DE102004013904B4

DE102004013904B4 - System, Vorrichtung und Verfahren zum Nachladen von verifiziertem Programmcode auf mobile Datenträger

Info

Publication number: DE102004013904B4
Application number: DE200410013904
Authority: DE
Inventors: Daniel Ciesinger
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient GmbH
Priority date: 2004-03-22
Filing date: 2004-03-22
Publication date: 2005-12-22
Anticipated expiration: 2024-03-23
Also published as: DE102004013904A1

Abstract

System zum Nachladen von verifiziertem Programmcode auf mobile Datenträger, umfassend
ein Endgerät (10) mit Mitteln zum Senden von Programmcode an mobile Datenträger; und
einen mobilen Datenträger (20) mit
Mitteln zum Empfangen von Programmcode, der von dem Endgerät gesendet wird, und
Mitteln zum Nachladen von Programmcode, die so ausgebildet sind, daß der empfangene Programmcode in dem mobilen Datenträger nur dann zur Verwendung gespeichert wird, wenn der empfangene Programmcode verifizierter Programmcode ist,
wobei das Endgerät (10) Verarbeitungsmittel (12) umfaßt und einen Verfizierer (15) umfaßt, welcher angepaßt ist den Programmcode zu verifizieren und als verifizierten Programmcode für den mobilen Datenträger (20) bereit zu stellen,
dadurch gekennzeichnet, daß
die Verarbeitungsmittel (12) und der Verifizierer (15) so ausgebildet sind, daßEndgerät-Programmcode nur nach einer Freigabe durch den mobilen Datenträger (20) und nach Verifikation in dem Verifizierer (15) zur Ausführung auf dem Endgerät in das Endgerät (10) geladen wird.

Description

Die Erfindung betrifft ein Verfahren, eine Vorrichtung und ein System zum Nachladen von ausführbarem Programmcode auf einen mobilen Datenträger.

Mobile Datenträger wie Chipkarten bieten üblicherweise die Möglichkeit an, noch nachträglich – also beispielsweise nach Abgabe der Chipkarte durch den Hersteller an einen Benutzer – auf der Chipkarte Daten zu ändern oder Datenstrukturen neu anzulegen. Fortgeschrittenere Chipkarten, wie beispielsweise JAVA-Chipkarten, ermöglichen zudem auch ausführbaren Programmcode nachträglich zu laden.

Auf mobilen Datenträgern gespeicherte Anwendungen enthalten aber häufig sensible geheime Daten, beispielsweise Authentisierungsschlüssel für ein Börsensystem. Daher muß unter anderem sichergestellt werden, daß Programmcode, der nachträglich in die Chipkarte geladen werden soll, nicht auf solche geheimen Daten in der Chipkarte zugreifen kann.

Aus der EP 1088 270 B1 ist es bekannt, Java-Bytecode vor dessen Ausführung auf einer Chipkarte durch einen Verifikationsprozess auf bestimmte Eigenschaften zu prüfen. Grundsätzlich wird dann nur verifizierter Java-Bytecode in die Chipkarte geladen und dort ausgeführt.

Um einen hohen Grad an Sicherheit für die Chipkarte zu erreichen, sollte die Verifikation auf der Chipkarte erfolgen. Aufgrund der begrenzten Resourcen auf einer Chipkarte sind die Speicherung und die Verwendung eines Verifizierers auf der Chipkarte jedoch kaum oder zumeist nur mit Verlusten im Grad der Sicherheit realisierbar.

Zur Absicherung eines Chipkartensystems wird deshalb üblicherweise ein Verifizierer auf einem zentralen Server bereitgestellt, der die Rolle eines Trust Centers für ein Gesamtsystem übernimmt. Programmcode bzw. Anwendungen (Applets), die nach der Ausgabe der Karte an den Benutzer auf die Karte geladen werden sollen, müssen von dem entsprechenden Anbieter der Anwendung zunächst bei dem zentralen Server verifiziert werden. Die Chipkarte prüft bei einem Laden der Anwendung in die Chipkarte, ob ein entsprechendes Verifizierungsergebnis oder Zertifikat vorliegt. Ein solches Vorgehen wird beispielsweise beschrieben in Kapitel 5.14.1 aus dem „Handbuch für Chipkarten", 4. Auflage von W. Rankl und W. Effing.

Gerade für den Systemanbieter, der geheime Systeminformationen auf der Chipkarte absichern muß, wird durch ein solches System ein sehr hohes Maß an Sicherheit geboten. Der Benutzer und der Anbieter einer sich häufig ändernden Anwendung sind dann allerdings an ein komplexes und inflexibles Modell gebunden.

In WO 02/25428 A2 wird ein Verifizierer in einem Endgerät verwendet, um in dem Endgerät verifizierten Programmcode auf einen tragbaren Datenträger nach zu laden. Das Endgerät selbst ist jedoch nicht per se eine vertrauenswürdige Instanz in dem System.

Es ist die Aufgabe der vorliegenden Erfindung ein verbessertes Verfahren, System und Vorrichtung zum Nachladen von Programmcode auf einen mobilen Datenträger bereitzustellen, welche insbesondere eine erhöhte Manipulationssicherheit bietet.

Diese Aufgabe wird gelöst durch die Gegenstände der Ansprüche 1, 7 und 8. Die abhängigen Ansprüche beschreiben bevorzugte Ausführungsformen dieser Lösung.

Gemäß einem Aspekt der Erfindung wird in einem sicheren Endgerät, welches mit dem mobilen Datenträger kommunizieren kann, ein Verifizierer angeordnet. Das sichere Endgerät wird als vertrauenswürdige Instanz be trachtet und erlaubt dem Benutzer des mobilen Datenträgers beliebige Anwendungen, also beispielsweise auch eigene selbstprogrammierte Anwendungen, ohne Einschaltung Dritter auf die Chipkarte nachzuladen.

Gemäß einer bevorzugten Ausführungsform der Erfindung wird der Verifizierer auch eingesetzt, um das Nachladen von Programmcode in das Endgerät abzusichern. Weiterhin können der mobile Datenträger und das Endgerät so ausgestaltet werden, daß ein Anpassen der Programmierung des Endgerätes erst nach einer Freigabe durch den mobilen Datenträger möglich ist. Durch diese beiden Maßnahmen kann jeweils erreicht werden, daß das Endgerät für den mobilen Datenträger eine vertrauenswürdige Instanz darstellt.

Weitere Vorteile und Ausführungsformen der Erfindung werden mit Bezug auf die Figur beschrieben, welche im einzelnen zeigt:
1 den funktionalen Aufbau eines Systems mit einem Endgerät und einem mobilen Datenträger.
1 zeigt die funktionalen Komponenten eines Endgerätes 10, welches in Verbindung mit einem mobilen Datenträger 20 steht.
Das Endgerät 10 ist vorzugsweise ein sicheres Endgerät. Als sicheres Endgerät kann beispielsweise ein Chipkartenleser oder ein Kommunikationsendgerät für ein Mobilfunksystem , welches ein SIM-Modul als mobilen Datenträger 20 entnehmbar enthält, verwendet werden. Als mobiler Datenträger kann beispielsweise eine Chipkarte, ein Sicherheitsmodul oder ein USB-Token verwendet werden.
Das Endgerät 10 umfaßt eine erste Schnittstelle 11, Verarbeitungsmittel 12, eine zweite Schnittstelle 12 und einen Verifizierer 15.
Über die erste Schnittstelle 11 können beliebige Daten 9 mit dem Netz des Mobilfunksystems ausgetauscht werden. Die Daten können für das Endgerät und/oder den mobilen Datenträger 20 bestimmt sein. Entsprechend werden sie in der Verarbeitungseinheit 12 verarbeitet und/oder über die zweite Schnittstelle 13 an den mobilen Datenträger 20 übertragen.
Für den Fall, daß Anwendungen, Programme oder Programmteile nachträglich in den mobilen Datenträger 20 zu laden sind, wird der zu ladende Programmcode 1 zunächst in dem Verifizierer 15 auf seine relevanten Eigenschaften geprüft.
Der Programmcode 1 kann über die Schnittstelle 11 aus dem Mobilfunknetz oder über eine andere Schnittstelle des Endgerätes 10 auch aus einem Datennetz wie dem Internet zu dem Endgerät 10 übertragen werden.
Zur Verifikation von Programmcode sind verschiedene Ansätze, Verfahren und Implementierungen bekannt. Grundsätzlich gewährleistet eine Verifikation des Programmcodes, daß Kompatibilität mit dem vorhandenen Interpreter des Programmcodes auf der Zielplattform vorliegt und daß das Sicherheitsmodell (Abläufe, Zustände, Datenintegrität ...) der Zielplattform eingehalten wird.
Das Endgerät 10 empfängt den Programmcode 1 und verifiziert diesen in dem Verifizierer 15, bevor es den Programmcode 1 als verifizierten Programmcode über die Schnittstelle 13 an den mobilen Datenträger 20 überträgt.
Der mobile Datenträger 20 empfängt den Programmcode und prüft, ob der empfangene Programmcode verifizierter Programmcode ist. Nur verifizierter Programmcode wird in dem mobilen Datenträger 20 zum Zwecke der Ausführung auf dem mobilen Datenträger 20 gespeichert.
Die Prüfung, ob verifizierter Programmcode vorliegt, kann anhand eines durch den Verifizierer 15 im Endgerät 10 erstellten Zertifikates erfolgen. Dieses Zertifikat wird von dem Endgerät 10 ebenfalls an den mobilen Datenträger 20 übertragen.
Alternativ oder in Ergänzung hierzu kann die Prüfung auf Verifizierung dadurch erfolgen, daß der mobile Datenträger 20 darauf vertraut, daß Programmcode, der von dem Endgerät 10 empfangen wird, immer verifizierter Programmcode ist. Geprüft wird dann, ob eine Authentisierung des Endgerätes 10 gegenüber dem mobilen Datenträger 20 erfolgt ist. Nach erfolgter Authentisierung kann der mobile Datenträger 20 für ein entsprechendes Endgerät 10 davon ausgehen, daß empfangener Programmcode verifiziert ist.
Das Endgerät 10 und/oder der mobile Datenträger 20 können Authentisierungsmittel umfassen, die eine einseitige oder gegenseitige Authentisierung beispielsweise mittels symmetrischer oder asymmetrischer Schlüssel ermöglichen. Zur Absicherung der Kommunikation zwischen Endgerät 10 und dem mobilen Datenträger 20 können die ausgetauschten Daten, beispielsweise nach dynamischer Schlüsselwahl im Rahmen einer gegenseitigen Authentisierung, verschlüsselt übertragen werden.
In dem System aus dem Endgerät 10 und dem mobilen Datenträger 20 kann die Sicherheit noch dadurch erhöht werden, daß das Endgerät 10 ebenfalls so ausgebildet ist, das nur verifizierter Programmcode (Endgerät-Programmcode) geladen werden kann. Auf diesem Weg kann in dem System darauf vertraut werden, daß sowohl der mobile Datenträger 20 als auch das Endgerät 10 von dem jeweiligen initialen Zustand nur in einen weiteren sicheren Zustand übergehen.
Auf verschiedenen Wegen kann erreicht werden, daß das Endgerät als vertrauenswürdiges Endgerät aufgefaßt werden kann.
Insbesondere kann das Nachladen von Programmcode in das Endgerät 10 abhängig von einer Freigabe durch den mobilen Datenträger 20 gemacht werden. So kann beispielsweise festgelegt sein, daß das Nachladen in dem Endgerät 10 erst nach erfolgreicher Authentisierung des mobilen Datenträgers 20 gegenüber dem Endgerät 10 erfolgt. Die Authentisierung wiederum bedingt, daß zuvor in dem mobilen Datenträger 20 ein Zertifikat für einen Schlüssel überprüft wurde. Der zertifizierte Schlüssel könnte dabei beispielsweise der Schlüssel sein, der als Grundlage für eine abgesicherte Übertragung des Programmcodes an das Endgerät 10 diente.
Ein dem Endgerät übergeordnetes System oder das Endgerät können durch organisatorische oder technische Maßnahmen (Hardware oder Software) angepaßt sein, die Vertrauenswürdigkeit des Endgerätes zu gewährleisten.
Als Ansatz für eine Verifizierung von Programmcode sind auch zweistufige Modelle bekannt, die einen ersten Teil der Verifikation außerhalb des mobilen Datenträgers und einen zweiten Teil der Verifikation innerhalb des mo bilen Datenträgers ausführen. Die beschriebenen Lösungen sind ohne weiteres auf derartige zweistufige Lösungen zu übertragen.
Unter ein Nachladen von Programmcode fällt jedes Aufbringen von Programmcode, nachdem der mobile Datenträger, der vor dem Zugriff Dritter zu schützende Daten enthält, seine ursprüngliche sichere Umgebung, beispielsweise eines Herstellers, Personalisierers oder Herausgebers des mobilen Datenträgers, verlassen hat.

Claims

System zum Nachladen von verifiziertem Programmcode auf mobile Datenträger, umfassend ein Endgerät (10) mit Mitteln zum Senden von Programmcode an mobile Datenträger; und einen mobilen Datenträger (20) mit Mitteln zum Empfangen von Programmcode, der von dem Endgerät gesendet wird, und Mitteln zum Nachladen von Programmcode, die so ausgebildet sind, daß der empfangene Programmcode in dem mobilen Datenträger nur dann zur Verwendung gespeichert wird, wenn der empfangene Programmcode verifizierter Programmcode ist, wobei das Endgerät (10) Verarbeitungsmittel (12) umfaßt und einen Verfizierer (15) umfaßt, welcher angepaßt ist den Programmcode zu verifizieren und als verifizierten Programmcode für den mobilen Datenträger (20) bereit zu stellen, dadurch gekennzeichnet, daß die Verarbeitungsmittel (12) und der Verifizierer (15) so ausgebildet sind, daßEndgerät-Programmcode nur nach einer Freigabe durch den mobilen Datenträger (20) und nach Verifikation in dem Verifizierer (15) zur Ausführung auf dem Endgerät in das Endgerät (10) geladen wird.
System nach Anspruch 1, dadurch gekennzeichnet, daß das Endgerät (10) eine erste Schnittstelle (11) zum Empfangen des Programmcodes umfaßt, wobei der Verifizierer (15) angepaßt ist, den durch das Endgerät (10) empfangenen Programmcode zu verifizieren.
System nach einen der Ansprüche 1 bis 2, dadurch gekennzeichnet, daß der mobile Datenträger (20) und das Endgerät (10) jeweils Authentisierungsmittel zur einseitigen oder gegenseitigen Authentisierung umfassen.
System nach einem der Ansprüche 1 bis 3 dadurch gekennzeichnet, daß das Endgerät (10) ein mobiles, personenbezogenes Endgerät ist, in welchem der mobile Datenträger (20) entnehmbar eingesetzt ist.
System nach einem der Ansprüche 1 bis 4 dadurch gekennzeichnet, daß der mobile Datenträger (20) den gespeicherten Programmcode zur Ausführung auf dem mobilen Datenträger verwendet.
System nach einem der Ansprüche 1 bis 5 dadurch gekennzeichnet, daß das Endgerät (10) ein mobiles Kommunikationsendgerät eines Mobilfunksystems ist und der mobile Datenträger (20) ein SIM-Modul für das mobile Kommunikationsendgerät ist.
Endgerät zum Nachladen von verifiziertem Programmcode auf einen mobilen Datenträger, der empfangenen Programmcode nur dann zur Verwendung speichert, wenn der empfangene Programmcode verifizierter Programmcode ist, umfassend Mittel zum Senden von Programmcode an den mobilen Datenträger; Verarbeitungsmittel (12) und einen Verfizierer (15), welcher angepaßt ist den Programmcode zu verifizieren und als verifizierten Programmcode für den mobilen Datenträger (20) bereit zu stellen; dadurch gekennzeichnet, daß die Verarbeitungsmittel (12) und der Verifizierer (15) so ausgebildet sind, daß Endgerät-Programmcode nur nach einer Freigabe durch den mobilen Datenträger (20) und nach Verifikation in dem Verifizierer (15) zur Ausführung auf dem Endgerät in das Endgerät (10) geladen wird.
Verfahren zum Nachladen von verifiziertem Programmcode auf einen mobilen Datenträger in einem System mit einem Endgerät und dem mobilen Datenträger, mit den Schritten: Verifizieren eines Programmcodes in dem Endgerät; Senden des verifizierten Programmcode von dem Endgerät an den mobilen Datenträger; Empfangen des gesendeten Programmcodes in dem mobilen Datenträger; Prüfen ob der empfangene Programmcode verifizierter Programmcode ist; und Speichern des empfangenen Programmcodes, wenn der empfangene Programmcode verifizierter Programmcode ist; dadurch gekennzeichnet, daß ein Schritt des Ladens von Endgerät-Programmcode zur Ausführung in dem Endgerät erst nach den Schritten erfolgt: Freigabe des Ladens von Endgerät-Programmcode durch den mobilen Datenträger und Verifizieren des Endgeräteprogrammcodes in dem Endgerät.