WO2014206660A1 - Electronic transaction method and computer system - Google Patents

Electronic transaction method and computer system Download PDF

Info

Publication number
WO2014206660A1
WO2014206660A1 PCT/EP2014/060576 EP2014060576W WO2014206660A1 WO 2014206660 A1 WO2014206660 A1 WO 2014206660A1 EP 2014060576 W EP2014060576 W EP 2014060576W WO 2014206660 A1 WO2014206660 A1 WO 2014206660A1
Authority
WO
WIPO (PCT)
Prior art keywords
computer system
session
request
user
token
Prior art date
Application number
PCT/EP2014/060576
Other languages
German (de)
French (fr)
Inventor
Frank Dietrich
Manfred Paeschke
Original Assignee
Bundesdruckerei Gmbh
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Bundesdruckerei Gmbh filed Critical Bundesdruckerei Gmbh
Priority to EP14725701.8A priority Critical patent/EP3014539A1/en
Publication of WO2014206660A1 publication Critical patent/WO2014206660A1/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/18—Payment architectures involving self-service terminals [SST], vending machines, kiosks or multimedia terminals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G06Q20/3276—Short range or proximity payments by means of M-devices using a pictured code, e.g. barcode or QR-code, being read by the M-device
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G06Q20/3278—RFID or NFC payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G06Q20/40145—Biometric identity checks

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Physics & Mathematics (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Finance (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Computer And Data Communications (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

The invention relates to an electronic transaction method using an ID token (106) that is associated with a user (102), wherein the ID token has an electronic memory (118) with a protected memory area (124) that stores one or more attributes, wherein access to the protected memory area is possible only via a processor (128) of the ID token, and wherein the ID token has a communication interface (108) for communication with a reader of a user computer system (100), having the following steps: set-up of a first session (201) between an application program (112), particularly an Internet browser of the user computer system, and a service computer system (150) via a network (116), – reception of a transaction request (158) concerning the first session from the application program (112) by the service computer system, – production of a request (166) by the service computer system on the basis of the reception of the transaction request, the request being signed by the service computer system and the request containing attribute specification, for the attributes that are to be read from the ID token for performing the transaction, transaction data for specifying the transaction, an identifier (180) of the request, a URL of an ID provider computer system and a URL of the service computer system, – transmission of a web page (160) and of the request concerning the first session from the service computer system to the user computer system, the web page having an input field (162) for the input of supplementary information (168) for performing the transaction, – display of the web page by the application program and input of the supplementary information into the input field by the user, – set-up of a second session (202) between the application program (112) and the ID provider computer system via the network using the URL of the ID provider computer system, the second session being set up with a secure transport layer, – forwarding of the request and of the supplementary information from the application program to the ID provider computer system via the second session, – on the basis of reception of the request, production of a session ID for a third session (203) by the ID provider computer system and storage of the request and of the supplementary information by the ID provider computer system, – transmission of a message from the ID provider computer system to the application program (112) with the session ID of the third session and a logical address, particularly a URL, via the second session, – set-up of the third session between a program (113) of the user computer system and the ID provider computer system via the secure transport layer of the second session, the program being able to be different from the application program (112), – transmission of at least one certificate (144) from the ID provider computer system to the program (113), the certificate containing a statement of reading rights for the ID provider computer system to read one or more of the attributes stored in the ID token, with the certificate being transmitted via the third session, – checking by the program (113) to determine whether the reading rights indicated on the certificate are sufficient to permit read access by the ID provider computer system to the attribute(s) to be read on the basis of the attribute specification, – production of a response (174) that contains the read attribute(s) and at least the identifier (180) of the request, and that is signed by the ID provider computer system, – storage of the response for retrieval using the logical address, – reading of the response from the ID provider computer system by the user computer system by retrieving the response from the logical address via the network by means of a read command , – forwarding of the response to the service computer system by the user computer system via the first session, – association of the response with the request by the service computer system using the identifier that the response contains, – performance of the transaction by the ID provider computer system using the response.

Description

Elektronisches Transaktionsverfahren und Computersystem  Electronic transaction procedure and computer system
B e s c h r e i b u n g Description
Die Erfindung betrifft ein elektronisches Transaktionsverfahren sowie ein Computer- System. The invention relates to an electronic transaction method and a computer system.
Für den elektronischen Handel, das heißt den sogenannten eCommerce, sind verschiedene Transaktionsverfahren bekannt. Dazu gehören übliche Zahiungsverfah- ren wie zum Beispiel eine papiergebundenen Überweisung oder die Zahlung per Nachnahme sowie elektronische Zahlungsverfahren, wie zum Beispiel Kreditkartenzahlung, die Zahlung per Online-Banking, Inkasso/Billing-Systeme, Factory- Systeme, elektronische Lastschrift, Prepaidverfahren, Zahlung per Telefonrechnung sowie Handy-Payment-Systeme. Solche Zahlungsverfahren werden zum Teil auch für eGovernment Anwendungen eingesetzt. For electronic commerce, ie the so-called eCommerce, various transaction methods are known. These include usual payment procedures such as a paper-based transfer or cash on delivery, as well as electronic payment methods such as credit card payment, online banking payment, debt collection / billing systems, factory systems, electronic direct debit, prepaid, payment by phone bill as well as mobile payment systems. Such payment methods are also used in part for eGovernment applications.
Der Erfindung liegt demgegenüber die Aufgabe zugrunde, ein verbessertes elektro- nisches Transaktionsverfahren sowie ein entsprechendes Computersystem zu schaffen. The invention is based on the object to provide an improved electronic transaction process and a corresponding computer system.
Die der Erfindung zugrunde liegende Aufgabe wird jeweils mit den Merkmalen der unabhängigen Patentansprüche erfüllt. Ausführungsformen der Erfindung sind in den abhängigen Patentansprüchen angegeben. The object underlying the invention is fulfilled in each case with the features of the independent claims. Embodiments of the invention are indicated in the dependent claims.
Unter einer„Transaktion" wird hier eine finanzielle Transaktion, wie zum Beispiel die Bezahlung eines Bezahlbetrags durch Vornahme einer Überweisung, eines Last- schrifteinzugs oder Belastung einer Kreditkarte, ein Bestellvorgang zur Bestellung und Lieferung eines physischen Gutes oder von Daten sowie andere logistische, Handels- und/oder Finanztransaktionen verstanden. A "transaction" here means a financial transaction, such as the payment of a payment by making a transfer, a direct debit or credit card debit, an ordering process for ordering and delivering a physical good or data, and other logistical, commercial and / or financial transactions.
Unter einer„Session" wird hier eine temporäre Kommunikationsverbindung, das heißt eine sog. Communication Session, verstanden, die sich gemäß OSI- Schichtmodell auf die Transportschicht („transport layer") oder die Anwendungsschicht („application layer") beziehen kann. Insbesondere kann es sich bei einer Session um eine http-Session oder um eine https-Session handeln, wobei bei letzterer der Transportlayer durch eine symmetrische Verschlüsselung geschützt ist. Unter einem„ID-Token" wird hier insbesondere ein tragbares elektronisches Gerät verstanden, welches zumindest einen Datenspeicher zur Speicherung des zumindest einen Attributs und eine Kommunikations-Schnittstelle zum Auslesen des Attributs aufweist. Vorzugsweise hat der ID-Token einen gesicherten Speicherbereich zur Speicherung des zumindest einen Attributs, um zu verhindern, dass das in dem Speicherbereich gespeicherte Attribut in unerlaubter Weise verändert oder ohne die dafür erforderliche Berechtigung ausgelesen wird. A "session" here means a temporary communication connection, that is to say a so-called communication session, which according to the OSI layer model can refer to the transport layer ("transport layer") or the application layer ("application layer") a session is an http session or an https session, in which case the transport layer is protected by symmetrical encryption, an "ID token" being understood here to mean, in particular, a portable electronic device which has at least one data memory for storing the at least one attribute and a communication interface for reading out the attribute. The ID token preferably has a secure memory area for storing the at least one attribute in order to prevent the attribute stored in the memory area from being altered in an unauthorized manner or read out without the authorization required for this purpose.
Insbesondere kann es sich bei dem ID-Token um einen USB-Stick handeln oder ein Dokument, insbesondere ein Wert- oder Sicherheitsdokument. Unter einem„Doku- menf werden erfindungsgemäß papierbasierte und/oder kunststoff basierte Dokumente verstanden, wie zum Beispiel elektronische Ausweisdokumente, insbesondere Reisepässe, Personalausweise, Visa sowie Führerscheine, Fahrzeugscheine, Fahrzeugbriefe, Firmenausweise, Gesundheitskarten oder andere ID-Dokumente sowie auch Chipkarten, Zahlungsmittel, insbesondere Banknoten, Bankkarten und Kreditkarten, Frachtbriefe oder sonstige Berechtigungsnachweise, in die ein Datenspeicher zur Speicherung des zumindest einen Attributs integriert ist. In particular, the ID token can be a USB stick or a document, in particular a value or security document. Under a "documentary According to the invention, menf are understood as meaning paper-based and / or plastic-based documents, such as electronic identity documents, in particular passports, ID cards, visas and driver's licenses, vehicle registration documents, vehicle registration documents, company ID cards, health cards or other ID documents as well as chip cards, means of payment, in particular banknotes, bank cards and Credit cards, bills of lading or other credentials in which a data store for storing the at least one attribute is integrated.
Bei dem ID-Token kann es sich um einen Hardwaretoken handeln oder um einen Softtoken, wenn dieser kryptograftsch an einen Hardwaretoken, das heißt beispielsweise an ein sogenanntes Secure Element, gebunden ist. insbesondere kann ein solcher kryptografisch an ein Secure Element gebundener Softtoken gemäß DE 10 2011 082 101 , deren Offenbarungsgehalt voll umfänglich zum Offenbarungsgehalt der vorliegenden Patentanmeldung gemacht wird, erzeugt werden. The ID token can be a hardware token or a soft token if it is cryptographically bound to a hardware token, that is, for example, to a so-called secure element. In particular, such a cryptographically bound to a secure element soft token according to DE 10 2011 082 101, the disclosure of which is fully made to the full extent of the disclosure of the present patent application, generated.
Unter einem„I D-Provider-Computersystem" wird hier ein Computersystem verstanden, welches dazu ausgebildet ist, zumindest ein Attribut aus dem ID-Token eines Nutzers auszulesen. Vorzugsweise wird das ID-Provider-Computersystem in einem sogenannten Trustcenter betrieben, um ein möglichst hohes Maß an Sicherheit zu schaffen. An "I D provider computer system" is understood here to mean a computer system which is designed to read out at least one attribute from the ID token of a user, Preferably, the ID provider computer system is operated in a so-called trust center in order to maximize one to create a high level of security.
Unter einem„Dienst-Computersystem" wird hier ein Computersystem verstanden, welches über eine Netzwerk-Schnittstelle zur Verbindung mit dem Netzwerk verfügt, sodass mithilfe eines Internetbrowsers oder eines anderen Anwendungsprogramms auf von dem Dienst-Computersystem gespeicherte oder generierte Internetseiten zugegriffen werden kann. Insbesondere kann es sich bei dem Dienst- Computersystem um einen Internetserver zur Verfügungsteliung einer eCommerce- oder eGovernment-Anwendung handeln, insbesondere einen Onlineshop oder einen Behördenserver. A "service computer system" is understood here to mean a computer system which has a network interface for connection to the network, so that an internet browser or another application program can be used to access web pages stored or generated by the service computer system the service computer system is an Internet server providing an e-commerce or e-government application, in particular an online shop or a government server.
Unter einem„Nutzer-Computersystem" wird hier ein Computersystem verstanden, auf welches der Nutzer Zugriff hat. Hierbei kann es sich zum Beispiel um einen Per- sonal Computer (PC), ein Tablet PC oder ein Mobilfunkgerät, insbesondere ein Smartphone, mit einem üblichen Internetbrowser wie zum Beispiel Microsoft Internet Explorer, Safari, Google Chrome, Firefox oder einem anderen Anwendungsprogramm zum Zugriff auf das Dienst-Computersystem handeln. Das Nutzer- Computersystem hat eine Schnittstelle zur Verbindung mit dem Netzwerk, wobei es sich bei dem Netzwerk um ein privates oder öffentliches Netzwerk handeln kann, insbesondere das Internet. A "user computer system" is understood here as a computer system to which the user has access. a personal computer (PC), a tablet PC or a mobile device, in particular a smartphone, with a conventional Internet browser such as Microsoft Internet Explorer, Safari, Google Chrome, Firefox or any other application program to access the service computer system act. The user computer system has an interface for connection to the network, wherein the network may be a private or public network, in particular the Internet.
Nach einer Ausführungsform der Erfindung handelt es sich bei der Anforderung des Dienst-Computersystems um einen SAML-Request und bei der Antwort des ID- Provider-Computersystems hierauf um eine SAML-Response (vgl. Security Asserti- on Markup Language (SAML) V2.0 Technicai Overview, OASIS, Committee Draft 02, 25. März 2008). Nach Ausführungsformen der Erfindung wird der Request von dem Dienst- Computersystem über das Nutzer-Computersystem an das I D-Provider- Computersystem übertragen. Aufgrund des Empfangs des Request durch das Nutzer-Computersystem wird der weitere Ablauf zur Erzeugung der Response, einschließlich der Authentisierung des Nutzers und des I D-Provider-Computersystems, ausgelöst. According to one embodiment of the invention, the request of the service computer system is a SAML request and the response of the ID provider computer system to this is a SAML response (see Security Assurance Markup Language (SAML) V2. 0 Technicai Overview, OASIS, Committee Draft 02, March 25, 2008). According to embodiments of the invention, the request is transmitted from the service computer system via the user computer system to the I D provider computer system. Due to the receipt of the request by the user computer system, the further process for generating the response, including the authentication of the user and the I D provider computer system, is triggered.
Nach einer Ausführungsform der Erfindung hat das 1 D-Provider-Computersystem ein Zertifikat, in dem die Leserechte für die Durchführung des Lesezugriffs spezifi- ziert sind. According to one embodiment of the invention, the 1D provider computer system has a certificate in which the read rights for the execution of the read access are specified.
Unter einem„Zertifikat" wird hier ein digitales Zertifikat verstanden, welches auch als Public-Key-Zertifikat bezeichnet wird. Bei einem Zertifikat handelt es sich um strukturierte Daten, die dazu dienen, einen öffentlichen Schlüssel eines asymmetri- sehen Kryptosystems einer Identität, wie zum Beispiel einer Person oder einer Vorrichtung, zuzuordnen. Beispielsweise kann das Zertifikat dem Standard X.509 oder einem anderen Standard entsprechen. Vorzugsweise handelt es sich bei dem Zertifikat um ein Card Verifiable Certificate (CVC). In dem Zertifikat kann spezifiziert sein, für welches Attribut oder welche Attribute des Nutzers, die in dem geschützten Speicherbereich des ID-Tokens gespeichert sind, das I D-Provider-Computersystem zur Durchführung des Lesezugriffs berechtigt ist. Bei diesen Attributen kann es sich um persönliche Attribute des Nutzers handein, wie zum Beispiel seinen Namen, Wohnort und sein Alter, Diese Attribute können in ihrer Kombination als Nutzererkennung verwendet werden, um auf die Bezahlinformation des registrierten Nutzers zuzugreifen. Alternativ oder zusätzlich kann auch ein Pseudonym des Nutzers, welches zumindest temporär von dem ID- Token gespeichert wird, als Nutzerkennung verwendet werden. A "certificate" is understood here as a digital certificate, which is also referred to as a public-key certificate, which is a structured data that serves to identify a public key of an asymmetric cryptosystem of an identity, such as Example of a person or device to assign, for example, the certificate may conform to standard X.509 or another standard, preferably the card verification certificate (CVC). The certificate may specify for which attribute or attributes of the user stored in the protected memory area of the ID token the I D provider computer system is authorized to perform the read access. These attributes may be personal attributes of the user, such as his name, place of residence and age. These attributes may be used in their combination as user recognition to access the payment information of the registered user. Alternatively or additionally, a pseudonym of the user, which is stored at least temporarily by the ID token, can also be used as the user identifier.
Ausführungsformen der Erfindung sind besonders vorteilhaft, da ein universell für eCommerce- und eGovernment-Anwendungen geeignetes computerimplementiertes Bezahlverfahren geschaffen wird, welches gleichzeitig flexibel, bequem in der Handhabung und sicher ist. Dies wird insbesondere dadurch ermöglicht, dass das Bezahlverfahren auf einem ID-Token basiert, wobei Voraussetzung für die Durchführung eines Bezahlvorgangs sowohl die Authentifizierung des Nutzers gegenüber dem ID-Token als auch die Authentifizierung des I D-Provider-Computersystems gegenüber dem ID-Token ist. Nach Ausführungsformen der Erfindung wird zunächst eine erste Session zwischen dem Internetbrowser des Nutzer-Computersystems und dem Dienst- Computersystem über das Internet aufgebaut, wobei es sich bei der ersten Session um eine http-Session oder eine https-Session handeln kann. Der Nutzer kann eine Transaktionsanforderung in den Internetbrowser eingeben, beispielsweise zur Ver- anlassung eines Bezahlvorgangs. Beispielsweise hat der Nutzer zuvor über das Dienst-Computersystem eine Ware bestellt und möchte diese bestellte Ware bezahlen, wozu der Nutzer die entsprechende Transaktionsanforderung in den Internetbrowser eingibt, welche an das Dienst-Computersystem über die erste Session übertragen wird. Embodiments of the invention are particularly advantageous in providing a universally applicable computer-implemented payment method suitable for e-commerce and e-government applications, which is flexible, convenient, and secure at the same time. This is made possible, in particular, by the fact that the payment method is based on an ID token, whereby the prerequisite for carrying out a payment transaction is both the authentication of the user to the ID token and the authentication of the I D provider computer system to the ID token , According to embodiments of the invention, a first session is first established between the Internet browser of the user computer system and the service computer system via the Internet, wherein the first session may be an http session or an https session. The user can enter a transaction request in the Internet browser, for example, to initiate a payment process. For example, the user has previously ordered a product via the service computer system and would like to pay for this ordered product, for which purpose the user enters the corresponding transaction request in the internet browser, which is transmitted to the service computer system via the first session.
Das Dienst-Computersystem erzeugt daraufhin eine Anforderung, d.h. einen Requ- est eines Request-Response Protokolls. Der Request kann eine vordefinierte oder standardisierte Struktur haben. Beispielsweise kann der Request textbasiert sein, eine XML, ASN.1 oder binär-Struktur aufweisen oder als SAML-Request ausgebil- det sein. Der Request, beispielsweise also der SAML-Request, beinhaltet eine Attributspezifikation, welche die aus dem ID-Token für die Durchführung der Transaktion auszulesenden Attribute spezifiziert. Hierbei kann es sich um Attribute handeln, welche den Nutzer, der dem ID-Token zugeordnet ist, identifizieren und/oder die eine Bezahlinformation angeben, wie zum Beispiel eine Kontoverbindung oder Kreditkarteninformationen, und/oder Attribute, welche den ID-Token selbst betreffen, wie zum Beispiel dessen Gültigkeitsdauer, Ausstellungsdatum und/oder die ausstellende Organisation oder Behörde. Insbesondere kann die Attributspezifikation das Geburtsdatum des Nutzers beinhalten, falls zum Beispiel die Volljährigkeit des Nutzers als Voraussetzung für die Durchführung der Transaktion von dem Dienst-Computersystem zu prüfen ist. Der Request beinhaltet ferner Transaktionsdaten zur Spezifizierung der Transaktion, das heißt zum Beispiel einen Bezahlbetrag sowie Kontoinformationen, insbesondere die Kontoverbindung des Dienst-Computersystems, auf weiche die Zahlung zu leisten ist. Ferner beinhaltet der Request einen Uniform Ressource Locator (URL) des I D-Provider-Computersystems, welches die Attribute aus dem ID-Token auslesen soll, sowie eine URL des Dienst-Computersystems zur Angabe eines Empfängers für die Response, die aufgrund der Request von dem ID-Provider-Computersystem zu generieren ist. The service computer system then generates a request, ie a request-response protocol request. The request can have a predefined or standardized structure. For example, the request can be text-based, have an XML, ASN.1 or binary structure, or can be configured as a SAML request. to be. The request, for example the SAML request, contains an attribute specification which specifies the attributes to be read from the ID token for the execution of the transaction. These may be attributes identifying the user associated with the ID token and / or indicating payment information, such as account details or credit card information, and / or attributes pertaining to the ID token itself, such as its validity period, issue date and / or the issuing organization or authority. In particular, the attribute specification may include the date of birth of the user if, for example, the age of majority of the user is to be verified by the service computer system as a prerequisite for the transaction to be performed. The request also contains transaction data for specifying the transaction, that is to say, for example, a payment amount and account information, in particular the account connection of the service computer system to which the payment is to be made. Furthermore, the request includes a Uniform Resource Locator (URL) of the I D provider computer system, which is to read the attributes from the ID token, and a URL of the service computer system for specifying a recipient for the response, which is based on the request from to generate the ID provider computer system.
Das Dienst-Computersystem erzeugt für den Request eine Kennung, die den Request eindeutig identifiziert, wie z.B. einen globally unique identifier (GUID). Der Request beinhaltet diese Kennung. The service computer system generates an identifier for the request which uniquely identifies the request, e.g. a globally unique identifier (GUID). The request contains this identifier.
Der Request wird von dem Dienst-Computersystem signiert, und zwar mithilfe eines privaten Schlüssels eines kryptografischen Schlüsselpaars, welches dem Dienst- Computersystem zugeordnet ist. Aufgrund der Transaktionsanforderung wird über die erste Session eine Webseite von dem Dienst-Computersystem an das Nutzer-Computersystem übertragen und durch den Internetbrowser bzw. das Anwendungsprogramm, insbesondere eine sog. App, angezeigt. Zusammen mit der Webseite wird der Request übertragen, der jedoch nicht angezeigt wird. Die Webseite hat zumindest ein Eingabefeld zur Eingabe von Zusatzinformationen, welche für die Durchführung der Transaktion benötigt werden. Bei dieser Zusatzinformation kann es sich zum Beispiel um eine Kontoverbindung oder Kreditkartenin- formationen des Nutzers handeln und/oder um eine Authentifizierungsinformation, um den Nutzer gegenüber dem Dienst-Computersystem zu authentifizieren. Zum Beispiel kann es sich bei der Authentifizierungsinformation um ein One-Time Password (OTP) handeln. Vorzugsweise wird die Zusatzinformation mithilfe des öffentlichen Schlüssels des Dienst-Computersystems durch das Nutzer-Computersystem verschlüsselt, sodass nur die verschlüsselte Zusatzinformation anschließend über eine zweite Session von dem Internetbrowser bzw. dem Anwendungsprogramm an das ID-Provider-Computersystem über das Netzwerk weitergeieitet wird. The request is signed by the service computer system using a private key of a cryptographic key pair associated with the service computer system. Due to the transaction request, a web page is transmitted from the service computer system to the user computer system via the first session and displayed by the internet browser or the application program, in particular a so-called app. Together with the website, the request is transmitted, but it is not displayed. The website has at least one input field for inputting additional information which is required for carrying out the transaction. This additional information can be, for example, an account or credit card information of the user and / or authentication information in order to authenticate the user to the service computer system. For example, the authentication information may be a one-time password (OTP). Preferably, the additional information is encrypted using the public key of the service computer system by the user computer system, so that only the encrypted additional information is subsequently forwarded via a second session from the Internet browser or the application program to the ID provider computer system via the network.
Über diese zweite Session wird auch der Request weitergeieitet. Der Aufbau der zweiten Session erfolgt durch Aufruf der URL des iD-Provider-Computersystems, welche in dem Request beinhaltet äst. Die zweite Session wird dabei als geschützte Kommunikationsverbindung aufgebaut, und zwar mit einer verschlüsselten Transportschicht, das heißt mit Transport Layer Security (TLS), die auch als Secure So- ckets Layer (SSL) bezeichnet wird, insbesondere als https-Session. About this second session, the request is also forwarded. The second session is set up by calling the URL of the iD provider computer system, which contains the request. The second session is set up as a protected communication connection, namely with an encrypted transport layer, ie with Transport Layer Security (TLS), which is also referred to as Secure Sockets Layer (SSL), in particular as an https session.
Nach Ausführungsformen der Erfindung erzeugt das ID-Provider-Computersystem aufgrund des Empfangs des Requests über die zweite Session einen Identifikator für eine noch aufzubauende dritte Session, d.h. eine sog. Session-ID. Das ID- Provider-Computersystem speichert den Request sowie die zusammen mit dem Request über die zweite Session empfangene Zusatzinformation mit der Session-ID für die dritte Session., According to embodiments of the invention, the ID provider computer system generates an identifier for a still-to-be-established third session due to the receipt of the request over the second session, i. a so-called session ID. The ID provider computer system stores the request and the additional information received along with the request for the second session with the session ID for the third session.
Das ID-Provider-Computersystem sendet dann eine Nachricht über die zweite Session, welche eine logische Adresse des ID-Provider-Computersystems und bei- spielsweise auch die Session-ID der dritten Session beinhaltet. Von dieser logischen Adresse kann der Internetbrowser bzw. das Anwendungsprogramm zu einem späteren Zeitpunkt die Response auf den zuvor weitergeleiteten Request abrufen. Bei der logischen Adresse kann es sich um einen uniform resource locator (URL) handeln, durch den die Response abrufbar ist. Anschließend wird die dritte Session auf dem Application Layer zwischen einem Programm des Nutzer-Computersystems und dem I D-Provider-Computersystem aufgebaut, und zwar über den gesicherten Transportlayer der zweiten Session. Bei dem Programm kann es sich zum Beispiel um ein Browser-Plug-in des Internetbrowsers oder ein von dem Internetbrowser verschiedenes Anwendungsprogramm handeln. The ID provider computer system then sends a message about the second session, which contains a logical address of the ID provider computer system and, for example, also the session ID of the third session. From this logical address, the Internet browser or the application program can later retrieve the response to the previously forwarded request. The logical address may be a uniform resource locator (URL) through which the response is retrievable. Subsequently, the third session is established on the application layer between a program of the user computer system and the I D provider computer system, via the secured transport layer of the second session. For example, the program may be a browser plug-in of the Internet browser or an application program other than the Internet browser.
Das ID-Provider-Computersystem überträgt dann diejenigen Informationen über die dritte Session an das Programm, die für das Auslesen des oder der Attribute aus dem ID-Token benötigt werden. Diese Informationen beinhalten zumindest ein Zertifikat des 1 D-Provider-Computersystems, welches eine Angabe von Leserechten des ID-Provider-Computersystems zum Lesen von einem oder mehrerer Attribute beinhaltet. The ID provider computer system then transmits to the program the third-session information needed to read the attribute (s) from the ID token. This information includes at least one certificate of the 1D provider computer system, which includes an indication of read rights of the ID provider computer system for reading one or more attributes.
Das Programm des Nutzer-Computersystems prüft dann, ob die in dem Zertifikat angegebenen Leserechte ausreichend sind, um einen Lesezugriff des ID-Provider- Computersystems auf das oder die gemäß der Attributspezifikation des Requests zu lesenden Attribute zuzulassen. Wenn die Leserechte des ID-Provider- Computersystems ausreichend sind, werden die folgenden weiteren Schritte durchgeführt: a) Es wird eine lokale Verbindung zwischen dem Lesegerät des Nutzer- Computersystems und dem ID-Token aufgebaut. Bei einem ID-Token mit ei- ner kontaktbehafteten Schnittstelle, beispielsweise einer Chipkarten-The program of the user computer system then checks whether the read rights specified in the certificate are sufficient to allow read access by the ID provider computer system to the attribute (s) to be read according to the attribute specification of the request. If the reading rights of the ID provider computer system are sufficient, the following further steps are taken: a) A local connection is established between the reader of the user computer system and the ID token. In the case of an ID token with a contact-type interface, for example a chip card
Schnittstelle, kann dies durch Einführen des ID-Tokens in das Lesegerät erfolgen. Bei einem ID-Token mit einer kontaktlosen Schnittstelle, wie zum Beispiel einer RFID oder einen FC-Schnittstelle, kann dies dadurch erfolgen, dass der !D-Token auf das Lesegerät gelegt wird. Hier sind auch Token mit USB, BlueTooth oder microSD-Karten möglich sowie auch virtuelle SmartCa- rds. b) Der Nutzer authentifiziert sich gegenüber dem ID-Token, beispielsweise durch Eingabe seiner Personal Identification Number (PIN) oder durch Ein- gäbe einer anderen Information, wie zum Beispiel der Erfassung eines biometrischen Merkmals des Nutzers. Bei der Authentifizierung des Nutzers gegenüber dem ID-Token wird ein Session Key vereinbart. Insbesondere kann die Vereinbarung eines Session Keys mithilfe eines Diffie-Hellman-Protokolls erfolgen. c) Anschließend wird eine vierte Session auf dem Application Layer aufgebaut, und zwar zwischen einem Programm des ID-Tokens und dem ID-Provider- Computersystem, wobei diese vierte Session über die lokale Verbindung und die dritte Session verläuft und auf dem Application Layer eine zusätzliche Ende-zu-Ende Verschlüsselung mithilfe des in Schritt b vereinbarten Session Keys erfolgt, d) Über die vierte Session erfolgt dann eine gegenseitige Authentifizierung des ID-Tokens und des ID-Provider-Computersystems, beispielsweise mithilfe eines Challenge-Response-Protokolls. e) Das oder die Attribute gemäß der Attributspezifikation, welche das ID- Provider-Computersystem mit dem Request empfangen hat, werden nun über die vierte Session von dem I D-Provider-Computersystem aus dem ID- Token ausgelesen. Dies setzt die erfolgreiche Authentifizierung des Nutzers in Schritt b sowie die erfolgreiche gegenseitige Authentifizierung des ID- Tokens und des ID-Provider-Computersystems in Schritt d) voraus und erfolgt verschlüsselt über die vierte Session, sodass ein Maximum an Sicherheit und Vertrauenswürdigkeit hinsichtlich des oder der ausgelesenen Attribute gegeben ist. Interface, this can be done by inserting the ID token into the reader. For an ID token with a contactless interface, such as an RFID or FC interface, this can be done by placing the! D token on the reader. Tokens with USB, BlueTooth or microSD cards as well as virtual SmartCards are also possible here. b) The user authenticates himself to the ID token, for example by entering his Personal Identification Number (PIN) or by There would be other information, such as the detection of a biometric feature of the user. When the user is authenticated against the ID token, a session key is agreed. In particular, the agreement of a session key can be made using a Diffie-Hellman protocol. c) Subsequently, a fourth session is set up on the application layer between a program of the ID token and the ID provider computer system, this fourth session running over the local connection and the third session, and an additional one on the application layer End-to-end encryption is carried out using the session key agreed in step b. D) The fourth session is then used to mutually authenticate the ID token and the ID provider computer system, for example using a challenge-response protocol. e) The attribute (s) according to the attribute specification that the ID provider computer system has received with the request are now read from the ID token by the I D provider computer system through the fourth session. This requires the successful authentication of the user in step b and the successful mutual authentication of the ID token and the ID provider computer system in step d) and is encrypted over the fourth session, so that a maximum of security and trustworthiness in terms of given attributes is given.
Das I D-Provider-Computersystem erzeugt dann eine Response, die das oder die ausgelesenen Attribute und die Kennung des Request und/oder die Zusatzinformation beinhaltet und zwar gemäß dem Request-Response Protokoll, dem der Request unterliegt. Bei einer SAML-Request wird also dementsprechend eine SAML- Response erzeugt. Über die Kennung des Request, die auch in der Response beinhaltet ist, wird hier die logische Zuordnung von Request und Response, d.h. das sog. Bindtng, hergestellt. Die Response wird von dem ID-Provider-Computersystem signiert und zum Abrufen von der zuvor dem Nutzer-Computersystem über die Nachricht mitgeteilten logischen Adresse gespeichert. Das Nutzer-Computersystem liest dann diese Response von dem ID-Provider- Computersystem mit Hilfe der logischen Adresse, beispielsweise der URL, und leitet die Response über die erste Session an das Dienst-Computersystem weiter, Mithilfe der Kennung der Response wird diese dem Request und damit der angeforderten Transaktion zugeordnet und dann wird die Transaktion von dem Dtenst- Computersystem ausgeführt, das heißt beispielsweise ein Bezahlvorgang ausgelöst und/oder ein bestelltes Produkt geliefert, wenn dies der Inhalt der Response erlaubt. The I D provider computer system then generates a response that contains the read-out attributes and the identifier of the request and / or the additional information according to the request-response protocol to which the request is subject. In the case of a SAML request, therefore, a SAML response is generated accordingly. The identifier of the request, which is also contained in the response, is used to establish the logical assignment of request and response, ie the so-called binding. The response is signed by the ID provider computer system and stored for retrieval by the logical address previously communicated to the user computer system via the message. The user computer system then reads this response from the ID provider computer system using the logical address, for example the URL, and forwards the response to the service computer system via the first session thus the transaction is assigned by the Dtenst computer system, that is, for example, triggered a payment process and / or delivered an ordered product, if allowed by the content of the response.
Nach einer Ausführungsform der Erfindung handelt es sich bei dem Programm des Nutzer-Computersystems um ein Browser-Plug-in des Internetbrowsers, wobei es sich bei dem Internetbrowser um ein übliches Browserprogramm, wie zum Beispiel Microsoft Internet Explorer, Safari, Google Chrome oder Firefox handeln kann. Alternativ kann es sich bei dem Programm des Nutzer-Computersystems um ein von dem Internetbrowser separates Anwendungsprogramm handeln. Nach einer Ausführungsform der Erfindung handelt es sich bei der von dem Nutzer eingegebenen Zusatzinformation um eine Bezahlinformation, wie zum Beispiel eine Kontoverbindung des Nutzers von der der in dem Request angegebene Bezahlbetrag abgebucht oder eingezogen werden soll. Das sogenannte Clearing, das heißt die Prüfung der Bonität des Kunden, sowie die Veranlassung des Zahlvorgangs kann dann durch das ID-Provider-Computersystem veranlasst werden, welches die Durchführung der Bezahlung mit der Response dem Dienst-Computersystem bestätigt. Dies hat den Vorteil, dass das Dienst- Computersystem keine Kenntnis hinsichtlich der Bezahiinformation des Nutzers, das heißt insbesondere seiner Kontoverbindung, erlangen muss. According to one embodiment of the invention, the program of the user computer system is a browser plug-in of the Internet browser, wherein the Internet browser is a common browser program such as Microsoft Internet Explorer, Safari, Google Chrome or Firefox can. Alternatively, the program of the user computer system may be an application program separate from the Internet browser. According to one embodiment of the invention, the additional information entered by the user is payment information, such as, for example, an account connection of the user from which the payment amount specified in the request should be debited or withdrawn. The so-called clearing, that is to say the examination of the creditworthiness of the customer, as well as the initiation of the payment process can then be initiated by the ID provider computer system, which confirms the execution of the payment with the response to the service computer system. This has the advantage that the service computer system has no knowledge of the payment information of the user, that is, in particular his account connection, must obtain.
Alternativ kann der Nutzer seine Bezahlinformation mit dem öffentlichen Schlüssel des Dienst-Computersystems verschlüsseln, sodass nur die verschlüsselte Bezahl linformation des Nutzers an das ID-Provider-Computersystem übertragen wird. Das I D-Provider-Computersystem leitet dann die verschlüsselte Bezahlinformation mit der Response an das Dienst-Computersystem weiter, welches die Bezahlinformation entschlüsselt, und dann das Clearing durchführt sowie den Zahlbetrag von dem Konto des Nutzers gemäß der Bezahiinformation einzieht. Dies hat den Vorteil, dass das ID-Provider-Computersystem keine Kenntnis von den Bezahlinformationen des Nutzers erlangt. Alternatively, the user may encrypt his payment information with the public key of the service computer system so that only the encrypted payment information of the user is transmitted to the ID provider computer system. The I D provider computer system then forwards the encrypted payment information with the response to the service computer system, which decrypts the payment information and then performs the clearing and collects the payment amount from the user's account according to the payment information. This has the advantage that the ID provider computer system is not aware of the payment information of the user.
Nach einer weiteren Ausführungsform der Erfindung gehört zu dem Computersystem ein Terminal, wie zum Beispiel ein Bankautomat oder ein Verkaufsautomat. Der Nutzer kann eine Anforderung in den Automat eingeben, wie zum Beispiel zur Abhebung von Bargeld oder zum Kauf eines bestimmten Produkts, wie zum Beispiel eines Getränks. Der Automat zeigt auf diese Nutzeranforderung hin ein optisch erfassbares Muster, wie zum Betspiel einen QR-Code, auf seinem Bildschirm an, das eine Information beinhaltet, um die Durchführung der Transaktion zu initiieren. According to a further embodiment of the invention, the computer system includes a terminal, such as an ATM or a vending machine. The user may enter a request into the machine, such as for withdrawing cash or purchasing a particular product, such as a drink. In response to this user request, the machine displays an optically detectable pattern, such as a QR code, on its screen, which contains information in order to initiate the execution of the transaction.
Nach einer weiteren Ausführungsform der Erfindung ist das Terminal als mobiles Telekommunikationsgerät, insbesondere als sog. Smartmeter, für die Gebührenerfassung z.B. des Strom oder Gasverbrauchs, Taxameter oder Smartphone mit einer Gebührenerfassungsfunktion ausgebildet. According to a further embodiment of the invention, the terminal is used as a mobile telecommunication device, in particular as a so-called smart meter, for billing e.g. of electricity or gas consumption, taximeter or smartphone with a billing function.
Beispielsweise kann auf dem Smartphone eines Verkäufers die URL des Dienst- Computersystems, der Bezahlbetrag sowie der Zahlungsempfänger in Form eines optisch erfassten Musters ausgegeben und mit der Kamera des Nutzer- Computersystems, welches ebenfalls als Smartphone ausgebildet sein kann, erfasst werden. Auf diese Art und Weise können alltägliche Bezahlvorgänge auf sichere und bequeme Art und Weise sicher abgewickelt werden. For example, on the smartphone of a seller, the URL of the service computer system, the payment amount and the payee in the form of a visually recorded pattern and recorded with the camera of the user computer system, which may also be configured as a smartphone, are detected. In this way, everyday payment transactions can be processed safely and conveniently.
Im Weiteren werden Ausführungsformen der Erfindung mit Bezugnahme auf die Zeichnungen näher erläutert. In the following, embodiments of the invention will be explained in more detail with reference to the drawings.
Es zeigen: Show it:
Fig. 1 ein Blockdiagramm einer Ausführungsform eines erfindungsgemäßen lD-Tokens, Fig. 2 eine Anordnung einer Ausführungsform eines erfindungsgemäßen1 is a block diagram of an embodiment of an ID token according to the invention, Fig. 2 shows an arrangement of an embodiment of an inventive
Computersystems zur Durchführung einer Ausführungsform eines erfindungsgemäßen Verfahrens, Computer system for carrying out an embodiment of a method according to the invention,
Elemente der Ausführungsformen der nachfolgenden Figuren, die zueinander identisch sind oder einander entsprechen, sind jeweils mit denselben Bezugszeichen gekennzeichnet. Die Figur 1 zeigt einen ID-Token 106, bei dem es sich zum Beispiel um einen elektronischen Personalausweis handeln kann. Elements of the embodiments of the following figures, which are identical to one another or correspond to one another, are each identified by the same reference numerals. FIG. 1 shows an ID token 106, which may be, for example, an electronic identity card.
Der geschützte Speicherbereich 120 des ID-Token 106 dient zur Speicherung eines Referenzwerts, der für die Authentifizierung eines Nutzers 102 gegenüber dem ID- Token 106 benötigt wird. Bei diesem Referenzwert handelt es sich beispielsweise um eine Kennung, insbesondere eine so genannte Personal Identification Number (PIN), oder um Referenzdaten für ein biometrisches Merkmal des Nutzers 102, welches für die Authentifizierung des Nutzers gegenüber dem ID-Token 106 verwendet werden kann. The protected memory area 120 of the ID token 106 serves to store a reference value that is required for authenticating a user 102 to the ID token 106. This reference value is, for example, an identifier, in particular a so-called personal identification number (PIN), or reference data for a biometric feature of the user 102, which can be used for the authentication of the user against the ID token 106.
Der geschützte Bereich 122 dient zur Speicherung eines privaten Schlüssels und der geschützte Speicherbereich 124 dient zur Speicherung von Attributen, zum Beispiel des Nutzers 102, wie zum Beispiel dessen Name, Wohnort, Geburtsdatum, Geschlecht, und/oder von Attributen, die den ID-Token selbst betreffen, wie zum Beispiel die Institution, die den ID-Token erstellt oder ausgegeben hat, die Gültigkeitsdauer des ID-Tokens, einen Identifikator des ID-Tokens, wie zum Beispiel eine Passnummer oder eine Kreditkartennummer. The protected area 122 is for storing a private key and the protected memory area 124 is for storing attributes, such as the user 102, such as name, place of residence, date of birth, gender, and / or attributes including the ID token itself, such as the institution that created or issued the ID token, the validity period of the ID token, an identifier of the ID token, such as a passport number or a credit card number.
Der elektronische Speicher 118 kann ferner einen Speicherbereich 126 zur Spei- cherung eines Zertifikats aufweisen. Das Zertifikat beinhaltet einen öffentlichen Schlüssel, der dem in dem geschützten Speicherbereich 122 gespeicherten privaten Schlüssel zugeordnet ist. Das Zertifikat kann nach einem Public Key Infrastruktur (PKI) Standard ersteilt worden sein, beispielsweise nach dem X.509 Standard. Das Zertifikat muss nicht zwangsläufig in dem elektronischen Speicher 118 des ID- Tokens 106 gespeichert sein. Alternativ oder zusätzlich kann das Zertifikat auch in einem öffentlichen Verzeichnisserver gespeichert sein, Der ID-Token 106 hat einen Prozessor 128. Der Prozessor 128 dient zur Ausführung von Programminstruktionen 130, 132 und 134. Die Programminstruktionen 130 dienen zur Nutzerauthentifizierung, d.h. zur Authentifizierung des Nutzers 102 gegenüber dem ID-Token. Bei einer Ausführungsform mit PIN gibt der Nutzer 102 seine PIN zu seiner Authentifizierung in den ID-Token 106 ein, beispielsweise über das Nutzer- Computersystem 100. Durch Ausführung der Programminstruktionen 130 wird dann auf den geschützten Speicherbereich 120 zugegriffen, um die eingegebene PIN mit dem dort gespeicherten Referenzwert der PIN zu vergleichen. Für den Fall, dass die eingegebene PIN mit dem Referenzwert der PIN übereinstimmt, gilt der Nutzer 102 als authentifiziert. The electronic memory 118 may further include a memory area 126 for storing a certificate. The certificate includes a public key associated with the private key stored in the protected storage area 122. The certificate may have been initialed according to a Public Key Infrastructure (PKI) standard, for example according to the X.509 standard. The certificate does not necessarily have to be stored in the electronic memory 118 of the ID token 106. Alternatively or additionally, the certificate may also be stored in a public directory server. The ID token 106 has a processor 128. The processor 128 is used to execute program instructions 130, 132 and 134. The program instructions 130 are used for user authentication, ie authentication of the user 102 against the ID token. In a PIN embodiment, the user 102 inputs his PIN to his authentication in the ID token 106, for example via the user computer system 100. Execution of the program instructions 130 then accesses the protected memory area 120 to store the entered PIN with the PIN to compare there stored reference value of the PIN. In the event that the entered PIN matches the reference value of the PIN, the user 102 is considered authenticated.
Alternativ wird ein biometrisches Merkmal des Nutzers 102 erfasst. Beispielsweise hat der ID-Token 106 hierzu einen Fingerabdrucksensor oder ein Fingerabdruck- sensor ist an das Nutzer-Computersystem 100 angeschlossen. Die von dem Nutzer 102 erfassten biometrischen Daten werden durch Ausführung der Programminstruktionen 130 bei dieser Ausführungsform mit den in dem geschützten Speicherbereich 120 gespeicherten biometrischen Referenzdaten verglichen. Bei hinreichender Übereinstimmung der von dem Nutzer 102 erfassten biometrischen Daten mit den biometrischen Referenzdaten gilt der Nutzer 02 als authentifiziert. Alternatively, a biometric feature of the user 102 is captured. For example, the ID token 106 has a fingerprint sensor or a fingerprint sensor is connected to the user's computer system 100. The biometric data acquired by the user 102 is compared to the biometric reference data stored in the protected memory area 120 by executing the program instructions 130 in this embodiment. If the biometric data captured by the user 102 sufficiently matches the biometric reference data, the user 02 is considered authenticated.
Die Programminstruktionen 134 dienen zur Ausführung der den ID-Token 106 betreffenden Schritte eines kryptographischen Protokolls zur Authentifizierung eines ID-Provider-Computersystems 136 gegenüber dem ID-Token 106. Bei dem krypto- graphischen Protokoll kann es sich um ein Challenge-Response-Protokoll basierend auf einem symmetrischen Schlüssel oder einem asymmetrischen Schlüsselpaar handeln. Beispielsweise wird durch das kryptographische Protokoll ein Extended Access Control-Verfahren implementiert, wie es für maschinenlesbare Reisedokumente (machine-readable travet documents - RTD) von der internationalen Luftfahrtbehörde (ICAO) spezifiziert ist. Durch erfolgreiche Ausführung des kryptographischen Protokolls authentifiziert sich das ID-Provider-Computersystem 136 gegenüber dem ID-Token und weist dadurch seine Leseberechtigung zum Lesen der in dem geschützten Speicherbereich 124 gespeicherten Attribute nach. Die Authentifizierung kann auch gegenseitig sein, d.h. auch der ID-Token 106 muss sich dann gegenüber dem ID-Provider-Computersystem 136 nach demselben oder einem anderen kryp- tographtschen Protokoll authentifizieren. The program instructions 134 are used to execute the steps of a cryptographic protocol relating to the ID token 106 for authenticating an ID provider computer system 136 to the ID token 106. The cryptographic protocol may be based on a challenge-response protocol act on a symmetric key or an asymmetric key pair. For example, the cryptographic protocol implements an Extended Access Control method as specified for machine-readable travet documents (RTD) by the International Aviation Authority (ICAO). Upon successful completion of the cryptographic protocol, the ID provider computer system 136 authenticates against the ID token, thereby verifying its readability to read the attributes stored in the protected storage area 124. The authentication can also be mutually exclusive, ie the ID token 106 must then also authenticate itself to the ID provider computer system 136 according to the same or another cryptographic protocol.
Die Programm Instruktionen 132 dienen zur Ende-zu-Ende-Verschlüsselung von zwischen dem ID-Token 106 und einem ID-Provider-Computersystem 136 {vgl, Fig. 2) übertragenen Daten, zumindest aber der von dem ID-Provider-Computersystem 136 aus dem geschützten Speicherbereich 124 ausgeiesenen Attribute. Für die Ende-zu-Ende-Verschlüsselung kann ein symmetrischer Schlüssel verwendet werden, der beispielsweise anlässlich der Ausführung des kryptographischen Protokolls zwischen dem ID-Token 106 und dem l D-Provider-Computersystem 136 vereinbart wird. The program instructions 132 are for end-to-end encryption of data transferred between the ID token 106 and an ID provider computer system 136 (see FIG. 2), or at least the ID provider computer system 136 the protected memory area 124 issued attributes. For the end-to-end encryption, a symmetric key may be used, which is agreed upon, for example, during the execution of the cryptographic protocol between the ID token 106 and the I D provider computer system 136.
Der ID-Token 106 hat eine Schnittsteile 108 zur Kommunikation mit einer entsprechenden Schnittsteile 104 eines Nutzer-Computersystems 100 (vergleiche Figur 2). Die Schnittstelle kann kontaktlos oder kontaktbehaftet ausgebildet sein. Insbesondere kann es sich um eine RFID- oder um eine NFC-Kommunikationsschnittstelle handeln. The ID token 106 has an interface 108 for communication with a corresponding interface 104 of a user computer system 100 (see FIG. 2). The interface may be contactless or contact-based. In particular, it may be an RFID or an NFC communication interface.
Der Zugriff auf den geschützten Speicherbereich 124 zum Lesen einer oder mehrerer der Attribute kann nur über den Prozessor 28 des ID-Tokens 106 erfolgen, da der geschützte Speicherbereich 124 sowie auch die weiteren geschützten Spei- cherbereiche 120, 122 nicht unmittelbar zum Beispiel über ein Bussystem mit der Schnittstelle 108 verbunden sind, sondern nur mit dem Prozessor 128, das heißt ein Zugriff über die Schnittstelle 108 unmittelbar auf den geschützten Speicherbereich 124 ist bereits schaltungstechnisch ausgeschlossen. Allein der Prozessor 128 kann also lesend auf den geschützten Speicherbereich 124 zugreifen, um dann gegebenenfalls die ausgelesenen Attribute über die Schnittstelle 108 auszugeben. Access to the protected memory area 124 for reading one or more of the attributes can only take place via the processor 28 of the ID token 106, since the protected memory area 124 as well as the other protected memory areas 120, 122 are not directly, for example via a bus system are connected to the interface 108, but only with the processor 128, that is, an access via the interface 108 directly to the protected memory area 124 is already excluded circuit technology. Only the processor 128 can that is read access to the protected memory area 124, then optionally output the read attributes via the interface 108.
Die Figur 2 zeigt ein Nutzer-Computersystem 100 des Nutzers 102. Bei dem Nutzer- Computersystem 100 kann es sich um einen Personal-Computer (PC), einen tragbaren Computer, wie zum Beispiel einen Laptop, Notebook oder Tablet-Computer, ein mobiles Telekommunikationsgerät, insbesondere ein Smartphone handein. FIG. 2 shows a user computer system 100 of the user 102. The user computer system 100 may be a personal computer (PC), a portable computer, such as a laptop, notebook or tablet computer, a mobile telecommunications device , especially a smartphone.
Das Nutzer-Computersystem hat zumindest einen Prozessor 1 0 zur Ausführung eines Anwendungsprogramms 112. Das Anwendungsprogramm 112 ist dazu ausgebildet, über eine Netzwerk-Schnittstelle 114 des Nutzer-Computersystems 100 über ein Netzwerk 16 zu kommunizieren. Beispielsweise handelt es sich bei dem Anwendungsprogramm um einen Internet-Browser oder ein anderes spezialisiertes Anwendungsprogramm, welches über das Netzwerk 116 kommunizieren kann, ins- besondere ein html-fähiges Anwendungsprogramm. The user computer system has at least one processor 10 for executing an application program 112. The application program 112 is configured to communicate via a network interface 114 of the user computer system 100 via a network 16. For example, the application program is an Internet browser or other specialized application program that can communicate over the network 116, in particular an HTML-capable application program.
Der Prozessor 110 dient zur Ausführung eines weiteren Programms 1 3, bei dem es sich beispielsweise um ein Plug-in für das Anwendungsprogramm 112 handeln kann, beispielsweise um ein Browser-Plug-in, wenn das Anwendungsprogramm 112 als Internet-Browser ausgebildet ist, oder um ein von dem Anwendungsprogramm separates Programm. The processor 110 is used to execute another program 1 3, which may be, for example, a plug-in for the application program 112, for example a browser plug-in, if the application program 112 is designed as an Internet browser, or a program separate from the application program.
Bei dem Netzwerk kann es sich um ein Computernetzwerk, wie zum Beispiel das Internet, handeln. Insbesondere kann das Netzwerk 116 auch ein obilfunknetz- werk beinhalten. The network can be a computer network, such as the Internet. In particular, the network 116 may also include a mobile radio network.
Das I D-Provider-Computersystem 136 hat eine Netzwerk-Schnittstelle 138 zur Kommunikation über das Netzwerk 116. Das l D-Provider-Computersystem 136 hat ferner einen Speicher 140 mit einem geschützten Speicherbereich 141 , in dem ein privater Schlüsse! 142 des l D-Provider-Computersystems 136 gespeichert ist, sowie auch das entsprechende Zertifikat 144. Auch bei diesem Zertifikat kann es sich beispielsweise um ein Zertifikat nach einem PKI-Standard, wie zum Beispiel X.509 handeln. Das I D-Provider-Computersystem 136 hat ferner zumindest einen Prozessor 145 zur Ausführung von Programminstruktionen 146 und 148. Durch Ausführung der Programminstruktionen 146 werden die das I D-Provider-Computersystem 136 betreffende Schritte des kryptographischen Protokolls ausgeführt. Insgesamt wird also das kryptographische Protokoll durch Ausführung der Programminstruktionen 134 durch den Prozessor 128 des ID-Tokens 06 sowie durch Ausführung der Programminstruktionen 146 durch den Prozessor 145 des ID-Provider- Computersystems 36 implementiert. Die Programminstruktionen 148 dienen zur Implementierung der Ende-zu-Ende- Verschlüsselung auf Seiten des I D-Provider-Computersystems 136, beispielsweise basierend auf dem symmetrischen Schlüssel, der anlässlich der Ausführung des kryptographischen Protokolls zwischen dem ID-Token 106 und dem ID-Provider- Computersystem 136 vereinbart worden ist. Prinzipiell kann jedes an sich vor be- kannte Verfahren zur Vereinbarung des symmetrischen Schlüssels für die Ende-zu- Ende-Verschlüsseiung verwendet werden, wie zum Beispiel ein Diffie-Hellman- Schlüsselaustausch. The I D provider computer system 136 has a network interface 138 for communicating over the network 116. The I D provider computer system 136 also has a memory 140 with a protected memory area 141 in which private inferences! 142 of the I-provider computer system 136 is stored, as well as the corresponding certificate 144. Also, this certificate may be, for example, a certificate according to a PKI standard, such as X.509. The I D provider computer system 136 further has at least one processor 145 for executing program instructions 146 and 148. By executing the program instructions 146, the steps of the cryptographic protocol concerning the I D provider computer system 136 are executed. Overall, therefore, the cryptographic protocol is implemented by executing the program instructions 134 by the processor 128 of the ID token 06 and by executing the program instructions 146 by the processor 145 of the ID provider computer system 36. The program instructions 148 are used to implement the end-to-end encryption on the I D provider computer system 136 side, for example, based on the symmetric key that is present during the execution of the cryptographic protocol between the ID token 106 and the ID provider - Computer system 136 has been agreed. In principle, any method known per se for agreeing the symmetric key for end-to-end encryption, such as a Diffie-Hellman key exchange, may be used.
Das I D-Provider-Computersystem 136 befindet sich vorzugsweise in einer beson- ders geschützten Umgebung, insbesondere in einem so genannten Trust-Center, sodass das I D-Provider-Computersystem 136 in Kombination mit der Notwendigkeit der Authentifizierung des Nutzers 02 gegenüber dem ID-Token 06 den Vertrauensanker für die Authentizität der aus dem ID-Token 106 ausgelesenen Attribute bildet. The I D provider computer system 136 is preferably located in a specially protected environment, in particular in a so-called trust center, so that the I D provider computer system 136 in combination with the necessity of authentication of the user 02 to the ID Token 06 forms the trust anchor for the authenticity of the attributes read from ID token 106.
Ein Dienst-Computersystem 150 kann zur Entgegennahme einer Bestellung oder eines Auftrags für eine Dienstleistung oder ein Produkt, insbesondere eine Online- Dienstleistung, ausgebildet sein. Beispielsweise kann der Nutzer 102 online über das Netzwerk 116 ein Konto bei einer Bank eröffnen oder eine andere Finanz- oder Bankdienstleistung in Anspruch nehmen. Das Dienst-Computersystem 150 kann auch als Online-Warenhaus ausgebildet sein, sodass der Benutzer 102 beispielsweise online ein Mobiltelefon oder dergleichen erwerben kann. Ferner kann das Dienst-Computersystem 150 auch zur Lieferung von digitalen Inhalten ausgebildet sein, beispielsweise für den Download von Musik- und/oder Videodaten. Das Dienst-Computersystem 150 hat hierzu eine Netzwerk-Schnittstelle 152 zur Verbindung mit dem Netzwerk 1 16. Ferner hat das Dienst-Computersystem 150 zumindest einen Prozessor 154 zur Ausführung von Programm Instruktionen 156. Durch Ausführung der Programminstruktionen 156 werden beispielsweise dynamische HTML-Seiten generiert, über die der Nutzer 102 seinen Auftrag oder seine Bestellung eingeben kann, sowie Transaktionen durchgeführt. A service computer system 150 may be configured to receive an order or order for a service or product, particularly an online service. For example, the user 102 may open an account online with a bank via the network 116, or may use other financial or banking services. The service computer system 150 may also be embodied as an online store, such that the user 102 may, for example, purchase a mobile phone or the like online. Further, the service computer system 150 may also be configured to provide digital content, such as for downloading music and / or video data. The service computer system 150 has for this purpose a network interface 152 for connection to the network 1 16. Furthermore, the service computer system 150 has at least one processor 154 for executing program instructions 156. By executing the program instructions 156, for example, dynamic HTML pages are generated through which the user 102 can enter his order or his order, as well as transactions.
Je nach der Art des beauftragten oder bestellten Produkts oder der Dienstleistung muss das Dienst-Computersystem 150 ein oder mehrere Attribute des Nutzers 102 und/oder dessen ID-Token 106 anhand eines oder mehrerer vorgegebener Kriterien überprüfen. Nur wenn diese Prüfung bestanden wird, wird die Bestellung oder der Auftrag des Nutzers 102 entgegengenommen und/oder ausgeführt. Depending on the type of product or service ordered or ordered, the service computer system 150 must review one or more attributes of the user 102 and / or its ID token 106 based on one or more predetermined criteria. Only if this check is passed will the order or order of the user 102 be accepted and / or executed.
Zur Durchführung einer elektronischen Transaktion kann wie folgt vorgegangen werden: To carry out an electronic transaction, you can proceed as follows:
Der Nutzer 102 startet das Anwendungsprogramm 112 des Nutzer- Computersystems, wobei im Weiteren ohne Beschränkung der Allgemeinheit davon ausgegangen wird, dass es sich hierbei um einen Internet-Browser handelt. Der Nutzer 102 gibt eine URL des Dienst-Computersystems 150 in den Internet-Browser ein, so dass daraufhin eine erste Session 201 zwischen dem Internet-Browser 1 12 und dem Dienst-Computersystem 150 über das Netzwerk 1 16 aufgebaut wird. Der Nutzer kann dann über die erste Session 201 einen von dem Dienst-Computersystem 150 angebotenen Dienst anfor- dem, wie zum Beispiel ein Produkt besteilen, Daten zum Download anfordern oder die Durchführung einer finanziellen Transaktion anfordern. Hierzu wird von dem Internet-Browser 1 2 eine entsprechende Transaktionsanforderung 158 an das Dienst-Computersystem 150 gesendet, die diese Anforderung signalisiert. The user 102 starts the application program 112 of the user computer system, it being further assumed that this is an Internet browser without restriction of generality. The user 102 enters a URL of the service computer system 150 in the Internet browser, so that then a first session 201 between the Internet browser 1 12 and the service computer system 150 is established via the network 1 16. The user can then request via the first session 201 a service offered by the service computer system 150, such as, for example, ordering a product, requesting data for download or requesting the execution of a financial transaction. For this purpose, the Internet browser 1 2 sends a corresponding transaction request 158 to the service computer system 150, which signals this request.
Das Dienst-Computersystem empfängt also von dem Internet-Browser über die erste Session eine Transaktionsanforderung 58 des Nutzers 02. Aufgrund des Empfangs der Transaktionsforderung 158 über die erste Session 201 erzeugt das Dienst-Computersystem 150 einen Request 166. Der Request 166 beinhaltet (i) eine Attributspezifikation, der aus dem ID-Token für die Durchführung der Transaktion auszulesenden Attribute. Bei diesen Attributen kann es sich um persönliche Angaben zu dem Nutzer 102 und/oder Daten betreffend den ID-Token 106 selbst oder ein Pseudonym des Nutzers 102, welches von dem ID-Token 106 verfügbar ist, handeln. Der Request beinhaltet ferner (ii) die Transaktionsdaten zur Spezifizierung der Transaktion, wie zum Beispiel einen Bezahlbetrag, der für den Kauf des bestellten Produkts oder die Durchführung des besteilten Dienstes an das Dienst- Computersystem 150 oder einen Dritten zu entrichten ist, und/oder andere Transaktionsdaten, die die durchzuführende Transaktion spezifizieren. Der Request beinhaltet ferner (iii) eine Kennung 180 des Requests, beispielsweise eine GUID, die für das sogenannte Binding des Requests und einer daraufhin empfangenen Response 174 erforderlich ist. Für die Erzeugung der Kennung kann das Dienst-Computersystem 150 einen GUID-Generator aufweisen. Die Request beinhaltet ferner (iv) eine URL des I D-Provider- Computersystems 136 und (v) eine URL des Dienst-Computersystems 150 selbst. Der Request wird von dem Dienst-Computersystem 150 signiert, nämlich mit Hilfe eines privaten Schlüssels des Dienst-Computersystems 150. Bei dem Request 166 kann es sich um einen SA L-Request oder einen anderen Request eines Request-Response-Protokolls handeln. The service computer system thus receives from the Internet browser via the first session a transaction request 58 of the user 02. Due to the receipt of the transaction request 158 via the first session 201, the service computer system 150 generates a request 166. The request 166 includes (i) an attribute specification, the attribute to be read from the ID token for carrying out the transaction. These attributes may be personal information about the user 102 and / or data regarding the ID token 106 itself or a pseudonym of the user 102 available from the ID token 106. The request also includes (ii) the transaction data specifying the transaction, such as a payment amount to be paid for the purchase of the ordered product or the performance of the subscribed service to the service computer system 150 or a third party, and / or others Transaction data specifying the transaction to be performed. The request further includes (iii) an identifier 180 of the request, for example, a GUID required for the so-called binding of the request and a response 174 received thereafter. For the generation of the identifier, the service computer system 150 may include a GUID generator. The request also includes (iv) a URL of the I D provider computer system 136 and (v) a URL of the service computer system 150 itself. The request is signed by the service computer system 150, namely by means of a private key of the service provider. Computer system 150. The request 166 may be an SA L request or another request of a request-response protocol.
Als Antwort auf die Transaktionsanforderung 158 sendet dann das Dienst- Computersystem 150 eine Webseite 160 über die erste Session 201 an das Nutzer-Computersystem 100, wobei die Webseite 160 ein Eingabefeld 162 zur Eingabe einer Zusatzinformation durch den Nutzer 102 für die Transaktion aufweist und ferner ein Eingabeelement 164, das der Nutzer 102 zum Beispiel durch Anklicken selektieren kann, wenn die Webseite 160 durch den Internet-Browser 112 wiedergegeben wird, um die Wetterieitung des Request 166 zu erlauben. Zusammen mit der Webseite 160 wird auch der Request 66 über die erste Session 201 zu dem Internet-Browser 112 übertragen. Aufgrund des Empfangs der Webseite 160 und des Requests 166 wird die Webseite 160 durch den Internet-Browser 1 2 wiedergegeben, so dass der Nutzer 102 die Zusatzinformation in das Eingabefeld 162 eingeben kann. Beispielsweise handelt es sich bei der Zusatzinformation um eine Kontoverbindung des Nutzers 102, eine Kreditkartennummer des Nutzers 102 oder andere ergänzende Transaktionsdaten und/oder um eine Authentifizierungs- information zum Nachweis der Berechtigung des Nutzers 102 für die Durchführung der Transaktion, wozu der Nutzer 102 beispielsweise ein One-Time- Passwort (OTP) in das Eingabefeid 162 eingibt. Vorzugsweise wird die von dem Nutzer 102 eingegebene Zusatzinformation 168 mit dem öffentlichen Schlüssel des Dienst-Computersystems 150 durch das Nutzer- Computersystem 100 verschlüsselt, um ein entsprechendes Chiffrat zu erhalten. In response to the transaction request 158, the service computer system 150 then sends a web page 160 to the user computer system 100 via the first session 201, the web page 160 having an input field 162 for inputting additional information by the user 102 for the transaction, and further Input element 164, which the user 102 can select by clicking, for example, when the web page 160 is rendered by the Internet browser 112, to allow the Wetterieitung the request 166. Along with the web page 160, the request 66 is also transmitted to the internet browser 112 via the first session 201. Due to the reception of the web page 160 and the request 166, the web page 160 is rendered by the internet browser 1 2, so that the user 102 can input the additional information into the input field 162. By way of example, the additional information is an account connection of the user 102, a credit card number of the user 102 or other supplementary transaction data and / or an authentication information for proving the authorization of the user 102 for carrying out the transaction, for example the user 102 One-time password (OTP) in the input slot 162 enters. Preferably, the additional information 168 entered by the user 102 is encrypted with the public key of the service computer system 150 by the user computer system 100 to obtain a corresponding ciphertext.
Anschließend wird eine zweite Session 202 zwischen dem Internet-Browser 112 und dem I D-Provider-Computersystem 136 über das Netzwerk 1 6 aufgebaut, und zwar mit Hilfe der URL des ID-Provider-Computersystems 136, die das Nutzer-Computersystem 100 mit dem Request 166 empfangen hat. Die zweite Session 202 wird mit einem gesicherten Transportlayer aufgebaut, beispielsweise als https-Session. Subsequently, a second session 202 is established between the Internet browser 112 and the I D provider computer system 136 via the network 1 6, using the URL of the ID provider computer system 136, the user computer system 100 with the Request 166 has received. The second session 202 is established with a secure transport layer, for example as an https session.
Über die zweite Session 202 werden der Request 166 und die Zusatzinformation 168 oder nur das mit Hilfe des öffentlichen Schlüssels des Dienst- Computersystems 150 gewonnene Chiffrat der Zusatzinformation 168 von dem Nutzer-Computersystem 100 an das ID-Provider-Computersystem 136 weitergeleitet. Via the second session 202, the request 166 and the additional information 168 or only the ciphertext of the additional information 168 obtained with the aid of the public key of the service computer system 150 are forwarded from the user computer system 100 to the ID provider computer system 136.
Aufgrund des Empfangs des Requests 166 durch das ID-Provider- Computersystem 136 erzeugt dieses durch Ausführen seiner Programminstruktionen 170 eine Session-iD für eine noch aufzubauende dritte Session 203. Der Request 166 und die Zusatzinformation 168 werden in dem Speicher 140 des (D-Provider-Computersystems 136 gespeichert. Das i D-Provider-Computersystem 136 generiert dann eine Nachricht 172, die die Session-ID für den Aufbau der dritten Session 203 und eine logische Adresse beinhaltet. Mit Hilfe der logischen Adresse kann die von dem lD- Provider-Computersystem 136 aufgrund des Request 166 zu erzeugende Response 174 abgerufen werden. Insbesondere kann die logische Adresse als eine URL ausgebildet sein. Die Nachricht 172 wird über die zweite Session 202 von dem iD-Provider-Computersystem 136 an den Internet-Browser 112 gesendet. Due to the receipt of the request 166 by the ID provider computer system 136, the latter generates a session iD for a still to be established third session 203 by executing its program instructions 170. The request 166 and the additional information 168 are stored in the memory 140 of the (D provider Computer system 136 stored. The iD provider computer system 136 then generates a message 172 that includes the Session ID for the construction of the third session 203 and a logical address. With the aid of the logical address, the response 174 to be generated by the IT provider computer system 136 on the basis of the request 166 can be called up. In particular, the logical address may be formed as a URL. The message 172 is sent via the second session 202 from the iD provider computer system 136 to the internet browser 112.
Aufgrund des Empfangs der Nachricht 172 wird die dritte Session 203 zwischen dem Programm 113 des Nutzer-Computersystems 100 und dem ID- Provider-Computersystem 136 über den gesicherten Transportlayer der zweiten Session 202 aufgebaut. Beispielsweise handelt es sich bei dem Programm 113 um ein Browser-Plug-in des Internet-Browsers 112. Alternativ kann es sich bei dem Programm 113 auch um ein weiteres Anwendungsprogramm handeln. Es ist dabei auch möglich, die Funktionalitäten des Internet- Browsers 1 2 und die des Programms 113 in einem Programm zu implementieren. Due to the receipt of the message 172, the third session 203 is established between the program 113 of the user computer system 100 and the ID provider computer system 136 via the secure transport layer of the second session 202. For example, program 113 is a browser plug-in of Internet browser 112. Alternatively, program 113 may be another application program. It is also possible to implement the functionalities of the Internet browser 1 2 and those of the program 113 in a program.
Über die dritte Session 203 wird dann zumindest das Zertifikat 144 an das Programm 113 übertragen. At least the certificate 144 is then transmitted to the program 113 via the third session 203.
Durch das Programm 113 wird dann geprüft, ob die in dem Zertifikat 144 angegebenen Leserechte ausreichend sind, um einen Lesezugriff des ID- Provider-Computersystems 136 auf das oder die gemäß der Attributspezifikation, die in dem Request 166 beinhaltet ist, zu lesenden Attribute zuzulassen. Nur dann, wenn diese Leserechte ausreichend sind, werden die folgenden Schritte durchgeführt: a) Es wird eine lokale Verbindung 176 zwischen den Schnittstellen 104 und 108 aufgebaut. Beispielsweise erscheint auf dem Bildschirm des Nutzer-Computersystems 100 eine Aufforderung für den Nutzer 102 zum Einführen des ID-Tokens 106 in ein Lesegerät des Nutzer- Computersystems 100, welches die Schnittstelle 104 aufweist oder zum Auflegen des lD-Tokens 106 auf eine kontaktlos ausgebildete Schnittstelle 104. The program 113 then checks whether the read rights specified in the certificate 144 are sufficient to allow read access by the ID provider computer system 136 to the attribute (s) to be read according to the attribute specification included in the request 166. Only if these read rights are sufficient, the following steps are performed: a) A local connection 176 is established between the interfaces 104 and 108. For example, on the screen of the user computer system 100, a request for the user 102 to insert the ID token 106 into a reader of the user computer system 100, which has the interface 104, or appears for placing the ID token 106 on a contactless interface 104.
Der Nutzer 102 authentifiziert sich dann gegenüber dem ID-Token beispielsweise durch Eingabe seiner PIN in das Nutzer-Computersystem 100 bzw. dessen Lesegerät. Die Authentifizierung des Nutzers kann mit Hilfe eines kryptographischen Protokolls erfolgen, beispielsweise mittels eines Challenge-Response-Protokolls oder basierend auf einem Diffie-Helman-Schlüsselaustausch, wobei im Rahmen der Authentifizierung des Nutzers ein Session-Key vereinbart wird. The user 102 then authenticates himself to the ID token, for example by entering his PIN in the user computer system 100 or its reader. The authentication of the user can take place with the aid of a cryptographic protocol, for example by means of a challenge-response protocol or based on a Diffie-Helman key exchange, wherein a session key is agreed as part of the authentication of the user.
Unter der Voraussetzung der erfolgreichen Authentifizierung des Nutzers wird eine vierte Session 204 zwischen dem ID-Token 106 und dem ID-Provider-Computersystem 136 aufgebaut, und zwar über die lokale Verbindung 176 und die dritte Session 203. Die vierte Session 204 wird mit einer Ende-zu-Ende-Verschlüsselung mit Hilfe des Session-Keys, der bei der Authentifizierung des Nutzers in dem Schritt b) vereinbart worden ist, geschützt. Assuming the user has successfully authenticated, a fourth session 204 is established between the ID token 106 and the ID provider computer system 136 via the local connection 176 and the third session 203. The fourth session 204 ends with one End-to-end encryption using the session key, which has been agreed in the authentication of the user in step b) protected.
Über die vierte Session erfolgt dann eine gegenseitige Authentifizierung des ID-Tokens 106 und des I D-Provider-Computersystems 136 mit Hilfe der jeweiligen privaten Schlüssel, das heißt den in dem geschützten Speicherbereich 122 gespeicherten privaten Schlüssels des ID-Tokens 106 und dem privaten Schlüssels 142 des ID-Provider- Computersystems 136. Für diese gegenseitige Authentifizierung können die Zertifikate des ID-Tokens 106 aus dem Speicherbereich 126 (vergleiche Figur 1) sowie das Zertifikat 144 des ID-Provider- Computersystems 136 über die vierte Session ausgetauscht werden. The fourth session is then used to mutually authenticate the ID token 106 and the I D provider computer system 136 with the aid of the respective private key, that is to say the private key of the ID token 106 stored in the protected memory area 122 and the private key 142 of the ID provider computer system 136. For this mutual authentication, the certificates of the ID token 106 can be exchanged from the memory area 126 (see FIG. 1) as well as the certificate 144 of the ID provider computer system 136 over the fourth session.
Unter der Voraussetzung der erfolgreichen Authentifizierung des Nutzers gegenüber dem ID-Token und der erfolgreichen gegenseitigen Authentifizierung des ID-Tokens 106 und des ID-Provider- Computersystems 136 liest dann das ID-Provider-Computersystem 36 das oder die Attribute gemäß der Attributspezifikation aus dem ID- Token 106 aus, wobei die Attribute durch die Ende-zu-Ende- Verschlüsselung bei der Übertragung von dem ID-Token 106 zu dem I D-Provider-Computersystem 136 geschützt werden. Hierzu sendet das ID-Provider-Computersystem über die vierte Session 204 ein Lesekommando über die vierte Session an den ID-Token 106, Das Lesekommando 182 beinhaltet die Attributspezifikation, das heißt die Auswahl derjenigen Attribute, die aus dem geschützten Speicherbereich 124 des ID-Tokens 06 ausgelesen werden sollen. Given the successful authentication of the user to the ID token and successful mutual authentication of the ID token 106 and the ID provider computer system 136, the ID provider computer system 36 then reads the attribute (s) from the ID according to the attribute specification - Token 106, wherein the attributes are protected by the end-to-end encryption in the transmission of the ID token 106 to the I D provider computer system 136. For this purpose, the ID provider computer system sends a read command via the fourth session 204 to the ID token 106 via the fourth session. The read command 182 contains the attribute specification, that is to say the selection of those attributes which are from the protected memory area 124 of the ID token 06 should be read.
Durch Ausführung der Programminstruktionen 178 wird dann von dem ID-Provider-Computersystem 136 die Response 174, beispielsweise ein SAML-Response, auf dem Request 166 erzeugt. Die Response 178 beinhaltet die zuvor über die vierte Session 240 aus dem ID- Token 06 ausgelesenen Attribute, die Zusatzinformation 168 oder - je nach Ausführungsform - nicht die Zusatzinformation 168, sondern nur das Chiffrat der Zusatzinformation 168, sowie die Kennung 180, die das Dienst-Computersystem 50 initial für den Request 66 vergeben hat. Die Response 174 wird von dem ID-Provider- Computersystem 136 mit Hilfe des privaten Schlüssels 142 signiert und dann in dem Speicher 140 gespeichert, so dass die Request 166 von der logischen Adresse abrufbar ist. By executing the program instructions 178, the ID provider computer system 136 then generates the response 174, for example a SAML response, on the request 166. The response 178 includes the attributes previously read out of the ID token 06 via the fourth session 240, the additional information 168 or, depending on the embodiment, not the additional information 168, but only the ciphertext of the additional information 168, and the identifier 180 indicating the service Computer system 50 has initially assigned to the request 66. The response 174 is signed by the ID provider computer system 136 using the private key 142 and then stored in the memory 140 so that the request 166 is retrievable from the logical address.
Das Nutzer-Computersystem 100, wie zum Beispiel dessen Internet-Browser 112, liest dann mit Hilfe der logischen Adresse die Response 174 beispielsweise über die zweite Session 202 aus dem Speicher 140. The user computer system 100, such as, for example, its Internet browser 112, then reads the response 174 from the memory 140, for example via the second session 202, with the aid of the logical address.
Die Response 174 wird dann von dem Nutzer-Computersystem 100, beispielsweise von dem Internet-Browser 112, über die erste Session 201 an das Dienst-Computersystem 150 weitergeleitet. Hierbei kann vorgesehen sein, dass der Nutzer 102 von dem Internet-Browser 12 zur Eingabe einer Bestätigung aufgefordert wird, bevor die Response 174 an das Dienst- Computersystem weitergeleitet wird. Dabei kann ferner vorgesehen sein, dass von dem Internet-Browser der Inhalt der Response 174 ganz oder teilweise angezeigt wird, insbesondere die aus dem ID-Token ausgelesenen At- tribute und/oder die Zusatzinformation 168, damit sich der Nutzer 102 von der Richtigkeit dieser Daten überzeugen kann, bevor sie an das Dienst- Computersystem 150 zur Durchführung der Transaktion weitergeleitet werden. The response 174 is then forwarded from the user computer system 100, for example from the Internet browser 112, via the first session 201 to the service computer system 150. In this case, provision may be made for the user 102 to be requested by the Internet browser 12 to enter a confirmation before the response 174 is forwarded to the service computer system. It can further be provided that the content of the response 174 is displayed in whole or in part by the Internet browser, in particular the information read from the ID token. tribute and / or additional information 168 to allow the user 102 to verify the accuracy of this data before passing it on to the service computer system 150 to complete the transaction.
Das Dienst-Computersystem 50 ordnet die empfangene Response 174 dem Request 66 anhand der übereinstimmenden Kennungen 180 des Requests 166 und der Response 174 zu. - Das Dienst-Computersystem 150 prüft dann die Signatur der Response 166 und liest das oder die erforderlichen Attribute aus der Response 174 aus. Anhand der Attribute wird dann geprüft, ob die angeforderte Transaktion durchgeführt werden kann, indem das oder die Attribute mit einem oder mehreren vorgegebenen Kriterien verglichen wird. Bei diesen Kriterien kann es sich zum Beispiel um das Alter oder die Kreditwürdigkeit des Nutzers 102 handeln. Bei dem Attribut kann es sich auch um ein Pseudonym des Nutzers 102 handeln, mit Hilfe dessen das Dienst-Computersystem 150 dann ein in einer Datenbank des Dienst-Computersystems 150 gespeichertes Attribut des Nutzers 102, wie zum Beispiel eine Lieferadresse ausliest. Das Prüfkriterium ist hierbei, ob ein Nutzer mit dem in der Response 174 beinhalteten Pseudonym seitens des Dienst-Computersystems 150 registriert ist. The service computer system 50 associates the received response 174 with the request 66 based on the matching identifiers 180 of the request 166 and the response 174. The service computer system 150 then checks the signature of the response 166 and reads out the required attribute (s) from the response 174. The attributes are then used to check whether the requested transaction can be performed by comparing the attribute (s) to one or more predetermined criteria. These criteria may be, for example, the age or credit of user 102. The attribute may also be a pseudonym of the user 102, by means of which the service computer system 150 then reads out an attribute of the user 102 stored in a database of the service computer system 150, such as a delivery address. The test criterion here is whether a user is registered with the pseudonym included in the response 174 on the part of the service computer system 150.
Ergibt die Prüfung des Dienst-Computersystems 150, dass die Transaktion durchführbar ist, so wird die Transaktion anhand der Transaktionsdaten und der Zusatzinformation 168 durchgeführt. If the check of the service computer system 150 reveals that the transaction is feasible, the transaction is performed based on the transaction data and the additional information 168.
Nach einer Ausführungsform der Erfindung handelt es sich bei dem Programm 1 13 um einen Browser-Plug-in, das in einer Registry eines Betriebssystems des Nutzer- Computersystems mit einer Plug-in-Kennung registriert ist, wobei es sich bei dem Betriebssystem zum Beispiel um ein Windows-Betriebssystem, Android oder iOS handeln kann. In diesem Fall beinhaltet die Nachricht 172 von dem ID-Provider- Computersystem an den Internet-Browser 1 12 diese Plug-in-Kennung 184, so dass das Plug-in 3 aufgrund des Empfangs der Nachricht gestartet wird. Nach einer weiteren Ausführungsform der Erfindung handelt es sich bei dem Programm 1 13 ein von dem Internet-Browser 1 12 separates Anwendungsprogramm, wie zum Beispiel eine sogenannte Bürger-App oder Ausweis-App. Dieses Anwendungsprogramm 1 13 wird von dem Internet-Browser 1 12 durch Aufruf einer lokalen URL gestartet, wobei die lokale URL eine fest vorgegebener Portnummer gemäß dem TCP-Protokoll beinhaltet. Diese lokale URL wird zusammen mit der Webseite 160 von dem Dienst-Computersystem 150 an das Nutzer-Computersystem 100 übertragen und zwar über die erste Session 201 , um das Starten des Anwendungsprogramms 1 13 mit Hilfe der lokalen URL durch den Internet-Browser 1 12 zu bewir- ken. According to one embodiment of the invention, the program 1 13 is a browser plug-in which is registered in a registry of an operating system of the user computer system with a plug-in identifier, wherein the operating system is, for example, a Windows operating system, Android or iOS can act. In this case, the message 172 from the ID provider computer system to the Internet browser 1 12 includes this plug-in identifier 184, so that the plug-in 3 is started due to the receipt of the message. According to a further embodiment of the invention, the program 1 13 is a separate from the Internet browser 1 12 application program, such as a so-called citizen app or ID card app. This application program 1 13 is started by the Internet browser 1 12 by calling a local URL, the local URL includes a fixed port number according to the TCP protocol. This local URL, along with the web page 160, is transmitted from the service computer system 150 to the user computer system 100 via the first session 201 to allow the application program 1 13 to be launched by the internet browser 12 using the local URL cause.
Für den Fall, dass nur das Chiffrat der Zusatzinformation 168, nicht aber die Zusatzinformation 168 selbst über die zweite Session 202 von dem Nutzer- Computersystem 100 an das ID-Provider-Computersystem 136 übertragen wird, beinhaltet auch die Response 74 nur dieses Chiffrat, nicht aber die Zusatzinformation 168 selbst. In diesem Fall entschlüsselt das Dienst-Computersystem 150 das Chiffrat mit Hilfe des privaten Schlüssels des Dienst-Computersystems 150, um dann mit Hilfe der Zusatzinformation 168 die angeforderte Transaktion durchzuführen. Hierbei kann es sich zum Beispiel um die Durchführung einer finanziellen Transaktion, wie zum Beispiel die Durchführung einer Überweisung in der Höhe des Bezahlbetrags handeln, der in der Zusatzinformation 168 angegeben ist. In the event that only the ciphertext of the additional information 168, but not the additional information 168 itself is transmitted via the second session 202 from the user computer system 100 to the ID provider computer system 136, the response 74 contains only this cipher, not but the additional information 168 itself. In this case, the service computer system 150 decrypts the ciphertext using the private key of the service computer system 150 to then perform the requested transaction using the additional information 168. This may be, for example, the execution of a financial transaction, such as the execution of a transfer in the amount of the payment amount, which is specified in the additional information 168.
Alternativ ist es aber auch möglich, dass die Durchführung der Zahlung seitens des ID-Provider-Computersystems 36 ausgelöst wird. Dies kann so erfolgen, dass das ID-Provider-Computersystem 136 die hierfür erforderlichen Transaktionsdaten über den Request 166 und die Zusatzinformationen 168 empfängt und dann die Zahlung durchführt oder veranlasst. Die Response 174 beinhaltet dann eine Bestätigung des ID-Provider-Computersystems 136, dass die Zahlung erfolgt ist. Eine Übermittlung der Zusatzinformation 168 an das Dienst-Computersystem 150 kann dann unterbleiben, was zum Schutz der Vertraulichkeit dieser Zusatzinformati- onen 168 vorteilhaft ist, denn diese Zusatzinformationen 168 müssen dann nur gegenüber dem vertrauenswürdigen ID-Provider-Computersystem 136 offengelegt werden. Die eigentliche Transaktion, z.B. die Lieferung des bestellten Produkts, wird dann nach Empfang der Zahlungsbestätigung, die in der Response 174 beinhaltet ist, von dem Dienst-Computersystem 150 veranlasst. Alternatively, it is also possible that the implementation of the payment by the ID provider computer system 36 is triggered. This can be done so that the ID provider computer system 136 receives the requisite transaction data about the request 166 and the additional information 168 and then performs or causes the payment. The response 174 then includes confirmation from the ID provider computer system 136 that the payment has been made. Submission of the additional information 168 to the service computer system 150 can then be omitted, which is advantageous for protecting the confidentiality of this additional information 168, since this additional information 168 then only has to be disclosed to the trusted ID provider computer system 136. The actual transaction, eg the delivery of the ordered product, becomes then upon receipt of the payment confirmation included in the response 174, prompted by the service computer system 150.
Nach einer Ausführungsform der Erfindung beinhaltet die Zusatzinformation 168 ein OTP. Das Dienst-Computersystem 150 prüft dann als zusätzliche Voraussetzung für die Durchführung der Transaktion, ob das OTP gültig ist. Vorzugsweise wird das OTP durch das Nutzer-Computersystem 100 mit dem öffentlichen Schlüssel des Dienst-Computersystems 150 verschlüsselt und dann von dem Dienst- Computersystems 150 nach dem Empfang der Zusatzinformation mit dem ver- schlüsselten OTP entschlüsselt, um dann dessen Validität zu prüfen. According to one embodiment of the invention, the additional information 168 includes an OTP. The service computer system 150 then checks whether the OTP is valid as an additional prerequisite for the transaction to be performed. Preferably, the OTP is encrypted by the user's computer system 100 with the public key of the service computer system 150 and then decrypted by the service computer system 150 upon receipt of the additional information with the encrypted OTP, to then check its validity.
Nach einer Ausführungsform der Erfindung gehört zu dem erfindungsgemäßen Computersystem ein Terminal 186, bei dem es sich zum Beispiel um einen Automat, insbesondere einen Bankautomat oder Verkaufsautomat, handeln kann. Bei- spielsweise kann der Nutzer 102 in das Terminal 186 einen Geldbetrag eingeben, um Bargeld von seinem Konto abzuheben. Auf einem Display 188 des Automat wird dann ein optisch erfassbares Muster angezeigt, wie zum Beispiel ein QR-Code, der ein URL des Dienst-Computersystems 150 sowie den von dem Nutzer 102 gewünschten Geldbetrag beinhaltet. According to one embodiment of the invention, the computer system according to the invention includes a terminal 186, which may be, for example, a vending machine, in particular a cash machine or vending machine. For example, the user 102 may enter into the terminal 186 a sum of money to withdraw cash from his account. An optically detectable pattern is then displayed on a display 188 of the machine, such as a QR code that includes a URL of the service computer system 150 and the amount of money desired by the user 102.
Dieses optische Muster wird von dem Display 188 mit Hilfe einer Kamera 190 des Nutzer-Computersystems 100 erfasst. Das Nutzer-Computersystem 100 erzeugt dann die Transaktionsanforderung 158, die diesen Geldbetrag angibt. Die erste Session 201 wird hier mit Hilfe der aus dem optischen Muster erfassten URL des Dienst-Computersystems 150 aufgebaut und die Transaktionsanforderung 158 mit dem gewünschten Geldbetrag wird über diese erste Session 201 an das Dienst- Computersystem 150 übermittelt. Das Dienst-Computersystem 150 erzeugt dann einen entsprechenden Request 166, um die für die Auszahlung des gewünschten Geldbetrags erforderlichen Attribute und Zusatzinformationen 168 abzufragen. This optical pattern is detected by the display 188 by means of a camera 190 of the user computer system 100. The user computer system 100 then generates the transaction request 158 indicating this amount of money. The first session 201 is constructed here using the URL of the service computer system 150 detected from the optical pattern, and the transaction request 158 with the desired amount of money is transmitted to the service computer system 150 via this first session 201. The service computer system 150 then generates a corresponding request 166 to retrieve the attributes and additional information 168 required for the payment of the desired amount of money.
Je nach Ausführungsform wird dann durch die l D-Provider-Computersystem 136 oder durch das Dienst-Computersystem 150 die Belastung eines Kontos des Nutzers 102, welches dieser zum Beispiel in der Zusatzinformation 68 angegeben hat, veranlasst. Aufgrund des Empfangs der Response 174 und der Veranlassung der Zahlung empfängt dann das Terminal 186 ein Signal zur Ausgabe des gewünschten Geldbetrags zum Beispiel in Form von Bargeld oder zur Aufladung einer Cash-Card des Nutzers 102. Dies kann so erfolgen, dass das Terminal 186 unmittelbar mit dem Dienst-Computersystem 150 verbunden ist oder über das Netzwerk 116. Depending on the embodiment, the load of an account of the user 102, which the latter has indicated, for example, in the additional information 68, is then caused by the ID provider computer system 136 or by the service computer system 150. Due to the receipt of the response 174 and the cause of the Payment then receives the terminal 186 a signal to issue the desired amount of money, for example in the form of cash or to charge a cash card of the user 102. This can be done so that the terminal 186 is directly connected to the service computer system 150 or via the network 116.
Alternativ kann es sich bei dem Terminal 86 auch um einen Verkaufsautomat handeln, wobei dann kein Bargeld, sondern ein gewünschtes Produkt, wie zum Beispiel eine Getränkedose oder eine Zigarettenschachtel von dem Verkaufsautomaten abgegeben wird, nachdem die Durchführung der Zahlung von dem Dienst- Computersystem 150 signalisiert worden ist. Alternatively, the terminal 86 may also be a vending machine, whereupon no cash but a desired product, such as a beverage can or cigarette pack, is dispensed from the vending machine after the payment is signaled by the service computer system 150 has been.
In einer weiteren Anwendung kann es sich bei dem Terminal 186 um ein mobiles Telekommunikationsgerät, insbesondere ein Smartphone handeln. Wenn der Nutzer 102 von dem Inhaber des Terminals 186 etwas kaufen möchte, so gibt der Inhaber des Terminals 186 den entsprechenden Kaufpreis in das Terminal 186 ein, so dass dann auf dem Display 188 in Form des optisch erfassbaren Musters wiederum dieser Kaufpreis als Bezahlbetrag sowie die URL des Dienst-Computersystems 150 ausgegeben wird. Nach Beendigung der Transaktion empfängt das Terminal 186 von dem Dienst-Computersystem 150 ein Signal, weiches anzeigt, dass der Be- zahlvorgang erfolgt ist und der Inhaber des Terminals 186 gibt dann die Ware an den Nutzer 102 ab. Dies kann auch in dem Kassensystem zum Beispiel eines Supermarkts implementiert sein. Eine weitere Anwendung ist ein Taxameter, welches Taxigebühren erfasst oder ein anderer Verbrauchszähler, wie zum Beispiel ein Verbrauchszähler für den Strom- oder Gasverbrauch eines Haushalts, insbesondere ein sog. Smartmeter. In another application, the terminal 186 may be a mobile telecommunications device, in particular a smartphone. If the user 102 wants to buy something from the owner of the terminal 186, the holder of the terminal 186 enters the corresponding purchase price in the terminal 186, so that then on the display 188 in the form of the optically detectable pattern turn this purchase price as a payment amount and the URL of the service computer system 150 is output. Upon completion of the transaction, the terminal 186 receives from the service computer system 150 a signal indicating that the payment has been made and the owner of the terminal 186 then delivers the product to the user 102. This can also be implemented in the POS system of, for example, a supermarket. Another application is a taximeter, which covers taxi fees or another consumption meter, such as a consumption meter for the electricity or gas consumption of a household, especially a so-called smart meter.
Bezugszeichenliste LIST OF REFERENCE NUMBERS
100 Nutzer-Computersystem 100 user computer system
102 Nutzer 102 users
04 Schnittstelle  04 interface
106 ID-Token  106 ID tokens
108 Schnittstelle  108 interface
110 Prozessor  110 processor
112 Anwendungsprogramm/lnternet-Browser 112 application program / lnternet browser
113 Programm/Anwendungsprogramm 113 Program / Application Program
114 Netzwerk-Sch n ittstel le  114 Network Settings
116 Netzwerk  116 network
118 elektronischer Speicher  118 electronic memory
120 geschützter Speicherbereich  120 protected storage area
122 geschützter Speicherbereich  122 protected storage area
124 geschützter Speicherbereich 124 protected storage area
26 Speicherbereich  26 memory area
128 Prozessor  128 processor
130 Programminstruktionen  130 program instructions
132 Programminstruktionen  132 program instructions
134 Programminstruktionen  134 program instructions
136 ID-Provider-Computersystem  136 ID provider computer system
138 Netzwerk-Schnittstelle  138 network interface
140 Speicher  140 memory
141 geschützter Speicherbereich  141 protected storage area
142 privater Schlüssel  142 private key
144 Zertifikat  144 certificate
145 Prozessor  145 processor
146 Programminstruktionen  146 program instructions
148 Programminstruktionen  148 program instructions
150 Dienst-Computersystem 150 service computer system
52 Netzwerk-Schnittstelle  52 network interface
154 Prozessor Programminstruktionen154 processor program instructions
Transaktionsanforderungtransaction request
Webseite website
Eingabefeid  Eingabefeid
Eingabeelement input element
Request Request
Zusatzinformation extra information
Programminstruktionenprogram instructions
Nachricht message
Response  response
lokale Verbindunglocal connection
Programminstruktionenprogram instructions
Kennung ID
Lesekommando  read command
Kennung  ID
Terminal  terminal
Display  display
Kamera  camera

Claims

P a t e n t a n s p r ü c h e P a n t a n s p r e c h e
1. Elektronisches Transaktionsverfahren unter Verwendung eines ID-Tokens ( 06), der einem Nutzer (102) zugeordnet ist, wobei der ID-Token einen elektronischen Speicher (118) mit einem geschützten Speicherbereich (124) aufweist, in dem ein oder mehrere Attribute gespeichert sind, wobei ein Zugriff auf den geschützten Speicherbereich nur über einen Prozessor (128) des ID- Tokens möglich ist, und wobei der ID-Token eine Kommunikations- Schnittstelle (108) zur Kommunikation mit einem Lesegerät eines Nutzer- Computersystems (100) aufweist, mit folgenden Schritten: An electronic transaction method using an ID token (06) associated with a user (102), the ID token having an electronic memory (118) with a protected memory area (124) in which one or more attributes are stored wherein access to the protected storage area is only possible via a processor (128) of the ID token, and wherein the ID token has a communication interface (108) for communicating with a reading device of a user computer system (100), with the following steps:
- Aufbau einer ersten Session (201) zwischen einem Anwendungsprogramm ( 12), insbesondere einem Internetbrowser des Nutzer- Computersystems und einem Dienst-Computersystem ( 50) über ein Netzwerk (1 6), Establishing a first session (201) between an application program (12), in particular an Internet browser of the user computer system and a service computer system (50) via a network (1 6),
- Empfang einer Transaktionsanforderung (158) über die erste Session durch das Dienst-Computersystem von dem Anwendungsprogramm (112),  Receiving a transaction request (158) about the first session by the service computer system from the application program (112),
- Erzeugung eines Request (166) durch das Dienst-Computersystem aufgrund des Empfangs der Transaktionsanforderung, wobei der Request von dem Dienst-Computersystem signiert wird und der Request eine Attributspezifikation, der aus dem ID-Token für die Durchführung der Transaktion auszulesenden Attribute, Transaktionsdaten zur Spezifizierung der Transaktion, eine Kennung (180) des Request, eine URL eines I D-Provider-Computersystems und eine URL des Dienst- Computersystems beinhaltet,  - generating a request (166) by the service computer system based on the receipt of the transaction request, the request being signed by the service computer system and the request an attribute specification, the attributes to be read from the ID token for the execution of the transaction, transaction data for Specifying the transaction, an identifier (180) of the request, a URL of an I D provider computer system and a URL of the service computer system,
- Übertragung einer Webseite (160) und des Request über die erste Session von dem Dienst-Computersystem an das Nutzer-Computersystem, wobei die Webseite ein Eingabefeld (162) zur Eingabe einer Zusatzinformation (168) für die Durchführung der Transaktion aufweist, - transmitting a web page (160) and the request for the first session from the service computer system to the user computer system, the web page having an input field (162) for inputting additional information (168) for carrying out the transaction,
- Anzeige der Webseite durch das Anwendungsprogramm und Eingabe der Zusatzinformation durch den Nutzer in das Eingabefeld, Aufbau einer zweiten Session (202) zwischen dem Anwendungsprogramm (112) und dem I D-Provider-Computersystem über das Netzwerk mithilfe der URL des ID-Provider-Computersystems, wobei die zweite Session mit einem gesicherten Transportlayer aufgebaut wird, - Display of the website by the application program and input of additional information by the user in the input field, Establishing a second session (202) between the application program (112) and the I D provider computer system over the network using the URL of the ID provider computer system, wherein the second session is established with a secured transport layer,
Weiterleitung des Request und der Zusatzinformation von dem Anwendungsprogramm an das ID-Provider-Computersystem über die zweite Session, Forwarding the request and the additional information from the application program to the ID provider computer system via the second session,
aufgrund des Empfangs des Request, Erzeugung einer Session-ID für eine dritte Session (203) durch das ID-Provider-Computersystem und Speicherung des Request sowie der Zusatzinformation durch das ID- Provider-Computersystem, on the basis of the receipt of the request, generation of a session ID for a third session (203) by the ID provider computer system and storage of the request and the additional information by the ID provider computer system,
Senden einer Nachricht von dem ID-Provider-Computersystem an das Anwendungsprogramm (112) mit der Session-ID der dritten Session und einer logischen Adresse, insbesondere einer URL, über die zweite Session,  Sending a message from the ID provider computer system to the application program (112) with the session ID of the third session and a logical address, in particular a URL, about the second session,
Aufbau der dritten Session zwischen einem Programm ( 3) des Nutzer- Computersystems und dem ID-Provider-Computersystem über den gesicherten Transportlayer der zweiten Session, wobei das Programm von dem Anwendungsprogramm (112) verschieden sein kann,  Establishing the third session between a program (3) of the user computer system and the ID provider computer system via the secure transport layer of the second session, the program being different from the application program (112),
Übertragung zumindest eines Zertifikats (144) des ID-Provider- Computersystems an das Programm (113), wobei das Zertifikat eine Angabe von Leserechten des ID-Provider-Computersystems zum Lesen von einem oder mehreren der in dem ID-Token gespeicherten Attribute beinhaltet, wobei die Übertragung des Zertifikats über die dritte Session erfolgt, Transmitting at least one certificate (144) of the ID provider computer system to the program (113), the certificate including an indication of read permissions of the ID provider computer system for reading one or more attributes stored in the ID token, wherein the transmission of the certificate takes place via the third session,
Prüfung durch das Programm (113), ob die in dem Zertifikat angegebenen Leserechte ausreichend sind, um einen Lesezugriff des ID-Provider- Computersystems auf das oder die gemäß der Attributspezifikation zu lesenden Attribute zu zulassen, und nur wenn die Leserechte ausreichend sind:  Checking by the program (113) whether the read rights specified in the certificate are sufficient to allow read access by the ID provider computer system to the attribute or attributes to be read according to the attribute specification, and only if the read rights are sufficient:
a) Aufbau einer lokalen Verbindung (176) zwischen dem Lesegerät des Nutzer-Computersystems und dem ID-Token, b) Authentifizierung des Nutzers gegenüber dem ID-Token, wobei ein Session-Key vereinbart wird, a) establishing a local connection (176) between the reader of the user computer system and the ID token, b) authentication of the user against the ID token, whereby a session key is agreed,
c) Aufbau einer vierten Session (204) zwischen dem ID-Token und dem ID-Provider-Computersystem über die lokale Verbindung und die dritte Session mit einer Ende-zu-Ende Verschlüsselung mithilfe des Session-Key,  c) establishing a fourth session (204) between the ID token and the ID provider computer system via the local connection and the third session with end-to-end encryption using the session key,
d) Gegenseitige Authentifizierung des ID-Tokens und des ID-Provider- Computersystems über die vierte Session,  d) Mutual authentication of the ID token and the ID provider computer system over the fourth session,
e) Auslesen des oder der Attribute gemäß der Attributspezifikation  e) reading out the attribute or attributes according to the attribute specification
durch das ID-Provider-Computersystem über die vierte Session aus dem ID-Token.  through the ID provider computer system over the fourth session from the ID token.
- Erzeugung einer Response (174), die das oder die ausgelesenen Attribute und zumindest die Kennung ( 80) des Request beinhaltet, und die von dem ID-Provider-Computersystem signiert wird,  Generating a response (174) which includes the read-out attribute or attributes and at least the identifier (80) of the request, and which is signed by the ID provider computer system,
- Speicherung der Response zum Abrufen mit Hilfe der logischen Adresse, Storing the response for retrieval using the logical address,
- Lesen der Response von dem ID-Provider-Computersystem durch das Nutzer-Computersystem durch Abruf der Response mittels eines Lesekommandos von der logischen Adresse über das Netzwerk, Reading the response from the ID provider computer system by the user computer system by retrieving the response by means of a read command from the logical address via the network,
™ Weiterleitung der Response durch das utzer-Computersystem über die erste Session an das Dienst-Computersystem,  Forwarding the response by the user computer system through the first session to the service computer system.
- Zuordnung der Response zu dem Request mit Hilfe der Kennung, die in der Response beinhaltet ist, durch das Dienst-Computersystem, Assignment of the response to the request by means of the identifier included in the response by the service computer system,
- Durchführung der Transaktion mithilfe der Response durch das ID- Provider-Computersystem. Execution of the transaction by means of the response by the ID provider computer system.
2. Verfahren nach Anspruch 1, wobei es sich bei dem Anwendungsprogramm um einen Internetbrowser handelt, und das weitere Programm ein Plug-in des Internetbrowsers ist, wobei das Piug-in in einer Registry eines Betriebssystems des Nutzer-Computersystems mit einer Plug-in-Kennung (184) registriert ist, wobei die Nachricht von dem ID-Provider-Computersystem an den Internetbrowser die Plug-in-Kennung beinhaltet, sodass das Plug-in aufgrund des Empfangs der Nachricht gestartet wird. 2. The method of claim 1, wherein the application program is an Internet browser, and the other program is a plug-in of the Internet browser, wherein the Piug-in in a registry of an operating system of the user computer system with a plug-in Identifier (184) is registered, wherein the message from the ID provider computer system to the Internet browser includes the plug-in identifier, so that the plug-in is started due to the receipt of the message.
3. Verfahren nach Anspruch 1 , wobei es sich bei dem Programm um ein weiteres Anwendungsprogramm handelt, welches von dem Internetbrowser durch einen Aufruf einer lokalen URL gestartet werden kann, wobei die lokale URL eine fest vorgegebene Portnummer gemäß dem TCP-Protokoil beinhaltet, wobei die lokale URL zusammen mit der Webseite von dem Dienst- Computersystem an das Nutzer-Computersystem übertragen wird, um das Starten des weiteren Anwendungsprogramms mithilfe der lokalen URL durch den Internetbrowser zu bewirken. The method of claim 1, wherein the program is another application program that can be launched from the Internet browser by a call to a local URL, the local URL including a fixed port number according to the TCP protocol, wherein the Local URL along with the web page from the service computer system is transmitted to the user computer system to cause the launch of the further application program using the local URL through the Internet browser.
4. Verfahren nach Anspruch 1 , 2 oder 3, wobei es sich bei der Zusatzinformation um eine Bezahlinformation des Nutzers, insbesondere eine Kontoverbindung oder Kreditkarteninformation, handelt. 4. The method of claim 1, 2 or 3, wherein it is the additional information to a payment information of the user, in particular an account or credit card information is.
5. Verfahren nach Anspruch 4, wobei die Zusatzinformation durch das Nutzer- Computersystem mithilfe des öffentlichen Schlüsseis des Dienst- Computersystems verschlüsselt wird und nur die verschlüsselte Zusatzinformation an das I D-Provider-Computersystem über die zweite Session weitergeleitet wird, wobei die verschlüsselte Zusatzinformation in die Response eingeht und die verschlüsselte Zusatzinformation nach Empfang der 5. The method of claim 4, wherein the additional information is encrypted by the user computer system using the public Schlüsseis the service computer system and only the encrypted additional information is forwarded to the I D provider computer system on the second session, wherein the encrypted additional information in the response is received and the encrypted additional information after receipt of the
Response durch das Dienst-Computersystem mithilfe des privaten Schlüssels des Dienst-Computersystems entschlüsselt wird.  Response is decrypted by the service computer system using the private key of the service computer system.
6. Verfahren nach einem der vorhergehenden Ansprüche, wobei der Request eine Bezahiinformation des Dienst-Computersystems, wie zum Beispiel eine Kontoverbindung, beinhaltet und wobei die Zusatzinformation eine Bezahlinformation des Nutzers, wie zum Beispiel eine Kontoverbindung oder Kreditkarteninformationen des Nutzers, beinhaltet, und wobei die Transaktionsdaten des Request einen Zahlungsbetrag beinhalten, wobei die Zahlung durch das ID-Provider-Computersystem veranlasst wird, und die Response nicht die Bezahiinformation des Nutzers beinhaltet. 6. The method of claim 1, wherein the request includes payment information of the service computer system, such as an account connection, and wherein the additional information includes payment information of the user, such as a user's account or credit card information, and wherein the Transaction data of the request include a payment amount, wherein the payment is initiated by the ID provider computer system, and the response does not include the payment information of the user.
7. Verfahren nach einem der vorhergehenden Ansprüche 1 bis 6, wobei der Request eine Bezahiinformation des Dienst-Computersystems, wie zum Beispiel eine Kontoverbindung, beinhaltet und wobei die Zusatzinformation eine Bezahlinformation des Nutzers, wie zum Beispiel eine Kontoverbindung oder Kreditkarteninformationen des Nutzers, beinhaltet, und wobei die Transaktionsdaten des Request einen Zahlungsbetrag beinhalten, wobei die Zahlung durch das Dienst-Computersystem veranlasst wird, und die Response die mit dem öffentlichen Schlüssel des Dienstcomputersystems verschlüsselte Be- zahlinformation des Nutzers beinhaltet. 7. The method of claim 1, wherein the request includes payment information of the service computer system, such as an account connection, and wherein the additional information includes payment information of the user, such as an account connection or Credit card information of the user, and wherein the transaction data of the request includes a payment amount, wherein the payment is caused by the service computer system, and the response includes the user's payment information encrypted with the public key of the service computer system.
Verfahren nach einem der vorhergehenden Ansprüche, mit folgenden weiteren Schritten: Method according to one of the preceding claims, with the following further steps:
Anzeige eines optisch lesbaren Musters auf einem Bildschirm (188) eines Terminals (186), wobei in dem optisch lesbaren Muster eine Information codiert ist, die zumindest eine URL des Dienst-Computersystems und einen Zahlbetrag beinhaltet, Displaying an optically readable pattern on a screen (188) of a terminal (186), wherein information encoded in the optically readable pattern includes at least one URL of the service computer system and a payment amount,
Erfassung des Musters mithilfe eines optischen Sensors ( 90) des Nutzer-Computersystems und Decodierung des Musters,  Acquiring the pattern using an optical sensor (90) of the user computer system and decoding the pattern,
Aufruf der URL des Dienst-Computersystems, welche über das Muster erfasst wurde, zum Aufbau der ersten Session, wobei über die erste Session der Zahlbetrag mit der Transaktionsanforderung (158) an das Dienst-Computersystem übermittelt wird.  Calling the URL of the service computer system, which was detected via the pattern, for setting up the first session, wherein the first session, the payment amount with the transaction request (158) is transmitted to the service computer system.
9. Verfahren nach Anspruch 8, wobei es sich bei dem Terminal um einen Automat, insbesondere um einen Bankautomat oder einen Verkaufsautomat, handelt, wobei der Nutzer eine Anforderung in den Automat eingibt, woraufhin der Automat das Muster anzeigt, und wobei das Dienst-Computersystem dem Automat die Durchführung der Transaktion signalisiert, woraufhin der Automat die von dem Nutzer eingegebene Anforderung erfüllt. 10. Verfahren nach Anspruch 8 oder 9, wobei es sich bei dem Terminal um ein mobiles Telekommunikationsgerät mit einer Gebührenerfassungsfunktion handelt, wobei das Telekommunikationsgerät das Muster mit einem von der Gebührenerfassungsfunktion erfassten Zahlbetrag anzeigt, wobei das Dienst- Computersystem die Durchführung der Transaktion dem Telekommunikationsgerät über ein Mobilfunknetz signalisiert. The method of claim 8, wherein the terminal is a vending machine, in particular a cash machine or vending machine, wherein the user inputs a request to the vending machine, whereupon the vending machine displays the pattern, and wherein the service computer system the automaton signals the execution of the transaction, whereupon the automaton fulfills the requirement entered by the user. 10. The method of claim 8 or 9, wherein the terminal is a mobile telecommunications device having a billing function, the telecommunications device displaying the pattern with a payment amount detected by the billing function, wherein the service Computer system signals the implementation of the transaction to the telecommunications device via a mobile network.
11. Verfahren nach Anspruch 8, 9 oder 10, wobei es sich bei dem Muster um 11. The method of claim 8, 9 or 10, wherein the pattern is um
einen eindimensionalen, zweidimensionalen, High Capacity Color Barcode, a one-dimensional, two-dimensional, high-capacity color barcode,
Maxicode, QR-Code oder Data Matrix-Code oder eine zeitliche Reihenfolge mehrerer solcher Codes handelt. 2. Verfahren nach einem der vorhergehenden Ansprüche, wobei es sich bei dem ID-Token um ein Wert- oder Sicherheitsdokument handelt, das heißt insbesondere ein Ausweisdokument, das heißt ein ID-Dokument, insbesondere einen elektronischen Personalausweis, Reisepass, Führerschein, Firmenausweis oder ein Zahlungsmittel, wie zum Beispiet eine Banknote, eine Kreditkarte oder einen sonstigen Berechtigungsnachweis, wie zum Beispiel eine Eintrittskarte, einen Frachtbrief oder ein Visum, insbesondere eine Chipkarte, insbesondere mit RFID- und/oder N FC-Schnittstelle. Maxicode, QR code or Data Matrix code, or a temporal order of several such codes. 2. The method according to any one of the preceding claims, wherein the ID token is a value or security document, that is, in particular an identity document, that is an ID document, in particular an electronic identity card, passport, driver's license, company card or a Payment means, such as a banknote, a credit card or other credentials, such as an entrance ticket, a bill of lading or a visa, in particular a smart card, in particular with RFID and / or N FC interface.
13. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Response auch die Zusatzinformationen beinhaltet. 13. The method according to any one of the preceding claims, wherein the response also includes the additional information.
14. Verfahren nach Anspruch 13, wobei die Zusatzinformation ein OTP beinhaltet und das Dienst-Computersystem (150) die Validität des OTP prüft, wobei die Transaktion nur durchgeführt wird, wenn das OTP valide ist. 15. Computersystem mit einem Dienst-Computersystem (150), einem Nutzer- Computersystem (100) einem ID-Provider-Computersystem (136) und einem iD-Token (106), der einem Nutzer ( 02) zugeordnet ist, wobei der ID-Token einen elektronischen Speicher (118) mit einem geschützten Speicherbereich (124) aufweist, in dem ein oder mehrere Attribute gespeichert sind, wobei ein Zugriff auf den geschützten Speicherbereich nur über einen Prozessor ( 28) des ID-Tokens möglich ist, und wobei der ID-Token eine Kommunikations- Schnittstelle (108) zur Kommunikation mit einem Lesegerät eines Nutzer- Computersystems (100) aufweist, wobei das Dienst-Computersystem, das Nutzer-Computersystem, das lD- Provider-Computersystem und der ID-Token zur Durchführung der folgenden Schritte ausgebildet sind: The method of claim 13, wherein the additional information includes an OTP and the service computer system (150) verifies the validity of the OTP, wherein the transaction is performed only if the OTP is valid. A computer system having a service computer system (150), a user computer system (100), an ID provider computer system (136), and an iD token (106) associated with a user (02), wherein the ID Token an electronic memory (118) with a protected memory area (124) in which one or more attributes are stored, wherein access to the protected memory area is only possible via a processor (28) of the ID token, and wherein the ID Token has a communication interface (108) for communicating with a reader of a user computer system (100), wherein the service computer system, the user computer system, the lD Provider computer system and the ID token are designed to carry out the following steps:
- Aufbau einer ersten Session zwischen einem Anwendungsprogramm, insbesondere einem Internetbrowser des Nutzer-Computersystems und einem Dienst-Computersystem über ein Netzwerk, Establishing a first session between an application program, in particular an Internet browser of the user computer system and a service computer system via a network,
- Empfang einer Transaktionsanforderung über die erste Session durch das Dienst-Computersystem von dem Anwendungsprogramm,  Receiving a transaction request for the first session by the service computer system from the application program,
- Erzeugung eines Request durch das Dienst-Computersystem aufgrund des Empfangs der Transaktionsanforderung, wobei der Request von dem Dienst-Computersystem signiert wird und der Request eine Attributspezifikation, der aus dem ID-Token für die Durchführung der Transaktion auszulesenden Attribute, Transaktionsdaten zur Spezifizierung der Transaktion, eine Kennung des Request, eine URL eines ID-Provider- Computersystems und eine URL des Dienst-Computersystems beinhaltet,  The request is received by the service computer system and the request is an attribute specification, the attributes to be read from the ID token for carrying out the transaction, transaction data for specifying the transaction , an identifier of the request, a URL of an ID provider computer system, and a URL of the service computer system,
- Übertragung einer Webseite und des Request über die erste Session von dem Dienst-Computersystem an das Nutzer-Computersystem, wobei die Webseite ein Eingabefeld zur Eingabe einer Zusatzinformation für die Durchführung der Transaktion aufweist,  Transferring a web page and the request for the first session from the service computer system to the user computer system, the web page having an input field for inputting additional information for carrying out the transaction,
- Anzeige der Webseite durch das Anwendungsprogramm und Eingabe der Zusatzinformation durch den Nutzer in das Eingabefeld,  - Display of the website by the application program and input of additional information by the user in the input field,
- Aufbau einer zweiten Session zwischen dem Anwendungsprogramm und dem ID-Provider-Computersystem über das Netzwerk mithilfe der URL des I D-Provider-Computersystems, wobei die zweite Session mit einem gesicherten Transportlayer aufgebaut wird,  Establishing a second session between the application program and the ID provider computer system over the network using the URL of the I D provider computer system, wherein the second session is established with a secured transport layer,
- Weiterleitung des Request und der Zusatzinformation von dem Anwendungsprogramm an das ID-Provider-Computersystem über die zweite Session,  Forwarding the request and the additional information from the application program to the ID provider computer system via the second session,
- aufgrund des Empfangs des Request, Erzeugung einer Session-ID für eine dritte Session durch das ID-Provider-Computersystem und Speicherung des Request sowie der Zusatzinformation durch das ID-Provider- Computersystem , Senden einer Nachricht von dem I D-Provider-Computersystem an den Anwendungsprogramm mit der Session-ID der dritten Session und einer logischen Adresse, insbesondere einer URL, über die zweite Session, Aufbau der dritten Session zwischen einem Programm des Nutzer- Computersystems und dem 1 D-Provider-Computersystem über den gesicherten Transportlayer der zweiten Session, wobei das Programm von dem Anwendungsprogramm verschieden sein kann, on the basis of the reception of the request, generation of a session ID for a third session by the ID provider computer system and storage of the request and the additional information by the ID provider computer system, Sending a message from the I D provider computer system to the application program with the session ID of the third session and a logical address, in particular a URL, on the second session, building the third session between a program of the user computer system and the 1 D provider computer system via the secure transport layer of the second session, wherein the program may be different from the application program,
Übertragung zumindest eines Zertifikats des ID-Provider- Computersystems an das Programm, wobei das Zertifikat eine Angabe von Leserechten des ID-Provider-Computersystems zum Lesen von einem oder mehreren der in dem ID-Token gespeicherten Attribute beinhaltet, wobei die Übertragung des Zertifikats über die dritte Session erfolgt, Prüfung durch das Programm, ob die in dem Zertifikat angegebenen Leserechte ausreichend sind, um einen Lesezugriff des I D-Provider- Computersystems auf das oder die gemäß der Attributspezifikation zu lesenden Attribute zu zulassen, und nur wenn die Leserechte ausreichend sind: Transmitting at least one certificate of the ID provider computer system to the program, wherein the certificate includes an indication of read rights of the ID provider computer system for reading one or more of the attributes stored in the ID token, the transmission of the certificate via the third session, check by the program, whether the read rights specified in the certificate are sufficient to allow read access by the I D provider computer system to the attribute or attributes to be read according to the attribute specification, and only if the read rights are sufficient:
a) Aufbau einer lokalen Verbindung zwischen dem Lesegerät des Nutzer-Computersystems und dem ID-Token,  a) establishing a local connection between the reader of the user computer system and the ID token,
b) Authentifizierung des Nutzers gegenüber dem ID-Token, wobei ein Session-Key vereinbart wird,  b) authentication of the user against the ID token, whereby a session key is agreed,
c) Aufbau einer vierten Session zwischen dem ID-Token und dem ID- Provider-Computersystem über die lokale Verbindung und die dritte Session mit einer Ende-zu-Ende Verschlüsselung mithilfe des Session-Key, c) establishing a fourth session between the ID token and the ID provider computer system via the local connection and the third session with end-to-end encryption using the session key,
d) Gegenseitige Authentifizierung des ID-Tokens und des ID-Provider- Computersystems über die vierte Session, d) Mutual authentication of the ID token and the ID provider computer system over the fourth session,
e) Auslesen des oder der Attribute gemäß der Attributspezifikation e) reading out the attribute or attributes according to the attribute specification
durch das ID-Provider-Computersystem über die vierte Session aus dem ID-Token.  through the ID provider computer system over the fourth session from the ID token.
Erzeugung einer Response, die das oder die ausgelesenen Attribute, die Kennung der Request beinhaltet, und die von dem ID-Provider- Computersystem signiert wird, Speicherung der Response zum Abrufen mit Hilfe der logischen Adresse, Lesen der Response von dem I D-Provider-Computersystem durch das Nutzer-Computersystem durch Abruf der Response mittels eines Lesekommandos von der logischen Adresse über das Netzwerk, Generation of a response that includes the read attribute or attributes, the identifier of the request, and that is signed by the ID provider computer system, Storing the response for retrieval using the logical address, reading the response from the I D provider computer system by the user computer system by retrieving the response by means of a read command from the logical address over the network,
Weiterleitung der Response durch das Nutzer-Computersystem über die erste Session an das Dienst-Computersystem,  Forwarding the response by the user computer system via the first session to the service computer system,
Zuordnung der Response zu dem Request mit Hilfe der Kennung, die in der Response beinhaltet ist durch das Dienst-Computersystem,  Assigning the response to the request using the identifier included in the response by the service computer system,
Durchführung der Transaktion mithilfe der Response durch das ID- Provider-Computersystem.  Execution of the transaction using the response from the ID provider computer system.
Computersystem nach Anspruch 15 mit einem Terminal zur Anzeige eines optisch erfassbaren Musters und mit einem optischen Sensor, der mit dem Nutzer-Computersystem verbunden ist, wobei das Nutzer-Computersystem dazu ausgebildet ist, mit dem optischen Sensor (190) das optisch erfassbare Muster von der Anzeige zu erfassen, insbesondere in dem Muster beinhaltete Transaktionsdaten sowie die URL des Dienst-Computersystems, um daraufhin die Transaktionsanforderung mit diesen Transaktionsdaten zu erzeugen und über die erste Session an die URL des Dienst-Computersystems zu senden, wobei das Dienst-Computersystem nach Durchführung der Transaktion ein Bestätigungssignal an das Terminal sendet. The computer system of claim 15 including a terminal for displaying an optically detectable pattern and having an optical sensor connected to the user computer system, wherein the user computer system is adapted to communicate with the optical sensor (190) the optically detectable pattern of the computer Display, in particular in the pattern included transaction data and the URL of the service computer system, then to generate the transaction request with this transaction data and to send the first session to the URL of the service computer system, the service computer system after performing the Transaction sends a confirmation signal to the terminal.
Computersystem nach Anspruch 16, wobei es sich bei dem Terminal um einen Automat, insbesondere einen Bankautomat oder einen Verkaufsautomat, handelt. Computer system according to claim 16, wherein the terminal is an automatic machine, in particular an automatic cash dispenser or a vending machine.
Computersystem nach Anspruch 16 oder 7, wobei es sich bei dem Terminal um ein mobiles Telekommunikationsgerät, insbesondere ein Taxameter oder ein Smartphone, mit einer Gebührenerfassungsfunktion, oder ein Smartmeter zur Erfassung eines Verbrauchswerts handelt. Computer system according to claim 16 or 7, wherein the terminal is a mobile telecommunication device, in particular a taximeter or a smartphone, with a billing function, or a smart meter for detecting a consumption value.
PCT/EP2014/060576 2013-06-28 2014-05-22 Electronic transaction method and computer system WO2014206660A1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP14725701.8A EP3014539A1 (en) 2013-06-28 2014-05-22 Electronic transaction method and computer system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102013212627.1 2013-06-28
DE102013212627.1A DE102013212627B4 (en) 2013-06-28 2013-06-28 Electronic transaction process and computer system

Publications (1)

Publication Number Publication Date
WO2014206660A1 true WO2014206660A1 (en) 2014-12-31

Family

ID=50771497

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2014/060576 WO2014206660A1 (en) 2013-06-28 2014-05-22 Electronic transaction method and computer system

Country Status (3)

Country Link
EP (1) EP3014539A1 (en)
DE (1) DE102013212627B4 (en)
WO (1) WO2014206660A1 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108885774A (en) * 2016-04-12 2018-11-23 Visa欧洲有限公司 System for executing the validity check of user apparatus
CN110428307A (en) * 2018-08-30 2019-11-08 腾讯科技（深圳）有限公司 Method of commerce, system, equipment and the storage medium of virtual pet commodity

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102016200003A1 (en) * 2016-01-04 2017-07-06 Bundesdruckerei Gmbh Access control via authentication server
CN111212062B (en) * 2019-12-31 2022-09-30 航天信息股份有限公司 Information completion method and device, storage medium and electronic equipment

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050097060A1 (en) * 2003-11-04 2005-05-05 Lee Joo Y. Method for electronic commerce using security token and apparatus thereof
DE102011089580B3 (en) * 2011-12-22 2013-04-25 AGETO Innovation GmbH Method for reading e.g. attribute stored in passport, for electronic-commerce application, involves examining whether attribute of security assertion markup language response fulfills criterion as premiss for contribution of service

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1282055A4 (en) * 2000-03-09 2009-08-12 Kitagawa Yoshiko Information processing apparatus with optical data reader, servers, and electronic commerce method
DE102008000067C5 (en) * 2008-01-16 2012-10-25 Bundesdruckerei Gmbh Method for reading attributes from an ID token
US20160210491A9 (en) * 2008-09-30 2016-07-21 Apple Inc. Systems and methods for secure wireless financial transactions
DE102011082101B4 (en) 2011-09-02 2018-02-22 Bundesdruckerei Gmbh A method of creating a soft token, computer program product, and service computer system

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050097060A1 (en) * 2003-11-04 2005-05-05 Lee Joo Y. Method for electronic commerce using security token and apparatus thereof
DE102011089580B3 (en) * 2011-12-22 2013-04-25 AGETO Innovation GmbH Method for reading e.g. attribute stored in passport, for electronic-commerce application, involves examining whether attribute of security assertion markup language response fulfills criterion as premiss for contribution of service

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108885774A (en) * 2016-04-12 2018-11-23 Visa欧洲有限公司 System for executing the validity check of user apparatus
CN110428307A (en) * 2018-08-30 2019-11-08 腾讯科技（深圳）有限公司 Method of commerce, system, equipment and the storage medium of virtual pet commodity

Also Published As

Publication number Publication date
DE102013212627A1 (en) 2014-12-31
EP3014539A1 (en) 2016-05-04
DE102013212627B4 (en) 2021-05-27

Similar Documents

Publication Publication Date Title
DE102011082101B4 (en) A method of creating a soft token, computer program product, and service computer system
EP3089061B1 (en) Method for reading attributes from an id-token
EP2304642B1 (en) Method for reading attributes from an id token
EP2454703B1 (en) Method for reading attributes from an id token
DE102012219618B4 (en) A method of creating a soft token, computer program product, and service computer system
EP2949094B1 (en) Method for authenticating a user with respect to a machine
EP2454705B1 (en) Method to read attributes from an id-token and one-time passwort generator
EP2817758B1 (en) Computer-implemented payment method
DE102013212627B4 (en) Electronic transaction process and computer system
DE102013212646B4 (en) Electronic transaction procedure and computer system
EP2879073B1 (en) Electronic transaction method and computer system
EP2752785B1 (en) Method for personalisation of a secure element (SE) and computer system
EP2916252B1 (en) Electronic transaction method and computer system
DE102013022434B3 (en) Electronic transaction process and computer system
DE102013022433B3 (en) Electronic transaction process and computer system
DE102013022436B3 (en) Electronic transaction process and computer system
EP2819079B1 (en) Electronic transaction method and computer system
DE102013022435B3 (en) Electronic transaction process and computer system
DE102013022438B3 (en) Electronic transaction process and computer system
DE102013022448B3 (en) Electronic transaction process and computer system
DE102013022447B3 (en) Electronic transaction process and computer system
DE102013022445B3 (en) Electronic transaction process and computer system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14725701

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2014725701

Country of ref document: EP