CH619551A5

CH619551A5 - Method for obtaining a high degree of protection against falsification of a card which bears permanent and variable, machine-readable information

Info

Publication number: CH619551A5
Application number: CH82477A
Authority: CH
Inventors: Kurt Ehrat
Original assignee: Gretag Ag
Priority date: 1977-01-24
Filing date: 1977-01-24
Publication date: 1980-09-30
Also published as: DE2802430A1; GB1546053A

Description

619 551

PATENTANSPRÜCHE

1. Verfahren zur Erzielung hoher Fälschungssicherheit bei einer maschinell lesbare Informationen tragenden Karte (1), auf der eine Information (IU) permanent und eine andere Information (IM) veränderbar gespeichert ist, dadurch gekennzeichnet, 5 dass die veränderbare, im folgenden Echtheitsinformation genannte Information (IAi) bei der Erstellung der Karte durch Chiffrierung unter Verwendung zumindest ausgewählter Teile der auf der Karte vorhandenen permanenten Information (IU) und einer geheimen Schlüsselinformation (IE,) gebildet und auf 10 der Karte (1) gespeichert wird und dass bei der Prüfung der Karte unter Verwendung derselben ausgewählten Teile der permanenten Information (IU) und der geheimen Schlüsselinformation (IEj) eine Prüfinformation (IA,) gebildet und auf Übereinstimmung mit der auf der Karte gespeicherten Echt- 15 heitsinformation geprüft wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet,

dass zur Bildung der Echtheitsinformation eine weitere, im wesentlichen bei jeder Bildung andere Zusatzinformation (IV) verwendet und unverschlüsselt, vorzugsweise nach demselben 2» physikalischen Prinzip wie die Echtheitsinformation (IA,), auf der Karte (1) gespeichert wird und dass bei der Prüfung der Karte die darauf gespeicherte Zusatzinformation zusammen mit wenigstens den ausgewählten Teilen der permanenten Information und der geheimen Schlüsselinformation zur Bildung der 25 Prüfinformation herangezogen wird.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet,

dass bei der Erstellung und Prüfung der Karte aus der geheimen Schlüsselinformation (IEt) und wenigstens der Zusatzinformation (IV) durch Chiffrierung eine Auswahlinformation (IA2) 3« gebildet wird, aufgrund welcher die für die Chiffrierung heranzuziehenden Teile der permanenten Information (IV) ausgewählt werden.

4. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass zur Bildung der Echtheitsinfor- 35 mation (IA() und der Prüfinformation (IA[) zusätzlich eine persönliche Geheiminformation (IE4) des Kartenbenutzers verwendet wird (Fig. 9).

5. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass zusätzliche Dateninformation 40 (IDj) mittels der Echtheitsinformation (IA[) chiffriert und in chiffrierter Form und vorzugsweise nach demselben physikalischen Prinzip wie die Echtheitsinformation auf der Karte gespeichert wird und dass bei der Prüfung der Karte die zusätzliche Dateninformation (ID2) durch Dechiffrierung mit der Echt- 45 heitsinformation (IA[) in unchiffrierter Form wiedergewonnen wird (Fig. 9).

6. Verfahren nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass bei jeder Prüfung der Karte (1)

ein Teil der permanenten Information (IU) irreversibel gelöscht 50 und die sich aus dem Löschzustand der permanenten Information ergebende Löschinformation (IL) ebenfalls zur Bildung der Echtheitsinformation (IAj) und der Prüfinformation (IAt) herangezogen wird.

7. Verfahren nach Anspruch 2, dadurch gekennzeichnet, 55 dass als Zusatzinförmation (IV) eine bei jedem Prüfvorgang ändernde Lauf nummer verwendet wird.

8. Verfahren nach Anspruch 2, dadurch gekennzeichnet,

dass als Zusatzinformation (IV) Datum und/oder Uhrzeit verwendet wird. so

9. Verfahren nach Anspruch 2, dadurch gekennzeichnet,

dass als Zusatzinformation (IV) eine Zufallsinformation verwendet wird.

10. Verfahren nach einem der voranstehenden Ansprüche, 65 dadurch gekennzeichnet, dass ein vorbestimmter Teil der permanenten Information (IU) als z.B. die Identität des Kartenbenutzers beinhaltende Kenninformation (IDu) verwendet wird.

11. Verfahren nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass durch die Echtheits- oder Prüfinformation bestimmte Teile der permanenten Information (IU) als Kenninformation verwendet werden.

12. Verfahren nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass die permanente Information (IU) auf der Karte (1) durch die räumliche Anordnung einer Vielzahl von in die Karte eingebetteten, der mechanischen Abtastung nicht zugänglichen optischen Reflexflächen (Rt—Rn, RZ) dargestellt ist und alle übrigen Informationen auf einer Magnetspur (2) gespeichert sind (Fig. 9).

13. Verfahren nach den Ansprüchen 3 und 12, dadurch gekennzeichnet, dass Gruppen von Reflexflächen (Rp-Rn) in Reflexzonen (RZ) zusammengefasst sind und dass mindestens eine dieser Reflexzonen (RZ) durch die Auswahlinformation (IA2) für die Chiffrierung ausgewählt wird.

14. Einrichtung zur Durchführung des Verfahrens nach Patentanspruch 1, mit Karten, die zwei maschinell lesbare Informationen tragen, wobei die eine Information (IU) permanent und die andere Information (IM) veränderbar gespeichert ist, und mit einer Erstellungs- und Prüfstation für die Karten (1), welche Station erste Mittel (67) zum Ablesen der permanenten Information, zweite Mittel (3) zum Ablesen der veränderbar gespeicherten Information und Schreibmittel (3) zum veränderbaren Speichern von Information auf den Karten sowie eine mit den beiden Ablesemitteln (67,3) und den Schreibmitteln (3) zusammenwirkende Auswertestufe (52) umfasst, dadurch gekennzeichnet, dass die Auswertestufe (52) einen Speicher

(17) für eine geheime Schlüsselinformation, eine Entscheidungsstufe (18) und einen Chffriergenerator (16) enthält, welcher aus der im Speicher (17) gespeicherten geheimen Schlüsselinformation und der von den ersten Lesemitteln (67) jeweils von den Karten abgelesenen permanenten Information eine erste Ausgangsinformation erzeugt, dass die Entscheidungsstufe

(18) bei der Prüfung einer Karte die erste Ausgangsinformation als Prüfinformation auf Übereinstimmung mit der von den zweiten Lesemitteln (3) von der betreffenden Karte als Echtheitsinformation abgelesenen veränderbaren Information prüft, und dass die Schreibmittel (3) bei der Erstellung einer Karte die erste Ausgangsinformation als Echtheitsinformation auf der jeweiligen Karte speichern.

15. Einrichtung nach Anspruch 14, dadurch gekennzeichnet, dass die Auswertestufe (52) einen an den Chiffriergenerator (16) angeschlossenen Generator (26) zur Erzeugung einer sich von Prüfung zu Prüfung ändernden Zusatzinformation umfasst, dass Schreibmittel (3) zum Speichern dieser Zusatzinformation auf den Karten vorgesehen sind, dass Lesemittel (3) vorgesehen sind, welche die Zusatzinformation von den Karten ablesen, und dass der Chiffriergenerator die erste Ausgangsinformation aus der Schlüsselinformation, der permanenten Information und der Zusatzinformation erzeugt (Fig. 9).

16. Einrichtung nach Anspruch 15, dadurch gekennzeichnet, dass die Schreibmittel zum veränderbaren Speichern von Information und die Schreibmittel zum Speichern der Zusatzinformation durch ein und dieselben Schreibmittel (3) gebildet sind und dass die Lesemittel für die veränderbar gespeicherte Information und die Lesemittel für die Zusatzinformation durch ein und dieselben Lesemittel (3) gebildet sind (Fig. 9).

17. Einrichtung nach einem der Ansprüche 14-16, dadurch gekennzeichnet, dass an den Chiffriergenerator (16) angeschlossene Mittel (25) zur Eingabe einer Gedächtnisinformation in den Chiffriergenerator vorgesehen sind und dass der Chiffriergenerator bei der Erzeugung der ersten Ausgangsinformation diese Gedächtnisinformation mit berücksichtigt.

18. Einrichtung nach Anspruch 15, dadurch gekennzeichnet, dass Mittel (67) zur Auswahl von Teilen der auf den Karten gespeicherten permanenten Information vorgesehen sind, dass

3

619 551

der Chiffriergenerator aus der Zusatzinformation und der tion während des Prüfvorgangs durch den Kartenbesitzer eine geheimen Schlüsselinformation eine zweite Ausgangsinforma- individuelle, geheime Kennzahl in die Tastatur der Prüfstation tion erzeugt, aufgrund welcher die Auswahlmittel die Teile der eingegeben und auf Korrespondenz mit der Karteninformation permanenten Information auswählen (Fig. 9). überprüft wird.

19. Einrichtung nach einem der Ansprüche 15-18, dadurch 5 Die Nachteile hier sind, dass einerseits das System nur gekennzeichnet, dass die Erstellungs- und Prüfungsstation eine fälschungssicher ist, solange die geheime Kennzahl nicht verra-Ein- und Ausgabestufe (32b) für Dateninformation, einen von ten ist, und ferner, dass bei jeder Identifikation diese Kennzahl dieser und dem Chiffriergenerator (16) angesteuerten Chiffrier- einzutasten ist.

mischer (27), welcher die Dateninformation mittels der ersten Bei einem weiteren bekannten Verfahren zur Erzielung von

Ausgangsinformation chiffriert, Schreibmittel (3) zum Spei- 10 guter Fälschungssicherheit von solchen Karten, wie beispiels-

chern der chiffrierten Dateninformation auf den Karten, Lese- weise im CH-Patent 554 574 beschrieben, wird auf einer kon-

mittel (3) zum Ablesen der auf den Karten gespeicherten chif- ventionellen beschreib- und löschbaren Informationsspur der frierten Dateninformation und einen von diesen Lesemitteln (3) Karte, also zum Beispiel einer Magnetspur, die leicht variier-

und dem Chiffriergenerator angesteuerten und an die Ein- und bare Hauptinformation gespeichert und in einem anderen

Ausgabestufe angeschlossenen Dechiffriermischer (28) enthält, 15 Kartenteil wird die schwer fälschbare, feste und individuelle welcher die von diesen Lesemitteln abgelesene chiffrierte Da- Identifikations- oder Echtheits-Information in einer anderen,

teninformationen mittels der ersten Ausgangsinformation schwer kopierbaren Speicherungsart gespeichert. Diese Identifi-

dechiffriert und an die Ein- und Ausgabestufe weitergibt (Fig. kationsinformation wird zusätzlich in der Magnetspur gespei-

9). chert und während des Prüfvorgangs auf Übereinstimmung mit

20. Einrichtung nach Anspruch 19, dadurch gekennzeich- 20 der schwer fälschbaren Information überprüft. Obwohl die net, dass die Lesemittel für die veränderbar gespeicherte Infor- zusätzliche Speicherung der individuellen Identifikationsinformation und die Lesemittel für die chiffrierte Dateninformation mation in anderer Codierung als die der schwer fälschbaren durch ein und dieselben Lesemittel (3) gebildet sind und dass Information erfolgen oder in die Hauptinformation einge-

die Schreibmittel zum veränderbaren Speichern von Informa- schachtelt sein kann, besteht doch eine feste und erkennbare tion und die Schreibmittel zum Speichern der chiffrierten 25 Korrespondenz zwischen der in der Informationsspur und der in

Dateninformation durch ein und dieselben Schreibmittel (3) der schwer kopierbaren Speicherungsart gespeicherten Infor-

gebildet sind (Fig. 9). mation, und die Fälschungssicherheit ist nur bedingt gewährlei-

21. Einrichtung nach einem der Ansprüche 14-20, dadurch stet.

gekennzeichnet, dass die Erstellungs- und Prüfstation eine Aus- Aufgabe der Erfindung ist ein Verfahren derart zu verbes-

wahlstufe (32a) aufweist, die Teile der permanenten Informa- 30 sern, dass es die genannten Nachteile der bekannten Methoden tion als z.B. die Identität des Kartenbenutzers beinhaltende vermeidet. Diese Aufgabe wird durch die im Patentanspruch 1

Kenninformation auswählt. angeführten Massnahmen gelöst.

22. Einrichtung nach einem der Ansprüche 14-21, dadurch Beim erfindungsgemässen Verfahren beeinflussen die fäl-gekennzeichnet, dass die Erstellungs- und Prüfstation einen schungssichere Information oder ausgewählte Teile davon die Löschkopf (11) und Positioniermittel (32a) für den Löschkopf 35 leicht variierbare Information mittels kryptotechnischer Metho-(11) besitzt, die bei jeder Prüfung einer Karte ausgewählte Teile den, so dass eine Korrespondenz der beiden Informationen der permanent gespeicherten Karteninformation irreversibel nicht erkennbar ist und die leicht variierbare Information löschen (Fig. 9). ebenso fälschungssicher wird wie die schwer kopierbare Information.

40 Durch kryptotechnische Auswahl von kleinen Teilen der

T, , „ ,. „ _ fälschungssicheren Information kann die Fälschungssicherheit

Karten dieser Art werden verwendet zur maschinellen Per- ebenso wie bd Verwend der gesamten fälschungssi-

sonemdentifikation als Kreditkarten, als Personalausweis oder cheren Information ht werden.

zum Geldabheben bei Geldauszahlungs-Automaten und der- In einer besonders wirksamen Ausführungsform des Vergleichen. Meist wird dabei. ir1 einer Prestation wahrend eines 45 fahrens wirddie Art der chiffrierung bei jedem neuen Prüfvor-ru Vorganges îe c ei er ar e u erpru gang geändert, derart, dass keine Korrespondenz der beiden Von einer guten Karte wird eine hohe Falschungssicherheit, verschiedenarti auf der Karte gespeicherten Informationen das heisst Sicherheit gegen das Kopieren durch Unberechtigte, erkennbar ist verlangt, um zum Beispiel den Raumzutritt durch Unberech- n. „ , , • ,, ... ......

° ' , , , ... T Die Erfindung betrifft auch eine Vorrichtung zur Durchfuh-

tigte oder das unbefugte Geldabheben zu verhindern. In ,n , c , D ,. , .. . ..

,6, ^ _ , .... r—. I. • 1- t. u. j j , rung des Verfahrens. Die erfindungsgemasse Vorrichtung ist im bekannten Systemen wird die Falschungssicherheit oft dadurch i , 00 0

• j rr . t. • • j ■<. 1 <. • i- f—■. » . Patentanspruch 14 definiert.

erzielt, dass Karten schwierig und nur mit kostspieligen Einnch-

tungen herstellbar sind, welche nur bei der Massenfertigung der Im folgenden wird die Erfindung anhand der in den Figuren

Karten wirtschaftlich.sind, und Kopien von einzelnen Karten gezeigten Ausführungsbeispiele näher erläutert.

viel zu teuer zu stehen kommen. Meist ist bei diesen Systemen 55 Es zeigen:

die in den Karten gespeicherte Information nicht änderbar. Dies Fig. la und lb ein Prinzipschema einer Karte in perspektivi-

bringt die zwei folgenden Nachteile mit sich. Erstens muss eine scher Darstellung (la) und in Aufsicht (lb),

Benützer-Organisation des Identifizierungssystems die Karten Fig. 2. eine prinzipielle Anordnung zur Durchführung des schon fertig codiert vom Hersteller beziehen und kann sie selbst Verfahrens,

nicht umcodieren. Zweitens sind variable Daten wie der Konto- 60 Fig. 3 einen vergrösserten Teilausschnitt aus Figur 2,

stand eines Geldbezugskontos oder der Zeit-Saldo bei Gleitzeit- Fig. 4 einen Schnitt gemäss der Schnittlinie IV + IV aus systemen auf der Karte nicht speicherbar. Figur 3,

Bei einem weiteren bekannten System ist die Karteninfor- Fig. 5 eine untere Hälfte aus Figur 4,

mation in eine Magnetspur leicht beschreibbar, lesbar und Fig. 6 ein Detail aus Figur 4 mit einer Abtasteinrichtung löschbar enthalten. Eine Umcodierung durch die Benützer- 65 Fig. 7 und 8 ein weiteres Ausführungsbeispiel in Aufriss und

Organisation ist leicht möglich, jedoch ist die Fälschungssicher- Grundriss und heit der Karte für sich allein sehr gering. Sie wird dadurch Fig. 9 ein detailliertes Ausführungsbeispiel zur Durchfüh-

erhöht, dass für die Identifikation zusätzlich zur Karteninforma- rung des Verfahrens.

619 551

4

Auf einer Karte 1, die beispielsweise als persönliche Kreditkarte dienen kann, ist eine Magnetspur 2 aufgebracht, auf die mittels eines Magnetkopfs 3 Informationen aufgezeichnet bzw. von der mittels desselben Kopfs 3 Informationen abgelesen werden können. Ferner erhält die Karte ein Feld RF mit einer 5 Anzahl Speicherstellen RZ, welche fälschungssichere Information IU enthalten. Diese letztere Information ist mit einem Abtastkopf 67 abtastbar.

Im Blockschema der Figur 2 ist eine Identifizierungskarte zur Durchführung des erfindungsgemässen Verfahrens schema- 1 « tisiert gezeichnet, wobei in diesem Ausführungsbeispiel die Speicherstellen RZ in Zeilen und Kolonnen eines X—Y-Koordinatensystems angeordnet sind. Es sind, als Beispiel, zehn Zeilen Y[ bis YI() und zwanzig Kolonnen X! bis X20 von Speicherstellen RZ vorhanden, also total 200 Speicherstellen. Jede Speicher- 15 stelle kann z.B. IO6 bit Information enthalten, wobei dann die gesamte fälschungssichere Information der Karte nach diesem Ausführungsbeispiel 2 ■ IO8 bit betragen würde. Die Speicherstellen RZ können gemäss den Figuren 3 bis 5 ausgeführt sein. Der Abtastkopf 67 für die Abtastung der Speicherstellen RZ 20 kann mit einer Steuerinformation IS über eine Leitung 50 so gesteuert werden, dass die Information jeder einzelnen Speicherstelle abtastbar ist.

Der Abtastkopf kann, z.B. in Y-Richtung, mittels Schrittmotor angetrieben zur Zeilen-Auswahl beweglich sein, während ^ die Kolonnenauswahl durch ein Zeitfenster während des Kar-tendurchlaufs durch die Prüfstation in X-Richtung erfolgt.

Sowohl Zeilen- als auch Kolonnenauswahl wird durch die Steuerinformation IS gesteuert.

In Figur 2 sind sämtliche Informationsflüsse mit Pfeilen 111 markiert. An einem in einer Prüfstation 52 vorgesehenen Chiffrierrechner 16 stehen als Eingangsinformationen mindestens die einem Geheimschlüsselspeicher 17 entnommene Geheimschlüsselinformation IE[ sowie mindestens Teile der fälschungssicheren Information IU als Eingangsinformation IE2 zur Ver- 15 fügung.

Mit diesen Eingangsinformationen wird die Ausgangsinformation IAt errechnet, welche direkt oder indirekt über eine Mischer- und Vergleicher-Schaltung 18 als magnetische Information IM mittels des Magnetkopfes 3 auf der Magnetspur 2 40 gespeichert wird. Infolge der Chiffrierung ist es praktisch unmöglich, aus der magnetisch gespeicherten Information IM Rückschlüsse auf die fälschungssichere Information IU zu ziehen.

45

Solche Rückschlüsse sind aber vollends unmöglich, wenn als zusätzliche Eingangsinformation IE3 eine variable Information IV, erzeugt in einem Generator 26, in den Chiffrierrechner 16 eingegeben wird. Die variable Information ändert sich bei jedem Prüfvorgang, so dass die im Chiffrierrechner 16 errech- 50 nete Ausgangsinformation IAj und damit auch die magnetisch gespeicherte Information IM nach jedem Prüfvorgang wieder anders ist. Die variable Information IV wird in einer Schreibphase des Prüfvorganges einerseits in den Chiffrierrechner als Information IE3 eingegeben, wo sie die Ausgangsinformation 55 IAj mitbestimmt, welche letztere auf der Magnetspur geschrieben wird. Andererseits wird die variable Information IV über eine Leitung 51 und eine weitere Leitung 8 direkt auf die Magnetspur geschrieben. Beim nächsten Prüfvorgang wird sie dann in der Lese- und Prüfphase mit dem Magnetkopf 3 ausge- 60 lesen und als Eingangsinformation IE3 des Chiffrierrechners 16 zur Bildung der Ausgangsinformation IA, verwendet. Diese Vorgänge werden weiter unten anhand von Fig. 9 im einzelnen beschrieben.

Die variable Information IV kann eine fortlaufende Lauf- 65 nummer sein, welche im Generator 26 erzeugt wird und bei jedem Prüfvorgang einen neuen Wert annimmt. Die variable Information IV kann auch eine Datum-Uhrzeit-Information sein, welche dann einer elektronischen Uhr des Generators 26 entnommen wird. Im weiteren kann die variable Information IV eine Zufallszahl sein, welche dann in einem Rausch- oder Zufallsgenerator oder einem Pseudo-Zufailsgenerator des Generators 26 entnommen wird.

Jede einzelne Karte kann von allen anderen abweichende fälschungssichere Information enthalten. Damit wird ein sehr hoher Sicherheitsgrad erreicht, da in diesem Fall ein Fälscher für jede einzelne Karte einer Organisation den sehr grossen Aufwand für das Kopieren aufbringen müsste.

Für geringere Sicherheitsanforderungen kann jedoch die fälschungssichere Information mit Ausnahme der Karten-Nummer für alle Karten die gleiche sein, wodurch die Kosten für die Kartenherstellung etwas reduziert sind. Die Sicherheit wird durch die pseudozufällige Auswahl bestimmter Teile der fälschungssicheren Information mittels Chiffrierrechner gewährleistet. Ein Teil der fälschungssicheren Information IU kann eine Kenninformation ID,j, das heisst beispielsweise eine codierte Karten-Nummer sein, welche von Karte zu Karte verschieden ist. Diese Information kann in der Prüfstation 52 in einem Steuerteil 32 überprüft werden.

Diese Kenninformation könnte zum Beispiel aus der Information einer einzigen der 200 Speicherstellen RZ mit IO6 bit bestehen, also beispielsweise die Speicherstelle im Kreuzpunkt X7, Y5 von Figur 2.

Zur Erhöhung der Fälschungssicherheit könnte zu dieser festen Kenninformation IDy eine mit dem Abtastkopf 67 aus dem Speicherfeld RF ausgewählte Information als zusätzliche Kenninformation verwendet werden, wobei die Steuerinformation IS für diese Auswahl eine Ausgangsinformation IA2 des Chiffrierrechners 16 sein würde, welche mit der festen Kenninformation IDu als Eingangsinformation IE2 des Chiffrierrechners 16 gewonnen würde.

Ein Fälscher müsste also nicht nur eine einzige Speicherstelle RZ, sondern die ganze Karte kopieren, da er nicht weiss, welche Speicherstelle durch den Chiffrierrechner ausgewählt wird.

Auf der Karte 1 kann weit mehr fälschungssichere Information, nämlich zum Beispiel 2 • IO8 bit, aufgebracht sein, als in nützlicher Frist verarbeitbar ist. Trotzdem kann die volle Sicherheit, welche die grosse, ganze Informationsmenge bietet, ausgenützt werden. Es kann zum Beispiel mit der variablen Information IV als Eingangsinformation IE3 des Chiffrierrechners 16, natürlich zusammen mit der Geheimschlüsselinformation IE1; eine Ausgangsinformation IA2 errechnet werden, welche durch Steuerung des Abtastkopfes auf einer der 200 Speicherstellen RZ eine Teilinformation der fälschungssicheren Information IU auswählt und als neue Eingangsinformation IE2 des Chiffrierrechners zur Berechnung der Ausgangsinformation IAt zur Verfügung stellt. Diese Teilinformation kann zum Beispiel nur der Inhalt einer einzigen, auf diese Art pseudozufällig ausgewählten Speicherstelle RZ sein, d.h. hier etwa 0,5 % der gesamten fälschungssicheren Information.

Man hat nur die Information einer einzigen Speicherstelle RZ abzutasten und zu verarbeiten, und trotzdem ist die Fälschungssicherheit praktisch so gross, wie wenn alle 200 Speicherstellen berücksichtigt würden, da der Fälscher ja nicht weiss, welche Speicherstelle vom Chiffrierrechner «zufällig» selektioniert wird.

Figur 3 stellt einen vergrösserten Teilausschnitt aus der Karte 1 mit lediglich zwei teilweise skizzierten Reflexzonen RZ dar. Diese Reflexzonen RZ bestehen aus einer Reihe von Grenzflächen Rn, die über die Breite B der Zonen verlaufen und sind gegeneinander durch Begrenzungskanten K angetrennt. Zwischen den einzelnen Reflexzonen RZ sind sogenannte Trennzonen TZ vorgesehen. Die Abmessung einer Grenzfläche Rn in Richtung des Pfeiles L kann beispielsweise 0,2 mm

5

619 551

betragen, die Breite B quer dazu ca. 2 mm, so dass die Reflexzone mit 10 Grenzflächen ein Quadrat von 2X2 mm2 bildet.

Beim in Figur 4 dargestellten Schnitt durch die Karte ist gezeigt, dass die Karte im wesentlichen aus einer aus Kunststoff hergestellten oberen Kartenschicht 1 b und aus einer in ähnli- s chem Material hergestellten unteren Kartenschicht la besteht. Letztere ist dabei Träger der Grenzflächen R mit entsprechenden Begrenzungskanten K, die die Reflexzonen RZ bilden und durch Trennzonen TZ voneinander getrennt sind. Die untere Kartenschicht 1 a trägt auf ihrer Unterseite eine Magnetspur- i o Schicht 2. Die beiden Kartenschichten sind fest miteinander verbunden. Die obere Kartenschicht lb muss somit entweder ein Negativ der unteren Kartenschicht la sein, oder sie muss in plastischem oder flüssigem Zustand auf die untere Kartenschicht 1 a aufgebracht werden, ohne allerdings die Grenzfläche i s R zu verändern.

Die Verbindung kann beispielsweise durch thermisches Ultraschall-Schweissen bei den Trennzonen TZ oder durch Verkleben der ganzen Kartenfläche erfolgen. Die Verbindung ,0 der beiden Kartenschichten muss in jedem Fall so beschaffen sein, dass eine nachträgliche Trennung ohne Beschädigung der Grenzflächen weder mechanisch noch mit Lösungsmitteln realisiert werden kann.

Figur 5 zeigt einen Schnitt gemäss Schnittlinie V—V durch 25 die untere Kartenschicht la (die obere Kartenschicht lb wurde in dieser Figur der Übersichtlichkeit halber nicht dargestellt), die, wie schon erwähnt, in Reflexzonen RZ und Trennzonen TZ unterteilt ist. Die Reflexzonen wiederum sind mit einer Anzahl Grenzflächen RI... Rn bestückt, welche bezüglich der Karten- 30 ebene verschiedene Winkelstellungen, a2, a4, a5 und .an_[, aufweisen. Die Anordnung der Grenzflächen R ist üblicherweise von Reflexzone zu Reflexzone verschieden. Im skizzierten Ausführungsbeispiel sind pro Reflexzone 10 Grenzflächen mit je 4 möglichen Winkelstellungen vorgesehen, was bedeutet, dass 35 410 = 106 voneinander verschiedene Reflexzonen möglich sind. Natürlich kann die Anzahl der Grenzflächen pro Reflexzone sowie auch die Anzahl der verschiedenen Grenzflächen von diesem Ausführungsbeispiel abweichen. Die Reflexzonen RZ mit den Grundflächen R können mit je einem Prägestempel 40 durch Einpressen in den Kunststoff in plastischem Zustand oder in einem Kunststoff-Spritzvorgang hergestellt sein. Im Ausführungsbeispiel ist die obere Seite der unteren Kartenschicht metallisiert, zum Beispiel durch Aufdampfung oder galvanisch, so dass die Grenzflächen R mit einer das Licht reflektierenden 45 Metallschicht lc versehen sind. Im Raum der Trennzonen TZ ist die Metallschicht angetragen, so dass in diesen Zonen eine Kunststoffschicht ld zur Verfügung steht und damit eine gute Verbindung zwischen den beiden Karten sicherstellt.

In Figur 6 ist ein Ausführungsbeispiel einer optischen Ab- 50 tasteinrichtung der Karte schematisch dargestellt. Die optische Abtasteinrichtung sowie auch der Schreib- und Lesekopf 3 für die Abtastung der Magnetspur sind in der Prüfstation eingebaut, welche die Karte 1 zur Prüfung in Pfeilrichtung L durchläuft.

Eine Lichtquelle 5, zum Beispiel ein LASER-Generator, liefert 55 einen feinen Lichtstrahl 5a, welcher auf die Karte fällt und von den Grenzflächen R[ bis R10 reflektiert wird. Diese Grenzflächen können beispielsweise vier verschiedene Winkelstellungen a (Fig. 5) aufweisen, und der reflektierte Lichtstrahl 5b kann zum Einfalls-Lichtstrahl vier verschiedene Winkel <pt bis cp4 60 aufweisen. Für jede dieser vier Richtungswinkel ist eine Photodiode P[ bis P4 vorhanden. In der in Figur 6 gezichneten Kartenposition trifft der Lichtstrahl 5a auf die reflektierende Grenzfläche R4 und wird als reflektierter Strahl 5b auf die Photodiode P2 geworfen, welche einen Photostrom an die Ver- m teilerschaltung 7 abgibt. Beim Durchflauf der Reflexzone RZ von Figur 6 unter dem Abtast-Lichtstrahl 5 a werden, entsprechend den Winkelstellungen der Grenzflächen R! bis R10, durch die vier Photodioden Pt bis P4 in Sequenz zehn Photostrom-Signale an die Verteilerschaltung 7 abgegeben, welche in dieser verstärkt werden und beispielsweise binär codiert mit je einer verschiedenen 3-bit-ZahI pro Photodiode an den Ausgang 10 der Schaltung 7 gelangen.

Der Zählbeginn für die zehn Photostrom-Signale wird durch den Übergang des Abtast-Lichtstrahls 5a von der Trennzone TZ, wo kein Photostrom fliesst, auf die erste Grenzfläche festgelegt. Die Kanten der Trennzonen sind diffus reflektierend.

Die vier Photodioden P( bis P4 mit der Lichtquelle 5 bilden zusammen das Photo-Abtastsystem 6, welches auch quer zur Kartenlaufrichtung verstellbar ist, um sämtliche der flächenhaft angeordneten Reflexzonen abtasten zu können, wie schon oben beschrieben wurde. Das Photo-Abtastsystem 6 mit der Verteilerschaltung 7 bilden zusammen den Abtastkopf 67, welcher die Speicherstellen RZ der fälschungssicheren Information IU abtastet.

Bei der Verwendung der Karte für die Geldausgabe mittels «off-line» arbeitenden Geldausgabeautomaten, wobei der aktuelle Kontostand chiffriert auf den Karten festgehalten ist,

besteht für den befugten Karteninhaber, welcher eine echte und individuelle Karte besitzt und auch mit seiner individuellen Gedächtnis-Kennzahl arbeitet, trotz all den beschriebenen, fälschungssicheren Methoden die Möglichkeit des Betruges.

Der befugte Karteninhaber muss hierzu nur die magnetisch gespeicherte Information, welche unter anderem auch den aktuellen Kontostand enthält, vor dem Geldabheben auf ein Tonband kopieren, dann Geld an einem der Automaten abheben, wobei gleichzeitig der neue, reduzierte Kontostand chiffriert in die Magnetspur geschrieben wird. Diese Information kann er dann mit der Tonbandkopie, welche noch dem höheren Kontostand entspricht, überschreiben und an einem zweiten Automaten Geld abheben und so fort.

Natürlich könnte man dies verhindern, wenn ein Kontobetrag nur an einem ganz bestimmten Automaten bezogen werden müsste, wobei diese Automaten-Nummer als weitere Eingangsinformation des Chiffrierrechners wirken würde. Oder man könnte zwischen zwei Abhebungen mittels der elektronischen Uhr, welche die Datum-Zeit-Information als variable Information liefert, eine Zeitsperre einschalten, bis der Kontostand allen off-line arbeitenden Geldausgabeautomaten mitgeteilt ist.

All dies ist aber umständlich, und es wird daher vorgeschlagen, nach jeder einzelnen Kartenprüfung mindestens eine fälschungssichere Kontrolle über die Anzahl der Kartenprüfungen zu erhalten.

Dies kann gemäss den Figuren 7 und 8 dadurch geschehen, dass im Kartenmaterial eine thermisch schwärzbare Substanz, wie sie vom Thermodruck her bekannt ist, enthalten ist. Angesteuert durch einen Eingang 13 wird in einem Löschkopf 11 einer Heizspule 12 ein Stift IIa erwärmt, welcher die darunter liegende Reflexzone schwärzt und damit auslöscht.

Durch die Steuerung des Eingangs 13 kann der Löschkopf 11 auf jede gewünschte Reflexzone gestellt werden.

Die Auslöschung von einzelnen Reflexzonen kann auch durch Ausstanzen erfolgen, wobei der Löschkopf 11 durch einen Stanzkopf zu ersetzen ist.

Die Prüfung der gelöschten Reflexzonen erfolgt ebenfalls mit dem Abtastkopf 67. Bei 200 Reflexzonen könnten zum Beispiel 100 gelöscht werden, das heisst 100 Kartenprüfungen vorgenommen werden, bis die Karte zu ersetzen ist.

Gemäss Figur 9 erfolgt das irreversible Löschen von Speicherstellen beziehungsweise Reflexzonen RZ der fälschungssicheren Information mit dem Löschkopf 11, beginnend in der untersten Zeile YI; wobei gesteuert durch eine erste Station 32a des Steuerteils 32 mit Information IL über den Eingang 13 bei jedem Prüfvorgang eine Speicherstelle RZ gelöscht wird. Der Löschkopf 11 steht auf der Speicherstelle X9 der Zeile Yj.

619 551

Der Abtastkopf 67 wird bei jedem Prüfvorgang, gesteuert durch die erste Station 32a, die Zeile mit den gelöschten Speicherstellen abtasten und als weitere Eingangsinformation in den Chiffrierrechner eingeben. Auf diese Weise wird die oben beschriebene Betrugsmöglichkeit ausgeschlossen, da die alte Magnetspur mit der neuen zu löschenden Information nicht übereinstimmt.

Beim erfindungsgemässen Verfahren liegt ein wesentlicher Teil der Sicherheit gegen Fälschungen darin, dass die Auswahl der fälschungssicheren Information durch einen Geheimschlüssel mit Chiffrierrechner bestimmt ist.

Diese Auswahl kann einerseits durch die variable Information IV und andererseits durch Auswechseln des Geheimschlüssels leicht geändert werden.

Die Sicherheit gegen Fehlabtastung der Karte kann durch die bekannten Redundanzmethoden wie Mehrfach-Speiche-rung, fehlererkennende oder fehlerkorrigierende Codes usw. gewährleistet werden. Eine Fehlabtastung der optisch abtastbaren fälschungssicheren Information durch Verschmutzung einer Reflexzone RZ kann dadurch unwirksam gemacht werden, dass es zugelassen ist, die Karte mehrmals abtasten zu lassen, wobei bei jeder neuen Abtastung durch Wirkung der variablen Information eine neue Reflexzone RZ durch den Chiffrierrechner ausgewählt wird.

Anhand von Figur 9 soll nun erläutert werden, wie die Identifikation sowie die fälschungssichere Speicherung von variablen Daten, zum Beispiel Geldbeträgen oder Zeit-Saldi, vor sich gehen kann. Es wird hier nur ein Beispiel beschrieben, aber die Erfindung beschränkt sich keineswegs darauf.

Das Beispiel bezieht sich auf sehr hohe Fälschungssicherheit, und in vielen praktischen Fällen können einzelne der beschriebenen Massnahmen weggelassen werden.

Für die Identifikation besteht ein Prüfvorgang aus einer Identifikationsphase und einer daran anschliessenden Eingabephase. Obwohl der Prüfvorgang jeweils mit der Identifikationsphase beginnt, wird zuerst die Eingabephase beschrieben.

Ein Selektionierschalter 30 ist durch die erste Station 32a mittels Information IC in Stellung a gestellt. Auf den Chiffrierrechner 16 werden, ausser der immer vorhandenen Geheimschlüsselinformation IEj, eingegeben:

- die Eingangsinformation IE3 aus dem Generator 26 für die variable Information IV

- die geheime, individuelle Kennzahl oder Gedächtniszahl aus einer Tastatur 25.

Die variable Information IV wird als magnetische Information IM durch einen Schreibkopf 3a des Magnetkopfes auf die Magnetspur geschrieben. Die Information 10 aus der ersten Station 32a bewirkt als den Abtastkopf 67 steuernde Information IS, dass von diesem die Identifikations-Information IDu als Teil der fälschungssicheren Information IU (also zum Beispiel Reflexzone RZ mit Kreuzungspunkt X,, Y2 im Feld RF der fälschungssicheren Information) abgelesen und einerseits in die erste Station 32a und andererseits als Eingangsinformation IE2 auf den Chiffrierrechner 16 gelangt, in welchem zusammen mit den übrigen Eingangsinformationen eine Ausgangsinformation IA2 errechnet wird, welche in Stellung b des Selektionsschalters 30 als Steuerinformation den Abtastkopf 67 neu und pseudozufällig positioniert. Der Drehschalter 30 wird in Stellung c gebracht und die vom Abtastkopf 67 gelesene Teilinformation gelangt einerseits als weitere Identifizierungsinformation IDu auf die erste Station 32a und andererseits als weitere Eingangsinformation IE2 auf den Chiffrierrechner, in welchem die Ausgangsinformation IAi errechnet und als magnetische Information IM auf die Magnetspur geschrieben wird.

In der Identifikationsphase ist die Schalterstellung des Selektionsschalters 30 zu Beginn ebenfalls auf a. Mittels der Tastatur 25 wird die individuelle Kennzahl als Eingangsinformation IE4 in den Chiffrierrechner 16 eingegeben. Von der Magnetspur 2 wird mittels eines Lesekopfes 3b des Magnetkopfes die beim vorhergehenden Prüfvorgang geschriebene variable Information als magnetische Information IMb ausgelesen und als Eingangsinformation IE3 in den Chiffrierrechner gegeben. Die übrigen Vorgänge bis zur Erzeugung der Ausgangsinformation IAi sind die gleichen wie in der Eingabephase. Alsdann wird in Stellung c des Selektionsschalters 30 die beim vorhergehenden Prüfvorgang magnetisch gespeicherte Ausgangsinformation IMb (Echtheitsinformation) ausgelesen, auf eine Leitung 46 gegeben und in einem Vergleicher 29 mit der während der Identifikationsphase im Chiffrierrechner erzeugten Ausgangsinformation IAt (Prüfinformation) verglichen. Das Resultat des Vergleichs heisst Identität oder Nicht-Identität und wird als Information ID3 bei einem Punkt 22 ausgegeben. Ist Identität vorhanden und ist auch die Identifizierungs-Information IDu 'n der ersten Station 32a als richtig erkannt worden, so wird auch die Identifikation als richtig taxiert. In der ersten Station 32a sind die Identifizierungs-Informationen IDu, welche aus einem festen Teil und einem pseudozufällig ausgewählten Teil der fälschungssicheren Information IU bestehen, für alle Kartenbesitzer der Organisation gespeichert für den Vergleich.

Die fälschungssichere Speicherung und Veränderung variabler Daten, wie Geldbeträge oder dergleichen, auf der Identifizierungskarte erfolgt normalerweise im Anschluss an die Identifikationsvorgänge des Prüfvorgangs und weist ebenfalls zwei Phasen auf. Während einer Schreibphase, welche im Anschluss an die Eingabephase erfolgt, wird in Stellung d des Selektionier-schalters 30 zum Beispiel der momentane Kontostand als digitale Daten aus einer zweiten Station 32b des Steuerteils 32 in Form eines Ein-Ausgabe-Gerätes als Information IDj an den Chiffriermischer 27 bekannter Art abgegeben und in diesem mit den nach den oben beschriebenen Methoden entstandenen Ausgangsinformationen IAj zum Chiffrât gemischt und über eine Leitung 48 als magnetische Information IMa dem magnetischen Schreibkopf 3 a zugeführt und als chiffrierter Kontostand auf die Magnetspur geschrieben.

Während einer Lesephase des Prüfvorgangs, welche im Anschluss an die Identifikationsphase erfolgt, wird in Stellung d des Selektionierschalters 30 der beim vorgehenden Prüfvorgang geschriebene, chiffrierte Kontostand von der Magnetspur abgelesen und als magnetische Information IMb über eine Leitung 44 einem Dechiffriermischer 28 zugeführt und in diesem mit der nach der oben beschriebenen Methode entstandenen Ausgangsinformation IAj dechiffriert und der zweiten Station 32b als Kontostand im Klartext zugeführt. Dieser Kontostand kann auch durch Vorsetzen einer Anzahl Nullen in der zweiten Station 32b auf Authentizität überprüft werden.

Die Authentizität des Kontostandes kann auch, wie beispielsweise in der DT-OS 23 50 418 beschrieben, dadurch gewährleistet werden, dass der Kontostand einerseits als Eingangsinformation des Chiffrierrechners 16 dient und andererseits auf der Magnetspur «klar» gespeichert wird. In diesem Fall wird eine im Chiffrierrechner mittels der Eingangsinformationen

— Geheimschlüsselinformation IEi

—fälschungssichere Information IE2

— variable Information IV

—Kontostand ID t erzeugte Ausgangsinformation IA, als Kryptonummer samt dem Kontostand IDj auf der Magnetspur 2 der Identifizierungskarte während der Schreibphase gespeichert. Während der späteren Überprüfung der Authentizität des Kontostandes während einer Lesephase werden die eben aufgeführten Informationen in den Chiffrierrechner eingegeben und die so entstehende Ausgangsinformation mit der gespeicherten Kryptonummer auf Übereinstimmung überprüft.

6

5

10

15

20

25

30

35

40

45

50

55

60

65

7

619 551

Zum Geldabheben an einem Geldausgabe-Automaten wird alsdann mittels der Tastatur 25 ein Geldbetrag eingetastet, welcher vom Automaten ausbezahlt wird und welcher in der zweiten Station 32b vom momentanen Kontostand abgezogen wird und wobei in der Schreibphase der neue chiffrierte Konto- 5 stand auf der Magnetspur festgehalten wird.

Eine Fälschung des chiffriert gespeicherten Kontostandes ist nicht möglich, da die Chiffrierung abhängig ist vom Geheimschlüssel sowie auch von den fälschungssicheren Karteninformationen. Hl

Sämtliche beschriebenen Vorgänge erfolgen digital und elektronisch.

Die Leitungspunkte 8, 9,10,19,20, 50 korrespondieren mit denjenigen des vereinfachten Blockschemas von Figur 2. Die erste Station 32a steuert mit der Steuerinformation IST alle 15 nicht weiter beschriebenen Vorgänge in der Prüfstation.

Wie erwähnt, gelten die beschriebenen Vorgänge für sehr hohe Sicherheitsanprüche und können für viele Anwendungen wesentlich reduziert werden. So können für geringere Sicherheits-Anforderungen die fälschungssicheren Informationen 20 überhaupt weggelassen beziehungsweise nur eine Kartennummer vorhanden sein und die Karteninformation in der Magnetspur enthalten sein. Bei etwas höheren Ansprüchen könnte zum Beispiel nur eine einzige Spur, zum Beispiel die Zeile Y1 von

Figur 2, von fälschungssicheren Informationen vorhanden sein, welche während des Kartendurchlaufs durch die Prüfstation simultan mit der Magnetspur abtastbar ist. Ferner könnte die mit Chiffrierrechner, mittels Geheimschlüssel- und variabler Information selektionierte fälschungssichere Information als Chiffrierrechner-Eingangsinformation direkt die Ausgangsinformation IA mitbestimmen.

Um Fehler bei der Kartenabtastung zu eliminieren, können die fälschungssicheren Informationen in redundanten, fehlerkorrigierenden Codes bekannter Art gespeichert sein und von den drei Ablesungen die zwei identischen als die richtigen ausgewählt werden.

Weiter könnte es bei Verwendung der variablen Information zulässig sein, bei einem zum Beispiel wegen Kartenverschmutzung nicht erfolgreichen Prüfvorgang weitere Prüfvorgänge durchzuführen, wobei durch die pseudozufällige Auswahl der fälschungssicheren Information auf einwandfrei lesbare Speicherstellen umgeschaltet würde.

Die ganzen Steuervorgänge sowie die Chiffrierung könnten mittels eines oder mehrerer Mikroprozessoren durchgeführt werden, wodurch zufolge der relativ langsamen Abläufe all die Vorgänge in Sequenz durchgeführt würden und der Steuerungsaufwand auch für die Prüfvorgänge für höhere Sicherheit relativ klein wäre.

C

7 Blatt Zeichnungen