DE69838769T2

DE69838769T2 - System und Verfahren zum anonymen, personalisierten Browsen in einem Netzwerk

Info

Publication number: DE69838769T2
Application number: DE69838769T
Authority: DE
Inventors: Eran Summit Gabber; Yossi Potomac Matias; Phillip B. Westfield Gibbons; Alain Jules New York Mayer
Original assignee: Lucent Technologies Inc
Current assignee: Nokia of America Corp
Priority date: 1997-01-22
Filing date: 1998-01-13
Publication date: 2008-11-20
Anticipated expiration: 2018-01-14
Also published as: CA2222480A1; US5961593A; EP0855659B1; JPH10254807A; CA2222480C; DE69838769D1; EP0855659A1

Description

TECHNISCHES GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft allgemein Netzwerke und insbesondere ein System und Verfahren, das Benutzern erlaubt, auf personalisierten Serverressourcen in einem Netzwerk anonym zu browsen.
ALLGEMEINER STAND DER TECHNIK
Das Internet ist eine wohlbekannte Ansammlung von Netzwerken (z. B. öffentlichen und privaten Datenkommunikations- und Multimedia-Netzwerken), die unter Verwendung gemeinsamer Protokolle zusammenarbeiten (kooperieren), um ein weltweites Netzwerk von Netzwerken zu bilden.
In den letzten Jahren hat es die Verfügbarkeit effizienterer, zuverlässigerer und kosteneffektiverer Computer und Vernetzungswerkzeuge vielen Firmen und Einzelpersonen (kollektiv „Benutzern") erlaubt, an einem immer weiter wachsenden elektronischen Markt teilzunehmen. Durch die unermeßlichen Technologiegewinne, die die Computerindustrie insgesamt erfährt, ist es diesen Benutzern möglich geworden, handelsübliche Computer, wie zum Beispiel Personal Computer („PCs") zu verwenden, um ihren Informationsverarbeitungs- und Kommunikationsbedürfnissen zu genügen. Für diesen Zweck statten PC-Hersteller die meisten PCs mit einer Schnittstelle aus, die zur Kommunikation über Netzwerke wie etwa das Internet verwendet werden kann.
Das Internet vergrößert weiterhin seine Position als integraler Platz für Unternehmen, der potentiellen Kunden Informationen und Dienstleistungen anbietet. Beliebte Beispiele für solche Unternehmen sind Nachrichtenanbieter (z. B. www.cnn.com (das Kabelnachrichtennetzwerk), www.nytimes.com (die New York Times), www.wsj.com (das Wall Street Journal), www.ft.com (Financial Times Magazine), www.businessweek.com (Business Week Magazine)); Autohersteller (z. B. www.ford.com/us (die Ford Motor Company), www.gm.com (die General Motor Company), www.toyota.com (die Toyota Motor Company); der Buchhandel (z. B. www.amazon.com (Amazon.com Books)); Softwareanbieter (z. B. www.microsoft.com (die Microsoft-Software Company)) und viele weitere.
In den meisten Fällen richtet ein solches Unternehmen eine Homepage im World Wide Web ein (eine „Website", das World Wide Web ist eine logische Überlagerung des Internet). Die Website stellt eine elektronisch adressierbare Speicherstelle dar, die für die Förderung, Werbung und Ausführung von Unternehmen verwendet werden kann. Potentielle elektronische Kunden verwenden Web-Browser (z. B. NETSCAPE NAVIGATOR^®, MICROSOFT EXPLORER^® usw.), um auf die auf diesen Websites angebotenen Informationen zuzugreifen.
Eine zunehmende Anzahl von Websites bieten personalisierte Dienstleistungen an, wie etwa „personaliserte Webseiten", die an die Interessen eines Benutzers angepaßt sind, mit Hyperlinks (eine Referenz oder ein Link von einem bestimmten Punkt in einem Hypertext-Dokument auf einen bestimmten Punkt in einem anderen Dokument oder an einer anderen Stelle in demselben Dokument – häufig auf eine bestimmte unterscheidbare Weise angezeigt (z. B. in einer verschiedenen Farbe, einem verschiedenen Font oder Stil)) und gemäß den Präferenzen des Benutzers zurechtgeschnittenen angezeigten Nachrichten. Solche Präferenzen können bestimmt werden, indem man einen Benutzer ein Account mit dieser Website herstellen läßt. Dadurch kann die Website Informationen über die vorherigen Besuche des Benutzers speichern, entweder durch Verfolgen der Hyperlinks, denen der Benutzer gefolgt ist, oder durch explizite Dialoge mit dem Benutzer. Zum Beispiel gibt das Wall Street Journal jedem Benutzer ein „personalisiertes Journal", wobei die Sequenz und Auswahl von Abschnitten agepaßt ist. Um ein Account zu öffnen, muß der Benutzer typischerweise elektronisch ein Formular ausfüllen, wobei ein Benutzername, ein Paßwort, eine Adresse für elektronische Mail („Email") usw. angegeben wird. Letzerer wird häufig von der Website verwendet, um Informationen, die nicht auf der Website selbst bereitgestellt werden, zu dem Benutzer zurückzusenden.
Angesichts des naturgemäßen Fehlens an Privatsphäre elektronischer Kommunikation über das Internet allgemein und insbesondere das World Wide Web bestand schon lange der Eindruck, daß ein System, das private elektronische Kommunikation sicherstellen könnte, äußerst vorteilhaft wäre. Als Beispiel für das Problem betrachte man die Misere eines Kunden, der gerne auf sichere und private (anonyme) Weise im World Wide Web browsen würde und Sites besucht, die personalisierten Dienst anbieten. Der Kunde würde gerne Accounts auf Websites herstellen, ohne seine wahre Identität zu enthüllen und ohne dieselben Benutzernamen, Paßwörter für mehrere Sites wiederzuverwenden. Kunden sollten versuchen, nicht dieselben Benutzernamen und Paßwörter auf mehreren Sites zu benutzen, um zu vermeiden, daß ein Sicherheitsverstoß auf einer Site sich auf andere Sites auswirkt; solche Benutzernamen und Paßwörter möglichst nicht zu benutzen, begrenzt zusätzlich die Möglichkeit für mehrere Sites, zusammenzuspielen, um Kundeninformationen zu kombinieren und Dossiers über bestimmte Kunden aufzubauen.
Typischerweise besucht der Kunde viele dieser Websites und das Erfinden und Sichmerken neuer Benutzernamen und Paßwörter für jede Website wird umständlich. Darüberhinaus fordern viele dieser Websites, daß der Kunde seine Email-Adresse zusammen mit seinem Benutzernamen und Paßwort angibt – durch Angabe seiner Email-Adresse enthüllt der Kunde seine Identität.
Zusätzlich sind kommerzielle Produkte erhältlich, die es Websites ermöglichen, ihre Klienten und Besucher zu verfolgen. Eine solche Verfolgung kann sogar dann geschehen, wenn keine freiwilligen Informationen vom Benutzer angegeben werden und kein Formular ausgefüllt wird. Beispiele für solche Systeme sind der „Webreporter", der von OPENMARKET, Inc., erhältlich ist, und „SiteTrack", erhältlich von GROUP CORTEX, deren Werbung folgendermaßen lautet:
"Identifizieren Sie, wer Ihre Site besucht. Verzeichnen sie die tatsächliche Anzahl von Personen, die Sie besuchen. Finden Sie, welchen Links sie folgen und verfolgen Sie ihren vollständigen Weg. Erfahren Sie, von welcher Site Benutzer kamen und zu welcher Site sie weitergehen..."
Diese Produkte werden ermöglicht, weil das Hypertext Transport Protocol ("HTTP-protocol"), auf dem das World Wide Web zum großen Teil basiert, einen Rückfluß spezifischer Informationen von dem Benutzer zu der Website erlaubt. Dazu gehört zum Beispiel die Email-Adresse des Benutzers, die letzte Website, von der er kam, und Informationen über die Software und den Host-Computer des Benutzers. Weitere relevante Benutzerinformationen können von der Website unter Verwendung sogenannter "Cookies" (Informationselemente, die Websites in dem Browser des Benutzers speichern können) zu dem Benutzerbrowser gesendet werden. Bei nachfolgenden Besuchen der Websites sendet der Browser des Benutzers Informationen ohne Kenntnis des Benutzers zu der Website zurück.
Aus dem Obigen ist ersichtlich, daß in der Technik ein Verfahren benötigt wird, das anonymes personalisiertes Web-Browsen schafft und zwei anscheinend konfliktierende Aufgaben erfüllt, nämlich Bereitstellen von Benutzerprivatsphäre und Benutzeridentifikation.
Reed M. G. et al: „Proxies for Anonymous Routing" Proc. Of the 12th Annual Computer Security Applications Conf., 9. Dezember 1996 bis 13. Dezember 1996, San Diego, Seiten 95–104, beschreibt eine flexible Kommunikationsinfrastruktur, Zwiebel-Routing, die gegenüber Verkehrsanalyse widerstandsfähig ist. Zwiebel-Routing schafft anwendungsunabhängige bidirektionale anonyme Echtzeit-Verbindungen, die sowohl gegenüber Lauschversuchen als auch Verkehrsanalysen widerstandsfähig sind. Über anonymen Verbindungen kann Benutzeranonymität geschichtet werden, indem Identifizierungsinformationen aus den Datenströmen entfernt werden.
Kurzfassung der Erfindung
Systeme und ein Verfahren gemäß der Erfindung werden in den unabhängigen Ansprüchen definiert. Bevorzugte Formen werden in abhängigen Ansprüchen definiert.
Um die oben besprochenen Unzulänglichkeiten des Stands der Technik zu behandeln, führt die vorliegende Erfindung ein Proxy-System ein, das zwei Grundfunktionen ausführt: (1) automatische Substitution von benutzerspezifischen Kennungen dergestalt, daß Serversites (z. B. Websites, Kreuzungspunkte, intelligente Portal-Einrichtungen, Router, Netzwerkserver, usw.) in einem Netzwerk die wahre Identität des auf Sites browsenden (zugreifenden, findenden, abrufenden, lesenden, kontaktierenden usw.) Benutzers nicht bestimmen können; und (2) automatisches Entfernen jeglicher anderer Informationen, die mit Browsing-Befehlen assoziiert sind, die es den Serversites ermöglichen würden, die wahre Identität des auf den Serversites browsenden Benutzers zu bestimmen. Ein wichtiger Aspekt der vorliegenden Erfindung besteht darin, daß die obigen Funktionen von dem Proxy-System bei nachfolgenden Besuchen auf der Serversite einheitlich ausgeführt werden (es werden dieselben Ersatzkennungen verwendet, um Besuche auf der Serversite zu wiederholen; die Serversite kann auch nicht zwischen von dem Benutzer und vom Proxy-System gelieferten Informationen unterscheiden, so daß das Proxy-System für die Serversite transparent ist). Die vorliegende Erfindung führt deshalb nicht nur anonymes Browsen ein, sondern auch Personalisierung auf der Basis der einheitlichen Benutzung von Ersatzkennungen.
Es sollte angemerkt werden, daß der hier verwendete Begriff „echt" folgendes bedeutet: genau, tatsächlich, authentisch, mindestens teilweise korrekt, wahrheitsgetreu, echt oder dergleichen, und der hier verwendete Begriff „oder" inklusive ist, das heißt und/oder bedeutet; und die hier verwendete Phrase „assoziiert mit" und Ableitungen davon folgendes bedeuten kann: eingeschlossen in, verbunden mit, enthalten, enthalten sein in, verbinden mit oder zu, koppeln zu oder mit, kommunizierbar sein mit, überlagern, kooperieren mit, verschachteln, eine Eigenschaft sein von, auf etwas ein- oder beschränkt sein, aufweisen, eine Eigenschaft aufweisen oder dergleichen.
Wie später ausführlicher beschrieben werden wird, betreffen die Prinzipien der vorliegenden Erfindung die konfliktierenden oben beschriebenen Aufgaben der Benutzerprivatsphäre und Benutzeridentifikation durch Bereitstellung eines Proxy-Systems, eines Peripherie-Proxy-Systems und eines Verfahrens zum Bereitstellen von Ersatzkennungen für eine Serversite, wodurch Benutzer über das Proxy-System anonym auf selbiger browsen können.
Bei einer Ausführungsform shafft die vorliegende Erfindung zur Verwendung mit einem Netzwerk mit Serversites, auf denen Benutzer auf der Basis von in den Serversites empfangenen und für den Benutzer persönlichen Kennungen browsen können, ein zentrales Proxy-System zum Bereitstellen von Ersatzkennungen für die Serversites, die es den Benutzern erlauben, über das zentrale Proxy-System anonym auf den Serversites zu browsen. Gemäß verschiedenen Ausführungsformen der vorliegenden Erfindung können die Ersatzkennungen auf geeignete Weise durch die Benutzersite oder eine mit der zentralen Site assoziierten Routine konstruiert werden (vorteilhafte Verfahren (Funktionen) zum Konstruieren der Ersatzkennungen werden später beschrieben). Das beispielhafte zentrale Proxy-System enthält folgendes: (1) eine computerausführbare erste Routine, die sitespezifische Ersatzkennungen, die aus für die Benutzer spezifischen Daten konstruiert werden, verarbeitet (empfängt, annimmt, erhält, konstruiert, produziert usw.), (2) eine computerausführbare zweite Routine, die die Ersatzkennungen zu den Serversites sendet und danach von den Benutzern empfangene Browsing-Befehle zu den Serversites weitersendet, und (3) eine computerausführbare dritte Routine, die Teile der Browsing-Befehle, die die Benutzer den Serversites identifizieren würden, entfernt (und möglicherweise ersetzt). "Enthalten" und Ableitungen davon sollen im vorliegenden Gebrauch Einschluß ohne Einschränkung bedeuten.
Bei einer Ausführungsform wird die erste der zwei oben aufgeführten Grundfunktionen außerhalb des zentralen Proxy-Systems ausgeführt, während sie bei einer anderen mindestens teilweise in dem zentralen Proxy-System ausgeführt wird. Das zentrale Proxy-System verarbeitet die Ersatzkennungen auf geeignete Weise und leitet sie weiter und führt die zweite der oben aufgeführten Grundfunktionen aus, indem andere Informationen, die die Benutzer meist identifizieren würden, entfernt werden. Ein Internet-Zugangsanbieter („ISP"), wie etwa NETCOM^®, oder ein Vernetzungsdienst, wie etwa AMERICA ONLINE^® oder COMPUSERVE^®, können das zentrale Proxy-System vorteilhafterweise verwenden, um eine anonyme Weiterübertragung von Browsing-Befehlen durch ihre Benutzer bereitzustellen.
Es ist wichtig zu verstehen, daß die nachfolgende Benutzung des Proxy-Systems durch einen „selben" Benutzer zu einer „selben" Serversite bewirkt, daß das Proxy-System (direkt oder indirekt) dieselben (sitespezifischen) Ersatzkennungen konstruiert und benutzt. Typischerweise fungiert das Proxy-System als eine Durchleitung, die Nachrichten zwischen dem Benutzer und dem Server übermittelt. Abhängig von der Ausführungsform kann das Proxy-System einen bestimmten Teil von durch den Benutzer zu dem Server übermittelten Nachrichten entfernen oder ersetzen, um Anonymität sicherzustellen.
Eine alternative vorteilhafte Ausführungsform der vorliegenden Erfindung kann in Form eines Peripherie-Proxy-Systems bereitgestellt werden, das für die Verwendung mit einem Netzwerk ausgelegt ist, das eine Serversite aufweist, auf der Benutzer auf der Basis von in der Serversite empfangenen und für die Benutzer persönlichen Kennungen browsen können. Das Peripherie-Proxy-System enthält folgendes: (1) eine computerausführbare erste Routine, die eine bestimmte Ersatzkennung aus von einem bestimmten Benutzer empfangenen Daten konstruiert, und (2) eine computerausführbare zweite Routine, die die bestimmte Ersatzkennung zu dem zentralen Proxy-System sendet, wobei das zentrale Proxy-System die bestimmte Ersatzkennung zu der Serversite weitersendet und danach von dem bestimmten Benutzer empfangene Browsing-Befehle zu der Serversite weitersendet. Gemäß dieser Ausführungsform kann die erste Routine zumindest teilweise mit der Benutzersite assoziiert werden, wodurch die Grundfunktionen der vorliegenden Erfindung über mehrere Computersysteme verteilt werden.
Es wurden oben relativ allgemein bevorzugte und alternative Merkmale der vorliegenden Erfindung skizziert, so daß Fachleute die folgende ausführliche Beschreibung der Erfindung besser verstehen können. Im folgenden werden zusätzliche Merkmale der Erfindung beschrieben, die den Gegenstand der Ansprüche der Erfindung bilden. Für Fachleute sollte ersichtlich sein, daß sie die offenbarte Konzeption und spezifische Ausführungsform ohne weiteres als Grundlage für den Entwurf oder das Modifizieren anderer Strukturen zum Ausführen derselben Zwecke der vorliegenden Erfindung verwenden können.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Für ein vollständigeres Verständnis der vorliegenden Erfindung wird nun auf die folgenden Beschreibungen in Verbindung mit den beigefügten Zeichnungen verwiesen, in denen gleiche Zahlen gleiche Objekte kennzeichnen.
Es zeigen:
1 ein Blockschaltbild auf hoher Ebene eines beispielhaften verteilten Netzwerks mit dem die Prinzipien der vorliegenden Erfindung auf geeignete Weise verwendet werden können, um entweder ein zentrales oder ein Peripherie-Proxy-System bereitzustellen, um es Benutzern zu erlauben, Serversites eines Netzwerks Ersatzkennungen zuzuführen, um anonym zu browsen;
2 ein Blockschaltbild eines beispielhaften Teilnetzwerks des verteilten Netzwerks von 1, wobei ein zentrales Proxy-System gezeigt ist, das jeweils eine Benutzersite, ein zentrales Proxy-System und mehrere beispielhafte Serversites gemäß den Prinzipien der vorliegenden Erfindung enthält;
3 ein beispielhaftes Vollbildschirm-Fenster eines Proxy-Systems gemäß den Prinzipien der vorliegenden Erfindung;
4 ein beispielhaftes Vollbildschirm-Fenster einer Schnittstelle einer bestimmten Serversite gemäß den Prinzipien der vorliegenden Erfindung;
5 ein Blockschaltbild eines beispielhaften Teilnetzwerks des verteilten Netzwerks von 1, wobei ein Peripherie-Proxy-System gezeigt ist, das jeweils eine Benutzersite, ein zentrales Proxy-System und mehrere beispielhafte Serversites gemäß den Prinzipien der vorliegenden Erfindung enthält;
6 ein Blockschaltbild eines beispielhaften Teilnetzwerks des verteilten Netzwerks von 1 mit jeweils einer Benutzersite, einem zentralen Proxy-System und mehreren beispielhaften Serversites gemäß einer beispielhaften Markierer-Proxy-Ausführungsform der vorliegenden Erfindung.
AUSFÜHRLICHE BESCHREIBUNG
Unter anfänglicher Bezugnahme auf 1 ist ein Blockschaltbild auf hoher Ebene eines beispielhaften verteilten Netzwerks (mit der allgemeinen Kennzeichnung 100) dargestellt, mit dem die Prinzipien der vorliegenden Erfindung geeigneterweise verwendet werden können, um entweder ein zentrales oder ein Peripherie-Proxy-System bereitzustellen. Das verteilte Netzwerk 100 enthält beispielsweise mehrere Computersites 105 bis 110, die beispielsweise durch das Internet 115 assoziiert werden. Das Internet 115 umfaßt das World Wide Web, das selbst kein Netzwerk ist, sondern stattdessen eine durch eine Kombination von Browsern, Serversites, HTML-Seiten und dergleichen über dem Internet 115 aufrechterhaltene „Abstraktion".
Gemäß der dargestellen Ausführungsform liefert jedes Proxy-System Ersatzkennungen für eine oder mehrere einer Vielzahl von Serversites 110 des Netzwerks 100. Die Ersatzkennungen erlauben es Benutzersites (und daher (nicht gezeigten) Benutzern) über das Proxy-System anonym auf den Serversites zu browsen. Die einheitliche Verwendung derselben (sitespezifischen) Ersatzkennungen auf einer bestimmten Serversite personalisiert das Browsen. Zur Veranschaulichung wird angenommen, daß die Site 105a in der gesamten vorliegenden Schrift eine Benutzersite ist, es wird angenommen, daß die Site 110a eine zentrale Proxysite ist und es wird angenommen, daß die Site 110g eine Serversite ist.
Fachleute in der betreffenden Technik werden verstehen, daß 1 lediglich beispielhaft ist, bei anderen Konfigurationen beliebige der Sites 105 bis 110 ein Benutzer, eine zentrale Proxy- oder eine Serversite oder eine Kombination mindestens zweier dieser sein können. „Serversite", so wie dieser Begriff hier verwendet wird, wird allgemein aufgefaßt und kann eine beliebige Site umfassen, auf der Browsen möglich ist.
Obwohl die dargestellte Ausführungsform geeigneterweise für das Internet 115 implementiert und darüber verwendet wird, können die Prinzipien und der allgemeine Schutzumfang der vorliegenden Erfindung mit jedem beliebigen entsprechend angeordneten Computer, Kommunikations-, Multimedia- oder anderweitigem Netzwerk assoziiert werden, gleichgültig, ob verdrahtet oder drahtlos, bei dem Benutzer auf der Basis von Kennungen, die in den Serversites empfangen werden und für die Benutzer persönlich sind, auf Serversites browsen können. Obwohl die Prinzipien der vorliegenden Erfindung unter Verwendung einer einzigen Benutzersite 105a, einer einzigen zentralen Proxysite 110a und einer einzigen Serversite 110g dargestellt werden, können ferner alternative Ausführungsformen innerhalb des Schutzumfangs selbiger eine Vielzahl von Benutzer-, zentralen Proxy- oder Serversites umfassen.
Es wird angenommen, daß das beispielhafte Netzwerk 100 eine Vielzahl unsicherer Kommunikationskanäle enthält, die wirken, um einzelne der verschiedenen Sites 105 bis 110 des Netzwerks 100 miteinander zu koppeln. Das Konzept der Kommunikationskanäle ist bekannt und ermöglicht unsichere Übermittlung von Informationen zwischen einzelnen der miteinander gekoppelten Sites (das Internet verwendet herkömmliche Kommunikationsprotokolle, die ebenfalls bekannt sind). Auf mindestens einigen der Sites 105, 110 wird ein verteiltes Netzwerk-Betriebssystem ausgeführt und kann die unsichere Übermittlung von Informationen dazwischen verwalten. Es sind auch verteilte Netzwerk-Betriebssysteme bekannt.
Gemäß dem beispielhaften zentralen Proxy-System 110a der vorliegenden Erfindung, das ausführlich mit Bezug auf 2 besprochen wird, können geeigneterweise der Serversite 110g indirekt durch das zentrale Proxy-System 110a Ersatzkennungen zugeführt werden (man erinnere sich, daß es Ersatzkennungen der Benutzersite 105a erlauben, anonym auf der Serversite 110g zu browsen). Es werden geeigneterweise eine oder mehrere sitespezifische Ersatzkennungen aus für den Benutzer 105a spezifischen Daten entweder durch den Benutzer 105a oder das zentrale Proxy-System 110a bereitgestellt oder konstruiert. Das zentrale Proxy-System 110a enthält eine Vielzahl ausführbarer Routinen – eine erste Routine verarbeitet sitespezifische Ersatzkennungen, die aus für den Benutzer 105a spezifischen Daten konstruiert werden (sitespezifische Ersatzkennungen können geeigneterweise durch eine zentrale Proxysite 110a konstruiert werden, wie zum Beispiel durch eine mit dem zentralen Proxy-System 110a assoziierte Routine); eine zweite Routine sendet die Ersatzkennungen zu der Serversite 110g (möglicherweise über eine Vielzahl zwischengeschalteter Benutzer- und Serversites 105, 110) und sendet danach von der Benutzersite 105a empfangene Browsing-Befehle weiter zu der Serversite 110g; und eine dritte Routine entfernt (und substituiert möglicherweise) Teile der Browsing-Befehle, die die Benutzersite 105a der Serversite 110g (und der Vielzahl zwischengeschalteter Benutzer- und Serversites 105, 110) identifizieren würden. Der hier verwendete Ausdruck „Routine" wird allgemein so aufgefaßt, daß er nicht nur herkömmliche Bedeutungen umfaßt, wie etwa Programm, Prozedur, Objekt, Task, Subroutine, Funktion, Algorithmus, Anweisungssatz und dergleichen, sondern auch Sequenzen von Anweisungen sowie funktional äquivalente Firmware- und Hardwareimplementierungen.
Gemäß einem beispielhaften Peripherie-Proxy-System (mit der allgemeinen Kennzeichnung 120) der vorliegenden Erfindung, das ausführlich mit Bezug auf 5 besprochen wird, das für die Verwendung mit dem Netzwerk 100 ausgelegt ist, wiederum mit einer Serversite 110g, auf der eine Benutzersite 105a auf der Basis von in der Serversite 110g empfangenen und für die Benutzersite 105a persönlichen Ersatzkennungen browsen kann, als Alternative. Das beispielhafte Peripherie-Proxy-System 120 enthält eine erste und eine zweite ausführbare Routine. Die erste Routine, die vorteilhafterweise in der Benutzersite 105a oder als Alternative in dem zentralen Proxy-System 110a resident sein kann, konstruiert aus der Benutzersite 105a eigenen Daten eine bestimmte Ersatzkennung. Die zweite Routine, die auch vorteilhafterweise in der Benutzersite 105a oder teilweise in der Benutzersite 105a und dem zentralen Proxy-System 110a resident sein kann, sendet die bestimmte Ersatzkennung zu dem zentralen Proxy-System 110a. Das zentrale Proxy-System 110a sendet die bestimmte Ersatzkennung dann zu der Serversite 110g weiter und übermittelt (z. B. sendet, empfängt usw.) danach Informationen (z. B. Browsing- Befehle, Daten usw.) zwischen der Benutzersite 105a zu der Serversite 110g.
Gemäß der dargestellen Ausführungsform unterscheidet sich das Peripherie-Proxy-System 120 von dem zentralen Proxy-System 110a durch den Ort der Ausführung der ersten und der zweiten Routine. Bei der dargestellten zentralen Proxyausführungsform werden alle Routinen durch das zentrale Proxy-System 110a ausgeführt, was bedeutet, daß alle Benutzer benutzerspezifische Informationen zu dem zentralen Proxy-System 110a senden müssen. Bei dem dargestellten Peripherie-Proxy-System 120 können die erste und die zweite Routine in einem mit der Benutzersite 105a assoziierten Proxy-Subsystem ausgeführt werden. Bei einer vorteilhaften Ausführungsform bleiben benutzerspezifische Informationen des Benutzersystems 105a (z. B. Benutzeridentifikation, Paßwörter, Email-Adressen, Telephonnummern, Kreditkartennummern, Postadresse usw.) lokal, was typischerweise sicherer als das zentrale Proxy-System 110a sein wird.
Wie bereits erwähnt, kann ein ISP wie etwa NETCOM^® oder ein Vernetzungsdienst wie etwa AMERICA ONLINE^® oder COMPUSERVE^® vorteilhafterweise jedes der beispielhaften Proxy-Systeme (zentral oder peripher) verwenden, um anonyme Übermittlung (Übertragung, Empfang, Weiterübertragung usw.) von Befehlen zum Browsen (z. B. zugreifen, auswählen, lesen usw.) zwischen Benutzersites und Serversites bereitzustellen.
Ein wichtiger Aspekt der oben identifizierten Ausführungsformen ist die Verwendung sitespezifischer Ersatzkennungen, damit es für einen Benutzer überflüssig wird, für jede Serversite, die das Einrichten eines Accounts erfordert (z. B. die Sites der NEW YORK TIMES, des WALL STREET JOURNAL und von NEWSPAGE^® und ESPN^®), einen neuen Benutzernamen und ein neues Paßwort „erfinden" zu müssen. Die dargestellte Ausführungsform erzeugt sichere Ersatzkennungen (z. B. Alias-Benutzernamen, Paßwörter, Email-Adressen, Postadressen, Kreditkartennummern usw.), die für den Benutzer distinkt und sicher sind. Der Benutzer gibt einmal eine oder mehrere Zeichenketten (die zufällig sein können) an, was vorteilhafterweise am Anfang einer Proxy-Systemsitzung erfolgen kann. Das Proxy-System verwendet diese zum Erzeugen einer oder mehrer sicherer sitespezifischer Ersatzkennungen für den Benutzer – wodurch der Benutzer von der Last befreit wird, für jede Serversite neue und einzigartige Kennnungen zu erfinden. Darüberhinaus muß der Benutzer nicht mehr jedesmal, wenn der Benutzer zu einer bestimmten Serversite, die ein Account erfordert, zurückkehrt, solche sichere Kennungen tippen; stattdessen stellt das Proxy-System die entsprechenden sicheren Kennungen automatisch bereit. Bei einer zu beschreibenden vorteilhaften Ausführungsform filtert das Proxy-System andere Identifizierungsinformationen (z. B. HTTP-Kopfteile usw.), die von der Benutzersite 105a beim Browsen auf Serversites gesendet werden. Es ist wichtig, im Kopf zu behalten, daß Serversites typischerweise nicht zwischen durch das Proxy-System 110a gelieferten Informationen und durch die Benutzersite 105a gelieferten Informationen unterscheiden kann, da das zentrale Proxy-System 110a für Serversites transparent ist.
Bei einer Ausführungsform werden die Ersatzkennungen bei Bedarf ohne jegliche Intervention des Benutzers von Servern gesendet. Dieser Prozeß automatisiert die Antwort auf eine „einfache Authentifizierungsanforderung", wobei es sich um eine übliche Prozedur handelt, die von Servern verwendet wird, um Benutzer im World Wide Web zu identifizieren. Auf diese Weise wird der Benutzer durch diese Aktivität nicht belastet.
Gemäß der dargestellten Ausführungsform kann das Proxy-System, um Ersatzkennungen zu produzieren, geeigneter weise (mindestens einer Serversite geheime) Geheiminformationen in Form benutzerdefinierbarer Zeichenketten führen. Diese Zeichenketten können benutzerdefiniert sein und können auf bestimmte herkömmliche Weise, wie etwa Speichern dieser in mit dem Proxy-System assoziiertem Speicher, geführt werden, oder vorteilhafterweise kann eine (später beschriebene) Funktion verwendet werden, um die Ersatzkennungen mindestens teilweise in Assoziation mit den Geheiminformationen zu produzieren. Gemäß einem Ansatz führt das Proxy-System eine herkömmliche Datenstruktur zum Führen selbiger, wie zum Beispiel eine Datenbank, ein Datenrequisitorium, ein Array usw. oder sogar eine Alias-Tabelle, mit der Benutzerinformationen auf ihre Ersatz- oder Aliaskennungen abgebildet werden können.
Gemäß einer vorteilhaften Ausführungsform liefert der Benutzer sein eigenes Geheimnis (benutzerdefinierbare Zeichenkette) am Anfang jeder Sitzung, womit das Proxy-System direkt oder indirekt die Ersatzkennungen für die Sitzung erzeugt. Diese Option hat den Vorteil, daß der Benutzer die Flexibilität hat, zu verschiedenen Zeiten verschiedene Proxys auszuwählen und keine permanenten Geheiminformationen auf dem Proxy-System gespeichert werden. Bei einer anderen verwandten Ausführungsform umfassen die Daten mindestens zwei geheime benutzerdefinierbare Zeichenketten, wobei die erste Routine Ersatzkennungen verarbeitet, die teilweise aus den mindestens zwei geheimen benutzerdefinierbaren Zeichenketten konstruiert werden. Natürlich können alternative geeignete Ansätze verwendet werden, um den Zweck des Bereitstellens von anonymem personalisiertem Web-Browsen gemäß der vorliegenden Erfindung zu erfüllen.
Nunmehr mit Bezug auf 2 ist ein Blockschaltbild eines beispielhaften Teil-Netzwerks (mit der allgemeinen Kennzeichnung 200) des verteilten Netzwerks 100 gezeigt, wobei das Teil-Netzwerk 200 die Benutzersite 105a, das zentrale Proxy-System 110a und die Serversite 110g (unter mehreren anderen beispielhaften Serversites 110 des Internets 115 gezeigt) gemäß den Prinzipien der vorliegenden Erfindung enthält.
Zur Veranschaulichung soll angenommen werden, daß die Benutzersite 105a einen Befehl ausgibt, um auf die Serversite 110g (die Website der NEW YORK TRIBUNE („NYT")) zuzugreifen. Ein solcher Zugriff würde über das zentrale Proxy-System (Serversite) 110a erfolgen, wodurch sichergestellt wird, daß keine benutzerspezifischen Daten bezüglich der Benutzersite 105a über den Rest des Internets 115 übermittelt werden – zum Beispiel können HTTP-Kopfteilfelder vorliegen, die Daten über die Benutzersite 105a enthalten, die das zentrale Proxy-System 110a filtert.
Das beispielhafte zentrale Proxy-System 110a wird vorteilhafterweise auf einer Serversite ausgeführt, die durch andere Sites über das Internet 115 nicht mit der Benutzersite 105a assoziierbar ist. Gemäß einer vorteilhaften Ausführungsform kann das zentrale Proxy-System 110a geeigneterweise sowohl physisch als auch logisch von der Benutzersite 105a fern sein – die Benutzersite 105a muß nicht direkt auf Serversites zugreifen, weil die Serversites sowohl physisch als auch logisch die Adresse des Internet-Protokolls („IP") der Maschine bestimmen können, von der die Anforderung kam.
Gemäß der beispielhaften Ausführungsform wird, wenn der Befehl der Benutzersite 105a, auf die NYT 110g zuzugreifen, die erste Anforderung der Benutzersite 105a in der aktuellen Sitzung ist, das zentrale Proxy-System 110a selbige erkennen und möglicherweise auf dem Browser der Benutzersite 105a sein eigenes HTML-Dokument anzeigen.
Unter vorübergehender Bezugnahme auf 3 ist ein beispielhaftes Vollbildschirm-Fenster eines herkömmlichen Browsers 300 („NETSCAPE^®") gezeigt, das eine eingelegte Schnittstelle 305 („JANUS^SM") des zentralen Proxy-Systems 110a gemäß den Prinzipien der vorliegenden Erfindung anzeigt. Die beispielhafte Schnittstelle 305 fordert einen Benutzer der Site 105a zur Eingabe benutzerdefinierbarer Zeichenketten auf, wozu gemäß der dargestellten Ausführungsform vom Benutzer gelieferte Identifikations-(„ID")Daten und geheime („S-")Daten gehören. Jeder Benutzer liefert anfänglich eine Benutzer-ID (z. B. eine Email-Adresse) und einen Benutzer S, um die Auswahl oder Konstruktion einer oder mehrerer Ersatzkennungen zu erlauben (sitespezifische Ersatzkennungen werden geeigneterweise aus Daten konstruiert, die für den Benutzer 105a und eine bestimmte Serversite, auf der der Benutzer 105a browsen möchte, spezifisch sind). Als Alternative können vom Benutzer gelieferte andere oder weitere Daten in bestimmten Anwendungen geeignet sein (z. B. Kreditkatennummer, Postamtadresse, Handle usw.).
Gemäß der vorteilhaften Ausführungsform können Ersatzkennungen unter Verwendung einer geeigneten Funktion konstruiert (erzeugt) werden, die die Merkmale der Anonymität, Einheitlichkeit, Kollisionsbeständigkeit und Einzigartigkeit, des Schutzes vor der Erstellung von Dossiers und eines einzigen Geheimnisses und der Akzeptierbarkeit enthält. Bezüglich Anonymität sollte die Identität des Benutzers geheim gehalten werden; das heißt, eine Serversite oder eine Koalition von Sites kann die wahre Identität des Benutzers nicht aus seiner Ersatzkennung bestimmen. Bezüglich Einheitlichkeit sollten für jede Serversite jedem Benutzer bestimmte Ersatzkennungen bereitgestellt werden, die es der Serversite ermöglichen, den Benutzer angesichts selbiger zu erkennen, wodurch die Serversite den Zugang des Benutzers personalisieren kann und der Benutzer somit auf der Serversite „registriert" werden kann.
Mit Bezug auf Kollisionsbeständigkeit und Einzigartigkeit sollten Dritte, wenn die Identität eines Benutzers und eine Serversite gegeben sind, keine andere Benutzeridentität finden, die zu demselben Alias (Personifikation) für diese Serversite führt. Bezüglich Schutz vor Erstellung von Dossiers wird dem Benutzer wahrscheinlich für distinkte Serversites ein distinkter Alias (Ersatzkennung) zugewiesen, so daß eine Koalition von Sites nicht die Gewohnheiten eines Benutzers erfahren und auf der Basis der Menge von Sites, auf die der Benutzer zugegriffen hat, ein Benutzerprofil (Dossier) aufbauen kann. Schließlich gewährt ein einziges Geheimnis (benutzerdefinierbare Zeichenkette) und Akzeptierbarkeit bei gegebener Identität des Benutzers und einem einzigen Geheimnis automatische Erzeugung sicherer distinkter Aliase (Ersatzkennung), so wie sie für jede Serversite benötigt werden, transparent für den Benutzer – vom Standpunkt des Benutzers aus gesehen, ist die benutzerdefinierbare Zeichenkette einem universellen Paßwort für eine Sammlung von Serversites äquivalent.
Gemäß dieser Ausführungsform ist eine Benutzer-ID „verfälscht" (nicht geheim), wenn ein Widersacher (eine oder mehrere Serversites, die den Benutzer identifizieren möchten) E in der Lage war, das Geheimnis S des Benutzers zu lesen. Alternativ dazu ist eine Benutzer-ID „teilweise geöffnet" (nicht völlig sicher) in bezug auf eine bestimmte Serversite w, wenn E in der Lage war, das Alias-Paßwort zu lesen; eine Benutzer-ID ist "geöffnet" (nicht sicher) mit Bezug auf w, wenn sie teilweise geöffnet ist und E in der Lage war, das Alias-Paßwort zusammen mit dem Alias-Benutzernamen mit der Benutzer-ID in Beziehung zu setzen. Unter der Annahme, daß die Funktion T() folgendermaßen definiert ist, T(Benutzer-ID, Website („w"), S) = (Ersatz-benutzername, Paßwörter) ist daher T(id, w, S) = (Uw, Pw); und Tu(id, w, S) = Uw und Tp(id, w, S) = Pw.
Tu(id, w, S) = Uw = h(enc(k, id, f(s₁, w))) und
Tp(id, w, S) = Pw = h(enc(k, id, f(s₂, w))), und dabei bedeuten

id: ID(z. B. Email-Adresse) der Benutzersite 105a;
w: Domänenname der Serversite 110g;
//: logische Funktion der Verkettung;
S: k//s₁//s₂, eine von der Benutzersite 105a definierbare Zeichenkette;
xor: die boolsche Funktion des Exklusiv-Oder;
f(k, x): eine geeignet angeordnete Funktion zum Erzeugen von Pseudozufallswerten, die aus einer Gruppe von Funktionen ausgewählt werden kann, wie etwa (k, h (x), x);
enc(k, x, r): r//(f(k, r)xor x);
h(): eine kollisionsbeständige Hash-Funktion wie etwa MD5; und
des(k, i, x): DES-Verschlüsselung im Modus der Chiffreblockverkettung („CBC"), die bekannt sind, von Informationen x unter Verwendung des Schlüssels k und eines Initialisierungsvektors i.

Sowohl Tu() als auch Tp() können geeigneterweise das Ergebnis der Hash-Funktion h() abschneiden, damit sie auf den längsten zulässigen Benutzernamen oder das längste zulässige Paßwort für die bestimmte Serversite passen.
Diese Funktion T() mit den oben identifizierten und beschriebenen Merkmalen in Beziehung zu setzen, ergibt folgendes:

1. E kann nur versuchen, die Identität ID eines Benutzers zu raten, die nur teilweise geöffnet und unverfälscht ist.
2. T() ist eine deterministische Funktion und E kann nur versuchen, das Alias-Paßwort eines Benutzers zu raten, das ungeöffnet und unverfälscht ist.
3. Bei gegebenem w und einer unverfälschten und ungeöffneten Benutzer-ID kann E nur versuchen, die ID und S zu raten.
4. Wenn Benutzer-ID und w unverfälscht sind, gibt T(id, w, S) E Informationen über T(id, w', S) für kein w', das nicht gleich w ist.
5. Der Wertebereich von T(id, w, S) ist dergestalt, daß er von Serversites als gültiger Benutzername und gültiges Paßwort angenommen wird – was eine Kette begrenzter Länge druckbarer Zeichen impliziert.

Fachleute auf dem relativen Gebiet werden verstehen, daß alternative geeignete Funktionen das obige gemäß den Prinzipien der vorliegenden Erfindung ersetzen oder in Verbindung damit benutzt werden können.
Die Verwendung der oben erwähnten beispielhaften Ersatzkennungskonstruktionsfunktion und tatsächlich einer beliebigen anderen geeignet angeordneten Funktion zum Konstruieren von Ersatzkennungen gemäß der vorliegenden Erfindung wirkt zum Unterstützen der oben identifizierten Merkmale des anonymisierten und personalisierten Browsens. Die vorliegende Erfindung gibt die Möglichkeit, eine Serversite ein erstes Mal über sitespezifische Ersatzkennungen anonym zu besuchen, als Funktion davon mit der Serversite in Dialog zu treten und die Serversite unter Verwendung derselben sitespezifischen Ersatzkennungen bei nachfolgenden Gelegenheiten neu zu besuchen, wobei der Dialog mit der Serversite als rückkehrender Kunde – möglicherweise unter Erhalt personalisierter Aufmerksamkeit – als Funktion der erkannten Ersatzkennungen erfolgt. Einfach ausgedrückt, werden die Ersatzkennungen einheitlich und bei vorteilhaften Ausführungsformen auf sitespezifische Weise konstruiert.
Bei einer Ausführungsform der vorliegenden Erfindung umfassen die Ersatzkennungen sitespezifische Ersatz-Benutzernamen und sitespezifische Ersatz-Benutzerpaßwörter. „Sitespezifisch" bedeutet, daß die Namen und Paßwörter vielleicht abhängig von der Adresse jeder Site von Site zu Site variieren. Dadurch kann sich die Aufgabe des Erzeugens eines Dossiers relativ zu einem gegebenen Benutzer verkomplizieren. Bei einer verwandten Ausführungsform konstruiert die erste Routine sitespezifische Ersatz-Email-Adressen für Benutzersite 105a aus den sitespezifischen Daten. Bei einer alternativen vorteilhaften Ausführungsform konstruiert die erste Routine die sitespezifischen Ersatzkennungen aus Adressen der Serversites – natürlich können andere sitespezifische Informationen als die Adresse der Site zum Konstruieren der Ersatzkennungen verwendet werden.
Wenn dies der erste Kontakt des Benutzers mit dem zentralen Proxy-System 110a ist, kann der Benutzer geeigneterweise zufällig eine benutzerdefinierte Zeichenkette (Geheimnis) erzeugen und selbige lokal speichern. Bei einer vorteilhaften Ausführungsform verarbeitet die erste Routine Ersatzkennungen, die durch Anwendung von Pseudozufalls- und Hash-Funktionen (z. B. die oben erwähnte Funktion T()) auf die von der Benutzersite 105a empfangenen Daten konstruiert werden können – Fachleute werden mit der Struktur und Funktionsweise von Pseudozufalls- und Hash-Funktionen und ihrer Nutzung vertraut sein. Der wichtige Aspekt dieser und verwandter Ausführungsformen besteht darin, daß die vorliegende Erfindung dafür ausgelegt ist, derzeitige und später entdeckte Funktionen auszunutzen, um Anonymität und Sicherheit zu verbessern.
Wenn dies der erste Kontakt einer aktuellen Sitzung ist, kann als Alternative der Benutzer geeigneterweise die gespeicherte benutzerdefinierte Zeichenkette zu dem zentralen Proxy-System 110a einschließen. Dessen ungeachtet sendet der Browser 300 die Schnittstelle 305 zusammen mit der ID eines Benutzers und anderen benutzerdefinierbaren Zeichenkette zu dem zentralen Proxy-System 110a. Das zentrale Proxy-System 110a empfängt diese Informationen und kann selbige für den Rest der Sitzung benutzen.
Bei einer vorteilhaften Ausführungsform empfängt oder erzeugt die erste Routine Session-Tags, die zu den Browsing-Befehlen hinzugefügt werden, wobei die zentrale Proxy-Site 110a die Session-Tags verwendet, um die Ersatzkennungen mit jedem der Browsing-Befehle zu assoziieren – die Session-Tags sind zwar nicht für die vorliegende Erfindung notwendig, ergeben aber eine Art und Weise, die es Benutzersites 105a erlaubt, ihre Daten nur einmal, gewöhnlich am Anfang jeder Sitzung, beizusteuern. Bei einer verwandten vorteilhaften Ausführungsform enthält die zentrale Proxy-Site 110a ein Datenlager, das für Benutzersites 105a spezifische Sitzungsinformationen enthalten kann und den Serversites 110g zugänglich ist.
Bei einer vorteilhaften Ausführungsform sendet die oben beschriebene zweite Routine, die sich lokal bei dem zentralen Proxy-System 110a befinden kann, die Ersatzkennungen zu der Serversite 110g. Bei einer weiteren vorteilhaften Ausführungsform sendet die zweite Routine die Ersatzkennungen auf der Basis von alphanumerischen Codes, die durch die Benutzer in Feldern von Webseiten 305 angegeben werden, zu der Serversite 110g. Die alphanumerischen Codes fordern die zweite Routine dahingehend auf, wie und wo die Ersatzkennungen zu finden sind, wobei die Benutzer davon entfernt werden, die Ersatzkennungen tatsächlich direkt angeben zu müssen. Natürlich können die alphanumerischen Codes in einer anderen Form angegeben werden. Bei einer verwandten spezifischeren Ausführungsform tragen die Benutzer die alphanumerischen Codes manuell in die Felder der Webseiten 305 ein. Natürlich umfaßt die vorliegende Erfindung ein intelligentes Parsen der Felder der Webseiten 305, um automatisch zu bestimmen, wie und wo die alphanumerischen Codes gefunden werden sollen. Fachleute sind mit dem Internet allgemein, dem Word Wide Web insbesondere und der Art und Weise, wie die Struktur des World Wide Web das Browsen fördert, vertraut. Die vorliegende Erfindung findet offensichtlich Anwendung in Verbindung mit dem Internet und dem World Wide Web, obwohl für Fachleute ohne weiteres erkennbar ist, daß die vorliegende Erfindung auch außerhalb des Internet in einer beliebigen geeignet angeordneten Computer-, Kommunikations-, Multimedia- oder ähnlichen Netzwerkkonfiguration vorteilhaft Anwendung findet.
Nachdem das zentrale Proxy-System 110a die erforderlichen Informationen über den Benutzer erhalten hat, entfernt dessenungeachtet die oben beschriebene dritte Routine Teile der Browsing-Befehle, die die Benutzersite 105a der Serversite 110g identifizieren würden, und leitet die ursprüngliche Anforderung der Benutzersite 105a des Zugangs zu der NYT-Site 110g (z. B. unter Verwendung einer HTTP-Get-Anforderung) weiter – wodurch selektiv Kopfteil-Felder oder dergleichen, die den Benutzer identifizieren können, aus der Anforderung ausgeschlossen werden.
Wenn dies der erste Besuch des Benutzers auf der NYT-Site 110g ist, kann sie geeigneterweise dem Benutzer ein elektronisches Formular geben, das zum Beispiel zur Eingabe eines Benutzernamens, eines Paßworts und einer Email-Adresse auffordert, um ein Account einzurichten. Unter vorübergehender Bezugnahme auf 4 ist ein beispielhaftes Vollbildschirm-Fenster des herkömmlichen NETSCAPE^®-Browsers 300 dargestellt, das eine eingelegte Schnittstelle 400 („THE NEW YORK TRIBUNE") der Serversite 110g gemäß den Prinzipien der vorliegenden Erfindung anzeigt.
Statt daß er einen eindeutigen Benutzernamen und ein geheimes Paßwort angeben muß, kann der Benutzer nun geeigneterweise diese Felder mit einfachen Escape-Zeichenketten angeben (z. B. „<uuuu>" und „<pppp>"). Genauer gesagt können die oben beschriebenen alphanumerischen Codes geeigneterweise zu solchen Escape-Sequenzen angeordnet werden – Fachleute sind mit Escape-Sequenzen vertraut. Diese Zeichenketten werden von der zentralen Proxy-Site 110a erkannt, die den Benutzernamen und das Geheimnis (benutzerdefinierbare Zeichenkette) der Benutzersite 105a zusammen mit dem Domänennamen der NEW YORK TRIBUNE verwendet und Ersatzkennungen berechnet (z. B. Alias-Benutzername u3 und Alias-Paßwort p3 in 2 usw.), wie zum Beispiel durch die Funktion T(ID, Geheimnis, Domänenname). Die sitespezifischen Ersatzkennungen können durch das zentrale Proxy-System 110a unter Verwendung desselben Mechanismus, mit dem der Benutzer Eingaben für die bestimmte Serversite eingeben würde, der bestimmten Serversite gesendet werden. Anders ausgedrückt, empfängt das Proxy-System 110a Informationsübermittlungen, wie zum Beispiel Browsing-Befehle, von der Benutzersite 105a, die für die Serversite 110g bestimmt sind, und sendet selbige zu der Serversite 110g weiter – wobei das zentrale Proxy-System 110a als transparenter Durchgang für die Anonymisierung und, durch einheitliche Erzeugung sitespezifischer Ersatzkennungen, Personalisierung des Browsens auf der Serversite wirkt.
Bei einem nachfolgenden Besuch auf der NYT-Site 110g, der erfordern wird, daß sich die Benutzersite 105a authentifiziert (Antwort auf die durch das zentrale Proxy-System 110a zu der NYT-Site 110g weitergeleiteten ersten Get-Anforderung), kann das zentrale Proxy-System 110a geeigneterweise wirken, um automatisch u3 und p3 neu zu berechnen und durch Senden dieser Werte zurück zu der NYT-Site 110g (Neusenden der Get-Anforderung) anworten. Die Benutzersite 105a wird dadurch von der Aufgabe befreit, sich an den Benutzernamen und das Paßwort ihres Account auf der NYT-Site 110g zu erinnern. Kurz gefaßt, umfaßt das Protokoll, das geeigneterweise ohne Beteiligung der Benutzersite 105a ausgeführt werden kann, folgendes: (1) einen Schritt, in dem der NYT-Site-Server 110g eine Authentifikation von der zentralen Proxy-Site 110a anfordert, indem die erste Get-Anforderung erfolglos gelassen wird; (2) die zentrale Proxy-Site 110a berechnet die Ersatzkennungen neu (z. B. Alias-Benutzername, Alias-Paßwort) = T(ID, Geheimnis, Domänenname) oder dergleichen); (3) die zentrale Proxy-Site 110a antwortet, indem sie das Get mit denselben Ersatzkennungen neu sendet.
Die Ersatzkennungen sind in dem Sinne einheitlich, daß die Ersatzkennungen bei nachfolgenden Besuchen auf derselben Serversite durch den Benutzer 105a präsentiert werden. Einheitliche Ersatzkennungen ermöglichen der Serversite, zurückkehrende Benutzer zu erkennen und ihnen personalisierten Dienst zu geben. Bei einer Ausführungsform sendet die zweite Routine die Ersatzkennungen auf Bedarf von Servern ohne jegliche Intervention des Benutzers 105a. Dieser Prozess automatisiert die Antwort auf eine „einfache Authentifikationsanforderung", die eine übliche Prozedur ist, die von Servern verwendet wird, um Benutzer 105a im World Wide Web zu identifizieren. Auf diese Weise wird der Benutzer 105a nicht mit dieser Aktivivität belastet. Bei dieser Ausführungsform muß die zweite Routine möglicherweise die ursprüngliche Benutzeranforderung zusammen mit der Ersatzkennung erneut zu dem Server senden.
Es ist anzumerken, daß viele Server eine gültige Email-Adresse für das Erstellen eines Accounts erfordern – Benutzer können für diesen Zweck nicht ihre wahre Email-Adresse benutzen, da sie sie eindeutig identifiziert. Das Proxy-System der vorliegenden Erfindung kann dieses Problem geeigneterweise lösen, indem es eine Alias-Email-Adresse für die Benutzersite 105a erstellt und Email in einer elektronischen Mailbox speichert. Bei einer vorteilhaften Ausführungsform enthält das zentrale Proxy-System 110a einen Datenspeicher, der die für die Benutzer bestimmte Email enthalten kann, wodurch verhindert wird, daß Serversites Benutzer direkt kontaktieren. Im Gegensatz zu vorbekannten anonymen Remailern muß sich die vorliegende Ausführungsform nicht darauf verlassen, etwaige Übersetzungstabellen (die groß und anfällig sein können) von Alias-zu-wahren Benutzerkennungen in einem zentralen Proxy-System 110a speichern zu müssen. Diese Ausführungsform ist naturgemäß sicherer als vorbekannte Ansätze, da das zentrale Proxy-System 110a keine Übersetzungstabelle führen und schützen muß und nicht gezwungen werden kann, den Inhalt einer solchen etwaigen Tabelle Dritten zu enthüllen.
Bei einer alternativen vorteilhaften Ausführungsform enthält das zentrale Proxy-System 105a ferner einen Datenspeicher, der Emailboxen für die Benutzer und für die Serversites spezifisch enthalten kann. Gemäß dieser Ausführungsform besitzt jeder Benutzer eine Mailbox für jede Site, die für den Benutzer bestimmte Mail erzeugt hat. Statt die Sicherheit durch Erlauben von automatischem Weitermailen an den Benutzer zu kompromittieren, kann die vorliegende Ausführungsform Email für expliziten Abruf durch jeden Benutzer speichern.
Für jeden Server kann es für Benutzer vorteilhaft sein, wenn sie eine separate Emailbox besitzen, die möglicherweise durch Benutzer-Ersatzkennungen identifiziert wird. Dieser Ansatz kann ein geeignetes Entsorgen von Email-Nachrichten erlauben, die von Dritten empfangen werden (z. B. „Junk-Email"), sowie die Option der selektiven Entsorgung von Email-Nachrichten.
Bei einer vorteilhaften Ausführungsform ist mit jeder der Emailboxen ein Schlüssel assoziiert, wobei der Schlüssel eine Funktion der Daten und einer Indexnummer ist. Die Verwendung von Schlüsseln mit Emailboxen ist bekannt. Bei einer anderen vorteilhaften Ausführungsform umfaßt das zentrale Proxy-System 110a weiterhin eine computerausführbare Routine, die bei gegebenen Ersatzkennungen Email sammelt, die für die Benutzer bestimmt ist und in einer Vielzahl sitespezifischer Emailboxen enthalten ist. Diese Ausführungsform kann geeigneterweise eine Mail-Sammelroutine verwenden, die automatisch die verschiedenen Mailboxen der Benutzersite 105a findet und die Mail daraus abruft, sobald der Benutzer die entsprechenden Daten angegeben hat.
Gemäß einer vorteilhaften Ausführungsform enthält das zentrale Proxy-System 110a Funktionalität, die notwendig ist, um elektronische Bezahlung zu unterstützen, wobei die Benutzer elektronische Bezahlungsinformationen verwenden, um an einem anonymen Kommerz mit den Serversites teilzunehmen. Um dies zu ermöglichen, kann das zentrale Proxy-System 110a einen Datenspeicher enthalten, der solche elektronische Bezahlungsinformationen enthalten kann. Ferner können Ersatzkennungen mindestens teilweise unter Verwendung von Kredit-/Debitkartennummern, Bankzweigstellen- oder Kontonummern, Postadressen, Telefonnummern, Steuernummern, Sozialversicherungsnummern oder dergleichen konstruiert werden. Es sind verschiedene Verfahren zur Erzielung von anonymem Kommerz bekannt.
Als weiteres Beispiel erfordern immer mehr Sites eine gültige Kreditkatennummer als Teil der Einrichtung eines Accounts, so daß solche Sites dem Benutzer für ihre Dienste Gebühren berechnen können (z. B. WALL STREET JOURNAL^®, ESPN^® usw.). Obwohl das oben beschriebene Proxy-System Ersatzkennungen bereitstellt, um Benutzer davon zu befreien, sich an diese Dinge erinnern zu müssen, und ein Schutz bezüglich (unfreiwilliger) Datenflüsse zu der Website bereitgestellt wird, schafft sie möglicherweise für einen Benutzer, der einer Site eine Kreditkartennummer angegeben hat, keine vollständige Anonymität. Eine Lösung, die oben kurz beschrieben wurde, erfordert, daß das zentrale Proxy-System 110a der anfordernden Site seine eigene gültige Kreditkartennummer gibt und dann von seinen Benutzern Geld sammelt. Wenn das zentrale Proxy-System 105a in einem Internetanbieter integriert ist, wie zum Beispiel AMERICA ONLINE^®, besteht diese Beziehung möglicherweise bereits.
Als Alternative kann das zentrale Proxy-System 110a anderen Sites bekannt und diesen vertrauenswürdig sein, wodurch das zentrale Proxy-System 110a eine Alias-Kreditkartennummer und ein Alias-Ablaufdatum erzeugen und dann diese Daten authentifizieren und zu einer anfordernden Site senden kann. Die Site kann dann prüfen, daß die Nummer tatsächlich von dem zentralen Proxy-System 110a kommt, und akzeptiert daher selbige als gültig, mit dem Verständnis, daß sie das Geld von dem zentralen Proxy-System 110a einholen kann. Es ist nicht mehr notwendig, eine „echte" Kreditkartennummer zwischen dem zentralen Proxy-System 110a und den Sites zu senden.
Es ist wichtig, zu erkennen, daß die verschiedenen Merkmale und Aspekte der obenbeschriebenen Ausführungsformen auch geeigneterweise gemäß dem mit Bezug auf 1 beschriebenen Peripherie-Proxy-System implementiert werden können. Genauer gesagt und unter vorübergehender Bezugnahme auf 5 ist ein Blockschaltbild eines beispielhaften Teil-Netzwerks (mit der allgemeinen Kennzeichnung 500) des verteilten Netzwerks von 1 dargestellt, wobei ein Peripherie-Proxy-System 120 gezeigt ist, das jeweils die Benutzersite 105a, das zentrale Proxy-System 110a und die NYT-Site 110g (neben einer Vielzahl anderer beispielhafter Serversites 110 des Internets 115 gezeigt) enthält, gemäß den Prinzipien der vorliegenden Erfindung.
So wie es oben dargelegt wurde, enthält das Peripherie-Proxy-System 120 eine erste und eine zweite ausführbare Routine. Die erste Routine, die vorteilhafterweise in der Benutzersite 105a resident ist, konstruiert aus der Benutzersite 105a eigenen Daten Ersatzkennungen. Die zweite Routine, die beispielsweise auch in der Benutzersite 105a resident ist, sendet die Ersatzkennungen zu dem zentralen Proxy-System 110a. Das zentrale Proxy-System 110a sendet die Ersatzkennungen dann zu der Serversite 110g weiter und übermittelt (z. B. sendet, empfängt usw.) danach Informationen (z. B. Browsing-Befehle, Daten usw.) zwischen der Benutzersite 105a zu der Serversite 110g. Diese zweite Konfiguration ist besonders vorteilhaft, wenn Benutzer möglicherweise dem zentralen Proxy-System 110a oder den Kommunikations-leitungen dazwischen nicht vertrauen und Benutzer-identifikationen und andere geheime Informationen sicherhalten möchten.
Es kann ein lokales Proxy-System 510 verwendet werden, um selbige zu führen, und es kann die Identifikation des Benutzers und andere Informationen verwenden, um die Ersatzkennungen zu berechnen. Das lokale Proxy-System 510 kommuniziert mit einem zentralen Proxy-System 110a, das zum Weiterleiten der Kommunikation zu Servern und zum Abwickeln von Email verwendet werden kann. Bei einer Ausführungsform kommuniziert das zentrale Proxy-System 110a mit computerausführbaren lokalen Routinen, die mit den Benutzern assoziiert sind, wobei die lokalen Routinen die sitespezifischen Ersatzkennungen aus für die Benutzer spezifischen Daten konstruieren. Wieder kann das zentrale Proxy-System 110a verteilte Routinen (lokal bei jedem Benutzer) verwenden, die die Ersatzkennungen erzeugen und selbige zu dem zentralen Proxy-System 110a senden.
Nunmehr mit Bezug auf 6 ist ein Blockschaltbild eines beispielhaften Teil-Netzwerks (mit der allgemeinen Bezeichnung 600) des verteilten Netzwerks 100 dargestellt, das jeweils die Benutzersite 105a, das zentrale Proxy-System 110a und mehrere beispielhafte Serversites 110b, 110c und 110g gemäß einer beispielhaften Markierer-Proxyausführungsform der vorliegenden Erfindung enthält. Wie oben beschrieben, kann das zentrale Proxy-System der vorliegenden Erfindung in mindestens zwei Konfigurationen verwendet werden, nämlich in einer zentralen Proxy-Konfiguration (2) oder in einer peripheren Proxy-Konfiguration (5).
Bei der zentralen Proxy-Konfiguration berechnet das zentrale Proxy-System 110a Ersatzkennungen. Eine Implementierung dieser Konfiguration kann erfordern, daß die Benutzersite 105a eine oder mehrere benutzerdefinierbare Zeichenketten einmal angibt (z. B. Benutzeridentifikation, Paßwort und andere Geheiminformationen), und das zentrale Proxy-System 110a erzeugt danach die Ersatzkennungen je nach Bedarf. Das zentrale Proxy-System 110a kann die benutzerdefinierbaren Zeichenketten mit einer Reihe von durch dieselbe Benutzersite 105a erzeugten HTTP-Anforderungen assoziieren – das zentrale Proxy-System 110a kann jede Anforderung mit einer Sitzung assoziieren, die die gesamte Kommunikation zwischen einer spezifischen Benutzersite 105a und dem zentralen Proxy-System 110a enthält.
Das HTTP-Protokoll unterstützt jedoch im allgemeinen nicht direkt Sitzungen oder Beziehungen zwischen Anforderungen. Genauer gesagt kann jede HTTP-Anforderung in einer neuen Socket-Verbindung gesendet werden, und es gibt kein erforderliches HTTP-Kopfteilfeld, das sukzessive Anforderungen von demselben Benutzer verknüpfen kann.
Außerdem ist anzumerken, daß die Sitzungsidentifikation in der Regel bei der peripheren Proxy-Konfiguration nicht notwendig ist, da das zentrale Proxy-System 110a Übermittlungen ohne jegliche Berechnung weiterleiten kann. Bei einer typischen Ausführungsform sendet das Peripherie-Proxy-System 120 von der Benutzersite 105a empfangene Browsing-Befehle zu dem zentralen Proxy-System 110a, das solche Befehle dann zu der Serversite 110g weitersendet. Gemäß einer Ausführungsform werden Teile der Browsing-Befehle, die die Benutzersite 105a der Serversite 110g identifizieren würden, durch das Peripherie-Proxy-System 120 entfernt und möglicherweise substituiert.
Bei einer vorteilhaften Ausführungsform führt die Benutzersite 105a lokal ein Markiererprogramm 605 aus. Das Markiererprogramm 605 wirkt zum Etikettieren von Anforderungen der Benutzersite 105a mit einem Session-Tag t. Das zentrale Proxy-System 110a verwendet dieses Tag zum Identifizieren von Anforderungen, die zu einem bestimmten einer Gruppe von Benutzern gehören. Das Markiererprogramm 605 kann implementiert werden, um das Session-Tag der Benutzersite 105a zu speichern und dieses Tag zu allen Anforderungen hinzuzufügen, und das zentrale Proxy-System 110a entfernt das Session-Tag vor dem Weiterleiten der Anforderung zu einer bestimmten Serversite. Das Session-Tag sollte eindeutig sein, da keine zwei Benutzer dasselbe Tag aufweisen sollten.
Es ist anzumerken, daß NETSCAPE^® „Cookies" verwendet, einen Mechanismus zum Speichern und Abrufen von Langzeit-Sitzungsinformationen (die Verwendung von „Cookies" als Konzept ist bekannt). Die Cookies werden von den Servern erzeugt, auf denen das Browsen stattfindet, und sind mit einem spezifischen Domänennamen assoziiert. Browser 300 unterbreiten die mit einem spezifischen Domänennamen assoziierten Cookies immer dann, wenn der Benutzer diese Domäne neu besucht. Server erzeugen in der Regel nur Cookies, die mit ihrer Domäne assoziiert sind. Cookies bieten einen leichten Mechanismus zum Behalten von Sitzungsinformationen, wie zum Beispiel des Inhalts eines „Einkaufswagens", eines Account-Namens, eines Paßworts, von Ereigniszählern, Benuzterreferenzen usw.
Bestimmte Firmen verwenden Cookies extensiv, um Benutzer und ihre Gewohnheiten zu verfolgen. Da die Proxy-Systeme der vorliegenden Erfindung den Servern, auf denen das Browsen stattfindet, Ersatzkennungen geben, können die Server keine wahren Benutzeridentitäten erfahren. Alle Informationen, die der Server in seinem Cookie speichern kann, betreffen somit eine bestimmte „Alias-Person", und nicht den wahren Benutzer. Immer dann, wenn der Benutzer zu demselben Server zurückkehrt, präsentiert er dieselben Ersatzkennungen und kann auch das Cookie unterbreiten, das der Server früher für diese Alias-Person erzeugt hat.
Aus dem Obigen geht hervor, daß die vorliegende Erfindung folgendes bereitstellt: zur Verwendung mit einem Netzwerk, das Benutzersites und Serversites aufweist, wobei die Benutzersites auf der Basis von in den Serversites empfangenen und für die Benutzersites persönlichen Kennungen auf den Serversites browsen können, sowohl ein zentrales als auch ein Peripherie-Proxy-System, die den Serversites einheitliche Ersatzkennungen geben, die es den Benutzersites erlauben, über das Proxy-System auf anonyme und persönliche Weise auf den Serversites zu browsen.
Ein beispielhaftes zentrales Proxy-System enthält folgendes: (1) eine ausführbare erste Routine, die aus für die Benutzersites spezifischen Daten konstruierte sitespezifische Ersatzkennungen verarbeitet, (2) eine ausführbare zweite Routine, die die Ersatzkennungen zu den Serversites sendet und danach von Benutzersites empfangene Browsing-Befehle zu den Serversites weitersendet, und (3) eine ausführbare dritte Routine, die Teile der Browsing-Befehle, die die Benutzersites den Serversites indentifizieren würden, entfernt (und möglicherweise substituiert).
Ein beispielhaftes periperes Proxy-System enthält folgendes: (1) eine ausführbare erste Routine, die aus von einer bestimmten Benutzersite empfangenen Daten eine bestimmte Ersatzkennung konstruiert, und (2) eine ausführbare zweite Routine, die die bestimmte Ersatzkennung zu einem zentralen Proxy-System sendet, wobei das zentrale Proxy-System dann die bestimmte Ersatzkennung zu der Serversite weitersendet und danach von der bestimmten Benutzersite empfangene Browsing-Befehle zu der Serversite weitersendet.
Obwohl die vorliegende Erfindung ausführlich beschrieben wurde, ist für Fachleute erkennbar, daß sie verschiedene Änderungen, Substitutionen und Abänderungen daran vornehmen können, ohne von dem Schutzumfang der Erfindung in ihrer allgemeinsten Form abzuweichen. Genauer gesagt sollte für Fachleute auf dem betreffenden Gebiet erkennbar sein, daß die oben beschriebenen Routinen auf Software basieren und durch ein geeignetes herkömmliches Computersystem/-Netzwerk ausführbar sind. Alternative Ausführungsformen der vorliegenden Erfindung können geeigneterweise auch mindestens teilweise in Firmware oder Hardware oder in einer bestimmten geeigneten Kombination mindestens zweier der drei implementiert werden. Solche Firmware- oder Hardwareausführungsformen können mehrfache, parallele und verteilte Verarbeitungsumgebungen oder -konfigurationen umfassen, sowie alternative programmierbare Logikbausteine, wie etwa programmierbare Array-Logik („PAL") und programmierbare Logik-Arrays („PLA"), digitale Signalprozessoren („DSP"), am Einsatzort programmierbare Gate-Arrays („FPGA"), anwendungsspezifische integrierte Schaltungen („ASIC"), hochintegrierte Schaltungen („LSI"), höchstintegrierte Schaltungen („VLSI") oder dergleichen, um die verschiedenen Arten von Modulen, Schaltkreisen, Steuerungen, Routinen und Systemen zu bilden, die hier beschrieben und beansprucht werden.
Die herkömmliche Computersystemarchitektur wird ausführlicher in The Indispensable PC Hardware Book von Hans-Peter Messmer, Addison Wesley (zweite Auflage 1995) und in Computer Organization and Architecture von William Stallings, MacMillan Publishing Co. (dritte Auflage 1993) besprochen; der herkömmliche Computer- oder Kommunikationsnetzwerkentwurf wird ausführlicher in Data Network Design von Darren L. Spohn, McGraw-Hill, Inc. (1993) besprochen; und die herkömmliche Datenkommunikation wird ausführlicher in Voice and Data Communications Handbook von Bud Bates und Donald Gregory, McGraw-Hill, Inc. (1996), Data Communications Principles von R. D. Gitlin, J. F. Hayes und S. B. Weinstein, Plenum Press (1992) und in The Irwin Handbook of Telecommunications von James Harry Green, Irwin Professional Publishing (zweite Auflage 1992), besprochen.

Claims

Zentrales Proxy-System (110a), das an ein Netzwerk (100) gekoppelt wird und es Benutzern erlaubt, über das zentrale Proxy-System (110a) anonym auf Serversites (110) in dem Netzwerk (100) zu browsen, wobei das zentrale Proxy-System (110a) folgendes umfaßt: eine computerausführbare erste Routine, die aus für die Benutzer spezifischen nichtmaskierten Daten konstruierte sitespezifische Ersatzkennungen verarbeitet, dergestalt, daß die Serversites (110) eine Identität des Benutzers nicht bestimmen können; eine computerausführbare zweite Routine, die die Ersatzkennungen zu den Serversites (110) sendet und danach von den Benutzern empfangene Browsing-Befehle zu den Serversites (110) weitersendet; und eine computerausführbare dritte Routine, die Teile der Browsing-Befehle entfernt, die die Benutzer den Serversites (110) identifizieren würden.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die Daten Identifikationsdaten und eine durch die Benutzer angegebene benutzerdefinierbare Zeichenkette umfassen.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die sitespezifischen Ersatzkennungen sitespezifische Ersatzbenutzernamen und sitespezifische Ersatzbenutzerpaßwörter umfassen.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die erste Routine aus den Daten sitespezifische Ersatz-Emailadressen für die Benutzer konstruiert oder sitespezifische Ersatzkennungen aus Adressen der Serversites (110) konstruiert.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die zweite Routine die Ersatzkennungen auf der Basis von durch Benutzer in Webseitenfeldern angegebenen alphanumerischen Codes zu den Serversites (110) sendet.
Zentrales Proxy-System (110a) nach Anspruch 1, ferner mit einem Datenspeicher, der mit den Benutzern assoziierte Informationen speichern kann.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die erste Routine Ersatzkennungen verarbeitet, die durch Anwenden von Pseudozufalls- und Hash-Funktionen auf die von den Benutzern empfangenen Daten konstruiert werden.
Zentrales Proxy-System (110a) nach Anspruch 1, wobei die erste Routine zu den Browsing-Befehlen hinzugefügte Session-Tags empfängt, wobei das zentrale Proxy-System (110a) die Session-Tags dazu verwendet, die Ersatzkennungen mit jedem der Browsing-Befehle zu assoziieren.
Peripherie-Proxy-System (120), das an ein Netzwerk (100) gekoppelt wird und es mindestens einem Benutzer erlaubt, über ein zentrales Proxy-System (110a) anonym auf einer Serversite (110g) in dem Netzwerk (100) zu browsen, wobei das Peripherie-Proxy-System (120) folgendes umfaßt: eine computerausführbare erste Routine, die aus von einem bestimmten Benutzer empfangenen nichtmaskierten Daten eine bestimmte Ersatzkennung konstruiert, dergestalt, daß die Serversite (110g) eine Identität des Benutzers nicht bestimmen kann; und eine computerausführbare zweite Routine, die die bestimmte Ersatzkennung zu dem zentralen Proxy-System (110a) sendet, wobei das zentrale Proxy-System (110a) die bestimmte Ersatzkennung zu der Serversite (110g) sendet und danach von dem bestimmten Benutzer empfangene Browsing-Befehle zu der Serversite (110g) weitersendet.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei die Daten Identifikationsdaten und eine durch den bestimmten Benutzer angegebene benutzerdefinierbare Zeichenkette umfassen.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei die bestimmte Ersatzkennung einen bestimmten Ersatzbenutzernamen und ein bestimmtes Ersatzbenutzerpaßwort umfaßt.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei die erste Routine aus den Daten eine bestimmte Ersatz-Emailadresse für den bestimmten Benutzer konstruiert oder die bestimmte Ersatzkennung aus einer Adresse der Serversite (110g) konstruiert, wobei die bestimmte Ersatzkennung deshalb für die Serversite (110g) spezifisch ist.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei das zentrale Proxy-System (110a) ferner eine computerausführbare dritte Routine umfaßt, die Teile der Browsing-Befehle entfernt, die den bestimmten Benutzer der Serversite (110g) identifizieren würden.
Peripherie-Proxy-System (120) nach Anspruch 13, wobei die erste und die zweite Routine auf einem mit dem bestimmten Benutzer assoziierten Computersystem ausführbar sind und das zentrale Proxy-System (110a) ein Computersystem ist, das eine Adresse in dem Netzwerk (100) aufweist, die von dem mit dem bestimmten Benutzer assoziierten Computersystem verschieden ist.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei das zentrale Proxy-System (110a) ferner einen Datenspeicher umfaßt, der mit dem bestimmten Benutzer assoziierte Informationen speichern kann.
Peripherie-Proxy-System (120) nach Anspruch 9, wobei die erste Routine die bestimmte Ersatzkennung durch Anwenden von Pseudozufalls- und Hash-Funktionen auf die von dem bestimmten Benutzer empfangenen Daten konstruiert.
Verfahren zur Verwendung mit einem Netzwerk (100), das eine Serversite (110g) aufweist, auf der Benutzer browsen können, und das es den Benutzern erlaubt, über ein Proxy-System (110a, 120) anonym auf der Serversite (110g) in dem Netzwerk (100) zu browsen, wobei das Verfahren die folgenden Schritte umfaßt Konstruieren einer bestimmten Ersatzkennung aus von einem bestimmten Benutzer empfangenen nichtmaskierten Daten, dergestalt, daß die Serversite (110g) eine Identität des Benutzers nicht bestimmen kann; Senden der bestimmten Ersatzkennung zu der Serversite (110g); und danach Weitersenden von von dem bestimmten Benutzer empfangenen Browsing-Befehlen zu der Serversite (110g).
Verfahren nach Anspruch 17, wobei die Daten Identifikationsdaten und eine durch den bestimmten Benutzer angegebene benutzerdefinierbare Zeichenkette umfassen.
Verfahren nach Anspruch 17, wobei die bestimmte Ersatzkennung einen bestimmten Ersatzbenutzernamen und ein bestimmtes Ersatzbenutzerpaßwort umfaßt.
Verfahren nach Anspruch 17, ferner mit den folgenden Schritten: Konstruieren einer bestimmten Ersatz-Emailadresse für den bestimmten Benutzer aus den Daten und Konstruieren der bestimmten Ersatzkennung aus einer Adresse der Serversite (110g), wobei die bestimmte Ersatzkennung deshalb für die Serversite (110g) spezifisch ist.
Verfahren nach Anspruch 17, wobei der Schritt des Sendens den Schritt des Sendens der bestimmten Ersatzkennung zu der Serversite (110g) auf der Basis von durch den Benutzer in Webseitenfeldern angegebenen alphanumerischen Codes umfaßt.
Verfahren nach Anspruch 17, wobei der Schritt des Konstruierens auf einem mit dem bestimmten Benutzer assoziierten Computersystem ausgeführt wird und die Schritte des Sendens und anschließenden Sendens auf einem Computersystem ausgeführt werden, das eine Adresse in dem Netzwerk (100) aufweist, die von dem mit dem bestimmten Benutzer assoziierten Computersystem verschieden ist.
Verfahren nach Anspruch 17, ferner mit dem Schritt des Hinzufügens von Session-Tags zu den Browsing-Befehlen, wobei das Proxy-System (110a, 120) die Session-Tags dazu verwendet, die bestimmte Ersatzkennung mit jedem der Browsing-Befehle zu assoziieren.