DE10134489B4

DE10134489B4 - Asymmetrisches Kryptographieverfahren

Info

Publication number: DE10134489B4
Application number: DE2001134489
Authority: DE
Inventors: Jan C. Dr. Vorbrüggen; Eckhard Dr. Koch
Original assignee: Mediasec Technologies GmbH
Current assignee: Mediasec Technologies GmbH
Priority date: 2001-06-27
Filing date: 2001-06-27
Publication date: 2004-03-04
Anticipated expiration: 2021-06-28
Also published as: DE10134489A1

Abstract

Asymmetrisches Kryptographieverfahren, wobei einer Rechnereinrichtung ein geheimer Schlüssel zugeordnet ist und aus dem geheimen Schlüssel ein öffentlicher Schlüssel berechnet wird, wobei der geheime Schlüssel der Rechnereinrichtung mittels eines Schlüssels einer Recovery-Rechnereinrichtung verschlüsselt wird, wobei von der Rechnereinrichtung ein den verschlüsselten geheimen Schlüssel aufweisendes Recovery-Zertifikat erstellt wird und wobei die Entschlüsselung des geheimen Schlüssels der Rechnereinrichtung mittels der Recovery-Rechnereinrichtung und des Recovery-Zertifikats vorgenommen wird, dadurch gekennzeichnet, daß der geheime Schlüssel der Rechnereinrichtung mit Schlüsseln wenigstens zweier unterschiedlicher Recovery-Rechnereinrichtungen verschlüsselt wird und daß eine entsprechende Anzahl an den verschlüsselten Schlüssel aufweisenden Recovery-Zertifikaten erstellt wird.

Description

Die Erfindung betrifft ein asymmetrisches Kryptographieverfahren, wobei einer Rechnereinrichtung ein geheimer Schlüssel zugeordnet ist und aus dem geheimen Schlüssel ein öffentlicher Schlüssel berechnet wird, wobei der geheime Schlüssel der Rechnereinrichtung mittels eines Schlüssels einer Recovery-Rechnereinrichtung verschlüsselt wird, wobei von der Rechnereinrichtung ein den verschlüsselten geheimen Schlüssel aufweisendes Recovery-Zertifikat erstellt wird und wobei die Entschlüsselung des geheimen Schlüssels der Rechnereinrichtung mittels der Recovery-Rechnereinrichtung und des Recovery-Zertifikats vorgenommen wird.
Ein Verfahren der zuvor genannten Art ist bereits aus der US 6,058,188 bekannt. Bei dem aus der vorgenannten Druckschrift bekannten Verfahren ist eine Rechnereinrichtung vorgesehen, in der eine Nachricht mit einem geheimen "session key K" verschlüsselt wird. Um ein Zertifikat zu erstellen, wird der geheime Schlüssel K mittels eines Schlüssels der Recovery-Rechnereinrichtung verschlüsselt und es wird ein Zertifikat erstellt. Die Entschlüsselung des geheimen Schlüssels der Rechnereinrichtung wird mittels der Recovery-Rechnereinrichtung und des Recovery-Zertifikats vorgenommen.

Die Druckschrift EP 0 889 617 A2 betrifft ein asymmetrisches Kryptographieverfahren, bei dem ein verlorengegangener öffentlicher Schlüssel mittels eines Zertifikats auch dann wiedergewonnen werden kann, wenn der private Schlüssel verloren geht oder vergessen worden ist. Ein vergleichbarer Sachverhalt ist auch in der Druckschrift WO 00/72504 A1 beschrieben, wobei ein öffentlicher und ein privater Schlüssel mittels eines öffentlichen Schlüssels einer Recovery-Einrichtung erstellt werden und der erstellte öffentliche Schlüssel zum Erstellen eines Zertifikats vorgesehen wird. Der private Schlüssel kann dabei aus dem privaten Schlüssel der Recovery-Einrichtung und dem erstellten Zertifikat zurückgewonnen werden.

Die Druckschrift JP 11308213 A beschreibt ein System zur Entschlüsselung von verschlüsselten Daten, wobei die Datenwiedergewinnung bei Verlust des geheimen und des öffentlichen Schlüssels anhand eines ersten öffentlichen Schlüssel-Zertifikats erfolgt, das in einer Schlüssel-Hinterlegungs-Einrichtung hinterlegt ist. Hat ein Benutzer seinen privaten Schlüssel verloren, erfolgt die Authentisierung des Benutzers durch ein zweites öffentliches Schlüssel-Zertifikat, das von einer zur Zertifikation autorisierten Einrichtung ausgegeben wird.

Die US 6,118,874 betrifft ein Verfahren zur Rückgewinnung eines geheimen Schlüssels, wobei zur Erhöhung der Sicherheit des Verfahrens vorgesehen ist, den Schlüssel in mehrere Schlüssel zu zerlegen, welche voneinander getrennt gespeichert und bei der Datenübermittlung mittels eines weiteren Schlüssels verschlüsselt werden.

Als Verfahren der asymmetrischen Kryptographie sind zum Beispiel solche basierend auf dem diskreten Logarithmus-Problem und der Faktorisierung großer Zahlen und solche basierend auf elliptischen Kurven bekannt. Allen Verfahren ist gemeinsam, daß in geeigneter Weise ein geheimer Schlüssel bestimmt wird. Bei dem bekannten RSA-Verfahren sind dies zwei Primzahlen p und q, für deren Erzeugung effiziente Verfahren bekannt sind. Aus dem geheimen Schlüssel wird ein öffentlicher Schlüssel berechnet mit der Anforderung, daß für die Berechnung des geheimen Schlüssels aus dem öffentlichen Schlüssel kein effizientes Verfahren bekannt sein darf. Bei dem RSA-Verfahren ergibt sich der öffentliche Schlüssel N als Produkt aus p und q. Die bekannten asymmetrischen Kryptographieverfahren sind in ihren Schlüsseln symmetrisch. Dies bedeutet zum einen, daß eine Nachricht, die mit einem geheimen Schlüssel verschlüsselt worden ist, nur mit dem zugehörigen öffentlichen Schlüssel entschlüsselt werden kann. Dies liegt der digitalen Signatur zugrunde, für die das Schlüsselpaar des Absenders der Nachricht zum Einsatz kommt. Zum anderen kann eine Nachricht, die mit einem öffentlichen Schlüssel verschlüsselt worden ist, nur mit dem zugehörigen geheimen Schlüssel wieder entschlüsselt werden. Dies liegt zum einen dem sicheren e-mail-Verkehr zugrunde, für den das Schlüsselpaar des Empfängers der Nachricht zum Einsatz kommt. Zum anderen kann damit der Inhaber eines Schlüsselpaares Daten, zum Beispiel in Form von auf einer Festplatte abgelegten Dateien, so verschlüsseln, daß nur er – durch Kenntnis des geheimen Schlüssels – sie wieder entschlüsseln kann.

Die Sicherheit der bekannten asymmetrischen Kryptographieverfahren ist praktisch ausschließlich von der sicheren Aufbewahrung des geheimen Schlüssels abhängig. Um hier ein geeignetes Schutzniveau zu erreichen, wird dieser Schlüssel in der Regel auf einer Rechnereinrichtung abgelegt. Heutzutage werden als Rechnereinrichtungen üblicherweise Chipkarten, die in der Regel als "smart cards" bezeichnet werden, verwendet. Diese Chipkarten weisen einen geeigneten Mikroprozessor auf, der gegen Manipulationen und Auslesen der gespeicherten Daten besonders geschützt ist. Alle kryptographisch relevanten Operationen werden durch den Prozessor der smart card durchgeführt. Daher sollte der geheime Schlüssel niemals außerhalb der smart card vorliegen. Der Zugriff auf die smart card und die Authorisierung einer kryptographischen Operation erfolgt durch die Eingabe einer Geheimnummer (PIN), die nur der Inhaber der smart card (und registrierte Eigentümer des Schlüsselpaares) wissen darf. Damit sind von drei Sicherheitsprinzipien bereits zwei abgedeckt, nämlich "what you have" (die smart card) und "what you know" (die PIN). Ein weiteres Sicherheitsprinzip ist das biometrische Verfahren – "who you are". Durch eine sogenannte "certificate authority" wird ein spezifischer öffentlicher Schlüssel eindeutig einer natürlichen Person zuordenbar. Ein sogenanntes Trust Center bürgt zum einen als certificate authority für diese Zuordnung und ist in diesem Zusammenhang über den sogenannten Verzeichnisdienst Auskunftgeber, beispielsweise in Form von Zertifikaten. Außerdem kann es für die sichere Erstellung des Schlüsselpaares und der smart card und, wenn erforderlich, auch für den Widerruf für Schlüsseln bzw. Zertifikaten verantwortlich sein.

Die Verfahren der asymmetrischen Kryptographie bieten ein hohes Sicherheitsniveau. Wenn allerdings der geheime Schlüssel oder der Zugriff auf die zugehörige smart card verloren geht, sind damit alle verschlüsselten Daten nicht mehr entschlüsselbar. Dies betrifft jedoch nur das zweite eingangs beschriebene Einsatzszenario. Die digitale Signatur ist insoweit nicht betroffen, als daß bisher signierte Nachrichten weiter verifiziert werden können, da hierzu nur der öffentliche Schlüssel benötigt wird. Die Möglichkeit oder die Gefahr des Verlustes des geheimen Schlüssels bzw. der smart card ist insbesondere in Verbindung mit der Ablegung von sensitiven firmeninternen Daten inakzeptabel, da etwa im Falle des Urlaubs des zuständigen Mitarbeiters, seiner vorübergehenden oder dauernden Unfähigkeit die PIN einzugeben (Ver gessen, Unfall oder Todesfall), der Zerstörung der smart card (z. B. beim Waschen oder Zerbrechen), Kündigung des oder durch den Mitarbeiter oder offensichtliche oder verdeckte Sabotage durch den Mitarbeiter wichtige Daten nicht mehr zugänglich wären.

Daher sind Verfahren vorgesehen, daß in solchen Fällen eine Wiedergewinnung entweder des verwendeten Schlüssels (sogenanntes Key Recovery) oder der Daten gestattet. Dabei darf die Sicherheit des gesamten Verfahrens nicht dadurch korrumpiert werden, daß der geheime Schlüssel im Klartext außerhalb der smart card verfügbar gemacht wird. Soll bei der Entschlüsselung eine Verschlüsselungsmöglichkeit bei Schlüsselverlust möglich sein, so ist es beim Stand der Technik bisher so, daß die Daten ein zweites Mal mit einem anderen öffentlichen Schlüssel verschlüsselt und an geeigneter Stelle abgelegt werden. Dieses bekannte Key Recovery-Verfahren hat erhebliche Nachteile. Die zu speichernde Datenmenge verdoppelt sich, auch wenn die Wahrscheinlichkeit der Notwendigkeit einer Wiedergewinnung nach Verlust des geheimen Schlüssels bzw. der smart card sehr gering ist. Die Verwaltung dieser duplizierten Daten stellt ein organisatorisches Problem und ein Sicherheitsproblem dar. Hierbei ist nämlich zu klären,

– wo die Duplikate abgelegt werden,
– wer Zugriff auf die Duplikate hat und zu welchem Zeitpunkt,
– was mit Daten geschieht, die modifiziert oder gelöscht werden und
– was mit Sicherungskopien von Duplikaten geschieht und wie diese erstellt werden.

Des weiteren stellt die Tatsache, daß die Daten mit einem anderen Schlüssel bzw. einer anderen smart card ohne weiteres zugänglich sind, an sich ein Sicherheitsrisiko dar. Dies kann durch geeignete organisatorische Maßnahmen nur gemildert werden. Typischerweise wird für eine Anzahl von smart cards nur ein Recovery-Schlüssel auf einer Recovery-Card vorgesehen (z. B. auf Gruppenebene). Der Inhaber der zugehörigen Recovery-Card hat potentiell Zugriff auf alle Daten der entsprechenden Mitarbeiter. Dies kann zu Vertrauensproblemen und zu neuen Verwundbarkeiten führen.

Aufgabe der vorliegenden Erfindung ist es, das aus der US 6,058,188 bekannte Verfahren weiterzubilden und ein asymmetrisches Kryptographieverfahren der eingangs genannten Art zur Verfügung zu stellen, wobei es auch bei Verlust des geheimen Schlüssels in einfacher Weise möglich ist, die verschlüsselten Daten mit einem besonders hohen Maß an Sicherheit wieder zu entschlüsseln.

Die zuvor hergeleitete Aufgabe ist erfindungsgemäß im wesentlichen dadurch gelöst, daß der geheime Schlüssel der Rechnereinrichtung mit Schlüsseln wenigstens zweier unterschiedlicher Recovery-Rechnereinrichtungen verschlüsselt wird und daß eine entsprechende Anzahl an den verschlüsselten Schlüssel aufweisenden Recovery-Zertifikaten erstellt wird.

Da, wie zuvor bereits ausgeführt worden ist, als Rechnereinrichtungen zur Durchführung des eingangs genannten Verfahrens heutzutage üblicherweise smart cards verwendet werden, wird im folgenden der Ausdruck "smart card" oder nur "card" als Synonym für "Rechnereinrichtung" verwendet, ohne daß dies jedoch einschränkend zu verstehen ist.

Ein Grundgedanke der Erfindung ist es zunächst, eine Wiedergewinnung und Nutzung des geheimen Schlüssels zu ermöglichen, ohne daß dieser je außerhalb einer smart card im Klartext vorliegt. Hierzu ist erfindungsgemäß vorgesehen, daß eine weitere smart card, die nachfolgend als Recovery-Card bezeichnet wird, und deren öffentlicher Schlüssel eingesetzt werden, um den geheimen Schlüssel der ursprünglichen smart card zu verschlüsseln und damit in sicherer Weise "transportabel" machen. Der in dieser Weise verschlüs-selte geheime Schlüssel kann nun von der ursprünglichen smart card ausgegeben und als sogenanntes Recovery-Zerifikat archiviert werden. Bei Bedarf wird die Recovery-Card von der zuständigen Person eingesetzt, um den archivierten, verschlüsselten, geheimen Schlüssel zu entschlüsseln. Dieser liegt dann im Klartext auf der Recovery-Card vor. Die Recovery-Card kann nun verwendet werden, um die gewünschten kryptographischen Operationen durchzuführen, die die Kenntnis des geheimen Schlüssels der ursprünglichen smart card erfordern.

Bei Verlust der Recovery-Card oder bei Verlust des Zugriffes auf sie ist eine Wiedergewinnung von Schlüsseln nicht möglich. Zur Vermeidung dieses Problems kann bei der Erstellung des Recovery-Zertifikates die ursprüngliche smart card angewiesen werden, ihren geheimen Schlüssel mehrfach zu verschlüsseln, d. h. mit mehreren öffentlichen Schlüsseln verschiedener Recovery-Cards, und mehrere in der Funktion gleichwertige Recovery-Cards zu erstellen. Zur Wiedergewinnung des geheimen Schlüssels ist dann jede dieser Recovery-Cards in Kombination mit dem zugehörigen Recovery-Zertifikat in der Lage. Auf diese Weise wird die Sicherheit bei der Wiedergewinnung verschlüsselter Daten wesentlich erhöht und der eingangs beschriebene "single point of failure" eliminiert, da eine Mehrzahl von Recovery-Rechnereinrichtungen zur Entschlüsselung eingesetzt werden kann, so daß auch bei Störung einer Recovery-Rechnereinrichtung die Entschlüsselung der Daten stets über wenigstens eine weitere Recovery-Rechnereinrichtung möglich ist.

Durch die erfindungsgemäße Ausgestaltung ist die Recovery-Card damit zu einem (temporären) Ersatz der ursprünglichen smart card geworden. Nach Abschluß der jeweiligen kryptographischen Operationen) ist es möglich, die Recovery-Card anzuweisen, den Klartext-Schlüssel auf der Recovery-Card zu löschen. Sie steht damit für eventuelle weitere Wiedergewinnungsverfahren des gleichen oder anderer Schlüsselpaare zur Verfügung, die mit dem Schlüssel dieser Recovery-Card hinterlegt wurden. Hierauf wird nachfolgend aber im einzelnen noch eingegangen.

Im Ergebnis ermöglicht die Erfindung eine sichere Archivierung des geheimen Schlüssels der smart card, ohne daß es erforderlich wäre, sonstige verschlüsselte Daten zu archivieren, wie dies beim Stand der Technik notwendig ist. Des weiteren ermöglicht die Erfindung die (ggfs. temporäre) Herstellung eines Ersatzes für die ursprüngliche smart card und des auf ihr enthaltenen geheimen Schlüssels, ohne daß dieser je im Klartext außerhalb einer smart card vorgelegen hätte. Weiterhin wird durch die Erfindung die Möglichkeit gegeben, eine Freigabe der Schlüssel-Wiedergewinnung nach dem Vier-Augen-Prinzip sowie die Schlüssel-Wiedergewinnung ohne den sogenannten "single point of failure" einzurichten, worauf nachfolgend noch im einzelnen eingegangen wird.

Grundsätzlich ist es möglich, daß das erfindungsgemäße Key Recovery-Verfahren derart durchgeführt wird, daß der Recovery-Card nur ein einziger Schlüssel zugeordnet bzw. auf dieser abgelegt ist. Bevorzugt ist es aber, daß das erfindungsgemäße Key Recovery-Verfahren ebenfalls auf dem asymmetrischen Kryptographieverfahren beruht, wobei der Recovery-Card ein geheimer Schlüssel zugeordnet ist, der auf der Recovery-Card abgelegt ist und aus dem geheimen Schlüssel ein öffentlicher Schlüssel berechnet wird. Im Zusammenhang mit dem erfindungsgemäßen Verfahren ist dann vorgesehen, daß der geheime Schlüssel der ursprünglichen smart card mittels des öffentlichen Schlüssels der Recovery-Card verschlüsselt wird. Die Entschlüsselung kann dann nur der Inhaber der Recovery-Card mit dem auf der Recovery-Card abgelegten geheimen Schlüssel vornehmen.

Bei einer einfachen Ausgestaltung der Erfindung hat Zugriff auf die Daten, die mit dem geheimen Schlüssel der ursprünglichen smart card verschlüsselt wurden, wer Zugriff auf die Recovery-Card hat und über das entsprechende Recovery-Zertifikat verfügt. Somit sind also bereits zwei Dinge erforderlich, um eine Entschlüsselung vorzunehmen.

Von besonderem Vorteil ist es, daß der geheime Schlüssel der ursprünglichen smart card in wenigstens zwei Schlüsselteile zerlegt wird, wozu die ursprüngliche smart card entsprechend angewiesen wird. Die einzelnen Schlüsselteile werden dann mit öffentlichen Schlüsseln verschiedener Recovery-Cards verschlüsselt und es wird eine entsprechende Anzahl die verschlüsselten Schlüsselteile aufweisende Recovery-Zertifikate erstellt. Zur Durchführung einer Schlüssel-Wiedergewinnung werden dann alle Recovery-Zertifikate sowie die zugehörigen Recovery-Cards benötigt, um den gesamten geheimen Schlüssel der ursprünglichen smart card wieder herzustellen. Dies erfordert zum einen eine sichere Kommunikation zwischen den Recovery-Cards, um die mehreren Teile des wiederherzustellenden ursprünglichen geheimen Schlüssels zusammenführen zu können. Des weiteren ist es erforderlich, eine der Recovery-Cards auszuwählen, um das Key Recovery-Verfahren zu steuern, d. h. den Gesamtschlüssel zu erhalten und mit ihm die gewünschten kryptographischen Operationen durchzuführen. Hierdurch ergibt sich in einfacher Weise zumindest ein "Vier-Augen-Prinzip".

Durch Kombination der beiden vorgenannten Möglichkeiten, also der Aufteilung des geheimen Schlüssels auf eine Mehrzahl von Recovery-Zertifikaten einerseits und die Erstellung mehrerer Recovery-Zertifikate mit mehreren Recovery-Cards andererseits, ergibt sich ein sehr hohes Schutzniveau. Zusätzlich kann dabei vorgesehen sein, daß eine vorgegebene Zuordnung von bestimmten Recovery-Cards und Recovery-Zertifikaten besteht. Die jeweilige Festlegung, welche Kombination von Karten und Zertifikaten zulässig sein soll, richtet sich nach dem jeweiligen Anwendungsfall.

Grundsätzlich ist es möglich, daß die ursprüngliche smart card das Recovery-Zertifikat zu einem beliebigen Zeitpunkt und beliebig oft erstellen kann. Zur Erhöhung der Sicherheit, zum Beispiel um zu vermeiden, daß aus Versehen eine solche Erstellung nicht durchgeführt wird und ein Unberechtigter dies ausnutzt, um die Erstellung mit einem öffentlichen Schlüssel seiner Wahl, zu dem nur ihm der geheime Schlüssel bekannt ist, zu veranlassen, kann durch entsprechende Maßnahmen sichergestellt werden, daß die Erstellung des Recovery-Zertifikats nur in eingeschränkter Weise erfolgen kann. Eine solche Einschränkung kann den Ort der Erstellung des Recovery-Zertifikats betreffen. So kann beispielsweise vorgesehen sein, daß dies nur innerhalb des die smart card erstellenden Trust Centers möglich ist. Dies läßt sich zum Beispiel durch Verwendung eines speziellen Kartenlesegerätes, das nicht allgemein verfügbar ist, erreichen. Des weiteren kann eine Einschränkung der Zeitpunkt der Erstellung betreffen. So kann beispielsweise vorgesehen sein, daß das Recovery-Zertifikat nur vor Durchführung der ersten normalen kryptographischen Operation der ursprünglichen smart card erstellt werden kann. Spätere Anforderungen zu einer solcher Erstellung werden von der smart card verweigert. Des weiteren bietet es sich an, daß die Erstellung eines Recovery-Zertifikats die Eingabe wenigstens eines weiteren Identifizierungsmittels erfordert. Hierzu kann beispielsweise vorgesehen sein, daß eine nur dem Trust Center bekannte, regelmäßig wechselnde PIN oder ein Zertifikat, das bei der Herstellung auf der smart card abgelegt wird, erforderlich sind.

Zur weiteren Erhöhung der Sicherheit dient, die Anzahl der Möglichkeiten, ein Recovery-Zertifikat zu erstellen, zu beschränken. Bevorzugt ist es, nur einen oder zwei Versuche zu gewähren, wobei die smart card anschließend die Erstellung eines Recovery-Zertifikates verweigert.

Grundsätzlich kann vorgesehen sein, die Nutzungsdauer eines Recovery-Zertifikats nicht einzuschränken. Zur Erhöhung der Sicherheit kann aber aber auch die Nutzungs- bzw. Geltungsdauer des Recovery-Zertifikats beschränkt werden. So kann die Beschränkung beispielsweise an die Geltungsdauer der ursprünglichen smart card gebunden sein. Insbesondere ist es zweckmäßig, daß ein Recovery-Zertifikat noch eine kurze Zeit nach Ablauf der Lebensdauer der smart card, dann aber nicht mehr verwendet werden kann.

Zur weiteren Erhöhung der Sicherheit bietet es sich an, die Dauer der Nutzung der aktivierten Recovery-Card zu beschränken. Diese Beschränkung kann derart sein, daß nur eine vorgegebene Menge an Daten entschlüsselt werden kann und/oder daß nur eine vorgegebene Anzahl von kryptographischen Operationen durchgeführt werden kann und/oder daß nur eine vorgegebene Zahl an Nutzungen bzw. "Sitzungen" möglich ist. Auch ist es möglich, daß eine kryptographische Operation innerhalb eines vorgegebenen Zeitintervalls nach Beendigung der vorherigen Operation erfolgen muß.

Um das Key Recovery-Verfahren einzuleiten bzw. die Recovery-Card zu aktivieren, ist es möglich, die Eingabe einer PIN vorzusehen, über die die Recovery-Card freigegeben und aktiviert wird. Zur Erhöhung der Sicherheit bietet es sich an, zur Aktivierung der Wiedergewinnung die Eingabe einer weiteren PIN zu verlangen.

Insbesondere bietet es sich an, daß die weitere PIN aus Informationen, die für das Recovery-Zertifikat oder die ursprüngliche smart card spezifisch, aber nicht allgemein zugänglich sind, abgeleitet wird. Die weitere PIN weist hierzu einen Basiswert auf, dem wenigstens ein weiterer spezifischer Wert angefügt wird.

Des weiteren ist es zur Erhöhung der Sicherheit von Vorteil, daß eine solche Aktivierung der Recovery-Card an die Verwendung eines speziellen Kartenlesegeräts, das nicht allgemein verfügbar ist, gebunden ist, also zum Beispiel nur in den Räumlichkeiten des Trust Centers durchgeführt werden kann.

Grundsätzlich ist es so, daß die Zuordnung der zu Erstellung des oder der Recovery-Zertifikate verwendeten Recovery-Cards nicht ohne weiteres nachvollziehbar ist. Dies kann den Zugriff auf die zur Schlüsselwiedergewinnung erforderlichen Recovery-Cards in zeitkritischen Situationen beeinträchtigen und die Nachvollziehbarkeit sicherheitsrelevanter Informationen erschweren. Zur Erleichterung der Schlüsselverwaltung bietet es sich daher an, daß die ursprüngliche smart card bei Erstellung des oder der Recovery-Zertifikate die notwendigen Informationen auf der jeweiligen Karte ablegt und später zur Abfrage bereitstellt. Als Identifikationsdaten dienen bevorzugt die Seriennummer des zugeordneten Recovery-Zertifikats, sein Fingerprint, der Aus-steller, das Ausstellungsdatum und/oder die Gültigkeitsdauer.

Der öffentliche Schlüssel hat bei den bekannten Anwendungen eine typische Länge von 1.024 oder 2.048 Bit. Zur Erhöhung der Sicherheit kann der von der Recovery-Card verwendete Schlüssel deutlich höher, das heißt länger gewählt werden. Dies ist deshalb ohne weiteres möglich, da die Recovery-Card und deren Schlüssel ohnehin üblicherweise eher selten zum Einsatz kommen, so daß ein entsprechend langer Schlüssel verwendet werden kann.

Um einem Mißbrauch leichter vorbeugen zu können, ist darüber hinaus vorgesehen, daß die Nutzung der Recovery-Card auf dieser dokumentiert wird. Es kann also bedarfsweise überprüft werden, ob die Recovery-Card unrechtmäßig verwendet worden ist.

Der verschlüsselte geheime Schlüssel der smart card kann in binärer Form, als Zertikat oder auch als Textdatei dargestellt werden, letzteres, um in einfacher Weise einen Ausdruck zu ermöglichen. Die Speicherung des verschlüsselten geheimen Schlüssels kann digital auf verschiedenen Medien wie Festplatten, Magnetbändern oder CDs erfolgen, oder analog beispielsweise auf Papier. Der verschlüsselte geheime Schlüssel kann im übrigen in mehreren Exemplaren vorliegen.

Hinsichtlich des Ortes der Aufbewahrung des verschlüsselten geheimen Schlüssels bzw. des Recovery-Zertifikats und der Recorvery-Card ist zunächst einmal festzustellen, daß der verschlüsselte geheime Schlüssel im Prinzip nicht schützenswert ist, da er ohne die zugehörige und aktivierte Recovery- Card keine nutzbare Information erhält. Die Recovery-Card ist auch analogen Gründen für sich nicht schützenswert. Ein Schutz vor Zerstörung ist aber auf jeden Fall zweckmäßig, da eine Zerstörung entweder der Recovery-Card oder ein Verlust des verschlüsselten geheimen Schlüssels eine erfolgreiche Schlüssel-Wiedergewinnung unmöglich macht. Ein solcher Schutz sollte insbesondere den Schutz vor Feuer, Wasser und mechanischer Zerstörung umfassen. Die Ablage sollte daher beispielsweise in einem Tresor oder einem Bankschließfach erfolgen. Zweckmäßig ist es auch, den Zugriff auf die beiden Objekte zu kontrollieren. Dies kann durch geeignete technische und/oder organisatorische Maßnahmen erfolgen. Insbesondere kann die Kontrolle einem vertrauenswürdigen Dritten obliegen, zum Beispiel dem eingangs beschriebenen Trust Center.

Nachfolgend werden Ausführungsbeispiele zur Durchführung des erfindungsgemäßen Verfahren anhand der Zeichnung beschrieben. Dabei zeigt

1 schematisch den Ablauf des erfindungsgemäßen Verfahren beim Verschlüsseln,

2 den Ablauf des Verfahrens aus 1 beim Entschlüsseln,

3 den Ablauf einer anderen Ausführungsform des erfindungsgemäßen Verfahrens beim Verschlüsseln,

4 den Ablauf des Verfahrens aus 3 beim Entschlüsseln,

5 den Ablauf einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens beim Verschlüsseln, und

6 den Ablauf des Entschlüsselns zum Verfahren gemäß 5.

In den einzelnen Figuren sind Teile eines System 1 zur Durchführung des erfindungsgemäßen Kryptographieverfahrens dargestellt, das vorliegend auf dem RSA-Verfahren beruht. In 1 ist eine smart card 2 dargestellt, auf der ein geheimer Schlüssel 3 abgelegt ist. Zusätzlich zur smart card 2 wird eine als Recovery-Card 4 bezeichnete weitere smart card mit einem Schlüsselpaar aus einem geheimen Schlüssel, der auf der Recovery-Card 4 abgelegt ist, und einem öffentlichen Schlüssel erstellt. Der öffentliche Schlüssel 5 der Recovery-Card 4 wird der smart card 2 mitgeteilt. Die smart card 2 verschlüsselt mit dem öffentlichen Schlüssel 5 der Recovery-Card 4 ihren geheimen Schlüssel 3 und erstellt ein Recovery-Zertifikat 6. Das Recovery-Zertifikat 6 wird dann in geeigneter Weise archiviert.
Die Wiedergewinnung des verschlüsselten geheimen Schlüssels 3 erfolgt, wie in 2 dargestellt, derart, daß die Recovery-Card 4 angewiesen wird, das Recovery-Zertifikat 6 zu entschlüsseln. Die Recovery-Card 4 wird durch Eingabe einer PIN in Verbindung mit einem nicht dargestellten Lesegerät freigegeben und aktiviert. Das Recovery-Zertifikat 6 wird dann in die Recovery-Card 4 geladen. Die Recovery-Card 4 entschlüsselt das Recovery-Zertifikat 6 mit Hilfe ihres geheimen Schlüssels und legt den wiedergewonnenen geheimen Schlüssel 3 der ursprünglichen smart card 2 in geeigneter Weise intern und gegebenenfalls zeitlich beschränkt ab.
Die nun den wiedergewonnenen geheimen Schlüssel aufweisende Recovery-Card 4 kann nun angewiesen werden, wenigstens eine kryptographische Operation durchzuführen. Hierzu verlangt die Recovery-Card 4 vom Nutzer eine weitere PIN. Bei korrekter Eingabe der weiteren PIN wird die gewünschte Operation mit dem wiedergewonnenen geheimen Schlüssel 3 der ursprünglichen smart card 2 durchgeführt.
Die in den 3 und 4 dargestellte Ausführungsform unterscheidet sich von der in 1 und 2 dahingehend, daß der geheime Schlüssel 3 der smart card 2 in vorliegend vier Teilschlüssel 3a, 3b, 3c, 3d zerlegt wird. Die Zerlegung wird über die smart card 2 bei Anforderung der Erstellung eines Recovery-Zertifikats vorgenommen. Nach Zerlegung des geheimen Schlüssels 3 in die Teilschlüssel 3a, 3b, 3c, 3d werden diese mit den öffentlichen Schlüsseln 5a, 5b, 5c, 5d von unterschiedlichen Recovery-Cards 4a, 4b, 4c, 4d verschlüsselt, wie dies zuvor beschrieben worden ist. Anschließend werden eine Mehrzahl von Recovery-Zertifikaten 6a, 6b, 6c und 6d erstellt.
Zum Entschlüsseln sind, wie sich dies aus 4 ergibt, alle Recovery-Cards 4a, 4b, 4c und 4d sowie alle Recovery-Zertifikate 6a, 6b, 6c und 6d erforder lich. Des weiteren wird eine Recovery-Card, vorliegend die Recovery-Card hier 4a ausgewählt, die Zusammenführung des geheimen Schlüssels 3 zu koordinieren, was eine entsprechende Abstimmung zwischen den Inhabern der einzelnen Recovery-Cards 4a, 4b, 4c und 4d erforderlich macht.
Bei der in den 5 und 6 dargestellten Ausführungsform ist es so, daß der geheime Schlüssel 3 der smart card 4 nicht in Teilschlüssel zerlegt wird, aber mehrfach verschlüsselt wird, nämlich mit den öffentlichen Schlüsseln 5a, 5b, 5c von vorliegend drei Recovery-Cards 4a, 4b, 4c, so daß drei Recovery-Zertifikate 6a, 6b, 6c erstellt werden, die jeweils den verschlüsselten geheimen Schlüssel 3 der smart card 2 enthalten. Die Entschlüsselung des geheimen Schlüssels 3 kann dann alternativ über die Recovery-Card 4a und das Recovery-Zertifikat 6a, die Recovery-Card 4b und das Recovery-Zertifikat 6b oder die Recovery-Card 4c und das Recovery-Zertifikat 6c erfolgen.

Claims

Asymmetrisches Kryptographieverfahren, wobei einer Rechnereinrichtung ein geheimer Schlüssel zugeordnet ist und aus dem geheimen Schlüssel ein öffentlicher Schlüssel berechnet wird, wobei der geheime Schlüssel der Rechnereinrichtung mittels eines Schlüssels einer Recovery-Rechnereinrichtung verschlüsselt wird, wobei von der Rechnereinrichtung ein den verschlüsselten geheimen Schlüssel aufweisendes Recovery-Zertifikat erstellt wird und wobei die Entschlüsselung des geheimen Schlüssels der Rechnereinrichtung mittels der Recovery-Rechnereinrichtung und des Recovery-Zertifikats vorgenommen wird, dadurch gekennzeichnet, daß der geheime Schlüssel der Rechnereinrichtung mit Schlüsseln wenigstens zweier unterschiedlicher Recovery-Rechnereinrichtungen verschlüsselt wird und daß eine entsprechende Anzahl an den verschlüsselten Schlüssel aufweisenden Recovery-Zertifikaten erstellt wird.
Asymmetrisches Kryptographieverfahren nach Anspruch 1, dadurch gekennzeichnet, daß der geheime Schlüssel der Rechnereinrichtung nach der Entschlüsselung zur Durchführung kryptographischer Operationen in der Recovery-Rechnereinrichtung zumindest für einen vorgegebenen Zeitraum abgelegt wird.
Asymmetrisches Kryptographieverfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Recovery-Rechnereinrichtung ein geheimer Schlüssel zugeordnet ist und aus dem geheimen Schlüssel ein öffentlicher Schlüssel berechnet wird und daß der geheime Schlüssel der Rechnereinrichtung mittels des öffentlichen Schlüssels des Recovery-Rechnereinrichtung verschlüsselt wird.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der geheime Schlüssel der Rechnereinrichtung in wenigstens zwei separate Schlüsselteile zerlegt wird, daß die Schlüsselteile mit Schlüsseln unterschiedlicher Recovery-Rechnereinrichtungen verschlüsselt werden und daß eine entsprechende Anzahl an die verschlüsselten Schlüsselteile aufweisenden Recovery-Zertifikaten erstellt werden.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei einer Mehrzahl von Recovery-Rech nereinrichtung und Recovery-Zertifikaten eine vorgegebene Zuordnung von Recovery-Rechnereinrichtungen und Recovery-Zertifikaten vorgesehen ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Rechnereinrichtung das Recovery-Zertifikat nur in eingeschränkter Weise erstellen kann, wobei, vorzugsweise, die Erstellung des Recovery-Zertifikats lediglich an vorgegebenen Orten und/oder zu vorgegebenen Zeiten erfolgen kann.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Recovery-Zertifikat von der Rechnereinrichtung nur in Verbindung mit der vorgegebenen, nicht frei verfügbaren Einrichtungen erstellt werden kann.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Recovery-Zertifikat nur vor Durchführung der ersten kryptographischen Operation der Rechnereinrichtung erstellt werden kann.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Erstellung eines Recovery-Zertifikats die Eingabe wenigstens eines weiteren Identifizierungsmittels erforderlich ist und daß, vorzugsweise, als weiteres Identifizierungsmittel eine vorzugsweise nur einem Dritten bekannte und/oder wechselnde PIN und/oder ein insbesondere auf der Rechnereinrichtung abgelegtes Zertifikat vorgesehen sind.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Anzahl der Möglichkeiten, ein Recovery-Zertifikat zu erstellen, beschränkt ist, und daß, vorzugsweise, die Anzahl auf weniger als fünf Versuche beschränkt ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Recovery-Zertifikat und/oder die Recovery-Rechnereinrichtung zu beliebiger Zeit und an beliebigem Ort oder nur in eingeschränkter Weise genutzt werden können.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Geltungsdauer des Recovery-Zertifikats beschränkt ist und daß, vorzugsweise, die Geltungsdauer von der Lebensdauer der Rechnereinrichtung abhängig ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Dauer der Nutzung der aktivierten Recovery-Rechnereinrichtung beschränkt ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Beschränkung derart ist, daß nur eine vorgegebene Menge an Daten entschlüsselt werden kann und/oder daß nur eine vorgegebene Anzahl an kryptographischen Operationen durchgeführt werden kann und/oder daß nur eine vorgegebene Anzahl an Nutzungen der Recovery-Rechnereinrichtung möglich ist und/oder daß eine kryptographische Operation innerhalb eines vorgegebenen Zeitintervalls von der vorherigen Operation erfolgen muß.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Recovery-Rechnereinrichtung durch Eingabe einer PIN freigegeben und aktiviert wird.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Durchführung kryptographischer Operationen der Recovery-Rechnereinrichtung die Eingabe einer weiteren PIN erforderlich ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß sich die PIN und/oder die weitere PIN aus einem Basiswert und wenigstens einem weiteren Wert zusammensetzen und daß, vorzugsweise, der weitere Wert von Daten abgeleitet wird, die für das Recovery-Zertifikat, die Rechnereinrichtung, die Recovery-Rechnereinrichtung oder deren jeweiligen Nutzer spezifisch sind.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Aktivierung der Recovery-Rech nereinrichtung nur in Verbindung mit einer weiteren, nicht frei verfügbaren Einrichtung möglich ist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Identifikationsdaten zur Identifikation der zugeordneten Recovery-Rechnereinrichtung und/oder des zugeordneten Recovery-Zertifikats auf der Rechnereinrichtung abgelegt und von dieser abrufbar sind, wobei, vorzugsweise, als Identifikationsdaten des Recovery-Zertifikats die Seriennummer, der Fingerprint, der Aussteller, das Ausstellungsdatum und/oder die Gültigkeitsdauer dienen.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der der Recovery-Rechnereinrichtung zugeordnete Schlüssel eine größere Länge als der entsprechende der Rechnereinrichtung zugeordnete Schlüssel aufweist.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Nutzung der Recovery-Rechnereinrichtung auf dieser dokumentiert wird.
Asymmetrisches Kryptographieverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Rechnereinrichtung und die Recovery-Rechnereinrichtung als Chipkarten ausgebildet sind und daß, vorzugsweise, alle kryptographisch relevanten Operationen vom jeweiligen Prozessor der Rechnereinrichtung bzw. der Recovery-Rechnereinrichtung durchgeführt werden.
System zur Durchführung des asymmetrischen Kryptographieverfahrens nach einem der vorhergehenden Ansprüche, mit wenigstens einer Rechnereinrichtung und wenigstens einer Recovery-Rechnereinrichtung.