在对数据库进行基于加密的访问控制时用于译码的方法和装置

摘要

用于在至少一个客户机装置对数据库进行基于加密的访问控制时进行译码的装置，其中该数据库在至少一个加密区域中提供有至少一个数据组，该装置具有：第一工具，其用于根据至少一个登记参数给相应的客户机装置分配确定的访问等级并给该客户机装置提供至少一个相应的第一组密钥，其中该客户机装置根据所分配的访问等级能够访问该数据库的利用该第一组密钥加密的第一区域以及该第一区域下属的所有区域；第二工具，其用于根据由能够访问相应区域的至少一个客户机装置对相应区域的相应数据组所进行的分类来提供分类结果；以及第三工具，其用于根据相应的分类结果来对相应数据组和/或相应数据组的数据组密钥来进行译码。

说明书

本发明涉及一种在多个客户机装置对数据库进行基于加密的访问控制时用于译码(Umschluesseln)的方法和装置。

这种数据库能够在不同的加密区域中提供不同内容的不同数据组。比如所提供的这种数据组是动态的数据比如流视频数据或流音频数据。其可以作为连续的数据流、作为所谓的“媒体流”从该数据库传输给客户机或客户机装置。比如通过因特网连接来进行这种连续数据流的传输。非动态数据的其他例子也可以是文本或图像文件。

在此客户机或客户机装置的确定的组可以被允许并从而能够访问一个或多个加密区域。

对于不同组的客户机装置的不同访问许可的必要性、所谓的不同的访问等级比如来自于法律要求，该法律要求规定了通过因特网所提供的数据必须进行分类，尤其用于防止未授权的人访问这些数据。关于此的一个例子是FSK12、FSK16或FSK18等中视频数据或视频电影的已知分类。

对于数据组的服务提供商，分类的要求也可以如下地来得到，即该提供商为他的不同顾客或顾客群想提供或者要提供不同的内容。

通常要过滤或要分类的数据组在服务器侧在其传输之前被离线过滤或分类。这不利地意味着，在能够被提供以进行传输之前，数据的全部内容必须被过滤或分类，以确定针对确定授权、比如FSK16或FSK18的哪个顾客群或针对哪些客户应该或能够释放确定的数据组。

为了针对不同的客户机装置或客户机装置组来进行访问控制，通常存在中央实体(Instanz)，比如在数据库的服务器上的应用，其实施数据组的过滤或分类。

通过中央实体进行访问控制，其缺点是静态的，也即数据组一次地被事先分类，并在数据库中继续保持其分类。

因此本发明的任务是，提供对数据库的一种动态的、基于加密的访问控制。

另一任务是，提供对数据库的一种动态的且价格合理的、基于加密的访问控制。

根据本发明，上述任务的至少之一通过具有权利要求1所述特征的方法和/或通过具有权利要求19所述特征的装置而得到解决。

由此推荐了一种在至少一个客户机装置对数据库进行基于加密的访问控制时用于译码的方法，其中该数据库至少在加密区域中提供有至少一个数据组，其中该方法包含有以下的步骤：

-优选地在首次提供并给相应客户机装置分配确定的访问等级时加密数据组，并提供至少一个相应的第一组密钥，该组密钥在该访问等级上加密该数据。该组密钥根据至少一个登记参数而被提供给该客户机装置，其中该客户机装置根据所分配的访问等级能够访问该数据库的利用该第一组密钥加密的第一区域以及该第一区域下属的所有区域。

-通过能够访问相应区域的至少一个客户机装置来对相应区域的相应数据组进行分类，以提供分类结果；以及

-根据相应的分类结果对相应的数据组和/或相应数据组的数据组密钥进行译码。

另外还推荐了一种在至少一个客户机装置对数据库进行基于加密的访问控制时用于译码的装置，其中该数据库在至少一个加密区域中提供有至少一个数据组，其中该装置具有：

-第一工具，用于给相应的客户机装置分配确定的访问等级，并用于根据至少一个登记参数给客户机装置提供至少一个相应的第一组密钥，其中该客户机装置能够根据所分配的访问等级来访问该数据库的利用该第一组密钥加密的第一区域以及该第一区域下属的所有区域。

-第二工具，用于根据由至少一个客户机装置对相应区域的相应数据组而进行的分类来提供分类结果，其中该至少一个客户机装置能够访问相应区域；以及

-第三工具，用于根据相应的分类结果对相应的数据组和/或相应数据组的数据组密钥来进行译码。

本发明的基本观点是把通过用户、客户机或客户机装置所进行的数据组分类或分级与数据组或其数据组密钥的译码相组合。由此能够根据由客户机装置所进行的分类来进行对数据库的基于加密的访问控制，其中所述的分类并不局限于确定的时间点或确定的时间段。从而根据本发明的基于加密的访问控制是动态的。通过由该客户机装置来实施分类，这也是分散的，并且与用于分类的中央实体无关。由此另外还降低了根据确定的用户组或用户团体的标准而进行的非故意错误分类的概率。

另外，根据本发明的基于加密的访问控制是更安全的，因为攻击者必须复制许多人或客户机，以实现错误分类。

此外，根据本发明的基于加密的访问控制也是价格合理的，因为用于分类的载荷可以划分到多个客户机装置上。

本发明的另一优点是，通过基于分散的分类能够实现更民主的访问控制。

另外还降低了审查的可能，因为许多不同的客户机或客户机装置一同通过确定的内容或数据组就能够判断尤其是他通过译码而应该分配了该数据库的哪个加密区域。根据本发明也不再需要通过前接于该数据库的实体来导入黑名单。

译码在此意味的是加密数据组的解密或加密数据组的数据组密钥的解密、以及相应利用新的另一加密密钥而进行的重新加密。译码的结果是，被译码的数据组或被译码的数据组密钥仅借助新的加密密钥才是可访问的。

该数据库或者可以作为传统的客户机-服务器解决方案而存在，或者也可以构建为分散的，比如构建为对等网络。正是在诸如对等网络的分布数据库中，不能设置中央过滤装置或分类装置。本发明尤其能够针对这种情况而被应用。

本发明的有利的扩展方案和改进方案参见从属权利要求以及结合附图的说明。

根据本发明的一个优选扩展方案，相应的加密区域存储有至少一个针对该区域而分类的数据组和/或针对该区域而分类的相应至少一个数据组的至少一个数据组密钥。

根据另一优选的扩展方案，相应的加密区域存储有针对该区域而分类的数据组的数据组密钥以及针对该区域的下属区域而分类的数据组的数据组密钥。

根据本发明的一个优选改进方案，该数据库被水平和/或垂直分等级地排列为多个区域，其中该客户机装置能够根据所分配的访问等级来访问该第一区域以及垂直分配给该第一区域的以及该第一区域水平下属的所有区域。

根据另一优选的扩展方案，借助所提供的分类结果来确定被分配了分类数据组的区域以及相应的组密钥，其中借助该组密钥来译码相应的数据组和/或相应数据组的数据组密钥。

根据另一优选的扩展方案，除了给该客户机装置提供第一区域的第一组密钥之外，还给其提供该第一区域下属的区域的所有组密钥。

根据另一优选的扩展方案，该第一区域存储有该第一区域下属区域的所有组密钥。

根据另一优选的扩展方案，相应的数据组和/或相应数据组的数据组密钥借助通过分类结果而确定的组密钥而被译码。

根据另一优选的扩展方案，所述至少一个登记参数包含有该客户机装置的用户的年龄、他的名字、由该数据库的运营商所分配的他的状态和/或他的在运行或维护该数据库的组织中位置。该组织比如可以是一个企业。

根据另一优选的扩展方案，给该数据库的共同水平层的不同区域分配相同的访问等级。附加地或代替地，可以给该数据库的共同垂直层的不同区域分配相同的主题区。

根据另一优选的扩展方案，给相应的数据组分配确定的访问等级并从而分配确定的区域，其中给能够访问该相应区域的该客户机装置提供了针对所述分类的访问等级的选择。

根据另一优选的改进方案，给相应的客户机装置提供了一个工具，借助该工具该客户机装置适于根据分配给相应客户机装置的信任等级针对由该客户机装置所作出的对所提供访问等级的选择而发出预先确定数量的投票。

根据另一优选的扩展方案，为访问等级的每个选择都预先确定一个阈值，其中相应的数据组利用访问等级而被分类，其中对于该访问等级由该客户机装置所发出的投票达到该预先确定的阈值。

根据另一优选的扩展方案，给相应的客户机装置根据其相应的访问等级来分配投票的数量。

根据另一优选的扩展方案，给相应的客户机装置根据其之前的投票行为来分配投票的数量。

根据另一优选的扩展方案，给分配有最高访问等级的客户机装置设置了一个工具，借助该工具能够阻止被提供用于选择的访问等级。

根据另一优选的扩展方案，该数据组具有动态的数据，这些动态数据适于作为连续的数据流从该数据库传输给相应的客户机装置。

根据另一优选的扩展方案，该数据组在最低访问等级中在首次提供时也可以保持未加密。

另外还推荐了一种计算机程序产品，该计算机程序产品在程序控制的装置上致使实施如上所述的本发明的方法。

诸如计算机程序工具的一种计算机程序产品比如可以作为存储介质来提供，所述存储介质如存储卡、USB记忆棒、软盘、CD记忆棒、CD-ROM、DVD，或以可在网络中从服务器下载的文件的形式被提供。这比如可以在无线通信网络中通过传输相应的具有该计算机程序产品或该计算机程序工具的文件来进行。

下面借助在示意性附图中所示的实施例来更详细解释本发明。其中：

图1示出了本发明方法的一个实施例的示意性流程图；

图2示出了具有不同加密区域的数据库的第一实施例的示意性框图；

图3示出了具有不同加密区域的数据库的第二实施例的示意性框图；

图4示出了具有不同加密区域的数据库的第三实施例的示意性框图；

图5示出了具有不同加密区域的数据库的第四实施例的示意性框图；

图6示出了具有不同加密区域的数据库的第五实施例的示意性框图；

图7示出了具有不同加密区域的数据库的第六实施例的示意性框图；

图8示出了为分类的客户机装置选择访问等级的一个实施例的示意性框图；以及

图9示出了本发明装置的一个实施例的示意性框图。

在所有的附图中，相同的或功能相同的工具和装置-除非另外说明-都用相同的参考符号来设置。

图1示出了根据本发明的、用于在至少一个客户机装置20对数据库DB进行基于加密的访问控制时进行译码的方法的实施例的示意性流程图。该数据库DB至少在一个加密区域B1、B2中提供至少一个数据组D1-D4。

下面借助在图1中的框图并参照图9中的框图来解释本发明的方法。根据图1的本发明的方法具有方法步骤S1-S3：

方法步骤S1：

根据至少一个登记参数A1或者具有多个登记参数A1的用户概况，给相应的客户机装置20分配了确定的访问等级L1、L2。另外还给该客户机装置20分配了相应的第一组密钥G1。该客户机装置20根据所分配的访问等级L1能够访问该数据库DB的、利用该第一组密钥G1加密的第一区域B1以及该第一区域B1下属的所有区域B2、B3。

所述至少一个登记参数A1比如包含有该客户机装置20的用户的年龄、其名字、由该数据库DB的运营商所分配的他的状态和/或在运行或维护该数据库DB的组织中他的位置。尤其还可以使用由多个登记参数A1所组成的用户概况。

方法步骤S2：

为了提供分类结果R，相应区域B1、B2的相应数据组D1-D4通过能够访问所述相应区域B1、B2的至少一个客户机装置20而被分类。

方法步骤S3：

根据相应的分类结果R，相应的数据组D1-D4和/或相应数据组D1-D4的数据组密钥K1-K4被译码。

图2示出了具有不同加密区域B1、B2的数据库DB的一个第一实施例的示意性框图。在此用第一访问等级L1并从而借助第一组密钥G1能够访问第一区域B1。借助第二组密钥G2能够访问该第一区域B1下属的第二区域B2。该第一区域B1比如存储有该数据组D1和D2，其中该第二区域比如存储有数据组D3和D4。

可代替地，如在图3中所示，该第一区域B1存储有该第一数据组D1的第一数据组密钥K1以及该第二数据组D2的第二数据组密钥K2。同样该第二区域B2可以存储有该第三数据组D3的第三数据组密钥K3以及该第四数据组D4的第四数据组密钥K4。

分配有最高访问等级L1的客户机装置20比如可以借助该第一组密钥G1来访问该第一加密区域B1，并从而获得该第一和第二数据组D1、D2的两个数据组密钥K1和K2。另外具有所述最高访问等级L1的客户机装置20也可以访问该第二区域D2。在此比如可以给具有最高访问等级L1的客户机装置20提供该第二组密钥G2，或者把该第二组密钥G2存储在该第一区域B1中(未示出)。

图4示出了具有不同加密区域B1和B2的数据库DB的一个第三实施例的示意性框图。在此，图4的实施例体现为图2和3的实施例的一种混合形式，其中相应的区域B1、B2存储以及提供有数据组D1及D4以及数据组密钥K2及K3。

在图5中示出了具有不同加密区域B1、B2的数据库DB的一个第四实施例的示意性框图。在此该数据库DB的第四实施例能够实现：相应的加密区域、比如该第一区域B1存储针对该第一区域B1而分类的数据组D1和D2的数据组密钥K1、K2以及附加地存储对于该第一区域B1的下属区域B2而分类的数据组D3、D4的数据组密钥K3、K4。

图6示出了具有不同加密区域B1-B5的数据库DB的一个第五实施例的示意性框图。按照图6的数据库DB水平和垂直地分等级地排列成多个区域B1-B5。在此该第一区域B1和第四区域B4具有较高的访问等级L1，区域B2、B3和B5具有较低访问等级L2。比如装备有第一组密钥G1的一个客户机装置20能够访问第一区域B1、第二区域B2和第三区域B3。同样装备有第四组密钥的一个客户机装置20可以访问该第四区域B4和第五区域B5。

为此图7示出了如下可能性：给数据库DB的共同水平层的不同区域B1、B4；B2、B3、B5分配一个相同的访问等级L1、L2，并且该数据库DB的共同垂直层的不同区域B1、B2、B3；B4、B5被分配给相同的主题区T1、T2。

比如该第一区域B1和第四区域B4设置在该数据库DB的第一水平层中。该第二区域B2、第三区域B3和第五区域B5设置在该第一层下属的一个第二水平层中。

另外该区域B1-B3还属于第一主题区T1，区域B4、B5属于第二主题区T2。

如果比如区域B1-B5提供有视频电影，那么该第一主题区T1就可以是主题区喜剧，该第二主题区T2比如可以是主题区西部。这两个访问等级L1和L2比如可以表现为FSK 12和FSK 6。另外，例如针对第二区域B2和第三区域B3的子主题区T11和T12也是可能的。在此第一子区域T11比如可以是童话喜剧，该第二子区域T12可以是动物喜剧。

图8示出了为进行分类的客户机装置20选择访问等级L1、L2的一个实施例的示意性框图，其中借助该分类等级该客户机装置20可以对相应的数据组D1-D4实施分类。比如图8在此示出了针对该第三数据组D3的选择AW(D3)。按照图8，该客户机装置20可以为该第三数据组D3而在该第一访问等级L1和第二访问等级L2之间进行选择。下面参照图9来详细解释分类以及可能的译码。

比如可以为选择AW(D3)的每个访问等级L1、L2来预先确定一个阈值。该第三数据组D3优选地利用该访问等级L1而被分类，其中针对该访问等级由该客户机装置20所发出的投票ST达到了预先确定阈值。按照图9的例子，该第三数据组D3借助该第一组密钥G1而从该第二区域B2分配给了较高的第一区域B1。

分配给相应客户机装置20的投票ST的数量可以根据其相应的访问等级L1、L2来确定。

附加地或代替地，投票ST的数量可以根据其之前的投票行为被分配给相应的客户机装置20。比如被提供给持续表现出与多数客户机装置20不同的投票行为的确定客户机装置20的投票ST的数量可以被减少。

另外也可以考虑给分配有最高访问等级L1的客户机装置20提供了工具，借助该工具能够阻止为选择AW(D3)所提供的访问等级L1、L2。

优选地给相应的客户机装置20提供了工具，该客户机装置借助该工具适于根据分配给相应客户机装置20的信任等级来发出预先确定数量的投票ST，其中所述投票是用于由该客户机装置20所做出的、对所提供访问等级L1、L2的选择AW(D3)。信任等级的分配可以根据至少一个登记参数A1来确定，或者可以由该数据库DB的运营商来确定。

在图9中示出了根据本发明的装置10的一个实施例的示意性框图，其中该装置10用于在至少一个客户机装置20在对数据库DB进行基于加密的访问控制时进行加密和译码，该数据库DB在至少一个加密区域B 1、B2中提供有至少一个数据组D1-D4。

本发明的装置10具有第一工具11、第二工具12和第三工具13。

该第一工具11适于根据至少一个登记参数A1来给相应的客户机装置20分配确定的访问等级L1、L2。另外该第一工具11还适于给相应的客户机装置20提供至少一个相应的第一组密钥G1。然后相应的客户机装置20根据所分配的访问等级L1、L2能够访问该数据库DB的利用该第一组密钥G1而加密的第一区域和该第一区域B1下属的所有区域B2。

该第二工具12适于：根据通过能够访问相应区域B1、B2的至少一个客户机装置20对相应区域B1、B2的相应数据组D1-D3所进行的分类，来提供一个相应的分类结果R。根据图9的例子，该第三数据组D3被分类。针对所述分类，所述相应的客户机装置20发出了他的投票ST，其中该第二工具12接收该投票。在不限制一般性的情况下，在图9中仅示出了唯一一个客户机装置20。对相应的数据组、比如该第三数据组D3进行分类的客户机装置20的数量仅受限于：该客户机装置20必须访问该相应的区域、在此为该第二区域B2。按照图9的例子其比如是被分配给第一访问等级L1或该第二访问等级L2的所有那些客户机装置20。从而这是访问该数据库DB的所有客户机装置20。

然而，仅被分配给第一访问等级L1的那些客户机装置20被配置用于对被分配给第一区域B1的第一和第二数据组D1、D2进行分类。

在上述的实施例中，该第一区域B1分别具有最高的访问等级L1。这比如仅仅是因为相应的第一区域是分配给相应客户机装置20的区域，所述相应客户机装置除了访问第一区域下属的区域之外还访问该区域。