CN102209967B - 将便携式数据载体、特别是芯片卡与终端设备对应的方法和装置 - Google Patents

Abstract

本发明涉及一种用于根据在便携式数据载体(1)、特别是芯片卡和终端设备(2)之间的数据通信，将所述数据载体(1)与所述终端设备(2)对应的方法。在此，向所述数据载体(1)和终端设备(2)分别分配第一标识值，该第一标识值是对于多个预定的数据载体(1)和多个预定的终端设备(2)预先给出的标准值。在所述数据载体(1)没有与终端设备(2)对应的情况下，基于所述第一标识值进行用于相对于数据载体(1)验证终端设备(2)的验证过程，其中在所述验证过程中进行如下证明，所述数据载体(1)和终端设备(2)是否配备了相同的第一标识值。如果该证明成功，并且与所述数据载体成功进行的第一标识值的证明的次数小于预先给出的值，则在所述数据载体(1)和终端设备(2)之间协商第二标识值，该第二标识值被配备给数据载体(1)和终端设备(2)，用于在随后的验证过程中相对于数据载体(1)验证终端设备(2)。

Description

将便携式数据载体、特别是芯片卡与终端设备对应的方法和装置

技术领域

本发明涉及一种用于将便携式数据载体、特别是芯片卡与终端设备对应的方法。此外，本发明还涉及一种相应的数据载体以及一种相应的终端设备和一种由数据载体和终端设备组成的系统。

背景技术

便携式数据载体目前被越来越多地用于所谓的机器到机器应用中，在这种应用中终端设备无需人的交互基于标识值相对于数据载体进行验证。在此存在如下问题，数据载体和终端设备在交付时必须被配备相同的标识值，由此可以进行验证。如果没有相对于数据载体相应地验证，终端设备是不可使用的。因此需要相应的逻辑，该逻辑确保，向用户提供的数据载体和终端设备互相配对，即，唯一地通过相同的、仅该数据载体和终端设备识别的标识值互相对应，从而可以进行终端设备相对于数据载体的验证。

文献US 2007/0160207 A1描述了一种方法，在该方法中，可以将多个安全性模块与一个接收解码器对应。这点通过如下进行，即将与解码器相连的各个安全模块的标识值存储在解码器中。通过管理系统，允许这样的安全性模块对接收解码器的访问：其标识值被存储在该接收解码器中。

在出版物JP 2003-143326中描述了一种无线通信系统，其使用一种电子标识卡将终端设备与终端(Terminal)配对。在此，基于UIM模块的PIN码产生配对-标识值。

从EP 1850255 A1中公知了一种用于将终端设备与特别在无线网络中采用的芯片卡读取设备对应的方法，以使得多个通信发送设备可以访问一个位于一个读取设备中的芯片卡。为此，向要新对应的终端设备首先介绍读取设备的标识值，其中在接通用户的条件下进行该介绍，该用户将从读取设备输出的标识值传输到要对应的终端设备。然后，仍是在接通用户的条件下，在读卡器和要对应的终端设备之间交换以PIN形式的第二标识值。该公知的方法目的在于并且允许，位于一个读取设备中的芯片卡原则上可以与任意多个终端设备对应。该方法基于高效的通信基础设施。对于简单的、没有用户合作而自动实施的安全任务来说是不合适的。

从DE 10218835 A1中公知了另一种用于初始化和个性化芯片卡的方法，按照该方法由芯片的制造者将后来的买主的公开密钥引入到芯片中。在将芯片交付芯片卡制造者之后在那里从事先引入的公开密钥出发协商一个新的密钥。该方法允许，不再是初始化和个性化的否则是严格组织的分离，而不会危害个性化过程的安全性。该方法的前提是，对参与的组件来说，在第一次对应之前就已知个别的密钥。这要求开销相当大的密钥管理。

发明内容

本发明要解决的技术问题是，改善便携式数据载体与终端设备的对应。

上述技术问题通过一种按照权利要求1的方法和按照权利要求9的便携式数据载体以及按照权利要求11的终端设备和按照权利要求14的系统来解决。本发明的优选实施方式在从属权利要求中定义。

在该方法中按照本发明的一种优选变形，基于在数据载体和终端设备之间的、优选没有用户交互而进行的通信，进行数据载体与终端设备的配对，即，在数据载体和终端设备之间相互唯一地对应。为此，向数据载体和终端设备首先分别分配第一标识值，该第一标识值是对于多个预定的数据载体和多个预定的终端设备预先给出的标准值。将数据载体和终端设备相应地首先利用标准值进行个性化，其中该值对于多个终端设备和数据载体来说是已知的。在该方法中按照本发明的一种优选实施方式，在数据载体没有与终端设备对应的情况下，基于第一标识值进行用于相对于数据载体验证终端设备的验证过程，其中在验证过程中进行如下证明，数据载体和终端设备是否配备了相同的第一标识值。如果该证明成功，即，数据载体和终端设备的第一标识值一致，并且如果此外基于第一标识值与数据载体成功进行的证明的次数小于预先给出的值，则在数据载体和终端设备之间协商第二标识值，该第二标识值被配备给数据载体和终端设备，用于在随后的验证过程中终端设备相对于数据载体的随后的验证。

在该方法中按照本发明的一种优选实施方式，由此不是在数据载体和终端设备之间的第一次通信之前就已经进行终端设备和数据载体之间的配对，而是通过标准标识值首先仅确保，哪种终端设备可以与哪种芯片卡通信。由此有利地可以首先按照没有配对的状态交付数据载体和芯片卡。其优点是，不必通过逻辑措施来确保，总是将确定的终端设备和与之配对的数据载体一起提供给用户。数据载体和终端设备优选可以在第一次通信时互相对应，其中，通过协商一个第二标识值来进行配对，该第二标识值仅对于数据载体和终端设备来说是已知的。按照本发明的一种优选实施方式还可以设置，仅当基于第一标识值事先成功进行的证明的次数小于预定的最大值时，数据载体才与终端设备重新配对。

按照本发明的一种优选实施方式，在通过数据载体每次成功验证第一标识值时将数据载体中的计数器递增或递减，其中在计数器达到最大值或最小值的情况下，禁止数据载体。

在实现本发明的方法的一种优选实施方式中，协商第二标识值，方法是，数据载体产生随机值作为第二标识值并且将该随机值存储在数据载体和终端设备中。由此以合适的方式确保了，利用第二标识值进行配对，该第二标识值仅对于该数据载体和终端设备来说是已知的。

在实现本发明的方法的另一种实施方式中，如果第一标识值的证明没有成功或者与数据载体成功地利用第一标识值进行的证明的次数大于或等于预先给出的最大值时，则禁止数据载体。此外，通过禁止芯片卡阻止了如下的访问企图，利用该访问企图试图通过不允许的新对应再次将终端设备与数据载体配对。

通常情况下，被禁止的数据载体不再能被使用。然而还可以设置数据载体的解禁的可能性，其中可以通过终端设备来初始化该解禁。在此，可以确定相应的标准，何时应该允许这样的解禁。在该解禁过程中在数据载体和终端设备之间协商一个新的第二标识值。如果该解禁过程是不可能的或者没有成功，则进一步使用数据载体是不可能的，即，数据载体是不能用的。

在实现本发明的方法的一种优选变形中，数据载体为了确定是否已经存在配对，要求终端设备的标识值，并且检查该标识值与为此存储于数据载体中的第一标识值的一致性。

在本发明的另一种实施方式中，在数据载体已经配备了第二标识值的情况下，首先基于第二标识值进行用于相对于数据载体验证终端设备的验证过程，其中在该验证过程中进行如下证明，数据载体和终端设备是否配备了相同的第二标识值。由此确保，首先进行如下检查，在数据载体和终端设备之间的通信期间是否存在在该数据载体和该终端设备之间的配对。如果不存在这样的配对，即，如果证明没有成功，则结束验证过程。

在实现本发明的方法的一种特别优选的实施方式中，作为第一标识值使用多位的数字序列，其中第一标识值优选是简单的标准数字序列，例如“0000”。

除了方法，本发明的一种实施方式还包括具有紧凑的适合于裤袋的结构的、适合于通过用户随时携带的便携式数据载体、特别是芯片卡，其中数据载体配备了上述第一标识值并且数据载体这样构造，使得可以基于上述按照本发明的方法的每个变形将其与终端设备对应。

本发明的另一种实施方式涉及一种相应的终端设备，该终端设备配备了第一标识值，其中这样构造终端设备，使得可以基于上述按照本发明的方法的每个变形将数据载体与终端设备对应。“终端设备”的概念在此宽泛地理解并且可以包括任何的电子设备或任何的电子装置，其中电子装置必要时还可以分布在多个设备上，其共同形成本发明的意义上的终端设备。例如终端设备可以是电信终端设备，特别是以手机形式的移动终端设备。同样终端设备可以是计算机，例如以膝上电脑形式的移动计算机。在本发明的意义上的终端设备还可以是无线电接收设备(例如汽车收音机)、控制电子电路(诸如汽车控制电子电路)、或消耗量计数器(例如用于气、水或电流的消耗量计数器)。

除了上述数据载体和上述终端设备，本发明的另一种实施方式还涉及一种包括这样的数据载体和这样的终端设备的系统。

附图说明

以下借助附图详细解释本发明的实施方式。其中，

图1示意性示出了在芯片卡和调制解调器之间的通信的初始化；并且

图2示出了给出在实现本发明的方法的实施方式中进行的步骤的流程图。

具体实施方式

图1举例示出了在便携式数据载体1和终端设备2之间通信的可能的初始化，用于根据实现本发明的方法随后进行对应检查。在图1的例子中，要检查或进行在包括相应的芯片1a的芯片卡1和示意性利用附图标记2表示的调制解调器之间的对应。芯片卡在此表示便携式数据载体的一种特殊实施方式并且调制解调器表示终端设备2的特殊实施方式。用于便携式数据载体1的其他实施方式例如是“令牌”的形式、例如USB令牌的形式、“Key Fob”的形式或手表的形式。终端设备2原则上可以是任意的电子设备，例如电信终端设备(例如手机)、无线电接收设备(例如汽车收音机)、或消耗量计数器(例如用于电流、气或水的消耗量计数器)。仅当芯片卡1和终端设备2至少部分对应或可以对应时才运行终端设备2。

以下为清楚起见，代表终端设备2的、作为例子的调制解调器2包含用于读取芯片1a的(未示出的)读取设备，其中，为了通信的初始化，向读取设备呈现芯片卡1，方法是，在有接触的实施中例如通过相应的箭头P表示的，将其插入到调制解调器2的槽2a中以用于与读取设备通信。另一方面，如果芯片卡1无接触地工作，则将其简单地置于读取设备的读取区内。在本描述中为简单起见，将芯片卡1如自激活的单元描述。实际上芯片卡1和调制解调器2自动处于主从关系，其中芯片卡作为从机响应。相应通信的实际实现在本领域是充分公知的，例如从W.Rankl，W.Effing的“Handbuch für Chipkarten”5.Auflage，Hanser-Verlag中公知，为此明确地引用该手册。

在芯片卡1和调制解调器2中自从交付起分别存储了至少一个用于识别和证明、即所谓的卡持有者证明(Card Holder Verfication，CHV)的数据，利用该数据可以进行二者互相的对应。在交付时，芯片卡1和调制解调器2分别携带一个设置为标准值的CHV。如以下还要详细描述的，在向用户交付芯片卡1或调制解调器2时，事先不存在芯片卡和调制解调器之间的对应或配对。相应的配对只有在芯片卡和调制解调器之间第一次通信时才进行，只要交付了具有对于卡持有者证明(Card Holder Verfication，CHV)的相同的标准值的芯片卡和调制解调器。该标准CHV值在权利要求的意义上表示第一标识值的实施方式。CHV例如可以具有PIN(个人识别号)并且由多位字母数字的符号串组成。标准CHV值确定，哪种芯片卡原则上可以与哪种终端设备通信。利用相同的标准PIN初始化这种芯片卡和终端设备。在作为标准PIN的实施中，标准CHV值例如可以是四位的数字组合，例如“0000”。

在芯片卡1和调制解调器2(芯片卡1要与该调制解调器配对)的第一次通信时，建立与标准CHV值不同的新的CHV值，其仅对于芯片卡1和调制解调器2是已知的。通过该第二CHV值，相应于在权利要求意义上的第二标识值的实施方式，进行芯片卡和调制解调器的唯一的对应或配对。

以下根据图2的流程图描述实现本发明的对应方法的实施方式。该方法首先在步骤S1复位或初始化，其中通过开始在芯片卡1和调制解调器2之间的通信进行初始化，即，通过将芯片卡1通过槽2a与调制解调器2的读取设备相连。

然后在步骤S2中检查，芯片卡是否已经与调制解调器配对或者调制解调器是否已经与芯片卡配对。芯片卡可以简单确定，是否存在配对，方法是，其检查，在芯片卡中存储的CHV值是标准CHV值还是与其不同的CHV值。标准CHV值或者存储在芯片卡上或者由调制解调器提供给芯片卡。如果步骤S2中的比较得到，在芯片卡中存储的CHV值相应于标准CHV值(步骤S2中的分支“否”)，则芯片卡没有配对并且跳到步骤S3。

如果步骤S2中的比较得到，在芯片卡中存储的CHV值不相应于标准CHV值，即如果芯片卡已经与调制解调器对应(步骤S2的分支“是”)，则芯片卡等待由调制解调器发送其CHV值。在获得之后在步骤S4进行证明，由调制解调器发送的CHV值是否与在芯片卡中存储的CHV值一致。根据证明是否成功(步骤S5)，进行相应的后续步骤。如果证明成功(步骤S5的分支“是”)，则方法继续，这在图2中通过步骤S6表示。特别地，调制解调器现在可以进行其合适的运行或者被置于如下状态中，使得其能够工作并且可以处于运行中。

如果按照步骤S5的检查没有成功(步骤S5的分支“否”)，即，在芯片卡和调制解调器之间不存在配对，则芯片卡结束该方法。然后既不进行芯片卡和调制解调器的配对，也不能使用调制解调器。

在步骤S3中进行调制解调器相对于芯片卡的验证过程，方法是，证明在交付时存储在芯片卡和调制解调器中的标准CHV值。芯片卡1为此等待由调制解调器2发送在调制解调器2中存储的CHV值。如果该CHV值到来(eingegangen)，则芯片卡启动计数器，该计数器给出标准CHV值的证明的允许次数。然后芯片卡将其与存储于芯片卡中的标准PIN比较。根据芯片卡1的标准PIN是否与调制解调器2的标准PIN一致(步骤S7)，引入相应的其他步骤。

如果证明成功(步骤S7中的分支“是”)，原则上可以进行芯片卡1与调制解调器2的对应。实际上是否进行对应，取决于，是否已经达到对于标准CHV的证明的允许次数的预定最大值和由此新的对应的最高次数。最大值确定，芯片卡可以多频繁地与一个终端设备对应，或者说：其可以与多少终端设备新对应。通常，标准CHV值的证明的最大次数被置为1，由此确保，芯片卡仅能够恰好与一个调制解调器或者说终端设备对应。也可以由一个最小值替代最大次数，从一个起始值出发向下数到该最小值。因此在步骤S9检查，利用前面的对于标准PIN的成功证明是否达到了成功证明的预先给出的最大次数。

如果在步骤S9得到，已经达到最大次数(步骤S9中的分支“是”)，则芯片卡被禁止(步骤S10)并且输出一个错误(步骤S11)。每一个其他新对应试图同样仅导致芯片卡的禁止。

如果在步骤S9确定，还没有达到最大次数的证明(步骤S9中的分支“否”)，则在芯片卡1和调制解调器2之间协商一个新的第二CHV值，该值将芯片卡1和调制解调器2从此以后互相对应。这以特别简单的方式进行，方法是，芯片卡在步骤S12例如产生一个随机数并且从中导出一个新的CHV值，该值然后被传输到调制解调器(步骤S13)并且被存储在那里以及被存储在芯片卡中(步骤S14)。新的CHV值的形成当然还可以另外地、特别是借助成本更高的方法来进行，该方法也可以容易地在芯片卡1和调制解调器2之间进行一个对话。

最后该方法在步骤S15继续，方法是，重新启动芯片卡6并且利用事先形成的新的CHV值通过执行步骤S2和S4进行调制解调器相对于芯片卡1的验证。然后可以进行调制解调器2的运行。

在上述方法的特别变形中，在步骤S10中通过如下有针对地实现芯片卡的禁止，即，使得调制解调器一直利用标准PIN发送验证试图，直到芯片卡在一个预定数量的失败验证企图之后被禁止。必要时，然后可以通过调制解调器初始化用于解禁芯片卡的UNBLOCK CHV例程。在该例程的范围内在芯片卡和调制解调器之间确定新的(第二)CHV值。该值仅对于调制解调器和芯片卡是已知的并且在芯片卡和调制解调器之间下一次重新开始通信时有效。如果UNBLOCK CHV例程失败，则芯片卡变得不可用。

知道上述UNBLOCK CHV例程的维护技术人员可以将芯片卡从调制解调器中取出并且必要时向芯片卡一直发送标准PIN，直到该芯片卡被禁止。然后维护技术人员可以手动开始UNBLOCK CHV例程，其中，其建立新的CHV值，该值仅对他和芯片卡是已知的。基于新的CHV值，维护技术人员此时可以与芯片卡通信。在维护技术人员将芯片卡插回调制解调器中之后，由调制解调器一直将最后存储的CHV值向芯片卡发送，直到该芯片卡又被禁止。最后通过调制解调器可以启动上述UNBLOCK CHV例程，以便建立新的CHV值。然后基于该新的CHV值，芯片卡和调制解调器又被配对并且可以互相通信。

按照上面所述方法，在执行步骤S14之后或在成功执行上述UNBLOCKCHV例程的情况下芯片卡和调制解调器互相配对。在此不再需要，在交付芯片卡和调制解调器时就已经在芯片卡和调制解调器之间形成固定的对应，而是在芯片卡和调制解调器之间第一次通信时建立该对应。按照这种方式，避免了在交付芯片卡和调制解调器时的后勤问题。特别还可以容易地互相分离地交付芯片卡和调制解调器。可以不再发生如下情况：由于疏忽而将调制解调器与错误对应的芯片卡一起交付，因为芯片卡和调制解调器的交付总是利用标准CHV值进行。只有在芯片卡和调制解调器之间第一次通信时才通过建立一个仅对芯片卡和调制解调器是已知的新的第二CHV值来实现相应的对应或者说配对。

在上述方法的一种变形中，每个芯片卡1配备一个标识并且在终端设备2中存储一个具有优选有限大小的表，该表将不同芯片卡的标识分别对应一个CHV值。在通信开始时，芯片卡1向终端设备2传输其标识。对于在步骤S4中的证明，终端设备2向芯片卡1发送分别与标识对应的CHV值。如果终端设备2对一个标识不具有CHV值，则只要表还没有被完全存储并且标准CHV值的证明是成功的，就进行与芯片卡1的配对。以这种方式可以将一个终端设备与多个芯片卡对应。按照原则上类似的方式，还可以按照相反方向采用该变形，以便可以将一个芯片卡1与多个终端设备2对应。在这种情况下，对于用来采集进行的标准CHV值证明的计数器的最大值确定一个芯片可以对应于多少个终端设备。

在保持如下基本思路的条件下上述解决方案允许其他实施方式，即，通过首先根据第一标识值检查数据载体和终端设备是否还能够被对应并且仅当该检查成功时才进行对应(其中在数据载体中限制对于第一标识值的验证试图的次数)，来获得数据载体到终端设备的唯一对应。例如，替代在数据载体内部进行的对存储的CHV值是否与标准CHV值相应的检查，还可以简单地等待通过终端设备发送第一CHV值。于是，首先对获得的CHV值，在启动计数器的条件下，检查与标准CHV值的一致性，并且如果没有给出该一致性，则检查与存储于数据载体上的CHV值的一致性。

Claims (9)

1.一种用于根据在便携式数据载体(1)和终端设备(2)之间的数据通信唯一地将所述数据载体(1)与所述终端设备(2)对应的方法，其中，向所述数据载体(1)和终端设备(2)分别分配第一标识值，该第一标识值是对于多个预定的数据载体(1)和多个预定的终端设备(2)预先给出的标准值，具有以下步骤：

a)检查在所述数据载体(1)中所存储的第一标识值是否对应于所述标准值，并且如果所述第一标识值对应于所述标准值，则基于所述第一标识值进行用于相对于数据载体(1)验证终端设备(2)的验证过程，其中在所述验证过程中进行如下证明：所述数据载体(1)和终端设备(2)是否配备了相同的第一标识值；

b)如果步骤a)中的证明成功，则检查，与所述数据载体成功进行的第一标识值的证明的次数是否小于预先给出的值，并且

c)如果该次数小于预先给出的值，则在所述数据载体(1)和终端设备(2)之间协商第二标识值，该第二标识值被配备给所述数据载体(1)和终端设备(2)，用于在随后的验证过程中相对于所述数据载体(1)验证该终端设备(2)。

2.根据权利要求1所述的方法，其特征在于，在步骤a)的证明中所述数据载体(1)要求终端设备(2)的第一标识值并且检查所要求的标识值与配备给其的第一标识值的一致性。

3.根据权利要求1所述的方法，其特征在于，这样协商在步骤b)中的第二标识值，使得所述数据载体(1)产生随机值作为第二标识值并且将该随机值存储在所述数据载体(1)和终端设备(2)中。

4.根据权利要求1所述的方法，其特征在于，如果步骤a)中的证明没有成功或者与所述数据载体(1)成功地进行的证明的次数大于或等于预先给出的值时，则禁止该数据载体(1)。

5.根据权利要求4所述的方法，其特征在于，在禁止所述数据载体(1)之后通过所述终端设备(2)初始化解禁过程，其中在该解禁过程中在所述数据载体(1)和终端设备(2)之间协商新的第二标识值。

6.根据权利要求1至5中任一项所述的方法，其特征在于，在所述数据载体(1)和终端设备(2)已经配备了第二标识值的情况下，首先在步骤a)中基于第二标识值进行用于相对于数据载体(1)验证终端设备(2)的验证过程，其中在该验证过程中进行如下证明，数据载体(1)和终端设备(2)是否配备了相同的第二标识值，其中，如果证明没有成功，则结束该验证过程。

7.根据权利要求1至5中任一项所述的方法，其特征在于，在每次验证第一标识值时将所述数据载体(1)中的计数器递增或递减，并且在计数器达到最大值或最小值的情况下，禁止所述数据载体(1)。

8.根据权利要求1至5中任一项所述的方法，其特征在于，所述第一标识值和/或第二标识值包括多位的数字序列。

9.根据权利要求8所述的方法，其特征在于，所述第一标识值包括数字序列“0000”。