CN1333904A

CN1333904A - 控制使用智能卡的方法

Info

Publication number: CN1333904A
Application number: CN 99815625
Authority: CN
Inventors: 琼－路易斯·瓦拉迪尔
Original assignee: Gemplus SA
Current assignee: Gemplus SA
Priority date: 1998-11-18
Filing date: 1999-11-12
Publication date: 2002-01-30
Also published as: AU1167200A; EP1131800A1; WO2000030049A1; FR2786007A1; FR2786007B1

Abstract

本发明是关于在智能卡CPE中进行控制的方法,该方法用于在该卡与包括至少一个用卡进行的验证对话的终端之间进行交易。验证对话存在于交易初期给控制计数器C_KDP减少或增加一个单位,以及仅如果用卡进行的验证对话成功的话对计数器再增加或减少。当计数器达到阈值时,卡的使用被阻塞,因而防止了为尝试发现卡中包含的加密密钥KDP、SKP而对卡的欺诈性使用。

Description

控制使用智能卡的方法

本发明是关于控制智能卡的方法。

它尤其应用在这样的卡中：在卡与终端之间的交易期间，卡采用了在验证对话中使用了密钥或密钥对的密码算法。

终端既可以指卡所应被插入的终端—如商店中的结账终端，又可以指银行服务器，在所谓的直接连接交易中按交易模式—在英美文献中称作“在线”—此结帐终端被连接到银行服务器上。这尤其符合银行卡(借款卡/贷款卡)的情况，因为当交易相关的数额超过了一定的界限值，终端在这种情况下自动地被连接到服务器上在认可交易之前进行额外的校验。

在下文中，终端意指在交易中可将卡连接到其上的任何外部系统。

本发明尤其但不是专门地应用在电子钱包类型的智能卡中，该类型智能卡是一种可任意使用的或可再借记的支付工具。

为了防止任何与智能卡使用相关的欺诈行为，使用了密钥的密码算法得以采用。

在实际应用中，对于一定数量的交易，提供一个或多个用卡或终端进行的验证对话，以确保最大限度的安全性。验证对话指所有的、以具有卡或终端计算出签名(或认证)的操作为目的，其相当于将密码算法应用到被卡和终端数据其一或它们的组合强加的数据项上，并将两个签名进行比较。如果用卡进行比较，那么由卡接收被终端计算出的签名，用卡进行验证。如果是用终端进行验证，情形则相反。

然而，出现了一种新类型的欺诈行为，其组成为在密码计算过程中从基于卡中当前消费计量的统计分析中推断出保密密钥值。这种攻击方法被称作DPA—表示不同能力分析。该方法基于这样的事实：存在当前消费签名，如果至少一个被作为输入或输出使用的数据项被知道，那么可能通过制订关于密钥的假定从签名中找出所讨论的密码计算中使用的密钥值或者其上部分值。

为了实现这种欺诈行为，必需能够用相同的密钥启动密码计算一定次数，例如300次。为了使其能用，必须知道或能施加或能调整密码计算参数。

如果举采用保密密钥密码算法的电子钱包类型的智能卡的例子，那么此种类型卡与终端之间的交易完全按照下面图1中所描述的图进行：

—在初始化阶段，卡从包含在有关的卡和其对话计算器NTX中的保密的密钥KDX中计算出对话密钥SKX，卡的对话计算器NTX在交易过程中不可逆地被增加。

接下来，按交易的类型，通过将密码算法应用在通常被卡施加的数据项和对话密钥SKX上，卡可以计算出签名S1和/或签名S2。

对于终端而言，它要计算相应的签名，并按交易类型或者终端被卡验证，或者卡被终端验证。因此，在验证对话期间存在数据和有关签名的传送。

考虑这样一种尝试欺诈行为的情况：这种欺诈行为基于装载类型的交易，该类型通常用于贷款一定的数额给电子钱包类型的卡。

如果这种类型的交易被启动一定的次数(例如300次)，而且卡刚好在初始化阶段后从终端上被取走，那么卡的对话计数器NTX将不能被增加。如果这种类型的交易被执行300次，同时从终端上取走卡以中断交易进行，对话密钥SKX在这300次交易中均是相同的。因而可能积累300条当前消费计量曲线，对应于依据数据的300个签名计算，这些数据按交易和同一密钥而相同或不同。

由于统计分析中被用到密码计算中的数据是变化的，因而统计分析使得获取对话密钥成为可能。

按卡的类型和交易，在实际应用中可能推导出包含在卡中的真正保密密钥，或是对话密钥。

对真正的保密密钥的掌握一方面使得用此密钥制造伪卡成为可能。这些伪卡被终端视为真实的。另一方面，这种掌握也使得执行购买取消类型的交易成为可能；对于电子钱包类型的卡，使得用先前已被记入借方的钱的总和去再次记入贷方成为可能。

对对话密钥而言，对它的掌握使得利用伪卡(克隆品)或模拟装置重新进行交易成为可能。

本发明的目的是防止这种类型的欺诈行为。

而这种欺诈行为需要两种不同类型的操作：

—积累当前消费计量的操作，对于此项操作而言必须利用卡与终端之间的真正交易以便在适当的时机实现计量。但是当取走卡、或与终端的模拟机进行交易，或由于缺少卡对终端的验证而导致交易失败时(错误签名)，当前操作被中断；以及

—利用模拟方法(计算机)的统计分析操作。该操作用于找出被搜索的数据，即密钥。

从统计分析中可以看出必须执行大量计量：50、300、5000次。

这意味着在卡上存在大量用卡进行的验证对话失败，以及当把卡从终端中取走或由于终端提供错误的签名而导致交易失败时交易中断而产生的失败。

因此，本发明的一个目的是防止当前消费计量的积累。

然而，可以看出：在被搜索实现这种连接的情况下，存在着大量的用卡进行的验证对话的失败。

被提供用在本发明的技术问题中的一个解决方法，其组成如下：在卡中使用控制计数器递减计数(或计数)这些失败；当一定数目的失败被计数到时，禁止卡的使用。

因而本发明涉及的是按权利要求1的控制方法。

按本发明，当卡与使用至少一个用卡进行验证对话的终端之间的交易被启动时，控制计数器被递减了一个单位。仅在验证成功时，该计数器才被增加一个单位。或者控制计数器被递增一个单位，而仅在验证对话成功时才被递减一个单位。

优选地，该控制计数器的使用是通过卡中使用的密钥和/或加密的密钥对实现的。

按本发明的控制计数器可以自代表所允许的失败数量的阻塞值N起递减计数，或递增计数至阻塞值N。

该阻塞值N依赖于使用相关密钥或密钥对的交易的类型。该值等价于所允许的交易失败或中断的次数。尤其它考虑了与交易相关的安全等级，就是说基于密钥或密钥对的欺诈行为而引起的风险。

例如，当电子钱包类型的卡在更新卡参数的交易中问题可能是这些参数能到期，诸如密钥每个值、交易的最大数额等，相当低的N值应被提供，因为极高度的安全性必须与这种交易相关，而且在使用中极少的错误可发生在这种类型的交易中。而在购买操作或购买取消的情况下—在此种情况下，卡“正常”使用期间内一定数量的事故可能发生，尤其是由于持卡人在使用中的错误，提供稍高一点儿的值。

对于给定的密钥或给定的密钥对，当计数器达到其极限值时，即递减到0或递增到N，密钥或密钥对的使用被阻塞：使用该密钥或密钥对的交易不再被任意长时间执行。优选地，预防措施为这种不可逆的阻塞而制订。然而，在阻塞无疑是因为使用者的无心之错而导致的情况下，预防措施被制订用以重新启动计数器。如果阻塞值N在实际应用中被证实过低或过高，预防措施也应被制订用以修改阻塞值N。这种重新初始化或修改仅可按安全程序由被认可的第三当事人(银行)所执行。

另外，在特定的交易中，几个密码计算用相同的密钥或密钥对被实现，直到包括一个其组成为用卡进行验证对话的部分。然后，预防措施被执行以在各次计算前减少或增加计数器或者一个新单位，或者是代表所执行计算数目的单位。如果验证对话成功，依据按本发明的控制方法的选择实现模式，计数器再增加或减少了，或者借助指向计数器减少或增加的单位总数，或者具有代表性的单位。

本发明的其它特点和优点在下面的说明中描述，借助于标识但决不限于此并参考相伴附图给出：

—前面已说明过，图1描述了密码计算的样本分块图，该密码计算在使用了保密密钥的密码算法的电子钱包类型的卡与终端之间进行交易的过程中被实现；

—图2是这种类型卡中资源的分块图，包括按本发明的控制计数器；和

—图3到5是在使用了按本发明的应用控制方法的电子钱包应用中的典型交易的流程图。

本发明的基本原则是使用至少一个控制计数器，它将在终端与卡之间进行交易的初期被减少或增加一个单位，而仅在用卡进行的验证对话成功后，才被再次增加或减少。

下文仅举出在各次交易初期系统地减少计数器而按条件再次增加的情况。相反的情况可以很容易地被变换到在交易初期系统地增加计数器而按条件减少的情况中。

计数器被初始设置成阻塞值N，N代表了允许的失败数目，这样做尤其是应用的函数。如果多数交易在不允许用卡进行的验证获得成功的情况下被启动，或者是因为交易被中断(卡被抽出的情况)，或者是因为被送往卡以允许卡进行验证的数据是错误的(用模拟器代替真正终端的情况)，那么计数器在各次新交易中被递减但在所有的用卡进行验证失败的情况下不被再次增加，该计数器将在达到0值时终止。该卡的使用被阻塞。

现在用密码算法对电子钱包类型卡解释本发明的实施例，其加密密钥是保密密钥。本发明既不受限于卡的类型，也不受限于算法的类型。它可应用在对于至少一种交易执行验证对话的各种卡中。验证对话使用如DES算法的保密密钥算法或使用了加密密钥对(个人密钥、公共密钥)的RSA类型的算法。一些卡甚至实现了这两种算法，以便能按照应被执行的交易使用其中之一。按本发明的控制方法应用到所有这些不同卡和应用程序中。

图2系统地说明了电子钱包类型智能卡的资源，本发明的控制方法可被应用到其上。

原则上，它应包括微处理器μP和存储器资源，存储器资源包括在实际应用中包含了程序代码的只读存储器ROM、作为工作存储器的动态存储器RAM、以及EEPROM类型的包括计数器的非易失性存储器—例如它在实际应用中包括了卡的敏感参数(安全性检测)。在此例中，该存储器尤其包括了三个用KDP、KDL、KDU标识的保密密钥，三个相关的用NTP、NTL、NTU标识的对话计数器，以及三个相关的用C_KDP、C_KDL、C_KDU标识的按本发明的控制计数器。

此存储器包括了其他参数。一些可以通过更新交易的方式按安全程序被外部系统更新。

值得一提地是：在电子钱包卡中，三种交易类型是可能的，对于各种交易类型对应了一个相关保密密钥。因而存在以下交易类型：

—利用KDP标识的相关保密密钥购买或取消购买；

—利用KDL标识的相关保密密钥装载或卸载；和

—利用KDU标识的相关保密密钥更新。

在本发明中，预防措施要被制订以便通过不同的保密密钥使用控制计数器。因而存在与保密密钥KDP相关的计数器C_KDP，与保密密钥KDL相关的计数器C_KDL，与保密密钥KDU相关的计数器C_KDU。

图3中说明的这种卡的操作流程图实例是有关购买类型的交易。对于这种类型的交易，卡使用保密密钥KDP、相关对话计数器NTP以及相关的按本发明的控制计数器C_KDP。

购买交易包括明确到卡上的交易类型的第一初始化阶段，初始化阶段通常受终端到卡上的命令发送所限。该命令在英美文献中通常被标记如下：INIT FOR PURCHASE。

接下来，微处理器转换到与此交易类型相对应的程序代码的地址上。

在本发明中，预防措施在初始化阶段被制订以减少有关控制计数器C_KDP一个单位。因此，卡执行下列指令：C_KDP＝C_KDP－u。

然后，卡检测是否控制计数器已达到了其极限值，例如0。如果计数器达到了极限值(C_KDP≤0)，卡不能继续进行交易，因而交易将由于缺少自卡的响应而终止。

如果未达到极限值，卡将进入到处理阶段，在处理阶段它尤其执行下列操作：

—将密码算法应用到对话计数器NTP的值上并使用保密密钥KDP，卡可计算出对话密钥SKP；

—卡将数据项发送到终端上以便终端能计算出对应的签名S2_T；

—卡接收并返回由终端计算出的签名S2_T；

—利用对话密钥SKP，并将密码算法应用到被发送到终端的可变数据项上，卡可计算出签名S2。

然后，卡将比较两个签名。如果他们是相等的，验证成功，按本发明的控制计数器被增加了值u。否则它不变。然后交易能够继续进行。

可以看出，如果过多这种购买类型的交易导致用卡进行验证的失败，则按本发明的控制计数器将使得阻塞卡在购买类型交易中的任何使用成为可能。

实际上，它禁止卡对使用相同保密密钥的情况下在相同类型交易中的任何使用。因此，在计数器C_KDP的情形中，是购买交易或购买取消交易被禁止。

图4说明了购买取消类型的交易中使用的卡的操作流程图，因而该操作使用了同样的保密密钥KDP

在该交易中，由终端的初始化命令(按英美文献是命令“init forpurchase cancellation”【对购买取消进行初始化】)完成初始化阶段，初始化阶段除了包括按本发明的控制计数器C_KDP被减少一个单位u外，还包括对话密钥SK_P的计算以及利用该对话密钥通过将密码算法应用到数据项上而获得的签名S1。计算结束时，卡将数据项和签名S1传送到终端上，以便终端能对卡进行验证。由终端进行的验证并非是任何来自终端的响应的主题。

卡经历到处理阶段时，反过来要由卡对终端进行验证，如前所述。在这种类型的交易中，签名S2通常被期望等于0。因而，卡用对话密钥KDP计算相应的签名S2。卡接收由终端计算的签名S2_T，并将这两个签名进行比较。如果它们相等，验证对话成功。按本发明的控制计数器被再增加一个单位u。否则，控制计数器不改变。交易继续进行。

在这种交易的情况中可以看出，卡进行两次密码计算直到包括由卡进行的验证对话、签名S1的计算和签名S2的计算。对于这种交易，预防措施优选地被制订用于实现减少控制计数器一定的数值，该数值对应于所进行的直到包括一个用卡进行的验证对话的密码计算的次数。

这种递减可能发生在某单一情况下，减少了一个代表该交易所执行计算的数目的单位u。该交易中u所承担的值可以随着“INIT FOR”类型的命令在初始阶段被初始化。对某些情况下的这种递减作为例子在签名S1和签名S2的计算之前，通过将计数器减少了一个单位实现。在这种情况下，预防措施被制订以便在各次递减后检测计数器上的极限值。

在这种情况下，也可提供与图2中由D_KDP标识的控制计数器相关的指向计数器，在交易的初始阶段该计数器被初始化为0，并且例如，每次被增加了控制计数器所被减少的值。因此，如果用卡进行的验证过程成功，控制计数器被再次增加了指向计数器中保存的值。

应注意到：专业人员可以根据关系到的应用的具体说明而使用一种或另一种不同的实现可能。尤其是可能根据所要求的安全程度，对一种类型的交易使用一种实现方法，对另一种类型的交易使用另一种实现方法。

图5说明了另一种类型交易的操作流程图，即更新类型。它比较相似于前面的类型，但是这里用卡进行的验证发生在由S1标识的签名处。

这是因为概括地说控制计数器在交易初期被减少。如果它可能再被增加的话，那么仅在由卡进行的验证对话之后完成。

应该注意的是：图3～5中的流程图仅表示了交易过程中所执行的一部分操作，只是为了给按本发明的方法做解释。在实际应用中，其他的操作也要被执行。尤其是按交易为了计算签名，应用由当前对话密钥或先前对话密钥构成。在计算对话密钥后，对话计数器必须被增加。所有的这些方面严格地说来对于某一应用是特定的，而对于按本发明的控制方法的实现没有兴趣。

不同的控制计数器必须被初始化成一个适当选择的阻塞值N。该值必须要考虑到相关的交易类型，应被实现的相应的安全等级，但是在卡持有者“正常”使用期间也可能出错误：因为当持有者并不想犯欺诈行为时，这并不是阻塞卡使用的问题。

在一个用于纯解释目的的例子中，但是该例子显示出了应必须考虑到的各不同方面，可能初始化在100处与购买/购买取消交易相关的控制计数器C_KDP，在20处与装载/卸载交易相关的控制计数器C_KDL，以及在10处与更新交易相关的控制计数器C_KDU。

上面已经解释过按本发明的控制方法的变体，其组成为在各次对话中递增计数器，仅依据条件(用卡进行的验证成功)而递减。在这种情况下，计数器被初始化为0；极限值等于阻塞值N，该值要与计数器的内容相比较。上面所说明的所有内容均可应用在发明变体中。

发明仅在电子钱包卡的应用实例中被解释了。然而，从说明中可明显地看出：按本发明的控制方法可应用到各种类型的智能卡中，只要该卡执行了验证对话。这种验证对话可能是基于保密密钥密码算法，例如在电子钱包卡情况中所阐述的DES类型；也可以是其他类型的算法，诸如使用密钥对(个人密钥，公共密钥)的RSA类型的算法。另外，在发明中，智能卡既意味着熟知形式的卡，也意味着便携式载体。

Claims

1.控制智能卡使用的方法，包括能够在卡中实现密码计算用于执行卡与终端之间交易过程中的验证对话的微处理器，该方法的特征在于所述的方法使用了至少一个控制计数器(C_KDP)，和对于一项交易至少包括一个用卡进行的验证对话，该方法中包括：

—在交易初期减少或增加控制计数器一个单位(u)；和

—如果用卡进行的验证成功，执行对该控制计数器再增加和减少所述的一个单位(u)。

2.按权利要求1的方法，其特征在于控制计数器可以从阻塞值起递减或递增到阻塞值。

3.按权利要求2的方法，其特征在于该方法包括：通过包含在卡中的加密密钥和/或加密密钥对来使用控制计数器。

4.按权利要求3的方法，其特征在于与计数器相关的阻塞值是其中使用了相关密钥或相关密钥对的交易类型的函数。

5.按权利要求3的方法，其特征在于控制计数器减少或增加的单位代表了用相关密钥或相关密钥对进行密码计算的次数，密码计算被执行直到包括一个由交易过程中的验证对话所组成的过程成功。

6.按权利要求3的方法，其特征在于与密钥或密钥对相关的控制计数器在各次密码计算之前被减少或增加了一个新单位，密码计算使用了所说密钥或所说密钥对直到包括一个与用卡进行的验证对话相关的过程成功。

7.按权利要求5的方法，其特征在于如果用卡进行的验证对话成功，可实现计数器再增加或减少的单位将代表了密码计算次数。

8.按权利要求6的方法，其特征在于：它包括用于存储由一个单位所执行的减少或增加次数的指向计数器(D_KDP)，以便如果用卡进行的验证对话成功通过指向计数器的内容允许再次增加或减少控制计数器(C_KDP)。

9.按前述的权利要求中的任何一项的控制方法，其特征在于：当通过直接链接到服务器上的连接时用卡进行的所说验证对话被执行。

10.按前述的权利要求中的任何一项的方法，其特征在于：当控制计数器被减少或增加到极限值时，它将阻塞相关密钥或相关密钥对的使用。

11.按权利要求10中的方法，其特征在于：阻塞密钥或密钥对的使用是不可逆的。

12.智能卡包括至少一个与按前述权利要求中任意之一实现控制方法的至少一个密钥和/或密钥对相关的控制计数器。