DE69435066T2

DE69435066T2 - Verfahren zur Verhinderung des unabsichtlichen Verrats des gespeicherten digitalen Geheimnisses durch einen Treuhänder

Info

Publication number: DE69435066T2
Application number: DE69435066T
Authority: DE
Inventors: Addison M. Naples Fischer
Original assignee: Individual
Current assignee: Individual
Priority date: 1993-10-04
Filing date: 1994-05-12
Publication date: 2009-01-08
Anticipated expiration: 2014-05-13
Also published as: ATE384289T1; EP0647895A1; AU5782594A; EP0647895B1; AU674560B2; US6216229B1; JPH08171535A; CA2120667C; CA2120667A1; DE69435066D1; US6141423A; US5436972A

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft im Großen und Ganzen Computerdatensicherheit. Insbesondere betrifft die Erfindung ein Verfahren und eine Vorrichtung zum Verhindern, dass eine Vertrauensperson, die eine treuhänderisch hinterlegte Sicherheitsinformation hält, die Information an jemanden anderen als eine Person herausgibt, die berechtigt ist, eine derartige Information zu erhalten.
HINTERGRUND UND ZUSAMMENFASSUNG DER ERFINDUNG
Bei modernen Computersystemen, insbesondere solchen, die einen PC oder Laptop-Computer verwenden, ist es üblich, dass die in zum Beispiel Plattenspeichern gespeicherten Daten verschlüsselt werden. Das bietet dem Benutzer einen großen Schutz dagegen, dass die gespeicherten Daten von einem Dieb entdeckbar sind – selbst wenn der Computer gestohlen wird.
Typischerweise ist die derart gespeicherte Information mit einem Schlüssel verschlüsselt, der auf eine gewisse Weise von einem Passwort abgeleitet wird, das nur dem Benutzer bekannt ist. Das Passwort ist über gut bekannte kryptographische Verarbeitungstechniken in einen kryptographischen Schlüssel konvertiert, der verwendet wird, um alle Informationen, die in dem Computer gespeichert sind, zu entschlüsseln (und dadurch darauf zuzugreifen).
Insbesondere, wenn sensitive Daten gespeichert werden, zwingen die meisten Standardsicherheitspraktiken Benutzer, Passwörter nicht aufzuzeichnen – aus Furcht, dass sie von einem Gegner entdeckt werden. Da die in dem Computer gespeicherten Daten nur in ihrer verschlüsselten Form vorhanden sind, sind sie ohne Kenntnis des Passworts in Wirklichkeit unzugänglich. Dementsprechend wird ein erhebliches Problem erzeugt, wenn der Benutzer das Passwort vergisst.
In der Praxis vergessen Benutzer von Zeit zu Zeit ihre Passwörter. Das Problem ist mit der Möglichkeit verbunden, dass ein verstimmter Arbeitnehmer sich weigern könnte, das Passwort für einen Firmencomputer, der zuvor dem Arbeitnehmer zugewiesen wurde, anzugeben, oder "es vergessen könnte".
Eine versuchte Lösung für dieses Problem ist es, das Passwort (oder irgendeine andere Schlüsselinformation, die mit der Verschlüsselung verbunden ist) bei einer Vertrauensperson "treuhänderisch zu hinterlegen", d. h. einer vertrauenswürdigen Rechtspersönlichkeit, wie zum Beispiel einem Computersoftware-Sicherheitsoffizier in der Organisation des Benutzers. Der Benutzer kann den öffentlichen Schlüssel der Vertrauensperson verwenden, um die Sicherheitsinformationen zu verschlüsseln und zum Beispiel mit der Vertrauensperson, mit einer dritten Person oder mit dem geschützten Computer selber zu speichern. Auf diese Weise könnte der Vertrauensperson im Notfall der sich ergebene treuhänderisch hinterlegte Verschlüsselungstext gegeben werden und sie könnten ihren privaten Schlüssel verwenden, um das treuhänderisch hinterlegte Geheimnis zu entschlüsseln und abzurufen.
Wenn der Benutzer dem Treuhänder gut bekannt ist, ist das Verfahren, die Sicherheitsinformationen abzurufen, relativ einfach. Der bekannte Benutzer gibt die treuhänderisch hinterlegte Informationen (möglicherweise mit dem gesamten Computer) der Vertrauensperson, die dann die treu händerisch hinterlegten Informationen mit dem privaten Schlüssel der Vertrauensperson (der anderen Hälfte des öffentlichen/privaten Schlüsselpaars, die dem öffentlichen Verschlüsselungsschlüssel der Vertrauensperson zugeordnet ist) abruft, um die geheime Information des Benutzers zu entschlüsseln. Der Benutzer kann mit einem Programm ausgestattet werden, um die treuhänderisch hinterlegten Informationen zu extrahieren, die der Vertrauensperson weiterzuleiten sind. Wenn nur die Vertrauensperson Zugriff auf den privaten Verschlüsselungsschlüssel hat, werden die treuhänderisch hinterlegten Informationen nicht durch das Speichern der treuhänderisch hinterlegten Informationen in dem Computer des Benutzers in Frage gestellt.
Die vorliegende Erfindung richtet sich an die Gefahr, dass die Vertrauensperson dazu gebracht werden könnte, treuhänderisch hinterlegten Informationen jemanden anderen als dem legitimierten Benutzer (oder einer anderen, Person, die berechtigt ist, die treuhänderisch hinterlegten Informationen zu empfangen) preiszugeben. Zum Beispiel könnte ein Dieb einen gestohlenen Computer der Vertrauensperson zeigen und behaupten, dass es sein eigener ist.
In der Praxis ist es für Verkäufer von Computerdatenverschlüsselungs-Produkten nicht unüblich, gefragt zu werden, Benutzern zu helfen, die behaupten, dass sie ihr Passwort vergessen oder anderweitig verloren haben. Im Gegensatz dazu, welche Warnungen auch immer gemacht werden, erwarten Benutzer, dass Verkäufer helfen, ihre gespeicherten Informationen wiederherzustellen. Wenn ein Verkäufer einem Benutzer nicht helfen kann oder will, aufgrund zum Beispiel der Furcht vor der Haftung für das Preisgeben sensitiver Information an einen Dieb, wird ein gutgläubiger Benutzer typischerweise irritiert werden. Das Risiko für den Verkäufer besteht darin, dass der angebliche Benutzer nicht tatsächlich der wahre Eigentümer der sensitiven Daten sein kann, sondern ein Gegner des wahren Eigentümers – zum Beispiel jemand, für den das Zugriffsgeben auf den Computer den wahren Eigentümer möglicherweise erheblich schädigen könnte. Dementsprechend kann der Verkäufer dem Dilemma gegenüberstehen, ob er beim "Wiederhervorholen" eines verlorenen Schlüssels für einen oft verzweifelten Kunden helfen soll oder nicht.
Die WO-A-9201961 beschreibt ein Verfahren zur Dokument-Authentifizierung, bei dem ein Dokument von vielen Parteien ausgetauscht und modifiziert wird, bis sich alle Parteien auf eine endgültige Version einigen. Die US-A-5214702 und die US-A-4386233 beschreiben das digitale Signieren von öffentlichen Schlüsseln.
Ein Artikel von Bruno Struif mit dem Titel "The Use of Chipcards for Electronic Signatures and Encryption", 1989, IEEE Computer Soc. Press, USA, offenbart ein Verfahren zum Übertragen vertraulicher Informationen von einem Sender zu einem Empfänger unter Verwendung des RSA-Algorithmus.
Die vorliegende Erfindung ist in den unabhängigen Ansprüchen definiert, auf die nun Bezug genommen werden sollte. Bevorzugte Merkmale sind in den abhängigen Ansprüchen angegeben.
Bei Ausführungen gemäß der vorliegenden Erfindung können verschiedene alternative binäre Daten-Strings treuhänderisch hinterlegt werden. Ein Passwort, das verwendet wird, um einen symmetrischen DES-Schlüssel abzuleiten, der verwendet wird, um das Geheimnis des Benutzers zu verschlüsseln, kann treuhänderisch hinterlegt werden. In seinem breitesten Sinne erwägt die vorliegende Erfindung, irgendeine geheime digitale Information treuhänderisch zu hinterlegen, die willentlich in die Hände von einem Treuhänder gelegt wird (zum Beispiel eine Kontonummer einer Schweizer Bank, identifizierende Kennzeichnungen für eine Sicherheitshinterlegung, Safe-Kombinationen, das Rezept für Coca Cola^® oder dergleichen. Die vorliegende Erfindung ermöglicht es einem Benutzer, derartige Daten kryptographisch zu sichern und es einem Hersteller, Verkäufer oder anderem Treuhänder (Vertrauensperson) sicher zu ermöglichen, es dem Benutzer zu erlauben, auf Daten unter Umständen zuzugreifen, wo das Passwort vergessen worden ist oder verloren wurde.
Die vorliegende Erfindung ist ausgelegt, um das Risiko eines vertrauenswürdigen Treuhänders (z. B. Verkäufers) für einen möglichen unbeabsichtigten Betrug zu reduzieren, wenn nicht sogar auszuräumen, während das Ziel des Treuhänders, Sicherheit zu gewähren, mit optionaler Wiederauffindbarkeit auszubalancieren – sogar, wenn der wahre Eigentümer/Kunde vorher dem Verkäufer unbekannt war. Die vorliegende Erfindung schafft erhebliche Sicherheit für sowohl den Benutzer als auch die Vertrauensperson, dass das delegierte Vertrauen nicht missbraucht wird, wenn die Vertrauensperson beim Wiederaktivieren eines verlorenen Schlüssels oder Passworts hilft.
Die vorliegende Erfindung erfüllt diese Aufgaben unter Verwendung einer Methodologie, die eine freiwillige Identifikation/Definitionsphase einsetzt, die zum Beispiel kurz, nachdem ein Computer verkauft wird, durchgeführt wird, und eine Wiederherstellungsphase für die geheime Information. Bei der Definitionsphase definiert der wahre Eigentümer/Kunde eine treuhänderisch hinterlegte Aufzeichnung, die Daten zur Selbstidentifikation zusammen mit einem verschlüsselten Passwort oder anderen geheimen Daten bereitstellt. Die vorliegende Erfindung erwägt, einen Benutzer aufzufordern, freiwillig das Passwort oder andere geheime Informationen für ein späteres Wiederherstellen durch Eingeben einer Reihe von Informationen treuhänderisch zu hinterlegen, die ihn oder sie selbst eindeutig beschreiben. Die Identifikationshinweise werden mit den geheimen Informationen kombiniert (wie zum Beispiel dem Verschlüsselungs-Passwort des Benutzers), und werden dann unter der Kontrolle des öffentlichen Schlüssels der Vertrauensperson verschlüsselt. Es gibt viele Wege, das zu machen, und die Beispiele hierin sind demonstrativ und nicht abschließend. Zum Beispiel können die kombinierten Informationen unter einem zufälligen symmetrischen Schlüssel (zum Beispiel DES) verschlüsselt werden, der dann unter dem öffentlichen Schlüssel der Vertrauensperson verschlüsselt wird.
Bei einer Ausführung der Erfindung wird der Benutzer, nachdem eindeutige Identifikationsdaten eingegeben wurden, gefragt, ein Passwort auszuwählen, um das System zu schützen. Danach werden alle die persönlichen Identifikationsdaten zusammen mit dem Passwort mit dem öffentlichen Schlüssel des Herstellers (der Vertrauensperson) verschlüsselt und zum Beispiel in dem Computer des Benutzers als eine treuhänderisch hinterlegte Sicherheitsaufzeichnung gespeichert. Das Passwort wird dann verwendet, um alle Daten auf der Platte des Benutzers zu verschlüsseln.
Wenn zu irgendeinem Zeitpunkt in der Zukunft der Benutzer das Passwort vergisst, wird die Wiedergewinnungsphase der Erfindung des Anmelders durchgeführt. Unter derartigen Umständen kontaktiert der Benutzer den Treuhänder, zum Beispiel den Verkäufer oder Hersteller. Gemäß einer Ausführung der Erfindung muss der Benutzer (Anmelder) hinreichende Referenzen vorlegen, um seine oder ihre Identifikation definitiv zu machen. Das könnte die Form einer eidesstattlichen Versicherung annehmen, die vor einem öffentlichen Notar ausgeführt wird. Es könnte geschehen, indem eine digital signierte Nachricht verwendet wird, die mit einem gut zertifizierten öffentlichen Schlüssel (oder dem öffentlichen Schlüssel, der in den treuhänderisch hinterlegten Informationen selber hinterlegt ist) verifizierbar ist. Es könnte die Vorlage einer Fahrerlaubnis erfordern, unabhängig von den Untersuchungen der Vertrauensperson; oder die physikalische Anwesenheit des Anmelders, um seine Identität zu bestätigen. Gemäß einer Ausführung der vorliegenden Erfindung wird der Benutzer, der anfänglich die treuhänderisch hinterlegte Aufzeichnung bildet, aufgefordert, dem Verkäufer zu definieren, welche Sicherheitsmaßnahmen zu fordern sind, wenn der Schlüssel (oder eine andere geheime Information) irgendwann einmal zurückgewonnen werden muss, wie zum Beispiel beim Erfordern der Identifikation, die vor einem Notar durchgeführt wird, einem persönlichen Erscheinen, das Vorlegen einer gültigen Fahrerlaubnis, usw.. Das gestattet es dem wahren Eigentümer, Wiederherstellungsverfahren zu fordern.
Um das treuhänderisch hinterlegte Geheimnis abzurufen, muss (müssen) die Vertrauensperson(en) sowohl die verschlüsselte treuhänderisch hinterlegte Informationen als auch die Referenzen des Benutzers haben. Die Reihenfolge, in der dieses der Vertrauensperson präsentiert wird, kann in Abhängigkeit von der speziellen Ausführung variieren. Zum Beispiel nimmt man bei dem Modell, bei dem die Vertrauensperson (oder irgendeine andere dritte Person) die die treuhänderisch hinterlegten Informationen speichert, an, dass es für den Benutzer leicht ist, die treuhänderisch hinterlegten Informationen zu extrahieren (sagen wir zu der Zeit, in der sie erzeugt wurden) und sie der Vertrauensperson zu übermitteln. Beim anderen Modell, wo zum Beispiel die Vertrauensperson ein Verkäufer ist, der den Schlüsselwiederherstellservice bereitstellt, kann es bevorzugt sein, dass der Benutzer nur den treuhänderisch hinterlegten Geheimtext mit der Hilfe eines Hilfsprogramms extrahieren kann, das von dem Verkäufer bereitgestellt wird (auf eine Anfrage des Anwenders). Dieses Hilfsprogramm könnte dem Anmelder nur bereitgestellt werden, nachdem die Identität des Anmelders bestätigt ist (sogar bevor sie mit der treuhänderisch hinterlegten Identifikation abgestimmt ist). Bei dem Extremmodell könnte man sogar fordern, dass der Vertrauensperson physikalischer Zugang (oder sogar Besitz) der Ausrüstung gegeben wird, bevor der Schlüssel extrahiert wird. Diese letztere Anforderung könnte die Rückgabe der Ausrüstung an dem rechtmäßigen Eigentümer durch die Vertrauensperson erleichtern. Sobald die Vertrauensperson die treuhänderisch hinterlegte Aufzeichnung bekommt, entschlüsselt die Vertrauensperson die treuhänderisch hinterlegten Informationen und vergleicht die Referenzen des Anmelders mit der Identifikation, die von dem wahren Besitzer der treuhänderisch hinterlegten Information verlangt wird. Die Vertrauensperson verwendet den dokumentarischen Beweis, der von dem behaupteten legitimen Benutzer vorgelegt wird, und bestimmt, ob ein derartiger Beweis mit den zuvor verschlüsselten treuhänderisch hinterlegten Informationen übereinstimmt, die in der treuhänderisch hinterlegten Aufzeichnung gespeichert sind, die von dem Benutzer erzeugt ist. Wenn sie übereinstimmen, hat die Vertrauensperson Vertrauen, dass der wahre Eigentümer die Anfrage macht, und dass das Preisgeben des geheimen Schlüssels nicht die Interessen des Eigentümers verraten wird und die Vertrauensperson nicht einer möglichen rechtlichen Klage auszusetzen unterwerfen wird.
Es kann sein, dass die Referenzen des Anmelders zweideutig sind – in der Hinsicht, dass sie den Anmelder (zu) bestätigen (scheinen), aber nicht zu dem Maß an geforderter Sicherheit – sie unter das Maß an von der Vertrauensperson geforderten Sicherheit fallen oder vielleicht nicht alle Anforderungen erfüllen, die anfänglich von dem wahren Eigentümer zu der Zeit eingestellt oder gefordert wurden, als das Geheimnis und die Identifikation treuhänderisch hinterlegt wurden.
Wenn die beiden nicht übereinstimmen, dann kann die Vertrauensperson alles machen, was angemessen scheint, einschließlich des Ermitteln des wahren Eigentümers auf der Basis der in den treuhänderisch hinterlegten Informationen eingebetteten Identifikation und des ihn Informierens über die versuchte Imitierung; des Versuchens, die offensichtlich gestohlenen Computer mit der Intention zu erhalten, ihn an den wahren Eigentümer zurückzugeben; des Informierens der Polizei oder anderer Autoritäten über die vermutete Straftat; oder des Feststellens, dass der Anmelder, obwohl er nicht der wahre Eigentümer ist, tatsächlich das Recht auf den gültigen Zugriff haben kann (vielleicht aufgrund der Tatsache, dass er der Arbeitgeber ist). In diesem Fall würde der Anmelder die Vertrauensperson so informiert haben und hinreichende zusätzliche Referenzen präsentiert haben.
Verschiedene Ausführungen können feststellen, welche, wenn überhaupt, der verschiedenen Identifikationstatsachen in den treuhänderisch hinterlegten Informationen erscheinen können, abgesehen von dem verschlüsselten Abschnitt, und wie stark in dem verschlüsselten Abschnitt. Es kann wünschenswert sein, alle Information von den identifizierenden Informationen zu verschlüsseln. Auf diese Weise wird ein Angreifer weniger Hinweise haben, mit dem er die Nachahmung versucht. Andererseits, wenn einige der (harmloseren) Informationen in der treuhänderisch hinterlegten Aufzeichnung im Klartext gespeichert würden, würde dies einem guten Samariter ermöglichen, den rechtmäßigen Eigentümer der Ausrüstung zu kennen, in dem Fall eines Verlustes.
Die obigen und weitere Merkmale und Vorteile der Erfindung und die Weise, sie zu realisieren, werden aus einem Studium der folgenden detaillierten Beschreibung und den beigefügten Ansprüchen mit Bezug auf die beigefügten Zeichnungen, die einige Ausführungsbeispiele der Erfindung zeigen, klarer, und die Erfindung selber wird daraus besser verstanden.
KURZBESCHREIBUNG DER ZEICHNUNGEN
1 zeigt ein beispielhaftes Kommunikationssystem in Blockdiagrammform, mit dem die vorliegende Erfindung ausgeführt werden kann.
2 zeigt beispielhaft die treuhänderisch hinterlegten "Standard"-Identifizierinformationen, die von einem Benutzer gesammelt werden;
3 zeigt beispielhafte "private" Identifizierinformationsdaten, die das private Wissen wiedergeben, über das der Benutzer später zusammen mit anderen Instruktionen oder Informationen oder Weisungen für die Vertrauensperson gefragt werden kann;
4 zeigt eine Datenstruktur, die eine beispielhafte treuhänderisch hinterlegte Aufzeichnung darstellt;
5 zeigt ein Flussdiagramm, das die Abfolge von Operationen beschreibt, die bei der Identifikations- oder Definitionsphase des Benutzers gemäß einem Ausfüh rungsbeispiel der vorliegenden Erfindung beteiligt sind; und
6 zeigt ein Flussdiagramm, das eine beispielhafte Abfolge von Operationen beschreibt, die durchgeführt werden, wenn ein Anwender versucht, die treuhänderisch hinterlegten geheimen Informationen wiederzugewinnen.
DETAILLIERTE BESCHREIBUNG DER ZEICHNUNGEN
1 zeigt ein beispielhaftes Kommunikationssystem in Blockdiagrammform, mit dem die vorliegende Erfindung ausgeführt werden kann. Das System kann einen Kommunikationskanal 12 umfassen, der zum Beispiel eine Telefonleitung oder ein anderer unsicherer Kanal sein kann, über den Kommunikation zwischen den Terminals A, B, ... stattfindet. Bei dem in 1 gezeigten beispielhaften System stellt Terminal A ein Datenverarbeitungssystem dar, das von dem Treuhänder/der Vertrauensperson/dem Verkäufer verwendet wird. Die Terminals B bis N stellen Benutzer-basierte Computerterminals dar, wobei die legitimen Eigentümer davon den Verkäufer verwenden, um Passwörter/geheime Informationen gemäß der unten beschriebenen Methodologie treuhänderisch zu hinterlegen.
Die Terminals A, B ... N können nur beispielhaft jeweils einen IBM-PC-kompatiblen Prozessor mit einem Hauptspeicher 2 umfassen, der an eine konventionelle Tastatur/CRT-Anzeige 4 angeschlossen ist. Das Datenverarbeitungssystem des Verkäufers (Terminal A) umfasst zusätzlich eine Speichervorrichtung 5 für einen geheimen privaten Schlüssel, um zumindest die private Hälfte eines Paares aus öffentlichen/privaten Schlüssel zu speichern. Die Inhalte der Speichervorrichtung 5 sind nur für das Prozessormodul 2 zu greifbar. Der Prozessor 2 gewinnt treuhänderisch hinterlegte Informationen in Klartext wieder, indem der treuhänderisch hinterlegte Geheimtext mit dem privaten Schlüssel entschlüsselt wird, der in dem Speicher 5 für die privaten Schlüssel gespeichert ist. Der Prozessor 2 kann ein sicherer Prozessor sein, der empfindlich gegenüber physikalischer Manipulation von einem nicht-authorisierten Arbeitnehmer oder Dieb ist, um die Möglichkeit der Infizierung mit einem trojanischen Pferd oder einem anderen Virus zu vermindern. Die Speichervorrichtung 5 ist vorzugsweise ein Nur-Lese-Speicher (ROM) (der als ein Programmspeicher für das Prozessormodul 2 verwendet werden kann), der hinreichend sicher ist, derart, dass Arbeitnehmer des Verkäufers nicht fähig sind, die Inhalte der Speichervorrichtung festzustellen, d. h. den privaten Schlüssel. Die Speichervorrichtung 5 kann, wenn gewünscht, in dem Prozessormodul 2 verkörpert sein.
Eine treuhänderisch hinterlegte Aufzeichnung, die Benutzerpasswörter und/oder andere geheime Informationen enthält, ist auch in dem Terminal A des Treuhänders gespeichert (entweder sofort nach der Erzeugung oder während des Passwort-Wiedergewinnungsverfahrens), wie es unten erläutert werden wird. Jedes gewünschte Verfahren, das Passwort sicher zu speichern, kann eingesetzt werden.
Die Terminals A, B ... N umfassen auch eine herkömmliche IBM-Kommunikationskarte (nicht gezeigt), die, wenn sie an ein herkömmliches Modem 6, 8 bzw. 10 angeschlossen ist, Nachrichtenübertragung und -empfang erlaubt. Jedes Terminal ist fähig, eine Nachricht zu erzeugen, und welche kryptographischen und Datenverarbeitungsoperationen auch immer gefordert werden können, durchzuführen. Das Terminal A des Verkäufers ist als an einen Kommunikationskanal 12 angeschlossen gezeigt, um treuhänderisch hinterlegte Informationen von Benutzern zu empfangen. Jedoch ist es nicht notwendig, dass Kommunikationen zwischen dem Benutzer und dem Verkäufer durch eine Telefonverbindung erfolgen. Die treuhänderisch hinterlegten Informationen können an das Terminal des Verkäufers über eine Diskette übermittelt werden, die in ein Disketten-Lesegerät eingesetzt werden, das dem Prozessor 2 des Terminals des Verkäufers zugeordnet ist, oder es kann sein, dass die gesamten Terminals selber zu der Vertrauensperson gebracht werden können.
Die Terminals A, B, ... N sind fähig, kryptographische Operationen für Nachrichten, wie erforderlich, durchzuführen. Digitale Signaturoperationen können unter Verwendung gut bekannter Kryptographie-Methodologie mit öffentlichen Schlüssel durchgeführt werden, wie es zum Beispiel in den US-Patenten Nummer 4 686 877 und 5 214 702 beschrieben ist, welche Patente hiermit durch Bezugnahme aufgenommen sind.
Obwohl 1 nur ein Terminal A des Verkäufers zeigt, erwägt die vorliegende Erfindung auch Teilschlüssel, die Geheimnisse teilen, wobei eine oder mehrere Vertrauenspersonen "Teilschlüssel"-Komponenten von dem Geheimnis des Benutzers empfangen, um sie treuhänderisch zu hinterlegen. In diesem Fall empfängt jede Vertrauensperson auch eine passende Benutzer-Identifikation (möglicherweise die gleiche oder möglicherweise verschiedene). Das Verteilen verschiedener Aspekte der persönlichen Identifizierinformation auf jede Vertrauensperson reduziert die Fähigkeit von einer korrupten Vertrauensperson, alle Informationen zu kennen, die notwendig sind, um andere Vertrauenspersonen dazu zu bringen, ihre jeweiligen Geheimnisse zu verraten.
Die treuhänderisch hinterlegten Informationen können beibehalten werden und/oder unabhängig von anderen Informationen extrahiert werden. Zum Beispiel bei dem Fall, wo die geheimen Informationen ein Passwort sind, das verwendet wird, um Daten auf der Festplatte des Benutzers zu verschlüsseln, kann der Benutzer den Besitz der Festplatte behalten, und nur die isolierte treuhänderisch hinterlegten Informationen der Vertrauensperson über den Kommunikationskanal 12 liefern. In diesem Fall muss Sorge getragen werden, dass die treuhänderisch hinterlegten Informationen nicht auch unter der Kontrolle derselben Passwort-Information verschlüsselt werden, für die sie ausgelegt ist, wiedergefunden zu werden. Wenn eine treuhänderisch hinterlegte Aufzeichnung auf dieselbe verschlüsselte Festplatte geschrieben wird, wie der treuhänderisch hinterlegte Geheimschlüssel, dann muss sie auf ein Gebiet geschrieben werden, das nicht mit dieser Verschlüsselung geschützt ist. Das ist akzeptabel, denn die treuhänderisch hinterlegten Informationen sind unter dem öffentlichen Schlüssel der Vertrauensperson verschlüsselt. In diesem Fall könnte ein spezielles Programm verwendet werden, um die treuhänderisch hinterlegten Aufzeichnungen von der Festplatte zu extrahieren. Die isolierten Informationen werden dann der Vertrauensperson kommuniziert.
Als eine Annehmlichkeit während einer Krisenzeit kann der Name, die Adresse, die Telefonnummer usw. der Vertrauensperson in Klartext mit den treuhänderisch hinterlegten Informationen gehalten werden, so dass der Benutzer nicht gefordert ist, in alten Dateien nach diesen Informationen zu suchen. In einigen Fällen kann es erwünscht sein, wenn eine binäre Darstellung der treuhänderisch hinterlegten Informationen auf Papier ausgedruckt ist, und für den Zugriff durch eine Vertrauensperson im Notfall bereitgehalten wird. Derartige gedruckte Daten müssten in einen Computer wieder eingegeben werden, bevor die Vertrauensperson sie bearbeiten könnte. Bei jeder dieser Ausführungen müsste die Vertrauensperson niemals Zugriff auf die tatsächlichen Daten haben, die unter dem treuhänderisch hinterlegten Schlüssel verschlüsselt sind.
Im Betrieb wird gemäß einer beispielhaften Impfementierung der vorliegenden Erfindung ein Benutzer bald nach dem Kauf, zum Beispiel eines Computersystems, wie zum Beispiel Terminal B, das in 1 gezeigt ist, während der System-Setup-Operation aufgefordert, eine treuhänderisch hinterlegte Aufzeichnung einschließlich ihrer Identifikationsdaten zu erzeugen, um seine oder ihre Identifikation zu bilden. Derartige Identifikationsinformationen können die Identifikationshinweise umfassen, die unten im Zusammenhang mit 2 beschrieben sind, und zum Beispiel die Fragen umfassen, die in 3 formuliert und beantwortet sind. Die Fragen können die Reihe von Erkundigungen bilden, die ein Verkäufer autorisiert ist, von der Person einzuholen, die behauptet, der rechtmäßige Eigentümer eines Passworts zu sein, das verloren oder vergessen wurde. Der rechtmäßige Eigentümer oder Besitzer (zum Beispiel ein autorisierter Firmenangestellter) stellt eine "geheime Nachricht" bereit, die das bevorzugte Protokoll fordert, das die Vertrauensperson verwenden sollte, wenn die geheimen Informationen verloren wurden, und was getan werden sollte, angesichts vermuteten Fehlverhaltens. Diese Informationen werden dann in eine treuhänderisch hinterlegte Informationsaufzeichnung geschrieben, die mit dem öffentlichen Schlüssel des Verkäufers verschlüsselt wird.
Wenn das Passwort/die Geheiminformation jemals verlorengeht und von dem Verkäufer wiedergefunden werden muss, sendet der Benutzer von Terminal B elektronisch eine treuhänderisch hinterlegte Aufzeichnung zu dem Verkäufer/Treuhänder über die Modems 6 und 8. Der Verkäufer entschlüsselt dann die treuhänderisch hinterlegten Informationen mit dem privaten Schlüssel, der in dem geheimen Speicher 5 gespeichert ist, und fährt fort, die treuhänderisch hinterlegten Informationen zu überprüfen (wie es unten beschrieben werden wird) und verifiziert die Identität des Benutzers durch zum Beispiel Fragen der Fragen, die von dem ursprünglichen Eigentümer des Terminals B spezifiziert wurden. Wenn die Identität verifiziert wird, wird das Passwort über den Kommunikationskanal 12 auf eine sichere Weise an den Anfrager kommuniziert (der richtig identifiziert wurde). Alternative Implementierungen zum Speichern und Sichern des sicheren privaten Schlüssels und zum Verarbeiten der treuhänderisch hinterlegten Informationen werden auch erwogen. Zum Beispiel könnte der sichere Schlüssel/die Passwortinformation auf Smart-Karten gespeichert werden, die die Eingabe eines PIN erfordern, um eine Operation auszulösen, die angeforderten geheimen Informationen wiederzufinden.
2 stellt eine beispielhafte treuhänderisch hinterlegte "Standard"-Information (18) dar, die zum Identifizieren eines rechtmäßigen Computereigentümers oder -besitzers gesammelt werden könnte und Datenfelder umfassen, die Datencharakteristiken spezifizieren (z. B. Name, Adresse usw.). Die digitale tabellarische Anordnung der treuhänderisch hinterlegten Standardinformationen umfasst zusätzlich Hinweise, die den Typ der gespeicherten Daten identifizieren (z. B. Text, Binär, Prüfsumme, usw.), und ein Datenfeld, das die spezifische Informationen identifiziert, die in die identifizierte Charakteristik fallen (z. B. spezifischer Name, Adresse, usw.).
Die beispielhaften in 2 gezeigten treuhänderisch hinterlegten "Standard"-Informationen sind als Teil der treuhänderisch hinterlegten Aufzeichnung enthalten, die unten in Zusammenhang in 4 (84) beschrieben ist. Die Identifizierinformationen werden vorzugsweise von dem Benutzer bereitgestellt, wenn der Treuhänder ausgewählt und definiert wird, und umfassen Informationen, wie z. B. den Benutzernamen 20, die Adresse 22, das Geburtsdatum 24, den Geburtsort 26, die Telefonnummer 28, den öffentlichen Schlüssel des Benutzers 30, den Arbeitgeber 32, den Arbeitstitel 34, den Namen des Vorgesetzten 36, die Arbeitnehmer-Nummer 38, die Sozialversicherungsnummer 40 und die Führerscheinnummer 42. Wie in 2 angedeutet, können die Identifikationsdaten ergänzt werden, um physikalische Informationen zu umfassen, wie zum Beispiel die Größe des Benutzers 44, das Gewicht 46, die Rasse 47 und die Augenfarbe 48. Die physikalischen Informationen können derartige komplexe digitalisierte Informationen umfassen, wie digitalisierte Fotografien 50, Fingerabdrücke 52, Retina-Parameter 54, Sprachdrucknachrichten 56, Handschriftbilder 58, Tastaturanschlag-Informationen 60 oder sogar ein digitalisiertes DNA-Muster. Viele alternative oder zusätzliche Identifizierende Charakteristiken (64) können auch spezifiziert werden, wenn gewünscht. Einige derartige physikalische charakteristische Informationen können dokumentiert werden, wenn gewünscht, von einem unparteiischen Richter, wie zum Beispiel einem öffentlichen Notar und der Vertrauensperson. als Teilanfrage des Anmelders bereitgestellt werden. Die Standard-Identifikationsinformationen können ergänzt werden, um persönliche Tatsachen zu umfassen, die nur dem Benutzer bekannt sind, wie zum Beispiel Lieblingsgerichte, Namen von Freunden aus einer fernen Vergangenheit, usw.. Diese Informationen können von einem Treuhänder verwendet werden, um einen überzeugenderen Beweis der Identität zu erhalten.
Da einige dieser Identifikationsinformationen wahrscheinlich voluminös sein werden und Off-line in anderen Datenbanken gehalten werden können, muss nur die Prüfsumme (unter Verwendung von zum Beispiel MD5 oder SHA) der digitalisierten Daten in eine treuhänderisch hinterlegte Aufzeichnung aufgenommen werden. Wenn ein Benutzer zum Beispiel eine digitalisierte Standardfotografie oder offizielle Fotografie hat, die in einer Identifikationsmarke oder einem X.500-Verzeichnis der Organisation gespeichert ist, dann muss der Benutzer nur die Prüfsumme von diesem Bild in die treuhänderisch hinterlegte Aufzeichnung aufnehmen. Der Benutzer wird dann sich versichern müssen, dass die Vertrauensperson eine Kopie des offiziellen digitalen Fotos hat, wenn eine Wiedergewinnungsanfrage an die Vertrauensperson(en) gemacht wird. Die Prüfsumme dieser Hilfsinformation muss mit der in der treuhänderisch hinterlegten Aufzeichnung spezifizierten übereinstimmen. Jede derartige Definier-Information, die der treuhänderisch hinterlegten Aufzeichnung zugeordnet ist, wird dann mit dem tatsächlichen Benutzer (Stimme, Größe, Hautfarbe, Alter, usw.) oder einem Authentifizierungsdokument des Benutzers (Fahrerlaubnis, Arbeitnehmer-Identifizierungskarte, Erklärung eines öffentlichen Notars, usw.) verglichen.
Gemäß der zur Zeit bevorzugten Ausführung werden die Identifikationsdaten zusammen mit den geheimen Informationen, die treuhänderisch zu hinterlegen sind (und diese Vereinigung zusammen mit ihrer Prüfsumme) unter einem zufälligen DES-Schlüssel verschlüsselt, der wiederum unter den öffentlichen Schlüssel der Vertrauensperson verschlüsselt und dann aufgezeichnet wird. Als Teil irgendeiner eventuellen Wiedergewinnungsanfrage muss der Vertrauensperson die Quelle irgendeiner Information dargelegt werden, die nur mit ihrer Prüfsumme in der treuhänderisch hinterlegten Aufzeichnung referenziert wird. Man hat auch erwogen, bei einigen Implementierungen, nur einige von den Identifizierdaten zu verschlüsseln (zum Beispiel alle Daten außer dem Namen). Das Versteckthalten einiger oder aller der definierenden Identifikationen (außer von der Vertrauensperson) reduziert die Möglichkeit für einen bestimmten Angreifer zu wissen, was nachgeahmt/gefälscht werden muss.
Die Definierinformationen müssen nicht explizit von dem Benutzer bereitgestellt werden, sondern können automatisch von anderen Informationen bestimmt werden, die zu der Zeit verfügbar sind, zu der das Geheimnis treuhänderisch hinterlegt wird, oder können von einem Agenten des Benutzers bereitgestellt werden, wie zum Beispiel dem Vorgesetzten oder einem Offiziellen der Unternehmenssicherheit, der das darunterliegende System für den tatsächlichen Benutzer installiert.
3 zeigt beispielhafte "private"-Identifikationsinformationsdaten (die das private Wissen wiedergeben, über das der Benutzer später befragt werden kann) zusammen mit anderen Instruktionen oder Informationen oder Anweisungen für die Vertrauensperson. Zum Beispiel identifiziert, die in 3 gezeigt, der Benutzer eine Frage und eine passende Antwort, die die Vertrauensperson ermächtigt wurde, einen behaupteten wahren Besitzer zu stellen, der die Passwortinformation haben will. Private Informationen (70) umfassen vergangene persönliche Ereignisse, die im Großen und Ganzen irgendjemanden außer dem Eigentümer unbekannt sind, die Namen von unbekannten Verwandten oder irgendwelche anderen unüblichen Informationen, die ein versuchter Nachahmer wahrscheinlich nicht kennt.
Die in dem privaten Informationsfeld spezifizierten Informationen können auch Instruktionen umfassen, wie ein verdächtiger Imitator zu handhaben ist, einschließlich, ob die Vertrauensperson versuchen sollte, den Computer von einem verdächtigen Imitator wiederzubekommen, und die Natur und/oder der Grad an Nachweis, den der Benutzer die Vertrauensperson anfordern lassen will, wie zum Beispiel eine Telefonsprachenanfrage, eine digitale Signatur, eine Handschriftsignatur, die Vorlage einer beglaubigten Anfrage, ein persönliches Interview usw. Auf diese Weise wird das bevor zugte Protokoll, das von einer Vertrauensperson zu verwenden ist, bevor die geheimen Informationen preisgegeben werden, von dem Benutzer zusammen damit spezifiziert, was von der Vertrauensperson angesichts des vermuteten Verrats getan werden soll. Wenn die persönlichen privaten Informationen jemals tatsächlich für eine Sicherheitsinformationswiedergewinnung verwendet wurden, sollten die Daten gegen neue Informationen ausgetauscht werden.
4 zeigt eine Datenstruktur, die eine beispielhafte treuhänderisch hinterlegte Aufzeichnung (80) darstellt. Die treuhänderisch hinterlegte Aufzeichnung 80 umfasst ein optionales Identifikationsfeld 82 für die Vertrauensperson, das die Vertrauensperson vorzugsweise im Klartext identifiziert. Die treuhänderisch hinterlegte Aufzeichnung umfasst auch ein optionales "Standard"-Informationsfeld 84, das den Benutzer identifiziert, unter Verwendung von zum Beispiel der Information, die im Zusammenhang mit 2 beschrieben ist. Diese Standardinformationen können, wenn gewünscht, verschlüsselt werden, wie es bei der bevorzugten Ausführung der Fall ist. Die treuhänderisch hinterlegte Aufzeichnung 80 hat auch ein Feld 86, das die private Identifizierinformationen zusammen mit einer Anweisung, Instruktionen und Anfragen für die Vertrauenspersonen enthält, wie zum Beispiel den im Zusammenhang von 3 gezeigten und beschriebenen. Zusätzlich umfasst die treuhänderisch hinterlegte Aufzeichnung 80 ein geheimes Informationsfeld 88, das zum Beispiel das gesamte Passwort enthält, das die Daten verschlüsselt, die in dem Computer des Benutzers gespeichert sind. Alternativ können die geheimen Informationen "aufgeteilt" sein, wenn das Geheimnis unter mehreren Vertrauenspersonen aufgeteilt ist. In dem Fall von "geteilten" Informationen wird es mehrere treuhänderisch hinterlegte Komponenten geben, die erzeugt werden – verschlüsselt unter jeweiligen öffentlichen Schlüsseln von jeder unterschiedlichen Vertrauensperson. Geteiltes treuhänderisches Hinterlegen kann erfordern, dass Informationen von verschiedenen Vertrauenspersonen wiedergewonnen werden müssen, und dann kombiniert werden müssen, um fähig zu sein, das Geheimnis des Benutzers zu rekonstruieren. Es gibt eine Anzahl von bekannten Wegen, das zu tun, einschließlich von Techniken, die als Techniken von Shamir beschrieben werden (einer der Urheber der RSA-Kryptographie mit öffentlichem Schlüssel). In diesem Fall muss ein Benutzer irgendeinen notwendigen Untersatz von Vertrauenspersonen (die verschiedenen erlaubten Untersätze werden definiert, wenn das Geheimnis treuhänderisch hinterlegt wird und könnte zum Beispiel 2 von 3, usw. sein) von seiner/ihrer Identität überzeugen. Der Vorteil des Ansatzes mit geteilten Schlüsseln ist der, dass keine einzelne Vertrauensperson entweder freiwillig oder durch Fehler das System kompromittieren kann.
Die treuhänderisch hinterlegte Aufzeichnung enthält auch ein Feld 90 einer Prüfsumme von Feldern 82, 84, 86 und 88. Zusätzlich umfasst die Aufzeichnung 80 ein Feld 92 zum Speichern der Verschlüsselung unter dem öffentlichen Schlüssel der Vertrauensperson des zufälligen symmetrischen (zum Beispiel DES) Schlüssels, der verwendet wurde, um die obige Information zu verschlüsseln. In dem Fall mehrerer Vertrauenspersonen und des treuhänderischen Hinterlegens mit geteilten Schlüssel sollten die Informationen für jede Vertrauensperson unter einem separaten zufälligen symmetrischen (DES) Schlüssel verschlüsselt werden – andernfalls würde jede Vertrauensperson die Fähigkeit haben, die Aufzeichnungen zu entschlüsseln, die zu anderen Vertrauenspersonen gehören (wobei die Sicherungen des Schlüsselteilens ihren Sinn verlieren).
5 zeigt ein Flussdiagramm, das die Abfolge von Operationen darstellt, die mit der Identifikations- oder Definitionsphase des Benutzers eines Ausführungsbeispiels der vorliegenden Erfindung verbunden sind. Die Verarbeitungsschritte, die in 5 dargelegt sind, erbeten die Auswahl und Antworten des Benutzers über eine Menü gesteuerte, den Bediener abfragende Routine. Die Routine, die in 5 gezeigt ist, wird vorzugsweise ausgeführt, wenn der Benutzer, der gerade einen Computer gekauft hat, den Computer initialisiert oder zu irgendeiner Zeit, wenn der Benutzer ein neues Geheimnis treuhänderisch hinterlegt. Nachdem die Routine anfänglich ausgeführt wird, muss sie nicht notwendigerweise Informationen neu abfragen, die nicht der Änderung unterworfen sind (zum Beispiel Geburtsdatum, Geburtsort, usw.), wenn sie auf irgendeine andere Weise verfügbar sind. Wenn die Operationen, die in 5 gezeigt sind, ausgeführt werden, werden die Informationen einschließlich der geheimen Information in dem in 4 gezeigten Format der treuhänderisch hinterlegten Aufzeichnung angeordnet.
Wenn ein Benutzer wünscht, ein Geheimnis treuhänderisch zu hinterlegen, wie zum Beispiel ein Passwort oder einen Verschlüsselungsschlüssel (oder eine Safe-Kombination oder eine Kontonummer einer Schweizer Bank oder das Rezept von Coca Cola^® oder dergleichen) wählt der Benutzer zuerst eine Vertrauensperson/Treuhänder oder einen Satz von Treuhändern aus (1010). Bei einigen Organisationen könnte dies von der Organisation verlangt werden. Bei treuhänderischer Hinterlegung geteilter Geheimnisse gibt es mehr als eine Vertrauensperson, und es muss irgendeinen Weg geben, festzulegen, wie die treuhänderisch hinterlegten Informationen unter den Vertrauenspersonen zu partitionieren sind. Eine getrennte treuhänderisch hinterlegte Aufzeichnung und ein getrennter zufälliger symmetrischer Schlüssel werden für jede Vertrauensperson erzeugt. Nachdem der Benutzer die Vertrauensperson/den Treuhänder ausgewählt hat, wird der öffentliche Schlüssel der Vertrauensperson erhalten (1015) und die Identifikation der Vertrauensperson, üblicherweise einschließlich des öffentlichen Schlüssels und der Schlüsselteil-Wiederzusammensetzregeln, werden in das Feld 82 der treuhänderisch hinterlegten Aufzeichnung geladen.
Nachdem der öffentliche Schlüssel oder die öffentlichen Schlüssel der Vertrauensperson erhalten wurden, wird die geheime Information erhalten und in das Feld 88 geladen, das in 4 gezeigt ist (1017). In einigen Fällen könnte das Geheimnis von dem Benutzer geliefert werden, und in anderen Fällen könnte es intern von dem Computer erzeugt werden (zum Beispiel in dem Fall von dem Definieren von Verschlüsselungsschlüsseln). Beginnend bei Block 1020 beginnt die Routine über eine Folge von Bedienerabfragen, die Standard-Identifizierinformationen anzusammeln, die zum Beispiel in 2 gezeigt sind, und lädt derartige Informationen in das Feld 84 der treuhänderisch hinterlegten Aufzeichnung (4). Eine Bedienerabfrage stellt dann einem Benutzer die Möglichkeit zur Verfügung, eine private Identifizierinformation und/oder eine Anweisung und Instruktionen der Vertrauensperson zu liefern, und derartige Informationen werden in Feld 86 geladen, das in 4 gezeigt ist. Voluminösere digitale Informationen, wie zum Beispiel eine digitalisierte Fotografie, Sprachproben usw. können ohne Weiteres von anderen Quellen zugriffbar sein, wie zum Beispiel ein X.500-Verzeichnis oder andere Aufbewahrungsorte. Derartige Informationen werden vorzugsweise in die zusammengesetzten Informationen aufgenommen, in den ihre viel kompakteren Prüfsummen enthalten sind. Beim Anwenden des Wiedergewinnens geheimer Informationen sollte der Anmelder alle notwendigen zusätzlichen digitalen Informationen liefern, wie es durch seine oder ihre Prüfsumme angegeben wird, damit die Vertrauensperson sie prüfen kann. In jedem Fall wird jede Identifiziercharakteristik mit expliziten Informationen gekennzeichnet, die darauf hinweisen, welche Charakteristik definiert ist, ebenso wie die Form von dem Einschluss (vollständige Daten, Einschluss durch Prüfsummenreferenz, usw.), wie in 2 gezeigt.
Gemäß Block 1030 berechnet die Routine dann die Prüfsumme der zusammengesetzten Daten und speichert die berechnete Prüfsumme im Feld 90 der treuhänderisch hinterlegten Aufzeichnung 80. Die berechnete Prüfsumme basiert auf der Standard-Identifizierinformation (Feld 84), der privaten Identifizierinformation, wenn vorhanden, (Feld 86), den Anweisungen/Instruktionen an die Vertrauensperson, wenn vorhanden, (Feld 86), und der geheimen Informationen (zum Beispiel dem geheimen Passwort des Benutzers) aus Feld 88. Die Prüfsumme wird unter Verwendung irgendeines verschiedener möglicher bevorzugter Prüfsummen-Algorithmen berechnet, wie zum Beispiel MD5 oder dem sicheren Prüfsummen-Algorithmus (SHA).
Danach wird ein zufälliger symmetrischer (zum Beispiel DES) Schlüssel generiert (1040), der verwendet wird, um zumindest die folgenden Informationen zu verschlüsseln: die geheimen Informationen, die in dem Feld 88 der treuhänderisch hinterlegten Aufzeichnungen gespeichert sind, die Prüfsumme der zusammengesetzten Informationen in Feld 90, und die privaten Identifizier-Informationen, wenn vorhanden, in Feld 86. Bei der bevorzugten Ausführung werden die Anweisung/Instruktionen in Feld 86 für die Vertrauensperson als Teil der privaten Informationen aufgenommen und sind vorzugsweise verschlüsselt. Die Standard-Identifizierinformationen im Feld 84 könnten in Abhängigkeit davon ins gesamt, zum Teil oder überhaupt nicht verschlüsselt sein, ob es in dem Fall eines Verlustes als vorteilhafter betrachtet wird, es einem Finder zu ermöglichen, die Identität eines Eigentümers festzustellen oder eine schädliche Minimal-Information über die Charakteristiken anzugeben, die zum Nachmachen notwendig sind, um die Vertrauensperson zu betrügen.
In Schritt 1050 wird der symmetrische Geheimschlüssel, wie gemäß Schritt 1040 erzeugt, unter Verwendung des öffentlichen Schlüssels der Vertrauensperson verschlüsselt. Dieser Verschlüsselungswert wird in Feld 92 der treuhänderisch hinterlegten Aufzeichnung 80 gespeichert (1060). Für mehrere Vertrauenspersonen sollten die Informationen mit einem zufälligen symmetrischen Schlüssel verschlüsselt sein, der für jede Vertrauensperson einzigartig ist.
Die treuhändisch hinterlegte Aufzeichnung 80 gemäß Block 1060 kann an einer Vielzahl von akzeptablen Orten gespeichert werden. Zum Beispiel kann die treuhänderisch hinterlegte Aufzeichnung der Vertrauensperson unmittelbar zur Verwahrung kommuniziert werden, oder sie kann auf eine Diskette geschrieben und von dem Benutzer gesichert werden, bis und wenn sie erforderlich ist. Alternativ kann die treuhänderisch hinterlegte Aufzeichnung 80 auf Festplatte geschrieben werden. Wenn das treuhänderisch hinterlegte Geheimnis das Passwort für die Festplatte ist, dann muss sie in einem Bereich der Festplatte aufgezeichnet werden, der nicht so verschlüsselt ist. Alternativ kann die treuhänderisch hinterlegte Aufzeichnung 80 an eine andere dritte Person kommuniziert werden als die Vertrauensperson zur unabhängigen Speicherung. Eine ausgedruckte Version der treuhänderisch hinterlegten Aufzeichnung kann erzeugt werden. Als eine Annehmlichkeit kann es wünschenswert sein, Klartext-Informationen (82) beizufügen, die die Vertrauens person beschreiben, und wie mit ihr zu kommunizieren sind. Bei mehreren Vertrauenspersonen hilft das auch, die besondere Vertrauensperson zu unterscheiden, der ein bestimmtes Stück zugeordnet ist, und welche Untersätze von Vertrauenspersonen hinreichende Untersätze haben, um das Geheimnis wiederherzustellen.
6 zeigt ein Flussdiagramm, dass die Abfolge von Operationen darstellt, die durchgeführt werden, wenn ein Anmelder versucht, treuhänderisch hinterlegte Geheiminformationen wiederzugewinnen. Der Anmelder kann der legitime Eigentümer der geheimen Informationen sein, oder er kann ein Nachahmer sein, der danach trachtet, wertvolle Informationen zu stehlen. Wie in Block 2010 angedeutet, versorgt der Anmelder die Vertrauensperson mit der Aufzeichnung 80 der treuhänderisch hinterlegten Informationen, die mit dem öffentlichen Schlüssel der Vertrauensperson verschlüsselt wurden, zusammen mit den vollständigen Informationen für solche Sachen, die in der treuhänderisch hinterlegten Aufzeichnung 80 enthalten sind, auf die nur durch eine Prüfsumme der Informationen Bezug genommen wurde, wie zum Beispiel ein digitalisiertes Bild. Der Anmelder bevorzugt die Vertrauenspersonen auch mit Dokumentationen, die Referenzen enthalten, die mit den treuhänderisch hinterlegten Informationen überprüft werden können. Derartige Dokumentationen können zum Beispiel eine handschriftlich unterzeichnete Anfrage für die geheimen Informationen, eine eidesstattliche Versicherung, die von einem Notar ausgefertigt ist, der Referenzen des Anmelders beglaubigt, umfassen. Die Anfrage für die geheimen Informationen muss mit demselben öffentlichen Schlüssel verifizierbar sein, der in der treuhänderisch hinterlegten Aufzeichnung festgelegt ist. Zusätzlich muss das physikalische Erscheinungsbild des Anmelders zu den beschriebenen Referenzen in den Standard- Identifizier-Informationen passen, die in 2 als in Feld 84 der treuhänderisch hinterlegten Aufzeichnung enthaltend, gezeigt sind. Gemäß der bevorzugten Ausführung von Block 2010 ist es beabsichtigt, dass ein öffentlicher Schlüssel von dem Anmelder gefordert werden kann, um den öffentlichen Schlüssel zu definieren, unter dem der Anmelder die Information zurückbekommen will. Auf diese Weise können die Vertrauensperson und der Anmelder ohne irgendeine Gefahr geheim kommunizieren, dass die geheimen Informationen einen Gegner preisgegeben werden, der die Kommunikation abfängt.
Die Vertrauensperson empfängt dann die treuhänderisch hinterlegte Aufzeichnung des Anmelders, die in Block 2010 extrahiert wurde (2020) über den Kommunikationskanal 12, der in 1 gezeigt ist, oder durch irgendeinen anderen Mechanismus, wie zum Beispiel Post oder sogar physikalische Lieferung des gesamten Computers. Die Vertrauensperson verwendet dann ihren privaten geheimen Schlüssel, um das Feld 92 der treuhänderisch hinterlegten Aufzeichnung zu entschlüsseln, um dadurch auf den zufälligen symmetrischen Schlüssel zuzugreifen, der die Mehrheit der Aufzeichnung verschlüsselt (2030). Wenn die Vertrauensperson Feld 92 nicht entschlüsseln kann, wendet sie ihren privaten Schlüssel, wie durch eine Prüfung bei Block 2035 festgelegt, wobei dann der Wiedergewinnungsprozess versagt und eine geeignete Fehlernachricht zu dem Anmelder zurückgeschickt wird (2036).
Wenn eine Entschlüsselungsüberprüfung im Block 2035 erfolgreich war, dann entschlüsselt die Vertrauensperson die Felder 86, 88, 90, und Feld 84 bis zu dem Ausmaß, in dem es verschlüsselt ist, derart, dass alle Felder in der treuhänderisch hinterlegten Aufzeichnung in Klartext verarbeitbar sind (2040). Eine Überprüfung wird in Block 2045 gemacht, um zu gewährleisten, dass die Entschlüsselungsoperationen erfolgreich abgeschlossen wurden, um zu bestätigen, dass zuverlässige Daten wiedergewinnbar sind. Wenn die Entschlüsselung nicht erfolgreich war, dann wird eine geeignete Fehlernachricht an den Benutzer kommuniziert (2046).
Die Vertrauensperson berechnet dann die Prüfsumme der Felder 84, 86 und 88 der treuhänderisch hinterlegten Aufzeichnung (2050). Eine Überprüfung wird dann in Block 2060 gemacht, um festzustellen, ob die neu berechnete Prüfsumme mit dem gelieferten Prüfsummenwert in Feld 90 von 4 übereinstimmt. Wenn die Prüfsummenwerte nicht übereinstimmen, dann ist die Wiedergewinnung nicht zulässig, denn die treuhänderisch hinterlegten Daten des Anmelders sind nicht vertrauenswürdig und können manipulierten Geheimtext wiedergeben. Dementsprechend kann der Wiedergewinnungsprozess nicht zuverlässig durchgeführt werden und eine geeignete Nachricht wird an den Anmelder kommuniziert (2061).
Wenn die Prüfsummen übereinstimmen, dann wird der Vertrauensperson versichert, dass die treuhänderisch hinterlegten Aufzeichnungen in korrekter Form übermittelt wurden. Die Vertrauensperson sieht dann die treuhänderisch hinterlegten Aufzeichnungsdaten durch (2070), um festzustellen, ob die treuhänderisch hinterlegte Identifikation durch die vorn Anmelder dokumentierten Referenzen unterstützt wird, die der Vertrauensperson in Block 2010 bereitgestellt wurden. Die Vertrauensperson stellt dadurch fest, ob die Daten, die als eidesstattliche Versicherung vom Notar, über Sprachkommunikation usw. geliefert wurden, mit den treuhänderisch hinterlegten Aufzeichnungsdaten überstimmen. Aufgrund der empfangenen Referenzen wird im Block 2080 eine Feststellung gemacht, ob der Anmelder der legitime Eigentümer zu sein scheint, oder einen echten Anspruch auf die Daten hat (wie zum Beispiel der Firmeneigentümer eines Geheimnisses, das von einem Angestellten gehandhabt wurde).
Wenn die Überprüfung in Block 2080 angibt, dass der Anmelder für die geheimen Informationen berechtigt ist, dann entschlüsselt die Vertrauensperson den treuhänderisch hinterlegten geheimen Wert, der in Feld 88 von 4 enthalten ist, unter Verwendung des öffentlichen Schlüssels, der durch die Anfrage des Anmelders definiert ist (2010) oder des öffentlichen Schlüssels, der in den treuhänderisch hinterlegten Informationen definiert ist (30 von 2) und leitet die entschlüsselten geheimen Informationen an den Anmelder weiter (2140).
Wenn die Prüfung in Block 2080 nicht bestätigt, dass der Anmelder ein Recht auf die geheimen Informationen hat, dann wird im Block 2090 eine Überprüfung gemacht, um festzustellen, ob der Anmelder ein Nachahmer ist. Wenn die Überprüfung in Block 2090 anzeigt, dass es genug Informationen gibt, um festzustellen, dass der Anmelder ein Nachahmer ist, dann verzweigt die Routine zu Block 2130, wo die Vertrauensperson eine geeignete Aktion macht, einschließlich der Benachrichtigung des wahren Eigentümers, der Benachrichtigung der Polizei, des Versuchs, mehr Informationen über den Nachahmer zu erhalten und/oder des Versuchs, physikalischen Besitz von der Computerausrüstung zu erlangen. Die Aktion, die von der Vertrauensperson zu machen ist, ist vorzugsweise in der treuhänderisch hinterlegten Aufzeichnung im Feld 86 als Teil der Anweisungen/Instruktionen und Anfragen an die Vertrauensperson spezifiziert.
Wenn die Überprüfung in Block 2090 anzeigt, dass es nicht genug Informationen gibt, um zu bestätigen, ob der Anmelder ein Nachahmer ist oder nicht, dann verzweigt die Routine zu Block 2100, um zusätzliche Referenzen anzufragen, wie es von dem Anmelder benötigt wird, um die Identifikationseindeutigkeit zu lösen. Derartige zusätzliche Informationen können eine Anfrage für eine Quelle digitaler Biometriken enthalten (zum Beispiel eine digitalisierte Fotografie), die durch eine Prüfsumme in der treuhänderisch hinterlegten Aufzeichnung referenziert wurde und nicht in der anfänglichen Anmeldung enthalten war, Fragen, die von den privaten Identifikationsinformationen vorgeschlagen werden, die in den treuhänderisch hinterlegten Informationen geliefert wurden, ein persönliches Interview, eine Telefonkonversation, eine Unterschrift, die von einem Notar beglaubigt wird, eine Anforderung/Antwort auf Basis des öffentlichen Schlüssels, der in den treuhänderisch hinterlegten Informationen gefordert wird, und Dokumente, die von einer unabhängigen dritten Person verifiziert werden, wie zum Beispiel ein Führerschein. Die Vorlage des tatsächlichen in Frage stehenden Computers kann gefordert werden, insbesondere wenn das durch die Anweisung in dem privaten Identifikationsinformationsfeld 86 spezifiziert wurde. Zuverlässigere oder authentischere Referenzdokumentationen können zusammen mit irgendwelchen anderen Informationen gefordert werden, die notwendig sind, um die Identität des Anmelders zu bestätigen. Wenn die Referenzen elektronisch angefragt werden, dann kann die Anfrage selber mit entweder dem öffentlichen Schlüssel verschlüsselt werden, der mit den Referenzen des Anmelders geliefert wird, oder dem öffentlichen Schlüssel, der in den treuhänderisch hinterlegten Informationen enthalten ist.
Wenn der Anmelder die zusätzliche Anfrage in Block (2110) enthält und sie entschlüsselt ist, dann verschlüsselt der Anmelder sie mit dem passenden privaten Schlüssel. Der Anmelder erfüllt die Anfrage, indem er zusätzliche Referenzen liefert oder Schritte unternimmt, welche auch immer notwendig sind, um die Vertrauensperson von seiner wahren Identität zu überzeugen. Das kann ein persönliches Erscheinen, einen Telefonanruf oder das Beantworten von Fragen umfassen, die in den treuhänderisch hinterlegten privaten Identifikationsinformationen dargelegt sind. Wenn. die Antworten elektronisch zurückgeschickt werden, können sie unter dem öffentlichen Schlüssel der Vertrauensperson verschlüsselt sein.
Wie in Block 2120 angezeigt, empfängt die Vertrauensperson die zusätzlichen Informationen und entschlüsselt sie, wie erforderlich. Die zusätzlichen Referenzen werden mit solchen kombiniert, die bereits vorhanden sind, und die Routine verzweigt zurück zu Block 2070, um den Evaluierungsprozess wieder aufzunehmen. Der Evaluierungsprozess wird wiederholt, sooft es notwendig ist, um in Block 2080 zu bestätigen, dass der Anmelder entweder legitimiert ist oder in Block 2090 zu bestätigen, dass er ein Nachahmer ist.
Wenn der Anmelder legitimiert ist, dann werden, wie oben in Block 2140 angedeutet, die geheimen Informationen unter dem privaten Schlüssel verschlüsselt sind, mit den treuhänderisch hinterlegten Informationen (30) an den Anmelder übertragen oder durch die (nun bestätigte) Anmeldung in 2010 geliefert. Der Anmelder empfängt die gelieferten treuhänderisch hinterlegten Informationen und entschlüsselt die geheimen Informationen unter Verwendung des passenden privaten Schlüssels (2150).
Wenn Geheimnisteilen mit geteilten Schlüsseln verwendet wird, wodurch jede Vertrauensperson des geteilten Schlüssels eine Komponente von dem Geheimnis des Benutzers empfängt, fährt die Verarbeitung fort, bis die Gesamtheit der geheimen Informationen angesammelt ist. Eine Überprüfung wird in Block 2160 gemacht, um festzustellen, ob die empfangenen treuhänderisch hinterlegten Informationen der letzte (oder nur ein) Teil des treuhänderisch hinterlegten Geheimnisses ist. Zum Beispiel können zwei oder drei Vertrauens personen verwendet werden, um jeweils zum Teil eine Hälfte oder ein Drittel der geheimen Informationen treuhänderisch zu hinterlegen. Die als Block bei den Blöcken 2150–2170 dargestellte Schleife stellt die Verarbeitung dar, um alle diese geheimen Informationen von jeder Vertrauensperson anzusammeln. Sobald bei 2160 festgestellt wird, dass alle geheimen Informationen empfangen wurden, hat der Anmelder hinreichende Informationen wiedergewonnen, um die geheimen Informationen wieder zu erhalten, zum Beispiel sein oder ihr Passwort.
Wenn die Prüfung in Block 2160 andeutet, dass mehr Stücke der geheimen Information benötigt werden, um von einem oder mehreren Treuhändern empfangen zu werden, dann verzweigt die Routine zu 2170, wo Verarbeitungsschritte durchgeführt werden, und dem Erwerb zusätzlicher treuhänderisch hinterlegter Stücke des geteilten Geheimnisses zu gewährleisten, bis hinreichende Stücke wiedergewonnen wurden, derart, dass die ursprünglichen geheimen Informationen zusammengesetzt werden kann. Wenn die Verarbeitung in Block 2170 anzeigt, dass einer der Treuhänder zusätzliche Informationen erfordert, dann verzweigt die Verarbeitung zu Block 2110, um dadurch die zusätzliche Identifikationsanfrage an den Anmelder zu bearbeiten. Wenn die Verarbeitung in Block 2170 dazu führt, dass ein Treuhänder ein fehlendes Stück der geheimen Informationen liefert, dann werden diese Informationen zu dem Anmelder im Block 2150 weitergeleitet. Wenn der Anmelder schließlich berechtigt ist, die geheimen Informationen zu empfangen, dann werden alle geheimen Informationen zusammengesetzt.

Claims

Verfahren zum Betreiben eines Computers, um es zu ermöglichen, dass geheime digitale Informationen des Computerbenutzers anschließend von einer Vertrauensperson mit einem öffentlichen Schlüssel der Vertrauensperson und einem privaten Schlüssel der Vertrauensperson wiederhergestellt werden, wobei das Verfahren die folgenden Schritte umfasst: Bilden privater digitaler Identifikationsinformationen, die einen bestimmten Computerbenutzer (1020) identifizieren; Kombinieren privater digitaler Identifikationsinformationen mit den geheimen digitalen Informationen des Computerbenutzers, um kombinierte digitale Informationen (1030) zu erzeugen; Verschlüsseln der kombinierten digitalen Informationen unter Verwendung des öffentlichen Schlüssels der Vertrauensperson, derart, dass die kombinierten digitalen Informationen nur von dem privaten Schlüssel (1050) der Vertrauensperson entschlüsselt werden können, um eine treuhänderisch hinterlege Aufzeichnung mit zumindest den verschlüsselten kombinierten digitalen Informationen zu erzeugen; Speichern der treuhänderisch hinterlegten Aufzeichnungen; Geben der treuhänderisch hinterlegten Aufzeichnung zu der Vertrauensperson; Geben von Referenzen zu der Vertrauensperson, die den bestimmten Computerbenutzer identifizieren; und Empfangen der geheimen digitalen Informationen von der Vertrauensperson.
Verfahren nach Anspruch 1, bei dem zumindest ein Teil der Identifikationsformationen prüfsummiert wird.
Verfahren nach Anspruch 1, bei dem zumindest ein Teil der Identifikationsinformationen in Klartext gespeichert wird.
Verfahren nach Anspruch 1, bei dem der Schritt des Bildens den Schritt des Aufforderns des Computerbenutzers (1020) umfasst, eine Vielzahl von charakteristischen Identifikationsdaten des Benutzers bereitzustellen.
Verfahren nach Anspruch 1, bei dem der Schritt des Bildens den Schritt von dem Benutzer umfasst, charakteristische physikalische Informationen bereitzustellen.
Verfahren nach Anspruch 1, bei dem der Schritt des Bildens den Schritt von dem Benutzer umfasst, den öffentlichen Schlüssel von dem Benutzer bereitzustellen.
Verfahren nach Anspruch 1, des Weiteren mit dem Schritt, von dem Computerbenutzer (1020) Instruktionen zu erbitten, die von der Vertrauensperson zu befolgen sind, wem ein Versuch gemacht wird, die geheimen Informationen wiederherzustellen.
Verfahren nach Anspruch 1, bei dem der Schritt des Bildens den Schritt von dem Benutzer umfasst, zumindest eine Frage (70) bereitzustellen, die von der Vertrauensperson einer Person zu stellen ist, die versucht, die geheimen Informationen wiederherzustellen.
Verfahren nach Anspruch 1, bei dem der Schritt des Verschlüsselns den Schritt des Erzeugens eines Verschlüsselungsschlüssels und des Verschlüsselns von zumindest den geheimen Informationen mit dem Verschlüsselungsschlüssel umfasst.
Verfahren nach Anspruch 9, bei dem der Schritt das Verschlüsseln den Schritt des Verschlüsselns des Verschlüsselungsschlüssels unter Verwendung des öffentlichen Schlüssels der Vertrauensperson (1050) umfasst.
Verfahren nach Anspruch 1, bei dem der Schritt des Speicherns den Schritt des Speicherns der digitalen Verschlüsselungsinformationen auf einen Speichermedium des Computerbenutzers umfasst.
Verfahren nach Anspruch 1, bei dem der Schritt des Speicherns den Schritt des Speicherns von Informationen in Klartext umfasst, die die Vertrauensperson beschreiben.
Verfahren zum Betreiben eines Computers, um es einem öffentlichen Schlüssel einer Vertrauensperson und einem privaten Schlüssel einer Vertrauensperson zu ermög lichen, treuhänderisch hinterlegte digitale geheime Informationen sicher zum Vorschein zu bringen, die in einer treuhänderisch hinterlegten Aufzeichnung für einen Anmelder enthalten sind, mit den folgenden Schritten: Erhalten der treuhänderisch hinterlegten Aufzeichnung (2010); Erhalten von Referenzen, die den Anmelder (2020) identifizieren; Entschlüsseln zumindest eines Teils der treuhänderisch hinterlegten Aufzeichnung unter Verwendung des privaten Schlüssels (2020) der Vertrauensperson; Vergleichen der Referenzen des Anmelders mit Identifikationsinformationen, die in der treuhänderisch hinterlegten Aufzeichnung (2080) eingebettet sind; und Zum-Vorschein-Bringen der treuhänderisch hinterlegten digitalen geheimen Informationen für den Anmelder, wenn die Referenzen mit den treuhänderisch hinterlegten Identifikationsinformationen übereinstimmen, die in der treuhänderisch hinterlegten Aufzeichnung (2140) eingebettet sind.
Verfahren nach Anspruch 13, bei dem die Identifikationsinformationen als Teil der Informationen verschlüsselt: sind, die der Vertrauensperson verfügbar sind.
Verfahren nach Anspruch 13, bei dem die Prüfsumme der Identifikationsinformationen als Teil der Informationen verschlüsselt werden, die der Vertrauensperson zur Verfügung stehen.
Verfahren nach Anspruch 13, bei der die treuhänderisch hinterlegten Informationen in digitaler Form auf Papier gedruckt werden.
Verfahren nach Anspruch 13, bei dem die digitalen Identifikationsinformationen (18) zumindest eine der folgenden umfasst: Name; Adresse; Telefonnummer; Größe; Gewicht; Geburtsdatum; Hautfarbe; Rasse; Augenfarbe; Geburtsort; Arbeitgeber; Titel; Geschäftsort; Arbeitnehmeridentifikation; Leiter; Identifikationsnummer; digitalisierter Fingerabdruck; digitalisierte Fotografie; digitalisierte Sprachaufzeichnung; digitalisierte Retinainformationen; Informationen betreffend die DNA des Benutzers; digitalisierte Handschriftprobe; digitalisierter Tastenanschlag; Anschlaganalyse; DNA-Muster; und Tatsachen, die außer dem Computerbenutzer wahrscheinlich nicht allgemein bekannt sind.
Verfahren nach Anspruch 13, bei dem der Schritt des Entschlüsselns (2030) den Schritt des Verwendens des privaten Schlüssels der Vertrauensperson umfasst, um zumindest einen Teil der treuhänderisch hinterlegten Aufzeichnung zu entschlüsseln.
Verfahren nach Anspruch 13, bei dem der Schritt des Entschlüsselns (2030) den Schritt des Verwendens des privaten Schlüssels der Vertrauensperson umfasst, um die treuhänderisch hinterlegte Aufzeichnung zu entschlüs seln, um auf einen zufälligen Verschlüsselungsschlüssel zuzugreifen, der verwendet wurde, um andere Felder in der treuhänderisch hinterlegten Aufzeichnung zu verschlüsseln.
Verfahren nach Anspruch 13, des Weiteren mit dem Schritt des Berechnens der Prüfsumme einer Vielzahl von Feldern in der treuhänderisch hinterlegten Aufzeichnung (2050).
Verfahren nach Anspruch 13, des Weiteren mit dem Schritt des Anforderns weiterer Referenzen (2100) von dem Anmelder, wenn die Referenzen nicht hinreichend mit den treuhänderisch hinterlegten Daten übereinstimmen.
Verfahren nach Anspruch 21, bei dem der Schritt des Anforderns weiterer Referenzen den Schritt des Stellens von Fragen an den Anmelder umfasst, wie es in der treuhänderisch hinterlegten Aufzeichnung spezifiziert ist.
Verfahren nach Anspruch 13, des Weiteren mit dem Schritt des Erfassens verschiedener Abschnitte der geheimen Informationen von einer Vielzahl von Vertrauenspersonen.
Verfahren nach Anspruch 13, bei dem zumindest ein Teil der digitalen Identifikationsinformationen durch die Prüfsumme der Identifikationsinformationen angegeben wird.
Computersystem, das angeordnet ist, um es zu ermöglichen, dass digitale geheime Informationen eines Computerbenutzers anschließend von einer Vertrauensperson wiederhergestellt werden, die einen öffentlichen Schlüssel der Vertrauensperson und einen privaten Schlüssel der Vertrauensperson hat, wobei das Computersystem umfasst: Mittel zum Bilden privater digitaler Identifikationsinformationen, die einen bestimmten Computerbenutzer (1020) identifizieren; Mittel zum Kombinieren der digitalen privaten Identifikationsinformationen mit den geheimen digitalen Informationen des Computerbenutzers, um kombinierte digitale Informationen (1030) zu erzeugen; Mittel zum Verschlüsseln der kombinierten digitalen Informationen unter Verwendung des öffentlichen Schlüssels der Vertrauensperson, derart, dass die kombinierten digitalen Informationen nur von dem privaten Schlüssel (1050) der Vertrauensperson entschlüsselt werden können, um eine treuhänderisch hinterlegte Aufzeichnung mit zumindest den verschlüsselten kombinierten digitalen Informationen zu erzeugen; Mittel zum Speichern der verschlüsselten digitalen Informationen; Mittel zum Geben der treuhänderisch hinterlegten Aufzeichnung zu der Vertrauensperson; Mittel zum Geben von Referenzen, die den bestimmten Computerbenutzer identifizieren, zu der Vertrauensperson; und Mittel zum Empfangen der geheimen digitalen Informationen von der Vertrauensperson.
Computersystem nach Anspruch 25, angeordnet, um Daten (18) zu speichern, die die Vertrauensperson identifizieren.
Computersystem nach Anspruch 25, angeordnet, um eine verschlüsselte Version des Verschlüsselungsschlüssels zu speichern, der eingesetzt wird, um die geheimen digitalen Informationen zu verschlüsseln.
Computersystem nach Anspruch 25, angeordnet, um eine Prüfsumme der Identifikationsinformationen und der geheimen digitalen Informationen zu speichern.
Computersystem nach Anspruch 25, bei dem die Identifikationsinformationen (18) zumindest eine der folgenden umfasst: Name; Adresse; Telefonnummer; Größe; Gewicht; Geburtsdatum; Hautfarbe; Rasse; Augenfarbe; Geburtsort; Arbeitgeber; Titel; Geschäftsort; Arbeitnehmeridentifikation, Leiter; Identifikationsnummer; digitalisierter Fingerabdruck; digitalisierte Fotografie; digitalisierte Sprachaufzeichnung; digitalisierte Retinainformationen; Informationen betreffend die DNA des Benutzers; digitalisierte Handschriftprobe; digitalisierter Tastenanschlag; Anschlaganalyse; DNA-Muster; und Tatsachen, die außer dem Computerbenutzer wahrscheinlich nicht allgemein bekannt sind.
Computersystem nach Anspruch 25, angeordnet, um Befehle zu speichern, die von der Vertrauensperson für den Fall zu folgen sind, dass ein Anmelder danach strebt, Zugriff auf die geheimen Informationen zu erhalten.
Computersystem nach Anspruch 25, angeordnet, um zumindest eine Frage (70) zu speichern, die von der Vertrauensperson an eine Person zu stellen ist, die versucht, die geheimen Informationen wiederherzustellen.
Computersystem, um es einem öffentlichen Schlüssel einer Vertrauensperson und einem privaten Schlüssel einer Vertrauensperson zu ermöglichen, treuhänderisch hinterlegte digitale geheime Informationen sicher zum Vorschein zu bringen, die in einer treuhänderisch hinterlegten Aufzeichnung an den Anmelder enthalten ist, wobei das Computersystem umfasst: Mittel zum Erhalten der treuhänderisch hinterlegten Aufzeichnung (2010); Mittel zum Erhalten von Referenzen, die den Anmelder (2020) identifizieren; Mittel zum Entschlüsseln zumindest eines Teils der treuhänderisch hinterlegten Aufzeichnung unter Verwendung des privaten Schlüssels (2030) der Vertrauensperson; Mittel zum Vergleichen der Referenzen des Anmelders mit Identifikationsinformationen, die in der treuhänderisch hinterlegten Aufzeichnung (2080) einbettet sind; und Mittel zum Zum-Vorschein-Bringen der treuhänderisch hinterlegten digitalen geheimen Informationen für den Anmelder, wenn die Referenzen mit den treuhänderisch hinterlegten Identifikationsinformationen übereinstimmen, die in den treuhänderisch hinterlegten Aufzeichnungen (2140) eingebettet sind.