Hinsichtlich
des technologischen Hintergrunds sei auch auf die einschlägige Chipkartennorm ISO
14443 verwiesen.
Die
Chipkarte umfasst typischerweise einen Chip bzw. einen integrierten
Schaltkreis zur Realisierung der Chipkartenfunktion, der in Abhängigkeit
vom Chipkartentyp unter anderem eine Hardware-Logik, Speicher und/oder
einen Mikroprozessor enthalten kann. Der Chip bzw. der integrierte
Schaltkreis ist üblicherweise
auf oder in einem Schaltkreisträgermedium
wie beispielsweise einer Karte, in einer Münze, in einem Schlüsselkopf,
auf einem selbstklebenden Etikett oder auch auf einem Ausweisdokument
angeordnet.
Mit
Chipkartensystemen können
viele unterschiedliche Anwendungen realisiert werden. Ein Beispiel
einer möglichen
Anwendung bilden so genannte Kassensysteme, beispielsweise zur Verwendung in
Betriebskantinen. Hierbei werden an die Nutzer der Betriebskantine
Chipkarten ausgegeben. Ein Chipkartennutzer kann nun beispielsweise
an einer Ladestation einen bestimmten Geldbetrag auf die Chipkarte
aufbuchen bzw. aufladen. An einer Kasse wird dann ein zu zahlender
Betrag von der Chipkarte des Nutzers abgebucht. Die Ladestation
sowie die Kasse umfassen hierzu jeweils eine oder mehrere Schreib-/Leseeinheiten,
die ein Aufbuchen bzw. ein Abbuchen der Geldbeträge der Chipkarte durchführen. Ein
weiteres Anwendungsbeispiel ist die Zutrittskontrolle, bei der ein
Zutritt durch Anlegen der Chipkarte an eine Schreib-/Leseeinheit
freigegeben wird.
Auf
einer Chipkarte sind zur Unterstützung mehrerer,
voneinander unabhängiger
Anwendungen üblicherweise
mehrere, voneinander getrennte Funktions- oder Anwendungsbereiche
vorgesehen, die jeweils einer spezifischen Anwendung zugeordnet sind.
Dies ermöglicht
beispielsweise, dass die Chipkarte zur Bezahlung in einer Betriebskantine
und gleichzeitig zur Zugangskontrolle verwendbar ist. In diesem
Fall ist ein erster Funktions- bzw. Anwendungsbereich der Bezahl-Anwendung
zugeordnet und ein zweiter Funktions- bzw. Anwendungsbereich ist
der Zutrittskontroll-Anwendung zugeordnet.
Ein
Funktionsbereich kann beispielsweise ein vorbestimmter Speicherbereich
innerhalb eines Speichers der Chipkarte sein. Bei komplexeren Chipkarten,
die beispielsweise über
Eigenintelligenz in Form eines Chipkartenmikrocontrollers und gegebenenfalls
ein Chipkartenbetriebssystem verfügen, kann ein Funktionsbereich
auch einen Speicherbereich und zugehörige logische Funktionen umfassen, beispielsweise
spezifische Kommandos, wie ein Wertveränderungskommando, das einen
in einer bestimmten Speicherstelle des Funktionsbereichs gespeicherten
Zahlenwert selbsttätig
um einen Betrag erhöht
bzw. erniedrigt, der als Parameter im Kommando enthalten ist. Auf
diese Weise wird ein Zugriff auf den Funktionsbereich erleichtert,
da die hierfür erforderlichen
Einzelschritte, nämlich
Auslesen des zu verändernden
Zahlenwerts, Addieren des ausgelesenen, zu verändernden Zahlenwerts und des
Betrags und anschließendes
Abspeichern der Summe, durch ein einziges, speziell hierfür vorgesehenes Kommando
ersetzt werden. Funktionsbereiche werden in Abhängigkeit von der verwendeten
Chipkartentechnologie auch als Sektoren oder Segmente bezeichnet.
Wenn sie als Speicherbereiche realisiert sind, können sie abhängig von
der Technologie eine unveränderliche,
vordefinierte Länge
oder eine dynamische Länge
aufweisen.
Um
einen Schutz vor unberechtigtem Zugriff zu gewährleisten, ist einem jeweiligen
Funktionsbereich üblicherweise
ein Schlüssel
zugeordnet, wobei ein Zugriff, beispielsweise schreibend und/oder
lesend, auf den Funktionsbereich erst dann freigegeben wird, wenn
die Schreib-/Leseeinheit
den dem entsprechenden Funktionsbereich zugeordneten Schlüssel an
die Chipkarte übertragen
hat. Im Rahmen einer Bezahl-Anwendung
in einer Betriebskantine wird folglich in einer Schreib-/Leseeinheit einer Aufladestation
sowie in einer Schreib-/Leseeinheit einer Kasse ein der Bezahl-Anwendung
zugeordneter Schlüssel
hinterlegt bzw. abgespeichert. In den der Bezahl-Anwendung der Chipkarte
zugeordneten Funktions- bzw. Speicherbereich wird ebenfalls der Schlüssel der
Bezahl-Anwendung gespeichert, um die Chipkarte für die Bezahl-Anwendung freizugeben.
Eine Teilnahme an der Bezahl-Anwendung ist folglich lediglich mit
solchen Chipkarten möglich,
deren jeweilige Bezahl-Anwendungs-Funktionsbereiche
den in den Schreib-/Leseinheiten hinterlegten Schlüssel aufweisen.
Da
den Funktionsbereichen einer jeweiligen Chipkarte funktionsbereichsspezifische
Schlüssel zuordenbar
sind, ist es beispielsweise möglich,
alle an Mitarbeiter eines Unternehmens ausgegebene Karten für eine Bezahl-Anwendung
in einer Betriebskantine, jedoch nur bestimmte Karten für den Zutritt in
sicherheitsrelevante Bereiche des Unternehmens freizugeben.
Ein
Schlüsselwechsel
bzw. ein Ersetzen des momentanen Schlüssels eines Funktionsbereichs
einer Chipkarte durch einen aktualisierten Schlüssel ist in der Regel nicht
problemlos möglich.
Ein Schlüsselwechsel
kann beispielsweise dann sinnvoll oder sogar notwendig werden, wenn
der Verdacht besteht, dass der Schlüssel von unbefugten Personen
entschlüsselt
wurde oder wenn Karten von unbefugten Personen entwendet wurden.
Erschwert wird die Situation dadurch, dass die Schreib-/Leseeinheiten
des Chipkartensystems in der Regel nicht vernetzt sind oder, falls
sie vernetzt sind, temporär
im so genannten Offline-Modus
betrieben werden, wenn das Netzwerk beispielsweise ausfällt. Eine
einfache Verteilung neuer Schlüssel über ein
Netzwerk ist daher häufig
nicht möglich
oder aufgrund der Gefahr eines Abhörens und der damit verbundenen
Risiken zu gefährlich.
Eine
Möglichkeit
des Schlüsselwechsels
besteht darin, alle sich im Umlauf befindlichen Chipkarten einzusammeln
und diese dann beim Chipkartenlieferanten mit einer speziell hierfür vorgesehenen Schreib-/Leseeinheit mit
dem neuen Schlüssel
zu versehen.
Eine
weitere Möglichkeit
besteht darin, im Örtlichen
Verwendungsbereich der Chipkarten, beispielsweise in der Betriebskantine,
eine speziell für diesen
Zweck eingerichtete, so genannte Umkodierstation aufzustellen, wobei
alle Chipkartennutzer ihre Chipkarte an der Umkodierstation mit
einem neuen Schlüssel
versehen lassen müssen.
Die Umkodierstation ist nicht für
die normale Anwendung des Chipkartensystems, beispielsweise eine
Kassen-Anwendung, geeignet.
Ein
Schlüsselwechsel
mit den genannten Verfahren ist jedoch aufwendig und führt in der
Regel zu Störungen
des Betriebsablaufs, da von den üblichen
Abläufen
der Chipkartennutzung abgewichen wird.
Der
Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Betrieb
eines Chipkartensystems, eine Chipkarte und ein Chipkartensystem
zur Verfügung
zu stellen, mit denen ein Schlüsselwechsel
vergleichsweise einfach durchführbar
ist.
Die
Erfindung löst
diese Aufgabe durch ein Verfahren zum Betrieb eines Chipkartensystems
mit den Merkmalen des Anspruchs 1, eine Chipkarte mit den Merkmalen
des Anspruchs 11 oder 17 und ein Chipkartensystem mit den Merkmalen
des Anspruchs 19.
Bevorzugte
Ausgestaltungen sind Gegenstand der Unteransprüche.
Bei
dem Verfahren zum Betrieb eines Chipkartensystems umfasst das Chipkartensystem
mindestens eine Chipkarte, auf der mindestens ein Funktionsbereich
vorgesehen ist, dem ein Schlüssel
zugeordnet ist, wobei ein Zugriff auf den Funktionsbereich durch
den Schlüssel
freigegeben wird, und mindestens eine Schreib-/Leseeinheit zum Zugriff
auf den Funktionsbereich. Erfindungsgemäß wird ein Aktualisierungsschlüssel in
die mindestens eine Schreib-/Leseeinheit übertragen und ein momentaner
Schlüssel
einer Chipkarte durch den Aktualisierungsschlüssel ersetzt, wenn die Chipkarte
in einen Ansprechbereich der Schreib-/Leseeinheit kommt und der momentane
Schlüssel
nicht mit dem Aktualisierungsschlüssel übereinstimmt.
Die
mindestens eine Schreib-/Leseeinheit ist hierbei keine gesonderte
Umkodier- bzw. Umschlüsselstation,
die ausschließlich
Umschlüsselfunktionen jedoch
keine herkömmlichen
Anwendungsfunktionen, beispielsweise Auflade- oder Bezahlfunktionen ausführt, sondern
eine auch im normalen Betrieb des Chipkartensystems verwendbare
Schreib-/Leseeinheit,
der mindestens eine Anwendungsfunktion zugeordnet ist. Die Schreib-/Leseeinheit
kann beispielsweise Teil eines Kassensystems und/oder einer Zugangskontrollstation
sein oder in einen Aufwerte- oder einen Vertriebsautomaten integriert
sein.
Da
der Schlüsselwechsel
einer Chipkarte automatisch stattfindet, sobald eine Chipkarte in
den Ansprechbereich einer Schreib-/Leseeinheit gelangt, die über einen
Aktualisierungsschlüssel
verfügt,
ist der Schlüsselwechsel
im normalen Betriebsablauf des Chipkartensystems möglich, ohne
dass hierfür der
Betrieb unterbrochen werden muss oder dass speziell hierfür vorgesehene
Umprogrammierstationen vorzusehen sind. Für die Chipkartennutzer erfolgt
der Schlüsselwechsel
daher unbemerkt. Auf diese Weise ist ein Schlüsselwechsel, beispielsweise periodisch
oder aperiodisch in vergleichsweise kurzen Zyklen möglich, ohne
dass dadurch zusätzlicher Aufwand
beim Betrieb des Chipkartensystems entsteht. Dadurch lässt sich
die Sicherheit des Chipkartensystems gegen unbefugte oder missbräuchliche Benutzung
deutlich erhöhen.
In
einer Weiterbildung des Verfahrens wird der Aktualisierungsschlüssel durch
eine Chipkarte in die Schreib-/Leseeinheit übertragen. Da die Datenübertragung
zwischen der Chipkarte und der Schreib-/Leseeinheit im Vergleich
zu einer Datenübertragung über herkömmliche
Schnittstellen, beispielsweise seriell, USB etc., nur schwer abzuhören ist,
ist dieser Weg des Aktualisierungsschlüsseltransports sehr sicher.
Bei der zur Schlüsselaktualisierung verwendeten
Chipkarte kann es sich um eine speziell hierfür vorgesehene Chipkarte handeln,
die eindeutig gekennzeichnet ist, beispielsweise durch einen vorgebbaren
Code in einem Speicherbereich und/oder Funktionsbereich der Chipkarte.
Es kann jedoch auch eine "herkömmliche
Chipkarte" verwendet
werden, die weitere aktive Anwendungsbereiche trägt.
In
einer Weiterbildung des Verfahrens werden in einer jeweiligen Chipkarte
ein Funktionsbereich in Form eines Anwendungsbereichs und ein weiterer
Funktionsbereich in Form eines Transportbereichs vorgesehen, wobei
dem Anwendungsbereich ein Anwendungsbereichsschlüssel und dem Transportbereich
ein Transportbereichsschlüssel
zugeordnet werden und ein Aktualisierungsschlüssel für den Anwendungsbereich im
Transportbereich gespeichert wird. Auf diese Weise kann mit Hilfe
des Transportbereichs der Chipkarte ein Transport des Aktualisierungsschlüssels für den Anwendungsbereich
mit Hilfe einer herkömmlichen
Chipkarte erfolgen. Dies macht grundsätzlich eine automatische Aktualisierungsschlüsselverbreitung
zu allen Schreib-/Leseeinheit eines Chipkartensystems mit Hilfe
der tragbaren Chipkarte möglich.
In der Schreib/Leseeinheit werden hierbei sowohl der Anwendungsbereichsschlüssel als
auch der Transportbereichsschlüssel
der Chipkarte gespeichert.
In
einer Weiterbildung des Verfahrens wird im Transportbereich einer
jeweiligen Chipkarte eine Chipkartenschlüsselhistorie von Anwendungsbereichsschlüsseln gespeichert,
die während
eines Betriebszeitraums der Chipkarte nacheinander durch die Chipkarte
verwendet werden, und in einer jeweiligen Schreib-/Leseeinheit wird
eine Schreib-/Leseeinheits-Schlüsselhistorie
von Anwendungsbereichsschlüsseln
gespeichert, die während
eines Betriebszeitraums der Schreib-/Leseeinheit nacheinander von
der Schreib-/Leseeinheit verwendet werden.
Dies
bedeutet, dass bei einem Schlüsselwechsel
der alte Schlüssel
in die Schlüsselhistorie mit
aufgenommen wird, wodurch alle bislang durch die Chipkarte bzw.
die Schreib-/Leseeinheit verwendeten Schlüssel oder die in einem vorgebbaren
zurückliegenden
Zeitintervall verwendeten Schlüssel
in den Einheiten abgelegt werden. Im Bedarfsfall kann, beispielsweise
durch ein zugehöriges
Kommando oder beim Ablauf einer vorbestimmbaren Zeitdauer die Schlüsselhistorie
ganz oder teilweise gelöscht werden,
falls Speicherplatzprobleme aufgrund der großen Anzahl von gespeicherten
Schlüsseln
auftreten. Die jeweiligen Schlüssel
der Schlüsselhistorien werden
bevorzugt chronologisch, d.h. in der zeitlichen Reihenfolge ihrer
Verwendung sortiert bzw. gespeichert. Insgesamt ermöglicht dies
einen störungsfreien
Betrieb des Chipkartensystems auch dann, wenn nicht alle Chipkarten
und/oder alle Schreib-/Leseeinheiten
gleichzeitig aktualisiert werden, da aufgrund der jeweiligen Historien
ein automatischer Abgleich der Schlüsselstände zwischen Chipkarte und Schreib-/Leseeinheit
erfolgen kann.
In
einer Weiterbildung des Verfahrens wird bei einem Zugriff durch
eine Schreib-/Leseeinheit auf eine Chipkarte durch die Schreib-/Leseeinheit überprüft, ob der
momentane Anwendungsbereichsschlüssel
einen Zugriff auf den Anwendungsbereich der Chipkarte ermöglicht.
Wenn ein Zugriff nicht möglich
ist, zieht die Schreib-/Leseeinheit nacheinander Anwendungsbereichsschlüssel der
Schreib-/Leseeinheits-Schlüsselhistorie
zum Zugriff auf den Anwendungsbereich der Chipkarte heran. Dies
berücksichtigt
Fallkonstellationen, bei denen nicht alle Chipkarten und alle Schreib-/Lesegeräte gleichzeitig
aktualisiert werden. Es kann dann der Fall eintreten, dass beispielsweise
der Anwendungsbereichsschlüssel des
Schreib-/Lesegeräts
bereits aktualisiert wurde und der der Chipkarte noch nicht.
Wenn
ein Schlüssel
der Schreib-/Leseeinheits-Schlüsselhistorie
einen Zugriff auf die Chipkarte ermöglicht, ersetzt die Schreib-/Leseeinheit
die Chipkartenschlüsselhistorie
im Transportbereich der Chipkarte durch ihre eigene Schreib-/Leseeinheits-Schlüsselhistorie
und/oder der momentane Anwendungsbereichsschlüssel der Chipkarte wird durch
den momentanen Anwendungsbereichsschlüssel der Schreib-/Leseeinheit ersetzt
und damit aktualisiert. Wenn ein Zugriff auf die Chipkarte über einen älteren Schlüssel der
Schreib-/Leseeinheits-Schlüsselhistorie
möglich
ist, bedeutet dies, dass die Schreib-/Leseeinheit einen aktuelleren Schlüsselstand
als die Chipkarte aufweist. Es stellt sich dann die Aufgabe, die
Chipkarte zu aktualisieren, d.h. ihren Anwendungsbereichsschlüssel und ihre
Chipkartenschlüsselhistorie
zu aktualisieren.
Wenn
jedoch ein Schlüssel
der Schreib-/Leseeinheits-Schlüsselhistorie
einen Zugriff auf die Chipkarte nicht ermöglicht, bedeutet dies unter
Umständen,
dass die Chipkarte einen aktuelleren Schlüsselstand als die Schreib-/Leseeinheit
aufweist. Daher ist zunächst
zu überprüfen, ob
anhand des in der Schreib-/Leseeinheit gespeicherten Transportschlüssels ein
Zugriff auf den Transportbereich der Chipkarte möglich ist. Ist dies nicht der
Fall, kann auf eine ungültige
Karte geschlossen werden und ein Zugriff wird verweigert. Ist jedoch
ein Zugriff möglich, vergleicht
die Schreib-/Leseeinheit die Chipkartenschlüsselhistorie im Transportbereich
der Chipkarte mit ihrer Schreib-/Leseeinheits-Schlüsselhistorie. Wenn
mindestens ein übereinstimmender
Schlüssel vorhanden
ist, bedeutet dies, dass die Chipkarte einen aktuelleren Schlüsselstand
als die Schreib-/Leseeinheit aufweist. Die Schreib-/Leseeinheit
sollte daher mit den Daten der Chipkarte aktualisiert werden. Hierzu
ersetzt die Schreib-/Leseeinheit
ihre Schreib-/Leseeinheits-Schlüsselhistorie
durch die Chipkartenschlüsselhistorie
im Transportbereich der Chipkarte und/oder ihren momentanen Anwendungsbereichsschlüssel durch
den aktuellsten Anwendungsbereichsschlüssel der Chipkartenschlüsselhistorie.
Wenn kein übereinstimmender
Schlüssel
vorhanden ist, kann auf eine ungültige
Karte oder einen Fehler geschlossen werden und ein Zugriff wird
verweigert.
In
einer Weiterbildung des Verfahrens greift die Schreib-/Leseeinheit
drahtlos, berührungslos und/oder
kontaktlos auf die Chipkarte zu.
In
einer Weiterbildung des Verfahrens ist mindestens einer der Anwendungsbereiche
einer Kassen-Anwendung zugeordnet, wobei in den Anwendungsbereich
Geldbeträge
durch einen Benutzer aufladbar und bei einem Bezahlvorgang abbuchbar sind.
Automatisierbare, erfindungsgemäße Schlüsselwechsel
sind insbesondere bei hochsicherheitsrelevanten Bezahlsystemen bzw.
Kassen-Anwendungen von Vorteil.
In
einer Weiterbildung des Verfahrens weist der Transportbereichsschlüssel eine
größere Schlüssellänge als
der Anwendungsbereichsschlüssel
auf und/oder das Verschlüsselungsverfahren
zum Zugriff auf den Transportbereich implementiert eine stärkere bzw.
sicherere Verschlüsselung
als das Verschlüsselungsverfahren
zum Zugriff auf den Anwendungsbereich. Da ein Schlüsselwechsel,
der einen Zugriff auf den Transportbereich über den Transportbereichsschlüssel erfordert,
nicht bei jedem Zugriff auf die Chipkarte, sondern vergleichsweise
selten stattfindet, kann für
den Transportbereichsschlüssel
eine größere Schlüssellänge und/oder
ein stärkeres
bzw. komplexeres Verschlüsselungsverfahren
vereinbart werden. Die daraus resultierende erhöhte Entschlüsselungsdauer ist aufgrund
der niedrigen Zugriffshäufigkeit
unerheblich. Ein Angriff auf den Transportbereich wird somit deutlich
erschwert.
Die
erfindungsgemäße Chipkarte
umfasst mindestens einen Anwendungsbereich, dem ein Anwendungsbereichsschlüssel zugeordnet
ist, der einen Zugriff auf den Anwendungsbereich freigibt, wobei
der Anwendungsbereichsschlüssel
veränderbar ist,
und mindestens einen Transportbereich, dem ein Transportbereichsschlüssel zugeordnet
ist, der einen Zugriff auf den Transportbereich freigibt, wobei
im Transportbereich eine Chipkartenschlüsselhistorie von Anwendungsbereichsschlüsseln gespeichert
ist, die während
eines Betriebszeitraums der Chipkarte nacheinander von der Chipkarte
verwendet werden.
In
einer Weiterbildung der Chipkarte sind in dem Transportbereich Zusatzinformationen
gespeichert, die bei einer Aktualisierung des Anwendungsbereichsschlüssels auswertbar
sind. Dies erleichtert einen Schlüsselwechsel bzw. eine Schlüsselaktualisierung.
Bevorzugt umfassen die Zusatzinformationen Zeitstempel, die zugehörigen Anwendungsbereichsschlüsseln der
Chipkartenschlüsselhistorie
zugeordnet sind und die anzeigen, wann der zugehörige Anwendungsbereichsschlüssel erstmalig
durch die Chipkarte verwendet wird. Auf diese Weise kann beispielsweise
eine Suche in der Chipkartenschlüsselhistorie
vereinfacht werden, da unter Berücksichtigung
des Zeitstempels als weiteres Suchkriterium nicht notwendigerweise
alle Schlüssel
der Chipkartenschlüsselhistorie
durchsucht werden müssen.
In
einer Weiterbildung der Chipkarte ist eine Sende-/Empfangseinrichtung zur drahtlosen und/oder
kontaktlosen Datenübertragung
mit einer Schreib-/Leseeinheit vorgesehen.
In
einer Weiterbildung der Chipkarte umfasst diese einen integrierten
Schaltkreis zur Realisierung der Chipkartenfunktion, der auf einem
Schaltkreisträgermedium,
insbesondere auf einer Karte, in einer Münze, in einem Schlüsselkopf,
auf einem Ausweisdokument, beispielsweise auf einem Personalausweis,
oder auf einem selbstklebenden Etikett angeordnet ist. Hinsichtlich
der möglichen
Kartenformate sei auf die einschlägigen Normen verwiesen.
In
einer Weiterbildung der Chipkarte ist die Chipkarte vom Typ mifare®-DESFire.
Ein
weitere Ausführungsform
einer erfindungsgemäßen Chipkarte
umfasst mindestens einen Anwendungsbereich, dem ein Anwendungsbereichsschlüssel zugeordnet
ist, der einen Zugriff auf den Anwendungsbereich freigibt, und mindestens
einen Transportbereich, dem ein Transportbereichsschlüssel zugeordnet
ist, der einen Zugriff auf den Transportbereich freigibt, und in
dem Informationen gespeichert sind, die von einer Schreib-/Leseeinheit auslesbar
sind und die zur Steuerung der Schreib-/Leseeinheit und/oder einer
mit der Schreib-/Leseeinheit gekoppelten Anwendungsausführungseinheit
dienen. Die Anwendungsausführungseinheit
kann beispielsweise ein Steuerrechner eines Getränkeautomatens sein, in den
die Schreib-/Leseeinheit integriert ist, wobei eine Kommunikation
zwischen der Chipkarte und dem Steuerrechner über die Schreib-/Leseeinheit
erfolgt.
In
einer Weiterbildung der Chipkarte dienen die Informationen zur systemweiten,
einheitlichen Einstellung von betriebsrelevanten Daten eines Chipkartensystems,
dem die Chipkarte zugeordnet ist. Dies kann beispielsweise eine
zentrale Preisveränderung
eines bestimmten Artikels sein, der in einem Vertriebsautomaten
bevorratet ist und mit Hilfe der Chipkarte bezahlt wird.
Das
erfindungsgemäße Chipkartensystem umfasst
mindestens eine Chipkarte und mindestens eine Schreib-/Lese-Einheit
zum Zugriff auf die Chipkarte, wobei die Chipkarte als eine erfindungsgemäße, oben
beschriebene Chipkarte ausgeführt
ist.
Verschiedene
Ausführungsformen
der Erfindung werden nachfolgend unter Bezugnahme auf die Zeichnungen
beschrieben. Hierbei zeigen schematisch:
1 ein
Blockschaltbild eines exemplarischen Chipkartensystems mit einem
Anwendungsrechner, einer Schreib-/Leseeinheit und einer Chipkarte,
2 ein
Schaubild einer Struktur eines Speichers der in 1 gezeigten
Chipkarte und
3 ein
Schaubild zur Verdeutlichung einer automatisierten Schlüsseländerung
in einem Chipkartensystem mit mehreren Schreib-/Leseeinheiten und mehreren Chipkarten.
1 zeigt
ein Blockschaltbild eines exemplarischen Chipkartensystems mit einem
Anwendungsrechner 1, einer Schreib-/Leseeinheit 2 und
einer Chipkarte 3. Obwohl nur eine Schreib-/Leseeinheit 2 und
eine Chipkarte 3 gezeigt sind, kann das Systems jeweils
mehrere Schreib-/Leseeinheit 2 bzw. Chipkarten 3 umfassen.
Die
Chipkarte 3 ist eine kontaktlose Chipkarte vom Typ mifare®-DESFire. Die Karte 3 kann
hinsichtlich ihrer körperlichen
Ausgestaltung außer
einer Kartenform beliebige andere Formen aufweisen, beispielsweise
als Chipmünze,
Schlüsselknopf,
Aufklebeetikett, Personalausweis mit Chipkarten-Elektronik etc.
ausgeführt
sein. Hinsichtlich der detaillierten Chipfunktionen sei auch auf
die Dokumentation des Chip-Herstellers verwiesen.
Die
Schreib-/Leseeinheit 2 umfasst eine Schnittstelle 4,
einen nichtflüchtigen
Schlüsselspeicher 5,
einen Mikroprozessor 6, einen nichtflüchtigen Speicher 7 mit
Programmcode zur Ausführung
durch den Mikroprozessor 6, einen Multiprotokoll-Schreib-Lesebaustein 8 und
einen Übertrager 9.
Zur
Kommunikation der Schreib-/Leseeinheit 2 mit der Chipkarte 3 dient
der Multiprotokoll-Schreib-Lesebaustein 8 in Verbindung
mit dem Übertrager 9.
In dem Multiprotokoll-Schreib-Lesebaustein 8 sind die so
genannten Low-Level-Funktionen zur Kommunikation mit der Chipkarte 3 hinterlegt.
Der Übertrager 9 ist
als Antenne ausgebildet, die beispielsweise in Form einer gedruckten
Schaltung bzw. einer Platine oder in drahtgewickelter Form realisiert
sein kann.
Der
Schlüsselspeicher 5 dient
zum Speichern eines momentanen bzw. aktuellen Anwendungsbereichsschlüssels eines
jeweiligen Anwendungsbereichs der im Chipkartensystem verwendeten
Chipkarten 3 und einer Schreib-/Leseeinheits-Schlüsselhistorie
von Anwendungsbereichsschlüsseln,
die während
eines Betriebszeitraums der Schreib-/Leseeinheit 2 nacheinander
durch diese verwendet werden, wobei die Schreib-/Leseeinheits-Schlüsselhistorie
chronologisch sortiert ist. Die jeweiligen Schlüssel sind verschlüsselt im
Schlüsselspeicher 5 gespeichert,
um ein unbefugtes Auslesen zu verhindern.
Die
Schreib-/Leseeinheit 2 kommuniziert über die Schnittstelle 4 mit
dem Anwendungsrechner 1. Die Schnittstelle 4 kann
beispielsweise als serielle Schnittstelle oder als USB-Schnittstelle
ausgeführt sein.
Der
Anwendungsrechner 1 ist ein herkömmlicher Computer, beispielsweise
ein Industrie-PC oder ein Handheld, auf dem eine Kassenanwendung abläuft. Anstatt
der Kassenanwendung sind beispielsweise auch so genannte Betriebsleiter-Anwendungen
und Aufwerte- und Automaten-Anwendungen im Umfeld von Verpflegungsautomaten,
beispielsweise in Sport- und Freizeiteinrichtungen, denkbar. Im
gezeigten Ausführungsbeispiel
greift der Anwendungsrechner 1 bzw. seine Kassenanwendung
auf die Chipkarten 3 über
die Schreib-/Leseeinheit 2 zu. Chipkartenspezifische Funktionen,
beispielsweise die Art der Zugriffssteuerung über die Schlüssel, die
Schlüsselverwaltung,
die Kartentyperkennung etc., werden von der Schreib-/Leseeinheit 2 übernommen,
so dass in der Kassenanwendung lediglich elementare Kartenoperationen,
beispielsweise das Abbuchen eines bestimmten Geldbetrags von der
Chipkarte 3, an die Schreib-/Leseeinheit übertragen
werden. Auf diese Weise kann die Kassenanwendung beispielsweise
unabhängig
von einem Kartentyp oder den verwendeten Schlüsseln implementiert werden,
da dieses Spezialwissen in der Schreib- /Leseeinheit 2 gekapselt ist
und die Kassenanwendung lediglich eine normierte Schnittstelle bedient.
Selbstverständlich
kann die spezifische Anwendung, hier die Kassenanwendung, auch in
die Schreib-/Leseeinheit 2 integriert
werden. In diesem Fall kann der Anwendungsrechner 1 entfallen.
2 zeigt
ein Schaubild einer Struktur eines Speichers 10 der in 1 gezeigten
Chipkarte 3. Der Speicher 10 ist als linearer
Speicher aufgebaut und umfasst einen Funktionsbereich in Form eines Anwendungsbereichs
bzw. Anwendungssegments 11 und einen weiterer Funktionsbereich
in Form eines Transportbereichs bzw. Transportsegments 12. Dem
Anwendungsbereich 11 ist ein Anwendungsbereichsschlüssel 13 und
dem Transportbereich 12 ein Transportbereichsschlüssel 14 zugeordnet,
die einen Zugriff auf die entsprechenden Segmente 11 bzw. 12 ermöglichen,
wenn sie von der Schreib-/Leseeinheit 2 an die Chipkarte 3 übertragen
werden. Die Chipkarte 3 kann weitere, nicht gezeigte Bereiche
bzw. Segmente oder Sektoren umfassen, die jeweils identische Längen bzw.
Größen aufweisen
können.
Die Bereichsgrößen können jedoch
auch dynamisch, je nach erforderlichem Speicherbedarf festgelegt
werden.
In
dem Transportbereich 12 ist eine Chipkartenschlüsselhistorie 15 von
Anwendungsbereichsschlüsseln 13a, 13b und 13c gespeichert,
die während
eines Betriebszeitraums der Chipkarte 3 nacheinander durch
diese verwendet wurden.
Der
Transportbereich 12 enthält weiterhin Zusatzinformationen 16.
Mit Hilfe der Zusatzinformationen 16 können beispielsweise zusätzliche
Funktionen, Befehle und/oder Informationen an die Schreib-/Leseeinheit 2 bzw.
an den Anwendungsrechner 1 übertragen werden. Wenn die
Chipkarte 3 im Kontext einer Automatenanwendung verwendet wird,
können
die Zusatzinformationen 16 beispielsweise Informationen und/oder
Befehle für
Sonderpreise für
einen bestimmten Zeitraum für
die jeweiligen Automaten der Automatenanwendung umfassen, die dann
von der Chipkarte 3 über
die Schreib-/Leseeinheit 2 an den Anwendungsrechner 1 des
jeweiligen Automaten übertragen
bzw. verteilt werden.
Beispielsweise
kann in der Weihnachtszeit den jeweiligen Automaten mit Hilfe der
Zusatzinformationen 16 mitgeteilt werden, dass ein Verkaufspreis
für Glühwein zu
reduzieren ist. Die Zusatzinformationen 16 können hierzu
beispielsweise beinhalten, welcher Artikel, hier Glühwein, welcher
Zeitraum, hier vom 1.12. bis 31.12 des entsprechenden Jahres, welcher
Preis und welche Personengruppe betroffen sind, wobei beispielsweise
Auszubildende von dem Angebot ausgeschlossen werden können.
3 zeigt
ein Schaubild zur Verdeutlichung einer automatisierten Schlüsseländerung
des in 1 gezeigten Chipkartensystems mit mehreren Schreib-/Leseeinheiten 2a, 2b und 2c,
mehreren Chipkarten 3a, 3b, 3c und 3n und
einer Sonderchipkarte 3'.
Die
Chipkarten 3a, 3b, 3c und 3n weisen
den in 2 gezeigten inneren Aufbau auf. Im jeweiligen Speicher 5 der
Schreib-/Leseeinheiten 2a, 2b und 2c ist
eine Schreib-/Leseeinheits-Schlüsselhistorie 17 von
Anwendungsbereichsschlüsseln 17a, 17b und 17c gespeichert,
die während
eines Betriebszeitraums der Schreib-/Leseeinheiten 2a, 2b und 2c nacheinander
durch diese verwendet werden. Der aktuelle bzw. momentane Anwendungsbereichsschlüssel ist
der Schlüssel 17a der
Schreib-/Leseeinheits-Schlüsselhistorie 17.
Weiterhin ist in einem jeweiligen Speicher 5 ein Transportbereichsschlüssel 18 enthalten.
Der Transportbereichsschlüssel 18 weist
eine im Vergleich zu einer Schlüssellänge der Anwendungsbereichsschlüssel 17a, 17b und 17c einen
3-fache Schlüssellänge auf.
Bei
einer ersten Variante zur Aktualisierung der Anwendungsbereichsschlüssel wird
die Sonderchipkarte 3' verwendet.
Ihr Speicher umfasst ebenfalls einen Anwendungsbereich 11 und
einen Transportbereich 12. Im Anwendungsbereich 11 ist
jedoch eine spezielle Kennung enthalten, die zur Unterscheidung
der Sonderchipkarte 3' von
einer herkömmlichen
Chipkarte 3 dient.
Zur
Schlüsselaktualisierung
wird zunächst
in der Sonderchipkarte 3' der
Aktualisierungsschlüssel, d.h.
der neue Anwendungsbereichsschlüssel,
gespeichert. Wenn die Sonderchipkarte 3' in einen Ansprechbereich der Schreib-/Leseeinheiten 2a, 2b und 2c gelangt,
erkennen diese anhand der speziellen Kennung, dass ein Schlüsselwechsel
stattfinden soll, lesen den Aktualisierungsschlüssel aus der Sonderchipkarte 3' aus und übernehmen
diesen in ihre Schreib-/Leseeinheits-Schlüsselhistorie 17 als
aktuellen Anwendungsbereichsschlüssel 17a.
Diese Vorgang wird für
jede der Schreib-/Leseeinheiten 2a, 2b und 2c wiederholt.
Gelangt
nun eine normale Chipkarte 3a, 3b, 3c und 3n in
einen Ansprechbereich der Schreib-/Leseeinheiten 2a, 2b und 2c wird
zunächst überprüft, ob der
momentane Anwendungsbereichsschlüssel 13 der
Chipkarte 3a, 3b, 3c und 3n mit
dem aktualisierten Anwendungsbereichsschlüssel 17a übereinstimmt.
Wenn dies nicht der Fall ist, d.h. die Chipkarte 3a, 3b, 3c,
und 3n wurde noch nicht aktualisiert, ersetzt die Schreib-/Leseeinheit 2 den
momentanen Anwendungsbereichsschlüssel 13 der Chipkarte 3a, 3b, 3c und 3n durch
ihren aktuellen Anwendungsbereichsschlüssel 17a, wobei dieser
ebenfalls in die Chipkartenschlüsselhistorie 15 im
Transportbereich 12 eingetragen wird.
Bei
der ersten Variante erfolgt eine Schlüsselaktualisierung durch die
Sonderchipkarte 3' zunächst an
allen Schreib-/Leseeinheiten 2a, 2b und 2c.
Wenn diese aktualisiert sind, erfolgt der Schlüsselwechsel in den Chipkarten 3a, 3b, 3c und 3n automatisch,
sobald diese mit einer Schreib-/Leseeinheiten 2a, 2b und 2c in
Kontakt kommen.
Bei
einer zweiten Variante zur Aktualisierung der Anwendungsbereichsschlüssel wird
die herkömmliche
Chipkarte 3a verwendet. Hierzu wird diese zunächst mit
einem neuen Anwendungsbereichsschlüssel 13 versehen,
wobei der neue Anwendungsbereichsschlüssel 13 ebenfalls
in die Chipkartenschlüsselhistorie 15 im
Transportbereich 12 als aktuellster Anwendungsbereichsschlüssel 13a übernommen
wird.
Gelangt
die Chipkarte 3a in den Ansprechbereich der Schreib-/Leseeinheit 2a,
versucht diese zunächst,
ob ihr momentaner Anwendungsbereichsschlüssel 17a im Speicher 5 einen
Zugriff auf den Anwendungsbereich 11 der Chipkarte 3a ermöglicht.
Da aufgrund des nicht aktuellen Anwendungsbereichsschlüssels 17a ein
Zugriff nicht möglich
ist, zieht die Schreib-/Leseeinheit 2a nacheinander die
Anwendungsbereichsschlüssel 17b und 17c ihrer Schreib-/Leseeinheits-Schlüsselhistorie 17 zum
Zugriff auf den Anwendungsbereich 11 der Chipkarte 3a heran.
Da
kein Schlüssel
der Schreib-/Leseeinheits-Schlüsselhistorie 17 einen
Zugriff auf die Chipkarte 3a ermöglicht, besteht die Möglichkeit,
dass die Schreib-/Leseeinheit 2a keinen aktuellen Anwendungsbereichsschlüssel 17a aufweist.
Die Schreib-/Leseeinheit 2a überträgt nun ihren Transportbereichsschlüssel 18 an
die Chipkarte 3a, um den Transportbereich 12 aufzuschließen, und
vergleicht, falls ein Aufschließen
möglich
ist, anschließend
die Chipkartenschlüsselhistorie 15 im
Transportbereich 12 der Chipkarte 3a mit ihrer
Schreib-/Leseeinheits-Schlüsselhistorie 17.
Wenn mindestens ein übereinstimmender
Schlüssel
vorhanden ist, ersetzt die Schreib-/Leseeinheit 2a ihre
Schreib-/Leseeinheits-Schlüsselhistorie 17 durch
die Chipkartenschlüsselhistorie 15 im
Transportbereich 12 der Chipkarte 3a, wodurch
ihr momentaner Anwen dungsbereichsschlüssel 17a automatisch
durch den aktuellsten Anwendungsbereichsschlüssel 13a der Chipkartenschlüsselhistorie 15 ersetzt
wird.
Die
Schreib-/Leseeinheit 2a ist somit aktualisiert. Gelangt
nun eine noch nicht aktualisierte Chipkarte 2b in ihren
Ansprechbereich, versucht die Schreib-/Leseeinheit 2a wiederum
zunächst,
ob ihr momentaner Anwendungsbereichsschlüssel 17a im Speicher 5 einen
Zugriff auf den Anwendungsbereich 11 der Chipkarte 3b ermöglicht.
Da aufgrund des nicht aktuellen Anwendungsbereichsschlüssels 13 der
Chipkarte 3b ein Zugriff nicht möglich ist, zieht die Schreib-/Leseeinheit 2a nacheinander
die Anwendungsbereichsschlüssel
ihrer Schreib-/Leseeinheits-Schlüsselhistorie 17 zum
Zugriff auf den Anwendungsbereich 11 der Chipkarte 3b heran.
Da
der Schlüssel 17b der
Schreib-/Leseeinheits-Schlüsselhistorie 17 bereits
einen Zugriff auf die Chipkarte 3b ermöglicht, da der Schlüssel 17b der
Schreib-/Leseeinheit 2a und der Anwendungsbereichsschlüssel 13 der
Chipkarte 3b übereinstimmen, erkennt
die Schreib-/Leseeinheit 2a, dass die Chipkarte 3b aktualisiert
werden muss. Hierzu ersetzt die Schreib-/Leseeinheit 2a die
Chipkartenschlüsselhistorie 15 im
Transportbereich 12 der Chipkarte 3b durch ihre
Schreib-/Leseeinheits-Schlüsselhistorie 17 und
den momentanen Anwendungsbereichsschlüssel 13 der Chipkarte 3b durch
ihren momentane Anwendungsbereichsschlüssel 17a.
Gelangt
die derart aktualisierte Chipkarte 3b nun in den Ansprechbereich
der noch nicht aktualisierten Schreib-/Leseeinheit 2b,
dient die aktualisierte Chipkarte 3b, wie oben beschrieben,
zur Aktualisierung der Schreib-/Leseeinheit 2b.
Auf
diese Weise verbreitet sich eine durch eine herkömmliche Chipkarte 3a an
einer einzelnen Schreib-/Leseeinheit 2a vorgenommene Schlüsselaktualisierung "infektionsartig" in dem ganzen Chipkartensystem.
Mit
den gezeigten Ausführungsbeispielen
ist ein Schlüsselwechsel
einfach, ohne Störung
der Betriebsabläufe
durchführbar,
wodurch die Betriebssicherheit des Chipkartensystems ohne Zusatzaufwand
deutlich gesteigert werden kann.