DE102010037057A1

DE102010037057A1 - Method for testing system integrity of self-service machine e.g. automated teller machine, involves analyzing digital data by comparing digital data with identity data of self-service machine to make statement about system integrity

Info

Publication number: DE102010037057A1
Application number: DE201010037057
Authority: DE
Inventors: Dr. Krummel Volker; Ronald Petrlic
Original assignee: Wincor Nixdorf International GmbH
Current assignee: Wincor Nixdorf International GmbH
Priority date: 2010-08-18
Filing date: 2010-08-18
Publication date: 2012-02-23

Abstract

The method involves transmitting digital data to make a statement about the system integrity, from self-service machine to a central server. The identity data of self-service machine is transmitted from mobile terminal to central server. The digital data is analyzed by comparing digital data with identity data of self-service machine so as to make the statement about the system integrity. The data regarding the statement about the system integrity is transmitted from central server to mobile terminal so as to display data regarding the statement on mobile device. An independent claim is included for system for testing system integrity of self-service machine.

Description

Die Erfindung betrifft ein Verfahren und ein System zur Prüfung der Systemintegrität eines SB-Automaten mit Hilfe eines mobilen EndgerätesThe invention relates to a method and a system for checking the system integrity of a self-service machine with the aid of a mobile terminal

Gebiet der Erfindung:Field of the invention:

Die Steuerung moderner Geldautomaten oder SB-Automaten (Selbstbedienungsautomaten) erfolgt dem Stand der Technik nach mittels eines handelsüblichen PCs, auf dem ein Standardbetriebssystem z. B. Microsoft Windows XP läuft. Andere Betriebssysteme sind natürlich denkbar wie Linux/Unix oder andere Windows Versionen. Diese Standardkomponenten sind in erster Linie für einen Arbeitsplatz vorgesehen und erfüllen im Wesentlichen nicht die Sicherheitsansprüche im Geldausgabeautomatenumfeld. Insbesondere kann über bekannte Sicherheitslücken Schadsoftware auf den Steuerrechner aufgespielt werden, um unberechtigterweise Kundendaten zu ermitteln. Da laufend neue Sicherheitslücken in derartigen Betriebssystemen aufgedeckt werden, muss die Unversehrtheit der Software auf dem Steuerrechner geprüft werden.The control of modern ATM or self-service machines (self-service machines) is done in the prior art by means of a standard PC on which a standard operating system z. B. Microsoft Windows XP is running. Other operating systems are naturally conceivable like Linux / Unix or other Windows versions. These standard components are primarily intended for a workstation and essentially do not meet the security requirements in the cash dispenser environment. In particular, malicious software can be downloaded to the control computer via known security gaps in order to unjustifiably determine customer data. As new vulnerabilities in such operating systems are constantly being exposed, the integrity of the software must be checked on the control computer.

Hierzu kann dem Stand der Technik nach eine spezialisierte Hardware-Softwarekombination basierend auf dem TPM Chip des Steuerrechners eingesetzt werden. Andere Alternativen sind auch denkbar, wie z. B. Koprozessoren die eine Überprüfung vornehmen, die jedoch im Weiteren nicht diskutiert werden. Mit Hilfe einer spezialisierten Hardware kann sichergestellt werden, dass die Software (1) zur Authentizitätsprüfung selber ein leichtes Angriffsziel wird. Es gibt aber Fälle, in denen die Authentizitätsprüfung zwar fehlschlägt, eine geeignete Reaktion wie z. B. das Stoppen des Geldausgabeautomaten nicht möglich ist bzw. aktiv vom Angreifer verhindert wird. In diesen Fällen ist es wichtig dem Benutzer eine Möglichkeit zu bieten, vor Ort die Authentizität des Automaten zu prüfen, bevor er private Daten wie z. B. seine PIN eingibt. Hierbei kann der Benutzer ein Kunde sein, der den Service des Automaten in Anspruch nehmen möchte. Es kann aber auch ein Techniker sein, der Wartungsarbeiten etc. durchführen möchte.For this purpose, the prior art according to a specialized hardware software combination based on the TPM chip of the control computer can be used. Other alternatives are also conceivable, such. As coprocessors make a review, which are not discussed in the following. With the help of a specialized hardware, it can be ensured that the software (1) for authenticating itself becomes an easy target. However, there are cases in which the authenticity check fails, a suitable response such. B. stopping the cash dispenser is not possible or is actively prevented by the attacker. In these cases, it is important to provide the user with an opportunity to verify the authenticity of the machine on-site before using private data, such as personal information. B. enters his PIN. Here, the user may be a customer who wants to use the service of the machine. But it can also be a technician who wants to perform maintenance etc.

Mit Hilfe der Prüfung der Authentizität können Schäden vom Kunden abgewendet werden, die mit einer einfachen Authentizitätsprüfung auf Server-Basis nicht abgewendet werden können. So hilft diese Prüfung vor Ort die Akzeptanz von Automaten beim Kunden zu verbessern. Ein weiterer Vorteil dieser Lösung ist, dass zusätzlich zur Softwareauthentizität auch weitere Informationen wie z. B. Informationen der Skimming-Erkennung geschützt zum Server übertragen werden können. Eine unbefugte Manipulation bzw. ein unbefugtes Unterdrücken dieser Information führt zur für den Benutzer direkt erkennbaren Markierung des Automaten als nicht vertrauenswürdig.Authenticity testing can help prevent customer damage that can not be averted with a simple server-based authentication. Thus, this on-site inspection helps to improve the acceptance of machines by the customer. Another advantage of this solution is that in addition to the software authenticity and other information such. B. information skimming detection protected to the server can be transferred. An unauthorized manipulation or unauthorized suppression of this information leads to the user directly recognizable mark the machine as untrusted.

Dieser Ansatz kann wie folgt erweitert werden: Dem Stand der Technik nach gibt es bereits Anwendungen für mobile Geräte, die den Kunden zur nächsten Bankfiliale bzw. zum nächsten Geldautomaten lotsen. Dieser Komfort für den Kunden kann weiter verbessert werden, indem die Anwendung direkt die Informationen über die Unversehrtheit eines Automaten auswertet und den Kunden nicht zu einem nicht betriebsbereiten oder nicht vertrauenswürdigen Automaten leitet.This approach can be extended as follows: In the prior art, there are already applications for mobile devices that guide the customer to the nearest bank branch or ATM. This convenience for the customer can be further enhanced by directly evaluating the information on the integrity of a vending machine and not directing the customer to an inoperable or untrusted vending machine.

Überblick über die Erfindung:Overview of the invention:

Aufgabe der Erfindung ist die Bereitstellung von Informationen über die Unversehrtheit eines SB-Automaten, mit Hilfe eines mobilen Endgerätes.The object of the invention is the provision of information about the integrity of a self-service machine, with the aid of a mobile terminal.

Gelöst wird die Aufgabe durch eine Vorrichtung und ein Verfahren mit den Merkmalen der Ansprüche.The object is achieved by a device and a method having the features of the claims.

Die grundsätzliche Idee basiert auf einer Client-Server-Architektur. Hierbei wird die Authentizität der Software auf dem SB-System z. B. mit Hilfe des Trusted Platform Modules (TPM) gemessen. Es sind jedoch auch andere Hardware oder Softwarelösungen denkbar, die die Authentizität der Software prüfen. Diese Authentizitätsinformation wird mit Hilfe eines gesicherten Protokolls (VPN, SSL, etc.) regelmäßig an einen zentralen Server übertragen.The basic idea is based on a client-server architecture. Here, the authenticity of the software on the self-service system z. B. measured using the Trusted Platform Module (TPM). However, other hardware or software solutions are also possible which check the authenticity of the software. This authenticity information is regularly transmitted to a central server using a secure protocol (VPN, SSL, etc.).

Dieser Server prüft die Authentizität bzw. speichert die Informationen über die Authentizität und hält den aktuellen Status in einer Datenbank fest.This server checks the authenticity or stores the information about the authenticity and keeps the current status in a database.

Um die Authentizität des SB-Automaten vor Ort zu prüfen führt die Anwendung des Kunden auf dem mobilen Gerät folgende Dinge durch:

1) Die authentische oder eindeutige Kennung bzw. Identität des SB-Automaten ermitteln.
2) Den aktuellen Status des SB-Automaten authentisch vom Server abholen.

To test the authenticity of the self-service machine on-site, the customer's application on the mobile device performs the following:

1) Determine the authentic or unique identifier or identity of the self-service machine.
2) Authentically pick up the current status of the self-service machine from the server.

Der Benutzer kann dann aufgrund der Rückmeldung des Servers entscheiden, ob er den Automaten benutzen möchte oder nicht.The user can then decide on the basis of the feedback from the server, whether he wants to use the machine or not.

Ein weiterer Bestandteil der vorliegenden Erfindung ist ein System zur Prüfung der Systemintegrität eines SB-Automaten mit Hilfe eines mobilen Endgeräts und eines zentralen Servers.Another component of the present invention is a system for checking the system integrity of a self-service machine with the aid of a mobile terminal and a central server.

Der SB-Automaten umfasst Übermittlungsmittel, wie eine Netzwerkschnittstelle, zur Übermittlung von digitalen Informationen, die eine Aussage über die Systemintegrität treffen, vom SB-Automaten zu dem zentralen Server. Eine Auswerteinheit, wie z. B. ein Prozessor, und eine Speichereinheit wie z. B. eine Festplatte oder ein Flash-Baustein erfassen und speichern die Informationen zusammen mit Identitätsinformationen des SB-Automaten. Ferner stehen Mittel zum Erlangen der Identitätsinformationen des SB-Automaten durch das mobile Endgerät zur Verfügung. Diese Identitätsinformationen können z. B. per Bluetooth oder Infrarot vom SB-Automaten übertragen werden und der entsprechenden Anwendung auf dem mobilen Gerät übergeben werden. Die Anwendung kann z. B. auch ein Browser sein und es wird ein URL mit den entsprechenden ID-Informationen übergeben. Die URL wird dann aufgerufen und führt zur Herstellung einer Verbindung mit dem zentralen Server. Nachdem die Übertragungseinheit die Identitätsinformationen an den zentralen Server übertragen hat, wird eine Abfrageeinheit auf dem Server angesprochen, die die digitalen Informationen des SB-Automaten, die eine Aussage über die Systemintegrität treffen, anhand der Identitätsinformation abfragt. Nach einer erfolgreichen Abfrage werden über eine Übermittlungseinheit, die eine Netzwerkschnittstelle darstellen kann, die Informationen, die eine Aussage über die Systemintegrität erlauben, vom zentralen Server an das mobile Endgerät übermittelt, damit diese auf einer Anzeigeeinheit des mobilen Endgeräts anzeigt werden können. Es ist auch denkbar, dass spezielle Anwendungen auf dem mobilen Endgerät installiert sind, die eine Kommunikation mit den Automaten und dem Server ermöglichen. Diese Anwendungen können z. B. auch GPS-Daten verwenden, um diese an den Server zu übermitteln, der anhand Standort-Informationen eine Lokalisierung bzw. Identifizierung des SB-Automaten ermöglicht.The self-service machine comprises transmission means, such as a network interface, for transmitting digital information, which makes a statement about the system integrity, from the self-service machine to the central server. An evaluation unit, such as. As a processor, and a storage unit such. For example, a hard disk or a flash module capture and store the information along with identity information of the self-service machine. Furthermore, means are available for obtaining the identity information of the self-service machine by the mobile terminal. This identity information can e.g. B. be transferred via Bluetooth or infrared from the self-service machine and transferred to the appropriate application on the mobile device. The application can z. B. also be a browser and it will pass a URL with the appropriate ID information. The URL is then called and results in a connection to the central server. After the transmission unit has transmitted the identity information to the central server, a query unit is addressed on the server, which queries the digital information of the self-service machine, which make a statement about the system integrity, based on the identity information. After a successful query, the information that allows a statement about the system integrity is transmitted from the central server to the mobile terminal via a transmission unit, which can represent a network interface, so that it can be displayed on a display unit of the mobile terminal. It is also conceivable that special applications are installed on the mobile terminal, which allow communication with the machines and the server. These applications can, for. B. also use GPS data to transmit to the server, which allows localization or identification of the self-service machine based on location information.

Zur sicheren Kommunikation der Systeme verschlüsselt eine Verschlüsselungseinheit die Kommunikation zwischen mobilem Endgerät und SB-Automat, zwischen mobilem Endgerät und zentralem Server und/oder zwischen SB-Automat und zentralem Server. Dies kann durch SSL, VPN etc. erfolgen. Ferner können Challenge-Response-Verfahren und/oder Zähler eingesetzt werden, um sicherzustellen, dass die ausgetauschten Daten nicht veraltet sind bzw. mehrfach verwendet werden. Bei jedem Datenaustausch kann z. B. ein synchronisierter Zähler hochgezählt werden, der beim Empfänger überprüft wird.For secure communication of the systems, an encryption unit encrypts the communication between the mobile terminal and the self-service machine, between the mobile terminal and the central server and / or between the self-service machine and the central server. This can be done by SSL, VPN etc. Furthermore, challenge-response methods and / or counters can be used to ensure that the exchanged data is not stale or used multiple times. For each data exchange z. B. a synchronized counter are counted up, which is checked at the receiver.

In einer bevorzugten Ausführungsform übernimmt ein Crypto-Prozessor eine Berechnung von Prüfsummen, die dann lokal oder auf dem Server verglichen bzw. überprüft werden. In einer möglichen Ausführungsform kann der Vergleich lokal erfolgen, wobei die Vergleichsmuster in einem verschlüsselten Speicher abgelegt sind. Die Überprüfung kann regelmäßig in Zeitintervallen, beim Eintritt von Ereignissen erfolgen. Ein Standardbaustein für die Prüfung der Systemintegrität ist ein Trusted Platform Module (TPM).In a preferred embodiment, a crypto-processor takes over a calculation of checksums, which are then compared or checked locally or on the server. In one possible embodiment, the comparison can be made locally, wherein the comparison patterns are stored in an encrypted memory. The check can be made periodically at intervals when events occur. A standard building block for testing system integrity is a Trusted Platform Module (TPM).

Es werden digitale Informationen, die eine Aussage über die Systemintegrität treffen, regelmäßig oder in Abhängigkeit von Ereignissen vom SB-Automaten übertragen werden oder vom zentralen Server angefordert. Hierdurch kann sichergestellt werden, dass bei einem Angriff auch sofort eine Meldung übermittelt wird und ansonsten nur nach regelmäßigen Zeitintervallen.Digital information that provides information about system integrity is transmitted regularly or in response to events from the self-service machine or requested from the central server. In this way it can be ensured that in the event of an attack a message is also transmitted immediately and otherwise only after regular time intervals.

Ferner können noch weitere Informationen übertragen werden, die von Sicherheitseinrichtungen des SB-Automaten stammen. Diese Informationen können digitale Signaturen von Komponenten oder Seriennummern von Bauteilen wie Geldausgabeeinheit, Tastatur, Monitor etc. sein; oder auch Informationen, wie ein Status einer Anti-Skimming-Lösung (siehe dazu auch DE 10 2008 012 231.9 ) und/oder GPS Informationen eines mobilen Automaten.Furthermore, further information can be transmitted that come from safety devices of the self-service machine. This information may be digital signatures of components or serial numbers of components such as cash dispenser, keyboard, monitor, etc .; or information, such as a status of an anti-skimming solution (see also DE 10 2008 012 231.9 ) and / or GPS information of a mobile machine.

In einer weiteren Ausführungsform werden vom mobilen Endgerät oder vom Server ausgehend personalisierte Informationen auf dem SB-Automaten und dem mobilen Endgerät parallel dargestellt, um sicherzustellen, dass die Anzeigeeinheit und die Identität des Gerätes übereinstimmen. So können z. B. in einen Browser oder einem Applet ein Code oder eine Farbe angezeigt werden, die ebenfalls auf dem SB-Automaten angezeigt werden. Somit kann der Benutzer die Identität visuell schnell erfassen.In a further embodiment, personalized information is displayed in parallel on the self-service machine and the mobile terminal by the mobile terminal or by the server in order to ensure that the display unit and the identity of the device match. So z. B. in a browser or an applet a code or color are displayed, which are also displayed on the self-service machine. Thus, the user can quickly grasp the identity visually.

Figuren Beschreibung:Figures Description:

Im Folgenden werden die Figuren des Verfahrens kurz beschrieben:The figures of the method are briefly described below:

1 zeigt das Ablaufschema für die Ermittlung der Automatenkennung; 1 shows the flow chart for the determination of the machine identifier;

2 zeigt das Ablaufschema für die Ermittlung des Automatenstatus. 2 shows the flow chart for the determination of the state machine.

Detaillierte Beschreibung einer AusführungsformDetailed description of an embodiment

Auf dem Steuerrechner wird die Funktionalität zur Prüfung der Authentizität in einer möglichen Ausführungsform der TPMs. aktiviert. Hierzu wird auf dem SB-Automaten die entsprechende Software mit passender Konfiguration installiert. Um eine Manipulation dieses Mechanismus vorzubeugen, werden in einer Ausführungsform die Prüfsummen der Software gebildet. Die eigentliche Authentizitätsprüfung findet auf einem zentralen Server statt. Es ist auch denkbar, diese Überprüfung an dem SB-Automaten durchzuführen, hierfür müssten jedoch die Prüfsummen in einem gesicherten/verschlüsselten Bereich abgelegt werden, mit denen ein Vergleich stattfindet. Der Server kann die Authentizität des Automaten prüfen und das Ergebnis dieser Prüfung in einem Status für diesen Automaten festhalten. Anhand dieses Status können Aussagen über die Systemintegrität getroffen werden. Im Falle einer fehlgeschlagenen Prüfung können evtl. Maßnahmen wie z. B. das Stoppen des Automaten eingeleitet werden.On the control computer is the functionality for checking the authenticity in a possible embodiment of the TPMs. activated. For this purpose, the appropriate software with suitable configuration is installed on the self-service machine. To prevent manipulation of this mechanism, in one embodiment, the checksums of the software are formed. The actual authenticity check takes place on a central server. It is also conceivable to perform this check on the self-service machine, but this would require the checksums to be stored in a secure / encrypted area with which a comparison takes place. The server can check the authenticity of the machine and record the result of this check in a state for that machine. Statements about system integrity can be based on this status to be hit. In the case of a failed test, measures such. B. the stopping of the machine can be initiated.

Die Ausführung dieser Maßnahmen kann aber in den meisten Fällen nicht garantiert werden, da der Automat evtl. auf Signale des Servers nicht mehr reagiert.However, the execution of these measures can not be guaranteed in most cases, because the automat may not respond to signals from the server.

In einer erfindungswesentlichen Ausführungsform wird dem Kunden selbst eine Möglichkeit geboten die Authentizität eines Automaten abzufragen. Da hierzu sowohl eine Kommunikation mit Server und Automat als auch einige kryptographische Berechnungen durchgeführt werden müssen, kann der Kunde hierzu ein mobiles Gerät wie z. B. ein Mobilfunktelefon PDA verwenden. Der Ablauf dieses Verfahrens ist z. B. folgendermaßen:
Der Kunde befindet sich in der Nähe des Automaten, dessen Service er nutzen möchte. Die 1 zeigt die Schritte, die im Folgenden beschrieben werden.

1) Identifikationskennung des ATM holen. Vor der Nutzung verwendet der Benutzer eine Applikation auf dem mobilen Endgerät, die vom Geldautomaten (ATM = Automated Teller Machine) z. B. mittels Nahfeldkommunikation (z. B. Bluetooth, WLAN, Infrarot etc) oder manuelles Eingeben eines Identifikationscodes oder Lokalisieren über GPS (Global Positioning System) Daten abgerufen werden. Hierbei handelt es sich vornehmlich um die Identität des Automaten (request ATM Identiy). Um diese Kommunikation abzusichern sind kryptographische Schutzmechanismen nötig, wenn eine Kommunikation mit dem Automaten erfolgt. Zum einen ist die Authentizität der ermittelten Daten z. B. durch digitale Signaturen sicherzustellen. Zum anderen soll die ”Frische” der Daten durch Challenge-Response-Verfahren oder streng monoton aufsteigende Zahlen sichergestellt werden. Nachdem die Identität berechnet bzw. signiert wurde durch das CERT_ATM wird diese Information zum mobilen Endgerät übertragen (receive Identity). Dieses überprüft anhand eines Cert_Root, ob die übertragene Identität korrekt ist. Sollte die Prüfung der Authentizität der Daten fehlschlagen, so wird der Automat als ”nicht authentisch” eingestuft. Andernfalls wird mit Schritt 2 fortgefahren.
2) Prüfung der Authentizität des Automaten. Die im ersten Schritt (1) ermittelte Kennung/Identität des Automaten wird vom mobilen Endgerät als Request an den Server geschickt (2). Die Kommunikation kann hier z. B. über UMTS erfolgen. Der Server prüft den aktuellen Status des angefragten Automaten anhand der Informationen in der ATM stati db (Datenbank) und schickt dem mobilen Gerät diese Information. Die Übertragung erfolgt ebenfalls signiert bzw. verschlüsselt mit dem Zertifikat Cert_Server. Die Anwendung des Endgerätes empfängt die Daten und überprüft diese mit Cert_Root. Danach wird der Status überprüft und es wird in Abhängigkeit der Antwort des Servers angezeigt, ob der Automat verwendet werden kann oder nicht. Auch diese Kommunikation ist mittels der oben beschriebenen Maßnahmen (z. B. durch digitale Signaturen und Challenge-Response Verfahren, Cert_Root) gegen Manipulation zu schützen. Zusätzlich können verbreitete Verfahren wie z. B. SSL/TLS oder IPSec eingesetzt werden. Auf dem mobilen Endgerät kann ein entsprechendes Programm (z. B. Applet) abgelegt sein, das die Kommunikation mit dem Server durchführt.
3) Regelmäßige Aktualisierung der Status-Information des ATM. Der Server fragt den ATM/SB-Automaten regelmäßig, z. B. jede Stunde oder auch nach Bedarf, nach seiner aktuellen Authentisierungsinformation. Da die Messung mit dem Start jeder Software auf dem ATM automatisch aktualisiert wird, erhält der Server den jeweils aktuellen Zustand im Automaten. Auch diese Kommunikation sollte mit den oben beschriebenen Mechanismen wie z. B. Challenge-Response und Signaturen abgesichert werden. Eine Prüfung auf dem Server führt dann zu dem aktuellen Status des Automaten, z. B. o. k., manipuliert, etc. An dieser Stelle können auch Informationen anderer Mechanismen wie z. B. der Status der Anti-Skimming-Lösung oder GPS Informationen eines mobilen Automaten übertragen werden. Es ist natürlich auch denkbar, dass der SB-Automat in regelmäßigen Abständen oder im Falle eines Angriffs auf die Systemintegrität die Status-Informationen sendet.

In an embodiment essential to the invention, the customer himself is offered a possibility to query the authenticity of an automaton. Since both a communication with server and machine and some cryptographic calculations must be carried out for this purpose, the customer can this a mobile device such. B. use a mobile phone PDA. The course of this process is z. As follows:
The customer is near the machine whose service he wants to use. The 1 shows the steps that are described below.

1) Get identification code of the ATM. Before use, the user uses an application on the mobile terminal, the ATM (Automated Teller Machine) z. B. by means of near field communication (eg Bluetooth, WLAN, infrared, etc.) or manually entering an identification code or localization via GPS (Global Positioning System) data are retrieved. This is primarily the identity of the machine (request ATM Identiy). In order to secure this communication, cryptographic protection mechanisms are necessary when communicating with the machine. On the one hand, the authenticity of the determined data z. B. by digital signatures. On the other hand, the "freshness" of the data is to be ensured by challenge-response procedures or strictly monotonically ascending numbers. After the identity has been calculated or signed by the CERT_ATM, this information is transmitted to the mobile terminal (receive identity). This uses a Cert_Root to verify that the transferred identity is correct. If the verification of the authenticity of the data fails, the automaton is classified as "non-authentic". Otherwise, go to step 2.
2) Checking the authenticity of the machine. The first step ( 1 ) Identified identifier / identity of the machine is sent from the mobile device as a request to the server ( 2 ). The communication can here z. B. via UMTS. The server checks the current status of the requested machine based on the information in the ATM stati db (database) and sends this information to the mobile device. The transfer is also signed or encrypted with the certificate Cert_Server. The application of the terminal receives the data and checks it with Cert_Root. Thereafter, the status is checked and it is displayed, depending on the response of the server, whether the machine can be used or not. This communication must also be protected against manipulation by means of the measures described above (eg by means of digital signatures and challenge-response methods, Cert_Root). In addition, common methods such. B. SSL / TLS or IPSec be used. An appropriate program (eg applet) that carries out the communication with the server can be stored on the mobile terminal.
3) Regular updating of the status information of the ATM. The server asks the ATM / self-service machine regularly, eg. B. every hour or as needed, according to its current authentication information. Since the measurement is updated automatically with the start of each software on the ATM, the server receives the current state in the machine. This communication should be with the mechanisms described above such. As challenge response and signatures are hedged. A check on the server then leads to the current status of the machine, e.g. B. ok, manipulated, etc. At this point, information from other mechanisms such. B. the status of the anti-skimming solution or GPS information of a mobile machine can be transmitted. Of course, it is also conceivable that the self-service machine sends the status information at regular intervals or in the event of an attack on system integrity.

Im Folgenden werden die Vorteile des oben beschriebenen Ansatzes anhand einiger gängiger Angriffsszenarien vorgestellt. Zur vereinfachten Darstellung der Sachverhalte wird davon ausgegangen, dass die kryptographischen Mechanismen sicher sind.In the following, the advantages of the approach described above are presented using some common attack scenarios. To simplify the presentation of the facts, it is assumed that the cryptographic mechanisms are secure.

Falscher Automat (MITM „MAN IN THE MIDDLE”): Der Benutzer steht vor einem Automaten der lediglich zum Zwecke der unbefugten Sammlung von Karten(-daten) und PINs aufgestellt wurde. Weder der Automatenhersteller noch die Bank hat Kenntnis von diesem Automaten. Ziel des Angreifers ist es, Kartendaten und PINs von Benutzern zu sammeln, um sie für spätere illegale Transaktionen einzusetzen.Wrong machine (MITM "MAN IN THE MIDDLE"): The user stands in front of a machine that was set up only for the purpose of unauthorized collection of cards (data) and PINs. Neither the machine manufacturer nor the bank is aware of this machine. The target of the attacker is to collect users' card data and PINs in order to use them for later illegal transactions.

Diese Art des Angriffs würde mit obiger Methode sofort aufgedeckt, bevor der Benutzer Karte bzw. PIN eingegeben hat. Bereits die Konsistenzprüfung in Schritt 1 würde fehlschlagen, wenn der Automat nicht über die von der Bank ausgegebenen Zertifikate verfügt. Der Benutzer ist somit gegen diesen Typ von Angriff geschützt.This type of attack would be detected immediately using the above method before the user enters the card or PIN. The consistency check in step 1 would already fail if the machine does not have the certificates issued by the bank. The user is thus protected against this type of attack.

Klassischer Angriff mittels Softwaremanipulation: Die Software auf dem Automaten wurde manipuliert, um z. B. Daten des Benutzers zu sammeln oder um unautorisiert Geld auszahlen zu können. Diese Art von Angriff wurde mit dem obigen Verfahren entdeckt bevor der Kunde sensitive Daten eingegeben hat. Die Integritätsprüfung des Systems vom Server schlägt fehl. Diese Information wird direkt an den Benutzer weitergeleitet. Classic attack by software manipulation: The software on the machine was manipulated to z. B. to collect data of the user or to be able to pay out unauthorized money. This type of attack was discovered with the above procedure before the customer entered sensitive data. The integrity check of the system from the server fails. This information is forwarded directly to the user.

Um die Benutzerfreundlichkeit weiter zu steigern, kann die oben beschriebene Lösung wie folgt erweitert werden. Auf dem mobilen Gerät wird die Applikation vom Benutzer mit einem persönlichen Parameter versehen. Dies könnte z. B. die Auswahl einer Farbe, eines Codes etc. sein. Dieser Parameter wird bei der Authentisierungsabfrage zum Server übertragen. Der Server wiederum überträgt diesen Parameter zum Automaten. Im Falle eines nicht manipulierten Automaten wird dann dieser Parameter, z. B. die Hintergrundfarbe, dem Benutzer angezeigt. Alternativ könnte dieser Parameter vom Server gewählt werden und sowohl an den ATM als auch an den Benutzer gesendet werden. Der Benutzer erkennt somit an einer veränderten Umgebungseinstellung ein Problem mit der Vertrauenswürdigkeit des Automaten.To further enhance usability, the solution described above can be extended as follows. On the mobile device, the application is provided by the user with a personal parameter. This could be z. B. the selection of a color, code, etc. be. This parameter is transmitted to the server during the authentication request. The server in turn transmits this parameter to the machine. In the case of a non-manipulated machine then this parameter, z. For example, the background color is displayed to the user. Alternatively, this parameter could be chosen by the server and sent to both the ATM and the user. The user thus recognizes a problem with the trustworthiness of the machine in a changed environment setting.

Mit dieser Erweiterung kann auch dem folgenden Angriffsszenario begegnet werden:
Falsches Display auf korrektem Automaten: Ein authentischer Automat einer Bank wird mit einem manipuliertem Display versehen. Dieses Display fordert den Kunden z. B. auf seine PIN einzugeben, obwohl sich das EPP (Encrypted PIN Pad) nicht im Verschlüsselungsmodus befindet. Der Angreifer kann dann z. B. durch Analyse der Kommunikation an die PIN des Benutzers gelangen. Dieser Angriff wird durch die oben beschriebene Erweiterung verhindert. Das falsche Display ist nicht in der Lage, die spezifischen Parameter des Benutzers korrekt anzuzeigen. Der Benutzer kann das manipulierte Display also direkt erkennen.This extension also addresses the following attack scenario:
Wrong display on correct machine: An authentic machine of a bank is provided with a manipulated display. This display asks the customer z. For example, to enter its PIN even though the Encrypted PIN Pad (EPP) is not in encryption mode. The attacker can then z. B. by analyzing the communication to the PIN of the user. This attack is prevented by the extension described above. The wrong display is unable to correctly display the specific parameters of the user. The user can thus recognize the manipulated display directly.

Die Lösung kann auch zur Unterstützung des Plagiatsschutzes verwendet werden. Hierzu fragt eine zusätzliche Software spezielle Eigenschaften eines Bauteiles ab. Diese Information wird zusammen mit den anderen Informationen zum Server geschickt. Eine positive Bewertung durch den Server erfolgt nur nach erfolgreicher Prüfung dieser speziellen Eigenschaft(en). Mit Hilfe dieser Erweiterung kann folgende Manipulation erkannt werden:
Falsche Komponente im Automaten: Ein Automat wird mit einer nicht autorisierten Komponente versehen. Die Abfrage des Servers bzgl. der Integrität des Automaten beinhaltet auch spezifische Merkmale dieser Komponente. Sobald der Benutzer, z. B. ein Techniker die Integritätsinformation dieses Systems vom Server erfragt, erkennt er direkt den Austausch der Komponente.The solution can also be used to support plagiarism protection. For this purpose, additional software requests special properties of a component. This information will be sent along with the other information to the server. A positive rating by the server will only be given after successful verification of this particular feature (s). With the help of this extension, the following manipulation can be detected:
Wrong component in the machine: A machine is provided with an unauthorized component. The query of the server regarding the integrity of the machine also includes specific features of this component. Once the user, for. For example, when a technician requests the integrity information of that system from the server, he or she immediately detects the replacement of the component.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 102008012231 [0017]

Claims

Method for checking the system integrity of a self-service machine using a mobile terminal, comprising the following steps: - Transmission of digital information, which make a statement about the system integrity, from the self-service machine to a central server and evaluating and storing the information together with identity information of the self-service machine on a data carrier; Obtaining the identity information of the self-service machine by the mobile terminal; - transmitting the identity information to the central server and querying the digital information of the self-service machine, which make a statement about the system integrity; - transmitting information permitting system integrity information from the central server to the mobile device; - Display the information that allows a statement about system integrity on the mobile device.

The method according to the preceding claim, wherein the identity information of the self-service machine is obtained by the mobile terminal, by wireless transmission from the self-service machine to the mobile terminal, by entering location information in the mobile terminal and / or by manual input of identification data.

The method according to one or more of the preceding claims, wherein the communication between the mobile terminal and the self-service machine, between the mobile terminal and the central server, and / or between the self-service machine and the central server is secured communication, with encryption and / or challenge response Procedures and / or counters.

The method according to one or more of the preceding claims, wherein the system integrity is checked by forming checksums of the software on the self-service machine, which is compared with a reference checksum, the comparison taking place on the self-service machine or the central server.

The method according to the preceding claim, wherein the system integrity is measured by means of the Trusted Platform Module (TPM) and this system integrity information is transmitted by means of a secure protocol to a central server.

The method according to one or more of the preceding claims, wherein digital information that makes a statement about the system integrity is transmitted regularly by the self-service machine or requested by the central server.

The method according to the preceding claim, wherein in addition information, such as a status of an anti-skimming solution and / or GPS information of a mobile machine are transmitted.

The method according to one or more of the preceding claims, wherein on the mobile terminal a personalized parameter is input, which is transmitted to the central server, and which is transmitted from the central server to the self-service machine, and is displayed thereon.

The method according to one or more of the preceding claims, wherein a personalized parameter is generated by the central server, which is transmitted to the mobile terminal and the self-service machine in order to display it both on the mobile terminal and on the self-service machine that a comparison of the information is made possible.

The method according to one or more of the two preceding claims, wherein the parameter is displayed in the form of a code and / or a color on a monitor of the self-service machine.

The method according to one or more of the preceding claims, wherein for determining the system integrity of the self-service machine, properties of a component of the self-service machine are queried, which are then transmitted to the central server in order to be checked.

System for checking the system integrity of a self-service machine with the aid of a mobile terminal and a central server comprising the following components: - means in the self-service machine for transmitting digital information, which make a statement about the system integrity, from the self-service machine to the central server and an evaluation unit and storage unit, which store the information together with identity information of the self-service machine on a data carrier; - means for obtaining the identity information of the self-service machine by the mobile terminal; - Transmission unit, which transmits the identity information to the central server, and interrogation unit, which queries the digital information of the self-service machine, which make a statement about the system integrity; - Transmission unit, the information that allows a statement about the system integrity, transmitted from the central server to the mobile terminal so that they can be displayed on a display unit of the mobile terminal.

The system according to the preceding system claim, wherein the identity information of the self-service machine is transmitted to the mobile terminal by a wireless transmission unit.

The system according to one or more of the preceding system claims, wherein encryption units secure the communication between mobile terminal and self-service machine, between mobile terminal and central server, and / or between self-service machine and central server with encryption and / or challenge response method and / or counters.

The system according to one or more of the preceding system claims, wherein there is a calculation unit that checks system integrity by forming checksums of the software on the self-service machine that are compared to a reference checksum, the comparison being based on the self-service machine or central server takes place.

The system according to the preceding system claim, wherein the system integrity is measured using the Trusted Platform Module (TPM) and this system integrity information is transmitted using a secure protocol to a central server.

The system according to one or more of the preceding system claims, wherein digital information that provides information about system integrity is regularly transmitted by the self-service machine or requested by the central server.

The system according to the preceding system claim, wherein a verification unit is provided which transmits additional information, such as a status of an anti-skimming solution and / or GPS information of a mobile machine.

The system according to one or more of the preceding system claims, wherein there is a receiving unit which receives a personalized parameter from the mobile terminal, and a transmitting unit is present which transmits this parameter from the central server to the self-service machine so that it is stored on the SB -Automats is displayed.

The system according to one or more of the preceding system claims, wherein a unit is provided so that a personalized parameter is generated by the central server, which is transmitted to the mobile terminal and the self-service machine, to this both on the mobile terminal and on the SB-machine so that a comparison of the information is made possible.

The system according to one or more of the two preceding system claims, wherein the parameter is displayed in the form of a code and / or a color on a monitor of the self-service machine.

The system according to one or more of the preceding system claims, wherein there is a check unit for checking the characteristic of a component of the self-service machine, for determining the system integrity characteristics of the self-service machine, which are then transmitted to the central server to be checked ,