用于保护数据的装置、方法和系统.pdf

本发明涉及用于保护数据的装置、方法和系统，其中预给定的数据(m)被存储在控制器中的第一存储器中，其中所述数据(m)由来自参加签名方法的用户组(1...n)的用户(i)借助于签名(σ_i)来进行签名，其中根据被分配给所述用户(i)的第一密钥(gsk_i)来生成所述签名，其中所述签名(σ_i)被存储在控制器中的第二存储器中，其中在使用所述数据(m)之前借助于第二密钥来检验：预给定的签名(σ_i)是否已由来自用户组(1...n)的用户之一(i)生成，并且其中所述签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征签名用户(i)的身份的量。

1.  一种用于保护数据的方法，其中预给定的数据(m)被存储在控制器中的第一存储器中，其特征在于，所述数据(m)由来自参加签名方法的用户组(1...n)的用户(i)借助于签名(σ_i)来进行签名，其中根据被分配给所述用户(i)的第一密钥(gsk_i)来生成所述签名，其中所述签名(σ_i)被存储在控制器中的第二存储器中，其中在使用所述数据(m)之前借助于第二密钥来检验：预给定的签名(σ_i)是否已由来自用户组(1...n)的用户之一(i)生成，并且其中所述签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征签名用户(i)的身份的量。

2.  根据权利要求1所述的方法，其特征在于，在控制器本身中的计算机中执行检验。

3.  根据权利要求2所述的方法，其特征在于，为了进行检验而在控制器本身中的计算机上运行的程序被存储在控制器中的被保护不受操纵的第三存储器中。

4.  根据权利要求1所述的方法，其特征在于，在控制器本身之外的计算机中执行检验。

5.  根据权利要求2、3或者4所述的方法，其特征在于，只有当对预给定的签名(σ_i)的检验得出数据(m)已由来自用户组(1...n)的用户之一(i)生成时，才使用控制器中的数据(m)。

6.  根据前述权利要求之一所述的方法，其特征在于，根据数据(m)和第一密钥(gsk_i)来确定签名(σ_i)，其中根据预给定数目(n)的用户(i)和预给定的密钥长度(k)来确定第一密钥(gsk_i)。

7.  根据权利要求6所述的方法，其特征在于，给来自用户组(1...n)的每个用户(i)都分配正好一个第一密钥(gsk_i)。

8.  根据权利要求1至7之一所述的方法，其特征在于，根据预给定的第二密钥(gpk)来进行以下检验：签名(σ_i)是否已由来自用户组(1...n)的用户之一(i)生成。

9.  根据权利要求8所述的方法，其特征在于，借助于第二密钥(gpk)仅仅检查：签名(σ_i)是否已由来自用户组(1...n)的用户之一(i)生成。

10.  根据权利要求9所述的方法，其特征在于，对签名(σ_i)中所包含的经过加密的信息的解密借助于预给定的第三密钥(gmsk)根据数据(m)和签名(σ_i)来进行。

11.  根据权利要求6或7所述的方法，其特征在于，签名(σ_i)中所含有的、表征用户(i)的身份的量是关于第一密钥(gsk_i)的信息、第一密钥(gsk_i)本身或者用户(i)本身。

12.  一种用于保护数据的装置，其中预给定的数据(m)被存储在控制器中的第一存储器中，其特征在于，第一计算设备(203)确定用于由来自参加签名方法的用户组(1...n)的用户(i)对数据(m)进行签名的签名(σ_i)，其中根据被分配给所述用户(i)的第一密钥(gsk_i)来生成所述签名，其中第一计算设备(203)将所述签名(σ_i)存储在控制器中的第二存储器中，并且其中所述签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征签名用户(i)的身份的量。

13.  一种用于保护数据的装置，其中，预给定的数据(m)被存储在控制器中的第一存储器中并且预给定的签名(σ_i)被存储在控制器中的第二存储器中，其中，第二计算设备(304)在使用数据(m)之前借助于第二密钥来检验：预给定的签名(σ_i)是否已由来自用户组(1...n)的用户(i)生成，并且其中，预给定的签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征签名用户(i)的身份的量。

14.  一种用于保护数据的装置，其中，预给定的数据(m)被存储在控制器中的第一存储器中并且预给定的签名(σ_i)被存储在控制器中的第二存储器中，其中，预给定的签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征来自用户组(1...n)的签名用户(i)的身份的量，并且其中，第三计算设备(404)借助于第三密钥来确定表征签名用户(i)的身份的量。

15.  一种用于保护数据的系统，其中预给定的数据(m)被存储在控制器中的第一存储器中，其特征在于，所述用于保护数据的系统包含用于由来自参加签名方法的用户组(1...n)的用户(i)借助于签名(σ_i)来对所述数据(m)进行签名的装置，其中根据被分配给所述用户(i)的第一密钥(gsk_i)来生成所述签名，其中所述签名(σ_i)被存储在控制器中的第二存储器中，其中在使用所述数据(m)之前借助于第二密钥来检验：预给定的签名(σ_i)是否已由来自用户组(1...n)的用户之一(i)生成，并且其中所述签名(σ_i)含有为了进行解密而借助于第三密钥被加密的、表征签名用户(i)的身份的量。

用于保护数据的装置、方法和系统
技术领域
本发明涉及一种用于保护数据的装置、方法和系统。
背景技术
数字签名在IT系统中以及在嵌入式装置中被用于实现如下安全目标：
完整性：对所签名的数据的故意修改可在这些改变没有在签名检验时引起注意的情况下被可靠地识别，也就是说，这些数据以及所属的签名不能被改变。
真实性：只有数据的签名者(发送者)能够生成正确的签名，也就是说，除了发送者本人以外的任何人都不能成功地冒充为所述数据的签名者。
不可否认性(Nicht-Abstreitbarkeit)：签名者不能事后否认曾经完成的签名，也就是说，每个签名都可以单义地被分配给一定的签名者。
通常，为了实现这些安全目标而使用所谓的公开密钥(Public-Key)方法。在此，通信系统的每个用户A都拥有由私有签名密钥和公开签名检验密钥组成的签名密钥对。各个用户的密钥对都在受保护的环境、例如认证中心(Trustcenter)中被生成。接着，针对一定的用户所设置的私有签名密钥被输出给相对应的用户。公开签名检验密钥供该通信系统的所有用户公共地使用。
为了对消息进行签名，通常使用合适的散列函数，所述散列函数将数据降低到具有固定的较短长度(通常为160比特)的散列值。接着，借助于合适的加密方法(即签名算法)利用私有签名密钥对所述散列值进行签名。为了生成该散列值，例如根据所述数据来生成SHA1总和。为了进行加密例如选择所谓的RSA加密。获得数字签名作为签名过程的结果，所述数字签名的长度与所选择的密钥长度有关。
所述消息或数据的接收方再次使用同一散列函数并且借助于该发送方的公开签名检验密钥的真实拷贝来检验所述数字签名的有效性。为了检验所述签名，同样将例如RSA算法用作验证算法。如果该验证算法确认所述签名的有效性，则保证了数据的签名过程的完整性和真实性以及不可否认性，因为除了所述私有签名密钥的所有者以外的任何人都不可已生成该签名，并且对所述数据的任何改变都导致被改变的签名。
为了保证公开签名检验密钥是真实的，例如由认证中心来对所述公开签名检验密钥进行签名。此外，除了私有签名密钥以外，该通信系统的每个用户还获得该认证中心的证书。所述证书被用于验证任意的公开签名检验密钥的真实性。
如通常可以被用在汽车中的控制器所提供的可能性是：将数据从外部录入(einspielen)到所述控制器中，即将数据存储在被设置在所述控制器中的存储器中。为了使仅仅被授权的人员能够将数据存储在所述控制器的存储器中，为此采用例如加密方法。
如果用户打算将数据存储在控制器中，则该用户首先利用其私有签名密钥来对这些数据进行签名。接着，在该控制器中检验：所述数据是否已由有权的用户签名。只有当该签名是有权的用户的签名时，所述数据才被存储在该控制器的存储器中。但是，这也意味着：每个有权的用户的公开签名检验密钥在该控制器中都必须是可用的，以便能够验证所有可能的用户的签名。
发明内容
本发明的优点
与此相比，具有独立权利要求的特征的根据本发明的装置以及根据本发明的方法、系统、计算机程序、计算机程序产品所具有的优点是：预给定的数据(m)被存储在控制器中的第一存储器中，其中所述数据由来自参加签名方法的用户组的用户借助于签名来进行签名，其中根据被分配给该用户的第一密钥来生成该签名，其中该签名被存储在该控制器中的第二存储器中，其中在使用所述数据之前借助于第二密钥来检验：该预给定的签名是否已由来自该用户组的用户之一生成，并且其中该签名含有为了进行解密而借助于第三密钥被加密的、表征签名用户的身份的量。
由此能借助于正好一个公开签名检验密钥来检查任意用户的签名的真实性，其中同时实现安全目标，即实现完整性、真实性以及不可否认性。为此借助于签名来对要存储在控制器中的数据进行签名。该签名借助于一种组签名方法来产生，在所述组签名方法中，正好一个秘密的私有密钥可供来自参加该组签名方法的用户组的每个用户使用，用于生成该签名。为此，作为签名的创作者，每个参加该组签名方法的用户都获得例如私有秘密密钥以及以加密地对于该用户自身不可读的形式获得关于自身的信息。所述对于该用户自身不可读的信息借助于组管理员的秘密密钥而被加密。该信息仅在有争议的情况下被组管理员用于揭示用户的身份。基于私有秘密密钥、经过加密的创作者信息以及数据本身来生成该签名。因此，一方面该签名由此被单义地分配给参加该组签名方法的作为创作者的用户。另一方面，该签名也被单义地分配给被签名的数据。
接着，借助于所述组签名方法，由属于参加该组签名方法的用户组的任意用户已生成的所有签名能借助于相同的公开签名检验密钥来验证。因此仅仅需要公开签名检验密钥。这同样也适用于新的用户在签名检验密钥已被产生以后添加到该组的情况。在控制器中，公开签名检验密钥例如在制造该控制器时被存储在只读存储器中。然后借助于该公开签名检验密钥来检验：对要存储的数据进行签名时所利用的签名是否实际上源自来自参加该组签名方法的用户组的用户。如果情况如此，则可以以高的概率排除：涉及由无权限的第三方进行的操纵。
通过在从属权利要求中所列举的措施，在独立权利要求中所说明的装置、方法、系统、计算机程序以及计算机程序产品的有利的扩展方案和改进方案是可能的。
特别有利的是，在该控制器本身中的计算机中执行该检验。因此，根据来自该控制器之外的作用，可以在没有外部测试设备的情况下最大程度地保护数据。
特别有利的是，为了检验而运行在该控制器本身中的计算机上的程序被存储在该控制器中的被保护不受操纵的第三存储器中。由此可以利用该控制器中的如下的程序来执行对数据的检验：所述程序例如由于阻碍(Verbauung)的类型以及所选择的存储器的类型而被保护不受操纵。这提高了对第一存储器中的数据以及第二存储器中的签名的免受操纵的保护。该阻碍例如被选择来使得改变第三存储器中的数据的尝试必然导致第三存储器的损坏。
特别有利的是，该检验在该控制器本身之外的计算机中被执行。由此也可以在该控制器之外的工场(Werkstatt)检查数据和签名。这样例如可以证明已经进行的操纵。
特别有利的是，只有当对预给定的签名的检验得出所述数据已由来自该用户组的用户之一生成时，才使用该控制器中的数据。由此仅仅接受已由事先确定的组所授权的用户生成的数据。
特别有利的是，根据数据和第一密钥来确定签名，其中根据预给定数目的用户和预给定的密钥长度来确定第一密钥。由此采用经过试验并且有效的算法，所述算法保证了对数据的可靠保护以及快速的计算时间最优的计算。
特别有利的是，给来自该用户组的每个用户都分配正好一个第一密钥。由此保证可单义地确定：所述用户中的哪个已生成了签名。由于只有当该控制器的存储器中的签名与该控制器中的数据相适应时才接受所述数据，所以在损害情况下可以通过从控制器中读出该签名来单义地确定已经对该控制器中所包含的数据进行签名的用户。
特别有利的是，根据预给定的第二密钥来进行对于签名是否已由来自该用户组的用户之一生成的检验。通过使用第二密钥，防止了关于已生成该签名的用户的个人信息被解密。利用第二密钥，该信息不能被解密。
特别有利的是，借助于第二密钥仅仅检查：该签名是否已由来自该用户组的用户之一生成。由此可靠地检验：被授权的用户是否已经对该控制器中的数据进行签名。此外，关于已经对所述数据进行签名的用户的信息被保密。有利地，这样为了检查和验证所有参加该签名方法的用户的签名仅仅需要公开组证书或公开组密钥以及认证中心证书。与其中针对M个具有M个签名的用户必须还检验并且必要时存储M个证书或公开密钥的方法相比，这节省了计算机资源和成本。
特别有利的是，对签名中所包含的经过加密的信息的解密借助于预给定的第三密钥根据所述数据和该签名来进行。由此可以可靠地确定已经对所述数据进行签名的用户的身份。这例如在损害情况下对于单义地标识肇事者是重要的。
特别有利的是，该签名中所含有的、表征用户身份的量是关于第一密钥的信息、第一密钥本身或者该用户本身。由此以不同的和灵活的方式将该方法与用户的需求相适应。
附图说明
在附图中示出了本发明的实施例，并且在接下来的说明中进一步阐述所述实施例。其中：
图1示意性地示出了签名密钥生成设备的结构；
图2示意性地示出了签名制订设备(Signaturerstellungs-einrichtung)的结构；
图3示意性地示出了签名检验设备的结构；
图4示意性地示出了用于揭示身份的设备的结构；
图5示出了第一流程图；
图6示出了第二流程图；
图7示出了第三流程图；
具体实施方式
在图1中示出并用100标出了签名密钥生成设备、例如工作站计算机。该签名密钥生成设备是安全环境的部分，例如是认证中心的部分。
签名密钥生成设备100包括第一预给定设备101，该第一预给定设备101预给定密钥长度k。签名密钥生成设备100还包括第二预给定设备102，该第二预给定设备102预给定参加组签名方法的用户的数目n。
同样被设置在该签名密钥生成设备中的第三预给定设备105借助于所谓的组密钥生成算法(Group Key Generation Algorithm)根据密钥长度k以及参加组签名方法的用户的数目n生成如下量：
-唯一的公开组密钥gpk；
-唯一的秘密的组管理员密钥gmsk；
-n个秘密的组签名密钥gsk_i＝gsk_1...gsk_n。
例如把由Ateniese等人、Bellare等人或者Boneh等人所描述的算法用作组密钥生成算法。
-Giuseppe Ateniese、Jan Camenisch、Marc Joye和Gene Tsudik的“A practical and provably secure coalition-resistant groupsignature scheme”(Lecture Notes in Computer Science，第2656卷，第614-629页，Springer，2003年)。
-Mihir Bellare、Daniele Micciancio和Bogdan Warinschi的“Foundations of group signatures：Formal definitions，simplified requirements，and a construction based on generalassumptions”(Eli Biham编辑，Proceedings of Eurocrypt’03)。
-Dan Boneh、Xavier Boyen和Hovav Shacham的“Short groupsignatures”(Matthew K.Franklin编辑，Advances in Cryptology-CRYPTO 2004，Lecture Notes in Computer Science第3152期，第41-55页，Springer出版社，2004年)。
秘密的组签名密钥gsk_i例如以芯片卡的形式被输出给参加组签名方法的n个用户。例如借助于与该工作站计算机相连接的芯片卡写入器(Chipkartenschreiber)来生成所述芯片卡。
由认证中心通过公知的方式利用该认证中心的签名对公开组密钥gpk进行签名。以公知的方式例如在该认证中心的因特网服务器上公布这样形成的组证书。
秘密的组管理员密钥gmsk例如同样被存储在芯片卡上并且被保留在组管理员处。组管理员对组管理员密钥保密。
在图2中示出并用200标出了签名制订设备。该签名制订设备包括第四预给定设备201，该第四预给定设备201预给定数据m。数据m例如是由该组的任意成员i选出的有效数据，例如是为了在控制器中运行而设置的程序。第四预给定设备201例如是移动计算机的其中存储有数据m的第一存储器。此外，签名制订设备200包括第五预给定单元202，该第五预给定单元202预给定成员i的秘密的组签名密钥gsk_i。第五预给定单元202例如是用户i的芯片卡，所述芯片卡通过芯片卡读取器被连接到该移动计算机。
此外，签名制订设备200包括第一计算设备203，该第一计算设备203接收数据m以及用户i的秘密的组签名密钥gsk_i。第一计算设备203对所述数据m进行签名并且提供签名σ_i。为此使用与相应使用的组密钥生成算法相适应的组签名生成算法。该算法例如在Ateniese等人、Bellare等人或者Boneh等人的著作中被描述。
签名σ_i含有经过加密的形式的关于用户i的信息。该组签名算法的特性是：除了组管理员之外，任何用户i都不能根据签名σ_i推断出签名者、即用户i。仅仅该组管理员可以例如在有争议的情况下利用合适的开启程序()来毫无疑问地揭示签名者的身份、即用户i的身份。
如图2中所示，签名σ_i以及数据m被第一计算设备203输出。例如数据m与签名σ_i一起通过该移动计算机的串行数据线而被输出给例如处于汽车中的控制器。
该控制器被构造来使得不仅数据m而且签名σ_i例如都被存储在该控制器中的第二存储器中。
在图3中示出并用300标出了签名检验设备。签名检验设备300包括第六预给定设备301，该第六预给定设备301预给定数据m。第六预给定设备301例如是该控制器中的存储器。此外，签名检验设备300还包括第七预给定设备302，该第七预给定设备302预给定签名σ_i。第七预给定设备302例如是该控制器中的存储器。
签名检验设备300此外还包括第八预给定设备303，该第八预给定设备303预给定公开组密钥gpk。第八预给定设备303例如是认证中心的因特网服务器，其发送含有公开组密钥gpk的组证书。
如图3中所示，数据m、签名σ_i以及公开组密钥gpk被传输给第二计算设备304。第二计算设备304例如是移动计算机。例如，为了传输数据m和签名σ_i，该控制器中的存储器利用串行数据线与该移动计算机相连接。该因特网服务器通过计算机网络与该移动计算机相连接。
在第二计算设备304中存储有验证程序。所述验证程序被选择为与组密钥生成算法相适应。该验证程序例如以公知的方式首先检验该组证书是否实际上源自认证中心。为此，通常使用由认证中心输出的认证中心证书，该认证中心证书被固定地存储在签名检验设备300中。
然后，该验证程序借助于公开组密钥gpk和数据m来检验签名σ_i是否实际上已由该组的用户i提供。同时检查数据m是否实际上已利用签名σ_i来进行签名。该验证程序所基于的算法例如同样在Ateniese等人、Bellare等人或者Boneh等人的著作中被描述。
第二计算设备304(例如计算机)输出检查的结果E。数据m例如是应在该控制器上运行的程序(软件版本(Softwarestand))。例如，如果该检查得出的结果是签名σ_i已由该组的用户i生成，则在该移动计算机的屏幕上显示“软件版本非伪造”作为结果。否则输出结果“软件版本为伪造”。由于该组签名方法的特性，因此结果“软件非伪造”意味着：存储在该控制器中的数据m的来源单义地追溯到该组。同样，由于该组签名方法的特性而不能借助于公开组密钥来确定用户i的身份。因此保护用户i的个人数据不被除了组管理员以外的其它用户访问。
有利地，这样为了检查和验证所有参加签名方法的用户i的签名σ_i，在计算设备304中仅仅需要公开组证书或公开组密钥以及认证中心证书。与其中针对M个具有M个签名的用户必须还检验并且必要时存储M个证书或公开密钥的方法相比，这节省了计算机资源和成本。
在图4中示出并用400标出了用于揭示身份的设备。用于揭示身份的设备400包括第九预给定设备401，该第九预给定设备401预给定数据m。第九预给定设备401例如是控制器中的存储器。此外，用于揭示身份的设备400还包括第十预给定设备402，该第十预给定设备402预给定签名σ_i。第十预给定设备402例如是控制器中的存储器。
此外，用于揭示身份的设备400还包括第十一预给定设备403，该第十一预给定设备403预给定秘密的组管理员密钥gmsk。第十一预给定设备403例如是读出该组管理员的芯片卡的芯片卡读取器。
如图4中所示，数据m、签名σ_i以及秘密的组管理员密钥gmsk被传输给第三计算设备404。第三计算设备404例如是移动计算机。例如，为了传输数据m和签名σ_i而利用串行数据线将控制器中的存储器与该移动计算机相连接。芯片卡读取器例如同样与该移动计算机相连接。
在第三计算设备404中存储有开启程序。所述开启程序被选择为与组密钥生成算法相适应，使得所述开启程序适于对关于用户i的信息进行解密。所述开启程序所基于的算法例如同样在Ateniese等人、Bellare等人或者Boneh等人的著作中被描述。
第三计算设备404打开签名σ_i并且输出用户i的身份。例如，用户i的身份被显示在该移动计算机的屏幕上。
因此，单义地证明了存储在该控制器中的数据m的来源。同时防止除了组管理员以外的其它用户可读出所述信息。
然而，根据本发明的装置、根据本发明的方法并不限于在Ateniese等人、Bellare等人或者Boneh等人的著作中所描述的组签名算法。
在图5中示出了用于生成签名σ_i的方法，并且在下面对其进行说明。
如果控制器的用户想要对用于在该控制器中使用的数据m进行签名，则该方法开始。为此，例如以计算机程序来示出该方法，所述计算机程序在工作站计算机(例如PC)中被实施。
在该方法开始之后实施步骤501。
在步骤501，数据m被预给定。接着，该方法继续到步骤502。
在步骤502，第二密钥gsk_i(即私有签名密钥)被预给定。接着，该方法继续到步骤503。
在步骤503，根据公知的组签名方法确定签名σ_i。接着，该方法继续到步骤504。
在步骤504，签名σ_i和数据m被输出。数据m例如被存储在控制器的第一存储器中，并且签名σ_i被存储在控制器的第二存储器中。
在图6中示出了被实现为计算机程序并且在控制器中被存储在第三存储器中的流程图。第三存储器在结构上被保护免受操纵，并且能在没有损坏的情况下不被填充以新的存储内容。
如果拉制器的用户想要在该控制器中将新的数据m存储在第一存储器中，则在图6中的流程图中所示的方法开始。
在开始之后实施步骤601。
在步骤601，数据m和第一签名σ_i被预给定。接着，该方法继续到步骤602。
在步骤602，根据第二密钥gpk和数据m借助于组签名算法来检验：由第二密钥gpk和数据m所确定的签名是否与预给定的签名σ_i一致。如果利用第二密钥gpk和数据m进行的签名检验得出：签名σ_i有效，则该方法继续到步骤603。否则，该方法结束。
在步骤603，数据m被存储在第一存储器中，并且预给定的签名σ_i被存储在第二存储器中，并且该方法结束。
为了确定在控制器中被存储在第一存储器中的数据m的创作者，在图7的流程图中所示的方法开始。在开始之后执行步骤701。
在步骤701，从第一存储器读取数据m并且从第二存储器读取签名σ_i。接着，实施步骤702。
在步骤702，第三密钥gmsk被预给定。第三密钥gmsk的预给定例如借助于后备存储器(例如芯片卡)来进行。接着，实施步骤703。
在步骤703，确定该创作者的身份，即确定表征第一签名σ_i的创作者的量。为此，采用由组签名方法公知的算法。接着，该方法继续到步骤704。
在步骤704，数据m的创作者的身份被输出，即已生成签名σ_i的用户i的身份被输出。接着，该方法结束。
在图5、图6和图7的流程图中所示的方法优选地被实现为计算机程序，并且例如被存储在计算机程序产品(例如数据载体)上。