DE69815575T2 - Verfahren und Vorrichtung zur Speicherung von Daten und Steuerung des Zugriffs dazu - Google Patents

Verfahren und Vorrichtung zur Speicherung von Daten und Steuerung des Zugriffs dazu Download PDF

Info

Publication number
DE69815575T2
DE69815575T2 DE69815575T DE69815575T DE69815575T2 DE 69815575 T2 DE69815575 T2 DE 69815575T2 DE 69815575 T DE69815575 T DE 69815575T DE 69815575 T DE69815575 T DE 69815575T DE 69815575 T2 DE69815575 T2 DE 69815575T2
Authority
DE
Germany
Prior art keywords
information
access
data
processing center
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
DE69815575T
Other languages
English (en)
Other versions
DE69815575D1 (de
Inventor
Michael R. Norwalk Basso
Joonho Hamden Lee
Chunhua North Haven Li
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Pitney Bowes Inc
Original Assignee
Pitney Bowes Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Pitney Bowes Inc filed Critical Pitney Bowes Inc
Publication of DE69815575D1 publication Critical patent/DE69815575D1/de
Application granted granted Critical
Publication of DE69815575T2 publication Critical patent/DE69815575T2/de
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/20—Point-of-sale [POS] network systems
    • G06Q20/204—Point-of-sale [POS] network systems comprising interface for record bearing medium or carrier for electronic funds transfer or payment credit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/357—Cards having a plurality of specified features
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • G06Q20/40975—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners using encryption therefor
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H10/00—ICT specially adapted for the handling or processing of patient-related medical or healthcare data
    • G16H10/60—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H10/00—ICT specially adapted for the handling or processing of patient-related medical or healthcare data
    • G16H10/60—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records
    • G16H10/65—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records stored on portable record carriers, e.g. on smartcards, RFID tags or CD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2211/00—Indexing scheme relating to details of data-processing equipment not covered by groups G06F3/00 - G06F13/00
    • G06F2211/007—Encryption, En-/decode, En-/decipher, En-/decypher, Scramble, (De-)compress
    • G06F2211/008—Public Key, Asymmetric Key, Asymmetric Encryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2153—Using hardware token as a secondary aspect
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/88—Medical equipments

Description

  • Die vorliegende Erfindung betrifft Verfahren und Systeme zum Speichern von Information und zum Steuern eines Zugriffs auf diese Information. Die Erfindung ist auf Verfahren und Systeme zum sicheren Speichern von Information eines empfindlichen Charakters anwendbar, wie beispielsweise medizinische Krankengeschichten, und zum Steuern eines Zugriffs auf diese Information, um einen Zugriff auf Personen oder Organisationen zu beschränken, für welche ein Zugriff autorisiert ist.
  • Die vorliegende Erfindung betrifft das Gebiet von Elementen einer Offenbarung, und kann solche enthalten, die gleich Elementen sind, die in der gemeinsam zessionierten europäischen Patentanmeldung mit der Seriennummer EP-A-0 875 868 (entsprechend der US-Patentanmeldung mit der Seriennr. 08/810,057) von: Melvin J. Scolnick für: KEY MANAGEMENT SYSTEM FOR USE WITH SMARTCARD, mit demselben Anmeldedatum wie die vorliegende Erfindung offenbart sind.
  • FR-A-2,731,815 beschreibt ein System zum Steuern eines Zugriffs auf vertrauliche medizinische Aufzeichnungen eines Patienten, die auf einer Plastikkarte gespeichert sind. Die Information ist verschlüsselt, und der relevante Entschlüsselungsschlüssel ist auch auf der Karte gespeichert.
  • Soziale, ökonomische und technische Veränderungen sind kombiniert worden, um die Rolle wesentlich zu reduzieren, die durch den Hausarzt, nämlich den praktischen Arzt für Allgemeinmedizin, der über eine wesentliche Zeitperiode den größten Teil der Fürsorge für einen Patienten lieferte und der ein effektiver Verwalter der medizinischen Aufzeichnungen eines Patienten war, gespielt wird. Da sich die medizinische Praxis von der traditionellen Basis einer Gebühr für einen Dienst zu HMOs und "Netzwerken" von Ärzten verschiebt und eine Konkurrenz zwischen diesen Organisation immer intensiver anwächst, ändern oder verlieren Beschäftigte/Patienten ihre Jobs und ändern oder verlieren somit ihren Zugriff auf bestimmte Gesundheitsvorsorgeorganisationen, und da sowohl Geschäfts- als auch Erholungsreisen fortgesetzt mehr werden, wird es immer weniger effektiv, sich auf einen Hausarzt als den Verwalter von medizinischen Aufzeichnungen für einen Patienten zu verlassen. Aus diesen und anderen Gründen hat es seit langem eine gefühlte Notwendigkeit für einen Mechanismus gegeben, durch welchen geeignetes medizinisches Personal schnell auf medizinische Aufzeichnungen für einen Patienten zugreifen kann.
  • Ein Ansatz für dieses Problem hat darin bestanden, Systeme vorzuschlagen, bei welchen eine dritte Partei eine Datenbank von medizinischen Aufzeichnungen unterhalten würde, auf welche von entfernten Stellen zugegriffen werden könnte, die in Arztpraxen, Krankenhäusern und ähnlichem angeordnet sind. Solche Systeme sind beispielsweise vorgeschlagen im US-Patent mit der Nummer 5,325,294 von Keene für: Medical Privacy System, erteilt am 28. Juni 1994, und im US-Patent mit der Nummer 5,301,105 für Cummings, Jr., für: All Care Health Management System, erteilt am 5. April 1994.
  • Während solche Systeme sich als adäquat erweisen können, medizinische Aufzeichnungen zu verbreiten, ist es offensichtlich, dass sie an den Problemen leiden, die allen großen Datenbanksystemen gemeinsam sind. Die Partei, die mit einem Unterhalten einer solchen Datenbank belastet ist, muss die Fähigkeit dazu haben, die Genauigkeit der Information in der Datenbank sicherzustellen, und dass die Information pünktlich aktualisiert wird, eine Sicherheit für das System zur Verfügung zu stellen, sicherzustellen, dass autorisierte Anwender auf das System auf eine pünktliche Weise zugreifen können, und, am wichtigsten, sicherzustellen, dass ein Zugriff auf autorisierte Anwender begrenzt ist. Als Ergebnis gibt es eine Abneigung dagegen, empfindliche Daten einer einzigen oder einer kleinen Anzahl von Datenbanken anzuvertrauen; insbesondere dort, wo Information so empfindlich ist wie diejenige, die in medizinischen Aufzeichnungen enthalten ist.
  • Das Gegenstück für den Ansatz einer zentralen Datenbank besteht darin, für einen jeweiligen Patienten seine oder ihre eigenen medizinischen Aufzeichnungen mit sich zu tragen. In seiner einfachsten Form enthält dieser Ansatz Hundemarken oder Armbänder, die vom Patienten getragen werden, welche den Bluttyp, Allergien oder ähnliches vom Patienten identifizieren. Während dieser Ansatz für eine begrenzte Information effektiv ist, wie beispielsweise für einen Bluttyp, will die große Mehrheit von Patienten nichts tragen oder mit sich führen, was sie als HIV positiv identifiziert oder derart, dass sie Lepra bzw. Aussatz haben.
  • Ein Ansatz zum Überwinden dieses Problems ist vor geschlagen im US-Patent mit der Nummer 5,499,293 von Behram et al. für: Privacy Protected Information Medium Using a Data Compression Method, erteilt am 12. März 1996. Behram et al. offenbart ein System, bei welchem medizinische Information in komprimierter Form auf einer Karte aufgezeichnet wird, die von einem Patienten getragen wird. Der verwendete Kompressionsalgorithmus reduziert die Menge an Speicher, die auf der Karte nötig ist, und lässt auch einen Zugriff auf die Information für eine Person schwierig werden, die keinen Zugriff auf ein spezielles Lexikon hat, um die Information zu dekomprimieren. Während dies Speicheranforderungen mildern kann, bleibt das Problem eines Beibehaltens einer Vertrautheit für die medizinischen Aufzeichnungen, die auf der Karte gespeichert sind, da dann, wenn das benötigte Lexikon weit verbreitet ist, auf eine verlorene oder eine gestohlene Karte auf einfache Weise zugegriffen werden kann, während dann, wenn die Verteilung des Lexikons streng kontrolliert wird, die Karte ihren Zweck nicht erfüllen kann. Weiterhin kann die Karte selbst dann, wenn der Patient irgendwie mit einem Passwort oder einem Schlüssel versehen ist, das bzw. der zum Zugreifen auf die Karte nötig ist, immer noch ihren Zweck nicht erfüllen, wenn der Patient bewusstlos ist oder sonst wie dazu unfähig ist, das Passwort oder den Schlüssel zu liefern.
  • Somit ist es eine Aufgabe der vorliegenden Erfindung, ein Verfahren und ein System zum Speichern von Information, wie beispielsweise medizinische Aufzeichnungen, auf eine Weise zu schaffen, die gegenüber einem nicht autorisierten Zugriff sicher ist, jedoch für autorisierte Personen oder Organisationen weit verbreitet und ohne weiteres zugreifbar sind.
  • Gemäß einem ersten Aspekt der Erfindung ist ein System zum Lesen von Information und zum Steuern eines Zugriffs auf die Information geschaffen, wobei das System folgendes aufweist: a) ein tragbares Aufzeichnungsmedium mit einem Speicher zum Speichern von Information und einem Mikroprozessor, wobei der Mikroprozessor auf eine Eingabe eines Zugriffscodes zum Ermöglichen eines Zugriffs auf den Speicher reagiert; b) ein Datenverarbeitungszentrum mit einer Datenbank von Autorisierungen einer Vielzahl von Serviceprovidern in Bezug auf die Information; und c) ein Endgerät zum Zulassen, dass ein Serviceprovider mit dem Verarbeitungszentrum kommuniziert; und wobei d) das Verarbeitungszentrum auf eine Nachricht vom Endgerät reagiert, wobei die Nachricht einen Serviceprovider identifiziert, der nach einem Zugriff auf die Information sucht, um auf die Datenbank zuzugreifen, um zu bestimmen, ob der identifizierte Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, und um den Zugriffscode vom Verarbeitungszentrum zu dem identifizierten Serviceprovider nur dann auszugeben, wenn der identifizierte Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen.
  • Gemäß einem zweiten Aspekt der Erfindung ist ein Verfahren zum Steuern eines Zugriffs auf aufgezeichnete Information geschaffen, wobei das Verfahren die folgenden Schritte aufweist: a) Einrichten eines Datenverarbeitungszentrums; b) Empfangen erster Daten, die Serviceprovider identifizieren, die mit dem Datenverarbeitungszentrum kommunizieren können, um nach einem Zugriff auf die Information zu fragen; c) Verifizieren der ersten Daten beim Datenverarbeitungszentrum; d) Versehen eines Anwenders mit einem tragbaren Aufzeichnungsmedium mit einem Speicher zum Speichern der Information und einem Mikroprozessor, wobei der Mikroprozessor auf eine Eingabe eines Zugriffscodes zum Ermöglichen eines Zugriffs auf die Information reagiert; e) Einrichten einer Datenbank im Datenverarbeitungszentrum von Autorisierungen von jedem der Serviceprovider; f) Empfangen einer Nachricht von einem der Serviceprovider beim Datenverarbeitungszentrum, die nach einem Zugriff auf die in dem Speicher gespeicherte Information fragen; g) Zugreifen auf die Datenbank, um zu bestimmen, ob der eine der Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen; und h) wenn der eine der Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, Liefern des Zugriffscodes vom Datenverarbeitungszentrum zu dem einen der Serviceprovider.
  • Das System wird zum Steuern eines Zugriffs auf Information verwendet, das auf dem tragbaren Aufzeichnungsmedium aufgezeichnet ist, indem das Datenverarbeitungszentrum als sicher eingerichtet wird und indem dann Daten empfangen werden, die verschiedene Serviceprovider identifizieren, die nach einem Zugriff auf die Information fragen können, und diese Daten verifiziert werden. Eine Datenbank wird dann in dem Datenverarbeitungszentrum eingerichtet, das die Autorisierungen von jedem Serviceprovider in Bezug auf die Information identifiziert. Wenn eine Nachricht von einem der Serviceprovider empfangen wird, die nach einem Zugriff auf die Information fragen, greift das Datenverarbeitungszentrum auf die Datenbank zu, um zu bestimmen, ob dieser Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, und liefert dann, wenn es so ist, dem Serviceprovider den nötigen Zugriffscode.
  • Gemäß einem bevorzugten Merkmal der vorliegenden Erfindung ist jedes Mal ein anderer Schlüssel zum Entschlüsseln der Information erforderlich, wenn auf die Information zugegriffen wird.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung zertifiziert eine zertifizierende Autorität jeden Serviceprovider, der dazu autorisiert ist, auf die Information zuzugreifen, und werden Nachrichten, die nach einem Zugriff auf die Information von einem Serviceprovider fragen, durch den Serviceprovider mit einem privaten Schlüssel digital signiert, der für den Serviceprovider durch die zertifizierende Autorität zertifiziert ist.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung werden die digital signierten Nachrichten verschlüsselt, und zwar vorzugsweise mit dem zertifizierten privaten Schlüssel.
  • (Wie es hier verwendet wird, soll "digital signiert" irgendeine Verwendung von Verschlüsselungstechniken enthalten, um eine Sicherung zur Verfügung zu stellen, dass eine Nachricht tatsächlich bei einem mutmaßlichem Ursprung entstand. "Zertifikat", wie der Ausdruck hierin verwendet und von Fachleuten auf dem Gebiet verstanden wird, bedeutet eine verschlüsselte Nachricht, die ein Nachweis für die Sicherung einer "zertifizierenden Autorität" ist, dass eine andere verschlüsselte Nachricht, zu welcher das Zertifikat gehört, tatsächlich bei einer dritten Partei entstand, die durch das Zertifikat identifiziert ist.)
  • Gemäß eine weiteren bevorzugten Merkmal der vorliegenden Erfindung ist das tragbare Aufzeichnungsmedium eine Smartcard bzw. Chip-Karte.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung enthält das tragbare Aufzeichnungsmedium einen beschreibbaren optischen Speicher.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung ist die Information medizinische Information.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung wird das Datenverarbeitungszentrum auf eine Nachricht von einem Serviceprovider reagieren, der nach einem Notzugriff auf die Information sucht, um den Zugriffscode ungeachtet einer Autorisierung von dem Serviceprovider zu liefern, und wird dann wenigstens eine Zeit für die Anfrage und die Identität des Serviceproviders aufzeichnen, der die Notanfrage durchführt.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung wird Information, die auf dem tragbaren Aufzeichnungsmedium gespeichert ist, mit einem aktuellen Sessionschlüssel bzw. Sitzungsschlüssel verschlüsselt und enthält der Zugriffscode den aktuellen Sitzungsschlüssel, und reagiert der Mikroprozessor auf eine Eingabe des Zugriffscodes, um den aktuellen Sitzungsschlüssel zu bestimmen, die Information zu entschlüsseln und die entschlüsselte Information auszugeben.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung wird die Information dann erneut mit einem nächsten Sitzungsschlüssel verschlüsselt und erneut zum Speicher geschrieben. Der nächste Sitzungsschlüssel wird als vorbestimmte Funktion einer Zugriffssessioninformation bestimmt, die eindeutig für eine jeweilige Session bzw. Sitzung eines Zugriffs auf die Information ist.
  • Gemäß einem weiteren bevorzugten Merkmal der vorliegenden Erfindung löscht der Mikroprozessor nach einem erneuten Verschlüsseln der Information den nächsten Sitzungsschlüssel, so dass auf die Information nicht wieder zugegriffen werden kann, bis ein neuer Zugriffscode empfangen wird.
  • Somit ist es Fachleuten auf dem Gebiet offensichtlich, dass die vorliegende Erfindung vorteilhaft die obige Aufgabe erreicht und die Nachteile des Standes der Technik überwindet. Andere Aufgaben und Vorteile der vorliegenden Erfindung werden Fachleuten auf dem Gebiet aus einer Betrachtung der beigefügten Zeichnungen und der nachfolgend aufgezeigten detaillierten Beschreibung offensichtlich werden, wobei:
  • 1 ein schematisches Blockdiagramm eines Ausführungsbeispiels eines Systems gemäß der vorliegenden Erfindung ist;
  • 2 ein schematisches Diagramm eines Ausführungsbeispiels eines Netzwerks von Datenverarbeitungszentren ist, die durch getreue Autoritäten betrieben werden, um Zugriffscodes zu autorisierten Serviceprovidern zu liefern, die nach einem Zugriff auf Information suchen, und durch eine zertifizierende Autorität;
  • 3 ein schematisches Blockdiagramm eines Ausführungsbeispiels einer Smartcard bzw. Chip-Karte ist, die zur Verwendung bei dem System der vorliegenden Erfindung geeignet ist;
  • 4 ein schematisches Diagramm eines Ausführungsbeispiels von Datenflüssen zwischen einem Serviceprovider, der nach einem Zugriff auf Information sucht, die zu einem Individuum gehört, wobei eine Smartcard zu diesem Individuum gehört, und der getreuen Autorität, die mit dem Serviceprovider kommuniziert und eine Datenbank von Autorisierungen unterhält, die durch das Individuum ausgegeben werden;
  • 5 eine ähnliche Darstellung von Datenflüssen ist, wobei die getreue bzw. vertrauenswürdige Autorität, die die Datenbank von Autorisierungen unterhält, unterschiedlich von der getreuen bzw. vertrauenswürdigen Autorität ist, die mit dem Serviceprovider kommuniziert;
  • 6a und 6b ein Ablaufdiagramm des Betriebs der Smartcard der 3 zeigen, wenn Information von der Smartcard gelesen wird;
  • 7a und 7b ein Ablaufdiagramm des Betriebs des Endgeräts eines Serviceproviders zeigen, wenn Information von der Smartcard der 3 gelesen wird;
  • 8 ein Ablaufdiagramm des Betriebs der Smartcard der 3 zeigt, wenn Information zur Smartcard geschrieben wird; und
  • 9 ein Ablaufdiagramm des Betriebs des Endgeräts eines Serviceproviders zeigt, wenn Information zur Smartcard der 3 geschrieben wird.
  • Die folgenden Ausdrücke, die hierin verwendet werden, sind wie folgt definiert:
    ACODE Zugriffscode, der durch eine vertrauenswürdige Autorität ausgegeben wird, um einen Zugriff auf Information zuzulassen, die gemäß der vorliegenden Erfindung gespeichert ist. ACODE enthält den aktuellen Sitzungsschlüssel sowie andere Information in Bezug auf die aktuelle Zugriffssession.
    CA Zertifizierende Autorität, die Zertifikate zum Authentifizieren einer Identität ausgibt.
    CERT(x) Zertifikat von x; CERT(x) = Pr(CA)[Pb(x), ID(x)]
    CSK Geheimschlüssel für aktuellen Sessionschlüssel, der zum Entschlüsseln von Information verwendet wird, die während einer aktuellen Session aus einem Speicher gelesen wird. CSK[CSK[M]] = M CSK = NSK einer vorherigen Session
    H Serviceprovider, wie beispielsweise ein Krankenhaus oder, allgemeiner, irgendeine Partei, die nach einem Zugriff auf Information sucht, die gemäß der vorliegenden Erfindung gesichert ist.
    K Funktion, die zum Ableiten von NSK aus einer Zugriffssessioninformation in ACODE verwendet wird (sowie möglicher anderer Information). NSK = K (ACODE)
    key(x)[M] M-verschlüsselt oder -entschlüsselt, wie es durch einen Zusammenhang angezeigt ist, mit key(x).
    NSK Geheimschlüssel für nächsten Sessionschlüssel, der zum Verschlüsseln von Information verwendet wird, die während einer aktuellen Session zum Speicher geschrieben wird. NSK[NSK[M]] = M
    P Partei, wie beispielsweise ein individueller Patient, oder allgemeiner irgendeine Partei, die danach sucht, Information auf eine sichere Weise zu speichern, während ein Zugriff auf eine solche Information nur für autorisierte Parteien zugelassen ist.
    Pb(x) Der öffentliche Schlüssel von x – veröffentlicht oder auf andere Weise verfügbar.
    Pr(x) Der private Schlüssel von x – durch x geheim gehalten.
    Pb(x)[M](Pr(x)[M]) M, verschlüsselt mit dem öffentlichen (privaten) Schlüssel von x.
    Pr(x)[Pb(x)[M]](Pb(x)[Pr(x)[M]]) M, verschlüsselt mit dem öffentlichem (privaten) Schlüssel von x und entschlüsselt mit dem privaten (öffentlichen) Schlüssel von x = M. M kann aus Pb(x), Pb(x)[M] oder Pr(x), Pr(x)[M] nicht gefunden werden; Pr(x) (Pb(x)) kann aus Pb(x)[M], M, Pb(x)[M'] , M'... (Pr(x)[M], M, Pr(x)[M'], M'...) nicht gefunden werden.
    TA Getreue bzw. vertrauenswürdige Autorität, die eine Datenbank von Autorisierungen unterhält, die von P gewährt werden, und die Anfragen für einen Zugriff gewährt oder verweigert.
  • 1 zeigt ein Netzwerk 10 zum Steuern eines Zugriffs auf Information, die auf einer Smartcard bzw. Chip-Karte gespeichert ist. Bei dem gezeigten Ausführungsbeispiel enthält die Information medizinische Information. Das Netzwerk 10 enthält eine Vielzahl von Endgeräten 12, die bei den Einrichtungen verschiedener Gesundheits-Serviceprovidern angeordnet sind, wie beispielsweise Arztpraxen, Krankenhausnotaufnahmen, anderen Krankenhausdiensten, Ambulanzen und Schwesternheimen; sowie bei anderen Organisationen, die bei der Gesundheitsvorsorge beteiligt sind, wie beispielsweise Versicherungsgesellschaften.
  • Die Endgeräte 12 weisen jeweils ein Paar von Smartcard-Lesern bzw. Chip-Karten-Lesern 14h und 14p zum Lesen von Information von den Smartcards eines Serviceproviders H oder eines Individuums P auf, und zum Schreiben von Information zu diesen, wobei die Smartcards eines Serviceproviders H oder eines Individuums P medizinische Dienste suchen. Die Smartcard eines Individuums P enthält medizinische Information oder andere Information, wie beispielsweise eine Versicherungsinformation, zusammen mit Verschlüsselungsschlüsseln, Zertifikaten und anderen Daten, die zum Steuern eines Zugriffs auf die medizinische Information nötig sind, während die Smartcard eines Providers H Verschlüsselungsschlüssel, Zertifikate und andere Information enthält, die zum Erhalten eines Zugriffs auf die medizinische Information nötig sind, wie es weiter nachfolgend beschrieben wird.
  • (Während der Einfachheit der Beschreibung halber die Endgeräte 12 mit 2 Smartcard-Lesern primär gezeigt worden sind, wird es Fachleuten auf dem Gebiet klar sein, dass ein einziger Leser dazu verwendet werden könnte, beide Smartcards sequentiell zu lesen, oder dass Information für den Provider H permanent im Endgerät 12 gespeichert sein könnte. Jedoch wird es bevorzugt, dass wenigstens ein Teil der Information, die durch den Provider H zum Zugreifen auf Information auf der Smartcard eines Individuums P nötig ist, auf einer oder mehreren Smartcards gespeichert ist, um die Sicherheit zu erhöhen und um zuzulassen, dass individuelle Anwender des Endgeräts 12 identifiziert werden.)
  • Die Endgeräte 12 enthalten auch jeweils Steuerungen 16 zum Steuern eines Betriebs des Endgeräts 12 gemäß einem Zugriffsschutz-Schnittstellen-(API-)Programms 20, wie es weiter nachfolgend beschrieben wird.
  • Die Endgeräte 12 enthalten auch eine herkömmliche I/O zur Ausgabe von Daten von oder zur Eingabe von Daten zu der Smartcard des Individuums P auf irgendeine angenehme Weise.
  • Die Endgeräte 12 kommunizieren über Verbindungen 26 (die irgendeine angenehme Form von Kommunikationen aufweisen können) mit einem Datenverarbeitungszentrum 30 einer vertrauenswürdigen Autorität. Das Datenverarbeitungszentrum 30 enthält einen sicheren Prozessor 32 und einen sicheren Datenbankspeicher 34, die auf eine Weise unterhalten und betrieben werden, die die Integrität eines Betriebs des Datenverarbeitungszentrums 30 sicherstellt. Der Datenbankspeicher 34 speichert eine Datenbank von Autorisierungen für bestimmte Provider H zum Zugreifen auf Information von bestimmten Individuen P und das Datenverarbeitungszentrum 30 wird auf Anfragen von bestimmten Providern H nach einem Zugriff auf die Information von bestimmten Individuen P nur dann reagieren, wenn eine geeignete Autorisierung im Datenbankspeicher 34 gefunden wird.
  • (Während das hierin beschriebene Ausführungsbeispiel der einfachen Beschreibung halber annimmt, dass nur ein einziger Typ von Information auf der Smartcard jedes Individuums P gespeichert ist, werden Fachleute auf dem Gebiet ohne weiteres erkennen, dass für ein Individuum P gespeicherte Information auf irgendeine angenehme Weise aufgeteilt sein kann, und Autorisierungen für einen Zugriff auf verschiedene Gruppen und Untergruppen von Information ohne weiteres separat und unabhängig durch das Datenverarbeitungszentrum 30 verarbeitet werden können. Somit können andere Typen von Information, wie beispielsweise Finanzinformation oder Lizenznehmer oder Autorisierungen auf einer einzigen Smartcard gespeichert sein, wobei ein Zugriff gemäß der vorliegenden Erfindung separat gesteuert wird.)
  • (Mit einer vertrauenswürdigen Autorität ist hierin eine Partei gemeint, der von sowohl Providern H als auch von Individuen P vertraut wird, um die Integrität eines Systems gemäß der vorliegenden Erfindung beizubehalten, und um dieses System gemäß dem Verständnis der Parteien so zu betreiben, dass autorisierte Provider H, und nur autorisierte Provider H, mit einem sofortigen, genauen Zugriff auf Information versehen werden. Letztlich kann natürlich ein solches Vertrauen nur durch eine weit verbreitete Reputation bezüglich einer Integrität aufgebaut werden. Jedoch können Individuen oder Organisationen, die keine gut eingerichtete Reputation haben, das Datenverarbeitungszentrum 30 betreiben, wenn sie durch gut eingerichtete Individuen oder Organisationen (hierin nachfolgend zertifizierende Autorität) "zertifiziert" werden, wie es weiter nachfolgend beschrieben wird.)
  • Fachleute auf dem Gebiet werden erkennen, dass es für ein einziges Datenverarbeitungszentrum 30 unpraktisch ist, eine Datenbank von Autorisierungen für alle Individuen P zu unterhalten, die den Wunsch haben könnten, die Vorteile der vorliegenden Erfindung zu verwenden. Somit zeigt 2 eine Vielzahl von Datenverarbeitungszentren 30-1, 30-2 und 30-3 für eine vertrauenswürdige Autorität, die jeweils eine Datenbank von Autorisierungen für Individuen P unterhalten würden, die in einem gegebenen Bereich wohnen. Da es auch finanziell und betriebsmäßig schwierig wäre, ein solches Netzwerk auf einer nationalen oder weltweiten Basis zu betreiben, was natürlich viel mehr als drei Datenverarbeitungszentren enthalten würde, und da eine bestimmte vertrauenswürdige Autorität in einem bestimmten Bereich für die Industrie neu sein kann oder nicht weithin bekannt sein kann, enthält ein Netzwerk 40 eine zertifizierende Autorität 44, für welche angenommen ist, dass sie eine wohlbekannte Reputation für eine Integrität und Effizienz hat, welche die Datenverarbeitungszentren 30-1, 30-2 und 30-3 auf eine Weise zertifiziert, die nachfolgend vollständiger beschrieben wird, und zwar nach einem Versichern für sich selbst, dass die Zentren richtig betrieben werden.
  • Bei weiteren bevorzugten Ausführungsbeispielen der vorliegenden Erfindung kann es eine Vielzahl von zertifizierenden Autoritäten geben, die bezüglich einer Hierarchie geordnet sein können, wobei im Rang höhere Autoritäten im Rang niedrigere Autoritäten zertifizieren. Bei weiteren Ausführungsbeispielen können zertifizierende Autoritäten zu vertrauenswürdigen Autoritäten zugeordnet sein (z. B. durch dieselbe Einheit betrieben werden). Typischerweise würden solche zugehörigen zertifizierenden Autoritäten Schlüsselpaare und Zertifikate zu Serviceprovidern und Individuen liefern, deren Aufzeichnungen unter der Aufsicht der zugehörigen vertrauenswürdigen Autorität sind.
  • 3 zeigt ein schematisches Blockdiagramm einer Smartcard hoher Kapazität, die zur Verwendung bei einem Ausführungsbeispiel der vorliegenden Erfindung geeignet ist. In 3 enthält die Smartcard 50 einen herkömmlichen Mikroprozessor 52, der mit einem herkömmlichen Programm- und Arbeitsspeicher 54 kommuniziert, und enthält I/O-Kontakte 56 zur Kommunikation zwischen dem Mikroprozessor 52 und einem Kartenleser 14p. Die Smartcard bzw. Chip-Karte 50 enthält auch einen optischen Lese/Schreib-Speicher 58. Da es keine direkte Kommunikation zwischen dem Speicher 58 und dem Mikroprozessor 52 gibt, werden Daten zwischen dem Speicher 58 und dem Mikroprozessor 52 über den Kartenleser 14p übertragen bzw. transferiert. Demgemäß beruht eine Sicherheit von Daten im Speicher 52 auf einer Verschlüsselung der Daten durch den Mikroprozessor 52, wie es weiter nachfolgend beschrieben wird. Smartcards, die im Wesentlichen ähnlich der Smartcard 50 sind, sowie kompatible Leser, sind auf dem Markt von Lasercard Systems Corporation, Mountain View CA (einer Unterabteilung von Drexler Technology Corporation) erhältlich und sind in einem elektronisch veröffentlichten Dokument LASERCARD SYSTEMS Technical Information http://www.lasercard.com/Isctec().html beschrieben und müssen hier für ein Verstehen der vorliegenden Erfindung nicht weiter diskutiert werden.
  • (Während es keine direkte Kommunikation zwischen dem Mikroprozessor 52 und dem Lese/Schreib-Speicher 58 gibt, überwacht der Mikroprozessor 52 bei einem bevorzugten Ausführungsbeispiel elektrische Parameter des Speichers 58 auf eine bekannte Weise über eine Verbindung 59, um Zeichen einer physikalischen Beeinflussung zu erfassen. In dem Fall, dass eine Beeinflussung erfasst wird, kann der Mikroprozessor 52 eine Datenausgabe sperren oder andere geeignete Reaktionen initiieren, um Anwender bezüglich der Möglichkeit zu alarmieren, dass Daten kompromittiert bzw. bloßgelegt worden sind.) Es sollte beachtet werden, dass Karten, die von Providern H verwendet werden, allgemein keine großen Mengen von Information speichern werden, und einfachere Smartcards oder Speicherkarten und entsprechende Leser 14h von Providern H verwendet werden können.
  • 4 zeigt ein Datenablaufdiagramm für einen Zugriff durch einen Provider H auf medizinische oder andere Daten eines Individuums P, wobei Autorisierungen, die durch das Individuum P gewährt werden, bei dem Datenverarbeitungszentrum mit einer vertrauenswürdigen Autorität gespeichert sind, das mit dem Provider H kommuniziert.
  • Eine Tabelle 1 zeigt Daten, die anfangs der vertrauenswürdigen Autorität, dem Provider H und dem Individuum P geliefert werden; genauer gesagt die Daten, die im Datenverarbeitungszentrum 30, im Endgerät 12 (oder welche von der Smartcard des Providers H zum Endgerät 12 hinauf geladen sind) und der Smartcard des Individuums P gespeichert sind.
  • Unter der Annahme, dass die Smartcard des Individuums P in den Leser 14p eingefügt worden ist und dass nötige Information von der Smartcard des Providers H zum Endgerät 12 hinauf geladen worden ist, sendet der Provider H bei 60 ein Startsignal zum Individuum P. TABELLE 1 Initialisierung TA:
    Pr(TA), Pb(TA) Öffentliches, privates Schlüsselpaar von CA
    CERT(TA) Pr(CA)[Pb(TA), ID(TA)]
    Pb(CA) CA-öffentlicher Schlüssel
    K Sessionschlüssel-Aktualisierungsfunktion
    Datenbank Autorisierung (H, P), Anfangs-CSK (P)
    H:
    API
    Pr(H), Pb(H) Öffentliches Schlüsselpaar von CA
    CERT(H) Pr(CA)[Pb(H), ID(H)]
    Pb(CA) Öffentlicher Schlüssel
    ID(U) Optionale Anwender-ID
    P:
    Pr(P), Pb(P) Öffentliches Schlüsselpaar von CA
    CERT(P) Pr(CA)[Pb(P), ID(P)]
    Pb(CA) CA-öffentlicher Schlüssel
    K Sessionschlüssel-Aktualisierungsfunktion
    ID(Tap) ID von TA unter Aufsicht von Autorisierungen, die von P gewährt sind
  • Bei 62 springt ein Individuum P zurück.
    (62) CERT(P)
  • Somit bringt ein Individuum P bei 62 ein Zertifikat zurück, das durch eine zertifizierende Autorität ausgegeben worden ist, welche bei einem kleinen Netzwerk mit nur einer einzigen vertrauenswürdigen Autorität diese vertrauenswürdige Autorität sein kann. Dann gilt bei 64:
    (64) Pr(H)[CERT(P), DATENANFRAGE], CERT(H)
  • Das Endgerät 12 empfängt das Zertifikat des Individuums P und bildet eine Nachricht durch Anhängen einer Datenanfrage für einen Zugriff und durch Verschlüsseln der Kombination mit dem privaten Schlüssel des Providers H und durch Anhängen des Zertifikats des Providers H. Die Anfrage nach einem Datenzugriff wird anzeigen, ob der Zugriff zum Lesen von Daten oder zum Schreiben von Daten erfolgt. Ebenso können, wie es oben angegeben ist, auf der Smartcard des Individuums P gespeicherte Daten auf irgendeine angenehme Weise aufgeteilt sein, und die Datenzugriffsanfrage wird dann anzeigen, auf welche Gruppe oder Untergruppe von Daten zuzugreifen ist.
  • Bei 66 empfängt die vertrauenswürdige Autorität die Nachricht vom Provider H und verarbeitet sie, wie es folgt:
    Bei (66)(a) Pb(CA)[CERT(H)] = Pb(H) , ID(H)
  • Der Prozessor 32 entschlüsselt das Zertifikat des Providers H mit dem öffentlichen Schlüssel der zertifizierenden Autorität, um den öffentlichen Schlüssel und die Identifikation des Providers H zu erhalten. Es sollte beachtet werden, dass der öffentliche Schlüssel für den Provider H eindeutig ist, und andere Information, die nötig ist, aus der Datenbanktabelle erhalten werden könnte. Jedoch ist es der Effizienz des Betriebs halber vorzuziehen, dass die Identifikation im Zertifikat enthalten ist. Ebenso sollte diese Identifikation vorzugsweise den Provider H charakterisieren, da die Individuen P häufig wünschen werden, einen Zugriff für eine bestimmte Klasse eines Providers zu autorisieren; z. B. alle Notrufplätze.
    Bei (66) (b) Pb(H)[Pr(H)[CERT(P), DATENANFRAGE] CERT(P), DATENANFRAGE
  • Der Prozessor 32 verwendet dann den öffentlichen Schlüssel des Providers H zum Erhalten des Zertifikats des Individuums P und der Anfrage nach einem Datenzugriff.
    Bei (66)(c) Pb(CA)[CERT(P)] = Pb(P), ID(P)
  • Der Prozessor 32 verwendet dann den öffentlichen Schlüssel der zertifizierenden Autorität zum Erhalten des öffentlichen Schlüssels des Individuums P und der Identifikation des Individuums P aus dem Zertifikat für das Individuum P.
    Bei (66)(d) Abfrage (ID(P), ID(H), DATENANFRAGE)
  • Der Prozessor 32 fragt dann die Datenbank 34, um zu bestimmen, ob das Individuum P den Provider H (oder die Klasse des Serviceproviders) für den Typ eines angefragten Datenzugriffs autorisiert hat.
    Bei (66)(e) Reaktion (CSK)
  • Unter der Annahme, dass der angefragte Datenzugriff autorisiert ist, wird der aktuelle Sessionschlüssel von der Datenbank 34 zurückgebracht. (CSK = NSK der vorherigen Session). Wenn der angefragte Datenzugriff nicht autorisiert ist, wird das System in eine Fehlerroutine eintreten, um einen verweigerten Zugriff anzuzeigen.
    Bei (66)(f) ACODE = (Datenblock-Adresse, -Größe, Datum-Zeit, R/W, CSK)
  • Der Prozessor 32 bildet dann eine Nachricht ACODE, die bei einem bevorzugten Ausführungsbeispiel Sessioninformation, wie beispielsweise eine Datenblockadresse und -größe, das Datum und die Zeit, enthält, ob ein Lese- oder Schreibzugriff autorisiert ist; und den aktuellen Sessionschlüssel.
    Bei (66)(h) K(ACODE) = NSK (Datenbasis)
  • Der Prozessor 32 wendet dann eine Funktion K auf eine aktuelle Zugriffssessioninformation an, um den nächsten Sessionschlüssel zu erzeugen, und der Sessionschlüssel wird dazu verwendet, den aktuellen Sessionschlüssel in der Datenbank 34 zu aktualisieren. Eine Zugriffssessioninformation ist für eine bestimmte Zugriffssession eindeutig und enthält vorzugsweise wenigstens einen Teil der Information in ACODE. Bei anderen Ausführungsbeispielen kann eine Zugriffssessioninformation Information, wie beispielsweise ID(H), ID(P) oder eine Zugriffssequenznummer, die jede Zugriffssession eindeutig identifiziert, enthalten.
  • Bei weiteren bevorzugten Ausführungsbeispielen speichert der Prozessor 32 der vorliegenden Erfindung ACODE, oder nötige Teile von ACODE (d.h. Sessioninformation und CSK für die Session, während welcher die "Saat" gespeichert wird), oder eine Ableitung von solcher Information, wie beispielsweise einer "Hash"-Information von solcher Information bei 66 h als "Keim", woraus CSK für die nächste Session berechnet werden kann. Der Prozessor 32 kann CSK für die nächste Session berechnen, oder bei anderen Ausführungsbeispielen den "Keim" in ACODE für die nächste Session einschließen, so dass CSK für die nächste Session durch den Prozessor 52 der Karte 50 berechnet werden kann. Bei solchen Ausführungsbeispielen enthält ACODE aktuelle Sessioninformation und den "Keim", welcher zum Berechnen von CSK für die aktuelle Session verwendet wird. CSK und die aktuelle Sessioninformation von ACODE (welche dem aktualisierten "Keim" entsprechen, der während der aktuellen Session von TA gespeichert ist) werden dann zum Berechnen von NSK für die aktuelle Session verwendet.
  • Solche Ausführungsbeispiele können eine erhöhte Sicherheit bieten, da weder NSK noch CSK explizit entweder auf der Karte 50 oder in der Datenbank 34 gespeichert wird.
    Bei (68) Pb(P)[Pr(TA)[ACODE], CERT(TA)]
  • Bei 68 verschlüsselt der Prozessor 32 ACODE mit dem privaten Schlüssel der vertrauenswürdigen Autorität und hängt das Zertifikat der vertrauenswürdigen Autorität an und verschlüsselt dann die gesamte Nachricht mit dem öffentlichen Schlüssel des Individuums P und sendet die verschlüsselte Nachricht zum Endgerät 12 des Providers H.
    Bei (70) Pb(P)[Pr(TA)[ACODE], CERT(TA)]
  • Das Endgerät 12 leitet die verschlüsselte Nachricht zur Smartcard des Individuums P weiter.
  • Bei 72 verarbeitet die Smartcard des Individuums P die Nachricht wie folgt:
    Bei (72)(a) Pr(P)[Pb(P)[Pr(TA)[ACODE], CERT(TA)]] = Pr(TA)[ACODE], CERT(TA)
  • Die Smartcard verwendet den privaten Schlüssel des Individuums P zum Entschlüsseln der Nachricht und zum Entdecken der Verschlüsselung von ACODE und des Zertifikats der vertrauenswürdigen Autorität.
    Bei (72)(b) PB(CA)[CERT(TA)] = Pb(TA), ID(TA)
  • Die Smartcard verwendet dann den öffentlichen Schlüssel der zertifizierenden Autorität zum Entschlüsseln des Zertifikats der vertrauenswürdigen Autorität, um den öffentlichen Schlüssel der vertrauenswürdigen Autorität und die Identifikation der vertrauenswürdigen Autorität zu erhalten.
    Bei (72)(c) Pb(TA)[Pr(TA)[ACODE]] = ACODE = (Datenblock-Adresse, -Größe, Datum–Zeit R/W, CSK)
  • Die Smartcard verwendet dann den öffentlichen Schlüssel der vertrauenswürdigen Autorität zum Entschlüsseln von ACODE, was bei einem bevorzugten Ausführungsbeispiel einen Datenblock, eine Adresse und eine Größe, das Datum und die Zeit enthalten wird, ob der Zugriff ein Lese- oder Schreibzugriff ist und den aktuellen Sessionschlüssel. Eine erfolgreiche Entschlüsselung von ACODE liefert eine Sicherheit, dass ACODE von der vertrauenswürdigen Autorität erhalten wurde und durch die vertrauenswürdige Autorität unter Verwendung eines privaten Schlüssels verschlüsselt wurde, der durch die zertifizierende Autorität zur Verfügung gestellt wird.
    (74) Datenblock-Adresse, -Größe
  • Die Smartcard des Individuums P bringt dann die Datenblock-Adresse und -Größe zum Endgerät 12 zurück. Wie es oben angegeben ist, werden Lese/Schreib-Operationen zum optischen Datenspeicher 58 durch das Endgerät 12 ausgeführt.
  • Dann wird unter der Annahme, dass eine Leseoperation ausgeführt wird, der Datenblock wie folgt in Segmenten verarbeitet:
    Bei (76R) Lesen, Entschlüsseln und erneutes Verschlüsseln Erneutes Schreiben und Anordnen von Daten-Segmenten vom optischen Speicher 58
    Bei (78R) Ausgeben entschlüsselter Daten
  • Typischerweise werden Daten in Segmenten einer gegebenen Größe verschlüsselt und entschlüsselt. Da ein Datenblock allgemein mehr als ein Segment enthalten wird, werden die Daten durch das Endgerät 12 als Segmente gelesen und dann zur Smartcard gesendet, wo sie entschlüsselt und mit einem neuen Sessionschlüssel erneut verschlüsselt werden. Sowohl das entschlüsselte Segment als auch die erneute Verschlüsselung des Segments werden dann zum Endgerät 12 zurückgebracht, welches das erneut verschlüsselte Segment erneut zum optischen Speicher 58 schreibt und die entschlüsselten Segmente zusammenbaut, um einen entschlüsselten Datenblock zu bilden. Der entschlüsselte Datenblock wird dann bei 78r ausgegeben. Die ausgegebenen Daten können dann auf irgendeine angenehme Weise angezeigt, verarbeitet oder erneut übertragen werden.
  • Zum Eingeben oder Aktualisieren von Daten werden Segmente wie folgt verarbeitet:
    Bei (76w) Eingeben neuer Daten
    Bei (78W) Verschlüsseln neuer Datensegmente und Schreiben verschlüsselter Segmente zum Optischen Speicher 58
  • Wenn Daten zu schreiben oder zu aktualisieren sind, werden die neuen Daten zuerst zum Endgerät 12 eingegeben, das Datensegmente zur Smartcard sendet, wo sie mit dem neuen Sessionschlüssel verschlüsselt werden und zum Endgerät 12 zurückgebracht werden, das sie zum optischen Speicher 58 schreibt. Eine detailliertere Beschreibung des Betriebs der Smartcard und des Endgeräts 12 beim Verarbeiten der Daten ist nachfolgend aufgezeigt.
  • Die obige Beschreibung basiert auf der Annahme, dass der Provider H in Kommunikation mit der vertrauenswürdigen Autorität ist, die die Datenbank von Autorisierungen unterhält, die durch das Individuum P gewährt werden. Allgemein wird dies in einer modernen Gesellschaft, in welcher Individuen oft umziehen und häufig reisen, nicht der Fall sein. Bei einem Ausführungsbeispiel der vorliegenden Erfindung könnte dann, wenn ein Provider, wie beispielsweise ein Krankenhaus, sich mit einem Individuum beschäftigt, wie beispielsweise einem neuen Patienten, deren Aufzeichnungen von Autorisierungen von einer entfernten vertrauenswürdigen Autorität gehalten werden, der Provider auf die entfernte vertrauenswürdige Autorität über das Telefonnetz zugreifen, und zwar auf die oben beschriebene Weise. Jedoch sind bei einem bevorzugten Ausführungsbeispiel Provider, wie beispielsweise Krankenhäuser, mit lokalen vertrauenswürdigen Autoritäten durch eine bestimmte Verbindung zwischen dem Endgerät 12 und dem Datenverarbeitungszentrum 30 verbunden. Dies wird einen Zugriff hoher Geschwindigkeit für die normale Situation zur Verfügung stellen, in welcher ein Individuum, das dem Provider bekannt ist, nach einem Service bzw. Dienst fragt, und die Datenbank von Autorisierungen für dieses Individuum lokal unterhalten wird. In anderen Situationen, wie beispielsweise dort, wo ein fremder Patient, der einen medizinischen Notdienst erfordert, nach einem Zugriff auf Daten fragt, Daten zwischen der vertrauenswürdigen Autorität in Kommunikation mit dem Krankenhaus und der entfernten vertrauenswürdigen Autorität, die die Datenbank von Autorisierungen unterhält, die durch das Individuum gewährt werden, übertragen, wie es ausführlicher nachfolgend unter Bezugnahme auf 5 beschrieben wird.
  • Wendet man sich der 5 zu, sendet bei einer Initialisierung, wie sie in der Tabelle 1 gezeigt ist, bei 80 das Endgerät 12 des Providers H ein Startsignal zur Smartcard des Individuums P, die mit dem Endgerät 12 verbunden worden ist. Dann gilt:
    (82) CERT(P), ID(TAp)
  • Bei 82 bringt die Smartcard das Zertifikat des Individuums P und die Identifikation der vertrauenswürdigen Autorität, die die Aufzeichnungen von Autorisierungen unterhält, die durch das Individuum P gewährt werden, zurück. Dann gilt:
    (84) Pr(H)[CERT(P), DATENANFRAGE], ID(TAp), CERT(H)
  • Bei 84 verschlüsselt das Endgerät 12 das Zertifikat des Individuums P und die Anfrage nach einem Datenzugriff mit dem privaten Schlüssel des Providers H, hängt die Identifikation der vertrauenswürdigen Autorität des Individuums P und das Zertifikat des Providers H an und sendet dies zu dem Datenverarbeitungszentrum 30 der vertrauenswürdigen Autorität, die zum Provider H gehört. Dann gilt:
    (86) Pr(H)[CERT(P), DATENANFRAGE], ID(TAp), CERT(H), ID(TAh)
  • Unter der Annahme, dass die zum Provider H gehörende vertrauenswürdige Autorität unterschiedlich von der vertrauenswürdigen Autorität ist, die die Datenbank unterhält, die die Aufzeichnungen von Autorisierungen enthält, die durch das Individuum P gewährt werden, hängt die zu dem Provider H gehörende vertrauenswürdige Autorität bei 86 ihre Identifikation an die vom Provider H empfangene Nachricht an und sendet diese Nachricht zur vertrauenswürdigen Autorität des Individuums P. Eine Kommunikation zwischen den vertrauenswürdigen Autoritäten kann auf irgendeine angenehme Weise erfolgen, wie beispielsweise über das Fernsprechwählnetz, bestimmte Leitungen oder über ein Computerkommunikationsnetz, wie beispielsweise das Internet. Dann gilt:
    (88)(a) Pb(CA)[CERT(H)] = Pb(H), ID(H)
    (b) PB(H)[Pr(H)[CERT(P), DATENANFRAGE] = CERT(P), DATENANFRAGE
    (c) PB(CA)[CERT(P)]) Pb(P), ID(P)
    (d) Abfrage (ID(P), ID(H), DATENANFRAGE)
    (e) Reaktion (CSK)
    (f) ACODE =(DATENBLOCK-ADRESSE, -GRÖSSE DATUM-ZEIT; R/W, CSK)
    (g) K(ACODE) = NSK DATENBASIS
  • Bei 88 bestimmt die vertrauenswürdige Autorität des Individuums P, ob der angefragte Datenzugriff autorisiert ist, und erzeugt dann, wenn es so ist, einen Zugriffscode und aktualisiert den aktuellen Sessionschlüssel auf eine Weise, die im Wesentlichen identisch zu derjenigen ist, die bei (66) in 4 beschrieben ist. Dann gilt:
    (90) Pb(P)[Pr(TAp)[ACODE], CERT(TAp)], ID(H), ID(P)
  • Bei 90 verschlüsselt die vertrauenswürdige Autorität von P ACODE mit ihrem privaten Schlüssel und hängt ihr Zertifikat an, verschlüsselt die Kombination mit dem öffentlichen Schlüssel des Individuums P und hängt die Identifikationen des Individuums P und des Providers H an und bringt diese Nachricht zu der zum Provider H gehörenden vertrauenswürdigen Autorität zurück. Dann gilt:
    (92) Pb(P)[Pr(TAp)[ACODE], CERT(TAp)], ID(p)
    (94) Pb(P)[Pr(TAp)[ACODE], CERT(TAp)]
  • Bei 92 lässt die zu dem Provider H gehörende vertrauenswürdige Autorität die Identifikation des Providers H fallen und leitet bei 94 die Nachricht zur Smartcard des Individuums P weiter. Dann gilt:
    (96)(a) Pr(P)[Pb(P)[Pr(TAp)[ACODE], CERT(TAp)] = Pr(TAp)[ACODE], CERT(TAp)
    (b) Pb(CA)[CERT(TAp)] = Pb(TAp), ID(TAp)
    (c) Pb(TAp)[Pr(TAp)[ACODE] = ACODE = (Datenblock-Adresse, -Größe; Datum-Zeit; R/W (CSK)
    (98) Datenblock, Adresse, Größe
    (100r) Lesen, Entschlüsseln und erneutes Verschlüsseln, erneutes Schreiben und Zusammenbauen von Datensegmenten vom optischen Speicher 58
    (102r) Ausgeben entschlüsselter Daten
    (100w) Eingeben neuer Daten
    (102w) Verschlüsseln neuer Datensegmente vom optischen Speicher 58 und Schreiben verschlüsselter Segmente zum optischen Speicher 58
  • Bei 96 bis 102 interagieren das Endgerät 12 und die Smartcard des Individuums P zum Verarbeiten eines Datenzugriffs auf eine Weise, die im Wesentlichen identisch zu derjenigen ist, die unter Bezugnahme auf 72–78 der 4 beschrieben ist.
  • Bei anderen Ausführungsbeispielen der vorliegenden Erfindung muss die Smartcard des Individuums P nicht mit dem Endgerät des Serviceproviders verbunden sein, der nach einem Datenzugriff fragt. Es wird Fachleuten auf dem Gebiet ohne weiteres klar werden, dass ein Serviceprovider einen Datenzugriff zu einer Smartcard nachfragen kann, die mit einem entfernten Endgerät verbunden ist, welches wiederum mit dem Datenverarbeitungszentrum von entweder der zu diesem Serviceprovider gehörenden vertrauenswürdigen Autorität oder mit einem anderen Datenverarbeitungszentrum verbunden sein kann, und zwar mit nur kleineren Modifikationen, die Fachleuten auf dem Gebiet ohne weiteres offensichtlich sind, an den oben beschriebenen Kommunikationsprotokollen.
  • Bei einem weiteren Ausführungsbeispiel der vorliegenden Erfindung wird diese Fähigkeit dazu verwendet, eine neue Einrichtung für eine sichere Kommunikation zur Verfügung zu stellen. Gemäß diesem Ausführungsbeispiel könnte ein erster Provider nach einem Zugriff auf die Smartcard eines Individuums fragen, um Daten zu einer bestimmten Stelle zu schreiben. Ein zweiter Provider könnte dann nach einem Zugriff auf diese Stelle zum Lesen der Daten fragen, und zwar entweder während einer einzelnen Transaktion oder bei einer separaten Transaktion. Die zweite Partei würde eine Sicherheit haben, dass die Daten bei einem bestimmten Serviceprovider entstanden sind, und mit der Autorisierung eines bestimmten Individuums.
  • Beispielsweise dann, wenn der Provider H ein Krankenhaus wäre, das wünscht, den Versicherungszustand des Individuums P zu kennen, der nach medizinischen Diensten fragt, würde der Provider eine Anfrage zur Smartcard des Individuums P schreiben, und die Versicherungsgesellschaft könnte dann diese Anfrage von der Smartcard des Individuums P lesen. Die Versicherungsgesellschaft würde dann sicher sein, dass die Anfrage bei dem Provider H entstanden war und mit der Autorisierung des Individuums P übertragen wurde.
  • Fachleute auf dem Gebiet werden erkennen, dass zusätzliche Kommunikationen, die zum Initiieren und Koordinieren von verschiedenen Kommunikationstransaktionen bei dem gerade beschriebenen Ausführungsbeispiel nötig sind, auf irgendeine angenehme Weise ausgeführt werden können und hier für ein Verstehen der vorliegenden Erfindung nicht weiter beschrieben werden müssen.
  • Die 6a und 6b und 7a und 7b zeigen die Interaktion des Endgeräts 12 und der Smartcard des Individuums P beim Lesen von Daten, wo die Smartcard eine Smartcard 50 ist, wie sie in 3 gezeigt ist.
  • Wendet man sich den 6a und 6b zu, empfängt die Smartcard 50 bei 110 die Verschlüsselung von ACODE und das Zertifikat der vertrauenswürdigen Autorität, die Aufzeichnungen von Autorisierungen hält, die durch das Individuum P gewährt werden, wie es oben unter Bezugnahme auf den Schritt 70 in 4 und den Schritt 94 in 5 beschrieben ist. Bei 112 entdeckt die Smartcard 50 ACODE, wie es auch oben beschrieben ist. Dann bestimmt die Smartcard 50 bei 114, ob ACODE gültig ist. Vorzugsweise wird dies durch einfaches Bestimmen durchgeführt, ob ACODE sinnvoll ist, da die Wahrscheinlichkeit einer nicht richtig entschlüsselten Nachricht, die verständlich ist, verschwindend gering ist. Wenn ACODE nicht gültig ist, tritt die Smartcard 50 bei 116 zu einer Fehlerroutine aus.
  • Dann berechnet die Smartcard 50 bei 120 den nächsten Sessionschlüssel (NSK) gemäß einer vorbestimmten Funktion K, die auf Information in ACODE angewendet wird. Bei einem bevorzugten Ausführungsbeispiel weist die Funktion K eine Verschlüsselung mit dem privaten Schlüssel Pr(P) des Individuums P auf.
  • Dann gibt die Smartcard 50 bei 122 die Datenblock-Adresse und -Größe zum Endgerät 12 aus. Dann empfängt die Smartcard 50 bei 124 ein verschlüsseltes Datensegment vom Endgerät 12. Bei 128 entschlüsselt sie das Segment mit dem aktuellen Sessionschlüssel (CSK) und verschlüsselt bei 130 die entschlüsselten Daten erneut mit NSK. Bei 132 gibt die Smartcard 50 das entschlüsselte Segment und das erneut verschlüsselte Segment zur Steuerung 16 aus. Bei 136 testet die Smartcard 50, um zu bestimmen, ob dies das letzte Segment ist, und, wenn es nicht so ist, kehrt sie zu 124 zurück, um das nächste Datensegment zu empfangen.
  • Nachdem das letzte Datensegment empfangen ist, stellt die Smartcard 50 bei 138 NSK und ACODE auf 0 ein.
  • Es sollte beachtet werden, dass durch Löschen von NSK und ACODE von der Smartcard ein hohes Maß an Sicherheit selbst für Smartcards, wie beispielsweise die Smartcard 50, erreicht wird, wo ein optischer Datenspeicher 58 notwendigerweise für externe Vorrichtungen zugreifbar ist, da die Smartcard 50 entweder den Schlüssel, der zum Verschlüsseln der Daten verwendet wird, oder Information, aus welcher dieser Schlüssel abgeleitet werden kann, nicht enthält.
  • Dieses Ausmaß an Sicherheit hat jedoch den Nachteil, dass ein Systemfehler bzw. Systemausfall, der eine Kommunikation zu der vertrauenswürdigen Autorität verhindert, jeden Zugriff auf die verschlüsselte Information verhindern würde. Demgemäß kann bei weiteren Ausführungsbeispielen der vorliegenden Erfindung die Smartcard des Individuums oder des Providers H den Schlüssel, der zum Verschlüsseln bestimmter, empfindlicher, kritischer Information verwendet wird, speichern und kann programmiert werden, um diese Information für bestimmte Provider zu entschlüsseln und auszugeben, die durch die zertifizierende Autorität derart zertifiziert sind, dass sie eine Notfall-Autorisierung haben, um auf eine solche Information selbst in dem Fall eines Systemausfalls zuzugreifen. Beispielsweise könnte der Leiter eines medizinischen Notdienstes eine Autorität zum Zugreifen auf solche empfindlichen, kritischen Daten in dem Fall eines Systemausfalls haben, während ein anderes medizinisches Personal nur auf solche Daten mit einem Zugriffscode zugreifen könnte, der durch eine vertrauenswürdige Autorität ausgegeben wird, aber ohne einen sofortigen Zugriff auf die vertrauenswürdige Autorität zu benötigen. Natürlich kann unempfindliche Information, wie beispielsweise ein Bluttyp, auf der Oberfläche der Karte gedruckt werden.
  • Wendet man sich den 7a und 7b zu, ist ein Ablaufdiagramm des Betriebs der Steuerung 16 gezeigt, wie sie mit der Smartcard 50 zum Lesen von Daten interagiert. Bei 140 empfängt die Steuerung 16 die Verschlüsselung von ACODE und das Zertifikat der vertrauenswürdigen Autorität von der vertrauenswürdigen Autorität, und leitet sie bei 144 zur Smartcard weiter.
  • Wenn keine Reaktion von der Smartcard innerhalb einer vorbestimmten Zeitperiode empfangen wird, tritt die Steuerung 16 bei 146 zu einer Fehlerroutine 147 aus. Sonst werden bei 148 die Datenblock-Adresse und -Größe von der Smartcard 50 empfangen, und liest die Steuerung 16 bei 152 ein verschlüsseltes Datensegment, das im Datenblock vorgesehen ist, vom optischen Speicher 158. dann wird bei 154 das verschlüsselte Datensegment zum Mikroprozessor 52 gesendet.
  • Wiederum tritt dann, wenn keine Reaktion empfangen wird, die Steuerung 16 bei 156 zur Fehlerroutine 157 aus.
  • Sonst werden bei 158 das erneut verschlüsselte Datensegment (d. h. das mit NSK neu verschlüsselte Datensegment) und das entschlüsselte Datensegment von der Smartcard 50 zurückgebracht.
  • Bei 160 bestimmt die Steuerung 16, ob dies das letzte Segment ist und wenn es nicht so ist, bringt sie zu 152 zurück, um das nächste Datensegment zu lesen.
  • Wenn einmal das letzte Datensegment empfangen ist, assembliert die Steuerung 16 bei 162 alle entschlüsselten Datensegmente und gibt sie aus, und schreibt bei 164 die erneut verschlüsselten Daten zum optischen Datenspeicher 58 und tritt dann aus.
  • Wendet man sich der 8 zu, ist ein Ablaufdiagramm des Betriebs der Smartcard 50 gezeigt, wie sie mit der Steuerung 16 zum Schreiben von Daten interagiert.
  • Fachleute auf dem Gebiet werden erkennen, dass der Betrieb der Smartcard 50 beim Ausführen von Elementen 170 bis 182 identisch zu dem in 6a beim Ausführen von Elementen 110 bis 122 gezeigten Betrieb ist, und dass diese Elemente unter Verwendung von gemeinsamen Programmmodulen implementiert sein können. Jedoch sind sie in separaten Ablaufdiagrammen hier der Einfachheit der Beschreibung halber als separate Elemente gezeigt.
  • Nachdem die Datenblock-Adresse und -Größe bei 182 zur Steuerung 16 ausgegeben sind, empfängt die Smartcard 50 bei 184 ein Eingangsdatensegment von der Steuerung 16. Bei 188 wird das Segment mit NSK verschlüsselt. Bei 190 wird das verschlüsselte Segment zur Steuerung 16 ausgegeben, und bei 192 bestimmt die Smartcard 50, ob dies das letzte Datensegment ist. Wenn es nicht so ist, springt die Smartcard 50 zu 184 zurück, um das nächste Datensegment auszugeben.
  • Wenn einmal das letzte Segment empfangen ist, werden NSK und ACODE bei 196 auf 0 gesetzt, und die Smartcard 50 tritt aus.
  • Wendet man sich der 9 zu, ist ein Ablaufdiagramm des Betriebs der Steuerung 16 gezeigt, wie sie mit der Smartcard zum Eingeben von Daten kooperiert. Wiederum werden Fachleute auf dem Gebiet erkennen, dass die Ausführung von Elementen 200 bis 206 identisch zu der Ausführung von Elementen 140 bis 146 in 7a ist; aber wiederum ist sie hier der Einfachheit der Beschreibung halber separat gezeigt.
  • Nachdem die Datenblock-Adresse und -Größe von der Smartcard 50 empfangen sind, werden bei 210 die zu speichernden Daten eingegeben und werden bei 212 in Datensegmente aufgeteilt, die durch den verwendeten Verschlüsselungsalgorithmus auf geeignete Weise weiter bearbeitet werden.
  • Bei 214 tritt die Steuerung 16 dann, wenn die Smartcard nicht in einer vorbestimmten Zeit reagiert, zu einer Fehlerroutine 215 aus.
  • Sonst empfängt die Steuerung 16 bei 218 das verschlüsselte Datensegment von der Smartcard 50 und schreibt bei 220 das verschlüsselte Datensegment zum optischen Speicher 58.
  • Bei 222 bestimmt die Steuerung 16, ob dies ein letztes Segment ist, und springt dann, wenn es nicht so ist, zu 212 zurück, um das nächste Datensegment zur Smartcard 50 zu senden, und tritt sonst aus.
  • Vorzugsweise werden im optischen Datenspeicher 58 gespeicherte Daten unter Verwendung eines einzelnen Schlüssel-Verschlüsselungsalgorithmus, wie beispielsweise DES, verschlüsselt.
  • Es sollte beachtet werden, dass bei dem oben beschriebenen Ausführungsbeispiel einen Verschlüsselung von Nachrichten, die zwischen verschiedenen Parteien übertragen werden, primär zum Authentifizieren der Nachrichten verwendet worden ist. Somit ist bei den oben beschriebenen Ausführungsbeispielen keine weitere Verschlüsselung von Daten, wie beispielsweise verschiedene Zertifikate, verwendet worden, und solche Elemente müssen als verfügbar für Parteien außerhalb vorausgesetzt werden, die wünschen, das System anzugreifen. Bei weiteren Ausführungsbeispielen der vorliegenden Erfindung können Verschlüsselungstechniken zum Überwinden dieses Problems verwendet werden. Beispielsweise können, wie es bekannt ist, alle Nachrichten zwischen Parteien mit dem öffentlichen Schlüssel der empfangenden Partei verschlüsselt werden, die dann die Nachrichten mit einem geheimen, privaten Schlüssel, entschlüsselt.
  • Dies schützt die Nachricht von dritten Parteien, aber da öffentliche Schlüssel per Definition öffentlich sind, stellt sie keine Sicherheit zur Verfügung, dass eine Nachricht tatsächlich von dem mutmaßlichen Sender entsteht. Dies kann, wie es auch bekannt ist, durch Verschlüsseln jeder Nachricht mit dem privaten Schlüssel des Senders und durch Anhängen eines durch eine zertifizierende Autorität gelieferten Zertifikats erreicht werden, wie es oben beschrieben worden ist. Eine erfolgreiche Entschlüsselung der Nachricht stellt eine Sicherheit zur Verfügung, dass die Nachricht tatsächlich bei dem mutmaßlichen Sender entstand, aber auf die Nachricht kann von dritten Parteien zugegriffen werden, die den öffentlichen Schlüssel von zertifizierenden Autoritäten haben. Natürlich können Nachrichten unter Verwendung beider Techniken zum Bereitstellen von sowohl einer Sicherheit als auch einer Authentifizierung verschlüsselt werden, und diese und andere bekannte Verschlüsselungstechniken können bei verschiedenen Ausführungsbeispielen der vorliegenden Erfindung auf Nachrichten angewendet werden, die zwischen Parteien kommuniziert werden.
  • Fachleute auf dem Gebiet werden erkennen, dass eine Sicherheit des Systems der vorliegenden Erfindung auf eine Sicherheit der verschiedenen privaten Schlüssel basiert. Demgemäß sollten Schlüssel auf die Parteien auf eine sichere Weise verteilt werden und durch die Parteien sicher gehalten werden. Viele Verfahren zum Verteilen von Schlüsseln und zum Beibehalten einer Sicherheit von Schlüsseln sind bekannt, und irgendwelche angenehmen Verfahren zum Beibehalten einer Sicherheit von Schlüsseln können in Zusammenhang mit der vorliegenden Erfindung verwendet werden, und bestimmte Schlüsselsicherungsverfahren, die bei der vorliegenden Erfindung verwendet werden, bilden keinen Teil der vorliegenden Erfindung an sich.
  • Gegenwärtig wird gemeint, dass eine Initialisierung durch einen gesteuerten Transfer von Medien ausgeführt wird, wobei zertifizierende Autoritäten vertrauenswürdige Autoritäten initialisieren, vertrauenswürdigen Autoritäten Serviceprovider initialisieren und Serviceprovider Individuen initialisieren.
  • Die obigen Beschreibungen und Zeichnungen bevorzugter Ausführungsbeispiele sind nur anhand einer Darstellung zur Verfügung gestellt worden, und zahlreiche andere Ausführungsbeispiele der vorliegenden Erfindung werden Fachleuten auf dem Gebiet aus einem Betrachten der obigen Beschreibung und der beigefügten Zeichnungen offensichtlich werden. Demgemäß sind Beschränkungen für die vorliegende Erfindung nur in den nachfolgend aufgezeigten Ansprüchen zu finden.

Claims (20)

  1. System zum Aufzeichnen von Information und zum Steuern eines Zugriffs auf die Information, wobei das System folgendes aufweist: a) ein tragbares Aufzeichnungsmedium (50) mit einem Speicher(54) zum Speichern von Information und einem Mikroprozessor(52), wobei der Mikroprozessor auf eine Eingabe eines Zugriffscodes zum Ermöglichen eines Zugriffs auf den Speicher reagiert; b) ein Datenverarbeitungszentrum (30) mit einer Datenbank (34) von Autorisierungen einer Vielzahl von Serviceprovidern in Bezug auf die Information; und c) ein EndgeräT(12) zum Zulassen, dass ein Serviceprovider mit dem Verarbeitungszentrum kommuniziert; wobei d) das Verarbeitungszentrum (30) auf eine Nachricht vom EndgeräT(12) reagiert, wobei die Nachricht einen Serviceprovider identifiziert, der nach einem Zugriff auf die Information sucht, um auf die Datenbank (34) zuzugreifen, um zu bestimmen, ob der identifizierte Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, und um den Zugriffscode vom Datenverarbeitungszentrum (30) zu dem identifizierten Serviceprovider nur dann auszugeben, wenn der identifizierte Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen.
  2. System nach Anspruch 1, wobei das Verarbeitungszentrum (30) durch eine dritte Partei gesteuert wird, die sich von wenigstens einigen der Serviceprovider unterscheidet, die in der Datenbank identifiziert sind, und wobei die dritte Partei ein Zertifikat besitzt, das durch eine Zertifizierungsautorität (44) ausgegeben wird, wobei das Zertifikat dazu dient, die Identität und Vertrauenswürdigkeit der dritten Partei einzurichten.
  3. System nach Anspruch 1 oder 2, wobei ein anderer Schlüssel zum Entschlüsseln der Information für einen jeweiligen Zugriff auf die Information erforderlich ist.
  4. System nach Anspruch 3, wobei eine Zertifizierungsautorität einen jeweiligen Serviceprovider zertifiziert, der dazu autorisiert ist, auf die Information zuzugreifen, und die Nachricht durch den zertifizierten Serviceprovider mit einem privaten Schlüssel digital signiert ist, der dem zertifizierten Serviceprovider durch die Zertifizierungsautorität zertifiziert ist.
  5. System nach einem der Ansprüche 1 bis 4, wobei das Verarbeitungszentrum (30) wenigstens eine Zeit und eine Identität für den Serviceprovider aufzeichnet, der nach einem Notzugriff sucht.
  6. System nach Anspruch 1, wobei die auf dem tragbaren Aufzeichnungsmedium gespeicherte Information mit einem aktuellen Sessionschlüssel verschlüsselt ist, und der Zugriffscode den aktuellen Sessionschlüssel aufweist.
  7. System nach Anspruch 6, wobei der Mikroprozessor betreibbar ist, um die Information mit dem aktuellen Sessionschlüssel zu entschlüsseln, um die entschlüsselte Information zu dem Serviceprovider auszugeben und um die entschlüsselte Information mit einem nächsten Sessionschlüssel erneut zu verschlüsseln, bevor die Information erneut zum Speicher geschrieben wird, wobei der nächste Sessionschlüssel als eine vorbestimmte Funktion einer Zugriffssessioninformation bestimmt wird, wobei der Mikroprozessor betreibbar ist, um den nächsten Sessionschlüssel zu löschen, wodurch der Mikroprozessor die neu verschlüsselte Information nicht wieder entschlüsseln kann, bis ein neuer Zugriffscode eingegeben wird; und wobei weiterhin das Datenverarbeitungszentrum betreibbar ist, um den nächsten Sessionschlüssel gemäß der vorbestimmten Funktion und der Zugriffssessioninformation zu bestimmen, wodurch das Datenverarbeitungszentrum dazu fähig ist, den neuen Zugriffscode zu liefern.
  8. System nach Anspruch 6 oder 7, wobei wenigstens ein Teil der Zugriffssessioninformation im Zugriffscode umfasst ist.
  9. System nach einem der Ansprüche 6 bis 8, wobei die Zugriffssessioninformation, die im Zugriffscode umfasst ist, eine eindeutige Zugriffssequenznummer enthält.
  10. System nach einem der vorangehenden Ansprüche, wobei das tragbare Aufzeichnungsmedium (50) dazu eingerichtet ist, verschlüsselte individuelle Anwenderinformation zu speichern, und das Datenverarbeitungszentrum (30) dazu eingerichtet ist, eine Vielzahl von Zugriffscodes für die autorisierten Serviceprovider zu speichern, um auf individuelle Anwenderinformation zuzugreifen, wobei die Zugriffscodes jeweils einen Schlüssel zum Entschlüsseln der relevanten verschlüsselten Anwenderinformation enthalten.
  11. Verfahren zum Steuern eines Zugriffs auf aufgezeichnete Information, wobei das Verfahren die folgenden Schritte aufweist: a) Einrichten eines Datenverarbeitungszentrums (30); b) Empfangen erster Daten, die Serviceprovider identifizieren, die mit dem Datenverarbeitungszentrum (30) kommunizieren können, um nach einem Zugriff auf die Information zu fragen; c) Verifizieren der ersten Daten beim Datenverarbeitungszentrum (30); d) Versehen eines Anwenders mit einem tragbaren Aufzeichnungsmedium (50) mit einem Speicher(54) zum Speichern der Information und einem Mikroprozessor(52), wobei der Mikroprozessor auf eine Eingabe eines Zugriffscodes zum Ermöglichen eines Zugriffs auf die Information reagiert; e) Einrichten einer Datenbank (34) im Datenverarbeitungszentrum (30) von Autorisierungen von jedem der Serviceprovider; f) Empfangen einer Nachricht von einem der Serviceprovider beim Datenverarbeitungszentrum (30), die nach einem Zugriff auf die in dem Speicher(54) gespeicherte Information fragen; g) Zugreifen auf die Datenbank (34), um zu bestimmen, ob der eine der Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen; und h) wenn der eine der Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, Liefern des Zugriffscodes vom Datenverarbeitungszentrum (30) zu dem einen der Serviceprovider.
  12. Verfahren nach Anspruch 11, das die folgenden weiteren Schritte aufweist: a) Zuordnen eines unterschiedlichen Paars aus öffentlichem Schlüssel/privatem Schlüssel zu jedem der Serviceprovider, für welchen die ersten Daten gelten, wodurch die Nachricht mit einem privaten Schlüssel digital signiert werden kann, der dem einen der Serviceprovider zugeordnet ist; b) Verifizieren, dass die Nachricht mit dem privaten Schlüssel signiert ist, der den einem der Serviceprovider zugeordnet ist; und c) Zugreifen auf die Datenbank, um zu bestimmen, ob der eine der Serviceprovider dazu autorisiert ist, auf die Information zuzugreifen, nur wenn die Nachricht erfolgreich verifiziert ist.
  13. Verfahren nach Anspruch 12, das die weiteren folgenden Schritte aufweist: a) Empfangen zweiter Daten, die den Anwender identifizieren; b) Verifizieren der zweiten Daten; und c) Versehen des Anwenders mit dem tragbaren Aufzeichnungsmedium nur dann, wenn die zweiten Daten erfolgreich verifiziert sind.
  14. Verfahren nach einem der Ansprüche 11 bis 13, wobei ein anderer Schlüssel erforderlich ist, um die Information für einen jeweiligen Zugriff auf die Information zu entschlüsseln.
  15. Verfahren nach einem der Ansprüche 11 bis 14, wobei ein jeweiliger Serviceprovider, der zum Zugreifen auf die Information autorisiert ist, mit einem Paar aus öffentlichem Schlüssel/privatem Schlüssel versehen ist, und die Nachricht durch den identifizierten Serviceprovider mit einem privaten Schlüssel digital signiert ist, der dem autorisierten Serviceprovider geliefert ist.
  16. Verfahren nach Anspruch 11, wobei die Information mit einem aktuellen Sessionschlüssel verschlüsselt ist und der Zugriffscode den aktuellen Sessionschlüssel aufweist.
  17. Verfahren nach Anspruch 16, wobei der Mikroprozessor(52) die Information mit einem aktuellen Sessionschlüssel entschlüsselt, die entschlüsselte Information zum Serviceprovider ausgibt und die entschlüsselte Information mit einem nächsten Sessionschlüssel vor einem erneuten Schreiben der Information zum Speicher erneut verschlüsselt, wobei der nächste Sessionschlüssel als eine vorbestimmte Funktion einer Zugriffssessioninformation bestimmt wird, wobei der Mikroprozessor dann den nächsten Sessionschlüssel löscht, wodurch der Mikroprozessor die neu verschlüsselte Information nicht wieder entschlüsseln kann, bis ein neuer Zugriffscode eingegeben wird; und wobei weiterhin das Datenverarbeitungszentrum (30) auch den nächsten Sessionschlüssel gemäß der vorbestimmten Funktion und der Zugriffssessioninformation bestimmt, wodurch das Datenverarbeitungszentrum (30) dazu fähig ist, den neuen Zugriffscode zu liefern.
  18. Verfahren nach Anspruch 16 oder 17, wobei wenigstens ein Teil der Zugriffssessioninformation im Zugriffscode umfasst ist.
  19. Verfahren nach einem der Ansprüche 16 bis 18, wobei die Zugriffssessioninformation, die im Zugriffscode umfasst ist, eine eindeutige Zugriffssequenznummer enthält.
  20. Verfahren nach einem der Ansprüche 11 bis 19, wobei das tragbare Aufzeichnungsmedium (50) verschlüsselte Anwenderinformation speichert und das Datenverarbeitungszentrum (30) eine Vielzahl von Zugriffscodes für die autorisierten Serviceprovider zum Zugreifen auf individuelle Anwenderinformation speichert, wobei die Zugriffscodes jeweils einen Schlüssel zum Entschlüsseln der relevanten verschlüsselten Anwenderinformation enthalten.
DE69815575T 1997-03-04 1998-03-04 Verfahren und Vorrichtung zur Speicherung von Daten und Steuerung des Zugriffs dazu Expired - Lifetime DE69815575T2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US810746 1997-03-04
US08/810,746 US6131090A (en) 1997-03-04 1997-03-04 Method and system for providing controlled access to information stored on a portable recording medium

Publications (2)

Publication Number Publication Date
DE69815575D1 DE69815575D1 (de) 2003-07-24
DE69815575T2 true DE69815575T2 (de) 2004-04-29

Family

ID=25204604

Family Applications (1)

Application Number Title Priority Date Filing Date
DE69815575T Expired - Lifetime DE69815575T2 (de) 1997-03-04 1998-03-04 Verfahren und Vorrichtung zur Speicherung von Daten und Steuerung des Zugriffs dazu

Country Status (4)

Country Link
US (1) US6131090A (de)
EP (1) EP0869460B1 (de)
CA (1) CA2231082C (de)
DE (1) DE69815575T2 (de)

Families Citing this family (140)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2751814B1 (fr) * 1996-07-24 1998-09-25 Gemplus Card Int Systeme de controle et de gestion de services
US6311171B1 (en) * 1997-07-11 2001-10-30 Ericsson Inc. Symmetrically-secured electronic communication system
US6856966B1 (en) * 1997-08-08 2005-02-15 Seta Corporation Product delivery methods
JP3922482B2 (ja) * 1997-10-14 2007-05-30 ソニー株式会社 情報処理装置および方法
US7885822B2 (en) * 2001-05-09 2011-02-08 William Rex Akers System and method for electronic medical file management
US7956894B2 (en) * 1997-10-14 2011-06-07 William Rex Akers Apparatus and method for computerized multi-media medical and pharmaceutical data organization and transmission
US6597392B1 (en) * 1997-10-14 2003-07-22 Healthcare Vision, Inc. Apparatus and method for computerized multi-media data organization and transmission
JP3239842B2 (ja) * 1998-05-08 2001-12-17 日本電気株式会社 ソフトウェアの不正利用防止システム
US6353889B1 (en) 1998-05-13 2002-03-05 Mytec Technologies Inc. Portable device and method for accessing data key actuated devices
US6045501A (en) 1998-08-28 2000-04-04 Celgene Corporation Methods for delivering a drug to a patient while preventing the exposure of a foetus or other contraindicated individual to the drug
US6738749B1 (en) * 1998-09-09 2004-05-18 Ncr Corporation Methods and apparatus for creating and storing secure customer receipts on smart cards
DE60006952D1 (de) * 1999-04-13 2004-01-15 Electronic Data Identification Transponderterminal für eine aktive markieranlage
US6708272B1 (en) * 1999-05-20 2004-03-16 Storage Technology Corporation Information encryption system and method
US7188258B1 (en) * 1999-09-17 2007-03-06 International Business Machines Corporation Method and apparatus for producing duplication- and imitation-resistant identifying marks on objects, and duplication- and duplication- and imitation-resistant objects
SE9904094D0 (sv) * 1999-11-12 1999-11-12 Protegrity Research & Dev Method for reencryption of a database
US7203834B1 (en) * 1999-12-02 2007-04-10 International Business Machines Corporation Method of updating encryption keys in a data communication system
US6901511B1 (en) * 2000-01-13 2005-05-31 Casio Computer Co., Ltd. Portable terminals, servers, systems, and their program recording mediums
US7302164B2 (en) 2000-02-11 2007-11-27 Datcard Systems, Inc. System and method for producing medical image data onto portable digital recording media
US20020046061A1 (en) 2000-02-11 2002-04-18 Wright Kenneth L. Personal information system
US6463417B1 (en) * 2000-02-22 2002-10-08 Carekey.Com, Inc. Method and system for distributing health information
US7099801B1 (en) * 2000-03-27 2006-08-29 Cardiobeat.Com Medical testing internet server system and method
US6802007B1 (en) 2000-04-24 2004-10-05 International Business Machines Corporation Privacy and security for smartcards in a method, system and program
US20020059005A1 (en) * 2000-06-02 2002-05-16 Sarver Larry C. Method of controlling irrigation systems using smart cards
US20020116227A1 (en) * 2000-06-19 2002-08-22 Dick Richard S. Method and apparatus for requesting, retrieving, and obtaining de-identified medical informatiion
US20010053986A1 (en) * 2000-06-19 2001-12-20 Dick Richard S. Method and apparatus for requesting, retrieving, and normalizing medical information
US20020004727A1 (en) * 2000-07-03 2002-01-10 Knaus William A. Broadband computer-based networked systems for control and management of medical records
US20020016923A1 (en) * 2000-07-03 2002-02-07 Knaus William A. Broadband computer-based networked systems for control and management of medical records
CA2347581C (en) * 2000-09-20 2008-07-29 United Parcel Service Of America, Inc. Method and apparatus for authorizing the transfer of information
US6315720B1 (en) * 2000-10-23 2001-11-13 Celgene Corporation Methods for delivering a drug to a patient while avoiding the occurrence of an adverse side effect known or suspected of being caused by the drug
US7315859B2 (en) * 2000-12-15 2008-01-01 Oracle International Corp. Method and apparatus for management of encrypted data through role separation
KR20010035230A (ko) * 2000-12-22 2001-05-07 엄장필 휴대 가능한 저장매체를 기반으로 하는 인증시스템 및인증방법
GB2370474B (en) * 2000-12-22 2004-06-09 Hewlett Packard Co Communicating credentials across a network
US7310734B2 (en) * 2001-02-01 2007-12-18 3M Innovative Properties Company Method and system for securing a computer network and personal identification device used therein for controlling access to network components
US20020128864A1 (en) * 2001-03-06 2002-09-12 Maus Christopher T. Computerized information processing and retrieval system
US20010044732A1 (en) * 2001-06-26 2001-11-22 Maus Christopher T. Mobile data management system
DE10113531A1 (de) * 2001-03-20 2002-10-17 Infineon Technologies Ag Datenträger
US7181017B1 (en) 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
US20090024417A1 (en) * 2001-03-26 2009-01-22 Marks Richard D Electronic medical record system
US20030033168A1 (en) * 2001-04-13 2003-02-13 Andrea Califano Methods and systems for managing informed consent processes
US20020188466A1 (en) * 2001-04-18 2002-12-12 Barrette Pierre Philip Secure digital medical intellectual property (IP) distribution, market applications, and mobile devices
US20020184054A1 (en) * 2001-04-26 2002-12-05 Robert Cox Two-way practice management data integration
JP4498636B2 (ja) 2001-04-27 2010-07-07 日本サーモスタット株式会社 サーモスタット装置
JP2002351995A (ja) * 2001-05-17 2002-12-06 Ge Medical Systems Global Technology Co Llc 患者情報管理方法およびそのシステム
KR20010078961A (ko) * 2001-05-26 2001-08-22 강덕수 스마트 카드를 이용한 가족홈페이지 운용장치 및 운용방법
WO2002101593A2 (en) * 2001-06-08 2002-12-19 Idcomm, Inc. System and method for managing historical information on an object on an electronic tag
WO2002101502A2 (en) * 2001-06-12 2002-12-19 Jackson W Charles Method and system for healthcare management
US7533063B2 (en) 2001-06-14 2009-05-12 Silicon Storage Technology, Inc. Smart memory card wallet
US20030037063A1 (en) * 2001-08-10 2003-02-20 Qlinx Method and system for dynamic risk assessment, risk monitoring, and caseload management
JP4234916B2 (ja) * 2001-08-16 2009-03-04 システムニーズ株式会社 独立型本人認証装置におけるメモリレンタルサービスシステム
US20030039362A1 (en) * 2001-08-24 2003-02-27 Andrea Califano Methods for indexing and storing genetic data
US20030040939A1 (en) * 2001-08-24 2003-02-27 Daniel Tritch Method of storing and retrieving advance medical directives
US20030061074A1 (en) * 2001-09-27 2003-03-27 International Business Machines Corporation Patient information management system
US20030088440A1 (en) * 2001-11-02 2003-05-08 Dunn B. Rentz System and method for integrating consumer-controlled portable medical records with medical providers
CA2467864A1 (en) * 2001-11-22 2003-06-05 Medecard Limited Portable storage device for storing and accessing personal data
US20100174750A1 (en) * 2002-03-19 2010-07-08 Donovan Mark C System and method for storing information for a wireless device
CN1669036A (zh) 2002-05-16 2005-09-14 斯科特实验室公司 用于镇静和止痛系统的用户授权系统和方法
USRE48890E1 (en) 2002-05-17 2022-01-11 Celgene Corporation Methods for treating multiple myeloma with 3-(4-amino-1-oxo-1,3-dihydroisoindol-2-yl)-piperidine-2,6-dione after stem cell transplantation
US7968569B2 (en) 2002-05-17 2011-06-28 Celgene Corporation Methods for treatment of multiple myeloma using 3-(4-amino-1-oxo-1,3-dihydro-isoindol-2-yl)-piperidine-2,6-dione
JP3979194B2 (ja) * 2002-06-25 2007-09-19 ソニー株式会社 情報記憶装置、およびメモリアクセス制御方法、並びにコンピュータ・プログラム
JP4016741B2 (ja) * 2002-06-25 2007-12-05 ソニー株式会社 情報記憶装置、メモリアクセス制御システム、および方法、並びにコンピュータ・プログラム
CN100432979C (zh) * 2002-08-05 2008-11-12 台均实业股份有限公司 跨网络统一用户注册信息的方法
US7020636B2 (en) * 2002-09-05 2006-03-28 Matsushita Electric Industrial, Co., Ltd. Storage-medium rental system
US8404716B2 (en) 2002-10-15 2013-03-26 Celgene Corporation Methods of treating myelodysplastic syndromes with a combination therapy using lenalidomide and azacitidine
US11116782B2 (en) 2002-10-15 2021-09-14 Celgene Corporation Methods of treating myelodysplastic syndromes with a combination therapy using lenalidomide and azacitidine
US6862253B2 (en) * 2002-10-23 2005-03-01 Robert L. Blosser Sonic identification system and method
WO2004044756A1 (en) * 2002-11-14 2004-05-27 Mobidata Group Pty Limited System and method relating to remotely accessible securely stored data files
US6766943B2 (en) * 2002-11-25 2004-07-27 Diebold Self-Service Systems, Division Of Diebold, Incorporated Automated banking machine housing with improved service access
US9818136B1 (en) 2003-02-05 2017-11-14 Steven M. Hoffberg System and method for determining contingent relevance
CA2458123C (en) * 2003-03-13 2012-05-15 Synodon Inc. Remote sensing of gas leaks
US9959544B2 (en) * 2003-05-22 2018-05-01 International Business Machines Corporation Updating an application on a smart card and displaying an advertisement
US7380125B2 (en) * 2003-05-22 2008-05-27 International Business Machines Corporation Smart card data transaction system and methods for providing high levels of storage and transmission security
US20040236680A1 (en) * 2003-05-22 2004-11-25 International Business Machines Corporation Method and apparatus for displaying embedded chip states and embedded chip end-user application states
US7043754B2 (en) * 2003-06-12 2006-05-09 Michael Arnouse Method of secure personal identification, information processing, and precise point of contact location and timing
US7013365B2 (en) 2003-06-16 2006-03-14 Michael Arnouse System of secure personal identification, information processing, and precise point of contact location and timing
US7472275B2 (en) * 2003-06-13 2008-12-30 Michael Arnouse System and method of electronic signature verification
CA2534987A1 (en) * 2003-07-09 2005-01-27 Cross Match Technologies, Inc. Systems and methods for facilitating transactions
US20050043827A1 (en) * 2003-07-16 2005-02-24 St. Clair Hospital System and method for storing and accessing medical data
EP1536306A1 (de) * 2003-09-30 2005-06-01 Broadcom Corporation Nähe-Authentifizierungssystem
EP1533971A1 (de) * 2003-11-18 2005-05-25 STMicroelectronics S.r.l. Vorrichtung und Verfahren zum Aufbau einer sicheren Kommunikation
NZ529688A (en) * 2003-11-21 2006-09-29 Learning Technology Systems Lt A storage device having files which are only accessible via a remote database
DE60315853D1 (de) 2003-12-24 2007-10-04 St Microelectronics Srl Verfahren zur Entschlüsselung einer Nachricht
US20050197859A1 (en) * 2004-01-16 2005-09-08 Wilson James C. Portable electronic data storage and retreival system for group data
US7426617B2 (en) 2004-02-04 2008-09-16 Network Appliance, Inc. Method and system for synchronizing volumes in a continuous data protection system
US7720817B2 (en) 2004-02-04 2010-05-18 Netapp, Inc. Method and system for browsing objects on a protected volume in a continuous data protection system
US7783606B2 (en) 2004-02-04 2010-08-24 Netapp, Inc. Method and system for remote data recovery
US7904679B2 (en) 2004-02-04 2011-03-08 Netapp, Inc. Method and apparatus for managing backup data
US7315965B2 (en) 2004-02-04 2008-01-01 Network Appliance, Inc. Method and system for storing data using a continuous data protection system
CA2537299C (en) 2004-02-05 2011-03-22 Research In Motion Limited On-chip storage, creation, and manipulation of an encryption key
EP1714414A2 (de) * 2004-02-09 2006-10-25 Michael Arnouse Login-sicherheitseinrichtung
EP1587037A1 (de) * 2004-03-16 2005-10-19 Infineon Technologies AG Verfahren und System für Datenspeicherung und Datenzugriff
FR2869435B1 (fr) * 2004-04-23 2006-08-04 Gred Sa Systeme de generation automatique d'un message d'informations medicales
US20060074718A1 (en) * 2004-05-20 2006-04-06 Idexx Laboratories, Inc. Portable veterinary medical record apparatus and method of use
CN1954345B (zh) 2004-05-28 2012-11-21 国际商业机器公司 智能卡数据事务系统以及用于提供存储和传输安全的方法
CA2574885A1 (en) * 2004-07-23 2006-02-02 Privit, Inc. Privacy compliant consent and data access management system and method
KR100636163B1 (ko) * 2004-08-27 2006-10-18 삼성전자주식회사 댁내에서 컨텐츠를 송수신하는 시스템
US8028135B1 (en) 2004-09-01 2011-09-27 Netapp, Inc. Method and apparatus for maintaining compliant storage
US8056123B2 (en) * 2004-09-30 2011-11-08 International Business Machines Corporation Method, apparatus and program storage device for providing service access control for a user interface
US20080271161A1 (en) * 2004-11-23 2008-10-30 Koninklijke Philips Electronics N.V. Method and Apparatus for Transferring a Data Carrier of a First System to a Second System
US7581118B2 (en) * 2004-12-14 2009-08-25 Netapp, Inc. Disk sanitization using encryption
US7774610B2 (en) 2004-12-14 2010-08-10 Netapp, Inc. Method and apparatus for verifiably migrating WORM data
US20060136717A1 (en) 2004-12-20 2006-06-22 Mark Buer System and method for authentication via a proximate device
US8640259B2 (en) * 2005-01-20 2014-01-28 The Invention Science Fund I, Llc Notarizable electronic paper
US8251904B2 (en) 2005-06-09 2012-08-28 Roche Diagnostics Operations, Inc. Device and method for insulin dosing
US20060293925A1 (en) * 2005-06-22 2006-12-28 Leonard Flom System for storing medical records accessed using patient biometrics
US7661146B2 (en) * 2005-07-01 2010-02-09 Privamed, Inc. Method and system for providing a secure multi-user portable database
WO2007038741A2 (en) 2005-09-29 2007-04-05 Mediscan Systems, Llc. Medical and personal data retrieval system
US8874477B2 (en) 2005-10-04 2014-10-28 Steven Mark Hoffberg Multifactorial optimization system and method
US7752401B2 (en) 2006-01-25 2010-07-06 Netapp, Inc. Method and apparatus to automatically commit files to WORM status
JP4770494B2 (ja) * 2006-02-03 2011-09-14 株式会社日立製作所 暗号通信方法およびシステム
US7933472B1 (en) * 2006-04-26 2011-04-26 Datcard Systems, Inc. System for remotely generating and distributing DICOM-compliant media volumes
US7992002B2 (en) * 2006-07-07 2011-08-02 Hewlett-Packard Development Company, L.P. Data depository and associated methodology providing secure access pursuant to compliance standard conformity
US20080201173A1 (en) * 2006-12-05 2008-08-21 Toyohiro Takehara Methods for delivering a drug to a patient while restricting access to the drug by patients for whom the drug may be contraindicated
US20080154775A1 (en) * 2006-12-22 2008-06-26 Nortel Networks Limited Re-encrypting encrypted content on a video-on-demand system
US20080195824A1 (en) * 2007-02-09 2008-08-14 Microsoft Corporation Context sensitive caching on removable storage
JP4360422B2 (ja) * 2007-05-15 2009-11-11 フェリカネットワークス株式会社 認証情報管理システム、認証情報管理サーバ、認証情報管理方法及びプログラム
EP2223228A4 (de) * 2007-10-23 2011-06-22 Viaclix Inc System für multimedia-administration, -werbung und inhalt und dienste
US20090164804A1 (en) * 2007-12-25 2009-06-25 Sandisk Il Ltd. Secured storage device
KR100981419B1 (ko) * 2008-01-31 2010-09-10 주식회사 팬택 디지털 권한 관리를 위한 사용자 도메인 가입방법 및 그정보 교환 방법
US7860793B2 (en) * 2008-04-02 2010-12-28 Microsoft Corporation Smart secure storage
US20110166876A1 (en) * 2008-04-25 2011-07-07 Celgene Corporation Methods for delivering a drug to a patient while restricting access to the drug by patients for whom the drug may be contraindicated
WO2010022402A1 (en) * 2008-08-22 2010-02-25 Datcard Systems, Inc. System and method of encryption for dicom volumes
WO2010048531A1 (en) 2008-10-24 2010-04-29 Datcard Systems, Inc. System and methods for metadata management in content addressable storage
US20100332260A1 (en) * 2008-11-05 2010-12-30 Kassas George I Personal record system with centralized data storage and distributed record generation and access
US8060453B2 (en) 2008-12-31 2011-11-15 Pitney Bowes Inc. System and method for funds recovery from an integrated postal security device
RU2479307C1 (ru) 2009-05-19 2013-04-20 Селджин Корпорейшн Композиция 4-амино-2-(2,6-диоксопиперидин-3-ил)изоиндолин-1,3-диона
US8407244B2 (en) 2010-04-23 2013-03-26 Datcard Systems, Inc. Management of virtual packages of medical data in interconnected content-addressable storage systems
AU2011101729A4 (en) * 2010-07-01 2013-02-28 Cyberpoint Pty Ltd Accessing information
WO2012078898A2 (en) 2010-12-10 2012-06-14 Datcard Systems, Inc. Secure portable medical information access systems and methods related thereto
EP3182996B1 (de) 2014-08-22 2022-12-28 Celgene Corporation Verfahren zur behandlung von multiplem myelom mit immunmodulatorischen verbindungen in kombination mit antikörpern
US10580521B1 (en) 2015-07-22 2020-03-03 Medris, LLC Emergency information and identification device and method
US10093647B1 (en) 2017-05-26 2018-10-09 Celgene Corporation Crystalline 4-amino-2-(2,6-dioxopiperidine-3-yl)isoindoline-1,3-dione dihydrate, compositions and methods of use thereof
US10093648B1 (en) 2017-09-22 2018-10-09 Celgene Corporation Crystalline 4-amino-2-(2,6-dioxopiperidine-3-yl)isoindoline-1,3-dione hemihydrate, compositions and methods of use thereof
US10093649B1 (en) 2017-09-22 2018-10-09 Celgene Corporation Crystalline 4-amino-2-(2,6-dioxopiperidine-3-yl)isoindoline-1,3-dione monohydrate, compositions and methods of use thereof
US11556665B2 (en) 2019-12-08 2023-01-17 Western Digital Technologies, Inc. Unlocking a data storage device
US11366933B2 (en) 2019-12-08 2022-06-21 Western Digital Technologies, Inc. Multi-device unlocking of a data storage device
US11831752B2 (en) 2020-01-09 2023-11-28 Western Digital Technologies, Inc. Initializing a data storage device with a manager device
US11469885B2 (en) 2020-01-09 2022-10-11 Western Digital Technologies, Inc. Remote grant of access to locked data storage device
US11265152B2 (en) 2020-01-09 2022-03-01 Western Digital Technologies, Inc. Enrolment of pre-authorized device
US11606206B2 (en) 2020-01-09 2023-03-14 Western Digital Technologies, Inc. Recovery key for unlocking a data storage device
US11334677B2 (en) * 2020-01-09 2022-05-17 Western Digital Technologies, Inc. Multi-role unlocking of a data storage device

Family Cites Families (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4236332A (en) * 1978-12-29 1980-12-02 Melchior P. Beller Medical history card
US4318554A (en) * 1979-09-10 1982-03-09 Microseal Corporation Combined medical and/or informational identification credit card
US4503135A (en) * 1981-02-27 1985-03-05 Drexler Technology Corporation Medium for recording visual images and laser written data
US4438824A (en) * 1981-04-22 1984-03-27 Siemens Corporation Apparatus and method for cryptographic identity verification
EP0085130A1 (de) * 1982-02-02 1983-08-10 Omnet Associates Verfahren und Einrichtung zur Aufrechterhaltung der Geheimhaltung von durch öffentliche Übertragung übermittelten Nachrichten
US4926480A (en) * 1983-08-22 1990-05-15 David Chaum Card-computer moderated systems
US4648189A (en) * 1985-01-18 1987-03-10 Data Medi-Card, Inc. Laminated medical data card
US4707592A (en) * 1985-10-07 1987-11-17 Ware Paul N Personal universal identity card system for failsafe interactive financial transactions
NL8503410A (nl) * 1985-12-11 1987-07-01 Philips Nv Inrichting voor het overdragen van informatie tussen een elektronische geheugenkaart en een dataverwerkende eenheid.
US4632428A (en) * 1986-12-29 1986-12-30 Brown Steven P Combination medical data, identification and health insurance card
JP2556501B2 (ja) * 1987-02-09 1996-11-20 株式会社日立製作所 運転免許証カ−ドシステム
US4868376A (en) * 1987-05-15 1989-09-19 Smartcard International Inc. Intelligent portable interactive personal data system
US4995081A (en) * 1988-03-21 1991-02-19 Leighton Frank T Method and system for personal identification using proofs of legitimacy
JPH022475A (ja) * 1988-06-15 1990-01-08 Omron Tateisi Electron Co Ｉｃカード
US5191611A (en) * 1989-04-03 1993-03-02 Lang Gerald S Method and apparatus for protecting material on storage media and for transferring material on storage media to various recipients
EP0393660B1 (de) * 1989-04-20 1994-02-09 Kabushiki Kaisha Toshiba Gerät zur Beschränkung der berechtigten Fahrer eines Fahrzeugs
US5291399A (en) * 1990-07-27 1994-03-01 Executone Information Systems, Inc. Method and apparatus for accessing a portable personal database as for a hospital environment
US5224163A (en) * 1990-09-28 1993-06-29 Digital Equipment Corporation Method for delegating authorization from one entity to another through the use of session encryption keys
US5301105A (en) * 1991-04-08 1994-04-05 Desmond D. Cummings All care health management system
FR2680258B1 (fr) * 1991-08-07 1997-01-10 Eric Ballet Systeme de cartes medicales magnetiques ou a microprocesseur avec lecteur a double introduction.
US5332890A (en) * 1991-08-08 1994-07-26 Olympus Optical Co., Ltd. Hybrid card and its recording/reproducing apparatus
US5197763A (en) * 1992-01-10 1993-03-30 Whalen Thomas E Biomedical information card and method of making
WO1993020538A1 (en) * 1992-03-30 1993-10-14 Telstra Corporation Limited A cryptographic communications method and system
US5276735A (en) * 1992-04-17 1994-01-04 Secure Computing Corporation Data enclave and trusted path system
US5325294A (en) * 1992-06-29 1994-06-28 Keene Sharon A Medical privacy system
US5215334A (en) * 1992-07-23 1993-06-01 Presson Ronald C Emergency medical card
US5267314A (en) * 1992-11-17 1993-11-30 Leon Stambler Secure transaction system and method utilized therein
NL9301348A (nl) * 1993-08-02 1995-03-01 Stefanus Alfonsus Brands Elektronisch betalingssysteem.
IL110891A (en) * 1993-09-14 1999-03-12 Spyrus System and method for controlling access to data
US5526428A (en) * 1993-12-29 1996-06-11 International Business Machines Corporation Access control apparatus and method
IL111151A (en) * 1994-10-03 1998-09-24 News Datacom Ltd Secure access systems
US5495533A (en) * 1994-04-29 1996-02-27 International Business Machines Corporation Personal key archive
CA2125300C (en) * 1994-05-11 1999-10-12 Douglas J. Ballantyne Method and apparatus for the electronic distribution of medical information and patient services
US5629508A (en) * 1994-12-02 1997-05-13 American Card Technology, Inc. Dual smart card access control electronic data storage and retrieval system and methods
US5499293A (en) * 1995-01-24 1996-03-12 University Of Maryland Privacy protected information medium using a data compression method
FR2731815B1 (fr) * 1995-03-14 1997-05-30 Giat Ind Sa Systeme de traitement de donnees medicales relatives a des patients
US5659741A (en) * 1995-03-29 1997-08-19 Stuart S. Bowie Computer system and method for storing medical histories using a carrying size card
DE19629856A1 (de) * 1996-07-24 1998-01-29 Ibm Verfahren und System zum sicheren Übertragen und Speichern von schützbaren Informationen

Also Published As

Publication number Publication date
EP0869460B1 (de) 2003-06-18
CA2231082A1 (en) 1998-09-04
DE69815575D1 (de) 2003-07-24
US6131090A (en) 2000-10-10
EP0869460A2 (de) 1998-10-07
CA2231082C (en) 2004-08-17
EP0869460A3 (de) 1999-11-03

Similar Documents

Publication Publication Date Title
DE69815575T2 (de) Verfahren und Vorrichtung zur Speicherung von Daten und Steuerung des Zugriffs dazu
DE60023705T2 (de) Sichere verteilung und schutz einer schlüsselinformation
EP0063794B1 (de) Gerät und Verfahren zur Identitätsüberprüfung
DE60306844T2 (de) Methode und System zur Datenaktualisierung
DE69731338T2 (de) Verfahren und System zum sicheren Übertragen und Speichern von geschützter Information
DE69435079T2 (de) Chipkarte für eine Vielzahl von Dienstleistungsanbietern und für entfernte Aufstellung derselben
DE60117598T2 (de) Sichere transaktionen mit passiven speichermedien
DE60028778T2 (de) Verfahren zur erhaltung und verteilung von individuellen sicherungseinrichtungen
DE10124111B4 (de) System und Verfahren für verteilte Gruppenverwaltung
DE60036424T2 (de) Verfahren und Vorrichtung zur Verschlüsselung/Entschlüsselung sowie Identifikationssysteme
DE60006041T2 (de) Verfahren zur überprüfung der benützung von öffentlichen schlüsseln welche von einem geladenen system generiert werden
DE69635868T2 (de) Verfahren und vorrichtung zum kryptographisch gesteuerten betrieb eines zusatzgeräts
DE60021465T2 (de) Sicherheitsverwaltungssystem, Datenverteilungsvorrichtung und tragbares Terminalgerät
DE69628789T2 (de) System und Verfahren zur Schlüsselverteilung und zur Authentifizierung zwischen einem Host-Prozessor und einer tragbaren Vorrichtung
US20050043964A1 (en) Data processing system for patent data
DE102004025084A1 (de) Personen-Authentifizierungs-Vorrichtung und Personen-Authentifizierungs-System und Personen-Authentifizierungs-Verfahren
DE19824787C2 (de) Verfahren zum abgesicherten Zugriff auf Daten in einem Netzwerk
EP2409255A1 (de) Verfahren zur erzeugung von asymmetrischen kryptografischen schlüsselpaaren
EP1706957B1 (de) Biometrische authentisierung
DE60023426T2 (de) Elektronisches Authentifizierungssystem
DE10156877A1 (de) Verfahren und System zum gesicherten Speichern und Auslesen von Nutzdaten
EP1864196B1 (de) Lesegerät mit integrierter kryptographieeinheit
DE10209780B4 (de) Datenverarbeitungssystem für Patientendaten
DE10307996B4 (de) Verfahren zum Ver- und Entschlüsseln von Daten durch verschiedene Nutzer
EP1650630B1 (de) Computersystem und Verfahren zur Speicherung von Daten

Legal Events

Date Code Title Description
8364 No opposition during term of opposition