor dem Schritt ad), – ad1) Entschlüsseln der zweiten Authentifizierungsabfrage in der mindestens einen PSD (1045) nach dem Schritt ad) und vor dem Schritt ae), – ae1) Verschlüsseln der zweiten Authentifizierungsantwort in der mindestens einen PSD (1040) nach dem Schritt ae) und vor dem Schritt af), und – af1) Entschlüsseln der zweiten Authentifizierungsantwort in dem mindestens einen ersten Ferncomputersystem (1050) nach dem Schritt af) und vor dem Schritt ag).
Verfahren nach Anspruch 1 oder 2 zum Authentifizieren der mindestens einen PSD (1040) gegenüber mindestens einem nachfolgenden Ferncomputersystem (1150), die in funktioneller Hinsicht mit dem mindestens einen ersten Ferncomputersystem (1050) durch ein zweites Netzwerk verbunden ist, wobei das Verfahren weiterhin die folgenden Schritte umfasst: – ba) Senden eines Befehls zum Übertragen von Berechtigungsnachweisen von dem mindestens einen erste Ferncomputersystem (1050) an die mindestens eine PSD (1040), – bb) Übertragen der Berechtigungsnachweise (C) von der mindestens einen PSD (1040) an das mindestens eine erste Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075), – bc) Speichern der Berechtigungsnachweise (C, C') in dem mindestens einen ersten Ferncomputersystem (1050), – bd) Erzeugen oder Abrufen einer zweiten Authentifizierungsabfrage (1085) in dem mindestens einen nachfolgenden Ferncomputersystem (1050), – be) Übertragen der zweiten Authentifizierungsabfrage (1085) von dem mindestens einen nachfolgenden Ferncomputersystem (1150) zu dem mindestens einen Ferncomputersystem (1010) über das zweite Netzwerk, – bf) Abfragen der gespeicherten Berechtigungsnachweise (C') mit der zweiten Authentifizierungsabfrage (1085) und dadurch Erzeugen einer zweiten Authentifizierungsantwort, – bg) Übertragen der zweiten Authentifizierungsantwort von dem mindestens einen ersten Ferncomputersystem (1050) zu dem mindestens einen nachfolgenden Ferncomputersystem (1150) über das zweite Netzwerk, und – bh) Authentifizieren, der zweiten Authentifizierungsantwort in dem mindestens einen nachfolgenden Ferncomputersystem (1150).
Verfahren nach Anspruch 3, das weiterhin die folgenden Schritte umfasst: – ba1) Verschlüsseln der Berechtigungsnachweise (C) in der mindestens einen PSD (1040) nach dem Schritt ba) und vor dem Schritt bb), und – bb1) Entschlüsseln der Berechtigungsnachweise in dem mindestens einen ersten Ferncomputersystem (1050) nach dem Schritt bb) und vor dem Schritt bc).
Verfahren nach Anspruch 1 oder 2, das den Schritt des Erstellens des Kommunikationskanals (1075) bei einer Anfrage umfasst, die der mindestens eine Client (1010) erzeugt.
Verfahren nach Anspruch 1 oder 2, das den Schritt des Erstellens des Kommunikationskanals (1075) durch mindestens ein vernetztes Ferncomputersystem umfasst.
Verfahren nach Anspruch 1, wobei die PSD-formatierten Nachrichten Nachrichten auf der Ebene der Anwendungsprotokoll-Dateineinheit nach dem OSI-Modell sind.
Client (1010) zum Authentifizieren mindestens einer PSD (1040) gegenüber mindestens einem ersten Ferncomputersystem (1050) durch mindestens einen Kommunikationskanal (1075), der über ein erstes Netzwerk (1045) hergestellt ist, wobei der Client (1010) als Hostrechner für die mindestens eine PSD (1040) dient, mittels des Authentifizierungsverfahrens nach Anspruch 1, wobei der Client Folgendes umfasst: – Mittel zum Herstellen des mindestens einen Kommunikationskanals (1075) zum Übertragen von PSD-formatierten Nachrichten über das erste Netzwerk (1045) zwischen der mindestens einen PSD (1040) und des mindestens einen ersten Ferncomputersystem (1050), wobei die Mittel zum Herstellen des Kommunikationskanals Folgendes umfassen: – Mittel zum Empfangen der mindestens einen ersten PSD-formatierten Nachricht von der PSD, – Mittel zum Einkapseln der mindestens einen ersten PSD-formatierten Nachricht, die von der PSD empfangen ist, in mindestens ein erstes Nachrichtendatenpaket gemäß einem Übertragungsprotokoll des ersten Netzwerks, – Mittel zum Übertragen des mindestens einen ersten Nachrichtendatenpakets über das erste Netzwerk an das mindestens eine erste Ferncomputersystem, – Mittel zum Empfangen von mindestens einem zweiten Nachrichtendatenpakets gemäß einem Übertragungsprotokoll des ersten Netzwerks, wobei das mindestens eine Nachrichtendatenpaket die mindestens eine zweite PSD-formatierte Nachricht einkapselt, – Mittel zum Extrahieren der mindestens einen zweiten PSD-formatierten Nachricht aus dem mindestens einen zweiten Nachrichtendatenpaket, das von dem mindestens einen ersten Ferncomputersystem empfangen ist, – Mittel zum Übertragen der mindestens einen zweiten PSD-formatierten Nachricht nach dem Extrahieren aus der mindestens einen zweiten Nachricht an die mindestens eine PSD (1040).
Ferncomputersystem (1050) zum Authentifizieren von mindestens einer PSD (1040) gegenüber dem Ferncomputersystem (1050) durch mindestens einen Kommunikationskanal (1075), der über ein erstes Netzwerk (1045) hergestellt ist, wobei der Client (1010) als Hostrechner für die mindestens eine PSD (1040) dient, mittels des Authentifizierungsverfahrens nach Anspruch 1, wobei das Ferncomputersystem (1050) Folgendes umfasst: – Mittel zum Herstellen des mindestens einen Kommunikationskanals (1075) über das erste Netzwerk (1045) zum Übertragen von PSD-formatierten Nachrichten zwischen der mindestens einen PSD (1040) und dem mindestens einen ersten Ferncomputersystem (1050), – Mittel zum Erzeugen oder Abfragen einer ersten Authentifizierungsabfrage (1205) als mindestens eine abgehende PSD-formatierte Nachricht (1220), – Mittel zum Übertragen der ersten Authentifizierungsabfrage (1205) zu der mindestens einen PSD (1040) durch den mindestens einen Kommunikationskanal (1075), – Mittel zum Authentifizieren einer ersten Authentifizierungsantwort (1305) auf die erste Authentifizierungsabfrage (1205), wobei die erste Authentifizierungsantwort (1305) von der mindestens einen PSD (1040) als mindestens eine ankommende PSD-formatierte Nachricht erzeugt ist und an das Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075) übertragen ist, wobei die Mittel zum Herstellen des Kommunikationskanals Folgendes umfassen – Mittel zum Einkapseln der mindestens einen abgehenden PSD-formatierten Nachricht in mindestens ein abgehendes Nachrichtendatenpaket gemäß einem Übertragungsprotokoll des ersten Netzwerks, – Mittel zum Übertragen des mindestens einen ersten Nachrichtendatenpakets über das erste Netzwerk an den mindestens einen ersten Client, – Mittel zum Empfangen von mindestens einem ankommenden Nachrichtendatenpaket durch das erste Netzwerk von dem mindestens einen ersten Client, wobei das mindestens eine ankommende Nachrichtendatenpaket die mindestens eine ankommende PSD-formatierte Nachricht einkapselt, – Mittel zum Extrahieren der mindestens einen ankommenden PSD-formatierten Nachricht aus dem mindestens einen ankommenden Nachrichtendatenpaket.
Ferncomputersystem (1050) nach Anspruch 11, weiterhin umfassend Schlüsselmittel (1225, 1325, 1425, 1525, 1625; 1725, 1825) zum Verschlüsseln der mindestens einen abgehenden PSD-formatierten Nachricht (1220, 1420) und zum Entschlüsseln der mindestens einen ankommenden PSD-formatierten Nachricht (1320, 1520; 1620).
Ferncomputersystem (1050) nach Anspruch 11, weiterhin umfassend Mittel zum: – Verarbeiten von mindestens einer zweiten Authentifizierungsabfrage (1085), die über ein zweites Netzwerk von mindestens einer nachfolgenden Ferncomputersystem (1150) empfangen ist, und Weiterleiten an die mindestens eine PSD (1040) durch den mindestens einen Kommunikationskanal (1075) als eine abgehende PSD-formatierte Nachricht, und zum – Verarbeiten von mindestens einer zweiten Authentifizierungsantwort auf die mindestens eine zweite Authentifizierungsabfrage (1085) und Weiterleiten an das mindestens eine nachfolgende Ferncomputersystem (1150), wobei die mindestens eine zweite Authentifizierungsantwort von der mindestens einen PSD (1040) erzeugt ist und an das mindestens eine nachfolgende Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075) als eine ankommende PSD-formatierte Nachricht (1520) übertragen ist.
Ferncomputersystem (1050) nach Anspruch 11, weiterhin umfassend Mittel zum Speichern von Berechtigungsnachweisen (C'), die von der mindestens einen PSD (1040) durch den mindestens einen Kommunikationskanal (1075) als eine ankommende PSD-formatierte Nachricht (1620) importiert sind, und Mittel zum Abrufen der gespeicherten Berechtigungsnachweise (C') mit mindestens einer zweiten Authentifizierungsabfrage (1085), die über ein zweites Netzwerk von mindestens einem nachfolgenden Ferncomputersystem (1150) empfangen ist.
Authentifizierungssystem zum Durchführen des Verfahrens aus Anspruch 1, das mindestens eine PSD (1040) umfasst, mindestens einen Client (1010) nach Anspruch 10 und mindestens ein erstes Ferncomputersystem (1050) nach einem der Ansprüche 11 bis 14 zum Authentifizieren der mindestens einen PSD (1040) gegenüber des mindestens einen ersten Ferncomputersystem (1050) über ein erstes Netzwerk (1045) mittels mindestens einem Client (1010) als Hostrechner für die mindestens eine PSD (1040), wobei die mindestens eine PSD (1040) Folgendes umfasst – Mittel zum Erzeugen einer ersten Authentifizierungsantwort auf die erste Authentifizierungsabfrage (1205) als mindestens eine zweite PSD-formatierte Nachricht (1370), und – Mittel zum Übertragen der ersten Authentifizierungsantwort auf das mindestens eine erste Ferncomputersystem (1050) durch den mindestens einen Kommunikationskanal (1075).
Authentifizierungssystem nach Anspruch 15, das weiterhin das mindestens eine nachfolgende Ferncomputersystem (1150) umfasst, die in funktioneller Hinsicht mit dem mindestens einen ersten Ferncomputersystem (1050) durch das zweite Netzwerk verbunden ist, wobei das mindestens eine nachfolgende Ferncomputersystem (1150) Mittel (1095) zum Erzeugen der mindestens einen zweiten Authentifizierungsabfrage (1085) umfasst, zum Übertragen der mindestens einen zweiten Authentifizierungsabfrage (1085) an das mindestens eine erste Ferncomputersystem (1050) durch das zweite Netzwerk und zum Authentifizieren der mindestens einen zweiten Authentifizierungsantwort auf die mindestens eine zweite Authentifizierungsabfrage (1085).
Authentifizierungssystem nach Anspruch 16, wobei das erste (1045) und das zweite Netzwerk ein gemeinsames Netzwerk bilden.