DE102005008966A1 - Periphery device access controlling method, involves examining access authorization of peripheral device, before accessing device on computer, where device is attached to computer over universal interface - Google Patents

Abstract

The method involves examining an access authorization of a peripheral device (3), before accessing the peripheral device on a computer (1), where the device is attached to the computer over a universal interface (11). An access code (331) is compared with a reference code, where the access code is provided by the peripheral device and/or a user of the device. Encrypted secrets of the device are compared with reference secrets. An independent claim is also included for an access control device for a peripheral device.

Description

Translated fromGerman

DieErfindung betrifft ein Verfahren und eine Vorrichtung zur Kontrollevon auf einen Computer zugreifenden Peripheriegeräten, sowiederartige Computer und Peripheriegeräte.TheThe invention relates to a method and a device for the controlfrom accessing a computer peripherals, as wellsuch computers and peripherals.

ExternePeripheriegerätekönnensich, nachdem sie übereine entsprechende Universalschnittstelle an ein Computersystemangeschlossen wurden, unter Umständenselbständiganmelden und vom Benutzer nicht kontrollierbar und unbemerkt Eingabenund Datenmanipulationen vornehmen. Diese Möglichkeit wird heutzutage bereitsvon vielen Peripheriegerätenausgenutzt, um beispielsweise Treiberprogramme auf dem Computersystemzu installieren bzw. dort zu starten.externalperipheralscanthemselves after they overa corresponding universal interface to a computer systemmay have been connected, under certain circumstancesindependentlog in and user uncontrollable and unnoticed inputsand data manipulation. This possibility is already todayfrom many peripheralsexploited, for example, driver programs on the computer systemto install or start there.

Untereiner Universalschnittstelle werden im folgenden die gängigen Computerschnittstellenverstanden, an die prinzipiell unterschiedlichste frei erhältlichePeripheriegeräteangeschlossen werden könnenund die nicht nur zum Anschließenbestimmter ausgewählterGeräteoder spezieller Medien geeignet sind, wie z. B. Chipkarten.UnderA universal interface will be the common computer interfaces belowunderstood, to the fundamentally different freely availableperipheralscan be connectedand not just for connectingcertain selectedequipmentor special media are suitable, such as. B. smart cards.

Für den Benutzereines Computersystems ergibt sich aus dem selbständigen Anmelden eines über eineUniversalschnittstelle an einem Computer angeschlossenen Peripheriegeräts die Gefahr,dass das selbständigeAufspielen von Daten des Peripheriegeräts unbeabsichtigt oder böswilligzur Schädigungenführenkann und dadurch Daten beschädigt, zerstört oderausgespähtwerden oder das System mit einem Virus infiziert wird.For the userof a computer system results from the independent registration of one over aUniversal interface attached to a computer peripherals the riskthat the independent oneLoading data from the peripheral device unintentionally or maliciouslyto damagesto leadcan damage, destroy or damage dataspiedor the system becomes infected with a virus.

DieseSicherheitsproblematik wird insbesondere durch moderne „Plug-and-Play"-Schnittstellentechnologienhervorgerufen, da füran derartigen Universalschnittstellen angeschlossene Peripheriegeräte, unterstützt durchdas jeweilige Betriebssystem des Computers, eine Anmeldeprozedurinitiiert wird, bei der ein geeigneter Treiber automatisch ausgewählt undinstalliert wird und das Gerätsofort in Betrieb genommen wird (sog. Hot-Plugin-Funktionalität).TheseSecurity issues are particularly acute with modern plug-and-play interface technologiescaused because ofPeripheral devices connected to such universal interfaces, supported bythe respective operating system of the computer, a login procedureis initiated, in which a suitable driver is automatically selected andis installed and the deviceimmediately put into operation (so-called hot-plugin functionality).

DieseTechnologie bringt aufgrund ihrer erhöhten Flexibilität und Vereinfachungder Verwendung externer Systemkomponenten wesentliche Sicherheitsproblemmit sich, die z. B. bei der Verwendung von USB-, PCMCIA-, PCI-,FireWire- (IEEE 1394), Bluetooth- oder Infrarotschnittstellen auftreten können, insbesonderein Kombination mit aktuellen Windows-Betriebssystemen.TheseTechnology brings because of their increased flexibility and simplificationthe use of external system components significant security problemwith himself, the z. When using USB, PCMCIA, PCI,FireWire (IEEE 1394), Bluetooth or infrared interfaces, in particularin combination with current Windows operating systems.

Indiesem Zusammenhang beschreibt die US 2003/0208698 A1 ein Zugriffskontrollverfahren zumAbsichern des umgekehrten Szenarios, nämlich des Auslesens von sensiblenDaten aus plug-and-play-fähigenPeripheriegerätenohne weitere Sicherheitsvorkehrungen durch nicht befugte Computersysteme.Das Problem der möglichenVerletzung der Datensicherheit des Computersystems durch schadhafteoder infizierte Peripheriegeräte wirdjedoch nicht gelöst.InIn this context, US 2003/0208698 A1 describes an access control method forSecuring the opposite scenario, namely the reading out of sensitive onesData from plug-and-play enabledperipheralswithout further security measures by unauthorized computer systems.The problem of the possibleViolation of the data security of the computer system by defective onesor infected peripheralsbut not solved.

Demzufolgeist es die Aufgabe der vorliegenden Erfindung, die Gefährdung derSystem- und Datensicherheit von Computersystemen durch Anschließen unsichererPeripheriegerätezu reduzieren.As a result,It is the object of the present invention, the threat to theSystem and data security of computer systems by connecting unsafe onesperipheralsto reduce.

DieseAufgabe wird erfindungsgemäß durch einVerfahren und eine Vorrichtung mit den Merkmalen der unabhängigen Ansprüche gelöst. In davon abhängigen Ansprüchen sindvorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung angegeben.TheseThe object is achieved by aMethod and apparatus solved with the features of the independent claims. In dependent claims areindicated advantageous embodiments and refinements of the invention.

Erfindungsgemäß wird für ein Peripheriegerät, das über eineUniversalschnittstelle an einen Computer angeschlossen wird, zunächst eineZugriffsberechtigung des Peripheriegeräts überprüft, bevor dem Peripheriegerät erlaubtwird, auf den Computer zuzugreifen. Auf diese Weise wird verhindert,dass ein an den Computer angeschlossenes Peripheriegerät automatischund vom Benutzer des Computers unbemerkt Daten des Computers auf schädigendeWeise manipuliert.According to the invention is for a peripheral device that has aUniversal interface is connected to a computer, first aAccess permission of the peripheral device checked before the peripheral device allowedis going to access the computer. This will preventthat a peripheral device connected to the computer automaticallyand unnoticed by the user of the computer data of the computer on harmfulWay manipulated.

Zudiesem Zweck umfasst die erfindungsgemäße Zugriffskontrolleinrichtungeine Überprüfungseinrichtungzum Überprüfen derZugriffsberechtigung eines übereine Universalschnittstelle an einen Computer angeschlossenen Peripheriegeräts.ToFor this purpose, the access control device according to the invention comprisesa verification deviceto check theAccess authorization of an overa universal interface to a peripheral device connected to a computer.

Die Überprüfungseinrichtungwird von einer Steuereinrichtung der Zugriffskontrolleinrichtungzum Überprüfen derZugriffsberechtigung des Peripheriegeräts veranlasst, sobald es anden Computer angeschlossen wird. Das Anschließen eines Peripheriegerätes initiiertalso die Überprüfung seinerZugriffsberechtigung.The checking deviceis from a controller of the access control deviceto check theAccess permission of the peripheral device causes, as soon as itthe computer is connected. Connecting a peripheral device initiatedSo the review of hisAccess.

Universalschnittstellen,deren neu angeschlossene Peripheriegeräte auf ihre Zugriffsberechtigung überprüft werden,umfassen prinzipiell alle universellen Schnittstellen, an die verschiedensteserielle und parallele Peripheriegeräte angeschlossen werden können, insbesondereHotplugin-fähige Schnittsellen,wie z . B. USB, PCMCIA, PCI, FireWire (IEEE 1394), etc., sowie auchkontaktlose Lösungen wieBluetooth oder Infrarotschnittstellen.Universal interface,whose newly connected peripherals are checked for their access authorization,basically include all universal interfaces, to the most diverseserial and parallel peripherals can be connected, in particularHotplugin-capable interfaces,such as USB, PCMCIA, PCI, FireWire (IEEE 1394), etc., as wellcontactless solutions such asBluetooth or infrared interfaces.

DerartigeUniversalschnittstellen des Computers werden von einer Schnittstellenüberwachung überwacht wobei diese Überwachung sowohl als Funktionalität des Computersausgebildet sein kann, beispielsweise durch sein Betriebssystem,oder als Funktionalitäteiner separaten Zugriffskontrolleinrichtung. Im erstgenannten Fallist sicherzustellen, dass die Schnittstellenüberwachung des Computers ein aneine Universalschnittstelle angeschlossenes Peripheriegerät an dieSteuereinrichtung der Zugriffskontrolleinrichtung meldet. Sobalddie Schnittstellenüberwachungein Peripheriegerätdetektiert, wird mittels der Steuereinrichtung die Überprüfung derZugriffsberechtigung veranlasst.Such universal interfaces of the computer are provided by an interface monitor monitored, wherein this monitoring can be configured both as a functionality of the computer, for example by its operating system, or as a functionality of a separate access control device. In the former case, it must be ensured that the interface monitoring of the computer reports a peripheral device connected to a universal interface to the control device of the access control device. As soon as the interface monitoring detects a peripheral device, the checking of the access authorization is initiated by means of the control device.

DieZugriffsberechtigung des Peripheriegeräts kann mittels eines Zugriffscodesnachgewiesen werden (zum Beispiel ein Passwort oder eine Zahlen- oder Zeichenkombination,aber auch eine Seriennummer des Computers oder Peripheriegeräts), der vondem Peripheriegerätund/oder dem Benutzer des Peripheriegeräts bereitzustellen ist. Imerstgenannten Fall wird die Überprüfung derZugriffsberechtigung ohne ein Eingreifen eines Benutzers und möglicherweisevon ihm unbemerkt durchgeführt,indem das Peripheriegeräteinen in einem Speicher des Peripheriegeräts befindlichen Zugriffscodean die Zugriffskontrolleinrichtung übermittelt und dort, veranlasstdurch deren Steuereinrichtung, von der Überprüfungseinrichtung mit einemReferenzcode verglichen wird. Wenn die beiden Codes übereinstimmen, wirddem Peripheriegerätvon der Steuereinrichtung der Zugriffskontrolleinrichtung der Zugriffauf Daten des Computers gestattet. Hierzu bedarf es allerdings einerspeziellen Ausgestaltung des Peripheriegeräts, denn es muss zumindestein Speicher fürden Zugriffscode umfassen.TheAccess authorization of the peripheral device can by means of an access codebe detected (for example, a password or a number or character combination,but also a serial number of the computer or peripheral device), ofthe peripheral deviceand / or the user of the peripheral device. in theThe first case will be the review of theAccess permission without user intervention and possiblyunnoticed by him,by the peripheral devicean access code located in a memory of the peripheral devicetransmitted to the access control device and there, promptedby the control device of the verification device with aReference code is compared. If the two codes match, thenthe peripheral devicefrom the controller of the access control device of the accessallowed on data of the computer. However, this requires onespecial design of the peripheral device, because it must at leasta memory forinclude the access code.

Imzweiten Fall bedarf es demgegenüberkeiner speziellen Ausgestaltung des Peripheriegeräts, da derBenutzer einen ihm bekannten Zugriffscode über eine entsprechende Eingabeeinrichtungdes Computers oder der Zugriffskontrolleinrichtung eingibt, um vonder Überprüfungseinrichtungmit dem Referenzcode verglichen zu werden. Selbstverständlich können beideMöglichkeitenauch kombiniert werden, so dass zum Nachweis der Zugriffsberechtigungder Zugriffscode sowohl von dem Peripheriegerät als auch von dem Benutzerbereitgestellt werden muss. Auch müssen diese beiden Zugriffscodesnicht notwendigerweise identisch sein.in thethe second case is requiredno special configuration of the peripheral device, since theUser a known access code via a corresponding input deviceof the computer or access control device in order to receive fromthe checking deviceto be compared with the reference code. Of course, both canoptionsalso be combined, so as to prove the access authorizationthe access code from both the peripheral device and the usermust be provided. Also, these two access codes must benot necessarily identical.

Alternativoder zusätzlichzur Eingabe eines Codes ist es möglich,die Zugriffsberechtigung des Peripheriegeräts mittels biometrischer Information desBenutzers zu erbringen. Hierzu bedarf es keiner speziellen Ausgestaltungdes Peripheriegeräts,wohl aber einer Sensoreinrichtung, die entweder eine integrale Komponenteder Zugriffskontrolleinrichtung sein kann oder an diese angeschlossenwird, um ein biometrisches Merkmal des Benutzers aufzuzeichnen.Als biometrische Sensoren bieten sich beispielsweise optische Sensorenzum Erfassen eines Fingerabdrucks oder der Retina des Benutzersoder Mikrophone zum Erfassen eines Stimmprofils an. Die erfasstebiometrische Information kann dann als solches oder in Form einesaus ihr extrahierten numerischen Merkmalsvektors durch die Überprüfungseinrichtungmit Referenzdaten verglichen werden, die in einem Speicher abgelegtsind, auf den die Steuerungs- bzw. Überprüfungseinrichtung der Zugriffskontrolleinrichtungzugreifen kann.alternativeor additionallyto enter a code it is possiblethe access authorization of the peripheral device by means of biometric information of theTo provide user. This requires no special designof the peripheral device,but probably a sensor device, either an integral componentthe access control device may be or connected to thisto record a biometric feature of the user.For example, optical sensors can be used as biometric sensorsfor capturing a fingerprint or the retina of the useror microphones for detecting a voice profile. The capturedBiometric information can then be as such or in the form of afrom it extracted numerical feature vector by the verifierbe compared with reference data stored in a memoryare on which the control or checking device of the access control devicecan access.

Eineweitere Möglichkeitder Überprüfung derZugriffsberechtigung eines Peripheriegeräts betrifft das Vergleichenkryptographisch gesicherter Daten. Dabei wird ein Geheimnis, dasauch der vorgenannte Zugriffscode sein kann, mittels eines geeignetenkryptographischen Verfahrens mit einem Schlüssel verschlüsselt, wobeidas Geheimnis wiederum entweder in einem Speicher des Peripheriegeräts abgelegtist oder vom Benutzer übereine geeignete Eingabevorrichtung der Zugriffskontrolleinrichtung oderdes Computers bereitgestellt wird. Als kryptographischer Schlüssel kannentweder ein spezieller, in einem Speicher des Peripheriegerätes vorliegenderSchlüs selverwendet werden, oder ein Schlüssel, derbei jeder Verwendung aus den biometrischen Daten des Benutzers abgeleitetwird, beispielsweise aus seinem Fingerabdruck. Das verschlüsselte Geheimniswird anschließendvon einer Kryptographieeinrichtung der Zugriffskontrolleinrichtungmit einem korrespondierenden Schlüssel entschlüsselt undmit einem vorliegenden Referenzgeheimnis verglichen. Falls die Verschlüsselungmit biometrischen Daten des Benutzers erfolgte, werden zur Entschlüsselung diekorrespondierenden biometrischen Referenzdaten verwendet, die ineinem Speicher abgelegt sind, auf den die Kryptographieeinrichtungder Zugriffskontrolleinrichtung zugreifen kann.Aanother possibilitythe review ofAccess authorization of a peripheral device concerns the comparisoncryptographically secured data. It becomes a secret, thatalso the aforementioned access code can be by means of a suitablecryptographic method encrypted with a key, whereinthe secret, in turn, either stored in a memory of the peripheral deviceis or by the usera suitable input device of the access control device orprovided by the computer. As a cryptographic key caneither a special, present in a memory of the peripheral deviceKeybe used, or a key thatderived from the user's biometric data with each useis, for example, from his fingerprint. The encrypted secretwill followfrom a cryptographic device of the access control devicedecrypted with a corresponding key andcompared with a present reference secret. If the encryptionwith biometric data of the user, the decryption is thecorresponding biometric reference data used ina memory are stored on which the cryptography devicethe access control device can access.

EinSchritt der Überprüfung derZugriffsberechtigung eines Peripheriegeräts kann ein Challenge-Response-Verfahrenumfassen oder aber einen Teilschritt nach dem Challenge-Response-Prinzip umfassen.Vorzugsweise wird eine Zufallszahl (Challenge) des Computers ineine kryptographische Operation des Peripheriegerätes zurErstellung eine Antwort an den Computer eingebunden. Beispielsweise kanndie Zufallszahl mit einem Schlüsseldes Peripheriegerätesverschlüsseltwerden, um dann als Antwort (Response) an den Computer zu dienen.OneStep of reviewing theAccess authorization of a peripheral device can be a challenge-response procedureor comprise a sub-step according to the challenge-response principle.Preferably, a random number (challenge) of the computer ina cryptographic operation of the peripheral device forCreating an answer to the computer involved. For example, canthe random number with a keyof the peripheral deviceencodedthen serve as a response (response) to the computer.

Prinzipiellsind hierfürbeliebige kryptographische Verfahren geeignet, insbesondere jedoch asymmetrischeVerschlüsselungsverfahren,die aufgrund unterschiedlicher Schlüssel eine erhöhte Sicherheitbieten. Die Verschlüsselungdes Geheimnisses kann alternativ auch direkt von der Kryptographieeinrichtungder Zugriffskontrolleinrichtung durchgeführt werden, so dass in diesemFall im Peripheriegerätauf eine spezielle Kryptographieeinrichtung zum Verschlüsseln verzichtetwerden kann.In principle, any cryptographic methods are suitable for this, but in particular asymmetric encryption methods which offer increased security due to different keys. The encryption of the secret can alternatively also be carried out directly by the cryptographic device of the access control device, so that in this case in the peripheral device to a special cryptography device can be dispensed with for encryption.

DerSpeicher, der den Referenzcode und/oder die Referenzdaten und/oderdas Referenzgeheimnis und/oder den kryptographischen Schlüssel beinhaltetund auf den die verschiedenen Komponenten der Zugriffskontrolleinrichtungzugreifen können,kann selbst als Komponente der Zugriffskontrolleinrichtung realisiertsein. Alternativ ist es auch möglich,die genannten Daten in einem ohnehin vorhandenen Speicher des Computersabzulegen, insbesondere in einen speziell gesicherten Speicherbereichdes Computers.Of theMemory containing the reference code and / or the reference data and / orincludes the reference secret and / or the cryptographic keyand on the various components of the access control devicecan accesscan be realized even as a component of the access control devicebe. Alternatively, it is also possiblethe said data in an already existing memory of the computerstore, especially in a specially secured storage areaof the computer.

Ineiner bevorzugten Ausführungsformist die Steuereinrichtung der Zugriffskontrolleinrichtung so eingerichtet,dass bestimmten vertrauenswürdigen Peripheriegeräten erlaubtwird, ihre Zugriffsberechtigung automatisch und selbständig nachzuweisen, ohnedass eine interaktive Eingabe eines Benutzers erforderlich ist.Dies ist insbesondere bei solchen Peripheriegeräten sinnvoll, die keinen explizitenDatenzugriff auf den Computer durchführen können und von denen insofernnur eine geringe Gefährdung ausgeht,wie zum Beispiel Tastaturen oder reine Ausgabegeräte.Ina preferred embodimentthe control device of the access control device is set upthat allows certain trusted peripheralswill prove their access authorization automatically and independently, withoutthat an interactive input of a user is required.This is especially useful for peripherals that are not explicitData access to the computer and of which can be doneonly a small hazardsuch as keyboards or pure output devices.

DieZugriffskontrolleinrichtung kann auf verschiedene Art und Weiserealisiert werden. Einerseits ist es möglich, sie vollständig alsHardwarekomponente in einen Computer zu integrieren, beispielsweiseals PC-Karte mit einem eigenen Prozessor, die in einen entsprechendenSteckplatz der Hauptplatine des Computers eingeschoben wird. Andererseits kanndie Zugriffskontrolleinrichtung auch als reine Softwarelösung realisiertwerden, die die ohnehin vorhandenen Komponenten des Computers nutzt undvon dessen Prozessor ausgeführtwird.TheAccess control device can be in different wayswill be realized. On the one hand, it is possible to use it completelyHardware component into a computer to integrate, for exampleas a PC card with its own processor, which in a correspondingSlot of the computer motherboard. On the other hand canthe access control device also realized as a pure software solutionwhich uses the already existing components of the computer andexecuted by its processorbecomes.

Alsdritte Variante kann die Zugriffskontrolleinrichtung ein abgeschlossenesexternes Gerät sein,das übereine geeignete Universalschnittstelle an den Computer angeschlossenwerden kann, insbesondere übereine seiner Uni versalschnittstellen, und das seinerseits wiederumUniversalschnittstellen zum Anschließen von Peripheriegeräten umfasst. Besondersvorteilhaft besitzt eine derartige externe Zugriffskontrolleinrichtungzumindest diejenigen Universalschnittstellen, die der Computer besitzt,an den sie angeschlossen wird.Whenthird variant, the access control device can be a closedbe an external device,the abovea suitable universal interface connected to the computercan be, especially aboutone of his university interfaces, and that in turnUniversal interfaces for connecting peripherals includes. EspeciallyAdvantageously, such an external access control device hasat least those universal interfaces that the computer owns,to which it is connected.

Einederartige externe Zugriffskontrolleinrichtung ist leicht und einfachnachrüstbar.Bei dieser Variante sollte jedoch durch ein geeignetes Zusammenwirkenvon Steuereinrichtung und Schnittstellenüberwachung bzw. Computer-Betriebsystemsichergestellt werden, dass die Zugriffskontrolleinrichtung nichtdadurch umgangen werden kann, dass ein Peripheriegerät an einefreie Universalschnittstelle des Computers angeschlossen wird.ASuch external access control device is easy and simpleretrofitted.In this variant, however, should by a suitable interactionof control device and interface monitoring or computer operating systemensure that the access control device is notcan be bypassed that a peripheral device to afree universal interface of the computer is connected.

Unabhängig vonder Realisierung der Zugriffskontrolleinrichtung kann das erfindungsgemäße Verfahrenvorteilhaft in einen vom Betriebsystem vorgesehenen automatischenAnmeldeprozess fürPeripheriegeräteintegriert werden, indem vor dem Suchen eines passenden Treibersdie Zugriffsberechtigung des Peripheriegeräts entweder interaktiv oder transparent überprüft wird.Independent ofthe realization of the access control device, the inventive methodadvantageously in an automatic system provided by the operating systemLogin process forperipheralsBe integrated by looking for a matching driverthe access authorization of the peripheral device is checked either interactively or transparently.

WeitereMerkmale der Erfindung ergeben sich aus der folgenden Beschreibungverschiedener erfindungsgemäßer Ausführungsbeispieleund Ausführungsalternativen.Es wird auf die folgenden Figuren verwiesen, welche zeigen:FurtherFeatures of the invention will become apparent from the following descriptionvarious inventive embodimentsand design alternatives.Reference is made to the following figures, which show:

1 einein einen Computer eingesetzte interne Zugriffskontrolleinrichtungund ein speziell ausgestaltetes Peripheriegerät; 1 an internal access control device used in a computer and a specially designed peripheral device;

2 eineexterne Zugriffskontrolleinrichtung, die zwischen Computer und Peripheriegerät geschaltetist; und 2 an external access control device connected between the computer and the peripheral device; and

3 eineals Softwarelösungin einem Computer realisierte Zugriffskontrolleinrichtung. 3 an access control device implemented as a software solution in a computer.

1 zeigteine bevorzugte Ausführungsformder vorliegenden Erfindung, bei der eine Zugriffskontrolleinrichtung2 alszusammenhängende Hardwarekomponentein einen Computer1 integriert ist, um die Zugriffsberechtigungdes Peripheriegeräts3 vordessen Zugriff auf Daten des Computers1 zu überprüfen. 1 shows a preferred embodiment of the present invention, in which an access control device 2 as a contiguous hardware component in a computer 1 integrated to the access authorization of the peripheral device 3 before accessing data from the computer 1 to check.

Prinzipiellist der Computer1 als herkömmlicher PC ausgebildet undumfasst die fürsolche Geräte üblichenKomponenten, nämlicheinen Mikroprozessors12, einen Speicher13 bzw.einer Speicherhierarchie, eine Tastatur14 oder ein sonstigesEingabemittel wie z. B. eine Maus, ein Touchpad, etc., und einenBildschirm15 als Anzeige bzw. Ausgabemedium. Das Betriebssystem121 liegt üblicherweisein einem bestimmten Speicherbereich des Speichers13 undwird von dem Prozessor12 zur Steuerung des Computers1 ausgeführt. Darüber hinauskann der Computer1 selbstverständlich auch ein Laptop, PDA,Handheld, Server, oder ein ähnlichesGerät sein.In principle, the computer 1 designed as a conventional PC and includes the usual components for such devices, namely a microprocessor 12 , a store 13 or a memory hierarchy, a keyboard 14 or other input means such. A mouse, a touchpad, etc., and a screen 15 as display or output medium. The operating system 121 usually lies in a specific memory area of the memory 13 and gets from the processor 12 to control the computer 1 executed. In addition, the computer can 1 Of course, a laptop, PDA, handheld, server, or a similar device.

Desweiterenumfasst der Computer1 eine oder mehrere Universalschnittstellen,die im folgenden mit dem Bezugszeichen11 gemeinsam bezeichnetwerden, zum Anschließenvon beliebigen Peripheriegeräten3,zum Beispiel externe Speichermedien, Tastaturen, Mäuse, Drucker,Scanner, Digitalkameras, Monitore, Mobilfunkgeräte, u. v. a. m. Die Universalschnittstelle11 istals Plug-and-Play-Schnittstelle ausgebildet, die ein Anschließen einesPeripheriegeräts3 imsogenannten Hotplugin-Verfahren ermöglichen, das heißt, dassein an die Universalschnittstelle11 angeschlossenes Peripheriegerät3 automatischerkannt und ein entsprechender Treiber im Computer1 gesuchtund installiert wird, so dass das Peripheriegerät3 ohne weitere Interaktion oderInstallation automatisch einsatzbereit ist. Vielfältige Schnittstellenspezifikationenunterstützendie Anmeldung von Peripheriegerätenim Hotplugin-Verfahren, z. B. USB, FireWire (IEEE 1394), PCI, PCMCIA,Compact Flash, Bluetooth, oder Infrarot-Schnittstellen. DerartigeAnmeldeprozeduren werden von dem Betriebsystem121 desComputers1 unterstützt bzw.gesteuert.Furthermore, the computer includes 1 one or more universal interfaces, hereinafter referred to by the reference numeral 11 commonly referred to, for connecting any peripheral devices 3 For example, external storage media, keyboards, mice, printers, scanners, digital cameras, monitors, mobile devices, and more. The Universal Interface 11 is designed as a plug-and-play interface, connecting a Peri pheriegeräts 3 in the so-called hot plug method, that is, one to the universal interface 11 connected peripheral device 3 automatically detected and a corresponding driver in the computer 1 is searched for and installed so that the peripheral device 3 is ready for use without further interaction or installation. A variety of interface specifications support the logon of peripherals using the hotplugin method, such as: USB, FireWire (IEEE 1394), PCI, PCMCIA, Compact Flash, Bluetooth, or Infrared ports. Such logon procedures are provided by the operating system 121 of the computer 1 supported or controlled.

Die Überwachungund automatische Anmeldung bzw. Treiberinstallation wird von einerSchnittstellenüberwachung16 durchgeführt, dieals Betriebssystemroutine realisiert sein kann. Bei den aktuellenWindows-Betriebssystemen(Windows XP, 2000, NT, etc.) wird eine Anmeldeprozedur automatischinitiiert, sobald die Schnittstellenüberwachung16 einPeripheriegerät3 ander Universalschnittstelle11 erkennt. Die Gefahr dabeiist, dass sich prinzipiell beliebige externe Geräte 3 vom Benutzer unbemerkt undungewollt an Computer1 anmelden können und aktiviert werden.Der Benutzer verliert also in gewissem Umfang die Kontrolle über seinenComputer1 und dessen System- und Datenintegrität. Kabellose Technologienwie Bluetooth und Infrarot verstärken dieseGefahr noch zusätzlich.The monitoring and automatic login or driver installation is performed by an interface monitor 16 performed, which can be implemented as operating system routine. In the current Windows operating systems (Windows XP, 2000, NT, etc.), a login procedure is initiated automatically as soon as the interface monitor 16 a peripheral device 3 at the universal interface 11 recognizes. The danger here is that in principle any external devices 3 unnoticed by the user and unintentionally to the computer 1 can log in and be activated. The user thus loses control of his computer to some extent 1 and its system and data integrity. Wireless technologies such as Bluetooth and infrared increase this danger even more.

Beisolchen Peripheriegeräten3,die über Speicherkomponentenund eine eigenständigeBetriebssoftware verfügen,besteht die Gefahr, dass vom Benutzer unbemerkt Software von demPeripheriegerät3 aufdem Computer1 installiert wird, bzw. Daten des Computers1 manipuliertund beschädigt werden.Dies ist insbesondere bei den heutzutage sehr beliebten USB-Speichermedien (MemoryStick, Flash-Memory, etc.) möglich,da diese Gerä teeinerseits mit Viren infiziert oder schadhaft sein können oderandererseits absichtlich schädigendkonstruiert sein können.With such peripherals 3 Those who have memory components and standalone operating software run the risk of unnoticed by the user software from the peripheral device 3 on the computer 1 is installed, or data of the computer 1 be manipulated and damaged. This is particularly possible in the nowadays very popular USB storage media (memory stick, flash memory, etc.), since these devices te on the one hand infected with viruses or may be defective or on the other hand may be deliberately designed damaging.

Derin1 skizzierte Computer1 umfasst die Zugriffskontrolleinrichtung2 alsinterne, austauschbare Komponente, beispielsweise in Form einerPC-Karte, die ineinen entsprechenden Steckplatz des Computers (beispielsweise über PCIoder PCMCIA) eingeschoben ist und mit ihm interagiert. Eine solchePC-Karte kann entweder auf die im Computer1 vorhandenenKomponenten zugreifen, oder, wie in1 dargestellt,eine vollständigeigene Infrastruktur mit Prozessor22 und Speicher26 besitzen. Umdie verschiedenen Möglichkeiteneiner Zugriffskontrolle zu realisieren, ist zusätzlich eine Steuereinrichtung23,eine Überprüfungseinrichtung24 und eineKryptographieeinrichtung25 in die Zugriffskontrolleinrichtung2 integriert.Die Komponenten23,24,25 können entwederals Hardwaremodule oder auch als Softwarelösungen realisiert sein, dieim Speicher26 residieren und von dem Prozessor22 ausgeführt werden.Neben oder anstelle der Schnittstellenüberwachung16 desComputers1 kann auch die Zugriffskontrolleinrichtung2 eineeigene Schnittstellenüberwachung(nicht dargestellt) besitzen, um an die Universalschnittstelle11 angeschlossenePeripheriegeräte3 eigenständig erkennenzu können.The in 1 sketched computer 1 includes the access control device 2 as an internal, replaceable component, for example in the form of a PC card, which is inserted into and interacts with a corresponding slot of the computer (for example via PCI or PCMCIA). Such a PC card can either be on the computer 1 access existing components, or, as in 1 presented a completely proprietary infrastructure with processor 22 and memory 26 have. In order to realize the various possibilities of access control, there is additionally a control device 23 , a verification device 24 and a cryptographic device 25 in the access control device 2 integrated. The components 23 . 24 . 25 can be realized either as hardware modules or as software solutions that are stored in memory 26 reside and by the processor 22 be executed. In addition to or instead of interface monitoring 16 of the computer 1 can also be the access control device 2 have their own interface monitor (not shown) to the universal interface 11 connected peripherals 3 to recognize independently.

DieZugriffskontrolle wird von der Steuereinrichtung23 koordiniert,die von der Schnittstellenüberwachung16 (odereiner eigenen internen Schnittstellenüberwachung) über einangeschlossenes Peripheriegerät3 informiertwird. Daraufhin veranlasst die Steuereinrichtung23 das Überprüfen derZugriffsberechtigung des Peripheriegerätes3.The access control is controlled by the controller 23 coordinated by the interface monitoring 16 (or your own internal interface monitoring) via a connected peripheral device 3 is informed. The controller then causes 23 checking the access authorization of the peripheral device 3 ,

Hierfür gibt esvielfältigsteMöglichkeiten,die jeweils eine bestimmte Ausgestaltung der Zugriffskontrolleinrichtung2 bzw.auch des Peripheriegerätes3 erfordern.Deshalb sind die Zugriffskontrolleinrichtung2 und dasPeripheriegerät3 in1 beispielhaftso ausgestaltet, dass sie sämtlichehier beschriebenen Methoden der Zugriffskontrolle realisieren, inder konkreten Anwendung sind jedoch nicht alle dieser Komponentenzur Umsetzung des erfindungsgemäßen Verfahrenserforderlich.There are many possibilities for this purpose, each of which is a specific embodiment of the access control device 2 or the peripheral device 3 require. Therefore, the access control device 2 and the peripheral device 3 in 1 by way of example, in such a way that they realize all the methods of access control described here, but not all of these components are required for implementing the method according to the invention in the concrete application.

EineVariante der Überprüfung einerZugriffsberechtigung des Peripheriegeräts3 durch die Zugriffskontrolleinrichtung2 istdas Anfordern eines Zugriffscodes331 und Vergleichen diesesCodes331 mit einem entsprechenden Referenzcode261.Ein solcher Zugriffscode331 kann entweder von dem Peripheriegerät3 selbstzur Verfügunggestellt werden oder von einem Benutzer des Peripheriegeräts3 odergleichzeitig von dem Peripheriegerät3 und dessen Benutzer.A variant of the verification of an access authorization of the peripheral device 3 through the access control device 2 is the requesting of an access code 331 and compare this code 331 with a corresponding reference code 261 , Such an access code 331 can either from the peripheral device 3 itself or by a user of the peripheral device 3 or simultaneously from the peripheral device 3 and its user.

Fallsder Zugriffscode331 von dem Peripheriegerät3 zurVerfügunggestellt wird, braucht das Peripheriegerät3 eine entsprechendeSpeichereinrichtung33, in der der Zugriffscode331 während der Herstellungoder Konfiguration des Peripheriegeräts3 möglichstsicher abgelegt werden kann. Falls das Peripheriegerät3 nichtohnehin einen Speicher umfasst muss es mit einem weiteren zusätzlichenSpeicher33 zur Aufnahme des Zugriffscodes331 ausgestattetwerden.If the access code 331 from the peripheral device 3 is provided, the peripheral device needs 3 a corresponding memory device 33 in which the access code 331 during the manufacture or configuration of the peripheral device 3 can be stored as safely as possible. If the peripheral device 3 does not already include a memory it must be with another additional memory 33 for receiving the access code 331 be equipped.

Dasbeispielhafte Peripheriegerät3 in1 istein externer Festplattenspeicher mit einer Festplatte35 undeiner entsprechenden Steuerlogik34. Aus Sicherheitsgründen istes jedoch auch in diesem Falle ratsam, einen weiteren Speicher33 vorzusehen undden Zugriffscode331 nicht in dem potentiell unsicherenFestplattenspeicher35 abzulegen. Falls der Zugriffscode331 nichtvon dem Peripheriegerät3 sondernvon dem Benutzer anzugeben ist, bedarf es keiner speziellen Ausgestaltungdes Peripheriegeräts3,denn der Benutzer kann seinen Zugriffscode331 beispielsweise über dieTastatur14 des Computers1 eingeben.The exemplary peripheral device 3 in 1 is an external disk space with a hard disk 35 and a corresponding control logic 34 , For security reasons, however, it is also advisable in this case, another memory 33 provide and the access code 331 not in the potentially unsafe hard disk space 35 store. If the access code 331 not from the peripheral device 3 but to be specified by the user, it is necessary no special configuration of the peripheral device 3 because the user can access his access code 331 for example, via the keyboard 14 of the computer 1 enter.

Injedem Falle wird der Zugriffscode331 von der Steuereinrichtung23 andie Überprüfungseinrichtung24 weitergeleitet,bzw. diese veranlasst, den Zugriffscode331 mit dem imSpeicher26 der Zugriffskontrolleinrichtung2 liegendenReferenzcode261 zu vergleichen. Bei einem positiven Ergebnisdieses Vergleichs ist der Nachweis einer Zugriffsberechtigung desPeripheriegeräts3 erbrachtund es kann gemäß seinerSpezifikation auf Daten und Komponenten des Computers1 zugreifen.Als Zugriffscode331 bieten sich insbesondere vorgegebeneoder selbst gewähltePasswörter,Passphrases, oder Zahlenkombinationen (PIN) an, aber auch Seriennummerndes Computers oder des Peripheriegeräts.In any case, the access code 331 from the controller 23 to the verification device 24 forwarded, or this causes, the access code 331 with that in the store 26 the access control device 2 lying reference code 261 to compare. For a positive result of this comparison, the proof of an access authorization of the peripheral device 3 provided and it can according to its specification on data and components of the computer 1 access. As access code 331 In particular, predefined or self-selected passwords, passphrases, or number combinations (PIN), but also serial numbers of the computer or the peripheral device are suitable.

Zusätzlich oderalternativ zur Zugriffskontrolle über den Vergleich der Codes261 und331 istes möglich,eine biometrische Zugriffsberechtigung vorzusehen. Eine solche biometrischeZugriffsberechtigung ist jedoch in jedem Falle von dem Benutzerdes Peripheriegerätes3 bereitzustellen,da es sich um ein individuelles Merkmal des Benutzers handelt und insofernnicht in einem beliebigen Peripheriegerät3 abgespeichertwerden kann. Auf Veranlassung der Steuereinrichtung23 wirdder Benutzer beispielsweise übereine entsprechende Benachrichtigung auf der Anzeige15 aufgefordert,ein biometrisches Merkmal übereinen entsprechend dafürvorgesehenen Sensor27 der Zugriffskontrolleinrichtung2 einlesen zulassen. Falls die Zugriffskontrolleinrichtung2 wie in1 alsPC-Karte realisiert ist, bedarf es eines externen Sensors27,der übereine Schnittstelle mit der Zugriffskontrolleinrichtung2 verbundenist. Ebenso kann der Sensor27 auch an eine Universalschnittstelle11 desComputers1 angeschlossen werden und von der Kontrolleinrichtung23 betriebenwerden.Additionally or alternatively to the access control via the comparison of the codes 261 and 331 it is possible to provide biometric access authorization. However, such biometric access is in any case by the user of the peripheral device 3 because it is an individual feature of the user and thus not in any peripheral device 3 can be stored. At the behest of the controller 23 For example, the user will be notified via a notification on the display 15 requested a biometric feature via a dedicated sensor 27 the access control device 2 to be read. If the access control device 2 as in 1 is implemented as a PC card, it requires an external sensor 27 that interfaces with the access control device 2 connected is. Likewise, the sensor 27 also to a universal interface 11 of the computer 1 be connected and from the control device 23 operate.

Alsbiometrische Merkmale bieten sich unter anderem Fingerabdrücke desBenutzers, Retinamuster, Stimmprofile und ähnliche personenindividuelle Eigenschaftenan. Die erhobenen biometrischen Daten werden anschließend vonder Überprüfungseinrichtung24 mitim Speicher26 vorliegenden Referenzdaten262 verglichen,wobei es üblicherweiseso ist, dass nicht die biometrischen Rohdaten verglichen werden,sondern vielmehr aus diesen Rohdaten extrahierte und mit einem gewissenToleranzbereich versehen Merkmalsvektoren. Die Merkmalsextraktionkann entweder von der Sensoreinrichtung27 direkt odervon der Steuereinrichtung23 oder einer geeigneten Komponentedes Computers1 vorgenommen werden.The biometric features include fingerprints of the user, retinal patterns, voice profiles and similar personal characteristics. The collected biometric data is then reviewed by the reviewer 24 with in the store 26 present reference data 262 which is usually such that it does not compare the biometric raw data but rather feature vectors extracted from this raw data and provided with a certain tolerance range. The feature extraction can either be done by the sensor device 27 directly or from the control device 23 or a suitable component of the computer 1 be made.

Eineweitere Variante eines Zugriffskontrollverfahrens, die selbständig oderin Kombination mit den vorgenannten Varianten realisiert werdenkann, ist eine kryptographische Zugriffskontrolle, bei der ein bestimmtesGeheimnis332 mittels eines kryptographischen Schlüssels333 voneiner Kryptographieeinrichtung32 des Peripheriegerätes3 verschlüsselt wirdund von der Überprüfungseinrichtung24 derZugriffskontrolleinrichtung2 überprüft wird. Hierbei sind wiederumverschiedene Varianten denkbar. Zum einen kann statt eines im Speicher33 vorliegenden speziellenSchlüssels333 auchein biometrischer Merkmalsvektor als Schlüssel verwendet werden. Diebiometrischen Daten werden dann mit dem Sensor27 erhoben,in einen geeigneten Schlüsseltransformiert und zu dem Peripheriegerät3 übertragen, wosie zum Verschlüsselndes Geheimnisses332 durch die Kryptographieeinrichtung32 verwendet werden.Another variant of an access control method, which can be implemented independently or in combination with the aforementioned variants, is a cryptographic access control in which a specific secret 332 by means of a cryptographic key 333 from a cryptography facility 32 of the peripheral device 3 is encrypted and by the verification device 24 the access control device 2 is checked. Again, different variants are conceivable. For one thing, instead of one in memory 33 present special key 333 Also, a biometric feature vector can be used as a key. The biometric data will then be sent to the sensor 27 collected, transformed into a suitable key and sent to the peripheral device 3 Transfer where to encrypt the secret 332 through the cryptography device 32 be used.

Ebensoist es möglich,statt eines speziellen Geheimnisses332 auch den entwederim Speicher33 vorliegenden oder vom Benutzer bereitgestellten Zugriffscode331 zuverschlüsselnund an die Zugriffskontrolleinrichtung2 zur Überprüfung weiterzureichen.Als Verschlüsselungsverfahrenkommen in diesem Zusammenhang prinzipiell beliebige hierfür geeigneteVerfahren in Frage, insbesondere asymmetrische Verschlüsselungsverfahrenwie zum Beispiel RSA oder DSA. Zur Entschlüsselung bedarf es auf Seitender Zugriffskontrolleinrichtung2 eines entsprechendenkorrespondierenden Schlüssels264, umdie verschlüsseltenDaten332 oder331 des Peripheriegerätes3 zuentschlüsselnund mit einem entsprechenden Referenzgeheimnis263 oderReferenzcode261 zu vergleichen. Im Falle einer biometrischenVerschlüsselungwird zur Entschlüsselung nichtein spezieller Schlüssel264 verwendet,sondern die biometrischen Referenzdaten262.It is also possible, instead of a special secret 332 also either in memory 33 present or provided by the user access code 331 to encrypt and to the access control device 2 for review. In principle, any suitable methods suitable for this purpose in this context are encryption methods, in particular asymmetric encryption methods such as, for example, RSA or DSA. Decryption is required on the part of the access control device 2 a corresponding corresponding key 264 to the encrypted data 332 or 331 of the peripheral device 3 to decrypt and with a corresponding reference secrecy 263 or reference code 261 to compare. In the case of biometric encryption, decryption does not become a special key 264 but the biometric reference data 262 ,

Auchkann bei einer kryptographischen Variante auf eine spezielle Kryptographieeinrichtung32 indem Peripheriegerät3 verzichtetund stattdessen die Kryptographieeinrichtung25 der Zugriffskontrolleinrichtung2 verwendetwerden.Also, in a cryptographic variant on a special cryptography device 32 in the peripheral device 3 renounces and instead the cryptography device 25 the access control device 2 be used.

2 zeigteine Ausführungsformder vorliegenden Erfindung, bei der die Zugriffskontrolleinrichtung2 alsexternes Gerätrealisiert ist und mit zwei Universalschnittstellen21 und29 andie Universalschnittstelle11 der Computers1 unddie Universalschnittstelle31 des Peripheriegerätes3 angeschlossenist. Die Zugriffskontrolleinrichtung2 ist also bei dieserAusführungsformein eigenständiges Gerät, dasszwischen den Computer1 und das an ihn anzuschließende Peripheriegerät3 geschaltetist. Bei einer vorteilhaften Variante der externen Zugriffskontrolleinrichtung2 stelltdie Schnittstelle29 zumindest die gleichen Universalschnittstellenzur Verfügung,die auch die Schnittstelle11 des Computers1 bereitstellt,damit einem Benutzer die Anschlussmöglichkeiten des Computers1 auchbei Betrieb einer Zugriffskontrolleinrichtung2 erhaltenbleiben. 2 shows an embodiment of the present invention, wherein the access control device 2 is realized as an external device and with two universal interfaces 21 and 29 to the universal interface 11 the computer 1 and the universal interface 31 of the peripheral device 3 connected. The access control device 2 So in this embodiment is a stand-alone device that between the computer 1 and the peripheral to be attached to it 3 is switched. In an advantageous variant of the external access control device 2 represents the interface 29 at least the same universal interfaces available, which includes the interface 11 of the computer 1 provides a user with the connectivity options of the computer 1 even when operating a Access control engine 2 remain.

Sowohlder Computer1 als auch das Peripheriegerät3 sindin2 in einer herkömmlichen Art und Weise ausgestaltetund besitzen anders als in1 keinespeziellen Komponenten zur Realisierung des erfindungsgemäßen Zugriffskontrollverfahrens.Both the computer 1 as well as the peripheral device 3 are in 2 designed in a conventional manner and possess different than in 1 no special components for realizing the access control method according to the invention.

Dasin2 dargestellte Peripheriegerät3 ist beispielhaftals eine externe Festplatte mit einem Festplattenspeicher35 undeiner zugehörigenSteuerlogik34 realisiert. Insofern sind bei dieser Ausführungsformnur solche Zugriffskontrollverfahren realisierbar, die auf ein selbständiges Nachweisender Zugriffsberechtigung durch das Peripheriegerät3 verzichten undstattdessen eine Interaktion mit dem Benutzer erfordern.This in 2 illustrated peripheral device 3 is exemplary as an external hard drive with a hard disk space 35 and associated control logic 34 realized. In this respect, in this embodiment, only those access control methods can be implemented, which are based on an independent proof of the access authorization by the peripheral device 3 and instead require interaction with the user.

Dieexterne Zugriffskontrolleinrichtung2 der2 istprinzipiell mit den gleichen Komponenten und Funktionalitäten ausgestattetwie die interne Lösungder1. Insofern ist auch bei dieser Ausführungsformdas Nachweisen einer Zugriffsberechtigung mittels Vergleichen vonZugriffscodes, biometrischen Daten und verschlüsselten Geheimnissen jeweilsmit dem entsprechenden Referenzcode261, den biometrischenReferenzdaten262 und dem unverschlüsselten Referenzgeheimnis263 möglich. Einevorteilhafte Ausgestaltung der externen Zugriffskontrolleinrichtung2 umfasstallerding zusätzlich eineeigenen Schnittstellenüberwachung(nicht dargestellt), um die Universalschnittstellen (29)effizient überwachenzu können.The external access control device 2 of the 2 is basically equipped with the same components and functionalities as the internal solution of the 1 , In this respect, proof of access authorization by means of comparing access codes, biometric data and encrypted secrets with the corresponding reference code is also in this embodiment 261 , the biometric reference data 262 and the unencrypted reference secret 263 possible. An advantageous embodiment of the external access control device 2 However, it also has its own interface monitoring (not shown) to enable the universal interfaces ( 29 ) to monitor efficiently.

Dadiese Zugriffscodes und -daten jedoch bei dieser Ausführungsformimmer vom Benutzer zur Verfügunggestellt werden, kann hierzu entweder die Tastatur14 oderein sonstiges Eingabemittel des Computers1 verwendet werden,oder ein optionales Eingabemittel der externen Zugriffskontrolleinrichtung2,wie z. B. die Tastatur28.However, since these access codes and data are always provided by the user in this embodiment, either the keyboard can do so 14 or any other input device of the computer 1 or an optional input means of the external access control device 2 , such as As the keyboard 28 ,

ZumBetrieb wird die Zugriffskontrolleinrichtung2 mit ihrerUniversalschnittstelle21 an die Universalschnittstelle11 desComputers1 angeschlossen. Die Universalschnittstelle29 repräsentiertdann vorteilhaft genau jene Plug-and-Play-Schnittstellen, die dieUniversalschnittstelle11 bereitstellt und die zum Anschließen desPeripheriegeräts3 imHot-Plugin-Verfahren erforderlich sind.To operate the access control device 2 with its universal interface 21 to the universal interface 11 of the computer 1 connected. The universal interface 29 then advantageously represents exactly those plug-and-play interfaces that the universal interface 11 provides and for connecting the peripheral device 3 required in the hot-plugin procedure.

Umein Umgehen der Zugriffskontrolleinrichtung2 zu verhindern,werden alle weiteren Universalschnittstellen11 des Computers1 blockiert,sobald die Zugriffskontrolleinrichtung2 an eine Universalschnittstelle11 desComputers1 angeschlossen ist. Dies kann entweder durcheine entsprechende Interaktion zwischen der Steuereinrichtung23 unddem Betriebssystem121 realisiert werden oder direkt über dieSchnittstellenüberwachung16 desComputers1.To bypass the access control device 2 To prevent all other universal interfaces 11 of the computer 1 blocked as soon as the access control device 2 to a universal interface 11 of the computer 1 connected. This can be done either by a corresponding interaction between the control device 23 and the operating system 121 be realized or directly via the interface monitoring 16 of the computer 1 ,

3 zeigtschließlicheine dritte Ausführungsformder Erfindung, bei der das erfindungsgemäße Zugriffskontrollverfahrennicht übereine zusammenhängendeZugriffskontrolleinrichtung realisiert ist, sondern durch eine Softwarelösung, dieauf dem Computer1 installiert ist und von dessen Prozessor12 inInteraktion mit dem Betriebssystem121 ausgeführt wird. 3 Finally, FIG. 3 shows a third embodiment of the invention in which the access control method according to the invention is not implemented via a coherent access control device, but by a software solution that is executed on the computer 1 is installed and by its processor 12 in interaction with the operating system 121 is performed.

Beidieser Ausführungsformkönnendie notwendigen Referenzinformationen131,132,133,134 direktin dem Speicher13 des Computers1 abgelegt werden.Es ist hierbei jedoch besonders vorteilhaft einen sicheren Speicherbereichzum Speichern der sensiblen Daten auszuwählen (gestrichelte Linie).In this embodiment, the necessary reference information 131 . 132 . 133 . 134 directly in the store 13 of the computer 1 be filed. However, it is particularly advantageous here to select a secure memory area for storing the sensitive data (dashed line).

Dieweiteren benötigtenSoftwarekomponenten sind ein Steuerprogramm123, ein Kryptographieprogramm122 undein Überprüfungsprogramm124,deren Funktionalitätjeweils derjenigen der bereits beschriebenen Krypto graphieeinrichtung25, Steuereinrichtung23, Überprüfungseinrichtung24 entsprechen.Diese können,da es sich um sicherheitsrelevante Funktionalitäten handelt, als Betriebssystemroutinenrealisiert werden, oder als mit diesem zusammenwirkende selbständige Programmmodule.The other required software components are a control program 123 , a cryptography program 122 and a review program 124 whose functionality in each case that of the already described Krypto graphieeinrichtung 25 , Control device 23 , Checking device 24 correspond. These can be implemented as operating system routines because they are safety-relevant functionalities, or as independent program modules interacting with them.

Indiesem Zusammenhang ist es insbesondere vorteilhaft, dass Zugriffskontrollverfahrenals Softwarelösungin die Anmeldeprozeduren existierender Betriebssysteme, insbesondereWindows-Betriebssysteme zu integrieren.InIn this context, it is particularly advantageous that access control proceduresas a software solutionin the login procedures of existing operating systems, in particularTo integrate Windows operating systems.

Ausgehendvon der beschriebenen Überwachungder genannten Plug-and-Play-Schnittstellen kanndas erfindungsgemäße Zugriffskontrollverfahrenauch im Rahmen einer Hardware- oder Software-Firewall realisiertwerden, so dass die Überwachungdes Netzwerkverkehrs und der Kommunikation mit externen Peripheriegeräten3 vorteilhaftzu einer Gesamtstrategie integriert werden können.Based on the described monitoring of said plug-and-play interfaces, the access control method according to the invention can also be implemented in the context of a hardware or software firewall, so that the monitoring of network traffic and communication with external peripherals 3 can be advantageously integrated into an overall strategy.

Claims (33)

Translated fromGerman

Zugriffskontrollverfahren für ein über eine Universalschnittstelle(11) an einen Computer (1) angeschlossenes Peripheriegerät (3),gekennzeichnet durch das Überprüfen einerZugriffsberechtigung des Peripheriegeräts (3), bevor dasPeripheriegerät(3) auf den Computer (1) zugreift.Access control method for a via a universal interface ( 11 ) to a computer ( 1 ) connected peripheral device ( 3 ), characterized by checking an access authorization of the peripheral device ( 3 ) before the peripheral device ( 3 ) on the computer ( 1 ) accesses.Zugriffskontrollverfahren nach Anspruch 1, dadurchgekennzeichnet, dass das Überprüfen derZugriffsberechtigung durch das Anschließen des Peripheriegeräts (3)an den Computers (1) initiiert wird.Access control method according to claim 1, characterized in that the checking of the access authorization by connecting the peripheral device ( 3 ) to the computer ( 1 ) is initiated.Zugriffskontrollverfahren nach Anspruch 1 oder 2,dadurch gekennzeichnet, dass das Überprüfen der Zugriffsberechtigungeinen Vergleich zumindest eines Zugriffscodes (331) mitzumindest einem Referenzcode (131;261) umfasst,wobei der Zugriffscode (331) von dem Peripheriegerät (3)und/oder einem Benutzer des Peripheriegeräts (3) bereitgestellt wird.Access control method according to claim 1 or 2, characterized in that the checking of the access authorization is a comparison of at least one access code ( 331 ) with at least one reference code ( 131 ; 261 ), the access code ( 331 ) from the peripheral device ( 3 ) and / or a user of the peripheral device ( 3 ) provided.Zugriffskontrollverfahren nach einem der Ansprüche 1 bis3, dadurch gekennzeichnet, dass das Überprüfen der Zugriffsberechtigungeinen Vergleich biometrischer Daten eines Benutzers des Peripheriegeräts (3)mit Referenzdaten (131;262) umfasst.Access control method according to one of claims 1 to 3, characterized in that the checking of the access authorization a comparison of biometric data of a user of the peripheral device ( 3 ) with reference data ( 131 ; 262 ).Zugriffskontrollverfahren nach einem der Ansprüche 1 bis4, dadurch gekennzeichnet, dass das Überprüfen der Zugriffsberechtigungeinen Vergleich eines verschlüsseltenGeheimnisses (332) des Peripheriegeräts (3) mit einem Referenzgeheimnis(133;263) umfasst.Access control method according to one of claims 1 to 4, characterized in that the checking of the access authorization is a comparison of an encrypted secret ( 332 ) of the peripheral device ( 3 ) with a reference secret ( 133 ; 263 ).Zugriffskontrollverfahren nach Anspruch 5, dadurchgekennzeichnet, dass das verschlüsselteGeheimnis (332) ein mittels biometrischer Daten eines Benutzersdes Peripheriegeräts(3) verschlüsseltes Geheimnisist, das fürden Vergleich mittels biometrischen Referenzdaten (132;262)entschlüsseltwird.Access control method according to claim 5, characterized in that the encrypted secret ( 332 ) by means of biometric data of a user of the peripheral device ( 3 ) encrypted secret, which is for comparison by means of biometric reference data ( 132 ; 262 ) is decrypted.Zugriffskontrollverfahren nach einem der Ansprüche 1 bis6, dadurch gekennzeichnet, dass bestimmten Peripheriegeräten (3)erlaubt wird, ihre Zugriffsberechtigung selbständig nachzuweisen.Access control method according to one of claims 1 to 6, characterized in that certain peripheral devices ( 3 ) is allowed to independently prove their access authorization.Zugriffskontrollverfahren nach einem der Ansprüche 1 bis7, dadurch gekennzeichnet, dass die Universalschnittstelle (11)eine USB-, PCMCIA-, PCI-, FireWire-, Bluetooth, eine Speicherkartenschnittstelleoder eine Infrarotschnittstelle ist.Access control method according to one of claims 1 to 7, characterized in that the universal interface ( 11 ) is a USB, PCMCIA, PCI, FireWire, Bluetooth, memory card interface or infrared port.Zugriffskontrollverfahren nach einem der Ansprüche 1 bis8, dadurch gekennzeichnet, dass das Zugriffskontrollverfahren ineinen Anmeldevorgang fürPeripheriegerätedes Computer (1) integriert ist.Access control method according to one of claims 1 to 8, characterized in that the access control method in a log-on process for peripheral devices of the computer ( 1 ) is integrated.Zugriffskontrollverfahren nach einem der Ansprüche 1 bis9, dadurch gekennzeichnet, dass das Zugriffskontrollverfahren eineZufallszahl nach dem Challenge-Response-Prinzip verwendet.Access control method according to one of claims 1 to9, characterized in that the access control method aRandom number used according to the challenge-response principle.Zugriffskontrolleinrichtung (2) für ein über eineUniversalschnittstelle (11) an einen Computer (1)angeschlossenes Peripheriegerät(3), dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung (2)eine Überprüfungseinrichtung(24;124) umfasst, die eingerichtet ist, eineZugriffsberechtigung des Peripheriegeräts (3) zu überprüfen, bevordas Peripheriegerät(3) auf den Computer (1) zugreift.Access control device ( 2 ) for one via a universal interface ( 11 ) to a computer ( 1 ) connected peripheral device ( 3 ), characterized in that the access control device ( 2 ) a verification device ( 24 ; 124 ), which is set up, an access authorization of the peripheral device ( 3 ) before the peripheral device ( 3 ) on the computer ( 1 ) accesses.Zugriffskontrolleinrichtung (2) nach Anspruch 11,dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung (2)eine Steuereinrichtung (23;123) umfasst, dieeingerichtet ist, die Überprüfungseinrichtung(24;124) zu aktivieren.Access control device ( 2 ) according to claim 11, characterized in that the access control device ( 2 ) a control device ( 23 ; 123 ), which is set up, the checking device ( 24 ; 124 ) to activate.Zugriffskontrolleinrichtung (2) nach Anspruch 12,dadurch gekennzeichnet, dass die Steuereinrichtung (23;123)eingerichtet ist, die Überprüfungseinrichtung(24;124) zu aktivieren, sobald eine Schnittstellenüberwachung(16) ein Anschließendes Peripheriegerät(3) an die Steuereinrichtung (24;124) meldet.Access control device ( 2 ) according to claim 12, characterized in that the control device ( 23 ; 123 ), the verification device ( 24 ; 124 ) as soon as an interface monitoring ( 16 ) connecting the peripheral device ( 3 ) to the control device ( 24 ; 124 ) reports.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 13, dadurch gekennzeichnet, dass die Universalschnittstelle(11) eine USB-, PCMCIA-, PCI-, FireWire-, Bluetooth- ,Speicherkartenschnittstelle oder Infrarotschnittstelle ist.Access control device ( 2 ) according to one of claims 11 to 13, characterized in that the universal interface ( 11 ) is a USB, PCMCIA, PCI, FireWire, Bluetooth, memory card interface or infrared port.Zugriffskontrolleinrichtung (2) nach Anspruch 13oder 14, dadurch gekennzeichnet, dass die Schnittstellenüberwachung(16) eine Komponente der Zugriffskontrolleinrichtung (2)oder des Computers (1) ist.Access control device ( 2 ) according to claim 13 or 14, characterized in that the interface monitoring ( 16 ) a component of the access control device ( 2 ) or the computer ( 1 ).Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 15, dadurch gekennzeichnet, dass die Überprüfungseinrichtung (24;124)eingerichtet ist, zumindest einen von dem Peripheriegerät (3) und/odervon einem Benutzer des Peripheriegeräts (3) bereitzustellendenZugriffscode (331) mit einem in einem Speicher (13;26)vorliegenden Referenzcode (131;261) zu vergleichen.Access control device ( 2 ) according to one of claims 11 to 15, characterized in that the checking device ( 24 ; 124 ) is arranged, at least one of the peripheral device ( 3 ) and / or by a user of the peripheral device ( 3 ) access code ( 331 ) with one in a memory ( 13 ; 26 ) present reference code ( 131 ; 261 ) to compare.Zugriffskontrolleinrichtung (2) nach Anspruch 16,dadurch gekenn zeichnet, dass die Zugriffskontrolleinrichtung (2)eine Eingabeeinrichtung (28) zum Eingeben des Zugriffscodes(331) durch den Benutzer umfasst.Access control device ( 2 ) according to claim 16, characterized in that the access control device ( 2 ) an input device ( 28 ) for entering the access code ( 331 ) by the user.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 17, dadurch gekennzeichnet, dass die Überprüfungseinrichtung (24;124)eingerichtet ist, von einem Benutzer des Peripheriegeräts (3)bereitzustellende biometrische Daten mit in einem Speicher (13;26)vorliegenden biometrischen Referenzdaten (132;262)zu vergleichen.Access control device ( 2 ) according to one of claims 11 to 17, characterized in that the checking device ( 24 ; 124 ) is set up by a user of the peripheral device ( 3 ) to be provided with biometric data in a memory ( 13 ; 26 ) biometric reference data ( 132 ; 262 ) to compare.Zugriffskontrolleinrichtung (2) nach Anspruch 18,dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung (2)eine Sensoreinrichtung (27) umfasst, die eingerichtet ist,die biometrischen Daten zu erheben.Access control device ( 2 ) according to claim 18, characterized in that the access control device ( 2 ) a sensor device ( 27 ), which is set up to collect the biometric data.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 19, dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung(2) eine Kryptographieeinrichtung (25;122)umfasst, die eingerichtet ist, ein von dem Peripheriegerät (3)bereitzustellendes verschlüsseltesGeheimnis (332) zu entschlüsseln, und die Überprüfungseinrichtung(24;124) eingerichtet ist, das entschlüsselte Geheimnis(332) mit einem in einem Speicher (13;26)vorliegenden Referenzgeheimnis (133;263) zu vergleichen.Access control device ( 2 ) according to one of claims 11 to 19, characterized in that the access control device ( 2 ) a cryptography device ( 25 ; 122 ), which is set up, one from the peripheral device ( 3 ) encrypted secret to be provided ( 332 ) and the verification facility ( 24 ; 124 ) one directed, the decrypted secret ( 332 ) with one in a memory ( 13 ; 26 ) reference secret ( 133 ; 263 ) to compare.Zugriffskontrolleinrichtung (2) nach Anspruch 20mit 18 oder 19, dadurch gekennzeichnet, dass das Geheimnis (332)mit den biometrischen Daten verschlüsselt ist und die Kryptographieeinrichtung(25;125) eingerichtet ist, das verschlüsselte Geheimnis (332)mit in einem Speicher (13;26) vorliegenden Referenzdaten(132;162) zu entschlüsseln.Access control device ( 2 ) according to claim 20 with 18 or 19, characterized in that the secret ( 332 ) is encrypted with the biometric data and the cryptography device ( 25 ; 125 ), the encrypted secret ( 332 ) in a memory ( 13 ; 26 ) ( 132 ; 162 ) to decode.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche16,18, 20 oder 21, dadurch gekennzeichnet, dass der Speicher (13;26)eine Kompo nente der Zugriffskontrolleinrichtung (2) oderdes Computers (1) ist.Access control device ( 2 ) according to one of claims 16, 18, 20 or 21, characterized in that the memory ( 13 ; 26 ) a component of the access control device ( 2 ) or the computer ( 1 ).Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 22, dadurch gekennzeichnet, dass die Steuereinrichtung (23;123)eingerichtet ist, bestimmten Peripheriegeräten (3) zu erlauben,ihre Zugriffsberechtigung selbständignachzuweisen.Access control device ( 2 ) according to one of claims 11 to 22, characterized in that the control device ( 23 ; 123 ), certain peripherals ( 3 ) to prove their access rights independently.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 23, dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung(2) vollständigin den Computer (1) integriert ist.Access control device ( 2 ) according to one of claims 11 to 23, characterized in that the access control device ( 2 ) completely into the computer ( 1 ) is integrated.Zugriffskontrolleinrichtung (2) nach Anspruch 24,dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung (2)als Softwarelösungrealisiert ist.Access control device ( 2 ) according to claim 24, characterized in that the access control device ( 2 ) is implemented as a software solution.Zugriffskontrolleinrichtung (2) nach einemder Ansprüche11 bis 23, dadurch gekennzeichnet, dass die Zugriffskontrolleinrichtung(2) von dem Computer (1) vollständig separatzwischen Computer (1) und Peripheriegerät (3) geschaltet ist.Access control device ( 2 ) according to one of claims 11 to 23, characterized in that the access control device ( 2 ) from the computer ( 1 completely separate between computer ( 1 ) and peripheral device ( 3 ) is switched.Zugriffskontrolleinrichtung (2) nach Anspruch 26,dadurch gekennzeichnet, dass die separate Zugriffskontrolleinrichtung(2) zumindest eine Universalschnittstelle (29)aufweist, an die das Peripheriegerät (3) anschließbar ist.Access control device ( 2 ) according to claim 26, characterized in that the separate access control device ( 2 ) at least one universal interface ( 29 ) to which the peripheral device ( 3 ) is connectable.Computer (1), dadurch gekennzeichnet, dass derComputer (1) eine interne Zugriffskontrolleinrichtung (2)nach Anspruch 24 oder 25 umfasst.Computer ( 1 ), characterized in that the computer ( 1 ) an internal access control device ( 2 ) according to claim 24 or 25.Computer (1), dadurch gekennzeichnet, dass derComputer (1) eine ex terne Zugriffskontrolleinrichtung (2)nach Anspruch 26 oder 27 umfasst.Computer ( 1 ), characterized in that the computer ( 1 ) an external access control device ( 2 ) according to claim 26 or 27.Peripheriegerät(3), umfassend einen Speicher (33), in dem einZugriffscode (331) und/oder ein Geheimnis (332)und/oder ein kryptographischer Schlüssel (333) zur Überprüfung einerZugriffsberechtigung des Peripheriegeräts (3) mittels einerZugriffskontrolleinrichtung nach einem der Ansprüche 11 bis 27 gespeichert ist.Peripheral device ( 3 ), comprising a memory ( 33 ), in which an access code ( 331 ) and / or a secret ( 332 ) and / or a cryptographic key ( 333 ) for checking access authorization of the peripheral device ( 3 ) is stored by means of an access control device according to one of claims 11 to 27.Peripheriegerät(3) nach Anspruch 30, umfassend eine Kryptographieeinrichtung(32), die eingerichtet ist, das Geheimnis (332)zu verschlüsseln.Peripheral device ( 3 ) according to claim 30, comprising a cryptography device ( 32 ), which is set up the secret ( 332 ) to encrypt.Peripheriegerät(3) nach Anspruch 31, dadurch gekennzeichnet, dass dieKryptographieeinrichtung (32) eingerichtet ist, das Geheimnis(332) mit biometrischen Daten einer das Peripheriegerät (3)benutzenden Person zu verschlüsseln.Peripheral device ( 3 ) according to claim 31, characterized in that the cryptography device ( 32 ), the secret ( 332 ) with biometric data of a peripheral device ( 3 ) to encrypt the person using it.Peripheriegerät(3) nach einem der Ansprüche 30 bis 32, dadurch gekennzeichnet,dass die Kryptographieeinrichtung (32) eingerichtet ist,eine Zufallszahl zu erzeugen und/oder eine Zufallszahl nach demChallenge-Response-Prinzipzu verwenden.Peripheral device ( 3 ) according to one of claims 30 to 32, characterized in that the cryptography device ( 32 ) is arranged to generate a random number and / or to use a random number according to the challenge-response principle.