WO2011147693A1 - Verfahren zum bereitstellen von edrm (enterprise digital rights management) geschützten datenobjekten - Google Patents

Verfahren zum bereitstellen von edrm (enterprise digital rights management) geschützten datenobjekten Download PDF

Info

Publication number
WO2011147693A1
WO2011147693A1 PCT/EP2011/057762 EP2011057762W WO2011147693A1 WO 2011147693 A1 WO2011147693 A1 WO 2011147693A1 EP 2011057762 W EP2011057762 W EP 2011057762W WO 2011147693 A1 WO2011147693 A1 WO 2011147693A1
Authority
WO
WIPO (PCT)
Prior art keywords
data object
computer
edrm
key
identification information
Prior art date
Application number
PCT/EP2011/057762
Other languages
English (en)
French (fr)
Inventor
Rainer Falk
Steffen Fries
Original Assignee
Siemens Aktiengesellschaft
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Aktiengesellschaft filed Critical Siemens Aktiengesellschaft
Publication of WO2011147693A1 publication Critical patent/WO2011147693A1/de

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]

Definitions

  • the present invention relates to a method and a sys tem for providing ⁇ EDRM (Enterprise Digital Rights Ma ⁇ management) protected data objects.
  • payload data may be control data from multiple machines that interact with each other. It is thus possible, for example, that a large number of production machines for producing a product communicate with one another at a production site and also exchange data with remote production sites and / or suppliers. Here, individual recipients, such as suppliers, certain rights to the transmitted data will be granted. So it is possible that a customer of a production company transmits construction plans of a component. This is to ensure that the production company only reads out the corresponding construction plans, but does not change or pass them on.
  • Digital rights management realizes an access protection on documents, regardless of a storage location of the documents.
  • a protected document can only be opened and edited by an authorized user in accordance with his access rights, regardless of which storage device the document was stored on or to which arithmetic unit the document was sent.
  • An unauthorized outsider, which no access rights have been endures overall can, with a copy of the document received any unau ⁇ torinstrumente information.
  • documents are encrypted according to at least one encryption algorithm.
  • the publisher additionally defines the rights of specific users or groups in the content of the document, which are summarized in a license information, also known as issuance license.
  • the encrypted file is sent together with the license information to a server.
  • the license information may describe, for example, that a third party, such as a configuration machine GeWiS ⁇ se parts of a construction plan to read, print and / or may store.
  • the license information may include a symmetric key used to encrypt and decrypt the document. Since this very key represents secret information, the license information can be encrypted with the public key of the server and the publisher can digitally sign the license information.
  • the license information can be stored and maintained centrally on a server. However, the license information can also be accommodated in a file with the encrypted document, whereby only a less dynamic rights management is made possible.
  • the access-protected document will read from ⁇ .
  • the client can take over the communication with the server in order to determine the symmetric key and the rights of a present document.
  • the client can the rights to another readout unit wei ⁇ ter sacrifice provided for the observance of the rights read.
  • a decryption of the document can be carried out by the client, which also carries out a possibly required re-encryption at a later time.
  • the publisher or rights holder must therefore regularly have a communication link to the EDRM server. Only then is it possible to register the corresponding EDRM protected data object on the EDRM server in the manner described above.
  • industrial devices often do not have a network connection or are merely connected to a separate manufacturing network from which an EDRM server can not be reached.
  • a data object key for decrypting the data object as a function of a data identification Information of the data object and the device identification ⁇ information by means of a key derivation function
  • an EDRM protected data object is generated offline by the first computer, without an existing connection to the EDRM server.
  • a user authorized by the EDRM server in this case the second computer, can open the EDRM-protected data object.
  • a EDRM server receives according to the invention of a new EDRM protected document only aware when a client than two ⁇ ter computer requests a license to use this data object. From the information of the requesting client as a second computer and stored configuration information, such as default policies that lack of use authorizations and obj be ektgresl determined to derive a EDRM- license information to erzeu ⁇ gen.
  • the system according to the invention for providing at least one EDRM (Enterprise Digital Rights Management) protected
  • Data object includes a first calculator that provides a two-th ⁇ computer an encrypted data object.
  • the system comprises an EDRM server, which is set up to carry out the following steps on request of the second computer after a successful authentication of the second computer:
  • a data object key for decrypting the data object as a function of a data identification Information of the data object and the device identification ⁇ information by means of a key derivation function
  • Figure 1 is a schematic representation of a worndia- gram of a first embodiment of the method according OF INVENTION ⁇ dung,
  • Figure 2 is a schematic representation of a worndia- grams of a second embodiment of the method according OF INVENTION ⁇ dung.
  • an EDRM protected data object is generated offline by a first computer without a connection to the EDRM server.
  • the EDRM protected data object is then transmitted to a second computer, for example a maintenance and diagnostic computer, from the first computer. Since the data object is in encrypted form, it can not be processed by the second computer. Therefore, the second computer authenticates itself against a EDRM- server and transmits as part of the request, the data ⁇ identification information and the device identification information to the server EDRM-.
  • the EDRM server checks the access authorization of the second computer to the data output by the first computer. Since the EDRM protected data object is not known at the EDRM servers that access ⁇ right be proven from a device-dependent policy. Based on the obtained data identification information and the equipment In addition, the data object key is determined.
  • FIG. 1 shows a flow diagram of a first exemplary embodiment of the inventive method with a Ma ⁇ machine 101, which is for example an X-ray device or a Ge ⁇ advises manufacturing control. Depicted is still a service device 102 and an EDRM server 103.
  • the service device 102 requests service data from the machine 101, for example, for maintenance or diagnostics 104. This service data is provided in EDRM protected form by the machine 101.
  • the machine 101 is determined, the requested service data and generates a corresponding réelleenidentifi- z istsinformation Doc-ID 105.
  • the machine determines 101 the associated document key Docek using a key derivation function depending on a EDRM device key EDevK and Dokumentenidentifizie ⁇ approximate information Doc ID 105.
  • this document key Docek the document content, ie the determined service data encrypted, 105.
  • the thus EDRM protected docu ⁇ ment is 106.
  • transmitted to the service unit 102 is possible because ⁇ in that the entire Document content, ie the ge ⁇ entire service data, or only a part of the document content, ie only a part of the service data is encrypted with the key DocEK.
  • several variant are possible because ⁇ in that the entire Document content, ie the ge ⁇ entire service data, or only a part of the document content, ie only a part of the service data is encrypted with the key DocEK.
  • the service device 102 can not initially open the document because it is in encrypted form. Initially, therefore, the service device 102 authenticates itself to the EDRM server 103 (ERM-S) in steps 107 and 108.
  • the authorization of the service device 102 is checked 110 by the EDRM server 103 on request 109 by the service device 102. If the service device 102 protected to use the EDRM document entitled it receives subsequent ⁇ chd of the EDRM server license information 111.
  • This License Information con- tains the document key Docek, and should receive, justifying ⁇ supply information which rights the authenticated service Device 102 are granted. Such usage rights include, for example, printing, copying, displaying or modifying the document or part of the document.
  • the EDRM server determines the document key used Docek from the document identification information Doc ID and EDRM device key EDevK the machine 101.
  • the document identification information Doc ID determines the EDRM server from the request of the service device 102 currencies ⁇ rend the EDevK the EDRM server already exists.
  • the EDRM server finally determines the usage rights assigned to the EDRM document on the basis of the device identification information of the machine 101 contained in or from the document identification information Doc-ID.
  • the EDRM server creates an entry for this document in its database.
  • FIG. 2 shows a further exemplary embodiment of the present invention, in which a service manager 201 is additionally provided.
  • a service manager 201 is additionally provided.
  • the same process steps and network components are provided in FIG. 2 with the same reference numerals as in FIG.
  • the service device 102 does not have the authority to open the EDRM protected document 202.
  • the EDRM-protected data is therefore from the service device
  • the service manager 201 then authenticates itself to the EDRM server 102 in steps 204 and 205. If the service manager 201 is authenticated, the EDRM server will authenticate 203 to the service manager 201
  • Key Derivation Function for example, an HMAC-SHA1 function is used, in which the device identification information and the data identification information are received as input parameters.
  • HMAC-SHA1 function As a key derivation function (Key Derivation Function), for example, an HMAC-SHA1 function is used, in which the device identification information and the data identification information are received as input parameters.
  • HMAC-SHA1 function As a key derivation function (Key Derivation Function), for example, an HMAC-SHA1 function is used, in which the device identification information and the data identification information are received as input parameters.
  • the document identification information Doc-ID comprises, for example, a pseudorandom or continuously document-specific identifier.
  • an identifier determined for example by means of a hash function from the document content or the creation time ⁇ point (date / time)
  • an identifying information of the issuing computer used to create the document identification information.
  • the identifying information of the issuing computer is, for example, a computer name, an IP address, a MAC address or a secondary address. rien number.
  • identification information of the assigned EDRM server can be included in the creation of the document identification information.
  • the document identification information can be represented in the following format, for example:
  • Doc-Id :: ⁇ document identifier> '@' ⁇ host ID>.
  • EDRM-protected documents offline.
  • Offline means that there is no communication connection to an EDRM server.
  • a EDRM server is not available, for example, because it is located in a different network segment, such as an office network, or because the industrial system does not support online pharmacy ⁇ ne communication with a backend system, or because the communication takes place semi-online, ie, there is only a limited online connection.
  • Client to display / evaluate the EDRM protected data to communicate online with the EDRM server.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

Es wird ein EDRM geschütztes Datenobjekt durch einen ersten Rechner offline erzeugt, ohne das eine Verbindung zum EDRM-Server besteht. Das EDRM geschützte Datenobjekt wird dann an einen zweiten Rechner übertragen. Da das Datenobjekt in verschlüsselter Form vorliegt, kann es durch den zweiten Rechner nicht bearbeitet werden. Der zweite Rechner authentisiert sich daher gegenüber einem EDRM-Server und überträgt als Teil der Anfrage die Datenidentifizierungsinformation und die Geräteidentifizierungsinformation des ersten Rechners an den EDRM-Server. Der EDRM-Server prüft die Zugriffsberechtigung des zweiten Rechners auf die vom ersten Rechner ausgegebenen Daten. Da das EDRM geschützte Datenobjekt nicht beim EDRM- Server bekannt ist, werden die Zugriffsrechte anhand einer Geräte-abhängigen Policy belegt und der Schlüssel zur Entschlüsselung des Datenobjekts ermittelt.

Description

Beschreibung
Verfahren zum Bereitstellen von EDRM (Enterprise Digital Rights Management) geschützten Datenobjekten
Die vorliegende Erfindung betrifft ein Verfahren und ein Sys¬ tem zum Bereitstellen von EDRM (Enterprise Digital Rights Ma¬ nagement) geschützten Datenobjekten. In Anwendungen der Automatisierung, Signalverarbeitung und Telekommunikation kommt es häufig vor, dass Nutzdaten vor fremdem Zugriff geschützt werden sollen. Bei Nutzdaten kann es sich zum Beispiel um Steuerungsdaten von mehreren Maschinen handeln, welche miteinander interagieren . So ist es zum Beispiel möglich, dass an einer Fertigungsstätte eine Viel¬ zahl von Produktionsmaschinen zur Fertigung eines Produktes miteinander kommuniziert und ferner Daten mit entfernten Produktionsstätten und/oder Lieferanten austauschen. Hierbei sollen einzelnen Empfängern, wie zum Beispiel Lieferanten, bestimmte Rechte auf die übermittelten Daten zugestanden werden. So ist es möglich, dass ein Kunde einer Produktionsfirma Konstruktionspläne eines Bauelementes übermittelt. Hierbei soll sichergestellt werden, dass die Produktionsfirma die entsprechenden Konstruktionspläne lediglich ausliest, nicht jedoch ändert oder weitergibt.
Eine digitale Rechteverwaltung realisiert einen Zugriffschütz auf Dokumente, unabhängig von einem Speicherort der Dokumente. Ein geschütztes Dokument kann von einem autorisierten An- wender nur entsprechend seiner dafür geltenden Zugriffsrechte geöffnet und bearbeitet werden, unabhängig davon, auf welcher Speichervorrichtung das Dokument gespeichert wurde oder an welche Recheneinheit das Dokument versandt wurde. Ein nicht autorisierter Außenstehender, dem keine Zugriffsrechte ge- währt wurden, kann mit einer Kopie des Dokuments keine unau¬ torisierte Information erhalten. In herkömmlichen Verfahren zur digitalen Rechteverwaltung erfolgt eine Verschlüsselung von Dokumenten gemäß mindestens einem Verschlüsselungsalgorithmus. Der Herausgeber definiert zusätzlich die Rechte spezifischer Benutzer oder Gruppen am Inhalt des Dokuments, welche in einer Lizenzinformation, auch Issuance License genannt, zusammengefasst werden. Die ver¬ schlüsselte Datei wird mitsamt der Lizenzinformation an einen Server übersendet. Die Lizenzinformation kann beispielsweise beschreiben, dass ein Dritter, zum Beispiel eine Konfigurationsmaschine, gewis¬ se Teile eines Konstruktionsplans auslesen, ausdrucken und/oder speichern darf. Zusätzlich kann die Lizenzinformation einen symmetrischen Schlüssel aufweisen, der zum Ver- schlüsseln und Entschlüsseln des Dokumentes verwendet wird. Da eben dieser Schlüssel eine geheime Information darstellt, kann die Lizenzinformation mit dem öffentlichen Schlüssel des Servers verschlüsselt werden und der Herausgeber kann die Lizenzinformation digital signieren.
Die Lizenzinformation kann zentral auf einem Server gespeichert und gewartet werden. Die Lizenzinformation kann aber auch mit dem verschlüsselten Dokument in einer Datei untergebracht werden, wodurch jedoch lediglich eine weniger dynami- sehe Rechteverwaltung ermöglicht wird. Neben dem Server gibt es ferner einen Client, welcher auf jeder zugreifenden Maschine installiert ist, die zugriffsgeschützte Dokumente aus¬ lesen will. Der Client kann hierbei die Kommunikation mit dem Server übernehmen, um den symmetrischen Schlüssel und die Rechte eines vorliegenden Dokuments zu ermitteln. Der Client kann die gelesenen Rechte an eine weitere Ausleseeinheit wei¬ tergeben, die für die Einhaltung der Rechte vorgesehen ist. Eine Entschlüsselung des Dokuments kann der Client übernehmen, welcher ferner eine eventuell benötigte erneute Ver- Schlüsselung zu einem späteren Zeitpunkt ausführt. Der
Schlüssel kann durch den Client mittels einer Verschlüsse¬ lungstechnik vor weiteren Ausleseeinheiten geheim gehalten werden. Hierzu werden in herkömmlichen Verfahren Verschlüsse- lungstechniken oder Verschleierungstechniken wie das sogenannte Code Obfuscation verwendet.
Zur Bereitstellung eines EDRM geschützten Datenobjektes muss der Herausgeber oder Rechteinhaber also regelmäßig über eine Kommunikationsverbindung zu dem EDRM-Server verfügen. Nur damit ist die Registrierung des entsprechenden EDRM geschützten Datenobjektes auf dem EDRM Server in der oben beschriebenen Weise möglich. Jedoch verfügen beispielsweise Industriegeräte oft nicht über eine Netzwerkverbindung oder sind lediglich mit einem separaten Fertigungsnetzwerk verbunden, von dem aus ein EDRM-Server nicht erreichbar ist.
Es ist demnach die Aufgabe der vorliegenden Erfindung, ein Verfahren zur Bereitstellung von EDRM geschützte Datenobjekten anzugeben, welches auch Infrastrukturen mit Geräten ohne oder mit eingeschränkter Netzwerkverbindung unterstützt.
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren und ein System mit den Merkmalen der Patentansprüche 1 und 8 ge¬ löst. Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen angegeben.
In dem erfindungsgemäßen Verfahren zum Bereitstellen mindes- tens eines EDRM (Enterprise Digital Rights Management) ge¬ schützten Datenobjektes wird ein verschlüsseltes Datenobjekt durch einen ersten Rechner einem zweiten Rechner bereitgestellt. Auf Anfrage des zweiten Rechners werden nach einer erfolgreichen Authentisierung des zweiten Rechners gegenüber einem EDRM-Server folgende Schritte durch den EDRM-Server durchgeführt :
- Generieren eines dem Datenobjekt zugeordneten Rechteobjekts in Abhängigkeit einer Geräteidentifizierungsinformation des ersten Rechners, das Zugriffsrechte von Nutzern oder Nutzer- gruppen auf das Datenobjekt angibt,
- Ermitteln eines Datenobj ektschlüssels zur Entschlüsselung des Datenobjekts in Abhängigkeit einer Datenidentifizierungs- Information des Datenobjekts und der Geräteidentifizierungs¬ information mittels einer Schlüsselableitungsfunktion,
- Ermitteln einer Lizenzinformation, die die Zugriffsrechte des zweiten Rechners auf das Datenobjekt und den Datenobjekt- Schlüssel umfasst,
- Bereitstellen der ermittelten Lizenzinformation an den zweiten Rechner.
Somit wird ein EDRM geschütztes Datenobjekt durch den ersten Rechner offline erzeugt, ohne eine bestehende Verbindung zum EDRM-Server. Gleichzeitig ist jedoch sichergestellt, dass ein durch den EDRM-Server autorisierter Nutzer, also hier der zweite Rechner, das EDRM-geschützte Datenobjekt öffnen kann. Ein EDRM-Server erhält erfindungsgemäß von einem neuen EDRM geschützten Dokument erst Kenntnis, wenn ein Client als zwei¬ ter Rechner eine Nutzungslizenz für dieses Datenobjekt anfragt. Aus den Informationen des anfragenden Clients als zweiter Rechner sowie gespeicherter Konfigurations- Informationen, wie beispielsweise Default-Policies , werden die fehlenden Nutzungsberechtigungen und Datenobj ektschlüssel ermittelt, um daraus eine EDRM- Lizenzinformation zu erzeu¬ gen .
Das erfindungsgemäße System zum Bereitstellen mindestens ei- nes EDRM (Enterprise Digital Rights Management) geschützten
Datenobjektes weist einen ersten Rechner auf, der einem zwei¬ ten Rechner ein verschlüsseltes Datenobjekt bereitstellt. Zudem umfasst das System einen EDRM-Server, der eingerichtet ist, auf Anfrage des zweiten Rechners nach einer erfolgrei- chen Authentisierung des zweiten Rechners folgende Schritte durchzuführen :
- Generieren eines dem Datenobjekt zugeordneten Rechteobjekts in Abhängigkeit einer Geräteidentifizierungsinformation des ersten Rechners, das Zugriffsrechte von Nutzern oder Nutzer- gruppen auf das Datenobjekt angibt,
- Ermitteln eines Datenobj ektschlüssels zur Entschlüsselung des Datenobjekts in Abhängigkeit einer Datenidentifizierungs- Information des Datenobjekts und der Geräteidentifizierungs¬ information mittels einer Schlüsselableitungsfunktion,
- Ermitteln einer Lizenzinformation, die die Zugriffsrechte des zweiten Rechners auf das Datenobjekt und den Datenobjekt- Schlüssel umfasst,
- Bereitstellen der ermittelten Lizenzinformation an den zweiten Rechner.
Im Weiteren werden mögliche Ausführungsformen des erfindungs- gemäßen Verfahrens und des erfindungsgemäßen Systems zum Be¬ reitstellen mindestens eines EDRM (Enterprise Digital Rights Management) geschützten Datenobjektes unter Bezugnahme auf die beigefügten Figuren beschrieben. Es zeigen: Figur 1 in einer schematischen Darstellung ein Ablaufdia- gram eines ersten Ausführungsbeispiels des erfin¬ dungsgemäßen Verfahrens,
Figur 2 in einer schematischen Darstellung ein Ablaufdia- gramm eines zweiten Ausführungsbeispiels des erfin¬ dungsgemäßen Verfahrens .
Erfindungsgemäß wird ein EDRM geschütztes Datenobjekt durch einen ersten Rechner offline erzeugt, ohne dass eine Verbin- dung zum EDRM-Server besteht. Das EDRM geschützte Datenobjekt wird dann an einen zweiten Rechner, beispielsweise einen War- tungs- und Diagnose-Rechner, von dem ersten Rechner übertragen. Da das Datenobjekt in verschlüsselter Form vorliegt, kann es durch den zweiten Rechner nicht bearbeitet werden. Der zweite Rechner authentisiert sich daher gegenüber einem EDRM- Server und überträgt als Teil der Anfrage die Daten¬ identifizierungsinformation und die Geräteidentifizierungsinformation an den EDRM- Server. Der EDRM-Server prüft die Zugriffsberechtigung des zweiten Rechners auf die vom ersten Rechner ausgegebenen Daten. Da das EDRM geschützte Datenobjekt nicht beim EDRM-Server bekannt ist, werden die Zugriffs¬ rechte anhand einer Geräte-abhängigen Policy belegt. Anhand der erhaltenen Datenidentifizierungsinformation und der Gerä- teidentifizierungsinformation wird zudem der Datenobjekt- schlüssel ermittelt.
Die Figur 1 zeigt ein Ablaufdiagramm eines ersten Ausfüh- rungsbeispiels des erfindungsgemäßen Verfahrens mit einer Ma¬ schine 101, die beispielsweise ein Röntgengerät oder ein Ge¬ rät zur Fertigungssteuerung ist. Abgebildet ist weiterhin ein Service-Gerät 102 und ein EDRM- Server 103. Das Service Gerät 102 fragt von der Maschine 101 Service-Daten, beispielsweise zur Wartung oder Diagnose ab 104. Diese Service Daten werden in EDRM geschützter Form durch die Maschine 101 bereitgestellt. Die Maschine 101 ermittelt dazu die angeforderten Service-Daten und erzeugt eine zugehörige Dokumentenidentifi- zierungsinformation Doc-ID 105. Zudem ermittelt die Maschine 101 den zugeordneten Dokumentenschlüssel DocEK, unter Verwendung einer Schlüsselableitungsfunktion abhängig von einem EDRM-Geräteschlüssel EDevK und der Dokumentenidentifizie¬ rungsinformation Doc-ID 105. Mit diesem Dokumentenschlüssel DocEK wird der Dokumenteninhalt, d.h. die ermittelten Servi- ce-Daten, verschlüsselt 105. Das derart EDRM-geschützte Doku¬ ment wird an das Service Gerät 102 übertragen 106. Es ist da¬ bei möglich, dass der gesamte Dokumenteninhalt, d.h. die ge¬ samten Service-Daten, oder nur ein Teil des Dokumenteninhalts, d.h. nur ein Teil der Service-Daten, mit dem Schlüssel DocEK verschlüsselt wird. In einer Variante werden mehrere
Unterschlüssel DocEKl, DocEK2, ... abgeleitet, um damit jeweils einen Teil des gesamten Dokumenteninhalts zu verschlüsseln.
Das Service-Gerät 102 kann das Dokument zunächst nicht öff- nen, da es in verschlüsselter Form vorliegt. Zunächst authen- tisiert sich daher das Service-Gerät 102 gegenüber dem EDRM- Server 103 (ERM-S) in den Schritten 107 und 108. Dabei wird ein Sitzungsschlüssel SK zwischen dem Service-Gerät 102 und dem EDRM-Server 103 (ERM-S) zum kryptographischen Schutz der Kommunikation eingerichtet. Wenn das Service-Gerät 102 au- thentisiert ist, wird durch den EDRM-Server 103 auf Anfrage 109 durch das Service-Gerät 102 die Berechtigung des Service- Geräts 102 überprüft 110. Ist das Service-Gerät 102 zur Nutzung des EDRM geschützten Dokuments berechtigt, erhält es von dem EDRM-Server anschlie¬ ßend eine Lizenzinformation 111. Diese Lizenzinformation ent- hält den Dokumentenschlüssel DocEK sowie ggf. eine Berechti¬ gungsinformation, welche Nutzungsrechte dem authentisierten Service-Gerät 102 gewährt werden. Derartige Nutzungsrechte umfassen beispielsweise das Drucken, Kopieren, Anzeigen oder Modifizieren des Dokuments bzw. eines Teils des Dokuments.
Dazu ermittelt der EDRM-Server den verwendeten Dokumentenschlüssel DocEK aus der Dokumentenidentifizierungsinformation Doc-ID und dem EDRM-Geräteschlüssel EDevK der Maschine 101. Die Dokumentenidentifizierungsinformation Doc-ID ermittelt der EDRM-Server aus der Anfrage des Service-Geräts 102, wäh¬ rend die EDevK dem EDRM-Server bereits vorliegt. Anhand der in der Dokumentenidentifizierungsinformation Doc-ID enthaltenen oder daraus ermittelbaren Geräteidentifizierungsinformation der Maschine 101 ermittelt der EDRM-Server schließlich die dem EDRM geschützten Dokument zugeordneten Nutzungsrechte .
In einer optionalen Ausgestaltung der vorliegenden Erfindung legt der EDRM-Server einen Eintrag für dieses Dokument in seiner Datenbank an.
Die Figur 2 zeigt ein weiteres Ausführungsbeispiel der vor¬ liegenden Erfindung, bei dem zusätzlich ein Service Manager 201 vorgesehen ist. Zur Vermeidung von Wiederholungen und zur besseren Lesbarkeit sind in Figur 2 gleiche Verfahrensschrit¬ te und Netzwerkkomponenten mit denselben Bezugszeichen wie in Figur 1 versehen.
In diesem Ausführungsbeispiel erhält das Service-Gerät 102 nicht die Berechtigung zum Öffnen des EDRM geschützten Dokuments 202. Die EDRM-geschützten Daten werden daher von dem Service Gerät
102 an den Service Manager 201 übermittelt 203. Der Service Manager 201 authentisiert sich nun seinerseits gegenüber dem EDRM-Server 102 in den Schritten 204 und 205. Wenn der Servi- ce-Manager 201 authentisiert ist, wird durch den EDRM- Server
103 auf Anfrage 206 durch den Service Manager 201 - wie in dem vorangegangenen Ausführungsbeispiel - die Berechtigung des Service-Manager 201 zum Öffnen des Dokuments überprüft 207.
Ist der Service-Manager 201 zur Nutzung des EDRM geschützten Dokuments berechtigt, erhält er von dem EDRM-Server 102 an¬ schließend eine Lizenzinformation 208. Diese Lizenzinformati¬ on enthält den Dokumentenschlüssel DocEK sowie ggf. eine Be- rechtigungsinformation, welche Nutzungsrechte dem authenti- sierten Service-Manager 201 gewährt werden.
Als Schlüsselableitungsfunktion (Key Derivation Function) wird beispielsweise eine HMAC-SHA1 Funktion verwendet, in die als Eingabeparameter die Geräteidentifizierungsinformation und die Datenidentifizierungsinformation eingehen. Somit wird im Unterschied zu einem herkömmlichen EDRM-Verfahren beim Erzeugen des EDRM geschützten Datenobjekts als weiterer Schlüssel eine Geräteidentifizierungsinformation verwendet. Anhand der Datenidentifizierungsinformation und der Geräteidentifizierungsinformation kann der EDRM-Server den verwendeten Da- tenobj ektschlüssel ermitteln.
Die Dokumentenidentifizierungsinformation Doc-ID umfasst bei- spielsweise einen pseudozufällig oder fortlaufend Dokumenten- spezifisch gewählten Identifizierer. Alternativ wird ein Identifizierer, ermittelt beispielsweise mittels einer Hash- Funktion aus dem Dokumenteninhalt oder dem Erstellungszeit¬ punkt (Datum/Uhrzeit) , sowie eine Identifizierungsinformation des ausstellenden Rechners zur Erstellung der Dokumentenidentifizierungsinformation verwendet. Die Identifizierungsinformation des ausstellenden Rechners ist beispielsweise ein Rechnername, eine IP-Adresse, eine MAC-Adresse oder eine Se- riennummer. Zusätzlich kann eine Identifizierungsinformation des zugeordneten EDRM-Servers in die Erstellung der Dokumen- tenidentifizierungsinformation eingehen. Somit lässt sich die Dokumentenidentifizierungsinformation beispielsweise im fol- genden Format darstellen:
Doc-Id ::= <Dokumenten-Identifier> '@' <Host-ID>.
In vorteilhafter Weise wird eine Möglichkeit geschaffen, EDRM-geschützte Dokumente offline zu erzeugen. Offline bedeu- tet, dass keine Kommunikationsverbindung zu einem EDRM-Server besteht. Ein EDRM-Server ist beispielsweise nicht erreichbar, weil er sich in einem anderen Netzwerksegment befindet, z.B. einem Office-Netz, oder weil die Industrieanlage keine Onli¬ ne-Kommunikation mit einem Backend-System unterstützt, oder weil die Kommunikation semi-online erfolgt, d.h., es besteht nur eine zeitlich eingeschränkte Online-Verbindung.
Somit wird auch eine einfache Realisierung auf Embedded Devi¬ ces ermöglicht, da nur eine Teil-Funktionalität der ansonsten eigentlich zur Erstellung von EDRM geschützten Dokumenten be- nötigten Funktionalität realisiert sein muss. Nur der EDRM-
Client zur Anzeige/Auswertung der EDRM geschützten Daten soll online mit dem EDRM-Server kommunizieren können.
Zudem ist der Speicherbedarf auf einem EDRM-Server geringer, da nicht ein Eintrag pro EDRM-geschütztem Dokument vorgehal¬ ten wird, sondern nur ein Eintrag pro Gerät.

Claims

Patentansprüche
1. Verfahren zum Bereitstellen mindestens eines EDRM (Enterprise Digital Rights Management) geschützten Datenobjektes, wobei
- ein verschlüsseltes Datenobjekt durch einen ersten Rechner einem zweiten Rechner bereitgestellt wird,
- auf Anfrage nach einer erfolgreichen Authentisierung des zweiten Rechners gegenüber einem EDRM-Server folgende Schrit- te durch den EDRM-Server durchgeführt werden:
- Generieren eines dem Datenobjekt zugeordneten Rechteobjekts in Abhängigkeit einer Geräteidentifizierungsinformation des ersten Rechners, das Zugriffsrechte von Nutzern oder Nutzergruppen auf das Datenobjekt angibt,
- Ermitteln eines Datenobj ektschlüssels zur Entschlüsselung des Datenobjekts in Abhängigkeit einer Datenidentifizierungs¬ information des Datenobjekts und der Geräteidentifizierungs¬ information mittels einer Schlüsselableitungsfunktion,
- Ermitteln einer Lizenzinformation, die die Zugriffsrechte des zweiten Rechners auf das Datenobjekt und den Datenobjekt- schlüssel umfasst,
- Bereitstellen der ermittelten Lizenzinformation an den zweiten Rechner.
2. Verfahren nach Anspruch 1, wobei
zur Bereitstellung des verschlüsselten Datenobjekts folgende Schritte durch den ersten Rechner durchgeführt werden:
- Ermittlung eines Datenobjektes,
- Ermittlung eines Datenobj ektschlüssels in Abhängigkeit ei- ner Datenidentifizierungsinformation des ermittelten Datenobjektes und einer Geräteidentifizierungsinformation des ersten Rechners mittels einer Schlüsselableitungsfunktion,
- Verschlüsselung des Datenobjektes mit dem ermittelten Datenobj ektSchlüsse1 ,
- Übermittlung des verschlüsselten Datenobjektes an den zweiten Rechner.
3. Verfahren nach Anspruch 1 oder 2, wobei die Schlüsselableitungsfunktion eine logische Verknüpfungs¬ funktion,
eine Konkatenationsfunktion,
eine Hash-Funktion oder
eine Verknüpfung verschiedener Funktionen aufweist.
4. Verfahren nach einem der Ansprüche 1 bis 3, wobei
die Anfrage des zweiten Rechners an den EDRM-Server die Da¬ tenidentifizierungsinformation und die Geräteidentifizie- rungsinformation umfasst.
5. Verfahren nach einem der Ansprüche 1 bis 4,
wobei die ermittelte Lizenzinformation mit einem öffentlichen Schlüssel des zweiten Rechners verschlüsselt wird und an den zweiten Rechner übermittelt wird.
6. Verfahren nach Anspruch 5,
wobei der zweite Rechner die verschlüsselt übertragene Li¬ zenzinformation mit einem privaten Schlüssel des zweiten Rechners entschlüsselt.
7. Verfahren nach einem der Ansprüche 1 bis 6,
wobei das Datenobjekt durch ein Dokument oder eine Software¬ komponente gebildet wird.
8. System zum Bereitstellen mindestens eines EDRM (Enterprise Digital Rights Management) geschützten Datenobjektes, mit
- einem ersten Rechner, der einem zweiten Rechner ein verschlüsseltes Datenobjekt bereitstellt,
und einem EDRM-Server, der eingerichtet ist auf Anfrage nach einer erfolgreichen Authentisierung des zweiten Rechners folgende Schritte durchzuführen:
- Generieren eines dem Datenobjekt zugeordneten Rechteobjekts in Abhängigkeit einer Geräteidentifizierungsinformation des ersten Rechners, das Zugriffsrechte von Nutzern oder Nutzer¬ gruppen auf das Datenobjekt angibt,
- Ermitteln eines Datenobj ektschlüssels zur Entschlüsselung des Datenobjekts in Abhängigkeit einer Datenidentifizierungs- Information des Datenobjekts und der Geräteidentifizierungs¬ information mittels einer Schlüsselableitungsfunktion,
- Ermitteln einer Lizenzinformation, die die Zugriffsrechte des zweiten Rechners auf das Datenobjekt und den Datenobjekt- Schlüssel umfasst,
- Bereitstellen der ermittelten Lizenzinformation an den zweiten Rechner.
9. System nach Anspruch 8, wobei
der erste Rechner zur Bereitstellung des verschlüsselten Datenobjekts eingerichtet ist folgende Schritte durchzuführen:
- Ermittlung eines Datenobjektes,
- Ermittlung eines Datenobj ektschlüssels in Abhängigkeit ei¬ ner Datenidentifizierungsinformation des ermittelten Datenob- jektes und einer Geräteidentifizierungsinformation des ersten Rechners mittels einer Schlüsselableitungsfunktion,
- Verschlüsselung des Datenobjektes mit dem ermittelten Datenobj ektSchlüsse1 ,
- Übermittlung des verschlüsselten Datenobjektes an den zwei- ten Rechner.
PCT/EP2011/057762 2010-05-26 2011-05-13 Verfahren zum bereitstellen von edrm (enterprise digital rights management) geschützten datenobjekten WO2011147693A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102010021655.0 2010-05-26
DE102010021655A DE102010021655A1 (de) 2010-05-26 2010-05-26 Verfahren zum Bereitstellen von EDRM (Enterprise Digital Rights Management) geschützten Datenobjekten

Publications (1)

Publication Number Publication Date
WO2011147693A1 true WO2011147693A1 (de) 2011-12-01

Family

ID=44262972

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2011/057762 WO2011147693A1 (de) 2010-05-26 2011-05-13 Verfahren zum bereitstellen von edrm (enterprise digital rights management) geschützten datenobjekten

Country Status (2)

Country Link
DE (1) DE102010021655A1 (de)
WO (1) WO2011147693A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111104690A (zh) * 2019-11-22 2020-05-05 北京三快在线科技有限公司 文档监测方法、装置、服务器及存储介质
CN114531249A (zh) * 2020-10-30 2022-05-24 ***通信有限公司研究院 一种请求处理方法及相关设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5745879A (en) * 1991-05-08 1998-04-28 Digital Equipment Corporation Method and system for managing execution of licensed programs
US5917912A (en) * 1995-02-13 1999-06-29 Intertrust Technologies Corporation System and methods for secure transaction management and electronic rights protection
US20020013772A1 (en) * 1999-03-27 2002-01-31 Microsoft Corporation Binding a digital license to a portable device or the like in a digital rights management (DRM) system and checking out / checking in the digital license to / from the portable device or the like

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120096560A1 (en) * 2008-06-19 2012-04-19 Telefonaktiebolaget Lm Ericsson (Publ) Method and a Device for Protecting Private Content

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5745879A (en) * 1991-05-08 1998-04-28 Digital Equipment Corporation Method and system for managing execution of licensed programs
US5917912A (en) * 1995-02-13 1999-06-29 Intertrust Technologies Corporation System and methods for secure transaction management and electronic rights protection
US20020013772A1 (en) * 1999-03-27 2002-01-31 Microsoft Corporation Binding a digital license to a portable device or the like in a digital rights management (DRM) system and checking out / checking in the digital license to / from the portable device or the like

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111104690A (zh) * 2019-11-22 2020-05-05 北京三快在线科技有限公司 文档监测方法、装置、服务器及存储介质
CN111104690B (zh) * 2019-11-22 2022-03-18 北京三快在线科技有限公司 文档监测方法、装置、服务器及存储介质
CN114531249A (zh) * 2020-10-30 2022-05-24 ***通信有限公司研究院 一种请求处理方法及相关设备

Also Published As

Publication number Publication date
DE102010021655A1 (de) 2011-12-01

Similar Documents

Publication Publication Date Title
DE102018104679A1 (de) In Tonken übersetzte Hardware-Sicherheitsmodule
DE19827659B4 (de) System und Verfahren zum Speichern von Daten und zum Schützen der Daten gegen einen nichtauthorisierten Zugriff
DE60316861T2 (de) Verfahren und Vorrichtung zur Verschlüsselung/Entschlüsselung von Daten
DE60224219T2 (de) Sicheres drucken eines dokuments
EP3452941B1 (de) Verfahren zur elektronischen dokumentation von lizenzinformationen
WO2011006791A1 (de) Verfahren zum lesen von attributen aus einem id-token
DE102009017221A1 (de) Information-Rights-Management
EP3649768A1 (de) Verfahren zum sicheren ersetzen eines bereits in ein gerät eingebrachten ersten herstellerzertifikats
WO2010026152A1 (de) Verfahren zur einräumung einer zugriffsberechtigung auf ein rechnerbasiertes objekt in einem automatisierungssystem, computerprogramm und automatisierungssystem
DE60112227T2 (de) Verfahren und vorrichtung zur sicheren datenverteilung
EP4016338A1 (de) Zugriffskontrolle auf in einer cloud gespeicherte daten
EP3876127A1 (de) Gerätefernwartung auf basis verteilter datenspeicherung
DE102020205993B3 (de) Konzept zum Austausch von kryptographischen Schlüsselinformationen
AT519025B1 (de) Verfahren zum Austausch von Datenfeldern von zertifizierten Dokumenten
WO2011147693A1 (de) Verfahren zum bereitstellen von edrm (enterprise digital rights management) geschützten datenobjekten
EP2491513B1 (de) Verfahren und system zum bereitstellen von edrm-geschützten datenobjekten
EP3629516A1 (de) Dezentralisierte identitätsmanagement-lösung
DE10251408A1 (de) Sicherer und vermittelter Zugriff für E-Dienste
EP3288215A1 (de) Verfahren und vorrichtung zur ausgabe von authentizitätsbescheinigungen sowie ein sicherheitsmodul
DE10134489B4 (de) Asymmetrisches Kryptographieverfahren
DE112007000419B4 (de) Digitale-Rechte-Managementsystem mit diversifiziertem Inhaltsschutzprozess
EP4123960B1 (de) Verfahren und vorrichtung zum bereitstellen eines einem geschützten datenobjekt zugeordneten digitalen nutzergeheimnisses
EP4270863B1 (de) Sichere wiederherstellung privater schlüssel
WO2017190857A1 (de) Verfahren und vorrichtung zur absicherung von gerätezugriffen
DE102017208899A1 (de) Klassenbasiertes Verschlüsselungsverfahren

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11723349

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11723349

Country of ref document: EP

Kind code of ref document: A1