CH629902A5 - Verfahren zur identitaetsueberpruefung. - Google Patents

Description

Die Erfindung betrifft ferner ein Computerterminal zum

Durchführen des genannten Verfahrens nach dem Patentanspruch 3.

Ausführungsbeispiele der Erfindung werden hiernach anhand der Zeichnungen im Einzelnen erläutert. Die Zeichnungen 5 zeigen:

Fig. 1 ein Blockschaltbild eines Systems mit Terminals ;

Fig. 2 Blockschaltbild eines einzelnen Terminals;

Fig. 3 die logische Steuerung eines Terminals in Blöcken;

Fig. 4 ein Flussdiagramm, dass die Herstellung einer Identi-10 fikationskarte zeigt;

Fig. 5 ein Flussdiagramm, das die Benützung einer Identifikationskarte zur Überprüfung der Personenidentität zeigt ;

Fig. 6 eine Tabelle mit einer Signalfolge ;

Fig. 7 eine Adressbit-Tabelle;

15 Fig. 8 Darstellung eines Speicherinhaltes ;

Fig. 9 Darstellung eines anderen Speicherinhaltes;

Fig. 10/11/12 Zeitdiagramme;

Fig. 13/14/15 logische Steuerschaltungen.

Fig. 1 zeigt schematisch eine Anlage mit Terminals, die mit 20 Identifikationskarten 1 arbeitet, auf denen nur ein Teil der Relation zwischen einer persönlichen Kontonummer und einem Identifikationswort registriert ist. Das Terminal 2 ist vorgesehen zur Benützung durch einen Beamten der die Karten ausgebenden Institution. An ihm wird zuerst die Relation zwischen einer 25 Kontonummer und dem Identifikationswort festgelegt. Ein Teil dieser Relation wird als Teilkennwort in der Karte 1 als EPIN1 und ein anderer Teil als zweites Teilkennwort im Zentralcomputer 3 als EPIN2 registriert. EPIN1 und EPIN2 beziehen sich natürlich auf den ersten resp. zweiten Teil des verschlüsselten 30 Identifikationswortes. Das Terminal 2 und die Abfrageterminals 4 sind gemeinsam über Fernmeldeverbindungen an den Computer 3 angeschlossen.

Die Identifikationskarte 1 hat im vorliegenden Ausführungsbeispiel drei magnetische Registrierstreifen. Die ersten 35 beiden Streifen 5,6, entsprechen beispielsweise den Normen der International Airline Transport Association (LATA) und der American Bankers Association (ABA). Die dritte Registrierspur 7 ist eine Schreib- und Lesespur, die vom Terminal 2 beschrieben worden ist und von den Terminals 4 bei jeder 40 Transaktion gelesen und verändert wird. In der Spur 7 wurde vom Terminal z.B. eine Kontonummer und Information betreffend die Deckung und die Benützung der Karte registriert. Solche Angaben sind nützlich bei begrenzten Transaktionen, die ohne Zugriff zum Datenspeicher im zentralen Computer durch-45 geführt werden können. Diese Transaktionen werden im örtlichen Platten- oder Bandspeicher 8 festgehalten. Zusätzlich enthält die dritte Spur 7 noch ein Feld zur Registrierung des schon genannten Teilkennwortes EPIN1 sowie ein Feld RKEY, das ein Schlüsselwort aufnimmt. Das Schlüsselwort ist eine aus-50 wechselbare, beliebige Nummer, die der Chiffrieralgorithmus der Terminals 2 und 4 benützt, um das Identifikationswort zu verschlüsseln. Es ist zu bemerken, dass der von den Terminals benutzte Algorithmus ein irreversibler Algorithmus sein kann, in dem Sinn, dass bei normalem Terminalbetrieb nur die Ver-55 Schlüsselung notwendig ist. Es kommt nie vor, dass EPIN1 und EPIN2 am Terminal entschlüsselt werden müssen. Theoretisch macht es ein irreversibler Algorithmus unmöglich, das Identifikationswort herauszufinden, selbst wenn die Kontonummer, das Schlüsselwort und das vollständige, verschlüsselte Personalwort 60 bekannt sind. Trotzdem ist im Vorliegenden dafür gesorgt, dass stets nur ein Teil des verschlüsselten Identifikationswortes an jeder beliebigen Stelle des Systems herausgefunden werden kann, weshalb eine hohe Sicherheit selbst dann besteht, wenn der Algorithmus nicht vollständig irreversibel ist.

Fig. 2 zeigt ein Blockdiagramm der internen Logik der Terminals 2 und 4. Jedes Terminal enthält eine Tastatur 12, einen Magnetstreifenleser/schreiber 13, einen Übermittlungsmodem 14 und die zugehörige Übermittlungslogik 15. Der Übergang

65

629 902 4

zwischen Modem 14 und Logik 15 entspricht vorzugsweise der zieren. Wird z.B. im Überlaufzustand ein alphanumerisches Norm RS232. Zusätzlich kann jedes Terminal einen Platten- Zeichen anstelle eines Feldtrennzeichens entdeckt, so setzt die oder Bandspeicher 8 aufweisen, der über die Speicherlogik 16 Tastaturlogik 24 über die SETS-Leitungen den Überlauf-Se-angeschlossen wird. Im Speicher werden kleinere Transaktionen quenzmodifizierer im Sequenzzähler 22. Auch wenn ein Nachaufgezeichnet, die ausgeführt werden können, ohne dass das 5 richtenbyte vom Zentralcomputer nach einer vorbestimmten Terminal mit dem Zentralcomputer in Verbindung steht. Aus- Zeitperiode nicht eintrifft, setzt ein Zähler durch ein Signal über serdem kann das Terminal einen Drucker 17 aufweisen zur die SETS-Leitungen den Haltekreis im Sequenzzähler.

Übermittlung von Meldungen, Bestätigung der Transaktionen, Der Adressenzähler 23 steuert die Adresse des Speichers 19

Ausstellung von Quittungen etc. Schliesslich enthält das Tenni- auf ähnliche Weise wie der Sequenzzähler 22 den Arbeitsstatus nal eine Verschlüsselungseinheit 18 zur Umwandlung des Iden- 10 des Terminals steuert. Der Adressenzähler steuert dadurch den tii ikationsworts in die Halbkennworte EPIN1 und EPIN2. Informationsfluss innerhalb des Terminals. Das Adressbitmu-

Zwischen den zuvor genannten Einheiten innerhalb des ster am Ausgang des Adressenzählers 23 ist in Fig. 7 dargestellt.

Terminals ist vom Speicher 19 eine Speichereingangshauptlei- Ein Eingang des Adressenzählers ist eine Inkrementierleitung, tung (SEH) und eine Speicherausgangsleitung (SAH) vorgese- die die Adressen der Reihe nach aufsucht, und eine Eingangs-hen. Damit die genannten Einheiten mit dem Speicher richtig u hauptleitung SETA, die den Adressenzähler auf jeden beliebi-zusammenarbeiten können, ist eine Steuerlogik 20 vorgesehen. gen Wert einstellen kann, wodurch Sprünge oder Verzweigun-Die Steuerlogik 20 ist eine relativ einfache Einheit und vollstän- gen vorgenommen werden können.

dig in Hardware ausgebildet. Dadurch soll erreicht werden, dass Wie aus dem in Fig. 9 dargestellten Beispiel des Sequenzsta-der Zugang zur Arbeitsweise und deren Änderung erschwert tus S12 ersichtlich ist, ist der Speicher 19 in verschiedene Puf-und die Gefahr des Missbrauchs des Terminals vermindert wird. 20 ferzonen unterteilt, um die Sicherheit innerhalb des Terminals Es ist aber zu bemerken, dass, wenn die Sicherheit des Termi- zu verbessern. Beispielsweise enthält die Zone für Mitteilungen nais gewährleistet werden kann, so dass seine Arbeitsweise nicht des Zentralrechners die Speicherstellen A0 bis A128. Dement-böswillig änderbar ist, das Terminal unter der Steuerung eines sprechend muss, wie Fig. 7 zeigt, das höchste Bit des Adressbit-Mikroprozessors, beispielsweise des Typs ITEL 8080, gesche- musters Null sein, wenn Information durch Übermittlungskanä-hen kann, der entsprechend programmiert ist. Wenn die Steuer- 25 le von oder zu dem Hauptpuffer innerhalb des Speichers 19 logik 20 die Form eines Mikroprozessors hat, dann kann die eines Terminals übermittelt wird. Auf ähnliche Weise umfasst

Verschlüsselung durch eine Programmsubroutine desselben Mi- der Pufferteil mit den Daten zur Identifikation der Karte die kroprozessors ausgeführt werden. Adressteilen A128 bis A159. Das Adressbitmuster muss also

Fig. 3 zeigt ein detaillierteres Blockdiagramm der logischen gemäss Fig. 7 eine Eins in der höchsten Stelle aufweisen und Einheit innerhalb der Steuerlogik 20 sowie der Eingangs- und 30 Null in den Bitstellen 4 bis 64, damit Kartendaten behandelt Ausgangsleitung zu der Übermittlungslogik 15, der Bandspei- werden. Noch wesentlicher zur Sicherheit des Terminals ist der cherlogik 16 und der Steifenieserlogik 21. Wesentlichster Teil Umstand, dass die einzigen Operationen, die an den Adresssteider Steuerlogik 20 ist der Sequenzzähler 22. Das Bitmuster des len A232 bis 255 vorgenommen werden können, Tastaturope-Sequenzzählers 22 gibt zu jeder Zeit den Arbeitszustand des rationen oder Verschlüsselungs/Entschlüsselungsoperationen Terminals an. Der Ausgang des Sequenzzählers 22 gelangt auf 35 sind. Die Tastaturoperationen werden von der Tastatursteuerlo-die Sequenzhauptleitung zur Verteilung an die verschiedenen gik 24 gesteuert und liefern Information, wie das Identifika-Einheiten. Wie aus Fig. 6 zu sehen ist, ist der Ausgang des tionswort oder den Übermittlungschifferierschlüssel C. Die

Sequenzzählers 22 in drei Felder unterteilt. Chiffrieroperationen werden durch die Chiffrierlogik 25 gesteu-

Das erste, das Sequenzmodusfeld, steuert den Arbeitsmo- ert. Keine andere logische Steuerung darf arbeiten, wenn der dus des Terminals. Das Terminal kann z.B. in Testmodus be- 40 Adresszähler eines der in Fig. 7 gezeigten, hohen Bitmuster für trieben werden zur Fehlerfeststellung oder zur präventiven Dia- das ID-Datenwort oder eines der beiden Schlüsselwörter KW gnostik. Das Terminal kann auch im Ausgabemodus arbeiten, enthält.

den ein Mitarbeiter einer Karten ausgebenden Institution be- Der Ausgang des Sequenzzählers 22 in Fig. 3 wird von der nützt, um an eine Person eine Identifikationskarte abzugeben. Anzeigelogik 26 decodiert, die eine der vorgegebenen Meldun-Wenn ein Benützer unter Vorweisung seiner Identifikationskar- 45 gen 27 dem Benützer des Terminals anzeigt, damit dieser weitete das Terminal benützen möchte, so arbeitet dieses im Benüt- re Information eingeben kann oder über den Status des Termi-zungsmodus. Dass andere Moden auch möglich sind, ist in Fig. 6 nals oder die Transaktion Bescheid weiss. Die Anzeigelogik 26 in der mit «Verschiedenes» bezeichneten Zeile angedeutet. ist eine einfache, decodierende Schaltung, die aus UND- und

Die Sequenz der vom arbeitenden Terminal ausgeführten ODER-Kreisen besteht, um ein oder mehrere Ausgangssignale Schritte in jedem der im ersten Feld angegebenen Moden wird so zu erzeugen, je gemäss dem eingehenden Bitmuster.

gesteuert durch die Zählung im zweiten Feld. Diese einfache Die Tastaturlogik 24 weist einen Eingang KATTN auf, über

Binärzählung, die vom Eingangssignal INC jeweils erhöht wird, den ein Warnsignal übertragen wird, wenn ein Informationsbyte kann auf jede beliebige Binärzahl gesetzt werden. Die Möglich- am Ausgang der Tastatur im Puffer bereitsteht. Die Tastaturlo-keit, den Sequenzzähler zu setzen, bedeutet, dass die Arbeits- gik ist mit der Sequenzhauptleitung und der Adresshauptleitung schritte des Terminals vorwärts und rückwärts springen können, 55 verbunden, damit die Logik feststellen kann, ob das Terminal in womit unerwarteten Bedingungen, wie einem falschen Eingang einem Status ist, in dem es Information von der Tastatur über u.ä. Rechnung getragen werden kann. die Speichereingangshauptleitung SEH empfangen kann. Wenn

Das dritte Feld der Sequenzhauptleitung enthält Sequenz- der Sequenzzustand des Terminals und die Speicheradresse, un-modifizierleitungen, die den Sequenzstatus, wie er durch den ter der die Tastaturinformation gespeichert wird, mit den vorbe-Modus und das Zählfeld angegeben ist, modifizieren, um beson- 60 stimmten Arbeitsbedingungen für das Terminal übereinstim-dere Bedingungen anzugeben, wie z.B. einen Feldüberlauf, ei- men, erfolgt ein Antwortsignal KG ATE an die Tastatur, das die nen unzulässigen Zustand, ein ungültiges Identifikationswort, Übermittlung der Information über die Speichereingangshaupt-eine nichtzulässige Kreditanforderung etc. Die Sequenzmodifi- leitung in den Speicher veranlasst. Die Tastaturlogik 24 ist mit katoren werden vor allem von einer Eingangs/Ausgangslogik, SEH verbunden und kann daher die empfangene Information z.B. der Tastatursteuerlogik 24 oder der Übermittlungslogik 15 65 überwachen und den Sequenzzustand des Terminals über die benützt, die die von der Tastatur oder vom Zentralcomputer SETS-Leitung und den Sequenzzähler 22 beeinflussen. Die kommende Information überwacht und bestimmte Bytes dersel- SETS-Leitung wird beispielsweise benützt, wenn eine Ausgabeben erkennt, um den Sequenzzustand des Terminals zu modifi- funktionstaste betätigt wurde. In diesem Fall wird der Sequenz

5 629 902

zustand der Maschine auf den Ausgabemodus geändert. Ähn- gelangt ein Signal «8 BIT S» an die Steuerschaltung 47, wo-licherweise ist die Tastaturlogik und der Adresszähler über die durch veranlasst wird, dass das Schieberegister 30 neu geladen Leitungen SETA verbunden, damit der Adresszähler auf vorge- wird. Während das Register 30 geladen wird, überwacht die gebene Werte eingestellt werden kann, um Information von der Steuerbytesendenlogik 43 das Bitmuster und setzt einen Halte-Tastatur in den zuständigen Speicherpuffer zu verschieben. Die s kreis, der das soeben zu sendende Byte kennzeichnet, damit SETA-Signale werden von Gates erzeugt, wie sie in Fig. 15 eine fortlaufende Übertragung von Bytes sichergestellt wird, dargestellt sind. Diese Gates sind im Stande der Technik be- Wird beispielweise von der Steuerbyteempfangslogik 36 ein kannt. Während der üblichen sequentiellen Arbeitsweise wird Abrufbyte festgestellt, so lädt die UND-Schaltung 44 das Sender Adresszähler durch Signale auf der Leitung INCRA und der deschieberegister 30 mit dem NACK-Byte, sofern der Terminal Sequenzzähler durch Signale auf der Leitung INCRS fortge- 10 nicht in den Sequenzzuständen S5, S6, S13, S14, Sili oder schaltet. Die Tastaturlogik umfasst auch ein Datenübertra- S112 ist. Andererseits lädt die UND-Schaltung 45 das Sende-gungsregister, ähnlich dem in Fig. 14 dargestellten. Schieberegister 30 mit dem ACK-Byte, wenn das Terminal im

Die anderen Einheiten, die Druckerlogik 28, die Magnet- Sequenzstatus S5, S6, S13, S14, Sili oder S112 ist. Die Se-streifenleserlogik 21, die Übermittlungslogik 15 und die Ver- quenzstatus werden von den Decodern 51 und 52 festgestellt schlüsselungs- oder Chiffrierlogik 25 haben ähnliche Ein- und i5 und den UND-Schaltungen 44 und 45 zugeführt. Wenn das Ausgangsleitungen. Alle diese Einheiten müssen sich nach dem Sendeschieberegister 30 mit einem NACK- oder einem ACK-Sequenzzustand und den Speicheradressbedingungen des Ter- Byte geladen ist, das gesendet wird, erzeugt die Steuerbytesen-minals richten, um richtig arbeiten zu können, und müssen die denlogik 43 das entpsrechend gekennzeichnete Ausgangssignal. Speicheradresse des Terminals fortschalten oder ändern, je nach Das Ausgangssignal veranlasst über die ODER-Schaltung 46 dem die Arbeitsweise der betreffenden logischen Einheit fort- 20 die Steuerschaltung 47, das «Ende Übertragungs»-Byte zu erschreitet oder vollendet ist. An einem Beispiel sollen die Schalt- zeugen und ihm entsprechend das ACKS, NACKS oder kreise und Signalleitungen in Bezug auf die Übermittlungslogik ADDRS-Byte.

I 5 anhand der Fig. 13 beschrieben werden. Die Übermittlungslogik 15 stellt mittels des Zählers 48 fest,

Anhand der Fig. 13 wird als Beispiel die Detailschaltung der ob das Terminal mit der Zentrale in Verbindung steht. Wenn Übermittlungslogik 15 beschrieben. Die Übermittlungslogik, 25 der Zähler 48 ein Übertragssignal erzeugt, wird angenommen, die den Modem steuert, arbeitet in Übereinstimmung mit der dass die Verbindung besteht und wenn das höchste Bit eine RS232-Norm. Wichtigster Teil der Übermittlungslogik 15 ist binäre Null ist, wird angenommen, dass die Verbindung unter-das Sendeschieberegister 30 sowie das Empfangsschieberegister brochen ist. Wenn das Terminal nicht Information im Band-31. Vom Modem 14 empfangene Daten RDATA gelangen auf oder Plattenspeicher 8 registriert, entsteht ein Ausgangssignal die UND-Schaltung 32 und von dort seriell in das Schieberegi- 30 der UND-Schaltung 49 jedesmal, wenn acht Bits empfangen ster 31. Dies geschieht im Takt der UND-Schaltung 33, die wurden, wodurch der Zähler 48 fortgeschaltet wird. Wenn das jedesmal einen Puls abgibt, wenn das Empfangssignal RLS mit Terminal Information im Bandspeicher 8 registriert, entsteht dem Taktsignal RTAKT zusammentrifft. Die UND-Schaltung ein CTL-Signal, das die UND-Schaltung 49 blockiert. Der Zäh-33 schaltet ausserdem den RTAKT-Zähler 34 fort, der ein 8Bit- 1er 48 wird durch eine Zeitschaltung mit so geringer Frequenz Empfangssignal abgibt, jedesmal wenn acht Bits empfangen und 35 periodisch zurückgeschaltet, dass unter normalen Arbeitsbedin- ' in das Schieberegister 31 eingeschoben worden sind. Das « 8 gungen während einer Verbindung mindestens ein Abrufbyte BIT E»-Signal gelangt vom Schieberegister 31 erstens über die oder Informationsbyte vom Zentralcomputer übertragen wird, UND-Schaltung 35 zur Speicherhauptleitung, zweitens zur bevor das nächste Rückschaltsignal erwartet wird. Der Zähler Steuerbytelogik 36 und drittens zur Vergleichsschaltung 37. Die 48 wird also im Betrieb geringfügig vorwärts oder rückwärts ODER-Schaltungen 38 und 39 bereiten die UND-Schaltung 35 40 geschaltet, steht jedoch meistens bei seiner höchsten Zahl, da er vor, den Inhalt des Schieberegisters 31 auf die Speicherhauptlei- nicht wieder von Null anfängt zu zählen. Wenn das «8 BIT tung zu geben, jedesmal wenn ein Datenwort oder ein «Ende EMPFANGEN»-Signal für eine genügend lange Zeit nicht auf-der Meldung»-Wort in den Sequenzzuständen S6 oder S112 tritt und sich der Zählerstand unter den halben gespeicherten festgestellt wurde, d.h. wenn Meldungen vom Zentralcomputer Wert erniedrigt, verschwindet sein höchstes Bit. In diesem Zu-zu erwarten sind. Die Vergleichsschaltung 37 vergleicht den In- 45 stand müssen mehrere Abfragesignale empfangen werden, behalt des Empfangsschieberegisters 31 mit der Adresshauptlei- vor der Zähler 48 so weit fortgeschaltet ist, dass ein Übertrags-tung, wenn die Steuerbytelogik 36 anzeigt, dass das Byte im bit entsteht. Auf diese Art wird vermieden, dass das Terminal Schieberegister 31 ein Adressbyte ist. Die Vergleichsschaltung allzu oft die Verbindung herzustellen sucht.

37 gibt ein Signal «AD=» ab, um anzuzeigen, dass die Zahl der Das Sendesignal für den Modem 14 kommt von der ODER-

Bytes, die der Zentralrechner abgesandt hat, mit der Zahl der so Schaltung 50 auf ein empfangenes Abrufbyte oder ein anderes empfangenen Bytes übereinstimmt, oder «AD ^ », wenn der der dort empfangenen Steuerbytes.

Vergleich nicht aufgeht. Ausserdem gibt die Steuerbytelogik Si- Die Steuerkreise 21,16, 24, 25 und 28 sind dem Kreis 15 gnale auf verschiedene Leitungen, wie POLL, ACKR, EOTR ähnlich. Insbesondere die Kreise 21,16 und 28 haben Aus-usw. ab, die verschiedentlich verwendet werden können. Bei- gangsleitungen, deren Funktion der der Ausgangsleitung des spielsweise wird jedes Byte, das nicht ein Steuerbyte, z.B. ein 55 Kreises 15 analog ist. Zudem ist die Magnetbandspeicherlogik «Ende der Meldung»-Byte oder ein Quittungsbyte ist, als 16 der Übermittlungslogik 15 sehr ähnlich. Einer der beiden Datenbyte mit einem DATAR-Signal versehen, sofern nicht ein arbeitet immer dann, wenn das Terminal Verbindung mit dem Steuerbyte EOM folgt, in welchem Fall das Byte als Längenzäh- Hauptcomputer hat und die andere immer, wenn es diese Ver-lung angesehen wird, die auch über die ADDRR-Leitung abge- bindung nicht hat. Es ist daher klar, dass manche Kreise mehregeben wird. 60 re der in Fig. 2 und 3 gezeigten Funktionen ausführen können, Ähnlich wie die Empfangslogik arbeitet auch die Sendelo- wodurch Ersparnisse entstehen. Praktisch wird der ganze Aus-gik, welche Daten aus dem Schieberegister 30 unter der Steue- gang der Logik 15 sowohl dem Modem 14 als auch der Bandlo-rung der UND-Schaltung 40 verschiebt. Die UND-Schaltung 40 gik 16 zugeführt, so dass das Magnetband beschrieben wird,

gibt ein Ausgangssignal ab, wenn ein Sendesignal CTS und ein wenn das Terminal keine Verbindung hat und gesendet wird,

STACKT-Signal gleichzeitig vom Modem empfangen werden. 65 wenn die Verbindung mit dem Zentralrechner besteht.

Der STAKT-Zähler 41 zählt die Bits, die aus dem Sendeschie- Die Chiffrierlogik 25, die in Fig. 14 im Detail dargestellt ist,

beregister 30 geschoben und über die S-Datenleitung zum Mo- arbeitet ähnlich, wie es in Bezug auf die Übermittlungslogik 15

dem 14 übertragen werden. Wurden acht Bits übertragen, so beschrieben wurde. Die Daten zirkulieren hier zwischen Spei

629 902 6

cherstellen, wobei das Datenwort IDDW und das Schlüsselwort liehen Sicherheitsmassnahmen sind bekannt und werden des-IDKB benützt wird, und diese Wörter mit der Verschlüsselungs- halb nicht weiter beschrieben.

einheit 18 ausgetauscht werden, Byte pro Byte, wie im Zeitdia- Nachfolgend wird der Betrieb des Terminals im einzelnen gramm der Fig. 10,11 und 12 dargestellt. Ein wesentlicher Un- beschrieben. Fig. 4 zeigt die Arbeitsweise bei der Kartenausga-terschied zwischen der Logik 25 und der Logik 15 besteht darin, 5 be. Wenn die Natzstromversorgung eingeschaltet wird, sorgt ei-dass die letztere vom Zykluszähler 53, Fig. 14, synchronisiert ne bekannte Rückstellschaltung dafür, dass alle Zähler und Haiist. Die Übermittlungslogik 15 andererseits muss wegen den auf tekreise auf Null zurückgestellt werden, wodurch das Terminal den Übermittlungskanälen herrschenden Bedingungen sowie in den Sequenzstatus SO gerät.

der auftretenden Steuerinformation innerhalb der zu übertra- Um das Terminal in den Ausgabemodus zu bringen, wird genden Daten asynchron arbeiten. 10 eine entsprechende Taste gedrückt. Die Taste erzeugt ein

Der Zykluszähler 53 in Fig. 14 wird beim Beginn eines je- KATTN-Signal für die Tastatursteuerlogik 24. Wenn der Speiden Zyklus durch die erste Phase eines vierphasigen Taktsignals eher nicht gerade für andere Zwecke benützt wird, d.h. wenn fortgeschaltet, wie in Fig. 5 des USA-Patents 3 958 081 be- der Sequenzzähler einen der Status SO bis S4 zeigt, sendet die schrieben ist. Die UND-Schaltung 54 lässt die Fortschaltung des Tastatursteuerlogik 24 ein Signal KGATE an die Tastatur, das Zykluszählers 53 nur während der Sequenzstaten S8, S10, Sil, 15 diese veranlasst, ein Informationsbyte auf die Speichereingangs-S102, S105, S106 und S107 zu, wenn gemäss dem Status des hauptleitung SEH abzugeben. Das Byte IM gelangt zum Spei-Terminals eine Datenübertragung zwischen verschiedenen Spei- eher und wird an der ersten Adressstelle A0 gespeichert. Das cherstellen oder eine Datenchiffrierung erforderlich ist. Der Zy- Byte gelangt auch an die Tastatursteuerlogik 24. Wenn die Lo-klussteuerdecoder 55 stellt die Sequenzstaten auf der Sequenz- gik 24 das Byte als Ausgabemodus Schlüssel decodiert, wird ein hauptleitung sowie die Zählung des Zykluszählers 53 fest und 20 entsprechender Haltekreis im Sequenzzähler 22 gesetzt. Der erzeugt Steuersignale für den Zykluszähler, die Vergleichslogik Sequenzzähler wird gleichzeitig durch ein Signal auf der Leitung 56, das Datenübertragungsregister 57, die Verschlüsselungslo- SECS auf den Status S1 fortgeschaltet. Die Anzeigelogik 26 gik 18, den Zufallsgenerator 29 usw. Das Datenübertragsregi- veranlasst nun «Namenseingabe» auf dem Meldungstableau 27 ster 57 sorgt für die Bewegung der Daten zwischen verschiede- anzuzeigen.

nen Teilen des Speichers 19. Die Daten werden von der Spei- 25 Der Benützer beginnt nun, den Namen des Kunden in die cherausgangsleitung über die UND-Schaltung 58 ins Register Tastatur einzugeben. Jedes eingegebene, alphabetische Zeichen 57 geladen und verlassen das Register über die UND-Schaltung erzeugt das Tastatursignal KATTN an die Tastatursteuerlogik 59 auf der Speichereingangshauptleitung. 24, die wiederum ein Abfragesignal KGATE erzeugt, weil das Fig. 15 zeigt Schaltkreise, die die Funktionen des Zyklus- Terminal im Stauts S1 ist. Jedes Zeichen, das die Tastatursteu-steuerdecoders 55 ausführen können. Ein erster Block von 30 erlogik 24 als alphabetisches Zeichen erkennt, wird in der zuUND-Schaltungen 60 decodiert die einzelnen Sequenzstände letzt adressierten Speicherstelle gespeichert, und der Adressauf der Sequenzhauptleitung zu Signalen auf einzelnen Leitun- zähler 23 wird fortgeschaltet. Wenn der Terminalstatus S1 ist gen S8, S10 usw. Ein weiterer Satz von UND-Schaltungen 61 und der Adresszähler A27 erreicht hat, wird von der Tastatur decodiert den Ausgangszyklus des Zählers 53 in Signale auf ein Feldtrennzeichen erwartet. Wenn die Logik 24 das 28. Zei-einzelnen Leitungen. Das Ausgangssignal der Schaltungen 60 35 chen nicht als Feldtrennzeichen erkennt, setzt der Sequenzzäh-und 61 steuert andere Schaltungen 62, 63 und 64, welche Signa- 1er 22 ein Neueingabesignal, der Adresszähler 23 wird an den le erzeugen, die anzusteuernde Speicheradressestellen angeben Anfang des Feldes, d.h. an die Adresse AI zurückgestellt. Das und die für weitere Schaltungen, wie 66 bis 72, als Eingang «Feld überfliesst—Neueingabe»-Signal am Meldungstableau dienen. Wie Fig. 15 zeigt, sind die Ausgänge der Schaltungen 62 wird von der Anzeigelogik 26 eingeschaltet. Wenn die Tastatur-mit Adressen bezeichnet, die während des Sequenzzustandes 40 Steuerlogik 24 das Zeichen in der Speichereingangshauptleitung S10 erzeugt werden. Die Adressen werden von den ODER- als Feldtrennzeichen erkennt, wird der Sequenzzähler 22 auf S2 Schaltungen 65 erzeugt, deren Ausgangssignal der SETA- und der Adresszähler 23 auf A28 fortgeschaltet. Wenn der Se-Hauptleitung zugeführt wird, um den Adresszähler 23 auf die qeunzzähler im Status S2 ist, veranlasst die Anzeigelogik 26 das Speicherstelle einzustellen, zu welcher Zugriff gewünscht wird. Signal «Betrag pro Ausgabe» zu erscheinen, das den Benützer Die ODER-Schaltung 72 steuert die Pulsbreite der Ausgangssi- 45 veranlasst, den Grenzbetrag anzugeben, den er selbst oder die gnale der Schaltungen 66 bis 70, so dass Information in den ausgebende Institution für seine Transaktionen festzulegen Speicher und in die Verschlüsselungsschaltung 18 synchron mit wünscht. Die Eingabe dieses numerischen Betrages veranlasst der Arbeit dieser Schaltungen eingeschrieben oder ausgelesen ein KATTN-Signal für jede Tastenbetätigung, wodurch ein wird. Nur ein Teil der Schaltungen 65 bis 71 sind in Fig. 15 KGATE-Signal entsteht, das jedes Byte auf die Speicherein-dargestellt, um zu zeigen, dass zusätzlich zu den im Beispiel so gangshauptleitung weiterleitet zur Speicherung in aufeinander-erläuterten Bedingungen noch andere existieren. Die Schaltun- folgenden Adressstellen gemäss der Fortschaltung des Adressgen 72 beispielsweise, stellen den Zykluszähler 53 am Ende der Zählers 23. Wenn die Tastatursteuerlogik 24 ein Eingangszei-auszuführenden Sequenz wieder zurück. Beispielsweise ist aus chen als Nichtfeldtrennungs-Zeichen erkennt und wenn der Fig. 11 zu sehen, dass der Sequenzzustand die dreizehn Zyklen Adresszähler die Position A31 erreicht hat, setzt der Feldzähler von 0 bis 12 umfasst. Während des Zyklus 12 erzeugt die Schal- 55 22 einen Haltekreis, wodurch die Anzeige «Überlauf - Wieder-tung 68 das mit RÜCKSTC bezeichnete Ausgangssignal, das eingäbe» verursacht wird und der Adresszähler auf Position den Zykluszähler 53 auf Null stellt. Dasselbe Ausgangssignal A28 zurückgestellt wird. Die Tastatursteuerlogik 24 schaltet der UND-Schaltung 68 gelangt auch zum INCS-Eingang des den Adresszähler jedesmal weiter, solange ein Eingangszeichen Sequenzzählers 22, um denselben vom Sequenzzustand 10 auf von der Tastatur als numerisches Zeichen erkannt wird und der Sequenzzustand 11 fortzuschalten. 60 Sequenzzähler den Status S2 anzeigt. Wenn die Logik 24 während des Status S2 ein Feldtrenn-Zeichen erkennt, wird der Für die Verschlüsselung des Personalwortes, das in der vor- Sequenzzähler auf S3 und der Adresszähler auf A32 weiterge-liegenden Ausüfhrung ein im Gedächtnis behaltenes Identifika- schaltet. Das Ablaufdatum der Kreditkarte wird ebenfalls ge-tionswort ist, kann die Verschlüsselungsschaltung 18 natürlich speichert, und zwar der Tag in Adresspositionen 32 und 33, der auch gemäss dem USA-Patent 3 958 081 arbeiten. Die Chif- 65 Monat in Positionen 35 und 36 und das Jahr in Positionen 37 frierlogik 25 kann so aufgebaut sein, dass zeitabhängige Infor- und 38. Wenn das Terminal im Sequenzstatus S4 ist und ein mation mit den Daten der Mitteilung im Zentralspeicher vor der «Ende Meldungs»-Byte von der Tastaturlogik festgestellt wird, Verschlüsselung und Übertragung verkettet wird. Diese zusätz- wird der Sequenzzähler auf S5 fortgeschaltet und der Adress

7 629 902

zähler auf A0 zurückgestellt. Wenn der Sequenzzähler auf S5 Taktzähler weiter. Wenn der Taktzähler achtmal fortgeschaltet steht, zeigt die Anzeigelogik 26 «Verarbeiten» an. ist und das achte Byte den Modem erreicht hat, wird ein neues

Während der Sequenz S5 werden die in den Sequenzen SO «8 BIT S» (-Signal erzeugt, wodurch das nächste Datenbyte vom bis S4 eingegebenen Daten an den Zentralcomputer übertragen. Ausgangsregister ins Übertragungsschieberegister 30 gelangt.

Die Übertragung wird durch die Übertragungssteuerlogik 15 5 Jedes in den Puffer 30 übertragene Byte wird von der Steu-veranlasst, die mit dem Modulator/Demodulator 14 zusammen- erbytesendenlogik 43 decodiert, um festzustellen, ob es sich um arbeitet, der beispielsweise der Standardschnittstelle RS232C ein EOM-Byte handelt, das das Ende der Übertragung anzeigt,

entspricht. Es wird im vorliegenden Beispiel angenommen, dass Wenn ein EOM-Byte in den Puffer 30 übertragen wird, setzt die der Zentralcomputer periodisch über die Übermittlungskanäle Logik 43 einen entsprechenden Haltekreis. Wenn das letzte Bit alle Terminals abfragt, d.h. wiederholt an jedes Terminal eine io des EOM-Bytes zum Modem gelangt, wird ein Informationsby-

Abfrageadresse sendet. Die Übertragungssteuerlogik in jedem te von der Adressenhauptleitung ins Register 30 übertragen, das

Terminal antwortet auf das Abfragesignal normalerweise mit die Länge der Meldung anzeigt. Die derzeitige Adressposition dem «Nicht Annahme»-Signal NACK und dem «Ende Übertra- des Adresszählers zeigt die Länge der soeben übermittelten gung»-Signal EOT, wenn die Logik die Adresse als die ihres Meldung an. Wenn das letzte Bit der Adresszahl zum Modem

Terminals erkennt, wenn aber das Terminal keine Information 15 übertragen wird, erzeugt der Abfall des STAKT-Signales ein zur Übermittlung bereit hat, d.h. sich nicht im Stauts S5 befin- neues «8 BIT S»-Signal und ein «Ende Übertragungs»-Zeichen det. Wenn andererseits das Terminal Information zur Übermitt- gelangt zum Register 30, um die Übertragung abzuschliessen.

lung bereit hat, erzeugt die Logik das Annahme-Byte ACK, Das «Ende Übertragungs»-Zeichen EOTS schaltet den Se-

dem dann die Information folgt, ein die Länge definierendes quenzzähler auf S6 und setzt den Adresszähler auf A0 zurück.

Signal sowie das «Ende Übermittlungs»-Byte EOT. Da der Se- 20 Im Status S6 kann eine Meldung vom Zentralcomputer empfan-

quenzstatus S5 die Ausgabe einer Identifikationskarte betrifft gen werden.

und da dazu Information vom Zentralcomputer am Terminal Es ist möglich, dass bei der Übertragung der Meldung im benötigt wird, kann die Karte nicht ausgegeben werden, wenn Status S5 die gezählte Länge nicht mit der tatsächlichen Anzahl das Terminal unabhängig, d.h. ohne Verbindung, arbeitet. Die- von übertragenen Bytes übereinstimmt oder auf andere Weise ser Zustand kann von einer Verzögerungsschaltung festgestellt 25 ein Fehler entdeckt wird. Im Fall eines Fehlers antwortet der werden, immer dann, wenn das Terminal nicht innerhalb einer Zentralcomputer mit den Bytes NACK und EOTE, wodurch bestimmten Zeit vom Zentralcomputer angerufen wird. Wenn eine Neuübertragung veranlasst wird. Wenn die Steuerbytelogik unter normalen Umständen ein Anruf mindestens alle zehn Se- 36 die Bytes NACK und EOT in der Übertragungssteuerlogik künden zu erwarten ist, kann die Zeitschaltung ein entsprechen- 15 entdeckt, wird der Sequenzzähler 22 auf die Sequenz 5 ge-

des Signal beispielsweise erzeugen, wenn seit einer Minute kein 30 schaltet und die gesamte Meldung wiederholt.

Anruf erfolgt ist. Das «Ohne Verbindung»-Signal setzt einen Wurde die im Status S5 übertragene Meldung beim Zentral-entsprechenden Haltekreis im Sequenzzähler 22, der von der computer richtig empfangen, so wird sie dort gemäss dem Fluss-Anzeigelogik 26 ausgewertet wird, um das Signal «Verarbeiten» diagramm in Fig. 4 behandelt. Dazu sind normalerweise weniger zu löschen und das Signal «Ohne Verbindung» darzustellen. als zwei Sekunden nötig. Hat der Zentralcomputer eine Ant-Erscheint dieses Signal, so kann der Benützer entweder die 35 wort bereit, so wird ein ACK-Byte und darauf die Datenbytes Transaktion aufgeben und die erforderliche Information später der Antwort, eine Längenzählung und ein EOT-Byte an den neu eintasten oder er kann das Terminal im Sequenzstatus S5 Terminal übertragen. Die Übermittlungssteuerlogik 15 arbeitet belassen und versuchen, die Verbindung mit dem Zentralcom- während des Empfangs wie folgt: Wenn der Modem 14 ein puter wieder herzustellen, oder andere Gründe für den Zustand Signal über den Übermittlungskanal empfängt, das den Ge-zu beheben. Wenn die Ubertragungslogik 15 eine Anzahl von 40 räuschpegel deutlich übersteigt, so gibt er ein Empfangssignal Abfragen, beispielsweise sechs oder mehr, empfangen und auf RLS ab und stellt ein mit dem ETAKT synchronisiertes Daten-jede mit dem NACK- und EOT-Byte geantwortet hat, so ändert bit auf der E-Daten-Ausgangsleitung zur Verfügung. Die Übersie den Status des Terminals von «Ohne Verbindung» zum Ver- mittlungssteuerlogik 15 überträgt jedes empfangene Bit in den bindungsstatus, worauf dieser die ursprünglich eingegebene In- Empfangspuffer 31. Im Puffer werden die Bits jeweils weiterge-formation an den Zentralcomputer überträgt. 45 schoben, um für neueintreffende Bits Platz zu machen. Nach Jedesmal, wenn das Terminal sich im Sequenzstatus S5 be- acht ETAKT-Pulsen, die vom ETAKT-Zähler 34 festgestellt findet, versucht die Übermittlungslogik 15 Information, die vom werden, wird der Inhalt des Puffers decodiert und je nach dem Zentralcomputer her übertragen wird, im Speicher von der entdeckten Zeichen der Abfrage-ACKR-, NACKR- oder Adressstelle A0 an zu speichern. Wenn das nächste Abfragesi- EOTR-Haltekreis gesetzt. Wenn der Antwortkreis gesetzt wird, gnal vom Zentralcomputer übertragen wird, antwortet die 50 wird das ACK-Byte nicht gespeichert, sondern ein DATAR-Übermittlungslogik 15 mit dem Anforderungssignal RTS. Der Signal sowie das nächste «8 BIT E»-Signal erzeugt. Das «8 BIT Modem 14 seinerseits erzeugt ein Bereitschaftssignal TTS und E»-Signal schickt das erste Antwortbyte im Puffer auf die Speiüberträgt das ACK-Byte über die Sendeleitung Bit für Bit unter chereingangshauptleitung und veranlasst den Speicher 19, das Synchronisation des STAKT-Signals vom Modem. Wenn das Byte an der Adresse zu speichern, die der Adresszähler 23 anletzte Bit des ACK-Bytes auf den Modem 14 übertragen wird, 55 gibt. Die abfallende Flanke des «8 BIT E»-Impulses schaltet leitet die Übermittlungslogik 15 das Datenbyte in der Speicher- den Adresszähler 23 um Eins weiter, damit das nächste Byte in ausgangshauptleitung des Speichers 19 in den Übertragungspuf- der nächsten Position gespeichert werden kann. Wird ein «Ende fer 30 der Übermittlungslogik. Der Abfall des in Fig. 13 gezeig- Meldungs»-Signal (EOM) entdeckt, so wird der entsprechende ten «8 BIT S»-Signals schaltet den Adresszähler 23 auf die Haltekreis gesetzt und das Signal als letztes in den Speicher nächste Adressstellung und veranlasst den Speicher 19, die 60 übertragen. Wenn der EOM-Haltekreis gesetzt ist, wird das Daten aus der nächsten Adressstelle in das Speicherausgangsre- nächste Byte als Längenzählungsbyte betrachtet und von der gister zu übertragen, wo sie stehen, bis das nächste «8 BIT S»- Übermittlungssteuerlogik 15 mit dem Wert des Adresszählers Signal auftritt. Weil der Modem in seiner Geschwindigkeit auf verglichen. Besteht keine Übereinstimmung, dann ist die Mel-maximal 9600 Bit/Sekunde begrenzt ist, stehen 104 Mikrose- dung vermutlich fehlerhaft und ein Fehlerhaltekreis im Modifi-kunden zur Verfügung zwischen den Modemtaktimpulsen, d.h. 65 katorteil des Sequenzzählers 22 wird gesetzt. Wird daraufhin reichlich Zeit, um ein Datenbyte aus dem Speicher in den Puffer das «Ende Übertragungs»-Byte im Empfangspuffer 31 ent-zu übertragen. Das nächste Übertragungstaktsignal schickt das deckt, so wird ein NACK-Byte von der Übermittlungssteuerlo-erste Bit des ersten Datenbytes zum Modem und schaltet den gik 15 über den Sendepuffer 30 geschickt, das den Zentralcom

629 902 8

puter veranlasst, die Meldung erneut zu übermitteln. Wenn an- tionsworttasten 21, sein nur ihm bekanntes Identifikationswort dererseits die Längenzählung mit dem Adresszähler überein- einzugeben, das damit selbst der Person, die die Karte an den stimmt, erzeugt die Übermittlungssteuerlogik ein ACK- und ein Kunden ausgibt, verborgen bleibt. Die Anzeigelogik 26 reagiert EOT-Byte als Quittung für den Zentralcomputer. Das vom auf den Sequenzstatus S9 durch die Anzeige «Eingang Identifi-Zentralcomputer übertragene EOT-Byte setzt den Adresszäh- 5 kationswort». Da die Identifikationsworttastatur die Betätigung 1er auf A0. Ist der Fehlerhaltekreis nicht gesetzt, wenn das einer numerischen Taste in einen Vierbinärbit-Hexadezimalco-EOT-Byte entdeckt wird, so schaltet dieses den Sequenzzähler de umwandelt, besetzt ein Identifikationswort mit sechs Deziauf Sequenzstatus S7. In der Sequenz S7 wird dem Benützer die malzahlen bereits drei Bytes, die in einem Dreibyte-Register in Antwort des Zentralcomputers ausgedruckt oder angezeigt, so der Tastatur gespeichert werden, bis alle sechs Zahlen eingege-dass Fehler entdeckt und wenn nötig richtiggestellt werden kön- 10 ben sind. Da der Kunde sich bei der Eingabe irren kann, ist eine nen. Die Arbeitsweise der Druckerlogik 28 entspricht in allem Löschtaste vorgesehen, die das Register auf einen vorgegebenen der Sendearbeitsweise der Übermittlungslogik 15. Ist beispiels- Wert zurückstellt. Ist ein Identifikationswort mit vier Dezimalweise der Drucker nicht unmittelbar beim Terminal angeordnet, zahlen vorgesehen, wird das Register nicht auf Null sondern auf so kann ein einzelnes Koaxialkabel ihn mit diesem verbinden, eine bestimmte Zahl zurückgesetzt, die sicherstellt, das nach worüber Bit nach Bit vom Speicher zum Drucker übertragen 15 Eingabe des Wortes mit vier Dezimalzahlen die drei Bytes auswird. Ist andererseits genug Kabel für ein ganzes Byte vorhan- gefüllt sind. Ist der Kunde sicher, sein Identifikationswort rich-den, so ist ein Taktimpuls ähnlich dem STAKT-Zähler in der tig eingegeben zu haben, so betätigt er eine Funktionstaste, die Übermittlungssteuerlogik nicht erforderlich, weil die Bytes be- ein KATTN-Signal an die Tastaturlogik 24 weitergibt, worauf reits parallel im Drucker eintreffen. das erste Byte in die Speicherstelle A232 übertragen wird.

Wenn die Druckerlogik 28 den Status S7 feststellt, erzeugt 20 Wenn das KGATE-Signal abfällt, wird der Adresszähler fortge-

sie ein Bereitschaftsbyte RTP, um die nötigen Motoren zu star- schaltet und das zweite Byte im Ausgangspuffer der Tastatur ten und das Papier in die richtige Position zu bringen, je nach veranlasst das nächste KATTN-Signal. Das zweite Byte wird der Art des Druckers. Ist der Drucker arbeitsbereit, so zeigt er darauf unter der Adresse A233 gespeichert und das dritte Byte der Steuerlogik 28 dies durch ein CTP-Signai an, worauf das in derAdresse A234. Die Tastatursteuerlogik wiederholt darauf erste Byte der Antwort des Zentralcomputers aus der Speicher- 25 das Identifikationswort zur Speicherung in den Adressen A242,

position A0 übertragen wird. Wenn acht Bits übertragen sind, A243 und A244, wie aus Fig. 9 ersichtlich.

schaltet der Adresszähler auf die nächste Stellung weiter, um die Damit das Identifikationswort und das Schlüsselwort volle dort gespeicherte Information vom Speicher 19 über die Spei- acht Datenbytes ausfüllen, werden in der Sequenz S10 die restli-cherausgangshauptleitung auf die Druckerlogik 28 zu übertra- chen Bytes mit Teilen der Kontonummer ausgefüllt. Das Ausgen. Die Druckerlogik decodiert alle Bytes, und wenn ein Feld- 30 füllen wird durch die Chiffrierlogik 25 der Steuerlogik 20 vorge-trennungsbyte oder ein «Ende Meldungs»-Byte festgestellt nommen, wie dies Fig. 11 zeigt. Die Chiffrierlogik 25 empfängt wird, fällt das RTP-Signal ab. Der Abfall dieses Signals veran- das erste Byte der Kontonummer von der Speicherausgangs-lasst den Drucker, den Inhalt seines Puffers auszudrucken. Der hauptleitung und schickt es zuerst in den Speicherplatz A235 Sequenzzähler 22 wird durch den Abfall von RTP auf den Sta- und dann in den Speicherplatz A245. Die Operation wird wie-tus S8 weitergeschaltet. 35 derholt mit dem zweiten und dritten Byte der Kontonummer,

Anhand der Fig. 10 wird nun die Arbeitsweise der Chiffrier- wogegen das vierte und fünfte Byte der Kontonummer lediglich logik 25 erläutert. Die Information, die im Sequenzstatus S6 zu den Speicherplätzen A238 resp. A239 geleitet wird. Die vom Zentralcomputer übermittelt worden war, steht im Se- Kontonummer ist derart mit dem Dreibyte-Identifikationswort quenzstatus S8 im Speicher des Terminals bereit. Eine Zufalls- verwürfeit zu einem Achtbyte-Datenwort und das Identifika-

schlüsselzahl (ZSZ), die fortlaufend vom Zufallsgenerator 29 40 tionswort und ein kleiner Teil der Kontonummer wurde mit der erzeugt wird, wird während der Zyklen 49,50,51 und 52 festge- Zufallszahl verwürfelt zu einem Achtbyte-Identifikationsschlüs-

halten, damit die Zweibyte-Zufallszahl in die Speicherstellen selwort, die beide der Datenverschlüsselung 18, gemäss dem

A157 und A158 und in die Chiffrierschlüsselstellen A240 und USA-Patent 3 958 081, zugeleitet werden. Wenn die Verwürfe-

241 übertragen werden kann. lung des Identifikationsdatenwortes und des Identifikations-

Die Daten vom Zentralrechner werden auf den Terminal 45 schlüsselwortes vollendet ist, wird der Sequenzzähler 22 auf den

über das Register 57, Fig. 14, über die Schaltungen 58 und 59 Status Sil fortgeschaltet.

mittels der Signale LADE REG resp. SPEICHER REG über- Im Sequenzstatus Sil wird das Identifikationsdatenwort tragen. Diese Signale stammen von den Schaltungen 66 resp. 67 und das Identifikationsschlüsselwort vom Speicher zur Chif-der Fig. 15. Das Zufallssignal wird von der Schaltung 71 er- frierschaltung 18 geleitet, dort chiffriert und die ersten vier By-zeugt. Das Zufallssignal hält den Zufallsgenerator 59 an. Auf so tes, jetzt als EPIN1 bezeichnet, auf dem Magnetstreifen 7 der diese Weise kann eine beliebige Zahl asynchroner Eingänge an Karte 1 registriert. Die anderen vier Bytes des verschlüsselten die Schaltung 71 angeschlossen werden, damit der Ausgang des Resultats sind mit EPIN2 bezeichnet und werden im Zentral-Generators 29 tatsächlich eine Zufallszahl ist. Selbstverständ- computer gespeichert. Die Verschlüsselungseinrichtung des lieh kann jede andere Form der Erzeugung einer Zufallszahl USA-Patentes 3 958 081 führt drei Reihen von Impulssignalen, benützt werden. Die Signale ZSZH und ZSZT stammen von ss die mit LIB, LDK und DOB bezeichnet sind und von Schalenden Schaltungen 69 resp. 70 und veranlassen den Zufallsgenera- gen ähnlich den Schaltungen 66 bis 72 kommen. Diese Signale tor 29, das hochstellige resp. das tiefstellige Byte des Zufalls- sind in Fig. 12 dargestellt und sind dieselben wie die in Fig. 3B schlüsseis auf die Speichereingangshauptleitung abzugeben, so des USA-Patentes 3 958 081 dargestellten, die dort benutzt wie dies Fig. 10 zeigt. Im Zyklus 54 der Sequenz S8 wird ein werden, um das Datenwort DW, das Schlüsselwort KW und das Meldungsendebyte in die Adresse AI 59 während den Phasen- 60 chiffrierte Ausgangswort Byte für Byte zu laden. Damit die im Zeiten 1 und 2 geladen. In der Phase 4 der Sequenz 8, Zyklus 54, USA-Patent 3 958 081 beschriebenen Mittel benützt werden erzeugt die Schaltung 72 das Signal INCS, das den Sequenzzäh- können, müssen die Steuer- und Synchronisiersignale so weit 1er 22 fortschaltet. Dasselbe Signal ist auch als CRÜCK be- abgeändert werden, dass das Schlüsselwort und das Datenwort zeichnet und gelangt auf den Zykluszähler 53, um diesen auf die nacheinander und nicht gleichzeitig aus einem separten Schlüs-Ausführung der nächsten synchronen Operation der Chiffrierlo- 65 selregister und einem Datenregister geladen werden, wie es im gik 25 vorzubereiten. geanannten Patent beschrieben ist. Mit Bezug auf Fig. 12 sowie

Der Sequenzstatus S9 wird von der Tastatursteuerlogik 24 auf Fig. 7A des genannten Patentes ist festzustellen, dass die erkannt zur Aufforderung an den Benützer, in die Identifika- Signale LDK, LDK und SR während der Zyklen 0 bis 7 auftre

9 629 902

ten. Andererseits treten die Takt- und Steuereinheitssignale striert wird. Nach der Fortschaltung steht der Sequenzzähler auf LIB und LIB nur verzögert während der Zyklen 0' bis 7' auf, dem Status S102.

während aufeinanderfolgende Datenbytes, die zu verschlüsseln Im Sequenzstatus S102 wird der Zufallsschlüssel ZSZ von sind, auf der Speicherausgangshauptleitung bereitstehen, die den Speicherplätzen A157, A158, von der Chiffrierlogik 25 auf mit der Speichereingangshauptleitung während den Zyklen 0' 5 die Speicherplätze A240 und A241 übertragen und der Se-bis 7' in Verbindung steht. quenzstatus auf S103 erhöht.

Die Einzelheiten der Übertragung der Bytes des Achtbytes- Im Status S103 zeigt die Anzeigelogik 26 das Signal «Ein-Identifikationsdatenworts und der Bytes des Achtbytes-Identifi- gang Identifikationswort» und veranlasst so den Kunden sein kationsschlüsselworts in die Datenwortpuffer 100 und 150, so- nur ihm bekanntes Identifikationswort über die Tastatur 12 ein-wie die Schlüsselwortpuffer 350 und 400 sind in Kolonnen 12, 10 zugeben. Das Identifikationswort besteht, wie schon bemerkt, 13 und 14 des USA-Patentes 3 958 081 beschrieben. Die dorti- aus einer persönlichen Zahl mit vier oder sechs Dezimalen, ge Beschreibung trifft auch auf die hier vorliegende Fig. 10 zu, Wenn es eingegeben ist, betätigt der Benützer eine Funktionsta-mit der Ausnahme, dass das Identifikationsdatenwort und das ste, die ein KATTN-Signal an die Tastaturlogik gibt. Dieses Identifikationsschlüsselwort sequentiell und nicht, gleichzeitig Signal veranlasst im Sequenzstatus S103 die Tastatursteuerlogik geladen werden. 15 24, ein KGATE-Signal auszugeben, um das erste Byte mit den

Nach der Chiffrierung steht ein chiffriertes Achtbyte- ersten beiden Dezimalziffern des Identifikationsworts an der

Datenausgangswort Byte für Byte zur Ausgabe bereit in der Adresse A232 des Speichers 19 zu speichern. Am Ende des

Chiffriereinheit 18. Die Bytes können synchron zum Signal KGATE-Signals wird der Adresszähler 23 fortgeschaltet, wor-

DBO abgerufen werden. Während der ersten vier DBO-Impul- auf das zweite Byte des Identifikationswortes in gleicher Weise se der Sequenz Sil werden die Bytes im Kartenpufferspeicher 20 übertragen und an der Adresse A234 gespeichert wird.

an den Adressen A152 bis A155 gespeichert. Die anderen vier Um die Entzifferung der Information auf der Identifika-

Bytes werden zur Übermittlung an den Zentralcomputer an den tionskarte oder im Speicher des Zentralcomputers und damit Speicheradressen A24 bis A27 gespeichert. Die Übermittlung den Zugang zum Identifikationswort zu erschweren, ist das erfolgt als EPIN2, während dem Sequenzstatus S12. Identifikationswort ein Teil des Schlüsselwortes an den Spei-

Die Arbeitsweise des Speicheradresszählers und der Über- 25 cherplätzen A242 bis A244. Die Übertragung dieser Daten ge-mittlungslogik während der Sequenz S12 ist im wesentlichen schieht unter dem Einfluss der Chiffrierlogik 25, während des identisch zu ihrer Arbeitsweise während der Sequenz S5 und Sequenzstatus S104 in den bereits früher beschriebenen Schrit-wird daher hier nicht wiederholt. Es ist jedoch zu bemerken, ten. Während des Sequenzstatus S105 wird ein Teil der Konto-dass die gesamte Mitteilung, die vom Zentralcomputer während nummer, der an der Speicheradresse A129 beginnt, mit dem der Sequenz S6 empfangen wird, zur Vergleichsprüfung an den 30 Datenwort, das an der Adresse A235 beginnt, und dem Schlüs-Zentralcomputer zurückübermittelt wird. Die vier Bytes EPIN2 selwort, das an der Adresse A245 beginnt, verwürfelt, bis diese werden mit der zurückgegebenen Meldung verwürfelt zur Spei- Wörter volle 64 Bits aufweisen. Erst dann erfolgt die Verschlüs-cherung in der Kundeninformationskartei, die durch die Konto- seiung. Anschliessend wird der Sequenzzähler auf den Status nummer des Kunden gekennzeichnet ist. S106 fortgeschaltet.

Während des Sequenzstatus S13 wird eine Quittung vom 35 Die Ausführung der Sequenz S106 wird unter erneutem Ausgabeterminal empfangen, wenn die Längenzählung und die Hinweis auf Fig. 12 beschrieben. Während der Sequenz S106 anderen Prüfungen der Meldung eine richtige Übertragung an- werden das Identifikationsdatenwort und das Identifikations-zeigen. Der Sequenzzähler wird dadurch auf den Status S14 schlüsselwort vom Speicher zur Chiffriereinheit 18 übertragen fortgeschaltet. und die ersten vier Bytes des EPIN1 in der Vergleichslogik 56

Im Sequenzstatus S14 zeigt die Anzeigelogik 26 das Signal 40 mit den EPINl-Bytes, die an den Adressen A152 bis A155 des «Registrieren Karte», um den Benützer zu veranlassen, eine Terminalspeichers stehen, verglichen. Wenn die ersten vier By-Identifikationskarte durch den Magnetstreifenleser zu schicken, tes identisch sind mit den von der Karte abgelesenen EPIN1 -so dass die Daten an den Speicheradressen A125 und A129 im Bytes, ist eine erste Überprüfung bestanden. Die Chiffrierlogik dritten Streifen 7 der Magnetkarte 1 registriert werden können. speichert die anderen vier Bytes EPIN2 an den Speicheradres-

Nachfolgend soll die Benützung der Karte anhand der Fig. 5 « sen A24 bis A27 für die spätere Übermittlung zum Zentralcom-erläutert werden. Dazu sei angenommen, dass das Terminal sich puter. Stimmt jedoch der Ausgang EPIN1 von der Chiffrierlo-im Sequenzstatus Null befindet, die Netzstromversorgung ein- gik nicht mit den im Terminalspeicher an den Adressen A152 geschaltet ist und das Rückstellsignal alle Zähler und Schaltkrei- bis A155 gespeicherten überein, so wird ein Ungültigmodifika-se auf Null zurückgestellt hat. tor gesetzt, der den Sequenzzustand auf S106' abändert. Im

Um das Terminal in den Benützungsmodus zu bringen, wird so Status 106' zeigt die Anzeigelogik 26 das Signal «Nicht geneh-eine Benützungstaste gedrückt. Diese ruft ein KATTN-Signal migt». Das Terminal verbleibt im Status S106' bis ein Rückstell-hervor, das in die Tastatursteuerlogik 24 gelangt. Da das Termi- Schalter betätigt wird, der das Terminal in den Status SO vernai im Status SO ist, erzeugt die Tastatursteuerlogik ein KGA- setzt.

TE-Signal, das die Tastatur veranlasst, das Byte, das die ge- Stimmt hingegen das von der Chiffrierlogik gelieferte Signal drückte Benützungstaste erzeugt, auf die Speichereingangs- 55 EPIN1 mit dem im Terminalspeicher an den Adressen A152 bis hauptleitung zu schicken. Das Byte wird in der Adresse A0 A155 gespeicherten EPINl-Signal überein, so liefert die Schal gespeichert und gleichzeitig der Tastatursteuerlogik zugeleitet. tung 72 der Chiffrierlogik 25 ein Fortschaltsignal, das den Se-Die Tastatursteuerlogik erkennt das Byte als das Signal der Be- quenzzähler in den Status S107 bringt.

nützertaste, setzt den entsprechenden Haltekreis im Sequenz- Im Status S107 wird die von der Identifikationskarte 1 abge zahler und schaltet den Sequenzzähler über die Leitung SETS 60 lesene Information, die jetzt an den Adressen A128 bis AI 51 auf den Status S101. Die Anzeigelogik veranlasst das Meldungs- gespeichert ist, zum Zentralcomputer übertragen, wo sie in den tableau das Signal «Karte lesen» zu zeigen, das den Benützer Adressen A0 bis A23 gespeichert wird. Da dazu die Tastatur-veranlasst, seine Karte in den Magnetstreifenleser einzusetzen. steuerlogik benützt werden kann, sind andere Schaltkreise nicht Die auf der Karte registrierten Daten werden abgelesen und an erforderlich. Wenn die Kartendaten auf den Zentralcomputer den Speicherstellen A128 bis A159 gespeichert, wie Fig. 9 zeigt.65 übertragen sind, wird der Sequenzzähler fortgeschaltet zum Se-Stellt die Streifenleserlogik 21 das Endsignalbyte EOM fest, so quenzstatus S108.

wird der Sequenzzähler 22 über die Leitung INCR fortgeschal- Im Sequenzstatus S108 zeigt die Anzeigelogik 26 gleichzei-

tet, während das «Ende Meldungs»-Signal im Speicher regi- tig ein oder mehrere Signale, die den Benützer veranlassen,

629 902 10

Angaben über die gewünschte Transaktion einzugeben. Dazu tifikationskarte und die Verfügbarkeit des gewünschten Betrags gehört beispielsweise die Art der Transaktion, ein Geldbetrag auf dem Konto betreffen. Diese Schritte sind alle bekannt, und oder irgendwelche andere Information, die der Zentralcompu- Computerprogramme, beispielsweise das «IBM 360 On-Line ter erkennen kann und die im freien Platz seines Puffers nach Teller Program» sind erhältlich. Wenn in einer Prüfung die der Position A28 Platz hat. die Transaktionsinformation wird 5 Transaktion als unzulässig erkannt wird, erfolgt eine entspre-

von der Tastatur weitergeleitet, wie schon früher in Bezug auf chende Anzeige am Terminal. Sind alle Prüfungen bestanden,

den Ausgabemodus beschrieben. Als einfaches Beispiel eines so erfolgt eine Genehmigungsanzeige. Die Übermittlung der

Transaktion können Daten in mehreren separaten Teilen einge- Antwortmeldung vom Zentralcomputer zum Terminal ist so gut geben werden, wobei ein erster Teil die Art der Transaktion, wie identisch zu der, die früher im Zusammenhang mit Sequenz-

z.B. die Ausgabe eines Kreditchecks oder den Transfer von 10 status S6 betreffend die Kartenausgabe beschrieben wurde. Der

Geld, betrifft. Die Transaktionsart kann durch ein Informa- Hauptunterschied liegt natürlich im Inhalt der Meldung an das tionsbyte von der Tastatur her in der Position A28 des Speichers Terminal. Die Meldung wird am Terminal im Sequenzstatus registriert werden, worauf der Sequenzstatuszähler auf S109 S112 empfangen und im Speicher an Adressen, die mit der Posi-

weitergeschaltet wird. In der Sequenz S109 kann die Anzeige- tion A0 beginnen, gespeichert. Während der Übertragung ent-

vorrichtung beispielsweise den verlangten Geldbetrag anzeigen, 15 deckt die Steuerbytelogik 36 allfällige Steuerinformation, die der gleichzeitig von der Speicherposition A30 an im Speicher auf ungültige Zeichen, «Genehmigt»- oder «Nicht Genehmigt»-

registriert wird. Andere Information kann in der Sequenz Sili Signale hinweist. Wird ein solches Signal entdeckt, so erzeugt folgen. Die Betätigung einer Taste «Meldungsende» schaltet die Übermittlungslogik 15 Modifikatorsignale für den Sequenz-

den Statuszähler auf Sili und den Adresszähler auf A0, wo er zähler 22, um den Sequenzstatus S112 entsprechend zu ändern, nun bereitsteht für die Übertragung der Identitätsüberprüfungs- 20 Die Anzeigelogik 26 wird darauf den bestehenden Zustand an-

daten an den Zentralcomputer. zeigen. Ist die Transaktion nicht genehmigt, so kann die Nach-

Die Arbeitsweise des Terminals im Sequenzstatus Sili ist rieht vom Zentralcomputer Mitteilungen enthalten, die vom identisch mit der Arbeitsweise im früher beschriebenen Se- Drucker auszudrucken sind. Wenn die Meldung vom Zentral-quenzstatus S5, und die Einzelheiten brauchen hier nicht wie- computer jedoch zuerst ein Genehmigungs-Byte überträgt, so derholt zu werden. Ist die Meldung beim Zentralcomputer emp- 25 wird der Benützer dadurch veranlasst, die noch ausstehenden fangen worden, so werden unter der Steuerung des dortigen Daten über die gewünschte Transaktion einzugeben. Programmes die Kontonummer des Benutzers festgestellt und Um die Sicherheit der Identitätsüberprüfung noch zu verdie sein Konto betreffenden Aufzeichnungen aufgesucht. bessern, wird nun eine neue Zufallsschlüsselzahl vom Zufallsge-Danach wird das vom Terminal übertragene Feld EPIN2 vom nerator 29 benützt, der an die Verschlüsselungseinheit 18 geht, Programm mit dem Inhalt des im Speicher registrierten EPIN2- 30 un(j ejn neues EPIN1 sowie ein neu es EPIN2 erzeugt. Während Felds verglichen, wie das Flussdiagramm in Fig. 5 zeigt. ajs0 an der Tastatur die restlichen Angaben über die Transak-

Stimmt das übertragene EPIN2-Feld mit dem im Zentral- t}on eingegeben werden, springt der Sequenzstatuszähler zurück computer gespeicherten EPIN2-Feld überein, so ist die zweite auf status S8 und wiederholt die früher in Bezug auf den Kar-Überprüfung bestanden und mit grosser Sicherheit bewiesen, tenausgabemodus beschriebenen Schritte, um ein neues Signal dass der Benützer tatsächlich diejenige Person ist, die rechtmäs- 35 gpjNi und EPIN2 zu erzeugen. Eine neue Zufallsschlüsselzahl, sig Zugriff zum Konto verlangt. Wenn andererseits das vier Byte die vom Zufallsgenerator 29 erzeugt wird, wird der Speichereinlange, vom Terminal übertragene EPIN2-Feld mit dem im Zen- gangshauptleitung zur Speicherung an den Positionen A240 und tralcomputer gespeicherten nicht übereinstimmt, so ist die zwei- A241 zugeleitet. Die Chiffrierlogik 25 leitet diese Zahl zusätz-te Identifikationsprüfung nicht bestanden. Das kann hervorge- lich an die Adressen A40 und A41 des Terminals und an die rufen sein durch einen Übertragungsfehler, der nicht entdeckt 40 Adressen A257 und A258, damit sie auch als neues EPIN1 auf wurde, oder durch die Eingabe eines unrichtigen Identifika- der Identifikationskarte registriert werden. Wie früher beschrie-tionswortes. Ohne Rücksicht auf den Grund wird die Transak- ben, wird das neue EPIN1-Signal auch in den Speicherplätzen tion nicht vorgenommen, sondern als ungültig am Terminal an- A252 bis A255 und das neue EPIN2 in den Plätzen A24 bis gezeigt. A27 registriert. Das neue EPIN2 wird zusätzlich zum Zentral-

Wurde die zweite Identitätsüberprüfung als richtig befun- ^ 45 computer übermittelt und in dem für das Kundenkonto vorgese-

den, so behandelt das Programm die verlangte Transaktion wei- henen Speicherplatz anstelle des alten EPIN2 registriert. Ein ter. Dazu wird z.B. festgestellt, ob die Transaktion den zulässi- Quittungssignal kommt zurück zum Terminal, das eine Anzeige gen Geldbetrag pro Zeiteinheit über das für den betreffenden des gesamten Vorgangs veranlasst, damit der Benützer seine

Benützer festgesetzte Maximum belastet. Andere Prüfungen Identifikationskarte zur Registrierung des neuen EPIN1 und können eine zu häufige Benützung, das Ablaufdatum der Iden- 50 des neuen Schlüsselwortes in das Terminal einführen kann.

C

10 Blatt Zeichnungen

Claims (7)

629 902

1. Der Benützer führt seine Kreditkarte mit der magnetisch 35 registrierten Information gemäss z.B. dem American Bankers Association Standard (ABA) in den Terminal ein. Dazu tastet der Benützer das Personalwort und andere Information bezüglich der gewünschten Transaktion, beispielsweise den zur Geldausgabe verlangten Betrag, in die Tastatur. 4" 2. Der Terminal verschlüsselt die Kontonummer mittels eines Verschlüsselungscodes A und eines Algorithmus, beispielsweise des National Bureau of Standards Algorithmus (NBS), worauf das Resultat mit dem Personalwort verglichen wird. Der NBS-Verschlüsselungsalgorhythmus ist auf Seite 95 des USA 45 Federai Registers, Band 40,149, vom 1. August 1975, publiziert. Geht der Vergleich nicht auf, so wird die Transaktion gesperrt und die Karte entweder dem Benützer zurückgegeben oder im Terminal festgehalten.

1. Verfahren zur Identitätsüberprüfung von Personen, die mittels einer Identifikationskarte über ein Terminal Zugriff zu einem Zentralcomputer verlangen, gekennzeichnet durch folgende Schritte:

- Ablesen eines Schlüsselwortes und eines ersten Teilkennwortes von der Karte;

- Eingeben eines Personalworts, das sich auf den Benützer der Karte bezieht;

- Berechnen eines Kennworts aus dem Schlüsselwort und dem Personalwort;

—Vergleichen des ersten Teils des Kennwortes mit dem von der Karte abgelesenen ersten Teilkennwort, um eine erste Übereinstimmung festzustellen ;

- Verweigern des Zugriffs bei Nichtübereinstimmung;

- Vergleichen eines zweiten Teils des Kennworts mit einem zweiten, von einem Zentralcomputer gelieferten Teilkennwort, wenn der erste Vergleich zu Übereinstimmung geführt hat, und Feststellen einer zweiten Übereinstimmung ;

- Verweigern des Zugriffs, wenn der zweite Vergleich nicht zu Übereinstimmung führt.

2. Verfahren gemäss Anspruch 1, gekennzeichnet durch Berechnen eines neuen Kennworts aus dem Personalwort und eines neuen Schlüsselworts, wenn der zweite Vergleich zu Übereinstimmung geführt hat, und Einschreiben des neuen Schlüsselwortes und eines ersten Teils des neuen Kennworts in die Karte anstelle des alten Schlüsselworts und des alten Teilkennworts, sowie Speichern des zweiten, neuen Teilkennworts im Zentralcomputer anstelle des alten Teilkennworts.

2

PATENTANSPRÜCHE

3

629 902

3. Wird Übereinstimmung festgestellt, so so wird das Perso-50 nalwort verschlüsselt. Dazu kann ein Bankcode B oder aber der genannte Code A benützt werden. Das verschlüsselte Identifikationswort wird mit einer von der Zeit abhängigen Information kombiniert, z.B. der Transaktionsnummer oder dem Bargeldinhalt des Terminals, wodurch wiederholte Übertragung der sel-55 ben Information vermieden wird. Das Resultat wird mittels eines Übermittlungscodes C verschlüsselt und an den Zentralcomputer übermittelt.

3. Computerterminal zum Durchführen des Verfahrens gemäss Anspruch 1, wobei die Identifikationskarte von Auge lesbare sowie maschinell lesbare und beschreibbare Informationsfelder aufweist, und wobei ein Teilkennwortfeld zur Registrierung eines Teils einer chiffrierten Information, die sich auf den berechtigten Benützer der Karte bezieht, sowie ein Schlüsselwortfeld zur Registrierung des Codes, unter dem die persönliche Information verschlüsselt ist, vorhanden sind, gekennzeichnet durch Mittel (13) zum Ablesen des Schlüsselwortes sowie des ersten Teilkennwortes von der Karte, durch Mittel (18) zum Verschlüsseln des eingegebenen Personalwortes mit Hilfe des Schlüsselwortes zum Bestimmen des Kennwortes, Mittel (56) zum Vergleichen des ersten Teilkennwortes mit einem ersten Teil des soeben bestimmten Kennwortes, Mittel (26,27) zum Anzeigen des Resultates des Vergleichs, Mittel (14,15) zum Übermitteln des zweiten Teils des Kennwortes an einen Zentralcomputer zum Vergleichen mit einem dort gespeicherten Teilkennwort, das sich auf die Identifikationskarte bezieht, sowie Mittel zum Empfangen einer Antwort vom Zentralcomputer und zum Anzeigen des Resultats (26,27) des Vergleichs des zweiten Teils des Kennwortes mit dem genannten gespeicherten Teilkennwort.

4. Im Zentralcomputer wird die übermittelte Meldung gemäss dem Schlüssel C entziffert und das nun noch verschlüsselte

60 Personalwort mit der gespeicherten Datenbasis des Kontos verglichen, das durch die Transaktion betroffen ist. Dabei können Kreditgrenzen und andere dem Konto zugeordnete Informationen überprüft werden.

4. Computerterminal gemäss Anspruch 3, gekennzeichnet durch Mittel (29) zum Erzeugen eines neuen Schlüsselwortes, Mittel (25) zum Verschlüsseln des Personalwortes mittels des neuen Schlüsselwortes zu einem neuen Kennwort, Mittel (21) zum Registrieren eines ersten Teils des neuen Kennwortes sowie des neuen Schlüsselwortes auf der Identifikationskarte anstelle des alten Teilkennwortes und des alten Schlüsselwortes, und Mittel (14,15) zum Übermitteln des zweiten Teils des neuen Kennwortes zum Zentralcomputer zwecks Speicherung anstelle des alten Teilkennwortes.

Für viele Transaktionen ist es erforderlich, die Identität der Benützer von Computerterminals mit hinreichender Zuverlässigkeit zu überprüfen. Die Identifikation von Personen mittels Identitätskarten und Kreditkarten ist seit längerem bekannt.

Die Zuverlässigkeit der Überprüfung wird jedoch durch die Möglichkeit des Diebstahls oder des Verlusts der Karte beeinträchtigt. Um die Identität einer Person, die eine solche Karte vorweist, zu überprüfen, wurden schon mancherlei Verfahren 5 vorgeschlagen, wie die Erkennung von Fingerabdrücken, des Stimmspektrogramms, der Unterschrift, von Gesichtsmerkmalen und selbst die Analyse der akustischen Transferfunktion des menschlichen Körpers.

Eine bekannt gewordene Methode erfordert, dass der Be-10 nützer einer Identifikationskarte zusätzlich eine Zahl, ein Personalwort, auswendig weiss, das im Terminal algorithmisch mit einem anderen Datenwort, z.B. einer Kontonummer, der Nummer eines Reisepasses etc. in Verbindung gebracht wird, das von einem Magnetstreifen in der Identifikationskarte abgelesen 15 wird. Das Personalwort kann auch irgendwie verschlüsselt im Magnetstreifen auf der Karte registriert sein. Wenn das Terminal einen genügend grossen Speicher aufweist, kann dort eine Tabelle stehen, die das Personalwort mit der von der Karte abgelesenen Zahl one mathematischen Zusammenhang in Ver-20 bindung bringt, wodurch es unmöglich wird, das Personalwort aus der Kartenzahl direkt zu bestimmen. Reicht der Speicher des Terminals nicht für alle Kontonummern und zu deren Überprüfung aus und ist das Personalwort nicht in der Karte registriert, so muss die Kontonummer von der Karte und das Perso-25 nalwort an den Zentralcomputer zur Überprüfung übermittelt werden. Mehrere Verschlüsselungssysteme wurden dazu schon vorgeschlagen, um zu verunmöglichen, dass die Zahlen durch Abhören der Leitungen oder durch unerlaubten Zugriff zum Zentralcomputer von Unberechtigten festgestellt werden so können.

Beispielsweise wird ein Geldausgabeterminal logische Schaltkreise oder ein Mikroprogramm enthalten, um folgende Schritte auszuführen;

5. Sind die Überprüfungen in Ordnung und ist der Konto-65 stand ausreichend, so wird eine Antwortmeldung, die ebenfalls eine zeitabhängige Angabe enthält, die die Transaktion erlaubt, zusammen mit zu druckenden oder anzuzeigenden Meldungen verschlüsselt und zum Terminal übermittelt.

6. Im Terminal wird die Meldung entschlüsselt und die zeitabhängige Angabe mit der zeitabhängigen Angabe in der ersten Meldung verglichen, um sicherzustellen, dass die selbe Transaktion betroffen ist. Wird die Meldung in Ordnung befunden, so führt das Terminal die verlangte Transaktion aus, vermittelt beispielsweise dem Kunden eine Meldung und gibt gleichzeitig Bargeld an diesen aus.

7. Das Terminal übermittelt eine weitere Meldung an den Zentralcomputer betreffend die Ausführung oder aber die Löschung der Transaktion sowie allfällig aufgetretene Fehler.

Das soeben beschriebene Ausführungsbeispiel des Standes der Technik benützt zwei Verschlüsselungsebenen sowie zeitabhängige Meldungen, um das Personalwort und die Kontonummer der benützenden Person zu schützen, falls Übermittlungsverbindungen abgehört oder angezapft werden, sowie eine Verschlüsselungsebene, um das Personalwort für jedes Konto im Zentralcomputer zu schützen.

Befindet sich beispielsweise das Geldausgabeterminal in einer fremden Bank und ist das Terminal ein anderes Fabrikat als der Zentralcomputer, so muss die die Karte ausgebende Bank den Verschlüsselungscode C der anderen Bank mitteilen, damit die verschiedenen Computer dieser Banken zusammen die Transaktionen ausführen können. Das Personalwort ist dann nur noch mittels einer Verschlüsselungsebene geschützt und kann während der Übermittlung nicht mehr durch die zeitabhängige Angabe geschützt werden. Im Zentralcomputer kann das Personalwort nach der Entschlüsselung überhaupt nicht geschützt werden, sofern nicht der Bankverschlüsselungscode B der anderen Bank ebenfalls mitgeteilt wird, damit das Personalwort verschlüsselt werden kann. Zusätzlich wird die Geheimhaltung bei der Bank des Zentralcomputers gefährdet, wenn der Bankcode B nicht mehr geheim ist, da mit seiner Hilfe und mittels einer Anzapfung der Übertragungsverbindung der Inhalt der Datenbasis rekonstruiert werden kann.

Im Stand der Technik ist stets die Relation zwischen Kontonummer und Personalwort entweder auf der Karte oder im Computer gespeichert. Die USA-Patente 3 662 342 und 3 665 162 betreffen einen wechselnden Schlüssel und verwürfelte oder chiffrierte Information auf der Karte zum Vergleich mit dem Personalwort und erfordern beide, dass alle für diesen Vergleich notwendige Information auf der Karte registriert ist, wo sie verletzlich ist.

Das USA-Patent 3 697 729 zeigt die Benützung zufällig angeordneter Punkte ebenfalls auf der Karte.

Die USA-Patente 3 543 904 und 3 401 830 sowie andere Patente zeigen verschiedene Chiffriersysteme, um die Beziehung zwischen Kontonummer und Personalwort im Zentralcomputer zu verbergen. Gemäss dem USA-Patent 3 648 020 wird das Personalwort an den Zentralcomputer zum Vergleich übermittelt.

Das vorliegende Verfahren zur Identitätsüberprüfung von Personen, die mittels einer Identifikationskarte über ein Terminal Zugriff zu einem Zentralcomputer verlangen, ist gekennzeichnet durch folgende Schritte: Ablesen eines Schlüsselwortes und eines ersten Teilkennwortes von der Karte; Eingeben eines Personalworts, das sich auf den Benützer der Karte bezieht; Berechnen eines Kennworts aus dem Schlüsselwort und dem Personalwort; Vergleichen des ersten Teils des Kennwortes mit dem von der Karte abgelesenen ersten Teilkennwort, um eine erste Übereinstimmung festzustellen; Verweigern des Zugriffs bei Nichtübereinstimmung; Vergleichen eines zweiten Teils des Kennworts mit einem zweiten, von einem Zentralcomputer gelieferten Teilkennwort, wenn der erste Vergleich zu Übereinstimmung geführt hat, und Feststellen einer zweiten Übereinstimmung; Verweigern des Zugriffs, wenn der zweite Vergleich nicht zu Übereinstimmung führt.