PL179928B1 - Sposób otwartego handlu elektronicznego PL PL PL PL PL PL PL PL - Google Patents

Abstract

1 Sposób otwartego handlu elektronicznego, w którym wymienia sie towa ry elektroniczne i pieniadze elektroniczne, z wykorzystaniem elektronicznego upowaznionego agenta oraz modulu pienieznego i utworzeniem zabezpieczo- nego srodowiska transakcyjnego zarówno dla nabywcy, jak i sprzedawcy ele- ktronicznych towarów i uslug, znamienny tym, ze stosuje sie zabezpieczonego przed manipulacja przez osoby niepowolane upowaznionego agenta klienta oraz za- bezpieczonego przed manipulacja przez osoby niepowolane upowaznionego agenta spzedawcy do przeprowadzenia transakcji platniczej na zasadzie autoryzacji, przy czym inicjalizuje sie kryptograficznie zabezpieczona sesje pomiedzy upowaz- nionym agentem klienta i upowaznionym agentem sprzedawcy, przeprowadza sie wymiane cyfrowo oznakowanych sygnatur upowaznionego agenta, zawie- rajacych identyfikator upowaznionego agenta, pomiedzy upowaznionym agen- tem klienta i upowaznionym agentem sprzedawcy, nastepnie przekazuje sie towar elektroniczny od upowaznionego agenta sprzedawcy do upowaznionego agenta klienta, poprzez kryptograficznie zabezpieczona sesje, przy czym upo- wazniony agent klienta tymczasowo zatrzymuje ten towar elektroniczny, po czym przeprowadza sie weryfikacje towaru elektronicznego przez upowaz- nionego agenta klienta, nastepnie w zabezpieczonej kryptograficznie sesji przekazuje sie uwierzytelnienie platnicze od upowaznionego agenta klienta do upowaznionego agenta sprzedawcy, które to uwierzytelnienie platnicze obejmuje odebrany identyfikator upowaznionego agenta, ponadto za pomoca upowaznionego agenta sprzedawcy weryfikuje sie uwierzytelnienie platnicze, porównujac identyfikator upowaznionego agenta sposród sygnatur upowaznio- nych agentów klienta z odebranym identyfikatorem upowaznionego agenta, za pomoca upowaznionego agenta sprzedawcy przesyla sie uwierzytelnienie plat- nicze oraz cene przyporzadkowana towarowi elektronicznemu, do sieci auto- ryzacyjnej, dla autoryzacji platniczej, nastepnie za pomoca upowaznionego agenta sprzedawcy odbiera sie autoryzacje platnicza, po czym w zabezpieczo- nej kryptograficznie sesji, za pomoca upowaznionego agenta sprzedawcy wysyla sie komunikat o autoryzacji platnosci do upowaznionego agenta klien- ta i wyraza sie zgode na transakcje platnosci na zasadzie autoryzacji, a ponad- to za pomoca upowaznionego agenta klienta wyraza sie zgode na transakcje Fig. 5 PL PL PL PL PL PL PL PL

Description

Przedmiotem wynalazku jest sposób otwartego handlu elektronicznego. Zgodnie z wynalazkiem wymienia się towary elektroniczne i pieniądze elektroniczne, przy czym wykorzystuje się zabezpieczone przed nieupoważnionąmanipulacjąbloki elektroniczne, zwane upoważnionymi agentami elektronicznymi, połączone z modułami pieniężnymi, dla utworzenia zabezpieczonego środowiska transakcyjnego zarówno dla nabywcy, jak i sprzedawcy elektronicznych towarów i usług.

Handel elektroniczny obejmuje zbiór zamkniętych społeczności. Przykładami takich społeczności są towarzystwa telefonii lokalnej i międzymiastowej, towarzystwa kablowe, towarzystwa telefonii komórkowej, usługi poczty elektronicznej i realizatorów usług elektronicznych. Klient dla wykorzystania oferowanych wyrobów i usług włącza się w każdą z tych społeczności. Tak więc, przed elektronicznym dostarczeniem towarów lub usług, konieczna jest identyfikacja płacącego. Operator usługi może następnie albo pobrać należność od klienta, albo skredytować jego zobowiązanie, albo obciążyć jego konto.

Przy rozpowszechnieniu się szybkich sieci dostarczających rozrywki i informacji na żądanie, dotychczasowe systemy rozliczeń i płatności są zalewane potokiem transakcji. W wyniku tego klienci są obciążani wielopozycyjnymi fakturami za każdy okres rozliczeniowy. Ponadto dane klientów są dostępne dla każdego operatora systemu w wyniku nie-anonimowego charakteru transakcji.

Jeden ze sposobów realizacji anonimowej płatności przedstawiono w zgłoszeniu patentowym PCT nr WO 93/10503. W opisie tego zgłoszenia przedstawiono elektroniczny układ monetarny do realizacji elektronicznych płatności pieniężnych jako czynnika alternatywnego względem wymiany gotówki, czeków, kart kredytowych, kart debetowych i elektronicznych przelewów funduszy. Układ do stosowania tego sposobu wykorzystuje moduły pieniężne pakowane w osłony zabezpieczone przed nieupoważnioną manipulacją do gromadzenia i przelewa4

179 928 nia banknotów elektronicznych. Płatność modułem pieniężnym odbywa się albo w czasie rzeczywistym, albo jako płatności w trybie off-line między modułami pieniężnymi, na przykład między modułem pieniężnym zawartym w portfelu elektronicznym klienta, a modułem pieniężnym zawartym w terminalu punktu sprzedaży kupca, albo jako płatności w czasie rzeczywistym za usługi sieciowe, na przykład otrzymanie informacji lub połączenie telefoniczne, lub też za nabycie biletów lotniczych, biletów teatralnych itp.

Jednak poważnym problemem w przypadku zdalnej sprzedaży anonimowej jest ochrona płatności i dostaw. Jeżeli ktoś chce nabyć anonimowo film, poprzez telefon, to trzeba zapewnić kupującego, że otrzyma film po uprzednim zapłaceniu należności, bądź też trzeba zapewnić sprzedawcę, że otrzyma należność, jeżeli uprzednio dostarczy film. Tak więc, przy nabyciu czegokolwiek z miejsca odległego, często przyjęte jest uprzednie zidentyfikowanie nabywcy i sprzedawcy, co prowadzi do utraty poufności.

Sposób otwartego handlu elektronicznego według wynalazku, stosowany jest do wymiany towarów elektronicznych i pieniędzy elektronicznych, z wykorzystaniem elektronicznego upoważnionego agenta oraz modułu pieniężnego i utworzeniem zabezpieczonego środowiska transakcyjnego zarówno dla nabywcy, jak i sprzedawcy elektronicznych towarów i usług. Sposób tego rodzaju charakteryzuje się tym, że stosuje się zabezpieczonego przed manipulacją przez osoby niepowołane upoważnionego agenta klienta oraz zabezpieczonego przed manipulacją przez osoby niepowołane upoważnionego agenta sprzedawcy do przeprowadzenia transakcji płatniczej na zasadzie autoryzacji, przy czym inicjalizuje się kryptograficznie zabezpieczoną sesję pomiędzy upoważnionym agentem klienta i upoważnionym agentem sprzedawcy, przeprowadza się wymianę cyfrowo oznakowanych sygnatur upoważnionego agenta, zawierających identyfikator upoważnionego agenta, pomiędzy upoważnionym agentem klienta i upoważnionym agentem sprzedawcy. Następnie przekazuje się towar elektroniczny od upoważnionego agenta sprzedawcy do upoważnionego agenta klienta, poprzez kryptograficznie zabezpieczoną sesję, przy czym upoważniony agent klienta tymczasowo zatrzymuje ten towar elektroniczny, po czym przeprowadza się weryfikację towaru elektronicznego przez upoważnionego agenta klienta. Następnie w zabezpieczonej kryptograficznie sesji przekazuje się uwierzytelnienie płatnicze od upoważnionego agenta klienta do upoważnionego agenta sprzedawcy, które to uwierzytelnienie płatnicze obejmuje odebrany identyfikator upoważnionego agenta.

Ponadto, za pomocą upoważnionego agenta sprzedawcy weryfikuje się uwierzytelnienie płatnicze, porównując identyfikator upoważnionego agenta spośród sygnatur upoważnionych agentów klienta z odebranym identyfikatorem upoważnionego agenta. Za pomocą upoważnionego agenta sprzedawcy przesyła się uwierzytelnienie płatnicze oraz cenę przyporządkowanątowarowi elektronicznemu, do sieci autoryzacyjnej, dla autoryzacji płatniczej. Następnie, za pomocąupoważnionego agenta sprzedawcy, odbiera się autoryzację płatniczą po czym w zabezpieczonej kryptograficznie sesji, za pomocąupoważnionego agenta sprzedawcy wysyła się komunikat o autoryzacji płatności do upoważnionego agenta klienta i wyraża się zgodę na transakcję płatności na zasadzie autoryzacji. Ponadto, za pomocąupoważnionego agenta klienta wyraża się zgodę na transakcję na zasadzie płatności autoryzowanej, po czym zatrzymanie towaru elektronicznego przestaje być tymczasowe.

Korzystne jest, że za pomocąupoważnionych agentów klienta i sprzedawcy zapisuje się informację rejestrową transakcji, przy czym tę informację rej estrową utrzymuje się po etapach wyrażenia zgody jako nie-tymczasową. Jako towar elektroniczny stosuje się bilet. Informacja rejestrowa upoważnionego agenta klienta zawiera informację o bilecie i dane płatnościowe.

Korzystne jest, że jako towar elektroniczny stosuje się bilet deszyfracyjny zatrzymany tymczasowo przez upoważnionego agenta klienta, po przekazaniu, a zaszyfrowany obiekt elektroniczny przechowuje się poza upoważnionym agentem sprzedawcy i deszyfruje się za pomocą biletu deszyfracyjnego.

Po etapie inicjalizacji za pomocą upoważnionego agenta sprzedawcy wysyła się uwierzytelnienie sprzedawcy do upoważnionego agenta klienta, w zabezpieczonej kryptograficznie

179 928 sesji, a za pomocą upoważnionego agenta klienta przetwarza się uwierzytelnienie sprzedawcy dla zweryfikowania tego uwierzytelnienia sprzedawcy.

W odmiennym rozwiązaniu według wynalazku, sposób otwartego handlu elektronicznego charakteryzuje się tym, że transakcje płatnicze realizuje się na zasadzie identyfikacji z wykorzystaniem urządzeń zabezpieczonych przed manipulacją przez osoby niepowołane, w tym pierwszego upoważnionego agenta elektronicznego, pierwszego modułu pieniężnego, drugiego upoważnionego agenta elektronicznego i drugiego modułu pieniężnego, przy czym inicjalizuje się zabezpieczoną kryptograficznie sesję pomiędzy pierwszym upoważnionym agentem i drugim upoważnionym agentem, następnie w tej zabezpieczonej kryptograficznie sesji, za pomocą drugiego upoważnionego agenta przesyła się uwierzytelnienie drugiego upoważnionego agenta do pierwszego upoważnionego agenta, po czym za pomocą pierwszego upoważnionego agenta weryfikuje się uwierzytelnienie drugiego upoważnionego agenta i tymczasowo zatrzymuje się to upoważnienie.

Następnie za pomocą pierwszego upoważnionego agenta wysyła się komunikat płatności do drugiego upoważnionego agenta, w zabezpieczonej kryptograficznie sesji, po czym za pomocąpierwszego upoważnionego agenta inicjuje się płatność elektronicznymi pieniędzmi z pierwszego modułu pieniężnego do drugiego modułu pieniężnego, w ilości zgodnej z komunikatem płatności. Następnie za pomocą pierwszego upoważnionego agenta wyraża się zgodę po otrzymaniu komunikatu o przyjętej płatności od pierwszego modułu pieniężnego, po czym za pomocą pierwszego upoważnionego agenta utrzymuje się w sposób nie-tymczasowy informację rejestrową włącznie z uwierzytelnieniem drugiego upoważnionego agenta i danymi dotyczącymi komunikatu płatności, a następnie za pomocą drugi ego upoważnionego agenta wyraża się zgodę po otrzymaniu komunikatu o przyjętej płatności od drugiego modułu pieniężnego.

Korzystne jest, że za pomocą pierwszego upoważnionego agenta wysyła się komunikat do drugiego upoważnionego agenta z zapytaniem, czy żądane jest uwierzytelnienie pierwszego upoważnionego agenta, następnie za pomocą pierwszego upoważnionego agenta wysyła się uwierzytelnienie pierwszego upoważnionego agenta do drugiego upoważnionego agenta, w pierwszej zabezpieczonej kryptograficznie sesji, po czym za pomocą drugiego upoważnionego agenta weryfikuje się uwierzytelnienie pierwszego upoważnionego agenta.

Opracowany sposób umożliwia nabywanie przez klientów elektronicznych towarów i usług na żądanie, bez włączania się w jakąkolwiek zbiorowość elektroniczną. Ponadto, umożliwione jest zdalne dostarczanie towarów lub usług elektronicznych przy anonimowej płatności w czasie rzeczywistym, lub płatności na podstawie płatności autoryzowanej bez możliwości ingerencji ani klienta, ani kupca w proces płatności i dostawy po uzgodnieniu transakcji. Zgodnie z wynalazkiem, wykorzystuje się agentów upoważnionych i moduły pieniężne do stworzenia systemu otwartego handlu elektronicznego, w którym zarówno klienci, jak i kupcy mogą bezpiecznie dokonywać transakcji zdalnie przez sieci elektroniczne bez uprzedniej wzajemnej informacji o sobie. Ponadto, możliwa jest bezpieczna transakcja elektroniczna w czasie rzeczywistym między kupującym i sprzedawcą bez ingerencji osób trzecich.

Przedmiot wynalazku zostanie bliżej objaśniony w przykładach realizacji sposobu otwartego handlu elektronicznego, z wykorzystaniem rysunku, na którym fig. 1 przedstawia schemat współdziałania bloków elektronicznych upoważnionego agenta i modułu pieniężnego, fig. 2 - sekcje i pola różnych biletów, fig. 3 - części składowe urządzenia transakcyjnego, fig. 4A-4D przedstawiają funkcjonalne elementy składowe bloku elektronicznego agenta upoważnionego, fig. 5 przedstawia strukturę sieci systemu otwartego handlu elektronicznego, fig. 6A - schemat hierarchii ochrony agentów upoważnionych, fig. 6B - funkcjonalne elementy składowe boku elektronicznego upoważnionego dostawcy (pierwotnego), fig. 7A - protokół zgody, fig. 7B - protokół rezygnacji, fig. 8A-8C przedstawiają protokół ponownego poświadczenia agenta upoważnionego, fig. 9 A-9E - protokół inicjalizacji sesji, fig. 10 przedstawia protokół komunikatu wysłania, fig. 11protokół rezygnacji z transakcji, fig. 12A-12B przedstawiają protokół zakupu towaru elektronicznego, fig. 13 przedstawia różne warstwy szyfrowania komunikatu realizowanego między upoważnionymi agentami elektronicznymi i modułami pieniężnymi, fig. 14 - protokół sprawdzenia

179 928 uwierzytelnienia, fig. 15A-15B przedstawiają protokół dostarczenia towaru, fig. 16A-16B przedstawiająprotokół płatności modułu pieniężnego, fig. 17 przedstawia protokół wysłania komunikatu trasowanego, fig. 18 - protokół wysłania komunikatu MM/ΤΑ od modułu pieniężnego do agenta upoważnionego, fig. 19 - protokół wysłania komunikatu ΤΑ/MM od agenta upoważnionego do modułu pieniężnego, fig. 20 - protokół wysłania komunikatu trasowanego E, fig. 21A-21B przedstawiająprotokół płatności na podstawie uwierzytelnienia/refundacji, fig. 22 przedstawia otwarty protokół towaru, fig. 23 A-23D przedstawiająprotokół przedstawienia biletu elektronicznego na usługi, fig. 24 przedstawia protokół biletu zgody, fig. 25A-25C przedstawiająprotokół biletów przelewów, fig. 26 przedstawia protokół uzyskania uwierzytelnienia, fig. 27 - protokół przekazania uwierzytelnienia, fig. 28A-28B przedstawiająprotokół zdalnego ponownego zatwierdzenia uwierzytelnienia, fig. 29A-29B - protokół płatności modułu pieniężnego opartego na identyfikacji, fig. 30A-30E - protokół negocjacji w sprawie towaru elektronicznego, fig. 31 przedstawia protokół uzgodnienia negocjacji, fig. 32 - protokół negocjacji płatności, fig. 33A - schemat hierarchii ochrony EMS, a wiec systemu handlu elektronicznego, fig. 33B - wykres ukazujący zespół komunikatów ochrony sieci między realizatorami ochrony, pierwotnym i podrzędnym, fig. 34 - wykres ukazujący strukturę ochrony sieci dla EMS, a więc systemu handlu elektronicznego, fig. 35A - funkcjonalne elementy składowe realizatora ochrony, fig. 35B - funkcjonalne elementy składowe realizatora sieci, fig. 36 - przegląd procedury włączenia sieci do pracy, fig. 37A-37K przedstawiająprotokół inicjaiizacji sesji w EMS, a więc systemu handlu elektronicznego, fig. 38A-38E - protokół inicjaiizacji sesji w systemie EMS, a więc systemu handlu elektronicznego, fig. 39A-39B - protokół not przelewowych, fig. 40-40D - protokół wymiany walut, fig. 41 przedstawia protokół zgody dla modułów w systemie EMS, a więc systemu handlu elektronicznego, fig. 42A-42B przedstawiająprotokół rezygnacji dla modułów w systemie handlu elektronicznego EMS, fig. 43A-43C - protokół płatności punktu sprzedaży POS, a fig. 44A-44B przedstawiająprotokół rachunków skojarzonych.

W rozwiązaniu według wynalazku proponuje się sposób bezpiecznego dostarczania towaru elektronicznego z anonimową płatnością w czasie rzeczywistym lub płatnością na podstawie autoryzacji. Sposób umożliwia zarówno klientowi, jak i sprzedawcy, poczucie zabezpieczenia ich interesów.

Na figurze 1 przedstawiono podstawowe współdziałanie między elementami składowymi systemu do realizacji sposobu według wynalazku, podczas anonimowej transakcji płatności. Dla osiągnięcia zabezpieczenia wymiany płatności za towary elektroniczne, kiedy kupujący i sprzedający dokonują transakcji na drodze elektronicznej, zgodnie z wynalazkiem wykorzystuje się bloki elektroniczne upoważnionych agentów 2,4 zarówno dla klienta, jak i sprzedawcy. Upoważniony agent elektroniczny stanowi połączenie elementów składowych urządzeniowych i programowych. Jest zabezpieczony przed manipulacjami osób niepowołanych i zawiera protokoły ochrony współdziałające z modułem pieniężnym 6, synchronizując bezpieczne dokonanie płatności do dostawcy.

Moduły pieniężne są zabezpieczonymi przed manipulacją przez osoby niepowołane, urządzeniami nadającymi się do przechowywania i przekazywania pieniędzy elektronicznych. Korzystne jest, jeżeli pieniądze elektroniczne sąw postaci zapisów elektronicznych, stanowiących reprezentację gotówki lub kredytu. Moduły pieniężne nadają się również do inicjacji zabezpieczonych kryptograficznie sesji z innymi urządzeniami. W korzystnym rozwiązaniu według wynalazku wykorzystuje się znane transakcyjne moduły pieniężne, z modyfikacjami lub udoskonaleniami, które zostaną opisane.

Pod względem koncepcyjnym, upoważniony agent elektroniczny stanowi namiastkę osoby, która chce zdalnie (elektronicznie) dokonać transakcji w sposób bezpieczny. Upoważnieni agenci znajdująsię pod kontrolą protokołów transakcyjnych, zarówno klienta jak i sprzedawcy. W celu zagwarantowania sposobu działania upoważnionego agenta elektronicznego, protokoły zabezpieczone sąfizycznie. Zatem żadna ze stron nie jest w stanie zmodyfikować protokołów na niekorzyść drugiej strony.

Upoważnieni agenci wymieniają elektroniczne towary i płatności. Jak to przedstawiono na fig. 1, upoważniony agent elektroniczny sprzedawcy 4 przesyła towar elektroniczny do upoważ

179 928 nionego agenta elektronicznego klienta 2. W odpowiedzi, moduł pieniężny 6 klienta przesyła pieniądz elektroniczny do modułu pieniężnego 6 kupca, za pośrednictwem upoważnionego agenta elektronicznego klienta 2 i upoważnionego agenta elektronicznego sprzedawcy 4.

Towar elektroniczny stanowi dowolne dobra nadające się do reprezentowania w postaci elektronicznej, i korzystnie stanowi albo bilet, albo zaszyfrowany obiekt elektroniczny i przyporządkowany do niego bilet deszyfrujący. Przedstawiony na fig. 2 bilet 8 stanowi jednostkę elektroniczną utworzoną przez upoważnionego agenta elektronicznego sprzedawcy 4 i przekazywaną do upoważnionego agenta elektronicznego klienta 2, podczas transakcji zakupu. Bilety mogą być uważane za własność upoważnionych agentów. Klient, którego upoważniony agent 2 właśnie odebrał bilet 8 może wykorzystać ten bilet dopiero po pomyślnym zakończeniu transakcji.

Zgodnie z wynalazkiem, przewiduje się stosowanie różnych typów biletów wykorzystywanych do różnych celów.

Bilet deszyfrujący zawsze jest przyporządkowany konkretnemu zaszyfrowanemu obiektowi elektronicznemu. Przykładem obiektów elektronicznych jest komputerowe oprogramowanie, gry, filmy, lub produkty informacyjne, takie jak elektroniczne czasopisma i książki. W tym przypadku dobra sprzedawcy są obiektami elektronicznymi, zaszyfrowanymi przez upoważnionego agenta klienta, przed dostarczeniem ich do klienta. Zaszyfrowany obiekt elektroniczny jest deszyfrowany za pomocą niepowtarzalnej informacji w przyporządkowanym mu bilecie. Razem, zaszyfrowany obiekt elektroniczny i jego bilet deszyfrujący, stanowiątowar elektroniczny przekazywany przez sprzedawcę.

Przekazany obiekt elektroniczny jest zabezpieczony kryptograficznie przed wglądem i wykorzystaniem, bez dostępu do biletu deszyfrującego, przez odbierającego klienta, lub dowolnąstronę trzecią. Z kolei bilet deszyfrujący stanowi własność upoważnionego agenta klienta i może być wykorzystany dopiero po pomyślnym zakończeniu transakcji zakupu.

Bilet uwierzytelniający identyfikuje właściciela i zapewnia konkretne przywileje. Przykłady dokumentów uwierzytelniających obejmują prawo jazdy, paszport, kartę kredytową kartę debetową kartę ubezpieczenia społecznego i pieczęć instytucji.

Bilet transportowy może stanowić bilet lotniczy, kolejowy lub autobusowy, w postaci elektronicznej. Bilet imprezowy zapewnia wstęp na różne imprezy, na przykład teatralne, koncertowe, mecze lub zawody sportowe. Bilet telekomunikacyjny zapewnia dostęp do różnych usług telekomunikacyjnych, włącznie z telefonią satelitarną kablową radiową i ogólnymi usługami telefonii konwencjonalnej. Na przykład bilet telekomunikacyjny wykorzystuje się do rozkodowywania audycji telewizyjnych i radiowych. Bilet obiektu fizycznego może stanowić zamówienie dostawy, fakturę, zawiadomienie o zapłacie, pokwitowanie lub prawo do obiektu fizycznego.

Upoważniony agent elektroniczny nie tylko może kupować bilety, lecz również może przedstawiać je innym upoważnionym agentom, w różnych celach. Na przykład bilety imprezowe mogą być przedstawiane elektronicznie przy wejściu na widownię. Kiedy posiadacz biletu znajduje się wewnątrz, bilet jest ponownie przedstawiany elektronicznie dla samoczynnego kierowania posiadacza na jego miejsce. Prawo jazdy w postaci biletu przedstawia się jako dowód tożsamości. Bilet może służyć za dowód zakupu dóbr nieelektronicznych i może być wymieniany na obiekt fizyczny, albo dostarczony klientowi, albo pobrany przez klienta w sklepie łub domu towarowym. Karty kredytowe lub debetowe stosuje się do pobierania pieniędzy na zasadzie stwierdzania tożsamości. Przy reklamacji bilet może służyć jako dowód zakupu wadliwego towaru.

Na figurze 2 przedstawiono przykład biletu 8, który składa się z sześciu głównych części, a mianowicie identyfikatora 10, części składowych 12, sygnatury wydawcy 14, poświadczenia wydawcy 16, historii przekazywania 18 i sygnatur nadawcy 20. Sekcje te z kolei, składają się z różnych pól z informacjami.

Sekcja identyfikatora 10 zawiera pole 22, zawierające informację identyfikującą sprzedawcę lub uprawnionego, który wydał bilet. Taka informacja, na przykład nazwa sprzedawcy lub uprawnionego urzędu, jest kopiowana z dokumentu uwierzytelniającego sprzedawcę lub urzędu posiadanego przez wydawcę biletu. Pole 22 zawiera również datę wygaśnięcia ważności uwierzytelnienia sprzedawcy lub instytucji. Pole 24 zawiera numer identyfikacyjny upoważnionego

179 928 agenta odbierającego. Pole 24 zawiera również datę wygaśnięcia ważności uwierzytelnienia upoważnionego agenta odbierającego. Pole 26 określa typ biletu, na przykład bilet deszyfrujący, bilet imprezowy, itp.

Sekcja części składowych 12 obejmuje podstawowązawartość biletu, która zmienia się zależnie od typu biletu i jego konkretnego przeznaczenia. Na figurze 2 przedstawiono przykłady części składowych znajdujących się na biletach różnych typów.

Sekcja części składowych 12 biletu deszyfrującego zawiera pole identyfikatora 36 w sposób niepowtarzalny identyfikujące konkretny obiekt elektroniczny i zawiera również krótki opis obiektu elektronicznego, np. tytuł lub autora. Same obiekty elektroniczne np. filmy, składają się z nagłówka i treści. Nagłówek zawiera identyfikator obiektu, który wiąże się z identyfikatorem 36 obiektu w bilecie deszyfrującym. Nagłówek również zawiera informację opisową, która nadaje się do zaprezentowania nabywcy do wstępnego przeglądu zawartości obiektu. Treść stanowi zawartość, którą nabywca stosuje interakcyjnie lub ogląda.

Pole klucza deszyfrującego 38 zawiera informację wykorzystywaną do deszyfrowania przyporządkowanego biletowi elektronicznego obiektu. Pole ceny zakupu 40 zawiera informację o cenie obiektu elektronicznego. Pole daty sprzedaży 42 zawiera datę sprzedaży obiektu elektronicznego. Pole sygnatury obiektu 44 zawiera sygnaturę cyfrową obiektu elektronicznego. Sygnatury cyfrowe są znane i wykorzystywane są do kontroli, czy sygnowany obiekt elektroniczny zmienił się w jakikolwiek sposób od daty sygnowania. Tym sposobem sprawdza się integralność obiektu elektronicznego. Pole wykorzystania 46 przedstawia ograniczenia zastosowania obiektu elektronicznego.

Bilet uwierzytelniający, na przykład prawo jazdy, zawiera korzystnie pole nazwiska 48, pole adresu 50, pole zdjęcia i opisu cech fizycznych 52, pole podpisu kierowcy 54 zawierające elektroniczny obraz podpisu kierowcy, pole upływu ważności 56, pole statusu 58 wskazujące czy prawo jazdy jest ważne, zawieszone, lub odebrane, pole użytkowania 60 wskazujące kiedy kopia biletu może być udostępniona do użytku upoważnionemu agentowi sprzedawcy 4, tak że oryginalny bilet przechowywany w upoważnionym agencie klienta 2 nie może być wykorzystywany podczas okresu prezentacji. Bilet uwierzytelniający stanowiący pieczęć urzędu zawiera korzystnie pole nazwy urzędu 62, pole adresu 64, pole identyfikatora płatnika podatku 66, pole upływu terminu ważności 68, i pole użytkowania 70.

Bilet na transport zawiera korzystnie pole nazwy przewoźnika 72, pole numeru trasy 74 specyfikujące na przykład numer lotu, pociągu lub autobusu, pola odejścia i przybycia 76, 78, specyfikujące czas i miejsce, pole statusu 84 wskazujące czy bilet jest nieużywany, czy już był użyty oraz pole użytkowania 86.

Bilet imprezowy zawiera korzystnie pole identyfikujące imprezę 88, pole miejsca 90, pole daty 92, pole numeru miejsca 94, pole ceny sprzedaży 96, pole daty sprzedania 98, pole statusu 100 i pole użytkowania 102.

Bilet telekomunikacyjny zawiera korzystnie pole identyfikujące operatora 104, pole nabytego czasu 106, pole kanału/częstotliwości 108, pole ceny sprzedaży 110, pole daty zakupu 112, pole kluczy deszyfrowania 114 do deszyfracji, jeżeli łączność jest kodowana, pole dostępności czasowej 116 wskazujące pozostałą wartość biletu, i pole użytkowania 118.

Bilet na obiekt fizyczny (nie przedstawiony) może służyć w charakterze zamówienia sprzedaży i zawierać informacje, jak numer referencyjny, datę, identyfikator klienta, listę zakupowanych pozycji, wskazówki i status (zamawiany, fakturowany itd.). Bilet na obiekt fizyczny może służyć również jako faktura i zawiera numer faktury, datę, numery pocztowe, identyfikator sprzedawcy i ilość. Podobnie, powiadomienie o zapłacie może zawierać numery odniesienia faktur, identyfikator klienta, datę i kwotę zapłaty. Pokwitowanie mogłoby zawierać datę, sprzedawcę, identyfikator, listę pozycji lub numery faktur, i sumę zapłaty.

Upoważnionych agentów wykorzystuje się do sprzedaży detalicznej obiektów fizycznych, albo osobistej, albo zdalnej. Przy zakupie osobistym przez agenta upoważnionego cała transakcja odbywa się z prędkością elektroniczną bez zużycia papieru, zarówno w przypadku transakcji anonimowych, jak i na podstawie identyfikacji. Dla sprzedawcy oznacza to, że można zmniejszyć koszt

179 928 płatności klienta. Dla klienta oznacza to wygodę i kontrolę, ponieważ zmniejsza się czas transakcji, a agent ma elektroniczną listę zakupów, łatwą do zanalizowania w czasie późniejszym.

Przy zakupie zdalnym obiektów fizycznych przez telefon lub telewizję interaktywną, niekorzystne ograniczenie dla sprzedawcy i klienta stanowi to, że towar musi być dostarczony pod adresem klienta. Ma to na celu ochronę sprzedawcy przed oszustwem. Płatność odbywa się zwykle z użyciem karty kredytowej lub też klient zostaj e obciążony, z uj awnieniem j ego tożsamości.

Jeżeli zakupu dokonano przez upoważnionego agenta, to towaru nie trzeba dostarczać pod adres klienta, a klient nie musi ujawniać swojej tożsamości. Anonimowość można zapewnić, jeżeli klient płaci pieniędzmi elektronicznymi podczas zamawiania lub otrzymywania towaru. Ograniczenie związane z miejscem dostawy w każdym przypadku może być usunięte. Sprzedawca jest zabezpieczony przed oszustwem, ponieważ otrzyma zapłatę przed lub w czasie dostawy towaru. Ponadto, odbiorca w momencie dostawy jest weryfikowany. Sprzedawca może czuć się bezpiecznie, ponieważ trudno jest osobom trzecim okraść go, ponieważ może on składać reklamację z gwarancją jej przyjęcia w przypadku towaru wadliwego. Na zakończenie transakcji, zarówno upoważniony agent klienta 2, jak i upoważniony agent sprzedawcy 4 ma zapis, że za zamówiony towar zapłacono i dostarczono odpowiedniej stronie.

W przypadku transakcji handlowych, upoważnieni agenci realizują bezpieczne poświadczane automatyczne transakcje i zapisy od zamówienia do dostawy. Sprzedawcy w skuteczny sposób mają zapewnioną zapłatę po dostawie towarów, a klienci mogą otrzymać poświadczone pokwitowania bez kłopotliwego nadmiaru prac papierowych. Wszystkie systemy pomocnicze, jak opłacanie z rachunku, przejmowania z konta, zamówień sprzedaży i faktur scala się z upoważnionymi agentami dla zapewnienia bezpiecznego systemu zaopatrzeniowego.

Sekcja sygnatury 14 wydawcy biletu 8 zawiera sygnaturę cyfrową, utworzoną przez kreatora biletu na podstawie sekcji identyfikatora 10, i sekcji części składowych 12. Taka sygnatura powstaje z zastosowaniem klucza tajnego należącego do upoważnionego agenta wydawcy. Sekcja poświadczenia wydawcy 16 zawiera poświadczenie strony trzeciej, nazwanej instytucjąupoważnioną, wykorzystywane w połączeniu z sygnaturą wydawcy do weryfikacji autentyczności wydanego biletu 8. Takie poświadczenie ma postać zaświadczenia należącego do upoważnionego agenta wydawcy. Ogólnie, używanie i poświadczeń i sygnatur cyfrowych jest znane.

Sekcja historii transakcji 18 zawiera informację powstającą przy przekazywaniu biletów mi ędzy upoważnionymi agentami po wstępnym wydaniu biletu 8 przez sprzedawcę lub urząd. Pole identyfikatora odbiorcy 28 zawiera numer identyfikacyjny odbierającego agenta upoważnionego. Pole identyfikatora nadawcy 30 zawiera numer identyfikacyjny odbierającego upoważnionego agenta. Pole poświadczeń nadawcy 32 zawiera poświadczenie wysyłającego upoważnionego agenta. Pole daty/czas 34 zawiera datę i czas przekazania biletu 8. W miarę dokonywania kolejnych przekazań, do każdego pola dołączane są dodatkowe identyfikatory odbiorcy i nadawcy, poświadczenia nadawcy, oraz daty i czasy, tworząc w ten sposób listę informacyjną historii transferu. Identyfikator upoważnionego agenta znajdujący się w polu odbiorcy sekcji identyfikatora, powinien być identyczny z pierwszym identyfikatorem w polu identyfikatora nadawcy.

Poza tym, kiedykolwiek między upoważnionymi agentami odbywa się przekazanie biletu 8, nadawca cyfrowo sygnuj e bilet na pięciu poprzedzaj ących sekcj ach biletu z użyciem klucza prywatnego, należącego do agenta upoważnionego nadawcy. Sekcja sygnatur 20 jest następnie uaktualniana przez dodanie nowoutworzonej sygnatury cyfrowej, tworząc w ten sposób listę sygnatur nadawcy.

Na figurze 3 przedstawiono urządzenie transakcyjne 122, w którym wbudowany jest upoważniony agent 120. Urządzenie transakcyjne 122 jest zaopatrzone w trzy główne bloki składowe, zarówno w przypadku sprzedawcy, jak i klienta, a mianowicie w procesor nadrzędny 124, w upoważnionego agenta 120 i moduł pieniężny 6. Te bloki składowe połączone są za pośrednictwem magistrali 126. Kiedy upoważnionym agentem jest upoważniony agent klienta 2, urządzenie transakcyjne 122 stanowi urządzenie transakcyjne sprzedawcy. Kiedy upoważnionym agentem 120 jest upoważniony agent sprzedawcy 4, urządzenie transakcyjne 122 stanowi urządzenie transakcyjne klienta.

179 928

Na figurze 3 przedstawiono funkcjonalne elementy składowe procesora głównego 124, który realizuje wiele funkcji, jak zespół łączności 128, zespół aplikacji transakcyjnych 130, interfejs człowiek/maszyna 132, zespół data/czas 136 i zespół zarządzania komunikatami 134.

Zespół łączności 128 zapewnia łączność między urządzeniem transakcyjnym 122 a światem zewnętrznym. Taka łączność może być przewodowa lub radiowa, szerokopasmowa lub wąskopasmowa, jeżeli tylko kompatybilna jest łączność urządzenia transakcyjnego klienta z urządzeniem transakcyjnym sprzedawcy. Zespół łączności 128 nawiązuje połączenie między dwoma urządzeniami transakcyjnymi 122, lub łączy urządzenie transakcyjne z siecią dla połączenia bezpośredniego z innym urządzeniem transakcyjnym, lub upoważnionym serwerem.

Zespół aplikacji transakcyjnych 130 wykonuje różne zadania, na przykład zadania sprzedaży przez pośredniczenie w połączeniu z obsługą katalogową dostawcy towarów, w celu dokonywania skrótów, wyboru produktów, wstępnych płatności i dostaw. Inna aplikacja transakcyjna zapewnia również przejściowe magazynowanie obiektów elektronicznych i obiektów potencjalnie wykonywalnych. W celu wykonania obiektu elektronicznego, można stosować dodatkowe procesy obiektowe zależnie od typu obiektu elektronicznego (na przykład film, książka, gra multimedialna, itp.). Tak więc, urządzenie transakcyjne 122 realizuje wszystkie procesy do wyboru, zakupu i ewentualnego użytkowania obiektów elektronicznych, dokumentów uwierzytelniających i innych biletów 8, lub procesy przeznaczone do sprzedaży.

Interfejs człowiek/maszyna 132 zapewnia widzenie i czucie urządzenia transakcyjnego 122. Może zawierać klawiaturę, mysz, pióro, głos, ekran dotykowy, ikony, plansze itp. Interfejs człowiek/maszyna 132 komunikuje się z innymi zespołami funkcjonalnymi upoważnionego agenta 120 i modułu pieniężnego 6 przez zespół zarządzania komunikatami 134. W niektórych aplikacjach interfejs człowiek/maszyna może nie być niezbędny, na przykład w całkowicie zautomatyzowanym urządzeniu transakcyjnym sprzedawcy.

Funkcja zespołu daty/czasu 136 ustawiana jest przez właściciela urządzenia transakcyjnego 122 i zawiera datę, czas i strefę czasową. Informacja daty/czasu podawana jest do upoważnionego agenta 120 podczas każdego otwierania tego upoważnionego agenta do użytku.

Zespół zarządzania komunikatami 134 trasuje komunikaty między jednostkami nadrzędnymi (to znaczy, komunikatami między urządzeniami transakcyjnymi) i komunikaty między procesorem głównym 124, upoważnionym agentem 120 i modułem pieniężnym 6.

Na figurze 4A przedstawiono podstawowe elementy składowe upoważnionego agenta 120. System zaprojektowany dla otwartego handlu elektronicznego wykorzystuje trzy typy upoważnionych agentów 120, różniące się pewnymi indywidualnymi funkcjami zespołu uczestnika transakcji 146, które są zapewnione. Fig. 4B przedstawia funkcje transakcyjne znajdujące się w upoważnionym agencie klienta 2. Fig. 4C przedstawia funkcje transakcyjne znajdujące się w upoważnionym agencie urzędowym 4. Figura 4D przedstawia funkcje transakcyjne znajdujące się w urzędowym urządzeniu transakcyjnym. Urzędowe urządzenia transakcyjne są przyporządkowane władzom wydającym uwierzytelnienia kredytowe, na przykład ministerstwu przemysłu samochodowego.

Zespół funkcji sprzężenia zewnętrznego 138 zapewnia fizyczną łączność z procesorem głównym 124 i modułem pieniężnym 6 urządzenia transakcyjnego 122, w którym usytuowany jest upoważniony agent. Zespół funkcji interfejsu komunikatowego 140 przetwarza i trasuje komunikaty między agentami i wewnątrz agentów. Zespół funkcji zarządzania sesjami 142 inicjuje i przerywa sesje między agentami i sesje agentów z upoważnionymi agentami. Zespół funkcji zarządzania bezpieczeństwem 144 prowadzi informację ochronną (to znaczy poświadczenie upoważnionego agenta i listę agentów nieupoważnionych) i nawiązuje zabezpieczoną łączność z upoważnionym agentem drugiej strony (poprzez procesor główny 124) i z lokalnym modułem pieniężnym 6 wewnątrz tego samego urządzenia transakcyjnego 122. Zespół funkcji transakcyjnej 146 zapewnia protokoły realizacji transakcji. Funkcje transakcyjne klienta, kupca i urzędu wykorzystywane są, odpowiednio, w bloku upoważnionego agenta klienta, bloku upoważnionego agenta sprzedawcy i bloku upoważnionego agenta urzędowego.

179 928

Na figurze 4B przedstawiono zespoły funkcji transakcyjnych klienta. Zespół funkcji zakupu 158 dokonuje przekazania płatności w zamian za bilety 8 i obiekty elektroniczne. Zespół funkcji „do nadrzędnego” 160 zapewnia sprzężenie urządzenia transakcyjnego z procesorem głównym 124. Zespół funkcji obecności biletu 164 przedstawia bilety 8, w celu otrzymania informacji lub usług. Zespół funkcji przejęcia uwierzytelnienia kredytowego 166 współdziała, w celu otrzymania biletu uwierzytelniającego. Zespół funkcji rejestru transakcyjnego 162 prowadzi rejestr transakcyjny upoważnionego agenta. Zarówno wszyscy upoważnienie agenci klienta 2, jaki upoważnieni agenci sprzedawcy 4, prowadzą rejestr transakcyjny, w którym przechowywane są informacje, jak rodzaj transakcji (na przykład rodzaj biletu), przedtransakcyjny obraz biletu, posttransakcyjny obraz biletu, informacja reklamacyjna zawierająca datę reklamacji (zgodną z prowadzoną przez każdego upoważnionego agenta), status, i decyzję sprzedawcy (na przykład wymiana, zwrot należności, odmowa), i informacja powtórnego poświadczenia. Zespół funkcji inicjalizacji reklamacji 168 przedstawia towar elektroniczny, jeżeli klient jest niezadowolony.

Na figurze 4C przedstawiono zespół funkcji transakcyjnych sprzedawcy. Zespół funkcji zakupu 170 dokonuje wydawania biletów 8 i obiektów elektronicznych w zamian za opłatę. Zespół funkcji „do nadrzędnego” 172 stanowi sprzężenie z procesorem głównym 124 urządzenia transakcyjnego. Zespół funkcji odbioru biletu 176 przetwarza otrzymany bilet 8, w celu zapewnienia usługi lub informacji. Zespół funkcji rejestru transakcyjnego 174 prowadzi rejestr transakcyjny upoważnionego agenta. Zespół funkcji załatwiania reklamacji 178 przyjmuje bilety 8 i obiekty elektroniczne, w celu załatwienia skarg klienta.

Na figurze 4D przedstawiono funkcje transakcyjne urzędu. Zespół funkcji tworzenia uwierzytelnienia 180 zestawia i dostarcza bilety uwierzytelniające do wnioskodawcy. Zespół funkcji „do nadrzędnego” 182 stanowi sprzężenie z procesorem głównym 124 urządzenia transakcyjnego. Zespół funkcji odbioru biletu 184 przetwarza otrzymany bilet 8, w celu zapewnienia usługi lub informacji. Zespół funkcji ponownej weryfikacji uwierzytelnienia 186 przyjmuje bieżące uwierzytelnienie i wydaj e ponownie uwierzytelnienie z nową datą ważności. Zespół funkcji rejestru transakcyjnego 183 prowadzi rejestr transakcyjny. Zespół funkcji zdobywania uwierzytelnienia 185 uzyskuje uwierzytelnienie urzędu.

Nawiązując ponownie do fig. 4A wynika, że zespół funkcji „do modułu pieniężnego” 150 komunikuje się z modułem pieniężnym 6 w tym samym urządzeniu transakcyjnym 122, w celu realizacji płatności. Zespół funkcji kryptografii 152 realizuje funkcję kryptograficzną klucza jawnego i klucza symetrycznego. Może być stosowana dowolna znana metoda kryptograficzna z kluczem jawnym i kluczem symetrycznym. Zespół funkcji przechowywania biletu 148 tworzy bilet 8 w bloku upoważnionego agenta sprzedawcy 4, bądź przechowuje i pobiera bilety w bloku upoważnionego agenta klienta 2. Zespół generatora liczb losowych 156 generuje liczby przypadkowe dla generowania kluczy kryptograficznych. Zespół funkcji daty/czasu 154 zarządza datą i czasem, przekazywanymi z procesora głównego 124 do datowania biletów 8 i weryfikacji poświadczeń i przedstawianych biletów. Aktualna informacja zegarowa jest podawana do upoważnionego agenta 120 za każdym razem, kiedy następuje otwarcie upoważnionego agenta, to znaczy jest on sygnowany lub używany, i utrzymywana aż do zamknięcia upoważnionego agenta.

Na figurze 5 przedstawiono ogólną strukturę systemu dla otwartego handlu elektronicznego. Urządzenie transakcyjne 188 klienta porozumiewa się z kupcem przez dowolną wejściową sieć pośredniczącą 190 bez ujawniania właściciela. Zatem, klienci przemieszczają się przez sieć anonimowo, płacąc indywidualnie w czasie rzeczywistym za dostęp. Mogą oni wyszukiwać przestrzeń elektroniczną sprzedawców i wchodzić w nią anonimowo, wybierać pozycje do zakupu i dokonywać zapłaty w czasie rzeczywistym. System umożliwia również bezpieczne dokonywanie płatności na zasadzie autoryzacji za pośrednictwem kart kredytowych lub debetowych. Odbywa się to przez przedstawienie przez klienta informacji o karcie kredytowej lub debetowej, przechowywanej w upoważnionym agencie 120, jako uwierzytelnienia.

W korzystnym rozwiązaniu, wejściowe sieci pośredniczące 190 zapewniają dostęp urządzeń transakcyjnych klienta 188 do lokalnych sieci sprzedawców 134 dla handlu i do lokalnych sieci poświadczania urzędowego 192 dla uzyskiwania i ponownej weryfikacji uwierzytelnień (na przykład

179 928 praw jazdy, kart kredytowych itp.). W skład sieci sprzedawców 192 wchodzą operatorzy sprzedawców 194 realizujący katalog towarów, urządzenia transakcyjne sprzedawcy 198 do dostarczania towarów za zapłatą oraz operatorzy sprzedawcy 196 stanowiący elektroniczny dom towarowy. Korzystne jest, jeżeli sieci sprzedawców 192 również mają upoważnionych operatorów 200 do rozprowadzania informacji zabezpieczającej.

Sieci identyfikacji 202 obejmują operatorów urzędowych 204, którzy zarządzają bazą danych uwierzytelnień oraz urzędowe urządzenie transakcyjne 206, które wydąje i ponownie weryfikuje uwierzytelnienia. Przykładami władz uwierzytelniających dołączonych do sieci identyfikacji 202 są ministerstwa spraw zagranicznych, ministerstwa motoryzacji, banki i zarząd ubezpieczeń społecznych. Urzędowe sieci identyfikacji 202 również mają operatorów upoważnionych 200 do rozprowadzania informacji zabezpieczającej.

Jak to przedstawiono na fig. 5, bezpieczeństwo systemu otwartego handlu elektronicznego realizowane jest za pomocą sieci upoważnionych operatorów 200 usytuowanych w sieci agencji upoważnionych 208, w sieciach sprzedawców 192, i w urzędowych sieciach identyfikacji 202. Upoważnieni operatorzy 200 stanowią procesory zabezpieczone przed niepowołaną ingerencją realizujące cztery pierwotne funkcje, to jest poświadczenie upoważnionych agentów 120, rozprowadzanie list nieupoważnionych agentów, rozprowadzanie list kluczy jawnych operatorów pierwotnych i analiza reklamacji klient/kupiec.

Na figurze 6A przedstawiono hierarchię systemu ochrony. Na szczycie hierarchii, i umieszczone w sieci agencji upoważnionych 208, znajdują się pierwotnie upoważnieni operatorzy 210, którzy poświadczają i przekazują poświadczenia operatorów upoważnionych do wszystkich upoważnionych operatorów 200 w systemie.

Każdy pierwotnie upoważniony operator 210 ma swój własny klucz publiczny i odpowiedni klucz tajny. Klucze jawne upoważnionych operatorów są rozprowadzane powszechnie przez wszystkich upoważnionych operatorów 200 i upoważnionych agentów 120 w systemie. Te klucze jawne przechowywane są w spisie kluczy jawnych pierwotnie upoważnionych operatorów. Stosowany termin klucz jawny nie oznacza, że klucz ten jest znany ogółowi. W tym przypadku, na przykład klucz jawny znany jest tylko wszystkim upoważnionym operatorom 200 i upoważnionym agentom 120 i zamknięty jest w ich osłonach zabezpieczonych przed manipulacją przez osoby niepowołane. To ograniczenie znaczenia terminu jawny zapewnia dodatkowe zabezpieczenie systemu w całości.

Poza pierwotnie upoważnionym operatorem 210 w hierarchii ochrony występują upoważnieni operatorzy 200, którzy mogą znajdować się w całym systemie handlowym. Upoważnieni operatorzy 200 zapewniają poświadczenia upoważnionych agentów dla upoważnionych agentów 120, to znaczy, upoważnionych agentów klienta 2, upoważnionych agentów sprzedawców 4 i upoważnionych agentów urzędowych 212.

Agencja upoważniona gwarantuje ochronę protokołów i ochronę fizyczną każdego upoważnionego agenta 120 w systemie. Upoważnieni agenci 120 powstają w środowisku zabezpieczonym fizycznie pod kontrolą agencji upoważnionej. W tym środowisku części składowe są wytwarzane, składane i załadowywane oprogramowaniem. Upoważnieni agenci 120 następnie są zabezpieczani przed możliwością manipulacji przez osoby nieupoważnione i mogą komunikować się wyłącznie ze sobą przez ich interfejs zewnętrzny.

Podczas inicjalizacji każdy upoważniony agent 120 jest umieszczany w porozumieniu z upoważnionym operatorem 200. Operator upoważniony przyporządkowuje każdemu upoważnionemu agentowi 120 określony niepowtarzalny numer identyfikacyjny. Następnie upoważniony operator 200 żąda od upoważnionego agenta 120 wygenerowania pary kluczy, jawnego i tajnego. Upoważniony agent generuje parę kluczy i przekazuje swój klucz jawny do żądającego upoważnionego operatora 200. Upoważniony operator 200 włącza tę informację i numer identyfikacyjny do poświadczenia agenta upoważnionego i przekazuje go z powrotem do agenta upoważnionego 120 wraz z listą upoważnionych operatorów, i listą nieupoważnionych. Na koniec, upoważniony agent 120 testuje nowootrzymane poświadczenie i upewnia się o ważności poświadczenia.

179 928

Te etapy inicjalizacyjne wykonywane są tylko raz, przed udostępnieniem publicznym upoważnionego agenta 120. Po nabyciu, upoważniony agent 120 podlega personalizacji przez swojego właściciela przez parametry biometryczne lub elementy utajniające (następuje na przykład wybranie osobistego numeru identyfikacyjnego).

W podobny sposób odbywa się inicjalizacja operatora upoważnionego 200 przez pierwotnego operatora upoważnionego. Po zakończeniu inicjalizacji operatora upoważnionego, każdy operator upoważniony 200 przechowuje poświadczenie operatora upoważnionego, zawierające niepowtarzalny numer identyfikacyjny operatora upoważnionego i klucz jawny operatora upoważnionego. Upoważniony operator 200 również przechowuje klucz tajny odpowiadający jego kluczowi jawnemu, listę kluczy, oraz listę nieupoważnionych.

Poświadczenie upoważnionych operatorów jest zaszyfrowane przez pierwotnie upoważnionego operatora 210 i przenosi niepowtarzalny numer identyfikacyjny dla tego pierwotnie upoważnionego operatora w sposób nieszyfrowany. Upoważniony operator 200 szyfruje poświadczenie upoważnionych agentów i przesyła poświadczenie tego upoważnionego operatora do weryfikacji.

Struktury poświadczeń upoważnionego operatora cert (TS) i upoważnionego agenta cert (TA), są następujące:

Cert (TS) = E_PTS [TS (id) || TS (PK) || data ważności || Gp_TS (X)] || PTS (id)

---------------χ----------------Cert (TA) = E_TS [TA (id) || TA (PK) || data ważności || Oj-_S (Y)] || Cert (TS) gdzie:

PTS = pierwotny operator upoważniony

TS = upoważniony operator

TA = upoważniony agent || = powiązanie id = numer identyfikacyjny

PK = klucz jawny σ = sygnatura cyfrowa

Cert = poświadczenie

E = algorytm z kluczem tajnym wykorzystywany do szyfrowania i tworzenia sygnatury cyfrowej

Protokoły weryfikacji poświadczeń są następujące:

1) Weryfikacja Cert (TS)

a) D_PTS (E_PTS (X || cj,_TS(X))) = X || oj>_TS (X)

b) Sprawdź, czy data jest ważna ..

c) Sprawdź, czy D_PTS (Op_TS(X)) = h (X)

2) Weryfikacja Cert (TA)

a) 1) Weryfikuj Cert (TS)

a) D_TS (Ep_S (Y || (¾ (Y))) = Y || o_rs (Y)

b) Sprawdź, czy data jest ważna

c) Sprawdź, czy D_TS (σ(Υ) ) = h (Y) gdzie:

h = funkcja siekania, wykorzystywana przy tworzeniu i sprawdzaniu sygnatury cyfrowej (to znaczy funkcja nieodwracalna)

D = algorytm z kluczem jawnym wykorzystywanym do deszyfrowania i do sprawdzania sygnatury cyfrowej σ= Eh.

Agencja upoważniona, poza jej roląpodczas wytwarzania składników systemu i inicjalizacji, zapewnia również bieżące bezpieczeństwo systemu przez ponowną weryfikację upoważnionych agentów 120, upoważnionych operatorów 200 i zapewnienie informacji ogólnosystemowej

179 928 o uaktualnianiu list nieupoważnionych i uaktualnianiu list kluczy jawnych pierwotnych upoważnionych operatorów PTS (PK).

Upoważnieni agenci 120 i upoważnieni operatorzy 200 muszą podlegać okresowemu powtórnemu poświadczaniu, ponieważ ich poświadczenia mają określoną datę ważności. Upoważnieni operatorzy 200 dokonują okresowego poświadczania ponownego przez zmianę swoich kluczy kryptograficznych, w celu zapewnienia bezpieczeństwa całego systemu. Data ważności jest umieszczona w miejscu zdolności upoważnionego do dokonywania transakcji, tak że po włamaniu się kogoś do systemu, może on wykorzystywać swojego upoważnionego agenta 120 tylko przez określony maksymalny okres czasu (na przykład trzy miesiące) przed koniecznością ponownego poświadczenia. Podczas ponownego poświadczenia upoważnieni agenci 120 łączą się z agencją upoważnień, w celu podania informacji zabezpieczającej (na przykład uaktualnionych list nieupoważnionych) i otrzymania uaktualnionej listy kluczy PTS(PK).

Klucz jawny przyporządkowany każdemu z pierwotnych upoważnionych operatorów 200 nie zmienia się nigdy. Przy implementacji nowych upoważnionych operatorów 210 lub pozbawianiu upoważnienia dotychczasowych pierwotnie upoważnionych operatorów 210 te poprawki do listy kluczy PTS (PK) są rozsyłane do operatorów upoważnipnych operatorów 200 w sieci agencji upoważnień 208. Te zmiany listy rozdzielane do upoważnionych operatorów 200 w sieciach urzędowych potwierdzania tożsamości 202 i sieciach kupieckich 192 i mogą ich żądać i otrzymywać je w dowolnym momencie upoważnieni agenci 120. Również zawsze zmiany listy są rozprowadzane do upoważnionych agentów 120 po upływie ich ważności i przy ponownym poświadczaniu. Nowe kody PTS (PK) są rozprowadzane przed ich zaimplementowaniem, w celu wyeliminowania możliwości nie posiadania ich przez upoważnionego agenta, kiedy są mu potrzebne do weryfikacji uwierzytelnienia.

Numery identyfikacyjne upoważnionych agentów 120 lub upoważnionych operatorów 200 zidentyfikowanych jako nieupoważnieni, umieszcza się na liście nieupoważnionych, rozprowadzanej przez pierwotnie upoważnionych operatorów 210 do upoważnionych operatorów 200 i na koniec do upoważnionych agentów 120 w taki sam sposób, jak lista kluczy PTS (PK). Sprzedawcy, którzy zostali uznani za niewiarygodnych będą mieli pozbawionych upoważnienia przez agencje upoważnień swoich upoważnionych operatorów i identyfikowalnych przez upoważnionych agentów 120.

Na figurze 6B przedstawiono składniki funkcjonalne upoważnionego operatora 200 lub pierwotnie upoważnionego operatora210. Zespół funkcji łączności 214 stanowi interfejs dołączony do sieci lokalnej. Zespół funkcji zarządzania sesją 216 nawiązuje bezpieczną łączność. Zespół zarządzający listą nieupoważnionych 220 dokonuje uaktualnień listy nieupoważnionych agentów, operatorów i organizacji. Zespół funkcji poświadczeń 222 zarządza ponownym poświadczaniem upoważnionych agentów 120 dla upoważnionego operatora 200. W przypadku pierwotnie upoważnionego operatora 210, proces ten powoduje ponowne poświadczenie upoważnionych operatorów 200. Zespół funkcji rozpatrywania reklamacji 224 przyjmuje bilet 8 i obiekty elektroniczne (towar) dla rozpatrzenia reklamacji klienta. Zespół funkcji kryptograficznej 228 zapewnia szyfrowanie z kluczem symetrycznym i jawnym dla zabezpieczenia łączności i identyfikacji stron uczestniczących. Zespół funkcji data/czas 226 zapewnia informację o bieżącej dacie, czasie i strefie czasowej dla weryfikacji uwierzytelnienia.

Kwestia wadliwego działania lub niedziałania upoważnionego agenta 120 jest podobna do problemu utraty pokwitowania, biletu lotniczego itp. W przypadkach, kiedy należy wyeliminować skutki niedziałania lub działania wadliwego, może być potrzebna tożsamość uczestnika transakcji. Można to zrealizować przez wykorzystanie uwierzytelnień identyfikacyjnych klienta i upoważnionego agenta 120. Uwierzytelnienie i bilet 8 mogą być przechowywane oddzielnie jako rekordy wtórne. W przypadku złego działania agenta klient może dochodzić reklamacji jako złożonej tego dnia, przez przedstawienie tych rekordów wtórnych.

Objaśniające przedmiot wynalazku, przedstawione na figurach rysunku sieci działań, oznaczone są jako A lub B, w celu wskazania na dwóch upoważnionych agentów 120 lub współdziałania upoważnionego agenta 120 z upoważnionym operatorem 200. Te same oznaczę

179 928 nia A i B można zastosować również do procesora głównego 124 lub modułu pieniężnego 6 przyporządkowanego konkretnemu upoważnionemu agentowi 120 (to znaczy, w tym samym urządzeniu transakcyjnym 122). Sieci działań wskazują na składnik funkcjonalny w pierwszym rzędzie odpowiedzialny za wykonanie danego zadania. Na przykład ZARZĄDZAJĄCY OCHRONĄ A znaczy, że wymienione zadanie wykonywane jest przez zespół funkcji zarządzania ochroną 144 (patrz fig. 4A) w agencie upoważnionym A.

Sieci działań wywołują również podprogramy, z których niektóre stosują oznaczenia parametrów X i Y. Na przykład INICJUJ SESJĘ A (B jest wywołaniem podprogramu INICJUJ SESJĘ). Sieć działań INICJUJ SESJĘ będzie następnie rozumiana przy założeniu, że X=A, a Y = B, w ciągu całego przebiegu.

Obecnie objaśnione zostanie przyjmowanie rezygnacji i wydawanie zgody. Przy przetwarzaniu transakcyjnym przedstawionego typu, pożądane jest przechodzenie pozycji elektronicznych, na przykład biletów 8 i banknotów elektronicznych między dwiema stronami z utrzymaniem stałej równowagi o sumie zerowej. Oznacza to, że jest niepożądane duplikowanie pozycji elektronicznych, tak że na końcu transakcji elektronicznej występuje dwa razy więcej pozycji, niż przed transakcją. Podobnie, niepożądana jest utrata części pozycji elektronicznych, tak że po transakcji jest mniej niż przed. Na przykład, jeżeli na początku transakcji A występuje bilet elektroniczny 8 który ma być na życzenie przesłany do B, pożądane jest zapewnienie, że na końcu transakcji B ma bilet elektroniczny, a A nie ma biletu elektronicznego 8. Jednak, w realnym świecie, możliwe jest otrzymanie dwóch innych rezultatów, mianowicie, że zarówno A, jak i B maja ten sam bilet elektroniczny 8 (duplikacja) lub że ani A ani B nie mają biletu elektronicznego 8 (utrata).

W celu utrzymania prawdopodobieństwa duplikacji lub utraty w graniach zaniedbywalności, protokół transakcyjny uwzględnia możliwość, że naturalne lub celowe wydarzenie przerywa typowy przepływ danych. Przykładem przerwania naturalnego jest uszkodzenie łącza telekomunikacyjnego między A i B podczas transakcji. W celu zminimalizowania możliwości duplikacji lub utraty z powodu tego rodzaju przypadkowego wydarzenia, należy zminimalizować okno możliwości tworzenia duplikatu lub utraty. W celu zminimalizowania przerwań zamierzonych (to znaczy otwartych ataków) pożądane jest wyeliminowanie ekonomicznej zachęty do takiego ataku. Na przykład j eżeli napastnik mógłby spowodować tylko utratę biletów, lub pieniędzy przy próbie przerwania transakcji, to nie miałby on zachęty do rozpoczęcia ataku w tym właśnie miejscu.

Te koncepcje zostały wkomponowane w skuteczne protokoły transakcyjne opisywanego systemu. W szczególności, pożądane jest zapewnienie konsekwentnych stanów rezygnacji i zgody między dwoma dokonującymi transakcji upoważnionymi agentami (modułami pieniężnymi 6). Na przykład, jeżeli A wyraża zgodę na przystąpienie do transakcji, to wtedy B powinno również wyrazić zgodę na przystąpienie, lub też, jeżeli A rezygnuje z transakcji, to B również powinno z transakcji zrezygnować. W celu osiągnięcia zgodności i zminimalizowania możliwości duplikacji lub utraty (w przypadku braku zgodności) protokoły transakcyjne uwzględniają porządek i rozkład czasowy przystępowania A i B do danej transakcji.

Na figurze 7 przedstawiono dwa podprogramy, rezygnacji i przystąpienia. Podprogram rezygnacji wykonywany jest wewnętrznie w danym upoważnionym agencie 120, kiedy transakcja zostaje uznana za niedoszłą do skutku. Podprogram rezygnacji zwija na powrót, czyli przywraca upoważnionego agenta 120 dokładnie do takiego stanu, jak przed przystąpieniem do niedokończonej transakcji. Natomiast realizacja zgody na przystąpienie do transakcji wykonywana jest wewnętrznie w danym upoważnionym agencie 120 kiedy transakcja, do której przystąpił, zostaje pomyślnie zakończona. Upoważniony agent 120 zatem zapisuje zakończonątransakcję w swoim rejestrze transakcyjnym i jest już gotów do nowej transakcji. Na przykład podczas transakcji przekazania biletu następuje przejście biletu 8 od agenta upoważnionego A do agenta upoważnionego B. Ponieważ w tym momencie ani A ani B nie wyrazili zgody, ani nie zrezygnowali z transakcji, A tymczasowo zatrzymuje bilet 8, natomiast B również posiada bilet 8. Jeżeli zarówno A, jak i B wyrażą zgodę, to wtedy A skasuje swój bilet 8, a pozostawanie biletu u B przestanie być tymczasowe. Jeżeli natomiast zarówno A, jak i B rezygnują, to A zatrzyma bilet 8, a bilet 8 tymczasowo przechowywany przez B zostanie skasowany przy zwijaniu transakcji. Należy za

179 928 uważyć, że operacja kasowania może być zaimplementowana na różne znane sposoby. Jak już wspomniano, pożądane jest zminimalizowanie możliwości polegającej na wyrażeniu zgody na jednego z upoważnionych agentów 120, podczas gdy drugi z tych upoważnionych agentów 120 rezygnuje, ponieważ może to w niektórych ograniczonych przypadkach spowodować zduplikatowanie lub zagubienie pozycji elektronicznych.

Podobna sytuacja występuje w odniesieniu do modułów pieniężnych 6 wymieniających banknoty elektroniczne. Podczas transakcji zakupu banknoty elektroniczne przekazywane sąod modułu pieniężnego A do modułu pienieniężnego B, tak że A tymczasowo zmniejsza ilość swoich banknotów elektronicznych (o przekazaną ilość, natomiast B tymczasowo posiada banknoty elektroniczne (w przekazanej ilości). Jeżeli zarówno A, jak i B wyrażązgodę, to A zatrzyma banknoty w zmniejszonej ilości, a posiadanie przez B banknotów przestanie już być tymczasowe.

Na figurze 7A przedstawiono podprogram wyrażania zgody na przystąpienie. Rejestr transakcji X uaktualnia ten rejestr transakcyjny. Zespół DO NADRZĘDNEGO powiadamia procesor główny, że transakcja jest zakończona. Zespół zarządzania sesjąX odnotowuje zakończenie sesji, co następuje w etapach 230 - 234 z fig. 7A.

Na figurze 7B przedstawiono podprogram rezygnacji. Zespół zarządzania sesją X zwija zmiany i oznacza agenta jako rezygnującego. Zespół zarządzania sesją utrzymuje ścieżkę, z której odbył się start sesji i podczas zwijania unieważnia te kroki. Zespół DO NADRZĘDNEGO X wysyła komunikat do procesora głównego, że sesja została przerwana, co następuje w etapach 236 - 238 z fig. 7B.

Podprogram rezygnacji jest wywoływany bezpośrednio z sieci działań, kiedy na przykład upoważniony agent 120 stwierdzi, że poświadczenie nie jest ważne. Podprogram rezygnacji może być wywoływany również, kiedy nie nastąpi oczekiwane działanie. W szczególności, kiedy dwaj upoważnieni agenci 120 porozumiewają się ze sobą monitorowany jest protokół upływu czasu. Na przykład po wysłaniu przez pierwszego upoważnionego agenta 120 komunikatu do drugiego upoważnionego agenta 120, zespół zarządzania sesją pierwszego upoważnionego agenta (A) ustawi blok czasowy dla odpowiedzi, jeśli odpowiedź jest wymagana. Zespół zarządzania sesjąmoże również zaopatrzyć w numer wysłany komunikat. Numer ten pojawia się w komunikacie odpowiedzi z zespołu zarządzania sesją drugiego upoważnionego agenta (B).

Jeżeli blok czasowy zakończy odmierzanie czasu przed otrzymaniem komunikatu, to zespół zarządzania sesją A wyśle zapytanie do zespołu zarządzania sesjąB w celu określenia, czy w B transakcja jeszcze biegnie. Jeżeli B nie odpowiada, to zespół zarządzania sesjąB zrezygnuje z transakcji. Jeżeli otrzyma odpowiedź, że transakcja trwa, to blok czasowy zostanie ustawiony na nowąwartość czasu. Jeżeli A zapytuje B określonąz góry liczbę razy bez otrzymania odpowiedzi na pierwotny komunikat, to A zrezygnuje z transakcji. Podobna funkcja upływu czasu występuje również w modułach pieniężnych 6.

Na figurze 8 przedstawiono sieć działań ponownego poświadczania upoważnionego agenta. Kiedy właściciel upoważnionego agenta A decyduje o ponownym poświadczeniu swojego agenta, zwykle po, lub blisko daty ważności jego aktualnego poświadczenia (cert (TA)), to nadrzędna aplikacja transakcyjna z procesora głównego nawiązuje połączenie z upoważnionym operatorem B, w etapach 240 - 242.

Podprogram zainicjowania sesji wywoływany jest w celu zorganizowania zabezpieczonego kryptograficznie kanału łączności między upoważnionym agentem A i upoważnionym operatorem B. Na fig. 9, zespół zarządzania sesją upoważnionego agenta A żąda i następnie otrzymuje poświadczenie A (to znaczy cert (TA) ) z zespołu zarządzania ochroną (etapy 296 298). Zespół zarządzania sesją A następnie wysyła poświadczenie cert (TA) do upoważnionego operatora zespołu B zarządzania sesją który z kolei przepuszcza go dalej do swojego zespołu bezpieczeństwa (etapy 300 - 304).

Funkcja klucza jawnego B operatora upoważnionego sprawdza poświadczenie cert (TA) przez wykorzystanie protokołu weryfikacyjnego już opisanego w systemie bezpieczeństwa (etapy 306-308). Jednak jest niedopuszczalne, aby przy wywołaniu zainicjowania sesji podczas procedury ponownego

179 928 poświadczania, opisany protokół weryfikacji poświadczania nie skończył się jeżeli stwierdzi, że poświadczenie straciło ważność - co oznacza powód do ponowienia poświadczenia.

Jeżeli poświadczenie cert (TA) nie jest ważne, to wtedy zespół zarządzania sesjąB stwierdza, że sesja została zakończona i informuje zespół zarządzania sesją A, że transakcja jest wstrzymana. Zespół zarządzania sesją A również stwierdza, że sesja została zakończona (etapy 310-312).

Jeżeli A nie znajduje się na liście nieupoważnionych, to generator liczb losowych B tworzy liczbę losową R (B) oraz komunikat o weryfikacji B (etap 318). Liczba losowa R (B) zostanie ostatecznie wykorzystana do utworzenia klucza sesji. Komunikat o weryfikacji B jest liczbą losową wykorzystywaną przez B do ochrony przed odtworzeniem komunikatu. Następnie, zespół zarządzania ochroną B zestawia R(B), komunikat weryfikacyjny B, i poświadczenie cert (TS) w komunikat dla upoważnionego agenta A (etap 320). Zespół klucza jawnego B szyfruje komunikat z wykorzystaniem jawnego klucza upoważnionego agenta A (TA (PK)), który upoważniony operator B odebrał wraz z poświadczeniem A cert (TA) (etap 322). Zespół zarządzania sesją B wysyła zaszyfrowany komunikat do zespołu zarządzania sesją A (etapy 324-326).

Zespół klucza jawnego A szyfruje komunikat z wykorzystaniem swojego klucza tajnego (odpowiadającego jego kluczowi jawnemu) i weryfikuje ważność poświadczenia cert (TS) (etapy 328-330). Jeżeli poświadczenie cert (TS) jest nieważne, to zespół zarządzania sesją A oznacza sesję jako przerwaną i wysyła komunikat wstrzymania transakcji do B, którego zespół zarządzania sesjąrównież oznacza sesję jako przerwaną (etapy 332 - 334). Jeżeli poświadczenie cert (TS) jest ważne, to zespół zarządzania ochroną A sprawdza, czy operator upoważniony B znajduje się na liście nieuprawnionych (etapy 336-338). Jeżeli operator upoważniony B znajduje się na liście, sesja zostaje przerwana (etapy 332-334).

Jeżeli B nie znajduje się na liście nieupoważnionych, to generator liczb losowych A tworzy liczbę losową R(A) oraz komunikat o weryfikacji A (na przykład inną liczbę losową) (etap 340). Funkcja data/czas przepuszcza aktualną datę i czas do zespołu zarządzania ochroną (etap 342). Daty i czasy wymieniane są przez A i B w celu ewentualnej rejestracji i rejestrach transakcyjnych podczas wyrażania zgody przystąpienia. Zespół zarządzania ochroną A następnie kształtuje i zapamiętuje klucz sesji (TA/TA) przez wykonanie operacji EXCLUSIVE OR z liczbami losowymi R(A) i R(B) (etap 344). Klucz sesji (TA/TA) wykorzystywany jest do szyfrowania łączności między dwoma upoważnionymi agentami 120 lub między upoważnionym agentem 120 i upoważnionym operatorem 200 (jak w niniejszym przypadku, gdzie procedura INICJUJ SESJĘ jest wywoływana podczas ponownego poświadczania). Zespół zarządzania sesją A zestawia komunikat zawierający komunikaty weryfikacyjne A i B, informację daty/czasu, oraz R(A) (etap 344). Zespół klucza jawnego A szyfruje komunikat z wykorzystaniem jawnego klucza operatora upoważnionego B (otrzymanego przez A w poświadczeniu cert (TS)), i wysyła zaszyfrowany komunikat do zespołu zarządzania sesją operatora upoważnionego B (etapy 346-350).

Zespół klucza jawnego B deszyfruje otrzymany komunikat z wykorzystaniem swojego klucza tajnego (odpowiadającego jego kluczowi jawnemu) (etap 352). Zespół zarządzania ochronąB sprawdza, czy komunikat weryfikacyjny B otrzymany z A jest takim samym komunikatem weryfikacyjnym B, co uprzednio wysłany do A (etapy 354-356). Jeżeli nie jest taki sam, to sesja zostaje przerwana (etapy 310-312). Jeżeli jest ten sam, to zespół zarządzania sesjąB odnotowuje start nowej sesji (etap 358).

Zespół zarządzania ochroną B tworzy (TA/TA) przez działanie R(A) XOR R(B) i następnie zapamiętuje klucz sesji (etap 360). W tym momencie, zarówno A, jak i B już utworzyły i zapamiętały ten sam klucz sesji (to znaczy klucz sesji (TA/TA) ) do wykorzystania przy ich wzajemnym współdziałaniu przy ponownym poświadczaniu poświadczenia A. Następnie zespół data/czas wysyła informację o swojej bieżącej dacie i czasie do zespołu zarządzania ochronąB (etap 362). Zespół zarządzania ochronąB zestawia komunikat zawierający potwierdzenie dla A, komunikat weryfikacyjny A, oraz informację B o dacie/czasie (etap 364). Następuje wywołanie podprogramu WYŚLIJ KOMUNIKAT (etap 366), w celu nadania komunikatu z B do A.

179 928

Jak to przedstawiono na fig. 10, funkcja klucza symetrycznego operatora upoważnionego B szyfruje komunikat z wykorzystaniem klucza sesji (TA/TA) (etap 376). Zespół interfejsu komunikatowego następnie formatuje komunikat i wysyła go do zespołu zarządzania komunikatami procesora nadrzędnego (etap 378). Zespół nadrzędnego zarządzania komunikatami B następnie trasuje komunikat poprzez zespół łączności do nadrzędnej funkcji zarządzania komunikatami w procesorze nadrzędnym A agenta upoważnionego (etap 380). Nadrzędna funkcja zarządzania A następnie wysyła komunikat do upoważnionego agenta A funkcji interfejsu komunikatowego, który wydziela ten komunikat (etapy 382 - 384). Funkcja klucza symetrycznego A deszyfruje komunikat z kluczem sesji (TA/TA), kończąc tym samym zabezpieczone przekazywanie komunikatu między operatorem upoważnionym a agentem upoważnionym z wykorzystaniem klucza sesji (TA/TA) (etap 386).

Przy rozpatrywaniu fig. 9 widać, że funkcja zarządzania ochroną A przyjmuje potwierdzenie, komunikat weryfikacyjny A i informację o dacie/czasie B (etap 368). Funkcja zarządzania ochroną A sprawdza, czy komunikat weryfikacyjny A jest tym samym komunikatem weryfikacyjnym A, który uprzednio nadano do B (etapy 370 - 372). Jeżeli nie jest ten sam, i jeżeli nie jest taki sam, to zespół zarządzania sesją A przerywa sesję (etapy 332 -334). Jeżeli jest ten sam, to zespół zarządzania sesją A odnotowuje start nowej sesji (etap 374).

Wracając do fig. 8, proces weryfikacji trwa nadal. Funkcja zarządzania ochroną A żąda od funkcji klucza jawnego wygenerowania nowej pary kluczy, jawnego i tajnego, i następnie o sygnowanie cyfrowe nowego klucza jawnego ze starym kluczem tajnym (odpowiadającym dotychczasowemu TA(PK)) (etapy 246 - 248). Jak to opisano, para kluczy, jawnego i tajnego, upoważnionego agenta sąwykorzystywane przy inicjowaniu sesji między upoważnionymi agentami 120, lub między upoważnionym agentem 120 a upoważnionym operatorem 200.

Funkcja zarządzania ochroną A zestawia komunikat zawierający nowy sygnowany klucz jawny i aktualny numer wersji listy nieupoważnionych (etap 250). Każda zmiana w liście nieupoważnionych ma nowy numer wersji, tak że upoważniony operator musi tylko wysłać zmiany w liście. Komunikat jest następnie przesyłany do upoważnionego operatora B z wykorzystaniem podprogramu WYŚLIJ KOMUNIKAT (etap 252). Upoważniony operator B otrzymuje komunikat i sprawdza, czy sygnatura cyfrowa na nowym kluczu jawnym jest ważna (przez wykorzystanie starego klucza jawnego upoważnionego agenta A), (etapy 254 -258). Jeżeli sygnatura jest nieważna, to następuje wywołanie podprogramu REZYGNACJA Z TRANSAKCJI (Etap 260).

Na figurze 11 upoważniony operator B rezygnuje (etap 388), a jego funkcja zarządzania sesją wysyła komunikat do funkcji zarządzania sesjąupoważnionego agenta A informujący A, że B zrezygnował (etapy 390 - 394). Następnie upoważniony agent A rezygnuje (etap 396).

Na figurze 8 widać, że jeżeli sygnatura na nowym kluczu jawnym jest ważna, to upoważniony operator B tworzy nowe poświadczenie (cert (TA) ) zawierające nowy klucz jawny i nową datę ważności. Nowe poświadczenie jest następnie wysyłane z powrotem do A wraz z uaktualnieniem listy nieupoważnionych i aktualizacją listy PTS (PK) (etapy 262 - 264). Funkcja zarządzania ochroną A otrzymuje ten komunikat i funkcja klucza jawnego A sprawdza, czy nowe poświadczenie jest ważne (etapy 268-270).

Jeżeli poświadczenie jest nieważne, to funkcja zarządzania ochroną A sprawdza, czy operator upoważniony B przystępował do tworzenia nowego poświadczenia mniej, niż trzykrotnie (etap 274). Jeżeli ten przypadek zachodzi, to funkcja zarządzania ochroną A wysyła do operatora upoważnionego B komunikat dla dokonania ponownej próby utworzenia poświadczenia (etapy 280 -284). Jeżeli operator upoważniony nie jest w stanie utworzyć ważnego poświadczenia cert (TA), to funkcja rejestru rejestryjnego zapisuje nieudaną próbę i rezygnuje z transakcji (etapy 276 - 278).

Jeżeli operator upoważniony wysyła ważne nowe poświadczenie cert (TA), to funkcja zarządzania ochroną A uaktualnia cert (TA), listę nieupoważnionych, oraz listę PTS (PK) (etap 286). Operator upoważniony A następnie przystępuje do transakcji (etap 288). Funkcja zarządzania ochroną A wysyła komunikat do operatora upoważnionego, że agent upoważniony uaktualnił swoje poświadczenie. Operator upoważniony B następnie odnotowuje, że A został ponownie poświadczony (etapy 290 - 294).

179 928

Zakup towaru elektronicznego opisano w odniesieniu do fig. 12. Pozycje nabywane zgodnie z siecią działań z fig. 12 obejmują obiekty elektroniczne i związane z nimi bilety deszyfracyjne, bilety na transport, bilety imprezowe i bilety telekomunikacyjne. Uwierzytelnienia natomiast otrzymuje się z wykorzystaniem sieci działań uzyskania uwierzytelnienia według fig. 26. Aplikacja transakcyjna kupującego BTA (buyer transaction application) w procesorze nadrzędnym 124 CTD188 łączą się z operatorem sprzedawcy 194 sieci sprzedawcy 192. Aplikacja BTA umożliwia kupującemu szybkie przejrzenie towaru sprzedającego i dokonanie wyboru (kroki 398 400). Aplikacja BTA przesyła informację o tożsamości wybranego towaru do operatora upoważnionego A (wewnątrz tego samego CTD) polecając operatorowi upoważnionemu A zakup i identyfikację wybranego towaru. Operator upoważniony sprzedawcy wysyła również komunikat do upoważnionego agenta B z MTD 198, polecając upoważnionemu agentowi sprzedaż i identyfikację wybranego towaru (kroki 404-406).

Następnie inicjuje się sesję między agentem upoważnionym A i między agentem upoważnionym B, przy czym zarówno A, jak i B mogą teraz porozumiewać się używając nowoutworzonego klucza sesji TA/TA (krok 408). Na fig. 13 przedstawiono cztery kanały kryptograficzne między dwoma upoważnionymi agentami 120 zestawione podczas transakcji kupna. Kanał kryptograficzny 436 między dwoma upoważnionymi agentami 120 przenosi komunikaty zaszyfrowane kluczem sesji TA/TA. Kanały 438 i 440 między upoważnionym agentem 120 i jego modułem pieniężnym 6 dzielą klucz sesji ΤΑ/MM. Kanał 442 między modułami pieniężnymi 6 w różnych urządzeniach transakcyjnych 122 wykorzystuje klucz sesji MM/MM.

Zgodnie z fig. 12, następuje wywołanie podprogramu sprawdzenia uwierzytelnienia (krok 410). Wszystkie urządzenia MTD 198 zawierają uwierzytelnienie identyfikujące właściciela/sprzedawcy, na przykład ΝΥΝΕΧ, Ticketron itp. Takie uwierzytelnienie sprzedawcy może na przykład, być wydane przez urząd identyfikujący sprzedawców zarządzany przez agencję upoważnioną. Uwierzytelnienia klienta przetrzymywane przez urządzenia CTD 188 mogą zawierać prawa jazdy lub karty kredytowe wydane przez różne instytucje identyfikacyjne. Na fig. 14, funkcja zakupowa A przesyła do funkcji zakupowej B agenta upoważnionego B żądającego uwierzytelnienia swojego sprzedawcy (kroki 444 - 448). Funkcja przetrzymywania biletu B pobiera uwierzytelnienie swojego kupca i przesyła uwierzytelnienie do A, w celu zweryfikowania (kroki 450 - 456).

Uwierzytelnienia lub bilety 8 dowolnego innego typu są weryfikowane w następujący sposób. Na wstępie przeprowadza się weryfikację poświadczenia wydawcy i sprawdzenie sygnatury wydawcy. Następnie sprawdza się każdy transfer - dopasowanie identyfikatorów odbiorcy i nadawcy (to znaczy, So = wydawca, R„ = 1 odbiorca, następnie, R, = S₁₊₁ i > 0). Następnie weryfikuje się każde poświadczenie nadawcy i sprawdza się sygnatury każdego nadawcy. Następnie sprawdza się, czy ostatni identyfikator odbiorcy pasuje do identyfikatora TA (id) poświadczenia cert (TA) agenta upoważnionego w bieżącej sesji.

Jeżeli uwierzytelnienie kupca nie jest ważne, to następuje rezygnacja z transakcji (krok458). Jeżeli uwierzytelnienie sprzedawcy jest ważne, to funkcja „do nadrzędnego” A wysyła informację uwierzytelniającą do nadrzędnej aplikacji transferowej dla zatwierdzenia (na przykład zatwierdzenia wizualnego nazwiska sprzedawcy przez urządzenie przetrzymujące CTD (kroki 460 - 462).

Wracając do fig. 12, funkcja zakupowa B żąda wybranego towaru od operatora sprzedawcy, który pobiera towar i wysyła go do funkcji zakupowej B, w celu zweryfikowania identyczności (kroki 412-418). Jeżeli pozycja nie jest poprawna, to dokonuje się próby pobrania towaru jeszcze dwukrotnie przed rezygnacjąz transakcji (kroki 420 - 422). Jeżeli agent upoważniony B otrzymał właściwy towar, to następuje uruchomienie podprogramu DOSTAWA TOWARU (krok 424).

Jak widać na fig. 15, funkcja B sprawdza, czy towar był osadzony tylko w postaci biletu (w odróżnieniu od biletu deszyfracyjnego i obiektu elektronicznego) (kroki 464 - 466). Jeżeli tylko jako bilet, to funkcja przetrzymywania biletu B tworzy bilet (krok 468). Funkcja zakupowa A otrzymuje bilet i sprawdza, czy jest poprawny, przez porównanie spodziewanego identyfikatora towaru (otrzymanego uprzednio od BTA) z informacjąna bilecie (kroki 474 - 476). Jeżeli nie jest poprawny, to funkcja zakupowa A identyfikuje transakcję jako zakup i z tego powodu rezygnuje z transakcji (kroki 478 - 482). Jeżeli agent upoważniony A zatwierdzi bilet jako poprawny, to

179 928 wysyła informację z biletu do nadrzędnej aplikacji transakcyjnej dla zatwierdzenia kupującego (kroki 486 - 488). Taka informacja umożliwia funkcji przetrzymującej CTD sprawdzenie, że otrzymuje towar i cenę, które uprzednio wybrał. Jeżeli informacja z biletu jest niepoprawna, to następuje rezygnacja z transakcji (kroki 478 - 482). Jeżeli bilet jest poprawny, to funkcja zakupowa A przesyła bilet do funkcji przetrzymującej bilet A dla zapamiętania (kroki 490 - 492). Agent upoważniony A teraz tymczasowo przetrzymuje bilet 8. Jeżeli następnie agent upoważniony A zrezygnuje, to bilet 8 zostanie skasowany. Jeżeli agent upoważniony A następnie wyrazi zgodę, to właściciel/posiadacz z A będzie w stanie przedstawić bilet 8.

Natomiast, jeżeli towar przeznaczony do zakupu stanowi zarówno obiekt elektroniczny, jak i przyporządkowany do niego bilet deszyfracyjny, to generator liczb losowych B agenta upoważnionego B tworzy klucz losowy (krok494). Następnie funkcja klucza symetrycznego szyfruje obiekt elektroniczny kluczem losowym, a funkcja klucza jawnego B sygnuje cyfrowo zaszyfrowany obiekt elektroniczny kluczem tajnym agenta MTA (kroki 496 - 498). Funkcja przetrzymywania klucza B następnie tworzy bilet deszyfrujący zawierający klucz losowy, cenę i inne informacje (krok 500). Właściciel agenta upoważnionego może teraz otrzymać zaszyfrowany obiekt elektroniczny od kupca, lecz nie będzie mógł go wykorzystać, dopóki nie uzyska dostępu do klucza losowego zawartego w przyporządkowanym bilecie deszyfracyjnym.

Funkcja zakupowa B wysyła zaszyfrowany obiekt elektroniczny i bilet deszyfracyjny do agenta upoważnionego A (kroki 502 - 504). Funkcja zakupowa A otrzymuje komunikat i przekazuje zaszyfrowany obiekt elektroniczny do funkcji nadrzędnej i zachowuje kopię zaszyfrowanej informacji nagłówkowej (krok 506). Równocześnie funkcja klucza jawnego A sprawdza zaszyfrowaną sygnaturę obiektu elektronicznego z wykorzystaniem klucza jawnego agenta B (kroki 508 - 510). Jeżeli sygnatura nie jest poprawna, to następuje rezygnacja z transakcji (kroki 478 482). Po sprawdzeniu integralności obiektu elektronicznego funkcja klucza symetrycznego A deszyfruje nagłówek z kluczem losowym z biletu deszyfracyjnego (krok 512). Funkcja zakupowa A sprawdza identyfikator obiektu elektronicznego i biletu deszyfracyjnego (krok 512). Takie sprawdzenie może być realizowane przez porównanie oczekiwanego identyfikatora towaru z identyfikatorem obiektu elektronicznego i z informacjąna bilecie deszyfracyjnym. Tak więc, zapewnia się, że zgodne są ze sobą wybrany towar, obiekt elektroniczny i bilet deszyfracyjny. Przy negatywnym wyniku sprawdzenia identyfikatora następuje rezygnacja z transakcji (kroki 478 - 482).

Jeżeli obiekt elektroniczny i bilet deszyfracyjny sąpoprawne, to funkcja zakupowa A wysyła zdeszyfrowany nagłówek i informację cenową do nadrzędnej aplikacji cenowej dla zatwierdzenia kupującego (kroki 518, 488). Jeżeli kupujący nie zaakceptuje towaru, to następuje rezygnacja z transakcji (kroki 478 - 482). Jeżeli kupujący akceptuje towar, to funkcja zakupowa A wysyła bilet deszyfracyjny do funkcji przetrzymywania biletów A do zapamiętania (kroki 490-492).

Wracając ponownie do fig. 12 można zauważyć, że teraz dostawa towaru od sprzedawcy do klienta jest zakończona (a towar jest niedostępny dla klienta ze względu na jego zaszyfrowanie i/lub jego zapamiętanie wewnątrz agenta upoważnionego 2), a funkcja zakupowa A przesyła do nadrzędnej aplikacji transakcyjnej komunikat z żądaniem płatności wymaganym sposobem (kroki 426 - 428). Płatności można dokonać w dwóch alternatywnych formach: przez zapłatę anonimową z wykorzystaniem modułu pieniężnego 6 albo przez zapłatę na zasadzie uwierzytelnienia (wymagającej identyfikacji klienta) z wykorzystaniem uwierzytelnienia karty kredytowej lub karty debetowej.

Jeżeli pożądana jest płatność anonimowa, to wywołany zostaje podprogram płatności modułem pieniężnym (krok 430). Jak widać na fig. 16, generator liczb losowych A tworzy liczbę losową R(l) (krok 520). Funkcja zakupowa A następnie przesyła do agenta upoważnionego B komunikat wskazujący, że odbędzie się „płatność modułem pieniężnym”, i również zawierający R(l) (kroki 522 - 524). Funkcja zakupowa B otrzymuje komunikat i wysyła R(l) do funkcji zarządzania ochronąB (kroki 526 - 528). Generator liczb losowych B tworzy liczbę losowąR(2) i przesyła jądo agenta upoważnionego A (kroki 530 - 532). Funkcje zarządzania ochroną zarówno A, jak i B, tworzą klucz sesji TA/TM przez wykonanie działania EXCLUSIVE OR na R(l) i R(2) (kroki 534 - 536).

179 928

Jak przedstawiono na fig. 13, klucz sesji ΤΑ/MM wykorzystywany jest do szyfrowania komunikatów przesyłanych między upoważnionym agentem 120 a przyporządkowanym do niego modułem pieniężnym 6 poprzez kanały szyfrujące 438 i 440. W tym punkcie sieci działań, tylko ci dwaj upoważnieni agenci 120 mają klucze sesji ΤΑ/MM. Obydwa moduły pieniężne 6 w dalszej części sieci działań utworzą później kopie klucza sesji ΤΑ/MM zapewniając szyfrowaną łączność między upoważnionymi agentami 120 a ich modułami pieniężnymi 6.

Można zauważyć, że zamiast upoważnionego agenta 120 i modułu pieniężnego 6 osadzonych w charakterze dyskretnych odpornych na próby manipulacji części składowych, mogą one być wytwarzane w postaci jednego odpornego na włamanie modułu. W tym przypadku nie byłoby konieczne inicjowanie zabezpieczanej sesji dla łączności między upoważnionym agentem 120 a modułem pieniężnym 6 w tym samym urządzeniu transakcyjnym 122. Jednak stosowanie dyskretnych modułów pieniężnych 6 i upoważnionych agentów 120 jest korzystne z tego względu, że taka konfiguracja zapewnia większą elastyczność aplikacyjną.

Wracając do fig. 16 można zauważyć, że funkcja DO MODUŁU PIENIĘŻNEGO A wysyła komunikat PRZEKAZ ZAPŁATĘ i R (1) do przyporządkowanego mu modułu pieniężnego A. Również moduł pieniężny B wysyła komunikat PRZYJMIJ ZAPŁATĘ i R (2) do przyporządkowanego mu modułu pieniężnego B (kroki 538 - 544).

Na tym etapie moduł pieniężny A (wewnątrz CTA 2) i moduł pieniężny B (wewnątrz MTA 4) inicjująsesję między sobą, tak, że każdy moduł pieniężny 6 kończy przetrzymywanie nowego klucza sesji (MM/MM (krok 546). Przy inicjaiizacji tej sesji modułu pieniężnego z modułempieniężnym, te moduły pieniężne wymieniają komunikaty poprzez istniejącą wcześniej sesję agentów upoważnionych. Na fig. 13 klucz sesji dla kanału 442 szyfrowania jest ukształtowany przy wymianie komunikatów zaszyfrowanych przez kanał 436. Po zainicjowaniu sesji modułu pieniężnego komunikaty wysyłane między modułami pieniężnymi będą szyfrowane dwukrotnie, przez obydwa klucze sesji MM/MM i klucz sesji ΤΑ/ΙΆ, wraz z częścią ścieżki łączności między upoważnionymi agentami 120.

W korzystnej odmianie wykonania, inicjowana jest sesja z modułem pieniężnym w podobny sposób, jak sesja z upoważnionym agentem. Moduły pieniężne 6 zatem będąprzetrzymywały swoje własne poświadczenia zawierające klucze jawne. Zamiana poświadczeń i liczb losowych (dla wykonania operacji XOR) umożliwia bezpieczne tworzenie kluczy MM/MM sesji. Protokół inicjowania sesji wykorzystywany przez moduły pieniężne przedstawiono na fig. 38, i opisano poniżej. Całe zabezpieczenie systemowe odnoszące się do modułów pieniężnych może być zintegrowane z ochroną upoważnionych agentów 120, lecz ze względu na zwiększenie bezpieczeństwa systemowego i elastyczność systemu korzystne jest, jeżeli jest oddzielne.

Wracając do fig. 16 można zauważyć, że moduł pieniężny A przesyła R (1) do modułu B. To działanie może być inicjowane przez aplikację MM utrzymania bezpieczeństwa A, rezydującą w module pieniężnym A (krok 548). Ta aplikacja i inne aplikacje modułu pieniężnego poprzedzane są oznaczeniem MM i są znane.

Liczba losowa R (1) zostaje przesłana z modułu pieniężnego A do modułu pieniężnego B przez podprogram WY ŚLIJ KOMUNIKAT TRASOWANY (krok 550). Jak widać na fig. 17, funkcja MM klucza symetrycznego A szyfruje komunikat (włącznie z R (1)) kluczem sesji MM/MM (krok 640). Funkcja MM zarządzania sesją A wysyła komunikat do funkcji nadrzędnego zarządzania komunikatami A agenta upoważnionego A (kroki 642 - 646). Agent upoważniony A następnie wysyła komunikat do funkcji interfejsu komunikatowego B w module pieniężnym B poprzez funkcję nadrzędnego zarządzania komunikatami B (kroki 650-654). Na koniec, funkcja MM klucza symetrycznego B deszyfruje komunikat z kluczem sesji MM/MM (krok 656).

Wracając ponownie do fig. 16, widać, że funkcja MM zapewnienia bezpieczeństwa B (w module pieniężnym B) kształtuje klucz sesji ΤΑ/MM przez wykonanie operacji EXCLUSIVE ORna R(l) i R(2). Moduł pieniężny następnie wysyła R(2) do modułu pieniężnego A, który również kształtuje klucz sesji ΤΑ/MM przez wykonanie operacji EXCLUSIVE OR na R(l) i R(2) (kroki 552-556). Jak to pokazano na fig. 13, istnieją trzy klucze sesji: MM/MM, MM/ΤΑ i TA/TA. Tak więc występują te cztery przedstawione kanały szyfrowane.

179 928

Na figurze 16, funkcja MM DO ABONENTA A zapytuje agenta upoważnionego A o sumę zapłaty przez wyświetlenie znaku (na przykład dolarów, jenów, funtów itp.) (krok 558). Znany moduł pieniężny, wykorzystuje najczęściej aplikację DO ABONENTA do komunikacji z właścicielem/posiadaczem moduł pieniężny. Natomiast w niniejszym przypadku aplikacja DO ABONENTA komunikuje się z agentem upoważnionym 120, w celu przekazania różnych poleceń. W tym przypadku upoważniony agent 120 dostarcza sumę zapłaty i drukuje informację o nocie (agent upoważniony A uprzednio porozumiał się z właścicielem/posiadaczem CTD 2, w celu zatwierdzenia ceny wybranego towaru).

Zapytanie z modułu pieniężnego 6 do upoważnionego agenta 120 wysyłane jest poprzez podprogram WYŚLIJ KOMUNIKAT MM/ΤΑ (krok 560). Jak widać na fig. 18, funkcja MM klucza symetrycznego A szyfruje komunikat kluczem sesji ΤΑ/MM (krok 658). Funkcja MM zarządzania sesją wysyła komunikat do agenta upoważnionego funkcji interfejsu sesji A przez funkcję nadrzędnego zarządzania komunikatami (kroki 660-664). Funkcja klucza symetrycznego A deszyfruje komunikat kluczem sesji ΤΑ/MM (krok 666). Wracając do fig. 16 można zauważyć, że fhnkcja zakupowa A agenta upoważnionego A wysyła należność (cenę wybranego towaru) przez wydrukowanie noty do funkcji MM zapłaty/wymiany A modułu pieniężnego A (kroki 562-566). Ten komunikat jest przesyłany poprzez podprogram WYŚLIJ KOMUNIKAT ΤΑ/MM (krok 564). Jak widać na fig. 19, funkcja klucza symetrycznego szyfruje komunikat kluczem sesji ΤΑ/MM (krok 668). Funkcja interfejsu komunikatowego A przesyła komunikat do modułu pieniężnego funkcji MM zarządzania sesją A za pośrednictwem nadrzędnej funkcji zarządzania komunikatami A (kroki 670-674). Na koniec, funkcja MM klucza symetrycznego A deszyfruje komunikat kluczem sesji ΤΑ/MM (krok 676).

Na figurze 16 funkcja MM katalogu not A sprawdza, czy moduł 6 ma fundusze dostateczne do pokrycia zapłaty (kroki 568-570). Jeżeli są niedostateczne, to moduły A i B rezygnująz transakcji (kroki 572-582).

Na podstawie fig. 42 przedstawiono korzystną odmianę wykonania protokołu MM rezygnacji z transakcji (krok 582) elektronicznego systemu monetarnego. Komunikaty między modułem pieniężnym A a modułem pieniężnym B są przesyłane za pośrednictwem podprogramu WYŚLIJ KOMUNIKAT TRASOWANY E, który wykorzystuje wszystkie trzy klucze sesji: MM/MM, ΤΑ/MM i TA/TA. Jak to pokazano na fig. 20, funkcja MM klucza niesymetrycznego A szyfruje komunikat kluczem sesji MM/MM (krok 678). Komunikat zatem jest szyfrowany dwukrotnie, przez klucz sesji MM/ΤΑ, przed jego wysłaniem do agenta upoważnionego A. Po otrzymaniu przez agenta upoważnionego A komunikat jest deszyfrowany kluczem sesji MM/TA (krok 680). Funkcja interfejsowa A następnie wysyła komunikat do funkcji interfejsu komunikatowego B (kroki 682-684). Komunikat między upoważnionymi agentami jest szyfrowany dwukrotnie, przez klucz sesji TA/TA. Podobnie, interfejs komunikatowy B przesyła komunikat do funkcji MM klucza symetrycznego B, w celu ostatecznego zdeszyfrowania (kroki 686-690). Fig. 13 przedstawia różne warstwy szyfrowania.

Na figurze 16, podczas procedur rezygnacji modułów pieniężnych A i B (krok 582), generują one komunikaty przesyłane do ich agentów upoważnionych, odpowiednio A i B (kroki 584-586) informujące ich, że zrezygnowały z transakcji, a zatem, że zapłata nie doszła do skutku. Funkcje zarządzania sesją A i B odnotowują że płatność nie doszła do skutku i w konsekwencji agenci upoważnieni A i B rezygnują (kroki 588-598).

Jeżeli natomiast moduł pieniężny 2 klienta ma dostateczne fundusze, to funkcja MM płatności/wymiany A wysyła komunikat do upoważnionego agenta sprzedawcy, zawierający sumę pieniędzy, która ma być przekazana przy płatności i typ not (krok 600). Ten komunikat jest wysyłany przez podprogram WYŚLIJ KOMUNIKAT TRASOWANY E (krok 602).

Moduł pieniężny B otrzymuje komunikat, zawierający wysokość płatności odpowiednio do modułu pieniężnego A. Funkcja MM DO ABONENTA B następnie wysyła zapytanie do agenta upoważnionego B, w celu sprawdzenia wysokości zapłaty (kroki 604-606). Odpowiednio do tego, funkcja zakupowa B wewnątrz agenta upoważnionego B sprawdza, czy wysokość jest poprawna (kroki 608-610). Jeżeli jest poprawna, to agent upoważniony B wysyła komunikat

179 928

WPŁATA POPRAWNA do modułu pieniężnego B. Jeżeli jest niepoprawna, to wysłany zostaje komunikat WPŁATA NIEPOPRAWNA (kroki 612-616). W przypadku komunikatu WPŁATA NIEPOPRAWNA, moduł pieniężny B informuje moduł pieniężny A, który z kolei żąda od swojego agenta upoważnionego ponownego przekazania nowej wysokości wpłaty, w przeciwnym przypadku rezygnuje (kroki 618-622,572-582). W przypadku płatności dokonywanych w module pieniężnym podczas zakupu towaru elektronicznego, upoważniony agent nie wyśle nowej wpłaty, a zatem obydwa moduły pieniężne 6 i obydwaj upoważnieni agenci 120 zrezygnują.

Jeżeli natomiast moduł pieniężny B otrzyma komunikat WPŁATA POPRAWNA, od swojego upoważnionego agenta, to moduł pieniężny B wyśle zwrotnie komunikat potwierdzenia do modułu pieniężnego klienta (kroki 624-626). Kiedy funkcja MM zapłaty/wymiany A otrzyma komunikat potwierdzenia, przekaże wpłatę do posiadacza pieniędzy A (aplikacji, zawierającej elektroniczną reprezentację pieniędzy i zarządzający nią) (krok 628).

Należy zauważyć, że opisany bezpośrednio powyżej protokół zainicjowany przez płatnika zamiast tego może być implementowany jako płatność inicjowana przez beneficjanta, jako protokół płatności POS przedstawiony na fig. 43. W takim protokole agent upoważniony przez sprzedawcę wydaje polecenie dla swojego modułu pieniężnego przyjęcia spodziewanej wpłaty, i ta informacja o płatności zostaje wysłana do modułu pieniężnego klienta, który prosi swojego agenta upoważnionego o sprawdzenie, i jeżeli wpłata jest poprawna, to agent upoważniony klienta informuje o tym swój moduł pieniężny.

Na figurze 16 moduł pieniężny klienta A przekazuje następne noty elektroniczne w wysokości określonej dla modułu pieniężnego 4 sprzedawcy poprzez trasowaną ścieżkę E komunikatów (krok 630). W tym etapie transakcji A tymczasowo zatrzymuje poprawny bilet 8 (i ewentualnie zaszyfrowany elektroniczny), a B tymczasowo zatrzymuje noty elektroniczne w poprawnej wysokości. Na fig. 39 przedstawiono opisany poniżej protokół not transferowych.

Następuje wywołanie podprogramu MM wyrażenia zgody (krok 632). Na fig. 41 przedstawiono protokół zgody wykorzystywany w korzystnej odmianie elektronicznego systemu monetarnego. Ta sieć działań jest wykonywana jeszcze, kiedy moduły pieniężne 6 współdziałają z agentami upoważnionymi 120 przy założeniu, że komunikat wysłania=komunikat wysłania trasowany E i że komunikat DO ABONENTA jest w rzeczywistości wysyłany jako zaszyfrowany do upoważnionego agenta 120. Biorąc powyższe pod uwagę, moduł pieniężny 4 B funkcji MM zarządzania sesją wysyła komunikat GOTÓW DO WYRAŻENIA ZGODY do modułu pieniężnego A funkcji MM zarządzania sesją przez podprogram wysłania komunikatu trasowanego E (kroki 1702-1704). Funkcja MM zarządzania sesją wysyła komunikat POTWIERDZENIE do modułu pieniężnego A i moduł pieniężny B wyraża zgodę (kroki 1706-1716). Po otrzymaniu przez moduł pieniężny B komunikatu „potwierdzenie” również wyraża zgodę (kroki 1718-1724).

Podczas procedur wyrażania zgody modułów pieniężnych A i, generują one komunikaty wysyłane do swoich agentów upoważnionych, odpowiednio A i B (kroki 1714, 1722) informujące je, że wyraziły zgodę na transakcję i że zatem płatność została dokonana.

Jak widać również na fig. 16, obydwa moduły pieniężne A wysyłają wspomniane powyżej komunikaty ZAPŁATY DOKONANO do swoich agentów upoważnionych (kroki 584-586). Komunikaty te są szyfrowane (ΤΑ/MM). Funkcja zarządzania sesją A stwierdza, że dokonano pomyślnie zapłaty i posiadacz biletu A uaktualnia bilet informacjami o zapłacie takimi, jak data zakupu (kroki 588,592,634). Agent upoważniony A następnie wyraża zgodę (krok 636), tak, że przetrzymywanie biletu już nie jest tymczasowe. Podobnie, funkcja zarządzania sesją B stwierdza, że dokonano pomyślnie zapłaty (kroki 590, 594) i agent upoważniony B następnie wyraża zgodę (krok 638). Transakcja zostaje już całkowicie zakończona.

W skrócie, zabezpieczona transakcja według korzystniej odmiany niniejszego wynalazku odbywa się w następujący sposób. Na wstępie następuje inicjacja zabezpieczonej sesji transakcyjnej między modułami pieniężnymi kupującego i sprzedającego, między agentami upoważnionymi kupującego i sprzedającego oraz między modułem pieniężnym i agentem upoważnionym każdego urządzenia transakcyjnego. Następnie, wybrany towar elektroniczny zostaje przekazany od agenta upoważnionego sprzedającego do agenta upoważnionego kupującego (gdzie zosta

179 928 je tymczasowo zatrzymany) - w przypadku kiedy towar elektroniczny stanowi pewien obiekt elektroniczny, ten elektroniczny obiekt jest zaszyfrowany tak, że może być przechowywany poza agenta upoważnionego. Następnie, po sprawdzeniu poprawności przekazanego towaru elektronicznego, agent upoważniony kupującego poleca swojemu modułowi pieniężnemu wpłacić pewną ilość pieniędzy elektronicznych do modułu pieniężnego sprzedającego. Potem moduł pieniężny kupującego informuje moduł pieniężny sprzedającego o ilości pieniędzy elektronicznych do zapłacenia, a moduł pieniężny sprzedającego sprawdza u swojego agenta upoważnionego, czy jest to poprawna cena towaru. Jeżeli ilość jest poprawna, to moduł pieniężny sprzedającego przesyła potwierdzenie do modułu pieniężnego kupującego. Następnie, moduł pieniężny kupującego przekazuje pieniądze elektroniczne do modułu pieniężnego sprzedającego (MM sprzedającego tymczasowo zatrzymuje notę (noty), a MM kupującego tymczasowo zmniejsza wartość noty (not) o przekazaną ilość.

Następnie, moduły pieniężne zarówno kupującego, jak i sprzedającego wyrażają zgodę (zatrzymanie przez MM sprzedającego noty (not) przestaje być tymczasowe i MM kupującego zachowuje nową notę (noty)) i podczas tego wysyła komunikaty DOKONANO ZAPŁATY do swoich odpowiednich agentów. Na koniec, agenci upoważnieni zarówno kupującego, jak i sprzedającego wyrażają zgodę (upoważniony agent sprzedawcy rejestruje sprzedaż, a zatrzymanie towaru przez agenta upoważnionego przestaje być tymczasowe), tak, że kupujący może już wykorzystywać swój towar elektroniczny, a sprzedawca swoje pieniądze elektroniczne.

Można zauważyć, że w rozwiązaniu alternatywnym, porządek wymiany towaru elektronicznego i pieniędzy może być odwrócony. W takim przypadku pieniądze elektroniczne można przekazywać (tymczasowo) najpierw, a następnie dokonywać przekazania (tymczasowego) towaru elektronicznego. Agent upoważniony przez sprzedawcę mógłby następnie polecić swojemu modułowi pieniężnemu wyrażenie zgody, i transakcja może przebiegać dalej, jak to już opisano. Taka alternatywna odmiana realizacji wymaga odpowiedniego zmodyfikowania protokołów płatności modułów pieniężnych.

Przedstawiono sposób zabezpieczenia równoczesnej płatności i dostawy towaru elektronicznego przez sieć telekomunikacyjną przy czym sprzedawca nie zna tożsamości kupującego. Jest to bezpośrednia analogia zakupu towaru za gotówkę w sklepie. Sprzedawca nie zna tożsamości klienta, lecz sprzedaje mu towar za gotówkę. Klient wierzy, że otrzyma towar, ponieważ znajduje się on w bezpośredniej bliskości sprzedawcy, za okienkiem. Za pomocąpowyższego protokołu utworzono okienko, przez które upoważniony agent klienta 2 i upoważniony agent sprzedawcy 4, mogą dokonywać transakcji równie pewnie, jak w analogicznym przypadku fizycznym.

Poza anonimowością płatności modułem pieniężnym, upoważniony agent 120 stanowi również bezpiecznąplatformę realizacji transakcji na podstawie tożsamości, to znaczy transakcji wymagających ujawnienia tożsamości klienta. Przykładami takich transakcji są płatności za pomocą karty kredytowej i debetowej, otwieranie konta czekowego, zakup pozycji, które wymagają zarejestrowania kupującego, jak na przykład samochody osobowe czy ciężarówki lub płacenie rachunku lub faktury. Obecnie, dla sprzedawcy jest ryzykowne zdalne przyjmowanie numerów kart kredytowych lub debetowych w charakterze zapłaty, i dostawa towaru inaczej, niż na adres klienta. W przypadku transakcji oszukańczej odpowiada sprzedawca. Natomiast sprzedawca mógłby przyjąć numer karty jako część uwierzytelnienia upoważnionego agenta, który byłby dostatecznie pewny dla wydawcy karty pod względem przejęcia ryzyka oszustwa.

Jak to widać na fig. 12, jeżeli zamiast płatności anonimowej modułem pieniężnym, klient zdecyduje się zapłacić uwierzytelnioną kartą kredytową lub debetową to następuje wywołanie podprogramu płatności/refundacji na bazie autoryzacji (krok 432). Przedstawiony na fig. 21 posiadacz biletu A przywraca uwierzytelnienie karty kredytowej lub karty debetowej (krok 692). Funkcja zakupowa A wysyła komunikat wskazujący, że płatność jest Płatnością uwierzytelnioną i zawiera uwierzytelnienie dla funkcji zakupowej do weryfikacji ważności (kroki 694-700). Jeżeli jest nieważna, to transakcja zostaje przerwana (krok 702). Jeżeli ważna, to funkcja zakupowa B sprawdza, czy klient żąda refundowania (kroki 704-706). Zakładając, że jest to transakcja bez refundowania, funkcja DO NADRZĘDNEGO B przesyła cenę i uwierzytelnienie do sieci autory

Υ19 928 zacji kart, w celu autoryzacji płatności (krok 708). Urządzenie MTD inicjuje proces autoryzacji karty (krok 710). Autoryzacja kart jest powszechnie znana i zwykle odbywa się u wydawcy karty lub jego agenta autoryzującego konkretną płatność, jeżeli są odpowiednie na to fundusze lub płatność mieści się w wysokości limitu dla posiadacza karty. Po zakończeniu procesu autoryzacji karty, funkcja zakupowa B sprawdza, czy płatność została autoryzowana (kroki 712-714).

W razie braku autoryzacji płatności, następuje przerwanie transakcji (krok 702). Jeżeli płatność uzyskała autoryzację, to fiinkcja zakupowa BN wysyła komunikat PŁATNOŚĆ AUTORYZOWANA, do funkcji posiadacza biletu A i upoważniony agent wyraża zgodę (kroki 716-720). Kiedy funkcja posiadacza biletu otrzymuje komunikat PŁATNOŚĆ ZATWIERDZONA, uaktualnia ona bilet informacj ąo płatności (na przykład datązakupu) (krok 722). Agent upoważniony A następnie wyraża zgodę (krok 724), kończąc płatność na podstawie autoryzacji.

Jak widać nadal na fig. 12, po dokonaniu płatności zostaje wywołany podprogram otwarcia towaru (krok 434). Jak widać na fig. 22, funkcja zakupowa A sprawdza, czy towar jest obiektem elektronicznym (kroki 736-738). Jeżeli tak, to funkcja posiadacza biletu wysyła klucz deszyfracyjny i identyfikator obiektu elektronicznego z biletu deszyfracyjnego do nadrzędnej aplikacji transakcyjnej do wykorzystania przez niąprzy deszyfrowaniu obiektu elektronicznego (kroki 740-742). Jeżeli natomiast towarem jest bilet telekomunikacyjny z kluczem deszyfrującym, to funkcja posiadacza biletu A wysyła klucz deszyfracyjny do HTA (krok 746). Aplikacja HTA wykorzystuje klucz do deszyfrowania łączności (krok 748). Jeżeli towar nie jest ani obiektem elektronicznym, ani biletem telekomunikacyjnym z kluczem deszyfracyjnym, to wtedy proces po prostu się kończy. W celu otrzymania obsługi konieczne jest przedstawienie innych postaci biletu 8.

Obecnie objaśnione zostanie przedstawianie biletu. Jak to przedstawiono na fig. 23, kiedy właściciel upoważnionego agenta klienta A chce wykorzystać bilet do uzyskania usług od właściciela upoważnionego agenta sprzedawcy B, nadrzędna aplikacja transakcyjna A (HTA) łączy się z nadrzędną aplikacją transakcyjną Β (HTB) (kroki 750-752). HTA wysyła do swojego agenta upoważnionego komunikat PRZEDSTAW BILET, a HTB wysyła do swojego agenta upoważnionego komunikat PRZYJMIJ BILET (kroki 754-756).

Agenci upoważnieni inicjują sesję (krok 758) i A sprawdza uwierzytelnienie kupca B (krok 760). Funkcja posiadacza biletu A żąda identyfikatora biletu od nadrzędnej i przedstawia listę posiadanych biletów (krok 762). Funkcja „DO NADRZĘDNEGO” A wysyła ten komunikat do HTA, tak, że klient może wybrać bilet do przedstawienia (kroki 766-768). Po wybraniu przez klienta odpowiedniego biletu, HTA wysyła identyfikator biletu do agenta upoważnionego A (kroki 766-768). Funkcja posiadacza biletu pobiera wybrany bilet i sprawdza, czy jest aktywny (kroki 770-772). Bilet 8 jest aktywny, jeżeli jeszcze pozostał ważny. Na przykład, w przypadku biletu imprezowego pole statusu 100 wskazuje czy bilet był już przedstawiany, a zatem jego ważność. W przypadku biletu telekomunikacyjnego pole czasu dysponowanego wskazuje pozostałą na bilecie 8 wartość. Jeżeli bilet nie jest aktywny, to wtedy funkcja DO NADRZĘDNEGO A wysyła komunikat do HTA, że bilet jest nieaktywny i następuje rezygnacja z transakcji (kroki 774-776).

Jeżeli bilet 8 jest aktywny, to funkcja PRZEDSTAW BILET A przesyła kopię biletu do B (kroki 778-780). Funkcja PRZYJMIJ BILET B przyjmuje bilet i sprawdza, czyjest zarówno ważny, jak i aktywny (kroki 782-784). Jeżeli jest nieaktywny a ważny, to następuje rezygnacja z transakcji (krok 786). Jeżeli ważny i aktywny, to funkcja DO NADRZĘDNEGO poleca HTB dostarczenie usług do HTA (krok 788). Pozostała wartość biletu A przekazywana jest również, ponieważ bilet może być typu zawierającego wartość, która zużywa się stopniowo przy trwaniu usług (na przykład podobnie do kart przedpłaty telefonicznej). Funkcja PRZYJMIJ BILET następnie wysyła komunikat do A, że bilet 8 nie jest obecnie wykorzystywany (kroki 790-792). Funkcja posiadacza biletu A oznacza bilet 8 jako W UŻYTKU (krok 794).

HTA współdziała z HTB w odpowiedni sposób, zależnie od typu biletu i świadczonych usług (krok 796). HTB w sposób ciągły monitoruje pozostającą wartość biletu, aż do zmniejszenia się jej do zera (kroki 798-800). W tym momencie HTB powiadamia HTA o niewystarczającej

179 928 wartości i wysyła do B komunikat, że bilet jest bez wartości (krok 802). Następuje wywołanie podprogramu UZGODNIJ BILET (krok 804).

Jak widać na fig. 24, funkcja PRZYJMIJ BILET B wysyła nowąpozostałą wartość biletu, w tym przypadku zero, do funkcji PRZEDSTAW BILET A (kroki 822-826). Posiadacz biletu A następnie oznacza bilet 8 jako NIE UŻYWANY i uaktualnia wartość biletu (krok 828). Na koniec, agent upoważniony A wyraża zgodę, funkcja zarządzania sesją A informuje B, że bilet 8 jest uaktualniony, a agent upoważniony B wyraża zgodę (kroki 830-834). Wracając do fig. 23 widać, że HTA informuje się, czy klient życzy sobie kontynuacji (kroki 806-808). Jeżeli tak, to agent upoważniony A zakupuje większą wartość biletu (krok 810).

Podczas współdziałania ΗΤΑ z HTB (krok 796), HTA sprawdza, czy właściciel HTA zakończył transakcję (kroki 812-814). Jeżeli transakcja została zakończona, to HTA powiadamia HTB, która z kolei powiadamia swojego agenta upoważnionego (kroki 816-818). HTB wysyła również swojemu agentowi upoważnionemu pozostałą wartość biletu. Nakoniec, wywołany zostaje podprogram zgody na bilet (krok 820).

Bilety 8 mogą być przenoszone między upoważnionymi agentami 120, z wyjątkiem wstępnego wydania biletu. Istnieje kilka powodów, dla których właściciel może sobie tego życzyć. Na przykład, jeżeli bilet 8 został nabyty za pośrednictwem stołowego urządzenia transakcyjnego 122 (na przykład urządzenia CTD 188 znajdującego się w komputerze osobistym), to właściciel może życzyć sobie przeniesienia go do urządzenia przenośnego (na przykład portfela elektronicznego). Również, jeżeli właściciel kupuje bilet 8 dla przyjaciół czy krewnych, to właściciel może przekazać bilet drugiej stronie. Inna sytuacja występuje, kiedy właściciel nabywa nowe urządzenie transakcyjne 122 i życzy sobie przekazać swoje wierzytelności do nowego urządzenia.

Na figurze 25 przedstawiono procedurę wykonywaną, kiedy właściciel upoważnionego agenta A chce przenieść jeden lub więcej biletów 8 do upoważnionego agenta B (krok 836). Na wstępie, HTA łączy się z HTB (krok 838). HTA następnie wydaje swemu agentowi polecenie Przenieś bilet(y), a HTB poleca swojemu agentowi upoważnionemu Przejmij bilet(y) (kroki 840-842). Następnie, upoważnieni agenci nawiązują zabezpieczoną sesję (krok 844). Funkcja DO NADRZĘDNEGO następnie wysyła zapytanie do właściciela urządzenia transakcyjnego za pośrednictwem HTA, czy sprawdzać uwierzytelnienie identyfikacyjne strony do odbierania biletów (kroki 846-848). Jeżeli nie ma sprawdzenia uwierzytelnienia, lub sprawdzenie uwierzytelnienia odbywa się pomyślnie (kroki 850-854), to funkcja posiadacza biletu A żąda identyfikatorów przekazywanych biletów (krok 856). Bilety wybiera się z listy biletów posiadanych przez upoważnionego agenta A. Funkcja DO NADRZĘDNEGO wysyła komunikat do HTA z listą biletów, właściciel dokonuje wyboru, i funkcja DO NADRZĘDNEGO otrzymuje odpowiedź identyfikującą wybrany bilet(y) (kroki 858-862).

Funkcja posiadacza biletu A pobiera wybrany bilet(y) (krok 864). Funkcja klucza jawnego A następnie sygnuje bilet(y) do B przez dodanie odpowiedniej informacji transferowej do sekcji historii transakcji i dołączenie sygnatury cyfrowej do sekcji sygnatur nadawcy (krok 866). Funkcja posiadacza biletu A następnie wysyła bilet(y) do funkcji PRZYJMIJ BILET B, w celu weryfikacji przez funkcję klucza jawnego B (kroki 868-876). Jeżeli bilety nie są ważne, to następuje rezygnacja z transakcji (krok 878). Jeżeli bilet jest ważny, to funkcja posiadacza biletu B przechowuje bilet(y) i wysyła potwierdzenie do A (kroki 880-882). Funkcja posiadacza biletu przyjmuje potwierdzenie i kasuje bilet(y) (krok 884). Upoważniony agent A informuje funkcję posiadacza biletu B, że bilety zostały skasowane (kroki 884-886) i wyraża zgodę (krok 888). Funkcja posiadacza biletu B otrzymuje komunikat (krok 890) i następnie wyraża zgodę upoważniony agent A (krok 892).

Klient uzyskuje uwierzytelnienia osobiście z urzędu identyfikacyjnego. Uwierzytelnienia mogą stanowić prawo jazdy z urzędu rejestracji samochodów, paszport z Departamentu Stanu lub Ministerstwa Spraw Zagranicznych, karta kredytowa lub debetowa z banku lub pieczęć urzędowa (identyfikator) z urzędu handlu. Uwierzytelnienia mogą być ponownie weryfikowane zdalnie lub zdalnie uzyskiwane, jeżeli upoważniony agent 120 już jest zaopatrzony w uwierzytelnienia do

179 928 sprawdzenia identyczności. Przy wykorzystaniu uwierzytelnień jest możliwe otwarcie konta czekowego zdalnie, nawet jeśli klient jest bankowi nieznany.

Na figurze 26 przedstawiono sieć działań realizowaną, kiedy właściciel upoważnionego agenta A decyduje się na uzyskanie uwierzytelnienia z urzędu identyfikacyjnego osobiście (krok 894). Najpierw, właściciel A przedstawia potwierdzenie swojej tożsamości przedstawicielowi urzędu identyfikującego. Przedstawiciel następnie wprowadza różne informacje, na przykład nazwisko, adres itp., za pośrednictwem HTB urzędowo upoważnionego agenta B (kroki 896-898). Następnie, właściciel poleca swojemu HTA uzyskanie uwierzytelnienia. W odpowiedzi, HTA wysyła komunikat WYSTĄP O UWIERZYTELNIENIE do upoważnionego agenta A (kroki 900-902). W międzyczasie, HTB wysyła komunikat TWÓRZ UWIERZYTELNIENIE do upoważnionego agenta B (krok 904). Upoważniony agent B następnie inicjuje sesję z upoważnionym agentem A (krok 906). Funkcja DO NADRZĘDNEGO B powiadamia HTB, że została nawiązana sesja. HTB wysyła różne informacje uwierzytelniające do upoważnionego agenta B (kroki 908-910). Funkcja TWÓRZ UWIERZYTELNIENIE następnie buduje informację uwierzytelniającą (to znaczy, sekcje 10, 12 identyfikatora i składników biletu uwierzytelniającego) (krok 912).

Następnie, zostaje wywołany podprogram udzielenia uwierzytelnienia, w celu przekazania nowo utworzonego uwierzytelnienia do upoważnionego agenta A (krok 914). Jak widać na fig. 27, funkcja klucza jawnego B sygnuje informację uwierzytelniającą (z tajnym kluczem ATA) i wysyłają do funkcji TWÓRZ UWIERZYTELNIENIE B (krok 916). Funkcja TWÓRZ UWIERZYTELNIENIE B zestawia uwierzytelnienie zawierające informację uwierzytelniającą, sygnatur i poświadczenie (cert(TA)) agenta ATA (krok 918). Funkcja TWÓRZ UWIERZYTELNIENIE B wysyła następnie nowoutworzone uwierzytelnienie do agenta upoważnionego A (krok 920). W razie potrzeby, fhnkcja TWÓRZ UWIERZYTELNIENIE wysyła do A również cenę uwierzytelnienia.

Kluczjawny A sprawdza uwierzytelnienie (kroki 922-924). Jeżeli jest nieważne, następuje rezygnacja z transakcji (krok 926). Jeżeli jest ważne, to funkcja DO NADRZĘDNEGO wysyła informację uwierzytelniającą i wysokość zapłaty (w razie potrzeby) do HTA dla zatwierdzenia (kroki 928-930). W razie niezatwierdzenia przez właściciela upoważnionego agenta A, następuje rezygnacja z transakcji (krok 926).

Jeżeli następuje zatwierdzenie, to funkcja posiadacza biletu A przyjmuje uwierzytelnienie i sprawdza, czy żądana jest zapłata (kroki 932-934). Jeżeli nie wymaga się zapłaty, to upoważniony agent A wyraża zgodę (krok 936) i wysyła komunikat do upoważnionego agenta B, że uwierzytelnienie zostało przyjęte (kroki 938-940). Po otrzymaniu komunikatu upoważniony agent B wyraża zgodę (krok 942). Funkcja TWÓRZ UWIERZYTELNIENIE B następnie powiadamia HTB, że uwierzytelnienie zostało zaakceptowane i HTB wysyła informację uwierzytelnieniową do bazy danych uwierzytelnień utrzymywanych przez operatora urzędowego (kroki 944-946).

Jeżeli natomiast wymagana jest zapłata, to wtedy fimkcja DO NADRZĘDNEGO A żąda od właściciela upoważnionego agenta A wyboru sposobu zapłaty (kroki 948-950). Po wybraniu płatności modułem pieniężnym następuje wywołanie podprogramu zapłaty modułem pieniężnym (krok 952). W punkcie opuszczenia przez B podprogramu, funkcja TWÓRZ UWIERZYTELNIENIE powiadamia HTB, że uwierzytelnienie zostało zaakceptowane i HTB wysyła informację uwierzytelniającą do operatora urzędowego (kroki 944-946). Jeżeli natomiast właściciel upoważnionego agenta A decyduje się zapłacić kartą kredytową lub debetową, to wywoływany jest podprogram płatności/refundowania (krok 954).

Dla władz identyfikacyjnych może być pożądane okresowe uaktualnianie ich infonnacji uwierzytelnieniowej. Wymagane jest zatem ponowne poświadczanie przez podanie dat wygaśnięcia ważności uwierzytelnień. Na fig. 28 przedstawiono sposób, w jaki właściciel agenta upoważnionego A może dokonać zdalnej ponownej weryfikacji uwierzytelnienia (krok 956). Wstępnie, HTA łączy się z HTB (krok 958). HTA wysyła komunikat WERYFIKUJ UWIERZYTELNIENIE do agenta upoważnionego A (krok 960). HTB wysyła do agenta upoważnionego B komunikat ODBIERZ UWIERZYTELNIENIE DO ZWERYFIKOWANIA (krok 962). Agent upoważniony A następnie inicjuje zabezpieczoną sesję z agentem upoważnionym B (krok 964).

179 928

Agent upoważniony A najpierw sprawdza uwierzytelnienie urzędu (krok 966). Uwierzytelnienia urzędu mogą być wydawane pod nadzorem agencji upoważnień. Funkcja uzyskania uwierzytelnienia A żąda uwierzytelnienia wymaganego do ponownej weryfikacji funkcji posiadacza biletu A, który przesyła uwierzytelnienie do agenta B upoważnionego przez urząd (kroki 968-972). Funkcja TWÓRZ UWIERZYTELNIENIE B sprawdza, czy uwierzytelnienie jest ważne (kroki 974-976). Jeżeli nie jest ważne, to następuje rezygnacja z transakcji (krok 978). Jeżeli jest ważne, to funkcja TWÓRZ UWIERZYTELNIENIE B sprawdza, czy uwierzytelnienie musi być ponownie weryfikowane zdalnie, a następnie funkcja TWÓRZ UWIERZYTELNIENIE uaktualnia informację uwierzytelniającą włączając nową datę upływu ważności (krok 984). Następnie, wywoływany jest podprogram udzielenia uwierzytelnienia (krok 986).

Jeżeli uwierzytelnienie wymaga ponownej weryfikacji osobistej, to funkcja tworzenia uwierzytelnienia wysyła komunikat WERYFIKUJ OSOBIŚCIE do agenta upoważnionego A (kroki 988-990). Funkcja uzyskania uwierzytelnienia A odbiera ten komunikat (krok 992). Agent upoważniony A następnie wyraża zgodę (krok 994), a funkcja zarządzania sesją A wysyła do agenta upoważnionego B potwierdzenie (kroki 996-998). Następnie wyraża zgodę agent upoważniony B.

Obecnie objaśniona zostanie płatność modułem pieniężnym na podstawie identyfikacji. Zapłaty gotówką elektroniczną, nie obejmujące równoczesnego zakupu towaru elektronicznego, są realizowane z użyciem sieci działań z fig. 29. Właściciel agenta upoważnionego A decyduje się na dokonanie zapłaty modułem pieniężnym właścicielowi agenta upoważnionego B, kiedy właściciel A chce zweryfikować tożsamość B, ponieważ zawierają transakcję zdalnie (krok 1002). HTA łączy się z HTB (krok 1004). HTA wysyła komunikat PŁAĆ do swojego agenta upoważnionego (krok 1006). HTB przesyła do swojego agenta upoważnionego komunikat PRZYJMIJ ZAPŁATĘ (krok 1008). A następnie nawiązuje zabezpieczoną sesję z B (krok 1010).

Agent upoważniony A sprawdza uwierzytelnienie B (krok 1012). To uwierzytelnienie może być prawem jazdy, kartą kredytową lub innym, akceptowanym, uwierzytelnieniem. Jeżeli uwierzytelnienie jest ważne i akceptowalne przez A, to funkcja zakupowa A wysyła komunikat CZY B WYMAGA UWIERZYTELNIENIA A? do HTB, w celu sprawdzenia, czy B wymaga uwierzytelnienia A (kroki 1018-1020). Jeżeli wymaga, to B sprawdza uwierzytelnienie A (krok 1022). Również tu możliwe jest użycie różnych typów uwierzytelnienia. Jeżeli B nie wymaga uwierzytelnienia A, to funkcja zakupowa B informuje agenta upoważnionego A (kroki 1024-1026).

Funkcja zakupowa A następnie wysyła żądanie zapłaty wyszczególniające wysokość sumy do zapłacenia (przy regulacji rachunku) lub wysyła dokładnie taką sumę do zapłacenia do agenta upoważnionego B (kroki 1028-1030). Funkcja DO NADRZĘDNEGO wysyła tę informację do HTB dla zatwierdzenia (kroki 1032-1034). Jeżeli nie ma zatwierdzenia, następuje rezygnacja z transakcji (krok 1036). W razie potwierdzenia, funkcja zakupowa B informuje A (kroki 1038-1040). Zostaje zainicjowana zapłata modułem pieniężnym (krok 1042).

Obecnie opisany zostanie system reklamacji. W przypadku, kiedy klient jest niezadowolony z zakupu, upoważniony agent 120 może działać jako zastępca klienta i sprzedawcy przy zdalnym rozpatrzeniu reklamacji. Na przykład, jeżeli pewien obiekt elektroniczny zostaje uznany za wadliwy, klient może porozumieć się ze sprzedawcą i włączyć w dialog reklamacyjny. Sprzedawca nie może nie przyznawać się do towaru elektronicznego, jeżeli jest on weryfikowany przez jego upoważnionego agenta 4, ponieważ będzie to zarejestrowane w rejestrze transakcyjnym upoważnionego agenta klienta 2.

Jeżeli klient nie jest usatysfakcjonowany wynikiem reakcji sprzedawcy na reklamację, może wnieść zażalenie do agencji upoważnień. Rejestr transakcji klienta wykaże, że reklamacja została uprzednio przez sprzedawcę oddalona. Reklamację i załączoną dokumentację przedstawia się upoważnionemu operatorowi 200 w sieci agencji upoważnień 208. Współdziałanie jest następnie podobne do współdziałania z upoważnionym agentem sprzedawcy 4. Większość sprzedawców zechce załatwić reklamację bezpośrednio z klientem, i klient nie musi wnosić sprawy do agencji upoważnień. Zbyt wielka ilość reklamacji może podważyć status sprzedawcy w agencji upoważnień.

179 928

Proces reklamacji umożliwia klientowi bezpieczne prowadzenie zakupów towaru elektronicznego u sprzedawcy. Proces reklamacji zabezpiecza również sprzedawcę przed zastrzeżeniami oszukańczymi. Sprzedawca może polegać na sprawdzeniu przez upoważnionego agenta 2, że ten upoważniony agent klienta 2 otrzymał towar. Zażalenie klienta wtedy może być rozstrzygnięte przez przebadanie towaru na wady.

Na figurze 30 zilustrowano procedurę realizowaną, kiedy właściciel agenta upoważnionego A decyduje się zwrócić towar elektroniczny do właściciela agenta upoważnionego przez kupca B (krok 1044). Na początku HTA porozumiewa się z HTB. HTA przesyła komunikat WYŚLIJ REKLAMACJĘ do swojego agenta upoważnionego. HTB przesyła komunikat PRZYJMIJ REKLAMACJĘ do swojego agenta upoważnionego. Agent upoważniony A następnie inicjuje zabezpieczoną sesję z agentem upoważnionym B (kroki 1046-1052).

Agent upoważniony A sprawdza uwierzytelnienie kupca B (krok 1054). Rejestr transakcji A wysyła swój zapis poprzez fńnkcję DO NADRZĘDNEGO A do HTA, tak, że właściciel może wybrać, którą transakcję reklamuje i opisać problem (kroki 1056-1060). Funkcja DO NADRZĘDNEGO A przyjmuje informację reklamacyjną od HTA (krok 1062). Funkcja posiadacza biletu A następnie wysyła wybrany bilet do funkcji inicjowania reklamacji A (krok 1064).

Funkcja inicjowania reklamacji A sprawdza, czy reklamacja dotyczy obiektu elektronicznego (kroki 1066-1068). Jeżeli to nie jest EO (chodzi o sam bilet), to funkcja inicjowania reklamacji A przesyła kopię biletu wraz z informacją reklamacyjną do agenta upoważnionego B (kroki 1070-1072). Funkcja rozpatrzenia reklamacji B odbiera komunikat, a funkcja zakupowa B weryfikuje bilet (kroki 1074-1078). Jeżeli bilet jest nieważny, to funkcja rozpatrzenia reklamacji B przesyła komunikat BILET NIEWAŻNY do funkcji inicjowania reklamacji A (kroki 1080-1084). Następuje wywołanie podprogramu uznania reklamacji (krok 1086).

Na figurze 31 agent upoważniony A wyraża zgodę (krok 1156). Funkcja zarządzania sesją A wysyła do funkcji zarządzania sesją B potwierdzenie (kroki 1158-1162). Następnie wyraża zgodę agent upoważniony B (krok 1164).

Wracając do fig. 30 natomiast widać, że jeżeli bilet jest ważny (krok 1078), to funkcja rozpatrzenia reklamacji B przesyła bilet wraz z informacją reklamacyjną do HTB. Sprzedawca następnie zapoznaje się z reklamacją i decyduje, czy odrzucić czy nie reklamację klienta (kroki 1088-1092). W razie odrzucenia fiinkcja rozpatrzenia reklamacji B przesyła komunikat REKLAMACJA ODRZUCONA do agenta upoważnionego A, który inicjuje podprogram zgody na reklamację (kroki 1094, 1082-1086).

Jeżeli sprzedawca nie odrzuca reklamacji, to HTB wysyła komunikat do HTA z zapytaniem klienta o rozwiązanie (krok 1096). Klient wybiera, czy chce zwrotu pieniędzy czy nowy towar, zakładając, że sprzedawca dopuszcza te opcje (kroki 1098-1100).

Jeżeli klient chce zwrotu pieniędzy, to następuje wywołanie podprogramu wypłaty z tytułu reklamacji (krok 1102). Jak widać na fig. 32, funkcja inicjowania reklamacji A wysyła komunikat ŻĄDAJ ZWROTU PIENIĘDZY do agenta upoważnionego B (kroki 1168-1170). Funkcja rozpatrzenia reklamacji B odbiera komunikat i sprawdza sposób zapłaty przez A (krok 1172). Jeżeli pożądana jest płatność modułem pieniężnym, to następuje wywołanie podprogramu płatności modułem (krok 1174).

Jeżeli pożądana jest refundacja karty kredytowej lub debetowej, to funkcja zakupowa A wysyła komunikat do A z sumą refundacji (kroki 1176-1178). Następuje wywołanie podprogramu płatności/refundacji na bazie autoryzacji (krok 1180). W przypadku refundacji realizuje się przedstawioną na fig. 21 sieć działań. Jeżeli realizowana jest transakcja refundacji (kroki 704-706), to funkcja DO NADRZĘDNEGO wysyła komunikat do HTA, zawierający wierzytelności karty kredytowej lub debetowej i sumę do refundowania (krok 726). Realizowany jest proces autoryzacji karty (krok 728). Funkcja zakupowa A sprawdza, czy refundacja była autoryzowana (kroki 730-732). Jeżeli nie była autoryzowana, to następuje rezygnacja z transakcji (krok 702). Jeżeli autoryzowana, to funkcja zakupowa B wysyła komunikat REFUNDACJA AUTORYZOWANA do agenta upoważnionego Ą (kroki 734, 718). Agent upoważniony B następnie wyraża zgodę (krok

179 928

720). Po odebraniu komunikatu z B funkcja posiadacza biletu A aktualizuje bilet informacjąrefundacyjną (krok 722). Agent upoważniony A następnie wyraża zgodę (krok 724).

Wracając do fig. 30, można zauważyć, że jeżeli zamiast refundowania właściciel agenta upoważnionego A wybierze otrzymanie nowego towaru, to funkcja zakupowa żąda towaru od jego dystrybutora (krok 1104). Dystrybutor towaru pobiera towar i weryfikuje jego tożsamość (kroki 1106-1110). Jeżeli pozycja jest właściwa, następuje wywołanie podprogramów dostarczenia towaru, otwarcia towaru i uznania reklamacji (kroki 1120-1124). Jeżeli pozycja nie jest właściwa, i nieosiągalna u dystrybutora, to funkcja rozpatrzenia reklamacji B wysyła komunikat TOWAR NIEOSIĄGALNY do agenta upoważnionego A (kroki 1114-1116). W tym przypadku inicjowana jest refundacja (krok 1118).

Jeżeli reklamacja towaru dotyczy obiektu elektronicznego (kroki 1066-1068), to funkcja inicjowania reklamacji A pobiera identyfikator towaru z przyporządkowanego mu biletu deszyfracyjnego. Funkcja DO NADRZĘDNEGO następnie wydaje polecenie dla HTA wysłania obiektu elektronicznego do agenta upoważnionego A (kroki 1126-1130). Funkcja inicjowania reklamacji A następnie przesyła kopię biletu i obiekt EO do B wraz z informacją reklamacyjną (kroki 1132-1140). Funkcja rozpatrzenia reklamacji B odbiera komunikat (krok 1136). Funkcja zakupowa B następnie weryfikuje bilet (kroki 1138-1140). Jeżeli bilet jest nieważny, to agent upoważniony A zostaje o tym poinformowany i reklamacja zostaje zakończona (kroki 1080-1086). Jeżeli bilet j est ważny, to funkcja zakupowa weryfikuje obiekt elektroniczny (kroki 1142-1144). Jeżeli nie jest on ważny, to funkcja rozpatrywania reklamacji B informuje agenta upoważnionego A (krok 1146) i następuje zakończenie reklamacji (kroki 1082-1086). Jeżeli obiekt jest ważny, to funkcja klucza symetrycznego B rozszyfrowuje ten EO i przesyła go do HTB dla przetestowania. Informacja reklamacyjna również jest przesyłana do HTB (kroki 1148-1152).

HTB określa, czy obiekt elektroniczny jest wadliwy, na podstawie skargi klienta. Jeżeli sprzedawca stwierdzi, że towar nie jest wadliwy, to funkcja rozpatrywania reklamacji B informuje o tym agenta upoważnionego A (krok 154) i następuje zakończenie reklamacji (kroki 1082-1086). Jeżeli natomiast sprzedawca stwierdza, że towar jest wadliwy, to klient może wybrać zwrot pieniędzy albo nowy towar (kroki 1096-1098).

Generalnie, elektroniczny system monetarny EMS, który można wykorzystywać w połączeniu z otwartym handlem elektronicznym, jest znany i stosowany. Obecnie zostaną opisane różne udoskonalenia i uzupełnienia do tego systemu EMS.

Stosowany termin moduł pieniężny ogólnie odnosi się do transakcyjnych modułów pieniężnych, kasowych modułów pieniężnych i generacyjnych modułów pieniężnych. Moduły pieniężne 6 już omawiane, współpracujące z upoważnionymi agentami 120 ogólnie odpowiadają transakcyjnym modułom pieniężnym. W omówieniu systemu EMS, termin moduł pieniężny występuje znów w swoim pierwotnym znaczeniu, w odniesieniu do transakcyjnych modułów pieniężnych, kasowych modułów pieniężnych i generacyjnych modułów pieniężnych.

Efektywne zabezpieczenie systemu monetarnego ma trzy cechy, a mianowicie eliminacja fałszerstw, wykrywanie fałszerstw i uniemożliwienie fałszerstw. Opisywany system EMS ma części składowe wykazujące wszystkie trzy cechy charakterystyczne.

W celu eliminacji fałszerstw moduły pieniężne porozumiewają się z wykorzystaniem szyfrowania z kluczem symetrycznym i asymetrycznym. Żaden z komunikatów nie jest nie zaszyfrowany. Protokoły modułów często sąrównież fizycznie zabezpieczone odpornym na włamanie wykonaniem układowym.

Fałszerstwo wykrywa się w procesach uzgadniania not. Ogólnosystemowe protokoły czasowe (na przykład upływ ważności not) wymuszają regularne uzgadnianie not. Przy dokonywaniu transakcji bankowych noty elektroniczne podlegają również częstemu odświeżaniu, to znaczy zastąpieniu nową notą z nową datą wygaśnięcia ważności.

Moduły pieniężne są blokowane, to znaczy zamieszczane na listach identyfikatorów niepoprawnych, jeżeli powiązane sąz nimi noty powielone lub sfałszowane. Nie dopuszczane sądo przekazywania również noty, które przeszły przez takie moduły. Przekazywanie powielonych lub sfałszowanych not zostanie ograniczone, ponieważ tracą one ważność i deponowane są w

179 928 banku. Ponadto, w przypadku poważnego problemu z bezpieczeństwem systemu EMS może wywołać ogólne ponowne poświadczanie, włącznie z transakcyjnymi modułami pieniężnymi następnie sygnowanymi w sieci EMS.

Obecnie przedstawiona zostanie hierarchia ochrony. Jak to przedstawiono na fig. 33 A, sieć EMS ma operatorów ochrony dwóch typów, głównego 1182 i porządkowego 1184. Główni operatorzy ochrony 1182 poświadczają operatorów ochrony porządkowych 1184. Operatorzy ochrony 1184 poświadczają wszystkie pozostałe moduły, a więc moduły transakcyjne 1186, moduły kasowe 1188, moduły generacji pieniędzy 1190 i moduły 1192 obsługi klienta, występujące w systemie.

Operatorzy główni 1182 współdziałają wyłącznie z innymi operatorami głównymi 1182 lub operatorami ochrony 1184. Na fig. 34 operatorzy główni 1182 ochrony mieszczą się w urządzeniu ochrony, połączeni między sobą siecią LAN 1194 ochrony. Sieć LAN 1194 dołączona jest poprzez wejście bezpieczeństwa z siecią ochrony 1196. Przez tę sieć porozumiewają się tylko operatorzy ochrony. Wszyscy operatorzy ochrony stanowią urządzenia zabezpieczone fizycznie.

Operatorzy ochrony 1184 dołączeni sąrównież do sieci EMS 1198 i lokalnych sieci bankowych 1200. Operatorzy ochrony traktowani sąjakby mogli być włączani w działanie i są weryfikowani po wszystkich działaniach na innych modułach.

Poświadczenia mają tylko operatorzy 1184 i moduły ochrony. Te urządzenia mają klucze jawne głównych operatorów ochrony. Istniejądwa typy poświadczeń: operator i moduł ochrony.

Obecnie objaśniona zostanie struktura i weryfikacja poświadczenia. Struktura poświadczenia jest następująca:

Cert (SS) = E_PSS [SS (id) || SS (PK) || data ważności || Gj>_ss (X)] || PSS (id) XOR C

-----------------------------χ-----------------------------

Cert (M) = E_ss [M (id) || Μ (PK) || data ważności || (Y)] || Cert (TS)

----------------γ-------------Protokoły weryfikacji poświadczeń są następujące:

1) Weryfikacja Cert (SS)

a) PSS (id) = [PSS (id) XORC] XORC

b) D_PSS (Ep_SS (X || <^>_ss (X))) = X || Oj,_ss (X)

c) Sprawdź, czy SS (id) jest autentyczne (patrz schemat numeracji modułów)

d) Sprawdź, czy data jest ważna

e) Sprawdź, czy D_PSS (Op_SS (X)) = h (X)

2. Weryfikacja Cert (M)

a) Weryfikuj Cert (SS)

b) D_ss (E_Sg (Y || (Y))) = Y || (Y)

c) Sprawdź, czy M (id) jest autentyczne (patrz schemat numeracji modułów)

d) Sprawdź, czy data jest ważna

e) Sprawdź, czy D_ss (¾ (Y)) = h (Y) gdzie:

PSS = pierwotny operator ochrony

M = moduł || = powiązanie id = numer identyfikacyjny h = funkcja siekania

C = stała liczba losowa wykorzystywana przez wszystkie moduły

D = algorytm z kluczem j awnym wykorzystywanym do deszyfrowania i do sprawdzania sygnatury cyfrowej

E i D mogą być również wykorzystywane, odpowiednio do deszyfrowania i szyfrowania, przy zastosowaniu do innych aplikacji.

PK = klucz jawny (łącznie z długością klucza) σ = sygnatura cyfrowa = E h

179 928

Cert = poświadczenie

E = algorytm z kluczem tajnym wykorzystywany do szyfrowania i tworzenia sygnatury cyfrowej.

Dla wyjaśnienia, przedstawiony zostanie schemat numeracji modułów. Główni operatorzy 1182 ochrony, operatorzy 1184 ochrony, kasowe moduły pieniężne 1188, moduły generacji pieniędzy 1190, moduły 1192 obsługi klienta i transakcyjne moduły pieniężne 1186 mająprzypisane numery identyfikacyjne (id), tak, że istnieje możliwość numerów na autentyczność. Generowana jest 48-bitowa liczba pierwsza p i za pośrednictwem procesu zabezpieczania znajdowany jest pierwiastek pierwszy a modulop, (gdzie aⁿ ξ/1 (p) dla wszystkich 1 <n<p-l). Zarówno a,jakip załadowywane są do wszystkich modułów w systemie, w sposób zabezpieczony przez głównych operatorów ochrony podczas ich wytwarzania. Działanie według schematu jest następujące:

Jeżeli aⁿ = m(p) i (1) 1 <m< 99.999, to n przyporządkowywane jest jako id głównego operatora ochrony, (2) 100.000 < m < 999.999, to n przyporządkowywane jest jako id głównego operatora ochrony, (3) 1.000.000 < m < 6.999.999, to n przyporządkowywane jest jako id kasowego modułu pieniężnego, (4)7.000.000<m<9.999.999,tonprzyporządkowywanejestjako id modułu generacji pieniędzy, (5) 10.000.000 <m< 11.999.999, to n przyporządkowywane jest jako id modułu obsługi klienta, (6) m> 12.000.000, to n przyporządkowywane jest jako id transakcyjnego modułu pieniężnego.

Jeżeli moduł lub serwer weryfikuje poświadczenie, to sprawdza autentyczność numeru identyfikacyjnego (na przykład M (id), SS (id) lub PSS (id) n przez wyliczenie aⁿ = m(p) i następnie sprawdza, czy m znajduje się we właściwym zakresie.

Jak to pokazano na fig. 34, sieć ochrony 1196 i sieć LAN 1194 ochrony dołącza operatorów 1184 ochrony do głównych operatorów 1182 ochrony. Operatorzy 1184 ochrony wstępnie poświadczająmoduły pieniężne i moduły 1192 obsługi klienta podczas wytwarzania. Tacy operatorzy ochrony mogą być dołączani przez sieć LAN 1202 wytwarzania modułów. Przenoszą oni do modułów informację ochrony, na przykład listę nieprawidłowych id, i listę głównych operatorów i ich kluczy jawnych. Lista nieprawidłowych id zawiera identyfikatory modułów pieniężnych, modułów obsługi klienta i operatorów ochrony, które są zablokowane dla transakcji. Ponowne poświadczanie tych modułów opisano poniżej w sieci działań sygnowania sieciowego.

Operatorzy 1184 ochrony są poświadczani wstępnie przez głównych operatorów 1182 ochrony podczas produkcji. Tacy główni operatorzy ochrony mogą być dołączeni za pośrednictwem sieci LAN 1204 wytwarzania operatorów ochrony. Na fig. 33B operatorzy 1184 ochrony otrzymują różne informacje zabezpieczające, które przekazują do innych modułów. Operatorzy ochrony zapewniająusługi ochrony dla sieci EMS 1198 i banku 1200 sieci LAN, na przykład sygnowanie sieciowe podczas przekazywania informacji ochrony. Operatorzy 1184 ochrony odbierają informacje od głównych operatorów 1182 ochrony przez sieć 1196 ochrony. Transakcyjne moduły pieniężne 1186 komunikują się z siecią EMS 1198 przez operatorów sieciowych 1206 (NS). Uczestniczące banki mają kasowe moduły pieniężne 1188 i ewentualnie moduły 1190 generacji pieniędzy dołączone do swoich sieci LAN 1200.

Sieć 1196 ochrony jest zaszyfrowana łącznikowe. Poza tym, główni operatorzy ochrony i operatorzy ochrony używają wspólnie klucza symetrycznego (klucza szyfrującego sieci ochrony). Klucz ten jest zmieniany okresowo przez wyznaczonego pierwotnego operatora 1182 ochrony na klucz jawny, w procesie wymiany kluczy. Operator główny 1182 szyfruje klucz symetryczny kluczem tajnym, sygnując klucz i rozsyłając zmianę do innych operatorów głównych 1182 przez sieć LAN 1194 ochrony, i do operatorów 1184 ochrony przez sieć 1196 ochrony.

Przez wyznaczonego operatora głównego 1182 jest utrzymywana lista niepoprawnych identyfikatorów id. Lista powstaje przez nagromadzenie podczas działań wzajemnych z uczestniczącymi bankami, instytucjami przestrzegania prawa, i abonentów systemu.

179 928

Okresowo jest zmieniana długość kluczy publicznych dla operatorów ochrony i modułów. Długość klucza zwykle jest zwiększana, w celu utrzymania wysokiego poziomu ochrony. Nowe wyznaczone długości kluczy będą przekazywane do głównych operatorów ochrony przez wyznaczonego operatora głównego. Nowe długości są komunikowane operatorom ochrony przez operatorów głównych, podczas przesyłania nowych list niepoprawnych identyfikatorów id, lub po ponownym poświadczeniu. W przypadku niebezpieczeństwa naruszenia ochrony, główny operator ochrony zarządza globalnie ponowne poświadczanie.

Długość klucza publicznego dla każdego operatora głównego nie zmienia się. Tworzony jest harmonogram, który stanowi rozkład realizacji i pozbawiania upoważnienia głównych operatorów ochrony. Nowi operatorzy najprawdopodobniej majądłuższe klucze, chyba że nie sąrealizowane ze względu na wzrost objętości transakcji. Lista aktywnych kluczy jawnych PSS jest tworzona przez głównego operatora ochrony i szyfrowana jest przez operatora jego kluczem tajnym. Lista jest następnie rozsyłana do innych operatorów ochrony.

Na figurze 35A przedstawiono składniki funkcjonalne operatora 1184 ochrony. Funkcja 1208 interfejsu zewnętrznego stanowi warstwę telekomunikacyjną interfejsowania sieciowego. Funkcja 1210 zarządzania sesją kontroluje aspekty ochrony sesji transakcyjnej. Funkcja 1212 sygnowania sieciowego zarządza funkcjami ochronnymi dla sygnowania sieciowego. Funkcja 1214 tworzenia poświadczenia wydaj e poświadczenia dla każdego z modułów pieniężnych (w operatorze głównym ta funkcja poświadcza operatorów ochrony). Funkcja 1216 tworzenia profilu rachunku poświadcza i sygnuje profil rachunku bankowego, co umożliwia modułom pieniężnym dostęp do rachunków abonenta w innych bankach. Funkcja 1218 rozdziału kluczy poświadczania rozdziela listę ważnych kluczy jawnych głównych operatorów ochrony agencji poświadczającej wśród modułów pieniężnych (główni operatorzy ochrony również rozdzielają komunikat globalnego poświadczania). Funkcja 1220 sterowania listą niepoprawnych identyfikatorów steruje i rozdziela listę niepoprawnych identyfikatorów. Funkcja 1222 synchronizacji daty/czasu utrzymuje synchronizm usług zegara/bloku czasowego modułu pieniężnego z czasem systemowym. Funkcje zegara/bloku czasowego 1224 i szyfrowania 1226 są identyczne z takimi funkcjami w modułach pieniężnych.

Na figurze 35B przedstawiono składniki funkcjonalne operatora sieciowego 1206. Funkcja 1228 interfejsu zewnętrznego stanowi warstwę telekomunikacyjną interfejsowania sieciowego. Funkcja 1230 zarządzania sesją telekomunikacyjną zarządza sesją telekomunikacyjną między modułami pieniężnymi i między modułem pieniężnym a operatorem ochrony. Funkcja 1234 komunikatu trasowania zapewnia usługi katalogowe dla komunikatów trasujących, sterujących trasowaniem komunikatów podczas sygnowania i podczas sesji modułu pieniężnego. Funkcja 1236 usług kierowanych do banku zapewnia informację o usługach realizowanych przez uczestniczące banki. Funkcja 1238 szyfrowania realizuje funkcję 1240 klucza symetrycznego i funkcję 1242 generatora liczb losowych. Funkcja 1240 klucza symetrycznego szyfruje komunikaty między operatorem sieciowym 1206 a modułami mającymi dostęp do sieci oraz między operatorem sieciowym 1206 a operatorami 1184 ochrony. Funkcja 1242 generatora liczb losowych generuje liczby losowe dla kluczy szyfrujących i komunikatów sprawdzania.

W odniesieniu do fig. 36 przedstawiono procedurę sygnowania sieciowego. Protokół sygnowania dotyczy sytuacji, w której moduł 1243 wymaga dostępu do sieci EMS 1198, w celu ponownego poświadczenia, depozytu, podjęcia lub z innego powodu. Moduł 1243 może być transakcyjnym modułem pieniężnym 1186, kasowym modułem pieniężnym 1138, modułem generacji pieniędzy 118 lub modułem 1192 obsługi klienta. Na wstępie następuje nawiązanie połączenia między modułem 1243 a operatorem sieciowym 1206. Dalej następuje przekazanie poświadczenia modułu do operatora sieciowego 1206. Następnie operator sieciowy 1206 generuje losową liczbę kontrolną V i losowy klucz K, operator sieciowy następnie przekazuje poświadczenie modułu, V i K do operatora 1184 ochrony (zaszyfrowanego kluczem NS/SS). Następnie moduł 1243 i operator 1184 ochrony inicjują zabezpieczoną sesję telekomunikacyjną (poprzez klucz sesji (MM/SS)). Dalej operator 1184 ochrony przekazuje czas/datę, uaktualnia listę niepoprawnych ID, uaktualnia listę kluczy jawnych głównego operatora ochrony, długość klucza jaw

179 928 nego, globalne ponowne poświadczanie (w razie potrzeby), i ponowne poświadczenie modułu (w razie potrzeby). Teraz następuje koniec sesji z modułem 1243 i wysłanie V oraz K do modułu 1243. Następnie odbywa się szyfrowanie V za pomocą K i wysłanie do operatora sieciowego 1206. Teraz operator sieciowy 1206 potwierdza sygnowanie sieciowe modułowi 1243. (i) Moduł 1243 następnie informuje operatora sieciowego 1206 przeznaczenia (jeżeli jest), z którym chce zostać połączony. Następnie operator sieciowy 1206 nawiązuje połączenie z miejscem przeznaczenia.

Sygnowanie sieciowe jest zaprojektowane tak, że nikt nie jest w stanie oszukać modułu 1243, ani przejąć żadnej z jego informacji w formie niezaszyfrowanej. Na fig. 37 przedstawiono szczegółowy przebieg procedury sygnowania sieciowego.

Funkcja komunikacyjna A nawiązuje łączność z siecią EMS 1198 (krok 1244). Funkcja utrzymania ochrony A przesyła swoje poświadczenie do operatora sieciowego 1206 (krok 1246). Funkcja sygnowania sieciowego NS odbiera poświadczenie (krok 1248). Funkcja generatora liczb losowych NS generuje klucz losowy K i losowy numer kontrolny V (krok 1250). Funkcja klucza symetrycznego szyfruje poświadczenie modułu, K i V za pomocą klucza NS/SS (krok 1252). Klucze NS/SS są lokalnymi kluczami symetrycznymi instalowanymi w operatorach sieciowych 1206 i operatorach 1184 ochrony, które porozumiewająsię z funkcją sygnowania sieciowego. Funkcja sygnowania sieciowego NS wysyła poświadczenie, K i V do operatora 1184 ochrony, gdzie funkcja sygnowania sieciowego SS deszyfruje komunikat (kroki 1254-1258). Funkcja sygnowania sieciowego SS zapamiętuje K i V, a następnie wysyła poświadczenie modułu do funkcji klucza jawnego SS dla uwierzytelnienia (kroki 1260-1264).

Jeżeli poświadczenie modułu nie jest ważne, to funkcja sygnowania sieciowego tworzy komunikat zabraniający dostępu do transmisji do operatora sieciowego 1206 i modułu 1243 (krok 1266). Funkcja klucza jawnego SS szyfruje komunikat do modułu 1243 jawnym kluczem modułu, i funkcj a zarządzania sesją wysyła komunikaty do operatora sieciowego (kroki 1268-1270). Funkcja sygnowania sieciowego odbiera komunikaty i oznacza dostęp jako zabroniony. Zaszyfrowany komunikat jest następnie wysyłany do modułu, i operator sieci się odłącza (krok 1272). Funkcja zarządzania sesją A odbiera komunikat, funkcja klucza jawnego A deszyfruje komunikat, a funkcja zarządzania sesją A zaznacza, że sygnowanie zostało zabronione (kroki 1274-1278). Jeżeli urządzeniem żądającym sygnowania był transakcyjny moduł pieniężny, to funkcja „DO ABONENTA” A powiadamia abonenta (kroki 1280-1282). W przeciwnym wypadku, funkcja „DO BANKU” A powiadamia bank (krok 1284).

Jeżeli natomiast poświadczenie modułu jest ważne, to funkcja kontroli listy nieprawidłowych identyfikatorów SS sprawdza, czy identyfikator modułu znajduje się na liście nieprawidłowych identyfikatorów (kroki 1286-1288). Jeżeli identyfikator znajduje się na liście, to następuje zakazanie dostępu do sieci. W przeciwnym przypadku,'funkcja generatora liczb losowych SS tworzy liczbę losową R i komunikat weryfikacyjny (krok 1290). Funkcja sygnowania sieciowego SS zestawia R, komunikat weryfikacyjny i poświadczenie operatora ochrony w komunikat, który zostaje zaszyfrowany kluczem jawnym SS z wykorzystaniem klucza jawnego A, który jest szyfrowany kluczem jawnym SS z wykorzystaniem klucza jawnego A (kroki 1292-1294). Komunikat jest wysyłany do A, kiedy klucz jawny A deszyfruj e komunikat i weryfikuje poświadczenie operatora ochrony (krok 1298).

Jeżeli poświadczenie jest nieważne, to A odnotowuje zakończenie sesji i informuje albo abonenta, albo bank (kroki 1304-1306). Jeżeli poświadczenie jest ważne, funkcja zapewnienia ochrony A sprawdza, czy identyfikator operatora ochrony znajduje się na liście niepoprawnych identyfikatorów (kroki 1308-1310). Jeżeli znajduje się na liście, to sesja zostaje zakończona (kroki 1300-1306). Jeżeli nie ma go na liście, to generator liczb losowych A tworzy liczbę losową R(A) (krok 1312). Funkcja zapewnienia ochrony tworzy klucz sesji MM/SS przez operację R(A) XOR R i następnie zapamiętuje klucz sesji (krok 1314).

Następuje zestawienie komunikatu, zawierającego komunikat weryfikacyjny i R(A) i zaszyfrowanie go kluczem jawnym operatora ochrony (krok 1316). Funkcja zarządzania sesją A wysyła komunikat DO SYGNOWANIA SIECIOWEGO SS i kluczjawnySS deszyfruje ten komunikat (kroki 1318-1322).

179 928

Funkcja sygnowania sieciowego SS sprawdza, czy komunikat weryfikacyjny jest tym, który jest tworzony (kroki 1324-1326). Jeżeli nie, to operator ochrony zabrania dostępu do sieci. Jeżeli komunikat weryfikacyjny jest poprawny, to funkcja klucza symetrycznego SS tworzy klucz sesji MM/SS przez działanie R(A) XOR R (krok 1328). Funkcja zarządzania sesją odnotowuje start sesji i wysyła potwierdzenie do A przez podprogram wysyłania komunikatu (kroki 1330-1332). Funkcja zarządzania sesją odbiera potwierdzenie i odnotowuje rozpoczęcie sesji (krok 1334).

Funkcja zegara/bloku czasowego A wysyła czas i datę do funkcji zarządzania sesją, która wysyła go do operatora ochrony (kroki 1336-1340). Funkcja synchronizacji daty/czasu SS odbiera czas i datę i sprawdza, czy znajduje się w granicach parametru (kroki 1342-1344). Jeżeli nie znajduje się w granicach parametru, to funkcja synchronizacji daty/czasu SS odbiera czas i datę i sprawdza, czy mieści się w granicach parametru (kroki 1342-1344). Jeżeli nie, to funkcja synchronizacji daty/czasu wysyła nowy czas i datę do funkcji zarządzania sesją A (kroki 1346-1350). Funkcja zegara/bloku czasowego A następnie doregulowuje czas i datę (krok 1352). A następnie odsyła swoją datę i czas do operatora ochrony, w celu ponownego sprawdzenia. Jeżeli próby synchronizacji dokonywano więcej, niż zadana liczba razy, to meldowana jest niesprawność zegara do abonenta lub banku, który w razie potrzeby może ponowić próbę (kroki 1354-1362).

Jeżeli natomiast, czas i data mieszczą się w granicach zadanego parametru, to funkcja sygnowania sieciowego SS zestawia komunikat, zawierający listę złych identyfikatorów, nową listę kluczy jawnych głównego operatora ochrony (która dociera z funkcji rozprowadzania klucza poświadczenia) oraz długość klucza jawnego (rozmiary kluczy jawnych okresowo się zmieniają) (krok 1364). Funkcja tworzenia poświadczenia SS sprawdza, czy zarządzono globalne ponowienie poświadczenia, i upewnia się, że nie upłynął okres czasu dla globalnego ponowienia poświadczania (kroki 1366-1368). Taki okres czasu powinien być dostatecznie długi, aby każde poświadczenie było ponownie poświadczone lub straciło ważność. Funkcja powinna dokonać sprawdzenia, czy moduł był poświadczany w okresie globalnego ponawiania poświadczenia, co powodowałoby, że nie wymaga on ponowienia poświadczania.

Jeżeli ponowienie poświadczania jest potrzebne, funkcja tworzenia poświadczenia do poprzedniego komunikatu dodaje: moduł wymaga ponownego poświadczenia (krok 1370). Następnie, niezależnie od tego, czy żądano ponownego poświadczania, funkcja klucza jawnego SS sygnuje komunikat (krok 1372). Komunikat zostaje wysłany do A, gdzie fiinkcja klucza jawnego A sprawdza sygnaturę cyfrową na komunikacie (kroki 1374-1378). Jeżeli sygnatura jest nieważna, następuje zakończenie sesji. Jeżeli jest ważna, to funkcja klucza jawnego szyfruje listę klucza jawnego głównego operatora ochrony z wykorzystaniem istniejącego klucza jawnego PSS (krok 1380). Uaktualniona lista kluczy jawnych głównego operatora ochrony została uprzednio zaszyfrowana kluczem tajnym generującego ją głównego operatora ochrony. Funkcja zapewnienia ochrony A następnie sprawdza listę niewłaściwych identyfikatorów, listę klucza jawnego i długość klucza (krok 1382).

Moduł A następnie sprawdza, czy poświadczenie wymaga odnowienia (albo z powodu globalnego porządku odnawiania poświadczeń, albo z powodu wygaśnięcia ważności poświadczenia) (kroki 1384-1386). Jeżeli potrzebne jest nowe poświadczenie, to funkcja zapewnienia ochrony A inicjuje generację nowego poświadczenia (krok 1388). Funkcja kluczajawnego A generuje nowe klucze i sygnuje nowy klucz jawny starym kluczem jawnym (krok 1390). Funkcja zarządzania sesją A wysyła sygnowany nowy klucz jawny do funkcji tworzenia poświadczenia SS operatorów ochrony (kroki 1392-1396). Funkcja kluczajawnego SS następnie uwierzytelnia sygnaturę na nowym kluczu jawnym (kroki 1398-1400). Jeżeli sygnaturajest nieważna, to operator ochrony zabrania dostępu sieciowego. Jeżeli sygnaturajest ważna, to funkcja kluczajawnego SS sygnuje nowe poświadczenie modułu i wysyła je do tego modułu (krok 1402). Funkcja zarządzania sesją A odbiera poświadczenie, funkcja zapewnienia ochrony A podejmuje weryfikację poświadczenia, a funkcja kluczajawnego A weryfikuje sygnaturę (kroki 1404-1410).

, Jeżeli poświadczenie nie jest ważne, to funkcja zarządzania sesją A wysyła komunikat POŚWIADCZENIE NIEWAŻNE i poświadczenie do operatora ochrony (krok 1412). Funkcja

179 928 sygnowania sieciowego odbiera komunikat i funkcja klucza jawnego SS uwierzytelnia sygnaturę (kroki 1414-1418). Jeżeli operator ochrony stwierdza, że poświadczenie jest aktualnie ważne, to zabrania modułowi dostępu do sieci. Jeżeli natomiast poświadczenie nie jest ważne, to funkcja zarządzania sesjąSS informuje operatora sieci, że dokona odłączenia od sieci (krok 1420). Funkcja sygnowania sieciowego NS informuje moduł o niesprawności (krok 1422). Moduł następnie zapytuje abonenta lub bank, czy ponowić próbę (kroki 1424-1432).

Jeżeli natomiast moduł stwierdza, że jego nowe poświadczenie jest ważne, to funkcja zarządzania sesją A wysyła potwierdzenie do operatora ochrony (krok 1434). Podobnie, jeżeli nie żądano nowego poświadczenia, to funkcja zapewnienia ochrony A wysyła komunikat potwierdzający do operatora ochrony (kroki 1436-1438). W każdym przypadku funkcja zarządzania sesją SS otrzymuje potwierdzenie i odnotowuje koniec swojej sesji z modułem (krok 1440). Funkcja sygnowania sieciowego SS następnie wysyła K i V do A (kroki 1442-1444). Funkcja zarządzania sesją A odbiera komunikat, a funkcja klucza symetrycznego A szyfruje V za pomocą K i przesyła komunikat do operatora ochrony (kroki 1446-1448). Funkcja sygnowania sieciowego NS odbiera komunikat, a funkcja klucza symetrycznego NS deszyfruje komunikat i sprawdza, czy V jest tym samym V, które uprzednio wygenerowano (kroki 1450-1454).

Jeżeli V jest niepoprawne, to funkcja sygnowania sieciowego NS wysyła do A komunikat zabraniający dostępu i dokonuje odłączenia (kroki 1456-1458). Jeżeli V jest poprawne, to funkcja sygnowania sieciowego wysyła potwierdzenie do A (krok 1460). Na koniec, funkcja zarządzania sesjąA odbiera potwierdzenie i odnotowuje, że A jest sygnowane do sieci EMS 1198 (krok 1462).

Na figurze 38 przedstawiono protokół inicjowania sesji. Funkcja zarządzania sesjąA sprawdza, czy połączenie sieciowe do modułu pieniężnego jest potrzebne (kroki 1464-1466). Jeżeli połączenie jest potrzebne, to funkcja klucza symetrycznego szyfruje miejsce przeznaczenia kluczem K (krok 1468). Funkcja zarządzania sesjąA wysyła żądane miejsce przeznaczenia do operatora sieciowego (krok 1470). Operator sieci następnie zestawia połączenie z miejscem przeznaczenia B i przesyła potwierdzenie, które zostaje odebrane przez funkcję zarządzania sesjąA (kroki 1472-1474).

Funkcja zapewnienia ochrony A wysyła swoje poświadczenie do funkcji zarządzania sesją A, która przesyłaje do B (kroki 1476-1478). Funkcja zarządzania sesjąB odbiera poświadczenie, i funkcja zapewnienia ochrony B (jeżeli B jest operatorem ochrony, to ta funkcja jest wykonywana przez funkcję zarządzania sesją) uwierzytelnia poświadczenie (kroki 1480-1484). Jeżeli poświadczenie nie jest ważne, to funkcja zarządzania sesjąB odnotowuje, że sesja jest zakończona i informuje albo abonenta albo bank (kroki 1486-1492), jeżeli B jest operatorem ochrony to B tylko odnotowuje, że transakcja została zakończona.

Jeżeli poświadczenie jest ważne, to funkcja zapewnienia ochrony B sprawdza, czy A znajduje się na liście nieprawidłowych identyfikatorów (kroki 1494-1496). Jeżeli A znajduje się na liście, to sesja zostaje zakończona. Jeżeli A nie ma na liście, to funkcja generatora liczb losowych tworzy liczbę losową R(B) i komunikat weryfikacyjny B (krok 1498). Zegar/blok czasowy pobiera czas i datę (krok 1500). Funkcja zapewnienia ochrony B zestawia R(B), komunikat weryfikacyjny B, czas i datę oraz poświadczenie B w komunikat (krok 1502). Funkcja klucza jawnego szyfruje komunikat kluczem jawnym A, a funkcja zarządzania sesjąB wysyła komunikat do A (kroki 1504-1506).

Funkcja zarządzania sesjąA odbiera komunikat, funkcja klucza jawnego deszyfruje komunikat, funkcja zapewnienia ochrony A weryfikuje poświadczenie B (kroki 1508-1514). Jeżeli poświadczenie nie jest ważne, to funkcja zarządzania sesjąA odnotowuje zakończenie sesji albo informuje bank (kroki 1516-1522). Jeżeli poświadczenie jest ważne, funkcja zapewnienia ochrony A sprawdza, czy B znajduje się na liście niepoprawnych identyfikatorów (kroki 1524-1526). Jeżeli B znajduje się na tej liście, to sesja zostaje zakończona. Jeżeli B nie ma na liście, to funkcja zapewnienia ochrony A pobiera datę i czas, i porównuje ją z datą i czasem B (kroki 1528-1530). Jeżeli data i czas są spoza zakresu, to następuje zakończenie sesji.

Jeżeli data i czas mieszczą się w zakresie, to funkcja generatora liczb losowych A tworzy liczbę losowąR(A) i komunikat weryfikacyjny (krok 1532). Funkcja zapewnienia ochrony A two

179 928 rzy klucz sesji przez operację R(A) XOR R(B) (krok 1534). Komunikat weryfikacyjny A, komunikat weryfikacyjny B, czas, data i R(A) są zestawiane w komunikat i szyfrowane kluczem jawnym B (krok 1536). Komunikat zostaje przesłany do B przez funkcję zarządzania sesją A (krok 1538). Funkcja zarządzania sesjąB odbiera komunikat, funkcja klucza jawnego B deszyfruje komunikat, a funkcja zapewnienia ochrony B sprawdza komunikat weryfikacyjny B (kroki 1540-1546). Jeżeli komunikat weryfikacyjny B jest nieprawidłowy, sesja zostaje zakończona. Jeżeli komunikat weryfikacyjny B jest poprawny, to funkcja klucza zapewnienia ochrony B tworzy klucz sesji przez działanie R(A) XOR R(B) (krok 1328). Czas i data sąpobierane i porównywane z czasem i datą A, w celu sprawdzenia, czy znajdują się w zadanym przedziale każdego z nich (krok 1550). Jeżeli czas i data znajdująsię poza przedziałem, to następuje zakończenie sesji. Jeżeli czas i data znajdują się w tym przedziale, to funkcja zarządzania sesją B odnotowuje początek sesji (krok 1552).

Funkcja zarządzania sesjąB następnie wysyła potwierdzenie i komunikat weryfikacyjny do A (kroki 1554-1556). Funkcja zarządzania sesją A odbiera komunikat i funkcja zapewnienia ochrony A sprawdza komunikat weryfikacyjny A (kroki 1558-1562). Jeżeli komunikat weryfikacyjnyjest nieprawidłowy, sesjazostaje zakończona. Jeżeli komunikat weryfikacyjny jest poprawny, to funkcja zarządzania sesją A odnotowuje początek sesji (krok 1564).

Na figurze 39 przedstawiono protokół not transferowych. Funkcja katalogu not X wybiera notę (noty) i wartości do przeniesienia (krok 1566). Możliwymi celami wyboru not do przeniesienia j est na przykład po pierwsze minimalizacj a liczby sygnatur cyfrowych, które wymagaj ąpewnego czasu przetwarzania, po drugie minimalizacja rozmiaru pakietu, po trzecie maksymalizacja użyteczności not elektronicznych pozostawionych dla abonenta dokonującego transferu, to znaczy przekazywanie not w jak najkrótszym czasie pozostałym do utraty ważności. Takie cele można osiągnąć za pomocą następującego algorytmu przenoszenia not: po pierwsze wyznaczenie wszystkich alternatyw zawierających najmniejszą liczbę not, po drugie określenie, która z tych alternatyw wymaga najmniejszej liczby transferów, a po trzecie, jeżeli po etapie drugim pozostała więcej niż jedna możliwość, wybór jednej, która ma najmniejszą liczbę dniojednostek monetarnych. Dniojednostki monetarne ściśle odpowiadająpozostającej wartości nory do przeniesienia, razy liczba dni pozostałych do wygaśnięcia not, zsumowana dla wszystkich not w pakiecie.

Funkcja not X tworzy pewien transfer do dołączenia do każdej z przekazywanych not (krok 1568). Funkcja klucza jawnego X tworzy sygnatury not (krok 1570). Następnie funkcja zarządzania pakietami X zestawia notę (noty) ze swoim nowym transferem i sygnaturąw pakiet, który przesyła do Y (kroki 1572-1574). Funkcja zarządzania pakietami Y odbiera pakiet i demontuje go (krok 1576).

Funkcja weryfikacji Y weryfikuje wszystkie poświadczenia w notach (na przykład poświadczenie generatora pieniężnego i wszystkie poświadczenia transferów). Następnie wszystkie transfery do poświadczenia są weryfikowane przez sprawdzenie, że przekazujący i przekazywane pozycje pasują do historii noty elektronicznej. Sprawdzana jest również łączna przekazana suma, w celu sprawdzenia, czy jest zgodna z sumą oczekiwaną (kroki 1578-1580). Jeżeli nie jest ważna, to następuje rezygnacja z transakcji (krok 1582).

Jeżeli jest ważna, a Y stanowi transakcyjny moduł pieniężny, to funkcja weryfikatora Y sprawdza daty ważności not (kroki 1584-1588). Jeżeli noty utraciły ważność, to następuje rezygnacja z transakcji. Jeżeli nie straciły ważności, to funkcja weryfikatora Y sprawdza każdy identyfikator z przekazu not z listą niewłaściwych identyfikatorów (kroki 1590-1592). Jeżeli któryś z przekazanych identyfikatorów znajduje się na liście identyfikatorów niewłaściwych, to następuje rezygnacja z transakcji.

Jeżeli przekazane identyfikatory nie znajdują się na liście niewłaściwych identyfikatorów (lub Y nie jest transakcyjnym modułem pieniężnym), to funkcja klucza jawnego Y sprawdza ważność sygnatur not (kroki 1594-1596). Jeżeli sygnatury nie są ważne, to następuje rezygnacja z transakcji. Jeżeli sygnatury są ważne, to funkcja not Y umieszcza noty w magazynie not (krok 1598). Na koniec, funkcja katalogu not Y uaktualnia lokacje i wartości not (krok 1600).

Na figurze 40 przedstawiono protokół transakcji z walutą zagraniczną, z użyciem dolarów i funtów jako przykładowych jednostek monetarnych. Początkowo, A wyraża zgodę na wymianę z

179 928

B dolarów ($) na funty (Ł) ts współczynnikiem przeliczeniowym $!Ł (krok 1602). A i B następnie sygnująswoje moduły pieniężne i zapytują swoich abonentów o typ transakcji (kroki 1604-1610). A wybiera zakup zagranicznej waluty, a B wybiera sprzedaż waluty (kroki 1612-1614). A i B nawiązują inicjują sesję transakcyjną (kroki 1616-1620).

Funkcja DO ABONENTA zapytuje właściciela/posiadacza A o podanie sumy przez przekazanie liczby dolarów, do wymiany (krok 1622). Funkcja płacenia/wymiany A odbiera sumę i funkcja katalogu not A sprawdza, czy A ma dostateczne fondusze (kroki 1624-1628). Jeżeli fundusze nie są dostateczne, to funkcja DO ABONENTA A pyta o nową sumę, która ponownie jest sprawdzana z istniejącymi funduszami (kroki 1630-1632). Jeżeli nie wprowadzona zostanie nowa suma, to następuje rezygnacja z transakcji (krok 1634).

Jeżeli fundusze są wystarczające, to funkcja płacenia/wymiany A wysyła ilość dolarów do B (kroki 1636-1638). Funkcja DO ABONENTA B następnie prosi właściciela/posiadacza B o wybranie albo ilości funtów, które sobie życzy wymienić na dolary, albo też po prostu o kurs wymiany na dolary (krok 1640). Funkcja katalogu not B sprawdza, czy fundusze są wystarczające (kroki 1642-1644). Jeżeli fundusze nie są wystarczające, to funkcja DO ABONENTA B prosi o nowy kurs i ponownie następuje sprawdzenie istniejących funduszy, czy są wystarczające (kroki 1646-1648). Jeżeli natomiast nie wybrany zostanie nowy kurs, to funkcja płacenia/wymiany B informuje A ojej niewystarczających funduszach (kroki 1650-1652). A może następnie wybrać do wymiany lub zrezygnować z transakcji (kroki 1630-1634).

Jeżeli B ma fundusze dostateczne do transakcji, to funkcja płacenia/wymiany B wysyła do A potwierdzenie i ilość funtów do wymiany, przy czym przesyłany jest również równoważny kurs (kroki 1654-1656). Funkcja DO ABONENTA prosi o zweryfikowanie ilości funtów i kursu (1658-1660). Jeżeli ilość i kurs nie są poprawne, to fonkcja płacenia/wymiany A informuje B, że ilość i kurs nie sąpoprawne (kroki 1662-1664). Funkcja DO ABONENTA następnie żąda nowego kursu (kroki 1666-1668). Jeżeli nie zostanie wybrany nowy kurs, to następuje rezygnacja z transakcji (krok 1670).

Jeżeli natomiast A stwierdzi poprawny kurs transakcji, to funkcja płacenia/wymiany A przekazuje ilość dolarów do posiadacza pieniędzy (krok 1672). Następuje przekazanie not dolarowych od A do B (krok 1674). Funkcja płacenia/wymiany B przekazuje ilość funtów do swojego posiadacza pieniędzy (krok 1676). Noty funtowe są następnie przekazywane od B do A (krok 1678).

W tym momencie transakcji, zarówno A jak i B tymczasowo posiadająnoty wymiany zagranicznej w poprawnych ilościach. Zarówno A, jak i B partycypująw dwóch transakcjach. A przekazuje, po pierwsze, dolary przekazywane przez A do B, po drugie, fonty A otrzymane od B, następnie B przekazuje po pierwsze, fonty przekazane z B do A, a po drugie, dolary otrzymane przez B od A. Dla zakończenia transakcji wymiany zagranicznej A musi teraz wyrazić zgodę na jej sfinalizowanie i trwałe zapisanie we własnym rejestrze transakcyjnym obu swoich transferów. Podobnie, B musi wyrazić zgodę na swoje dwa transfery. Należy zauważyć, że A może wyrazić zgodę na wymianę zagraniczną A-> B (dolarów od A do B) i B -> A (funtów od B do A) oddzielnie. Podobnie B może wyrazić oddzielnie zgodę na transfery wymiany zagranicznej A—> B i B—» A.

Następna część protokołu wymiany zagranicznej jest zaprojektowana tak, że żadna ze stron nie wie, w którym z transakcyjnych modułów pieniężnych wyrazi zgodę. Ta niepewność zniechęca strony do celowych prób ingerencji w tę transakcję. Jako podstawę przyjmuje się, że funkcja S(X) jest określona tak, że S(0) = A, a S(l) = B, gdzie A i B odnosząsię do modułów A i B. Tak więc, jeżeli Sjest wybrane losowo jako 0 lub 1, to wskazany zostaje losowo moduł pieniężny A lub B.

Do umożliwienia A i B wspólnego określenia losowego X, wykorzystuje się następujący podprogram. R(A) i R(B) są liczbami losowymi generowanymi, odpowiednio przez A i B podczas wykonywania podprogramu nawiązania sesji. Określa się parzystość R(A) XOR R(B), przez wykonanie operacji Exclusive OR każdego bitu R(A) XOR R(B). Ta parzystość stanowi liczbę losową X. X stanowi uzupełnienie X (X = X XOR 1).

Jak to przedstawiono na fig. 40, funkcja rejestru transakcyjnego A warunkowo aktualizuje rejestr transakcyjny, w celu zapisania transferu S(X) do S(X) (krok 1680). Jeżeli X jest obliczone

179 928 jako równe 0, to następuje warunkowe zapisanie transferu A do B, to znaczy transferu funtów. Ponieważ rejestr jest zapisywany warunkowo, może być przywracany do stanu poprzedniego w przypadku rezygnacji z transakcji modułu pieniężnego A. Uaktualnienie rejestru staje się trwałe dopiero po ustawieniu aktualizacji na bezwarunkową albo jak pokazano jawnie w sieci działań lub w sposób domyślny podczas wyrażania zgody. Funkcja zarządzania sesją A następnie wysyła komunikat REJESTR UAKTUALNIONY do B (kroki 1682-1684). W odpowiedzi, funkcja rejestru transakcyjnego B również warunkowo uaktualnia swój rejestr zapisując transfer S(X) do S(X) (krok 1686).

Jeżeli X = 1, to funkcja rejestru transakcyjnego B przestawi uaktualnienie rejestru na bezwarunkowe (kroki 1688-1690). Zatem w tym momencie B wyraziło zgodę na transfer funtów do A. Następnie B podąża za protokołem zgody (krok 1692) opisanym poniżej w związku z fig. 41. W tej sytuacji, A wyrazi zgodę na obydwa swoje transfery (to znaczy przekazanie dolarów i otrzymanie fhntów), a B wyrazi zgodę na swój wynikowy transfer, nie potwierdzony zgodą mianowicie na otrzymanie dolarów.

Jeżeli natomiast X = 0 (krok 1688), to funkcja zarządzania sesją B wysyła komunikat POCZĄTEK WYRAŻENIA ZGODY doA(kroki 1694-1696). Funkcja rejestru transakcyjnego następnie przestawi swoje uaktualnienie rejestru na bezwarunkowe (krok 1698), wyrażając w ten sposób zgodę na przekazanie przez siebie dolarów. Następnie zostaje wywołany protokół zgody z fig. 41 (krok 1700). Podczas tego protokołu B wyraża zgodę na obydwa swoje transfery, to znaczy przekazanie funtów o otrzymanie dolarów, a A wyraża zgodę na jeden występujący transfer, otrzymanie funtów.

Protokół wymiany waluty zagranicznej zatem zapewnia, że żadna ze stron nie wie, na który transfer zgoda będzie wyrażana jako na pierwszy. Zmniejsza to zachętę do manipulowania transakcją przez którąś ze stron.

Na figurze 41 przedstawiono protokół zgody dla modułów. Funkcja zarządzania sesją X wysyła komunikat GOTÓW DO WYRAŻENIA ZGODY do Y (kroki 1702-1704). Przenosi on zobowiązanie do wyrażenia zgody do modułu otrzymującego komunikat. W konwencjonalnej sytuacji przekazania pieniędzy, ta metoda przekazywania najpierw obciążenia zgodą jest wykorzystywana do upewnienia się, że strona przekazująca pieniądze wyrazi zgodę jako pierwsza, co eliminuje możliwość duplikowania pieniędzy.

Funkcja zarządzania sesją Y następnie wysyła potwierdzenie do X (kroki 1706-1708) i wyraża zgodę na występujące transakcje przez uaktualnienie swojego rejestru transakcyjnego (kroki 1712-1714). Funkcja zarządzania sesją Y odnotowuje koniec sesji (krok 1716).

Funkcja rejestru transakcyjnego otrzymuje potwierdzenie z Y i uaktualnia swój rejestr transakcyjny, wyrażając tym samym zgodę na wszystkie występujące transfery; X kończy wyrażanie swojej zgody, jak Y (kroki 1718-1724).

Na figurze 42 przedstawiono protokół rezygnacji z transakcji dla modułów. Funkcja zarządzania sesjąX następnie wycofuje zmiany i odnotowuje, że z transakcji zrezygnowano (krok 1726). Funkcja zarządzania sesją X następnie sprawdza, czy został wysłany komunikat GOTÓW DO WYRAŻENIA ZGODY (kroki 1728-1730). Jeżeli tak, to X uaktualnia rejestr transakcyjny (krok 1732) przez zapisanie, że X wyraził zgodę po wysłaniu komunikatu gotowości do wyrażenia zgody i zapisaniu identyfikatorów i sumy każdej noty otrzymanej podczas protokołu przekazywania not. Tak więc, protokół rezygnacji rejestruje informację kiedy wywoływany jest podprogram rezygnacji podczas realizacji podprogramu niewyrażenia zgody.

Jeżeli X jest pewnym transakcyjnym modułem pieniężnym 1186, i został wysłany komunikat gotowości do wyrażenia zgody, to funkcja DO ABÓNENTA X informuje abonenta, że nastąpiła rezygnacja z transakcji i że może to być błąd przy przekazywaniu pieniędzy (kroki 1734-1738).

Jeżeli Xjest kasowym modułem pieniężnym 1188, to funkcja DO BANKU X informuje bank, że powinien odwołać swoje transakcje rachunkowe, za pośrednictwem odpowiednich kredytów i debetów (kroki 1740-1742). Jeżeli X jesttransakcyjnym modułem pieniężnym 1186 i był

179 928 wysłany komunikat gotowości do wyrażenia zgody, to funkcja DO ABONENTA informuje abonenta, że nastąpiła rezygnacja z transakcji (krok 1744).

W każdym przypadku, funkcja zarządzania sesją wysyła do Y komunikat, że transakcja nie może dojść do końca (kroki 1746-1748). Funkcja zarządzania sesją Y wycofuje swoje zmiany i odnotowuje, że z transakcji zrezygnowano (kroki 1752-1754), łub informuje bank, że powinien odwołać swoje transakcje rachunkowe (kroki 1756-1758).

Jak to opisano, jeżeli transakcja jest przerwana podczas protokołu uzgadniania, to możliwe jest, że zostaną utracone noty. Jeżeli to nastąpi, to nastąpi rezygnacja odbiorcy transferu, a przekazujący wyrazi zgodę na przekazanie not. W tym przypadku moduł pieniężny odbiorcy transferu zapisze informacje o notach, które ma otrzymać i powiadomi abonenta, że potencjalnie występuje potencjalny problem (to znaczy, nie otrzymał not wysłanych przez A). Można zauważyć, że w tej sytuacji, ponieważ za przekazującego jest uważany moduł pieniężny, noty zostaną przekazane poprawnie.

Odbierający przekaz abonent modułu pieniężnego składa następnie do agencji poświadczeń zastrzeżenie dotyczące tych pieniędzy. Informacja zastrzeżenia powinna zawierać zapis do rejestru niepoprawnej transakcji. Agencja poświadczeń następnie sprawdza w banku wydawcy czy noty były uzgadniane. Po pewnym okresie czasu, jeżeli noty nie były uzgadniane, abonent może odzyskać swoje pieniądze.

Na figurze 43 przedstawiono protokół płatności punktu sprzedaży POS (POINT OF SALE - POS). Protokół płatności POS przeznaczony jest do uproszczenia płatności dokonywanych między transakcyjnym modułem pieniężnym 1186 nabywcy a transakcyjnym modułem pieniężnym 1186 sprzedawcy. Transakcyjny moduł pieniężny 1186 sprzedawcy jest na przykład zlokalizowany w kasie rejestrującej w supermarkecie.

Na początku A zgadza się na zakup wyrobów lub usług od B (krok 1760). Właściciel/posiadacz transakcyjnego modułu pieniężnego A sygnuje swój moduł pieniężny (krok 1762). Funkcja DO ABONENTA pyta właściciela/posiadacza o transakcję i A wybiera płatność POS (kroki 1764-1766). W międzyczasie kupiec określa łączną cenę zakupu (krok 1768). Funkcja DO ABONENTA A pyta o transakcję i B wybiera otrzymanie płatności POS (kroki 1770-1772). A i B następnie inicjują sesję zabezpieczoną (kroki 1774-1776).

Funkcja DO ABONENTA B pyta sumę płatności i funkcja płatności/wymiany otrzymuje tę sumę i przesyłajądo A (kroki 1778-1782). Funkcja DO ABONENTA A prosi następnie swojego abonenta o zatwierdzenie żądanej sumy (kroki 1784-1786). Ponadto, abonent jest proszony o wybór not, w których dokona zapłaty, na przykład gotówką lub kredytem i sumę, tak, że suma łączna jest równa żądanej. Jeżeli żądana suma nie jest poprawna, to funkcja zapłaty/wymiany A wysyła do B komunikat wskazujący, że żądana suma nie jest poprawna (kroki 1788-1790). Funkcja DO ABONENTA następnie zapytuje swoją jednostkę nadrzędną o nową sumę (kroki 1792-1794). Jeżeli nowa suma nie zostaje wybrana, następuje rezygnacja z transakcji.

Jeżeli żądana suma jest poprawna, to funkcja zapłaty/wymiany A odbiera sumę przez wypisanie noty (krok 1798). Funkcja katalogu not A następnie sprawdza, czy fundusze są dostateczne (kroki 1800-1802). Jeżeli fundusze są niedostateczne, to funkcja DO ABONENTA A prosi o nową sumę przez wypisanie noty (kroki 1804, 1806). Jeżeli nie wprowadzono nowej sumy, to funkcja zapłaty/wymiany, A wysyła do B komunikat wskazujący, że ma niewystarczające fundusze (kroki 1808,1790). Funkcja DO ABONENTA B następnie prosi swojąjednostkę nadrzędną o nową sumę (kroki 1792-1794). Jeżeli nowa suma nie zostaje wybrana, następuje rezygnacja z transakcji (krok 1796). Jeżeli żądana suma zostaje wybrana, to transakcja funkcja zapłaty zaczyna się powtórnie od nowa.

Jeżeli fundusze są dostateczne, to funkcja zapłaty/wymiany A przekazuje sumę do posiadacza pieniędzy (krok 1810). Noty są następnie przekazywane z A do B (krok 1812).

Jak można zauważyć, płatność POS jest uproszczona dla kupującego, ponieważ stanowi zapłatę inicjowaną przez beneficjenta.

Na figurze 44 przedstawiono protokół łączenia rachunków, przez tworzenie lub aktualizację profili rachunkowych. Klient jest w stanie łączyć swój transakcyjny moduł pieniężny z ra

179 928 chunkiem w banku przez wykorzystanie protokołu łączenia rachunków. Moduł kasowy 1188 w odpowiednim banku również może być połączony z jego rachunkiem bankowym w bankuwydawcy. Profil rachunków jest realizowany przez transakcyjny moduł pieniężny 1186, lub kasowy moduł pieniężny 1188, dla dostępu do każdego z przyłączonych rachunków. Ten profil jest sygnowany przez bankowego operatora 1184 ochrony. Bank nie musi prowadzić listy dostępu dla każdego klienta, ponieważ może sprawdzić jego sygnaturę cyfrowąpodczas przedstawiania profilu rachunku przez moduł pieniężny klienta. Zwiększy to zabezpieczenie względem obecnych sposobów dostępu z wykorzystaniem ATM lub karty kredytowej.

Moduły operacyjne 1192 klienta CSM stanowiąurządzenia przeciwwłamaniowe, stosowane do tworzenia i aktualizacji profili rachunkowych. Moduły CSM 1192 zawierająniepowtarzalne poświadczenie podobne do znajdujących się w modułach i operatorach ochrony. Moduły CSM mogą inicjować zabezpieczone sesje z innymi modułami, na przykład operatorami ochrony.

W celu połączenia rachunków, właściciel transakcyjnego modułu pieniężnego 1186 udaje się do swojego banku osobiście i dołącza swój moduł pieniężny do sieci bankowej 1200. Jak wynika z fig. 44, moduł pieniężny wybiera dostęp bankowy do rachunków łączonych (krok 1816). Moduł pieniężny 1186 następnie inicjuje zabezpieczoną sesję z operatorem ochrony 1184 (krok 1818). Moduł pieniężny następnie wysyła żądanie połączenia rachunków do operatora ochrony wraz z aktualnym profilem bankowym, jeżeli istnieje jeden (krok 1820). Operator ochrony odbiera żądanie łącza i profil bankowy (krok 1822). Operator ochrony inicjuje sesję z modułem obsługowym klienta 1192 (krok 1824). Operator ochrony następnie wysyła żądanie łącza i profil bankowy do modułu CSM (krok 1826).

Właściciel transakcyjnego modułu pieniężnego następnie przedstawia swoją tożsamość przedstawicielowi bankowej obsługi klienta (krok 1828). Przedstawiciel obsługi klienta wprowadza nazwisko klienta i CSM z systemu bankowego uzyskuje dostęp do listy rachunków klienta (krok 1830). Właściciel modułu pieniężnego następnie wybiera rachunki, które mają być dołączone dla dostępu przez moduł pieniężny (krok 1832). Moduł CSM notuje rachunki, które mają być przyłączone (krok 1834). Właściciel modułu pieniężnego i przedstawiciel obsługi klienta następnie sprawdzają łącza rachunku (kroki 1836-183 8). Jeżeli łącza rachunku nie sąpoprawne, to następuje rezygnacja z sesji CSM z operatorem ochrony i operatora ochrony z modułem pieniężnym (kroki 1840-1842).

Jeżeli łącza rachunków są poprawne, to CSM 1192 wysyła profil rachunku do operatora ochrony 1184 (krok 1844). Operator ochrony 1184 sygnuje cyfrowo profil nowy (lub uaktualniony) (krok 1846). Operator ochrony 1184 następnie wysyła sygnowany profil do modułu pieniężnego 1186 (krok 1848). Na koniec moduł pieniężny przekazuje zgodę na transakcję do operatora ochrony (krok 1850), a operator ochrony przekazuje zgodę na transakcję do CSM (krok 1852).

179 928

179 928

122 I

120

Fig. 3

179 928

110

114

118

106

112

116

Fig. 2

708

179 928

Fig. 5

179 928

738 I

INTERFEJS ZEWNĘTRZNY
INTERFEJS KOMUNIKATOWY
FUNKCJA ZARZĄDZANIA SESJĄ
FUNKCJA ZAPEWNIENIA OCHRONY
Uczestnik transakcji	Posiadacz biletu ^48	Do modułu pieniężnego
KRYPTOGRAFIA F klucza T F. klucza symetrycznego | jawnego	DATA/CZAS
E Generatora liczb losowych

Fig. AA

158 160 162 170 172 174 j_____________________________________i— _________i i________ i

F zakupowa	E„do nadrzędnego	E rejestru transakcji
E okazywa nia biletu	E uzysk iw. uwierzy teL	E inicjow. reklamacji

F. zakupowa	E„do nadrzędnego	E rejestru transakcji
F. odbioru biletu	E uzysk i w. uwierzytel.	E załatwienia reklamacji

164 166 168 176 177 178

Fig. 4B Fig. 4C

780 182 183 l-----------------------------------------------------------------------------------I______________________________________________________________!

F. tworzenia uwierzytelnienia	F.„do nadrzędnego'	E rejestru transakcji
F. odbioru biletu	E potwierdzenia uwierzytelnienia	F uzyskania uwierzytelnienia

I Ί I

784 786 785

Fig. AD

179 928

F. ŁĄCZNOŚCI
F. ZARZĄDZANIA SESJĄ
F Ochrony	220 F. Zarządz Listą nie upoważ	222 F Poświadczania	224 F Załatwią ma reklamacji	F Daty/ Czasu
KRYPTOGRAFIA
F Klucza symetrycznego | F Klucza jawnego

Fig. 6B

179 928

Fig. 7A

Fig. 7B

8A

179 928

TAK

F ZARZĄDZANIA OCHRONĄ A Uaktualnij poświadczenie, listę, nieupoważnionych i listę głównych operatorów upoważnionych

286

F ZARZĄDZANIA OCHRONĄ A SPRAWDŹ,CZY a 3 RAZY

Fig. 8B

179 928

Fig. 8C

179 928

179 928

Fig. 9B

179 928

179 928

Fig. 9D

Fig. 9E

179 928

Fig. 11

179 928

179 928

426

F ZAKUPOWA A______ WYŚLIJ KOMUNIKAT DO NADRZĘDNEJ APLIKACJI TRANSAKCYJNEJ Z ZAPYTANIEM O SPOSÓB ZAPŁATY

434~ UWOLNIENIE TOWARU

F PŁATNOŚCI / REFUNDACJI NA ZASADZIE AUTORYZACJI

A*B

432

Fig. 12B

179 928

Fig. 13

179 928

F ZAKUPOWA X

ZADAJ UWIERZYTELNIENIA OD Y

444

WYSŁANIE KOMUNIKATU

X—Y i '

-446

F. ZAKUPOWA Y

-448

ODBIERZ KOMUNIKAT

V

F POSIADACZA BILETU -450 POBIERZ UWIERZYTELNIENIE

I WYŚLIJ DO X

WYSŁANIE KOMUNIKATU

-452

F ZARZĄDZANIA OCHRONĄ X WERYFIKUJ UWIERZYTELNIENIE

454

456

NIE

TAK

UWIERZYTELNIENIE

AZNE i

458

REZYGNACJA Z TRANSAKCJI

E „DO NADRZĘDNEGO WYŚLIJ INFORMACJĘ UWIERZYTELNIENIOWADO HTA DLA ZATWIERDZENIA

-460

462

NIE

ZATWIERDZONO Z

TAK

RETURN

Fig. 14

179 928

464~ F ZAKUPOWA B_____

SPRAWDŹ CZY TOWAR JEST JEDYNIE BILETEM

466

NIE

TAK

CZY

TYLKO

BILET?

GENERATOR LICZB LOSOWYCH UTWÓRZ KLUCZ LOSOWY

-494

468~ F. POSIADACZA BILETU B

F KLUCZA SYMETRYCZNEGO B ~496

UTWÓRZ BILET

ZASZYFRUJ OBIEKT ELEKTRONICZNY (EO) KLUCZEM LOSOWYM

470~.

F ZAKUPOWA B WYŚLIJ BILET DO A „ WYSŁANIE KOMUNIKATU ⁴⁷²~ B-A

474- F ZAKUPOWA A_______

ODBIERZ KOMUNIKAT I SPRAWO POPRAWNOŚĆ BILETU

F, KLUCZA JAWNEGO B ~498 SYGNUJ ZASZYFROWANY EO

POSIADACZ BILETU B -500 UTWÓRZ BILET DESZYFRACYJNY ZAWIERAJĄCY IDENTYFIKATOR OBIEKTU, KLUCZ LOSOWY.CENĘ SYGNATURĘ.POŚW WYDAWCY ITP

NIE

486~.

476

POPRAWNY ?

F ZAKUPOWA B_______

WYSYŁA ZASZYFR OBIEKT I BILET DESZYFRACYJNY DO A

-502

TAK________

E ZAKUPOWA A_______ WYŚLIJ INFORMACJĘ OBILE~ CIE DO NADRZĘDNEJ APLIKACJI TRANSAKCYJNEJ DLA ZATWIERDZENIA ZAKUPU

WYSYŁANIE KOMUNIKATU __5M B—A

F. ZAKUPOWA A

-506

ODBIERA KOMUNIKAT I PRZEKAZUJE ZASZYFR. EO DO JEDNOSTKI NADRZĘDNEJ I ZATRZ INFORMACJĘ NAGŁÓW,

F KLUCZA JAWNEGO A SPRAWDZA SYGNATURĘ ZASZYFROWANEGO EO

-508

179 928

512-.

514-

F KLUCZA SYMETRYCZNEGO A ZDESZYFRUJ NAGŁÓWEK

Z KLUCZEM LOSOWYM

F ZAKUPOWA A SPRAWDŹ TOZSAMOSC EO I BILET DESZYFRUJĄCY

516

TOZSAMOSC

POPR ?

NIE

518-

________pAK_____

F ZAKUPOWA A WYŚLIJ ZDESZYFR NAGŁÓWEK I CENĘ DO NADRZĘDNEJ APLIKACJI TRANSAKCYJNEJ DLA ZATW PRZEZ NABYWCĘ____

488

TAK

NIE

ATWIERDZONO Z

F ZAKUPOWA A

TRANSAKCJA ZAKUPOWA Z

-478

490F ZAKUPOWA A______ WYŚLIJ BILET DO POSIADACZA

49?~ POSIADACZ BILETU A ODBIERZ BILET

480

NIE

KUPIONE Z

TAK

484

REKLAMACJA PŁATNOŚCI

RETURN

REZYGNACJA Z TRANSAKCJI

-482

Fig. 15B

179 928

Fig.

16A

179 928

Fig. 16B

179 928

558~ Ε MM„DO ABONENTA X PROS O SUMĘ NALEŻNOŚCI PRZEZ WYDRUKOWANIE NOTY ____________i___________ _ς,_η_ FUNKCJA MM/TA ⁵⁰ WYSYŁANIA KOMUNIKATU X

562~

E ZAKUPOWA X______ WYŚLIJ SUMĘ PRZEZ WYDR NOTY DLA MÓD. PIENIĘŻNEGO ____________i________

564~ E ΤΑ/MM KOMUNIKATU X

566~

E MM PŁATNOŚCI/WYMIANY X ODBIERZ SUMĘ PRZEZ WYDRUKOWANIE NOTY

E MM DO ABONENTA X POPROŚ O NOWA SUMĘ PRZEZ WYDRUKOWANIE NOTY

-572

F MM WYSŁANIA KOMUNIK. X -574

F. ZAKUPOWA X

-576

600570

568~ F MM KATALOGU NOTY X SPRAWDŹ WYSTARCZ FUNDUSZY

NIE

FUNDUSZE

WYSTARCZAJĄCE

WYŚLIJ KOMUNIKAT

DLA TEJ SAMEJ SUMY PRZE!

WYDRUKOWANIE NOTY

F. ΤΑ/MM WYSŁANIA KOMUN X ~578

TAK_______

F MM PŁATNOŚĆl/WYMIANY X WYŚLIJ KOMUNIKAT O SUMIE PRZEZ WYDRUK. NOTY DLA MMY

602E WYSŁANIA KOMUNIK. TRASOW E MMX~*+1MY

580

TAK

NIE

NOWA

SUMA ?

604- F ΜΜ,,ΡΟ ABONENTA Y

POPROŚ O SPRAWDZENIE SUMY PRZEZ WYDRUKOWANIE NOTY

F MM REZYGNACJI Z TRANSAKCJI MMX-*MMY ( KOMUNIKATY TRASOWANE E)

-582

Fig. 16C

179 928

Fig. 16D

179 928

Fig. 16E

179 928

Fig. 18

658

660

662

664

666

Fig. 17

179 928

Fig. 19

179 928

692

POSIADACZ BILETU X

POBIERZ UWIERZYTEL. KARTY KREDYTOWEJ LUB K. DEBETOWEJ

Fig. 21A

179 928

|ΤΑΚ

179 928

FIG. 22

179 928

754

756

Fig. 23A

179 928

179 928

Fig. 23C

179 928

Fig. 23D

ODEBRANIE BILETU B WYŚLIJ NOWA WARTOŚĆ

WYSIANIE KOMUNIKATU B-*A

-822

824

Fig. 24

179 928

179 928

Fig. 25B

179 928

Fig. 25C

179 928

179 928

Fig.27A

179 928

Fig. 27Β

179 928

960

Fig. 28A

179 928

Fig. 28Β

179 928

Fig.29A

179 928

179 928

1048

Fig. 30A

179 928

179 928

1146

F. ZAŁATW REKLAMACJI B WYŚLIJ KOMUNIKAT.

ZE EO NIEWAŻNY

1140

NIE

WAŻNY 7

TAK

7142~ F ZAKUPOWA B

ZWERYFIKUJ EO

1080

REKLAMACJI Β

NIE

1148-

1082~

WYŚLIJ KOMUNIKAT, ŻE BILET NIEWAŻNY

WYSŁANIE KOMUNIKATU

1144

WAŻNY 7

TAK

1084- F. INICJOWANIA REKLAMACJI A

ODBIERZ KOMUNIKAT

F KLUCZA SYMETRYCZNEGO B ZDESZYFRUJ EO I WYŚLIJ DO HTB DLA SPRAWDZENIA Z INFORMACJĄ REKLAMACYJNA

1086UZNANIE REKLAMACJI

750“

HTB

OKREŚL CZY EO JEST WADLIWY NA PODSTAWIE ZAŻALENIA KLIENTA

7752

TAK

WADLIWY ?

NIE

7154- F ZAŁATWIENIA REKLAMACJI B WYŚLIJ KOMUNIKAT ŻE EO NIE JEST WADLIWY

Fig. 30C

179 928

ΗΤΒ .-7096

WYŚLIJ KOMUNIKAT 00 HTA ZZAPYTANIEM KLIENTA O ROZWIĄZANIE

ΗΤΑ

KLIENT WYBIERA ZWROT P1E~ NIĘDZY LUB NOWY TOWAR

700

TAK

NIE

ZWROT

PIENIĘDZY

-7098

702

Fig. 30D

Fig. 30E

179 928

Fig. 31

Fig. 32

179 928

Fig. 33B

179 928

1184

OPERATOR OCHRONY

1202

1204

SIEĆ LAN

PRODUKCJI MOD

SIEĆ LAN PRODUKCJI OPERAT OCHRONY

OPERATOR OCHRONY

-1184

GŁÓWNY OPERATOR -7782

OCHRONY

SIEC OCHRONY

1198

1206

OPERATOR OCHRONY 7784

SIEC EMS

7200

7786

PIENIĘŻNY MODUŁ

TRANSAKCYJNY

BANKOWA

SIEC LAN

1196

1194

GŁÓWNY OPERATOR OCHRONY

SIEC LAN

OCHRONY

MODUŁ

GENERACJI 7790

PIENIĘDZY

1182

MODUŁ OBSŁUGI

KLIENTA

-7792

PIENIĘŻNY MODUŁ KASOWY

-7 788

Fig. 34

179 928

1208

I

INTERFEJS ZEWNĘTRZNY
	EZARZĄDZANIA SESJĄ	7270
SYGNOWANIE SIECIOWE 1212	TWORZENIE UWiERZYTEL j RACHUNKU 1214 | 1216	ROZPROWADŹ. KLUCZY POŚWIADCZEŃ 1218	-STERÓW LISTĄ IDENTYFIKAT NIEPOPRAWNYCH 7220	SYNCHRONIZACJA DATY/CZASU 1222
		1226
ZEGAR/BLOK CZASOWY	KLUCZ JAWNY	KLUCZ SYMETRYCZNY	GENERATOR L. LOSOWYCH

1224

1228

I

.INTERFEJS ZEWNĘTRZNY
E ZARZĄDZANIA SESJĄ TELEKOMUNIKACYJNĄ 7230
SYGNOWANIE SIECIOWE	KOMUNIKAT TRASOWANIA	USŁUGI KIERÓW BEZPOŚREDNIO DO BANKU	KRYPTOGRA	IA 1238
KLUCZ SYMETRYCZNY	GENERATOR LICZB LOSOWYCH

I I I I 1

1232 1234 1236 1240 1242

Fig. 35B

179 928 (d)

Fig. 36

179 928

Fig. 37A

179 928

Fig. 37B

179 928

1?08 ψΤΑΚ F. ZAPEWNIENIA OCHRONY A SPR CZY IDENTYF. OPERATORA OCHR. JEST NA LIŚCIE NIEPOPR 73 70 χ I. <^NALIŚC IE^^>——-— W2 ψ^Ε GENERATOR LICZB LOSOWYCH A UTWO'RZ LICZBĘ LOSOWĄ R(A) i F. ZAPEWNIENIA OCHRONY A - UTWÓRZ 1 ZAPAMIĘTAJ KLUCZ SESJI (MM/SS) PRZEZ WYKO- NANIE R(A)X0RR 1 ZESTAW KOMUNIKAT Z KOMUNIKATEM KONTROL 1 R(A) i F KLUCZA JAWNEGO A - ZASZYFRUJ KOMUNIKAT KONTROLNY 1 R(A) KLUCZEM JAWNYM OPERATORA OCHRONY

1302 NIE <TRANSAKCYJNY ----------------- 130^ Jmk _________ 1306 DO ABONENTA A_________ DO BANKU A_______ WYŚLIJ KOMUNIKAT WYŚLIJ KOMUNIKAT 0 ZAKOŃCZENIU TRANSAKCJI 0 ZAKOŃCZENIU TRANSAKCJI (E^) 1314 1316

179 928

Fig. 370

179 928

Fig. 37E

179 928

179 928

179 928

179 928

179 928

1404- E ZARZĄDZANIA SESJĄ A

FZARZ SESJĄ A WYŚLIJ KOMUNIKAT „NIEWAŻNE POŚWIADCZ. I POŚWIADCZ DO OPER OCHR.

-1412

ODBIERZ KOMUNIKAT

SYGNOWANIE SIECIOWE SS -1414

ODBIERZ KOMUNIKAT

1406~ F- ZAPEWNIENIA OCHRONY A

WERYFIKUJ POŚWIADCZENIE

—.......

1408- E KLUCZA JAWNEGO A WERYFIKUJ SYGNATURĘ

1410

NIE

WAŻNA ?

TAK

1434- F ZARZĄDZANIA SIECIĄ A

WYŚLIJ POTWIERDZENIE DO OPERATORA OCHR

-1416

1418

F. KLUCZA JAWNEGO SS WERYFIKUJ SYGNATURĘ

POŚWIADCZENIE

WAŻNE

TAK

F ZARZ SESJĄ SS WYŚLIJ KOMUNIKAT DO OPERATORA SIECIOW „ODŁĄCZ OD SIECI

-1420

SYGNOWANIE SIECIOWE NS -1422 WYŚLIJ KOMUNIKAT O NIESPRAWNOŚCI DO MODUŁU t

FZARZ SESJĄ A

-1424

ODBIERZ KOMUNIKAT

1432- F „DO BANKU-Ą

ZADAJ PONOWIENIA PRÓBY

1426

TRANSAKCYJNY

MM 1

NIE

TAK

F „DO ABONENTA A POPROŚ ABONENTAOPOWT PRÓBY

-1428

TAK

1430

POWTÓRZYĆ

END

Fig. 37J

179 928

179 928

1484

TAK

WAŻNE ?

POŚWIADCZ.

1494

E ZAPEWNIENIA OCHRONY B SPR CZY A JEST NA LIŚCIE NIEPOPRAWNYCH IDENTYF.

1498

1496

NIE

TAK

A JEST NA UŚCIE

F. ZARZ SESJA B-7486 ODNOTUJ ZAKOŃCZENIE SESJI

E GENERATORA

LICZB LOSOWYCH B UTWÓRZ L LOSOWĄ R(B) I KOMUNIKAT

KONTROLNY B

1490

1488

TAK

TRANSAKCYJNY

MM r

1492

E„DO BANKU' B WYSUJ KOMUNIKAT OZAKOŃCZENIU SESJI

...... TFZEGARA/BLOKU CZASÓW B POBIERZ CZAS I DATĘ I WYŚLIJ DO E ZAPEWNIENIA OCHRONY

F„DO ABONENTA B WYŚLIJ KOMUNIKAT O ZAKOŃCZENIU TRANSAKCJI

END

-1500

E ZAPEWNIENIA OCHRONY B ZESTAW R(B), KOMUNIKAT KONTROL B.CZASIDATĘ ORAZ POŚWIAD B

W KOMUNIKAT

-1502

END

F KLUCZA JAWNEGO B -1504

ZDESZYFRUJ TEN KOMUNIKAT KLUCZEM JAWNYM A

F. ZARZ.SESJĄ B-1506 WYŚLIJ ZASZYFROWANY KOMUNIKAT DO A

179 928

F ZARZ. SESJĄ A

OOBIERZ KOMUNIKAT

-1508

F KLUCZA JAWNEGO A - 7570

ZDESZYFRUJ KOMUNIKAT

179 928

179 928

F ZAPEWNIENIA OCHRONY A -7560 SPR.KOMUNIKAT KONTROLNYA

Fig. 38E

179 928

KATALOG NOT X	-7566
WYBIERZ ΝΟΤΕ (NOTY) 1 WARTOŚCI DÓ PRZEKAZ
i
NOTY X	-7568
UTWÓRZ TRANSFER DLA KAŻDEJ NOTY
i
F KLUCZA JAWNEGO X	-1570
UTWÓRZ SYGNATURY DLA NOT(NOTY)
i
F ZARZĄDZANIA PAKIETEM X	-1572
ZEST.NOTY (NOTĘ), PRZEKAZY (PRZEKAZ) SYGNATURYlSiG NATURĘ) W PAKIET 1 WYŚLIJ DO Y
t
WYSŁANIE KOMUNIKATU X-^Y	-1574
Ϋ
F ZARZ. PAKIETEM Y	-1576
ODBIERZ PAKIET 1 ROZMONTUJ
WERYFIKATOR Y	-1578
ZWERYFIKUJ POŚWIAD ,ZWE RYFIKUJ TRANSF DO POŚWIAD ORAZ OGÓLNĄ WYS. SUMY

Fig. 39Α

179 928

1594

-1600

1598

Fig. 39B

179 928

A PRZYSTAJE NA WYM

Z B DOLARÓW NA FUNTY -1602

	PO KURSIE: P
	.......... 1
i		___________________i___________________,
A SYGNUJE MODUŁ PIENIĘŻNY	-1604 1606-	_ B SYGNUJE MODUŁ PIENIĘŻNY
Ϋ		____________V _________
F...DO ABONENTA A	-1608 1610-	- F „DO ABONENTA B
PROPONUJ TRANSAKCJĘ		PROPONUJ TRANSAKCJĘ
V		7
A WYBIERA ZAKUP OBCEJ WALUTY	-1612 1614-	B WYBIERA SPRZEDAŻ OBCEJ WALUTY
V		____L____
F. ZARZ. SESJĄ A	-1616 1618'	- F. ZARZĄDZAŃIA SESJĄ B
NAWIĄZ POŁĄCZENIE		NAWIĄZ POŁĄCZENIE
I__________________________________________		______J
	V
	INICJUJ SESJĘ - A-B	1620
	1
	E..DO ABONENTA A	-1622

ZAPROPONUJ SUMĘ PRZEZ WYDRUKOWANIE ZNAKU $

E PŁATN0SC1/WYMIANYA -1624 ODBIERZWYS. SUMY

PRZEZ WYDRUKOWANIE NOTY

KATALOG NOT A-1626 SPR. WYSTARCZANIE FUND.

1636

TAK

F PŁATNOŚCI/WYMIANY A PRZEŚLIJ ILOŚĆ 1 PRZEZ WYDRUKOWANIE NOTY DO B

FUND

NIE

F.„DO ABONENTA'' A POPROŚ O NOWĄSUMĘ PRZEZ WYDRUKOWANIE NOTY

1628

1632

1634

NIE

NOWA

ILOŚĆ ?

REZYGNACJA Z TRANSAKCJI

ENu

Fig. 40A

179 928

Fig. 40B

179 928

Fig. 40C

179 928

179 928

Fig. 41

179 928

Fig. 42A

179 928

Fig. 42B

179 928

1788 _J___________,______________________

F PŁATNOŚCI/WYMIANY A

WYŚLIJ KOMUNIKAT 0 NIEPOPRAWNOŚCI SUMY

1798

ODBIERZ SUMY NALEŻNOŚCI

PRZEZ WYDRUKOWANIE NOTY

Fig. 43B

179 928

Fig. 43A

179 928

Fig. 43C

Fig. 44A

179 928

Departament Wydawnictw UP RP. Nakład 70 egz. Cena 6,00 zł.

Claims (8)

1. Zastrzeżenia patentowe

   1. Sposób otwartego handlu elektronicznego, w którym wymienia się towary elektroniczne i pieniądze elektroniczne, z wykorzystaniem elektronicznego upoważnionego agenta oraz modułu pieniężnego i utworzeniem zabezpieczonego środowiska transakcyjnego zarówno dla nabywcy, jak i sprzedawcy elektronicznych towarów i usług, znamienny tym, że stosuje się zabezpieczonego przed manipulacją przez osoby niepowołane upoważnionego agenta klienta oraz zabezpieczonego przed manipulacjąprzez osoby niepowołane upoważnionego agenta sprzedawcy do przeprowadzenia transakcji płatniczej na zasadzie autoryzacji, przy czym inicjalizuje się kryptograficznie zabezpieczoną sesję pomiędzy upoważnionym agentem klienta i upoważnionym agentem sprzedawcy, przeprowadza się wymianę cyfrowo oznakowanych sygnatur upoważnionego agenta, zawierających identyfikator upoważnionego agenta, pomiędzy upoważnionym agentem klienta i upoważnionym agentem sprzedawcy, następnie przekazuje, się towar elektroniczny od upoważnionego agenta sprzedawcy do upoważnionego agenta klienta, poprzez kryptograficznie zabezpieczoną sesję, przy czym upoważniony agent klienta tymczasowo zatrzymuje ten towar elektroniczny, po czym przeprowadza się weryfikację towaru elektronicznego przez upoważnionego agenta klienta, następnie w zabezpieczonej kryptograficznie sesji przekazuje się uwierzytelnienie płatnicze od upoważnionego agenta klienta do upoważnionego agenta sprzedawcy, które to uwierzytelnienie płatnicze obejmuje odebrany identyfikator upoważnionego agenta, ponadto za pomocą upoważnionego agenta sprzedawcy weryfikuje się uwierzytelnienie płatnicze, porównując identyfikator upoważnionego agenta spośród sygnatur upoważnionych agentów klienta z odebranym identyfikatorem upoważnionego agenta, za pomocą upoważnionego agenta sprzedawcy przesyła się uwierzytelnienie płatnicze oraz cenę przyporządkowaną towarowi elektronicznemu, do sieci autoryzacyjnej, dla autoryzacji płatniczej, następnie za pomocą upoważnionego agenta sprzedawcy odbiera się autoiyzację płatniczą po czym w zabezpieczonej kryptograficznie sesji, za pomocą upoważnionego agenta sprzedawcy wysyła się komunikat o autoryzacji płatności do upoważnionego agenta klienta i wyraża się zgodę na transakcję płatności na zasadzie autoryzacji, a ponadto za pomocąupoważnionego agenta klienta wyraża się zgodę na transakcję na zasadzie płatności autoryzowanej, po czym zatrzymanie towaru elektronicznego przestaje być tymczasowe.
2. 2. Sposób według zastrz. 1, znamienny tym, że za pomocąupoważnionych agentów klienta i sprzedawcy zapisuje się informację rej estrową transakcji, przy czym tę informację rejestrową utrzymuje się po etapach wyrażenia zgody jako nie-tymczasową.
3. 3. Sposób według zastrz. 2, znamienny tym, że jako towar elektroniczny stosuje się bilet.
4. 4. Sposób według zastrz. 3, znamienny tym, że informacja rejestrowa upoważnionego agenta klienta zawiera informację o bilecie i dane płatnościowe.
5. 5. Sposób według zastrz. 1, znamienny tym, że jako towar elektroniczny stosuje się bilet deszyfracyjny zatrzymany tymczasowo przez upoważnionego agenta klienta, po przekazaniu, a zaszyfrowany obiekt elektroniczny przechowuje się poza upoważnionym agentem sprzedawcy i deszyfruje się za pomocą biletu deszyfracyjnego.
6. 6. Sposób według zastrz. 1, znamienny tym, że po etapie inicjalizacji za pomocąupoważnionego agenta sprzedawcy wysyła się uwierzytelnienie sprzedawcy do upoważnionego agenta klienta, w zabezpieczonej kryptograficznie sesji, a za pomocąupoważnionego agenta klienta przetwarza się uwierzytelnienie sprzedawcy dla zweryfikowania tego uwierzytelnienia sprzedawcy.
7. 7. Sposób otwartego handlu elektronicznego, w którym wymienia się towary elektroniczne i pieniądze elektroniczne, z wykorzystaniem elektronicznego upoważnionego agenta oraz modułu pieniężnego i utworzeniem zabezpieczonego środowiska transakcyjnego zarówno dla nabywcy, jak i sprzedawcy elektronicznych towarów i usług, znamienny tym, że transakcje płatnicze realizuje się na zasadzie identyfikacji z wykorzystaniem urządzeń zabezpieczonych przed

   179 928 manipulacją przez osoby niepowołane, w tym pierwszego upoważnionego agenta elektronicznego, pierwszego modułu pieniężnego, drugiego upoważnionego agenta elektronicznego i drugiego modułu pieniężnego, przy czym inicjalizuje się zabezpieczoną kryptograficznie sesję pomiędzy pierwszym upoważnionym agentem i drugim upoważnionym agentem, następnie w tej zabezpieczonej kryptograficznie sesji, za pomocą drugiego upoważnionego agenta przesyła się uwierzytelnienie drugiego upoważnionego agenta do pierwszego upoważnionego agenta, po czym za pomocą pierwszego upoważnionego agenta weryfikuje się uwierzytelnienie drugiego upoważnionego agenta i tymczasowo zatrzymuje się to upoważnienie, następnie za pomocą pierwszego upoważnionego agenta wysyła się komunikat płatności do drugiego upoważnionego agenta, w zabezpieczonej kryptograficznie sesji, po czym za pomocąpierwszego upoważnionego agenta inicjuje się płatność elektronicznymi pieniędzmi z pierwszego modułu pieniężnego do drugiego modułu pieniężnego, w ilości zgodnej z komunikatem płatności, następnie za pomocąpierwszego upoważnionego agenta wyraża się zgodę po otrzymaniu komunikatu o przyjętej płatności od pierwszego modułu pieniężnego, po czym za pomocąpierwszego upoważnionego agenta utrzymuje się w sposób nie-tymczasowy informację rejestrową włącznie z uwierzytelnieniem drugiego upoważnionego agenta i danymi dotyczącymi komunikatu płatności, a następnie za pomocą drugiego upoważnionego agenta wyraża się zgodę po otrzymaniu komunikatu o przyjętej płatności od drugiego modułu pieniężnego.
8. 8. Sposób według zastrz. 7, znamienny tym, że za pomocąpierwszego upoważnionego agenta wysyła się komunikat do drugiego upoważnionego agenta z zapytaniem, czy żądane jest uwierzytelnienie pierwszego upoważnionego agenta, następnie za pomocąpierwszego upoważnionego agenta wysyła się uwierzytelnienie pierwszego upoważnionego agenta do drugiego upoważnionego agenta, w pierwszej zabezpieczonej kryptograficznie sesji, po czym za pomocą drugiego upoważnionego agenta weryfikuje się uwierzytelnienie pierwszego upoważnionego agenta.

   * * *