CH705774B1 - Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung. - Google Patents

Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung. Download PDF

Info

Publication number
CH705774B1
CH705774B1 CH01829/11A CH18292011A CH705774B1 CH 705774 B1 CH705774 B1 CH 705774B1 CH 01829/11 A CH01829/11 A CH 01829/11A CH 18292011 A CH18292011 A CH 18292011A CH 705774 B1 CH705774 B1 CH 705774B1
Authority
CH
Switzerland
Prior art keywords
application
card
user
uid
server
Prior art date
Application number
CH01829/11A
Other languages
English (en)
Other versions
CH705774A1 (de
Inventor
Straumann Hugo
Original Assignee
Swisscom Ag
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Swisscom Ag filed Critical Swisscom Ag
Priority to CH01829/11A priority Critical patent/CH705774B1/de
Priority to US13/679,580 priority patent/US9047497B2/en
Publication of CH705774A1 publication Critical patent/CH705774A1/de
Priority to US14/705,383 priority patent/US9384605B2/en
Priority to US15/200,464 priority patent/US9740847B2/en
Publication of CH705774B1 publication Critical patent/CH705774B1/de

Links

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C9/00—Individual registration on entry or exit
    • G07C9/20—Individual registration on entry or exit involving the use of a pass
    • G07C9/27—Individual registration on entry or exit involving the use of a pass with central registration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
    • G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
    • G06K19/067—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components
    • G06K19/07—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips
    • G06K19/0723—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips the record carrier comprising an arrangement for non-contact communication, e.g. wireless communication circuits on transponder cards, non-contact smart cards or RFIDs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K5/00—Methods or arrangements for verifying the correctness of markings on a record carrier; Column detection devices
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C9/00—Individual registration on entry or exit
    • G07C9/20—Individual registration on entry or exit involving the use of a pass
    • G07C9/22—Individual registration on entry or exit involving the use of a pass in combination with an identity check of the pass holder
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Telephonic Communication Services (AREA)

Abstract

Es wird ein Verfahren zur Authentifizierung eines Benutzers durch eine Anwendung (2) offenbart. Der Benutzer ist im Besitz einer benutzerspezifischen Karte (3) mit einer Benutzer-ID (UID), einer Betreiber-ID (SID) und einer Vielzahl von Anwendungs-IDs (AIDn). Die Karte (3) umfasst einen oder eine Kombination der folgenden Verfahrensschritte, der je nach Sicherheitslevel und Anwendung (2) ausgewählt wird: die Anwendung eine Benutzer-ID (UID) aus der Karte (3) ausliest; die Anwendung eine Betreiber-ID (SID) aus der Karte (3) ausliest und an einen Server (4) des Betreibers weiterleitet, der Server (4) die Betreiber-ID (SID) authentifiziert; und die Anwendung (2) seine entsprechende Anwendungs-ID (AIDn) aus der Karte (3) ausliest und authentifiziert und die Anwendung (2) von dem Server (4) unter Verwendung der Benutzer-ID (UID) Zusatzinformationen für den Benutzer anfordert.

Description

Technisches Gebiet
[0001] Die Erfindung bezieht sich auf ein Verfahren und ein System zur Authentifizierung eines Benutzers durch eine Anwendung entsprechend den unabhängigen Ansprüchen.
Stand der Technik
[0002] Aus dem Stand der Technik sind RFID (Radio-Frequency ldentification)-Badges/Karten bekannt, mit denen sich ein Benutzer gegenüber verschiedenen Diensten authentifizieren und diese danach in Anspruch nehmen kann. Um die Sicherheit dieser Karten garantieren zu können, bedarf es eines ausgeklügelten Sicherheitskonzeptes. Es muss verhindert werden, dass ein korrupter Leser oder Anbieter einer Anwendung im System Schaden für die Sicherheit hervorrufen kann.
[0003] Zur Sicherung der RFID-Systeme sind proprietäre Systeme bekannt, welche Schlüssel und Verfahren geheim halten. Jede Anwendung muss diese adaptieren. Die Karte ist dann jedoch nur für eine Anwendung verwendbar. Es sind auch ungesicherte Verfahren bekannt. Es wird mit der ungesicherten UID identifiziert, was keine Garantie über die Echtheit ermöglicht.
[0004] Ein weiteres Problem besteht darin, dass der Benutzer das Problem hat, immer verschiedene Karten dabeizuhaben und, bei Verlust, diese ersetzt zu bekommen.
Darstellung der Erfindung
[0005] Es ist ein Ziel der Erfindung, dass eine Anwendung auf der Karte die Benutzer-ID auslesen und authentifizieren kann, ohne dass die spezielle Anwendung Zugriff auf andere Schlüssel für andere Identitäten, auf einen Systemschlüssel oder auf andere Anwendungs-IDs hat.
[0006] Es ist weiteres Ziel der Erfindung, ein Verfahren und System zu schaffen, in welchem die Sicherheitsstufe je nach Anwendung ausgewählt werden kann.
[0007] Es ist weiteres Ziel der Erfindung, eine Karte zu schaffen, mit der sich ein Benutzer gegenüber einer Vielzahl von Anwendungen authentifizieren kann.
[0008] Erfindungsgemäss werden diese Ziele durch ein Verfahren gemäss den unabhängigen Ansprüchen 1 und 11, durch ein System entsprechend Anspruch 14 und durch eine benutzerspezifische Karte entsprechend Anspruch 8 erreicht. Durch die Speicherung einer Benutzer-ID, einer Betreiber-ID und einer Vielzahl von Anwendungs-IDs auf einer benutzerspezifischen Karte können verschiedenste Anwendungen die Karte als Authentisierung benutzen. Damit muss der Benutzer nicht verschiedene Karten besitzen. Die unterschiedlichen IDs erlauben je nach Sicherheitsstufe, das Authentifizierungsverfahren zu ändern.
[0009] Weitere vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen angegeben.
Kurze Beschreibung der Figuren
[0010] Die Erfindung wird anhand der beigefügten Figuren näher erläutert, wobei zeigen <tb>Fig. 1<SEP>das Ablaufschema des erfindungsgemässen ersten Sicherheit-Levels; <tb>Fig. 2<SEP>das Ablaufschema des erfindungsgemässen zweiten Sicherheit-Schritts, der zusätzlich zu dem Schritt 1 ausgeführt wird; und <tb>Fig. 3<SEP>das Ablaufschema des erfindungsgemässen dritten Sicherheit-Schritts, der zusätzlich zu dem Schritt 1 ausgeführt wird; <tb>Fig. 4<SEP>das Ablaufschema der Kombination der drei vorhergehenden Sicherheits-Levels.
Wege zur Ausführung der Erfindung
[0011] Das erfindungsgemässe Ablaufschema des erfindungsgemässen Verfahrens und Systems 1 zur Authentisierung eines Benutzers durch eine Anwendung 2 ist in den Fig. 1 bis 3 dargestellt. Die Ausführungsformen der Fig. 1 bis 3 weisen jeweils ein unterschiedliches Sicherheitsniveau auf. Entsprechend werden diese von den Anwendungen 2 oder dem Server 4 je nach Anforderung an das Sicherheitsniveau verwendet. Der Benutzer ist im Besitz einer benutzerspezifischen Karte 3. Prinzipiell kann der Benutzer eine RFID-Karte 3, einen RFID-Tag, aufgeklebt auf dem Mobilfunkgerät, oder eine NFC-Applikation mit einer virtuellen Karte (wobei sich die Schlüssel sicher auf einem gesicherten Element befinden, z.B. in der SIM-Karte) haben. Andere Formfaktoren wie RFID-Armband, Uhr etc. sind natürlich auch möglich. Die entsprechende Anwendung 2 kommuniziert mit der Karte 3 über eine kontaktlose Schnittstelle im Nahbereich entweder direkt mit dem RFID-Element oder mit dem Mobilfunkgerät, welche mit einer Softwareanwendung (App) ausgestattet ist, die die interne Kommunikation über die NFC-Schnittstelle mit der SIM-Karte vornimmt.
[0012] Der Herausgeber der Karte 3 wird im Folgenden Betreiber genannt. Der Betreiber unterhält einen Server 4, welcher die Identifikation gegenüber den verschiedenen Anwendungen 2 garantiert. Diese Anwendungen 2 werden von externen Drittanbietern bereitgestellt und können von dem Benutzer ausgewählt und mit der Karte 3 verwendet werden. Der Benutzer kann sich auf dem Server des Betreibers registrieren und eine oder mehrere Karten, die mit einem RFID-Tag ausgestattet sind, wie zum Beispiel Karte, Tag, Armband, Armbanduhr registrieren und die verschiedenen von im ausgewählten Dienste und Anwendungen 2 dieser Karte 3 zuordnen. Es ist im Rahmen der Erfindung möglich, dass ein Benutzer bereits registrierte Karten direkt oder indirekt vom Betreiber bezieht.
[0013] Auf der Karte 3 sind eine Benutzer-ID UID (User-ID), eine Betreiber-ID SID (Swisscom-ID), und mindestens eine Anwendungs-IDs AIDn (n = 2 bis N in Abhängigkeit der Anzahl der Anwendungen, Application-ID) gespeichert. Zusätzlich sind auf der Karte ein der Benutzer-ID UID zugeordneter Schlüssel K0, ein der Betreiber-ID SID zugeordneter Schlüssel K1 und mindestens einer den Anwendungs-IDs AIDn zugeordneten Schlüsseln Kn (n = 2 bis N in Abhängigkeit der Anzahl der Anwendungen) gespeichert. Jedem dieser Werte ist ein Wert MAC0, MAC1, MAC2, …, MACn (Message Authentication Code) zugeordnet, welcher zur Verifikation der IDs während des Auslesens dient.
[0014] Diese Schlüssel K0, …, Kn, IDs und MAC0, …, MACn werden durch den Hersteller auf die Karte geschrieben und an den Betreiber geliefert. Der Hersteller liefert die Karten, PIN und PUK (verdeckt) für die Aktivierung zusammen mit einem File, welches die Kartennummern, die Karteninhalte plus PIN und PUK aufweist, an den Betreiber, wobei die Anwendungswerte mit dem Public Key des Anwenders verschlüsselt sind. Die Karten werden dann durch den Betreiber verkauft. Der Kunde kann nun seine Karte übers Internet auf dem Server registrieren. Er benötigt dazu die auf der Karte aufgedruckte Kartennummer und den PIN, welchen er sichtbar gemacht hat (z.B. durch Aufrubbeln). Der Kunde abonniert dann Applikationen nach seinen Vorlieben.
[0015] Der Server schickt die Informationen der neu registrierten Karten zusammen mit den Kartendaten zu den Anwendungen. Auch Karten, welche gewechselt, verloren oder gekündigt wurden, werden gemeldet. Diese Statusinformation kann die Applikation auch aktuell bei der Ausführungsvariante gemäss Fig. 3 Identifikation einverlangen.
[0016] Die Anwendung 2 oder der Leser der Anwendung 2 kennt damit den Schlüssel K0, um die UID identifizieren zu können. Je nach Ausführungsvariante kennt die Anwendung n zusätzlich einen eigenen Schlüssel Kn, welcher dieser Anwendung n zugeordnet ist. Dieser wird zu einem gegebenen Zeitpunkt mit dem Server sicher ausgetauscht.
[0017] Der Betreiber Server 4 enthält die Schlüssel K0, K1, die der Benutzer-UID bzw. der Betreiber-SID zugewiesen sind.
[0018] Fig. 1 /Sicherheitsniveau 1. Die UID kann von einer Anwendung n mittels z.B. eines RFID-Lesers, der sowohl extern wie auch in die Anwendung n integriert sein kann, und des Kartenschlüssels K0 ausgelesen und verwendet werden. Es wird ein an sich bekanntes Handshake-Verfahren unter Verwendung des auf der Karte gespeicherten MAC0 zur Übertragung der Daten zwischen der Anwendung und der Karte 3 verwendet. Im Speziellen werden die Benutzer-UID und die MAC0 von der RFID/SIM-Karte 3 an die Anwendung n übermittelt. Die Anwendung n kann den MAC0 anhand der UID und des Kartenschlüssels K0 generieren. Aufgrund des generierten MAC0 der Anwendung n kann die Benutzer-UID verifiziert werden, indem die von der RFID/SIM-Karte 3 übermittelte MAC0 mit der in der Anwendung n generierten MAC0 verglichen wird.
[0019] Die Übertragung wird auf diese Weise schwierig abzuhören. Nach einer positiven Authentisierung des Benutzers werden weitere Schritte freigegeben oder durchgeführt. Sofern ein nicht autorisierter Leser die Karte auslesen möchte, wird von der Karte eine zufällige UID gesendet und damit die Privatsphäre des Benutzers geschützt. Die Kommunikation zwischen der Karte und dem Leser der Anwendung wird gemäss angemessenen Standards geschützt.
[0020] Die Chipkarten sind durch eine Vielzahl von Normen standardisiert, insbesondere können im Rahmen der vorliegenden Erfindung folgende Normen erwähnt werden: ISO/IEC 14 443, ISO/IEC 15 693 (für die Auslesung von Chipkarten), ISO/IEC 18 000 (Informationstechnik – Identifizierung von Waren mittels Hochfrequenz (RFID) für das Management des Warenflusses) und EPCglobal (Electronic Product Code), ISO/IEC 15 961 und ISO/IEC 15 962 für die Bestimmung von Parametern.
[0021] Beispiel. Der Kunde geht in einen Laden und statt ein Ticket per Knopfdruck an einem Automaten auszulösen, kann er mit der Karte 3 eine Nummer auslösen. Damit bekommt er die Nummer ans Mobilgerät geliefert und im Laden kann er persönlich beraten werden, da seine Identität bekannt ist. Je nachdem wie viele Informationen über den Benutzer der authentisierten Benutzer-UID zur Verfügung stehen, kann in diesem Beispiel die Authentifizierung auch dafür genutzt werden, lediglich eine persönliche Nummer zu erhalten, die z.B. für die Bedienungsreihenfolge am Schalter benötigt wird, ohne dass dabei persönliche Kundendaten zur Verfügung stehen.
[0022] Fig. 2 /Sicherheitsniveau 2. Der Betreiber kann danach mittels einer Datenbank mittels des Betreiberschlüssels K1 die Betreiber-ID SID verifizieren. Der Leser der Anwendung liest dabei das Feld F1 (enthält den Serverwert, Zeitstempel, MAC_Server) aus und sendet die SID zusammen mit F1 zum Betreiber (Server 4). Der Leser der Anwendung arbeitet dabei transparent. Der Server überprüft den MAC1, den er unter Verwendung von SID und dem Schlüssel K1 berechnet. Der Server berechnet dann einen neuen Wert für den MAC1, sendet das ganze neue Feld zu dem Leser und dieser speichert den neuen Wert von MAC1 in der Karte für die nächste Überprüfung. Auch ein an sich bekanntes Challenge-Response-Verfahren kann verwendet werden. Die Kommunikation zwischen der Karte und dem Leser der Anwendung wird gemäss angemessenen Standards geschützt. Die Kommunikation zwischen dem Leser und dem Server wird entsprechend angemessenen Verschlüsselungsmechanismen geschützt.
[0023] Das Verfahren entsprechend der Fig. 2 kann durchgeführt werden, sofern eine Verbindung zwischen der Anwendung 2 und dem Server 4 vorhanden ist. in diesem Ausführungsbeispiel werden sowohl die Benutzer-UID und die SID authentisiert, wobei die UID von der Anwendung n authentisiert werden kann. Die SID wird hingegen vom Server 4 authentisiert und das Resultat des Authentisierungsprozesses an die Anwendung n kommuniziert.
[0024] Beispiel. Der Kunde geht in einen Shop, welcher Produkte des Vertreibers der Karte verkauft (Partnergeschäfte). Der Leser ist nicht in einem gesicherten Netz, bzw. die Applikation ist nicht unter der Kontrolle des Betreibers. Der Kunde kann aber einen Gutschein oder einen Rabatt mit der Karte im Partnergeschäft geltend machen. Die Karte 3 kann deshalb mit dem Verfahren entsprechend Fig. 2 direkt durch den Server 4 überprüft werden. Damit kann dem Kunden seine Gutschrift angerechnet werden, ohne dass es für das Partnergeschäft möglich ist, das System zu missbrauchen.
[0025] Fig. 3 /Sicherheitsniveau 3. Die Anwendung n liest danach mittels Anwendungsschlüssel Kn den Anwendungsidentifier AIDn aus. Durch den MACn für die jeweilige Anwendung kann der AIDn überprüft werden. Das Feld Fn kann jeweils nur von der zugehörigen Anwendung gelesen und geschrieben werden. Auch ein an sich bekanntes Challenge-Response-Verfahren kann verwendet werden. Danach kann die Anwendung zusätzliche Informationen unter Verwendung der Benutzer ID UID von dem Server 4 abfragen. Der Server 4 schickt entsprechende Zusatzinformationen an die Anwendung (z.B. Kundenadresse, Alter, Status der Karte 3 etc.).
[0026] Beispiel. Der Kunde hat sich ein Kino-Abonnement gekauft. Er geht zum Kino und bezieht das Kino-Ticket mitteis Karte 3. Die Karte 3 wird durch die Kino-Anwendung überprüft und sein Alter wird auf dem Server dazu überprüft und der Kino-Anwendung mitgeteilt.
[0027] Im Rahmen der Erfindung kann eine Kombination der in den Fig. 1 bis 3 beschriebenen Verfahren je nach Ausführungsbeispiel und Sicherheitsniveau angewendet werden. Dieser Fall ist in der Fig. 4 dargestellt.
[0028] Es können verschiedenste Anwendungen 2 die Karte 3/den Tag als Authentisierung benutzen. Damit muss der Benutzer nicht verschiedene Karten 3 besitzen. Bei Verlust kann eine Karte 3 gesperrt und ersetzt werden. Die Daten sind nicht verloren, da auf der Karte 3 lediglich Schlüsselinformationen gespeichert werden (AID, UID, SID und zugehörige MAC und Schlüssel). Die Anwendungen 2 sind mittels eigenem Schlüssel unabhängig.
[0029] Initialisierung der Karte. Der Hersteller der Karte initialisiert die entsprechenden Felder, indem die Benutzer-ID UID, die Betreiber-ID SID und die Anwendungs-IDs AIDn sowie die zu diesen IDs AIDn gehörenden Schlüssel K0, K1, ... Kn auf die Karte 3 übertragen werden. Zu jeder Karte wird eine PIN (Personal Identification Number) und PUK (Personal Unblocking Key) für die Aktivierung definiert. Diese Kartendaten werden in den Server 4 eingelesen. Der Kunde erwirbt eine Karte, wobei PIN und PUK mit der Karte 3 verdeckt ausgeliefert werden. Der Kunde kann sich nun als Inhaber der Karte 3 übers Internet auf dem Server 4 registrieren. Er benötigt dazu eine auf der Karte aufgedruckte Nummer und die PIN, welche er sichtbar gemacht hat (z.B. durch Aufrubbeln). Der Kunde kann dann seine Anwendungen im Server 4 benutzerspezifisch definieren. Der Server 4 schickt die Informationen der neu registrierten Karten 3 zusammen mit den Kartendaten zu den Anwendungen 2. Auch Karten 3, welche gewechselt, verloren oder gekündigt wurden, können an die Anwendung 2 gemeldet werden.
[0030] Die Erfindung betrifft auch ein System 1, umfassend eine benutzerspezifische Karte 3 mit einer Benutzer-ID UID, eine Betreiber-ID SID und mindestens eine Anwendungs-ID (AIDn). Insbesondere kann die benutzerspezifische Karte einen der Benutzer-ID (UID) zugeordneten Kartenschlüssel (K0), einen der Betreiber-ID (SID) zugeordneten Schlüssel (K1) und mindestens eine Anwendungs-ID (AIDn) mit jeweils einem zugeordneten Anwendungsschlüssel (Kn) umfassen.
[0031] Die Anwendung 2 umfasst Mittel zum Auslesen einer ID, beispielsweise UID, SID, AIDn, der Karte 3, Mittel zur Verifikation der ID, beispielsweise UID, AIDn, Mittel zum Weiterleiten der ID (UID, SID) zu dem Server 4; und Mittel zum Empfangen der Antwort von dem Server 4; die Anwendung (2) umfasst dabei insbesondere den Kartenschlüssel (K0) und den zugeordneten Anwendungsschlüssel (Kn); und der Server (4) den Kartenschlüssel (K0) und den Betreiberschlüssel (K1).
[0032] Der Server umfasst Mittel zum Empfangen einer ID (UID, SID) von der Anwendung 2, Mittel zur Verifikation der empfangenen ID SID, Mittel zum Senden des Ergebnisses zur Anwendung 2 sowie Mittel zum Senden von Benutzerinformationen an die Anwendung 2, wobei die Anwendung 2 und der Server 4 verbunden sind, z.B. über ein Netzwerk.
[0033] Die Erfindung bezieht sich insbesondere auf eine benutzerspezifische Karte 3 entsprechend dem unabhängigen Anspruch, wobei auf der Karte eine Benutzer-ID (UID), eine Betreiber-ID (SID) und Anwendungs-IDs (AIDn) gespeichert sind.
Bezugszeichenliste
[0034] <tb>1<SEP>System <tb>2<SEP>Anwendung <tb>3<SEP>RFID-Element <tb>4<SEP>Server <tb>UID<SEP>Benutzer-ID (User-ID) <tb>SID<SEP>Betreiber-ID (Swisscom-ID) <tb>AIDn<SEP>Anwendungs-ID der Anwendung n (Application-ID) <tb>K0<SEP>Kartenschlüssel <tb>K1<SEP>Betreiberschlüssel <tb>K2 ... n<SEP>Anwendungsschlüssel <tb>MAC0<SEP>Message Authentication Code für UID <tb>MAC1<SEP>Message Authentication Code für SID <tb>MAC2 0 … n<SEP>Message Authentication Code für AID2 ... n

Claims (18)

1. Verfahren zur Authentifizierung eines Benutzers durch eine Anwendung (2), wobei der Benutzer im Besitz einer benutzerspezifischen Karte (3) mit einer Benutzer-ID (UID), einer Betreiber-ID (SID) und einer Vielzahl von Anwendungs-IDs (AIDn) ist: die Anwendung die Benutzer-ID (UID) und optional eine der Anwendung zugeordnete Anwendungs-ID (AIDn) der Vielzahl von Anwendungs-IDs (AIDn) aus der Karte (3) ausliest und die Anwendung die Benutzer-ID (UID) und optional die der Anwendung zugeordnete Anwendungs-ID (AIDn) authentifiziert.
2. Verfahren gemäss Anspruch 1, wobei die Anwendung (2) die Benutzer-ID (UID) authentifiziert, eine Betreiber-ID (SID) aus der Karte (3) ausliest und an einen Server (4) des Betreibers weiterleitet, wobei der Server (4) die Betreiber-ID (SID) authentifiziert und das Resultat der Authentifizierung an die Anwendung (2) kommuniziert.
3. Verfahren gemäss Anspruch 1, wobei die Anwendung (2) ihre entsprechende Anwendungs-ID (AIDn) aus der Karte (3) ausliest und authentifiziert, die Anwendung (2) die Benutzer-ID (UID) an einen Server (4) des Betreibers weiterleitet, der Server (4) Zusatzinformationen über einen Benutzer an die Anwendung (2) sendet.
4. Verfahren gemäss Anspruch 3, wobei der Server (4) die Benutzer-ID (SID) authentifiziert und ein Authentifizierungsresultat zusammen mit den Zusatzinformationen, die der Benutzer-ID (UID) assoziiert sind, an die Anwendung übermittelt.
5. Verfahren gemäss einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Karte (3) kontaktios von der Anwendung (2) ausgelesen wird.
6. Verfahren gemäss einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass als Karte (3) ein RFID-Tag oder eine SIM-Karte eines Mobiltelefons kontaktlos von der Anwendung (2) ausgelesen wird.
7. Verfahren gemäss einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass nach einer positiven Authentifizierung der Benutzer-ID (UID) und/oder der der Anwendung zugeordneten Anwendungs-ID (AIDn) die Anwendung (2) freigegeben oder ausgeführt wird.
8. Benutzerspezifische Karte (3), auf der eine Benutzer-ID (UID), eine Betreiber-ID (SID) und eine Vielzahl von Anwendungs-IDs (AIDn) gespeichert sind.
9. Benutzerspezifische Karte (3) gemäss dem Anspruch 8, wobei auf der Karte ein der Benutzer-ID (UID) zugeordneter Schlüssel (K0), ein der Betreiber-ID (SID) zugeordneter Schlüssel (K1) und eine Vielzahl den Anwendungs-ID (AIDn) zugeordneten Schlüsseln (Kn) gespeichert sind.
10. Benutzerspezifische Karte (3) gemäss Anspruch 8 oder 9, wobei die Karte (3) ein RFID-Element oder eine SIM-Karte ist.
11. Verfahren zur Herstellung und Initialisierung einer Karte (3) gemäss einem der Ansprüche 8 bis 10, umfassend die Verfahrensschritte: – Herstellung der Karte (3); – Übertragen der Benutzer-ID (UID), der Betreiber-ID (SID) und der Anwendungs-IDs (AIDn); und – Übertragung der Werte der Karte (3) in einen Server (4) eines Betreibers; – Ausliefern der Karte (3) an einen Benutzer; – benutzerspezifische Registrierung der Karte (3) in dem Server (4).
12. Verfahren zur Herstellung und Initialisierung einer Karte gemäss Anspruch 11, aufweisend den Schritt des Übertragens eines der Benutzer-ID (UID) zugeordneten Kartenschlüssels (K0), eines der Betreiber-ID (SID) zugeordneten Betreiberschlüssels (K1) und der Vielzahl von den Anwendungs-IDs (AIDn) zugeordneten Anwendungsschlüsseln (Kn) auf die Karte (3).
13. Verfahren zur Herstellung und Initialisierung einer Karte gemäss Anspruch 11 oder 12, dadurch gekennzeichnet, dass der Benutzer sich in den Server (4) einloggt und die Anwendungen (2), die für seine Karte (3) gültig sind, in dem Server (4) benutzerspezifisch auswählt und der Server (4) die Anwendungen (2) über die benutzerspezifische Auswahl informiert.
14. System (1) umfassend – eine benutzerspezifische Karte (2) mit einer Benutzer-ID (UID), einer Betreiber-ID (SID), und einer Vielzahl von Anwendungs-IDs (AIDn); – eine Anwendung (2) mit Mitteln zum Auslesen einer ID (UID, SID, AIDn) der Karte (3), Mitteln zur Authentifikation der ID (UID, AIDn), Mitteln zum Weiterleiten der ID (UID, SID) zu einem Server (4) und Mitteln zum Empfangen der Antwort von dem Server (4); – einen Server mit Mitteln zum Empfangen einer ID (UID, SID) von der Anwendung (2), Mitteln zur Authentifikation der empfangenen ID (SID), Mitteln zum Senden eines Ergebnisses der Authentifikation zur Anwendung (2) sowie Mitteln zum Senden von Benutzerinformationen an die Anwendung (2).
15. System (1) gemäss Anspruch 14, dadurch gekennzeichnet, dass die Anwendung (2) und der Server (4) durch das Internet verbunden sind.
16. System (1) gemäss einem der Ansprüche 14 oder 15, dadurch gekennzeichnet, dass die Anwendung (2) und die Karte (3) durch eine kontaktlose Verbindung verbunden sind.
17. System (1) gemäss einem der Ansprüche 14 bis 16, dadurch gekennzeichnet, dass die Karte (3) ein RFID-Element oder eine SIM-Karte ist.
18. System (1) gemäss einem der Ansprüche 14 bis 17, dadurch gekennzeichnet, dass • die benutzerspezifische Karte einen der Benutzer-ID (UID) zugeordneten Kartenschlüssel (K0), einen der Betreiber-ID (SID) zugeordneten Betreiberschlüssel (K1) und eine Vielzahl von den Anwendungs-IDs (AIDn) zugeordneten Anwendungsschlüsseln (Kn) umfasst; – die Anwendung (2) den Kartenschlüssel (K0) und den zugeordneten Anwendungsschlüssel (Kn) umfasst; und – der Server (4) den Kartenschlüssel (K0) und den Betreiberschlüssel (K1) umfasst.
CH01829/11A 2011-11-16 2011-11-16 Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung. CH705774B1 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CH01829/11A CH705774B1 (de) 2011-11-16 2011-11-16 Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung.
US13/679,580 US9047497B2 (en) 2011-11-16 2012-11-16 Method and system for authenticating a user by means of an application
US14/705,383 US9384605B2 (en) 2011-11-16 2015-05-06 Method and system for authenticating a user by means of an application
US15/200,464 US9740847B2 (en) 2011-11-16 2016-07-01 Method and system for authenticating a user by means of an application

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CH01829/11A CH705774B1 (de) 2011-11-16 2011-11-16 Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung.

Publications (2)

Publication Number Publication Date
CH705774A1 CH705774A1 (de) 2013-05-31
CH705774B1 true CH705774B1 (de) 2016-12-15

Family

ID=48279656

Family Applications (1)

Application Number Title Priority Date Filing Date
CH01829/11A CH705774B1 (de) 2011-11-16 2011-11-16 Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung.

Country Status (2)

Country Link
US (3) US9047497B2 (de)
CH (1) CH705774B1 (de)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9154500B2 (en) 2013-03-15 2015-10-06 Tyfone, Inc. Personal digital identity device with microphone responsive to user interaction
US9436165B2 (en) 2013-03-15 2016-09-06 Tyfone, Inc. Personal digital identity device with motion sensor responsive to user interaction
US20140270174A1 (en) * 2013-03-15 2014-09-18 Tyfone, Inc. Personal digital identity device responsive to user interaction with user authentication factor captured in mobile device
US9215592B2 (en) 2013-03-15 2015-12-15 Tyfone, Inc. Configurable personal digital identity device responsive to user interaction
US9086689B2 (en) 2013-03-15 2015-07-21 Tyfone, Inc. Configurable personal digital identity device with imager responsive to user interaction
US9319881B2 (en) 2013-03-15 2016-04-19 Tyfone, Inc. Personal digital identity device with fingerprint sensor
US9231945B2 (en) 2013-03-15 2016-01-05 Tyfone, Inc. Personal digital identity device with motion sensor
US9448543B2 (en) 2013-03-15 2016-09-20 Tyfone, Inc. Configurable personal digital identity device with motion sensor responsive to user interaction
US9781598B2 (en) 2013-03-15 2017-10-03 Tyfone, Inc. Personal digital identity device with fingerprint sensor responsive to user interaction
US9143938B2 (en) 2013-03-15 2015-09-22 Tyfone, Inc. Personal digital identity device responsive to user interaction
US9207650B2 (en) 2013-03-15 2015-12-08 Tyfone, Inc. Configurable personal digital identity device responsive to user interaction with user authentication factor captured in mobile device
US9183371B2 (en) 2013-03-15 2015-11-10 Tyfone, Inc. Personal digital identity device with microphone
CN109040099B (zh) * 2013-10-30 2021-06-22 创新先进技术有限公司 一种针对应用的验证方法、终端和系统
US11615199B1 (en) * 2014-12-31 2023-03-28 Idemia Identity & Security USA LLC User authentication for digital identifications
CN109859349A (zh) * 2018-11-19 2019-06-07 东信和平科技股份有限公司 一种基于数据短信技术的门禁认证方法及系统
CN110049025A (zh) * 2019-04-02 2019-07-23 公安部第三研究所 针对智能芯片卡实现安全遥毙处理的方法
CN112581123B (zh) * 2020-12-08 2024-02-23 中国银联股份有限公司 卡管理方法、用户终端、服务器、系统及存储介质

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5694471A (en) * 1994-08-03 1997-12-02 V-One Corporation Counterfeit-proof identification card
FR2821231A1 (fr) * 2001-02-19 2002-08-23 Bull Cp8 Procede d'administration d'une carte d'abonne pour un equipement de telephonie mobile du type a lecteur auxiliaire et systeme embarque pour la mise en oeuvre du procede
ES2344503T3 (es) * 2001-10-12 2010-08-30 Gemalto Sa Metodo y dispositivo de facturacion en una red de radiocomunicacion de paquetes moviles.
CZ2005209A3 (cs) * 2002-09-10 2005-12-14 Ivi Smart Technologies, Inc. Bezpečné biometrické ověření identity
JP4557969B2 (ja) * 2003-03-31 2010-10-06 エヌエックスピー ビー ヴィ スマートカードに関する変更権を付与する方法
US7301501B2 (en) * 2003-10-10 2007-11-27 Option Telecommunications card for mobile telephone network and wireless local area network
JP4736744B2 (ja) * 2005-11-24 2011-07-27 株式会社日立製作所 処理装置、補助情報生成装置、端末装置、認証装置及び生体認証システム
EP1811421A1 (de) * 2005-12-29 2007-07-25 AXSionics AG Sicherheitstoken und Verfahren zur Benutzerauthentifizierung mit dem Sicherheitstoken
GB0621189D0 (en) * 2006-10-25 2006-12-06 Payfont Ltd Secure authentication and payment system
JP2008176435A (ja) * 2007-01-17 2008-07-31 Hitachi Ltd 決済端末およびｉｃカード
US7742995B2 (en) * 2007-03-23 2010-06-22 Mastercard International, Inc. Pre-authenticated identification token
US20080313726A1 (en) * 2007-06-14 2008-12-18 Richard Mervyn Gardner Integrated systems for simultaneous mutual authentication of database and user
WO2009036497A1 (en) * 2007-09-17 2009-03-26 Seeker Wireless Pty Limited Systems and methods for triggering location based voice and/or data communications to or from mobile radio terminals
FR2922672B1 (fr) * 2007-10-19 2011-01-21 Auchan France Systeme d'authentification biometrique sans contact et procede d'authentification
DE102008000067C5 (de) * 2008-01-16 2012-10-25 Bundesdruckerei Gmbh Verfahren zum Lesen von Attributen aus einem ID-Token
US20100175120A1 (en) * 2009-01-06 2010-07-08 Chung-Nan Tien Multi-layer data mapping authentication system
US20100188224A1 (en) * 2009-01-26 2010-07-29 Cheng Loong Corporation. Method for searching electronic data and system thereof
US8752153B2 (en) * 2009-02-05 2014-06-10 Wwpass Corporation Accessing data based on authenticated user, provider and system
GB2476989A (en) * 2010-01-19 2011-07-20 Proxama Ltd Activation of secure function in mobile computing device using authentication tag
US10255601B2 (en) * 2010-02-25 2019-04-09 Visa International Service Association Multifactor authentication using a directory server
TWI446271B (zh) * 2010-09-14 2014-07-21 Icon Minsky Luo 近場通訊可讀取裝置、使用此裝置的驗證系統及其方法
US8555355B2 (en) * 2010-12-07 2013-10-08 Verizon Patent And Licensing Inc. Mobile pin pad
US20130019284A1 (en) * 2011-06-10 2013-01-17 Pacyga James W Automated web based applications with a wireless communication device

Also Published As

Publication number Publication date
US9740847B2 (en) 2017-08-22
US9047497B2 (en) 2015-06-02
CH705774A1 (de) 2013-05-31
US20150235491A1 (en) 2015-08-20
US20170032116A1 (en) 2017-02-02
US9384605B2 (en) 2016-07-05
US20130119128A1 (en) 2013-05-16

Similar Documents

Publication Publication Date Title
CH705774B1 (de) Verfahren, System und Karte zur Authentifizierung eines Benutzers durch eine Anwendung.
DE60121135T2 (de) Dienstaktiverung mittels einer virtuellen vorausbezahlten karte
EP2949094B1 (de) Verfahren zur authentisierung eines nutzers gegenüber einem automat
DE102011100144B4 (de) Sicheres drahtloses Zahlungssystem und Verfahren zu dessen Anwendung
EP1729253B1 (de) Verfahren und System zur gesicherten Übertragung von Daten über eine NFC-Schnittstelle
DE102016100110B4 (de) Verwaltung einer Ressourcenkontoanwendung
DE10296888T5 (de) System und Verfahren zur sicheren Eingabe und Authentifikation von verbraucherzentrierter Information
WO2014095850A1 (de) Verfahren und system zur endgerätebasierten kommunikation zwischen fremdanwendungen und einem elektronischen wallet
DE10297521T5 (de) Verbraucher-zentrisches kontext-bewußtes Vermittlungsmodell
WO2011147433A1 (de) Verfahren uns vorrichtungen zur erstellung und verwendung eines auf einem mobilen gerät darstellbaren ausweisdokuments
EP2274702A1 (de) Verfahren zur authentifizierung eines rfid-tags
EP2528045A1 (de) Verfahren und Diensterechner sowie System zur kartenlosen Authentifizierung
DE102011116489A1 (de) Mobiles Endgerät, Transaktionsterminal und Verfahren zur Durchführung einer Transaktion an einem Transaktionsterminal mittels eines mobilen Endgeräts
EP1254436A1 (de) Verfahren zur nutzeridentitätskontrolle
EP2561484B1 (de) Verfahren zur handhabung von elektronischen tickets
DE102014102232A1 (de) System zur digitalen Bonuspunkt-Verwaltung
EP2526441A1 (de) Verfahren zum durchführen einer transaktion zwischen einem tragbaren datenträger und einem terminal
DE19938695A1 (de) Verfahren und Vorrichtung zur elektronischen Abwicklung von bargeldlosen Zahlungen mittels Sicherheitsmodulen
KR20120020807A (ko) 모바일 카드 관리 서버 및 이것의 모바일 카드 관리 방법
DE102015120688A1 (de) Verfahren für die Ausgabe von Produkten aus einem Verkaufsautomatensystem sowie ein Verkaufsautomatensystem
DE202012013554U1 (de) Handhabungssystem zur Handhabung von Zugangs- oder Nutzungsberechtigungen
EP3341882A1 (de) Transaktionssystem
EP1571591B1 (de) Verwendung eines RFID-Tags um mit einem Mobilgerät auf eine Hypertext-Seite zuzugreifen
DE60105126T2 (de) Verfahren zum liefern von dienstleistungen mittels vorbezahlter chipkarten
EP3304846B1 (de) Identifikation einer person auf der basis eines transformierten biometrischen referenzmerkmals