DE102008021046A1

DE102008021046A1 - Verfahren zur Inbetriebnahme einer Tastatur eines Selbstbedienungsterminals

Info

Publication number: DE102008021046A1
Application number: DE102008021046A
Authority: DE
Inventors: Michael Nolte; Gerhard Osterholz; Daniela Riedel; Matthias Runowski
Original assignee: Wincor Nixdorf International GmbH
Current assignee: Wincor Nixdorf International GmbH
Priority date: 2008-04-26
Filing date: 2008-04-26
Publication date: 2009-10-29
Also published as: WO2009129919A1; US20110040984A1; US8631246B2; EP2277150A1; CN102016935A; CN102016935B

Abstract

Die Erfindung betrifft Verfahren zur Inbetriebnahme einer Tastatur (EPP) eines Selbstbedienungsterminals,
- wobei die Tastatur (EPP) ein Sicherheitsmodul umfasst, welches in der Lage ist, einen über die Tastatur (EPP) eingegebenen Geheimcode (PIN) mittels eines PIN-Schlüssels zu verschlüsseln,
- wobei die Tastatur (EPP) über einen Sensor verfügt, der erkennt, ob die Tastatur (EPP) ordnungsgemäß in dem Selbstbedienungsterminal eingebaut ist oder nicht,
- wobei das Sensorsignal von dem Sicherheitsmodul der Tastatur (EPP) abgefragt wird,
- wobei die Tastatur (EPP) automatisch in einen nicht betriebsbereiten Zustand geht, wenn das Sensorsignal anzeigt, dass die Tastatur (EPP) nicht ordnungsgemäß eingebaut ist,
- wobei die Tastatur (EPP) nach einem Übergang von einem betriebsbereiten Zustand in einen nicht betriebsbereiten Zustand nur dann wieder in Betrieb genommen werden kann, indem ein autorisierter Freischaltcode (FC) in das Sicherheitsmodul der Tastatur eingegeben wird.

Description

Die Erfindung bezieht sich auf ein Verfahren zur gesicherten Inbetriebnahme einer Tastatur eines Selbstbedienungsterminals, insbesondere eines Geldautomaten. Die Tastatur eines derartigen Selbstbedienungsterminals umfasst ein sogenanntes Sicherheitsmodul, welches in der Lage ist, eine über die Tastatur eingegebene Geheimnummer (PIN) mittels eines im Sicherheitsmodul gespeicherten PIN-Schlüssels zu verschlüsseln. Derartige Tastaturen werden im englischen Sprachgebrauch auch Encrypted PIN Pad (EPP) genannt. Damit wird verhindert, dass eine eingegebene Geheimnummer (PIN) unverschlüsselt z. B. an ein zentrales Rechenzentrum einer Bank weitergeleitet wird. Diese Tastatur ist in einer Aussparung einer Abdeckfläche der Bedieneinheit des Selbstbedienungsterminals angeordnet. Zum Ausspähen der Tastenbetätigungen (und damit der PIN) des Benutzers werden von Betrügern sogenannte Überbauten über die eigentliche Tastatur gebaut. Bei diesem Überbau handelt es sich um eine von dem Betrüger präparierte Tastatur, mittels derer die Tastenbetätigungen ausgespäht werden. Bei der Montage eines derartigen Überbaus wird auch der Einbauzustand der eigentlichen Tastatur manipuliert, indem die Tastatur gegenüber der Abdeckfläche gewaltsam nach unten gedrückt wird.
Aus diesem Grunde gibt es vermehrt Sicherheitsanforderungen, die verlangen, dass eine derartige Manipulation (Veränderung des ordnungsgemäßen Einbauzustandes der Tastatur) über eine entsprechende Sensorik vom Sicherheitsmodul der Tastatur erkannt wird und die Tastatur über das Sicherheitsmodul im Falle einer solchen Manipulation automatisch Außerbetrieb gesetzt (gesperrt) wird.
Ein autorisierter Ausbau der Tastatur durch einen Service-Techniker im Wartungs-/Reparaturfall führt jedoch ebenfalls dazu, dass die Manipulationssensorik auslöst und die Tastatur automatisch Außerbetrieb gesetzt (gesperrt) wird, d. h. von einem betriebsbereiten Zustand in einen nicht betriebsbereiten Zustand übergeht.
Vor diesem Hintergrund ist es die Aufgabe der Erfindung, ein Verfahren anzugeben, dass eine sichere, einfache und kostengünstige Wiederinbetriebnahme nach einem Ausbau oder einer Manipulation ermöglicht.
Diese Aufgabe wird durch die Merkmale des Patentanspruchs 1 gelöst. Die sich daran anschließenden abhängigen Patentansprüche beziehen sich auf vorteilhafte Ausführungsformen.
Erfindungsgemäß ist es vorgesehen, das die Tastatur nach einem Übergang von einem betriebsbereiten Zustand in einen nichtbetriebsbereiten Zustand nur dann wieder in Betrieb genommen werden kann, wenn ein autorisierter Freischaltcode in das Sicherheitsmodul der Tastatur eingegeben und von diesem verifiziert wird.
Anhand der beigefügten Zeichnungen soll die Erfindung nachfolgend näher erläutert werden.
Es zeigt:
1 eine schematische Draufsicht auf eine in der Abdeckfläche der Bedieneinheit des Selbstbedienungsterminals eingebaute Tastatur,
2 eine schematische Darstellung des EPP-Montagerahmens mit einem darauf angeordneten Schalter zur Manipulationserkennung sowie der darüber angeordneten Abdeckfläche der Bedieneinheit,
3 einen schematischen Schnitt durch die Tastatur mit Sicherheitsmodul,
4A/B die beiden Schalterstellungen, die einen ordnungsgemäßen bzw. nicht ordnungsgemäßen Einbauzustand anzeigen,
5 ein Blockschaubild zur Verdeutlichung des Verfahrens,
6 ein Flußdiagramm zur Veranschaulichung des Verfahrens.
1 zeigt eine schematische Draufsicht auf eine in einer Aussparung der Abdeckfläche der Bedieneinheit des Selbstbedienungsterminals eingebaute Tastatur. Die EPP-Tastatur besteht aus ihren Bedientasten und dem darunter angeordneten Sicherheitsmodul. Zum Einbau in die Abdeckfläche der Bedieneinheit weist die EPP-Tastatur einen Montagerahmen auf, der über eine Schraubverbindung (nicht dargestellt) mit der Abdeckfläche (Abdeckplatte) verschraubt wird. Der Sensor, der erkennt, ob die Tastatur ordnungsgemäß in dem Selbstbedienungsterminal eingebaut ist, befindet sich bevorzugt auf dem Montagerahmen, wobei das Sensorsignal von dem Sicherheitsmodul der Tastatur abgefragt wird. Bei dem Sensor kann es sich um einen mechanischen Mikroschalter handeln, dessen Schalterzustand elektrisch abgefragt wird. Dabei bedeutet ein offener Schalter (symbolisiert durch den Zustand: 0), dass die Tastatur nicht ordnungsgemäß eingebaut ist, während ein geschlossener Schalter (symbolisiert durch den Zustand: 1) bedeutet, dass die Tastatur ordnungsgemäß eingebaut ist. Selbstverständlich kann die Zuordnung der Schalterzustände auch umgekehrt sein. Zur Betätigung des Schalters kann auf der dem Schalter zugewandten Seite der Abdeckfläche ein im ordnungsgemäß eingebauten Zustand auf den Schalter drückender Stift vorgesehen sein.
Bei einer Manipulation, bei der die Tastatur gegenüber der Abdeckfläche gewaltsam nach unten gedrückt wird, wird der Schalter geöffnet, was wiederum im Sicherheitsmodul der Tastatur, wo der Schalterzustand abgefragt wird, dazu führt, dass die Tastatur automatisch Außerbetrieb gesetzt (gesperrt) wird.
Die gleiche Situation (Öffnen des Schalters) tritt jedoch auch dann auf, wenn die Tastatur im Wartungs-/Reparaturfall von einem Service-Techniker ausgebaut wird.
Um die Tastatur nach einem Ausbau in Wartungs-/Reparaturfall wieder in Betrieb zu nehmen reicht es nicht aus, dass der Schalter nach einem ordnungsgemäßen Einbau der Tastatur wieder geschlossen wird. Erfindungsgemäß ist es vielmehr vorgesehen, dass für eine Wiederinbetriebnahme der Tastatur ein von einer Autorisierungsstelle erzeugter Freischaltcode (FC) in das Sicherheitsmodul der Tastatur eingegeben und dort verifiziert werden muß.
Das Verfahren zur Erzeugung und zur Verifizierung des Freischaltcodes (FC) ist in 5 dargestellt. Im Sicherheitsmodul der Tastatur wird eine Zufallszahl (RND) generiert und zusammen mit einer die Tastatur eindeutig kennzeichnenden Tastatur-Kennung (z. B. Serien-Nr.) an den Service-Techniker ausgegeben. Für die Generierung der Zufallszahl (RND) und die Ausgabe der Tastatur-Serien-Nr. startet der Service-Techniker über eine entsprechende Schnittstelle eine Software-Routine im Sicherheitsmodul der Tastatur. Die Ausgabe/Übermittlung der Zufallszahl (RND) und der Serien-Nr. an den Service-Techniker kann über verschiedene Wege erfolgen, beispielsweise können die se dem Service-Techniker visuell auf einem Monitor angezeigt oder auf eine elektronische Speichereinrichtung des Service-Technikers übermittelt werden.
Über den Service-Techniker werden die Zufallszahl (RND) und die Serien-Nr. nun an eine räumlich entfernt angeordnete zentrale Autorisierungsstelle übermittelt. Dies kann beispielsweise in Form einer SMS (Short Message Nachricht) über eine Mobilfunktelefonverbindung erfolgen. Es ist jedoch auch eine fernmündliche Übertragung dieser Daten (Zufallszahl und Serien-Nr.) oder eine Übertragung per Telefax möglich. Darüber hinaus ist auch eine Übermittlung von Zufallszahl (RND) und Serien-Nr. an die Autorisierungsstelle durch eine Internetverbindung möglich.
Anhand der Serien-Nr. wird nun in der Autorisierungsstelle ein Schlüssel (K) zur Verschlüsselung der Zufallszahl (RND) abgeleitet. Zur Bildung des Freischaltcodes (FC) wird die Zufallszahl (RND) mit dem Schlüssel (K) unter Anwendung eines bestimmten Verschlüsselungsprogramms (Algorithmus) verschlüsselt: FC = enc_K(RND). Dabei wird der in der Autorisierungsstelle berechnete Freischaltcode zur Unterscheidung des im Sicherheitsmodul der Tastatur berechneten Freischaltcodes – siehe unten – mit FC2 bezeichnet. Der so berechnete Freischaltcode (FC2) wird nun von der Autorisierungsstellte an den Service-Techniker übermittelt. Dies kann beispielsweise ebenfalls in Form einer SMS-Nachricht oder aber über eine andere Telefon- oder Internetverbindung erfolgen. Der so erhaltene Freischaltcode (FC2) wird nun vom Service-Techniker über eine entsprechende Schnittstelle in das Sicherheitsmodul der Tastatur eingegeben. Dabei kann er beispielsweise für die Eingabe auch die Bedientasten der Tastatur selbst nutzen. Im Sicherheitsmodul der Tastatur wird nun der eingegebene Freischaltcode (FC2) verifiziert. Zu diesem Zweck wird die Zufallszahl (RND) nach demselben Algorithmus und mit demselben für die Tastatur-Kennung spezifischen Schlüssel (K) verschlüsselt wie in der Autorisierungsstelle. Anschließend wird der in das Sicherheitsmodul der Tastatur (EPP) eingegebene Freischaltcode (FS2) mit dem im Sicherheitsmodul selbst berechne ten Freischaltcode (FS1) verglichen. Stimmen die beiden überein, so kann die Tastatur unter bestimmten Bedingungen wieder in Betrieb genommen werden.
Das erfindungsgemäße Verfahren hat den Vorteil, dass die Tastatur nach einer Sperrung aufgrund einer nicht ordnungsgemäßen Einbausituation nach einem Ausbau in einfacher Weise ferngesteuert sicher wieder in Betrieb genommen werden kann. Eine sichere Wiederinbetriebnahme erfordert somit nicht, dass die Tastatur an den Tastaturhersteller versandt werden muß, um dort vor Ort in einer sicheren Umgebung eine Wiederinbetriebnahme (Freischaltung) zu bewirken. Durch das erfindungsgemäße Verfahren werden somit Zeit und Kosten gespart.
In 6 sind die verschiedenen Zustände, in denen sich eine Tastatur befinden kann, anhand eines Flußdiagramms dargestellt sowie die Übergänge zwischen diesen Zuständen erläutert.
Nach der Fertigstellung befindet sich die Tastatur in einem sogenannten Auslieferungszustand (S1). In diesem Zustand ist der Schalter offen (Schalterzustand = 0). Nach dem Laden eines sogenannten Transportschlüssels (Ü1) in das Sicherheitsmodul der Tastatur geht die Tastatur in einem sogenannten Transportzustand (S2) über. Aus diesem Zustand heraus kann die Tastatur nach einem ordnungsgemäßen Einbau in ein Selbstbedienungsterminal, bei dem der Schalter geschlossen wird, unter bestimmten Bedingungen automatisch in einen betriebsbereiten Zustand überführt werden. Mit dem „lokalen” Laden des PIN-Schlüssels, der für die Verschlüsselung der von dem Benutzer über die Tastatur eingegebenen Geheimnummer (PIN) erforderlich ist, wird der Schalter und/oder die Schalterabfrage über das Sicherheitsmodul aktiviert. Dabei wird unter dem „lokalen” Laden des PIN-Schlüssels – im Unterschied zum Vorladen des PIN-Schlüssel an einer zentralen Schlüsselladestelle – das Laden des PIN-Schlüssels am Standort des Selbstbedienungsterminals verstanden. Dabei kann der PIN-Schlüssel beim „lokalen” Laden sowohl manuell vor Ort in das Sicherheitsmodul eingegeben werden als auch durch ein über Verschlüsselung abgesichertes ferngesteuertes Schlüsselladen (sogenanntes Remote Key Loading). Falls nun der PIN-Schlüssel „lokal” geladen wurde und die Tastatur ordnungsgemäß eingebaut wurde, d. h. der Schalter wurde geschlossen (Schalterzustand = 1), geht die Tastatur automatisch in den betriebsbereiten Zustand (S3) über, wenn eine entsprechende Schalterzustandsabfrage durch das Sicherheitsmodul den geschlossenen Schalterzustand bestätigt. Wenn die Schalterabfrage allerdings den offenen Schalterzustand detektiert, geht die Tastatur automatisch in den nicht betriebsbereiten Zustand (S4) über, in dem die Tastatur gesperrt ist. Die Tastatur geht aus Sicherheitsgründen auch dann automatisch in den nicht betriebsbereiten Zustand (S4) über, wenn die Schalterabfrage zwar den geschlossenen Schalterzustand detektiert, der PIN-Schlüssel aber an einer zentralen Schlüsselladestelle vorgeladen wurde. Bei Tastaturen mit zentral vorgeladenen PIN-Schlüsseln soll daher auch bei ordnungsgemäßem Einbau die Inbetriebnahme erst nach einer autorisierten Freischaltung (siehe unten) erfolgen.
Eine Tastatur, die sich im betriebsbereiten Zustand (S3) befindet, detektiert bei Ausbau/Manipulation (Ü3) der Tastatur einen Wechsel des Schalterzustandes von geschlossen (1) nach offen (0). Dies führt automatisch dazu, dass die Tastatur in den nicht betriebsbereiten Zustand (S4) überführt wird. In diesem Zustand ist die Tastatur gesperrt. Dieser Zustand kann in einer Ausführungsform noch durch eine optische Information, beispielsweise durch eine blinkende LED, angezeigt werden.
Um nun eine Tastatur aus dem nicht betriebsbereiten Zustand (S4) wieder in Betrieb nehmen zu können, muß von einem Service-Techniker die erfindungsgemäße Freischaltprozedur (siehe 5) initiiert werden (Ü4). Dabei wird das Sicherheitsmodul der Tastatur aufgefordert, die Zufallszahl (RND) sowie die Tastatur-Kennung (Serien-Nr.) auszugeben. Anschließend geht die Tastatur in einen Freischaltcode-Empfangszustand (S5) über. Falls die Tastatur wieder ordnungsgemäß eingebaut wurde (Schalter geschlossen; Schalterzustand = 1) und ein autorisierter Freischaltcode (FC) eingegeben wurde, geht die Tastatur automatisch wieder in den betriebsbereiten Zustand (S3) über (siehe Pfad Ü5.1). Es ist jedoch auch vorgesehen, dass die Tastatur nach Eingabe eines autorisierten Freischaltcodes (FC) in den Transportzustand (S2) überführt wird, falls die Tastatur sich in einer Werkstatt oder einem Zwischenlager befindet (Pfad Ü5.2).

Claims

Verfahren zur Inbetriebnahme einer Tastatur (EPP) eines Selbstbedienungsterminals, – wobei die Tastatur (EPP) ein Sicherheitsmodul umfasst, welches in der Lage ist, einen über die Tastatur (EPP) eingegebenen Geheimcode (PIN) mittels eines PIN-Schlüssels zu verschlüsseln, – wobei die Tastatur (EPP) über einen Sensor verfügt, der erkennt, ob die Tastatur (EPP) ordnungsgemäß in dem Selbstbedienungsterminal eingebaut ist oder nicht, – wobei das Sensorsignal von dem Sicherheitsmodul der Tastatur (EPP) abgefragt wird, – wobei die Tastatur (EPP) automatisch in einen nicht betriebsbereiten Zustand geht, wenn das Sensorsignal anzeigt, dass die Tastatur (EPP) nicht ordnungsgemäß eingebaut ist, – wobei die Tastatur (EPP) nach einem Übergang von einem betriebsbereiten Zustand in einen nicht betriebsbereiten Zustand nur dann wieder in Betrieb genommen werden kann, indem ein autorisierter Freischaltcode (FC) in das Sicherheitsmodul der Tastatur eingegeben wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass – von dem Sicherheitsmodul der Tastatur eine die Tastatur (EPP) eindeutig kennzeichnende Tastatur-Kennung (Seriennummer) und eine Zufallszahl (RND) ausgegeben und an eine Autorisierungsstelle übermittelt wird, – die Zufallszahl (RND) in der Autorisierungsstelle mit einem für die Tastatur-Kennung spezifischen Schlüssel (K) zur Bildung des Freischaltcodes (FS) verschlüsselt wird: FS = enc_K(RND).
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die Autorisierungsstelle den Freischaltcode (FS) zur Eingabe in das Sicherheitsmodul übermittelt, im Sicherheitsmodul der Tastatur (EPP) die Zufallszahl (RND) nach demselben Algorithmus und mit demselben für die Tastatur-Kennung spezifischen Schlüssel (K) wie in der Autorisierungsstelle verschlüsselt wird, wobei der in das Sicherheitsmodul der Tastatur (EPP) eingegebene Freischaltcode (FS2) mit dem im Sicherheitsmodul selbst berechneten Freischaltcode (FS1) verglichen wird.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass für eine Erstinbetriebnahme der Tastatur (EPP) das Sicherheitsmodul in einen Transportzustand bringbar ist, wobei die Tastatur dann nach ordnungsgemäßem Einbau in das Selbstbedienungsterminal und Laden des PIN-Schlüssels in das Sicherheitsmodul (M) automatisch in den betriebsbereiten Zustand übergeht.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass für eine Wiederinbetriebnahme der Tastatur (EPP) dieselbe nach Eingabe des autorisierten Freischaltcodes (FC) in den Transportzustand bringbar ist, wobei die Tastatur (EPP) dann nach ordnungsgemäßem Einbau in das Selbstbedienungsterminal und nach Laden des PIN-Schlüssels in das Sicherheitsmodul automatisch in den betriebsbereiten Zustand übergeht.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die vom Sicherheitsmodul der Tastatur ausgegebene Tastatur-Kennung (Seriennummer) und die Zufallszahl (RND) über eine Telefonverbindung oder eine Internetverbindung an die Autorisierungsstelle übermittelt wird.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der Freischaltcode (FS2) von der Autorisierungsstelle über eine Telefonverbindung oder eine Internetverbindung zur Eingabe in das Sicherheitsmodul (M) der Tastatur (EPP) übermittelt wird.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass nach N-maliger Fehleingabe des Freischaltcodes der aktuelle Freischaltcode (FS) zur Inbetriebnahme oder zur Wiederinbetriebnahme gesperrt wird.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass als Sensor ein Schalter verwendet wird.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der nicht betriebsbereite Zustand der Tastatur über ein optische Information angezeigt wird.