AT8794U1 - Kartenlesegerät für chipkarten - Google Patents

Abstract

Bei einem Kartenlesegerät für Chipkarten, die mit einer oder mehreren Sicherungen in Form von Codes, wie einer PIN, einem PUK und/oder dgl., und/oder kryptografischen Authentifizierungsschlüsseln, gesichert sind, mit einer Tastatur und einem Display, die zumindest zeitweise unter die ausschließliche Kontrolle des Kartenlesegerätes stellbar sind und dann ausschließlich von der Firmware des Kartenlesegerätes gesteuert werden, und mit einer Schnittstelle zur Verbindung mit einem Rechner werden, um Denial-of-Service-Attacken abzuwehren, auf der Schnittstelle keinerlei Kommandos zur Verifizierung der Sicherungen unterstützt, bei welchen die Sicherungen automatisch über die Schnittstelle übertragen werden.

Description

2 AT 008 794 U1

Die Erfindung betrifft ein Kartenlesegerät für Chipkarten, die mit einer oder mehreren Sicherungen in Form von Codes, wie einer PIN, einem PUK und/oder dgl., und/oder kryptografischen Authentifizierungsschlüsseln, gesichert sind, mit einer Tastatur und einem Display, die zumindest zeitweise unter die ausschließliche Kontrolle des Kartenlesegerätes stellbar sind und dann 5 ausschließlich von der Firmware des Kartenlesegerätes gesteuert werden, und mit einer Schnittstelle zur Verbindung mit einem Rechner.

In vielen chipkartenbasierten Anwendungen sind die Chipkarten mit Codes, wie PINs, PUKs und/oder dgl. gegen Missbrauch abgesichert. Davon unabhängig kann der Lese- und/oder io Schreibzugriff auf einzelne Dateien der Karte kryptografisch abgesichert sein, d.h. von der Authentifikation mit einem krytografischen Schlüssel abhängig gemacht werden. Diesen Mechanismen ist gemeinsam, dass nach einer bestimmten Anzahl von Fehlversuchen für den Code bzw. die Authentifikation die Karte, oder bestimmte Applikationen der Karten, von jeder weiteren Verwendung irreversibel ausgeschlossen ist. Das soll verhindern, dass der Code oder 15 die Codes zu einer Karte bzw. der oder die Authentifizierungssschlüssel mittels Brüte "Force Attacken (einfaches Ausprobieren) einfach herausgefunden werden können. Der einzige Weg, dem Anwender die blockierte Applikation wieder zur Verfügung zu stellen, ist der Austausch der Karte oder unter Umständen das Entsperren mit einem Spezialkey bei persönlicher Vorsprache an speziell ausgestatteten Arbeitsplätzen. Beides ist mit hohen Kosten verbunden. 20

Ein Schwachpunkt an dieser Konzeption ist jener, dass die PINs/PUKs nicht unbedingt am Kartenlesegerät eingegeben werden müssen, sondern diese Daten auch über die Schnittstelle an den Kartenleser angeliefert werden können. Ebenso werden erforderliche kryptografische Authentifizierungen von Dateizugriffen grundsätzlich über diese Schnittstelle übertragen. Dieser 25 Umstand kann von Angreifern mittels einer sogenannten „Denial of Service Attacke“ ausgenützt werden. Dabei verbreitet der Angreifer einen Virus oder eine andere bösartige Software, welche Chipkarten gezielt unbrauchbar macht, die auf befallenen Systemen verwendet werden, indem sie Verifizierungsversuche mit bewusst falschen PINs bzw. PUKs so lange durchführt, bis die Karte unbrauchbar ist. Eine solche Attacke könnte kartengestützte Systeme für E-Gövemment, 30 E-banking und dgl. wirksam sabotieren und beträchtlichen Schaden verursachen.

Um eine Chipkarte zum Einsatz bringen zu können, ist die Verwendung eines Kartenlesegeräts für Chipkarten notwendig. Die Kartenlesegeräte werden in Sicherheitsklassen eingeteilt, höhere Klassen bedeuten höhere Sicherheit. Die derzeit am Markt erhältlichen Chipkartenleser können 35 in drei Klassen eingeteilt werden.

Ein Kartenleser der Klasse 1 dient lediglich als Kanal zur Karte. Es findet kein Eingriff des Kartenlesers in den transparenten Kartenzugriff vom PC aus statt. Jeder Befehl wird also direkt weiter zur Karte geleitet. Das Kartenlesegerät kann eine Tastatur und ein Display besitzen, 40 dieses steht aber nicht unter der ausschließlichen Kontrolle des Chipkartenlesegeräts, die Tastatur bzw. das Display können also vom PC ferngesteuert werden.

Ein Kartenleser der Klasse 2 besitzt eine Tastatur, die zumindest zeitweise unter die ausschließliche Kontrolle des Kartenlesers gestellt werden kann, d.h. der PC kann die dort einge-45 gebenen Daten nicht „mithören“.

Ein Kartenleser der Klasse 3 besitz eine Tastatur und ein, in der Regel alphanumerisches, Display, die zumindest teilweise unter die ausschließliche Kontrolle des Kartenlesers gestellt werden können, so dass der PC die Tastatureingaben nicht mithören und die Displayausgaben so nicht beeinflussen kann. Die Tastatur und das Display werden dann ausschließlich von der Firmware des Kartenlesers gesteuert. Kartenleser der Klasse 3 kommen für die Verwendung der GeldKarte im Internet oder für das Anzeigen und Bestätigen von HBCI-Überweisungsdaten zum Einsatz. 55 Aufgabe der vorliegenden Erfindung ist es ein Kartenlesegerät zu schaffen, das die oben

L 3 AT 008 794 U1 beschriebenen Denial-of-Service-Attacken verhindert.

Das erfindungsgemäße Kartenlesegerät für Chipkarten, die mit einer oder mehreren Sicherungen in Form von Codes, wie einer PIN und/oder einem PUK, und/oder kryptografischen Authen-tifizierungsschlüsseln gesichert sind, mit einer Tastatur und einem Display, die zumindest zeitweise unter die ausschließliche Kontrolle des Kartenlesegerätes stellbar sind und dann ausschließlich von der Firmware des Kartenlesegerätes gesteuert werden, und mit einer Schnittstelle zur Verbindung mit einem Rechner, ist dadurch gekennzeichnet, dass auf der Schnittstelle keinerlei Kommandos zur Verifizierung der Sicherungen unterstützt werden, bei welchen die Sicherungen automatisch über die Schnittstelle übertragen werden. Es kommt also ein Kartenleser der Sicherheitsklasse 3 zum Einsatz, der sich durch die im Kennzeichen des Anspruches 1 der beiliegenden Ansprüche genannten Merkmale von Kartenlesern der Sicherheitsklasse 3 des Standes der Technik unterscheidet. Diese im Kennzeichen genannten Eigenschaften haben zur Folge, dass integrierte Verifizierungskommandos, die von einer böswilligen Software an die Karte abgesetzt werden, keinen Schaden mehr anrichten können, da sie nicht ohne Benutzerinteraktion bis zur Karte durchgeleitet werden können. Für Sicherungen in Form von Codes werden keine Codes über die Schnittstelle übertragen und es wird immer die Eingabe des bzw. der Codes auf der Tastatur des Kartenlesegerätes erzwungen.

Bei Sicherungen in Form von kryptografischen Authentifizierungsschlüsseln wird immer vor Zugriff auf eine durch einen kryptografischen Authentifizierungsschlüssel gesicherte Datei eine Bestätigung über die Tastatur erzwungen.

Bei einer Ausführungsform der Erfindung weist das Kartenlesegerät einen wiederbeschreibbaren Speicher auf, in dem Informationen in Form eines Datenpaares aus dem ATR der Chipkarte und dem zu blockierenden Kommando abgelegt sind. Der ATR (Answer to Reset) identifiziert eine identische Serie von Chipkarten eindeutig und kann daher als Identifikationsmerkmal herangezogen werden. Die Regeln werden vom Hersteller des Kartenlesers jeweils aktuell zur Verfügung gestellt und werden z.B. als Download von einer Intemetseite angeboten. Der Benutzer des Chipkartenlesers lädt sich jeweils die aktuellen Blockadedaten auf seinen PC und kann diese Daten mit einer vom Hersteller des Kartenlesers zur Verfügung gestellten Software im Kartenleser abspeichern. Das Update der Regeln im Kartenleser kann zudem kryptografisch gegen Verfälschung gesichert sein (z.B. durch digitale Signatur der Regeleinträge).

Bei einer weiteren Ausführungsform der Erfindung können zusätzlich oder alternativ zu den oben angeführten Blockaderegeln auch Alarmregeln in Form eines Datenpaares aus dem ATR der Chipkarte und der Identifikation einer kryptografisch abgesicherten Datei abgelegt sein. Eine Alarmregel bewirkt, dass für eine Karte mit einem bestimmten ATR beim Versuch eines authentifizierten Lese- oder Schreibzugriff auf eine bestimmte kryptografisch abgesicherte Datei eine Warnmeldung auf dem Display des Kartenlesegerätes angezeigt wird, die den Benutzer zur Bestätigung des Zugriffsversuchs auffordert. Das Kartenlesegerät führt den angeforderten Zugriff nur dann aus, wenn der Benutzer diesen durch Bestätigung auf der Tastatur des Kartenlesegeräts zulässt. In den einzelnen Alarmregeln ist angegeben, welche der Dateien auf der Karte durch eine solche Benutzerbestätigung abgesichert werden können. Auf diese Weise ist sichergestellt, dass keine Software unbemerkt vom Benutzer Authentifizierungsversuche für derart abgesicherte Dateien durchführen kann. Für jede Chipkartenserie (durch den ATR identifiziert) können beliebig viele Regeln abgespeichert werden.

Claims (5)

1. 4 AT 008 794 U1 Ansprüche: 1. Kartenlesegerät für Chipkarten, die mit einer oder mehreren Sicherungen in Form von Codes, wie einer PIN, einem PUK und/oder dgl., und/oder kryptografischen Authentifizie- 5 / rungsschlüsseln, gesichert sind, mit einer Tastatur und einem Display, die zumindest zeit weise unter die ausschließliche Kontrolle des Kartenlesegerätes stellbar sind und dann ausschließlich von der Firmware des Kartenlesegerätes gesteuert werden, und mit einer Schnittstelle zur Verbindung mit einem Rechner, dadurch gekennzeichnet, dass auf der Schnittstelle keinerlei Kommandos zur Verifizierung der Sicherungen unterstützt werden, io bei welchen die Sicherungen automatisch über die Schnittstelle übertragen werden.
2. 2. Kartenlesegerät nach Anspruch 1, dadurch gekennzeichnet, dass keine Codes über die Schnittstelle übertragen werden und dass immer die Eingabe des bzw. der Codes auf der Tastatur des Kartenlesegerätes erzwungen wird. 15
3. 3. Kartenlesegerät nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass immer vor Zugriff auf eine durch einen kryptografischen Authentifizierungsschlüssel gesicherte Datei eine Bestätigung über die Tastatur erzwungen wird.
4. 4. Kartenlesegerät nach einem der Ansprüche 1,2 oder 3, dadurch gekennzeichnet, dass das Kartenlesegerät einen wiederbeschreibbaren Speicher aufweist, in dem Informationen in Form eines Datenpaares aus dem ATR der Chipkarte und dem zu blockierenden Kommando abgelegt sind.
5. 5. Kartenlesegerät nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass das Kartenlesegerät einen wiederbeschreibbaren Speicher aufweist, in dem Informationen in Form eines Datenpaares aus dem ATR der Chipkarte und der Identifikation einer kryp-tografisch abgesicherten Datei abgelegt sind. 30 Keine Zeichnung 35 40 45 50 55