通過可攜帶式通信設(shè)備為使用者授權(quán)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種用于通過可攜帶式通信設(shè)備在現(xiàn)場設(shè)備上為使用者授權(quán)的方法和相應(yīng)的進入控制系統(tǒng)。
【背景技術(shù)】
[0002]基于角色的訪問控制(Role-based Access Control，RBAC)的應(yīng)用越來越多地從電信領(lǐng)域轉(zhuǎn)移到自動化領(lǐng)域。在基于角色的訪問控制中充分利用了這種可能性，即將多個主體、特別是真實的使用者分配給一個范疇、即角色。其中，為被分配給一個共同角色的主體分配共同的功能和權(quán)限。由此借助于基于角色的訪問控制簡化了例如在設(shè)備的單個現(xiàn)場設(shè)備上的權(quán)限管理，這是由于在這里、例如在真實使用者的情況下，不必再利用使用者權(quán)限對使用者進行管理，而是利用角色信息和所屬的資格證明在現(xiàn)場設(shè)備上進行認證，并被允許與其角色相應(yīng)地執(zhí)行行動。在此，現(xiàn)場設(shè)備在此仍只實現(xiàn)了角色和權(quán)限的對應(yīng)關(guān)系。
[0003]為了使屬于角色的權(quán)利證明可供設(shè)備使用，迄今存在例如應(yīng)用U盤或智能卡或與下游的公共設(shè)施連接的設(shè)計方案。對于將U盤、智能卡或類似的輔助裝置用于進行認證的認證方法來說，物理端口均是必不可少的。有必要建立輔助裝置和現(xiàn)場設(shè)備之間的連接，這例如通過插入智能卡進行。通常緊接著借助于附屬的密碼進行激活。
[0004]從中尤其會產(chǎn)生這一問題，即現(xiàn)場設(shè)備，特別是現(xiàn)場設(shè)備制造年份較久遠時，不支持上述方法或者不具有相應(yīng)的端口。此外，輔助裝置還須由待授權(quán)人員一直隨身攜帶，即例如一直攜帶U盤以備用于在設(shè)備上登陸。
[0005]從專利公開文件DE 10 2007 046 079 Al中已知了，在自動化領(lǐng)域中將一次性密碼用于遠程維護進入。

【發(fā)明內(nèi)容】

[0006]在此背景下，本發(fā)明的目的在于，提出一種方法和進入控制裝置，其能夠簡化對現(xiàn)場設(shè)備的訪問。
[0007]該目的通過具有在獨立權(quán)利要求中所述的特征的方法和進入控制裝置實現(xiàn)。有利的設(shè)計方案在從屬權(quán)利要求中進行說明。
[0008]根據(jù)本發(fā)明，用于通過可攜帶式通信設(shè)備在現(xiàn)場設(shè)備上為使用者授權(quán)的方法具有以下步驟:
[0009]通過可攜帶式通信設(shè)備檢測用于識別現(xiàn)場設(shè)備的第一信息。由可攜帶式通信設(shè)備將該第一信息和用于識別該可攜帶式通信設(shè)備或其使用者的第二信息發(fā)送給系統(tǒng)。該系統(tǒng)取決于該第一信息和第二信息測定第一進入信息，并且將第一信息發(fā)回給可攜帶式通信設(shè)備?？蓴y帶式通信設(shè)備將第二信息和第一進入信息傳輸給現(xiàn)場設(shè)備。該現(xiàn)場設(shè)備取決于該第二信息測定第二進入信息，并將第一進入信息與第二進入信息進行比較。如果第一進入信息和第二進入信息一致，則允許進入現(xiàn)場設(shè)備。
[0010]在本專利申請書中，將特征數(shù)據(jù)理解為第一和第二信息，例如現(xiàn)場設(shè)備的序列號或者使用者的角色信息。第一和第二信息由此識別系統(tǒng)的互相進行通信的部件、例如自動化設(shè)備的互相進行通信的現(xiàn)場設(shè)備，或者將其與服務(wù)器或與用于維護目的的可攜帶式通信設(shè)備、例如筆記本電腦或智能手機視為一致。
[0011]下文中所述的優(yōu)點不必一定通過獨立權(quán)利要求中所述的對象實現(xiàn)。相反地，在此也可以涉及僅通過單個的設(shè)計方案實現(xiàn)的優(yōu)點。
[0012]對于自動化設(shè)備領(lǐng)域的從業(yè)人員來說、例如對于技術(shù)服務(wù)人員來說，可攜帶式通信設(shè)備、特別是例如移動電話或智能手機屬于常用設(shè)備。因此，用于借助于可攜帶式通信設(shè)備為使用者授權(quán)的方法是對于充分利用了移動通信技術(shù)優(yōu)勢的、基于角色的訪問控制的簡化方法。
[0013]在一種有利的設(shè)計方案中，該方法包括以下步驟:
[0014]為了檢測第一信息，使用者利用可攜帶式通信設(shè)備、特別是具有嵌入式攝像頭的移動電話拍攝編碼、特別是一維的條形碼或二維的快速響應(yīng)碼(Quick Response Code，縮寫QR-Code)。該可攜帶式通信設(shè)備對編碼進行解碼，并通過短消息將第一信息通過通信服務(wù)發(fā)送給服務(wù)器。
[0015]為了識別現(xiàn)場設(shè)備而在此使用一種方法，該方法減少了在進行識別時、例如通過錯誤輸入而發(fā)生的錯誤。
[0016]可攜帶式通信設(shè)備借助于短消息通過通信服務(wù)將用于識別現(xiàn)場設(shè)備的第一信息發(fā)送給設(shè)計為服務(wù)器的系統(tǒng)，通過這種方式，第一信息和用于識別可攜帶式通信設(shè)備本身的第二信息能夠以有利的方式共同發(fā)送。其中，可攜帶式通信設(shè)備的識別能夠例如通過發(fā)送短消息的手機號實現(xiàn)。此外，為了傳輸?shù)谝恍畔?，也能夠?yīng)用例如即時消息或發(fā)送電子郵件等技術(shù)。識別則隨后通過在即時消息服務(wù)器上進行認證或者通過電子郵件簽名而實現(xiàn)。
[0017]根據(jù)本發(fā)明的另一種設(shè)計方案，系統(tǒng)根據(jù)固定規(guī)則為由第一信息和第二信息構(gòu)成的組合分配第一密碼。此外，系統(tǒng)取決于該組合還將第一密碼確定為第一進入信息。現(xiàn)場設(shè)備同樣也根據(jù)該固定規(guī)則為該組合分配第二密碼并取決于該組合將第二密碼確定為第二進入?目息。
[0018]在該設(shè)計方案中，由系統(tǒng)發(fā)送靜態(tài)密碼，其中，系統(tǒng)取決于組合測定該靜態(tài)的第一密碼?，F(xiàn)場設(shè)備具有本地數(shù)據(jù)庫，在該數(shù)據(jù)庫中，根據(jù)通過系統(tǒng)進行的分配為由第一信息和第二信息構(gòu)成的可能組合儲存所屬的密碼。
[0019]根據(jù)本方法的另一種有利的設(shè)計方案，為系統(tǒng)和現(xiàn)場設(shè)備預(yù)設(shè)共同的秘密。此外，除了第一信息和第二信息外，可攜帶式通信設(shè)備將日期發(fā)送給系統(tǒng)。系統(tǒng)借助于共同的秘密從第一信息、第二信息和日期中計算出第一一次性密碼作為第一進入信息。現(xiàn)場設(shè)備借助于共同的秘密從第二信息和日期以及對于現(xiàn)場設(shè)備來說已知的第一信息中計算出第二一次性密碼作為第二進入信息。
[0020]該共同秘密可以是單向函數(shù)、例如散列函數(shù)(SHA-1，SHA-256等)，或是取決于密鑰的散列函數(shù)、也稱為消息認證碼(Message Authenticat1n Code, MAC) (HMAC-SHA-l，HMAC-SHA-256等)。此外還能夠在所謂的密碼分組鏈接MAC-模式(Cipher-Block-ChainingMAC-Modus, CBC MAC Mode)下應(yīng)用對稱加密算法、例如數(shù)據(jù)加密標(biāo)準(zhǔn)(Data Encrypt1nStandard, DES)、三重數(shù)據(jù)加密標(biāo)準(zhǔn)(Tripple Data Encrypt1n Standard, 3DES)或高級加密標(biāo)準(zhǔn)(Advanced Encrypt1n Standard, AES) ο
[0021]由于將單向函數(shù)用于計算一次性密碼而不必發(fā)送靜態(tài)密碼。靜態(tài)密碼存在安全風(fēng)險，這主要是因為它能夠被偵測到，例如通過這種方式，即攻擊者成功訪問與移動設(shè)備所交換的信息。
[0022]在本專利申請書中將用于確定某時間段的說明理解為日期，在該時間段內(nèi)，所生成的一次性密碼具有有效性。在此例如涉及當(dāng)前日期的說明，其中，在這種情況下，所生成的密碼例如對于所說明的日期來說是有效的。
[0023]根據(jù)本方法的另一種有利的設(shè)計方案，為系統(tǒng)預(yù)設(shè)第一秘密和第二秘密，以及為現(xiàn)場設(shè)備預(yù)設(shè)第二秘密。除了第一信息和第二信息外，可攜帶式通信設(shè)備將日期發(fā)送給系統(tǒng)。系統(tǒng)借助于固定規(guī)則為第二信息分配第一密碼，并借助于第一秘密取決于第一信息、第二信息和第一密碼計算出中間密碼。隨后，系統(tǒng)借助于第二秘密從中間密碼和日期中計算出會話特定的第一一次性密碼作為第一進入信息。
[0024]現(xiàn)場設(shè)備依據(jù)第二信息測定中間密碼，其中，現(xiàn)場設(shè)備不了解第一密碼，并且也不能測定該第一密碼。最后，現(xiàn)場設(shè)備借助于第二秘密從中間密碼和日期中計算出會話特定的第二一次性密碼作為第二進入信息。
[0025]這樣設(shè)計的方法一方面能夠?qū)崿F(xiàn)在系統(tǒng)上對進入數(shù)據(jù)進行的中央管理:在此例如為識別可攜帶式通信設(shè)備或其使用者的第二信息分配所屬的密碼。例如存在列出了所有在該自動化設(shè)備上工作的技術(shù)服務(wù)人員及其相應(yīng)密碼的列表。這也有益于促進對于管理