CH673163A5 - - Google Patents

Description

BESCHREIBUNG

Die vorliegende Erfindung betrifft ein Verfahren zum Schutz gegen unberechtigten Zugriff zu einer Information, die in einen Apparat durch Anschlag von Tasten einer Tastatur eingegeben und von der Tastatur in Form von elektrischen Signalen über elektrische Leitungen an eine Prozessor-Einheit übertragen wird.

Heutzutage wird vielfach eine magnetische Karte als «Taste» gebraucht, um Zugriff zu Geld und Gütern zu haben. Beispiele dieser Technik sind die äusseren Kartenleser bei Tankstellen und die mit sogenannten ATM Karten bedienten Geldautomaten vom Typ «Bankomat» R und «Minuten» R. Im letzterwähnten Fall ist es selbstverständlich sehr wichtig, dass nur der rechtmässige Eigentümer die Karte verwenden kann, um Bargeld zu beziehen, und dass zudem kein Dritter mit einer verfälschten Karte Geld beziehen kann. Um zu verhindern, dass Betrüger, die eine magnetische Karte von einem anderen nachgemacht, gefunden oder gestohlen haben oder sonst irgendwie in den Besitz einer solchen Karte gekommen sind, Geld beziehen können, sind die Karten mit einem Personal-Code, einem sogenannten PIN-Code (Personal Identification Number) verknüpft, der in den Automaten eingegeben werden muss, bevor ein Geldbezug möglich ist. So hat der PIN-Code eine spezifische Beziehung zur in die magnetische Karte eingeprägten Information, die kontrolliert und als richtig befunden werden muss, bevor ein Geldbezug möglich ist. Die Prüfung erfolgt entweder im Automat-Computer oder in einem Zentral-Computer. Im letzten Fall wird der PIN-Code durch den Automat-Computer verschlüsselt, bevor er auf den Zentral-Computer übertragen wird.

Die US-PS 4 234 932 beschreibt ein System, das einem Dieb den Bargeldbezug aus einem Geldautomaten erschwert,

wenn er nicht zugleich im Besitz der magnetischen Karte und des PIN-Codes ist. Das System umfasst eine Endstation mit einem Kartenleser, einen Zufallsgenerator, einen PIN-Code-Signalgenerator, eine Sicherungseinheit und einen Quittiermechanismus.

Das System umfasst zudem einen Zentral-Computer für den Empfang der Kartendaten, eines Signals (9), das den PIN-Code mit dem Speicherplatz (X) des Kunden im Speicher verbindet, und einer Zufallszahl (w). Der Computer liefert ein Berechtigungssignal, das aus der Summe (Z) der 5 drei obenerwähnten Signale besteht. Das Berechtigungssignal wird in der Sicherungseinheit mit dem vom Kunden eingegebenen PIN-Code und mit der Zufallszahl (w) verglichen, und wenn eine spezifische Beziehung zwischen denselben erfüllt ist, wird ein Freigabesignal dem Quittierme-10 chanismus zugeführt.

Indessen ist ein solches System, das sowohl eine Karte als auch einen PIN-Code gebraucht, noch nicht diebessicher. Ein Dieb kann ein mögliches Opfer, das dabei ist, seinen Code einzugeben, mit der Absicht beobachten, sich später ls irgendwie die Karte des Opfers zu verschaffen.

Um das Spionieren eines Codes zu erschweren, schlägt die EP-84116 154.0 eine Anordnung vor, durch welche unberechtigte Personen verhindert werden können, den PIN-Code eines Kunden nur schon durch Spionieren der Bewe-20 gung der Finger beim Eingeben des Codes abzulesen.

Die Anordnung umfasst eine Tastatur und ein Anzeigefeld, das angibt, welche Tastaturtaste welcher Zahl entspricht. Die Bedeutung jeder Taste kann somit in regelmässigen Zeitabständen geändert werden; dies bewirkt, dass ein 25 gerade eingegebener Code nicht lediglich durch Beobachtung der Fingerbewegungen feststellbar ist. Zudem sind die Chancen, die ein Dieb hat, grosse Geldsummen zu beziehen, durch die Vorschriften über den maximalen Betrag beschränkt, den man während einer bestimmten Zeit von 30 einem Geldautomaten herausnehmen kann, und durch die Möglichkeit, die das Opfer hat, sein Konto zu sperren.

Eine grössere Gefahr für die Banken besteht in der Möglichkeit, dass ein Betrüger sich in die Leitungen eines Geldautomaten einschaltet, wenn gerade Daten übertragen 35 werden, um Informationen sowohl über die magnetische Karte als auch über den PIN-Code einer grossen Anzahl Karten zu erhalten. Durch Herstellung von verfälschten Karten und durch den Gebrauch der abgefangenen Codes kann der Unbefugte Bargeld von einer grossen Anzahl ver-40 schiedener Konti beziehen und somit in den Besitz grosser Geldsummen kommen.

Der Unbefugte hat grundsätzlich drei Möglichkeiten, um wichtige Informationen dem Geldautomaten zu entnehmen. Die erste Möglichkeit besteht darin, dass sich der Unbefugte 4s in die Leitungen einschaltet, die den Lokalcomputer des Automaten mit dem Zentralcomputer verbinden, und die darauf übertragenen Signale abfängt. Um den Zugriff zu wichtigen Informationen zu erschweren, werden daher alle kritischen zwischen dem Lokalcomputer und dem Zentral-50 computer übertragenen Daten verschlüsselt. Die zweite Möglichkeit ist, dass der Unbefugte sich einschaltet und den Pro-gramm-Code für den Lokalcomputer abliest, um Zugriff zu den Verschlüsselungs- und/oder Kontroll-Algorythmen zu haben. Dies könnte jedoch durch die Verwendung eines 55 kürzlich in den USA entwickelten Sicherheits-Chips verhindert werden, der das Ablesen des Programm-Codes verun-möglicht. Die dritte Möglichkeit besteht schliesslich darin, dass der Unbefugte die Signale auf den Leitungen zwischen der Tastatur und dem Lokalcomputer sowie zwischen dem 60 Kartenleser und dem Lokalcomputer abzapft. Der einzige Weg, um diesen Teil des Geldautomaten zu schützen, besteht somit darin, ihn physisch zu schützen, was jedoch aus Sicherheitsgründen unbefriedigend ist. Personen mit berechtigtem Zugang zum Innern des Geldautomaten können ohne grosse es Schwierigkeiten Spionierschaltungen einbauen. Der physische Schutz dieses Teils würde bewirken, dass nicht jedermann eine Tastatur mit irgendwelchen Tasten verwenden könnte ; die Tasten müssten vielmehr speziell entworfen sein,

673163

was die Tastatur schwerfälliger und aufwendiger machen würde.

Es ist daher Zweck der vorliegenden Erfindung, ein neues Verfahren zur Verhinderung des Zugriffs zu Geräten in der Art eines Geldautomaten zu schaffen. Das Verfahren soll bei bestehenden Geldautomaten anwendbar sein und keine umfangreichen und kostspieligen Installationen erfordern.

Diese Aufgabe wird mit Hilfe eines Verfahrens der eingangs erwähnten Art gelöst, das dadurch gekennzeichnet ist, dass die Prozessor-Einheit Signale über die Leitungen in gesondert verteilten Empfangsperioden empfängt, und dass zwischen den Empfangsperioden die Prozessor-Einheit Signale, die Tastaturanschläge simulieren, an diese Leitungen abgibt.

Der maximale Zeitabstand zwischen zwei aufeinanderfolgenden Empfangsperioden muss selbstverständlich wesentlich kürzer als die kürzeste Dauer eines Tastanschlags sein, damit keine Gefahr besteht, dass ein Anschlag übersprungen wird.

Ein sich in die Leitungen zwischen der Tastatur und dem Lokalcomputer des Geldautomaten einschaltender Unbefugter ist somit unfähig zu entscheiden, wann wirkliche Tastanschläge stattfinden, und somit auch unfähig zu entscheiden, welcher PIN-Code zu welcher Information auf der im Geldautomat verwendeten Karte gehört. Um die Sicherheit noch mehr zu erhöhen, kann die Dauer der Lücken zwischen den Empfangsperioden stochastisch oder unsystematisch geändert werden, wie es bei der Dauer der simulierten Tastanschläge und deren Frequenz der Fall ist.

Die Vorteile des Verfahrens nach der vorliegenden Erfindung, wie sie hier beschrieben wird, besteht darin, dass es bei bestehenden Geldautomaten angewendet werden kann, dass es keiner aufwendigen oder kostspieligen Installationen bedarf und dass die Anforderungen an physischen Schutz für diesen speziellen Teil des Geldautomaten gering sind, was auch den Gebrauch von anderen als den heute verwendeten Tastaturen ermöglicht.

Im folgenden wird ein Ausführungsbeispiel der Erfindung anhand von Zeichnungen näher erläutert. Es zeigt:

Fig. 1 eine schematische Darstellung der Bauteile eines Geldautomaten,

Fig. 2 ein Zeitdiagramm für Signale, wie sie beispielsweise zwischen der Tastatur und dem Computer eines Geldautomaten auftreten können, sowie bei wirklichen und simulierten Tastanschlägen nach dem Verfahren gemäss der vorliegenden Erfindung.

Der in Fig. 1 schematisch dargestellte Geldautomat besteht im wesentlichen aus einer Tastatur 21, einem Kartenleser 22 und einem Computer 23. Die Tastatur 21 ist matrixartig ausgestaltet und umfasst vier Zeilen-Leitungen ao bis a3 und vier Spalten-Leitungen do bis d3, die eine Matrix bilden, in der jeder Schnittpunkt zwischen einer Zeile und einer Spalte einer Taste entspricht. In der dargestellten Ausführung weist somit die Tastatur sechzehn Tasten 1 bis 16 auf. Die Leitungen ao bis a3 und do bis d3 sind mit dem Computer 23 verbunden, der eine Zentraleinheit, einen sogenannten ROM-Speicher (read-only memory), einen sogenannten RAM-Speicher (random-access memory), Daten-Busen, Adress-Busen und Ein-Ausgabe-Einheiten in konventioneller Bauweise aufweist. Ein solcher Computer kann beispielsweise die von Intel hergestellte Schaltung 8751 sein.

Der Computer 23 weist einen mit dem Kartenleser 22 verbundenen Eingang 24, einen mit einem nicht dargestellten Zentralcomputer verbundenen Ausgang 25 und mit den Adress-Leitungen ao bis a3 bzw. mit den Daten-Leitungen do bis d3 verbundene Adress-Ausgänge AO bis A3 bzw. Datenanschlüsse DO bis D3 auf. Somit sind zumindest die Datenanschlüsse DO bis D3 bidirektional, das heisst sie können je nach Programmierung sowohl als Eingänge als auch als Ausgänge arbeiten.

5 Jemand, der Bargeld von einem Geldautomaten der beschriebenen Art beziehen möchte, steckt seine magnetische Karte in bekannter Weise in den Kartenleser 22 und gibt seinen PIN-Code über die Tasten der Tastatur 21 ein. Der Computer 23 empfängt die magnetisch codierte Information xo der Karte über den mit dem Kartenleser verbundenen Eingang 24 und speichert die Tastanschläge jeweils durch sequentielles Abgeben eines Signals «1» an die Adress-Ausgänge AO bis A3 und durch Ablesen der an den Dateneingängen DO bis D3 empfangenen Signale «0» und «1» für 15 jeden dieser Ausgänge.

Um zu verhindern, dass irgendjemand die PIN-Codes eines Kunden durch Anzapfung der Leitungen ao bis a3 und do bis d3 missbrauchen kann, liest der Computer 23 die Information an den Dateneingängen DO bis D3 nur während 20 bestimmten Empfangsperioden ab. Diese Empfangsperioden müssen eine so hohe Frequenz aufweisen, dass keine Gefahr besteht, dass der Computer einen Tastanschlag überspringt. Der längste Zeitabstand zwischen zwei Empfangsperioden muss daher wesentlich kürzer sein als der denkbar kürzeste 25 Tastanschlag. Die Dauer der Zeitabstände zwischen zwei Empfangsperioden wird stochastisch oder unsystematisch geändert ; und während dieser Zeitabstände werden die Anschlüsse DO bis D3 durch das Programm in Ausgänge umgeschaltet.

30 Vom Computer 23 werden Tastanschläge simulierende Signale auf die Leitungen do bis d3 abgegeben. Die Dauer und Frequenz der simulierten Anschläge werden stochastisch oder unsystematisch geändert, um jemandem, der sich einen Anschluss an die Leitungen verschafft, noch mehr zu 35 erschweren, herauszufinden, welche Anschläge echt sind.

Diese stochastischen Änderungen in der Dauer und der Frequenz werden von einem in einem Computerspeicher gespeicherten Programmgesteuert, wobei dieses Programm die Funktion eines Zufallsgenerators in Anspruch nimmt. 40 Um zu verhindern, dass jemand, der sich einen Anschluss an die Leitungen verschafft, durch Feststellen der Stromrichtung der Signale auf den Datenleitungen do bis d3 die echten Tastanschläge herausfinden kann, werden die Signale, die die Tastanschläge abtasten bzw. simulieren, so kurz wie möglich 45 erzeugt, und zwar derart, dass sie auch ein Minimum an Energie enthalten. Dies bedeutet, dass man eine sehr komplizierte und teure Ausrüstung haben muss, um die Flussrichtung dieser Signale feststellen zu können.

Zur weiteren Erläuterung des Verfahrens nach der vorlie-50 genden Erfindung wird in Fig. 2 eine schematische Darstellung der Signale angegeben, wie sie beispielsweise auf den Adress-Leitungen ao bis a3 und Daten-Leitungen do bis d3 in der Anordnung nach Fig. 1 vorkommen können, sowie der entsprechenden echten und simulierten Tastanschläge. Die 55 Figur, welche zehn Zyklen 1 bis 10 einer Abtastung der Tastatur illustriert, weist eine Zeitachse für die einzelnen Adress-Leitungen ao bis a3 und die einzelnen Daten-Leitungen do bis d3 auf. Darunter ist eine weitere Zeitachse angegeben, an der die echten Tastanschläge dargestellt sind. In 60 der Figur ganz unten ist eine weitere Zeitachse vorhanden, bei der simulierte Tastanschläge angegeben sind.

Die den Adress-Leitungen ao bis a3 zugeordneten Zeitachsen veranschaulichen, wie durch sequentielle Eingabe eines «1 »-Signals auf diese Adress-Leitungen ao bis a3 der 65 Computer die Tastatur abtasten kann. Für jedes durch den Computer auf eine Adress-Leitung abgegebene «1 »-Signal liest der Computer die Eingangssignale der Daten-Leitungen während der Empfangsperioden ab, die in der veranschau-

673 163

lichten Ausführung den Zyklen mit den eingekreisten Zahlen 1,2,7 und 10 entsprechen, indem die Anschlüsse DO bis D3 als Eingänge programmiert werden. Während der Zyklen 1 und 2 erhält somit die Daten-Leitung d2 ein Signal « 1 », sofern ein « 1 »-Signal auf die Adress-Leitung a2 übertragen wird, weil die Taste 7 gedrückt wurde. Während der Zyklen 3 bis 6 werden die Anschlüsse DO bis D3 wieder als Ausgänge programmiert, und in der veranschaulichten Ausführung simuliert der Computer einen Anschlag auf die Taste 9 durch Eingabe eines «1»-Signals auf die Daten-Leitung do während der Zyklen 4 und 5, wenn die Adress-Leitung ao mit einem Signal «1» beaufschlagt ist. Während des Zyklus 7 werden die Daten-Anschlüsse DO bis D3 wiederum als Eingänge programmiert. Da während dieser Periode keine Taste gedrückt ist, erhalten die Eingänge DO bis D3 nur «0»-Signale.

Während der Zyklen 8 und 9 wird ein Anschlag der Taste 3 simuliert, indem der Computer während der Periode, bei der die Adress-Leitung a3 mit einem «1 »-Signal beaufschlagt ist, ein «1 »-Signal auf die Daten-Leitung d2 abgibt. Sollte nun ein echter Tastanschlag, wie beispielsweise angegeben, während des Zyklus 9 beginnen, würde er von den Daten-Leitungen do bis d3 nicht wahrgenommen. Während des Zyklus 10, der eine Empfangsperiode ist, wird hingegen dieser Tastanschlag als ein « 1 »-Signal auf die Datenleitung d2 registriert, wenn die Adress-Leitung ai mit einem «1»-Signal beaufschlagt ist. Für jemanden, der die Signale der Daten- und Adress-Lei-tungen anzapft, wird die Lage so sein, als ob die Taste 7 während der Zyklen 1 und 2, die Taste 9 während der Zyklen 4 und 5, die Taste 3 während der Zyklen 8 und 9 und die Taste

11 während des Zyklus 10 gedrückt sein würde. Jemand, der die Leitungen anzapft, hat daher keine Möglichkeit zu bestimmen, welche Signale auf welche echten Tastanschläge zurückzuführen sind.

5 Um einen Leitungsanzapfer noch mehr zu vereiteln, ist es selbstverständlich möglich, auch die Adress-Ausgänge AO bis A3 als Eingänge umschaltbar zu programmieren und zu bewirken, dass sie während bestimmten Empfangsperioden die Tastatur abtasten, indem die Ausgänge DO bis D3 als io Adress-Ausgänge gebraucht werden.

Selbstverständlich braucht die Abtastung nicht derart zu erfolgen, dass der Computer ein «1 »-Signal an die Adress-Leitungen ao bis a3 in der Reihenfolge gemäss diesem Beispiel abgibt; diese Reihenfolge kann vielmehr beliebig gewählt 15 und sogar von einem Zyklus zu einem anderen gewechselt werden.

Der Fachmann wird wohl merken, dass er auch mit einer negativen Logik arbeiten kann, das heisst, dass die echten oder simulierten Tastanschläge auch durch «0»-Signale ange-20 geben werden können.

Obwohl die vorliegende Erfindung gemäss den vorhergehenden Ausführungen im Hinblick auf einen Geldautomaten beschrieben wurde, kann sie selbstverständlich auch für Ausrüstungen irgendwelcher Art gebraucht werden, bei 25 denen eine geheime Information über eine Tastatur eingegeben und auf eine Prozessor-Einheit irgendwelcher Art übertragen wird. Zudem ist die Erfindung nicht auf eine Tastatur mit einer 4 • 4-Matrix eingeschränkt; sie kann vielmehr auch in Tastaturen verschiedener Grössen und Typen 30 Anwendung finden.

B

2 Blatt Zeichnungen

Claims (5)

673163 PATENTANSPRÜCHE

1. Verfahren zum Schutz gegen unberechtigten Zugriff zu einer Information, die in einen Apparat durch Anschlag von Tasten einer Tastatur (21) eingegeben und von der Tastatur in Form von elektrischen Signalen über elektrische Leitungen (ao bis a3, do bis d3 ) auf eine Prozessor-Einheit (23) übertragen wird, dadurch gekennzeichnet, dass die Prozessor-Einheit (23) Signale über die Leitungen in gesondert verteilten Empfangsperioden empfängt, und dass zwischen den Empfangsperioden die Prozessor-Einheit Signale, die Tastanschläge simulieren, an diese Leitungen abgibt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der maximale Zeitabstand zwischen zwei aufeinanderfolgenden Empfangsperioden wesentlich kürzer als die kürzeste Dauer eines Tastanschlags ist.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Dauer der Lücken zwischen den Empfangsperioden stochastisch oder unsystematisch geändert wird.

4. Verfahren nach einem der Ansprüche 1,2 oder 3, dadurch gekennzeichnet, dass die Dauer der simulierten Tastanschläge stochastisch oder unsystematisch geändert wird.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Frequenz der simulierten Tastanschläge stochastisch oder unsystematisch geändert wird.